Các doanh nghiệp thu thập một lượng dữ liệu khổng lồ trong quá trình hoạt động, nhưng hiếm khi dừng lại để xem xét và thậm chí xóa dữ liệu.
Chính sách lưu giữ dữ liệu xác định thời gian doanh nghiệp lưu giữ các loại thông tin khác nhau, lý do lưu giữ, những ai có thể truy cập và cách xóa thông tin khi không còn cần thiết. Đối với các doanh nghiệp vừa và nhỏ, đây là một trong những cách thiết thực nhất để giảm thiểu rủi ro tuân thủ mà không làm phức tạp hóa các hoạt động hàng ngày.
Nhiều công ty lưu giữ dữ liệu lâu hơn mức cần thiết vì lo ngại rủi ro khi xóa. Hồ sơ khách hàng cũ vẫn nằm trong CRM. Các tệp của cựu nhân viên vẫn còn trong các ổ đĩa chia sẻ. Hợp đồng tồn đọng trong hộp thư đến nhiều năm. Các bảng tính được xuất được lưu lại “phòng hờ”. Theo thời gian, doanh nghiệp lưu trữ nhiều thông tin nhận dạng cá nhân (PII), hồ sơ tài chính và thông tin nội bộ hơn mức có thể quản lý một cách thích hợp.
Điều đó tạo ra một vấn đề theo GDPR. Nguyên tắc giới hạn lưu trữ có nghĩa là dữ liệu cá nhân không được lưu giữ lâu hơn mức cần thiết cho mục đích thu thập. Chính sách lưu giữ giúp chuyển đổi nguyên tắc đó thành một hệ thống hoạt động: lưu giữ những gì, trong bao lâu, lưu trữ ở đâu, ai sở hữu, cách xóa và cách bảo vệ quyền truy cập vào dữ liệu được lưu giữ.
Điều đó rất quan trọng vì mật khẩu yếu vẫn là một trong những lỗ hổng phổ biến nhất đối với các doanh nghiệp thuộc mọi quy mô, và dữ liệu được lưu giữ vẫn có nguy cơ bị lộ nếu các biện pháp kiểm soát truy cập yếu.
Chính sách lưu giữ dữ liệu là gì?
Tại sao chính sách lưu giữ dữ liệu lại quan trọng?
Loại dữ liệu nào cần có lịch trình lưu giữ?
Các yêu cầu lưu giữ dữ liệu tại Vương quốc Anh: những điều doanh nghiệp vừa và nhỏ nên biết
Mẫu chính sách lưu giữ dữ liệu dành cho doanh nghiệp vừa và nhỏ
Kiểm soát truy cập và dữ liệu được lưu giữ
Các sai lầm phổ biến về chính sách lưu giữ dữ liệu
Đưa các quy tắc lưu giữ vào thực tế hàng ngày
Chính sách lưu giữ dữ liệu là gì?
Chính sách lưu giữ dữ liệu là một bộ quy tắc xác định thời gian lưu giữ các danh mục dữ liệu khác nhau trong doanh nghiệp và điều gì xảy ra khi thời hạn lưu giữ kết thúc. Chính sách này thường bao gồm dữ liệu cá nhân, hồ sơ khách hàng, tệp nhân viên, tài liệu tài chính, hợp đồng, thông tin liên lạc, hồ sơ hoạt động và các tài liệu quan trọng của doanh nghiệp.
Một chính sách hữu ích cần trả lời bốn câu hỏi sau:
- Doanh nghiệp đang nắm giữ loại dữ liệu nào?
- Tại sao cần lưu giữ dữ liệu đó?
- Nên lưu giữ dữ liệu đó trong bao lâu?
- Làm thế nào để xóa, ẩn danh hoặc lưu trữ dữ liệu đó một cách an toàn?
GDPR không thiết lập thời hạn cụ thể cho từng loại dữ liệu, vì vậy các tổ chức cần tự quyết định những gì là cần thiết cho mục đích của mình, lập tài liệu ghi lại lý do đó và sẵn sàng giải trình.
Chính sách lưu giữ dữ liệu không chỉ là một danh sách các ngày tháng. Đó là một bản ghi các quyết định đằng sau những ngày tháng đó. Nếu có ai đó hỏi tại sao dữ liệu khách hàng được lưu giữ trong ba năm hoặc hồ sơ ứng viên bị xóa sau sáu tháng, doanh nghiệp phải chỉ ra được lý do rõ ràng.
Tại sao chính sách lưu giữ dữ liệu lại quan trọng?
Chính sách lưu giữ giúp đảm bảo tuân thủ, bảo mật và sự rõ ràng trong hoạt động. Chính sách này bảo vệ doanh nghiệp theo ba cách:
- Giảm thiểu lượng dữ liệu có nguy cơ bị lộ trong một vụ vi phạm
- Giảm thiểu rủi ro pháp lý và tuân thủ do lưu giữ thông tin lâu hơn mức cần thiết
- Cắt giảm chi phí lưu trữ liên quan đến các hồ sơ lỗi thời.
Dưới góc độ tuân thủ, chính sách này hỗ trợ các nghĩa vụ lưu giữ dữ liệu theo GDPR bằng cách hiển thị rằng doanh nghiệp không lưu giữ dữ liệu cá nhân vô thời hạn mà không có lý do. Tại Vương quốc Anh, ICO nêu rõ rằng không nên lưu giữ dữ liệu cá nhân theo kiểu “phòng hờ”, mà chỉ lưu giữ trong thời gian cần thiết cho mục đích liên quan.
Dưới góc độ bảo mật, việc có ít dữ liệu không cần thiết hơn đồng nghĩa với việc ít bị lộ hơn. Nếu doanh nghiệp bị vi phạm, mọi hồ sơ khách hàng lỗi thời, tệp bảng lương cũ, tệp xuất không sử dụng hoặc tập tin đính kèm trong hộp thư đến bị lãng quên đều có thể làm tăng lượng thông tin bị ảnh hưởng.
Đó là lý do tại sao việc lưu giữ dữ liệu phải là một phần trong phương pháp tiếp cận rộng hơn của doanh nghiệp đối với việc ngăn ngừa vi phạm dữ liệu. Thời gian lưu giữ dữ liệu ảnh hưởng trực tiếp đến khả năng bị lộ: hồ sơ không cần thiết lưu lại trong hệ thống càng lâu, kẻ tấn công càng có nhiều cơ hội truy cập, đánh cắp hoặc làm lộ.
Dưới góc độ hoạt động, các quy tắc lưu giữ giúp giảm thiểu việc phỏng đoán. Nhân viên cần biết những gì cần lưu giữ, lưu trữ ở đâu, khi nào cần xóa và ai là người quyết định. Điều này đặc biệt quan trọng đối với các đội ngũ đang phát triển, nơi dữ liệu có thể nằm rải rác trên email, lưu trữ đám mây, hệ thống nhân sự, phần mềm tài chính, CRM, các ổ đĩa chia sẻ và nền tảng của nhà cung cấp.
Loại dữ liệu nào cần có lịch trình lưu giữ?
Lịch trình lưu giữ dữ liệu là phần hoạt động của chính sách lưu giữ dữ liệu. Lịch trình này liên kết từng danh mục dữ liệu với thời hạn lưu giữ, người sở hữu, vị trí lưu trữ, phương thức xóa, các biện pháp bảo vệ chống vi phạm dữ liệu và lý do lưu giữ.
Các doanh nghiệp vừa và nhỏ nên bắt đầu với các danh mục dữ liệu được sử dụng hàng ngày.
Hồ sơ nhân viên
Hồ sơ nhân viên không phải tất cả đều tuân theo cùng một logic lưu giữ. Một số cần được lưu giữ do các yêu cầu luật định, một số khác vì có thể cần thiết để giải quyết tranh chấp, và một số chỉ khi có lý do kinh doanh rõ ràng.
Ví dụ: ACAS(cửa sổ mới) quy định người sử dụng lao động phải lưu giữ hồ sơ nghỉ phép ít nhất sáu năm kể từ ngày lập, trong khi hướng dẫn của GOV.UK(cửa sổ mới) về hồ sơ nhân viên quy định thông tin nhân viên chỉ nên được lưu giữ khi doanh nghiệp có nhu cầu rõ ràng, sau đó được tiêu hủy một cách an toàn.
Dữ liệu khách hàng và khách hàng tiềm năng
Dữ liệu khách hàng có thể bao gồm chi tiết liên hệ, lịch sử mua hàng, phiếu hỗ trợ, thông tin thanh toán, hợp đồng, hồ sơ tài khoản và lịch sử giao tiếp. Dữ liệu khách hàng tiềm năng có thể bao gồm thông tin liên hệ tiếp thị, đăng ký sự kiện, đăng ký nhận bản tin và ghi chú bán hàng.
Lưu giữ dữ liệu khách hàng trong thời gian cần thiết để cung cấp dịch vụ, thực hiện các nghĩa vụ theo hợp đồng, giải quyết tranh chấp, tuân thủ các quy tắc kế toán hoặc đáp ứng các yêu cầu pháp lý. Dữ liệu tiếp thị cần được lưu ý đặc biệt vì sự đồng ý, lợi ích hợp pháp, yêu cầu hủy đăng ký và các giới hạn mục đích đều ảnh hưởng đến thời gian lưu giữ dữ liệu.
Hồ sơ tài chính và thuế
Hồ sơ tài chính bao gồm hóa đơn, biên nhận, hồ sơ bảng lương, sao kê ngân hàng, yêu cầu thanh toán chi phí, hồ sơ VAT, hồ sơ kế toán, tài liệu thuế, hợp đồng và đơn đặt hàng, báo cáo kiểm toán, hồ sơ thẻ tín dụng và khoản vay, và hồ sơ phúc lợi hoặc hưu trí của nhân viên nếu có liên quan.
Tại many khu vực tài phán, luật doanh nghiệp và luật thuế quy định thời hạn tối thiểu để lưu giữ hồ sơ kế toán và tài chính, mặc dù thời hạn chính xác sẽ khác nhau tùy theo quốc gia và loại hình công ty.
Hợp đồng và tài liệu pháp lý
Hợp đồng, báo cáo công việc, thỏa thuận với nhà cung cấp, thỏa thuận với khách hàng, hợp đồng thuê và thư từ pháp lý có thể cần được lưu giữ trong thời hạn hợp đồng và một khoảng thời gian sau đó để phòng ngừa trường hợp xảy ra tranh chấp.
Thời hạn chính xác phụ thuộc vào hợp đồng, thời hiệu khởi kiện, các yêu cầu của ngành và tư vấn pháp lý. Chính sách này nên xác định người sở hữu các hồ sơ này, thường là bộ phận pháp lý, tài chính, vận hành hoặc ban lãnh đạo.
Thông tin liên lạc qua email và tài liệu nội bộ
Email doanh nghiệp thường là nơi các chính sách lưu giữ bị thử thách. Hộp thư đến có thể chứa hợp đồng, dữ liệu cá nhân, tập tin đính kèm, khiếu nại của khách hàng, hóa đơn, thông tin ứng viên, mật khẩu và các quyết định kinh doanh bí mật.
Lịch trình lưu giữ nên xác định nội dung nào thuộc về email, nội dung nào nên được chuyển sang hệ thống đã phê duyệt và khi nào các thư cũ nên bị xóa hoặc lưu trữ. Logic tương tự cũng áp dụng cho tài liệu nội bộ, báo cáo được xuất, bảng tính, thư mục chia sẻ và các tập tin đính kèm trong cuộc trò chuyện. Nhưng chính sách cũng cần một cơ chế thực thi.
Các quy tắc lưu giữ nên được gắn liền với các hệ thống được phê duyệt, cài đặt xóa tự động nếu khả thi, quy tắc lưu trữ và kiểm tra quyền sở hữu để dữ liệu không bị tồn tại vô thời hạn chỉ vì không có ai xử lý khi thời hạn lưu giữ kết thúc.
Thông tin đăng nhập, hồ sơ truy cập và nhật ký bảo mật
Việc lưu giữ cũng áp dụng cho các hồ sơ bảo mật. Điều này có thể bao gồm nhật ký truy cập, nhật ký kiểm toán, hồ sơ mật khẩu, mã khôi phục, hoạt động của quản trị viên, báo cáo sự cố và hồ sơ xác thực.
Một số hồ sơ bảo mật cần được lưu giữ để điều tra, tuân thủ hoặc xem xét hoạt động. Những hồ sơ khác chỉ nên được lưu giữ cho một mục đích xác định và trong một khoảng thời gian được lập tài liệu, sau đó được xóa hoặc lưu trữ theo chính sách, đặc biệt là khi chúng tiết lộ cách thức hoạt động của hệ thống hoặc làm lộ các chi tiết truy cập nhạy cảm.
Lưu giữ dữ liệu, quản lý thông tin đăng nhập và kiểm soát truy cập có sự giao thoa lẫn nhau: hồ sơ bảo mật được lưu giữ cần có các biện pháp kiểm soát truy cập mạnh mẽ vì chúng có thể tiết lộ cách thức hoạt động của các hệ thống doanh nghiệp.
Các yêu cầu lưu giữ dữ liệu tại Vương quốc Anh: những điều doanh nghiệp vừa và nhỏ nên biết
Các yêu cầu lưu giữ dữ liệu tại Vương quốc Anh rất đa dạng. Chúng phụ thuộc vào loại dữ liệu, lý do lưu giữ và nghĩa vụ pháp lý, thuế, hợp đồng hoặc nghĩa vụ kinh doanh đằng sau đó.
Đối với việc lưu giữ dữ liệu theo GDPR, điểm khởi đầu là giới hạn lưu trữ: dữ liệu cá nhân chỉ nên được giữ lại trong thời gian cần thiết cho mục đích đó. UK GDPR không có một thời hạn cố định cho mọi danh mục, vì vậy các doanh nghiệp cần tự thiết lập thời hạn lưu giữ và giải trình cho các thời hạn đó.
Một số hồ sơ có quy tắc rõ ràng hơn. Các công ty trách nhiệm hữu hạn thường cần lưu giữ hồ sơ kế toán trong sáu năm kể từ khi kết thúc năm tài chính liên quan, và đôi khi lâu hơn trong một số trường hợp cụ thể. Hồ sơ nhân sự thay đổi tùy theo loại hồ sơ, vì vậy dữ liệu tuyển dụng nhạy cảm cần được phân loại cẩn thận và xem xét với sự tư vấn pháp lý hoặc nhân sự khi cần thiết.
Cuối cùng, không thể áp dụng một thời hạn lưu giữ cho tất cả mọi thứ. Dữ liệu nên được phân chia theo danh mục, xác định lý do lưu giữ và lập tài liệu lý giải tại sao mỗi thời hạn lại phù hợp.
Mẫu chính sách lưu giữ dữ liệu dành cho doanh nghiệp vừa và nhỏ
Sử dụng cấu trúc này như một mẫu chính sách lưu giữ dữ liệu đơn giản. Hãy điều chỉnh từ ngữ cho phù hợp với doanh nghiệp, ngành và các yêu cầu pháp lý.
1. Mục đích và phạm vi
Mẫu sao chép: Chính sách lưu giữ dữ liệu này giải thích cách [Company Name] lưu trữ, lưu giữ, lưu trữ, xóa và bảo vệ dữ liệu cá nhân cũng như dữ liệu doanh nghiệp. Chính sách này áp dụng cho nhân viên, nhà thầu, nhà cung cấp, hệ thống và dịch vụ thu thập, xử lý, lưu trữ hoặc truy cập dữ liệu công ty.
2. Danh mục dữ liệu
Mẫu sao chép: [Company Name] phân nhóm dữ liệu thành các danh mục, bao gồm dữ liệu khách hàng, dữ liệu khách hàng tiềm năng, hồ sơ nhân viên, hồ sơ tài chính, hợp đồng, hồ sơ hoạt động, nhật ký bảo mật và thông tin liên lạc nội bộ. Mỗi danh mục phải có người sở hữu, vị trí lưu trữ, thời hạn lưu giữ và phương thức xóa.
3. Lịch trình lưu giữ
Mẫu sao chép: Dữ liệu chỉ được lưu giữ trong thời gian cần thiết cho các mục đích kinh doanh, pháp lý, quy định, hợp đồng hoặc bảo mật. Mỗi danh mục dữ liệu phải được liệt kê trong lịch trình lưu giữ với thời hạn lưu giữ và lý do được xác định rõ ràng.
Lịch trình ví dụ:
| Danh mục dữ liệu | Hồ sơ ví dụ | Cách tiếp cận lưu giữ được đề xuất | Người sở hữu | Phương thức xóa |
| Dữ liệu khách hàng | Hồ sơ tài khoản, phiếu hỗ trợ, lịch sử dịch vụ | Lưu giữ khi mối quan hệ khách hàng còn hoạt động, sau đó chỉ lưu giữ khi cần thiết cho các mục đích pháp lý, hợp đồng hoặc giải quyết tranh chấp | Bộ phận vận hành hoặc chăm sóc khách hàng | Xóa hoặc ẩn danh khỏi hệ thống CRM và hỗ trợ |
| Hồ sơ tài chính | Hóa đơn, biên nhận, bảng lương, tài liệu thuế | Thường lưu giữ trong sáu năm sau năm tài chính liên quan, trừ khi có yêu cầu lưu giữ lâu hơn | Tài chính | Lưu trữ an toàn, sau đó xóa |
| Hồ sơ nhân viên | Hợp đồng, bảng lương, hồ sơ nghỉ phép, tệp nhân sự | Lưu giữ dựa trên loại hồ sơ, quy định pháp lý và nhu cầu kinh doanh | Nhân sự hoặc vận hành | Xóa an toàn khỏi hệ thống nhân sự và lưu trữ được chia sẻ |
| Hợp đồng | Thỏa thuận khách hàng, hợp đồng nhà cung cấp, báo cáo công việc | Lưu giữ trong thời hạn hợp đồng cộng thêm thời hạn giải quyết tranh chấp đã được xác định | Bộ phận pháp lý, tài chính hoặc ban lãnh đạo | Lưu trữ an toàn, sau đó xóa |
| Nhật ký bảo mật | Nhật ký truy cập, hoạt động của quản trị viên, hồ sơ sự cố | Lưu giữ cho các nhu cầu điều tra, bảo mật và trách nhiệm giải trình, sau đó xóa hoặc Lưu trữ dựa trên mức độ rủi ro | IT hoặc người phụ trách bảo mật | Xóa hoặc Lưu trữ an toàn |
| Dữ liệu tiếp thị | Thông tin liên lệ tiếp thị, danh sách bản tin, hồ sơ chiến dịch | Lưu giữ khi có mục đích hợp lệ và các quy tắc ngăn chặn được tôn trọng | Tiếp thị | Xóa, ẩn danh hoặc ngăn chặn một cách phù hợp |
4. Kiểm soát truy cập
Mẫu sao chép: Quyền truy cập vào dữ liệu được lưu giữ phải được giới hạn cho những người cần thiết cho vai trò của mình. Dữ liệu nhạy cảm phải được lưu trữ trong các hệ thống được phê duyệt, được bảo vệ bằng phương thức xác thực mạnh mẽ và được xem xét thường xuyên. Không được sử dụng thông tin đăng nhập được chia sẻ để truy cập dữ liệu được lưu giữ trừ khi chúng được quản lý thông qua một trình quản lý mật khẩu doanh nghiệp đã được phê duyệt.
Phần này là nơi việc lưu giữ liên kết trực tiếp với việc quản lý thông tin đăng nhập. Dữ liệu bắt buộc phải lưu giữ vẫn cần được bảo vệ. Nếu hợp đồng cũ, tệp bảng lương, hồ sơ khách hàng hoặc nhật ký bảo mật vẫn có thể truy cập được bởi những người không còn cần đến chúng nữa, chính sách lưu giữ mới chỉ giải quyết được một nửa vấn đề.
Một trình quản lý mật khẩu doanh nghiệp hỗ trợ kiểm soát truy cập bằng cách giúp các đội ngũ tạo thông tin đăng nhập mạnh mẽ, lưu trữ chúng an toàn và chỉ chia sẻ quyền truy cập với những người được ủy quyền. Proton Pass for Business giúp các đội ngũ quản lý thông tin đăng nhập trong các kho đã mã hóa và sử dụng tính năng chia sẻ an toàn, nhờ đó dữ liệu được lưu giữ ít có nguy cơ bị lộ do sử dụng lại mật khẩu hoặc truy cập không chính thức.
5. Xóa và tiêu hủy
Mẫu sao chép: Khi thời hạn lưu giữ kết thúc, dữ liệu phải được xóa an toàn, ẩn danh hoặc Lưu trữ theo lịch trình lưu giữ. Hồ sơ giấy phải được hủy nhỏ hoặc tiêu hủy an toàn. Hồ sơ kỹ thuật số phải được xóa khỏi hệ thống được phê duyệt, ổ đĩa chia sẻ, các bản sao lưu nếu phù hợp và bất kỳ vị trí lưu trữ không được quản lý nào. Việc xóa phải được lập tài liệu đối với dữ liệu nhạy cảm. Nhân viên cũng nên biết những nơi không được lưu trữ thông tin, chẳng như ổ đĩa cá nhân, bảng tính không được phê duyệt hoặc các chuỗi trò chuyện. Nếu một danh mục dữ liệu trở thành chủ đề bị tạm giữ pháp lý, tranh chấp, kiểm toán hoặc điều tra, việc xóa phải được tạm dừng cho đến khi bộ phận pháp lý hoặc ban lãnh đạo cho phép thực hiện bước tiếp theo.
6. Trách nhiệm
Mẫu sao chép: Mỗi danh mục dữ liệu phải có người sở hữu chịu trách nhiệm về các quyết định lưu giữ, xem xét truy cập, xóa và cập nhật chính sách. Nhân viên có trách nhiệm lưu trữ dữ liệu trong các hệ thống được phê duyệt và báo cáo dữ liệu mà họ tin là lỗi thời, bị trùng lặp hoặc được lưu trữ sai chỗ.
7. Chu kỳ xem xét
Mẫu sao chép: Chính sách và lịch trình lưu giữ này sẽ được xem xét ít nhất hàng năm, và có thể sớm hơn nếu [Company Name] đưa vào sử dụng hệ thống mới, thay đổi nghĩa vụ pháp lý, gặp phải sự cố bảo mật hoặc thay đổi cách thu thập hoặc xử lý dữ liệu cá nhân.
Kiểm soát truy cập và dữ liệu được lưu giữ
Một chính sách lưu giữ không bao giờ được tách rời khỏi việc kiểm soát truy cập. Lưu giữ dữ liệu vì lý do hợp lệ không có nghĩa là mọi người đều có thể tiếp cận dữ liệu đó.
Dữ liệu được lưu giữ thường bao gồm thông tin nhạy cảm: tệp nhân viên, hồ sơ khách hàng, tài liệu thuế, hợp đồng, nhật ký bảo mật và báo cáo sự cố. Nếu quyền truy cập không được quản lý, dữ liệu cũ hơn có thể trở thành mục tiêu dễ dàng trong một vụ xâm phạm tài khoản. Điều này cũng có thể tạo ra rủi ro nội bộ nếu nhân viên có thể mở các hồ sơ không liên quan đến vai trò của họ.
Các biện pháp kiểm soát truy cập cần trả lời:
- Ai có thể truy cập từng danh mục dữ liệu được lưu giữ?
- Những hệ thống nào lưu trữ dữ liệu đó?
- Những thông tin đăng nhập nào bảo vệ dữ liệu đó?
- MFA đã được kích hoạt chưa?
- Các thông tin đăng nhập được chia sẻ có được kiểm soát không?
- Quyền truy cập được xem xét lần cuối khi nào?
- Điều gì xảy ra khi có người nghỉ việc hoặc thay đổi vai trò?
- Các nhà cung cấp và bên thứ ba có được cấp quyền truy cập không, và quyền đó có được kiểm soát không?
Việc lưu giữ dữ liệu được kết nối với quản lý thông tin đăng nhập. Để ngăn ngừa vi phạm, kiểm soát truy cập cũng giúp giảm thiểu phạm vi ảnh hưởng. Nếu kẻ tấn công xâm phạm một tài khoản, chúng không thể tự động tiếp cận lượng dữ liệu khách hàng được lưu trữ qua nhiều năm, hợp đồng cũ hoặc hồ sơ nhân viên. Việc tạo chính sách mật khẩu có thể giúp các đội ngũ xác định các quy tắc về tạo mật khẩu, chia sẻ, quản lý truy cập và xác thực.
Để ngăn ngừa vi phạm, kiểm soát truy cập cũng giúp giảm thiểu phạm vi ảnh hưởng. Nếu kẻ tấn công xâm phạm một tài khoản, chúng không thể tự động tiếp cận lượng dữ liệu khách hàng được lưu trữ qua nhiều năm, hợp đồng cũ hoặc hồ sơ nhân viên. Hướng dẫn của Proton về bảo vệ chống vi phạm dữ liệu dành cho doanh nghiệp giải thích lý do tại sao việc giới hạn truy cập và giảm thiểu khả năng bị lộ không cần thiết là rất quan trọng trước khi sự cố xảy ra.
Một trình quản lý mật khẩu doanh nghiệp chẳng hạn như Proton Pass for Business cũng có thể giúp các đội ngũ kiểm soát và xem xét quyền truy cập vào các thông tin đăng nhập dùng để mở khóa dữ liệu được lưu giữ, với tính năng quản lý tập trung, chia sẻ an toàn và quyền sở hữu rõ ràng hơn thông qua bảng điều khiển quản trị viên.
Các sai lầm phổ biến về chính sách lưu giữ dữ liệu
Nhiều doanh nghiệp vừa và nhỏ đã có các thói quen lưu giữ không chính thức, nhưng lại thiếu một chính sách đáng tin cậy. Các sai lầm phổ biến nhất rất dễ mắc phải: lưu giữ quá nhiều dữ liệu, áp dụng một quy tắc cho mọi hồ sơ, quên mất các bản sao trong các hệ thống hàng ngày, xóa dữ liệu mà không kiểm tra quy định tạm giữ pháp lý, hoặc cho phép quá nhiều người truy cập vào dữ liệu được lưu giữ.
| Sai lầm | Tại sao điều này tạo ra rủi ro | Giải pháp thay thế |
| Lưu giữ mọi thứ mãi mãi | Việc lưu trữ dữ liệu theo kiểu “phòng hờ” có thể làm tăng rủi ro tuân thủ và khả năng bị lộ khi xảy ra vi phạm. | Chỉ giữ lại dữ liệu khi có lý do rõ ràng về mặt pháp lý, hợp đồng, bảo mật hoặc kinh doanh. |
| Sử dụng một thời hạn lưu giữ cho tất cả mọi thứ | Hồ sơ tài chính, tệp nhân viên, thông tin liên hệ tiếp thị, hợp đồng và nhật ký phục vụ các mục đích khác nhau. | Xác định thời hạn lưu giữ theo từng danh mục dữ liệu. |
| Bỏ quên email, bảng tính và dữ liệu xuất | Các bản sao có thể vẫn tồn tại trong hộp thư đến, thư mục tải xuống, ổ đĩa chia sẻ hoặc các tệp không được quản lý. | Đưa các vị trí lưu trữ phụ vào chính sách. |
| Xóa mà không kiểm tra quy định tạm giữ pháp lý | Một số dữ liệu có thể cần được bảo lưu cho các trường hợp tranh chấp, kiểm toán, điều tra hoặc các nghĩa vụ quản lý. | Thêm bước xem xét trước khi xóa. |
| Bỏ qua quyền truy cập vào dữ liệu được lưu giữ | Dữ liệu được lưu giữ vẫn có nguy cơ bị lộ nếu có quá nhiều người có thể truy cập. | Chỉ chỉ định người sở hữu, hạn chế quyền hạn và xem xét quyền truy cập thường xuyên. |
Đưa các quy tắc lưu giữ vào thực tế hàng ngày
Một chính sách thực tế bắt đầu bằng việc xác định dữ liệu mà doanh nghiệp đang nắm giữ và chuyển đổi thành một lịch trình để mọi người có thể tuân theo. Mỗi danh mục nên có lý do lưu giữ, người sở hữu, chu kỳ xem xét và quy trình xóa rõ ràng. Trong khi dữ liệu đó vẫn nằm trong hệ thống, quyền truy cập nên được giới hạn cho những người thực sự cần đến.
Đối với nhiều doanh nghiệp vừa và nhỏ, quản lý thông tin đăng nhập là một trong những khâu dễ cải thiện nhất. Mật khẩu mạnh, chia sẻ an toàn và kiểm soát truy cập giúp đảm bảo dữ liệu được lưu giữ chỉ khả dụng cho những người cần thiết.
Kiểm soát những ai có thể truy cập dữ liệu được lưu giữ trong doanh nghiệp bằng một trình quản lý mật khẩu doanh nghiệp an toàn.
