PII trong các tổ chức hiện đại: rủi ro, trách nhiệm và các biện pháp thực hành tốt nhất

Mỗi tổ chức hiện đại đều xử lý thông tin nhận dạng cá nhân (PII) dưới ít nhất một hình thức, cho dù đó là hồ sơ nhân viên, dữ liệu tài khoản khách hàng hay thông tin đăng nhập.

Khi mạng lưới doanh nghiệp mở rộng trên các nền tảng đám mây, thiết bị từ xa, nhà thầu và công cụ SaaS, PII sẽ di chuyển qua nhiều hệ thống, quy trình làm việc và bộ phận hơn. Điều đó khiến quyền riêng tư và bảo mật không chỉ là nghĩa vụ pháp lý mà còn là những ưu tiên hàng đầu trong hoạt động.

Các rủi ro và trách nhiệm liên quan đến PII không thể bị xem nhẹ. Vào năm 2025, IBM phát hiện ra rằng chi phí trung bình toàn cầu của một vụ vi phạm dữ liệu đã lên tới 4,4 triệu USD(cửa sổ mới), tăng 10% so với năm trước và là mức tăng lớn nhất kể từ đại dịch. Dữ liệu vi phạm năm 2025 của Verizon bổ sung thêm bối cảnh quan trọng: 60% số vụ vi phạm liên quan đến yếu tố con người, chẳng hạn như thói quen sử dụng thông tin đăng nhập yếu, quản lý truy cập kém và những sai sót bất cẩn tạo ra rủi ro nghiêm trọng cho doanh nghiệp.

Nói cách cách, các biện pháp kiểm soát yếu kém xung quanh PII có thể nhanh chóng trở thành một sự cố ở cấp ban giám đốc liên quan đến tổn thất doanh thu, rủi ro pháp lý, mất khách hàng và tổn hại danh tiếng.

Bài viết này giải thích ý nghĩa của PII trong môi trường kinh doanh hiện đại, lý do tại sao nó tạo ra rủi ro tập trung, những trách nhiệm mà các tổ chức phải gánh vác và những biện pháp nào giúp giảm thiểu rủi ro hiệu quả nhất. Bài viết cũng sẽ xem xét các công cụ doanh nghiệp mà các tổ chức có thể sử dụng để hỗ trợ kiểm soát truy cập và vệ sinh thông tin đăng nhập mạnh mẽ hơn như một phần của chiến lược bảo mật và quyền riêng tư rộng lớn hơn.

• Dữ liệu PII là gì và tại sao lại quan trọng đối với doanh nghiệp?
• Tại sao các tổ chức nên quan tâm đến PII
• Các rủi ro liên quan đến PII trong môi trường kỹ thuật số
• Trách nhiệm của tổ chức trong việc xử lý PII
• Các thực hành bảo mật giúp bảo vệ PII
• Cách Proton Pass for Business hỗ trợ bảo vệ PII
• Câu hỏi thường gặp

Dữ liệu PII là gì và tại sao dữ liệu này lại quan trọng đối với doanh nghiệp?

Thông tin nhận dạng cá nhân, hay PII, là bất kỳ thông tin nào có thể xác định trực tiếp hoặc gián tiếp một cá nhân cụ thể. Thông tin đó bao gồm các thông tin định danh rõ ràng như họ tên đầy đủ, số hộ chiếu, số An sinh Xã hội và chi tiết thẻ thanh toán.

Theo Viện Tiêu chuẩn và Công nghệ Quốc gia (NIST), dữ liệu PII có thể được định nghĩa rộng rãi là thông tin có thể phân biệt hoặc truy xuất danh tính của một cá nhân, cho dù đứng độc lập hay khi liên kết với dữ liệu khác. Định nghĩa của NIST cũng bao gồm rõ ràng thông tin “được liên kết hoặc có thể liên kết” với một người. Đây là lưu ý quan trọng đối với các hệ thống kỹ thuật số hiện đại, nơi danh tính thường được suy ra từ các tập dữ liệu thay vì hiển thị trong một trường.

Ít rõ ràng hơn, PII cũng bao gồm thông tin có tính chất nhận dạng trong ngữ cảnh cụ thể, chẳng hạn như ID thiết bị, địa chỉ IP(cửa sổ mới), lịch sử vị trí, thông tin đăng nhập hoặc sự kết hợp của các điểm dữ liệu bình thường khác. Tên thời con gái của mẹ hoặc địa chỉ nhà riêng có thể có vẻ vô hại khi đứng riêng lẻ, nhưng khi kết hợp với ngày sinh hoặc số tài khoản, các điểm dữ liệu này có thể đủ để xác minh danh tính, vượt qua các kiểm soát bảo mật hoặc kích hoạt hoạt động gian lận. PII không giới hạn ở các giấy tờ tùy thân do chính phủ cấp hoặc dữ liệu tài chính; thông tin này cũng có thể bao gồm dấu vết kỹ thuật số giúp có thể theo dõi ai đó trực tuyến.

Trong các chương trình bảo mật mạng và quyền riêng tư dữ liệu hiện đại, PII được coi là cực kỳ nhạy cảm vì việc truy cập trái phép hoặc tiết lộ có thể dẫn đến đánh cắp danh tính, gian lận và vi phạm quy định. Một địa chỉ email trong CRM, địa chỉ nhà riêng của nhân viên trong bảng lương, mã định danh trình duyệt liên quan đến hành vi của người dùng hoặc ghi chú hỗ trợ bao gồm lịch sử tài khoản đều có thể được coi là dữ liệu cá nhân nhạy cảm trong ngữ cảnh phù hợp. Việc bảo vệ PII yêu cầu các kiểm soát truy cập mạnh mẽ, mã hóa và các chính sách rõ ràng quy định cách thu thập, lưu trữ và chia sẻ thông tin cá nhân.

Tại sao các tổ chức nên quan tâm đến PII

PII nằm ở điểm giao thoa giữa quyền riêng tư và bảo mật, tuân thủ và lòng tin. Nếu một tổ chức không thể bảo vệ dữ liệu xác định danh tính của khách hàng, nhân viên hoặc đối tác, tổ chức đó không chỉ phải đối mặt với điểm yếu về kỹ thuật mà còn là vấn đề về quản trị và tuân thủ.

Điều đó đặc biệt có liên quan trong các môi trường phân tán. Các ứng dụng đám mây, làm việc từ xa, thiết bị dùng chung, nhà thầu và nhà cung cấp bên thứ ba đều làm tăng số lượng điểm mà từ đó PII có thể bị truy cập, sao chép hoặc bị lộ.

Hướng dẫn từ Ủy ban Bảo vệ Dữ liệu Châu Âu (EPDB) nhấn mạnh một nguyên tắc tương tự: Các tổ chức phải hiểu rõ dữ liệu cá nhân nào được xử lý, được lưu trữ ở đâu và có thể di chuyển đến đâu trong mạng, cũng như ai có quyền truy cập vào dữ liệu đó để đáp ứng các yêu cầu về trách nhiệm giải trình theo GDPR. Điều đó nghe có vẻ đơn giản, nhưng trên thực tế, đây lại là điểm mà nhiều doanh nghiệp còn thiếu sót.

Việc bảo vệ PII cũng mang lại giá trị thương mại trực tiếp cho doanh nghiệp: Khách hàng mong đợi chứng minh cách bảo mật dữ liệu cá nhân trên thực tế, trong khi các cơ quan quản lý yêu cầu các biện pháp kiểm soát được lập hồ sơ, lịch sử kiểm tra và việc thực thi có thể xác minh.

Tương tự, nhân viên mong muốn dữ liệu nhân sự và bảng lương được xử lý một cách có trách nhiệm, còn khách hàng mong đợi các cam kết về quyền riêng tư được đưa ra trong thông báo pháp lý và tiếp thị được hỗ trợ bởi các biện pháp bảo vệ hoạt động thực tế.

Nhìn chung, hoạt động quản trị PII mạnh mẽ sẽ hỗ trợ tính tuân thủ, đơn giản hóa quy trình mua sắm bằng cách giải quyết các yêu cầu đánh giá rủi ro và thẩm định của nhà cung cấp, cải thiện tỷ lệ lưu giữ khách hàng và tăng cường uy tín thương hiệu.

Các rủi ro liên quan đến PII trong môi trường kỹ thuật số

Dù tổ chức hoạt động trong ngành nào, các rủi ro chính xung quanh PII hiện nay đều bắt nguồn từ sự kết hợp của quy mô, sự phân tán dữ liệu và điểm yếu của thông tin đăng nhập. Hầu hết các tổ chức sử dụng hàng chục hoặc hàng trăm dịch vụ kỹ thuật số, và mỗi dịch vụ lại tạo ra một điểm truy cập khác mà từ đó dữ liệu cá nhân có thể được lưu trữ, xem, xuất hoặc chia sẻ.

Theo báo cáo DBIR năm 2025 của Verizon, hình thức tấn công mạng chính đối với cả các SMB và các tổ chức lớn là sử dụng thông tin đăng nhập bị đánh cắp, chiếm 32% ở các tổ chức lớn và 33% ở các SMB. Việc lợi dụng thông tin đăng nhập bị đánh cắp là một trong những con đường phổ biến nhất để xâm nhập vào một tổ chức trong vài năm qua, điều này củng cố một bài học quen thuộc về việc duy trì kiểm soát truy cập nghiêm ngặt đối với thông tin nhạy cảm của doanh nghiệp, nhân viên và khách hàng.

Trên thực tế, những phát hiện gần đây từ Đài quan sát vi phạm dữ liệu của Proton làm nổi bật mức độ dữ liệu cá nhân thường xuyên bị lộ trong các sự cố thực tế. Họ tên và địa chỉ email xuất hiện trong gần 9 trên 10 vụ vi phạm, khiến chúng trở thành các điểm dữ liệu bị xâm phạm phổ biến nhất. Thông tin liên hệ, chẳng hạn như số điện thoại và địa chỉ thực, bị lộ trong 75% số vụ vi phạm, trong khi mật khẩu có liên quan đến 47% số sự cố.

Các số liệu này củng cố một thực tế quan trọng đối với các tổ chức, cho thấy ngay cả các điểm dữ liệu có vẻ như “rủi ro thấp” cũng có thể trở thành rủi ro cao khi được tổng hợp hoặc sử dụng lại trên các hệ thống.

Báo cáo cũng minh họa cách những kẻ tấn công kết hợp thông tin để tăng mức độ ảnh hưởng. Trong 42% số vụ vi phạm, cả tên và địa chỉ thực của một người đều bị lộ cùng nhau. Sự kết hợp này đặc biệt có giá trị đối với hành vi đánh cắp danh tính và các vụ lừa đảo có mục tiêu. Trong khi đó, dữ liệu cực kỳ nhạy cảm như giấy tờ tùy thân do chính phủ cấp, hồ sơ y tế và các thông tin định danh cá nhân khác xuất hiện trong 37% số sự cố, với thông tin tài chính bị lộ khoảng 5% thời gian.

Các mối đe dọa phổ biến đối với dữ liệu cá nhân

Các nguyên nhân phổ biến nhất gây lộ PII đều đã được biết rõ, nhưng điều đó không làm giảm đi mức độ thiệt hại. Các nguyên nhân này bao gồm những cuộc tấn công bên ngoài như lừa đảo, nhồi nhét thông tin đăng nhập, mã độc tống tiền và xâm phạm email doanh nghiệp (BEC).

Xâm phạm email doanh nghiệp là một loại tội phạm mạng tinh vi, có mục tiêu cao, trong đó kẻ tấn công giả danh giám đốc điều hành, nhân viên hoặc nhà cung cấp tin cậy qua email để lừa nạn nhân chuyển tiền hoặc tiết lộ thông tin nhạy cảm, khiến đây trở thành một trong những cách tinh vi nhất để khai thác các lỗ hổng hệ thống.

Dễ dàng thấy được các lỗ hổng cá nhân có thể trở thành bề mặt tấn công của tổ chức như thế nào. Các mối đe dọa này thường khai thác những điểm yếu ở cấp độ cá nhân, chẳng hạn như quyền hạn lỏng lẻo, thông tin đăng nhập dùng chung, quy trình thôi việc không nhất quán và việc sử dụng các công cụ IT bóng tối để lưu trữ dữ liệu. Mỗi mối đe dọa này đại diện cho một điểm xâm nhập tiềm năng mà các tác nhân xấu có vị thế thuận lợi để xác định và khai thác.

Điều này nhất quán với DBIR 2025, báo cáo cho thấy yếu tố con người có liên quan đến 60% số vụ vi phạm. Sai lầm là không thể tránh khỏi, vì vậy các tổ chức cần các hệ thống hoạt động trên giả định rằng mọi người sẽ mắc sai lầm và giúp giảm thiểu phạm vi ảnh hưởng khi điều đó xảy ra.

Tương tự, việc mất thiết bị và các quy trình ngừng hoạt động kém là những mối đe dọa đáng kể dẫn đến lộ dữ liệu PII. ENISA lưu ý rằng thông tin cá nhân thường gặp rủi ro khi doanh nghiệp không bảo mật máy tính xách tay, phương tiện sao lưu hoặc thiết bị lưu trữ di động. Dữ liệu đặc biệt dễ bị tổn thương khi di chuyển ra ngoài môi trường được kiểm soát, chẳng hạn như trên các thiết bị do nhân viên sở hữu theo chính sách tự mang thiết bị cá nhân (BYOD). Nên xóa sạch dữ liệu, tiêu hủy hoặc ngừng hoạt động phần cứng một cách an toàn như máy tính xách tay, ổ đĩa sao lưu hoặc thiết bị USB trước khi tái sử dụng hoặc thải bỏ, vì các thiết bị này có thể để lại dữ liệu dư thừa mà các bên không được ủy quyền có thể truy cập được.

Đây là một phần của các nghĩa vụ bảo mật trong khuôn khỏi GDPR, yêu cầu các tổ chức quản lý toàn bộ vòng đời của dữ liệu cá nhân, bao gồm lưu trữ, truyền tải và hủy bỏ. Nếu không có các quy trình rõ ràng để theo dõi thiết bị, xóa an toàn và quản lý tài sản, doanh nghiệp có thể vô tình tạo ra các con đường vi phạm dữ liệu khó phát hiện và thậm chí còn khó khắc phục hơn, đặc biệt là trong môi trường làm việc kết hợp nơi các điểm cuối được phân phối rộng rãi.

Hậu quả của việc lộ thông tin

Khi các tổ chức không bảo vệ được PII, hậu quả thường leo thang nhanh chóng. Một vụ vi phạm dữ liệu duy nhất có thể làm lộ hàng ngàn, thậm chí hàng triệu hồ sơ cá nhân, dẫn đến các cuộc điều tra của cơ quan quản lý, các hình phạt tài chính và tổn hại danh tiếng.

Đối với tổ chức, những hệ lụy thường lan rộng ra nhiều bộ phận cùng một lúc:

• Ứng phó sự cố
• Đánh giá pháp lý
• Giao tiếp với khách hàng
• Quản lý nhà cung cấp
• Bảo hiểm an ninh mạng
• Báo cáo theo quy định
• Khắc phục hậu quả

Các chi phí hiếm khi chỉ giới hạn ở việc điều tra pháp y và gửi thông báo. Nghiên cứu từ Viện Ponemon cho thấy các sự cố liên quan đến nội bộ gây tổn thất cho các tổ chức trung bình hơn 17 triệu USD mỗi năm, phản ánh toàn bộ vòng đời từ phát hiện, điều tra, ngăn chặn cho đến phục hồi.

Các số liệu này cho thấy chi phí vi phạm bị ảnh hưởng nhiều bởi sự gián đoạn hoạt động, rủi ro pháp lý và tổn thất kinh doanh tương đương với chính việc ứng phó sự cố.

Các sự cố nội bộ ác ý, trong đó nhân viên, nhà thầu hoặc đối tác cố tình lạm dụng quyền truy cập hợp pháp vào hệ thống hoặc dữ liệu, thường gây tổn thất đặc biệt lớn. Khác với các cuộc tấn công từ bên ngoài, các sự cố này thường vượt qua hoàn toàn các biện pháp phòng thủ vòng ngoài, khiến chúng khó phát hiện hơn và gây thiệt hại lớn hơn một khi dữ liệu bị lộ. Mối đe dọa nội bộ cũng có thể bao gồm các hành động sơ suất, chẳng hạn như xử lý sai thông tin đăng nhập hoặc vô tình làm lộ dữ liệu, vốn chiếm một phần đáng kể trong các vụ vi phạm thực tế.

Đây là lý do tại sao bảo vệ dữ liệu nói chung và bảo mật PII nói riêng cần được coi là một hoạt động kinh doanh liên tục thay vì một bài tập tuân thủ mang tính đối phó. Các mối đe dọa an ninh mạng lớn nhất hiện nay — lừa đảo, mật khẩu yếu, mã độc tống tiền và kỹ nghệ xã hội — rất phổ biến vì chúng khai thác các lỗ hổng vận hành, chứ không chỉ các lỗi phần mềm.

Trách nhiệm của tổ chức khi xử lý PII

Các tổ chức thu thập hoặc xử lý PII được kỳ vọng sẽ thực hiện nhiều việc hơn là chỉ tránh những sơ suất rõ ràng. Họ được kỳ vọng sẽ thiết lập các quy tắc rõ ràng cho việc thu thập, truy cập, lưu giữ, bảo vệ và phản ứng.

Nghĩa vụ pháp lý và quy định

Tiêu chuẩn pháp lý chính xác tùy thuộc vào khu vực tài phán và lĩnh vực hoạt động, nhưng các trách nhiệm cốt lõi là nhất quán:

• Là một doanh nghiệp, chỉ nên thu thập những PII cần thiết.
• Giải thích rõ lý do thu thập và mục đích sử dụng.
• Giới hạn quyền truy cập dữ liệu PII cho nhân sự được ủy quyền.
• Bảo vệ PII bằng các biện pháp bảo vệ kỹ thuật và tổ chức.
• Phản ứng phù hợp nếu PII bị xâm phạm.

Các luật bảo vệ dữ liệu quốc tế, bao gồm cả khung pháp lý GDPR, nhấn mạnh việc lập sơ đồ dữ liệu, đánh giá truy cập, giảm thiểu dữ liệu và tiêu hủy an toàn là các yêu cầu nền tảng cho quản trị dữ liệu có trách nhiệm. Điều này cũng có nghĩa là hầu hết các quy trình kinh doanh đều nằm trong phạm vi của các quy định về PII, vì tất cả đều xử lý thông tin có khả năng nhạy cảm theo cách này hay cách khác.

Ngay cả đối với các doanh nghiệp vừa và nhỏ với nguồn lực hạn chế, các nghĩa vụ này có thể nhanh chóng tích tụ lại. Họ có thể cần đáp ứng GDPR và các yêu cầu về quyền riêng tư của địa phương, bên cạnh việc đáp ứng các kỳ vọng bảo mật từ đối tác và khách hàng. Việc xây dựng một chương trình bảo mật đơn giản, có khả năng mở rộng sẽ giúp giải quyết các yêu cầu chồng chéo này mà không làm tăng thêm sự phức tạp không cần thiết.

Proton for Business cung cấp cho các chủ sở hữu và quản lý doanh nghiệp các giải pháp đã mã hóa, công cụ và tài nguyên phù hợp để giúp họ định hướng các yêu cầu chồng chéo này, mang lại các biện pháp bảo vệ thực tế giúp tăng cường kiểm soát đối với dữ liệu nhạy cảm mà không làm tăng thêm sự phức tạp không cần thiết.

Tính minh bạch và trách nhiệm giải trình

Hoạt động quản trị PII cũng phụ thuộc vào khả năng giải thích những gì đang diễn ra bên trong tổ chức. Điều đó bao gồm các thông báo rõ ràng về quyền riêng tư, quy tắc lưu giữ được lập thành văn bản, nhật ký truy cập, sự giám sát nhà cung cấp và bằng chứng cho thấy các chính sách thực sự được thực thi.

Do đó, trách nhiệm giải trình nội bộ là rất quan trọng. Mọi tổ chức nên biết ai là người đưa ra các quyết định về quyền riêng tư, ai phê duyệt quyền truy cập vào dữ liệu nhạy cảm, ai đánh giá các sự cố và ai chịu trách nhiệm quản lý quy trình ngừng hoạt động của người dùng và nhà cung cấp. Nếu không có trách nhiệm được chỉ định cụ thể, tình trạng tích tụ quyền truy cập và các quy trình ngầm thường có xu hướng xuất hiện.

Các biện pháp bảo mật giúp bảo vệ PII

Việc bảo vệ PII đòi hỏi các biện pháp kiểm soát phân lớp, chứ không phải một sản phẩm hay chính sách đơn lẻ. Các chương trình có khả năng phục hồi tốt nhất sẽ kết hợp giữa giảm thiểu dữ liệu, mã hóa, quản trị truy cập, đào tạo nhân viên, giám sát và ứng phó sự cố có kỷ luật.

Giảm thiểu và phân loại dữ liệu

Biện pháp kiểm soát đầu tiên tuy ít nổi bật nhất nhưng lại là một trong những biện pháp hiệu quả nhất: lưu giữ ít dữ liệu nhạy cảm hơn trong tổ chức. FTC khuyên các doanh nghiệp nên kiểm kê thông tin cá nhân và giảm quy mô những gì họ lưu giữ. Nếu dữ liệu không cần thiết cho mục đích kinh doanh, dữ liệu đó không nên được thu thập.

Hoạt động phân loại sẽ giúp củng cố quy trình đó. Không phải mọi dữ liệu PII đều có mức độ rủi ro như nhau. Hồ sơ lương, chi tiết tài chính của khách hàng, thông tin sức khỏe và kho thông tin đăng nhập không nên được xử lý với cùng những giả định như dữ liệu tùy chọn tiếp thị. Phân loại giúp các tổ chức điều chỉnh các biện pháp kiểm soát phù hợp với mức độ ảnh hưởng.

Mã hóa và kiểm soát truy cập

Mã hóa nên bảo vệ PII cả khi lưu trữ và khi truyền tải. Nhưng chỉ riêng mã hóa là không đủ nếu quyền truy cập quá rộng hoặc thông tin đăng nhập yếu. Các tổ chức cũng cần một mô hình đặc quyền tối thiểu, đánh giá truy cập thường xuyên, chia sẻ thông tin đăng nhập được kiểm soát, xoay vòng thông tin đăng nhập cho các hệ thống nhạy cảm và thu hồi nhanh chóng khi vai trò thay đổi.

Điều này đặc biệt quan trọng vì các vụ vi phạm hiện đại thường bắt đầu bằng thông tin đăng nhập hợp lệ thay vì xâm nhập bằng vũ lực. Nếu một người không phù hợp có thể đăng nhập thành công, việc mã hóa trên lớp lưu trữ sẽ không thể ngăn chặn sự xâm phạm.

Xác thực mạnh mẽ và thói quen sử dụng mật khẩu

Thói quen vệ sinh thông tin đăng nhập vẫn là một trong những biện pháp kiểm soát có đòn bẩy cao nhất dành cho hầu hết các tổ chức. Mật khẩu mạnh và duy nhất cùng với xác thực hai yếu tố (2FA), giám sát tình trạng mật khẩu và các chính sách chia sẻ an toàn sẽ đồng thời giải quyết các sự cố bảo mật phổ biến nhất. Proton Pass for Business, một trình quản lý mật khẩu doanh nghiệp an toàn, hỗ trợ mô hình đó với bộ lưu trữ mật khẩu đã mã hóa đầu cuối, bộ xác thực 2FA tích hợp, tính năng kiểm tra tình trạng mật khẩu, giám sát Dark Web và các chính sách nhóm cho phép quản trị viên thực thi các biện pháp thực hành tốt nhất ở quy mô lớn.

Điều đó rất quan trọng vì các thiết lập mặc định an toàn luôn mang lại hiệu quả cao hơn các lời nhắc nhở về chính sách. Nếu nhân viên được yêu cầu ghi nhớ và quản lý các thông tin đăng nhập phức tạp một cách thủ công, thì tình trạng tái sử dụng, chia sẻ không an toàn và lưu trữ không an toàn chắc chắn sẽ xuất hiện. Ngược lại, các công cụ như Proton Pass for Business nhúng các biện pháp an toàn trực tiếp vào quy trình làm việc hàng ngày bằng cách tự động tạo mật khẩu mạnh, duy nhất, lưu trữ chúng bằng mã hóa đầu cuối và cho phép chia sẻ an toàn mà không làm lộ thông tin đăng nhập.

Giám sát, cảnh báo và thử nghiệm

Khi nói đến việc giám sát quyền truy cập vào dữ liệu PII nhạy cảm, các doanh nghiệp dựa vào các biện pháp kiểm soát như nhật ký kiểm tra, cảnh báo hoạt động bất thường, theo dõi đăng nhập thất bại và đánh giá thường xuyên quyền truy cập đặc quyền. Proton Pass for Business hỗ trợ các hoạt động này bằng nhật ký hoạt động chi tiết, báo cáo sử dụng và khả năng hiển thị dựa trên IP, cho phép giám sát hoạt động mạnh mẽ hơn đồng thời đơn giản hóa việc chuẩn bị kiểm toán và báo cáo tuân thủ.

Các biện pháp kiểm soát cũng nên được kiểm tra thường xuyên. Các bài tập mô phỏng, đánh giá truy cập, kiểm tra xâm nhập và mô phỏng sự cố giúp đảm bảo rằng các chính sách có hiệu quả trong các tình huống thực tế, chứ không chỉ được ghi lại trên giấy tờ.

Đào tạo nhân viên và văn hóa nơi làm việc

Nhận thức về bảo mật vẫn rất quan trọng vì nhiều sự cố bắt đầu từ lừa đảo, trộm cắp thông tin đăng nhập hoặc xử lý dữ liệu không an toàn bởi người dùng hợp pháp. Hướng dẫn an ninh mạng của Proton đề xuất áp dụng các chính sách có thể lặp lại, thói quen chống lừa đảo và các quy trình chú trọng đến bảo mật thay vì chỉ đưa ra những lời nhắc nhở hàng năm một lần.

Một văn hóa bảo mật mạnh mẽ không có nghĩa là bảo nhân viên phải cẩn thiện hơn. Nó có nghĩa là biến con đường an toàn thành con đường dễ dàng nhất. Điều đó bao gồm các công cụ được phê duyệt, kênh báo cáo sự cố rõ ràng, các chính sách đơn giản để chia sẻ quyền truy cập và đào tạo thực tế dựa trên các tình huống thực tế.

Lưu giữ dữ liệu, xóa an toàn, quản lý nhà cung cấp và ứng phó sự cố

Lưu giữ dữ liệu là một sự cố bảo mật, chứ không chỉ là vấn đề hồ sơ. PII được lưu giữ càng lâu thì nó càng tiếp cận nhiều hệ thống và càng mang lại nhiều giá trị cho kẻ tấn công. Đó là vì theo thời gian, dữ liệu cá nhân sẽ bị sao chép vào các bản sao lưu, nền tảng phân tích, công cụ của bên thứ ba và thiết bị của nhân viên, làm mở rộng số lượng điểm truy cập tiềm năng. Điều này làm tăng bề mặt tấn công và cũng khiến các tổ chức khó theo dõi, bảo mật và xóa dữ liệu đó một cách có kiểm soát.

Vì vậy, các doanh nghiệp nên xác định các chính sách lưu giữ trong tổ chức và quy trình xóa an toàn cho cả hệ thống đang hoạt động và các bản sao lưu.

Quản lý nhà cung cấp cũng thuộc cùng phạm vi thảo luận này. Các nhà cung cấp dịch vụ thường xuyên tiếp xúc với dữ liệu bảng lương, mã định danh phân tích, hồ sơ hỗ trợ và dữ liệu xác thực. Hợp đồng phải bao gồm các kỳ vọng về bảo vệ dữ liệu, đồng thời quyền truy cập phải được giới hạn và có thể kiểm tra được.

Cuối cùng, mọi tổ chức xử lý PII đều cần có kế hoạch ứng phó sự cố bằng văn bản. Hướng dẫn ứng phó vi phạm(cửa sổ mới) của GDPR nhấn mạnh việc nhanh chóng thông báo cho các doanh nghiệp và tổ chức bị ảnh hưởng trong trường hợp phù hợp, cùng với các bước ngăn chặn và phục hồi. Tốc độ là quan trọng, nhưng sự chuẩn bị cũng vậy.

Là một chủ sở hữu hoặc quản lý doanh nghiệp, cần có các chính sách nghiêm ngặt về cách lưu trữ dữ liệu PII trong cơ sở dữ liệu một cách an toàn. Điều này thường liên quan đến một cách tiếp cận phân lớp bao gồm mã hóa khi lưu trữ, quản lý thông tin đăng nhập mạnh mẽ, kiểm soát truy cập nghiêm ngặt, ghi nhật ký kiểm tra và giám sát thường xuyên hoạt động của cơ sở dữ liệu.

Cách Proton Pass for Business hỗ trợ bảo vệ PII

Các chương trình bảo mật PII thành công khi chúng giảm thiểu rủi ro tiếp xúc thực tế mà không làm chậm tiến độ công việc của các nhóm, khi an ninh mạng là một phần của văn hóa bảo mật và quyền riêng tư chứ không phải là một ý nghĩ sau cùng. Đó là nơi mà một trình quản lý mật khẩu doanh nghiệp có thể đóng một vai trò ý nghĩa, đặc biệt là vì thông tin đăng nhập bảo vệ các cổng dẫn vào hệ thống nhân sự, công cụ tài chính, CRM, nền tảng hỗ trợ, cơ sở hạ tầng nhà phát triển và lưu trữ đám mây.

Proton Pass for Business được xây dựng xung quanh một số biện pháp kiểm soát liên quan trực tiếp đến việc bảo vệ PII. Proton Pass hoạt động dựa trên cơ chế tri thức bằng không, mã hóa đầu cuối cho mật khẩu, mã khóa, thẻ tín dụng, ghi chú và siêu dữ liệu, vì vậy ngay cả các trường nhạy cảm như tên người dùng và URL trang web cũng được mã hóa. Dịch vụ này cũng được bảo vệ bởi luật quyền riêng tư của Thụy Sĩ và được hỗ trợ bởi mô hình mã nguồn mở, được kiểm định độc lập.

Từ góc độ vận hành, gói dịch vụ dành cho doanh nghiệp bổ sung tính năng quản trị tập trung, nhật ký kiểm tra, kiểm tra tình trạng mật khẩu, giám sát dark web, chia sẻ kho và mục an toàn, các chính sách nhóm, cũng như hỗ trợ SSO và SCIM cho môi trường doanh nghiệp lớn. Proton Pass for Business hỗ trợ các tổ chức không chỉ trong việc lưu trữ mật khẩu cá nhân mà còn cả việc quản trị truy cập trên toàn công ty.

Các thực hành bảo mật thông tin đăng nhập mạnh mẽ là một trong những cách tốt nhất để giảm thiểu rủi ro lộ PII. Khi các nhóm có thể tạo và lưu trữ các thông tin đăng nhập duy nhất, chia sẻ chúng một cách an toàn với khả năng tự động điền, giám sát các mật khẩu yếu hoặc được sử dụng lại, và thu hồi quyền truy cập nhanh chóng trong quy trình thôi việc, điều này sẽ giúp giảm thiểu khả năng một sự cố thông tin đăng nhập trở thành sự cố quyền riêng tư.

Proton Pass for Business cung cấp sự giám sát của quản trị viên trung tâm, thực thi chính sách, chia sẻ an toàn và khả năng hiển thị các thay đổi cũng như sự kiện. Proton Pass cũng có thể hỗ trợ các thực hành chống lừa đảo và bảo vệ danh tính rộng rãi hơn. Ví dụ: các biệt danh hide-my-email có thể giúp người dùng hạn chế việc lộ địa chỉ thực, điều này có thể giảm bớt áp lực thư rác và lừa đảo trong một số quy trình làm việc.

Đối với các tổ chức xử lý hoạt động hỗ trợ khách hàng, tài khoản thử nghiệm và đăng ký dựa trên vai trò, điều đó có thể hữu ích như một phần của chiến lược vệ sinh danh tính lớn hơn.

Tuy nhiên, không có trình quản lý mật khẩu nào, bao gồm cả Proton Pass, tự giải quyết được việc bảo vệ PII. Một trình quản lý mật khẩu sẽ không thay thế cho sơ đồ dữ liệu, chính sách lưu giữ, DLP, bảo mật điểm cuối hay công việc tuân thủ pháp lý. Nhưng nó có thể giảm thiểu một trong những con đường phổ biến nhất dẫn đến xâm phạm PII: việc xử lý thông tin đăng nhập không nhất quán giữa các cá nhân, ứng dụng và đội ngũ.

Các câu hỏi thường gặp về PII