Các sự cố truy cập hiếm khi phát sinh từ một biến cố lớn. Thông thường, chúng tích tụ dần qua những ngoại lệ nhỏ có vẻ hợp lý tại thời điểm đó: một thành viên trong nhóm có thể chuyển sang vai trò mới nhưng vẫn giữ quyền truy cập từ vai trò trước đó. Một thông tin đăng nhập chia sẻ có thể được tạo ra để giải quyết vấn đề khẩn cấp, rồi tiếp tục được truyền tay nhau sau khi tình huống khẩn cấp đã qua.
Những sự kiện này diễn ra nhanh chóng tại các doanh nghiệp nhỏ và vừa (SMB). Đội ngũ nhân sự tinh gọn, trách nhiệm thường chồng chéo lên nhau, và quyền truy cập được cấp chỉ để công việc tiếp tục trôi chảy. Trong những hoàn cảnh này, doanh nghiệp sẽ không còn nắm rõ ai có thể truy cập vào hệ thống, thông tin đăng nhập, dữ liệu và tài khoản nhà cung cấp nào, cũng như quyền truy cập đó có còn hợp lý hay không.
Khi tầm kiểm soát đó bị lỏng lẻo, việc khoanh vùng và khôi phục sau sự cố sẽ trở nên khó khăn hơn. Một tài khoản bị xâm phạm có thể vẫn có quyền truy cập vào các hệ thống không còn cần thiết, và thông tin đăng nhập chia sẻ có thể gây khó khăn cho việc truy vết người đã thực hiện hành động.
Nguyên tắc quyền hạn tối thiểu cung cấp cho doanh nghiệp phương thức để ngăn chặn tình trạng lạm dụng quyền truy cập. Bài viết này sẽ tìm hiểu nguyên tắc quyền hạn tối thiểu là gì, cách triển khai trong doanh nghiệp và hướng dẫn thực tế để bắt đầu.
Nguyên tắc quyền hạn tối thiểu là gì?
Tại sao quyền truy cập quá hạn mức lại là mặc định ở nhiều SMB?
Rủi ro từ việc kiểm soát truy cập lỏng lẻo
Cách triển khai nguyên tắc quyền hạn tối thiểu
Danh sách kiểm tra thực tế về quyền hạn tối thiểu dành cho SMB
Áp dụng nguyên tắc quyền hạn tối thiểu dễ dàng hơn với Proton Pass for Business
Nguyên tắc quyền hạn tối thiểu là gì?
Nguyên tắc quyền hạn tối thiểu là hoạt động giới hạn quyền truy cập ở mức tối thiểu cần thiết để thực hiện một vai trò hoặc nhiệm vụ cụ thể. Các thành viên trong nhóm, hệ thống và ứng dụng chỉ được phép truy cập những gì họ cần, trong khoảng thời gian cần thiết và không hơn.
Nguyên tắc này đồng nghĩa với việc các quyết định truy cập phải bám sát công việc thực tế cần thực hiện. Logic tương tự cũng áp dụng cho nhân viên, nhà thầu, quản trị viên, tài khoản dịch vụ, tích hợp của bên thứ ba và quy trình làm việc tự động: mỗi đối tượng chỉ nên có các quyền hạn cần thiết cho vai trò hoặc nhiệm vụ của mình.
Điều này cũng áp dụng cho việc chia sẻ mật khẩu. Một thành viên trong nhóm cần truy cập vào một tài khoản khách hàng không được phép tự động sử dụng các thông tin đăng nhập tài chính, thông tin đăng nhập cơ sở hạ tầng, tài khoản quản trị viên nhân sự hoặc các thông tin đăng nhập kinh doanh nhạy cảm khác không liên quan đến công việc của họ.
Tại sao quyền truy cập quá hạn mức lại là mặc định ở nhiều SMB?
Hầu hết doanh nghiệp không cố ý tạo ra môi trường quá hạn mức quyền hạn. Họ tạo ra chúng một cách dần dần. Khi nhân viên mới gia nhập, họ được cấp quyền truy cập vào các hệ thống cần thiết. Dần dần, họ được cấp thêm quyền truy cập cho các dự án cụ thể hoặc để gánh vác công việc thay cho thành viên khác trong nhóm. Quyền truy cập đó không bao giờ bị xóa bỏ và ngày càng mở rộng ra ngoài mức cần thiết cho công việc.
Điều tương tự cũng xảy ra với thông tin đăng nhập chia sẻ. Một mật khẩu được chia sẻ một lần vì sự thuận tiện, sau đó trở thành một phần cố định trong quy trình làm việc của ai đó.
Xu hướng này thường xuất hiện vì một vài lý do phổ biến sau:
- Tốc độ có vẻ quan trọng hơn cấu trúc. Khi các đội ngũ có quy mô nhỏ và bận rộn, việc cấp cho ai đó quyền truy cập rộng hơn sẽ mang lại cảm giác nhanh hơn so với việc thiết lập chính xác các quyền hạn họ cần.
- Các vai trò không phải lúc nào cũng được xác định rõ ràng. Nếu trách nhiệm thay đổi theo từng tuần, các quyết định truy cập thường cũng trở nên thiếu chính thức.
- Việc kiểm soát thông tin đăng nhập còn lỏng lẻo khi thay đổi vai trò và cho nhân viên thôi việc. Nếu một thành viên rời đi, chuyển nhóm hoặc hoàn thành hợp đồng nhưng mật khẩu chia sẻ của họ không được đổi mới, quyền truy cập kho của họ không được xem xét lại, thì các quyền hạn cũ vẫn duy trì hoạt động.
Không một quyết định nhỏ nào mang lại cảm giác nguy hiểm tại thời điểm đó, nhưng qua nhiều tuần, nhiều tháng và nhiều năm, việc quá hạn mức quyền hạn sẽ tạo ra rủi ro đáng kể trong một tổ chức.
Rủi ro từ việc kiểm soát truy cập lỏng lẻo
Quyền truy cập quá hạn mức tạo ra rủi ro về bảo mật, vận hành và tuân thủ. Một số rủi ro phổ biến nhất bao gồm:
Sự dịch chuyển ngang
Nếu kẻ tấn công có được quyền truy cập vào một tài khoản, các quyền hạn quá mức sẽ cho phép chúng thâm nhập sâu hơn vào môi trường hệ thống. Thay vì chỉ xâm phạm một hệ thống, chúng có thể tiếp cận được nhiều hệ thống khác.
Rò rỉ dữ liệu
Nếu quyền truy cập vào hồ sơ khách hàng, tài liệu nội bộ hoặc hệ thống tài chính không được giới hạn cho những người thực sự cần, nhiều tài khoản hơn sẽ trở thành các điểm xâm nhập tiềm năng vào dữ liệu đó. Một thông tin đăng nhập bị xâm phạm có thể làm lộ thông tin mà lẽ ra người đó không thể tiếp cận, và một sai lầm đơn giản như chia sẻ sai tệp hoặc thay đổi sai cài đặt có thể gây ảnh hưởng không đáng có đến các hệ thống nhạy cảm.
Vô tình xóa hoặc cấu hình sai
Người có quyền quản trị viên không cần thiết có thể thay đổi cài đặt, xóa dữ liệu hoặc vô tình làm lộ hệ thống. Quyền hạn tối thiểu giúp giảm thiểu phạm vi ảnh hưởng của những lỗi đó.
Mối đe dọa từ bên trong
Mối đe dọa từ bên trong có nhiều hình thức khác nhau. Đó có thể là những nỗ lực cố ý xâm nhập mạng của tin tặc, hành vi đánh cắp dữ liệu của những nhân viên bất mãn, hoặc phổ biến nhất là những sai sót vô tình. Hầu hết nhân viên không có ý đồ xấu, nhưng quyền truy cập rộng rãi sẽ làm tăng cơ hội lạm dụng, chia sẻ quá mức hoặc xử lý bất cẩn các thông tin nhạy cảm.
Các vấn đề về quản trị
Nếu doanh nghiệp không thể giải thích rõ ràng ai có quyền truy cập vào nội dung gì, tại sao họ có quyền đó và khi nào quyền truy cập đó được xem xét lại hoặc xóa bỏ, việc điều tra sự cố, hoàn thành các đánh giá bảo mật, phản hồi kiểm toán hoặc chứng minh các biện pháp kiểm soát truy cập đang hoạt động bình thường sẽ trở nên khó khăn hơn.
Cách triển khai nguyên tắc quyền hạn tối thiểu
Đối với hầu hết các SMB, quyền hạn tối thiểu không phải là thứ có thể triển khai ngay lập tức. Đây là một quá trình được xây dựng bằng cách làm cho quyền truy cập có mục đích hơn, hạn chế hơn và dễ xem xét hơn theo thời gian.
Sử dụng kiểm soát truy cập dựa trên vai trò
Một trong những cách thực tế nhất để áp dụng quyền hạn tối thiểu là thông qua kiểm soát truy cập dựa trên vai trò. Phương pháp này giúp xác định các vai trò dựa trên trách nhiệm, chẳng hạn như tài chính, nhân sự, tiếp thị, hỗ trợ khách hàng, quản trị viên CNTT hoặc nhà thầu bên ngoài. Sau đó, quyền truy cập được chỉ định theo các vai trò đó thay vì xử lý riêng lẻ từng quyền hạn. Kiểm soát truy cập dựa trên vai trò không hoàn toàn giống với quyền hạn tối thiểu. Quyền hạn tối thiểu là nguyên tắc. Kiểm soát truy cập dựa trên vai trò là một trong những cách thực tế nhất để áp dụng nguyên tắc đó một cách nhất quán.
Tách biệt quyền truy cập tiêu chuẩn và quyền truy cập đặc quyền
Một trong những sai lầm phổ biến nhất của các doanh nghiệp là cho phép sử dụng quyền quản trị viên cho các công việc thường ngày.
Quyền truy cập đặc quyền cần được xử lý khác với quyền truy cập thường nhật.
Nếu một cá nhân cần thêm quyền hạn, quyền truy cập đó phải gắn liền với một trách nhiệm cụ thể và được giới hạn tối đa có thể. Mục tiêu là tránh cấp quyền truy cập cấp cao vĩnh viễn cho nhân sự chỉ vì họ thỉnh thoảng mới cần đến.
Xem xét quyền truy cập thường xuyên
Quyền hạn tối thiểu chỉ phát huy tác dụng khi quyền truy cập phản ánh đúng trách nhiệm hiện tại của các thành viên trong nhóm. Đó là lý do tại sao việc xem xét quyền truy cập cần phải là một phần của quy trình thường ngày chứ không phải nỗ lực một lần.
Một đợt xem xét đơn giản hằng tháng hoặc hằng quý có thể giúp phát hiện các quyền hạn đã lỗi thời, quyền truy cập hệ thống không cần thiết, các tích hợp không hoạt động hoặc các nhà thầu không còn cần kết nối nữa. Các đợt xem xét này giúp đưa ra ánh sáng các rủi ro có thể đã âm thầm tồn tại trong nhiều tháng mà không bị phát hiện.
Đảm bảo quyền truy cập tạm thời thực sự là tạm thời
Công việc ngắn hạn không nên dẫn đến quyền truy cập dài hạn. Các nhà thầu, cố vấn, đại lý và cộng tác viên theo dự án chỉ nên có quyền truy cập trong thời gian công việc yêu cầu.
Quyền truy cập tạm thời cần một người chịu trách nhiệm giám sát, cũng như mục đích rõ ràng và ngày kết thúc. Nếu không có điều đó, các tài khoản, quyền hạn kho và thông tin đăng nhập chia sẻ có thể vẫn hoạt động đơn giản vì không có ai chịu trách nhiệm xem xét và xóa bỏ chúng.
Xử lý quy trình thôi việc như một quy trình bảo mật
Quyền hạn tối thiểu không kết thúc khi một nhân sự rời công ty hoặc thay đổi vai trò.
Quy trình thôi việc nên bao gồm việc xóa quyền truy cập vào tất cả các tài khoản, thu hồi quyền hạn kho và xem xét liệu có cần thay đổi các thông tin đăng nhập nhạy cảm hay không. Khi việc xóa quyền truy cập bị chậm trễ hoặc xử lý không nhất quán, doanh nghiệp sẽ tạo ra rủi ro rò rỉ không đáng có rất lâu sau khi nhu cầu ban đầu đã không còn.
Đưa thông tin đăng nhập vào mô hình truy cập
Quyền hạn tối thiểu không chỉ dừng lại ở các quyền hạn hệ thống. Nguyên tắc này cũng áp dụng cho các thông tin đăng nhập giúp mở khóa doanh nghiệp.
Mật khẩu, mã khóa, mã khôi phục, đăng nhập quản trị viên và tài khoản chia sẻ đều phải được xử lý như các tài sản được kiểm soát. Nếu việc kiểm soát thông tin đăng nhập vẫn được xử lý một cách không chính thức, thì quyền hạn tối thiểu mới chỉ được áp dụng một nửa.
Danh sách kiểm tra thực tế về quyền hạn tối thiểu dành cho SMB
Cam kết đưa quyền hạn tối thiểu vào thực tiễn tại doanh nghiệp là việc dễ đồng thuận nhưng lại phức tạp khi thực tế triển khai. Việc này thậm chí còn phức tạp hơn đối với các SMB có thời gian và tài nguyên hạn chế.
Nhưng đừng lo lắng: việc thiết kế lại hệ thống truy cập trên diện rộng nhìn chung là không cần thiết đối với hầu hết SMB. Thay vào đó, tổ chức nên bắt đầu bằng cách đưa ra một vài quyết định rõ ràng về việc ai thực sự cần truy cập vào nội dung gì, những rủi ro rò rỉ không đáng có đang tồn tại ở đâu và các quyền hạn đó sẽ được xem xét như thế nào trong tương lai.
Danh sách kiểm tra dưới đây được thiết kế để giúp doanh nghiệp bắt đầu đưa ra các quyết định và xây dựng một kế hoạch thực tế để triển khai quyền hạn tối thiểu.
- Xác định các hệ thống nhạy cảm nhất, các tài khoản và thông tin đăng nhập được chia sẻ.
- Xác định các vai trò cốt lõi và quyền truy cập tối thiểu mà mỗi vai trò yêu cầu.
- Sắp xếp quyền truy cập thông tin đăng nhập theo nhóm, vai trò hoặc chức năng.
- Xóa các quyền hạn đã lỗi thời, được kế thừa hoặc không cần thiết.
- Thiết lập quy trình rõ ràng đối với quyền truy cập tạm thời và của nhà thầu.
- Xem xét quyền truy cập theo một lịch trình nhất quán.
- Thắt chặt quy trình thôi việc để quyền truy cập được thu hồi một cách nhanh chóng và đáng tin cậy.
- Đổi mới các thông tin đăng nhập quan trọng sau khi nhân sự rời đi hoặc thay đổi vai trò.
- Tách biệt danh tính quản trị với các tài khoản người dùng hằng ngày.
- Chỉ định trách nhiệm sở hữu rõ ràng đối với các quyết định truy cập.
Điều làm nên tính hiệu quả của một danh sách kiểm tra như vậy không nằm ở mức độ phức tạp, mà là việc doanh nghiệp có tuân thủ nó một cách nhất quán hay không. Đối với nhiều SMB, cải tiến có ý nghĩa sẽ đến từ việc thay thế các thói quen truy cập không chính thức bằng một quy trình dễ lặp lại, dễ xem xét và dễ duy trì hơn.
Áp dụng nguyên tắc quyền hạn tối thiểu dễ dàng hơn với Proton Pass for Business
Nguyên tắc quyền hạn tối thiểu thường bị phá vỡ xung quanh các thông tin đăng nhập. Ví dụ, một doanh nghiệp có thể đã hoạch định rõ ràng các mức độ truy cập phù hợp trên giấy tờ, nhưng vẫn chia sẻ mật khẩu mà không có các biện pháp kiểm soát thích hợp.
Các đội ngũ có thể lưu trữ chi tiết đăng nhập trong bảng tính, các cuộc hội thoại, ghi chú hoặc tài liệu nội bộ. Các tài khoản chia sẻ có thể được truyền tay nhau một cách thiếu chính thức mà hầu như không có khả năng hiển thị và kiểm soát. Nhân viên thôi việc có thể rời đi với quyền truy cập lâu dài vào các thông tin đăng nhập mà doanh nghiệp chưa từng đổi mới. Đây đều là những vấn đề về truy cập có thể giải quyết được bằng phương pháp tiếp cận quyền hạn tối thiểu được quản lý thông qua việc truy cập thông tin đăng nhập hiệu quả.
Tại nhiều công ty, việc truy cập thông tin đăng nhập vẫn phụ thuộc vào các lối tắt rất khó quản lý. Mật khẩu được gửi qua các thư, lưu trữ trong tài liệu, truyền qua lại giữa các nhóm hoặc vẫn khả dụng sau khi nhu cầu ban đầu đã kết thúc.
Theo thời gian, doanh nghiệp dễ dàng mất đi khả năng kiểm soát việc ai có thể sử dụng những thông tin đăng nhập nào, quyền truy cập đó có còn hợp lý hay không, và những gì cần thu hồi hoặc đổi mới khi có ai đó thay đổi vai trò hoặc rời đi.
Một trình quản lý mật khẩu dành cho doanh nghiệp cung cấp khả năng quản lý cả thông tin đăng nhập lẫn quyền truy cập cho các đội ngũ thuộc mọi quy mô. Thay vì coi thông tin đăng nhập là thứ mà các nhóm tự quản lý một cách tùy tiện, doanh nghiệp có thể sử dụng một công cụ chuyên dụng để tổ chức, chia sẻ và thu hồi quyền truy cập. Thông tin đăng nhập có thể được phân nhóm theo đội ngũ, vai trò hoặc chức năng, các thông tin đăng nhập nhạy cảm sẽ tiếp cận được với ít người hơn, và quyền truy cập có thể được điều chỉnh nhanh chóng hơn nhiều khi trách nhiệm thay đổi.
Proton Pass for Business hỗ trợ nỗ lực đó bằng cách giúp các tổ chức giảm thiểu tình trạng phân tán thông tin đăng nhập, thắt chặt quyền truy cập xung quanh các đăng nhập được chia sẻ và giúp nguyên tắc quyền hạn tối thiểu dễ thực thi hơn trong các hoạt động hằng ngày. Bằng cách tạo các nhóm, quản trị viên cũng có thể quản lý việc chia sẻ ở cấp độ nhóm, giúp dễ dàng cấp cho một nhóm quyền truy cập vào các kho phù hợp và xóa quyền truy cập đó khi nhu cầu kinh doanh thay đổi. Nếu tổ chức đã sẵn sàng áp dụng nguyên tắc quyền hạn tối thiểu, hãy dùng thử Proton Pass miễn phí hoặc liên hệ với đội ngũ bán hàng.
