Phần khó khăn nhất của một sự cố bảo mật thường xảy ra sau khi sự cố đã kết thúc: khi doanh nghiệp phải giải thích chuyện gì đã xảy ra, thời điểm phát hiện, dữ liệu nào bị ảnh hưởng, ai bị tác động và vì sao một số quyết định được đưa ra.
Với nhiều doanh nghiệp vừa và nhỏ (SMB), những hồ sơ này không tồn tại ở dạng đầy đủ. Các chi tiết có thể nằm rải rác trong tin nhắn trò chuyện, hộp thư đến, phiếu yêu cầu hỗ trợ, ảnh chụp màn hình và trong ký ức của các thành viên trong nhóm. Doanh nghiệp vẫn trụ được trong sự cố nhờ những hồ sơ chắp vá này, nhưng chúng trở thành vấn đề khi cơ quan giám sát, công ty bảo hiểm, khách hàng hoặc thành viên hội đồng quản trị yêu cầu một dòng thời gian rõ ràng.
Mọi doanh nghiệp, bất kể quy mô, đều cần một nhật ký sự cố bảo mật đầy đủ. Nhật ký này phải là một nguồn thông tin duy nhất đáng tin cậy để ghi lại chuyện gì đã xảy ra, sự cố đã được xử lý thế nào và bằng chứng nào hỗ trợ các quyết định được đưa ra trong suốt quá trình.
Hồ sơ này vẫn có giá trị ngay cả khi không cần báo cáo sự cố. Dưới đây là lý do nhật ký sự cố bảo mật hữu ích cho doanh nghiệp và cách tạo nhật ký của riêng mình.
Vì sao nhật ký sự cố bảo mật quan trọng
Nhật ký sự cố so với kế hoạch ứng phó sự cố
Nhật ký sự cố bảo mật nên bao gồm những gì
Mẫu nhật ký sự cố đơn giản cho doanh nghiệp vừa và nhỏ
Cách ghi lại các quyết định thông báo
Cơ quan giám sát kỳ vọng gì ở nhật ký sự cố bảo mật
Nhật ký truy cập thông tin đăng nhập
Vì sao nhật ký sự cố bảo mật quan trọng
Nhật ký sự cố bảo mật tạo ra trách nhiệm giải trình vào thời điểm doanh nghiệp dễ mất dấu các chi tiết nhất. Trong một sự cố, các hành động diễn ra nhanh chóng: mật khẩu được đặt lại, tài khoản bị vô hiệu hóa, nhà cung cấp IT được liên hệ, dữ liệu khách hàng được kiểm tra và ban lãnh đạo được thông báo. Những bước đó có thể đúng là điều doanh nghiệp cần vào thời điểm đó, nhưng sẽ khó giải thích hơn nhiều về sau nếu không ai ghi lại mỗi hành động xảy ra khi nào, ai phê duyệt và bằng chứng nào hỗ trợ quyết định.
Với các doanh nghiệp có trụ sở tại châu Âu, đây không chỉ là thông lệ tốt. Theo Quy định chung về bảo vệ dữ liệu (GDPR), ở cả Vương quốc Anh và EU, các vụ vi phạm dữ liệu cá nhân cần được đánh giá và một số phải được báo cáo cho cơ quan giám sát tương ứng.
Tại Vương quốc Anh, hướng dẫn báo cáo vi phạm(cửa sổ mới) của ICO giải thích rằng các tổ chức phải đánh giá rủi ro có thể xảy ra đối với quyền và tự do của con người và thông báo cho ICO khi rủi ro đó có khả năng xảy ra. Điều 33 cũng yêu cầu các bên kiểm soát ghi lại các vụ vi phạm dữ liệu cá nhân, bao gồm các tình tiết của vi phạm, hậu quả và hành động khắc phục đã thực hiện. Các yêu cầu tương tự cũng được áp dụng theo GDPR của EU.
Ví dụ, ICO không kỳ vọng mọi doanh nghiệp vừa và nhỏ đều có hệ thống cấp doanh nghiệp, nhưng họ kỳ vọng có hồ sơ phù hợp. Khung ứng phó và giám sát vi phạm của ICO cho biết các tổ chức nên có quy trình để đảm bảo các sự cố và vi phạm dữ liệu cá nhân được phát hiện, quản lý và ghi lại phù hợp. Điều đó có nghĩa là không nên chỉ tạo nhật ký sự cố khi một vi phạm nghiêm trọng đã xảy ra. Nhật ký phải là một phần của quy trình ứng phó thông thường.
Hồ sơ tốt cũng hỗ trợ yêu cầu bồi thường bảo hiểm. Các công ty bảo hiểm mạng có thể yêu cầu bằng chứng về thời điểm phát hiện sự cố, những bước ngăn chặn nào đã được thực hiện, tài khoản nào bị ảnh hưởng và liệu doanh nghiệp có tuân theo quy trình ứng phó sự cố của mình hay không. Một nhật ký được lưu giữ tốt có thể cho thấy doanh nghiệp đã hành động kịp thời và nhất quán.
Nó cũng giúp công ty học hỏi. Ký ức và hồ sơ truyền miệng không đáng tin cậy, nhưng một hồ sơ cho thấy sự cố bắt đầu từ mật khẩu được dùng lại, thiếu xác thực đa yếu tố (MFA), quyền truy cập của nhà cung cấp hoặc việc thu hồi quyền truy cập chậm trễ sẽ cho doanh nghiệp một điều cụ thể cần khắc phục và định hướng rõ ràng hơn để tăng cường bảo mật theo thời gian.
Nhật ký sự cố so với kế hoạch ứng phó sự cố
Nhật ký sự cố bảo mật và kế hoạch ứng phó sự cố có liên quan đến nhau, nhưng chúng không phải là cùng một tài liệu.
Một kế hoạch ứng phó sự cố giải thích doanh nghiệp nên làm gì khi có sự cố xảy ra. Kế hoạch này phân công vai trò, tuyến leo thang, bước ngăn chặn, trách nhiệm truyền thông và quy trình khôi phục. Nhật ký sự cố ghi lại điều thực sự đã xảy ra. Đó là dòng thời gian, dấu vết bằng chứng, hồ sơ quyết định và tệp theo dõi cho một sự kiện cụ thể.
Sự khác biệt đó quan trọng vì ngay cả một kế hoạch tốt cũng có thể thất bại nếu không có tài liệu. Doanh nghiệp có thể làm theo đúng các bước nhưng vẫn khó chứng minh điều đó về sau. Nhật ký phải giúp trả lời những câu hỏi thực tế: khi nào phát hiện, ai hành động, đã ngăn chặn được gì, dữ liệu nào gặp rủi ro, đã quyết định gì và điều gì thay đổi sau đó?
| Kế hoạch ứng phó sự cố: Doanh nghiệp nên làm gì | Nhật ký sự cố bảo mật: Điều thực sự đã xảy ra |
| Ai lãnh đạo ứng phó Ai liên hệ với IT, pháp lý, bảo hiểm hoặc cơ quan quản lý Cách ngăn chặn, khôi phục và truyền thông | Thời điểm phát hiện sự cố Hệ thống và dữ liệu nào bị ảnh hưởng Những hành động nào đã được thực hiện, bởi ai và khi nào |
Nhật ký sự cố bảo mật nên bao gồm những gì
Một nhật ký sự cố hữu ích cần đủ nhất quán để doanh nghiệp có thể tái dựng sự kiện về sau và giải thích các quyết định được đưa ra trong quá trình ứng phó.
Ngày và thời điểm phát hiện
Ghi lại thời điểm doanh nghiệp lần đầu biết về sự cố, ai đã phát hiện và cách phát hiện. Nếu thời gian chỉ gần đúng, hãy đánh dấu là gần đúng. Thời điểm phát hiện quan trọng vì thời hạn báo cáo theo GDPR và yêu cầu bảo hiểm thường phụ thuộc vào thời điểm doanh nghiệp biết về sự cố.
Bản chất của sự cố
Mô tả điều đã xảy ra bằng ngôn ngữ đơn giản. Tránh các nhãn mơ hồ như “sự cố bảo mật” hoặc “vi phạm có thể xảy ra” mà không có ngữ cảnh. Nhật ký phải giải thích hệ thống nào bị ảnh hưởng và liệu sự cố có liên quan đến thông tin đăng nhập, email, tệp, dữ liệu khách hàng, hệ thống thanh toán, điểm cuối hay quyền truy cập của bên thứ ba hay không.
Dữ liệu liên quan
Nếu dữ liệu cá nhân có thể đã bị ảnh hưởng, hãy ghi lại loại dữ liệu liên quan: tên, địa chỉ email, số điện thoại, địa chỉ, chi tiết tài khoản, thông tin tài chính, hồ sơ nhân viên, thông tin liên lạc với khách hàng, thông tin đăng nhập hoặc bất kỳ danh mục liên quan nào khác. Ước tính số cá nhân có thể bị ảnh hưởng và nêu rõ con số đã được xác nhận hay vẫn đang được điều tra.
Nguyên nhân có thể
Ghi lại nguyên nhân đã biết hoặc bị nghi ngờ, ngay cả khi quá trình điều tra vẫn đang tiếp diễn. Khi có chi tiết mới, nhật ký có thể được cập nhật từ “chưa rõ nguyên nhân” thành “email lừa đảo dẫn đến xâm phạm thông tin đăng nhập” hoặc “tài khoản của nhà thầu cũ vẫn còn hoạt động”. Nhật ký phải cho thấy hiểu biết của doanh nghiệp đã thay đổi theo thời gian như thế nào.
Hành động ngăn chặn tức thời
Ghi lại những gì đã được thực hiện để hạn chế thiệt hại. Có thể bao gồm đặt lại mật khẩu, thu hồi phiên, áp dụng MFA, đình chỉ tài khoản, xóa quy tắc hộp thư, cô lập thiết bị, xóa quyền truy cập của nhà cung cấp, thay đổi tường lửa hoặc tạm dừng dịch vụ. Khi có thể, hãy ghi kèm người phụ trách và dấu thời gian cho mỗi hành động.
Quyết định thông báo
Ghi lại việc doanh nghiệp có thông báo cho cơ quan giám sát có liên quan hay không, chẳng hạn ICO ở Vương quốc Anh hoặc cơ quan bảo vệ dữ liệu quốc gia ở nơi khác trong EU, cũng như các cá nhân bị ảnh hưởng, khách hàng, nhà cung cấp, công ty bảo hiểm, cố vấn pháp lý hoặc cơ quan thực thi pháp luật. Nếu quyết định là không thông báo, hãy ghi lại lý do. Lời giải thích đó thường quan trọng không kém gì bản thân thông báo.
Các bước khắc phục và dòng thời gian
Ngăn chặn giải quyết sự cố trước mắt. Khắc phục làm giảm khả năng sự cố tương tự xảy ra lần nữa. Ghi lại các hành động tiếp theo như áp dụng MFA, xóa thông tin đăng nhập dùng chung, cập nhật chính sách truy cập, cải thiện quy trình thu hồi quyền truy cập, sửa lỗi cấu hình hoặc thay đổi cách bảo vệ bản sao lưu.
Bài học kinh nghiệm
Kết thúc bằng những gì doanh nghiệp đã học được và những gì sẽ thay đổi. Không nên viết theo hướng đổ lỗi. Phần này phải xác định điểm yếu, cải tiến cần thiết và ai chịu trách nhiệm theo dõi.
Mẫu nhật ký sự cố đơn giản cho doanh nghiệp vừa và nhỏ
Không nhất thiết phải dùng phần mềm chuyên dụng để ghi lại sự cố. Bảng tính, biểu mẫu nội bộ bảo mật, hệ thống quản lý phiếu yêu cầu hoặc sổ đăng ký dùng chung đều có thể dùng được nếu quyền truy cập được kiểm soát và các mục nhập được giữ nhất quán.
Một nhật ký sự cố hiệu quả nên bao gồm các trường sau:
- ID sự cố: Một số tham chiếu duy nhất.
- Ngày và thời điểm phát hiện: Thời điểm doanh nghiệp biết về sự cố.
- Báo cáo bởi: Nhân viên, nhà cung cấp, khách hàng, nhà thầu, cảnh báo giám sát hoặc bên ngoài.
- Loại sự cố: lừa đảo, phần mềm độc hại, xâm phạm thông tin đăng nhập, mất dữ liệu, truy cập trái phép, ransomware, sự cố nhà cung cấp, mất thiết bị, email gửi nhầm, hoặc khác.
- Tóm tắt: Điều gì đã xảy ra, được viết bằng ngôn ngữ đơn giản.
- Hệ thống bị ảnh hưởng: ứng dụng, tài khoản, thiết bị, cơ sở dữ liệu, hộp thư đến, hoặc dịch vụ bên thứ ba có liên quan.
- Dữ liệu liên quan: Liệu dữ liệu cá nhân có bị ảnh hưởng không, loại dữ liệu nào và có bao nhiêu người có thể bị ảnh hưởng.
- Nguyên nhân có thể: Đã biết, bị nghi ngờ hoặc đang được điều tra.
- Hành động ngăn chặn: Những gì đã được thực hiện ngay lập tức.
- Quyết định thông báo: Cơ quan giám sát, cá nhân, khách hàng, công ty bảo hiểm hoặc không thông báo kèm lý do.
- Liên kết bằng chứng: ảnh chụp màn hình, phiếu yêu cầu, nhật ký, email, hồ sơ truy cập, tệp xuất hoặc báo cáo nhà cung cấp.
- Hành động khắc phục: Các bước được thực hiện sau khi ngăn chặn.
- Người phụ trách: Người chịu trách nhiệm theo dõi.
- Trạng thái: Đang mở, đang giám sát, đã ngăn chặn, đã giải quyết, đã đóng.
- Bài học kinh nghiệm: Những gì cần thay đổi.
Cách ghi lại quyết định thông báo
Các quyết định thông báo cần có không gian riêng trong nhật ký sự cố bảo mật vì chúng thường được xem xét lại sau sự cố.
Theo cả GDPR của Vương quốc Anh và EU, các tổ chức phải đánh giá rủi ro có thể xảy ra đối với quyền và tự do của con người khi xảy ra vi phạm dữ liệu cá nhân. Nếu có rủi ro, cơ quan giám sát phải được thông báo càng sớm càng tốt và, nếu khả thi, trong vòng 72 giờ, ICO(cửa sổ mới) ở Vương quốc Anh, cơ quan bảo vệ dữ liệu quốc gia ở mỗi quốc gia thành viên EU. Nếu rủi ro cao, những cá nhân bị ảnh hưởng cũng phải được thông báo mà không chậm trễ quá mức. Các ngưỡng và thời hạn đều giống nhau ở cả hai bên; chỉ có cơ quan thay đổi.
Một nhật ký sự cố tốt phải hiển thị rằng doanh nghiệp đã thực hiện đánh giá này. Nhật ký cần ghi lại liệu dữ liệu cá nhân có liên quan không, loại tổn hại nào có thể xảy ra, những biện pháp bảo vệ nào đã được áp dụng và tại sao doanh nghiệp quyết định báo cáo hoặc không báo cáo.
Ví dụ, một sự cố liên quan đến mật khẩu quản trị viên bị lộ có thể không tiết lộ ngay liệu dữ liệu cá nhân có bị truy cập hay không. Nhật ký cần phản ánh sự không chắc chắn đó. Nhật ký có thể ghi lại mối lo ngại ban đầu, các bước điều tra, việc xem xét hoạt động tài khoản và kết luận cuối cùng khi có bằng chứng.
Tại thời điểm này trong quy trình, nhiều doanh nghiệp tập trung vào việc tổ chức khắc phục kỹ thuật và quên ghi lại lý do tuân thủ. Mật khẩu được đặt lại, tài khoản được bảo mật và hoạt động tiếp tục. Nhiều tuần sau, doanh nghiệp không thể giải thích tại sao mình quyết định sự cố không cần báo cáo.
Cơ quan giám sát mong đợi gì từ hồ sơ
Cơ quan giám sát không chỉ xem xét liệu vi phạm có được báo cáo hay không. Họ cũng có thể hỏi doanh nghiệp đã:
- Xác định sự cố
- Đánh giá rủi ro
- Quyết định liệu có cần thông báo hay không
- Ghi lại các hành động đã thực hiện
Một hồ sơ tốt phải làm cho câu chuyện về sự cố rõ ràng từ đầu đến cuối. Hồ sơ cần hiển thị những gì đã xảy ra, dữ liệu cá nhân nào có liên quan, tổn hại nào có thể xảy ra, doanh nghiệp đã làm gì để ngăn chặn sự cố và tại sao họ báo cáo hoặc không báo cáo vi phạm.
Mức độ chi tiết phải phù hợp với mức độ nghiêm trọng của sự cố. Một email gửi nhầm sẽ không cần hồ sơ giống như một cuộc tấn công ransomware, nhưng nó vẫn cần được ghi lại để hiển thị rằng doanh nghiệp đã đánh giá đúng mức.
Những hồ sơ này cũng cần được lưu trữ an toàn. Nhật ký sự cố có thể bao gồm chi tiết nhạy cảm về các cá nhân bị ảnh hưởng, hệ thống bị lộ, hành động của nhân viên, ảnh chụp màn hình, nhật ký truy cập hoặc các bước khắc phục. Quyền truy cập nên được giới hạn cho những người cần nó và thời gian lưu giữ phải phù hợp với chính sách lưu giữ dữ liệu rộng hơn của công ty.
Nhật ký truy cập thông tin đăng nhập
Nhiều sự cố liên quan đến thông tin đăng nhập: chúng có thể được kích hoạt bởi mật khẩu được sử dụng lại, tài khoản dùng chung, hộp thư đến bị xâm phạm, đăng nhập quản trị viên bị lộ, lời nhắc MFA đáng ngờ hoặc một nhân viên chưa được cho thôi việc đúng cách.
Vì lý do đó, hồ sơ truy cập thông tin đăng nhập có thể trở thành đầu vào trực tiếp cho tài liệu sự cố an ninh mạng. Khi một sự cố liên quan đến đăng nhập dùng chung hoặc tài khoản nhạy cảm, doanh nghiệp cần biết ai đã có quyền truy cập, quyền truy cập được chia sẻ như thế nào, liệu quyền có thay đổi không và liệu thông tin đăng nhập có được xoay vòng sau sự cố hay không.
Một trình quản lý mật khẩu doanh nghiệp như Proton Pass for Business giúp các nhóm quản lý thông tin đăng nhập trong kho đã mã hóa, tạo mật khẩu duy nhất, sử dụng tự động điền, chia sẻ thông tin đăng nhập an toàn, quản lý mã khóa và sử dụng xác thực hai yếu tố tích hợp. Đối với tài liệu sự cố, giá trị mạnh nhất là dấu vết truy cập xung quanh thông tin đăng nhập: ai đã có quyền truy cập vào kho/tài khoản dùng chung, quyền truy cập được quản lý như thế nào và ai đã sử dụng nó, và những gì đã thay đổi sau sự cố.
Một trình quản lý mật khẩu cho nhóm IT bổ sung các tính năng quản trị như chính sách, báo cáo, nhật ký, kiểm soát truy cập dựa trên vai trò, cung cấp SCIM và tích hợp SSO. Những tính năng này có thể giúp doanh nghiệp hiển thị cách kiểm soát quyền truy cập thông tin đăng nhập và cung cấp bằng chứng khi một sự cố liên quan đến thông tin đăng nhập được điều tra.
Trình quản lý mật khẩu không thể thay thế nhật ký sự cố, đánh giá pháp lý, quy trình thông báo theo quy định hoặc kế hoạch ứng phó sự cố. Nhưng nó cung cấp bằng chứng thông tin đăng nhập có thể đưa vào các quy trình đó.
Duy trì dấu vết kiểm tra đầy đủ về quyền truy cập thông tin đăng nhập với trình quản lý mật khẩu doanh nghiệp.
