Bảo vệ dữ liệu nhạy cảm của khách hàng là một ưu tiên lớn đối với các tổ chức ngày nay, đối mặt với việc tăng cường áp lực tuân thủ và quy định và không làm giảm sự mong đợi của khách hàng. Một vi phạm dữ liệu duy nhất có thể gây tổn thất lớn cho lòng trung thành của khách hàng; 70 phần trăm người tiêu dùng báo cáo rằng họ sẽ ngừng kinh doanh với một tổ chức trong trường hợp họ có kinh nghiệm.
Những bước tiến lớn đã được thực hiện để đảm bảo quyền riêng tư dữ liệu thông qua bộ kỹ thuật đa dạng (và vẫn đang phát triển), từ củng cố mạng và máy chủ chống lại các cuộc tấn công mạng bên ngoài, đến sử dụng trí tuệ nhân tạo (AI) để xác định và tái mã hóa và / hoặc mã hóa dữ liệu số nhạy cảm, để thực hiện các chính sách nghiêm ngặt (ngay cả tại máy in văn phòng!) để đảm bảo chỉ những nhân viên được ủy quyền mới có thể in tài liệu có chứa thông tin cá nhân.
Tuy nhiên, một cách tiếp cận thực sự nghiêm ngặt và toàn diện đối với quyền riêng tư dữ liệu của khách hàng có thể tồn tại trừ khi một nguồn vi phạm chính – những người trong cuộc đặc quyền – được giải quyết. Người trong cuộc có đặc quyền là bất kỳ cá nhân nào có thông tin xác thực để truy cập tài nguyên nội bộ và những người có thể sử dụng quyền truy cập được ủy quyền này để tác động tiêu cực đến tính toàn vẹn của hệ thống hoặc bảo mật dữ liệu nhạy cảm của khách hàng.
Những cá nhân này có thể không bị thúc đẩy bởi sự xấu xa và tham lam, họ cũng không nhất thiết phải cẩu thả hoặc thiếu đạo đức. Phần lớn là những diễn viên vô tình – những người không biết rằng họ đang làm gì sai và không hiểu hậu quả tiềm ẩn. Theo một cuộc khảo sát gần đây, sáu mươi bốn phần trăm doanh nghiệp cho rằng nhân viên và nhà thầu bất cẩn là nguyên nhân phổ biến nhất của các mối đe dọa trong nội bộ .
Bất kể nguyên nhân sâu xa của mối đe dọa nội bộ, rủi ro đối với quyền riêng tư dữ liệu của khách hàng là rất đáng kể và hậu quả kinh doanh có thể bao gồm doanh thu bị mất, chi phí khắc phục, uy tín thương hiệu, gián đoạn dịch vụ và hơn thế nữa. Năm cách tốt nhất để bảo vệ chống lại các mối đe dọa trong nội bộ, bao gồm:
Giám sát hoạt động nội bộ. Một số tổ chức đã thận trọng thực hiện giám sát, tin rằng nhân viên sẽ xem đó là hành vi xâm phạm của ông lớn. Rõ ràng điều này phải được xử lý một cách thích hợp, nhưng lợi ích của việc giám sát nội bộ – cho cả tổ chức, cũng như từng người lao động – vượt xa những nhược điểm. Theo IBM , ước tính 60% các vi phạm là kết quả của những người trong cuộc và giám sát chủ động có thể là chìa khóa để loại bỏ hoặc giảm bớt những điều này. Các tổ chức nên xem xét giáo dục và đào tạo giải thích rõ ràng cho người lao động về cách các biện pháp đó thực sự mang lại lợi ích cho họ, thông qua việc bảo vệ tốt hơn và cách ly rủi ro.
Hãy chủ động và không ngừng phân tích. Các nghiên cứu mới nhất của Viện Ponemoncho thấy 191 ngày để có thể xác định vi phạm dữ liệu. Trong trường hợp có sự tham gia của người trong cuộc bị tấn công, điều này để lại một cửa sổ thời gian đáng kể để tàn phá dữ liệu khách hàng, trước khi tổ chức thậm chí còn nhận ra bất cứ điều gì là sai. Không thể chấp nhận giám sát một cách thụ động hoạt động của mạng và cơ sở dữ liệu và chặn truy cập khi có gì đó không ổn. Thay vào đó, các tổ chức phải chủ động phân tích hành vi của người dùng và hành động theo xu hướng mà họ thấy để đi trước các sự cố tiềm ẩn.
Lấy dạng hạt. Một lý do vi phạm rất có hại cho sự hài lòng của khách hàng và uy tín thương hiệu là, trong nhiều trường hợp, nhiều khách hàng được thông báo hơn có thể thực sự cần thiết. Khi nghi ngờ chính xác dữ liệu của ai được truy cập, các tổ chức có xu hướng truyền mạng rộng nhất cho tất cả các khách hàng có thể đã bị ảnh hưởng. Điều này đặc biệt đúng trong một thế giới hậu GDPR, khi các tổ chức hiện được yêu cầu báo cáo vi phạm trong 72 giờ. Để đạt được mức độ chi tiết này đòi hỏi nhiều hơn là chỉ nhìn thấy thời lượng phiên của người trong cuộc, mà thay vào đó, hiểu chính xác cách thức, thời gian và dữ liệu nào được truy cập. Có lẽ một cơ sở dữ liệu nhạy cảm đã được truy cập, nhưng chỉ có một phần trong đó, trái ngược với toàn bộ. Trong trường hợp vi phạm nội bộ xảy ra, mức độ chi tiết như vậy có thể giúp giảm bớt rất nhiều nỗ lực báo cáo và thông báo trong khi giảm thiểu thiệt hại tài sản thế chấp không cần thiết.
Quản lý thông tin đăng nhập . Nhiều tổ chức không quản lý đúng thông tin đăng nhập của người dùng nội bộ – có nghĩa là nếu chức năng công việc của người dùng thay đổi và họ không còn yêu cầu quyền truy cập vào tập dữ liệu nhạy cảm thì quyền truy cập đó không phải lúc nào cũng bị chấm dứt. Thay vào đó, người dùng tích lũy quyền truy cập vào dữ liệu ngày càng nhiều hơn khi chức năng công việc của họ phát triển, mặc dù quyền truy cập đó có thể không còn cần thiết nữa. Thậm chí tệ hơn, Osterman Research gần đây đã phát hiện ra rằng 67% các tổ chức không thể chắc chắn liệu một nhân viên cũ có còn truy cập tài nguyên của công ty hay không. Thông tin đăng nhập sai có thể tạo ra rủi ro phơi nhiễm đáng kể trở nên khó khăn hơn theo cấp số nhân, giải quyết và chứa đựng một khi nhân viên bước ra khỏi cửa.
Tập trung vào nơi sống dữ liệu nhạy cảm nhất. Một doanh nghiệp điển hình có nhiều kho dữ liệu trải rộng khắp nó. Xác định nguồn dữ liệu nào cần được theo dõi đối với các mối đe dọa trong nội bộ về cơ bản là vấn đề xác định nơi lưu trữ dữ liệu quan trọng nhất. Đây thường là hệ thống hồ sơ như máy tính lớn. Một ước tính 80 phần trăm dữ liệu công ty trên thế giới tiếp tục cư trú hoặc có nguồn gốc trên máy tính lớn, làm cho nó một mục tiêu chính cho người trong cuộc độc hại.
Các mối đe dọa ngày nay đối với quyền riêng tư dữ liệu luôn phát triển, nhưng một điều không đổi là yếu tố con người. Ngay cả sáng kiến bảo mật dữ liệu có vẻ nghiêm ngặt nhất cũng không thể hoàn thành trừ khi nó giải quyết mối đe dọa trong nội bộ. Các tổ chức phải tấn công, đặc biệt là vì các mối đe dọa đặc biệt này, không giống như các mối đe dọa từ bên ngoài, có thể phòng ngừa được nhiều hơn.