Tuân thủ không chỉ là xây dựng chính sách và lưu trữ tài liệu.

Doanh nghiệp còn cần chứng minh rằng mình đang thực sự bảo vệ hệ thống, dữ liệu và có khả năng phát hiện, xử lý khi xảy ra sự cố.

Đây là lúc giám sát an ninh mạng trở nên quan trọng.

Giám sát liên tục giúp doanh nghiệp biết điều gì đang diễn ra trong hệ thống, phát hiện hoạt động bất thường, lưu lại các sự kiện quan trọng và tạo bằng chứng phục vụ kiểm toán hoặc điều tra sự cố.

Đặc biệt với doanh nghiệp vừa và nhỏ (SME), việc tự động hóa giám sát có thể giúp giảm đáng kể khối lượng công việc liên quan đến an ninh mạng và tuân thủ.

Giám sát an ninh mạng giúp doanh nghiệp liên tục theo dõi các hoạt động quan trọng và lưu lại bằng chứng về những sự kiện xảy ra trong hệ thống.

Nhờ đó, doanh nghiệp có thể trả lời những câu hỏi như:

• Ai đã truy cập hệ thống? 

• Hoạt động bất thường bắt đầu khi nào? 

• Tài khoản hoặc thiết bị nào bị ảnh hưởng? 

• Dữ liệu nào có nguy cơ bị truy cập? 

• Doanh nghiệp đã thực hiện biện pháp xử lý nào? 

• Có bằng chứng về quá trình điều tra và phản ứng không? 

Những thông tin này có thể hỗ trợ kiểm toán, đánh giá an ninh, điều tra và thực hiện nghĩa vụ báo cáo.

Tuy nhiên, giám sát an ninh chỉ là một phần của quá trình tuân thủ, không đồng nghĩa với việc doanh nghiệp tự động đáp ứng đầy đủ mọi yêu cầu pháp lý.

Một doanh nghiệp có thể xây dựng rất nhiều chính sách bảo mật.

Ví dụ:

“Các hệ thống quan trọng phải được giám sát để phát hiện hoạt động bất thường.”

Nhưng khi kiểm toán, doanh nghiệp có thể được hỏi:

“Có bằng chứng cho thấy việc giám sát này thực sự đang diễn ra không?”

Lúc này, nhật ký hoạt động, cảnh báo, hồ sơ sự cố và lịch sử xử lý trở thành những bằng chứng quan trọng.

Tuân thủ không chỉ là chứng minh doanh nghiệp có quy định.

Doanh nghiệp còn cần chứng minh những quy định đó được thực hiện trong thực tế.

Một trong những lợi ích quan trọng nhất của giám sát liên tục là tạo ra lịch sử hoạt động của hệ thống.

Tùy vào phạm vi giám sát, doanh nghiệp có thể lưu lại:

• Hoạt động đăng nhập 

• Hoạt động tài khoản 

• Hoạt động trên thiết bị 

• Truy cập cloud 

• Cảnh báo an ninh 

• Thay đổi cấu hình quan trọng 

• Hành vi bất thường 

• Các hành động xử lý sự cố 

Những dữ liệu này có thể hỗ trợ khi doanh nghiệp thực hiện kiểm toán nội bộ, đánh giá bảo mật, làm việc với khách hàng hoặc điều tra một sự cố.

Thay vì dựa vào trí nhớ hoặc tài liệu được tạo sau sự việc, doanh nghiệp có dữ liệu thực tế để kiểm tra.

Doanh nghiệp không thể phản ứng với một sự cố nếu không biết sự cố đang xảy ra.

Giám sát liên tục có thể giúp nhận diện những dấu hiệu như:

• Tài khoản đăng nhập từ vị trí bất thường 

• Một lượng lớn dữ liệu được tải xuống 

• Laptop có dấu hiệu bị ransomware 

• Tài khoản quản trị có hành vi bất thường 

• Hệ thống quan trọng xuất hiện thay đổi không mong đợi 

Phát hiện sớm giúp doanh nghiệp có thêm thời gian điều tra và hạn chế thiệt hại.

Đồng thời, doanh nghiệp có nhiều dữ liệu hơn để xác định chính xác điều gì đã xảy ra nếu cần thực hiện báo cáo hoặc kiểm toán sau đó.

Sau một cuộc tấn công, một trong những câu hỏi quan trọng nhất là:

“Chuyện gì đã xảy ra?”

Doanh nghiệp có thể cần xác định:

1. Hoạt động bất thường bắt đầu lúc nào? 

2. Sự cố được phát hiện lúc nào? 

3. Tài khoản nào liên quan? 

4. Hệ thống nào đã bị truy cập? 

5. Dữ liệu nào có khả năng bị ảnh hưởng? 

6. Doanh nghiệp đã thực hiện những hành động nào? 

7. Sự cố được kiểm soát khi nào? 

Nếu không có dữ liệu giám sát, việc xây dựng lại toàn bộ quá trình này có thể rất khó khăn.

Ngược lại, dữ liệu được ghi nhận liên tục giúp doanh nghiệp xây dựng một dòng thời gian rõ ràng hơn.

Khi xảy ra một sự cố liên quan đến dữ liệu hoặc hệ thống quan trọng, doanh nghiệp có thể phải xác định liệu có phát sinh nghĩa vụ báo cáo hay không.

Trước khi có thể báo cáo chính xác, doanh nghiệp cần biết:

Điều gì đã xảy ra?

Hệ thống nào bị ảnh hưởng?

Dữ liệu nào có khả năng bị truy cập?

Sự cố đã được kiểm soát chưa?

Doanh nghiệp đã xử lý như thế nào?

Dữ liệu giám sát giúp doanh nghiệp trả lời những câu hỏi này nhanh và chính xác hơn.

Một trong những khó khăn phổ biến của SME là đến gần kỳ kiểm toán mới bắt đầu thu thập bằng chứng.

Đội IT phải tìm kiếm thông tin từ:

• Email 

• File Excel 

• Ảnh chụp màn hình 

• Nhật ký của nhiều hệ thống 

• Các báo cáo cũ 

Việc này vừa tốn thời gian vừa dễ thiếu thông tin.

Nếu doanh nghiệp giám sát và lưu lại dữ liệu liên tục, bằng chứng đã được tạo ra trong quá trình vận hành hàng ngày.

Khi kiểm toán bắt đầu, doanh nghiệp không cần xây dựng mọi thứ từ đầu.

Có một sự khác biệt quan trọng giữa:

“Doanh nghiệp có công cụ bảo mật.”

và:

“Doanh nghiệp có thể chứng minh công cụ bảo mật đang hoạt động.”

Ví dụ, doanh nghiệp có thể đã cài giải pháp bảo mật trên laptop nhân viên.

Nhưng:

• Tất cả thiết bị quan trọng đã được bảo vệ chưa? 

• Có thiết bị nào ngừng gửi dữ liệu không? 

• Cảnh báo có thực sự được tạo không? 

• Các cảnh báo nghiêm trọng có được xử lý không? 

• Có bằng chứng về những hành động xử lý không? 

Giám sát giúp doanh nghiệp trả lời những câu hỏi này.

Giám sát cũng giúp doanh nghiệp phát hiện những hoạt động có thể ảnh hưởng đến dữ liệu cá nhân hoặc dữ liệu kinh doanh nhạy cảm.

Ví dụ:

• Truy cập bất thường vào dữ liệu khách hàng 

• Tải xuống lượng lớn tệp 

• Truy cập trái phép vào cloud 

• Tài khoản nhân viên bị chiếm quyền 

• Tài khoản quản trị thực hiện hành động đáng ngờ 

Phát hiện sớm giúp doanh nghiệp điều tra xem dữ liệu có thực sự bị truy cập hoặc lấy đi hay không.

Đây là thông tin quan trọng khi đánh giá mức độ nghiêm trọng của một sự cố dữ liệu.

Tuân thủ không nên chỉ là hoạt động diễn ra trước mỗi kỳ kiểm toán.

Dữ liệu giám sát có thể giúp doanh nghiệp phát hiện những vấn đề lặp lại.

Ví dụ:

• Một số tài khoản thường xuyên có đăng nhập rủi ro 

• Một nhóm thiết bị thường xuyên gặp sự cố 

• Tài khoản quản trị cũ vẫn còn hoạt động 

• Một số hệ thống quan trọng chưa được giám sát 

• Nhân viên thường xuyên truy cập website không an toàn 

Doanh nghiệp có thể sử dụng những thông tin này để cải thiện biện pháp bảo vệ theo thời gian.

Phạm vi cụ thể phụ thuộc vào ngành nghề, hệ thống, loại dữ liệu và yêu cầu tuân thủ của từng doanh nghiệp.

Tuy nhiên, doanh nghiệp thường nên quan tâm đến:

• Tài khoản và hoạt động đăng nhập 

• Laptop và máy tính nhân viên 

• Máy chủ 

• Môi trường cloud 

• Email 

• Ứng dụng doanh nghiệp 

• Tài khoản quản trị 

• Truy cập dữ liệu quan trọng 

• Các sự kiện an ninh 

Mục tiêu không phải là thu thập mọi dữ liệu có thể.

Mục tiêu là có đủ khả năng quan sát để phát hiện vấn đề, điều tra sự cố và chứng minh rằng những hệ thống quan trọng đang được bảo vệ.

SME có thể đơn giản hóa việc giám sát như thế nào?

Phần lớn SME không có đội ngũ an ninh mạng hoặc compliance lớn.

Vì vậy, quá trình giám sát nên được thiết kế theo hướng:

• Tự động thu thập các sự kiện quan trọng 

• Tập trung thông tin tại một nơi nếu có thể 

• Ưu tiên cảnh báo quan trọng 

• Lưu lại lịch sử sự cố rõ ràng 

• Ghi nhận quá trình điều tra và xử lý 

• Có khả năng xuất báo cáo phục vụ kiểm toán 

• Rà soát hoạt động an ninh định kỳ 

Tự động hóa đặc biệt hữu ích vì giúp giảm lượng công việc thủ công mà đội IT phải thực hiện.

Giám sát an ninh mạng có đồng nghĩa với tuân thủ không?

Không.

Đây là một điểm doanh nghiệp cần hiểu rõ.

Việc triển khai hệ thống giám sát không có nghĩa doanh nghiệp tự động đáp ứng tất cả các yêu cầu tuân thủ.

Tùy vào quy định áp dụng, doanh nghiệp còn có thể cần:

• Chính sách và quy trình 

• Đánh giá rủi ro 

• Đào tạo nhân viên 

• Quản lý quyền truy cập 

• Quy trình bảo vệ dữ liệu 

• Kế hoạch ứng phó sự cố 

• Quản lý nhà cung cấp 

• Hồ sơ và tài liệu 

• Thực hiện các nghĩa vụ pháp lý liên quan 

Giám sát an ninh mạng đóng vai trò hỗ trợ bằng cách cung cấp khả năng quan sát và bằng chứng.

Giám sát an ninh mạng không chỉ giúp doanh nghiệp phát hiện tấn công.

Nó còn giúp doanh nghiệp biết điều gì đang diễn ra, lưu lại bằng chứng và chuẩn bị tốt hơn khi cần kiểm toán hoặc điều tra sự cố.

Giám sát liên tục có thể hỗ trợ doanh nghiệp trong:

• Thu thập bằng chứng 

• Chuẩn bị kiểm toán 

• Phát hiện sự cố 

• Điều tra sự cố 

• Báo cáo sự cố 

• Bảo vệ dữ liệu 

• Cải thiện các biện pháp an ninh 

Đối với SME, tự động hóa những hoạt động này có thể giảm đáng kể khối lượng công việc cho đội IT.

Mục tiêu cuối cùng rất đơn giản: biết điều gì đang xảy ra, có bằng chứng để chứng minh và sẵn sàng phản ứng khi có sự cố.

Giám sát an ninh mạng có giúp doanh nghiệp tự động tuân thủ không?

Không. Giám sát chỉ là một phần của quá trình tuân thủ. Doanh nghiệp còn có thể cần chính sách, quy trình, đào tạo, quản lý truy cập, đánh giá rủi ro và nhiều biện pháp khác.

Giám sát an ninh có thể cung cấp bằng chứng gì?

Tùy hệ thống, bằng chứng có thể bao gồm nhật ký đăng nhập, cảnh báo an ninh, hoạt động thiết bị, dòng thời gian sự cố, kết quả điều tra và lịch sử xử lý.

Vì sao giám sát liên tục hữu ích cho kiểm toán?

Vì bằng chứng được tạo và lưu lại trong quá trình vận hành hàng ngày, thay vì doanh nghiệp phải thu thập thủ công ngay trước kỳ kiểm toán.

Giám sát có hỗ trợ báo cáo sự cố không?

Có. Dữ liệu giám sát có thể giúp xác định sự cố xảy ra khi nào, hệ thống hoặc tài khoản nào bị ảnh hưởng, hoạt động nào đã diễn ra và doanh nghiệp đã xử lý ra sao.

SME có cần giám sát an ninh liên tục không?

Điều này phụ thuộc vào rủi ro, hệ thống, dữ liệu và yêu cầu tuân thủ của từng doanh nghiệp. Tuy nhiên, giám sát liên tục có thể giúp SME phát hiện sự cố sớm và giảm đáng kể công việc thủ công khi điều tra hoặc chuẩn bị kiểm toán.