Lỗi do con người vẫn là nguyên nhân số một của hầu hết các vụ vi phạm dữ liệu vào năm 2021

Đánh giá bằng các báo cáo từ các ấn phẩm khác nhau của ngành công nghệ, có vẻ như phần mềm bị lỗi và các vấn đề phát triển back-end gây ra hầu hết các vi phạm dữ liệu. Một số vụ việc được công bố rộng rãi nhất trong những tháng gần đây dường như xoay quanh những loại sự kiện này. Tuy nhiên, những con số lại kể một câu chuyện rất khác.

Các nhà nghiên cứu từ Đại học Stanford và một tổ chức an ninh mạng hàng đầu đã phát hiện ra rằng xấp xỉ 88 phần trăm tất cả các vi phạm dữ liệu đều do lỗi của nhân viên. Lỗi của con người vẫn là nguyên nhân dẫn đến phần lớn các vấn đề an ninh mạng.

Tệ hơn nữa, nhiều bộ phận IS không có đủ nguồn lực để giáo dục từng nhân viên về cách tốt nhất để quản lý dữ liệu của họ trên mạng.

Tình trạng gây sốc về vệ sinh mật khẩu năm 2021

Mặc dù các biện pháp bảo mật sinh trắc học và ủy quyền hai yếu tố đã trở nên phổ biến trong lĩnh vực di động, các chuyên gia an ninh mạng cảm thấy rằng việc vệ sinh mật khẩu kém vẫn còn tồn tại nhiều vi phạm. Mặc dù người dùng có thể không nhất thiết phải chọn mật khẩu dễ đoán hoặc giả mạo, nhưng họ thường sử dụng chúng quá lâu. Trong một số trường hợp, các nhà nghiên cứu đã phát hiện ra rằng tuổi thọ trung bình của mật khẩu trên một số dịch vụ web có thể hơn một hoặc hai năm.

Rất ít người dùng muốn thường xuyên nhập thông tin đăng nhập mới cho mỗi tài khoản mà họ có, đặc biệt nếu họ có hơn 20 thông tin đăng nhập web để quản lý. Thật kỳ lạ, những người dùng có thể tận dụng trình quản lý mật khẩu được mã hóa tích hợp thường không. Phần lớn các trình duyệt hiện đại sẽ lưu trữ mật khẩu và mã hóa chúng. Điều đó có nghĩa là người dùng có thể đặt mật khẩu dài bao nhiêu mà họ muốn và thay đổi mật khẩu đó thường xuyên nếu họ muốn mà không cần phải nhớ mật khẩu đó.

Mặc dù vậy, nhiều người sử dụng cùng một mật khẩu trong một khoảng thời gian dài. Nếu vi phạm dữ liệu xảy ra trên một trong các tài khoản của họ, thì những kẻ xấu có thể có quyền truy cập vào toàn bộ hồ sơ trực tuyến của những người dùng này. Tuy nhiên, hầu hết các vụ vi phạm dữ liệu không bắt đầu theo kiểu kịch tính như vậy. Một số xảy ra khi mọi người chỉ cho phép truy cập vào một số tài nguyên.

Sai lầm nhỏ dẫn đến vi phạm lớn

Người quản lý CNTT không định cấu hình danh sách điều khiển truy cập đang mời những kẻ xấu đến và nắm quyền kiểm soát mạng của họ. Mặc dù việc lưu trữ tất cả dữ liệu của một trang web trong một thư mục có thể truy cập công cộng có thể hấp dẫn, nhưng nó giống như yêu cầu ai đó ăn cắp thông tin. Quản trị viên cũng cần đảm bảo rằng mọi thông tin đăng nhập cũ dành cho nhân viên không còn làm việc tại cơ sở kinh doanh của họ tắt. Bất kỳ tài khoản mở nào cũng có thể dễ dàng bị chiếm đoạt bởi một người đại diện cũ, người có thể muốn lấy đi dữ liệu của người chủ trước đó của họ.

Trở lại năm 2019, khoảng 24 phần trăm của tất cả các cuộc tấn công mạng do một số dạng ransomware gây ra. Bi kịch ở đây là phần lớn các ứng dụng ransomware được sử dụng trong các cuộc tấn công này đã lợi dụng các bề mặt tấn công lớn hơn mức cần thiết. Chỉ cần cập nhật trình duyệt và cài đặt bất kỳ bản sửa lỗi nào mà các nhà cung cấp phần mềm đưa ra cho người dùng cuối cũng đủ để tạo ra một vết lõm đáng kể trong con số đó.

Các nhà phát triển đang nỗ lực giải quyết khá nhiều vấn đề cho phép các vectơ tấn công này tồn tại ngay từ đầu, nhưng điều đó có nghĩa là rất ít nếu mọi người không chủ động sử dụng chúng.

Việc liên tục không tận dụng được các bản cập nhật

Ở một mức độ nào đó, các lập trình viên đã cố gắng tạo ra các công cụ mới có thể giải quyết một số vấn đề liên quan đến lỗi của con người đã gây khó khăn cho ngành công nghiệp máy tính trong những năm gần đây. Các nhóm phát triển nguồn mở đã nói về khả năng loại bỏ cookie theo dõi của bên thứ ba chẳng hạn như trong mã cơ bản hỗ trợ hầu hết các trình duyệt. Tuy nhiên, điều đó có nghĩa là rất ít khi xem xét có bao nhiêu người bỏ bê việc thay thế phần mềm cũ. Nó đã đến mức một số chuyên gia đã đề xuất rằng các nhà cung cấp cần phải buộc dừng một số ứng dụng làm việc với hy vọng bảo vệ người dùng.

Đây có vẻ là một cách tiếp cận nặng tay, nhưng về mặt chức năng, đó là sự thừa nhận rằng vi phạm dữ liệu phần lớn do người tiêu dùng cá nhân làm việc trong các tổ chức tài chính và các cơ sở nhạy cảm khác gây ra. Hầu hết các bộ phận của IS tiếp tục cố gắng và yêu cầu người dùng dưới sự kiểm soát của họ làm những việc cơ bản, chẳng hạn như cài đặt một trình chặn quảng cáo trên bất kỳ thiết bị di động nào được gắn với mạng công ty của họ.

Tuy nhiên, có vẻ như trong tương lai gần, vi phạm dữ liệu vẫn sẽ chủ yếu do lỗi của con người. Xét rằng không có cách thực sự nào để tự động hóa nhiều loại quy trình công việc, hiện trạng có thể sẽ tiếp diễn trừ khi các tổ chức có thể khuyến khích các hành vi khôn ngoan hơn của mọi người làm việc với họ trong mọi bộ phận.

Xuất bản ngày 4 tháng 3 năm 2021