quản lý mã hóa gốc

Quản lý mã hóa gốc là việc kiểm soát các tính năng mã hóa đã được tích hợp sẵn trong hệ điều hành, thiết bị và nền tảng. Đối với hầu hết các tổ chức, điều này bao gồm Windows BitLocker, macOS FileVault, mã hóa dựa trên tệp của Android, bảo vệ dữ liệu iOS, khóa khôi phục, chính sách thiết bị và báo cáo.

Mục tiêu rất đơn giản: bảo đảm dữ liệu nhạy cảm vẫn được bảo vệ nếu máy tính xách tay, điện thoại, máy tính bảng hoặc ổ đĩa rời bị thất lạc, đánh cắp, sửa chữa, ngừng sử dụng hoặc bị truy cập trái phép.

Mã hóa gốc rất mạnh vì nó đã là một phần của nền tảng. Nhưng nó vẫn cần được quản lý. Nếu không có chính sách rõ ràng, nơi lưu trữ khóa khôi phục, kiểm tra tuân thủ và hướng dẫn người dùng, mã hóa tích hợp sẵn có thể trở nên không nhất quán hoặc khó khôi phục khi xảy ra sự cố.

Nhiệm vụ bảo mật mà mã hóa gốc phải thực hiện

Mã hóa gốc bảo vệ dữ liệu khi lưu trữ. Điều đó có nghĩa là dữ liệu được lưu trên thiết bị sẽ không thể đọc được nếu không có phương thức xác thực, khóa khôi phục hoặc phương thức mở khóa phù hợp.

NIST mô tả mã hóa lưu trữ là cách hạn chế quyền truy cập vào thông tin được lưu trên các thiết bị của người dùng cuối như máy tính xách tay, thiết bị di động và phương tiện lưu trữ rời. Hướng dẫn về mã hóa lưu trữ ↗ của tổ chức này là điểm khởi đầu vững chắc để hiểu về mã hóa toàn bộ đĩa, mã hóa ổ đĩa và mã hóa cấp tệp.

CISA đưa ra hướng dẫn thực tế tương tự trên trang về bảo vệ dữ liệu được lưu trên thiết bị ↗, đặc biệt cho thiết bị bị thất lạc, ổ đĩa rời và lập kế hoạch khôi phục.

Trên thực tế, mã hóa gốc giúp giảm thiểu bốn rủi ro:

• Máy tính xách tay bị mất làm lộ tệp kinh doanh.
• Điện thoại bị đánh cắp cho phép truy cập dữ liệu công việc.
• Ổ đĩa đã ngừng sử dụng vẫn có thể đọc được sau khi thải bỏ.
• Người dùng quên thông tin đăng nhập và cần khôi phục an toàn.

Bản thân mã hóa chỉ là một phần. Lớp quản lý quyết định liệu việc bảo vệ có nhất quán hay không.

Bản đồ kiểm soát quản lý mã hóa gốc

Cách dễ nhất để nhìn nhận việc quản lý mã hóa gốc là một tập hợp các biện pháp kiểm soát, không phải một công tắc duy nhất.

Bảng này thể hiện sự khác biệt giữa “mã hóa có sẵn” và “mã hóa thực sự được quản lý.”

Windows: Quản lý BitLocker và Mã hóa thiết bị

Trên Windows, mã hóa gốc thường là BitLocker hoặc mã hóa thiết bị tự động.

Tổng quan về BitLocker của Microsoft ↗ giải thích rằng BitLocker bảo vệ các ổ đĩa khỏi truy cập ngoại tuyến, đặc biệt khi thiết bị bị thất lạc, đánh cắp hoặc ngừng sử dụng. Đối với môi trường được quản lý, điều quan trọng không chỉ là bật BitLocker. Cần bảo đảm có đúng chính sách, phương thức khôi phục và quy trình báo cáo.

Một chính sách mã hóa Windows thực tế cần xác định:

• những ổ đĩa nào phải được mã hóa;
• liệu chỉ bảo vệ bằng TPM có đủ hay không;
• liệu người dùng có rủi ro cao có bắt buộc dùng PIN hay không;
• nơi sao lưu khóa khôi phục;
• ai có thể truy xuất khóa khôi phục;
• cách báo cáo mã hóa thất bại hoặc bị tạm ngừng.

Lập kế hoạch khôi phục rất quan trọng. Tổng quan về khôi phục BitLocker của Microsoft ↗ giải thích các tùy chọn khôi phục khác nhau, bao gồm mật khẩu khôi phục, khóa khôi phục, gói khóa và tác nhân khôi phục dữ liệu. Các nhóm nên ghi lại tùy chọn nào được phép trước khi xảy ra tình trạng khóa truy cập thực tế.

macOS và thiết bị Apple: Quản lý FileVault và Bảo vệ dữ liệu

Trên macOS, mã hóa gốc xoay quanh FileVault. Hướng dẫn của Apple về quản lý FileVault bằng quản lý thiết bị ↗ giải thích cách các tổ chức có thể bắt buộc FileVault, kiểm soát việc người dùng trì hoãn, quản lý việc có hiển thị khóa khôi phục cho người dùng hay không và lưu ký khóa khôi phục cá nhân thông qua quản lý thiết bị.

Đối với iPhone, iPad và các nền tảng Apple mới hơn, mã hóa gắn chặt với Bảo vệ dữ liệu. Tổng quan về Mã hóa và Bảo vệ dữ liệu của Apple ↗ giải thích cách thiết bị Apple bảo vệ dữ liệu người dùng và dữ liệu doanh nghiệp nếu thiết bị bị thất lạc, đánh cắp hoặc xâm phạm.

Đối với môi trường Apple, việc quản lý nên tập trung vào:

• bắt buộc FileVault trong quá trình thiết lập khi phù hợp;
• lưu ký khóa khôi phục vào hệ thống quản lý đã được phê duyệt;
• luân phiên khóa khôi phục sau khi sử dụng;
• xác nhận những người dùng nào có thể mở khóa các ổ đĩa được mã hóa;
• ghi lại điều gì xảy ra trong quá trình chuyển đổi hoặc phân công lại thiết bị.

Rủi ro chính là cho rằng “thiết bị Apple được mã hóa” đồng nghĩa tổ chức đã kiểm soát được việc khôi phục và báo cáo. Đây là những câu hỏi riêng biệt.

Android: Quản lý mã hóa thông qua chính sách thiết bị

Thiết bị Android cũng bao gồm mã hóa gốc. Mã hóa dựa trên tệp của Android cho phép các tệp khác nhau được mã hóa bằng các khóa khác nhau, và Android Open Source Project giải thích mô hình này trong tài liệu về mã hóa dựa trên tệp ↗.

Đối với thiết bị doanh nghiệp, quản lý mã hóa thường được xử lý thông qua Android Enterprise. Hướng dẫn của Google về quản lý Android ↗ giải thích rằng các tổ chức có thể bắt buộc các chính sách bảo mật như khóa màn hình và mã hóa bộ nhớ thông qua giải pháp quản lý.

Quản lý mã hóa Android cần xác định:

• những thiết bị nào được phép dùng cho công việc;
• thiết bị được quản lý hoàn toàn hay là BYOD có hồ sơ công việc;
• mức độ mạnh của khóa màn hình được yêu cầu;
• cách khóa hoặc xóa thiết bị bị thất lạc;
• cách giám sát trạng thái tuân thủ;
• liệu các thiết bị cũ vẫn đáp ứng yêu cầu bảo mật hay không.

Mã hóa Android mạnh nhất khi đi kèm với đăng ký thiết bị, chính sách màn hình khóa, yêu cầu cập nhật và xóa dữ liệu từ xa.

Quản lý khóa mới là vấn đề quản lý thực sự

Mã hóa phụ thuộc vào khóa. Điều này nghe có vẻ hiển nhiên, nhưng nhiều chương trình mã hóa thất bại vì quản lý khóa yếu.

Hướng dẫn quản lý khóa ↗ của NIST đề cập đến việc lập kế hoạch, bảo vệ, vòng đời và quản trị vật liệu khóa mật mã. Đối với mã hóa gốc, câu hỏi thực tế thường là: khóa khôi phục được lưu ở đâu và ai có thể sử dụng chúng?

Một quy trình khóa khôi phục tốt cần trả lời:

1. Khóa được lưu ký ở đâu? 2. Khóa được lưu tự động hay thủ công? 3. Ai có thể truy xuất khóa? 4. Việc truy xuất có được ghi nhật ký không? 5. Khóa có được luân phiên sau khi sử dụng không? 6. Điều gì xảy ra khi thiết bị ngừng sử dụng? 7. Điều gì xảy ra nếu hệ thống quản lý thay đổi?

Không để khóa khôi phục trong ảnh chụp màn hình, bảng tính, ổ đĩa dùng chung hoặc ghi chú cá nhân. Quyền truy cập để khôi phục phải được kiểm soát, ghi nhật ký và giới hạn.

Trình tự triển khai thực tế

Quản lý mã hóa gốc sẽ dễ dàng hơn khi được triển khai theo từng giai đoạn.

Bước 1: Kiểm kê thiết bị

Liệt kê máy tính xách tay, máy tính để bàn, điện thoại, máy tính bảng và ổ đĩa rời có thể lưu trữ dữ liệu doanh nghiệp.

Bước 2: Xác định phạm vi bắt buộc

Quyết định những loại thiết bị nào phải dùng mã hóa gốc và những ngoại lệ nào được phép.

Bước 3: Chọn chính sách nền tảng

Thiết lập các quy tắc cho BitLocker, FileVault, Android và các nền tảng khác trước khi triển khai rộng rãi.

Bước 4: Cấu hình lưu ký khóa khôi phục

Bảo đảm khóa khôi phục được lưu trong hệ thống đã được phê duyệt trước khi người dùng phụ thuộc vào chúng.

Bước 5: Thử nghiệm với một nhóm nhỏ

Kiểm tra khôi phục, xung đột chính sách, chuyển đổi thiết bị và truyền thông tới người dùng.

Bước 6: Áp dụng dần

Chuyển từ chế độ chỉ báo cáo sang bắt buộc áp dụng sau khi các vấn đề trong thử nghiệm đã được giải quyết.

Bước 7: Giám sát liên tục

Xem xét trạng thái mã hóa, bảo vệ bị tạm ngừng, lưu ký thất bại, thiết bị không được quản lý và các sự kiện khôi phục.

Trình tự này tránh sai lầm phổ biến nhất: bật mã hóa trên diện rộng trước khi khôi phục được kiểm thử.

Những nội dung cần báo cáo cho lãnh đạo

Các lãnh đạo an ninh không cần mọi cài đặt kỹ thuật. Họ cần cái nhìn rõ ràng về phạm vi, rủi ro và mức độ sẵn sàng.

Một báo cáo hữu ích về mã hóa gốc cần thể hiện:

• tỷ lệ phần trăm thiết bị được quản lý đã được mã hóa;
• số lượng thiết bị thiếu khóa khôi phục;
• thiết bị có mã hóa bị tạm ngừng hoặc thất bại;
• người dùng hoặc nhóm có rủi ro cao chưa được bao phủ;
• sự kiện khôi phục trong kỳ báo cáo;
• thiết bị đang chờ ngừng sử dụng hoặc xóa dữ liệu;
• ngoại lệ chính sách và chủ sở hữu.

Nếu cần giải thích phạm vi mã hóa cho ban lãnh đạo hoặc khách hàng, bạn có thể biến chính sách mã hóa gốc của mình thành bản trình bày sẵn sàng cho các bên liên quan với Pi ↗.Hãy dùng công cụ này để báo cáo phạm vi, rủi ro, mức độ sẵn sàng khôi phục và các bước tiếp theo mà không biến bộ slide thành một đống thông tin kỹ thuật.

Khi mã hóa gốc là chưa đủ

Mã hóa gốc bảo vệ dữ liệu được lưu trữ, nhưng không giải quyết mọi vấn đề bảo mật.

Nó không thay thế:

• quản lý danh tính và quyền truy cập;
• phát hiện và phản hồi điểm cuối;
• sao lưu và khôi phục sau thảm họa;
• quản lý bản vá;
• ngăn ngừa mất dữ liệu;
• bảo vệ chống lừa đảo giả mạo;
• kiểm soát truy cập đám mây;
• thải bỏ thiết bị an toàn.

Nó cũng không bảo vệ dữ liệu sau khi người dùng được ủy quyền đã mở khóa thiết bị và truy cập tệp bình thường. Khi hệ thống đang chạy và người dùng đã được xác thực, vẫn cần các biện pháp kiểm soát khác.

Mã hóa gốc nên được xem là biện pháp kiểm soát cơ bản, không phải toàn bộ chiến lược bảo mật.

Kết luận

Quản lý mã hóa gốc là làm cho mã hóa tích hợp sẵn trở nên đáng tin cậy. Bật BitLocker, FileVault, mã hóa Android hoặc Bảo vệ dữ liệu Apple chỉ là bước khởi đầu.

Một chương trình trưởng thành xác định phạm vi, áp dụng chính sách, lưu ký khóa khôi phục, hạn chế quyền truy cập khôi phục, giám sát tuân thủ và kiểm thử điều gì xảy ra khi thiết bị bị thất lạc, khóa truy cập, chuyển đổi hoặc ngừng sử dụng.

Chương trình mã hóa tốt nhất không phải là chương trình có ô chọn mạnh nhất. Đó là chương trình mà việc bảo vệ, khôi phục và báo cáo đều hoạt động khi tổ chức thực sự cần đến.