Trong khối Tài chính – Ngân hàng, mã hoá là lớp phòng thủ cuối cùng khi các kiểm soát khác bị vượt qua. Nhưng mã hoá chỉ mạnh bằng cách quản lý khoá – một khoá bị lộ có thể vô hiệu hoá toàn bộ chiến lược bảo vệ dữ liệu.
Mã hoá ở đâu và khi nào
- Mã hoá khi lưu trữ (at rest): bảo vệ dữ liệu trong cơ sở dữ liệu, sao lưu, ổ đĩa
- Mã hoá khi truyền tải (in transit): TLS cho mọi kênh trao đổi dữ liệu nhạy cảm
- Cân nhắc mã hoá ở tầng ứng dụng cho các trường dữ liệu đặc biệt nhạy cảm
Quản lý khoá bằng KMS/HSM
Khoá mã hoá không được lưu cùng dữ liệu. Hệ thống quản lý khoá (KMS) tập trung hoá việc tạo, luân chuyển và thu hồi khoá, trong khi HSM bảo vệ khoá ở cấp phần cứng. Việc luân chuyển khoá định kỳ và phân tách quyền là yêu cầu tuân thủ cốt lõi.
Sai lầm thường gặp
Nhiều tổ chức mã hoá dữ liệu nhưng lưu khoá ngay cạnh đó, hoặc dùng chung một khoá cho mọi hệ thống. Những sai lầm này khiến mã hoá chỉ còn ý nghĩa hình thức. Quản trị vòng đời khoá nghiêm túc mới tạo ra giá trị bảo vệ thực sự.
Kết luận
Mã hoá và quản lý khoá là hai mặt không thể tách rời. Đầu tư vào KMS/HSM cùng quy trình luân chuyển khoá chặt chẽ giúp khối Tài chính – Ngân hàng bảo vệ dữ liệu khách hàng và đáp ứng yêu cầu tuân thủ.
Luân chuyển và thu hồi khoá định kỳ
Khoá mã hoá có vòng đời. Luân chuyển khoá định kỳ giới hạn thiệt hại nếu một khoá bị lộ, còn quy trình thu hồi nhanh đảm bảo khoá nghi ngờ bị xâm phạm được vô hiệu hoá kịp thời mà không gián đoạn dịch vụ.
Phân tách nhiệm vụ trong quản lý khoá
- Tách quyền tạo khoá, sử dụng khoá và quản trị hệ thống KMS
- Yêu cầu phê duyệt nhiều bên cho thao tác nhạy cảm
- Ghi nhật ký mọi thao tác trên khoá phục vụ kiểm toán
Câu hỏi thường gặp
Vì sao không lưu khoá cùng dữ liệu?
Vì nếu kẻ tấn công lấy được dữ liệu sẽ lấy luôn khoá, khiến mã hoá vô nghĩa; khoá phải được tách biệt và bảo vệ riêng.
HSM khác KMS phần mềm thế nào?
HSM bảo vệ khoá ở cấp phần cứng chống trích xuất, phù hợp yêu cầu tuân thủ cao của Tài chính – Ngân hàng.