Trước đây, nỗi lo lớn nhất trong một sự cố ransomware thường là hệ thống bị khóa. Nhưng giờ đây, đó không còn là toàn bộ vấn đề. Ransomware Data Theft đã biến nhiều cuộc tấn công thành một cuộc khủng hoảng kép, khi tổ chức vừa phải đối mặt với gián đoạn vận hành, vừa chịu rủi ro dữ liệu nhạy cảm bị công khai, bị bán hoặc tiếp tục bị lợi dụng để tống tiền. Với các lãnh đạo doanh nghiệp, thiệt hại tài chính hiện nay đã vượt xa chi phí khôi phục hệ thống.
Ransomware không còn chỉ là mã hóa dữ liệu
Các nhóm tấn công ngày càng có xu hướng đánh cắp dữ liệu trước khi tiến hành mã hóa. Điều này tạo thêm nhiều đòn bẩy để gây áp lực. Ngay cả khi doanh nghiệp có sẵn bản sao lưu và có thể khôi phục hệ thống, nguy cơ hợp đồng, hồ sơ nhân sự, thông tin khách hàng hoặc trao đổi nội bộ bị rò rỉ vẫn có thể khiến sự cố kéo dài trong nhiều tuần hoặc nhiều tháng. Vì vậy, ransomware hiện đồng thời là một vụ rò rỉ dữ liệu, một vấn đề pháp lý và một thách thức về uy tín.
Sự thay đổi này rất quan trọng vì nhiều tổ chức hiện vẫn chuẩn bị cho thời gian gián đoạn nhiều hơn là cho nguy cơ lộ lọt thông tin. Chiến lược sao lưu rất cần thiết, nhưng không thể ngăn dữ liệu bị đánh cắp trở nên công khai. Trong nhiều trường hợp, ban lãnh đạo chỉ nhận ra quá muộn rằng kế hoạch đảm bảo liên tục kinh doanh chỉ bao quát việc khôi phục hệ thống, trong khi kế hoạch ứng phó sự cố lại chưa xử lý đầy đủ các tình huống như tống tiền, báo cáo theo quy định, truyền thông với các bên liên quan hoặc rủi ro từ bên thứ ba.
Tác động đến doanh nghiệp vượt xa phạm vi IT
Khi kẻ tấn công đánh cắp thông tin, hệ quả thường lan nhanh ra toàn tổ chức. Đội ngũ bảo mật có thể kiểm soát phần sự cố kỹ thuật, nhưng bộ phận pháp chế, phụ trách tuân thủ, quản lý vận hành và ban điều hành mới thường là những bên phải gánh phần áp lực kéo dài hơn. Niềm tin của khách hàng có thể suy giảm. Nghĩa vụ theo hợp đồng có thể bị kích hoạt. Cơ quan quản lý cũng có thể tăng cường giám sát, đặc biệt khi sự cố liên quan đến dữ liệu cá nhân hoặc dữ liệu nhạy cảm.
Chi phí vì thế cũng khó dự đoán hơn. Thời gian gián đoạn thường có thể đo bằng giờ hoặc ngày, nhưng đánh cắp dữ liệu lại tạo thêm một lớp bất định khác. Tổ chức có thể phải thực hiện điều tra forensics, thông báo vi phạm dữ liệu, thuê tư vấn pháp lý bên ngoài, hỗ trợ quan hệ công chúng và theo dõi liên tục cho các bên bị ảnh hưởng. Trong những lĩnh vực như y tế, tài chính và sản xuất, áp lực còn có thể lớn hơn vì dữ liệu bị đánh cắp có thể ảnh hưởng đến quyền riêng tư của bệnh nhân, hồ sơ tài chính hoặc thông tin vận hành độc quyền.
Những điểm mà nhiều tổ chức vẫn còn dễ bị khai thác
Các chiến dịch ransomware hiếm khi thành công chỉ vì một sai sót đơn lẻ. Phần lớn trường hợp, kẻ tấn công tận dụng những lỗ hổng tích tụ theo thời gian. Danh tính số không được quản lý chặt chẽ, kiểm soát truy cập từ xa yếu, khả năng quan sát mạng hạn chế và quản trị dữ liệu thiếu nhất quán đều có thể khiến việc đánh cắp thông tin giá trị trở nên dễ dàng hơn trước khi bất kỳ ai phát hiện ra. Khi đã xâm nhập được vào hệ thống, kẻ tấn công thường di chuyển đến các hệ thống và kho dữ liệu quan trọng nhất đối với doanh nghiệp.
Một vấn đề phổ biến khác là cho rằng chỉ cần phòng ngừa là đủ. Bảo vệ endpoint mạnh và bảo mật email tốt giúp giảm rủi ro, nhưng không thể loại bỏ hoàn toàn rủi ro đó. Tổ chức cũng cần biết dữ liệu nào là quan trọng nhất, dữ liệu đang nằm ở đâu, ai có quyền truy cập và làm thế nào để phát hiện sớm những luồng di chuyển bất thường. Nếu thiếu khả năng quan sát này, đội ngũ ứng phó có thể khôi phục hoạt động mà vẫn chưa thực sự hiểu dữ liệu nào đã bị lấy đi.
Một chiến lược ứng phó mạnh hơn cần có những gì
Cách tiếp cận hiệu quả hơn bắt đầu từ việc xem ransomware vừa là mối đe dọa đến tính sẵn sàng của hệ thống, vừa là mối đe dọa làm lộ dữ liệu. Điều đó có nghĩa là kế hoạch ứng phó cần kết nối bộ phận bảo mật, pháp lý, vận hành và lãnh đạo từ trước khi sự cố xảy ra. Mục tiêu không chỉ là khôi phục hệ thống, mà còn là giảm khả năng dữ liệu bị đánh cắp biến thành một cuộc khủng hoảng kinh doanh kéo dài.
- Ưu tiên xác định dữ liệu nhạy cảm và lập bản đồ nơi dữ liệu được lưu trữ
- Hạn chế quyền truy cập không cần thiết bằng các biện pháp kiểm soát danh tính và đặc quyền chặt chẽ hơn
- Giám sát các dấu hiệu di chuyển dữ liệu bất thường, không chỉ hoạt động malware
- Kiểm thử kế hoạch ứng phó sự cố với các kịch bản tống tiền và công khai dữ liệu
- Rà soát đồng bộ quy trình sao lưu, phân đoạn mạng và khôi phục
Những bước này giúp tổ chức đưa ra quyết định tốt hơn trong điều kiện áp lực cao. Chúng cũng tăng cường khả năng chống chịu bằng cách giảm giá trị mà kẻ tấn công có thể khai thác sau khi đã xâm nhập. Trong nhiều trường hợp, khác biệt giữa một sự cố được kiểm soát và một cuộc khủng hoảng kéo dài nằm ở mức độ chuẩn bị, khả năng quan sát và sự phối hợp liên chức năng.
Lựa chọn hỗ trợ an ninh mạng phù hợp
Phòng vệ trước ransomware hiếm khi được giải quyết chỉ bằng một công cụ. Phần lớn tổ chức cần kết hợp giữa bảo vệ danh tính, bảo mật endpoint, kiểm soát mạng, chiến lược sao lưu, giám sát và khả năng sẵn sàng ứng phó sự cố. Thách thức nằm ở việc lựa chọn công nghệ phù hợp với nhu cầu vận hành mà không làm tăng thêm độ phức tạp hoặc để lại các khoảng trống quan trọng giữa các đội ngũ và hệ thống.
Các tổ chức đang đánh giá giải pháp để tăng khả năng chống chịu trước ransomware có thể làm việc với Terrabyte để xác định những công nghệ bảo mật phù hợp với hồ sơ rủi ro, mối quan ngại về lộ lọt dữ liệu và yêu cầu ứng phó của mình. Với vai trò là nhà phân phối an ninh mạng và đối tác công nghệ đáng tin cậy, Terrabyte hỗ trợ doanh nghiệp đánh giá tổ hợp giải pháp phù hợp cho phòng ngừa, phát hiện, ngăn chặn và khôi phục.
