Cải Thiện Bảo Mật của Equifax, Một Năm Sau Vụ Nạn Kinh Hoàng

Một năm trước vào tuần này, hãng thông tin tín dụng Equifax phát hiện dấu hiệu của một vấn đề trên mạng của mình. Một vấn đề thực sự lớn. Tin tặc đã xâm nhập vào hệ thống của công ty, đánh cắp dữ liệu cá nhân và tài chính của hơn 147 triệu người tại Hoa Kỳ, bao gồm số An Sinh Xã Hội, ngày tháng năm sinh, địa chỉ nhà, và một số số lái xe và số thẻ tín dụng. Mặc dù có những vụ việc xâm nhập khác đã tiết lộ nhiều hơn về tổng số bản ghi, thì vụ thảm họa của Equifax được xem xét là vụ việc xâm nhập dữ liệu doanh nghiệp tồi tệ nhất từng xảy ra tại Hoa Kỳ, cả về quy mô và tính chất thông tin mà nó đã tiết lộ.

Tuy nhiên, Equifax cũng đã chuẩn bị rất kém để xử lý hậu quả, làm rối cả quá trình thông báo công khai và nỗ lực cung cấp nguồn lực cho những người bị ảnh hưởng. Trong những tháng kể từ đó, hãng thông tin tín dụng này đã giữ một thái độ tương đối im lặng giữa các vụ kiện phạm quyền, sự giám sát của Quốc hội, cuộc điều tra của Ủy ban Thương mại Liên bang và làn sóng các quy định mới của các tiểu bang nhằm đảm bảo rằng Equifax cải thiện đáng kể các biện pháp bảo mật của mình.

Như một phần của quá trình này, công ty đã tuyển dụng một giám đốc an ninh thông tin mới, Jamil Farshchi, vào tháng 2. Trong một loạt các cuộc phỏng vấn, ông và các giám đốc cấp cao khác cho biết công ty đã cam kết vào một nỗ lực mở rộng kéo dài nhiều năm để biến đổi cách tiếp cận bảo mật doanh nghiệp và dữ liệu của mình. Câu hỏi ở thời điểm này là liệu điều đó có thể là đủ không.

Hàn Gắn Rào Cản

Trước khi đến Equifax, Farshchi đã giám sát an ninh thông tin tại các công ty có rủi ro cao như Time Warner và Visa, cũng như các tổ chức chính phủ như Los Alamos National Laboratory. Ông cũng không xa lạ với việc ứng phó khẩn cấp; Home Depot đã mời ông giúp dọn dẹp vụ việc lộ dữ liệu khổng lồ của công ty vào năm 2014, khiến 56 triệu số thẻ tín dụng và thẻ ghi nợ bị tiết lộ. Nhưng khi làm việc tại Equifax bây giờ, Farshchi nhận thức về quy mô chưa từng có của cuộc khủng hoảng. "Chúng tôi đã có một trong những vụ việc xâm nhập tác động lớn nhất trong lịch sử", ông nói.

Trong năm kể từ vụ xâm nhập, công ty đã đầu tư 200 triệu đô la vào cơ sở hạ tầng an ninh dữ liệu. Và Farshchi cho biết Equifax đã cung cấp cho ông những nguồn lực cần thiết để xây dựng một chương trình an ninh xuất sắc.

"Một trong những điều tôi thực sự thích về việc làm CISO trong môi trường sau sự cố là nó mang lại cho bạn cơ hội vô cùng lớn để thúc đẩy những thay đổi cơ bản, ý nghĩa trong một khoảng thời gian ngắn", Farshchi nói. "Tôi cảm thấy như tôi đã làm những việc tốt khi tôi ở Los Alamos hoặc tại NASA, nhưng mất rất nhiều thời gian để thúc đẩy một số thứ này. Những rắc rối bạn đối mặt ở bất kỳ công ty nào không phải là sau sự cố là bạn luôn phải chiến đấu vì ngân sách, luôn phải chiến đấu để có thời gian làm việc, cố gắng bào chữa và thuyết phục mọi người về sự quan trọng của an ninh và quản lý rủi ro. Khi bạn ở trong môi trường sau sự cố, mọi người đã biết rằng nó quan trọng đến mức nào".

Tại một phiên điều trần tại Quốc hội vào tháng 10, người đứng đầu cũ của Equifax, Richard Smith, đã gợi ý đến cách tiếp cận thiếu thận trọng của công ty với vấn đề bảo mật trong nhiều năm. Smith nói rằng ông chỉ họp với các nhà quản lý bảo mật và công nghệ của công ty mỗi quý để thảo luận về tình trạng của Equifax - tức là bốn cuộc họp một năm để bảo vệ kho báu dữ liệu tiêu dùng của Hoa Kỳ. Ông chỉ ra rằng hoạt động vá phần mềm của công ty là không đủ và có khuyết sót. Thậm chí ông thừa nhận phương pháp lưu trữ dữ liệu của Equifax không liên quan đến việc mã hóa liên tục và mạnh mẽ.

Thái độ lơ đẹp này trực tiếp dẫn đến lỗ hổng mà hacker đã tận dụng để xâm nhập vào mạng của Equifax và đánh cắp dữ liệu người tiêu dùng. Lỗ hổng đó là một điểm yếu biết đến của khung web; một bản vá đã sẵn có khoảng hai tháng trước khi hacker xâm nhập vào mạng của Equifax. Công ty đã không áp dụng nó, và khi hacker đã vào mạng, việc quản lý dữ liệu kém chất lượng, kiểm soát quyền truy cập chế ngự và kiến trúc mạng mở của Equifax cho phép họ lấy một kho dữ liệu vô giá.

"Bước đầu tiên đã là ngừng máu," Farshchi nói về công việc của ông kể từ khi bắt đầu với công ty. "Chúng ta phải làm cứng biên giới và đảm bảo rằng chúng ta không còn có bất kỳ điểm yếu nào ở phía trước." Ở đầu quá trình khắc phục sau một vụ vi phạm, việc ưu tiên là thách thức khó khăn nhất, Farshchi nói, vì có quá nhiều cải tiến và sáng kiến đòi hỏi sự chú ý. Vì vậy, ông nhấn mạnh vào cơ bản và hoàn thành các dự án cơ bản trước.

Điều đó bao gồm việc cải thiện quy trình vá lỗi, quản lý lỗ hổng và quản lý chứng chỉ. Ưu tiên chính khác là tăng cường bảo vệ kiểm soát truy cập và quản lý danh tính trên toàn công ty. Bằng cách giữ hệ thống được phân chia rõ hơn, Equifax có thể giảm thiểu sự hỗn loạn không cần thiết của quyền truy cập không cần thiết mà tăng nguy cơ. Ngoài ra, Farshchi nói rằng công ty đã ưu tiên cải thiện bảo vệ dữ liệu trên toàn bộ cơ sở hạ tầng của mình, kết hợp với các chương trình phát hiện và phản ứng tốt hơn để xử lý vấn đề mới một cách nhẹ nhàng hơn nếu và khi chúng xuất hiện.

Tất cả những cải tiến này đang diễn ra khi Farshchi mở rộng đội ngũ an ninh của mình - mở rộng chuyên môn - và làm việc về quản lý và báo cáo để Equifax có thể cung cấp chứng minh về việc tuân thủ và tiến triển chung.

"Dễ dàng từ bên ngoài [để đánh giá], và tin tôi điều này, tôi đã phản ứng mạnh với vụ vi phạm của Equifax, vì tôi là một nạn nhân của nó," Farshchi nói. "Nhưng khi bạn nhìn từ bên trong, bạn thấy có bao nhiêu điều tốt là có thể sử dụng làm cơ sở cho thành công trong tương lai."

Ngoài việc tuyển dụng mới và tái cấu trúc trong bộ phận an ninh, Farshchi nói rằng công ty cũng đang làm việc để thay đổi văn hóa một cách toàn diện để tích hợp cả biện pháp phòng ngừa và đào tạo phản ứng trên mọi bộ phận. Equifax cũng đã bắt đầu chuyển những cải tiến này ra ngoài để giúp đỡ người khác - và có thể quảng bá sự biến đổi của mình trong quá trình.

"Mục tiêu của chúng tôi là tạo ra một chương trình bảo mật hàng đầu thế giới tại Equifax và chia sẻ những gì chúng tôi đã học từ những trải nghiệm của mình để cuối cùng giúp ngành công nghiệp chống lại các cuộc tấn công mạng một cách tốt hơn," Mark Begor, Giám đốc điều hành của Equifax, viết trong bình luận gửi tới MYTOUR. "An ninh dữ liệu là một cuộc chiến dài hạn yêu cầu sự đổi mới và sự chú ý liên tục. Đó luôn là ưu tiên hàng đầu của công ty chúng tôi."

Chấp Nhận Tín Dụng

Một sự tinh tế quan trọng của vụ việc xâm nhập dữ liệu của Equifax là, khác với những rò rỉ dữ liệu doanh nghiệp quy mô lớn khác, như những gì Home Depot và Target phải trải qua, dữ liệu mà Equifax tiết lộ không phải từ khách hàng trực tiếp của mình. Ba hãng thông tin tín dụng lớn - Equifax, Experian và TransUnion - sử dụng dữ liệu người tiêu dùng như một hàng hóa, bán nó cho bất kỳ ai đang tìm kiếm quyền truy cập vào bản báo cáo tín dụng. Điều này có nghĩa là những người mà Equifax đã tiết lộ thông tin không có sự lựa chọn về việc công ty giữ thông tin của họ. Trong thực tế, sự phản đối của người tiêu dùng sau vụ xâm nhập đã làm rõ rằng nhiều người ở Hoa Kỳ chưa từng nghe nói về các cơ quan thông tin tín dụng và không biết họ làm gì hoặc tại sao họ sẽ sở hữu nhiều dữ liệu cá nhân như vậy từ đầu.

Nếu không có điều gì khác, phản ứng từ vụ xâm nhập đã làm cho các quan chức của Equifax chú ý hơn đến sự phân biệt đó, và hệ quả của nó. "Chúng tôi nhất định đã thảo luận về, tại sao bạn cần tín dụng? Tín dụng là gì," Nancy Bistritz-Balkan, Phó chủ tịch giáo dục và bảo vệ quyền lợi của người tiêu dùng của Equifax, nói. "Nhưng phần giới thiệu của cuộc trò chuyện đó về những điều gì chính xác các cơ quan làm, tại sao nó quan trọng? Tôi nghĩ rằng đó chắc chắn là một phần của cuộc trò chuyện chúng tôi sẽ xem xét kỹ hơn trong tương lai. Tôi có thể nói với bạn rằng từ góc nhìn cá nhân của mình, tôi đã nhận được rất nhiều email đặt câu hỏi đó: 'Tại sao Equifax có dữ liệu của tôi?'"

Kể từ vụ xâm nhập, Equifax đã mở rộng các chương trình tiếp cận và giáo dục người tiêu dùng của mình. Nhưng ngay cả khi khách hàng nhận thức về các cơ quan thông tin tín dụng, họ vẫn không thể từ chối sử dụng chúng. "Bạn là hàng hóa của Equifax, và sự thực là bạn có ít kiểm soát hơn về dữ liệu mà họ giữ. Đó là mô hình kinh doanh của họ," ông Ira Rheingold, giám đốc điều hành của Hiệp hội Quốc gia của Người bảo vệ Quyền lợi Người tiêu dùng, nói. "Đó là điều mà người tiêu dùng quan tâm nhất. Nếu người tiêu dùng có sự lựa chọn, họ sẽ rời đi và nói, 'Tôi không muốn bạn giữ dữ liệu của tôi.'"

Nhưng Bistritz-Balkan giảm nhẹ lo lắng của người tiêu dùng về việc bị rơi vào hệ thống của các cơ quan thông tin tín dụng. "Tôi không biết tôi đã nghe thấy sự phản đối cụ thể đó hay không," bà nói. "Những gì tôi nghe từ người tiêu dùng là, 'Ở đây, chúng tôi cần hiểu thêm về điều này một chút.'"

Equifax cho biết "nâng cao trải nghiệm của người tiêu dùng khi tương tác với chúng tôi" là một trong bốn ưu tiên chính đã định hình sự biến đổi của công ty. Julia Houston, Giám đốc biến đổi chính của Equifax, một vai trò được tạo ra vào tháng 10 để điều phối các nỗ lực khắc phục vụ việc xâm nhập, giải thích rằng những ưu tiên khác bao gồm việc xây dựng lại niềm tin với khách hàng thực sự của cơ quan, trở thành một người đi đầu trong an ninh dữ liệu, và đầu tư vào cải tiến an ninh mạng.

Houston chỉ ra những gì bà gọi là "thay đổi cơ bản" trong các thực hành kinh doanh của Equifax được kích thích bởi vụ xâm nhập. "Như việc bắt đầu thay đổi cách chúng tôi tiếp cận đào tạo và giáo dục an ninh cho các chuyên gia trên toàn bộ tổ chức. Và suy nghĩ về cách chúng tôi quản lý rủi ro và giáo dục nhân viên của mình quản lý rủi ro," Houston nói. "Điều đó thực sự chỉ là thay đổi cách an ninh được liên kết trong tổ chức của chúng tôi."

Equifax cho biết công ty đã đạt được tiến triển đáng kể và mô tả một cách tiếp cận mạnh mẽ để cải thiện an ninh của mình. Nhưng đối với những người có thể hiểu rằng họ không muốn tin lời Equifax, tiến triển trong việc chịu trách nhiệm ngoại vi cũng đã đến. Công ty đã ký một hiệp ước đồng ý vào cuối tháng 6 với các cơ quan quản lý từ tám bang để đạt được những cải tiến cụ thể nhất định, như chứng minh rằng họ đã cải thiện các cơ chế giám sát, kiểm tra an ninh và giám sát mối đe doạ. Equifax phải nộp báo cáo tiến triển hàng tháng cho các cơ quan quản lý bắt đầu từ tháng này, và một công ty bên thứ ba sẽ kiểm tra để xác nhận rằng các cải tiến đã được triển khai vào cuối năm.

"Cách Equifax xử lý vụ việc của mình là sự xúc phạm, và với dữ liệu đã bị đánh cắp thì chó đã rời chuồng," nói Jason Glassberg, đồng sáng lập của công ty an ninh doanh nghiệp và kiểm thử xâm nhập Casaba Security. "Nhưng nếu Equifax thực sự đã cam kết ở mức đó để cải thiện an ninh mạng của mình thì tôi chúc mừng họ. Câu hỏi chỉ là họ đang chi tiêu số tiền lớn này vào đâu thực tế, và ảnh hưởng thực tế về an ninh sẽ là gì."

FTC cũng mở cuộc điều tra về vụ việc xâm nhập của Equifax vào tháng 9. Tháng 5, Chủ tịch FTC Joe Simons cho biết cơ quan này vẫn "tập trung mạnh mẽ" vào cuộc điều tra vụ việc xâm nhập. Nhưng trong tháng đó, FTC bổ nhiệm Andrew Smith, một luật sư đã đại diện cho nhiều tập đoàn lớn, bao gồm cả Equifax, để làm trưởng của Văn phòng Bảo vệ Người tiêu dùng.

Equifax cho biết quá trình biến đổi là cam kết dài hạn để thực hiện các hoạt động theo cách khác biệt và để kết quả nói lên chính nó. "Quan trọng để mọi người hiểu về sự nghiêm túc của chúng tôi trong việc triển khai các nỗ lực khắc phục, các đầu tư mà chúng tôi đang thực hiện trong an ninh dữ liệu và sự nghiêm túc với mà chúng tôi đối mặt với trách nhiệm đối với dữ liệu mà đã được gửi gắm với chúng tôi," Houston nói. "Chúng tôi phải tiếp tục mang lại kết quả, và sau đó khi chúng tôi thực hiện những gì chúng tôi hứa, đó là lúc chúng tôi sẽ xây dựng lại sự tin tưởng."

Đối với 147 triệu người Mỹ bị ảnh hưởng bởi vụ việc xâm nhập, tất cả những cải tiến và cải cách của Equifax có lẽ chỉ là sự an ủi nhỏ. Nhưng ít nhất là công ty đã có những bước tiến nhằm giảm thiểu khả năng xảy ra lại và sẵn sàng hơn để phản ứng nếu điều đó xảy ra. "Dù bạn đầu tư bao nhiêu, con người của bạn tuyệt vời đến đâu, hiện nay bất kỳ tổ chức nào cũng có thể bị xâm nhập," Farshchi nói. Và không ai biết điều đó tốt hơn Equifax.

Những điều tuyệt vời khác từ MYTOUR

• Gặp nhà điều tra số liệu số lọc tin giả
• Đam mê tuyệt vời của một cậu bé với quạt
• Làm thế nào chính phủ Mỹ bán "điện thoại gián điệp" cho các đối tượng nghi ngờ
• Thực sự là thịt là gì? Thức ăn được tạo ra từ tế bào gây tranh cãi
• Câu chuyện sai lệch về Amazon, người chinh phục ngành công nghiệp
• Đang tìm kiếm thêm? Đăng ký bản tin hàng ngày của chúng tôi và đừng bao giờ bỏ lỡ những câu chuyện mới nhất và tuyệt vời nhất của chúng tôi