Một trong những tính năng quan trọng nhất của bất kỳ trung tâm dữ liệu nào là tính bảo mật của nó .

Rốt cuộc, các công ty đang tin tưởng dữ liệu quan trọng trong sứ mệnh của họ sẽ được chứa trong cơ sở.

Trong những năm gần đây, bảo mật ngày càng trở nên quan trọng hơn đối với các doanh nghiệp. Cho dù bạn lưu trữ dữ liệu của mình trong một trung tâm dữ liệu nội bộ hay với nhà cung cấp bên thứ ba, các cuộc tấn công mạng và là mối đe dọa thực sự và ngày càng tăng đối với hoạt động của bạn. Họ có kế hoạch ngăn chặn các cuộc tấn công DDoS không?

Mỗi năm, số lượng các sự cố bảo mật ngày càng tăng và khối lượng dữ liệu bị xâm nhập cũng tăng theo tỷ lệ thuận.

Trong 6 tháng đầu năm 2018, 3.353.172.708 hồ sơ đã bị xâm phạm. Tăng 72% so với cùng kỳ năm 2017. Theo Chỉ số mức độ vi phạm ,

Tương ứng, việc bảo vệ dữ liệu ở mọi cấp độ quan trọng hơn bao giờ hết. Bảo mật trung tâm dữ liệu của bạn hoặc chọn một nhà cung cấp tuân thủ phải là cốt lõi trong chiến lược bảo mật của bạn.

Một thực tế là các sự cố và tấn công an ninh mạng đang diễn ra ngày càng thường xuyên hơn và rầm rộ hơn.

>>> Tầm quan trọng của Internet trong cuộc sống

Mức độ bảo mật của Trung tâm dữ liệu là gì?

Các tiêu chuẩn bảo mật trung tâm dữ liệu giúp thực thi các phương pháp hay nhất về bảo vệ dữ liệu. Hiểu được phạm vi và giá trị của chúng là điều cần thiết để lựa chọn nhà cung cấp dịch vụ. Nó cũng đóng một vai trò trong việc phát triển một chiến lược CNTT dài hạn có thể liên quan đến việc thuê ngoài rộng rãi.

Bài viết này đề cập đến các tiêu chuẩn trung tâm dữ liệu quan trọng và lịch sử thay đổi của chúng. Ngoài việc tìm hiểu ý nghĩa của các tiêu chuẩn này, các doanh nghiệp cũng cần phải cập nhật bất kỳ bản cập nhật hoạt động nào có thể ảnh hưởng đến chúng.

Thách thức thực sự là nhiều người bên ngoài lĩnh vực kiểm toán có thể không hiểu đầy đủ về các phân loại khác nhau. Họ thậm chí có thể không biết những gì cần tìm trong thiết kế và chứng nhận trung tâm dữ liệu.

Để giúp bạn đưa ra quyết định sáng suốt hơn về các dịch vụ trung tâm dữ liệu của mình, đây là tổng quan về các khái niệm bạn nên hiểu.

Tuân thủ Trung tâm Dữ liệu

Chứng nhận & Tiêu chuẩn đánh giá SSAE 18

Một tiêu chuẩn lâu đời trong ngành trung tâm dữ liệu, SAS 70 đã chính thức ngừng hoạt động vào cuối năm 2010. Ngay sau khi ngừng hoạt động, nhiều cơ sở đã chuyển sang SSAE 16.

Tuy nhiên, cần hiểu rằng không có chứng nhận nào cho SSAE 16. Đây là một tiêu chuẩn được phát triển bởi Hội đồng Tiêu chuẩn Kiểm toán (ASB) của Viện Kế toán Công chứng Hoa Kỳ (AICPA).

Bỏ những từ viết tắt phức tạp sang một bên, SSAE 16 không phải là thứ mà một công ty có thể đạt được. Nó là một tiêu chuẩn chứng thực được sử dụng để tạo uy tín cho các quy trình của tổ chức. Trái ngược với SAS 70, SSAE 16 yêu cầu các nhà cung cấp dịch vụ “cung cấp một khẳng định bằng văn bản về tính hiệu quả của các biện pháp kiểm soát”. Bằng cách đó, SSAE 18 đã đưa ra một biện pháp kiểm soát hiệu quả hơn đối với các quy trình và hệ thống của công ty, trong khi SAS 70 chủ yếu là thực hành kiểm toán.

Điều quan trọng cần đề cập là SSAE 16 được sử dụng để dẫn đến báo cáo Kiểm soát Tổ chức Dịch vụ ( SOC hoặc trung tâm hoạt động bảo mật ) 1. Báo cáo này vẫn đang được sử dụng và cung cấp thông tin chi tiết về các chính sách và quy trình báo cáo của công ty.

Sau nhiều năm tồn tại, SSAE 16 gần đây đã được thay thế bằng một phiên bản sửa đổi. Kể từ ngày 1 tháng 5 năm 2017, nó không còn có thể được phát hành nữa và thay vào đó, SSAE 18 cải tiến sẽ được sử dụng.

SSAE 18 được xây dựng dựa trên phiên bản trước đó với một số bổ sung đáng kể. Cả hai quy trình này đều đề cập đến các quy trình đánh giá rủi ro, vốn trước đây chỉ là một phần của chứng nhận SOC 2 .

Các bản cập nhật cho SSAE 18 bao gồm:

• Hướng dẫn đánh giá rủi ro. Phần này giúp các tổ chức thực thi đánh giá và xem xét các rủi ro công nghệ tiềm ẩn thường xuyên.
• Kiểm soát tổ chức dịch vụ phụ bổ sung. Một phần mới trong tiêu chuẩn nhằm mục đích cung cấp rõ ràng hơn cho các hoạt động của một nhà cung cấp bên thứ ba cụ thể.

Với những thay đổi này, tiêu chuẩn được cập nhật nhằm mục đích cải thiện hơn nữa việc giám sát trung tâm dữ liệu. Một trong những biện pháp phòng ngừa quan trọng nhất chống lại các hành vi vi phạm và gian lận, giám sát các hệ thống và hoạt động quan trọng, là nền tảng của các tổ chức an toàn. Điều đó có thể đã tạo ra nhiều công việc hơn cho nhà cung cấp dịch vụ, nhưng nó cũng đưa tính bảo mật của họ lên cấp độ tiếp theo.

Trong số các báo cáo liên quan đến trung tâm dữ liệu, SOC 1 là báo cáo gần nhất với SAS 70 cũ. Tổ chức dịch vụ (trung tâm dữ liệu) xác định các kiểm soát nội bộ mà các cuộc đánh giá được thực hiện.

Mục đích chính của SOC 1 là cung cấp thông tin về cấu trúc kiểm soát của nhà cung cấp dịch vụ. Nó đặc biệt quan trọng đối với SaaS và các công ty công nghệ cung cấp một số dịch vụ quan trọng cho các doanh nghiệp. Về mặt đó, họ được tích hợp nhiều hơn vào các quy trình của khách hàng so với một đối tác kinh doanh hoặc cộng tác viên nói chung.

SOC 1 cũng áp dụng bất cứ lúc nào có liên quan đến các ứng dụng tài chính hoặc cơ sở hạ tầng cơ bản của khách hàng. Đám mây sẽ đủ điều kiện cho loại báo cáo này. Tuy nhiên, SOC 1 không áp dụng cho các nhà cung cấp vị trí không thực hiện các dịch vụ được quản lý.

SOC 2 dành riêng cho các tổ chức dịch vụ có các biện pháp kiểm soát không liên quan đến các yêu cầu báo cáo hoặc ứng dụng tài chính của khách hàng. Các cơ sở trung tâm dữ liệu định vị cung cấp quyền lực và kiểm soát môi trường sẽ đủ điều kiện ở đây. Tuy nhiên, không giống như SOC 1, các biện pháp kiểm soát được cung cấp (hoặc quy định) bởi AICPA (Nguyên tắc Dịch vụ Tin cậy) và được kiểm tra dựa trên đó.

Trở thành đơn khiếu nại SOC 2 là một quá trình nghiêm ngặt hơn. Nó yêu cầu các nhà cung cấp dịch vụ báo cáo về tất cả các chi tiết liên quan đến các hoạt động kiểm soát quyền truy cập và ủy quyền nội bộ của họ, cũng như các quy trình giám sát và thông báo.

SOC 3 yêu cầu kiểm toán tương tự như SOC 2 (kiểm soát theo quy định). Tuy nhiên, nó không bao gồm báo cáo hoặc bảng thử nghiệm. Bất kỳ tổ chức kiểu người tiêu dùng nào cũng có thể chọn đi theo con đường này để họ có thể đăng biểu tượng SOC trên trang web của họ, v.v.

HIPAA và PCI DSS là hai khái niệm quan trọng cần hiểu khi đánh giá tính bảo mật của trung tâm dữ liệu.

HIPAA

HIPAA (Đạo luật về trách nhiệm giải trình và cung cấp bảo hiểm y tế) quy định dữ liệu, bảo mật lưu trữ đám mây và các phương pháp quản lý tốt nhất trong ngành chăm sóc sức khỏe. Do tính chất nhạy cảm của dữ liệu chăm sóc sức khỏe, bất kỳ tổ chức nào xử lý chúng đều phải tuân thủ các quy tắc bảo mật nghiêm ngặt.

Việc tuân thủ HIPAA cũng ảnh hưởng đến các nhà cung cấp trung tâm dữ liệu. Trên thực tế, nó áp dụng cho bất kỳ tổ chức nào làm việc với nhà cung cấp dịch vụ chăm sóc sức khỏe và có quyền truy cập vào dữ liệu y tế. HIPAA xem xét tất cả các tổ chức như vậy là nhà cung cấp dịch vụ chăm sóc sức khỏe Liên kết Kinh doanh.

Nếu bạn hoặc khách hàng của bạn có quyền truy cập vào dữ liệu chăm sóc sức khỏe, bạn cần kiểm tra xem bạn có đang sử dụng Nhà cung cấp dịch vụ lưu trữ tuân thủ HIPAA hay không . Sự tuân thủ này đảm bảo rằng nó có thể cung cấp các mức độ an toàn dữ liệu cần thiết. Ngoài ra, nó có thể cung cấp tài liệu bạn có thể cần gửi để chứng minh sự tuân thủ.

Tiêu chuẩn bảo mật dữ liệu ngành thẻ thanh toán PCI-DSS

Còn đối với PCI DSS (Tiêu chuẩn bảo mật dữ liệu ngành thẻ thanh toán), nó là tiêu chuẩn liên quan đến tất cả các loại hình kinh doanh thương mại điện tử. Bất kỳ trang web hoặc công ty nào chấp nhận giao dịch trực tuyến đều phải được PCI DSS xác minh. Chúng tôi đã tạo danh sách kiểm tra tuân thủ PCI để hỗ trợ.

PCI DSS được phát triển bởi PCI SSC (Hội đồng Tiêu chuẩn Bảo mật Ngành Thẻ Thanh toán), với các thành viên bao gồm các công ty thẻ tín dụng như Visa, Mastercard, American Express, v.v. Ý tưởng chính đằng sau nỗ lực hợp tác của họ để phát triển tiêu chuẩn này là giúp cải thiện an toàn thông tin tài chính của khách hàng.

PCI DSS 3.2 đã được cập nhật gần đây. Nó liên quan đến một loạt các cập nhật để giải quyết thanh toán di động. Theo tốc độ thay đổi trong ngành, PCI vẫn là một tiêu chuẩn phù hợp cho tất cả các doanh nghiệp thương mại điện tử.

Xem thêm các dịch vụ cốt lõi của VDO:

Thuê chỗ đặt server – Thuê máy chủ – Thuê VPS

– VPGD HN: Tầng 2, số 61 Mễ Trì Thượng, Phường Mễ Trì, Quận Nam Từ Liêm,Thành Phố Hà Nội.
– Tel: 024 7305 6666
– VPGD TPHCM: Phòng 13.09, Lô C, Số 974A Trường Sa (Co.opmart Nhiêu Lộc), Phường 12, Quận 3, Hồ Chí Minh.
– Tel: 028 7308 6666
– Contact Center: 1900 0366
– Email: [email protected]
– Website: https://vdodata.vn/