MongoDB giới thiệu Queryable Encryption để bảo mật luồng dữ liệu nhạy cảm

  Công nghệ mới giảm thiểu rủi ro lộ dữ liệu và có thể sử dụng với AWS Key Management Service, Microsoft Azure Key Vault và Google Cloud Key Management Service. 

MongoDB, nền tảng dành cho nhà phát triển dữ liệu, đã công bố tính khả dụng chung của Queryable Encryption, công nghệ mã hóa dữ liệu end-to-end để bảo mật các luồng làm việc nhạy cảm của ứng dụng. Nó được thiết kế để giảm rủi ro lộ dữ liệu cho các tổ chức và giúp doanh nghiệp bảo vệ thông tin nhạy cảm khi nó được truy vấn/sử dụng trên MongoDB.

Queryable Encryption của MongoDB có thể được sử dụng với AWS Key Management Service, Microsoft Azure Key Vault, Google Cloud Key Management Service và các dịch vụ khác tuân thủ giao thức quản lý khóa liên tác (KMIP) để quản lý khóa mã hóa, công ty cho biết. 

Tính khả dụng chung bao gồm hỗ trợ cho các truy vấn bằng nhau, với các kiểu truy vấn bổ sung (ví dụ: khoảng, tiền tố, hậu tố và chuỗi con) sẽ có trong các bản phát hành sắp tới, công ty thêm vào. MongoDB lần đầu giới thiệu phiên bản xem trước của Queryable Encryption tại MongoDB World năm ngoái.

Queryable Encryption cung cấp khả năng giảm bớt bề mặt tấn công cho dữ liệu mật trong một số trường hợp sử dụng. Dữ liệu vẫn được mã hóa khi chèn, lưu trữ và truy vấn, với cả truy vấn và phản hồi của chúng được mã hóa qua mạng và được chọn ngẫu nhiên để kháng tần suất phân tích. Tuy nhiên, có chi phí về không gian và thời gian đối với các truy vấn liên quan đến các trường được mã hóa.

Người dùng chọn các trường để mã hóa dựa trên độ nhạy của dữ liệu 

Với tính khả dụng chung của Queryable Encryption, khách hàng có thể bảo mật các khối lượng công việc nhạy cảm cho các trường hợp sử dụng trong các ngành được quy định chặt chẽ hoặc nhạy cảm với dữ liệu như dịch vụ tài chính, chăm sóc sức khỏe, chính phủ và cơ sở hạ tầng thiết yếu bằng cách mã hóa dữ liệu trong khi nó đang được xử lý và sử dụng, MongoDB nói trong một thông cáo báo chí. Người dùng có thể chọn các trường trong cơ sở dữ liệu MongoDB chứa dữ liệu nhạy cảm cần được mã hóa.

Ví dụ, một người dùng ứng dụng được ủy quyền tại một công ty dịch vụ tài chính có thể cần truy vấn các bản ghi bằng số tài khoản tiết kiệm của khách hàng. Khi được cấu hình với Queryable Encryption của MongoDB, nội dung truy vấn và dữ liệu trong trường tài khoản tiết kiệm sẽ vẫn được mã hóa khi đi qua mạng, trong khi được lưu trữ trong cơ sở dữ liệu và trong khi truy vấn xử lý dữ liệu để truy xuất thông tin liên quan, theo công ty. 

Sau khi dữ liệu được truy xuất, nó chỉ trở nên hiển thị đối với người dùng ứng dụng được ủy quyền với một khóa giải mã do khách hàng kiểm soát để giúp ngăn ngừa tiết lộ dữ liệu hoặc xâm chiếm dữ liệu vô tình bởi các đối tượng độc hại, họ thêm vào.

Queryable Encryption không yêu cầu chuyên môn mật mã

"Bảo vệ dữ liệu rất quan trọng đối với mọi loại tổ chức. Không chỉ khối lượng dữ liệu chúng ta tạo ra đang tăng trưởng nhanh chóng mà các quy định và yêu cầu mà doanh nghiệp phải tuân thủ cũng vậy", Kenn White, nguyên tắc bảo mật tại MongoDB nói.

MongoDB Queryable Encryption sẽ giảm đáng kể rủi ro lộ dữ liệu cho các tổ chức và giúp cải thiện tư thế bảo mật, đáp ứng các yêu cầu tuân thủ nghiêm ngặt nhất, White nói thêm. "Nó cũng sẽ hỗ trợ năng suất của nhà phát triển cho các luồng làm việc ứng dụng cực kỳ nhạy cảm, vì không yêu cầu chuyên môn về mật mã."

Công nghệ mã hóa cơ bản được phát triển bởi Nhóm Nghiên cứu Mật mã của MongoDB. Các tổ chức có thể tự do kiểm tra các kỹ thuật mật mã và mã mà nó sử dụng. 

Công nghệ là "tiêu chuẩn vàng" nhưng các nguyên tắc cơ bản về quản lý dữ liệu phải được giải quyết trước

Bất cứ điều gì giảm các vectơ tấn công vào dữ liệu nhạy cảm trong khi cho phép nó được sử dụng an toàn đều đáng được hoan nghênh, Paul Watts, chuyên gia phân tích xuất sắc tại Diễn đàn Bảo mật Thông tin nói. "Thời gian sẽ cho thấy liệu các trường hợp sử dụng thực tế có ném ra những hạn chế làm giới hạn hiệu quả hoặc khả năng mở rộng của Queryable Encryption hay không, hoặc liệu chi phí lưu trữ bổ sung liên quan đến nó có hạn chế việc áp dụng công nghệ cho một số trường hợp hay không."

Rất nhiều tổ chức vẫn đang vật lộn với "bước một" của quản lý dữ liệu, Watts nói, chiến đấu để trả lời các câu hỏi như: Chúng ta có dữ liệu gì? Nó nhạy cảm như thế nào? Ai có quyền truy cập vào nó? Và làm thế nào để cân bằng giữa bảo mật dữ liệu và khả năng khai thác dữ liệu? "Công nghệ là tiêu chuẩn vàng, và chỉ hữu ích nếu bạn đã giải quyết những cơ bản về quản trị thông tin và bảo vệ dữ liệu trước tiên."