Câu hỏi Bảo mật Zero-Knowledge: Cách Mã hóa End-to-End Ảnh hưởng đến Vòng bán hàng Doanh nghiệp
Các tổ chức doanh nghiệp yêu cầu mã hóa end-to-end hoặc zero-knowledge, nhưng những yêu cầu này có thể làm phức tạp vòng bán hàng của nhà cung cấp.
Vấn đề Tuân thủ
Khi khách hàng yêu cầu zero-knowledge mã hóa, nhà cung cấp phải trả lời các câu hỏi:
- "Bạn có thể giúp tôi nếu tôi quên mật khẩu không?"
- "Bạn có thể xem dữ liệu của tôi không?"
- "Bạn có thể thực hiện lại dữ liệu của tôi cho pháp lý không?"
Danh sách Câu hỏi Mã hóa
Nhân viên bán hàng nên chuẩn bị các câu trả lời cho:
Kiến trúc Bảo mật
- Khóa được tạo ở đâu?
- Khóa được lưu trữ ở đâu?
- Ai có quyền truy cập khóa?
- Bạn sử dụng những thuật toán mã hóa nào?
Phục hồi Dữ liệu
- Nếu người dùng quên mật khẩu chính, dữ liệu có thể được phục hồi không?
- Nếu dữ liệu bị mã hóa, bạn có thể truy cập nó không?
- Nếu người dùng yêu cầu xóa dữ liệu, bạn có thể làm gì?
Tuân thủ Pháp lý
- Bạn có thể cung cấp dữ liệu cho cơ quan pháp lý không?
- Bạn có thể cung cấp bằng chứng giám sát truy cập dữ liệu không?
- Bạn có thể cung cấp nhật ký dữ liệu được mã hóa không?
Mẫu Câu trả lời
Câu trả lời Yếu
Q: "Bạn có thể thấy dữ liệu của tôi không?"
A: "Không, chúng tôi không thể thấy dữ liệu của bạn. Nó được mã hóa." ← Không đủ
Câu trả lời Mạnh
A: "Dữ liệu của bạn được mã hóa bằng AES-256. Khóa được tạo ra trên thiết bị của bạn. Chúng tôi không bao giờ có quyền truy cập vào khóa của bạn. Nếu bạn mất khóa, chúng tôi không thể giúp bạn khôi phục dữ liệu. Đã được kiểm tra bảo mật độc lập [link]." ← Đủ
Chuẩn bị cho Vòng bán hàng
Trước Cuộc gọi bán hàng
-
Xác định yêu cầu bảo mật của khách hàng:
- Zero-knowledge?
- End-to-end encrypted?
- Hay chỉ "mã hóa trong quá trình vận chuyển"?
-
Chuẩn bị câu trả lời hoặc liên hệ với kỹ thuật:
- Nếu bạn không thể trả lời, hãy nói "Tôi sẽ kiểm tra với kỹ thuật của chúng tôi"
- Không nói dối về bảo mật (sẽ bị phát hiện)
Trong Cuộc gọi bán hàng
-
Nếu khách hàng yêu cầu zero-knowledge:
- Điều này có nghĩa là nếu họ quên mật khẩu, chúng tôi không thể giúp
- Họ có chấp nhận rủi ro đó không?
- Nếu không, chúng tôi cần một kiến trúc khác (được mã hóa nhưng khóa được quản lý)
-
Nếu khách hàng yêu cầu tuân thủ pháp lý:
- Nếu dữ liệu được mã hóa zero-knowledge, chúng tôi không thể cung cấp nó
- Cơ quan pháp lý có thể buộc họ cung cấp khóa
- Chúng tôi có cần kiến trúc khác không?