Cách “sống sót” giữa hiểm nguy an ninh mạng dành cho người làm việc từ xa
Theo dữ liệu gần nhất từ Cục An toàn Thông tin, Bộ Thông tin và Truyền thông cho biết đã có 11.213 vụ tấn công mạng xảy ra ở Việt Nam trong 11 tháng đầu năm 2022. Các sự cố này diễn ra trong bối cảnh các mô hình làm việc khác nhau như làm việc từ xa (remote work) hay kết hợp giữa trực tuyến và truyền thống (hybrid work) đang dần trở nên phổ biến.
Tuy nhiên, làm việc từ xa đang đối mặt với nguy cơ bị tấn công dữ liệu cao hơn, vì tính chất mô hình này là không làm việc trực tiếp tại văn phòng nên yêu cầu sự bảo mật an ninh dữ liệu khắt khe. Vậy, các công ty cần làm gì để vừa bảo mật được thông tin nhưng vẫn cho phép nhân viên linh hoạt trong cách thức làm việc nhất có thể?
Tác giả: Marcelo Lebre, Đồng sáng lập, Chủ tịch & Giám đốc Công nghệ tại Remote
Thực tế cho thấy, cơ sở hạ tầng công nghệ càng phức tạp và phân nhánh thì càng có nhiều lỗ hổng, và những lỗ hổng này là mục tiêu mà các tội phạm mạng nhắm tới. Làn sóng quan tâm đến bảo mật dữ liệu không chỉ bắt nguồn từ đại dịch COVID, mà đã xuất hiện từ các cuộc tấn công mạng ở cuối những năm 2010. Dù để đảm bảo sức khỏe của nhân viên trong mùa dịch, các công ty đã lựa chọn phương án làm việc từ xa, nhưng họ vẫn ưu tiên tốc độ làm việc hơn là các giải pháp bảo mật thông tin toàn diện.
Một khảo sát của Hiệp hội an toàn thông tin Việt Nam (VNISA) về thực trạng an ninh mạng của 135 tổ chức tại Việt Nam cho biết, có tới 76% tổ chức tiết lộ đội ngũ nhân viên an ninh mạng của họ không đáp ứng được yêu cầu hiện nay. Trong nỗi lo sợ tăng cao và tình trạng xử lý qua loa của các doanh nghiệp trong nước, cách thức xâm nhập và đánh cắp dữ liệu đang ngày càng chuyên nghiệp hơn và số lượng tội phạm mạng có tổ chức đang gia tăng đáng kể.
Quản lý rủi ro trong các công việc phân nhánh (decentralized work)
Các doanh nghiệp cần chủ động xây dựng một hệ thống công việc từ xa nhanh chóng và an toàn, đào tạo bảo mật thường xuyên và mã hóa thông tin là điều cần thiết để giảm thiểu rủi ro. Vì suy cho cùng, ngay cả nền tảng công nghệ tốt nhất cũng không thể tự chống chọi trước tội phạm mạng, trừ khi đội ngũ nhân viên trong công ty cùng nhau hợp sức. Các công ty phải bắt đầu ở nơi có rủi ro lớn nhất - đó là chính con người, đặc biệt là người lao động làm việc từ xa.
Theo Hướng dẫn Bảo vệ dữ liệu và thiết bị mạng (IP) của công ty quản lý nhân sự Remote, nếu không xử lý vấn đề bảo mật dữ liệu triệt để có thể khiến máy chủ gặp một số vấn đề, bao gồm việc mở quyền truy cập cho mã độc tống tiền (ransomware).
Việt Nam cũng đã có những quy định rõ ràng về nhiệm vụ bảo vệ hệ thống thông tin, nâng cao nhận thức an toàn thông tin mạng, xác lập các biện pháp bảo vệ hệ thống thông tin trong Luật An toàn thông tin mạng (từ Điều 21 đến Điều 27, Mục 3, Chương II) và doanh nghiệp hoàn toàn có thể bị phạt nếu vi phạm những điều mục này[1]. Bên cạnh đó, doanh nghiệp rất khó để xây dựng lại niềm tin của khách hàng cũng như đội ngũ nhân viên.:max_bytes(150000):strip_icc()/GettyImages-1369954837-c20e50f4994d43309e9cbe5820573b07.jpg)
Bốn trụ cột để đảm bảo an toàn thông tin
1. Nguyên tắc “Đặc quyền tối thiểu”: Quản lý CNTT hoặc nhân sự sẽ cấp cho nhân viên quyền truy cập giới hạn các tệp tin hoặc các loại tài nguyên tùy theo cấp bậc. Chẳng hạn, không phải ai trong bộ phận marketing cũng cần xem dữ liệu chi tiết của kế toán và ngược lại.
Ngoài ra, công ty có thể cấp quyền theo nhiều cấp độ, như xem dữ liệu nhưng không thể chỉnh sửa nội dung. Đặc biệt với nhân viên làm việc từ xa, họ chỉ nên được truy cập những nội dung trong giới hạn công việc để tránh tạo cơ hội cho tin tặc tiếp cận dữ liệu mật của công ty.
2. Đăng nhập bảo mật SSO: Cụm SSO là viết tắt của ‘Single Sign-on - Đăng nhập một lần’ và là hình thức đăng nhập yêu cầu xác thực để người dùng đăng nhập an toàn nhiều website và ứng dụng. Giải pháp này cực kỳ phù hợp với nhân viên làm từ xa, thay vì phải đăng nhập nhiều lần ở từng nơi khác nhau thì dữ liệu xác minh sẽ nhận diện nhân viên và xác thực quyền truy cập của họ.
Điều này không chỉ giúp tiết kiệm thời gian mà còn giúp nhân viên không phải nhớ quá nhiều mật khẩu, vì tội phạm mạng thường lợi dụng việc này để chiếm đoạt tài khoản và xâm nhập lỗ hổng bảo mật trong công ty.
3. Mô hình bảo mật Zero-Trust: Trong công ty thường sẽ có tình trạng tin tưởng ngầm giữa các nhân viên, và đây là mối đe dọa cho an ninh dữ liệu. Kết hợp với nguyên tắc “Đặc quyền tối thiểu”, người sử dụng và thiết bị truy cập chỉ được cấp quyền vào tài nguyên nhất định mà họ cần cho công việc, và họ đều phải xác minh danh tính ở mọi bước truy cập, bất kể họ ở đâu hay sử dụng mạng lưới nào.
Mô hình này cũng áp dụng cho người làm việc từ xa trong việc sử dụng mạng Internet, khi không tin tưởng và hạn chế truy cập các điểm mạng công cộng nhằm giảm thiểu nguy cơ bị xâm nhập…
4. Tập huấn thường xuyên: Đối với các công ty muốn áp dụng hình thức làm việc từ xa lâu dài thì đây là việc cần làm nhất, vì nhân viên làm việc từ xa là mắt xích yếu nhất trong cuộc chiến chống lại tội phạm số. Khi toàn bộ nhân viên không làm việc cùng một văn phòng sẽ thiếu sự quản lý chặt chẽ, từ đó dễ bị đe dọa bởi các nguy cơ bảo mật.
Do đó, những người chịu trách nhiệm then chốt cần hiểu rằng tập huấn thường xuyên là việc phải làm. Các nhân viên phải luôn được nhắc nhở về các nguy cơ bảo mật, như sử dụng mật khẩu yếu hoặc email giả mạo từ hacker, cũng như được cập nhật về các thủ thuật mới nhất của tin tặc.
Các công ty cần nhận lãnh trách nhiệm
Khi bị tội phạm mạng tấn công, công ty cần xác định chính xác nguyên nhân sự cố và mức độ thiệt hại, và trước hết phải siết chặt hệ thống an ninh và tạm ngắt các kết nối đang thực hiện. Khi nguyên nhân đã được làm rõ, bên cạnh việc xử lý triệt để các lỗ hổng an ninh thì thông báo tới những người liên quan cũng rất quan trọng.
Các vấn đề cần được nêu rõ như thông tin về sự cố: thời gian bắt nguồn, diễn biến vụ việc, hậu quả xảy ra và giải pháp khắc phục; cam kết của công ty cũng như biện pháp để hạn chế những sự cố tương tự. Đây là những vấn đề rất quan trọng để đảm bảo lòng tin của khách hàng và nhân viên, cũng như nâng cao nhận thức về nguy cơ vẫn còn tồn đọng.
[1] Legal Library, Cyber Information Security Law.
2 Thư viện Pháp luật, Luật An toàn Thông tin mạng.