Doanh nghiệp nhỏ không cần một chương trình bảo mật đắt tiền mới an toàn ở mức hợp lý. Cái cần là một bộ nền ngắn gọn mà mọi người thật sự làm theo: mật khẩu riêng biệt cất trong trình quản lý mật khẩu, xác thực hai lớp cho email và mọi tài khoản quan trọng, tài khoản thuộc về công ty chứ không phải của cá nhân, thiết bị được cập nhật, một bản sao lưu ngoại tuyến đã thử khôi phục, một quy tắc kiểm chứng khi có yêu cầu đổi thông tin thanh toán, và quy trình rõ ràng khi nhân viên vào làm hay nghỉ việc. Viết trên một trang và xem lại mỗi quý, bộ nền này chặn được phần lớn các đòn tấn công nhắm vào doanh nghiệp từ mười đến năm mươi người.
Cái khó không nằm ở chỗ biết phải làm gì, mà ở chỗ giữ cho nó còn sống sau tháng đầu tiên. Muốn vậy cần một người phụ trách có tên, vài phép kiểm đơn giản và thói quen vá lỗ hổng nhỏ trước khi nó thành sự cố.
Vì sao một bộ nền tốt hơn một dự án bảo mật lớn
Chủ doanh nghiệp nhỏ thường nghe về bảo mật theo một trong hai kiểu: tin tức đáng sợ về những vụ rò rỉ khổng lồ, hoặc lời chào hàng cho những sản phẩm phức tạp. Cả hai đều không giúp họ quyết sáng thứ Hai nên làm gì. Kết quả thường là không làm gì cả, hoặc mua một công cụ đắt tiền rồi chẳng ai cấu hình cho tử tế.
Phần lớn đòn tấn công vào doanh nghiệp nhỏ không hề tinh vi. Chúng dùng mật khẩu bị đánh cắp hay dùng lại, email lừa đảo, thiết bị chưa vá, yêu cầu thanh toán giả và việc không có bản sao lưu. Một danh sách ngắn các biện pháp cơ bản chặn được đa số, giống như khoá cửa, cài then cửa sổ ngăn được phần lớn vụ trộm mà không cần két sắt.
Bộ nền chính là danh sách ngắn đó, được viết ra, giao cho người cụ thể và kiểm định kỳ. Giá trị của nó nằm ở chỗ mọi mục đều được làm đều đặn, hơn là ở bất kỳ mục riêng lẻ nào. Chỉ một tài khoản email không bảo vệ hay một nhân viên cũ bị quên chưa thu quyền là đủ phá hỏng phần còn lại.
Bài này đưa ra một bộ nền hợp với doanh nghiệp khoảng năm đến năm mươi người, không có nhân sự bảo mật riêng. Cứ điều chỉnh cho hợp, nhưng đừng vội kéo dài nó khi bản ngắn còn chưa vững.
Bộ nền một trang
Chép bảng này vào một tài liệu dùng chung, điền tên người phụ trách cho từng dòng và ngày kiểm gần nhất.
| Mảng | Mức tối thiểu | Người phụ trách thường là | Kiểm |
|---|---|---|---|
| Mật khẩu | Mật khẩu riêng biệt cất trong trình quản lý mật khẩu doanh nghiệp | Quản lý văn phòng hoặc đầu mối IT | Mỗi quý |
| Xác thực hai lớp | Bật cho email, lưu trữ đám mây, ngân hàng, trang mạng xã hội, truy cập từ xa | Đầu mối IT | Mỗi quý |
| Quyền sở hữu tài khoản | Tài khoản thuộc công ty, mỗi dịch vụ quan trọng có ít nhất hai quản trị viên | Giám đốc | Mỗi quý |
| Thiết bị | Khoá màn hình, cập nhật tự động, phần mềm bảo mật, không dùng phần mềm lậu | Đầu mối IT | Mỗi tháng |
| Email và thanh toán | Gọi điện xác minh mọi yêu cầu đổi số tài khoản hay chuyển tiền gấp | Kế toán | Mỗi lần có yêu cầu |
| Sao lưu | Sao lưu hằng ngày có phiên bản, thêm một bản ngoại tuyến hoặc không sửa được, đã thử khôi phục | Đầu mối IT | Vài tháng thử khôi phục một lần |
| Biến động nhân sự | Danh sách việc khi vào làm và nghỉ việc, thu quyền ngay ngày cuối | Nhân sự hoặc quản lý văn phòng | Mỗi lần có thay đổi |
| Kế hoạch sự cố | Một trang: ai quyết, gọi ai, ngắt mạng thế nào | Giám đốc | Diễn tập mỗi năm |
Dòng nào không có người phụ trách thì sẽ không ai làm. Ở công ty rất nhỏ, một người có thể phụ trách nhiều dòng; không sao, miễn là ghi ra giấy.
Tài khoản và danh tính: phần móng
Gần như mọi sự cố nghiêm trọng ở doanh nghiệp nhỏ đều bắt đầu từ một tài khoản: mật khẩu email bị đoán hay bị lừa lấy, trang mạng xã hội chạy bằng tài khoản cá nhân của một người, mật khẩu dùng chung mà nhân viên cũ vẫn nhớ. Làm đúng phần tài khoản là gỡ được những điểm khởi đầu phổ biến nhất.
Mọi dịch vụ quan trọng phải thuộc sở hữu của công ty, dùng tài khoản doanh nghiệp nếu nền tảng có, và có ít nhất hai quản trị viên để một tài khoản bị mất hay bị chiếm không khoá được cả công ty. Tài khoản cá nhân của nhân viên không bao giờ được là chìa khoá duy nhất vào tài sản của công ty.
Mật khẩu nên nằm trong trình quản lý mật khẩu doanh nghiệp, có két chung theo nhóm, để cấp và thu quyền gọn gàng. Cách thiết lập thực tế, gồm cụm mật khẩu chính và phương án khôi phục, có trong bài dùng trình quản lý mật khẩu cho an toàn.
Xác thực hai lớp bật cho mọi thứ quan trọng, bắt đầu từ email. Với quản trị viên và nhân viên tài chính, ưu tiên ứng dụng xác thực, passkey hay khoá bảo mật, vì đó là những tài khoản kẻ lừa đảo cố công nhắm tới nhất.
Khi nhân viên vào làm và khi nghỉ việc
Biến động nhân sự là lúc quyền truy cập âm thầm tích tụ. Một danh sách việc biến nó thành thủ tục bình thường.
- Tạo tài khoản theo một danh sách chuẩn. Email, trình quản lý mật khẩu, ổ dùng chung, ứng dụng chat, và chỉ những hệ thống vị trí đó cần.
- Cài xác thực hai lớp ngay ngày đầu. Ngồi làm cùng nhân viên mới để làm cho đúng và họ biết cách khôi phục.
- Giải thích ba luật vàng. Không bao giờ đưa mã cho ai, gọi điện xác minh khi có yêu cầu đổi thông tin thanh toán, thấy gì đáng ngờ thì báo ngay mà không sợ bị trách.
- Ghi lại họ dùng những thiết bị nào. Laptop công ty, điện thoại cá nhân có email công việc, thiết bị nào khác có dữ liệu công ty.
- Ngày cuối cùng, thu mọi quyền truy cập. Vô hiệu hoá tài khoản, gỡ khỏi két dùng chung và vai trò quản trị, chuyển quyền sở hữu file và trang.
- Đổi các mật khẩu dùng chung họ từng biết. Wifi, tài khoản mạng xã hội chung, mã báo động và mọi thứ không có đăng nhập riêng từng người.
- Thu thiết bị công ty và gỡ dữ liệu công ty khỏi thiết bị cá nhân. Dùng công cụ quản lý thiết bị hoặc cài đặt ứng dụng sẵn có, và xác nhận bằng văn bản.
Đừng để thủ tục nghỉ việc chờ tới tuần nào rảnh. Quyền truy cập còn mở cả tháng sau khi người ta nghỉ là một trong những phát hiện hay gặp nhất khi doanh nghiệp rà soát bảo mật.
Thiết bị: laptop, điện thoại, máy in và router
Giữ một danh sách thiết bị đơn giản. Mọi máy tính, điện thoại có email công ty, máy in, router, camera, ổ lưu trữ mạng. Không biết mình có gì thì không bảo vệ được.
Bật cập nhật tự động. Cho hệ điều hành, trình duyệt, phần mềm văn phòng. Lên lịch cập nhật cho cả router và tường lửa.
Thay thiết bị không còn nhận bản vá bảo mật. Router cũ và máy tính chạy hệ điều hành hết hỗ trợ là lối vào hay gặp.
Dùng khoá màn hình và mã hoá ổ đĩa. Mất laptop có mã hoá là mất tiền phần cứng; không mã hoá thì có thể thành vụ lộ dữ liệu.
Cài phần mềm bảo mật có uy tín. Bảo đảm cảnh báo tới được người sẽ đọc.
Gỡ phần mềm lậu và phần mềm không cần. Chương trình crack và công cụ bỏ không dùng làm tăng rủi ro mà chẳng thêm giá trị gì.
Đổi mật khẩu mặc định trên thiết bị mạng. Router, camera, máy in, ổ lưu trữ thường xuất xưởng với thông tin đăng nhập mặc định ai cũng biết.
Tách wifi cho khách. Khách hàng và người tới chơi không nên dùng chung mạng với máy tính văn phòng.
Email: cửa chính, và cái bẫy thanh toán
Email là nơi phần lớn đòn tấn công bắt đầu. Bộ lọc thư rác của các dịch vụ email uy tín chặn được nhiều, nhưng không phải tất cả. Nhân viên cần một thói quen đơn giản: rê chuột xem đường link trước khi bấm, nghi ngờ file đính kèm bất ngờ, và báo tin nhắn đáng ngờ cho một người mà không sợ bị cho là ngớ ngẩn.
Có một mối đe doạ đáng để ý riêng: yêu cầu thanh toán giả. Một nhà cung cấp "gửi email" báo đã đổi số tài khoản ngân hàng, hoặc "giám đốc" nhắn kế toán chuyển gấp một khoản tiền. Email có thể từ một địa chỉ na ná, hoặc thậm chí từ chính hộp thư thật nhưng đã bị chiếm. Doanh nghiệp mất những khoản lớn theo cách này vì yêu cầu trông hoàn toàn bình thường.
Cách phòng là quy trình, không phải kỹ thuật. Mọi yêu cầu đổi số tài khoản ngân hàng, và mọi khoản chuyển gấp bất thường, đều phải gọi điện xác minh qua số điện thoại đã biết từ trước, không gọi số trong email. Viết luật này ra, báo cho nhà cung cấp biết, và bảo vệ kế toán khỏi sức ép khi họ làm đúng luật.
Về kỹ thuật, nhờ người quản lý tên miền và email cấu hình các bản ghi xác thực email tiêu chuẩn, giúp máy chủ nhận thư phát hiện thư giả mạo tên công ty mình. Chúng cũng bảo vệ khách hàng khỏi những vụ lừa mạo danh mình.
Dữ liệu: biết mình đang giữ gì và nó nằm đâu
Liệt kê các loại dữ liệu quan trọng. Thông tin khách hàng, hồ sơ nhân viên, hợp đồng, dữ liệu kế toán, bản thiết kế, bảng giá.
Ghi rõ từng loại đang nằm ở đâu. Ổ dùng chung, không gian làm việc đám mây, phần mềm kế toán, laptop cá nhân, nhóm chat. Dữ liệu rải rác thì khó bảo vệ.
Đưa dữ liệu công việc ra khỏi thiết bị cá nhân khi được. Lưu trữ dùng chung có quản lý thì dễ sao lưu và dễ kiểm soát khi nhân viên nghỉ.
Giới hạn quyền theo vai trò. Không phải ai cũng cần file lương hay danh sách khách hàng đầy đủ. Dùng thư mục và phân quyền.
Thôi gửi file nhạy cảm qua ứng dụng chat. Ảnh căn cước, hợp đồng gửi qua chat nằm lại trên nhiều điện thoại không biết tới bao giờ.
Xoá những gì không còn cần. Danh sách khách hàng cũ, hồ sơ giữ lại "cho chắc" sẽ thành gánh nặng nếu bị lộ.
Hỏi người có chuyên môn về nghĩa vụ pháp lý. Quy định về bảo vệ dữ liệu cá nhân áp dụng cho doanh nghiệp và thay đổi theo thời gian. Hỏi luật sư hoặc người tư vấn có chuyên môn xem mình phải làm gì.
Sao lưu và sẵn sàng trước mã độc tống tiền
Doanh nghiệp tự khôi phục được dữ liệu mà không cần kẻ tấn công thì biến mã độc tống tiền từ thảm hoạ thành một sự cố đau nhưng qua được. Muốn vậy cần sao lưu có phiên bản, ít nhất một bản mà mã độc trên máy văn phòng không với tới, và một lần khôi phục đã thử thật.
Mã độc tống tiền lọt vào doanh nghiệp nhỏ bằng những đường nào, từ cổng truy cập từ xa để mở tới phần mềm lậu, và các bước chặn chúng, đã viết trong danh sách phòng ransomware cho doanh nghiệp nhỏ. Bộ nền ở đây coi các bước đó nằm sẵn trong phần thiết bị và tài khoản bên trên.
Ghi lịch thử khôi phục. Chọn một thư mục và dữ liệu kế toán, khôi phục sang một máy dự phòng, nhờ chính người dùng chúng xác nhận mọi thứ mở được. Bấm giờ, và ghi các bước lại cho ngày cần làm thật.
Để bản kế hoạch sự cố một trang cạnh hướng dẫn sao lưu, in ra giấy, cất ngoài các hệ thống chính. Vào ngày tệ nhất, người ta sẽ đi tìm giấy.
Ví dụ cụ thể: một công ty thương mại 12 người
Một công ty gia đình nhập khẩu và phân phối, mười hai nhân viên, lớn lên mà chẳng nghĩ nhiều về bảo mật. Tài khoản email dùng mật khẩu mọi người tự đặt từ nhiều năm trước, trang mạng xã hội của công ty thuộc tài khoản cá nhân của con trai người sáng lập, kế toán chạy trên một máy tính bàn, còn sao lưu là một chiếc USB lần cuối được cắm vào đã cách đây mấy tháng.
Giám đốc giao chị quản lý văn phòng phụ trách bộ nền. Tháng đầu, chị chuyển mật khẩu vào trình quản lý mật khẩu doanh nghiệp, bật xác thực hai lớp cho mọi tài khoản email, và thêm chính mình làm quản trị viên thứ hai của trang mạng xã hội. Anh IT làm tự do mà công ty vẫn thuê bật cập nhật tự động và thay một router cũ đã hết nhận bản vá bảo mật.
Tháng thứ hai, họ thiết lập sao lưu đám mây hằng ngày có lịch sử phiên bản cho ổ dùng chung, sao lưu dữ liệu kế toán hằng tuần bằng chức năng riêng của phần mềm, và một ổ cứng gắn ngoài thứ hai mà giám đốc mang về nhà, đổi mỗi tuần. Lần thử khôi phục đầu tiên lộ ra bản sao lưu kế toán cần một mật khẩu không ai ghi lại; họ sửa ngay.
Tháng thứ ba, chị kế toán nhận email từ một nhà cung cấp quen báo số tài khoản ngân hàng mới. Theo luật mới, chị gọi cho nhà cung cấp theo số trong hợp đồng. Bên kia chẳng biết gì cả; email của họ đã bị chiếm. Khoản thanh toán suýt rơi vào tay kẻ lừa đảo đã về đúng tài khoản. Với giám đốc, riêng cuộc gọi đó đã đáng cho cả quá trình.
Những sai lầm hay gặp
Mua sản phẩm thay vì xây thói quen. Công cụ có ích, nhưng không có người phụ trách và lịch kiểm thì chỉ là đồ trang trí đắt tiền.
Miễn trừ cho sếp. Giám đốc và kế toán là mục tiêu hàng đầu; họ cần lớp bảo vệ mạnh nhất, không phải ngoại lệ.
Vận hành tài sản công ty bằng tài khoản cá nhân. Người đó nghỉ hay bị hack là công ty mất quyền kiểm soát.
Nhiều nhân viên dùng chung một tài khoản. Không biết ai làm gì, và không thể thu quyền khi có người nghỉ.
Mặc định sao lưu chạy tốt. Bản sao lưu chưa thử sẽ hỏng đúng lúc tệ nhất.
Chuyển tiền theo số tài khoản mới mà không gọi xác minh. Chỉ riêng lỗ hổng này đã gây ra một số khoản thiệt hại lớn nhất ở doanh nghiệp nhỏ.
Phạt nhân viên báo lỗi của mình. Người sợ bị trách sẽ giấu cú bấm nhầm hay tài khoản bị chiếm cho tới khi quá muộn.
Viết một chính sách dài không ai đọc. Một trang được làm theo hơn hai mươi trang nằm trong tủ.
Khi nào nên nhờ người ngoài
Cấu hình xác thực email và bảo mật tên miền. Nhờ nhà cung cấp tên miền, email hoặc người làm IT có chuyên môn cấu hình cho đúng.
Thiết kế mạng và tường lửa. Đơn vị IT có năng lực có thể tách mạng khách với mạng văn phòng và bảo vệ truy cập từ xa.
Nghĩa vụ về dữ liệu cá nhân. Luật sư hoặc người tư vấn có chuyên môn giải thích được yêu cầu hiện hành với loại dữ liệu mình đang giữ.
Sau bất kỳ nghi ngờ bị xâm nhập nào. Mời đơn vị IT hoặc bảo mật có kinh nghiệm vào trước khi dọn dẹp, để không xoá mất dấu vết.
Chọn phần mềm cho dữ liệu nhạy cảm. Xin tham chiếu và thông tin bảo mật, thử xuất dữ liệu để khỏi bị trói chân.
Câu hỏi về bảo hiểm. Nếu tính tới bảo hiểm an ninh mạng, người tư vấn bảo hiểm có chuyên môn giải thích được hợp đồng đòi gì và chi trả gì.
Lừa đảo và thiệt hại tài chính. Báo ngay ngân hàng và công an; họ quyết định thu hồi hay điều tra được tới đâu.
Giữ cho bộ nền còn sống: nửa tiếng mỗi quý
Bộ nền sẽ xuống cấp nếu không ai để ý. Người vào, người ra, công cụ mới xuất hiện, ai đó lập một tài khoản mạng xã hội cho một chiến dịch rồi quên mất. Một buổi xem lại ba mươi phút mỗi quý bắt được phần lớn những lệch lạc đó.
Đi qua bảng từng dòng một. Mọi nhân viên đã ở trong trình quản lý mật khẩu chưa? Tài khoản quan trọng nào cũng còn xác thực hai lớp và hai quản trị viên chứ? Trong danh sách có thiết bị nào thôi nhận cập nhật không? Lần thử khôi phục gần nhất là khi nào? Có ai đã nghỉ mà chưa thu hết quyền không?
Thêm một câu hỏi mở: quý này có chuyện gì suýt hỏng không? Một email đáng ngờ suýt lừa được, một chiếc điện thoại bị mất, một yêu cầu thanh toán nghe sai sai. Những lần suýt sự cố là bài học miễn phí, và thường chỉ ra ngay việc cải thiện nhỏ tiếp theo.
Ghi ngày xem lại lên tài liệu. Sau một năm, công ty có một bản ghi bảo mật giản dị và trung thực, xây không cần ngân sách lớn, do chính những người điều hành công việc hằng ngày làm chủ.
Câu hỏi thường gặp
Doanh nghiệp nhỏ nên chi bao nhiêu cho an ninh mạng?
Không có con số chuẩn. Nhiều bước trong bộ nền gần như chỉ tốn thời gian: xác thực hai lớp, cập nhật, thu quyền khi nghỉ việc, gọi xác minh thanh toán. Nếu chi tiền, ưu tiên trình quản lý mật khẩu, sao lưu đáng tin và một đơn vị IT tin cậy.
Công ty không có người IT thì ai lo bảo mật?
Thường là một người quản lý ngăn nắp, như quản lý văn phòng hay trưởng vận hành, có đơn vị IT bên ngoài hỗ trợ. Người phụ trách không cần giỏi kỹ thuật nhưng phải giữ cho bộ nền và lịch xem lại luôn chạy.
Lừa đảo qua email doanh nghiệp là gì?
Đó là kiểu lừa mà kẻ gian dùng email giả hoặc email thật đã bị chiếm để dụ công ty chuyển tiền vào sai tài khoản. Gọi điện xác minh qua số đã biết trước mỗi khi có thay đổi thanh toán là cách phòng chính.
Có cần đào tạo bảo mật cho nhân viên không?
Buổi ngắn, thực tế giúp ích hơn khoá học dài. Cho xem chính những email lừa đảo công ty đã nhận, giải thích ba luật vàng, và làm cho việc báo cáo thật dễ, không bị trách phạt.
Nhân viên dùng điện thoại cá nhân đọc email công việc có an toàn không?
Có thể chấp nhận được nếu có khoá màn hình, cập nhật, xác thực hai lớp và gỡ được dữ liệu công ty khi người đó nghỉ. Nên thống nhất các điều kiện này bằng văn bản.
Bao lâu nên xem lại bộ nền một lần?
Mỗi quý một buổi xem lại ngắn, cộng thêm kiểm ngay mỗi khi có người nghỉ, có thêm công cụ quan trọng mới hoặc xảy ra sự việc đáng ngờ.
