Khi nhắc đến an toàn thông tin, nhiều chủ doanh nghiệp vừa và nhỏ vẫn nghĩ đó là chuyện của các tập đoàn lớn hoặc ngân hàng. Thực tế thì ngược lại. Chính doanh nghiệp nhỏ mới là mục tiêu ưa thích của kẻ tấn công, vì họ nắm giữ dữ liệu có giá trị nhưng lại đầu tư rất ít cho phòng thủ. Một cuộc tấn công mã hóa dữ liệu tống tiền, một tài khoản email bị chiếm, hay đơn giản là một chiếc laptop chứa toàn bộ danh sách khách hàng bị mất, đều có thể khiến doanh nghiệp tê liệt trong nhiều ngày và mất niềm tin của khách hàng vĩnh viễn.
Hiểu đúng về rủi ro trước khi mua giải pháp
Sai lầm phổ biến là nghĩ rằng cứ mua một phần mềm diệt virus đắt tiền là an toàn. An toàn thông tin không phải một sản phẩm, mà là một tập hợp thói quen và quy trình. Phần lớn sự cố không đến từ tin tặc siêu đẳng phá mã, mà đến từ những lỗ hổng rất đời thường: nhân viên dùng mật khẩu dễ đoán, bấm vào đường link giả trong email, cắm USB lạ vào máy công ty, hoặc dùng chung một mật khẩu cho cả email cá nhân lẫn hệ thống công việc.
Vì vậy, việc đầu tiên không phải là mua sắm mà là nhìn nhận trung thực doanh nghiệp đang có gì đáng để mất. Dữ liệu khách hàng, công thức sản phẩm, hợp đồng, tài khoản ngân hàng, mã nguồn phần mềm; mỗi thứ có mức độ nhạy cảm khác nhau. Khi đã biết cái gì quý nhất và nó đang nằm ở đâu, doanh nghiệp mới biết nên dồn nguồn lực bảo vệ vào đâu thay vì rải mỏng khắp nơi.
Ba lớp phòng thủ nền tảng
Không cần ngân sách lớn, doanh nghiệp nhỏ vẫn có thể dựng ba lớp phòng thủ cơ bản mang lại phần lớn hiệu quả.
Lớp thứ nhất là kiểm soát danh tính và truy cập. Mỗi nhân viên có tài khoản riêng, mật khẩu mạnh và bật xác thực hai lớp cho những hệ thống quan trọng như email và phần mềm kế toán. Xác thực hai lớp nghĩa là ngoài mật khẩu còn cần thêm một mã dùng một lần trên điện thoại; ngay cả khi kẻ gian đoán được mật khẩu, chúng vẫn không vào được. Chỉ riêng biện pháp này đã chặn được đại đa số vụ chiếm tài khoản.
Lớp thứ hai là nguyên tắc quyền tối thiểu. Không phải ai cũng cần thấy mọi thứ. Nhân viên kho không cần truy cập bảng lương, thực tập sinh không cần quyền xóa toàn bộ dữ liệu khách hàng. Cấp đúng quyền cho đúng người vừa giảm rủi ro rò rỉ nội bộ, vừa hạn chế thiệt hại khi một tài khoản bị chiếm. Khi ai đó nghỉ việc, khóa tài khoản của họ ngay trong ngày phải là quy trình bắt buộc, không phải việc để đó rồi quên.
Lớp thứ ba là sao lưu dữ liệu. Đây là tấm lưới an toàn cuối cùng khi mọi thứ khác thất bại. Dữ liệu quan trọng cần được sao lưu tự động, định kỳ, và ít nhất một bản nằm ở nơi tách biệt khỏi hệ thống chính, tốt nhất là ngoại tuyến hoặc trên đám mây riêng. Điều mấu chốt mà nhiều người bỏ qua: một bản sao lưu chưa từng được thử khôi phục thì không đáng tin. Phải định kỳ khôi phục thử để chắc chắn khi cần đến, dữ liệu thực sự lấy lại được.
Con người là bức tường quan trọng nhất
Công nghệ dù tốt đến đâu cũng bị vô hiệu bởi một cú bấm chuột bất cẩn. Kịch bản tấn công phổ biến nhất hiện nay là email giả mạo. Kẻ gian gửi email trông y hệt của giám đốc, yêu cầu kế toán chuyển gấp một khoản tiền, hoặc giả làm nhà cung cấp gửi hóa đơn với số tài khoản đã bị đổi. Không phần mềm nào ngăn được nếu nhân viên tin và làm theo.
Cách phòng thủ hiệu quả là huấn luyện nhận biết và đặt ra quy tắc rõ ràng. Ví dụ, mọi yêu cầu chuyển tiền hoặc đổi số tài khoản đều phải được xác nhận qua một kênh thứ hai, chẳng hạn gọi điện trực tiếp, không bao giờ chỉ dựa vào email. Nhân viên cần được dạy cách kiểm tra kỹ địa chỉ người gửi, cảnh giác với những email tạo cảm giác gấp gáp, và biết rằng báo nhầm còn hơn im lặng. Một buổi huấn luyện ngắn mỗi quý, kèm vài email thử nghiệm nội bộ, thường hiệu quả hơn nhiều so với đầu tư thiết bị đắt tiền.
Chuẩn bị cho tình huống xấu nhất
Không hệ thống nào an toàn tuyệt đối, nên câu hỏi không phải “có bị tấn công không” mà là “khi bị thì phản ứng thế nào”. Doanh nghiệp nên có sẵn một kế hoạch ứng phó đơn giản nhưng rõ ràng, trả lời được các câu hỏi thực tế:
- Nếu phát hiện dữ liệu bị mã hóa tống tiền sáng nay, ai là người đầu tiên cần gọi và làm gì trong giờ đầu tiên?
- Bản sao lưu gần nhất cách đây bao lâu, và mất bao lâu để khôi phục hoạt động?
- Nếu dữ liệu khách hàng bị lộ, doanh nghiệp thông báo cho họ ra sao và theo quy định pháp luật nào?
- Ai có quyền tạm ngắt hệ thống khỏi mạng để cô lập sự cố?
Chỉ cần ngồi lại trả lời những câu này trên giấy, doanh nghiệp đã đi trước phần lớn đối thủ. Khi sự cố thật xảy ra, sự khác biệt giữa hoảng loạn nhiều ngày và khôi phục trong vài giờ nằm ở chỗ đã chuẩn bị hay chưa.
An toàn là một hành trình, không phải đích đến
Bảo mật không phải việc làm một lần rồi xong. Phần mềm cần được cập nhật thường xuyên vì lỗ hổng mới liên tục xuất hiện; mật khẩu cũ cần được thay; quyền truy cập cần được rà soát định kỳ khi nhân sự thay đổi. Điều đáng mừng là doanh nghiệp không cần trở thành chuyên gia an ninh mạng. Chỉ cần duy trì kỷ luật với vài nguyên tắc nền tảng đã nêu, mức độ an toàn sẽ vượt xa đa số. Đầu tư cho an toàn thông tin không tạo ra doanh thu trực tiếp, nhưng nó bảo vệ toàn bộ những gì doanh nghiệp đã dày công gây dựng, và đó là khoản đầu tư mà không ai muốn nhận ra giá trị của nó quá muộn.
