10 cách giảm nhẹ nguy cơ bảo mật doanh nghiệp
Th i gian là ti n b c và khi nói đ n các doanh nghi p v a và nh thì hờ ề ạ ế ệ ừ ỏ ọ
thi u c hai. Do đó các chuyên gia an ninh đã chia s nh ng m o nh đ gi mế ả ẻ ữ ẹ ỏ ể ả
nh nguy c b o m t thông tin khi s d ng các ngu n tài nguyên nh . ẹ ơ ả ậ ử ụ ồ ỏ
Ph ng pháp t t nh t đ b o đ m an toàn cho các doanh nghi p v a và nh là gì? ươ ố ấ ể ả ả ệ ừ ỏ
Không gi ng nh nh ng doanh nghi p l n có kh năng thuê các chuyên gia CNTT, anố ư ữ ệ ớ ả
ninh t i các công ty nh th ng ch c n m t ng i “đa năng”. Ph ng pháp này nàyạ ỏ ườ ỉ ầ ộ ườ ươ
đòi h i t đ ng hóa an ninh l n nh t đ c bi t đ i v i các hi m h a c p cao, vì thỏ ự ộ ớ ấ ặ ệ ố ớ ể ọ ấ ế
m t nhóm nh có th th c s b o v hi u qu an toàn cho toàn b t ch c. ộ ỏ ể ự ự ả ệ ệ ả ộ ổ ứ
Cũng không gi ng nh nh ng doanh nghi p l n, các doanh nghi p v a và nh chố ư ữ ệ ớ ệ ừ ỏ ỉ
dành m t s ít nhân viên làm công vi c b o m t thông tin; nhi u công ty tin t ngộ ố ệ ả ậ ề ưở
hoàn toàn vào c v n hay các nhà cung c p. Trung bình các doanh nghi p v a và nhố ấ ấ ệ ừ ỏ
cũng dành khá nhi u ngu n v n đ đ i m t v i v n đ b o m t. CJ Desai, giám đ cề ồ ố ể ố ặ ớ ấ ề ả ậ ố
qu n lý bán hàng t i Symantec cho bi t "Nhi u doanh nghi p nh đi n hình đã tìmả ạ ế ề ệ ỏ ể
đ n chúng tôi và nói r ng h đã dành t 3 đ n 5% ngân qu CNTT vào b o m t".ế ằ ọ ừ ế ỹ ả ậ
B ng phép so sánh c a trung tâm nghiên c u Forrester, m t doanh nghi p trung bìnhằ ủ ứ ộ ệ
dành 8% ngân sách cho v n đ an toàn thông tin. ấ ề
T nh ng con s g i ý đó, nhi u doanh nghi p v a và nh đã c t kho n đ u t vàoừ ữ ố ợ ề ệ ừ ỏ ắ ả ầ ư
b o m t. Theo nh m t nghiên c u c a vi n Công ngh doanh nghi p nh , đã đánhả ậ ư ộ ứ ủ ệ ệ ệ ỏ
giá m t trong năm công ty nh (d i 100 nhân viên) không đ c b o v thích đáng,ộ ỏ ướ ượ ả ệ
ph n l n các công ty này không có các c nh sát m t, và nhi u công ty ch l p k ho chầ ớ ả ậ ề ỉ ậ ế ạ
đ i phó sau khi đã x y ra nhi u cu c t n công. Ngày nay các doanh nghi p v a và nhố ả ề ộ ấ ệ ừ ỏ
cũng nh các doanh nghi p l n đ u có th b t n công hay là m c tiêu nh m t i c aư ệ ớ ề ể ị ấ ụ ắ ớ ủ
r t nhi u m i đe d a. ấ ề ố ọ
Đ a ra m t danh sách nh ng m i đe d a, cũng nh s khan hi m th i gian, ngu n tàiư ộ ữ ố ọ ư ự ế ờ ồ
nguyên… các doanh nghi p nh và v a c n phác th o ra m t k ho ch x lý nh ngệ ỏ ừ ầ ả ộ ế ạ ử ữ
nguy c an ninh mà hi n nay nay đang ph i đ i m t, s d ng ngu n nhân l c s n có,ơ ệ ả ố ặ ử ụ ồ ự ẵ
th i gian và các ngu n tài nguyên đ gi m nh t i đa các m i đe d a. ờ ồ ể ả ẹ ố ố ọ
Các chuyên gia b o m t đã chia s 10 th thu t giúp cho ch ng trình b o m t nhanhả ậ ẻ ủ ậ ươ ả ậ
và r h n nhi u. ẻ ơ ề
1. Phòng th t đ ng nh m t i malwareủ ự ộ ắ ớ
Ý t ng đ u tiên trong vi c phòng b cho các doanhưở ầ ệ ị
nghi p v a và nh là khóa và lo i tr các lo i virut,ệ ừ ỏ ạ ừ ạ
worm, spyware và ph n m m có h i khác bao g m trìnhầ ề ạ ồ
t i Trojan và ph n m m Keylogger t i c các đi mả ầ ề ạ ả ể
cu i và c ng vào. Ti p đ n, tri n khai ph n m mố ổ ế ế ể ầ ề
ch ng malware và ph n m m l c cho các c ng e-mail,ố ầ ề ọ ổ
ngăn ch n malware và spam (spam th ng mang theo malware) đ nặ ườ ế
máy tính ng i dùng. Đ gi i quy t v n đ này nhi u doanh nghi pườ ể ả ế ấ ề ề ệ
v a và nh đã trang b công c “qu n lý hi u qu ” ch y nhi u côngừ ỏ ị ụ ả ệ ả ạ ề
ngh b o m t trên cùng m t thi t b . ệ ả ậ ộ ế ị
Các phòng th gateway m t chi u s không còn phù h p. Nh Randy Abrams, giámủ ộ ề ẽ ợ ư
đ c đào t o k thu t t i ESET đ ng th i cũng là m t nhà cung c p ph n m m b oố ạ ỹ ậ ạ ồ ờ ộ ấ ầ ề ả
m t đã đ a ra "ậ ư n u b n cùng lúc b n quá nhi u viên đ n vào đích thì ch c ch n s cóế ạ ắ ề ạ ắ ắ ẽ
m t vài viên xuyên quaộ". Vì th hãy l a ch n và cài đ t ph n m m ch ng virut thíchế ự ọ ặ ầ ề ố
h p v i m i laptop, máy đ bàn, máy ch và các thi t b di đ ng. M i ch ng trìnhợ ớ ỗ ể ủ ế ị ộ ỗ ươ
đ u bao g m t ng l a cá nhân ngăn ch n các xâm nh p trên máy ch . L i th c aề ồ ườ ử ặ ậ ủ ợ ế ủ
các thi t b đ n l là d đi u khi n và nâng c p. ế ị ơ ẻ ễ ề ể ấ
S d ng quy n qu n tr trên máy tính đ ngăn ch n ng i dùng ng t các bi n pháp anử ụ ề ả ị ể ặ ườ ắ ệ
ninh, "đ các nhân viên không th t t t ng l a n u nh IM không làm vi cể ể ắ ườ ử ế ư ệ " Teixeira
Ron, giám đ c đi u hành Liên minh an ninh Qu c gia Cyber (NCSA) cho bi t. ố ề ố ế
Đ ng th i cũng t n d ng các k thu t phòng ch ng: T t t t c máy tính vào ban đêm.ồ ờ ậ ụ ỹ ậ ố ắ ấ ả
Vi c làm này không nh ng ngăn ng a t n công trong th i gian ngh , mà khi ng iệ ữ ừ ấ ờ ỉ ườ
dùng kh i đ ng l i máy “ở ộ ạ h đi u hành có th kh i đ ng l i và ki m tra toàn bệ ề ể ở ộ ạ ể ộ".
2. Nhanh chóng có b n vá l iả ỗ
M t ch ng trình b o m t hi u qu s đ m b o cho h đi u hành và các ng d ngộ ươ ả ậ ệ ả ẽ ả ả ệ ề ứ ụ
đ c s a l i, n u không có các b n vá l i k p th i toàn b máy tính c a b n có th bượ ử ỗ ế ả ỗ ị ờ ộ ủ ạ ể ị
“tiêu di t”. Vì v y, ph i luôn nhanh chòng c p nh t nh ng s a l i m i nh t cho máyệ ậ ả ậ ậ ữ ử ỗ ớ ấ
ch và các máy tính trong m ng.. ủ ạ
Đi u gì đã thúc đ y nhanh chóng? "ề ẩ N u nh đ c h i m t năm tr c đây, tôi s nóiế ư ượ ỏ ộ ướ ẽ
r ng vi c c p nh t theo t ng quý là r t n, nh ng hi n nay hãy xem s chuy n đ ngằ ệ ậ ậ ừ ấ ổ ư ệ ự ể ộ
theo hàng tháng, đ c bi t khi có nhi u nhà cung c p h n -- không ch riêng Microsoft --ặ ệ ề ấ ơ ỉ
th ng xuyên có b n vá l i theo thángườ ả ỗ ", Gerhard Eschelbeck, CTO c a Webroot nh nủ ậ
đ nh. Tuy nhiên, m t k ho ch s a l i hi u qu cũng đ a ra nhi u l a ch n: "B nị ộ ế ạ ử ỗ ệ ả ư ề ự ọ ạ
không th vá t t c các l i đ c, còn ph i ph thu c vào th c t ". Do đó, các ngu nể ấ ả ỗ ượ ả ụ ộ ự ế ồ
tài nguyên bên ngoài - nh danh sách “ư20 mục tiêu tấn công bảo mật Internet” c a SANS -ủ
là đ xác đ nh nh ng l i nào d b t n công. ể ị ữ ỗ ễ ị ấ
Thêm vào đó, t đ ng vá l i nhi u nh t trong kh năng có th . Các c a hàng nh - đaự ộ ỗ ề ấ ả ể ử ỏ
s s d ng Window -- có th b o đ m c p nh t th ng xuyên. Các doanh nghi p nhố ử ụ ể ả ả ậ ậ ườ ệ ỏ
và v a h u h t s d ng ph n m m qu n lý l i chuyên d ng, làm tăng th i gian c nừ ầ ế ử ụ ầ ề ả ỗ ụ ờ ầ
thi t đ s a l i trên s l ng l n máy tính. ế ể ử ỗ ố ượ ớ
3. M t kh u: không nên coi nhậ ẩ ẹ
Ngày nay r t nhi u s truy nh p đòi h i m t kh u. Do đó “ấ ề ự ậ ỏ ậ ẩ hãy ch c ch n r ng m iắ ắ ằ ọ
nhân viên đ u đã s d ng hi u qu m t kh u t i b t kì ph n nào, s d ng công nghề ử ụ ệ ả ậ ẩ ạ ấ ầ ử ụ ệ
xác th c đa h s ; vì tin hay không thì nhân viên nh ng doanh nghi pự ệ ố ở ữ ệ
nh đ c bi t thích s d ng tên làm tên đăng nh p và m t kh u, nh v yỏ ặ ệ ử ụ ậ ậ ẩ ư ậ
hacker ch ng chút khó khăn gì có th phát hi n raẳ ể ệ ”. Th c v y-- nh ng t nự ậ ữ ấ
công t đi n nhanh chóng s d ng hàng nghìn t đ đoán m t kh u. ừ ể ử ụ ừ ể ậ ẩ
Đây m t gi i pháp hay: Mách ng i s d ng tránh dùng các t th c t , và thay vào đóộ ả ườ ử ụ ừ ự ế
nên s d ng ch cái đ u tiên c a m i t . ử ụ ữ ầ ủ ỗ ừ
4. Đ nh nghĩa “Ho t đ ng an toàn”ị ạ ộ
Nh ng ho t đ ng nào ch p nh n đ c? Trong khi "ữ ạ ộ ấ ậ ượ b n có th nh n bi t ho t đ ngạ ể ậ ế ạ ộ
nào đ c ch p nh n khi tr c ti p th yượ ấ ậ ự ế ấ ", nh ng các công ty không mong đ i có th dư ợ ể ễ
dàng đòi h i đ c đi u này trên ph ng di n ho t đ ng hay pháp lý, tr phi chũngỏ ượ ề ươ ệ ạ ộ ừ
đ c ghi ra gi y. ượ ấ
Nh p vào các chính sách và th t c b o m t. "ậ ủ ụ ả ậ Ng i dùng s ch ng bi t làm gì làườ ẽ ẳ ế
đúng và không đúng, do v y nên có nh ng chính sách b t bu c và h n chậ ữ ắ ộ ạ ế", theo như
l i c a Abrams. Th c v y, các quy đ nh cho nhân viên bi t h đ c yêu c u làm gìờ ủ ự ậ ị ế ọ ượ ầ
(thay đ i m t kh u c 30 ngày m t l n) hay b c m làm gì (xem các trang web khôngổ ậ ẩ ứ ộ ầ ị ấ
lành m nh). ạ
5. ng d ng Th c hànhỨ ụ ự
Đ th t s t i đa an toàn trong kho ng th i gian ng n nh t, m t ph n c a chính sáchể ậ ự ố ả ờ ắ ấ ộ ầ ủ
"có th s d ng" c m dùng cài đ t các ph n m m không h p pháp lên máy tính. "ể ử ụ ấ ặ ầ ề ợ Sau
đó b t bu c và b o đ m s ch s d ng các ph n m m ph c v cho nhu c u doanhắ ộ ả ả ẽ ỉ ử ụ ầ ề ụ ụ ầ
nghi pệ”.
Đây là cách ti p c n c i thi n s an toàn và ti t ki m th i gian vì s d ng ph n m mế ậ ả ệ ự ế ệ ờ ử ụ ầ ề
không h p pháp s t o ra nh ng l h ng b o m t và c n thêm th i gian đ s a l i.ợ ẽ ạ ữ ỗ ổ ả ậ ầ ờ ể ử ỗ
Ngoài ra, n u máy tính b nhi m ph n m m đ c h i s r t khó đ tr ti t t n g c r .ế ị ễ ầ ề ộ ạ ẽ ấ ể ừ ệ ậ ố ễ
S nhanh h n nhi u khi d n d p và làm l i m t máy tính b ng m t b ghost chu nẽ ơ ề ọ ẹ ạ ộ ằ ộ ộ ẩ
không c n ph i cài thêm các ng d ng b sung . ầ ả ứ ụ ổ
6. Đ ng b t c, hãy lên k ho ch ừ ế ắ ế ạ
Khi g p v n đ tr c tr c, v i ý th c b o m t, m t nhân viên có bi t s ph i làm gì?ặ ấ ề ụ ặ ớ ứ ả ậ ộ ế ẽ ả
"Khi không có m t nhân viên CNTT nào h tr 24 gi m i ngày - đi u này là ph bi nộ ỗ ợ ờ ỗ ề ổ ế
các doanh nghi p v a và nh - nhân viên c n m t ph ng pháp x lý, ít nh t t sở ệ ừ ỏ ầ ộ ươ ử ấ ừ ự
ph i h p và truy n thôngố ợ ề " Webroot’s Eschelbeck.
V n đ này yêu c u th i gian đ l p k ho ch xem xét, ph i th a nh n đây là s xa xấ ề ầ ờ ể ậ ế ạ ả ừ ậ ự ỉ
b o m t tiêu bi u hi m có trong mô hình các doanh nghi p nh và v a. Th m chí vìả ậ ể ế ệ ỏ ừ ậ
th "ếcó m t k ho ch ph n ng kh n c p: l ng tr c vi c t n công thành công vàộ ế ạ ả ứ ẩ ấ ườ ướ ệ ấ
bi t s làm gì khi nó x y raế ẽ ả " Abrams đ a ra l i khuyên. Cu i cùng thì nhân viên nênư ờ ố
g i ai khi mà ph n m m b o m t c a h đã b nhi m ph n m m đ c h i?ọ ầ ề ả ậ ủ ọ ị ễ ầ ề ộ ạ
Khi l p k ho ch cho m t tình tr ng kh n c p, hãy n m rõ các yêu c u.ậ ế ạ ộ ạ ẩ ấ ắ ầ
Ví d , n u m t công ty l u tr các thông tin cá nhân khách hàng trong đó ,ụ ế ộ ư ữ
s yêu c u công ty c nh báo cho toàn b nhân viên khi th y thông tin bẽ ầ ả ộ ấ ị
m t, b tr m hay h th ng b xâm ph m. ấ ị ộ ệ ố ị ạ
7. T o thói quen sao l u (backup)ạ ư
M t d li u, bão lũ, ph n m m phá ho i, h ng cáp, c ng h ng, cháy n đi n, côngấ ữ ệ ầ ề ạ ỏ ổ ứ ỏ ổ ệ
nhân đình công và th m chí ngay c malware: không có v n đ nào là không nhậ ả ấ ề ả
h ng t i tính toàn v n c a d li u, tr khi d li u th ng xuyên đ c sao l u c pưở ớ ẹ ủ ữ ệ ừ ữ ệ ườ ượ ư ậ
nh t. T t nhiên m i ng i đ u ph i bi t cách sao l u d li u th ng xuyên. Do đóậ ấ ọ ườ ề ả ế ư ữ ệ ườ
nhân viên CNTT ph i h ng d n đ m i nhân viên đ u có th đ m b o an toàn choả ướ ẫ ể ọ ề ể ả ả
d li u công ty.ữ ệ
Có th s d ng m t ph n m m sao l u t đ ng và đ m b o k t qu backup đ c l uể ử ụ ộ ầ ề ư ự ộ ả ả ế ả ượ ư
tr t i v trí an toàn đ s n sàng ch ng l i nh ng t n công. Ho c d dàng và t đ ngữ ạ ị ể ẵ ố ạ ữ ấ ặ ễ ự ộ
h n là tri n khai d ch v backup online t đ ng, dù v y cách này không ph i lúc nàoơ ể ị ụ ự ộ ậ ả
cũng ít chi phí h n. ơ
8. Ki m tra: b o v và ch ng trình b o vể ả ệ ươ ả ệ
"N u m t ch ng trình phát hi n virut “kêu inh i” mà không ai xung quanh nghe th yế ộ ươ ệ ỏ ấ
thì nó có th t s là m t virut?ậ ự ộ " ESET Abrams đã đ t câu h i. "ặ ỏ B n đã ki m tra và n mạ ể ắ
rõ các b n ghi nh ng sao l i b t n công? B i vì IDS đang làm l ch h ng m i th ,ả ư ạ ị ấ ở ệ ướ ọ ứ
b n mu n bi t lý do? B i vì các t n công luôn thay đ i cho đ n khi k t n công đ tạ ố ế ở ấ ổ ế ẻ ấ ộ
nh p vào trong.ậ"
Th m chí các doanh nghi p nh và v a không có h th ng thăm dò xâm nh p v n sậ ệ ỏ ừ ệ ố ậ ẫ ử
d ng các ch ng trình di t virut đ theo dõi các t n công màn hình, và đ ng th i cũngụ ươ ệ ể ấ ồ ờ
theo dõi các thi t l p an toàn máy ch . "ế ậ ủ Hacker s thay đ i thi t l p b o m t đ dẽ ổ ế ậ ả ậ ể ễ
dàng h n khi quay tr l i, hãy chú ý khi có m t s thay đ i b o m t thì đó là d u hi uơ ở ạ ộ ự ổ ả ậ ấ ệ
đ u tiên c a s xâm nh pầ ủ ự ậ ”.
9. Đào t o b o m t: Hãy sáng t oạ ả ậ ạ
Đ i v i h u h t các công ty, mu n b o m t hi u qu thì c n ph i l u tâm đ n conố ớ ầ ế ố ả ậ ệ ả ầ ả ư ế
ng i, quy trình và công ngh . "ườ ệ Nh ng m i ng i l i l v n đ này điư ọ ườ ạ ờ ấ ề " nhà nghiên
c u Forrester c nh báo. ứ ả
Hãy luôn duy trì m t ch ng b o m t tin c y. Đi m kh i đ u t t nh t là nên có m tộ ươ ả ậ ậ ể ở ầ ố ấ ộ
khóa h c ng n đ nhân viên m i có nh ng kĩ năng c b n: màn hình tr giúp s khôngọ ắ ể ớ ữ ơ ả ợ ẽ
yêu c u m t kh u; Đ phòng các đi m Wi- Fi mi n phí vì s có ai đó đó có th theoầ ậ ẩ ề ể ễ ẽ ể
dõi t t c các truy n thông; s d ng máy tính trong khách s n hay đi m Internet t iấ ả ề ử ụ ạ ể ạ
sân bay đ sao chép m i d li u và tài li u đính kèm; Không m b t kỳ m t tài li uể ọ ữ ệ ệ ở ấ ộ ệ
đính kèm nào trong e-mail khi th y có d u hi u nghi ng . ấ ấ ệ ờ
Vi c đào t o này không h t n kém; Hài h c mà nói thì đây là m tệ ạ ề ố ướ ộ
ph ng pháp ti p c n đ tài b o m t. ươ ế ậ ề ả ậ
Ch ra cho ng i dùng bi t r ng các cu c s t n công đ nh đi m ngày nayỉ ườ ế ằ ộ ự ấ ỉ ể
không ph i gây ra b i cu c chi n Siberian l i d ng bao vây máy tính. Màả ở ộ ế ợ ụ
đây là thói quen lâu đ i, là cu c t n công k thu t mang tính c ng đ ng.ờ ộ ấ ỹ ậ ộ ồ
Th c v y, t i sao b n b ch n l i khi mà b n có quy n đòi h i cho nh ng nhu c u c aự ậ ạ ạ ị ặ ạ ạ ề ỏ ữ ầ ủ
mình? M t ví d g n đây là cu c t n công IRS phishing, b t đ u b ng m t e-mailộ ụ ầ ộ ấ ắ ầ ằ ộ
thông báo r ng IRS đang xây d ng b n tham kh o khách hàng. N u ng i nh n kíchằ ự ả ả ế ườ ậ
vào đ ng link s hi n ra trang Web yêu c u đi n tên và s đi n tho i, h a trườ ẽ ệ ầ ề ố ệ ạ ứ ả
80USD khi ch ng nh n qua đi n tho i sau đó. Và nh v y khi IRS c n s th tín d ngứ ậ ệ ạ ư ậ ầ ố ẻ ụ
đ g i ti n. Abrams cho r ng "ể ử ề ằ Đ y là lúc h có nh ng thông tin h u íchấ ọ ữ ữ ”.
10. Mã hóa: Thi t l p r i quênế ậ ồ
Cách t t nh t đ b o v thông tin kh i b m t, b tr m hay b dùng sai là gì? V i ph nố ấ ể ả ệ ỏ ị ấ ị ộ ị ớ ầ
m m mã hóa toàn b đĩa thì vi c xâm nh p d li u c ng s tr nên khó khăn v iề ộ ổ ệ ậ ữ ệ ổ ứ ẽ ở ớ
nh ng ai không có quy n truy c p. "ữ ề ậ Laptop hay b m t và đi u b n mu n là không aiị ấ ề ạ ố
có th ăn tr m máy r i bán nh ng thông tin khách hàng trên Internetể ộ ồ ữ ".
Đánh giá theo lu t b o m t thông tin thì n u m t công ty m t m t máy ch a các thôngậ ả ậ ế ộ ấ ộ ứ
tin quan tr ng, nh ng d li u đã đ c mã hóa thì không c n thi t ph i đ a ra thôngọ ư ữ ệ ượ ầ ế ả ư
báo. Trung bình giá c a m t thông báo s xâm ph m d li u theo vi n Ponemon đ a raủ ộ ự ạ ữ ệ ệ ư
là 182USD cho m i b n ghi (không tính theo đ n v khách hàng), mã hóa toàn b đĩaỗ ả ơ ị ộ ổ
r t có l i cho tài chính. ấ ợ