Những kẽ hở bảo mật khi làm việc từ xa

Theo công ty an ninh mạng VSEC, việc doanh nghiệp cho nhân viên làm việc từ xa là điều cần thiết trước diễn biến phức tạp của dịch bệnh. Tuy nhiên, họ cũng cần nhận thức rõ các nguy cơ để khuyến cáo nhân viên.

Truy cập dữ liệu nhạy cảm qua mạng Wi-Fi không an toàn

Theo phân tích của các chuyên gia Công ty cổ phần an ninh mạng Việt Nam (VSEC), tại các doanh nghiệp, hệ thống mạng luôn có những tiêu chuẩn an toàn riêng, cấu hình chặt chẽ, luôn luôn được định danh trước khiến kẻ tấn công khó xâm nhập, làm giả.

Trong khi đó, nhân viên khi làm việc từ xa có khả năng cao sẽ kết nối với những thiết bị mạng không dây như Access Point (Wi-Fi) tại nhà hoặc nơi công cộng như quán cafe, nhà hàng… Đây có thể là điểm yếu mà tin tặc nhắm tới, bởi với những Access Point cá nhân hoặc công cộng, việc cấu hình sẽ sơ sài hơn, sử dụng mật khẩu mặc định hay mật khẩu công khai cho trang quản trị, khiến cho việc xâm nhập/giả mạo dễ xảy ra, đặc biệt với mạng Wi-Fi công cộng.

Chuyên gia khuyến nghị, trường hợp làm việc với mạng không dây công cộng, người dùng nên sử dụng VPN (Virtual Private Network) để mã hóa luồng dữ liệu khi kết nối tới Internet; cấu hình tường lửa trên máy tính để ngăn cản những truy cập trái phép bên ngoài; cài đặt những phần mềm diệt virus, cập nhật phiên bản thường xuyên.

Đặc biệt, khi làm việc bên ngoài, nhân viên sẽ truy xuất và sử dụng tài nguyên của doanh nghiệp, vì thế doanh nghiệp không nên sử dụng những hình thức chứng thực Username và Password của nhân viên dưới dạng không mã hóa, bởi những thông tin này có thể dễ dàng bị tin tặc nghe lén. Ngoài ra, nhân viên không nên làm việc có sử dụng những dữ liệu quan trọng của doanh nghiệp ở môi trường mạng không dây công cộng.

Theo các chuyên gia bảo mật, việc cho nhân viên làm việc từ xa cũng tạo ra những rủi ro nhất định, có thể gây ảnh hưởng đến hoạt động của doanh nghiệp.

Thiếu kết nối trực tiếp

Trong bối cảnh nhiều doanh nghiệp đang áp dụng chính sách cho nhân viên làm việc từ xa, các công cụ trực tuyến như Email, Skype... gần như thành phương tiện chính để trao đổi công việc, thay vì giao tiếp trực tiếp như trước đây.

Theo các chuyên gia, điều này tạo thêm điều kiện cho kẻ xấu triển khai các phương thức lừa đảo dễ dàng nếu chiếm được quyền điều khiển hệ thống hoặc đánh cắp được các tài khoản làm việc của một vị trí nào đó trong công ty, thường là của ban giám đốc, các vị trí liên quan tới tài chính, nhân sự...

Khi kiểm soát được những tài khoản này, tin tặc có thể lợi dụng tạo ra những cuộc tấn công nội gián hay lừa đảo nhắm vào chính nhân viên trong doanh nghiệp đó. Những phương thức lừa đảo phổ biến có thể là giả mạo email dưới danh nghĩa của nạn nhân, yêu cầu cung cấp các thông tin cá nhân, hoặc dụ người dùng tải những phần mềm độc hại, những tài liệu có chứa mã độc về máy tính.

Vì vậy, với những trường hợp phải giao tiếp thông qua những công cụ trực tuyến, chuyên gia bảo mật lưu ý người dùng không bao giờ chia sẻ thông tin cá nhân hoặc thông tin tài chính qua email hoặc tin nhắn. “Không click vào những liên kết hoặc không tải về những tài liệu nếu bạn không chắc chắn 100%. Nếu bạn nghi ngờ, có thể liên hệ với một nguồn đáng tin cậy để xác thực lại nội dung”, chuyên gia khuyến nghị.

Sử dụng thiết bị cá nhân cho công việc

Khi làm việc tại doanh nghiệp, nhân viên được cung cấp máy tính làm việc sử dụng những phiên bản mới nhất về hệ điều hành, phần mềm ngăn chặn mã độc. Hơn nữa, cấu hình firewall luôn được bảo đảm an toàn để người sử dụng hạn chế tối đa khả năng thất thoát dữ liệu - tài sản chính của doanh nghiệp.

Tuy nhiên, với máy tính cá nhân tại nhà, phần lớn người dùng không cập nhật phiên bản thường xuyên, cấu hình firewall qua loa hoặc không có, từ đó tự biến bản thân trở thành “mồi ngon” của tin tặc.

Làm việc từ xa giúp tạo cách biệt cộng đồng trong mùa dịch, nhưng cũng ẩn chứa các kẽ hở bảo mật.

Cùng với đó, khi những dữ liệu, tài liệu của công ty được mang ra bên ngoài thì việc kiểm soát, bảo vệ nó càng trở nên khó khăn. Ngoài việc những thiết bị cá nhân không được cấu hình và bảo mật một cách cẩn thận, dữ liệu còn có khả năng bị thất thoát bởi thói quen chia sẻ máy tính cá nhân của mình cho người khác.

Cụ thể, khi làm việc tại nhà, người dùng thường cho bạn bè hoặc các thành viên gia đình mượn hoặc sử dụng chung máy tính do công ty cấp. Đây là một hành động nguy hiểm, bởi rủi ro không thể kiểm soát được những websites mà họ truy cập, dẫn tới rủi ro thất thoát dữ liệu của doanh nghiệp.

Chuyên gia VSEC khuyến cáo doanh nghiệp nên hạn chế cho nhân viên dùng thiết bị cá nhân trong công việc. Trường hợp bắt buộc sử dụng thiết bị cá nhân, cần đảm bảo thiết bị của nhân viên được cập nhật hệ điều hành/phần mềm diệt virus/firewall... phiên bản mới nhất có các bản vá lỗ hổng bảo mật.

Bỏ qua các thực hành bảo mật vật lý cơ bản

Các chuyên gia cho hay, ngay cả khi an toàn thông tin mạng đã được đảm bảo, vẫn có thể có những lỗ hổng bảo mật vật lý ảnh hưởng đến thông tin nhạy cảm của doanh nghiệp. Ví dụ, có những nhân viên có thể nói to trên điện thoại khi làm việc ở những nơi công cộng, để màn hình máy tính xách tay dễ dàng bị quan sát hoặc thậm chí để các thiết bị của họ không được giám sát.

Do đó, các chuyên gia khuyến cáo doanh nghiệp nên có những biện pháp bảo mật vật lý với các thông tin nhạy cảm của doanh nghiệp. Cần đảm bảo rằng nhân viên tuân theo ngay cả những biện pháp cơ bản nhất để không làm lộ dữ liệu của doanh nghiệp.

Mất thiết bị lưu trữ dữ liệu

Theo chuyên gia, khó có thể kiểm soát việc nhân viên khi làm từ xa sẽ làm ở nhà hay đến những nơi công cộng. Việc di chuyển nhiều sẽ tạo ra nguy cơ rơi rớt, mất cắp lớn hơn so với khi nhân viên làm tại văn phòng - nơi an ninh được kiểm soát chặt chẽ. Việc thiết bị lọt vào tay người ngoài công ty cũng đồng nghĩa với việc dữ liệu bên trong hoàn toàn có khả năng bị phát tán.

Người dùng được khuyến nghị nên hạn chế để thiết bị ở những nơi thiếu sự kiểm soát và đặc biệt, với những nội dung quan trọng của doanh nghiệp khi bắt buộc phải đưa ra ngoài trong quá trình làm việc từ xa thì nên lưu trữ bằng các thiết bị USB bảo mật để tránh thất thoát dữ liệu trong trường hợp thiết bị bị rơi, mất cắp.