04 Sai Lầm Cơ Bản Về An Ninh Mạng Của Nhân Viên Khiến Doanh Nghiệp Bị Tấn Công

Đôi khi nhân viên mắc sai lầm về an ninh mạng cơ bản mà không nhận ra mức độ nguy hiểm của chúng đối với của tổ chức/doanh nghiệp. Theo Báo cáo điều tra vi phạm dữ liệu năm 2019 của Verizon, những sai lầm của con người là nguyên nhân của 21% vụ vi phạm dữ liệu trong năm 2018.

Sai lầm về an ninh mạng của nhân viên có thể cản trở hoạt động của công ty hoặc thậm chí ảnh hưởng đến lợi nhuận. Do đó, các nhà điều hành nên ngăn chặn nhân viên phạm sai lầm về an ninh mạng hơn là khắc phục hậu quả của họ. Trong bài viết này, chúng tôi đưa ra số liệu thống kê mới nhất về những sai lầm của nhân viên và tác động của chúng đối với an ninh mạng doanh nghiệp, liệt kê bốn sai lầm hàng đầu mà nhân viên mắc phải.

Lỗi của con người nguy hiểm như thế nào đối với an ninh mạng? 

Bất chấp tất cả các giải pháp bảo mật hiện đại và các chính sách của công ty, nhân viên vẫn mắc các lỗi có thể dẫn đến vi phạm dữ liệu:

• Gửi dữ liệu có giá trị đến người nhận không chính xác qua email
• Vô tình gửi email tài liệu có dữ liệu nhạy cảm
• Xuất bản dữ liệu bí mật trên các trang web công cộng do nhầm lẫn
• Định cấu hình sai nội dung để cho phép truy cập không mong muốn

Chắc chắn chi phí cho một vi phạm do lỗi của con người hoặc do lỗi hệ thống thường thấp hơn đáng kể so với chi phí cho một vi phạm do tin tặc gây ra. Tuy nhiên, bạn không nên đánh giá thấp hậu quả của sự bất cẩn của nhân viên. Báo cáo về chi phí vi phạm dữ liệu năm 2019 của Viện Ponemon, dựa trên các cuộc phỏng vấn với các công ty đã trải qua một vụ vi phạm dữ liệu từ tháng 7 năm 2018 đến tháng 4 năm 2019, cho thấy chi phí trung bình cho các vi phạm vô ý do lỗi của con người là 3,5 triệu đô la.

Theo nghiên cứu của Ponemon, sự cẩu thả của nhân viên hoặc nhà thầu là nguyên nhân sâu xa của 24% các vụ vi phạm dữ liệu. Phần lớn, những lỗi do con người gây ra gọi là người trong cuộc vô ý thực hiện, những người có thể bị xâm nhập bởi các cuộc tấn công lừa đảo hoặc khiến thiết bị của họ bị nhiễm, mất hoặc đánh cắp. Chi phí trung bình cho lỗi của con người trong an ninh mạng là 133 đô la cho mỗi bản ghi. Và các tổ chức phải mất khoảng 242 ngày để xác định và giải quyết một vấn đề liên quan đến các hành động vô ý như vậy.

Bây giờ, hãy làm nổi bật bốn lỗi bảo mật chính của nhân viên.

1. Sử dụng mật khẩu yếu

Một chính sách quản lý mật khẩu là bắt buộc đối với mọi tổ chức. Cho dù một công ty có sử dụng các biện pháp bảo mật bổ sung như xác thực hai yếu tố để tăng cường quyền truy cập vào dữ liệu nhạy cảm hay không, thì công ty đó phải thiết lập các quy tắc rõ ràng về việc sử dụng mật khẩu mạnh và xác định các thủ tục để xử lý, lưu trữ và chia sẻ mật khẩu đúng cách.

Chọn mật khẩu yếu có thể cho phép tin tặc dễ dàng truy cập vào tài khoản bằng cách đoán hoặc sử dụng các cuộc tấn công cưỡng chế: 

• Thông tin đăng nhập mặc định có thể bị bẻ khóa bởi một cuộc tấn công bạo lực hoặc kẻ tấn công có thể đã biết.
• Mật khẩu chứa dữ liệu cá nhân hoặc công ty có thể được đoán sau khi khám phá tài khoản mạng xã hội của nhân viên.
• Các chuỗi đơn giản như “sp987654” và mật khẩu như “0okm9ijn” dựa trên các mẫu có thể nhìn thấy chỉ bằng cách nhìn xuống bàn phím của bạn.

Ngoài ra, nhân viên thường lưu trữ mật khẩu không đáng tin cậy bằng cách: 

• Giữ mật khẩu luôn mở – Lưu trữ thông tin đăng nhập ở dạng văn bản thuần túy hoặc Google Trang tính
• Hiển thị công khai mật khẩu – Viết chúng vào ghi chú dán và để những ghi chú này trên bàn làm việc
• Không mã hóa mật khẩu – Sử dụng trình quản lý mật khẩu không an toàn sử dụng mã hóa yếu hoặc không có

Cuối cùng nhưng không kém phần quan trọng, việc xử lý sai mật khẩu cũng có thể gây ra sự cố: 

• Chia sẻ mật khẩu không an toàn – Sử dụng sứ giả không được mã hóa để gửi thông tin xác thực cho đồng nghiệp
• Quản lý sai mật khẩu trên các nền tảng – Sử dụng cùng một mật khẩu cho nhiều tài khoản hoặc chỉ thay đổi một ký tự trong thông tin đăng nhập cho các tài khoản khác nhau
• Sử dụng mật khẩu không hết hạn – Không phải thay đổi mật khẩu một lần

Đảm bảo một chính sách mật khẩu đáng tin cậy dường như là một điều đơn giản. Tuy nhiên, ngay cả những doanh nghiệp lớn cũng có thể mắc sai lầm.

2. Xử lý bất cẩn dữ liệu nhạy cảm 

Khi nhân viên làm việc với một lượng lớn dữ liệu mỗi ngày, họ có khả năng mắc lỗi dẫn đến rò rỉ dữ liệu. Những lý do chính của việc này là do sơ suất, mệt mỏi, thiếu kiến thức về các mối đe dọa an ninh mạng và không hiểu giá trị của dữ liệu.

Những sai lầm phổ biến và nguy hiểm nhất mà nhân viên mắc phải khi xử lý dữ liệu là:  

• Vô tình xóa các tệp cần thiết có dữ liệu nhạy cảm hoặc thông tin bảo mật
• Có mục đích xóa tệp mà không hiểu tầm quan trọng của chúng
• Gửi email có dữ liệu nhạy cảm đến nhầm người nhận
• Vô tình thay đổi tài liệu do bất cẩn
• Chia sẻ dữ liệu nhạy cảm với đồng nghiệp bằng cách sử dụng sứ giả không an toàn
• Sử dụng tệp đính kèm email không an toàn khi gửi dữ liệu nhạy cảm
• Không sao lưu dữ liệu quan trọng

Ngay cả các dịch vụ chính phủ và quân đội cũng không tránh khỏi những sai sót của con người liên quan đến bảo mật thông tin. Năm 2018, Cục Dự trữ Lực lượng Thủy quân Lục chiến Hoa Kỳ đã làm lộ dữ liệu cá nhân của hàng nghìn lính thủy đánh bộ, thủy thủ và dân thường bằng cách gửi một email không được mã hóa với tệp đính kèm chứa thông tin bí mật cá nhân vào danh sách email sai.

3. Sử dụng phần mềm lỗi thời hoặc trái phép 

Phần mềm lỗi thời là người bạn tốt nhất của tin tặc, vì nó có các lỗ hổng bảo mật và dễ dàng bị khai thác.

Thật không may, các nhân viên thường giúp tội phạm mạng xâm phạm dữ liệu nhạy cảm bằng cách: 

• Bỏ qua các bản cập nhật phần mềm. Điều này có thể dẫn đến vi phạm dữ liệu đáng kể, chẳng hạn như sự bùng phát phần mềm tống tiền WannaCry ảnh hưởng chủ yếu đến các máy chạy phiên bản Microsoft Windows cũ hơn và vi phạm bảo mật khai thác phần mềm chưa được vá trên hệ thống do Marriott mua lại.
• Tắt các tính năng bảo mật. Đôi khi nhân viên đặt vấn đề an ninh mạng của doanh nghiệp vào rủi ro để đơn giản hóa công việc của họ hoặc sử dụng các thiết bị làm việc cho nhu cầu cá nhân. Ví dụ: họ có thể tạm dừng các tính năng chống vi-rút hoặc bảo mật trình duyệt để xem hoặc tải xuống tệp từ các trang web đáng ngờ.
• Tải xuống phần mềm trái phép. Công nghệ thông tin ẩn nguy hiểm đối với an ninh mạng của bất kỳ tổ chức nào. Phần mềm không được bộ phận bảo mật phê duyệt có thể là phần mềm độc hại, ảnh hưởng đến dữ liệu doanh nghiệp của bạn ngay lập tức. Một kịch bản khác là khi phần mềm không chứa vi-rút nhưng có các lỗ hổng được các tác nhân độc hại biết đến.

Những lý do phổ biến cho sự cẩu thả giữa các nhân viên là: 

• Quá nhiều công việc. Nhân viên cho rằng họ quá tập trung vào nhiệm vụ hiện tại, dẫn đến việc họ liên tục cập nhật phần mềm.
• Sai thời điểm. Các cửa sổ bật lên cập nhật thường xuất hiện vào những thời điểm không thuận tiện, khiến nhân viên hình thành thói quen phớt lờ chúng.
• Không có thời gian để học. Nhân viên có thể miễn cưỡng dành thời gian khám phá các tính năng của phần mềm được cấp phép mới, thay vào đó chọn sử dụng phần mềm lỗi thời mà họ đã biết.
• Không có thời gian để cập nhật. Nhân viên thường không muốn đợi các bản cập nhật hoàn tất.
• Thói quen. Nhân viên tiếp tục làm việc với phần mềm lỗi thời hoặc trái phép vì họ đã quen với phần mềm đó.
• Thiếu kiến thức về an ninh mạng. Người dùng thường không hiểu những rủi ro của việc tắt các tính năng bảo mật và sử dụng phần mềm trái phép hoặc lỗi thời.

Đáng chú ý là khi nhân viên của bạn thiếu kiến thức tổng thể về an ninh mạng, điều đó gây ra mối đe dọa nghiêm trọng đối với sự an toàn của dữ liệu và hệ thống quan trọng của bạn. Đó là lý do tại sao chúng tôi chọn sự thiếu hiểu biết về an ninh mạng là sai lầm cuối cùng, thứ tư mà nhân viên của bạn dễ mắc phải.

4. Thiếu kiến thức về an ninh mạng  

Hầu hết nhân viên đều hoàn toàn tập trung vào công việc và không quan tâm quá nhiều đến các thủ tục bảo mật. Nhưng những nhân viên không được đào tạo về các quy tắc bảo mật internet chính có thể gây ra một cuộc khủng hoảng an ninh mạng thực sự trong tổ chức của bạn.

Sử dụng sự trợ giúp của người trong cuộc là cách dễ nhất để những kẻ tấn công lấy cắp thông tin đăng nhập, truy cập vào dữ liệu quan trọng và đưa phần mềm độc hại vào hệ thống. Ngay cả bây giờ, nhân viên có thể là nạn nhân của các cuộc tấn công lừa đảo hoặc các ứng dụng độc hại mà tin tặc sử dụng để truy cập vào dữ liệu của công ty.

Hãy cùng xem một số sai lầm mà nhân viên mắc phải do thiếu kiến thức về an ninh mạng:

• Theo các liên kết và tệp đính kèm email đáng ngờ. Tội phạm mạng ngày càng trở nên sáng tạo hơn khi gửi các email độc hại. Những email này thường không được lọc là spam và có thể gây ra mối đe dọa cho an ninh mạng của bạn, trong khi các liên kết có thể dẫn đến các trang web giả mạo và tệp đính kèm có thể chứa các tập lệnh độc hại.
• Sử dụng thiết bị cá nhân cho mục đích công việc. Đôi khi, nhân viên để điện thoại thông minh và máy tính xách tay của họ ở các khu vực công cộng. Ví dụ: sau khi bị đánh cắp ở sân bay, một thiết bị sẽ dễ bị xâm phạm dữ liệu.
• Sử dụng Wi-Fi công cộng mà không có VPN. Hầu hết mọi người không hiểu rằng tin tặc có thể sử dụng Wi-Fi công cộng trong khách sạn, nhà hàng và những nơi công cộng khác để bắt đầu các cuộc tấn công trung gian, cài đặt phần mềm độc hại hoặc thực hiện các hoạt động độc hại khác. Không sử dụng VPN để mã hóa các kết nối của bạn là một sai lầm lớn.
• Cắm các thiết bị không an toàn. Ngay cả các thẻ lưu trữ USB đã biết (chưa kể các thiết bị mới chưa được kiểm tra) có thể chứa mã độc xuất hiện sau khi tương tác với mạng bên ngoài.
• Thực hiện các thay đổi hệ thống trái phép. Nhân viên thường thực hiện các sửa đổi trái phép đối với hệ thống để làm cho công việc của họ thuận tiện hơn hoặc để tăng tốc các quy trình. Những thay đổi này có thể làm xáo trộn các quy trình kinh doanh thông thường và thậm chí khiến hệ thống hoạt động.

Số lượng các cuộc tấn công lừa đảo do Kaspersky phát hiện trên toàn cầu đạt 129.933.555 lần tấn công chỉ trong quý 2 năm 2019. Tội phạm mạng và kẻ tống tiền giả danh dịch vụ email và dịch vụ hoàn thuế để truy cập vào tài khoản email của người dùng, đe dọa tới an ninh mạng. Ngoài ra, họ đã sử dụng các dịch vụ lưu trữ dữ liệu dựa trên đám mây của Google để che giấu nội dung bất hợp pháp của mình, trong khi các liên kết từ các miền hợp pháp như vậy được cả người dùng và bộ lọc spam coi là đáng tin cậy.

Lời kết

Các vấn đề an ninh mạng do lỗi của con người thường ít tốn kém hơn so với do phần mềm độc hại. Tuy nhiên, chúng vẫn đe dọa nghiêm trọng đến tính bảo mật và tính khả dụng của dữ liệu nhạy cảm và các tài nguyên quan trọng trong kinh doanh của bạn. Biết được bốn sai lầm an ninh mạng mà nhân viên thường mắc phải nhất, bạn biết mình phải làm gì và làm thế nào để bảo vệ doanh nghiệp an toàn. Liên hệ với chúng tôi nếu bạn cần tư vấn về an ninh mạng.

Thông tin liên hệ xin gửi về:

📩 Email: [email protected]

☎️ SĐT: (024) 7305 0506 | +84 (028) 7308 0508

📞 Hotline: 077 526 4030