Mặc dù nhiều công ty lớn không ngại cấp laptop, điện thoại, máy tính bảng, nhưng tổ chức khác có ít lựa chọn hơn. Đối với doanh nghiệp vừa và nhỏ, phi lợi nhuận, đơn vị giáo dục, ngân sách thường hạn hẹp.
Vì vậy, nhiều người thường phải mang thiết bị cá nhân đến làm việc. Đây là lý do gây ra một số vấn đề, và những gì bạn có thể làm.
Ưu và nhược điểm của chính sách mang thiết bị cá nhân (BYOD)
Lâu nay, thực hành tiêu chuẩn của nhiều tập đoàn là cấp thiết bị cho nhân viên. Các thiết bị này bảo vệ công ty khỏi rủi ro bảo mật, trách nhiệm pháp lý, rò rỉ dữ liệu. Việc tách thiết bị công việc và cá nhân cũng giúp tạo cân bằng cuộc sống - công việc, mối quan tâm ngày càng lớn của người làm việc từ xa dễ bị quá tải.
Tuy nhiên, dù quy trình onboard có thể đơn giản hơn, cấp thiết bị công ty cũng có thể khá rườm rà hành chính.
Nhiều công ty cấp thiết bị thường gặp khó khăn với quy trình phê duyệt dài cho mua sắm, thay thế, cấp phát. Các quy trình này có thể làm suy giảm năng suất nghiêm trọng cho tổ chức cần sự linh hoạt.
Ngược lại, cũng có một số lợi ích khi nhân viên mang thiết bị cá nhân. Bên cạnh tiết kiệm chi phí mua thiết bị, công ty thực sự tiết kiệm thời gian và công sức.
Ví dụ: người quen hệ điều hành cụ thể sẽ không cần học hệ điều hành mới cho công việc.
Bằng cách phù hợp với thói quen sử dụng hiện có, công ty giảm khả năng đường cong học tập dốc. Với vậy, nhân viên có thể làm việc hiệu quả ngay từ đầu theo cách không thể với toàn bộ thiết bị do công ty cấp.
Mẹo bảo mật cho chính sách BYOD
Vì vậy, nếu công ty quyết định yêu cầu nhân viên mang thiết bị riêng, đây là một số mẹo để giữ mọi thứ chuyên nghiệp.
Hướng dẫn chính sách Onboarding
Đối với bất kỳ chính sách nào, phần lớn thành công nằm ở việc truyền đạt đến các bên liên quan.
Dù quy mô nào, công ty nên có điều khoản trong hợp đồng lao động về bảo mật dữ liệu, cắp dữ liệu, lệnh giữ pháp lý, và thực hành giám sát. Bạn cũng có thể đầu tư địa chỉ email công ty cho mỗi nhân viên được phép truy cập tài liệu chính thức.
Công ty nên dành một phần quy trình onboarding cho kỳ vọng chuyên nghiệp từ nhân viên và minh bạch về loại giám sát họ có thể mong đợi trong và ngoài mạng công ty.
Thủ tục xác thực
Số nhân viên sẵn sàng làm gián điệp doanh nghiệp hoặc cắp dữ liệu là thiểu số.
Nhưng số nhân viên vô tình tạo mật khẩu yếu, dùng chung mật khẩu cho mọi thứ, cho bạn bè/người thân mượn thiết bị cá nhân/công ty thì cao hơn nhiều.
Để bảo vệ chống lại cả ý định xấu và sự vô tình, công ty cần thực hiện nhiều bước. Thứ nhất, bạn cần dạy nhân viên tầm quan trọng của thực hành bảo mật cá nhân như phân tán dữ liệu và độ mạnh mật khẩu.
Thứ hai, bạn cần xây dựng vào quy trình: thay đổi mật khẩu định kỳ và quy trình xác thực lại bắt buộc khi nhân viên vắng mặt văn phòng quá lâu. Đặc biệt, người làm việc từ xa, đội ngũ kinh doanh, và bất kỳ ai làm việc ngoài văn phòng là dễ bị tổn thương nhất.
Xác thực không chỉ áp dụng cho laptop hay máy tính bảng. Nó cũng phải áp dụng cho smartphone, email, ứng dụng nội bộ, hoặc bất kỳ hệ thống nào thường xuyên tiếp xúc thông tin công ty.
Giới hạn mạng
Giống như mọi mối đe dọa bảo mật, bạn chỉ an toàn bằng mắt xích yếu nhất. Đối với công ty áp dụng BYOD, chuỗi đó cần củng cố nhiều hơn.
Là quy tắc chung, truy cập thông tin quan trọng nên khuyến khích hạn chế tối đa cho thiết bị bên ngoài.
Lưu trữ tất cả thiết bị bên ngoài trên VLAN riêng với hệ thống phát hiện xâm nhập chặt chẽ để tránh xâm nhập. Cũng dùng kết hợp hệ thống phát hiện xâm nhập dựa trên mạng và dựa trên máy chủ. Mạng công ty nên nhận diện hành vi bất thường như gói tin tăng kích thước, tải lưu lượng, hoặc tấn công dữ liệu mã hóa.
Thật không may, không có cách tiếp cận one-size-fits-all cho đạo đức giám sát nhân viên trên thiết bị cá nhân. Tùy thuộc bản chất kinh doanh, độ nhạy cảm dữ liệu có thể yêu cầu chụp màn hình theo thời gian, giới hạn tệp, đăng xuất tự động, v.v.
Giới hạn mạng nên được đánh giá định kỳ khi nhu cầu công ty thay đổi theo sự phát triển. Có lúc bạn cần tích hợp nhiều VLAN, giới thiệu thủ tục ủy quyền nghiêm ngặt hơn, hoặc thêm bảo vệ tường lửa.
IT Off-boarding (Xử lý khi nhân viên nghỉ việc)
Mặc dù mọi công ty đều có quy trình off-boarding, quy trình kém cho công ty BYOD là công thức cho thảm họa, nhất khi nhân viên nghỉ việc trong điều kiện xấu.
Quy trình off-boarding bảo mật tốt giảm thiểu cơ hội rò rỉ dữ liệu mật. Chúng cũng cải thiện thực hành vệ sinh dữ liệu tổng thể và ngăn chặn mất mát dữ liệu thể chế.
Quy trình IT off-boarding tốt xem xét: nhân viên có dữ liệu gì, lưu ở đâu, và có thể dùng làm gì. Công ty nên lập bản đồ ý định cho nhân viên rời đi và gắn cờ những người gia nhập đối thủ hoặc khởi nghiệp cạnh tranh.
Cuối cùng, hãy nhắc nhân viên về rủi ro pháp lý liên quan đến cắp dữ liệu trong phỏng vấn nghỉ việc để ngăn chặn hành động tiềm ẩn.
Cân bằng tiện lợi và bảo mật
Đối với văn phòng nhỏ, giới hạn mạng không luôn cảm thấy cần thiết. Tuy nhiên, văn phòng nhỏ với tham vọng lớn vẫn cần bảo vệ bảo mật cho tương lai. Luôn tốt khi chuẩn bị tổ chức cho quy mô bằng cách bảo vệ dữ liệu từ ngay đầu tiên.
BYOD là thực tế đối với nhiều doanh nghiệp nhỏ, phi lợi nhuận, tổ chức chưa thành lập vững chắc. Mặc dù chưa bao giờ dễ dàng và rẻ tiền đến vậy để khởi nghiệp toàn cầu, nhưng cũng chưa bao giờ rủi ro về bảo mật đến mức này. Với đường cong học tập ngắn hơn và quy trình onboarding ít rườm rà hơn, BYOD vẫn là rủi ro đáng chấp nhận cho một số công ty.
Vì lý do này, bạn nên chú ý đến mức độ cho phép truy cập thông tin quan trọng có thể làm thành hoặc phá vỡ doanh nghiệp. Nên làm rõ cho mọi người trong team tầm quan trọng của thực hành bảo mật dữ liệu tốt, ngay cả khi dùng thiết bị cá nhân.
Chính sách công ty chỉ là ngọn núi băng. Với việc dùng ngày càng nhiều phần mềm đám mây, lưu trữ, và kênh giao tiếp, cửa sổ cơ hội cho tấn công càng rõ rệt mỗi năm. Để BYOD hoạt động, mọi người cần cảnh giác trong và ngoài văn phòng.