Những ngày làm việc 40 giờ/tuần trên máy tính 15 năm tuổi với màn hình nhấp nháy đã thành quá khứ. Nhân viên văn phòng khắp nơi không còn phải nguy hiểm đến thị lực hay sự tỉnh táo. Hầu hết công ty tiên phong sẵn sàng cho nhân viên mang và dùng thiết bị riêng.
Nhưng có thắng thì có thua. Mặc dù thị lực có thể được bảo vệ, bạn có thể nghiêm trọng xâm phạm an toàn và bảo mật bằng cách tham gia kế hoạch "Mang thiết bị riêng" (BYOD). Và nguy hiểm không dừng lại ở bạn với tư cách nhân viên — công ty của bạn cũng có thể đặt mình trong rủi ro.
Rủi ro bảo mật của BYOD là gì? Trong bài này, tôi sẽ thảo luận lý do BYOD đang được ưa chuộng, sau đó giải thích các vấn đề có thể phát sinh.
BYOD là gì?
BYOD là thuật ngữ chung cho chính sách công ty cho phép nhân viên dùng thiết bị riêng để truy cập dữ liệu công ty, email, cơ sở hạ tầng và mạng.
Thiết bị có thể là mọi thứ từ smartphone, máy tính bảng đến laptop và máy chiếu. Thường chỉ bất kỳ thiết bị thuộc sở hữu nhân viên có kết nối internet được kết nối vào mạng nội bộ công ty.
Thuật ngữ này bắt đầu phổ biến năm 2009 nhờ Intel, và kể từ đó chính sách này bùng nổ. Phần lớn lớn nhất các công ty lớn nhất thế giới hiện cung cấp某种形式 BYOD, cũng như hàng nghìn SME.
Dữ liệu cho thấy áp dụng BYOD phổ biến nhất ở Trung Đông nơi hơn 80% nhân viên văn phòng hiện có quyền truy cập chính sách. Brazil, Nga, Ấn Độ, UAE và Malaysia là năm quốc gia dẫn đầu — tất cả đạt tỷ lệ trên 75%. Tại Bắc Mỹ, tỷ lệ đứng ở khoảng 44%.
Tại sao công ty thích nó?
Công ty nhanh chóng áp dụng BYOD vì hai lý do chính: cắt giảm chi phí và năng suất.
Về chi phí, công ty có thể tiết kiệm tiền trên phần cứng, phần mềm và bảo trì thiết备. Về lý thuyết, nó giảm áp lực cho bộ phận IT đã khó theo kịp tốc độ thay đổi công nghệ.
Về mặt năng suất, nghiên cứu lặp đi lặp lại cho thấy nhân viên có quyền truy cập chính sách BYOD hạnh phúc hơn, thoải mái hơn, và thường làm việc nhanh hơn.
Nhưng không phải mọi thứ đều hồng hào. Có những hố bảo mật nghiêm túc cả nhân viên và công ty cần cân nhắc.
Hố bảo mật cho Nhân viên
Công ty thường dùng phần mềm quản lý thiết bị di động từ xa để quản lý BYOD, nhưng phần mềm này xâm nhập nhiều hơn nhân viên tưởng. Đây là ba điều bạn nên chú ý.
1. Thu thập dữ liệu
Bạn sẵn sàng chia sẻ bao nhiêu dữ liệu với công ty? Ví dụ, bạn có vui nếu sếp biết toàn bộ lịch sử duyệt web? Bạn có sẵn sàng chia sẻ vị trí với bộ phận IT?
Câu trả lời có thể là "Không", nhưng theo báo cáo của Bitglass, bạn có thể đang tự làm mình bị xâm phạm quyền riêng tư sâu sắc.
"Mục đích của giải pháp quản lý thiết bị di động không phải gián điệp nhân viên mà theo dõi malware và bảo mật chung. Nhưng các công cụ này làm nhiều hơn vậy. Bao gồm xem điện thoại ở đâu, app gì trên điện thoại, thậm chí trang web nào người dùng truy cập. Chúng tôi thấy một số nhân viên tìm kiếm thông tin y tế trên web." -- Salim Hafid, Quản lý sản phẩm tại Bitglass
Hãy tự hỏi: bạn có biết công ty nắm dữ liệu gì về bạn không? Theo pháp luật Mỹ và Anh, bạn có quyền hợp pháp xem tất cả. Hãy hỏi bộ phận HR. Kết quả có thể khiến bạn ngạc nhiên.
2. Chặn tin nhắn cá nhân
Mặc dù bạn có thể không hào hứng, hầu hết chúng ta chấp nhận chủ lao động có quyền truy cập và giám sát email công ty. Nhưng email cá nhân thì sao? Hay tin nhắn qua Facebook Messenger? Đó là chuyện hoàn toàn khác.
Và tuy nhiên, nhà nghiên cứu Bitglass đã thấy được tất cả liên lạc này dùng phần mềm quản lý thiết bị từ xa. Báo cáo thậm chí tuyên bố mật khẩu và chi tiết ngân hàng cũng hiển thị.
Tất nhiên, công ty có thể không thu thập dữ liệu này theo quy trình (trừ khi bạn cho phép trong chữ nhỏ hợp đồng). Tuy nhiên, rủi ro tiềm ẩn nên chuông báo reo. Bạn có tin tưởng mọi thành viên bộ phận IT không lén nhìn bạn? Bạn có tin hệ thống bảo mật doanh nghiệp ngăn chặn hacker truy cập dữ liệu?
3. Mất dữ liệu cá nhân
Gần như tất cả phần mềm quản lý thiết bị từ xa chủ đạo mà công ty dùng có thể xóa dữ liệu từ xa khỏi thiết bị.
Công ty cần biện pháp bảo vệ này nếu bạn rời tổ chức. Chủ lao động phải có thể xóa dữ liệu nhạy cảm trên ứng dụng được quản lý và bất kỳ nội dung cơ sở dữ liệu nào bạn có trên thiết bị.
Nhưng phần mềm quản lý thiết bị không chỉ có khả năng xóa ứng dụng do công ty quản lý. Nó cũng có thể xóa toàn bộ ứng dụng thậm chí xóa sạch điện thoại.
Với tư cách nhân viên, điều này nghĩa là dữ liệu của bạn luôn dễ bị tổn thương trước ý chí công ty. Nếu bạn ký hợp đồng BYOD, ngay cả việc vô tình tải file công ty vào ứng dụng không được quản lý cũng có thể cho chủ lao động lý do xóa điện thoại của bạn.
Tóm lại: Ảnh, nhạc, file, tin nhắn của bạn đều có nguy cơ bị xóa mà không cần sự đồng ý.
Hố bảo mật cho Công ty
Mặc dù rủi ro nhân viên chủ yếu về quyền riêng tư, rủi ro chủ lao động chủ yếu xoay quanh bảo mật. Đây là ba cách hàng đầu công ty bị rủi ro từ chính sách BYOD.
1. Thiết bị bị mất
Công ty có thể chi hàng nghìn đô la cho phần mềm bảo mật mới nhất, nhưng không thể làm gì để ngăn chặn lỗi người dùng đơn giản.
Con người làm mất đồ, và đồ bị đánh cắp. Và nếu thiết bị bị mất chứa thông tin nhạy cảm cao, nó có thể tàn phá cho công ty. Thực tế, dữ liệu cho thấy hơn 60% vi phạm mạng doanh nghiệp do thiết bị bị đánh cắp.
Công ty sẽ lập luận đây là lý do cần phần mềm quản lý thiết bị di động từ xa trên gadget BYOD, nhưng nhân viên có thể phản đối vì lý do đã thảo luận.
Vấn đề có thể dẫn đến bế tắc mà không chủ lao động hay nhân viên hài lòng.
2. Mạng không an toàn
Con người sẽ dùng thiết bị trên nhiều loại mạng. Và mặc dù Wi-Fi nhà bạn có thể an toàn từ tội phạm và hacker, điều đó không đúng cho Wi-Fi công cộng ở khách sạn và sân bay.
Những mạng này là nơi săn bắn phong phú cho tội phạm mạng. Hacker có thể chờ đợi thiết bị kém bảo mật đăng nhập, rồi gây rối ngay khi kết nối được thiết lập.
Lại nữa, dữ liệu hỗ trợ lý thuyết. Ước tính hacker nhắm đến tới 40% thiết bị BYOD trên mạng Wi-Fi công cộng trong bốn tháng sử dụng.
Công ty có thể bảo vệ bằng hồ sơ bảo mật mạnh mẽ, nhưng SME non-tech có ngân sách, thời gian, hay kiến thức để làm các bước đó không?
3. Cập nhật phần mềm
Sự chênh lệch giữa cách các công ty phát hành cập nhật có thể gây vấn đề. Ví dụ, xem sự khác biệt giữa quy trình cập nhật tập trung của Apple và cách tiếp cận phân mảnh của Android.
Nhân viên sẽ dùng nhiều loại thiết bị khác nhau, và bộ phận IT không thể ép họ nâng cấp lên bản phát hành mới nhất. Cùng áp dụng cho ứng dụng bên thứ ba: công ty làm sao chắc chắn mã ứng dụng không bị lỗ hổng?
Chắc chắn, công ty có thể ngăn nhân viên với phần mềm cũ truy cập mạng, nhưng khi đó nhân viên không thể làm việc. Nó đánh bại một trong những nguyên tắc gốc của BYOD: cải thiện năng suất.
Bạn có lo lắng về BYOD?
Tôi đã chia sẻ ba mối quan tâm BYOD bảo mật lớn nhất từ cả góc nhìn chủ lao động và nhân viên.
Tất nhiên, có nhiều lợi ích cho chính sách, nhưng cả hai bên cần nhận thức rủi ro họ đang đối mặt. Lúc này, không đủ bên liên quan có kiến thức đầy đủ.
Bạn là nhân viên văn phòng có câu chuyện BYOD không hay để chia sẻ? Gặp "kịch rợn" BYOD tại SME của bạn? Như luôn, bạn có thể để lại mọi suy nghĩ và ý kiến trong bình luận bên dưới.