Love AI
New member
Con người vừa là điểm yếu lớn nhất vừa là nền tảng vững chắc của khả năng chống chịu mạng. Để giảm rủi ro, các tổ chức cần chuyển từ đào tạo hình thức sang xây dựng văn hóa bảo mật thực sự.
Những vụ rò rỉ và tấn công mạng có tầm ảnh hưởng lớn trong những năm gần đây cho thấy một nghịch lý cơ bản: nhân viên đôi khi là nguồn gây rủi ro (sai sót, bị lừa bởi social engineering), nhưng chính họ cũng là hàng phòng thủ đầu tiên có thể phát hiện và ngăn chặn hành vi đáng ngờ.
Các vụ việc lớn như những tổn thất hàng trăm triệu bảng cho thấy nhiều cuộc tấn công tận dụng lỗi con người — từ việc lộ thông tin đăng nhập đến các chiêu thức mạo danh tinh vi. Khi kẻ tấn công dùng AI để tạo video hoặc giả giọng, nguy cơ lừa đảo càng trở nên thuyết phục và quy mô hơn.
Ngoài các chiêu thức lừa đảo, rủi ro còn đến từ việc nhân viên tự ý dùng công cụ, thiết bị hoặc quy trình nằm ngoài quản trị CNTT chính thức (Shadow IT). Họ thường làm vậy với ý định tốt — muốn thao tác nhanh hơn hoặc cộng tác hiệu quả hơn — nhưng kết quả là xuất hiện các điểm mù an ninh và nguy cơ quản trị dữ liệu.
Thói quen hàng ngày như dùng lại mật khẩu, lưu file ở nơi không được phê duyệt, chia sẻ dữ liệu qua app tiêu dùng hoặc dùng Wi‑Fi công cộng không bảo mật đều có thể làm suy yếu an toàn của tổ chức.
Đào tạo an ninh chỉ để hoàn thành yêu cầu hình thức (tick‑box) mà người học chỉ bấm qua các module chung chung hiếm khi tạo ra thay đổi hành vi thực tế. Cần một sự chuyển đổi về tư duy: nhân viên phải hiểu tại sao các quyết định ngày thường của họ quan trọng, khi nào nên dừng lại và kiểm tra kỹ thay vì hành động theo phản xạ.
Mục tiêu là biến hành vi an toàn thành mặc định. Điều đó bao gồm khuyến khích báo cáo các tình huống đáng ngờ mà không sợ bị đổ lỗi, đơn giản hóa quy trình xác minh, và đảm bảo mọi người biết chính xác phải liên hệ ai khi gặp nghi vấn.
Công cụ kỹ thuật là cần thiết nhưng không thể thay thế văn hóa. Nếu nhân viên không tin rằng báo cáo của họ được đánh giá nghiêm túc, hoặc nếu quy trình quá rườm rà, rủi ro vẫn sẽ tồn tại.
Khi một nhân viên nhận được email bất ngờ có vẻ “lạ”, thay vì hành động vội để tránh trì trệ công việc, họ dừng lại vì văn hóa tổ chức khuyến khích suy nghĩ thận trọng.
Họ biết cách báo cáo nhanh và dễ dàng, đội an ninh phản hồi nhanh và coi báo cáo là nguồn tình báo giá trị chứ không phải làm phiền. Lãnh đạo công nhận hành động đó để củng cố thông điệp rằng báo cáo sớm và suy nghĩ thận trọng là hành vi được trân trọng.
Để giảm rủi ro từ yếu tố con người, tổ chức nên: cải tiến đào tạo theo tình huống thực tế, đơn giản hóa kênh báo cáo, áp dụng nguyên tắc quyền ít nhất và đa yếu tố xác thực, giám sát Shadow IT hợp lý, và giữ thái độ không đổ lỗi khi xử lý cảnh báo.
Khi con người được trang bị kiến thức phù hợp, quy trình rõ ràng và công cụ hỗ trợ đúng cách, họ sẽ trở thành lực lượng bảo vệ mạnh mẽ nhất cho an ninh mạng của tổ chức.
Nguồn: Techradar
Con người: vừa là điểm mạnh, vừa là điểm yếu
Những vụ rò rỉ và tấn công mạng có tầm ảnh hưởng lớn trong những năm gần đây cho thấy một nghịch lý cơ bản: nhân viên đôi khi là nguồn gây rủi ro (sai sót, bị lừa bởi social engineering), nhưng chính họ cũng là hàng phòng thủ đầu tiên có thể phát hiện và ngăn chặn hành vi đáng ngờ.
Các vụ việc lớn như những tổn thất hàng trăm triệu bảng cho thấy nhiều cuộc tấn công tận dụng lỗi con người — từ việc lộ thông tin đăng nhập đến các chiêu thức mạo danh tinh vi. Khi kẻ tấn công dùng AI để tạo video hoặc giả giọng, nguy cơ lừa đảo càng trở nên thuyết phục và quy mô hơn.
Những rủi ro phổ biến do hành vi nhân viên
Ngoài các chiêu thức lừa đảo, rủi ro còn đến từ việc nhân viên tự ý dùng công cụ, thiết bị hoặc quy trình nằm ngoài quản trị CNTT chính thức (Shadow IT). Họ thường làm vậy với ý định tốt — muốn thao tác nhanh hơn hoặc cộng tác hiệu quả hơn — nhưng kết quả là xuất hiện các điểm mù an ninh và nguy cơ quản trị dữ liệu.
Thói quen hàng ngày như dùng lại mật khẩu, lưu file ở nơi không được phê duyệt, chia sẻ dữ liệu qua app tiêu dùng hoặc dùng Wi‑Fi công cộng không bảo mật đều có thể làm suy yếu an toàn của tổ chức.
Đào tạo theo kiểu “điền vào ô” không đủ
Đào tạo an ninh chỉ để hoàn thành yêu cầu hình thức (tick‑box) mà người học chỉ bấm qua các module chung chung hiếm khi tạo ra thay đổi hành vi thực tế. Cần một sự chuyển đổi về tư duy: nhân viên phải hiểu tại sao các quyết định ngày thường của họ quan trọng, khi nào nên dừng lại và kiểm tra kỹ thay vì hành động theo phản xạ.
Xây dựng văn hóa bảo mật thực chất
Mục tiêu là biến hành vi an toàn thành mặc định. Điều đó bao gồm khuyến khích báo cáo các tình huống đáng ngờ mà không sợ bị đổ lỗi, đơn giản hóa quy trình xác minh, và đảm bảo mọi người biết chính xác phải liên hệ ai khi gặp nghi vấn.
Công cụ kỹ thuật là cần thiết nhưng không thể thay thế văn hóa. Nếu nhân viên không tin rằng báo cáo của họ được đánh giá nghiêm túc, hoặc nếu quy trình quá rườm rà, rủi ro vẫn sẽ tồn tại.
Một kịch bản mô tả văn hóa tốt
Khi một nhân viên nhận được email bất ngờ có vẻ “lạ”, thay vì hành động vội để tránh trì trệ công việc, họ dừng lại vì văn hóa tổ chức khuyến khích suy nghĩ thận trọng.
Họ biết cách báo cáo nhanh và dễ dàng, đội an ninh phản hồi nhanh và coi báo cáo là nguồn tình báo giá trị chứ không phải làm phiền. Lãnh đạo công nhận hành động đó để củng cố thông điệp rằng báo cáo sớm và suy nghĩ thận trọng là hành vi được trân trọng.
Kết hợp con người, quy trình và công nghệ
Để giảm rủi ro từ yếu tố con người, tổ chức nên: cải tiến đào tạo theo tình huống thực tế, đơn giản hóa kênh báo cáo, áp dụng nguyên tắc quyền ít nhất và đa yếu tố xác thực, giám sát Shadow IT hợp lý, và giữ thái độ không đổ lỗi khi xử lý cảnh báo.
Khi con người được trang bị kiến thức phù hợp, quy trình rõ ràng và công cụ hỗ trợ đúng cách, họ sẽ trở thành lực lượng bảo vệ mạnh mẽ nhất cho an ninh mạng của tổ chức.
Nguồn: Techradar
Bài viết liên quan