Trong bài viết này, cách chuyên gia sẽ chia sẻ một số kỹ thuật đã học được trong môi trường Bảo mật hoạt động (OPSEC - Operational Secure) và cách các kỹ thuật này có thể được sử dụng để cung cấp bảo mật có thể đo lường được, với sự gián đoạn tối thiểu để thuận tiện trong công việc hàng ngày. Đây không phải là một danh sách đầy đủ các mẹo hoặc kỹ thuật để giữ an toàn trong thế giới kỹ thuật số, và bạn đọc có thể tìm kiếm thêm nhiều tài nguyên để bảo mật rộng rãi danh tính của mình. Ngoài ra, tất cả các kỹ thuật trong bài viết này nên được cân nhắc kỹ càng - quyết định khi thỏa hiệp rủi ro hay bỏ chi phí vào các dịch vụ hoặc kỹ thuật.
Quy tắc quan trọng nhất cần nhớ là bảo vệ danh tính của con người không phải là điều hoang tưởng. Nỗ lực để bảo vệ danh tính của người dùng không phải là điều phi lý và bạn có thể thực hiện các bước đơn giản để giảm thiểu nguy cơ mất mát dữ liệu cá nhân. Trên thực tế, việc không thực hiện các biện pháp này là thiếu chính đáng và bất cẩn. Bảo vệ danh tính có thể trở thành nỗi ám ảnh - giống như khi một người có thể từ chối rời khỏi nhà vì sợ bị thương hoặc vì sợ rằng trộm sẽ viếng thăm khi mình đi vắng - nhưng đó không phải là lý do để trốn tránh và không làm gì cả.
Bước dễ nhất để thực hiện bảo vệ dữ liệu là không chia sẻ thông tin với bất kỳ ai mà bạn không tin tưởng nếu không có những thông tin hợp lệ và trên cơ sở Need to know. Khi làm việc với thông tin được phân loại là tuyệt mật hoặc nhạy cảm, cách thức đơn giản nhất để giảm sự lan truyền của dữ liệu nhạy cảm - và do đó, giảm nguy cơ dữ liệu đó bị rò rì - là hạn chế càng ít người biết dữ liệu càng tốt. Cơ sở Need to know được áp dụng bởi chính phủ (đặc biệt là những tổ chức liên quan đến quân đội). Trong cả giới quân sự và dân sự, điều này có nghĩa là một người bị hạn chế chia sẻ bất kỳ thông tin nào trừ khi người hoặc tổ chức mà họ đang giao tiếp có thể chứng minh rằng họ có lý do hợp lệ để biết dữ liệu (và có thông tin xác thực phù hợp, trong trường hợp dữ liệu được phân loại).
Mức độ để bảo vệ thông tin cũng nên phụ thuộc vào bản chất của dữ liệu. Ví dụ: bạn có thể coi email của mình ít quan trọng hơn số chứng minh thư nhân dân và do đó sẽ bảo vệ từng thứ theo mức độ tương ứng. Trong một số trường hợp, các cơ quan hoặc công ty sẽ yêu cầu số chứng minh thư nhân dân để xử lý các yêu cầu hoặc thanh toán nhanh hơn, nhưng thông tin này không bắt buộc.
Theo nguyên tắc, không cung cấp thông tin trừ khi được yêu cầu hoặc giá trị của việc bàn giao thông tin đó lớn hơn rủi ro mang lại. Ví dụ: việc cung cấp cho một công ty địa chỉ email để nhận phiếu giảm giá 20% cho một giao dịch mua lớn có thể đáng giá đối với một số người. Hoặc cung cấp số An sinh xã hội cho Dịch vụ Doanh thu Nội bộ (IRS) để đẩy nhanh quá trình xử lý thanh toán có thể đáng để cung cấp.
Một điều cũng quan trọng chính là việc xem xét bản chất của cơ quan/ doanh nghiệp mà bạn đang bàn giao thông tin. Ví dụ: bạn có thể thoải mái hơn khi trao số định tuyến ngân hàng cho IRS so với những cửa hàng trực tuyến nhỏ. Tuy nhiên, hãy nhớ rằng không có tổ chức nào là tuyệt đối an toàn. Ngay cả Văn phòng Quản lý Nhân sự (OPM) - cơ quan quản lý số thẻ an ninh cho Bộ Quốc phòng Hoa Kỳ (DoD) - đã bị lộ hơn 21 triệu số An sinh xã hội và hơn 6 triệu dấu vân tay trong năm 2015.
Bạn cần hết sức thận trọng khi cung cấp thông tin của mình cho bất kỳ tổ chức nào và chia sẻ dữ liệu đó trên cơ sở Need to know. Nếu thông tin là bắt buộc, hãy chắc chắn rằng lợi ích của việc chia sẻ lớn hơn rủi ro mà nó mang lại, và tổ chức có những biện pháp phòng ngừa thích hợp để bảo mật thông tin đó. Nếu việc cung cấp thông tin là bắt buộc, cũng có những bước bạn có thể thực hiện để đảm bảo mình không bị ảnh hưởng xấu bởi vi phạm dữ liệu hoặc hack.
Khi nhận được yêu cầu chia sẻ thông tin, một ý tưởng tốt là không trực tiếp chia sẻ thông tin cá nhân của bạn mà thay vào đó hãy sử dụng những thông tin thay thế. Trong trường hợp vi phạm ESA, các nhà báo được yêu cầu cung cấp địa chỉ gửi thư và số điện thoại của họ để ESA cung cấp cho các công ty trò chơi thông tin liên hệ (trong trường hợp các công ty muốn liên lạc với các nhà báo). ESA đã giấu thông tin đằng sau một cổng thông tin được bảo vệ bằng mật khẩu. Trên thực tế, bảng Excel chứa thông tin cá nhân này có thể truy cập được từ trang web E3 nếu một người có URL.
Một số nhà báo đã sử dụng địa chỉ và số điện thoại của tòa soạn, điều đó có nghĩa là thông tin cá nhân của họ không được tiết lộ. Những người khác, chẳng hạn như các những người làm việc tự do, những người điều hành doanh nghiệp cá nhân lại không có tùy chọn này. Thay vào đó, họ đã sử dụng địa chỉ nhà và số điện thoại của họ và những thông tin này đã bị rò rỉ trên internet.
Những người cung cấp địa chỉ doanh nghiệp hoặc số điện thoại tại cơ quan sẽ có thể tách biệt danh tính thực sự của họ, và địa chỉ nhà và số điện thoại cá nhân của họ vẫn được bảo mật. Bạn nên áp dụng phương thức này khi được yêu cầu cung cấp thông tin để chia sẻ trực tiếp hoặc gián tiếp với các tổ chức mà bạn không biết hoặc không tin tưởng. Ví dụ: khi đăng ký tham dự hội nghị, không nên sử dụng số điện thoại cá nhân hoặc địa chỉ nhà của bạn - đặc biệt là khi bạn nắm giữ những chức vụ quan trọng. Việc nhận dạng tách biệt như vậy đảm bảo rằng nếu thông tin bị rò rỉ, bạn có thể chấm dứt địa chỉ hoặc số điện thoại đã cung cấp và thông tin cá nhân của bạn vẫn được bảo mật.
Trong trường hợp địa chỉ email, điều kiện lý tưởng là bạn có thể tách biệt địa chỉ email cá nhân và email công việc. Bạn có thể xem xét một trong các tùy chọn sau:
-
Mở hộp PO: A Post Office (PO – Hộp bưu điện) có thể được đặt trước trực tiếp từ Dịch vụ Bưu chính Hoa Kỳ (USPS) và hoạt động như một địa chỉ hợp pháp. Tùy chọn này thường được sử dụng cho các doanh nghiệp nhỏ, không muốn cung cấp địa chỉ cá nhân của chủ sở hữu cho khách hàng, nhưng nó cũng có thể được sử dụng cho mục đích cá nhân. Giá của hộp PO thay đổi theo vùng và có thể được đặt trước trên cơ sở ba, sáu hoặc 12 tháng. Để biết thêm thông tin, bạn có thể xem trên trang web chính thức của USPS PO. Cũng có thể hữu ích khi mở hộp PO ở thành phố gần nơi bạn đang sống, vì vị trí của địa chỉ hộp PO có thể ngầm nói cho người khác biết vị trí của bạn ở đâu.
-
Tạo địa chỉ ủy quyền: Ngoài các địa chỉ bưu chính chính thức, các công ty cũng cung cấp dịch vụ nơi họ sẽ nhận thư theo địa chỉ ủy quyền và chỉ chuyển tiếp thư cho khách hàng nếu được chấp thuận. Để biết thêm thông tin, bạn có thể xem xét các tùy chọn ShipToProxy hoặc USA2Me. Hãy nhớ rằng tùy chọn này đòi hỏi bạn cần tin tưởng các tổ chức cung cấp dịch vụ để cung cấp cho họ địa chỉ cá nhân của mình.
Đối với các số điện thoại, bạn có thể xem xét việc tạo các số điện thoại có thể ngừng sử dụng nếu bị tiết lộ. Một số tùy chọn bạn có thể sử dụng bao gồm:
-
Hushed
-
Google Voice
-
Talkatone
Có một địa chỉ ủy quyền và số điện thoại có thể loại bỏ sẽ đảm bảo rằng trong bất kỳ trường hợp nào, chẳng hạn như người tổ chức hội nghị làm rò rỉ thông tin, thông tin cá nhân của bạn vẫn được bảo mật.
Ngoài thông tin liên lạc được ủy quyền, bạn cũng có thể bảo vệ việc truy cập internet của mình. Thông thường, máy tính của bạn kết nối trực tiếp với máy chủ và tải xuống trang web, cho phép máy chủ - hoặc Nhà cung cấp dịch vụ Internet (ISP - Internet Service Provider) giám sát kết nối đó và lấy thông tin về các trang duyệt web của bạn và thiết bị được sử dụng để tải xuống trang web.
Để ngăn chặn sự rình mò này hoặc các cuộc tấn công trung gian độc hại hơn, bạn có thể sử dụng kết nối Mạng riêng ảo (VPN - Virtual Private Network). Đầu tiên, VPN thiết lập kết nối được mã hóa giữa máy tính của bạn và máy chủ của nhà cung cấp VPN, sau đó thay mặt bạn để tạo kết nối với máy chủ web. Từ quan điểm của máy chủ web, máy chủ VPN đang đưa ra yêu cầu; máy chủ web không biết rằng yêu cầu đó sẽ được chuyển tiếp đến máy tính của người dùng.
Mã hóa đảm bảo rằng mọi thực thể, bao gồm cả ISP của bạn cũng không thể kiểm tra kết nối.
Có rất nhiều nhà cung cấp VPN, bao gồm:
-
ExpressVPN
-
NordVPN
-
Norton Security VPN
Sử dụng VPN cũng có thể cho phép bạn hành động như thể bạn đang ở một địa điểm khác so với thực tế. Ví dụ: nếu bạn không muốn ai đó biết rằng bạn đang sống ở Indianapolis, IN, bạn có thể kết nối với máy chủ VPN ở Phoenix, AZ. Sau đó, khi bạn cố gắng xem một trang web, máy chủ web sẽ nghĩ rằng máy tính của bạn đang ở Phoenix vì đây là nơi kết nối bắt nguồn.
Ngoài việc bảo vệ danh tính và truy cập internet, bạn cũng có thể bảo vệ dữ liệu được lưu trữ trên thiết bị của mình. Ví dụ: nếu ai đó lấy được máy tính xách tay của bạn, họ có thể trích xuất các tệp và dữ liệu khỏi ổ cứng mà không cần khởi động Hệ điều hành (HĐH) trên thiết bị - bỏ qua bất kỳ mật khẩu Windows hoặc Mac nào bạn đang sử dụng. Tương tự như vậy, nếu ai đó có được điện thoại của bạn, họ có thể có được thông tin quan trọng, chẳng hạn như thông tin liên hệ hoặc danh sách liên lạc của bạn.
Điều này đặc biệt quan trọng khi đi du lịch, khi bạn dễ dàng đánh mất thiết bị tại sân bay hoặc để quên thiết bị trong khách sạn. Mặc dù có khả năng sẽ không ai cố gắng đánh cắp thông tin của bạn, nhưng bạn vẫn sẽ yên tâm hơn nếu biết rằng dữ liệu của bạn luôn được an toàn.
Phương tiện mã hóa thiết bị tùy thuộc vào loại thiết bị và HĐH được cài đặt trên thiết bị:
-
Windows: Đối với các thiết bị Windows, chẳng hạn như máy tính hoặc máy tính xách tay sử dụng Windows 10, bạn có thể sử dụng Bitlocker để mã hóa ổ cứng mà Windows khởi động. Để biết thêm thông tin, bạn có thể xem Hướng dẫn dành cho người mới bắt đầu với Bitlocker. (chèn link)
-
Mac: Đối với các thiết bị Mac (như Macbook Pro), bạn có thể sử dụng FileVault. Để biết thêm thông tin, hãy xem Cách thức và vì sao nên sử dụng Mã hóa FileVault trên máy Mac. (chèn link)
-
iPhone và iPad: Mã hóa iPhone hoặc iPad khác với mã hóa các thiết bị Mac khác. Để biết thêm thông tin, hãy xem Cách mã hóa iPhone của bạn (chèn link).
-
Android: Để mã hóa thiết bị Android, chẳng hạn như điện thoại hoặc máy tính bảng, hãy xem Cách mã hóa thiết bị Android của bạn. (chèn link)
Bạn cũng cần lưu ý rằng việc mã hóa một thiết bị có thể khiến thiết bị hoạt động chậm hơn. Ngoài ra, mã hóa thiết bị có thể khiến thiết bị không thể khôi phục được nếu mật khẩu mã hóa bị mất. Đó cũng là lý do tại sao mà một tác nhân độc hại không thể truy cập vào thiết bị mà không có mật khẩu, và người dùng cũng có thể không sử dụng được thiết bị là nếu đánh mất mật khẩu. Điều quan trọng là bạn cần sử dụng mật khẩu vừa an toàn và có thể được ghi nhớ khi mã hóa thiết bị
Ngay cả với những nỗ lực của mình, vẫn có những lúc thông tin nhạy cảm của bạn có thể bị xâm phạm. Ví dụ: ngay cả khi người dùng đảm bảo không cung cấp thông tin thẻ tín dụng, nhưng nếu họ sử dụng thẻ tín dụng Capital One, thông tin cá nhân của người dùng vẫn có thể bị xâm phạm mà không phải do lỗi của họ.
Để xử lý hậu quả của những vụ việc vi phạm dữ liệu như vậy, điều quan trọng là bạn phải có một số mức độ bảo vệ chống trộm danh tính nhất định. Một dịch vụ như vậy đảm bảo rằng khi thông tin của người dùng được công khai, tài chính và danh tính của họ được bảo mật. Ví dụ: nếu số tài khoản của người dùng bị tiết lộ, điều quan trọng là phải đảm bảo rằng các khoản thanh toán sẽ không được trừ vào tài khoản của người dùng mà không có sự cho phép của họ.
Tương tự như vậy, điều quan trọng là danh tính của người dùng được bảo mật. Mặc dù dữ liệu tài chính của người dùng có thể không bị xâm phạm, nhưng việc rò rỉ số chứng minh thư hoặc thậm chí là địa chỉ có thể gây ra những phiền toán lớn.
Bảo vệ chống trộm danh tính không thể ngăn chặn tất cả các cuộc tấn công có thể xảy ra với người dùng, nhưng chúng là một bước quan trọng trong việc giảm thiểu rủi ro của hành vi trộm cắp danh tính. Một số dịch vụ chống trộm danh tính phổ biến nhất bao gồm:
-
LifeLock
-
IdentityForce
-
ID Watchdog
Bảo vệ chống trộm danh tính có thể đắt đỏ tùy thuộc vào mức độ bảo vệ - nhưng nếu giá cả chấp nhận được, nó có thể là một phần quan trọng của một tư thế bảo mật toàn diện.
Kết luận
Số lượng và quy mô của các vụ vi phạm gần đây đã đến mức báo động. Và phạm vi rộng lớn của các xâm phạm này có thể làm cho việc bảo mật trong một thế giới kỹ thuật số dường như là vô ích, nhưng thực tế không phải vậy. Có những bước đơn giản mà người dùng có thể thực hiện hàng ngày - và những bước bổ sung vào những dịp đặc biệt, chẳng hạn như tham dự hội nghị - để đảm bảo rằng người dùng luôn cung cấp cho bản thân mức độ bảo mật hợp lý.
