An ninh mạng - 'hàng rào' sống còn của các startup

Không để sự cố mạng biến thành khủng hoảng kinh doanh

Khi bắt đầu khởi nghiệp, phần lớn doanh nghiệp tập trung vào sản phẩm, khách hàng, doanh thu và tốc độ tăng trưởng. An toàn thông tin đôi khi chỉ được quan tâm khi doanh nghiệp đã xảy ra sự cố. Trong khi đó, tội phạm mạng không nhất thiết chỉ nhắm tới các doanh nghiệp lớn.

Chị Nguyễn Như Quỳnh - Giám đốc Vận hành Doanh nghiệp Xã hội Chống lừa đảo - cho rằng, một trong những sai lầm phổ biến của startup là cho rằng doanh nghiệp còn nhỏ, chưa có nhiều tiền hoặc dữ liệu nên không phải mục tiêu của tội phạm mạng.

Thực tế, đối tượng xấu có thể khai thác hàng loạt tài khoản sử dụng mật khẩu yếu, hệ thống chưa cập nhật hoặc website có lỗ hổng mà không cần quan tâm doanh nghiệp có quy mô lớn hay nhỏ.

Tài khoản quản trị, chìa khóa của tài sản số

Với một startup chưa có nhiều nguồn lực, câu hỏi đặt ra là nên ưu tiên bảo vệ dữ liệu khách hàng, thông tin tài chính, tài khoản quản trị hay dữ liệu nội bộ?

Theo chị Nguyễn Như Quỳnh, không nên xem đây là những nhóm thông tin hoàn toàn tách biệt. Tài khoản quản trị cần được kiểm soát ngay từ đầu bởi đây có thể là "chìa khóa" để truy cập nhiều tài sản số khác của doanh nghiệp.

Nếu mất quyền kiểm soát email quản trị, tên miền, tài khoản ngân hàng, nền tảng bán hàng hoặc hệ thống lưu trữ, doanh nghiệp có thể đồng thời mất cả dữ liệu khách hàng và khả năng duy trì hoạt động.

Dữ liệu khách hàng, đặc biệt là thông tin định danh, số điện thoại, địa chỉ, lịch sử giao dịch và thông tin thanh toán cũng cần được bảo vệ nghiêm ngặt. Khi những dữ liệu này bị lộ, không chỉ uy tín doanh nghiệp bị ảnh hưởng mà khách hàng còn có thể trở thành mục tiêu của các hình thức lừa đảo tiếp theo.

Trong khi đó, mức độ ưu tiên đối với thông tin tài chính và dữ liệu nội bộ phụ thuộc vào tính chất hoạt động của từng startup. Một doanh nghiệp công nghệ có thể sở hữu mã nguồn, thuật toán hoặc dữ liệu nghiên cứu có giá trị lớn hơn nhiều so với doanh thu hiện tại.

"Nguyên tắc của tôi là ưu tiên bảo vệ những tài sản mà nếu bị mất, bị lộ hoặc bị thay đổi sẽ khiến doanh nghiệp không thể tiếp tục hoạt động, gây thiệt hại cho khách hàng hoặc khó có khả năng khôi phục", chị Nguyễn Như Quỳnh chia sẻ.

Chị Nguyễn Như Quỳnh - Giám đốc Vận hành Doanh nghiệp Xã hội Chống lừa đảo

Một nguyên tắc khác là hạn chế thu thập và lưu trữ những dữ liệu không thực sự cần thiết. Dữ liệu càng nhiều thì trách nhiệm bảo vệ càng lớn, đồng thời mức độ thiệt hại tiềm tàng khi xảy ra sự cố cũng tăng lên.

AI đang trở thành công cụ quen thuộc với nhiều startup, từ sáng tạo nội dung, chăm sóc khách hàng đến hỗ trợ phân tích và vận hành. Tuy nhiên, việc đưa dữ liệu lên các công cụ trực tuyến cũng tạo ra những rủi ro mới.

Theo chuyên gia, với AI, rủi ro có thể xuất phát từ việc nhân viên đưa thông tin khách hàng, hợp đồng, dữ liệu tài chính, mã nguồn hoặc tài liệu nội bộ lên những công cụ mà chưa hiểu rõ chính sách sử dụng và lưu trữ dữ liệu. Không phải nền tảng AI nào cũng có cơ chế bảo vệ thông tin giống nhau.

Do đó, startup cần xác định loại dữ liệu nào được phép sử dụng với AI, lựa chọn công cụ phù hợp và kiểm soát quyền truy cập khi AI được kết nối với hệ thống nội bộ.

Tương tự, các nền tảng bán hàng, mạng xã hội và dịch vụ lưu trữ trực tuyến cũng có thể phát sinh nguy cơ từ cấu hình sai, vô tình chia sẻ tài liệu công khai, cấp quyền quá rộng cho ứng dụng bên thứ ba hoặc không thu hồi quyền truy cập của nhân sự đã nghỉ việc.

Vấn đề không phải là hạn chế sử dụng công nghệ mà là phải đặt ra quy định rõ ràng: công cụ được dùng vào mục đích gì, dữ liệu nào được phép chia sẻ và ai có quyền truy cập.

Không để sự cố mạng biến thành khủng hoảng kinh doanh

Một thói quen khá phổ biến ở các startup là sử dụng chung tài khoản để thuận tiện làm việc. Khi doanh nghiệp chỉ có vài nhân viên, việc này có vẻ đơn giản và tiết kiệm thời gian. Tuy nhiên, đây lại là một điểm yếu lớn khi xảy ra sự cố.

Khi nhiều người cùng sử dụng tài khoản quản trị, doanh nghiệp khó xác định ai đã thay đổi thông tin, tải dữ liệu, thực hiện giao dịch hoặc cấp quyền cho người khác. Nếu một nhân viên nghỉ việc, việc đổi mật khẩu cũng chưa chắc đủ nếu người đó vẫn còn phiên đăng nhập hoặc quyền truy cập thông qua những ứng dụng đã kết nối.

Theo chị Nguyễn Như Quỳnh, ngay cả startup chỉ có vài nhân viên cũng cần áp dụng nguyên tắc phân quyền theo vai trò. Mỗi người nên sử dụng tài khoản riêng và chỉ được cấp những quyền cần thiết để thực hiện công việc.

Chẳng hạn, nhân viên chăm sóc khách hàng không nhất thiết phải có quyền thay đổi phương thức thanh toán quảng cáo; đơn vị thiết kế website không cần truy cập toàn bộ dữ liệu khách hàng; người phụ trách nội dung có thể được cấp quyền đăng bài mà không cần sở hữu tài khoản quản trị cao nhất.

Các tài khoản quan trọng cần được bảo vệ bằng xác thực đa yếu tố, có phương án khôi phục và được rà soát quyền truy cập định kỳ, đặc biệt khi doanh nghiệp có thay đổi nhân sự.

Với các startup bán hàng trên Facebook, TikTok, website hoặc sàn thương mại điện tử, một nhóm nguy cơ khác cần đặc biệt cảnh giác là lừa đảo giả danh nền tảng.

Phụ nữ khởi nghiệp với nghề nuôi ong lấy mật tại tỉnh Vĩnh Long

Đối tượng có thể gửi thông báo giả mạo Facebook, TikTok hoặc sàn thương mại điện tử, yêu cầu người bán xác minh tài khoản, xử lý vi phạm bản quyền, cập nhật thông tin thanh toán hoặc kháng nghị quyết định khóa tài khoản. Những thông báo này có thể dẫn tới website giả mạo nhằm đánh cắp thông tin đăng nhập hoặc mã xác thực.

Ngoài ra, đối tượng xấu có thể giả danh khách hàng, đối tác hoặc đơn vị vận chuyển, gửi đường dẫn thanh toán, tệp đính kèm hoặc yêu cầu cài đặt phần mềm để hỗ trợ xử lý đơn hàng. Khi chiếm được quyền quản trị fanpage hoặc tài khoản bán hàng, chúng có thể thay đổi thông tin thanh toán, sử dụng ngân sách quảng cáo trái phép hoặc tiếp cận dữ liệu khách hàng.

Khi phát hiện doanh nghiệp bị tấn công hoặc lộ dữ liệu khách hàng, phản ứng trong những giờ đầu có ý nghĩa đặc biệt quan trọng.

Ưu tiên trước hết là ngăn chặn sự cố tiếp tục lan rộng, bảo vệ những hệ thống chưa bị ảnh hưởng và xác định phạm vi thiệt hại. Doanh nghiệp cần xác định tài khoản hoặc hệ thống có dấu hiệu bị xâm nhập, cô lập thiết bị bị ảnh hưởng khi cần thiết, thu hồi phiên đăng nhập và quyền truy cập đáng ngờ, đồng thời thay đổi thông tin xác thực từ thiết bị an toàn.

Song song với xử lý, cần bảo toàn nhật ký hệ thống và các bằng chứng liên quan. Nếu không đủ năng lực kỹ thuật, doanh nghiệp nên tìm kiếm sự hỗ trợ từ đơn vị chuyên môn thay vì tự ý can thiệp sâu vào hệ thống.