Bảo vệ người dùng để có được mạng an toàn
Ngu
ồn : quantrimang.com 
Derek Melbe
r
Làm thế nào để tránh cho các nhân viên của bạn vô tình trở thành một sự
đe dọa cho tập thể.

Với tư cách là một quản trị viên CNTT, cố vấn về bảo mật, chuyên gia máy tính,
có khá nhiều vấn đề trong danh sách của bạn về môi trường mạng hơn cả vấn
đề bảo mật. Có đến hàng triệu đô la, hàng nghìn giờ làm việc và cả sự cố gắng
về mặt thời gian cấ
u hình máy để chiến đấu với các vấn đề bảo mật đang lan
tràn như một bệnh dịch cho các mạng. Không may ở đây là không hề có một giải
pháp thực sự nào giúp bảo vệ mạng của bạn hoàn toàn an toàn. Các nghiên cứu
gần đây đã minh chứng được rằng mặc dù việc bảo mật là một vấn đề chính đối
với các nhân viên CNTT nhưng những người dùng khác vẫn có một số hành
động làm mất an toàn nhiều thứ. Có nhiều giải pháp đối với hầu hết các vấn đề
này mà chúng tôi muốn giới thiệu đến trong bài này.

Tổng quan về bảo mật từ phía người dùng

Có một nghiên cứu được thực hiện bởi RSA vào cuối năm 2007 với Thống kê
được thực hiện bởi các chuyên gia về công nghệ ở cả Boston và Washington.
Người dùng là những nhân viên trong các công ty được thăm dò với các câu hỏi
có liên quan đến v
ấn đề bảo mật và hành động thực tiễn về bảo mật của người
dùng tại văn phòng. Cả Boston và Washington đều là các thành phố lớn với
nhiều tập đoàn và nhân viên làm việc cho các tổ chức chính phủ. Nghiên cứu
này tập trung chỉ yếu vào cách người dùng sử dụng và truy cập dữ liệu công ty
cũng như cách họ truy cập bằng phương pháp vật lý với các máy tính và tài

Phát hiện ra một người không quen
đang làm việc tại một phòng trống trong
phạm vi tòa nhà của họ.
21 41
Đã yêu cầu về nhận dạng hoặc đã
được báo cáo người lạ
28 63
Đã chuyển các công việc nội bộ mà vẫn
truy cập vào các tài khoản hoặc tài
nguyên không cần thiết
33 34
Rơi vào một mạng công ty mà lẽ ra họ
không có quyền truy cập
20 29
Bảng 1: Các kết quả về việc hỏi các nhân viên về sự bảo mật tại văn phòng của
họ
Như những gì bạn thấy qua các kết quả trong bảng 1, số lượng tiền, thời gian và
những cố gắng phải tốn trong việc đào tạo các nhân viên về bảo mật công nghệ
cũng như tài nguyên là không trả đủ với tất cả các vấn đề đó. Tuy vậy, v
ới các
chính sách đã được viết, chính sách logic và vật lý, nhiều vấn đề này có thể
được thừa nhận không tồn tại thậm chí nếu người dùng quyết định bỏ qua các
thủ tục bảo mật thích đáng.

Bảo mật vật lý

Mọi chuyên gia CNTT đều hiểu được rằng nếu an ninh về mặt vật lý của công ty
bị thỏa hiệp thì các tài nguyên đang được bảo vệ có thể sẽ
bị hủy hoại nhanh
hơn rất nhiều. Dựa vào các câu đã hỏi trong nghiên cứu trên, thì đây là một số

•
Các nhân viên cần phải có sự khuyến khích trong việc báo cáo người lạ
mặt và bắt buộc phải đeo thẻ.
•
Các dấu hiệu, nhắc nhở, bảng ghi nhớ,… cần phải được post thường
xuyên để nhắc nhở mọi người đeo thẻ ID.
Bảo mật logic

Thậm chí với sự tràn vào của spam, adware, viruses, Trojans,… liên quan bởi
email, thì các nhân viên vẫn không quan tâm đến các khía cạnh tiêu cực trong
việc lạm dụng email. Việc thi hành một môi trường bảo mật nghiêm khắc hơn về
vấn đề email và sự truy cập mạng khác có thể giúp tránh được vi
ệc bản thân
người dùng không tuân theo các hành động bảo mật tốt.

Truy cập email thông qua một hot spot không dây công cộng?
•
Không cung cấp truy cập nào vào email bên ngoài công ty trừ khi đang sử
dụng VPN hoặc một kết nối an toàn.
•
Cấu hình máy chủ mail có khả năng kiểm tra và thi hành cơ chế chứng
thực từ mạng nội bộ.
•
Không cho phép người dùng kết nối với desktop truy cập từ xa trừ khi họ
tạo một kết nối đến VPN trước.
Gửi các tài liệu đến một địa chỉ email cá nhân để có thể truy cập từ nhà?
•
Kích hoạt mã hóa với tất cả các email gửi đi
•
Cấu hình bộ lọc cho các file đính kèm đối với tất cả email gửi đi. Điều này

•
Thực thi các thủ tục cho thuê và các thay đổicông việc mà yêu cầu chủ sở
hữu tài nguyên cung cấp mức truy cập toàn bộ cho nhân viên
•
Thực thi Restricted Groups và Local Users and Groups bên trong Group
Policy để kiểm soát thành viên nhóm, như thể hiện trong hình 2.
•
Thực thi sự ủy nhiệm cho quản trị viên bên trong Active Directory để hạn
chế quản trị thành viên nhóm.
•
Thực hiện các thẩm định thông thường về thành viên của nhóm bảo mật.