Chính sách bảo mật mạng là tài liệu nền tảng cung cấp cho doanh nghiệp nhỏ phương thức rõ ràng để giải thích cách nhân viên nên bảo vệ hệ thống, tài khoản, thiết bị và dữ liệu kỹ thuật số của công ty.
Tài liệu này chuyển đổi bảo mật từ những lời khuyên rải rác thành các kỳ vọng chung bằng cách trả lời các câu hỏi như phương pháp nào được phép, nhân viên nên tránh những gì, ai có quyền quyết định những vấn đề nào, và điều gì sẽ xảy ra khi có sự cố.
Hướng dẫn này cung cấp khung làm việc thực tế để viết hoặc xem xét chính sách bảo mật mạng cho doanh nghiệp nhỏ. Có thể sử dụng tài liệu này làm mẫu bắt đầu, điều chỉnh từng phần cho phù hợp với các công cụ và rủi ro, đồng thời kết nối chính sách với các biện pháp kiểm soát vận hành để dễ dàng tuân thủ hơn.
Chính sách bảo mật mạng là gì?
Tại sao doanh nghiệp nhỏ cần chính sách bảo mật mạng
Mẫu chính sách bảo mật mạng: 9 phần cốt lõi
Tại sao các chính sách bảo mật CNTT cho doanh nghiệp thất bại?
Proton Pass for Business hỗ trợ thực thi chính sách như thế nào
Chính sách bảo mật mạng là gì?
Chính sách bảo mật mạng là tài liệu văn bản xác định cách doanh nghiệp bảo vệ thông tin, hệ thống, thiết bị và tài khoản khỏi mối đe dọa mạng(cửa sổ mới). Tài liệu này cần giải thích những gì nhân viên và nhà thầu, bao gồm cả quản lý và quản trị viên, cần thực hiện trong công việc hàng ngày.
Chính sách hiệu quả nên đóng vai trò như tài liệu tham khảo có thể thực sự sử dụng khi các quyết định chưa rõ ràng. Tài liệu này nên trả lời các câu hỏi như:
- Những mật khẩu và tài khoản nào cần bảo vệ thêm?
- Nhân viên có thể sử dụng thiết bị cá nhân cho công việc không?
- Dữ liệu nhạy cảm nên được lưu trữ ở đâu?
- Ai có thể phê duyệt quyền truy cập vào các hệ thống doanh nghiệp?
- Cần làm gì nếu nghi ngờ có vi phạm?
- Tần suất xem xét chính sách là bao lâu?
- Điều gì xảy ra với quyền truy cập khi có người rời công ty?
Đối với các SMB, chính sách an ninh mạng tốt nhất là ngắn gọn, rõ ràng và đủ cụ thể để xóa bỏ phỏng đoán.
Tại sao doanh nghiệp nhỏ cần chính sách bảo mật mạng
Chính sách bảo mật mạng có thể giúp ích cho doanh nghiệp theo ba cách:
Đặt ra kỳ vọng: Nhân viên biết những gì được phép, những gì được yêu cầu và những gì cần phê duyệt.
Tạo trách nhiệm giải trình: Nếu quyền truy cập, thiết bị, xử lý dữ liệu và ứng phó sự cố có chủ sở hữu rõ ràng, bảo mật sẽ không còn phụ thuộc vào trí nhớ của từng cá nhân.
Hỗ trợ tuân thủ và lòng tin của khách hàng: Việc tuân thủ các quy định về dữ liệu như GDPR yêu cầu doanh nghiệp xử lý dữ liệu cá nhân một cách an toàn bằng các biện pháp kỹ thuật và tổ chức thích hợp, bao gồm phân tích rủi ro, chính sách tổ chức và các biện pháp kỹ thuật.
Chính sách bảo mật thông tin bằng văn bản giúp hiển thị rằng doanh nghiệp đã xem xét các trách nhiệm đó và xây dựng các biện pháp kiểm soát để giảm thiểu rủi ro.
Báo cáo bảo mật mạng SMB của Proton củng cố lý do tại sao điều này lại quan trọng đối với các nhóm nhỏ hơn: SMB thường đối mặt với rủi ro bảo mật thực tế mà không có nguồn lực như các doanh nghiệp lớn. Chính sách thực tế cung cấp cho các nhóm đó phương pháp để ưu tiên các yếu tố cơ bản và thực hiện chúng một cách nhất quán.
Mẫu chính sách bảo mật mạng: 9 phần cốt lõi
Sử dụng cấu trúc sau đây làm mẫu chính sách bảo mật mạng. Không cần viết quá dài cho mỗi phần. Mục tiêu là xác định quy tắc, phân công quyền sở hữu và giải thích cách nhân viên nên áp dụng.
1. Mục đích và phạm vi chính sách
Bắt đầu bằng cách giải thích lý do tồn tại của chính sách và đối tượng áp dụng. Phần này ngăn ngừa một vấn đề phổ biến: mọi người cho rằng chính sách chỉ áp dụng cho “hệ thống CNTT” hoặc nhân viên toàn thời gian.
Bản sao mẫu:
Chính sách bảo mật mạng này xác định cách [Tên công ty] bảo vệ hệ thống kinh doanh, tài khoản, thiết bị và dữ liệu. Chính sách áp dụng cho nhân viên, nhà thầu, nhân viên tạm thời và bên thứ ba truy cập vào thông tin hoặc hệ thống của công ty.
Phạm vi áp dụng nên bao gồm các thiết bị thuộc sở hữu của công ty, các dịch vụ đám mây được phê duyệt, tài khoản doanh nghiệp, môi trường làm việc từ xa, thiết bị cá nhân được sử dụng cho công việc và quyền truy cập của nhà cung cấp.
2. Chính sách sử dụng hợp lý
Phần sử dụng hợp lý giải thích cách nhân viên có thể sử dụng các hệ thống và tài khoản của công ty.
Nội dung cần bao gồm:
- Các dịch vụ và phần mềm doanh nghiệp được phê duyệt
- Hạn chế đối với các ứng dụng hoặc phần mở rộng trình duyệt không được ủy quyền
- Quy tắc tải xuống tệp và phần mềm
- Sử dụng email công ty và nhắn tin
- Sử dụng cá nhân các thiết bị của công ty
- Hoạt động bị cấm, chẳng hạn như chia sẻ tài khoản khi chưa được phê duyệt hoặc bỏ qua các biện pháp kiểm soát bảo mật
Giữ cho phần này mang tính thực tế. Nhân viên cần hiểu những lựa chọn hàng ngày nào là chấp nhận được mà không cần phải diễn giải ngôn ngữ kỹ thuật.
Bản sao mẫu:
Nhân viên phải sử dụng các hệ thống doanh nghiệp được phê duyệt cho công việc của công ty. Không được sử dụng các ứng dụng không được phê duyệt, tài khoản lưu trữ cá nhân và phần mở rộng trình duyệt chưa được ủy quyền để lưu trữ, xử lý hoặc chia sẻ dữ liệu công ty trừ khi được [vai trò/nhóm] phê duyệt.
3. Yêu cầu quản lý mật khẩu và truy cập
Việc xem xét các biện pháp kiểm soát của quản trị viên là rất quan trọng. Chính sách có thể xác định ai nên có quyền truy cập, khi nào cần xác thực hai yếu tố (2FA), và quy trình cho thôi việc nên hoạt động như thế nào, nhưng các nhóm vẫn cần một phương thức vận hành để áp dụng các quy tắc đó. Một trình quản lý mật khẩu doanh nghiệp như Proton Pass for Business hỗ trợ điều đó thông qua bảng điều khiển quản trị viên, nơi nhóm có thể quản lý quyền truy cập, áp dụng các chính sách, xem xét hoạt động và giảm bớt sự phụ thuộc vào việc xử lý mật khẩu không chính thức.
Chính sách nên nêu rõ rằng:
- Mật khẩu công việc phải là duy nhất và mạnh.
- Không được tái sử dụng mật khẩu giữa các tài khoản cá nhân và doanh nghiệp.
- Không được gửi thông tin đăng nhập được chia sẻ qua các phương thức không được phê duyệt như email, chat, ảnh chụp màn hình, phiếu hỗ trợ hoặc tài liệu.
- Nên kích hoạt 2FA ở mọi nơi, bắt đầu từ các tài khoản có rủi ro cao.
- Nên cấp quyền truy cập dựa trên vai trò và nhu cầu công việc.
- Phải xóa quyền truy cập khi có người thay đổi vai trò hoặc rời đi.
- Các trường hợp ngoại lệ phải được ghi lại, bao gồm các trường hợp chưa thể kích hoạt 2FA, việc sử dụng tài khoản chung tạm thời là không thể tránh khỏi, nhà cung cấp cần quyền truy cập nâng cao có giới hạn thời gian, hoặc hệ thống cũ không thể đáp ứng các yêu cầu tiêu chuẩn về mật khẩu hoặc truy cập.
Hướng dẫn của Proton về tạo chính sách mật khẩu có thể hỗ trợ phần này với thông tin chi tiết hơn về các quy tắc mật khẩu, chia sẻ, quản lý truy cập và xác thực hai yếu tố.
Đây cũng là nơi chính sách cần sự hỗ trợ vận hành. Một quy tắc yêu cầu “sử dụng mật khẩu duy nhất” sẽ trở nên yếu ớt nếu nhân viên vẫn phải tự tạo và ghi nhớ từng mật khẩu một cách thủ công.
Một trình quản lý mật khẩu doanh nghiệp như Proton Pass for Business giúp các nhóm chuyển đổi các yêu cầu về mật khẩu thành thực tế hàng ngày: Nhân viên có thể tạo mật khẩu mạnh, duy nhất, lưu trữ chúng trong các kho đã mã hóa, sử dụng tính năng tự động điền và chia sẻ mật khẩu một cách an toàn thay vì sử dụng các kênh không an toàn — tất cả chỉ trong một ứng dụng.
Bản sao mẫu:
Mật khẩu công việc phải là duy nhất, mạnh và được lưu trữ trong trình quản lý mật khẩu doanh nghiệp được phê duyệt. Không được tái sử dụng mật khẩu giữa các tài khoản cá nhân và doanh nghiệp hoặc chia sẻ qua email, chat, ảnh chụp màn hình, phiếu hỗ trợ hoặc tài liệu. Phải kích hoạt xác thực đa yếu tố cho các tài khoản có rủi ro cao và quyền truy cập phải được cấp dựa trên vai trò và nhu cầu công việc. Khi nhân viên, nhà thầu hoặc nhà cung cấp không còn cần truy cập, các quyền phải được xem xét và xóa bỏ.
4. Phân loại và xử lý dữ liệu
Chính sách bảo mật mạng nên xác định các loại thông tin mà doanh nghiệp xử lý và cách bảo vệ từng loại thông tin đó. Dưới đây là ba cấp độ mà doanh nghiệp nhỏ có thể sử dụng mà không làm phức tạp hóa vấn đề:
Công khai: Thông tin được phê duyệt để sử dụng công cộng
Nội bộ: Thông tin kinh doanh dành cho nhân viên và nhà thầu được phê duyệt mà không phù hợp để chia sẻ ra bên ngoài
Bảo mật: Dữ liệu khách hàng, dữ liệu tài chính, thông tin đăng nhập, hợp đồng, hồ sơ nhân viên hoặc thông tin vận hành nhạy cảm — bất kỳ thông tin nào có thể gây hại nếu bị rò rỉ
Bản sao mẫu:
Thông tin bảo mật chỉ được lưu trữ trong các hệ thống được phê duyệt, chia sẻ với những người được ủy quyền và được bảo vệ khỏi sự truy cập trái phép. Nhân viên không được lưu trữ dữ liệu kinh doanh bảo mật trong các tài khoản cá nhân, tài liệu không được quản lý hoặc thiết bị không được phê duyệt.
5. Báo cáo sự cố và phản ứng ban đầu
Chính sách nên giải thích những gì nhân viên phải làm khi phát hiện hoặc nghi ngờ có lỗ hổng bảo mật. Đây không nhất thiết phải là một gói ứng phó sự cố đầy đủ, nhưng cần xác định các hành động đầu tiên và quyền sở hữu.
Bao gồm các ví dụ như:
- Cảnh báo đăng nhập đáng ngờ
- Thiết bị bị mất hoặc bị đánh cắp
- Email lừa đảo
- Vô tình chia sẻ dữ liệu
- Cảnh báo phần mềm độc hại
- Hoạt động tài khoản bất thường
- Truy cập trái phép vào tài liệu hoặc hệ thống
Sử dụng hướng dẫn của Proton về ngăn ngừa vi phạm dữ liệu cho doanh nghiệp để được hướng dẫn thêm về cách giảm thiểu rủi ro vi phạm trước khi sự cố xảy ra.
Bản sao mẫu:
Nhân viên phải báo cáo các sự cố bảo mật nghi ngờ ngay lập tức cho [vai trò/nhóm/liên hệ]. Nhân viên không được xóa bằng chứng, đặt lại hệ thống bị ảnh hưởng hoặc giao tiếp bên ngoài về sự cố trừ khi có hướng dẫn của chủ sở hữu sự cố.
6. Quy tắc làm việc từ xa và Mang theo thiết bị cá nhân (BYOD)
Làm việc từ xa và các thiết bị cá nhân trong mạng doanh nghiệp có thể tạo ra rủi ro không cần thiết nếu không được quản lý đúng cách. Chính sách bảo mật mạng nên giải thích liệu nhân viên có thể sử dụng thiết bị cá nhân hay không, yêu cầu bảo mật nào được áp dụng (chẳng hạn như bảo mật BYOD) và điều gì xảy ra nếu thiết bị bị mất hoặc có người rời đi.
Bao gồm:
- Các thiết bị và hệ điều hành được phê duyệt
- Khóa màn hình và mã hóa thiết bị
- Báo cáo thiết bị bị mất hoặc bị đánh cắp
- Sử dụng WiFi công cộng(cửa sổ mới)
- Truy cập vào các hệ thống của công ty từ thiết bị cá nhân
- Quy tắc đối với lưu trữ đám mây cá nhân
- Yêu cầu đối với các ứng dụng xác thực và 2FA
- Các bước thôi việc cho nhân viên làm việc từ xa
Các hướng dẫn về chính sách làm việc từ xa và chính sách BYOD của Proton có thể hỗ trợ phần này với các quy tắc chi tiết hơn cho các nhóm phân tán và thiết bị thuộc sở hữu của nhân viên.
Bản sao mẫu:
Nhân viên chỉ có thể truy cập các hệ thống của công ty từ các thiết bị được phê duyệt đáp ứng yêu cầu bảo mật. Phải báo cáo thiết bị bị mất hoặc bị đánh cắp ngay lập tức. Dữ liệu công ty không được lưu trữ trong các tài khoản đám mây cá nhân hoặc các ứng dụng không được quản lý.
7. Truy cập của nhà cung cấp bên thứ ba
Các doanh nghiệp nhỏ thường phụ thuộc vào các đại lý, nhà thầu, nhà cung cấp phần mềm, kế toán, chuyên gia tư vấn và nhà cung cấp dịch vụ được quản lý. Quyền truy cập của nhà cung cấp không bao giờ được xử lý một cách tùy tiện vì nó có thể tạo ra một cửa sau mà doanh nghiệp không hoàn toàn kiểm soát.
Một trình quản lý mật khẩu doanh nghiệp có thể giúp việc kiểm soát đó trở nên thực tế hơn bằng cách giúp các nhóm giữ cho thông tin đăng nhập của nhà cung cấp nằm trong phạm vi kiểm soát, được giám sát và dễ dàng thu hồi khi kết thúc hợp tác.
Chính sách nên xác định:
- Ai có thể phê duyệt quyền truy cập của nhà cung cấp
- Những hệ thống nào nhà cung cấp có thể truy cập
- Tài khoản của nhà cung cấp là tài khoản cá nhân hay được chia sẻ
- Thời gian truy cập kéo dài bao lâu
- Tần suất kiểm toán quyền truy cập của nhà cung cấp là bao lâu
- Cách xác định các quyền tối thiểu cho mỗi nhà cung cấp
- Điều gì xảy ra khi hợp đồng kết thúc
Phần này cũng hỗ trợ an ninh chuỗi cung ứng. 10 Bước của NCSC(cửa sổ mới) bao gồm nội dung này như một lĩnh vực then chốt để quản lý rủi ro mạng, đặc biệt phù hợp cho các doanh nghiệp nhỏ thuê ngoài một phần CNTT, tài chính, tiếp thị hoặc vận hành.
Bản sao mẫu:
Truy cập của bên thứ ba phải được phê duyệt bởi [vai trò/nhóm], giới hạn trong các hệ thống cần thiết cho công việc và được xem xét khi kết thúc hợp tác. Quyền truy cập của nhà cung cấp phải được xóa khi không còn cần thiết.
8. Yêu cầu đào tạo nhân viên
Chính sách bảo mật mạng sẽ không hiệu quả nếu mọi người chỉ nhìn thấy trong quá trình tiếp nhận nhân viên mới. Việc đào tạo nhận thức về bảo mật thường xuyên đảm bảo chính sách luôn được tuân thủ.
Chính sách nên giải thích:
- Khi nào nhân viên được đào tạo về bảo mật
- Các chủ đề đào tạo bao gồm những gì
- Tần suất đào tạo lại là bao lâu
- Ai phải hoàn thành khóa đào tạo
- Cách truyền đạt về các rủi ro mới hoặc các thay đổi về chính sách
Các chủ đề đào tạo có thể bao gồm lừa đảo, quản lý mật khẩu, 2FA, chia sẻ tệp an toàn, xử lý dữ liệu, làm việc từ xa, bảo mật thiết bị và báo cáo sự cố.
Giữ cho việc đào tạo ngắn gọn và thực tế. Một chính sách cô đọng dài năm trang với danh sách kiểm tra được hỗ trợ bằng các ví dụ ngắn thường hữu ích hơn một tài liệu dài 40 trang quá tải và dài dòng.
Bản sao mẫu:
Nhân viên phải hoàn thành khóa đào tạo bảo mật mạng trong quá trình tiếp nhận nhân viên mới và ít nhất [hàng năm/hai lần một năm]. Khóa đào tạo sẽ bao gồm bảo mật mật khẩu, lừa đảo, xử lý dữ liệu, bảo mật thiết bị và báo cáo sự cố.
9. Tần suất xem xét chính sách
Chính sách bảo mật mạng nên thay đổi khi doanh nghiệp thay đổi. Các hệ thống mới, mô hình làm việc từ xa, nhà cung cấp, quy định và sự cố đều có thể khiến các quy tắc cũ không còn đầy đủ.
Xác định:
- Tần suất xem xét chính sách
- Người chịu trách nhiệm xem xét chính sách bảo mật mạng
- Cách phê duyệt các thay đổi
- Cách truyền đạt các cập nhật
- Điều gì kích hoạt việc xem xét ngoài chu kỳ
Bản sao mẫu:
Chính sách này sẽ được xem xét mỗi [sáu hoặc 12 tháng] bởi [người chịu trách nhiệm]. Chính sách cũng phải được xem xét sau sự cố bảo mật lớn, thay đổi hệ thống quan trọng, cập nhật quy định hoặc thay đổi trọng yếu trong hoạt động kinh doanh
Tại sao các chính sách bảo mật CNTT cho doanh nghiệp thất bại?
Hầu hết các chính sách bảo mật mạng thất bại vì những lý do thực tế:
Chính sách quá dài: Chính sách bảo mật mạng của doanh nghiệp nhỏ không nên cố gắng bao quát mọi tình huống có thể xảy ra. Nếu quá dài, nhân viên sẽ ngừng sử dụng. Giữ chính sách ngắn gọn và liên kết đến các quy trình chi tiết hơn khi cần.
Ngôn ngữ quá mang tính kỹ thuật: Nhân viên không cần có kiến thức nền tảng về bảo mật để tuân thủ các hướng dẫn bảo mật mạng của doanh nghiệp. Sử dụng ngôn ngữ đơn giản và thay thế các thuật ngữ kỹ thuật bằng các giải thích thông thường nếu có thể.
Chính sách chỉ được giới thiệu trong quá trình tiếp nhận nhân viên mới: Nếu chính sách chỉ được đề cập một lần khi tiếp nhận nhân viên mới, nó sẽ không định hình được hành vi hàng ngày. Củng cố chính sách thông qua đào tạo, nhắc nhở, hướng dẫn tham khảo nhanh và các cập nhật khi quy trình thay đổi.
Chính sách không bao giờ được xem xét: Một chính sách được viết từ hai năm trước có thể không phản ánh đúng các hệ thống hiện tại, thực hành làm việc từ xa, quyền truy cập của nhà cung cấp hoặc các kỳ vọng về quy định. Hãy xem xét chính sách thường xuyên.
Chính sách không được thực thi: Đây là lý do thất bại phổ biến nhất. Một chính sách có thể quy định rằng mật khẩu phải được lưu trữ an toàn, phải kích hoạt 2FA, hoặc phải xóa quyền truy cập của nhà cung cấp, nhưng những quy tắc đó sẽ không có ý nghĩa nếu không ai theo sát. Thực thi có nghĩa là phân công người chịu trách nhiệm, sử dụng các biện pháp kiểm soát của quản trị viên khi có sẵn, xem xét các trường hợp ngoại lệ và làm cho hành vi an toàn trở nên dễ dàng hơn việc sử dụng phím tắt.
Đối với việc quản lý mật khẩu và truy cập, Proton Pass for Business có thể hỗ trợ thực thi chính sách về mặt vận hành. Công cụ này cung cấp cho các nhóm những kho đã mã hóa, chia sẻ an toàn, tạo mật khẩu và khả năng hiển thị của quản trị viên, nhờ đó doanh nghiệp không chỉ phụ thuộc vào lý thuyết. Quản trị viên cũng có thể giám sát tình trạng mật khẩu, việc tái sử dụng thông tin đăng nhập và mức độ tiếp xúc với vi phạm trên dark web trong toàn tổ chức một cách an toàn mà không cần biết mật khẩu của nhân viên.
Cách Proton Pass for Business hỗ trợ thực thi chính sách
Chính sách bảo mật mạng chỉ hữu ích nếu doanh nghiệp có thể đưa vào thực tế. Các quy tắc về mật khẩu và truy cập là một ví dụ điển hình. Có thể quy định rằng mật khẩu phải là duy nhất, được chia sẻ an toàn và bị xóa khi nhân viên rời đi. Nhưng nếu nhân viên vẫn sử dụng trình duyệt, bảng tính, tin nhắn chat hoặc ghi chú cá nhân, chính sách sẽ dễ dàng bị bỏ qua.
Proton Pass for Business cung cấp cho nhân viên phương thức an toàn để tạo, lưu trữ, tự động điền và chia sẻ thông tin đăng nhập, đồng thời giúp quản trị viên có khả năng hiển thị tốt hơn về cách quản lý quyền truy cập. Điều này giúp phần quản lý mật khẩu và truy cập trong chính sách dễ dàng được tuân thủ hơn.
Đối với các doanh nghiệp nhỏ, lợi ích mang lại rất thực tế. Không cần một đội ngũ bảo mật lớn để bắt đầu cải thiện tính vệ sinh của thông tin đăng nhập. Trình quản lý mật khẩu doanh nghiệp cung cấp cho nhóm một nơi tập trung cho các thông tin đăng nhập công việc, hỗ trợ cộng tác an toàn hơn và giúp giảm rủi ro tái sử dụng mật khẩu hoặc chia sẻ không được kiểm soát.
Kiểm soát truy cập là một trong những điểm thực tế nhất để chuyển đổi chính sách thành hành động. Khi thông tin đăng nhập dễ dàng được tạo, lưu trữ, chia sẻ và thu hồi một cách an toàn, nhân viên sẽ ít có xu hướng phụ thuộc vào các giải pháp thay thế không an sau. Quản lý cũng có được phương thức rõ ràng hơn để hỗ trợ các yêu cầu về mật khẩu và truy cập trong hoạt động hàng ngày.
Thực thi chính sách bảo mật mạng bằng trình quản lý mật khẩu doanh nghiệp an toàn như Proton Pass for Business.
