An ninh mạng cho doanh nghiệp nhỏ

Khi mọi người nói “cybersecurity” (an ninh mạng), họ thường đang đề cập đến rất nhiều thứ khác nhau cùng lúc. Với doanh nghiệp nhỏ, điều đó thường có nghĩa là triển khai nhiều lớp bảo vệ để chỉ một sai sót, một cú bấm nhầm, hoặc một bản cập nhật bị thiếu không biến thành một vấn đề lớn hơn.

Nhà cung cấp IT được quản lý, thường được gọi là MSP, có thể cung cấp an ninh mạng như một phần của dịch vụ hỗ trợ liên tục hoặc như một dịch vụ riêng. Các hạng mục phổ biến bao gồm xác thực đa yếu tố, hay MFA (Multi-Factor Authentication), yêu cầu một bước xác minh thứ hai bên cạnh mật khẩu; endpoint detection and response, hay EDR (phát hiện và phản hồi tại điểm cuối), giám sát máy tính và các thiết bị khác để phát hiện hoạt động đáng ngờ; email filtering (lọc email) để chặn spam và liên kết đáng ngờ; patching (quản lý vá lỗi) tức là giữ phần mềm luôn được cập nhật; backup planning (lập kế hoạch sao lưu); các quy tắc bảo mật cơ bản cho nhân viên; và giám sát (monitoring).

Bạn cũng có thể nghe từ endpoint. Endpoint đơn giản là một thiết bị kết nối với hệ thống kinh doanh của bạn, như laptop, máy tính để bàn, điện thoại, máy tính bảng hoặc máy chủ. Công việc bảo mật thường bắt đầu từ đó, vì đây là nơi nhiều rủi ro hằng ngày xuất hiện.

Không nhà cung cấp trung thực nào hứa rằng mạng của bạn “không thể bị tấn công” hoặc “không có thời gian gián đoạn”. Những gì họ có thể làm là giúp bạn giảm rủi ro, cải thiện khả năng quan sát, phản hồi nhanh hơn và xây dựng một cấu hình an ninh hợp lý hơn phù hợp với quy mô doanh nghiệp của bạn.

Một MSP giỏi bắt đầu từ những điều cơ bản. Họ xem xét người dùng, thiết bị, email, quyền truy cập internet, sao lưu và các ứng dụng kinh doanh quan trọng của bạn. Sau đó, họ giúp bạn quyết định những biện pháp bảo vệ nào nên triển khai ngay, việc gì có thể chờ, và những phần nào cần được ghi lại để mọi người tuân thủ cùng một bộ quy tắc.

Trên thực tế, điều đó thường bao gồm thiết lập MFA cho email và ứng dụng doanh nghiệp, bổ sung EDR cho laptop và máy tính để bàn, bật lọc email để bắt spam và liên kết đáng ngờ, và xử lý patching để hệ điều hành cũng như các ứng dụng phổ biến luôn được cập nhật. Một số MSP còn sử dụng phần mềm remote monitoring and management (giám sát và quản lý từ xa), hay RMM. Nói cách khác, đó là các công cụ giúp họ theo dõi tình trạng thiết bị, trạng thái phần mềm và các cảnh báo từ xa, để nhận diện vấn đề sớm hơn.

Nhiều MSP cũng hỗ trợ rà soát sao lưu, thiết lập quy tắc phân quyền truy cập cho người dùng, quy trình tắt quyền (offboarding) khi nhân viên rời đi, các biện pháp bảo vệ mạng cơ bản và đào tạo nhận thức an toàn cho nhân viên. Mục tiêu không phải là biến đội ngũ của bạn thành chuyên gia an ninh mạng. Mục tiêu là giúp thói quen an toàn trở nên dễ thực hiện hơn và các thói quen rủi ro ít xảy ra hơn.

Một số doanh nghiệp cũng cần hỗ trợ với tài liệu và các yêu cầu bên ngoài. Ví dụ, các cơ sở y tế có thể cần hỗ trợ liên quan đến HIPAA (Health Insurance Portability and Accountability Act – Đạo luật về chuyển đổi và trách nhiệm giải trình bảo hiểm y tế). Doanh nghiệp chấp nhận thanh toán bằng thẻ tín dụng có thể cần giúp hiểu PCI (PCI DSS – Payment Card Industry Data Security Standard, Tiêu chuẩn Bảo mật Dữ liệu Ngành Thẻ Thanh toán). Một số khách hàng lớn hơn có thể yêu cầu thông tin về SOC 2, là một khung và chuẩn mực báo cáo mà nhiều công ty dùng để chứng minh họ đã thiết lập các kiểm soát đối với an ninh mạng và các quy trình liên quan. Yêu cầu sẽ khác nhau theo ngành và theo bang, vì vậy MSP phù hợp nên giải thích điều gì quan trọng trong tình huống của bạn.

Với doanh nghiệp nhỏ, an ninh mạng được quản lý thường được định giá theo người dùng, theo thiết bị hoặc được gộp vào một kế hoạch IT được quản lý rộng hơn. Một gói triển khai đơn giản cho văn phòng rất nhỏ có thể bắt đầu khoảng $75 đến $150 mỗi người dùng mỗi tháng khi đã bao gồm các biện pháp bảo vệ cơ bản kèm theo hỗ trợ. Một kế hoạch chú trọng an ninh hơn với công cụ mạnh hơn, quy tắc chặt chẽ hơn, mức giám sát nhiều hơn và hỗ trợ liên quan đến tuân thủ có thể rơi vào khoảng $150 đến $300 hoặc hơn mỗi người dùng mỗi tháng.

Một số MSP tính phí riêng cho các dự án, như triển khai MFA, thay thiết bị tường lửa cũ, cải thiện hệ thống sao lưu hoặc dọn dẹp các tài khoản quản trị. Khi đó, chi phí dịch vụ hàng tháng của bạn có thể là một mức, còn công việc thiết lập ban đầu là một mức khác. Nếu bạn có nhiều địa điểm, phần mềm chuyên biệt, máy trạm dùng chung hoặc nhu cầu tuân thủ nghiêm ngặt hơn, chi phí có thể tăng lên.

Những khoảng này không phải là báo giá. Con số thực tế phụ thuộc vào số lượng nhân sự, số lượng thiết bị, nhu cầu an ninh, giờ làm việc, yêu cầu theo ngành và khu vực của bạn. Nếu bạn muốn bảng phân tích chi phí đầy đủ hơn, xem how much do managed IT services cost.

Nếu mức giá có vẻ bất thường là quá thấp, hãy hỏi phần nào không được bao gồm. Các lỗ hổng bảo mật thường ẩn trong chi tiết, ví dụ: liệu có bao gồm phản hồi ngoài giờ hay không, kiểm tra sao lưu có được tính trong dịch vụ hay không, đào tạo chống lừa đảo (phishing) có nằm trong gói hay không, việc phối hợp với nhà cung cấp có được hỗ trợ hay không, hoặc có hỗ trợ về chính sách hay không.