การป้องกันข้อมูลรั่วไหลด้วยพนักงานระยะไกล

แม้ว่าการจ้างพนักงานที่ทำงานจากระยะไกลจะได้รับประโยชน์มากมาย แต่ความเสี่ยงจากการคุกคามจากภายในและการรั่วไหลของข้อมูลที่เกี่ยวข้องกับการทำงานจากระยะไกลก็เพิ่มขึ้นอย่างมาก นี่เป็นปัญหาที่ยืนหยัดสำหรับแม้แต่ผู้เชี่ยวชาญในสาขาธุรกิจ ไม่ต้องพูดถึงเจ้าของสตาร์ทอัพที่เพิ่งเข้าสู่โลกธุรกิจ

Titan Security Europe ดำเนินการจากระยะไกลโดยสิ้นเชิงมานานนับทศวรรษ ในฐานะผู้เชี่ยวชาญในด้านการทำงานจากระยะไกล เราจะให้คำแนะนำจากมุมมองด้านความปลอดภัยทางไซเบอร์และกายภาพในการปกป้องธุรกิจของคุณจากการรั่วไหลของข้อมูลเมื่อทำงานกับพนักงานที่อยู่ห่างไกล

สถิติ

ก่อนที่จะทำสิ่งที่คุณสามารถทำได้เพื่อป้องกันข้อมูลรั่วไหลจากพนักงานระยะไกลของคุณ สิ่งสำคัญคือต้องทราบข้อเท็จจริง

ต่อไปนี้เป็นสถิติบางส่วนเกี่ยวกับภัยคุกคามความปลอดภัยทางไซเบอร์เมื่อทำงานจากระยะไกล ตามข้อมูลของ Wifi Talents:

• 75% ของผู้เชี่ยวชาญด้านไอทีกล่าวว่าธุรกิจต่างๆ มีความเสี่ยงมากขึ้นต่อภัยคุกคามทางไซเบอร์เมื่อพวกเขาเปลี่ยนมาทำงานจากระยะไกล
• ผู้เชี่ยวชาญด้านไอทีมากกว่า 55% คิดว่าพนักงานที่ทำงานจากระยะไกลมีแนวโน้มที่จะฝ่าฝืนนโยบายของบริษัทมากกว่าพนักงานในสำนักงาน ซึ่งนำไปสู่ความเสี่ยงต่อการรั่วไหลที่สูงขึ้น
• 95% ของการละเมิดความปลอดภัยทางไซเบอร์เกิดจากความผิดพลาดของมนุษย์
• 80% ของคนทำงานระยะไกลไม่มีการฝึกอบรมด้านความปลอดภัยทางไซเบอร์ที่เพียงพอ
• ธุรกิจต่างๆ เผชิญกับภัยคุกคามด้านความปลอดภัยโดยเฉลี่ย 22 ครั้งต่อสัปดาห์เนื่องจากพนักงานที่ทำงานจากระยะไกล

แม้ว่าสถิติเหล่านี้จะบ่งบอกถึงปัญหาสำคัญกับคนทำงานระยะไกล แต่ อย่า ปล่อยให้สิ่งนี้ขัดขวางคุณจากการจ้างคนทำงานระยะไกลให้กับบริษัทสตาร์ทอัพของคุณ ผลประโยชน์มีมากกว่าความเสี่ยง ตราบใดที่คุณจัดการความเสี่ยงได้สำเร็จ

วิธีต่อสู้กับปัญหา

เมื่อพูดถึงพนักงานที่ทำงานระยะไกล มีข้อกังวลด้านความปลอดภัยชุดหนึ่งที่อาจเกิดขึ้นเกี่ยวกับข้อมูล มีขั้นตอนต่างๆ ที่ธุรกิจและพนักงานสามารถทำได้เพื่อต่อสู้กับปัญหาเหล่านี้

ฮาร์ดแวร์ที่ไม่ปลอดภัยและมีช่องโหว่

พนักงานที่ใช้อุปกรณ์ส่วนตัวและไม่ปลอดภัยอาจทำให้ข้อมูลรั่วไหลได้ อุปกรณ์เหล่านี้มักไม่มีระดับความปลอดภัยเท่ากับอุปกรณ์ของบริษัท และไฟล์งานที่ผสมกับไฟล์ส่วนบุคคลอาจทำให้เกิดการรั่วไหลโดยประมาทได้

คุณทำอะไรได้บ้าง?

• จัดเตรียมอุปกรณ์ของบริษัทให้กับพนักงานโดยติดตั้งกระบวนการด้านล่างไว้ หากเป็นไปไม่ได้ ตรวจสอบให้แน่ใจว่าพนักงานติดตั้งสิ่งต่อไปนี้ลงในอุปกรณ์ที่พวกเขาจะใช้ทำงาน:
  • การรับรองความถูกต้องแบบหลายปัจจัย: ระบบที่อนุญาตให้ผู้ใช้เข้าสู่ระบบอุปกรณ์หรือเซิร์ฟเวอร์โดยทำตามขั้นตอนหลายขั้นตอนเท่านั้น พวกเขาต้องมีรหัสที่ส่งไปยังอุปกรณ์อื่น ใช้ลายนิ้วมือ ตอบคำถามลับ ฯลฯ ตัวอย่างของซอฟต์แวร์ MFA ได้แก่ JumpCloud, ManageEngine, Cisco Secure และอีกมากมาย
  • Endpoint Security: หลักปฏิบัติในการปกป้องอุปกรณ์ทั้งหมดที่เชื่อมต่อกับเครือข่าย Endpoint Protection Platforms จะตรวจสอบไฟล์ทั้งหมดเมื่อเข้าสู่เครือข่าย ช่วยให้ตรวจพบมัลแวร์และภัยคุกคามได้อย่างรวดเร็ว ตัวอย่างของ Endpoint Security ได้แก่ Cisco Secure, WatchGuard, Avast Business Security และอื่นๆ
  • ซอฟต์แวร์เข้ารหัส: ซอฟต์แวร์เข้ารหัสไฟล์และข้อมูลที่ติดตั้งบนอุปกรณ์ที่ใช้ในการทำงานจะปกป้องข้อมูลทั้งหมดจากการแก้ไขโดยไม่ได้รับอนุญาต ถูกขโมย หรือถูกบุกรุก ซอฟต์แวร์เข้ารหัสประกอบด้วย Secure IT, Folder Lock และ Kruptos 2 Professional
• ตั้งค่านโยบายการทำงานระยะไกลที่ระบุว่าเฉพาะอุปกรณ์ที่ตั้งค่าด้วยโปรแกรมข้างต้นเท่านั้นที่สามารถใช้งานได้

พนักงานสามารถทำอะไรได้บ้าง?

• ปฏิบัติตามนโยบายที่คุณกำหนดไว้และใช้งานได้เฉพาะกับอุปกรณ์ที่บริษัทจัดหาให้เท่านั้น
• หากเป็นไปได้ ห้ามใช้อุปกรณ์ของบริษัทเพื่อการใช้งานส่วนตัว

เครือข่ายที่ไม่ปลอดภัยและมีความเสี่ยง

ข้อกังวลด้านความปลอดภัยที่ใหญ่ที่สุดประการหนึ่งสำหรับการทำงานระยะไกลคือเครือข่ายที่ไม่ปลอดภัยและมีช่องโหว่ แม้ว่าเครือข่ายที่บ้านส่วนบุคคลจะปกติดี แต่เครือข่ายสาธารณะและเครือข่ายที่ไม่ปลอดภัยจะทำให้อุปกรณ์มีความเสี่ยงอย่างมาก

คุณทำอะไรได้บ้าง?

• ด้วยการจัดเก็บข้อมูลในเซิร์ฟเวอร์แทนที่จะเป็นฐานข้อมูลของอุปกรณ์ (โดยเฉพาะเซิร์ฟเวอร์ที่มี MFA หรือข้อมูลที่เข้ารหัส) คุณสามารถมั่นใจได้ว่าข้อมูลที่ละเอียดอ่อนจะได้รับการปกป้องแม้ว่าอุปกรณ์จะเข้าสู่ระบบเครือข่ายที่ไม่ปลอดภัยก็ตาม
• ข้อมูลจะถูกเก็บไว้แยกต่างหากจากอุปกรณ์ ดังนั้นแม้ว่าอุปกรณ์จะถูกบุกรุกผ่านเครือข่ายที่ไม่ปลอดภัย แต่ข้อมูลก็ยังคงปลอดภัย

พนักงานสามารถทำอะไรได้บ้าง?

• หลีกเลี่ยงเครือข่ายสาธารณะเมื่อเป็นไปได้
• ใช้ฮอตสปอตส่วนบุคคลหรือทำงานออฟไลน์หากอยู่ในที่สาธารณะ
• ใช้ VPN เพื่อความปลอดภัยในการเชื่อมต่อ

การกำกับดูแลน้อยลงในการจัดการข้อมูล

เมื่อพนักงานทุกคนทำงานจากที่บ้าน ทีมรักษาความปลอดภัยจะตรวจสอบการจัดการข้อมูลได้ยากขึ้นมาก มีอุปกรณ์และเซิร์ฟเวอร์และเครือข่ายอีกมากมายที่ต้องกังวล ยังมีความเสี่ยงที่พนักงานจะเปิดแล็ปท็อปของตนในที่สาธารณะ และประชาชนทั่วไปจะมองเห็นข้อมูลที่ละเอียดอ่อน

คุณทำอะไรได้บ้าง?

• หากข้อมูลของคุณทั้งหมดถูกเก็บไว้ภายในเซิร์ฟเวอร์และไม่สามารถดาวน์โหลดหรือแชร์ได้ การจัดการข้อมูลจะมีความเสี่ยงน้อยลงมาก
• หากจำเป็นต้องดาวน์โหลดข้อมูลเพื่อใช้งาน ให้บังคับใช้นโยบายของคุณว่าทันทีที่พนักงานใช้ข้อมูลที่ใช้เสร็จแล้ว พวกเขาจะอัปโหลดข้อมูลนั้นใหม่ไปยังคลาวด์ และลบออกจากอุปกรณ์ของพวกเขา
• ใช้ซอฟต์แวร์การติดตามในอุปกรณ์ที่บริษัทมอบให้เพื่อให้พนักงานระยะไกลใช้งานได้ ซึ่งจะช่วยให้ทีมรักษาความปลอดภัยสามารถติดตามการจัดการข้อมูลบนอุปกรณ์แต่ละเครื่องได้
• ตรวจสอบให้แน่ใจว่าคุณมีรายละเอียดของอุปกรณ์ทุกเครื่องที่เข้าถึงระบบของคุณถูกล็อค เพื่อให้ทีมรักษาความปลอดภัยของคุณสามารถใช้ซอฟต์แวร์ที่จำเป็นเพื่อล้างอุปกรณ์ที่มีรหัสผ่าน ข้อมูล หรือเอกสารทั้งหมดของบริษัททันทีที่มีการรายงานว่าสูญหายหรือถูกขโมย

พนักงานสามารถทำอะไรได้บ้าง?

• รายงานอุปกรณ์ที่สูญหายทันทีที่เกิดขึ้น
• หลีกเลี่ยงการทำงานในที่สาธารณะเมื่อเป็นไปได้ เมื่อไม่เป็นเช่นนั้น ตรวจสอบให้แน่ใจว่าไม่มีใครสามารถมองเห็นหน้าจอของตนได้

การหลอกลวงทางอีเมลและความอ่อนแอของฟิชชิ่ง

พนักงานที่ทำงานจากระยะไกลก็เหมือนกับพนักงานทุกคน ที่เสี่ยงต่อการถูกฟิชชิ่งและอีเมลหลอกลวง การอยู่นอกสภาพแวดล้อมขององค์กรอาจนำไปสู่ความประมาทและการรับรู้ที่เปลี่ยนไป ส่งผลให้พนักงานที่อยู่ห่างไกลอ่อนแอมากขึ้น พนักงานยังสามารถตรวจสอบได้น้อยลงว่าอีเมลมาจากเพื่อนร่วมงานหรือไม่เมื่อไม่ได้อยู่ในห้องเดียวกัน

คุณทำอะไรได้บ้าง?

• หมุนเวียนการสนทนา จัดสัมมนาเกี่ยวกับวิธีการตรวจจับกลโกงที่อาจเกิดขึ้น และควรทำอย่างไรหากพนักงานคิดว่ากำลังถูกหลอกลวง
• ให้พนักงานได้รับทราบเรื่องราวเกี่ยวกับการหลอกลวงแบบฟิชชิ่ง
• ตรวจสอบอีเมลของพนักงาน - คัดกรองกลโกงที่อาจเกิดขึ้น

พนักงานสามารถทำอะไรได้บ้าง?

• ส่งอีเมลใดๆ ที่พวกเขาคิดว่าอาจเป็นกลโกงไปยังผู้บังคับบัญชาทันที
• หลีกเลี่ยงการเปิดลิงก์จากบุคคลที่พวกเขาไม่รู้จัก
• ตอบกลับอีเมลจากเพื่อนร่วมงานและลูกค้าที่รู้จักเท่านั้นจนกว่าจะมีการคัดกรองอีเมล
• มีรายละเอียดการติดต่อที่ไม่ใช่อีเมลของเพื่อนร่วมงานทุกคน เช่น หมายเลขโทรศัพท์ ใช้สิ่งเหล่านี้เพื่อตรวจสอบว่าเพื่อนร่วมงานส่งอีเมลมาหรือไม่

อุปกรณ์ที่ไม่ต้องใส่ข้อมูล

เช่นเดียวกับในสำนักงาน อุปกรณ์ที่ไม่ได้รับการดูแลถือเป็นความเสี่ยงด้านความปลอดภัยอย่างมาก แต่ยิ่งไปกว่านั้นในการทำงานจากระยะไกล เนื่องจากทุกคน ไม่ใช่แค่พนักงานคนอื่นๆ เท่านั้น ที่สามารถเข้าถึงข้อมูลที่เก็บไว้ภายใน

คุณทำอะไรได้บ้าง?

• รหัสผ่านป้องกันข้อมูลใด ๆ และทั้งหมดบนอุปกรณ์
  • MFA ตามที่กล่าวไว้ข้างต้นมอบการรักษาความปลอดภัยเพิ่มเติมอีกชั้นหนึ่ง
  • ตรวจสอบให้แน่ใจว่าข้อมูลได้รับการเข้ารหัส ข้อมูลนี้จะสับสนวุ่นวายอยู่ในรูปแบบที่อ่านไม่ได้ เว้นแต่จะใช้คีย์ดิจิทัลที่เฉพาะเจาะจงมาก กุญแจดิจิทัลเฉพาะนี้จะเป็นที่รู้จักโดยพนักงานที่ต้องการเข้าถึงข้อมูลนั้นเท่านั้น
• ตรวจสอบให้แน่ใจว่าจำเป็นต้องเข้าสู่ระบบด้วย MFA ทุกครั้งที่มีการเข้าถึงข้อมูล แม้ว่าข้อมูลดังกล่าวจะถูกปิดลงเพียงชั่วขณะก่อนหน้านี้ก็ตาม
• พนักงานจะได้รับอนุญาตให้เข้าถึงข้อมูลเฉพาะที่พวกเขาต้องการโดยมีเพียงรหัสผ่านสำหรับข้อมูลนั้นเท่านั้น ตัวอย่างเช่น พนักงานขายไม่จำเป็นต้องเข้าถึงข้อมูลทรัพยากรบุคคล

พนักงานสามารถทำอะไรได้บ้าง?

• การป้องกันด้วยรหัสผ่าน – McAfee แนะนำว่ารหัสผ่านควรมีตัวอักษรพิมพ์ใหญ่และพิมพ์เล็ก อักขระพิเศษและตัวเลขเพื่อให้แน่ใจว่ารหัสผ่านจะคาดเดายาก อุปกรณ์การทำงานทั้งหมดควรมีรหัสผ่านเฉพาะที่พนักงานไม่เปิดเผยให้ใครทราบ
  • MFA: พนักงานควรมีอุปกรณ์ที่เชื่อถือได้สำหรับส่งรหัส MFA ไปให้หรือคำถามเพื่อความปลอดภัยส่วนบุคคลที่มีเพียงพวกเขาเท่านั้นที่รู้คำตอบ
• อย่าทิ้งอุปกรณ์ไว้โดยไม่มีใครดูแลในที่สาธารณะ
• ตรวจสอบให้แน่ใจว่าอุปกรณ์ถูกล็อคเมื่อไม่ได้ใช้งาน

การปฏิบัติตามกฎระเบียบและข้อมูล

ทีมรักษาความปลอดภัยจำเป็นต้องตรวจสอบให้แน่ใจว่าแนวปฏิบัติด้านข้อมูลเป็นไปตามกฎระเบียบ GDPR

• หากไม่มีนโยบายที่กำหนดไว้ พนักงานสามารถฝ่าฝืนกฎระเบียบ GDPR ได้อย่างง่ายดายด้วยการเข้าถึงและการจัดการข้อมูล
• ด้วยการจำกัดข้อมูลที่พนักงานสามารถเข้าถึงและใช้มาตรการรักษาความปลอดภัยตามที่ระบุไว้ข้างต้น การปฏิบัติตามกฎระเบียบด้านความปลอดภัยทางกฎหมายจะง่ายขึ้นมาก

การเล่นกลด้านความปลอดภัยและความไว้วางใจของพนักงาน

มีความจำเป็นที่คุณจะต้องแน่ใจว่าข้อมูลของบริษัทของคุณได้รับการปกป้องจากความประมาทเลินเล่อ หรือแม้แต่การรั่วไหลที่เป็นอันตรายและการโจมตีจากภายใน อย่างไรก็ตาม สิ่งที่สำคัญที่สุดไม่แพ้กันคือคุณต้องทำให้พนักงานของคุณรู้ว่าพวกเขาได้รับความไว้วางใจ

การจัดการเรื่องความปลอดภัยด้วยความไว้วางใจของพนักงานอาจเป็นเรื่องยุ่งยาก คำแนะนำและเคล็ดลับในการจัดการมีดังนี้:

• แจ้งคนงานของคุณ แจ้งพนักงานให้คุณทราบอย่างชัดเจนถึงมาตรการรักษาความปลอดภัยที่คุณกำลังดำเนินการ และ บอกพวกเขาว่าทำไม การปกป้องข้อมูลถือเป็นมาตรการรักษาความปลอดภัย ไม่ใช่ปัญหาด้านความน่าเชื่อถือ
• ให้ข้อเท็จจริงแก่พวกเขา อธิบายว่าข้อมูลรั่วไหลส่วนใหญ่มาจากความผิดพลาดอันบริสุทธิ์และความประมาทเลินเล่อ
• อนุญาตความเป็นส่วนตัวบางส่วน ติดตามสิ่งที่คุณ ต้องการ ติดตาม เช่น ฐานข้อมูล ไซต์บริษัท การสื่อสารทางธุรกิจ และอื่นๆ แต่อย่าติดตามทุกการเคลื่อนไหวบนอุปกรณ์ พนักงานสมควรที่จะไม่รู้สึกว่าทุกการเคลื่อนไหวของตนถูกจับตามอง
• หมุนเวียนการสนทนา . จัดการประชุมเสมือนจริงที่คุณพูดคุยเกี่ยวกับข้อมูลรั่วไหล ภัยคุกคาม และอื่นๆ อีกมากมาย ส่งเรื่องราวของข้อมูลรั่วไหลเพื่อพิสูจน์ประเด็นที่เกิดขึ้น ให้พนักงานพูดคุยเกี่ยวกับการรั่วไหลของข้อมูลและสิ่งที่พวกเขาสามารถทำได้เพื่อป้องกันการรั่วไหล

บทสรุป

เมื่อพูดถึงคนทำงานระยะไกล จำเป็นต้องคำนึงถึงทั้งประโยชน์และความเสี่ยง

สิ่งเหล่านี้มีประสิทธิภาพและคุ้มค่าสำหรับบริษัทสตาร์ทอัพ เนื่องจากช่วยให้คุณสามารถจ้างพนักงานได้โดยไม่ต้องกังวลเรื่องการเช่าพื้นที่สำนักงาน พนักงานที่ทำงานทางไกลมีแนวโน้มที่จะมีแรงจูงใจมากกว่า และสนุกกับความสมดุลระหว่างการทำงาน/ชีวิตของการทำงานทางไกล

อย่างไรก็ตาม คุณต้องพิจารณาและเตรียมพร้อมสำหรับการรั่วไหลด้านความปลอดภัยที่อาจเกิดขึ้น ไม่ใช่กรณีของการไว้วางใจพนักงานของคุณ ไม่ใช่เมื่อการรั่วไหลส่วนใหญ่เกิดจากความผิดพลาดของมนุษย์ เป็นเรื่องเกี่ยวกับการดำเนินการทุกขั้นตอนที่เป็นไปได้เพื่อให้แน่ใจว่าพนักงานระยะไกลของคุณสามารถเข้าถึงข้อมูลที่ต้องการโดยมีโอกาสเกิดการรั่วไหลน้อยที่สุด