Cách xây dựng thói quen sử dụng công nghệ an toàn

Cơ quan An ninh mạng và An ninh cơ sở hạ tầng Hoa Kỳ (CISA) cũng tập trung hướng dẫn người dùng và gia đình vào bốn hành vi nền tảng: sử dụng mật khẩu mạnh, bật xác thực đa yếu tố, cập nhật phần mềm và nhận diện hoặc báo cáo phishing.

Điểm quan trọng nằm ở chữ thói quen. Một mật khẩu tốt được tạo một lần chưa đủ nếu cùng mật khẩu đó được dùng cho nhiều tài khoản. Một thiết bị được cập nhật hôm nay vẫn có thể trở nên dễ tổn thương nếu các bản vá sau đó bị trì hoãn. Tương tự, việc biết phishing là gì không giúp nhiều nếu khi nhận một tin nhắn khẩn cấp, người dùng vẫn bấm liên kết theo phản xạ. Vì vậy, gia đình nên xây dựng một hệ thống hành vi lặp lại, dễ nhớ và áp dụng được cho cả người lớn lẫn trẻ em.

Bắt đầu từ bốn hành vi bảo vệ có tác động trực tiếp

Một cách thực tế để bắt đầu là thống nhất bốn nguyên tắc chung cho mọi thành viên: mỗi tài khoản quan trọng có thông tin đăng nhập riêng; tài khoản có thể bật MFA thì bật; thiết bị và ứng dụng được cập nhật đều đặn; thông điệp bất thường phải được kiểm tra trước khi hành động.

Đây không phải bốn biện pháp tách rời. Chúng tạo thành nhiều lớp bảo vệ cho những tình huống khác nhau. Mật khẩu riêng hạn chế hậu quả khi thông tin đăng nhập của một dịch vụ bị lộ. MFA bổ sung một bước xác minh nếu mật khẩu đã rơi vào tay người khác. Cập nhật phần mềm xử lý các lỗ hổng mà người dùng bình thường khó tự nhận biết. Thói quen kiểm tra thông điệp đáng ngờ lại nhắm vào thời điểm kẻ lừa đảo cố khiến chính người dùng mở cửa cho chúng.

CISA lựa chọn chính bốn nhóm hành vi này trong chương trình Secure Our World dành cho người dùng và gia đình. Điều đó cũng cho thấy một nguyên tắc hữu ích khi xây dựng thói quen trong nhà: ưu tiên ít hành vi nhưng phải thực hiện nhất quán, thay vì đưa ra quá nhiều quy tắc khiến mọi người khó nhớ.

Gia đình có thể biến bốn nguyên tắc thành những phản xạ rất ngắn:

·         Mật khẩu mới → Không dùng lại mật khẩu cũ

·         Tài khoản quan trọng → Kiểm tra và bật MFA

·         Có bản cập nhật → Cài đặt hoặc để thiết bị tự cập nhật

·         Tin nhắn thúc giục bấm link, chuyển tiền hoặc cung cấp thông tin → Dừng và kiểm tra trước

Khi những phản xạ này trở thành mặc định, an toàn công nghệ không còn phụ thuộc hoàn toàn vào việc một thành viên có nhớ một danh sách hướng dẫn dài hay không.

Dùng mật khẩu riêng và ưu tiên công cụ quản lý mật khẩu

Thói quen đầu tiên cần thay đổi là coi mật khẩu như một bí mật riêng cho từng tài khoản, thay vì tạo một mật khẩu “thật khó” rồi dùng ở nhiều nơi.

Lý do rất đơn giản: nếu một mật khẩu được tái sử dụng, việc thông tin đăng nhập bị lộ ở một dịch vụ có thể tạo cơ hội cho kẻ tấn công thử cùng thông tin đó trên email, mạng xã hội hoặc các tài khoản khác. Mật khẩu khác nhau giúp giới hạn phạm vi ảnh hưởng của một sự cố.

Với số lượng tài khoản ngày càng nhiều, yêu cầu mọi thành viên tự nhớ hàng chục mật khẩu riêng lại dễ dẫn đến một vấn đề khác: người dùng chọn mật khẩu ngắn, dễ đoán hoặc quay trở lại việc dùng lại mật khẩu. Vì thế, CISA khuyến nghị sử dụng mật khẩu dài, ngẫu nhiên, duy nhất và dùng trình quản lý mật khẩu để hỗ trợ việc tạo cũng như lưu chúng.

Hướng dẫn hiện hành của NIST còn đặt trọng tâm vào độ dài thay vì bắt buộc một công thức phức tạp gồm chữ hoa, chữ thường, số và ký tự đặc biệt. Với mật khẩu được sử dụng như một yếu tố xác thực độc lập, NIST SP 800-63B yêu cầu tối thiểu 15 ký tự; NIST cũng khuyến nghị người dùng sử dụng trình quản lý mật khẩu và cân nhắc passkey khi dịch vụ hỗ trợ.

Trong gia đình, điều cần hình thành không phải là cuộc thi xem ai nhớ được mật khẩu phức tạp nhất. Thói quen đúng hơn là:

·         Không dùng chung một mật khẩu cho nhiều dịch vụ

·         Không chia sẻ mật khẩu cá nhân qua tin nhắn chỉ vì tiện

·         Dùng trình quản lý mật khẩu nếu phù hợp với khả năng sử dụng của thành viên

·         Với tài khoản vẫn phải tự tạo mật khẩu, ưu tiên mật khẩu dài và khó đoán

·         Sử dụng passkey khi dịch vụ và thiết bị hỗ trợ, nếu thành viên hiểu cách khôi phục quyền truy cập

Một giới hạn cần lưu ý là mật khẩu tốt không loại bỏ mọi nguy cơ. NIST nêu rõ mật khẩu không có khả năng chống phishing về bản chất. Vì vậy, việc xây dựng thói quen không nên dừng ở mật khẩu.

Bật xác thực nhiều yếu tố cho các tài khoản quan trọng

Nếu mật khẩu là lớp bảo vệ đầu tiên thì xác thực nhiều yếu tố, thường gọi là MFA hoặc 2FA, tạo thêm một điều kiện trước khi tài khoản chấp nhận đăng nhập.

Cơ chế này quan trọng vì người có được mật khẩu chưa chắc đã có yếu tố xác thực thứ hai. FTC giải thích rằng 2FA bổ sung một lớp bảo vệ: kẻ tấn công đánh cắp được mật khẩu vẫn cần thêm yếu tố xác thực để đăng nhập.

Trong gia đình, nên ưu tiên kiểm tra MFA ở những tài khoản có khả năng trở thành “chìa khóa” cho nhiều dịch vụ khác, đặc biệt là email chính, sau đó đến tài khoản tài chính, mạng xã hội và những dịch vụ chứa nhiều thông tin cá nhân. Đây là cách triển khai theo mức độ hậu quả: nếu mất email chính, người dùng có thể đồng thời gặp khó khăn với chức năng đặt lại mật khẩu của nhiều tài khoản khác.

MFA cũng không phải một khái niệm duy nhất. Có dịch vụ sử dụng ứng dụng xác thực, khóa bảo mật, passkey hoặc mã dùng một lần. NIST lưu ý rằng các phương thức yêu cầu người dùng tự nhập mã OTP không được xem là chống phishing, trong khi xác thực mật mã gắn với phiên đăng nhập có thể cung cấp khả năng chống phishing tốt hơn.

Với một gia đình mới bắt đầu, không cần biến sự khác biệt kỹ thuật này thành rào cản. Quy tắc trước mắt có thể đơn giản là bật MFA ở nơi dịch vụ hỗ trợ, sau đó ưu tiên phương thức mạnh hơn như passkey hoặc phương thức chống phishing khi có khả năng sử dụng thuận tiện và ổn định.

Quan trọng hơn, không nên hình thành tâm lý “đã bật MFA thì có thể bấm link thoải mái”. MFA giảm một nhóm rủi ro, nhưng không thay thế việc kiểm tra thông điệp đáng ngờ.

Để cập nhật phần mềm trở thành việc mặc định

Cập nhật phần mềm thường bị xem như một thao tác gây phiền vì có thể yêu cầu khởi động lại thiết bị hoặc làm gián đoạn công việc. Tuy nhiên, từ góc độ an toàn, cập nhật còn là quá trình đưa các bản sửa lỗi và bản vá bảo mật vào thiết bị.

CISA khuyến nghị người dùng cài đặt các bản cập nhật và bật cập nhật tự động; cơ quan này giải thích rằng các lỗi trong phần mềm có thể tạo đường cho kẻ xấu tiếp cận tệp hoặc tài khoản, còn nhà phát triển sử dụng bản cập nhật để sửa những vấn đề đó.

Vì vậy, gia đình không nên xây dựng thói quen theo kiểu “nhớ thì cập nhật”. Một hành vi ổn định hơn là để thiết bị tự động thực hiện phần lớn công việc:

·         Bật cập nhật tự động cho hệ điều hành nếu thiết bị hỗ trợ

·         Cho phép trình duyệt và ứng dụng quan trọng nhận bản cập nhật

·         Không liên tục chọn “để sau” khi thiết bị thông báo bản cập nhật bảo mật

·         Kiểm tra những thiết bị ít được sử dụng nhưng vẫn đăng nhập tài khoản gia đình

Cách tiếp cận này khác với mật khẩu hay phishing ở một điểm đáng chú ý: thói quen tốt có thể được chuyển thành cấu hình mặc định. Sau khi cập nhật tự động được bật, gia đình giảm được số lần phải dựa vào trí nhớ hoặc động lực của từng người.

Tất nhiên, cập nhật phần mềm không có nghĩa mọi bản cập nhật đều khiến thiết bị miễn nhiễm với tấn công. Nó chỉ loại bỏ hoặc giảm những rủi ro mà phiên bản mới đã có biện pháp xử lý. Vì vậy, cập nhật phải đi cùng với bảo vệ tài khoản và cách xử lý thông điệp đáng ngờ.

Tạo phản xạ dừng và kiểm tra trước khi bấm hoặc cung cấp thông tin

Trong bốn hành vi cơ bản, nhận diện phishing phụ thuộc nhiều nhất vào phản xạ của con người.

Một thông điệp lừa đảo thường không cần phá vỡ cơ chế bảo mật của thiết bị nếu nó có thể khiến người dùng tự cung cấp mật khẩu, thông tin cá nhân hoặc mở nội dung độc hại. CISA mô tả phishing là chiến thuật nhằm dụ người dùng mở tệp đính kèm nguy hiểm hoặc chia sẻ thông tin cá nhân.

Do đó, chỉ dạy trẻ hoặc người lớn rằng “đừng bấm link lạ” vẫn chưa đủ. Tin nhắn nguy hiểm không phải lúc nào cũng trông lạ. Nó có thể mang tên một dịch vụ quen thuộc, một tổ chức, thậm chí giả danh người thân.

Thói quen hữu ích hơn là một chuỗi hành vi có thể áp dụng cho cả tin nhắn, email và cuộc gọi:

Dừng → xem yêu cầu → kiểm tra nguồn → dùng kênh quen thuộc để xác minh → sau đó mới hành động.

CISA khuyến cáo rằng nếu một thông điệp đáng ngờ nhưng có khả năng là thật, người dùng không nên bấm liên kết hoặc gọi số điện thoại có ngay trong thông điệp đó. Điều này có ý nghĩa thực tế: nếu tin nhắn nói tài khoản ngân hàng có vấn đề, hãy tự mở ứng dụng ngân hàng hoặc tìm kênh liên hệ chính thức đã biết thay vì đi qua đường dẫn mà tin nhắn cung cấp.

Trong gia đình, có thể thống nhất thêm một nguyên tắc: khi một yêu cầu làm người nhận cảm thấy phải hành động ngay, đó chính là lúc cần chậm lại. Yêu cầu chuyển tiền gấp, gửi mã xác thực, đăng nhập lại hoặc xác minh thông tin đều nên được kiểm tra bằng một kênh độc lập.

Trẻ em hoặc người ít kinh nghiệm cũng cần biết rằng hỏi người khác trước khi bấm không phải là “không biết dùng công nghệ”. Đó là một hành vi kiểm tra an toàn hợp lý khi chưa đủ dữ kiện để xác định thông điệp có đáng tin hay không.

Biến quy tắc an toàn thành thói quen chung của cả gia đình

Một lỗi thường gặp là biến an toàn công nghệ thành danh sách quy định chỉ dành cho trẻ em. Cách này dễ tạo ra khoảng cách giữa điều người lớn yêu cầu và điều trẻ quan sát thấy trong thực tế.

Hướng tiếp cận phù hợp hơn là coi bốn hành vi nền tảng như tiêu chuẩn chung cho mọi người trong nhà. CISA cũng đặt các hướng dẫn về mật khẩu, MFA, cập nhật và phishing trong nội dung dành cho việc bảo vệ bản thân và gia đình, thay vì chỉ nhắm đến một nhóm tuổi.

Gia đình có thể bắt đầu bằng một lần kiểm tra ngắn các tài khoản và thiết bị đang sử dụng, sau đó biến kết quả thành trạng thái mặc định:

1.    Kiểm tra tài khoản chính

2.    Xác định email và các tài khoản quan trọng đang dùng mật khẩu riêng hay chưa

3.    Bật lớp xác thực bổ sung

4.    Kiểm tra MFA trên những tài khoản hỗ trợ và ưu tiên các tài khoản có hậu quả lớn nếu mất quyền truy cập

5.    Bật cập nhật tự động

6.    Thực hiện trên điện thoại, máy tính, trình duyệt và các ứng dụng quan trọng

7.    Thống nhất quy tắc kiểm tra thông điệp

8.    Không bấm, gửi mã hoặc cung cấp thông tin chỉ vì một tin nhắn tạo cảm giác khẩn cấp

Sau bước thiết lập ban đầu, điều quyết định sự bền vững không phải là nói về an toàn mỗi ngày mà là lặp lại cùng một cách xử lý khi tình huống thực tế xuất hiện. Khi một thành viên nhận tin nhắn đáng ngờ, cả nhà sử dụng cùng quy trình kiểm tra. Khi có tài khoản mới, quy tắc mật khẩu riêng và MFA được áp dụng ngay. Khi có thiết bị mới, cập nhật tự động trở thành một trong những thiết lập đầu tiên.

Cách làm này cũng giải quyết một hiểu nhầm quan trọng: sử dụng công nghệ an toàn không phải trạng thái “đã cài đặt xong”. Đó là một chuỗi lựa chọn nhỏ được lặp đi lặp lại. Công cụ bảo mật giúp giảm rủi ro, nhưng chính hành vi nhất quán mới quyết định các công cụ đó có thực sự được sử dụng đúng lúc hay không.

Gia đình nên bắt đầu xây dựng thói quen sử dụng công nghệ an toàn bằng bốn hành vi dễ biến thành mặc định: dùng mật khẩu riêng và quản lý chúng tốt, bật MFA, duy trì cập nhật phần mềm và kiểm tra trước khi phản hồi những yêu cầu đáng ngờ. Đây cũng là bốn nhóm hành vi cốt lõi được CISA nhấn mạnh trong hướng dẫn an toàn trực tuyến dành cho người dùng và gia đình.

Không cần triển khai mọi biện pháp trong một ngày. Điều quan trọng hơn là khi tạo tài khoản mới, nhận tin nhắn lạ hoặc thiết lập thiết bị mới, các thành viên đều biết mình phải làm gì tiếp theo. Khi những lựa chọn đó trở thành phản xạ bình thường, an toàn công nghệ mới thực sự chuyển từ một tập hợp lời khuyên thành thói quen của gia đình.