Cách làm việc từ xa dễ nhất là gửi file qua thư, chép ra USB, hay tải lên đám mây cá nhân. Cách đó nhanh nhưng làm dữ liệu công ty nằm ở những nơi công ty không quản lý được. Nguyên tắc ngược lại: đừng mang file ra ngoài, hãy đưa nhân viên vào trong.
Vì sao không mở thẳng NAS ra Internet
Một NAS mở cổng ra Internet sẽ có trang đăng nhập mà ai trên mạng cũng thấy và có thể thử mật khẩu liên tục. Cho nhân viên nối VPN về router trước, rồi mới tới NAS, thì người lạ không thấy NAS để thử.
Cách làm gọn
- Router MikroTik làm cổng VPN. Router hỗ trợ nhiều giao thức VPN. Chọn giao thức phù hợp với thiết bị nhân viên và phiên bản phần mềm của router.
- Mỗi nhân viên một chìa khoá riêng, không dùng chung một mật khẩu cho cả phòng. Ghi lại ai nối vào, lúc nào.
- Chỉ cho đi tới chỗ cần tới. Người ở xa chỉ vào được NAS, không vào được camera hay máy in. Tới NAS rồi, phân quyền theo phòng ban chỉ mở đúng thư mục của người đó.
- Xác thực hai bước trên tài khoản NAS cho lớp bảo vệ thứ hai.
Điều kiện kỹ thuật cần kiểm tra
- Văn phòng cần có địa chỉ Internet công khai mà bên ngoài nối vào được. Một số gói cước dùng chung địa chỉ nên không nối vào được, cần hỏi nhà mạng hoặc dùng cách khác.
- Nếu văn phòng có hai đường Internet, cần cấu hình để VPN vẫn truy cập được khi chuyển đường. Xem bài Hai đường Internet cho văn phòng.
Ngày nhân viên nghỉ việc hoặc mất máy
Hai thao tác: thu chìa khoá VPN ở router, và khoá tài khoản trên NAS. Từ lúc đó, người này không còn đường vào dữ liệu công ty. Laptop bị mất cũng xử lý như vậy: cắt chìa khoá của riêng máy đó, người nhặt được không dùng nó để vào công ty.
Việc này chỉ nhanh khi công ty có danh sách chìa khoá theo tên người. Cần đưa vào quy trình bàn giao nhân sự.
Giới hạn cần biết
Giải pháp này cắt được đường vào, nhưng không xoá được những gì nhân viên đã tải về máy. Vì vậy:
- Máy làm việc nên bật mã hoá ổ đĩa.
- Dữ liệu nhạy cảm chỉ phân quyền cho người thật sự cần.
- Không thay cho các biện pháp bảo mật khác như cập nhật thiết bị và mật khẩu mạnh.
Helpdesk Box làm gì
Helpdesk Box cấu hình VPN trên router, cấp chìa khoá theo từng người, giới hạn đường đi và phân quyền trên NAS, và lập quy trình thu hồi quyền khi có người nghỉ.
