Kẻ thù trong hàng ngũ

Kẻ thù trong hàng ngũ Ai là người có khả năng ăn trộm dữ liệu của bạn nhất? Không phải nhân viên chính phủ, cũng chẳng phải gián điệp của đối thủ cạnh tranh. Những kẻ tình nghi chính đang ở xung quanh bạn – chính là các nhân viên của bạn. Trong năm 2000, giám đốc phụ trách phần mềm Jeffrey Chang rời khỏi công ty thiết kế chip D-Link Corp. của Đài Loan để trở lại công ty là VIA Technologies. Vào tháng Mười Hai năm ngoái, Chang đã đứng trước vành móng ngựa trong một phiên toà xét xử tại Đài Bắc, bị buộc tội ăn trộm mật mã phần mềm của D-Link cho VIA. Bằng chứng quan trọng nhất chống lại Chang là: trong khi làm việc tại D-Link, anh ta vẫn được VIA trả lương. Vụ kiện chống lại Chang là vụ xử gián điệp công ty nghiêm trọng nhất cho tới nay ở Đài Loan, ít nhất cũng vì nữ chủ tịch hội đồng quản trị của VIA, Cher Wang, cũng bị buộc tội. Cher Wang là con gái của Wang Yungching, người đứng đầu tập đoàn Formosa Plastics Group, tập đoàn sản xuất lớn nhất tại Đài Loan. Vụ kiện này cho thấy rõ một hiện tượng ngày càng phổ biến trong những năm gần đây, đó là các công ty bị rò rỉ thông tin sang đối thủ thông qua nhân viên của chính họ. Rất dễ tìm ra nguyên nhân của hiện tượng này: lĩnh vực hoạt động gián điệp không còn thuộc về các nhân viên có kỹ năng đặc biệt như James Bond nữa, mà việc do thám thương mại giờ đây có thể được thực hiện bởi một nhân viên tầm thường nhất có khả năng sử dụng các máy móc rẻ tiền bán trong bất cứ gian hàng máy vi tính nào ở châu Á. Samuel Porteus, giám đốc khu vực tại Trung Quốc của hãng Quản lý Rủi ro Kroll, nói: “Xét về con số tuyệt đối, công việc này luôn được thực hiện bởi nhân viên trong công ty chứ không phải một gián điệp trong ngành nào cả. Ngày nay, các nhân viên được phép tiếp cận với những phương tiện công nghệ có thể chuyển rất nhiều thông tin một cách dễ dàng, từ đó tăng khả năng hại chủ của họ.” Song thật khó mà đo được mức độ thiệt hại. Rất ít công ty báo cáo các vụ do thám thông tin vì họ không muốn loan truyền về tình trạng an ninh lỏng lẻo của hãng mình. Tuy nhiên, theo cuộc điều tra PricewaterhouseCoopers - một trong những nghiên cứu toàn diện về vấn đề này – thì khoảng 40% công ty trên toàn thế giới cho biết có những vụ việc biết chắc hoặc nghi ngờ về mất tài liệu thuộc sở hữu của mình, và thiệt hại trung bình vào khoảng từ 0.000 đến 0.000. Phần lớn các vụ này xảy ra tại Bắc Mỹ, và châu Á, với 13% số vụ việc, xếp hàng thứ hai. Theo các chuyên gia thì mức độ thực sự của do thám thương mại ở châu Á còn cao hơn, vì các điều tra như của PWC thường không tính đến số lớn các vụ trộm phần mềm hay cơ sở dữ liệu khách hàng ở những công ty nhỏ trong khu vực. Hơn nữa, các công ty châu Á cũng ít đến thông báo với quan chức hơn. Các công ty châu Á thường thích giải quyết nội bộ và để “không mất mặt” trước công chúng. Chẳng hạn như có hơn 900 vụ quấy rối an ninh được báo cáo với Đội Phản ứng Khẩn cấp Hồng Kông vào năm ngoái, nhưng chỉ có 2% trong số đó được báo cáo với nhà chức trách. Porteous thuộc Kroll chỉ ra rằng tỷ lệ vi phạm bản quyền và làm nhái hàng cao nổi tiếng ở châu Á cho thấy sự phổ biến của do thám thương mại tại đây. Các yếu tố khác góp phần làm tình hình càng tồi tệ hơn: đó là việc châu Á thiếu một khung pháp lý hiệu quả về lĩnh vực này, việc thuê công ty nước ngoài làm một số công đoạn, dẫn đến khó quản lý dữ liệu hơn; và tầm nhận thức về bảo vệ quyền sở hữu trí tuệ tương đối thấp. Chẳng hạn như ở Singapore, nhiều công ty không lấy bằng sáng chế cho các sáng chế của mình, làm cho họ khó có thể chứng minh là mình bị ăn cắp quyền sở hữu trí tuệ. Con số các vụ do thám thương mại cũng đang tăng lên. Trước đây, hầu hết các vụ trộm sở hữu trí tuệ bậc cao đều xảy ra ở Bắc Mỹ, nơi tập trung các cơ sở R&D trên thế giới. Nhưng chi tiêu cho hoạt động R&D của châu Á đã tăng lên nhiều trong vài năm qua, đặc biệt là ở Trung Quốc. Theo Tổ chức Hợp tác và Phát triển Kinh tế - một nhóm các nước phát triển có trụ sở tại Paris - thì Trung Quốc đã chi tỷ vào công tác R&D riêng trong năm 2001, và trở thành nước chi tiêu cho R&D lớn thứ ba thế giới sau Mỹ và Nhật Bản. Sau đây là những vấn đề liên quan đến việc bảo vệ thông tin khỏi bị lấy cắp bởi những “kẻ thù trong hàng ngũ” của công ty: Thay đổi công nghệ lấy trộm Hầu hết những người ăn trộm bí mật trong ngành không phải là các thiên tài máy tính. Theo Phòng Phản gián của Hoa Kỳ, các phương pháp phổ biến nhất được sử dụng để thu được các thông tin bảo mật là các phương pháp đơn giản nhất – thường là e-mail, máy fax hay điện thoại. Ngày mà các nhân viên ở lại cơ quan muộn hơn một chút để phô tô các tài liệu bảo mật đã qua rồi. Họ chỉ cần vài phút và một thiết bị flash-memory to bằng ngón tay cái để hoàn thành việc này. Gần đây, TecBizF RisMan đã điều tra một vụ, trong đó một nhân viên đã download toàn bộ danh sách khách hàng công ty vào chiếc máy Palm Visor xách tay trước khi gia nhập vào một hãng cạnh tranh. Và ngày nay có rất nhiều đồ vật trong cơ quan có thể lưu trữ thông tin - chẳng hạn như iPod và các máy ghi hình kỹ thuật số. Vào tháng Bảy năm ngoái, hãng chế tạo điện thoại di động Samsung đã cấm sử dụng điện thoại ghi hình trong một số xí nghiệp của mình vì sợ gián điệp sẽ chụp ảnh các mô hình điện thoại mới. Luật pháp về do thám thương mại Mặc dù nhiều công ty đã có điều khoản trong hợp đồng để không cho nhân viên chuyển thông tin thuộc sở hữu của công ty cho đối thủ cạnh tranh, nhưng việc chấp hành các điều khoản này không phải lúc nào cũng được thực hiện. Theo các chuyên gia an nình thì nguyên nhân không chỉ do khó thu thập bằng chứng, mà luật pháp về do thám thương mại ở châu Á còn không rõ ràng khiến cho khả năng kiện thành công rất thấp. Công ty Taylor-Smith có trụ sở ở Đài Loan cho biết theo kinh nghiệm của riêng ông thì tỷ lệ thành công chỉ là 50%. Thêm nữa, so với luật pháp về do thám ở Mỹ, luật Đài Loan không coi các giá trị vô hình như thị phần và sự tín nhiệm của khách hàng là đối tượng bị tổn hại trong khiếu nại. Ông Porteous nói: “Theo các quy định của Đài Loan, bạn đòi lại được ít hơn cái bạn bị mất nhiều”. Giải pháp Biện pháp đơn giản nhất, song không phải biện pháp rẻ tiền nhất, là ngăn chặn khả năng xảy ra tình thế không mong muốn này. Các chuyên gia an ninh cho rằng biện pháp tốt nhất để kiểm soát sự rò rỉ thông tin là kiểm soát và hạn chế việc nhân viên tiếp xúc với nguồn thông tin bảo mật. Peter Koo, một chuyên gia tư vấn an ninh thuộc hãng Deloite Touche Tohmatsu khuyên rằng các công ty nên vạch ra khả năng và cách thức tiếp cận dữ liệu công ty của mỗi nhân viên theo các mức độ an toàn khác nhau. Động thái này “không phải là không tốn kém” vì nó làm tăng chi phí quản lý và đòi hỏi phải cập nhật liên tục. Tuy nhiên, giải pháp này nên được các công ty lớn thực hiện vì suy cho cùng, nó có thể giúp giảm chi phí thông qua sự tập trung hoá; còn với các công ty nhỏ, nó có thể làm tăng chi phí điều hành từ 100% đến 200%. Theo Torston Duwenhorst thuộc phòng phụ trách các vụ liên quan đến máy tính của Kroll, thì các công ty nên có quy định về việc hạn chế việc nhân viên sử dụng các thiết bị như flash-memory hay đầu ghi CD cắm ngoài. Chẳng hạn như không cho phép các nhân viên gắn ổ CD ngoài vào máy tính cá nhân của họ mà chưa xoá sạch thông tin trên đĩa tại phòng công nghệ thông tin. Bên cạnh đó, nên sử dụng một quy trình tắt máy đảm bảo sao cho nhân viên không xoá các dữ liệu quan trọng của công ty. Porteous nói: “Đừng cho phép nhân viên dùng máy tính khi đã được phép rời sang cơ quan khác.” Điều này giúp ngăn không cho virus hay phần mềm máy tính được gài vào trong các máy của công ty. Mặc dù điều này có vẻ như tàn nhẫn với nhân viên, nhưng việc sa thải nhân viên không làm tròn trách nhiệm là “hành động nên làm để giữ lòng tin của cổ đông” đối với các công ty niêm yết tại sở giao dịch. Với các nhân viên bất mãn rời khỏi công ty này, “mối quan hệ với công ty cần phải bị cắt đứt càng nhanh càng tốt”. Còn một khi thông tin bị rò rỉ ra ngoài, thì tổn thất mà công ty phải hứng chịu còn đắt hơn nhiều so với các chi phí phòng ngừa trê. Tính trung bình, các công ty phải chi từ .000 - 0.000 cho một cuộc điều tra toàn diện để biết được ai là kẻ trộm và cách thức lấy trộm là gì. . khỏi bị lấy cắp bởi những kẻ thù trong hàng ngũ của công ty: Thay đổi công nghệ lấy trộm Hầu hết những người ăn trộm bí mật trong ngành không phải là. Kẻ thù trong hàng ngũ Ai là người có khả năng ăn trộm dữ liệu của bạn nhất? Không phải