Để Wi-Fi và camera văn phòng an toàn, cần làm bốn việc: tách mạng cho khách và cho thiết bị như camera, máy in ra khỏi mạng của máy tính nhân viên; đổi mọi mật khẩu mặc định của bộ phát Wi-Fi, đầu ghi và camera; tắt các tính năng mở cửa ra Internet không dùng; và cập nhật phần mềm thiết bị định kỳ. Phần lớn việc này làm được trong một buổi, chi phí ở mức miễn phí đến thấp.
Bài này nói về camera và Wi-Fi như thiết bị nối mạng, tức là chuyện dữ liệu và quyền truy cập. Chuyện đặt camera ở đâu, góc nào, lưu hình bao lâu cho mục đích an ninh trật tự thuộc về an ninh vật lý, không bàn ở đây. Nếu văn phòng bạn do một thợ lắp đặt trọn gói rồi bàn giao, rất có thể nhiều cài đặt vẫn đang ở trạng thái xuất xưởng.
Bộ phát Wi-Fi và đầu ghi camera là những máy tính nhỏ không ai trông
Trong một văn phòng nhỏ, thứ được chăm nhất là máy tính của nhân viên: có phần mềm diệt virus, có cập nhật tự động, có người dùng nhìn hằng ngày. Còn bộ phát Wi-Fi, đầu ghi camera, camera không dây, máy in mạng, tivi thông minh ở phòng họp thì lắp xong là thôi. Chúng cũng là máy tính, chạy hệ điều hành, có trang quản trị, có lỗi bảo mật được phát hiện theo thời gian, nhưng không ai cập nhật và không ai biết mật khẩu quản trị là gì.
Kẻ gian biết điều đó. Công cụ dò quét tự động, giờ còn được hỗ trợ bằng AI để phân loại kết quả, liên tục quét Internet tìm thiết bị còn dùng mật khẩu mặc định hoặc phiên bản phần mềm cũ có lỗ hổng đã công bố. Một đầu ghi camera bị chiếm có thể bị dùng để xem hình trong văn phòng, bị biến thành máy tấn công người khác, hoặc làm bàn đạp để đi tiếp vào máy tính kế toán nếu nằm chung mạng.
Văn phòng bạn không cần phải là mục tiêu cụ thể của ai. Việc quét chạy hàng loạt, ai để cửa mở thì bị vào. Vì vậy những biện pháp dưới đây không nhằm chống một kẻ tấn công chuyên nghiệp nhắm riêng vào bạn, mà nhằm không để văn phòng nằm trong nhóm dễ vào nhất.
Tách mạng: nhân viên, khách và thiết bị
Nhiều bộ phát Wi-Fi dùng cho văn phòng nhỏ, kể cả loại nhà mạng lắp sẵn, có tính năng mạng khách. Loại tốt hơn cho phép chia mạng nội bộ thành nhiều vùng tách biệt. Mục tiêu là để một thiết bị bị chiếm không nhìn thấy những thiết bị quan trọng khác.
| Vùng mạng | Ai và cái gì ở đây | Cài đặt nên có |
|---|---|---|
| Mạng nhân viên | Máy tính, điện thoại công việc của nhân viên | Mật khẩu mạnh, ít người biết, đổi khi có người nghỉ |
| Mạng khách | Khách đến làm việc, điện thoại cá nhân, khách ngồi quán | Bật cách ly giữa các thiết bị, không thấy mạng nhân viên, có thể giới hạn tốc độ |
| Mạng thiết bị | Camera, đầu ghi, máy in, tivi, loa thông minh | Không vào được máy tính nhân viên; chỉ mở ra ngoài những gì cần |
| Máy kế toán, máy chủ tệp | Máy giữ dữ liệu nhạy cảm nhất | Cân nhắc cắm dây trực tiếp, nằm trong mạng nhân viên hoặc vùng riêng |
Nếu bộ phát hiện tại chỉ có mạng khách mà không chia được vùng thiết bị, cách tạm thời là đưa camera và tivi sang mạng khách, giữ mạng chính cho máy tính. Khi cần nâng cấp, đây là lúc nên nhờ người có chuyên môn chọn thiết bị chia vùng được, chi phí ở mức thấp đến cần thuê ngoài tuỳ quy mô.
Đổi mật khẩu mặc định và khoá trang quản trị
Mật khẩu mặc định của thiết bị thường in dưới đáy máy hoặc công khai trong tài liệu hướng dẫn, và có trong mọi danh sách mà công cụ dò quét sử dụng. Làm lần lượt với từng thiết bị:
- Lập danh sách mọi thiết bị nối mạng trong văn phòng. Trang quản trị của bộ phát Wi-Fi thường liệt kê các thiết bị đang kết nối, giúp bạn không bỏ sót.
- Đăng nhập trang quản trị của từng thiết bị, đổi mật khẩu quản trị thành mật khẩu dài, riêng cho từng máy, lưu vào trình quản lý mật khẩu của công ty.
- Với camera và đầu ghi, đổi cả mật khẩu tài khoản xem hình, tạo tài khoản riêng chỉ có quyền xem cho người cần xem, không dùng chung tài khoản quản trị.
- Tắt quản trị từ xa qua Internet nếu không dùng. Nếu cần, chỉ bật khi thật sự cần và tắt lại sau đó.
- Tắt các tính năng tự mở cổng ra Internet (thường có tên viết tắt là UPnP) trên bộ phát, trừ khi một thiết bị cụ thể bắt buộc cần và bạn biết vì sao.
- Đổi tên mạng Wi-Fi để không lộ hãng và đời máy, chọn chuẩn mã hoá mới nhất mà mọi thiết bị trong văn phòng hỗ trợ.
Nếu thiết bị do thợ lắp, hãy đề nghị họ bàn giao toàn bộ mật khẩu quản trị và đổi ngay sau khi nhận. Thợ có thể là người tử tế, nhưng danh sách mật khẩu trong điện thoại của họ là của hàng chục khách hàng, và bạn không kiểm soát được nó.
Xem camera từ xa qua ứng dụng: những điểm cần kiểm
Tài khoản đám mây của camera là cửa chính. Nhiều camera xem từ xa qua ứng dụng của hãng, nghĩa là hình ảnh đi qua máy chủ của hãng và ai có tài khoản ứng dụng là xem được. Tài khoản này cần mật khẩu mạnh, riêng, và xác thực hai lớp nếu ứng dụng hỗ trợ.
Danh sách người được chia sẻ. Ứng dụng thường cho chia quyền xem cho người khác. Sau vài năm, danh sách này có thể gồm nhân viên cũ, thợ lắp đặt, người nhà đã đổi điện thoại. Rà định kỳ như rà quyền fanpage.
Camera ở nơi nhạy cảm. Camera hướng vào màn hình máy tính kế toán, bàn ký hợp đồng hay khu vực nghỉ của nhân viên ghi lại những thứ không nên rời khỏi văn phòng. Nếu hình ảnh bị lộ, nó trở thành nguyên liệu cho lừa đảo. Hãy cân nhắc góc quay theo đúng mục đích; chi tiết về quyền riêng tư của người bị quay nên hỏi thêm quy định hiện hành.
Ứng dụng xem camera trên điện thoại của ai. Điện thoại đăng nhập ứng dụng camera có thể bị mất, bị cài mã độc. Đặt khoá màn hình, và khi người đó nghỉ hoặc đổi máy, đăng xuất khỏi thiết bị cũ trong phần cài đặt tài khoản.
Camera không rõ nguồn gốc. Camera giá rẻ không thương hiệu thường không được cập nhật phần mềm, có khi gửi dữ liệu về những máy chủ không rõ. Với văn phòng, ưu tiên thiết bị có hãng còn phát hành bản cập nhật.
Cập nhật phần mềm thiết bị
Phần mềm trong bộ phát Wi-Fi, đầu ghi và camera, thường gọi là firmware, được hãng cập nhật khi có lỗi bảo mật. Khác với điện thoại, phần lớn thiết bị này không tự cập nhật hoặc không báo cho ai biết có bản mới. Mỗi quý, người phụ trách nên đăng nhập trang quản trị từng thiết bị, xem có bản cập nhật không, và cập nhật ngoài giờ làm việc vì thiết bị sẽ khởi động lại.
Thiết bị đã hết vòng đời hỗ trợ, tức là hãng không còn phát hành cập nhật, nên được lên kế hoạch thay. Bộ phát Wi-Fi đời cũ nhà mạng lắp từ nhiều năm trước là ví dụ hay gặp. Nếu bộ phát thuộc nhà mạng, bạn có thể đề nghị nhà mạng đổi thiết bị mới hơn hoặc lắp thêm bộ phát của riêng mình phía sau.
Khi không chắc thao tác, đừng ngại nhờ chatbot giải thích từng bước theo đời máy, nhưng đừng chụp và gửi trang quản trị đang hiện mật khẩu, địa chỉ mạng nội bộ hay số sê-ri thiết bị. Mô tả bằng lời là đủ, và luôn đối chiếu với tài liệu của hãng vì menu đổi theo phiên bản phần mềm.
Wi-Fi cho khách ở quán và cửa hàng
Quán cà phê, tiệm ăn, tiệm làm tóc thường in mật khẩu Wi-Fi lên bàn hoặc dán trên tường. Điều đó không có gì sai, miễn là mạng đó là mạng khách tách riêng. Rủi ro chỉ xuất hiện khi mạng khách cũng là mạng của máy tính thu ngân, máy in hoá đơn và đầu ghi camera, tức là mọi khách ngồi quán đều đứng chung mạng với máy tính tiền.
Với mạng khách, bật tính năng cách ly để các thiết bị của khách không nhìn thấy nhau. Một số bộ phát cho đặt lịch tắt mạng khách ngoài giờ mở cửa, hữu ích để người lạ ngoài đường không dùng mạng của bạn cả đêm. Đổi mật khẩu mạng khách định kỳ, ví dụ mỗi tháng, là thói quen tốt nếu dễ cập nhật bảng in.
Máy thanh toán thẻ, máy tính tiền nên nằm ở mạng riêng hoặc cắm dây. Nếu cửa hàng dùng ứng dụng bán hàng trên máy tính bảng, máy tính bảng đó cũng nên ở mạng nhân viên chứ không phải mạng khách. Một nguyên tắc dễ nhớ: thiết bị nào đụng tới tiền hoặc dữ liệu khách thì không ngồi chung mạng với người lạ.
Khi nào nên thuê kỹ thuật viên
Văn phòng nhỏ tự làm được phần lớn các việc trên. Nhưng có những lúc nên gọi người có chuyên môn, chi phí ở mức cần thuê ngoài, vẫn rẻ hơn nhiều so với xử lý sự cố:
- Cần chia mạng thành nhiều vùng mà bộ phát hiện tại không làm được.
- Văn phòng có nhiều tầng, nhiều bộ phát, nhiều camera, khó tự lập danh sách thiết bị.
- Có máy chủ hay phần mềm nội bộ cần truy cập từ xa an toàn cho nhân viên làm việc ở nhà.
- Phát hiện thiết bị lạ trong danh sách kết nối mà không ai nhận.
- Camera tự xoay, đèn sáng bất thường, hay mạng chậm hẳn không rõ lý do.
- Thiết bị đã hết vòng đời hỗ trợ và cần chọn thiết bị thay thế.
Khi thuê, đề nghị kỹ thuật viên bàn giao bằng văn bản: danh sách thiết bị, mật khẩu quản trị (để bạn đổi ngay), sơ đồ mạng đơn giản, và những gì đã bật hay tắt. Tài liệu này là thứ người kế tiếp cần để không phải dò lại từ đầu.
Câu hỏi thường gặp
Văn phòng nhỏ có cần tách mạng Wi-Fi cho khách không?
Có. Mạng khách tách riêng giúp điện thoại và máy tính của khách không nhìn thấy máy tính nhân viên, máy in hay đầu ghi camera. Phần lớn bộ phát Wi-Fi hiện nay có sẵn tính năng này, chỉ cần bật trong trang quản trị.
Mật khẩu mặc định của đầu ghi camera có nguy hiểm không?
Có. Mật khẩu mặc định được công bố trong tài liệu và có sẵn trong các công cụ dò quét tự động. Đầu ghi còn mật khẩu mặc định và mở ra Internet có thể bị người lạ xem hình hoặc chiếm quyền điều khiển.
Bao lâu nên cập nhật phần mềm cho bộ phát Wi-Fi và camera?
Nên kiểm mỗi quý một lần và cập nhật khi có bản mới, vào ngoài giờ làm việc. Thiết bị không còn được hãng phát hành cập nhật thì nên lên kế hoạch thay.
In mật khẩu Wi-Fi trên bàn quán có an toàn không?
An toàn nếu đó là mạng khách tách riêng, có bật cách ly giữa các thiết bị. Không nên để máy tính tiền, máy thanh toán thẻ hay đầu ghi camera nằm chung mạng mà khách vào được.
Xem camera văn phòng từ xa qua ứng dụng cần lưu ý gì?
Đặt mật khẩu mạnh và bật xác thực hai lớp cho tài khoản ứng dụng, rà danh sách người được chia quyền xem, đăng xuất trên điện thoại cũ hoặc của người đã nghỉ. Ưu tiên camera có hãng còn cập nhật phần mềm.
Thợ lắp camera giữ mật khẩu quản trị có sao không?
Nên đề nghị thợ bàn giao toàn bộ mật khẩu và đổi ngay sau khi nhận. Việc này không phải vì nghi ngờ thợ, mà vì danh sách mật khẩu của nhiều khách nằm trong một điện thoại là rủi ro bạn không kiểm soát được.