TỪNG CÓ LÚC tôi nhận được email từ một khách hàng thiết kế web trước đây với dòng tiêu đề như “CỨU! Trang web của tôi đã bị tấn công!”... và rồi họ xuống dốc từ đó. Một trong những trường hợp tồi tệ nhất xảy ra với khách hàng của tôi Lauren, một nhiếp ảnh gia. Tôi đã giúp Lauren đưa trang web WordPress của cô ấy lên mạng và dạy cô ấy cách bảo vệ nó (luôn cập nhật phần mềm và plugin WordPress, cũng như chạy các bản sao lưu và quét bảo mật thường xuyên). Tôi đã không nhận được tin từ Lauren trong nhiều năm đến khi cô ấy gửi email cho tôi trong cơn hoảng loạn, nói rằng trang web của cô ấy chứa đầy nội dung spam và khi cô ấy truy cập vào tên doanh nghiệp của mình, một cảnh báo xuất hiện trong kết quả tìm kiếm rằng, “Trang web phía trước chứa phần mềm độc hại”. Điều đó có nghĩa là bất kỳ ai đến thăm trang web của Lauren đều có thể bị nhiễm virus, đây không phải là giao diện tốt cho bất kỳ doanh nghiệp nào!
Hóa ra, Lauren đã không cập nhật trang web WordPress của mình và trang web đã bị tấn công. Thật không may, nó xảy ra thường xuyên hơn bạn có thể đoán. Tin tốt là có một dịch vụ tên là Sucuri (sucuri.net) sẽ giúp dọn dẹp các trang web khá nhanh chóng. Tôi đã giúp Lauren kết nối với Sucuri, công ty đã dọn dẹp trang web cho cô ấy và gửi yêu cầu tới Google để xóa cảnh báo phần mềm độc hại. Trong vòng 24 giờ, trang web của Lauren đã hoạt động trở lại và cô ấy chắc chắn đã học được cách cập nhật phần mềm WordPress của mình.
* * *
NẾU BẠN ĐẾN MỘT NHÀ HÀNG và có cảnh báo sức khỏe cộng đồng ở cửa, bạn có quay về không? Niềm tin của khách hàng và khách hàng tiềm năng là một phần rất quan trọng đối với thương hiệu của bạn, cũng như mọi doanh nghiệp khác. Niềm tin phải được xây dựng trước khi mọi người mua sản phẩm của bạn hay dùng thử dịch vụ của bạn và điều này được xây dựng thông qua trải nghiệm trực tuyến cũng như trải nghiệm trực tiếp.
Để có được và giữ được lòng tin, bạn cần đảm bảo rằng trang web của mình an toàn để bảo vệ danh tính và tài sản của mọi người. Chúng tôi biết rằng rủi ro an ninh mạng ở mức cao nhất khi thiếu sự quan tâm đến việc quản lý dữ liệu và bảo vệ dữ liệu, vì điều này cho phép tin tặc truy cập và lấy cắp thông tin cá nhân, tiền bạc và quyền truy cập mật khẩu của khách hàng, do đó đặt chúng vào rủi ro. Để đạt được mục tiêu này, chúng tôi cần kiểm soát dữ liệu và thông tin trên các trang web của mình để tạo ra các rào cản ngăn chặn vi phạm.
Đối với hầu hết các công ty, đây là lúc cần đến công nghệ thông tin (CNTT) xuất hiện. Những người chuyên về CNTT không chỉ đơn giản là cài đặt phần mềm và giữ cho máy tính hoạt động. Họ cũng là những tin tặc giỏi trên thế giới: họ chặn những gì người khác cố gắng đánh cắp, và họ làm điều đó, trong nhiều trường hợp, bằng cách sử dụng chính các công cụ và tài nguyên mà kẻ xấu sử dụng.
Tất nhiên, nhiều doanh nghiệp nhỏ không có bộ phận CNTT chuyên trách. Nhưng vấn đề luôn tồn tại và quan trọng là bạn phải cấu hình bảo mật đúng cách để bảo vệ bản thân, thông tin của bạn và mọi thứ mà khách hàng đã nhập vào trang web của bạn.
Trong chương này, chúng ta sẽ đi sâu vào các công cụ thiết yếu mà bạn cần để đảm bảo an toàn và bảo mật kỹ thuật số.
Sự cố PICNIC (sự cố trên ghế, không phải trong máy tính)
Đây là điều bạn có thể chưa biết: chính con người chứ không phải bản thân công nghệ mới là rủi ro lớn nhất đối với bảo mật kỹ thuật số. Và tôi không ám chỉ riêng các tin tặc; ý tôi là bạn và nhóm của bạn. Bảo mật kỹ thuật số nên được thực hành hằng ngày; nó sẽ trở thành một thói quen cũng giống như sự an toàn về thể chất của bạn.
Để biết lý do tại sao lại vậy, hãy cùng xem qua ba mối quan tâm lớn nhất trong bảo mật kỹ thuật số hiện nay: lừa đảo, vi phạm dữ liệu và phần mềm độc hại.
Lừa đảo là tội phạm mạng phổ biến nhất. Đây là những email spam trông giống như chúng đến từ các cá nhân hoặc một công ty mà bạn biết, chẳng hạn như ngân hàng bạn sử dụng. Tần suất cũng gia tăng ở tin nhắn văn bản và tin nhắn trực tiếp (DM) trên phương tiện truyền thông xã hội với cùng mục đích. Nếu bạn nhấp vào các liên kết được cung cấp, bạn sẽ bị dẫn đến các trang web giả mạo được thiết kế để lừa bạn tiết lộ dữ liệu tài chính của mình hoặc máy tính của bạn có thể bị nhiễm virus, dẫn đến thực hiện hành vi tương tự, trừ khi bạn không biết. Các hệ thống email hiện đại nhất như Gmail chọn và loại bỏ chúng vì máy chủ gửi những email này không khớp với địa chỉ email hiển thị, nhưng một số có thể lọt qua các lỗ hổng.
Loại vi phạm dữ liệu được sử dụng bởi tin tặc đang thay đổi hằng năm, nhưng chúng chủ yếu liên quan đến việc bảo vệ bằng mật khẩu. Với rất nhiều tài khoản kỹ thuật số, rất có khả năng các nền tảng sẽ bị vi phạm dữ liệu. Đó là lý do tại sao việc quản lý mật khẩu – và có một mật khẩu khác cho các lần đăng nhập khác nhau – là rất quan trọng. Nếu vì lý do nào đó, mật khẩu của bạn bị chia sẻ trong một vụ vi phạm dữ liệu và bạn chỉ có một mật khẩu, ai đó có thể dễ dàng truy cập vào một số tài khoản của bạn bằng mật khẩu đó.
Phần mềm độc hại là một thuật ngữ chung để chỉ tất cả các loại nội dung xấu có thể ảnh hưởng đến hệ thống của bạn nếu bạn không cẩn thận. Nó bao gồm virus, trojan, bọ, phần mềm gián điệp và có lẽ đáng sợ nhất – ransomware. Ransomware là một loại virus máy tính khiến bạn không thể truy cập các tệp của bạn cho đến khi bạn trả một khoản phí (tiền chuộc) cho tin tặc để họ mở khóa nó cho bạn. Rất nhiều phần mềm độc hại đến từ các nỗ lực lừa đảo (xem ở trên), nhưng nó cũng có thể đến từ việc nhấp vào các quảng cáo đáng ngờ trên trực tuyến.
Làm thế nào để bảo vệ bản thân
Được rồi, hãy bắt đầu với bạn và văn phòng của bạn. Chúng ta sẽ tiến hành bảo vệ khách hàng của bạn trong giây lát, nhưng trước tiên hãy chuẩn bị cho ngôi nhà của bạn đã.
1. Sử dụng trình quản lý mật khẩu. Trong một thế giới lý tưởng, tất cả các mật khẩu trực tuyến sẽ cực kỳ dài và phức tạp và khác nhau cho mỗi lần đăng nhập. Tuy nhiên, về tổng thể, tốt hơn là mỗi thứ một mật khẩu khác hơn là một mật khẩu phức tạp. Nếu bạn sử dụng cùng một mật khẩu cho mọi thứ, cho dù mật khẩu phức tạp đến đâu, nếu bị trộm ở một nơi, thì mật khẩu đó sẽ bị xâm phạm ở mọi nơi (xem bài bổ sung để biết một câu chuyện trớ trêu về điều này). Vấn đề của việc có một mật khẩu khác nhau cho mỗi lần đăng nhập thực sự đau đầu khi bạn phải nhớ tất cả các mật khẩu khác nhau đó!
Bạn có thể chuẩn bị một cuốn sổ nhỏ ghi lại tất cả mật khẩu của mình, điều này không sao cả... nhưng nếu bạn quên cuốn sổ thì sao? Hoặc bạn có thể lưu tất cả mật khẩu vào một file trên máy tính hoặc trong phần Ghi chú của điện thoại... nhưng file đó không được mã hóa và nếu ai đó có thể truy cập nó, họ có quyền truy cập vào mọi thứ.
Tôi khuyên bạn nên sử dụng trình quản lý mật khẩu, là một loại phần mềm hoặc ứng dụng theo dõi mật khẩu cho bạn. Nó giống như một phiên bản an toàn của cuốn sổ nhỏ hoặc file mật khẩu, nhưng trình quản lý mật khẩu được bảo vệ bằng mật khẩu. Nó hoạt động như thế này: với trình quản lý mật khẩu, bạn có một mật khẩu mạnh và duy nhất cho mọi trang web an toàn, nhưng bạn không bao giờ phải nhớ bất kỳ mật khẩu nào trong số đó, ngoại trừ mật khẩu chính của bạn, mật khẩu này sẽ mở khóa toàn bộ hệ thống. Trình quản lý mật khẩu tự động đăng nhập bạn vào bất cứ nơi nào bạn cần trên web mà không bao giờ khiến bạn phải nhập lại mật khẩu của mình: bạn có thể đặt mật khẩu dài và phức tạp tùy thích. Bạn sẽ cần làm vài thao tác và trong một số trường hợp, trả vài đô-la một tháng cho một trình quản lý mật khẩu tốt, nhưng nếu bạn chọn hệ thống bảo mật phù hợp, như LastPass hoặc iPassword, bạn chỉ phải cập nhật mật khẩu chính của mình mà thôi. Làm điều đó khoảng một lần một tháng, và bạn sẽ thấy thật tuyệt.
LÀM NHƯ TÔI NÓI CHỨ KHÔNG PHẢI NHƯ TÔI LÀM
VỀ CHUYỆN MẬT KHẨU, TÔI SẼ ĐƯA RA lời khuyên mà bạn chưa từng nghe trước đây. Dùng một mật khẩu phức tạp, khác nhau cho mọi tài khoản kỹ thuật số (và cập nhật nó thường xuyên) là điều mà tất cả chúng ta đều biết rằng mình nên làm. Nhưng nhiều người, bao gồm cả những tên tuổi lớn nhất trong ngành công nghệ, không tuân theo lời khuyên của riêng họ. Vào năm 2016, một vụ vi phạm dữ liệu rất lớn tại LinkedIn đã khiến mật khẩu của hàng triệu tài khoản bị rò rỉ trực tuyến. Một trong những tài khoản bị lộ mật khẩu thuộc về CEO Facebook Mark Zuckerberg. Mật khẩu của anh nhanh chóng bị phát hiện (và khai thác) bởi tin tặc, kẻ tiết lộ rằng gã khổng lồ công nghệ đã vi phạm hai trong số các quy tắc cơ bản về bảo mật mật khẩu. Zuckerberg đã không sử dụng một mật khẩu phức tạp (đó là “dadada”) và anh cũng đang sử dụng cùng một mật khẩu cho nhiều chỗ. Theo một bài báo trên Vanity Fair, cụm từ đơn giản đăng nhập anh ấy vào tài khoản LinkedIn cũng cấp quyền truy cập vào tài khoản Pinterest và Twitter của anh ấy.
2. Luôn cập nhật mọi thứ. Bạn biết lời nhắc nhỏ mà bạn nhận được trên máy tính xách tay hoặc điện thoại thông minh về việc cập nhật hệ điều hành, ứng dụng hoặc phần mềm của mình chứ? HÃY LÀM VIỆC ĐÓ ĐI.
Thông thường, các bản cập nhật này là các bản vá bảo mật. Tôi biết, chúng luôn xuất hiện vào thời điểm khó hiểu nhất, chẳng hạn như khi bạn có một bài thuyết trình trong 10 phút nữa hoặc phải chạy đến cuộc hẹn với bác sĩ. Tôi cho phép bạn nhấn nút bỏ qua một lần! Nhưng bạn phải thực hiện việc đó sau đó. Bạn phải cập nhật các bản cập nhật phần mềm. Đối với máy tính, Mac có xu hướng bảo mật hơn PC một chút, nhưng chúng vẫn dễ bị nhiễm virus và các thách thức khác. Chủ sở hữu của bất kỳ và tất cả các thiết bị kỹ thuật số cần định cấu hình chúng một cách chính xác. Điều này không chỉ giới hạn ở những người bán hàng – cũng có các lỗ hổng bảo mật trong điện thoại thông minh (điện thoại Android nhiều hơn iPhone, dù không có thiết bị nào có bảo mật hoàn hảo).
3. Đừng tin tưởng một cách mù quáng vào các công cụ chống virus. Phần mềm chống virus có thể phát hiện các mối đe dọa và nó cũng có thể mang lại cho bạn cảm giác an toàn sai lầm. Nếu bạn định chạy phần mềm chống virus, đừng chỉ dựa vào phần mềm đó. Thay vào đó, bạn cần thực hành bảo mật kỹ thuật số một cách thường xuyên. Điều này bao gồm việc chặn quảng cáo từ trình duyệt web của bạn bằng cách sử dụng một plugin có thể tải xuống tức thì cho trình duyệt của bạn, chẳng hạn như Adblock.com.
4. Bảo vệ hoạt động wifi của bạn: sử dụng VPN. Mạng riêng ảo (VPN) là một loại phần mềm đảm bảo rằng bất cứ điều gì bạn đang làm trực tuyến đều được mã hóa. Bất cứ khi nào bạn sử dụng nguồn Internet không được bảo vệ bằng mật khẩu như mạng wifi mở tại quán cà phê hoặc sân bay, bạn chắc chắn cần khởi động chương trình VPN. Nó sẽ hoạt động trên nhiều thiết bị – bạn có thể có phần mềm VPN trên máy tính và cả trên các thiết bị di động của mình. Một trong những trang web thường xuyên truy cập của tôi là Wirecutter: nó có các đánh giá khách quan về các sản phẩm công nghệ tiêu dùng và họ luôn cung cấp một danh sách các đề xuất VPN tuyệt vời (thewirecutter.com/reviews/ best-vpn-service).
5. Bất cứ khi nào có thể, hãy chuyển trách nhiệm lên cấp cao hơn. Sử dụng sức mạnh của các công cụ được tạo ra để bảo vệ dữ liệu. Nếu bạn có thể bỏ nó ra khỏi bàn làm việc của riêng mình, hãy làm điều đó. Ví dụ: nếu bạn sử dụng một bảng tính thuần túy trên máy tính xách tay của mình để chứa dữ liệu khách hàng thay vì cơ sở dữ liệu khách hàng được mã hóa để lưu giữ thông tin được bảo mật an toàn trên đám mây thì bạn đang thiết lập hệ thống của mình để sẵn sàng chờ đón thất bại rồi đấy. Nếu bạn từng bị lừa đảo, mọi thứ trên máy tính của bạn có thể gặp rủi ro. Hãy dựa nhiều hơn vào các công cụ lớn hơn. Dù các hệ thống trực tuyến hoặc dựa trên đám mây thường có phí nhưng chúng rất đáng giá. Bạn không có thời gian (hoặc chuyên môn) để đối phó với các hành vi vi phạm hoặc lừa đảo. Ví dụ: một số ứng dụng gây rối trên điện thoại thông minh không hoàn toàn an toàn. Ứng dụng nhắn tin an toàn nhất mà tôi khuyên dùng là Signal (signal.org), cung cấp mã hóa đầu cuối.
6. Thực hành vệ sinh kỹ thuật số trong văn phòng. Nhắc nhở mọi người: email cũng an toàn như gửi bưu thiếp qua đường bưu điện. Hãy cẩn thận về số lượng và loại thông tin bạn đang gửi hoặc đính kèm vào một email. Và vì tình yêu với DOS, đừng bao giờ gửi thông tin thẻ tín dụng qua email! Một phần quan trọng của việc giữ an toàn cho toàn bộ văn phòng là đảm bảo rằng mọi người đều có thông tin đăng nhập của riêng mình vào các hệ thống kỹ thuật số và quyết định xem ai có quyền truy cập vào cái gì trước. Đừng sử dụng thông tin đăng nhập chung cho bất kỳ hệ thống hoặc phần mềm nào. Hãy dành ba phút và tạo tài khoản mới cho mỗi người dùng. Nếu bạn làm điều này, thì khi ai đó rời công ty hoặc khi vi phạm xảy ra, bạn sẽ có thể quản lý hệ thống của mình đúng cách. Có những thứ như mức độ cho phép người dùng, đặc biệt là trong hệ thống quản lý nội dung trang web như WordPress và trong các trang chuyên nghiệp truyền thông xã hội như Facebook – mỗi cá nhân có thể truy cập một mức độ chức năng khác nhau. Điều này có nghĩa là thực tập sinh marketing của bạn có thể được cấp quyền truy cập vào tỷ lệ mở bản tin email của bạn trên Mailchimp nhưng không phải thông tin thanh toán của bạn.
7. Sử dụng xác thực hai yếu tố. Nếu một chương trình cung cấp cho bạn xác thực hai yếu tố (hoặc xác thực hai bước tương tự, nhưng hơi khác), hãy sử dụng nó! Hệ thống này có nghĩa là bạn đăng nhập bằng mật khẩu của mình và cung cấp xác minh thứ hai trên một thiết bị khác trước khi bạn đăng nhập được.
8. Có kế hoạch tốt hơn là không có gì. Kiểm tra kỹ mọi thứ bạn đang làm để bảo vệ dữ liệu của mình! Tôi thường thức dậy vào nửa đêm và lo lắng về điều gì sẽ xảy ra nếu một đồng đội để lại máy tính xách tay của cô ấy trên taxi: liệu chúng tôi có thể xóa các tệp từ xa để thông tin cá nhân không bị đánh cắp hoặc xóa các tệp tin của cô ấy để chúng tôi không bị mất công việc của mình? Đừng đợi cho đến khi những điều tồi tệ nhất xảy ra. Hãy chuẩn bị trước và thực hành các chi tiết trong kế hoạch bảo mật kỹ thuật số của bạn với mọi người trong nhóm của bạn trước khi thảm họa xảy ra.
Khách hàng của bạn, trách nhiệm của bạn
Bạn không chỉ phải bảo vệ văn phòng của mình mà còn muốn tránh một số ổ gà pháp lý trong không gian mạng để bảo vệ khách hàng và khách hàng tiềm năng của mình.
Một số đã được tích hợp sẵn trong phần mềm bạn sử dụng để tạo trang web của mình và một số được tự động nhúng vào các phần bổ sung cho sự hiện diện trên web của bạn, chẳng hạn như hệ thống cửa hàng trực tuyến và phương tiện truyền thông xã hội. Hầu hết các phần mềm hiện có sử dụng mã hóa để ẩn dữ liệu theo đúng cách và ngăn chặn việc sử dụng trái phép.
Nhưng không phải lúc nào cũng vậy. Bạn có thể phạm luật nếu không coi trọng vấn đề bảo mật.
Dù đó không phải chuyện lớn, nhưng dù vậy bạn cũng có khá nhiều việc cần lo. Trên thực tế, theo tôi, các yêu cầu pháp lý đối với bảo mật web đang khiến mọi thứ bớt khó khăn hơn một chút. Đó là bởi tất cả chúng ta đều phải tuân theo một tiêu chuẩn cao hơn: các trang web của chúng ta phải bắt đầu với sự an toàn và bảo mật, có nghĩa là hầu hết các công cụ kỹ thuật số mà bạn có thể sẽ sử dụng đều đã trải qua quá trình kiểm tra và sự cân bằng của chính chúng.
Tuy nhiên, công việc của bạn là trở thành tuyến phòng thủ cuối cùng. Bạn là trạm kiểm soát cuối cùng. Và bạn có thể giữ an toàn cho khách hàng của mình.
Hãy xem xét mọi thứ bạn cần để bạn và khách hàng của bạn cảm thấy an toàn và an tâm trên trực tuyến.
Dữ liệu của khách hàng là trách nhiệm của bạn
Về mặt pháp lý và đạo đức, các công ty phải tuân theo các bước cụ thể để đảm bảo rằng quyền riêng tư và dữ liệu của khách hàng được bảo vệ. Nhưng dù vậy, theo luật, ba bên phải chịu trách nhiệm bảo vệ dữ liệu.
1. Bản thân người tiêu dùng. Mọi người có quyền bảo vệ quyền riêng tư của mình bằng cách không tham gia trực tuyến hoặc hạn chế cách họ chọn tương tác với các trang web, chẳng hạn như bằng cách từ chối chấp nhận cookie hoặc tắt các tùy chọn thông báo đẩy.
2. Nhà cung cấp dịch vụ Internet (ISPS). Tất nhiên, các doanh nghiệp này lập bản đồ tất cả các giao dịch dữ liệu và chia sẻ cũng như bán dữ liệu tổng hợp với bên thứ ba, nhưng họ cũng được kỳ vọng sẽ thiết lập tường lửa để đảm bảo rằng điều này không xảy ra nếu không có sự cho phép của khách hàng.
3. Người tạo phần mềm trực tuyến, bao gồm các công ty tạo nền tảng trang web, phát triển và bán các phương tiện để đóng gói dữ liệu. Ví dụ: tất cả các doanh nghiệp có trang web đều có thể chọn thứ, cách thức và thời điểm họ thu thập dữ liệu từ người dùng và khách hàng, cũng như họ sẽ làm gì với dữ liệu này trong nội bộ hoặc bên ngoài. Nếu bạn sử dụng phần mềm trực tuyến trong doanh nghiệp của mình, bạn là một phần của nhóm này. Điều này cho thấy chính các nhà phát triển phần mềm là người chịu trách nhiệm cao nhất về việc dữ liệu của ai đó có mang tính riêng tư hay không, vì họ kiểm soát việc nhập và sử dụng dữ liệu, nhưng điều này không đúng hoàn toàn. Các nhà sản xuất phần mềm có trách nhiệm về quyền riêng tư nhưng bạn cũng vậy. Điều đó có nghĩa là bạn, với tư cách là một doanh nghiệp hoặc tổ chức, có trách nhiệm quản lý quá trình này một cách cẩn thận.
Người ta nói rằng, có những hướng dẫn khác nhau dựa trên cách bạn tiếp xúc với dữ liệu khách hàng của mình.
Chính xác thì luật là gì?
Các tiêu chuẩn pháp lý cơ bản bao gồm Đạo luật bảo vệ thông tin cá nhân và tài liệu điện tử (PIPEDA) và Luật chống thư rác (CASL) ở Canada và luật Quy định chung về bảo vệ dữ liệu (GDPR) ở Liên minh châu Âu (cùng với Vương quốc Anh, Na Uy, Lichtenstein và Iceland). Ở Mỹ, tình hình khó hiểu hơn một chút. California có các tiêu chuẩn về quyền riêng tư ở cấp độ thực hành tốt nhất, nhưng bên ngoài California, các tiêu chuẩn này khác nhau tùy từng tiểu bang. Hiệp hội Quyền tự do Dân sự Hoa Kỳ đề nghị các công ty tuân thủ GDPR trên toàn cầu vào năm 2020, vì đây dự kiến sẽ là tiêu chuẩn quốc tế.
Tuy nhiên, dưới góc nhìn của tôi thì bạn cũng có thể tuân thủ các luật nghiêm ngặt nhất hiện có ngay khi có thể. Tại sao? Ngay cả khi tương tác duy nhất của người nào đó với bạn trên trực tuyến là đọc bản tin của bạn, và nếu họ ở Liên minh Châu Âu, Iceland, Na Uy, Lichtenstein hoặc Vương quốc Anh, thì GDPR sẽ được áp dụng cho kết nối của bạn với họ.
GDPR là một bộ luật khổng lồ với nhiều lớp. Phần ảnh hưởng trực tiếp nhất đến doanh nghiệp nhỏ là xoay quanh sự đồng thuận: mọi người phải được cấp quyền chọn tham gia truyền thông marketing một cách rõ ràng và chọn tham gia để được theo dõi trực tuyến. Ví dụ: bạn không thể chỉ mua địa chỉ email hoặc thu thập chúng tùy ý. Bạn phải xin phép mọi người gửi thông tin cho họ qua email hoặc thông qua trang web hay phương tiện truyền thông xã hội của bạn và sau đó, bạn không thể bán thông tin của họ cho người khác mà không có sự cho phép của họ.
Vì vậy, làm thế nào để bạn đảm bảo khách hàng của bạn được an toàn?
Đầu tiên và quan trọng nhất, phải biết rõ rằng nếu có cảm giác sai, thì tức là có gì đó sai thật.
Nếu bạn không cảm thấy thoải mái khi làm điều gì đó và xấu hổ khi nhìn thẳng vào mặt khách hàng nếu họ biết bạn đang làm gì, thì bạn không nên làm điều đó. Không để dữ liệu ở nơi dễ tiếp cận trong văn phòng, nơi bất kỳ ai cũng có thể nhìn thấy dữ liệu đó, không mua địa chỉ email và không cố gắng lừa đảo hệ thống trên phương tiện truyền thông xã hội bằng cách mua “lượt thích” từ các trang trại kỹ thuật số. Không có phương pháp nào trong số này sẽ phục vụ lợi ích kinh doanh hoặc tổ chức của bạn về lâu dài.
Biết dữ liệu khách hàng của bạn ở đâu. Lập danh sách tất cả những địa điểm trực tuyến mà bạn đang thu thập thông tin nhận dạng cá nhân (PII). Bắt đầu với trang web của bạn. Bạn có đang yêu cầu tên, địa chỉ email hoặc thông tin thẻ tín dụng không? Biểu mẫu trực tuyến, hộp nhận xét, đăng ký marketing qua email và thương mại điện tử là tất cả những nơi bạn có thể thu thập dữ liệu cá nhân. Nhìn xa hơn trang web của bạn, bạn đang thu thập, lưu trữ và sử dụng dữ liệu khách hàng hoặc khách hàng tiềm năng ở đâu khác? Hãy nghĩ về cơ sở dữ liệu bán hàng, phần mềm quản lý quan hệ khách hàng và danh sách marketing qua email.
Kiểm tra mức độ hiện diện của bạn. Bạn cần hiểu rõ về nơi chứa tất cả dữ liệu. Dữ liệu này có được lưu giữ trên máy chủ trang web của riêng bạn không? Trên ổ cứng máy tính của bạn? Hay bên trong phần mềm của bên thứ ba? Nếu bạn đặt dữ liệu trên máy chủ của riêng mình, bạn có thể gặp rủi ro.
Hiểu rõ lý do tại sao bạn đang thu thập dữ liệu. Luật pháp muốn đảm bảo rằng bạn có lý do chính đáng để thu thập thông tin cá nhân ngay từ đầu. Nếu ai đó muốn mua thứ gì đó từ bạn, đó là một lý do đủ tốt. Nhưng bạn vẫn cần sự cho phép rõ ràng từ khách hàng của mình và hồ sơ rõ ràng cho thấy sự đồng ý đó. Nói cách khác, khi chia sẻ dữ liệu của mình, khách hàng của bạn cũng phải điền vào biểu mẫu cho biết bạn có thể thu thập và lưu giữ dữ liệu đó. Thứ không được coi là sự đồng ý là những thứ như hộp chọn tham gia được đánh dấu trước: khách hàng của bạn phải chủ động lựa chọn để đưa ra sự đồng ý. Nếu họ chỉ đơn giản là không từ chối việc được đưa vào cơ sở dữ liệu của bạn, thì cả PIPEDA và GDPR đều coi điều đó là bất hợp pháp. Điều tương tự sẽ xảy ra nếu khách hàng không hoạt động trên trang web hoặc hệ thống của bạn trong một thời gian: bạn cần kích hoạt biểu mẫu đồng ý mới để họ đăng nhập.
Tìm hiểu cách trang web của bạn theo dõi khách truy cập. Cookie, đèn hiệu web và “pixel theo dõi” là những công cụ theo dõi cho phép trình duyệt web ghi nhớ thông tin về phiên duyệt web của khách truy cập trang. Họ theo dõi những thứ như thiết bị mà khách hàng của bạn đang sử dụng, vị trí của họ, những trang nào của trang web mà họ đã truy cập và hơn thế nữa. Một số thông tin đó mang tính nhận dạng cá nhân, vì vậy bạn có thể có trách nhiệm pháp lý trong việc quản lý thông tin đó một cách cẩn thận. Theo GDPR, chẳng hạn, chỉ cần có sự đồng ý bằng mật khẩu đối với việc sử dụng cookie là chưa đủ (thông qua một thông báo như “Nếu bạn tiếp tục sử dụng trang web này, bạn đồng ý với các điều khoản của chúng tôi”). Thay vào đó, khách truy cập trang web phải thể hiện rõ nhận thức và sự đồng ý của họ trước cookie, đèn hiệu web và pixel tải và bắt đầu theo dõi. Bạn có thể sử dụng một công cụ như Iubenda (iubenda.com/en) để thực hiện việc này một cách chính xác.
Sử dụng bộ xử lý dữ liệu của bên thứ ba khi có thể. Nếu bạn thu thập PII, bạn là người thu thập dữ liệu. Nhưng bạn cũng có thể dựa vào các dịch vụ khác để xử lý dữ liệu. Đó là bộ xử lý dữ liệu. Các công ty như Google Analytics, Mailchimp, Facebook, PayPal, Stripe hoặc bất kỳ cổng thanh toán nào khác đều là bộ xử lý dữ liệu và nếu bạn sử dụng dịch vụ của họ, bạn cần có thỏa thuận với họ để đảm bảo rằng cả bạn (người thu thập dữ liệu) và bên thứ ba (bên xử lý dữ liệu) đang xử lý dữ liệu một cách cẩn thận và hiệu quả thích hợp. Thỏa thuận này được gọi là thỏa thuận xử lý dữ liệu (DPA). Ký DPA với nhân viên cung cấp dữ liệu của bên thứ ba cho thấy bạn đã thực hiện trách nhiệm giải trình của mình và chỉ xử lý dữ liệu với những người tuân thủ luật pháp một cách nghiêm túc. Tuy nhiên, điều đó không có nghĩa là bạn sẽ không bao giờ bị giám sát: hãy đảm bảo rằng bạn kiểm tra độ tin cậy và bảo mật của các công ty mà bạn đang mua phần mềm hoặc sử dụng hệ thống của họ thường xuyên.
Tạo ra chính sách bảo mật và lập kế hoạch sử dụng nó mỗi ngày
Khi tất cả các luật mới này có hiệu lực, bạn cần có chính sách bảo mật cho khách hàng và khách hàng tiềm năng của mình.
Khi bạn thu thập tất cả các điểm dữ liệu và kiểm tra các lỗ hổng của mình, bạn sẽ muốn đưa ra chính sách bảo mật hướng ra bên ngoài và kế hoạch bảo mật hướng nội. Dưới đây là một số bước để thực hiện điều đó.
Trước tiên, hãy tạo chính sách bảo mật: bộ quy tắc xác định cách bạn sẽ sử dụng dữ liệu. Đây là tài liệu pháp lý mà khách hàng của bạn có thể tham khảo nếu và khi họ cần. Chính sách bảo mật của bạn phải ngắn gọn, dễ hiểu và rõ ràng, và nó phải bao gồm các thông tin sau:
• Bạn đang thu thập thông tin gì?
• Chính xác thì bạn đang thu thập nó như thế nào?
• Tại sao bạn cần thu thập nó?
• Bạn đang làm gì để giữ thông tin an toàn?
• Dữ liệu từng được chia sẻ với bên thứ ba không?
• Làm cách nào để ai đó có thể liên lạc với bạn nhằm truy cập dữ liệu của họ hoặc yêu cầu xóa dữ liệu đó?
Bạn có thể sử dụng một trình tạo chính sách bảo mật như FreePrivacy-Policy.com hoặc termsFeed. com/Privacy-Policy-Generator để tạo một tài liệu đơn giản cho bạn, sau đó bổ sung thông tin nếu cần.
Đăng chính sách bảo mật của bạn ở nơi mà mọi người có thể nhìn thấy (tôi khuyên bạn nên đặt một liên kết đến nó ở chân trang web của bạn). Nếu có bất kỳ điều gì thay đổi, bạn cần cập nhật chính sách bảo mật của mình và thông báo cho khách hàng và khách hàng tiềm năng của bạn về cập nhật đó.
Tiếp theo, tạo một kế hoạch bảo mật nội bộ. Đây là cách bạn quản lý quyền riêng tư trong môi trường làm việc và giúp nhóm của mình chịu trách nhiệm về bảo mật và quyền riêng tư của khách hàng.
1. Hiển thị chính sách bảo mật của bạn ở một nơi nổi bật, cả trực tuyến và tại văn phòng của bạn. Đăng trang Chính sách bảo mật trên trang web của bạn.
2. Hiểu những thông tin nhận dạng cá nhân mà bạn (và trang web của bạn) đang thu thập là gì và lưu giữ một tệp về cách bạn đang quản lý dữ liệu đó.
3. Lên kế hoạch về cách bạn sẽ bảo vệ thông tin đó: thêm các nhà cung cấp bên thứ ba theo DPA vào danh sách đó, cũng như những nơi mà bạn có thể phản hồi cá nhân về dữ liệu.
4. Nếu khách hàng hỏi về thông tin nhận dạng cá nhân mà bạn có về họ, bạn nên chuẩn bị trước để chia sẻ và có thể xóa hoàn toàn thông tin đó.
5. Đào tạo nhóm của bạn về cách giữ an toàn cho dữ liệu cá nhân và các thông lệ về quyền riêng tư của doanh nghiệp bạn.
6. Theo các quy tắc của GDPR, nếu vi phạm dữ liệu, bạn phải báo cáo cho các cá nhân bị ảnh hưởng và các cơ quan có thẩm quyền cần thiết trong vòng 72 giờ.
Quan trọng nhất là hãy chăm sóc khách hàng của bạn không chỉ vì đó là luật, mà vì kinh doanh lặp lại là loại hình kinh doanh tốt nhất. Cho dù bạn đang bán ví, kết nối với các thành viên trong cộng đồng hay lên kế hoạch cho buổi ra mắt sản phẩm lớn nhất trong sự nghiệp của mình, bạn cần đảm bảo rằng khách hàng của bạn luôn ở đó với bạn và công việc của bạn không bị loại bỏ do vi phạm kỹ thuật có thể hủy hoại danh tiếng của bạn ngay lập tức.
TÓM LẠI
Ngay cả khi bạn không có bộ phận CNTT chuyên trách, việc bảo mật dữ liệu khách hàng và khách hàng tiềm năng của bạn là rất quan trọng.
Bạn có thể ngăn chặn ba mối đe dọa lớn nhất đối với quyền riêng tư về dữ liệu (lừa đảo, vi phạm dữ liệu và phần mềm độc hại):
→ Sử dụng trình quản lý mật khẩu.
→ Cập nhật hệ thống của bạn thường xuyên.
→ Đừng tin tưởng một cách mù quáng vào các công cụ diệt virus.
→ Sử dụng VPN.
→ Thực hành vệ sinh kỹ thuật số trong văn phòng.
→ Sử dụng xác thực hai yếu tố.
Dữ liệu của khách hàng là trách nhiệm của bạn và tùy thuộc vào nơi bạn kinh doanh, bạn có thể tuân theo luật dữ liệu bao gồm Quy định chung về bảo vệ dữ liệu (GDPR). Để tuân thủ, bạn nên thường xuyên:
→ xem xét các thông lệ thu thập dữ liệu của công ty bạn; và
→ tạo chính sách bảo mật và kế hoạch bảo mật, đồng thời chia sẻ nó với nhóm của bạn và khách hàng của bạn.