Nadya Bartol: Better cybersecurity starts with honesty and accountability | TED

Transcriber:

Translator: Lương Ngân Giang Reviewer: Thu Ha Tran

Today, I'm going to talk about a shameful topic.

Hôm nay, tôi sẽ nói về một chủ đề đáng xấu hổ.

This has happened to many of us, and it's embarrassing,

Điều này đã xảy ra với nhiều người, và khiến ta thấy hổ thẹn,

but if we don't talk about it, nothing will ever change.

nhưng nếu ta không nói về nó, mọi thứ sẽ không bao giờ thay đổi.

It's about being hacked.

Đó là về việc bị hack.

Some of us have clicked on a phishing link and downloaded a computer virus.

Một số người đã ấn vào một đường link giả mạo và tải về virus máy tính.

Some of us have had our identities stolen.

Một số người đã bị đánh cắp danh tính.

And those of us who are software developers

Và một số lập trình viên có thể đã

might have written insecure code with security bugs in it

viết mã không an toàn với các lỗi bảo mật mà không nhận ra điều đó.

without realizing it.

As a cybersecurity expert,

Là một chuyên gia an ninh mạng,

I have worked with countless companies on improving their cybersecurity.

tôi đã làm việc với vô số công ty để cải thiện an ninh mạng của họ.

Cybersecurity experts like me have advised companies

Các chuyên gia an ninh mạng như tôi đã tư vấn cho các công ty về

on good cybersecurity practices,

thực hành an ninh mạng tốt,

monitoring tools

công cụ giám sát

and proper user behaviors.

và hành vi đúng đắn của người dùng.

But I actually see a much bigger problem that no tool can fix:

Nhưng tôi đã thấy được một vấn đề lớn hơn mà không công cụ nào có thể sửa:

the shame associated with the mistakes that we make.

cảm giác hổ thẹn gắn liền với những lỗi lầm mà ta mắc.

We like to think of ourselves as competent and tech savvy,

Chúng ta thích nghĩ về mình là có năng lực và hiểu biết về công nghệ,

and when we make these mistakes that can have a really bad impact

và khi chúng ta mắc những lỗi sai có ảnh hưởng xấu

on us and our companies --

đến chính mình và công ty -

anything from a simple annoyance,

bất kì thứ gì từ sự khó chịu giản đơn

to taking a lot of time to fix,

đến tốn nhiều thời gian để sửa chữa,

to costing us and our employers a lot of money.

cho đến tốn chúng ta và công ty một số tiền lớn.

Despite billions of dollars that companies spend on cybersecurity,

Mặc dù các công ty chi hàng tỉ đô la cho an ninh mạng,

practitioners like me see the same problems over and over again.

những người hành nghề như tôi vẫn chứng kiến vấn đề như vậy lặp đi lặp lại.

Let me give you some examples.

Để tôi cho bạn một số ví dụ.

The 2015 hack of Ukrainian utilities

Vụ hack lưới điện năm 2015 tại Ukraine

that disconnected power for 225,000 customers

làm mất điện của 225.000 khách hàng

and took months to restore back to full operations

và tốn hàng tháng trời để khôi phục lại bình thường

started with a phishing link.

đã bắt đầu từ một đường link giả mạo.

By the way, 225,000 customers is a lot more 225,000 people.

Nhân tiện, 225.000 khách hàng là lớn hơn nhiều so với 225.000 người.

Customers can be anything from an apartment building

Khách hàng có thể là bất kì thứ gì, từ một tòa chung cư,

to an industrial facility

đến một cơ sở công nghiệp,

to a shopping mall.

hay một trung tâm thương mại.

The 2017 data breach of Equifax

Vụ rò rỉ thông tin của Equifax năm 2017

that exposed personally identifiable information

mà đã làm lộ thông tin cá nhân

of 140 million people

của 140 triệu người

and may ultimately cost Equifax something on the order of 1.4 billion dollars:

và có thể đã khiến Equifax phải trả giá khoảng 1,4 tỷ đô la:

that was caused by an exploitation of a well-known vulnerability

đã được gây ra bởi sự khai thác một lỗ hổng nổi tiếng

in the company's customer consumer complaint portal.

ở một cổng web khiếu nại của người tiêu dùng.

Fundamentally, this is about technology and innovation.

Về cơ bản, đây là vấn đề về công nghệ và đổi mới.

Innovation is good; it makes our lives better.

Đổi mới là tốt, nó làm cho cuộc sống của chúng ta tốt đẹp hơn.

Most of the modern cars we drive today are fundamentally computers on wheels.

Phần lớn ô tô chúng ta lái ngày nay về cơ bản là máy tính có bánh xe.

They tell us where to go to avoid traffic, when to take them in for maintenance

Chúng cho ta biết đi đâu để tránh tắc đường, khi nào cần mang xe đi bảo dưỡng,

and then give us all kinds of modern-day conveniences.

và sau đó cho ta muôn kiểu tiện ích hiện đại.

Many people use connected medical devices like pacemakers

Nhiều người dùng các thiết bị y tế kết nối mạng như máy tạo nhịp tim,

and glucose monitors with insulin pumps.

và máy theo dõi đường huyết với bơm insulin.

These devices make these people's lives better

Những thiết bị này khiến cuộc sống cải thiện hơn

and sometimes even extend their lives.

và đôi khi còn kéo dài tuổi thọ con người.

But anything that can be interconnected can be hacked when it's connected.

Nhưng bất cứ thứ gì được kết nối với nhau đều có thể bị hack khi được kết nối.

Did you know that the former US Vice President Dick Cheney

Bạn có biết rằng Cựu Phó Tổng thống Dick Cheney

kept his pacemaker disconnected from Wi-Fi before he received a heart transplant?

đã ngắt kết nối Wi-Fi máy tạo nhịp tim trước khi nhận cấy ghép tim?

I will let you figure out why.

Tôi sẽ khiến bạn hiểu vì sao.

In a digitally interconnected world, cyber risks are literally everywhere.

Trong một thế giới kết nối kỹ thuật số, rủi ro mạng ở khắp mọi nơi theo nghĩa đen.

For years, my colleagues and I have been talking about

Trong nhiều năm, tôi và đồng nghiệp đã thảo luận về

this elusive notion of cybersecurity culture.

khái niệm khó nắm bắt này của văn hóa an ninh mạng.

Cybersecurity culture is when everybody in the organization

Văn hóa an ninh mạng là khi mọi thành viên trong một tổ chức

believes that cybersecurity is their job,

đều tin rằng an ninh mạng là công việc của họ,

knows what to do and what not to do

biết phải làm gì và không được làm gì

and does the right thing.

và làm điều đúng đắn.

Unfortunately, I can't tell you which companies do this well,

Đáng tiếc thay, tôi không thể cho bạn biết công ty nào làm tốt việc này,

because by doing so, I would put a juicy target on their backs

bởi làm như vậy, tôi sẽ biến họ thành miếng mồi ngon

for ambitious attackers.

cho những kẻ tấn công tham vọng.

But what I can do is make cybersecurity less mysterious,

Nhưng điều tôi có thể làm là khiến an ninh mạng bớt bí ẩn,

bring it out into the open and talk about it.

làm rõ và nói về chủ để đó.

There should be no mystery or secrecy within an organization.

Không nên có bí ẩn hay bí mật trong một tổ chức.

When something is invisible and it's working,

Khi thứ gì đó vô hình và đang hoạt động,

we don't know that it's there until it's not there.

chúng ta không biết rằng nó tồn tại cho đến khi nó biến mất.

Kind of like toilet paper.

Giống như giấy vệ sinh vậy.

When the COVID-19 pandemic began,

Khi đại dịch COVID-19 bắt đầu,

what has been there all of a sudden became super important

thứ đã ở đó từ trước bỗng đột ngột trở nên quan trọng

because we couldn't find it anywhere.

bởi ta không tìm thấy nó ở đâu cả.

Cybersecurity is just like that:

An ninh mạng cũng như vậy:

when it's working, we don't know, and we don't care.

khi nó hoạt động, ta không biết, và ta không quan tâm.

But when it's not working,

Nhưng khi nó ngừng hoạt động,

it can be really, really bad.

tình hình có thể trở nên rất, rất tồi tệ.

Toilet paper is pretty straightforward.

Trường hợp của giấy vệ sinh khá dễ hiểu.

Cybersecurity is mysterious and complex.

An ninh mạng lại bí ẩn và phức tạp.

And I actually think it starts with the notion of psychological safety.

Và tôi thực sự nghĩ nó bắt đầu với khái niệm an toàn tâm lý.

This notion was popularized by an organizational behavior scientist,

Khái niệm này đã được phổ biến bởi một nhà khoa học hành vi tổ chức,

Amy Edmondson.

Amy Edmondson.

Amy studied behavior of medical teams in high-stakes situations like hospitals,

Amy nghiên cứu hành vi của các nhóm y tế trong tình huống rủi ro cao như bệnh viện,

where mistakes could be fatal.

nơi sai lầm có thể gây chết người.

And she found out that nurses were not comfortable

Và bà nhận thấy các y tá không thấy thoải mái

bringing up suggestions to the doctors

khi đưa ra các gợi ý cho bác sĩ

because of the fear of questioning authority.

bởi nỗi sợ bị chất vấn về thẩm quyền.

Amy helped improve medical teams

Amy giúp cải thiện các đội ngũ y tế

to make nurses more comfortable bringing up suggestions to the doctors

để khiến y tá thoải mái hơn với việc đưa ra góp ý tới các bác sĩ

for patient treatment

trong chữa trị

without the fear of being scolded or demeaned.

mà không sợ bị mắng hay bị hạ thấp.

For that to happen, doctors needed to listen and be receptive --

Để điều đó xảy ra, các bác sĩ cần lắng nghe và sẵn sàng tiếp thu ý kiến

without judging.

mà không phán xét.

Psychological safety is when everybody is comfortable speaking up

An toàn tâm lý là khi mọi người thoải mái phát biểu

and pointing things out.

và chỉ ra các lỗi sai.

I want cybersecurity to be the same.

Tôi muốn an ninh mạng trở nên như vậy.

And I want cybersecurity practitioners to be comfortable bringing suggestions up

Và tôi muốn người làm nghề an ninh mạng thoải mái với việc đưa ra góp ý

to senior executives or software developers,

tới cấp trên hay lập trình viên,

without being dismissed as those people who continue to talk about

mà không bị sa thải vì những người đó tiếp tục nói về

horrors and errors,

nỗi kinh hoàng và lỗi sai,

and say no.

và nói không.

Not doing so is really hard

Không làm điều đó là rất khó

for the individuals who are responsible for the creation of digital products

đối với những cá nhân chịu trách nhiệm để tạo ra các sản phẩm kỹ thuật số

because fundamentally, it's about their pride and joy in their creations.

bởi về căn bản, đó là vấn đề về danh dự và niềm vui trong sáng tạo của họ.

I once tried talking to a senior software development executive

Tôi đã từng thử nói chuyện với một giám đốc phát triển phần mềm

about the need to do better security.

về sự cần thiết phải cải thiện bảo mật.

Bạn biết anh ấy đã nói gì không?

You know what he said?

"Are you telling me we're developing insecure code?"

“Cô nói rằng chúng tôi phát triển mã không an toàn à?”

In other words, what he heard was, "Your baby is ugly."

Nói cách khác, những gì anh ấy đã nghe là: “Em bé của bạn thật xấu xí.”

What if instead of focusing on what not to do,

Điều gì xảy ra nếu thay vì tập trung vào những gì không được làm,

we focused on what to do?

ta tập trung vào những gì cần làm?

Like, how do we develop better software

Ví dụ, làm sao để phát triển phần mềm tốt hơn

and protect our customer information at the same time?

và bảo vệ thông tin khách hàng cùng một lúc?

Or how do we make sure that our organization is able to operate

Hoặc làm sao để chắc chắn rằng tổ chức của ta có khả năng hoạt động trong

in crisis, under attack or in an emergency?

khủng hoảng, khi bị tấn công hay trong khẩn cấp?

And what if we reward good things that people do in cybersecurity in some way

Và sẽ ra sao nếu ta khen thưởng những việc làm tốt trong an ninh mạng

and encourage them to do so,

và cổ vũ mọi người làm vậy,

like reporting security incidents,

như báo cáo sự cố bảo mật,

reporting potential phishing emails,

báo cáo các email giả mạo tiềm ẩn,

or finding and fixing software security bugs

hay tìm và sửa lỗi bảo mật phần mềm

in the software that they develop?

trong phần mềm mà họ phát triển?

And what if we tied these good security actions to performance evaluations

Và sẽ ra sao nếu ta gắn những hành động bảo mất tốt với đánh giá hiệu suất

to make it really matter?

để khiến nó thực sự có ý nghĩa?

I would love for us to communicate these good cybersecurity things

Tôi mong rằng chúng ta có thể giao tiếp về những điều tốt về an ninh mạng này

and encourage them in some sort of company-wide communications

và cổ vũ chúng bằng một số cách truyền thông trong công ty

like newsletters, blogs, websites, microsites --

như bản tin, blog, trang web, trang web nhỏ -

whatever we use to communicate to our organization.

bất cứ điều gì ta dùng để giao tiếp với tổ chức.

What if a company announced a competition for who finds the most security bugs

Sẽ ra sao nếu một công ty mở một cuộc thi cho ai tìm ra nhiều lỗi bảo mật nhất

and fixes them in a two-week development sprint

và sửa chúng trong hai tuần phát triển nước rút

and then announces the winner of the competition for the quarter

và sau đó công bố người chiến thắng của cuộc thi trong quý

at a large company virtual town hall,

tại một tòa thị chính ảo của một công ty lớn,

and then rewards these people, these winners, with something meaningful,

và rồi thưởng cho những người này, những nhà vô địch này, với điều gì ý nghĩa,

like a week's vacation or a bonus.

như kỳ nghỉ một tuần hoặc tiền thưởng.

Others will see the celebration and recognition,

Những người khác sẽ thấy lễ ăn mừng và công nhận,

and they'll want to do the same.

và họ cũng sẽ muốn làm như vậy.

In the energy industry,

Trong ngành năng lượng,

there is a really strong culture of safety.

có một văn hóa an toàn rất mạnh mẽ.

People care about this culture, are proud of it,

Mọi người quan tâm đến nền văn hóa này, tự hào về nó,

and there is a collective reinforcement of this culture

và có một sự củng cố tập thể cho nền văn hóa này

to make sure that nobody gets hurt.

để đảm bảo rằng không ai bị thương.

One of the ways they exhibit and keep this safety conscious culture going

Một trong những cách họ trưng bày và lưu giữ văn hóa ý thức an toàn này

is by counting and visibly displaying days since the last safety incident.

là tiếp tục đếm và hiển thị ngày kể từ sự cố an toàn cuối cùng.

And then everybody works really hard not to have that count go back to zero

Và sau đó mọi người làm việc thực sự chăm chỉ để con số đó không về 0

because that means that somebody did get hurt.

bởi vì điều đó có nghĩa là rằng ai đó đã bị thương.

Cybersecurity is the same as safety.

An ninh mạng cũng giống như sự an toàn.

What if we all agree

Sẽ ra sao nếu chúng ta đều đồng ý

to keep that count of days since the last cybersecurity incident

giữ số ngày đó kể từ sự cố an ninh mạng cuối cùng

going on forever

tiếp tục mãi mãi

and then work really hard not to have it reset to zero?

và sau đó làm việc thực sự chăm chỉ để nó không đặt lại về 0?

And then certain things are a no-no,

Và sau đó một số điều nhất định là bị cấm,

and we need to clearly communicate to our organizations what they are

và chúng ta cần nói rõ ràng với các tổ chức rằng đó là những gì

in an easily digestible and maybe even fun way,

một cách dễ hiểu và thậm chí là vui nhộn

like gamification or simulations,

như trò chơi điện tử hay mô phỏng

to make sure that people can remember this.

để chắc chắn rằng mọi người có thể ghi nhớ điều đó.

And if somebody does something they're not supposed to do,

Và nếu ai đó làm điều họ không nên làm,

they should face some sort of consequences.

họ sẽ phải chịu một số hậu quả.

So, for example, if an employee buys equipment on Amazon or eBay

Vì vậy, ví dụ, nếu một nhân viên mua thiết bị trên Amazon hoặc eBay

or uses personal Dropbox for their company business,

hoặc dùng Dropbox cá nhân cho việc kinh doanh của công ty,

then they should face some sort of consequences.

thì họ sẽ phải đối mặt với một số hậu quả nào đó.

And when this happens, executives should get the same treatment

Và khi điều đó xảy ra, giám đốc điều hành nên được đối xử

as regular employees,

giống như nhân viên bình thường,

because if they don't, then people won't believe that it's real

vì nếu không vậy, thì mọi người sẽ không tin rằng đó là sự thật

and will go back to their old behaviors.

và trở về với các hành vi cũ của họ.

It's OK to talk about mistakes,

Có thể nói về những sai lầm,

but just like a teenager who violates the rules tells us about it,

nhưng giống như việc một thiếu niên vi phạm quy tắc nói với ta biết điều đó,

we appreciate that they told us about it,

ta cảm kích việc họ đã nói với ta điều ấy,

but there should still be some sort of consequences.

nhưng vẫn nên có những hậu quả để họ phải chịu.

Cybersecurity is a journey.

An ninh mạng là cả một cuộc hành trình.

It's not a destination,

Nó không phải là một đích đến,

and we need to keep working on it.

và ta cần tiếp tục cải thiện nó.

I would love for us to celebrate cybersecurity people

Tôi mong rằng ta có thể ca ngợi người làm nghề an ninh mạng

like the heroes that they are.

như những người hùng.

If we think about it, they are firefighters,

Nếu ta nghĩ về nó, họ là lính cứu hỏa,

emergency room doctors and nurses,

là bác sĩ cấp cứu hay y tá,

law enforcement, risk executives and business strategists

là người thực thi pháp luật, quản trị rủi ro và các nhà chiến lược kinh doanh

all in the same persona.

tất cả trong cùng một cơ thể.

And they help us protect our modern life that we like so much.

Và họ giúp ta bảo vệ cuộc sống hiện đại mà chúng ta yêu quý.

They protect our identities, our inventions, our intellectual property,

Họ bảo vệ danh tính, phát minh, tài sản trí tuệ của ta,

our electric grid, medical devices,

lưới điện, thiết bị y tế của chúng ta,

connected cars and myriad other things.

ô tô kết nối và vô số thứ khác.

And I'd like to be on that team.

Và tôi muốn được ở trong nhóm đó.

So let's agree that this thing is with us to stay,

Vậy nên hãy đồng ý rằng an ninh mạng sẽ ở lại với chúng ta,

let's create a safe environment to learn from our mistakes,

hãy tạo ra một môi trường an toàn để học hỏi từ những lỗi sai

and let's commit to making things better.

và hãy cam kết sẽ làm cho mọi thứ tốt hơn.

Thank you.

Xin cảm ơn.