An ninh vận hành bắt đầu bằng một mô hình mối đe dọa thực tế
An ninh vận hành cá nhân có nghĩa là quyết định thông tin nào có thể tạo ra tổn hại có ý nghĩa, ai có thể tìm kiếm nó, họ có thể có được nó như thế nào, và những biện pháp phòng ngừa nào là cân xứng. Một quan chức công đối mặt với quấy rối có chủ đích, một người sống sót đang trốn tránh kẻ bạo hành, và một gia đình tránh các trò lừa đảo thông thường không nên tuân theo cùng một cẩm nang. Cố gắng trở nên vô hình có thể tiêu tốn thời gian, cô lập mọi người, và vẫn thất bại vì hồ sơ công khai, bài đăng của người khác, và dữ liệu bị vi phạm vẫn còn tồn tại.
AI thay đổi các phần của mối đe dọa: nó có thể giúp biến các sự thật rải rác thành một cái cớ được tùy chỉnh, dịch tin nhắn, và tạo ra sự mạo danh giọng nói, hình ảnh, và video hợp lý. Nó không khiến mọi người trở thành đối tượng của sự giám sát thông minh liên tục. Phản ứng bền vững là tối thiểu hóa dữ liệu, kiểm soát truy cập, xác minh độc lập, và một kế hoạch cho các tổn hại cụ thể quan trọng.
Đây là hướng dẫn tổng quát cho hộ gia đình Hoa Kỳ, không phải tư vấn pháp lý hoặc một kế hoạch an toàn cho việc theo dõi, bạo hành gia đình, bảo vệ nhân chứng, hoặc một cuộc tấn công mạng có chủ đích. Nếu một người khác có thể giám sát tài khoản hoặc thiết bị của bạn, việc thay đổi mật khẩu, chia sẻ vị trí, hoặc cài đặt gia đình có thể cảnh báo họ. Hãy sử dụng một thiết bị an toàn hơn và liên hệ với một người ủng hộ, luật sư, hoặc chuyên gia bảo mật đủ trình độ trước khi hành động.
Lập bản đồ thông tin với tổn hại
Hãy liệt kê thông tin có thể cho phép một hành động cụ thể chống lại hộ gia đình: địa điểm nhà và công việc, việc di chuyển theo thời gian thực, lịch trình trường học và quyền nuôi con của trẻ em, số điện thoại, tên người thân, bản ghi âm giọng nói và khuôn mặt, chi tiết khôi phục tài khoản, thói quen y tế, và các mối quan hệ thẩm quyền tài chính. Sau đó đánh dấu nơi mỗi thứ xuất hiện: hồ sơ mạng xã hội, hồ sơ công khai, nhà môi giới dữ liệu, trang web doanh nghiệp, danh sách câu lạc bộ, ứng dụng thể dục, lịch, ứng dụng xe hơi hoặc nhà, và tài khoản người thân.
Hãy ưu tiên các tổ hợp. Tên một con vật cưng có thể vô hại một mình nhưng hữu ích khi nó cũng là một gợi ý mật khẩu; một bức ảnh kỳ nghỉ trở nên có hậu quả hơn khi được đăng trực tiếp với một địa chỉ và một tín hiệu nhà trống. Hãy giảm tổ hợp cho phép tổn hại, không phải mọi sự thật thông thường.
Trì hoãn việc tiết lộ vị trí và thói quen
Hãy đăng chuyến đi, sự kiện, và hoạt động của trẻ em sau khi rời đi thay vì theo thời gian thực. Hãy vô hiệu hóa vị trí chính xác trong ứng dụng camera và mạng xã hội trừ khi cần thiết. Hãy xem lại album được chia sẻ, check-in bản đồ, tuyến đường thể dục, ứng dụng xe hơi, hồ sơ giao hàng, và các dịch vụ vị trí gia đình. Một tài khoản riêng tư làm giảm sự phơi bày ngẫu nhiên nhưng không ngăn chặn ảnh chụp màn hình hoặc quyền truy cập bởi một người theo dõi bị xâm phạm.
Đừng công bố trường học, đồng phục, tuyến đường hằng ngày, giờ đón, và người chăm sóc thường xuyên của một đứa trẻ cùng nhau. Hãy hỏi các trường học, đội thể thao, nơi thờ phượng, và câu lạc bộ về cách ảnh, tên, và danh sách được chia sẻ. Hãy cho người thân một sở thích đăng bài rõ ràng và tôn trọng các lựa chọn phù hợp lứa tuổi của trẻ em về hình ảnh của chúng.
Chia sẻ vị trí theo thời gian thực có thể có giá trị cho sự an toàn. Hãy chia sẻ nó với những người được nêu tên cho một mục đích xác định và xem lại quyền truy cập sau các chuyến đi, thay đổi mối quan hệ, và nâng cấp thiết bị. Hãy tránh các liên kết vĩnh viễn trong các trò chuyện nhóm mà thành viên thay đổi.
Coi giọng nói và khuôn mặt là dữ liệu có thể tái sử dụng
Bạn không cần dừng mọi cuộc gọi video hoặc ảnh gia đình. Tuy nhiên, hãy giả định rằng các bản ghi âm công khai rõ ràng có thể hỗ trợ sự mạo danh. Hãy sử dụng đối tượng riêng tư cho âm thanh hoặc video kéo dài của trẻ em và người thân lớn tuổi khi khả thi. Hãy loại bỏ chi tiết hộp thư thoại công khai không cần thiết. Hãy tránh các lời nhắc công khai mời mọi người nói tên đầy đủ, ngày sinh, địa chỉ, hoặc thông tin tài khoản của họ trên máy quay.
FBI đã cảnh báo rằng tội phạm sử dụng ảnh công khai và giọng nói được tạo bởi AI để mạo danh những người đã biết và khuyên các gia đình nên xác nhận độc lập các liên hệ và sử dụng một cụm từ bí mật. Cảnh báo nhắn tin độc hại hiện tại của FBI liệt kê những biện pháp phòng ngừa đó.
Hạn chế phương tiện truyền thông là sự cản trở, không phải miễn dịch. Một người quyết tâm có thể có được mẫu ở nơi khác, và ngay cả một giọng nói thật cũng có thể được phát lại. Sự kiểm soát mạnh mẽ hơn là không có giọng nói, khuôn mặt, số hiển thị, hoặc tài khoản quen thuộc nào một mình có thể cho phép tiền, thông tin xác thực, thông tin riêng tư, hoặc một địa điểm gặp gỡ thay đổi.
Loại bỏ các điểm tổng hợp dễ dàng
Các trang tìm kiếm người tổng hợp hồ sơ công khai, hồ sơ mạng xã hội, và thông tin được môi giới. Hãy tìm kiếm mỗi người lớn bằng tên, các địa chỉ trước đây, số điện thoại, và người thân gần gũi. Hãy sử dụng quy trình xóa của chính trang web khi phù hợp; FTC giải thích cách các trang tìm kiếm người hoạt động và cách tìm các tùy chọn từ chối.
Việc từ chối có thể không hoàn chỉnh, có thể không ảnh hưởng đến hồ sơ nguồn, và có thể cần lặp lại. Hãy giữ một danh sách có ngày tháng về các yêu cầu và tên thay thế. Chỉ cung cấp thông tin xác minh được yêu cầu, che khuất các chi tiết không cần thiết khi được chấp nhận, và tránh một dịch vụ không quen thuộc đòi hỏi các tài liệu danh tính rộng rãi mà không giải thích sự bảo vệ và lưu giữ.
Hãy cũng xem lại nguồn: hồ sơ cử tri, bất động sản, doanh nghiệp, tòa án, giấy phép nghề nghiệp, hoặc hồ sơ khác có thể có một quy trình bảo mật hoặc sửa đổi địa chỉ hợp pháp, đặc biệt đối với những người được bảo vệ. Tính khả dụng khác nhau theo khu vực pháp lý; hãy tham khảo cơ quan hoặc người ủng hộ liên quan thay vì nộp thông tin sai.
Tách biệt đối tượng và vai trò
Hãy sử dụng các bí danh hoặc địa chỉ email khác nhau cho các câu hỏi công khai, mua sắm, khôi phục nhạy cảm, và công việc khi có thể quản lý được. Đừng sử dụng địa chỉ của người sử dụng lao động làm phương thức khôi phục duy nhất cho các tài khoản cá nhân. Hãy cân nhắc một số điện thoại hướng công khai riêng biệt cho một vai trò kinh doanh, chiến dịch, danh sách, hoặc tình nguyện, nhưng hãy bảo mật tài khoản nhà mạng và hộp thư thoại của nó.
Hãy giữ các tài khoản quản trị viên và hằng ngày tách biệt trên các thiết bị chung. Hãy cho khách và sản phẩm nhà thông minh mạng riêng của họ khi được hỗ trợ — Bảo mật Mạng và Thiết bị Gia đình bao gồm cách cấu hình sự phân đoạn khách và IoT đó trong thực tế. Đừng để một hồ sơ mạng xã hội công khai tiết lộ email nào là điểm neo khôi phục cho các tài khoản tài chính.
Sự tách biệt làm giảm sự liên kết chéo và làm cho một kênh bị lộ dễ thay thế hơn; nó không phải là một lời hứa về sự ẩn danh. Các công ty và nhà môi giới vẫn có thể tương quan các mã định danh. Hãy sử dụng nó để hạn chế hậu quả, không phải để đưa ra các tuyên bố bạn không thể xác minh.
Biến khả năng chống lại cái cớ thành một thói quen hộ gia đình
Một cái cớ kết hợp các chi tiết thật với một danh tính hoặc mục đích giả: một “nhân viên trường học” biết tên một đứa trẻ, một “kỹ thuật viên IT” biết một người sử dụng lao động, hoặc một “người thân” biết kế hoạch đi lại. Sự trôi chảy và kiến thức cá nhân không phải là xác thực.
Đối với liên hệ bất ngờ liên quan đến tiền, quyền truy cập, bí mật, tệp, hoặc dữ liệu cá nhân:
- Hãy hỏi tên, tổ chức, và mục đích của người đó mà không xác nhận thông tin.
- Kết thúc liên hệ.
- Tìm số điện thoại hoặc ứng dụng của tổ chức một cách độc lập.
- Liên hệ với một người đã biết hoặc bộ phận đã được xác minh.
- Yêu cầu đánh giá thứ hai trước một hành động không thể đảo ngược.
Không bao giờ tiết lộ một mã dùng một lần, mã khôi phục, mật khẩu, hoặc cụm từ gia đình cho một người gọi đến. Đừng cài đặt phần mềm hoặc mở một tài liệu theo chỉ dẫn của họ. Một tổ chức thật có thể chấp nhận một cuộc gọi lại độc lập.
Hãy đào tạo mà không lừa dối người thân trong các bài kiểm tra. Hãy giải thích quy tắc chung và khen ngợi sự tạm dừng. Một người từ chối một yêu cầu đang tuân theo chính sách, không phải bất lịch sự.
Chuẩn bị cho việc tiết lộ thông tin cá nhân và mạo danh
Hãy viết một kế hoạch ứng phó nhỏ trước một sự cố. Hãy xác định ai ghi lại các bài đăng, ai liên hệ với các nền tảng hoặc người sử dụng lao động, ai lên tiếng công khai nếu cần thiết, và ai kiểm tra trẻ em hoặc người thân lớn tuổi. Hãy bảo tồn URL, tên người dùng, dấu thời gian, ảnh chụp màn hình, và tin nhắn gốc mà không liên tục tương tác với kẻ quấy rối.
Hãy nói với các liên hệ thân thiết đừng khuếch đại nội dung sai trong khi cố gắng bác bỏ nó. Hãy sử dụng một kênh đã biết để công bố một sự sửa chữa ngắn chỉ khi làm vậy giảm tổn hại. Hãy liên hệ với một nền tảng thông qua quy trình báo cáo chính thức của nó. Các mối đe dọa, theo dõi, gọi báo giả (swatting), lạm dụng hình ảnh thân mật, và trộm cắp danh tính có thể cần cơ quan thực thi pháp luật, một luật sư, nhân viên an toàn trường học, hoặc người ủng hộ nạn nhân; phản ứng phụ thuộc vào sự thật và khu vực pháp lý.
Nếu một bài đăng trực tuyến chứa chi tiết nhà, hãy xem lại an toàn thể chất một cách bình tĩnh: liên hệ hộ gia đình, ổ khóa, camera, ủy quyền đón trẻ ở trường, lễ tân nơi làm việc, và xử lý thư. Đừng đưa ra các đe dọa công khai hoặc cố gắng xác định thủ phạm thông qua đối đầu rủi ro.
Bảo vệ khôi phục và bằng chứng
OPSEC thất bại nếu các con đường khôi phục tài khoản vẫn công khai hoặc lỗi thời. Hãy bảo mật email chính, trình quản lý mật khẩu, tài khoản nhà mạng di động, tài khoản ảnh đám mây, và nền tảng mạng xã hội với thông tin xác thực duy nhất và MFA chống lừa đảo khi có thể. Hãy xem lại các phiên và liên hệ khôi phục. Củng cố Danh tính Số bao gồm passkey, bộ xác thực dự phòng, và đóng băng tín dụng.
Hãy giữ một danh sách ngoại tuyến các liên kết báo cáo nền tảng, số điện thoại gian lận tài chính, và liên hệ đáng tin cậy. Nếu sự xâm phạm xảy ra, hãy làm việc từ một thiết bị bạn có lý do để tin tưởng, thu hồi các phiên không xác định, và bảo tồn bằng chứng trước khi xóa tài khoản. Hãy báo cáo tội phạm liên quan đến internet qua IC3.gov khi phù hợp, gõ địa chỉ trực tiếp thay vì theo một quảng cáo hoặc liên kết “đại lý” không mời.
Đánh giá lại mà không sống trong tình trạng cảnh giác
Hãy xem lại các tiết lộ rủi ro cao sau khi chuyển nhà, ly thân, công việc mới, tranh cãi công khai, thay đổi trường học của trẻ, hoặc một sự kiện quấy rối. Đối với các hộ gia đình thông thường, một kiểm tra hai lần một năm về cài đặt quyền riêng tư, sự phơi bày trên các trang tìm kiếm người, vị trí được chia sẻ, bài đăng công khai, và khôi phục tài khoản thường bền vững hơn việc giám sát hằng ngày.
OPSEC cá nhân tốt không đòi hỏi sự sợ hãi mọi camera hoặc im lặng trực tuyến. Nó có nghĩa là hộ gia đình biết những tổ hợp thông tin nào tạo ra đòn bẩy, cố ý tiết lộ chúng, và từ chối để sự chân thực hoặc sự khẩn cấp thay thế sự xác minh.