EnglishTheo đại diện Cục An toàn thông tin (Bộ TT&TT), hiện các doanh nghiệp (DN) đang tập trung đầu tư rất nhiều cho an toàn thông tin (ATTT) trước những nguy cơ mới mà quên đi việc giải quyết những lỗ hổng, nguy cơ tiềm tàng hoặc đã nằm sẵn trong hệ thống.
Thông tin trên được ông Trần Đăng Khoa, Phó Cục trưởng phụ trách Cục ATTT (Bộ TT&TT) chia sẻ tại Hội thảo Công nghệ thông tin (CNTT) và ATTT 2023 tổ chức ngày 22/11.
Phát biểu tại Hội thảo, ông Trần Đăng Khoa cho biết, Việt Nam đang trong quá trình chuyển đổi số (CĐS) mạnh mẽ với quyết tâm của Chính phủ và sự đồng hành của người dân, doanh nghiệp (DN). Việc xây dựng chính phủ số, phát triển kinh tế số (KTS), xã hội số (XHS) là mục tiêu to lớn mà Việt Nam đang hướng tới.
Trong đó, không gian mạng là “ngôi nhà chung” cho mọi người dân và không một ai muốn sống trong một môi trường lừa đảo, tấn công mạng, lạm dụng, khủng bố hay bạo lực.
Ngoài ra, trong bối cảnh các tổ chức, DN đã và đang CĐS với các hoạt động giao dịch được thực hiện rất nhiều trên không gian mạng, nhất là trong tương lai tới đây, khi Luật Giao dịch điện tử sửa đổi mới được Quốc hội thông qua đi vào hiệu lực. Nhưng song hành với đó, tổ chức, DN, người dân đang phải đối mặt với nhiều nguy cơ, thách thức về mất ATTT.
Quyết định số 964/QĐ-TTg về “Chiến lược An toàn, An ninh mạng quốc gia, chủ động ứng phó các thách thức từ không gian mạng đến 2025, tầm nhìn 2030” được phê duyệt ngày 10/8/2022 là kim chỉ nam cho hoạt động bảo đảm an toàn, an ninh mạng của cả quy mô quốc gia cũng như trong hoạt động của cơ quan nhà nước, DN.
5 khuyến nghị khi triển khai bảo đảm ATTT mạng
Cũng theo ông Khoa, các tổ chức, DN tham dự sự kiện hôm nay đều đã, đang hoặc sẽ triển khai các biện pháp bảo đảm ATTT mạng cho tổ chức mình, cho khách hàng của mình. Mỗi chúng ta đến đây hôm nay đều hy vọng có thêm những nhận thức mới. Tuy nhiên, nhận thức cần đưa đến hành động, và hành động cần mang lại kết quả tích cực.
Với mục tiêu đó, ông Khoa đã đưa ra 5 khuyến nghị khi triển khai bảo đảm ATTT mạng. Đầu tiên, các tổ chức cần tuân thủ đúng quy định pháp luật. Bởi vì, bảo đảm ATTT mạng vừa là bảo vệ DN, nhưng nó là trách nhiệm của tổ chức, DN, nhất là với các DN cung cấp dịch vụ trực tuyến cho người dân.
Khuyến nghị thứ 2 là việc đầu tư cho ATTT mạng cần chú trọng phát huy hiệu quả. Chúng ta có thể đầu tư hệ thống bảo vệ rất hoành tráng, nhưng nếu không phát hiện, ngăn chặn được tấn công mạng thì là không hiệu quả, là lãng phí. Trong bối cảnh nguồn lực khó khăn, cân đối được giữa chi phí và hiệu quả là vấn đề rất khó khăn.
Tuy nhiên, các chuyên gia, các DN an toàn an ninh mạng có thể giúp xử lý vấn đề này.
Tiếp theo, đó là cần thực hiện “đúng cách”, chú trọng giải quyết những nguy cơ tiềm tàng hoặc đã nằm sẵn trong hệ thống thông tin (HTTT) là ưu tiên hàng đầu.
Ông Khoa đã nêu ra một hiện trạng hiện nay là nhiều đơn vị tập trung đầu tư rất nhiều cho ATTT trước những nguy cơ mới, nhưng lại quên đi rằng, còn rất nhiều lỗ hổng, điểm yếu đã biết nhưng chưa được vá trên hệ thống. Dẫn đến hệ thống đang bị chiếm quyền điều khiển mà không biết vì kẻ tấn công đang nằm im chờ thời cơ hoặc đang đánh cắp thông tin, bí mật của tổ chức.
“Hãy giải quyết những nguy cơ đã nhận biết, những nguy cơ đang tồn tại trên hệ thống trước khi nghĩ đến việc đầu tư để bảo vệ mình trước nguy cơ mới”, ông Khoa bày tỏ.
Tiếp theo, đó là cần đảm bảo yếu tố “tổng thể”. Cho dù HTTT của tổ chức đã được triển khai nhiều giải pháp để bảo đảm ATTT nhưng như vậy là chưa đủ. Nguyên nhân là do tất nhiều hệ thống bị chiếm quyền điều khiển không phải xuất phát từ các cuộc tấn công mạng trực diện vào hệ thống mà đi theo đường vòng.
Trong một tổ chức, các cá nhân, nhất là cá nhân không có nền tảng kỹ thuật là điểm yếu rất lớn về ATTT. Họ dễ bị tấn công mạng, để từ đó tấn công leo thang đến các cá nhân khác, đến HTTT của tổ chức.
“Vì vậy, trang bị nhận thức, kỹ năng ATTT cho tất cả cán bộ của tổ chức, DN là rất quan trọng nhằm bảo vệ an toàn cho HTTT”, ông Khoa khẳng định.
Khuyến nghị cuối cùng là việc ưu tiên sử dụng sản phẩm, giải pháp và dịch vụ “Make in Vietnam”. Thực tiễn đã chứng minh Việt Nam có chuyên gia giỏi. DN Việt có đầy đủ sản phẩm, giải pháp đáp ứng tiêu chuẩn, tiêu chí kỹ thuật, phù hợp với nhu cầu của tổ chức, công ty và người dân.
Chưa kể, mỗi quốc gia có đặc thù riêng, thị trường Việt Nam có những đặc thù riêng với tình hình nguy cơ ATTT riêng, và các DN an toàn an ninh mạng Việt Nam đang hiểu rõ hơn về những đặc tính này. Do đó, các tổ chức trong nước có khả năng tập trung giải quyết các vấn đề, bài toán cụ thể cho từng DN phù hợp hơn với môi trường kinh doanh tại Việt Nam, thậm chí là đặt đòn bẩy, nền móng vững chắc, bảo vệ thành quả cho DN vươn xa ra toàn cầu.
Bên cạnh đó, các DN ATTT mạng Việt Nam có lợi thế về đội ngũ chuyên gia Việt luôn sẵn sàng hỗ trợ, ứng cứu sự cố nhanh chóng, trực tiếp cho DN. Đặc biệt, chuyên gia Việt mà có năng lực và chuyên môn đạt tiêu chuẩn quốc tế sẽ trở thành tấm khiên bảo vệ DN CĐS an toàn hơn, vững chắc hơn. “Tôi tin tưởng rằng khi đã xác định đúng đắn định hướng đầu tư ATTT cho tương lai số, các tổ chức, DN sẽ nhanh chóng đạt được những thành tựu to lớn, giúp xây dựng niềm tin số trên không gian mạng. Từ đó thúc đẩy kinh doanh, làm nền tảng vững chắc để chính phủ số, KTS và XHS phát triển bùng nổ mạnh mẽ”, ông Khoa kết luận.
Xoá bỏ sự bất đối xứng trong năng lực bảo đảm ATTT cho DN Việt
Trong bài chia sẻ với chủ đề “Rủi ro ATTT trong CĐS: Ai sẽ là mục tiêu tiếp theo”, ông Nguyễn Sơn Hải, Giám đốc, Công ty An ninh mạng Viettel cho biết, thống kê từ công cụ Viettel Threat Intelligence đã cho thấy, trong năm 2023, đã có đến 12 triệu tài khoản bị xâm nhập với 48 triệu bản ghi dữ liệu cá nhân, tổ chức bị rò rỉ được giao bán trên không gian mạng.
Thống kê từ công cụ Viettel Anti-DDoS cũng ghi nhận có đến 111.372 cuộc tấn công từ chối dịch vụ (DDoS) chiếm băng thông hơn 1Gbps và 6.982 vụ có băng thông hơn 5Gbps. Hầu hết đều vượt quá năng lực chống tấn công từ chối dịch vụ của DN và làm tê liệt hoạt động sản xuất kinh doanh.
Về động cơ tấn công của tội phạm mạng, theo ông Hải, có 2 nhóm, một là các đơn vị xây dựng các “vũ khí’ và được bán dưới dạng dịch vụ theo yêu cầu với mức giá từ 20 USD/tháng để bất kì ai cũng có thể mua được. Nhóm thứ 2 là để bán dữ liệu người dùng, đe doạ tống tiền, trục lợi tài chính.
Ông Hải khẳng định, khác với thế giới thực, trên không gian mạng rất khó thực thi pháp luật do xuyên biên giới, khó truy vết… Vì vậy, cần nâng cao nhận thức ATTT cho các tổ chức. Tuy nhiên, các đơn vị này gặp rất nhiều thách thức: Thiếu hụt nhân sự ATTT; Chi phí, ngân sách lớn; Hiệu quả trong vận hành khi mà một hệ thống ATTT phải đảm bảo 24/7 cùng một tri thức luôn được cập nhật liên tục; Khả năng đối phó sự cố, ngăn được tấn công trên diện rộng.
Đối với cấp lãnh đạo cao nhất của DN, khi bị tấn công thì sẽ ảnh hưởng lớn đến hoạt động kinh doanh của đơn vị mình, nhất là trong bối cảnh bất đối xứng trong năng lực ATTT, khi mà đối thủ có nguồn lực lớn và chuyên sâu về ATTT, khả năng kiểm soát luật pháp trên không gian mạng không dễ dàng, DN không chuyên sâu về ATTT.
Để giải quyết bài toán này, theo ông Hải, các tổ chức cần có người đồng hành phù hợp: Sống cùng vòng đời tổ chức; Cùng giải quyết các vấn đề; Nâng cao trưởng thành của tổ chức theo thời gian; Vượt qua khuôn khổ hợp đồng. Đồng thời, đối tác này cũng phải đảm bảo về tri thức, năng lực, cam kết, chi phí hiệu quả.
Từ đó, ông Hải đã giới thiệu chương trình Cybersecurity Maturity Program của Viettel Security khi có thể: Quản trị đo đạc mức độ trưởng thành và tư vấn; Tích hợp công nghệ bảo mật trên nền tảng chung; Cung cấp sản phẩm và dịch vụ chuyên nghiệp theo chi phí tối ưu; Tuyển dụng và đào tạo: Ứng cứu sự cố heo dõi thông tin tình báo liên quan đến tổ chức.
Khi ra mắt chương trình này, ông Hải cho biết, mục đích của Viettel là giúp các tổ chức cân bằng với các tội phạm có tổ chức. Bởi vì, bên cạnh nỗ lực của bản thân doanh nghiệp, khi có đối tác đồng hành thì sẽ giải quyết được triệt để bài toán về ATTT.
Tiếp theo, Công ty An ninh mạng Viettel mong muốn đưa ra một chương trình để DN có thể giảm được 30-40% chi phí so với mua sắm thông thường cũng như có thể đi cùng nhau trong dài hạn./.
