Chính sách cho an toàn thông tin cần tạo thông thoáng cho doanh nghiệp

Hội thảo về An toàn thông tin trên nền tảng trí tuệ nhân tạo và thiết bị thông minh vào ngày 22.11, được tổ chức tại TP.HCM bởi Chi hội An toàn thông tin phía Nam, với sự bảo trợ của UBND TP.HCM.

Quang cảnh hội thảo Ngày An toàn thông tin Việt Nam 2018 tại TP.HCM ngày 22.11.2018.

Điểm sáng trong an toàn thông tin: doanh nghiệp sử dụng dịch vụ trên đám mây, thuê dịch vụ ngoài

Khảo sát hiện trạng an toàn thông tin (ATTT) năm 2018 khu vực phía Nam với gần 200 cơ quan, tổ chức và danh nghiệp khác nhau cho thấy bức tranh khá ảm đạm. Những vấn đề chính cản trở sự phát triển ATTT là sự quan tâm thực sự của lãnh đạo (39%), khả năng phân loại hệ thống Công nghệ thông tin (CNTT) dưới góc nhìn của ATTT, kinh phí đầu tư cho ATTT, khả năng đánh giá được hiệu quả của đầu tư cho ATTT.

Tuy nhiên, kết quả khảo sát cũng cho thấy có một số tín hiệu tốt. Khảo sát cho thấy, biện pháp kỹ thuật phổ biến nhất để bảo vệ hệ thống CNTT là tường lửa (56%), phần mềm Anti-Virus (50%) và hệ thống ghi log phục vụ giám sát, điều tra (47%). Đặc biệt, số doanh nghiệp triển khai hệ thống quản lý thông tin và sự kiện ATTT (Security Information and Event Management - SIEM) chiếm 18% trong tổng số DN được khảo sát.

Ngoài ra, để bảo vệ hệ thống máy chủ và các ứng dụng, bên cạnh 2 biện pháp phổ biến nhất là tường lửa và chống mã độc, doanh nghiệp đặc biệt quan tâm tới kiểm soát truy cập (Access Control) từ các thiết bị di động và thiết bị ở xa (chiếm 53%), và chống leo thang đặc quyền (48%). Tường lửa mức ứng dụng và sử dụng máy chủ dự phòng chạy song song cùng máy chủ chính cũng được nhiều doanh nghiệp triển khai (41% và 40%).

Đối với bảo vệ dữ liệu, các biện pháp được các DN sử dụng nhiều nhất là mã hóa dữ liệu, sao lưu dự phòng, chữ ký số, giải pháp chống thất thoát dữ liệu (Data Loss Prevention – DLP – chiếm 28%).

Điểm đáng chú ý, Khảo sát năm nay cũng đánh giá, việc sử dụng dịch vụ trên đám mây, thuê ngoài dịch vụ ATTT là những điểm sáng nổi bật với các doanh nghiệp.

Trình bày Khảo sát, TS Trịnh Ngọc Minh, Phó Chủ tịch Chi hội ATTT phía Nam cho biết, sử dụng điện toán đám mây, sử dụng mô mình thuê dịch vụ trên đám mây (SaaS) ngày càng phổ cập, với một nửa số doanh nghiệp (50%) đang sử dụng đám mây, cùng khá nhiều (20%) dự kiến sẽ sử dụng.

Biện pháp “cầu viện” đến Doanh nghiệp bên ngoài và sử dụng dịch vụ thuê ngoài là biện pháp được lựa chọn nhiều nhất (36%) trong khả năng xử lý sự cố (Incident Response). Tiếp theo là báo cáo và sử dụng tổ chức cấp trên theo ngành dọc (14%). Theo Khảo sát, đây là một tín hiệu tốt cho các tổ chức cung cấp đảm bảo ATTT thuê ngoài - một mô hình chuyên môn hóa công việc, trong đó ATTT cũng là một dịch vụ có thể thuê ngoài. Đa số (61%) đơn vị có chủ trương và đã tiến hành thuê ngoài cho dịch vụ ATTT (ngược lại với 18% chủ trương tự làm ATTT).

Chính sách cần tập trung bảo đảm an ninh, an toàn mạng các hệ thống hạ tầng trọng yếu của xã hội, tạo sự thông thoáng cho doanh nghiệp

Trong một “góc” hiện trạng ATTT khảo sát như trên, theo ông Ngọc Minh, một bức tranh tổng quan về ATTT tại Việt Nam - được miêu tả từ góc nhìn về khả năng tấn công mạng của tin tặc - cho thấy: khả năng bị tấn công có chủ đích (APT) với các tổ chức tài chính và hạ tầng trọng yếu đã được đưa vào tình trạng “cảnh báo khẩn” (từ Trung tâm ứng cứu khẩn cấp máy tính Việt Nam - VNCERT).

Theo VNCERT, trong những tháng đầu năm 2018, luôn có gần 100.000 địa chỉ mạng của Việt Nam hàng ngày kết nối đến mạng lưới máy tính ma. Ảnh minh họa

Cụ thể năm qua, Việt nam bị tấn công chủ yếu bởi mã độc, thay đổi giao diện web (deface) và lừa đảo (phishing).

Trong đó, tấn công thay đổi trang chủ (deface) là nguy cơ rõ ràng vì các trang chủ của chúng ta thường có nhiều sơ hở. Như Bộ Công an đã tiến hành kiểm tra 80 Trang tin/cổng thông tin điện tử của các cơ quan nhà nước đầu năm 2018 và phát hiện 29 Trang tin/cổng thông tin điện tử còn tồn tại lỗ hổng bảo mật nghiêm trọng, có nguy cơ rất cao bị xâm nhập và tấn công.

Mức độ bị xâm nhập của Việt nam vẫn rất cao. Theo VNCERT, trong những tháng đầu năm 2018, luôn có gần 100.000 địa chỉ mạng của Việt Nam hàng ngày kết nối đến mạng lưới máy tính ma. Điều này cũng tương đồng với thống kê của trang securelist.com cho thấy Việt Nam xếp thứ 17 trong các quốc gia có người dùng gặp các nguy cơ lây nhiễm cao khi online; xếp thứ 2 trong 15 quốc gia có mức độ lây nhiễm mã độc máy tính cao nhất.

Bên cạnh đó, người dùng Việt Nam đã bị rò rỉ thông tin qua các sự cố liên quan tới các công ty cung cấp dịch vụ thương mại điện tử, giao dịch trực tuyến có số lượng người dùng và truy cập với số lượng lớn…; và tiếp tục có nguy cơ nghiêm trọng trong thất thoát thông tin cá nhân khi sử dụng các dịch vụ, mạng xã hội (như vừa qua có 163 triệu tài khoản Zing ID của VNG, 5 triệu email cùng 31 ngàn bản ghi giao dịch của Thế giới di động bị rao bán).

Thống kê cho thấy, Việt Nam nằm trong top 10 những quốc gia có khả năng mất thông tin cá nhân trên Facebook, và có tới 35% của 50 triệu người dùng Internet tại Việt nam có khả năng bị tấn công (đứng thứ 6).

Mạng Internet cũng trở thành công cụ cho hoạt động phi pháp như đánh bạc. Hiện nay, Việt Nam đang xét xử vụ án đánh bạc trên Internet quy mô lớn nhất trong lịch sử Việt Nam với trên 40 triệu tài khoản đánh bạc và gần một chục ngàn tỉ đồng doanh thu từ bài bạc…

Trong bối cảnh đó - trình bày Khảo sát, ông Ngọc Minh cho biết - Luật An ninh mạng (đã được Quốc hội thông qua vào 12.6.2018, và sẽ có hiệu lực từ ngày 1.1.2019) là một trong những sự kiện tiêu biểu về ATTT của Việt Nam vừa qua. Trong đó, hiện nay Dự thảo Nghị định qui định chi tiết một số điều luật quan trọng của Luật An ninh mạng đang được xem xét, góp ý để đưa Luật vào cuộc sống.

Theo đó, Khảo sát năm nay khuyến nghị, các doanh nghiệp cần luôn tiến hành song song công tác ứng dụng các thành tựu do CNTT mang lại như số hóa, điện toán đám mây, đô thị thông minh, trí tuệ nhân tạo với việc bảo đảm ATTT, đảm bảo sự phát triển bền vững của Doanh nghiệp trong môi trường số hóa mới.

Doanh nghiệp cũng cần có kế hoạch từng bước hoàn thiện hệ thống đảm bảo ATTT theo xu hướng lấy hiệu quả kinh tế làm trọng tâm, đẩy mạnh sự tham gia trực tiếp của các cấp lãnh đạo, các bộ phận kinh Doanh trong chương trình ATTT...

Riêng đối với cơ quan quản lý Nhà nước, Khảo sát khuyến nghị cần hoàn thiện cơ sở pháp lý giúp đảm bảo ATTT tốt hơn, tạo sự thông thoáng cho doanh nghiệp.

Cơ quan quản lý Nhà nước cần tập trung vào bảo đảm an ninh, an toàn mạng cho các hệ thống hạ tầng trọng yếu của xã hội.

Đồng thời là đẩy mạnh hơn nữa chính quyền điện tử để tận dụng khả năng của CNTT.

Theo kết quả Khảo sát về hiện trạng ATTT phía Nam năm nay, dù có tới 80% tổ chức chưa có bộ phận chuyên trách, tuy nhiên 70% tổ chức đã có nhân sự phụ trách ATTT. Các nhân sự về ATTT đa phần được đào tạo bài bản từ đại học về ATTT (65%) và rất nhiều (84%) được trải qua các khóa tập huấn về ATTT. Trao đổi về vấn đề Nguồn nhân lực và đào tạo ATTT (ảnh), theo các diễn giả, nhân sự ATTT của Việt Nam hiện nay vừa thiếu lại vừa thừa; chất lượng nhân sự yếu. Nói về thực tế sử dụng nhân sự ATTT ở môi trường làm việc nhà nước hiện nay, ông Nguyễn Trọng Đường, giám đốc VNCERT (thuộc Bộ Thông tin truyền thông) cho biết: là cơ quan nhà nước, do lương thấp nên chỉ tuyển chọn người có trình độ trung bình; nhưng chỉ cần đam mê, với môi trường nhiều thử thách, thì thực tế cho thấy các bạn trở thành chuyên gia ATTT rất nhanh. Còn ông Nguyễn Anh Tuấn, Phó hiệu trưởng ĐH Công nghệ thông tin (thuộc ĐH Quốc gia TP.HCM) thì cho biết, thực tế cho thấy sự cạnh tranh nhân sự ATTT giữa môi trường cơ quan nhà nước và tư nhân rất khốc liệt. SV ra trường chủ yếu làm ở các công ty nước ngoài, công ty lớn ở nước ngoài, ngân hàng. “Hiện nay mỗi năm, trường đào tạo ra thị trường khoảng 80 - 90 nhân sự về ATTT. Chúng tôi không định hướng SV phải làm gì, ở đâu, mà luôn khuyến khích các em bung hết khả năng của mình, có điều kiện thì bay cao bay xa để phát triển năng lực của mình. Đó cũng là một cách đóng góp có hiệu quả về phát triển nhân sự ATTT", ông Tuấn nói. Hiện cả nước có 13 cơ sở đào tạo nhân sự ATTT, trong đó có 8 trường/cơ sở trọng điểm.

Lê Quỳnh