Vá 'lỗ hổng' trong bảo đảm an toàn thông tin

Hơn 144.000 cuộc tấn công mạng và hàng loạt nguy cơ

Công nghệ thông tin ngày càng được ứng dụng nhiều trong mọi lĩnh vực đời sống xã hội, do đó vấn đề bảo đảm ATTT càng cần được quan tâm, chú trọng. Tuy nhiên, phần lớn người dùng lại “quên” việc này; hoặc suy nghĩ giản đơn rằng, mất ATTT là việc máy vi tính bị nhiễm vi-rút, làm chậm hoặc cản trở một vài thao tác trong công việc. Sự chủ quan đó khiến cho không chỉ máy vi tính bị tấn công, nhiễm mã độc, bị đánh cắp thông tin, mã hóa dữ liệu, tống tiền… mà còn có thể bị biến thành những “gián điệp” theo dõi toàn bộ hoạt động của tổ chức. Các cuộc tấn công mạng vẫn tiếp tục tăng về quy mô và số lượng, nhất là các cuộc tấn công mạng có chủ đích dẫn đến lộ, lọt thông tin. Điển hình như mới đây, ngày 13-5, một cuộc tấn công mạng dưới dạng đánh cắp và mã hóa dữ liệu để đòi tiền chuộc xảy ra trên quy mô toàn cầu, trong đó nước ta là một trong những quốc gia bị ảnh hưởng nặng nề nhất...

Việc lây nhiễm phần mềm độc hại, nhất là các phần mềm độc hại mã hóa dữ liệu để tống tiền tăng cao. Đặc biệt, hình thức lây nhiễm các loại phần mềm này cũng được mở rộng, thậm chí có thể lây lan qua các mạng xã hội. Theo nhận định của Bộ TT&TT, lừa đảo trực tuyến, nhất là lừa đảo trên mạng xã hội và qua tin nhắn vẫn còn phổ biến. Nhiều người sử dụng do cả tin, nhận thức về ATTT còn hạn chế nên dễ bị mắc lừa dẫn đến thiệt hại về kinh tế. Tình trạng lộ, lọt thông tin cá nhân của người sử dụng dịch vụ đang ở mức báo động. Điển hình là hiện tượng người sử dụng bị mất tiền trong các tài khoản ngân hàng thường xuyên xảy ra.

Nguy cơ mất ATTT trên các thiết bị công nghệ ngày càng thể hiện rõ nét. Nhiều cuộc tấn công từ chối dịch vụ phân tán (DDoS) có lưu lượng tấn công lớn với nguồn tấn công là các thiết bị như: Router, camera an ninh... đã xảy ra, gây thiệt hại và ảnh hưởng hoạt động của nhiều doanh nghiệp cung cấp dịch vụ viễn thông, internet cũng như các doanh nghiệp cung cấp dịch vụ trực tuyến.

Trong báo cáo gửi Ủy ban Thường vụ Quốc hội mới đây, Bộ TT&TT cho biết, năm 2016, Trung tâm Ứng cứu khẩn cấp máy tính Việt Nam (VNCERT) ghi nhận tổng cộng 144.375 sự cố tấn công mạng của cả ba loại hình phishing (gửi đường link và email giả mạo nhằm đánh cắp thông tin của người sử dụng), malware (phần mềm phá hoại) và deface (tấn công thay đổi nội dung). Quý I-2017, VNCERT cũng đã ghi nhận 3.692 sự cố tấn công mạng, trong đó có 16 website liên quan đến cơ quan nhà nước, có tên miền “gov”.

Ảnh minh họa/TTXVN

“Lỗ hổng” ở đâu?

Cũng trong báo cáo trên, Bộ TT&TT cho biết, dù chỉ số ATTT Việt Nam mỗi năm đều tăng so với năm trước, năm 2016 là 59,9% so với 46,4% năm 2015 và 39% năm 2014, nhưng ATTT mạng còn là thách thức rất lớn đối với nước ta. “Lỗ hổng” chính là do nhiều cơ quan, tổ chức, doanh nghiệp trong nước đang buông lỏng, hầu như không áp dụng các biện pháp tối thiểu để bảo đảm ATTT và chưa có quy trình thao tác chuẩn để ứng phó khi sự cố xảy ra. Mấu chốt của việc bảo đảm ATTT bắt nguồn từ nhận thức, nhưng về cơ bản, hầu hết các cơ quan, tổ chức vẫn còn bị động, dù Bộ TT&TT đã có nhiều cảnh báo. Đặc biệt, công tác bảo đảm ATTT cho hệ thống thông tin quan trọng quốc gia vẫn chưa được quan tâm đúng mức. Theo ông Nguyễn Trọng Đường, Giám đốc VNCERT: “Kinh phí đầu tư cho ATTT còn hạn hẹp, phần lớn được đầu tư mua sắm thiết bị, chưa chú trọng đầu tư cho con người, quy trình, dịch vụ, cho công tác dự phòng rủi ro, phương án ứng cứu”.

Ông Nguyễn Trọng Đường cũng chỉ ra rằng, nhiều tổ chức, doanh nghiệp chưa chú trọng đến việc xây dựng quy trình và quy định về an toàn, bảo mật thông tin. Thậm chí, không ít tổ chức, doanh nghiệp vẫn sử dụng các phần mềm bẻ khóa hoặc có nguồn gốc không rõ ràng, gây ra nhiều lỗ hổng và nguy cơ mất ATTT mạng. Số tổ chức, doanh nghiệp đầu tư xây dựng quy trình bảo đảm ATTT theo chuẩn ISO 27001 chưa nhiều, hoặc có nhưng áp dụng chưa nghiêm túc, đầy đủ.

Còn ông Vũ Bảo Thạch, Tổng giám đốc Công ty Cổ phần Phát triển phần mềm và Hỗ trợ công nghệ Misoft cho rằng: “Nhiều doanh nghiệp sẵn sàng đầu tư hàng tỷ đồng để mua một thiết bị và mất thêm cả tỷ đồng mỗi năm để cập nhật phần mềm, nhưng lại rất đắn đo khi thuê dịch vụ giám sát, bảo vệ an toàn mạng với giá chỉ vài trăm triệu đồng mỗi năm. Họ không hiểu rằng, thiết bị, phần mềm ATTT sẽ chẳng có ích gì nếu thiếu chuyên gia để khai thác, sử dụng”.

Theo đánh giá của Bộ TT&TT, hiện nay, nguồn nhân lực cho công tác bảo đảm ATTT còn mỏng, cơ quan nhà nước khó thu hút nhân tài về công nghệ thông tin; hệ thống tiêu chuẩn, quy chuẩn kỹ thuật còn thiếu; tỷ lệ lây nhiễm phần mềm độc hại ở mức cao; nguồn lực đầu tư còn hạn chế; thị trường sản phẩm, dịch vụ ATTT chưa phát triển.

Trước sự bùng nổ của các thiết bị công nghệ và internet thì việc bảo đảm ATTT là vấn đề sống còn của các doanh nghiệp, tổ chức; đồng thời là hình ảnh và mức độ tin cậy của Việt Nam đối với quốc tế trong lĩnh vực công nghệ thông tin. Thực tế đó đòi hỏi các cơ quan quản lý nhà nước, các tổ chức, cá nhân phải nâng cao nhận thức chung và thống nhất hợp tác trong xử lý các tình huống về ATTT. Bên cạnh đó, cần xây dựng cơ chế phối hợp và chia sẻ thông tin giữa các cơ quan, tổ chức và có sự điều phối chung của Nhà nước, trong đó lấy con người làm nguồn lực chính, phát triển công nghệ ATTT phù hợp đặc thù Việt Nam, đẩy mạnh các hoạt động khuyến khích cộng đồng tham gia vào lĩnh vực hoạt động này.

HOÀI AN