Đảm bảo an toàn, an ninh thông tin ngân hàng: Cần xây dựng "kịch bản" cụ thể cho mọi tình huống tấn công

Để góp phần nâng cao hiệu quả cho nhiệm vụ này, mới đây, Ban Cơ yếu Chính phủ, Tập đoàn Dữ liệu quốc tế Việt Nam (IDG) đã tổ chức hội thảo Vietnam Cyber Security 2021 với chủ đề "Đảm bảo an toàn, an ninh thông tin (ATANTT) ngành NH giai đoạn bình thường mới".

Các NH cần xây dựng các kịch bảnđể khắc phục sự cố khi bị tấn công

Đánh giá kết quả hiện trạng công tác này, Thiếu tướng Vũ Ngọc Thiềm, Trưởng ban Ban Cơ yếu Chính phủ, cho biết, số lượng các vụ tấn công vào hệ thống mạng năm 2021 vẫn tăng cao, đặc biệt các vụ tấn công truy cập trái phép mạng, lây nhiễm mã độc tăng 30% so với năm 2020 và Việt Nam vẫn nằm trong số quốc gia bị tấn công mạng, lây nhiễm mã độc nhiều.

Phương thức chủ yếu của các cuộc tấn công này thường trực tiếp vào hệ thống dữ liệu của NH, đối tác khách hàng, website, hệ thống, giao diện chuyển tiền… Bên cạnh đó, sự phát triển của các hoạt động thương mại, thanh toán điện tử ở Việt Nam đã tạo cơ hội để tội phạm mạng khai thác tấn công gây mất trật tự an ninh, bức xúc dư luận xã hội.

"Khi Việt Nam đang thúc đẩy mọi thanh toán không dùng tiền mặt thì nhiệm vụ của các bên cung cấp dịch vụ tài chính, các ngân hàng cần đảm bảo tăng cường các giải pháp bảo mật, đảm bảo an ATANTT là việc quan trọng, cấp thiết, ưu tiên hiện nay", Trưởng ban Ban Cơ yếu Chính phủ nhấn mạnh.

Đồng quan điểm về việc này, Thiếu tướng Nguyễn Văn Giang, Phó Cục trưởng Cục An ninh mạng và Phòng chống tội phạm sử dụng công nghệ cao, Bộ Công an cho biết, các đối tượng công nghệ cao khi tấn công vào hệ thống mạng đã gây ra hậu quả, hệ lụy tổn thất khó lường.

Tính đến nay, có 11,9 triệu tài liệu của 14 công ty, dịch vụ tài chính trên thế giới bị tin tặc tấn công, thu thập… Tại Việt Nam, hệ thống thông tin của các cơ quan Đảng, Chính phủ, tập đoàn kinh tế, tổng công ty, NH, tổ chức tài chính liên tục là mục tiêu hàng đầu để tin tặc tấn công.

Năm 2021, cơ quan chức năng đã phát hiện hàng nghìn trang, cổng thông tin điện tử Việt Nam bị tấn công chèn nội dung, thông điệp của tin tặc và thay đổi giao diện; phát hiện hàng nghìn địa chỉ IP của khách hàng, nhà cung cấp dịch vụ Internet trong nước bị tấn công mã độc.

"Các vụ tấn công mạng đã khiến lĩnh vực NH tổn thất hàng trăm tỷ đồng, đồng thời, gây ra các tình trạng mất an ninh, an toàn, lộ, lọt thông tin, dữ liệu các khách hàng vay, nợ, gửi tiền tiết kiệm…", Thiếu tướng Nguyễn Văn Giang nhấn mạnh.

Cũng theo Thiếu tướng Giang, bên cạnh nỗi lo thường trực bị tấn công, các NH hiện đang tồn tại các hạn chế: Chưa phổ biến nhiều kỹ năng cần thiết cho khách hàng khi sử dụng, thực hiện các giao dịch, dịch vụ trên không gian mạng; nhân viên NH chỉ chú trọng về chỉ tiêu, gia tăng số lượng khách hàng (chưa chấp hành tốt quy định về định danh khách hàng, phòng chống rửa tiền, nhiều tài khoản ngân hàng rách làm tăng nguy cơ rửa tiền, tài trợ khủng bố); công tác bảo mật thông tin khách hàng còn sơ hở (có tình trạng mua bán trái phép thông tin, dữ liệu khách hàng); chưa áp dụng mạnh mẽ các ứng dụng kỹ thuật, CNTT, các quy định phòng, chống rửa tiền, phong tỏa tài khoản thanh toán …

Do vậy, để đảm bảo ATANTT cho ngành NH, theo Thiếu tướng Giang, các NH cần chung sức, hợp lực từ nhiều phía (đối tác dịch vụ mạng, người sử dụng); cần sự hỗ trợ tích cực từ các đơn vị cung cấp giải pháp CNTT, bảo mật dữ liệu, cơ quan quản lý nhà nước, cơ quan Cục An ninh mạng và Phòng chống tội phạm sử dụng công nghệ cao, Bộ Công an.

Cùng với đó, các NH cần tập trung nâng cao nhận thức, kỹ năng phòng, chống tội phạm mạng cho cho cán bộ, nhân viên ngân hàng, khách hàng; xây dựng, ban hành, chấp hành nghiêm các quy trình nghiệp vụ NH về việc đóng, mở, giao dịch tài khoản; tăng cường phối hợp, trao đổi thông tin với cơ quan công an khi phát sinh các tình huống thực thế…

"Các NH phải tăng cường nâng cao tiềm lực về con người và phương tiện thông qua đào tạo, tập huấn, đặc biệt, đầu tư kinh phí xây dựng hệ thống giám sát, điều hành an ninh mạng (ANM) để theo dõi, ngăn chặn kịp thời các hành vi xâm nhập, tấn công mạng, đánh giá các điểm yếu, lỗ hổng mạng hệ thống tài chính NH và phải xây dựng các "kịch bản" cụ thể cho mọi tình huống tấn công để giảm thiểu tổn thất, hậu quả", Thiếu tưởng Giang nhấn mạnh.

Mã độc tấn công mạng đã phát triển và trở thành mối đe dọa phổ biến

Không chỉ nêu quan điểm tập chung cho các giải pháp kỹ thuật để nhận diện các cuộc tấn công mạng, ông Robert Trọng Trần, Phó Tổng giám đốc Dịch vụ rủi ro công nghệ & an toàn thông tin mạng của Ernst &Young Việt Nam cho rằng, các NH khi thực hiện công việc này cần tạo môi trường điều hành theo hướng mở, ở đó không có khoảng cách giữa ban lãnh đạo và các bộ phận, nhân viên kỹ thuật ATTT.

"Ngành tài chính, NH muốn đảm bảo ATANTT, khi ban lãnh đạo họp không thể thiếu thành phần tham dự là bộ phận nghiệp vụ ATANTT và bộ phận này cần phải được ưu tiên, chú trọng đầu tư nhằm nâng cao năng lực, trình độ", ông Robert Trọng Trần nhấn mạnh.

Trên quan điểm khác, ông Nguyễn Ngọc Quân, Giám đốc Trung tâm ATTT, Tập đoàn VNPT cho biết thêm hiện nay xu hướng tấn công và các rủi ro trong hoạt động thanh toán NH năm 2021 đang tồn tại những hạn chế: Các ứng dụng, nền tảng số chưa áp dụng quy trình phát triển; các hệ thống thử nghiệm chưa đảm bảo ATANTT kết nối dữ liệu thật; lộ dữ liệu cá nhân khách hàng; nguy cơ mất ATANTT trên các thiết bị đầu cuối.

Đối với các NH, các rủi ro ATANTT đang tồn tại như: dử dụng bộ công cụ phần mềm (SDK), ứng dụng phần mềm bên thứ ba (third-party software), mã nguồn mở (open source)… khó kiểm soát; các hệ thống ứng dụng web, giao tiếp lập trình ứng dụng (API) công khai ra Internet không được đánh giá ATANTT; các tính năng module trên web và các ứng dụng di động phát triển liên tục.

Trong khi đó, rủi ro đối với các giao dịch thanh toán (bao gồm mobile money) là: mở tài khoản trực tuyến NH số thông qua định danh khách hàng điện tử eKYC; chưa đồng nhất các giao dịch, liên kết, đơn vị trung gian thanh toán, NH; các tính năng module trên web và ứng dụng di động phát triển liên tục chưa kiểm soát về ATANTT; các hành vi lừa đảo người dùng (phishing) ngày càng tinh vi trong quá trình giao dịch thanh toán.

Trước thực trạng đó, ông Quân cho rằng, giải pháp đảm bảo ATTT cho các NH số cần: Thường xuyên kiểm thử mức độ an toàn mạng (penetration test) - đây là một tiêu chí bắt buộc đối với các hệ thống thông tin có kết nối, cung cấp thông tin, dịch vụ ra Internet, kết nối với khách hàng và bên thứ ba; thường xuyên tổ chức kiểm tra, đánh giá ATANTT (thực hiện định kỳ theo các cấp độ của hệ thống thông tin); hệ thống các dịch vụ giao dịch trực tuyến áp dụng biện pháp giám sát chặt chẽ và phát hiện cảnh báo các giao dịch đáng ngờ.

Nhìn nhận ở khía cạnh khác, ông Nguyễn Khánh Lượng, phụ trách giải pháp bảo mật, IBM Việt Nam cho biết, hiện nay các mã độc tống tiền (ransomware) hiện nay đã phát triển và trở thành mối đe dọa phổ biến, hoạt động liên kết hoặc chuyển nhượng quyền, cho phép nhiều phương thức (vector) lây nhiễm sử dụng cùng một phần mềm tống tiền.

"Thật không may, không phải tất cả các cuộc tấn công mạng đều đến từ bên ngoài và bất kỳ ai cũng có thể là người trong cuộc (14% người dùng bị xâm phạm, 62% người dùng bất cẩn)", ông Lượng dẫn chứng.

Trên quan điểm là đại diện hiệp hội, ông Vũ Quốc Khánh, Phó Chủ tịch Hiệp hội ATTT Việt Nam, cho biết để ngăn chặn các rủi ro, sự cố mất ATANTT, các NH cần tích cực tham gia vào các mạng lưới ứng cứu sự cố quốc gia và thực hiện quy định việc báo cáo các sự cố .

"Đặc biệt, khi tham gia, các NH cần cam kết việc bảo mật thông tin, chia sẻ các vấn đề kỹ thuật; cấp lãnh đạo cần tìm hiểu, nhận thức đúng tầm quan trọng của ATANTT để sử dụng hiệu quả trong các nghiệp vụ, dịch vụ NH", ông Khánh nhấn mạnh./.