Mỹ dành gần 2 tỷ USD cho an ninh mạng: đã đủ để đảm bảo an toàn?

Đầu tuần này, Tổng thống Mỹ Joe Biden đã ký ban hành luật cơ sở hạ tầng trị giá 1.000 tỷ USD, trong đó có khoảng gần 2 tỷ USD dành cho an ninh mạng và các điều khoản liên quan.

Trang Cyberscoop cho biết phần lớn nhất của gói đầu tư này là dành cho chương trình không gian mạng của Cơ quan Quản lý Khẩn cấp Liên bang. Chương trình này được Cơ quan An ninh mạng và Cơ sở hạ tầng (CISA) của Bộ An ninh Nội địa (DHS) quản lý, sẽ phân phối 1 tỷ USD trong 4 năm cho các chính quyền tiểu bang và địa phương. Ngoài ra, Văn phòng Giám đốc Không gian mạng Quốc gia sẽ nhận khoảng 21 triệu USD. Cơ quan này đã không thể thực hiện các kế hoạch tuyển dụng chủ chốt kể từ khi được thành lập vào đầu năm nay do thiếu nguồn kinh phí. Văn phòng đóng vai trò là cố vấn chính cho Tổng thống về các chiến lược và chính sách an ninh mạng, cũng như tham gia cùng các đơn vị và các bên liên quan quốc tế trong cuộc chiến bảo vệ an ninh mạng.

Nhìn chung, đạo luật - được gọi là Đạo luật đầu tư cơ sở hạ tầng và việc làm - là “khoản đầu tư lớn nhất để phục hồi các hệ thống trong lịch sử Mỹ”, và Nhà Trắng tự hào đây là một đạo luật “giúp cộng đồng an toàn hơn và cơ sở hạ tầng linh hoạt hơn trước tác động của biến đổi khí hậu và các cuộc tấn công mạng”.

Hơn nửa tỷ USD của nguồn kinh phí này sẽ được dành để cải thiện việc bảo vệ mạng lưới năng lượng. Trong đó, 250 triệu USD được phân bổ cho Chương trình hỗ trợ công nghệ và tài trợ an ninh mạng nâng cao cho các tiện ích nông thôn và thành phố. Theo đó, Bộ Năng lượng Mỹ sẽ xây dựng một chương trình cấp kinh phí và hỗ trợ kỹ thuật để giúp các công ty điện lực cải thiện khả năng phát hiện, ứng phó và phục hồi trước các mối đe dọa mạng. 350 triệu USD nữa sẽ được dành cho nhiều chương trình khác nhau nhằm tăng cường an ninh lưới điện và khả năng phục hồi.

Luật cũng bao gồm các nỗ lực quan trọng để bảo vệ cơ sở hạ tầng trọng yếu. Luật yêu cầu Cơ quan Bảo vệ Môi trường và CISA phải xác định những hệ thống nước công cộng có thể gây tác động đáng kể đến sức khỏe và sự an toàn của công chúng nếu chẳng may hệ thống này bị xuống cấp hoặc gián đoạn do một cuộc tấn công mạng.

Cải thiện khả năng phòng thủ và bảo vệ cơ sở hạ tầng trọng yếu

Nỗ lực xây dựng và ban hành thành luật một khoản đầu tư đáng kể vào việc đại tu và cải thiện an ninh mạng cho cơ sở hạ tầng của quốc gia đã được Mỹ chuẩn bị từ cả năm qua. Hồi tháng 5 năm ngoái, Mỹ đã có các sáng kiến như Lệnh hành pháp yêu cầu các cơ quan liên bang triển khai giải pháp phát hiện và phản hồi sự cố. Gần đây, CISA cũng có chỉ thị yêu cầu các cơ quan chính phủ nhanh chóng giải quyết các lỗ hổng. Các cơ quan chính phủ Mỹ cũng đã có những nỗ lực phối hợp với khu vực tư nhân và các đồng minh toàn cầu để chống lại phần mềm tống tiền.

Trang Scmagazine cho biết một từ được nhắc đi nhắc lại trong luật này là “khả năng phục hồi”. Có các dự án nhằm tăng cường khả năng chống chịu các lỗ hổng an ninh mạng cho cơ sở hạ tầng hệ thống nước và các dự án dành cho khả năng phục hồi của Hệ thống đường cao tốc quốc gia trước nhiều thách thức, bao gồm cả các mối đe dọa mạng.

Điều này cho thấy một sự thay đổi quan trọng trong tư duy của chính phủ Mỹ. Scmagazine giải thích rằng chính phủ tập trung vào khả năng phục hồi có nghĩa là thừa nhận chúng ta không thể mong đợi phòng ngừa được 100% các mối đe dọa. Vì vậy, luật mới tập trung vào phát hiện và phản ứng để xác định và ngăn chặn các cuộc tấn công, đồng thời áp dụng triết lý rằng an ninh mạng phải tiếp tục thích ứng khi các mối đe dọa phát triển.

Điều đó nói rằng, việc đầu tư cho an ninh mạng trong dự luật này chỉ là một bước khởi đầu. Chính phủ Mỹ và cơ sở hạ tầng quan trọng đều là những lĩnh vực rất lớn. Mặc dù 2 tỷ USD không phải là số tiền nhỏ, nhưng nó cũng gần như không đủ để giải quyết mọi thách thức về an ninh mạng cùng một lúc.

Các nhà bình luận cho rằng mặc dù đó là một bước đi đúng hướng rất có ý nghĩa, nhưng chúng ta hãy nói rõ rằng: đó chỉ là một bước đi. Quan trọng hơn ngoài việc tập trung vào các yếu tố cụ thể của đạo luật, cần duy trì động lực và tiếp tục thực hiện văn hóa đầu tư liên tục và cải tiến trong an ninh mạng. 

Một điều thấy rõ là trong năm qua, an ninh mạng đã trở thành - và sẽ vẫn là - một ưu tiên quan trọng đối với chính quyền Tổng thống Joe Biden.

Trong bài viết bình luận về khoản đầu tư lớn dành cho an ninh mạng này trên trang Popsci.com, Allison Nixon, giám đốc nghiên cứu của công ty bảo mật Unit 221B, tỏ ra hoài nghi. Bà cho rằng Mỹ vẫn còn chậm trong cuộc chiến chống tội phạm mạng và “trò chơi đuổi bắt với hacker đang tốn quá nhiều thời gian”. 

Bà nói: “Đây là một thập kỷ tồn đọng nhiều vấn đề về an ninh mạng, một thập kỷ tội phạm mạng phát triển ngoài tầm kiểm soát. Sẽ mất hơn 1 tỷ USD để khắc phục những điều đó".

Tuy nhiên, bà cũng chỉ ra rằng đây là một bước đi tích cực, nhưng đó là một bước cần được tiếp tục trong chính quyền tổng thống tiếp theo. “Đó là một nhiệm vụ to lớn hiện nay và cuối cùng chúng tôi đồng ý rằng đó là một nhiệm vụ đáng làm nhưng nó thực sự phụ thuộc vào việc đất nước này ổn định hơn về mặt chính trị. Ai biết được liệu sẽ có thêm tiến bộ nào về an ninh mạng trong 4 năm nữa không?", bà nói.

Cần duy trì chiến lược bảo vệ an ninh mạng bền vững

Theresa Payton, Giám đốc điều hành kiêm cố vấn trưởng của công ty tư vấn an ninh mạng Fortalice Solutions cho biết: “Sẽ thật tuyệt nếu chúng ta làm điều này hơn một thập kỷ trước”.

Payton là người giám sát các hoạt động CNTT cho Tổng thống George W. Bush từ năm 2006 đến năm 2008, trước khi trở thành Giám đốc Thông tin của Nhà Trắng. Bà cho biết luôn nhận được câu hỏi phải chi bao nhiêu tiền cho an ninh mạng. Theo bà, điều đó phụ thuộc vào mức độ bền vững của dự án trong dài hạn.

Những gì Payton muốn có là một lộ trình đáo hạn có thể giúp chính quyền địa phương tạo ra ngân sách bảo trì không gian mạng liên tục. “Hôm nay, bạn nhận được tiền để xây một cây cầu, không có nghĩa là bạn sẽ tiếp tục có tiền vào ngày mai để bảo trì cây cầu này. Việc bơm tiền mặt là rất tốt, nhưng liệu nó có được thiết lập bền vững không?"

Đối với Payton, một kế hoạch dài hạn trước tiên sẽ liên quan đến việc đảm bảo an toàn thông tin trong các giao dịch máy với máy, ứng dụng với máy và người dùng với máy, đồng thời thiết lập xác thực đa yếu tố cho tất cả các quyền truy cập. Bước tiếp theo sẽ là xem xét tất cả cấu hình bảo mật và quyền riêng tư đã được triển khai trên đám mây. Bước cuối cùng là tạo bản sao lưu dữ liệu thứ ba, lưu ngoại tuyến, ngắt mọi kết nối khỏi các hoạt động, và sẽ được sử dụng trong trường hợp bị tấn công bằng ransomware. 

Bà nói, đó là những nguyên tắc cơ bản, và sẽ không có tác dụng gì nếu không đánh dấu ba việc cần làm đó vào danh sách những việc cần làm.

Hầu hết người Mỹ từng là nạn nhân của ít nhất một tội phạm mạng, và nếu không, thì ít nhất, họ chắc chắn đã chứng kiến một số vụ tấn công mạng đáng sợ. “Khi mọi người không thể đổ xăng đầy bình xăng để đưa con đi học, khi mọi người không thể đi làm vì các nhà máy chế biến thịt của họ không hoạt động, khi một bệnh viện đóng cửa, đây là một số vi phạm cơ sở hạ tầng nghiêm trọng”, Payton nói. 

“Có hình ảnh, có nạn nhân thực sự, có tác động thực sự và tất cả đều có thể nhìn thấy được”. Vì vậy, bà tin rằng chương trình này sẽ còn tiếp tục cho các cấp chính quyền trong tương lai.

Vì sao nền an ninh mạng hiện tại của Mỹ có nhiều yếu kém?

Oren Falkowitz, trước đây thuộc Cơ quan An ninh Quốc gia và hiện là Giám đốc điều hành của Area 1 Security ở California, cho biết các công ty đã chi rất nhiều tiền trong thập kỷ qua cho an ninh mạng - mà hầu như vẫn chưa thấm tháp gì. Điều này một phần do thiếu tính hiện đại hóa. Một số lượng đáng ngạc nhiên là chính quyền nhiều tiểu bang và địa phương ở Mỹ vẫn không sử dụng các dịch vụ đám mây được quản lý chặt chẽ, họ cũng không làm việc với nhà cung cấp dịch vụ để đảm bảo công nghệ của họ được cập nhật và các thông tin nhạy cảm của họ được bảo vệ và sao lưu.

Sau đó là các cuộc tấn công, mà thường là do lỗi của con người. Falkowitz cho biết, ít nhất 9/10 cuộc tấn công mạng ngày nay là kết quả của các chiến dịch lừa đảo qua email và đối với ông, việc tạo ra công nghệ để ngăn mọi người nhấp vào các liên kết email chưa được xác minh, còn quan trọng hơn việc xây dựng các trung tâm hoạt động hoặc tìm ra những cách mới thú vị để chia sẻ thông tin. 

Một nghiên cứu gần đây mà ông đã thực hiện cho thấy hơn một nửa số quan chức bầu cử cấp tiểu bang và địa phương của Mỹ không có các hoạt động kiểm tra mạng cơ bản, không bảo vệ bản thân trước các thủ đoạn lừa đảo và họ sử dụng email cá nhân cho các nhiệm vụ của chính phủ./.