Nếu không có sự chuẩn bị trước, rủi ro về ATTT trong CĐS sẽ rất lớn

NK| 18/10/2022 13:58
Theo dõi ICTVietnam trên

Theo đại diện Cục An toàn thông tin (ATTT), Bộ TT&TT, thời gian qua, việc bảo đảm ATTT của các đơn vị đã có sự cải thiện so với trước. Tuy nhiên, do chuyển đổi số (CĐS) còn dài, phức tạp nên nếu không có sự chuẩn bị trước thì rủi ro về ATTT gặp phải sẽ rất lớn.

Bảo đảm ATTT song hành với quá trình CĐS

Chia sẻ tại sự kiện webinar tháng 10 với chủ đề "Đảm bảo ATTT trong CĐS quốc gia" do Trung tâm Ứng cứu khẩn cấp không gian mạng Việt Nam (Trung tâm VNCERT/CC), Cục ATTT, Bộ TT&TT tổ chức mới đây, ông Nguyễn Hữu Nguyên, Phó Giám đốc Trung tâm VNCERT/CC cho biết, việc bảo đảm ATTT trong thời gian qua đã tăng hơn một mức so với trước. Đó là việc lãnh đạo các đơn vị quan tâm hơn, đội ngũ chuyên viên kỹ thuật trong nước tiếp cận được nhiều hơn các kênh thông tin và cảnh báo nguy cơ mất ATTT trong nước. Đồng thời, các biện pháp đảm bảo ATTT tại các cơ quan, tổ chức trong nước được tăng cường và chú trọng hơn, ... 

Tuy nhiên, ông Nguyên cũng cho biết trong bối cảnh quá trình CĐS còn dài, phức tạp và nhiều nguy cơ gây mất an toàn trên các hệ thống và quy trình tự động được vận hành "thông minh hoá", có thể tự ra quyết định dựa trên dữ liệu lớn và tự động mà hệ thống thu thập được nên việc bảo đảm ATTT phải song hành và trở thành một phần không thể tách rời.

Cũng theo ông Nguyên, về thực trạng ATTT hiện nay trên thế giới, thời gian qua đã liên tục xảy ra các sự cố nghiệm trọng có mức độ lây lan nhanh nhắm vào các chuỗi cung ứng. Việt Nam cũng không đứng ngoài xu hướng đó. Tuy nhiên, vấn đề lớn nghiêm trọng hiện nay là nhiều cuộc tấn công không được phát hiện hoặc không được biết đến.

Chưa kể đến, Việt Nam cũng đang là nạn nhân của nhiều cuộc tấn công có chủ đích APT với nhiều thiệt hại lớn, chỉ được phát hiện khi đã được thực hiện xong như chiến dịch sử dụng mã độc Emotech hay các vụ lấy cắp thông tin để thực hiện lừa đảo.

Dự báo, nhân lực ATTT tăng gấp 2 lần so với năm 2020, nhưng con số này còn khiêm tốn so với nhu cầu thực tế CĐS hiện nay. Đối tượng tấn công sẽ ngày càng nhiều lên và rộng hơn, năm 2025 gấp 2,7 lần năm 2020, năm 2030 gấp 7,5 lần 2020. Nguy cơ của các cuộc tấn công sẽ ngày càng nguy hiểm hơn và được "may đo" dành riêng cho các đối tượng bị tấn công, trong bối cảnh bùng nổ các thiết bị, IoT.. "Do đó, nếu không có sự chuẩn bị tốt ngay từ đầu thì rủi ro sẽ rất lớn", ông Nguyên đánh giá.

Chưa kể đến, theo Khảo sát rủi ro toàn cầu của PwC năm 2022 được công bố 06/10/2022 đã nhấn mạnh "CĐS và quản trị rủi ro phải song hành với nhau". Việc bảo đảm ATTT cũng là cách để giảm thiểu rủi ro tới mức chấp nhận được, kiểm soát được rủi ro.

Cũng theo ông Nguyên, đối với quan điểm về bảo đảm ATTT trong CĐS của cơ quan quản lý, hiện nay đã có Quyết định 749/QĐ-TTg ngày 03/6/2020 Chương trình CĐS quốc gia đến năm 2025, định hướng đến năm 2030, Chỉ thị 02/CT-TTg ngày 26/4/2022 về phát triển chính phủ điện tử hướng tới chính phủ số, thúc đẩy CĐS quốc gia…

Cụ thể, đối với Chỉ thị 02, có 4 nội dung cần lựu ý về ATTT: Hệ thống thông tin (HTTT) cần triển khai đầy đủ phương án bảo đảm ATTT theo cấp độ; Phần mềm nội bộ phải do đơn vị chuyên nghiệp phát triển, tuân thủ Khung phát triển phần mềm an toàn DevSecOps; HTTT được kiểm tra, đánh giá ATTT mạng trước khi đưa vào sử dụng, khi nâng cấp, thay đổi, định kỳ theo quy định; HTTT được quản lý, vận hành theo mô hình 4 lớp (lực lượng tại chỗ, lực lượng chuyên nghiệp, lực lượng đánh giá độc lập và lực lượng quốc gia).

Nếu không có sự chuẩn bị trước, rủi ro về ATTT trong CĐS sẽ rất lớn - Ảnh 1.

Sự kiên webinar tháng 10 với chủ đề "Đảm bảo ATTT trong CĐS quốc gia".

Nâng cao việc bảo đảm ATTT cho các tổ chức, doanh nghiệp (DN)

Phó Giám đốc Trung tâm VNCERT/CC cho rằng, hiện nay cần phải nâng cao năng lực đội ứng cứu sự cố ở các Bộ ngành địa phương. Bởi vì, 100% đội ứng cứu sự cố Bộ, ngành, địa phương hoạt động kiêm nhiệm, năng lực hạn chế, 70% đơn vị chưa tuân thủ nghiêm túc việc khắc phục lỗ hổng sự cố. Vì vậy, Bộ TT&TT đã đề xuất để ban hành Chỉ thị tăng cường năng lực đội ứng cứu sự cố trong đó có nội dung thúc đẩy diễn tập thực chiến: Coi ứng cứu sự cố là chốt chặn cuối cùng của ATTT; Hoạt động ứng cứu sự cố ATTT mạng phải chuyển từ bị động sang chủ động, truy tìm lỗ hồng thường xuyên; Đội Ứng cứu sự cố phải được tổ chức theo hướng chuyên nghiệp, cơ động; Đội Ứng cứu sự cố cấp Bộ, ngành, địa phương có tối thiểu 05 (năm) chuyên gia ATTT mạng; Đội Ứng cứu sự cố được giao đảm trách các nhiệm vụ thường xuyên.

Cũng theo ông Nguyên, để đảm bảo ATTT cho các tổ chức, DN trong CĐS thì các đơn vị nên áp dụng mô hình bảo đảm an toàn thông tin theo cấp độ. Trong đó xác định cấp độ, phê duyệt, duy trì bảo đảm an toàn theo cấp độ gồm bảo vệ, giám sát, đánh giá an toàn theo định kỳ. "Đây là quy định bắt buộc đối với các cơ quan nhà nước, còn với DN, nhất là các công ty, tập đoàn của nhà nước, VNCERT/CC cũng đề nghị áp dụng mô hình này", ông Nguyên nói.

Tiếp theo, đối với các ứng dụng công nghệ thông tin dự kiến sẽ đặt hàng hoặc phát triển mới, cần đưa các tiêu chí an toàn vào thiết kế từ đầu và yêu cầu đơn vị phát triển áp dụng mô hình DevSecOps.

Sau đó, theo đại diện VNCERT/CC, các đơn vị cần: Kiểm tra đánh giá an toàn tất cả các sản phẩm ứng dụng trước khi đưa vào sử dụng và mỗi khi có cập nhật, thay đổi vì tránh những sự cố có thể xảy ra; Có một đầu mối xử lý sự cố mất ATTT tại chỗ và/hoặc chỉ định một đầu mối xử lý sự cố từ các tổ chức có năng lực bên ngoài; Triển khai mô hình diễn tập thực chiến trên các HTTT; Cập nhật các xu hướng, nguy cơ, các kiểu tấn công mới thông qua các hội thảo, sự kiện, từ đó bảo vệ và ứng phó hiệu quả.

Cuối cùng, xây dựng và triển khai chương trình bảo đảm ATTT của các tổ chức, DN: Đáp ứng các yêu cầu luật định; Chiến lược ATTT phù hợp với DN; Ban hành chính sách ATTT, Nguồn nhân lực ATTT, nâng cao nhận thức ATTT cho tất cả nhân viên; Quản lý rủi ro; Quản lý an toàn; Kế hoạch ứng phó, dự phòng; Duy trì an toàn; Cơ chế bảo vệ cụ thể, các sản phẩm, giải pháp bảo mật, bảo đảm an toàn. 

"Mục đích của việc này nhằm giảm rủi ro mất ATTT cho hệ thống dựa trên 3 trụ cột chính gồm quy trình, con người và công nghệ" , ông Nguyên khẳng định,

Thanh Hoá chuyển từ các hệ thống rời rạc sang tập trung để bảo đảm ATTT

Đứng dưới góc độ của địa phương, khách hàng của sự kiện, ông Trần Ngọc Hưng, Phó Giám đốc Trung tâm CNTT và Truyền thông - Sở TT&TT Thanh Hóa nhấn mạnh, ATTT là chiếc khiên vững chắc bảo vệ thành quả của chuyển đổi số cũng như giúp quá trình này đi nhanh hơn.

Là đơn vị trực tiếp tham mưu cũng như bảo đảm ATTT, Trung tâm thấy rằng CĐS là cả một quá trình liên tục, không có đích đến nên cần phải xác định việc bảo ATTT như thế nào để phù hợp là quan trọng nhất. Ở Thanh Hoá, trước đây, các đơn vị triển khai các ứng dụng, giải pháp phân tán, đặt hạ tầng trực tiếp bên trong trụ sở hoặc thuê các đơn vị bên ngoài. Việc này gây nhiều khó khăn trong việc bảo đảm ATTT. Do đó, Trung tâm đã phải tham mưu để đưa toàn bộ các hệ thống ứng dụng của cơ quan đơn vị đặt tại hệ thống của tỉnh. "Việc này sẽ giúp chúng tôi sẽ dàng trong việc giám sát cũng như bảo đảm ATTT cho hệ thống", ông Trung cho biết thêm.

Sau đó, tỉnh sẽ tập trung đầu tư về hệ thống, nhân lực ATTT cho các hệ thống dùng chung, nhất là những ứng dụng như Cổng thông tin điện tử, Cổng dịch vụ công trực tuyến, hệ thống xử lý văn bản. Tại Thanh Hoá, việc xử lý văn bản, chữ ký số đều được thực hiện trên môi trường điện tử, thay vì bản giấy như trước. Do đó, cần phải có các biện pháp bảo vệ 24/7, tránh những rủi ro có thể có và đảm bảo hệ thống xuyên suốt.

Bên cạnh đó, đối với hệ thống giám sát, Thanh Hoá đã triển khai hệ thống SOC và mở rộng hệ thống vệ tinh xuống các địa phương trên địa bàn tỉnh. Do Thanh Hoá có nhiều cơ quan đơn vị hành chính với gần 20.000 người dùng nên Trung tâm xác định sẽ phải triển khai từng bước một để đảm bảo hiệu quả.

Ngoài ra, giống như các địa phương khác, Thanh Hoá cũng đang gặp vấn đề về nhân lực đảm bảo ATTT. Trung tâm có khoảng 6 người phụ trách việc đảm bảo ATTT như giám sát cơ bản còn những công việc đòi hỏi kiến thức chuyên sâu hơn thì vẫn phải có sự phối hơn với các chuyên gia đơn vị bên ngoài.

Theo ông Trung, để bảo đảm ATTT, đầu tiên cần xác định cấp độ và mục tiêu bảo vệ, từ đó có phương án, chính sách quản lý, kỹ thuật phù hợp cũng như có biện pháp để giám sát, kiểm tra, đánh giá việc thực thi.

Với giải pháp bảo đảm ATTT cho lớp thiết bị đầu cuối của người dùng, tỉnh Thanh Hoá đã triển khai dự án phòng chống mã độc tập trung với quy mô toàn tỉnh. Qua đó, các cán bộ của trung tâm dữ liệu có thể theo dõi, giám sát, phát hiện thiết bị của các đơn vị, từ đó có quy trình phối hợp xử lý với cán bộ kỹ thuật, khắc phục sự cố cho người dùng./.

Nổi bật Tạp chí Thông tin & Truyền thông
  • Startup Việt vươn ra thế giới: Làm thế nào để tồn tại giữa vùng nước lạ?
    VinCSS vươn ra thị trường quốc tế không chỉ để phát triển kinh doanh, mà còn để học hỏi kinh nghiệm, làm tốt hơn và thu về nhiều ý tưởng mới để có thể quay về giải quyết những bài toán trong nước và đóng góp cho Việt Nam.
  • Tiếp cận về văn hóa số trong thời đại số
    Trong chiến lược chuyển đổi số, những thuật ngữ như “kinh tế số”, “xã hội số”, “văn hóa số” cũng được đề cập một cách thường xuyên, vừa như phương thức, vừa như hệ quả của sự chuyển đổi. Trong đó, thuật ngữ “văn hóa số” có lẽ là phức tạp hơn cả, cũng như bản thân sự phức tạp vốn có của văn hóa. Bài viết góp một thảo luận sâu và rộng hơn về chủ đề này, thay vì cách hiểu máy móc và đơn giản là sự chuyển dịch của văn hóa trên nền tảng số.
  • Đưa các ấn phẩm báo Xuân lên nền tảng số phục vụ bạn đọc
    Hàng trăm ấn phẩm Xuân của các báo, tạp chí Trung ương, tỉnh Thái Nguyên và 63 tỉnh, thành phố trong cả nước đã được trưng bày, giới thiệu tại phòng đọc báo Xuân Ất Tỵ năm 2025.
  • Báo chí cách mạng Việt Nam Một thế kỷ xung trận
    Báo chí từ thời điểm khai sinh đã tự mình làm những cuộc cách mạng, tuyệt nhiên không thuần túy thực thi bổn phận bằng những cuộc rượt đuổi thụ động, lệ thuộc theo đời sống và sự kiện, mà từ đời sống và sự kiện, phản ánh và xác lập những mục tiêu cao hơn, kết nối quá khứ và tương lai bằng những bước chuyển mình đậm tính định hướng, tính thời đại.
  • Gần 1 triệu bưu gửi mỗi ngày, Bưu điện huy động tối đa mọi lực lượng giao hàng trước Tết
    Với nguyên tắc phát hết hàng hóa trong ca, trong ngày, Bưu điện Việt Nam đã chủ động bố trí lực lượng phát, bưu tá phù hợp cho từng tuyến phát, tổ chức phát hàng cả vào thứ Bảy, Chủ nhật và ngoài giờ hành chính, để đảm bảo hàng hóa được phát chính xác tới người nhận nhanh nhất.
Đừng bỏ lỡ
Nếu không có sự chuẩn bị trước, rủi ro về ATTT trong CĐS sẽ rất lớn
POWERED BY ONECMS - A PRODUCT OF NEKO