Nhiều thiết bị số phục vụ CPĐT chưa được đánh giá ATTT

An toàn thông tin - Ngày đăng : 16:31, 23/06/2022

Cục trưởng Cục An toàn thông tin (ATTT) - Bộ TT&TT Nguyễn Thành Phúc đã nhận định 6 vấn đề đặt ra đối với ATTT Việt Nam trong năm 2022 tại phiên toàn thể Hội thảo và Triển lãm quốc tế về an toàn không gian mạng ngày 23/06/2022.

Phê duyệt hồ sơ đề xuất cấp độ và triển khai phương án bảo đảm ATTT theo cấp độ còn thấp

Theo Cục trưởng Nguyễn Thành Phúc vấn đề đầu tiên là phê duyệt hồ sơ đề xuất cấp độ và triển khai phương án bảo đảm ATTT theo cấp độ. Tỷ lệ này còn thấp khi năm 2020 cả nước có 2.452 hệ thống thông tin (HTTT) thì chỉ có 19% trong số HTTT được phê duyệt cấp độ. Năm 2021, cả nước có 2.858 HTTT, trong đó chỉ có 29,6 % phê duyệt cấp độ. Đến tháng 5/2022, cả nước có 3.014 HTTT, trong đó 30% HTTT được phê duyệt cấp độ.

Nhiều thiết bị số phục vụ CPĐT chưa được đánh giá ATTT - Ảnh 1. — Cục trưởng Nguyễn Thành Phúc phát biểu trực tuyến tại Hội thảo

Theo Chỉ thị 02/CT-TTg ngày 26/4/2022 của Thủ tướng Chính phủ về phát triển Chính phủ điện tử (CPĐT) hướng tới chính phủ số, thúc đẩy chuyển đổi số quốc gia, đến tháng 12/2022, việc phân loại, xác định và phê duyệt đề xuất cấp độ HTTT phải hoàn thành. Tháng 06/2023 phải triển khai đầy đủ phương án bảo đảm an toàn HTTT theo cấp độ .

Xuất hiện các chiến dịch tấn công vào các ngân hàng tại Việt Nam

Vấn đề thứ hai là lừa đảo trên mạng. Từ tháng 05/2019 đến nay, Cục trưởng Nguyễn Thành Phúc cho biết xuất hiện các chiến dịch tấn công lừa đảo (phishing) nhằm vào các ngân hàng tại Việt Nam để thu thập thông tin cá nhân, thông tin giao dịch thanh toán của khách hàng… Cũng từ đầu năm đến nay, Cục ATTT đã tiếp nhận 1.000 lượt phản ánh của người dân về các sự vụ lừa đảo trên không gian mạng.

Trong 5 tháng đầu năm 2022, Cục đã phát hiện, xử lý 506 website lừa đảo giả mạo tổ chức tài chính, ngân hàng; hỗ trợ xử lý ngăn ngừa 1,5 triệu người dùng Internet Việt Nam tránh truy cập vào các trang lừa đảo, vi phạm pháp luật. Cục đã phối hợp địa phương cảnh báo, tuyên truyền đến cơ sở hàng tuần danh sách website giả mạo và phát triển ứng dụng (app) bảo vệ người sử dụng.

Các thiết bị số chưa được kiểm tra, đánh giá ATTT không được kết nối vào hệ thống phục vụ CPĐT

Vấn đề thứ ba được Cục trưởng Nguyễn Thành Phúc nêu là nhiều thiết bị số phục vụ CPĐT đang sử dụng chưa được kiểm tra, đánh giá ATTT. Nguyên nhân là do nhận thức chưa đúng về tầm quan trọng của việc kiểm tra ATTT đối với thiết bị số trước khi sử dụng; chưa có quy định về kiểm tra, đánh giá ATTT thiết bị số phục vụ CPĐT; CQNN chưa bố trí nguồn lực kiểm tra, đánh giá ATTT. Các dự án CNTT phục vụ CPĐT không có hạng mục kiểm tra, đánh giá ATTT cho thiết bị.

Bộ TT&TT đã ban hành 11 bộ tiêu chí yêu cầu kỹ thuật đối với thiết bị ATTT; tổ chức kiểm tra, đánh giá ATTT các dòng thiết bị (camera giám sát, loa không dây, IoT,...) theo đề nghị của một số DN, cơ quan, tổ chức và phát triển ứng dụng (app) bảo vệ thiết bị đầu cuối.

Trong thời gian tới, Bộ TT&TT sẽ tham mưu Thủ tướng Chính phủ ban hành quy định sử dụng các thiết bị số đối với các hệ thống thông tin CPĐT để bảo đảm ATTT, dự kiến ban hành trong quý III/2022. Bộ TT&TT sẽ thúc đẩy phát triển dịch vụ kiểm tra, đánh giá ATTT cho thiết bị số; hướng dẫn kiểm tra, đánh giá ATTT đối với thiết bị số. Mục tiêu là các thiết bị số chưa được kiểm tra, đánh giá ATTT không được kết nối vào hệ thống phục vụ CPĐT.

Diễn tập ATTT còn thiếu và chưa thực chiến

Vấn đề thứ tư được Cục trưởng Nguyễn Thành Phúc nêu làdiễn tập thực chiến còn ít, năm 2021 có 1/152 cuộc, năm 2020 là 0/98 cuộc.

Nguyên nhân là do ưu điểm của diễn tập thực chiến chưa được nhận thấy. "Chúng ta còn lo ngại ảnh hưởng đến hoạt động của HTTT khi diễn tập thực chiến trên hệ thống thật. Năng lực nhân lực chuyên trách ATTT thiếu. Mỗi bộ, ngành, địa phương trung bình có 2,4 nhân sự ATTT và kinh phí bố trí không đủ để diễn tập thực chiến. Trung bình chi phí cho diễn tập thực chiến cao hơn 2 - 3 lần so với diễn tập truyền thống.

Giải pháp cho việc này làBộ TT&TT đã ban hành Chỉ thị 60/CT-BTTTT năm 2021 về diễn tập ATTT thực chiến, nhằm đôn đốc xây dựng kế hoạch diễn tập thực chiến. 51 bộ, ngành, địa phương đã có kế hoạch diễn tập thực chiến trong năm 2022. 09 bộ, ngành, địa phương (Văn phòng Chính phủ, Bộ Kế hoạch và Đầu tư, Bộ Giao thông Vận tải, Bảo hiểm xã hội Việt Nam, các tỉnh Thái Nguyên, Nghệ An, Bình Phước, Kiên Giang, Hà Giang) đã phối hợp với Bộ TT&TT diễn tập thực chiến.

Bộ TT&TT cũng tham mưu Thủ tướng Chính phủ ban hành Chỉ thị tăng cường năng lực ứng cứu sự cố, trong đó có nội dung thúc đẩy diễn tập thực chiến, dự kiến ban hành trong quý III năm 2022 và đánh giá, xếp hạng kết quả, hiệu quả của diễn tập thực chiến.

Một số tỉnh chưa phê duyệt hồ sơ cấp độ ATTT cho mạng truyền số liệu chuyên dùng (TSLCD) cấp II

Theo Cục trưởng Nguyễn Thành Phúc, mạng TSLCD cấp II ở một số tỉnh chưa phê duyệt hồ sơ đề xuất cấp độ ATTT. Hầu hết HTTT kết nối vào mạng TSLCD cấp II không tuân thủ quy định về yêu cầu an toàn với Cổng kết nối vào mạng TSLCD theo quy định (khoản 5, Điều 1 Thông tư 12/2019/TT- BTTTT ngày 05/11/2019). Mô hình kết nối mạng của bộ, ngành, địa phương vào mạng TSLCD không tổng thể và đồng bộ theo quy định về nguyên tắc bảo đảm an toàn HTTT theo cấp độ (Điều 4 Nghị định 85/2016/NĐ-CP).

Nguyên nhân được Cục trưởng Cục ATTT chỉ ra làcác Sở TT&TT chưa thực thi nghiêm pháp luật về ATTT cho mạng TSLCD cấp II. Giải pháp cho vấn đề này là cácSở TT&TT phải kiểm tra, đánh giá tuân thủ quy định pháp luật về ATTT các mạng TSLCD cấp II trên địa bàn. Mục tiêu là 100% mạng TSLCD cấp II phê duyệt HSĐXCĐ và triển khai ATTT theo cấp độ.

Nhiều thiết bị số phục vụ CPĐT chưa được đánh giá ATTT - Ảnh 2. — Phiên toàn thể Hội thảo và Triển lãm quốc tế về an toàn không gian mạng sáng 23/6

Nhiều HTTT chưa được kiểm tra, đánh giá ATTT

Cục trưởng Nguyễn Thành Phúc cho biết nhiều HTTT của cơ quan nhà nước (CQNN) chưa được kiểm tra, đánh giá ATTT trước khi đưa vào sử dụng, mỗi khi nâng cấp mở rộng, kiểm tra định kỳ theo quy định.

Nguyên nhân cho vấn đề này được Cục trưởng Nguyễn Thành Phúc cho biết là: "CQNN chưa nhận thức đúng về tầm quan trọng của kiểm tra, đánh giá ATTT. Kinh phí kiểm tra, đánh giá ATTT của các bộ, ngành, địa phương thấp (không bố trí hoặc bố trí rất thấp). Theo khảo sát của Cục ATTT, trung bình mỗi bộ, ngành 100 - 200 triệu đồng/năm cho công tác kiểm tranh, đánh giá ATTT. "Đây là mức thấp so với yêu cầu. Thiếu nhân lực tại chỗ và công cụ kiểm tra, đánh giá ATTT".

Giải pháp cho vấn đề này là Bộ TT&TT đã đưa ra làđôn đốc, hướng dẫn chi tiết nội dung kiểm tra, đánh giá và Tham mưu Thủ tướng Chính phủ chỉ đạo CQNN kiểm tra, đánh giá ATTT cho các HTTT trước khi đưa vào sử dụng, khi nâng cấp, thay đổi, định kỳ (Chỉ thị 02/2022).

Trong thời gian tới, theo Cục trưởng Nguyễn Thành Phúc, cần phải quán triệt nguyên tắc HTTT chưa xác nhận ATTT thì chưa đưa vào sử dụng, đồng thời triển khai thanh tra, kiểm tra, xử lý vi phạm. Bộ TT&TT cũng sẽ tổ chức đào tạo, bồi dưỡng kỹ năng ATTT cho nhân lực kiểm tra, đánh giá ATTT; đánh giá, sát hạch và bồi dưỡng nhân lực kiểm tra, đánh giá ATTT theo chuẩn kỹ năng đã ban hành./.

Hoàng Linh