An toàn thông tin [ATTT] là bảo vệ thông tin và hệ thống thông tin nói chung khỏi các truy cập trái phép. Đây là biện pháp chống chiếm dụng, làm hỏng, chỉnh sửa hoặc thực hiện các thao tác gây mất thông tin quan trọng liên quan đến cá nhân, tổ chức…
Yêu cầu cấp thiết trong thời đại số
Tất cả các cơ quan, tổ chức, doanh nghiệp đến người dùng đều có những thông tin bí mật về khách hàng, nhân viên, sản phẩm, nghiên cứu… Hầu hết các thông tin được thu thập, xử lý và lưu trữ bởi máy vi tính hoặc trung tâm dữ liệu. Dữ liệu đó cũng có thể được chuyển qua hệ thống mạng để về trung tâm lưu trữ, đến các nhánh công ty con, hoặc gửi cho bạn bè, người thân…
Thông thường hệ thống thông tin được chia thành 3 phần chính: Phần cứng, phần mềm và phần kết nối. Hệ thống này sẽ được thực thi bởi những người quản trị, người dùng hay người vận hành nhằm đảm bảo ATTT của cá nhân và cả tổ chức. Nếu tin tặc [hacker] vượt qua được những hàng rào bảo vệ, thông tin đó lọt vào tay tin tặc hoặc đối thủ cạnh tranh thì cực kỳ nguy hiểm.
Vì thế, bảo vệ thông tin trở thành một yêu cầu không thể thiếu trong mọi hoạt động nói chung và hoạt động điện tử nói riêng. Đặc biệt việc đảm bảo ATTT trong thời đại số hiện nay càng trở nên cấp thiết và quan trọng.
Các nguy cơ và cách thức phòng tránh
Đối với các tin tặc, có vô số cách để tấn công, lấy cắp thông tin của một hệ thống như từ: Lỗ hổng của ứng dụng, lỗ hổng dịch vụ trực tuyến [website, email, mạng xã hội], lỗ hổng hệ điều hành… Theo thống kê của Viện an ninh máy tính [CSI - Computer Security Institute, Mỹ] thì khoảng 60% - 80% những cuộc hack thành công bắt nguồn từ các hành động sử dụng sai mạng máy tính, phần mềm của người dùng bên trong các tổ chức, công ty. Vì thế, việc đào tạo nhận thức an ninh mạng cho người dùng, người quản trị là vô cùng quan trọng.
Dưới đây là một số mối nguy hiểm và cách thức phòng tránh:
- Lỗi và sự cố tình bỏ qua: Nguy cơ này được xếp vào hàng nguy hiểm nhất. Khi lập trình, các cảnh báo và lỗi được đưa ra thường bị bỏ qua và nó có thể dẫn đến những rủi ro không đáng có. Khi người dùng vô tình sử dụng các dữ liệu đầu vào không hợp lý thì chương trình sẽ xử lý sai, hoặc dẫn đến việc hệ thống bị sập và dễ bị tin tặc khai thác. Cách tốt nhất để phòng tránh là sử dụng chính sách “lease privilege” [có nghĩa là ít quyền hạn nhất có thể]. Người dùng sẽ chỉ được xử lý, truy cập đến một số vùng thông tin nhất định. Một chính sách khác nhất thiết phải có, đó là phải sao lưu dữ liệu thường xuyên.
- Lấy cắp thông tin: Việc lấy cắp có thể được thực hiện dưới nhiều hình thức như: Lấy cắp văn bản in hay lấy cắp thông tin số, cung cấp thông tin nội bộ cho bên ngoài. Cách tốt nhất để phòng tránh nguy cơ này là phải có chính sách bảo mật được thiết kế tốt. Ví dụ, nếu một nhân viên truy cập vào khu vực đặt tài liệu bí mật của cơ quan, công ty, hệ thống sẽ ghi lại được thời gian, IP, tài liệu bị lấy, sử dụng phần mềm gì để truy cập, phần mềm bị cài đặt trái phép… từ đó, người quản trị sẽ chứng minh được ai đã làm việc này.
- Tấn công: Trước khi tấn công, tin tặc thường thu thập thông tin về hệ thống nhiều nhất có thể. Càng nhiều thông tin, thì khả năng thành công của việc tấn công sẽ càng lớn. Những thông tin đó có thể là: Tên ứng dụng, phiên bản ứng dụng, hệ điều hành, email quản trị… Để phòng tránh nguy cơ này, các ứng dụng tương tác với người dùng, dữ liệu cần phải giấu đi những thông tin quan trọng [nếu có thể] như: Phiên bản, loại ứng dụng, các thành phần kèm theo. Sử dụng các phần mềm phát hiện truy cập trái phép, rà soát hệ thống thường xuyên, cấu hình tường lửa hợp lý, lập chính sách truy cập của từng nhóm người dùng, quản lý truy cập…
- Lây lan mã độc: Có rất nhiều loại mã độc có thể kể đến như: Virus, Trojan, Phần mềm gián điệp… với cách thức phát tán, lây lan vô cùng phong phú. Cách tốt nhất để tránh nguy cơ này là luôn cập nhật phần mềm xử lý dữ liệu, hệ điều hành và phần mềm an ninh mạng, diệt virus. Đặc biệt không cài đặt và sử dụng các phần mềm không có bản quyền.
- Khai thác thông tin xã hội [Social engineering]: Đây là một kỹ thuật khai thác nhằm vào điểm yếu của con người. Phổ biến nhất là việc tin tặc chiếm quyền kiểm soát các tài khoản mạng xã hội để giả mạo người thân, bạn bè yêu cầu cung cấp số tài khoản, số thẻ tín dụng ngân hàng để thực hiện các hành vi lừa đảo. Để tránh nguy cơ này người dùng cần tự nâng cao ý thức bảo vệ các thông tin quan trọng, tìm hiểu các khuyến cáo từ các tổ chức Tài chính - Ngân hàng đã đưa ra
| Công nghệ thông tin VietinBank an toàn, bảo mật |
Minh Khuê [Tổng hợp]
Việt Nam đang đứng trước những cơ hội lớn trong công cuộc chuyển đổi số với hơn 50% dân số sở hữu hơn 130 triệu thuê bao di động, dân số dưới tuổi 35 chiếm hơn 50%, thuê bao Internet khoảng 67%, thời gian sử dụng điện thoại thông minh trung bình của người Việt Nam là 2 giờ/ ngày; tăng trưởng thương mại điện tử đạt tốc độ 30%/năm. Đáng chú ý, dịch COVID-19 đã tác động trực tiếp tới mọi mặt của đời sống xã hội, tới mọi quốc gia nhưng đồng thời cũng là nhân tố quan trọng góp phần thúc đẩy ngành kỹ thuật này tạo ra các đột phá nổi bật trong thời gian qua, các ứng dụng, dịch vụ khai thác thế mạnh của CNTT đang là “chìa khóa” mở ra các giải pháp mới mẻ. Trong đó, phải kể đến lộ trình số hóa, chuyển đổi số, tiến hành xây dựng mô hình chính phủ điện tử, chính phủ số.
Mô hình số sẽ tạo ra sự thay đổi trong hệ thống điều hành, quản lý, hướng đến mối liên kết chặt chẽ giữa Nhà nước với nhân dân, Chính phủ với doanh nghiệp, tạo ra sự đồng bộ, nhất quán giữa các cơ quan bộ, ban, ngành, đoàn thể, góp phần đổi mới kinh tế, cải cách hành chính... số lượng dịch vụ hành chính công giảm đi, số lượng dịch vụ công mới, mang tính sáng tạo phục vụ xã hội tăng lên, nhờ công nghệ số và dữ liệu.
Chỉ tính riêng năm 2020, thông qua các phần mềm quản lý mà các cơ quan nhà nước đã đưa 46,4% dịch vụ công trực tuyến lên mức độ 4 đăng tải lên Cổng dịch vụ công của các địa phương với chi phí thấp, dữ liệu không còn sử dụng bản giấy. Bên cạnh đó, cải thiện khả năng hợp tác từ xa thông qua các ứng dụng di động…
Tuy nhiên, những mối đe dọa an ninh phi truyền thống trên không gian mạng, nền tảng số, nguy cơ về mất ATTT lại đang có chiều hướng gia tăng, trở thành mối đe dọa trực tiếp tới sự ổn định, phát triển của không ít quốc gia, chế độ...Trên trang zone-h.org [nơi tin tặc khoe chiến tích], nhiều website tên miền Việt Nam vẫn đang bị nhóm tin tặc tấn công. Theo thống kê của Cục An toàn thông tin [Bộ Thông tin và Truyền thông], trong quý I/2021, đã có tổng số 1.271 cuộc tấn công mạng gây ra sự cố nhằm vào các hệ thống thông tin tại Việt Nam với các phương thức như tấn công cài mã độc, tấn công lừa đảo và tấn công thay đổi giao diện. Tình trạng rò rỉ dữ liệu người dùng hiện nay vẫn chưa được kiểm soát, nhiều trang mạng trong nước và quốc tế vẫn liên tục rao bán dữ liệu chứa thông tin về căn cước công dân, số điện thoại, thư điện tử của hàng triệu người Việt Nam.
Bên cạnh đó, việc đầu tư vào các sản phẩm bảo mật, diệt virus, quản trị văn phòng vẫn dừng lại ở các con số khiêm tốn. Ngoài ra, các hoạt động tội phạm công nghệ cao còn nhắm đến việc phá hoại các hệ thống máy tính bằng cách phát tán các mã độc, ăn cắp các thông tin về thẻ tín dụng, tài khoản ngân hàng của nạn nhân, lấy cắp các thông tin tình báo, bí mật quốc gia, mua bán trái phép vũ khí, ma túy. Đáng lo ngại nữa là sự tràn lan của các tin giả, đối tượng tin tặc không thể tấn công vào hệ thống dữ liệu, phần mềm nhưng lại tung tin giả có sức phá hoại, gây thiệt hại không hề kém các loại virus, sâu máy tính, phần mềm gián điệp cùng các loại hình phạm tội trên không gian mạng, nền tảng số khác. Một vấn đề nan giải khác là các tổ chức tội phạm về ma túy, cờ bạc, khiêu dâm, buôn bán người,... đang coi không gian mạng là môi trường kinh doanh kiếm lợi và dễ dàng che đậy hành vi phạm tội.
NGUYÊN NHÂN MẤT AN TOÀN THÔNG TIN TRONG KHÔNG GIAN SỐ
Do khuôn khổ pháp lý chưa hoàn chỉnh, đồng bộ trở thành điểm nghẽn đầu tiên trong không gian số mà cụ thể là những vướng mắc trong luật giao dịch điện tử, chứng thực điện tử, hợp đồng điện tử trong giao dịch .... Hiện nay, khung luật Việt Nam liên quan đến an ninh thông tin mạng chủ yếu nằm trong các Bộ luật Dân sự, Bộ luật Hình sự, Luật Công nghệ thông tin, Luật An toàn thông tin mạng và một số văn bản khác. Một mặt chế tài còn chưa đủ nghiêm khắc, mặt khác luật chưa quy định rõ ràng và cụ thể các điều kiện thu thập thông tin, mức độ hay các biện pháp cần phải tiến hành để bảo vệ thông tin, cũng như các giải pháp ứng cứu, khắc phục hay ngăn chặn xâm nhập. Chính vì thế, thông tin cá nhân có thể thu thập là bất kỳ thông tin nào, từ tên tuổi, địa chỉ cho tới khuynh hướng tình dục, quan điểm chính trị, thói quen tiêu dùng... Điều đặc biệt ảnh hưởng tới quyền riêng tư của mỗi cá nhân. Hơn nữa, luật cũng chưa có quy định cụ thể, rõ ràng về việc đền bù khi xảy ra hành vi vi phạm ATTT cá nhân.
Do ý thức trong việc truy cập internet sử dụng dịch vụ, nền tảng số của người Việt Nam còn tương đối thấp và còn rất chủ quan, hiện nay, Việt Nam đứng thứ 80 trên thế giới về ứng dụng công nghệ thông tin. Tuy nhiên tỷ lệ người dân có ý thức trong việc bảo đảm ATTT chỉ khoảng 11% [tại các nước phát triển, tỷ lệ chiếm tới 60%]. Sự tồn tại dày đặc những lỗ hổng bảo mật trong hệ thống website như hiện nay có thể khiến quá trình xây dựng, hoàn thiện các mô hình quản lý như chính phủ điện tử, chính phủ số và tương lai là chính phủ thông minh, sẽ phải đối diện với rất nhiều rủi ro tiềm ẩn. Bởi bất kỳ mắt xích yếu nào tồn tại trong các mô hình như vậy đều có thể dẫn đến thiệt hại về vật chất và nghiêm trọng hơn, là đe dọa an ninh quốc gia, nhất là khi các công nghệ như internet vạn vật hay dữ liệu lớn đều hướng tới một hệ thống dữ liệu mở, dễ dàng truy cập.
Do hạn chế về cơ sở hạ tầng, liên quan đến việc xây dựng cơ sở hạ tầng số đồng bộ, tập trung, chuẩn kỹ thuật kết nối, chuẩn dữ liệu, cơ sở dữ liệu dùng chung, hạ tầng an ninh, bảo mật, đảm bảo an ninh an toàn, bảo mật thông tin... buộc các lĩnh vực phải xây dựng hệ thống bảo mật, đảm bảo hoạt động liên tục, đáp ứng nhu cầu của người tiêu dùng. Trong khi đó việc đầu tư cho hạ tầng cho bảo mật thông tin khi chuyển đổi số có chi phí rất lớn, gây khó khăn cho các tổ chức, doanh nghiệp có thể áp dụng.
Chính sách đảm bảo an toàn, an ninh thông tin của một số nước trên thế giới:
Ở Mỹ ban hành 3 đạo luật an ninh mạng và cho thành lập các lực lượng chuyên trách như tình báo mạng, phòng, chống khủng bố mạng và tội phạm mạng.
Anh, dưới sự bảo trợ của Văn phòng Nội các và Bộ Nội vụ đã cho thành lập mô hình quản lý mạng theo lĩnh vực có cơ quan quản lý riêng, ngoài ra, thành lập Trung tâm Bảo vệ hạ tầng quốc gia [CPNI].
Trung Quốc ra chính sách buộc các nhà cung cấp dịch vụ internet phải lưu trữ lịch sử duyệt web của người dùng và cho phép cơ quan điều tra truy cập, tấn công vào máy tính, thiết bị mạng của cá nhân để theo dõi nghi phạm, thu thập dữ liệu.
Nhật Bản công bố chiến lực bảo vệ an ninh mạng là tăng cường nhận thức về tầm quan trọng của phương pháp “Bảo mật từ thiết kế” [Security by Design] và tăng cường an ninh mạng trong toàn bộ chuỗi cung ứng liên tổ chức.
MỘT SỐ GIẢI PHÁP ĐẢM BẢO VỀ AN TOÀN THÔNG TIN
Một là: Việt Nam cần tiếp tục ban hành các chính sách, biện pháp cụ thể đảm bảo an ninh trật tự trong phát triển các lĩnh vực khoa học - công nghệ nhằm phòng, chống tội phạm sử dụng công nghệ cao, trong đó có Nghị định quy định chi tiết một số điều của Luật An ninh mạng. Triển khai thực hiện có hiệu quả các văn bản pháp luật ban hành của Thủ tướng Chính phủ như: Quyết định số 623/ QĐ-TTg, ngày 14/4/2016 về Chiến lược quốc gia phòng, chống tội phạm giai đoạn 2016 - 2025; Chỉ thị số 14/CT-TTg ngày 07/6/2019 về việc tăng cường bảo đảm an toàn, an ninh mạng nhằm cải thiện chỉ số xếp hạng của Việt Nam.
Hai là: Giải pháp về con người, cần nâng cao nhận thức cho nhân viên, người dùng, bộ phận chuyên trách về ATTT, đào tạo, huấn luyện đội ngũ chuyên trách. Để bảo đảm ATTT góp phần phát triển công nghệ thông tin, theo các chuyên gia, tới đây, cần phải triển khai quyết liệt, thực hiện đồng bộ nhiều giải pháp. Cơ quan quản lý nhà nước cần nâng cao nhận thức về bảo đảm an ninh thông tin, đây là nhiệm vụ trọng yếu, thường xuyên của toàn Ðảng, toàn dân. Tăng cường giáo dục, bồi dưỡng, nâng cao ý thức của cán bộ và người dân; chú trọng tuyên truyền, phổ biến cho học sinh, sinh viên về các nguy cơ, yếu tố đe dọa ATTT. Từ đó, nâng cao ý thức sử dụng các dịch vụ thông tin, nhất là nguồn từ nước ngoài; nâng cao khả năng nhận biết, tiếp nhận thông tin, khả năng tự vệ, “miễn dịch” trước những thông tin độc hại.
Ba là: Cần phân tách các vùng mạng và có phương án bảo vệ riêng cho mỗi vùng mạng, thiết lập và bảo vệ các kết nối VPN, thiết lập các hệ thống phòng, chống xâm nhập cho các vùng thông tin, xác thực mạnh và chữ ký số để bảo đảm giao dịch trực tuyến, duy trì giám sát, kiểm tra, phát hiện các lỗ hổng trong ứng dụng phát triển; Tăng cường đầu tư hạ tầng hiện đại, băng thông đủ rộng để vượt qua các cuộc tiến công gây nghẽn mạng, có hệ thống máy lưu trữ dự phòng.
Thường xuyên rà soát, phát hiện, khắc phục “lỗ hổng” bảo mật trên toàn hệ thống, bổ sung thiết bị, phần mềm chuyên dụng có khả năng kiểm tra, kiểm soát an ninh, ATTT trên môi trường mạng viễn thông, internet, tần số vô tuyến điện… Triển khai thực hiện các giải pháp kỹ thuật chuyên biệt nhằm kiểm tra, phát hiện các nguy cơ gây mất an ninh thông tin. Hằng năm, tổ chức diễn tập về phòng, chống tấn công mạng cấp quốc gia với sự tham gia của cơ quan chính phủ, các tập đoàn kinh tế trọng yếu, những doanh nghiệp cung cấp dịch vụ viễn thông và các cơ quan, tổ chức có liên quan, bảo đảm xử lý kịp thời các nguy cơ đe dọa gây mất ATTT...