Bảo mật dữ liệu và an ninh mạng trong kỷ nguyên vươn mình

Tại đây các đại biểu tham dự đã bàn luận nhận diện sớm rủi ro an ninh mạng, đồng thời đưa ra các giải pháp, thống nhất quan điểm xây dựng hành lang pháp lý chặt chẽ là vấn đề cấp thiết, sống còn.

Bất kỳ lỗ hổng nào trong an ninh mạng đều nguy hiểm

Mở đầu toạ đàm, đồng chí Phạm Đại Dương, Ủy viên Trung ương Đảng, Phó trưởng Ban Chính sách, Chiến lược Trung ương bày tỏ: Dữ liệu được xem là tài sản chiến lược quốc gia, do vậy, chúng ta cần có những chiến lược để bảo đảm an ninh dữ liệu, an ninh mạng. Chúng ta cũng thấy rằng công nghệ số luôn phát triển liên tục với tính kết nối cao. Do vậy, quan điểm của Đảng, Nhà nước trong bảo đảm an ninh mạng, an ninh dữ liệu là trong hoạch định chính sách, cần chuyển từ tư duy phòng thủ bị động sang chủ động và tích cực nhận diện sớm những rủi ro và chủ động các biện pháp.

Chia sẻ thêm, Trung tướng Nguyễn Minh Chính, Phó Chủ tịch Hiệp hội an ninh mạng Việt Nam cho biết, Nghị quyết 57-NQ/TW là Nghị quyết dẫn đường trong kỷ nguyên mới, an ninh mạng có vị trí hết sức quan trọng, gắn chặt với an ninh quốc gia khi quá trình chuyển đổi số được đẩy mạnh. Khó có thể chỉ ra một rủi ro duy nhất vì bất kỳ lỗ hổng nào trong an ninh mạng đều nguy hiểm, hậu quá khó lường. Nước ta trong những năm qua là một trong những quốc gia chịu nhiều cuộc tấn công mạng. Các đối tượng tấn công đánh cắp dữ liệu, đánh cắp bí mật Nhà nước, sau đó có thể mã hóa, vô hiệu hóa, phá hoại hệ thống thông tin, gây hậu quả lớn cho an toàn quốc gia và đời sống xã hội. Tiếp đến, chúng ta đang phải đối mặt với thông tin giả, thông tin sai sự thật và thông tin xấu độc tấn công vào nền tảng tư tưởng của Đảng, bôi xấu lãnh đạo, phá hoại chia rẽ đoàn kết nhân dân.

Đến nay, đặc biệt khi có sự hỗ trợ của công nghệ mới trên các nền tảng số, tin giả có thể được lan truyền nhanh chóng, dẫn tới khó kiểm soát. Ngoài ra, một số cá nhân có lợi ích kinh tế, những người có ảnh hưởng (KOLs) tạo ra tin giả vì mục đích thương mại hoặc do thiếu hiểu biết cũng phát tán thông tin sai lệch, gây nhiễu loạn dư luận. Thách thức thứ ba là hoạt động tội phạm công nghệ cao diễn biến phức tạp: Đánh cắp dữ liệu cá nhân, lừa đảo chiếm đoạt tài sản, mua bán vũ khí, vật liệu nổ, mua bán ma túy. Tội phạm tạo ra các hội nhóm kín trên không gian mạng. Những vấn đề đặt ra hiện nay không chỉ đến từ yếu tố bên ngoài, mà còn xuất phát từ chính nội tại của chúng ta. Trước hết là vấn đề thể chế, pháp luật. Dù đã có khung pháp lý, song vẫn còn nhiều điểm chưa hoàn thiện. Chẳng hạn, với trí tuệ nhân tạo (AI) đang được sử dụng rộng rãi, chúng ta chưa có quy định cụ thể về phạm vi, cách thức sử dụng, hay biện pháp ngăn chặn nguy cơ công nghệ này bị lợi dụng để đánh cắp dữ liệu, đặc biệt trong hệ thống chính trị, cơ quan nhà nước và doanh nghiệp. Bên cạnh đó, còn thiếu các quy định, tiêu chuẩn và cơ chế kiểm soát chất lượng phần mềm được đưa vào sử dụng. Khi xảy ra sự cố, hậu quả để lại có thể rất nghiêm trọng.

Tương tự, Thiếu tướng Hồ Văn Hương, Phó trưởng Ban Cơ yếu Chính phủ chỉ ra thêm, có  ba nhóm lỗ hổng thường nhật liên quan đến mã hóa, phân quyền và truy vết. Nhóm thứ nhất là không mã hóa dữ liệu nhạy cảm, sử dụng các thuật toán mật mã dữ liệu lỗi thời hoặc suy yếu liên quan việc sử dụng các tham số, thuật toán giao thức mật mã mặc định, hay là lạc hậu, lỗi thời, dẫn đến nguy cơ sử dụng các mật mã yếu, dễ bị phá vỡ. Tiếp đó là mã hóa yếu, dùng lại hoặc là lỗ hổng liên quan đến lưu trữ và sử dụng việc mã hóa các biện pháp nghiệp vụ an toàn, như có nơi dùng khóa mặc định đã cài sẵn, hoặc dùng tạo khóa không thay đổi. Tiếp theo là lỗi về triển khai trong quá trình mã hóa cũng như quản lý mật khẩu không an toàn. Đó là nội dung thứ nhất liên quan tới lỗ hổng trong mã hóa.

Nhóm thứ hai là lỗ hổng về phân quyền truy cập. Nguyên tắc cơ bản của phân quyền truy cập là người dùng chỉ được làm trong phạm vi, quyền hạn. Nhưng thực tế cho thấy, rất nhiều sự cố an ninh lại bắt nguồn từ cơ chế phân quyền không được kiểm soát chặt chẽ. Nhóm thứ ba là lỗ hổng về ghi vết và giám sát dữ liệu. Bên cạnh mã hóa và phân quyền còn có một cơ chế rất quan trọng nhưng lại dễ bị bỏ qua là ghi vết và giám sát, hay còn gọi là logging và monitoring. Nếu thiếu cơ chế này, chúng ta không nhìn thấy kẻ tấn công đang làm gì và cũng không thể phản ứng kịp thời. Điểm đặc biệt nhất là lỗ hổng ghi vết không trực tiếp mở cửa cho hacker nhưng nó khiến cho các cuộc tấn công diễn ra trong im lặng, không bị phát hiện, từ đó gây ra thiệt hại nghiêm trọng hơn rất nhiều.

Nói về nguyên nhân tạo ra những rủi ro và lỗ hổng của an ninh mạng, ông Ngô Tuấn Anh, Trưởng Ban An ninh dữ liệu, Hiệp hội Dữ liệu Quốc gia cho rằng một phần là do thiếu chuẩn hóa dữ liệu giữa các hệ thống. Trước hết là vấn đề cấu hình. Ông nói, chúng ta hình dung dữ liệu nằm trong một “ngôi nhà” nhưng lại không khóa cẩn thận. Có hệ thống chứa thông tin rất quan trọng nhưng lại dùng mật khẩu yếu, cấu hình mặc định hoặc để tiếp xúc trực tiếp với internet. Khi một dịch vụ được đưa lên internet, sau vài phút sẽ có các công cụ quét và khai thác tự động trên toàn cầu. Đó là lý do nhiều hệ thống, chỉ cần sơ hở nhỏ là bị truy cập trái phép. Một rủi ro nữa là lưu trữ tràn lan. Nhiều đơn vị lưu giữ quá nhiều biểu mẫu, dữ liệu không cần thiết, dẫn tới chi phí lưu trữ tăng và mở rộng bề mặt rủi ro. Khi hệ thống lưu trữ bị xâm phạm, toàn bộ khối dữ liệu có thể bị lộ. Trong bối cảnh pháp luật về bảo vệ dữ liệu cá nhân vừa được hoàn thiện, đơn vị lưu trữ sẽ phải chịu trách nhiệm pháp lý khi xảy ra rủi ro.

Biện pháp phòng thủ ba lớp là cần thiết

Từ các bài học thực tiễn, theo ông Ngô Tuấn Anh,  không có hệ thống nào bảo đảm an toàn 100%. Các khảo sát cho thấy, nếu kẻ xấu có động cơ tấn công, tỷ lệ thành công là rất cao khi hệ thống có điểm yếu. Vì vậy, biện pháp phòng thủ đa lớp là cần thiết, trong đó sao lưu (backup) được coi là một trong những yếu tố sống còn. Các đơn vị số hoá dữ liệu cần tập trung vào ba nhóm giải pháp: Siết chặt cấu hình an toàn trước khi đưa dịch vụ lên internet; quản lý, phân loại và hạn chế lưu trữ dữ liệu không cần thiết; xây dựng quy trình phát hiện sớm, cách ly, khôi phục và phối hợp pháp lý khi xảy ra sự cố. Đây là các bước thiết yếu để bảo vệ tài sản quan trọng nhất của tổ chức: dữ liệu.

Dưới góc nhìn của doanh nghiệp, ông Nguyễn Lê Thành, nhà sáng lập, Chủ tịch điều hành Công ty bảo mật Verichains cũng thẳng thắn cho hay, trên thực tế, có nhiều vấn đề liên quan đến việc xâm nhập các hệ thống. Thông thường, các hệ thống thường bị tấn công bằng những điểm yếu: Có thể do hệ thống đã cũ quá hoặc sơ suất trong cấu hình, sai sót trong việc bảo vệ. Đôi khi, điểm yếu này xuất phát từ việc phân quyền sai, sai sót từ người dùng hoặc sai sót quản trị hệ thống. Các đối tượng khai thác lỗ hổng của hệ thống quản lý dữ liệu sẽ tìm kiếm những lỗi sai, điểm yếu này để tấn công trước. Nếu các yếu tố của hệ thống này đã được xây dựng và kiểm soát tốt, họ sẽ tiếp tục tìm kiếm ở những điểm yếu khó bảo vệ hơn. Lúc này, người dùng và quản trị viên sẽ trở thành mục tiêu của các đối tượng tấn công. Tùy vào năng lực, nhận thức về bảo mật cá nhân mà mỗi người có khả năng quản lý bảo vệ, bảo mật thông tin riêng. Điều này cho thấy, việc tự chủ công nghệ để giảm lệ thuộc vào các bên thứ ba vô cùng quan trọng.

Thế nhưng, làm được điều đó thì không dễ. Bởi xây dựng một hệ thống đòi nhiều công đoạn, cũng như sự tham gia của nhiều thành phần khác nhau và rất khó để chúng ta tự mình xây dựng toàn bộ. "Dẫu vậy, chúng ta vẫn cần nỗ lực trên tinh thần công nghệ nào có thể đầu tư sản xuất được thì vẫn nên tự sản xuất. Đồng thời, phải bảo vệ và làm tất cả những điều cần thiết để phát hiện rủi ro, phòng ngừa các lỗ hổng, điểm yếu", ông Nguyễn Lê Thành nhấn mạnh.

Phát biểu kết thúc tọa đàm, đồng chí Lê Quốc Minh, Ủy viên Trung ương Đảng, Tổng Biên tập Báo Nhân Dân, Phó Trưởng Ban Tuyên giáo và Dân vận Trung ương, Chủ tịch Hội Nhà báo Việt Nam nêu rõ, chủ đề của tọa đàm hôm nay - bảo mật dữ liệu và an minh mạng - cũng là vấn đề được Đảng, Nhà nước hết sức quan tâm, bởi tác động đến tất cả các lĩnh vực của đời sống. Ngay cả trong lĩnh vực báo chí, trong nhiều thập kỷ qua, an ninh mạng luôn là điều đáng quan ngại.

Qua chia sẻ của các chuyên gia có thể thấy, Việt Nam đã có sự chuẩn bị khá kỹ lưỡng, thậm chí có những bước đi chủ động trong bảo mật dữ liệu và ứng phó các rủi ro an ninh mạng. Tuy đây là điều đáng mừng nhưng theo đồng chí Lê Quốc Minh, vẫn còn đó những thách thức, đòi hỏi các ban, ngành, lĩnh vực, chuyên gia trong và ngoài nước phải chung tay, hợp tác để giải quyết.