VNCERT thực hiện khảo sát, đánh giá mức độ quan tâm đảm an toàn, an ninh thông tin trong các lĩnh vực tài chính – ngân hàng nhằm tăng cường năng lực cho các cán bộ, bộ phận chuyên trách ứng cứu sự cố an toàn thông tin mạng trên toàn quốc và hỗ trợ công tác nghiên cứu xây dựng các chính sách, biện pháp để tăng cường năng lực, hiệu quả hoạt động của mạng lưới ứng dụng, trong đó VNCERT đóng vai trò là Cơ quan điều phối quốc gia.

Dưới đây là một số kết quả của cuộc khảo sát mức độ quan tâm về an toàn, an ninh mạng và hiện trạng bảo mật của các doanh nghiệp cung cấp dịch vụ tài chính – ngân hàng tại Việt Nam đã được ông Nguyễn Trọng Đường, Giám đốc VNCERT, Bộ Thông tin và Truyền thông báo cáo tại Hội thảo Security World 2019.

Tình hình chung

Trong thời gian gần đây, các cuộc tấn công mạng, gián điệp, tội phạm mạng không ngừng gia tăng nhằm đánh cắp dữ liệu, thông tin bí mật nhà nước, phá hoại hệ thống thông tin. Hoạt động tội phạm mạng ngày càng tinh vi, gây ra nhiều hậu quả nghiệm trọng, đe dọa đến trật tự an toàn xã hội, sự ổn định chính trị, an ninh của hầu hết các quốc gia, các vùng lãnh thổ và các tập đoàn lớn.

Đặc biệt, trong lĩnh vực tài chính – ngân hàng, những năm gần đây đã ghi nhận hàng loạt các cuộc tấn công có chủ đích được thiết kế tinh vi và có quy mô lớn trên thế giới nhằm vào các tổ chức/doanh nghiệp (TC/DN) như: Cổng thanh toán trực tuyến Wonga của Anh bị lộ 270.000 tài khoản khách hàng; Tesco Bank bị đánh cắp 2,5 triệu Bảng Anh từ 9.000 khách hàng; mã độc mã hóa dữ liệu WannaCry và Petya tấn công các ngân hàng của nhiều nước trên thế giới, đặc biệt là Ngân hàng Trung Quốc Bank of China và Ngân hàng trung ương Nga…. Tại Việt Nam, báo cáo tháng 01/2019 của VNCERT đã ghi nhận chiến dịch tấn công có chủ đích (APT) của tin tặc nhằm vào các hệ thống thông tin của ngân hàng và TC/DN chủ quản hệ thống thông tin hạ tầng quan trọng quốc gia tại Việt Nam.

Từ thực tế này, các kết quả khảo sát cụ thể đối với mức độ quan tâm về an toàn thông tin mạng và hiện trạng bảo mật thông tin của các doanh nghiệp tài chính – ngân hàng được thể hiện qua các số liệu giới đây.

Mức độ đầu tư về an toàn, an ninh mạng 

Ngân sách đầu tư cho ATBMTT trong năm 2018

Các TC/DN cung cấp dịch vụ tài chính – ngân hàng tại Việt Nam trung bình chỉ đầu tư từ 50.000 USD đến 100.000 USD cho công tác ATBMTT (50% các đơn vị được khảo sát), số TC/DN dành khoản ngân sách đầu tư cho ATBMTT trên 100.000 USD chỉ chiếm 20%. Mức độ đầu tư này so với các nước trên thế giới được cho là khá khiêm tốn.

Qua số liệu khảo sát cũng cho thấy, đầu tư cho ATBMTT tại các TC/DN chiếm một tỷ trọng nhỏ (thường chiếm từ 5% đến 15%) trong tổng chi phí cho đầu tư công nghệ thông tin (CNTT). Cụ thể được thống kê như sau: 

Tỉ lệ các hạng mục đầu tư cho ATBMTT

Đối với các hạng mục đầu tư cho ATBMTT, các TC/DN chú trọng đầu tư ngân sách vào đào tạo nâng cao trình độ nhân viên kỹ thuật và dịch vụ tư vấn.

Các vấn đề về ATBMTT được quan tâm năm 2019

Trong thời gian tới, tình hình an toàn, an ninh mạng được dự báo sẽ có nhiều biến động khó lường. Một số nguy cơ mất an toàn thông tin hiện hữu như tấn công mạng, đặc biệt là tấn công lây nhiễm mã độc sử dụng trí tuệ nhân tạo; tấn công mạng vào các hệ thống thương mại điện tử, tài chính – ngân hàng với mục tiêu tống tiền, đánh cắp thông tin, dữ liệu của TC/DN, cá nhân…. Điều này đòi hỏi các TC/DN phải quan tâm đến vấn đề về an ninh, bảo mật, tăng cường các biện pháp đảm bảo an toàn, an ninh mạng cho hệ thống của TC/DN.

Các trở ngại lớn nhất trong ATBMTT

Trong các vấn đề về an ninh, bảo mật được các TC/DN quan tâm năm 2019, thì các trở ngại lớn nhất trong ATBMTT có số liệu như sau:

Như vậy, các nhân tố gây trở ngại lớn nhất trong việc đảm bảo ATBMTT cho các doanh nghiệp tài chính – ngân hàng hiện tại được xác định là do nhân viên thường xuyên vi phạm các chính sách ATBMTT (chiếm tới 70% đơn vị) và hạn chế nguồn nhân lực CNTT/ATBMTT. Khó khăn trong chọn nhà cung cấp về giải pháp đảm bảo an ninh, an toàn thông tin chiếm tỉ trọng khá lớn (hơn 40% đơn vị). Hiện tại, việc thuyết phục lãnh đạo về tầm quan trọng của ATBMTT cũng là một trở ngại mà người xây dựng chính sách phải đối mặt.

Theo ghi nhận của Bộ Công an, mỗi năm có hàng nghìn trang mạng của Việt Nam bị tin tặc tấn công. Riêng 6 tháng đầu năm 2019, đã phát hiện trên 2.500 trang tin, cổng thông tin điện tử tên miền quốc gia Việt Nam bị tấn công; hàng trăm ngàn máy tính bị nhiễm mã độc.

Các hướng tấn công chính mà TC/DN thường xuyên đối diện

Với 6 hướng tấn công chính được khảo sát, số liệu đánh giá cho thấy, hướng tấn công bằng mã độc chiếm tỉ trọng cao nhất (xấp xỉ 50% đơn vị bị tấn công), email giả mạo (hơn 40%) và phần mềm gián điệp (hơn 20%)….

Kết quả khảo sát này tương quan với tình hình tấn công mạng phổ biến tại Việt Nam trong quý 1/2019, được thể hiện như sau:

Các hạng mục ATBMTT được quan tâm thực hiện nhất của các TC/DN tài chính - ngân hàng là Quản lý truyền thông và vận hành, An ninh vật chất và môi trường cũng như Quản lý sự cố an ninh thông tin. Kết quả cho thấy, Chính sách ATBMTT chưa được thực hiện tại gần 50% các TC/DN, như vậy các nhà đảm bảo ATBMTT tư vấn cho TC/DN chưa tốt hoặc chưa thực sự tiếp cận đến TC/DN.

Các nhiệm vụ ATBMTT được ưu tiên trong năm 2019

Các TC/DN đã ưu tiên thực hiện các nhiệm vụ với mục tiêu: Chống thất thoát dữ liệu qua hệ thống mạng ưu tiên hàng đầu (chiếm 70% đơn vị). Phát hiện và khắc phục lỗ hổng an toàn thông tin và Kết xuất báo cáo phục vụ công tác phân tích, đánh giá tình hình về an toàn thông tin mạng là các nhiệm vụ được ưu tiên thực hiện tiếp theo. Nhiệm vụ bảo về hệ thống CNTT trước các cuộc tấn công mạng cũng được các TC/DN quan tâm thực hiện. 

Một số khuyến nghị, đề xuất để đảm bảo ATBMTT

Lĩnh vực tài chính – ngân hàng thu hút mạnh mẽ giới tội phạm mạng trên toàn cầu vì nguồn thu nhập lớn. Trong khi các quốc gia, vùng lãnh thổ và các TC/DN tài chính – ngân hàng quốc tế nói chung và tại Việt Nam nói riêng đầu tư nhiều vào các phương pháp mới để bảo vệ các dịch vụ trực tuyến, thì tội phạm mạng cũng tăng cường các biện pháp để vượt qua các bức tường bảo vệ. Từ nhu cầu ATBMTT, Trung tâm VNCERT đã tổng hợp và đưa ra một số khuyến nghị, đề xuất các giải pháp cần thực thi trong các TC/DN như sau:

- Tăng cường các giải pháp xác thực khách hàng phù hợp cho các dịch vụ trực tuyến như SMS OTP, Soft OTP, token OTP, sinh trắc học, chữ ký số;

- Giám sát giao dịch điện tử, phòng ngừa gian lận;

- Tăng cường hệ thống giám sát ATBMTT có khả năng cảnh báo sớm, chính xác các nguy cơ, sự cố;

- Đầu tư đồng bộ giải pháp, sản phẩm, dịch vụ, con người;

- Sẵn sàng các phương án ứng cứu sự cố: phòng chống tấn công từ chối dịch vụ (DoS, DDoS); tấn công APT; chống mã độc, botnet...;

- Xây dựng các trung tâm dữ liệu dự phòng, các giải pháp lưu trữ và phục hồi dữ liệu hiện đại;

- Tuân thủ chính sách, quy định ATBMTT; xây dựng năng lực kiểm soát, dự phòng rủi ro; triển khai tiêu chuẩn ISO/IEC 27001, PCI DSS, khung kiểm soát rủi ro COBIT hay ISO/IEC27005;

- Tăng cường công tác đào tạo kỹ năng; huấn luyện diễn tập các kịch bản ứng cứu sự cố;

- Tham gia sâu, rộng vào Mạng lưới ứng cứu sự cố quốc gia; tăng cường khả năng hỗ trợ ứng cứu, sẵn sàng tham gia hỗ trợ giải quyết sự cố khi có yêu cầu;

- Xây dựng Mạng lưới CERT trong lĩnh vực ngân hàng; tăng cường liên kết, trao đổi thông tin về sự cố giữa các đơn vị, doanh nghiệp trong cùng lĩnh vực;

- Chú trọng công tác phổ biến quy định, nâng cao nhận thức về ATBMTT;

- Tăng cường công tác truyền thông, kết nối và thông tin đến khách hàng.