Vấn đề mất an toàn thông tin (ATTT) đã và đang là mối nguy, đe dọa tới các tổ chức, cá nhân, cộng đồng và nền kinh tế Việt Nam. Điển hình là các vụ tấn công mạng liên tiếp xảy ra gần đây đối với ngành hàng không và nhiều ngân hàng. Xung quanh vấn đề này, ông Nguyễn Minh Đức (ảnh), Giám đốc dự án bảo mật Cyradar FPT đã có cuộc trao đổi với phóng viên Báo Sài Gòn Giải Phóng.
° Phóng viên: Thời gian gần đây, một loạt khách hàng mất tiền ở tài khoản ngân hàng do liên quan đến bảo mật. Ông đánh giá các vụ việc này như thế nào?
° Ông NGUYỄN MINH ĐỨC: Trên thế giới cũng như ở Việt Nam, các vụ tấn công lấy cắp tiền ở tài khoản ngân hàng vẫn thường diễn ra. Ở đây có 2 vấn đề lớn. Thứ nhất là bản thân hệ thống giao dịch của ngân hàng cần phải rà soát lại, đảm bảo an toàn hơn. Thứ hai, quan trọng hơn, là từng người sử dụng cần phải ý thức được số tiền trong tài khoản của họ luôn trở thành nguy cơ để kẻ xấu tấn công, lấy cắp. Trong nguyên nhân thứ nhất, hệ thống ngân hàng có thể tồn tại lỗ hổng. Chúng ta không loại trừ khả năng này và trong tình huống đó, các cuộc tấn công có thể diễn ra âm thầm và số tiền mà tin tặc lấy được có thể là rất lớn. Trường hợp còn lại, có thể người dùng đã bị lừa, đăng nhập tài khoản, mật khẩu của mình vào các trang web, dịch vụ lừa đảo. Lúc này, số tiền bị mất có thể lớn đối với cá nhân, nhưng nếu nhìn những cuộc tấn mạng vào ngành tài chính, ngân hàng thì con số đó không phải lớn.
Hầu hết những vụ việc diễn ra gần đây ở các ngân hàng Việt Nam là rơi vào trường hợp thứ hai. Do nhiều lý do, người dùng đã thiếu cẩn trọng và bị mất tiền trong tài khoản của mình. Nhưng theo tôi, chúng ta phải nhìn nhận không chỉ riêng lỗi của người dùng, mà các ngân hàng cũng nên có cơ chế, hay ít nhất là cung cấp thêm những công cụ cho người sử dụng được an toàn khi thực hiện các giao dịch trên mạng. Các hãng bảo mật cũng cần có những giải pháp riêng cho các ngân hàng cũng như bản thân những người sử dụng, giúp họ giao dịch an toàn hơn.
° Hiện nay, khách hàng đang có xu hướng chuyển từ giao dịch truyền thống sang giao dịch trên Internet (ibanking). Nhưng theo nhiều người, đây là hình thức giao dịch không an toàn. Ông có nhận định gì?
° Thực tế trên phạm vi toàn thế giới, giao dịch ibanking rất phổ biến và đang phát triển mạnh mẽ. Đúng là nó có những rủi ro đi cùng, nhưng đi kèm là các giải pháp để hạn chế rủi ro đó. Nếu chỉ nhìn nhận trên góc độ rủi ro không, thì toàn thế giới sẽ không có ngành banking thế hệ mới được.
° Sau ngân hàng, một loạt các sự cố an ninh mạng cũng xảy ra ở lĩnh vực hàng không. Dường như, vấn đề mất an toàn thông tin tại Việt Nam không còn là nguy cơ, thưa ông?
° Các cuộc tấn công mạng luôn có những mục đích khác nhau. Thường thì những cuộc tấn công mà chúng ta nhìn thấy là liên quan đến tài chính, lấy trộm tiền. Nhưng còn có những cuộc tấn công không phải vì tài chính và tùy theo từng vụ việc, mà mức độ tinh vi, mục đích luôn khác nhau. Đó có thể là tấn công để ăn cắp dữ liệu hoặc tấn công phá hoại... Vấn đề quan trọng nhất mà chúng ta cần giải quyết đó là phối hợp được cả 3 yếu tố, đối với bất kỳ doanh nghiệp hay tổ chức cung cấp dịch vụ. Đầu tiên là công nghệ. Ít nhất là chúng ta phải có công nghệ đảm bảo về ATTT. Thứ hai là quy trình để vận hành hệ thống, công nghệ ATTT đó. Cuối cùng là con người đủ chuyên môn để quản lý, vận hành hệ thống đó. Hiện nay, Chính phủ mà trực tiếp là Bộ TT-TT đang tích cực đẩy mạnh việc bảo đảm ATTT, từ chính sách đào tạo nguồn nhân lực, đến xây dựng hệ thống quy trình, đánh giá, vận hành, ứng cứu... Ở phía ngược lại, các doanh nghiệp, tổ chức cũng cần xem xét, đánh giá lại hệ thống của mình. Cần lấy năm 2017 là năm ATTT và lấy đó làm cơ sở để trong 3-5 năm tới, chúng ta đủ sức để đảm bảo ATTT, đối phó được các cuộc tấn công mạng trong thời gian tới.
° Trong 3 yếu tố nói trên, ở Việt Nam hiện nay, khâu nào là yếu nhất?
° Chắc chắn là con người, hay nói cách khác nguồn nhân lực đảm bảo ATTT. Không chỉ ở Việt Nam mà trên thế giới luôn trong tình trạng thiếu nhân lực để vận hành và giám sát các quy trình, hệ thống đảm bảo ATTT. Trong hầu hết các cuộc tấn công mạng, trước khi xảy ra thì luôn có những dấu hiệu, cảnh báo từ phần mềm của hệ thống, nhưng lại không có người nhìn nhận ra vấn đề đó, để ngăn chặn kịp thời. Khi vụ tấn công diễn ra, hoặc xong rồi thì chúng ta mới thấy được điều đó.
° Vì sao vấn đề nguồn lực CNTT nói chung, ATTT nói riêng đã được nói đến rất nhiều và từ lâu, nhưng đến nay vẫn thiếu hụt, khan hiếm, thưa ông?
°Thực tế thì cũng có những khó khăn nhất định. Thứ nhất là vấn đề đào tạo, gần đây thì mới có chính sách của Nhà nước cho một số trường đại học đào tạo chuyên ngành ATTT. Đây là xu hướng mới và khá cập nhật. Thứ hai là trước đến nay, hầu hết những người làm ATTT đi từ ngành khác sang, tự học để làm việc. Vì vậy, có những hạn chế nhất định về cả số lượng và chất lượng. Một vấn đề khác, đầu tư cho một hệ thống ATTT là khá tốn kém, và không nhìn thấy ngay hiệu quả kinh tế mang lại. Chính vì vậy, ATTT cho doanh nghiệp, tổ chức luôn là cái cuối cùng trong đầu tư, thậm chí là bị bỏ qua. Chỉ đến khi có sự cố xảy ra, thì bắt đầu tìm cách khắc phục. Khi đó thì thường là không mấy hiệu quả. Yếu tố con người ở đây, không chỉ là nguồn nhân lực ATTT, mà đó còn là nhận thức của mọi người, nhất là những lãnh đạo của doanh nghiệp, tổ chức với vấn đề này.
° Ông đánh giá như thế nào về cái gọi là nguy cơ chiến tranh mạng ở Việt Nam hiện nay?
° Thực tế thì đây là một nguy cơ đang gia tăng trên toàn thế giới. Chiến tranh mạng không chỉ là “bắn phá” vào hệ thống của nhau, mà nó đã và đang diễn ra dưới hình thức gián điệp. Đó là việc xâm nhập vào hệ thống để lấy cắp các dữ liệu quan trọng. Đây là nguy cơ lớn nhất hiện nay. Nhìn từ các cuộc tấn công đã diễn ra, chúng ta thấy rằng, những kẻ tấn công có thể đã xâm nhập và kiểm soát được rất nhiều hệ thống trọng yếu. Chúng ta phải nghiêm túc nhìn lại, đánh giá, rà soát hệ thống của mình để phát hiện sớm nhất những lỗ hổng, nguy cơ bị tấn công; đồng thời có biện pháp khắc phục để giảm thiểu được những rủi ro thiệt hại về ATTT trong thời gian tới.
° Xin cảm ơn ông!
TRẦN LƯU (thực hiện)
