(Quanlynhanuoc.vn) – Các hoạt động của con người ngày nay phụ thuộc nhiều vào công nghệ thông tin và truyền thông. Điều này khiến cho các cá nhân, tổ chức và các quốc gia dễ bị tấn công qua các hệ thống thông tin, như các hình thức hacking (thâm nhập trái phép), cyberterrorism (khủng bố mạng), cybercrime (tội phạm mạng) cũng như các hình thức tương tự. Một số cá nhân và tổ chức được trang bị để có thể đối phó với các cuộc tấn công như vậy. Chính phủ có vai trò quan trọng trong công tác bảo đảm an ninh thông tin thông qua việc mở rộng hạ tầng thông tin – truyền thông và thiết lập các hệ thống bảo vệ chống lại những nguy cơ đối với an ninh thông tin.
Vai trò của an toàn, bảo mật thông tin
An toàn thông tin là sự bảo vệ thông tin và các hệ thống thông tin, tránh bị truy nhập, sử dụng, tiết lộ, gián đoạn, sửa đổi hoặc phá hoại trái phép nhằm bảo đảm tính nguyên vẹn, tính bảo mật và tính khả dụng của thông tin. Theo đó, an ninh thông tin (ANTT) là việc bảo đảm thông tin trên mạng không gây phương hại đến an ninh quốc gia, trật tự an toàn xã hội, bí mật nhà nước, quyền và lợi ích hợp pháp của tổ chức, cá nhân.
Bảo mật là việc bảo vệ những thứ có giá trị. Trong đó, bảo mật thông tin là một chủ đề rộng bao gồm tất cả các vấn đề bảo mật có liên quan đến lưu trữ và xử lý thông tin. Lĩnh vực nghiên cứu chính của bảo mật thông tin gồm các vấn đề pháp lý, như hệ thống chính sách, các quy định, yếu tố con người; các vấn đề thuộc tổ chức như kiểm toán xử lý dữ liệu điện tử, quản lý, nhận thức; và các vấn đề kỹ thuật như kỹ thuật mật mã, bảo mật mạng, công nghệ thẻ thông minh… Bảo mật thông tin là bảo quản tính bảo mật, tính toàn vẹn và tính sẵn có của thông tin. Ngoài ra, các tính chất khác, như tính xác thực, trách nhiệm, không thoái thác và độ tin cậy cũng có thể được tham gia (định nghĩa theo tiêu chuẩn ANTT ISO/IEC 27000: 2009 – Viện Tiêu chuẩn Anh quốc). Các nguyên tắc cơ bản của bảo mật thông tin thường được tóm tắt bởi bộ ba CIA (Confidenttiality, Integrity, Availability): tính bảo mật, tính toàn vẹn và tính sẵn sàng.
An ninh mạng là sự bảo đảm hoạt động trên không gian mạng không gây phương hại đến an ninh quốc gia, trật tự, an toàn xã hội, quyền và lợi ích hợp pháp của cơ quan, tổ chức, cá nhân. Đối tượng xâm phạm an ninh mạng là loại tội phạm thực hiện hành vi sử dụng không gian mạng, công nghệ thông tin hoặc phương tiện điện tử để thực hiện tội phạm được quy định tại Điều 288 Bộ luật Hình sự.
Hành vi tấn công mạng là hành vi sử dụng không gian mạng, công nghệ thông tin (CNTT) hoặc phương tiện điện tử để phá hoại, gây gián đoạn hoạt động của mạng viễn thông, mạng internet, mạng máy tính, hệ thống thông tin, hệ thống xử lý và điều khiển thông tin, cơ sở dữ liệu, phương tiện điện tử. Hành vi khủng bố mạng là việc sử dụng không gian mạng, CNTT hoặc phương tiện điện tử để thực hiện hành vi khủng bố, tài trợ khủng bố. Còn gián điệp mạng là hành vi cố ý vượt qua cảnh báo, mã truy cập, mật mã, tường lửa, sử dụng quyền quản trị của người khác hoặc bằng phương thức khác để chiếm đoạt, thu thập trái phép thông tin, tài nguyên thông tin trên mạng viễn thông, mạng internet, mạng máy tính, hệ thống thông tin, hệ thống xử lý và điều khiển thông tin, cơ sở dữ liệu, phương tiện điện tử của cơ quan, tổ chức, cá nhân.
Trong thời đại phát triển mạnh mẽ của CNTT, thông tin trở thành tài sản sống còn của bất cứ một tổ chức nào. Việc xây dựng một hệ thống ANTT nhằm loại bỏ các cuộc tấn công từ bên ngoài cũng như từ chính bên trong của tổ chức trở thành vấn đề tối quan trọng được quan tâm hàng đầu.
Vấn đề hết sức nổi cộm và nhức nhối hiện nay là vấn đề mất an toàn bảo mật thông tin, một loại tội phạm mới đang xuất hiện trong thời đại công nghệ, đó là tội phạm công nghệ cao, các loại tin tặc chuyên đánh cắp thông tin (hacker). Những đối tượng này thường xuyên khai thác, xâm nhập vào các lỗ hổng của hệ thống thông tin, hệ thống mạng nhằm mục đích phá hoại, khai thác dữ liệu quan trọng của hệ thống. Vấn nạn mất an toàn, bảo mật thông tin không chỉ ảnh hưởng lớn đến sự phát triển về mặt kinh tế của các quốc gia mà còn phá hoại diễn biến hòa bình và an ninh của các quốc gia.
Việc bảo đảm an toàn bảo mật thông tin, an ninh mạng cho các hệ thống thông tin, các hệ thống mạng tin học, viễn thông tại các cơ quan nhà nước đang là chủ đề nóng và luôn nhận được sự quan tâm đặc biệt của các ngành, các cấp lãnh đạo. Thực tế cho thấy, hầu hết các cuộc xung đột chính trị, kinh tế hay quân sự ngày nay đều có sự tham gia của yếu tố công nghệ cao. Vì thế mất an toàn bảo mật thông tin không chỉ ảnh hưởng đến sự phát triển kinh tế, chính trị mà còn ảnh hưởng lớn đến hòa bình và chủ quyền lãnh thổ của một quốc gia.
Thực trạng an toàn, bảo mật thông tin
CNTT – viễn thông cùng cuộc cách mạng công nghiệp 4.0 phát triển đang góp phần quan trọng nâng cao năng lực quản lý, điều hành, sản xuất – kinh doanh, xóa đói, giảm nghèo; rút ngắn khoảng cách địa lý. Thông qua mạng internet, việc quản lý, điều hành theo mô hình Chính phủ điện tử ở nước ta đã bước đầu được triển khai; các doanh nghiệp đã thực hiện các hình thức giao dịch mới trong hoạt động sản xuất – kinh doanh như: kê khai thuế, hải quan điện tử, thanh toán thẻ, thanh toán điện tử, thanh toán trực tuyến, dịch vụ giá trị gia tăng, thương mại điện tử,…
Xu thế hội tụ công nghệ và dịch vụ viễn thông – CNTT – truyền thông cùng với quá trình toàn cầu hóa đang tạo ra những cơ hội đột phá toàn diện nhưng cũng đặt ra những thách thức to lớn về bảo đảm an ninh, an toàn mạng máy tính, hệ thống thông tin số, hạ tầng quốc gia, doanh nghiệp và quy trình quản lý, ứng dụng tin học vào thực tiễn do nguy cơ mới từ tội phạm sử dụng công nghệ cao mang lại.
Theo báo cáo của Tổ chức Cảnh sát hình sự quốc tế, tội phạm sử dụng công nghệ cao đứng thứ 2 trong các loại tội phạm nguy hiểm nhất, sau tội phạm khủng bố. Do đặc thù của loại tội phạm này là hoạt động trên môi trường mạng, mọi tổ chức, cá nhân có kết nối với mạng internet đều có thể trở thành nạn nhân. Trên phạm vi toàn cầu, tội phạm mạng gây thiệt hại lên tới khoảng 600 tỷ USD mỗi năm, tương đương 0,8% GDP toàn cầu. Trong đó, khu vực Đông Á thiệt hại ước tính từ 120 – 200 tỷ USD, tương đương 0,53 – 0,89% GDP khu vực1.
Năm 2018, thiệt hại do virus máy tính gây ra đối với người dùng Việt Nam đã lên mức kỷ lục 14.900 tỷ đồng, tương đương 642 triệu USD, nhiều hơn 21% so với mức thiệt hại của năm 20172. Qua thống kê, có tới hơn 60% cơ quan, doanh nghiệp tại Việt Nam bị nhiễm mã độc đào tiền ảo. Trung bình cứ 10 cơ quan, doanh nghiệp, có 6 nơi bị mã độc chiếm quyền điều khiển máy tính đào tiền ảo, gây mất ANTT. Hơn 1,8 triệu lượt máy tính tại Việt Nam bị mất dữ liệu, các mã độc mã hóa tống tiền lây chủ yếu qua email. Số máy tính bị nhiễm mã độc lây qua USB luôn ở mức cao3.
Năm 2018 nổi lên hiện tượng lấy cắp tài khoản Facebook thông qua các comment dạo (bình luận trên Facebook). Hơn 83% người sử dụng mạng xã hội Facebook đã gặp các bình luận kiểu này4. Đây cũng là năm mà thế giới chứng kiến rất nhiều các vụ việc rò rỉ thông tin cá nhân người dùng nhiều nhất từ trước đến nay có thể kể tới như: Facebook liên tiếp gây rò rỉ thông tin người dùng; Google+ bị khai tử do tồn tại lỗ hổng bảo mật gây rò rỉ dữ liệu người dùng; tin tặc đánh cắp 90 GB dữ liệu của Apple. Tại Việt Nam cũng xảy ra rất nhiều các vụ việc nghiêm trọng liên quan đến dữ liệu cá nhân như: rò rỉ thông tin dữ liệu của 5,4 triệu khách hàng Thế Giới Di Động; lộ dữ liệu thông tin khách hàng của FPT Shop; 275 nghìn dữ liệu Ngân hàng Hợp tác xã Việt Nam bị tin tặc khai thác…5.
Một số phương thức thủ đoạn phổ biến nhằm đánh cắp thông tin dữ liệu cá nhân của người dùng mà các đối tượng thường sử dụng như:
– Thông qua các website: với thủ đoạn này, các đối tượng sẽ tạo lập hoặc lợi dụng các website có nội dung hấp dẫn thu hút người dùng, khi người dùng truy cập sẽ âm thầm cài cắm mã độc vào máy tính và các thiết bị thông minh mà người dùng không hề hay biết để thu thập thông tin. Ví dụ như: đính kèm các mã độc vào các trang game online, các trang web có nội dung đồi trụy… hoặc đối tượng tạo ra các trang đăng nhập thông tin giả mạo (facebook, email, bank). Những trang này sẽ được gửi qua email đến nạn nhân và chúng có giao diện giống hệt với trang đăng nhập của các nhà cung cấp dịch vụ. Nếu nạn nhân mất cảnh giác và thực hiện đăng nhập thông tin trên trang web đó, thông tin sẽ được gửi đến hacker thay vì là các nhà cung cấp dịch vụ như họ nghĩ.
– Thông qua phần mềm miễn phí trên mạng: với một số phần mềm được cung cấp miễn phí trên mạng internet, đặc biệt là đối với những phầm mềm không rõ nguồn gốc, phần mềm bẻ khóa, các đối tượng sẽ lợi dụng để cài cắm các mã độc đính kèm, khi người dùng tải về máy và tiến hành cài đặt thì vô tình cài đặt mã độc lên chính thiết bị của mình. Và các mã độc này sẽ tiến hành âm thầm thu thập thông tin cá nhân người dùng. Ví dụ: các chương trình crack, patch phần mềm; một số phần mềm diệt virus giả mạo như AntivirusGold, Antivirus PC 2009, AntiSpyware Shield Pro, DoctorTrojan…
– Thông qua hòm thư điện tử: các mẫu virus mới thường giả mạo địa chỉ email của cán bộ, đồng nghiệp trong cơ quan để gửi file cho cán bộ khác bằng tiếng Việt với nội dung như liên quan tiền lương, xin ý kiến, chương trình công tác… Kẻ xấu thường tìm hiểu kỹ tên tuổi, chức vụ của người trong cơ quan trước khi tiến hành phát tán mã độc qua email.
– Tấn công sử dụng USB, CD, DCD là vật trung gian: đây là các mã độc được viết riêng, có chủ định, không bị các chương trình diệt vi rút phát hiện. Các mã độc này sử dụng USB, CD, DCD làm vật trung gian. Đặc biệt, các đối tượng có thể cài cắm các mã độc này vào cả những USB, CD, DCD mới, được bán trôi nổi trên thị trường. Khi các thiết bị lưu trữ này đã nhiễm mã độc cắm vào máy tính, chúng tiến hành thu gom dữ liệu do các đối tượng quy định (file tài liệu, file ảnh…), dữ liệu được nén và mã hóa trong các thư mục mà bình thường không phát hiện được. Khi có điều kiện kết nối internet sẽ gửi ra máy chủ đặt ở nước ngoài.
– Tấn công qua các thiết bị thông minh (IoT): đây là một thủ đoạn mới, các đối tượng thường nhắm vào các thiết bị thông minh có kết nối internet như: Router wifi, camera an ninh, điện thoại thông minh… Bằng việc tiến hành rà quét nhằm phát hiện và lợi dụng các lỗ hổng an ninh phổ biến trên các thiết bị này như: sử dụng tài khoản và mật khẩu mặc định của nhà sản xuất, không cập nhật các bản vá lỗi thường xuyên… Từ đó, cài cắm mã độc nhằm theo dõi, thu thập dữ liệu, đe dọa hoặc tống tiền người dùng. Ngoài ra, các đối tượng còn sử dụng nhiều thiết bị nghe lén thông minh để thu thập thông tin.
Ngoài những thủ đoạn phổ biến kể trên, việc lộ lọt các thông tin cá nhân của người dùng còn xuất phát từ chính người dùng. Nhận thức của một bộ phận người dân về nguy cơ mất an ninh, an toàn thông tin còn hạn chế, tác phong giao tiếp trên môi trường mạng còn tùy tiện. Nhu cầu trao đổi thông tin qua USB, thư điện tử ngày càng nhiều nhưng chưa có các biện pháp cụ thể và toàn diện để bảo đảm an ninh, an toàn thông tin mạng (ATTTM). Các cơ quan, tổ chức chưa có đủ nhân lực, vật lực để thực hiện công tác bảo đảm an ninh, ANTT; chưa kiểm soát hết khả năng mất an ninh, ANTT do các phần mềm, thiết bị phần cứng nhập ngoại.
Giải pháp tăng cường bảo mật, an toàn thông tin
Cùng với quá trình triển khai Chính phủ điện tử, vấn đề bảo đảm an toàn, ANTT đối với ứng dụng CNTT trong hoạt động của các cơ quan nhà nước ngày càng trở nên quan trọng và cấp thiết. Ở nhiều nước, Chính phủ đưa ra chiến lược hoặc chính sách bảo đảm an toàn, ANTT quốc gia, đặc biệt nhấn mạnh vấn đề bảo đảm an toàn, ANTT trong quá trình triển khai Chính phủ điện tử.
Thứ nhất, cần tăng cường xây dựng thể chế quản lý nhà nước về ATTTM internet. Trong đó, quy định cụ thể về chia sẻ thông tin mạng, quản lý và bảo đảm ATTTM, như: ban hành kế hoạch hướng dẫn thực hiện quy tắc an ninh mạng cho toàn khu vực quân sự; xây dựng, hoàn thiện các tiêu chuẩn/quy chuẩn về ATTTM internet, bảo đảm hoạt động thiết lập, vận hành, kinh doanh mạng internet hoặc thông qua mạng internet cung cấp các dịch vụ phải tuân theo pháp luật, luật hành chính và các yêu cầu bắt buộc của tiêu chuẩn quốc gia; xây dựng các tiêu chuẩn chung về các biện pháp ATTTM internet cho các cơ quan hành chính quốc gia và các tổ chức liên quan…
Thứ hai, cần có các cơ quan cấp quốc gia để quản lý và chịu trách nhiệm về ATTTM và đứng đầu các cơ quan này là những lãnh đạo cấp cao của đất nước. Chẳng hạn như: có thể thành lập Tổ giám sát internet và công nghệ thông tin; Ban chiến lược an ninh mạng trực thuộc Chính phủ; hoặc Hội đồng an ninh… nhằm giúp Chính phủ xây dựng học thuyết an ninh mạng quốc gia và chỉ đạo, hướng dẫn các cơ quan, ban, ngành trong việc bảo đảm ANTT quốc gia.
Đồng thời, Chính phủ quy định cơ quan phụ trách bảo đảm ATTTM internet đối với hệ thống thông tin quan trọng về an ninh quốc gia và tổ chức thực hiện bảo đảm ATTTM internet đối với từng ngành, từng lĩnh vực. Cần quy định trách nhiệm của cơ quan chủ quản hệ thống thông tin quan trọng về an ninh quốc gia.
Thứ ba, hỗ trợ, gia tăng quyền hạn cho các cơ quan chuyên trách bảo đảm ATTTM internet và bắt buộc sử dụng thông tin thật khi sử dụng dịch vụ trên không gian mạng, nghiêm cấm lan truyền tin tức giả trên mạng xã hội.
Hiện nay, hầu hết các quốc gia quy định buộc các nhà cung cấp dịch vụ internet phải lưu trữ lịch sử duyệt web của người dùng trong một khoảng thời gian nhất định và cho phép cơ quan điều tra truy cập, tấn công vào máy tính, thiết bị mạng của cá nhân để theo dõi nghi phạm, thu thập dữ liệu. Các sản phẩm, dịch vụ mạng có chức năng thu thập thông tin người dùng phải thể hiện, thông báo rõ để người dùng biết và phải được sự đồng ý của người dùng.
Thứ tư, rà soát và tiến hành thẩm tra lý lịch đối với người phụ trách và các cá nhân chủ chốt trong lĩnh vực ATTTM; định kỳ tổ chức các lớp tập huấn, bồi dưỡng về kiến thức, kỹ thuật và đánh giá kỹ năng ATTTM internet cho các nhân viên trong ngành an ninh mạng; lập phương án khôi phục kho dữ liệu và hệ thống quan trọng phòng khi có sự cố hoặc thảm họa xảy ra; lập phương án, giải pháp phản ứng nhanh với sự cố ATTTM internet và định kỳ tiến hành diễn tập; ký các cam kết bảo mật an ninh với nhà cung cấp theo quy định.
Cấp quốc gia thiết lập cơ chế, biện pháp, chính sách đặc biệt để mở rộng cơ hội tuyển dụng chuyên gia máy tính giỏi, Chính phủ cung cấp một khoản hỗ trợ ưu đãi cho các nhân viên, yêu cầu các cơ quan chính phủ đề ra kế hoạch bồi dưỡng, đề cử lãnh đạo “giám sát ATTTM internet và thông tin hóa” để quản lý công tác đào tạo. Các nhân viên ưu tú nhất sẽ được chuyển đến các trung tâm an ninh mạng và các doanh nghiệp tư nhân, chịu trách nhiệm giám sát các hoạt động tấn công mạng nhằm vào Chính phủ (kinh nghiệm của Anh, Nhật Bản).
Thứ năm, cần nâng cao tiềm lực bảo đảm ATTTM internet quốc gia, bảo đảm khả năng giải quyết, xử lý những vấn đề mang tính chiến lược, đột phá. Hầu hết các quốc gia đều phân công lực lượng an ninh chịu trách nhiệm bảo đảm an ninh hệ thống mạng thông tin trọng yếu quốc gia, trực tiếp tiến hành công tác quản lý nhà nước, điều tra, xử lý các vụ tấn công mạng vào hệ thống này; lực lượng quân đội chịu trách nhiệm xử lý sự cố mạng và bảo vệ an toàn hệ thống thông tin quân sự (như kinh nghiệm của Hoa Kỳ, Anh, Nhật Bản…).
Đồng thời, cần sớm hoàn thiện hệ thống văn bản pháp luật để tăng cường an toàn, bảo mật thông tin…
Chú thích:
1, 5. Thực trạng và giải pháp phòng ngừa lộ lọt thông tin cá nhân trên không gian mạng. http://csnd.vn, ngày 26/9/2019.
2. Những nguyên nhân khiến máy tính bị dính vi rút. http://kynguyenso.plo.vn, ngày 19/12/2018.
3. Tin tặc làm bốc hơi hơn 20 nghìn tỷ của người dùng máy tính Việt Nam. http://thoibaotaichinh.vn, ngày 12/01/2020.
4. Cảnh giác trước comment “mời gọi” đánh cắp tài khoản Facebook. http://viettimes.vn, ngày 20/12/2018.
Tài liệu tham khảo:
1. Cổng thông tin http://ais.gov.vn
2. Cổng thông tin http://chinhphu.gov.vn
3. Vũ Khanh Văn. Giáo trình an toàn và bảo mật thông tin. H. NXB Đại học Bách khoa, 2012.
4. Thái Thanh Tùng. Giáo trình Mật mã học và an toàn thông tin. H. NXB Thông tin và truyền thông, 2011.
ThS. Nguyễn Thị Thu Thủy
Học viện Hành chính Quốc gia
