Điểm nhấn rõ nét nhất trong lĩnh vực an toàn thông tin tại Việt Nam năm 2014 chính là quyết tâm mạnh mẽ của Chính phủ trong việc kiện toàn bộ máy quản lý nhà nước ở Trung ương và thúc đẩy đào tạo phát triển nguồn nhân lực an toàn, an ninh thông tin. Các hoạt động trong lĩnh vực giám sát an toàn mạng công nghệ thông tin trọng yếu, triển khai chứng thưc điện tử cũng được đẩy mạnh lên một bước mới.
An toàn thông tin Việt Nam năm 2014
Tình hình ATTT thế giới có nhiều diễn biến phức tạp, nhiều cuộc tấn công mạng ở quy mô lớn với mục đích chính trị, quân sự... gia tăng. Trong nước, cùng với việc đẩy mạnh ứng dụng CNTT, các cuộc tấn công thâm nhập của tội phạm mạng vào hệ thống CNTT của các cơ quan, nhà nước, các tổ chức, doanh nghiệp để phá hoại, thu thập đánh cắp thông tin được ghi nhận ngày càng tăng lên. Trong tình hình đó, thông tin lãnh đạo, chỉ đạo chỉ huy của các cơ quan Đảng và Nhà nước đã luôn bảo đảm bí mật, an toàn. Các sự cố về ATTT của các tổ chức, doanh nghiệp đã kịp thời được khắc phục. Tuy nhiên, các nguy cơ đối với bảo mật và ATTT luôn xuất hiện những thách thức mới đòi hỏi sự nỗ lực không ngừng của cả cộng đồng.
Về hành lang pháp lý cho hoạt động ATTT tại Việt Nam, thời gian vừa qua dự án Luật An toàn thông tin đã được Chính phủ thông qua để trình Quốc hội. Theo chương trình xây dựng luật, pháp lệnh, dự kiến Quốc hội sẽ thảo luận về dự án Luật An toàn thông tin trong kỳ họp tháng 5/2015 và thông qua tại kỳ họp tháng 10/2015.
Bên cạnh đó, hệ thống các cơ quan quản lý nhà nước về ATTT ở Trung ương được kiện toàn và đi vào hoạt động như: Cục An toàn thông tin, Trung tâm Chứng thực Điện tử Quốc gia (Bộ TT&TT); Cục An ninh mạng (Bộ Công an); Cục Chứng thực số và Bảo mật thông tin, Cục Quản lý mật mã dân sự và Kiểm định sản phẩm Mật mã, Trung tâm Công nghệ thông tin và Giám sát An ninh mạng (Ban Cơ yếu Chính phủ)....
Về đào tạo ATTT, đề án Đào tạo và phát triển nguồn nhân lực an toàn, an ninh thông tin đến năm 2020 được Thủ tướng Chính phủ phê duyệt theo Quyết định 99/QĐ-TTg, ngày 14/1/2014 (Đề án 99). Theo thống kê, tính đến cuối năm 2013, có tổng cộng 1.500 kỹ sư chuyên ngành ATTT tốt nghiệp. Trong năm 2014, có 3 trong số 8 cơ sở đào tạo trọng điểm về ATTT đã tuyển sinh mới được 820 chỉ tiêu đào tạo hệ kỹ sư, cử nhân chính quy và 53 chỉ tiêu đào tạo hệ thạc sĩ chuyên ngành ATTT.
Các dự án đầu tư nâng cao năng lực, chất lượng đào tạo và nghiên cứu chuyên sâu về ATTT của các cơ sở đào tạo trọng điểm về ATTT là Học viện Kỹ thuật Mật mã, Học viện Công nghệ Bưu chính - Viễn thông và Học viện An ninh nhân dân đang chuẩn bị triển khai.
Năm 2014, do nhu cầu cấp bách của thực tiễn, một số hoạt động trong lĩnh vực ATTT đã được đẩy mạnh, điển hình là giám sát an toàn mạng CNTT và triển khai hệ thống chứng thực điện tử sử dụng chữ ký số.
Hoạt động giám sát ATTT trên mạng CNTT trọng yếu của các cơ quan Đảng, Nhà nước được đẩy mạnh, đặc biệt trong giai đoạn Trung Quốc hạ đặt giàn khoan Hải Dương 981 trái phép tại Biển Đông. Trung tâm CNTT&GSANM (Ban Cơ yếu Chính phủ) đã triển khai giám sát cho hệ thống CNTT của Bộ Ngoại giao, Bộ tư pháp, Bộ Khoa học và Công nghệ, Văn phòng Chính phủ, Văn phòng Quốc hội và một số tỉnh, thành phố....
Việc ứng dụng chữ ký số trong các giao dịch điện tử tại Việt Nam đã được mở rộng, đối với cả hệ thống chữ ký số chuyên dùng Chính phủ và hệ thống chữ ký số công cộng. Hệ thống chứng thực điện tử chuyên dùng Chính phủ do Ban Cơ yếu Chính phủ triển khai đã bảo đảm vận hành thông suốt, an toàn. Đã cấp mới và cấp lại được 25.000 Chứng thư số phục vụ hoạt động của các cơ quan, tổ chức thuộc hệ thống chính trị. Đồng thời, đã có khoảng 490.000 chữ ký số công cộng được cấp phát và đang hoạt động, phục vụ cho công tác kê khai thuế qua mạng của doanh nghiệp.
Có thể nói, bức tranh toàn cảnh về tình hình ATTT Việt Nam năm 2014 được định hình với những mảng màu khác nhau. Theo đánh giá tổng thể, chỉ số ATTT của Việt Nam năm 2014 đã tăng 1,5% (từ 37,5% năm 2013 lên mức 39% năm 2014). Đây là kết quả khảo sát gần 750 tổ chức, doanh nghiệp trong cả nước của Hiệp hội An toàn thông tin Việt Nam. Chỉ số này được đánh giá trên cả hai phương diện là Môi trường ATTT (Đào tạo, nhận thức; Chính sách, kinh phí; Tổ chức, nhân lực) và Các biện pháp ATTT (biện pháp về quản lý và kỹ thuật).
Kết quả khảo sát cũng cho thấy, mức độ sử dụng các thiết bị di động như smartphone, máy tính bảng trong mạng của tổ chức (BYOD) có tỷ lệ khá cao (81%). Tuy nhiên, hơn 2/3 các tổ chức đó chưa có giải pháp quản lý để bảo đảm ATTT đối với các thiết bị này. Việc hơn 14.000 smart phone tại Việt Nam bị cài phần mềm nghe lén Ptracker là sự cảnh báo cho việc bảo đảm ATTT cho thiết bị di động trong mạng của tổ chức.
Tiềm ẩn nhiều nguy cơ mất an toàn thông tin
Những điểm bất cập, tồn tại của tình hình ATTT Việt Nam năm nay được phản ánh qua một số góc độ. Theo báo cáo của Cục An toàn thông tin (Bộ TT&TT), Việt Nam luôn nằm trong danh sách 5 nước có nguy cơ lây nhiễm phần mềm độc hại cao nhất thế giới. Các số liệu thống kê cho thấy, chỉ số nguy cơ lây nhiễm phần mềm độc hại của Việt Nam năm 2014 khá cao, vào khoảng từ 50 - 70%. Điều này đồng nghĩa với nguy cơ bị đánh cắp, lộ lọt thông tin, phá hủy dữ liệu, nguy cơ bị điều khiển để tham gia các mạng máy tính ma thực hiện tấn công từ chối dịch vụ, gửi thư rác... cũng tăng lên.
Bên cạnh đó, trong năm 2014, Việt Nam đã xuất hiện khoảng hơn 4.000 cuộc tấn công đã được ghi nhận là có xâm phạm ATTT đối với các hệ thống có tên miền .vn, trong số đó có hơn 200 cuộc tấn công vào các hệ thống có tên miền .qvikly.com. Tuy nhiên, còn khá nhiều cơ quan, tổ chức của Việt Nam không hề có khả năng ghi nhận, cảnh báo hành vi dò quét, thử tấn công của kẻ xấu nhằm vào hệ thống thông tin của mình. Nhiều cơ quan, tổ chức không có quy trình thao tác chuẩn để phản hồi, ngay cả khi đã phát hiện bị tấn công.
Đặc biệt trong năm 2014, VNCERT đã phát hiện sớm và cảnh báo trên diện rộng về 3 lỗ hổng ATTT nghiêm trọng nhất trong năm, đồng thời đưa ra giải pháp kịp thời hỗ trợ các tổ chức xử lý các lỗ hổng này, bao gồm: lỗ hổng bảo mật HeartBlead ảnh hưởng đến bộ thư viện OpenSSL và giao thức truyền tin siêu văn bản an toàn HTTPS; lỗ hổng ShellShock ảnh hưởng đến giao diện Bash Shell của các hệ thống sử dụng hệ điều hành Linux như máy tính, một số thiết bị nhúng, thiết bị mạng, thiết bị bảo mật và thiết bị điều khiển tự động trong các lĩnh vực công nghiệp - ICS/SCADA; Lỗ hổng của thiết bị lưu trữ USB cho phép tin tặc cài mã độc vào phần mềm điều khiển thiết bị (Firmware) để xâm nhập và đánh cắp thông tin trên các máy tính kết nối với thiết bị lưu trữ USB đó.
Kết quả khảo sát của VNISA cho thấy, các thiệt hại về ATTT của tổ chức, doanh nghiệp lên tới hàng tỷ đồng mỗi ngày; Tính riêng tư của người dùng bị xâm phạm ở quy mô lớn thông qua thiết bị điện thoại di động và nhiều website là nạn nhân của tấn công mạng.
Bên cạnh đó, cấu trúc hệ thống CNTT của tổ chức, doanh nghiệp Việt Nam còn có khoảng cách khá xa so với cấu trúc chuẩn ATTT của thế giới. Đầu tư cho ATTT gặp nhiều khó khăn và phần lớn tổ chức, doanh nghiệp chưa có biện pháp đánh giá, quản lý rủi ro cho thiết bị trong môi trường mạng.
An toàn thông tin năm 2015
Cùng với quá trình Quốc hội xem xét, thông qua Luật An toàn thông tin, nhiều văn bản quản lý nhà nước trong lĩnh vực này sẽ được xây dựng và ban hành, đặc biệt là dự thảo Quyết định của Thủ tướng Chính phủ phê duyệt Kế hoạch bảo đảm ATTT quốc gia giai đoạn 2016 – 2020. Việc triển khai thực thi pháp luật trong thế giới số sẽ từng bước được tăng cường.
Các hoạt động giám sát, thu thập thông tin và cảnh báo sớm sẽ được mở rộng: đẩy mạnh hoạt động giám sát an toàn thông tin cho các mạng CNTT trọng yếu, khai thác hệ thống kỹ thuật giám sát an toàn mạng Internet tại Việt Nam, tích hợp hệ thống “bẫy” mã độc honeypot trên mạng; lập kế hoạch thực hiện chương trình giám sát và bóc gỡ các mạng lưới botnet (máy tính ma) ở Việt Nam.
Năm 2015 với 4 đặc trưng mới của CNTT mà các tổ chức, doanh nghiệp cần quan tâm tới, đó là điện toán đám mây, sử dụng thiết bị di động, mạng xã hội và dữ liệu lớn. Trong đó, ATTT cho dịch vụ đám mây, thuê ngoài sẽ tạo điều kiện giảm chi tiêu; Việc sử dụng thiết bị di động trong mạng của tổ chức sẽ bùng nổ về số lượng và khó quản lý; Tấn công có chủ đích nhằm vào dữ liệu sẽ tăng lên và các hệ thống thông tin trọng yếu quốc gia sẽ là đích ngắm khi có xung đột.
Theo đánh giá của các chuyên gia, đầu tư cho ATTT của các tổ chức, doanh nghiệp trong năm 2015 chưa có dấu hiệu khởi sắc rõ nét. Tuy vậy, các tổ chức, doanh nghiệp cần nhận thức đầy đủ và cân bằng vai trò của yếu tố kỹ thuật và phi kỹ thuật trong bảo đảm ATTT; chú trọng việc đánh giá và xử lý các rủi ro về ATTT; Tăng cường tuyên truyền, nâng cao nhận thức về vai trò xây dựng kiến trúc ATTT theo chuẩn quốc tế cho các tổ chức, nâng cao nhận thức về bảo đảm ATTT cho người sử dụng.
Số liệu từ VNCERT năm 2014
19.789 sự cố gồm các loại sự cố tấn công lừa đảo, tấn công thay đổi giao diện và tấn công cài mã độc lên website…. 1.458 sự cố tấn công lừa đảo, tăng 179% so với năm ngoái. VNCERT đã gửi yêu cầu điều phối và xử lý được 1.138 sự cố (tăng 145% so với năm 2013). 10.037 sự cố tấn công cài mã độc lên website, đã gửi yêu cầu điều phối và xử lý 5.976 sự cố, trong đó có 20 sự cố liên quan đến tên miền .qvikly.com. 8.291 sự cố tấn công thay đổi giao diện (tăng 406% so với năm 2013), trong đó có 274 sự cố liên quan đến tên miền .qvikly.com, đã gửi yêu cầu điều phối và xử lý 4.493 sự cố.
Trên 3,37 triệu lượt địa chỉ IP của Việt Nam nằm trong mạng botnet. VNCERT đã gửi cảnh báo cho 8.233 địa chỉ IP thuộc cơ quan nhà nước, đồng thời, gửi cảnh báo và tài liệu hướng dẫn phát hiện gỡ bỏ Botnet tới tất cả các đơn vị quản lý các địa chỉ IP nêu trên.
88 sự cố tấn công tấn công từ chối dịch vụ (DDoS) được gửi tới các nhà cung cấp dịch vụ Internet: Viettel, ODS, CMC, FPT, QTSC, Hanel, Nhân Hòa, SPT và VDC....
|
