- Việt Nam là một trong những quốc gia có tốc độ phát triển và ứng dụng Internet cao nhất thế giới, đứng đầu khu vực Đông Nam Á về số lượng tên miền quốc gia; có ngành công nghiệp thông tin có thứ hạng cao trong khu vực và trên thế giới… Tuy nhiên, bên cạnh sự phát triển, các nguy cơ an ninh dữ liệu vẫn tiếp tục tồn tại, thách thức công tác bảo vệ…

Phát biểu khai mạc Hội thảo An ninh dữ liệu trên không gian mạng chiều 16/7, Trung tướng Nguyễn Minh Chính, Cục trưởng Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao, Bộ Công an, Phó Chủ tịch thường trực Hiệp hội An ninh mạng quốc gia nhận định, chúng ta đang bước vào cuộc cách mạng công nghiệp lần thứ tư với sự tích hợp cao độ của hệ thống kết nối số - vật lý - sinh học, sự đột phá của Internet vạn vật, trí tuệ nhân tạo, xử lý dữ liệu lớn, làm thay đổi căn bản nền sản xuất, hệ thống phân phối, tiêu thụ và biến đổi sâu sắc mọi hoạt động của đời sống con người.

Theo Trung tướng Nguyễn Minh Chính, trong cuộc cách mạng công nghiệp này, hệ thống mô phỏng tích hợp các loại công nghệ, môi trường số, kết nối vạn vật và không gian mạng sẽ trở thành công cụ sản xuất chủ yếu; phương thức sản xuất thông minh là chủ đạo; thông tin và dữ liệu, trong đó có dữ liệu nói chung và dữ liệu cá nhân, sẽ trở thành nguyên liệu có giá trị nhất, sức mạnh ngày càng lớn và có thể sử dụng không hạn chế về quy mô, không gian, thời gian.

Công nghệ thông tin ngày càng lan tỏa vào cuộc sống con người, người dùng càng cung cấp nhiều dữ liệu, dữ liệu cá nhân hơn lên không gian mạng. Các doanh nghiệp ngày càng sử dụng nhiều sản phẩm, dịch vụ phân tích dữ liệu khách hàng, dữ liệu cá nhân để tối đa hóa lợi nhuận. Mức độ phổ biến của dữ liệu trên không gian mạng tỷ lệ thuận với hậu quả xảy ra khi dữ liệu không được bảo vệ tương xứng, đúng cách.

Trên thế giới, đến nay, đã có hơn 140 quốc gia ban hành văn bản quy phạm pháp luật về bảo vệ dữ liệu cá nhân, gần nhất là Ấn Độ và Thái Lan. Năm 2018, Quy định về bảo vệ dữ liệu cá nhân tại Liên minh châu Âu chính thức có hiệu lực, quy định chặt chẽ về công tác bảo vệ dữ liệu cá nhân của các quốc gia thành viên, yêu cầu lưu trữ dữ liệu cá nhân trong phạm vi các quốc gia thuộc Liên minh châu Âu hoặc ở các quốc gia có quy định bảo vệ dữ liệu cá nhân tốt hơn Liên minh châu Âu, vi phạm có thể bị phạt tới 20 triệu Euro hoặc 4% doanh thu toàn cầu.

Việt Nam là một trong những quốc gia có tốc độ phát triển và ứng dụng Internet cao nhất thế giới, đứng đầu khu vực Đông Nam Á về số lượng tên miền quốc gia; có ngành công nghiệp thông tin có thứ hạng cao trong khu vực và trên thế giới; cơ sở hạ tầng số phát triển nhanh, cơ sở hạ tầng dữ liệu và mạng lưới trung tâm dữ liệu được cải thiện; đến xây dựng, tạo lập, kết nối, chia sẻ dữ liệu đã đạt được một số kết quả tích cực như: Bước đầu khởi tạo và hình thành được 07 cơ sở dữ liệu quốc gia; một số cơ sở dữ liệu quốc gia đã có sự kết nối liên thông, chia sẻ dữ liệu góp phần cải cách, đơn giản hóa thủ tục hành chính cho người dân; hạ tầng công nghệ xây dựng các trung tâm dữ liệu bước đầu được quan tâm đầu tư hơn. Việt Nam hiện có gần 80 triệu người sử dụng Internet, chiếm tới hơn 2/3 dân số, đứng thứ 7 thế giới, đặt ra bài toán thời cơ và thách thức rõ ràng.

Các nguy cơ an ninh dữ liệu hiện giờ

Theo Trung tướng Nguyễn Minh Chính, bên cạnh sự phát triển, các nguy cơ an ninh dữ liệu vẫn tiếp tục tồn tại, thách thức công tác bảo vệ.

Thứ nhất, về bảo vệ dữ liệu cá nhân. Tình trạng lộ dữ liệu cá nhân diễn ra phổ biến trên không gian mạng. Người sử dụng chưa có ý thức bảo vệ dữ liệu cá nhân, đăng tải công khai hoặc lộ trong quá trình chuyển giao, lưu trữ, trao đổi phục vụ hoạt động kinh doanh hoặc do biện pháp bảo vệ không tương xứng dẫn tới bị chiếm đoạt và đăng tải công khai.

Tình trạng mua bán dữ liệu cá nhân hiện đang diễn ra phổ biến, công khai, với các dữ liệu thô và dữ liệu cá nhân đã qua xử lý, nhiều hành vi chưa được xử lý vì thiếu quy định của pháp luật. Các doanh nghiệp, công ty kinh doanh dịch vụ có thu thập dữ liệu cá nhân của khách hàng, cho phép các đối tác thứ ba tiếp cận thông tin dữ liệu cá nhân nhưng không có yêu cầu, quy định chặt chẽ, để đối tác thứ ba chuyển giao, buôn bán cho các đối tác khác. Các doanh nghiệp chủ động thu thập thông tin cá nhân của khách hàng, hình thành kho dữ liệu cá nhân, phân tích, xử lý các loại dữ liệu đó để tiến hành kinh doanh, buôn bán. Việc buôn bán dữ liệu cá nhân được tiến hành có hệ thống, có tổ chức, cam kết “bảo hành” và có khả năng cập nhật dữ liệu, trích xuất dữ liệu theo yêu cầu người mua. Nhiều dữ liệu bị rao bán công khai, trong thời gian dài, với số lượng lớn trên không gian mạng. Việc mua bán được tiến hành qua website, tài khoản, trang, nhóm trên mạng xã hội, diễn đàn tin tặc.

Việc thanh toán được thực hiện thông qua tài khoản ngân hàng, nhiều giao dịch ghi rõ nội dung mua bán dữ liệu.

Việc mua bán dữ liệu cá nhân không chỉ diễn ra đơn lẻ, giữa cá nhân với cá nhân, mà còn có sự tham gia của các công ty, tổ chức, doanh nghiệp. Một số công ty được thành lập mới, đầu tư xây dựng, vận hành các hệ thống kỹ thuật chuyên thu thập trái phép dữ liệu cá nhân để kinh doanh thu lợi nhuận; xây dựng các phần mềm chuyên thu thập thông tin cá nhân, cài ẩn trong các trang mạng để thu thập thông tin tự động, phân tích thành tệp dữ liệu cá nhân có giá trị; tán phát mã độc có chức năng thu thập dữ liệu cá nhân trên môi trường mạng (máy tính và thiết bị di động); tổ chức tấn công, xâm nhập hệ thống máy tính của cơ quan, tổ chức, doanh nghiệp để chiếm đoạt dữ liệu cá nhân. Thời gian gần đây, Bộ Công an phát hiện hàng trăm cá nhân, tổ chức liên quan bán dữ liệu cá nhân.

Một số đường dây chiếm đoạt, mua bán dữ liệu quy mô lớn tại Việt Nam đã bị phát hiện, đấu tranh, xử lý. Số lượng dữ liệu cá nhân bị thu thập, mua bán trái phép phát hiện được lên tới hàng nghìn GB dữ liệu, trong đó có nhiều dữ liệu cá nhân nội bộ, nhạy cảm.

Trong năm 2023, hoạt động mua bán dữ liệu cá nhân, dữ liệu nhạy cảm tiếp tục diễn biến phức tạp với nhiều phương thức, thủ đoạn tinh vi. Bộ Công an đã chủ động phát hiện, điều tra, xác minh 16 vụ việc lộ mất, rao bán thông tin, bí mật nhà nước và dữ liệu nội bộ trên không gian mạng.

Thứ hai, về công tác quản trị dữ liệu nói chung vẫn còn nhiều tồn tại, hạn chế như: (1) Một số tổ chức, doanh nghiệp không có hoặc có nhưng chưa đầy đủ hạ tầng để triển khai các hệ thống công nghệ thông tin cốt lõi phục vụ cho các công tác thu thập, quản trị dữ liệu; (2) Nhiều cơ sở dữ liệu được thu thập, lưu trữ trùng lặp, chồng chéo, chưa thống nhất về danh mục dữ liệu dùng chung gây khó khăn khi kết nối, chia sẻ, khai thác dữ liệu; (3) Các trung tâm dữ liệu đầu tư thiếu đồng bộ, không đồng nhất về tiêu chuẩn, quy chuẩn kỹ thuật, không thường xuyên được kiểm tra, bảo trì, nâng cấp dẫn đến nguy cơ không bảo đảm an ninh, an toàn hệ thống; (4) Một số tổ chức, doanh nghiệp thuê dịch vụ hạ tầng công nghệ thông tin tiềm ẩn nhiều rủi ro về an ninh, an toàn thông tin do chưa thực sự quản lý, kiểm soát được dữ liệu trên hạ tầng của doanh nghiệp; (5) Nhân lực vận hành, quản trị các hệ thống thông tin vừa thiếu, vừa yếu; (6) Các cơ sở dữ liệu quốc gia theo Quyết định số 714/QĐ-TTg ngày 22/5/2015 của Thủ tướng Chính phủ chưa được xây dựng đầy đủ; (7) Nhiều hệ thống thông tin còn lỗ hổng bảo mật, không đủ điều kiện kết nối với Cơ sở dữ liệu quốc gia về dân cư; (8) Khó khăn trong việc khai thác, liên thông, cung cấp kịp thời dữ liệu để phục vụ giải quyết thủ tục hành chính, dịch vụ công liên thông, phân tích thống kê, đưa ra các chỉ tiêu, chỉ số phục vụ chỉ đạo điều hành của Chính phủ,...

Từ những yêu cầu cấp bách trên, Bộ Công an đã tham mưu cho Chính phủ, Quốc hội xây dựng Nghị định số 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân, với 04 chương 44 Điều, quy định những nguyên tắc cơ bản về bảo vệ dữ liệu cá nhân, bước đầu đặt nền móng cho hoàn thiện hệ thống pháp luật về bảo vệ dữ liệu cá nhân của nước ta. Vấn đề bảo vệ dữ liệu cá nhân trước thực trạng mua bán, sử dụng, trái phép như hiện nay đã được coi là vấn đề chủ quyền, an ninh dữ liệu.

Quá trình xây dựng và triển khai công tác bảo vệ dữ liệu cá nhân, Hiệp hội An ninh mạng quốc gia nhận thấy các tổ chức, doanh nghiệp có sự quan tâm rất lớn tới vấn đề an ninh dữ liệu. Và thực tế cho thấy, Hội thảo hôm nay đã nhận được sự quan tâm rất lớn của tổ chức, cá nhân, trong đó có nhiều tổ chức, chuyên gia hàng đầu trên thế giới, với mong muốn tìm ra phương pháp, các thức bảo vệ dữ liệu, bảo đảm an ninh dữ liệu một cách hiệu quả. Đây cũng chính là mục đích và ý nghĩa khi Hiệp hội An ninh mạng quốc gia tổ chức Hội thảo “An ninh dữ liệu trên không gian mạng” nhằm tạo diễn đàn trao đổi, chia sẻ kiến thức, kinh nghiệm đa chiều về xây dựng chính sách quản lý dữ liệu, bảo đảm an ninh dũ liệu phù hợp với thông lệ quốc tế, hoàn thiện hệ thống các quy định của pháp luật về bảo vệ dữ liệu trong nước.

Hiệp hội An ninh mạng quốc gia xây dựng nền tảng chia sẻ thông tin an ninh mạng

Trong khuôn khổ Hội thảo, Ban Nghiên cứu, tư vấn, phát triển công nghệ và Hợp tác quốc tế đã đề xuất xây dựng nền tảng chia sẻ thông tin an ninh mạng. Mục tiêu của nền tảng là kết nối, chia sẻ thông tin an ninh mạng, giúp chủ động ứng phó sự cố, theo dõi các công cụ, kỹ thuật tấn công mới của tội phạm, cảnh báo sớm về các hiểm họa, hỗ trợ ra quyết định chiến lược, tăng cường các biện pháp bảo vệ. Giải pháp sẽ đóng vai trò quan trọng trong các hệ thống an ninh mạng, giúp các tổ chức bảo vệ tài sản số và duy trì an toàn, an ninh dữ liệu.

Ông Vũ Ngọc Sơn, Trưởng ban Nghiên cứu, tư vấn, phát triển công nghệ và Hợp tác quốc tế, Hiệp hội An ninh mạng quốc gia nhận định: “Chia sẻ thông tin là cách tốt nhất giúp các thành viên của Hiệp hội có được bức tranh toàn cảnh, cập nhật các thông tin tình báo an ninh mạng mới nhất. Từ đó giúp các tổ chức nhận diện nguy cơ mới, chủ động tăng cường, đảm bảo an ninh”.

Theo đề xuất, Hiệp hội sẽ chủ trì xây dựng nền tảng, kết nối, tiếp nhận dữ liệu được chia sẻ từ Bộ Công an, Bộ Thông tin và Truyền thông, Ngân hàng Nhà nước. Cũng như kết nối với các công ty an ninh mạng Việt Nam, các tổ chức an ninh mạng thế giới và cả các chuyên gia an ninh mạng độc lập. Nền tảng được làm giàu dữ liệu từ các nguồn mở OSINT (Open Source Intelligence) hay các nguồn tình báo từ Dark Web (các hệ thống không công khai).

Nền tảng có thể chia sẻ các dấu hiệu tấn công mới nhất được thu thập qua các vụ việc đã điều tra, như thông tin nhận diện mã độc, địa chỉ máy chủ điều khiển (C&C), đặc điểm mạng hay bộ nhớ của máy chủ nếu bị tấn công. Thông tin này giúp quản trị nhanh chóng triển khai các quy tắc an ninh mạng (rule) để phát hiện, ngăn chặn tấn công trên toàn hệ thống, đồng thời rà soát, làm sạch máy chủ, máy trạm qua đó phát hiện đã bị xâm nhập hay chưa.

Chức năng cảnh báo lỗ hổng an ninh giúp quản trị viên nhận được sớm thông tin về lỗ hổng mới được phát hiện, phiên bản phần mềm có lỗi, kịch bản có thể bị khai thác, mức độ nguy hiểm và khả năng bị tấn công. Với các lỗ hổng chưa có bản vá sẽ có những tư vấn, khuyến cáo để khắc phục tạm thời, giảm thiểu khả năng bị khai thác trong thời gian chờ nhà sản xuất cập nhật bản vá lỗi. 

Nền tảng sẽ cung cấp thông tin cập nhật về các nhóm tin tặc đang hoạt động mạnh, trong đó nhấn mạnh những chiến dịch tấn công có chủ đích APT đang hướng tới Việt Nam. Thông qua các hiểu biết về công cụ, phương thức, kỹ thuật, chiến thuật tấn công của tội phạm mạng, các tổ chức sẽ tổ chức, xây dựng được chiến lược phòng thủ hiệu quả.

Đặc biệt, nền tảng sẽ cảnh báo sớm cho tổ chức khi phát hiện dữ liệu bị lộ lọt. Các dữ liệu được cảnh báo lộ lọt gồm dữ liệu nội bộ, thông tin khách hàng, mã nguồn phần mềm, tài khoản, mật khẩu... Thống kê thực tế cho thấy, thời gian trung bình để một tổ chức phát hiện ra dữ liệu bị lộ lọt lên đến hơn 200 ngày. Việc phát hiện sớm không chỉ giúp các tổ chức nhanh chóng kích hoạt các kịch bản ứng phó nhằm giảm thiểu thiệt hại, rút ngắn thời gian hồi phục, mà còn giúp ngăn chặn nguy cơ lộ lọt thêm các dữ liệu khác.

Theo các chuyên gia, nền tảng chia sẻ sau khi hoàn thành sẽ được triển khai linh hoạt theo nhiều hình thức. Quản trị viên có thể tích hợp trực tiếp với các giải pháp an ninh mạng đang có của tổ chức thông qua giao diện API hay truy cập trực tiếp để tra cứu thông tin qua cổng website (portal). Quản trị viên cũng có thể nhận thông tin qua tin nhắn tức thời OTT hoặc email, giúp cập nhật kịp thời các thông tin kể cả ngoài giờ làm việc.

Thông tin chi tiết về nền tảng sẽ được cập nhật trên website chính thức của Hiệp hội An ninh mạng quốc gia tại địa chỉ https://nca.org.vn.

Phạm Lê