Bảo mật thông tin - tâm điểm doanh nghiệp sẽ nhắm tới trong năm mới

Khi một vụ tấn công xảy ra nhắm vào mục tiêu giá trị lớn như chuỗi bán lẻ Target hay Home Depot, Sam Redden biết rằng mình phải có sự chuẩn bị đối phó sẵn sàng từ trước. Là giám đốc bảo mật của Brazos Higher Education Services – công ty cung cấp các giải pháp tín dụng cho sinh viên với trị giá hàng tỷ USD, Redden luôn phải giải trình trước ban lãnh đạo công ty về các mối lo ngại liên quan tới độ an toàn hệ thống máy tính nội bộ cũng như các phương thức đối phó khi có rắc rối xảy ra. Redden chia sẻ - “Trên thực tế, những kẻ xấu luôn đi trước tất cả mọi người”. Nhận định này cũng chính là lý do lý giải tại sau có tới 50% trong số 182 chuyên gia CNTT tham gia cuộc khảo sát Tech Forecast 2016 của Computerworld cho biết họ sẽ tăng cường các khoản đầu tư cho công nghệ bảo mật trong vòng 12 tháng tới.

Quan trọng hơn nữa, khi những chuyên gia này được yêu cầu nêu tên dự án công nghệ quan trọng nhất đang được tiến hành tại đơn vị mà họ đang làm việc, bảo mật xếp ở vị trí thứ hai với 12% số ý kiến đưa ra – chỉ thua điện toán đám mây 2% mà thôi. “Khi nhìn vào những khoản đầu tư khổng lồ mà các tổ chức lớn chi ra để tránh bị xâm nhập nhưng lại chẳng đem lại mấy hiệu quả, bạn hẳn sẽ cảm thấy rằng một ngày nào đó mình cũng rơi vào tình trạng tương tự” – ông Dale Denham, giám đốc công nghệ thông tin tại Lewiston (công ty chuyên phân phối các sản phẩm quảng cáo) phát biểu.

Trên thực tế, số lượng kẻ xấu rình rập tấn công ngày một tăng lên. Thậm chí chúng được tổ chức tốt và có trang bị ngày một mạnh hơn. Trong bối cảnh vô số các thiết bị điện tử được thông minh hoá (từ TV, máy in, máy ảnh cho tới xe hơi…), những kẽ hở cho các đối tượng này xâm nhập cũng tăng theo. Dự đoán từ Gartner cho thấy số lượng thiết bị kết nối đang được đưa vào sử dụng sẽ chạm mốc 4,9 tỷ vào cuối năm 2015 – tăng 30% so với hồi 2014 và có thể sẽ lên tới 25 tỉ vào năm 2020.

Một trong những ví dụ về sự “tiến hoá” của các loại hình tấn công nhắm vào doanh nghiệp mới xảy ra gần đây là phần mềm gây hại mang tên SYNful Knock – vốn được phát hiện trên các loại router và switch của Cisco hồi tháng 9/2015 vừa qua.

“Lần đầu tiên một vụ lợi dụng thiết bị mạng của Cisco được công bố rộng rãi” – giám đốc bảo mật môi trường ảo Darren Van Booven của phòng thí nghiệm quốc gia Idaho (Mỹ) cho biết. Đây là ví dụ tuyệt hảo cho loại hình của mối đe doạ mà các tổ chức phải đối mặt ngày nay. Chúng khiến doanh nghiệp phải liên tục thay đổi chiến lược của mình.

Đứng trước thực trạng các thiết bị cốt lõi cũng có thể bị “nhiễm độc” như vậy, John Nai, giám đốc bảo mật thông tin của PayPal, tuyên bố rằng sẽ tập trung tối đa vào “sự sạch sẽ của hạ tầng” trong năm 2016 bởi lẽ đây là điều “đặc biệt quan trọng”. Hơn thế nữa, Nai cũng tin rằng việc giám sát chặt chẽ đóng vai trò hết sức quan trọng. “Có rất nhiều doanh nghiệp thường xuyên tập trung vào công nghệ tiên tiến” – ông nói – “nhưng thực ra bạn cần phải thông thạo những món cơ bản: đảm bảo không có khe hở trong hạ tầng của mình, lấp kín các lỗ hổng trong hệ thống máy tính và có đủ quyền giám sát những gì đang xảy ra trong mạng nội bộ của mình”.

Mặt khác, những khó khăn trong việc tuyển dụng nhân lực cho nhu cầu bảo mật cũng là điều khiến nhiều nhà quản lý phải đau đầu. Thực tế, ngày nay những người thực sự có kĩ năng về bảo mật là không nhiều và các chuyên gia thực thụ sẽ luôn yêu cầu một khoản thù lao cao – vốn thường nằm ngoài khả năng chi trả của nhiều doanh nghiệp.

Dù trên đây mới chỉ là một vài trong số những vấn nạn có liên quan tới bảo mật mà các nhà lãnh đạo CNTT luôn trăn trở đối phó nhưng điều đáng mừng là về mặt chính sách, họ đều tỏ ra không quá lo lăng – mà thay vào đó lại thể hiện nỗ lực rất lớn trong việc đề ra các kế hoạch đối phó cụ thể. Trong đó, có thể kể tới việc xem xét lại các chiến lược chống xâm nhập, tập huấn và tái tập huấn nhân sự, đề xuất các phương án đối phó trong tình huống khẩn cấp hoặc các mối đe doạ có thể lường trước…

Bổ sung chi tiêu và đào tạo người dùng

Trong bối cảnh môi trường mạng phát triển như hiện tại, nhân sự phụ trách bảo mật sẽ thường xuyên bị triệu tới cuộc họp của lãnh đạo nhiều hơn để giải trình các vấn đề. Tuy nhiên, họ thường sẽ rời khỏi những cuộc họp đó với những khoản đầu tư mới chi cho việc bảo vệ hệ thống và dữ liệu của doanh nghiệp thay vì lo lắng cho những rủi ro mới. Thực tế, nhiều cuộc tấn công lớn xảy ra trong vài năm trở lại đây đã nâng cao ý thức cảnh giác của nhiều doanh nghiệp – kể cả trong tư duy của các lãnh đạo ít quan tâm tới CNTT nhất. “Thay vì giải trình với ban giám đốc hay người phụ trách CNTT để rồi loay hoay với các khoản chi phí dành cho bảo mật, tôi sẽ yêu cầu họ phải đến với mình” – một giám đốc bảo mật thông tin chia sẻ. “Trong một vài trường hợp, các cuộc tấn công lớn đã thay tôi thuyết phục họ. Giờ đây, các khoản đầu tư đều khá thoải mái”. Tuy nhiên, chúng ta cũng không thể chủ quan bởi những mối đe doạ vẫn luôn còn đó và ngày càng trở nên nguy hiểm hơn.

Phần lớn các giám đốc bảo mật thông tin cũng đều chia sẻ rằng họ sẽ dành một khoản ngân sách nhất định cho các chương trình đào tào, nâng cao cảnh giác. “Một trong những thách thức lớn nhất chính nằm ở nhân lực của công ty. Hầu hết rắc rối mà chúng tôi gặp phải đều đến từ email có chứa Trojan hoặc mã độc mà họ mở ra” – Redden nói - “Chính vì vậy, việc quan trọng lại nằm ngay ở khâu đào tạo người dùng”. Tại Brazos, Redden cho biết đã triệu tập hầu hết nhân lực để đào tạo bổ sung kĩ năng như hạn chế không cho ai tiếp cận máy tính xách tay của họ bởi lẽ đó không phải là thiết bị cá nhân. Đây cũng là điều được nhấn mạnh.

Quan điểm của Redden cũng được Louise Finn -  phó chủ tịch kiêm giám đốc công nghệ thông tin của Đại học Loyola Maryland (Baltimore) đồng thuận. “Thách thức lớn nhất của chúng tôi chính là những người dùng cuối. Vì thế chúng tôi phải tiến hành những khoá đào tạo nhằm nâng cao sự cảnh giác của họ” – vị lãnh đạo này nói. Trong năm 2016, trường của Finn cũng sẽ trưng dụng thêm vị trí giám đốc chỉ đạo các hoạt động bảo mật. Người này sẽ tiến hành các buổi huấn luyện trực tiếp cho nhân viên ở mọi bộ phận kinh doanh của trường. “Chúng tôi không chỉ huấn luyện dựa trên quy định của trường mà cả về phương diện kĩ năng, thói quen cá nhân, nhấn mạnh vào năng lực kiểm soát của mỗi cá nhân đối với việc bảo vệ dữ liệu” – Finn chia sẻ.

Thậm chí, Ngân hàng Lao động tại thành phố Kansas (Mỹ) còn yêu cầu nhân viên của mình tham gia các khoá huấn luyện nâng cao cảnh giác bảo mật hàng năm. Tuy nhiên, theo giám đốc bảo mật thông tin Shaun Miller, việc tiến hành đào tạo theo định kì như vậy có thể không mấy ý nghĩa bởi lẽ các mối đe doạ thay đổi hết sức nhanh chóng. Thay vào đó, để giúp đồng nghiệp nắm bắt được vấn đề, Miller đã gửi các email lừa đảo “giống như cách kẻ xấu vẫn thường làm”. Nếu người dùng “mắc bẫy” bằng việc nhấn vào các liên kết trong đó, họ sẽ được dẫn tới một trang web có những hướng dẫn cách xử lý tình huống thay vì thảm hoạ thực tế. Đây là cách mà các đơn vị bảo mật chuyên nghiệp thường làm. Người ta học hỏi rất nhanh từ những sai lầm.

Tuyển nhân lực hay trông cậy vào đối tác

Trong khảo sát, có tới 25% những người hướng tới việc bổ sung thêm nhân lực cho doanh nghiệp của mình trong năm 2016, cho rằng bảo mật là nguyên nhân chính dẫn tới quyết định đó. Ngoài ra, có 33% tin rằng kĩ năng bảo mật sẽ là thứ khó tìm thấy nhất trong quá trình tuyển dụng năm 2016.

Lãnh đạo của các doanh nghiệp cỡ vừa và nhỏ cũng cho biết họ sẽ thuê thêm nhân lực với kĩ năng CNTT và bảo mật phong phú thay vì tìm kiếm các chuyên gia giàu kinh nghiệm ở một lĩnh vực bảo mật nhất định nào đó, điển hình như phát hiện xâm nhập hay xây dựng các giải pháp tường lửa. Mặt khác, nhiều công ty cũng gia cố năng lực bảo mật của mình bằng việc kí hợp đồng với một đối tác cung cấp dịch vụ an ninh – mô hình đang ngày càng xuất hiện nhiều hơn. Theo một giám đốc bảo mật thông tin, một trong những lợi thế của việc thuê bên ngoài như vậy nhằm tránh những nhân viên bảo mật trong nội bộ của chính họ bị đối thủ mua chuộc, lôi kéo.

Ông Frankie Duenas, giám đốc công nghệ của Cabrillo Credit Union (San Diego, Mỹ), đơn vị với một ban CNTT gồm sáu chuyên gia chịu trách nhiệm tổng thể từ an ninh mạng cho tới lập trình và các hoạt động hàng ngày nhưng vẫn thuê thêm các giải pháp hỗ trợ bảo mật từ bên ngoài khi cần. “Chúng tôi có một khoản ngân sách định sẵn dành cho việc bảo mật” – dù là để phản ứng trước những mối đe doạ xảy ra hay trang bị các phần mềm/dịch vụ an ninh mạnh mẽ hơn, ông Duenas chia sẻ.

Về phần mình, ông Denham cũng cho biết sẽ thuê bên thứ ba đảm nhận cả việc phát hiện xâm nhập cũng như xây dựng các giải pháp dự  phòng. Công ty của ông cũng sẽ hợp tác với các đối tác bên ngoài nhằm đảm bảo đạt chuẩn bảo vệ dữ liệu PCI (PCI Data Security Standard). Bạn chẳng bao giờ tìm thấy điểm dừng trong cuộc chiến bảo mật. Bạn cũng chẳng thể có được giải pháp toàn diện hay nhanh chóng kịp thời. Những mối đe doạ luôn vượt quá khả năng xử lý của bộ phận CNTT trong mỗi doanh nghiệp” – ông nói. Thay vào đó, Denham cho biết công ty của mình sẽ tiếp tục trông cậy vào các đối tác khi nhu cầu bảo mật tăng lên.

Như thế, có thể thấy rằng bảo mật đã, đang và vẫn sẽ là vấn nạn nghiêm trọng đối với các doanh nghiệp. Cuộc chiến chống lại sự xâm nhập sẽ diễn ra không bao giờ dứt bởi lẽ kẻ xấu sẽ luôn có những lối tấn công mới nhằm gây thiệt hại. Thực tế hiển hiện chính là việc ngành công nghiệp công nghệ thống tin đã dành nhiều công sức cho việc đối phó nạn lừa đảo nhưng khi mọi thứ đã tạm lắng xuống, hacker lại ngay lập tức xoay sang một lĩnh vực khác, điển hình là phát tán mã độc chẳng hạn. “Trong khi chúng ta tiếp tục cải thiện tình hình ở một số lĩnh vực nhất định, kẻ xấu không hề từ bỏ âm mưu. Chúng sẽ không bỏ cuộc để tìm một công việc lương thiện mà thay vào đó sẽ tìm kiếm một hướng tấn công mới” – vị giám đốc của Paypal tái khẳng định.