Càng ngày, người ta càng đau đầu vì chuyện an ninh, an toàn thông tin mạng

An ninh mạng: cuộc trường chinh không điểm kết

Khảo sát bảo mật toàn cầu của InformationWeek năm 2006 đã cho thấy bức tranh khá toàn cảnh về những nguy cơ đối với môi trường điện toán của doanh nghiệp.

InformationWeek cho biết khảo này được thực hiện với hơn 2200 chuyên gia bảo mật từ các doanh nghiệp ở Mỹ, châu Âu, Ấn Độ và Trung Quốc. Khi được hỏi liệu các công ty của họ có dễ bị tấn công và dò rỉ thông tin hơn năm trước,  89% công ty Mỹ cho rằng họ không dễ bị tấn công hơn trước đây, nhưng có tới hơn 20% các doanh nghiệp ở Trung Quốc, Ấn Độ và châu Âu nói mạng của họ dễ bị tấn công hơn trước đây.

Đặc biệt có hơn 50% số người khảo sát nói rằng quản sự phức tạp của việc bảo mật hiện nay là thách thức hàng đầu. Mỗi sản phẩm mới từ thiết bị di động, lưu trữ di động, các ứng dụng cộng tác dựa trên web đến các ứng dụng VoIP đều mở ra những mặt trận bảo mật mới. Những mối đe doạ trở nên phức tạp hơn, các cuộc tấn công cũng nhiều hơn.

57% công ty Mỹ được khảo sát thông báo họ bị virus tấn công, 34% bị nhiễm sâu và 18% bị tấn công từ chối dịch vụ (DoS). Tỷ lệ doanh nghiệp bị tấn công mạng và ăn cắp thông tin sở hữu lần lượt là 9% và 8%. Tỷ lệ bị nhiễm virus, sâu, tấn công DoS và ăn cắp thông tin cao hơn một chút ở các công ty Trung Quốc, Ấn Độ và châu Âu.

Các chuyên gia bảo mật trích dẫn danh sách dài những thách thức, gồm nâng cao nhận thức người dùng, thực thi các chính sách bảo mật, kiểm soát truy cập hệ thống và nhiều vấn đề khác.

Mất cắp dữ liệu

Năm ngoái, nguy cơ nóng nhất trong khảo sát bảo mật của InformationWeek là các cuộc tấn công ác tâm, năm nay đó là mất dữ liệu và ăn cắp dữ liệu. Sự kiện máy tính xách tay của Bộ Cựu binh Mỹ và ổ cứng rời chứa 26,5 triệu hồ sơ cá nhân bị ăn cắp trong tháng 5 là lời cảnh tỉnh với các tổ chức khác

Rò rỉ dữ liệu khách hàng cũng là vấn đề đang gia tăng. Dữ liệu là mặt hàng chính đối với những kẻ tấn công muốn kiếm tiền từ các thông tin sở hữu. Trong cuộc khảo sát năm ngoái, chỉ có 5% công ty Mỹ cho biết họ rõ rỉ dữ liệu khách hàng và 5% thông báo bị ăn cắp thông tin sở hữu. Năm nay, con số này tăng lên gấp đôi, tương ứng là 11% và 9%. Vấn đề này còn tệ hơn ở Trung Quốc, có tới 23% công ty cho biết họ bị ăn cắp dữ liệu khách hàng và 27% bị ăn cắp thông tin sở hữu.

Tình trạng mất cắp dữ liệu ngày càng phức tạp đã dẫn đến sự ra đời các quy định yêu cầu doanh nghiệp phải thông báo những trường hợp mất dữ liệu khách hàng. Ở Mỹ, hiện có ít nhất 30 điều luật cấp bang quy định về vấn đề này và Thượng viện Mỹ cũng đang soạn thảo một dự luật nhằm ngăn chặn lưu thông dữ liệu tài chính và dữ liệu khách hàng bị ăn cắp.

Hậu quả lớn nhất của rò rỉ dữ liệu là tác động tài chính và thời gian chết của ứng dụng cùng hệ thống mạng. Tuy nhiên, việc xác định hậu quả tài chính từ các vụ rò rỉ dữ liệu là việc không dễ. Theo khảo sát này, khoảng 30% công ty Mỹ và châu Âu, và gần một nửa công ty Trung Quốc không thể xác định được mất mát tài chính do rò rỉ dữ liệu. Nhưng có một điều rõ ràng là những mất mát do rò rỉ dữ liệu có thể rất nghiêm trọng.

Để ngăn chặn nguy cơ rò rỉ dữ liệu, phần lớn những người tham giả khảo sát này cho rằng cần thực hiện giải pháp đồng bộ gồm thực thi các chính sách, công nghệ và đào tạo. Trong đó, quan trong nhất là việc thực thi các chính sách quản lý việc sử dụng dữ liệu trong doanh nghiệp. Theo kết quả khảo sát này, hiện nay đa số doanh nghiệp đã có chính sách về truy cập dữ liệu. Ở Mỹ, khoảng 70% chính sách bảo mật đã chỉ ra những ai được truy cập dữ liệu và có thể được dùng làm gì. Tuy nhiên, rất ít chính sách đề cập đến việc dữ liệu đó có thể hay không được lưu trữ. Các công ty châu Âu thì đưa ra những quy định cụ thể hơn về ai được truy cập dữ liệu khách hàng và nơi nào những dữ liệu đó được lưu trữ.

Công nghệ đối phó với nhân viên như hệ thống quản lý định danh (ID) đóng vai trò ngày càng tăng trong việc bảo vệ dữ liệu. Khoảng 9% công ty Mỹ sử dụng sinh trắc học để kiểm soát truy cập của người dùng. Tuy nhiên, hơn nửa số người tham gia khảo sát này nhất trí là công nghệ bảo mật, kể cả chính sách và đào tạo có thể tác động rất ít với việc ngăn chặn nguy cơ rò rỉ dữ liệu, mà vấn đề đáng ngại nhất là mối đe doạ bên trong, tức là từ nhân viên trong doanh nghiệp. Khoảng 25% công ty Mỹ và 20% công ty Trung Quốc và Ấn Độ cho rằng nhân viên là nguyên nhân của các vụ tấn công mạng và rò rỉ dữ liệu khách hàng.

Mối nguy cơ từ bên trong lớn nhất là người quản trị hay kế toán vi phạm trách nhiệm tiếp cận dữ liệu không được phép, nhưng đa số người tham gia khảo sát cho rằng ngăn chặn nguy cơ đó không phải là ưu tiên hàng đầu. Ưu tiên lớn hơn là kiểm soát dữ liệu và quản lý những mối đe doạ từ bên ngoài.

Ngoài ra, bảo mật không dây bắt đầu được ưu tiên hơn khi nhu cầu truy cập di động tới các ứng dụng và dữ liệu của nhân viên trong các doanh nghiệp ngày càng cao. Bảo mật mạng không dây là ưu tiên bảo mật “chiến lược” trong năm tới, khi có tới 25% công ty Mỹ và 23% công ty châu Âu, 20% công ty Trung Quốc và Ấn Độ đề cập đến nguy cơ này. Bên cạnh đó, khi các doanh nghiệp hướng mạnh đến triển khai các hệ thống VoIP, bảo mật cho VoIP cũng trở nên quan trọng.

Virus, sâu, spyware và thư rác vẫn là ưu tiên hàng đầu với các công ty trên thế giới. Và mối đe doạ virus, sâu phá hoại dữ liệu vẫn chưa biến mất. Khoảng 30% công ty Mỹ cho biết họ đã phát hiện thấy có một số loại sâu và virus phá hoại dữ liệu trong năm qua. Theo phản ánh của các công ty, số lượng các vụ tấn công do khai thác điểm yếu của hệ điều hành giảm khoảng 20% so với năm 2005, và số lượng virus và sâu cũng giảm nhẹ. Tuy nhiên, những nguy cơ khác lại tăng lên.

Đầu tư bảo mật tăng

Chi tiêu cho bảo mật đang tăng ở nhiều công ty, nhưng không đồng đều giữa các khu vực. Chi tiêu vào bảo mật thông tin đang tăng so với năm trước là 57% ở các công ty Ấn Độ, gần 50% ở các công ty Mỹ và 42% ở các công ty TQ và châu Âu. Trung bình, hơn 10% ngân sách CNTT được chi cho bảo mật thông tin.

Các doanh nghiệp nhận thức ngày càng rõ tác động của môi trường bảo mật an toàn với sự phát triển của doanh nghiệp, nhất là với những lĩnh vực ngân hàng trực tuyến và các dây truyền cung cấp. Tuy những nguy cơ và thách thức bảo mật ngày càng tăng, song có điều rất ngạc nhiên là nhiều công ty không có người phụ trách bảo mật. Chỉ có 30% công ty tham gia khảo sát có người chuyên môn phụ trách bảo mật.

Đỗ Duy