Công ty chứng khoán chưa tuân thủ an toàn thông tin mạng, xảy ra nhiều vụ nghiêm trọng

CTCK chưa tuân thủ quy định an toàn thông tin mạng

Theo đánh giá của một số tổ chức an ninh mạng Việt Nam, năm 2023 ghi nhận 13.900 vụ tấn công mạng vào các tổ chức tại Việt Nam, bình quân là 1.160 vụ/tháng, con số này tăng khoảng 9,5% so với năm 2022. Theo báo cáo của Cục An toàn thông tin, Bộ Thông tin - Truyền thông, xu hướng tấn công mạng, đặc biệt là tấn công mã hoá dữ liệu tống tiền có xu hướng gia tăng vào đầu năm 2024. Trên thực tế đã ghi nhận những vụ việc nghiêm trọng tại doanh nghiệp về chứng khoán cũng như những ngành khác.

Ông Lê Công Phú,Phó Giám đốc Trung tâm Ứng cứu khẩn cấp không gian mạng Việt Nam (VNCERT) cho biết sau khi khảo sát các công ty chứng khoán về khả năng phòng chống tấn công mạng, kết quả cho thấy công ty chứng khoán nói riêng và doanh nghiệp nói chung đều chưa tuân thủ các quy định về an toàn thông tin mạng theo cấp độ. Theo ông, trong thời gian vừa qua, Cục An toàn Thông tin đã đôn đốc, cơ quan nhà nước thực hiện tốt vấn đề này, nhưng phía doanh nghiệp và định chế tài chính vẫn chưa làm tốt. 

Về mặt tổng thể, Việt Nam đã có hệ thống đầy đủ với các văn bản quy phạm pháp luật, đó là Nghị định 85/2016/NĐ-CP về bảo đảm an toàn hệ thống thông tin theo cấp độ, Thông tư 12/2022/TT-BTTTT hướng dẫn rõ ràng về việc các tổ chức và doanh nghiệp cần làm gì để đảm bảo an toàn hệ thống thông tin.

Đối với từng lĩnh vực, chúng ta có Quyết định số 632/QĐ-TTg, ban hành danh mục 11 lĩnh vực quan trọng cần đảm bảo an toàn thông tin, trong đó có tài chính, năng lượng, ngân hàng, thông tin, … - những lĩnh vực khi xảy ra sự cố thì sẽ có mức tác động lớn đến xã hội. Ngoài ra, Quyết định số 05/2017 yêu cầu các đơn vị phải báo cáo trong vòng 5 ngày đối với các sự cố vượt ngoài xử lý, Nghị định 15/2020/NĐ-CP quy định xử phạt vi phạm hành chính trong lĩnh vực bưu chính, viễn thông, tần số vô tuyến điện, công nghệ thông tin và giao dịch điện tử.

Theo ông Lê Công Phú, Chính phủ rất quan tâm đến vấn đề an toàn thông tin mạng, yêu cầu ra công điện kịp thời và chấn chỉnh để đảm bảo an toàn an ninh mạng. Trong khi hiện nay các công ty chứng khoán lại chưa thực sự quan tâm đến an toàn thông tin.

Vaccine nào cho DN?

Theo ông Ngô Tuấn Anh, với sự phát triển của công nghệ, 1 hệ thống miễn nhiễm trước tấn công mạng là không có. Ngay cả những đơn vị đầu tư nhiều tiền vào hệ thống bảo mật cũng chưa chắc đã an toàn.

“Hệ thống cần 3 yếu tố để đảm bảo an toán. Thứ nhất là công nghệ tốt. Thứ hai là con người tốt để triển khai, giám sát. Thứ ba là quy trình vận hành nhuần nhuyễn”, ông Ngô Tuấn Anh cho biết.

Theo ông, nhu cầu nhân sự an toàn bảo mật là vấn đề chung không chỉ ở Việt Nam mà trên toàn cầu. Trong khi việc đầu tư nguồn nhân lực an toàn thông tin hiện nay là chưa cân xứng.

Ông Nguyễn Hồng Sơn Phó phòng Pentest Trung tâm an toàn thông tin VNPT cho rằng sau các sự cố xảy ra gần đây, doanh nghiệp cần có cái nhìn rõ ràng hơn về tình trạng sức khoẻ hệ thống, bổ sung những liều vaccine cần thiết để tạo ra sức đề kháng trước nguy cơ mất an toàn thông tin.

Liều vaccine này là những cuộc diễn tập thực chiến, giả lập những tình huống có thể xảy ra trong các cuộc tấn công mạng như hiện nay, bám sát với tình hình thời sự để giúp đội ngũ phòng thủ của doanh nghiệp có thể rèn luyện, nâng cao kỹ năng trong việc xử lý tình huống, đưa ra lựa chọn tốt nhất, phù hợp nhất.

Sau các cuộc diễn tập này, doanh nghiệp có thể xây dựng những kịch bản xử lý, ứng phó với các tình huống tấn công, dù không thể giải quyết đc 100% vấn đề nhưng có thể giảm thiệt hại của doanh nghiệp ở mức tối thiểu.

Theo ông Lê Công Phú, việc doanh nghiệp bị tấn công mạng sớm ở góc nhìn tích cực có điểm tốt. Trong bối cảnh phần lớn doanh nghiệp chưa quan tâm đến vấn đề an toàn công nghệ thông tin, chỉ khi xảy ra sự cố, doanh nghiệp mới nhìn nhận thấy sự rối rắm trong hệ thống của mình.

Theo ông, những doanh nghiệp đang trong giai đoạn tăng trưởng nóng bị tấn công khi có 1 triệu người dùng so với bị tấn công khi có 10 triệu người dùng sẽ có những mức độ ảnh hưởng xã hội khác nhau. Những doanh nghiệp bị tấn công sớm sẽ tăng mức độ an toàn lên gấp 2, gấp 3 lần, siết chặt từng hoạt động.