Nguy cơ rò rỉ dữ liệu: Không có ‘ngôi nhà’ nào an toàn tuyệt đối

Các chuyên gia cho rằng không có hệ thống nào an toàn tuyệt đối, vì thế cần phải thay đổi tư duy trong việc tìm giải pháp bảo mật, phòng chống rò rỉ dữ liệu.

Trong tọa đàm “Bảo mật dữ liệu và an ninh mạng trong kỷ nguyên vươn mình của dân tộc” được tổ chức tại Báo Nhân Dân chiều nay 25.9, các chuyên gia đưa ra những cảnh báo về nguy cơ mất mát, rò rỉ dữ liệu và bị tội phạm lợi dụng.

Tọa đàm “Bảo mật dữ liệu và an ninh mạng trong kỷ nguyên vươn mình của dân tộc”

Không có hệ thống nào an toàn tuyệt đối

Theo ông Ngô Tuấn Anh, Trưởng ban An ninh dữ liệu, Hiệp hội Dữ liệu quốc gia, dữ liệu là thành phần quan trọng nhất trong hệ thống. Nhiều sự cố lộ lọt xuất phát từ những lỗ hổng rất cơ bản, chủ yếu từ cấu hình, lỗ hổng liên quan lưu trữ và liên quan đến back up.

“Trước hết là vấn đề cấu hình. Chúng ta hình dung dữ liệu nằm trong một ngôi nhà nhưng lại không khóa cẩn thận. Có hệ thống chứa thông tin rất quan trọng nhưng lại dùng mật khẩu yếu, cấu hình mặc định hoặc để tiếp xúc trực tiếp với internet”, ông Ngô Tuấn Anh nói.

Ông Ngô Tuấn Anh

Một rủi ro nữa là lưu trữ tràn lan. Nhiều đơn vị lưu giữ quá nhiều biểu mẫu, dữ liệu không cần thiết, dẫn tới chi phí lưu trữ tăng và mở rộng bề mặt rủi ro. Khi hệ thống lưu trữ bị xâm phạm, toàn bộ khối dữ liệu có thể bị lộ. Trong bối cảnh pháp luật về bảo vệ dữ liệu cá nhân vừa được hoàn thiện, đơn vị lưu trữ sẽ phải chịu trách nhiệm pháp lý khi xảy ra rủi ro.

Thực tế không có hệ thống nào bảo đảm an toàn 100%. Các khảo sát cho thấy, nếu kẻ xấu có động cơ tấn công, tỷ lệ thành công là rất cao khi hệ thống có điểm yếu. Vì vậy, biện pháp phòng thủ đa lớp là cần thiết, trong đó sao lưu (backup) được coi là một trong những yếu tố sống còn.

Ông Nguyễn Lê Thành

Ông Nguyễn Lê Thành, nhà sáng lập, Chủ tịch điều hành Công ty bảo mật Verichains, cũng cảnh báo: “Cần xác định không có một hệ thống nào an toàn tuyệt đối. Hiện tại, đa số các đơn vị tấn công an ninh mạng hiện đại được tổ chức và hoạt động rất bài bản. Họ có động lực, mục tiêu và nguồn tài chính dồi dào”.

Làm sao để bảo vệ dữ liệu?

Ông Ngô Tuấn Anh chia sẻ một thực tế, các vụ tấn công mạng thời gian vừa qua hầu hết dựa trên những lỗ hổng đã được công bố từ trước. Có những lỗ hổng được phát hiện gần 10 năm trước, nhưng đến nay vẫn còn trên khoảng 40% máy tính.

Điều này cho thấy câu chuyện các vụ tấn công đều liên quan đến vấn đề chuẩn hóa và tuân thủ an toàn thông tin. Nhiều hệ thống đã biết tồn tại điểm yếu, song do được vá cấu hình chưa chuẩn hoặc vận hành thiếu cập nhật, vẫn để lộ sơ hở.

Ông Ngô Tuấn Anh khuyến cáo: “Cần tập trung vào 3 nhóm giải pháp: siết chặt cấu hình an toàn trước khi đưa dịch vụ lên internet; quản lý, phân loại và hạn chế lưu trữ dữ liệu không cần thiết; xây dựng quy trình phát hiện sớm, cách ly, khôi phục và phối hợp pháp lý khi xảy ra sự cố. Đây là các bước thiết yếu để bảo vệ tài sản quan trọng nhất của tổ chức là dữ liệu”, ông Ngô Tuấn Anh nói.

Còn ông Nguyễn Lê Thành chia sẻ: “Phải xác định trong cả hệ thống thông tin thì đâu là tài sản quan trọng, cần thiết nhất. Từ đây, sử dụng thêm các biện pháp khác xoay quanh việc bảo vệ để trong trường hợp có sự cố xảy ra thì dữ liệu thất thoát không nhiều, lượng thông tin mất đi không quá giá trị và không gây ra những thiệt hại nghiêm trọng”.

GS Trần Tuấn Anh

Theo GS Trần Tuấn Anh, Phó chủ tịch Viện Hàn lâm khoa học và công nghệ Việt Nam, bảo đảm tập trung phát triển hạ tầng và công nghệ bản địa là một giải pháp để bảo mật dữ liệu. Sử dụng hạ tầng điện toán đám mây trong nước, đặt máy chủ tại Việt Nam (khuyến khích dùng dịch vụ cloud của các công ty trong nước thay vì phụ thuộc AWS/Azure, bảo đảm dữ liệu công dân được lưu tại Việt Nam).

Ông Ngô Tuấn Anh cũng đồng quan điểm, để bảo đảm an toàn dữ liệu, chúng ta cần tập trung vào chuẩn hóa, triển khai tuân thủ và đẩy mạnh phát triển các giải pháp an ninh, an toàn do Việt Nam làm chủ.

Còn ông Nguyễn Lê Thành nói: “Chúng ta vẫn cần nỗ lực trên tinh thần công nghệ nào có thể đầu tư sản xuất được thì vẫn nên tự sản xuất. Đồng thời, phải bảo vệ và làm tất cả những điều cần thiết để phát hiện rủi ro, phòng ngừa các lỗ hổng, điểm yếu”.