Trong buổi họp báo Giải thưởng lãnh đạo CNTT và An ninh thông tin Đông Nam Á 2017 tại Hà Nội mới đây, ông Nguyễn Trung Chính, Chủ tịch Tập đoàn Công nghệ CMC đã đưa ra đánh giá về việc Việt Nam bị xếp hạng nguy cơ mất an toàn an ninh thông tin ở thứ hạng cao, nguy cơ lây nhiễm mã độc cũng ở chỉ số rất cao.

Ông Chính cho hay, qua sự cố hệ thống thông tin của Vietnamairline bị tấn công mấy năm trước, một số đơn vị tham gia ứng cứu sự cố đã ngồi lại với nhau để đánh giá lại sự vụ thì thấy một điều là khi đó chúng ta không có cơ quan giải quyết sự cố khẩn cấp ở cấp quốc gia, các cơ quan tổ chức của Việt Nam cũng chưa sẵn sàng đối phó với sự cố thảm họa về an toàn an ninh thông tin. Qua đánh giá thì có một số bộ, ngành như Bộ Tài chính làm tốt việc đầu tư cho an toàn thông tin, nhưng nhìn chung sự quan tâm đến an toàn thông tin của các hệ thống thuộc các bộ, ngành đều yếu. Các cụm cảng hàng không ngay sau khi bị xâm nhập thì đa số rất quan tâm đến bảo mật, an toàn nhưng hai tuần sau mức độ quan tâm đã giảm xuống một nửa, lâu hơn nữa thì không còn quan tâm nữa.

Cũng theo ông Nguyễn Trung Chính, an toàn thông tin liên quan đến nhiều thứ bao gồm: hạ tầng, kinh phí đầu tư mua sắm thiết bị, phần mềm, nhưng đầu tư xong rồi không có đủ con người để vận hành, để giám sát thì cũng không hiệu quả. Lấy ví dụ về Vietnamiarline, tuần đầu sau khi bị tấn công thì cử người trực 24/7 giám sát cảnh báo sự cố, đến tuần thứ 2 đã không có đủ người để trực 24/7 nữa, chưa nói về lâu dài sẽ không có cơ quan nào có đủ người để sẵn sàng ứng cứu sự cố.

“Càng nói ra thì thấy vấn đề mất an toàn hệ thống thông tin càng nghiêm trọng, tính báo động rất cao”, ông Chính cho hay. Sau sự cố của Vietnamairline, CMC đã mời Cục An toàn thông tin, A68, FPT, Viettel cùng đánh giá, rút kinh nghiệm đưa ra khuyến nghị ở tầm quốc gia phải làm thế nào để đối phó với sự cố về an toàn thông tin, từ đó cho thấy chúng ta vẫn thiếu một quy trình xử lý khi bị tấn công. Ví dụ, muốn xử lý sự cố bị tấn công hệ thống một cụm cảng hàng không, nhưng vật chứng là máy chủ bị công an tịch thu, các doanh nghiệp CNTT hỗ trợ xử lý sự cố đã không có công cụ để phân tích xử lý ngay tức thời. “Hiện chúng ta vẫn không có quy trình xử lý sự cố của ngành CNTT mà theo quy trình truyền thống của ngành công an, nên không phù hợp và làm chậm quá trình giải quyết sự cố”, ông Chính nhận xét.

Cũng tại buổi họp báo, ông Nguyễn Trung Chính, Chủ tịch Tập đoàn Công nghệ CMC cho rằng, hiện nay tại các cơ quan nhà nước, việc đầu tư cho an toàn thông tin chủ yếu là đầu tư cho hệ thống thiết bị bảo mật, nhiều hơn là chú trọng đầu tư cho nguồn nhân lực, chính sách về an toàn thông tin hay dịch vụ bảo mật. Ví dụ, người ra dễ dàng đầu tư cho hệ thống camera an ninh hơn là những hệ thống phần mềm bảo mật khác, đó là lý do khiến hệ thống camera an ninh được trang bị rất nhiều. Tuy nhiên có một nghịch lý là đầu tư hệ thống xịn nhưng không có nhân lực về an toàn thông tin chăm sóc thì sẽ không an toàn bảo mật tý nào.

“Đầu tư bao nhiêu tiền không quan trọng mà quan trọng là phải có một giải pháp tổng thể cho bảo mật hệ thống thông tin. Camera an ninh thực ra không an toàn lắm đâu, camera là thiết bị IoT nên rất dễ xâm nhập, các hộ gia đình, cơ quan, doanh nghiệp đua nhau lắp camera để quan sát kẻ trộm nhưng nhiều người chưa biết đây cũng là thiết bị để hacker quan sát, theo dõi chính mình”, ông Chính cho hay.

Cũng theo ông Nguyễn Trung Chính, kinh phí và nguồn lực đầu tư cho CNTT nói chung và an toàn thông tin nói riêng nếu chỉ dựa vào nguồn đầu tư từ ngân sách nhà nước sẽ không có ngân sách nào chịu được. Do vậy, đầu tư cho con người làm công nghệ thông tin lấy đâu ra?

Theo ông Chính, các cơ quan nhà nước nên sử dụng dịch vụ CNTT từ các công ty cung cấp chuyên nghiệp từ bên ngoài. CMC hiện nay có một đội ngũ chuyên đi giúp các doanh nghiệp trước đây đầu tư cung cấp kinh doanh dịch vụ Data Center, do nguồn lực mỏng đầu tư máy móc kém sau thời gian đã trục trặc và cũng không ai có thể đảm bảo an ninh an toàn cho một hệ thống như vậy. Đầu tư chưa đến nơi đến chốn khiến vừa lãng phí về tiền, vừa mất an toàn thông tin.

Các cơ quan nhà nước phải xây dựng một lực lượng làm công tác quản trị chuyên nghiệp quản trị cho hệ thống an ninh an toàn thông tin. Bỏ tiền ra mua hệ thống bảo mật không khó, nhưng ai là người làm, ai là người trực và giám sát hệ thống này 24/24, đây rõ ràng là thách thức rất lớn đối với các đơn vị ứng dụng CNTT.

Trong lĩnh vực đảm bảo an ninh thông tin khi các cơ quan càng ứng dụng nhiều thì mặt trái càng nhiều, cho nên nếu không dùng nguồn lực xã hội sẽ không thể đáp ứng được và cũng không có giải pháp nào đảm bảo tuyệt đối an toàn được.