Bảo mật không chỉ là công nghệ – mà là kỷ luật nội bộ

 1.  Sự cố CIC: Hồi chuông cảnh tỉnh cho toàn hệ thống

Vụ rò rỉ hơn 160 triệu bản ghi từ Trung tâm Thông tin Tín dụng Quốc gia (CIC) không chỉ là một sự cố kỹ thuật. Nó là lời cảnh báo về mức độ nguy hiểm của lỗ hổng bảo mật trong các tổ chức trọng yếu.

Điều đáng nói là: hệ thống hạ tầng bảo mật của CIC được đầu tư rất tốt. Nhưng như tôi từng chứng kiến ở nhiều tổ chức, rủi ro không nằm ở thiết bị hay phần mềm – mà nằm ở con người.

2.  CNTT – Bộ phận có rủi ro cao nhất?

Nghe có vẻ nghịch lý, nhưng theo kinh nghiệm của tôi, tỷ lệ tấn công cao nhất lại nằm ở chính các cá nhân trong bộ phận Công nghệ thông tin. Vì sao?

a.     Quyền truy cập rộng
Nhân viên IT thường có quyền truy cập sâu vào hệ thống, cơ sở dữ liệu, máy chủ… Nếu bị tấn công, hậu quả sẽ nghiêm trọng hơn nhiều so với các phòng ban khác.

b.    Thiếu kỷ luật cá nhân
Một số nhân viên IT sử dụng máy tính công ty để chơi game, truy cập web đen, cài phần mềm crack… Đây là cửa ngõ cho mã độc xâm nhập.

c.     Phần mềm cũ không được cập nhật
Nhiều hệ thống nội bộ vẫn dùng các ứng dụng đã lỗi thời, không còn được vá lỗi. Việc “để đó cho tiện” chính là mồi ngon cho hacker.

d.    Chủ quan vì “mình là dân kỹ thuật”
Có một tâm lý phổ biến: “Tôi biết cách bảo vệ mình, tôi không dễ bị hack.” Chính sự chủ quan này khiến họ dễ bị khai thác nhất.

3.  Các phòng ban khác cũng không an toàn

Tỷ lệ tấn công vào các bộ phận khác thường đến từ:

• Email giả mạo, chứa link độc hại
• Tin nhắn từ mạng xã hội, giả danh người quen
• File đính kèm chứa mã độc

👉 Nhưng khác với IT, các phòng ban này thường bị giới hạn quyền truy cập, nên mức độ thiệt hại thấp hơn. Vấn đề nằm ở chỗ: IT bị tấn công thì toàn hệ thống bị ảnh hưởng.

4.  Bài học lớn: Bảo mật là văn hóa, không phải chỉ là công nghệ

5.  Các Case-study

v Sự cố tại Ubisoft (Pháp, 2020) – Hacker xâm nhập qua tài khoản nhân viên IT

Tóm tắt:
Một hacker đã truy cập vào hệ thống nội bộ của Ubisoft thông qua tài khoản của một nhân viên IT, từ đó lấy được mã nguồn của nhiều game đang phát triển.

Nguyên nhân:

·      Nhân viên IT sử dụng mật khẩu yếu

·      Không có xác thực đa yếu tố (MFA)

·      Thiếu giám sát truy cập từ xa

Bài học:
Quyền truy cập cao đi kèm với rủi ro cao. Nhân viên IT cần được kiểm soát chặt chẽ như bất kỳ điểm truy cập nào khác.

v Sự cố tại Sony Pictures (Mỹ, 2014) – Tấn công từ email giả mạo

Tóm tắt:
Hacker gửi email giả mạo đến nhân viên IT, từ đó cài mã độc và chiếm quyền kiểm soát hệ thống. Hàng loạt dữ liệu nội bộ, email, và phim chưa phát hành bị rò rỉ.

Nguyên nhân:

·      Nhân viên IT click vào link độc hại trong email

·      Không có hệ thống phát hiện xâm nhập sớm

·      Thiếu đào tạo về nhận diện email giả mạo

Bài học:
Ngay cả nhân viên kỹ thuật cũng dễ bị tấn công qua các phương thức xã hội (social engineering) nếu không được huấn luyện đúng cách.

v  Sự cố tại Equifax (Mỹ, 2017) – Không cập nhật bản vá phần mềm

Tóm tắt:
Thông tin cá nhân của hơn 147 triệu người Mỹ bị rò rỉ do một lỗ hổng trong phần mềm Apache Struts không được vá đúng hạn.

Nguyên nhân:

·      Bộ phận IT không cập nhật bản vá bảo mật

·      Thiếu quy trình kiểm tra định kỳ

·      Không có cảnh báo tự động về lỗ hổng

Bài học:
Một bản vá bị bỏ quên có thể gây thiệt hại hàng tỷ USD. Việc duy trì hệ thống cập nhật là trách nhiệm sống còn của IT.

v  Sự cố tại FireEye (Mỹ, 2020) – Hacker tấn công vào công cụ kiểm thử nội bộ

Tóm tắt:
Một nhóm hacker tinh vi đã xâm nhập vào hệ thống của FireEye – công ty an ninh mạng hàng đầu – và đánh cắp các công cụ kiểm thử bảo mật.

Nguyên nhân:

·      Tấn công vào tài khoản quản trị viên IT

·      Lợi dụng quyền truy cập sâu vào hệ thống

·      Thiếu phân quyền rõ ràng trong nội bộ

Bài học:
Không ai miễn nhiễm với rủi ro. Ngay cả công ty bảo mật cũng có thể bị tấn công nếu không kiểm soát nội bộ chặt chẽ.

6.  Góc nhìn của tôi

Tôi từng thấy nhiều tổ chức đầu tư hàng tỷ đồng vào firewall, antivirus, SIEM… nhưng lại để nhân viên IT dùng máy chủ để chơi game hoặc cài phần mềm lậu.

Và tôi tin rằng: bảo mật không nằm ở ngân sách, mà nằm ở kỷ luật.
Không nằm ở thiết bị, mà nằm ở tư duy. Không nằm ở phòng IT, mà nằm ở toàn bộ tổ chức.

7.  Kết luận: Bảo mật bắt đầu từ con người

Sự cố CIC là lời cảnh tỉnh: không ai miễn nhiễm với rủi ro bảo mật.
Và bộ phận IT – tưởng là “lá chắn” – đôi khi lại là “cửa ngõ” nguy hiểm nhất.

Doanh nghiệp nào hiểu được điều đó, xây dựng văn hóa bảo mật từ bên trong, giám sát hành vi kỹ thuật số, và không ngừng cập nhật hệ thống — sẽ không chỉ phòng ngừa tốt hơn, mà còn bảo vệ được niềm tin của khách hàng.