An ninh mạng và rủi ro công nghệ của khu vực công

Vì sao điều này quan trọng đối với giá trị công

Khi hệ thống của một bệnh viện bị kẻ tấn công mã hóa, các bác sĩ lâm sàng không thể xem lịch sử dùng thuốc, xe cứu thương bị chuyển hướng và các ca phẫu thuật bị hủy. Khi hệ thống điều khiển của một công ty cấp nước bị xâm phạm, giá trị công đang bị đe dọa không phải một sự cố máy chủ mà là sự an toàn của nước uống. Khi cơ sở dữ liệu của một cơ quan trợ cấp bị xâm phạm, những người bị phơi ra nhiều nhất thường là những người ít có khả năng hấp thụ hậu quả nhất: một khoản thanh toán bị chậm, một danh tính bị đánh cắp, một gia đình không thể chứng minh mình là ai với nhà nước nợ họ sự hỗ trợ. An ninh máy tính, thường gọi là an ninh mạng, là thực hành bảo vệ hệ thống máy tính, mạng và dữ liệu khỏi truy cập, gián đoạn hay hư hại trái phép. Trong các thể chế công, thực hành đó nằm ngay trên đường giữa nhà nước và công dân mà nó phục vụ.

Đây là lý do chủ đề này đóng khung rủi ro mạng là một câu hỏi giá trị công, không chỉ một câu hỏi kỹ thuật. Tính chính danh và sự ủng hộ phụ thuộc vào việc công dân tin rằng các thể chế nắm dữ liệu của họ và vận hành các dịch vụ thiết yếu của họ có thể được tin để giữ cả hai an toàn (xem Chủ đề 1.2 — Tam giác chiến lược: tính chính danh, giá trị và năng lực). Một vụ xâm phạm được công bố rộng rãi đơn lẻ có thể gây thiệt hại lâu dài cho niềm tin đó, theo cách một cuộc ứng phó khẩn cấp xử lý sai cũng vậy, vì công dân đánh giá các thể chế qua cách chúng hành xử khi bị tấn công cũng nhiều như qua cách chúng hoạt động hằng ngày (xem Chủ đề 3.12 — Quản lý khủng hoảng, khẩn cấp và khả năng chống chịu, chủ đề coi các sự cố mạng là một loại trong kỷ luật chống chịu rộng hơn). An ninh mạng cũng không thể tách khỏi quản trị dữ liệu: một tổ chức không thể bảo vệ thứ nó không biết mình nắm, và khả năng liên thông cùng sự cởi mở tạo ra giá trị công từ dữ liệu cũng mở rộng bề mặt mà kẻ tấn công có thể khai thác (xem Chủ đề 5.4 — Dữ liệu, khả năng liên thông và dữ liệu mở của khu vực công).

Vấn đề nguồn lực gay gắt và đặc thù cho khu vực công và khu vực xã hội. Các cơ quan quốc gia lớn ngày càng có đội ngũ an ninh chuyên trách và ngân sách doanh nghiệp; ủy ban cấp nước phục vụ một thị trấn nhỏ, quỹ ủy thác bệnh viện khu vực và tổ chức phi lợi nhuận địa phương điều hành một nơi trú ẩn cho nạn nhân bạo lực gia đình thường không, dù nắm dữ liệu có độ nhạy cảm sánh ngang hay vượt bất kỳ ngân hàng nào. Kẻ tấn công biết điều này. Các cơ quan công thiếu nguồn lực không phải trường hợp biên trong chủ đề này; họ gần như ở trung tâm của nó, vì cơ quan công trung vị đối mặt rủi ro này ngày nay không phải một bộ quốc gia mà là một chính quyền địa phương nhỏ, một công ty tiện ích khu vực, hay một tổ chức từ thiện với một số ít nhân viên công nghệ thông tin và không có chuyên gia an ninh nào.

Cuối cùng, đây là một vấn đề sống và đang xấu đi, không phải giả thuyết. Các chiến dịch mã độc tống tiền ngày càng nhắm vào chính quyền địa phương, bệnh viện, trường học và các tổ chức khu vực xã hội chính vì họ kết hợp dữ liệu nhạy cảm, dịch vụ thiết yếu, khả năng chịu ngừng hoạt động thấp, và phòng thủ tương đối yếu — một sự kết hợp khiến họ nhiều khả năng trả tiền hơn và ít có khả năng đã ngăn được cuộc tấn công ngay từ đầu. Coi an ninh mạng là một phần bổ sung chuyên gia thay vì một cam kết giá trị công cấp quản trị, với loại tổ chức này, gần như là một lời mời gọi.

Khái niệm cốt lõi

Hạ tầng trọng yếu là tập hợp các hệ thống và tài sản — năng lượng, nước, giao thông, y tế, tài chính, truyền thông — thiết yếu đến mức việc mất khả năng hay phá hủy chúng sẽ có tác động làm suy yếu sự an toàn, nền kinh tế hay niềm tin công chúng. Bảo vệ hạ tầng trọng yếu là kỷ luật bảo vệ các hệ thống này khỏi các mối đe dọa vật lý và số; nó quan trọng ở đây vì nhiều sự cố mạng có hệ quả nhất của khu vực công không phải các cuộc tấn công vào dữ liệu trừu tượng mà là vào công nghệ vận hành giữ cho hạ tầng vật lý chạy, khác với công nghệ thông tin giữ hồ sơ và xử lý giao dịch.

Một chủ thể đe dọa là bất kỳ cá nhân, nhóm hay quốc gia nào có thể cố xâm phạm một hệ thống; trong khu vực công chúng trải từ các nhóm tội phạm có động cơ tài chính đến các chủ thể do nhà nước bảo trợ theo đuổi gián điệp hay gây gián đoạn, và cùng một thể chế có thể đồng thời đối mặt cả hai với các mục tiêu rất khác nhau. Mã độc tống tiền là phần mềm độc hại mã hóa dữ liệu hay hệ thống của một tổ chức và đòi thanh toán để giải phóng chúng; nó đã trở thành mối đe dọa chi phối các cơ quan công chính vì các dịch vụ thiết yếu không thể chịu ngừng hoạt động kéo dài, làm tăng áp lực phải trả. Lừa đảo giả mạo (phishing) là một dạng kỹ thuật xã hội trong đó kẻ tấn công đánh lừa nhân viên tiết lộ thông tin xác thực hay cài đặt phần mềm độc hại, thường qua email lừa dối, và vẫn là cách phổ biến nhất để kẻ tấn công lần đầu có chỗ đứng, vì nó nhắm vào con người thay vì công nghệ.

Một vụ xâm phạm dữ liệu là sự truy cập, tiết lộ hay mất thông tin trái phép, dù qua một cuộc tấn công bên ngoài, một người trong cuộc, hay lỗi con người đơn giản như một cơ sở dữ liệu cấu hình sai để mở ra internet. Một tấn công chuỗi cung ứng xâm phạm một tổ chức gián tiếp, bằng cách nhắm vào một nhà cung cấp, nhà bán phần mềm hay nhà cung cấp dịch vụ được quản lý kém an toàn hơn mà tổ chức mục tiêu tin cậy; những cuộc tấn công này đặc biệt nguy hiểm với khu vực công vì rất nhiều cơ quan công dùng chung cùng một số ít nhà cung cấp phần mềm, nghĩa là một sự xâm phạm nhà cung cấp có thể thác đổ vào hàng trăm thể chế cùng lúc.

Vệ sinh mạng là tập hợp các thực hành thường lệ — vá phần mềm kịp thời, thực thi xác thực mạnh, giới hạn ai truy cập gì, sao lưu dữ liệu và kiểm nghiệm việc khôi phục các bản sao lưu đó — ngăn phần lớn các cuộc tấn công thành công mà không cần công cụ kỳ lạ. Hầu hết các vụ xâm phạm khai thác các lỗ hổng đã biết, chưa vá hay thông tin xác thực yếu thay vì kỹ thuật mới lạ, nên khoảng cách giữa vệ sinh mạng thực tế của một tổ chức và chính sách đã nêu của nó thường là chỉ báo tốt hơn về rủi ro của nó so với độ tinh vi của các mối đe dọa nó nêu tên trong sổ đăng ký rủi ro.

Kiến trúc không tin cậy mặc định (zero trust) là một nguyên tắc thiết kế an ninh cho rằng không người dùng hay thiết bị nào nên được tin theo mặc định, ngay cả bên trong mạng của chính tổ chức, và mọi yêu cầu truy cập phải được xác minh bất kể nó xuất phát từ đâu. Nó đã trở nên có ảnh hưởng trong hướng dẫn khu vực công vì nó khớp với cách công việc chính phủ hiện đại thực sự diễn ra — nhân viên, nhà thầu và công dân truy cập dịch vụ từ nhiều thiết bị và địa điểm — tốt hơn một mô hình cũ tin bất cứ thứ gì đã ở bên trong vành đai.

Quản lý sự cố an ninh máy tính, thường gọi là ứng phó sự cố, là quy trình có tổ chức phát hiện, ngăn chặn, loại bỏ và phục hồi sau một sự cố an ninh, tiếp theo là một cuộc xem xét điều đã cho phép nó xảy ra. Một nghĩa vụ công bố là bổn phận pháp lý hay quy định phải thông báo cho cá nhân bị ảnh hưởng, cơ quan quản lý hay công chúng khi dữ liệu cá nhân hay dịch vụ trọng yếu bị xâm phạm, trong một thời hạn và theo một chuẩn xác định, trên logic rằng công dân và các cơ quan giám sát có quyền biết khi dữ liệu hay dịch vụ thiết yếu của họ bị đặt vào rủi ro, và công bố kịp thời cho phép mọi người tự bảo vệ.

Thực hành tốt nhất

1. Coi an ninh mạng là trách nhiệm của cơ quan quản trị, không phải một chức năng kỹ thuật được ủy quyền. Hội đồng quản trị, hội đồng và ban điều hành nên nhận các bản thông báo thường xuyên, bằng ngôn ngữ giản dị về rủi ro mạng và trực tiếp phê duyệt ngân sách cho nó, thay vì để nó được thương lượng bên trong một dòng ngân sách công nghệ thông tin rộng hơn nơi nó là thứ dễ cắt nhất.
2. Kiểm kê điều bạn nắm giữ và điều gì phụ thuộc vào nó trước khi quyết định cách bảo vệ. Một tổ chức không thể bảo mật dữ liệu hay hệ thống mà nó chưa lập bản đồ; một kiểm kê tài sản và dữ liệu hiện hành, đối chiếu với công việc liên thông và quản trị dữ liệu được bao quát ở nơi khác (xem Chủ đề 5.4 — Dữ liệu, khả năng liên thông và dữ liệu mở của khu vực công), là điều kiện tiên quyết cho mọi thực hành khác trong danh sách này.
3. Áp dụng những điều cơ bản ở mọi nơi trước khi chi cho bất cứ điều gì nâng cao. Quản lý bản vá, xác thực đa yếu tố, sao lưu đã kiểm nghiệm và kiểm soát truy cập đặc quyền tối thiểu ngăn phần lớn áp đảo các cuộc tấn công trong thực tế; một cơ quan công chưa có những thứ này không nên ưu tiên đăng ký tình báo mối đe dọa hay công cụ giám sát đặt riêng.
4. Áp dụng một khung được công nhận thay vì phát minh một cái đặt riêng. Các khung như Khung An ninh mạng của Viện Tiêu chuẩn và Công nghệ Quốc gia cho một vốn từ vựng chung và một cấu trúc — xác định, bảo vệ, phát hiện, ứng phó, phục hồi — mà một tổ chức nhỏ có thể áp dụng ở dạng đơn giản hóa và một tổ chức lớn có thể áp dụng đầy đủ, không cần phát minh lại phân loại cơ bản.
5. Gộp nguồn lực qua các tổ chức nhỏ thay vì mỗi nơi mua riêng. Một dịch vụ vận hành an ninh dùng chung, một nhóm ứng phó sự cố mạng khu vực hay một khung mua sắm toàn ngành có thể cho một nhóm các chính quyền địa phương nhỏ hay tổ chức phi lợi nhuận sự bảo vệ mà không nơi nào trong số họ có thể chi trả riêng — câu trả lời trực tiếp nhất cho vấn đề thiếu nguồn lực mà chủ đề này lấy làm trung tâm.
6. Viết kế hoạch ứng phó sự cố trước sự cố, và diễn tập nó. Một kế hoạch soạn lần đầu trong một cuộc tấn công sống là một kế hoạch soạn tồi, dưới sự hoảng loạn, bởi những người chưa bao giờ kiểm nghiệm liệu nó có thực sự hoạt động; một kế hoạch được thực hành ít nhất hằng năm biến giờ đầu hỗn loạn thành một chuỗi đã diễn tập gồm các bước đã biết (xem Chủ đề 3.12 — Quản lý khủng hoảng, khẩn cấp và khả năng chống chịu về kỷ luật rộng hơn mà điều này dựa vào).
7. Quyết định chính sách công bố và thanh toán trước, không phải trong sự cố. Liệu tổ chức có cân nhắc trả tiền chuộc, ai có thẩm quyền đưa ra quyết định đó, và cách thức cùng thời điểm những người bị ảnh hưởng sẽ được thông báo nên là chính sách được hội đồng phê duyệt, không phải một quyết định ứng biến dưới áp lực của một yêu sách tống tiền sống.
8. Phân đoạn mạng để một sự xâm phạm không thể trở thành mọi sự xâm phạm. Giữ công nghệ vận hành điều khiển hạ tầng vật lý tách biệt khỏi công nghệ thông tin văn phòng chung, và tách các hệ thống độ nhạy cảm cao khỏi những hệ thống độ nhạy cảm thấp hơn, giới hạn một kẻ xâm nhập vào qua một điểm yếu có thể đi xa đến đâu.
9. Quản lý rủi ro bên thứ ba và chuỗi cung ứng nghiêm ngặt như rủi ro nội bộ. Yêu cầu bảo đảm an ninh, điều khoản quyền kiểm toán và nghĩa vụ thông báo sự cố trong hợp đồng với nhà bán phần mềm và nhà cung cấp dịch vụ được quản lý, vì một phần ngày càng tăng các sự cố lớn của khu vực công bắt nguồn từ một nhà cung cấp được tin cậy thay vì một cuộc tấn công trực tiếp.
10. Đầu tư vào con người, không chỉ công cụ. Đào tạo thường xuyên, thực tế — gồm các bài tập lừa đảo giả mạo mô phỏng — giảm đo lường được các cuộc tấn công kỹ thuật xã hội thành công, và giữ lại dù chỉ một hay hai nhân viên an ninh có kỹ năng trong một tổ chức nhỏ thường đáng giá hơn một khoản chi tương đương cho thêm giấy phép phần mềm.
11. Báo cáo sự cố trung thực và dùng các suýt-soát như những bài học miễn phí. Một văn hóa trừng phạt nhân viên vì báo cáo một vụ xâm phạm nghi ngờ bảo đảm rằng vụ tiếp theo được báo cáo muộn hoặc không bao giờ; các tổ chức cải thiện nhanh nhất là những tổ chức coi mọi suýt-soát là bằng chứng để học hơn là lý do quy lỗi.
12. Xây khả năng chống chịu mạng vào mua sắm và điều kiện tài trợ, không chỉ chính sách nội bộ. Các nhà tài trợ và cơ quan đặt hàng dịch vụ có thể yêu cầu một mức thực hành an ninh cơ bản từ các tổ chức họ tài trợ hay ký hợp đồng, mở rộng tầm với của thực hành tốt đến các đối tác cung cấp nhỏ hơn vốn sẽ không có áp lực bên ngoài nào để đầu tư vào nó (xem Chủ đề 3.7 — Mua sắm công và đặt hàng dịch vụ).

Câu hỏi thảo luận với đội ngũ của bạn

Chúng ta có biết mình thực sự nắm dữ liệu và hệ thống nào, và cái nào sẽ gây hại cho ai đó nếu bị xâm phạm không? Nhiều tổ chức chỉ phát hiện mức độ thực của khối lượng dữ liệu của mình trong một cuộc điều tra vụ xâm phạm, đó là thời điểm tệ nhất có thể để biết điều đó. Hãy đi qua các dịch vụ chính của bạn và hỏi, với từng cái, nó chạm đến dữ liệu cá nhân hay nhạy cảm về vận hành nào và điều gì sẽ xảy ra với một người thực nếu dữ liệu đó bị đánh cắp, sửa đổi hay không còn khả dụng. Nếu câu trả lời trung thực là "chúng tôi không chắc", chính sự bất định đó là phát hiện, và khép nó là mục đầu tiên trong chương trình nghị sự của bạn. Câu hỏi này quan trọng nhất với các tổ chức đã lớn lên qua mua lại, sáp nhập hay tích lũy các hệ thống di sản, nơi ký ức thể chế về điều gì tồn tại đã mỏng đi.

Nếu ngày mai chúng ta bị mã độc tống tiền tấn công, chúng ta có thể khôi phục từ bản sao lưu mà không phải trả tiền không? Giá trị của một bản sao lưu không phải ở chỗ nó tồn tại mà ở chỗ nó đã được kiểm nghiệm khôi phục thực sự, đủ nhanh, từ một phiên bản đủ gần đây để quan trọng. Hãy hỏi các bản sao lưu được kiểm nghiệm lần cuối bằng một bài tập khôi phục thực là khi nào, không chỉ một nhật ký hoàn thành, và một lần khôi phục đầy đủ sẽ mất bao lâu so với thời gian tổ chức của bạn có thể chịu ngừng hoạt động. Nếu các con số đó không khớp, bạn có một quyết định nguồn lực cần đưa ra bây giờ, không phải trong một sự cố. Đây cũng là lúc thảo luận liệu bản thân các bản sao lưu có được cô lập khỏi mạng mà một kẻ tấn công tiếp cận được các hệ thống chính của bạn cũng có thể tiếp cận không.

Ai có thẩm quyền quyết định có trả tiền chuộc không, và chúng ta đã bao giờ thảo luận điều đó trước khi bị hỏi chưa? Đây là một trong những quyết định rủi ro cao nhất mà một ban điều hành có thể đối mặt, thường được yêu cầu trong vài giờ và với thông tin không đầy đủ về điều kẻ tấn công thực sự có. Quyết định quy trình, những cá nhân có thẩm quyền và các nguyên tắc trước — ngay cả khi lời kêu cuối cùng vẫn phụ thuộc vào chi tiết của sự cố — ngăn một quyết định ứng biến dưới áp lực tống tiền. Hãy thảo luận luật pháp của khu vực pháp lý của bạn và các điều kiện của nhà tài trợ nói gì về việc trả tiền chuộc, và bạn sẽ cần thông báo cho ai.

Các đối tác và nhà cung cấp nhỏ nhất của chúng ta có phải là rủi ro lớn hơn đối với chúng ta so với chính chúng ta không? Một tổ chức trung ương được bảo mật tốt vẫn có thể bị xâm phạm qua một nhà cung cấp, nhà thầu hay đối tác cung cấp được bảo mật kém có quyền truy cập hợp pháp vào hệ thống hay dữ liệu của nó. Hãy lập bản đồ các bên thứ ba có thể tiếp cận hệ thống của bạn hay nắm dữ liệu của bạn, và trung thực về việc bạn thực sự có bao nhiêu sự bảo đảm về thực hành an ninh của họ so với bao nhiêu bạn giả định mình có. Hãy quyết định bạn sẽ yêu cầu tiêu chuẩn tối thiểu nào từ họ từ nay, và bạn sẽ xác minh nó ra sao thay vì chỉ đơn giản yêu cầu một bảo đảm bằng văn bản.

Chúng ta có biết mình đã bị xâm phạm không, và nhanh đến đâu? Một số sự cố gây hại nhất không phải những sự cố xảy ra nhanh mà là những sự cố không bị phát hiện hàng tháng, trong thời gian đó một kẻ tấn công đã lặng lẽ khám phá, leo thang đặc quyền và lấy trộm dữ liệu. Hãy thảo luận hôm nay bạn thực sự sẽ phát hiện hoạt động bất thường ra sao, ai đang theo dõi nó, và liệu việc giám sát đó có chạy ngoài giờ làm việc không, vì nhiều cuộc tấn công được phát động có chủ ý vào ban đêm hay cuối tuần lễ khi ứng phó chậm nhất. Nếu việc phát hiện hoàn toàn phụ thuộc vào việc một công dân hay tổ chức đối tác nói với bạn có điều gì đó sai, đó là một khoảng trống nghiêm trọng.

Hội đồng hay cơ quan quản trị của chúng ta có hiểu rủi ro này đủ để quản trị nó, hay chúng ta đã lặng lẽ thuê ngoài phán đoán đó cho nhóm công nghệ thông tin? Các quyết định rủi ro mạng liên quan đến các đánh đổi thực giữa chi phí, liên tục dịch vụ và bảo vệ công dân vốn thuộc về công việc của cơ quan quản trị, không phải một vấn đề kỹ thuật được ủy quyền để gật đầu cho qua. Hãy thảo luận rủi ro mạng hiện được báo cáo cho hội đồng hay hội đồng của bạn ra sao, liệu nó có bằng ngôn ngữ mà một người không chuyên có thể thực sự hành động theo không, và liệu ngân sách cho nó có được quyết định với cùng độ chặt chẽ như bất kỳ rủi ro lớn nào khác không. Nếu cơ quan quản trị của bạn hiện không thể giải thích ba rủi ro mạng hàng đầu của tổ chức bằng lời của chính mình, đó là khoảng trống cần khép trước.

Trong thực tiễn: một ví dụ về giá trị công

Một cơ quan giao thông công cộng khu vực cỡ vừa — hư cấu, minh họa cho một khuôn mẫu chứ không phải báo cáo về bất kỳ tổ chức có thật nào — vận hành các hệ thống lập lịch và thanh toán già cỗi đã được vá từng phần trong một thập kỷ thay vì được hiện đại hóa. Nhóm công nghệ thông tin của nó có ba người, chịu trách nhiệm mọi thứ từ phiếu bàn trợ giúp đến an ninh mạng, và an ninh mạng chưa bao giờ có dòng riêng trong ngân sách; nó nằm bên trong một khoản phân bổ "bảo trì hệ thống" chung đã không tăng theo giá trị thực trong nhiều năm.

Một kẻ tấn công có được truy cập qua một email lừa đảo giả mạo gửi một viên chức tài chính, dùng một hóa đơn giả mạo từ một nhà cung cấp mà cơ quan thực sự dùng. Một khi vào trong, kẻ tấn công dành sáu tuần lặng lẽ di chuyển qua mạng trước khi triển khai mã độc tống tiền mã hóa hệ thống lập lịch, nền tảng thanh toán vé và các bản sao lưu của cơ quan, vốn chưa bao giờ được cô lập khỏi mạng chính. Xe buýt vẫn chạy trong ngày đầu nhờ tài xế nhớ tuyến của mình, nhưng vé không thể thu điện tử, màn hình thông tin thời gian thực tối đen, và các hệ thống tài chính của cơ quan không dùng được cho bảng lương.

Ban điều hành đối mặt với quyết định tiền chuộc mà không có chính sách thỏa thuận trước: không ai quyết định trước ai có thẩm quyền phê duyệt một khoản thanh toán, vị thế pháp lý là gì, hay họ sẽ nói gì với hành khách. Khôi phục từ bản sao lưu không phải là một lựa chọn, vì các bản sao lưu bị mã hóa cùng mọi thứ khác. Sau chín ngày gián đoạn, khôi phục dịch vụ một phần, và một khoản thanh toán mà hội đồng của cơ quan sau này mô tả là lựa chọn ít tệ nhất sẵn có vào thời điểm đó, cơ quan đặt hàng một cuộc xem xét độc lập.

Các phát hiện của cuộc xem xét thiếu hào nhoáng và hoàn toàn nhất quán với khuôn mẫu mà chủ đề này mô tả: không có xác thực đa yếu tố trên hệ thống tài chính, không có phân đoạn mạng giữa hệ thống văn phòng và hạ tầng thanh toán, không có kiểm nghiệm khôi phục sao lưu trong hơn hai năm, và hoàn toàn không có tầm nhìn cấp hội đồng về rủi ro mạng trước sự cố. Phản ứng của cơ quan cũng thiếu hào nhoáng ngang — một kế hoạch theo giai đoạn để sửa những điều cơ bản, một sắp xếp giám sát an ninh dùng chung với hai cơ quan giao thông láng giềng để chia chi phí bao quát chuyên môn mà không nơi nào trong số họ có thể chi trả một mình, và một mục chương trình nghị sự thường trực của hội đồng về rủi ro mạng. Không điều nào đắt theo chuẩn của một chương trình công nghệ thông tin lớn; tất cả đã bị bỏ qua nhiều năm vì chưa bao giờ là công việc được giao rõ ràng của ai để khăng khăng.

Bốn góc nhìn theo khu vực

Chính quyền địa phương

Các chính quyền địa phương đứng ở một giao điểm khó chịu: họ nắm dữ liệu rất nhạy cảm — hồ sơ chăm sóc xã hội, thông tin nhà ở và trợ cấp, danh sách cử tri — và vận hành các dịch vụ mà công dân khó có thể thiếu, nhưng họ thường có ngân sách an ninh nhỏ nhất và ít nhân viên chuyên môn nhất trong mọi cấp chính phủ. Một bộ quốc gia lớn có thể xây một trung tâm vận hành an ninh nội bộ; một hội đồng quận nhỏ thường không thể, khiến các dịch vụ dùng chung, gộp khu vực và các chương trình hỗ trợ quốc gia là con đường thực tế đến sự bảo vệ đầy đủ thay vì một phần bổ sung tùy chọn. Các viên chức dân cử địa phương cũng thường là những người ít được trang bị nhất, trong mọi cấp chính phủ, để chất vấn một bản thông báo rủi ro kỹ thuật, khiến báo cáo bằng ngôn ngữ giản dị cho các thành viên dân cử là một thách thức quản trị riêng ở cấp này.

Chính phủ quốc gia

Các chính phủ quốc gia nhìn chung có nguồn lực để xây các cơ quan an ninh mạng chuyên trách và khung quốc gia — các cơ quan như Trung tâm An ninh Mạng Quốc gia (Vương quốc Anh) hay Cơ quan An ninh Mạng và Hạ tầng của Hoa Kỳ tồn tại để đặt chuẩn, phối hợp ứng phó và hỗ trợ các cơ quan công ít nguồn lực hơn trong phạm vi quyền hạn của họ. Thách thức đặc trưng cấp quốc gia ít là vệ sinh cơ bản hơn là các chủ thể đe dọa do nhà nước bảo trợ và có năng lực cao, sự phụ thuộc lẫn nhau của hạ tầng quốc gia trọng yếu qua các khu vực và nhà vận hành tư nhân, và các chiều ngoại giao và pháp lý của việc quy kết và ứng phó, hiếm khi xuất hiện ở cấp địa phương hay tổ chức.

Khu vực xã hội và phi lợi nhuận

Các tổ chức phi lợi nhuận và phi chính phủ thường nắm một số dữ liệu nhạy cảm nhất của mọi khu vực — hồ sơ y tế, hồ sơ của những người sống sót sau bạo lực hay bức hại, công việc hồ sơ về người tị nạn và xin tị nạn — trong khi vận hành với ngân sách an ninh mỏng nhất của mọi loại tổ chức trong cuốn sách này, vì các nhà tài trợ hiếm khi dành tiền cho an ninh và điều kiện tài trợ hiếm khi yêu cầu nó. Nhiều tổ chức khu vực xã hội cũng phụ thuộc vào tình nguyện viên và biến động nhân viên cao, khiến đào tạo an ninh và kiểm soát truy cập nhất quán khó duy trì hơn trong một tổ chức ổn định, có nhân viên chuyên nghiệp; một sự cố an ninh có thể là sống còn với một tổ chức từ thiện nhỏ theo cách hiếm khi với một bộ chính phủ, vì thiệt hại danh tiếng và mất niềm tin nhà hảo tâm có thể chấm dứt hẳn tổ chức (xem Chủ đề 3.8 — Quản lý khu vực xã hội và tổ chức phi lợi nhuận).

Đa phương và quốc tế

Các tổ chức đa phương và quốc tế vận hành qua các khu vực pháp lý có luật công bố khác nhau, định nghĩa hạ tầng trọng yếu khác nhau và mức năng lực mạng quốc gia khác nhau, khiến bản thân sự phối hợp là một vấn đề riêng: các hệ thống của chính một cơ quan quốc tế có thể được bảo vệ tốt trong khi các cơ quan thành viên quốc gia của nó khác nhau rất nhiều, và một cơ quan như Tổ chức Hợp tác và Phát triển Kinh tế hay Cơ quan An ninh Mạng của Liên minh Châu Âu đóng vai trò đặt chuẩn và xây dựng năng lực cũng nhiều như vai trò vận hành. Góc nhìn đa phương cũng là nơi ứng phó sự cố xuyên biên giới và các sắp xếp chia sẻ thông tin quan trọng nhất, vì một cuộc tấn công bắt đầu trong hạ tầng của một quốc gia có thể thác đổ vào hạ tầng của quốc gia khác trong vài giờ, nhanh hơn hầu hết các cơ chế phối hợp quốc tế được xây để di chuyển.

Các kiểu thất bại thường gặp

Sân khấu an ninh không có thực chất vận hành. Một tổ chức áp dụng một tài liệu chính sách ấn tượng, một chứng chỉ tuân thủ, hay một công cụ đắt đơn lẻ, và coi ô đã đánh dấu, trong khi vệ sinh cơ bản — vá, xác thực đa yếu tố, sao lưu đã kiểm nghiệm — vẫn không nhất quán. Điều này tốn tiền thực cho vẻ ngoài của an ninh thay vì chính an ninh, và thường chỉ được phát hiện là sân khấu sau khi một sự cố làm lộ khoảng cách giữa chính sách và thực hành.

Rủi ro không có chủ. An ninh mạng được giả định là việc của người khác — nhóm công nghệ thông tin, một nhà cung cấp, một cơ quan quản lý — và không chủ sở hữu chịu trách nhiệm đơn lẻ nào tồn tại ở cấp cơ quan quản trị. Điều này tạo ra một rủi ro được thảo luận ở mọi nơi và không được quyết định ở đâu, và chính xác là khuôn mẫu khiến các tổ chức không thể trả lời các câu hỏi cơ bản về mức phơi bày của chính mình khi được hỏi.

Đầu tư thiếu được biện minh bằng sự vắng mặt của sự cố trước đó. Vì một chương trình an ninh vận hành tốt không tạo ra sự kiện nhìn thấy được khi nó thành công, dễ cắt tài trợ của nó trong một vòng ngân sách eo hẹp để ủng hộ thứ có đầu ra nhìn thấy được, và sự vắng mặt của một vụ xâm phạm cho đến nay bị nhầm là bằng chứng của sự bảo vệ đầy đủ thay vì bằng chứng chưa được kiểm nghiệm. Điều này phản chiếu cùng logic ngân sách làm suy yếu đầu tư chống chịu rộng hơn (xem Chủ đề 3.12 — Quản lý khủng hoảng, khẩn cấp và khả năng chống chịu).

Hệ thống di sản được giữ chạy quá vòng đời có thể hỗ trợ. Các cơ quan công thường xuyên chạy phần mềm hay phần cứng rất lâu sau khi nhà cung cấp ngừng ban hành bản vá an ninh cho nó, vì thay thế đắt, gây gián đoạn hay không được ưa chuộng về chính trị, và hệ thống "vẫn hoạt động." Một hệ thống chưa vá, không được hỗ trợ không phải một bất tiện di sản; nó là một cánh cửa mở không tốn gì để kẻ tấn công đi qua.

Văn hóa sự cố ưu tiên đổ lỗi. Khi nhân viên báo cáo một vụ xâm phạm nghi ngờ hay một sai lầm bị kỷ luật thay vì được hỗ trợ, các sự cố tương lai được báo cáo muộn, giảm nhẹ, hay không bao giờ, và tổ chức mất tín hiệu cảnh báo sớm mà báo cáo kịp thời cung cấp. Thất bại này làm trầm trọng thêm mọi thất bại khác trong danh sách này, vì không cách sửa nào ở trên hoạt động nếu tổ chức không thể thấy vấn đề của chính mình một cách trung thực.

Mô hình trưởng thành

Danh mục kiểm tra

• Một cá nhân hay ủy ban được nêu tên ở cấp cơ quan quản trị sở hữu rủi ro mạng và báo cáo về nó thường xuyên, bằng ngôn ngữ giản dị.
• Có một kiểm kê hiện hành về dữ liệu và hệ thống mà tổ chức nắm giữ, và cái nào nhạy cảm nhất hoặc trọng yếu nhất cho một dịch vụ.
• Xác thực đa yếu tố được thực thi trên mọi hệ thống nắm dữ liệu nhạy cảm hay điều khiển dịch vụ trọng yếu.
• Các bản sao lưu được thực hiện thường xuyên, lưu cô lập khỏi mạng chính, và việc khôi phục đã được kiểm nghiệm trong vòng mười hai tháng qua.
• Phần mềm và hệ thống được vá theo lịch xác định, và bất kỳ hệ thống nào không còn vá được có kế hoạch có tài liệu để thay thế hoặc cô lập.
• Có một kế hoạch ứng phó sự cố bằng văn bản, nêu tên ai có thẩm quyền đưa ra các quyết định then chốt, và đã được diễn tập qua một bài tập thực tế trong năm qua.
• Có một chính sách được hội đồng phê duyệt về thanh toán tiền chuộc và về cách thức và thời điểm người bị ảnh hưởng, cơ quan quản lý và công chúng sẽ được thông báo.
• Hợp đồng với nhà bán phần mềm và nhà cung cấp dịch vụ được quản lý gồm bảo đảm an ninh và nghĩa vụ thông báo sự cố.
• Nhân viên nhận đào tạo an ninh thường xuyên, thực tế, gồm các bài tập lừa đảo giả mạo mô phỏng.
• Báo cáo một sự cố hay suýt-soát nghi ngờ được coi là thông tin có giá trị, không phải căn cứ để đổ lỗi.
• Các sắp xếp an ninh dùng chung hay gộp đã được khám phá với các tổ chức đồng cấp có quy mô và ngân sách tương tự.
• Rủi ro mạng xuất hiện tường minh trong hoạch định khủng hoảng và chống chịu rộng hơn của tổ chức, không phải một kế hoạch riêng, rời rạc.

Nguồn chính

Chủ đề này dựa trên Khung An ninh mạng của Viện Tiêu chuẩn và Công nghệ Quốc gia như khung có cấu trúc hàng đầu để tổ chức thực hành an ninh mạng; sứ mệnh đã công bố của Cơ quan An ninh Mạng của Liên minh Châu Âu và hướng dẫn của nó về việc đạt mức an ninh mạng chung trên toàn Liên minh Châu Âu; công trình chính sách an ninh số của Tổ chức Hợp tác và Phát triển Kinh tế, đóng khung an ninh số như một vấn đề quản lý rủi ro kinh tế và xã hội thay vì thuần túy kỹ thuật; và hướng dẫn vận hành do các cơ quan an ninh mạng quốc gia như Trung tâm An ninh Mạng Quốc gia Vương quốc Anh và Cơ quan An ninh Mạng và Hạ tầng Hoa Kỳ công bố, cả hai đều cung cấp hướng dẫn miễn phí nhắm riêng đến các cơ quan công thiếu nguồn lực.

Tài liệu tham khảo

1. Computer security — Wikipedia — https://en.wikipedia.org/wiki/Computer_security
2. Critical infrastructure — Wikipedia — https://en.wikipedia.org/wiki/Critical_infrastructure
3. Ransomware — Wikipedia — https://en.wikipedia.org/wiki/Ransomware
4. Phishing — Wikipedia — https://en.wikipedia.org/wiki/Phishing
5. Data breach — Wikipedia — https://en.wikipedia.org/wiki/Data_breach
6. Supply chain attack — Wikipedia — https://en.wikipedia.org/wiki/Supply_chain_attack
7. Zero trust architecture — Wikipedia — https://en.wikipedia.org/wiki/Zero_trust_architecture
8. Computer security incident management — Wikipedia — https://en.wikipedia.org/wiki/Computer_security_incident_management
9. National Cyber Security Center (United Kingdom) — Wikipedia — https://en.wikipedia.org/wiki/National_Cyber_Security_Centre_(United_Kingdom)
10. Cybersecurity and Infrastructure Security Agency — Wikipedia — https://en.wikipedia.org/wiki/Cybersecurity_and_Infrastructure_Security_Agency
11. Cybersecurity Framework — National Institute of Standards and Technology — https://www.nist.gov/cyberframework
12. Who we are — European Union Agency for Cybersecurity (ENISA) — https://www.enisa.europa.eu/about-enisa/who-we-are
13. Digital security — Organisation for Economic Co-operation and Development (OECD) — https://www.oecd.org/en/topics/digital-security.html
14. What we do at the NCSC — National Cyber Security Center (United Kingdom) — https://www.ncsc.gov.uk/section/about-ncsc/what-we-do
15. About CISA — Cybersecurity and Infrastructure Security Agency (United States) — https://www.cisa.gov/about