Tại hội thảo xu hướng “Future the Business” diễn ra tại thành phố Đà Nẵng, ông Ngô Việt Khôi - Cố vấn bảo mật Tập đoàn MK, nguyên Giám đốc Công ty Trend Micro Vietnam đã chia sẻ về yếu tố con người trong bảo mật thông tin, đồng thời khẳng định “Con người là nguyên nhân hàng đầu trong các vấn đề an toàn thông tin của doanh nghiệp”.

1. MẤT AN TOÀN THÔNG TIN XUẤT PHÁT TỪ CON NGƯỜI

Với sự phát triển mạnh mẽ của chuyển đổi số trong thời gian trở lại đây, bên cạnh những tiện ích trong công việc và cuộc sống mà nó đem lại, vấn đề an toàn và bảo mật thông tin trở nên ngày một nhức nhối và khó kiểm soát. Tin tặc luôn chờ cơ hội để vượt qua lớp bảo mật, thâm nhập, đánh cắp dữ liệu, thậm chí phá hủy hệ thống thông tin của doanh nghiệp.

Theo báo cáo chỉ số tình báo an ninh mạng của IBM, lỗi của con người là nguyên nhân chính góp phần gây ra 95% tất cả các vụ rò rỉ. Những lỗi này phần lớn đến từ sự thiếu nhận thức, sơ xuất hoặc quy trình kiểm tra, kiểm soát lỏng lẻo của nhân sự doanh nghiệp. Nguy cơ đầu tiên xuất phát từ việc đặt mật khẩu yếu, dễ đoán giúp tội phạm mạng có thể bẻ khóa dễ dàng, dẫn đến truy cập trái phép vào dữ liệu nhạy cảm. Nhân viên cũng có thể vô tình nhấp vào các liên kết lừa đảo trong email, dẫn đến lây nhiễm phần mềm độc hại và truy cập trái phép vào mạng lưới công ty. Ngoài ra, những kẻ lừa đảo có thể giả mạo địa chỉ email được cho là thuộc về công ty hợp pháp và gửi email có tài liệu hoặc tập tin lưu trữ đính kèm chứa mẫu phần mềm độc hại.

Theo ông Khôi, an toàn thông tin sẽ được đảm bảo nếu doanh nghiệp đáp ứng được mô hình 3P: Product - People - Policy. Dù vậy, doanh nghiệp Việt Nam hầu như chỉ tập trung vào tìm kiếm các giải pháp công nghệ cho vấn đề an toàn thông tin (Product). Trong khi đó, việc xây dựng chính sách (Policy) và yếu tố con người (People) - mắt xích yếu nhất trong dây chuyền bảo mật - lại chưa thực sự chú trọng. 

2. CÂU CHUYỆN SAMSUNG: RÒ RỈ DỮ LIỆU BÍ MẬT VÌ NHÂN VIÊN SỬ DỤNG CHATGPT ĐỂ LÀM VIỆC

Thời điểm đầu khi ChatGPT nổi lên như một công cụ hữu hiệu hỗ trợ con người trong quá trình làm việc, Samsung đã ra chính sách cấm nhân viên sử dụng AI này do lo ngại các vấn đề rò rỉ dữ liệu bí mật. Tuy nhiên, sau một thời gian, nhận thấy tiềm năng của ChatGPT trong việc phát triển một số mảng kinh doanh, Samsung đã gỡ bỏ lệnh cấm này. Và chỉ ba tuần sau, đã xảy ra liên tiếp ba sự cố rò rỉ thông tin khi nhân viên của họ cung cấp các dữ liệu công ty cho chatbox và bị lưu trữ trên các máy chủ của OpenAI.

Cụ thể:

• Sự cố đầu tiên xảy ra khi một nhân viên Samsung cố gắng tìm kiếm giải pháp nhanh chóng cho vấn đề liên quan đến cơ sở dữ liệu đo lường thiết bị bán dẫn thông qua ChatGPT. Nhân viên đó đã sao chép mã nguồn từ cơ sở dữ liệu bán dẫn bị lỗi vào ChatGPT và yêu cầu nó giúp họ tìm cách khắc phục. 
• Sự cố thứ hai xảy ra khi một nhân viên khác cố gắng hiểu rõ hơn về sản lượng và thông tin khác của Samsung, vì thế nhân viên này đã nhập dữ liệu của Samsung vào ChatGPT và yêu cầu chatbot AI này tối ưu hóa dữ liệu ấy.
• Cuối cùng, sự cố rò rỉ thông tin thứ ba xảy ra khi một nhân viên khác yêu cầu ChatGPT viết biên bản cuộc họp. Một lần nữa, tất cả thông tin mà nhân viên Samsung đưa vào ChatGPT đã trở thành một phần của cơ sở tri thức của AI.

Nhân viên Samsung không phải là những người duy nhất chia sẻ quá nhiều dữ liệu với ChatGPT. Nghiên cứu gần đây được thực hiện bởi công ty an ninh mạng Cyberhaven cho thấy 3,1% khách hàng sử dụng AI của họ đã có lúc gửi dữ liệu bí mật của công ty vào hệ thống.

3. THÁCH THỨC VỚI DOANH NGHIỆP SMEs

Theo báo cáo "An ninh mạng cho các SME: Các doanh nghiệp khu vực châu Á – Thái Bình Dương chuẩn bị phòng thủ số" do Cisco công bố mới đây, 59% SME tại Việt Nam đã gặp sự cố mạng trong năm qua, hậu quả của những sự cố này là 86% doanh nghiệp bị mất thông tin khách hàng vào tay của những kẻ xấu. Và có đến 30% SME bị tấn công đã phải bỏ ra khoảng 500.000 USD hoặc nhiều hơn để khắc phục hậu quả, đặc biệt có đến 4% SME cho rằng họ tổn thất một số tiền lên đến khoảng 1 triệu USD hoặc hơn.

Thực trạng này xuất phát từ các nguyên nhân sau:

• Không đủ nguồn tài chính để đầu tư vào các giải pháp bảo mật hiện đại
• Thiếu nhân lực và đội ngũ IT chuyên nghiệp
• Thiếu nhận thức về an toàn thông tin
• Hệ thống thông tin lỗi thời, tạo ra những lỗ hổng bảo mật
• Đào tạo về an toàn thông tin không được quan tâm đúng mức
• …

4. LÀM THẾ NÀO ĐỂ GIẢM RỦI RO BẢO MẬT TỪ CON NGƯỜI?

Trong hội thảo, ông Khôi có chia sẻ: “An toàn thông tin là trách nhiệm của mọi người, khởi đầu từ người lãnh đạo”, nhấn mạnh vai trò của con người trong an toàn thông tin doanh nghiệp. Việc đào tạo nâng cao nhận thức về an ninh mạng, hướng dẫn cách phòng tránh và ngăn chặn các mối đe dọa bảo mật là điều vô cùng cần thiết.
Cũng theo ông Khôi, để giảm thiểu tối đa nguy cơ mất an toàn thông tin từ con người, quá trình đào tạo cần dựa trên 4 trụ cột như sau:

1. Understanding - Hiểu: Nhân viên cần phải nhận ra rằng họ đang ở trong tình huống mà hàng rào bảo mật có khả năng bị đe dọa
2. Empowerment - Trao quyền: Nhân viên phải biết chính xác quy trình phản ứng khi gặp tình huống đó là gì, ví dụ như báo cáo cho nhân sự trong bộ phận công nghệ thông tin xem xét
3. Education - Đào tạo: Nhân viên phải hiểu được tầm quan trọng của bảo mật và nhận thức được tính nghiêm trọng của hậu quả xuất phát từ mỗi vi phạm bảo mật dù là rất nhỏ
4. Eliminating pain avoidance - Loại bỏ tâm lý sợ đau: Chấp nhận quá trình đổi mới ban đầu sẽ rất khó khăn và cần thời gian để thích nghi với quy trình mới

Ngoài ra, các chuyên gia an ninh mạng cũng khuyến nghị các đơn vị sử dụng giải pháp bảo vệ cho các điểm cuối và máy chủ email có khả năng chống lừa đảo để giảm nguy cơ lây nhiễm qua email lừa đảo; thực hiện các biện pháp bảo vệ dữ liệu quan trọng; giữ an toàn về mặt vật lý cho các thiết bị đang hoạt động: không để chúng ở nơi công cộng mà không có người giám sát, luôn khóa và sử dụng mật khẩu mạnh cũng như phần mềm mã hóa; ủy thác việc bảo trì an ninh mạng cho một nhà cung cấp dịch vụ có thể cung cấp biện pháp bảo vệ phù hợp…

Thông tin được trích dẫn từ bài tham luận của diễn giả Ngô Việt Khôi, bên cạnh đó được đội ngũ BambuUP biên soạn nhằm mang đến cho các doanh nghiệp một cái nhìn đầy đủ, trực quan về yếu tố con người trong an toàn thông tin.

Chương trình nằm trong Chuỗi hội thảo xu hướng “Future the Business” - Định hình kinh doanh trong tương lai, giúp Doanh nghiệp khai phóng nội lực trong kỷ nguyên đổi mới sáng tạo. Chương trình do Trung tâm Đổi mới sáng tạo Quốc gia (NIC) và BambuUP đồng tổ chức.