Tổng quan nghiên cứu

Trong bối cảnh kỷ nguyên số bùng nổ, tình hình an toàn an ninh thông tin tại Việt Nam và trên thế giới đang diễn biến hết sức phức tạp với sự gia tăng nhanh chóng của các vụ tấn công mạng có chủ đích. Theo số liệu ghi nhận từ Hiệp hội An toàn thông tin Việt Nam, chỉ trong 9 tháng đầu năm 2013, nước ta đã có hơn 1.428 trường hợp mã độc tấn công và ước tính khoảng 500.000 máy tính bị nhiễm mã độc, nằm trong các mạng máy tính ma quốc tế. Đáng chú ý, tính đến tháng 10 năm 2013, có tới 2.405 website của các cơ quan, tổ chức bị xâm nhập và chỉnh sửa nội dung. Đặc biệt, Trung tâm dữ liệu Thành phố Hồ Chí Minh đặt tại Công viên Phần mềm Quang Trung ghi nhận hơn 59.767 lượt dò quét và tấn công nguy hiểm trong tháng 11 năm 2013, đe dọa trực tiếp đến hạ tầng cổng thông tin các sở, ban, ngành và 24 quận, huyện.

Vấn đề cốt lõi mà nghiên cứu giải quyết là sự thiếu hụt quy trình quản lý rủi ro an toàn thông tin toàn diện và mang tính chuẩn hóa tại cơ sở hạ tầng lưu trữ dữ liệu công. Mục tiêu cụ thể của luận văn tập trung vào việc nhận diện, lượng hóa các mối đe dọa, điểm yếu công nghệ và đề xuất khung kiểm soát rủi ro dựa trên tiêu chuẩn quốc tế ISO/IEC 27005:2011 kết hợp ISO/IEC 27001:2013. Phạm vi không gian của đề tài là toàn bộ hạ tầng kỹ thuật và ứng dụng của Trung tâm dữ liệu Thành phố Hồ Chí Minh tại Công viên Phần mềm Quang Trung trong mốc thời gian khảo sát từ tháng 1 năm 2014 đến tháng 5 năm 2014. Nghiên cứu mang ý nghĩa chiến lược khi hỗ trợ giảm thiểu tối đa các sự cố làm tê liệt dịch vụ công trực tuyến, bảo đảm tính liên tục của hệ thống thông tin phục vụ hơn 8 triệu người dân đô thị và đóng góp trực tiếp vào mục tiêu xây dựng chính quyền điện tử an toàn, bền vững.

Cơ sở lý thuyết và phương pháp nghiên cứu

Khung lý thuyết áp dụng

Luận văn xây dựng nền tảng nghiên cứu dựa trên bộ tiêu chuẩn an toàn thông tin quốc tế ISO/IEC 27000, trọng tâm là tiêu chuẩn ISO/IEC 27005:2011 về quản lý rủi ro an toàn thông tin và ISO/IEC 27001:2013 về hệ thống quản lý an toàn thông tin. Bên cạnh đó, tác giả đối sánh và tích hợp các nguyên lý từ khung hướng dẫn quản trị rủi ro NIST SP 800-30 của Viện Tiêu chuẩn Quốc gia Hoa Kỳ, chuẩn kiểm soát công nghệ COBIT 5 với các mục tiêu kinh doanh, phương pháp đánh giá tài sản OCTAVE và tiêu chuẩn khung ISO 31000:2009.

Hệ thống lý thuyết trong luận văn xoay quanh 4 khái niệm cốt lõi:

  • An toàn thông tin: Việc duy trì 3 thuộc tính nền tảng gồm tính bảo mật (Confidentiality), tính toàn vẹn (Integrity) và tính sẵn sàng (Availability) của thông tin, đi kèm các đặc tính xác thực và không thoái thác.
  • Hệ thống quản lý rủi ro an toàn thông tin: Quy trình lặp có cấu trúc nhằm nhận dạng các lỗ hổng, phân tích mối đe dọa tác động tới tài sản thông tin và đưa ra phương án đối phó tối ưu dựa trên tương quan chi phí - lợi ích.
  • Đánh giá rủi ro: Quá trình bao gồm nhận diện, phân tích và ước lượng rủi ro bằng cách phối hợp giữa xác suất xuất hiện sự cố và mức độ thiệt hại tiềm tàng.
  • Kiểm soát an toàn thông tin: Việc áp dụng 134 biện pháp kiểm soát kỹ thuật và quản lý được phân chia thành 11 nhóm theo chuẩn ISO/IEC 27002 nhằm đưa rủi ro về mức chấp nhận được.

Phương pháp nghiên cứu

Nghiên cứu sử dụng nguồn dữ liệu thứ cấp chuẩn xác từ hồ sơ kỹ thuật đấu thầu dự án Trung tâm dữ liệu Thành phố Hồ Chí Minh, các tài liệu quản trị vận hành thực tế tại Công ty TNHH Một thành viên Phát triển Công viên Phần mềm Quang Trung cùng hệ thống tài liệu chứng nhận từ tổ chức chứng nhận quốc tế DAS Certification.

Cỡ mẫu nghiên cứu bao gồm 100% các nhóm tài sản thông tin trọng yếu tại trung tâm dữ liệu, bao gồm cụm máy chủ dịch vụ công, hệ thống xác thực định danh Active Directory, hạ tầng mạng lõi, tường lửa và cổng thông tin điện tử của các đơn vị hành chính. Tác giả áp dụng phương pháp chọn mẫu phi xác suất có chủ đích (purposive sampling) nhằm bao phủ toàn bộ các điểm nút có nguy cơ cao trong kiến trúc mạng. Phương pháp phân tích chính là phương pháp phân tích ma trận rủi ro bán định lượng kết hợp quy trình lặp 4 giai đoạn PDCA (Kế hoạch - Thực hiện - Kiểm tra - Hành động). Lý do lựa chọn phương pháp này là vì nó cho phép lượng hóa chính xác mức độ ưu tiên của các rủi ro kỹ thuật phức tạp, cân đối chi phí đầu tư bảo mật với ngân sách của cơ quan quản lý nhà nước. Toàn bộ quá trình thu thập và xử lý dữ liệu được tiến hành từ tháng 1 năm 2014 đến tháng 5 năm 2014, hoàn thiện tổng thể vào tháng 12 năm 2014.

Kết quả nghiên cứu và thảo luận

Những phát hiện chính

Quá trình khảo sát và phân tích thực trạng an toàn thông tin tại Trung tâm dữ liệu Thành phố Hồ Chí Minh đã chỉ ra 4 phát hiện quan trọng:

  • Mật độ tấn công mạng dày đặc từ nhiều quốc gia: Trong tổng số 59.767 lượt quét và tấn công ghi nhận vào tháng 11 năm 2013, các cuộc tấn công có nguồn gốc từ Trung Quốc chiếm tỷ trọng lớn nhất với 5.400 lượt (tương đương khoảng 9,03%), nguồn từ Mỹ chiếm 1.428 lượt (khoảng 2,39%) và nguồn xuất phát trong nước chiếm 351 lượt (khoảng 0,59%).
  • Cổng thông tin cơ quan nhà nước là mục tiêu trọng điểm: Các cổng thông tin tiếp nhận lưu lượng lớn như Trang chủ Thành phố Hồ Chí Minh hứng chịu 5.095 lượt quét, Thành Đoàn Thành phố Hồ Chí Minh chịu 4.656 lượt và Sở Tư Pháp chịu 4.284 lượt, chiếm tổng cộng hơn 23% tổng số vụ tấn công nhằm vào ứng dụng web của trung tâm.
  • Lỗ hổng kiểm soát phân quyền và định danh: Sự cố nghiêm trọng xảy ra vào tháng 3 năm 2013 khi kẻ tấn công vượt qua các tầng bảo vệ để đánh cắp mật khẩu hệ thống định danh Active Directory, dẫn đến nguy cơ lộ lọt thông tin quản trị nội bộ tối mật.
  • Nguy cơ hiện hữu từ các mạng máy tính ma diện rộng: Hệ thống dịch vụ công đối mặt với nguy cơ bị tê liệt do các cuộc tấn công từ chối dịch vụ phân tán (DDoS), khi có tới 14.075 địa chỉ IP Việt Nam dính mã độc Zeus Botnet và 113.273 địa chỉ máy tính bị chi phối bởi các dòng mã độc nguy hiểm như Sality, Downadup và Trafficconverter.

Thảo luận kết quả

Để trực quan hóa các phát hiện trên, dữ liệu phân tích rủi ro có thể được trình bày thông qua biểu đồ tròn (Pie Chart) biểu diễn cơ cấu nguồn gốc tấn công mạng và bảng ma trận nhiệt 5x5 (Heatmap Table) đánh giá tương quan giữa khả năng xảy ra sự cố và mức độ ảnh hưởng đến tài sản thông tin.

Nguyên nhân cốt lõi của các phát hiện trên bắt nguồn từ việc trung tâm dữ liệu phụ trách một hạ tầng công nghệ thông tin phân tán với hàng trăm ứng dụng web có mã nguồn chưa đồng nhất. Các biện pháp bảo mật thời điểm đó chủ yếu tập trung vào lớp phòng thủ kỹ thuật đơn lẻ mà thiếu đi một quy trình đánh giá rủi ro định kỳ theo chuẩn ISO 27005. Khi so sánh với báo cáo thường niên của các tổ chức an ninh mạng quốc tế, kết quả này hoàn toàn tương đồng với các chiến dịch gián điệp không gian mạng điển hình, nơi các cuộc tấn công ngầm có thể kéo dài tới 1.764 ngày mà không bị phát hiện. Nghiên cứu khẳng định rằng nếu không thực hiện việc quản lý rủi ro tồn đọng và phân loại tài sản nghiêm ngặt, chi phí khắc phục sự cố sau tấn công sẽ cao gấp 5 đến 10 lần so với chi phí triển khai kiểm soát dự phòng.

Đề xuất và khuyến nghị

Dựa trên kết quả phân tích rủi ro theo tiêu chuẩn ISO/IEC 27005, luận văn đưa ra 4 nhóm giải pháp hành động cụ thể:

  • Tái cấu trúc và siết chặt chính sách kiểm soát truy cập hệ thống định danh Active Directory: Đội ngũ Quản trị Hệ thống thuộc Công viên Phần mềm Quang Trung cần tiến hành phân quyền theo nguyên tắc đặc quyền tối thiểu, áp dụng xác thực đa yếu tố và mã hóa dữ liệu quản trị, đặt mục tiêu loại trừ 90% nguy cơ leo thang đặc quyền trong thời hạn 3 tháng.
  • Ban hành quy trình đánh giá rủi ro định kỳ theo chuẩn ISO/IEC 27005: Ban Quản lý An toàn Thông tin Thành phố Hồ Chí Minh chủ trì thiết lập chu trình đánh giá rủi ro tối thiểu 2 lần mỗi năm, đảm bảo 100% tài sản thông tin mới đưa vào vận hành đều được kiểm định lỗ hổng, hướng tới mục tiêu giảm 80% rủi ro an ninh mức cao trong vòng 6 tháng.
  • Xây dựng trung tâm điều hành giám sát an ninh mạng liên tục 24/7: Sở Thông tin và Truyền thông Thành phố Hồ Chí Minh phối hợp cùng các đơn vị kỹ thuật vận hành hệ thống giám sát tự động để phân tích 59.767+ lưu lượng truy cập bất thường mỗi tháng, cam kết thời gian phát hiện và phản ứng sự cố (MTTR) dưới 15 phút, triển khai hoàn thiện trong lộ trình 12 tháng.
  • Chuẩn hóa chương trình đào tạo nhận thức an toàn thông tin bắt buộc: Tổ chức tập huấn định kỳ hằng năm cho 100% cán bộ, chuyên viên quản trị mạng và người dùng tại 24 quận, huyện và các sở, ban, ngành nhằm triệt tiêu các nguy cơ lây nhiễm mã độc do lỗi con người, hoàn thành chỉ tiêu trước quý IV hàng năm.

Đối tượng nên tham khảo luận văn

Luận văn cung cấp hàm lượng tri thức thực chứng cao, đặc biệt hữu ích cho 4 nhóm đối tượng sau:

  • Lãnh đạo và Giám đốc An toàn thông tin (CISO) tại các trung tâm dữ liệu công: Sử dụng luận văn làm tài liệu tham khảo thực tế để áp dụng bộ tiêu chuẩn ISO/IEC 27001 và ISO/IEC 27005 vào việc xây dựng chính sách quản lý an ninh tổng thể và phê duyệt mức độ rủi ro tồn đọng.
  • Kỹ sư an toàn mạng và chuyên viên vận hành hệ thống: Khai thác chi tiết các phương pháp nhận diện lỗ hổng dịch vụ danh bạ Active Directory, kỹ thuật ngăn chặn botnet và cách thiết lập các bảng ma trận đánh giá rủi ro kỹ thuật.
  • Cơ quan quản lý nhà nước về chuyển đổi số và chính quyền điện tử: Nắm bắt phương pháp luận để xây dựng khung kiến trúc bảo mật đồng bộ cho các cổng thông tin hành chính công tại các đô thị loại đặc biệt.
  • Học viên cao học và nhà nghiên cứu chuyên ngành Hệ thống thông tin quản lý: Sử dụng công trình như một nghiên cứu điển hình về sự phối hợp giữa quản trị rủi ro lý thuyết và triển khai kỹ thuật thực địa tại Việt Nam.

Câu hỏi thường gặp

  • Tại sao luận văn lại lựa chọn tiêu chuẩn ISO/IEC 27005 làm khung quản lý rủi ro chính?
    Tiêu chuẩn ISO/IEC 27005 cung cấp quy trình quản lý rủi ro chi tiết, mang tính chu kỳ và tương thích hoàn toàn với 134 biện pháp kiểm soát của ISO 27002, giúp trung tâm dữ liệu cân bằng hoàn hảo giữa chi phí đầu tư bảo mật và mức độ nghiêm trọng của tài sản thông tin.
  • Sự cố lộ lọt mật khẩu Active Directory tháng 3 năm 2013 mang lại bài học quản trị nào?
    Sự cố chứng minh rằng các giải pháp tường lửa kỹ thuật thuần túy là chưa đủ nếu thiếu đi quy trình quản lý truy cập và rà soát đặc quyền quản trị nghiêm ngặt, đòi hỏi phải liên tục cập nhật ma trận rủi ro đối với tài sản con người và tài khoản định danh.
  • Quy trình đánh giá rủi ro an toàn thông tin nên thực hiện với tần suất bao lâu?
    Theo khuyến nghị từ tiêu chuẩn ISO 27005 trong luận văn, quy trình này phải được thực hiện định kỳ tối thiểu 2 lần mỗi năm hoặc ngay khi hệ thống có sự thay đổi lớn về kiến trúc mạng, máy chủ hoặc phát sinh các đợt tấn công mạng quy mô lớn.
  • Làm thế nào để ứng phó với nguy cơ tấn công DDoS từ mạng lưới hơn 500.000 máy tính ma?
    Giải pháp là xây dựng hệ thống giám sát lưu lượng tập trung, áp dụng chính sách cân bằng tải và phân luồng thông minh, kết hợp các biện pháp lọc lưu lượng rác tự động nhằm giảm thiểu rủi ro gián đoạn hoạt động của cổng dịch vụ công.
  • Điểm khác biệt cốt lõi giữa tiêu chuẩn ISO 31000 và ISO/IEC 27005 là gì?
    Tiêu chuẩn ISO 31000 cung cấp các nguyên tắc chung cho mọi loại rủi ro của doanh nghiệp, trong khi ISO/IEC 27005 đi sâu vào các khía cạnh kỹ thuật đặc thù của an toàn thông tin, tài sản số, điểm yếu phần mềm và các mối đe dọa không gian mạng.

Kết luận

  • Luận văn đã chuẩn hóa thành công quy trình quản lý rủi ro an toàn thông tin theo tiêu chuẩn quốc tế ISO/IEC 27005:2011 cho Trung tâm dữ liệu Thành phố Hồ Chí Minh đặt tại Công viên Phần mềm Quang Trung.
  • Công trình đã phân tích toàn diện thực trạng an ninh mạng với số liệu thực chứng gồm 59.767 đợt tấn công trong tháng 11 năm 2013 và các nguy cơ tiềm ẩn từ hơn 500.000 máy tính ma tại Việt Nam.
  • Tác giả đã tích hợp hiệu quả 134 biện pháp kiểm soát an toàn từ ISO/IEC 27002 để xây dựng ma trận đánh giá rủi ro bán định lượng phù hợp với điều kiện vận hành chính quyền điện tử.
  • Đề xuất lộ trình triển khai 3 giai đoạn (ngắn hạn 3 tháng, trung hạn 6 tháng, dài hạn định kỳ) nhằm đưa toàn bộ các chỉ số rủi ro tồn đọng về dưới ngưỡng an toàn cho phép.
  • Kết quả nghiên cứu là tài liệu tham khảo giá trị, khuyến khích các nhà quản lý công nghệ thông tin nhanh chóng áp dụng khung ISO 27005 để thiết lập lá chắn bảo mật vững chắc cho các đô thị thông minh trong tương lai.