Tổng quan nghiên cứu

Trong bối cảnh phát triển nhanh chóng của công nghệ hiện đại, các tổ chức, doanh nghiệp ngày càng phải đối mặt với nhiều rủi ro công nghệ tiềm ẩn ảnh hưởng trực tiếp đến hoạt động sản xuất kinh doanh. Tỉnh Vĩnh Phúc, với sự phát triển mạnh mẽ về ứng dụng công nghệ thông tin, đã thành lập Trung tâm Hạ tầng thông tin nhằm quản lý và vận hành hệ thống hạ tầng CNTT dùng chung, bảo đảm an toàn thông tin mạng cho toàn tỉnh. Giai đoạn 2020-2022, Trung tâm đã quản lý hệ thống máy chủ, thiết bị mạng, phần mềm và dữ liệu số với giá trị thiết bị trên 200 tỷ đồng, đồng thời duy trì hoạt động liên tục 24/7, hỗ trợ hàng nghìn lượt sự cố và tài khoản người dùng. Tuy nhiên, cùng với sự phát triển đó là các rủi ro công nghệ ngày càng phức tạp, đòi hỏi công tác quản trị rủi ro công nghệ (QTRR) được nâng cao hiệu quả để bảo vệ an ninh công nghệ và đảm bảo sự ổn định, phát triển bền vững của Trung tâm.

Mục tiêu nghiên cứu tập trung vào việc đề xuất các giải pháp nâng cao hiệu quả QTRR công nghệ tại Trung tâm Hạ tầng thông tin tỉnh Vĩnh Phúc trong giai đoạn 2020-2022, nhằm giảm thiểu các rủi ro tiềm ẩn, bảo vệ tài sản công nghệ và nâng cao năng lực vận hành. Phạm vi nghiên cứu bao gồm đánh giá thực trạng QTRR công nghệ tại Trung tâm, phân tích các rủi ro công nghệ chủ yếu, đồng thời đề xuất các giải pháp phù hợp với điều kiện thực tế của tỉnh. Nghiên cứu có ý nghĩa quan trọng trong việc hỗ trợ Trung tâm thực hiện tốt chức năng quản lý hạ tầng CNTT, góp phần thúc đẩy chuyển đổi số và xây dựng chính quyền điện tử tỉnh Vĩnh Phúc.

Cơ sở lý thuyết và phương pháp nghiên cứu

Khung lý thuyết áp dụng

Nghiên cứu dựa trên các lý thuyết và mô hình quản trị rủi ro công nghệ, quản trị an ninh phi truyền thống (ANPTT) và quản trị công nghệ. Khái niệm rủi ro được hiểu là sự không chắc chắn có thể gây ra tác động tiêu cực hoặc tích cực đến mục tiêu hoạt động của tổ chức. Công nghệ được định nghĩa là sự kết hợp sáng tạo giữa máy móc, tri thức và kỹ năng để biến đầu vào thành sản phẩm hoặc dịch vụ. Năng lực công nghệ là khả năng sở hữu, phát triển và sử dụng hiệu quả các công nghệ nhằm duy trì lợi thế cạnh tranh bền vững.

Quản trị rủi ro công nghệ là quy trình liên tục gồm các bước: nhận diện và xác định rủi ro, phân tích rủi ro, đánh giá và xếp hạng rủi ro, xử lý rủi ro, theo dõi và giám sát rủi ro. Mô hình quản trị ANPTT được vận dụng với phương trình 3S-3C nhằm đánh giá mức độ an toàn, ổn định, phát triển bền vững và chi phí quản trị rủi ro, khủng hoảng, khắc phục. Các khái niệm chuyên ngành như năng lực công nghệ, an ninh công nghệ, rủi ro công nghệ, và quy trình quản trị rủi ro công nghệ được hệ thống hóa để làm cơ sở lý luận cho nghiên cứu.

Phương pháp nghiên cứu

Nghiên cứu sử dụng phương pháp kết hợp định tính và định lượng. Phương pháp định tính bao gồm phỏng vấn trực tiếp với các cán bộ quản lý và nhân viên Trung tâm Hạ tầng thông tin tỉnh Vĩnh Phúc nhằm nhận diện các rủi ro công nghệ, thu thập thông tin về nguyên nhân, tần suất, biện pháp xử lý và ứng phó. Phương pháp định lượng sử dụng hai mẫu phiếu khảo sát: khảo sát năng lực công nghệ và khảo sát rủi ro công nghệ, với cỡ mẫu 09 người là toàn bộ đội ngũ cán bộ quản lý và nhân viên Trung tâm.

Dữ liệu thứ cấp được thu thập từ các báo cáo sơ kết, tổng kết hoạt động của Trung tâm giai đoạn 2020-2022. Phân tích dữ liệu được thực hiện bằng cách sử dụng ma trận phân hạng rủi ro 5x5 dựa trên khả năng xảy ra và mức độ nghiêm trọng của rủi ro, từ đó xếp loại rủi ro thành các mức thấp, trung bình, cao và rất cao. Quá trình nghiên cứu được thực hiện trong khoảng thời gian từ 2020 đến 2022, tập trung trên địa bàn tỉnh Vĩnh Phúc.

Kết quả nghiên cứu và thảo luận

Những phát hiện chính

  1. Năng lực công nghệ của Trung tâm: Qua khảo sát, năng lực công nghệ của Trung tâm được đánh giá ở mức trung bình khá với điểm trung bình khoảng 7/10. Các yếu tố như năng lực thiết bị và hạ tầng công nghệ đạt điểm trung bình 7,5; năng lực hỗ trợ công nghệ và năng lực vận hành công nghệ đạt khoảng 6,8-7,2. Tuy nhiên, năng lực sáng tạo công nghệ còn hạn chế với điểm trung bình 5,9, cho thấy Trung tâm cần tăng cường đổi mới sáng tạo.

  2. Nhận diện và phân loại rủi ro công nghệ: Có khoảng 12 loại rủi ro công nghệ được xác định, trong đó rủi ro về sự cố bảo mật thông tin chiếm tỷ lệ 25%, rủi ro gián đoạn hệ thống mạng chiếm 20%, rủi ro lỗi phần mềm và phần cứng chiếm 18%. Các rủi ro này được xếp loại theo ma trận rủi ro, với 30% rủi ro thuộc nhóm cao và rất cao, 50% thuộc nhóm trung bình và 20% thấp.

  3. Hiệu quả quản trị rủi ro công nghệ hiện tại: Trung tâm đã triển khai các biện pháp quản trị rủi ro như bảo trì định kỳ, giám sát an toàn thông tin, tổ chức diễn tập phòng chống tấn công mạng. Tuy nhiên, chi phí quản trị rủi ro công nghệ chiếm khoảng 15% tổng ngân sách hoạt động, trong khi chi phí khắc phục sự cố và khủng hoảng chiếm tới 25%, cho thấy hiệu quả quản trị rủi ro chưa tối ưu.

  4. Tồn tại và hạn chế: Trung tâm còn thiếu các phòng chuyên môn chuyên sâu, nhân lực công nghệ thông tin và an toàn thông tin chất lượng cao chưa đáp ứng đủ nhu cầu. Quy trình nhận diện và đánh giá rủi ro chưa được cập nhật thường xuyên, thiếu hệ thống cảnh báo sớm và công cụ phân tích rủi ro hiện đại. So với các nghiên cứu trong ngành, mức độ ứng dụng quản trị rủi ro công nghệ tại Trung tâm còn thấp hơn khoảng 10-15%.

Thảo luận kết quả

Nguyên nhân chính của những tồn tại là do hạn chế về nguồn lực con người, cơ sở vật chất và công nghệ hỗ trợ. Việc thiếu các phòng chuyên môn làm giảm khả năng chuyên sâu trong quản trị rủi ro công nghệ. So sánh với các nghiên cứu trong nước và quốc tế, Trung tâm cần nâng cao năng lực sáng tạo công nghệ và áp dụng các công cụ phân tích rủi ro hiện đại để giảm thiểu chi phí khắc phục sự cố.

Dữ liệu có thể được trình bày qua biểu đồ cột thể hiện tỷ lệ các loại rủi ro công nghệ, biểu đồ tròn phân bổ chi phí quản trị rủi ro và khắc phục sự cố, bảng tổng hợp điểm năng lực công nghệ theo các nhóm yếu tố. Việc cải thiện quản trị rủi ro công nghệ sẽ giúp Trung tâm giảm thiểu tổn thất, nâng cao hiệu quả vận hành và đóng góp tích cực vào chuyển đổi số tỉnh Vĩnh Phúc.

Đề xuất và khuyến nghị

  1. Tăng cường năng lực nhân sự chuyên môn: Tuyển dụng và đào tạo thêm nhân lực công nghệ thông tin và an toàn thông tin chất lượng cao, đặc biệt là các chuyên gia về quản trị rủi ro công nghệ. Mục tiêu nâng tỷ lệ nhân sự chuyên môn đạt chuẩn lên 80% trong vòng 2 năm. Chủ thể thực hiện: Ban lãnh đạo Trung tâm phối hợp với Sở Thông tin và Truyền thông.

  2. Xây dựng và hoàn thiện quy trình quản trị rủi ro công nghệ: Thiết lập hệ thống nhận diện, đánh giá và cảnh báo rủi ro công nghệ tự động, cập nhật định kỳ theo quý. Mục tiêu giảm thời gian phản ứng với sự cố xuống dưới 1 giờ. Chủ thể thực hiện: Phòng Hạ tầng & Hệ thống mạng phối hợp với các phòng chuyên môn.

  3. Đầu tư nâng cấp hạ tầng công nghệ và công cụ phân tích rủi ro: Mua sắm phần mềm quản lý rủi ro hiện đại, hệ thống giám sát an toàn thông tin tích hợp AI để phát hiện sớm các nguy cơ. Mục tiêu hoàn thành trong 18 tháng tới. Chủ thể thực hiện: Ban quản lý dự án Trung tâm.

  4. Tăng cường công tác đào tạo, diễn tập và nâng cao nhận thức về rủi ro công nghệ: Tổ chức các khóa đào tạo định kỳ và diễn tập phòng chống sự cố mạng hàng năm, nâng cao kỹ năng ứng phó cho toàn bộ cán bộ nhân viên. Mục tiêu 100% nhân viên tham gia đào tạo hàng năm. Chủ thể thực hiện: Phòng Hành chính - Tổng hợp phối hợp với các đơn vị đào tạo.

Đối tượng nên tham khảo luận văn

  1. Lãnh đạo và quản lý Trung tâm Hạ tầng thông tin tỉnh Vĩnh Phúc: Giúp hiểu rõ thực trạng và các giải pháp nâng cao hiệu quả quản trị rủi ro công nghệ, từ đó hoạch định chiến lược phát triển bền vững.

  2. Các cán bộ chuyên trách công nghệ thông tin và an toàn thông tin: Cung cấp kiến thức chuyên sâu về quy trình quản trị rủi ro công nghệ, kỹ thuật nhận diện và xử lý rủi ro thực tiễn.

  3. Các nhà hoạch định chính sách và quản lý nhà nước trong lĩnh vực công nghệ thông tin: Hỗ trợ xây dựng chính sách, quy định về quản trị rủi ro công nghệ phù hợp với thực tiễn địa phương.

  4. Các doanh nghiệp và tổ chức có hệ thống hạ tầng CNTT tương tự: Tham khảo mô hình quản trị rủi ro công nghệ, áp dụng các giải pháp nâng cao hiệu quả quản lý rủi ro trong hoạt động sản xuất kinh doanh.

Câu hỏi thường gặp

  1. Quản trị rủi ro công nghệ là gì?
    Quản trị rủi ro công nghệ là quy trình xác định, đánh giá và kiểm soát các rủi ro liên quan đến công nghệ nhằm giảm thiểu tổn thất và đảm bảo hoạt động ổn định của tổ chức. Ví dụ, Trung tâm Hạ tầng thông tin tỉnh Vĩnh Phúc áp dụng quy trình này để phòng ngừa sự cố mạng và bảo mật dữ liệu.

  2. Những rủi ro công nghệ phổ biến tại Trung tâm Hạ tầng thông tin tỉnh Vĩnh Phúc là gì?
    Các rủi ro phổ biến gồm sự cố bảo mật thông tin (25%), gián đoạn hệ thống mạng (20%), lỗi phần mềm và phần cứng (18%). Những rủi ro này có thể gây gián đoạn hoạt động và tổn thất tài chính nếu không được quản lý hiệu quả.

  3. Phương pháp nhận diện rủi ro công nghệ được áp dụng như thế nào?
    Trung tâm sử dụng phỏng vấn, khảo sát, phân tích báo cáo hoạt động và quan sát hiện trường để nhận diện rủi ro. Việc này giúp phát hiện kịp thời các nguy cơ và xây dựng kế hoạch ứng phó phù hợp.

  4. Làm thế nào để đánh giá mức độ rủi ro công nghệ?
    Mức độ rủi ro được đánh giá dựa trên khả năng xảy ra và mức độ nghiêm trọng của hậu quả, sử dụng ma trận 5x5 để phân loại rủi ro thành thấp, trung bình, cao và rất cao. Ví dụ, rủi ro bảo mật cao được xếp vào nhóm rất cao do ảnh hưởng nghiêm trọng đến hoạt động.

  5. Giải pháp nào giúp nâng cao hiệu quả quản trị rủi ro công nghệ?
    Các giải pháp gồm tăng cường nhân lực chuyên môn, hoàn thiện quy trình quản trị, đầu tư công nghệ hiện đại và nâng cao đào tạo, diễn tập. Trung tâm đã và đang triển khai các biện pháp này nhằm giảm thiểu chi phí khắc phục sự cố và nâng cao hiệu quả vận hành.

Kết luận

  • Rủi ro công nghệ là yếu tố không thể tránh khỏi trong hoạt động của Trung tâm Hạ tầng thông tin tỉnh Vĩnh Phúc, ảnh hưởng đến an ninh công nghệ và sự phát triển bền vững.
  • Năng lực công nghệ của Trung tâm đạt mức trung bình khá, nhưng năng lực sáng tạo và đổi mới còn hạn chế, cần được cải thiện.
  • Các rủi ro công nghệ chủ yếu gồm sự cố bảo mật, gián đoạn mạng và lỗi phần mềm, trong đó 30% rủi ro thuộc nhóm cao và rất cao.
  • Hiệu quả quản trị rủi ro công nghệ hiện tại chưa tối ưu, chi phí khắc phục sự cố còn cao so với chi phí quản trị rủi ro.
  • Đề xuất các giải pháp cụ thể nhằm nâng cao năng lực nhân sự, hoàn thiện quy trình, đầu tư công nghệ và tăng cường đào tạo, diễn tập trong vòng 2-3 năm tới.

Trung tâm cần triển khai ngay các giải pháp đề xuất, đồng thời xây dựng kế hoạch giám sát và đánh giá định kỳ để đảm bảo hiệu quả quản trị rủi ro công nghệ. Các nhà quản lý và chuyên gia công nghệ thông tin được khuyến khích tham khảo nghiên cứu này để áp dụng và phát triển mô hình quản trị rủi ro phù hợp với thực tiễn.