Không phải công nghệ, xây dựng quy trình đúng mới đảm bảo an ninh mạng

Nếu như trước đây, một kẻ tấn công phải mất 44 ngày để có thể khai thác được dữ liệu từ một tổ chức sau khi tổ chức đó bị xâm phạm, thì nay, con số này chỉ tính bằng giờ. Trong khi đó, các doanh nghiệp cần trung bình 5,5 ngày để có thể bước đầu ngăn chặn sự cố. Các nguy cơ về an ninh mạng ngày càng tăng trong bối cảnh nền kinh tế số hóa ngày càng sâu rộng.

Trên thực tế, không có công thức chung nào để nói đầu tư bao nhiêu thì doanh nghiệp sẽ được an toàn. Trong khuyến nghị của Bộ Tài chính cho các đơn vị nhà nước cũng chỉ nói chung chung là trong đầu tư về công nghệ nên có 10% đầu tư cho an ninh mạng.

“Tuy nhiên, nhìn dưới góc độ của người thực sự chi tiền để mua giải pháp công nghệ nói chung, Giám đốc Công nghệ Thông tin trở lên, mối quan tâm của họ là ROI (tỉ suất hoàn vốn) của khoản đầu tư cho giải pháp công nghệ”, ông Hoàng Quang Huy, Giám đốc Quốc gia Palo Alto Networks tại Việt Nam phân tích.

“Đó là một tín hiệu tốt”, vị Giám đốc có 20 năm kinh nghiệm trong lĩnh vực công nghệ thông tin cho biết. Ông so sánh với những năm trước, khách hàng bỏ tiền mua một dự án bảo mật thường coi đó là một khoản chi phí hay bảo hiểm.

Khi bị mất an toàn thông tin, doanh nghiệp không chỉ mất tiền. Họ còn mất một thứ quan trọng hơn là uy tín. “Tôi nghĩ họ có đủ công cụ và thông tin để đưa ra quyết định”, ông Huy nói về việc doanh nghiệp chính là người tự đánh giá để đưa ra quyết định đầu tư.  

Thông thường, khi nghĩ đến bảo mật thì những ngành liên quan đến tiền bạc như ngân hàng, chứng khoán, quỹ đầu tư được nghĩ đứng đầu danh sách đầu tư. Tuy nhiên, trong thời đại dữ liệu cũng là một nguồn tài nguyên quý giá, thì các cơ sở thông tin trọng yếu cũng cần xem lại ưu tiên dành cho bảo mật trong bảng kế hoạch chi tiêu của mình. “Điện lực, dầu khí, và khí tượng thuỷ văn là những ngành lưu trữ nhiều thông tin quan trọng”, ông Huy phân tích.

Người đứng đầu Palo Alto Networks tại Việt Nam cho rằng để tăng an ninh, tổ chức cần kiểm tra năng lực an ninh thường xuyên. Một ví dụ được ông đưa ra là thuê những đơn vị dịch vụ bên ngoài để tấn công (hack) thử nhằm tìm ra các lỗ hổng bảo mật. Bên cạnh đó, cần phát triển một hệ thống quan trắc toàn bộ cơ sở hạ tầng của doanh nghiệp, vì muốn bảo vệ được phải nhìn được trước.

Tuy vậy, điều quan trọng nhất về an toàn thông tin không nằm ở việc áp dụng công nghệ mà là quy trình đúng, phù hợp với tổ chức. Điều này được thể hiện ở việc thường xuyên tập huấn cho đội ngũ nhân viên, từng người trong tổ chức, để nắm từng hoạt động của mình liên quan đến bảo mật trong công ty. Ông chia sẻ hoạt động trong lĩnh vực bảo mật nhưng họ vẫn được tập huấn 4 lần mỗi năm. “Thỉnh thoảng chúng tôi còn nhận được những email mồi, để xem chúng tôi có truy cập vào không”, ông kể.