Vai trò quyết định của người đứng đầu trong đảm bảo an ninh mạng

Chỉ trong năm 2024, hơn 121 triệu bản ghi dữ liệu cá nhân tại Việt Nam bị rò rỉ, số vụ tấn công DDoS vượt 900.000, trong đó có nhiều vụ chạm ngưỡng 1 Tbps - mức chưa từng có. Đáng chú ý, các vụ tấn công mã độc tống tiền (ransomware) ghi nhận yêu cầu chuộc lên tới 11 triệu USD, và số lượng website giả mạo thương hiệu tăng gần ba lần, lan rộng từ ngân hàng sang cơ quan công quyền.

Cùng lúc đó, Trung tâm Giám sát an toàn không gian mạng quốc gia (NCSC) công bố đã phát hiện gần 800.000 lỗ hổng bảo mật trong hệ thống thông tin của cơ quan, tổ chức nhà nước - cho thấy "phòng tuyến số" đang ngày càng dễ bị xuyên thủng.

Tại buổi tọa đàm “C ASEAN Vietnam 2025”, chuyên gia Trần Trung Hiếu (FPT Software) nhấn mạnh: “Không có sự tham gia của lãnh đạo cấp cao, mọi kế hoạch ứng phó chỉ là lý thuyết. Phải luyện đánh trận giả để biết đâu là điểm yếu thực sự”.

Đồng tình, ông Trần Minh Quân (PwC Việt Nam) cảnh báo, những quyết định sống còn như có nên trả tiền chuộc hay không không thể giao cho riêng phòng kỹ thuật. Đây là trách nhiệm của cả hệ thống lãnh đạo, từ CEO đến bộ phận pháp lý, truyền thông nội bộ.

Tuy vậy, nhiều doanh nghiệp Việt vẫn coi an ninh mạng là “chi phí” thay vì “đầu tư”. Không ít nơi chưa từng diễn tập ứng phó sự cố, thiếu cả quy trình khôi phục hệ thống sau tấn công.

Điểm yếu thiếu hụt nhân sự đang là rào cản lớn nhất đối với vấn đề an ninh mạng tại Việt Nam, dự kiến thiếu hơn 700.000 nhân sự chuyên trách về an ninh mạng thời gian tới

Theo Cục An ninh mạng và phòng chống tội phạm công nghệ cao (A05), các cuộc tấn công hiện nay đa phần bắt đầu bằng phishing - lừa người dùng qua email, mạng xã hội, tin nhắn. Sau khi người dùng vô tình tiếp tay, tin tặc sẽ khai thác tiếp các lỗ hổng trong hệ thống lõi - vốn thường chắp vá và thiếu bản vá bảo mật kịp thời.

“Giống như tên trộm rình rập quanh nhà, hacker quét hệ thống để tìm điểm yếu. Nếu có lớp cảnh báo sớm, chúng ta có thể phản ứng nhanh và giảm thiệt hại đáng kể”, một chuyên gia mô tả.

Tại Mỹ hay Anh, các cơ quan như CISA (Mỹ), NCSC (Anh) có các đội phản ứng nhanh cấp quốc gia, vừa giám sát hệ thống an ninh mạng tổng thể, vừa trực tiếp hỗ trợ xử lý sự cố. Một số hình thức tấn công mạng đã được xem là hành vi khủng bố, cho thấy mức độ nghiêm trọng trong cách tiếp cận của họ.

Trong khi đó, Việt Nam chưa có hệ thống đánh giá tuân thủ và phản ứng khẩn cấp đồng bộ. Hành lang pháp lý chủ yếu mang tính định hướng, thiếu quy định buộc các đơn vị phải kiểm kê lỗ hổng định kỳ hay công khai báo cáo sự cố.

Theo chuyên gia Trần Trung Hiếu, muốn không bị tấn công thật, phải ‘đánh trận giả’ trước. Đối với vấn đề an ninh mạng, các chuyên gia cho rằng, doanh nghiệp cần có ngân sách xứng đáng cho công nghệ và nhân lực an ninh mạng. Thường xuyên diễn tập định kỳ, có sự tham gia của CEO và bộ máy quản trị. Cuối cùng là văn hóa an toàn thông tin, từ nhận diện rủi ro, hành xử khi gặp sự cố đến nguyên tắc không trả tiền chuộc khi bị ransomware.

Theo ông Bùi Huy Anh (CMC Cyber Security), các giải pháp nội địa đang cho thấy hiệu quả trong phát hiện sớm và hỗ trợ kỹ thuật tức thời, điều mà các sản phẩm nước ngoài khó làm được trong tình huống khẩn cấp.

An ninh mạng đã và đang trở thành vấn đề sống còn với mọi tổ chức. Trong một thế giới số mở và đầy rủi ro, chỉ cần một sai lầm nhỏ, từ một cú nhấp chuột hay một lãnh đạo xem nhẹ cảnh báo, hậu quả có thể là sụp đổ hệ thống, mất dữ liệu, tổn hại danh tiếng và thiệt hại tài chính nghiêm trọng. Nếu người đứng đầu chưa sẵn sàng, không công nghệ nào có thể bảo vệ tổ chức khỏi một cuộc tấn công đã được chuẩn bị kỹ lưỡng.

Vũ Anh