. Với tính chất toàn cầu hoá về kinh tế và công nghệ, việc khó kiểm soát độ an toàn của các thiết bị điện tử, viễn thông nhập khẩu, cùng với sự phát triển của công nghệ tấn công mạng và những nguy cơ đối với an ninh của thiết bị di động và điện toán đám mây khiến cho bài toán đảm bảo ATTT trở nên khó khăn và nhiều thách thức hơn bao giờ hết.

Năm 2012, trên thế giới cũng như ở Việt Nam, tình hình an ninh, an toàn thông tin có những diễn biến phức tạp. Các cuộc tấn công xâm nhập, các hành vi vụ lợi, thông qua sử dụng công nghệ cao và mạng Internet vẫn xảy ra mọi lúc, mọi nơi. Những sự cố về ATTT có tầm ảnh hưởng và gây thiệt hại lớn ngày càng xảy ra nhiều, thậm chí có thể làm cho người ta liên tưởng tới một cuộc chiến tranh mạng đang sắp xảy ra. Điều này thu hút mối quan tâm không chỉ của các cơ quan, tổ chức, doanh nghiệp, mà còn ở tầm quốc gia của nhiều nước trên thế giới. Với tính chất toàn cầu hoá về kinh tế và công nghệ, việc khó kiểm soát độ an toàn của các thiết bị điện tử, viễn thông nhập khẩu, cùng với sự phát triển của công nghệ tấn công mạng và những nguy cơ đối với an ninh của thiết bị di động và điện toán đám mây khiến cho bài toán đảm bảo ATTT trở nên khó khăn và nhiều thách thức hơn bao giờ hết.
Tại Việt Nam, năm 2012, cùng với việc tăng cường bảo đảm quốc phòng - an ninh phục vụ cho sự nghiệp xây dựng và bảo vệ tổ quốc, chủ trương đẩy mạnh phát triển Chính phủ điện tử, cải cách hành chính, tăng cường sử dụng văn bản điện tử trong các cơ quan nhà nước, đặt ra những yêu cầu mới, cấp thiết hơn với  phạm vi rộng lớn hơn đối với công tác bảo đảm an ninh, ATTT.

1. Tình hình chung về ATTT
Các website Việt Nam tiếp tục là đích tấn công của hacker. Năm nay, theo ghi nhận của Microsoft, có hơn 2500 website của Việt Nam bị hacker tấn công. Đây là sự gia tăng đáng kể so với năm 2011 (300 website). Các website của doanh nghiệp, cơ quan quản lý nhà nước đều là đích ngắm của hacker. Bên cạnh đó, cũng theo các nghiên cứu của Microsoft, số lượng máy tính của Việt Nam bị nhiễm các loại mã độc vẫn ở mức cao (18,1/1000) so với thế giới (7/1000) và trở thành các “trái bom nổ chậm” trong hệ thống thông tin.
Tháng 5/2012, Hiệp hội an toàn thông tin Việt Nam (VNISA) đã thực hiện một cuộc khảo sát trên 100 website/cổng thông tin điện tử có tên miền .gov.vn. Các số liệu thống kê cho thấy có 78 website/cổng thông tin tồn tại điểm yếu cho phép hacker lợi dụng để khai thác, 58 website/cổng thông tin có lỗ hổng nghiêm trọng có thể bị chiếm quyền điều khiển hoặc thay đổi nội dung.
Mối lo ngại về an ninh, an toàn trong thiết bị điện tử, viễn thông gia tăng khi mà những nghi vấn về khả năng rò rỉ thông tin ở phần cứng chưa được giải quyết. Hiện nay, các thiết bị mạng và viễn thông sử dụng tại Việt Nam phần lớn nhập khẩu từ nước ngoài, người dùng đành phải tin vào cam kết của nhà sản xuất rằng họ không cài mã độc vào trong thiết bị khi bán ra. Tuy nhiên, niềm tin này hiện đang bị lung lay khi một số quốc gia khác trên thế giới e ngại về tính trung thực trong cam kết của một số công ty. Đây là một thách thức lớn đặt ra cho các cơ quan nhà nước, doanh nghiệp và cơ sở nghiên cứu của Việt Nam khi các chúng ta vẫn phải phụ thuộc nhiều vào công nghệ của nước ngoài.
Hệ thống của công ty ATTT chuyên nghiệp bị tấn công. Các công ty chuyên về ATTT là một đích ngắm hấp dẫn của hacker. Tấn công thành công vào các hệ thống thông tin này, tin tặc có thể sẽ ghi được nhiều “điểm” hơn, và khả năng phát tán các mã độc thông qua sản phẩm của các công ty chuyên về ATTT, nếu thực hiện được, sẽ mang lại kết quả lớn hơn cho hacker. Năm 2012 ghi nhận tấn công của hacker vào hệ thống của một công ty đảm bảo ATTT của Việt Nam. Đây là một cảnh báo về khả năng có thể bị xâm nhập tấn công đối với tất cả các tổ chức, doanh nghiệp.

2. An toàn thông tin Việt Nam 2012 qua những số liệu
Năm 2012 VNISA cũng đã kết hợp với Trung tâm ứng cứu khẩn cấp máy tính Việt Nam (VNCERT) khảo sát về mức độ nhận thức về tấn công mạng và ứng dụng các biện pháp bảo đảm ATTT trong các tổ chức, doanh nghiệp. Cuộc khảo sát được tiến hành tại Hà Nội và TP. Hồ Chí Minh với trên 500 tổ chức đã tham gia. Kết quả có thể chưa hoàn toàn phản ánh hết thực tế tình hình ATTT tại Việt Nam, tuy nhiên đây là những số liệu rất hữu ích để các cơ quan, tổ chức, doanh nghiệp tham khảo khi đưa ra những kế hoạch hành động cụ thể của mình.
Nhận thức về các cuộc tấn công
Các tổ chức được khảo sát khẳng định việc bị tấn công mạng trong năm qua tăng lên. Số lượng tổ chức, doanh nghiệp khẳng định mình không bị tấn công mạng trong năm qua tăng lên (55% so với 41% năm 2011). Số doanh nghiệp biết bị tấn công và ghi nhận đầy đủ tình trạng bị tấn công cũng tăng lên (19% so với 17% năm 2011).
Những tấn công mà các tổ chức thường gặp bao gồm: Nhiễm Mã độc tự lây lan (45%); nhiễm Mã độc không tự lan (trojan, rootkit,... 35%). Bị xâm nhập từ bên ngoài vào (20%). Tấn công từ chối dịch vụ tăng mạnh (16%) và khả năng đánh giá tổn thất tài chính khi bị tấn công cũng tăng lên (35%).

Trong các hình thức tấn công, năm nay gia tăng mạnh hình thức quấy phá, dò tìm và làm giảm hiệu năng mạng. Hình thức này cùng với DoS là loại tấn công gây nhiều thiệt hại về tài chính nhất. Bên cạnh đó, khả năng đánh giá tổn thất tài chính của các tổ chức tăng lên, nhưng đa số không rõ động cơ tấn công của hacker (70%).
Các biện pháp bảo đảm ATTT
a. Các biện pháp về quản lý
- Chính sách ANTT, thành phần cốt lõi của hệ thống quản lý ANTT (ISMS) ngày càng được nhiều doanh nghiệp triển khai áp dụng.
- Nhận biết được tính quan trọng của thành phần “phi kỹ thuật” trong hệ thống đảm bảo ANTT, nhiều doanh nghiệp quan tâm tới việc xây dựng, triển khai hệ thống chính sách đảm bảo ANTT theo các chuẩn quốc tế (50% so với 27% của năm 2011). Các tổ chức có quy trình thao tác chuẩn (standard operating procedures) để phản hồi lại các cuộc tấn công máy tính tăng lên nhưng không đáng kể (29% so với 27% năm 2011).
b. Các biện pháp về công nghệ

Trong năm 2012, xu hướng sử dụng mạng không dây giảm, nguyên nhân có thể do sự phổ cập công nghệ 3G và nỗi lo mất an ninh từ mạng không dây tăng lên. Bên cạnh đó, có sự gia tăng mạnh mẽ của việc sử dụng Hệ điều hành Linux.
Về công nghệ, việc sử dụng VPN tiếp tục tăng (50% so với 40% năm 2011). Giải pháp VPN giúp các tổ chức cắt giảm chi phí đường truyền và chi phí duy trì. Vì vậy, nó trở nên có lợi thế hơn trong giai đoạn khủng hoảng kinh tế, trong khi vẫn bảo đảm về độ tin cậy, tính bảo mật.

Xu hướng sử dụng mật khẩu, mã hoá để bảo vệ dữ liệu gia tăng trong năm 2012 (49%). Nếu như mật khẩu sử dụng 1 lần không có nhiều thay đổi qua các năm thì mật khẩu tái sử dụng lại có sự gia tăng đáng kể (15%, trong khi năm 2011 hầu như chưa được sử dụng). Tường lửa, phần mềm chống virus, chống spam vốn được sử dụng nhiều, đến nay có phần phát triển chậm lại. Đặc biệt, trong năm nay, việc sử dụng Chứng chỉ số được đẩy mạnh trong nhiều lĩnh vực hoạt động (29% so với 22% năm 2011).
Các biện pháp mang tính chất dự phòng cũng được đẩy mạnh hơn trong năm 2012. Số các tổ chức sử dụng công cụ rà quét đánh giá an ninh và công tác quản lý và triển khai các bản vá (patch) tăng. Tuy nhiên, hệ thống IDS/IPS giúp nhận biết và xử lý tấn công mạng kịp thời thì mới chỉ có khoảng 1/3 tổ chức triển khai, có thể do các hệ thống này đòi hỏi mức đầu tư.
Nhiều tổ chức nhận ra rằng, nhận thức chưa đầy đủ chính là rào cản lớn nhất cho việc bảo vệ thông tin. Từ đó, mức độ ưu tiên cho công tác bảo đảm ATTT cũng bị ảnh hưởng.
b. Mức độ sẵn sàng của hệ thống
Số doanh nghiệp không có quy trình xử lý sự cố ATTT vẫn chiếm tỷ lệ khá cao (44,4% so với 45% năm 2011), trong đó 40,4% doanh nghiệp được hỏi không có ý định tuân thủ theo chuẩn ATTT quốc tế (năm 2011 là 51%) và 37% doanh nghiệp hiện không có quỹ dự phòng cho các rủi ro an ninh mạng (năm 2011 là 26%). Vấn đề này phản ánh phần nào tình hình khó khăn của doanh nghiệp trong điều kiện kinh tế hiện nay.
c. Sử dụng dịch vụ bảo vệ (outsource)
Đa số (65%) các doanh nghiệp không muốn sử dụng dịch vụ do các tổ chức chuyên nghiệp cung cấp để đảm bảo ATTT cho tổ chức của mình. Công tác kiểm định mức độ an ninh của hệ thống cũng thường do các đơn vị tự thực hiện (61%). Tâm lý chưa tin tưởng đối tác bên ngoài, cùng tính khách quan và chuyên nghiệp trong đảm bảo, đánh giá ATTT vẫn là hạn chế lớn đối với tổ chức, doanh nghiệp tại Việt Nam.
Từ kết quả của cuộc khảo sát, có thể đưa ra một số nhận định sau:
- Nhận thức của các tổ chức, doanh nghiệp về vai trò của các quy trình, chính sách ATTT ngày càng đầy đủ hơn và tiệm cận tới giá trị thực của các thành phần này trong hệ thống bảo đảm ATTT.
- Việt Nam đang ở giai đoạn đầu của chu trình phát triển trong lĩnh vực ANTT, khi mà tính chuyên nghiệp, sự tin cậy vào các dịch vụ an toàn vẫn còn chưa cao; còn thiếu các sản phẩm CNTT trong nước, sản phẩm công nghệ mã nguồn mở với khả năng hoàn toàn kiểm soát được công nghệ.

- Hệ thống cảnh báo, ghi vết các cuộc tấn công mạng vẫn chưa được chú trọng đúng mức, thể hiện qua việc các cảm biến (sensor) cảnh báo còn ít được triển khai, và khả năng đọc thông tin nhật ký (logfile) theo thời gian thực còn chưa tốt. Với đa phần nhật ký được sử dụng khi có sự cố cho thấy việc phát hiện các tấn công ngay khi nó xảy ra để có những hành động ứng phó kịp thời còn rất hạn chế.
- Trên 50% tổ chức đã có tư vấn đánh giá, thẩm định riêng về ANTT trong mỗi dự án phát triển ứng dụng và xây dựng hệ thống CNTT. Đây là bước đi quan trọng để xây dựng những hệ thống an toàn từ khâu thiết kế, tránh tốn kém khi phải đầu tư lại và tăng hiệu quả trong quá trình vận hành, sử dụng.

3. Bức tranh ATTT thế giới 2012
Năm 2012 tiếp tục là năm sôi động về ATTT và được đánh dấu bởi nhiều sự kiện về ATTT trên khắp thế giới. Một số nét chính trong bức tranh ATTT thế giới được thể hiện dưới đây:
Mã độc trở thành một sản phẩm với thị trường “đen” rộng lớn, doanh số cao. Với tốc độ 80 ngàn mã độc mới xuất hiện mỗi ngày (theo Tạp chí PandaLab), Các hệ thống thông tin trên  thế giới vẫn thường xuyên đối mặt với nguy cơ bị hacker tấn công. Theo nghiên cứu của Websense về vòng đời của các mã độc, thì từ khi mã độc được phát triển (bởi các tổ chức tội phạm chuyên nghiệp) cho đến khi trở thành sản phẩm được mua bán rộng rãi trên Internet, rồi hết tác dụng là khoảng 2 năm. Sau 1 năm, một mã độc với giá bán ngầm ban đầu là 1000 đô la có thể hạ xuống còn 25 đô la. Với giá rất thấp và có thể mua bán bất cứ lúc nào, bất cứ khi nào, sự bùng nổ của mã độc làm cho việc bảo đảm ATTT của các tổ chức, dù ở qui mô nào cũng trở nên đầy khó khăn và thách thức.
Công nghệ tấn công tiếp tục được phát triển
Bên cạnh sâu Stuxnet, năm 2011 đánh dấu sự phát hiện của virus Flame (theo Kaspersky Lab), rồi một biến thể của Flame - MiniFlame được phát hiện tháng 10/2012. Virus Flame có khả năng lấy cắp thông tin, điều khiển hệ thống bị xâm nhập và tự xoá mình theo lệnh từ một trung tâm chỉ huy. Rõ ràng, việc phát triển mã độc (malware) đã dịch chuyển từ một vài cá nhân tự phát sang các tổ chức chuyên nghiệp và hiện nay lên đến mức độ cao hơn là cấp chính phủ của một số quốc gia.
An ninh cho thiết bị di động và điện toán đám mây là thách thức công nghệ hiện nay. Với sự phát triển ngày càng mạnh mẽ của công nghệ điện toán đám mây và thiết bị di động thông minh, việc bảo đảm ATTT, tránh bị thất thoát thông tin ngày càng trở nên thách thức hơn. Xu thế nghiên cứu - phát triển nhằm tạo ra các sản phẩm, giải pháp cho phép doanh nghiệp quản lý chặt chẽ các thiết bị di động thông minh đang tăng lên. Nhóm giải pháp Quản lý thiết bị di động (MDM) chắc chắn sẽ có những phát triển vượt bậc trong thời gian tới. Bên cạnh thiết bị đầu cuối, phần “đám mây” chứa máy chủ và kho dữ liệu cũng được nhiều tổ chức quan tâm, nhằm cung cấp cho người sử dụng, các doanh nghiệp những giải pháp ngày càng mềm dẻo, mạnh mẽ và an toàn hơn.
. Sự kiện một số cơ quan chính phủ nghi ngờ khả năng có các mã độc hay các phần mềm gián điệp trong thiết bị phần cứng đã trở thành mối quan tâm của nhiều quốc gia trên thế giới. Những nguy cơ tiềm ẩn này có thể sẽ ảnh hưởng lớn tới quá trình phát triển công nghệ thông tin và truyền thông trên thế giới.

4. Trách nhiệm đảm bảo ATTT
Trong bối cảnh phức tạp đã phân tích ở trên, dưới góc độ quản lý các giải pháp bảo đảm ATTT cần có sự phối hợp của các hoạt động liên quan, từ các tổ chức, doanh nghiệp đến các Bộ, ngành, địa phương, các cơ quan quản lý nhà nước chuyên ngành cũng như các cá nhân tham gia hoạt động trong hệ thống CNTT.
Tại các tổ chức, doanh nghiệp cần xây dựng các quy chế và có chương trình đào tạo người sử dụng về ATTT; thường xuyên tổ chức kiểm tra, giám sát việc thực thi các biện pháp ATTT và chia sẻ thông tin khi có sự cố xảy ra.
Về phía các Bộ, ngành, địa phương, cần xây dựng kế hoạch triển khai các biện pháp đảm bảo ATTT trong phạm vi của mình, kịp thời xây dựng chính sách, quy chế về an toàn; Có các giải pháp đánh giá về ATTT, thẩm định về ATTT cho các dự án CNTT.
Cơ quan quản lý nhà nước chuyên ngành trong lĩnh vực ATTT cần xây dựng môi trường pháp lý, hệ thống tiêu chuẩn, quy chuẩn kỹ thuật và các tài liệu hướng dẫn; Ban hành chiến lược, quy hoạch, chính sách ATTT; Tổ chức mạng lưới ứng cứu, điều phối mạng máy tính. Tổ chức hệ thống giám sát ATTT quốc gia, phân tích, cảnh báo sớm các nguy cơ.
Và điều quan trọng nhất là nhận thức và ý thức của từng con người tham gia vào quy trình xử lý thông tin, về trách nhiệm bảo vệ thông tin của cá nhân, tổ chức và quốc gia.