Lỗ hổng ứng dụng – mối đe dọa của ngành tài chính, ngân hàng

Theo Báo cáo thường niên An toàn thông tin của Công ty cổ phần An ninh mạng Việt Nam (VSEC), năm 2021, tỷ lệ lỗ hổng trên mức nguy hiểm trong khối cơ quan, tổ chức nhà nước là 28%.

Đối với khối tài chính - ngân hàng, tỷ lệ lỗ hổng trên mức nguy hiểm là 31%; trong khi đó, tỷ lệ lỗ hổng trên mức nguy hiểm của khối doanh nghiệp, tập đoàn khác lên tới 42%.

Theo số liệu thông kê, khối tài chính - ngân hàng có số lượng các sự kiện An toàn thông tin trung bình/máy chủ/năm nhiều nhất trong các khối ngành, với 18.086 sự kiện. Với hệ thống CNTT khổng lồ, khối tài chính - ngân hàng vẫn giữ vững top đầu các khối ngành có số sự kiện An toàn thông tin trung bình/thiết bị mạng/năm nhiều nhất, với 732 sự kiện.

Số lượng lỗi hệ thống (lỗi cấu hình, lỗi ứng dụng, lỗi cơ sở dữ liệu...) mà VSEC ghi nhận được trong năm 2021 là rất lớn, đặc biệt trong khối doanh nghiệp, tập đoàn khác. Cụ thể, số lượng lỗi hệ thống trong khối doanh nghiệp, tập đoàn khác là 1.696 lỗi; khối tài chính - ngân hàng có 1.292 lỗi; khối cơ quan, tổ chức nhà nước là 906 lỗi.

Các chuyên gia của VSEC cho biết tại Việt Nam, trong bối cảnh dịch bệnh, nhiều hệ thống thông tin quan trọng của Việt Nam trở thành mục tiêu tấn công của tin tặc.

Thống kê trong năm 2021, Bộ Công an ghi nhận 8 triệu cảnh báo tấn công mạng. Qua kiểm tra, 26 cơ quan đơn vị địa phương phát hiện nhiều lỗ hổng bảo mật nghiêm trọng; hệ thống bị lây nhiễm vi rút và phần mềm gián điệp nguy hiểm gây nguy cơ mất an ninh, an toàn hệ thống thông tin mạng.

Đối với khối tài chính - ngân hàng, theo thống kê từ những dự án ATTT mà VSEC thực hiện trong năm 2021, số lượng cảnh báo liên quan đến tấn công mạng nhắm vào ngành tài chính - ngân hàng chiếm hơn 95% tổng số cảnh báo tấn công mạng được VSEC ghi nhận.

Ngoài ra, Trung tâm Giám sát và Vận hành An toàn thông tin (SOC) VSEC cũng ghi nhận rằng các doanh nghiệp ngành tài chính - ngân hàng tại Việt Nam thường bị ảnh hưởng bởi các lỗ hổng ứng dụng và thư viện ứng dụng. Các lỗ hổng chủ yếu là lỗ hổng mới. Điều này hoàn toàn phù hợp với đặc thù hệ thống CNTT nhiều ứng dụng, được cập nhật, nâng cấp thường xuyên.

Chuyên gia khuyến cáo ngành tài chính - ngân hàng cần đặc biệt thận trọng khi đối mặt với các mối đe dọa đang gia tăng này. Đặc biệt, các doanh nghiệp phải duy trì giám sát ATTT và kiểm thử bảo mật liên tục để đảm bảo phản ứng nhanh và hiệu quả trong trường hợp xảy ra sự cố.

Lỗ hổng hệ điều hành và ứng dụng văn phòng

Theo thống kê từ Trung tâm Giám sát và Vận hành ATTT (SOC) của VSEC, trong năm 2021, khối cơ quan, tổ chức nhà nước thường bị ảnh hưởng lớn bởi các lỗ hổng hệ điều hành và ứng dụng văn phòng.

“Các lỗ hổng thường được xử lý chậm chạp do vẫn tồn tại những hệ điều hành cũ (như Windows 7) và ứng dụng cũ không được bảo trì. Kịp thời phát hiện các lỗ hổng hay biến động trong hệ thống sẽ giúp cơ quan, tổ chức tránh những thiệt hại không đáng có, đồng thời cũng hạn chế tối đa các tổn thất nếu xảy ra tấn công”, chuyên gia VSEC phân tích.

Theo nhiều chuyên gia bảo mật, chi phí cho việc nâng cao khả năng bảo mật của doanh nghiệp luôn tối ưu hơn chi phí khắc phục sự cố.

Trong ngành năng lượng – công nghiệp sản xuất, theo VSEC, các đơn vị hoạt động trong khối ngành này đang dành nhiều sự quan tâm và đầu tư cho việc đảm bảo và nâng cao năng lực ATTT.

Tuy nhiên, thực tế cho thấy rằng năng lực đảm bảo ATTT của khối ngành này vẫn còn khá yếu. Cụ thể, hệ thống CNTT dù đã được trang bị bảo mật nhưng chưa tận dụng hết các chức năng, gần như chỉ sử dụng các cấu hình, chức năng mặc định. Việc cập nhật các bản vá bảo mật vẫn chưa được thực hiện thường xuyên.

Theo VSEC, nguyên nhân xuất phát từ sự khan hiếm nhân sự có chuyên môn, thậm chí nhiều đơn vị thuộc khối ngành năng lượng - công nghiệp sản xuất vẫn để nhân viên CNTT kiêm nhiệm hạng mục này.

Để khắc phục tình trạng trên, VSEC cho rằng hướng tới giải pháp thuê ngoài ATTT sẽ là phương án phù hợp để giải quyết vấn đề bảo vệ thông tin số của doanh nghiệp, cũng như giảm thiểu chi phí quản lý và tối ưu năng lực nhân sự.