Tích hợp Bảo mật và An ninh Mạng

Tường lửa truyền thống chủ yếu bảo vệ ở lớp mạng với chính sách dựa trên địa chỉ IP và cổng. Các tấn công hiện đại phần lớn đi qua các giao thức hợp lệ như HTTPS, nên tường lửa lớp mạng không phát hiện được. Ngoài ra, các tấn công thông qua email (lừa đảo, phần mềm độc hại), tấn công qua thiết bị đầu cuối (nhân viên dùng máy cá nhân), và tấn công nội bộ không bị chặn bởi tường lửa.

Một kiến trúc bảo mật hiện đại thường có ít nhất năm lớp: bảo mật email, bảo mật điểm cuối, bảo mật mạng (tường lửa thế hệ mới), bảo mật ứng dụng và dữ liệu, giám sát và phản ứng sự cố. Có tường lửa chỉ là một trong năm lớp.

Trung tâm giám sát an ninh mạng 24/7 tự xây dựng cho ngân hàng quy mô trung bình thường cần đầu tư vài tỷ đến hàng chục tỷ đồng cho phần công nghệ (hệ thống quản lý sự kiện an ninh, phân tích hành vi, quản lý mối đe dọa, cấp phép hàng năm), cộng với chi phí nhân sự cho đội từ 6 đến 12 người làm ba ca, mỗi người có mức lương cạnh tranh do an ninh mạng là lĩnh vực khan hiếm nhân lực.

Lựa chọn thay thế là thuê ngoài dịch vụ giám sát an ninh mạng với chi phí thường từ vài trăm triệu đến vài tỷ mỗi năm tùy số lượng thiết bị và mức độ dịch vụ. Nhiều ngân hàng đã chuyển sang mô hình lai: giữ đội nội bộ nhỏ xử lý sự cố nghiêm trọng, thuê ngoài giám sát 24/7.

Có hai cách tiếp cận bổ sung lẫn nhau. Thứ nhất là quét lỗ hổng tự động bằng công cụ chuyên dụng, thực hiện định kỳ hàng tuần hoặc hàng tháng. Quét tự động phát hiện được các lỗ hổng đã biết, thiếu bản vá, cấu hình sai phổ biến. Chi phí thấp, có thể triển khai nhanh.

Thứ hai là kiểm thử xâm nhập có kiểm soát, do kỹ sư an ninh mạng thực hiện thủ công theo các kịch bản tấn công thực tế. Kiểm thử xâm nhập phát hiện được các lỗ hổng kết hợp, điểm yếu trong quy trình, lỗi lập trình ứng dụng tùy chỉnh. Chi phí cao hơn, thường thực hiện một đến hai lần mỗi năm.

Khuyến nghị là dùng cả hai: quét tự động thường xuyên để duy trì, kiểm thử xâm nhập định kỳ để đánh giá sâu.

Thông tư 09/2020/TT-NHNN quy định về an toàn hệ thống thông tin trong hoạt động ngân hàng, áp dụng cho các tổ chức tín dụng và chi nhánh ngân hàng nước ngoài. Các yêu cầu chính bao gồm: phân loại hệ thống thông tin theo cấp độ rủi ro, thiết lập chính sách và quy trình an toàn thông tin, quản lý truy cập và định danh, bảo vệ vật lý, giám sát và phát hiện sự cố, sao lưu và phục hồi, đánh giá rủi ro định kỳ, kiểm thử xâm nhập hàng năm cho các hệ thống quan trọng.

Tổ chức chưa tuân thủ có thể bị xử phạt hành chính và yêu cầu khắc phục. Chi phí tuân thủ đầy đủ Thông tư 09 cho một ngân hàng quy mô trung bình thường nằm trong khoảng vài tỷ đến trên chục tỷ đồng cho giai đoạn ban đầu.

Zero Trust không phải là một sản phẩm mà là một cách tiếp cận kiến trúc, với nguyên tắc không tin cậy mặc định bất kỳ truy cập nào, dù từ bên trong hay bên ngoài mạng nội bộ. Mô hình này trở nên thiết thực khi hai yếu tố thay đổi: nhân viên ngày càng làm việc phân tán, và dữ liệu ngày càng nằm ngoài trung tâm dữ liệu của doanh nghiệp (trên đám mây).

Với doanh nghiệp có toàn bộ nhân viên làm việc tại văn phòng và dữ liệu nằm hoàn toàn trong trung tâm dữ liệu, mô hình truyền thống vẫn hoạt động tốt và chưa cần Zero Trust. Với doanh nghiệp có nhân viên làm việc từ xa, nhiều ứng dụng SaaS, thiết bị cá nhân truy cập hệ thống, thì Zero Trust thực sự cần thiết để quản lý rủi ro.