Gần 50.000 điểm yếu, lỗ hổng bảo mật tồn tại trong hệ thống cơ quan Nhà nước

Trong tháng 6/2023, hệ thống kỹ thuật của Cục An toàn thông tin (Bộ TT&TT) đã ghi nhận 49.994 điểm yếu, lỗ hổng an toàn thông tin tồn tại trong hệ thống thông tin của các cơ quan, tổ chức Nhà nước.

Theo thống kê, số lỗ hổng, điểm yếu được hệ thống của Trung tâm Giám sát an toàn không gian mạng quốc gia – NCSC, Cục An toàn thông tin, ghi nhận tồn tại trong hệ thống thông tin của các cơ quan, tổ chức Nhà nước tháng 6/2023 đã giảm khoảng 14% so với tháng 5/2023. Tuy nhiên, con số này lại gấp tới hơn 25,8 lần so với cùng kỳ năm ngoái.

Tính lũy kế trong 6 tháng đầu năm nay, hệ thống kỹ thuật của NCSC đã ghi nhận tổng cộng 160.171 điểm yếu, lỗ hổng trong các hệ thống của cơ quan, tổ chức Nhà nước.

Lý giải về sự gia tăng đột biến số điểm yếu, lỗ hổng an toàn thông tin tồn tại trong các hệ thống so với cùng kỳ năm ngoái, chuyên gia bảo mật Vũ Ngọc Sơn cho biết, hiện mỗi tháng có hàng trăm lỗ hổng mới được các nhà sản xuất công bố, trong khi nhiều thiết bị, hệ thống tại Việt Nam còn chưa được cập nhật các bản vá kịp thời.

“Nguyên nhân chính của tình trạng này đến từ việc nhiều hệ thống đầu tư đã lâu, hết thời hạn được cập nhật; không có lực lượng chuyên trách thực hiện việc đôn đốc cập nhật bản vá; nhiều hệ thống phần mềm được xây trên nền tảng công nghệ cũ, nếu nâng cấp để cập nhật bản vá thì có thể hệ thống phần mềm không chạy nữa”, chuyên gia Vũ Ngọc Sơn phân tích.

Các chuyên gia cũng nhấn mạnh rằng, việc tồn tại nhiều lỗ hổng có thể dẫn tới nguy cơ hệ thống thông tin của cơ quan, tổ chức bị hacker tấn công, xâm nhập, nằm vùng. Vì thế, các quản trị viên hệ thống cần rà soát lại cẩn thận. Đối với các hệ thống cũ, không có khả năng nâng cấp, nên tách riêng phân vùng mạng và không cho kết nối Internet. Với các hệ thống có khả năng nâng cấp, cần khẩn trương cập nhật bản vá và tăng cường công tác giám sát, phân tích log thường xuyên để phát hiện các dấu hiệu tấn công có chủ đích APT.

Ở góc độ của cơ quan quản lý Nhà nước về an toàn thông tin mạng, nhận định số lượng 49.994 điểm yếu, lỗ hổng tồn tại trong các hệ thống của cơ quan, tổ chức Nhà nước là rất lớn, Cục An toàn thông tin cho biết, đơn vị đã chỉ đạo NCSC triển khai đánh giá, xác định các lỗ hổng nguy hiểm, có ảnh hưởng trên diện rộng và hướng dẫn các bộ, ngành khắc phục. Đặc biệt, có một số lỗ hổng đã và đang được các nhóm tấn công lợi dụng để thực hiện các cuộc tấn công có chủ đích APT.

Cũng trong báo cáo kỹ thuật về tình hình an toàn thông tin tháng 6/2023, Cục An toàn thông tin cho biết, trong tháng qua, hệ thống kỹ thuật của NCSC đã ghi nhận 410.828 địa chỉ IP của Việt Nam nằm trong mạng botnet (mạng máy tính ma – PV), giảm 19% so với tháng 5/2023. Trong đó, có 148 địa chỉ IP của cơ quan, tổ chức Nhà nước, với 14 địa chỉ IP bộ, ngành và 134 địa chỉ IP tỉnh, thành phố.

Tính đến hết tháng 6/2023, đã có 88 đơn vị gồm 63 tỉnh, thành phố và 25 bộ, ngành triển khai giải pháp phòng chống mã độc tập trung và thực hiện kết nối chia sẻ thông tin về mã độc với NCSC. Số bộ, ngành, địa phương đã triển khai giám sát an toàn thông tin và thực hiện kết nối chia sẻ dữ liệu giám sát với NCSC là 87, bao gồm 63 tỉnh, thành phố và 24 bộ, ngành.

Trong báo cáo tại Hội nghị trực tuyến toàn quốc sơ kết 6 tháng đầu năm 2023 về chuyển đổi số quốc gia và Đề án 06 diễn ra ngày 12/7, đại diện Bộ TT&TT đã chỉ rõ, điểm cảnh báo đỏ là giá trị của chỉ số an toàn thông tin mạng năm 2022 tuy đã có tăng trưởng trên 46% so với năm 2021, nhưng vẫn ở mức thấp, dưới mức trung bình, mới chỉ đạt 0,48. Do đó, đây tiếp tục là vấn đề cần đặc biệt quan tâm trong năm 2023.

Tính đến hết tháng 6/2023, tổng số hệ thống thông tin của cơ quan Nhà nước đã phê duyệt cấp độ an toàn là 1.949 trên tổng số 3.094 hệ thống, đạt tỷ lệ 62,9%. Tổng số hệ thống thông tin của cơ quan Nhà nước đã đáp ứng yêu cầu bảo đảm an toàn theo cấp độ là 285/3.094, đạt tỷ lệ 9,2%. Đây là nguy cơ mất an toàn, an ninh mạng ở mức rất cao.

“Bộ TT&TT đã triển khai, cấp tài khoản cho các bộ, ngành, địa phương sử dụng Nền tảng hỗ trợ bảo đảm an toàn thông tin mạng theo cấp độ để giúp các bộ, ngành, địa phương. Đề nghị các bộ, ngành, địa phương muộn nhất đến hết quý III/2023 hoàn thành phê duyệt cấp độ an toàn cho 100% các hệ thống thông tin”, đại diện Bộ TT&TT đề nghị.