Nguyễn Phú Trọng » Chuyên đề » (CĐ 20) Kỳ 7 – Các Biện pháp, Chính sách giúp đạt được mục tiêu Chiến lược ANM Nhật Bản (P2)

(Chuyên đề) - Trong những năm gần đây, số lượng sự cố đe dọa nghiêm trọng đời sống nhân dân ngày càng tăng, đặc biệt là việc bảo mật thông tin cá nhân của cá nhân và tài sản; gây ra những thiệt hại nghiêm trọng hơn và lan tỏa hơn. 

537a39c105c7d

2. XÂY DỰNG MỘT XÃ HỘI AN TOÀN VÀ ĐẢM BẢO CHO NHÂN DÂN

Trong những năm gần đây, số lượng sự cố đe dọa nghiêm trọng đời sống nhân dân ngày càng tăng, đặc biệt là việc bảo mật thông tin cá nhân của cá nhân và tài sản; gây ra những thiệt hại nghiêm trọng hơn và lan tỏa hơn. Trong bối cảnh môi trường không gian mạng sẽ còn tiếp tục phát triển mạnh mẽ hơn, ví dụ, khi các hệ thống IoT mở rộng và sự triển khai của Hệ thống Số Thuế và Số An sinh xã hội (Social Security and Tax Number System ), để xây dựng một xã hội an toàn và đảm bảo thì không thể thiếu công tác an ninh mạng đa tầng được thực hiện bởi các bên liên quan, từ cơ quan chính phủ, chính quyền địa phương, nhà vận hành hoạt động liên quan đến an ninh mạng, doanh nghiệp tư nhân và mỗi công dân.

Các nhiệm vụ và dịch vụ của CII và của những cơ quan chính phủ chính là cơ sở trọng yếu trong các hoạt động kinh tế-xã hội và đời sống của người dân. Vì bất kỳ sự gián đoạn nhiệm vụ và dịch vụ sẽ gây ra hậu quả trực tiếp và đáng kể cho sự an toàn và an ninh của người dân; do đó, điều quan trọng là phải thực hiện tất cả các biện pháp có thể để giải quyết và ngăn chặn các sự cố như vậy. Nói cách khác, điều cần thiết là phải có phương pháp tiếp cận có khả năng “đảm bảo nhiệm vụ”, trong đó người mang nhiệm vụ phải phân tích rủi ro và tiến hành thảo luận với chủ sở hữu tài sản để hòan tất nhiệm vụ và dịch vụ của CII hoặc các cơ quan chính phủ. Người mang nhiệm vụ nên tham vấn các quyết định của nhà điều hành cấp cao, cung cấp thông tin về lỗ hổng bảo mật cùng những hậu quả tiềm năng.

Sắp tới, Nhật Bản chắc chắn sẽ thu hút sự chú ý của thế giới vào các sự kiện quốc tế lớn, trong đó sự kiện Olympic và Paralympic Games 2020 diễn ra tại thành phố Tokyo. Tuy nhiên, các sự kiện cũng được dự đoán rằng thu hút sự chú ý của tin tặc tiến hành những cuộc tấn công mạng và các mối đe dọa không gian mạng có liên quan khác. Để bảo vệ uy tín quốc gia, Nhật Bản quyết tâm và nỗ lực tập trung giải quyết những lo ngại về an ninh mạng, phối hợp chặt chẽ giữa các bên liên quan. Hơn nữa, Nhật Bản sẽ duy trì và tăng cường kiến thức, kỹ năng và kinh nghiệm cho những sự kiện tương lai trên, cũng là những tài sản quốc gia quý giá vô cùng ý nghĩa sẽ đảm bảo an ninh và an toàn cho người dân.

Về vấn đề này, nhằm ứng phó với các mối đe dọa không gian mạng để từ đó xây dựng một xã hội an toàn và đảo bảo cuộc sống của con người, Chính phủ Nhật Bản sẽ thực hiện các biện pháp sau đây.

2.1 Các Biện pháp Bảo vệ Xã hội và Con người

Bảo vệ xã hội và người dân trước các mối đe dọa không gian mạng đòi hỏi việc cung cấp các thiết bị và dịch vụ cho không gian mạng phải liên tục, an toàn và ổn định, để bảo vệ những vấn đề cốt lõi cho một môi trường an toàn cho người sử dụng trên không gian mạng. Công tác này cũng đòi hỏi những nỗ lực của chính người sử dụng trên không gian mạng, bao gồm các cá nhân, doanh nghiệp và các tổ chức, phải nâng cao nhận thức và hiểu biết an ninh mạng của mình, đồng thời có những biện pháp an ninh mạng tự nguyện. Ngoài ra, để ngăn chặn các hành vi độc hại và các mối đe dọa 19khác trong không gian mạng, điều quan trọng là phải tăng cường các biện pháp chủ động cần thiết để theo dõi các sự cố và ngăn ngừa sự tái phát của các sự cố, cùng với các biện pháp phòng chống tội phạm tiềm năng và các mối đe dọa trong không gian mạng.

(1) Xây dựng một Môi trường Không gian Mạng An toàn và Bảo mật cho

Các doanh nghiệp tư nhân bao gồm cả các nhà sản xuất thiết bị kỹ thuật số, các nhà cung cấp dịch vụ Internet, nhà điều hành quản lý hệ thống mạng, và các nhà phát triển phần mềm, là những nhà cung cấp lớn cho các thành phần không gian mạng, chẳng hạn như các thiết bị, mạng lưới, và các ứng dụng. Ngoài ra, các công cụ giúp đối phó với những rủi ro trên không gian mạng cũng được cung cấp chủ yếu từ các hãng tư nhân.

Bên cạnh mục đích tạo sự thuận tiện cùng với sự trách nhiệm phải loại bỏ các lỗ hổng trong tất cả các dịch vụ và sản phẩm của mình, các nhà vận hành liên quan đến an ninh mạng được khuyến khích thực hiện chiến lược “Security by Design”, theo đó vấn đề đảm bảo an ninh được đưa vào ngay từ giai đoạn đầu lên kế hoạch và thiết kế cho hệ thống, và đưa ra giải thích đầy đủ về tính năng này bảo mật kèm theo cho khách hàng của mình. Các nhà vận hành cũng được khuyến khích phối hợp chặt chẽ với Chính phủ Nhật Bản và các đơn vị chính phủ có liên quan, để cải thiện khả năng phân tích và phát hiện sự cố tấn công mạng, từ đó đưa ra những hành động cần thiết, ví dụ như đưa ra các cảnh báo bảo mật và lời khuyên cho khách hàng và người dùng nói chung.

Do đó, Chính phủ Nhật Bản sẽ tăng cường thu thập thông tin về lỗ hổng bảo mật, ví dụ như lỗ hổng phần mềm; và tăng cường sự phối hợp và triển khai các hệ thống giám sát để phát hiện các cuộc tấn công mạng khác nhau trên Internet.

Để bảo vệ người dùng tránh được những rủi ro trên không gian mạng, ví dụ một cuộc khai thác tiềm năng từ các thiết bị có lỗ hổng để làm bàn đạp triển khai tấn công mạng, và để xây dựng một môi trường Internet an toàn và có lợi, Chính phủ Nhật Bản ngoài việc cung cấp lời khuyên và các cảnh báo an ninh mạng cho người sử dụng các thiết bị xâm nhập, cũng sẽ xây dựng các biện pháp cần thiết để ngăn chặn những thiệt hại có thể gây ra từ sự cố lây nhiễm mã độc.

Hơn nữa, Nhật Bản cũng đang có những nỗ lực hướng đến năm 2020 với mục tiêu cải thiện môi trường Internet cho du khách nước ngoài đến Nhật Bản, ví dụ như việc mở rộng các điểm Wi-Fi công cộng. Theo đó, Chính phủ Nhật Bản sẽ cân nhắc các biện pháp cần thiết về an ninh mạng cũng như các biện pháp thân thiện với người dùng.

(2) Tăng cường các Biện pháp An ninh Mạng cho chính người sử dụng

Về việc sử dụng Internet bằng máy tính cá nhân, điện thoại thông minh, và các thiết bị khác, một mặt, nhận thức và kiến thức về an ninh mạng hầu như chưa đạt mức 20chuẩn; mặt khác, trong môi trường hiện tại với những nguy cơ an ninh mạng đã trở nên vô cùng phức tạp và đa dạng hơn, người sử dụng Internet chưa có đủ nhận thức về an ninh mạng sẽ trở thành nạn nhân và cuối cùng trở thành người phạm tội và vô tình gây ra các sự cố an ninh mạng.

Để giải quyết những lo ngại này, và để hỗ trợ người sử dụng Internet và cộng đồng nói chung có thể tự bảo vệ mình, Chính phủ Nhật Bản sẽ thúc đẩy các hoạt động phối hợp với các bên liên quan để nâng cao nhận thức và tiếp cận cộng đồng, chẳng hạn như chương trình “Tháng Nhận Thức An ninh Mạng” (Cybersecurity Awareness Month), và nâng cao nhận thức để có hành động thích hợp khi gặp phần mềm độc và các email đáng ngờ. Đặc biệt, Chính phủ Nhật Bản đang có kế hoạch nâng cao nhận thức cho thanh niên, đặc biệt là những người mới bắt đầu sử dụng Internet, cùng với cha mẹ hoặc người giám hộ. Chính phủ Nhật Bản cũng sẽ có các nỗ lực bổ sung để thúc đẩy các hoạt động nâng cao nhận thức phù hợp cho những người không thuộc về bất kỳ tổ chức nào như trường học hay công ty, vì họ thường không có đủ cơ hội để tìm hiểu về các mối đe dọa không gian mạng và nắm các biện pháp an ninh mạng. Hơn nữa, Chính phủ Nhật Bản cũng tiếp tục thúc đẩy các chính sách phát triển nguồn nhân lực để gia tăng chuyên gia mạng, những người có khả năng giải đáp các câu hỏi và mối quan tâm của người dùng Internet, cũng như đẩy mạnh các hoạt động của các chuyên gia an ninh mạng này.

Ngoài các hoạt động nâng cao nhận thức toàn diện cho cộng đồng nói chung, Chính phủ Nhật Bản và các đơn vị có liên quan còn cần phải đẩy mạnh các hoạt động nâng cao nhận thức và tiếp cận cộng đồng đến từng địa phương, vì các hoạt động như vậy là cách tiếp cận đa diện để đáp ứng nhu cầu đa dạng của nhiều người khác nhau về lứa tuổi, nghề nghiệp, phong cách sống, và những người khác. Chính phủ Nhật Bản sẽ có các động thái hỗ trợ mạnh mẽ cho các hoạt động địa phương giúp tiếp cận cộng đồng và nâng cao nhận thức ở cấp địa phương, với sự hợp tác giữa các bên liên quan trong các ngành công nghiệp, học viện, khu vực công và tư.

Để đảm bảo sự an toàn và an ninh cho người dân, điều quan trọng là phải nâng cao nhận thức không chỉ cho cá nhân mà còn cho các tổ chức và các cơ quan, chẳng hạn như các tổ chức và doanh nghiệp tư nhân tham gia hoạt động kinh tế, chính quyền địa phương thực hiện các dịch vụ hành chính phục vụ trực tiếp cho người dân địa phương, các tổ chức công bao gồm các tổ chức giáo dục nắm giữ một khối lượng lớn các thông tin cá nhân của sinh viên, học sinh, và phụ huynh hoặc người giám hộ. Đặc biệt, đối với các tổ chức và cơ quan gặp khó khăn về việc đưa ra biện pháp an ninh mạng cần thiết cho mình, chẳng hạn như các doanh nghiệp vừa và nhỏ và các cơ quan nhỏ của địa phương, Chính phủ Nhật Bản sẽ tăng cường các biện pháp cần thiết để tạo sự phối hợp giữa các bên liên quan của Chính phủ, các đơn vị có liên quan, các tổ chức công nghiệp, và những đơn vị khác, để hỗ trợ các biện pháp nâng cao nhận thức, như tổ chức các cuộc hội thảo, xây dựng và phổ biến các hướng dẫn an ninh mạng, cải thiện cấu trúc chia sẻ thông tin an ninh mạng liên quan đến các phương pháp mới nhất của các cuộc tấn công mạng và các vấn đề có liên quan, đồng thời thực hiện đào tạo và diễn tập.

(3) Tăng cường các Biện pháp chống Tội phạm Không gian mạng

Trong môi trường kết nối mạnh mẽ giữa không gian mạng và không gian vật lý, số lượng các sự cố an ninh mạng liên quan chặt chẽ tới các cá nhân và doanh nghiệp như các giao dịch chuyển tiền bất hợp pháp nhờ khai thác dịch vụ ngân hàng trực tuyến (Internet banking), đánh cắp thông tin bằng các cuộc tấn công nhắm mục tiêu, các hoạt động lừa đảo trự tuyến, đã và đang phát triển mạnh mẽ. Bên cạnh đó, số lượng các hành vi đánh cắp thông tin cá nhân hoặc thông tin mật cũng đang gia tăng, trong đó xâm phạm dữ liệu cá nhân quy mô lớn là một trong những sự cố an ninh mạng nghiêm trọng nhất; kết quả là, sự gia tăng tội phạm mạng này đang trở thành vấn nạn nghiêm trọng của xã hội. Nếu không trang bị những khả năng điều tra và đối phó mạnh mẽ với tội phạm mạng, thì sẽ rất khó có thể nắm bắt thực tế của tội phạm mạng, khó kiểm soát tội phạm mạng một cách phù hợp với pháp luật và các quy chế, và cũng khó có thể sẵn sàng xử lý những phương pháp tấn công mới của tội phạm mạng sẽ xuất hiện trong tương lai gần.

Vì những lý do này, Chính phủ Nhật bản sẽ tăng cường: cải thiện sự sắp xếp cấu trúc giúp tăng cường thu thập thông tin để nâng cao nhận thức tốt hơn về các mối đe dọa không gian mạng; cải thiện khả năng điều tra liên quan đến tội phạm mạng; kiểm soát tội phạm mạng, phối hợp quốc tế , v.v… . Ngoài ra, việc nắm bắt được kỹ thuật tiên tiến rất cần thiết trong công tác điều tra, kiểm soát tội phạm mạng, ngăn chặn thiệt hại và sự phát tán rộng của sự cố, Chính phủ Nhật Bản sẽ thúc đẩy tích lũy kinh nghiệm, công nghệ và các kỹ năng cần thiết khác bằng cách đẩy mạnh các cơ cấu tổ chức để phân tích kỹ thuật số, chẳng hạn như các công nghệ giúp phân tích mã độc và sự phức tạp của hoạt động thu thập dữ liệu trực tuyến. Ngoài ra, Chính phủ Nhật Bản sẽ tăng cường phát triển nguồn nhân lực và phát triển công nghệ này đến cùng. Hơn nữa, vì mục đích phòng chống và điều tra tội phạm mạng, Chính phủ Nhật Bản sẽ sử dụng tích cực các kiến thức và kinh nghiệm của khu vực tư nhân và thúc đẩy các quan hệ đối táccông-tư thông qua các chương trình trao đổi nhân sự giữa các khu vực công và tư.

Vì sự hợp tác giữa các doanh nghiệp liên quan an ninh mạng giúp truy ra nguồn gốc của tội phạm mạng, Chính phủ Nhật Bản sẽ có các biện pháp cần thiết để đạt sự tiến bộ cho lĩnh vực này. Đặc biệt là về vấn đề quản lý dữ liệu được lưu trữ, Chính phủ sẽ khuyến khích các doanh nghiệp tư nhân có liên quan phải đưa ra những hành động thích hợp dựa trên “Hướng dẫn Bảo vệ Thông tin Cá nhân trong Hoạt động Liên lạc Viễn thông”. 

2.2 Các phương pháp bảo vệ cơ sở hạ tầng thông tin quan trọng

Nhiều loại cơ sở hạ tầng xã hội đã đảm bảo cho đời sống và các hoạt động kinh tế
của con người và một loạt các hệ thống thông tin đã được sử dụng cho các chức năng. của cơ sở hạ tầng xã hội. Trong những trường hợp này, khu vực công và tư phải hợp tác cùng nhau để bảo vệ CII, các dịch vụ thông tin và truyền thông, các nhà cung cấp điện và các dịch vụ tài chính mà sự suy giảm chức năng của chúng có nguy cơ gây tác động lớn đối với điều kiện sống và các hoạt động kinh tế của con người. Những nhiệm vụ như vậy không thể giao hoàn toàn cho chính phủ như một bên liên quan trong khi khu vực tư không phải chịu bất cứ trách nhiệm gì, hoặc ngược lại; thay vào đó, cần có sự hợp tác chặt chẽ giữa khu vực công và tư. Vì CII là cần thiết cho việc cung cấp dịch vụ liên tục, do đó, để bảo vệ nó, cần giảm sự xuất hiện của các lỗi hệ thống được gây ra bởi các cuộc tấn công mạng hay các nguyên nhân khác đến mức tối thiểu; cần tiến hành phát hiện sớm bất cứ lỗi hệ thống nào và thúc đẩy việc phục hồi nhanh chóng.

Chính phủ đã phát hành “Chính sách Cơ bản về Bảo vệ Cơ sở Hạ tầngThông tin Quan trọng” 5 phiên bản thứ ba và xác định các khu vực cơ sở hạ tầng thông tin quan trọng . Dựa trên chính sách CII này, Chính phủ đã triển khai các biện pháp khác nhau, bao gồm thúc đẩy các tiêu chuẩn an toàn và nâng cao nhận thức, triển khai các hoạt động huấn luyện, diễn tập và cải thiện việc chia sẻ thông tin giữa khu vực công và tư.

Sau khi đạt được các kết quả đáng kể trong việc bảo vệ CII của Nhật Bản,những biện pháp hiện có sẽ được áp dụng như trước đó. Trong khi đó, những biện pháp này có thể dễ dàng mất đi tính hiệu quả và trở nên lỗi thời nếu không có bất kỳ sửa đổi nào cho phù hợp với yêu cầu của các môi trường công nghệ và xã hội đa dạng liên quan đến CII. Chính phủ sẽ nỗ lực để thường xuyên xem xét lại các hoạt động và biện pháp hiện đang được áp dụng, được trình bày trong các phần tiếp theo, và phối hợp, thúc đẩy những cách tiếp cận cụ thể nhằm tăng cường an ninh mạng cho các hoạt động và biện pháp đó. Trong khi đó, các nhà điều hành CII và các bộ có thẩm quyền đã tiến hành bảo vệ cơ sở hạ tầng thông tin quan trọng (CIIP) trước các cuộc tấn công mạng bằng cách thiết lập các tiêu chuẩn an ninh, bao gồm các tiêu chuẩn và hướng dẫn; đối với những khu vực CII đã có các tiêu chuẩn ban đầu để đảm bảo an toàn và duy trì dịch vụ theo một luật cụ thể, Chính phủ sẽ tiến hành đánh giá thường xuyên các tiêu chuẩn an ninh, chú ý đến các thay đổi về môi trường hiện tại trong không gian mạng.

(1) Tiến hành đánh giá thường xuyên về quy mô của CIIP

Do các thay đổi trong môi trường xã hội, kinh nghiệm và kiến thức liên quan được tích lũy… việc đưa một khu vực nhất định, hiện không được xác định là CII, vào khu vực CII là cần thiết vì tác động của các trục trặc trong hệ thống thông tin của khu vực vừa được nói đến có thể là nghiêm trọng. Vì vậy, Chính phủ sẽ tiến hành đánh giá thường xuyên CIIP. Cần lưu ý, việc khu vực CII mới được thêm vào phải triển khai một cách chính xác những biện pháp CIIP mà các khu vực CII khác đã thực hiện là không cần thiết; vì với số lượng khu vực CII ngày càng tăng lên, việc triển khai các biện pháp chung trong các khu vực này cũng trở nên khó khăn. Từ những quan điểm này, Chính phủ sẽ có những hành động cần thiết dựa trên đặc điểm của từng khu vực, như mức độ phụ thuộc lẫn nhau với các khu vực khác, dịch vụ mà nó cung cấp và bất cứ luật pháp nào liên quan đến khu vực đó. Ví dụ, việc phân loại các khu vực CII có thể là một cách thức cho việc đánh giá này.

Trong khi đó, đối với các khu vực CII hiện tại, để cung cấp dịch vụ an toàn và đáng tin cậy hơn, cần đảm bảo “sự bảo vệ xuyên suốt trên toàn khu vực” thay vì “bảo vệ mục tiêu nhất định” với nỗ lực hạn chế của mỗi nhà điều hành CII. Theo đó, Chính phủ sẽ thường xuyên đánh giá quy mô của các nhà điều hành CII. Ví dụ, các biện pháp chỉ được áp dụng cho các nhà điều hành lớn sẽ được áp dụng rộng rãi cho các doanh nghiệp vừa và nhỏ; hay chúng sẽ được áp dụng cho cả các doanh nghiệp ngoại vi, như các như các nhà thầu phụ có liên quan và các công ty con lớn có liên quan gián tiếp đến các dịch vụ được cung cấp bởi các nhà điều hành CII.

Bên cạnh đó, cần xem xét việc bảo vệ các doanh nghiệp tư nhân bên ngoài khu vực CII vì CII không phải là mục tiêu duy nhất của các cuộc tấn công mạng. Đối với các doanh nghiệp hàng đầu tại Nhật Bản và các doanh nghiệp có tầm quan trọng đối với an ninh quốc gia, bao gồm các doanh nghiệp yêu cầu các biện pháp bảo vệ nhất định, như bảo vệ vật liệu hạt nhân, Chính phủ sẽ xem xét thêm về các biện pháp cần thiết, như thúc đẩy việc tham gia chia sẻ thông tin dù các doanh nghiệp này có thuộc CII hay không.

(2) Đảm bảo chia sẻ thông tin nhanh chóng và hiệu quả

Vì các cuộc tấn công mạng đã trở nên phức tạp và tinh vi hơn, để đối phó với các mối đe dọa mạng đa dạng một cách thích hợp, khu vực công và tư phải hợp tác chặt chẽ với nhau để chia sẻ thông tin về các lỗi hệ thống có thể được gây ra bởi các cuộc tấn công mạng. Để việc chia sẻ thông tin trở nên chủ động hơn, điều cần thiết là phải giảm gánh nặng tâm lý của các nhà điều hành CII về nguy cơ mất uy tín và hủy hoại danh tiếng của doanh nghiệp của họ nếu cung cấp thông tin cho người khác; và giúp họ nhận ra ưu điểm của hành động đó. Chính phủ sẽ xây dựng sự đồng thuận về việc sửa đổi cần thiết, như che giấu danh tính người báo tin, xác định phạm vi cũng như giới hạn của thông tin được chia sẻ và tạo ra một môi trường trong đó những người báo tin sẽ không phải gánh chịu bất kỳ bất lợi hay tổn thất không hợp lý nào từ việc cung cấp thông tin. Đối với những người chịu trách nhiệm xử lý các thông tin được cung cấp, họ cần phải có năng lực phân tích thông tin đầy đủ và phải đưa ra các cảnh báo kịp thời và thích hợp dựa trên thông tin được cung cấp. Chính phủ sẽ nỗ lực tạo ra một môi trường chia sẻ thông tin có sự tương tác và tiên tiến, bao gồm xây dựng các nền tảng như một cơ sở thu thập, phân tích và chia sẻ các thông tin được cung cấp để các nhà điều hành CII có thể có được những thông tin cần thiết cho CIIP một cách thích hợp.

Đến năm 2020, việc chia sẻ thông tin nhanh hơn và hiệu quả hơn là cần thiết cho việc xây dựng một khuôn khổ phòng vệ trên toàn thế giới để đối phó các cuộc tấn công mạng. Vì việc tiến hành thu thập không chỉ những thông tin về trục trặc hệ thống ở 24một mức độ nhất định, theo một luật cụ thể về một ngành công nghiệp nhất định, mà còn cả thông tin về các lỗi hệ thống nhỏ cũng như các lỗi cho thấy dấu hiệu của các cuộc tấn công mạng và dự đoán các cuộc tấn công mạng sẽ mang lại hiệu quả cao nên Chính phủ đã nỗ lực thu thập các thông tin này, dựa trên sự đồng thuận giữa các bên liên quan; trong nhiều trường hợp, Trung tâm Quốc gia về Chiến lược An ninh mạng và Sẵn sàng Đối phó Sự cố (NISC) và nhà điều hành CII sẽ hợp tác chặt chẽ hơn và tham gia vào các hoạt động thu thập thông tin một cách chủ động. Chính phủ cũng sẽ thúc đẩy việc hợp tác giữa các cơ quan chính phủ có liên quan, đặc biệt là để tích lũy các thông tin cần thiết tại NISC để xây dựng một cấu trúc cho việc chia sẻ thông tin nhanh chóng với các biện pháp cần thiết, như thiết lập đường dây nóng giữa NISC và các nhà điều hành CII, cải thiện các phương pháp và quy trình chia sẻ thông tin và áp dụng xử lý thông tin tự động.

Khi một nhà điều hành CII báo cáo về một vụ tấn công mạng cho các cơ quan chính phủ có liên quan chịu trách ứng phó sự cố, các cơ quan chính phủ sẽ xử lý, như một nỗ lực phối hợp, nhận thức tình huống để có được sự hiểu biết chính xác về điều gì đang diễn ra trong khi giúp các nhà điều hành CII quản lý tình huống nghiêm trọng. Chính phủ sẽ chia sẻ rộng rãi thông tin có được về sự cố vừa xảy ra, bao gồm các phương pháp của tin tặc, với các cơ quan chính phủ, các nhà điều hành CII và các bên liên quan khác để ngăn chặn thiệt hại trở nên nghiêm trọng hơn.

Để đảm bảo tính hiệu quả của các biện pháp này, Chính phủ sẽ tiến hành các hoạt động đào tạo và diễn tập trên toàn ngành cho các bên liên quan của khu vực công và tư và sẽ tiếp tục tạo ra những cải tiến cần thiết.

(3) Cung cấp hỗ trợ phù hợp cho các khu vực CII

Đối với chính quyền địa phương, trách nhiệm của họ và các phương pháp hợp tác được thực hiện bởi Cơ quan đầu não Chiến lược An ninh mạng để hỗ trợ họ được mô tả trong Đạo luật Cơ sở về An ninh mạng. Tất cả các chính quyền địa phương, bất kể quy mô, đều có một trạng thái duy nhất, vì họ được yêu cầu các tiêu chuẩn an ninh tương tự như Chính phủ và các cơ quan liên quan đến Chính phủ, do chức năng của họ, như xử lý các thông tin nhạy cảm. Dự kiến sẽ có sự chuyển đổi trong môi trường của chính quyền địa phương, theo đó, họ sẽ phải áp dụng các hệ thống mới do sự ra mắt của hệ thống My Number trên toàn quốc. Chính phủ sẽ cung cấp sự hỗ trợ cần thiết, theo Đạo luật Cơ sở về An ninh mạng, để đảm bảo an ninh và sẽ xem xét, thực hiện các biện pháp cần thiết đối với các hệ thống thông tin của chính quyền địa phương, với mục tiêu tăng cường an ninh mạng cho hoạt động của hệ thống My Number.

Chính phủ sẽ thực hiện các biện pháp an ninh mạng, dựa trên việc xem xét các phương pháp tiếp cận hiệu quả, bao gồm phát triển các hệ thống hoạt động và các khuôn khổ hoạt động được cải thiện được xây dựng trên các biện pháp an ninh mạng tiên tiến; những biện pháp đó bao gồm cách ly các hệ thống xử lý các vấn đề bằng cách sử dụng số cá nhân được mô tả trong Đạo luật về Sử dụng số để xác định một cá nhân cụ thể trong thủ tục hành chính từ mạng Internet. Đồng thời, Chính phủ sẽ thúc đẩy cơ chế theo dõi và giám sát dựa trên kinh nghiệm, kiến thức kỹ thuật và chuyên môn, 25trong sự phối hợp với các cơ quan liên quan. Bên cạnh đó, với mục tiêu xây dựng cơ chế theo dõi và phát hiện để giám sát các hệ thống hoạt động địa phương và toàn quốc được kết nối với nhau của các hệ thống My Number, Chính phủ sẽ xây dựng các khuôn khổ với khả năng theo dõi và nhanh chóng phát hiện các sự cố mạng, chú ý đến việc chia sẻ thông tin với Đội Phối hợp Hoạt động An ninh Chính phủ (GSOC). Bên cạnh đó, về việc phối hợp giữa khu vực công – tư và liên chính phủ để xác thực khi ra mắt hệ thống My Number, Chính phủ sẽ nỗ lực cải thiện các môi trường cần thiết để cân bằng giữa việc tăng cường sự thân thiện với người dùng và đảm bảo an ninh.

Đối với các hệ thống điều khiển công nghiệp (ICS), có mối lo ngại rằng sự cố CNTT có thể gây ra sự gián đoạn trong việc đảm bảo an ninh và làm gián đoạn việc cung cấp các dịch vụ. Các đồng hồ đo thông minh trong các dịch vụ cung cấp điện và các hệ thống tự động trong nhà máy thuộc ngành công nghiệp hóa chất và dầu khí là những ví dụ điển hình. Để ICS trở nên bền bỉ hơn, cần tái khẳng định tầm quan trọng của việc đảm bảo an toàn cho ICS bằng cách triển khai các biện pháp an ninh thông tin để việc cung cấp dịch vụ liên tục được đảm bảo.

Bên cạnh đó, ICS đã chuyển sang mở cửa cho các công nghệ và mạng lưới, như sử dụng các sản phẩm tiêu chuẩn và sự ra đời của các giao thức tiêu chuẩn mở. Do đó, các hệ thống điều khiển mở đã trở nên phổ biến thay cho các thiết bị thông thường hiện có; mặt khác, nó đã tạo nên một nhu cầu cấp thiết đối với việc giải quyết các vấn đề lỗ hổng và truy cập trái phép. Trong nhiều trường hợp, Chính phủ sẽ thu thập, phân tích và phổ biến các thông tin hữu ích, như thông tin về lỗ hổng của ICS và các thiết bị ICS cũng như thông tin về các vụ tấn công mạng. Điều này được thực hiện dựa trên việc tham gia chia sẻ thông tin một cách hài hòa với việc chia sẻ các thông tin không phải ICS. Chính phủ sẽ thúc đẩy việc sử dụng các chương trình chứng nhận bên thứ ba được chấp thuận trên toàn thế giới, cho phép các đánh giá khách quan về mức độ thực hiện an ninh, xem xét các kỹ năng và kiến thức chuyên môn cần thiết cho việc thu mua và hoạt động của ICS và các thiết bị liên quan khác.

2.3 Các biện pháp bảo vệ các cơ quan chính phủ

Đối với các cơ quan chính phủ và các tổ chức liên quan đến chính phủ, Chính phủ đã đảm bảo an ninh mạng bằng cách thiết lập và sử dụng các tiêu chuẩn chung cho các cơ quan chính phủ. Đến nay, Chính phủ đã nỗ lực cải thiện tiêu chuẩn cho các biện pháp trên toàn chính phủ và phản ánh các thách thức cũng như các mối đe dọa mới nổi trong các tiêu chuẩn chung khi cần thiết.

Trong khi đó, môi trường xã hội được dự đoán sẽ thay đổi nhanh hơn vào năm 2020. Có vẻ các cuộc tấn công mạng nhằm vào các cơ quan chính phủ và các tổ chức liên quan đến chính phủ sẽ trở nên tinh vi và gian manh hơn trong khi các dịch vụ và sản phẩm liên quan đến CNTT sẽ trở nên đa dạng và có nhiều chức năng hơn. Với dự đoán về sự thay đổi nhanh chóng này, Chính phủ phải sẵn sàng đối mặt với sự gia tăng đáng kể trong các mối đe dọa mạng hoặc các thách thức không lường trước được đi kèm theo đó. Nhiều hệ thống thông tin hiện đang trong giai đoạn thiết kế hoặc phát triển sẽ đi vào hoạt động vào năm 2020 và sẽ cần thiết để duy trì an ninh trong nhiều năm tới. Trong khi đó, hầu hết các biện pháp an ninh mạng không thể hoạt động như một biện pháp khắc phục nhanh chóng đối với các mối đe dọa mạng. Trong bối cảnh 26này, cần lưu ý rằng, việc đảm bảo an ninh mạng trong năm 2020 sẽ không để đạt được nếu các hành động chủ động không được thực hiện tốt trước khi các mối đe dọa và thách thức mới nổi lên.

Trước hết các cơ quan chính phủ và các tổ chức liên quan đến chính phủ cần tiếp tục triển khai đầy đủ các biện pháp an ninh mạng hiện tại để có thể có những biện pháp đối phó nhanh chóng và linh hoạt để giải quyết không chỉ các thách thức và mối đe dọa hiện tại mà cả các mối đe dọa không lường trước được cùng các mối lo ngại khác. Chính phủ sẽ tập trung các nỗ lực hướng tới tương lai vào các ưu tiên được trình bày trong các phần tiếp theo; phối hợp chúng kịp thời theo các quy định, như các tiêu chuẩn chung đối với các cơ quan chính phủ; và đảm bảo thực hiện đầy đủ các quy định này bằng các biện pháp nhất định, như kiểm toán và học tập hàng ngày.

(1) Tăng cường khả năng phòng thủ của các hệ thống thông tin và thúc đẩy
các biện pháp đa lớp để chống lại các cuộc tấn công mạng ước đoán

Để đối phó với các cuộc tấn công mạng, như tấn công bằng email lừa đảo nhằm đánh cắp, phá hủy hay thay thế thông tin, Chính phủ sẽ thực hiện các biện pháp đa lớp trên quy mô toàn chính phủ dựa trên dự đoán về các cuộc tấn công mạng. Việc này phải bao gồm các kế hoạch dự phòng cho khả năng một tổ chức nhất định bị sử dụng làm bàn đạp cho tổ chức là mục tiêu ban đầu của một cuộc tấn công mạng. Trong khi thúc đẩy các biện pháp này, Chính phủ sẽ đảm bảo chúng dựa trên các tiêu chuẩn chung đối với các cơ quan chính phủ và sẽ tiến hành phân tích rủi ro để thực hiện trách nhiệm của họ, tối ưu hóa các phương pháp này như các cơ quan chính phủ toàn diện.

a). Ngăn chặn sự cố

Chính phủ sẽ triển khai mạnh mẽ các biện pháp ngăn chặn, như hỗ trợ cho các lỗ hổng phần mềm đã được công bố, mã độc đã được phát hiện và sử dụng chữ ký điện tử cũng như công nghệ xác thực, và sẽ có những điều chỉnh linh hoạt, kịp thời, tương ứng với các thay đổi của môi trường. Cụ thể hơn, Chính phủ sẽ đẩy mạnh: các chức năng thu thập và phân tích thông tin liên quan đến an ninh mạng, sự tham gia của các tổ chức trong hoạt động chia sẻ thông tin trên toàn chính phủ và trong việc hợp tác với khu vực tư. Chính phủ sẽ tăng cường quản lý rủi ro chuỗi cung ứng và các biện pháp khác để kết hợp việc đảm bảo an ninh mạng vào các giai đoạn thiết kế và lên kế hoạch của các hệ thống thông tin. Bên cạnh đó, Chính phủ sẽ điều chỉnh kịp thời và linh hoạt các phương pháp cho các hệ thống thông tin đang hoạt động, có xét đến các thay đổi về môi trường. Việc đánh giá và cải thiện tình trạng thực hiện các biện pháp an ninh thông tin sẽ được thực hiện thông qua các kiểm tra xâm nhập và các kiểm tra khác.

b) Ngăn chặn thiệt hại và sự lan rộng của thiệt hại

Việc ngăn chặn tất cả các sự cố mạng, như xâm nhập vào các hệ thống thông tin bằng các cuộc tấn công mạng khai thác các lỗ hổng chưa được biết đến hay sử dụng mã độc, bao gồm cả các cuộc tấn công zero-day, là rất khó khăn. Do đó, để ngăn chặn 27sự bùng nổ của các cuộc tấn công mạng này, Chính phủ kiên quyết đối phó với các cuộc tấn công mạng một cách hiệu quả và kịp thời để có được nhận thức tình huống sớm và hạn chế các thiệt hại của một cuộc tấn công mạng cũng như sự lan rộng của thiệt hại mà cuộc tấn công đó có thể gây ra.

Cụ thể hơn, Chính phủ sẽ tăng cường các chức năng của GSOC, bao quát toàn bộ các cơ quan chính phủ, để có thể phát hiện và phân tích các sự cố mạng; thúc đẩy Các đội Ứng cứu Sự cố Bảo mật Máy tính (CSIRT) cũng như nhận thức tình huống và các chức năng quản lý rủi ro của mọi cơ quan chính phủ; và tốc độ cũng như sự tinh vi của việc cung cấp và chia sẻ thông tin trong trường hợp xảy ra sự cố an ninh mạng. Đồng thời, Chính phủ sẽ triển khai các hoạt động đào tạo và diễn tập về sẵn sàng ứng phó sự cố và sau đó kết hợp các bài học từ các hoạt động đào tạo và diễn tập này trong các biện pháp và chính sách an ninh mạng; Chính phủ cũng sẽ hướng đến mục tiêu cải thiện khả năng của các nhân viên được giao nhiệm vụ về an ninh mạng cũng như sự phối hợp giữa các nhân viên này; và thực hiện đầy đủ các hoạt động ứng phó với các sự cố an ninh mạng theo hướng dẫn của các quan chức cấp cao của mỗi cơ quan chính phủ. Bên cạnh đó, để làm giảm rủi ro bằng cách cải thiện hiệu quả giám sát và các phương pháp khác, Chính phủ sẽ tiếp tục làm giảm và củng cố các kết nối với mạng Internet trong các hệ thống thông tin của chính phủ. Chính phủ sẽ nỗ lực: củng cố các hoạt động tìm hiểu sự thật trong các trường hợp khẩn cấp, bao gồm các sự cố nghiêm trọng liên quan đến một hoặc nhiều cơ quan chính phủ; chia sẻ kết quả phân tích tìm hiểu sự thật để ngăn chặn thiệt hại của sự cố lan rộng; và kết hợp chúng trong các biện pháp hiện có.

c) Giảm nhẹ thiệt hại

Để giảm nhẹ thiệt hại trong giai đoạn bắt đầu từ khi sự cố xuất hiện đến khi hoàn tất biện pháp khẩn cấp ban đầu, Chính phủ sẽ thực hiện các biện pháp cần thiết để ngăn chặn sự lan rộng của hoạt động xâm nhập và không cho phép tin tặc đạt được mục đích tấn công của chúng.

Cụ thể hơn, việc cải thiện các biện pháp ngăn chặn hoạt động truy cập trái phép vào thông tin cá nhân, thông tin nhạy cảm và các thông tin khác với yêu cầu bảo mật cao, như những thông tin nếu bị rò rỉ sẽ có thể gây ra các tác động tiêu cực nghiêm trọng đến con người, xã hội…, sẽ được xem xét đặc biệt. Trong bối cảnh này, Chính phủ sẽ nỗ lực đạt được mức độ quản lý thông tin đáng tin cậy hơn, bao gồm cách ly các hệ thống thông tin, khi cần thiết, theo bản chất của các chức năng quản lý cũng như bản chất và số lượng thông tin được xử lý; và việc sử dụng các quy chế hoạt động. Chính phủ cũng sẽ đẩy nhanh các nỗ lực triển khai các biện pháp “phòng thủ theo chiều sâu” trước các cuộc tấn công có mục tiêu, bao gồm các cuộc tấn công liên quan đến tính sẵn sàng hoạt động của hệ thống, như sập hệ thống. Bên cạnh đó, Chính phủ sẽ nỗ lực thiết lập các phương pháp để đánh giá các ưu tiên liên quan đến: việc tăng cường hoạt động ứng phó sự cố đối với các rủi ro khác nhau và tác động của chúng; và các biện pháp tập trung cho các hệ thống thông tin.

(2) Đạt được các khả năng ứng phó tổ chức mạnh mẽ hơn

Chính phủ sẽ tìm cách đạt được các khả năng ứng phó tổ chức mạnh mẽ hơn có thể mang lại các hoạt động ứng phó nhanh chóng và linh hoạt hơn trước các thay đổi đang tăng nhanh.

Sau đây là ví dụ về các hoạt động dự kiến: xem xét và cải thiện cơ cấu tổ chức và
các khuôn khổ để tăng cường các biện pháp liên quan đến các cơ quan chính phủ và các tổ chức liên quan đến chính phủ, bằng cách triển khai tự đánh giá định kỳ, đánh giá quản lý từ quan điểm độc lập cùng các hoạt động đánh giá khác; và thúc đẩy các biện pháp có tổ chức, dựa trên rủi ro để quản lý các hệ thống thông tin, như xây dựng các chính sách quản lý rủi ro, thiết lập kế hoạch dự phòng dựa trên sự đồng thuận giữa các bên liên quan về các tình huống không lường trước được… Vì không có “thuốc trị bách bệnh” để ứng phó với các mối đe dọa chưa được biết đến và các lo ngại khác trên không gian mạng, Chính phủ sẽ lên kế hoạch để thành lập một cộng đồng đóng góp cho hoạt động chia sẻ thông tin trên toàn chính phủ về các sự cố mạng và các đối thoại chủ động. Bên cạnh đó, vì nhân lực là chìa khóa cho khả năng ứng phó có tổ chức, Chính phủ sẽ nỗ lực đảm bảo nâng cao hiểu biết về an ninh mạng cho toàn bộ nhân viên, bao gồm cả các quan chức quản lý cấp cao. Đồng thời, Chính phủ sẽ nuôi dưỡng và tuyển dụng các nhân tài về không gian mạng, những người sẽ đảm nhận vai trò quan trọng trong việc thúc đẩy các khả năng ứng phó của các cơ quan chính phủ và các tổ chức có liên quan đến chính phủ; điều này sẽ được thực hiện bằng cách sử dụng trình độ cùng các kỹ năng đặc biệt khác làm một trong những tiêu chí để đánh giá năng lực của các cá nhân.

(3) Thích nghi với tiến bộ công nghệ và thay đổi trong tác phong làm việc

Để thực hiện các chức năng quản lý theo một cách thức phù hợp với sự tinh tế và
hợp lý hóa các vấn đề hành chính bằng cách sử dụng các sản phẩm và dịch vụ CNTT đa dạng và đa chức năng, vào theo cách thức có thể đáp ứng các yêu cầu của kỷ nguyên số, Chính phủ sẽ nỗ lực ngăn chặn các sự cố và sự suy thoái của các tiêu chuẩn bảo mật do việc sử dụng không phù hợp các dịch vụ và sản phẩm CNTT mới.

Cụ thể hơn, Chính phủ đang lên kế hoạch thu thập dữ liệu trạng thái trên khắp chính phủ liên quan đến việc áp dụng các dịch vụ và sản phẩm CNTT mới cũng như thông tin về các biện pháp được triển khai; và thiết lập, triển khai các biện pháp chung trên các cơ quan chính phủ, có tính đến đặc điểm của các dịch vụ và sản phẩm CNTT này. Về các thay đổi trong phong cách thực hiện các chức năng quản lý dựa trên việc sử dụng CNTT, các cơ quan chính phủ và các tổ chức có liên quan đến chính phủ sẽ hợp tác chặt chẽ để thích ứng với tác phong làm việc này một cách phù hợp, dựa trên an ninh mạng được đảm bảo.

(4) Tăng cường toàn diện các biện pháp thông qua việc mở rộng quy mô
giám sát cùng các hoạt động khác

Để tăng cường an ninh mạng trên toàn bộ các cơ quan chính phủ, Chính phủ sẽ hướng đến mục tiêu tăng cường toàn diện các biện pháp được thực hiện bởi cáccơ quan quản lý tích hợp và các doanh nghiệp đặc biệt, hợp tác chặt chẽ với các cơ quan 29chính phủ để thực hiện các chức năng công cộng của họ.

Cụ thể hơn, Chính phủ sẽ: cải thiện khả năng ứng phó sự cố của cáctổ chức này; tăng cường việc đánh giá các tổ chức này bởi các bộ có thẩm quyền; và tăng cường an ninh mạng tại các tổ chức này, phù hợp với các biện pháp của chính phủ (được mô tả từ mục (1) đến (3)), có xét đến đặc điểm của họ. Chính phủ sẽ dần thêm các tổ chức này vào số các đối tượng chịu sự giám sát của GSOC, có cân nhắc việc chia sẻ gánh nặng giữa các đối tượng thụ hưởng; bao gồm các tổ chức là đối tượng của các hoạt động đánh giá và tìm hiểu sự thật mà NISC tiến hành như một nhiệm vụ do Cơ quan đầu não Chiến lược An ninh mạng giao cho. Liên quan đến các biện pháp được đề cập ở trên, Chính phủ sẽ nhanh chóng xem xét các điều chỉnh cần thiết đối với các luật liên quan, với quan điểm sắp xếp sự phối hợp với các tổ chức liên quan có các kỹ năng và kiến thức chuyên môn và sẽ thực hiện các hành động phù hợp, khi cần thiết.

(Còn lại)

Ban biên tập

(CĐ 20) Kỳ 6 – Các Biện pháp, Chính sách giúp đạt được mục tiêu Chiến lược ANM Nhật Bản (P1)

(CĐ 20) Kỳ 6 – Các Biện pháp, Chính sách giúp đạt được mục tiêu Chiến lược ANM Nhật Bản (P1)

Sau đây là các mục tiêu và phương hướng của chính sách dự kiến sẽ được thực hiện trong ba năm tới, với mục đích tạo hiệu quả cho chiến lược này. Các mục tiêu và...
(CĐ 20) Kỳ 5 – Nguyên tắc cơ bản trong Chiến lược ANM Nhật Bản

(CĐ 20) Kỳ 5 – Nguyên tắc cơ bản trong Chiến lược ANM Nhật Bản

Nhật Bản khẳng định những nguyên tắc cơ bản sau đây trong việc hoạch định và thực thi chính sách để đạt được mục tiêu của chiến lược này. Nguyên tắc 1. Đảm bảo Dòng...
(CĐ 20) Kỳ 4 – Tầm nhìn và Mục tiêu trong Chiến lược ANM Nhật Bản

(CĐ 20) Kỳ 4 – Tầm nhìn và Mục tiêu trong Chiến lược ANM Nhật Bản

Để phù hợp với Đạo luật Cơ sở về An ninh mạng và dựa trên sự hiểu biết về tình hình hiện tại được mô tả trong chương trước, Nhật Bản đặt mục tiêu của chiến lược này...
Bài viết, video, hình ảnh đóng góp cho chuyên mục vui lòng gửi về [email protected]
Thích và chia sẻ bài này trên: