Ứng phó sự cố an toàn thông tin: Bài toán nhân lực?

Bộ trưởng cũng nhấn mạnh rằng an toàn, an ninh không gian mạng là điều kiện cơ bản, là yếu tố sống còn để thực hiện thành công sự chuyển đổi đó.

Hiện nay, Việt Nam đang có một số nhóm ứng phó khẩn cấp máy tính (CERT – Computer Emergency Response Team) có trách nhiệm điều phối các hoạt động ứng cứu sự cố máy tính trong toàn quốc và cảnh báo các vấn đề an toàn mạng máy tính. Trong đó Trung tâm Ứng cứu khẩn cấp máy tính Việt Nam (VNCERT) là nhóm ứng phó đầu tiên thành lập từ năm 2005 theo quyết định 339/2005/QĐ-TTG của Thủ tướng Chính phủ và trực thuộc Bộ TT&TT.

Sau đó vài năm, Bộ TT&TT ra thông tư 27/2011/TT-BTTTT (đã được thay thế bằng 20/2017/TT-BTTTT) quy định về điều phối các hoạt động ứng cứu sự cố mạng internet trong đó đề cập đến việc các bộ, ban ngành, cơ quan chính phủ, và các doanh nghiệp lớn cần tham gia vào mạng lưới ứng cứu; thành lập các trung tâm CERT tại các tỉnh thành và kết nối các trung tâm lại với nhau. Mô hình này được học tập theo kinh nghiệm của Nhật Bản, theo đó có một trung tâm ứng cứu quốc gia và dưới đó là các trung tâm ứng cứu của các bộ ngành và doanh nghiệp lớn như Toshiba làm nhiệm vụ bảo vệ hệ thống của riêng họ và có thể cung cấp dịch vụ ra ngoài để bảo vệ cho các hệ thống và công ty khác. Đây cũng là một xu thế tất yếu của thế giới trước sự phát triển mạnh mẽ của mạng máy tính và những nguy cơ ngày càng gia tăng về An toàn thông tin (ATTT).

Mặc dù đến nay mạng lưới ứng cứu sự cố an toàn mạng của Việt Nam đã hình thành hơn 130 đơn vị thành viên nhưng theo đánh giá từ một số chuyên gia và doanh nghiệp thì chúng vẫn đang hoạt động rời rạc, ít kết nối và chưa thực sự chuyên nghiệp. Chỉ có 3 bộ thực sự có cơ quan chuyên trách về ATTT là Bộ TT&TT, Bộ Quốc phòng và Bộ Công an, còn về phía doanh nghiệp hiện mới chỉ có Viettel, CMC và FPT có các trung tâm ứng phó CERT.

Theo TS. Lê Quang Minh, Trưởng Phòng nghiên cứu An toàn Hệ thống Thông tin, Viện công nghệ thông tin – ĐHQGHN “Nhiều bộ ngành hoặc địa phương không có đủ nhân lực để đầu tư một trung tâm ứng cứu như vậy, họ thường chỉ có các trung tâm công nghệ thông tin (CNTT) trong đó gồm bộ phận về ATTT, nhưng số cán bộ chuyên trách vẫn còn rất thiếu”. Không chỉ thiếu về số lượng, trong cơ cấu lực lượng đảm bảo ATTT ở các bộ ngành phần lớn là những người làm CNTT có kinh nghiệm chuyển sang chuyên trách, đòi hỏi các cán bộ phải được đào tạo thêm kỹ năng, nghiệp vụ mới.

Năm 2014, Thủ tướng Chính phủ đã ban hành Quyết định 99/QĐ-TTg phê duyệt Đề án “Đào tạo và phát triển nguồn nhân lực an toàn, an ninh thông tin đến năm 2020” (Đề án 99) với mục tiêu sẽ đưa 300 giảng viên, nghiên cứu viên đi đào tạo dài hạn bậc thạc sĩ, tiến sĩ về ATTT ở nước ngoài; đưa 1.500 lượt cán bộ chuyên trách về ATTT đi đào tạo ngắn hạn ở nước ngoài, đào tạo 2.000 học viên có trình độ đại học và trên đại học về ATTT chất lượng cao; tập huấn ngắn hạn trong nước về ATTT cho 10.000 lượt cán bộ làm về ATTT và CNTT tại các cơ quan nhà nước.

Hiện nay, Việt Nam có 9 cơ sở trọng điểm đào tạo chuyên ngành ATTT gồm: Học viện Kỹ thuật Mật mã, Học viện Kỹ thuật Quân sự, Học viện An ninh Nhân dân, Học viện Công nghệ Bưu chính Viễn thông, trường Đại học Bách khoa Hà Nội, trường Đại học CNTT thuộc ĐHQGHCM, trường Đại học Công nghệ thuộc ĐHGQHN, trường Đại học Bách khoa thuộc Đại học Đà Nẵng và trường Đại học Công nghệ Thông tin và Truyền thông thuộc ĐH Thái Nguyên. Trong đề án 99 có đề cập đến việc các cơ sở đào tạo trên có thể xây dựng dự án về nâng cao chất lượng nghiên cứu, đào tạo ANTT trị giá 35 tỷ, nhưng theo anh Minh, “mặc dù đã triển khai gần 5 năm nhưng việc tiến hành đầu tư theo đề án vẫn dường như chưa thực sự được triển khai”. Anh cho biết, tại nơi anh đang nghiên cứu và giảng dạy là trường Đại học Công nghệ - ĐHQGHN cũng đã xây dựng xong đề án về “Phòng thí nghiệm ATTT” nhưng đang bị dừng lại ở các cấp cao hơn.

Việc đưa chuyên gia Việt Nam đi học tập nước ngoài theo đề án 99 cũng được đặt dấu hỏi về số lượng thực hiện và tính hiệu quả của nó. Dường như các bộ ngành, theo anh Minh nhận xét, đều đang tự “mạnh ai nấy chạy” bằng việc sử dụng các nguồn lực khác nhau. Bộ tư lệnh tác chiến không gian mạng và Ban cơ yếu chính phủ thuộc Bộ Quốc phòng được coi là các đơn vị mạnh nhất về ATTT, họ đã có khá nhiều cán bộ được cử đi học ở Nga dưới dạng trao đổi chuyên gia từ 2-3 tháng. “Nhưng dường như cơ hội đó không được mở ra đồng đều cho hệ dân sự”, anh Minh chia sẻ. “Những giảng viên như chúng tôi ở ĐHQGHN rất mong muốn được trao đổi để nâng cao trình độ và mối quan hệ hợp tác với các đối tác nước ngoài”.

Một vấn đề khác được đề cập về việc đào tạo nhân lực ATTT là việc bên cạnh 9 trường trọng điểm kể trên có những chương trình bám sát với khung chuẩn ATTT quốc tế, các cơ sở đào tạo khác tại Việt Nam mở ngành ATTT hoặc đào tạo CNTT với chất lượng không đồng đều, thường thiên về việc phát triển phần mềm hoặc quản trị mạng hơn là các kỹ năng ATTT. Điều này có thể nhận ra khi đối chiếu sơ bộ các khung chương trình với Chuẩn kỹ năng nhân lực CNTT chuyên nghiệp được quy định trong Thông tư 11/2015/TT-BTTTT.

“Rất nhiều trường cạnh tranh để mở các ngành đang “hot” nhằm tuyển sinh mặc dù đó không phải là thế mạnh của họ, điều này khá nguy hiểm bởi lực lượng ATTT của chúng ta đang thiếu và sẽ bị suy yếu nếu chất lượng nguồn nhân lực mới không đáp ứng được nhu cầu”, Anh Minh cảnh báo.

Câu chuyện của khối doanh nghiệp về ATTT cũng không dễ dàng hơn. Anh Hà Thế Phương, Phó Tổng Giám đốc CMC InfoSec, một công ty mới mở dịch vụ Trung tâm Điều hành An ninh mạng (Security Operation Center – SOC, là một hình thức phát triển lên từ CERT) cho biết Trung tâm của CMC hiện có khoảng 50 người làm về kỹ thuật, trong đó nhóm nghiên cứu phát triển với gần 20 người, hơn một nửa trong đó ở cấp độ Senior. “Mô hình dịch vụ thuê ngoài SOC còn khá mới ở Việt Nam nên hầu như không có sẵn để tuyển dụng. Chúng tôi vừa phải đào tạo người bằng công việc trực tiếp vừa phải dần dần mở thêm nhân lực”, Anh Phương cho biết.

Các CERT và SOC bảo vệ hệ thống máy tính bằng việc liên tục theo dõi, đánh giá nguy cơ và đối phó với các sự cố. Để các trung tâm này hoạt động 24/7 và có thể phản ứng được với các cuộc tấn công bất ngờ chỉ trong vài giây, hệ thống thường phải được tích hợp tự động hóa hoặc sử dụng trí tuệ nhân tạo (AI), do đó chúng đòi hỏi nhu cầu thiết yếu về dữ liệu.

Việc giải quyết bài toán dữ liệu không phải câu chuyện đơn giản, anh Phương chia sẻ: “Chúng tôi thường hợp tác với các doanh nghiệp hoạt động tương tự ở nước ngoài mà ít khi chọn làm việc với trường đại học trong nước do việc nghiên cứu ở Việt Nam còn nhiều hạn chế cả về học thuật và lý thuyết.

Nhìn lại, nếu các trường ĐH đào tạo trọng điểm về ATTT không có đủ giảng viên, cán bộ chuyên trách trình độ cao hoặc cơ sở vật chất tốt để thực hành nghiên cứu (ví dụ trên các cuộc tấn công thật hoặc có kiểm soát tại hệ thống phòng lab của trường), thì khả năng hợp tác với các thành viên khác trong mạng lưới ứng cứu hoặc khả năng cung cấp nhân lực ATTT đủ tiêu chuẩn cho thị trường sẽ có nguy cơ ngày càng giảm.