Đại dịch COVID-19 đã gây căng thẳng rất lớn cho các chuyên gia bảo mật thông tin. Bối cảnh mối đe dọa vốn đã phức tạp theo từng phút giời đây lại thêm những thách thức còn đáng sợ hơn khi ngân sách cho an ninh mạng đang trở nên eo hẹp và hàng triệu người lao động chuyển sang làm việc từ xa toàn thời gian hoặc bán thời gian.
Các tổ chức đang gặp sai lầm ở đâu trong việc quản lý lỗ hổng bảo mật?
Ngay từ đầu, quá nhiều tổ chức đã có ý tưởng lỗi thời về việc quản lý lỗ hổng bảo mật. Nó không chỉ đơn giản là quét những mối đe dọa cho các mạng của bạn.
Một cách tiếp cận toàn diện để quản lý lỗ hổng là điều quan trọng, bao gồm xác định, báo cáo, đánh giá và sắp xếp thứ tự ưu tiên. Thay vì chỉ đơn thuần là quét các lỗ hổng bảo mật thì cách tiếp cận toàn diện để quản lý lỗ hổng đòi hỏi bạn phải thấy được các lỗ hổng đó có nguy cơ bị khai thác như thế nào và hậu quả nào có thể xảy ra.
Sau đó chính xác khi nói rằng quản lý lỗ hổng bảo mật (được thực thi đúng cách) mang đến một bức tranh tiếp cận lớn trong đó tất cả các khía cạnh hoạt động phải hài hòa để giảm thiểu rủi ro cho những tài sản quan trọng của doanh nghiệp. Đó là mục tiêu mà tất cả chúng ta nên phấn đấu.
Tuy nhiên, ngay từ những nguyên tắc đúng đắn đầu tiên, bạn có thể vẫn thất bại khi thực hiện. Sau đây là ba trong số những vấn đề quan trọng nhất mà các tổ chức phải đối mặt khi quản lý các lỗ hổng.
Không ưu tiên đúng mức các mối đe dọa
Không có khả năng xếp hạng sự phơi nhiễm là một trong những vấn đề gây tổn hại nhất mà các tổ chức hiện đang phải đối mặt trong bối cảnh quản lý lỗ hổng bảo mật. Quá nhiều tổ chức xác định các lỗ hổng bảo mật thông qua việc quét, sau đó tiến tới giai đoạn trực tiếp khắc phục. Ở một mức độ nào đó, sự cấp bách này là điều dễ hiểu. Tuy nhiên, cuối cùng thì đây vẫn là cách thiển cận và tạo ra nhiều rủi ro hơn.
Các tổ chức quan tâm bảo mật dành nhiều sự tập trung cho các giai đoạn ưu tiên và báo cáo việc quản lý lỗ hổng. Việc không sắp xếp thứ tự ưu tiên một cách hiệu quả có thể dẫn đến lãng phí thời gian và nguồn lực khi các nhóm bảo mật "chạy đua" xử lý các vấn đề không gây rủi ro thực sự đối với những tài sản quan trọng của doanh nghiệp.
Thậm chí tệ hơn là nó khiến các tổ chức rơi vào nhiều nguy cơ dễ bị tổn hại nhất. Cách tốt hơn là tập trung vào 1% phơi nhiễm (exposure) có thể bị khai thác. Khi được thực hiện chính xác, cấp độ này có thể giúp doanh nghiệp loại bỏ 99% rủi ro đối với các hệ thống nhạy cảm.
Cách tiếp cận ưu tiên tốt nhất này là gì? Sử dụng giải pháp quản lý bản vá tấn công tiên tiến có khả năng ưu tiên các sự cố phơi nhiễm bằng cách sử dụng tình huống nguy cấp, rủi ro tập trung vào tấn công. Đây là một công cụ vượt khỏi phạm vi tính điểm CVSS (hệ thống chấm điểm lỗ hổng) hạn chế và cho thấy toàn bộ bức tranh về nguy cơ lỗ hổng bị khai thác và hậu quả có thể xảy ra.
Không sử dụng cách tiếp cận liên tục
Một chương trình quản lý lỗ hổng bảo mật hiệu quả cần được thực hiện thay vì theo từng đợt. Nếu các doanh nghiệp không tiếp cận liên tục thì họ sẽ gặp khó khăn trong việc kiểm soát xu hướng của các lỗ hổng và tạo thành "lỗ hổng chờ". Đây là một vấn đề nghiêm trọng.
Do việc cập nhật các lỗ hổng bảo mật mới khó khăn nên liên tục phải xử lý vấn đề bảo mật tồn đọng có thể khiến cho toàn bộ tình huống không thể giải quyết được. Thay vì quét và khắc phục không mang tính thường xuyên, hãy sử dụng phương pháp tiếp cận liên tục, tập trung vào việc tự động xác định lỗ hổng. Đây là một trong những chìa khóa để phát triển một thế trận an ninh được xác định bằng sự cải tiến.
Giao tiếp và cơ cấu tổ chức không rõ ràng
Khi các nhóm bảo mật không có các đường dây liên lạc rõ ràng cũng như các vấn đề về cơ cấu tổ chức phù hợp thì gần như chắc chắn sẽ để lọt các khe hở. Thông thường, các thành viên trong nhóm không xác định được vai trò của mình và họ không hiểu mình phù hợp với vị trí nào trong khung hình quản lý lỗ hổng tổng thể, đặc biệt là về trách nhiệm.
Khi vai trò của mỗi người được định rõ và trách nhiệm được gắn kết rõ ràng thì họ có thể làm việc và cộng tác hiệu quả. Thay vì làm các công việc cô lập và bỏ lỡ bức tranh tổng thể, mỗi người có thể nỗ lực để hoàn thành trách nhiệm và đạt được các mục tiêu cụ thể của mình, đồng thời họ sẽ nhận rõ được mối tương quan trong công việc của mình cùng với vai trò và trách nhiệm của những người khác.
Nhu cầu giao tiếp này cũng cần mở rộng đến các cấp lãnh đạo (C-suite). Điều quan trọng là ban lãnh đạo của công ty hiểu được và đầu tư vào chương trình này, thấy rằng sức mạnh của an ninh mạng đã trở thành mục tiêu chiến lược quan trọng như thế nào.
Bài học kinh nghiệm
Hậu quả của những thất bại trong quản lý hiệu quả các lỗ hổng an ninh mạng chưa bao giờ cao hơn hiện nay. Một xâm phạm dữ liệu có thể dẫn đến thiệt hại về uy tín, tê liệt tài chính và số lượng các vi phạm tiếp tục tăng mà không có dấu hiệu giảm xuống hàng năm. Thực sự, lĩnh vực quản lý lỗ hổng bảo mật đã không còn là "một khoản chi phí CNTT khác" nữa, nó phải trở thành mục tiêu kinh doanh chính.
Để biến điều đó thành hiện thực, cần phải hiểu rằng quản lý lỗ hổng bảo mật là một quá trình liên tục, gồm nhiều giai đoạn. Nó cũng rất cần thiết để xử lý các vấn đề mà nhiều bộ phận CNTT khác đang mắc phải như: Mức độ ưu tiên kém, cách tiếp cận phân đoạn trong quản lý lỗ hổng và thiếu sự tổ chức, giao tiếp giữa các nhóm với những người lãnh đạo.
Cách tiếp cận đúng có thể tránh được rất lớn những cạm bẫy này. Như đã đề cập ở trên, điều tốt nhất bạn có thể làm là kết hợp các công cụ quản lý lỗ hổng mạnh mẽ cung cấp hướng dẫn ưu tiên phù hợp và bối cảnh rủi ro nghiêm trọng.
Một khi chiến lược cơ bản của bạn phù hợp và được trang bị các công cụ phù hợp thì doanh nghiệp của bạn sẽ vượt xa hầu hết các đối thủ cạnh tranh về việc bảo vệ tài sản có giá trị nhất của mình.
Tại Việt Nam, trong các doanh nghiệp, nguy cơ từ lỗ hổng chưa biết vẫn chưa được kiểm tra để ngăn chặn một cách chuyên nghiệp. Nhiều đơn vị chưa kịp trang bị giải pháp dò quét tổng thể để phát hiện các lỗ hổng bảo mật đang bị lợi dụng, các hoạt động đáng ngờ hay những truy nhập không được phép đang chạy trên mạng nội bộ. Phần lớn chúng ta vẫn xử lý theo kiểu "thủng đâu vá đó" khiến cho công tác đảm bảo an toàn thông tin rơi vào thế bị động, đầu tư dàn trải nhưng nguy cơ mất an toàn thông tin không hề giảm./.
