Queensland (Australia): Nguy cơ rủi ro an ninh mạng từ bên thứ ba

(BKTO) - Trong bối cảnh các cuộc tấn công mạng ngày càng gia tăng cả về tần suất lẫn mức độ tinh vi, an ninh mạng đang trở thành thách thức lớn đối với khu vực công. Báo cáo do Cơ quan Kiểm toán Queensland (QAO) công bố đã tập trung đánh giá hiệu quả nhận diện và quản lý rủi ro an ninh mạng từ bên thứ ba tại các đơn vị thuộc khu vực công.

Cuộc kiểm toán được thực hiện tại 3 đơn vị gồm một cơ quan chính phủ tiểu bang, một cơ quan theo luật định và một chính quyền địa phương. Để bảo đảm an toàn và tránh làm lộ các điểm yếu bảo mật, danh tính cụ thể của các đơn vị này không được công bố. Bên cạnh đó, báo cáo cũng xem xét vai trò lãnh đạo và năng lực quản lý rủi ro mạng của Bộ Dịch vụ Khách hàng, Dữ liệu Mở, Doanh nghiệp Nhỏ và Gia đình (CDSB) cùng Bộ Nhà ở và Công trình Công cộng (DHPW) trên phạm vi toàn khu vực công.

Theo QAO, việc các cơ quan ngày càng sử dụng dịch vụ của bên thứ ba như nhà cung cấp công nghệ thông tin (CNTT), công ty kế toán, đơn vị tiếp thị hay tư vấn đã giúp tối ưu hóa hoạt động và thúc đẩy đổi mới số. Tuy nhiên, điều này cũng kéo theo nhiều rủi ro khi các đối tác bên ngoài được cấp quyền truy cập vào hệ thống CNTT nội bộ. Nếu thiếu quy trình quản lý rủi ro, quản trị hợp đồng và cơ chế kiểm soát bảo mật chặt chẽ, các cơ quan có thể trở thành mục tiêu của các cuộc tấn công mạng.

Kết quả kiểm toán cho thấy cả 3 đơn vị được khảo sát đều cần khẩn trương củng cố các biện pháp kiểm soát an ninh mạng. Qua các thử nghiệm thực tế, đoàn kiểm toán xác định các biện pháp bảo mật hiện hành chưa đủ hiệu quả để ngăn chặn hành vi xâm nhập từ bên thứ ba. Đoàn kiểm toán đã có thể lấy được mật khẩu, truy cập hệ thống và trích xuất thông tin nhạy cảm vượt quá phạm vi cho phép.

Đặc biệt, tại 2 trong số 3 đơn vị được kiểm toán, đoàn kiểm toán đã vượt qua các lớp bảo vệ để giành được quyền truy cập cao nhất vào môi trường CNTT. Điều này cho thấy mức độ tổn thương nghiêm trọng trong hệ thống kiểm soát bảo mật hiện nay.

Báo cáo cũng chỉ ra rằng các đơn vị chưa nhận diện và đánh giá đầy đủ rủi ro an ninh mạng từ bên thứ ba. Việc không hiểu rõ mức độ tổn thương khiến các cơ quan chưa xây dựng được các biện pháp giảm thiểu tương xứng, đồng thời không nắm bắt đầy đủ quy mô rủi ro trong chuỗi cung ứng.

Một hạn chế khác được QAO nhấn mạnh là công tác mua sắm và quản lý hợp đồng còn thiếu chặt chẽ. Trong số 36 hợp đồng được rà soát, chỉ có 2 hợp đồng yêu cầu bên thứ ba phải báo cáo về các sự cố và lỗ hổng an ninh mạng. Theo báo cáo, điều này khiến các cơ quan không thể kiểm soát hiệu quả các nguy cơ tiềm ẩn phát sinh từ đối tác cung cấp dịch vụ.

Đối với vai trò điều phối ở cấp toàn khu vực công, báo cáo cho rằng CDSB dù đã thành lập các diễn đàn chia sẻ thông tin nhưng chưa chủ động đánh giá và giám sát năng lực an ninh mạng từ bên thứ ba. Việc xây dựng khung quản lý chung vẫn chậm, mặc dù các rủi ro này đã được Tổng cục Tín hiệu Úc cảnh báo từ năm 2021.

Trong khi đó, DHPW đã ban hành hướng dẫn quản lý rủi ro chuỗi cung ứng phù hợp với thông lệ tốt, song chưa có cơ chế theo dõi việc các đơn vị công có thực sự áp dụng các hướng dẫn này trong quy trình mua sắm hay không.

Từ những tồn tại được phát hiện, QAO khuyến nghị CDSB tăng cường vai trò lãnh đạo và xây dựng năng lực chuyên sâu để hỗ trợ các đơn vị quản lý rủi ro hiệu quả hơn. Đối với DHPW, cần đánh giá việc áp dụng các hướng dẫn mua sắm và cung cấp tư vấn chuyên môn khi cần thiết.

Đối với tất cả các đơn vị chính phủ cấp tiểu bang và địa phương, QAO khuyến nghị cần chủ động nhận diện, đánh giá và giám sát rủi ro an ninh mạng từ bên thứ ba; đồng thời siết chặt quản lý hợp đồng, hoạt động mua sắm và thường xuyên rà soát, cập nhật các biện pháp kiểm soát bảo mật CNTT để ứng phó với các nguy cơ mới.

Riêng với 3 đơn vị được kiểm toán trực tiếp, đoàn kiểm toán đã gửi thư quản lý chi tiết kèm các khuyến nghị cụ thể nhằm khắc phục những lỗ hổng bảo mật đã được phát hiện./.

(Theo qao.qld.gov.au)