Australia: Khẩn trương "vá" lỗ hổng an ninh mạng trước kỳ điều tra dân số

(BKTO) - Cơ quan Kiểm toán quốc gia Australia (ANAO) vừa công bố báo cáo đánh giá mức độ sẵn sàng an ninh mạng phục vụ kỳ điều tra dân số năm 2026 của Cơ quan Thống kê Australia (ABS). Báo cáo kiểm toán cho biết, bên cạnh nhiều biện pháp kiểm soát đã được triển khai, ABS vẫn cần khẩn trương khắc phục các lỗ hổng trọng yếu để bảo đảm an toàn hệ thống trước thời điểm vận hành chính thức.

Đánh giá sớm để kịp thời nhận diện rủi ro

Các cơ quan thuộc Chính phủ Australia luôn được yêu cầu duy trì các tiêu chuẩn an ninh mạng nghiêm ngặt do đây là nơi tiếp nhận, xử lý và lưu trữ một số nguồn dữ liệu nhạy cảm của quốc gia nhằm bảo đảm hoạt động liên tục của các dịch vụ công thiết yếu. Trong bối cảnh đó, kỳ điều tra dân số năm 2026 được xác định là một sự kiện quốc gia có quy mô và ý nghĩa đặc biệt quan trọng.

Với tỷ lệ người dân hoàn thành tờ khai trực tuyến dự kiến đạt tới 85%, việc bảo đảm mức độ sẵn sàng an ninh mạng cho toàn bộ hệ thống công nghệ thông tin và truyền thông trở thành nhiệm vụ trọng yếu. Nhằm cung cấp cho Quốc hội những đánh giá kịp thời, ANAO đã tiến hành cuộc kiểm toán để rà soát năng lực tổ chức an ninh mạng của ABS.

Khác với các cuộc đánh giá được thực hiện sau khi hệ thống đi vào vận hành, cuộc kiểm toán này được thiết kế theo hình thức đánh giá cuốn chiếu ngay trong giai đoạn triển khai. Cách tiếp cận này cho phép các phát hiện kiểm toán được phản hồi và điều chỉnh trực tiếp vào công tác chuẩn bị trước khi kỳ điều tra dân số chính thức bắt đầu.

Về phạm vi, cuộc kiểm toán tập trung vào các hoạt động của ABS trong việc nhận diện, đánh giá và giảm thiểu rủi ro an ninh mạng phục vụ riêng cho kỳ điều tra dân số năm 2026. ANAO không thực hiện kiểm tra trực tiếp hoặc đưa ra bảo đảm về hiệu quả vận hành thực tế của các biện pháp kiểm soát an ninh mạng thuộc hệ thống công nghệ thông tin. 

Cuộc kiểm toán cũng không xem xét các hoạt động an ninh mạng không liên quan đến kỳ điều tra dân số, đồng thời loại trừ các nội dung khác như chất lượng dữ liệu hay quyền riêng tư của người dân. Trọng tâm đánh giá của cuộc kiểm toán chỉ xoay quanh một tiêu chí cốt lõi. Đó là liệu ABS đã thiết kế và triển khai được các chốt kiểm soát hiệu quả nhằm giảm thiểu rủi ro an ninh mạng cho sự kiện này hay chưa?

Kết luận chung của cuộc kiểm toán cho thấy ABS cần khẩn trương xử lý các lỗ hổng an ninh mạng cốt lõi còn tồn đọng, đồng thời bảo đảm hoàn thành đúng hạn các hoạt động trọng yếu trước thời điểm vận hành.

Theo báo cáo, ABS đã phản ứng nhanh và liên tục xử lý các lỗ hổng trong suốt quá trình kiểm toán. Tuy nhiên, quá trình khắc phục này tiêu tốn nguồn lực đáng kể, đòi hỏi phải huy động đội ngũ chuyên gia an ninh mạng với quy mô lớn trong thời gian dài hơn dự kiến.

ANAO cho rằng nhiều vấn đề có thể đã được phát hiện và xử lý sớm hơn nếu ABS thực hiện đánh giá rủi ro toàn diện trên toàn bộ hệ thống công nghệ thông tin ngay từ đầu, đồng thời rút kinh nghiệm một cách hệ thống từ Báo cáo kiểm toán số 16 giai đoạn 2020-2021 về công tác lập kế hoạch cho kỳ điều tra dân số năm 2021.

Nhiều khoảng trống trong quản trị và kiểm soát an ninh mạng

Đi sâu vào các phát hiện chi tiết, ANAO chỉ ra nhiều tồn tại trong quy trình nhận diện, đánh giá và quản trị rủi ro của ABS.

Đối với quy trình nhận diện và đánh giá rủi ro, mặc dù ABS đã triển khai các bước cơ bản nhưng việc cập nhật thông tin chưa đầy đủ và kịp thời, làm giảm chất lượng báo cáo gửi tới các Ủy ban giám sát. Báo cáo cũng ghi nhận sự thiếu đồng bộ giữa hoạt động đánh giá rủi ro ở cấp chiến lược và cấp chương trình. Đáng chú ý, quy trình phân công cán bộ chịu trách nhiệm đối với rủi ro chưa được văn bản hóa, dẫn đến tình trạng rủi ro an ninh mạng ở cấp chương trình chưa có chủ thể chịu trách nhiệm rõ ràng.

ANAO cũng chỉ ra rằng trước tháng 7/2025, cơ chế báo cáo định kỳ lên các Ủy ban giám sát cấp cao chỉ tập trung vào các rủi ro được xếp loại “Cao” hoặc “Nghiêm trọng”. Cách tiếp cận này khiến cấp điều hành không có được cái nhìn đầy đủ về tình trạng an toàn của hệ thống.

Một tồn tại khác được ANAO ghi nhận là công tác giám sát thường xuyên đối với hiệu quả của các biện pháp kiểm soát an ninh mạng cốt lõi còn hạn chế. Để khắc phục điều này, Hội đồng An ninh ABS được thành lập vào tháng 6/2025 và chính thức chuẩn hóa vai trò cố vấn vào tháng 3/2026.

Các phân tích chuyên sâu cho thấy những rủi ro công nghệ mới, bao gồm Chatbot AI, vẫn nằm trong tầm kiểm soát. Tuy nhiên, việc thiếu cơ chế giám sát thường xuyên đối với môi trường công nghệ thông tin cốt lõi vẫn được ANAO đánh giá là một hạn chế cần được xử lý.

ANAO cho biết, dù ABS sở hữu một điểm sáng lớn là chương trình thử nghiệm ứng phó sự cố được thiết kế rất bài bản, bám sát các kịch bản tấn công thực tế thông qua đợt diễn tập sẵn sàng vận hành vào tháng 8/2025, tuy nhiên, vẫn còn nhiều thiếu sót trong quy trình rà soát thiết kế, kiến trúc bảo mật và công tác quản lý chất lượng đối với các biện pháp kiểm soát an ninh mạng.

Đáng chú ý hơn, Kế hoạch nâng cấp an ninh mạng cùng "Tám chiến lược giảm thiểu rủi ro cốt lõi của Chính phủ Úc" (Essential Eight) đang chậm tiến độ so với mục tiêu đặt ra từ năm 2023 do những khó khăn về ngân sách và nhân sự. Trong khi đó, các đánh giá độc lập theo Chương trình Đăng ký Đánh giá An ninh mạng (IRAP) - điều kiện tiên quyết trong quá trình triển khai - vẫn chưa thể bắt đầu.

Theo cảnh báo của các nhà thầu, thời gian phê duyệt có thể kéo dài tới 3 tháng. Điều này khiến ABS không còn nhiều thời gian để xử lý các lỗi kỹ thuật trước khi hệ thống chính thức vận hành vào tháng 8/2026.

Để hỗ trợ ABS khắc phục các tồn tại, ANAO đã đưa ra 4 khuyến nghị gồm: cải thiện và chuẩn hóa cơ chế quản trị rủi ro; sớm thiết lập các cơ chế và tổ chức tư vấn chuyên trách về an ninh mạng cho từng cấu phần dự án; tăng cường quy trình lập, phê duyệt và rà soát hồ sơ kiến trúc bảo mật; tập trung tối đa nguồn lực để xử lý các rủi ro hệ thống phát sinh từ môi trường công nghệ thông tin mở rộng.

Phản hồi kết quả kiểm toán, ABS cho biết đồng thuận với toàn bộ các kiến nghị của ANAO và đã chủ động triển khai các biện pháp khắc phục trong thời gian kiểm toán diễn ra. Tính đến thời điểm hiện tại, hai khuyến nghị đầu tiên đã được hoàn thành, trong khi hai khuyến nghị còn lại đang đạt được những tiến triển tích cực.

ABS cam kết tiếp tục ưu tiên nguồn lực nhằm bảo đảm vận hành an toàn cho kỳ điều tra dân số năm 2026 và tạo nền tảng cho các kỳ điều tra tiếp theo./.

(Theo anao.gov.au)