Quản trị rủi ro an ninh mạng với phương thức tiếp cận Bảo mật từ trong Thiết kế

Các chuyên gia an ninh mạng của EY tin rằng đã đến lúc cần một nhận thức mới về an ninh mạng: một cách tiếp cận chủ động, thực tế và chiến lược, xem xét vấn đề rủi ro và bảo mật ngay từ khi bắt đầu bất kỳ dự án mới nào và nuôi dưỡng niềm tin ở mọi giai đoạn. Đó chính là Bảo mật từ trong Thiết kế.

Rather than avoiding risk altogether, Security by Design is about enabling trust in systems, designs and data so that organizations can take on more risk, lead transformational change and innovate with confidence.

Chẳng hạn, trong lĩnh vực Trí tuệ Nhân tạo (AI) đang phát triển không ngừng, nhu cầu về cách tiếp cận như vậy đang trở nên rõ ràng hơn mỗi ngày. Hai hình thức phổ biến nhất của Máy học (Machine Learning) trong lĩnh vực này - không giám sát và có giám sát - là các mục tiêu chính cho sự thay đổi. Kết quả được tạo ra bởi các phương pháp này phụ thuộc một cách tự nhiên vào các thuật toán đưa chúng vào cuộc sống. Tuy nhiên, ngay cả các thuật toán tiên tiến nhất cũng sẽ dẫn đến kết quả thất bại nếu dữ liệu đưa vào chúng bị thao túng.

Ngày nay, chúng ta chưa quan tâm đúng mức cho việc bảo vệ tính toàn vẹn của dữ liệu nạp vào các hệ thống Máy học trung tâm đang hỗ trợ ngày càng nhiều sản phẩm và dịch vụ chính thống. Tội phạm mạng biết điều này và về nguyên tắc có thể tấn công các hệ thống bằng cách thêm vào, xóa đi hoặc thay đổi các tập dữ liệu cơ bản. Ngày nay hầu hết các hệ thống công nghệ số đều đang có nguy cơ bị thao túng như vậy.

Khi AI mở rộng phạm vi của các quyết định được tự động hóa, cơ hội cho sự phá hoại cũng mở rộng. Ví dụ, hệ thống điều khiển không lưu được lập trình để tự động điều chỉnh vận tốc hoặc độ cao của máy bay dựa trên dữ liệu có thể bị làm nhiễu - hoặc phần mềm Máy học được thiết kế để phát hiện các vấn đề y tế, trong đó dữ liệu không chuẩn có thể làm cho thuật toán bỏ qua các dấu hiệu ung thư. Những kết quả hoàn toàn không mong muốn như vậy chỉ có thể tránh được bằng cách thực hiện đầy đủ việc quản trị dữ liệu, các giao thức quản lý định danh và truy cập ở trung tâm các hệ thống AI.

Sự phổ biến ngày càng gia tăng của các thiết bị Internet Vạn vật (IoT) cho thấy một trường hợp thuyết phục khác cho phương pháp Bảo mật từ trong Thiết kế. Người tiêu dùng ngày càng phụ thuộc vào các sản phẩm IoT mà họ cho phép đưa vào nhà và truy cập thông tin cá nhân rất nhạy cảm. Tuy nhiên, khó có thể bảo đảm niềm tin như vậy theo cách mà các thiết bị này thường được sản xuất.

Việc lắp ráp các thiết bị IoT trải qua ba bước riêng biệt. Quá trình này bắt đầu với các chip máy tính chuyên dụng được chế tạo với ít hàm lượng kỹ thuật hoặc ít chi phí nhất có thể để không làm ảnh hưởng đến biên lợi nhuận vốn đã rất nhỏ. Các chip này sau đó được chuyển cho các nhà sản xuất thiết bị gốc (ODM), được thuê để xây dựng dựa trên đặc điểm kỹ thuật, được tạo ra bằng sự kết hợp giữa mã nguồn mở và phần mềm độc quyền. Một lần nữa, mục đích ở đây là tối đa hóa lợi nhuận, ít quan tâm đến bảo mật hoặc hiệu suất mà các chức năng cần có. Cuối cùng, công ty có thương hiệu hướng dẫn người tiêu dùng tải giao diện của họ và tùy chỉnh các thiết bị một cách vừa đủ để đảm bảo chúng hoạt động. Ở mỗi giai đoạn, trọng tâm là tối đa hóa lợi nhuận hơn là đảm bảo chức năng bảo mật hoặc tính toàn vẹn.

Cách tiếp cận ngắn hạn, đặt lợi nhuận lên trên hết này là một phương thức chắc chắn dẫn đến thảm họa. Năm 2015, một thương hiệu ô tô hàng đầu đã buộc phải thu hồi 1,4 triệu xe sau khi các chuyên gia bảo mật đột nhập vào hệ thống thông tin giải trí trên xe ô tô của họ và chứng minh rằng hầu như ai cũng có thể truy cập và kiểm soát các chức năng chủ chốt như hệ thống phanh và hệ thống lái. Khi các nhà sản xuất ô tô và chính phủ trên toàn thế giới đang nỗ lực hướng tới sản xuất ô tô thông minh và các thành phố được hỗ trợ bởi các công nghệ IoT, nhu cầu về bảo mật cao hơn là điều hiển nhiên.

Những ví dụ này có điểm gì chung? Đây đơn giản không còn là các thay đổi đơn lẻ. Chúng là sự kết nối của tương lai trên phạm vi toàn cầu, và sẽ tự kết nối với nhau để tạo thành nền tảng ngày càng vững chắc của mọi hoạt động hàng ngày của chúng ta. Điều cực kỳ cấp bách là các tổ chức và các định chế phát triển và sử dụng các công nghệ này đều áp dụng quan điểm Bảo mật từ trong Thiết kế. Những tổ chức nào không làm như vậy sẽ chịu vô số rủi ro, từ thiệt hại tài chính đến hỗn loạn cơ cấu, đỉnh điểm là sự sụp đổ của niềm tin – thứ vốn không thể khôi phục được. Một cách tiếp cận chiến lược, thực tế và chủ động, xem xét rủi ro ngay từ khi bắt đầu - và không phải là biện pháp bổ sung - có thể tạo ra sự khác biệt giữa những người thất bại và những người vươn tới thành công trong Kỷ nguyên Chuyển đổi.