Độc quyền
Phân tích báo cáo của 8 doanh nghiệp ICT… 3 nhà mạng và Naver, Kakao chi chưa đầy 1% doanh thu cho 'bảo mật thông tin'

[비즈한국] Sự cố rò rỉ thông tin tại SK Telecom017670 cùng hàng loạt vụ tấn công mạng vào các doanh nghiệp gần đây đã bộc lộ rõ những lỗ hổng bảo mật nghiêm trọng trong toàn ngành công nghiệp Hàn Quốc. Chỉ tính riêng trong năm nay, các đơn vị như GS Retail007070, JobKorea, SK Telecom, CJ OliveNetworks... đều đã trải qua các sự cố rò rỉ thông tin cá nhân quy mô lớn. Với các hình thức tấn công ngày càng tinh vi từ đám mây (cloud), thiết bị đầu cuối, mã độc tống tiền (ransomware) cho đến vụ hack HSS (máy chủ thuê bao gia đình) của SK Telecom, giới chuyên gia nhận định các rủi ro mà doanh nghiệp phải đối mặt đang trở nên vô cùng đa dạng.

Đối với những doanh nghiệp xử lý lượng dữ liệu cá nhân khổng lồ, dữ liệu nhạy cảm và thông tin liên quan trực tiếp đến cơ sở hạ tầng quốc gia, trách nhiệm đặt ra là rất cao. Bởi lẽ, bất kỳ sơ hở nào trong hệ thống bảo mật của các đơn vị này đều có thể dẫn đến rủi ro cho toàn xã hội. Chúng tôi đã phân tích tài liệu công bố thông tin bắt buộc về bảo mật thông tin của 8 doanh nghiệp ICT (Công nghệ thông tin và Truyền thông) lớn gồm 3 nhà mạng viễn thông, Naver035420, Kakao và 3 công ty mạng để đánh giá thực trạng đầu tư và chiến lược ứng phó bảo mật hiện nay.

Rủi ro bị hack luôn ‘thường trực’… Ngành ICT chi bao nhiêu cho bảo mật?

Trong bối cảnh năng lực ứng phó an ninh mạng của khu vực tư nhân đang bị đặt dấu hỏi sau các sự cố rò rỉ thông tin liên tiếp, số liệu cho thấy các doanh nghiệp trong nước chỉ dành khoảng 6% tổng ngân sách đầu tư công nghệ thông tin (IT) cho bảo mật. Trong 3 năm thực hiện quy định công bố thông tin bắt buộc về bảo mật, tỷ lệ đầu tư cho bảo mật so với đầu tư IT trung bình của các doanh nghiệp chỉ dừng lại ở mức 6,1%. Phân tích dữ liệu tình hình bảo mật thông tin mà 8 doanh nghiệp ICT lớn công bố lên Cơ quan Internet và An ninh mạng Hàn Quốc (KISA) cho thấy, chỉ có NHN Cloud (7,1%), LG Uplus032640 (6,6%) và KT030200 (6,4%) là có tỷ lệ đầu tư bảo mật cao hơn mức trung bình toàn quốc. Tiếp theo là Naver Cloud (5,7%), KT Cloud (5,2%), SK Telecom (4,1% - SK Broadband 4,6%), Kakao (3,9%) và Naver (3,7%).

Chỉ số này cho thấy mức độ ưu tiên mà doanh nghiệp dành cho bảo mật. Khi cơ sở hạ tầng kỹ thuật số càng mở rộng, các lỗ hổng bảo mật cũng tăng theo, do đó đầu tư bảo mật phải tỉ lệ thuận với quy mô và sự phức tạp của hệ thống IT để kiểm soát rủi ro hiệu quả. Nếu so với mức trung bình, con số này chỉ bằng một nửa so với Mỹ. Theo báo cáo năm ngoái của IANS Research, một đơn vị tư vấn an ninh mạng tại Mỹ, tỷ lệ đầu tư bảo mật của các doanh nghiệp nước này trung bình đạt 13,2% và đang tăng đều đặn từ mức 8,6% của năm 2020.

Theo tài liệu công bố năm ngoái, tính đến năm 2023, tỷ lệ đầu tư bảo mật trên doanh thu của tất cả các doanh nghiệp được khảo sát (trừ các công ty cloud) chỉ dừng lại ở mức 0%. Đối với 3 công ty cloud, tỷ lệ này lần lượt là: NHN Cloud 4,50%, Naver Cloud 2,48% và KT Cloud 1,64%. Trong khi đó, 3 nhà mạng viễn thông gồm SK Telecom, KT và LG Uplus chỉ đạt từ 0,44% đến 0,49%; Naver và Kakao lần lượt là 0,43% và 0,34%. Đối với SK Telecom, số liệu này đã bao gồm khoản đầu tư của SK Broadband, đơn vị đang vận hành mảng kinh doanh có dây.

Tỷ lệ đầu tư bảo mật của các nhà mạng và hai "ông lớn" IT cũng không vượt quá 10% khi so sánh với lợi nhuận hoạt động. Xét theo ngành, tỷ lệ đầu tư bảo mật trên lợi nhuận hoạt động của ngành viễn thông là: SK Telecom 8,69%, KT 7,38% và LG Uplus 3,60%. Mặc dù quy mô đầu tư bảo mật của Kakao chỉ bằng 61% so với Naver, nhưng tỷ lệ đầu tư trên lợi nhuận hoạt động lại đạt 5,11%, cao hơn so với Naver.

Các công ty cloud cho thấy họ đang duy trì tỷ lệ đầu tư bảo mật trên lợi nhuận hoạt động ở mức cao. Tính đến năm 2023, Naver Cloud đã đầu tư gấp 3 lần lợi nhuận hoạt động vào mảng bảo mật thông tin. Dù thua lỗ 28,4 tỷ won, NHN vẫn đầu tư 6,3 tỷ won, trong khi KT Cloud, đơn vị đạt lợi nhuận 44,2 tỷ won, đã chi 11,133 tỷ won (25,19%) cho mảng bảo mật trong cùng năm. Do dịch vụ cloud lưu trữ và xử lý dữ liệu của nhiều khách hàng, các sự cố bảo mật như rò rỉ dữ liệu hoặc gián đoạn dịch vụ có thể gây thiệt hại to lớn, vì vậy cần phải đầu tư tích cực vào hệ thống bảo mật và đội ngũ chuyên gia. Điều này cũng một phần do đặc thù ngành đòi hỏi đầu tư hạ tầng ban đầu lớn và quy mô lợi nhuận hoạt động tương đối nhỏ hơn so với các doanh nghiệp khác.

Thái độ "chủ quan" của các doanh nghiệp sau sự cố

"Tôi từng nghĩ đây là lĩnh vực chuyên trách của bộ phận IT."

"Đây không chỉ là vấn đề bảo mật nữa, mà đã đến lúc phải xem xét nó như một vấn đề quốc phòng."

Đó là phát biểu của Chủ tịch Tập đoàn SK, ông Chey Tae-won, trong buổi hỏi đáp sau khi đưa ra lời xin lỗi công khai tới người dân tại tòa nhà trụ sở ở Euljiro, Seoul vào ngày 7 vừa qua. Khi được hỏi về tâm trạng cá nhân, ông Chey thừa nhận: "Cho đến nay, tôi vẫn nghĩ bảo mật chỉ là lĩnh vực của bộ phận thông tin liên lạc và phó mặc cho các đội ngũ chuyên trách. Thông qua sự việc này, tôi đã thấm thía tầm quan trọng của bảo mật đối với toàn tập đoàn và cam kết sẽ tăng cường đầu tư trong tương lai". Hình ảnh người đứng đầu tập đoàn giờ mới bắt đầu nhìn nhận lại tầm quan trọng của bảo mật cho thấy sự khác biệt khá lớn với tâm lý của người dân và công ty đang tất bật khắc phục hậu quả vụ rò rỉ.

SK Telecom bị chỉ trích gay gắt khi là đơn vị chi ít nhất cho bảo mật trong số 3 nhà mạng. Quy mô đầu tư công bố năm ngoái của SK Telecom là thấp nhất (60 tỷ won). Con số này không chỉ thấp hơn mức 63,2 tỷ won của LG Uplus, mà ngay cả khi cộng cả SK Broadband (26,7 tỷ won) – đơn vị phụ trách mảng kinh doanh có dây – thì tổng cộng cũng chỉ là 86,7 tỷ won, thấp hơn so với KT (121,7 tỷ won), công ty đang vận hành cả mảng kinh doanh có dây và không dây.

SK Telecom dự kiến sẽ tăng cường toàn diện hệ thống an ninh mạng ở cấp độ tập đoàn. Để nâng tầm hệ thống bảo mật, họ sẽ thành lập mới "Ủy ban đặc biệt đổi mới bảo mật thông tin", đặt dưới quyền của Hội đồng theo đuổi SUPEX – cơ quan ra quyết định cao nhất của tập đoàn. Các chuyên gia từ giới học thuật và công nghiệp bên ngoài sẽ tham gia để tăng cường tính độc lập và chuyên môn.

KT và LG Uplus cũng đã triển khai việc tái cơ cấu, bao gồm tăng cường đầu tư bảo mật sau các sự cố bị hack. Các chuyên gia chỉ ra rằng cần phải đánh giá một cách hợp lý tác động của rủi ro bảo mật đối với hoạt động kinh doanh. Giáo sư Kwon Heon-young thuộc Trường Đại học Bảo mật Thông tin Đại học Hàn Quốc, một chuyên gia bên ngoài tham gia ủy ban, nhấn mạnh: "Tại Hàn Quốc, mức bồi thường thiệt hại được tòa án công nhận rất thấp và gánh nặng chứng minh thiệt hại đổ dồn lên vai nạn nhân. Doanh nghiệp thờ ơ với đầu tư bảo mật vì họ không phải chịu trách nhiệm cụ thể và rõ ràng. Vì họ đã đưa ra kế hoạch khắc phục hậu quả như tăng cường đầu tư sau vụ rò rỉ, điều này cần phải dẫn tới những cải tiến mang tính đột phá".

Chủ tịch Hiệp hội Đạo đức Trí tuệ nhân tạo quốc tế (IAAE), ông Jeon Chang-bae nhấn mạnh: "Bảo mật sẽ cho kết quả tương xứng với những gì được đầu tư. Hiện tại, tôi cho rằng các con số đầu tư tuyệt đối vẫn còn thiếu. Đa số các doanh nghiệp, bao gồm cả 3 nhà mạng, đều đang tuyên bố chuyển đổi sang AI. Tôi đặt dấu hỏi về việc liệu họ có đang đầu tư đúng cách cho vấn đề bảo mật AI - một vấn đề nghiêm trọng trong tương lai hay không. Cần phải có những cân nhắc mang tính chủ động".