Đây có thể trở thành nhóm doanh nghiệp được tội phạm mạng nhắm đến.

Rủi ro bắt đầu từ chính cách quản trị dữ liệu

Ngày 21-8, tại Đà Nẵng diễn ra diễn đàn "Tương lai số an toàn cho doanh nghiệp vừa và nhỏ", do Tạp chí điện tử An ninh mạng Việt Nam, Quỹ Châu Á và Đại học Duy Tân phối hợp tổ chức.

Tại diễn đàn, Đại tá Lê Cao Tâm - Trưởng Phòng An ninh mạng và Phòng, chống tội phạm sử dụng công nghệ cao (PA05), Công an TP Đà Nẵng - cho biết cùng với quá trình chuyển đổi số, doanh nghiệp đang thu thập, lưu trữ và xử lý ngày càng nhiều dữ liệu.

Dữ liệu cá nhân không chỉ nằm trong những hệ thống công nghệ lớn mà xuất hiện ngay trong các hoạt động như tuyển dụng, chấm công, kiểm soát ra vào. Một số doanh nghiệp đã sử dụng dữ liệu sinh trắc học như vân tay, nhận diện khuôn mặt.

Dữ liệu còn thường xuyên được chia sẻ cho ngân hàng, bảo hiểm, cơ sở y tế, đơn vị cung cấp dịch vụ, marketing, chăm sóc khách hàng và các đối tác khác. Vì vậy mỗi khâu thu thập, lưu trữ, sử dụng và chia sẻ đều có thể phát sinh rủi ro.

"Nhiều khi rủi ro bắt đầu từ chính cách doanh nghiệp tổ chức quy trình kinh doanh và kiểm soát dòng dữ liệu", ông Tâm nói.

Ông Tâm dẫn chứng trường hợp một doanh nghiệp thu thập dữ liệu của khoảng 600 người nhưng chưa bảo đảm các yêu cầu theo quy định.

Từ thực tế này, ông Tâm lưu ý doanh nghiệp vừa và nhỏ có thể trở thành mục tiêu hấp dẫn, bởi tội phạm cho rằng đây là những mắt xích có năng lực phòng thủ thấp hơn trong chuỗi cung ứng.

Hệ thống có lỗ hổng, quyền truy cập quá rộng, nhân sự sử dụng dữ liệu không đúng cách hoặc việc quản trị giữa pháp lý, quy trình, con người và công nghệ thiếu đồng bộ đều có thể dẫn đến sự cố.

Không cần đầu tư lớn, nhưng phải quản trị được rủi ro

Theo Đại tá Lê Cao Tâm, doanh nghiệp vừa và nhỏ không thể xây dựng hệ thống an ninh mạng như tập đoàn lớn. Điều quan trọng là xác định đúng những tài sản quan trọng, rủi ro lớn nhất và mức độ đầu tư phù hợp.

Giải pháp đầu tiên là xác định, phân loại dữ liệu và tài sản số quan trọng; doanh nghiệp phải biết mình đang có dữ liệu gì, của ai, thu thập từ đâu, dùng vào mục đích gì, ai được truy cập và lưu trữ trong bao lâu.

Tiếp đó, yêu cầu bảo vệ dữ liệu cần được đặt ra ngay từ khi thiết kế website, ứng dụng, hệ thống quản trị khách hàng hay chấm công; chú trọng phân quyền truy cập, xác thực, mã hóa và các biện pháp bảo vệ phù hợp.

Khi chia sẻ dữ liệu với bên thứ ba, cần xác định rõ dữ liệu nào được chia sẻ, đối tác nào được tiếp cận, mục đích gì và cơ chế xử lý khi xảy ra sự cố.

Ông Tâm cũng đề nghị doanh nghiệp quản lý chặt tài khoản, đặc biệt tài khoản quản trị; bảo vệ thiết bị đầu cuối, hệ thống và dữ liệu; sao lưu thường xuyên; đào tạo nhân sự và chủ động xây dựng phương án ứng phó khi có sự cố.

"Mục tiêu cuối cùng không phải là đầu tư thật nhiều công nghệ. Mục tiêu là quản trị được rủi ro với chi phí hợp lý và bảo đảm hoạt động kinh doanh được liên tục", ông Tâm nhấn mạnh.

Bên cạnh dữ liệu, ông Tâm lưu ý AI đang tạo ra cả cơ hội lẫn rủi ro mới. AI có thể giúp doanh nghiệp tăng năng suất nhưng cũng được sử dụng để tạo nội dung giả mạo, tự động hóa lừa đảo, giả giọng nói, hình ảnh lãnh đạo và thực hiện các cuộc tấn công có tính cá nhân hóa cao.

Do đó vấn đề không chỉ là doanh nghiệp có sử dụng AI hay không, mà là sử dụng AI thế nào để vừa tạo ra năng suất, vừa bảo đảm an toàn dữ liệu và kiểm soát được rủi ro.

74% doanh nghiệp vừa và nhỏ mới dùng AI ở mức cơ bản, vướng ở đâu?

Theo các chuyên gia, công cụ AI ngày càng dễ tiếp cận nhưng con người, dữ liệu, quản trị và khả năng chứng minh hiệu quả đầu tư mới đang quyết định doanh nghiệp có thể đưa AI vào vận hành thực tế.