Lỗ hổng an ninh mạng phía sau thiết bị kết nối có thể gây thiệt hại lớn

Một chiếc tủ lạnh hay hệ thống điều hòa tại siêu thị tưởng chừng chỉ liên quan đến hoạt động bảo quản hàng hóa, nhưng trong môi trường kinh doanh hiện đại, đây có thể trở thành mắt xích quan trọng của hạ tầng công nghệ. Khi các thiết bị được kết nối Internet, điều khiển tập trung và giám sát từ xa, nguy cơ mất an toàn thông tin không còn giới hạn ở máy tính, máy chủ hay dữ liệu khách hàng.

Theo dư luận gần đây, nhiều chuỗi siêu thị tại châu Âu ghi nhận sự cố hệ thống làm lạnh sau các cuộc tấn công mạng. Nhiệt độ tại các thiết bị bảo quản thực phẩm bị thay đổi bất thường, khiến hàng hóa đứng trước nguy cơ hư hỏng và doanh nghiệp phải đối mặt với những tổn thất lớn. Đáng chú ý, mục tiêu của các cuộc tấn công không nhất thiết là đánh cắp dữ liệu hay đòi tiền chuộc, mà có thể là can thiệp trực tiếp vào hoạt động vận hành.

Rủi ro xuất phát từ cách các thiết bị được tổ chức kết nối. Tại những cơ sở bán lẻ quy mô lớn, hàng chục hoặc hàng trăm tủ đông, tủ mát có thể được quản lý thông qua hệ thống điều khiển trung tâm. Nhân viên kỹ thuật có thể theo dõi nhiệt độ, điều chỉnh chế độ hoạt động và nhận cảnh báo từ xa. Tuy nhiên, nếu hệ thống điều khiển sử dụng phần mềm lỗi thời, mật khẩu mặc định hoặc giao diện quản trị không được bảo vệ phù hợp, toàn bộ thiết bị liên kết có thể đứng trước nguy cơ bị xâm nhập.

Điều đáng lưu ý là các hệ thống công nghệ vận hành thường có vòng đời dài hơn nhiều thiết bị công nghệ thông tin thông thường. Một số bộ điều khiển được lắp đặt từ nhiều năm trước, ban đầu chỉ hoạt động trong mạng nội bộ nhưng sau đó được bổ sung khả năng kết nối Internet. Nếu không được đánh giá và nâng cấp bảo mật tương ứng, việc mở rộng kết nối có thể tạo ra những điểm yếu mới.

Các thiết bị kết nối Internet trong hệ thống siêu thị như tủ lạnh, kho đông và bộ điều khiển trung tâm có thể trở thành mục tiêu tấn công mạng, đe dọa an toàn hàng hóa và hoạt động kinh doanh. Ảnh minh họa

Với doanh nghiệp bán lẻ, hậu quả không chỉ là thất thoát dữ liệu. Một sự cố làm gián đoạn hệ thống lạnh có thể ảnh hưởng đến chất lượng thực phẩm, chi phí thay thế hàng hóa, hoạt động cung ứng và uy tín thương hiệu. Nguy cơ tương tự cũng có thể xuất hiện tại kho dược phẩm, cơ sở bảo quản vaccine, nhà máy chế biến thực phẩm và các hệ thống điều khiển công nghiệp.

Tại Việt Nam, xu hướng phát triển hệ thống phân phối hiện đại khiến vấn đề này ngày càng đáng quan tâm. Theo Bộ Công Thương, mạng lưới kinh doanh thực phẩm đã phát triển với hàng nghìn siêu thị, trung tâm thương mại và cửa hàng tiện lợi. Các doanh nghiệp bán lẻ cũng từng bước đầu tư công nghệ quản trị chuỗi cung ứng, kho lạnh, logistics và truy xuất nguồn gốc. Những hệ thống này đem lại hiệu quả vận hành nhưng đồng thời đặt ra yêu cầu bảo vệ hạ tầng công nghệ đi kèm.

Trước nguy cơ trên, bảo đảm an ninh mạng đối với doanh nghiệp không thể chỉ tập trung vào máy tính văn phòng hay hệ thống lưu trữ dữ liệu. Các thiết bị kết nối Internet vạn vật (IoT), bộ điều khiển công nghiệp, cảm biến nhiệt độ và hệ thống giám sát từ xa cũng cần được đưa vào phạm vi quản lý, đánh giá rủi ro và bảo vệ an toàn thông tin.

Tại Việt Nam, một trong những căn cứ quan trọng là tiêu chuẩn quốc gia TCVN 11930:2017 về yêu cầu cơ bản bảo đảm an toàn hệ thống thông tin theo cấp độ. Theo hướng dẫn tại Thông tư 12/2022/TT-BTTTT, việc bảo đảm an toàn hệ thống thông tin theo cấp độ bao gồm các yêu cầu về quản lý, nhân lực, an toàn mạng, máy chủ, ứng dụng và dữ liệu. Đặc biệt, đối với các hệ thống cấp độ cao, phương án bảo vệ cần tính đến khả năng phân tách, hạn chế ảnh hưởng khi một thành phần bị mất an toàn thông tin.

Bên cạnh đó, hệ thống tiêu chuẩn quốc gia về Internet vạn vật cũng đang từng bước được hoàn thiện. TCVN 13748:2023 quy định về yêu cầu và khả năng quản lý thiết bị IoT; TCVN 13749:2023 đề cập các khả năng bảo mật hỗ trợ tính an toàn. Đây là những tài liệu có ý nghĩa tham khảo đối với quá trình thiết kế, triển khai và quản lý các thiết bị kết nối trong doanh nghiệp.

Đối với thiết bị camera giám sát sử dụng Internet, QCVN 135:2024/BTTTT do Bộ Thông tin và Truyền thông trước đây ban hành, quy định các yêu cầu an toàn thông tin cơ bản. Quy chuẩn này cho thấy việc bảo vệ thiết bị kết nối đã được cụ thể hóa bằng yêu cầu kỹ thuật đối với một nhóm sản phẩm nhất định. Tuy nhiên, cần phân biệt phạm vi áp dụng: QCVN 135 không phải quy chuẩn chung cho toàn bộ thiết bị IoT hay hệ thống điều khiển kho lạnh.

Về phía doanh nghiệp, việc áp dụng tiêu chuẩn cần đi cùng những giải pháp quản trị cụ thể. Trước hết, cần rà soát toàn bộ thiết bị có kết nối mạng, xác định rõ thiết bị nào có quyền truy cập và điều khiển hệ thống vận hành. Các tài khoản mặc định cần được thay đổi, quyền truy cập từ xa phải được kiểm soát, đồng thời cần phân tách mạng điều khiển thiết bị với mạng văn phòng và mạng dành cho khách hàng.

Ngoài ra, doanh nghiệp cần duy trì cập nhật phần mềm, kiểm tra định kỳ cấu hình bảo mật, thiết lập cảnh báo khi nhiệt độ hoặc trạng thái vận hành thay đổi bất thường. Những hệ thống quan trọng như kho lạnh cũng cần có phương án vận hành dự phòng và quy trình xử lý khi mất kết nối hoặc xảy ra sự cố an ninh mạng. Đây là cách hạn chế nguy cơ một sự cố công nghệ lan rộng thành gián đoạn hoạt động kinh doanh.

Một vấn đề khác doanh nghiệp cần quan tâm là trách nhiệm của các nhà cung cấp thiết bị và đơn vị vận hành công nghệ. Trong nhiều trường hợp, hệ thống được lắp đặt bởi bên thứ ba, còn việc bảo trì, cập nhật và quản lý tài khoản được thực hiện bởi nhiều đơn vị khác nhau. Nếu không phân định rõ trách nhiệm, doanh nghiệp có thể gặp khó khăn khi phát hiện, khoanh vùng và xử lý sự cố. Vì vậy, yêu cầu bảo mật cần được đặt ra ngay từ khâu lựa chọn thiết bị, ký kết hợp đồng, nghiệm thu đến quá trình vận hành và bảo trì.

Thực tế, an ninh mạng đang trở thành một bộ phận của quản trị rủi ro kinh doanh. Khi hoạt động bán lẻ, sản xuất và phân phối ngày càng phụ thuộc vào các hệ thống kết nối, bảo vệ thiết bị không chỉ nhằm ngăn chặn hành vi truy cập trái phép mà còn bảo đảm tính liên tục của hoạt động kinh doanh. Những sự cố tại các siêu thị châu Âu là lời cảnh báo để doanh nghiệp Việt Nam chủ động rà soát hạ tầng công nghệ, thay vì chỉ tăng cường bảo mật sau khi sự cố xảy ra.

Công nghệ kết nối càng phát triển, phạm vi bảo vệ an ninh mạng càng phải được mở rộng. Từ hệ thống máy chủ, dữ liệu khách hàng đến những bộ điều khiển tủ lạnh, kho hàng và dây chuyền sản xuất, mỗi thiết bị đều có thể trở thành một mắt xích ảnh hưởng đến toàn bộ hoạt động của doanh nghiệp. Do đó, chuẩn hóa an toàn thông tin, đầu tư công nghệ bảo mật và xây dựng quy trình ứng phó sự cố cần được xem là yêu cầu thiết yếu trong quá trình chuyển đổi số.

An Dương