Bộ Khoa học và CNTT Hàn Quốc đang thúc đẩy đợt sửa đổi lớn đối với khung an ninh mạng áp dụng cho bộ và các cơ quan trực thuộc, với trọng tâm là phân loại dữ liệu theo mức độ quan trọng, bổ sung tiêu chuẩn riêng cho AI và dịch vụ đám mây, đồng thời siết quy trình bảo toàn chứng cứ khi xảy ra sự cố.

Theo giới chức và nguồn tin trong ngành ngày 15/9, bộ đã công bố dự thảo sửa đổi một phần “Hướng dẫn cơ bản về an toàn thông tin” để lấy ý kiến. Động thái này diễn ra sau khi Cơ quan Tình báo Quốc gia Hàn Quốc (NIS) sửa đổi “Hướng dẫn cơ bản về an ninh mạng quốc gia” vào tháng 5.

Theo dự thảo, tên văn bản sẽ được đổi từ “Hướng dẫn cơ bản về an toàn thông tin của Bộ Khoa học và CNTT” thành “Hướng dẫn cơ bản về an ninh mạng của Bộ Khoa học và CNTT”. Phạm vi áp dụng cũng bao trùm cả bộ, các cơ quan trực thuộc và các đơn vị liên quan.

Một trong những thay đổi lớn nhất là đưa N2SF vào áp dụng. Theo đó, mỗi cơ quan phải phân loại thông tin phục vụ hoạt động nghiệp vụ thành ba cấp độ. Nếu trước đây khu vực công chủ yếu dựa vào mô hình tách biệt mạng nội bộ với Internet, thì dự thảo mới, bám theo hướng dẫn của NIS, yêu cầu quản lý dữ liệu theo ba nhóm: mật, nhạy cảm và công khai.

Với dữ liệu hoặc hệ thống thuộc nhóm công khai, cơ quan có thể cho phép kết nối ra Internet hoặc triển khai trực tiếp trên Internet, miễn là đáp ứng các tiêu chuẩn kiểm soát an ninh. Dù vậy, nguyên tắc tách biệt giữa mạng nội bộ và Internet trong cơ quan nhà nước vẫn được giữ nguyên. Dự thảo vì thế vừa bổ sung khung N2SF, vừa duy trì các biện pháp hiện hành như tách mạng, ngăn truy cập trái phép, chặn kết nối Internet từ hệ thống nội bộ và bảo đảm truyền dữ liệu an toàn giữa các mạng.

Việc phân loại thông tin sẽ do từng cơ quan tự thực hiện. Do chức năng, dữ liệu và hệ thống lưu trữ của mỗi đơn vị khác nhau, từng cơ quan phải tự xác định phạm vi nghiệp vụ để xếp loại thông tin theo ba cấp trên. Dự thảo cũng cho phép nâng mức bảo mật trong trường hợp nhiều loại dữ liệu khi kết hợp với nhau làm gia tăng mức độ quan trọng hoặc rủi ro nếu bị xâm phạm.

Bên cạnh đó, bộ cũng bổ sung quy định phù hợp với môi trường AI. Dự thảo yêu cầu mọi cơ quan khi xây dựng hoặc vận hành hệ thống AI phải thiết lập và triển khai biện pháp bảo mật riêng. Khi xây dựng các biện pháp này, cơ quan được yêu cầu tham khảo các tài liệu liên quan, trong đó có “Sổ tay hướng dẫn bảo mật AI” do NIS ban hành.

Các dự án xây dựng mạng thông tin - truyền thông hoặc hệ thống thông tin có ứng dụng AI cũng được bổ sung vào diện bắt buộc thẩm định an toàn bảo mật. Ngoài ra, dự thảo còn mở rộng phạm vi thẩm định sang các dự án áp dụng N2SF, dự án kết nối với mạng hoặc hệ thống của cơ quan khác, xây dựng trung tâm sao lưu và khôi phục thảm họa quy mô lớn, bảo trì trực tuyến trong tình huống thảm họa hoặc khủng hoảng quốc gia, cũng như xây dựng và đưa vào vận hành hệ thống không gian.

Đối với dịch vụ đám mây tư nhân trong khu vực công, dự thảo quy định rõ hơn điều kiện sử dụng. Các cơ quan chỉ được dùng những dịch vụ nằm trong danh sách được phép triển khai theo Hướng dẫn cơ bản về an ninh mạng quốc gia. Tiêu chuẩn bảo mật cũng được bổ sung theo hướng xem xét nơi dữ liệu được lưu trữ và quản lý, liệu hệ thống có đặt trong nước hay không, cũng như việc vận hành có do nhân sự trong nước đảm nhiệm hay không.

Trách nhiệm của nhà cung cấp dịch vụ đám mây tư nhân cũng được siết lại. Khi ký hợp đồng, cơ quan nhà nước phải đưa vào điều khoản yêu cầu nhà cung cấp tích cực phối hợp với NIS và đơn vị sử dụng trong hoạt động giám sát an ninh, điều tra sự cố, phòng ngừa và ứng phó tấn công mạng, cũng như xử lý sự cố xâm nhập và gián đoạn dịch vụ để ngăn tái diễn. Nhà cung cấp cũng phải chịu trách nhiệm quản lý an ninh đối với phần hạ tầng đám mây mà cơ quan sử dụng ở mức tương đương yêu cầu áp dụng cho cơ quan nhà nước.

Dự thảo đồng thời mở rộng nhóm đối tượng phải phối hợp trong công tác an ninh mạng, bao gồm các doanh nghiệp tham gia dự án CNTT của Bộ Khoa học và CNTT và các đơn vị trực thuộc. Nhóm này gồm doanh nghiệp phát triển, sản xuất hoặc cung cấp hệ thống thông tin và hệ thống bảo vệ thông tin, nhà cung cấp dịch vụ đám mây, doanh nghiệp viễn thông và nhà cung cấp dịch vụ thông tin - truyền thông. Nếu nhận được yêu cầu phối hợp hoặc hỗ trợ như xác minh sự việc hay nộp tài liệu liên quan từ người đứng đầu NIS, các doanh nghiệp này phải thực hiện, trừ trường hợp có lý do chính đáng.

Trách nhiệm của doanh nghiệp cung cấp phần mềm thương mại cũng được làm rõ. Khi cơ quan nhà nước mua phần mềm thương mại, hợp đồng phải ghi rõ rằng nếu phát hiện lỗ hổng bảo mật trong sản phẩm, cơ quan có quyền yêu cầu nhà sản xuất hoặc đơn vị bán hàng thực hiện biện pháp khắc phục. Khi nhà sản xuất đã biết lỗ hổng trong sản phẩm mà người dùng cuối đang sử dụng, họ có nghĩa vụ sửa lỗi. Dự thảo cũng nêu rõ cơ quan có thể yêu cầu hỗ trợ kỹ thuật từ nhà sản xuất và nhà cung cấp thông qua thư cam kết hoặc thỏa thuận hỗ trợ kỹ thuật giữa bên đặt hàng, nhà cung cấp và nhà sản xuất. Một điều khoản riêng cũng được bổ sung để yêu cầu các lỗ hổng phát sinh trong phần mềm thương mại phải được xử lý theo đúng cam kết hợp đồng.

Về vận hành hệ thống, các cơ quan phải thường xuyên giám sát nhật ký xác thực và truy cập để phát hiện dấu hiệu bất thường. Khi cần thiết, cơ quan có thể áp dụng cảnh báo, xác thực bổ sung, hạn chế truy cập hoặc chặn truy cập. Nhật ký xác thực và truy cập, gồm trạng thái đăng nhập thành công hoặc thất bại, địa chỉ IP và thời điểm truy cập, phải được lưu tối thiểu một năm. Riêng hoạt động xác thực đối với tài khoản quản trị, trừ trường hợp bất khả kháng, phải áp dụng xác thực đa yếu tố.

Dự thảo cũng yêu cầu quản trị viên hệ thống xây dựng các biện pháp như cơ chế sao lưu nhằm ngăn rò rỉ nhật ký đang lưu trữ. Khi tháo hoặc lắp lại thiết bị lưu trữ như ổ cứng hoặc SSD trên máy trạm và máy chủ, cơ quan phải quản lý đầy đủ lịch sử thao tác; các thiết bị đã tháo ra cũng phải được lưu giữ tại địa điểm chỉ định.

Một nội dung khác được siết chặt là bảo toàn chứng cứ sau sự cố an ninh mạng. Theo quy định hiện hành, cơ quan bị ảnh hưởng phải giữ nguyên chứng cứ trên hệ thống cho đến khi xác định được nguyên nhân, đồng thời không được tự ý xóa hoặc định dạng dữ liệu liên quan. Dự thảo bổ sung quy định rằng nếu toàn bộ hoặc một phần chứng cứ đang do nhà thầu bên ngoài nắm giữ, cơ quan phải lập tức thông báo lệnh cấm xóa và định dạng cho bên đó. Mục tiêu là ngăn trường hợp nhà thầu tự ý khởi tạo lại hệ thống hoặc xóa tài liệu liên quan trong quá trình điều tra, làm mất chứng cứ.

Căn cứ phục vụ điều tra sự cố trên môi trường đám mây cũng được củng cố. Cơ quan sử dụng dịch vụ đám mây có thể phối hợp với cơ quan điều tra để yêu cầu nhà cung cấp bảo toàn và nộp tài liệu, tiến hành kiểm tra tại chỗ và thực hiện các biện pháp cần thiết khác. Dự thảo cũng bổ sung điều khoản cho phép, trong trường hợp NIS là cơ quan điều tra, cơ quan này có thể thực hiện các biện pháp cần thiết đối với nhà cung cấp dịch vụ đám mây như xác minh, yêu cầu nộp tài liệu và kiểm tra hiện trường.

Ngoài AI và đám mây, phạm vi quản lý an ninh còn được mở rộng sang lĩnh vực không gian. Dự thảo yêu cầu nhận diện tài sản và quản lý bảo mật đối với các cấu phần của hệ thống không gian, gồm vệ tinh, trạm mặt đất, mạng vệ tinh, thiết bị thông tin liên lạc và phần mềm liên quan. Các cơ quan phải xây dựng biện pháp bảo mật cho các đoạn kết nối giữa trạm mặt đất, mạng vệ tinh và vệ tinh, đồng thời rà soát trước các mối đe dọa an ninh mạng có thể phát sinh khi đưa vào vận hành các hệ thống như thông tin liên lạc vệ tinh quỹ đạo thấp.

Tuy nhiên, việc sửa đổi hướng dẫn không có nghĩa quá trình chuyển đổi sẽ hoàn tất ngay. Để triển khai N2SF trên thực tế, từng cơ quan vẫn phải phân loại lại dữ liệu và nghiệp vụ, đồng thời tiếp tục điều chỉnh hệ thống thông tin, cấu trúc mạng và cơ chế kiểm soát truy cập.

Do phải chia dữ liệu nghiệp vụ theo ba cấp độ rồi tái cấu trúc hệ thống và tên miền tương ứng, quá trình triển khai thực tế được dự báo sẽ cần thêm thời gian. Song song với đó, các cơ quan cũng phải thực hiện thẩm định an toàn bảo mật và hoàn thiện khung hợp đồng phù hợp với xu hướng mở rộng ứng dụng AI và dịch vụ đám mây.

“Mục tiêu của đợt sửa đổi lần này là phản ánh việc áp dụng N2SF và các môi trường mới như AI, phù hợp với những thay đổi trong Hướng dẫn cơ bản về an ninh mạng quốc gia”, một quan chức cho biết. “Trong thời gian tới, chúng tôi sẽ từng bước thúc đẩy các công việc cần thiết để chuyển đổi hệ thống bảo mật, phù hợp với việc triển khai hệ thống AI và hoàn thiện cơ chế phân loại dữ liệu.”