Các vụ tấn công mạng liên tiếp nhằm vào ngành tài chính Hàn Quốc đã ảnh hưởng 16 công ty và làm rò rỉ khoảng 100.000 bản ghi dữ liệu. Trước diễn biến này, Ủy ban Dịch vụ Tài chính Hàn Quốc (FSC) cho biết sẽ đẩy mạnh cải tổ hệ thống bảo mật trên toàn ngành, trong đó tập trung siết trách nhiệm của CEO và Hội đồng quản trị.

Ngày 14/10, FSC tổ chức cuộc họp ứng phó khẩn cấp lần thứ hai do Tổng thư ký Shin Jin-chang chủ trì, với sự tham dự của Cơ quan Giám sát Tài chính Hàn Quốc (FSS), Cơ quan An ninh Tài chính và các bộ, ngành liên quan. Cuộc họp tập trung rà soát kết quả điều tra sự cố và các biện pháp tăng cường quản lý an ninh mạng.

Đến nay, nhà chức trách xác nhận 16 tổ chức tài chính xảy ra sự cố, gồm ngân hàng, ngân hàng tiết kiệm, tổ chức tài chính hợp tác, tổ chức tài chính chuyên biệt, doanh nghiệp tài chính điện tử, nền tảng đầu tư trực tuyến P2P và doanh nghiệp tài sản số.

Lượng dữ liệu bị rò rỉ được ước tính vào khoảng 100.000 bản ghi, bao gồm họ tên, thông tin liên hệ, số đăng ký cư trú và địa chỉ email.

Theo FSC, hiện chưa ghi nhận việc rò rỉ các dữ liệu có thể trực tiếp dẫn đến gian lận thanh toán như số tài khoản hoặc số thẻ. Tuy nhiên, do cơ quan chức năng vẫn đang điều tra khả năng có thêm hệ thống bị xâm nhập, số doanh nghiệp bị ảnh hưởng có thể còn tăng.

◆ 130 trên 555 công ty tài chính chưa đáp ứng yêu cầu bảo mật

FSC cho biết tính đến ngày 8/10, cơ quan quản lý đã kiểm tra 12 hạng mục bảo mật tại 555 công ty tài chính. Kết quả cho thấy 425 đơn vị đáp ứng yêu cầu, trong khi 130 đơn vị vẫn còn một số nội dung chưa đạt.

Các điểm yếu chủ yếu gồm chưa cài đặt bản vá bảo mật mới nhất, quản lý lỏng lẻo các hệ thống đã hết hỗ trợ kỹ thuật từ nhà sản xuất, chưa thiết lập cơ chế giám sát an ninh 24/7, cũng như tồn tại lỗ hổng trong khâu xác thực và kiểm soát truy cập đối với các hệ thống kết nối từ bên ngoài.

Theo FSC, những thiếu sót này xuất hiện tương đối nhiều ở nhóm doanh nghiệp tài chính điện tử và nền tảng đầu tư trực tuyến P2P.

Các công ty liên quan đã nộp kế hoạch khắc phục, bao gồm cập nhật bản vá, thay thế thiết bị cũ, tăng cường nhân sự và trang thiết bị giám sát an ninh, đồng thời đang triển khai các biện pháp xử lý.

◆ Siết trách nhiệm CEO và hội đồng quản trị, tăng nghĩa vụ kiểm tra

Cơ quan quản lý dự kiến tăng trách nhiệm của CEO và Hội đồng quản trị trong công tác bảo mật, đồng thời nâng hiệu lực chế tài để các khuyến nghị sau kiểm tra được triển khai thực chất tại doanh nghiệp.

FSC cho rằng dù đã nhiều lần yêu cầu tăng cường kiểm tra và quản lý, vẫn còn những trường hợp không đáp ứng cả các yêu cầu bảo mật cơ bản.

Trước mắt, cơ quan này sẽ thúc đẩy rà soát toàn diện hệ thống quản lý bảo mật, bao gồm các điểm kết nối ra bên ngoài của hệ thống CNTT, cơ chế xác thực, kiểm soát truy cập và kiểm soát nội bộ. FSC cũng sẽ làm rõ cơ chế báo cáo và phạm vi trách nhiệm liên quan đến bảo mật của CEO, Giám đốc An toàn thông tin (CISO) và Giám đốc Thông tin (CIO).

Bên cạnh đó, FSC đang xúc tiến phương án nâng tần suất kiểm tra và đánh giá lỗ hổng bảo mật tại các tổ chức tài chính lớn từ một lần mỗi năm lên tối thiểu hai lần mỗi năm. Các điểm kết nối bên ngoài quan trọng sẽ được đưa vào danh mục kiểm tra bắt buộc. Cơ quan này cũng xem xét cơ sở pháp lý để có thể tiến hành kiểm tra đột xuất khi xuất hiện mối đe dọa an ninh khẩn cấp.

◆ Tăng năng lực ứng phó với tấn công mạng dùng AI, cân nhắc giám sát chung cho doanh nghiệp nhỏ

FSC cho biết sẽ nâng cấp hệ thống giám sát tích hợp để toàn ngành có thể chia sẻ thông tin về các mối đe dọa tấn công mạng do từng công ty phát hiện. Hiện nay, dữ liệu do FSS và Cơ quan An ninh Tài chính thu thập đã được chia sẻ, nhưng thông tin do từng doanh nghiệp tự phát hiện vẫn chưa được đưa vào cơ chế dùng chung.

Cơ quan quản lý cũng dự kiến xây dựng hệ thống thông tin về cấp độ đe dọa dựa trên trí tuệ nhân tạo (AI) cùng hạ tầng kiểm tra lỗ hổng bảo mật. Đồng thời, FSC sẽ xem xét triển khai hệ thống giám sát an ninh dùng chung cho các công ty tài chính vừa và nhỏ với sự tham gia của Cơ quan An ninh Tài chính cùng các hiệp hội và liên hiệp theo từng lĩnh vực.

Ngoài ra, FSC cho biết sẽ chuẩn bị các biện pháp tăng cường quản lý bảo mật đối với các công ty cho vay và đại lý bảo hiểm (GA) hiện không thuộc phạm vi áp dụng của Luật Giao dịch tài chính điện tử.

Phát biểu tại cuộc họp, Tổng thư ký FSC Shin Jin-chang nói việc vẫn phát hiện các trường hợp không tuân thủ những yêu cầu bảo mật cơ bản, dù cơ quan quản lý đã nhiều lần yêu cầu rà soát toàn diện và siết quản lý, là “điều rất đáng tiếc”. Ông nhấn mạnh FSC sẽ bảo đảm trách nhiệm của CEO và Hội đồng quản trị, đồng thời thúc đẩy cải cách thể chế mang tính nền tảng đối với toàn bộ hệ thống bảo mật.