Chính phủ Nhật Bản đang yêu cầu các doanh nghiệp vận hành website và ứng dụng di động tăng cường các biện pháp bảo mật cơ bản, sau hàng loạt vụ rò rỉ dữ liệu cá nhân được xác định có liên quan đến lỗ hổng chưa được khắc phục và những thiếu sót trong quản trị an ninh mạng. Nhà chức trách cũng cảnh báo khả năng tin tặc đã lợi dụng AI để dò quét trên diện rộng các hệ thống có mức bảo vệ yếu.

Theo ITmedia, ngày 5/11 (giờ địa phương), Văn phòng Điều phối An ninh mạng Quốc gia thuộc Văn phòng Nội các Nhật Bản đã công bố khuyến nghị bảo mật dành cho các tổ chức, doanh nghiệp xử lý dữ liệu cá nhân. Kết quả rà soát cho thấy nhiều sự cố bắt nguồn từ việc thiếu các biện pháp bảo mật trong quá trình phát triển ứng dụng, cấu hình sai trên website, sử dụng phần mềm đã hết hỗ trợ và không vá các lỗ hổng đã được công bố.

Văn phòng này cho biết kẻ tấn công đã rà soát trên diện rộng các hệ thống công khai trên Internet để tìm mục tiêu xâm nhập, sau đó đánh cắp dữ liệu cá nhân. Theo đánh giá của nhà chức trách, ngay cả những lỗ hổng được xếp mức rủi ro thấp vẫn có thể bị khai thác nếu kết hợp với các điểm yếu khác. Cơ quan chức năng cũng cho rằng khả năng AI đã làm gia tăng quy mô các hoạt động dò quét và tấn công là rất lớn, dù chưa có bằng chứng xác nhận AI đã được sử dụng trong từng vụ việc cụ thể.

Các biện pháp được đưa ra tập trung vào ba nhóm chính: vận hành và quản trị; thiết kế và phát triển; chuỗi cung ứng.

Ở khâu vận hành, doanh nghiệp được yêu cầu thường xuyên nắm bắt tình trạng cấu hình phần mềm và các lỗ hổng bảo mật, xác định thứ tự ưu tiên xử lý và thời hạn khắc phục. Nhà chức trách cũng yêu cầu không để các trang quản trị không cần thiết lộ ra Internet, đồng thời chuẩn bị biện pháp đối phó với các cuộc tấn công dò mật khẩu. Ngoài ra, cơ quan này khuyến nghị tăng cường giám sát dấu hiệu bất thường thông qua phân tích log và các công cụ AI.

Trong giai đoạn phát triển, cơ quan quản lý nhấn mạnh nguyên tắc “Security by Design”, tức tích hợp bảo mật ngay từ đầu. Trước thực tế đã ghi nhận các thủ đoạn phân tích ứng dụng di động công khai để trích xuất thông tin qua API, nhà chức trách yêu cầu siết chặt quản lý thông tin xác thực, tăng cường kiểm soát truy cập và thực hiện kiểm tra lỗ hổng trước khi phát hành.

Rủi ro đi qua các nhà thầu thuê ngoài và đơn vị bảo trì cũng được đưa vào diện cảnh báo. Doanh nghiệp được yêu cầu kiểm tra các kênh truy cập qua VPN và các kênh truy cập từ xa do đối tác sử dụng, đồng thời áp dụng xác thực đa yếu tố. Cơ quan chức năng cũng yêu cầu xây dựng quy trình ứng phó ban đầu khi phát hiện lỗ hổng nghiêm trọng trong mã nguồn mở và các thư viện bên ngoài.

Văn phòng Điều phối An ninh mạng Quốc gia cho biết, sau lời kêu gọi đẩy nhanh vá lỗi và triển khai xác thực đa yếu tố hôm 9/10, đợt khuyến nghị lần này đã cụ thể hóa phạm vi ứng phó sang phát triển website, ứng dụng và quản lý chuỗi cung ứng.