“Gót chân Asin” ATBM ngành Tài chính

Mặc dù đã được xác định là một trong những ưu tiên hàng đầu trong phát triển ứng dụng CNTT của ngành Tài chính, song công tác ATBM thông tin ngành tài chính được ông Vũ thừa nhận là “vẫn đang bị chậm bước tiến” do vấp phải khá nhiều “lực cản”.

Mặc dù đã lường trước những nguy cơ rủi ro hệ thống, có sự quan tâm mạnh tới ATBM (thành lập phòng Mạng và An ninh thông tin), xây dựng đề án ATBM... nhưng theo ông Vũ vẫn có 3 “yếu điểm” được coi là “gót chân Asin” của ngành, đó là: Ngành tài chính có quá nhiều nghiệp vụ và khối lượng dữ liệu dùng chung do vậy mà việc kiểm soát các thiết bị đầu cuối truy nhập, kê xuất dữ liệu (USB, tài khoản cá nhân, tài khoản dịch vụ trực tuyến)… của người dùng hết sức khó khăn và khó kiểm soát được hành vi của người dùng cuối, nếu họ có chủ đích tấn công.

Hai là, mặc dù quy trình nghiệp vụ đối với các phòng, ban khi sử dụng hệ thống CNTT đã có đẩy đủ, nhưng việc kiểm soát vẫn hết sức khó khăn. Ông Vũ đưa ra ví dụ: một cán bộ nếu thôi việc tại Bộ tài chính sẽ phải báo cho ban CNTT để bàn giao lại những tài khoản dịch vụ được cấp (địa chỉ email; edocman…), nhưng trên thực tế nhiều đơn vị đã không tuân thủ quy định này.

Ba là, hệ thống máy chủ đã được đầu tư đồng bộ, công tác quản trị mạng đã được Cục Tin học và Thống kê tài chính thiết lập và triển khai tốt, nhưng do thiếu nhân lực trực 3 ca hệ thống máy chủ, nên sẽ rủi ro cao nếu xảy ra sự cố. Đơn cử như sự cố mất điện, nếu máy phát không kịp thời khởi động cấp điện ngay cho máy chủ, thì máy chủ bị sập là điều khó tránh khỏi.

Tuy nhiên, lường trước được những khả năng có thể xảy ra cộng với khả năng ứng phó tốt của cán bộ Cục, hệ thống máy chủ, hệ thống mạng Bộ Tài chính năm 2009 đã không để xảy ra bất cứ sự cố nào và vẫn vững vàng trước những “cuộc tấn công từ bên ngoài”.

Kịch bản những sự cố tương tự cũng đang được Cục Tin học và Thống kê tài chính xây dựng, diễn tập để năm 2010 có thể phối hợp cùng các hệ thống CNTT toàn ngành nâng cao tính sẵn sàng trước bất cứ cuộc tấn công hay rủi ro cả từ bên ngoài lẫn bên trong…

2010 - năm bản lề thực hiện nhiều dự án ATBM

Hiện nay 12 hệ thống cơ sở dữ liệu (CSDL) đã cơ bản hoàn thiện gồm: CSDL Quản lý giá, CSDL về đầu tư xây dựng cơ bản, CSDL về hàng hoá xuất nhập khẩu, CSDL Quản lý nợ công và CSDL chuyên ngành về dự trữ quốc gia, CSDL về công ty đại chúng và CSDL về giao dịch trên thị trường Chứng khoán. Chính vì vậy hệ thống ATBM ngành Tài chính cũng đang có sự đầu tư thích đáng với các nhiệm vụ trọng tâm mới như cũng cấp thêm nhiều dịch vụ công, công tác ATBM của Bộ Tài chính được triển khai đồng bộ tới tất cả các ứng dụng CNTT từ nghiệp vụ thu ngân sách (Thuế, Hải quan); kiểm soát chi ngân sách (Kho bạc nhà nước); Quản lý công sản cho tới thanh tra, văn phòng… Trong 2 năm vừa qua, Bộ Tài chính cũng đẩy mạnh triển khai các dịch vụ công trực tuyến; liên kết các hệ thống CSDL và thông tin của ngành; xây dựng các đề án nghiệp vụ trong đó công tác ATBM luôn được coi trọng.

Trong khi đề án ATBM cũ (từ năm 2003) mới chỉ tập trung vào bảo mật mạng, chương trình phòng chống vius (tường lửa), thì trong năm 2010 một đề án ATBM tổng thể hơn sẽ được thay mới, tập trung vào bảo mật lớp chương trình ứng dụng, lớp CSDL và cao nhất là các nghiệp vụ liên qua tới con người (nên yêu cầu phức tạp hơn nhiều).

Ông Vũ phân tích: Bản thân các ứng dụng đã phải tuân thủ kiến trúc các biện pháp ATBM, tuy nhiên nguy cơ mất an toàn nghiệp vụ được các chuyên gia đánh giá nguy hiểm hơn rủi ro công nghệ đem lại. Hiện nay các chuyên gia ATBM hệ thống còn hay nhắc tới 2 nguy cơ: giao dịch nội gián và phá hoại nội bộ. ATBM không chỉ là an toàn mạng mà là ở mọi mức và cao nhất là chính sách về an toàn thông tin, bởi  vậy, ATBM là công việc thường xuyên, liên tục.

Hiện nay, lãnh đạo Bộ Tài chính đã cho phép thành lập Ban Quản lý dự án ATBM, nhằm giúp rà soát nội dung triển khai ATBM thông tin của các đơn vị, đảm bảo việc triển khai các nội dung này không bị lãng phí, chệch hướng với định hướng về ATBM đề ra.

Năm 2010 với rất nhiều dự án ATBM được triển khai, Cục Tin học và Thống kê tài chính cũng sẽ nâng cao vai trò điều phối cùng các hệ thống CNTT toàn ngành xây dựng các cảnh báo, diễn tập tình huống xử lý sự cố khi máy chủ bị tấn công, quản lý hạ tầng, nguy cơ mất ATBM; xây dựng quy chế sử dụng tài nguyên mạng, sử dụng email và tài nguyên CNTT tài chính… đảm bảo tính chủ động trước những rủi ro có thể xảy ra.

Một ngôi nhà thì cần rất nhiều khóa

Ông Vũ ví công tác ATBM không khác gì ngôi nhà, một ngôi nhà thì cần rất nhiều khóa bởi có nhiều cửa khác nhau. Cửa chính thì ưu tiên bảo vệ nhiều hơn, cửa sổ thì bảo vệ dễ hơn nhưng có khi tội phạm mạng lại tấn công vào từ… cửa tum. Điều đó nói lên một thực tế, ngành Tài chính cũng như một ngôi nhà – mà lại là “ngôi nhà” liên quan đến tiền, dự trữ, ngân khố nên hay bị nhòm ngó nhất.

Có nhiều độc giả từng đặt câu hỏi vì sao ngành Tài chính không “tăng tốc” phát triển nhiều dịch vụ công cho doanh nghiệp và người dân trong khi đây là Bộ có nhiều dịch vụ liên quan tới doanh nghiệp và người dân? Thực tế, ngành Tài chính đã cung cấp một số lượng lớn dịch vụ công từ Thuế (kê khai, nộp thuế qua mạng), Hải quan (hải quan điện tử), Kho bạc (thu ngân sách qua ngân hàng)… Tuy nhiên, chính vì liên quan sát sườn đến người dân và doanh nghiệp nên độ rủi ro cũng cao hơn và lộ trình triển khai phải đảm bảo an toàn và dịch vụ tốt nhất, không thể vì thành tích mà chạy theo số lượng.

Bảo mật thông tin tài chính luôn gắn tới tiền, tới từng cá nhân người nộp thuế, tới doanh nghiệp, bởi không ai, không doanh nghiệp nào muốn thông tin tài khoản bị đánh cắp, bị tiết lộ số tiền nộp thuế, danh tính (nhất là thuế thu nhập cá nhân)… Khó là thế nên ngành tài chính quyết tâm đầu tư công nghệ, xây dựng cơ chế chính sách, quy chế ATBM hệ thống, đẩy nhanh việc đào tạo con người và hạ tầng để có thể đưa ra những dịch vụ công tốt nhất.

Mục tiêu coi người dân và doanh nghiệp là người bạn chứ không đơn thuần là khách hàng, các ứng dụng CNTT ngành Tài chính đang hướng tới những dịch vụ công tốt nhất, an toàn nhất, đồng thời đảm bảo tính thuận lợi cho người dùng.