Vụ tấn công mạng chấn động gần đây vào công ty SolarWinds đã dấy lên lo ngại rất lớn về nguy cơ dữ liệu bị truy cập trái phép trên toàn cầu.

Cuộc tấn công gần đây nhất đã không bị phát hiện trong nhiều tháng và  ảnh hưởng đến hàng nghìn khách hàng. Tin tặc đã đột nhập các công ty trong danh sách Fortune 500 như Microsoft, Intel, Cisco và Deloitte và cũng tấn công đến các cơ quan chính phủ Hoa Kỳ, bao gồm Bộ An ninh Nội địa, Kho bạc và Cơ quan Quản lý An ninh Hạt nhân Quốc gia.

Tin tặc đã chèn mã độc vào bản cập nhật phần mềm SolarWinds Orion Platform là một phần mềm dùng để quản lý môi trường CNTT. Khi các bản cập nhật thường xuyên được gởi đi, nó đã vô tình chứa mã độc.
Hệ thống CNTT của mỗi khách hàng được theo dõi từ xa và phần mềm độc hại bổ sung đã được cài đặt để tạo điều kiện cho gián điệp.

Có một đội ngũ công nghệ nội bộ luôn là lợi thế

Quy mô và mức độ nghiêm trọng của vụ tấn công mạng này là chưa từng có; và rất có thể, nó sẽ dẫn đến một sự thay đổi hoàn toàn đối với việc quản lý an ninh mạng trong tương lai.

Khi tìm kiếm các đối tác để bảo mật dữ liệu của bạn, hãy xem xét các yếu tố rủi ro liên quan một cách cẩn trọng. Bạn nên tìm kiếm một đối tác có đội ngũ công nghệ nội bộ mạnh và cam kết tuân thủ các tiêu chuẩn ngành.

Tại Velotrade, chúng tôi có một đội ngũ các chuyên gia CNTT để hỗ trợ và phát triển cơ sở hạ tầng công nghệ. Chúng tôi liên tục quản lý các bản cập nhật phần mềm để khách hàng được bảo vệ hoàn toàn trước các nguy cơ bị xâm nhập dữ liệu.

Velotrade sử dụng các công nghệ tiên tiến hàng đầu để đảm bảo tính hoàn thiện của nền tảng. Chúng tôi sử dụng ngôn ngữ JavaScript và nền tảng Angular. Kubernetes được sử dụng để tự động hoá và triển khai ứng dụng. Và Amazon Web Services (AWS) đóng vai trò là nền tảng lưu trữ chính cho sự hiện diện trực tuyến của Velotrade và cung cấp một điểm kết nối uy tín, an toàn cho tất cả các API.

APIs: Cơ hội và cũng là mối đe doạ khi khả năng kết nối trực tuyến phát triển

Vụ tấn công vào SolarWinds mang tính bước ngoặt đã cho thấy một vấn đề thường gặp mà các tổ chức thuộc mọi lĩnh vực phải đối mặt. Khi triển khai các dịch vụ mới để thúc đẩy các mô hình kinh doanh trực tuyến, có một vài ưu và nhược điểm của việc sử dụng API của bên thứ ba. API (Giao diện lập trình ứng dụng) cung cấp kết nối toàn cầu giúp quy trình dễ tiếp cận hơn bao giờ hết.

Các công ty thuộc tất cả các ngành hiện có thể triển khai các ứng dụng từ các nhà cung cấp dịch vụ bên thứ ba. Các nhà cung cấp dịch vụ bán lẻ, ngân hàng, tài chính và B2B đều có thể tăng tốc độ phát triển một loạt các dịch vụ toàn diện.

Tuy nhiên, các API cũng giúp tin tặc dễ dàng tìm thấy điểm truy cập vào bất kỳ hệ thống máy tính nào. Hơn nữa, nếu phần lớn tương tác với khách hàng của bạn diễn ra trực tuyến – những rủi ro có thể tác động đến sự tồn tại của doanh nghiệp bạn.

Điều gì sẽ xảy ra nếu bạn không quản lý các API bên thứ ba của mình

Các doanh nghiệp phụ thuộc vào Nhà cung cấp dịch vụ bên thứ ba khi họ áp dụng các công nghệ mới. Trong số các lợi ích mang lại, kết nối API giúp tăng tốc sự sự hiện diện trực tuyến hiệu quả. Tuy nhiên, nó cũng làm tăng nguy cơ rủi ro liên quan đến tự động hóa.

Vì lý do này, các API của bên thứ ba phải được quản lý chặt chẽ để tránh những rủi ro đáng kể. Những rủi ro có thể kể đến như:

  • mất hoặc bị đánh cắp dữ liệu cá nhân
  • vi phạm bảo mật dữ liệu
  • các vấn đề về rửa tiền và tài trợ khủng bố, đặc biệt là đối với các ngân hàng

Những rủi ro này càng lớn bởi sự gia tăng gần đây về làm việc từ xa khi nhân viên có thể kết nối với mạng công ty từ những địa điểm không an toàn.

Các rủi ro khác bao gồm:

  •  các cuộc tấn công lừa đảo lan rộng
  • chỉ cần một cú nhấp chuột vào tệp đính kèm bị nhiễm độc là có thể làm tổn hại đến toàn bộ hệ thống mạng công ty.

Giảm thiểu rủi ro dữ liệu – LÀM THẾ NÀO?

Để giảm thiểu những rủi ro trên, có một Chương trình Quản lý Rủi ro của Bên thứ ba hiệu quả là điều thật sự cần thiết. Mọi tổ chức nên bắt đầu với việc tìm hiểu vè công nghệ của từng nhà cung cấp và đánh giá rủi ro của họ.

Bước tiếp theo sẽ phức tạp hơn: đưa từng nhà cung cấp vào dây chuyền. Đối với các tổ chức tài chính, việc tuân thủ đầy đủ các quy định về GDPR hoặc PSD2 có thể cần thiết. Tuy nhiên, vẫn cần phải kiểm tra kỹ lưỡng để đảm bảo rằng tất cả các API đều đáp ứng các yêu cầu nghiêm ngặt.

Ở mức tối thiểu, bạn nên:

  • Chặn đưa dữ liệu không đáng tin cậy qua các API. Loại bỏ bất kỳ cơ hội nào để thực hiện các lệnh không mong muốn hoặc truy cập dữ liệu mà không có sự cho phép thích hợp.
  • Đảm bảo sự  chính xác về xác thực và quản lý phiên. Tránh mật khẩu bị lấy cấp và truy cập hệ thống trái phép.
  • Tránh để lộ dữ liệu nhạy cảm. Các dữ liệu đám mây và các ứng dụng giúp bảo vệ tất cả dữ liệu của khách hàng (danh tính khách hàng, thẻ tín dụng, v.v.).
  • Sửa chữa các  truy cập bị hỏng. Tin tặc không thể lợi dụng tài khoản người dùng để truy cập các tệp nhạy cảm và sửa đổi dữ liệu người dùng hoặc thay đổi quyền truy cập.
  • Tránh cấu hình sai bảo mật. Tất cả các hệ điều hành và ứng dụng phải được định cấu hình an toàn và cập nhật kịp thời.
  • Kiểm tra tất cả các hệ thống để tìm các lỗ hổng. Thường xuyên cập nhật hệ thống của bạn để bảo vệ khỏi những rủi ro đã biết có thể làm suy yếu khả năng bảo vệ của ứng dụng.
  • Đảm bảo có nhật ký và giám sát toàn diện cũng như theo dõi báo cáo sự cố. Nếu không có sự giám sát cẩn thận, những kẻ tấn công có được quyền tự do để giả mạo, trích xuất và phá hủy dữ liệu.

Tương lai: Doanh nghiệp và API

Mặc dù để thực hiện tất cả các bước trên không hề dễ dàng nhưng không có giải pháp nào thay thế được việc bảo mật hệ thống được kiểm soát và cẩn thận – đặc biệt là khi API của bên thứ ba làm tăng mức độ phức tạp của việc đảm bảo an toàn dữ liệu trong tổ chức của bạn.

Ngày nay, các doanh nghiệp trực tuyến hướng đến mục tiêu trở thành những FinTech. Họ tự quản lý các giao dịch trực tuyến và xử lý tiền của khách hàng. Tuy nhiên hầu hết các lĩnh vực đều gặp phải rủi ro khi thực hiện mục tiêu này. Các doanh nghiệp trực tuyến này có thể nhanh chóng trở thành đối tượng cho những kẻ xấu tấn công.

API ngày càng được sử dụng rộng rãi. Phần mềm này ngày càng phức tạp, có thêm nhiều nguồn dữ liệu không đảm bảo. Mức độ không an toàn ngày càng tăng với các lỗ hổng tiềm ẩn trong các hệ thống chưa được quản lý có thể hủy hoại một tổ chức ở bất kỳ quy mô nào. 

Với ví dụ điển hình của SolarWinds cho thấy nguy cơ bị tấn công mạng ngày càng đáng lo ngại như thế nào, việc lựa chọn một đối tác công nghệ phù hợp là quan trọng hơn bao giờ hết.