Giấu giếm hay chia sẻ thông tin khi bị hack?

Liên tiếp trong những ngày cuối tháng 7/2016 chúng ta được chứng kiến nhiều vụ tấn công mạng xảy ra tại Việt nam: vụ tin tặc tấn công sân bay Nội Bài và Tân Sơn Nhất, trước đó là vụ tin tặc tấn công web của Liên đoàn bóng đá Việt Nam (VFF). Sau mỗi vụ như thế, các cơ quan doanh nghiệp lại rút ra những bài học quản trị mạng, nhưng còn một câu hỏi thuộc phạm trù văn hóa "tốt khoe, xấu che" của người Việt: Giấu giếm hay chia sẻ thông tin ngay khi một trang mạng bị hack? Và nó có ảnh hưởng gì tới quá trình xử lý thông tin để góp phần cảnh báo cho cộng đồng?

Văn hóa "tốt khoe, xấu che" có ảnh hưởng khi xử lý thông tin

Theo thống kê của các cơ quan an ninh mạng, năm 2015 có 5.226 website của các cơ quan, doanh nghiệp nước ta bị hacker xâm nhập, trong đó có 340 website của cơ quan chính phủ và tổ chức giáo dục. Nếu chia bình quân thì hầu như ngày nào cũng có hacker xâm nhập vào vài trang mạng của Việt Nam. Bằng chứng còn nóng hổi, chỉ sau ngày Vietnam Airlines và VFF bị hack, ngày 30/7 có một loạt trang web tại Việt Nam bị thay đổi giao diện trang chủ. Thế nhưng điều đáng nói là, cư dân mạng đọc được thông tin này từ phía kẻ tấn công (như tổ chức "con sói đơn độc" đã tấn công vào trang mạng của VFF) vì chúng muốn khuếch trương thành tích, chứ không phải từ phía các web bị hại chủ động thông tin.

Hẳn là chẳng mấy người quên vụ Ngân hàng TMCP Tiên Phong (TPBank) bị tin tặc trộm không thành 1,13 triệu USD. Đây là loại thông tin nửa xấu-bị hack, nửa tốt-ngân hàng này đã ngăn chặn kịp thời, vậy mà thông tin tới hệ thống rất chậm chạp. Vụ việc diễn ra từ quý IV/2015 nhưng mãi sau trong hệ thống ngân hàng mới tường tận, còn công chúng tới 5 tháng sau (15/5/2016) mới biết. Còn rất nhiều trang web khác của nước ta bị tấn công trước đây cũng như những ngày gần đây đều muốn "giấu giếm thông tin" mà dân thường gọi là "ém nhẹm thông tin". Lý do thật giản đơn, vì bệnh sĩ, không ai muốn "vạch áo cho người xem lưng". Tôi còn nhớ chuyện doanh nghiệp Long Hòa ở tỉnh Tây Ninh, bị lừa hơn 100 tỷ, nhưng ông chủ tìm mọi cách ém thông tin. Ém chuyện này không phải vì ông sợ trả thù hay điều gì khác mà vì "bệnh sĩ" sợ bạn bè, đồng nghiệp cho mình là "ngố", kém cỏi. Xử lý thông tin theo cách này của người Việt có từ bao đời nay đã trở thành nét văn hóa "tốt khoe, xấu che" thấm đẫm trong họ.

Thực ra nét văn hóa này bắt nguồn từ mong muốn con người cần tự hoàn thiện mình trong cuộc sống. Để phát huy cái tốt, ngăn ngừa và hạn chế cái xấu, thì cái tốt phải được khoe ra để mọi người biết mà học tập, làm theo. Cái xấu phải che đậy để không ai học theo hay ảnh hưởng đến xã hội. Nhưng không vì thế mà che đậy mãi cái xấu để rồi ai cũng tưởng là mình tốt, đến một lúc nào đó, cái xấu như căn bệnh ung thư bung ra lấn át cái tốt, mới té ngửa ra. Chuyện ông Tuyên là thủ trưởng một cơ quan mà tôi dẫn ra sau đây là một trong số hiếm người xử thế ngược với văn hóa "tốt khoe, xấu che": Do tin tưởng cấp dưới, thiếu kiểm tra, đôn đốc để họ lợi dụng ăn cắp tiền cơ quan nên ông Tuyên bị kỷ luật. Ông đem quyết định kỷ luật lồng vào khung kính treo chỗ trang trọng nhất trong phòng khách. Mọi người trong gia đình bảo ông "hâm", người ta treo huân chương, bằng khen chứ chẳng ai khoe cái thứ này. Vợ ông giấu quyết định này, nhưng ông cứ moi ra treo tiếp. Con ông đang học phổ thông, cháu rất buồn và nghĩ không nhờ cậy được gì ở bố nữa nên quyết chí học tập, tự lo cho bản thân. Kết quả năm đó cậu ta đỗ đại học, còn ông được xóa án kỷ luật, vì đã rút được bài học về sử dụng cán bộ. Rõ là, cái xấu khoe ra không phải lúc nào cũng có hại, nếu ta dũng cảm và quyết tâm đối mặt với nó. Ở một số nước phương Tây, chẳng hạn như người Pháp lại có câu châm ngôn ngược hẳn với ta: "xấu khoe tốt che". Rất nhiều ông chủ ở Pháp nói về những thất bại và họ xem đó là điều đáng chia sẻ để cùng rút ra kinh nghiệm.

Tháng 2/2016 khi xảy ra vụ Ngân hàng Bangladesh bị tin tặc đánh cắp 81 triệu USD từ Ngân hàng trung ương nước này đã nổ ra nhiều cuộc tranh luận trong khi tìm nguyên nhân, ngoài lý do bảo đảm an ninh kém của các ngân hàng, kể cả Hiệp hội viễn thông liên ngân hàng và tài chính quốc tế (SWIFT), Cục Dự trữ Liên bang New York, có ý kiến cho rằng, việc chia sẻ thông tin ngay khi bị tin tặc tấn công hệ thống đã không được thực hiện. Phát ngôn viên của SWIFT đã nói với hãng tin Reuters rằng, các ngân hàng đã không chủ động trình báo và không minh bạch các thông tin chi tiết về vụ tấn công ngay. Nhiều chuyên gia trong lĩnh vực này cũng cho rằng: "Việc chia sẻ thông tin rất quan trọng, nếu các ngân hàng khác biết tin có hacker sớm sẽ ngăn chặn kịp thời các vụ hack và giảm thiểu các thiệt hại không đáng có".

Còn ở Việt Nam, một cán bộ công an phòng chống tội phạm công nghệ cao đã có lần khuyến cáo: "Để tránh thiệt hại, các doanh nghiệp không nên giấu thông tin mà nên báo ngay các cơ quan chức năng. Hiện nay, các doanh nghiệp vẫn còn tâm lý lo ngại khi bị tin tặc tấn công nên giấu giếm vì sợ bị trả thù, hoặc không muốn làm lớn chuyện để khỏi mất uy tín, nhưng đó lại trở thành điểm yếu để hacker lợi dụng".

Tôi tham khảo một quản trị mạng quanh chuyện thông tin khi bị hack, anh nói :"Thà chịu tiếng là kém cỏi và xem bị hack như một tai nạn nghề nghiệp cứ báo cáo thực với cấp có thẩm quyền, chia sẻ với đồng nghiệp để biết mà cảnh giác chứ đừng tìm cách ém nhẹm hung tin".

Đã có căn cứ để xử lý

Lĩnh vực công nghệ thông tin và truyền thông ở Việt Nam đã và đang phát triển mạnh mẽ, được ứng dụng rộng rãi vào mọi mặt đời sống xã hội, góp phần bảo đảm an ninh, quốc phòng của đất nước. Thông tin trên mạng đã trở thành tài sản của mỗi cá nhân, tổ chức và quốc gia. Các doanh nghiệp sẽ không thể tồn tại và phát triển nếu các thông tin hoặc hệ thống thông tin này bị đánh cắp hay bị phá hoại. Cải cách hành chính, Chính phủ điện tử, thương mại điện tử... sẽ không thể thực hiện được nếu an toàn thông tin không được bảo đảm. Nói gì, viết gì, thông báo gì, ở mức độ nào... trong thời đại Internet quả là rất nhiều vấn đề đặt ra.

Cách xử lý thông tin theo văn hóa "tốt khoe, xấu che" không còn phù hợp và cần thay đổi, tất cả đã được luật hóa. Nghị định 85/2016/NĐ-CP quy định về bảo đảm an toàn hệ thống thông tin theo cấp độ, có hiệu lực thi hành từ ngày 1/7/2016 đã quy định chi tiết về tiêu chí, thẩm quyền, trình tự, thủ tục xác định cấp độ an toàn hệ thống thông tin và trách nhiệm bảo đảm an toàn hệ thống thông tin theo 5 cấp. Chẳng hạn như, cấp độ 1 là hệ thống thông tin phục vụ hoạt động nội bộ của cơ quan, tổ chức và chỉ xử lý thông tin công cộng; Cấp độ 2 là hệ thống thông tin có một trong các tiêu chí như: Hệ thống thông tin phục vụ hoạt động nội bộ của cơ quan, tổ chức và có xử lý thông tin riêng, thông tin cá nhân của người sử dụng nhưng không xử lý thông tin bí mật nhà nước. Cấp độ 5 là hệ thống thông tin xử lý thông tin bí mật nhà nước hoặc hệ thống phục vụ quốc phòng, an ninh, khi bị phá hoại sẽ làm tổn hại đặc biệt nghiêm trọng tới quốc phòng, an ninh quốc gia...

Khi hệ thống bị mất an toàn thông tin có các mức như: Mức tổn hại thường là thông tin bị mất an toàn không mang tính bí mật và không gây tổn hại đến cá nhân, tổ chức khác, phạm vi tổn thất tài sản cục bộ, bên trong cơ quan/tổ chức. Mức tổn hại nghiêm trọng là thông tin bị mất an toàn mang bí mật của cơ quan/tổ chức, phạm vi tổn thất tài sản trên toàn phạm vi cơ quan/tổ chức; làm ảnh hưởng cục bộ đến hoạt động của cơ sở hạ tầng thông tin và truyền thông quốc gia. Mức tổn hại đặc biệt nghiêm trọng là thông tin bị mất an toàn mang tính bí mật quốc gia, bí mật quân sự, ảnh hưởng đến an ninh, quốc phòng đất nước; gây tổn hại đặc biệt nghiêm trọng tới cá nhân, tổ chức khác; làm ảnh hưởng tới toàn bộ hoạt động của cơ sở hạ tầng thông tin và truyền thông quốc gia....

Vận dụng Nghị định 85 vào thực tế như thế nào cho có hiệu quả nhất còn tùy thuộc vào người thủ trưởng cơ quan, doanh nghiệp, người quản trị mạng, nhưng đó chính là những căn cứ pháp lý để xử lý các loại thông tin, khiến người quản lý bớt đi nỗi băn khoăn, trăn trở khi bị mất an toàn thông tin, cụ thẻ là bị hack.

Đăng Ngọc