An ninh thông tin – vấn đề mã hoá thông tin nhạy cảm của các cơ quan Chính phủ Mỹ

14:00 | 03/07/2009 | CHÍNH SÁCH - CHIẾN LƯỢC

Tóm tắt báo cáo của Văn phòng GAO (Mỹ)

1. GAO xác định thuật ngữ thông tin nhạy cảm đề cập trong báo cáo bao gồm: Thông tin an ninh quốc gia, thông tin về quốc nội; “Số an sinh xã hội; Các bản ghi y tế; Dữ liệu hành pháp; Các thông tin riêng khác có thể bị tiết lộ không hợp lý, bị xem lướt, hoặc bị sao chép không đúng qui định hoặc phục vụ cho mục đích phạm tội”.

2. Báo cáo của GAO về An ninh thông tin được công bố vào tháng 06/2008. Đây là kết quả khảo sát ở 24 cơ quan lớn của Chính phủ Mỹ. Trong đó, có 10 cơ quan xử lý các thông tin y tế nhạy cảm; 16 cơ quan có những thông tin luật pháp nhạy cảm; 19 cơ quan có thông tin nhân thân; và 20 cơ quan có thông tin về các chương trình đặc thù.

3. Hạ tầng kỹ thuật trọng yếu được GAO diễn tả gồm: Hạ tầng mạng; Hạ tầng vật lý; các cơ sở Hạ tầng công cộng và chuyên dùng khác khác cần thiết để bảo đảm an ninh quốc gia, an ninh kinh tế quốc gia hoặc cho sự an toàn và sức khỏe của cộng đồng.

4. Mã hóa là biện pháp hỗ trợ bảo vệ các thông tin nhạy cảm: Các công nghệ mã hóa để bảo mật thông tin lưu trữ gồm: Mã hóa toàn bộ đĩa; Mã hóa bằng phần cứng; Mã hóa tệp, thư mục, ổ đĩa ảo. Trên đường truyền tin, thông tin nhạy cảm được bảo vệ bằng các công nghệ: Mạng riêng ảo (VPN); Chữ ký số và Chứng chỉ số; Các công nghệ mã hóa áp dụng cho các thiết bị điện toán cầm tay.

5. Luật pháp và hướng dẫn thực hiện luật pháp bao gồm:

- Các luật Liên bang không bắt buộc các tổ chức phải mã hóa thông tin nhạy cảm, luật trao trách nhiệm bảo vệ an ninh thông tin cho các cơ quan Chính phủ.

- Đặc biệt, Luật An ninh thông tin Liên bang 2002 (Federal Information Security Management Act – FISMA 2002) được gói trong Luật Chính phủ điện tử 2002 (E-Government Act 2002) cung cấp khung pháp lý để đảm bảo kiểm soát hiệu quả thông tin và hệ thống thông tin của các cơ quan Chính phủ.

- Cơ quan Hành chính, quản trị Chính phủ (Office of Management and Budget - OMB) là cơ quan chịu trách nhiệm thiết lập chính sách và hướng dẫn các cơ quan chính phủ thi hành Luật FISMA, Luật Bí mật cá nhân (Privacy Act), và các luật an ninh thông tin, luật bí mật cá nhân khác.

- NIST chịu trách nhiệm cung cấp cho các cơ quan Chính phủ những hướng dẫn lập kế hoạch; hướng dẫn triển khai; các chuẩn bắt buộc để xác định, phân loại thông tin, và lựa chọn biện pháp bảo vệ cần thiết.

6. Thực tế, mức độ quan tâm đến mã hóa dữ liệu nhạy cảm rất khác nhau. Các cơ quan thường ít quan tâm đến dữ liệu lưu trữ mà quan tâm nhiều hơn đến mã hóa dữ liệu trên đường truyền.

- Rất ít cơ quan thực hiện mã hóa các thông tin lưu trữ trên thiết bị lưu động (Đây là yêu cầu bắt buộc của OMB). Với 24 cơ quan đã khảo sát, tỷ lệ không mã dữ liệu trên các thiết bị lưu động là 70%.

- Việc thực hiện mã hóa không có kế hoạch đầy đủ, chưa tuân thủ hướng dẫn của NIST về việc lập hồ sơ kế hoạch thực hiện. Văn bản số 800-53 (NIST Special Publication 800-53) của NIST hướng dẫn và yêu cầu các cơ quan tiến hành kiểm kê thông tin và lựa chọn biện pháp bảo vệ. 75% các cơ quan được khảo sát không tiến hành kiểm kê thông tin nhạy cảm đang nắm giữ.

- Thực tế ứng dụng mã hóa ở tất cả các cơ quan còn yếu: Không có cơ quan nào cài đặt các sản phẩm tương thích với các qui định của FIPS (Yêu cầu bắt buộc của OMB). Hiện nay, các cơ quan chính phủ Mỹ có thể được cung cấp các sản phẩm mã hóa tuân theo Tiêu chuẩn môđun mật mã an toàn FIPS 140-2 từ Chương trình “SmartBUY” của Văn phòng Chính phủ Mỹ. Nhiều cơ quan cài đặt, cấu hình hệ thống chưa hoàn chỉnh theo đúng yêu cầu của NIST. Hầu hết các cơ quan chưa xây dựng hoặc chưa lập hồ sơ các qui định, qui trình mã hóa. Một số cơ quan chưa đào tạo đầy đủ đội ngũ nhân viên ATTT.

* GAO còn đưa ra 20 khuyến nghị cần thực hiện ngay đối với OMB và một số cơ quan Chính phủ quan trọng:

- Đối với OMB: Làm rõ chính sách bắt buộc các cơ quan Chính phủ phải mã hóa thông tin nhạy cảm; giám sát các hoạt động ứng dụng mã hóa, kiểm kê thông tin nhạy cảm đang lưu giữ của các cơ quan Chính phủ.

- Đối với các cơ quan Chính phủ khác, yêu cầu phải sử dụng các sản phẩm mật mã đáp ứng tiêu chuẩn của FIPS 140-2 để mã hóa thông tin; xây dựng chính sách, quy trình thiết lập và quản lý khóa; xây dựng quy trình đảm bảo sử dụng mật mã theo quy định của FIPS.

‹ › ×

Tin liên quan

Úc: 519 vụ vi phạm dữ liệu xảy ra trong 6 tháng cuối năm 2020

08:00 | 01/03/2021

Các cơ quan của Úc chịu sự điều chỉnh của Đạo luật về quyền riêng tư đã báo cáo 519 trường hợp vi phạm dữ liệu trong 6 tháng cuối năm, tăng 5% so với nửa đầu năm 2020.

Các mối đe dọa nhắm mục tiêu tới các cơ quan chính phủ ngày càng gia tăng

17:00 | 02/07/2021

Nghiên cứu mới đây về gian lận trong khu vực công của Cơ quan báo cáo tín dụng tiêu dùng TransUnion Mỹ nhấn mạnh, các vụ việc như chiếm đoạt tài khoản đã làm giảm lòng tin của người dùng vào các dịch vụ di động và trực tuyến của chính phủ.

Tin cùng chuyên mục

Mỹ tăng cường bảo vệ dữ liệu cá nhân của công dân

09:00 | 19/03/2024

Ngày 28/2, chính quyền Tổng thống Joe Biden đã công bố một Sắc lệnh hành pháp nhằm bảo vệ dữ liệu cá nhân của công dân Mỹ trước nguy cơ có thể bị chuyển sang các quốc gia khác.

Chiến lược không gian mạng năm 2023 của Bộ Quốc phòng Mỹ

09:00 | 28/02/2024

Hiện nay, Mỹ đang đứng trước những thách thức và đe dọa trên không gian mạng bởi các nhóm tin tặc hoạt động tinh vi, có mức độ bao phủ rộng, chủ yếu tập trung vào cơ sở hạ tầng và hệ thống mạng của các tổ chức, doanh nghiệp và cơ quan chính phủ, gây nguy hại đến tình hình an ninh mạng quốc gia. Do vậy, Chính phủ Mỹ bên cạnh việc thiết lập những chính sách và giải pháp ngăn chặn thì cũng đã giao trọng trách cho Bộ Quốc phòng Mỹ (Department of Defense - DoD) xây dựng, hoạch địch chiến lược an ninh mạng chống lại các mối đe dọa. Bài báo sẽ đưa ra những nội dung chính trong bản tóm tắt về Chiến lược không gian mạng 2023 của DoD.

Biện pháp trấn áp lừa đảo trực tuyến mới nhất được Thái Lan công bố

16:00 | 06/10/2023

Mới đây, Bộ Xã hội và Kinh tế số Thái Lan đã công bố kế hoạch ba điểm nhằm trấn áp mạnh tay hoạt động lừa đảo trực tuyến, đặc biệt là lừa đảo qua điện thoại. Kế hoạch này bao gồm xây dựng Phòng tác chiến, áp dụng Trí tuệ nhân tạo (AI) và “vaccine mạng”.

Truyền thông - cầu nối nâng cao nhận thức về an ninh, an toàn thông tin trên toàn thế giới

23:00 | 28/09/2023

Với sự phổ biến của Internet, mạng xã hội, các thông tin được lan truyền với tốc độ nhanh chóng và rất khó kiểm soát, trong đó nhiều thông tin có nguồn gốc không đáng tin cậy, thông tin sai sự thật, trở thành những mối lo ngại được chính phủ các nước đặc biệt quan tâm. Do đó, truyền thông có một nhiệm vụ quan trọng là hỗ trợ cơ quan quản lý và chính phủ trong việc định hướng dư luận xã hội để ngăn chặn các luồng thông tin sai lệch, không chính thống. Có thể nói truyền thông là nhân tố, phương tiện có sức mạnh đặc biệt to lớn trong việc định hướng nhận thức và hình thành dư luận xã hội về an toàn thông tin. Với vai trò quan trọng của mình, truyền thông là cầu nối giúp tuyên truyền, phổ biến các chính sách, nâng cao nhận thức về an ninh, an toàn thông tin không chỉ tại Việt Nam mà còn trên toàn thế giới.