AI ‘mở rộng’ vùng rủi ro, sự phòng thủ quan trọng nhất từ đâu?
Hội thảo “Quản trị rủi ro và bảo đảm an ninh mạng cho doanh nghiệp trong kỷ nguyên AI” diễn ra ngày 2/10 tại TP.HCM đã chỉ ra một thực tế: Bảo vệ doanh nghiệp trong kỷ nguyên AI không còn là câu chuyện riêng của bộ phận công nghệ, mà trở thành yêu cầu quản trị cả hệ thống.
Tài sản số ngày càng quan trọng, nhưng doanh nghiệp vẫn dễ mất quyền kiểm soát
Sự dịch chuyển mạnh sang môi trường số đang khiến các tài sản như mã nguồn phần mềm, dữ liệu, thiết kế, logo, tài liệu kỹ thuật hay cơ sở dữ liệu trở thành những tài sản có giá trị lớn đối với doanh nghiệp. Tuy nhiên, đặc tính dễ sao chép và phát tán trên internet cũng khiến nguy cơ bị xâm phạm của loại tài sản này trong kỷ nguyên AI trở nên lớn hơn.
Theo bà Nguyễn Thị Thanh Trúc - Giám đốc Công ty TNHH Luật Sở hữu trí tuệ Điểm Tựa Vàng, các doanh nghiệp đang đối mặt với ba thách thức lớn trong quản trị tài sản sở hữu trí tuệ: Đăng ký bảo hộ muộn, chưa khai thác tốt giá trị thương mại của tài sản trí tuệ, và bị động khi phát hiện hành vi xâm phạm.
Đáng chú ý, nguyên tắc “nộp đơn đầu tiên” (first-to-file) khiến việc chậm đăng ký có thể tạo cơ hội cho đối thủ hoặc bên khác đăng ký trước, từ đó phát sinh tranh chấp về quyền đối với tài sản trí tuệ. Với doanh nghiệp công nghệ, danh mục tài sản cần được nhận diện và bảo vệ không chỉ gồm nhãn hiệu hay sáng chế, mà còn có bản quyền phần mềm, cơ sở dữ liệu, thiết kế, tài liệu hướng dẫn, video và các tài sản liên quan khác.
Bà Trúc cho rằng chuỗi giá trị của sở hữu trí tuệ (SHTT) cần được nhìn từ ba khâu: Sáng tạo – bảo hộ – thương mại hóa. Sau khi được bảo hộ, tài sản trí tuệ có thể được doanh nghiệp tự khai thác, chuyển nhượng, cấp phép hoặc sử dụng trong hoạt động nhượng quyền. Với doanh nghiệp phần mềm, đây cũng là cơ sở để biến những tài sản vô hình thành nguồn doanh thu và tạo lợi thế cạnh tranh dài hạn. Quản trị tài sản số không chỉ là câu chuyện của công nghệ. Một tài sản được tạo ra nhưng không được xác lập quyền, không có hồ sơ chứng cứ và không có quy trình xử lý khi bị xâm phạm sẽ rất khó phát huy đầy đủ giá trị.
Không dừng ở việc đăng ký, doanh nghiệp còn cần chuẩn bị cơ chế phản ứng khi tài sản bị xâm phạm. Theo bà Nguyễn Thị Thanh Trúc, khi phát hiện vi phạm trên môi trường số, doanh nghiệp cần nhanh chóng xác lập chứng cứ, xác định đối tượng, hành vi, thời gian, địa điểm và mức độ xâm phạm trước khi lựa chọn biện pháp xử lý phù hợp. Các phương án có thể bao gồm yêu cầu chấm dứt hành vi vi phạm, xử lý hành chính, khởi kiện dân sự hoặc các biện pháp hình sự theo trường hợp cụ thể.
Tấn công mạng ngày càng tinh vi: Phòng thủ không thể chỉ dựa vào tường lửa
Nếu SHTT là một lớp tài sản cần được bảo vệ về mặt pháp lý thì hệ thống công nghệ và dữ liệu lại đứng trước một lớp rủi ro trực tiếp hơn: Các cuộc tấn công mạng. Ông Nguyễn Quyết - Giám đốc Trung tâm Kiến trúc Giải pháp và Quản lý Dịch vụ, CMC Telecom - đưa ra bức tranh về mức độ gia tăng của các nguy cơ đối với doanh nghiệp.
Đáng chú ý, phương thức tấn công cũng đang thay đổi. Ransomware không chỉ mã hóa dữ liệu để tống tiền mà còn có thể kết hợp với việc đe dọa phát tán thông tin mật. Các hình thức “social engineering” và “deepfake” tạo điều kiện cho hành vi giả mạo; trong khi đó, tấn công chuỗi cung ứng và khai thác lỗ hổng “zero-day” trên cloud/API tiếp tục mở rộng bề mặt tấn công của doanh nghiệp.
Theo ông Nguyễn Quyết, một vấn đề khác nằm ở khoảng trống phòng thủ bên trong doanh nghiệp. Nhân sự an ninh mạng chuyên sâu còn thiếu, ngân sách đôi khi bị chia nhỏ cho nhiều giải pháp nhưng thiếu khả năng giám sát tổng thể. Trong khi đó, những hành vi tưởng như đơn giản như bấm vào liên kết độc hại, sử dụng mật khẩu dùng chung hay vận hành hệ thống mà không có giám sát bất thường 24/7 đều có thể trở thành mắt xích trong một chuỗi tấn công.
Theo số liệu được ông Nguyễn Quyết - Giám đốc Trung tâm Kiến trúc Giải pháp và Quản lý Dịch vụ, CMC Telecom - trình bày, hơn 552.000 cuộc tấn công mạng nhằm vào các tổ chức được ghi nhận trong năm qua, gây thiệt hại tài chính hơn 18.000 tỉ đồng do gián đoạn vận hành, tiền chuộc dữ liệu và lừa đảo. Thời gian trung bình mã độc tồn tại trong hệ thống trước khi bị phát hiện được nêu ở mức 21 ngày.
Thay vì chỉ dựa vào tường lửa hoặc các công cụ phát hiện mã độc truyền thống, chiến lược phòng thủ được ông Quyết đề cập gồm nhiều lớp: Bảo vệ đầu cuối bằng XDR/EDR, quản lý và phân tích log thông qua SIEM, kết hợp threat intelligence để nhận diện các mối đe dọa mới. Mục tiêu là chuyển từ thế bị động sang giám sát và săn lùng mối đe dọa chủ động.
Rủi ro không chỉ đến từ hacker: Dữ liệu có thể bị thất thoát ngay bên trong doanh nghiệp
Một trong những thay đổi đáng chú ý của kỷ nguyên AI là ranh giới giữa “người dùng” và “hệ thống công nghệ” ngày càng trở nên khó phân định. Nhân viên có thể sử dụng các công cụ AI công cộng, dịch vụ đám mây hoặc những phần mềm không nằm trong danh mục được doanh nghiệp kiểm soát để xử lý công việc.
Theo ông Hoàng Tuấn Anh - Giám đốc Quốc gia của SearchInform Việt Nam, doanh nghiệp cần trả lời ba câu hỏi trước khi xây dựng hệ thống quản trị dữ liệu: Pháp luật yêu cầu gì và mức xử phạt ra sao; rủi ro thực sự đang nằm ở đâu; và doanh nghiệp cần làm gì để lấy lại quyền kiểm soát.
Rủi ro có thể xuất hiện từ những người có quyền truy cập đặc biệt, nhà thầu, nhân sự nghỉ việc hoặc những vị trí thường xuyên tiếp xúc với dữ liệu khách hàng, nhân viên, nhà cung cấp và bí mật kinh doanh. Khi AI được sử dụng ngày càng phổ biến, một nguy cơ mới cũng xuất hiện. Đó là việc nhân viên đưa dữ liệu nhạy cảm vào các nền tảng AI công cộng hoặc tải tài liệu nội bộ lên các dịch vụ bên ngoài. Theo ông Hoàng Tuấn Anh, cùng với shadow IT (phần mềm, ứng dụng, dịch vụ đám mây hoặc công cụ công nghệ mà doanh nghiệp chưa phê duyệt hoặc không quản lý) và việc sử dụng đám mây ngoài kiểm soát có thể mở rộng đáng kể phạm vi thất thoát dữ liệu.
Do đó, quản trị dữ liệu cần chuyển từ tư duy “bảo vệ hệ thống” sang “kiểm soát vòng đời và dòng chảy dữ liệu”. Theo cách tiếp cận được ông Tuấn Anh trình bày, doanh nghiệp trước hết phải xác định dữ liệu đang nằm ở đâu, sau đó kiểm soát ai được quyền truy cập, sử dụng và chia sẻ; đồng thời giám sát các luồng dữ liệu bất thường và có khả năng điều tra, lưu giữ chứng cứ khi xảy ra sự cố.
Đặc biệt, lớp kiểm soát AI cần được bổ sung vào hệ thống quản trị dữ liệu. Doanh nghiệp có thể đặt chính sách để ngăn việc tải tệp nhạy cảm lên nền tảng AI, kiểm soát những loại dữ liệu được phép đưa vào câu lệnh hoặc hạn chế việc sử dụng các nền tảng không được doanh nghiệp phê duyệt.
Điều này cho thấy “người bên trong” không nhất thiết phải là một nhân viên có chủ ý đánh cắp dữ liệu. Chỉ một hành vi sử dụng công cụ không được kiểm soát cũng có thể tạo ra một điểm rò rỉ mới.
Doanh nghiệp cần một “playbook” quản trị rủi ro
Ở lớp phòng thủ kỹ thuật, ông Nguyễn Quyết đề xuất doanh nghiệp chuẩn bị sẵn kịch bản ứng phó sự cố. Khi phát hiện dấu hiệu xâm nhập, bước đầu tiên là cô lập vùng bị lây nhiễm bằng cách ngắt kết nối mạng nhưng không tùy tiện tắt nguồn máy chủ; tiếp đó thu thập bằng chứng số, xác định nguyên nhân, vá lỗ hổng, thay đổi thông tin xác thực và chỉ đưa hệ thống trở lại hoạt động sau khi đã làm sạch. Việc khôi phục cần dựa trên bản sao lưu sạch, trong đó mô hình sao lưu 3-2-1 với một bản ngoại tuyến (offline) hoặc bất biến (immutable) được nhấn mạnh như một lớp bảo vệ quan trọng.
Ở lớp dữ liệu và con người, ông Hoàng Tuấn Anh đặt trọng tâm vào khả năng nhìn thấy dữ liệu, kiểm soát quyền truy cập, giám sát hành vi và phát hiện các hoạt động bất thường. Hệ thống giám sát có thể nhận diện những dấu hiệu như chuyển lượng lớn dữ liệu, sử dụng phần mềm không được cấp phép, hoạt động ngoài giờ bất thường, chia sẻ tài khoản hay các hành vi liên quan đến nguy cơ thất thoát dữ liệu.
Trong khi đó, ở lớp tài sản trí tuệ, bà Nguyễn Thị Thanh Trúc nhấn mạnh yêu cầu phải chủ động xác lập quyền và chuẩn bị chứng cứ, quy trình xử lý ngay từ trước khi xảy ra tranh chấp. Với doanh nghiệp số, các biện pháp như mã hóa, watermark, chữ ký số hay những cơ chế phát hiện hành vi sao chép bất thường có thể hỗ trợ quá trình bảo vệ và xác lập chứng cứ khi cần thiết.
Nhìn tổng thể, quản trị rủi ro trong kỷ nguyên AI đang hình thành một chuỗi phòng thủ liên tục: Xác định tài sản – xác lập quyền – kiểm soát dữ liệu – giám sát con người – bảo vệ hệ thống – phát hiện bất thường – ứng phó sự cố – khôi phục và rút kinh nghiệm.
Thông điệp được bà Nguyễn Thị Thanh Trúc đưa ra, SHTT không chỉ là một khoản chi phí pháp lý mà là khoản đầu tư bảo vệ sự tồn tại và phát triển của doanh nghiệp số. Còn theo ông Nguyễn Quyết, an ninh mạng là một hành trình, không phải đích đến. Khi AI tiếp tục mở rộng cả năng lực sáng tạo lẫn bề mặt tấn công, yêu cầu quan trọng nhất với doanh nghiệp là phải chủ động xây dựng năng lực kiểm soát trước khi rủi ro biến thành sự cố.