Penetration Testing và Vulnerability Assessment giống và khác gì nhau?

VSEC - BLOG Dành cho Chuyên gia kiểm thử

Trong vũ trụ từ điển về các hình thức đánh giá bảo mật thì Penetration Testing (Kiểm thử xâm nhập) và Vulnerability Assessment (Đánh giá lỗ hổng bảo mật) được coi là 2 kỹ thuật khá quen thuộc và điển hình hay được sử dụng nhiều nhất. Tuy về mặt chức năng, cách thức và kỹ thuật thực hiện có thể khác biệt nhưng về kết quả cuối cùng thì cả 2 hình thức này đều nhằm đến việc đánh gía được sức mạnh bảo mật của hệ thống.

Để làm rõ hơn cho doanh nghiệp trong việc lựa chọn hình thức đánh giá bảo mật nào phù hợp hơn cho mình, chúng tôi sẽ liệt kê một số điểm khác biệt cơ bản như bên dưới.

Thế nào là Vulnerability Assessment (Đánh giá lỗ hổng bảo mật) – Viết tắt là VA?

Đúng như tên gọi của nó, VA là hình thức đánh giá bảo mật mà thông qua hình thức này, doanh nghiệp có thể tìm ra được nhiều nhất các lỗ hổng có thể có. Bằng VA, tổ chức sẽ ứng phó được các cuộc tấn công mạng vào hệ thống nhờ vào việc nhận diện, phân loại và giải quyết các rủi ro bảo mật cùng hướng dẫn để giảm thiểu các rủi ro một cách tốt nhất.

Khuyến cáo: Đơn vị thực hiện VA có thể chưa có nhân sự chuyên môn hoặc hệ thống quản trị chưa được trang bị nhiều công cụ bảo mật, nhưng có thể đã xác định được mục tiêu rà soát các lỗ hổng trong hệ thống để có khuyến cáo phù hợp.

Hình thức VA cơ bản mà các đơn vị này thực hiện thường tập trung vào việc đánh giá bảo mật trên website, ứng dụng, … cho đến hạ tầng công nghệ thông tin của doanh nghiệp.

 

Tại sao cần đánh giá lỗ hổng bảo mật – Vulnerability Assessment?

Mọi chuyên gia an toàn thông tin đều khuyến nghị doanh nghiệp cần đánh giá VA càng sớm càng tốt vì hệ thống core value của doanh nghiệp cần được đảm bảo mức độ an toàn tối đa trước khi mở rộng hoặc nâng cấp theo tốc độ phát triển kinh doanh của đơn vị. Sau đây là 4 lý do cơ bản:

Thứ nhất, VA giúp xác định sớm các mối đe doạ và điểm yếu trong việc bảo mật hệ thống CNTT

Thứ hai, sau VA bộ phận CNTT sẽ cần cso các hành động khắc phục để thu hẹp các lỗ hổng và bảo vệ hệ thống thông tin nhạy cảm

Thứ ba, VA giúp doanh nghiệp áp dụng triển khai và đáp ứng các yêu cầu tuân thủ, và các quy định an ninh mạng hiện hành như HIPAA và PCI DSS

Thứ tư, VA giúp bảo vệ chống lại các vi phạm dữ liệu và truy cập trái phép

Chỉ khi doanh nghiệp có đội ngũ bảo mật hoặc quản trị thông tin chuyên biệt mới nên thực hiện Penetration Testing?

Không đúng hoàn toàn. Việc thực hiện Đánh giá kiểm thử thông qua các chuyên gia bảo mật sẽ là hình thức đánh giá đi khá sâu vào hệ thống CNTT của doanh nghiệp nhằm mục tiêu phát hiện ra những điểm yếu tiềm tàng và đánh giá được mức độ an toàn của hệ thống. Có nhiều mô hình và cách thức triển khai đánh giá bảo mật để doanh nghiệp lựa chọn để giảm thiểu rủi ro bẻ vỡ cấu trúc bảo mật của hệ thống như Pentest As A Service, Network Pentest, Web Application Pentest, Mobile Application Pentest, API Pentest, …

Trong đa số trường hợp, các doanh nghiệp cần kiểm tra năng lực phòng thủ của đội ngũ sẽ lựa chọn hình thức đánh giá bảo mật Penetration Testing thậm chí là Red Team (Đánh giá thâm nhập sâu) để kiểm tra khả năng của hệ thống lẫn trình độ chuyên môn của chính đội ngũ nhân sự.

Tuy nhiên, lựa chọn hình thức nào thì doanh nghiệp cũng đều cần đưa ra những mục tiêu rõ ràng, các nguyên tắc và giới hạn hình thức tấn công để đảm bảo quản trị được các rủi ro trong quá trình thực hiện đánh giá bảo mật.

IBM công bố đối tác chiến lược mới về bảo mật tại Việt Nam

Nổi bật

Hà Nội, ngày 25 tháng 8 năm 2023 – Tập đoàn công nghệ hàng đầu thế giới IBM đã chính thức công bố đối tác chiến lược mới trong lĩnh vực bảo mật tại sự kiện đầy mong đợi “IBM Security QRadar Suite – Dự đoán, ngăn chặn và ứng phó với các mối đe dọa An toàn thông tin và Truyền thông” diễn ra vào hôm nay tại Việt Nam. 

Sự kiện quan trọng “IBM Security QRadar Suite – Dự đoán, ngăn chặn và ứng phó với các mối đe dọa An toàn thông tin và Truyền thông” do IBM phối hợp cùng VSEC và nhà phân phối Tech Data tổ chức đã thu hút sự chú ý của các chuyên gia bảo mật, nhà quản lý rủi ro và lãnh đạo doanh nghiệp thuộc lĩnh vực Tài chính và Tập đoàn lớn tại Việt Nam. Trong bối cảnh ngày càng phức tạp và đa dạng của các mối đe dọa an toàn thông tin và truyền thông (ATTT), việc hợp tác đối tác chiến lược trong lĩnh vực bảo mật trở nên cấp bách hơn bao giờ hết. IBM đã chọn một đối tác uy tín và giàu kinh nghiệm để cùng hợp tác phát triển giải pháp bảo mật toàn diện, chất lượng cao nhằm đối phó hiệu quả với các mối đe doạ ATTT đang ngày càng tinh vi và phức tạp trong môi trường kỹ thuật số. 

Trung tâm giám sát điều hành an toàn, an ninh mạng (SOC) là một giải pháp hữu hiệu trong việc dự đoán, ngăn chặn và ứng phó với các mối đe dọa ATTT hiện tại trong doanh nghiệp, tổ chức. Theo số liệu thống kê, 63% tổ chức tìm kiếm cách thức cải thiện khả năng của SOC trong việc phát hiện và ngăn chặn. Thông qua việc cung cấp một nền tảng đồng nhất, đầy đủ các giải pháp công nghệ cần cho SOC, IBM Security QRadar Suite giúp các doanh nghiệp, tổ chức giải quyết bài toán về sự phức tạp trong công nghệ, giúp các kỹ sư tập trung chính vào hoạt động giám sát để đối phó với các mối nguy hiện đại. Dịch vụ giám sát điều hành an toàn, an ninh mạng trên nền tảng IBM Security Qradar Suite (hay còn gọi là Managed Qradar) là chìa khóa được VSEC cung cấp để giải quyết bài toán về Con người và Quy trình – thách thức rất lớn tại các tổ chức, doanh nghiệp hiện nay. 

Bà Ứng Thị Diệu Uyên – Giám đốc đối tác IBM, chia sẻ: ” IBM luôn tìm những đối tác có thể mang những dịch vụ “end to end” về an toàn thông tin, đặc biệt là trong lĩnh vực SOC tốt nhất và có đẳng cấp thế giới cho khách hàng. VSEC là một đơn vị lâu năm trong lĩnh vực MSSP như vậy. Quý khách có thể hoàn toàn tin tưởng 100% vào sự hợp tác của VSEC và IBM trong thời gian tới, sẽ mang đến những dịch vụ chất lượng để đảm bảo vệ an toàn thông tin cho doanh nghiệp của mình để ngày càng phát triển hơn”. 

Bà Ứng Thị Diệu Uyên – Giám đốc đối tác IBM (trái) và bà Phan Thị Hải Anh (phải) – Giám đốc Kinh doanh giải pháp IBM tại Tech Data trao hoa và kỷ niệm chương cho VSEC

Tại lễ công bố, ông Lê Đức Hợp – Giám đốc kinh doanh khu vực miền bắc Công ty Cổ phần An ninh mạng Việt Nam bày tỏ: “Trong quá trình phát triển của mình, VSEC không ngừng tìm kiếm các đối tác có thể cùng cộng hưởng giá trị với VSEC để đem lại giá trị dịch vụ tốt nhất và hiệu quả nhất cho khách hàng. Việc trở thành đối tác chiến lược của IBM sẽ khẳng định hơn vị thế của VSEC không chỉ trong thị trường Việt Nam mà còn trên thị trường quốc tế”. 

Có thể nói, sự kiện “IBM Security QRadar Suite” không chỉ giới thiệu các giải pháp tiên tiến, mà còn là nơi các chuyên gia và doanh nghiệp có cơ hội thảo luận, trao đổi và cập nhật kiến thức về tình hình bảo mật hiện tại và tương lai. 

Về IBM: 

IBM là một tập đoàn công nghệ toàn cầu định hình tương lai của doanh nghiệp thông qua việc kết nối thông tin, phân tích thông tin và ứng dụng trí tuệ nhân tạo để giải quyết các thách thức phức tạp của thế giới. Với hơn 100 năm kinh nghiệm, IBM đã và đang thúc đẩy sự đổi mới trong nhiều lĩnh vực, bao gồm công nghiệp, điều khiển giao thông, dược phẩm và năng lượng. IBM có mặt ở hơn 170 quốc gia trên toàn thế giới. 

 

Về VSEC: 

VSEC là Nhà cung cấp dịch vụ quản trị An toàn thông tin đầu tiên tại Việt Nam đạt được cả 2 chứng nhận quan trọng là CREST cho dịch vụ Trung tâm giám sát – vận hành An toàn thông tin và dịch vụ Đánh giá An toàn thông tin Pentest. Với 20 năm kinh nghiệm hoạt động trong lĩnh vực an ninh mạng, đã cung cấp dịch vụ ATTT cho hơn 1.000 tổ chức, doanh nghiệp trong nước và quốc tế, trong đó hơn 50% các ngân hàng tại Việt Nam đã lựa chọn sử dụng các dịch vụ bảo mật. 

Tại sao cần hợp tác với một nhà cung cấp dịch vụ kiểm thử xâm nhập đạt chứng nhận CREST?

Nổi bật Thông cáo - Tin tức VSEC - BLOG

Kiểm thử xâm nhập (Penetration Testing/Pentest) giúp doanh nghiệp tìm ra những điểm yếu, lỗ hổng trong hệ thống CNTT. Tuy nhiên, tiêu chí nào giúp doanh nghiệp biết được đơn vị cung cấp dịch vụ này đáng tin cậy và bảo mật trong chính quá trình thực hiện kiểm thử? Doanh nghiệp đạt chứng nhận quốc tế CREST có phải là lựa chọn tối ưu?

Một trong những cách hiệu quả nhất để đánh giá cũng như cải thiện tình hình bảo mật và khả năng phục hồi của các hệ thống doanh nghiệp trước các mối đe dọa hiện nay được ưa chuộng là hình thức kiểm thử xâm nhập (Penetration Testing/Pentest). Bằng việc mô phỏng các cuộc tấn công mạng có kiểm soát vào một tổ chức, pentesting có mục đích là xác định các lỗ hổng có khả năng bị những tin tặc ác ý khai thác.

Tuy nhiên, hiệu quả của hình thức kiểm thử này phụ thuộc rất nhiều vào khả năng chuyên môn của nhà cung cấp, và đây là lý do cho việc nên thuê một nhà cung cấp kiểm thử xâm nhập có chứng nhận CREST. Trong bài viết này, chúng ta sẽ cùng tìm hiểu tại sao các doanh nghiệp nên hợp tác với một nhà cung cấp dịch vụ bảo mật được CREST công nhận để đáp ứng nhu cầu kiểm thử xâm nhập của doanh nghiệp.

  1. CREST là gì? Tầm quan trọng của chứng nhận này trong ngành công nghiệp an ninh mạng?

CREST là một cơ quan kiểm định được quốc tế công nhận, nhằm xác thực khả năng, chuyên môn kỹ thuật và chất lượng dịch vụ cho các nhà cung cấp an ninh mạng và cá nhân hoạt động chuyên nghiệp trong lĩnh vực này.

CREST được thành lập từ năm 2006, có trụ sở tại Anh Quốc, ban đầu được biết đến là Council of Registered Ethical Security Testers (Hội đồng Các Chuyên Gia Kiểm Thử Bảo Mật Chân chính Đã Được Đăng Ký). Đây là một tổ chức chứng nhận phi lợi nhuận toàn cầu, đại diện cho ngành bảo mật thông tin kỹ thuật. CREST cung cấp một khung dịch vụ chuyên nghiệp được công nhận trong lĩnh vực an ninh mạng, đặc biệt là trong lĩnh vực kiểm thử xâm nhập. CREST đã và đang đặt ra một tiêu chuẩn vàng mới trong ngành công nghiệp an ninh mạng, đó là thiết lập một khung chương trình về trình độ và hành vi đạo đức mà tất cả các thành viên được chứng nhận đều phải tuân thủ. Để đạt được chứng nhận CREST, các nhà cung cấp dịch vụ an ninh mạng phải vượt qua một quy trình đánh giá nghiêm ngặt. Quy trình này bao gồm việc đánh giá kỹ càng các thủ tục kinh doanh và nhân sự, các phương pháp tư vấn và tiêu chuẩn cung cấp dịch vụ, cũng như các biện pháp bảo mật của nhà cung cấp. Điều này giúp tăng độ tin cậy, tính nhất quán và hiệu quả của các dịch vụ đối với nhà cung cấp khi đã đạt được chứng nhận của CREST.

Tổ chức này có hai loại chứng nhận khác nhau, dành cho cả nhà cung cấp và cá nhân cung cấp dịch vụ. Các lĩnh vực mà CREST chứng nhận bao gồm kiểm thử xâm nhập, ứng phó sự cố thông tin về mối đe dọa, đánh giá lỗ hổng, kiểm thử xâm nhập dựa trên thông tin tình báo và Trung tâm Vận hành An ninh mạng (SOC).

  1. Lợi ích của việc hợp tác với một Công ty kiểm thử xâm nhập được CREST chứng nhận

Việc lựa chọn một nhà cung cấp kiểm thử xâm nhập được CREST chứng nhận sẽ mang lại nhiều lợi ích cho doanh nghiệp của bạn, bao gồm: Chất lượng dịch vụ được đảm bảo; Chuyên môn kỹ thuật tiêu chuẩn quốc tế; Nâng cao sự hài lòng và niềm tin đối với khách hàng.

2.1. Chất lượng đảm bảo của dịch vụ kiểm thử xâm nhập

Bằng việc lựa chọn một nhà cung cấp dịch vụ bảo mật được chứng nhận kiểm thử xâm nhập CREST, các doanh nghiệp đã tự đảm bảo cho mình một thử nghiệm xâm nhập với chất lượng vượt trội.

Quy trình chứng nhận nghiêm ngặt mà CREST áp dụng vào các nhà cung cấp và các chuyên gia kiểm thử xâm nhập nhằm đảm bảo rằng họ duy trì các tiêu chuẩn cao nhất trong phương pháp thực hiện và cung cấp dịch vụ. Tiêu chuẩn nghiêm ngặt của CREST bao gồm các quy trình kiểm tra bảo mật tỉ mỉ, đi sâu vào cốt lõi của các lỗ hổng hệ thống, không bỏ sót bất cứ điều gì. Kết quả là một phương pháp kiểm thử xâm nhập toàn diện và hiệu quả, cho phép phân tích chuyên sâu và củng cố các điểm yếu.

Việc đảm bảo chất lượng này được áp dụng cho tất cả các lĩnh vực hoạt động của nhà cung cấp dịch vụ thuộc tổ chức CREST, không chỉ cung cấp các dịch vụ xuất sắc về mặt kỹ thuật mà đó còn là dịch vụ khách hàng tuyệt vời, giao tiếp chuyên nghiệp và các báo cáo được lưu trữ một cách cẩn thận.

2.2. Chuyên môn kỹ thuật tiêu chuẩn quốc tế

Một trong những yếu tố quan trọng phân biệt một nhà cung cấp dịch vụ bảo mật được chứng nhận bởi CREST là trình độ chuyên môn kỹ thuật cao mà họ sở hữu. Các đơn vị thành viên của CREST phải chứng minh rằng các chuyên gia bảo mật của họ không chỉ có kiến thức mà còn đứng đầu “cuộc chơi” về kỹ năng, kỹ thuật và sự nhạy bén trong ngành.

Theo trang đánh giá của CREST, cơ quan này cung cấp các kỳ thi chuyên nghiệp ở ba cấp độ khác nhau:

  • Kỳ thi cấp độ Thực hành viên CREST: Đây là các kỳ thi cơ bản dành cho các chuyên gia, và cá nhân đã làm việc trong lĩnh vực này trong khoảng 2.500 giờ, tương đương khoảng hai năm.
  • Kỳ thi đã đăng ký CREST: Đạt cấp độ này cho thấy bạn có chuyên môn trong công việc thuộc lĩnh vực kiểm thử an ninh thông tin. Theo như hướng dẫn, các chuyên gia tham gia kỳ thi này nên có ít nhất 6.000 giờ kinh nghiệm làm việc thường xuyên, tương đương khoảng ba năm hoặc hơn.
  • Kỳ thi cấp độ được Chứng nhận CREST: Kỳ thi này là mục tiêu cuối cùng của nhiều chuyên gia trong ngành, và dành cho những cá nhân có khoảng 10.000 giờ, tương đương năm đến sáu năm kinh nghiệm làm việc thường xuyên trong lĩnh vực an ninh mạng.

Điều này có nghĩa là khi bạn hợp tác với một nhà cung cấp dịch vụ kiểm thử xâm nhập đạt chứng nhận CREST, bạn đang có cơ hội tiếp cận với một đội ngũ chuyên gia hiểu biết sâu rộng về bối cảnh an ninh mạng. Những chuyên gia này sử dụng khả năng chuyên môn của họ để thực hiện việc kiểm thử xâm nhập nghiêm ngặt, xác định các lỗ hổng tiềm ẩn, phát hiện những rủi ro CNTT trong tổ chức của bạn và đề xuất các giải pháp phù hợp, hiệu quả nhằm tăng cường bảo mật cho hệ thống của bạn.

2.3. Nâng cao sự hài lòng và niềm tin đối với khách hàng.

Hợp tác với một nhà cung cấp dịch vụ kiểm thử xâm nhập đạt chứng nhận CREST cho các nhu cầu bảo mật mạng mang lại cho bạn mức tin tưởng và sự tự tin cao. Việc được CREST chứng nhận cho thấy cam kết tuân thủ đạo đức và tiêu chuẩn cao trong cung cấp dịch vụ, giúp bạn yên tâm khi đối diện với bối cảnh phức tạp của an ninh mạng.

Kết luận

Với bối cảnh các mối đe dọa liên tục biến đổi, doanh nghiệp phải chủ động tăng cường khả năng phòng thủ của mình. Chứng nhận CREST đại diện cho cam kết về sự xuất sắc trong lĩnh vực an ninh mạng. Bằng việc lựa chọn một Công ty thành viên CREST cho các dịch vụ an ninh mạng, doanh nghiệp được đảm bảo việc kiểm thử nghiêm ngặt, toàn diện, không để sót điểm nào. Hơn thế nữa, uy tín và sự tin cậy đi kèm với chứng nhận CREST sẽ góp phần tăng cường danh tiếng của doanh nghiệp và giúp củng cố niềm tin với các bên liên quan.

Về VSEC:

VSEC là Nhà cung cấp dịch vụ quản trị An toàn thông tin đầu tiên tại Việt Nam đạt được cả 2 chứng nhận quan trọng là CREST cho dịch vụ Trung tâm giám sát – vận hành An toàn thông tin và dịch vụ Đánh giá An toàn thông tin Pentest. Với 20 năm kinh nghiệm hoạt động trong lĩnh vực an ninh mạng, đã cung cấp dịch vụ ATTT cho hơn 1.000 tổ chức, doanh nghiệp trong nước và quốc tế, trong đó hơn 50% các ngân hàng tại Việt Nam đã lựa chọn sử dụng các dịch vụ bảo mật. 

VSEC cũng là thành viên, đối tác của các tổ chức bảo mật quốc tế như Black Panda, Recorded Future, Insights, Rapid7, Core Security, …, cùng với đội ngũ kỹ sư tâm huyết, có kinh nghiệm sở hữu hàng loạt chứng chỉ bảo mật quốc tế; VSEC đã tham gia vào nhiều dự án đóng góp lớn vào việc nghiên cứu, tìm ra nhiều lỗ hổng bảo mật của các hãng phần mềm lớn trên thế giới như: WordPress, Adobe, ManageEngine… 

Nguồn: Tổng hợp bài viết từ Ewelina Baran, title “Why should hire a CREST Penetration Testing Provider”

Thông cáo báo chí: VSEC chính thức ra mắt Dịch vụ Kiểm thử xâm nhập sâu

Thông cáo - Tin tức Nổi bật

Ngày 18/4 Công ty Cổ phần An ninh mạng Việt Nam VSEC ra mắt dịch vụ Kiểm thử xâm nhập sâu Red Team – đánh giá bảo mật dựa trên việc thực hiện hành vi tấn công bằng mọi cách nhằm xâm nhập vào hệ thống của doanh nghiệp như một tội phạm mạng.

Theo định nghĩa của Computer Security Resource Center, NIST: Red Team là một nhóm được cấp quyền và tổ chức để mô phỏng một cuộc tấn công của đối thủ tiềm năng hoặc các khả năng khai thác chống lại một hệ thống an toàn thông tin của doanh nghiệp. Mục tiêu của Red Team là cải thiện an toàn thông tin mạng cho doanh nghiệp bằng việc minh họa các tác động của các cuộc tấn công thành công và minh họa những gì thực sự hoạt động cho đội ngũ phòng thủ (Blue Team) trong một môi trường hoạt động.

Đội ngũ chuyên gia của VSEC đã thành công trong việc nghiên cứu, tìm kiếm các lỗ hổng Zero day (những lỗ hổng phần mềm hoặc phần cứng chưa được biết đến và chưa được khắc phục) từ những phần mềm phổ biến nhất như WordPress, Joomla, … cho đến các ứng dụng, hệ thống của các gã khổng lồ công nghệ như Microsoft,  Oracle, … đều đạt điểm CVSS cao.

Theo đại diện VSEC, chính thức công bố cung cấp dịch vụ Kiểm thử xâm nhập sâu – Red Team đồng nghĩa với việc tại thời điểm hiện tại VSEC có đầy đủ năng lực về công nghệ, đội ngũ có chứng chỉ tiêu chuẩn quốc tế và kinh nghiệm thực tế tham gia vào việc đánh giá bảo mật uy tín, đáp ứng được mọi nhu cầu của mọi tổ chức, doanh nghiệp trong và ngoài nước.

“Tại Việt Nam, không nhiều doanh nghiệp, tổ chức tự tin sử dụng Red Team vì còn e ngại về năng lực của đơn vị cung cấp trong nước cũng như rủi ro trong vấn đề dữ liệu. Việc VSEC chính thức công bố dịch vụ Kiểm thử xâm nhập sâu Red Team 2023 với phiên bản đầy đủ “Red Team full version” sẽ mang lại cái nhìn mới về năng lực bảo mật của các chuyên gia Việt Nam, hoàn toàn đáp ứng được những tiêu chuẩn quốc tế cao nhất”, ông Trương Đức Lượng, Chủ tịch HĐQT VSEC chia sẻ.

 

VSEC là nhà cung cấp dịch vụ Quản trị An toàn thông tin MSSP (Managed Security Service Provider) tiêu chuẩn quốc tế hoạt động từ năm 2003. Các dịch vụ của VSEC đáp ứng nhu cầu của tất cả các tổ chức và doanh nghiệp bất kể quy mô hay sự phức tạp của hệ thống hạ tầng công nghệ thông tin. VSEC đạt chứng nhận CREST (Tổ chức thẩm định, đánh giá và công nhận tiêu chuẩn dịch vụ An toàn thông tin của Anh Quốc) cho dịch vụ Đánh giá bảo mật Penetration Testing và SOC (Security Operation Center) năm 2021, 2022.

Trong suốt 20 năm hoạt động, VSEC công bố đã phục vụ hơn 500 doanh nghiệp và tổ chức chính phủ. Là thành viên của các hiệp hội, tổ chức trong và ngoài nước như VNCert – Mạng lưới ứng cứu sự cố quốc gia, VNISA – Hiệp hội An toàn thông tin VN, Bộ tư lệnh 86, FS-ISAC (The Financial Services Information Sharing and Analysis Center), Blackpanda, RAPID7, Affinitas Global, CoreSecurity, RecordedFuture, …

Download thông cáo: TẠI ĐÂY

Xem thêm tại:

  • Báo Vietnamnet: https://vietnamnet.vn/vsec-trien-khai-dich-vu-bao-mat-chuyen-sau-cho-doanh-nghiep-2133969.html
  • Báo Dân trí: https://dantri.com.vn/suc-manh-so/ra-mat-dich-vu-kiem-thu-xam-nhap-sau-red-team-20230419160124678.htm
  • Báo Mới: https://baomoi.com/vsec-trien-khai-dich-vu-bao-mat-chuyen-sau-cho-doanh-nghiep/c/45589171.epi
  • Báo Thanh niên: https://thanhnien.vn/vsec-trien-khai-dich-vu-danh-gia-phuong-thuc-bao-mat-chuyen-sau-185230417172647058.htm
  • Báo Nhịp sống số: https://nss.vn/vsec-hien-da-cung-cap-dich-vu-kiem-thu-xam-nhap-sau-red-team-28258.htm

Thông cáo báo chí: Vsec là Nhà cung cấp dịch vụ quản trị ATTT đầu tiên tại Việt Nam nhận CREST cho dịch vụ Trung tâm SOC

Thông cáo - Tin tức Nổi bật

THÔNG CÁO BÁO CHÍ

Vv: Công ty Cổ phần An ninh mạng Việt Nam là Nhà cung cấp dịch vụ quản trị An toàn thông tin đầu tiên tại Việt Nam đạt chứng nhận CREST cho dịch vụ Trung tâm giám sát – vận hành An toàn thông tin SOC

Kính gửi: Các cơ quan thông tấn báo chí

Ngày 19 tháng 8 năm 2022, CREST – tổ chức phi lợi nhuận trong việc thẩm định, đánh giá và công nhận tiêu chuẩn chuyên sâu trong lĩnh vực cung cấp dịch vụ An toàn thông tin đã chính thức xác nhận Công ty Cổ phần An ninh mạng Việt Nam đạt đủ điều kiện chứng nhận Externally Validated của CREST cho dịch vụ Trung tâm giám sát và vận hành ATTT SOC (Security Operation Center). Vào đầu tháng 1/2022, dịch vụ Đánh giá ATTT Pentest (Penetration Testing) của VSEC cũng đã nhận được chứng chỉ này.

Như vậy, VSEC là Nhà cung cấp dịch vụ quản trị An toàn thông tin đầu tiên tại Việt Nam đạt được cả 2 chứng nhận quan trọng là CREST cho dịch vụ Trung tâm giám sát – vận hành An toàn thông tin và dịch vụ Đánh giá An toàn thông tin Pentest. Đây là dấu mốc có ý nghĩa lớn đối với không chỉ riêng VSEC mà còn góp phần khẳng định chất lượng và sự phát triển của ngành An ninh mạng Việt Nam trên bản đồ thế giới.

Để đạt được chứng nhận này, các chuyên gia tại Trung tâm SOC – VSEC đã phải trải qua một quá trình đánh giá thường xuyên và nghiêm ngặt bởi các chuyên gia bảo mật quốc tế. Trong vòng 6 tháng làm việc cùng 2 vòng đánh giá là Nộp hồ sơ (Application Form) và Đánh giá (Audit), VSEC đã hoàn toàn đáp ứng được 6 nội dung với 28 tiêu chuẩn khó khăn mà CREST đưa ra là: Organisational Environment (Môi trường tổ chức), Consumer Requirements (Yêu cầu của người dùng), Technology & Tools (Công nghệ & Công cụ), Event Analysis (Phân tích sự kiện), Threat Intelligence & Situational Awareness (Nhận biết các tình huống và mối đe doạ) và Protect the SOC (Bảo vệ SOC).

Với việc sở hữu chứng nhận CREST, đồng nghĩa với việc VSEC đã được công nhận đạt các tiêu chuẩn quốc tế về năng lực chuyên gia, kinh nghiệm chuyên môn, khả năng công nghệ, các chính sách, quy trình, thủ tục và đạo đức nghề nghiệp liên quan đến việc cung cấp dịch vụ Trung tâm giám sát và vận hành SOC và dịch vụ Đánh giá An toàn thông tin Pentest.

Đại diện phía VSEC, Ông Trương Đức Lượng – Chủ tịch VSEC chia sẻ “Điều mà người Việt Nam chúng ta thường bị coi là yếu thế hơn các quốc gia khác là quy trình và tính tuân thủ. VSEC ngoài cam kết đem lại dịch vụ tốt nhất cho khách hàng thì việc có được chứng nhận CREST cũng là thể hiện mong muốn đây là công cụ đo lường để giúp nâng cao trình độ toàn diện cho các nhân sự trong lĩnh vực Pentest và SOC”. Việt Nam có thể tự hào rằng con người Việt Nam có thể đáp ứng và cung cấp những dịch vụ tốt nhất hoàn toàn theo tiêu chuẩn quốc tế. 

Thông tin về CREST:

https://www.crest-approved.org/

CREST là tổ chức phi lợi nhuận quốc tế đại diện cho ngành bảo mật toàn cầu được thành lập từ năm 2006, trụ sở tại Anh Quốc. CREST cung cấp các chứng chỉ được quốc tế công nhận cho các tổ chức cung cấp dịch vụ bảo mật thông tin và chứng chỉ chuyên nghiệp cho các cá nhân cung cấp dịch vụ đánh giá lỗ hổng bảo mật, kiểm thử thâm nhập, ứng phó sự cố mạng, thông tin mối đe dọa an ninh mạng, trung tâm hoạt động bảo mật (SOC), ….Với mục tiêu giúp tạo ra thế giới số an toàn cho tất cả mọi người bằng cách đảm bảo chất lượng của mỗi thành viên và cung cấp các chứng nhận chuyên nghiệp cho ngành an ninh mạng. Hiện CREST đã công nhận gần 300 doanh nghiệp hoạt động ở hàng chục quốc gia và hàng nghìn chuyên gia bảo mật trên toàn cầu. 

Thông tin về VSEC:

www.vsec.com.vn

Công ty cổ phần An ninh mạng Việt Nam với 20 năm kinh nghiệm hoạt động trong lĩnh vực an ninh mạng, đã cung cấp dịch vụ ATTT cho hơn 1.000 tổ chức, doanh nghiệp trong nước và quốc tế, trong đó hơn 50% các ngân hàng tại Việt Nam đã lựa chọn sử dụng các dịch vụ bảo mật. VSEC cũng là thành viên, đối tác của các tổ chức bảo mật quốc tế như Black Panda, Recorded Future, Insights, Rapid7, Core Security, …, cùng với đội ngũ kỹ sư tâm huyết, có kinh nghiệm sở hữu hàng loạt chứng chỉ bảo mật quốc tế; VSEC đã tham gia vào nhiều dự án đóng góp lớn vào việc nghiên cứu, tìm ra nhiều lỗ hổng bảo mật của các hãng phần mềm lớn trên thế giới như: WordPress, Adobe, ManageEngine… 

Liên hệ chi tiết:

Công ty Cổ phần An ninh mạng Việt Nam

Bà: Lưu Tú Uyên – Chuyên viên truyền thông

M : (+84) 333 68 3353 | T : (+84) 24 7308 2299

Email: luutuuyen@vsec.com.vn

Đào tạo an toàn thông tin – Bước tiến vững chắc trong bảo vệ an toàn an ninh thông tin

VSEC - BLOG Mới nhất Nổi bật

Trong bối cảnh ngày càng nhiều mối đe dọa về an toàn an ninh thông tin, Tổng Công Ty Phát Điện 2 theo chỉ đạo của Tập đoàn Điện lực Việt Nam đã phối hợp cùng Công ty Cổ phần An ninh mạng Việt Nam tổ chức thành công chương trình “Đào tạo an toàn an ninh thông tin năm 2023”. Đây là một bước tiến vững chắc trong bảo vệ an toàn an ninh thông tin của EVNGENCO2 trong quá trình chuyển đổi số hiện nay.

Chương trình “Đào tạo An toàn an ninh thông tin” với sự tham gia của hơn 20 CBNV phụ trách CNTT đến từ 13 đơn vị trực thuộc Tổng Công ty Phát điện 2

Chương trình “Đào tạo an toàn an ninh thông tin 2023” diễn ra từ 8/8 – 11/8/2023, tại Hội trường Thu Bồn của Công ty Thủy điện Sông Bung 2, Đà Nẵng với sự tham gia của hơn 20 cán bộ phụ trách ANTT, CNTT đến từ 13 đơn vị trực thuộc Tổng Công ty phát điện 2. Chương trình không chỉ đánh dấu sự quan tâm hàng đầu của Tổng Công Ty Phát Điện 2 đối với việc bảo vệ thông tin mạng một cách toàn diện, mà còn tạo nền tảng vững chắc cho nhân viên trong việc đối phó với các thách thức an ninh thông tin ngày càng tinh vi.

Phát biểu tại buổi lễ khai mạc, ông Trần Phan Vĩnh Huy – Phó trưởng ban Kinh doanh thị trường điện của EVNGENCO2 nhấn mạnh: “Trong kỷ nguyên số hiện nay, nhiệm vụ trọng tâm được đặt lên hàng đầu là vấn đề bảo mật và đảm bảo an toàn an ninh thông tin bởi vì tất cả các dữ liệu của doanh nghiệp, cơ quan Nhà nước không thể bị xâm nhập và đánh cắp. Chính vì vậy, theo chỉ đạo của Tập đoàn Điện lực Việt Nam, Tổng Công ty phát điện 2 đã tiến hành phối hợp cùng Công ty Cổ phần An ninh mạng Việt Nam tổ chức chương trình Đào tạo an toàn an ninh thông tin để cập nhật lại kiến thức cũng như những vấn đề mới về bảo mật an toàn thông tin trên thế giới và tại Việt Nam”. Đồng thời ông Huy cũng khẳng định vai trò của các thành viên tham dự khóa đào tạo lần này chính là một mắt xích quan trọng trong hệ thống của đơn vị mình trong việc đảm bảo an ninh, an toàn thông tin.

Chương trình Đào tạo an ninh thông tin năm 2023 của Tổng Công ty phát điện 2 diễn ra trong 4 ngày với 2 nội dung chính: Tìm hiểu những khía cạnh khác nhau từ những cuộc tấn công của đội ngũ Red Team và phương pháp điều tra số nâng cao.

Phần đầu tiên của chương trình đã tập trung vào việc hiểu rõ các khía cạnh khác nhau từ các cuộc tấn công của Red Team. Đội ngũ giảng viên đến từ phòng Dịch vụ chuyên gia của VSEC đã cập nhật các kiến thức chuyên sâu hơn về Red Team. Thông qua đó, các CBNV tham gia khóa đào tạo đã bước đầu tiếp cận với những kỹ thuật tấn công này. Bên cạnh đó, việc nắm vững kiến thức này sẽ giúp mọi người không chỉ có khả năng phát hiện sớm các dấu hiệu của cuộc tấn công mà còn có thể áp dụng những biện pháp bảo vệ hiệu quả để đối phó với những mối nguy hiểm tiềm ẩn.

Phần thứ hai của chương trình tập trung vào “Điều tra số nâng cao”, giúp nhân viên hiểu rõ cách tiếp cận và giải quyết các vụ việc an ninh thông tin một cách toàn diện. Thông qua việc sử dụng các công cụ phân tích số học và kỹ thuật, nhân viên đã được trang bị khả năng phân tích các vụ việc an ninh thông tin, từ việc xác định nguyên nhân cho đến việc đề xuất biện pháp cải thiện và làm báo cáo chuẩn.

“VSEC rất vinh dự khi được tiếp tục đồng hành cùng Tổng Công ty phát điện 2 trong chương trình Đào tạo ATTT năm nay. Khác với chương trình năm ngoái được tổ chức tại Hà Nội, nội dung của chương trình năm nay sẽ mang tính xu hướng và chuyên sâu hơn về các giải pháp an ninh mạng, phương pháp điều tra số và những kỹ thuật cơ bản để có thể xử lý khi gặp sự cố. Đây là một trong những kiến thức nền tảng cơ bản để trang bị cho chúng ta trong vấn đề bảo vệ an toàn thông tin khi đang ở giai đoạn chuyển đổi số hiện nay.” – Bà Huỳnh Thị Thu Hằng – Quản lý vùng VSEC chia sẻ.

Bà Huỳnh Thị Thu Hằng – Quản lý vùng Công ty Cổ phần An ninh mạng Việt Nam chia sẻ trong buổi khai mạc

Chương trình đào tạo an toàn an ninh thông tin tại Tổng Công Ty Phát Điện 2 đã thể hiện sự cam kết mạnh mẽ với việc bảo vệ thông tin mạng. Nhân viên không chỉ được trang bị kiến thức về các cuộc tấn công mạng mà còn có khả năng điều tra và giải quyết các vụ việc an ninh thông tin. Sự hợp tác giữa Tổng Công Ty Phát Điện 2 và Công Ty Cổ Phần An Ninh Mạng Việt Nam đã tạo ra một chương trình đào tạo có ý nghĩa thiết thực và mang tính thực tiễn, góp phần nâng cao khả năng ứng phó với các thách thức an ninh thông tin trong tương lai

Kinh nghiệm thực tế và giải pháp tuân thủ nghị định bảo vệ dữ liệu cá nhân

Sự kiện Nổi bật VSEC - BLOG

Ngày 12 tháng 8 vừa qua, tại chương trình CIO Leadership, chủ đề “Hành trình tuân thủ nghị định bảo vệ dữ liệu cá nhân”, do cộng đồng CIO Vietnam phối hợp cùng Công ty Cổ phần An ninh mạng Việt Nam (VSEC) tổ chức đã thu hút hơn 80 Anh, Chị là đại diện các doanh nghiệp, tổ chức đã tới cùng gặp gỡ, giao lưu, thảo luận cùng với các diễn giả khách mời.

Trong bối cảnh mối quan ngại về bảo vệ dữ liệu cá nhân ngày càng tăng cao, việc Nghị định 13/2023/NĐ-CP bảo vệ dữ liệu cá nhân ra đời nhằm đáp ứng yêu cầu bảo vệ quyền dữ liệu cá nhân; ngăn chặn các hành vi xâm phạm dữ liệu cá nhân, gây ảnh hưởng đến quyền và lợi ích của cá nhân, tổ chức. Nghị định 13 đã đặt dữ liệu của bản thân mỗi người lên một vị trí rất khác so với trước đây. 

Sự kiện “Hành trình tuân thủ Nghị định bảo vệ dữ liệu các nhân” do VSEC và Cộng đồng CIO tổ chức thu hút đông đảo sự tham gia của mọi người.

1. Nghị định 13/2023/NĐ-CP

Vào ngày 17/4/2023, Chính phủ đã ban hành Nghị định số 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân (“Nghị định 13”) sau một thời gian dài chờ đợi. Nghị định 13 có hiệu lực từ ngày 01/7/2023. Cùng với Luật An ninh mạng (Luật số 24/2018/QH14) ngày 12 tháng 6 năm 2018 và văn bản hướng dẫn thi hành đầu tiên là Nghị định số 53/2022/NĐ-CP ngày 15 tháng 8 năm 2022, Nghị định 13 là văn bản pháp lý thứ ba được ban hành trong kế hoạch của Chính phủ nhằm tăng cường khung pháp lý điều chỉnh các hoạt động trên không gian mạng. Nghị định 13 quy định chi tiết hơn về nghĩa vụ bảo vệ dữ liệu và an ninh mạng đối với các hoạt động xử lý dữ liệu cá nhân.

Nội dung chủ yếu: Nghị định 13/2023/NĐ-CP gồm 44 Điều, chia thành 04 chương; cụ thể:

  • Chương I. Những Quy định chung, gồm 08 điều (Điều 1 tới Điều 8), quy định về phạm vi điều chỉnh; đối tượng áp dụng; giải thích từ ngữ; nguyên tắc bảo vệ dữ liệu cá nhân; xử lý vi phạm quy định bảo vệ dữ liệu cá nhân; quản lý nhà nước về bảo vệ dữ liệu cá nhân; áp dụng Nghị định bảo vệ dữ liệu cá nhân, các luật liên quan và Điều ước quốc tế; hợp tác quốc tế về bảo vệ dữ liệu cá nhân; hành vi bị nghiêm cấm.
  • Chương II. Xử lý dữ liệu cá nhân, gồm 04 mục, 20 điều (từ Điều 9 đến Điều 31), gồm: Mục 1 quy định về quyền và nghĩa vụ của chủ thể dữ liệu. Mục 2 quy định về bảo vệ dữ liệu cá nhân trong quá trình xử lý dữ liệu cá nhân. Mục 3 quy định về đánh giá tác động và chuyển dữ liệu cá nhân ra nước ngoài. Mục 4 quy định về biện pháp, điều kiện bảo đảm bảo vệ dữ liệu cá nhân.
  • Chương III. Trách nhiệm của cơ quan, tổ chức, cá nhân, gồm 11 điều (từ Điều 32 đến Điều 42), quy định về: Trách nhiệm của Bộ Công an, Bộ Thông tin và Truyền thông, Bộ Khoa học và Công nghệ, Các bộ, cơ quan ngang bộ, cơ quan thuộc Chính phủ, Ủy ban nhân dân các tỉnh, thành phố trực thuộc Trung ương, Bên Kiểm soát dữ liệu cá nhân, Bên Xử lý dữ liệu, Bên Kiểm soát và xử lý dữ liệu, Bên thứ Ba, tổ chức, cá nhân có liên quan.
  • Chương IV. Điều khoản thi hành, gồm 02 điều (từ Điều 43 đến Điều 44), quy định về: Hiệu lực thi hành; Trách nhiệm thi hành.

2. “An toàn thông tin không phải là thời điểm, mà là cả một quá trình”

Anh Trương Đức Lượng – Co-founder & Chairman Công ty Cổ phần An ninh mạng Việt Nam

Trong phần chia sẻ của mình tại chương trình, anh Trương Đức  Lượng – Chủ tịch HĐQT VSEC đã tập trung vào góc nhìn thực tế và dễ hiểu về việc bảo vệ dữ liệu cá nhân. Anh đã chia sẻ và phân tích  những ví dụ thực tiễn ở cả trên thế giới và Việt Nam về những trường hợp bị phạt do vi phạm về dữ liệu người dùng. Việc vi phạm dữ liệu người dùng không chỉ có 1 cách mà các hình thức vi phạm rất đa dạng. Thông qua những ví dụ này, anh Lượng đã nhấn mạnh tới các nguy cơ tiềm ẩn và tác động tiêu cực mà việc lạm dụng thông tin cá nhân có thể mang lại.

Hiện nay, ngân hàng là lĩnh vực tiên phong trong việc tuân thủ theo Nghị định 13 một cách  triệt để và mạnh mẽ. Còn đối với các ngành khác, tùy thuộc vào mức độ trưởng thành của từng ngành sẽ có mức độ áp dụng việc tuân thủ Nghị định khác nhau. Tại sự kiện anh Lượng cũng đã giải đáp các thắc mắc của một số công ty nước ngoài xoay quanh việc tuân thủ Nghị định 13. Các cơ quan chức năng không cung cấp chứng chỉ tuân thủ Nghị định 13 mà họ sẽ thông qua các biện pháp kiểm tra đối với các doanh nghiệp, tổ chức mà họ nhìn thấy có khả năng xảy ra vi phạm. Để có thể tuân thủ theo Nghị định 13, đại diện VSEC cho biết mọi người có thể áp dụng các framework theo tiêu chuẩn hoặc có thể hợp tác với một nhà cung cấp dịch vụ đạt chứng nhận CREST (cơ quan kiểm định được quốc tế công nhận, nhằm xác thực khả năng, chuyên môn kỹ thuật và chất lượng dịch vụ cho các nhà cung cấp an ninh mạng và cá nhân hoạt động chuyên nghiệp trong lĩnh vực này.)

Anh Lượng cũng nhấn mạnh việc bị phạt khi làm rõ rỉ dữ liệu có thể xảy ra khi bị hacker tấn công trong quá trình dịch chuyển dữ liệu. Điều này có thể xử lý và can thiệp kịp thời bằng biện pháp kỹ thuật. Các phương pháp có thể hỗ trợ phát hiện và giảm thiểu rủi ro chính là đánh giá bảo mật và giám sát ATTT – đây cũng chính là hai dịch vụ chủ lực mà VSEC cung cấp. Bên cạnh đó, việc giám sát thông tin đảm bảo vận hành ATTT cho doanh nghiệp luôn luôn trong trạng thái an toàn nhất. Việc phát hiện lỗ hổng trên hệ thống của mình càng sớm, xử lý càng sớm thì khả năng bị tấn công, rò rỉ dữ liệu sẽ giảm đi rất nhiều, giúp chúng ta đáp ứng việc tuân thủ Nghị định 13.

Các diễn giả giao lưu cùng đại diện các tổ chức, doanh nghiệp

Có thể nói, thông qua chương trình CIO Leadership lần này, các vấn đề các doanh nghiệp, tổ chức đang quan tâm đến bảo vệ dữ liệu cá nhân đã được thảo luận và tìm hiểu chuyên sâu, đồng thời được các khách mời gợi ý đưa ra các biện pháp cần thiết để các doanh nghiệp có thể tuân thủ, áp dụng nghị định bảo vệ dữ liệu cá nhân một cách chủ động và hiệu quả.  

Bảo mật dữ liệu trên Cloud – Trách nhiệm không của riêng ai

VSEC - BLOG Bảo mật trên đám mây Nổi bật

Ngày 13/05, Công ty Cổ phần An ninh mạng Việt Nam (VSEC) cùng cộng đồng CIO Vietnam và Noventiq vừa tổ chức một buổi chia sẻ và thực hành xử lý sự cố an ninh mạng trên nền tảng điện toán đám mây Azure. Tham dự sự kiện còn có đại diện của Cục An toàn thông tin, Bộ Thông tin truyền thông chia sẻ về các chính sách về bảo mật trên môi trường điện toán đám mây cho doanh nghiệp.

Bên cạnh các thông tin chung cập nhật về những xu hướng bảo mật trên toàn cầu hay tầm quan trọng của việc chuyển đổi số lên môi trường điện toán đám mây, người tham gia được tiếp cận rõ hơn về các hoạt động cộng đồng của CIO Vietnam, chính sách – quy định đảm bảo vấn đề An toàn thông tin (ATTT) khi sử dụng cloud, mô hình NIST giúp tổ chức sắp xếp quy trình hoạt động bảo mật và các công cụ mà Microsoft trang bị trên môi trường Azure.

Ngày 13/05/2023, Boot camps “Cyber Security in the Cloud” được tổ chức tại TP.HCM.

Về vấn đề nhiều thành viên tham gia quan tâm trong quá trình chuyển đổi số lên môi trường cloud như các quy định về quản lý dữ liệu trên môi trường cloud, Ông Trần Nguyên Chung – Trưởng phòng An toàn hệ thống thông tin, Cục ATTT chia sẻ từ góc nhìn của cơ quan quản lý ATTT là vấn đề cốt lõi giúp chuyển đổi số thành công, đây là cái phanh để chuyển đổi số cán đích thành công chứ không phải là rào cản. Ông cũng khuyến nghị các doanh nghiệp trong quá trình sử dụng cloud cần đảm bảo các vấn đề cần lưu ý như:  Đánh giá hiện trạng – nhu cầu thực tế để lựa chọn đúng mô hình cloud phù hợp, tuân thủ các quy định – văn bản CQNN đã ban hành, tuân thủ tiêu chuẩn về trung tâm dữ liệu, quy định về quản lý 4 lớp – nâng cao năng lực của các doanh nghiệp – CQTC, … , quy định về chủ quyền dữ liệu giúp minh bạch về dữ liệu và bảo vệ quyền lợi của doanh nghiệp.

Với hai văn bản mà Cục ATTT đã tham mưu Bộ TT&TT ban hành là Văn bản số 1145/BTTTT-CATTT ngày 03/4/2020 của Bộ Thông tin và Truyền thông v/v hướng dẫn bộ tiêu chí, chỉ tiêu kỹ thuật để đánh giá và lựa chọn giải pháp nền tảng điện toán đám mây phục vụ Chính phủ điện tử/Chính quyền điện tử, Văn bản số 2612/BTTTT-CATTT ngày 17/7/2021 của Bộ Thông tin và Truyền thông v/v bổ sung bộ tiêu chí, chỉ tiêu để đánh giá và lựa chọn giải pháp nền tảng điện toán đám mây phục vụ Chính phủ điện tử/Chính quyền điện tử. Đây là hai văn bản giúp các doanh nghiệp bảo đảm vấn đề an toàn thông tin mạng trong quá trình chuyển đổi số, tính đến thời điểm hiện tại.

Ông Trần Nguyên Chung – Trưởng phòng An toàn hệ thống thông tin, Cục ATTT chia sẻ tại Boot Camps

Trước các câu hỏi liên quan đến bảo mật dữ liệu trên môi trường cloud cả Ông Chung và Ông Huân Trần – Chủ tịch CIO Vietnam đều nhấn mạnh, dữ liệu trên cloud có là bản gốc hay bản back-up thì đều cần xem xét dữ liệu đó có phải là dữ liệu dùng được hay không. Trách nhiệm lưu trữ dữ liệu không phải chỉ là câu chuyện mặc định là trách nhiệm của nhà cung cấp dịch vụ điện toán đám mây mà doanh nghiệp, đội ngũ IT luôn phải chủ động sao lưu, back-up hệ thống dữ liệu của chính đơn vị mình. Ở một góc độ khác, dữ liệu của người dùng được khai thác từ doanh nghiệp nào thì trách nhiệm đầu tiên nằm ở phía đơn vị sở hữu dữ liệu khách hàng đó chứ không chỉ quy trách nhiệm cho đơn vị được bàn giao lưu trữ. Ông Huân Trần chia sẻ “Càng ngày việc thu thập dữ liệu để cạnh tranh sẽ càng ngày càng được siết chặt, điều này trên thế giới ko còn là điều gì mới mẻ. Dữ liệu khách hàng – ownership là thuộc về khách hàng, khi khách hàng trao cho chúng ta để đổi lại những đặc quyền được cung cấp dịch vụ tốt hơn thì trách nhiệm của đơn vị khai thác là phải đảm bảo sử dụng đúng và an toàn mới giữ được niềm tin của người dùng.” Vì vậy, việc chủ động trong việc lựa chọn nhà cung cấp dịch vụ hay các hình thức để bảo mật dữ liệu của người dùng là trách nhiệm mà doanh nghiệp cần lưu tâm trong quá trình chuyển đổi số an toàn.

“Chủ động trong việc lựa chọn nhà cung cấp dịch vụ hay các hình thức để bảo mật dữ liệu của người dùng là trách nhiệm mà doanh nghiệp cần lưu tâm trong quá trình chuyển đổi số an toàn.” – Ông Huân Trần – Chủ tịch CIO Vietnam cho biết.

Trong vai trò là đơn vị cung cấp dịch vụ quản trị an toàn thông tin, Ông Lê Minh Quý – Chuyên gia tư vấn giải pháp cao cấp đặt ra bài toán xoay quanh vấn đề nhận thức an toàn thông tin trong doanh nghiệp. Trong 20 năm tiến hành rà soát bảo mật ở nhiều doanh nghiệp với quy mô cả lớn lẫn nhỏ, VSEC nhận thấy đôi khi những “lỗ hổng” khó lường nhất lại nằm ở những vị trí tưởng như an toàn nhất mà nếu không rà soát khó có thể nhìn ra. Có thể là hệ thống mạng, cấu hình sai khi chuyển đổi lên cloud, … hay đơn giản từ việc thiếu trang bị thông tin và kiến thức, diễn tập thực tế về an toàn thông tin cho “con người” – nhân viên trong tổ chức.

“Trong một khảo sát về an ninh mạng từ người dùng cuối, dù có nhận thức được về vấn đề an toàn thông tin nhưng vẫn có đến 45% số người trả lời vẫn nhấp chuột vào các link lừa đảo. Nhiều trường hợp, ransomeware không đến trực tiếp từ hacker mà hacker sẽ tấn công vào 1 đối tượng, nhân viên cụ thể, từ dó tấn công vào hệ thống của doanh nghiệp. Con người được cho là “mắt xích yếu” nhất trong việc quản trị an toàn thông tin.” Ông Lê Minh Quý, VSEC chia sẻ.

Ông Lê Minh Quý – Chuyên gia tư vấn giải pháp ATTT VSEC chia sẻ về những vấn đề bảo đảm an toàn thông tin trong quá trình chuyển đổi số tại Boot Camps

Dù đầu tư rất lớn vào hệ thống công nghệ thông tin với chi phí lớn nhưng việc bỏ quên yếu tố con người có thể lại là rủi ro tiềm ẩn mà doanh nghiệp không nên bỏ qua. Vì vậy, việc trang bị các hoạt động đào tạo, diễn tập an toàn thông tin trong doanh nghiệp là việc cần thiết chủ động thực hiện, tuỳ thuộc quy mô của từng doanh nghiệp. Tương tự như vấn đề mà các start-up tại Việt Nam hiện nay đang gặp phải là giảm hoặc thậm chí cắt bỏ chi phí rà soát, nâng cao các tính năng bảo mật trên các ứng dụng để đảm bảo thời gian cung cấp ứng dụng, giải pháp do phải tối ưu hoá chi phí vận hành. Ông Trần Thanh Long – Giám đốc điều hành VSEC cũng như Ông Huân Trần đều đồng ý rằng khi lựa chọn môi trường cloud để phát triển nhanh hơn và bỏ qua vấn đề cybersecurity là bài toán khó giải cho các start-up.

Tuy nhiên, start-up hay các doanh nghiệp đầu từ vào dịch vụ trên nền tảng cloud có thể cân nhắc việc lựa chọn làm từng bước hoặc từng mảng quan trọng nào cần đầu tư về an ninh bảo mật cao. Bên cạnh đó, mấu chốt là khi start-up hoàn thành dịch vụ chào bán cho các Big ENT thì câu hỏi mà các Big ENT đặt ra lại là sản phẩm này đáp ứng được các tiêu chuẩn bảo mật nào, có rủi ro nào về cybersecurity hay không, … chứ không phải tập trung vào các tính năng của sản phẩm. Như vậy, có thể nhìn nhận rằng, an ninh mạng hay an toàn thông tin vẫn sẽ là mối quan tâm hàng đầu mà doanh nghiệp cần cân nhắc ngay trong quá trình phát triển dịch vụ và chuyển đổi trên cloud.

Ông Phạm Minh Sang – đại diện Novetiq 

Ông Vũ Thế Hải – Trưởng phòng Trung tâm Giám sát ATTT VSEC – hướng dẫn các đơn vị trước khi tiến hành tham gia phiên Huấn luyện thực chiến

Trong phiên cuối sự kiện, đại diện từ Noventiq và VSEC cũng chia sẻ về các công cụ bảo mật được trang bị trên hệ thống Azure – Microsoft 365 Defender được phát triển dựa trên core value là mô hình Zero Trust. Người tham gia nắm được các thông tin chi tiết về mô hình vận hành của dịch vụ, đặc biệt được trực tiếp trải nghiệm công tác diễn tập rà quét mã độc, phát hiện và xử lý mã độc trên môi trường cloud.

Các đơn vị tham dự diễn tập thực chiến ngay trên thao trường

Theo VSEC

An ninh mạng và những câu hỏi thường gặp

Bảo mật cho người mới

An ninh mạng là một trong những vấn đề quan trọng đối với các đơn vị đang hoạt động trên nền tảng số. Trong bài viết này, VSEC sẽ cung cấp cho bạn những câu hỏi thường gặp khi mới tiếp cận với lĩnh vực An toàn thông tin.

1. An ninh mạng là gì?

An ninh mạng là hoạt động bảo vệ máy tính, máy chủ, thiết bị di động, hệ thống điện tử, mạng và dữ liệu khỏi các mối đe dọa nguy hiểm. Nó còn được gọi là an toàn thông tin hoặc bảo mật thông tin điện tử. Thuật ngữ này có thể áp dụng trong nhiều ngữ cảnh khác nhau và có thể được chia thành một số loại phổ biến như sau:

– Bảo mật ứng dụng: tập trung vào việc giữ cho phần mềm và thiết bị không bị đe dọa. Một ứng dụng bị xâm nhập có thể cung cấp quyền truy cập vào dữ liệu được thiết kế để bảo vệ. Bảo mật nên được bắt đầu từ giai đoạn thiết kế, trước khi một chương trình hoặc thiết bị được triển khai.

– Bảo mật thông tin: bảo vệ tính toàn vẹn và quyền riêng tư của dữ liệu, cả trong quá trình lưu trữ và truyền tải.

– An ninh vận hành: bao gồm các quy trình, quy định về xử lý và bảo vệ tài sản dữ liệu. Các quyền mà người dùng có khi truy cập mạng và các quy trình xác định cách thức và vị trí dữ liệu có thể được lưu trữ hoặc chia sẻ đều thuộc phạm vi bảo trợ này.

– Phục hồi sau sự cố và tính liên tục của doanh nghiệp: xác định cách thức một tổ chức ứng phó với sự cố an ninh mạng hoặc bất kỳ sự kiện nào khác gây ra tổn thất về hoạt động hoặc dữ liệu. Các chính sách khắc phục sự cố quy định cách tổ chức khôi phục hoạt động và thông tin của mình để trở lại hoạt động như trước khi xảy ra sự cố. Tính liên tục trong kinh doanh là kế hoạch mà tổ chức dựa vào khi cố gắng vận hành mà không có một số nguồn lực nhất định.

– Giáo dục người dùng cuối: giải quyết yếu tố an ninh mạng khó lường nhất: con người. Bất kỳ ai cũng có thể vô tình đưa vi-rút vào một hệ thống an toàn nếu không tuân theo các biện pháp bảo mật tốt. Hướng dẫn người dùng xóa các tệp đính kèm email đáng ngờ, không cắm ổ USB không xác định và nhiều bài học quan trọng khác là rất quan trọng đối với bảo mật của bất kỳ tổ chức nào.

2. Ai hoặc tổ chức nào có thể bị tấn công?

Thực tế là trong thế giới ngày nay, tất cả các tổ chức đều có nguy cơ bị tấn công mạng. Cuộc cách mạng kỹ thuật số đang thúc đẩy sự đổi mới trong kinh doanh, nhưng nó cũng khiến các tổ chức phải đối mặt với các mối đe dọa mới. Các công nghệ mới thú vị như ảo hóa, AI và Cloud… giúp các tổ chức tăng cường tích hợp và giảm chi phí, nhưng chúng cũng đi kèm với rủi ro và khả năng bị lợi dụng. Càng nhiều những con đường khai thác mới đồng nghĩa với việc các tổ chức phải đối mặt với nhiều cuộc tấn công mạng hơn.

Tuy nhiên, đối với nhiều doanh nghiệp, khái niệm về an ninh mạng vẫn còn khá mơ hồ và phức tạp. Mặc dù nó có thể nằm trong chương trình chiến lược nhưng nó thực sự có ý nghĩa gì? Và tổ chức có thể làm gì để củng cố hệ thống phòng thủ và tự bảo vệ mình khỏi các mối đe dọa trên mạng? Một lầm tưởng phổ biến là các cuộc tấn công mạng chỉ xảy ra với một số loại tổ chức, chẳng hạn như các doanh nghiệp công nghệ nổi tiếng hoặc tổ chức tài chính. Tuy nhiên, sự thật là mọi tổ chức đều có nhiều thứ quý giá để mất.

Tổn thất đến từ các cuộc tấn công mạng là rất lớn. Chi phí hữu hình bao gồm từ tiền bị đánh cắp và hệ thống bị hư hỏng, thiệt hại pháp lý và bồi thường tài chính cho các bên bị thiệt hại. Tuy nhiên, điều có thể gây tổn hại nhiều hơn là các chi phí vô hình – chẳng hạn như mất lợi thế cạnh tranh do tài sản trí tuệ bị đánh cắp, mất lòng tin của khách hàng hoặc đối tác kinh doanh, mất tính toàn vẹn do tài sản kỹ thuật số bị xâm phạm và thiệt hại tổng thể đối với danh tiếng và thương hiệu của tổ chức – tất cả những điều này có thể khiến ảnh hưởng mạnh và trong những trường hợp cực đoan, thậm chí có thể khiến một công ty ngừng hoạt động.

3. Ransomware là gì?

Ransomware là phần mềm độc hại sử dụng mã hóa để giữ thông tin của nạn nhân nhằm nhiều mục đích, trong đấy phổ biến nhất là đòi tiền chuộc. Dữ liệu quan trọng của người dùng hoặc tổ chức được mã hóa để họ không thể truy cập tệp, cơ sở dữ liệu hoặc ứng dụng và cần điều kiện để được yêu cầu để cung cấp quyền truy cập này.
Ransomware thường được thiết kế để lây lan trên mạng và nhắm mục tiêu vào cơ sở dữ liệu và máy chủ tệp, do đó có thể nhanh chóng làm tê liệt toàn bộ tổ chức. Các mối đe dọa liên quan đến ransomware ngày càng tăng, gây thiệt hại lên đến hàng tỷ đô la thanh toán cho tội phạm mạng đến từ các doanh nghiệp và tổ chức chính phủ trên toàn thế giới.

4. Phân biệt Hacker mũ đen và Hacker mũ trắng?

Tin tặc là một cá nhân hoặc tổ chức sử dụng các kỹ năng của mình để phá vỡ hệ thống phòng thủ an ninh mạng. Trong thế giới An ninh mạng, tin tặc thường được phân loại theo hệ thống ‘mũ’. Hệ thống này có thể xuất phát từ văn hóa phim cao bồi cũ, nơi các nhân vật tốt thường đội mũ trắng và những nhân vật xấu đội mũ đen.

Có 3 “mũ” chính trong không gian mạng:

– Mũ trắng: Mũ trắng giống như Captain America của Marvel. Họ luôn đứng lên bảo vệ lẽ phải và bảo vệ người dân cũng như các tổ chức nói chung bằng mọi cách tìm và báo cáo các lỗ hổng trong hệ thống trước khi kẻ xấu tìm thấy chúng
Họ thường làm việc cho các tổ chức và đảm nhận các vai trò như Kỹ sư an ninh mạng, kỹ sư kiểm thử thâm nhập, Nhà phân tích bảo mật, CISO (Giám đốc an ninh thông tin) và các vị trí bảo mật khác.

– Mũ xám: Hiệp sĩ bóng đêm của DC và hacker mũ xám có rất nhiều điểm chung. Cả hai đều muốn bảo vệ lẽ phải nhưng lại sử dụng những phương pháp khá độc đáo để làm điều đó.
Hacker mũ xám là sự cân bằng giữa mũ trắng và mũ đen. Trái ngược lại với mũ trắng, họ không xin phép để được tấn công hệ thống, nhưng cũng không thực hiện bất kỳ hoạt động phi pháp nào khác như hacker mũ đen.
Mũ xám có một lịch sử khá gây tranh cãi, một số thậm chí còn phải ngồi tù vì những gì họ làm.

– Mũ đen: Joker là hình tượng so sánh sát nhất cho những hacker mũ đen. Họ thực hiện các hoạt động bất hợp pháp vì lợi ích tài chính, thử thách hoặc đơn giản là để giải trí. Họ tìm kiếm các hệ thống dễ có thể khai thác, khai thác chúng và sử dụng chúng để đạt được bất kỳ lợi thế nào có thể.
Họ có thể sử dụng các biên pháp kỹ thuật và phi kỹ thuật, miễn sao đạt được mục tiêu cuối cùng.

5. Tại sao Hacker tấn công bạn?

Tin tặc là những cá nhân/tổ chức truy cập trái phép vào hệ thống công nghệ thông tin khác với một mục tiêu cụ thể, chẳng hạn như đạt được danh tiếng bằng cách đánh sập hệ thống máy tính, đánh cắp tiền hoặc khiến mạng không khả dụng.

Kinh nghiệm thu được từ những lần tấn công này và sự thỏa mãn bắt nguồn từ việc tấn công thành công có thể trở thành một cơn nghiện. Một số lý do phổ biến để tấn công bao gồm danh tiếng, tò mò, trả thù, buồn chán, thử thách, trộm cắp vì lợi ích tài chính, phá hoại, gián điệp công ty, tống tiền… Tin tặc được biết là thường xuyên trích dẫn những lý do này để giải thích hành vi của họ.

Ngoài ra, một thường hợp rất phổ biến là tin tặc đánh cắp dữ liệu để giả định danh tính và sau đó sử dụng dữ liệu đó cho mục đích khác như vay tiền, chuyển tiền, v.v. Sự xuất hiện của những sự cố như vậy đã tăng lên sau khi dịch vụ mobie banking và Internet banking bắt đầu trở nên phổ biến.

6. Làm thế nào để bảo vệ dữ liệu cá nhân của bạn?

Dưới đây là một số mẹo để đảm bảo thông tin cá nhân của bạn không rơi vào tay kẻ xấu.

a. Tạo mật khẩu mạnh

Khi tạo mật khẩu, hãy nghĩ xa hơn những từ hoặc số mà tội phạm mạng có thể dễ dàng tìm ra, chẳng hạn như ngày sinh của bạn. Chọn kết hợp các chữ thường và chữ hoa, số và ký hiệu và thay đổi chúng theo định kỳ. Bạn cũng nên tạo một mật khẩu duy nhất thay vì sử dụng cùng một mật khẩu trên nhiều trang web, trong trường hợp bạn lo lắng vì khoogn thể nhớ quá nhiều loại mật khẩu thì công cụ quản lý mật khẩu có thể giúp bạn theo dõi.

b. Không chia sẻ quá nhiều trên mạng xã hội

Tất cả chúng ta đều có một người bạn đăng quá nhiều chi tiết về cuộc sống của họ lên mạng. Điều này không chỉ gây phiền nhiễu mà còn có thể khiến thông tin cá nhân của bạn gặp rủi ro. Kiểm tra cài đặt bảo mật của bạn để bạn biết ai đang xem bài đăng của mình và thận trọng khi đăng vị trí, quê quán, ngày sinh hoặc các thông tin cá nhân khác.

c. Thận trọng khi sử dụng Wi-Fi miễn phí

Hầu hết các mạng Wi-Fi công cộng miễn phí đều có rất ít biện pháp bảo mật, điều đó có nghĩa là những người khác sử dụng cùng một mạng có thể dễ dàng truy cập hoạt động của bạn.

d. Coi chừng các liên kết và tệp đính kèm

Tội phạm mạng hoạt động lén lút và thường sẽ thiết kế các âm mưu lừa đảo của chúng để trông giống như các thông tin liên lạc hợp pháp từ ngân hàng, công ty tiện ích hoặc tổ chức doanh nghiệp khác. Hãy để ý những lỗi nhỉ như lỗi chính tả, số hoặc ký tự đặc biệt, sai tên thương hiệu, địa chỉ email khác với người gửi thông thường… đấy có thể là manh mối cho thấyđấy là một cãi bẫy.

e. Kiểm tra xem trang web có an toàn không

Trước khi nhập thông tin cá nhân vào một trang web, hãy xem phần đầu trình duyệt của bạn. Nếu có biểu tượng khóa và URL bắt đầu bằng “https”, điều đó có nghĩa là trang web an toàn. Có một số cách khác để xác định xem trang web có đáng tin cậy hay không, chẳng hạn như chính sách bảo mật của trang web, thông tin liên hệ hoặc con dấu “an toàn đã được xác minh”.

f. Xem xét bảo vệ bổ sung

Cài đặt phần mềm chống vi-rút, phần mềm chống phần mềm gián điệp và tường lửa,… là phương pháp không quá hữu hiệu nhưng nên có để tự bảo vệ bản thân trước những mối đe dọa cấp thấp trong thời địa thế giới phẳng hiện nay.

————————————

Trên đây là một số câu hỏi thường gặp khi mới tiếp cận đến khái niệm An toàn thông tin/an ninh mạng. Nếu có bất kỳ câu hỏi nào không thuộc phía trên, vui lòng liên hệ theo thông tin tại đây để được giải đáp,

Webinar: Hack hacker bằng chiến thuật phòng thủ “đa chiều”

VSEC - BLOG Sự kiện

Ngày 11/07/2023, webinar “Hack hacker bằng chiến thuật phòng thủ “đa chiều” do Công ty Cổ phần An ninh mạng Việt Nam phối hợp cùng Hiệp hội Internet Việt Nam (VIA) tổ chức, đã diễn ra thành công và để lại nhiều ấn tượng tốt đẹp trong cộng đồng IT và doanh nghiệp vừa và nhỏ tại Việt Nam. Bằng những chia sẻ đầy hữu ích của các diễn giả đầy kinh nghiệm trong ngành, webinar đã thu hút sự quan tâm của đông đảo hơn 150 người tham dự. 

 

Câu chuyện bảo mật không chỉ dành riêng cho các doanh nghiệp lớn nữa mà bất kể các đối tượng, bất kỳ doanh nghiệp ở quy mô nào, có phát sinh hay sở hữu nguồn dữ liệu,  thanh khoản lớn đều là mục tiêu nhắm tới của các tội phạm an ninh mạng để trục lợi. 

 

Giám sát an toàn thông tin trong doanh nghiệp

SOC là một trong những xu hướng bảo mật trong 5 năm trở lại đây. Các doanh nghiệp lớn đều đã trang bị cho mình, chỉ một số ít các doanh nghiệp vừa và nhỏ chú ý tới vấn đề này. Trong phần trình bày của mình, anh Vũ Thế Hải – Trưởng phòng Trung tâm giám sát và vận hành ATTT VSEC đã khẳng định: “Các giải pháp về an toàn thông tin không thể ngăn chặn 100% sự cố. Không một bên cung cấp giải pháp cam kết giải pháp của họ có thể ngăn chặn toàn bộ các sự cố tấn công.” Chính vì vậy, khi mà các giải pháp hệ thống, giải pháp, công nghệ, máy móc không giải quyết được, chúng ta cần phải có phương án để phát hiện và xử lý các tấn công, sự cố ấy – đó là bằng con người.  Tại VSEC, SOC luôn đảm bảo theo tiêu chuẩn CREST của Anh, các tiêu chuẩn khác như Azure.

Cần xây dựng SOC càng sớm càng tốt

Thời điểm để bắt đầu SOC

Các doanh nghiệp cần xây dựng SOC càng sớm càng tốt, nên xây dựng ngay sau khi đã trang bị các giải pháp bảo mật cơ bản. Ở thời điểm này số lượng nhân sự, số lượng thông tin và các quy trình chỉ cần ở mức đơn giản, vừa phải để phù hợp với môi trường làm việc. 

Không nhất thiết cần có hệ thống SIEM tập trung, hệ thống thu thập – phân tích các log, có thể sử dụng trực tiếp portal của các giải pháp đó.

 

Cần chuẩn bị những gì để có thể làm việc tại SOC?

Webinar không chỉ dành cho các doanh nghiệp vừa và nhỏ mà còn thu hút rất nhiều bạn sinh viên quan tâm đến công việc tại SOC. Để có thể làm việc tại Trung tâm giám sát an toàn thông tin, các bạn sinh viên cần nắm chắc các kiến thức cơ bản: kỹ năng lập trình, kỹ năng hệ thống, kỹ năng quản lý và sử dụng ứng dụng… Sau đó, củng cố thêm các kỹ năng chuyên sâu hơn về SOC như mã độc, web, các hình thức tấn công phổ biến, viết rule phát hiện ra mã độc….

 

Thực chiến phản ứng Hacker bằng phương pháp Red Team

Khái niệm về Red Team (Đánh giá xâm nhập sâu) đã rất quen thuộc trên thị trường quốc tế. Tuy nhiên, tại Việt Nam hiện nay, khái niệm này vẫn chưa được hiểu rõ, hiểu sâu khiến cho các doanh nghiệp vẫn còn dè dặt trong việc sử dụng Red Team.

Red Team không chỉ được sử dụng trong chiến tranh vũ trang mà giờ đây còn được sử dụng trong chiến tranh trên không gian mạng.

Với kinh nghiệm tham gia đánh giá Red Team cho nhiều tổ chức trong và ngoài nước cho các đơn vị tài chính, ngân hàng… anh Bế Khánh Duy – Trưởng nhóm Dịch vụ chuyên gia khu vực miền Nam của VSEC đã cho biết trong thời đại về việc phát triển an ninh mạng hiện nay, Red Team đã và đang trở thành xu hướng tại Việt Nam, mang lại nhiều lợi ích cho các tổ chức và doanh nghiệp. Trước khi triển khai Red Team, doanh nghiệp cần lên kế hoạch và chuẩn bị kỹ lưỡng để đảm bảo quy trình diễn ra hiệu quả và mang lại kết quả như mong muốn. Dưới đây là một số bước chính mà doanh nghiệp nên thực hiện trước khi triển khai Red Team:

 

  • Xác định mục tiêu: Vạch ra rõ ràng các mục tiêu và mục tiêu của Red Team. Xác định cụ thể phần nào của cơ sở hạ tầng bảo mật, quy trình hoặc nhân sự của tổ chức mà bạn muốn đánh giá và cải thiện. Bên cạnh đó, cũng cần đặt mục tiêu tấn công của Red Team, VD: Hệ thống Internet Banking, Thông tin khách hàng,…
  • Đặt phạm vi (Scope) và các Quy tắc phối hợp (Rules of Engagement): Xác định rõ ràng phạm vi hoạt động của Red Team, bao gồm các hệ thống, mạng và ứng dụng nằm trong phạm vi và những ứng dụng nằm ngoài giới hạn VD: Hệ thống Core-Banking, không thực hiện Phishing lãnh đạo,… Thiết lập các quy tắc tham gia để đảm bảo Red Team hoạt động trong ranh giới pháp lý và đạo đức.
  • Nhận được sự đồng ý của các bên liên quan: Đảm bảo sự chấp thuận và hỗ trợ từ các bên liên quan chính, bao gồm quản lý cấp trên, nhóm CNTT, bộ phận pháp lý và bất kỳ bên liên quan nào khác. Họ nên nhận thức được các mục tiêu, lợi ích và rủi ro tiềm ẩn liên quan đến bài tập của Red Team.

 

“Hiện nay môi trường trên không gian mạng không còn an toàn. Đối với những tổ chức luôn đặt về an toàn công nghệ thông tin lên hàng đầu thì càng phải bảo vệ tài sản dữ liệu của công ty mình. Vì thế nên sử dụng Red Team để có thể tăng khả năng phản ứng của tổ chức và nâng cao kiến thức phòng thủ cho đội ngũ Blue Team của mình”. Anh Bế Khánh Duy khẳng định.

 

“Giám sát An toàn thông tin là giải pháp” trên môi trường Cloud

VSEC - BLOG Bảo mật trên đám mây

Ngày 25/11/2022 vừa qua, Công ty Cổ phần An ninh mạng Việt Nam (VSEC) đã tham dự Hội thảo “An toàn dữ liệu và bảo mật trên môi trường Cloud” do VNG Cloud tổ chức tại Hà Nội.

Hội thảo diễn ra  gồm hai phần chính: Phần 1 là chuyên đề “Mức độ bảo mật của dữ liệu trên hạ tầng Cloud” được chia sẻ bởi diễn giả Bùi Trung Thành – Chuyên gia tư vấn Giải pháp bảo mật của VSEC. Phần 2 là chuyên đề  “Xây dựng kiến trúc bảo mật an toàn trên môi trường Cloud” được chia sẻ bởi diễn giả Nguyễn Hồng Chương – Chuyên gia tư vấn giải pháp Cloud đến từ VNG Cloud. 

Diễn giả Bùi Trung Thành – Chuyên gia tư vấn giải pháp bảo mật VSEC

“Trong những năm gần đây, mỗi năm thị trường điện toán đám mây toàn cầu tăng trưởng khoảng 40%. Thị trường cloud trong nước hiện tại vẫn được chiếm bởi các nhà cung cấp quốc tế. Điều này khiến chúng ta gặp phải rất nhiều những khó khăn, thách thức trong việc đảm bảo an ninh ATTT” – Anh Thành chia sẻ tại hội thảo. Bên cạnh đó, đại diện VSEC cũng đã đưa ra góc nhìn từ một đơn vị cung cấp các dịch vụ về an toàn thông tin, cách thức đảm bảo thông tin khi triển khai trên hệ thống cloud. Anh hy vọng các giải pháp dịch vụ giám sát ATTT của VSEC sẽ giúp ích cho các tổ chức doanh nghiệp xây dựng chiến lược chuyển dịch lên nền tảng điện toán đám mây một cách an toàn nhất.

SOC LÀ GIẢI PHÁP!

Cũng theo anh Thành: “Khi có một  sự cố an toàn thông tin xảy ra, mọi hoạt động kinh doanh của doanh nghiệp đó sẽ bị sụp đổ. Việc xây dựng các hệ thống ở trên cloud, các kỹ sư của doanh nghiệp đã bỏ sót các cấu hình bảo mật và không tuân thủ theo hướng dẫn của nhà cung cấp về cấu hình bảo mật. Điều này đã tạo nên các lỗ hổng để hacker có thể tấn công một cách dễ dàng, tạo ra các vi phạm về an toàn thông tin trên cloud”.

SOC là giải pháp giúp doanh nghiệp hạn chế tối đa thiệt hại do tin tặc gây ra 

Để giải quyết vấn đề trên, đại diện của VSEC đã đưa ra một giải pháp quan trọng và cấp thiết trong tình hình hiện nay. Đó là giải pháp Giám sát an toàn thông tin (SOC) –  giúp các doanh nghiệp phát hiện sớm nhất có thể các hoạt động tấn công của tin tặc và làm giảm thiểu tối đa các thiệt hại mà tin tặc gây ra. Hệ thống này giúp giám sát liên tục và cải thiện tình hình an ninh của tổ chức, cho phép phát hiện, phân tích và ứng phó sự cố hiệu quả. Chỉ riêng năm 2021, Trung tâm SOC của VSEC giám sát và cảnh báo hàng triệu sự kiện ATTT, hỗ trợ nhiều doanh nghiệp ngăn chặn thành công các tấn công vào hệ thống. Hệ thống SOC được cung cấp bởi VSEC có khả năng tùy biến theo lĩnh vực hoạt động, quy mô và nhu cầu riêng của từng tổ chức. Điều này giúp tổ chức thể an tâm về hiệu suất hoạt động và chi phí vận hành một cách hiệu quả.

XÂY DỰNG KIẾN TRÚC BẢO MẬT 

Phần 2 của buổi hội thảo, diễn giả Nguyễn Hồng Chương đã chia sẻ những kiến thức về mô hình bảo mật cho phép các tổ chức vận hành đúng tài nguyên. Bên cạnh đó, anh sẽ đưa ra những giải pháp bảo mật hiện có và kiến trúc bảo mật tối ưu. “Cloud ra đời dưới dạng một dịch vụ, giải quyết được bài toán dịch chuyển nhanh nhưng vẫn an toàn, chi phí hợp lý cho các doanh nghiệp”.

Diễn giả Nguyễn Hồng Chương – Chuyên gia tư vấn giải pháp Cloud của VNG Cloud

Cũng ngay trong buổi hội thảo, các diễn giả cũng đã có phần giải đáp tất cả thắc mắc cho toàn bộ khách mời tham dự. Đánh giá sau hội thảo, các khách mời đều rất hài lòng bởi những kiến thức mà các diễn ra đem lại vô cùng giá trị. Cùng xem thêm các hình ảnh tại sự kiện:

Phá vỡ mọi giới hạn với Red Team – Sứ mệnh mới của An ninh mạng

Redteam Confession Uncategorized VSEC - BLOG

Trong thế giới ngày nay, an ninh mạng quan trọng hơn bao giờ hết. Khi công nghệ tiến bộ, các phương pháp mà tin tặc sử dụng để truy cập trái phép vào dữ liệu nhạy cảm cũng phát triển theo. Một cách mà các tổ chức có thể dẫn đầu cuộc chơi là thông qua Red Team – một phương pháp sử dụng phần mềm và thuật toán để mô phỏng các cuộc tấn công và xác định các lỗ hổng tiềm ẩn trong các biện pháp bảo mật của hệ thống.

red team
Phá vỡ mọi giới hạn với Red Team

Hãy sẵn sàng để bước vào thế giới đầy hứa hẹn của Red Team và khám phá cách dịch vụ này có thể cung cấp một lợi thế vượt trội cho hệ thống an ninh mạng của bạn. Trải qua hành trình thú vị này, chúng ta sẽ khám phá những lợi ích mà Red Team mang lại và lý do tại sao nó trở thành công cụ quan trọng cho các tổ chức trong việc nâng cao an ninh thông tin.

  1. Giả lập tấn công: Phá vỡ mọi giới hạn Red Team sử dụng kỹ thuật giả lập tấn công để mô phỏng các cuộc tấn công thực tế nhằm khám phá các lỗ hổng và điểm yếu trong hệ thống của bạn. Bằng cách thử nghiệm và kiểm tra tường lửa, hệ thống bảo mật và chính sách an ninh, Red Team giúp bạn xác định những vùng yếu cần cải thiện và nâng cao mức độ phòng thủ.
  2. Phân tích đánh giá rủi ro: Định hướng chính xác Red Team thực hiện phân tích đánh giá rủi ro để xác định các mối đe dọa tiềm ẩn và tầm ảnh hưởng của chúng đối với hệ thống của bạn. Từ đó, chúng ta có thể định hình một chiến lược phòng thủ phù hợp, tăng cường khả năng phát hiện và ứng phó với các cuộc tấn công tiềm năng.
  3. Tổ chức kiểm tra thâm nhập: Đối đầu với những tình huống thực tế Red Team tiến hành các cuộc kiểm tra thâm nhập để xâm nhập vào hệ thống của bạn từ bên trong. Bằng cách thử nghiệm tích cực các điểm yếu, Red Team giúp bạn hiểu rõ những cách thức mà một Hacker có thể sử dụng để xâm nhập và điều chỉnh các biện pháp an ninh mạng của bạn dựa trên kết quả thu được.
  4. Tăng cường đào tạo và nhận thức an ninh: Cùng nhau chung tay Red Team không chỉ là một dịch vụ, mà còn là một công cụ để tăng cường đào tạo và nhận thức an ninh trong tổ chức của bạn. Bằng cách hợp tác với Red Team, nhân viên của bạn sẽ nhận được đào tạo chuyên sâu và hiểu rõ hơn về các mối đe dọa và cách phòng ngừa chúng, từ đó nâng cao mức độ an toàn chung của tổ chức.
  5. Đo lường con người, quy trình và công nghệ: Điều quan trọng là đo lường sự tiến bộ để thực sự nhìn thấy sự tăng trưởng. Rất khó để xác định chính xác thời gian xảy ra vi phạm, điều này khiến việc phản hồi chính xác càng khó khăn hơn. Đây là lý do tại sao các bài tập của đội đỏ rất quan trọng. Trong một bài tập của đội đỏ, nhóm sẽ nắm bắt thời gian của từng hành động để đo lường hiệu quả khả năng phát hiện và phản hồi của con người, quy trình và công nghệ.

Thật hợp lý khi chấp nhận rằng Mô phỏng đối thủ đóng vai trò quan trọng trong việc đo lường và cải thiện con người, quy trình và công nghệ của bạn. Trong một cuộc tấn công nguy hiểm thực sự, các tổ chức bắt đầu chấp nhận rằng vi phạm là không thể tránh khỏi. Điều này có nghĩa là họ đang tập trung vào cách phát hiện và phản hồi. Tuy nhiên, vi phạm không nhất thiết có nghĩa là tác động nhất định đối với tổ chức của bạn. Điều quan trọng là phải xây dựng khả năng phục hồi để hành động kịp thời và tránh tác động đến hoạt động kinh doanh. Điều này có thể đạt được bằng cách thực hiện Mô phỏng đối thủ dưới dạng Giao tranh với Red Team & Blue Team.

Nguồn: VSEC tổng hợp