Suy nghĩ về các vụ hack tập đoàn lớn gần đây tại Hàn Quốc

Tiếp nối vụ hack máy chủ của KT và Lotte Card gần đây, cùng với các trường hợp của SKT và Ngân hàng tiết kiệm SBI (các tập đoàn lớn của Hàn Quốc) trước đó, các sự cố rò rỉ thông tin của các doanh nghiệp khổng lồ vẫn không ngừng xảy ra. Những sự việc này mang lại cảm giác rùng mình vì chúng có thể không chỉ là kết quả của một cuộc tấn công nhất thời, mà là thành quả của một quá trình thao túng tinh vi kéo dài nhiều năm. Rốt cuộc vấn đề nằm ở đâu mà những chuyện như thế này cứ lặp đi lặp lại?

Vấn đề chung mà tôi nhận thấy sau khi trải qua nhiều công ty chính là "không có công ty nào ứng phó đúng mực với vấn đề bảo mật". Công ty ở đây không chỉ mang ý nghĩa là ban giám đốc hay một phòng ban cụ thể. Nó bao gồm hội đồng quản trị, toàn bộ nhân viên, thậm chí cả nhân viên của nhà thầu phụ và người dọn dẹp, tức là "bản thân công ty" đó. Những quy tắc bảo mật cơ bản nhất cần tuân thủ ở công ty như viết mật khẩu lên giấy ghi chú, chia sẻ mật khẩu qua tin nhắn, hay sử dụng Wi-Fi công cộng... trên thực tế lại thường xuyên bị phá vỡ một cách vô nghĩa chỉ bằng một câu nói: "Đang bận chết đi được, thời gian đâu mà làm mấy cái đó". Tôi nghĩ rằng xã hội Hàn Quốc hiện tại, và xa hơn là tất cả các quốc gia vào năm 2025, đều đang thiếu hụt những khái niệm cơ bản nhất về bảo mật IT.

Dù chính phủ có khuyến khích đầu tư liên quan đến bảo mật IT, thì đây vẫn chỉ là một ý tưởng phiến diện, chưa chạm đến cốt lõi của vấn đề. Hiện tại, nhân sự bảo mật nhận mức lương thấp nhất và tiếng nói của họ trong công ty cũng không có trọng lượng. So với nhân sự kinh doanh hay phát triển - những người mang tiền về, thì nhân sự bảo mật - những người "giữ" tiền - lại không được công nhận giá trị một cách xứng đáng. Giả sử có một nhân viên viết mật khẩu vào sổ tay cá nhân hoặc chụp ảnh lại. Nếu ở trong ngành tài chính nơi bảo mật là yếu tố sống còn, thì đây hoàn toàn là vấn đề có thể dẫn đến việc bị sa thải, nhưng thực tế thì rất khó tưởng tượng việc họ bị kỷ luật vì lý do này. Thử so sánh với việc kỷ luật vì quấy rối tình dục, chúng ta có thể thấy rõ xã hội đang đặt ra tiêu chuẩn thấp đến mức nào đối với vấn đề bảo mật.

Tôi nghĩ cách duy nhất để giải quyết vấn đề này, dù là ngắn hạn hay dài hạn, chính là trách nhiệm trừng phạt thật mạnh tay. Nếu những sự việc này xảy ra ở Mỹ, SKT chắc chắn đã phải nộp phạt và bồi thường hàng nghìn tỷ won (khoảng hàng chục nghìn tỷ VNĐ). Trường hợp của KT và Lotte Card là vấn đề nghiêm trọng có thể dẫn đến thanh toán gian lận, nên tòa án thậm chí phải xem xét đến việc buộc đóng cửa công ty. Không chỉ các tập đoàn lớn mà cả các doanh nghiệp vừa và nhỏ hay tiểu thương, hễ xảy ra sự cố rò rỉ thông tin là phải truy cứu trách nhiệm thật nặng. Có như vậy, xã hội chúng ta mới bắt đầu nhận thức được tầm quan trọng của bảo mật IT và đánh giá đúng giá trị của nhân sự bảo mật. Bây giờ người ta chỉ đầu tư vào những người kiếm ra tiền, nhưng trong tương lai, họ cũng cần phải nhận ra tầm quan trọng của những người giữ tiền nữa.

Một số người có thể nghĩ rằng vấn đề chỉ xảy ra trong ngành tài chính, nhưng liệu có đúng vậy không? Trong thời đại AI, liệu những nỗ lực bảo vệ các dữ liệu quan trọng đó có đang được thực hiện đúng cách? Tôi e rằng có lẽ các ngân hàng, công ty chứng khoán, sàn giao dịch tiền ảo, và thậm chí cả cơ sở hạ tầng của chính phủ cũng đã bị chọc thủng rồi. Ví dụ tốt nhất mà chúng ta nên tham khảo chính là văn hóa bảo mật của các tập đoàn sản xuất lớn. Họ ngăn chặn triệt để việc công nghệ nội bộ bị rò rỉ qua nhân viên. Nếu bị bắt quả tang mang bản vẽ ra ngoài, dù là giám đốc hay tổng giám đốc thì cũng không có ngoại lệ, đều bị giao cho cảnh sát. Có thể nói ngành sản xuất làm được điều này vì máy chủ của họ bị ngắt kết nối với bên ngoài, nhưng suy cho cùng, họ phản ứng mạnh mẽ như vậy là vì họ biết "cú sốc" khi bị rò rỉ lớn đến mức nào. Tương tự, nếu xã hội chúng ta thực sự nhận ra cú sốc và sức ảnh hưởng của việc rò rỉ thông tin cá nhân, đồng thời tăng cường trách nhiệm trừng phạt, thì bảo mật IT sẽ không còn bị đẩy xuống hàng thứ yếu nữa.