CISA công bố kế hoạch an ninh bầu cử 2026: rào cản vá lỗ hổng và nguy cơ tấn công cơ sở dữ liệu cử tri

Cơ quan An ninh mạng và Hạ tầng Hoa Kỳ (CISA) vừa công bố Kế hoạch An ninh Hạ tầng Bầu cử năm 2026, trong đó mô tả chi tiết các mối đe dọa cả về mạng lẫn vật lý đối với hệ thống bầu cử, đồng thời liệt kê những dịch vụ miễn phí mà cơ quan này cung cấp cho các quan chức bầu cử và đối tác.

Kế hoạch an ninh bầu cử của CISA

Bộ trưởng An ninh Nội địa Markwayne Mullin đã giao nhiệm vụ xây dựng kế hoạch này cho CISA vào tháng 7. Theo cơ cấu hiện tại của Hoa Kỳ, các quan chức bầu cử cấp bang và địa phương giữ trách nhiệm chính trong việc bảo vệ hạ tầng bầu cử, với hơn 10.000 khu vực pháp lý địa phương tham gia quản lý bầu cử. Chính phủ liên bang, bao gồm CISA, đóng vai trò cung cấp thông tin, công cụ và nguồn lực hỗ trợ.

Quy định chứng nhận cản trở việc vá lỗ hổng

Theo CISA, phần mềm bầu cử có thể chứa các lỗ hổng cần được khắc phục kịp thời. Tuy nhiên, cơ quan này nhấn mạnh rằng "những ràng buộc mang tính cấu trúc trong hệ sinh thái chứng nhận có thể hạn chế đáng kể khả năng phát hành bản vá của nhà cung cấp và ngăn chủ sở hữu hệ thống áp dụng chúng một cách nhanh chóng."

Các đánh giá của CISA cũng cho thấy các văn phòng bầu cử cấp bang, địa phương, bộ lạc và lãnh thổ (SLTT) thường gặp khó khăn với các biện pháp vệ sinh an ninh mạng cơ bản và việc khắc phục lỗ hổng.

Thêm vào đó, hạ tầng bầu cử thường có thể truy cập được từ các mạng doanh nghiệp thông thường. Kẻ tấn công khi xâm nhập được hệ thống email hoặc máy trạm có thể lợi dụng quyền truy cập đó để di chuyển ngang trong mạng.

Cơ quan này nêu tên ba vấn đề chính:

• Quản lý lỗ hổng bị hạn chế bởi các chế độ chứng nhận lỗi thời
• Tính minh bạch không nhất quán của nhà cung cấp về lỗ hổng và tình trạng bản vá
• Mức độ trưởng thành an ninh mạng còn thấp của nhiều mạng SLTT đang vận hành hệ thống bầu cử

CISA khuyến nghị căn chỉnh quy trình quản lý bản vá với các yêu cầu chứng nhận, để các bản cập nhật bảo mật có thể được áp dụng theo thời gian thực mà không ảnh hưởng đến chứng nhận hệ thống. Cơ quan cũng đề xuất sử dụng phiếu giấy và kiểm tra thủ công sau bầu cử.

Ngoài ra, CISA gợi ý các quan chức bầu cử nên khuyến khích nhà cung cấp phần mềm gán mã định danh CVE cho các lỗ hổng, thông báo kịp thời cho khách hàng nếu mã nguồn bị rò rỉ hoặc đánh cắp, báo cáo sự cố cho cơ quan chức năng và cung cấp SBOM (danh mục thành phần phần mềm) kèm theo mỗi sản phẩm.

Cơ sở dữ liệu đăng ký cử tri vẫn là mục tiêu

Dẫn các báo cáo trong thập kỷ qua, CISA cho biết cơ sở dữ liệu đăng ký cử tri là mục tiêu hấp dẫn đối với các thế lực thù địch nước ngoài.

"Tin tặc đã cố gắng xâm nhập hệ thống đăng ký cử tri tại cả 50 bang, với mức độ thành công được xác nhận tại ít nhất 20 bang."

Để bảo vệ các cơ sở dữ liệu này, kế hoạch đặt ưu tiên vào:

• Xác thực đa yếu tố (MFA)
• Giám sát mạng để phát hiện bất thường
• Giới hạn quyền truy cập theo nguyên tắc đặc quyền tối thiểu
• Lưu giữ nhật ký quan trọng ít nhất một năm
• Tách biệt công cụ đăng ký và tra cứu trực tuyến dành cho công chúng khỏi cơ sở dữ liệu gốc

Rủi ro nội bộ trải rộng từ nhân viên đến nhà cung cấp

CISA nhận định rủi ro từ người trong nội bộ là mối lo ngại ngày càng tăng, liên quan đến nhân viên chính thức, nhân viên tạm thời hoặc theo mùa, nhân viên bầu cử tình nguyện, nhà thầu và nhà cung cấp. Nhân sự theo mùa và tình nguyện có thể không trải qua quy trình thẩm tra nghiêm ngặt như nhân viên chính thức.

Theo CISA, những kẻ nội gián có ý đồ xấu có thể thực hiện thay đổi trái phép đối với cơ sở dữ liệu đăng ký cử tri, định nghĩa lá phiếu, cài đặt kiểm phiếu hoặc báo cáo kết quả. Trong khi đó, những người bất cẩn có thể sập bẫy lừa đảo phishing, cắm thiết bị lưu trữ không được phép vào hệ thống bầu cử hoặc xử lý thiết bị sai cách.

Các quy trình như xử lý lá phiếu theo nhóm hai người thuộc hai đảng phái khác nhau, quan sát viên kiểm phiếu và thủ tục chuỗi giám sát được thiết kế để giảm thiểu rủi ro này. CISA cho rằng các văn phòng bầu cử nên chính thức hóa chúng thành một chương trình quản lý mối đe dọa nội bộ có tài liệu đầy đủ.

Về rủi ro vật lý, CISA lưu ý rằng 96 trong số 107 sự cố an ninh liên quan đến bầu cử được theo dõi qua các báo cáo nguồn mở kể từ tháng 1 năm 2022 là các mối đe dọa đánh bom.

Nền tảng chia sẻ thông tin cho chu kỳ bầu cử 2026

Cho chu kỳ bầu cử năm 2026, CISA đang hỗ trợ một nền tảng chia sẻ thông tin miễn phí dành cho tất cả các trung tâm hợp nhất và quan chức bầu cử cấp bang, địa phương. Nền tảng này hỗ trợ liên lạc gần như theo thời gian thực với đồng nghiệp và các đối tác liên bang.

"Mô hình này đã được triển khai và sử dụng thành công trong khuôn khổ FIFA World Cup 2026."

Chuyên gia an ninh mạng

Kế hoạch cũng nêu bật các dịch vụ miễn phí bao gồm quét lỗ hổng và ứng dụng web, kiểm thử xâm nhập liên tục, đánh giá rủi ro và lỗ hổng, cùng các hệ thống mồi nhử và canary token để phát hiện xâm nhập.

Ý nghĩa đối với công tác bảo mật bầu cử

Kế hoạch của CISA phản ánh một thực tế dai dẳng: hạ tầng bầu cử vẫn là mục tiêu hấp dẫn của tội phạm mạng và các quốc gia thù địch, trong khi năng lực phòng thủ tại nhiều địa phương còn nhiều hạn chế. Việc cân bằng giữa yêu cầu chứng nhận khắt khe và nhu cầu cập nhật bản vá kịp thời là bài toán nan giải mà các nhà quản lý bầu cử phải giải quyết trước khi bước vào chu kỳ bầu cử tiếp theo.

Đối với độc giả theo dõi lĩnh vực an ninh mạng, đây là lời nhắc nhở rằng bảo vệ hạ tầng quan trọng không chỉ là vấn đề kỹ thuật, mà còn là sự phối hợp giữa chính sách, quy trình và con người.

SecurityWeek