GCHQ làm mất hàng nghìn thiết bị lưu trữ mật, nhiều năm sau vẫn không biết chính xác bao nhiêu

Cơ quan tình báo tín hiệu Anh (GCHQ) đã để thất lạc hàng nghìn ổ cứng và thiết bị lưu trữ di động có khả năng chứa dữ liệu mật trong nhiều năm, và cho đến nay vẫn chưa thể xác định chính xác số lượng. Thông tin này được nêu trong báo cáo thường niên của Văn phòng Ủy viên Quyền Hạn Điều Tra (IPCO).

Báo cáo cũng chỉ ra một loạt sai sót khác của các cơ quan tình báo Anh, bao gồm một lỗi phần mềm chưa được kiểm tra dẫn đến việc bắt giữ người vô tội theo Luật Khủng bố.

Sự cố kéo dài nhiều năm mà vẫn chưa có lời giải

Theo báo cáo của IPCO, các ổ lưu trữ bị mất tích có thể chứa dữ liệu liên quan đến Đạo luật Quyền Hạn Điều Tra (IPA). Điều đáng nói là giới chức đã biết về vấn đề này từ nhiều năm trước.

"Tôi vẫn quan ngại rằng GCHQ chưa đạt được hiểu biết đủ rõ ràng về quy mô, vị trí và khả năng phục hồi của các thiết bị lưu trữ di động bị thất lạc", Ủy viên Brian Leveson viết trong báo cáo.

Ông Leveson nhấn mạnh rằng dù hiểu những thách thức kỹ thuật và thực tiễn trong quá trình xử lý, việc để thời gian trôi qua mà chưa có bảng kê đầy đủ càng làm tăng tầm quan trọng của việc giám sát ở cấp cao nhất. Ông cho biết sẽ tiếp tục theo dõi sát sao tiến độ khắc phục.

Báo cáo mô tả đây là "một con số rất lớn". GCHQ đã xác định được số lượng tối đa thiết bị có thể bị mất, nhưng chưa biết chính xác quy mô thực tế của sự cố.

Nỗ lực khắc phục vẫn đang tiếp diễn

Để giải quyết vấn đề, GCHQ cho biết đã bắt đầu "chương trình công tác bổ sung" nhằm tìm lại càng nhiều thiết bị thất lạc càng tốt. Cơ quan này dự kiến triển khai hệ thống theo dõi tài sản tự động vào cuối năm, sau đó sẽ có thể đưa ra con số chính xác hơn về số thiết bị bị mất.

Đại diện GCHQ nói với The Register rằng hệ thống quản lý thiết bị lưu trữ di động trước đây "không đủ mạnh để theo dõi hiệu quả các thiết bị được đăng ký sử dụng". Họ khẳng định đã xử lý toàn diện các phát hiện trong báo cáo và thực hiện mọi bước cần thiết để sửa chữa.

Bài học từ ngành bảo mật

Ông Peter Sommer, chuyên gia pháp y số và giáo sư thỉnh giảng tại các trường đại học De Montfort và Birmingham City, nhận định IPCO hoàn toàn đúng khi quan ngại, nhất là khi sự việc đã kéo dài nhiều năm.

"Lượng dữ liệu khổng lồ có thể được lưu trên những ổ cứng và thẻ nhớ rẻ nhất. Ở một quy mô khiêm tốn hơn, với tư cách là một chuyên gia chứng thực, tôi biết việc theo dõi cẩn thận dữ liệu được giao phó quan trọng đến mức nào", ông nói.

Đáng chú ý, đây không phải hiện tượng cá biệt. Khu vực công ở Anh từng nhiều lần ghi nhận các sự cố tương tự: Bộ Quốc phòng Anh làm mất USB chứa thông tin tối mật vào giữa thập niên 2000, công chức thường xuyên đánh mất điện thoại BlackBerry, và cảnh sát Anh cũng từng mất hàng nghìn thiết bị.

Lỗi phần mềm dẫn đến bắt giữ oan

Ngoài các thiết bị thất lạc, IPCO còn nêu "quan ngại đáng kể" về các biện pháp bảo vệ lỏng lẻo khi đối tác nước ngoài truy cập dữ liệu thu thập hàng loạt của GCHQ.

Đáng chú ý nhất là một lỗi phần mềm trong ứng dụng web mà GCHQ dùng cho công tác "xác định mục tiêu", khiến hệ thống nhận nhầm một số cá nhân là đối tượng tham gia hoạt động khủng bố. Dù chỉ ảnh hưởng đến số ít người, các sai sót này đã dẫn đến năm vụ chặn giữ tại cửa khẩu theo Luật Khủng bố và gây "tổn hại nghiêm trọng" cho các nạn nhân.

Một vụ chặn giữ tại cửa khẩu có thể diễn ra tại sân bay, ga tàu hoặc khu vực biên giới Bắc Ireland mà không cần có nghi ngờ trước. Khi bị giữ, cá nhân có trách nhiệm pháp lý phải cung cấp mật khẩu thiết bị điện tử, điện thoại có thể bị tịch thu tới bảy ngày, và trong một số trường hợp còn bị lấy dấu sinh trắc học. Không tuân thủ có thể bị phạt tù ba tháng.

Tuy nhiên, IPCO kết luận rằng theo định nghĩa của IPA thì không có lỗi nào được xác lập, bởi hoạt động này đã được cấp phép hợp pháp và việc áp dụng phương pháp xác định mục tiêu "khiếm khuyết ngoài ý muốn và không thể lường trước" không cấu thành lỗi theo luật.

Vấn đề rộng hơn trong cộng đồng tình báo Anh

Báo cáo cũng dành nhiều dung lượng cho vụ việc của MI5 liên quan đến điệp viên ẩn danh có mật danh "Agent X". Theo điều tra bí mật của IPCO, MI5 đã quản lý Agent X dù biết người này là kẻ bạo lực với phụ nữ và ám ảnh cực đoan. Cơ quan này còn bị cáo buộc cung cấp bằng chứng sai cho Tòa án Cấp cao và Tòa án Quyền Hạn Điều Tra để bảo vệ một điệp viên theo chủ nghĩa tân phát xít nước ngoài đang bị cảnh sát điều tra vì hành vi bạo hành bạn gái.

"Vụ việc của Agent X nghiêm trọng ngang với bất kỳ vụ nào tôi từng xử lý trên cương vị Ủy viên", ông Leveson nhận định.

Ý nghĩa với người dùng và tổ chức

Câu chuyện của GCHQ là lời nhắc nhở rõ ràng về tầm quan trọng của quản lý tài sản lưu trữ trong mọi tổ chức. Những ổ cứng giá rẻ có thể chứa lượng dữ liệu khổng lồ, và một khi thất lạc thì việc truy vết gần như bất khả thi nếu không có hệ thống theo dõi tự động.

Đối với các doanh nghiệp và cơ quan tại Việt Nam đang số hóa mạnh mẽ, bài học này càng đáng lưu tâm: việc triển khai giải pháp quản lý thiết bị đầu cuối (endpoint) và mã hóa ổ đĩa ngay từ đầu sẽ rẻ và an toàn hơn nhiều so với việc xử lý hậu quả sau khi dữ liệu nhạy cảm rơi vào tay kẻ xấu.