Vì sao khả năng phục hồi an ninh mạng đã trở thành ưu tiên hàng đầu của ban lãnh đạo khu vực công Vương quốc Anh

Khu vực công của Vương quốc Anh đang bước vào giai đoạn chuyển mình quan trọng về khả năng phục hồi an ninh mạng. Sự thay đổi nhân sự cấp cao nhất trong chính phủ, việc tái cấu trúc bộ máy hành chính cùng tốc độ phát triển của công nghệ đang tạo ra một cục diện hoàn toàn mới buộc các nhà lãnh đạo phải nhìn nhận lại vai trò của mình.

Nếu trước đây an ninh mạng chỉ được xem là công việc chuyên môn của đội ngũ kỹ thuật, thì nay nó đã trở thành trách nhiệm không thể tách rời khỏi ban lãnh đạo. Một sự cố an ninh mạng trong khu vực công không còn đơn thuần là sự gián đoạn hệ thống công nghệ thông tin, mà là mối đe dọa trực tiếp đến niềm tin của người dân, an toàn cộng đồng và sự liên tục của bộ máy nhà nước.

Ba áp lực đồng thời đẩy an ninh mạng lên cấp hội đồng quản trị

Áp lực đang đến từ ba hướng cùng lúc:

• Thay đổi chính sách: Chính phủ và Trung tâm An ninh mạng Quốc gia (NCSC) ngày càng nâng cao yêu cầu đối với cấp lãnh đạo, đặt kỳ vọng cụ thể về trách nhiệm của hội đồng quản trị.
• Cải cách tổ chức: Việc tái cấu trúc lại các cơ quan, thay đổi chủ thể quản lý dữ liệu và hệ thống trọng yếu đang tạo ra những lỗ hổng mới.
• Thay đổi công nghệ: Đám mây, mô hình làm việc kết hợp và trí tuệ nhân tạo vừa mở ra cơ hội vừa gia tăng rủi ro trên diện rộng.

Ba lực lượng này cộng hưởng khiến khả năng phục hồi an ninh mạng không thể nằm dưới tầm kiểm soát của cấp quản lý trung và thấp. Các dịch vụ công như y tế, phúc lợi, giao thông, giáo dục, chính quyền địa phương và ứng phó khẩn cấp đều phụ thuộc sâu vào hệ thống số đến mức một cuộc tấn công có thể làm tê liệt toàn bộ chuỗi cung ứng dịch vụ.

Bài học thực tế từ sự cố Synnovis năm 2024

Một ví dụ điển hình là vụ tấn công mã độc tống tiền nhắm vào Synnovis, nhà cung cấp dịch vụ xét nghiệm bệnh lý cho một phần hệ thống y tế công NHS. Vụ việc đã làm giảm nghiêm trọng năng lực xử lý các xét nghiệm máu, nước tiểu và bệnh phẩm, gây gián đoạn trên diện rộng tại khu vực đông nam London và khiến hơn 11.000 lịch hẹn khám ngoại trú và phẫu thuật bị trì hoãn.

Những sự cố như vậy biến rủi ro an ninh mạng trừu tượng thành gián đoạn dịch vụ có thật, biến khả năng phục hồi thành vấn đề của ban lãnh đạo thay vì chuyện hậu trường kỹ thuật.

Chính sách đã biến phục hồi an ninh mạng thành nghĩa vụ lãnh đạo

Định hướng từ chính phủ và NCSC là rất rõ ràng. Cam kết Phục hồi An ninh mạng (Cyber Resilience Pledge) yêu cầu các tổ chức đặt an ninh mạng thành trách nhiệm cấp hội đồng quản trị, đăng ký hệ thống cảnh báo sớm của NCSC và áp dụng cách tiếp cận dựa trên rủi ro đối với tiêu chuẩn Cyber Essentials trong toàn chuỗi cung ứng.

Bộ Quy tắc Quản trị An ninh mạng của NCSC cũng nhấn mạnh rằng rủi ro an ninh mạng phải được quản trị giống như mọi loại rủi ro trọng yếu khác của tổ chức. Dự luật An ninh mạng và Phục hồi sẽ tiếp tục mở rộng phạm vi kỳ vọng đối với các dịch vụ thiết yếu và dịch vụ số, tăng cường yêu cầu báo cáo sự cố và đưa nhiều nhà cung cấp quan trọng vào diện quản lý.

Quy mô mối đe dọa đang tăng nhanh đáng kể. Chỉ trong năm tính đến tháng 9/2025, NCSC đã xử lý 204 sự cố an ninh mạng nghiêm trọng cấp quốc gia, tăng mạnh so với 89 sự cố của năm trước đó. Trung bình mỗi tuần Vương quốc Anh ghi nhận khoảng bốn cuộc tấn công nghiêm trọng tầm quốc gia.

Điều này đặt lại câu hỏi cho ban lãnh đạo. Các nhà quản lý không còn chỉ hỏi liệu tổ chức đã đầu tư vào công cụ bảo mật hay chưa, mà phải hỏi liệu họ có thể chứng minh khả năng phục hồi, chứng minh trách nhiệm giải trình và duy trì cung cấp dịch vụ thiết yếu khi hệ thống chịu áp lực, nhà cung cấp bị xâm nhập, quyền truy cập dữ liệu bị gián đoạn, hoặc khi kẻ tấn công đã nằm trong mạng lưới.

Cải cách tổ chức tạo ra rủi ro an ninh mạng ẩn giấu

Lực lượng thứ hai là thay đổi về tổ chức. Việc tái cấu trúc chính quyền địa phương đang vẽ lại cơ cấu và trách nhiệm trên khắp nước Anh. Việc quốc hữu hóa đường sắt và những thay đổi về sở hữu nhà nước đang làm thay đổi ai sở hữu, quản lý và bảo vệ dữ liệu cùng hệ thống trọng yếu. Các ưu tiên và mô hình triển khai của từng bộ cũng đang thay đổi, khi Bộ Khoa học, Đổi mới và Công nghệ (DSIT) bị giải thể và các chức năng như chuyển đổi số, ứng dụng AI trong khu vực công, phục hồi thông tin và an toàn trực tuyến được phân tán sang các bộ và cơ cấu chính phủ khác.

Mỗi bước chuyển dịch đều tạo ra khoảng trống tiềm tàng:

• Hệ thống cần được tích hợp lại.
• Quyền truy cập và đặc quyền danh tính cần được xem xét lại.
• Dữ liệu cần được di chuyển giữa các nhóm, cơ quan và nhà cung cấp.
• Hợp đồng và trách nhiệm cần được định nghĩa lại.

Trong những giai đoạn biến động, bề mặt tấn công mở rộng và trách nhiệm giải trình có thể trở nên mờ nhạt. Đây là lý do khả năng phục hồi an ninh mạng phải được xây dựng ngay từ đầu trong mọi chương trình cải cách khu vực công, chứ không phải hậu kiểm sau khi việc tái cấu trúc đã hoàn tất.

Thay đổi công nghệ đòi hỏi đảm bảo liên tục

Lực lượng thứ ba là thay đổi công nghệ. Công việc của khu vực công nay diễn ra trên môi trường kết hợp, dịch vụ dùng chung, nền tảng đám mây, hệ sinh thái đối tác và chuỗi cung ứng phức tạp. Mô hình bảo mật truyền thống được thiết kế cho một thế giới ổn định hơn với văn phòng cố định, mạng lưới dự đoán được, người dùng đã biết và ranh giới tổ chức rõ ràng. Thế giới đó không còn tồn tại.

AI khiến vấn đề trở nên cấp bách hơn. AI đang được sử dụng rộng rãi trong khu vực công để tăng năng suất, phân tích thông tin và hỗ trợ cung cấp dịch vụ tốt hơn. Nhưng nếu thiếu quản trị, các tổ chức có thể nhanh chóng mất dấu công cụ nào đang được dùng, chúng truy cập dữ liệu gì và liệu thông tin nhạy cảm có bị lộ hay không. AI bóng tối (Shadow AI) không còn là rủi ro tương lai mà là thách thức quản trị hiện hữu.

Trong môi trường này, phục hồi đòi hỏi sự đảm bảo liên tục:

Quyền truy cập không nên được cấp chỉ vì người dùng đang ở trên một mạng lưới được tin cậy. Mọi yêu cầu cần được xác minh dựa trên danh tính, ngữ cảnh, trạng thái thiết bị và mức độ rủi ro.

Người dùng chỉ nên nhận quyền truy cập cần thiết vào đúng thời điểm cần thiết. Ứng dụng cần được bảo vệ khỏi phơi lộ không cần thiết. Dữ liệu cần được phân đoạn để sự xâm nhập ở một khu vực không tự động lan rộng ra toàn tổ chức.

Ban lãnh đạo khu vực công nên làm gì ngay bây giờ

Đưa khả năng phục hồi an ninh mạng thành ưu tiên cấp hội đồng quản trị không có nghĩa là mọi giám đốc phải trở thành chuyên gia kỹ thuật. Điều đó có nghĩa là các nhà lãnh đạo cấp cao cần có cơ chế quản trị, bằng chứng và trách nhiệm giải trình phù hợp để đối phó với ba lực lượng đang định hình lại rủi ro trong khu vực công.

• Đưa phục hồi an ninh mạng vào chương trình nghị sự thường kỳ của hội đồng quản trị, gắn trực tiếp với tính liên tục của dịch vụ, niềm tin của người dân, rủi ro tuân thủ pháp lý và tiến độ cải cách.
• Hiểu rõ dịch vụ thiết yếu nào phụ thuộc vào hệ thống, nhà cung cấp và tập dữ liệu nào, đâu là điểm lỗi đơn lẻ, và sự gián đoạn ở một phần của hệ sinh thái có thể ảnh hưởng thế nào đến khả năng tiếp cận dịch vụ thiết yếu của người dân.
• Đảm bảo chuỗi cung ứng phải nằm trong cùng cuộc thảo luận đó. Tiêu chuẩn Cyber Essentials, kiểm tra nhà cung cấp, nghĩa vụ hợp đồng và kỳ vọng báo cáo sự cố rõ ràng cần được đưa vào quy trình mua sắm và quản lý hợp đồng.
• Chuyển từ tin cậy ngầm định theo mạng lưới hoặc vị trí sang xác minh liên tục dựa trên danh tính, ngữ cảnh, trạng thái thiết bị và rủi ro.
• Quản trị việc ứng dụng AI trước khi nó mở rộng quy mô, để đổi mới không tạo ra những đường dẫn không được kiểm soát tới thông tin nhạy cảm.

Phục hồi an ninh mạng là phép thử năng lực lãnh đạo khu vực công

Môi trường chính sách của Vương quốc Anh đã thay đổi. Các tổ chức khu vực công đang thay đổi. Công nghệ còn thay đổi nhanh hơn nữa. Cách duy nhất để quản lý sự phức tạp đó là đưa khả năng phục hồi an ninh mạng vào chính cách khu vực công được quản trị, chuyển đổi và vận hành.

Khu vực công không thể đợi đến khi luật thắt chặt hơn, các chương trình cải cách hoàn tất hay AI đã tăng tốc mới xử lý vấn đề phục hồi. Nó phải được thiết kế ngay từ đầu, được đo lường ở cấp lãnh đạo và được kiểm thử liên tục.

Phục hồi an ninh mạng không chỉ là bảo vệ hệ thống. Đó là bảo vệ khả năng của người dân trong việc tin tưởng vào chính phủ khi chính sách, tổ chức và công nghệ cùng thay đổi một lúc.

Chính vì vậy, đây là ưu tiên cấp hội đồng quản trị theo đúng nghĩa của nó.

Nội dung hợp tác cùng Zscaler.