Cam kết an ninh mạng của Chính phủ Anh: 60 doanh nghiệp tham gia, Capita và M&S gây tranh cãi

Bài viết được dịch và tổng hợp từ tin tức gốc. Bạn có thể đọc bài viết gốc bằng tiếng Anh tại đây.

Điểm tin nhanh:

Chính phủ Anh ra mắt Cyber Resilience Pledge với 60 tổ chức tham gia nhằm nâng cao tiêu chuẩn an ninh mạng.

Các doanh nghiệp cam kết coi bảo mật là trách nhiệm cấp hội đồng quản trị và hỗ trợ chuỗi cung ứng đạt chứng nhận Cyber Essentials.

Sự góp mặt của Capita và M&S gây tranh cãi do lịch sử sự cố bảo mật, trong khi nhiều tên tuổi lớn khác lại vắng mặt.

Tổng quan về Cyber Resilience Pledge

Trong nỗ lực mới nhất nhằm củng cố hạ tầng an ninh mạng quốc gia, Bộ trưởng Công nghệ Anh, bà Liz Kendall, đã chính thức công bố Cyber Resilience Pledge. Đây là một chương trình tự nguyện dành cho các doanh nghiệp, yêu cầu các tổ chức tham gia phải cam kết thực hiện các bước cụ thể để bảo vệ dữ liệu khách hàng và hệ thống nội bộ trước các mối đe dọa ngày càng tinh vi từ AI.

Các cam kết chính của doanh nghiệp

Các tổ chức tham gia cam kết thực hiện ba trụ cột chính:

Trách nhiệm cấp hội đồng quản trị: Đưa an ninh mạng thành ưu tiên chiến lược thay vì chỉ là vấn đề kỹ thuật IT.
Dịch vụ cảnh báo sớm: Đăng ký sử dụng dịch vụ Early Warning của Trung tâm An ninh mạng Quốc gia (NCSC).
Tiêu chuẩn chuỗi cung ứng: Khuyến khích các đối tác, nhà cung cấp đạt chứng nhận Cyber Essentials hoặc các tiêu chuẩn tương đương.

Danh sách các đơn vị tham gia và những tranh cãi

Sự kiện này thu hút 60 tổ chức, tạo nên một danh sách khá đa dạng. Tuy nhiên, sự xuất hiện của một số cái tên đã làm dấy lên nhiều hoài nghi từ cộng đồng bảo mật.

Tên tổ chức	Ghi chú về lịch sử bảo mật
Marks & Spencer (M&S)	Từng là tâm điểm của sự cố bán lẻ năm ngoái
Capita	Bị phạt bởi ICO sau vụ ransomware 2023 (6 triệu hồ sơ bị lộ)
Microsoft	Đối tác chiến lược, nhưng thường xuyên phải vá lỗ hổng bảo mật
Các đơn vị khác	Aviva, Fujitsu, London Stock Exchange, Vodafone, v.v.

Tại sao Capita và M&S lại gây chú ý?

Việc Capita ký kết cam kết này được coi là một bước đi "táo bạo" hoặc "đầy hy vọng". Dù đã trải qua nhiều sự cố nghiêm trọng, bao gồm việc lộ thông tin cá nhân của công chức thông qua cổng thông tin hưu trí, sự tham gia của họ cho thấy nỗ lực cải thiện. Tuy nhiên, giới chuyên gia đặt câu hỏi liệu đây là sự thay đổi thực sự hay chỉ là một hình thức "đánh bóng tên tuổi" (cyber-washing).

Quy trình thực thi an ninh mạng (Sơ đồ khối)

Để đạt được khả năng phục hồi mạng (Cyber Resilience), các doanh nghiệp cần tuân thủ quy trình sau:

[Hội đồng quản trị] ➔ [Thiết lập chính sách bảo mật]
                           |
                           v
[Đăng ký NCSC Early Warning] ➔ [Giám sát mối đe dọa]
                           |
                           v
[Đánh giá chuỗi cung ứng] ➔ [Đạt chuẩn Cyber Essentials]

Những cái tên vắng mặt

Điều thú vị không chỉ nằm ở những người tham gia, mà còn ở những đơn vị vắng mặt. Các "nạn nhân" của những vụ tấn công mạng năm ngoái như Co-op, Harrods và Jaguar Land Rover (JLR) đều không có tên trong danh sách. Đặc biệt, JLR từng nhận khoản hỗ trợ 1,5 tỷ bảng Anh từ chính phủ để bảo vệ chuỗi cung ứng, nhưng lại không tham gia vào cam kết này, tạo ra một sự mâu thuẫn trong chính sách an ninh mạng quốc gia.

Kết luận

Cyber Resilience Pledge là một bước đi tích cực nhưng thiếu cơ chế thực thi (enforcement mechanism). Nếu không có chế tài xử phạt hoặc đánh giá độc lập, cam kết này chỉ dừng lại ở mức độ "tự nguyện" và "hình ảnh". Đối với các doanh nghiệp, việc bảo mật không chỉ là ký tên vào một bản cam kết, mà là xây dựng hạ tầng vững chắc. Nếu bạn đang quan tâm đến việc tối ưu hóa hệ thống hoặc bảo mật ứng dụng, hãy tham khảo thêm các kiến thức về phát triển phần mềm an toàn để đảm bảo rằng quy trình của bạn luôn được bảo vệ tốt nhất.