Lần đầu tiên có cơ chế báo cáo lỗ hổng bảo mật có thưởng

Báo cáo lỗ hổng bảo mật có thưởng tương tự như mô hình phổ biến được các quốc gia có công nghệ phát triển trên thế giới áp dụng. Doanh nghiệp công bố phạm vi bảo mật (website, ứng dụng) để cộng đồng hacker mũ trắng kiểm thử, tìm lỗ hổng và nhận tiền thưởng. Được biết, một số kỹ sư công nghệ Việt Nam đã phát hiện lỗ hổng bảo mật được các tập đoàn toàn cầu vinh danh...

Trong dự thảo Nghị định quy định về lực lượng bảo vệ an ninh mạng, đơn vị soạn thảo đưa vào cơ chế tiếp nhận, xử lý báo cáo lỗ hổng bảo mật theo hướng có đầu mối, có quy trình, có điều phối và có cơ chế huy động nguồn lực xã hội tham gia hợp pháp.

Tổ chức, cá nhân phát hiện, kiểm chứng, báo cáo lỗ hổng bảo mật được xem xét chi trả tiền thưởng, hỗ trợ chi phí, ghi nhận thành tích.

Cổng tiếp nhận, điều phối báo cáo lỗ hổng bảo mật do cơ quan có thẩm quyền tiếp nhận, phân loại, xác thực và điều phối xử lý.

Việc tổ chức các chương trình được thực hiện thông qua nền tảng kết nối tham gia bảo vệ an ninh mạng hoặc thông qua dịch vụ an ninh mạng theo quy định của pháp luật.

Chủ quản hệ thống thông tin, sản phẩm, ứng dụng, dịch vụ công nghệ thông tin có thể trực tiếp công bố chương trình săn tìm, báo cáo lỗ hổng hoặc thuê, ủy quyền, thỏa thuận hợp pháp với tổ chức, doanh nghiệp cung cấp dịch vụ an ninh mạng để công bố.

Cùng với việc mở rộng khả năng huy động xã hội, dự thảo cũng thiết lập các giới hạn pháp lý và kỹ thuật rất rõ để bảo đảm hoạt động săn tìm, báo cáo lỗ hổng không bị lợi dụng.

Quy định này xuất phát từ thực tế nhiều cuộc tấn công mạng nghiêm trọng bắt đầu từ các điểm yếu, lỗ hổng bảo mật chưa được phát hiện hoặc phát hiện nhưng không được xử lý kịp thời. Khi chưa có một cơ chế chính thức để tiếp nhận, sàng lọc, xác thực và điều phối xử lý báo cáo lỗ hổng, thông tin rủi ro thường bị phân tán, xử lý chậm, bỏ lỡ thời điểm ngăn ngừa trước khi lỗ hổng bị khai thác thành sự cố nghiêm trọng.

Cách tiếp cận mang tính chủ động hơn, thay vì chờ sự cố xảy ra mới xử lý, Nhà nước thiết lập cơ chế để phát hiện sớm lỗ hổng, tiếp nhận sớm cảnh báo và khắc phục sớm. Đây là sự chuyển đổi từ tư duy “ứng phó khi bị tấn công” sang tư duy “quản trị rủi ro từ gốc”.