Bảo hiểm an ninh mạng không phải “cây đũa thần”

Trao đổi với Tạp chí điện tử An ninh mạng Việt Nam bên lề Hội thảo chuyên đề “Cyber Insurance & AI Defense” do Hiệp hội An ninh mạng quốc gia tổ chức, ông Yair Bar Touv - Thành viên Hội đồng Quản trị kiêm Chủ tịch Ủy ban An ninh mạng tại Clal Insurance Enterprises Holdings (Israel) cho rằng, bảo hiểm an ninh mạng chỉ là “tấm lưới an toàn” về tài chính. Điều quan trọng hơn là doanh nghiệp phải xây dựng năng lực phòng thủ chủ động, đưa an ninh mạng trở thành ưu tiên ở cấp độ quản trị chiến lược thay vì phó mặc cho riêng bộ phận IT.

Ông Yair Bar Touv - Thành viên Hội đồng Quản trị và Chủ tịch Ủy ban An ninh mạng tại Clal Insurance Enterprises Holdings: Tôi cho rằng bảo hiểm an ninh mạng có giá trị lớn vì nó đóng vai trò như một lời nhắc nhở thường trực về sự hiện hữu của các mối đe dọa. Tuy nhiên, điều cốt yếu hơn cả việc mua bảo hiểm chính là những hành động thực chất để bảo vệ doanh nghiệp. Cụ thể, doanh nghiệp cần tập trung vào ba chiến lược trọng yếu: 

Thứ nhất, thực hiện đánh giá an ninh mạng một cách bài bản và chuyên sâu. 

Thứ hai, thiết lập quy trình quản lý khủng hoảng chuyên nghiệp, nơi có sự phối hợp nhịp nhàng giữa đội ngũ pháp y số và các chuyên gia đàm phán sắc bén. 

Cuối cùng, phải ứng dụng chính công nghệ AI để kiểm thử mạng lưới liên tục, nhằm tạo ra một hệ thống phòng thủ vững chắc trước làn sóng tấn công bằng trí tuệ nhân tạo đang ngày càng tinh vi hiện nay.

Bảo hiểm có thể mang lại sự an tâm về tài chính thông qua các khoản bồi hoàn, nhưng tuyệt đối không phải là “cây đũa thần” để có thể cứu vãn một thương hiệu đã đổ vỡ về uy tín. Do đó, bảo hiểm an ninh mạng dù quan trọng nhưng không thể đứng độc lập. Nó phải được đặt trong tư duy quản trị chiến lược của Hội đồng quản trị và các cấp lãnh đạo cao nhất, thay vì chỉ xem đó là trách nhiệm riêng của bộ phận IT.

Ông Yair Bar Touv: Thông thường, khi đến Việt Nam, mục tiêu của tôi không chỉ giới hạn ở việc quan sát thị trường bảo hiểm an ninh mạng. Tôi muốn thấu hiểu bức tranh toàn cảnh về an ninh mạng trong các tổ chức để thúc đẩy các hoạt động tư vấn, hợp tác và giới thiệu những giải pháp công nghệ mới. Tuy nhiên, với trọng tâm của hội thảo hôm nay, tôi phải thừa nhận rằng bảo hiểm an ninh mạng vẫn là một khái niệm khá mới mẻ tại Việt Nam. 

Dù đã có những bước tiến đáng kể, chặng đường phía trước của thị trường bảo hiểm an ninh mạng Việt Nam vẫn còn nhiều thách thức. Rào cản lớn nhất hiện nay nằm ở yếu tố văn hóa: các doanh nghiệp vẫn còn tâm lý e ngại rằng việc minh bạch sự cố có thể dẫn đến các hình thức xử phạt hoặc hệ lụy pháp lý. Bên cạnh đó, các nhà bảo hiểm dù đang nỗ lực cải thiện nhưng vẫn chưa thực sự chạm tới ngưỡng kỳ vọng.

Tôi đánh giá chúng ta đang đi được nửa hành trình và tôi tin rằng trong 1-2 năm tới, Việt Nam sẽ đạt tới điểm bùng nổ: mọi doanh nghiệp trọng yếu đều sẽ sở hữu bảo hiểm an ninh mạng. Khi đó, bảo hiểm sẽ không chỉ là công cụ tài chính đơn thuần, mà là hệ sinh thái hỗ trợ đi kèm, bao gồm: quản trị khủng hoảng, đội ngũ điều tra số và các công nghệ phòng thủ tiên tiến nhất.

Ông Yair Bar Touv: Trước hết, tôi muốn làm rõ rằng Clal Insurance là một tập đoàn bảo hiểm lớn tại Israel, hiện đang quản lý an sinh và quỹ hưu trí cho khoảng 2 triệu người dân tại quốc gia này. Dù đang đảm nhiệm vị trí trong Hội đồng Quản trị của Clal, nhưng mục đích chuyến đi này của tôi không mang tính chất đại diện thương hiệu để triển khai dịch vụ bảo hiểm.

Thay vào đó, tôi có mặt tại đây với tư cách cố vấn độc lập cho các cơ quan Chính phủ, các đơn vị quản lý hạ tầng trọng yếu và những đối tác địa phương mà tôi đã gắn bó nhiều năm tại Việt Nam. Sứ mệnh của tôi là đóng vai trò cầu nối để chuyển giao những năng lực công nghệ, tri thức chuyên sâu và những giải pháp an ninh mạng tiên tiến nhất vào thị trường Việt Nam.

Tôi duy trì nhịp độ làm việc tại Việt Nam ít nhất một đến hai lần mỗi năm. Trong khuôn khổ hội thảo hôm nay, tôi đã nhận được lời mời hợp tác từ nhiều đơn vị, bao gồm cả các doanh nghiệp bảo hiểm nội địa mong muốn tiếp nhận công nghệ và tri thức chuyên sâu từ Israel. Tôi luôn sẵn lòng kết nối với các đối tác quan tâm đến lĩnh vực này.

Đặc biệt, những nội dung tại hội thảo hôm nay cũng sẽ được chia sẻ rộng rãi đến các thành viên của Hiệp hội An ninh mạng quốc gia (NCA). Trên thực tế, tôi đã có mối quan hệ hợp tác lâu dài với NCA, hiệp hội hiện đang ứng dụng hiệu quả một số năng lực và giải pháp công nghệ của chúng tôi. Tôi thực sự kỳ vọng sẽ tiếp tục là nhịp cầu mang những công nghệ và năng lực bảo mật tiên tiến nhất đến với thị trường Việt Nam.

Ông Yair Bar Touv: Đây chính xác là nội dung trọng tâm trong bài tham luận của tôi. Dù tiêu đề là bảo hiểm an ninh mạng, nhưng thông điệp cốt lõi của tôi lại là: Đừng quá phụ thuộc vào bảo hiểm.

Hãy hình dung việc mua bảo hiểm an ninh mạng cũng giống như mua bảo hiểm cho một chiếc xe hơi. Bạn không thể vì đã có bảo hiểm mà cho phép mình lái xe một cách liều lĩnh trên đường cao tốc. Trong an ninh mạng cũng vậy, bảo hiểm chỉ là tấm lưới an toàn về mặt tài chính, nhưng những thiệt hại thực tế, đặc biệt là về uy tín và niềm tin của khách hàng thường lớn hơn rất nhiều so với những con số có thể định lượng. Đừng bao giờ đánh giá thấp những nỗ lực nội tại để bảo vệ chính mình.

Để thực sự được bảo vệ, doanh nghiệp cần duy trì việc kiểm tra mạng lưới liên tục, nâng cao nhận thức cho nhân viên và đưa các chương trình đào tạo, thảo luận lên tầm Hội đồng quản trị. Sở hữu bảo hiểm là điều tốt, nó mang lại sự an tâm nhất định, nhưng đừng quá phụ thuộc vào nó. Hãy tự làm chủ vận mệnh của mình bằng cách chủ động mời các chuyên gia và thực hiện mọi biện pháp phòng ngừa cần thiết ngay từ bây giờ, thay vì đợi đến khi bị tấn công mới tìm tới bảo hiểm.

Hãy nhớ rằng, sau sự cố, công ty bảo hiểm sẽ rà soát xem bạn đã thực hiện đầy đủ các biện pháp bảo mật tiêu chuẩn hay chưa. Nếu bạn lơ là, họ có quyền từ chối bồi thường. Và quan trọng hơn, những tổn thất về uy tín là điều mà hầu như không gói bảo hiểm nào có thể thực sự bù đắp được.

Ông Yair Bar Touv: Dưới góc độ một thành viên Hội đồng quản trị, tôi đánh giá mức phân bổ 5% cho an ninh mạng là thấp, con số này cần phải đạt ít nhất 10%. Tuy nhiên, chúng ta cần phân định rõ ràng: đừng đánh đồng hạ tầng công nghệ với an ninh mạng. Tường lửa hay các thiết bị phần cứng chỉ là hạ tầng.

An ninh mạng thực thụ phải bao gồm: đào tạo nhân sự, kiểm soát hệ thống, kiểm thử xâm nhập tự động và bảo mật trong phát triển ứng dụng. Nếu ngân sách 5% hiện tại đã bao gồm cả chi phí tường lửa đắt đỏ, thì nguồn lực thực sự cho an ninh mạng là không đủ. Trong khi đây là rủi ro trọng yếu hàng đầu của mọi doanh nghiệp, chúng ta buộc phải đầu tư thỏa đáng hơn con số 5% đó. Đây chính là thực tế mà chúng ta phải đối mặt./.

Lệ Thanh