Cơ quan An ninh mạng Liên minh Châu Âu (ENISA) vừa chính thức trở thành một “Program Root” (gốc chương trình) trong chương trình Common Vulnerabilities and Exposures (CVE) toàn cầu. Đây là một bước tiến quan trọng trong nỗ lực của EU nhằm tăng cường khả năng phòng thủ an ninh mạng và hợp lý hóa việc phối hợp xử lý các lỗ hổng bảo mật giữa các quốc gia thành viên.
Với vai trò mới này, ENISA sẽ là đầu mối liên lạc chính cho các cơ quan chức năng quốc gia, các thành viên mạng lưới EU CSIRTs (Nhóm ứng cứu sự cố an ninh mạng) và các đối tác khác hoạt động theo nhiệm vụ của mình. Bước đi này phù hợp với các nỗ lực lập pháp lớn như NIS2 (Chỉ thị về các biện pháp tăng cường an ninh mạng) và Đạo luật về Khả năng phục hồi trên không gian mạng, đồng thời hỗ trợ việc triển khai Cơ sở dữ liệu lỗ hổng của EU (EUVD).
Boris Cipot, Kỹ sư bảo mật chính tại Black Duck, mô tả sự phát triển này là “một bước tiến lớn hướng tới khả năng phục hồi an ninh mạng mạnh mẽ hơn ở Châu Âu,” đồng thời lưu ý rằng việc tập trung điều phối các lỗ hổng bảo mật “đảm bảo việc xử lý thông tin về lỗ hổng bảo mật nhanh hơn, nhất quán hơn trên toàn EU, đồng thời phù hợp với các sáng kiến chính như NIS2 và Đạo luật về Khả năng phục hồi trên không gian mạng.”
Ông nói thêm rằng vai trò mới của ENISA mang lại cho khối này “quyền tự chủ chiến lược cần thiết trong việc quản lý lỗ hổng bảo mật,” giảm sự phụ thuộc vào các tổ chức ngoài EU và giúp “hài hòa các hoạt động CVE trên khắp các quốc gia thành viên Châu Âu”.
Cipot cũng nhấn mạnh những lợi ích lâu dài cho các nhà nghiên cứu và nhà cung cấp và cho biết “ý tưởng và mục tiêu là cung cấp cho các nhà nghiên cứu và nhà cung cấp an ninh mạng khả năng thu được ID CVE nhanh hơn, có hướng dẫn pháp lý rõ ràng hơn theo luật EU và có được khả năng hiển thị nâng cao thông qua cả EUVD và danh sách CVE toàn cầu.”
Daniel dos Santos, người đứng đầu bộ phận nghiên cứu tại Forescout, giải thích rằng việc chỉ định này phản ánh động lực từ cả hai phía. “Nó cho thấy cả cam kết của ENISA đối với chương trình CVE và cả việc chương trình CVE quan tâm đến việc có những đóng góp của ENISA ở đó,” ông nói. “Mọi người đều có lợi khi có nhiều tổ chức tham gia hơn vào việc định hình chương trình CVE và tương lai của việc báo cáo lỗ hổng bảo mật.”
Ông cũng lưu ý rằng sự thay đổi này sẽ “tạo điều kiện thuận lợi cho quy trình đối với các cơ quan chức năng quốc gia, CSIRT và các đối tác khác, vì họ có thể có một đầu mối liên hệ duy nhất với chương trình CVE ở Châu Âu,” đồng thời giúp các nhà nghiên cứu và nhà cung cấp đồng ý về các hoạt động tiết lộ phối hợp.
Tuy nhiên, cả hai chuyên gia đều cảnh báo rằng việc triển khai thành công sẽ phụ thuộc nhiều vào nguồn lực. Cipot chỉ ra những thách thức tiềm ẩn trong quá trình tích hợp, bao gồm việc điều chỉnh các chính sách và công cụ, trong khi dos Santos nhấn mạnh sự cần thiết phải đầu tư bền vững.
Dos Santos của Forescout giải thích: “Thách thức chính là đảm bảo rằng ENISA có đủ kinh phí và nguồn lực để hoàn thành sứ mệnh đang diễn ra là “đạt được mức độ an ninh mạng chung cao trên khắp Châu Âu”, đồng thời hiện có vai trò mở rộng trong chương trình CVE. “Đã có một số bổ sung vào nhiệm vụ của ENISA gần đây, với việc ra mắt Cơ sở dữ liệu lỗ hổng của EU và Đạo luật về Khả năng phục hồi trên không gian mạng. Như những vấn đề tồn đọng và tài trợ gần đây của NVD đã chỉ ra, báo cáo lỗ hổng là một nhiệm vụ đòi hỏi một lượng thời gian và công sức đáng kể, vì vậy ENISA sẽ phải cân bằng điều đó với các trách nhiệm đang diễn ra của họ.”
Và với việc ENISA đảm nhận trách nhiệm lớn hơn trong việc báo cáo và điều phối lỗ hổng bảo mật, hiệu suất của tổ chức này sẽ được các nhóm bảo mật, nhà cung cấp và nhà hoạch định chính sách trên toàn khu vực theo dõi chặt chẽ.
Giải thích thuật ngữ:
- ENISA (European Union Agency for Cybersecurity): Cơ quan An ninh mạng Liên minh Châu Âu, có vai trò nâng cao an ninh mạng trên toàn EU.
- CVE (Common Vulnerabilities and Exposures): Hệ thống tiêu chuẩn để xác định, mô tả và công khai các lỗ hổng bảo mật trong phần mềm và phần cứng.
- Program Root: Tổ chức đóng vai trò trung tâm trong chương trình CVE, có quyền quản lý và phân phối ID CVE.
- EU CSIRTs network: Mạng lưới các đội ứng cứu sự cố an ninh mạng của Liên minh Châu Âu, phối hợp để đối phó với các sự cố an ninh mạng.
- NIS2 (Network and Information Security Directive 2): Chỉ thị của EU về các biện pháp tăng cường an ninh mạng, yêu cầu các quốc gia thành viên tăng cường khả năng phòng thủ an ninh mạng.
- Cyber Resilience Act: Đạo luật về Khả năng phục hồi trên không gian mạng của EU, nhằm tăng cường an ninh cho các sản phẩm kỹ thuật số.
- EUVD (EU Vulnerability Database): Cơ sở dữ liệu về các lỗ hổng bảo mật của EU, cung cấp thông tin về các lỗ hổng và cách khắc phục.
