ASIC cảnh báo các tổ chức tài chính tại Australia phải nâng cấp an ninh mạng ngay khi AI làm tăng tốc độ và mức độ tinh vi của các cuộc tấn công.
Trong bối cảnh công cụ AI có thể giúp kẻ tấn công tìm và khai thác lỗ hổng nhanh hơn, cơ quan quản lý này yêu cầu doanh nghiệp không chờ đến khi rủi ro “rõ ràng hơn” mới hành động.
- ASIC yêu cầu các tổ chức tài chính siết bảo mật trước rủi ro do AI khuếch đại.
- Cơ quan này khuyến nghị cách tiếp cận trung lập về công nghệ, tập trung vào nguyên tắc và quản trị.
- Vụ FIIG Securities cho thấy chi phí của lỗ hổng an ninh có thể lớn hơn nhiều so với việc đầu tư phòng ngừa.
ASIC yêu cầu doanh nghiệp hành động sớm trước rủi ro AI
ASIC cho rằng AI đang đưa rủi ro mạng vào một giai đoạn mới, trong đó các lỗ hổng nhỏ có thể bị khai thác nhanh hơn và trên diện rộng hơn. Cơ quan này nhấn mạnh doanh nghiệp phải bảo vệ hệ thống ngay bây giờ, thay vì chờ các mối đe dọa phát triển thêm.
Trong thư mở gửi thị trường, ASIC khuyến nghị cách tiếp cận trung lập về công nghệ và dựa trên nguyên tắc, thay vì lệ thuộc vào một công cụ phòng thủ cụ thể. Trọng tâm là tăng khả năng chống chịu, rà soát lỗ hổng và xử lý điểm yếu trước khi chúng trở thành sự cố lớn.
ASIC cũng lưu ý rằng ban lãnh đạo phải chịu trách nhiệm trực tiếp cho an ninh mạng, bao gồm kiểm thử nghiêm ngặt và khắc phục sớm. Quan điểm này cho thấy cơ quan quản lý muốn các tổ chức tài chính coi bảo mật là một phần của quản trị rủi ro cốt lõi, không phải lớp phòng vệ phụ.
AI đang thay đổi cách rủi ro mạng xuất hiện như thế nào
ASIC cảnh báo các mô hình AI tiên tiến có thể giúp người tấn công tìm ra điểm yếu và triển khai kỹ thuật xâm nhập nhanh hơn trước. Điều đó làm tăng nguy cơ một lỗ hổng đơn lẻ có thể kéo theo ảnh hưởng lớn hơn đến toàn bộ hệ thống.
Thông điệp này không chỉ dừng ở vấn đề công nghệ, mà còn liên quan đến cách các tổ chức triển khai AI nội bộ. Nếu thiếu khung phòng thủ phù hợp, việc áp dụng AI có thể đi nhanh hơn năng lực kiểm soát, theo dõi và phản ứng sự cố.
ASIC cho biết các doanh nghiệp nên có kế hoạch ứng phó sẵn sàng và không thay đổi nguyên tắc an ninh cơ bản chỉ vì môi trường đe dọa đang thay đổi. Đây là lý do cơ quan này thúc giục nâng cấp sớm thay vì đợi đến khi xuất hiện một vụ tấn công cụ thể.
APRA cũng cảnh báo khoảng trống trong quản trị AI
Không chỉ ASIC, APRA cũng cho rằng các biện pháp quản trị và kiểm soát AI của ngân hàng đang chậm hơn tốc độ mở rộng của công cụ này. Cảnh báo đó cho thấy vấn đề không nằm riêng ở một nhóm doanh nghiệp mà đã lan sang toàn hệ thống tài chính Australia.
APRA nêu rằng AI có thể mang lại hiệu quả vận hành và cải thiện dịch vụ khách hàng, nhưng rủi ro từ công nghệ mạnh mẽ này không thể bị xem nhẹ. Cách tiếp cận của cơ quan giám sát là cân bằng giữa lợi ích sử dụng và yêu cầu kiểm soát.
Vụ FIIG Securities là ví dụ về cái giá của việc chậm vá lỗ hổng
ASIC gần đây đã có hành động đối với FIIG Securities Limited sau khi công ty này không thực hiện đầy đủ các biện pháp bảo vệ an ninh mạng trong thời gian dài. Tòa án liên bang yêu cầu FIIG nộp tổng cộng 2,5 triệu USD tiền phạt và khoảng 500.000 USD chi phí cho ASIC.
Vụ việc liên quan đến một cuộc xâm nhập mạng năm 2023, làm lộ dữ liệu nhạy cảm như mã số thuế, thông tin tài khoản ngân hàng và giấy tờ nhận dạng. Khoảng 18.000 khách hàng đã được thông báo rằng dữ liệu cá nhân của họ có thể đã bị rò rỉ.
FIIG cũng thừa nhận các biện pháp an ninh của mình không đáp ứng yêu cầu theo giấy phép dịch vụ tài chính Australia và rằng việc bảo vệ tốt hơn có thể đã giảm mức độ thiệt hại. Tòa án đồng thời yêu cầu một cuộc kiểm toán độc lập để nâng mức chống chịu mạng lên chuẩn chuyên nghiệp.
“ASIC kỳ vọng các đơn vị được cấp phép dịch vụ tài chính phải luôn ở trạng thái chủ động để bảo vệ khách hàng. FIIG đã không làm được điều đó, và họ khiến hàng nghìn khách hàng gặp rủi ro. Trong trường hợp này, hậu quả còn lớn hơn nhiều so với chi phí đáng lẽ phải bỏ ra để thiết lập các biện pháp kiểm soát phù hợp ngay từ đầu.”
– Sarah Court, Phó Chủ tịch ASIC
Tổng kết
ASIC đang gửi đi thông điệp rõ ràng rằng AI có thể làm rủi ro mạng tăng nhanh hơn, vì vậy các tổ chức tài chính phải tăng cường phòng vệ, quản trị và phản ứng sự cố ngay từ bây giờ.
