Ngày 28 tháng 5 năm 2026
Tiếng chuông báo thức
Chỉ trong vòng một năm, số vụ tấn công mạng có tầm quan trọng quốc gia nhằm vào khu vực công của Vương quốc Anh đã tăng hơn gấp đôi – từ 89 lên 204. Vụ Vụ tấn công vào Synnovis đã làm gián đoạn việc xét nghiệm máu tại các bệnh viện trên toàn London, buộc phải hủy bỏ hơn 10.000 cuộc hẹn và 1.700 ca phẫu thuật không khẩn cấp, đồng thời góp phần gây ra cái chết của một bệnh nhân. Vụ Vụ vi phạm tại Cơ quan Trợ giúp Pháp lý đã làm lộ dữ liệu cá nhân nhạy cảm. Vụ Vụ tấn công ransomware vào Thư viện Anh đã tàn phá một trong những tổ chức văn hóa quan trọng nhất của đất nước. Một bản cập nhật phần mềm CrowdStrike vô hại đã làm ngừng hoạt động hàng nghìn dịch vụ chỉ trong một đêm.
Đây không phải là những rủi ro trừu tượng, mà là những thất bại gây ra hậu quả trực tiếp cho người dân. Bản đánh giá của chính phủ Anh đã thẳng thắn chỉ ra thực trạng: một cách tiếp cận rời rạc trong lĩnh vực an ninh mạng, đòi hỏi phải có những cải cách cơ bản và hành động ngay lập tức.
Kế hoạch An ninh mạng của Vương quốc Anh thực sự mang lại những thay đổi gì
Chính phủ Anh đã công bố Kế hoạch Hành động An ninh Mạng của Chính phủ, được hỗ trợ bởi khoản đầu tư trung ương trị giá 210 triệu bảng Anh. Được phát triển bởi Bộ Khoa học, Đổi mới và Công nghệ (DSIT), kế hoạch này thay thế mô hình liên kết lỏng lẻo, dựa trên hướng dẫn bằng một mô hình tập trung và chỉ đạo hơn nhiều.
Trọng tâm của vấn đề là một Đơn vị An ninh Mạng Chính phủ (GCU) chịu trách nhiệm thiết lập các tiêu chuẩn, điều phối quản lý rủi ro và đảm bảo tiến độ có thể đo lường được trên các bộ, ngành. Báo cáo Đánh giá Tình hình Chính phủ Số đã chỉ ra rõ ràng: rủi ro mạng đối với chính phủ ở mức cực kỳ cao, 28% hệ thống kỹ thuật số vẫn chạy trên nền tảng công nghệ cũ, và mục tiêu khả năng phục hồi ban đầu đến năm 2030 không còn khả thi.
Kế hoạch này được triển khai theo ba giai đoạn:
- Giai đoạn 1 (đến tháng 4 năm 2027) tập trung vào việc xây dựng nền tảng: thành lập GCU, triển khai các khung cơ chế chịu trách nhiệm và công bố Kế hoạch Ứng phó Sự cố.
- Giai đoạn 2 (2027–2029) sẽ mở rộng quy mô mô hình thông qua việc ra quyết định dựa trên dữ liệu và các dịch vụ hỗ trợ tập trung.
- Giai đoạn 3 (từ tháng 4 năm 2029) sẽ chuyển sang tập trung vào cải tiến liên tục và đảm bảo chuỗi cung ứng một cách chủ động.
Các cơ quan và nhà cung cấp của họ giờ đây sẽ phải chứng minh việc tuân thủ các khung đảm bảo có cấu trúc – chủ yếu là GovAssure và Khung Đánh giá An ninh Mạng của NCSC (CAF) – và áp dụng "Bảo mật từ Thiết kế" .
Vai trò của việc xác minh danh tính
Lời nói đầu của Bộ trưởng đã định hướng chung, liệt kê việc xác minh danh tính cùng với chăm sóc sức khỏe và các chế độ phúc lợi là một phần của “cơ sở hạ tầng thiết yếu của cuộc sống hiện đại ở Anh”. Tuy nhiên, điều quan trọng nhất đối với các nhà cung cấp dịch vụ xác minh danh tính lại nằm ở những nội dung được trình bày trong các chương về hoạt động.
Thứ nhất, Kiểm soát danh tính và quyền truy cập là một kết quả cốt lõi trong Khung Đánh giá An ninh Mạng – tiêu chuẩn mà mọi bộ phận sẽ được đánh giá dựa trên thông qua GovAssure. Nguyên tắc B2 yêu cầu các bộ phận phải chứng minh rằng người dùng truy cập dịch vụ đã được “xác minh, xác thực và cấp quyền một cách thích hợp.” Đừng nhầm lẫn: đây là một yêu cầu đảm bảo có thể đo lường được với sự giám sát từ trung ương.
Thứ hai, kế hoạch này xác định rõ ràng việc xác thực theo phương thức cũ là một lỗ hổng hệ thống. Hệ thống cũ không chỉ bao gồm các máy chủ cũ – nó còn bao gồm mật khẩu, thiết bị xác thực vật lý và các phương pháp xác thực dựa trên kiến thức vẫn là nền tảng cho phần lớn cơ sở hạ tầng nhận dạng của chính phủ. Yêu cầu thay thế các hệ thống dễ bị tổn thương áp dụng trực tiếp trong trường hợp này.
Thứ ba, mô hình mô hình trách nhiệm giải trình chuỗi cung ứng có nghĩa là các nhà cung cấp danh tính phục vụ chính phủ sẽ phải đối mặt với sự giám sát ngày càng chặt chẽ. Các nhà cung cấp cung cấp dịch vụ trên quy mô lớn có thể được chỉ định là “chiến lược”, phải tuân thủ các thỏa thuận hợp tác chính thức với GCU và các yêu cầu đảm bảo trực tiếp.
Tác động tổng hợp là rất đáng kể: hệ thống đảm bảo và mua sắm hiện nay khiến việc biện minh cho các giải pháp xác thực yếu kém trở nên khó khăn hơn, đồng thời giúp dễ dàng hơn trong việc thuyết phục về sự cần thiết của các giải pháp xác thực hiện đại, chống lừa đảo. Đối với các nhà cung cấp dịch vụ xác thực danh tính, đó là một sự thay đổi có ý nghĩa hơn bất kỳ câu trích dẫn nào trong lời tựa.
Khả năng phục hồi + An ninh: Luôn sẵn sàng đối phó với những mối đe dọa không ngừng biến đổi
Kế hoạch này luôn xác định mục tiêu của mình là “an ninh mạng và khả năng phục hồi”, coi hai yếu tố này là ngang hàng. Tuy nhiên, sự nhấn mạnh vào khả năng phục hồi là điều đáng chú ý, và thể hiện điều mà chính kế hoạch này gọi là “một sự chuyển đổi về văn hóa và hoạt động trong cách chính phủ nhìn nhận khả năng phục hồi”. Trên thực tế, điều này có nghĩa là chính phủ không còn chỉ đặt câu hỏi “liệu chúng ta có thể ngăn chặn cuộc tấn công hay không?”, mà còn hỏi “liệu chúng ta có thể duy trì các dịch vụ hoạt động bình thường và đảm bảo sự tin cậy khi có sự cố xảy ra hay không?”
Điều này có những tác động cụ thể đối với bản sắc. Hãy xem xét hai tình huống sau:
- Đầu tiên là sự cố dịch vụ. Các sự cố không mang tính ác ý như vụ gián đoạn dịch vụ của CrowdStrike được nhắc đến cùng với các cuộc tấn công bằng phần mềm tống tiền và các cuộc tấn công do nhà nước hậu thuẫn, bởi vì kết quả cuối cùng đối với người dân là như nhau: dịch vụ ngừng hoạt động, niềm tin bị xói mòn. Các hệ thống xác thực không thể chứng minh được kiến trúc phân tán, tính dự phòng và khả năng phục hồi nhanh chóng hiện nay đã trở thành điểm yếu duy nhất mà kế hoạch này nhắm đến một cách rõ ràng.
- Thứ hai là việc xâm phạm danh tính. Ngày càng có nhiều cuộc tấn công nhắm vào lòng tin của con người thay vì trực tiếp nhắm vào cơ sở hạ tầng. Ví dụ, một nhân viên tài chính có thể nhận được một cuộc gọi video thuyết phục, dường như đến từ một quan chức cấp cao yêu cầu ủy quyền thanh toán khẩn cấp. Các biện pháp kiểm tra dựa trên kiến thức, nhận dạng người gọi và xác thực truyền thống đều có vẻ hợp lệ. Lỗi ở đây không phải là bảo mật vành đai — mà là không thể xác minh rằng người đứng sau cuộc tương tác đó thực sự là người mà họ tự xưng. Đó là lỗ hổng về khả năng phục hồi, không chỉ là lỗ hổng về bảo mật.
Đối với các đội ngũ mua sắm, điều này đặt ra một cách tiếp cận mới đối với các tiêu chí đánh giá. Câu hỏi không còn chỉ là “liệu hệ thống này có an toàn không?”, mà là “điều gì sẽ xảy ra khi hệ thống gặp sự cố — và liệu chúng ta có thể tiếp tục tin tưởng đối tác của mình hay không?”. Các hệ thống xác thực danh tính có khả năng chứng minh được việc giám sát chủ động các mối đe dọa và khả năng phục hồi nhanh chóng sẽ có lợi thế hơn trong việc đáp ứng các kỳ vọng của kế hoạch so với các công cụ cũ mà kế hoạch đã chỉ ra rõ ràng là dễ bị tấn công.
Những điều Kế hoạch An ninh mạng của Vương quốc Anh chưa làm được
Chúng ta cần nhìn nhận một cách khách quan về phạm vi của kế hoạch này. Kế hoạch này do chính phủ thực hiện, dành cho chính phủ. Kế hoạch này không đặt ra các yêu cầu mới trực tiếp cho khu vực tư nhân hay cơ sở hạ tầng quan trọng quốc gia – đó là nhiệm vụ của Dự luật An ninh mạng và Khả năng phục hồi, được trình lên Quốc hội cùng ngày. Dự luật mở rộng nghĩa vụ về khả năng phục hồi đối với các nhà cung cấp phục vụ chính phủ trong các lĩnh vực năng lượng, nước, y tế và trung tâm dữ liệu, nhưng những tác động đầy đủ của nó chỉ trở nên rõ ràng khi dự luật được xem xét và thông qua.
Một số nhà bình luận trong ngành cũng đã đặt câu hỏi liệu số tiền 210 triệu bảng Anh có đủ hay không, xét đến quy mô của thách thức này. Chiến lược năm 2021 đã phân bổ 2,6 tỷ bảng Anh, nhưng các vấn đề vẫn còn tồn tại.
Trong thực tế: Kế hoạch An ninh mạng của Vương quốc Anh có ý nghĩa gì đối với bạn?
Dù có những hạn chế đó, xu hướng này là không thể phủ nhận — và không chỉ đối với các cơ quan nhà nước. Bất kỳ tổ chức nào trong chuỗi cung ứng của khu vực công đều sẽ cảm nhận được tác động của nó. Có ba xu hướng nổi bật.
Các tiêu chuẩn tập trung đang thay đổi mô hình mua sắm. Việc thành lập một Đơn vị An ninh mạng Chính phủ để thiết lập các tiêu chuẩn chung cho toàn bộ hệ thống chính phủ sẽ tạo điều kiện cho việc triển khai các dịch vụ chia sẻ và hạ tầng nhận dạng theo nguyên tắc “xây dựng một lần, sử dụng nhiều lần”. Thời kỳ mua sắm phân mảnh, theo từng bộ ngành đang dần lùi vào dĩ vãng.
Bằng chứng đảm bảo chất lượng trở thành điều kiện tiên quyết trong quá trình mua sắm. Xu hướng chuyển sang tuân thủ GovAssure và CAF đồng nghĩa với việc các đội ngũ mua sắm sẽ ngày càng yêu cầu các nhà cung cấp cung cấp tài liệu đảm bảo chất lượng đã được chuẩn hóa sẵn, chứng minh sự phù hợp với các tiêu chuẩn chứng nhận được quốc tế công nhận. Điều này cần được tính đến ngay từ giai đoạn lập kế hoạch, chứ không phải đến khi ký kết hợp đồng.
Thời hạn thay thế các hệ thống cũ đang ngày càng gấp rút. Khi các phương thức xác thực dễ bị tấn công đã được xác định rõ ràng là những lỗ hổng hệ thống, các tổ chức vẫn còn phụ thuộc vào mật khẩu, thiết bị xác thực phần cứng hoặc xác thực dựa trên kiến thức cần lên kế hoạch lộ trình chuyển đổi ngay từ bây giờ, thay vì chờ đến khi các quy định của Giai đoạn 2 có hiệu lực. Việc thay thế các hệ thống cũ hiện nay là điều không thể tránh khỏi, chứ không chỉ là khuyến nghị. Các bộ phận tiến hành thay thế các phương thức xác thực dễ bị tấn công sẽ ngày càng tìm kiếm các đối tác có thể đẩy nhanh quá trình chuyển đổi an toàn đồng thời giảm thiểu rủi ro vận hành. Các hệ thống nhận dạng có thể chứng minh khả năng chống lừa đảo, khả năng phục hồi hoạt động và giám sát mối đe dọa chủ động sẽ phù hợp hơn với các yêu cầu chuyển đổi này.
Nhìn về phía trước
Kế hoạch Hành động An ninh Mạng của Chính phủ có những điểm khác biệt so với các chiến lược trước đây: kế hoạch này lồng ghép việc xác minh danh tính vào khung đảm bảo an ninh cốt lõi của chính phủ, gắn kết hiệu quả an ninh mạng với khả năng phục hồi thay vì chỉ tập trung vào việc tuân thủ, đồng thời thiết lập một cơ chế thực thi tập trung với trách nhiệm giải trình rõ ràng.
Kế hoạch này phản ánh một sự chuyển hướng sâu rộng trong tư duy của chính phủ: khả năng chống chịu trước các cuộc tấn công mạng không còn chỉ được đánh giá dựa trên việc có ngăn chặn được kẻ tấn công hay không, mà còn dựa trên việc các dịch vụ quan trọng có duy trì được độ tin cậy trong suốt thời gian xảy ra sự cố hay không. Trong bối cảnh đó, các hệ thống xác thực danh tính trở thành một phần của hạ tầng vận hành, chứ không chỉ đơn thuần là các lớp xác thực.
Đối với bất kỳ ai đang lên kế hoạch cho chu kỳ mua sắm tiếp theo — dù là trong cơ quan nhà nước hay trong chuỗi cung ứng của chính phủ — câu hỏi không còn là liệu có nên hiện đại hóa quy trình xác thực hay không, mà là cần thực hiện điều đó nhanh chóng đến mức nào.
Các nỗ lực về chính sách sẽ tiếp tục được triển khai, đặc biệt là với tiến trình thông qua Dự luật An ninh mạng và Khả năng phục hồi cũng như việc thành lập chính Cơ quan An ninh mạng và Khả năng phục hồi (GCU). Chúng tôi sẽ theo dõi sát sao cả hai vấn đề này.
Khám phá báo cáo mới nhất của chúng tôi Báo cáo Tình báo Đe dọa 2026 để hiểu rõ hơn về bối cảnh mối đe dọa đang thay đổi, hoặc liên hệ để thảo luận về cách tổ chức của bạn có thể thích ứng với các khung đảm bảo mới.
Câu hỏi thường gặp về Kế hoạch An ninh mạng của Vương quốc Anh
Câu hỏi: Kế hoạch Hành động An ninh Mạng của Vương quốc Anh có ý nghĩa như thế nào đối với việc xác minh danh tính?
Trả lời: Kế hoạch này quy định rằng “Xác minh danh tính và Kiểm soát truy cập” là một kết quả đảm bảo cốt lõi trong Khung Đánh giá An ninh Mạng (CAF). Các bộ, ngành hiện nay phải chứng minh rằng người dùng đã được “xác minh, xác thực và cấp quyền truy cập một cách thích hợp” thông qua các đánh giá GovAssure; đồng thời, các phương thức xác thực truyền thống như mật khẩu và thiết bị xác thực phần cứng được xác định rõ ràng là những lỗ hổng hệ thống cần phải thay thế.
Hỏi: GovAssure là gì và nó ảnh hưởng như thế nào đến các nhà cung cấp cho chính phủ?
Đáp: GovAssure là khung đảm bảo an ninh mạng của chính phủ Anh, được sử dụng để đánh giá các bộ, ngành theo Khung Đánh giá An ninh Mạng của NCSC. Theo Kế hoạch Hành động An ninh Mạng 2026, 90% các Bộ, ngành Chính phủ chủ chốt phải đảm bảo chuỗi cung ứng của mình tuân thủ các tiêu chuẩn này vào Giai đoạn 2 (2027–2029). Các nhà cung cấp cung cấp dịch vụ xác thực danh tính trên quy mô lớn có thể được chỉ định là “chiến lược”, tùy thuộc vào các quan hệ đối tác chính thức với Đơn vị An ninh Mạng Chính phủ.
