Vì sao nàng không muốn...?

Hôm nay, ngày 9/8/2016, Hiệp hội Phần mềm và Dịch vụ CNTT Việt Nam (VINASA) cho biết đã chính thức gửi bản Kiến nghị xem xét Điều 292 Bộ luật Hình sự (BLHS) năm 2015- “Tội cung cấp dịch vụ trái phép trên mạng máy tính, mạng viễn thông”  lên Chủ tịch Quốc hội, Thủ tướng Chính phủ, Chủ tịch Ủy ban Quốc gia về ứng dụng CNTT và các cơ quan, bộ ngành hữu quan.

9 điểm "vi phạm, bất hợp lý" của Điều 292

Trong bản kiến nghị được Chủ tịch VINASA Trương Gia Bình ký ngày 8/8/2016, Hiệp hội nhấn mạnh: “Điều 292 BLHS 2015 đang gây tâm lý hoang mang, lo lắng và tạo thành một làn sóng phản đối mạnh mẽ đặc biệt là từ cộng đồng khởi nghiệp và cộng đồng doanh nghiệp CNTT nói chung. Với vai trò của một tổ chức xã hội nghề nghiệp chuyên ngành, đại diện cho cộng đồng doanh nghiệp CNTT và cộng đồng khởi nghiệp sáng tạo trong lĩnh vực CNTT, VINASA trân trọng gửi tới Quốc hội, Chính phủ và các cơ quan, bộ ngành hữu quan kiến nghị khẩn thiết về Điều 292 của BLHS 2015”.

Trong bản Kiến nghị này, VINASA đã nêu rõ 9 điểm vi phạm, mẫu thuẫn và bất hợp lý của Điều 292 BLHS 2015, bao gồm: Thứ nhất, Điều 292 hình sự hóa hoạt động kinh doanh trái phép, đồng thời với hình sự hóa hoạt động kinh doanh trên mạng; Thứ hai, Điều 292 vi phạm quyền tự do kinh doanh được Hiến pháp 2013 qui định, trong đó ghi nhận “quyền tự do kinh doanh là quyền con người và là một trong những quyền cơ bản nhất của công dân” và “Mọi người có quyền tự do kinh doanh trong những ngành nghề mà pháp luật không cấm”; Thứ ba, Điều 292 trái với đường lối, chủ trương phát triển kinh tế được thể hiện trong Hiến pháp 2013, điều 51, khoản 3 là: “Nhà nước khuyến khích, tạo điều kiện để doanh nhân, doanh nghiệp và cá nhân, tổ chức khác đầu tư, sản xuất, kinh doanh; phát triển bền vững các ngành kinh tế, góp phần xây dựng đất nước”; Thứ tư, Điều 292 đi ngược lại với quan điểm chủ trương, chính sách, chiến lược của Đảng và Chính phủ về thúc đẩy phát triển, ứng dụng CNTT; ảnh hưởng tiêu cực đến sự phát triển của không chỉ ngành CNTT mà còn của tất cả các ngành, lĩnh vực của đời sống kinh tế, xã hội đất nước; Thứ năm, Điều 292 không phù hợp với thực tiễn và xu thế phát triển trong thời đại số, nhất là trong bối cảnh nhân loại đang bước vào cuộc cách mạng công nghiệp lần thứ 4, là xu hướng kết hợp giữa các hệ thống ảo và thực thể, vạn vật kết nối Internet (IoT) và các hệ thống kết nối Internet (IoS); Thứ sáu, Điều 292 đi ngược lại quan điểm của Đảng và Chính phủ về không hình sự hóa các quan hệ hành chính, kinh tế đã được qui định trong Hiến pháp và được Thủ tướng Chính phủ khẳng định mạnh mẽ tại hội nghị “Doanh nghiệp - Động lực phát triển kinh tế” tổ chức ngày 29/4/2016 vừa qua tại TP.HCM; Thứ bảy, Điều 292 qui định về hành vi tội phạm chưa phù hợp với quan điểm về tội phạm được qui định tại Điều 8 của BLHS; Thứ tám, Điều 292 vi phạm nguyên tắc bình đẳng trước pháp luật - một trong những nguyên tắc quan trọng nhất của pháp luật; trong đó bất bình đẳng lớn nhất đồng thời là bất hợp lý nghiêm trọng nhất của Điều 292 là sự bất bình đẳng giữa các loại chủ thể khác nhau cùng thực hiện hành vi phạm tội quy định tại điều luật này, cụ thể là giữa cá nhân và thương nhân là cá nhân với pháp nhân thương mại; Thứ chín, Điều 292 có nhiều nội dung qui định bất cập, chưa thống nhất về khái niệm pháp lý với các luật chuyên ngành, dễ gây các cách hiểu và giải thích khác nhau trong quá trình áp dụng, thực thi pháp luật.

Đối với mỗi quan điểm đánh giá về sự bất hợp lý, mẫu thuẫn, vi phạm trong nội dung của Điều 292 BLHS 2015 đưa ra trong bản Kiến nghị, VINASA đều phân tích rất kỹ càng và có dẫn chứng, ví dụ cụ thể.

Đơn cử như, để làm rõ luận điểm “Điều 292 hình sự hóa hoạt động kinh doanh trái phép, đồng thời với hình sự hóa hoạt động kinh doanh trên mạng”, VINASA đã phân tích kỹ 4 dấu hiệu định tội quy định tại Điều 292 gồm: Hành vi cung cấp một trong các dịch vụ (kinh doanh vàng trên tài khoản, sàn giao dịch thương mại điện tử, kinh doanh đa cấp, trung gian thanh toán, trò chơi điện tử trên mạng, các loại dịch vụ khác trên mạng máy tính, mạng viễn thông theo quy định của pháp luật); Sử dụng mạng máy tính, mạng viễn thông (gọi chung là mạng) để cung cấp dịch vụ; : Không có giấy phép hoặc không đúng nội dung được cấp phép; và thu lợi bất chính trên 50 triệu đồng hoặc có doanh thu trên 200 triệu đồng.

“Với 4 dấu hiệu định tội trên, đặc biệt là với qui định quét tại điểm e khoản 1 thì tất cả các hoạt động kinh doanh dịch vụ trên mạng nằm trong danh mục 267 ngành nghề kinh doanh có điều kiện theo qui định của Luật Đầu tư 2014 đều có thể bị coi là tội phạm nếu vi phạm về điều kiện kinh doanh và “thu lợi bất chính từ 50 triệu trở lên hoặc có doanh thu từ 200 triệu trở lên”. Vì vậy thực chất điều 292 vẫn là tội kinh doanh trái phép giống như Điều 159 BLHS 1999 nhưng có phạm vi điều chỉnh hẹp hơn, áp dụng đối với hoạt động kinh doanh trên mạng trong những ngành nghề kinh doanh có điều kiện. Mức độ hình sự hóa hoạt động kinh doanh trái phép của Điều 292 còn cao hơn, với hình phạt nặng hơn so với tội kinh doanh trái phép qui định tại Điều 159 của BLHS 1999, thể hiện ở khung hình phạt cao nhất của điều 292 lên tới 5 năm tù so với khung hình phạt cao nhất của điều 159 BLHS 1999 là 3 năm tù”, kiến nghị của VINASA nêu rõ.

Đồng thời, theo kiến nghị, quan điểm hình sự hóa hoạt động kinh doanh trên mạng được thể hiện ngay trong qui định tội danh của Điều 292 là: “Tội cung cấp dịch vụ trái phép trên mạng máy tính, mạng viễn thông”. Việc hình sự hóa hoạt động kinh doanh trên mạng còn được thể hiện rõ qua việc qui định dấu hiệu sử dụng mạng để thực hiện hành vi cung cấp dịch vụ là dấu hiệu định tội thay vì chỉ coi là dấu hiệu định khung.

Với dấu hiệu định tội này, chỉ những hành vi kinh doanh trái phép được thực hiện bằng phương thức sử dụng mạng (hành vi kinh doanh được thực hiện trên mạng) thì mới bị truy cứu trách nhiệm hình sự còn hành vi kinh doanh trái phép được thực hiện trực tiếp, không đưa lên mạng thì không bị truy cứu trách nhiệm hình sự, mặc dù bản chất của hai hành vi là như nhau, cùng xâm phạm một khách thể.

Như ICTnews đã đưa tin, chiều ngày 29/7/2016, đã xảy ra sự cố tấn công thay đổi giao diện website và các hệ thống thông tin thuộc sự quản lý của Tổng Công ty Hàng không Việt Nam (Vietnam Airlines) cùng một số đơn vị liên quan khác bị  tấn công, xảy ra sự cố. Trong thông cáo báo chí đầu tiênđược phát ra khoảng 22h cùng ngày, 6 tiếng sau thời điểm sự cố xảy ra, cùng với việc cho biết vào khoảng 16:00 ngày 29/7/2016, trang mạng chính thức của hãng đã bị chiếm quyền kiểm soát và bị chuyển sang trang mạng xấu ở nước ngoài, Vietnam Airlines cũng đã xác nhận dữ liệu của một số hội viên khách hàng thường xuyên của hãng đã bị công bố.

Sự cố an toàn, an ninh thông tin mạng xảy ra với hệ thống thông tin của Vietnam Airlines ngày 29/7 vừa qua được các chuyên gia nhận định là một “hồi chuông cảnh tỉnh” các cơ quan, đơn vị, doanh nghiệp cần phải đặc biệt quan tâm đến công tác đảm bảo an toàn thông tin cho hệ thống của cơ quan, đơn vị mình.

Tối ngày 31/7/2016, trên trang fanpage cộng đồng NukeViet, Ban quản trị cộng đồng này đã đăng tải bài viết với tiêu đề: “Sự cố an ninh của Vietnam Airlines - phân tích dưới góc nhìn của người làm nghề web” để cảnh báo các thành viên cộng đồng này, nhất là những quản trị viên website (webmasters).

Hiện có khoảng 5 vạn thành viên, cộng đồng NukeViet gồm các tổ chức và cá nhân dùng phần mềm vận hành website “made in Việt Nam” NukeViet, nhóm phát triển NukeViet, các lập trình viên tự do, các doanh nghiệp và cá nhân cung cấp sản phẩm và dịch vụ dựa trên NukeViet. Đặc biệt, đại đa số các thành viên cộng đồng NukeViet là các webmasters.

Bài viết mới đăng tải trên fanpage của Ban quản trị cộng đồng NukeViet đã đưa ra những nhận định khá sắc sảo về sự cố an ninh của Vietnam Airlines. Được sự đồng ý của tác giả, ICTnews xin lược đăng bài viết này để độc giả biết thêm được một góc nhìn đối với vụ tin tặc tấn công hệ thống  thông tin của Vietnam Airlines vừa qua:

Sự cố an ninh của Vietnam Airlines dưới góc nhìn của người làm nghề web

Như đã nhận định, khắc phục sự cố bị hacker tấn công kiểu này sẽ không chỉ trong vài ngày. Bởi vì, hệ thống bị tấn công không thể chỉ xử lý bằng cách vá lỗ hổng bảo mật, mà còn phải xử lý phá hoại và cả tá backdoor (cửa hậu) bị cài vào hệ thống. Mà “chỉ có trời mới” biết nó bị phá chỗ nào, backdoor nằm ở đâu. Nói chung, chỉ có nước thay thế hệ thống phần mềm hiện tại bằng Code sạch (không chỉ có Code phần mềm mà thậm chí là ở cấp độ hệ điều hành); và tất nhiên, phải được vá lỗi (có nhận định trên ITLC - Câu lạc bộ các lãnh đạo CNTT - rằng hệ thống màn hình sân bay bị hack từ backdoor cài vào các thiết bị mạng có xuất xứ từ Trung Quốc đang sử dụng ở sân bay - như vậy có lẽ là cần phải làm sạch từ... phần cứng).

Chuyện này không thể khắc phục trong ngày một ngày hai với một hệ thống như hệ thống thông tin của hàng không. Trong khi sự cố an ninh này được xếp vào hàng cực kỳ nghiêm trọng thì Vietnamairlines lại xử lý quá “nghiệp dư”

Nghiệp dư về mặt kỹ thuật

Rõ ràng, Vietnam Airlines không có một quy trình xử lý sự cố bảo mật tiêu chuẩn hoặc quy trình đó quá ư... sai sót. Khi bị hack cơ sở dữ liệu (CSDL) khách hàng, Vietnam Airlines lại gửi email thông báo cho khách hàng tự đổi mật khẩu và mở luôn hệ thống đã bị hack để cho khách hàng đăng nhập và đổi mật khẩu. Có đời thủa nhà nào xử lý sự cố mất CSDL người dùng như vậy không?

Đầu tiên, về mặt lý mà nói, anh làm mất dữ liệu cá nhân của người ta thì anh phải có trách nhiệm khắc phục trước. Đằng này anh hoàn toàn không có bất cứ động thái nào khắc phục mà đổ ngay trách nhiệm cho người dùng phải tự đổi mật khẩu thì thật là... vô trách nhiệm.

Thứ nữa, về mặt kỹ thuật và quy trình bảo mật thì đáng ra anh phải reset lại toàn bộ mật khẩu của người dùng để tránh bị (những người có được dữ liệu hacker công bố) lợi dụng đăng nhập (việc này chỉ cần làm "trong một nốt nhạc") sau đó mới mở lại hệ thống và thông báo cho người dùng sử dụng chức năng "quên mật khẩu" để đăng nhập và tạo mật khẩu mới. Các hệ thống CMS hiện đại như NukeViet CMS, Joomla, Drupal, Wordpress... đều có, không lý gì mà website của Vietnam Airlines lại không có chức năng này?

Chỉ có thể có một lý do duy nhất: Kỹ thuật viên của Vietnam Airlines quá ngờ nghệch về quy trình xử lý sự cố thông tin. Ngoài ra, động thái “khắc phục nhanh chóng” này của Vietnam Airlines tạo ra quá nhiều rủi ro:

Thứ nhất, không biết hệ thống của Vietnam Airlines đã kịp vá lỗ hổng bảo mật và quét sạch hệ thống chưa mà đã mở lại hệ thống đăng nhập cho người dùng.

Giả sử tôi là hacker, tôi sẽ để lại một mớ backdoor, shell, bao gồm cả vài đoạn mã đánh cắp mật khẩu của người dùng và người quản trị "Ngay khi họ đăng nhập lại vào hệ thống" (rất nhiều trường hợp tôi hỗ trợ người dùng NukeViet bị rơi vào trường hợp này).