Lỗ hổng bảo mật vẫn tồn tại dù đã phát hiện

Cobalt cho biết, hiện chưa đến 50% lỗ hổng bị khai thác được xử lý triệt để. Đáng lo ngại, chỉ 21% các lỗ hổng liên quan đến ứng dụng GenAI được khắc phục. Trong khi đó, 94% doanh nghiệp khẳng định kiểm tra xâm nhập là cần thiết và đóng vai trò quan trọng trong chiến lược bảo mật.

Mặc dù thời gian xử lý các lỗ hổng nghiêm trọng đã được rút ngắn đáng kể (từ 112 ngày năm 2017 xuống còn 37 ngày vào năm 2024), các tổ chức lớn vẫn mất trung bình tới 61 ngày để xử lý một lỗ hổng nghiêm trọng, cao hơn gấp đôi so với các doanh nghiệp nhỏ (27 ngày).

Khoảng cách giữa cam kết và thực tế

Khoảng 75% tổ chức đã thiết lập thỏa thuận mức độ dịch vụ (SLA) yêu cầu khắc phục lỗ hổng trong vòng 2 tuần. Tuy nhiên, thời gian xử lý thực tế (MTTR) trung bình là 67 ngày – gấp 5 lần so với cam kết. Dù vậy, 81% lãnh đạo an ninh mạng vẫn tự tin vào khả năng phòng vệ của tổ chức mình, mặc dù có tới 31% các lỗ hổng nghiêm trọng chưa được xử lý.

GenAI – Vùng trũng bảo mật mới

Các ứng dụng web sử dụng GenAI và LLM đang trở thành điểm yếu mới trong hệ thống bảo mật. Trong năm 2024, 95% công ty đã thực hiện kiểm tra xâm nhập các ứng dụng này và phát hiện 32% có lỗ hổng nghiêm trọng. Tuy nhiên, chỉ 21% số đó được khắc phục.

Đáng chú ý, OWASP – tổ chức toàn cầu chuyên về bảo mật web – đã cập nhật danh sách Top 10 mối nguy hiểm bảo mật của GenAI, bổ sung các mối đe dọa mới như “Denial of Wallet” – hình thức tấn công khai thác chi phí AI tính theo lượt sử dụng.

Áp lực tốc độ và niềm tin sai lệch

Báo cáo của Cobalt cũng chỉ ra rằng các lãnh đạo an ninh đang chịu áp lực phải cải thiện tốc độ phản ứng. Tuy nhiên, thực tế là sau 1 tháng kể từ khi phát hiện, 85% lỗ hổng vẫn chưa được khắc phục, và thậm chí sau 5 năm, vẫn còn tới 45% tồn tại.

Ông Gunter Ollman – Giám đốc công nghệ của Cobalt – nhận định: “Trong kỷ nguyên AI, kiểm tra xâm nhập định kỳ là cần thiết hơn bao giờ hết. Việc các công ty chưa khắc phục toàn bộ lỗ hổng là điều đáng lo ngại, nhưng ít nhất họ đã nhận thức được rủi ro để từng bước xây dựng chiến lược phòng thủ hiệu quả.”