Derpy
Intern Writer
Tháng 5 năm 2019, chính quyền thành phố Baltimore, bang Maryland, rơi vào cảnh hỗn loạn. Những kẻ tấn công mạng đã khóa quyền truy cập vào nhiều tệp tin quan trọng của thành phố và đòi tiền chuộc để giải mã. Baltimore kiên quyết từ chối trả tiền. Cuộc tấn công này đã làm tê liệt hàng loạt dịch vụ công, từ giao dịch bất động sản đến thanh toán hóa đơn, và chi phí khắc phục hậu quả lên đến hàng triệu đô la.
Sự kiện ở Baltimore không phải là cá biệt, mà là một ví dụ điển hình cho các cuộc tấn công ransomware ngày càng phổ biến nhắm vào chính quyền địa phương và các cơ quan công cộng. Để đối phó với mối đe dọa này, vào năm 2019, giảng viên Jungwoo Chun và Giáo sư Quy hoạch Đô thị và Môi trường Lawrence Susskind đã thành lập Phòng khám An ninh mạng MIT (MIT Cybersecurity Clinic). Đây là một phần của khóa học 11.074/11.274 (Cybersecurity Clinic) thuộc Khoa Nghiên cứu và Quy hoạch Đô thị (DUSP) của MIT, và khóa học này đã được tổ chức gần như mỗi học kỳ kể từ đó.
Giống như một phòng khám luật hay y tế, khóa học này vừa là nơi đào tạo thực hành cho sinh viên, vừa cung cấp dịch vụ miễn phí cho các cộng đồng dễ bị tổn thương. Sau khi hoàn thành các học phần hướng dẫn và vượt qua kỳ thi chứng chỉ, sinh viên sẽ được chia thành các nhóm và giao cho một khách hàng cụ thể. Đến cuối học kỳ, mỗi nhóm sẽ tạo ra một báo cáo đánh giá các lỗ hổng an ninh mạng của khách hàng và đề xuất các bước cải thiện khả năng bảo vệ. Đến nay, phòng khám đã cung cấp hơn 40 bản đánh giá, bảo mật và miễn phí, chủ yếu cho các thành phố và tổ chức y tế ở vùng New England.
Theo số liệu của Trung tâm Khiếu nại Tội phạm Internet thuộc FBI, vào năm 2025, trung bình có tới 2.765 cuộc tấn công mạng nhắm vào người Mỹ mỗi ngày. Khi những cuộc tấn công này xảy ra ở các thành phố và thị trấn, hậu quả không chỉ dừng lại ở vấn đề tài chính. Giảng viên Chun chia sẻ rằng "có một hiệu ứng domino đáng sợ, ảnh hưởng đến mọi khía cạnh trong cuộc sống của chúng ta". Trong những năm gần đây, các cuộc tấn công mạng nhắm vào các cộng đồng khách hàng của phòng khám MIT đã gây nguy hiểm cho nguồn cung cấp nước, cản trở dịch vụ khẩn cấp 911 và cảnh sát, đồng thời làm lộ dữ liệu cá nhân của công dân.
Mặc dù là cửa ngõ dẫn đến cơ sở hạ tầng thiết yếu, nhiều thành phố nhỏ và bệnh viện lại thiếu nhân sự nội bộ được đào tạo về an ninh mạng. Nhu cầu về các chuyên gia này vượt xa nguồn cung trên thị trường lao động hiện nay, và ngân sách khu vực công hiếm khi có thể cạnh tranh với mức lương cao mà các công ty tư nhân đưa ra cho các ứng viên đủ điều kiện. Theo Comparitech, từ năm 2018 đến 2024, đã có 525 cuộc tấn công ransomware nhắm vào các tổ chức chính phủ Hoa Kỳ, trung bình khoảng một cuộc mỗi năm ngày, dẫn đến ước tính 1,09 tỷ USD chi phí do thời gian ngừng hoạt động. Giáo sư Susskind nhận định rằng "các cơ quan công cộng và phi lợi nhuận thiếu vốn cần phải tự tìm cách giúp đỡ chính mình", và "có nhiều biện pháp chi phí thấp mà các tổ chức này có thể thực hiện chỉ với một chút hướng dẫn từ một phòng khám dịch vụ miễn phí".
Có lẽ nhiều người sẽ ngạc nhiên khi thấy một chương trình an ninh mạng của trường đại học lại không nằm trong khoa khoa học máy tính. Giảng viên Chun là một nhà khoa học xã hội ứng dụng với chuyên môn về chính sách công và quy hoạch, còn Giáo sư Susskind là một học giả hàng đầu về giải quyết xung đột và xây dựng đồng thuận. Họ gọi phương pháp tiếp cận mà mình đã phát triển cho phòng khám là "kỹ thuật xã hội phòng thủ" (defensive social engineering) để nhấn mạnh rằng an ninh mạng không chỉ là một thách thức kỹ thuật đơn thuần.
Giảng viên Chun thừa nhận rằng sự phát triển nhanh chóng của trí tuệ nhân tạo (AI) đã tạo ra những công cụ đáng báo động mới cho tội phạm. "Giờ đây, AI không chỉ có thể xác định lỗ hổng mà còn tự thực hiện cuộc tấn công, điều này thực sự đáng sợ", ông nói. Mặc dù có vô số phần mềm mới liên tục xuất hiện để chống lại các cuộc tấn công này, khóa học vẫn dành nhiều thời gian cho các khía cạnh kỹ thuật của an ninh mạng. Tuy nhiên, theo ông Chun, "cuối cùng, yếu tố tấn công lớn nhất vẫn là thông qua con người".
Thuật ngữ "kỹ thuật xã hội" (social engineering) thường dùng để chỉ cách các nạn nhân tội phạm mạng bị thao túng để làm lộ thông tin bảo mật, ví dụ như gửi tiền cho kẻ lừa đảo, tải mã độc hại hoặc tiết lộ thông tin nhạy cảm. Khái niệm kỹ thuật xã hội phòng thủ của Giáo sư Susskind và Giảng viên Chun cũng dựa trên tâm lý học con người. Cách tiếp cận này nhấn mạnh rằng an ninh mạng phải là một phần công việc của mọi người, dù là kỹ thuật hay không.
"Đó là về việc mọi người biết phải làm gì, mọi người đưa ra những lựa chọn đúng đắn", Giảng viên Chun chia sẻ. "Đó là giúp họ sử dụng các nguồn lực và ngân sách hiện có vào những thứ có thể tồn tại lâu dài, thay vì chỉ chi tiêu cho phần mềm diệt virus mới nhất".
Giáo sư Susskind cho biết, "các sinh viên có nền tảng khoa học máy tính ngạc nhiên về tầm quan trọng mà chúng tôi đặt vào việc giúp khách hàng xây dựng năng lực tổ chức". Ông giải thích thêm rằng "sinh viên cần hiểu động lực lãnh đạo trong cộng đồng khách hàng của mình. Giám đốc IT không thể chỉ làm những gì mình muốn. Họ phụ thuộc vào chính quyền địa phương về ngân sách. Họ cần sự chấp thuận để thuê nhân viên mới".
Mặt khác, Giáo sư Susskind cũng chỉ ra rằng sinh viên từ các ngành quy hoạch hoặc khoa học xã hội thường nghiên cứu các đổi mới thành phố thông minh mà không học nhiều về các công nghệ cần thiết để quản lý các rủi ro liên quan. Và có những khía cạnh của AI và thiết kế hệ thống tiên tiến, cùng với luật an ninh mạng và các chủ đề quan trọng khác đối với an ninh mạng, mà sinh viên kỹ thuật có thể không học trong các khóa học khác của mình. Phòng khám An ninh mạng MIT đặt mục tiêu bổ sung kiến thức cho sinh viên từ mọi ngành. Khóa học cũng nhằm mở rộng kiến thức của sinh viên bằng cách mời ít nhất nửa tá diễn giả khách mời mỗi học kỳ từ ngành công nghiệp, các trường đại học khác và các khoa học thuật của MIT, cũng như các cơ quan công cộng có liên quan.
Ví dụ, vào mùa xuân vừa qua, danh sách các diễn giả bao gồm Dan Ricci, người sáng lập Industrial Data Works, nói về mô hình hóa rủi ro trong hệ thống năng lượng trong môi trường ngân sách hạn chế; Gus Serino, chủ tịch I&C Secure Inc., nói về an ninh mạng công nghệ vận hành cho các hệ thống điều khiển công nghiệp; và đại diện từ MassCyberCenter và Cơ quan An ninh Cơ sở hạ tầng An ninh mạng cung cấp tổng quan về các chương trình và sáng kiến của các tổ chức cấp tiểu bang và liên bang của họ. Giáo sư Susskind nhấn mạnh rằng "có những điều chuyên biệt cao cần học, đặc biệt là về cách AI đang thay đổi an ninh mạng, mà chúng ta cần sự giúp đỡ trong việc giảng dạy". Ông nói thêm rằng "tốc độ thay đổi của lĩnh vực an ninh mạng khiến hầu hết các học giả sẽ rất khó để theo kịp".
Sinh viên của phòng khám dành bốn tuần đầu tiên của học kỳ để chuẩn bị cho các nhiệm vụ thực địa. Một loạt các học phần trực tuyến, bổ sung bằng thảo luận trên lớp, phác thảo phạm vi và bản chất của các cuộc tấn công mạng chống lại cơ sở hạ tầng đô thị quan trọng; xem xét 23 lĩnh vực rủi ro liên quan nhất đến loại khách hàng của họ; và cung cấp hướng dẫn cho từng bước của quy trình đánh giá. Điều này bao gồm các mô phỏng về các tương tác khó khăn với khách hàng. Chẳng hạn, điều gì sẽ xảy ra nếu khách hàng không coi trọng sinh viên, hoặc không cung cấp thông tin cần thiết? Điều gì sẽ xảy ra nếu họ tranh cãi để nhận được một đánh giá tích cực hơn so với thực tế?
Diego Contreras, một sinh viên năm cuối chuyên ngành khoa học máy tính và kỹ thuật đã hoàn thành khóa học vào mùa xuân này, chia sẻ rằng "chưa bao giờ có một lớp học nào chuẩn bị cho chúng tôi những kịch bản thực tế như vậy". Các học phần kết thúc bằng một kỳ thi mà sinh viên phải vượt qua ngay lần đầu tiên để nhận nhiệm vụ thực địa. Trong phần còn lại của học kỳ, họ sẽ nhận được sự hỗ trợ liên tục thông qua các buổi họp lớp hàng tuần và nhận ý kiến đóng góp từ giảng viên về các báo cáo dự thảo của mình, nhưng trách nhiệm chính là của sinh viên trong việc điều phối các hoạt động của nhóm và xây dựng lòng tin với khách hàng.
Contreras nói rằng "bạn đại diện cho MIT, và đó là một trách nhiệm khá lớn". "Khóa học này đã mang lại cho tôi những kỹ năng giao tiếp mà tôi sẽ không thể phát triển trong bất kỳ bối cảnh nào khác". Zev Moore, sinh viên năm cuối chuyên ngành kinh tế toán học và tài chính đã tham gia lớp học vào mùa thu năm ngoái, chia sẻ rằng "khía cạnh tinh tế nhất của dự án là cân bằng các phát hiện đánh giá của chúng tôi". "Cách tiếp cận của chúng tôi là cung cấp phản hồi quan trọng đồng thời xác nhận các biện pháp bảo mật tích cực mà khách hàng của chúng tôi đã có, điều này đảm bảo báo cáo của chúng tôi giống như một lộ trình hợp tác để cải thiện".
Một số khuyến nghị chính xuất hiện trong phần lớn các báo cáo. Ví dụ, khách hàng được khuyên nên kiểm kê tất cả phần cứng và phần mềm được kết nối vào mạng của họ và theo dõi ai có quyền truy cập; vá lỗi phần mềm và sao lưu dữ liệu thường xuyên; yêu cầu xác thực đa yếu tố và cập nhật mật khẩu thường xuyên; đào tạo nhân viên không mở tệp đính kèm từ các bên không xác định; chuẩn bị một kế hoạch ứng phó tấn công làm rõ quyền hạn và bao gồm lập trường của tổ chức về việc trả tiền chuộc; và chỉ sử dụng các nhà cung cấp có vệ sinh an ninh mạng tốt. Giáo sư Susskind khẳng định rằng "không có mục nào trong số này tốn kém". "Cùng với nhau, chúng có thể tránh được 80% hoặc hơn chi phí và nguy hiểm có thể xảy ra từ các cuộc tấn công mạng".
Đến nay, hơn 120 sinh viên đã hoàn thành khóa học đầy đủ tại MIT. Các học phần trực tuyến chuẩn bị cho sinh viên lấy chứng chỉ được cung cấp miễn phí cho công chúng dưới dạng khóa học trực tuyến mở rộng (MOOC) trên MITx có tên "An ninh mạng cho Cơ sở hạ tầng Đô thị Quan trọng" (Cybersecurity for Critical Urban Infrastructure), đã thu hút hàng chục nghìn người học. Các học phần này cũng được các trường đại học có phòng khám an ninh mạng riêng sử dụng – một nhóm đang phát triển, một phần nhờ vào một liên minh (với 61 tổ chức thành viên và đang tiếp tục tăng) do MIT đồng sáng lập vào năm 2021 cùng với Đại học California tại Berkeley, Đại học Indiana và Đại học Alabama.
Hầu hết các nhóm sinh viên kết thúc công việc với khách hàng sau khi hoàn thiện các khuyến nghị của mình; một số ít đã tình nguyện ở lại sau khi học kỳ kết thúc để tư vấn về việc triển khai. Trong cả hai trường hợp, Giáo sư Susskind và Giảng viên Chun định kỳ kiểm tra với khách hàng trong ít nhất hai năm sau mỗi lần hợp tác.
Giảng viên Chun chia sẻ rằng "chúng tôi thường nghe nói báo cáo đánh giá lỗ hổng đóng vai trò là bản thiết kế của tổ chức cho chương trình nghị sự ngắn hạn, trung hạn và dài hạn để chuẩn bị tốt hơn cho các cuộc tấn công trong tương lai". "Chúng tôi chủ yếu làm việc với các giám đốc IT hoặc giám đốc công nghệ, và nhiều người trong số họ đã nói với chúng tôi sau khi hợp tác rằng họ đã chia sẻ báo cáo của MIT với lãnh đạo thành phố hoặc thị trấn và có thể thuyết phục họ rằng họ cần thêm ngân sách hoặc một khoản mục cụ thể. Họ đã sử dụng báo cáo của sinh viên làm đòn bẩy để nói rằng, 'không chỉ tôi nói điều đó. Chúng tôi có một đội ngũ đáng tin cậy đã dành thời gian của họ và đây là những phát hiện'".
"Đó thực sự là một trải nghiệm khiêm tốn", Giảng viên Chun nói thêm, "khi một số khách hàng cũ của chúng tôi liên hệ lại sau một thời gian để nói: 'Bây giờ chúng tôi có những người khác, chúng tôi vừa mua thiết bị mới. Chúng tôi có thể làm lại tất cả không?'".
Sự kiện ở Baltimore không phải là cá biệt, mà là một ví dụ điển hình cho các cuộc tấn công ransomware ngày càng phổ biến nhắm vào chính quyền địa phương và các cơ quan công cộng. Để đối phó với mối đe dọa này, vào năm 2019, giảng viên Jungwoo Chun và Giáo sư Quy hoạch Đô thị và Môi trường Lawrence Susskind đã thành lập Phòng khám An ninh mạng MIT (MIT Cybersecurity Clinic). Đây là một phần của khóa học 11.074/11.274 (Cybersecurity Clinic) thuộc Khoa Nghiên cứu và Quy hoạch Đô thị (DUSP) của MIT, và khóa học này đã được tổ chức gần như mỗi học kỳ kể từ đó.
Giống như một phòng khám luật hay y tế, khóa học này vừa là nơi đào tạo thực hành cho sinh viên, vừa cung cấp dịch vụ miễn phí cho các cộng đồng dễ bị tổn thương. Sau khi hoàn thành các học phần hướng dẫn và vượt qua kỳ thi chứng chỉ, sinh viên sẽ được chia thành các nhóm và giao cho một khách hàng cụ thể. Đến cuối học kỳ, mỗi nhóm sẽ tạo ra một báo cáo đánh giá các lỗ hổng an ninh mạng của khách hàng và đề xuất các bước cải thiện khả năng bảo vệ. Đến nay, phòng khám đã cung cấp hơn 40 bản đánh giá, bảo mật và miễn phí, chủ yếu cho các thành phố và tổ chức y tế ở vùng New England.
Theo số liệu của Trung tâm Khiếu nại Tội phạm Internet thuộc FBI, vào năm 2025, trung bình có tới 2.765 cuộc tấn công mạng nhắm vào người Mỹ mỗi ngày. Khi những cuộc tấn công này xảy ra ở các thành phố và thị trấn, hậu quả không chỉ dừng lại ở vấn đề tài chính. Giảng viên Chun chia sẻ rằng "có một hiệu ứng domino đáng sợ, ảnh hưởng đến mọi khía cạnh trong cuộc sống của chúng ta". Trong những năm gần đây, các cuộc tấn công mạng nhắm vào các cộng đồng khách hàng của phòng khám MIT đã gây nguy hiểm cho nguồn cung cấp nước, cản trở dịch vụ khẩn cấp 911 và cảnh sát, đồng thời làm lộ dữ liệu cá nhân của công dân.
Mặc dù là cửa ngõ dẫn đến cơ sở hạ tầng thiết yếu, nhiều thành phố nhỏ và bệnh viện lại thiếu nhân sự nội bộ được đào tạo về an ninh mạng. Nhu cầu về các chuyên gia này vượt xa nguồn cung trên thị trường lao động hiện nay, và ngân sách khu vực công hiếm khi có thể cạnh tranh với mức lương cao mà các công ty tư nhân đưa ra cho các ứng viên đủ điều kiện. Theo Comparitech, từ năm 2018 đến 2024, đã có 525 cuộc tấn công ransomware nhắm vào các tổ chức chính phủ Hoa Kỳ, trung bình khoảng một cuộc mỗi năm ngày, dẫn đến ước tính 1,09 tỷ USD chi phí do thời gian ngừng hoạt động. Giáo sư Susskind nhận định rằng "các cơ quan công cộng và phi lợi nhuận thiếu vốn cần phải tự tìm cách giúp đỡ chính mình", và "có nhiều biện pháp chi phí thấp mà các tổ chức này có thể thực hiện chỉ với một chút hướng dẫn từ một phòng khám dịch vụ miễn phí".
Có lẽ nhiều người sẽ ngạc nhiên khi thấy một chương trình an ninh mạng của trường đại học lại không nằm trong khoa khoa học máy tính. Giảng viên Chun là một nhà khoa học xã hội ứng dụng với chuyên môn về chính sách công và quy hoạch, còn Giáo sư Susskind là một học giả hàng đầu về giải quyết xung đột và xây dựng đồng thuận. Họ gọi phương pháp tiếp cận mà mình đã phát triển cho phòng khám là "kỹ thuật xã hội phòng thủ" (defensive social engineering) để nhấn mạnh rằng an ninh mạng không chỉ là một thách thức kỹ thuật đơn thuần.
Giảng viên Chun thừa nhận rằng sự phát triển nhanh chóng của trí tuệ nhân tạo (AI) đã tạo ra những công cụ đáng báo động mới cho tội phạm. "Giờ đây, AI không chỉ có thể xác định lỗ hổng mà còn tự thực hiện cuộc tấn công, điều này thực sự đáng sợ", ông nói. Mặc dù có vô số phần mềm mới liên tục xuất hiện để chống lại các cuộc tấn công này, khóa học vẫn dành nhiều thời gian cho các khía cạnh kỹ thuật của an ninh mạng. Tuy nhiên, theo ông Chun, "cuối cùng, yếu tố tấn công lớn nhất vẫn là thông qua con người".
Thuật ngữ "kỹ thuật xã hội" (social engineering) thường dùng để chỉ cách các nạn nhân tội phạm mạng bị thao túng để làm lộ thông tin bảo mật, ví dụ như gửi tiền cho kẻ lừa đảo, tải mã độc hại hoặc tiết lộ thông tin nhạy cảm. Khái niệm kỹ thuật xã hội phòng thủ của Giáo sư Susskind và Giảng viên Chun cũng dựa trên tâm lý học con người. Cách tiếp cận này nhấn mạnh rằng an ninh mạng phải là một phần công việc của mọi người, dù là kỹ thuật hay không.
"Đó là về việc mọi người biết phải làm gì, mọi người đưa ra những lựa chọn đúng đắn", Giảng viên Chun chia sẻ. "Đó là giúp họ sử dụng các nguồn lực và ngân sách hiện có vào những thứ có thể tồn tại lâu dài, thay vì chỉ chi tiêu cho phần mềm diệt virus mới nhất".
Giáo sư Susskind cho biết, "các sinh viên có nền tảng khoa học máy tính ngạc nhiên về tầm quan trọng mà chúng tôi đặt vào việc giúp khách hàng xây dựng năng lực tổ chức". Ông giải thích thêm rằng "sinh viên cần hiểu động lực lãnh đạo trong cộng đồng khách hàng của mình. Giám đốc IT không thể chỉ làm những gì mình muốn. Họ phụ thuộc vào chính quyền địa phương về ngân sách. Họ cần sự chấp thuận để thuê nhân viên mới".
Mặt khác, Giáo sư Susskind cũng chỉ ra rằng sinh viên từ các ngành quy hoạch hoặc khoa học xã hội thường nghiên cứu các đổi mới thành phố thông minh mà không học nhiều về các công nghệ cần thiết để quản lý các rủi ro liên quan. Và có những khía cạnh của AI và thiết kế hệ thống tiên tiến, cùng với luật an ninh mạng và các chủ đề quan trọng khác đối với an ninh mạng, mà sinh viên kỹ thuật có thể không học trong các khóa học khác của mình. Phòng khám An ninh mạng MIT đặt mục tiêu bổ sung kiến thức cho sinh viên từ mọi ngành. Khóa học cũng nhằm mở rộng kiến thức của sinh viên bằng cách mời ít nhất nửa tá diễn giả khách mời mỗi học kỳ từ ngành công nghiệp, các trường đại học khác và các khoa học thuật của MIT, cũng như các cơ quan công cộng có liên quan.
Ví dụ, vào mùa xuân vừa qua, danh sách các diễn giả bao gồm Dan Ricci, người sáng lập Industrial Data Works, nói về mô hình hóa rủi ro trong hệ thống năng lượng trong môi trường ngân sách hạn chế; Gus Serino, chủ tịch I&C Secure Inc., nói về an ninh mạng công nghệ vận hành cho các hệ thống điều khiển công nghiệp; và đại diện từ MassCyberCenter và Cơ quan An ninh Cơ sở hạ tầng An ninh mạng cung cấp tổng quan về các chương trình và sáng kiến của các tổ chức cấp tiểu bang và liên bang của họ. Giáo sư Susskind nhấn mạnh rằng "có những điều chuyên biệt cao cần học, đặc biệt là về cách AI đang thay đổi an ninh mạng, mà chúng ta cần sự giúp đỡ trong việc giảng dạy". Ông nói thêm rằng "tốc độ thay đổi của lĩnh vực an ninh mạng khiến hầu hết các học giả sẽ rất khó để theo kịp".
Sinh viên của phòng khám dành bốn tuần đầu tiên của học kỳ để chuẩn bị cho các nhiệm vụ thực địa. Một loạt các học phần trực tuyến, bổ sung bằng thảo luận trên lớp, phác thảo phạm vi và bản chất của các cuộc tấn công mạng chống lại cơ sở hạ tầng đô thị quan trọng; xem xét 23 lĩnh vực rủi ro liên quan nhất đến loại khách hàng của họ; và cung cấp hướng dẫn cho từng bước của quy trình đánh giá. Điều này bao gồm các mô phỏng về các tương tác khó khăn với khách hàng. Chẳng hạn, điều gì sẽ xảy ra nếu khách hàng không coi trọng sinh viên, hoặc không cung cấp thông tin cần thiết? Điều gì sẽ xảy ra nếu họ tranh cãi để nhận được một đánh giá tích cực hơn so với thực tế?
Diego Contreras, một sinh viên năm cuối chuyên ngành khoa học máy tính và kỹ thuật đã hoàn thành khóa học vào mùa xuân này, chia sẻ rằng "chưa bao giờ có một lớp học nào chuẩn bị cho chúng tôi những kịch bản thực tế như vậy". Các học phần kết thúc bằng một kỳ thi mà sinh viên phải vượt qua ngay lần đầu tiên để nhận nhiệm vụ thực địa. Trong phần còn lại của học kỳ, họ sẽ nhận được sự hỗ trợ liên tục thông qua các buổi họp lớp hàng tuần và nhận ý kiến đóng góp từ giảng viên về các báo cáo dự thảo của mình, nhưng trách nhiệm chính là của sinh viên trong việc điều phối các hoạt động của nhóm và xây dựng lòng tin với khách hàng.
Contreras nói rằng "bạn đại diện cho MIT, và đó là một trách nhiệm khá lớn". "Khóa học này đã mang lại cho tôi những kỹ năng giao tiếp mà tôi sẽ không thể phát triển trong bất kỳ bối cảnh nào khác". Zev Moore, sinh viên năm cuối chuyên ngành kinh tế toán học và tài chính đã tham gia lớp học vào mùa thu năm ngoái, chia sẻ rằng "khía cạnh tinh tế nhất của dự án là cân bằng các phát hiện đánh giá của chúng tôi". "Cách tiếp cận của chúng tôi là cung cấp phản hồi quan trọng đồng thời xác nhận các biện pháp bảo mật tích cực mà khách hàng của chúng tôi đã có, điều này đảm bảo báo cáo của chúng tôi giống như một lộ trình hợp tác để cải thiện".
Một số khuyến nghị chính xuất hiện trong phần lớn các báo cáo. Ví dụ, khách hàng được khuyên nên kiểm kê tất cả phần cứng và phần mềm được kết nối vào mạng của họ và theo dõi ai có quyền truy cập; vá lỗi phần mềm và sao lưu dữ liệu thường xuyên; yêu cầu xác thực đa yếu tố và cập nhật mật khẩu thường xuyên; đào tạo nhân viên không mở tệp đính kèm từ các bên không xác định; chuẩn bị một kế hoạch ứng phó tấn công làm rõ quyền hạn và bao gồm lập trường của tổ chức về việc trả tiền chuộc; và chỉ sử dụng các nhà cung cấp có vệ sinh an ninh mạng tốt. Giáo sư Susskind khẳng định rằng "không có mục nào trong số này tốn kém". "Cùng với nhau, chúng có thể tránh được 80% hoặc hơn chi phí và nguy hiểm có thể xảy ra từ các cuộc tấn công mạng".
Đến nay, hơn 120 sinh viên đã hoàn thành khóa học đầy đủ tại MIT. Các học phần trực tuyến chuẩn bị cho sinh viên lấy chứng chỉ được cung cấp miễn phí cho công chúng dưới dạng khóa học trực tuyến mở rộng (MOOC) trên MITx có tên "An ninh mạng cho Cơ sở hạ tầng Đô thị Quan trọng" (Cybersecurity for Critical Urban Infrastructure), đã thu hút hàng chục nghìn người học. Các học phần này cũng được các trường đại học có phòng khám an ninh mạng riêng sử dụng – một nhóm đang phát triển, một phần nhờ vào một liên minh (với 61 tổ chức thành viên và đang tiếp tục tăng) do MIT đồng sáng lập vào năm 2021 cùng với Đại học California tại Berkeley, Đại học Indiana và Đại học Alabama.
Hầu hết các nhóm sinh viên kết thúc công việc với khách hàng sau khi hoàn thiện các khuyến nghị của mình; một số ít đã tình nguyện ở lại sau khi học kỳ kết thúc để tư vấn về việc triển khai. Trong cả hai trường hợp, Giáo sư Susskind và Giảng viên Chun định kỳ kiểm tra với khách hàng trong ít nhất hai năm sau mỗi lần hợp tác.
Giảng viên Chun chia sẻ rằng "chúng tôi thường nghe nói báo cáo đánh giá lỗ hổng đóng vai trò là bản thiết kế của tổ chức cho chương trình nghị sự ngắn hạn, trung hạn và dài hạn để chuẩn bị tốt hơn cho các cuộc tấn công trong tương lai". "Chúng tôi chủ yếu làm việc với các giám đốc IT hoặc giám đốc công nghệ, và nhiều người trong số họ đã nói với chúng tôi sau khi hợp tác rằng họ đã chia sẻ báo cáo của MIT với lãnh đạo thành phố hoặc thị trấn và có thể thuyết phục họ rằng họ cần thêm ngân sách hoặc một khoản mục cụ thể. Họ đã sử dụng báo cáo của sinh viên làm đòn bẩy để nói rằng, 'không chỉ tôi nói điều đó. Chúng tôi có một đội ngũ đáng tin cậy đã dành thời gian của họ và đây là những phát hiện'".
"Đó thực sự là một trải nghiệm khiêm tốn", Giảng viên Chun nói thêm, "khi một số khách hàng cũ của chúng tôi liên hệ lại sau một thời gian để nói: 'Bây giờ chúng tôi có những người khác, chúng tôi vừa mua thiết bị mới. Chúng tôi có thể làm lại tất cả không?'".
