Bối cảnh và vấn đề nghiên cứu

Trong bối cảnh công nghệ thông tin phát triển và thông tin được xác định là một phần của tư liệu sản xuất và tài sản của doanh nghiệp, việc bảo vệ tính bí mật, tính toàn vẹn và tính khả dụng của thông tin trở thành yêu cầu thiết yếu trong quản trị tổ chức. Sự chuyển dịch từ phương thức lưu trữ, xử lý thông tin vật lý truyền thống sang các hệ thống máy tính kết nối mạng làm gia tăng khối lượng dữ liệu xử lý, đồng thời làm phát sinh nhiều nguy cơ phức tạp về an toàn thông tin.

Khóa luận được thực hiện tại Công ty Cổ phần Vật liệu Xây dựng và Phòng cháy Chữa cháy Vinaconex 2 (VINACONEX 2 FCM JSC). Thực tế khảo sát cho thấy doanh nghiệp từng gặp sự cố mất an toàn thông tin; dù đã khắc phục nhưng các nguy cơ tiềm ẩn vẫn tồn tại trong quá trình vận hành hệ thống thông tin. Do đó, việc nghiên cứu cơ sở lý luận, đánh giá thực trạng và đề xuất giải pháp bảo mật toàn diện là cần thiết nhằm bảo vệ dữ liệu và duy trì hoạt động kinh doanh ổn định.

Mục tiêu nghiên cứu của đề tài gồm 3 nhiệm vụ cụ thể:

  1. Tập hợp và hệ thống hóa lý thuyết cơ bản về đảm bảo an toàn cho hệ thống thông tin trên các khía cạnh: phần cứng, phần mềm, cơ sở dữ liệu, mạng và con người.
  2. Phân tích, đánh giá thực trạng công tác đảm bảo an toàn và bảo mật hệ thống thông tin tại Công ty Cổ phần Vật liệu Xây dựng và Phòng cháy Chữa cháy Vinaconex 2, chỉ rõ ưu điểm và hạn chế.
  3. Đề xuất các giải pháp kỹ thuật và quản lý phù hợp nhằm nâng cao hiệu quả an toàn thông tin tại công ty.

Đối tượng và phạm vi nghiên cứu:

  • Đối tượng nghiên cứu: Vấn đề an toàn bảo mật và các giải pháp đảm bảo an toàn cho hệ thống thông tin tại Công ty Cổ phần Vật liệu Xây dựng và Phòng cháy Chữa cháy Vinaconex 2.
  • Phạm vi không gian: Hoạt động an toàn hệ thống thông tin tại trụ sở Công ty Cổ phần Vật liệu Xây dựng và Phòng cháy Chữa cháy Vinaconex 2 (Tầng 2, Tòa nhà D, KĐT Kim Văn - Kim Lũ, Phường Đại Kim, Quận Hoàng Mai, TP. Hà Nội).
  • Phạm vi thời gian: Số liệu khảo sát thực tế và báo cáo tài chính - kinh doanh của doanh nghiệp giai đoạn 2014 – 2016, cùng định hướng phát triển trong các năm tiếp theo.

Cơ sở lý thuyết và phương pháp nghiên cứu

Khóa luận xây dựng nội dung dựa trên nền tảng lý thuyết an toàn thông tin và các nghiên cứu chuyên ngành trong và ngoài nước:

  • Khung lý thuyết và mô hình: Mô hình bảo mật CIA gồm 3 đặc trưng cốt lõi: Tính bí mật (Confidentiality), Tính toàn vẹn (Integrity), Tính khả dụng (Availability); mô hình mở rộng 6 đặc tính an toàn thông tin; mô hình triển khai điện toán đám mây (Public, Private, Hybrid Cloud) cùng 3 tầng dịch vụ (IaaS, PaaS, SaaS); kiến trúc hệ thống tường lửa (Firewall dạng cứng và dạng mềm); mô hình kiểm soát truy cập dựa trên vai trò (Role-Based Access Control - RBAC).
  • Tổng quan nghiên cứu: Tác giả kế thừa kết quả từ các công trình quốc tế như nghiên cứu kiểm soát truy cập của Zhiqing Liu, kiểm tra toàn vẹn bằng mật mã RSA của Frederick B. Cohen, bảo mật máy tính của Dieter Gollmann; cùng các nghiên cứu trong nước về thiết kế tường lửa (Vũ Anh Tuấn, 2012), kỹ thuật an ninh mạng (Phạm Minh Tuấn), và ứng dụng hỗ trợ bảo mật hệ thống thông tin (Trịnh Ngọc Minh).
  • Phương pháp thu thập dữ liệu:
    • Điều tra bằng bảng hỏi: Phát phiếu khảo sát đến cán bộ, nhân viên công ty để thu thập dữ liệu về trang thiết bị, mức độ sử dụng phần mềm, nhận thức an toàn thông tin, tần suất sao lưu và ngân sách dự kiến.
    • Phỏng vấn chuyên sâu: Trao đổi trực tiếp với Ban giám đốc và cán bộ phụ trách kỹ thuật về hiện trạng hạ tầng, chính sách vận hành và nhu cầu bảo mật.
    • Nghiên cứu tài liệu thứ cấp: Thu thập báo cáo kết quả hoạt động kinh doanh (2014–2016), tài liệu quản trị nội bộ và số liệu thống kê an toàn mạng từ Cục An toàn thông tin / VNCERT (2013).
  • Phương pháp xử lý và phân tích: Kết hợp phân tích định tính (đánh giá cấu trúc quy trình, phỏng vấn, quan sát) và phân tích định lượng (tổng hợp tỷ lệ phần trăm từ phiếu khảo sát, so sánh thông số kỹ thuật thiết bị và chi phí đầu tư).

Nội dung chính theo từng chương

Chương 1: Tổng quan về an toàn bảo mật hệ thống thông tin

Chương 1 trình bày tính cấp thiết của việc bảo vệ dữ liệu trong hoạt động sản xuất kinh doanh hiện đại. Tác giả tổng thuật các nghiên cứu trong nước và quốc tế về lỗ hổng bảo mật, cơ chế mã hóa, chính sách kiểm soát truy cập và công nghệ tường lửa. Chương này cũng xác định rõ mục tiêu, đối tượng, phạm vi thời gian (2014–2016), phương pháp tiếp cận và kết cấu 3 chương của khóa luận.

Chương 2: Cơ sở lý luận và phân tích, đánh giá thực trạng của an toàn hệ thống thông tin, nâng cao tính bảo mật tại Công ty Cổ phần Vật liệu Xây dựng và Phòng cháy Chữa cháy Vinaconex 2

Nội dung chương 2 gồm 2 phần chính:

Cơ sở lý luận về an toàn hệ thống thông tin:

  • Làm rõ các khái niệm mạng máy tính, dữ liệu, thông tin, hệ thống thông tin, website và bảo mật thông tin.
  • Phân tích 3 trụ cột của mô hình CIA (Bí mật, Toàn vẹn, Khả dụng) và 2 nhóm nhân tố ảnh hưởng trực tiếp đến an toàn thông tin trong doanh nghiệp: nhân tố con người và nhân tố công nghệ.
  • Phân loại các nguy cơ mất an toàn: nguy cơ ngẫu nhiên (sự cố vật lý, thiên tai, mất điện) và nguy cơ có chủ đích (tấn công từ chối dịch vụ DoS/DDoS, lây nhiễm virus qua lỗ hổng bảo mật, Deface Website, Phishing, DNS attack). Đồng thời, tổng hợp số liệu của VNCERT (2013) về các hình thức tấn công vào hệ thống thông tin doanh nghiệp tại Việt Nam: lây nhiễm virus chiếm 28%, tấn công DDoS chiếm 25%, Deface Website chiếm 19%, Phishing chiếm 13%, DNS attack chiếm 11% và các hình thức khác chiếm 4%.
  • Trình bày nguyên lý hoạt động của các biện pháp phòng vệ: mã hóa đường truyền, điện toán đám mây (mô hình Public/Private/Hybrid, các tầng IaaS/PaaS/SaaS), tường lửa mềm (Zone Alarm, Microsoft ISA Server 2006, Norton Firewall), tường lửa cứng (Cisco ASA 5500, NAT) và quy trình 3 bước xử lý sự cố an ninh mạng (ngắt máy chủ, sao lưu logfile/dữ liệu, khôi phục từ bản sao lưu gần nhất).

Thực trạng an toàn hệ thống thông tin tại Vinaconex 2:

  • Khái quát về doanh nghiệp: Thành lập năm 2009, hoạt động trong lĩnh vực sản xuất bê tông thương phẩm, khai thác đá, kinh doanh và thi công thiết bị phòng cháy chữa cháy, xây dựng công trình. Cơ cấu gồm Ban Giám đốc và 4 phòng ban chức năng (Phòng Nhân sự, Phòng Tài chính Kế toán, Phòng Kinh doanh, Phòng Kỹ thuật).
  • Kết quả kinh doanh 2014–2016: Doanh thu thuần năm 2015 tăng 21,7% so với năm 2014; năm 2016 tăng 23,3% so với năm 2015. Lợi nhuận sau thuế năm 2016 tăng 66,6% so với năm 2014.
Tiêu chí khảo sát Hiện trạng tại công ty Vinaconex 2 Số liệu khảo sát thực tế
Trang thiết bị phần cứng 01 máy chủ Dell PowerEdge (CPU Intel Xeon 3400 series, Windows Server 2008 R2 / Linux), 10 máy tính trạm, 02 máy in lazer A4, 05 máy scan A4. Thiết bị hoạt động ổn định nhưng giải pháp bảo vệ cứng còn đơn giản (chủ yếu dựa vào USB, đĩa mềm, thiếu firewall phần cứng chuyên dụng).
Phần mềm ứng dụng MS SQL Server, Office 2010/2013, phần mềm kế toán MISA, TeamViewer 10, FOSS, phần mềm diệt virus Bkav. 56% nhân viên sử dụng phần mềm diệt virus; 24% sử dụng giao thức mạng an toàn; 16% dùng phần mềm mã hóa; 4% dùng mạng riêng ảo (VPN).
Hạ tầng mạng Mạng cáp quang VNPT, băng thông 100Mbps, mạng LAN/WAN/WIFI, topology mạng hình sao (Star). Tốc độ truy cập mạng tương đối ổn định; hệ thống phòng vệ mới dừng lại ở tường lửa mặc định và phần mềm diệt virus máy trạm.
Cơ sở dữ liệu Dữ liệu website và nghiệp vụ lưu trên Excel, MS SQL Server và lưu trữ đám mây. Tần suất sao lưu: 1 đến 3 tháng/lần; ngân sách dự kiến đầu tư cho bảo mật thông tin và CSDL đa phần ở mức dưới 10 triệu đồng hoặc 10 - 15 triệu đồng.
Yếu tố con người Bố trí cán bộ chuyên trách CNTT trình độ cao đẳng/đại học; 100% nhân viên sử dụng máy tính làm việc. Trình độ CNTT: 40% Khá, 30% Tốt, 23% Trung bình, 7% Kém. Nhận thức ATTT: 40% Rất quan trọng, 33% Quan trọng, 20% Bình thường, 7% Không quan trọng. Giao dịch: 56% trực tiếp, 25% điện thoại, 13% email.
  • Đánh giá tổng hợp: Ưu điểm là hệ thống thiết bị phần cứng tương đối mới, phần mềm nghiệp vụ có bản quyền, dữ liệu có phân quyền và sao lưu định kỳ, nhân sự trẻ có nhận thức tốt. Hạn chế là mức đầu tư ngân sách cho an toàn thông tin còn thấp, phần mềm diệt virus ở một số máy trạm là bản miễn phí, hình thức giao dịch truyền thống chiếm tỷ trọng cao tiềm ẩn nguy cơ lộ lọt thông tin.

Chương 3: Định hướng phát triển, đề xuất giải pháp nâng cao hiệu quả an toàn trong hệ thống thông tin tại Công ty CP Vật liệu Xây dựng và Phòng cháy Chữa cháy Vinaconex 2

Chương 3 đề xuất hệ thống giải pháp đồng bộ trên 5 nhóm nội dung:

  1. Giải pháp phần cứng:
    • Nâng cấp hệ thống máy chủ phục vụ mở rộng quy mô kinh doanh: Thay thế dòng máy chủ hiện tại bằng dòng máy chủ chuyên dụng HP ProLiant DL320 eG8.
Thông số kỹ thuật Máy chủ hiện tại Máy chủ đề xuất
Model HP ProLiant ML110 G7 HP ProLiant DL320 eG8
Bộ vi xử lý (Processor) Intel Xeon E3-1220v5 (3.0GHz / 4-core / 8MB / 45W) Intel Xeon E3-1575Mv5 (3.5GHz / 4-core / 8MB / 80W)
Chipset Intel C200 Chipset Intel 3420 Server Chipset
Dung lượng lưu trữ (Storage) 180 GB 250 GB
Bộ nhớ đệm (Cache Memory) 2 MB 8 MB
Bộ nhớ trong (Memory) PC3-10600 DDR3 UB ECC PC3-12100 DDR2
Mức giá tham khảo 7.000.000 VNĐ 3.000.000 VNĐ
  • Quy trình nâng cấp máy chủ: Luôn kiểm tra và xác nhận bản sao lưu dữ liệu trước khi thực hiện; tạo bản sao lưu ảnh đĩa (backup image) bằng các công cụ chuyên dụng (Acronis, StorageCraft Technology); không thực hiện nhiều thay đổi phần cứng cùng một thời điểm nhằm cô lập nguyên nhân khi phát sinh sự cố.
  • Trang bị thiết bị tường lửa phần cứng chuyên dụng Cisco ASA 5500 (cụ thể là thiết bị Cisco ASA5505-BUN-K9) với mức đầu tư dưới 10 triệu đồng nhằm thực hiện 3 chức năng: tường lửa lọc gói theo chính sách, ngăn chặn xâm nhập trái phép và bảo mật nội dung mạng.
  1. Giải pháp phần mềm:
    • Ứng dụng mô hình điện toán đám mây: Phân tách kiến trúc Front-end (giao diện người dùng) và Back-end (hạ tầng lưu trữ, xử lý), áp dụng mô hình chia sẻ tài nguyên multi-tenant nhằm tối ưu hóa chi phí đầu tư hạ tầng CNTT, hỗ trợ khả năng co giãn linh hoạt theo nhu cầu thực tế của doanh nghiệp.
    • Nâng cấp phần mềm diệt virus: Chuyển đổi từ BKAV sang trọn bộ giải pháp Kaspersky Small Office Security 2013 cho máy chủ và 10 máy trạm, kết hợp Kaspersky Anti-Virus cho các máy tính cá nhân còn lại.
Tiêu chí so sánh Phần mềm BKAV Phần mềm Kaspersky Small Office Security 2013
Yêu cầu dung lượng ổ cứng Còn trống 100 MB Còn trống 1 GB (tùy thuộc CSDL)
Yêu cầu cài đặt CD-ROM, kết nối Internet, IE 5.0 trở lên, Windows Installer CD-ROM, kết nối Internet, IE, Windows Installer 1.0
Tần suất quét virus khuyến nghị 2 ngày / lần 3 ngày / lần
Chi phí trang bị cho hệ thống 270.000 VNĐ / máy 1.000.000 VNĐ / bộ (1 máy chủ + 10 máy trạm)

  1. Giải pháp bảo mật dữ liệu:

    • Bảo mật dữ liệu thủ công: In sao nhiều bản lưu trữ trong tủ hồ sơ chuyên dụng có khóa; phân quyền truy cập vật lý; phân loại tài liệu khoa học theo chuyên môn/vần chữ cái.
    • Bảo mật dữ liệu lưu trữ trên thiết bị và ổ đĩa: Thực hiện nguyên tắc đặc quyền tối thiểu (least privilege); kích hoạt tính năng thẩm định truy cập (Audit object access) trên Windows Server; ứng dụng công nghệ quản lý quyền thông tin (Information Rights Management - IRM) trên bộ ứng dụng văn phòng; đặt mật khẩu bảo vệ tệp bằng phần mềm chuyên dụng (Folder, SafeHouse Personal Edition, All File Locker Pro); mã hóa toàn bộ ổ đĩa, thiết bị lưu trữ ngoài, mã hóa lưu lượng mạng qua VPN và giao thức HTTPS.
    • Bảo mật cơ sở dữ liệu: Xây dựng mô hình tầng cơ sở dữ liệu trung gian nằm giữa ứng dụng và hệ quản trị CSDL gốc nhằm thực hiện chức năng mã hóa/giải mã dữ liệu cấp cột/bảng/dòng, quản lý khóa và xác thực người dùng dựa trên vai trò (RBAC) mà không làm xáo trộn kiến trúc ứng dụng hiện có.

  2. Giải pháp về nhân sự và quy chế:

    • Xây dựng và ban hành quy chế nội bộ về an toàn thông tin, quy định rõ trách nhiệm cá nhân trong quản lý tài khoản, dữ liệu và sử dụng máy tính.
    • Ban hành chế tài xử phạt cụ thể đối với hành vi vi phạm chính sách bảo mật; tổ chức đào tạo, bồi dưỡng kiến thức an toàn thông tin cho người dùng cuối và đội ngũ quản trị hệ thống.

Kết quả và đóng góp

  • Kết quả khảo sát và đánh giá thực trạng: Đã phản ánh chi tiết hiện trạng an toàn thông tin của Công ty Cổ phần Vật liệu Xây dựng và Phòng cháy Chữa cháy Vinaconex 2 thông qua các số liệu thống kê cụ thể: tỷ lệ nhân viên sử dụng phần mềm bảo mật (56% dùng diệt virus, 16% dùng mã hóa, 4% dùng VPN), trình độ tin học (40% Khá, 30% Tốt, 23% Trung bình, 7% Kém), nhận thức bảo mật (73% đánh giá từ quan trọng đến rất quan trọng) và thực trạng sao lưu (1–3 tháng/lần).
  • Đề xuất hệ thống giải pháp kỹ thuật có tính ứng dụng:
    • Xác định phương án nâng cấp máy chủ từ HP ProLiant ML110 G7 lên HP ProLiant DL320 eG8 với chi phí hợp lý (khoảng 3.000.000 VNĐ), giúp tăng hiệu suất quản trị.
    • Lựa chọn thiết bị tường lửa phần cứng Cisco ASA5505-BUN-K9 phù hợp với ngân sách dự kiến (dưới 10.000.000 VNĐ) của doanh nghiệp vừa và nhỏ.
    • Xây dựng phương án bản quyền phần mềm diệt virus Kaspersky Small Office Security 2013 (1.000.000 VNĐ/bộ cho 1 server và 10 máy trạm) thay thế giải pháp hiện tại.
    • Đề xuất mô hình CSDL trung gian hỗ trợ mã hóa mức độ sâu kết hợp cơ chế kiểm soát truy cập dựa trên vai trò (RBAC).
  • Đóng góp của khóa luận: Cung cấp tài liệu phân tích thực chứng kết hợp lý thuyết và thực tiễn quản trị an toàn thông tin cho một doanh nghiệp cụ thể trong ngành vật liệu xây dựng và phòng cháy chữa cháy, đưa ra lộ trình giải pháp khả thi về mặt kỹ thuật lẫn chi phí đầu tư.

Hạn chế và hướng nghiên cứu tiếp

  • Hạn chế:
    • Dữ liệu khảo sát thực tế tập trung tại một doanh nghiệp quy mô vừa và nhỏ (gần 100 nhân sự với 10 máy tính trạm chính), do đó một số giải pháp đề xuất mang tính đặc thù cho đơn vị nghiên cứu.
    • Khóa luận chưa đi sâu vào việc xây dựng cấu hình chi tiết cho các tập luật (ruleset) trên thiết bị tường lửa Cisco ASA hoặc lập trình cụ thể tầng CSDL trung gian.
  • Hướng nghiên cứu tiếp:
    • Mở rộng phạm vi khảo sát an toàn thông tin sang các doanh nghiệp khác trong cùng ngành xây dựng - thương mại để tăng tính khái quát.
    • Thử nghiệm và đánh giá hiệu năng thực tế của mô hình CSDL trung gian khi tích hợp với các hệ thống phần mềm quản lý doanh nghiệp chuyên biệt.

Giá trị tham khảo

Khóa luận là tài liệu tham khảo hữu ích cho:

  • Sinh viên chuyên ngành Hệ thống thông tin kinh tế, Thương mại điện tử và Quản trị mạng: Tham khảo phương pháp xây dựng khung khảo sát, phương pháp xử lý dữ liệu và cấu trúc phân tích an toàn thông tin trong doanh nghiệp.
  • Cán bộ quản trị mạng và nhà quản trị doanh nghiệp nhỏ và vừa: Tham khảo căn cứ thực tế để lựa chọn thiết bị phần cứng (máy chủ, tường lửa Cisco), phần mềm diệt virus tập trung và các chính sách phân quyền truy cập, sao lưu dữ liệu với mức ngân sách tối ưu.

Câu hỏi thường gặp

1. Khóa luận nghiên cứu tại doanh nghiệp nào và sử dụng dữ liệu trong giai đoạn nào?
Khóa luận nghiên cứu tại Công ty Cổ phần Vật liệu Xây dựng và Phòng cháy Chữa cháy Vinaconex 2 (Hà Nội), sử dụng số liệu khảo sát thực tế, báo cáo kết quả hoạt động kinh doanh giai đoạn 2014 – 2016 và báo cáo an ninh mạng VNCERT năm 2013.

2. Hạ tầng phần cứng và mạng tại Vinaconex 2 ở thời điểm khảo sát gồm những gì?
Doanh nghiệp trang bị 01 máy chủ Dell PowerEdge (CPU Intel Xeon 3400 series, chạy Windows Server 2008 R2 / Linux), 10 máy tính để bàn/laptop kết nối mạng cáp quang FPT/VNPT băng thông 100Mbps cấu hình hình sao, 02 máy in lazer A4 và 05 máy scan A4.

3. Tác giả đề xuất model máy chủ và thiết bị tường lửa phần cứng nào để nâng cấp cho công ty?
Tác giả đề xuất nâng cấp máy chủ lên model HP ProLiant DL320 eG8 (CPU Intel Xeon E3-1575Mv5, 4-core, 8MB Cache, Storage 250GB) và trang bị tường lửa phần cứng Cisco ASA 5500 (cụ thể là Cisco ASA5505-BUN-K9 với ngân sách dưới 10 triệu đồng).

4. Vì sao tác giả đề xuất chuyển đổi sang phần mềm Kaspersky Small Office Security 2013?
Kaspersky Small Office Security 2013 hỗ trợ công nghệ điện toán đám mây bảo vệ thời gian thực, quản lý bảo mật tập trung cho 1 máy chủ và 10 máy trạm, tự động sửa chữa tệp hỏng, chi phí trang bị theo gói khoảng 1.000.000 VNĐ/bộ, phù hợp với quy mô và ngân sách của doanh nghiệp hơn so với giải pháp BKAV hiện tại.

5. Giải pháp bảo mật cơ sở dữ liệu tối ưu được tác giả lựa chọn là gì?
Tác giả đề xuất xây dựng mô hình tầng cơ sở dữ liệu trung gian giữa ứng dụng và CSDL gốc, giúp thực hiện mã hóa dữ liệu ở cấp bảng/cột/hàng và kiểm soát truy cập dựa trên vai trò (RBAC) mà không đòi hỏi phải lập trình lại toàn bộ kiến trúc các ứng dụng hiện tại.

Kết luận

Khóa luận tốt nghiệp của tác giả Nguyễn Thị Văn đã hoàn thành việc hệ thống hóa cơ sở lý luận về an toàn bảo mật hệ thống thông tin và đánh giá thực trạng tại Công ty Cổ phần Vật liệu Xây dựng và Phòng cháy Chữa cháy Vinaconex 2 giai đoạn 2014 – 2016. Dựa trên số liệu khảo sát thực tế, tác giả đã chỉ rõ các điểm nghẽn về hạ tầng phần cứng, phần mềm diệt virus, chính sách sao lưu và nhận thức người dùng. Hệ thống giải pháp đề xuất bao gồm nâng cấp máy chủ HP ProLiant DL320 eG8, lắp đặt tường lửa Cisco ASA 5500, triển khai phần mềm Kaspersky tập trung, ứng dụng mô hình CSDL trung gian và hoàn thiện quy chế nội bộ mang tính khả thi cao, phù hợp với điều kiện vận hành và ngân sách của doanh nghiệp.