CHƯƠNG I: CƠ SỞ LÍ LUẬN VỀ AN TOÀN BẢO MẬT THÔNG TIN TRONG HỆ THỐNG THÔNG TIN Một số khái niệm cơ bản 1.1 Khái niệm về thông tin, hệ thống thông tin. Theo [2] Thông tin là một bộ dữ liệu được tổ chức, doanh nghiệp sử dụng một phương thức nhất định sao cho chúng mang lại một giá trị gia tăng so với giá trị vốn có của dữ liệu. Thông tin chính là dữ liệu đã qua xử lý (phân tích, tổng hợp, thống kê) có ý nghĩa thực tiễn, phù hợp với mục đích cụ thể của người sử dụng. Thông tin có thể gồm nhiều giá trị dữ liệu có liên quan nhằm mang lại ý nghĩa trọn vẹn cho một sự vật hiện tượng cụ thể trong ngữ cảnh.
Theo [2] Hệ thống thông tin là một tập hợp phần cứng, phần mềm, cơ sở dữ liệu, mạng viễn thông, con người và các quy trình thủ tục khác nhằm thu thập, xử lý, lưu trữ và truyền phát thông tin trong một tổ chức, doanh nghiệp. Hệ thống thông tin hỗ trợ việc ra quyết định, phân tích tình hình, lập kế hoạch, điều phối và kiểm soát các hoạt động trong một tổ chức, doanh nghiệp. Hệ thống thông tin có thể là thủ công nếu dựa vào các công cụ thủ công như giấy, bút, thước, tủ hồ sơ,… còn hệ thống thông tin hiện đại là hệ thống tự động hóa dựa vào mạng máy tính và các thiết bị công nghệ khác. Hệ thống thông tin bao gồm 5 thành phần (còn gọi là năm nguồn lực hay năm nguồn tài nguyên) chính như trình bày trong hình: Hình 1.1: Các thành phần của hệ thống thông tin 4 Luan van Nguồn lực phần cứng: Trang thiết bị phần cứng của một hệ thống thông tin gồm các thiết bị vật lý được sử dụng trong quá trình xử lý thông tin như nhập dữ liệu vào, xử lý và truyền phát thông tin ra.
Phần cứng là các thiết bị hữu hình có thể nhìn thấy, cầm nắm được. Nguồn lực phần mềm: Phần mềm là các chương trình được cài đặt trong hệ thống, thực hiện công việc quản lý hoặc các quy trình xử lý trong hệ thống thông tin. Phần mềm được sử dụng để kiểm soát và điều phối phần cứng, thực hiện xử lý và cung cấp thông tin theo yêu cầu của người sử dụng. Nguồn lực dữ liệu: Cơ sở dữ liệu là tập hợp dữ liệu có tổ chức và có liên quan đến nhau được lưu trữ thứ cấp (như băng từ, đĩa từ) để phục vụ yêu cầu khai thác thông tin đồng thời của nhiều người sử dụng hay nhiều chương trình ứng dụng với mục đích tại nhiều thời điểm khác nhau.
Nguồn lực mạng: Mạng máy tính gồm tập hợp máy tính và các thiết bị được kết nối với nhau nhờ đường truyền vật lý theo một kiến trúc nhất định dựa trên giao thức nhằm chia sẻ các tài nguyên trong mạng của tổ chức, doanh nghiệp. Nguồn lực con người: Trong hệ thống thông tin hiện đại, yếu tố con người bao gồm tất cả những đối tượng tham gia quản lý, xây dựng, mô tả, lập trình, sử dụng, nâng cấp và bảo trì hệ thống. Con người được coi là thành phần quan trọng nhất, đóng vai trò chủ động để tích hợp các thành phần trong hệ thống để đạt được hiệu quả cao nhất trong hoạt động. Tham khảo tài liệu [2] 1.2 Khái niệm về dữ liệu, an toàn dữ liệu, bảo mật dữ liệu và an toàn bảo mật trong HTTT Theo [1] Dữ liệu là một khái niệm rất trừu tượng, là thông tin đã được đưa vào máy tính.
Dữ liệu sau khi tập hợp lại và xử lý sẽ cho ta thông tin. Hay nói theo cách khác, dữ liệu là thông tin đã được mã hóa trên máy tính. Vì vậy ta có thể hiểu an toàn dữ liệu là an toàn thông tin trên máy tính. Theo [1] An toàn dữ liệu (Database Security) có thể hiểu là quá trình đảm bảo cho hệ thống tránh khỏi những nguy cơ thay đổi hoặc sao chép dữ thông tin.
Các nguy cơ này có thể là ngẫu nhiên (do tai nạn) hoặc có chủ định (bị phá hoại từ bên ngoài). Việc bảo vệ dữ liệu có thể được thực hiện bằng các thiết bị phần cứng (các hệ thống Backup dữ liệu,…) hay các chương trình phần mềm (trình diệt Virus, các chương trình mã hóa,…) Theo [7] An toàn bảo mật trong HTTT là thông tin không bị hỏng hóc, không bị sửa đổi, thay đổi, sao chép hoặc xóa bỏ bởi người không được phép. ATTT là quá trình đảm bảo cho hệ thống dữ liệu tránh khỏi những nguy cơ hỏng hóc hoặc mất mát. 5 Luan van Các nguy cơ tiềm ẩn về khả năng mất an toàn thông tin ngẫu nhiên như thiên tai, hỏng vật lí, mất điện… và các nguy cơ có chủ định như tin tặc, cá nhân bên ngoài, phá hỏng vật lí, can thiệp có chủ ý… Một HTTT an toàn thì các sự cố có thể xảy ra không thể làm cho hoạt động chủ yếu của nó ngừng hẳn và chúng sẽ được khắc phục kịp thời mà không gây thiệt hại đến cho chủ sở hữu.
ATTT đó là việc đảm bảo được tính bảo mật qua việc đảm bảo dữ liệu của người sử dụng luôn được bảo vệ, không bị mất mát. Dữ liệu không bị tạo ra, sửa đổi hay xóa bởi những người không sở hữu và luôn trong trạng thái sẵn sàng. Đồng thời có tính tin cậy đảm bảo thông tin mà người dùng nhận được là đúng. Tổng quan tình hình nghiên cứu an toàn bảo mật HTTT 1.1 Tình hình nghiên cứu ngoài nước - Mark Rhodes-Ousley, Information Security The Complete Reference, Second Edition.
Cuốn sách gồm 7 phần và 34 chương bao hàm tất cả các khía cạnh của an ninh thông tin, từ lý thuyết đến các ví dụ thực tiễn giúp cho từng đối tượng người đọc có các góc nhìn cũng như mong muốn hiểu biết khác nhau đều có thể hiểu và tìm đọc. Phần 1 trình bày những khái niệm về an toàn thông tin giúp người đọc có cái nhìn cơ bản về từng đối tượng được nghiên cứu, cùng với đó là những tiêu chuẩn, quy định và luật an ninh mạng hiện hành, phần này cũng giới thiệu những tổ chức an ninh mạng hàng đầu thế giới. Các chương tiếp theo đi vào tìm hiểu nghiên cứu việc ATTT cho từng thành phần đối tượng như bảo mật dữ liệu, mạng, máy tính và ứng dụng. Tại mỗi thành phần nghiên cứu sẽ tìm hiểu về khái niệm chung, những công cụ và phương pháp bảo mật tiêu biểu như: giải pháp an ninh mạng Firewall, phương thức bảo vệ mạng Wifi bằng WPA2, mạng riêng ảo VPNs, các giải pháp bảo mật cho hệ điều hành, ….Phần cuối sẽ tìm hiểu về bảo mật mức vật lý.
Mục tiêu tổng thể của cuốn sách là cung cấp kiến thức thực tiễn về ATTT trong thời kì số hóa ngày nay. Whitman và Herbert J. Mattord, Principles of Information Security, Fourth Edition. Ấn bản thứ tư của Nguyên tắc an ninh thông tin, khám phá lĩnh vực bảo mật thông tin và đảm bảo nội dung cập nhật bao gồm các cải tiến mới về công nghệ và phương pháp luận.
Người đọc sẽ tìm hiểu về bảo mật toàn diện bao gồm tổng quan lịch sử về an ninh thông tin, các đánh giá, xác định rủi ro, công nghệ bảo mật và hơn thế nữa. Nội dung trong cuốn sách cũng đề cập đến những tiêu chuẩn quốc tế, chính sách bảo mật thông tin nhắm cung cấp kiến thức và kĩ năng mà một nhà quản lý thông tin cần biết để đưa ra những quyết định kinh doanh đúng đắn và hợp pháp.2 Tình hình nghiên cứu trong nước Đàm Gia Mạnh (2009), Giáo trình an toàn dữ liệu trong thương mại điện tử, NXB Thống kê .Giáo trình này đưa ra những vấn đề cơ bản liên quan đến an toàn dữ liệu trong thương mại điện tử (TMĐT) như khái niệm, mục tiêu, yêu cầu an toàn dữ liệu trong TMĐT, cũng như những nguy cơ mất an toàn dữ liệu trong TMĐT. Từ đó, giúp các nhà kinh doanh tham gia thương mại điện tử TMĐT có cái nhìn tổng thể về an toàn dữ liệu trong hoạt động của mình. Ngoài ra, trong giáo trình này cũng đề cập một số biện pháp khắc phục hậu quả thông dụng, phổ biến ngày nay, giúp các nhà kinh doanh có thể cận dụng thuận lợi hơn trong công việc hằng ngày của mình.
Đồ án: “Bảo vệ mạng bằng công nghệ Firewall” của sinh viên Nguyễn Bá Hiếu – Khoa Điện tử viến thông – Đại học bách khoa. Đồ án đã mang lại cho người đọc một cái nhìn toàn cảnh về bức tranh bảo mật nói chung và công nghệ bức tưởng lửa nói riêng. Tuy nhiên đồ án chỉ đưa ra nững giải pháp mà chư áp dụng được trong một doanh nghiệp cụ thẻ. Đồ án: “Mạng WLAN và một số vấn đề bảo mật cho mạng không dây wifi” của Nguyễn Thị Hiền, sinh viên trường ĐH Công nghệ - Đại học Quốc gia Hà Nội.
Trong công trình nghiên cứu về phương pháp bảo mật trên WLAN của sinh viên Nguyễn Thị Hiền đã tập trung phân tích khá rõ ràng và có chiều sâu về vấn đề bảo mật trong mạng không dây. Công trình nghiên cứu đã tập trung chỉ ra được những yếu điểm về bảo mật trong mạng không dây và đã đưa ra được nhiều giải pháp khắc phục khá hay và tốt. Mặc dù vậy thì công trình nghiên cứu này còn có một số hạn chế đó là mới chỉ đưa ra được những giải pháp trước mắt chứ chưa đưa ra được giải pháp lâu dài trong bối cảnh công nghệ phát triển như vũ bão hiện nay. Nhìn chung, các đề tài luận văn, chuyên đề tốt nghiệp và các tài liệu về an toàn bảo mật thông tin trong doanh nghiệp khá nhiều nhưng vẫn chưa đi vào chi tiết.
Đề tài: “Một số giải pháp nâng cao tính an toàn bảo mật thông tin của công ty Cổ phầnphát triển nguồn mở và dịch vụ FDS” sẽ tập trung vào việc đánh giá và đưa ra các giải pháp nâng cao hiệu quả các hoạt động đảm bảo an toàn và bảo mật HTTT tại một doanh nghiệp cụ thể. Vì vậy đi sâu nghiên cứu về đề tài này là rất cần thiết. Các đặc trưng của một HTTT an toàn Một hệ thống thông tin được gọi là an toàn khi các yếu tố cơ bản sau được giải quyết: Tính bảo mật Trong an toàn dữ liệu, an toàn và bảo mật (Security) là yêu cầu đảm bảo cho dữ liệu của người sử dụng phải được bảo vệ, không bị mất mát vào những người không 7 Luan van được phép. Nói khác đi là phải đảm bảo được ai là người được phép sử dụng (và sử dụng được) các thông tin (theo sự phân loại mật của thông tin).