Bối cảnh và vấn đề nghiên cứu

Khóa luận tốt nghiệp tập trung giải quyết bài toán an toàn và bảo mật thông tin trong hệ thống thông tin (HTTT) tại một doanh nghiệp công nghệ quy mô vừa và nhỏ. Tác giả đặt vấn đề nghiên cứu dựa trên bối cảnh nguy cơ mất an toàn thông tin tại Việt Nam đang gia tăng ở mức báo động:

  • Theo báo cáo năm 2017 của Kaspersky, trên 35% người dùng Internet tại Việt Nam có nguy cơ bị tấn công mạng, xếp thứ 6 trên toàn thế giới.
  • Theo Chỉ số An ninh mạng (Cybersecurity Index) năm 2017 của Liên minh Viễn thông Quốc tế (ITU), Việt Nam xếp hạng 101/193 quốc gia, thấp hơn các nước trong khu vực như Indonesia (hạng 70), Lào (hạng 77), Campuchia (hạng 92) và Myanmar (hạng 100).
  • Số liệu từ Trung tâm Ứng cứu khẩn cấp máy tính Việt Nam (VNCERT) và Bkav ghi nhận trong năm 2017, Việt Nam đối mặt với 10.000 vụ tấn công mạng, gây thiệt hại ước tính 12.300 tỷ đồng.

Tại đơn vị khảo sát là Công ty Cổ phần Phát triển nguồn mở và Dịch vụ FDS, hệ thống đã từng xảy ra sự cố mất an toàn thông tin. Dù sự cố đã được xử lý nhưng công tác quản trị chưa bảo đảm ngăn chặn rủi ro tái diễn trong tương lai. Do đó, việc nghiên cứu thực trạng và đề xuất giải pháp bảo mật đồng bộ là yêu cầu cấp thiết.

Mục tiêu và nhiệm vụ nghiên cứu của đề tài bao gồm:

  1. Hệ thống hóa cơ sở lý luận về an toàn bảo mật thông tin trong HTTT, làm rõ các khái niệm, đặc trưng và nguy cơ theo từng thành phần hệ thống.
  2. Điều tra, phân tích và đánh giá thực trạng an toàn bảo mật thông tin tại Công ty Cổ phần Phát triển nguồn mở và Dịch vụ FDS thông qua dữ liệu khảo sát thực tế.
  3. Đề xuất hệ thống giải pháp kỹ thuật, quản trị và đào tạo nhân lực nhằm nâng cao hiệu quả an toàn thông tin cho HTTT của doanh nghiệp đến năm 2020.

Đối tượng và phạm vi nghiên cứu:

  • Đối tượng nghiên cứu: Các giải pháp đảm bảo an toàn và bảo mật thông tin trong hệ thống thông tin của Công ty Cổ phần Phát triển nguồn mở và Dịch vụ FDS.
  • Phạm vi không gian: Thực hiện tại Công ty Cổ phần Phát triển nguồn mở và Dịch vụ FDS (Tầng 5 và 8, Tòa nhà VAPA, Số 4, Ngõ 3 Tôn Thất Thuyết, Cầu Giấy, Hà Nội).
  • Phạm vi thời gian: Số liệu khảo sát và kết quả kinh doanh thu thập trong giai đoạn 3 năm (2016 – 2018); phiếu điều tra thực hiện từ ngày 12/11/2018 đến ngày 20/11/2018; định hướng giải pháp triển khai đến năm 2020.

Cơ sở lý thuyết và phương pháp

Khóa luận xây dựng nền tảng lý luận dựa trên các tài liệu chuyên ngành về hệ thống thông tin và an toàn dữ liệu:

  • Khái niệm về thông tin, hệ thống thông tin và 5 nguồn lực cấu thành HTTT (phần cứng, phần mềm, cơ sở dữ liệu, mạng, con người) dựa trên giáo trình của tác giả Đàm Gia Mạnh (2017).
  • Khái niệm an toàn dữ liệu (Database Security) và các biện pháp bảo vệ theo giáo trình của Đàm Gia Mạnh (2009, 2010).
  • Bốn đặc trưng cốt lõi của một hệ thống thông tin an toàn theo mô hình CIA mở rộng:
    • Tính bảo mật (Confidentiality/Security): Đảm bảo thông tin không bị truy cập, sao chép hoặc sử dụng trái phép bởi đối tượng không có thẩm quyền.
    • Tính toàn vẹn (Integrity): Dữ liệu không bị tạo mới, sửa đổi hoặc xóa bỏ trái phép; giữ nguyên tính chính xác về mặt ngữ nghĩa và logic so với dữ liệu gốc.
    • Tính sẵn sàng (Availability): Hệ thống và tài nguyên luôn sẵn sàng phục vụ người dùng hợp lệ, không gây cản trở thao tác nghiệp vụ.
    • Tính tin cậy (Confidentiality/Trust): Bảo đảm thông điệp gửi/nhận chính xác, không bị can thiệp hay thất thoát.
  • Tài liệu tham khảo quốc tế và trong nước: Công trình Information Security The Complete Reference (Mark Rhodes-Ousley), Principles of Information Security (Whitman & Herbert J. Mattord); các đồ án nghiên cứu về công nghệ Firewall (Nguyễn Bá Hiếu) và bảo mật mạng không dây WLAN (Nguyễn Thị Hiền).

Phương pháp nghiên cứu được triển khai:

  • Phương pháp định tính: Quan sát trực tiếp hoạt động vận hành HTTT; phỏng vấn Ban Giám đốc và bộ phận IT nhằm thu thập thông tin về cấu trúc quản trị, quy trình sao lưu và các sự cố bảo mật từng phát sinh.
  • Phương pháp định lượng: Xây dựng phiếu điều tra trắc nghiệm gồm 18 câu hỏi (kết hợp câu hỏi đóng, mở, chức năng và nội dung). Phát ra và thu về 15 phiếu từ cán bộ quản lý và nhân viên thuộc các phòng ban của FDS (cơ cấu: 9 nam, 6 nữ; 10 người trình độ đại học, 5 người trình độ trên đại học).
  • Phương pháp nghiên cứu tài liệu và chuyên gia: Thu thập báo cáo tài chính nội bộ, tài liệu kỹ thuật của FDS; tham vấn ý kiến giảng viên hướng dẫn và chuyên gia an ninh thông tin.
  • Phương pháp xử lý dữ liệu: Thống kê, phân loại, tổng hợp số liệu điều tra bằng biểu đồ tỷ lệ phần trăm để đánh giá từng thành phần hạ tầng.

Nội dung chính theo từng chương

CHƯƠNG I: CƠ SỞ LÍ LUẬN VỀ AN TOÀN BẢO MẬT THÔNG TIN TRONG HỆ THỐNG THÔNG TIN

Chương 1 hệ thống hóa các khái niệm nền tảng và phân tích các mối nguy hại tiềm ẩn đối với HTTT dựa trên 5 thành phần cấu thành:

  • Phần cứng: Nguy cơ hư hỏng vật lý, mất điện, thiên tai, hỏa hoạn, hoặc bị cài sẵn mã độc nội gián vào vi xử lý, bo mạch chủ, ổ cứng. Tác giả giới thiệu một số thiết bị bảo mật chuyên dụng như Firebox X (WatchGuard), thiết bị tối ưu mạng WAN Exinda, thiết bị bảo vệ email O2Micro’s SifoML.
  • Phần mềm: Phân loại các dạng phần mềm độc hại gồm virus (tự sao chép, phá hủy tệp tin), worm (lây lan qua mạng), trojan, spyware, adware (nằm vùng thu thập dữ liệu trái phép); cùng các lỗ hổng do lỗi lập trình trong hệ điều hành và phần mềm ứng dụng.
  • Cơ sở dữ liệu: Các hình thức tấn công đánh cắp hoặc phá hoại dữ liệu (nghe trộm, phân tích dữ liệu, làm giả người gửi, DoS, SQL Injection). Biện pháp đối phó gồm phân quyền người dùng, thiết lập giao thức SSL, SET, WEP, ghi nhật ký CSDL, sao lưu và cập nhật bản vá.
  • Hệ thống mạng: Tấn công từ chối dịch vụ (DoS, DDoS, DRDoS), chặn bắt gói tin trên đường truyền, xâm nhập mạng không dây Wi-Fi. Giải pháp khuyến nghị gồm thiết lập mô hình Client/Server, giao thức TLS, Kerberos và định kỳ 3 tháng đổi mật khẩu Wi-Fi.
  • Con người: Rủi ro từ sai sót của người dùng cuối, lừa đảo phi kỹ thuật (social engineering), lộ lọt thông tin nội bộ do quy trình quản lý lỏng lẻo.

CHƯƠNG 2: PHÂN TÍCH, ĐÁNH GIÁ THỰC TRẠNG AN TOÀN BẢO MẬT CỦA CÔNG TY FDS

Chương 2 mô tả chi tiết cơ cấu hoạt động, hạ tầng công nghệ và phân tích thực trạng bảo mật tại Công ty FDS.

1. Tổng quan về doanh nghiệp và kết quả kinh doanh:

  • Công ty Cổ phần Phát triển nguồn mở và Dịch vụ FDS thành lập tháng 2/2016 với 12 cổ đông sáng lập (3 nhà đầu tư chiến lược), quy mô hơn 30 nhân viên chính thức và 50 cộng tác viên. Cơ cấu gồm 3 bộ phận: Bộ phận Nội bộ, Phòng Giải pháp và Dịch vụ, Phòng Phát triển phần mềm.
  • Sản phẩm - dịch vụ cốt lõi: Cổng thông tin điện tử (nền tảng Liferay), Dịch vụ công trực tuyến (phần mềm lõi OpenCPS), Nền tảng tích hợp và chia sẻ dữ liệu LGSP (theo Văn bản 1178/BTTTT-THH của Bộ Thông tin và Truyền thông), phần mềm làm việc cộng tác Mobilink Enterprise (gồm các module: Quản lý hoạt động, Quản lý cán bộ, Quản lý khách hàng, Quản lý hồ sơ văn bản). Hơn 20 đối tác triển khai (Netnam, Tâm Việt, CMCSoft, Bitsco, Tiền Phong TF, iWay...).
Tiêu chí Năm 2016 (Triệu đồng) Năm 2017 (Triệu đồng) Tăng trưởng 2017/2016 (%) Nửa đầu năm 2018 (Triệu đồng)
Doanh thu 8.105 9.980 123,1% 6.317
Chi phí 5.810 7.032 120,9% 3.952
Lợi nhuận trước thuế 2.295 2.948 128,4% 2.366
Thuế phải nộp 573,7 737 128,4% 591
Lợi nhuận sau thuế 1.721,3 2.211 128,4% 1.774

2. Hiện trạng cơ sở hạ tầng HTTT:

Loại thiết bị Tên thiết bị / Thông số kỹ thuật Số lượng
Máy chủ Dell PowerEdge, CPU Intel Xeon 3400 series, Windows Server 2008 R2 2 chiếc
Máy tính để bàn Dell Vostro 3670MT, CPU Intel Pentium G5400, RAM 4GB, HDD 1TB 4 chiếc
Máy tính xách tay Dòng máy Dell, RAM $\ge$ 4GB, CPU tối đa 2.6 GHz, Windows 2010/2013 31 chiếc
Máy in laser màu Canon LBP 5050 (A4, 12 ppm đen trắng, 8 ppm màu, bộ nhớ 16MB) 1 chiếc
Máy in thông thường Canon ImageCLASS LBP6230DN (25 trang/phút, 600x600 dpi, cổng LAN/USB) 2 chiếc
Máy chiếu Panasonic PT-LB303 (Độ sáng 3.100 Ansi Lumens) 2 chiếc
Điện thoại cố định Mạng Viettel 4 chiếc
  • Phần mềm ứng dụng: Phần mềm kế toán MISA, Microsoft Office 2010/2013 có bản quyền, Jaspersoft Studio, Alpacajs. Phần mềm bảo mật hiện tại gồm Windows Firewall, Bkav Pro (trên máy chủ và máy trạm), AVG 2017 (bảo vệ web), Mail Antivirus (Security Plus for Media, Symantec).
  • Hệ thống mạng: Mạng LAN kết hợp Wi-Fi dùng chung, băng thông 100 Mbps, topo hình sao, giao thức TCP/IP theo mô hình Client/Server.
  • Cơ sở dữ liệu: Hệ quản trị CSDL SQL Server 2008 cài đặt trên 2 máy chủ.
  • Website công ty (https://fds.vn): Đóng góp 70% lượng giao dịch thương mại của doanh nghiệp.

3. Kết quả khảo sát thực trạng bảo mật (n=15):

  • Tường lửa: 80% nhân viên cho biết công ty đang sử dụng tường lửa mặc định của Windows; 67% đánh giá hiệu quả của tường lửa này ở mức "chưa tốt", không đủ năng lực ngăn chặn các cuộc tấn công từ bên ngoài.
  • Phần mềm diệt virus: 53% đánh giá phần mềm Bkav Pro hoạt động "chưa tốt". Nguyên nhân do Bkav thiếu cơ chế bảo vệ thời gian thực (Real Time Protection), thường xuyên xung đột với các phần mềm nghiệp vụ (đặc biệt là phần mềm kế toán) và xảy ra tình trạng quét nhầm tệp tin thực thi (.exe) an toàn.
  • Sao lưu cơ sở dữ liệu: 73% nhân viên xác nhận tần suất sao lưu dữ liệu là theo giờ. Hệ quản trị SQL Server 2008 bộc lộ hạn chế khi dữ liệu vượt quá 1GB gây truy xuất chậm, không hỗ trợ rollback khi gặp thao tác lỗi và chỉ chạy trên môi trường Windows.
  • Nguồn nhân lực: 60% người khảo sát đánh giá đội ngũ chuyên trách CNTT chưa đáp ứng đủ yêu cầu an toàn bảo mật thông tin.
  • Lỗ hổng website: Website doanh nghiệp ghi nhận nhiều lần bị tấn công khai thác vào 2 lỗ hổng chính là Cross-Site Scripting (XSS) và SQL Injection.

CHƯƠNG 3: ĐỀ XUẤT MỘT SỐ GIẢI PHÁP BẢO MẬT CHO HỆ THỐNG THÔNG TIN CỦA CÔNG TY FDS

Chương 3 đưa ra định hướng đến năm 2020 đưa an ninh mạng thành thế mạnh mũi nhọn của FDS, đồng thời thiết kế chi tiết 5 nhóm giải pháp:

1. Giải pháp an ninh mạng bằng Firewall phần cứng Check Point Safe@Office:

  • Lựa chọn thiết bị tường lửa "All-in-one" Check Point Safe@Office 225, trọng lượng dưới 2 pound.
  • Cấu hình phần cứng: 1 cổng Ethernet 10/100 kết nối Internet (WAN), 4 cổng LAN kết nối mạng nội bộ, 1 cổng cấu hình firewall và 1 cổng modem hỗ trợ kết nối dialup-backup dự phòng khi mất mạng chính.
  • Tính năng kỹ thuật: Hỗ trợ VPN chuẩn IPSec hoặc PPTP; xác thực người dùng qua cơ sở dữ liệu nội bộ hoặc máy chủ RADIUS; hỗ trợ định tuyến tĩnh cho nhiều mạng con phía sau; cơ chế lọc virus email thông qua máy chủ Check Point trước khi chuyển tiếp về mạng nội bộ; đẩy lùi lệnh ping lén lút từ WAN vào DMZ/LAN.

2. Thay thế phần mềm diệt virus bằng Kaspersky® Small Office Security:

Tiêu chí so sánh Phần mềm BKAV Pro Phần mềm Kaspersky® Small Office Security 2013
Tính năng Nhiều tính năng cơ bản Nhiều tính năng cao cấp (Bảo vệ thời gian thực qua đám mây, quản lý tập trung máy chủ/máy trạm, quét lỗ hổng, sửa file hỏng)
Yêu cầu dung lượng Trống 100MB ổ cứng, CD-ROM, kết nối Internet, IE 5.0, Windows Installer 1.0 Trống 1GB ổ cứng, CD-ROM, kết nối Internet, IE 6.0, Windows Installer
Thời gian quét định kỳ 2 ngày/lần 3 ngày/lần
Độ ổn định hệ thống Không ổn định, hay xung đột với phần mềm kế toán Ổn định, tương thích tốt với phần mềm kế toán
Hiệu quả bảo vệ Bảo vệ chưa toàn diện: > 90% Bảo vệ hiệu quả: > 99% (diệt virus, trojan, worm, keylogger, spyware)
Chi phí trang bị Tương đương 10.000 đồng/bản quyền/năm

3. Chuyển đổi hệ quản trị CSDL sang Oracle Database 12c:

Tiêu chí so sánh Hệ quản trị CSDL SQL Server 2008 Hệ quản trị CSDL Oracle Database 12c
Ngôn ngữ mở rộng Transact-SQL (T-SQL) phát triển bởi Sybase và Microsoft Procedural Language/SQL (PL/SQL) mạnh mẽ, linh hoạt
Kiểm soát giao dịch và commit Thực thi từng lệnh riêng lẻ; khó khăn hoặc không thể rollback nếu phát sinh lỗi trong quá trình thực hiện Các thay đổi thực hiện trên RAM, chỉ lưu vĩnh viễn khi chạy lệnh COMMIT bằng tay; dễ dàng rollback khi có lỗi
Tổ chức đối tượng CSDL Tổ chức theo tên Database; mỗi Database mang tính private, không chia sẻ file đĩa Nhóm đối tượng theo Schema; các đối tượng được chia sẻ linh hoạt giữa các Schema và người dùng
Độ tương thích nền tảng Chỉ chạy trên hệ điều hành Windows Đa nền tảng (Windows, Linux, Unix...)
Khả năng lưu trữ dữ liệu Dữ liệu trên 1GB gặp hiện tượng truy xuất chậm Tối ưu hóa xử lý CSDL quy mô lớn, hỗ trợ liên thông đa hệ thống

4. Đào tạo nhân lực và hoàn thiện quy chế an toàn thông tin:

  • Cử từ 2 đến 5 cán bộ chuyên trách tham gia khóa đào tạo chuyên sâu về Bảo mật mạng doanh nghiệp – NIS (Network Infrastructure Security).
  • Mời chuyên gia an ninh mạng thuyết trình trực tiếp cho toàn thể nhân viên về kỹ thuật phòng thủ mã độc, chữ ký số, mã hóa dữ liệu và phòng chống lừa đảo.
  • Ban hành quy chế: Bắt buộc ký cam kết bảo mật thông tin khách hàng; tiêu hủy tài liệu mật bằng máy cắt giấy; không mang tài liệu, phần mềm in ấn ra khỏi cơ quan; định kỳ truyền thông an toàn thông tin trên kênh nội bộ.

5. Giải pháp đảm bảo an toàn website:

  • Khắc phục lỗ hổng XSS: Do mã nguồn cũ in trực tiếp biến $row["content"] ra trình duyệt mà không kiểm tra dữ liệu đầu vào. Tác giả đề xuất sử dụng hàm htmlentities() để mã hóa các ký tự đặc biệt HTML (ví dụ chuyển thẻ <script> thành &lt;script&gt;); cấu hình cookie với cờ HttpOnly, kích hoạt giao thức SSL và vô hiệu hóa các script không an toàn từ phía máy khách.
  • Khắc phục lỗ hổng SQL Injection: Áp dụng cơ chế truy vấn tham số hóa (parameterized queries); làm sạch dữ liệu đầu vào; triển khai bộ lọc ngăn chặn (plug-in/module Web Application Firewall); thiết lập nguyên tắc quyền hạn tối thiểu (least privilege) cho tài khoản database; hủy bỏ các quyền Public mặc định; mã hóa dữ liệu nhạy cảm; vô hiệu hóa các hàm truy vấn nguy hiểm như Openrowset trong SQL Server.

6. Dự toán kinh phí thực hiện giải pháp:

Tên nhóm giải pháp Thiết bị / Khóa học cụ thể Số lượng Tổng kinh phí (đồng)
An ninh mạng Firewall Thiết bị Firewall Safe@Office 1 chiếc 55.000
Phần mềm diệt virus Bản quyền Kaspersky® Small Office Security 35 chiếc 10.000
Hệ quản trị CSDL Hệ quản trị CSDL Oracle Database 12c 1 chiếc 270.000
Đào tạo nhân lực Khóa đào tạo Bảo mật mạng doanh nghiệp (NIS) 5 khóa học 17.000

Kết quả và đóng góp

Khóa luận đã đạt được các kết quả cụ thể gắn liền với dữ liệu thực chứng tại doanh nghiệp:

  • Phân tích chi tiết thực trạng hạ tầng gồm 2 máy chủ Dell PowerEdge, 4 máy để bàn, 31 laptop, hệ thống phần mềm nghiệp vụ (Mobilink Enterprise, MISA) và làm rõ các điểm nghẽn an ninh thông tin tại FDS thông qua khảo sát 15 nhân sự.
  • Chỉ ra 5 hạn chế lớn trong công tác bảo mật của FDS: 80% chỉ dùng tường lửa Windows mặc định; 53% phàn nàn về lỗi xung đột của Bkav Pro; 73% có nhu cầu sao lưu theo giờ nhưng bị giới hạn bởi SQL Server 2008; 60% đánh giá nhân lực CNTT chưa đáp ứng yêu cầu; website tồn tại 2 lỗ hổng nghiêm trọng là XSS và SQL Injection.
  • Xây dựng hệ thống giải pháp khắc phục đồng bộ trên cả 5 phương diện (Firewall Check Point Safe@Office 225, Kaspersky Small Office Security, Oracle Database 12c, đào tạo khóa NIS, và vá mã nguồn website bằng hàm htmlentities() cùng truy vấn tham số hóa), kèm bảng so sánh tính năng kỹ thuật và bảng dự toán ngân sách chi tiết.

Đóng góp của khóa luận so với các nghiên cứu trước:

  • Khắc phục hạn chế của các đề tài thuần lý thuyết hoặc đồ án kỹ thuật đơn lẻ (như đồ án tường lửa của Nguyễn Bá Hiếu chỉ dừng ở lý thuyết chung, đồ án WLAN của Nguyễn Thị Hiền chỉ giải quyết tình thế trước mắt) bằng việc xây dựng mô hình bảo mật áp dụng trực tiếp cho một doanh nghiệp phần mềm cụ thể.
  • Kết hợp đánh giá đa chiều giữa hiện trạng công nghệ và trình độ nhận thức của con người, gắn kết giải pháp kỹ thuật với bài toán chi phí đầu tư thực tế tại doanh nghiệp vừa và nhỏ.

Hạn chế và hướng nghiên cứu tiếp

Hạn chế của đề tài:

  • Quy mô khảo sát định lượng còn nhỏ (mẫu điều tra gồm 15 cán bộ, nhân viên tại một doanh nghiệp duy nhất), mang tính chất vi mô trong phạm vi một khóa luận tốt nghiệp đại học.
  • Các giải pháp đề xuất (đặc biệt là việc chuyển đổi CSDL sang Oracle Database 12c và lắp ráp tường lửa Safe@Office) mới dừng ở mức xây dựng phương án, đối sánh lý thuyết và lập dự toán chi phí, chưa có điều kiện triển khai thử nghiệm thực tế và đo lường hiệu năng vận hành tại công ty trong khuôn khổ thời gian thực tập.

Hướng nghiên cứu tiếp theo:

  • Triển khai lắp đặt thực tế thiết bị phần cứng Check Point Safe@Office 225 và cài đặt thử nghiệm hệ quản trị Oracle Database 12c trên hệ thống máy chủ của FDS.
  • Xây dựng kịch bản kiểm thử tải, đánh giá tốc độ truy xuất dữ liệu và đo lường mức độ giảm thiểu các cuộc tấn công mạng nhằm hoàn thiện lộ trình bảo mật đến năm 2020.

Giá trị tham khảo

Tài liệu có giá trị thực tiễn đối với:

  • Sinh viên và học viên: Chuyên ngành Hệ thống thông tin quản lý, Thương mại điện tử, An toàn thông tin và Công nghệ thông tin có thể tham khảo phương pháp kết hợp giữa khảo sát thực trạng doanh nghiệp và thiết kế giải pháp an toàn thông tin.
  • Doanh nghiệp vừa và nhỏ (SMEs): Các quản trị viên hệ thống có thể tham khảo bảng so sánh kỹ thuật giữa SQL Server 2008 và Oracle Database 12c, bảng so sánh Bkav Pro và Kaspersky Small Office Security, cũng như mô hình tường lửa "All-in-one" Check Point Safe@Office để tối ưu chi phí bảo mật.
  • Nội dung nổi bật đáng tham khảo: Phương pháp xử lý lỗi XSS bằng hàm htmlentities() trong mã nguồn PHP/HTML và các nguyên tắc cấu hình phân quyền CSDL chống tấn công SQL Injection tại Chương 3.

Câu hỏi thường gặp

1. Cơ cấu đối tượng tham gia khảo sát thực trạng an toàn thông tin tại FDS được phân bổ như thế nào? Khảo sát được thực hiện trên mẫu $n=15$ cán bộ quản lý và nhân viên thuộc các phòng ban của FDS từ ngày 12/11/2018 đến ngày 20/11/2018. Cơ cấu mẫu gồm 9 nam, 6 nữ; phân loại theo trình độ học vấn có 10 người trình độ đại học và 5 người trình độ trên đại học.

2. Điểm yếu lớn nhất của phần mềm Bkav Pro khi vận hành tại FDS là gì? Có 53% nhân viên đánh giá Bkav Pro hoạt động chưa tốt do phần mềm không có chế độ bảo vệ thời gian thực (Real Time Protection) đối với các tiến trình trước khi thực thi, thường xuyên nhận diện nhầm tệp tin lành .exe là mã độc và xảy ra xung đột hệ thống với các phần mềm nghiệp vụ (đặc biệt là phần mềm kế toán MISA).

3. Vì sao tác giả đề xuất thay thế SQL Server 2008 bằng Oracle Database 12c? Tại FDS, 73% nhân viên có nhu cầu sao lưu dữ liệu theo giờ. SQL Server 2008 bị suy giảm hiệu năng truy xuất khi dữ liệu vượt quá 1GB, không hỗ trợ cơ chế rollback khi câu lệnh gặp lỗi và chỉ hoạt động trên hệ điều hành Windows. Oracle Database 12c hỗ trợ ngôn ngữ PL/SQL linh hoạt, kiểm soát commit thủ công cho phép rollback an toàn, quản lý đối tượng theo Schema dùng chung và tương thích với nhiều nền tảng (Windows, Linux, Unix).

4. Thiết bị tường lửa Check Point Safe@Office 225 có những đặc tính kỹ thuật nào nổi bật? Thiết bị nặng dưới 2 pound, tích hợp 1 cổng WAN Ethernet 10/100, 4 cổng LAN, 1 cổng cấu hình và 1 cổng modem hỗ trợ kết nối dialup-backup dự phòng. Thiết bị hỗ trợ kết nối VPN chuẩn IPSec/PPTP, xác thực RADIUS, định tuyến tĩnh cho các mạng con và lọc virus email tập trung qua máy chủ Check Point trước khi gửi đến máy trạm.

5. Tác giả hướng dẫn khắc phục lỗ hổng XSS trên website FDS bằng đoạn mã nào? Tác giả chỉ ra đoạn mã cũ in trực tiếp dữ liệu echo $row["content"]; ra trình duyệt gây lỗ hổng XSS. Giải pháp khắc phục là sử dụng hàm htmlentities() trong PHP để mã hóa các ký tự đặc biệt HTML trước khi xuất ra màn hình (ví dụ chuyển thẻ <script> thành &lt;script&gt;), kết hợp cấu hình cờ HttpOnly cho cookie và sử dụng chứng chỉ SSL.

Kết luận

Khóa luận tốt nghiệp của tác giả Vũ Thị Nguyệt đã hệ thống hóa toàn diện cơ sở lý luận về an toàn bảo mật trong hệ thống thông tin và làm rõ thực trạng hạ tầng công nghệ tại Công ty Cổ phần Phát triển nguồn mở và Dịch vụ FDS. Dựa trên số liệu điều tra thực tế, đề tài đã chỉ ra các điểm yếu cốt lõi về tường lửa, phần mềm diệt virus, hệ quản trị cơ sở dữ liệu, nhận thức nhân sự và lỗ hổng website. Hệ thống 5 nhóm giải pháp được đề xuất kèm bảng thông số kỹ thuật và dự toán kinh phí cụ thể, mang lại giá trị tham khảo thiết thực cho công tác bảo mật tại các doanh nghiệp vừa và nhỏ trong lĩnh vực công nghệ thông tin.