Luận văn tmu một số giải pháp an toàn bảo mật csdl trong httt của công ty cổ phần truyền thông vccorp

Giải pháp an toàn bảo mật cơ sở dữ liệu (CSDL) trong hệ thống thông tin của Vccorp là một vấn đề quan trọng. 76 trang · Đại học Thương Mại · 2015.

• Người hướng dẫn: PGS.TS Đàm Gia Mạnh
• Trường học: Đại học Thương Mại
• Chuyên ngành: Hệ thống thông tin
• Đề tài: Giải pháp an toàn bảo mật cơ sở dữ liệu trong hệ thống thông tin của Vccorp
• Loại tài liệu: khóa luận tốt nghiệp
• Năm xuất bản: 2015
• Địa điểm: Hà Nội

Mục lục chi tiết

• LỜI CẢM ƠN
• 1. PHẦN 1: TỔNG QUAN VẤN ĐỀ NGHIÊN CỨU
• 1.1. Tầm quan trọng, ý nghĩa của vấn đề nghiên cứu
• 1.1.1. Tầm quan trọng của vấn đề nghiên cứu
• 1.1.2. Ý nghĩa của đề tài
• 1.2. Mục tiêu và nhiệm vụ nghiên cứu
• 1.2.1. Mục tiêu nghiên cứu
• 1.2.2. Nhiệm vụ nghiên cứu
• 1.3. Đối tượng và phạm vi nghiên cứu đề tài
• 1.3.1. Đối tượng của đề tài
• 1.3.2. Phạm vi nghiên cứu của đề tài
• 1.4. Phương pháp nghiên cứu
• 1.4.1. Phương pháp thu thập dữ liệu
• 1.4.2. Phương pháp phân tích dữ liệu
• 1.4.2.1. Phương pháp định tính
• 1.4.2.2. Phương pháp định lượng
• 1.5. Kết cấu khóa luận
• 2. PHẦN 2: NỘI DUNG
• 2. CHƯƠNG 1: CƠ SỞ LÝ LUẬN VÀ THỰC TRẠNG AN TOÀN BẢO MẬT THÔNG TIN TẠI CÔNG TY CỔ PHẦN TRUYỀN THÔNG VCCORP
• 2.1. Khái niệm chung
• 2.1.1. Một số khái niệm cơ bản
• 2.2. Một số lý thuyết của vấn đề nghiên cứu
• 2.2.1. Khái niệm và vai trò của bảo mật CSDL
• 2.2.2. Những yêu cầu bảo mật
• 2.2.3. Các yêu cầu bảo vệ CSDL
• 2.2.4. Các nhân tố ảnh hưởng đến hiệu quả an toàn và bảo mật dữ liệu HTTT trong doanh nghiệp
• 2.2.5. Một số biện pháp, công nghệ an toàn bảo mật CSDL
• 3. CHƯƠNG 2: PHÂN TÍCH, ĐÁNH GIÁ THỰC TRẠNG VẤN ĐỀ AN TOÀN BẢO MẬT CSDL TRONG HTTT CỦA CÔNG TY CỔ PHẦN TRUYỀN THÔNG VCCORP
• 3.1. Tổng quan về công ty
• 3.1.1. Giới thiệu chung
• 3.1.2. Cơ cấu nhân sự
• 3.1.3. Tình hình hoạt động trong 3 năm gần đây
• 3.2. Phân tích, đánh giá thực trạng an toàn bảo mật CSDL trong HTTT của công ty cổ phần truyền thông Vccorp
• 3.2.1. Thực trạng tình hình ứng dụng HTTT trong doanh nghiệp
• 3.2.2. Đánh giá thực trạng an toàn bảo mật CSDL trong HTTT của công ty cổ phần truyền thông Vccorp
• 3.2.3. Đánh giá thực trạng bảo mật, an toàn cơ sở dữ liệu ở công ty cổ phần truyền thông Vccorp
• 4. CHƯƠNG 3: ĐỀ XUẤT GIẢI PHÁP BẢO MẬT CSDL TRONG HTTT CỦA CÔNG TY CỔ PHẦN TRUYỀN THÔNG VCCORP
• 4.1. Đề xuất các giải pháp
• 4.1.1. Phòng chống bằng phần cứng
• 4.1.2. Phòng chống bằng phần mềm
• 4.1.3. Phòng chống từ con người
• 4.2. Kiến nghị về việc thiết lập một Firewall cho công ty cổ phần truyền thông Vccorp
• 4.2.1. Lựa chọn giải pháp Firewall phần cứng hoặc Firewall phần mềm để xây dựng một Firewall cho công ty cổ phần truyền thông Vccorp
• 4.2.2. Cách cài đặt và yêu cầu cấu hình Firewall cho công ty Vccorp
• TÀI LIỆU THAM KHẢO
• PHỤ LỤC

Tóm tắt

I. Tổng quan về giải pháp an toàn bảo mật cơ sở dữ liệu Vccorp

Giải pháp an toàn bảo mật cơ sở dữ liệu (CSDL) trong hệ thống thông tin của Vccorp là một vấn đề quan trọng. Với sự phát triển nhanh chóng của công nghệ thông tin, việc bảo vệ dữ liệu trở thành ưu tiên hàng đầu. Vccorp, một công ty hàng đầu trong lĩnh vực truyền thông, cần có những biện pháp bảo mật hiệu quả để bảo vệ thông tin nhạy cảm. Việc này không chỉ giúp bảo vệ tài sản mà còn duy trì uy tín của công ty.

1.1. Tầm quan trọng của bảo mật cơ sở dữ liệu trong doanh nghiệp

Bảo mật CSDL là yếu tố sống còn trong hoạt động của doanh nghiệp. Thông tin là tài sản quý giá, và việc bảo vệ nó khỏi các mối đe dọa là cần thiết. Các cuộc tấn công mạng có thể gây thiệt hại lớn, từ mất mát dữ liệu đến thiệt hại tài chính.

1.2. Các yêu cầu cơ bản về an toàn thông tin

Để đảm bảo an toàn thông tin, cần có các yêu cầu như tính bảo mật, tính toàn vẹn và tính sẵn sàng của dữ liệu. Những yêu cầu này giúp bảo vệ thông tin khỏi các truy cập trái phép và đảm bảo rằng dữ liệu luôn sẵn sàng khi cần thiết.

II. Thách thức trong việc bảo mật cơ sở dữ liệu tại Vccorp

Mặc dù Vccorp đã có những nỗ lực trong việc bảo mật thông tin, nhưng vẫn tồn tại nhiều thách thức. Các mối đe dọa từ bên ngoài và bên trong có thể ảnh hưởng đến an toàn dữ liệu. Việc thiếu hụt nguồn lực và công nghệ cũng là một vấn đề lớn.

2.1. Nguy cơ từ các cuộc tấn công mạng

Các cuộc tấn công mạng ngày càng tinh vi, từ virus đến tấn công DDoS. Những mối đe dọa này có thể làm gián đoạn hoạt động của công ty và gây thiệt hại lớn về tài chính.

2.2. Thiếu hụt nguồn lực và công nghệ

Nhiều doanh nghiệp, bao gồm Vccorp, gặp khó khăn trong việc đầu tư vào công nghệ bảo mật hiện đại. Việc này dẫn đến việc không thể bảo vệ dữ liệu một cách hiệu quả.

III. Phương pháp bảo mật cơ sở dữ liệu hiệu quả cho Vccorp

Để nâng cao an toàn bảo mật CSDL, Vccorp cần áp dụng các phương pháp bảo mật hiện đại. Những giải pháp này không chỉ giúp bảo vệ dữ liệu mà còn tăng cường sự tin tưởng của khách hàng.

3.1. Sử dụng công nghệ mã hóa dữ liệu

Mã hóa dữ liệu là một trong những phương pháp hiệu quả nhất để bảo vệ thông tin nhạy cảm. Công nghệ này giúp đảm bảo rằng chỉ những người có quyền truy cập mới có thể đọc dữ liệu.

3.2. Thiết lập hệ thống tường lửa mạnh mẽ

Tường lửa giúp ngăn chặn các truy cập trái phép vào hệ thống. Việc thiết lập một hệ thống tường lửa mạnh mẽ là cần thiết để bảo vệ CSDL khỏi các cuộc tấn công từ bên ngoài.

IV. Ứng dụng thực tiễn của giải pháp bảo mật tại Vccorp

Việc áp dụng các giải pháp bảo mật tại Vccorp đã mang lại nhiều kết quả tích cực. Công ty đã giảm thiểu được các rủi ro liên quan đến an toàn thông tin và nâng cao được uy tín trong mắt khách hàng.

4.1. Kết quả từ việc áp dụng công nghệ mã hóa

Sau khi áp dụng công nghệ mã hóa, Vccorp đã giảm thiểu được các trường hợp rò rỉ thông tin. Điều này giúp công ty duy trì được sự tin tưởng từ khách hàng.

4.2. Tăng cường nhận thức về an toàn thông tin

Công ty đã tổ chức nhiều buổi đào tạo về an toàn thông tin cho nhân viên. Việc này giúp nâng cao nhận thức và trách nhiệm của mọi người trong việc bảo vệ dữ liệu.

V. Kết luận và hướng phát triển tương lai cho bảo mật CSDL

Bảo mật CSDL là một vấn đề không thể xem nhẹ trong thời đại công nghệ số. Vccorp cần tiếp tục đầu tư vào các giải pháp bảo mật để đảm bảo an toàn cho thông tin. Hướng phát triển tương lai cần tập trung vào việc nâng cao công nghệ và đào tạo nhân viên.

5.1. Đầu tư vào công nghệ mới

Công nghệ bảo mật luôn thay đổi. Vccorp cần theo kịp xu hướng và đầu tư vào các giải pháp mới để bảo vệ dữ liệu hiệu quả hơn.

5.2. Đào tạo nhân viên về an toàn thông tin

Đào tạo nhân viên là một phần quan trọng trong việc bảo vệ thông tin. Vccorp cần thường xuyên tổ chức các khóa học để nâng cao kỹ năng và nhận thức của nhân viên về an toàn thông tin.

Nội dung chính

Bối cảnh và vấn đề nghiên cứu

Trong môi trường kinh doanh số, thông tin và cơ sở dữ liệu (CSDL) được xem là tài sản trọng yếu của mỗi tổ chức. Đối với các doanh nghiệp hoạt động trong lĩnh vực truyền thông số và thương mại điện tử, khối lượng dữ liệu phát sinh hàng ngày từ khách hàng, đối tác và các giao dịch trực tuyến đóng vai trò quyết định đến hoạt động sản xuất kinh doanh. Tuy nhiên, việc phải mở rộng kết nối và chia sẻ thông tin liên tục qua Internet và mạng nội bộ khiến hệ thống CSDL luôn đứng trước nguy cơ trở thành tiêu điểm tấn công của các đối tượng xấu. Những sự cố an ninh mạng ở mức độ nhẹ có thể làm gián đoạn giao dịch, hỏng hóc hệ thống, trong khi ở mức độ nghiêm trọng có thể dẫn đến thất thoát, rò rỉ dữ liệu và gây thiệt hại kinh tế nặng nề cho tổ chức.

Khóa luận tập trung nghiên cứu trường hợp thực tế tại Công ty Cổ phần Truyền thông Việt Nam (VCCorp) — một đơn vị hoạt động chuyên sâu về truyền thông, nội dung số và thương mại điện tử. Tại thời điểm nghiên cứu, dữ liệu lưu trữ tại VCCorp có tính chất phân tán và rời rạc, tính nhất quán chưa cao, đồng thời doanh nghiệp chưa có sự đầu tư đúng mức cho công tác bảo đảm an toàn dữ liệu trong hệ thống thông tin (HTTT). Xuất phát từ bối cảnh thực tiễn này, tác giả đã lựa chọn đề tài nhằm khảo sát, phân tích hiện trạng và đề xuất các biện pháp kỹ thuật, quản lý nhằm nâng cao mức độ bảo mật CSDL cho công ty.

Văn bản xác định mục tiêu và nhiệm vụ nghiên cứu cụ thể như sau:

• Mục tiêu nghiên cứu:

  1. Tập hợp và hệ thống hóa các lý thuyết cơ bản về bảo đảm an toàn CSDL trong HTTT doanh nghiệp.
  2. Nghiên cứu, thu thập và phân tích các nguồn dữ liệu sơ cấp và thứ cấp để đánh giá thực trạng bảo mật dữ liệu HTTT tại VCCorp, chỉ ra những ưu điểm và hạn chế còn tồn tại.
  3. Đề xuất một số giải pháp và kiến nghị cụ thể nhằm nâng cao tính an toàn CSDL, giúp doanh nghiệp nhận diện rủi ro, thách thức và ngăn chặn các nguy cơ tấn công dữ liệu trong hiện tại và tương lai.

• Nhiệm vụ nghiên cứu:

  1. Hệ thống hóa cơ sở lý luận về bảo đảm an toàn bảo mật cho HTTT nói chung trong môi trường doanh nghiệp.
  2. Phân tích, đánh giá thực trạng an toàn bảo mật dữ liệu của HTTT tại Công ty Cổ phần Truyền thông VCCorp dựa trên nguồn tài liệu và số liệu khảo sát thu thập được.
  3. Đề xuất các nhóm giải pháp đảm bảo an toàn bảo mật CSDL cho HTTT tại VCCorp trên cơ sở lý luận và kết quả phân tích thực trạng.

• Đối tượng và phạm vi nghiên cứu:

  • Đối tượng nghiên cứu: Hệ thống mạng, các thiết bị phần cứng, phần mềm ứng dụng, cơ sở dữ liệu, phương thức lưu trữ và nhân tố con người tại công ty.
  • Phạm vi không gian: Giới hạn trong phạm vi nội bộ Công ty Cổ phần Truyền thông VCCorp (trụ sở tại Tòa nhà Center Building – Hapulico Complex, số 1 Nguyễn Huy Tưởng, Thanh Xuân Trung, Thanh Xuân, Hà Nội).
  • Phạm vi thời gian: Đánh giá hoạt động an toàn dữ liệu và kết quả kinh doanh thông qua các báo cáo, số liệu khảo sát thực tế trong giai đoạn từ năm 2013 đến năm 2015, từ đó đề xuất các nhóm giải pháp định hướng cho giai đoạn tiếp theo.

Cơ sở lý thuyết và phương pháp

Khung lý thuyết và khái niệm sử dụng

Khóa luận vận dụng các khái niệm và cơ sở lý luận nền tảng thuộc chuyên ngành Hệ thống thông tin kinh tế và an toàn thông tin:

• Dữ liệu và thông tin: Dữ liệu là các yếu tố thô thu thập được chưa qua xử lý; qua quá trình phân tích và tổng hợp sẽ trở thành thông tin có ý nghĩa phục vụ mục đích quản lý.
• Cơ sở dữ liệu (CSDL) và Hệ thống thông tin (HTTT): CSDL là tập hợp dữ liệu có tổ chức, lưu trữ trên các phương tiện vật lý nhằm phục vụ nhu cầu khai thác đồng thời của nhiều ứng dụng và người dùng. HTTT là sự kết hợp giữa phần cứng, phần mềm và hạ tầng mạng truyền thông để xử lý, phân phối thông tin và tri thức.
• Yêu cầu bảo mật CSDL: Bao gồm 4 trụ cột cơ bản:
  • Tính bảo mật: Dữ liệu chỉ được truy cập, sử dụng bởi những người có thẩm quyền.
  • Tính toàn vẹn: Thông tin không bị tạo mới, chỉnh sửa hoặc xóa trái phép; duy trì tính nhất quán khi mất điện hoặc xảy ra sự cố phần cứng.
  • Tính sẵn sàng: Dữ liệu luôn ở trạng thái sẵn sàng phục vụ người dùng hợp pháp, các biện pháp an ninh không được gây đình trệ thao tác nghiệp vụ.
  • Tính tin cậy: Đảm bảo thông tin truyền nhận chính xác, không bị lọt vào tay bên thứ ba không có thẩm quyền.
• Các yêu cầu bảo vệ CSDL chuyên sâu: Bảo vệ chống truy cập trái phép; bảo vệ chống suy diễn (ngăn chặn việc suy luận thông tin mật từ dữ liệu thống kê công khai); bảo vệ toàn vẹn CSDL; kiểm soát toàn vẹn giao tác (thông qua kỹ thuật khóa đồng thời); kiểm soát toàn vẹn ngữ nghĩa (ràng buộc toàn vẹn miền giá trị); khả năng lưu vết và kiểm tra (ghi nhật ký log file); xác thực và định danh người dùng.
• Các nhân tố tác động đến an toàn bảo mật HTTT: Con người (nhà quản trị, lập trình viên, nhân viên nghiệp vụ); công nghệ thông tin; phần cứng; phần mềm; cơ sở hạ tầng mạng.
• Các giải pháp công nghệ an toàn CSDL: Tường lửa phần cứng, tường lửa phần mềm, bảo mật đường truyền qua mã hóa (mã hóa khóa riêng - Symmetric-key encryption và mã hóa khóa công khai - Public-key encryption), hệ thống lưu điện (UPS), và mô hình điện toán đám mây (Cloud Computing).

Phương pháp nghiên cứu và nguồn dữ liệu

Nghiên cứu kết hợp cả phương pháp định tính và định lượng nhằm thu thập và xử lý thông tin:

• Phương pháp điều tra phỏng vấn: Tiến hành phỏng vấn sâu ban lãnh đạo và nhân viên thuộc các phòng ban nghiệp vụ (kế toán, kinh doanh, kỹ thuật) thông qua bảng câu hỏi chuẩn bị trước xoay quanh thực trạng an ninh mạng, các sự cố an toàn dữ liệu từng gặp phải và hiện trạng bảo vệ hệ thống.
• Phương pháp khảo sát bằng phiếu điều tra: Sử dụng mẫu phiếu điều tra gồm 5 câu hỏi trọng tâm phát cho cán bộ, nhân viên công ty; quy mô mẫu thu về và xử lý hợp lệ là $N = 15$ phiếu.
• Phương pháp tổng hợp và phân tích tài liệu:
  • Nguồn dữ liệu nội bộ (thứ cấp): Hồ sơ năng lực, cơ cấu tổ chức, báo cáo kết quả hoạt động kinh doanh 3 năm (2013 - 2015) cung cấp bởi Phòng Kế toán tài chính; các tài liệu kỹ thuật về phần mềm và hạ tầng máy chủ của công ty.
  • Nguồn dữ liệu bên ngoài: Giáo trình, tài liệu chuyên khảo về an toàn thông tin (như Giáo trình cơ sở an toàn thông tin của Nguyễn Khanh Văn, 2014); các công trình nghiên cứu và luận văn thạc sĩ liên quan (Vũ Anh Tuấn, 2012; Nguyễn Dương Hùng, 2013; Vũ Văn Trường, 2012).
• Phương pháp xử lý dữ liệu: Áp dụng phương pháp phân tích định tính đối với dữ liệu phỏng vấn chuyên sâu; sử dụng phần mềm Microsoft Office Excel 2010 để xử lý thống kê định lượng các bảng số liệu khảo sát và tính toán các tỷ lệ phần trăm.

Nội dung chính theo từng chương

Chương 1: Cơ sở lý luận và thực trạng an toàn bảo mật thông tin tại Công ty Cổ phần Truyền thông Vccorp

Chương này trình bày hệ thống hóa các vấn đề lý thuyết về an toàn bảo mật dữ liệu, phân loại các nguy cơ đe dọa hệ thống thông tin doanh nghiệp và giới thiệu các công nghệ bảo vệ hiện đại:

• Xác định rõ vai trò của an toàn dữ liệu đối với sự sống còn của doanh nghiệp: thông tin là tài sản quan trọng, sự cố dữ liệu có thể dẫn đến thất thoát tài chính và giảm sút uy tín kinh doanh.
• Phân tích cấu trúc các biện pháp bảo vệ vật lý và logic:
  • Biện pháp phần cứng: Phân tích nguyên lý hoạt động của tường lửa phần cứng (thiết bị độc lập chạy hệ điều hành riêng, bố trí giữa kết nối Internet và hệ thống máy tính nội bộ), vai trò của bộ lưu điện (UPS) trong việc phòng tránh lỗi vật lý cho ổ cứng khi mất điện đột ngột hoặc sụt áp.
  • Biện pháp phần mềm: Xem xét tính năng của tường lửa phần mềm trong việc tạo thêm lớp lọc bảo vệ máy tính trạm, các giải pháp mã hóa dữ liệu đường truyền (khóa đối xứng và khóa công khai).
  • Ứng dụng điện toán đám mây: Khái quát mô hình máy chủ ảo, cơ chế phân phối tài nguyên và dữ liệu trên máy chủ nhà cung cấp dịch vụ để giải phóng gánh nặng quản trị hạ tầng tại chỗ.
  • Yếu tố nhận thức con người: Khẳng định an toàn thông tin không chỉ là trách nhiệm riêng của bộ phận CNTT mà thuộc về mọi nhân viên thông qua đào tạo, tập huấn kỹ năng nghiệp vụ thường xuyên.

Chương 2: Phân tích, đánh giá thực trạng vấn đề an toàn bảo mật CSDL trong HTTT của Công ty Cổ phần Truyền thông Vccorp

Chương 2 cung cấp bức tranh chi tiết về tổ chức, kết quả kinh doanh, hạ tầng CNTT và thực trạng an ninh dữ liệu tại VCCorp:

• Thông tin tổng quan: VCCorp có vốn điều lệ 60 tỷ đồng; đội ngũ lãnh đạo gồm Tổng Giám đốc Vương Vũ Thắng và Phó Tổng Giám đốc Nguyễn Thế Tân. Cơ cấu tổ chức gồm Ban Trợ lý, các khối kinh doanh (Khối Thương mại điện tử, Khối Quảng cáo Admicro), Khối Nội dung (vận hành các trang tin kenh14.vn, cafef.vn...), Khối Công nghệ nội dung, Phòng Công nghệ hệ thống và các phòng ban chức năng (Kế toán, Hành chính nhân sự, Đối ngoại, Pháp chế).
• Tình hình kinh doanh giai đoạn 2013 - 2015: Doanh nghiệp duy trì tốc độ tăng trưởng doanh thu và lợi nhuận liên tục trong 3 năm khảo sát.

Chỉ tiêu tài chính	Năm 2013	Năm 2014	Năm 2015	So sánh 2014/2013 (%)	So sánh 2015/2014 (%)
Tổng doanh thu (triệu VND)	150.179	250.629	365.150	+66,87	+45,69
Tổng chi phí (triệu VND)	56.254	90.940	153.334	+61,70	+68,60
Lợi nhuận trước thuế (triệu VND)	94.925	161.325	213.978	+69,95	+32,64
Lợi nhuận sau thuế (triệu VND)	70.943,75	120.564,25	159.919,25	+69,95	+32,64

• Hiện trạng ứng dụng HTTT và CSDL:

  • Phần cứng và mạng: Trụ sở làm việc gồm 3 tầng (tầng 17, 19, 20, 21 thuộc Center Building - Hapulico Complex), trang bị 500 máy tính, 2 máy chủ và 100 máy trạm. Máy chủ vật lý sử dụng dòng HP Proliant ML150 G6 Hot plug SAS/SATA. Mạng cục bộ kết hợp giữa mạng dây LAN và Wifi không dây.
  • Phần mềm ứng dụng: Bộ ứng dụng Microsoft Office, phần mềm diệt virus Kaspersky, phần mềm kế toán Fast, phần mềm Inet SMS, và phần mềm quản lý chấm công vân tay Wise Eye V5.1 (lưu trữ tới 10 dấu vân tay/người, thời gian nhận dạng 0,1 giây).
  • Hệ quản trị CSDL: Sử dụng SQL Server 2010 để quản lý và tổ chức dữ liệu thành các module: CSDL tài chính, CSDL nhân sự, CSDL khách hàng, CSDL sản phẩm; hỗ trợ xử lý dữ liệu quan hệ và tài liệu XML.
  • Nhân lực CNTT: Có phòng kỹ thuật riêng phụ trách hệ thống, nhân sự được đào tạo từ các cơ sở đào tạo chuyên ngành như Đại học FPT, Đại học Bách Khoa, Đại học Công nghệ, Bách khoa Aptech.

• Kết quả khảo sát thực tế ($N = 15$ phiếu):

Nội dung khảo sát	Tiêu chí đánh giá	Số phiếu	Tỷ lệ (%)
1. Mức độ quan tâm đến ATBM của công ty	Quan tâm	15	100,00
	Rất quan tâm / Ít quan tâm / Không quan tâm	0	0,00
2. Đánh giá mức độ an toàn và bảo mật HTTT	Tốt	7	46,66
	Khá	5	33,33
	Trung bình	3	20,01
	Rất tốt / Yếu	0	0,00
3. Khả năng lưu trữ của hệ thống hiện tại	Đáp ứng được nhu cầu cơ bản	8	53,33
	Đáp ứng tốt	4	26,67
	Đáp ứng kém	3	20,00
	Chưa đáp ứng được nhu cầu	0	0,00
4. Giải pháp cần làm đầu tiên để an toàn thông tin	Hệ thống tường lửa và bảo vệ chu vi mạng	5	33,33
	Ứng dụng điện toán đám mây	4	26,67
	Thiết kế hệ thống phát hiện và ngăn ngừa	3	20,00
	An toàn mạng không dây	3	20,00
5. Phương pháp kỹ thuật công ty sử dụng	Kết cấu mạng nội bộ nghiêm ngặt	8	53,00
	Đảm bảo sự toàn diện của hệ thống	4	27,00
	Cơ chế an toàn đầy đủ cho mạng	3	20,00

• Đánh giá ưu điểm và hạn chế tại VCCorp:
  • Ưu điểm: Lãnh đạo có nhận thức đúng đắn và dự định đầu tư cho an ninh thông tin; triển khai các phần mềm bản quyền (BKAV Pro, Kaspersky, Security Plus for MDaemon); thực hiện sao lưu dự phòng; đội ngũ kỹ thuật có chuyên môn tốt, bước đầu ẩn giấu được thông tin máy chủ web và cấp tài khoản/mật khẩu riêng biệt cho nhân viên qua mạng LAN.
  • Nhược điểm và lỗ hổng:
    1. Hạn chế phần cứng: Máy chủ HP Proliant ML150 G6 là loại thùng máy nhỏ gọn, linh kiện bên trong nhanh bị nóng khi chịu tải lớn, dẫn đến nguy cơ CPU quá tải và tự ngắt đột ngột. Doanh nghiệp chưa trang bị hệ thống lưu điện (UPS) để bảo vệ trước các sự cố điện.
    2. Rủi ro dịch vụ lưu trữ: Công ty sử dụng dịch vụ lưu trữ chia sẻ (Shared Hosting) cho một số website, tiềm ẩn nguy cơ bị tin tặc tấn công bắc cầu qua các website dùng chung máy chủ của đơn vị khác.
    3. Lỗ hổng truyền thông tin xác thực: Mật khẩu hộp thư điện tử và mật khẩu đăng nhập trên một số trang nội bộ được truyền nhận và lưu trữ dưới dạng không mã hóa (văn bản thô), tạo điều kiện cho kẻ xấu đánh cắp thông tin đăng nhập.
    4. Tính đồng bộ chưa cao: Thiếu sự phối hợp chặt chẽ giữa đơn vị lập trình web, nhà cung cấp dịch vụ máy chủ và đội ngũ quản trị an ninh mạng; công tác kiểm tra lỗ hổng chưa mang tính toàn diện.

Chương 3: Đề xuất giải pháp bảo mật CSDL trong HTTT của Công ty Cổ phần Truyền thông Vccorp

Trên cơ sở các nhược điểm phát hiện được, tác giả đưa ra định hướng và các nhóm giải pháp chính:

• Thiết kế và xây dựng hệ thống tường lửa (Firewall): Tập trung thiết lập tường lửa phân quyền chi tiết cho từng phòng ban và chức vụ, ngăn chặn truy cập trái phép từ bên ngoài và kiểm soát lưu lượng chu vi mạng nội bộ.
• Xây dựng và nâng cấp máy chủ CSDL: Thay thế hoặc bổ sung các dòng máy chủ chuyên dụng có khả năng tản nhiệt tốt, dung lượng lưu trữ lớn nhằm giải quyết tình trạng quá nhiệt và đáp ứng nhu cầu tăng trưởng dữ liệu giao dịch trực tuyến.
• Tăng cường bảo mật toàn diện cả phần cứng và phần mềm: Trang bị bộ lưu điện (UPS) cho các máy chủ xung yếu; chấm dứt việc dùng Shared Hosting không an toàn, chuyển sang thuê máy chủ riêng có thiết lập bảo mật; mã hóa bắt buộc đối với toàn bộ mật khẩu email và tài khoản truy cập hệ thống nội bộ; thiết lập cơ chế giám sát ghi file log nhật ký hệ thống thường xuyên.
• Nâng cao chất lượng nguồn nhân lực CNTT: Định kỳ tổ chức các khóa bồi dưỡng, đào tạo nghiệp vụ về an toàn thông tin và quy trình vận hành phần mềm mới cho toàn thể cán bộ nhân viên, giảm thiểu các sai sót chủ quan do con người.

Kết quả và đóng góp

• Kết quả cụ thể từ số liệu thực tế: Khóa luận đã hệ thống hóa và làm rõ thực trạng của một doanh nghiệp truyền thông số quy mô 500 máy tính, chỉ ra các chỉ số hoạt động kinh doanh tăng trưởng liên tục qua các năm (doanh thu năm 2015 đạt 365.150 triệu đồng). Thông qua khảo sát thực nghiệm 15 mẫu, tác giả chứng minh được rằng 100% cán bộ nhân viên đều quan tâm đến vấn đề an toàn bảo mật, nhưng có tới 20,01% đánh giá hệ thống ở mức trung bình và 20% cho rằng khả năng lưu trữ hiện tại đáp ứng kém.
• Phát hiện các điểm nghẽn an ninh trọng yếu: Tác giả đã chỉ ra chính xác các rủi ro kỹ thuật đang tồn tại ở VCCorp gồm: rủi ro ngắt máy chủ đột ngột do hiện tượng quá nhiệt của dòng máy chủ HP Proliant ML150 G6; thiếu bộ lưu điện; việc để lộ lọt thông tin xác thực do không mã hóa mật khẩu email/website nội bộ; và nguy cơ tấn công diện rộng từ việc sử dụng dịch vụ lưu trữ chia sẻ (Shared Hosting).
• Đóng góp thực tiễn so với các tài liệu đi trước: Khác với các nghiên cứu giáo trình mang tính lý thuyết tổng quát (như tài liệu của Nguyễn Khanh Văn) hoặc các công trình nghiên cứu riêng lẻ, thiếu thực nghiệm tại ngân hàng (Nguyễn Dương Hùng) hay cơ quan nhà nước (Cục Đăng Kiểm của Vũ Văn Trường), khóa luận đã giải quyết bài toán an toàn CSDL gắn liền với đặc thù kinh doanh trực tuyến, giao dịch tần suất cao của một công ty cổ phần truyền thông số tại Việt Nam.

Hạn chế và hướng nghiên cứu tiếp

• Hạn chế của khóa luận:
  • Quy mô mẫu khảo sát thực nghiệm còn nhỏ ($N = 15$ phiếu), chủ yếu khảo sát đại diện một số phòng ban mà chưa mở rộng trên diện rộng toàn thể nhân viên của cả 3 tầng làm việc.
  • Phạm vi khảo sát thời gian dừng lại ở giai đoạn 2013 - 2015.
  • Các giải pháp kỹ thuật tại Chương 3 (về cấu hình tường lửa, nâng cấp máy chủ) mới dừng lại ở mức độ đề xuất, định hướng nguyên lý và khuyến nghị, chưa đi sâu vào việc xây dựng cấu hình luật (firewall rules) cụ thể trên từng thiết bị hay kiểm thử hiệu năng thực tế sau khi áp dụng.
• Hướng nghiên cứu tiếp theo:
  • Mở rộng phạm vi khảo sát điều tra với cỡ mẫu lớn hơn tại tất cả các khối dự án trực thuộc (Admicro, TMĐT, các ban biên tập trang tin).
  • Xây dựng mô hình thử nghiệm chi tiết cho hệ thống tường lửa phân tầng, thiết lập chính sách lọc gói tin chuyên sâu và xây dựng phương án mã hóa đầu cuối cho toàn bộ các dịch vụ thông tin nội bộ của công ty.

Giá trị tham khảo

Khóa luận là nguồn tài liệu hữu ích cho:

• Sinh viên các ngành Hệ thống thông tin kinh tế, Hệ thống thông tin quản lý, Quản trị mạng và Công nghệ thông tin: Có thể tham khảo phương pháp tiếp cận nghiên cứu trường hợp (case study), cách thức xây dựng bảng câu hỏi khảo sát thực trạng an ninh dữ liệu và quy trình phân tích hiện trạng hạ tầng CNTT tại một doanh nghiệp thương mại điện tử.
• Cán bộ quản trị HTTT và an ninh mạng tại các doanh nghiệp vừa và lớn: Có thể tham khảo các bài học thực tiễn về đánh giá rủi ro phần cứng máy chủ vật lý, mối nguy hại từ việc dùng Shared Hosting và tầm quan trọng của việc mã hóa dữ liệu xác thực nội bộ.
• Phần đáng tham khảo nhất trong văn bản: Bảng tổng hợp thực trạng thiết bị hạ tầng phần cứng, CSDL (SQL Server 2010), cùng bộ tiêu chí phân tích ưu - nhược điểm hệ thống an toàn thông tin tại Chương 2.

Câu hỏi thường gặp

1. Hạ tầng phần cứng máy chủ và quy mô máy trạm của VCCorp được ghi nhận trong nghiên cứu gồm những gì?
Toàn công ty làm việc tại 3 tầng với 500 máy tính, 100 máy trạm và 2 máy chủ. Máy chủ của hệ thống là dòng máy chủ vật lý HP Proliant ML150 G6 Hot plug SAS/SATA, mạng nội bộ sử dụng kết hợp mạng dây LAN và mạng không dây Wifi.

2. Kết quả hoạt động kinh doanh của VCCorp trong giai đoạn khảo sát (2013 - 2015) đạt mức tăng trưởng ra sao?
Doanh thu công ty tăng từ 150.179 triệu VND (năm 2013) lên 250.629 triệu VND (năm 2014, tăng 66,87%) và đạt 365.150 triệu VND (năm 2015, tăng 45,69%). Lợi nhuận sau thuế tương ứng tăng từ 70.943,75 triệu VND (năm 2013) lên 120.564,25 triệu VND (năm 2014) và đạt 159.919,25 triệu VND (năm 2015).

3. Khóa luận đã chỉ ra những rủi ro vật lý và kỹ thuật cụ thể nào trong công tác bảo mật CSDL tại VCCorp?
Nghiên cứu chỉ rõ máy chủ HP Proliant ML150 G6 có thùng máy nhỏ, linh kiện dễ nóng dẫn đến CPU quá tải và tự ngắt đột ngột; hệ thống thiếu bộ lưu điện (UPS); một số website sử dụng máy chủ dùng chung (Shared Hosting) dễ bị tấn công lây nhiễm; và mật khẩu hòm thư cũng như một số trang nội bộ truyền nhận dạng không mã hóa.

4. Khảo sát 15 nhân viên về giải pháp bảo mật cần làm đầu tiên cho kết quả như thế nào?
Giải pháp hệ thống tường lửa và bảo vệ chu vi mạng được lựa chọn nhiều nhất với 5 phiếu (tỷ lệ 33,33%); tiếp theo là giải pháp ứng dụng điện toán đám mây với 4 phiếu (26,67%); thiết kế hệ thống phát hiện, ngăn ngừa và an toàn mạng không dây đều đạt 3 phiếu (20,00%).

5. Hệ quản trị CSDL và các phần mềm ứng dụng chuyên môn nào đang được VCCorp vận hành?
VCCorp vận hành cơ sở dữ liệu trên hệ quản trị SQL Server 2010 phân chia theo các module tài chính, nhân sự, khách hàng, sản phẩm; các phần mềm nghiệp vụ gồm có Microsoft Office, Kaspersky, phần mềm kế toán Fast, phần mềm Inet SMS và phần mềm nhận diện chấm công vân tay Wise Eye V5.1.

Kết luận

Khóa luận tốt nghiệp đã hoàn thành việc hệ thống hóa các vấn đề lý luận về an toàn bảo mật CSDL và phân tích chi tiết thực trạng tại Công ty Cổ phần Truyền thông VCCorp giai đoạn 2013 - 2015. Bằng phương pháp điều tra phỏng vấn, khảo sát thực tế và phân tích tài liệu nội bộ, tác giả đã chỉ rõ những lỗ hổng kỹ thuật nghiêm trọng liên quan đến quá nhiệt máy chủ, rủi ro ngắt điện, sử dụng Shared Hosting và truyền nhận mật khẩu không mã hóa. Trên cơ sở đó, các giải pháp về thiết lập tường lửa phân quyền, nâng cấp máy chủ CSDL chuyên dụng, mã hóa dữ liệu và đào tạo nhận thức nhân lực được đề xuất đồng bộ nhằm nâng cao an toàn thông tin cho doanh nghiệp.

Trích đoạn nội dung tài liệu

CHƯƠNG 1. CƠ SỞ LÝ LUẬN VÀ THỰC TRẠNG AN TOÀN BẢO MẬT THÔNG TIN TẠI CÔNG TY CỔ PHẦN TRUYỀN THÔNG VCCORP 1.1 Khái niệm chung 1.1 Một số khái niệm cơ bản Dữ liệu: dữ liệu là những gì chúng ra thu thập được, đa phần là dữ liệu thô, chưa qua xử lý, tồn tại nhưng không có một ý nghĩa rõ ràng, bao gồm hai loại dữ liệu hữu dụng và dữ liệu không hữu dụng. Dữ liệu qua quá trình xử lý, phân tích và đánh giá trở thành thông tin phục vụ cho các mục đích khác nhau của con người. Thông tin: “Thông tin là ý nghĩa được rút ra từ dữ liệu thông qua quá trình xử lý (phân tích, tổng hợp,…), phù hợp với mục đích của người sử dụng.

Nói cách khác, thông tin là những dữ liệu đã được xử lý sao cho nó thực sự có ý nghĩa với người sử dụng” [Bài giảng Hệ thống thông tin quản lý, Bộ môn CNTT, Đại học Thương mại].đến một sự kiện, hiện tượng thực tế trong hoàn cảnh cụ thể. Cơ sở dữ liệu (CSDL): cơ sở dữ liệu là tập hợp dữ liệu tương quan có tổ chức được lưu trữ trên các phương tiện lưu trữ như đĩa từ, băng từ v.v nhằm thỏa mãn các yêu cầu khai thác thông tin (đồng thời) của nhiều người sử dụng và của nhiều chương trình ứng dụng. An toàn dữ liệu: một hệ thống thông tin được coi là an toàn khi thông tin không bị sửa đổi, sao chép hoặc xóa bỏ bởi người không được phép. Như vậy, an toàn dữ liệu chính là việc bảo vệ được thông tin trong CSDL tránh được những truy cập trái phép đến CSDL, từ đó có thể thay đổi hay suy diễn nội dung thông tin CSDL.

Hệ thống thông tin: HTTT là một tập hợp và kết hợp của các phần cứng, phần 11 mềm và các hệ mạng truyền thông được xây dựng và sử dụng để thu thập, tạo, tái tạo, phân phối và chia sẻ các dữ liệu, thông tin và tri thức nhằm phục vụ các mục tiêu của tổ chức.2 Một số lý thuyết của vấn đề nghiên cứu 1.1 khái niệm và vai trò của bảo mật CSDL Bảo mật cơ sở dữ liệu: là duy trì tính bí mật, tính trọn vẹn và tính sẵn sàng của dữ liệu. Hệ thống thông tin được coi là bảo mật nếu tính riêng tư của nội dung dữ liệu được đảm bảo theo đúng các tiêu chí trong một thời gian xác định Vai trò an toàn và bảo mật CSDL an toàn và bảo mật CSDL có vai trò quan trọng đối với sự phát triển bền vững của các doanh nghiệp vì: thông tin là tài sản vô giá của các doanh nghiệp, rủi ro về thông tin của mỗi doanh nghiệp có thể gây thất thoát tiền bạc, tài sản, con người, gây thiệt hại đến hoạt động kinh doanh, sản xuất của doanh nghiệp, rủi ro thông tin doanh nghiệp ảnh hưởng đên uy tín và sự phát triển của doanh nghiệp nhưng lại là vấn đề rất khó tránh khỏi. An toàn và bảo mật không phải công việc riêng người làm CNTT mà là của mọi cá nhân và đơn vị trong tổ chức doanh nghiệp. Ngày nay, máy tính được phát triển với tốc độ rất nhanh để đáp ứng nhiều yêu cầu của người dùng, các phiên bản được phát hành liên tục với các tính năng mới được thêm vào ngày càng nhiều, điều này làm cho các phần mềm không được kiểm tra kỹ trước khi phát hành và bên trong chúng chứa rất nhiều lỗ hổng có thể dễ dàng bị lợi dụng.

Thêm vào đó là việc phát triển của hệ thống mạng, cũng như sự phân tán của hệ thống thông tin, làm cho người dùng truy cập thông tin dễ dàng hơn và tin tặc cũng có nhiều mục tiêu tấn công dễ dàng hơn.2 Những yêu cầu bảo mật 12 - Tính bảo mật Trong an toàn dữ liệu, bảo mật là yêu cầu đảm bảo cho dữ liệu của người sử dụng phải được bảo vệ, không bị mất mát vào những người không được phép. Nói khác đi là phải đảm bảo được ai là người được phép sử dụng ( và sử dụng được) các thông tin (theo sự phân loại mật của thông tin). Thông tin đạt được tính bảo mật khi nó không bị truy nhập, sao chép hay sử dụng trái phép bởi một người không sử hữu. Trên thực tế, rất nhiều thông tin cá nhân của người sử dụng đều cần phải đạt được độ bảo mật cao chẳng hạn như mã số thẻ tín dụng, số thẻ bảo hiểm xã hội,….vì vậy đây có thể nói là yêu cầu quan trọng nhất đối với tính an toàn của hệ thống thông tin.

- Tính toàn vẹn Trong an toàn dữ liệu, tính toàn vẹn có nghĩa là dữ liệu không bị tạo ra, sửa đổi hay xóa bởi những người không sở hữu. Tính toàn vẹn đề cập đến khả năng đảm bảo cho các thông tin không bị thay đổi nội dung bằng bất cứ cách nào bởi người không được phép trong quá trình truyền thông. 13 Chính sách toàn vẹn dữ liệu phải đảm bảo cho ai là người được phép thay đổi dữ liệu và ai là người không được phép thay đổi dữ liệu. Dữ liệu trên thực tế có thể vi phạm tính toàn vẹn khi một hệ thống không đạt được độ an toàn cần thiết.

Chẳng hạn một hệ quản trị CSDL xây dựng kếm có thể gây mất mát dữ liệu trong trường hợp mất điện đột ngột. Các hành động phá hoại cũng có thể gây ra mất tính toàn vẹn của dữ liệu. - Tính sẵn sàng Tuy dữ liệu phải được đảm bảo bí mật và toàn vẹn nhưng đối với người sử dụng, dữ liệu phải luôn trong trạng thái sẵn sàng. Các biện pháp bảo mật làm cho người sử dụng gặp khó khăn hay không thể thao tác được với dữ liệu đều không thể được chấp nhận.

nói khác đi, các biện pháp đảm bảo an toàn dữ liệu phải đảm bảo được sự bảo mật và toàn vẹn của dữ liệu đồng thời cũng phải hạn chế tối đa những khó khăn gây ra cho người sử dụng thật sự. Dữ liệu và tài nguyên của hệ thống phải luôn ở trong tình trạng sẵn sàng phuc vụ bất cứ lúc nào đối với những người dùng có thẩm quyền sử dụng một cách thuận lợi. - Tính tin cậy Yêu cầu về tính tin cậy liên quan đến khả năng đảm bảo rằng, ngoài những người có quyền, không ai có thể xem các thông điệp và truy cập những dữ liệu có giá trị. Mặt khác, nó phải đảm bảo rằng thông tin mà người dùng nhận được là đúng với sự mong muốn của họ, chưa hề bị mất mát hay bị lọt vào tay những người không được phép.Việc đánh giá độ an toàn của một hệ thống thông tin phải xem xét đến tất cả những yếu tố trên.

Nếu thiếu một trong số đó thì độ bảo mật của hệ thống là không hoàn thiện.3 Các yêu cầu bảo vệ CSDL Bảo vệ chống truy cập trái phép: Đây là một vấn đề cơ bản, bao gồm trao quyền 14 nhập CSDL cho người dùng hợp pháp. Yêu cầu truy cập của ứng dụng, hoặc người dùng phải được database management system (DBMS) kiểm tra. Kiểm soát truy nhập CSDL phức tạp hơn truy nhập file. việc kiểm soat cần tiến hành trên các đối tượng dữ liệu thấp hơn mức file.

Dữ liệu trong cơ sở dữ liệu thường có quan hệ với nhau về ngữ nghĩa, do đó cho phép người sử dụng có thể biết được giá trị của dữ liệu mà không cần truy cập trực tiếp, bằng cách suy diễn bằng các từ đã biết Bảo vệ chống suy diễn: Suy diễn là khả năng có được các thông tin bí mật từ những thông tin không bí mật. Đặc biệt suy diễn ảnh hưởng đến các CSDL thống kê, trong đó người dùng không được phép dò xét thông tin của các cá thê khác từ các dữ liệu thống kê Bảo bảo vệ toàn vẹn CSDL: Yêu cầu này bảo vệ CSDL khỏi các truy cập trái phép mà có thể dẫn đến việc thay đổi nội dung dữ liệu. Các lỗi, viruts, hỏng hóc trong hệ thống có thể gây hỏng dữ liệu. DMBS đưa ra các dạng bảo mật náy, thông qua các kiểm soát về sự đúng đắn của hệ thống, các thủ tục sao lưu, phục hồi và thủ tục an toàn đặc biệt.

Để duy trì tính tương thích của CSDL, mỗi giao thức phải là một đơn vị tính toán tin cạy và tương thích Toàn vẹn các thao tác: Yêu cầu này đảm bảo tính tương thích logic của dữ liệu khi có nhiều giao tác thực hiện đồng thời mà không làm ảnh hưởng đến tính tương thích của CSDL và vấn đề này được giả quyết bằng các kỹ thuật khóa Toàn vẹn ngữ nghĩa của dữ liệu liệu: Yêu cầu này đảm bảo tính tương thích logic của dữ liệu bị thay đổi, bằng cách kiểm tra các giá trị dữ liệu nằm trong khoảng cho phép hay không. Các hạn chế được biểu diễn như là các ràng buộc toàn vẹn. Các ràng buộc có thể được xác định trên toàn bộ CSDL hoặc là cho một số thao tác Khả năng lưu viết và kiểm tra : Yêu cầu này bao gồm khả năng ghi lại mọi truy 15 cập tới dữ liệu.Khả năng kiểm tra và lưu viết đảm bảo tính dữ liệu vật lý và trợ giúp cho việc phân tích dãy truy cập vào CSDL Xác thực người dùng : yêu cầu này thực sự cần thiết để xác định tính duy nhất của người dùng. Định danh người dùng làm cơ sở cho việc trao quyền.

Người dùng trái 1.4 Các nhân tố ảnh hưởng đến hiệu quả an toàn và bảo mật dữ liệu HTTT trong doanh nghiệp HTTT hoạt động hiệu quả chịu sự tác động của nhiều yếu tố, từ cả môi trường bên trong và môi trường bên ngoài, môi trường vĩ mô và môi trường vi mô. Nhưng có các yếu tố chính là: Yếu tố con người và yếu tố công nghệ, cơ sở hạ tầng, chính sách và luật CNTT,ảnh hưởng mạnh mẽ đến các hoạt động đảm bảo an toàn dữ liệu cho HTTT trong doanh nghiệp Con người: Là yếu tố quyết định sự thành công trong tiến trình kiến tạo hệ thống và tính hữu hiệu của hệ thống trong tiến trình khai thác vận hành. Người quản lý HTTT đóng một vai trò quan trọng về phương diện công nghệ trong các tổ chức. Người quản lý HTTT đảm nhiệm hầu hết mọi công việc từ việc lập nên những kế hoạch cho đến việc giám sát an ninh của hệ thống và điều khiển sự vận hành của mạng lưới thông tin quản lý.

Những người quản lý HTTT máy tính phân công công việc cho những người phân tích hệ thống, các lập trình viên, các chuyên gia hỗ trợ và những nhân viên khác có liên quan.