CHƯƠNG 1. CƠ SỞ LÝ LUẬN VÀ THỰC TRẠNG AN TOÀN BẢO MẬT THÔNG TIN TẠI CÔNG TY CỔ PHẦN TRUYỀN THÔNG VCCORP 1.1 Khái niệm chung 1.1 Một số khái niệm cơ bản Dữ liệu: dữ liệu là những gì chúng ra thu thập được, đa phần là dữ liệu thô, chưa qua xử lý, tồn tại nhưng không có một ý nghĩa rõ ràng, bao gồm hai loại dữ liệu hữu dụng và dữ liệu không hữu dụng. Dữ liệu qua quá trình xử lý, phân tích và đánh giá trở thành thông tin phục vụ cho các mục đích khác nhau của con người. Thông tin: “Thông tin là ý nghĩa được rút ra từ dữ liệu thông qua quá trình xử lý (phân tích, tổng hợp,…), phù hợp với mục đích của người sử dụng.
Nói cách khác, thông tin là những dữ liệu đã được xử lý sao cho nó thực sự có ý nghĩa với người sử dụng” [Bài giảng Hệ thống thông tin quản lý, Bộ môn CNTT, Đại học Thương mại].đến một sự kiện, hiện tượng thực tế trong hoàn cảnh cụ thể. Cơ sở dữ liệu (CSDL): cơ sở dữ liệu là tập hợp dữ liệu tương quan có tổ chức được lưu trữ trên các phương tiện lưu trữ như đĩa từ, băng từ v.v nhằm thỏa mãn các yêu cầu khai thác thông tin (đồng thời) của nhiều người sử dụng và của nhiều chương trình ứng dụng. An toàn dữ liệu: một hệ thống thông tin được coi là an toàn khi thông tin không bị sửa đổi, sao chép hoặc xóa bỏ bởi người không được phép. Như vậy, an toàn dữ liệu chính là việc bảo vệ được thông tin trong CSDL tránh được những truy cập trái phép đến CSDL, từ đó có thể thay đổi hay suy diễn nội dung thông tin CSDL.
Hệ thống thông tin: HTTT là một tập hợp và kết hợp của các phần cứng, phần 11 mềm và các hệ mạng truyền thông được xây dựng và sử dụng để thu thập, tạo, tái tạo, phân phối và chia sẻ các dữ liệu, thông tin và tri thức nhằm phục vụ các mục tiêu của tổ chức.2 Một số lý thuyết của vấn đề nghiên cứu 1.1 khái niệm và vai trò của bảo mật CSDL Bảo mật cơ sở dữ liệu: là duy trì tính bí mật, tính trọn vẹn và tính sẵn sàng của dữ liệu. Hệ thống thông tin được coi là bảo mật nếu tính riêng tư của nội dung dữ liệu được đảm bảo theo đúng các tiêu chí trong một thời gian xác định Vai trò an toàn và bảo mật CSDL an toàn và bảo mật CSDL có vai trò quan trọng đối với sự phát triển bền vững của các doanh nghiệp vì: thông tin là tài sản vô giá của các doanh nghiệp, rủi ro về thông tin của mỗi doanh nghiệp có thể gây thất thoát tiền bạc, tài sản, con người, gây thiệt hại đến hoạt động kinh doanh, sản xuất của doanh nghiệp, rủi ro thông tin doanh nghiệp ảnh hưởng đên uy tín và sự phát triển của doanh nghiệp nhưng lại là vấn đề rất khó tránh khỏi. An toàn và bảo mật không phải công việc riêng người làm CNTT mà là của mọi cá nhân và đơn vị trong tổ chức doanh nghiệp. Ngày nay, máy tính được phát triển với tốc độ rất nhanh để đáp ứng nhiều yêu cầu của người dùng, các phiên bản được phát hành liên tục với các tính năng mới được thêm vào ngày càng nhiều, điều này làm cho các phần mềm không được kiểm tra kỹ trước khi phát hành và bên trong chúng chứa rất nhiều lỗ hổng có thể dễ dàng bị lợi dụng.
Thêm vào đó là việc phát triển của hệ thống mạng, cũng như sự phân tán của hệ thống thông tin, làm cho người dùng truy cập thông tin dễ dàng hơn và tin tặc cũng có nhiều mục tiêu tấn công dễ dàng hơn.2 Những yêu cầu bảo mật 12 - Tính bảo mật Trong an toàn dữ liệu, bảo mật là yêu cầu đảm bảo cho dữ liệu của người sử dụng phải được bảo vệ, không bị mất mát vào những người không được phép. Nói khác đi là phải đảm bảo được ai là người được phép sử dụng ( và sử dụng được) các thông tin (theo sự phân loại mật của thông tin). Thông tin đạt được tính bảo mật khi nó không bị truy nhập, sao chép hay sử dụng trái phép bởi một người không sử hữu. Trên thực tế, rất nhiều thông tin cá nhân của người sử dụng đều cần phải đạt được độ bảo mật cao chẳng hạn như mã số thẻ tín dụng, số thẻ bảo hiểm xã hội,….vì vậy đây có thể nói là yêu cầu quan trọng nhất đối với tính an toàn của hệ thống thông tin.
- Tính toàn vẹn Trong an toàn dữ liệu, tính toàn vẹn có nghĩa là dữ liệu không bị tạo ra, sửa đổi hay xóa bởi những người không sở hữu. Tính toàn vẹn đề cập đến khả năng đảm bảo cho các thông tin không bị thay đổi nội dung bằng bất cứ cách nào bởi người không được phép trong quá trình truyền thông. 13 Chính sách toàn vẹn dữ liệu phải đảm bảo cho ai là người được phép thay đổi dữ liệu và ai là người không được phép thay đổi dữ liệu. Dữ liệu trên thực tế có thể vi phạm tính toàn vẹn khi một hệ thống không đạt được độ an toàn cần thiết.
Chẳng hạn một hệ quản trị CSDL xây dựng kếm có thể gây mất mát dữ liệu trong trường hợp mất điện đột ngột. Các hành động phá hoại cũng có thể gây ra mất tính toàn vẹn của dữ liệu. - Tính sẵn sàng Tuy dữ liệu phải được đảm bảo bí mật và toàn vẹn nhưng đối với người sử dụng, dữ liệu phải luôn trong trạng thái sẵn sàng. Các biện pháp bảo mật làm cho người sử dụng gặp khó khăn hay không thể thao tác được với dữ liệu đều không thể được chấp nhận.
nói khác đi, các biện pháp đảm bảo an toàn dữ liệu phải đảm bảo được sự bảo mật và toàn vẹn của dữ liệu đồng thời cũng phải hạn chế tối đa những khó khăn gây ra cho người sử dụng thật sự. Dữ liệu và tài nguyên của hệ thống phải luôn ở trong tình trạng sẵn sàng phuc vụ bất cứ lúc nào đối với những người dùng có thẩm quyền sử dụng một cách thuận lợi. - Tính tin cậy Yêu cầu về tính tin cậy liên quan đến khả năng đảm bảo rằng, ngoài những người có quyền, không ai có thể xem các thông điệp và truy cập những dữ liệu có giá trị. Mặt khác, nó phải đảm bảo rằng thông tin mà người dùng nhận được là đúng với sự mong muốn của họ, chưa hề bị mất mát hay bị lọt vào tay những người không được phép.Việc đánh giá độ an toàn của một hệ thống thông tin phải xem xét đến tất cả những yếu tố trên.
Nếu thiếu một trong số đó thì độ bảo mật của hệ thống là không hoàn thiện.3 Các yêu cầu bảo vệ CSDL Bảo vệ chống truy cập trái phép: Đây là một vấn đề cơ bản, bao gồm trao quyền 14 nhập CSDL cho người dùng hợp pháp. Yêu cầu truy cập của ứng dụng, hoặc người dùng phải được database management system (DBMS) kiểm tra. Kiểm soát truy nhập CSDL phức tạp hơn truy nhập file. việc kiểm soat cần tiến hành trên các đối tượng dữ liệu thấp hơn mức file.
Dữ liệu trong cơ sở dữ liệu thường có quan hệ với nhau về ngữ nghĩa, do đó cho phép người sử dụng có thể biết được giá trị của dữ liệu mà không cần truy cập trực tiếp, bằng cách suy diễn bằng các từ đã biết Bảo vệ chống suy diễn: Suy diễn là khả năng có được các thông tin bí mật từ những thông tin không bí mật. Đặc biệt suy diễn ảnh hưởng đến các CSDL thống kê, trong đó người dùng không được phép dò xét thông tin của các cá thê khác từ các dữ liệu thống kê Bảo bảo vệ toàn vẹn CSDL: Yêu cầu này bảo vệ CSDL khỏi các truy cập trái phép mà có thể dẫn đến việc thay đổi nội dung dữ liệu. Các lỗi, viruts, hỏng hóc trong hệ thống có thể gây hỏng dữ liệu. DMBS đưa ra các dạng bảo mật náy, thông qua các kiểm soát về sự đúng đắn của hệ thống, các thủ tục sao lưu, phục hồi và thủ tục an toàn đặc biệt.
Để duy trì tính tương thích của CSDL, mỗi giao thức phải là một đơn vị tính toán tin cạy và tương thích Toàn vẹn các thao tác: Yêu cầu này đảm bảo tính tương thích logic của dữ liệu khi có nhiều giao tác thực hiện đồng thời mà không làm ảnh hưởng đến tính tương thích của CSDL và vấn đề này được giả quyết bằng các kỹ thuật khóa Toàn vẹn ngữ nghĩa của dữ liệu liệu: Yêu cầu này đảm bảo tính tương thích logic của dữ liệu bị thay đổi, bằng cách kiểm tra các giá trị dữ liệu nằm trong khoảng cho phép hay không. Các hạn chế được biểu diễn như là các ràng buộc toàn vẹn. Các ràng buộc có thể được xác định trên toàn bộ CSDL hoặc là cho một số thao tác Khả năng lưu viết và kiểm tra : Yêu cầu này bao gồm khả năng ghi lại mọi truy 15 cập tới dữ liệu.Khả năng kiểm tra và lưu viết đảm bảo tính dữ liệu vật lý và trợ giúp cho việc phân tích dãy truy cập vào CSDL Xác thực người dùng : yêu cầu này thực sự cần thiết để xác định tính duy nhất của người dùng. Định danh người dùng làm cơ sở cho việc trao quyền.
Người dùng trái 1.4 Các nhân tố ảnh hưởng đến hiệu quả an toàn và bảo mật dữ liệu HTTT trong doanh nghiệp HTTT hoạt động hiệu quả chịu sự tác động của nhiều yếu tố, từ cả môi trường bên trong và môi trường bên ngoài, môi trường vĩ mô và môi trường vi mô. Nhưng có các yếu tố chính là: Yếu tố con người và yếu tố công nghệ, cơ sở hạ tầng, chính sách và luật CNTT,ảnh hưởng mạnh mẽ đến các hoạt động đảm bảo an toàn dữ liệu cho HTTT trong doanh nghiệp Con người: Là yếu tố quyết định sự thành công trong tiến trình kiến tạo hệ thống và tính hữu hiệu của hệ thống trong tiến trình khai thác vận hành. Người quản lý HTTT đóng một vai trò quan trọng về phương diện công nghệ trong các tổ chức. Người quản lý HTTT đảm nhiệm hầu hết mọi công việc từ việc lập nên những kế hoạch cho đến việc giám sát an ninh của hệ thống và điều khiển sự vận hành của mạng lưới thông tin quản lý.
Những người quản lý HTTT máy tính phân công công việc cho những người phân tích hệ thống, các lập trình viên, các chuyên gia hỗ trợ và những nhân viên khác có liên quan.