Khóa Luận: Giải Pháp An Toàn Bảo Mật HTTT CyberSoft - ĐH Thương Mại

Tìm hiểu các giải pháp an toàn bảo mật hệ thống thông tin toàn diện giúp bảo vệ doanh nghiệp trước mọi rủi ro và tấn công an ninh mạng.

• Tác giả: Nguyễn Thị Ngọc Ánh
• Trường học: Trường Đại học Thương mại
• Chuyên ngành: Hệ thống thông tin - Thương mại điện tử
• Đề tài: Một Số Giải Pháp Đảm Bảo An Toàn Bảo Mật Hệ Thống Thông Tin Cho Công Ty Cổ Phần Phần Mềm Quản Trị Doanh Nghiệp Cybersoft
• Loại tài liệu: Khóa luận tốt nghiệp
• Năm xuất bản: 2022
• Địa điểm: Hà Nội

Mục lục chi tiết

• DANH MỤC TỪ VIẾT TẮT
• PHẦN MỞ ĐẦU
• Tầm quan trọng, ý nghĩa của vấn đề an toàn bảo mật cho hệ thống thông tin doanh nghiệp
• Tầm quan trọng
• Mục tiêu và nhiệm vụ của đề tài
• Đối tượng và phạm vi của đề tài
• Đối tượng nghiên cứu
• Phạm vi nghiên cứu
• Phương pháp nghiên cứu
• Khía niệm phương pháp nghiên cứu
• Phương pháp thu thập dữ liệu
• Phương pháp xử lý dữ liệu
• Kết cấu của khóa luận
• 1. CHƯƠNG I: CƠ SỞ LÝ LUẬN CỦA AN TOÀN BẢO MẬT HỆ THỐNG THÔNG TIN
• 1.1. Những khái niệm cơ bản
• 1.2. Một số lý thuyết về vấn đề nghiên cứu
• 1.2.1. Khái niệm an toàn và bảo mật thông tin
• 1.2.2. Các hình thức tấn công dữ liệu trong thương mại điện tử
• 1.2.3. Các phương pháp phòng tránh, khắc phục hậu quả và công cụ để đảm bảo an toàn bảo mật thông tin
• 1.2.4. Các nhân tố ảnh hưởng đến hiệu quả an toàn, bảo mật HTTT
• 1.2.4.1. Lựa chọn công cụ an toàn bảo mật
• 1.2.4.2. Hoạch định ngân sách an toàn bảo mât
• 1.2.5. Những tác động cụ thể của những công cụ an toàn, bảo mật đối với HTTT doanh nghiệp
• 1.3. Tổng quan vấn đề nghiên cứu
• 1.3.1. Tình hình nghiên cứu trong nước
• 1.3.2. Tình hình nghiên cứu ngoài nước
• 2. CHƯƠNG II: KẾT QUẢ NGHIÊN CỨU VÀ ĐÁNH GIÁ THỰC TRẠNG VỀ AN TOÀN BẢO MẬT TẠI CÔNG TY CỔ PHẨN PHẦN MỀM QUẢN TRỊ CYBERSOFT
• 2.1. Tổng quan về công ty
• 2.2. Khái quát hoạt động sản xuất kinh doanh của công ty CYBERSOFT
• 2.3. Thực trạng của vấn đề nghiên cứu
• 2.3.1. Trang thiết bị phần cứng
• 2.3.2. Trang thiết bị phần mềm
• 2.3.3. Cơ sở hạ tầng HTTT trong doanh nghiệp
• 2.3.4. Quy trình xử lý thông tin
• 2.3.4.1. Trình độ nguồn nhân lực của công ty
• 2.3.4.2. Hình thức đào tạo nguồn nhân lực ATBM HTTT
• 2.3.4.3. Mức độ thỏa dụng về thiết bị máy tính, phần mềm ATBM phục vụ trong công việc
• 2.3.4.4. Cách thức bảo vệ CSDL trong công ty
• 2.3.4.5. Những phần mềm công ty đang sử dụng có được từ đâu
• 2.3.4.6. Tần suất sao lưu dữ liệu của công ty
• 2.3.4.7. Tầm quan trọng của ATBM HTTT đối với công ty
• 2.3.4.8. Trở ngại khi phát triển ATBM HTTT của công ty
• 2.4. Đánh giá thực trạng an toàn bảo mật HTTT tại công ty CYBERSOFT
• 3. CHƯƠNG III: ĐỊNH HƯỚNG PHÁT TRIỂN VÀ ĐỀ XUẤT GIẢI PHÁP AN TOÀN BẢO MẬT HTTT TẠI CÔNG TY CỔ PHẦN PHẦN MỀM QUẢN TRỊ CYBERSOFT
• 3.1. Định hướng về ATBM HTTT của công ty cổ phần phần mềm quản trị CYBERSOFT
• 3.2. Giải pháp bảo đảm an toàn bảo mật HTTT
• 3.2.1. Giải pháp phân quyền bảo mật
• 3.2.2. Giải pháp đào tạo năng lực nguồn nhân lực
• 3.2.3. Giải pháp về tấn công mã độc
• 3.2.4. Giải pháp phòng chống tấn công trên thiết bị IoT
• 3.2.5. Giải pháp bảo mật kênh truyền dữ liệu
• 3.3. Một số kiến nghị
• 3.3.1. Phần mềm về phân quyền
• 3.3.2. Phần mềm quét mã độc
• 3.3.3. Chế độ bảo mật WPA3
• TÀI LIỆU THAM KHẢO

Tóm tắt

I. Giải pháp An Toàn Bảo Mật Hệ Thống Thông Tin Nền tảng doanh nghiệp trong kỷ nguyên số

Trong bối cảnh cách mạng công nghiệp 4.0, hệ thống thông tin đóng vai trò xương sống cho mọi hoạt động của doanh nghiệp, từ quản lý sản xuất đến tương tác với khách hàng. Tuy nhiên, sự phụ thuộc ngày càng tăng vào công nghệ cũng đi kèm với vô số thách thức về an toàn bảo mật hệ thống thông tin. Một giải pháp an toàn bảo mật hệ thống thông tin toàn diện không chỉ là một lựa chọn mà đã trở thành yêu cầu sống còn để bảo vệ tài sản thông tin quý giá của tổ chức. Thiếu đi an ninh mạng vững chắc, doanh nghiệp đối mặt với nguy cơ mất mát dữ liệu, gián đoạn hoạt động, thiệt hại về uy tín và tài chính nghiêm trọng. Điều này đặt ra một nhu cầu cấp thiết về việc xây dựng, duy trì và nâng cấp các cơ chế phòng thủ hiệu quả.

Theo tài liệu nghiên cứu, an toàn bảo mật hệ thống thông tin bao gồm việc duy trì tính bảo mật, tính toàn vẹn và tính sẵn sàng của thông tin (CIA Triad). Tính bảo mật đảm bảo chỉ những cá nhân được cấp quyền mới có thể truy cập thông tin, ngăn chặn sự rò rỉ hoặc đánh cắp tài sản giá trị. Tính toàn vẹn giữ cho thông tin luôn chính xác, không bị sửa đổi trái phép, giúp người dùng tin cậy vào dữ liệu đang làm việc. Cuối cùng, tính sẵn sàng cam kết thông tin luôn có thể được truy cập và sử dụng khi cần, đảm bảo hoạt động liên tục của hệ thống. Những yêu cầu này đòi hỏi một cách tiếp cận đa chiều, kết hợp giữa công nghệ tiên tiến, quy trình chặt chẽ và yếu tố con người. Việc triển khai một giải pháp an toàn bảo mật hệ thống thông tin không chỉ là đầu tư vào phần mềm hay phần cứng mà còn là đầu tư vào nhận thức và năng lực của toàn bộ đội ngũ nhân sự. Chỉ khi cả ba yếu tố này được cân bằng và phát triển đồng bộ, doanh nghiệp mới có thể đạt được một cấp độ bảo mật dữ liệu vững chắc, sẵn sàng đối phó với các mối đe dọa ngày càng tinh vi từ môi trường mạng.

Đề tài nghiên cứu của Nguyễn Thị Ngọc Ánh (2022) về giải pháp đảm bảo an toàn bảo mật HTTT cho Công ty Cổ phần Phần mềm Quản trị Doanh nghiệp CYBERSOFT nhấn mạnh tầm quan trọng của việc này, đồng thời đặt ra mục tiêu hệ thống hóa lý thuyết, đánh giá thực trạng và đề xuất các giải pháp nâng cao tính an toàn bảo mật hệ thống thông tin. Điều này cho thấy sự cấp thiết của việc bảo vệ thông tin trong mọi loại hình doanh nghiệp, đặc biệt là các công ty hoạt động trong lĩnh vực công nghệ. Tóm lại, việc xây dựng và duy trì một giải pháp an toàn bảo mật hệ thống thông tin mạnh mẽ là nhiệm vụ chiến lược, đảm bảo sự phát triển bền vững và khả năng cạnh tranh của doanh nghiệp trong kỷ nguyên số.

1.1. Khái niệm cốt lõi về An toàn và Bảo mật thông tin trong bối cảnh hiện đại

Trong lĩnh vực công nghệ thông tin, việc hiểu rõ các khái niệm cơ bản là nền tảng để triển khai hiệu quả một giải pháp an toàn bảo mật hệ thống thông tin. Thông tin là sự thông báo, trao đổi, giải thích về một đối tượng cụ thể, mang lại sự hiểu biết nhất định. Hệ thống thông tin (HTTT) là tập hợp các thành phần như phần cứng, phần mềm và cơ sở dữ liệu, được thiết lập để thu thập, xử lý, lưu trữ và trao đổi thông tin trên mạng (Luật an toàn thông tin mạng 2015). An toàn thông tin là hành động ngăn chặn việc sử dụng, truy cập, tiết lộ, phá hủy thông tin trái phép. Về phần bảo mật thông tin, nó mở rộng hơn, duy trì tính bảo mật, tính toàn vẹn và tính sẵn sàng cho toàn bộ thông tin. Tính bảo mật đảm bảo thông tin chỉ dành cho người được cấp quyền, là tài sản giá trị hàng đầu của doanh nghiệp. Tính toàn vẹn bảo vệ HTTT khỏi sự sửa đổi không được phép, đảm bảo dữ liệu luôn đúng và đáng tin cậy. Tính sẵn sàng nhấn mạnh khả năng truy cập thông tin mọi lúc, mọi nơi khi cần thiết. Một HTTT được coi là bảo mật khi đáp ứng đầy đủ các tiêu chí này. Theo tài liệu, việc bảo vệ thông tin và dữ liệu ngày càng cấp bách, đặc biệt trong môi trường thương mại điện tử nơi các giao dịch từ xa dễ bị lừa đảo và mất mát tài sản. Do đó, việc áp dụng các giải pháp an toàn bảo mật hệ thống thông tin là vô cùng cần thiết để bảo vệ dữ liệu và hoạt động kinh doanh.

1.2. Tầm quan trọng chiến lược của An toàn Bảo mật Hệ thống Thông tin với sự phát triển doanh nghiệp

Trong môi trường kinh doanh số hóa, an toàn bảo mật hệ thống thông tin đã trở thành yếu tố then chốt quyết định sự thành bại của doanh nghiệp. Nhu cầu bảo vệ thông tin không chỉ phát sinh từ việc lưu trữ và xử lý mà còn từ việc thông tin được xem là một loại tư liệu sản xuất có giá trị cao. Việc đảm bảo an toàn bảo mật hệ thống thông tin cần được cân nhắc xuyên suốt quá trình thiết kế, thi công, vận hành và bảo dưỡng HTTT. Nếu một HTTT không được bảo vệ đầy đủ, doanh nghiệp có thể phải đối mặt với các sự cố nghiêm trọng như tấn công mạng, rò rỉ dữ liệu khách hàng, mất bí mật kinh doanh, hoặc gián đoạn dịch vụ. Những hậu quả này không chỉ gây thiệt hại tài chính mà còn hủy hoại danh tiếng, lòng tin của khách hàng và đối tác. Đối với các doanh nghiệp như CYBERSOFT, chuyên về phần mềm quản trị, việc bảo mật dữ liệu khách hàng và thông tin nội bộ càng trở nên tối quan trọng. Bất kỳ lỗ hổng nào cũng có thể bị tin tặc khai thác, gây ra tổn thất không thể lường trước. Vì vậy, việc triển khai một giải pháp an toàn bảo mật hệ thống thông tin toàn diện là một chiến lược đầu tư mang tính dài hạn, giúp doanh nghiệp duy trì hoạt động ổn định, tuân thủ các quy định pháp luật (như GDPR, ISO 27001), và tạo dựng lợi thế cạnh tranh trên thị trường. Việc này cũng góp phần nâng cao năng lực ứng phó sự cố và khả năng phục hồi sau thảm họa.

II. Thách thức lớn Nguy cơ Tấn công mạng Bảo vệ Giải pháp An toàn Bảo mật Hệ thống Thông tin

Môi trường kỹ thuật số ngày nay ẩn chứa vô số thách thức và nguy cơ tấn công mạng có thể làm suy yếu bất kỳ giải pháp an toàn bảo mật hệ thống thông tin nào. Sự phát triển mạnh mẽ của công nghệ thông tin đồng nghĩa với sự gia tăng về số lượng và mức độ tinh vi của các cuộc tấn công. Theo tài liệu, các mối đe dọa này được phân loại thành nguyên nhân khách quan và chủ quan, mỗi loại đều tiềm ẩn khả năng gây ra thiệt hại nghiêm trọng cho hệ thống thông tin của doanh nghiệp. Nguyên nhân khách quan bao gồm các thảm họa tự nhiên như động đất, hỏa hoạn, mất điện hoặc sự cố sụp đổ hệ thống đột ngột. Mặc dù khó kiểm soát hoàn toàn, doanh nghiệp vẫn có thể giảm thiểu rủi ro thông qua các kế hoạch phục hồi sau thảm họa và sao lưu dữ liệu định kỳ. Tuy nhiên, nhóm nguyên nhân chủ quan, xuất phát từ hành vi tấn công có chủ đích, lại là thách thức phức tạp hơn nhiều, đòi hỏi một chiến lược bảo mật chủ động và linh hoạt.

Các hình thức tấn công chủ quan rất đa dạng, từ tấn công xã hội (Social Engineering) lợi dụng sự bất cẩn của con người, đến tấn công phần mềm nhắm vào lỗ hổng của ứng dụng, hệ điều hành, hay tấn công phần cứng nhằm phá hủy các thiết bị vật lý. Trong bối cảnh thương mại điện tử, các cuộc tấn công lấy cắp dữ liệu hoặc thay đổi dữ liệu trái phép đang ngày càng phổ biến. Tấn công thụ động, ví dụ như Phishing Attack (tấn công giả mạo) hay việc cài đặt Key logger, đánh cắp thông tin trên đường truyền mà không làm thay đổi dữ liệu, rất khó phát hiện và phòng tránh. Ngược lại, tấn công chủ động can thiệp trực tiếp vào dữ liệu để sửa đổi hoặc làm lệch hướng, tuy nguy hiểm nhưng dễ phát hiện hơn. Một loại hình tấn công khác là tấn công từ chối dịch vụ (DoS/DDoS), làm quá tải hệ thống và gây gián đoạn hoạt động, gây ra thiệt hại đáng kể về tài chính và uy tín. Bên cạnh đó, các phần mềm độc hại như virus, trojan luôn là mối đe dọa thường trực, khai thác lỗ hổng bảo mật trong phần mềm ứng dụng hoặc sử dụng các kỹ thuật phi kỹ thuật để lây lan và đánh cắp thông tin. Đối với một công ty phần mềm như CYBERSOFT, việc thường xuyên tiếp xúc với môi trường website và Internet khiến họ trở thành mục tiêu hấp dẫn cho các tin tặc. Việc nhận diện và hiểu rõ các mối đe dọa này là bước đầu tiên để xây dựng một giải pháp an toàn bảo mật hệ thống thông tin hiệu quả và kiên cường trước mọi rủi ro.

Kết quả khảo sát tại Công ty Cổ phần Phần mềm Quản trị Doanh nghiệp CYBERSOFT cho thấy, mặc dù phần lớn nhân viên nhận thức được tầm quan trọng của an toàn bảo mật hệ thống thông tin, nhưng năng lực và trình độ thực tế về công tác bảo mật còn hạn chế, đặc biệt với việc tiếp nhận nhiều nhân lực mới. Đây là một trở ngại lớn khi công ty muốn phát triển giải pháp an toàn bảo mật hệ thống thông tin toàn diện. Sự thiếu hụt về đào tạo và nhận thức có thể biến nhân viên trở thành mắt xích yếu nhất trong chuỗi an ninh, tạo cơ hội cho các cuộc tấn công xã hội. Do đó, việc đối mặt với các thách thức và nguy cơ tấn công không chỉ dừng lại ở công nghệ mà còn phải tập trung vào việc nâng cao nhận thức và năng lực của nguồn nhân lực, tạo nên một hệ thống phòng thủ nhiều lớp vững chắc.

2.1. Phân tích các hình thức tấn công dữ liệu phổ biến và tác động của chúng

Các hình thức tấn công dữ liệu ngày càng đa dạng và tinh vi, đe dọa trực tiếp đến an toàn bảo mật hệ thống thông tin của mọi tổ chức. Tài liệu gốc phân loại các cuộc tấn công thành thụ động và chủ động. Tấn công thụ động là việc kẻ tấn công thu thập thông tin trên đường truyền mà không làm thay đổi dữ liệu, ví dụ như nghe lén hoặc sử dụng Key logger. Hình thức phổ biến nhất của tấn công online là Phishing Attack, tức tấn công giả mạo, lợi dụng sự cả tin của người dùng để đánh cắp thông tin nhạy cảm. Các cuộc tấn công offline, mặc dù có phạm vi hạn chế, vẫn có thể xảy ra khi thủ phạm có quyền truy cập vật lý vào thiết bị. Ngược lại, tấn công chủ động can thiệp trực tiếp vào dữ liệu, sửa đổi hoặc phá hoại, làm lệch đường đi của thông tin. Các ví dụ bao gồm tấn công lặp lại (replay attack) và tấn công từ chối dịch vụ (DoS/DDoS), khiến hệ thống quá tải và không thể cung cấp dịch vụ. Ngoài ra, việc sử dụng virus, trojan để ăn cắp hoặc phá hỏng dữ liệu thông qua các lỗ hổng phần mềm hoặc kỹ thuật phi kỹ thuật cũng là mối đe dọa thường trực. Tác động của các cuộc tấn công này rất lớn, từ mất mát tài chính, rò rỉ thông tin nhạy cảm đến làm gián đoạn hoạt động kinh doanh, gây thiệt hại nghiêm trọng cho uy tín của doanh nghiệp.

2.2. Yếu tố con người và công nghệ Hai nhân tố quyết định hiệu quả bảo mật HTTT

Hiệu quả của bất kỳ giải pháp an toàn bảo mật hệ thống thông tin nào đều phụ thuộc vào sự kết hợp hài hòa giữa yếu tố con người và yếu tố công nghệ. Theo tài liệu, không thể đảm bảo an toàn bảo mật 100% chỉ bằng các giải pháp công nghệ đơn lẻ như Anti-virus hay Firewall. Yếu tố con người đóng vai trò quyết định, từ việc lập kế hoạch, giám sát an ninh đến vận hành hệ thống. Nhân viên là chủ thể thực hiện các quá trình của HTTT, và sự thiếu nhận thức hoặc bất cẩn của họ có thể tạo ra những lỗ hổng bảo mật nghiêm trọng. Ví dụ, việc nhân viên để lộ mật khẩu hoặc nhấp vào các liên kết độc hại qua tấn công phishing có thể mở đường cho tin tặc xâm nhập. Ngược lại, yếu tố công nghệ cung cấp nền móng cho các hoạt động phòng thủ, bao gồm phần cứng (máy chủ, tường lửa phần cứng) và phần mềm (phần mềm phòng chống virus, giải pháp mã hóa, hệ điều hành). Công nghệ giúp phát hiện, ngăn chặn và khắc phục các mối đe dọa. Tuy nhiên, các công cụ công nghệ chỉ phát huy tối đa hiệu quả khi được cấu hình đúng cách và được vận hành bởi nguồn nhân lực có đủ năng lực và nhận thức. Do đó, một giải pháp an toàn bảo mật hệ thống thông tin hiệu quả phải đầu tư đồng thời vào cả hai yếu tố này, xây dựng một văn hóa an toàn thông tin mạnh mẽ trong toàn tổ chức.

III. Phương pháp then chốt để Đảm bảo An toàn Bảo mật Hệ thống Thông tin toàn diện

Để xây dựng một giải pháp an toàn bảo mật hệ thống thông tin vững chắc, việc áp dụng các phương pháp và công cụ then chốt là không thể thiếu. Các doanh nghiệp cần triển khai một chiến lược đa lớp, từ việc bảo vệ dữ liệu ở cấp độ thấp nhất đến việc kiểm soát quyền truy cập và bảo mật kênh truyền. Theo tài liệu, các phương pháp phòng tránh bao gồm việc bố trí nguồn nhân lực có năng lực, tăng cường khả năng phòng chống xâm nhập, và đào tạo nhận thức cho người dùng. Trong đó, việc thiết lập cơ chế sao lưu và phục hồi dữ liệu máy chủ, máy trạm là bước khắc phục hậu quả quan trọng, giúp giảm thiểu tổn thất khi sự cố xảy ra. Bên cạnh đó, việc áp dụng các giải pháp công nghệ chuyên biệt là nền tảng cốt lõi cho một hệ thống phòng thủ mạnh mẽ.

Một trong những công cụ quan trọng hàng đầu là tường lửa (Firewall), hoạt động như một rào chắn giữa mạng an toàn và mạng không an toàn, kiểm soát lưu lượng truy cập vào và ra dựa trên các quy tắc đã định. Ngoài ra, việc sử dụng các hệ thống phát hiện và ngăn chặn xâm nhập (IDS/IPS) tích hợp trên router hoặc cài đặt trên server (HIPS) giúp giám sát dữ liệu và phát hiện sớm các dấu hiệu tấn công. Để bảo vệ các giao dịch trực tuyến, việc bảo mật kênh truyền dữ liệu là cực kỳ quan trọng, sử dụng các giao thức mã hóa như SSL – Secure Socket Layer, SET – Secure Electronic Transaction và chuẩn WPA3 – Wi-Fi Protected Access 3 cho mạng không dây. Các giao thức này đảm bảo tính bí mật, tính toàn vẹn và tính xác thực của thông tin trong quá trình truyền tải, ngăn chặn kẻ tấn công đánh cắp hoặc sửa đổi dữ liệu.

Việc giảm thiểu lỗ hổng bảo mật trong phần mềm cũng là một trụ cột của giải pháp an toàn bảo mật hệ thống thông tin. Điều này bao gồm việc vô hiệu hóa các dịch vụ không cần thiết, gỡ bỏ ứng dụng chia sẻ tập tin không an toàn, thay đổi tài khoản người dùng mặc định và vô hiệu hóa tính năng tự động thực thi (AutoRun). Gia cố hệ thống cần được áp dụng cho cả các ứng dụng phổ biến như email client và trình duyệt web, vốn thường là mục tiêu khai thác của mã độc. Bên cạnh đó, việc bảo vệ BIOS/UEFI cũng trở nên quan trọng để ngăn chặn các sửa đổi trái phép có thể dẫn đến hành vi độc hại. Mỗi lớp bảo vệ này đều đóng góp vào việc xây dựng một giải pháp an toàn bảo mật hệ thống thông tin toàn diện, giúp doanh nghiệp chống lại các mối đe dọa từ nhiều phía và đảm bảo hoạt động kinh doanh diễn ra suôn sẻ.

3.1. Vai trò then chốt của phân quyền bảo mật và quản lý truy cập dữ liệu

Trong một hệ thống thông tin phức tạp, phân quyền bảo mật và quản lý truy cập là yếu tố cốt lõi của một giải pháp an toàn bảo mật hệ thống thông tin hiệu quả. Việc giới hạn số lượng người dùng và quyền hạn truy cập của họ chỉ ở mức tối thiểu cần thiết (nguyên tắc đặc quyền tối thiểu) giúp ngăn chặn nguy cơ rò rỉ dữ liệu và sự xâm nhập trái phép. Bằng cách này, ngay cả khi một tài khoản bị lộ, phạm vi thiệt hại cũng sẽ được kiểm soát. Ví dụ, nhân viên bán hàng không nên có quyền truy cập vào dữ liệu của bộ phận nhân sự. Điều này đảm bảo tính bí mật của thông tin nội bộ, thông tin khách hàng và nhân viên. Ngoài ra, phân quyền bảo mật còn giúp nhận diện thế mạnh của từng nhân viên, cấp quyền hợp lý để phát huy năng lực và nâng cao hiệu quả công việc. Các phần mềm quản lý như CloudPro CRM, được đề cập trong tài liệu, cung cấp các tính năng phân quyền truy cập dữ liệu, phân quyền thao tác (xem, thêm, sửa, xóa) và phân quyền theo nhóm người dùng hoặc vai trò. Việc triển khai chính sách này một cách nghiêm ngặt là biện pháp chủ động để bảo vệ cơ sở dữ liệu khỏi các mối đe dọa nội bộ và bên ngoài, củng cố toàn bộ giải pháp an toàn bảo mật hệ thống thông tin của doanh nghiệp.

3.2. Công cụ và biện pháp phòng chống mã độc giảm thiểu lỗ hổng bảo mật

Phòng chống mã độc và giảm thiểu lỗ hổng bảo mật là hai trụ cột quan trọng trong bất kỳ giải pháp an toàn bảo mật hệ thống thông tin nào. Doanh nghiệp cần liên tục cập nhật các phần mềm diệt virus như BKAV để đối phó với các xu hướng tấn công mã độc mới. Việc rà quét thiết bị từ bên ngoài trước khi đưa vào hệ thống, kiểm tra tập tin đính kèm email và hạn chế các định dạng file cụ thể (.exe) là những biện pháp phòng ngừa cần thiết. Hạn chế sử dụng các phần mềm không cần thiết và thiết bị ngoại vi di động cũng giúp giảm thiểu bề mặt tấn công. Về giảm thiểu lỗ hổng phần mềm, tài liệu nhấn mạnh việc vô hiệu hóa hoặc gỡ bỏ các dịch vụ mạng không cần thiết, loại bỏ ứng dụng chia sẻ file không an toàn, thay đổi tài khoản người dùng mặc định và vô hiệu hóa tính năng tự động thực thi (AutoRun). Gia cố hệ thống cũng cần áp dụng cho các ứng dụng phổ biến như trình duyệt web và email client, thường là mục tiêu của mã độc. Bên cạnh đó, các công cụ như hệ thống ngăn chặn xâm nhập trái phép (IPS), tường lửa và công cụ lọc nội dung đóng vai trò quan trọng trong việc giảm thiểu mối đe dọa. Cuối cùng, việc bảo vệ BIOS khỏi các sửa đổi trái phép bởi phần mềm độc hại cũng là một phần không thể thiếu của một giải pháp an toàn bảo mật hệ thống thông tin toàn diện, đảm bảo sự ổn định và an toàn từ cấp độ thấp nhất của hệ thống.

3.3. Bảo mật kênh truyền dữ liệu với các giao thức mã hóa tiên tiến SSL SET WPA3

Việc bảo mật kênh truyền dữ liệu là một phần không thể thiếu của một giải pháp an toàn bảo mật hệ thống thông tin hiệu quả, đặc biệt trong các giao dịch điện tử. Các giao thức mã hóa đóng vai trò then chốt trong việc bảo vệ dữ liệu khi chúng được truyền giữa người gửi và người nhận. Tài liệu nghiên cứu đề cập đến ba giao thức chính: SSL – Secure Socket Layer, SET – Secure Electronic Transaction và WPA3 – Wi-Fi Protected Access 3.

SSL là một giao thức đa mục đích, thiết lập kết nối mã hóa an toàn giữa máy chủ web và trình duyệt, đảm bảo tính bí mật và toàn vẹn thông tin. Nó được ứng dụng rộng rãi trong các giao dịch yêu cầu thanh toán qua mạng, được hỗ trợ bởi hầu hết các trình duyệt. Tuy nhiên, SSL có hạn chế về cơ chế xác nhận người dùng chắc chắn.

Để khắc phục, SET được phát triển nhằm hỗ trợ bảo mật trong thanh toán trực tuyến dựa trên kỹ thuật tiền số, đảm bảo tính chính xác và toàn vẹn thông tin cho cả bên gửi và bên nhận. SET rất an toàn do khó bị bẻ khóa và có cơ chế xác thực cả hai phía thông qua ngân hàng trung gian, hạn chế tình trạng từ chối dịch vụ và lừa đảo qua mạng.

Đối với mạng không dây, WPA3 là chuẩn bảo mật Wi-Fi mới nhất, mang đến khả năng bảo mật tối ưu hơn so với WPA2. WPA3 tăng cường độ mạnh của mật khẩu (lên đến 192 bit cho WPA3-Enterprise), bảo vệ chống lại các cuộc tấn công đoán mật khẩu và ngăn chặn hacker giải mã lưu lượng ngay cả khi đã biết mật khẩu. Nó cũng cung cấp bảo mật chuyển tiếp (forward-secrecy) và bảo vệ các khung quản lý, giúp kết nối an toàn hơn trên các mạng Wi-Fi công cộng. Việc áp dụng đồng bộ các giao thức này là cần thiết để xây dựng một giải pháp an toàn bảo mật hệ thống thông tin hoàn chỉnh.

IV. Nâng cao Năng lực Nguồn nhân lực Phòng chống Tấn công IoT Tăng cường An toàn Bảo mật Hệ thống Thông tin

Một giải pháp an toàn bảo mật hệ thống thông tin toàn diện không thể chỉ tập trung vào công nghệ mà phải đặt nguồn nhân lực vào vị trí trung tâm. Con người là mắt xích quan trọng nhất, có thể tạo ra hoặc phá vỡ các nỗ lực bảo mật. Việc thiếu nhận thức và kỹ năng về an toàn thông tin của nhân viên có thể dẫn đến những sơ suất nhỏ, vô tình mở cửa cho các cuộc tấn công mạng gây thiệt hại nặng nề. Do đó, việc đầu tư vào đào tạo và phát triển năng lực cho đội ngũ nhân sự là một phần không thể thiếu của chiến lược an ninh mạng hiện đại. Theo tài liệu, Công ty Cổ phần Phần mềm Quản trị Doanh nghiệp CYBERSOFT đã nhận diện được nguồn nhân lực là trở ngại chính khi phát triển an toàn bảo mật hệ thống thông tin, đặc biệt với việc tiếp nhận nhiều nhân viên mới chưa nắm rõ quy trình.

Việc đào tạo cần diễn ra định kỳ, liên tục cập nhật để theo kịp sự phát triển của khoa học công nghệ và các hình thức tấn công mới. Nội dung đào tạo nên bao gồm nhận biết các cuộc tấn công xã hội (Social Engineering) như phishing email, cách xử lý khi phát hiện mã độc, và các chính sách bảo mật dữ liệu của công ty. Nhân viên cần hiểu rõ tầm quan trọng của việc không cung cấp thông tin tài chính hoặc cá nhân qua email không đáng tin cậy, không nhấp vào các liên kết hoặc mở tập tin đính kèm từ nguồn không xác định. Đối với các doanh nghiệp ngày càng phụ thuộc vào hệ sinh thái IoT, việc phòng chống tấn công trên các thiết bị IoT cũng trở thành một yêu cầu cấp bách. Các thiết bị này thường có tài nguyên hạn chế và dễ trở thành mục tiêu của tin tặc nếu không được bảo vệ đúng cách. Một giải pháp an toàn bảo mật hệ thống thông tin hiệu quả phải bao gồm các biện pháp bảo mật IoT từ khâu thiết kế đến vận hành, đảm bảo khởi động an toàn, kiểm soát truy cập, xác thực thiết bị và áp dụng tường lửa/IPS chuyên biệt cho IoT. Ngoài ra, việc thường xuyên cập nhật và vá lỗi phần mềm trên các thiết bị IoT là rất quan trọng để đóng các lỗ hổng bảo mật mới phát sinh. Kết hợp giữa việc nâng cao năng lực nguồn nhân lực và bảo vệ thiết bị IoT sẽ tạo nên một hệ thống phòng thủ đa tầng, vững chắc, giúp doanh nghiệp bảo vệ tài sản thông tin của mình một cách hiệu quả nhất.

4.1. Chiến lược đào tạo và phát triển năng lực nguồn nhân lực An toàn Bảo mật

Chiến lược đào tạo và phát triển nguồn nhân lực là yếu tố sống còn để xây dựng một giải pháp an toàn bảo mật hệ thống thông tin kiên cường. Sự bất cẩn hoặc thiếu hiểu biết của nhân viên có thể biến họ thành mục tiêu dễ dàng cho các cuộc tấn công xã hội. Công ty Cổ phần Phần mềm Quản trị Doanh nghiệp CYBERSOFT cần định kỳ tổ chức các khóa đào tạo chuyên sâu về an toàn bảo mật hệ thống thông tin cho toàn thể nhân viên, đặc biệt là nhân viên mới. Nội dung đào tạo nên tập trung vào việc nhận diện các mối đe dọa như phishing email, mã độc, và hướng dẫn các biện pháp phòng tránh cụ thể. Nhân viên cần được phổ biến về cách không trả lời email yêu cầu thông tin cá nhân, không nhấp vào liên kết lạ, và luôn xác nhận nguồn gốc của tập tin đính kèm. Ngoài ra, việc hiểu rõ các chính sách phân quyền bảo mật và quy trình ứng phó sự cố cũng là một phần quan trọng. Nâng cao trình độ và nhận thức về an toàn bảo mật thông tin sẽ giúp nguồn nhân lực trở thành một lớp phòng thủ vững chắc, giảm thiểu rủi ro từ các hành vi vô ý hoặc cố ý, từ đó góp phần vào thành công chung của giải pháp an toàn bảo mật hệ thống thông tin của doanh nghiệp.

4.2. Cách thức bảo vệ hệ thống thông tin khỏi các mối đe dọa từ thiết bị IoT

Với sự bùng nổ của các thiết bị IoT, việc bảo vệ chúng khỏi các mối đe dọa đang trở thành một thách thức lớn trong việc xây dựng một giải pháp an toàn bảo mật hệ thống thông tin toàn diện. Do tài nguyên hạn chế, các thiết bị IoT thường dễ bị tấn công hơn. Tài liệu chỉ ra rằng cần áp dụng một giải pháp tổng thể theo chiều sâu xuyên suốt vòng đời của thiết bị. Đầu tiên là khởi động an toàn, đảm bảo chỉ phần mềm được ủy quyền và có chữ ký số mới được chạy trên thiết bị. Tiếp theo, áp dụng kiểm soát truy cập theo nguyên tắc đặc quyền tối thiểu, giới hạn quyền của thiết bị và ứng dụng chỉ ở mức cần thiết. Xác thực thiết bị khi kết nối mạng là cần thiết, tương tự như xác thực người dùng, để đảm bảo chỉ các thiết bị hợp lệ mới được truy cập. Đối với thiết bị IoT, việc sử dụng tường lửa hoặc IPS có khả năng lọc sâu gói tin, kiểm soát lưu lượng trái phép, đặc biệt là các giao thức phi truyền thống, là rất quan trọng. Cuối cùng, việc thường xuyên cập nhật và vá lỗi phần mềm trên thiết bị IoT là không thể thiếu để khắc phục các lỗ hổng bảo mật mới. Các bản cập nhật cần được gửi theo cách tối ưu băng thông và đảm bảo an toàn, duy trì hoạt động liên tục của thiết bị. Bằng cách thực hiện các biện pháp này, doanh nghiệp có thể tăng cường đáng kể an toàn bảo mật hệ thống thông tin của mình trước các mối đe dọa từ hệ sinh thái IoT.

V. Ứng dụng thực tiễn Đánh giá Hiệu quả Giải pháp An Toàn Bảo Mật Hệ Thống Thông Tin

Việc đánh giá ứng dụng thực tiễn và hiệu quả của các giải pháp an toàn bảo mật hệ thống thông tin là bước cuối cùng nhưng không kém phần quan trọng để đảm bảo tính phù hợp và khả năng thích nghi liên tục của hệ thống. Thông qua việc phân tích thực trạng an toàn bảo mật tại một doanh nghiệp cụ thể như Công ty Cổ phần Phần mềm Quản trị Doanh nghiệp CYBERSOFT, có thể rút ra những bài học kinh nghiệm và kiến nghị có giá trị. Tài liệu gốc đã tiến hành điều tra sơ bộ thông qua phiếu khảo sát nhân viên, cung cấp cái nhìn chi tiết về tình hình ứng dụng công nghệ thông tin và an toàn bảo mật tại công ty này. Kết quả cho thấy, CYBERSOFT sở hữu trang thiết bị phần cứng và phần mềm có bản quyền hoạt động ổn định, cùng với cơ chế sao lưu dữ liệu thường xuyên, là những điểm mạnh đáng kể trong giải pháp an toàn bảo mật hệ thống thông tin của họ.

Tuy nhiên, bên cạnh những ưu điểm, thực trạng an toàn bảo mật tại CYBERSOFT vẫn còn tồn tại những hạn chế đáng kể, đặc biệt liên quan đến nguồn nhân lực. Mặc dù nhân viên nhận thức được tầm quan trọng của an toàn bảo mật hệ thống thông tin, nhưng trình độ và năng lực thực tế về công tác bảo mật thông tin còn thấp, đặc biệt là với việc tiếp nhận nhiều nhân lực mới. Chỉ một tỷ lệ nhỏ nhân viên được đào tạo bài bản về an toàn bảo mật hệ thống thông tin, và chỉ một phần trong số đó áp dụng các biện pháp bảo vệ cơ sở dữ liệu nâng cao như mã hóa tài liệu. Phần lớn các ý kiến khảo sát cũng cho rằng nguồn nhân lực là trở ngại lớn nhất khi công ty muốn phát triển an toàn bảo mật hệ thống thông tin. Những lỗ hổng này có thể bị tin tặc khai thác, đặc biệt khi CYBERSOFT là một công ty phần mềm thường xuyên tiếp xúc với môi trường Internet và website, nơi các cuộc tấn công mạng luôn rình rập. Việc phân tích rõ ràng những ưu và nhược điểm này là cơ sở để đề xuất các giải pháp an toàn bảo mật hệ thống thông tin phù hợp, mang tính khả thi cao, giúp doanh nghiệp khắc phục những tồn tại và nâng cao khả năng phòng thủ của mình.

Các công cụ an toàn bảo mật như tường lửa, phần mềm diệt virus, và hệ thống sao lưu dự phòng có tác động rõ rệt trong việc hạn chế sự cố tấn công mạng từ cả bên trong lẫn bên ngoài. Chúng đảm bảo các hoạt động chủ yếu của doanh nghiệp diễn ra liên tục, giúp khắc phục kịp thời các sự cố mà không gây thiệt hại lớn về vật chất và thông tin. Nhờ đó, thông tin của doanh nghiệp luôn được duy trì với chất lượng và độ tin cậy cao. Việc đánh giá định kỳ và điều chỉnh các giải pháp an toàn bảo mật hệ thống thông tin dựa trên kết quả thực tiễn là yếu tố then chốt để duy trì một hệ thống bảo mật linh hoạt, có khả năng thích ứng với các mối đe dọa mới và đảm bảo hoạt động hiệu quả lâu dài của doanh nghiệp.

5.1. Đánh giá thực trạng An toàn Bảo mật Hệ thống Thông tin tại Công ty CYBERSOFT

Qua phân tích kết quả điều tra, thực trạng an toàn bảo mật hệ thống thông tin tại Công ty Cổ phần Phần mềm Quản trị Doanh nghiệp CYBERSOFT cho thấy nhiều điểm mạnh và hạn chế. Về điểm mạnh, công ty đã trang bị các thiết bị phần cứng hiện đại và ổn định, sử dụng phần mềm có bản quyền (như Microsoft Office, BKAV), và có cơ chế sao lưu dữ liệu thường xuyên (1-2 tháng/lần), giúp giảm thiểu tổn thất khi sự cố xảy ra. Ban lãnh đạo và phần lớn nhân viên cũ cũng nhận thức được tầm quan trọng của an toàn bảo mật hệ thống thông tin. Tuy nhiên, hạn chế lớn nhất nằm ở nguồn nhân lực: trình độ về an toàn bảo mật thông tin của nhân viên chưa cao, đặc biệt là với nhân viên mới do thiếu đào tạo bài bản. Khảo sát chỉ ra rằng chỉ 12.5% nhân viên được đào tạo về an toàn bảo mật hệ thống thông tin, và chỉ một phần nhỏ sử dụng các biện pháp bảo vệ cơ sở dữ liệu nâng cao như mã hóa tài liệu, phần lớn chỉ đặt mật khẩu máy tính. Việc này, cùng với việc công ty hoạt động trong lĩnh vực phần mềm và tiếp xúc nhiều với Internet, tạo ra nhiều lỗ hổng bảo mật tiềm tàng. Năng lực nhân lực còn thiếu sót và nguy cơ từ mã độc là những thách thức chính mà CYBERSOFT cần giải quyết để nâng cao giải pháp an toàn bảo mật hệ thống thông tin của mình.

5.2. Tác động tích cực của các công cụ và biện pháp bảo mật đối với doanh nghiệp

Các công cụ và biện pháp an toàn bảo mật có những tác động cụ thể và tích cực đối với hệ thống thông tin và hoạt động của doanh nghiệp. Đầu tiên, chúng giúp hạn chế các sự cố tấn công từ bên trong lẫn bên ngoài, bao gồm mã độc, tấn công phishing và các hình thức xâm nhập trái phép. Các giải pháp như tường lửa firewall, phần mềm diệt virus, và hệ thống phát hiện xâm nhập (IDS/IPS) tạo thành một lớp phòng thủ vững chắc, ngăn chặn phần lớn các mối đe dọa. Thứ hai, các công cụ này đảm bảo các hoạt động chủ yếu của doanh nghiệp diễn ra liên tục, không bị gián đoạn do sự cố an ninh mạng. Khi có sự cố xảy ra, nhờ các biện pháp như sao lưu và phục hồi dữ liệu (backup & recovery), doanh nghiệp có thể khắc phục kịp thời mà không gây thiệt hại nghiêm trọng về vật chất hay thông tin. Cuối cùng, việc triển khai giải pháp an toàn bảo mật hệ thống thông tin hiệu quả giúp duy trì thông tin có chất lượng và độ tin cậy cao, điều này cực kỳ quan trọng cho việc ra quyết định và giữ vững uy tín của doanh nghiệp. Đối với Công ty CYBERSOFT, việc đầu tư vào các công cụ và biện pháp này giúp bảo vệ tài sản thông tin của chính công ty và của khách hàng, từ đó củng cố lòng tin và vị thế trên thị trường.

VI. Tương lai Giải pháp An Toàn Bảo Mật Hệ Thống Thông Tin Cập nhật xu hướng và kiến nghị phát triển

Sự phát triển không ngừng của công nghệ thông tin và các mối đe dọa mạng đòi hỏi các giải pháp an toàn bảo mật hệ thống thông tin phải liên tục được cập nhật và đổi mới. Tương lai của an toàn bảo mật hệ thống thông tin sẽ tập trung vào việc thích ứng với các xu hướng công nghệ mới như chuyển đổi số, điện toán đám mây (cloud computing), và trí tuệ nhân tạo (AI) trong an ninh mạng. Các doanh nghiệp, đặc biệt là các công ty phần mềm như CYBERSOFT, cần giữ vững tâm thái chủ động trong việc bảo vệ dữ liệu và thông tin ngày càng chặt chẽ hơn. Điều này bao gồm việc liên tục theo dõi tình hình an toàn bảo mật thông tin tại Việt Nam và trên thế giới để đưa ra các chính sách kịp thời, đảm bảo an toàn bảo mật hệ thống thông tin một cách tốt nhất.

Một trong những định hướng phát triển quan trọng là nâng cao năng lực nguồn nhân lực. Như đã phân tích từ thực trạng của CYBERSOFT, nguồn nhân lực còn là trở ngại lớn. Do đó, việc đào tạo định kỳ, nâng cao trình độ nhận biết và kỹ năng thực hành về an toàn bảo mật thông tin cho nhân viên là nhiệm vụ cấp thiết. Điều này sẽ giúp xây dựng một lực lượng lao động có ý thức bảo mật cao, giảm thiểu rủi ro từ các tấn công xã hội và sơ suất của con người. Bên cạnh đó, việc áp dụng các công nghệ tiên tiến như Zero Trust, AI trong Cybersecurity và SASE (Secure Access Service Edge) cũng là những xu hướng cần được nghiên cứu và triển khai để tăng cường khả năng phòng thủ của giải pháp an toàn bảo mật hệ thống thông tin.

Đối với CYBERSOFT, các kiến nghị cụ thể bao gồm việc tiếp tục sử dụng và nâng cấp các công cụ hiện có như phần mềm diệt virus BKAV để luôn được cập nhật các mã độc mới. Việc triển khai các phần mềm về phân quyền bảo mật tiên tiến như CloudPro CRM giúp quản lý quyền truy cập dữ liệu một cách chặt chẽ. Ngoài ra, việc tận dụng tối đa các chuẩn bảo mật mới như WPA3 cho mạng Wi-Fi, đặc biệt khi sử dụng các router tương thích, sẽ tăng cường an ninh mạng ở cấp độ hạ tầng. Những nghiên cứu về an toàn bảo mật hệ thống thông tin sẽ tiếp tục diễn ra, khắc phục và hoàn thiện hơn nữa các hệ thống, mang lại trải nghiệm an toàn và tốt đẹp hơn cho doanh nghiệp và người dùng. Bằng cách chủ động đón đầu và tích hợp các giải pháp mới, doanh nghiệp có thể đảm bảo an toàn bảo mật hệ thống thông tin trước mọi thách thức trong tương lai.

6.1. Định hướng chiến lược phát triển An toàn Bảo mật Hệ thống Thông tin và các kiến nghị

Trong bối cảnh chuyển đổi số, định hướng chiến lược cho an toàn bảo mật hệ thống thông tin của các doanh nghiệp như CYBERSOFT phải tập trung vào sự chủ động và liên tục cập nhật. Công ty cần liên tục theo dõi các xu hướng an toàn bảo mật thông tin mới nhất tại Việt Nam và trên thế giới để đưa ra các chính sách kịp thời, đảm bảo bảo mật dữ liệu và hoạt động kinh doanh. Một trong những kiến nghị quan trọng nhất là nâng cao năng lực của nguồn nhân lực. Điều này bao gồm việc định kỳ đào tạo nhân viên về các mối đe dọa như tấn công mã độc, phishing và cách ứng phó sự cố. Kiến nghị cụ thể cho CYBERSOFT bao gồm việc sử dụng các phần mềm phân quyền bảo mật chuyên nghiệp như CloudPro CRM, giúp quản lý chặt chẽ quyền truy cập dữ liệu. Đồng thời, tiếp tục sử dụng và nâng cấp phần mềm diệt virus BKAV để đảm bảo khả năng quét và diệt mã độc hiệu quả. Việc chuyển đổi và tối ưu hóa chế độ bảo mật Wi-Fi sang WPA3 cũng là một kiến nghị quan trọng để tăng cường an ninh mạng tổng thể. Những biện pháp này không chỉ giúp khắc phục các lỗ hổng bảo mật hiện có mà còn định hình một giải pháp an toàn bảo mật hệ thống thông tin linh hoạt và bền vững cho tương lai.

Trích đoạn nội dung tài liệu

CHƯƠNG I: CƠ SỞ LÝ LUẬN CỦA AN TOÀN BẢO MẬT HỆ THỐNG THÔNG TIN. Những khái niệm cơ bản. Dữ liệu: là một tập hợp các dữ kiện, chẳng hạn như số, từ, hình ảnh, nhằm đo lường, quan sát hoặc chỉ là mô tả về sự vật. Sự phát triển trong lĩnh vực công nghệ, đặc biệt là trong điện thoại thông minh đã dẫn đến việc văn bản, video và âm thanh được đưa vào dữ liệu cùng với nhật ký web.

Hầu hết dữ liệu này là không có cấu trúc. Thông tin: là sự thông báo, trao đổi, giải thích về một đối tượng cụ thể nào đó và được thể hiện thông qua các dạng tín hiệu như âm thanh, chữ số, chữ viết… nhằ m mang la ̣i một sự hiể u biế t nào đó cho đố i tươṇ g nhận tin. Hệ thống thông tin: là tập hợp phần cứng, phần mềm và cơ sở dữ liệu được thiết lập phục vụ mục đích tạo lập, cung cấp, truyền đưa, thu thập, xử lý, lưu trữ và trao đổi thông tin trên mạng (Theo quy định tại khoản 3 Điều 3 Luật an toàn thông tin mạng 2015). Hệ thống thông tin quản lý: là hệ thống cung cấp thông tin cho công tác quản lý của tổ chức.

Hệ thống bao gồm con người, thiết bị và quy trình thu thập, phân tích, đánh giá và phân phối những thông tin cần thiết, kịp thời, chính xác cho những người soạn thảo các quyết định trong tổ chức. An toàn thông tin: là hành động ngăn cản, phòng ngừa sự sử dụng, truy cập, tiết lộ, chia sẻ, phát tán, ghi lại hoặc phá hủy thông tin chưa có sự cho phép. Ngày nay vấn đề an toàn thông tin được xem là một trong những quan tâm hàng đầu của xã hội, có ảnh hưởng rất nhiều đến hầu hết các ngành khoa học tự nhiên, kỹ thuật, khoa học xã 9 hội và kinh tế. Bảo mật thông tin: là duy trì tính bảo mật, tính toàn vẹn toàn diện và tính sẵn sàng cho toàn bộ thông tin.

+ Tính bảo mật: Đảm bảo thông tin đó là duy nhất, chỉ có những cá nhân được cấp quyền mới được phép truy cập vào hệ thống. Đây là yêu cầu quan trọng của bảo mật thông tin vì đối với các tổ chức doanh nghiệp thì thông tin là tìa sản có giá trị hàng đầu. Việc các cá nhân không được cấp quyền truy cập trái phép vào hệ thống sẽ làm thông tin bị thất thoát, đồng nghĩa với việc tài sản của công ty bị xâm hại, có thể dẫn đến phá sản. + Tính toàn vẹn: Bảo vệ hoàn chỉnh toàn diện cho HTTT.

Đảm bảo thông tin luôn ở trạng thái đúng chính xác, người sử dụng luôn được làm việc với các thông itn tin cậy chân thực. Chỉ các các nhân được cấp quyền mới được phép chỉnh sửa thông tin. Kẻ tấn công không chỉ có ý định đánh cắp thông tin mà còn mong muốn làm cho thông tin bị mất giá trị sử dụng bằng cách tạo ra các thông tin sai lệch gây thiệt hại cho công ty. + Tính sẵn sàng: Việc bảo mật thông tin luôn phải sẵn sàn, có thể thực hiện bất cứ đâu, bất cứ khi nào.

Có thể nói đây là yêu cầu quan trọn nhất vì thông tin chỉ hữu ích khi người sử dụng cần là có thể dùng được, nếu hai yêu cầu trên được đảm bảo nhưng yêu cầu này không được đảm bảo thì thông tin cũng trở nên mất giá trị. Một HTTT nói chung và một HTTT quan rlys nói riêng được coi là bảo mật khi tính riêng tư của nội dung thông tin được đảm bảo theo đúng các tiêu chí trong một thời gian xác định. Một số lý thuyết về vấn đề nghiên cứu. Khái niệm an toàn và bảo mật thông tin.

Trước đây việc giao dịch được thực hiện trực tiếp giữa bên mua và bên bán theo hình thức “tiền trao, cháo múc” nên khó có thể xảy ra lừa đỏa. Ngày nay thì việc giao dịch trực tiếp ngày càng giảm, giao dịch từ xa ngày càng tăng. Đặc biệt dưới tình hình Covid-19 hậu Covid-19 như hiện nay thì việc giao dịch từ xa đã và đang là xu hướng. Bên mua và bên bán không gặp nhau trực tiếp, do đó rất dễ bị lừa đảo, gây mất mát về thông tin cũng như tài sản.

Thông tin của các cá nhân, tổ chức và các giao dịch có nhiều nguy cơ bị bên thứ ba 10 biết được. Thông tin thật dễ dàng bị thay và sửa đổi, tạo thành thông tin giả mạo để lừa đảo. Có hteer kể tới các trường hợp bị tin tặc tấn công, bị giả mạo, từ chối thanh toán, sử dụng thẻ thanh toán giả/ hết hạn; việc mất an toàn khi tiến hành giao dịch do thông tin bị lộ. Do đó, việc bảo mật thông tin và an toàn dữ liệu là rất cần thiết.

An toàn dữ liệu (ATDL) là quá trình đảm bảo cho hệ thống dữ liệu tránh khỏi nhưng xnguy cơ hỏng hóc hoặc mất mát. Các nguy cơ tiềm ẩn về khả nawgn mất nam toàn thông ntin ngẫu nhiên như thiên tai, hỏng vật lý, mất điện và các nguy cơ có chủ định như tin tặc, ca nhân bên ngoài, phá hỏng vật lý, can thiệp có chủ ý. Nhu cầu bảo mật htoong tin của các tổ chức và cá nhân đang cấp bách hơn bao giờ hết. Trong thương mại điện tử, an toàn dữ liệu nghiên cứu về những nguy cơ gây mất an toàn, tránh khỏi những nguy cơ này trong quá trình sử dụng hình thức kinh doanh trong giao dịch thương mại điện tử.

An toàn dữ liệu đó là việc đảm bảo được tính bảo mật qua việc đảm bỏ dữ liệu của người sử dụng luôn được bảo vệ, không bị mất mát. Dữ liệu không bị tạo ra, sửa đổi hay xoasbowir những người không sở hữu và luôn trong trạng thái sẵn sàng. Đồng thời có tính tin cậy đảm bảo thông tin mà người dùng nhận được là đúng. Trong TMĐT, cần chú trọng đến việc dữ liệu lưu trữ cũng như trao đổi giữa hai bên giao dịch phải được giữ bí mật, đảm bảo không bị lộ.

Thông tin giao dịch giữa hai bên không bị sửa đổi hay bị gia rmaoj bởi một bên thứ ba. Đảm bảo độ minh bạch giữa hai bên thực hiện giao dịch. Mục tiêu của ATDL là việc phát hiện các lỗ hổng của hệ thống dữ liệu, dự đoán trước những nguy cơ tấn công, ngăn chặn những hành động gây mất ATDL từ bên trong cũng như bên ngoài. Phục hồi tổn thất khi hệ thống dữ liệu bị tấn công.

Trong TMĐT thì mục tiêu đó là phát hiện sớm các lỗ hổng trong các hình thức giao dịch và thanh toán điện tử, đưa ra các mô hình và giải pháp nhằm đảm bảo cho TMĐT đạt được độ an toàn coa nhất, các phương pháp khắc phụ hậu quả và đảm bảo lợi ích cho người sử dụng. Các hình thức tấn công dữ liệu trong thương mại điện tử. Theo Giáo trình An toàn bảo mật HTTT – ĐH Thương mại, các loại hình tấn công chủ yếu là do nguyên nhân khách quan hoặc do nguyên nhân chủ quan của con người. 11 Nguyên nhân khách quan: là các thảm họa, các sự cố xảy ra đột ngột không lường trước, có thể là các thiên tai như động đất, núi lửa, sóng thần,… hoặc hỏa hoạn, mất điện hay sụp đổ hệ thống.

Nguyên nhân chủ quan: là các hành vi tấn công nhằm phá hoại mục tiêu an toàn và bảo mật. + Tấn công xã hội: Kẻ tấn công lợi dụng sự bất cẩn hay sự cả tin của những người trong công ty để lấy được thông tin xác nhận quyền truy nhập của user và có thể truy nhập hệ thống vào bằng thông tin đó. + Tấn công phần mềm: nhằm vào các ứng dụng, hệ điều hành và các giao thức, mục đích là phá hủy hay vô hiệu hóa các ứng dụng, hệ điều hành hay các giao thức đang chạy trên các máy tính, để đạt được quyền truy nhập vào hệ thống và khai thác thông tin. Loại tấn công này có thể dùng độc lập hoặc kết hợp với một số loại tấn công khác.

+ Tấn công phần cứng: nhằm vào ổ cứng, bo mạch chủ, CPU, cáp mạng,… mục đích là để phá hủy phần cứng vô hiệu hóa phần mềm, là cơ sở cho tấn công từ chối dịch vụ. Các hình thức tấn công trong TMĐT có thể kể đến là hình thức tấn công dữ liệu thụ động và tấn công chủ động. Có thể hiểu đó là hình thức lấy cắp hoặc thay đổi, phá hoại dữ liệu trái phép. Vi phạm tính toàn vẹn, sẵn sàng của dữ liệu.

Hình thức tấn công thụ động là việc kẻ tấn công lấy được thông tin trên đường truyền mà không gây ảnh hưởng gì đến thông tin được truyền từ nguồn đến đích. Tán công thụ động rất khó phát hiện và khó phòng tránh nên rất nguy hiểm. Hiện nay tấn công thụ động đang ngày càng phát triển do đó cần có các biện pháp phòng tránh trước khi tấn công xảy ra. Tấn công thụ động là loại tấn công mà thông tin tài khoản bị đánh cắp được lưu lại để sử dụng sau.

Loại tấn công này lại có hai dạng đó là tấn công trực tuyến (online) và tấn công ngoại tuyến (offline). Tấn công offline có mục tiêu cụ thể, thực hiện bởi thủ phạm tủy cập trực tiếp đến tài sản nạn nhân. Ví dụ, thủ phạm có quyền truy cập máy tính của người dùng dễ dàng cài đặt trình “Key logger” hay trình gián điệp để thu thập dữ liệu của người dùng. Tấn công offline có phạm vi hạn chế và hiệu suất thấp.

Đây là dạng đánh cắp tài khoản đơn giản nhất, không yêu cầu có trình độ cao và cũng không tốn bất kỳ chi phí nào. Người dùng có thể trở thành nạn nhan của kiểu tấn công này đơn giản chỉ vị họ để 12 lộ password hay lưu ở dạng không mã hóa trong tập tin có tên dễ đoán trên đĩa cứng. Một nghiên cứu gần đây cho thầy 50% vụ đánh cắp tài khoản do người gần gũi với nạn nhân thực hiện. Tấn công online không có mục tiêu cụ thể.

Kẻ tấn công nhắm đến số đông người dùng trên Internet, hy vọng khai thác những hệ thống lỏng lẻo hay lợi dụng sự cả tin của người dùng để đánh cắp tài khoản. Dạng tấn công này có hiệu suất khá cao. Hình thức phổ biến nhất của tấn công online là Phishing Attack - tấn công giả mạo. Phishing là một loại tấn công phi kỹ thuật, dùng đánh cắp các thông tin nhạy cảm bầng cách giả mạo người gửi, cách phòng tránh duy nhất là ý thức của người dùng.

Bên cạnh đó, hình thức tấn công chủ động là hình thức tấn công có sự can thiệp vào dữ liệu nhầm sửa đổi, thay thế làm lệch đường đi của dữ liệu.