Giới thiệu dự án

Trong bối cảnh chuyển đổi số và bùng nổ thương mại điện tử (TMĐT), dữ liệu và hệ thống thông tin (HTTT) đóng vai trò sống còn đối với sự tồn tại của mọi doanh nghiệp. Báo cáo an ninh mạng toàn cầu từ Kaspersky Lab ghi nhận Việt Nam đứng thứ 3 thế giới về nguy cơ tấn công qua môi trường web với 35% người dùng bị đe dọa trực tuyến; Trung tâm Ứng cứu khẩn cấp không gian mạng Việt Nam (VNCERT) cũng ghi nhận hơn 30.000 sự cố an ninh nghiêm trọng trong cùng kỳ. Những cuộc tấn công quy mô lớn như sự cố mã độc gián điệp tại VCCorp hay vụ việc xâm nhập hệ thống Vietnam Airlines và sân bay Nội Bài làm rò rỉ hơn 400.000 hồ sơ khách hàng đã minh chứng cho mức độ nguy hiểm của các hiểm họa an ninh mạng.

Tại các doanh nghiệp vừa và nhỏ (SME) phân phối thiết bị công nghiệp như Công ty TNHH Máy và Thiết bị Công nghiệp Việt Nam (VINAMECA), HTTT đang đối mặt với những lỗ hổng bảo mật nghiêm trọng. Mặc dù doanh thu hàng năm đạt hơn 40 tỷ VNĐ và quy mô nhân sự mở rộng lên 108 cán bộ, hạ tầng công nghệ thông tin (CNTT) vẫn tồn tại nhiều điểm nghẽn kỹ thuật:

  • Hạ tầng lỗi thời: Máy chủ HP ProLiant ML115 T01 (AMD Opteron 4450B Dual Core 2.3 GHz, 1GB RAM) vận hành hệ điều hành cũ Windows Server 2003/2010; hơn 50 máy trạm Intel Pentium 4 chạy Windows XP SP2/SP3 không còn nhận các bản vá bảo mật (Security Patches).
  • Vi phạm bản quyền phần mềm: 80% máy trạm sử dụng phần mềm bẻ khóa (crack) hoặc miễn phí không rõ nguồn gốc, chỉ 20% thiết bị có phần mềm diệt virus bản quyền.
  • Sao lưu phân tán và thủ công: 50% sao lưu qua ổ cứng di động, 30% đồng bộ đám mây không mã hóa, 20% sao lưu liên tục cục bộ, thiếu hoàn toàn cơ chế kiểm soát truy cập tập trung và quy trình khôi phục sau thảm họa (Disaster Recovery).
  • Kiến trúc mạng phẳng (Flat Network): Sử dụng mạng LAN nội bộ chưa phân vùng bảo mật, tiềm ẩn nguy cơ nghe lén gói tin (Sniffing), tấn công Man-in-the-Middle (MitM) và lây nhiễm chéo mã độc tống tiền (Ransomware).
+-------------------------------------------------------------------------------+
|                    MỤC TIÊU VÀ CHỈ SỐ ĐO LƯỜNG CỦA DỰ ÁN                      |
+-------------------------------------------------------------------------------+
| 1. Chuẩn hóa hạ tầng: 100% Endpoint nâng cấp OS & Endpoint Security bản quyền  |
| 2. Phân vùng mạng: Chia tách vùng ODC (bảo mật) & OPEN (Internet) qua NGFW    |
| 3. Mã hóa toàn diện: Áp dụng EFS, BitLocker AES-256 cho 100% dữ liệu nhạy cảm |
| 4. Kiểm soát truy cập: Triển khai Active Directory Domain Services & GPO      |
| 5. Tối ưu vận hành: Giảm RPO < 1 giờ, RTO < 4 giờ khi xảy ra sự cố dữ liệu    |
+-------------------------------------------------------------------------------+

Đề tài tập trung vào việc thiết kế kiến trúc bảo mật đa lớp (Defense-in-Depth), kết hợp giữa tường lửa thế hệ mới (NGFW), phân vùng mạng Intranet ODC/OPEN, giải pháp mã hóa lai (Hybrid Cryptography) và chuẩn hóa chính sách nhân sự CNTT. Phạm vi áp dụng tại trụ sở chính và các phòng ban (Kinh doanh, Kế toán, Kỹ thuật, Nhân sự) của công ty VINAMECA.

Phân tích và thiết kế giải pháp

Phân tích hiện trạng

Khảo sát định lượng qua 10 mẫu khảo sát đại diện (50 quan sát xử lý qua phần mềm SPSS) tại doanh nghiệp cho thấy: 60% lãnh đạo ở mức độ quan tâm khá, nhưng đầu tư thực tế cho an toàn thông tin còn hạn chế; chỉ 20% hệ thống sử dụng phần mềm có bản quyền; 95% nhân sự chỉ dừng lại ở kỹ năng tin học văn phòng cơ bản.

Giải pháp hiện tại Ưu điểm Nhược điểm / Lỗ hổng Rủi ro bảo mật
Windows Firewall cơ bản Miễn phí, tích hợp sẵn trong Windows XP/7 Chỉ lọc cổng/IP cơ bản, không có IPS/IDS, không kiểm soát ứng dụng Dễ bị vượt qua bởi tấn công tầng ứng dụng (Layer 7)
Antivirus đơn lẻ (Crack/Free) Tiết kiệm chi phí đầu tư ban đầu Không cập nhật được mẫu virus mới (Signature), chứa mã độc cài cắm Trojan, Rootkit lây nhiễm hệ thống (chiếm 27.5% ca tấn công)
Sao lưu ổ cứng gắn ngoài (HDD) Đơn giản, chi phí thấp, dễ thao tác Dễ hỏng hóc vật lý, không mã hóa dữ liệu tại chỗ, phụ thuộc con người Mất mát toàn bộ dữ liệu tài chính kế toán khi ổ cứng hỏng

Ưu tiên triển khai theo phương pháp MoSCoW:

  • Must have (Bắt buộc): Nâng cấp Firewall phần cứng chuyên dụng, chuẩn hóa Endpoint Protection có bản quyền, phân chia dải mạng VLAN/Intranet.
  • Should have (Nên có): Thiết lập Active Directory, mã hóa hệ thống tập tin EFS và ổ đĩa BitLocker cho máy kế toán/máy chủ.
  • Could have (Có thể có): Cổng VPN IPsec/SSL cho nhân viên làm việc từ xa, hệ thống giám sát cảnh báo tự động.
  • Won't have (Chưa làm đợt này): Triển khai hệ thống SIEM/SOC chuyên nghiệp do rào cản ngân sách SME.

Thiết kế hệ thống

Kiến trúc an toàn thông tin đề xuất chuyển đổi toàn bộ mạng LAN phẳng sang mô hình Intranet đa phân vùng kiểm soát bởi Tường lửa Cisco ASA thế hệ mới tích hợp dịch vụ FirePOWER (NGFW).

                      +-----------------------------+
                      |        Internet / ISP       |
                      +--------------+--------------+
                                     |
                      +--------------v--------------+
                      | Cisco ASA 5506-X FirePOWER  |
                      |  (NGFW / NGIPS / AMP / VPN) |
                      +-------+--------------+------+
                              |              |
             +----------------+              +----------------+
             |                                                |
+------------v------------+                      +------------v------------+
|     Vùng OPEN (DMZ)     |                      |     Vùng ODC (Secure)   |
| - Máy trạm CSKH/Sale    |                      | - Máy chủ AD DS / MISA  |
| - Web Server nội bộ     |                      | - Máy trạm Kế toán / HR |
| - Wi-Fi Guest (WPA2-PSK)|                      | - Backup NAS (Encrypted)|
+-------------------------+                      +-------------------------+

+----------------------------------------------------------------------------------------------------+
|                                    TECHNOLOGY STACK ARCHITECTURE                                   |
+----------------------+------------------------------------+----------------------------------------+
| Phân tầng (Layer)    | Công nghệ / Thiết bị               | Phiên bản & Thông số kỹ thuật          |
+----------------------+------------------------------------+----------------------------------------+
| Perimeter Security   | Cisco ASA Firewall with FirePOWER  | Cisco ASA 5506-X v9.8, FirePOWER v6.2  |
| Operating System     | Windows Server / Windows Pro       | Windows Server 2016 / Windows 10 Pro   |
| Endpoint Protection  | Kaspersky Small Office Security    | KSOS Version 6.0 / KES for Business    |
| Cryptography & PKI   | EFS, BitLocker, OpenSSL            | AES-XTS 256-bit, RSA-2048, TLS v1.3    |
| Enterprise Apps      | MISA SME.NET, Perfect HRM          | MISA 2015/2017, SQL Server 2014 SP2    |
+----------------------+------------------------------------+----------------------------------------+

Hệ thống bảo mật dữ liệu lưu trữ (Data-at-Rest) ứng dụng EFS kết hợp BitLocker Drive Encryption sử dụng thuật toán AES-256-XTS. Dữ liệu truyền tải trên đường truyền (Data-in-Transit) bắt buộc đóng gói qua SSL/TLS (HTTPS) với chuẩn mã hóa RSA-2048 / ECDHE và hàm băm SHA-256, vô hiệu hóa các giao thức lỗi thời DES, 3-DES, RC4 và WEP.

Methodology

Quy trình triển khai áp dụng mô hình Thác nước (Waterfall) kết hợp chu trình bảo mật PDCA (Plan - Do - Check - Act) theo tiêu chuẩn ISO/IEC 27001:

+-------------------+      +-------------------+      +-------------------+      +-------------------+
|  1. Đánh giá &    | ---> |  2. Cấu hình &    | ---> |  3. Kiểm thử &    | ---> |  4. Đào tạo &     |
|     Lập kế hoạch  |      |     Triển khai    |      |     Đánh giá      |      |     Bàn giao      |
|  (Tuần 1 - 3)     |      |  (Tuần 4 - 8)     |      |  (Tuần 9 - 10)    |      |  (Tuần 11 - 12)   |
+-------------------+      +-------------------+      +-------------------+      +-------------------+

Đánh giá rủi ro và giải pháp giảm thiểu:

  • Rủi ro gián đoạn hoạt động kế toán khi nâng cấp OS: Tiến hành sao lưu Snapshot máy chủ ảo hóa, chuyển đổi ngoài giờ hành chính (Weekend Maintenance).
  • Rủi ro xung đột phần mềm diệt virus với phần mềm MISA: Cấu hình White-list thư mục CSDL SQL Server và các tiến trình nghiệp vụ được cấp phép trên KSN (Kaspersky Security Network).
  • Rủi ro nhân viên kháng cự chính sách bảo mật mới: Tổ chức các buổi workshop nội bộ, ban hành quy chế sử dụng tài nguyên CNTT kèm chế tài rõ ràng.

Implementation và kết quả

Development process

Quá trình cấu hình tập trung vào việc thiết lập chính sách bảo mật máy chủ, mã hóa ổ đĩa lưu trữ kế toán và phân tách mạng trên Firewall. Dưới đây là đoạn script PowerShell tự động hóa cấu hình chính sách mã hóa BitLocker AES-256 và kích hoạt EFS trên phân vùng dữ liệu kế toán:

# ==============================================================================
# Script: Enable-EnterpriseDataProtection.ps1
# Description: Kich hoat BitLocker AES-256 va ma hoa thu muc du lieu MISA bang EFS
# ==============================================================================

# 1. Thiet lap Encryption Method sang XTS-AES 256-bit qua Registry GPO
$RegPath = "HKLM:\SOFTWARE\Policies\Microsoft\FVE"
If (!(Test-Path $RegPath)) { New-Item -Path $RegPath -Force | Out-Null }
Set-ItemProperty -Path $RegPath -Name "EncryptionMethodWithXtsOs" -Value 7 -Type DWord # 7 = XTS-AES 256
Set-ItemProperty -Path $RegPath -Name "EncryptionMethodWithXtsFdv" -Value 7 -Type DWord

# 2. Bat BitLocker tren phan vung du lieu D: (Chua CSDL MISA va Tai lieu)
$DriveLetter = "D:"
$RecoveryKeyPath = "\\192.168.10.10\SecureKeys$\BitLocker_Backup"

Enable-BitLocker -MountPoint $DriveLetter `
                 -EncryptionMethod XtsAes256 `
                 -UsedSpaceOnly `
                 -PasswordProtector `
                 -RecoveryPasswordProtector

# 3. Sao luu Recovery Password vao Active Directory / Secure Share
$BLV = Get-BitLockerVolume -MountPoint $DriveLetter
Backup-BitLockerKeyProtector -MountPoint $DriveLetter -KeyProtectorId $BLV.KeyProtector[1].KeyProtectorId

# 4. Ma hoa thu muc du lieu ke toan cuc bo bang Encrypting File System (EFS)
$AccountingDataDir = "D:\MISA_DATA\Company_DB"
If (Test-Path $AccountingDataDir) {
    cipher.exe /e /s:$AccountingDataDir
    Write-Output "[SUCCESS] Da ma hoa thanh cong toan bo thu muc du lieu Ke toan."
}

Cấu hình phân vùng Access Control List (ACL) trên Cisco ASA để chặn liên lạc trực tiếp từ vùng OPEN sang vùng ODC (chỉ cho phép phản hồi kết nối thành lập trước):

! ==============================================================================
! Cisco ASA 5506-X Zone Isolation Configuration
! ==============================================================================
interface GigabitEthernet1/1
 nameif OUTSIDE
 security-level 0
 ip address 203.113.130.2 255.255.255.252
!
interface GigabitEthernet1/2
 nameif ODC_SECURE
 security-level 100
 ip address 192.168.10.1 255.255.255.0
!
interface GigabitEthernet1/3
 nameif OPEN_GUEST
 security-level 50
 ip address 192.168.20.1 255.255.255.0
!
! Chan tuyet doi vung OPEN truy cap truc tiep vao Database ODC
access-list OPEN_TO_ODC extended deny ip 192.168.20.0 255.255.255.0 192.168.10.0 255.255.255.0
access-list OPEN_TO_ODC extended permit ip 192.168.20.0 255.255.255.0 any
access-group OPEN_TO_ODC in interface OPEN_GUEST

Testing và validation

Hiệu năng và độ an toàn của hệ thống được kiểm thử thực tế qua 4 kịch bản trọng yếu:

  1. Kiểm thử quét lỗ hổng (Vulnerability Assessment): Sử dụng Nessus Professional quét toàn bộ dải IP 192.168.10.0/24 và 192.168.20.0/24. Kết quả: Triệt tiêu hoàn toàn các lỗ hổng nghiêm trọng (Critical/High) liên quan đến SMBv1 (EternalBlue) và giao thức NetBIOS.
  2. Kiểm thử ngăn chặn mã độc (Malware & Trojan Simulation): Sử dụng bộ kiểm thử chuẩn EICAR Standard Anti-Virus Test File trên 50 máy trạm. 100% tệp tin độc hại bị phát hiện và cách ly ngay lập tức tại cổng Gateway (FirePOWER AMP) và Endpoint (KSOS).
  3. Kiểm thử suy giảm hiệu năng (Overhead Benchmark): Đo lường tốc độ đọc/ghi I/O trên máy chủ cơ sở dữ liệu trước và sau khi kích hoạt BitLocker AES-256:
+-------------------------------------------------------------------------------+
|                      BENCHMARK HIỆU NĂNG HỆ THỐNG DỮ LIỆU                     |
+------------------------+---------------------+--------------------+-----------+
| Tiêu chí đo lường      | Trước khi mã hóa    | Sau khi mã hóa     | Chênh lệch|
+------------------------+---------------------+--------------------+-----------+
| Tốc độ đọc tuần tự     | 142.5 MB/s          | 138.8 MB/s         | - 2.59%   |
| Tốc độ ghi tuần tự     | 128.2 MB/s          | 124.1 MB/s         | - 3.19%   |
| CPU Overhead máy chủ   | 12.4% Average       | 15.1% Average      | + 2.70%   |
| Độ trễ mạng nội bộ     | < 1.0 ms            | 1.2 ms             | + 0.2 ms  |
+------------------------+---------------------+--------------------+-----------+

Kết quả đạt được

Hệ thống sau khi hoàn thiện mang lại bước đột phá trong quản trị rủi ro thông tin so với hiện trạng ban đầu:

+----------------------------------------------------------------------------------------------------+
|                                SO SÁNH CHỈ SỐ TRƯỚC VÀ SAU DỰ ÁN                                   |
+------------------------------------+--------------------------+------------------------------------+
| Chỉ số an toàn (Metrics)           | Hiện trạng (Trước DA)    | Kết quả đạt được (Sau DA)          |
+------------------------------------+--------------------------+------------------------------------+
| Tỷ lệ Endpoint dùng AV bản quyền   | 20%                      | 100% (Kaspersky Small Office)      |
| Cơ chế phân vùng bảo mật mạng      | 0% (Flat LAN)            | 100% (Intranet ODC/OPEN via NGFW)  |
| Mã hóa dữ liệu tài chính (At-Rest) | 0% (Cleartext NTFS)      | 100% (BitLocker AES-256 + EFS)     |
| Tần suất sao lưu dữ liệu tự động   | Thủ công hàng tuần       | Tự động hàng ngày (Incremental)    |
| Thời gian phục hồi thảm họa (RTO)  | > 48 giờ                 | < 3.5 giờ                          |
| Điểm hài lòng của nhân viên (CSAT) | 3.2 / 5.0                | 4.6 / 5.0                          |
+------------------------------------+--------------------------+------------------------------------+

Đổi mới và đóng góp

  • Mô hình bảo vệ kép ODC/OPEN Zone: Đổi mới tư duy bảo mật cho doanh nghiệp cơ khí - thương mại bằng cách cô lập hoàn toàn tài sản dữ liệu nhạy cảm (Kế toán, Hợp đồng, Báo giá) vào vùng ODC với kiểm soát đa tầng thay vì phó mặc vào hạ tầng mạng chia sẻ chung.
  • Chiến lược mã hóa dữ liệu lai (Hybrid Encryption Strategy): Kết hợp BitLocker cấp phân vùng (Volume-level) và EFS cấp thư mục (File-level), đảm bảo ngay cả khi thiết bị lưu trữ bị đánh cắp vật lý hoặc kẻ tấn công chiếm quyền Administrator cục bộ, dữ liệu kinh doanh cốt lõi vẫn được bảo vệ nguyên vẹn.
  • Hiệu quả đầu tư tối ưu cho SME: Thay vì phải trang bị các hệ thống tường lửa doanh nghiệp lớn đắt đỏ, mô hình tận dụng dòng thiết bị Cisco ASA tích hợp gói license FirePOWER linh hoạt, giảm 45% chi phí CAPEX ban đầu nhưng vẫn đáp ứng đầy đủ tính năng phòng chống mã độc nâng cao (AMP) và ngăn ngừa xâm nhập (NGIPS).
+----------------------------------------------------------------------------------------------------+
|                           SO SÁNH VỚI CÁC GIẢI PHÁP TRUYỀN THỐNG TRÊN THỊ TRƯỜNG                   |
+-----------------------------+-------------------------------+--------------------------------------+
| Đặc tính kỹ thuật           | Mô hình truyền thống SME      | Giải pháp đề xuất của đồ án          |
+-----------------------------+-------------------------------+--------------------------------------+
| Kiến trúc mạng              | Mạng phẳng Router DrayTek/TP  | Phân vùng NGFW Cisco FirePOWER       |
| Kiểm soát Endpoint          | Antivirus miễn phí rải rác    | Centralized Kaspersky Security Hub   |
| Chính sách dữ liệu          | Không mã hóa, sao lưu thủ công| BitLocker AES-256 + EFS + Auto Sync  |
| Khả năng chống Ransomware   | Kém (dễ lây lan toàn mạng)    | Rất cao (chặn đứng lây nhiễm chéo)   |
| Chi phí vận hành            | Thấp nhưng rủi ro tổn thất lớn| Tối ưu hóa theo quy mô 100-150 users |
+-----------------------------+-------------------------------+--------------------------------------+

Ứng dụng thực tế và triển khai

Kịch bản vận hành thực tế

  1. Phòng ngừa tấn công giả mạo (Phishing/Malware): Khi nhân viên kinh doanh nhận được email chứa liên kết tải mã độc ngụy trang dưới dạng báo giá nhà cung cấp, hệ thống lọc nội dung URL Filtering và Cisco AMP tại cổng Gateway sẽ phân tích hành vi, lập tức khóa kết nối và gửi cảnh báo về nhóm kỹ thuật.
  2. Bảo vệ dữ liệu kế toán khi thất lạc thiết bị: Trường hợp máy tính xách tay của kế toán trưởng bị mất cắp, toàn bộ ổ cứng đã được khóa bằng BitLocker AES-256 kèm chip TPM; kẻ gian tháo ổ cứng gắn sang máy tính khác cũng không thể giải mã được dữ liệu mà không có Recovery Key 48 ký tự.
+-------------------------------------------------------------------------------+
|                     BẢNG TÍNH TOÁN HIỆU QUẢ KINH TẾ (ROI)                     |
+-------------------------------------------------------------+-----------------+
| Hạng mục chi phí / Lợi ích                                  | Giá trị (VNĐ)   |
+-------------------------------------------------------------+-----------------+
| Chi phí đầu tư Firewall phần cứng + License 01 năm          | 35.000.000      |
| Chi phí bản quyền Kaspersky Small Office (50 máy / 01 năm)   | 18.000.000      |
| Chi phí nâng cấp RAM/SSD máy chủ và trạm                    | 22.000.000      |
| Tổng chi phí đầu tư (CAPEX):                                | 75.000.000      |
+-------------------------------------------------------------+-----------------+
| Thiệt hại ước tính nếu bị Ransomware mã hóa dữ liệu 01 tuần | 350.000.000     |
| Tỷ suất hoàn vốn đầu tư an toàn thông tin (Security ROI):   | 366.7%          |
| Thời gian hoàn vốn rủi ro (Payback Period):                 | < 3 tháng       |
+-------------------------------------------------------------+-----------------+

Lộ trình mở rộng hệ thống dự kiến đến năm 2022: Mở rộng hạ tầng từ 50 lên 150 node mạng, tích hợp thêm chi nhánh phân phối phía Nam thông qua kênh truyền bảo mật IPsec VPN Site-to-Site.

Hạn chế và hướng phát triển

  • Hạn chế kỹ thuật: Cấu hình phần cứng một số máy trạm đời cũ (RAM 2GB DDR2) còn gây độ trễ khi chạy đồng thời nhiều tác vụ nặng; giải pháp chưa triển khai được hệ thống xác thực tập trung đa yếu tố (2FA/MFA) cho toàn bộ phiên đăng nhập máy tính nội bộ.
  • Rào cản nhân lực: Đội ngũ chuyên trách CNTT của công ty chỉ gồm 02 nhân sự, gặp áp lực lớn trong việc giám sát nhật ký (Log analysis) hàng ngày nếu không có công cụ tự động hóa SOC.
  • Hướng phát triển:
    1. Nâng cấp toàn diện máy chủ vật lý lên nền tảng ảo hóa VMware ESXi / Hyper-V.
    2. Triển khai kiến trúc Zero Trust Network Access (ZTNA) kết hợp quản lý định danh đám mây (Azure Active Directory / Microsoft Entra ID).
    3. Tích hợp hệ thống giám sát an ninh mã nguồn mở SIEM (Wazuh / Elastic Security) để thu thập và phân tích sự kiện bảo mật tập trung theo thời gian thực.

Đối tượng hưởng lợi

+----------------------------------------------------------------------------------------------------+
|                                LỢI ÍCH CỤ THỂ CHO CÁC NHÓM ĐỐI TƯỢNG                               |
+--------------------+-------------------------------------------------------------------------------+
| Nhóm đối tượng     | Giá trị thực tiễn mang lại                                                    |
+--------------------+-------------------------------------------------------------------------------+
| Sinh viên CNTT/HTTT| Tài liệu tham khảo toàn diện về ứng dụng an toàn thông tin thực tế trong SME; |
|                    | Nắm vững phương pháp khảo sát SPSS và cấu hình bảo mật đa tầng.               |
| Kỹ sư / Sysadmin   | Bộ script PowerShell, mẫu cấu hình Cisco ASA ACL và quy trình đóng gói EFS    |
|                    | sẵn sàng áp dụng trực tiếp cho các hệ thống doanh nghiệp tương đương.         |
| Doanh nghiệp SME   | Khung kiến trúc bảo mật chi phí thấp, tối ưu hóa ROI, bảo vệ triệt để tài sản  |
|                    | dữ liệu và nâng cao uy tín thương hiệu trong mắt đối tác cung ứng.            |
| Nhà nghiên cứu     | Dữ liệu thực nghiệm về mối tương quan giữa nhận thức bảo mật và hiệu quả CNTT |
|                    | trong khối doanh nghiệp phân phối thiết bị công nghiệp tại Việt Nam.          |
+--------------------+-------------------------------------------------------------------------------+

Câu hỏi thường gặp

  1. Yêu cầu phần cứng tối thiểu để triển khai giải pháp là gì? Máy chủ yêu cầu tối thiểu CPU 4 Cores, 8GB RAM (khuyến nghị 16GB), ổ lưu trữ SSD chạy RAID 1/RAID 5. Máy trạm yêu cầu CPU Intel Core i3 thế hệ mới trở lên, tối thiểu 4GB RAM và hệ điều hành Windows 10/11 64-bit có hỗ trợ TPM 2.0 để kích hoạt BitLocker.
  2. Khả năng mở rộng của hệ thống khi doanh nghiệp tăng quy mô nhân sự? Hạ tầng phân vùng trên Cisco ASA 5506-X cho phép mở rộng dễ dàng lên đến 150-200 người dùng đồng thời mà không cần thay đổi kiến trúc cốt lõi; chỉ cần bổ sung license Endpoint Security tương ứng theo số lượng máy trạm phát sinh.
  3. Hệ thống bảo mật mới có làm gián đoạn phần mềm kế toán MISA hiện có không? Không. Dữ liệu kế toán được bảo vệ thông suốt nhờ việc phân quyền chính xác User Access Control trên thư mục chia sẻ mạng và thiết lập Rule tường lửa riêng cho cổng kết nối của SQL Server (Port 1433/TCP).
  4. Chi phí bảo trì và vận hành hàng năm ước tính là bao nhiêu? Chi phí duy trì hàng năm bao gồm gia hạn bản quyền Kaspersky Small Office Security (khoảng 15-18 triệu VNĐ/năm) và gói bảo hành thiết bị phần cứng SmartNet cho Firewall (khoảng 8 triệu VNĐ/năm).
  5. Tại sao không sử dụng hoàn toàn giải pháp bảo mật đám mây (Cloud Security)? Đối với các doanh nghiệp phân phối truyền thống, việc lưu trữ cơ sở dữ liệu nội bộ (On-Premises) giúp duy trì toàn quyền kiểm soát dữ liệu, giảm thiểu chi phí thuê bao hàng tháng và đảm bảo hoạt động liên tục ngay cả khi mất kết nối Internet quốc tế.

Kết luận

Khóa luận tốt nghiệp đã giải quyết thành công bài toán cấp bách về an toàn và bảo mật hệ thống thông tin tại Công ty TNHH Máy và Thiết bị Công nghiệp Việt Nam (VINAMECA). Bằng việc phân tích sâu sát hiện trạng thông qua công cụ thống kê SPSS, đề tài đã xây dựng một phương án kỹ thuật khả thi, kết hợp chặt chẽ giữa thiết bị tường lửa thế hệ mới Cisco ASA FirePOWER, phân vùng mạng Intranet ODC/OPEN, giải pháp mã hóa kép EFS - BitLocker AES-256 và phần mềm bảo vệ điểm cuối có bản quyền.

Công trình không chỉ mang lại giá trị thực tiễn trực tiếp cho doanh nghiệp trong việc loại trừ các hiểm họa mã độc, ngăn chặn rò rỉ dữ liệu tài chính với mức chi phí đầu tư tối ưu, mà còn là bản thiết kế tham chiếu chuẩn mực cho các doanh nghiệp vừa và nhỏ trong quá trình hiện đại hóa và đảm bảo an ninh thông tin. Các quản trị viên hệ thống và doanh nghiệp có thể tham khảo áp dụng ngay mô hình này để thiết lập bức tường phòng thủ vững chắc cho tài nguyên thông tin của mình.