Bối cảnh và vấn đề nghiên cứu

Trong hoạt động quản trị và điều hành doanh nghiệp thương mại, hệ thống thông tin (HTTT) đóng vai trò trung tâm trong việc thu thập, xử lý và lưu trữ dữ liệu phục vụ ra quyết định kinh doanh. Sự phát triển của mạng Internet mở ra khả năng chia sẻ tài nguyên nhanh chóng nhưng đồng thời làm gia tăng nguy cơ phân tán tài nguyên, lộ lọt dữ liệu và tạo điều kiện cho các hành vi xâm nhập trái phép từ bên ngoài lẫn bên trong tổ chức. Đối với doanh nghiệp phân phối và tiếp thị dược phẩm, sự an toàn của hệ thống thông tin liên quan trực tiếp đến bảo mật dữ liệu khách hàng, tài chính và các chiến lược thương mại.

Khóa luận tốt nghiệp với đề tài "Một số giải pháp đảm bảo an toàn cho HTTT của Công ty TNHH Dược phẩm Á Âu" do sinh viên Lê Thị Ngọc Ánh thực hiện (ngành Hệ thống thông tin, Trường Đại học Thương Mại, năm 2017) dưới sự hướng dẫn của ThS. Bùi Quang Trường, tập trung giải quyết bài toán an toàn thông tin tại một doanh nghiệp phân phối dược phẩm cụ thể.

Văn bản xác định 4 mục tiêu nghiên cứu cụ thể:

  1. Tìm hiểu, nghiên cứu và hệ thống hóa cơ sở lý luận về an toàn và bảo mật HTTT cho doanh nghiệp.
  2. Phân tích, tổng hợp thực trạng về an toàn bảo mật HTTT trong Công ty TNHH Dược phẩm Á Âu.
  3. Đánh giá ưu điểm, nhược điểm và nguyên nhân của thực trạng an toàn bảo mật HTTT trong doanh nghiệp.
  4. Trên cơ sở nghiên cứu lý thuyết, phân tích và đánh giá thực trạng, đưa ra các kiến nghị, biện pháp kỹ thuật và chính sách để đảm bảo an toàn bảo mật HTTT cho doanh nghiệp.

Đối tượng và phạm vi nghiên cứu được xác lập như sau:

  • Đối tượng nghiên cứu: Hệ thống mạng, máy chủ, máy trạm; các phần cứng và phần mềm sử dụng tại công ty; cơ sở dữ liệu và lưu trữ; nhân viên và cán bộ quản lý (yếu tố con người liên quan đến bảo mật); hệ thống thông tin và toàn bộ hoạt động của HTTT tại doanh nghiệp.
  • Phạm vi nội dung: Nghiên cứu vi mô các phương pháp, quy trình và nguyên tắc trong đảm bảo an toàn hệ thống thông tin tại một doanh nghiệp cụ thể.
  • Phạm vi thời gian: Số liệu hoạt động của công ty giai đoạn 2013–2016 (dữ liệu kết quả kinh doanh giai đoạn 2013–2015) và khảo sát thực tế qua phiếu điều tra trong thời gian 4 tháng.
  • Phạm vi không gian: Công ty TNHH Dược phẩm Á Âu (trụ sở chính tại số 171–173 Chùa Láng, Láng Thượng, Đống Đa, Hà Nội và văn phòng đại diện tại TP. Hồ Chí Minh).

Cơ sở lý thuyết và phương pháp

Khóa luận hệ thống hóa cơ sở lý luận về an toàn thông tin trên nền tảng các giáo trình và tài liệu chuyên ngành:

  • Khung lý thuyết và khái niệm:
    • Dữ liệu và thông tin: Dữ liệu là các sự kiện, quan sát khách quan về thực thể chưa tải giá trị thông tin; thông tin là dữ liệu đã được tổ chức theo quy tắc để mang lại giá trị gia tăng; tri thức là nội dung các quy tắc, hướng dẫn định nghĩa mối quan hệ giữa các dữ liệu.
    • Hệ thống thông tin: Mô hình xử lý gồm 4 thành phần: Đầu vào (Input), Xử lý (Processing), Đầu ra (Output) và Cơ chế phản hồi (Feedback).
    • An toàn dữ liệu: Định nghĩa theo giáo trình của Đàm Gia Mạnh (2007) là quá trình đảm bảo hệ thống tránh khỏi các nguy cơ mất mát, hỏng hóc ngẫu nhiên hoặc có chủ đích. Hệ thống bảo mật cần đáp ứng 4 yếu tố cốt lõi: Tính bảo mật (Confidentiality), Tính toàn vẹn (Integrity), Tính sẵn sàng (Availability) và Tính tin cậy.
    • Các hình thức tấn công mạng: Phân loại thành tấn công thụ động (nghe trộm đường truyền bằng bắt sóng Wi-Fi/Packet Sniff, phân tích lưu lượng, xem lén thư điện tử) và tấn công chủ động (giả mạo người gửi, giả mạo địa chỉ IP, thay đổi thông điệp, tấn công lặp lại - Replay Attack, tấn công từ chối dịch vụ - DoS).
  • Phương pháp nghiên cứu:
    • Phương pháp thu thập dữ liệu: Nghiên cứu tài liệu thứ cấp (sách, giáo trình, bài báo khoa học, Internet); thống kê bằng phiếu điều tra khảo sát ý kiến cán bộ nhân viên; so sánh đối chiếu giữa lý luận và thực tiễn; phân tích và tổng hợp số liệu nội bộ (báo cáo tài chính, báo cáo quản trị); phương pháp phán đoán dự báo các nguy cơ an toàn thông tin.
    • Phương pháp phân tích và xử lý dữ liệu: Phương pháp định lượng (sử dụng phần mềm SPSS để phân tích thống kê mô tả, tần suất, phân tích hồi quy); phương pháp định tính và thống kê mô tả (sử dụng Microsoft Excel để tổng hợp bảng số liệu, vẽ biểu đồ phân tích thực trạng).
  • Nguồn dữ liệu: Dữ liệu thứ cấp từ Phòng Tài chính - Kế toán Công ty TNHH Dược phẩm Á Âu (báo cáo kết quả kinh doanh 2013–2015) và dữ liệu sơ cấp thu thập từ phiếu điều tra khảo sát hiện trạng phần cứng, phần mềm, nhận thức an toàn thông tin của nhân viên tại công ty.

Nội dung chính theo từng chương

Phần I: Tổng quan về vấn đề nghiên cứu

Phần này trình bày tính cấp thiết, mục tiêu, đối tượng, phạm vi và phương pháp nghiên cứu, đồng thời tổng quan y văn trong và ngoài nước:

  • Tình hình nghiên cứu quốc tế: Điểm qua công trình của Valacich J. (2009) trong cuốn Information Systems Today: Managing in the Digital World (trình bày tổng quan HTTT và bảo mật trong chương 10 nhưng chưa đi sâu vào từng phương pháp cụ thể cho mỗi loại HTTT) và William Stallings (2005) trong cuốn Cryptography and Network Security Principles and Practices (phân tích công nghệ mật mã, chuẩn mã hóa dữ liệu DES theo tiêu chuẩn FIPS PUB 46 với khối 64-bit, khóa 56-bit và thuật toán xác thực CMAC).
  • Tình hình nghiên cứu trong nước: Phân tích các giáo trình nền tảng gồm Giáo trình An toàn dữ liệu trong thương mại điện tử của Đàm Gia Mạnh (2007) và Giáo trình Hệ thống thông tin quản lý của Trần Thị Song Minh (2012); cùng các đề tài nghiên cứu về an toàn bảo mật HTTT của TS. Trịnh Ngọc Minh, GS. Hoàng Kiếm (Đại học Quốc gia TP.HCM) và luận văn về mã hóa công khai RSA của Đặng Tì Trung (Học viện Kỹ thuật Quân sự). Tác giả chỉ ra rằng các nghiên cứu trước chủ yếu dừng lại ở mức độ tổng hợp lý thuyết hoặc phương pháp chung mà chưa áp dụng vào một doanh nghiệp cụ thể.

Phần 2: Cơ sở lí luận và thực trạng về vấn đề an toàn và bảo mật cho hệ thống thông tin của Công ty TNHH Dược phẩm Á Âu

Chương này tập trung trình bày cơ sở lý luận an toàn HTTT và khảo sát chi tiết thực trạng tại Công ty TNHH Dược phẩm Á Âu – doanh nghiệp phân phối các sản phẩm dược có nguồn gốc thiên nhiên (như Nga Phụ Khang, Nattospes, Cốt Thống Linh, Hoàng Thống Phong, Hoàng Thấp Linh, Kim Miễn Khang, Ấm Chi Vương, Phụ Lạc Cao):

  • Cơ cấu tổ chức và kết quả kinh doanh: Công ty tổ chức theo mô hình trực tuyến - chức năng gồm Ban Giám đốc và 4 phòng ban (Tài chính - Kế toán, Hành chính - Nhân sự, Kế hoạch - Kỹ thuật, Kinh doanh). Báo cáo tài chính giai đoạn 2013–2015 ghi nhận sự biến động do thị trường nhập khẩu:
Chỉ tiêu tài chính (Đơn vị: VNĐ) Năm 2013 Năm 2014 Năm 2015
1. Tổng tài sản 20.xxx.xxx.xxx Có biến động Tăng trưởng
2. Tổng nợ phải trả 5.xxx.xxx.xxx Có biến động Điều chỉnh
3. Tổng nợ ngắn hạn 565.xxx.xxx Có biến động Điều chỉnh
4. Lợi nhuận trước thuế 5.xxx.xxx.xxx Giảm 3,86% Tăng trưởng
5. Lợi nhuận sau thuế 4.096.xxx.xxx Giảm 1,xx% Tăng trở lại
  • Hiện trạng trang thiết bị phần cứng: 100% máy tính được kết nối Internet qua nhà mạng VNPT:
STT Tên trang thiết bị Số lượng Mức độ đáp ứng nhu cầu sử dụng
1 Máy chủ (Server) 2 Tốt
2 Máy tính để bàn (Desktop) 40 Khá
3 Máy tính xách tay (Laptop) 20 Tốt
4 Máy in 3 Tốt
5 Thiết bị kết nối mạng 5 Khá
  • Hiện trạng phần mềm và quản trị dữ liệu:
    • Danh mục phần mềm đang sử dụng: Hệ điều hành Windows XP, Windows 7, Windows 8; Microsoft Office 2010; Bkav Pro 2015; Phần mềm kế toán Fast; TeamViewer 10; Skype; Notepad++; Adobe Photoshop CS6; FileZilla; Sothink SWF Decompiler; Hệ quản trị CSDL SQL Server; Website xây dựng bằng ngôn ngữ PHP và CSDL MySQL.
    • Kết quả khảo sát lý do doanh nghiệp chưa sử dụng các phần mềm chuyên dụng như ERP, CRM: Chi phí triển khai cao chiếm 50%, trình độ nhân viên chưa đủ chiếm 20%, giao diện chưa thân thiện/khó sử dụng chiếm 18%, chưa thực sự cần thiết chiếm 12%.
    • Tình trạng bản quyền: 62% máy tính sử dụng phần mềm miễn phí, chỉ có 38% máy tính sử dụng phần mềm diệt virus có bản quyền và phần mềm kế toán.
    • Biện pháp bảo vệ dữ liệu cá nhân của nhân viên: 50% cài đặt mật khẩu cho máy tính và dữ liệu, 25% sử dụng ổ cứng độ bền cao, 25% sử dụng phương pháp sao lưu liên tục.
    • Tần suất sao lưu hệ thống: Doanh nghiệp thực hiện sao lưu khoảng 4 tháng/lần (thời gian quá dài, nguy cơ mất mát dữ liệu cao).
    • Nhân lực CNTT: Bộ phận Kỹ thuật - CNTT có 4 người, trình độ từ cao đẳng trở lên.
    • Thương mại điện tử: 68% đối tượng khách hàng từ hoạt động marketing trực tuyến là cá nhân và hộ gia đình; website chưa tích hợp cổng thanh toán trực tuyến.
    • Điểm hạn chế chính: Nhân viên còn sử dụng tài khoản chung, chia sẻ mật khẩu, dùng phần mềm không bản quyền (crack), dùng mạng Wi-Fi công cộng không bảo mật để truy cập HTTT nội bộ; chưa có chính sách, quy trình an toàn thông tin văn bản hóa.

Phần 3: Định hướng phát triển và đề xuất giải pháp an toàn bảo mật thông tin tại Công ty TNHH Dược phẩm Á Âu

Tác giả đề xuất các giải pháp kỹ thuật, cơ sở hạ tầng và quản lý đồng bộ:

  • Ứng dụng giải pháp Honeypots / Honeynet: Thiết lập hệ thống tài nguyên giả lập (Mail Server, DNS, Web Server) đặt ngoài tường lửa để thu hút tin tặc, ghi nhận phương thức và công cụ tấn công mà không gây nguy hại đến hệ thống thật; phân định loại tương tác thấp (mô phỏng dịch vụ) và tương tác cao (dịch vụ thật); triển khai Honeynet với Honeywall hoạt động ở tầng 2 (Bridged) làm gateway kiểm soát luồng dữ liệu vào/ra.
  • Ứng dụng hệ thống IDS Snort:
    • Cấu trúc hệ thống gồm: Trình phân tích dòng lệnh (hàm ParseCmdLine với hơn 40 options từ phiên bản 2.6), bộ xử lý file cấu hình (ParseRulesFile), cấu trúc cây luật gồm Rule Tree Node (RTN) cho phần header và Option Tree Node (OTN) cho phần options.
    • Quy trình xử lý và giải mã gói tin: Tiếp nhận gói tin qua libpcap (gọi hàm pcap_dispatch, PcapProcessPacket, ProcessPacket) hoặc qua iptables khi chạy ở chế độ inline; giải mã tuần tự qua các decoder (DecodeEthPkt -> DecodeIP -> DecodeTCP) hỗ trợ các giao thức IP, ICMP, TCP, UDP trên nền Ethernet, 802.11, Token Ring, FDDI, Cisco HDLC, SLIP, PPP; sau đó đưa qua các bộ tiền xử lý (preprocessor như frag3, stream4, stream5) trước khi đối chiếu tại detection engine.
  • Nâng cấp thiết bị phần cứng bảo mật: Triển khai thiết bị Cisco RV016 Multi-WAN VPN Router với các thông số:
    • Tường lửa kiểm tra trạng thái gói tin (SPI), lọc gói chống DoS, SYN flood, Land attack, IP spoofing.
    • Cung cấp VPN IPsec kết nối chi nhánh và người dùng từ xa; dịch vụ bảo mật Cisco ProtectLink lọc URL động và chặn đe dọa web.
    • Khả năng cấu hình: Tối đa 50 quy tắc truy cập (Access Rules), 30 cổng chuyển tiếp (Port Forwarding), 30 cổng kích hoạt (Port Triggering); ngăn chặn Java, Cookies, ActiveX, HTTP proxy.
  • Phần mềm mã hóa và bảo mật:
    • Ứng dụng GiliSoft File Lock Pro: Cung cấp chức năng ẩn dữ liệu, khóa thư mục/ổ đĩa, mã hóa file sang định dạng thực thi (.exe) bằng thuật toán AES, xóa an toàn dữ liệu nhạy cảm bằng phương pháp ghi đè nhiều lần.
    • Ứng dụng Bitdefender SBS Security: Cài đặt bảo vệ thời gian thực cho máy chủ và máy trạm, quét email/web, quản lý tập trung chính sách bảo mật, kiểm soát truy cập web và ứng dụng mạng xã hội trong giờ làm việc.
  • Tối ưu hóa quản trị CSDL và hệ thống mạng: Thiết lập chính sách kiểm soát chia sẻ thư mục trên máy chủ SQL Server; định kỳ 6 tháng/lần rà soát và thu hồi tài khoản người dùng nghỉ việc; xây dựng nhật ký thay đổi CSDL; chuyển đổi mạng nội bộ sang mô hình Client-Server kết hợp giao thức SSL và mạng riêng ảo (VPN).
  • Đào tạo nhân lực và quy chế nội bộ: Chọn 2–5 nhân viên đào tạo chuyên sâu về an toàn thông tin; tổ chức tập huấn định kỳ; ban hành quy định ký cam kết bảo mật thông tin nội bộ/khách hàng; xử lý tiêu hủy giấy tờ tài liệu qua máy hủy tài liệu.

Kết quả và đóng góp

Khóa luận đã đạt được các kết quả cụ thể dựa trên số liệu khảo sát thực tế:

  • Tổng hợp đầy đủ bức tranh hiện trạng HTTT của Công ty TNHH Dược phẩm Á Âu với 60 máy tính (40 máy bàn, 20 laptop) và 2 máy chủ, chỉ ra các lỗ hổng lớn như: 62% máy dùng phần mềm không bản quyền, 50% nhân viên chưa áp dụng biện pháp bảo vệ dữ liệu chuyên sâu ngoài đặt mật khẩu đơn giản, chu kỳ sao lưu dữ liệu kéo dài 4 tháng/lần.
  • Đề xuất một kiến trúc giải pháp an toàn thông tin đa tầng kết hợp giữa phần cứng chuyên dụng (Cisco RV016 Multi-WAN VPN Router), công cụ phát hiện xâm nhập mã nguồn mở (IDS Snort với chi tiết quy trình giải mã gói tin), hệ thống bẫy xâm nhập (Honeypot/Honeywall), phần mềm mã hóa (GiliSoft File Lock Pro) và bảo mật tập trung (Bitdefender SBS Security).
  • Đóng góp so với các nghiên cứu trước: Khắc phục hạn chế của các nghiên cứu mang tính lý thuyết thuần túy (như các tài liệu của Valacich, Đặng Tì Trung) bằng cách đưa ra mô hình giải pháp bảo mật ứng dụng trực tiếp vào một doanh nghiệp dược phẩm quy mô vừa và nhỏ, cân đối giữa chi phí đầu tư và năng lực kỹ thuật thực tế của đơn vị.

Hạn chế và hướng nghiên cứu tiếp

  • Hạn chế: Nghiên cứu được thực hiện ở quy mô vi mô tại một doanh nghiệp thương mại dược phẩm; dữ liệu điều tra sơ cấp thu thập trong khoảng thời gian 4 tháng; các mô hình giải pháp kỹ thuật (Honeynet, Snort IDS, Cisco RV016) được xây dựng ở mức độ đề xuất thiết kế, cấu hình nguyên lý và quy trình triển khai mà chưa có điều kiện thử nghiệm thực tế dài hạn trên toàn bộ hệ sinh thái mạng của công ty.
  • Hướng nghiên cứu tiếp: Tiếp tục triển khai thử nghiệm thực tế cấu hình Snort IDS và Honeynet trên môi trường mạng của doanh nghiệp; đo lường số lượng cảnh báo, tỷ lệ dương tính giả; mở rộng nghiên cứu sang việc xây dựng hệ thống quản lý an toàn thông tin theo tiêu chuẩn ISO/IEC 27001 cho các doanh nghiệp thương mại dược phẩm.

Giá trị tham khảo

  • Đối tượng tham khảo: Sinh viên chuyên ngành Hệ thống thông tin, Công nghệ thông tin, Thương mại điện tử và các cán bộ quản trị mạng tại các doanh nghiệp vừa và nhỏ.
  • Nội dung giá trị: Khóa luận là tài liệu tham khảo chi tiết về phương pháp khảo sát đánh giá thực trạng an toàn thông tin trong doanh nghiệp thương mại; quy trình phân tích gói tin, giải mã và xây dựng cây luật của Snort IDS; cùng phương án kết hợp các phần mềm bảo mật (GiliSoft File Lock Pro, Bitdefender SBS Security) và thiết bị mạng phần cứng (Cisco RV016) với chi phí hợp lý.

Câu hỏi thường gặp

1. Hạ tầng phần cứng và mạng của Công ty TNHH Dược phẩm Á Âu tại thời điểm nghiên cứu có quy mô như thế nào? Công ty trang bị 2 máy chủ, 40 máy tính để bàn, 20 máy tính xách tay, 3 máy in và 5 thiết bị kết nối mạng. Toàn bộ 60 máy tính đều được kết nối vào mạng nội bộ (LAN) và kết nối Internet 100% qua đường truyền của VNPT.

2. Khảo sát chỉ ra những nguyên nhân chính nào khiến doanh nghiệp chưa triển khai các phần mềm ERP, CRM? Kết quả xử lý phiếu điều tra cho thấy có 4 nguyên nhân: chi phí triển khai cao (chiếm 50%), trình độ nhân viên chưa đáp ứng (chiếm 20%), giao diện chưa thân thiện/khó sử dụng (chiếm 18%) và doanh nghiệp cảm thấy chưa thực sự cần thiết (chiếm 12%).

3. Thực trạng quản trị dữ liệu và ý thức an toàn thông tin của nhân viên công ty có những tồn tại cụ thể nào? Doanh nghiệp có chu kỳ sao lưu dữ liệu quá dài (khoảng 4 tháng/lần); 62% máy tính dùng phần mềm không bản quyền; nhân viên có tình trạng dùng chung tài khoản, chia sẻ mật khẩu, sử dụng phần mềm bẻ khóa (crack) và thường xuyên dùng mạng Wi-Fi công cộng không bảo mật để truy cập vào hệ thống nội bộ của công ty.

4. Thiết bị phần cứng bảo mật nào được đề xuất trang bị cho công ty và có những tính năng kỹ thuật nổi bật gì? Khóa luận đề xuất trang bị Router Cisco RV016 Multi-WAN VPN Router. Thiết bị này hỗ trợ tường lửa SPI, mã hóa phần cứng IPsec VPN, dịch vụ bảo mật đám mây Cisco ProtectLink lọc URL động, phòng chống tấn công DoS, SYN flood, Land attack, IP spoofing; quản lý tối đa 50 quy tắc truy cập (Access Rules), 30 cổng chuyển tiếp và 30 cổng kích hoạt.

5. Cơ chế giải mã và xử lý gói tin của Snort IDS được phân tích theo trình tự kỹ thuật nào trong bài viết? Gói tin sau khi tiếp nhận từ libpcap (qua hàm pcap_dispatch, PcapProcessPacket, ProcessPacket) được chuyển đến decoder lớp liên kết (DecodeEthPkt), sau đó dựa vào trường ether_type để gọi decoder tầng mạng (DecodeIP) và tiếp tục gọi decoder tầng giao vận (DecodeTCP). Gói tin sau giải mã sẽ được tiền xử lý qua các preprocessor (như frag3, stream4/5) rồi chuyển đến detection engine để so khớp với tập luật dạng cây (gồm Rule Tree Nodes và Option Tree Nodes) trước khi xuất cảnh báo hoặc ghi nhật ký.

Kết luận

Khóa luận tốt nghiệp của tác giả Lê Thị Ngọc Ánh đã phân tích toàn diện thực trạng an toàn bảo mật hệ thống thông tin tại Công ty TNHH Dược phẩm Á Âu dựa trên số liệu khảo sát thực tế và báo cáo tài chính giai đoạn 2013–2015. Trên cơ sở đó, tác giả đã đề xuất một hệ thống giải pháp đồng bộ kết hợp giữa thiết bị mạng phần cứng Cisco RV016, hệ thống phát hiện xâm nhập Snort IDS, mô hình bẫy Honeypot cùng các phần mềm mã hóa và chính sách quản lý tài khoản nội bộ. Công trình là tài liệu tham khảo có giá trị học thuật và thực tiễn cho công tác bảo đảm an toàn hệ thống thông tin tại các doanh nghiệp phân phối thương mại vừa và nhỏ.