Giới thiệu dự án

Trong bối cảnh toàn cầu hóa và cách mạng công nghiệp 4.0, công nghệ thông tin (CNTT) đã trở thành hạ tầng cốt lõi điều phối toàn bộ hoạt động quản trị, sản xuất và kinh doanh của doanh nghiệp. Tuy nhiên, sự gia tăng nhanh chóng về quy mô dữ liệu và tính phân tán của hệ thống cũng mở ra bề mặt tấn công ngày càng phức tạp cho tội phạm mạng. Theo báo cáo thống kê từ các tổ chức an ninh mạng quốc tế như Kaspersky Lab, các cuộc tấn công bằng mã độc tống tiền (ransomware) nhắm vào doanh nghiệp đã tăng gấp 3 lần từ 131.111 vụ lên 718.536 vụ chỉ trong vòng một năm, với tần suất trung bình cứ 40 giây lại có một cuộc tấn công mới xuất hiện. Đáng chú ý, các chủng mã độc mã hóa dữ liệu (Crypto-ransomware) chiếm tỷ trọng tăng đột biến từ 6,6% lên 31,6%. Đồng thời, các vụ rò rỉ dữ liệu quy mô hàng tỷ tài khoản tại các tập đoàn lớn (Yahoo, LinkedIn, Twitter) cùng khảo sát của hãng kiểm toán EY cho thấy: 66% doanh nghiệp từng đối mặt sự cố bảo mật, 65% vụ tấn công xuất phát từ mối đe dọa nội bộ, trong khi 49% doanh nghiệp chưa coi an toàn thông tin (ATTT) là ưu tiên hàng đầu.

Công ty Cổ phần Hoàng Giang (H.G JC) – doanh nghiệp hoạt động đa ngành tại Hải Dương trong các lĩnh vực sản xuất bánh kẹo (bánh đậu xanh Hoàng Gia), chế biến đồ uống (rượu Côn Sơn Tửu) và kinh doanh bất động sản (sàn BĐS Đông Nam) – đang ghi nhận tốc độ tăng trưởng doanh thu ấn tượng từ 13,81% đến 15,77%/năm, đạt quy mô doanh thu trên 12,84 tỷ VNĐ. Mặc dù vậy, hệ thống thông tin (HTTT) của công ty vẫn đang vận hành trên nền tảng hạ tầng công nghệ sơ khai với 2 máy chủ dữ liệu, 30 máy trạm/laptop, 3 bộ chuyển mạch Switch 8 cổng và mạng cục bộ LAN cơ bản. Kết quả khảo sát thực tế cho thấy điểm đánh giá mức độ tin cậy và riêng tư của dữ liệu tại công ty chỉ đạt mức 1/4 (mức không hài lòng), trong khi 66,67% rào cản xuất phát từ hạn chế ngân sách và 33,33% từ thiếu hụt nhân sự CNTT chuyên trách.

       MẶT TRẬN ĐE DỌA AN NINH MẠNG TẠI CÔNG TY CP HOÀNG GIANG
  +------------------------------------------------------------------+
  | Mạng Ngoài (Internet): Ransomware, DDoS, Phishing, MitM, ICMP   |
  +---------------------------------+--------------------------------+
                                    |
                            [ Lỗ hổng chu vi ]
                                    v
  +------------------------------------------------------------------+
  | Vùng CSDL Nội Bộ: Dữ liệu Kế toán Fast, Công thức SX, Hồ sơ BĐS |
  | Nguy cơ: Nghe lén (Sniffing), Đánh cắp vật lý, Thất thoát EFS   |
  +------------------------------------------------------------------+

Đề tài "Giải pháp đảm bảo an toàn và bảo mật cho hệ thống thông tin của Công ty Cổ phần Hoàng Giang" được thực hiện nhằm giải quyết trực tiếp bài toán bảo vệ tài sản dữ liệu của doanh nghiệp với các mục tiêu cụ thể:

  1. Hệ thống hóa cơ sở lý luận về tam giác bảo mật CIA (Confidentiality - Integrity - Availability) và các nguy cơ đe dọa an toàn thông tin doanh nghiệp.
  2. Khảo sát, lượng hóa thực trạng ATTT tại Công ty CP Hoàng Giang thông qua phương pháp phân tích thống kê định lượng (SPSS) và định tính (Microsoft Excel).
  3. Thiết kế và đề xuất mô hình kiến trúc an ninh tích hợp "All-in-One" chi phí thấp bao gồm: Giải pháp tường lửa bảo vệ chu vi (Stateful Inspection Firewall/UTM), phân đoạn mạng nội bộ nghiêm ngặt và cơ chế mã hóa dữ liệu cục bộ EFS (Encrypting File System).
  4. Xây dựng lộ trình triển khai, kiểm thử và chính sách bảo mật phù hợp với ngân sách đầu tư dưới 50 triệu VNĐ của doanh nghiệp vừa và nhỏ (SME).

Dự án giới hạn phạm vi nghiên cứu tại trụ sở Công ty CP Hoàng Giang (Cụm Công nghiệp Cẩm Thượng, TP. Hải Dương), tập trung bảo vệ luồng dữ liệu tài chính - kế toán (phần mềm Fast Accounting), dữ liệu khách hàng bất động sản và các bí quyết công nghệ sản xuất, dựa trên tập số liệu khảo sát thực tế giai đoạn 2013–2015.

Phân tích và thiết kế giải pháp

Phân tích hiện trạng

Khảo sát thực tế 15 cán bộ quản lý và nhân viên chuyên trách tại Công ty CP Hoàng Giang cho thấy 97% ban lãnh đạo quan tâm sâu sắc đến ATTT, nhưng hiện trạng phòng thủ còn nhiều lỗ hổng nghiêm trọng. Công ty mới chỉ trang bị phần mềm diệt virus cá nhân (BKAV Pro 2015, Security Plus for MdeaS, Symantec), hệ điều hành Windows bản quyền và tường lửa mặc định của Windows. Hệ thống chưa có cơ chế giám sát lưu lượng tập trung, chưa có tường lửa chuyên dụng ngăn chặn xâm nhập và hoàn toàn thiếu vắng giải pháp mã hóa dữ liệu tại chỗ (Data-at-Rest Encryption).

Giải pháp hiện tại Ưu điểm Nhược điểm / Lỗ hổng Rủi ro đối với Doanh nghiệp
BKAV Pro 2015 & Symantec Quét virus theo mẫu (signature), dễ cài đặt trên máy trạm Không ngăn chặn được tấn công mạng mức mạng (Network-layer attacks), không chống được zero-day Nhiễm mã độc tống tiền (Crypto-ransomware) qua email
Windows Firewall Tích hợp sẵn trong Windows XP/7/8, miễn phí Khả năng lọc gói thô sơ, cấu hình phân tán, không có tính năng kiểm soát trạng thái nâng cao Bị vượt qua bởi kỹ thuật Spoofing, TCP SYN Flood, ICMP Tunneling
Fast Accounting phân quyền mức ứng dụng Quản lý người dùng theo tài khoản phần mềm Dữ liệu lưu trữ dạng thô (Clear text/MDB/SQL) trên ổ đĩa NTFS không mã hóa Nhân viên nội bộ hoặc tin tặc trích xuất file vật lý trực tiếp
Mạng LAN phẳng (Flat Network) Kết nối đơn giản qua Switch 8 cổng Không phân đoạn mạng (VLAN), các máy trạm nghe lén được gói tin của nhau (Promiscuous mode) Bị tấn công Man-in-the-Middle (MitM), ngửi mật khẩu (Sniffing)

Dựa trên mô hình ưu tiên yêu cầu MoSCoW, hệ thống bảo mật mới cần đáp ứng:

  • Must have (Bắt buộc): Thiết lập Tường lửa kiểm soát trạng thái (Stateful Firewall) quản lý toàn bộ luồng Inbound/Outbound; Cơ chế mã hóa file/thư mục CSDL kế toán tự động qua EFS; Chính sách phân quyền tài khoản và mật khẩu phức tạp.
  • Should have (Nên có): Hệ thống phát hiện xâm nhập NIDS (Snort); Phân vùng mạng DMZ cách ly máy chủ; Cơ chế sao lưu dữ liệu tự động (Backup Strategy).
  • Could have (Có thể có): Môi trường Sandbox ảo hóa để phân tích mã độc dựa trên hành vi đám mây; Máy chủ phân giải DNS an toàn (SecureDNS).
  • Won't have (Chưa ưu tiên): Tường lửa phần cứng cao cấp hàng chục nghìn USD; Hệ thống Trung tâm điều hành an ninh SOC chuyên biệt 24/7.

Thiết kế hệ thống

Kiến trúc an ninh thông tin tổng thể cho Công ty CP Hoàng Giang được xây dựng theo nguyên lý Phòng thủ theo chiều sâu (Defense-in-Depth) gồm 3 lớp: Lớp chu vi mạng (Perimeter Security), Lớp mạng nội bộ (Network Segmentation), và Lớp dữ liệu máy chủ/máy trạm (Host & Data Security).

graph TD
    Internet((Internet Công cộng)) -->|WAN| Firewall[Tường lửa Bảo vệ Chu vi UTM / Stateful Inspection]
    Firewall -->|Kiểm tra gói tin & Chặn DoS/SYN Flood| DMZ[Vùng DMZ: Web/Mail Server]
    Firewall -->|Lọc gói & NAT| CoreSwitch[Switch Quản trị Trung tâm]
    
    subgraph "Mạng Nội Bộ Cty Hoàng Giang"
        CoreSwitch --> VLAN_Server[VLAN 10: Máy chủ Dữ liệu & Fast Accounting]
        CoreSwitch --> VLAN_Office[VLAN 20: Máy trạm Kế toán - Hành chính]
        CoreSwitch --> VLAN_Sales[VLAN 30: Laptop Kinh doanh & BĐS]
    end
    
    subgraph "Bảo mật Dữ liệu & Thiết bị Đầu cuối"
        VLAN_Server --> EFS_Enc[Mã hóa EFS trên NTFS + ACLs]
        VLAN_Office --> Host_Sec[Comodo Firewall + Sandbox + BKAV Pro]
        VLAN_Sales --> Host_Sec
    end

Technology Stack chi tiết:

  • Lớp mạng & Chu vi: SonicWALL PRO 2040 (Hệ điều hành SonicOS Enhanced 4.x/5.x) hoặc Giải pháp Firewall phần mềm Comodo Firewall v8.x / ISA Server 2006 Enterprise; Hệ thống phát hiện xâm nhập NIDS Snort v2.9.
  • Hệ điều hành & Nền tảng: Microsoft Windows Server 2008 R2 / 2012; Máy trạm Windows 7 Professional / Windows 8 Enterprise 64-bit; Phân vùng đĩa định dạng NTFS 3.1.
  • Lớp bảo mật dữ liệu: Dịch vụ mã hóa hệ thống tệp Windows EFS (Encrypting File System) sử dụng thuật toán kết hợp đối xứng AES-256 (hoặc DESX 128-bit) và bất đối xứng RSA 2048-bit; Khóa chứng chỉ số X.509 cấp phát bởi Microsoft Certificate Authority (CA).
  • Phần mềm nghiệp vụ: Fast Accounting v11.x, Microsoft Office 2010 SP2.

Methodology

Quy trình nghiên cứu và thực hiện đề tài áp dụng mô hình tiếp cận thực nghiệm có cấu trúc:

  1. Thu thập dữ liệu thực địa: Sử dụng phương pháp điều tra bảng hỏi (15 mẫu khảo sát đại diện cho các phòng ban: Kế toán, Kinh doanh, Sản xuất, Hành chính) kết hợp phỏng vấn trực tiếp cán bộ phụ trách CNTT.
  2. Xử lý số liệu: Ứng dụng phần mềm thống kê SPSS để xử lý tần số, độ tin cậy và phân tích tương quan; sử dụng Microsoft Excel để mô hình hóa biểu đồ chi phí và hiệu quả kinh doanh.
  3. Phương pháp mô phỏng & Đánh giá rủi ro (Risk Assessment): Xác định ma trận xác suất tấn công (DDoS, Brute Force mật khẩu, Ransomware, Nghe lén gói tin TCP) và mức độ thiệt hại tài chính/uy tín đối với doanh nghiệp.
Hạng mục rủi ro Xác suất Mức độ ảnh hưởng Chiến lược giảm thiểu (Mitigation)
Nhiễm Ransomware qua Email Cao Nghiêm trọng Triển khai Comodo Cloud Sandbox + Lọc mail đa tầng
Xâm nhập máy chủ CSDL trái phép Trung bình Tối khẩn cấp Đặt Server sau Firewall, cô lập VLAN, mã hóa EFS toàn bộ thư mục CSDL
Tấn công TCP SYN Flood làm sập mạng Trung bình Cao Bật tính năng TCP SYN Proxy / SYN Flood Protection trên SonicWALL/Comodo
Mất mát Certificate giải mã EFS Thấp Nghiêm trọng Cấu hình chứng chỉ Data Recovery Agent (DRA) lưu trữ offline trên USB bảo mật

Implementation và kết quả

Development process

Quá trình triển khai giải pháp tại Công ty CP Hoàng Giang được phân chia thành 4 giai đoạn cụ thể:

  • Giai đoạn 1: Chuẩn hóa hạ tầng mạng & Cấu hình IP tĩnh: Thiết lập bảng phân bổ địa chỉ IP cố định, đặt gateway qua Firewall trung tâm, tách luồng truy cập của các máy trạm phòng kinh doanh và máy chủ kế toán.
  • Giai đoạn 2: Cấu hình Tường lửa Chu vi & Chính sách Lọc gói: Kích hoạt cơ chế kiểm soát trạng thái (Stateful Packet Inspection), thiết lập danh sách kiểm soát truy cập (Access Control List - ACL) ngăn chặn truy cập trái phép cổng 1433 (SQL Server), 3389 (RDP) và 445 (SMB) từ Internet.
  • Giai đoạn 3: Triển khai Mã hóa EFS cho Cơ sở dữ liệu: Cấu hình mã hóa tự động cho thư mục lưu trữ dữ liệu phần mềm Fast Accounting và hồ sơ tài chính doanh nghiệp.
  • Giai đoạn 4: Đào tạo nhân sự & Ban hành quy chế bảo mật: Huấn luyện nhân viên cách thiết lập mật khẩu mạnh (tối thiểu 8 ký tự gồm chữ hoa, chữ thường, số, ký tự đặc biệt) và quy tắc nhận diện email lừa đảo (Phishing).

Cơ chế kỹ thuật mã hóa tệp tin EFS (Encrypting File System)

EFS vận hành theo kiến trúc mã hóa lai (Hybrid Encryption Architecture). Khi một tệp tin CSDL (ví dụ: FastData.mdf) được chỉ định mã hóa:

  1. Hệ điều hành tạo ra một khóa mã hóa tệp ngẫu nhiên FEK (File Encryption Key) sử dụng thuật toán đối xứng AES-256.
  2. Dữ liệu tệp tin được mã hóa bằng FEK và ghi trực tiếp vào các cluster trên ổ đĩa NTFS.
  3. FEK sau đó được mã hóa bằng Khóa công khai (Public Key RSA-2048) của người dùng hợp lệ và lưu vào trường DDF (Data Decryption Field) trong tiêu đề tệp tin.
  4. Đồng thời, FEK cũng được mã hóa bằng Khóa công khai của Tác nhân phục hồi dữ liệu (Data Recovery Agent - DRA) và lưu vào trường DRF (Data Recovery Field) để đề phòng trường hợp mất khóa cá nhân.
# Script tự động hóa mã hóa thư mục CSDL Fast Accounting và Export Chứng chỉ DRA
# 1. Kiểm tra trạng thái và kích hoạt mã hóa thư mục CSDL
$DBPath = "D:\FastAccounting\Data"
if (Test-Path $DBPath) {
    Write-Host "[+] Dang ma hoa thu muc CSDL: $DBPath" -ForegroundColor Green
    cipher /e /s:$DBPath
} else {
    Write-Host "[-] Duong dan thu muc khong ton tai!" -ForegroundColor Red
}

# 2. Xuất chứng chỉ EFS và Private Key để sao lưu an toàn (Offline Recovery)
$CertThumbprint = (Get-ChildItem Cert:\CurrentUser\My -EKU "Encrypting File System").Thumbprint
if ($CertThumbprint) {
    $Password = ConvertTo-SecureString -String "HoangGiangSecurity2024!" -AsPlainText -Force
    Export-PfxCertificate -Cert "Cert:\CurrentUser\My\$CertThumbprint" -FilePath "E:\EFS_Backup_Keys\HG_DRA_Backup.pfx" -Password $Password
    Write-Host "[+] Sao luu chung chi EFS Recovery thanh cong tai E:\EFS_Backup_Keys" -ForegroundColor Cyan
}

Cấu hình quy tắc kiểm soát lưu lượng trên Tường lửa (Firewall Rules)

Thiết lập bộ lọc gói tin Stateful Inspection ngăn ngừa tấn công DoS ICMP, chặn quét cổng và chống giả mạo IP (Anti-Spoofing):

# Cấu hình iptables/Firewall Rules mẫu bảo vệ vùng mạng nội bộ Công ty Hoàng Giang
# Xóa các rules cũ và thiết lập chính sách mặc định: DROP toàn bộ Inbound
iptables -F
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT

# 1. Cho phép các kết nối đã thiết lập từ trước (Stateful Inspection)
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT

# 2. Chống tấn công TCP SYN Flood (Giới hạn 10 gói SYN/giây)
iptables -N SYN_FLOOD
iptables -A INPUT -p tcp --syn -j SYN_FLOOD
iptables -A SYN_FLOOD -m limit --limit 10/s --limit-burst 20 -j RETURN
iptables -A SYN_FLOOD -j DROP

# 3. Chống tấn công Ping of Death & Smurf Attack qua giao thức ICMP
iptables -A INPUT -p icmp --icmp-type echo-request -m limit --limit 1/s -j ACCEPT
iptables -A INPUT -p icmp -j DROP

# 4. Chỉ cho phép các máy trong mạng LAN truy cập cổng CSDL Fast Accounting (Port 1433)
iptables -A FORWARD -s 192.168.1.0/24 -d 192.168.1.10 -p tcp --dport 1433 -j ACCEPT
iptables -A FORWARD -d 192.168.1.10 -p tcp --dport 1433 -j DROP

Testing và validation

Hệ thống sau khi triển khai được đưa vào kiểm thử thực nghiệm với 3 kịch bản tấn công điển hình:

  1. Kiểm thử tấn công DoS/SYN Flood: Sử dụng công cụ kiểm thử bảo mật gửi liên tiếp 50.000 gói tin TCP SYN giả lập đến cổng dịch vụ của máy chủ. Kết quả: Tường lửa đã kích hoạt cơ chế SYN Proxy, lọc bỏ 100% các gói tin bất thường, máy chủ duy trì mức chiếm dụng CPU dưới 12%, kết nối của phần mềm Fast Accounting không bị gián đoạn.
  2. Kiểm thử xâm nhập dữ liệu vật lý (Bypass NTFS): Trích xuất ổ cứng chứa thư mục CSDL đã mã hóa EFS sang một máy tính độc lập chạy tài khoản Administrator khác. Kết quả: Toàn bộ các truy vấn truy cập tệp .mdf và tài liệu kế toán đều bị hệ thống từ chối truy cập (Access Denied / Error 0x80071771: The specified file could not be decrypted).
  3. Kiểm thử phát hiện mã độc thực thi (Malware Sandboxing): Thử nghiệm kích hoạt 10 mẫu file chứa mã độc giả lập đính kèm qua email. Comodo Firewall kích hoạt cơ chế Cloud-Based Behavior Analysis, tự động cô lập 10/10 file trong môi trường Sandbox ảo hóa, không cho phép can thiệp vào Registry và tệp hệ thống.
+-----------------------------------------------------------------------+
|                 KẾT QUẢ KIỂM THỬ AN NINH HỆ THỐNG                     |
+------------------------------------+----------------+-----------------+
| Kịch bản kiểm thử                  | Trạng thái     | Tỷ lệ thành công|
+------------------------------------+----------------+-----------------+
| 1. Chống TCP SYN Flood (50k pkts)  | Đã ngăn chặn   | 100%            |
| 2. Chống ICMP Smurf Attack         | Đã lọc sạch    | 100%            |
| 3. Chống trích xuất CSDL EFS       | Bị chặn (0x800)| 100%            |
| 4. Sandbox cô lập mã độc Zero-day  | Tự động cách ly| 10/10 mẫu (100%)|
| 5. Độ suy hao băng thông mạng LAN  | Đạt chuẩn      | < 2.5%          |
+------------------------------------+----------------+-----------------+

Kết quả đạt được

Dự án đã giải quyết triệt để các tồn tại an ninh thông tin tại Công ty CP Hoàng Giang, chuyển hóa hệ sinh thái CNTT từ trạng thái bị động sang mô hình phòng thủ chủ động:

  • Hoàn thành 100% các mục tiêu đề ra: Thiết lập thành công hệ thống tường lửa chu vi, kích hoạt bảo vệ dữ liệu nhạy cảm bằng mã hóa EFS trên 100% máy trạm kế toán và máy chủ.
  • Cải thiện rõ rệt chỉ số bảo mật: Điểm đánh giá tính riêng tư và bảo mật dữ liệu của người dùng tăng từ 1/4 (Không hài lòng) lên 3.6/4 (Hài lòng đến Rất hài lòng).
  • Tối ưu hóa tài nguyên: Giải pháp vận hành mượt mà trên hệ thống phần cứng sẵn có, chỉ tiêu tốn 152 MB RAM và dưới 400 MB dung lượng lưu trữ của máy trạm, không làm phát sinh chi phí đầu tư thiết bị đắt tiền.

Đổi mới và đóng góp

  1. Mô hình bảo mật tích hợp chi phí tối ưu (Low-Cost High-Security Architecture): Đề tài đã chứng minh rằng một doanh nghiệp vừa và nhỏ với ngân sách hạn chế (dưới 50 triệu VNĐ) hoàn toàn có thể xây dựng một hệ thống phòng thủ đa tầng chuẩn mực bằng cách kết hợp sức mạnh của công nghệ mã hóa có sẵn trong hệ điều hành (EFS NTFS) với các giải pháp tường lửa thế hệ mới (SonicWALL UTM / Comodo Endpoint Firewall).
  2. Khắc phục khoảng trống bảo vệ dữ liệu tĩnh (Data-at-Rest): Thay vì chỉ phụ thuộc vào phần mềm diệt virus truyền thống (chỉ bảo vệ tệp khi đang quét/chạy), giải pháp EFS đảm bảo dữ liệu luôn được mã hóa ở mức đĩa từ, ngăn chặn hoàn toàn nguy cơ rò rỉ dữ liệu khi bị mất cắp thiết bị hoặc bị tấn công nội bộ.
  3. Ứng dụng công nghệ phân tích hành vi đám mây (Cloud-Based Behavior Analysis): Việc đưa cơ chế Sandbox ảo hóa vào bảo vệ máy tính người dùng giúp loại bỏ phụ thuộc vào việc cập nhật mẫu virus thủ công, nhận diện sớm các biến thể ransomware nguy hiểm như Locky, DMA Locker hay Crypto Malware.
Tiêu chí so sánh Hệ thống cũ của Hoàng Giang Giải pháp ISA Server 2006 Giải pháp Đề xuất (SonicWALL/Comodo + EFS)
Cơ chế lọc gói Windows Firewall (Lọc thô) Ứng dụng/Proxy (Nặng tải) Kiểm soát trạng thái (Stateful) + DPI
Mã hóa CSDL Không có (Plain text) Không tích hợp Mã hóa EFS AES-256 / RSA-2048
Phát hiện Zero-day Phụ thuộc mẫu BKAV Không có Cloud Behavior Analysis + Sandbox
Chi phí triển khai 0 VNĐ (Không an toàn) Cao (Bản quyền MS Server) Thấp - Tối ưu cho SME (< 50 triệu)
Tải tài nguyên RAM Nhẹ (~30 MB) Nặng (> 1 GB) Tối ưu (~152 MB)

Ứng dụng thực tế và triển khai

Kịch bản ứng dụng thực tế

  • Bảo vệ phòng Kế toán - Tài chính: Dữ liệu sổ sách kế toán trên phần mềm Fast Accounting được lưu tự động trong thư mục mã hóa EFS. Kế toán viên đăng nhập làm việc bình thường, nhưng nếu sao chép tệp tin dữ liệu ra USB hoặc gửi qua email ra bên ngoài, tệp tin sẽ không thể mở được trên bất kỳ máy tính nào khác nếu không có chứng chỉ giải mã.
  • Phòng chống gián điệp thương mại: Các hồ sơ đấu giá, định giá và quy hoạch bất động sản thuộc sàn BĐS Đông Nam cùng công thức chế biến kẹo lạc, rượu Côn Sơn Tửu được phân quyền thư mục nghiêm ngặt (NTFS Permissions), cách ly khỏi các máy tính công cộng của văn phòng.

Yêu cầu hệ thống và hướng dẫn cài đặt

  • Yêu cầu phần cứng máy trạm: CPU 1.5 GHz trở lên, RAM tối thiểu 512 MB (Comodo chiếm dụng 152 MB), ổ cứng trống tối thiểu 400 MB, card mạng Ethernet 10/100/1000 Mbps.
  • Yêu cầu máy chủ (Server): CPU Intel Xeon đa nhân, RAM tối thiểu 4 GB, hệ điều hành Windows Server 2008 R2 trở lên, định dạng phân vùng bắt buộc NTFS 3.1.
        QUY TRÌNH TRIỂN KHAI HỆ THỐNG AN NINH THÔNG TIN TẠI DOANH NGHIỆP
 [Giai đoạn 1: Chuẩn bị]  ==> [Giai đoạn 2: Cài đặt]  ==> [Giai đoạn 3: Vận hành]
 - Định dạng ổ đĩa NTFS      - Cài đặt Comodo/Firewall    - Phân quyền người dùng
 - Khởi tạo CA Certificate   - Cấu hình Stateful Rules    - Sao lưu Certificate DRA
 - Phân chia dải IP tĩnh     - Bật mã hóa EFS thư mục     - Giám sát nhật ký (Logs)

Phân tích hiệu quả kinh tế (Cost-Benefit Analysis)

  • Chi phí đầu tư ban đầu: Khoảng 25.000.000 – 40.000.000 VNĐ (Mua thiết bị Firewall UTM chuyên dụng SonicWALL hoặc bản quyền quản trị tập trung, nâng cấp Switch phân vùng VLAN).
  • Lợi ích kinh tế thu được: Tránh được rủi ro tê liệt hệ thống do ransomware (chi phí chuộc dữ liệu trung bình từ vài nghìn đến hàng chục nghìn USD); loại bỏ nguy cơ gián đoạn hoạt động kinh doanh (ước tính thiệt hại downtime 10-20 triệu VNĐ/ngày); bảo toàn bí mật kinh doanh và uy tín thương hiệu của doanh nghiệp trên thị trường. Thời gian hoàn vốn đầu tư (ROI) ước tính đạt được trong vòng dưới 12 tháng.

Hạn chế và hướng phát triển

  • Hạn chế kỹ thuật hiện tại: Hạ tầng thiết bị phần cứng của Công ty CP Hoàng Giang còn sử dụng các Switch 8 cổng unmanaged (chưa hỗ trợ cấu hình VLAN động trực tiếp trên cổng vật lý); hệ thống phụ thuộc vào nền tảng Windows và chưa có máy chủ Domain Controller tập trung (Active Directory) để quản lý đồng bộ chứng chỉ EFS tự động qua Group Policy Object (GPO).
  • Hạn chế về nguồn lực: Đội ngũ nhân sự CNTT của công ty còn mỏng, hầu hết phải kiêm nhiệm các công việc hành chính kỹ thuật khác, dẫn đến việc theo dõi nhật ký an ninh mạng (Log Analysis) chưa được thực hiện định kỳ hàng ngày.
  • Hướng phát triển trong tương lai:
    1. Nâng cấp hệ thống mạng lên chuẩn quản trị tập trung, triển khai Windows Server Active Directory kết hợp Windows Certification Authority (CA) chuyên biệt.
    2. Ứng dụng công nghệ Điện toán đám mây lai (Hybrid Cloud) để sao lưu dữ liệu dự phòng tự động ngoài hiện trường (Off-site Cloud Backup), giải quyết bài toán phục hồi sau thảm họa (Disaster Recovery).
    3. Nghiên cứu tích hợp các giải pháp phát hiện mã độc ứng dụng Trí tuệ nhân tạo (Deep Learning Antivirus) giúp dự đoán và ngăn chặn tự động các biến thể mã độc nhắm vào thiết bị di động của nhân viên kinh doanh.

Đối tượng hưởng lợi

                        MA TRẬN GIÁ TRỊ LỢI ÍCH DỰ ÁN
  +---------------------------------------------------------------------------+
  | Sinh viên & Học viên: Tài liệu tham khảo toàn diện về ATTT SME             |
  +---------------------------------------------------------------------------+
  | Kỹ sư Quản trị mạng: Mẫu kịch bản cấu hình Firewall & Mã hóa EFS          |
  +---------------------------------------------------------------------------+
  | Doanh nghiệp SME:    Mô hình bảo mật đa tầng chi phí thấp, hiệu quả cao   |
  +---------------------------------------------------------------------------+
  | Nhà nghiên cứu:      Dữ liệu thực chứng khảo sát thực trạng ATTT VN       |
  +---------------------------------------------------------------------------+
  • Sinh viên và học viên chuyên ngành HTTT/An toàn thông tin: Nắm vững phương pháp luận kết hợp giữa nghiên cứu định lượng khảo sát thực tế và thiết kế giải pháp kỹ thuật bảo mật thực chiến trong doanh nghiệp sản xuất - thương mại.
  • Kỹ sư CNTT và Quản trị hệ thống: Tiếp cận kịch bản cấu hình chi tiết về Stateful Firewall, kỹ thuật bảo vệ CSDL kế toán Fast Accounting thông qua EFS và quy trình sao lưu chứng chỉ DRA chống mất dữ liệu.
  • Ban lãnh đạo các doanh nghiệp vừa và nhỏ (SMEs): Sở hữu một bài toán kinh tế - kỹ thuật hoàn chỉnh để ra quyết định đầu tư an toàn thông tin đúng hướng, tối ưu chi phí mà vẫn đảm bảo an toàn tuyệt đối cho tài sản dữ liệu.
  • Nhà nghiên cứu: Bổ sung số liệu thực chứng về thực trạng nhận thức bảo mật và cơ cấu chi tiêu an ninh mạng của khối doanh nghiệp địa phương tại Việt Nam.

Câu hỏi thường gặp

1. Yêu cầu kỹ thuật tối thiểu để triển khai giải pháp EFS và Tường lửa là gì?

Hệ thống máy trạm chỉ cần cài đặt hệ điều hành Windows 7 Professional trở lên, phân vùng ổ đĩa định dạng NTFS 3.1, bộ nhớ RAM khả dụng tối thiểu 152 MB và ổ cứng trống 400 MB. Máy chủ CSDL cần cấu hình Windows Server hỗ trợ dịch vụ chứng chỉ số.

2. Giới hạn mở rộng (Scalability) của giải pháp và cách nâng cấp khi doanh nghiệp tăng quy mô?

Mô hình hiện tại đáp ứng hoàn hảo cho quy mô từ 30 đến 100 thiết bị đầu cuối. Khi công ty mở rộng chi nhánh hoặc tăng số lượng máy trạm vượt 100 thiết bị, hệ thống có thể nâng cấp mượt mà bằng cách đưa vào máy chủ Active Directory Domain Controller để tự động hóa cấp phát chứng chỉ EFS và trang bị thêm thiết bị UTM Firewall dạng phần cứng công suất lớn hơn.

3. Giải pháp có gây xung đột hoặc làm chậm phần mềm kế toán Fast Accounting không?

Không. Thuật toán mã hóa đối xứng AES-256 của EFS được tích hợp trực tiếp ở tầng nhân (Kernel-level) của hệ điều hành Windows, do đó tốc độ đọc/ghi dữ liệu của Fast Accounting chỉ suy hao dưới 2%, người dùng hoàn toàn không cảm nhận được độ trễ trong quá trình hạch toán nghiệp vụ hàng ngày.

4. Chi phí bảo trì, vận hành định kỳ của hệ thống là bao nhiêu?

Chi phí vận hành gần như bằng 0 đối với các phần mềm mã nguồn mở/tích hợp sẵn. Doanh nghiệp chỉ cần duy trì ngân sách bảo trì định kỳ khoảng 5-10 triệu VNĐ/năm cho việc gia hạn bản quyền phần mềm diệt virus chuyên dụng và kiểm định an ninh mạng định kỳ.

5. Nếu quản trị viên bị mất mật khẩu hoặc lỗi hệ điều hành thì dữ liệu đã mã hóa EFS có bị mất vĩnh viễn không?

Không. Nhờ kiến trúc mã hóa kép của EFS, dữ liệu luôn có thể được giải mã thông qua chứng chỉ Tác nhân phục hồi dữ liệu (Data Recovery Agent - DRA) đã được xuất và lưu trữ an toàn trên thiết bị phần cứng offline chuyên dụng trong giai đoạn cài đặt ban đầu.

Kết luận

Đề tài nghiên cứu "Giải pháp đảm bảo an toàn và bảo mật cho hệ thống thông tin của Công ty Cổ phần Hoàng Giang" đã giải quyết thành công bài toán cân bằng giữa hiệu quả an ninh mạng và chi phí đầu tư cho doanh nghiệp vừa và nhỏ. Bằng việc phân tích sâu sắc hiện trạng hạ tầng CNTT, lượng hóa các rủi ro đe dọa tam giác bảo mật CIA và thiết kế mô hình phòng thủ đa tầng kết hợp giữa Tường lửa kiểm soát trạng thái chu vi, phân đoạn mạng nội bộ và cơ chế mã hóa dữ liệu cục bộ EFS, dự án mang lại giải pháp toàn diện giúp bảo vệ vững chắc dữ liệu tài chính, kế toán và bí quyết sản xuất kinh doanh của công ty.

Kết quả kiểm thử thực nghiệm đã chứng minh tính khả thi, độ tin cậy và hiệu năng vượt trội của giải pháp khi ngăn chặn thành công 100% các kịch bản tấn công DoS, chống trích xuất dữ liệu trái phép và cô lập triệt để mã độc nguy hiểm. Đây không chỉ là tài liệu tham khảo có giá trị cao về mặt học thuật và kỹ thuật thực hành cho sinh viên, kỹ sư an ninh mạng mà còn là cẩm nang ứng dụng thực tế đắc lực cho các doanh nghiệp đang tìm kiếm chiến lược chuyển đổi số an toàn, bền vững.