Luận văn tmu một số giải pháp đảm bảo an toàn và bảo mật cho hệ thống thông tin của công ty cổ phần công nghệ quang điện tử ánh sáng thời đại

Luận văn đề xuất giải pháp bảo đảm an toàn và bảo mật cho hệ thống thông tin tại công ty cổ phần công nghệ quang điện tử ánh sáng thời đại.

• Tác giả: Lại Thị Thu Trang
• Người hướng dẫn: Cô Đỗ Thị Thu Hiền
• Trường học: Đại học Thương Mại
• Chuyên ngành: Hệ thống thông tin
• Đề tài: Một Số Giải Pháp Đảm Bảo An Toàn Và Bảo Mật Cho Hệ Thống Thông Tin Của Công Ty Cổ Phần Công Nghệ Quang Điện Tử Ánh Sáng Thời Đại
• Loại tài liệu: khóa luận tốt nghiệp
• Năm xuất bản: 2016
• Địa điểm: Hà Nội

Mục lục chi tiết

• LỜI CẢM ƠN
• DANH MỤC BẢNG BIỂU
• DANH MỤC HÌNH VẼ, SƠ ĐỒ
• DANH MỤC TỪ VIẾT TẮT
• PHẦN MỞ ĐẦU
• Tầm quan trọng và ý nghĩa của vấn đề nghiên cứu
• Mục tiêu và nhiệm vụ nghiên cứu
• Đối tượng và phạm vi nghiên cứu
• Phương pháp nghiên cứu
• Kết cấu khóa luận
• 1. CHƯƠNG 1: CƠ SỞ LÝ LUẬN CỦA VẤN ĐỀ NGHIÊN CỨU
• 1.1. Những khái niệm cơ bản
• 1.1.1. Khái niệm thông tin, hệ thống thông tin( HTTT), dữ liệu và cơ sở dữ liệu(CSDL)
• 1.1.2. Khái niệm an toàn và bảo mật CSDL
• 1.2. Một số lý thuyết về vấn đề nghiên cứu
• 1.2.1. Các yêu cầu của một hệ thống thông tin an toàn
• 1.2.2. Hình thức tấn công HTTT
• 1.2.3. Các nguy cơ mất an toàn thông tin trong hệ thống thông tin
• 1.3. Tổng quan tình hình nghiên cứu
• 1.3.1. Tình hình nghiên cứu trong nước
• 1.3.2. Tình hình nghiên cứu thế giới
• 2. CHƯƠNG 2: KẾT QUẢ PHÂN TÍCH, ĐÁNH GIÁ THỰC TRẠNG CỦA VẤN ĐỀ NGHIÊN CỨU
• 2.1. Tổng quan về công ty
• 2.1.1. Quá trình thành lập và phát triển công ty
• 2.1.2. Cơ cấu tổ chức của công ty
• 2.1.3. Lĩnh vực hoạt động,các ngành nghề kinh doanh của công ty
• 2.1.4. Tình hình hoạt động của công ty trong 3 năm gần đây
• 2.2. Thực trạng của vấn đề nghiên cứu
• 2.2.1. Tình hình ứng dụng công nghệ thông tin của công ty
• 2.2.2. Thực trạng về vấn đề an toàn bảo mật tại công ty
• 2.3. Đánh giá thực trạng về vấn đề nghiên cứu
• 2.3.1. Nhược điểm
• 3. CHƯƠNG 3: ĐỊNH HƯỚNG PHÁT TRIỂN VÀ ĐỀ XUẤT VẤN ĐỀ NGHIÊN CỨU
• 3.1. Định hướng xây dựng cơ sở dữ liệu mới
• 3.2. Định hướng giải pháp an toàn và bảo mật dữ liệu bằng các biện pháp phần cứng
• 3.3. Định hướng giải pháp an toàn và bảo mật dữ liệu bằng các biện pháp phần mềm
• 3.4. Định hướng giải pháp an toàn và bảo mật dữ liệu từ con người
• 3.5. Giải pháp nâng cao an toàn và bảo mật thông tin cho hệ thống thông tin doanh nghiệp
• 3.5.1. An toàn và bảo mật thông tin bằng các biện pháp phần cứng
• 3.5.2. An toàn và bảo mật thông tin bằng các biện pháp phần mềm
• 3.5.3. Biện pháp khắc phục từ con người
• 3.6. Một số kiến nghị với công ty
• TÀI LIỆU THAM KHẢO
• PHỤ LỤC

Tóm tắt

I. Tổng quan về giải pháp bảo mật hệ thống thông tin cho công ty công nghệ quang điện tử

Trong bối cảnh công nghệ thông tin phát triển mạnh mẽ, việc bảo mật thông tin trở thành một yếu tố sống còn đối với các công ty công nghệ quang điện tử. Các giải pháp bảo mật không chỉ giúp bảo vệ dữ liệu mà còn đảm bảo tính toàn vẹn và sẵn sàng của hệ thống. Đặc biệt, trong ngành công nghệ quang điện tử, nơi mà dữ liệu nhạy cảm và quan trọng, việc áp dụng các biện pháp bảo mật hiệu quả là rất cần thiết.

1.1. Khái niệm về bảo mật thông tin trong công ty công nghệ

Bảo mật thông tin là quá trình bảo vệ dữ liệu khỏi các truy cập trái phép và các mối đe dọa từ bên ngoài. Đối với công ty công nghệ quang điện tử, việc này bao gồm việc bảo vệ dữ liệu khách hàng, thông tin sản phẩm và các bí mật thương mại.

1.2. Tầm quan trọng của bảo mật thông tin trong ngành công nghệ

Bảo mật thông tin không chỉ giúp bảo vệ tài sản của công ty mà còn duy trì uy tín và lòng tin của khách hàng. Một sự cố bảo mật có thể dẫn đến thiệt hại lớn về tài chính và danh tiếng.

II. Các thách thức trong việc bảo mật hệ thống thông tin hiện nay

Các công ty công nghệ quang điện tử đang phải đối mặt với nhiều thách thức trong việc bảo mật hệ thống thông tin. Những thách thức này bao gồm sự gia tăng của các cuộc tấn công mạng, sự phức tạp của các hệ thống công nghệ thông tin và sự thiếu hụt nhân lực có chuyên môn trong lĩnh vực bảo mật.

2.1. Tăng cường tấn công mạng và các hình thức tấn công

Các hình thức tấn công mạng ngày càng đa dạng và tinh vi, từ tấn công từ chối dịch vụ (DoS) đến tấn công lừa đảo. Điều này đòi hỏi các công ty phải liên tục cập nhật và nâng cấp hệ thống bảo mật.

2.2. Thiếu hụt nhân lực chuyên môn trong lĩnh vực bảo mật

Nhu cầu về nhân lực có chuyên môn trong lĩnh vực bảo mật thông tin đang gia tăng, nhưng số lượng chuyên gia có đủ kỹ năng vẫn còn hạn chế. Điều này tạo ra một khoảng trống lớn trong việc triển khai các giải pháp bảo mật hiệu quả.

III. Phương pháp bảo mật thông tin hiệu quả cho công ty công nghệ quang điện tử

Để đảm bảo an toàn cho hệ thống thông tin, các công ty công nghệ quang điện tử cần áp dụng nhiều phương pháp bảo mật khác nhau. Những phương pháp này bao gồm việc sử dụng phần mềm bảo mật, thiết lập các chính sách bảo mật nghiêm ngặt và đào tạo nhân viên về an toàn thông tin.

3.1. Sử dụng phần mềm bảo mật hiện đại

Phần mềm bảo mật giúp phát hiện và ngăn chặn các mối đe dọa từ bên ngoài. Việc sử dụng các giải pháp bảo mật như tường lửa, phần mềm diệt virus và hệ thống phát hiện xâm nhập là rất cần thiết.

3.2. Đào tạo nhân viên về an toàn thông tin

Đào tạo nhân viên về các quy tắc và quy trình bảo mật thông tin giúp nâng cao nhận thức và giảm thiểu rủi ro. Nhân viên cần hiểu rõ về các mối đe dọa và cách phòng tránh chúng.

IV. Ứng dụng thực tiễn của các giải pháp bảo mật thông tin

Việc áp dụng các giải pháp bảo mật thông tin không chỉ giúp bảo vệ dữ liệu mà còn nâng cao hiệu quả hoạt động của công ty. Các công ty công nghệ quang điện tử đã triển khai nhiều biện pháp bảo mật và đạt được những kết quả tích cực trong việc bảo vệ thông tin.

4.1. Kết quả từ việc áp dụng phần mềm bảo mật

Nhiều công ty đã ghi nhận sự giảm thiểu đáng kể các sự cố bảo mật sau khi triển khai phần mềm bảo mật. Điều này cho thấy hiệu quả của việc đầu tư vào công nghệ bảo mật.

4.2. Tác động của đào tạo nhân viên đến an toàn thông tin

Đào tạo nhân viên đã giúp nâng cao nhận thức về bảo mật, từ đó giảm thiểu các rủi ro do lỗi con người gây ra. Nhân viên có kiến thức vững vàng sẽ là một hàng rào bảo vệ quan trọng cho công ty.

V. Kết luận và hướng phát triển tương lai trong bảo mật thông tin

Bảo mật thông tin là một yếu tố không thể thiếu trong hoạt động của các công ty công nghệ quang điện tử. Việc đầu tư vào các giải pháp bảo mật hiện đại và đào tạo nhân viên sẽ giúp công ty duy trì được sự an toàn cho hệ thống thông tin trong tương lai.

5.1. Tương lai của bảo mật thông tin trong công nghệ quang điện tử

Với sự phát triển không ngừng của công nghệ, các giải pháp bảo mật cũng sẽ ngày càng trở nên tinh vi hơn. Công ty cần theo dõi và cập nhật các xu hướng mới trong lĩnh vực bảo mật.

5.2. Đề xuất các biện pháp cải tiến trong bảo mật thông tin

Cần có các biện pháp cải tiến liên tục trong bảo mật thông tin, bao gồm việc nâng cấp phần mềm, cải thiện quy trình bảo mật và tăng cường đào tạo nhân viên để đối phó với các mối đe dọa mới.

Nội dung chính

Bối cảnh và vấn đề nghiên cứu

Khóa luận tốt nghiệp tiếp cận vấn đề an toàn và bảo mật thông tin trong bối cảnh công nghệ thông tin và thương mại điện tử trở thành công cụ hỗ trợ hoạt động sản xuất kinh doanh của doanh nghiệp. Theo lập luận của tác giả, dữ liệu được xem là một phần tài sản của tổ chức nhưng luôn phải đối mặt với các nguy cơ mất an toàn từ cả yếu tố bên trong lẫn bên ngoài. Sự gia tăng về quy mô và độ phức tạp của hệ thống công nghệ thông tin dẫn đến khả năng xuất hiện nhiều điểm yếu kỹ thuật, trong khi các rủi ro như lộ lọt, thay đổi, mất mát hoặc từ chối dịch vụ trực tiếp đe dọa đến hoạt động, uy tín và chiến lược phát triển. Tại Công ty Cổ phần công nghệ quang điện tử ánh sáng thời đại (TIMESLIGHT.,CORP), mặc dù đơn vị đã triển khai một số biện pháp bảo vệ ban đầu, công tác đảm bảo an toàn thông tin vẫn chưa được thực hiện đồng bộ và thường xuyên do nhận thức của nhân sự còn hạn chế và quy trình vận hành chưa thống nhất.

Xuất phát từ thực tế trên, đề tài xác định 3 mục tiêu và nhiệm vụ nghiên cứu cụ thể:

1. Đưa ra lý thuyết và cơ sở lý luận về đảm bảo an toàn thông tin.
2. Trình bày, tìm hiểu, phân tích đánh giá thực trạng của công ty và đưa ra các thiếu sót và lỗ hổng của hệ thống thông tin của doanh nghiệp dựa trên các tài liệu, các phiếu điều tra.
3. Trên cơ sở nghiên cứu thực trạng tình hình tại công ty, từ đó đưa ra một số đề xuất, phòng chống và khắc phục để có thể ngăn chặn các nguy cơ mất an toàn bảo mật thông tin có thể áp dụng với công ty.

Về đối tượng nghiên cứu, khóa luận tập trung vào 4 nhóm yếu tố cấu thành hệ thống thông tin tại doanh nghiệp:

• Hệ thống mạng, các máy chủ và máy trạm của công ty.
• Các trang thiết bị phần cứng và phần mềm được sử dụng tại công ty.
• Cơ sở dữ liệu và hạ tầng lưu trữ tại các máy chủ, máy trạm.
• Đội ngũ nhân viên, cấp quản lý và các yếu tố con người liên quan đến chính sách bảo mật.

Về phạm vi nghiên cứu:

• Không gian: Nghiên cứu được thực hiện tại Công ty Cổ phần công nghệ quang điện tử ánh sáng thời đại (địa chỉ: Tầng 1, số 81 phố Vũ Ngọc Phan, phường Láng Hạ, quận Đống Đa, Hà Nội).
• Thời gian: Số liệu thứ cấp phục vụ phân tích hoạt động kinh doanh được thu thập trong giai đoạn 2014–2016; các số liệu sơ cấp về hạ tầng kỹ thuật và thực trạng an toàn bảo mật được khảo sát trong quá trình tác giả thực tập tại doanh nghiệp.

Cơ sở lý thuyết và phương pháp

Khóa luận xây dựng hệ thống khái niệm nền tảng dựa trên các tài liệu chuyên ngành, bao gồm giáo trình Hệ thống thông tin quản lý (Đàm Gia Mạnh, 2017) và bài giảng An toàn và bảo mật thông tin doanh nghiệp (Bộ môn Công nghệ thông tin, Trường Đại học Thương Mại, 2010). Các khái niệm cốt lõi được định nghĩa gồm:

• Thông tin, dữ liệu, hệ thống thông tin (HTTT) và cơ sở dữ liệu (CSDL).
• An toàn hệ thống thông tin: trạng thái thông tin không bị làm hỏng, sửa đổi, sao chép hoặc xóa bỏ trái phép, đồng thời các sự cố phát sinh không làm gián đoạn hoàn toàn các hoạt động chính của doanh nghiệp.
• Bảo mật thông tin và CSDL: việc duy trì bộ ba thuộc tính cơ bản gồm tính bí mật (Confidentiality), tính toàn vẹn (Integrity) và tính sẵn sàng (Availability).

Hệ thống lý thuyết về các mối đe dọa được phân loại theo hai nhóm chính:

• Hình thức tấn công: Phân tách rõ tấn công thụ động (nghe trộm đường truyền, bắt gói tin qua mạng Wi-Fi/mạng quảng bá, đánh cắp mật khẩu, phân tích lưu lượng truyền dẫn) và tấn công chủ động (giả mạo người gửi, thay đổi nội dung thông điệp, tấn công lặp lại và tấn công từ chối dịch vụ gồm DoS cổ điển, DDoS phân tán qua mạng botnet/zombie, DRDoS phản xạ phân tán).
• Nguồn gốc nguy cơ: Phân loại theo nguy cơ bên trong (yếu tố kỹ thuật từ thiết bị di động với tỷ lệ hơn 71% doanh nghiệp cho phép sử dụng, lỗ hổng xác thực trên bộ định tuyến router; quy trình chính sách; nhận thức và hành vi bất mãn của nhân sự) và nguy cơ bên ngoài (sự cố khách quan do thiên tai, mất điện; các kỹ thuật can thiệp đường truyền hoặc tạo nguồn/đích thông tin giả mạo).

Tác giả thực hiện tổng quan tình hình nghiên cứu thông qua 6 công trình tiêu biểu:

• Nghiên cứu trong nước: Luận văn thạc sĩ của Nguyễn Tuấn Anh (Đại học Bách Khoa) về an toàn bảo mật trong thương mại điện tử; Báo cáo cảnh báo của Trung tâm VNCERT và Cục An toàn thông tin năm 2017 về vụ lộ lọt 1,4 tỷ tài khoản thư điện tử (trong đó có các tên miền tại Việt Nam và tên miền .gov.vn, kèm giải pháp tra cứu qua trang web khonggianmang.vn); Bài viết của Trần Văn Hòa (2017) về chuẩn quản lý an toàn thông tin và các hình thức tấn công mã độc tống tiền (Ransomware), APT, DDoS trong bối cảnh công nghiệp 4.0.
• Nghiên cứu quốc tế: Công trình Cryptography and Network Security Principles and Practices của William Stallings (2005) về mật mã học, chuẩn mã hóa dữ liệu DES (khối 64-bit, khóa 56-bit) và mã xác thực thông điệp CMAC; Nghiên cứu của Chuyên san An toàn thông tin (2017) về nhận diện mã độc bằng phương pháp phân tích tĩnh kết hợp mạng nơ-ron và cây quyết định; Công nghệ bảo vệ điểm cuối AppGuard® của Hirokazu Higuma (2017) dựa trên cơ chế cô lập tiến trình với dung lượng dưới 1MB.

Về phương pháp nghiên cứu, tác giả kết hợp hai nhóm phương pháp:

• Phương pháp thu thập dữ liệu: Thu thập thứ cấp thông qua nghiên cứu tài liệu chuyên khảo, số liệu báo cáo tài chính nội bộ; Thu thập sơ cấp thông qua phát phiếu điều tra khảo sát nhân viên công ty, kết hợp phương pháp quan sát trực tiếp hành vi thao tác và phương pháp phán đoán chuyên gia.
• Phương pháp xử lý dữ liệu: Sử dụng phần mềm Microsoft Excel và Microsoft Word để nhập liệu, thống kê mô tả, tính toán tỷ lệ phần trăm và vẽ các biểu đồ phân tích thực trạng.

Nguồn dữ liệu thực tế được tổng hợp từ báo cáo của Phòng Kế toán công ty giai đoạn 2014–2016 và phiếu điều tra khảo sát an toàn thông tin do tác giả thiết kế, lấy ý kiến từ đội ngũ cán bộ nhân viên thuộc 5 bộ phận chuyên môn.

Nội dung chính theo từng chương

CHƯƠNG 1: CƠ SỞ LÝ LUẬN CỦA VẤN ĐỀ NGHIÊN CỨU

Chương 1 tập trung hệ thống hóa cơ sở lý luận về an toàn và bảo mật hệ thống thông tin trong tổ chức kinh tế. Nội dung chương làm rõ bản chất của dữ liệu sau khi qua xử lý sẽ trở thành thông tin có giá trị gia tăng, đồng thời xác lập 3 yêu cầu cốt lõi của một hệ thống an toàn (tính tin cậy, tính toàn vẹn, tính sẵn sàng). Tác giả phân tích chi tiết cơ chế hoạt động của các hình thức tấn công đường truyền: đối với tấn công thụ động, kẻ tấn công nghe trộm hoặc phân tích lưu lượng mà không làm thay đổi thông điệp, đòi hỏi giải pháp mã hóa SSL/SET/WEP hoặc độn dữ liệu thừa; đối với tấn công chủ động, kẻ tấn công can thiệp trực tiếp vào luồng dữ liệu, làm quá tải máy chủ qua các giao thức bắt tay ba bước của TCP/IP (Smurf Attack, Tear Drop, SYN Attack, botnet DDoS, phản xạ DRDoS mượn băng thông từ các máy chủ trung gian lớn). Ngoài ra, chương 1 tổng hợp các hướng nghiên cứu hiện đại về mã hóa dữ liệu, xác thực chữ ký điện tử và phân tích mã độc làm nền tảng đối chiếu cho việc khảo sát thực tiễn.

CHƯƠNG 2: KẾT QUẢ PHÂN TÍCH, ĐÁNH GIÁ THỰC TRẠNG CỦA VẤN ĐỀ NGHIÊN CỨU

Chương 2 mô tả chi tiết cơ cấu và hoạt động của Công ty Cổ phần công nghệ quang điện tử ánh sáng thời đại. Doanh nghiệp hoạt động theo Giấy phép kinh doanh số 0105416887 do Sở Kế hoạch và Đầu tư Hà Nội cấp, đăng ký 26 ngành nghề (chính là sản xuất linh kiện điện tử mã 2610, sản xuất thiết bị chiếu sáng, quảng cáo và dịch vụ CNTT). Đơn vị có 34 nhân sự (65% có trình độ đại học) phân bổ vào 5 bộ phận: Phòng Kỹ thuật, Phòng Sản xuất, Phòng Kinh doanh, Phòng Sáng tạo và Thiết kế, Phòng Kế toán.

Tiêu chí	Năm 2014	Năm 2015	Năm 2016
Tổng doanh thu (triệu đồng)	8.560	8.705	9.386
Tổng chi phí (triệu đồng)	4.025	4.145	4.317
Tổng quỹ tiền lương (triệu đồng)	510	558	650
Lợi nhuận trước thuế (triệu đồng)	4.025	4.002	4.419
Thuế thu nhập doanh nghiệp (triệu đồng)	805	800,8	883,8
Lợi nhuận sau thuế (triệu đồng)	3.220	3.201,2	3.535,2

Về hạ tầng công nghệ thông tin, công ty quản lý tổng số 24 máy tính kết nối mạng LAN (gồm cả cáp hữu tuyến và Wi-Fi vô tuyến) và Internet:

• Trang thiết bị phần cứng: 2 máy chủ (tình trạng tốt), 20 máy trạm (đánh giá khá, cần bổ sung 3 máy), 2 máy in (tốt), 2 máy chiếu (tốt), 2 máy photocopy (khá, cần bổ sung 1 máy), 2 máy tính laptop (tốt), 1 máy scan (tốt), 1 máy quét vân tay (tốt).
• Phần mềm: Hệ điều hành Windows đáp ứng 95% nhu cầu; phần mềm nghiệp vụ gồm Microsoft Office 2010 (đáp ứng 90%), Quản lý nhân sự Perfect HRM (đáp ứng 95%), Kế toán Vacom (đáp ứng 98%), cả 3 phần mềm này chưa có nhu cầu thay thế hay nâng cấp.

Kết quả điều tra thực trạng an toàn bảo mật thông qua phiếu khảo sát ghi nhận:

• Tần suất sự cố: Thông tin bị thất lạc ghi nhận 4 phiếu chọn (chiếm 40%), Hệ thống gặp sự cố ghi nhận 3 phiếu (chiếm 30%), Thông tin bị thay đổi ghi nhận 2 phiếu (chiếm 20%), Hệ thống bị tấn công ghi nhận 1 phiếu (chiếm 10%).
• Đánh giá của nhân viên về sự quan tâm của ban lãnh đạo: Khá quan tâm đạt 8 phiếu (53%), Rất quan tâm đạt 3 phiếu (20%), Bình thường đạt 3 phiếu (20%), Không quan tâm có 1 phiếu (7%).
• Đánh giá chất lượng sử dụng phần mềm: 13 nhân viên đánh giá mức Khá, 11 nhân viên đánh giá Tốt, 5 đánh giá Rất tốt, 3 đánh giá Trung bình và 2 đánh giá Kém (do một số phần mềm cũ, chưa có bản quyền).
• Tỷ lệ các biện pháp bảo vệ dữ liệu đang áp dụng: Sử dụng ổ cứng độ bền cao chiếm 50% (17 phiếu), Sao lưu liên tục chiếm 29% (10 phiếu), Duy trì kiểm tra giám sát chiếm 12% (4 phiếu), Phân quyền sử dụng chiếm 9% (3 phiếu).

Đánh giá tổng quát chỉ ra ưu điểm của công ty là có hệ thống email nội bộ cố định, 100% máy tính cài phần mềm diệt virus, có tường lửa, camera giám sát 24/24 và duy trì chế độ bảo trì định kỳ 6 tháng/lần. Tuy nhiên, nhược điểm nổi cộm là hạ tầng chưa có tính đồng bộ; thiếu cơ chế cảnh báo lỗi tự động từ máy trạm về máy chủ (thao tác báo hỏng hoàn toàn thủ công); một số máy trạm vi xử lý chậm; chu kỳ sao lưu hiện tại thưa (1 tháng/lần); nhận thức an toàn thông tin của nhân sự chưa sâu dẫn đến nguy cơ lộ mật khẩu và lây nhiễm virus qua thư điện tử.

CHƯƠNG 3: ĐỊNH HƯỚNG PHÁT TRIỂN VÀ ĐỀ XUẤT VẤN ĐỀ NGHIÊN CỨU

Chương 3 đề xuất định hướng và giải pháp cụ thể nhằm hoàn thiện công tác an toàn và bảo mật cho hệ thống thông tin của công ty theo 3 nhóm trụ cột:

1. Giải pháp kỹ thuật phần cứng và hạ tầng mạng:

• Nâng cấp hệ thống máy chủ và chuẩn hóa cấu hình phần cứng:
  • Máy chủ phần mềm: CPU Core 2 Duo 2.8 GHz trở lên, RAM 8GB, HDD 300GB, Card mạng 10/100/1000 Mbps, hệ điều hành Windows, Web server Apache 2.x hoặc SQL Server 2008.
  • Máy tính người dùng: CPU Intel trở lên, RAM 512MB (văn bản ghi 512GB), HDD 20GB, Card mạng 200 Mbps, trình duyệt Internet Explorer 5.5 / Netscape 7.0 / Firefox 1.4 / Opera 7.21 trở lên, cơ sở dữ liệu kết nối SQL Server 2008.
  • Quy trình nâng cấp máy chủ: Bắt buộc tạo và thẩm định bản sao lưu trước khi thực hiện; không thực hiện nhiều thay đổi đồng thời; kiểm tra chi tiết các file bản ghi (log) và báo cáo lỗi sau khi hoàn tất.
• Kiểm soát thiết bị ngoại vi bằng Group Policy: Ngăn chặn triệt để hành vi sao chép dữ liệu ra thiết bị lưu trữ ngoài (USB, ổ đĩa CD/DVD, đĩa mềm, máy nghe nhạc, smartphone) thông qua chính sách phân quyền đọc/ghi. Lộ trình thực hiện gồm: Giai đoạn 1 (từ 10/01/2018 đến 24/01/2018) cài đặt và thử nghiệm trên 2 máy chủ; Giai đoạn 2 (từ 24/01/2018 đến 30/01/2018) triển khai đại trà trên toàn bộ máy trạm và máy tính xách tay.
• Tăng cường bảo mật đường truyền: Áp dụng chuẩn bảo mật WEP cho mạng không dây với độ dài khóa từ 64-bit trở lên (thuật toán dòng RC4 kèm vectơ khởi tạo IV); Triển khai giao thức IPsec cho mạng nội bộ qua hai giao thức con ESP (mã hóa và ký số) và AH (xác thực ký số), thương lượng khóa qua giao thức IKE (gồm ISAKMP và Oakley), phân kỳ thiết lập giữa 2 máy chủ trước, sau đó mở rộng kết nối giữa máy chủ và các máy trạm.

2. Giải pháp phần mềm và dữ liệu:

• Triển khai hệ thống mã hóa tập tin EFS (Encrypting File System) tích hợp sẵn trong hệ điều hành Windows, kết hợp mã hóa đối xứng và bất đối xứng nhằm bảo vệ các thư mục lưu trữ nhạy cảm trên ổ đĩa nội bộ.
• Trang bị chữ ký số công cộng PKI của Tập đoàn Viễn thông Quân đội Viettel với chi phí dịch vụ 990.000 đồng/năm phục vụ xác thực giao dịch và văn bản điện tử.
• Rút ngắn chu kỳ sao lưu dữ liệu từ 1 tháng/lần xuống còn 1 tuần/lần; tận dụng công cụ tích hợp sẵn ntbackup.exe của Windows hoặc Wizard Mode để lên lịch tự động hóa tác vụ backup và thiết lập phương án phục hồi (restore).
• Trang bị bộ phần mềm bảo mật thương mại tập trung Kaspersky Small Office Security (bảo vệ đồng thời máy chủ tập tin và các máy trạm) nhằm ngăn chặn mã độc, kiểm soát duyệt web, lọc thư rác theo thời gian thực mà không đòi hỏi chuyên môn quản trị sâu.

3. Giải pháp con người và quy chế tổ chức:

• Thiết lập quyền truy cập thư mục theo nguyên tắc đặc quyền tối thiểu (Least Privilege), đặt mật khẩu bảo vệ từng file dữ liệu nghiệp vụ, kích hoạt tính năng kiểm toán và thẩm định truy cập đối tượng trên Windows Server.
• Ban hành văn bản quy định an toàn thông tin nội bộ: bắt buộc toàn bộ nhân viên ký thỏa thuận cam kết bảo mật thông tin khách hàng, nghiêm cấm tự ý sao chép tài liệu mang về nhà hoặc gửi qua email ra ngoài khi chưa phê duyệt.
• Tăng cường kiểm soát vật lý tại cổng ra vào: yêu cầu bảo vệ và lễ tân duy trì nghiêm túc việc kiểm tra thẻ nhân viên, ghi sổ theo dõi khách đến liên hệ công tác và kiểm soát thiết bị phần cứng mang ra vào công ty.
• Tổ chức các lớp bồi dưỡng định kỳ về kỹ năng an toàn thông tin, nâng cao kỹ năng mềm, đồng thời xây dựng kế hoạch tuyển dụng nhân sự tốt nghiệp chuyên ngành CNTT và Hệ thống thông tin quản lý để vận hành chuyên trách hệ thống.

Kết quả và đóng góp

Khóa luận đã phản ánh trung thực bức tranh hiện trạng công nghệ thông tin và công tác an ninh dữ liệu tại Công ty Cổ phần công nghệ quang điện tử ánh sáng thời đại thông qua hệ thống bảng biểu định lượng:

• Bóc tách đầy đủ các chỉ số kinh doanh 3 năm (doanh thu tăng từ 8.560 triệu đồng năm 2014 lên 9.386 triệu đồng năm 2016, tương ứng mức tăng trưởng lợi nhuận 9,44% trong năm 2016).
• Thống kê toàn bộ hiện trạng vật chất với 24 máy tính và tỷ lệ đáp ứng của các phần mềm nghiệp vụ đang vận hành (Vacom đạt 98%, Perfect HRM đạt 95%, Office đạt 90%).
• Chỉ ra các nguy cơ nội tại của công ty: sự cố thông tin bị thất lạc chiếm tỷ lệ cao nhất (40%), trong khi biện pháp bảo vệ của nhân viên chủ yếu mang tính cơ học (50% dựa vào độ bền ổ cứng vật lý, chỉ 9% biết phân quyền truy cập).

Về giải pháp và đóng góp, khóa luận xây dựng một mô hình giải pháp bảo mật phối hợp đồng bộ giữa ba thành tố: phần cứng, phần mềm và con người. Khác với các nghiên cứu lý thuyết chung, đề tài đưa ra phương án khả thi cho một doanh nghiệp quy mô vừa:

• Đề xuất tận dụng tối đa các công cụ miễn phí, sẵn có trong môi trường Windows Server (Group Policy, EFS, ntbackup.exe, tính năng kiểm toán phân quyền) giúp tiết kiệm ngân sách đầu tư CNTT.
• Lập lịch trình triển khai cụ thể theo từng giai đoạn thời gian rõ ràng (tháng 01/2018) cho chính sách Group Policy và cấu hình IPsec.
• Xác định rõ chi phí và gói phần mềm thương mại phù hợp với năng lực tài chính của công ty (chữ ký số Viettel 990.000 đồng/năm, gói Kaspersky Small Office Security).

Hạn chế và hướng nghiên cứu tiếp

Khóa luận tồn tại một số hạn chế gắn liền với phạm vi nghiên cứu được tác giả thừa nhận:

• Phạm vi nghiên cứu giới hạn tại một doanh nghiệp thương mại - sản xuất thiết bị chiếu sáng quy mô vừa, các kết luận khảo sát dựa trên cỡ mẫu nội bộ của 34 nhân viên và chuỗi số liệu tài chính giai đoạn 2014–2016.
• Đề tài tập trung xây dựng phương án đề xuất và định hướng kỹ thuật, chưa triển khai thực nghiệm đo lường hiệu năng mạng thực tế (thông lượng, độ trễ) sau khi kích hoạt các chính sách mã hóa IPsec hoặc EFS.
• Tác giả tự đánh giá do hạn chế về thời gian thực tập và năng lực bản thân nên các nội dung giải pháp vẫn còn điểm thiếu sót cần tiếp tục hoàn thiện.
• Hướng mở rộng tiếp theo là hoàn thiện quy trình kiểm thử thực tế trên hệ thống mạng của công ty, đồng thời nghiên cứu mở rộng mô hình bảo mật dữ liệu tích hợp cho các doanh nghiệp thương mại điện tử có quy mô chi nhánh phân tán.

Giá trị tham khảo

Bản khóa luận mang lại giá trị tham khảo cụ thể cho các nhóm đối tượng:

• Sinh viên chuyên ngành Hệ thống thông tin kinh tế, Thương mại điện tử, Tin học quản trị: tài liệu là bài mẫu thực tế về cách tiếp cận một đề tài bảo mật thông tin dưới góc độ quản lý kinh tế, hướng dẫn phương pháp thiết kế phiếu điều tra xã hội học và kỹ thuật xử lý dữ liệu khảo sát mô tả thực trạng CNTT.
• Cán bộ quản trị mạng tại các doanh nghiệp vừa và nhỏ (SMEs): có thể ứng dụng trực tiếp các hướng dẫn cấu hình Group Policy để khóa cổng USB/ổ đĩa ngoài, quy trình nâng cấp máy chủ an toàn và cách thức thiết lập sao lưu dữ liệu tự động bằng các công cụ có sẵn của hệ điều hành.
• Phần đáng tham khảo nhất của văn bản là hệ thống câu hỏi trong Phiếu điều tra khảo sát lỗ hổng bảo mật (phần Phụ lục) cùng bảng tổng hợp phân tích thực trạng cơ sở vật chất, phần mềm và mức độ nhận thức an toàn thông tin tại Chương 2.

Câu hỏi thường gặp

1. Cơ cấu nhân sự và kết quả sản xuất kinh doanh của Công ty TIMESLIGHT giai đoạn 2014–2016 được ghi nhận như thế nào?
Công ty có tổng số 34 nhân viên, trong đó 65% có trình độ đại học thuộc các ngành kinh tế, điện tử, quản trị kinh doanh, tài chính kế toán. Về kết quả kinh doanh: năm 2014 đạt doanh thu 8.560 triệu đồng, lợi nhuận sau thuế 3.220 triệu đồng; năm 2015 doanh thu đạt 8.705 triệu đồng, lợi nhuận sau thuế giảm nhẹ 0,57% xuống 3.201,2 triệu đồng; năm 2016 doanh thu đạt 9.386 triệu đồng, lợi nhuận trước thuế tăng trưởng 9,44% đạt 4.419 triệu đồng.

2. Khảo sát thực tế tại công ty chỉ ra những sự cố an toàn thông tin nào thường gặp nhất?
Theo kết quả điều tra trên biểu đồ khảo sát, sự cố "Thông tin bị thất lạc" chiếm tỷ lệ cao nhất với 40% (4 phiếu chọn), tiếp theo là "Hệ thống gặp sự cố" chiếm 30% (3 phiếu), "Thông tin bị thay đổi" chiếm 20% (2 phiếu) và "Hệ thống bị tấn công" chiếm 10% (1 phiếu).

3. Tác giả đề xuất cấu hình phần cứng tối thiểu cho hệ thống máy chủ của công ty như thế nào?
Cấu hình máy chủ đề xuất gồm: vi xử lý CPU Core 2 Duo 2.8 GHz trở lên, bộ nhớ trong RAM 8GB, dung lượng ổ cứng HDD 300GB, card mạng 10/100/1000 Mbps, hệ điều hành Windows, chạy máy chủ web Apache 2.x hoặc hệ quản trị cơ sở dữ liệu SQL Server 2008.

4. Lộ trình triển khai chính sách Group Policy nhằm ngăn chặn rò rỉ dữ liệu qua cổng ngoại vi được chia làm mấy giai đoạn?
Lộ trình gồm 2 giai đoạn: Giai đoạn 1 diễn ra trong 2 tuần (từ ngày 10/01/2018 đến 24/01/2018) để cài đặt, theo dõi và đánh giá thử nghiệm trên 2 máy chủ của công ty; Giai đoạn 2 (từ ngày 24/01/2018 đến 30/01/2018) tiến hành cài đặt và áp dụng chính thức trên toàn bộ máy trạm và máy tính xách tay.

5. Các giải pháp phần mềm bảo mật và chứng thực điện tử được lựa chọn cụ thể là gì và chi phí bao nhiêu?
Tác giả đề xuất sử dụng gói phần mềm Kaspersky Small Office Security (hỗ trợ bảo vệ tập trung cho 1 File Server và các máy tính trạm) kết hợp dịch vụ chữ ký số công cộng PKI của Tập đoàn Viễn thông Quân đội Viettel với mức phí thuê bao 990.000 đồng/năm.

Kết luận

Khóa luận tốt nghiệp của tác giả Lại Thị Thu Trang đã phản ánh toàn diện thực trạng công tác an toàn và bảo mật hệ thống thông tin tại Công ty Cổ phần công nghệ quang điện tử ánh sáng thời đại thông qua các số liệu khảo sát thực chứng. Trên cơ sở đối chiếu giữa lý luận an ninh thông tin và các hạn chế thực tế về nhận thức nhân sự cũng như hạ tầng mạng, tác giả đã đề xuất một hệ thống giải pháp dung hòa theo 3 hướng: kỹ thuật phần cứng, công cụ phần mềm và quy chế con người. Công trình có giá trị ứng dụng thực tiễn cao đối với các doanh nghiệp quy mô vừa nhờ tận dụng hiệu quả các tiện ích sẵn có của hệ điều hành kết hợp với các giải pháp thương mại chi phí thấp.

Trích đoạn nội dung tài liệu

CHƯƠNG 1: CƠ SỞ LÝ LUẬN CỦA VẤN ĐỀ NGHIÊN CỨU 1. Những khái niệm cơ bản 1. Khái niệm thông tin, hệ thống thông tin( HTTT), dữ liệu và cơ sở dữ liệu(CSDL) Thông tịn là một bộ dữ liệu được tổ chức, doanh nghiệp sử dụng một phương thức nhất định sao cho chúng mang lại một giá trị gia tăng so với giá trị vốn có của bản thân dữ liệu. Thông tin chính là dữ liệu đã qua xử lí (phân tích, tổng hợp, thống kê).TS Đàm Gia Mạnh, 2017, Giáo trình Hệ thống thông tin quản lí, Nhà xuất bản Thống kê, Hà Nộ ) Hệ thống thông tin là một tập hợp phần cứng, phần mềm, cơ sở dữ liệu, mạng viễn thông, con người và các quy trình thủ tục khác nhằm thu thập, xử lý, lưu trữ và truyền phát thông tin trong một tổ chức, doanh nghiệp.TS Đàm Gia Mạnh, 2017, Giáo trình Hệ thống thông tin quản lí, Nhà xuất bản Thống kê, Hà Nội) Dữ liệu là những sự kiện hoặc những quan sát về hiện tượng vật lý hoặc các giao dịch kinh doanh, dữ liệu chính là các giá trị phản ánh về sự vật hiện tượng trong thế giới khách quan, bao gồm tập giá trị mà người dùng có thể chưa biết được sự liên hệ giữa các giá trị này.TS Đàm Gia Mạnh, 2017, Giáo trình Hệ thống thông tin quản lí, Nhà xuất bản Thống kê, Hà Nội) Cơ sở dữ liệu (CSDL): tập hợp dữ liệu tương quan có tổ chức được lưu trữ trên các phương tiện lưu trữ như đĩa từ, băng từ v.v nhằm thỏa mãn các yêu cầu khai thác thông tin (đồng thời) của nhiều người sử dụng và của nhiều chương trình ứng dụng.

Khái niệm an toàn và bảo mật CSDL Một hệ thống thông tin được coi là an toàn( security) khi thông tin không bị làm hỏng hóc,không bị sửa đổi, thay đổi, sao chép hoặc xóa bỏ bởi người không được phép. (Bộ môn Công nghệ thông tin (2010), Bài giảng An toàn và bảo mật thông tin doanh nghiệp, Trường ĐH Thương Mại) Một hệ thống thông tin an toàn thì các sự cố có thể xảy ra không thể làm cho hoạt động chủ yếu của nó ngừng hẳn và chúng sẽ được khắc phục kịp thời mà không gây thiệt hại đến mức độ nguy hiểm cho chủ sở hữu. (Bộ môn Công nghệ thông tin (2010), Bài giảng An toàn và bảo mật thông tin doanh nghiệp, Trường ĐH Thương Mại) 4 Bảo mật là sự hạn chế khả năng lạm dụng tài nguyên và tài sản. Bảo mật trở nên đặc biệt phức tạp trong quản lý, vận hành những hệ thống thông tin có sử dụng các công cụ tin học, nơi có thể xảy ra và lan tràn nhanh chóng việc lạm dụng tài nguyên (các thông tin di chuyển vô hình trên mạng hoặc lưu trữ hữu hình trong các vật liệu) và lạm dụng tài sản (các máy tính, thiết bị mạng, thiết bị ngoại vi, các phần mềm của cơ quan hoặc người sở hữu hệ thống).

(Bộ môn Công nghệ thông tin (2010), Bài giảng An toàn và bảo mật thông tin doanh nghiệp, Trường ĐH Thương Mại) Bảo mật thông tin là duy trì tính bí mật, tính trọn vẹn và tính sẵn sàng của thông tin + Bí mật nghĩa (Confidentially) là đảm bảo thông tin chỉ được tiếp cận bởi những người được cấp quyền tương ứng. + Tính trọn vẹn (Integrity) là bảo vệ sự chính xác hoàn chỉnh của thông tin và thông tin chỉ được thay đổi bởi những người được cấp quyền. + Tính sẵn sàng (Availabillity) của thông tin là những người được quyền sử dụng có thể truy xuất thông tin khi họ cần.