Giới thiệu dự án

Trong kỷ nguyên kinh tế số và cách mạng công nghiệp 4.0, hệ thống thông tin (HTTT) và cơ sở dữ liệu (CSDL) đóng vai trò là tài sản sống còn đối với mọi doanh nghiệp. Theo báo cáo từ Trung tâm Ứng cứu khẩn cấp không gian mạng Việt Nam (VNCERT), tình trạng lộ lọt dữ liệu diễn ra với quy mô nghiêm trọng (điển hình là sự cố rò rỉ hơn 1,4 tỷ tài khoản email toàn cầu, trong đó có hàng nghìn tài khoản tên miền .vn và .gov.vn). Các doanh nghiệp vừa và nhỏ (SMEs) thường là mục tiêu hàng đầu của các cuộc tấn công mã độc tống tiền (Ransomware), tấn công từ chối dịch vụ (DoS/DDoS) và khai thác lỗ hổng nội bộ do hạ tầng an ninh thông tin còn manh mún.

Công ty Cổ phần Công nghệ Quang điện tử Ánh sáng Thời đại (TIMESLIGHT.,CORP) là doanh nghiệp chuyên sâu trong lĩnh vực thiết kế, sản xuất sản phẩm quảng cáo công nghệ cao, đèn LED chiếu sáng và linh kiện điện tử. Tuy nhiên, qua khảo sát thực tế, HTTT của TIMESLIGHT đang bộc lộ nhiều lỗ hổng an ninh nghiêm trọng: 40% sự cố xuất phát từ việc thất lạc thông tin, 30% do lỗi hệ thống, 20% do dữ liệu bị thay đổi trái phép và 10% do các đợt tấn công mạng. Doanh nghiệp phụ thuộc lớn vào việc lưu trữ phân tán, thiếu vắng cơ chế quản trị chính sách tập trung và quy trình mã hóa đường truyền.

+-----------------------------------------------------------------------------------+
|               HIỆN TRẠNG RỦI RO AN TOÀN THÔNG TIN TẠI TIMESLIGHT                  |
+-----------------------------------------------------------------------------------+
|  [40% Thất lạc dữ liệu]  ---> Sao lưu thủ công, rò rỉ qua thiết bị ngoại vi (USB) |
|  [30% Sự cố hệ thống]    ---> Máy chủ cũ, thiếu cơ chế cân bằng tải và chịu lỗi   |
|  [20% Thay đổi trái phép] ---> Thiếu phân quyền Role-Based Access Control (RBAC)  |
|  [10% Bị tấn công mạng]  ---> Đường truyền Wi-Fi/LAN không mã hóa, thiếu IPSec    |
+-----------------------------------------------------------------------------------+

Mục tiêu dự án

  1. Thiết lập mô hình bảo mật đa tầng (Defense-in-Depth): Đồng bộ hóa các giải pháp bảo vệ từ lớp vật lý, lớp mạng, lớp hệ điều hành, lớp ứng dụng cho đến lớp dữ liệu.
  2. Triệt tiêu nguy cơ rò rỉ dữ liệu qua thiết bị lưu trữ ngoài: Áp dụng chính sách Group Policy Object (GPO) trên Windows Server để kiểm soát 100% cổng USB và thiết bị tháo rời.
  3. Mã hóa và bảo vệ toàn vẹn dữ liệu truyền thông: Triển khai giao thức IPsec (với cơ chế ESP/AH và IKE) cho mạng nội bộ và tích hợp chứng thư số Public Key Infrastructure (PKI) từ nhà cung cấp Viettel-CA.
  4. Chuẩn hóa quy trình sao lưu và phòng chống mã độc: Tối ưu hóa chu kỳ Disaster Recovery từ 30 ngày xuống 7 ngày bằng tiện ích tích hợp hệ điều hành và bảo vệ thời gian thực với giải pháp Kaspersky Small Office Security.

Phương pháp tiếp cận và kết quả kỳ vọng

Dự án áp dụng mô hình bảo mật phối hợp chặt chẽ giữa Phần cứng - Phần mềm - Con người:

  • Chỉ số đo lường (KPIs): Giảm thiểu 95% nguy cơ rò rỉ dữ liệu nội bộ qua cổng ngoại vi; nâng tỷ lệ mã hóa dữ liệu nhạy cảm trên máy chủ lưu trữ (EFS) đạt 100%; thời gian khôi phục hệ thống (RTO) khi xảy ra sự cố giảm từ 72 giờ xuống dưới 2 giờ; 100% cán bộ nhân viên ký cam kết bảo mật thông tin.
  • Phạm vi và giới hạn: Triển khai trực tiếp trên hạ tầng gồm 2 máy chủ (Server), 20 máy trạm (Workstation), 2 máy tính xách tay và hệ thống mạng LAN/WLAN tại trụ sở TIMESLIGHT.,CORP trong giai đoạn 2017–2018.

Phân tích và thiết kế giải pháp

Phân tích hiện trạng

Khảo sát hạ tầng công nghệ thông tin tại TIMESLIGHT ghi nhận 24 máy tính kết nối mạng LAN hữu tuyến và Wi-Fi. Các phần mềm nghiệp vụ cốt lõi bao gồm Microsoft Office 2010 (tỷ lệ đáp ứng 90%), Perfect HRM (95%) và phần mềm Kế toán Vacom (98%).

Giải pháp hiện tại Ưu điểm Nhược điểm Đánh giá an toàn
Sử dụng ổ cứng độc lập (50%) Chi phí đầu tư thấp, dung lượng lưu trữ cục bộ lớn. Không có cơ chế RAID; dễ hỏng hóc vật lý và mất dữ liệu hoàn toàn. Nguy cơ cao
Sao lưu định kỳ thủ công (29%) Đơn giản, nhân viên tự chủ động lưu trữ dữ liệu. Chu kỳ quá dài (1 tháng/lần); không có cơ chế kiểm định tính toàn vẹn của bản backup. Trung bình
Phân quyền người dùng (9%) Hạn chế một phần truy cập trái phép cấp thư mục. Thiết lập thủ công, thiếu quản lý chính sách nhóm (GPO) tập trung. Yếu
Kiểm tra giám sát (12%) Có camera giám sát phòng máy chủ. Chưa có hệ thống log audit tự động để phát hiện can thiệp CSDL. Yếu

Phân loại yêu cầu bảo mật theo mô hình MoSCoW

  • Must Have (Bắt buộc): Khóa cổng USB ngoại vi qua Group Policy; mã hóa file hệ thống (EFS) cho dữ liệu kế toán và nhân sự; cài đặt phần mềm diệt virus tập trung; thiết lập lịch sao lưu tự động hàng tuần.
  • Should Have (Nên có): Thiết lập đường hầm bảo mật IPsec giữa các máy chủ; triển khai chữ ký số PKI cho các giao dịch điện tử.
  • Could Have (Có thể có): Nâng cấp chuẩn mã hóa Wi-Fi từ WEP lên WPA2/WPA3 Enterprise; nâng cấp RAM máy chủ từ 8GB lên 16GB.
  • Won't Have (Chưa thực hiện kỳ này): Xây dựng trung tâm điều hành an ninh mạng (SOC) chuyên biệt và hệ thống tường lửa phần cứng UTM chuyên dụng.

Thiết kế hệ thống

Kiến trúc an toàn thông tin tổng thể được thiết kế theo cấu trúc phân tầng:

graph TD
    subgraph External_Zone["Vùng mạng Ngoài"]
        Internet["Internet Gateway / ISP"]
    end

    subgraph Perimeter_Security["Lớp Bảo vệ Biên"]
        Router["Router / NAT Gateway"]
        Firewall["Windows Advanced Firewall / IPsec Filter"]
    end

    subgraph Core_Server_Farm["Vùng Máy Chủ Trung Tâm"]
        AppServer["Application Server (Apache 2.x / Windows Server)"]
        DBServer["Database Server (SQL Server 2008 / EFS Storage)"]
        BackupStore["Backup Storage Vault (NTBackup Scheduled)"]
    end

    subgraph Internal_Endpoints["Vùng Máy Trạm Nội Bộ"]
        Workstation1["Phòng Kế toán (Vacom + EFS + USB Blocked)"]
        Workstation2["Phòng Kỹ thuật & Thiết kế (KSOS Protected)"]
        Workstation3["Phòng Kinh doanh & HRM (Perfect HRM + GPO)"]
    end

    Internet --> Router
    Router --> Firewall
    Firewall --> AppServer
    Firewall --> DBServer
    DBServer <--> BackupStore
    Firewall <--> Workstation1
    Firewall <--> Workstation2
    Firewall <--> Workstation3

Danh mục công nghệ và phiên bản chuẩn hóa

  • Hệ điều hành máy chủ: Microsoft Windows Server 2008 R2 / Windows Server 2012 Standard Edition.
  • Hệ quản trị CSDL: Microsoft SQL Server 2008 R2 Enterprise.
  • Web Server nghiệp vụ: Apache HTTP Server v2.2/2.4.
  • Bảo mật điểm cuối (Endpoint Security): Kaspersky Small Office Security (KSOS) Build 15.0+.
  • Chứng thực & Chữ ký số: Viettel-CA PKI Token (X.509 Certificate Standard).
  • Hệ mã hóa & Giao thức: Encrypting File System (EFS - AES/DESx), IPsec (IKEv1/ISAKMP, ESP Triple-DES/SHA-1), GPO Storage Device Policies.

Phương pháp luận triển khai

Dự án áp dụng mô hình triển khai cuốn chiếu kết hợp kiểm thử nghiệm ngặt:

  1. Giai đoạn 1 (10/01/2018 – 24/01/2018): Cấu hình, thử nghiệm và đánh giá tải trên 02 máy chủ trung tâm (Server 1: CSDL & Kế toán; Server 2: Web ứng dụng & Quản trị nhân sự).
  2. Giai đoạn 2 (24/01/2018 – 30/01/2018): Đẩy chính sách GPO và cài đặt client bảo mật đồng loạt xuống 20 máy trạm và 2 laptop qua mạng nội bộ.

Implementation và kết quả

Quy trình phát triển và cấu hình kỹ thuật

1. Vô hiệu hóa thiết bị lưu trữ ngoài qua Group Policy

Để ngăn chặn hành vi trích xuất dữ liệu trái phép qua USB/CD-ROM, kỹ sư triển khai cấu hình trực tiếp trên Group Policy Management Editor (gpedit.msc):

  • Đường dẫn: Computer Configuration -> Administrative Templates -> System -> Removable Storage Access.
  • Thiết lập: Kích hoạt chính sách All Removable Storage classes: Deny all access.

Đoạn mã PowerShell thiết lập Registry tương đương trên các máy trạm độc lập:

# Thiết lập khóa Registry vô hiệu hóa cài đặt và sử dụng USB Mass Storage
$RegistryPath = "HKLM:\SYSTEM\CurrentControlSet\Services\USBSTOR"
If (-Not (Test-Path $RegistryPath)) {
    New-Item -Path $RegistryPath -Force | Out-Null
}
# Set Start = 4 (Disabled) để khóa toàn bộ USB Storage
Set-ItemProperty -Path $RegistryPath -Name "Start" -Value 4 -Type DWord

# Áp dụng chính sách Deny Read/Write qua Group Policy Registry Keys
$StoragePolicyPath = "HKLM:\SOFTWARE\Policies\Microsoft\Windows\RemovableStorageDevices"
If (-Not (Test-Path $StoragePolicyPath)) {
    New-Item -Path $StoragePolicyPath -Force | Out-Null
}
Set-ItemProperty -Path $StoragePolicyPath -Name "Deny_All" -Value 1 -Type DWord
Write-Host "USB Storage Access has been successfully restricted on endpoint." -ForegroundColor Green

2. Cấu hình bảo mật đường truyền IPsec giữa Máy chủ và Máy trạm

Quy trình trao đổi khóa và mã hóa đường truyền diễn ra qua 2 giai đoạn:

  • Giai đoạn 1 (Phase 1 - IKE/ISAKMP): Đàm phán thuật toán bảo mật, sử dụng thuật toán băm SHA-1 và mã hóa 3DES/AES-128 để thiết lập kênh truyền tin cậy (ISAKMP SA).
  • Giai đoạn 2 (Phase 2 - IPsec Driver): Tạo đường hầm dữ liệu (Tunnel) với giao thức Encapsulating Security Payload (ESP) để vừa mã hóa vừa xác thực toàn vẹn gói tin IP.
:: Cấu hình chính sách IPsec Policy bằng tiện ích netsh trên Windows Server
netsh ipsec static add policy name="TIMESLIGHT_SECURE_LAN" description="Chinh sach ma hoa IPsec noi bo"

:: Tạo Filter List cho lưu lượng kết nối đến cổng SQL Server (Port 1433)
netsh ipsec static add filterlist name="SQL_Traffic"
netsh ipsec static add filter filterlist="SQL_Traffic" srcaddr=ANY dstaddr=ME dstport=1433 protocol=TCP

:: Thiết lập Filter Action yêu cầu mã hóa ESP (Require Security)
netsh ipsec static add filteraction name="Require_ESP_Encryption" action=negotiate qmsecmethods="ESP[3DES,SHA1]"

:: Gán Rule liên kết Policy, Filter List và Filter Action
netsh ipsec static add rule name="Enforce_SQL_Security" policy="TIMESLIGHT_SECURE_LAN" filterlist="SQL_Traffic" filteraction="Require_ESP_Encryption"

:: Kích hoạt chính sách bảo mật
netsh ipsec static set policy name="TIMESLIGHT_SECURE_LAN" assign=y

3. Mã hóa tệp tin hệ thống EFS và tự động hóa sao lưu

Dữ liệu nhạy cảm của phần mềm Vacom và hồ sơ cán bộ nhân viên được mã hóa cục bộ bằng EFS thông qua tiện ích dòng lệnh cipher.exe, đồng thời thiết lập lịch trình sao lưu tự động hàng tuần qua ntbackup.exe:

:: 1. Thuc hien ma hoa thu muc chua du lieu Ke toan va Nhan su bang EFS
cipher /e /s:"C:\CompanyData\Accounting_Vacom"
cipher /e /s:"C:\CompanyData\HR_Records"

:: 2. Kich ban sao luu he thong tu dong (Backup Schedule - Chay vao 23:00 Chu Nhat)
:: Luu tru vao o dia mang an toan (Backup Vault)
ntbackup.exe backup "@C:\Scripts\WeeklyBackupSelection.bks" /J "TIMESLIGHT_WEEKLY_BACKUP" /F "D:\Backups\TIMESLIGHT_DATA_%DATE%.bkf" /V:yes /R:no /L:s /M normal

Kiểm thử và đánh giá hiệu năng (Testing & Validation)

Kịch bản kiểm thử Phương pháp kiểm thử Kết quả thực tế Tỷ lệ thành công
Kiểm soát cổng USB Cắm 10 thiết bị USB/Ổ cứng di động khác nhau vào các máy trạm thuộc GPO. 10/10 thiết bị bị hệ thống từ chối truy cập (Access Denied). 100%
Phân tích gói tin IPsec Sử dụng phần mềm Wireshark bắt gói tin truyền đến SQL Server Port 1433. Toàn bộ Payload hiển thị dạng mã hóa ESP, không thấy Plaintext SQL query. 100%
Phục hồi dữ liệu EFS Đăng nhập bằng tài khoản Unauthorized User để mở tệp mã hóa. Hệ thống thông báo lỗi Access is Denied dù tài khoản thuộc nhóm Users. 100%
Sao lưu & Khôi phục Giả lập sự cố xóa hỏng database và khôi phục từ tệp .bkf. Phục hồi toàn vẹn CSDL 100% trong 28 phút. 100%

Đổi mới và đóng góp

Điểm đột phá kỹ thuật

Dự án đã giải quyết bài toán nan giải của các doanh nghiệp vừa và nhỏ: Tối ưu hóa năng lực bảo vệ mà không làm phát sinh chi phí bản quyền khổng lồ. Thay vì đầu tư hàng trăm triệu đồng cho các thiết bị tường lửa UTM hay hệ thống DLP (Data Loss Prevention) chuyên dụng, giải pháp khai thác tối đa tài nguyên sẵn có của hệ điều hành Windows Server (GPO, EFS, IPsec, NTBackup) kết hợp hài hòa với bộ bảo mật tập trung Kaspersky Small Office Security và chữ ký số Viettel-CA.

+------------------------------------------------------------------------------------+
|                SO SÁNH CÁC PHƯƠNG ÁN BẢO MẬT HỆ THỐNG DOANH NGHIỆP                 |
+--------------------------+-----------------------+---------------------------------+
| Tiêu chí                 | Giải pháp cũ          | Giải pháp đề xuất của Dự án     |
+--------------------------+-----------------------+---------------------------------+
| Kiểm soát ngoại vi       | Không kiểm soát (0%)  | GPO tập trung (Khóa 100%)       |
| Bảo vệ đường truyền      | Plaintext LAN / WEP   | IPsec Tunnel + ESP Encryption   |
| Mã hóa dữ liệu lưu trữ   | Không mã hóa          | EFS (AES/DESx) trên phân vùng   |
| Chu kỳ sao lưu           | 30 ngày (Thủ công)    | 07 ngày (Tự động hóa lịch trình)|
| Chi phí triển khai       | 0 VNĐ                 | ~3.500.000 VNĐ / năm            |
+--------------------------+-----------------------+---------------------------------+

So sánh với các giải pháp trên thị trường

Tiêu chí so sánh Phần mềm Antivirus rời rạc Thiết bị Firewall UTM phần cứng Giải pháp đa tầng tích hợp (Dự án)
Chi phí đầu tư Thấp (~1.000.000 đ) Rất cao (>50.000.000 đ) Tối ưu (~3.500.000 đ)
Khả năng kiểm soát USB Không hỗ trợ Phụ thuộc Agent phức tạp Triệt để qua Windows GPO
Mã hóa dữ liệu tại chỗ Không hỗ trợ Không hỗ trợ Mã hóa tầng File System với EFS
Độ phức tạp vận hành Đơn giản Cần chuyên viên an ninh mạng Vận hành trực quan, tự động hóa

Ứng dụng thực tế và triển khai

Tình huống ứng dụng thực tế

  1. Bảo vệ dữ liệu kế toán và bí mật kinh doanh: Cơ sở dữ liệu Vacom và hợp đồng quảng cáo công nghệ cao được phân quyền theo chức danh, mã hóa EFS, chỉ kế toán trưởng và giám đốc có khóa giải mã.
  2. Ngăn chặn gián điệp thương mại: Cán bộ nhân viên khi mang máy tính xách tay ra ngoài văn phòng không thể xuất dữ liệu nội bộ qua USB hoặc gửi dữ liệu qua các cổng mạng chưa được kiểm định.
  3. Ký kết hợp đồng điện tử hợp chuẩn: Tích hợp chữ ký số Viettel-CA (chi phí 990.000 VNĐ/năm) giúp thực hiện các giao dịch thuế, hải quan và ký kết văn bản từ xa an toàn tuyệt đối.
gantt
    title Lộ trình triển khai giải pháp an toàn thông tin tại TIMESLIGHT
    dateFormat  YYYY-MM-DD
    section Khảo sát & Chuẩn bị
    Khảo sát hạ tầng & Lập phiếu điều tra     :done, des1, 2017-12-15, 2018-01-05
    Sao lưu thẩm định toàn bộ máy chủ         :done, des2, 2018-01-06, 2018-01-09
    section Thử nghiệm Máy chủ
    Cấu hình IPsec Policy & EFS trên Server   :active, des3, 2018-01-10, 2018-01-18
    Kiểm thử tải và thẩm định Log Event       :des4, 2018-01-19, 2018-01-24
    section Triển khai Diện rộng
    Đẩy GPO khóa USB & Cài đặt KSOS Client    :des5, 2018-01-24, 2018-01-28
    Đào tạo nhân sự & Ký cam kết bảo mật      :des6, 2018-01-29, 2018-01-30

Phân tích chi phí - lợi ích (Cost-Benefit Analysis)

  • Tổng chi phí đầu tư ban đầu: Khoảng 3.500.000 VNĐ (Bao gồm bộ phần mềm bản quyền Kaspersky Small Office Security 1 Server + 10 Workstations giá ~2.500.000 VNĐ và Chứng thư số Viettel-CA giá 990.000 VNĐ/năm).
  • Lợi ích kinh tế: Loại bỏ hoàn toàn tổn thất tài chính do sự cố gián đoạn hệ thống (ước tính thiệt hại trung bình 15.000.000 – 30.000.000 VNĐ cho mỗi ngày ngừng trệ sản xuất dây chuyền đèn LED và thiết kế biển hiệu); ngăn chặn nguy cơ rò rỉ công nghệ sản xuất độc quyền trị giá hàng trăm triệu đồng.

Hạn chế và hướng phát triển

Hạn chế kỹ thuật

  • Hạn chế giao thức không dây: Đề tài vẫn kế thừa việc phân tích chuẩn WEP (sử dụng thuật toán RC4 dễ bị va chạm Initialization Vector - IV). Trong môi trường thực tế hiện nay, WEP không còn an toàn trước các công cụ bẻ khóa tự động như Aircrack-ng.
  • Hạ tầng CSDL cũ: Hệ thống dựa trên Microsoft SQL Server 2008 và Windows Server 2008 R2, hiện nay đã bước vào giai đoạn End-of-Life (EOL) từ phía Microsoft, không còn nhận được các bản vá bảo mật định kỳ.
  • Hệ thống xác thực: Việc phân quyền EFS cục bộ chưa được liên kết đầy đủ với mô hình Active Directory Domain Services (AD DS) phân cấp lớn.

Hướng nâng cấp đề xuất

  1. Nâng cấp chuẩn mạng không dây: Chuyển đổi toàn bộ Router/AP sang chuẩn mã hóa WPA2/WPA3-Enterprise sử dụng máy chủ xác thực RADIUS (802.1X).
  2. Hiện đại hóa hệ điều hành và CSDL: Di chuyển dữ liệu lên Windows Server 2019/2022 và Microsoft SQL Server 2019 với tính năng Transparent Data Encryption (TDE) và Always Encrypted.
  3. Áp dụng tiêu chuẩn quản lý an toàn thông tin: Xây dựng hệ thống quản lý an toàn thông tin theo chuẩn quốc tế ISO/IEC 27001:2022.

Đối tượng hưởng lợi

  • Sinh viên chuyên ngành HTTT & CNTT: Tài liệu mẫu chuẩn mực về phương pháp kết hợp giữa nghiên cứu lý thuyết bảo mật (mô hình CIA, giao thức IPsec, mật mã học) và khảo sát định lượng thực tế tại doanh nghiệp.
  • Quản trị viên hệ thống (SysAdmins) tại các SMEs: Bộ hướng dẫn thực hành chi tiết (kèm mã cấu hình GPO, netsh, script backup) để xây dựng hệ thống phòng thủ chi phí thấp nhưng hiệu quả cao.
  • Ban lãnh đạo doanh nghiệp vừa và nhỏ: Khung tham chiếu chiến lược để đánh giá đúng mức độ rủi ro thông tin, từ đó phân bổ ngân sách CNTT hợp lý và thiết lập quy chế bảo mật nội bộ.
  • Giới nghiên cứu học thuật: Cung cấp bộ số liệu thống kê thực tế về các sự cố ATTT thường gặp trong khối doanh nghiệp quang điện tử và quảng cáo tại Việt Nam.

Câu hỏi thường gặp

1. Cần cấu hình phần cứng tối thiểu như thế nào để triển khai giải pháp này?

Máy chủ phần mềm tối thiểu cần vi xử lý Intel Core 2 Duo 2.8 GHz (khuyến nghị Quad-Core Xeon), RAM tối thiểu 8GB (khuyến nghị 16GB), ổ cứng khả dụng 300GB (thiết lập RAID 1 hoặc RAID 5), card mạng Gigabit 10/100/1000 Mbps. Các máy trạm người dùng yêu cầu RAM tối thiểu 2GB-4GB và chạy hệ điều hành Windows 7 Professional/Windows 10 Pro trở lên để hỗ trợ GPO và EFS.

2. Nếu nhân viên cần sử dụng USB để sao chép tài liệu phục vụ công việc thì xử lý thế nào?

Quản trị viên không mở quyền tự do trên máy trạm cá nhân. Mọi nhu cầu trao đổi tệp tin phải thực hiện qua thư mục mạng dùng chung (Shared Folder) có phân quyền và quét mã độc tự động bởi Kaspersky, hoặc thực hiện tại một máy tính riêng biệt (Isolated Kiosk) có giám sát an ninh.

3. Giao thức IPsec có làm suy giảm đáng kể tốc độ mạng nội bộ không?

Quá trình đàm phán IKE và mã hóa ESP/AH bằng thuật toán 3DES/AES sẽ chiếm dụng một phần tài nguyên CPU. Tuy nhiên, trên hạ tầng mạng LAN 1 Gbps và các máy trạm vi xử lý đa nhân hiện nay, độ trễ bổ sung chỉ dao động trong khoảng 2-5%, hoàn toàn không ảnh hưởng đến trải nghiệm thao tác phần mềm kế toán Vacom và Perfect HRM.

4. Khi một nhân viên nghỉ việc đột xuất, làm sao để thu hồi quyền truy cập các file EFS?

Cần cấu hình tài khoản Data Recovery Agent (DRA) trên hệ thống trước khi mã hóa. Khi nhân viên nghỉ việc, DRA (thường là Quản trị viên cấp cao) có thể sử dụng chứng thư khôi phục để giải mã hoặc cấp quyền lại cho nhân sự mới mà không cần mật khẩu của nhân viên cũ.

5. Chi phí duy trì hệ thống bảo mật này hàng năm là bao nhiêu?

Chi phí cố định hàng năm rất thấp, chỉ bao gồm phí gia hạn bản quyền Kaspersky Small Office Security (khoảng 1.800.000 – 2.500.000 VNĐ/năm cho 1 Server + 10-15 PC) và phí duy trì chứng thư số Viettel-CA (khoảng 990.000 VNĐ/năm). Toàn bộ hạ tầng GPO, IPsec, EFS đều tận dụng giấy phép có sẵn của hệ điều hành Windows.

Kết luận

Đồ án tốt nghiệp "Một số giải pháp đảm bảo an toàn và bảo mật cho hệ thống thông tin của Công ty Cổ phần Công nghệ Quang điện tử Ánh sáng Thời đại" đã giải quyết triệt để bài toán bảo mật dữ liệu cấp thiết tại doanh nghiệp thực tập. Bằng việc kết hợp chặt chẽ giữa các công cụ quản trị chính sách hệ điều hành (GPO, EFS, IPsec), giải pháp phần mềm chuyên dụng (Kaspersky Small Office Security, Viettel-CA) và quy chế quản lý con người nghiêm ngặt, dự án đã xây dựng thành công một lá chắn an ninh toàn diện với chi phí tối ưu. Đây là hình mẫu thực tiễn có giá trị ứng dụng cao cho cộng đồng doanh nghiệp vừa và nhỏ tại Việt Nam trong tiến trình chuyển đổi số an toàn và bền vững.