Bối cảnh và vấn đề nghiên cứu

Trong xu thế phát triển của nền kinh tế số và môi trường kinh doanh hiện đại, công nghệ thông tin đã trở thành công cụ chi phối sâu sắc mọi hoạt động tác nghiệp và quản trị doanh nghiệp. Thông tin được xác định là tài sản chiến lược của tổ chức; việc ứng dụng công nghệ thông tin giúp nắm bắt dữ liệu chính xác, kịp thời, gia tăng hiệu quả kinh doanh và mở rộng thị phần. Tuy nhiên, sự gia tăng về quy mô và độ phức tạp của hạ tầng kỹ thuật kéo theo nhiều nguy cơ mất an toàn hệ thống, lỗ hổng bảo mật và các phương thức đánh cắp dữ liệu ngày càng tinh vi. Việc duy trì tính bí mật, tính toàn vẹn, tính sẵn sàng và tính xác thực của thông tin trở thành điều kiện tiên quyết cho sự vận hành ổn định của doanh nghiệp.

Khóa luận được triển khai tại Công ty TNHH Tư vấn và Thương mại V-lead – một doanh nghiệp trẻ, quy mô vừa và nhỏ, hoạt động chính trong 3 lĩnh vực dịch vụ: tổ chức sự kiện, truyền thông và biên - phiên dịch. Mặc dù kết quả hoạt động kinh doanh giai đoạn 2015–2016 ghi nhận sự tăng trưởng tích cực về doanh thu và lợi nhuận, thực trạng công tác đảm bảo an toàn và bảo mật cho hệ thống thông tin tại đơn vị còn bộc lộ nhiều kẽ hở cục bộ, thiếu đồng bộ giữa các thành phần và chưa được đầu tư thỏa đáng. Xuất phát từ thực tiễn đó, tác giả lựa chọn đề tài nghiên cứu nhằm đánh giá toàn diện hiện trạng và đề xuất các giải pháp kỹ thuật kết hợp quản trị phù hợp.

Mục tiêu nghiên cứu của đề tài được xác định cụ thể qua 3 nhiệm vụ:

  1. Tập hợp và hệ thống hóa một số lý thuyết cơ bản về đảm bảo an toàn cho hệ thống thông tin bao gồm đảm bảo an toàn cho: phần cứng, phần mềm, cơ sở dữ liệu, mạng và con người.
  2. Trình bày, tìm hiểu, phân tích đánh giá thực trạng về vấn đề đảm bảo an toàn cho hệ thống thông tin của Công ty TNHH Tư vấn và Thương mại V-lead để đưa ra những ưu điểm và các thiếu sót, lỗ hổng của hệ thống thông tin của doanh nghiệp.
  3. Trên cơ sở nghiên cứu thực trạng tình hình tại công ty, từ đó đưa ra một số đề xuất những giải pháp tối ưu, hiệu quả nhất để đảm bảo an toàn cho hệ thống thông tin của công ty.

Đối tượng và phạm vi nghiên cứu:

  • Đối tượng nghiên cứu: Vấn đề an toàn thông tin cho hệ thống thông tin và các giải pháp đảm bảo an toàn cho hệ thống thông tin của Công ty TNHH Tư vấn và Thương mại V-lead.
  • Phạm vi không gian: Nghiên cứu tập trung tại trụ sở và các phòng ban trực thuộc Công ty TNHH Tư vấn và Thương mại V-lead (Tầng 2, tòa nhà Giảng Võ Lake View, D10 Giảng Võ, Ba Đình, Hà Nội).
  • Phạm vi thời gian: Khóa luận kế thừa các công trình lý thuyết xuất bản từ năm 2002 đến năm 2014; dữ liệu thứ cấp gồm báo cáo tài chính và kết quả kinh doanh của công ty trong 2 năm 2015–2016; các dữ liệu sơ cấp được điều tra, khảo sát thực tế trong thời gian thực tập tốt nghiệp của tác giả.

Cơ sở lý thuyết và phương pháp

Khóa luận xây dựng hệ thống cơ sở lý thuyết dựa trên các khái niệm nền tảng về thông tin, dữ liệu, hệ thống thông tin và cơ sở dữ liệu. Theo đó, hệ thống thông tin là tập hợp phối hợp giữa phần cứng, phần mềm và mạng truyền thông nhằm thu thập, lưu trữ, xử lý và phân phối thông tin phục vụ mục tiêu tổ chức. An toàn thông tin được định nghĩa là trạng thái hệ thống không bị hư hại, sửa đổi, sao chép hoặc xóa bỏ trái phép, đảm bảo hoạt động không bị gián đoạn nghiêm trọng khi xảy ra sự cố. Ba nguyên tắc an toàn thông tin cốt lõi được làm rõ gồm:

  • Tính bí mật (Confidentiality): Đảm bảo thông tin chỉ được tiếp cận bởi các đối tượng được cấp quyền.
  • Tính trọn vẹn (Integrity): Đảm bảo thông tin luôn ở trạng thái chính xác, tin cậy, chỉ có người được phân quyền mới có thể chỉnh sửa.
  • Tính sẵn sàng (Availability): Đảm bảo dữ liệu và hệ thống luôn sẵn sàng phục vụ nhu cầu truy xuất của người dùng hợp pháp.

Khóa luận phân loại các nguy cơ mất an toàn thông tin thành hai nhóm: nguy cơ ngẫu nhiên (thiên tai, mất điện, hư hỏng vật lý) và nguy cơ có chủ định (tin tặc, xâm nhập trái phép, làm lộ hoặc sai lệch thông tin, gây nghẽn dịch vụ). Các hình thức tấn công được chia thành tấn công thụ động (offline qua đánh cắp tài khoản lưu trữ không mã hóa; online qua giả mạo người gửi - phishing) và tấn công chủ động (thay đổi luồng dữ liệu, bắt gói tin, tấn công từ chối dịch vụ DoS lợi dụng cơ chế bắt tay ba bước của TCP/IP, phát tán virus, trojan và tấn công phi kỹ thuật). Khung giải pháp kỹ thuật phòng vệ được tổng hợp gồm: cấu hình an toàn máy chủ/CSDL, phân quyền người dùng, bảo mật kênh truyền, thiết lập tường lửa (firewall), rà quét lỗ hổng và triển khai hệ thống phát hiện/ngăn chặn xâm nhập (IDS/IPS).

Các công trình nghiên cứu được tác giả kế thừa và đối chiếu gồm:

  • Tài liệu trong nước: Giáo trình "An toàn dữ liệu trong thương mại điện tử" (Đàm Gia Mạnh, 2009), Giáo trình "Lý thuyết mật mã và an toàn thông tin" (Phan Đình Diệu, 2002), "Bài giảng an toàn và bảo mật hệ thống thông tin" (Bộ môn Công nghệ thông tin - Đại học Nha Trang, 2014).
  • Tài liệu quốc tế: "Cryptography and network security principles and practices" (William Stallings, 2005) về mã hóa AES, CMAC và chống phần mềm độc hại; "Computer Networking with Internet Protocols and Technology" (William Stallings, 2003) về kiến trúc mạng và quản trị an ninh giao thức TCP/IP; "Internet Security: Cryptographic principles, algorithms and protocols" (Man Young Rhee, 2003); cùng tài liệu về tính năng Threat Detection and Response (TDR) của giải pháp tường lửa WatchGuard.

Phương pháp nghiên cứu thực tế được triển khai bao gồm:

  • Phương pháp thu thập dữ liệu sơ cấp: Thiết kế và phát phiếu điều tra khảo sát gồm 24 câu hỏi (9 câu về thông tin chung của đơn vị, 15 câu chuyên sâu về các khía cạnh an toàn phần cứng, phần mềm, cơ sở dữ liệu, mạng và con người) đến cán bộ nhân viên công ty. Quy mô mẫu thu được là 20 phiếu phản hồi hợp lệ (n = 20).
  • Phương pháp thu thập dữ liệu thứ cấp: Tiếp cận và thu thập báo cáo kết quả hoạt động kinh doanh giai đoạn 2015–2016 từ phòng tài chính - kế toán và phòng nhân sự; tổng kết tài liệu nội bộ, giáo trình và tài liệu nghiên cứu chuyên ngành.
  • Phương pháp phân tích và xử lý dữ liệu: Sử dụng Microsoft Office Excel 2010 để xử lý số liệu định lượng, tổng hợp bảng tần số và vẽ biểu đồ phân phối; kết hợp phương pháp phân tích định tính để nhận diện nguyên nhân, đánh giá ưu - nhược điểm; áp dụng phương pháp so sánh đối chiếu giữa lý luận và thực tế, cùng phương pháp phán đoán nhằm dự báo rủi ro an ninh thông tin.

Nội dung chính theo từng chương

CHƯƠNG 1: TỔNG QUAN ĐỀ TÀI NGHIÊN CỨU

Chương 1 trình bày tính cấp thiết và ý nghĩa của công tác an toàn và bảo mật hệ thống thông tin trong bối cảnh toàn cầu hóa và bùng nổ công nghệ. Tác giả thực hiện tổng quan tình hình nghiên cứu trong nước và quốc tế, xác định các khoảng trống tri thức về an toàn thông tin đối với các doanh nghiệp quy mô vừa và nhỏ. Chương này xác lập hệ thống mục tiêu nghiên cứu gồm 3 nhiệm vụ cụ thể, giới hạn đối tượng nghiên cứu vào vấn đề bảo mật và các giải pháp tương ứng tại Công ty TNHH Tư vấn và Thương mại V-lead, xác định phạm vi không gian (tại công ty) và thời gian (số liệu tài chính 2015–2016 cùng khảo sát thực tế). Cuối cùng, chương 1 phác thảo phương pháp tiếp cận nghiên cứu (thu thập sơ cấp bằng 24 câu hỏi khảo sát, dữ liệu thứ cấp, xử lý dữ liệu định lượng trên Excel và phân tích định tính) cùng kết cấu 3 chương của khóa luận.

CHƯƠNG 2: CƠ SỞ LÍ LUẬN VÀ THỰC TRẠNG VỀ VẤN ĐỀ AN TOÀN VÀ BẢO MẬT CHO HỆ THỐNG THÔNG TIN CỦA CÔNG TY TNHH TƯ VẤN VÀ THƯƠNG MẠI V-LEAD

Chương 2 được cấu trúc thành ba phần chính: cơ sở lý luận, phân tích thực trạng và đánh giá chung.

  • Cơ sở lý luận: Hệ thống hóa khái niệm dữ liệu, thông tin, cơ sở dữ liệu, hệ thống thông tin; phân tích ba đặc tính bảo mật (bí mật, toàn vẹn, sẵn sàng); phân loại nguy cơ mất an toàn thông tin (ngẫu nhiên và có chủ định); trình bày các dạng tấn công chủ động, thụ động, DoS; nêu các biện pháp phòng vệ như phân quyền, bảo vệ kênh truyền, tường lửa, IDS/IPS và rà quét an ninh.
  • Giới thiệu doanh nghiệp và kết quả kinh doanh: Công ty TNHH Tư vấn và Thương mại V-lead thành lập ngày 07/09/2009 (giấy phép ngày 30/06/2010), mã số thuế 0104141252, giám đốc là ông Hoàng Văn Thiều. Cơ cấu gồm Ban Giám đốc (Giám đốc, Phó Giám đốc) và 3 phòng ban chức năng: Phòng Tài chính - Kế toán, Phòng Kinh doanh (chia 3 ban: sự kiện, truyền thông, dịch thuật) và Phòng Kỹ thuật. Báo cáo tài chính cho thấy năm 2016 doanh thu bán hàng và cung cấp dịch vụ tăng hơn 3 tỷ đồng so với năm 2015; các khoản giảm trừ doanh thu giảm từ trên 2,69 tỷ đồng xuống khoảng 2,67 tỷ đồng; lợi nhuận sau thuế năm 2016 tăng hơn 900 triệu đồng so với năm 2015.
  • Thực trạng an toàn bảo mật hệ thống thông tin qua 5 thành phần (mẫu n = 20):
    • An toàn phần cứng: Công ty trang bị 2 máy chủ Dell, 30 máy tính để bàn Samsung, 10 máy tính xách tay (Dell, HP, Asus), 2 máy in Samsung SCX 4200 và 1 máy chiếu Sony VPL-DX120; 100% máy tính kết nối Internet. Về sự cố phần cứng, 13 ý kiến ghi nhận thiết bị hoạt động chậm/kém, 5 ý kiến phản ánh máy bị rơi vỡ/hỏng, 2 ý kiến phản ánh người khác đột nhập sử dụng, không ghi nhận mất trộm. Giải pháp bảo mật phần cứng tập trung chủ yếu vào sao lưu/phục hồi (12 ý kiến), tường lửa máy chủ (5 ý kiến), không có tường lửa ngoài. Thiết bị bảo mật bằng phần cứng gồm ổ USB (10 ý kiến), thiết bị khác (8 ý kiến), tường lửa phần cứng (2 ý kiến). Tần suất sao lưu dữ liệu: 3 tháng/lần chiếm 60% (12 người), 1 tháng/lần chiếm 25% (5 người), 6 tháng/lần chiếm 10% (2 người) và lâu hơn chiếm 5% (1 người).
    • An toàn phần mềm: Hệ điều hành là Windows XP, bộ ứng dụng văn phòng Microsoft Office 2010; phần mềm diệt virus Kaspersky; các ứng dụng nghiệp vụ gồm Microsoft Project, Microsoft Outlook, MISA, CIS-HR, Photoshop CS6, Illustrator. Mức độ hài lòng: 30% hài lòng, 30% bình thường, 20% rất hài lòng, 15% chưa hài lòng và 5% không quan tâm. Tỷ lệ sử dụng phần mềm có bản quyền đạt 80%, còn 20% không bản quyền. Đáng chú ý, có tới 70% nhân viên không đặt mật khẩu cho phần mềm sử dụng, chỉ 30% có đặt mật khẩu. Về biện pháp bảo vệ, 12 ý kiến chỉ dùng phần mềm diệt virus, giao thức mạng (SSL/SET/TLS) có 3 ý kiến, mạng riêng ảo có 3 ý kiến, phần mềm mã hóa có 2 ý kiến.
    • An toàn cơ sở dữ liệu: Cơ sở dữ liệu nội bộ xây dựng trên MS Excel và lưu trữ đám mây; CSDL website dùng MySQL 5.4; CSDL khách hàng lưu trên MS SQL Server. Biện pháp lưu trữ gồm lưu trên máy chủ công ty (9 ý kiến), điện toán đám mây (7 ý kiến), máy tính cá nhân (2 ý kiến), thủ công (2 ý kiến). Cách thức bảo vệ CSDL: đặt password (11 ý kiến), phân quyền người dùng (4 ý kiến), kết hợp tất cả (3 ý kiến), mã hóa tài liệu chỉ có 2 ý kiến. Về giao dịch khách hàng: trực tiếp chiếm 30%, qua email 20%, qua điện thoại 20%, qua Facebook 10%, kết hợp tất cả 20%. Bảo mật thông tin khách hàng thực hiện qua quản lý email (10 ý kiến - chiếm 50%), quản lý hệ CSDL (6 ý kiến), quản lý máy chủ (2 ý kiến), quản lý website (2 ý kiến). Ngân sách dự kiến đầu tư cho bảo mật thông tin và CSDL rất hạn chế: 10–15 triệu đồng (12 ý kiến), dưới 10 triệu đồng (4 ý kiến), 15–30 triệu đồng (3 ý kiến), 30–50 triệu đồng (1 ý kiến), trên 50 triệu đồng (0 ý kiến).
    • An toàn mạng: Hệ thống sử dụng mạng LAN, Wi-Fi và Internet ADSL, mô hình hình sao qua thiết bị trung tâm Hub, sử dụng 2 thiết bị định tuyến TP-Link, máy chủ đặt tại FPT (trong văn bản viết là FTP). Vấn đề mạng thường gặp: hiệu suất mạng chậm (5 ý kiến), không thể truy cập máy chủ (5 ý kiến), nhiễm virus (4 ý kiến), in ấn qua mạng không ổn định (3 ý kiến), máy trạm không kết nối được Wi-Fi (3 ý kiến). Biện pháp bảo vệ mạng: hệ thống tường lửa đa tầng (9 ý kiến), danh sách điều khiển truy xuất (4 ý kiến), lọc địa chỉ vật lý (3 ý kiến), bản sao lưu thiết bị mạng (2 ý kiến), ẩn SSID (2 ý kiến). Bảo mật đường truyền: mật khẩu Wi-Fi mạnh (8 ý kiến), mã hóa WPA2 (5 ý kiến), lọc địa chỉ MAC (3 ý kiến), mã hóa đường truyền (2 ý kiến), chứng thư số và SSL (2 ý kiến).
    • Nhân tố con người và website: 100% nhân viên sử dụng máy tính thành thạo; công ty kiểm soát ra vào bằng dấu vân tay; tài khoản được IT phân quyền theo chức danh. Trình độ CNTT nhân viên: Trung bình chiếm 45%, Khá 30%, Tốt 20%, Kém 5%. Phương thức đào tạo CNTT: đào tạo tại chỗ theo nhu cầu chiếm ưu thế (10 ý kiến), mở lớp đào tạo (5 ý kiến), gửi đi học (5 ý kiến). Website công ty (www.vn) viết bằng JavaScript, dùng MySQL 5.4 trên Windows XP; biện pháp bảo vệ gồm vá lỗi, phân quyền, sao lưu định kỳ, ẩn đường dẫn (Hide path), mã hóa file nhạy cảm và mua gói bảo mật host. Tần suất bảo mật website: 3 tháng/lần chiếm 40%, hàng ngày 20%, hàng tuần 20%, 1 tháng/lần 10%, hàng giờ 10%. Mức độ quan trọng của bảo mật website: rất quan trọng (9 ý kiến), quan trọng (5 ý kiến), bình thường (4 ý kiến), chưa quan trọng (2 ý kiến).
  • Đánh giá tổng hợp: Khóa luận chỉ ra các ưu điểm (phần cứng tương đối đầy đủ, có cơ chế sao lưu định kỳ, phân quyền máy chủ theo chức danh, kiểm soát vân tay) và chỉ rõ các nhược điểm nghiêm trọng: bảo vệ mạng mới dừng ở phần mềm diệt virus và tường lửa mặc định; chưa có cơ chế giám sát hay thông báo tự động tình trạng kết nối máy trạm - máy chủ; bảo mật tài liệu dịch thuật mới dựa trên hợp đồng cam kết bảo mật (NDA) tự giác; 20% máy dùng phần mềm không bản quyền; 70% không đặt password phần mềm; bảo mật khách hàng phụ thuộc vào email; ngân sách đầu tư rất thấp. Nguyên nhân xuất phát từ nhận thức chưa đầy đủ của ban lãnh đạo, năng lực chuyên trách CNTT còn hạn chế và áp lực tài chính từ bối cảnh kinh tế.

CHƯƠNG 3: ĐỀ XUẤT GIẢI PHÁP ĐẢM BẢO AN TOÀN CHO HTTT CỦA CÔNG TY TNHH TƯ VẤN VÀ THƯƠNG MẠI DỊCH VỤ V-LEAD

Chương 3 đề ra định hướng phát triển an toàn hệ thống thông tin gắn liền với chiến lược nâng cao năng lực cạnh tranh và uy tín của công ty. Tác giả xây dựng các nhóm đề xuất cụ thể:

  • Giải pháp an toàn bảo mật cho phần cứng:
    • Bảo vệ vật lý: Đặt máy tính bàn, laptop trên bàn làm việc cao tránh ngập lụt, xô đẩy; hạn chế đồ ăn uống gần thiết bị; trang bị túi chống sốc cho laptop khi di chuyển để tránh sốc ổ cứng hỏng dữ liệu; bảo trì, tra dầu máy in định kỳ; vệ sinh thiết bị thường xuyên. Tham khảo trang bị khóa vật lý Defcon Worksurface Lock của Targus (chi phí 47 USD) để cố định máy tính chống rơi vỡ.
    • Ngăn chặn lỗ hổng rò rỉ bộ nhớ qua cổng ngoại vi: Sử dụng tiện ích Device Manager trên Windows để vô hiệu hóa (disable) các ổ đĩa quang (CD/DVD), ổ đĩa mềm và các cổng đọc thẻ/USB không cần thiết khi không dùng đến nhằm làm chậm nguy cơ đánh cắp dữ liệu.
    • Kiểm soát xác thực khởi động: Thiết lập mật khẩu BIOS/CMOS để ngăn truy cập trái phép trước khi hệ điều hành khởi động; kết hợp khóa hộp case máy tính tránh việc đảo chân jumper bo mạch chủ để reset mật khẩu. Đề xuất sử dụng giải pháp khóa máy tính bằng token USB qua chương trình SecuriKey Professional của Griffin Technologies (giá 130 USD) hoặc tiện ích TokenKey của DefendGate (giá 5 USD). Đồng thời, vô hiệu hóa tính năng khởi động (boot) từ đĩa CD/DVD hoặc USB trong BIOS để chống lại việc dùng các công cụ bẻ khóa mật khẩu ngoài.
    • Tăng cường giám sát an ninh: Lắp đặt bổ sung 1 camera quan sát tại khu vực hành lang lối đi lại giữa 3 phòng ban (bổ sung cho 3 camera hiện có trong 3 phòng). Tác giả đề xuất thiết bị IP Camera YYZ100SS-XF++ với giá 490.000 đồng (độ phân giải 1280 x 720, cảm biến 720P 1.0M CMOS, xoay ngang 360 độ, xoay đứng 120 độ, phát hiện chuyển động trong phạm vi 10m và gửi cảnh báo video qua điện thoại/email, hỗ trợ kết nối cảm biến báo động).
    • Giám sát hoạt động máy trạm: Đề xuất cài đặt phần mềm Free Keylogger Pro (miễn phí) để theo dõi, ghi lại nhật ký gõ phím, hành vi chuột, truy cập web, ứng dụng chat và chụp ảnh màn hình định kỳ gửi báo cáo về email quản lý khi nhân viên vắng mặt.
  • Giải pháp an toàn bảo mật cho phần mềm:
    • Yêu cầu toàn bộ nhân viên thiết lập mật khẩu mạnh khi sử dụng các phần mềm ứng dụng và phần mềm nghiệp vụ (MISA, CIS-HR, Photoshop CS6, Illustrator, Microsoft Office). Đề xuất áp dụng tiện ích Program Blocker để khóa các phần mềm, thiết lập danh sách ứng dụng cần bảo vệ và yêu cầu nhập mật khẩu bảo vệ tùy chọn trước khi khởi chạy.

Kết quả và đóng góp

Khóa luận đã tổng hợp hệ thống số liệu khảo sát thực chứng phản ánh trung thực diện mạo an toàn hệ thống thông tin tại Công ty TNHH Tư vấn và Thương mại V-lead:

Thành phần khảo sát Chỉ số cốt lõi ghi nhận trong văn bản
Quy mô phần cứng 2 máy chủ Dell, 30 máy để bàn Samsung, 10 máy tính xách tay, 2 máy in Samsung SCX 4200, 1 máy chiếu Sony VPL-DX120; 100% kết nối Internet.
Sự cố phần cứng 13/20 ý kiến phản ánh thiết bị hoạt động chậm/kém; 5/20 phản ánh rơi vỡ, hỏng hóc; 2/20 phản ánh bị người khác đột nhập sử dụng; 0 mất trộm.
Tần suất sao lưu dữ liệu 60% sao lưu 3 tháng/lần; 25% sao lưu 1 tháng/lần; 10% sao lưu 6 tháng/lần; 5% lâu hơn 6 tháng.
Thực trạng phần mềm 80% phần mềm có bản quyền, 20% không bản quyền; 70% người dùng không đặt mật khẩu phần mềm; 12/20 ý kiến chỉ dựa vào phần mềm diệt virus Kaspersky.
Bảo mật cơ sở dữ liệu 11/20 dùng password; 4/20 phân quyền; chỉ 2/20 dùng biện pháp mã hóa tài liệu; 50% quản lý bảo mật thông tin khách hàng qua email.
Ngân sách dự kiến đầu tư 12/20 chọn mức 10–15 triệu đồng; 4/20 chọn dưới 10 triệu đồng; 3/20 chọn 15–30 triệu đồng; 1/20 chọn 30–50 triệu đồng; 0 chọn trên 50 triệu đồng.
Trình độ CNTT nhân sự 45% Trung bình; 30% Khá; 20% Tốt; 5% Kém; 10/20 đơn vị lựa chọn hình thức tự đào tạo tại chỗ.

Về mặt giải pháp, tác giả đã đưa ra danh mục các đề xuất kỹ thuật gắn liền với định mức chi phí và thông số thiết bị cụ thể:

  • Khóa vật lý cố định máy tính Defcon Worksurface Lock của Targus (47 USD).
  • Cấu hình vô hiệu hóa cổng lưu trữ ngoài qua Device Manager của Windows và khóa tính năng boot từ USB/CD trong BIOS.
  • Sử dụng token USB bảo mật: Griffin Technologies SecuriKey Professional (130 USD) hoặc DefendGate TokenKey (5 USD).
  • Lắp đặt bổ sung Camera IP YYZ100SS-XF++ giá 490.000 đồng (720P, góc quay 360 độ, hồng ngoại 10m, cảm biến chuyển động).
  • Ứng dụng phần mềm miễn phí Free Keylogger Pro để giám sát nhật ký vận hành máy trạm.
  • Ứng dụng công cụ Program Blocker để thiết lập mật khẩu truy cập cho các phần mềm kế toán, nhân sự và thiết kế đồ họa.

Đóng góp tự nêu của khóa luận:

  • Hệ thống hóa khung lý luận bảo mật hệ thống thông tin theo mô hình 5 thành phần (phần cứng, phần mềm, cơ sở dữ liệu, mạng, con người), điều chỉnh phù hợp với đặc thù doanh nghiệp dịch vụ thương mại vừa và nhỏ.
  • Cung cấp bức tranh thực trạng chân thực về các lỗ hổng an ninh thông tin hành vi (không khóa phần mềm, lạm dụng email, phụ thuộc cam kết NDA tự giác) tại Công ty V-lead thông qua công cụ điều tra định lượng.
  • Đề xuất các giải pháp kỹ thuật có tính ứng dụng cao, phân cấp theo mức đầu tư từ không tốn chi phí (tận dụng tính năng Windows, Device Manager, BIOS, phần mềm miễn phí) đến chi phí thấp (camera 490.000 đồng, token 5 USD), hoàn toàn phù hợp với khung ngân sách hạn hẹp của doanh nghiệp.

Hạn chế và hướng nghiên cứu tiếp

Khóa luận phản ánh một số điểm hạn chế dựa trên phạm vi và nội dung văn bản:

  • Phạm vi khảo sát giới hạn trong nội bộ một doanh nghiệp dịch vụ vừa và nhỏ (Công ty V-lead) với dung lượng mẫu khảo sát tương đối khiêm tốn (n = 20), do đó kết quả chưa mang tính đại diện cho toàn ngành dịch vụ thương mại.
  • Giải pháp đề xuất tại chương 3 tập trung nhiều vào khía cạnh bảo vệ vật lý và kiểm soát cục bộ phần cứng (khóa vật lý, camera, vô hiệu hóa cổng, token USB, keylogger, phần mềm khóa ứng dụng), trong khi các giải pháp kỹ thuật chuyên sâu về an toàn mạng, kiến trúc cơ sở dữ liệu phân tán, phòng chống tấn công web và mã hóa kênh truyền chưa được xây dựng thành mô hình hoàn chỉnh.
  • Việc đề xuất công cụ Free Keylogger Pro để theo dõi nhật ký máy trạm nhân viên mới chỉ nhìn nhận từ góc độ kỹ thuật giám sát, chưa đánh giá khía cạnh chính sách bảo mật nội bộ và quyền riêng tư nơi công sở.

Hướng nghiên cứu tiếp được mở ra:

  • Mở rộng phạm vi điều tra khảo sát trên quy mô nhiều doanh nghiệp thuộc các khối ngành dịch vụ khác nhau nhằm xây dựng mô hình quản trị an toàn thông tin có tính khái quát cao hơn.
  • Nghiên cứu thiết kế kiến trúc bảo mật toàn diện theo các bộ tiêu chuẩn an toàn thông tin quốc tế (như ISO/IEC 27001), tích hợp cơ chế sao lưu tự động và mã hóa dữ liệu đa tầng trên nền tảng điện toán đám mây.

Giá trị tham khảo

Khóa luận là nguồn tài liệu tham khảo hữu ích cho:

  • Sinh viên chuyên ngành Hệ thống thông tin kinh tế, Thương mại điện tử và Tin học quản trị: Cung cấp phương pháp luận và mẫu bảng hỏi 24 câu dùng trong khảo sát thực trạng an toàn thông tin tại doanh nghiệp; minh họa cách thức xử lý số liệu thống kê mô tả qua Excel để phân tích các thành phần HTTT.
  • Cán bộ kỹ thuật và nhà quản trị tại các doanh nghiệp vừa và nhỏ (SMEs): Tham khảo các giải pháp bảo vệ hệ thống thông tin với chi phí thấp hoặc không mất chi phí, đặc biệt là quy trình vô hiệu hóa cổng kết nối qua Device Manager, thiết lập bảo mật BIOS/CMOS, phân quyền ứng dụng qua Program Blocker và các phương án đầu tư thiết bị giám sát giá rẻ.

Câu hỏi thường gặp

1. Cơ cấu hạ tầng phần cứng của Công ty V-lead tại thời điểm khảo sát gồm những trang thiết bị nào?

Theo Bảng 2.2 trong khóa luận, hệ thống phần cứng của công ty gồm: 2 máy chủ Dell, 30 máy tính để bàn Samsung, 10 máy tính xách tay (Dell, HP, Asus), 2 máy in Samsung SCX 4200 và 1 máy chiếu Sony VPL-DX120. Toàn bộ 40 máy tính làm việc của nhân viên được chia cho 3 phòng ban và 100% đều được kết nối mạng Internet.

2. Những điểm yếu và lỗ hổng bảo mật nghiêm trọng nhất tại Công ty V-lead được tác giả chỉ ra là gì?

Các kẽ hở lớn gồm: 70% nhân viên không cài mật khẩu cho phần mềm; 20% máy trạm sử dụng phần mềm không có bản quyền; việc bảo mật tài liệu dịch thuật của khách hàng chỉ dựa vào sự tự giác chấp hành hợp đồng bảo mật (NDA); 50% phương thức bảo mật thông tin khách hàng dựa vào quản lý email; 60% chỉ sao lưu dữ liệu 3 tháng một lần; cơ sở dữ liệu chủ yếu lưu trên Excel; công ty hoàn toàn chưa có hệ thống cảnh báo tự động khi máy trạm mất kết nối với máy chủ.

3. Tác giả đề xuất những công cụ và thiết bị cụ thể nào để bảo vệ phần cứng và ngăn chặn mất mát dữ liệu?

Tác giả đề xuất:

  • Khóa máy tính chống rơi vỡ Defcon Worksurface Lock của Targus (47 USD).
  • Vô hiệu hóa cổng USB, ổ quang CD/DVD qua Device Manager của Windows và khóa tính năng boot từ USB/CD trong BIOS.
  • Sử dụng token USB bảo mật: SecuriKey Professional của Griffin Technologies (130 USD) hoặc TokenKey của DefendGate (5 USD).
  • Lắp đặt thêm 1 IP Camera YYZ100SS-XF++ giá 490.000 đồng giám sát hành lang giữa các phòng ban.
  • Cài đặt phần mềm giám sát nhật ký bàn phím và màn hình Free Keylogger Pro.

4. Nhận thức của nhân sự và ngân sách dự kiến của công ty dành cho công tác an toàn thông tin như thế nào?

Trình độ công nghệ thông tin của nhân sự chủ yếu ở mức trung bình (45%) và khá (30%), mức tốt chỉ chiếm 20% và kém chiếm 5%; hình thức đào tạo chủ yếu là kèm cặp tại chỗ (10 ý kiến). Ngân sách dự kiến dành cho an toàn thông tin và cơ sở dữ liệu rất thấp: 12/20 ý kiến chọn mức 10–15 triệu đồng, 4/20 ý kiến chọn dưới 10 triệu đồng, 3/20 ý kiến chọn 15–30 triệu đồng, 1/20 ý kiến chọn 30–50 triệu đồng và không có ai chọn mức trên 50 triệu đồng.

Kết luận

Khóa luận tốt nghiệp của tác giả Vũ Thị Phượng đã phản ánh toàn diện cơ sở lý thuyết và bức tranh thực tế về công tác an toàn, bảo mật hệ thống thông tin tại Công ty TNHH Tư vấn và Thương mại V-lead giai đoạn 2015–2016. Qua việc xử lý dữ liệu điều tra từ 20 phiếu khảo sát, công trình đã làm rõ những bất cập điển hình trong việc quản lý phần cứng, phần mềm, cơ sở dữ liệu và thói quen bảo mật của nhân sự tại một doanh nghiệp dịch vụ quy mô vừa và nhỏ. Các giải pháp do tác giả đề xuất tập trung vào tính khả thi, kết hợp linh hoạt giữa cấu hình hệ thống sẵn có và trang bị công cụ chi phí thấp, đáp ứng trực tiếp nhu cầu nâng cao mức độ an toàn thông tin trong điều kiện ngân sách hạn chế của doanh nghiệp.