Bối cảnh và vấn đề nghiên cứu

Trong bối cảnh công nghệ thông tin phát triển nhanh chóng và số lượng người dùng Internet tại Việt Nam gia tăng liên tục, an toàn và bảo mật hệ thống thông tin (HTTT) trở thành yếu tố sống còn đối với mọi tổ chức, doanh nghiệp. Tuy nhiên, nhiều doanh nghiệp vừa và nhỏ (SME) chưa đạt được các tiêu chuẩn an toàn bảo mật do hạn chế về kinh phí, công nghệ và nhân sự chuyên trách. Công ty Cổ phần Dịch vụ Tất Thành – doanh nghiệp hoạt động trong lĩnh vực thiết kế website, lưu trữ web (hosting), đăng ký tên miền và marketing trực tuyến – đang đối mặt với nhiều nguy cơ an ninh mạng như virus, mã độc, tấn công từ chối dịch vụ (DoS) và rò rỉ dữ liệu khách hàng. Xuất phát từ thực tế đó, đề tài "Một số giải pháp bảo mật hệ thống thông tin cho Công ty cổ phần dịch vụ Tất Thành" được thực hiện nhằm đánh giá toàn diện hiện trạng bảo mật và đề xuất các giải pháp kỹ thuật, quản lý phù hợp với điều kiện thực tế của doanh nghiệp.

Mục tiêu nghiên cứu của khóa luận được xác định cụ thể như sau:

  1. Hệ thống hóa các khái niệm, cơ sở lý luận cơ bản về an toàn bảo mật hệ thống thông tin trong doanh nghiệp.
  2. Thu thập dữ liệu, phân tích và đánh giá thực trạng công tác an toàn bảo mật HTTT tại Công ty Cổ phần Dịch vụ Tất Thành, chỉ rõ các ưu điểm, hạn chế và nguyên nhân của những lỗ hổng bảo mật.
  3. Đề xuất định hướng, kiến nghị và các giải pháp kỹ thuật (tường lửa, quản trị cơ sở dữ liệu), giải pháp tổ chức - con người nhằm nâng cao năng lực bảo đảm an toàn thông tin cho công ty.

Đối tượng và phạm vi nghiên cứu:

  • Đối tượng nghiên cứu: Các tài liệu lý luận, sách báo, giáo trình liên quan đến an toàn bảo mật thông tin; hệ thống thông tin, hạ tầng mạng, thiết bị phần cứng, phần mềm và các bộ phận chức năng đại diện tại Công ty Cổ phần Dịch vụ Tất Thành.
  • Phạm vi không gian: Công ty Cổ phần Dịch vụ Tất Thành (địa chỉ tại Phòng 2104, Tòa 24T2, đường Hoàng Đạo Thúy, quận Cầu Giấy, Hà Nội).
  • Phạm vi thời gian: Số liệu hoạt động sản xuất kinh doanh và sự cố an ninh mạng được khảo sát trong giai đoạn 2014–2016; thời gian thực hiện nghiên cứu khóa luận diễn ra từ ngày 27/02/2017 đến ngày 30/04/2017.
  • Phạm vi nội dung: Tập trung vào các hoạt động an toàn bảo mật HTTT quản lý nội bộ của doanh nghiệp, phân tích thực trạng triển khai phần cứng, phần mềm, dữ liệu, nhân lực và đề xuất các biện pháp khắc phục.

Cơ sở lý thuyết và phương pháp

Khóa luận xây dựng nền tảng nghiên cứu dựa trên các khái niệm và khung lý thuyết tiêu chuẩn trong lĩnh vực công nghệ thông tin và an toàn dữ liệu:

  • Khái niệm cốt lõi: Thông tin (Information), dữ liệu (Data), hệ thống thông tin (Information System) và an toàn dữ liệu (Data Security) được trích dẫn từ giáo trình của Đàm Gia Mạnh (2009).
  • Tam giác bảo mật (Mô hình CIA): Mục tiêu an toàn thông tin bao gồm ba thuộc tính nền tảng theo chuẩn ISO/IEC 27001:2013 và giáo trình an toàn thông tin của Nguyễn Khanh Văn (2012): Tính bí mật (Confidentiality), Tính toàn vẹn (Integrity) và Tính sẵn sàng (Availability).
  • Phân loại tấn công và nguy cơ: Tấn công kỹ thuật xã hội (social engineering), tấn công phần mềm (lợi dụng lỗ hổng hệ điều hành, ứng dụng, giao thức để tấn công DoS hoặc chiếm quyền) và tấn công phần cứng phá hoại thiết bị vật lý; đối chiếu với tài liệu của William Stallings (2005) về phần mềm độc hại và biện pháp phòng chống virus.
  • Lý thuyết tường lửa (Firewall): Cơ chế lọc gói (Packet Filtering), hệ thống phát hiện/ngăn ngừa xâm nhập (IDS/IPS), phân loại tường lửa phần cứng (Cisco, SonicWALL, WatchGuard) và tường lửa phần mềm (Microsoft ISA Server, Proxy Server, ZoneAlarm) theo giáo trình của Trần Văn Dũng (2014).

Phương pháp nghiên cứu được triển khai kết hợp giữa định tính và định lượng:

  • Phương pháp thu thập dữ liệu thứ cấp: Kế thừa số liệu từ báo cáo tài chính, báo cáo kết quả hoạt động kinh doanh giai đoạn 2014–2016 của công ty; thu thập tài liệu học thuật từ giáo trình, sách chuyên khảo trong và ngoài nước.
  • Phương pháp thu thập dữ liệu sơ cấp: Phát phiếu điều tra khảo sát với cỡ mẫu $n = 10$ nhân viên đại diện các phòng ban; thực hiện phỏng vấn trực tiếp Ban Giám đốc và cán bộ quản lý kỹ thuật, kế toán, kinh doanh về tình hình vận hành HTTT và các sự cố bảo mật.
  • Phương pháp xử lý số liệu: Thống kê mô tả dữ liệu định lượng bằng bảng biểu, tính toán tỷ lệ phần trăm trên phần mềm Microsoft Excel; phân tích định tính dựa trên kết quả phỏng vấn và đối chiếu thực nghiệm để xác định nguyên nhân cốt lõi gây mất an toàn thông tin.

Nội dung chính theo từng chương

Chương 1: Tổng quan về đề tài nghiên cứu

Chương 1 thiết lập khung tổng quan cho đề tài. Tác giả luận giải tầm quan trọng và ý nghĩa của an toàn bảo mật HTTT đối với sự phát triển bền vững của doanh nghiệp, đặc biệt trong việc bảo vệ bí mật kinh doanh, giảm thiểu chi phí thiệt hại và duy trì lợi thế cạnh tranh. Chương này tổng thuật các tài liệu tham khảo chính, gồm các giáo trình trong nước (Đàm Gia Mạnh, Trần Văn Dũng, Nguyễn Khanh Văn) và quốc tế (William Stallings, ISO/IEC 27001:2013). Đồng thời, tác giả xác định rõ mục tiêu nghiên cứu, đối tượng, phạm vi thời gian (27/02/2017 – 30/04/2017), không gian (Công ty Tất Thành), phương pháp thu thập/xử lý số liệu và kết cấu 3 chương của khóa luận.

Chương 2: Cơ sở lý luận và thực trạng về an toàn bảo mật HTTT của Công ty cổ phần dịch vụ Tất Thành

Chương 2 trình bày hai nội dung chính: hệ thống hóa lý luận và khảo sát thực tế.

  • Cơ sở lý luận: Phân tích các khái niệm thông tin, dữ liệu, hệ thống thông tin, vai trò của an toàn bảo mật; ba mục tiêu CIA; hai nhóm nhân tố ảnh hưởng (con người và công nghệ); các nguy cơ tấn công (xã hội, phần cứng, phần mềm, từ chối dịch vụ); và các biện pháp bảo vệ hạ tầng mạng LAN (mã hóa WPA2), an toàn máy chủ (đóng cổng không cần thiết, mã hóa SSH/VPN/FTPs, sao lưu dữ liệu), an toàn thiết bị lưu trữ ngoài và phân tích ưu/nhược điểm của tường lửa phần cứng và phần mềm.
  • Thực trạng tại Công ty Cổ phần Dịch vụ Tất Thành:
    • Tình hình kinh doanh: Thành lập ngày 09/09/2009, doanh thu tăng từ 1.680 triệu đồng (2014) lên 1.980 triệu đồng (2015) và 2.450 triệu đồng (2016); lợi nhuận sau thuế tương ứng đạt 114 triệu, 192 triệu và 222 triệu đồng.
    • Hạ tầng kỹ thuật: Công ty sử dụng kết hợp mạng dây và mạng không dây (Wi-Fi chiếm tỷ lệ 90% thiết bị kết nối). Thiết bị gồm 01 máy chủ IBM System x3650 M3 (Xeon E5620, RAM 4GB), 32 máy tính xách tay Asus, 20 máy tính để bàn/màn hình Dell, 12 máy tính xách tay Sony và 06 máy in màu Epson L310.
    • Đánh giá thực trạng an toàn thông tin: Phần mềm diệt virus hoạt động kém hiệu quả (80% ý kiến khảo sát đánh giá ở mức trung bình, vẫn bị nhiễm virus; nhiều máy dùng bản crack); dữ liệu khách hàng và nhân sự vẫn quản lý thủ công bằng Microsoft Word và Excel (70% đánh giá mức độ an toàn chỉ ở mức trung bình, thỉnh thoảng rò rỉ thông tin); kiểm soát truy cập vật lý đã trang bị máy quét vân tay tại cửa ra vào; nhân sự IT chưa có cán bộ chuyên trách an toàn thông tin.
    • Thống kê sự cố: Trong 3 năm (2014–2016), hệ thống ghi nhận 11 lần máy tính bị nhiễm virus làm gián đoạn vận hành và 13 cuộc tấn công từ hacker qua mạng không dây và có dây, gây tổng thiệt hại trực tiếp 4.250.000 VNĐ cùng 35 giờ khắc phục.

Chương 3: Định hướng phát triển và đề xuất một số giải pháp đảm bảo an toàn bảo mật HTTT cho Công ty cổ phần dịch vụ Tất Thành

Chương 3 xây dựng các giải pháp hoàn thiện hệ thống bảo mật dựa trên điều kiện tài chính và quy mô của công ty:

  • Định hướng: Thiết kế hệ thống tường lửa phân quyền; hoàn thiện bảo mật đồng bộ phần cứng và phần mềm; khai thác tối ưu hạ tầng hiện có; tổ chức bồi dưỡng định kỳ nâng cao ý thức và kỹ năng an toàn thông tin cho nhân sự.
  • Lựa chọn giải pháp Tường lửa (Firewall): Do tường lửa phần cứng (Cisco, SonicWALL PRO 2040) có chi phí đầu tư và cấu hình phức tạp, tác giả phân tích và đề xuất áp dụng giải pháp tường lửa phần mềm. Trong đó, phần mềm Microsoft ISA Server 2006 Standard được lựa chọn làm cổng kết nối an toàn (gateway) giữa mạng LAN và Internet, kiểm soát gói tin TCP/UDP, hỗ trợ DNS proxy và tích hợp bộ đệm (cache) giúp tiết kiệm băng thông mạng.
  • Giải pháp quản lý dữ liệu: So sánh việc đầu tư gói phần mềm IMC.ERP (tốn kém chi phí, mất thời gian đào tạo) với việc chuyển đổi toàn bộ dữ liệu từ Microsoft Office sang hệ quản trị cơ sở dữ liệu Microsoft SQL Server 2012. Tác giả kiến nghị chọn phương án SQL Server 2012 nhằm tận dụng sẵn năng lực chuyên môn của đội ngũ nhân viên kỹ thuật hiện tại và tiết kiệm ngân sách.
  • Giải pháp con người và chính sách: Đào tạo nâng cao trình độ chuyên sâu về bảo mật cho nhân viên IT nội bộ thay vì tuyển mới; ban hành chính sách an toàn mật khẩu (tối thiểu 8 ký tự, kết hợp chữ, số và ký tự đặc biệt); duy trì kiểm soát phân quyền ra vào khu vực hạn chế bằng thiết bị quét vân tay.
  • Hướng dẫn cấu hình kỹ thuật: Đưa ra yêu cầu phần cứng tối thiểu để cài đặt ISA Server 2006 Standard gồm CPU từ 500MHz trở lên, dung lượng đĩa cứng trống tối thiểu 150MB định dạng NTFS, vận hành trên hệ điều hành Windows 2000 Server SP4.

Kết quả và đóng góp

Khóa luận đã tổng hợp và lượng hóa chi tiết các dữ liệu thực tế về kinh doanh, hạ tầng và tình hình an ninh mạng tại Công ty Cổ phần Dịch vụ Tất Thành qua các bảng biểu sau:

Bảng 1: Báo cáo kết quả hoạt động kinh doanh giai đoạn 2014–2016 (Đơn vị tính: Triệu đồng)

Chỉ tiêu Năm 2014 Năm 2015 Năm 2016 Tăng trưởng 2015/2014 (%) Tăng trưởng 2016/2015 (%)
Tổng doanh thu 1.680 1.980 2.450 17,86 23,74
Lợi nhuận trước thuế 190 320 370 68,42 15,63
Nộp ngân sách 76 128 148 68,42 15,63
Lợi nhuận sau thuế 114 192 222 68,42 15,63

Bảng 2: Thống kê sự cố an ninh mạng tại công ty giai đoạn 2014–2016

Nội dung sự cố Năm 2014 Năm 2015 Năm 2016 Tổng cộng
Số lần máy tính bị nhiễm virus (lần) 4 (36,4%) 5 (45,5%) 2 (18,1%) 11 (100%)
Số lần bị hacker tấn công (lần) 6 (46,2%) 4 (30,8%) 3 (23,0%) 13 (100%)
Tổng thời gian khắc phục sự cố (giờ) 16 11 8 35
Tổng thiệt hại tài chính trực tiếp (VNĐ) 2.000.000 1.300.000 950.000 4.250.000

Bảng 3: Kết quả khảo sát thực trạng bảo mật nội bộ ($n = 10$ phiếu)

Nội dung khảo sát Kém / Không hiệu quả Trung bình / Thỉnh thoảng rò rỉ Hiệu quả Rất hiệu quả
Hiệu quả phần mềm diệt virus 0% (0 phiếu) 80% (8 phiếu) 20% (2 phiếu) 0% (0 phiếu)
Mức độ an toàn quản lý dữ liệu (Word/Excel) 10% (1 phiếu) 70% (7 phiếu) 20% (2 phiếu) 0% (0 phiếu)
Mức độ kiến thức bảo mật của nhân viên 0% (dưới 50%) 100% (mức 50%–80%) 0% (trên 80%) 0%

Các giải pháp và đóng góp chính mà tác giả đã thực hiện bao gồm:

  • Về giải pháp kỹ thuật: Đề xuất mô hình tường lửa phần mềm sử dụng Microsoft ISA Server 2006 Standard thay vì đầu tư phần cứng đắt đỏ; vạch rõ lộ trình di chuyển dữ liệu từ các file văn phòng rời rạc sang hệ quản trị cơ sở dữ liệu Microsoft SQL Server 2012 để chuẩn hóa quản trị và phân quyền bảo mật.
  • Về giải pháp quản lý - tổ chức: Thiết lập quy chế đặt mật khẩu có độ phức tạp cao ($\ge 8$ ký tự, gồm ký tự chữ, số và ký tự đặc biệt); quy định phân quyền kiểm soát khu vực vật lý qua máy quét vân tay; xây dựng chương trình đào tạo tại chỗ nhằm nâng cao kỹ năng an toàn thông tin cho đội ngũ nhân sự.
  • Đóng góp của đề tài: Khóa luận cung cấp một nghiên cứu tình huống điển hình về thực trạng an ninh mạng tại một doanh nghiệp dịch vụ web quy mô vừa và nhỏ tại Hà Nội, đưa ra hệ thống giải pháp mang tính khả thi cao, tiết kiệm chi phí và gắn liền với năng lực vận hành thực tế của đơn vị.

Hạn chế và hướng nghiên cứu tiếp

Khóa luận tồn tại một số hạn chế do tác giả tự nhận định và giới hạn từ phạm vi nghiên cứu:

  • Hạn chế về dữ liệu và thời gian: Phạm vi khảo sát chỉ thực hiện ở cấp độ vi mô tại một doanh nghiệp trong khoảng thời gian 2 tháng (27/02/2017 – 30/04/2017); quy mô mẫu khảo sát nhỏ ($n = 10$ phiếu), chủ yếu mang tính chất đánh giá nội bộ.
  • Hạn chế về triển khai thực nghiệm: Khóa luận dừng lại ở mức độ phân tích yêu cầu, đề xuất giải pháp và thiết lập cấu hình lý thuyết cho ISA Server 2006 và SQL Server 2012, chưa có điều kiện đo lường thực tế hiệu năng và mức độ giảm thiểu rủi ro sau khi triển khai toàn diện tại doanh nghiệp.
  • Hướng nghiên cứu tiếp: Cần tiến hành cài đặt thử nghiệm, kiểm thử tải và đánh giá khả năng phòng chống tấn công thực tế của mô hình ISA Server 2006 trong môi trường vận hành thực tế; mở rộng nghiên cứu sang các giải pháp bảo mật nâng cao và các hệ thống tường lửa thế hệ mới khi doanh nghiệp mở rộng quy mô kinh doanh.

Giá trị tham khảo

Khóa luận có giá trị tham khảo thiết thực cho các nhóm đối tượng sau:

  • Sinh viên các ngành Hệ thống thông tin quản lý, Công nghệ thông tin, Quản trị kinh doanh: Nắm bắt được phương pháp tiếp cận nghiên cứu thực trạng an toàn thông tin tại một doanh nghiệp SME; tham khảo cấu trúc bảng câu hỏi điều tra khảo sát thực trạng bảo mật (được trình bày chi tiết trong phần Phụ lục).
  • Cán bộ quản trị mạng và nhà quản lý doanh nghiệp vừa và nhỏ: Tham khảo quy trình phân tích, so sánh để đưa ra quyết định lựa chọn giữa tường lửa phần cứng và tường lửa phần mềm, cũng như phương án chuyển đổi dữ liệu từ Microsoft Office sang Microsoft SQL Server phù hợp với ngân sách hạn hẹp.

Câu hỏi thường gặp

1. Cơ sở hạ tầng thiết bị phần cứng của Công ty Tất Thành tại thời điểm khảo sát gồm những gì? Theo số liệu từ Phòng Kỹ thuật công ty, hạ tầng phần cứng gồm có: 01 máy chủ IBM System x3650 M3 (chip Intel Xeon E5620, RAM 4GB), 32 laptop Asus (Core i7-6700HQ, RAM 8GB, HDD 1TB), 20 máy tính để bàn/màn hình Dell (Core i7-7500U, RAM 16GB, SSD 512GB), 12 laptop Sony (Core i7-4770HQ, RAM 8GB, SSD 256GB) và 06 máy in màu Epson L310.

2. Mức độ thiệt hại do sự cố virus và hacker tấn công tại công ty trong giai đoạn 2014–2016 ra sao? Trong giai đoạn 2014–2016, công ty ghi nhận 11 lần máy tính bị nhiễm virus nghiêm trọng và 13 cuộc tấn công từ hacker. Tổng thời gian gián đoạn để khắc phục các sự cố là 35 giờ, với tổng thiệt hại tài chính trực tiếp ước tính là 4.250.000 VNĐ.

3. Vì sao tác giả đề xuất quản trị dữ liệu bằng Microsoft SQL Server 2012 thay vì đầu tư phần mềm IMC.ERP? Mặc dù IMC.ERP tích hợp nhiều phân hệ quản lý tài chính, nhân sự, bán hàng phù hợp với SME, nhưng chi phí mua bản quyền và thời gian đào tạo sử dụng rất cao. Trong khi đó, việc sử dụng Microsoft SQL Server 2012 tận dụng được trình độ chuyên môn sẵn có của đội ngũ nhân viên IT tại công ty, giúp tiết kiệm tối đa ngân sách và thuận tiện chuyển đổi từ các file Word/Excel hiện tại.

4. Giải pháp tường lửa nào được lựa chọn và yêu cầu cấu hình tối thiểu để cài đặt là gì? Tác giả đề xuất giải pháp tường lửa phần mềm Microsoft ISA Server 2006 Standard. Yêu cầu cấu hình tối thiểu bao gồm: CPU tốc độ từ 500MHz trở lên, đĩa cứng định dạng NTFS còn trống tối thiểu 150MB và chạy trên hệ điều hành Windows 2000 Server SP4.

5. Tác giả đề xuất các quy định cụ thể nào về chính sách an toàn con người tại doanh nghiệp? Tác giả đề xuất 3 quy định trọng tâm: ban hành chính sách đặt mật khẩu bắt buộc có độ dài tối thiểu 8 ký tự (bao gồm chữ cái, chữ số và ít nhất 1 ký tự đặc biệt); duy trì kiểm soát và phân quyền khu vực hạn chế thông qua hệ thống quét vân tay tại cửa ra vào; tổ chức đào tạo nội bộ nâng cao nhận thức bảo mật và bồi dưỡng chuyên môn an toàn thông tin cho nhân viên kỹ thuật.

Kết luận

Khóa luận tốt nghiệp "Một số giải pháp bảo mật hệ thống thông tin cho Công ty cổ phần dịch vụ Tất Thành" đã phản ánh chân thực bức tranh an toàn thông tin tại một doanh nghiệp dịch vụ CNTT vừa và nhỏ, nơi hạ tầng mạng và dữ liệu còn tồn tại nhiều lỗ hổng do quản lý thủ công và thiếu tường lửa chuyên dụng. Dựa trên số liệu khảo sát thực tế và phân tích chi phí - lợi ích, nghiên cứu đã đề xuất thành công các giải pháp khả thi gồm triển khai tường lửa ISA Server 2006 Standard, chuyển đổi dữ liệu sang Microsoft SQL Server 2012 kết hợp hoàn thiện quy chế bảo mật nhân sự. Đây là tài liệu tham khảo có giá trị thực tiễn cho sinh viên chuyên ngành và các nhà quản trị mạng trong việc xây dựng phương án bảo mật tối ưu với nguồn lực tài chính giới hạn.