Bối cảnh và vấn đề nghiên cứu

Trong bối cảnh công nghệ thông tin phát triển mạnh mẽ, việc thu thập, xử lý và khai thác thông tin đóng vai trò sống còn đối với hiệu quả hoạt động và năng lực cạnh tranh của mọi tổ chức. Tuy nhiên, đi liền với tiện ích công nghệ là sự gia tăng của các nguy cơ xâm nhập hệ thống trái phép, thất thoát và phá hoại dữ liệu từ cả bên trong lẫn bên ngoài. Đối với doanh nghiệp hoạt động trong lĩnh vực kinh doanh bất động sản, hệ thống thông tin (HTTT) quản lý toàn bộ cơ sở dữ liệu khách hàng, giao dịch, hợp đồng và kế toán tài chính.

Thực tế khảo sát tại Công ty Cổ phần Cảnh Nước (WATER VIEW., CORP) cho thấy công tác bảo đảm an toàn hệ thống thông tin chưa được quan tâm và đầu tư tương xứng với quy mô phát triển. Doanh nghiệp vẫn gặp phải tình trạng dữ liệu bị thất lạc, hệ thống phát sinh sự cố gián đoạn, mức độ đồng bộ hóa thông tin thấp và máy tính thường xuyên bị nhiễm mã độc. Xuất phát từ bối cảnh thực tiễn đó, tác giả Phạm Thị My (Khoa Hệ thống thông tin kinh tế và Thương mại điện tử, Trường Đại học Thương mại) đã thực hiện khóa luận tốt nghiệp với đề tài "Một số giải pháp bảo mật cho HTTT của Công ty cổ phần Cảnh Nước".

Mục tiêu và nhiệm vụ nghiên cứu cụ thể của đề tài gồm 3 nội dung:

  1. Làm rõ cơ sở lý luận về an toàn, bảo mật hệ thống thông tin trong doanh nghiệp.
  2. Đánh giá thực trạng an toàn bảo mật HTTT tại Công ty Cổ phần Cảnh Nước dựa trên nguồn tài liệu và số liệu điều tra thu thập được.
  3. Đề xuất các nhóm giải pháp và kiến nghị khả thi nhằm nâng cao mức độ an toàn, bảo mật HTTT cho Công ty Cổ phần Cảnh Nước.

Đối tượng và phạm vi nghiên cứu:

  • Đối tượng nghiên cứu: Vấn đề an toàn bảo mật HTTT, hiện trạng hạ tầng kỹ thuật, chính sách quản trị và các giải pháp kỹ thuật - quản lý nhằm bảo vệ HTTT tại Công ty Cổ phần Cảnh Nước.
  • Phạm vi không gian: Nghiên cứu mang tính chất vi mô, giới hạn trong phạm vi nội bộ Công ty Cổ phần Cảnh Nước (địa chỉ tại Tầng 10, Tòa nhà Pacific Place, 83B Lý Thường Kiệt, Phường Trần Hưng Đạo, Quận Hoàn Kiếm, Thành phố Hà Nội).
  • Phạm vi thời gian: Số liệu hoạt động sản xuất kinh doanh và thực trạng an ninh hệ thống được thu thập trong giai đoạn 3 năm (2014 – 2016), cùng các định hướng phát triển trong tương lai gần của doanh nghiệp.

Cơ sở lý thuyết và phương pháp

Khóa luận thiết lập nền tảng nghiên cứu dựa trên các khái niệm chuẩn mực về hệ thống thông tin quản lý và nguyên lý an toàn an ninh mạng:

  • Khung lý thuyết và khái niệm an toàn thông tin: Nghiên cứu vận dụng mô hình bảo mật CIA cốt lõi gồm ba thuộc tính: Tính bảo mật (Confidentiality), Tính toàn vẹn (Integrity) và Tính sẵn sàng (Availability). Đồng thời, tác giả hệ thống hóa các dạng phần mềm độc hại (Malware: Virus, Sâu máy tính - Worm, Ngựa Trojan/Backdoor, Phần mềm quảng cáo - Adware, Phần mềm gián điệp - Spyware) cùng các cơ chế kiểm soát phòng vệ (Tường lửa - Firewall, Mã hóa dữ liệu - Encryption, Hàm băm và Chữ ký số - Authentication, Kiểm soát truy cập - Access Control gồm Chứng thực và Phân quyền, Mạng riêng ảo - VPN).
  • Quy trình xây dựng HTTT an toàn: Áp dụng mô hình chuẩn 6 bước tuần hoàn: (1) Xác định nguy cơ $\rightarrow$ (2) Xây dựng chính sách $\rightarrow$ (3) Phân tích yêu cầu $\rightarrow$ (4) Thiết kế $\rightarrow$ (5) Triển khai $\rightarrow$ (6) Vận hành và bảo trì.
  • Tổng quan tình hình nghiên cứu liên quan: Tác giả tổng thuật các công trình nghiên cứu trong nước (luận văn thạc sĩ của Nguyễn Tuấn Anh về bảo mật TMĐT tại Đại học Bách Khoa; đồ án của Đoàn Trọng Hiệp về kiểm soát truy nhập tại Đại học Dân lập Hải Phòng) và các tài liệu quốc tế chuyên sâu (giáo trình của William Stallings năm 2005 về mật mã học và an ninh mạng; công trình của Man Young Rhee năm 2003 về giao thức và thuật toán an ninh Internet).

Phương pháp nghiên cứu và thu thập dữ liệu thực tế:

  • Thu thập dữ liệu thứ cấp: Thu thập thông tin học thuật, quy chuẩn an toàn thông tin qua sách báo, công trình khoa học chuyên ngành và tài liệu báo cáo nội bộ của công ty.
  • Thu thập dữ liệu sơ cấp:
    • Phương pháp điều tra bằng bảng hỏi: Thiết kế phiếu khảo sát và phát trực tiếp cho 10 nhân viên thuộc các phòng ban trong công ty nhằm đánh giá nhận thức, tần suất sao lưu, hiện trạng hạ tầng và nhận định về an ninh mạng.
    • Phương pháp phỏng vấn chuyên sâu: Tiến hành phỏng vấn trực tiếp 2 nhân sự then chốt gồm Chị Phạm Thị Kim Chung (Kế toán trưởng) về sự cố dữ liệu và Anh Lê Ngọc Hải (Nhân viên phòng Công nghệ) về cơ chế kỹ thuật đang vận hành.
  • Phương pháp xử lý dữ liệu: Kết hợp phương pháp định lượng (sử dụng phần mềm Microsoft Excel để tổng hợp số liệu, vẽ biểu đồ tỷ lệ phần trăm) và phương pháp định tính (phân tích, so sánh, tổng hợp thông tin thu được từ phỏng vấn và tài liệu thực tế).

Nội dung chính theo từng chương

Chương 1: Cơ sở lý luận về vấn đề đảm bảo an toàn hệ thống thông tin

Chương này tập trung làm rõ các khái niệm bản lề về dữ liệu, thông tin, hệ thống và hệ thống thông tin tự động hóa. Tác giả phân tích chi tiết vai trò của bảo mật thông tin như một tài sản vô giá của doanh nghiệp, giúp giảm thiểu chi phí quản lý và duy trì uy tín cạnh tranh. Chương 1 phân loại 6 nhóm nguy cơ chính đe dọa HTTT:

  1. Nguy cơ vật lý (nguồn điện, thiên tai, hỏng hóc phần cứng, trộm cắp).
  2. Nguy cơ từ phần mềm độc hại (virus lây qua USB, sâu Conficker, trojan chiếm quyền điều khiển).
  3. Lỗ hổng bảo mật hệ điều hành và phần mềm.
  4. Tấn công dò quét và bẻ khóa mật khẩu (sử dụng các công cụ như Xavior, Authforce, Hypnopaedia).
  5. Nguy cơ tấn công phi kỹ thuật qua thư điện tử giả mạo, đính kèm mã độc hoặc macro độc hại.
  6. Nguy cơ nghe lén, chỉnh sửa thông tin trên đường truyền mạng.

Trên cơ sở đó, tác giả tổng kết các nhóm biện pháp tương ứng gồm: phòng chống vật lý, xây dựng chính sách sao lưu dự phòng, cập nhật bản vá hệ điều hành (Windows Update), kiểm soát tài khoản người dùng, thiết lập quy tắc mật khẩu mạnh ($\ge 8$ ký tự phức tạp), sử dụng phần mềm diệt virus thường trú và tích hợp tường lửa kiểm soát luồng dữ liệu liên mạng.

Chương 2: Phân tích, đánh giá thực trạng về vấn đề đảm bảo an toàn HTTT cho Công ty cổ phần Cảnh Nước

Tác giả đi sâu phân tích mô hình tổ chức, kết quả kinh doanh và hạ tầng kỹ thuật của doanh nghiệp. Về quy mô nhân sự, công ty có tổng cộng 42 cán bộ nhân viên với 100% trình độ cử nhân đại học trở lên, trong đó Ban Giám đốc và Hội đồng Quản trị có trình độ trên đại học.

Vị trí / Bộ phận Số lượng (Người) Trình độ chuyên môn Trang thiết bị làm việc chính
Đại hội đồng cổ đông 3 Trên đại học 3 Laptop
Hội đồng quản trị 2 Trên đại học 2 Laptop, 1 Máy chiếu
Ban kiểm soát 2 Trên đại học 2 Laptop
Ban Giám đốc 2 Đại học & Trên đại học 2 Laptop
Phòng Hành chính - Nhân sự 7 Đại học 6 Máy bàn, 1 Laptop, 1 Máy in
Phòng Kế toán 4 Đại học 3 Máy bàn, 1 Laptop, 1 Máy in
Phòng Kinh doanh 10 Đại học 9 Máy bàn, 1 Laptop, 1 Máy in, 1 Máy chiếu
Phòng Dự án 8 Đại học 7 Máy bàn, 1 Laptop, 1 Máy in, 1 Máy chiếu
Phòng Công nghệ 4 Đại học 3 Máy bàn, 1 Laptop, 1 Máy chủ, 1 Máy in
Tổng cộng 42 28 Máy bàn, 14 Laptop, 1 Server, 5 Máy in, 3 Máy chiếu

Về kết quả sản xuất kinh doanh giai đoạn 2014 – 2016, doanh thu của công ty có sự tăng trưởng liên tục: đạt 128.040 triệu đồng năm 2014; tăng lên 235.034 triệu đồng năm 2015; và đạt 282.880 triệu đồng năm 2016. Lợi nhuận sau thuế năm 2014 đạt 6.936 triệu đồng, tuy nhiên tốc độ tăng trưởng lợi nhuận năm 2016 có dấu hiệu chậm lại do ảnh hưởng của biến động thị trường bất động sản.

Về cấu hình hạ tầng công nghệ thông tin:

  • Máy chủ: 01 máy chủ HP ProLiant ML10 Server (Intel Xeon E3-1220 v2, 4 nhân 3.1 GHz, RAM 4GB UDIMM, 2 ổ cứng HDD WD RE 500GB SATA).
  • Máy trạm: 28 máy để bàn HP Pro 3340 Microtower (Core i5-2320, RAM 2GB, HDD 500GB) và 14 laptop HP 15-ay079TU (Core i5-6200U, RAM 4GB, HDD 500GB).
  • Phần mềm: Hệ điều hành Windows 7; bộ phần mềm văn phòng Microsoft Office; phần mềm kế toán Fast Accounting 11.0; phần mềm hỗ trợ kê khai thuế HTKK 3.1.0; Hệ quản trị cơ sở dữ liệu Microsoft SQL Server.
  • Hạ tầng mạng & bảo mật: Mạng cục bộ dạng hình sao (Star) trên nền giao thức TCP/IP; bảo mật máy tính sử dụng Windows Firewall; phòng chống mã độc sử dụng giải pháp Bkav Endpoint SMB có bản quyền quản lý tập trung trên Server.
Tiêu chí khảo sát thực trạng (Mẫu n = 10) Kết quả ghi nhận từ phiếu điều tra
Tần suất bảo đảm an toàn HTTT 50% Thỉnh thoảng; 30% Thường xuyên; 10% Rất thường xuyên; 10% Không bao giờ
Đánh giá yếu tố quan trọng nhất 40% Con người; 20% Phần cứng; 20% Phần mềm; 10% Mạng; 10% Cơ sở dữ liệu
Thách thức lớn nhất của công ty Nhân lực và Ngân sách chia đều tỷ lệ lựa chọn cao nhất
Mức độ an toàn bảo mật hiện tại 40% Đánh giá mức Trung bình; 10% Đánh giá mức Yếu
Tần suất sao lưu dữ liệu Đa số thực hiện định kỳ từ 1 đến 3 tháng/lần
Giao thức mạng không dây (WLAN) 60% Đang dùng WPA (bảo mật yếu); 20% Không nắm rõ giao thức
Trang thiết bị phần cứng bảo mật 50% Đánh giá còn thiếu; 30% Đánh giá khá đầy đủ; 20% Không rõ

Đánh giá tổng hợp cho thấy công ty có thế mạnh là hệ thống máy móc còn mới, phần mềm nghiệp vụ có bản quyền và đội ngũ nhân sự có trình độ học vấn. Dù vậy, điểm yếu nghiêm trọng là mạng Wifi chỉ dùng giao thức bảo mật cũ WPA, thiếu thiết bị tường lửa phần cứng chuyên dụng, đường truyền Internet thả nổi chưa được lọc nội dung, đội ngũ chuyên trách CNTT mỏng (4 người) và chưa có quy trình chuẩn đánh giá an toàn thông tin.

Chương 3: Các định hướng và đề xuất về vấn đề đảm bảo an toàn hệ thống thông tin trong Công ty cổ phần Cảnh Nước

Dựa trên định hướng mở rộng kinh doanh sang đầu tư khu đô thị, khu công nghiệp và liên doanh quốc tế, tác giả đề xuất 4 nhóm giải pháp kỹ thuật và quy trình quản trị cụ thể:

  1. Quy trình 5 bước thiết lập máy tính an toàn cho người dùng:

    • Bước 1 - Tạo mật khẩu mạnh: Thiết lập mật khẩu tài khoản hệ điều hành có độ dài hợp lý, kết hợp chữ hoa, chữ thường, chữ số và ký tự đặc biệt (@#$%).
    • Bước 2 - Tháo gỡ phần mềm rác: Truy cập Control Panel > Programs > Programs and Features để gỡ bỏ triệt để các phần mềm quảng cáo, bản dùng thử không rõ nguồn gốc.
    • Bước 3 - Bật tường lửa cá nhân: Kích hoạt chế độ bảo vệ của Windows Firewall (Control Panel > System and Security > Windows Firewall).
    • Bước 4 - Cập nhật hệ thống định kỳ: Bật tính năng tự động nâng cấp Windows Update để vá các lỗ hổng bảo mật phát sinh.
    • Bước 5 - Cài đặt phần mềm diệt virus: Duy trì giải pháp diệt virus thường trú trên bộ nhớ máy tính.

  2. Nâng cấp an ninh mạng với thiết bị định tuyến Cisco RV220W:

    • Triển khai bộ định tuyến bảo mật phần cứng Cisco RV220W tích hợp switch 4 cổng Gigabit, hỗ trợ phát sóng Wifi chuẩn N băng tần kép (2.4 GHz và 5.0 GHz).
    • Thiết lập kết nối mạng riêng ảo bảo mật từ xa bằng giao thức IPsec VPN (kết nối liên văn phòng) và SSL VPN (cho phép nhân viên truy cập hệ thống từ xa qua trình duyệt).
    • Kích hoạt tính năng lọc nội dung web doanh nghiệp (Cisco ProtectLink Web) nhằm ngăn chặn tình trạng nhân viên truy cập mạng xã hội, tải dữ liệu độc hại trong giờ làm việc.
    • Nâng cấp toàn bộ giao thức bảo mật mạng không dây từ chuẩn WPA cũ lên chuẩn WPA2 (WiFi Protected Access II) sử dụng thuật toán mã hóa khối CCMP/AES kết hợp mã xác thực tin nhắn.

  3. Biện pháp phòng chống mã độc trong vận hành:

    • Ban hành quy định nghiêm cấm mở tệp đính kèm thư điện tử từ người gửi lạ; quét virus tệp tin trước khi mở.
    • Cảnh giác với đường link độc hại trên mạng xã hội; tuyệt đối không tải và cài đặt các phần mềm bẻ khóa (crack) trôi nổi trên Internet.

  4. Xây dựng sơ bộ quy trình 3 bước đánh giá công cụ bảo mật:

    • Bước 1: Phân loại mức độ nhạy cảm của tài nguyên dữ liệu để phân quyền truy cập.
    • Bước 2: Xác định mục tiêu bảo vệ toàn diện 3 yếu tố CIA (Bảo mật - Toàn vẹn - Sẵn sàng).
    • Bước 3: Nhận diện các hình thức tấn công (đặc biệt là tấn công phi kỹ thuật - Social Engineering) để lựa chọn giải pháp phòng ngự tối ưu.

Kết quả và đóng góp

  • Hệ thống hóa dữ liệu thực trạng: Khóa luận cung cấp bức tranh số liệu chi tiết về hạ tầng CNTT của một doanh nghiệp bất động sản quy mô vừa và nhỏ (42 nhân sự, 1 máy chủ, 42 máy trạm, 5 máy in, hệ thống phần mềm Fast Accounting 11.0, HTKK 3.1.0 và SQL Server).
  • Phát hiện lỗ hổng an ninh cụ thể: Làm rõ thực tế 60% hệ thống mạng không dây sử dụng chuẩn WPA lỗi thời, 50% nhân viên nhận định thiếu trang thiết bị phần cứng bảo mật, tần suất sao lưu dữ liệu còn quá thưa (1 - 3 tháng/lần) và hiện tượng máy tính thường xuyên nhiễm virus.
  • Đề xuất giải pháp kỹ thuật - quản lý đồng bộ: Đưa ra mô hình nâng cấp khả thi, chi phí hợp lý thông qua thiết bị Cisco RV220W tích hợp IPsec/SSL VPN và chuẩn mã hóa WPA2-Enterprise (CCMP/AES), kết hợp quy trình 5 bước chuẩn hóa cấu hình máy trạm Windows 7 cho nhân viên văn phòng.

Hạn chế và hướng nghiên cứu tiếp

  • Hạn chế: Quy mô khảo sát thực nghiệm còn nhỏ (mẫu phiếu điều tra $n = 10$ và 2 nhân sự phỏng vấn), phạm vi nghiên cứu chỉ bó hẹp ở cấp độ vi mô tại một doanh nghiệp bất động sản đơn lẻ. Các giải pháp kỹ thuật đưa ra chủ yếu giải quyết bài toán trước mắt cho phân khúc doanh nghiệp nhỏ và vừa với ngân sách hạn hẹp, chưa đi sâu thiết kế kiến trúc bảo mật tổng thể ở cấp độ trung tâm dữ liệu hay đám mây.
  • Hướng nghiên cứu tiếp: Mở rộng khảo sát trên cỡ mẫu lớn hơn tại nhiều doanh nghiệp cùng ngành; nghiên cứu xây dựng chính sách an toàn thông tin theo chuẩn quốc tế ISO/IEC 27001; phát triển giải pháp giám sát an ninh mạng tích hợp hệ thống phát hiện xâm nhập (IDS/IPS) và sao lưu dữ liệu tự động theo thời gian thực.

Giá trị tham khảo

Tài liệu là nguồn tham khảo hữu ích cho sinh viên chuyên ngành Hệ thống thông tin quản lý, Thương mại điện tử và Công nghệ thông tin khi thực hiện khóa luận tốt nghiệp dạng khảo sát thực trạng doanh nghiệp. Cán bộ quản trị mạng tại các doanh nghiệp vừa và nhỏ (SME) có thể trực tiếp ứng dụng bảng kiểm tra cấu hình máy trạm an toàn 5 bước và phương án triển khai thiết bị định tuyến VPN Cisco RV220W nhằm tối ưu chi phí bảo mật hạ tầng mạng nội bộ.

Câu hỏi thường gặp

1. Công ty Cổ phần Cảnh Nước đang trang bị cấu hình máy chủ và phần mềm nghiệp vụ như thế nào?
Công ty sử dụng 01 máy chủ HP ProLiant ML10 (chip Intel Xeon E3-1220 v2, RAM 4GB, 2 ổ HDD 500GB) đặt tại phòng Công nghệ. Phần mềm nghiệp vụ gồm hệ điều hành Windows 7, Microsoft Office, phần mềm kế toán Fast Accounting 11.0, phần mềm kê khai thuế HTKK 3.1.0 và hệ quản trị cơ sở dữ liệu Microsoft SQL Server.

2. Điểm yếu lớn nhất về an ninh mạng không dây tại Công ty Cảnh Nước được khảo sát là gì?
Có tới 60% nhân viên xác nhận hệ thống mạng không dây của công ty đang sử dụng giao thức bảo mật cũ WPA (dễ bị tấn công, lỗ hổng bảo mật cao) và 20% nhân viên hoàn toàn không nắm rõ giao thức bảo mật đang dùng, gây nguy cơ rò rỉ dữ liệu nội bộ.

3. Tác giả đề xuất thiết bị phần cứng nào để nâng cấp hệ thống an ninh mạng và hỗ trợ làm việc từ xa?
Tác giả đề xuất triển khai thiết bị định tuyến bảo mật Cisco RV220W. Thiết bị này hỗ trợ kết nối mạng Gigabit, phát Wifi chuẩn N băng tần kép (2.4 GHz / 5.0 GHz), tích hợp tường lửa, hỗ trợ lọc web Cisco ProtectLink Web và hỗ trợ kết nối từ xa bảo mật qua cả hai giao thức IPsec VPN và SSL VPN.

4. Khóa luận khuyến nghị giao thức mạng không dây nào để thay thế cho chuẩn bảo mật cũ?
Tác giả khuyến nghị thay thế chuẩn WPA bằng chuẩn WPA2 (WiFi Protected Access II) sử dụng giao thức mã hóa CCMP/AES nhằm tăng cường khả năng chống thâm nhập trái phép vào mạng LAN nội bộ.

5. Quy trình thiết lập máy trạm an toàn cho nhân viên gồm những bước nào?
Quy trình gồm 5 bước: (1) Tạo mật khẩu mạnh đa dạng ký tự $\ge 8$ ký tự; (2) Gỡ bỏ phần mềm rác và bản dùng thử qua Programs and Features; (3) Kích hoạt tường lửa Windows Firewall; (4) Cập nhật định kỳ hệ điều hành qua Windows Update; (5) Cài đặt và duy trì phần mềm diệt virus có bản quyền.

Kết luận

Khóa luận tốt nghiệp của tác giả Phạm Thị My đã hoàn thành đầy đủ các mục tiêu nghiên cứu thông qua việc hệ thống hóa cơ sở lý luận an toàn thông tin và đánh giá chi tiết hiện trạng hạ tầng kỹ thuật tại Công ty Cổ phần Cảnh Nước. Các phát hiện thực nghiệm về điểm yếu trong giao thức bảo mật mạng không dây, lỗ hổng quản trị và nguy cơ mã độc đã làm cơ sở vững chắc cho các đề xuất nâng cấp thiết bị Cisco RV220W và quy trình chuẩn hóa máy trạm. Đây là công trình nghiên cứu mang tính ứng dụng thực tiễn cao, đóng góp giải pháp bảo mật thiết thực cho các doanh nghiệp vừa và nhỏ trong quá trình vận hành hệ thống thông tin kinh tế.