Luận Văn: Giải Pháp Bảo Mật Hệ Thống Thông Tin Cho Công Ty Cổ Phần Dịch Vụ Tất Thành

Luận văn đề xuất giải pháp bảo mật hệ thống thông tin hiệu quả cho Công ty Cổ phần Dịch vụ Tất Thành, đảm bảo an toàn dữ liệu và hoạt động kinh doanh.

• Người hướng dẫn: Th.S. Nguyễn Thị Hội
• Trường học: Trường Đại Học
• Chuyên ngành: Bảo Mật Thông Tin
• Đề tài: Một Số Giải Pháp Bảo Mật Hệ Thống Thông Tin Cho Công Ty Cổ Phần Dịch Vụ Tất Thành
• Loại tài liệu: khóa luận tốt nghiệp
• Năm xuất bản: 2017
• Địa điểm: Hà Nội

Mục lục chi tiết

• LỜI CẢM ƠN
• 1. CHƯƠNG 1: TỔNG QUAN VỀ ĐỀ TÀI NGHIÊN CỨU
• 1.1. Tầm quan trọng, ý nghĩa của vấn đề bảo mật cho HTTT doanh nghiệp
• 1.1.1. Tầm quan trọng của vấn đề an toàn bảo mật HTTT doanh nghiệp
• 1.1.2. Ý nghĩa của vấn đề an toàn bảo mật HTTT doanh nghiệp
• 1.2. Tổng quan các tài liệu liên quan đến nội dung đề tài
• 1.3. Mục tiêu nghiên cứu đề tài
• 1.4. Đối tượng và phạm vi nghiên cứu
• 1.4.1. Đối tượng nghiên cứu
• 1.4.2. Phạm vi nghiên cứu
• 1.5. Các phương pháp áp dụng thực hiện đề tài
• 1.5.1. Phương pháp thu thập dữ liệu
• 1.5.2. Phương pháp xử lý số liệu
• 1.6. Kết cấu của khóa luận
• 2. CHƯƠNG 2: CƠ SỞ LÝ LUẬN VÀ THỰC TRẠNG VỀ AN TOÀN BẢO MẬT HTTT CỦA CÔNG TY CỔ PHẦN DỊCH VỤ TẤT THÀNH
• 2.1. Một số khái niệm cơ bản
• 2.2. Một số lý thuyết về an toàn bảo mật HTTT
• 2.3. Phân tích các nội dung về an toàn bảo mật HTTT
• 2.4. Phân tích, đánh giá thực trạng ATBM HTTT của Công ty cổ phần dịch vụ Tất Thành
• 2.4.1. Giới thiệu chung về tổ chức doanh nghiệp
• 2.4.2. Kết quả hoạt động sản xuất kinh doanh của công ty cổ phần dịch vụ Tất Thành những năm gần đây
• 2.4.3. Phân tích thực trạng của an toàn bảo mật HTTT của Công ty cổ phần dịch vụ Tất Thành
• 2.4.4. Đánh giá về thực trạng an toàn bảo mật HTTT của Công ty cổ phần dịch vụ Tất Thành qua các số liệu thu thập được
• 3. CHƯƠNG 3: ĐỊNH HƯỚNG PHÁT TRIỂN VÀ ĐỀ XUẤT MỘT SỐ GIẢI PHÁP ĐẢM BẢO AN TOÀN BẢO MẬT HTTT CỦA CÔNG TY CỔ PHẦN DỊCH VỤ TẤT THÀNH
• 3.1. Định hướng phát triển về việc an toàn bảo mật hệ thống thông tin cho công ty cổ phần dịch vụ Tất Thành
• 3.2. Các đề xuất về việc bảo mật hệ thống thông tin cho công ty cổ phần dịch vụ Tất Thành
• 3.2.1. Phân tích yêu cầu Firewall cho Công ty cổ phần và dịch vụ Tất Thành
• 3.2.2. Chọn lựa một giải pháp Firewall cho phù hợp với mạng máy tính của công ty cổ phần dịch vụ Tất Thành
• 3.3. Giải pháp về con người. Một số kiến nghị
• 3.3.1. Lựa chọn giải pháp Firewall phần cứng hoặc Firewall phần mềm để xây dựng một Firewall cho Công ty cổ phần dịch vụ Tất Thành
• 3.3.2. Cách cài đặt và yêu cầu cấu hình Firewall cho Công ty cổ phần dịch vụ Tất Thành
• DANH MỤC TÀI LIỆU THAM KHẢO
• PHỤ LỤC

Tóm tắt

I. Tầm quan trọng và ý nghĩa của bảo mật thông tin

Vấn đề bảo mật hệ thống thông tin (HTTT) hiện nay đang trở thành một trong những ưu tiên hàng đầu của các doanh nghiệp. Đặc biệt, trong bối cảnh công nghệ thông tin phát triển mạnh mẽ, việc bảo vệ thông tin không chỉ là trách nhiệm mà còn là yêu cầu bắt buộc. Giải pháp bảo mật thông tin không chỉ giúp bảo vệ dữ liệu mà còn đảm bảo tính toàn vẹn và tính sẵn sàng của thông tin. Doanh nghiệp cần nhận thức rõ về các nguy cơ bảo mật như tấn công mạng, mất mát dữ liệu và các lỗ hổng trong hệ thống. Việc áp dụng các biện pháp bảo mật hiệu quả sẽ giúp doanh nghiệp giảm thiểu rủi ro và nâng cao uy tín trong mắt khách hàng. Theo một nghiên cứu gần đây, các doanh nghiệp có hệ thống bảo mật tốt thường có khả năng phục hồi nhanh chóng sau các sự cố an ninh mạng.

1.1 Tầm quan trọng của an toàn bảo mật HTTT

An toàn bảo mật HTTT là yếu tố quyết định đến sự tồn tại và phát triển của doanh nghiệp. Việc bảo vệ thông tin không chỉ giúp ngăn chặn các cuộc tấn công mà còn bảo vệ quyền lợi của khách hàng và đối tác. Doanh nghiệp cần xây dựng một hệ thống an ninh thông tin vững chắc, bao gồm cả phần mềm và phần cứng, để đảm bảo rằng thông tin luôn được bảo vệ. Các giải pháp như tăng cường bảo mật, quản lý rủi ro và bảo vệ dữ liệu là những yếu tố không thể thiếu trong chiến lược bảo mật của doanh nghiệp. Hơn nữa, việc đào tạo nhân viên về an ninh thông tin cũng là một phần quan trọng trong việc nâng cao nhận thức và giảm thiểu rủi ro.

1.2 Ý nghĩa của việc bảo mật thông tin

Ý nghĩa của việc bảo mật thông tin không chỉ dừng lại ở việc bảo vệ dữ liệu mà còn mở rộng ra việc xây dựng lòng tin từ phía khách hàng. Khi doanh nghiệp có thể chứng minh rằng họ có các biện pháp bảo mật hiệu quả, khách hàng sẽ cảm thấy an tâm hơn khi giao dịch. Điều này không chỉ giúp tăng cường mối quan hệ với khách hàng mà còn tạo ra lợi thế cạnh tranh trên thị trường. Hơn nữa, việc tuân thủ các tiêu chuẩn bảo mật cũng giúp doanh nghiệp tránh được các hình phạt pháp lý và bảo vệ danh tiếng của mình. Do đó, việc đầu tư vào công nghệ bảo mật và giải pháp an ninh mạng là một quyết định chiến lược quan trọng cho sự phát triển bền vững của doanh nghiệp.

II. Thực trạng bảo mật thông tin tại Công ty Cổ phần Dịch vụ Tất Thành

Công ty Cổ phần Dịch vụ Tất Thành hiện đang đối mặt với nhiều thách thức trong việc bảo mật thông tin. Mặc dù đã có một số biện pháp bảo mật được triển khai, nhưng thực trạng cho thấy vẫn còn nhiều lỗ hổng cần được khắc phục. Việc quản lý rủi ro chưa được thực hiện một cách đồng bộ, dẫn đến việc không phát hiện kịp thời các mối đe dọa. Hệ thống thông tin của công ty cần được nâng cấp để đáp ứng yêu cầu bảo mật hiện đại. Các cuộc tấn công mạng ngày càng tinh vi, đòi hỏi công ty phải có những giải pháp an ninh mạng hiệu quả hơn. Đặc biệt, việc bảo vệ dữ liệu và quản lý thông tin cần được chú trọng hơn nữa để đảm bảo an toàn cho các thông tin nhạy cảm.

2.1 Phân tích thực trạng bảo mật thông tin

Thực trạng bảo mật thông tin tại Công ty Cổ phần Dịch vụ Tất Thành cho thấy nhiều vấn đề nghiêm trọng. Hệ thống bảo mật hiện tại chưa đáp ứng được yêu cầu bảo vệ thông tin trong bối cảnh công nghệ ngày càng phát triển. Các biện pháp bảo mật như tường lửa và mã hóa dữ liệu chưa được triển khai đầy đủ. Hơn nữa, nhân viên chưa được đào tạo bài bản về an ninh thông tin, dẫn đến việc dễ dàng bị lừa đảo qua các hình thức tấn công xã hội. Công ty cần thực hiện một cuộc khảo sát toàn diện để đánh giá các lỗ hổng trong hệ thống bảo mật và từ đó đưa ra các giải pháp khắc phục kịp thời.

2.2 Đánh giá hiệu quả các giải pháp bảo mật hiện tại

Đánh giá hiệu quả của các giải pháp bảo mật hiện tại cho thấy rằng mặc dù có một số biện pháp được áp dụng, nhưng hiệu quả chưa cao. Việc bảo vệ dữ liệu và quản lý thông tin vẫn còn nhiều thiếu sót. Công ty cần xem xét lại các chính sách bảo mật và cập nhật các công nghệ mới nhất để đảm bảo an toàn cho hệ thống thông tin. Việc áp dụng các tiêu chuẩn bảo mật quốc tế như ISO/IEC 27001 sẽ giúp công ty nâng cao hiệu quả bảo mật và tạo dựng lòng tin từ phía khách hàng. Hơn nữa, việc thường xuyên kiểm tra và đánh giá hệ thống bảo mật sẽ giúp công ty phát hiện sớm các lỗ hổng và có biện pháp khắc phục kịp thời.

III. Đề xuất giải pháp bảo mật thông tin cho Công ty Cổ phần Dịch vụ Tất Thành

Để nâng cao hiệu quả bảo mật thông tin, Công ty Cổ phần Dịch vụ Tất Thành cần triển khai một số giải pháp cụ thể. Đầu tiên, công ty cần xây dựng một chính sách bảo mật thông tin rõ ràng và cụ thể, bao gồm các quy định về việc sử dụng và bảo vệ thông tin. Thứ hai, việc đào tạo nhân viên về an ninh thông tin là rất cần thiết để nâng cao nhận thức và kỹ năng bảo mật. Công ty cũng nên đầu tư vào các công nghệ bảo mật hiện đại như tường lửa, phần mềm chống virus và các giải pháp mã hóa để bảo vệ thông tin nhạy cảm. Cuối cùng, việc thực hiện các cuộc kiểm tra định kỳ về an ninh thông tin sẽ giúp công ty phát hiện và khắc phục kịp thời các lỗ hổng trong hệ thống.

3.1 Xây dựng chính sách bảo mật thông tin

Xây dựng một chính sách bảo mật thông tin rõ ràng và cụ thể là bước đầu tiên trong việc nâng cao hiệu quả bảo mật. Chính sách này cần quy định rõ ràng về quyền hạn và trách nhiệm của từng cá nhân trong việc bảo vệ thông tin. Hơn nữa, công ty cần thường xuyên cập nhật chính sách để phù hợp với các thay đổi trong môi trường công nghệ và các mối đe dọa mới. Việc công khai chính sách bảo mật cho toàn bộ nhân viên cũng rất quan trọng để mọi người đều nhận thức được trách nhiệm của mình trong việc bảo vệ thông tin.

3.2 Đào tạo nhân viên về an ninh thông tin

Đào tạo nhân viên về an ninh thông tin là một trong những giải pháp quan trọng để nâng cao hiệu quả bảo mật. Công ty cần tổ chức các khóa đào tạo định kỳ để cập nhật kiến thức và kỹ năng cho nhân viên. Nội dung đào tạo nên bao gồm các kiến thức cơ bản về an ninh thông tin, các hình thức tấn công phổ biến và cách phòng tránh. Hơn nữa, việc tạo ra một môi trường làm việc an toàn và khuyến khích nhân viên báo cáo các vấn đề liên quan đến bảo mật cũng rất cần thiết để nâng cao hiệu quả bảo mật thông tin.

Nội dung chính

Bối cảnh và vấn đề nghiên cứu

Trong bối cảnh công nghệ thông tin phát triển nhanh chóng và số lượng người dùng Internet tại Việt Nam không ngừng gia tăng, an toàn và bảo mật hệ thống thông tin (HTTT) trở thành yếu tố sống còn đối với sự phát triển bền vững của doanh nghiệp. Việc gia tăng mức độ kết nối mạng và tính phân tán của hệ thống thông tin một mặt tạo điều kiện thuận lợi cho việc xử lý và trao đổi dữ liệu, mặt khác làm xuất hiện nhiều lỗ hổng bảo mật do các phần mềm được phát hành liên tục mà chưa được kiểm tra toàn diện, tạo cơ hội cho tin tặc xâm nhập. Đối với các doanh nghiệp vừa và nhỏ, việc xây dựng và duy trì một HTTT an toàn đạt chuẩn thường gặp nhiều rào cản về chi phí đầu tư, trang thiết bị và nhận thức an ninh thông tin của nhân sự.

Công ty Cổ phần dịch vụ Tất Thành là doanh nghiệp hoạt động trong lĩnh vực dịch vụ công nghệ (thiết kế website, cho thuê hosting, đăng ký tên miền, marketing trực tuyến). Mặc dù có kết quả kinh doanh tăng trưởng ổn định, HTTT của công ty đang bộc lộ nhiều điểm yếu như: tỷ lệ sử dụng mạng không dây (Wifi) cao (90%), dữ liệu nhân sự và khách hàng được quản lý thủ công trên phần mềm văn phòng (Word, Excel), phần mềm diệt virus hoạt động kém hiệu quả hoặc dùng bản crack, và chưa có hệ thống tường lửa chuyên dụng. Thực trạng này dẫn đến các sự cố nhiễm virus và tấn công mạng xảy ra thường xuyên trong giai đoạn 2014–2016. Do đó, đề tài "Một số giải pháp bảo mật hệ thống thông tin cho Công ty cổ phần dịch vụ Tất Thành" được thực hiện nhằm giải quyết các yêu cầu cấp thiết về an toàn thông tin tại đơn vị.

Mục tiêu và nhiệm vụ nghiên cứu của đề tài bao gồm:

1. Hệ thống hóa cơ sở lý luận, các khái niệm cơ bản và tiêu chuẩn về an toàn bảo mật hệ thống thông tin doanh nghiệp.
2. Thu thập dữ liệu, khảo sát thực tế và phân tích thực trạng hoạt động an toàn bảo mật HTTT tại Công ty Cổ phần dịch vụ Tất Thành nhằm chỉ rõ ưu điểm, hạn chế và nguyên nhân tồn tại.
3. Đề xuất định hướng, kiến nghị các giải pháp đồng bộ về công nghệ tường lửa (Firewall), hệ quản trị cơ sở dữ liệu và quản trị nhân sự nhằm nâng cao năng lực bảo mật HTTT cho công ty.

Đối tượng và phạm vi nghiên cứu được xác lập như sau:

• Đối tượng nghiên cứu: Các tài liệu, công trình nghiên cứu, sách báo chuyên ngành về an toàn bảo mật HTTT; cơ sở vật chất, hệ thống trang thiết bị mạng, máy tính, phần mềm và các bộ phận chức năng của Công ty Cổ phần dịch vụ Tất Thành.
• Phạm vi không gian: Nghiên cứu thực tế tại Công ty Cổ phần dịch vụ Tất Thành (Phòng 2104, Tòa 24T2, đường Hoàng Đạo Thúy, quận Cầu Giấy, Hà Nội).
• Phạm vi thời gian: Quá trình nghiên cứu và khảo sát thực hiện từ ngày 27/02/2017 đến ngày 30/04/2017; các số liệu kinh doanh và thống kê sự cố an ninh thông tin được thu thập trong giai đoạn 2014–2016.
• Phạm vi nội dung: Tập trung vào thực trạng an toàn bảo mật HTTT quản lý, hạ tầng mạng nội bộ, cơ chế bảo vệ dữ liệu và giải pháp thiết lập tường lửa phù hợp với quy mô doanh nghiệp vừa và nhỏ.

Cơ sở lý thuyết và phương pháp

Về cơ sở lý thuyết, đề tài tiếp cận các nguyên lý an toàn thông tin qua các tài liệu học thuật và tiêu chuẩn quốc tế:

• Mô hình mục tiêu bảo mật (Tam giác CIA): Dựa trên giáo trình của Đàm Gia Mạnh (2009) và tiêu chuẩn ISO/IEC 27001:2013 (Hệ thống quản lý an toàn thông tin - ISMS), bảo mật HTTT phải đồng thời bảo đảm 3 thuộc tính cốt lõi:
  • Tính bí mật (Confidentiality): Bảo đảm tài sản thông tin không bị truy cập trái phép bởi các đối tượng không có thẩm quyền.
  • Tính nguyên vẹn (Integrity): Bảo đảm thông tin và dữ liệu không bị sửa đổi, làm giả hoặc xóa bỏ trái phép trong quá trình lưu trữ và truyền tải.
  • Tính sẵn sàng (Availability): Bảo đảm dữ liệu và tài nguyên hệ thống luôn sẵn sàng phục vụ kịp thời người dùng hợp pháp khi có yêu cầu.
• Lý thuyết an ninh mạng và tường lửa: Khóa luận vận dụng lý thuyết của William Stallings (2005) về phần mềm độc hại, mã hóa và biện pháp phòng chống virus; nghiên cứu của Trần Văn Dũng (2014) về các kỹ thuật xâm nhập và cơ chế lọc gói của tường lửa (Firewall Client, Packet Filtering).
• Phân loại mối đe dọa: Tác giả phân loại tấn công thành ba nhóm chính: tấn công xã hội (social engineering), tấn công phần mềm (nhằm vào hệ điều hành, ứng dụng và giao thức) và tấn công phần cứng (nhằm vào CPU, ổ cứng, cáp mạng, làm tiền đề cho tấn công từ chối dịch vụ - DoS). Các nhân tố ảnh hưởng trực tiếp đến HTTT được xác định gồm hai nhóm: nhân tố con người và nhân tố công nghệ.

Về phương pháp nghiên cứu, tác giả kết hợp giữa phương pháp thu thập và xử lý dữ liệu:

• Phương pháp thu thập dữ liệu thứ cấp: Kế thừa số liệu từ báo cáo tài chính giai đoạn 2014–2016, hồ sơ trang thiết bị phần cứng từ Phòng Kỹ thuật của công ty và các tài liệu chuyên ngành liên quan.
• Phương pháp thu thập dữ liệu sơ cấp:
  • Điều tra bằng bảng hỏi: Phát trực tiếp 10 phiếu khảo sát đến cán bộ, nhân viên công ty (số phiếu thu về: 10/10, đạt tỷ lệ 100%) nhằm thu thập ý kiến đánh giá về hiệu quả phần mềm diệt virus, mức độ an toàn dữ liệu và nhận thức bảo mật.
  • Phỏng vấn sâu: Phỏng vấn trực tiếp Ban Giám đốc và cán bộ phụ trách các phòng ban (Kế toán, Kinh doanh, Kỹ thuật) về thực trạng an ninh mạng và các sự cố mất cắp dữ liệu từng xảy ra.
• Phương pháp xử lý số liệu: Sử dụng phương pháp định lượng (thống kê mô tả, tính tỷ lệ phần trăm, lập bảng biểu và đồ thị qua phần mềm Microsoft Excel) để lượng hóa mức độ rủi ro, kết hợp phương pháp định tính (phân tích, so sánh, tổng hợp) để làm rõ nguyên nhân gốc rễ của các lỗ hổng an ninh.

Nội dung chính theo từng chương

CHƯƠNG I : TỔNG QUAN VỀ ĐỀ TÀI NGHIÊN CỨU

Chương 1 làm rõ sự cần thiết và ý nghĩa của công tác bảo mật HTTT trong doanh nghiệp. Tác giả phân tích tính hai mặt của việc ứng dụng công nghệ: máy tính phát triển nhanh và hệ thống mạng phân tán giúp việc truy cập dễ dàng hơn nhưng cũng làm tăng nguy cơ bị đánh cắp thông tin do phần mềm chứa nhiều lỗ hổng chưa được vá. Tác giả điểm luận các công trình nghiên cứu trong nước (giáo trình của Đàm Gia Mạnh, Trần Văn Dũng) và quốc tế (William Stallings, chuẩn ISO/IEC 27001:2013), khẳng định khoảng trống nghiên cứu khi các tài liệu trước đây chủ yếu dừng lại ở lý thuyết chung mà chưa đi sâu vào giải pháp ứng dụng cụ thể cho một doanh nghiệp dịch vụ số như Công ty Cổ phần dịch vụ Tất Thành. Chương này cũng trình bày chi tiết mục tiêu, đối tượng, phạm vi không gian/thời gian, các phương pháp thu thập/xử lý số liệu và bố cục 3 chương của khóa luận.

CHƯƠNG 2: CƠ SỞ LÝ LUẬN VÀ THỰC TRẠNG VỀ AN TOÀN BẢO MẬT HTTT CÔNG TY CỔ PHẦN DỊCH VỤ TẤT THÀNH

Chương 2 trình bày khung lý thuyết về thông tin, dữ liệu, HTTT, bảo mật dữ liệu, ba mục tiêu CIA, các hình thức tấn công (xã hội, phần mềm, phần cứng) và các biện pháp bảo vệ hạ tầng mạng, máy chủ, thiết bị lưu trữ ngoài. Chương này phân tích chi tiết cơ chế hoạt động, ưu điểm và nhược điểm của tường lửa phần cứng (dựa trên cơ chế lọc gói Packet Filtering, tích hợp IPS/IPDS, chi phí cao, phù hợp doanh nghiệp lớn) và tường lửa phần mềm (linh hoạt, chi phí thấp, phù hợp máy tính xách tay và doanh nghiệp vừa/nhỏ nhưng tốn tài nguyên máy tính).

Phần phân tích thực trạng tại Công ty Cổ phần dịch vụ Tất Thành cung cấp các dữ liệu cụ thể:

• Tình hình hoạt động kinh doanh: Thành lập ngày 09/09/2009, công ty có mức tăng trưởng doanh thu và lợi nhuận liên tục trong giai đoạn 2014–2016.

Chỉ tiêu (Đơn vị: triệu đồng)	Năm 2014	Năm 2015	Năm 2016	Tăng trưởng 2015/2014 (%)	Tăng trưởng 2016/2015 (%)
Tổng doanh thu	1.680	1.980	2.450	17,8%	23,7%
Lợi nhuận trước thuế	190	320	370	68,4%	15,63%
Nộp ngân sách	76	128	148	68,4%	15,63%
Lợi nhuận sau thuế	114	192	222	68,4%	15,63%

• Hạ tầng phần cứng: Gồm 1 máy chủ System x3650 M3 (CPU Xeon 4C E5620 2.4GHz, RAM 4GB DDR3, RAID M1015), 32 laptop Asus (Core i7-6700HQ, RAM 8GB), 20 màn hình Dell (Core i7-7500U, RAM 16GB, SSD 512GB), 12 laptop Sony (Core i7-4770HQ, RAM 8GB) và 6 máy in màu Epson L310.
• Thực trạng an ninh mạng và dữ liệu: Mặc dù có mạng LAN nhưng 90% nhân viên sử dụng Wifi, làm tăng nguy cơ bị chặn bắt gói tin. Dữ liệu khách hàng và nhân sự lưu trữ thủ công trên Word/Excel.
• Kết quả điều tra khảo sát (n=10):
  • Đánh giá phần mềm diệt virus: 80% (8 phiếu) đánh giá ở mức trung bình (thỉnh thoảng bị tấn công, nhiễm virus); 20% (2 phiếu) đánh giá hiệu quả; 0% đánh giá rất hiệu quả. Nhiều máy tính dùng bản crack hoặc chưa cài đặt phần mềm diệt virus.
  • Đánh giá mức độ an toàn dữ liệu: 70% (7 phiếu) đánh giá trung bình (thỉnh thoảng rò rỉ thông tin); 10% (1 phiếu) đánh giá kém (thường xuyên mất thông tin); 20% (2 phiếu) đánh giá hiệu quả.
  • Khảo sát nhận thức bảo mật: 100% (10 phiếu) tự đánh giá kiến thức ở mức 50–80%, tuy nhiên nhân viên chưa thực sự có ý thức trách nhiệm và chưa được đào tạo chuyên sâu về ATTT.
• Thống kê sự cố an ninh mạng:
  • Tần suất nhiễm virus: Năm 2014 xảy ra 4 lần (chiếm 36,1% tổng số lần trong 3 năm); năm 2015 xảy ra 5 lần làm tê liệt hệ thống; năm 2016 có chiều hướng giảm nhưng chưa triệt để.
  • Tấn công mạng: Năm 2014 ghi nhận 6 vụ hacker tấn công (chiếm 46,0% tổng số vụ trong giai đoạn), chủ yếu qua hình thức đánh cắp mật khẩu, từ chối dịch vụ (DoS), giả mạo địa chỉ và tấn công vào hệ thống mạng không dây.

CHƯƠNG 3: ĐỊNH HƯỚNG PHÁT TRIỂN VÀ ĐỀ XUẤT MỘT SỐ GIẢI PHÁP ĐẢM BẢO AN TOÀN BẢO MẬT HTTT CỦA CÔNG TY CỔ PHẦN DỊCH VỤ TẤT THÀNH

Chương 3 đề xuất định hướng chiến lược và hệ thống giải pháp cụ thể:

• Định hướng phát triển: Xây dựng hệ thống tường lửa phân quyền theo chức vụ/phòng ban; kết hợp bảo mật phần cứng và phần mềm; khai thác tối đa hạ tầng sẵn có; tổ chức các lớp bồi dưỡng định kỳ nâng cao trình độ nhân sự.
• Giải pháp Tường lửa (Firewall): Phân tích 3 giải pháp gồm ISA Server Enterprise 2006 (Microsoft), SonicWALL PRO 2040 (kết hợp hệ điều hành SonicOS, mã hóa AES-256/3DES) và ZoneAlarm (bảo vệ 2 chiều, tính năng OSFirewall và DefenseNet). Tác giả kết luận với điều kiện kinh phí hạn chế của doanh nghiệp vừa và nhỏ, giải pháp tường lửa phần mềm ISA Server 2006 Standard là tối ưu nhất.
• Giải pháp quản lý dữ liệu: So sánh hai phương án: triển khai phần mềm quản lý tổng thể IMC.ERP (tích hợp tài chính, nhân sự, bán hàng nhưng chi phí cao và mất thời gian đào tạo) và chuyển đổi dữ liệu từ Word/Excel sang hệ quản trị cơ sở dữ liệu Microsoft SQL Server (tận dụng phiên bản SQL Server 2012 và đội ngũ IT sẵn có của công ty). Tác giả đề xuất lựa chọn giải pháp đưa dữ liệu vào Microsoft SQL Server nhằm tiết kiệm chi phí và tối ưu hóa quản trị.
• Giải pháp về con người và chính sách an ninh: Đào tạo nâng cao chuyên môn cho nhân sự IT sẵn có thay vì tuyển dụng mới; quy định chính sách mật khẩu bắt buộc có độ dài tối thiểu 8 ký tự (gồm chữ cái, chữ số và ít nhất 1 ký tự đặc biệt); duy trì hệ thống quét vân tay tại cửa ra/vào để kiểm soát và phân quyền khu vực hạn chế.
• Kiến nghị cấu hình triển khai ISA Server 2006 Standard:
  • Phần cứng tối thiểu: CPU từ 500MHz trở lên; dung lượng ổ đĩa trống tối thiểu 150MB trên phân vùng định dạng NTFS.
  • Phần mềm yêu cầu: Hệ điều hành Windows 2000 Server đã cập nhật Service Pack 4 (SP4).
  • Chức năng vận hành: Kiểm soát luồng dữ liệu vào/ra mạng LAN, lọc gói tin theo giao thức TCP/UDP, quản lý truy cập theo nhóm người dùng và hỗ trợ cơ chế lưu đệm (cache) trên RAM/đĩa cứng giúp tiết kiệm băng thông Internet.

Kết quả và đóng góp

Khóa luận đạt được các kết quả nghiên cứu cụ thể dựa trên số liệu thực tế tại doanh nghiệp:

• Lượng hóa chính xác thực trạng an ninh thông tin tại Công ty Cổ phần dịch vụ Tất Thành qua khảo sát 10 cán bộ/nhân viên, chỉ ra các lỗ hổng trọng yếu: 80% đánh giá phần mềm diệt virus chỉ ở mức trung bình, 70% đánh giá phương pháp quản lý dữ liệu chưa an toàn, 90% nhân sự sử dụng mạng Wifi thiếu kiểm soát, và năm 2015 từng xảy ra 5 đợt virus tấn công gây tê liệt hệ thống máy tính.
• Xây dựng phương án bảo mật đồng bộ, khả thi về mặt kinh tế cho doanh nghiệp vừa và nhỏ:
  • Về kỹ thuật: Lựa chọn triển khai phần mềm ISA Server 2006 Standard làm gateway kiểm soát truy cập và chuyển đổi dữ liệu thủ công sang hệ quản trị CSDL Microsoft SQL Server 2012.
  • Về quản trị: Thiết lập quy chế mật khẩu phức tạp (tối thiểu 8 ký tự, có ký tự đặc biệt) và kiểm soát truy cập vật lý bằng máy quét vân tay.
  • Về nhân sự: Đề xuất mô hình đào tạo bồi dưỡng tại chỗ cho nhân viên IT nội bộ nhằm tối ưu ngân sách vận hành.

Đóng góp của khóa luận nằm ở việc chuyển hóa các lý thuyết an toàn thông tin trừu tượng (mô hình CIA, cơ chế Packet Filtering, chuẩn ISO/IEC 27001:2013) thành phương án ứng dụng thực tiễn tại một doanh nghiệp kinh doanh dịch vụ web cụ thể, đưa ra giải pháp cân đối giữa hiệu quả bảo mật và chi phí đầu tư.

Hạn chế và hướng nghiên cứu tiếp

Khóa luận tồn tại một số hạn chế gắn liền với phạm vi nghiên cứu:

• Dung lượng mẫu khảo sát còn nhỏ (n=10), phản ánh ý kiến của một nhóm nhân sự tại thời điểm thực tập nên tính đại diện chưa bao quát toàn diện các góc độ vận hành của doanh nghiệp.
• Phạm vi nghiên cứu chỉ giới hạn tại một doanh nghiệp đơn lẻ (Công ty Cổ phần dịch vụ Tất Thành) trong khoảng thời gian 2 tháng (27/02/2017 – 30/04/2017).
• Các cấu hình phần mềm và hệ điều hành được khuyến nghị trong đề tài (như ISA Server 2006, Windows 2000 Server SP4, Windows XP) mang tính lịch sử, phù hợp với nền tảng trang thiết bị cũ của doanh nghiệp tại thời điểm nghiên cứu nhưng cần được cập nhật theo các tiêu chuẩn công nghệ hiện đại.

Hướng nghiên cứu tiếp theo được gợi mở từ đề tài là mở rộng khảo sát trên nhiều mô hình doanh nghiệp vừa và nhỏ khác nhau, đồng thời nghiên cứu ứng dụng các giải pháp bảo mật thế hệ mới như Tường lửa thế hệ mới (NGFW), giải pháp bảo mật đám mây (Cloud Security) và quản lý mối đe dọa thống nhất (UTM).

Giá trị tham khảo

Báo cáo khóa luận có giá trị tham khảo thiết thực đối với:

• Sinh viên chuyên ngành Hệ thống thông tin quản lý, Công nghệ thông tin và Quản trị kinh doanh: Cung cấp tài liệu tham khảo về phương pháp luận kết hợp giữa nghiên cứu định tính và định lượng trong đánh giá an toàn thông tin tại doanh nghiệp.
• Người thực hiện đề tài tốt nghiệp về an toàn mạng doanh nghiệp vừa và nhỏ: Cung cấp mẫu phiếu điều tra khảo sát thực trạng bảo mật (gồm 13 câu hỏi phần thông tin chung và 16 câu hỏi phần chuyên sâu về ATTT trong phần Phụ lục).
• Cán bộ quản trị mạng tại các doanh nghiệp nhỏ: Tham khảo quy trình phân tích lựa chọn giải pháp tường lửa phần mềm, quy định chính sách bảo mật nội bộ và phương án chuyển đổi dữ liệu sang hệ quản trị CSDL quan hệ với chi phí tiết kiệm.

Câu hỏi thường gặp

1. Hạ tầng phần cứng của Công ty Cổ phần dịch vụ Tất Thành tại thời điểm khảo sát gồm những thiết bị nào?
Hệ thống phần cứng của công ty gồm 1 máy chủ System x3650 M3 (CPU Xeon 4C E5620 2.4GHz, RAM 4GB, RAID M1015), 32 laptop cá nhân nhãn hiệu Asus (Core i7-6700HQ, RAM 8GB, ổ cứng 1TB), 20 màn hình máy tính Dell (Core i7-7500U, RAM 16GB, SSD 512GB), 12 laptop Sony (Core i7-4770HQ, RAM 8GB, SSD 256GB) và 6 máy in màu Epson L310.

2. Tại sao tác giả đề xuất lựa chọn giải pháp tường lửa phần mềm thay vì tường lửa phần cứng cho công ty?
Tường lửa phần cứng (như Cisco, SonicWALL) tuy có hiệu năng cao và tích hợp sẵn IPS/IPDS nhưng chi phí đầu tư rất lớn, đòi hỏi cấu hình phức tạp và nhân viên chuyên trách, không phù hợp với quy mô và năng lực tài chính của doanh nghiệp vừa và nhỏ. Tường lửa phần mềm (như ISA Server 2006 Standard) có chi phí hợp lý, yêu cầu cấu hình không quá cao, linh hoạt trong cài đặt và vẫn đáp ứng đầy đủ nhu cầu kiểm soát luồng dữ liệu, lọc gói tin và tiết kiệm băng thông qua bộ nhớ cache.

3. Tác giả đưa ra những số liệu nào phản ánh nguy cơ mất an toàn thông tin tại công ty giai đoạn 2014–2016?
Số liệu từ khóa luận cho thấy: năm 2014 ghi nhận 4 lần máy tính nhiễm virus và 6 vụ hacker tấn công; năm 2015 xảy ra 5 đợt nhiễm virus nghiêm trọng gây tê liệt hệ thống máy tính. Kết quả khảo sát 10 nhân viên chỉ ra 80% đánh giá phần mềm diệt virus chỉ hoạt động ở mức trung bình, 70% đánh giá việc quản lý dữ liệu trên Word/Excel dễ gây rò rỉ thông tin, và 90% nhân viên sử dụng mạng không dây (Wifi) có độ rủi ro cao hơn mạng dây.

4. Vì sao giải pháp chuyển đổi dữ liệu sang Microsoft SQL Server được ưu tiên hơn triển khai phần mềm IMC.ERP?
Mặc dù IMC.ERP hỗ trợ toàn diện các phân hệ tài chính, nhân sự và bán hàng, chi phí triển khai phần mềm này rất tốn kém và đòi hỏi thời gian đào tạo dài. Trong khi đó, công ty đã có sẵn hệ quản trị SQL Server 2012 và đội ngũ nhân sự IT am hiểu về SQL, giúp việc chuyển đổi dữ liệu từ Word/Excel sang CSDL quan hệ diễn ra thuận lợi, nhanh chóng và tiết kiệm tối đa ngân sách.

5. Quy định về thiết lập mật khẩu và kiểm soát truy cập vật lý được tác giả đề xuất cụ thể như thế nào?
Tác giả đề xuất chính sách an ninh bắt buộc nhân viên phải đặt mật khẩu có độ dài tối thiểu 8 ký tự, bao gồm cả chữ cái, chữ số và ít nhất 1 ký tự đặc biệt, khắc phục thói quen để trống mật khẩu hoặc dùng thông tin cá nhân. Về an ninh vật lý, công ty duy trì thiết bị quét vân tay tại cửa ra/vào để kiểm soát lưu lượng người và phân quyền truy cập đối với các khu vực hạn chế.

Kết luận

Khóa luận đã phân tích toàn diện cơ sở lý luận về an toàn bảo mật hệ thống thông tin theo các tiêu chuẩn học thuật và chuẩn hóa quốc tế, đồng thời khảo sát chi tiết thực trạng hạ tầng CNTT tại Công ty Cổ phần dịch vụ Tất Thành. Dựa trên các số liệu điều tra thực tế, tác giả đã chỉ rõ những điểm yếu về hạ tầng mạng Wifi, tình trạng quản lý dữ liệu thủ công và nhận thức bảo mật chưa cao của nhân sự. Hệ thống giải pháp đề xuất bao gồm việc cài đặt tường lửa ISA Server 2006 Standard, chuyển đổi dữ liệu sang Microsoft SQL Server 2012 cùng các quy định chặt chẽ về mật khẩu và đào tạo nội bộ mang tính khả thi cao, phù hợp với năng lực tài chính và định hướng phát triển của một doanh nghiệp vừa và nhỏ.

Trích đoạn nội dung tài liệu

Chương 1: Tổng quan về an toàn bảo mật HTTT. Chương 2: Cơ sở lý luận và thực trạng của vấn đề an toàn bảo mật HTTT. Chương 3: Giải pháp định hướng phát tiển cho HTTT của Công ty cổ phần dịch vụ Tất Thành. 7 CHƯƠNG 2: CƠ SỞ LÝ LUẬN VÀ THỰC TRẠNG VỀ AN TOÀN BẢO MẬT HTTT CỦA CÔNG TY CỐ PHẦN DỊCH VỤ TẤT THÀNH 2.1 Một số khái niệm cơ bản Theo [2], thông tin (information) là một bộ dữ liệu được tổ chức theo một cách sao cho chúng mang lại một giá trị gia tăng so với giá trị vốn có của bản thân các dữ kiện đó.

Để tổ chức dữ liệu thành thông tin có ích và có giá trị, người ta phải sử dụng các quy tắc và các mối quan hệ giữa các dữ liệu. Kiểu của thông tin được tạo ra được phụ thuộc vào mối quan hệ giữa các dữ liệu hiện có. Theo [2], Dữ liệu (Data) là những sự kiện hoặc các quan sát về các hiện tượng vật lý hoặc các giao dịch kinh doanh. Cụ thể hơn, dữ liệu là những phản ánh khách quan về thuộc tính (đặc điểm) của các thực thể như người, địa điểm hoặc các sự kiện.

Dữ liệu có thể ở dạng số hoặc dạng văn bản và bản thân dữ liệu chưa mang tải giá trị thông tin. Khi các yếu tố này được tổ chức hoặc sắp xếp một cách có ý nghĩa thì chúng trở thành thông tin. Theo [2], Hệ thống thông tin (Information system) là một hệ thống bao gồm các yếu tố có quan hệ với nhau cùng làm nhiệm vụ thu thập, xử lý, lưu trữ và phân phối dữ liệu và thông tin và cung cấp một cơ chế phản hồi để đạt được mục tiêu định trước. Theo [2], An toàn dữ liệu (Data security) có thể hiểu là quá trình đảm bảo cho hệ thống tránh khỏi những nguy cơ hỏng hóc hoặc mất mát dữ liệu.

Các nguy cơ này có thể là ngẫu nhiên (do tai nạn) hoặc do có chỉ định ( bị phá hoại từ bên ngoài). Việc bảo vệ dữ liệu có thể thực hiện bằng các thiết bị phần cứng ( các hệ thống backup dữ liệu,.) hay các chương trình phần mềm (trình diệt virus, các chương trình mã hóa.2 Một số lý thuyết về an toàn bảo mật HTTT 2.1 Vai trò của an toàn bảo mật HTTT Do máy tính được phát triển với tốc độ rất nhanh để đáp ứng nhiều yêu cầu của người dùng, các phiên bản được phát hành liên tục với các tính năng mới được thêm vào ngày càng nhiều, điều này làm cho các phần mềm không được kiểm tra kỹ trước khi phát hành và bên trong chúng chứa rất nhiều lỗ hổng có thể dễ dàng bị lợi dụng. Thêm vào đó là việc phát triển của hệ thống mạng, cũng như sự phân tán của hệ thống 8 thông tin, làm cho người dùng truy cập thông tin dễ dàng hơn và tin tặc cũng có nhiều mục tiêu tấn công dễ dàng hơn. Song song với việc xây dựng hệ thống thông tin hiện đại, đáp ứng nhu cầu của các cơ quan, tổ chức cần phải bảo vệ hệ thống thông tin, đảm bảo cho hệ thống đó hoạt động ổn định và tin cậy.

An toàn và bảo mật thông tin là thiết yếu trong mọi cơ quan, tổ chức. An toàn bảo mật thông tin có vai trò quan trọng đối với sự phát triển bền vững của các doanh nghiệp. Đối với mỗi doanh nghiệp, thông tin có thể coi là tài sản vô giá. Vì vậy, xây dựng một HTTT an toàn giúp cho việc quản lý hệ thống trở nên rõ ràng, minh bạch hơn.