Bối cảnh và vấn đề nghiên cứu

Khóa luận tốt nghiệp của sinh viên chuyên ngành Hệ thống thông tin kinh tế (Trường Đại học Thương Mại) tập trung vào công tác bảo đảm an toàn và bảo mật thông tin trong môi trường doanh nghiệp cung cấp dịch vụ công ích. Bối cảnh nghiên cứu được tác giả xác định xuất phát từ xu thế toàn cầu hóa và sự thâm nhập sâu rộng của công nghệ thông tin (CNTT) vào các hoạt động kinh tế - xã hội. Trong doanh nghiệp, dữ liệu và thông tin được xác định là tài sản cốt lõi, song luôn phải đối mặt với các nguy cơ mất an toàn đến từ cả bên trong lẫn bên ngoài. Sự gia tăng độ phức tạp của hạ tầng kỹ thuật kéo theo nhiều lỗ hổng bảo mật, đặt ra thách thức về nguy cơ lộ lọt dữ liệu, sai lệch thông tin, gián đoạn hệ thống và tấn công từ chối dịch vụ. Tại Công ty Cổ phần cấp nước Sơn Tây, dù ban lãnh đạo đã bước đầu triển khai một số biện pháp bảo vệ, song hệ thống thông tin (HTTT) vẫn tiềm ẩn nhiều sơ hở trong quy trình vận hành và nhận thức của người sử dụng.

Mục tiêu nghiên cứu của đề tài được tác giả xác định cụ thể qua 3 nhiệm vụ:

  1. Tổng hợp lý thuyết và cơ sở lý luận về đảm bảo an toàn thông tin trong hệ thống thông tin.
  2. Phân tích, đánh giá thực trạng an toàn bảo mật thông tin tại Công ty Cổ phần cấp nước Sơn Tây, chỉ rõ các thiếu sót và lỗ hổng kỹ thuật cũng như quy trình quản lý dựa trên tài liệu nội bộ và phiếu điều tra thực tế.
  3. Đề xuất hệ thống giải pháp kỹ thuật, công nghệ và chính sách con người mang tính khả thi nhằm phòng ngừa, khắc phục và ngăn chặn các nguy cơ mất an toàn bảo mật thông tin tại doanh nghiệp.

Đối tượng và phạm vi nghiên cứu:

  • Đối tượng nghiên cứu: Công tác an toàn và bảo mật HTTT tại Công ty Cổ phần cấp nước Sơn Tây, bao gồm 4 thành tố: hệ thống mạng (máy chủ, máy trạm); trang thiết bị phần cứng và phần mềm ứng dụng nghiệp vụ; cơ sở dữ liệu (CSDL) cùng cơ chế lưu trữ; đội ngũ nhân viên và cán bộ quản lý dưới góc độ nhận thức và tuân thủ an toàn thông tin.
  • Phạm vi không gian: Toàn bộ các phòng ban chức năng, phân xưởng thuộc Công ty Cổ phần cấp nước Sơn Tây (địa chỉ tại phố Lê Lợi, thị xã Sơn Tây, thành phố Hà Nội).
  • Phạm vi thời gian: Khóa luận khai thác số liệu hoạt động sản xuất kinh doanh, tài chính giai đoạn 2014–2016 cùng các dữ liệu khảo sát thực tế thu thập trong thời gian thực tập tại đơn vị.

Cơ sở lý thuyết và phương pháp

Khóa luận xây dựng nền tảng nghiên cứu dựa trên các khái niệm chuẩn mực về thông tin, dữ liệu, cơ sở dữ liệu và hệ thống thông tin. An toàn thông tin (ATTT) được nhìn nhận thông qua mô hình tam giác kinh điển CIA: tính bí mật (Confidentiality - chỉ người được cấp quyền mới tiếp cận), tính toàn vẹn (Integrity - bảo đảm sự chính xác, ngăn chặn sửa đổi trái phép) và tính sẵn sàng (Availability - dữ liệu sẵn sàng khi người dùng có thẩm quyền cần truy xuất). Về phương diện an ninh, tác giả phân loại các hình thức tấn công mạng thành:

  • Tấn công thụ động: Đánh cắp thông tin trên đường truyền không làm gián đoạn hệ thống, chia thành ngoại tuyến (offline, tiếp cận vật lý, dò mật khẩu chưa mã hóa) và trực tuyến (online, điển hình là hình thức lừa đảo giả mạo Phishing).
  • Tấn công chủ động: Can thiệp, sửa đổi, thay thế luồng dữ liệu, bắt lặp thông điệp hoặc tấn công từ chối dịch vụ (DoS - lợi dụng quá trình bắt tay ba bước của giao thức TCP/IP).
  • Các nguy cơ mất an toàn: Bao gồm nguyên nhân ngẫu nhiên khách quan (thiên tai, hỏng hóc vật lý, sự cố nguồn điện) và nguyên nhân chủ quan có chủ định (tin tặc, phá hoại vật lý, nghe lén, mạo danh nguồn/đích truyền nhận, nghẽn mạng do lưu lượng đột biến).

Tác giả đã điểm luận các công trình nghiên cứu tiền bối trong nước và quốc tế để làm rõ khoảng trống nghiên cứu:

  • Nghiên cứu trong nước: Giáo trình của Đàm Gia Mạnh (2009) về an toàn dữ liệu thương mại điện tử (TMĐT); bài giảng an toàn bảo mật HTTT của Đại học Nha Trang (2014); luận văn thạc sĩ của Vũ Anh Tuấn (2008) về mật mã và chữ ký số trong TMĐT; luận văn của Nguyễn Thị Thúy (2009) về thực trạng an toàn mạng Việt Nam; báo cáo của ThS. Nguyễn Tiến Đức (2002) về tiếp cận tiêu chuẩn ISO/IEC 27001 (ISMS).
  • Nghiên cứu quốc tế: Giáo trình của William Stallings (2005) về mật mã và chuẩn DES (khối 64-bit, khóa 56-bit, chế độ CMAC); công trình của Erik Johansson và Pontus Johnson (2005) về khung kiến trúc doanh nghiệp (EARP) cho vị trí Giám đốc thông tin (CIO); tài liệu của Man Young Rhee (2003) về thuật toán và giao thức bảo mật Internet.

Phương pháp nghiên cứu thực tế bao gồm phương pháp thu thập dữ liệu thứ cấp (báo cáo tài chính, báo cáo sản lượng giai đoạn 2014–2016 của Phòng Kinh doanh, Phòng Kế toán tài vụ) và dữ liệu sơ cấp thông qua bảng câu hỏi điều tra gồm 33 câu hỏi phát trực tiếp cho 10 nhân viên tại các bộ phận. Phương pháp xử lý dữ liệu kết hợp định tính (phân tích bảng tính Microsoft Excel) và định lượng (thống kê mô tả tần số và tỷ lệ bằng phần mềm SPSS).

Phương pháp nghiên cứu Kỹ thuật triển khai cụ thể Nguồn dữ liệu / Công cụ hỗ trợ
Nghiên cứu tài liệu Phân tích, tổng hợp tài liệu chuyên khảo, giáo trình, tiêu chuẩn bảo mật Sách, giáo trình, Internet, bài báo khoa học
Khảo sát điều tra Thiết kế phiếu hỏi 33 câu về hoạt động an toàn bảo mật HTTT 10 cán bộ, nhân viên Công ty CP cấp nước Sơn Tây
Thu thập thứ cấp Trích xuất báo cáo kết quả kinh doanh, sản lượng nước tiêu thụ Phòng Kinh doanh, Phòng Kế toán tài vụ, Phòng Tổ chức hành chính
Xử lý số liệu Thống kê mô tả, phân tích tần số, vẽ biểu đồ cấu trúc Phần mềm thống kê SPSS, Microsoft Excel
So sánh - Đối chiếu Đối chiếu lý luận an toàn thông tin với hiện trạng triển khai kỹ thuật Dữ liệu khảo sát thực địa tại các phòng ban

Nội dung chính theo từng chương

Phần 1: Tổng quan nghiên cứu đề tài

Nội dung chương mở đầu tập trung luận giải tính cấp thiết của đề tài trong bối cảnh các doanh nghiệp phụ thuộc ngày càng lớn vào công nghệ số nhưng lại đối mặt với hiểm họa an ninh thông tin gia tăng. Tác giả tổng thuật tình hình nghiên cứu lý thuyết mật mã, an toàn mạng trong và ngoài nước, từ đó chỉ ra rằng các công trình trước đây đa phần mang tính học thuật chung hoặc áp dụng cho lĩnh vực TMĐT thuần túy, chưa có nghiên cứu cụ thể nào giải quyết bài toán bảo đảm an toàn HTTT cho đơn vị sản xuất và phân phối nước sạch như Công ty Cổ phần cấp nước Sơn Tây. Chương này xác định rõ mục tiêu, đối tượng, phạm vi nghiên cứu 3 năm (2014–2016), quy trình điều tra 10 mẫu khảo sát và kết cấu 3 phần của khóa luận.

Phần 2: Cơ sở lí luận và thực trạng về vấn đề an toàn và bảo mật cho hệ thống thông tin của Công ty Cổ phần cấp nước Sơn Tây

Chương 2 trình bày hệ thống khái niệm cốt lõi về bảo mật thông tin và phân tích chi tiết hồ sơ thực tế của doanh nghiệp:

  • Đặc điểm tổ chức và sản xuất: Doanh nghiệp tổ chức theo mô hình cổ phần gồm Chủ tịch Hội đồng quản trị, Giám đốc điều hành, 2 Phó Giám đốc (kỹ thuật và kinh doanh), cùng các phòng ban: Tổ chức hành chính thanh tra, Ban thanh tra, Kế toán tài vụ, Kế hoạch kỹ thuật, Phòng kinh doanh (gồm Tổ ghi sản lượng và Tổ thu ngân), Đội lắp đặt sửa chữa và Phân xưởng sản xuất nước quản lý 13 giếng ngầm, trạm xử lý, trạm bơm cấp I, cấp II, các trạm tăng áp. Dữ liệu kinh doanh giai đoạn 2013–2016 cho thấy sản lượng nước sạch và doanh thu tăng trưởng liên tục, trong đó khách hàng sinh hoạt chiếm tỷ trọng tiêu thụ lớn nhất, kế đến là cơ quan hành chính sự nghiệp (HCSN) và sản xuất vật chất; ngược lại, nhóm khách hàng dịch vụ có xu hướng giảm sút.
  • Hiện trạng hạ tầng kỹ thuật và ứng dụng CNTT:
    • Phần cứng: Đơn vị vận hành 40 máy tính (gồm 30 máy để bàn Samsung SyncMaster 743NX cấu hình Intel Pentium Dual CPU T3400 @ 2.16 GHz, RAM 0.99 GB; 10 máy tính xách tay cá nhân); 2 máy chủ Dell PowerEdge trang bị vi xử lý Intel Xeon 3400 series chạy Windows Server 2008 R2; 2 máy in laser A4 hai mặt và 20 máy quét phục vụ xử lý hồ sơ (bảng kiểm kê thiết bị ghi nhận số lượng hiện có là 1 máy quét, cần bổ sung thêm 1 máy); 2 thiết bị mạng (Hub, Switch, Wi-Fi).
    • Phần mềm: Hệ điều hành Windows đáp ứng 95% nhu cầu; phần mềm văn phòng Microsoft Office 2007 (đáp ứng 85%, có nhu cầu nâng cấp lên bản 2010); phần mềm nhân sự Perfect HRM (đáp ứng 95%); phần mềm kế toán MISA (đáp ứng 98%). Doanh nghiệp chưa ứng dụng các hệ thống ERP, CRM hay SCM.
    • Hạ tầng mạng và CSDL: Sử dụng kết hợp đường truyền Internet từ 3 nhà mạng (FPT, Viettel, VNPT) với tổng băng thông 100 Mbps, kết nối mạng LAN theo mô hình hình sao, có thiết lập mạng riêng ảo (VPN). Cơ sở dữ liệu vận hành trên hệ quản trị SQL Server, tổ chức lưu trữ dạng hỗn hợp (vừa tập trung vừa phân tán trên các tập tin riêng rẽ). Chi phí bảo trì phần cứng, phần mềm và thuê nhân sự CNTT ngoài ước tính khoảng 40.000.000 đồng/năm (chưa tính chi phí đào tạo).
  • Kết quả khảo sát 10 nhân viên qua phần mềm SPSS:
    • Mức độ quan tâm của ban lãnh đạo đối với CNTT/HTTT/TMĐT: Rất quan tâm chiếm 20% (2 phiếu), quan tâm mức khá chiếm 50% (5 phiếu), quan tâm mức bình thường chiếm 30% (3 phiếu).
    • Đánh giá chất lượng phần mềm: Rất tốt (10%), Tốt (40%), Khá (40%), Trung bình (10%).
    • Tần suất cập nhật thông tin cổng thông tin/website: Thỉnh thoảng chiếm 70% (7 ý kiến), hàng tháng chiếm 20% (2 ý kiến), hàng tuần chiếm 10% (1 ý kiến).
    • Tỷ lệ các biện pháp bảo vệ dữ liệu theo biểu đồ điều tra: 50% lựa chọn sử dụng ổ cứng, 30% đồng bộ lên mạng, 20% sao lưu liên tục.
    • Tình trạng bản quyền bảo mật: 80% máy tính cá nhân sử dụng phần mềm bẻ khóa (crack) hoặc miễn phí, chỉ có 20% máy tính sử dụng phần mềm bảo mật có bản quyền.
  • Đánh giá ưu nhược điểm: Ưu điểm là 100% nhân viên văn phòng có chứng chỉ tin học; định kỳ bảo trì thiết bị 6 tháng/lần; có hệ thống thư điện tử nội bộ. Nhược điểm là ngân sách hạn hẹp; cơ chế cảnh báo hỏng hóc máy tính hoàn toàn thủ công; thiếu kiểm soát đường truyền mạng; chu kỳ sao lưu định kỳ 1 tháng/lần là quá dài, tiềm ẩn rủi ro mất trắng dữ liệu khi xảy ra sự cố.

Phần 3: Định hướng phát triển và đề xuất giải pháp đảm bảo an toàn và bảo mật HTTT của Công ty Cổ phần cấp nước Sơn Tây

Chương 3 đề xuất định hướng chiến lược theo chỉ đạo của Phó Giám đốc Nguyễn Bình và xây dựng hệ thống giải pháp toàn diện gồm 3 nhóm:

  • Giải pháp phần cứng và hạ tầng mạng:
    • Trang bị thiết bị định tuyến bảo mật đa cổng Cisco RV016 Multi-WAN VPN Router: Quản lý băng thông, lọc gói tin trạng thái (SPI), ngăn chặn tấn công DoS, SYN flood, Ping of Death, Land Attack, giả mạo IP; quản trị 50 quy tắc truy cập (access rules), 30 cổng chuyển tiếp (port forwarding), 30 cổng kích hoạt (port triggering), tích hợp giải pháp Cisco ProtectLink lọc web và URL độc hại.
    • Chuẩn hóa cấu hình tối thiểu: Máy chủ yêu cầu CPU Core 2 Duo 2.8 GHz trở lên, RAM 8 GB, HDD 300 GB, card mạng 10/100/1000 Mbps chạy Windows Server và web server Apache 2.x hoặc SQL Server 2008. Máy trạm người dùng nâng cấp CPU Intel, RAM tối thiểu 512 MB, HDD 20 GB, card mạng 200 Mbps.
    • Triển khai tường lửa phần cứng thế hệ mới Cisco ASA với dịch vụ FirePOWER (NGFW, tích hợp NGIPS và AMP phòng chống mã độc nâng cao từ SourceFire).
    • Bảo mật đường truyền: Chuẩn hóa WEP 128-bit sử dụng thuật toán dòng RC4 và giá trị khởi tạo IV mở rộng, khuyến nghị nâng cấp lên WPA/WPS; áp dụng giao thức mã hóa đường truyền SSL/TLS (sử dụng các thuật toán DES 56-bit, 3-DES, RSA, SHA-1, MD5) giữa máy trạm và máy chủ.
  • Giải pháp phần mềm và quản trị dữ liệu:
    • Áp dụng các giải pháp mã hóa dữ liệu cục bộ: Mã hóa tập tin hệ thống EFS (Encrypting File System) trên phân vùng định dạng NTFS tích hợp trong hệ điều hành Windows; mã hóa toàn bộ ổ đĩa lưu trữ hoặc thiết bị di động bằng BitLocker, Whole Disk Encryption hoặc DriveCrypt.
    • Triển khai bộ giải pháp bảo mật tập trung Kaspersky Small Office Security (KSOS): Cung cấp các công nghệ Tiền An Toàn (Safe Money) và Bàn Phím Ảo (Virtual Keyboard) cho giao dịch ngân hàng trực tuyến; tính năng Ngăn Chặn Khai Thác Lỗ Hổng Tự Động (AEP - Automatic Exploit Prevention); quản lý chính sách truy cập mạng của nhân viên; tự động hóa tạo mật khẩu mạnh.
    • Cấu hình tường lửa cá nhân Windows Firewall: Thiết lập danh sách lọc ứng dụng theo vùng mạng nội bộ (Home/Work) và công cộng (Public).
    • Tối ưu hóa chu kỳ sao lưu: Rút ngắn thời gian sao lưu dữ liệu từ 1 tháng/lần xuống còn 1 tuần/lần; ứng dụng công cụ ntbackup.exe kết hợp tính năng lập lịch tự động Wizard Mode trong Windows.
    • Tái cấu trúc mô hình mạng và hệ quản trị SQL Server: Chuyển dịch toàn bộ hệ thống từ mạng ngang hàng (Peer-to-Peer) sang mô hình Khách - Chủ (Client-Server); kiểm soát quyền chia sẻ thư mục máy chủ (Network File and Folder Sharing), cấm tuyệt đối chia sẻ toàn bộ ổ cứng; định kỳ rà soát, thu hồi tài khoản 6 tháng/lần; giới hạn số lần đăng nhập sai và ghi nhật ký thay đổi cấu trúc dữ liệu.
  • Giải pháp con người và tổ chức: Thiết lập chính sách phân quyền theo vị trí công việc, tăng cường kiểm tra thiết bị mang ra vào cơ quan, thường xuyên tổ chức đào tạo nâng cao nhận thức bảo mật cho nhân viên.
Hạng mục giải pháp Công nghệ / Thiết bị đề xuất Chức năng kỹ thuật chính
Thiết bị mạng & Bảo mật Router Cisco RV016 Multi-WAN Lọc gói tin SPI, ngăn chặn DoS/SYN flood, quản lý 50 quy tắc truy cập, VPN kết nối chi nhánh
Tường lửa chuyên dụng Cisco ASA with FirePOWER Services Tường lửa thế hệ mới (NGFW), chống xâm nhập NGIPS, kiểm soát ứng dụng và mã độc AMP
Bảo mật điểm cuối Kaspersky Small Office Security (KSOS) Quản trị tập trung, bảo vệ chống mã độc, bàn phím ảo, tiền an toàn, ngăn chặn khai thác lỗ hổng AEP
Mã hóa hệ thống tập tin EFS (NTFS) & Windows BitLocker Mã hóa file/thư mục cục bộ, mã hóa toàn bộ ổ đĩa máy tính và thiết bị lưu trữ di động
An toàn đường truyền Giao thức SSL/TLS, WPA/WPS, VPN Mã hóa kênh truyền mạng LAN/Wi-Fi/Internet, bảo vệ chứng thực máy chủ và người dùng
Sao lưu và CSDL Tiện ích ntbackup.exe, SQL Server Rút ngắn chu kỳ sao lưu về 1 tuần/lần, kiểm soát chia sẻ tệp tin, khóa tài khoản khi đăng nhập sai

Kết quả và đóng góp

Khóa luận đã phản ánh trung thực bức tranh hiện trạng công nghệ thông tin tại một doanh nghiệp nhà nước vừa cổ phần hóa thông qua các số liệu điều tra cụ thể:

  • Xác định quy mô hạ tầng phần cứng gồm 40 máy tính cá nhân, 2 máy chủ chuyên dụng Dell PowerEdge Xeon 3400, duy trì băng thông kết nối 100 Mbps phối hợp giữa 3 nhà mạng FPT, Viettel và VNPT.
  • Bóc tách ngân sách vận hành thực tế cho CNTT của doanh nghiệp ở mức 40.000.000 đồng/năm cho chi phí bảo trì và thuê ngoài, chỉ ra điểm nghẽn thiếu hụt cán bộ chuyên trách an ninh mạng.
  • Đo lường định lượng mức độ rủi ro hệ thống thông qua khảo sát: 80% máy tính cá nhân không trang bị phần mềm bảo mật có bản quyền, chu kỳ sao lưu dữ liệu kéo dài tới 1 tháng/lần, 70% nhân viên đánh giá website chỉ thỉnh thoảng mới được cập nhật nội dung.
  • Xây dựng được mô hình giải pháp bảo mật phân tầng đồng bộ: Kết hợp phần cứng chuyên dụng (Cisco RV016, Cisco ASA), phần mềm bảo mật tích hợp (Kaspersky Small Office Security), công cụ mã hóa nội tại hệ điều hành (EFS, BitLocker), cùng chính sách tái thiết mạng Client-Server và quản trị nghiêm ngặt hệ quản trị SQL Server 2008.

Đóng góp của khóa luận thể hiện ở tính ứng dụng thực tiễn: Khác với các đề tài lý luận thuần túy hoặc nghiên cứu an toàn mạng diện rộng, tác giả đã gắn lý thuyết bảo mật vào môi trường vận hành đặc thù của ngành cấp nước, nơi công tác thu thập số liệu khách hàng, ghi chỉ số đồng hồ và quản lý doanh thu đòi hỏi tính liên tục, chính xác cao nhưng nguồn kinh phí đầu tư công nghệ còn nhiều hạn chế.

Hạn chế và hướng nghiên cứu tiếp

Khóa luận tồn tại một số hạn chế do tác giả thừa nhận trong văn bản:

  • Mẫu điều tra khảo sát định lượng còn nhỏ (chỉ phát phiếu và thu hồi ý kiến từ 10 cán bộ, nhân viên trong công ty), do đó độ đại diện thống kê về mặt định lượng chưa bao quát toàn diện mọi vị trí lao động.
  • Dữ liệu tài chính, sản lượng mới chỉ cập nhật đến giai đoạn 2014–2016; thời gian thực tập và năng lực nghiên cứu của sinh viên có hạn nên một số nội dung khảo cứu hạ tầng chưa đi sâu vào phân tích mã nguồn hoặc lưu lượng gói tin thực tế.
  • Các giải pháp kỹ thuật đề xuất (như lắp đặt Cisco ASA, phân vùng lại mạng Client-Server, mã hóa EFS) mới dừng lại ở mức độ khuyến nghị cấu hình và lập phương án lý thuyết, chưa được triển khai thử nghiệm thực tế trên môi trường sản xuất để đo lường độ trễ mạng hay chi phí phát sinh.

Hướng mở nghiên cứu tiếp theo được xác định:

  • Cần mở rộng quy mô điều tra trên toàn bộ cán bộ công nhân viên các trạm bơm và phân xưởng ngoại vi nhằm đánh giá chính xác hơn ý thức bảo mật thông tin.
  • Tiếp tục nghiên cứu ứng dụng tiêu chuẩn an toàn thông tin quốc tế ISO/IEC 27001 cho toàn bộ quy trình xử lý dữ liệu khách hàng.
  • Xây dựng đề án ứng dụng thương mại điện tử, thanh toán hóa đơn tiền nước trực tuyến đi kèm giải pháp chứng thực số và chữ ký số an toàn.

Giá trị tham khảo

Báo cáo khóa luận là tài liệu tham khảo hữu ích cho:

  • Sinh viên chuyên ngành Hệ thống thông tin kinh tế, Tin học quản lý, Công nghệ thông tin định hướng ứng dụng trong quản trị doanh nghiệp: Cung cấp phương pháp luận khảo sát, cách thức thiết kế bảng hỏi và quy trình phân tích thực trạng hệ thống bằng công cụ SPSS/Excel.
  • Chuyên viên quản trị mạng và phụ trách CNTT tại các doanh nghiệp vừa và nhỏ (SMEs), các công ty công ích cấp thoát nước, môi trường đô thị: Tham khảo mô hình cấu hình thiết bị định tuyến Cisco RV016, giải pháp phân quyền thư mục trên máy chủ Windows Server và chính sách quản lý tài khoản cơ sở dữ liệu SQL Server.
  • Phần đáng tham khảo nhất là các tiêu chí đánh giá an toàn thực địa tại Phần 2 và bảng thiết lập thông số kỹ thuật (cấu hình phần cứng máy chủ, máy trạm, quy tắc tường lửa và chính sách sao lưu dữ liệu) được trình bày chi tiết tại Phần 3.

Câu hỏi thường gặp

1. Hệ thống phần cứng máy tính và máy chủ tại Công ty Cổ phần cấp nước Sơn Tây ở thời điểm nghiên cứu gồm những gì?
Doanh nghiệp vận hành 40 máy tính, trong đó có 30 máy tính để bàn Samsung SyncMaster 743NX (Intel Pentium Dual CPU T3400 @ 2.16 GHz, RAM 0.99 GB) và 10 máy tính xách tay cá nhân. Hệ thống máy chủ gồm 2 máy Dell PowerEdge trang bị vi xử lý Intel Xeon 3400 series chạy Windows Server 2008 R2. Ngoài ra còn có 2 máy in laser A4 hai mặt, 20 máy quét và 2 thiết bị kết nối mạng (Hub/Switch/Wi-Fi).

2. Chi phí hàng năm doanh nghiệp chi trả cho công tác bảo trì CNTT là bao nhiêu?
Hàng năm, chi phí dành cho việc bảo trì phần cứng, phần mềm và thuê nhân sự phụ trách CNTT từ bên ngoài của công ty ước tính khoảng 40.000.000 đồng (chi phí này không bao gồm ngân sách đào tạo CNTT).

3. Khảo sát 10 nhân viên công ty chỉ ra thực trạng đáng lo ngại nào về bản quyền phần mềm bảo mật?
Kết quả khảo sát qua SPSS cho thấy có tới 80% máy tính cá nhân trong doanh nghiệp không sử dụng phần mềm bảo mật có bản quyền (chủ yếu dùng bản miễn phí hoặc bản bẻ khóa trên mạng), chỉ có 20% máy tính được cài đặt phần mềm diệt virus có bản quyền chính hãng.

4. Thiết bị phần cứng nào được tác giả đề xuất để kiểm soát truy cập và bảo vệ mạng tại cổng ra vào?
Tác giả đề xuất triển khai thiết bị định tuyến bảo mật đa cổng Cisco RV016 Multi-WAN VPN Router với khả năng kiểm tra gói tin trạng thái SPI, hỗ trợ IPsec VPN, quản trị 50 quy tắc truy cập (access rules), 30 cổng chuyển tiếp, 30 cổng kích hoạt và tích hợp dịch vụ đám mây Cisco ProtectLink để lọc URL.

5. Tác giả kiến nghị điều chỉnh chu kỳ sao lưu dữ liệu của công ty như thế nào?
Thời điểm khảo sát, công ty thực hiện sao lưu dữ liệu theo chu kỳ 1 tháng/lần – khoảng thời gian quá dài gây rủi ro mất mát thông tin lớn khi gặp thảm họa. Tác giả kiến nghị rút ngắn chu kỳ sao lưu xuống định kỳ 1 tuần/lần, đồng thời tận dụng công cụ ntbackup.exe tích hợp trong hệ điều hành Windows kết hợp Wizard Mode để tự động hóa tiến trình.

Kết luận

Khóa luận tốt nghiệp "Một số giải pháp đảm bảo an toàn và bảo mật cho hệ thống thông tin của Công ty Cổ phần cấp nước Sơn Tây" đã hệ thống hóa các vấn đề lý luận cốt lõi về bảo mật hệ thống thông tin và phản ánh bức tranh thực trạng an ninh mạng tại doanh nghiệp thông qua dữ liệu khảo sát cụ thể. Tác giả đã chỉ rõ các điểm yếu trọng yếu về tỷ lệ vi phạm bản quyền phần mềm bảo mật lên đến 80%, chu kỳ sao lưu dữ liệu quá dài và sự phụ thuộc vào các thông báo sự cố thủ công. Trên cơ sở đó, công trình đề xuất một hệ thống giải pháp kỹ thuật có tính đồng bộ cao từ phần cứng (Cisco RV016, Cisco ASA), phần mềm (Kaspersky Small Office Security, mã hóa EFS, BitLocker) đến chuyển đổi kiến trúc mạng Client-Server và hoàn thiện chính sách đào tạo con người. Nghiên cứu là nguồn tài liệu hữu ích cho việc chuẩn hóa quy trình an toàn dữ liệu tại các doanh nghiệp phân phối dịch vụ công ích có quy mô tương tự.