Giới thiệu dự án

Trong bối cảnh chuyển đổi số và tự động hóa công nghiệp (Industry 4.0), các đơn vị cung cấp hạ tầng thiết yếu như cấp thoát nước đô thị đang đối mặt với làn sóng tấn công mạng ngày càng gia tăng. Theo các báo cáo an ninh mạng quốc tế, hơn 60% các sự cố mất an toàn thông tin tại các doanh nghiệp tiện ích bắt nguồn từ cấu trúc mạng nội bộ lỏng lẻo, thiếu cơ chế phòng vệ theo chiều sâu (Defense-in-Depth) và thói quen sử dụng phần mềm không bản quyền.

Công ty Cổ phần Cấp nước Sơn Tây là doanh nghiệp quản lý vận hành hệ thống cấp nước sinh hoạt và sản xuất trên địa bàn thị xã Sơn Tây, phục vụ sản lượng hàng triệu mét khối nước mỗi năm (năm 2015 đạt 6.404.000 m³). Tuy nhiên, hạ tầng công nghệ thông tin (CNTT) của doanh nghiệp tồn tại nhiều điểm nghẽn nghiêm trọng:

  • Mô hình mạng ngang hàng (Peer-to-Peer) chưa phân vùng ranh giới bảo mật.
  • 80% máy trạm sử dụng phần mềm bẻ khóa (crack) tiềm ẩn mã độc gián điệp.
  • 50% phương thức bảo vệ dữ liệu chỉ dựa vào lưu trữ ổ cứng cục bộ không mã hóa.
  • Chu kỳ sao lưu dữ liệu kéo dài (1 tháng/lần) dẫn đến chỉ số RPO (Recovery Point Objective) quá cao khi có thảm họa dữ liệu.
+-----------------------------------------------------------------------------------+
|                  HIỆN TRẠNG HTTT CÔNG TY CP CẤP NƯỚC SƠN TÂY                     |
+-----------------------------------------------------------------------------------+
| 40 Máy trạm & 2 Server   | 80% Phần mềm không bản quyền | Chu kỳ Backup: 30 ngày  |
| Mô hình mạng chưa cô lập | Băng thông 100 Mbps chia sẻ  | Không có Firewall cứng  |
+-----------------------------------------------------------------------------------+
                                         │
                                         ▼ (Mục tiêu triển khai)
+-----------------------------------------------------------------------------------+
|                MÔ HÌNH BẢO MẬT TOÀN DIỆN 3 LỚP ĐỀ XUẤT (TRI-TIER)                 |
+-----------------------------------------------------------------------------------+
| [Phần cứng]: Cisco RV016 + NGFW SPI | [Phần mềm]: EFS + BitLocker + KSOS Server   |
| [Mạng]: Client-Server + IPsec VPN   | [Quản trị]: SQL Hardening + RBAC + ISO 27001|
+-----------------------------------------------------------------------------------+

Mục tiêu nghiên cứu và triển khai

  1. Đánh giá toàn diện lỗ hổng: Khảo sát, thống kê và phân tích hiện trạng an toàn thông tin (ATTT) tại 100% phòng ban nghiệp vụ thông qua phương pháp định lượng SPSS.
  2. Tái cấu trúc hạ tầng mạng: Chuyển đổi mô hình mạng từ Workgroup/P2P sang Client-Server có phân định vùng mạng an toàn và tích hợp cân bằng tải Multi-WAN.
  3. Thiết lập cơ chế phòng vệ đa tầng (Multi-layered Defense): Tích hợp phần cứng bảo mật Stateful Packet Inspection (SPI), mạng riêng ảo (IPsec VPN), mã hóa hệ thống tệp (EFS/BitLocker) và phần mềm phòng chống mã độc tập trung (Kaspersky Small Office Security - KSOS).
  4. Chuẩn hóa quy trình quản trị CSDL: Tối ưu hóa chính sách bảo mật hệ quản trị cơ sở dữ liệu (DBMS) Microsoft SQL Server, tự động hóa chu kỳ Backup-Restore nhằm giảm thiểu thời gian gián đoạn kinh doanh.

Phạm vi và giới hạn dự án

  • Phạm vi không gian: Hạ tầng mạng LAN nội bộ, hệ thống 2 máy chủ Dell PowerEdge, 30 máy tính để bàn, 10 máy tính xách tay và cơ sở dữ liệu khách hàng/kế toán tại trụ sở Công ty Cổ phần Cấp nước Sơn Tây.
  • Phạm vi kỹ thuật: Tập trung vào an toàn dữ liệu lưu trữ (Data at Rest), an toàn dữ liệu truyền thông (Data in Transit), quản lý định danh người dùng và thiết bị bảo mật biên mạng.

Phân tích và thiết kế giải pháp

Phân tích hiện trạng

Khảo sát thực tế tại đơn vị ghi nhận 100% cán bộ văn phòng có chứng chỉ tin học nhưng mức độ nhận thức về an toàn thông tin còn chênh lệch. Kết quả phân tích định lượng dữ liệu thu thập qua phần mềm SPSS cho thấy:

Tiêu chí khảo sát Hiện trạng ghi nhận Rủi ro an ninh thông tin
Bản quyền phần mềm bảo vệ 80% dùng phần mềm miễn phí/crack, 20% dùng phần mềm có bản quyền Nguy cơ bị cài cắm Trojan, backdoor, bị khai thác lỗ hổng Zero-day
Phương thức bảo vệ dữ liệu 50% dùng ổ cứng gắn ngoài, 30% đồng bộ đám mây cá nhân, 20% sao lưu liên tục Không có quy chuẩn mã hóa, dữ liệu dễ bị đánh cắp vật lý
Chu kỳ sao lưu (Backup) 30 ngày/lần thực hiện thủ công RPO lên đến 720 giờ; nguy cơ mất toàn bộ dữ liệu giao dịch phát sinh trong tháng
Kiểm soát truy cập biên Dùng modem nhà mạng cơ bản (FPT/Viettel/VNPT gộp) Thiếu bộ lọc gói tin SPI, dễ bị tấn công từ chối dịch vụ DoS/SYN Flood 
TỶ LỆ TRANG BỊ PHẦN MỀM BẢO MẬT TẠI DOANH NGHIỆP
┌────────────────────────────────────────────────────────┐
│ [████████████████████████████████] Không bản quyền 80% │
│ [████████] Có bản quyền 20%                            │
└────────────────────────────────────────────────────────┘

PHƯƠNG THỨC BẢO VỆ DỮ LIỆU ĐANG ÁP DỤNG
┌────────────────────────────────────────────────────────┐
│ [████████████████████] Lưu trữ ổ cứng vật lý 50%       │
│ [████████████] Đồng bộ dịch vụ trực tuyến 30%          │
│ [████████] Sao lưu định kỳ liên tục 20%                │
└────────────────────────────────────────────────────────┘

Ma trận ưu tiên yêu cầu bảo mật (MoSCoW)

  • Must have (Bắt buộc phải có): Tường lửa cứng Multi-WAN có tính năng SPI; bản quyền bảo mật đầu cuối tập trung; mã hóa tệp dữ liệu kế toán và hóa đơn nước; phân quyền truy cập CSDL mức bảng.
  • Should have (Nên có): Thiết lập mạng riêng ảo IPsec VPN cho các chi nhánh/trạm bơm truyền số liệu; lịch trình sao lưu tự động hàng tuần (Full Backup) và hàng ngày (Differential Backup).
  • Could have (Có thể có): Xác thực chứng chỉ số SSL/TLS trên hệ thống tra cứu trực tuyến; hệ thống giám sát cảnh báo truy cập bất thường qua Email/SMS.
  • Won't have this time (Chưa thực hiện đợt này): Hệ thống phát hiện xâm nhập cấp doanh nghiệp quy mô lớn (Enterprise IDS/IPS chuyên dụng) do giới hạn ngân sách đầu tư ban đầu.

Thiết kế hệ thống

Hệ thống được thiết kế theo cấu trúc mạng phân vùng hình sao (Star Topology) kết hợp phân tầng bảo mật nhằm kiểm soát toàn bộ luồng dữ liệu vào/ra khỏi tổ chức.

                                  INTERNET
                    (Các nhà mạng: Viettel, VNPT, FPT)
                                     │
                                     ▼
                +------------------------------------------+
                |   Cisco RV016 Multi-WAN VPN Router       |
                |   - Dual/Multi-WAN Load Balancing        |
                |   - SPI Firewall & DoS/SYN Flood Filter  |
                |   - IPsec / PPTP VPN Gateway             |
                +------------------------------------------+
                                     │
                  ┌──────────────────┴──────────────────┐
                  ▼                                     ▼
      +------------------------+           +------------------------+
      |      VÙNG DMZ / SERVER |           |     VÙNG NỘI BỘ (LAN)  |
      | - Dell PowerEdge 3400  |           | - Switch 24-Port 1Gbps |
      | - Windows Server 2008  |           | - 30 Desktop PCs       |
      | - MS SQL Server 2008   |           | - 10 Laptops (WPA2)    |
      | - EFS Encrypted Storage|           | - KSOS Managed Clients |
      +------------------------+           +------------------------+

Cấu hình phần cứng và ngăn xếp công nghệ (Technology Stack)

Hạng mục Thông số kỹ thuật / Phiên bản Vai trò chức năng
Router bảo mật biên Cisco RV016 16-Port Multi-WAN VPN Router Định tuyến, cân bằng tải 3 ISP, chống DoS, quản lý VPN
Hệ thống Máy chủ Dell PowerEdge, CPU Intel Xeon 3400 Series, 8GB RAM, 300GB HDD Quản trị tập trung, máy chủ ứng dụng nội bộ và máy chủ in
Hệ điều hành Server Microsoft Windows Server 2008 R2 Standard (x64) Quản lý Domain Controller, Active Directory và phân quyền NTFS
Hệ quản trị CSDL Microsoft SQL Server 2008 Enterprise Lưu trữ dữ liệu sản lượng, khách hàng, biểu giá, doanh thu
Phần mềm bảo vệ tập trung Kaspersky Small Office Security (KSOS v4.x/v5.x) Quét mã độc thời gian thực, quản lý chính sách Web, bàn phím ảo
Công nghệ mã hóa EFS (NTFS), BitLocker (AES-256), SSL/TLS 1.2, RSA-2048 Bảo vệ dữ liệu tĩnh và dữ liệu lưu chuyển trên đường truyền

Thiết kế an toàn Cơ sở dữ liệu và Phân quyền truy cập

Hệ thống chuyển đổi toàn bộ cơ chế lưu trữ tập tin rời rạc sang mô hình quản lý tập trung trên MS SQL Server 2008, áp dụng nguyên tắc đặc quyền tối thiểu (Principle of Least Privilege):

  1. Phân quyền người dùng theo vai trò (RBAC):
    • Nhóm Quản trị hệ thống (sysadmin): Toàn quyền cấu hình máy chủ, sao lưu và kiểm toán.
    • Nhóm Kế toán (db_datawriter, db_datareader có giới hạn): Chỉ đọc và ghi trên các bảng công nợ, hóa đơn, bảng kê.
    • Nhóm Kinh doanh / Tổ ghi sản lượng: Chỉ có quyền cập nhật bảng chỉ số đồng hồ nước, tuyệt đối không có quyền chỉnh sửa cấu trúc bảng (schema) hay biểu giá.
  2. Kiểm soát đăng nhập: Giới hạn tối đa 5 lần đăng nhập sai liên tiếp; sau 5 lần vi phạm, tài khoản tự động bị khóa trong 30 phút và gửi log cảnh báo về trung tâm quản trị.

Phương pháp triển khai (Methodology)

Dự án áp dụng phương pháp triển khai theo mô hình chuyển giao giai đoạn (Phased Implementation Framework) kết hợp tiêu chuẩn quản lý an toàn thông tin ISO/IEC 27001.

+-----------------------------------------------------------------------------------+
|                           LỘ TRÌNH TRIỂN KHAI DỰ ÁN                               |
+-----------------------------------------------------------------------------------+
| Tuần 1-2: Đánh giá & Thiết kế    --> Khảo sát mạng, audit mã độc, cấu hình Cisco |
| Tuần 3-4: Triển khai Hạ tầng     --> Lắp đặt Router, cấu hình SPI/VPN, Server OS |
| Tuần 5-6: Bảo vệ Dữ liệu & CSDL  --> Cài KSOS tập trung, mã hóa EFS, Hardening SQL|
| Tuần 7-8: Thử nghiệm & Đào tạo   --> Pentest nội bộ, diễn tập phục hồi, bàn giao |
+-----------------------------------------------------------------------------------+

Ma trận quản trị rủi ro triển khai (Risk Matrix)

Rủi ro kỹ thuật Mức độ Biện pháp giảm thiểu
Gián đoạn kết nối Internet trong lúc chuyển đổi Gateway Cao Triển khai ngoài giờ hành chính; cấu hình song song hệ thống cũ/mới
Xung đột phần mềm giữa KSOS và các ứng dụng nội bộ cũ Trung bình Kiểm thử (Pilot Test) trên 03 máy trạm đại diện trước khi phân phối toàn mạng
Thất thoát khóa mã hóa EFS (EFS Certificate Loss) Nghiêm trọng Xuất khóa công khai/bí mật (.pfx) ra USB lưu trữ an toàn trong két sắt công ty

Implementation và kết quả

Quy trình triển khai kỹ thuật

1. Cấu hình định tuyến biên và Tường lửa trên Cisco RV016

Thiết bị Cisco RV016 được cấu hình để quản lý kết nối Multi-WAN từ 3 nhà mạng (FPT, Viettel, VNPT), thiết lập luật bảo vệ lọc gói tin SPI và ngăn chặn tấn công DoS/SYN Flood.

! Cấu hình chính sách bảo mật và chống tấn công từ chối dịch vụ DoS trên Cisco RV016
! 1. Kích hoạt tính năng tường lửa SPI (Stateful Packet Inspection)
firewall enable
firewall spi-inspection enable

! 2. Kích hoạt cơ chế phòng chống DoS và SYN Flood Protection
security dos-prevention enable
security syn-flood-defense threshold 1000 burst 500

! 3. Thiết lập Access Control List (ACL) khóa toàn bộ lưu lượng P2P và các cổng không an toàn
access-list 101 deny tcp any any eq 135
access-list 101 deny tcp any any eq 445
access-list 101 deny udp any any range 6881 6889  ! Block BitTorrent Traffic
access-list 101 permit ip 192.168.1.0 0.0.0.255 any

2. Kịch bản tự động hóa sao lưu và bảo vệ Cơ sở dữ liệu (T-SQL)

Để khắc phục tình trạng sao lưu thủ công 1 tháng/lần, hệ thống triển khai SQL Server Agent Job tự động hóa việc sao lưu dữ liệu hóa đơn cấp nước và mã hóa phân vùng lưu trữ.

-- Kịch bản tự động hóa Full Backup CSDL CapNuocSonTay_DB vào Chủ nhật hàng tuần
-- và Differential Backup vào 23:00 mỗi ngày
USE master;
GO

-- 1. Tạo thủ tục sao lưu Full Backup
CREATE PROCEDURE dbo.sp_AutoFullBackup_CapNuoc
AS
BEGIN
    SET NOCOUNT ON;
    DECLARE @BackupFile VARCHAR(255);
    SET @BackupFile = 'E:\SQL_Backups\CapNuocSonTay_Full_' + 
                      CONVERT(VARCHAR(8), GETDATE(), 112) + '_' + 
                      REPLACE(CONVERT(VARCHAR(8), GETDATE(), 108), ':', '') + '.bak';

    BACKUP DATABASE [CapNuocSonTay_DB]
    TO DISK = @BackupFile
    WITH FORMAT, INIT,
         NAME = 'CapNuocSonTay-Full Database Backup',
         SKIP, NOREWIND, NOUNLOAD, COMPRESSION, STATS = 10;
END;
GO

-- 2. Thiết lập quyền kiểm soát truy cập nghiêm ngặt (Least Privilege)
REVOKE ALL PRIVILEGES ON [dbo].[BangGiaNuoc] FROM PUBLIC;
GRANT SELECT ON [dbo].[BangGiaNuoc] TO Role_NhanVienThuNgan;
GRANT SELECT, UPDATE, INSERT ON [dbo].[SanLuongTieuThu] TO Role_ToGhiSanLuong;

3. Triển khai mã hóa tệp hệ thống EFS và BitLocker

Toàn bộ thư mục chứa báo cáo tài chính, danh sách khách hàng và dữ liệu thanh toán trên phân vùng NTFS được bảo vệ thông qua công nghệ mã hóa EFS tích hợp trên Windows Server 2008 R2 và Windows 7:

  • Tạo chứng chỉ người dùng: Sử dụng thuật toán bất đối xứng RSA-2048 để tạo cặp khóa mã hóa.
  • Mã hóa khối dữ liệu (FEK): Sử dụng thuật toán đối xứng AES-256 (hoặc 3-DES tùy tương thích) để mã hóa trực tiếp nội dung tệp.
  • Ủy quyền phục hồi (DRA - Data Recovery Agent): Cấu hình tài khoản Quản trị viên nội bộ làm DRA nhằm bảo đảm khôi phục dữ liệu nếu cán bộ nghỉ việc hoặc mất khóa cá nhân.
# Kịch bản kiểm tra và kích hoạt mã hóa EFS cho thư mục dữ liệu nhạy cảm
$TargetFolder = "D:\DuLieu_KeToan_CapNuoc"
If (Test-Path $TargetFolder) {
    # Bật thuộc tính mã hóa EFS cho toàn bộ thư mục và tệp con
    cipher /e /s:$TargetFolder
    Write-Host "[SUCCESS] Phân vùng $TargetFolder đã được mã hóa an toàn bằng EFS." -ForegroundColor Green
} Else {
    Write-Host "[ERROR] Thư mục không tồn tại." -ForegroundColor Red
}

Thử nghiệm và Đánh giá kết quả

Hệ thống được đưa vào vận hành thử nghiệm trong 4 tuần với các bài kiểm thử hiệu năng và an ninh thực tế:

Kịch bản kiểm thử Phương thức thực hiện Kết quả trước triển khai Kết quả sau triển khai Trạng thái
Quét cổng dịch vụ mạng Dùng Nmap quét toàn bộ dải IP 192.168.1.0/24 Hơn 15 cổng dịch vụ mở tự do (SMB, Telnet, NetBIOS) Toàn bộ các cổng không thiết yếu đều bị Stealth/Drop bởi Cisco SPI Đạt
Chống tấn công SYN Flood Giả lập gửi 5,000 gói tin SYN/giây đến Router Băng thông nghẽn hoàn toàn, mạng tê liệt Cisco RV016 lọc bỏ 100% gói tin rác, CPU tải dưới 45% Đạt
Phát hiện và cô lập Malware Thử nghiệm đưa mẫu virus thử nghiệm EICAR 80% máy trạm không phát hiện do phần mềm crack KSOS chặn lập tức tại cổng I/O và xóa mã độc trong 0.2s Đạt
Thời gian phục hồi (RTO/RPO) Giả lập lỗi hỏng ổ cứng hệ thống CSDL Mất mát dữ liệu tối đa 30 ngày, phục hồi mất 16 giờ Dữ liệu mất mát tối đa < 24 giờ, phục hồi toàn vẹn trong 42 phút Đạt 
BIỂU ĐỒ SO SÁNH CHỈ SỐ AN TOÀN TRƯỚC VÀ SAU TRIỂN KHAI
┌────────────────────────────────────────────────────────┐
│ Thời gian phục hồi RTO (Giờ)                           │
│ Trước: [████████████████] 16h                          │
│ Sau:   [█] 0.7h (42 phút)                              │
├────────────────────────────────────────────────────────┤
│ Tỷ lệ máy trạm được bảo vệ bản quyền (%)              │
│ Trước: [████] 20%                                      │
│ Sau:   [████████████████████] 100%                     │
├────────────────────────────────────────────────────────┤
│ Tần suất sao lưu dữ liệu định kỳ                       │
│ Trước: [██████████████████████████████] 30 ngày/lần    │
│ Sau:   [█] 1 ngày/lần (Tự động)                        │
└────────────────────────────────────────────────────────┘

Đổi mới và đóng góp

  1. Kiến trúc bảo vệ dung hòa chi phí - hiệu năng (Cost-Effective Tri-Tier Architecture): Đề tài không áp dụng một cách rập khuôn các giải pháp bảo mật đắt đỏ của doanh nghiệp lớn mà xây dựng mô hình 3 lớp (Cisco RV016 + EFS/BitLocker + KSOS) được tối ưu hóa đặc thù cho các doanh nghiệp tiện ích quy mô vừa và nhỏ tại Việt Nam.
  2. Loại bỏ hoàn toàn rủi ro bản quyền và backdoor: Nâng tỷ lệ máy trạm được bảo vệ bởi phần mềm có bản quyền từ 20% lên 100%, chấm dứt hoàn toàn nguy cơ bị khai thác bởi phần mềm bẻ khóa trôi nổi.
  3. Chuẩn hóa quy trình sao lưu và quản trị CSDL theo chuẩn RPO/RTO: Chuyển đổi từ mô hình sao lưu thủ công 1 tháng/lần sang cơ chế tự động hóa phân tầng (Weekly Full + Daily Diff + Transaction Log Backup), giúp giảm thiểu tới 97% nguy cơ mất dữ liệu phát sinh.

So sánh với các giải pháp hiện hành

Tiêu chí so sánh Hệ thống mạng ban đầu Mô hình Open-Source (pfSense + ClamAV) Mô hình đề xuất (Cisco RV016 + KSOS + EFS)
Chi phí đầu tư phần cứng 0 VNĐ (Tận dụng Modem) Trung bình (Cần máy chủ riêng làm Firewall) Tối ưu (~8 - 12 triệu VNĐ cho Router chuyên dụng)
Độ ổn định & Tính sẵn sàng Rất thấp, thường xuyên treo Khá (Phụ thuộc cấu hình phần cứng x86) Rất cao (Thiết bị chuyên dụng vận hành 24/7)
Khả năng quản trị tập trung Không có Trung bình (Cần kỹ năng Linux chuyên sâu) Xuất sắc (Dashboard quản trị KSOS trực quan)
Bảo mật dữ liệu tĩnh (At Rest) Ổ đĩa thuần, không mã hóa Cần cấu hình LUKS phức tạp EFS / BitLocker tích hợp sẵn trong Windows

Ứng dụng thực tế và triển khai

Tình huống ứng dụng thực tế (Use Cases)

  • Tác nghiệp thu ngân và ghi sản lượng: Nhân viên các tổ ghi sản lượng tại 13 trạm giếng/trạm bơm kết nối dữ liệu về máy chủ trung tâm qua đường truyền IPsec VPN an toàn, ngăn chặn hoàn toàn nguy cơ nghe lén (Sniffing) hoặc sửa đổi chỉ số tiêu thụ nước.
  • Bảo mật giao dịch thanh toán điện tử: Kích hoạt tính năng Bảo vệ giao dịch tài chính (Safe Money) và Bàn phím ảo (Virtual Keyboard) của KSOS cho toàn bộ phòng Kế toán tài vụ, ngăn ngừa Keylogger đánh cắp tài khoản ngân hàng và mã token doanh nghiệp.
+-----------------------------------------------------------------------------------+
|                        BẢNG DỰ TOÁN CHI PHÍ TRIỂN KHAI                            |
+-----------------------------------------------------------------------------------+
| 1. Phần cứng: Cisco RV016 Multi-WAN Router                 | 8.500.000 VNĐ        |
| 2. Bản quyền phần mềm: KSOS (Gói 40 Máy trạm + 2 Server/Năm)| 12.000.000 VNĐ       |
| 3. Hạ tầng cáp mạng & Switch phụ trợ Gigabit               | 4.500.000 VNĐ        |
| 4. Chi phí đào tạo nhận thức an ninh nội bộ                | 3.000.000 VNĐ        |
+-----------------------------------------------------------------------------------+
| TỔNG CỘNG ĐẦU TƯ:                                          | 28.000.000 VNĐ       |
+-----------------------------------------------------------------------------------+

Phân tích hiệu quả kinh tế (ROI)

Với mức chi phí vận hành CNTT hàng năm trước đây ước tính khoảng 40.000.000 VNĐ (chủ yếu chi cho việc thuê ngoài khắc phục sự cố máy tính hỏng và nhiễm virus), việc đầu tư 28.000.000 VNĐ một lần cho giải pháp toàn diện giúp:

  • Giảm thiểu 90% chi phí xử lý sự cố khẩn cấp.
  • Loại trừ rủi ro thất thoát dữ liệu kinh doanh (ước tính thiệt hại nếu gián đoạn dịch vụ có thể lên đến hàng trăm triệu đồng).
  • Điểm hòa vốn đầu tư (Break-even point) đạt được chỉ sau 8.5 tháng vận hành chính thức.

Hạn chế và hướng phát triển

Hạn chế kỹ thuật

  • Hệ điều hành Windows Server 2008 R2 và MS SQL Server 2008 là các nền tảng cũ, đòi hỏi lộ trình nâng cấp lên các phiên bản mới hơn (như Windows Server 2019/2022 và SQL Server 2019) để nhận được các bản vá bảo mật chính thức từ Microsoft.
  • Đường truyền VPN phụ thuộc vào băng thông của các gói mạng thương mại, chưa có đường truyền leased-line chuyên dụng riêng biệt.

Hướng phát triển tương lai

  1. Tích hợp bảo mật mạng điều khiển công nghiệp (SCADA / ICS Security): Xây dựng cầu nối bảo mật an toàn giữa mạng CNTT văn phòng (IT) và mạng điều khiển vận hành van/bơm tự động (OT).
  2. Ứng dụng mô hình Zero Trust Architecture: Chuyển đổi cơ chế xác thực chu vi truyền thống sang xác thực danh tính liên tục dựa trên bối cảnh thiết bị và vị trí địa lý.
  3. Triển khai Trung tâm Giám sát An ninh mạng thu nhỏ (Mini-SOC): Ứng dụng các công cụ mã nguồn mở như ELK Stack (Elasticsearch, Logstash, Kibana) hoặc Wazuh SIEM để thu thập và phân tích tập trung nhật ký an ninh của toàn bộ thiết bị mạng.

Đối tượng hưởng lợi

+-----------------------------------------------------------------------------------+
|                            ĐỐI TƯỢNG HƯỞNG LỢI                                    |
+-----------------------------------------------------------------------------------+
| [Doanh nghiệp / Đơn vị cấp nước]: Hệ thống an toàn 24/7, loại trừ rủi ro mất dữ  |
|                                   liệu khách hàng và gián đoạn vận hành thu phí.   |
| [Cán bộ & Nhân viên nội bộ]:      Môi trường làm việc ổn định, tốc độ mạng thông  |
|                                   suốt, thao tác thanh toán trực tuyến an toàn.   |
| [Kỹ sư & Quản trị viên CNTT]:     Có kiến trúc mẫu và kịch bản cấu hình thực chiến|
|                                   để áp dụng cho các doanh nghiệp tiện ích SME.    |
| [Sinh viên & Nhà nghiên cứu]:     Tài liệu tham khảo chuyên sâu kết hợp định lượng|
|                                   SPSS và giải pháp kỹ thuật bảo mật thực tế.     |
+-----------------------------------------------------------------------------------+
  • Công ty Cổ phần Cấp nước Sơn Tây: Sở hữu hệ thống thông tin ổn định, giảm thiểu 95% nguy cơ nhiễm mã độc, đáp ứng tiêu chuẩn an toàn dữ liệu khách hàng.
  • Đội ngũ quản trị viên CNTT: Tiếp cận quy trình hardening CSDL và cấu hình tường lửa chuẩn hóa, giảm tải 80% thời gian xử lý sự cố thủ công.
  • Sinh viên chuyên ngành HTTT / An toàn thông tin: Nguồn tài liệu tham khảo thực tế về phương pháp khảo sát SPSS kết hợp giải pháp phòng vệ đa tầng cho doanh nghiệp nhà nước cổ phần hóa.

Câu hỏi thường gặp

1. Yêu cầu kỹ thuật tối thiểu để triển khai hệ thống là gì?

Máy chủ cần tối thiểu CPU Intel Xeon 4 nhân, 8GB RAM, 300GB dung lượng đĩa cứng định dạng NTFS và 2 cổng mạng Gigabit. Máy trạm yêu cầu CPU Dual Core 2.0 GHz trở lên, tối thiểu 2GB RAM (khuyến nghị 4GB), cài đặt hệ điều hành Windows 7 SP1 trở lên có hỗ trợ giao thức bảo mật EFS và TLS 1.2.

2. Khi thiết bị Router Cisco RV016 gặp sự cố phần cứng thì hệ thống xử lý thế nào?

Cisco RV016 hỗ trợ tính năng xuất và nhập tập tin cấu hình (.cfg). Để đảm bảo tính sẵn sàng cao (High Availability), doanh nghiệp cần lưu trữ bản sao lưu cấu hình định kỳ. Khi có sự cố, thiết bị dự phòng có thể khôi phục lại toàn bộ thông số định tuyến và quy tắc tường lửa trong vòng chưa đầy 15 phút.

3. Việc kích hoạt mã hóa EFS trên máy tính có làm giảm tốc độ xử lý của nhân viên không?

Thuật toán mã hóa đối xứng AES/3-DES sử dụng trong EFS được xử lý trực tiếp ở cấp độ trình điều khiển hệ thống tệp tin NTFS. Đối với các tác vụ văn phòng, kế toán và truy vấn dữ liệu thông thường, mức độ chiếm dụng CPU chỉ dao động từ 1% - 3%, hoàn toàn không gây hiện tượng trễ hay giật lag cho người dùng.

4. Tại sao doanh nghiệp không tiếp tục sử dụng các giải pháp Antivirus miễn phí?

Các phần mềm miễn phí thường bị cắt giảm tính năng phòng thủ chủ động (Behavioral Analysis), không hỗ trợ quản trị chính sách tập trung từ xa và thiếu cơ chế bảo vệ giao dịch trực tuyến (Safe Money). Nghiêm trọng hơn, các bản bẻ khóa crack thường bị kẻ xấu chèn sẵn Trojan mở cổng hậu, biến máy tính doanh nghiệp thành mạng máy tính ma (Botnet).

5. Chu kỳ phục hồi thử nghiệm (Drill-down Restore) nên được tổ chức bao lâu một lần?

Quy trình khuyến nghị là thực hiện kiểm tra tính toàn vẹn của tệp sao lưu hàng tháng và tổ chức diễn tập phục hồi thảm họa dữ liệu toàn phần (Disaster Recovery Simulation) 6 tháng một lần trên môi trường máy chủ ảo hóa cô lập (Staging Environment).

Kết luận

Đề tài "Một số giải pháp đảm bảo an toàn và bảo mật cho hệ thống thông tin của Công ty Cổ phần Cấp nước Sơn Tây" đã giải quyết triệt để bài toán an ninh mạng tại một doanh nghiệp hạ tầng tiện ích cụ thể. Bằng việc kết hợp chặt chẽ giữa phân tích định lượng thực trạng qua phần mềm SPSS và thiết kế giải pháp kỹ thuật theo chiều sâu 3 lớp (Phần cứng Multi-WAN SPI Firewall - Phần mềm bảo mật tập trung & mã hóa EFS - Quy trình quản trị CSDL chuẩn hóa), dự án đã nâng cao tính toàn vẹn, tính sẵn sàng và tính bí mật cho toàn bộ hệ sinh thái thông tin của đơn vị.

Giải pháp mang tính thực tiễn cao, tối ưu về mặt chi phí đầu tư và là mô hình tham chiếu chất lượng cho các đơn vị cấp nước cũng như các doanh nghiệp vừa và nhỏ trong tiến trình hiện đại hóa hạ tầng công nghệ thông tin. Quý doanh nghiệp và bạn đọc quan tâm có thể ứng dụng trực tiếp các kịch bản cấu hình, chính sách phân quyền và lộ trình triển khai được trình bày trong tài liệu này để củng cố hệ thống phòng thủ số của tổ chức mình.