Bối cảnh và vấn đề nghiên cứu

Khóa luận tốt nghiệp với đề tài “Một số giải pháp nhằm đảm bảo tính an toàn bảo mật trong hệ thống thông tin tại Công ty TNHH AI Việt Nam” do sinh viên ngành Hệ thống Thông tin Kinh tế và Thương mại Điện tử thực hiện dưới sự hướng dẫn của Th.S Đinh Thị Hà. Nghiên cứu tập trung giải quyết bài toán bảo đảm an toàn dữ liệu và tính toàn vẹn của hệ thống thông tin tại một doanh nghiệp chuyên về công nghệ thông tin.

Công ty TNHH AI Việt Nam hoạt động trong các lĩnh vực cung cấp giải pháp hỗ trợ quản lý nhà nước và doanh nghiệp, dịch vụ công nghệ thông tin, đào tạo trực tuyến và gia công phần mềm. Trong mô hình kinh doanh này, dữ liệu nội bộ và thông tin của các đối tác, khách hàng (bao gồm nhiều cơ quan nhà nước và tập đoàn lớn) giữ vai trò sống còn đối với hoạt động sản xuất kinh doanh. Mặc dù công ty đã áp dụng một số biện pháp an toàn bảo mật, hệ thống vẫn tồn tại nhiều hạn chế kỹ thuật, nguy cơ rò rỉ dữ liệu và chưa bảo đảm tính toàn vẹn thông tin ở mức cao. Từ thực tiễn đó, tác giả lựa chọn đề tài nhằm phân tích hiện trạng và đề xuất giải pháp khắc phục.

Mục tiêu và nhiệm vụ nghiên cứu của khóa luận được xác định cụ thể theo 3 nội dung:

  1. Tổng hợp và hệ thống hóa các vấn đề lý luận cơ bản liên quan đến an toàn dữ liệu và bảo mật hệ thống thông tin trong doanh nghiệp.
  2. Khảo sát, phân tích và đánh giá thực trạng an toàn bảo mật trong hệ thống thông tin tại Công ty TNHH AI Việt Nam.
  3. Đề xuất một số giải pháp kỹ thuật, công nghệ và quản trị nhân sự nhằm phòng ngừa, khắc phục các nguy cơ gây mất an toàn dữ liệu và bảo mật hệ thống cho doanh nghiệp.

Đối tượng nghiên cứu tổng quát là vấn đề an toàn bảo mật trong hệ thống thông tin của Công ty TNHH AI Việt Nam, được phân tách thành 5 thành phần cấu thành cụ thể: trang thiết bị phần cứng; phần mềm hệ thống và phần mềm ứng dụng; hệ thống mạng truyền thông; cơ sở dữ liệu; và yếu tố con người cùng các quy trình an toàn thông tin.

Phạm vi nghiên cứu được xác định rõ ràng:

  • Về không gian: Nghiên cứu nội bộ tại Công ty TNHH AI Việt Nam (trụ sở tại 118C Hoàng Quốc Việt, quận Cầu Giấy, Hà Nội).
  • Về thời gian: Khai thác số liệu báo cáo tài chính và tình hình kinh doanh của công ty trong giai đoạn 2014–2016; các số liệu khảo sát, điều tra thực tế về hệ thống thông tin được thu thập trong giai đoạn 2014–2017.

Cơ sở lý thuyết và phương pháp

Khóa luận sử dụng hệ thống lý luận về hệ thống thông tin quản lý dựa trên giáo trình của Trường Đại học Thương Mại, làm rõ khái niệm về dữ liệu, thông tin, cơ sở dữ liệu và hệ thống thông tin; đồng thời phân tích 3 tác động chủ yếu của hệ thống thông tin đối với doanh nghiệp: hỗ trợ năng lực cạnh tranh, hỗ trợ ra quyết định và hỗ trợ các hoạt động nghiệp vụ kinh doanh.

Khung lý thuyết về an toàn bảo mật được xây dựng dựa trên tiêu chuẩn ISO 27001 Guide với trọng tâm là tam giác bảo mật C.I.A bao gồm 3 thuộc tính:

  • Tính bí mật (Confidentiality): Đảm bảo thông tin chỉ được tiếp cận bởi các đối tượng được cấp quyền.
  • Tính toàn vẹn (Integrity): Đảm bảo thông tin chỉ được phép chỉnh sửa, xóa bởi người có thẩm quyền và duy trì độ chính xác khi lưu trữ hay truyền đi.
  • Tính sẵn sàng (Availability): Đảm bảo dữ liệu và dịch vụ luôn có thể truy xuất kịp thời khi người dùng hợp lệ yêu cầu.

Tác giả hệ thống hóa các hình thức tấn công hệ thống (tấn công giả mạo, tấn công chuyển tiếp, tấn công sửa đổi thông báo, tấn công từ chối dịch vụ DoS, tấn công chủ động và bị động, tấn công phi kỹ thuật, phần mềm độc hại, mã độc qua email và website) cùng 2 nhân tố tác động then chốt là con người và công nghệ. Khóa luận cũng tổng quan các công trình nghiên cứu tiêu biểu trong nước (báo cáo của PGS.TS Nguyễn Tùng Hưng năm 2016, luận văn thạc sĩ của Nguyễn Minh Quang năm 2012, bài giảng của Lê Trung Thành năm 2014) và quốc tế (công trình về an ninh mạng của Charlie Kaufman năm 2016, mô hình mạng tiếp cận từ trên xuống của James Kurose và Keith Ross năm 2014).

Tác giả kết hợp các phương pháp nghiên cứu cụ thể:

  • Phương pháp thu thập dữ liệu thứ cấp: Tiếp cận tài liệu nội bộ gồm báo cáo tài chính và báo cáo kết quả kinh doanh giai đoạn 2014–2016 từ phòng Kinh doanh và phòng Hành chính - Kế toán; tổng hợp dữ liệu Chỉ số an toàn thông tin Việt Nam giai đoạn 2013–2017 từ Cục An toàn thông tin cùng các tài liệu khoa học chuyên ngành.
  • Phương pháp thu thập dữ liệu sơ cấp: Xây dựng phiếu điều tra gồm 30 câu hỏi chuyên biệt về an toàn bảo mật hệ thống thông tin, phát phiếu khảo sát cho 20 nhân viên thuộc các bộ phận trong công ty.
  • Phương pháp phân tích và xử lý dữ liệu: Sử dụng phương pháp định tính để tổng hợp, so sánh thông tin tài liệu; sử dụng phương pháp định lượng thông qua bảng tính Microsoft Excel và phần mềm thống kê chuyên dụng SPSS (Statistical Package for Social Sciences) của hãng SPSS Inc. để thống kê tần số, phân tích tỷ lệ phần trăm và vẽ biểu đồ minh họa.

Nội dung chính theo từng chương

Chương 1: Cơ sở lý thuyết về an toàn và bảo mật thông tin

Chương 1 tập trung làm rõ bản chất lý luận của hệ thống thông tin và an toàn bảo mật trong môi trường tổ chức. Tác giả phân tích vị trí trung gian của hệ thống thông tin trong việc kết nối nội bộ doanh nghiệp và tương tác với môi trường bên ngoài. Khóa luận khẳng định an toàn thông tin là việc duy trì trạng thái an toàn ở mức độ chấp nhận được, bảo đảm hoạt động của doanh nghiệp không bị gián đoạn nguy hiểm khi xảy ra sự cố.

Chương này đi sâu vào phân loại các mối đe dọa gồm phá hoại, sửa đổi trái phép và can thiệp bất hợp pháp; phân tích hai nhân tố quyết định là con người (nhà quản trị, nhân viên vận hành, người dùng nội bộ và tin tặc) và công nghệ (phần cứng, phần mềm, giải pháp mạng). Đồng thời, tác giả khái quát các biện pháp phòng ngừa căn bản như đặt mật khẩu mạnh, mã hóa đường truyền, cập nhật phần mềm, cài đặt ứng dụng chống virus, kiểm soát đặc quyền truy cập và tắt các kết nối không dây tầm ngắn (Bluetooth, NFC) khi không sử dụng. Phần cuối chương trình bày diễn biến Chỉ số an toàn thông tin Việt Nam giai đoạn 2013–2017: tăng từ 37,3% (năm 2013) lên 59,9% (năm 2016) và giảm nhẹ 5,7% vào năm 2017.

Chương 2: Kết quả phân tích, đánh giá thực trạng ATBM trong HTTT tại Công ty TNHH AI Việt Nam

Chương 2 mô tả chi tiết hồ sơ doanh nghiệp: Công ty thành lập ngày 24/10/2003 (tiền thân là Công ty TNHH Trí Tuệ Nhân Tạo), mã số thuế 0101511882, cơ cấu tổ chức gồm Ban Giám đốc và các khối chuyên trách (Khối sản xuất phần mềm, Khối đào tạo và sản xuất nội dung, Khối dự án, Ban kinh doanh - truyền thông, Ban tài chính kế toán, Ban nhân sự và Văn phòng). Kết quả tài chính giai đoạn 2014–2016 phản ánh sự biến động: doanh thu năm 2014 đạt 57.852 triệu đồng; năm 2015 sụt giảm 8.519 triệu đồng (-14,93%) do cạnh tranh thị trường, song lợi nhuận sau thuế vẫn đạt 2.711 triệu đồng (+1,92%); năm 2016 doanh thu phục hồi lên 58.928 triệu đồng (+3,24% so với 2014) và lợi nhuận sau thuế đạt 2.902 triệu đồng (+9,10% so với 2014).

Khóa luận đánh giá chi tiết thực trạng hệ thống thông tin của công ty trên các khía cạnh:

  • Ngân sách: Hằng năm chi khoảng 135 triệu đồng cho bảo dưỡng, sửa chữa và khoảng 100 triệu đồng cho nâng cấp, thay mới hạ tầng công nghệ.
  • Con người: Nhân viên có chuyên môn nghiệp vụ và chứng chỉ liên quan (như chứng chỉ kiểm thử ISTQB, chứng chỉ công nghệ thông tin), nhưng công ty chưa thành lập bộ phận chuyên trách về an toàn bảo mật, toàn bộ công tác này do đội ngũ kỹ thuật kiêm nhiệm dẫn đến ý thức an ninh chưa đồng đều.
  • Phần cứng: Mỗi phòng ban trang bị trung bình 12 máy tính để bàn (dòng Acer Veriton X480 dùng vi xử lý Intel Dual Core E8400 3.0GHz, RAM 4GB, HDD 160GB SATA, ghi nhận nhu cầu cần bổ sung/thay thế 4 máy/phòng), 8 máy tính xách tay, 2 máy in, 2 máy chiếu và 2 máy quét. Hệ thống máy chủ gồm 2 máy Dell PowerEdge chạy hệ điều hành Linux và Microsoft Windows Server 2008 R2 (vi xử lý Intel Xeon 3400 series) đảm nhận vai trò máy chủ tệp tin, máy in và hosting nội bộ. Tình trạng thiết bị đã cũ, tỏa nhiệt cao, thường xuyên phát sinh lỗi treo máy.
  • Mạng: Sử dụng mạng cục bộ (LAN) có dây và không dây theo mô hình Server - Client kết hợp cấu trúc bus vật lý, dùng các bộ chuyển mạch của TP-Link. Hệ thống máy chủ gồm 1 Active Directory (AD) chính, 1 AD dự phòng chạy song song và 1 File Server nối switch chính. Băng thông có hiện tượng tắc nghẽn; việc truy cập từ mạng nội bộ ra Internet chưa có cơ chế kiểm soát chặt chẽ, từng dẫn đến sự cố lộ thông tin tài khoản nội bộ vào năm 2016.
  • Phần mềm: Sử dụng các hệ điều hành Windows (từ phiên bản 2007 trở lên), Linux, Mac OS X. Phần mềm ứng dụng văn phòng là Microsoft Office; phần mềm kế toán MISA 2012 của MISA.JSC; các phần mềm chuyên môn nội bộ do công ty tự phát triển gồm AI-HRM (quản trị nhân sự), AI-CCOS (quản lý quan hệ khách hàng), AI-MIS DB (quản lý hệ thống thông tin và cơ sở dữ liệu); sử dụng phần mềm SecurityPlus For Mdaemon để lọc thư rác và virus cho email. Hạn chế lớn là các phần mềm nghiệp vụ hoạt động riêng rẽ, chưa tích hợp tập trung dữ liệu; nhân viên còn tải các phần mềm bẻ khóa trôi nổi trên mạng.
  • Cơ sở dữ liệu và Quy trình: Dữ liệu được mã hóa ở mức ứng dụng và lưu trữ phân tán giữa văn bản giấy tờ, máy tính nội bộ và điện toán đám mây. Công ty đã xây dựng quy chế phân quyền truy cập, ghi nhật ký (logging), hệ thống màn hình giám sát (monitor) cảnh báo thời gian thực, quy trình ứng cứu sự cố và kiểm soát cửa ra vào bằng sinh trắc học vân tay cùng thẻ từ. Tuy nhiên, việc thực thi các quy chế còn mang tính hình thức.

Dữ liệu xử lý từ phiếu điều tra (quy mô xử lý 10 phiếu hợp lệ đại diện) phản ánh các số liệu thực trạng:

Tiêu chí khảo sát Phân loại chi tiết Trị số Tỷ lệ (%)
Mức độ quan tâm của lãnh đạo Rất quan tâm 2 20%
Quan tâm 6 60%
Bình thường 2 20%
Mức độ quan trọng của các thành phần Con người 3 30%
Phần cứng 2 20%
Phần mềm 2 20%
Cơ sở dữ liệu 2 20%
Mạng 1 10%
Mức độ đáp ứng của hạ tầng CNTT Rất tốt 1 10%
Tốt 4 40%
Khá 4 40%
Trung bình 1 10%
Kém 0 0%
Đánh giá mức độ an toàn bảo mật Rất tốt 2 20%
Tốt 4 40%
Trung bình 3 30%
Yếu 1 10%
Phương thức lưu trữ dữ liệu khách hàng Hệ quản trị cơ sở dữ liệu 4 40%
Thư điện tử (Email) 3 30%
Tài liệu đặc tả hệ thống 2 20%
Server máy chủ 1 10%
Hình thức sao lưu dữ liệu Sử dụng ổ cứng ngoài 5 50%
Sao lưu lên đám mây 3 30%
Tần suất sao lưu dữ liệu 1 tháng / 1 lần 3 30%
4 tháng / 1 lần 4 40%
6 tháng / 1 lần 2 20%
Lâu hơn 1 10%

Chương 3: Định hướng phát triển và đề xuất một số giải pháp đảm bảo ATBM cho HTTT của Công ty TNHH AI Việt Nam

Chương 3 xây dựng các định hướng thích ứng với cuộc Cách mạng công nghiệp lần thứ tư và hệ sinh thái IoT, đặt mục tiêu nâng cao tính bảo mật dữ liệu khách hàng, nâng cấp năng lực xử lý phần cứng và chuẩn hóa nhận thức nhân sự. Tác giả đề xuất hệ thống giải pháp chi tiết:

  1. Giải pháp phần cứng và thiết bị ngoại vi:
  • Ngăn chặn nguy cơ sao chép dữ liệu trái phép qua cổng USB, thẻ nhớ, ổ đĩa quang bằng biện pháp tháo bỏ cổng vật lý không dùng đến, hoặc thiết lập chính sách nhóm (Group Policy) trên hệ điều hành để vô hiệu hóa cổng kết nối di động, thiết lập danh sách thiết bị cấm/cho phép, từ chối quyền đọc/ghi vào thiết bị lưu trữ gắn ngoài.
  • Triển khai thiết bị định tuyến tường lửa chuyên dụng Cisco RV016 Multi-WAN VPN Router nhằm kiểm tra trạng thái gói tin, lọc địa chỉ URL, lọc nội dung web độc hại và kiểm soát việc nhân viên truy cập mạng ngoài giờ làm việc.
  • Nâng cấp hệ thống máy chủ (đã vận hành từ năm 2003); ban hành quy trình sao lưu toàn diện trước khi nâng cấp; thực hiện kiểm tra kỹ lưỡng các file bản ghi (log files), báo cáo lỗi sau khi hoàn tất thay đổi.
  1. Hoàn thiện quy trình sao lưu và phân quyền:
  • Rút ngắn chu kỳ sao lưu dữ liệu nghiệp vụ từ 1 tháng/lần xuống còn 1 tuần/lần; sử dụng công cụ sao lưu tích hợp sẵn trong hệ điều hành Windows (ntbackup.exe) hoặc chế độ Wizard Mode để tự động hóa lịch biểu sao lưu và phục hồi dữ liệu.
  • Phân định hệ thống phân quyền truy cập thành 3 cấp độ: quyền phân hệ (chỉ đọc, thêm mới, sửa, xóa), quyền nâng cao (trộn dữ liệu trùng lặp, xem dữ liệu sở hữu) và quyền cấu hình hệ thống; áp dụng nguyên tắc kế thừa quyền theo phòng ban kết hợp tùy chỉnh độc lập cho từng vị trí người dùng.
  1. Triển khai các giao thức bảo mật đường truyền:
  • Mạng không dây: Nâng cấp chuẩn mã hóa WEP sử dụng độ dài khóa từ 64-bit trở lên (dựa trên thuật toán mã hóa dòng RC4), kết hợp các giải pháp kiểm soát phụ trợ nhằm hạn chế nguy cơ phân tích véc-tơ khởi tạo (Initialization Vector - IV).
  • Mạng truyền thông nội bộ và diện rộng: Triển khai bộ giao thức IPsec theo quy trình 2 giai đoạn (giai đoạn 1 giữa 2 máy chủ, giai đoạn 2 giữa máy chủ và các máy trạm). Sử dụng đồng thời tiêu đề xác thực Authentication Header (AH) để chứng thực/ký số và Encapsulating Security Payload (ESP) để mã hóa dữ liệu, địa chỉ nguồn/đích nhằm ngăn ngừa kiểu tấn công phát lại (Replay attack).
  • Ứng dụng web và truyền thông máy khách - máy chủ: Triển khai giao thức SSL/TLS với 2 giao thức thành phần là SSL Record protocol (định dạng dữ liệu truyền) và SSL Handshake protocol (bắt tay thiết lập thuật toán mã hóa). Cơ chế này sử dụng chứng chỉ số do các cơ quan chứng thực CA (Certificate Authority) cấp phát để xác thực hai chiều Server - Client, mã hóa dữ liệu truyền tải và dùng thuật toán băm kiểm tra tính toàn vẹn thông điệp.
  1. Giải pháp phần mềm và cơ sở dữ liệu:
  • Triển khai cơ chế mã hóa tệp hệ thống EFS (Encrypting File System) dựa trên chứng chỉ số của Windows Certification Authority nhằm bảo vệ tệp tin lưu trữ trên ổ đĩa cục bộ, ngăn chặn truy cập trái phép ngay cả khi máy tính bị can thiệp bởi tài khoản quản trị viên.
  • Ứng dụng hạ tầng khóa công khai PKI (Public Key Infrastructure) trong việc quản lý các cặp khóa công khai (Public Key), khóa bí mật (Private Key) và chữ ký số.
  1. Giải pháp nhân lực và tổ chức:
  • Thành lập bộ phận chuyên trách về an toàn bảo mật hệ thống thông tin thay vì để đội ngũ kỹ thuật kiêm nhiệm.
  • Định kỳ tổ chức các lớp đào tạo, tập huấn về nhận thức rủi ro thông tin, kỹ năng nhận diện phần mềm độc hại và đạo đức nghề nghiệp cho toàn thể nhân viên công ty.

Kết quả và đóng góp

Khóa luận đã khảo sát và thu thập được các số liệu thực tế về cơ sở hạ tầng CNTT và hiện trạng bảo mật tại Công ty TNHH AI Việt Nam:

  • Thống kê chi tiết tài sản thiết bị phần cứng tại mỗi phòng ban (12 máy bàn, 8 laptop, 2 máy in, 2 máy chiếu, 2 máy scan) và cụm 2 máy chủ Dell PowerEdge (CPU Xeon 3400 series).
  • Đo lường thực tế định lượng: 60% lãnh đạo ở mức độ quan tâm thông thường; yếu tố con người được đánh giá quan trọng nhất (30%); vẫn còn 40% nhân viên đánh giá mức độ an toàn thông tin chỉ đạt mức trung bình hoặc yếu; 30% giao dịch dữ liệu khách hàng phụ thuộc vào email; 40% dữ liệu được sao lưu với tần suất quá thưa (4 tháng/lần).
  • Chỉ ra các sự cố bảo mật cụ thể trong quá khứ của công ty, điển hình là sự cố lộ tài khoản mạng nội bộ vào năm 2016 do không kiểm soát luồng truy cập Internet.

Về mặt đóng góp giải pháp:

  • Tác giả đưa ra danh mục giải pháp công nghệ có tính khả thi kỹ thuật cao, tận dụng cả các công cụ phần cứng chuyên dụng (Cisco RV016) lẫn các tiện ích sẵn có trên hệ điều hành Windows (ntbackup.exe, Group Policy, EFS) nhằm tối ưu chi phí đầu tư.
  • Xác lập quy trình cấu hình chi tiết cho các giao thức bảo mật cốt lõi gồm WEP 64-bit trở lên, bộ giao thức IPsec (kết hợp AH và ESP), SSL/TLS (Handshake và Record protocol), và hạ tầng PKI.
  • Cung cấp mô hình phân cấp quyền truy cập 3 tầng (phân hệ, nâng cao, cấu hình) gắn liền với cơ cấu tổ chức phòng ban thực tế của công ty.

Về mặt học thuật và thực tiễn, đề tài cung cấp một nghiên cứu tình huống (case study) điển hình về hiện trạng an toàn thông tin tại một doanh nghiệp gia công phần mềm quy mô vừa ở Việt Nam, chứng minh rằng lỗ hổng bảo mật không chỉ xuất phát từ công nghệ mà bắt nguồn lớn từ việc thiếu nhân sự chuyên trách và sự lỏng lẻo trong quy trình quản trị.

Hạn chế và hướng nghiên cứu tiếp

Khóa luận tồn tại một số hạn chế do tác giả tự xác định:

  • Phạm vi nghiên cứu mang tính vi mô tại một doanh nghiệp duy nhất (Công ty TNHH AI Việt Nam), thời gian nghiên cứu thực tập hạn hẹp và trình độ của tác giả còn những giới hạn nhất định.
  • Quy mô mẫu khảo sát còn nhỏ (phát 20 phiếu, tổng hợp xử lý trên tập mẫu 10 phản hồi hợp lệ), chủ yếu phản ánh góc nhìn nội bộ của nhóm nhân viên được khảo sát.
  • Các giải pháp đề xuất mới dừng lại ở việc thiết kế khung nguyên lý, định hướng công nghệ và đề xuất giải pháp kỹ thuật, chưa có điều kiện thử nghiệm thực tế hoặc đo lường hiệu năng sau khi triển khai trên hạ tầng mạng của công ty.

Hướng nghiên cứu tiếp theo được gợi mở từ phạm vi đề tài bao gồm:

  • Mở rộng quy mô khảo sát trên nhiều doanh nghiệp CNTT cùng phân khúc để tăng tính khái quát của mô hình dữ liệu.
  • Tiến hành cài đặt thử nghiệm các giải pháp kỹ thuật (cấu hình mạng riêng ảo VPN qua Cisco RV016, thiết lập chính sách EFS và IPsec) trên môi trường thao trường mạng giả lập để đánh giá độ trễ và tính tương thích hệ thống.
  • Xây dựng hệ thống quản lý an toàn thông tin (ISMS) hoàn chỉnh theo tiêu chuẩn quốc tế ISO/IEC 27001 cho toàn bộ chu trình phát triển phần mềm của doanh nghiệp.

Giá trị tham khảo

Tài liệu khóa luận có giá trị tham khảo hữu ích cho:

  • Sinh viên chuyên ngành Hệ thống thông tin kinh tế, Thương mại điện tử, Mạng máy tính và An toàn thông tin: Khóa luận là tài liệu tham khảo thực tế về cách thức xây dựng đề cương nghiên cứu hiện trạng an toàn thông tin tại một doanh nghiệp, phương pháp ứng dụng phần mềm SPSS để xử lý số liệu điều tra bảng hỏi.
  • Người làm đề tài khóa luận, luận văn tương tự: Cung cấp phương pháp luận phân tách đối tượng nghiên cứu bảo mật hệ thống thông tin thành 5 thành phần rõ ràng (phần cứng, phần mềm, mạng, cơ sở dữ liệu, con người).
  • Bộ phận quản trị CNTT tại các doanh nghiệp vừa và nhỏ: Phần phân tích cấu hình kỹ thuật của Chương 3 (thiết lập chính sách nhóm Group Policy khóa USB, phân quyền truy cập 3 cấp độ, cấu hình giao thức IPsec, SSL/TLS, EFS) là nguồn tham khảo mang tính hướng dẫn thực hành trực tiếp.

Câu hỏi thường gặp

1. Tình hình kinh doanh và doanh thu của Công ty TNHH AI Việt Nam giai đoạn 2014–2016 biến động như thế nào?
Năm 2014, doanh thu công ty đạt 57.852 triệu đồng. Năm 2015, doanh thu giảm mạnh 8.519 triệu đồng (giảm 14,93% so với 2014) do biến động giá cả và áp lực cạnh tranh từ các công ty số mới, nhưng lợi nhuận sau thuế vẫn tăng nhẹ 1,92% (đạt 2.711 triệu đồng). Đến năm 2016, công ty phục hồi với doanh thu đạt 58.928 triệu đồng (tăng 3,24% so với 2014 và tăng 21,34% so với 2015), lợi nhuận sau thuế đạt 2.902 triệu đồng (tăng 9,10% so với 2014).

2. Hạ tầng phần cứng và mạng máy tính của Công ty TNHH AI Việt Nam có những đặc điểm kỹ thuật gì nổi bật?
Mỗi phòng ban có trung bình 12 máy tính để bàn Acer Veriton X480 (chip Intel Dual Core E8400 3.0GHz, RAM 4GB, HDD 160GB) và 8 laptop. Hệ thống sử dụng 2 máy chủ Dell PowerEdge trang bị chip Intel Xeon 3400 series chạy Linux và Windows Server 2008 R2. Mạng LAN được thiết kế theo mô hình Server - Client kết hợp cấu trúc bus vật lý dùng switch TP-Link, gồm 1 máy chủ AD chính, 1 máy chủ AD phụ chạy song song và 1 File Server. Thiết bị phần cứng đã cũ và thường xuyên xảy ra tình trạng quá tải, treo máy.

3. Kết quả khảo sát thực tế về hiện trạng an toàn bảo mật thông tin tại công ty cho thấy những con số nào?
Theo kết quả xử lý phiếu điều tra bằng SPSS: 60% lãnh đạo quan tâm ở mức bình thường; yếu tố con người được xem là quan trọng nhất (30%); chỉ có 10% đánh giá cơ sở hạ tầng CNTT đáp ứng rất tốt; 30% đánh giá mức độ an toàn bảo mật ở mức trung bình và 10% ở mức yếu; phương thức trao đổi, lưu trữ dữ liệu khách hàng qua email chiếm tỷ lệ cao tới 30%; 50% sao lưu bằng ổ cứng ngoài và có đến 40% thực hiện sao lưu với tần suất 4 tháng một lần.

4. Khóa luận đề xuất những giải pháp kỹ thuật nào nhằm kiểm soát thiết bị lưu trữ ngoài và bảo mật đường truyền mạng?
Để chống rò rỉ dữ liệu qua thiết bị lưu trữ di động, tác giả đề xuất tháo bỏ cổng kết nối vật lý hoặc áp dụng Group Policy để cấm/cho phép cổng USB và từ chối quyền đọc/ghi. Về bảo mật đường truyền, tác giả đề xuất trang bị router tường lửa Cisco RV016, nâng cấp mã hóa mạng không dây WEP lên độ dài khóa từ 64-bit trở lên, thiết lập giao thức IPsec (kết hợp tiêu đề AH và tải đóng gói bảo mật ESP để chống tấn công Replay), và tích hợp giao thức SSL/TLS với 2 giao thức con SSL Record và SSL Handshake.

5. Hiện trạng quản lý cơ sở dữ liệu và sao lưu dự phòng tại công ty gặp bất cập gì và tác giả đề xuất hướng xử lý ra sao?
Dữ liệu của công ty đang bị phân tán giữa các phần mềm riêng lẻ (AI-MIS DB, AI-HRM, AI-CCOS, MISA 2012) và việc lưu trữ qua email vẫn chiếm 30%. Tần suất sao lưu dữ liệu nghiệp vụ còn thưa (1 tháng hoặc 4 tháng một lần). Tác giả kiến nghị rút ngắn chu kỳ sao lưu dữ liệu nghiệp vụ xuống 1 tuần/lần, tự động hóa tiến trình bằng tiện ích ntbackup.exe hoặc Wizard Mode của hệ điều hành Windows, đồng thời triển khai mã hóa tệp EFS và hạ tầng mã hóa khóa công khai PKI.

Kết luận

Khóa luận tốt nghiệp của tác giả đã phản ánh trung thực bức tranh hiện trạng an toàn bảo mật hệ thống thông tin tại Công ty TNHH AI Việt Nam giai đoạn 2014–2017 thông qua các dữ liệu tài chính và điều tra định lượng thực tế. Nghiên cứu chỉ ra những điểm nghẽn nghiêm trọng về hạ tầng phần cứng đã xuống cấp, việc thiếu vắng bộ phận chuyên trách an ninh mạng và sự lỏng lẻo trong quy trình sao lưu dữ liệu. Các giải pháp kỹ thuật được đề xuất đồng bộ từ phần cứng (Cisco RV016, Group Policy), giao thức bảo mật (WEP, IPsec, SSL/TLS) đến mã hóa cơ sở dữ liệu (EFS, PKI) có giá trị ứng dụng thực tiễn cao, đáp ứng đúng mục tiêu nâng cao tính an toàn và bảo mật cho hệ thống thông tin doanh nghiệp.