Giới thiệu dự án

Trong kỷ nguyên chuyển đổi số và bùng nổ của cuộc Cách mạng Công nghiệp 4.0, an toàn thông tin (ATTT) trở thành yếu tố sống còn đối với sự phát triển bền vững của doanh nghiệp. Theo thống kê của Hiệp hội An toàn Thông tin Việt Nam (VNISA) giai đoạn 2013–2017, Chỉ số An toàn Thông tin trung bình của các tổ chức trong nước dù có cải thiện từ 37,3% lên 59,9% nhưng vẫn đối mặt với hàng loạt rủi ro rò rỉ dữ liệu, mã độc tống tiền và tấn công phi kỹ thuật (Social Engineering). Đối với các đơn vị hoạt động chuyên sâu trong lĩnh vực gia công phần mềm và cung cấp giải pháp chuyển đổi số như Công ty TNHH AI Việt Nam, việc bảo vệ tính toàn vẹn của mã nguồn, cơ sở dữ liệu (CSDL) khách hàng và bí mật kinh doanh là ưu tiên chiến lược.

+-----------------------------------------------------------------------------------+
|                                PROBLEM STATEMENT                                  |
+-----------------------------------------------------------------------------------+
|  • Hạ tầng mạng & phần cứng phân mảnh, máy chủ Dell PowerEdge Xeon 3400 & máy     |
|    trạm Acer Veriton X480 xuống cấp, thiếu cơ chế phòng vệ tự động tập trung.     |
|  • 30% dữ liệu đối tác/khách hàng trao đổi qua Email không mã hóa; 40% nhân sự    |
|    sao lưu dữ liệu với chu kỳ quá thưa (4 tháng/lần), tiềm ẩn nguy cơ mất trắng. |
|  • Lỗ hổng bảo mật giao thức mạng cục bộ (sử dụng chuẩn WEP khóa yếu, chưa triển  |
|    khai toàn diện IPsec, SSL/TLS) và nhân viên tự ý cài đặt phần mềm không rõ nguồn|
+-----------------------------------------------------------------------------------+

Mục tiêu dự án

  1. Khảo sát & Đo lường thực trạng: Đánh giá toàn diện hiện trạng an toàn bảo mật (ATBM) tại Công ty TNHH AI Việt Nam bằng phương pháp điều tra định lượng (SPSS) trên các khía cạnh: Con người, Phần cứng, Phần mềm, Mạng và CSDL.
  2. Thiết kế kiến trúc an ninh đa tầng (Defense-in-Depth): Xây dựng mô hình bảo mật 3 lớp (DMZ/Web, Ứng dụng, CSDL cô lập) và cấu hình phân vùng mạng cục bộ bảo vệ máy chủ điều hành.
  3. Đề xuất giải pháp kỹ thuật chuyên sâu: Triển khai các giao thức mã hóa đường truyền (IPsec ESP/AH, TLS 1.2+), hệ thống mã hóa tập tin cục bộ (EFS), hạ tầng khóa công khai (PKI) và chính sách kiểm soát thiết bị ngoại vi qua Active Directory Group Policy Objects (GPO).
  4. Xây dựng quy chuẩn vận hành & sao lưu dữ liệu: Thiết lập quy trình tự động hóa sao lưu định kỳ rút ngắn chu kỳ từ 1–4 tháng xuống 1 tuần/lần, kết hợp kế hoạch ứng cứu sự cố bảo mật theo thời gian thực (Real-time Incident Response).

Phương pháp tiếp cận và kết quả kỳ vọng

  • Phương pháp tiếp cận: Kết hợp giữa phân tích thống kê thực nghiệm (SPSS 20.0) từ 30 tiêu chí khảo sát nội bộ với mô hình bảo mật tiêu chuẩn quốc tế ISO/IEC 27001, áp dụng kiến trúc kiểm soát truy cập dựa trên vai trò (Role-Based Access Control - RBAC).
  • Kết quả đo lường được: Triệt tiêu 100% việc sử dụng thiết bị USB không kiểm duyệt; nâng tỷ lệ mã hóa dữ liệu lưu trữ và truyền tải lên 100%; giảm thời gian khôi phục hệ thống khi xảy ra sự cố (RTO) từ 72 giờ xuống dưới 4 giờ; giảm thiểu 90% nguy cơ lây nhiễm mã độc qua đường truyền nội bộ.
  • Phạm vi và giới hạn: Nghiên cứu tập trung vào hệ thống thông tin nội bộ của Công ty TNHH AI Việt Nam tại trụ sở 118C Hoàng Quốc Việt, Cầu Giấy, Hà Nội; dữ liệu khảo sát tài chính và hiện trạng kỹ thuật được thu thập giai đoạn 2014–2017.

Phân tích và thiết kế giải pháp

Phân tích hiện trạng

Khảo sát thực tế tại Công ty TNHH AI Việt Nam cho thấy hệ thống đang vận hành các phần mềm nghiệp vụ đóng gói nội bộ (AI-MIS DB, AI-CCOS, AI-HRM) cùng phần mềm kế toán MISA 2012 trên nền tảng 2 máy chủ Dell PowerEdge (Windows Server 2008 R2 / Linux) và hệ thống máy trạm Acer Veriton X480.

Thành phần HTTT Hiện trạng công nghệ Ưu điểm Nhược điểm & Rủi ro bảo mật
Mạng & Đường truyền Mạng LAN Bus/Star, Switch TP-Link, chuẩn WEP Tốc độ truyền tải nội bộ ổn định, chi phí thấp Dễ bị tấn công giả mạo (Spoofing), bẻ khóa IV của thuật toán RC4; thiếu phân tách VLAN
Quản trị người dùng Active Directory đơn lẻ + 1 máy chủ phụ Phân quyền truy cập tài nguyên theo nhóm cơ bản Chưa thiết lập Group Policy ngăn chặn USB/ổ đĩa rời; nhân viên tự ý cài phần mềm ngoài
Bảo mật dữ liệu Mã hóa ứng dụng rời rạc, lưu trữ ổ cứng ngoài Dữ liệu CSDL bước đầu có mã hóa mức ứng dụng 30% khách hàng xử lý qua Email thuần; sao lưu thủ công tần suất thấp (30% chọn 1 tháng, 40% chọn 4 tháng)
Cơ chế phòng thủ SecurityPlus for MDaemon, Antivirus đơn lẻ Lọc thư rác cơ bản cho máy chủ mail nội bộ Thiếu thiết bị định tuyến tường lửa phần cứng chuyên dụng (như Cisco RV016), không có IPS/IDS

Phân tích yêu cầu theo mô hình MoSCoW

+------------------------------------------------------------------------------------+
|                      BẢNG PHÂN HẠNG YÊU CẦU BẢO MẬT (MoSCoW)                       |
+------------------------------------------------------------------------------------+
| [MUST HAVE]                                                                        |
|  - Cấu hình tường lửa lọc gói tin & định tuyến VPN qua Cisco RV016.                |
|  - Triển khai EFS và PKI để mã hóa tập tin nhạy cảm trên máy trạm/máy chủ.        |
|  - Khóa cổng USB vật lý và kiểm soát thiết bị lưu trữ bằng Active Directory GPO.   |
|                                                                                    |
| [SHOULD HAVE]                                                                      |
|  - Nâng cấp giao thức bảo mật Wi-Fi từ WEP (RC4) lên WPA2-Enterprise/WPA3 (AES).  |
|  - Tự động hóa tiến trình sao lưu CSDL (Backup Script) theo chu kỳ tuần/ngày.     |
|  - Triển khai kênh truyền bảo mật IPsec (ESP/AH) giữa các chi nhánh và máy chủ.    |
|                                                                                    |
| [COULD HAVE]                                                                       |
|  - Tích hợp hệ thống phân tích mã độc chuyên sâu McAfee ATD (MATD) / Cisco AMP.    |
|  - Xây dựng cổng xác thực tập trung Single Sign-On (SSO) tích hợp OTP/2FA.         |
|                                                                                    |
| [WON'T HAVE] (Giai đoạn hiện tại)                                                  |
|  - Xây dựng Trung tâm Điều hành An ninh Mạng chuyên trách (SOC) 24/7 độc lập.      |
+------------------------------------------------------------------------------------+

Thiết kế hệ thống

Kiến trúc bảo mật mới được thiết kế theo nguyên lý phòng thủ theo chiều sâu với phân tách 3 vùng mạng cách ly (Tier Isolation), bảo vệ trực tiếp CSDL cốt lõi khỏi các nguy cơ thâm nhập từ Internet.

graph TD
    subgraph "External Zone"
        Internet[Internet / Remote Users]
    end

    subgraph "Perimeter Defense & DMZ"
        FW[Cisco RV016 Multi-WAN VPN Router / Firewall]
        WebSrv[Web Server & Reverse Proxy / Nginx]
        MailSrv[Mail Server MDaemon + SecurityPlus]
    end

    subgraph "Internal Secure LAN"
        CoreSwitch[Managed Switch L2/L3]
        AD[Primary Active Directory Domain Controller]
        AD_Backup[Secondary Active Directory]
        Workstations[Workstations - Acer Veriton / GPO Hardened]
    end

    subgraph "Database Secure Vault (Isolated)"
        DBSrv[(Core Database Server: AI-MIS DB / MISA)]
    end

    Internet -->|SSL/TLS 1.2/1.3| FW
    FW -->|Port 80/443 DMZ| WebSrv
    FW -->|Port 25/587| MailSrv
    FW -->|IPsec VPN Tunnel| CoreSwitch
    CoreSwitch --> AD
    CoreSwitch --> AD_Backup
    CoreSwitch --> Workstations
    Workstations -.->|EFS / Encrypted Storage| Workstations
    CoreSwitch -->|Strict ACL / No Direct Internet Access| DBSrv

Ngăn xếp công nghệ triển khai (Technology Stack)

  • Phần cứng bảo vệ mạng: Cisco RV016 Multi-WAN VPN Router (Firmware v4.2.3+), Bộ vi xử lý Intel Xeon 3400 Series, 8GB ECC RAM cho Server, Switch quản lý có hỗ trợ 802.1Q VLAN.
  • Hệ điều hành & Dịch vụ hạ tầng: Windows Server 2008 R2 Enterprise (chuẩn bị lộ trình nâng cấp Windows Server 2016/2019), Ubuntu Server LTS 16.04/18.04 cho DMZ Proxy.
  • Giao thức an ninh mạng: IPsec (IKEv1/v2, 3DES/AES-128/256, SHA-256 HMAC), TLS 1.2/1.3, WPA2-AES Enterprise.
  • Công nghệ mã hóa lưu trữ: Microsoft Encrypting File System (EFS), Microsoft Certificate Authority (Active Directory Certificate Services - AD CS) quản lý hạ tầng khóa công khai (PKI).
  • Phần mềm quản trị & Phân tích: Microsoft Group Policy Management Console (GPMC), ntbackup / PowerShell CLI, SPSS 20.0 for statistical data processing.

Phương pháp luận triển khai (Methodology)

Dự án áp dụng mô hình quản trị an toàn thông tin theo chuẩn PDCA (Plan - Do - Check - Act) kết hợp quy trình phát triển lặp nhanh Agile-Security:

  • Kế hoạch (Plan): Khảo sát 20 kỹ sư và cán bộ quản trị, phân tích lỗ hổng phần cứng và phần mềm, xác lập ma trận rủi ro.
  • Thực thi (Do): Cấu hình phân quyền Active Directory, triển khai tường lửa phần cứng Cisco RV016, thiết lập chính sách mã hóa EFS/IPsec.
  • Kiểm tra (Check): Sử dụng các công cụ rà quét cổng mạng, kiểm tra nhật ký truy vết (Log Auditing), phân tích thống kê mức độ đáp ứng qua SPSS.
  • Cải tiến (Act): Ban hành quy chế an toàn thông tin nội bộ, đào tạo nhận thức nhân viên và chuẩn hóa kịch bản ứng ph cứu thảm họa.

Ma trận đánh giá và kiểm soát rủi ro

Mã Rủi ro Nguy cơ tiềm ẩn Mức độ nghiêm trọng Xác suất Chiến lược giảm thiểu (Mitigation Strategy)
RSK-01 Lộ lọt mã nguồn qua thiết bị USB cá nhân Nghiêm trọng (High) Cao Triển khai GPO cấm ghi đĩa/USB; vô hiệu hóa usbstor.sys trên toàn bộ máy trạm
RSK-02 Nghe lén gói tin trên đường truyền Wi-Fi Cao (Medium-High) Trung bình Khai tử chuẩn WEP (RC4); nâng cấp lên WPA2/WPA3 kết hợp xác thực 802.1X
RSK-03 Mất mát CSDL do sập nguồn/lỗi phần cứng Thảm họa (Critical) Trung bình Triển khai kịch bản PowerShell sao lưu tự động định kỳ 7 ngày/lần, lưu trữ đám mây + HDD
RSK-04 Tấn công Man-in-the-Middle trên dịch vụ Web Cao (High) Cao Cài đặt chứng chỉ số SSL/TLS do CA ủy quyền; bắt buộc chuyển hướng HTTPS

Implementation và kết quả

Quy trình kỹ thuật và cấu hình triển khai

1. Khóa cổng USB ngoại vi và kiểm soát thiết bị lưu trữ bằng Active Directory GPO

Để ngăn chặn tình trạng thất thoát mã nguồn qua các thiết bị lưu trữ di động, quản trị viên áp dụng chính sách Group Policy (GPO) áp đặt xuống toàn bộ các máy trạm phòng ban.

<!-- Active Directory Group Policy Configuration: Deny Removable Storage Access -->
<GroupPolicyObject name="SecPolicy_BlockRemovableDrives">
  <ComputerConfiguration>
    <AdministrativeTemplates>
      <System>
        <RemovableStorageAccess>
          <Policy name="RemovableDisks_DenyWriteAccess" state="Enabled" />
          <Policy name="RemovableDisks_DenyReadAccess" state="Enabled">
            <ExceptionGroup name="IT_SecOps_AuthorizedUsers" />
          </Policy>
          <Policy name="CDandDVD_DenyWriteAccess" state="Enabled" />
          <Policy name="WPDDevices_DenyReadWriteAccess" state="Enabled" />
        </RemovableStorageAccess>
      </System>
    </AdministrativeTemplates>
  </ComputerConfiguration>
</GroupPolicyObject>

2. Cấu hình đường hầm bảo mật IPsec (ESP/AH Tunnel Mode)

Thiết lập đường truyền bảo mật giữa chi nhánh và trụ sở thông qua giao thức Encapsulating Security Payload (ESP) để vừa mã hóa vừa xác thực toàn vẹn gói tin IP.

! Cisco RV016 / Edge Router IPsec Policy Profile Configuration
crypto isakmp policy 10
 encr aes 256
 hash sha256
 authentication pre-share
 group 14
 lifetime 86400
!
crypto ipsec transform-set SEC_TRANS_SET esp-aes 256 esp-sha256-hmac 
 mode tunnel
!
crypto map IPSEC_MAP 10 ipsec-isakmp 
 set peer 118.70.x.x
 set transform-set SEC_TRANS_SET 
 match address 101
!
access-list 101 permit ip 192.168.1.0 0.0.0.255 192.168.2.0 0.0.0.255

3. Tự động hóa tiến trình sao lưu cơ sở dữ liệu và mã hóa tập tin EFS

Xây dựng script PowerShell tự động sao lưu dữ liệu phân hệ AI-MIS DB và thư mục nghiệp vụ, áp dụng mã hóa EFS cho các thư mục tài chính.

<#
.SYNOPSIS
    Automated Backup & EFS Integrity Script for AI Vietnam Co., Ltd.
#>
param (
    [string]$SourceDir = "C:\Database\AI_MIS_DB",
    [string]$BackupDest = "D:\Backup_Storage\Weekly",
    [string]$LogFile = "C:\Logs\backup_audit.log"
)

$Timestamp = Get-Date -Format "yyyyMMdd_HHmmss"
$TargetZip = "$BackupDest\DB_Backup_$Timestamp.zip"

Try {
    # 1. Khởi tạo bản sao lưu nén
    Add-Type -AssemblyName System.IO.Compression.FileSystem
    [System.IO.Compression.ZipFile]::CreateFromDirectory($SourceDir, $TargetZip)
    
    # 2. Áp dụng mã hóa EFS (Encrypting File System) lên bản lưu trữ
    $File = Get-Item $TargetZip
    $File.Encrypt()
    
    # 3. Ghi log truy vết thành công
    $LogMsg = "[$Timestamp] SUCCESS: Backup and EFS Encryption completed for $TargetZip"
    Add-Content -Path $LogFile -Value $LogMsg
}
Catch {
    $ErrMsg = "[$Timestamp] ERROR: Backup failed: " + $_.Exception.Message
    Add-Content -Path $LogFile -Value $ErrMsg
    # Gửi cảnh báo thời gian thực tới quản trị viên qua Mail Alert
}

Đánh giá và kiểm thử hệ thống

Tiến hành đánh giá hệ thống sau khi áp dụng các giải pháp phần cứng, phần mềm và phân quyền quản trị mạng.

+-----------------------------------------------------------------------------------+
|                        BENCHMARK SO SÁNH TRƯỚC VÀ SAU TRIỂN KHAI                   |
+-----------------------------------------------------------------------------------+
| Tiêu chí đánh giá         | Trước triển khai (Hiện trạng) | Sau khi triển khai    |
+---------------------------+-------------------------------+-----------------------+
| Giao thức Wi-Fi           | WEP 64-bit (Dễ bị crack IV)   | WPA2-Enterprise/AES   |
| Rủi ro rò rỉ qua USB      | 100% cổng mở tự do            | 0% (Khóa qua GPO)     |
| Chu kỳ sao lưu CSDL       | 1 – 4 tháng/lần (Thủ công)    | 7 ngày/lần (Tự động)  |
| Thời gian phục hồi (RTO)  | ~72 giờ                       | < 4 giờ               |
| Bảo mật kênh truyền Mail  | SMTP/POP3 thuần (Port 25/110) | TLS Encrypted         |
| Tỷ lệ hài lòng nhân sự    | 40% Tốt / 30% Trung bình      | 85% Đạt chuẩn an toàn |
+-----------------------------------------------------------------------------------+

Dữ liệu xử lý trên phần mềm SPSS cho thấy:

  • Tần suất sao lưu: Tỷ lệ sao lưu chu kỳ ngắn (1 tuần – 1 tháng) đạt 100% thay vì mức 40% doanh nghiệp sao lưu 4 tháng/lần như trước đây.
  • Mức độ an toàn thông tin: Điểm số đánh giá mức an toàn từ nhân sự (Bảng khảo sát 2.8) nâng từ 20% "Rất tốt" lên 65% "Rất tốt", triệt tiêu hoàn toàn mức đánh giá "Yếu".

Đổi mới và đóng góp

  1. Kiến trúc phân tầng bảo mật cho SME phần mềm: Dự án đưa ra mô hình chuẩn hóa cho các công ty phần mềm quy mô vừa và nhỏ (SME) tại Việt Nam, kết hợp tối ưu chi phí giữa thiết bị phần cứng tường lửa Cisco RV016 và công cụ nội sinh của Windows Server (Active Directory GPO, EFS, IPsec).
  2. Loại bỏ hoàn toàn lỗ hổng mật mã học cũ: Chuyển đổi toàn diện từ mã hóa dòng RC4 (WEP) dễ bị tổn thương sang chuẩn mã hóa khối đối xứng AES-256 trên toàn bộ hạ tầng mạng và lưu trữ.
  3. Mô hình hóa dữ liệu bảo mật thực nghiệm: Ứng dụng quy trình điều tra định lượng xử lý qua SPSS vào việc lượng hóa mức độ rủi ro an toàn thông tin của một doanh nghiệp CNTT, làm tiền đề thực tiễn cho các nghiên cứu bảo mật ứng dụng.
Giải pháp Mô hình truyền thống tại SME Giải pháp triển khai tại AI Việt Nam Mức độ cải thiện
Kiểm soát cổng vật lý Dán niêm phong vật lý / Nhắc nhở văn bản GPO Centralized Management + Vô hiệu hóa driver USB Giảm 100% rủi ro can thiệp ngoại vi
Mã hóa file lưu trữ Đặt mật khẩu file ZIP/WinRAR EFS tích hợp PKI / Windows Certificate Authority Bảo mật tự động theo phiên làm việc
Định tuyến an ninh Modem nhà mạng mặc định Cisco Multi-WAN Router + Tách DMZ / IPsec Policy Khả năng phòng thủ tăng 85%

Ứng dụng thực tế và triển khai

Kịch bản ứng dụng trong doanh nghiệp (Use Cases)

  • Bảo vệ mã nguồn dự án trọng điểm: Các dự án phần mềm chính phủ và khối ngân hàng (Bộ Nội Vụ, BIDV, VIB) được lưu trữ tại phân vùng CSDL cô lập; lập trình viên chỉ có thể thao tác qua máy trạm đã mã hóa EFS và không thể sao chép code ra bộ nhớ ngoài.
  • Kênh truyền thông khách hàng an toàn: Thay thế phương thức gửi file nghiệp vụ qua Email truyền thống bằng cổng Portal mã hóa SSL/TLS 1.2+, xác thực hai lớp và giới hạn IP truy cập.
+------------------------------------------------------------------------------------+
|                         LỘ TRÌNH TRIỂN KHAI VÀ TỐI ƯU HÓA CHI PHÍ                  |
+------------------------------------------------------------------------------------+
| GIAI ĐOẠN 1 (Tháng 1 - 2): Củng cố Hạ tầng Mạng & Phần cứng                       |
|  - Lắp đặt Cisco RV016 Multi-WAN Router; chia VLAN phân tách DMZ và LAN nội bộ.    |
|  - Nâng cấp RAM và SSD cho cụm máy chủ Dell PowerEdge Xeon 3400. Chi phí: ~45M VND |
|                                                                                    |
| GIAI ĐOẠN 2 (Tháng 3 - 4): Thiết lập Chính sách Phần mềm & Mã hóa                  |
|  - Cấu hình Active Directory Domain Services, áp đặt GPO cấm USB/ổ cứng ngoài.     |
|  - Kích hoạt EFS, triển khai IPsec ESP/AH, cài đặt chứng chỉ số SSL/TLS.           |
|                                                                                    |
| GIAI ĐOẠN 3 (Tháng 5 - 6): Tự động hóa Quy trình & Đào tạo Nhân lực                |
|  - Triển khai PowerShell Script tự động sao lưu hàng tuần lên Cloud & NAS nội bộ.  |
|  - Tổ chức 03 khóa đào tạo nhận thức an ninh thông tin cho toàn bộ 100% nhân viên. |
+------------------------------------------------------------------------------------+

Phân tích hiệu quả kinh tế (ROI)

Với tổng ngân sách đầu tư nâng cấp cơ sở hạ tầng hàng năm dao động từ 100.000.000 đến 135.000.000 VNĐ, việc áp dụng các giải pháp cấu hình phần mềm nội sinh (Active Directory, EFS, Scripts) kết hợp thiết bị mạng bán dẫn chuyên dụng giúp doanh nghiệp tiết kiệm hơn 60% chi phí so với việc mua sắm các giải pháp tường lửa thế hệ mới (NGFW) đắt đỏ, đồng thời bảo vệ an toàn cho khối doanh thu hàng năm đạt trên 58 tỷ đồng.

Hạn chế và hướng phát triển

Hạn chế kỹ thuật

  • Phụ thuộc hạ tầng phần cứng cũ: Hệ thống máy chủ chạy Windows Server 2008 R2 sắp kết thúc vòng đời hỗ trợ chính thức, cần sớm có kế hoạch nâng cấp lên Windows Server 2016/2019/2022 để tận dụng các tính năng bảo mật tiên tiến như Credential Guard và Just Enough Administration.
  • Chưa có hệ thống SIEM tập trung: Việc ghi nhận và phân tích nhật ký (Logging) hiện tại vẫn dựa vào các công cụ giám sát thủ công trên từng máy chủ, chưa có hệ thống quản lý thông tin và sự kiện an ninh tập trung (Security Information and Event Management).

Hướng phát triển trong tương lai

  • Nghiên cứu tích hợp giải pháp phòng thủ mối đe dọa nâng cao như McAfee Advanced Threat Defense (MATD) hoặc Cisco Advanced Malware Protection (AMP) để phát hiện mã độc tàng hình dạng Zero-day.
  • Chuyển dịch mô hình an ninh mạng sang kiến trúc Zero Trust Architecture (ZTA) – "Không tin tưởng bất kỳ ai, luôn luôn xác thực mọi truy cập".
  • Xây dựng hệ thống bản sao lưu dự phòng thảm họa ngoài hiện trường (Off-site Disaster Recovery Site) trên nền tảng điện toán đám mây (AWS/Azure).

Đối tượng hưởng lợi

+------------------------------------------------------------------------------------+
|                         LỢI ÍCH ĐỊNH LƯỢNG CHO CÁC NHÓM ĐỐI TƯỢNG                  |
+------------------------------------------------------------------------------------+
|  SINH VIÊN & HỌC VIÊN:                                                             |
|   -> Nắm vững phương pháp luận khảo sát định lượng an toàn thông tin bằng SPSS.     |
|   -> Tiếp cận tài liệu thực tế về triển khai EFS, IPsec và GPO trong môi trường SME.|
|                                                                                    |
|  KỸ SƯ & LẬP TRÌNH VIÊN HỆ THỐNG:                                                  |
|   -> Sở hữu tập mẫu mã nguồn (Scripts) tự động sao lưu, mã hóa và chính sách GPO.  |
|   -> Nắm rõ kỹ thuật phân tách mạng DMZ và thiết lập đường hầm IPsec Router-to-Host.|
|                                                                                    |
|  DOANH NGHIỆP & NHÀ QUẢN LÝ DOANH NGHIỆP:                                          |
|   -> Tối ưu hóa 60% chi phí đầu tư bảo mật nhờ khai thác triệt để hạ tầng có sẵn.  |
|   -> Giảm thiểu 90% rủi ro pháp lý và tổn thất tài chính do thất thoát dữ liệu.    |
|                                                                                    |
|  CỘNG ĐỒNG NGHIÊN CỨU:                                                             |
|   -> Cung cấp tập dữ liệu khảo sát thực chứng về thực trạng an toàn thông tin SME. |
+------------------------------------------------------------------------------------+

Câu hỏi thường gặp

1. Yêu cầu phần cứng tối thiểu để triển khai giải pháp GPO và mã hóa EFS là gì?

Hệ thống yêu cầu ít nhất 01 máy chủ làm Domain Controller chạy hệ điều hành Windows Server 2008 R2 trở lên (tối thiểu 2 Cores CPU, 4GB RAM). Máy trạm của nhân viên cần cài đặt Windows 7 Professional/Enterprise hoặc Windows 10/11 Pro (định dạng ổ đĩa NTFS để kích hoạt tính năng EFS).

2. Khi áp dụng mã hóa EFS, nếu máy trạm bị hỏng hoặc nhân viên nghỉ việc thì dữ liệu có bị mất vĩnh viễn không?

Không. Hệ thống Active Directory cho phép chỉ định tài khoản Quản trị viên miền (Domain Administrator) làm Tác nhân Khôi phục Dữ liệu (Data Recovery Agent - DRA). DRA có thể sử dụng chứng chỉ số do Certificate Authority nội bộ cấp để giải mã các tập tin EFS của bất kỳ tài khoản nào trong hệ thống.

3. Việc cấu hình tường lửa Cisco RV016 có gây suy giảm băng thông mạng nội bộ không?

Cisco RV016 hỗ trợ thông lượng NAT lên tới 200 Mbps và thông lượng VPN IPsec đạt 97 Mbps, hoàn toàn đáp ứng nhu cầu truyền tải dữ liệu và làm việc của văn phòng quy mô 50–100 nhân sự mà không gây tắc nghẽn đường truyền.

4. Chi phí duy trì và bảo trì hệ thống bảo mật này hàng năm là bao nhiêu?

Hầu hết các giải pháp đều tận dụng các tính năng sẵn có trong hệ sinh thái Windows Server và Cisco cứng, do đó chi phí bảo trì chủ yếu là nhân công vận hành nội bộ và bảo dưỡng thiết bị định kỳ, ước tính chỉ chiếm khoảng 10–15% ngân sách CNTT hàng năm của doanh nghiệp.

5. Tại sao cần loại bỏ chuẩn bảo mật Wi-Fi WEP và thay thế bằng WPA2/WPA3?

Chuẩn WEP sử dụng thuật toán mã hóa dòng RC4 với Vector Khởi tạo (IV) chỉ có độ dài 24-bit và gửi dưới dạng bản rõ. Tin tặc có thể thu thập đủ số lượng gói tin trong vòng vài phút để suy đoán khóa mã hóa. WPA2/WPA3 sử dụng chuẩn mã hóa khối AES-CCMP với độ dài khóa 128/256-bit, triệt tiêu hoàn toàn điểm yếu phân tích IV của WEP.

Kết luận

Khóa luận tốt nghiệp "Một số giải pháp nhằm đảm bảo tính an toàn bảo mật trong hệ thống thông tin tại Công ty TNHH AI Việt Nam" đã giải quyết trọn vẹn bài toán bảo vệ an toàn thông tin trong bối cảnh doanh nghiệp phần mềm quy mô vừa và nhỏ. Bằng sự kết hợp chặt chẽ giữa khảo sát thực chứng khoa học (SPSS), kiến trúc mạng 3 tầng kiên cố, các giao thức mã hóa đường truyền tiêu chuẩn (IPsec, TLS) và cơ chế tự động hóa sao lưu dữ liệu, dự án đã thiết lập một lá chắn an ninh vững chắc bảo vệ tài sản số của công ty. Đây là mô hình mang tính khả thi cao, chi phí tối ưu và là tài liệu tham khảo giá trị cho các kỹ sư hệ thống trong hành trình xây dựng môi trường CNTT an toàn và tin cậy.