Bối cảnh và vấn đề nghiên cứu

Khóa luận tốt nghiệp của tác giả Nguyễn Thị Tường Vi (Khoa Hệ thống thông tin Kinh tế, dưới sự hướng dẫn của ThS. Nguyễn Thị Hội) tập trung nghiên cứu công tác đảm bảo an toàn, bảo mật hệ thống thông tin (HTTT) quản lý tại Công ty TNHH MTV Tùng Bắc — một doanh nghiệp quy mô nhỏ hoạt động trong lĩnh vực xây dựng và chế biến than tại huyện Lục Nam, tỉnh Bắc Giang.

Trong bối cảnh công nghệ thông tin phát triển và số lượng người dùng Internet tại Việt Nam gia tăng nhanh chóng, nguy cơ mất an toàn dữ liệu và các hình thức tấn công mạng ngày càng phức tạp. Đối với các doanh nghiệp, thông tin được xem là một bộ phận của tư liệu sản xuất và tài sản quan trọng. Tuy nhiên, việc đầu tư và duy trì một HTTT đáp ứng đầy đủ các tiêu chuẩn an toàn bảo mật thường gặp nhiều rào cản về ngân sách, hạ tầng và nhân lực chuyên trách.

Mục tiêu nghiên cứu của đề tài được xác định gồm ba nhiệm vụ cụ thể:

  1. Hệ thống hóa cơ sở lý luận về an toàn và bảo mật HTTT quản lý trong doanh nghiệp.
  2. Phân tích, đánh giá thực trạng hoạt động đảm bảo an toàn, bảo mật HTTT quản lý tại Công ty TNHH MTV Tùng Bắc thông qua dữ liệu thứ cấp và khảo sát thực tế.
  3. Đề xuất các giải pháp kỹ thuật, công nghệ và quản trị nhân sự có tính khả thi nhằm hoàn thiện hệ thống bảo mật, phòng ngừa rủi ro mất mát dữ liệu cho công ty.

Đối tượng và phạm vi nghiên cứu:

  • Đối tượng nghiên cứu: Các giải pháp công nghệ (phần cứng, phần mềm, mạng) và giải pháp con người phục vụ công tác đảm bảo an toàn, bảo mật HTTT quản lý.
  • Phạm vi không gian: Công ty TNHH MTV Tùng Bắc (địa chỉ: Khu Phố, Thị trấn Lục Nam, Huyện Lục Nam, Tỉnh Bắc Giang).
  • Phạm vi thời gian: Thu thập và phân tích dữ liệu hoạt động kinh doanh, hạ tầng HTTT giai đoạn 2011–2013, định hướng giải pháp ứng dụng cho 5 năm tiếp theo.
  • Phạm vi nội dung: Đánh giá thực trạng an toàn bảo mật HTTT quản lý nội bộ, xác định các điểm yếu kỹ thuật và đưa ra đề xuất nâng cấp hệ thống phần cứng, tường lửa, phần mềm ứng dụng và quy trình quản trị.

Cơ sở lý thuyết và phương pháp

Khóa luận tổng hợp hệ thống lý luận chuyên ngành Hệ thống thông tin quản lý và an toàn thông tin dựa trên các giáo trình và tài liệu nghiên cứu chuẩn mực:

  • Khái niệm cốt lõi: Khái niệm dữ liệu, thông tin, HTTT, HTTT quản lý (MIS) trích dẫn từ Giáo trình Mạng máy tính (2008, NXB Thông tin và Truyền thông); định nghĩa về an toàn và bảo mật thông tin dựa theo Giáo trình An toàn dữ liệu của Bộ môn CNTT, Trường Đại học Thương mại Hà Nội (2007).
  • Mô hình tam giác bảo mật (CIA Triad): Bao gồm Tính bí mật (Confidentiality - chỉ cá nhân được cấp quyền mới truy cập), Tính toàn vẹn (Integrity - thông tin chính xác, không bị sửa đổi trái phép), và Tính sẵn sàng (Availability - dữ liệu luôn sẵn sàng phục vụ khi người dùng hợp pháp có nhu cầu).
  • Mô hình bảo mật đa lớp theo kiến trúc TCP/IP:
    • Lớp 1: Lọc gói tin tại Router kết nối ISP sử dụng Access Control List (ACL), Firewall và IPS tích hợp trên hệ điều hành mạng IOS.
    • Lớp 2: Sử dụng hệ thống phát hiện/ngăn ngừa xâm nhập mạng (NIPS) để giám sát lưu lượng vào/ra Internet.
    • Lớp 3: Thiết lập tường lửa phân vùng mạng thành ba khu vực cách ly: Inside (nội bộ), Outside (bên ngoài) và DMZ (vùng phi quân sự chứa máy chủ dịch vụ công cộng) có hỗ trợ dự phòng failover.
    • Lớp 4: Bảo vệ máy chủ thông qua NIPS và HIPS (Host-based IPS) cài đặt trực tiếp trên hệ điều hành máy chủ.
  • Phân loại tấn công và hoạch định ngân sách: Phân định 3 nhóm tấn công chính gồm tấn công phi kỹ thuật/tấn công xã hội (Social Engineering), tấn công phần mềm (Software Attacks), và tấn công phần cứng (Hardware Attacks); đi kèm 4 phương pháp xác định ngân sách an toàn thông tin (theo tỷ lệ phần trăm doanh thu, cân bằng cạnh tranh, căn cứ mục tiêu/nhiệm vụ, và theo khả năng tài chính).

Phương pháp nghiên cứu được triển khai kết hợp giữa định tính và định lượng:

  • Phương pháp thu thập dữ liệu thứ cấp: Thu thập báo cáo tài chính, báo cáo kết quả hoạt động kinh doanh giai đoạn 2009–2013 của Công ty TNHH MTV Tùng Bắc; tham khảo các công trình nghiên cứu của William Stalling (2011), Đàm Gia Mạnh (2009), Nguyễn Văn Khanh (2014) và Nguyễn Minh Hiển (2011).
  • Phương pháp thu thập dữ liệu sơ cấp:
    • Điều tra bằng bảng hỏi: Phát phiếu khảo sát trực tiếp đến 10 cán bộ nhân viên thường xuyên sử dụng máy tính tại công ty để đánh giá tốc độ máy chủ, chất lượng phần cứng, mức độ an toàn phần mềm, mạng nội bộ và các nguy cơ tấn công tiềm ẩn.
    • Phỏng vấn chuyên gia: Phỏng vấn sâu lãnh đạo và cán bộ phụ trách kỹ thuật nhằm thu thập thông tin định tính về quy trình vận hành và định hướng CNTT.
  • Phương pháp phân tích và xử lý dữ liệu: Sử dụng phần mềm Microsoft Excel để thống kê mô tả, tổng hợp tỷ lệ phần trăm và biểu diễn qua các bảng dữ liệu, biểu đồ hình cột/hình tròn.

Nội dung chính theo từng chương

Phần 1: Tổng quan về an toàn bảo mật HTTT quản lý tại Công ty TNHH MTV Tùng Bắc

Phần mở đầu hệ thống hóa lý do nghiên cứu, làm rõ sự chuyển dịch từ bảo vệ vật lý sang bảo vệ dữ liệu số và an ninh mạng khi thông tin trở thành tư liệu sản xuất. Tác giả tổng quan 4 tài liệu nghiên cứu tiêu biểu trong và ngoài nước, chỉ ra khoảng trống nghiên cứu: các tài liệu hiện hành chủ yếu tập trung vào lý thuyết mật mã, thương mại điện tử hoặc kiểm soát truy cập chung mà chưa đi sâu vào mô hình HTTT quản lý của một doanh nghiệp vừa và nhỏ cụ thể. Trên cơ sở đó, phần này xác định mục tiêu, đối tượng, phạm vi không gian - thời gian và phương pháp thu thập, phân tích số liệu của khóa luận.

Phần 2: Cơ sở lý luận và thực trạng về an toàn bảo mật HTTT quản lý của Công ty TNHH MTV Tùng Bắc

Chương này chia làm hai nội dung lớn: khung lý thuyết và phân tích thực trạng. Về lý thuyết, tác giả chuẩn hóa các khái niệm dữ liệu, thông tin, MIS, tam giác bảo mật CIA, các nhân tố ảnh hưởng (con người và công nghệ), các lớp phòng thủ TCP/IP và phương pháp xác định ngân sách bảo mật.

Về thực trạng tại Công ty TNHH MTV Tùng Bắc (thành lập năm 2009, vốn điều lệ 5 tỷ đồng, 1 giám đốc và 30 nhân viên chia thành 5 phòng ban: Giám đốc, Kế toán - Tài chính, Kinh doanh - Bán hàng, Kỹ thuật, Kho):

  • Hạ tầng phần cứng: Gồm 1 máy chủ (đặt tại phòng Giám đốc từ năm 2010), 10 máy tính để bàn, 7 máy tính xách tay, 1 máy in/fax, 2 camera Sony SSC-G103, 1 router Linksys E2000 Wireless-N, 1 modem ADSL TP-Link và hệ thống Switch. Tổng cộng 18 máy tính kết nối mạng LAN và Internet theo cấu trúc hình tuyến (Bus) kết hợp Wi-Fi.
Thiết bị phần cứng Số lượng Năm đưa vào sử dụng Mục đích sử dụng
Máy chủ 01 2010 Lưu trữ cơ sở dữ liệu chính, phần mềm doanh nghiệp
Máy tính để bàn 10 2009 Lưu trữ dữ liệu tác nghiệp, bán hàng, văn phòng
Máy tính xách tay 07 2010 Phục vụ bán hàng, làm việc di động
Máy in / Máy fax 01 / 01 2010 In chứng từ, báo cáo, phiếu thu chi, fax tài liệu
Camera Sony SSC-G103 02 2010 Giám sát hoạt động an ninh tại đơn vị
Router Linksys E2000 01 2010 Phát sóng mạng không dây (Wireless-N)
Modem ADSL TP-Link 01 2010 Kết nối Internet qua đường truyền ADSL
Switch và cáp mạng 01 hệ thống 2010 Kết nối mạng nội bộ giữa các phòng ban
  • Hạ tầng phần mềm: Hệ điều hành Windows 7, Microsoft Office 2010, phần mềm kế toán Effect-standard (bản miễn phí), phần mềm bán hàng Perfect Sales phiên bản 2.4, phần mềm diệt virus BKAV Pro, Avast và Antivirut.
  • Hiện trạng nhân sự: 100% nhân viên có trình độ từ trung cấp trở lên, 70% thành thạo tin học văn phòng. Công ty chưa có cán bộ chuyên trách quản trị mạng hay an toàn thông tin; việc xử lý sự cố hoàn toàn phụ thuộc vào sự tự xử lý của nhân viên hoặc thuê hỗ trợ bên ngoài.
Vị trí / Bộ phận Số lượng (người) Trình độ chuyên môn
Ban Giám đốc 01 Thạc sĩ
Kinh doanh – Bán hàng 06 Cao đẳng, Đại học
Kỹ thuật 10 Trung cấp, Cao đẳng, Đại học
Kế toán – Tài chính 04 Cao đẳng, Đại học
Kho vận 10 Trung cấp, Cao đẳng
  • Kết quả điều tra khảo sát (N = 10 phiếu):
Tiêu chí khảo sát Rất tốt Tốt Khá / Ổn định Trung bình Kém
Tốc độ truy cập & xử lý của máy chủ 10% 10% 20% 50% 10%
Chất lượng phần cứng hiện tại 0% 10% 60% 20% 10%
Mức độ an toàn bảo mật phần mềm 0% 10% 30% 40% 20%
Mức độ an toàn mạng nội bộ 0% 10% 30% 60% 0%
  • Các nhân tố ảnh hưởng và nguy cơ: Khảo sát chỉ ra nhân tố CNTT là nhân tố bên ngoài ảnh hưởng lớn nhất (90%), tiếp đến là kinh tế (70%), chính sách pháp luật (50%), văn hóa xã hội (30%). Về nhân tố bên trong, sự phối hợp giữa các phòng ban chiếm tỷ lệ cao nhất (60%), tiếp theo là ngân sách HTTT (50%), lập kế hoạch (40%) và người thực hiện (20%). Nguy cơ tấn công hàng đầu được ghi nhận là quá tải/suy giảm hiệu năng mạng và lây nhiễm mã độc (virus, worm).
  • Hạn chế cốt lõi được chỉ ra: 80% phần mềm sử dụng là bản miễn phí hoặc cài đặt đơn lẻ; không có quy trình sao lưu (backup) định kỳ dẫn đến nguy cơ mất trắng dữ liệu; hoàn toàn không áp dụng mã hóa dữ liệu trên đường truyền; chưa có chính sách phân quyền chi tiết và thiếu nhân sự chuyên môn.

Phần 3: Định hướng phát triển và đề xuất một số giải pháp đảm bảo an toàn bảo mật cho HTTT quản lý của Công ty TNHH MTV Tùng Bắc

Dựa trên các hạn chế đã phân tích, tác giả đề xuất nhóm giải pháp toàn diện bao gồm:

  1. Nâng cấp máy chủ: Thay thế máy chủ cũ nhằm đáp ứng nhu cầu mở rộng dữ liệu và tốc độ xử lý.
Thông số kỹ thuật Máy chủ cũ Máy chủ đề xuất
Kiểu máy chủ HP ProLiant DL320e G8 HP ProLiant DL160 Gen8 Server
Bộ vi xử lý (CPU) Intel Xeon E3-1230v2 Intel Xeon E5-1230v3 (3.3GHz, 4 cores, 16MB Cache) / Intel Xeon E3-2620
Bộ nhớ trong (RAM) 1 x 4GB PC3-10600R (RDIMM) 8GB PC3-10600E UDIMMs DDR3
Ổ đĩa cứng (HDD) Non HDD (Up to 4 LFF Pluggable) Non HDD (Up to 4 LFF Hot Plug drives)
Bộ điều khiển mạng HP 1Gb 321i Ethernet Adapter 2 Ports HP 2Gb 360i Ethernet Adapter 2 Ports
Bộ điều khiển lưu trữ HP Smart Array B120i SATA RAID Controller (RAID 0/1/1+0) HP Smart Array B120i SATA RAID Controller (RAID 0/1/1+0)
Bộ nguồn (Power Supply) 350-Watt PFC Power Supply 500W Platinum FIO Power Supply with Backplane
Kích thước (Form Factor) 1U Rack 1U Rack

Đi kèm cấu hình máy chủ, tác giả xây dựng 10 nguyên tắc chuẩn khi nâng cấp: (1) Luôn bắt đầu với backup dữ liệu đã thẩm định; (2) Cân nhắc tạo backup image (disk cloning); (3) Không tạo nhiều thay đổi cùng lúc; (4) Kiểm tra log tỉ mỉ bằng tiện ích chuyên dụng như HoundDog của GFI hoặc PacketTrap của Quest Software; (5) Xác nhận đúng hệ điều hành; (6) Kiểm tra sự tương thích từ nhà sản xuất; (7) Không mặc định tính năng plug-and-play; (8) Tối ưu hiệu suất hệ thống sau nâng cấp; (9) Ưu tiên linh kiện chất lượng cao; (10) Cập nhật hồ sơ tài liệu máy chủ.

  1. Triển khai tường lửa mã nguồn mở pfSense: Sử dụng phần mềm tường lửa pfSense cài đặt trên máy chủ/máy tính riêng để bảo vệ mạng nội bộ giao tiếp với Internet. Tường lửa này cung cấp khả năng lọc gói tin tầng L3, L4, L7, chặn truy cập theo vùng địa lý, quản lý chất lượng dịch vụ (QoS), cân bằng tải, hỗ trợ mạng riêng ảo VPN (IPsec, OpenVPN), NAT/PAT, reverse proxy, tự động cập nhật danh sách đen (blacklist) và hỗ trợ giao diện tiếng Việt mà không tốn chi phí bản quyền.
  2. Giải pháp phần mềm và đường truyền: Đề xuất nâng cấp phần mềm kế toán lên MISA SME.NET 2015, tích hợp giải pháp quản trị doanh nghiệp AMIS; ứng dụng giao thức mã hóa SSL trên đường truyền truyền tải dữ liệu; thiết lập cơ chế sao lưu dữ liệu tự động theo chu kỳ và xem xét giải pháp sao lưu trên nền tảng điện toán đám mây.
  3. Giải pháp con người và quy trình: Thành lập bộ phận chuyên trách CNTT, tổ chức đào tạo kiến thức an ninh thông tin cho toàn thể nhân viên và ban hành quy trình an toàn bảo mật thông tin chuẩn hóa theo chu trình khép kín liên tục.

Kết quả và đóng góp

Khóa luận đạt được các kết quả thực chứng và đóng góp cụ thể sau:

  • Hệ thống hóa dữ liệu hiện trạng: Phản ánh chính xác hiện trạng cơ sở vật chất CNTT của doanh nghiệp với 1 máy chủ, 17 máy trạm/laptop, 1 đường truyền ADSL và cấu hình mạng nội bộ dạng Bus kết hợp Wi-Fi.
  • Lượng hóa nhận định của người dùng nội bộ: Thông qua 10 phiếu khảo sát, tác giả chỉ ra các điểm nghẽn kỹ thuật: 50% đánh giá tốc độ máy chủ chỉ ở mức trung bình; 40% nhận định phần mềm ở mức an toàn trung bình và 20% đánh giá kém an toàn; 60% đánh giá mức độ an toàn của mạng LAN ở mức trung bình; 90% nhận diện CNTT là yếu tố môi trường bên ngoài có tác động mạnh mẽ nhất.
  • Xây dựng giải pháp kỹ thuật có tính thực thi cao: Cung cấp bảng so sánh chi tiết phương án nâng cấp lên máy chủ HP ProLiant DL160 Gen8 Server; đề xuất mô hình tường lửa chi phí thấp pfSense tích hợp VPN, NAT/PAT và Proxy; phác thảo quy trình sao lưu dữ liệu định kỳ và mã hóa kênh truyền SSL.
  • Đóng góp về mặt quản lý: Đề tài đã chuyển hóa các lý thuyết an toàn thông tin chung thành bộ giải pháp cụ thể, cân đối giữa yêu cầu bảo mật và rào cản ngân sách hạn hẹp của một doanh nghiệp vừa và nhỏ ở địa bàn cấp huyện.

Hạn chế và hướng nghiên cứu tiếp

Khóa luận tồn tại một số giới hạn xuất phát từ điều kiện thực tế:

  • Quy mô mẫu khảo sát: Mẫu khảo sát còn nhỏ (N = 10 phiếu) do quy mô nhân sự khối văn phòng của công ty còn khiêm tốn (toàn công ty có 31 người bao gồm cả giám đốc và lao động kỹ thuật/kho), do đó số liệu chủ yếu mang tính phản ánh nội bộ.
  • Phương pháp đánh giá an ninh: Chưa triển khai các công cụ quét lỗ hổng kỹ thuật chuyên sâu (Vulnerability Scanning) hoặc kiểm thử xâm nhập thực tế (Penetration Testing) mà chủ yếu dựa trên quan sát hạ tầng và khảo sát ý kiến nhân viên.
  • Hướng phát triển tiếp theo: Tác giả định hướng mở rộng nghiên cứu sang việc thiết lập hệ thống mạng riêng ảo (VPN) kết nối liên chi nhánh khi công ty mở rộng quy mô, ứng dụng giải pháp sao lưu dữ liệu trên điện toán đám mây và xây dựng website chính thức có tích hợp các giao thức bảo mật phục vụ thương mại điện tử.

Giá trị tham khảo

Tài liệu này là nguồn tham khảo hữu ích cho:

  • Sinh viên ngành Hệ thống thông tin quản lý, Hệ thống thông tin kinh tế, Tin học quản trị: Cung cấp một khung cấu trúc chuẩn mực về việc khảo sát, đánh giá và xây dựng giải pháp an toàn thông tin cho một doanh nghiệp cụ thể.
  • Nhà quản trị và cán bộ kỹ thuật tại các doanh nghiệp vừa và nhỏ (SMEs): Tham khảo trực tiếp phương án tối ưu hóa chi phí bảo mật bằng tường lửa mã nguồn mở pfSense, bảng tiêu chí cấu hình máy chủ tầm trung và 10 nguyên tắc kỹ thuật trong quá trình bảo trì, nâng cấp phần cứng.

Câu hỏi thường gặp

1. Khóa luận nghiên cứu trên đối tượng doanh nghiệp nào và quy mô ra sao?
Nghiên cứu được thực hiện tại Công ty TNHH MTV Tùng Bắc (thị trấn Lục Nam, huyện Lục Nam, tỉnh Bắc Giang), thành lập năm 2009 với vốn điều lệ 5 tỷ đồng. Công ty có 1 giám đốc và 30 nhân viên làm việc tại 5 phòng ban: Ban Giám đốc, Kế toán - Tài chính, Kinh doanh - Bán hàng, Kỹ thuật, Kho.

2. Hạ tầng phần mềm của công ty tại thời điểm khảo sát có những điểm yếu nào?
Khoảng 80% phần mềm đang sử dụng là bản miễn phí hoặc cài đặt rời rạc trên từng máy cá nhân (như phần mềm kế toán Effect-standard bản free). Hệ thống chưa có cơ chế phân quyền truy cập chặt chẽ, hoàn toàn không áp dụng phương pháp mã hóa dữ liệu trên đường truyền và thiếu quy trình sao lưu định kỳ.

3. Khảo sát 10 cán bộ nhân viên công ty cho thấy kết quả gì về tốc độ máy chủ và độ an toàn mạng LAN?
Có 50% số phiếu đánh giá tốc độ truy cập và xử lý dữ liệu của máy chủ ở mức trung bình (20% khá ổn định, 10% rất tốt, 10% tốt, 10% kém). Đối với hệ thống mạng nội bộ, 60% đánh giá mức độ an toàn ở mức trung bình, 30% đánh giá khá và 10% đánh giá tốt.

4. Vì sao tác giả đề xuất lựa chọn tường lửa pfSense cho doanh nghiệp?
pfSense là tường lửa mã nguồn mở hoàn toàn miễn phí, có khả năng cài đặt linh hoạt trên phần cứng máy tính thông thường hoặc máy chủ mà không đòi hỏi cấu hình quá cao. Giải pháp này hỗ trợ quản lý lọc gói tin tầng L3/L4/L7, chặn truy cập theo địa lý, QoS, cân bằng tải, VPN, Proxy và NAT/PAT, rất phù hợp với ngân sách hạn hẹp của doanh nghiệp nhỏ (dưới 1000 người dùng).

5. Cấu hình máy chủ mới được đề xuất nâng cấp có thông số kỹ thuật chính là gì?
Tác giả đề xuất máy chủ HP ProLiant DL160 Gen8 Server dạng 1U Rack, trang bị CPU Intel Xeon E5-1230v3 (hoặc Intel Xeon E3-2620), bộ nhớ 8GB UDIMMs DDR3, 2 cổng mạng HP 2Gb 360i Ethernet Adapter, bộ điều khiển lưu trữ HP Smart Array B120i SATA RAID và bộ nguồn 500W Platinum.

Kết luận

Khóa luận của tác giả Nguyễn Thị Tường Vi đã phản ánh chi tiết thực trạng hạ tầng CNTT và những lỗ hổng bảo mật điển hình tại Công ty TNHH MTV Tùng Bắc. Trên cơ sở đối chiếu lý thuyết an toàn thông tin với khảo sát thực tế, tác giả đã xây dựng hệ thống giải pháp đồng bộ từ nâng cấp phần cứng máy chủ, triển khai tường lửa mã nguồn mở pfSense đến chuẩn hóa quy trình quản trị nhân sự. Đề tài mang tính ứng dụng thực tiễn cao, cung cấp tài liệu tham khảo giá trị cho các doanh nghiệp vừa và nhỏ trong việc hoạch định an toàn bảo mật thông tin với chi phí tối ưu.