Bối cảnh và vấn đề nghiên cứu

Trong môi trường kinh doanh hiện đại, thông tin là nguồn tài sản quan trọng quyết định năng lực cạnh tranh và sự tồn tại của tổ chức, doanh nghiệp. Việc gia tăng nhu cầu chia sẻ dữ liệu qua môi trường mạng Internet, mạng nội bộ (Intranet) và việc ứng dụng các hệ quản trị cơ sở dữ liệu (CSDL) lưu trữ tập trung hoặc phân tán khiến các hệ thống thông tin (HTTT) trở thành mục tiêu của nhiều cuộc tấn công mạng. Những sự cố an ninh có thể dẫn đến hỏng hóc hệ thống, đình trệ sản xuất, thất thoát dữ liệu, hoặc nghiêm trọng hơn là làm sụp đổ hoàn toàn hạ tầng thông tin của tổ chức.

Công ty TNHH Giải pháp phần mềm Gia Linh là doanh nghiệp hoạt động trong lĩnh vực phân phối sản phẩm phần mềm đóng gói, gia công phần mềm, cung cấp dịch vụ thiết kế website, phát triển ứng dụng di động và giải pháp cổng thông tin điện tử. Các dữ liệu liên quan đến khách hàng, đối tác, nhà cung cấp và mã nguồn phần mềm đóng vai trò thiết yếu đối với hoạt động của doanh nghiệp. Tuy nhiên, qua khảo sát thực tế, công tác đầu tư cho an toàn và bảo mật thông tin (ATBM) tại công ty vẫn chưa tương xứng với yêu cầu thực tế, tiềm ẩn nhiều rủi ro về an ninh mạng.

Mục tiêu và nhiệm vụ nghiên cứu của đề tài được xác định gồm 3 nội dung cụ thể:

  1. Hệ thống hóa và làm rõ cơ sở lý luận về an toàn thông tin và bảo mật dữ liệu trong HTTT của doanh nghiệp.
  2. Khảo sát, phân tích và đánh giá thực trạng công tác an toàn thông tin và bảo mật cơ sở dữ liệu tại Công ty TNHH Giải pháp phần mềm Gia Linh dựa trên tài liệu thu thập được.
  3. Đề xuất các giải pháp kỹ thuật, giải pháp quản lý và kiến nghị nhằm nâng cao hiệu quả an toàn bảo mật HTTT tại Công ty TNHH Giải pháp phần mềm Gia Linh.

Đối tượng và phạm vi nghiên cứu của đề tài:

  • Đối tượng nghiên cứu: Vấn đề an toàn thông tin và bảo mật dữ liệu trong HTTT tại Công ty TNHH Giải pháp phần mềm Gia Linh; các giải pháp công nghệ và con người; chính sách bảo mật nội bộ và các giải pháp ATBM trên thế giới có khả năng ứng dụng vào hệ thống của công ty.
  • Phạm vi không gian: Nghiên cứu thực tế tại Công ty TNHH Giải pháp phần mềm Gia Linh (địa chỉ trụ sở: Khu đô thị Dịch Vọng, Phường Dịch Vọng, Quận Cầu Giấy, Hà Nội).
  • Phạm vi thời gian: Số liệu báo cáo kết quả hoạt động kinh doanh và dữ liệu khảo sát thực trạng được thu thập trong giai đoạn từ năm 2015 đến năm 2017; các định hướng và giải pháp đề xuất áp dụng cho giai đoạn tiếp theo.

Cơ sở lý thuyết và phương pháp

Khóa luận xây dựng hệ thống lý thuyết dựa trên các giáo trình và công trình nghiên cứu chuyên ngành Hệ thống thông tin quản lý và An toàn dữ liệu:

  • Khái niệm cốt lõi: Dữ liệu, thông tin và hệ thống thông tin (theo Giáo trình Hệ thống thông tin quản lý của Đàm Gia Mạnh, 2017); An toàn dữ liệu, Bảo mật dữ liệu và An toàn thông tin (theo Giáo trình An toàn dữ liệu trong thương mại điện tử của Đàm Gia Mạnh, 2009).
  • 4 yêu cầu cơ bản của an toàn dữ liệu:
    • Tính bảo mật (Confidentiality): Đảm bảo thông tin không bị truy cập, sao chép hoặc sử dụng trái phép bởi những người không có thẩm quyền.
    • Tính toàn vẹn (Integrity): Bảo vệ dữ liệu không bị thay đổi, sửa chữa hoặc xóa trái phép trong quá trình lưu trữ và truyền thông.
    • Tính sẵn sàng (Availability): Đảm bảo dữ liệu và tài nguyên hệ thống luôn sẵn sàng phục vụ người dùng hợp pháp khi có nhu cầu.
    • Tính tin cậy (Authenticity/Reliability): Đảm bảo thông tin nhận được phản ánh chính xác nguồn gốc và chưa bị can thiệp trái phép.
  • Phân loại nguy cơ an ninh mạng: Chia thành hai nhóm chính:
    • Nguy cơ ngẫu nhiên: Xuất phát từ hiện tượng tự nhiên, thiên tai, hỏng hóc phần cứng vật lý, sự cố mất điện.
    • Nguy cơ có chủ đích: Xuất phát từ tấn công mạng (DDoS, mã độc/malware, thay đổi giao diện/deface, lừa đảo/phishing), hoạt động của tin tặc, lỗ hổng cấu trúc hệ thống, hoặc do nhân viên nội bộ không tuân thủ quy chế an toàn.
  • Tài liệu tham khảo chuyên sâu: Các công trình quốc tế như Network Security Hacks của Andrew Lockhart (2004), Cryptography and Network Security Principles and Practices của William Stallings (2005), Innovative Cryptography của Modovyan (2007); cùng các nghiên cứu trong nước về mã hóa CSDL (Nguyễn Anh Tuấn, 2011), nghiên cứu về tường lửa (Tô Quang Hiệp), và an toàn dữ liệu điện toán đám mây trong ngân hàng (Nguyễn Dương Hùng).

Phương pháp nghiên cứu được thực hiện kết hợp giữa định tính và định lượng:

  • Phương pháp thu thập dữ liệu sơ cấp:
    • Khảo sát bằng bảng hỏi: Thiết kế phiếu điều tra gồm 34 câu hỏi xoay quanh các hoạt động bảo mật HTTT, phát trực tiếp tới 10 cán bộ nhân viên thuộc các bộ phận khác nhau trong công ty; thu về 10 phiếu hợp lệ (tỷ lệ 100%).
    • Phỏng vấn trực tiếp: Phỏng vấn sâu ông Tống Văn Lĩnh (Giám đốc điều hành) về góc độ quản trị, định hướng chiến lược và ngân sách cho ATBM; phỏng vấn anh Nguyễn Thành Hưng (nhân viên phòng Kỹ thuật) về thực trạng nhận thức và quy chế kỹ thuật nội bộ.
  • Phương pháp thu thập dữ liệu thứ cấp:
    • Dữ liệu nội bộ: Thu thập báo cáo tài chính, kết quả hoạt động sản xuất kinh doanh 3 năm (2015, 2016, 2017) từ phòng Tài chính - Kế toán, tài liệu cơ cấu tổ chức từ phòng Hành chính - Nhân sự.
    • Dữ liệu bên ngoài: Số liệu thống kê an toàn thông tin quốc gia từ Trung tâm Ứng cứu khẩn cấp máy tính Việt Nam (VNCERT), báo cáo thống kê các vụ tấn công mạng của Kaspersky Lab và Securelist.
  • Phương pháp xử lý dữ liệu: Sử dụng phương pháp so sánh (đánh giá hiệu quả trước và sau khi ứng dụng các giải pháp bảo mật, phân tích biến động chỉ tiêu kinh doanh) kết hợp phương pháp phân tích, tổng hợp thông tin để làm rõ thực trạng và đề xuất giải pháp.

Nội dung chính theo từng chương

Chương 1: Cơ sở lý luận về an toàn thông tin và bảo mật cơ sở dữ liệu

Chương 1 hệ thống hóa khung lý luận về an toàn thông tin và bảo mật dữ liệu trong tổ chức doanh nghiệp:

  • Trình bày chi tiết các định nghĩa nền tảng về dữ liệu, thông tin, hệ thống thông tin và bốn yêu cầu an toàn dữ liệu cốt lõi (tính bảo mật, tính toàn vẹn, tính sẵn sàng, tính tin cậy).
  • Dẫn chứng số liệu an ninh mạng tại Việt Nam: Theo thống kê của Kaspersky Lab, trong quý IV năm 2017, các vụ tấn công từ chối dịch vụ (DDoS) nhắm vào Việt Nam tăng mạnh từ 0,59% lên 1,26% tổng lượng tấn công toàn cầu, đưa Việt Nam lên vị trí thứ 5 thế giới. Theo Trung tâm VNCERT (Bộ Thông tin và Truyền thông), năm 2017 ghi nhận 6.400 trường hợp tấn công bằng malware, 4.377 trường hợp deface và 2.065 trường hợp phishing; riêng 2 tháng đầu năm 2018 đã có hơn 1.500 sự cố tấn công mạng.
  • Phân tích vai trò của ATBM đối với sự phát triển bền vững của doanh nghiệp, giúp giảm thiểu rủi ro tài chính, bảo vệ uy tín và tạo lợi thế cạnh tranh.
  • Đưa ra khung biện pháp phòng tránh (bố trí nhân sự, thiết lập quy tắc quản lý máy chủ/máy trạm, an toàn thiết bị, bảo mật vật lý, mật khẩu, tường lửa) và quy trình 3 bước xử lý khi hệ thống bị tấn công:
    • Bước 1: Ngắt kết nối máy chủ ra khỏi mạng.
    • Bước 2: Sao chép log file và toàn bộ dữ liệu hệ thống ra thiết bị lưu trữ để phục vụ phân tích.
    • Bước 3: Khôi phục hệ thống bằng cách nạp bản dữ liệu sao lưu (backup) mới nhất.
  • Khái quát các phương pháp bảo mật CSDL gồm chính sách - ý thức, phân quyền truy cập và mã hóa dữ liệu (sử dụng các chuẩn mã hóa như AES, CMAC).

Chương 2: Thực trạng an toàn thông tin và bảo mật cơ sở dữ liệu tại Công ty TNHH Giải pháp phần mềm Gia Linh

Chương 2 tập trung phân tích thực trạng hoạt động kinh doanh và hiện trạng công tác an toàn bảo mật tại đơn vị thực tập:

  • Tổng quan doanh nghiệp: Công ty TNHH Giải pháp phần mềm Gia Linh thành lập năm 2011, Giám đốc điều hành là ông Tống Văn Lĩnh. Cơ cấu tổ chức gồm Ban Giám đốc và 4 phòng ban chức năng: Phòng Kinh doanh, Phòng Kỹ thuật, Phòng Hành chính - Nhân sự, Phòng Tài chính - Kế toán.
  • Kết quả kinh doanh giai đoạn 2015 - 2017:
STT Chỉ tiêu tài chính Năm 2015 (VNĐ) Năm 2016 (VNĐ) Năm 2017 (VNĐ)
1 Doanh thu bán hàng và cung cấp dịch vụ 23.980.233.670 29.257.403.200 35.479.982.149
2 Các khoản giảm trừ doanh thu 790.213.726 800.344.000 803.351.290
3 Doanh thu thuần về bán hàng và dịch vụ 23.190.019.944 28.457.059.200 34.676.630.869
4 Giá vốn bán hàng 13.490.488.000 13.832.000.200 14.743.000.000
5 Lợi nhuận gộp về bán hàng và dịch vụ 9.699.531.944 14.625.059.000 19.933.630.869
6 Lợi nhuận thuần từ hoạt động kinh doanh 5.232.549.500 8.657.637.872 12.831.526.120
7 Tổng lợi nhuận kế toán trước thuế 3.838.391.021 5.422.490.980 6.837.077.738
8 Chi phí thuế thu nhập doanh nghiệp 745.330.366 1.167.563.679 1.239.199.246
9 Lợi nhuận sau thuế thu nhập doanh nghiệp 4.583.721.387 6.590.054.659 8.076.276.984

Nhận xét kết quả kinh doanh: Doanh thu thuần năm 2016 tăng 22,01% so với năm 2015, kéo theo lợi nhuận sau thuế tăng 43,77%. Năm 2017, doanh thu thuần tiếp tục tăng 21,27% so với năm 2016, lợi nhuận sau thuế tăng 22,55%.

  • Hiện trạng ứng dụng phần mềm và CNTT:
    • Phần mềm hệ thống: Máy trạm chạy Windows 7, 8, 10; 2 máy tính chạy Linux phục vụ triển khai phần mềm.
    • Phần mềm ứng dụng: Bộ Microsoft Office (2007, 2010, 2013), Adobe Reader 9; kênh trao đổi công việc nội bộ qua Skype, Zalo, Facebook, Microsoft Outlook; công cụ điều khiển máy tính từ xa qua TeamViewer, Remote Desktop.
    • Phần mềm sản xuất và phát triển: Hệ thống quản lý phiên bản TortoiseSVN; quản trị CSDL MySQL Assential, SQL Server 2014; gói máy chủ Web XAMPP (Apache, PHP, MySQL, FTP Server, phpMyAdmin); đồng bộ dữ liệu Google Drive; công cụ lập trình NetBeans 8.2, React Native, Adobe CS6, JDK, Eclipse IDE for Java, dịch vụ đám mây Amazon EC2.
    • Phần mềm quản lý và bảo mật: Phần mềm tự phát triển (CRM, KPIBSC); phần mềm kế toán MISA, phần mềm nhân sự Perfect HRM; phần mềm diệt virus BKAV Pro trên máy trạm và AVG cho Web.
  • Kết quả khảo sát qua phiếu điều tra (N = 10 cán bộ nhân viên):
Nội dung khảo sát Tiêu chí phân loại Số lượng lựa chọn Tỷ lệ (%)
Đánh giá độ an toàn bảo mật HTTT Rất an toàn 1 10%
Tương đối an toàn 2 20%
Kém an toàn 7 70%
Mức độ quan trọng của các thành phần HTTT Cơ sở dữ liệu 4 40%
Con người 2 20%
Phần mềm 2 20%
Phần cứng 1 10%
Mạng 1 10%
Phương pháp bảo mật thông tin cho khách hàng Quản lý hệ cơ sở dữ liệu 4 40%
Quản lý email 3 30%
Quản lý website 1 10%
Quản lý máy chủ (server) 1 10%
Quản lý hệ thống hướng dẫn 1 10%
Tần suất sao lưu dữ liệu 1 tháng / 1 lần 3 30%
3 tháng / 1 lần 3 30%
6 tháng / 1 lần 2 20%
Cách thức bảo vệ CSDL Đặt password 5 50%
Phân quyền người dùng 2 20%
Mã hóa tài liệu 2 20%
Tất cả phương thức trên 1 10%
  • Phân tích điểm mạnh, điểm yếu và rủi ro an ninh mạng:
    • Điểm mạnh: Phần cứng còn mới, hoạt động ổn định; doanh nghiệp đã duy trì cơ chế sao lưu dữ liệu định kỳ.
    • Điểm yếu và lỗ hổng: Công ty chỉ dùng Windows Firewall tích hợp sẵn trên từng máy trạm, không có tường lửa bảo vệ toàn mạng nội bộ; Windows Firewall trên Windows XP/máy trạm không chặn được virus lây qua email (Trojan), thư rác hoặc pop-up nguy hiểm. Khi mở rộng quy mô, một số máy mới chưa có bản quyền hệ điều hành; việc dùng phần mềm điều khiển từ xa (TeamViewer, UltraViewer, Remote Desktop) và chia sẻ tài khoản quản trị máy chủ thiếu kiểm soát; nhân viên mới được xem toàn bộ mã nguồn qua TortoiseSVN; nhiều nhân viên phải dùng laptop cá nhân kết nối vào mạng công ty; phần mềm BKAV Pro hạn chế trong việc bóc tách mã độc; chính sách an toàn thông tin chỉ dừng lại ở bản thảo không chính thức; nguồn nhân lực chuyên trách an ninh mạng mỏng (chỉ có 5 nhân viên quản lý HTTT).

Chương 3: Định hướng phát triển, đề xuất giải pháp nâng cao hiệu quả an toàn bảo mật dữ liệu hệ thống thông tin tại Công ty TNHH Giải pháp phần mềm Gia Linh

Chương 3 đề xuất định hướng chiến lược và các nhóm giải pháp toàn diện cho doanh nghiệp:

  • Định hướng phát triển: Bảo đảm ATBM cho toàn bộ dữ liệu giao dịch, dữ liệu khách hàng, mã nguồn phần mềm; xây dựng quy trình ATBM liên tục; nâng cao kiến thức bảo mật cho toàn bộ nhân viên.
  • Hai nhóm giải pháp kỹ thuật và quản lý trọng tâm:
    1. Xây dựng và cấu hình hệ thống tường lửa mạng mã nguồn mở Firewall pfSense 2.2.
    2. Nâng cao hiệu quả quản trị và bảo mật hệ quản trị CSDL Microsoft SQL Server 2014.
  • Các đề xuất và kiến nghị:
    • Đối với công ty: Đầu tư mua bản quyền phần mềm đầy đủ; ban hành chính sách ATBM chính thức cho từng phòng ban; quy định sao lưu dữ liệu hàng ngày vào khu vực riêng biệt có phân quyền nghiêm ngặt; yêu cầu nhân viên ký cam kết bảo mật thông tin (NDA); hủy tài liệu giấy nhạy cảm bằng máy cắt tài liệu.
    • Đối với cấp quản lý Nhà nước: Tiếp tục hoàn thiện Luật Giao dịch điện tử, Luật Công nghệ thông tin và các văn bản hướng dẫn; mở rộng chỉ tiêu tuyển sinh, đẩy mạnh đào tạo chuyên ngành CNTT, HTTT và TMĐT tại các trường đại học, cao đẳng.

Thiết kế và triển khai giải pháp kỹ thuật

Khóa luận trình bày chi tiết thiết kế kỹ thuật và các bước triển khai giải pháp tường lửa pfSense 2.2 cùng các chính sách bảo mật cho Microsoft SQL Server 2014:

1. Triển khai hệ thống tường lửa Firewall pfSense 2.2

Doanh nghiệp được đề xuất sử dụng phần mềm tường lửa mã nguồn mở pfSense 2.2 (phát triển bởi Công ty Netgate dựa trên FreeBSD, tuân theo giấy phép BSD License) nhằm tối ưu hóa chi phí bản quyền nhưng vẫn đảm bảo tính năng bảo mật cấp doanh nghiệp.

  • Yêu cầu hạ tầng phần cứng cài đặt pfSense 2.2:

    • Cấu hình tối thiểu: CPU 500 MHz, RAM 256 MB, ổ cứng 1 GB.
    • Cấu hình khuyến nghị: CPU 1 GHz, RAM 1 GB, ổ cứng 1 GB, hỗ trợ CD-ROM hoặc USB để cài đặt ban đầu.

  • Mô hình kết nối mạng:

    • Mô hình thực tế: Máy chủ pfSense trang bị 3 giao tiếp mạng: 2 kết nối mạng diện rộng (WAN 1 và WAN 2) để thực hiện cơ chế cân bằng tải (Load Balancing) cùng dự phòng đường truyền Internet, và 1 kết nối vào mạng cục bộ (LAN).
    • Mô hình giả lập (triển khai trên VMware Workstation):
      • Máy ảo 1: Chạy hệ điều hành Windows Server 2003, cấu hình dịch vụ Routing and Remote Access để giả lập 2 kết nối Internet. Cổng mặc định Bridge ra ngoài; Adapter 2 nối card mạng ảo VMnet 2 (IP 192.x); Adapter 3 nối card mạng ảo VMnet 3 (IP 192.x).
      • Máy ảo 2: Chạy hệ điều hành pfSense, kết nối 3 card mạng ảo: Interface em0 (WAN) nối VMnet 2; Interface em1 (OPT1 đóng vai trò WAN thứ 2) nối VMnet 3; Interface em2 (LAN) nối VMnet 4 với địa chỉ IP cục bộ là 10.1.

  • Các bước cài đặt và cấu hình chức năng chính:

    • Cài đặt hệ thống: Khởi động bộ cài pfSense, nhấn phím 99 để vào chế độ cài đặt (Custom Install), chọn n (No) khi được hỏi cấu hình VLANs, tiến hành gán cổng em0 làm WAN, em1 làm OPT1 và em2 làm LAN. Sau đó truy cập giao diện quản trị Web GUI qua địa chỉ http://10.1 với tài khoản mặc định admin/pfSense.
    • Cấu hình Load Balancing (Cân bằng tải): Truy cập Services => Load Balancer, chọn mục Load Balancing, đưa interface WAN và OPT1 vào danh sách điều phối mạng nhằm phân chia lưu lượng từ mạng LAN ra Internet, tránh nghẽn mạng và tự động chuyển hướng khi một đường truyền gặp sự cố.
    • Cấu hình Firewall Rules: Thiết lập các quy tắc quản lý lưu lượng (Block, Pass, Reject) trên tab LAN để kiểm soát chặt chẽ các luồng dữ liệu ra/vào hệ thống.
    • Cấu hình Captive Portal (Cổng xác thực người dùng): Truy cập Services => Captive Portal, tạo trang web xác thực index.htm chứa form đăng nhập trước khi cấp quyền truy cập Internet cho thiết bị:
<form method="post" action="$PORTAL_ACTION$">
  <input name="auth_user" type="text">
  <input name="auth_pass" type="password">
  <input name="redirurl" type="hidden" value="$PORTAL_REDIRURL$">
  <input name="accept" type="submit" value="Continue">
</form>
  • Cấu hình VPN Server (PPTP): Truy cập VPN => PPTP, kích hoạt dịch vụ PPTP Server, tạo danh sách User VPN và tạo quy tắc trên Firewall Rules mở cổng Port 1723 cho phép nhân viên làm việc từ xa kết nối an toàn vào mạng nội bộ công ty.
  • Cấu hình NAT Inbound (Port Forwarding): Truy cập Firewall => NAT để cấu hình công bố (publish) các dịch vụ máy chủ nội bộ (Web Server, Mail Server) ra môi trường Internet an toàn.

2. Nâng cao hiệu quả quản trị và bảo mật Microsoft SQL Server 2014

Khóa luận xây dựng các giải pháp bổ trợ cho hệ quản trị CSDL Microsoft SQL Server 2014 đang vận hành tại công ty:

  • Thiết lập và cấu hình an toàn: Cập nhật định kỳ các bản vá lỗi (hotfix/patch), sử dụng công cụ quét lỗ hổng, gỡ bỏ các CSDL không còn sử dụng, thiết lập nhật ký theo dõi thay đổi cấu trúc CSDL (ghi nhận nội dung, lý do, thời gian và vị trí thay đổi).
  • Quản lý định danh và tài khoản: Rà soát toàn bộ tài khoản người dùng ít nhất 6 tháng một lần; thực hiện quy trình hủy tài khoản, thu hồi quyền truy cập và tài sản liên quan khi nhân viên nghỉ việc hoặc chuyển công tác.
  • Kiểm soát đăng nhập: Giới hạn số lần đăng nhập sai liên tiếp, kích hoạt cơ chế tự động khóa/cô lập tài khoản khi vượt ngưỡng quy định; bắt buộc kết nối qua VPN khi truy cập từ xa; thiết lập chính sách mật khẩu mạnh và đổi định kỳ.
  • Quản lý tài nguyên và sao lưu: Giới hạn quyền chia sẻ thư mục mạng (Network File and Folder Sharing), cấm tuyệt đối chia sẻ toàn bộ ổ cứng; thiết lập mật khẩu bảo vệ tài nguyên; thực hiện sao lưu CSDL mềm hàng ngày và số hóa dữ liệu cứng (hợp đồng, hóa đơn, chứng từ) lưu trữ tập trung.

Kết quả và đóng góp

  • Hệ thống hóa dữ liệu kinh doanh và thực trạng bảo mật: Báo cáo chi tiết bức tranh tài chính 3 năm (2015-2017) với doanh thu năm 2017 đạt trên 35,47 tỷ đồng và lợi nhuận sau thuế đạt trên 8,07 tỷ đồng; phản ánh đúng thực tế 70% nhân viên đánh giá HTTT hiện tại kém an toàn và 40% nhận định cơ sở dữ liệu là thành phần quan trọng nhất cần được bảo vệ.
  • Xây dựng giải pháp kỹ thuật hoàn chỉnh và khả thi: Thiết kế chi tiết sơ đồ mạng đa WAN, kiểm thử thành công trên môi trường giả lập VMware Workstation mô hình tường lửa pfSense 2.2 tích hợp cân bằng tải, xác thực Captive Portal, mở cổng NAT và thiết lập kết nối VPN PPTP qua cổng 1723 phục vụ làm việc từ xa.
  • Đóng góp về mặt quy trình và quản trị: Hoàn thiện bộ đề xuất nâng cao bảo mật cho CSDL SQL Server 2014 và chính sách quản lý nhân sự (ký thỏa thuận bảo mật dữ liệu khách hàng NDA, hủy tài liệu mật, quản lý quyền truy cập mã nguồn qua SVN).

Hạn chế và hướng nghiên cứu tiếp

  • Hạn chế của đề tài:
    • Phạm vi nghiên cứu mang tính vi mô, chỉ tập trung trong khuôn khổ một doanh nghiệp phần mềm quy mô nhỏ (Công ty TNHH Giải pháp phần mềm Gia Linh).
    • Khung thời gian dữ liệu dừng ở giai đoạn 2015 - 2017.
    • Mẫu khảo sát định lượng sơ cấp còn khiêm tốn (N = 10 cán bộ nhân viên).
    • Mô hình tường lửa pfSense mới được thực hiện và kiểm thử trên môi trường giả lập (máy ảo VMware Workstation phối hợp với Windows Server 2003), chưa có điều kiện đánh giá hiệu năng chịu tải trên hệ thống mạng thực tế với lưu lượng lớn trong thời gian dài.
  • Hướng nghiên cứu tiếp theo:
    • Triển khai thử nghiệm và đánh giá thực tế hệ thống tường lửa pfSense trên máy chủ vật lý chuyên dụng tại công ty.
    • Nghiên cứu mở rộng các phương thức mã hóa CSDL chuyên sâu cho SQL Server và tích hợp các chuẩn VPN hiện đại hơn như IPsec hoặc OpenVPN.

Giá trị tham khảo

Khóa luận là tài liệu tham khảo phù hợp cho:

  • Sinh viên các ngành Hệ thống thông tin kinh tế, Hệ thống thông tin quản lý, Thương mại điện tử và Công nghệ thông tin: Tham khảo phương pháp xây dựng báo cáo thực tập, cấu trúc bài khóa luận tốt nghiệp kết hợp giữa lý luận quản trị và giải pháp kỹ thuật, cách thiết kế bảng hỏi và xử lý số liệu khảo sát an toàn thông tin.
  • Cán bộ quản trị hệ thống tại các doanh nghiệp vừa và nhỏ: Tham khảo quy trình cài đặt, sơ đồ đấu nối và các bước cấu hình chi tiết tường lửa pfSense (Load Balancing 2 WAN, Captive Portal, VPN Server, NAT Inbound) và các bước chuẩn hóa bảo mật CSDL SQL Server 2014.

Câu hỏi thường gặp

1. Kết quả hoạt động kinh doanh của Công ty TNHH Giải pháp phần mềm Gia Linh trong giai đoạn 2015 - 2017 như thế nào?
Trong giai đoạn 2015 - 2017, hoạt động kinh doanh của công ty tăng trưởng liên tục. Doanh thu thuần tăng từ 23.190.019.944 VNĐ (năm 2015) lên 28.457.059.200 VNĐ (năm 2016, tăng 22,01%) và đạt 34.676.630.869 VNĐ (năm 2017, tăng 21,27%). Lợi nhuận sau thuế tương ứng đạt 4.583.721.387 VNĐ (năm 2015), 6.590.054.659 VNĐ (năm 2016, tăng 43,77%) và 8.076.276.984 VNĐ (năm 2017, tăng 22,55%).

2. Điểm yếu và rủi ro lớn nhất về an toàn bảo mật tại Công ty Gia Linh được tác giả chỉ ra là gì?
Công ty chỉ sử dụng Windows Firewall cục bộ trên máy tính cá nhân mà không có tường lửa tập trung bảo vệ toàn mạng; một số máy tính mới chưa có bản quyền hệ điều hành; sử dụng các công cụ điều khiển từ xa (TeamViewer, Remote Desktop) thiếu kiểm soát; nhân viên kỹ thuật mới có quyền xem toàn bộ mã nguồn qua TortoiseSVN; nhiều nhân viên dùng laptop cá nhân chưa được kiểm soát an ninh mạng; và chính sách bảo mật nội bộ chỉ tồn tại ở dạng bản thảo chưa được ban hành chính thức.

3. Khảo sát 10 cán bộ nhân viên công ty cho thấy nhận định như thế nào về độ an toàn HTTT và tầm quan trọng của CSDL?
Có tới 70% nhân viên đánh giá mức độ an toàn bảo mật HTTT của công ty ở mức "Kém an toàn", 20% đánh giá "Tương đối an toàn" và chỉ 10% đánh giá "Rất an toàn". Bên cạnh đó, Cơ sở dữ liệu được bình chọn là thành phần quan trọng nhất trong HTTT với tỷ lệ 40%, xếp trên Con người (20%), Phần mềm (20%), Phần cứng (10%) và Mạng (10%).

4. Mô hình tường lửa pfSense 2.2 đề xuất trong khóa luận được thiết lập và cấu hình những tính năng kỹ thuật nào?
Mô hình tường lửa pfSense 2.2 được thiết lập với 2 đường WAN và 1 đường LAN, cấu hình các tính năng gồm: Gateway Load Balancing (cân bằng tải và dự phòng 2 đường truyền Internet), Firewall Rules (kiểm soát luồng dữ liệu LAN/WAN), Captive Portal (chuyển hướng người dùng xác thực qua form web trước khi ra Internet), PPTP VPN Server (mở Port 1723 để làm việc từ xa an toàn), và NAT Inbound (công bố máy chủ Web/Mail ra Internet).

5. Tác giả đề xuất những giải pháp gì để nâng cao an toàn cho CSDL Microsoft SQL Server 2014 tại công ty?
Tác giả đề xuất: cập nhật thường xuyên các bản vá lỗi và gỡ bỏ CSDL không sử dụng; xây dựng nhật ký theo dõi thay đổi cấu trúc CSDL; kiểm tra và rà soát định danh tài khoản định kỳ 6 tháng/lần; giới hạn số lần đăng nhập sai và tự động khóa tài khoản; bắt buộc dùng kết nối VPN khi thao tác từ xa; kiểm soát chia sẻ thư mục mạng và duy trì sao lưu dữ liệu CSDL hàng ngày.

Kết luận

Khóa luận tốt nghiệp đã hệ thống hóa toàn diện cơ sở lý luận về an toàn thông tin và bảo mật cơ sở dữ liệu trong doanh nghiệp, đồng thời phản ánh khách quan thực trạng an ninh mạng tại Công ty TNHH Giải pháp phần mềm Gia Linh giai đoạn 2015 - 2017. Dựa trên các phát hiện thực tế về lỗ hổng hệ thống và nhu cầu bảo mật, tác giả đã thiết kế và kiểm thử thành công giải pháp tường lửa mã nguồn mở pfSense 2.2 kết hợp với các quy tắc quản trị CSDL Microsoft SQL Server 2014 và chính sách quản lý nhân sự. Đề tài cung cấp những giải pháp kỹ thuật có tính ứng dụng cao, giúp doanh nghiệp khắc phục điểm yếu bảo mật, bảo vệ dữ liệu khách hàng và nâng cao hiệu quả vận hành hệ thống thông tin.