CHƯƠNG I: CƠ SỞ LÝ LUẬN VỀ AN TOÀN BẢO MẬT THÔNG TIN TRONG HỆ THỐNG THÔNG TIN CỦA CÔNG TY 1.1 MỘT SỐ KHÁI NIỆM CƠ BẢN 1.1 Thông tin Thông tin là một bộ dữ liệu được tổ chức, doanh nghiệp sử dụng một phương thức nhất định sao cho chúng mang lại một giá trị gia tăng so với giá trị vốn có của dữ liệu. Thông tin chính là dữ liệu đã qua xử lý (phân tích, tổng hợp, thống kê) có ý nghĩa thực tiễn, phù hợp với mục đích cụ thể của người sử dụng. Thông tin có thể gồm nhiều giá trị dữ liệu có liên quan nhằm mang lại ý nghĩa trọn vẹn cho một sự vật hiện tượng cụ thể trong ngữ cảnh.2 Hệ thống thông tin Hệ thống thông tin là một tập hợp phần cứng, phần mềm, cơ sở dữ liệu, mạng viễn thông, con người và các quy trình thủ tục khác nhằm thu thập, xử lý, lưu trữ và truyền phát thông tin trong một tổ chức, doanh nghiệp. Hệ thống thông tin hỗ trợ việc ra quyết định, phân tích tình hình, lập kế hoạch, điều phối và kiểm soát các hoạt động trong một tổ chức, doanh nghiệp.
Hệ thống thông tin có thể là thủ công nếu dựa vào các công cụ thủ công như giấy, bút, thước, tủ hồ sơ,… còn hệ thống thông tin hiện đại là hệ thống tự động hóa dựa vào mạng máy tính và các thiết bị công nghệ khác. Hệ thống thông tin bao gồm 5 thành phần (còn gọi là năm nguồn lực hay năm nguồn tài nguyên) chính. 7 Nguồn lực phần cứng: Trang thiết bị phần cứng của một hệ thống thông tin gồm các thiết bị vật lý được sử dụng trong quá trình xử lý thông tin như nhập dữ liệu vào, xử lý và truyền phát thông tin ra. Phần cứng là các thiết bị hữu hình có thể nhìn thấy, cầm nắm được.
Nguồn lực phần mềm: Phần mềm là các chương trình được cài đặt trong hệ thống, thực hiện công việc quản lý hoặc các quy trình xử lý trong hệ thống thông tin. Phần mềm được sử dụng để kiểm soát và điều phối phần cứng, thực hiện xử lý và cung cấp thông tin theo yêu cầu của người sử dụng. Nguồn lực dữ liệu: Cơ sở dữ liệu là tập hợp dữ liệu có tổ chức và có liên quan đến nhau được lưu trữ thứ cấp (như băng từ, đĩa từ) để phục vụ yêu cầu khai thác thông tin đồng thời của nhiều người sử dụng hay nhiều chương trình ứng dụng với mục đích tại nhiều thời điểm khác nhau. Nguồn lực mạng: Mạng máy tính gồm tập hợp máy tính và các thiết bị được kết nối với nhau nhờ đường truyền vật lý theo một kiến trúc nhất định dựa trên giao thức nhằm chia sẻ các tài nguyên trong mạng của tổ chức, doanh nghiệp.
Nguồn lực con người: Trong hệ thống thông tin hiện đại, yếu tố con người bao gồm tất cả những đối tượng tham gia quản lý, xây dựng, mô tả, lập trình, sử dụng, nâng cấp và bảo trì hệ thống. Con người được coi là thành phần quan trọng nhất, đóng vai trò chủ động để tích hợp các thành phần trong hệ thống để đạt được hiệu quả cao nhất trong hoạt động.3 An toàn bảo mật HTTT An toàn và bảo mật dữ liệu có thể hiểu là quá trình đảm bảo cho hệ thống tránh khỏi những nguy cơ thay đổi hoặc sao chép dữ thông tin. Các nguy cơ này có thể là ngẫu nhiên (do tai nạn) hoặc có chủ định (bị phá hoại từ bên ngoài). Việc bảo vệ dữ liệu có thể được thực hiện bằng các thiết bị phần cứng (các hệ thống sao lưu dữ liệu,…) hay các chương trình phần mềm (trình diệt Virus, các chương trình mã hóa,…) [1] An toàn bảo mật trong HTTT là thông tin không bị hỏng hóc, không bị sửa đổi, thay đổi, sao chép hoặc xóa bỏ bởi người không được phép.
ATTT là quá trình đảm bảo cho hệ thống dữ liệu tránh khỏi những nguy cơ hỏng hóc hoặc mất mát. Các nguy cơ tiềm ẩn về khả năng mất an toàn thông tin ngẫu nhiên như thiên tai, hỏng vật lí, mất điện… và các nguy cơ có chủ định như tin tặc, cá nhân bên ngoài, phá hỏng vật lí, can thiệp có chủ ý…[14] Hệ thống thông tin là thành phần thiết yếu trong mọi cơ quan, tổ chức, đem lại khả năng xử lý thông tin, nhưng hệ thống thông tin cũng chứa rất nhiều điểm yếu. Do máy tính được phát triển với tốc độ rất nhanh để đáp ứng nhiều yêu cầu của người dùng, các phiên bản được phát hành liên tục với các tính năng mới được thêm vào ngày càng nhiều, điều này làm cho các phần mềm không được kiểm tra kỹ trước khi phát hành và bên trong chúng chứa rất nhiều lỗ hổng có thể dễ dàng bị lợi dụng. Thêm vào đó là việc phát triển của hệ thống mạng, cũng như sự phân tán của hệ thống thông 9 tin, làm cho người dùng truy cập thông tin dễ dàng hơn và tin tặc cũng có nhiều mục tiêu tấn công dễ dàng hơn.
Song song với việc xây dựng hệ thống thông tin hiện đại, đáp ứng nhu cầu của các cơ quan, tổ chức cần phải bảo vệ hệ thống thông tin, đảm bảo cho hệ thống đó hoạt động ổn định và tin cậy. An toàn và bảo mật thông tin là thiết yếu trong mọi cơ quan, tổ chức.An toàn bảo mật thông tin có vai trò quan trọng đối với sự phát triển bền vững của các doanh nghiệp. Đối với mỗi doanh nghiệp, thông tin có thể coi là tài sản vô giá. Xây dựng một HTTT an toàn giúp cho việc quản lý hệ thống trở nên rõ ràng, minh bạch hơn.
Một môi trường thông tin an toàn, trong sạch sẽ có tác động không nhỏ đến việc giảm thiểu chi phí quản lý và hoạt động của doanh nghiệp, nâng cao uy tín của doanh nghiệp, tạo điều kiện thuận lợi cho sự hội nhập một môi trường thông tin lành mạnh. Điều này sẽ tác động mạnh đến ưu thế cạnh tranh của tổ chức. Rủi ro về thông tin có thể gây thất thoát tiền bạc, tài sản, con người và gây thiệt hại đến hoạt động kinh doanh sản xuất của doanh nghiệp. Do vậy, đảm bảo ATTT doanh nghiệp cũng có thể coi là một hoạt động quan trọng trong sự nghiệp phát triển của doanh nghiệp.[14] Một HTTT an toàn thì các sự cố có thể xảy ra không thể làm cho hoạt động chủ yếu của nó ngừng hẳn và chúng sẽ được khắc phục kịp thời mà không gây thiệt hại đến cho chủ sở hữu.
ATTT đó là việc đảm bảo được tính bảo mật qua việc đảm bảo dữ liệu của người sử dụng luôn được bảo vệ, không bị mất mát. Dữ liệu không bị tạo ra, sửa 10 đổi hay xóa bởi những người không sở hữu và luôn trong trạng thái sẵn sàng. Đồng thời có tính tin cậy đảm bảo thông tin mà người dùng nhận được là đúng.2 MỘT SỐ LÝ THUYẾT VỀ ĐỀ TÀI NGHIÊN CỨU 1.1 Một số nguy cơ mất an toàn bảo mật dữ liệu, thông tin trong HTTT 1.1 Nguy cơ mất ATTT: Có thể chia nguy cơ mất ATTT thành 2 loại: - Nguy cơ ngẫu nhiên: Nguy cơ mất ATTT ngẫu nhiên có thể xuất phát từ các hiện tượng khách quan như thiên tai(lũ lụt, sóng thần, động đất…), hỏng vật lý, mất điện…Đây là những nguyên khách quan, khó dự đoán trước, khó tránh được nhưng đó lại không phải là nguy cơ chính của việc mất ATTT. - Nguy cơ có chủ định: Cùng với sự phát triển của xã hội, sự bùng nổ CNTT, thì nguy cơ mất ATTT cũng ngày càng gia tăng.
Nguy cơ mất ATTT ở Việt Nam đang tăng lên khi chúng ta đang đứng thứ 5 trong tổng số 10 nước có nguy cơ mất ATTT cao nhất trong năm 2010 dựa trên các bản báo cáo tổng hợp về an ninh thông tin của nhiều hãng bảo mật nước ngoài như McAfee, Kaspersky hay CheckPoint…Theo đánh giá của các chuyên gia, tội phạm công nghệ cao đang gia tăng với xu hướng có tính quốc tế rõ rệt, việc tấn công cơ sở dữ liệu của các cơ quan nhà nước, e-banking, các công ty thương mại điện tử liên tục xảy ra. Ngoài ra, số lượng lớn các vụ tấn công gây thiệt hại về kinh tế nhưng rất khó ước tính cũng trở thành mối đe doạ cho sự cạnh tranh, phát triển của nền kinh tế. 11 Trên đây là các nguy cơ đến từ môi trường bên ngoài doanh nghiệp. Trên thực tế, vấn đề ATTT của doanh nghiệp còn luôn phải đối mặt với các nguy cơ xuất phát từ chính nội tại doanh nghiệp như: nguy cơ do yếu tố kĩ thuật(thiết bị mạng, máy chủ, HTTT,.); nguy cơ do lập kế hoạch, triển khai, thực thi, vận hành; nguy cơ trong quy trình, chính sách an ninh bảo mật,…; nguy cơ do yếu tố con người (vận hành, đạo đức nghề nghiệp).
Các phương thức tấn công và phòng vệ hệ thống thông tin. - Tấn công từ chối dịch vụ DoS. Dạng tấn công này không xâm nhập vào hệ thống để lấy cắp hay thay đổi thông tin mà chỉ nhằm vào mục đích ngăn chặn hoạt động bình thường của hệ thống, đặc biệt đối với các hệ thống phục vụ trên mạng công cộng như web server, Mail server… Các tấn công từ chối dịch vụ thường rất dễ nhận ra do tác động cụ thể của nó đối với hệ thống. Mục tiêu tấn công của từ chối dịch vụ có thể là một máy chủ hoặc một mạng con.
Cơ sở của tấn công từ chối dịch vụ là các sơ hở về bảo mật trong cấu hình hệ thống, sơ hở trong giao thức kết nối mạng và các lỗ hổng bảo mật của phần mềm, hoặc đơn giản là sự hạn chế của tài nguyên như băng thông kết nối, năng lực của máy chủ. Tấn công từ chối dịch vụ thường được thực hiện thông qua mạng Internet, nhưng cũng có thể xuất phát từ trong nội bộ hệ thống dưới dạng tác động của các phần mềm như worm hoặc trojan. 12 Hai kỹ thuận thường dùng để gây ra các tấn công từ chối dịch vụ truyền thông tương ứng với hai mục tiêu tấn công là Ping of Death và buffer-overflow. - Ping of Death tấn công vào kết nối mạng bằng cách gửi liên tục và với số lượng lớn các gói dữ liệu ICMP đến một mạng con nào đó, chiếm toàn bộ băng thông kế nối và do đó gây ra tắc nghẽn mạng.
- Buffer-overflow tấn công vào các máy chủ bằng cách nạp dự liệu vượt quá giới hạn của bộ đệm trên máy chủ, gây ra lỗi hệ thống. Các tấn công từ chối dịch vụ nổi tiếng trong lịch sử bảo mật máy tính như Code Red, Slapper, Slammer…. Là các tấn công sử dụng kỹ thuật buffer- overflow.