CHƯƠNG 1 1. Khái quát về an toàn thông tin 1. Thông tin * Thông tin là gì? Có rất nhiều khái niệm thông tin nhưng khái niệm thông tin là gì chính xác nhất đó là: Thông tin là những gì con người thu nhận được từ thế giới xung quanh như sự vật, sự kiện,…Thông tin đem lại nhiều kiến thức, sự hiểu biết cho con người. Theo wikipedia, 13 định nghĩa thông tin là giải quyết sự không chắc chắn; đó là câu trả lời cho câu hỏi “thực thể là gì”.
Do đó, xác định được cả bản chất của các đặc tính đó. Thông tin được liên kết với các dữ liệu vì dữ liệu đại diện cho các giá trị sẽ được quy cho các tham số. Về mặt truyền thông, thông tin được thể hiện dưới dạng nội dung của tin nhắn hoặc thông qua sự quan sát trực tiếp, gián tiếp. Thông tin cũng có thể được mã hóa thành nhiều dạng khác nhau để truyền và giải thích.
Tựu chung, khái niệm về thông tin là sự phản ánh sự vật, sự việc, hiện tượng của thế giới khách quan, các hoạt động của con người trong đời sống xã hội. Điều cơ bản là con người sẽ tiếp nhận thông tin để làm tăng hiểu biết cho mình và tiến hành những hoạt động có ích cho cộng đồng. * Thông tin số là gì? Thông tin số được định nghĩa tại Khoản 11 Điều 3 Nghị định 71/2007/NĐ-CP Hướng dẫn Luật công nghệ thông tin về công nghiệp công nghệ thông tin đó là: Sản phẩm nội dung thông tin số bao gồm các văn bản, dữ liệu, hình ảnh, âm thanh được thể hiện dưới dạng thông tin số, được lưu giữ, truyền đưa trên môi trường mạng. (Bài giảng điện tử được thực hiện dưới dạng thông tin số) Theo quy định pháp luật hiện hành thì sản phẩm nội dung thông tin số hiện nay bao gồm các loại sản phẩm sau: a) Giáo trình, bài giảng, tài liệu học tập dưới dạng điện tử; b) Sách, báo, tài liệu dưới dạng số; 14 c) Các loại trò chơi điện tử bao gồm trò chơi trên máy tính đơn, trò chơi trực tuyến, trò chơi trên điện thoại di động; trò chơi tương tác qua truyền hình; d) Sản phẩm giải trí trên mạng viễn thông di động và cố định; đ) Thư viện số, kho dữ liệu số, từ điển điện tử; e) Phim số, ảnh số, nhạc số, quảng cáo số; g) Các sản phẩm nội dung thông tin số khác.
Hiểu một cách đơn giản, thông tin số là thông tin được tạo lập bằng phương pháp dùng tín hiệu số. * Khái niệm tổ chức thông tin trong máy tính là gì? Chức năng chính của máy tính hiện nay là xử lý thông tin. Trong quá trình xử lý, máy tính cần tìm đến, đọc và ghi các thông tin trên thiết bị lưu trữ. Nếu tổ chức thông minh một cách hợp lý thì việc truy cập đến sẽ rất nhanh chóng nhất là khi khối lượng thông tin lớn.
Để thực hiện được, hệ điều hành tổ chức thông tin cần phải theo cấu trúc hình cây gồm các tệp và thư mục. An toàn thông tin An toàn thông tin (Information security) là việc bảo vệ chống truy nhập, sử dụng, tiết lộ, sửa đổi, hoặc phá hủy thông tin một cách trái phép, theo trang Wikipedia (https://en.org/wiki/Information_security). Theo cuốn Principles of Information Security [1], An toàn thông tin là việc bảo vệ các thuộc tính bí mật (confidentiality), tính toàn vẹn (integrity) và tính sẵn dùng (availability) của các tài sản thông tin trong quá trình chúng được lưu trữ, xử lý, hoặc truyền tải. An toàn công nghệ thông tin, hay còn gọi là An toàn máy tính (Computer security) là việc đảm bảo an toàn cho các hệ thống công nghệ thông tin, bao gồm các hệ thống máy tính và mạng, chống lại các cuộc tấn công phá hoại.
Đảm bảo thông tin là việc đảm bảo thông tin không bị mất khi xảy ra các sự cố, như thiên tai, hỏng hóc, trộm cắp, phá hoại,. Đảm bảo thông tin thường được thực hiện sử dụng các kỹ thuật sao lưu ngoại vi (offsite backup), trong đó dữ liệu thông tin từ hệ thống gốc được sao lưu ra các thiết bị lưu trữ vật lý đặt ở một vị trí khác. Hệ thống thông tin Hệ thống thông tin (Information system), theo cuốn Fundamentals of Information Systems Security [2] là một hệ thống tích hợp các thành phần nhằm phục vụ việc thu thập, lưu trữ, xử lý thông tin và chuyển giao thông tin, tri thức và các sản phẩm số. Trong nền kinh tế số, hệ thống thông tin đóng vai trò rất quan trọng trong hoạt động của các tổ chức, cơ quan và doanh nghiệp (gọi chung là tổ chức).
Có thể nói, hầu hết các tổ chức đều sử dụng các hệ thống thông tin với các quy mô khác nhau để quản lý các hoạt động của mình. Hệ thống thông tin được sử dụng để tương tác với khách hàng (Customers), với nhà cung cấp (Suppliers), với cơ quan chính quyền (Regulatory Agencies), với cổ đông (Stockholders) và với đối thủ cạnh tranh (Competitors). Có thể nêu là một số hệ thống thông tin điển hình như các hệ lập kế hoạch nguồn lực doanh nghiệp, các máy tìm kiếm và các hệ thống thông tin địa lý. Trong lớp các hệ thống thông tin, hệ thống thông tin dựa trên máy tính (Computer-based information system), hay sử dụng công nghệ máy tính để thực thi các nhiệm vụ là lớp hệ thống thông tin được sử dụng rộng rãi nhất.
Hệ thống thông tin dựa trên máy tính thường gồm các thành phần: phần cứng (Hardware) để thu thập, lưu trữ, xử lý và biểu diễn dữ liệu; phần mềm (Software) chạy trên phần cứng để xử lý dữ liệu; cơ sở dữ liệu (Databases) để lưu trữ dữ liệu; mạng (Networks) là hệ thống truyền dẫn thông tin/dữ liệu; và các thủ tục (Procedures) là tập hợp các lệnh kết hợp các bộ phận nêu trên để xử lý dữ liệu, đưa ra kết quả mong muốn. Một số khái niệm liên quan * Truy nhập (Access) là việc một chủ thể, người dùng hoặc một đối tượng có khả năng sử dụng, xử lý, sửa đổi, hoặc gây ảnh hưởng đến một chủ thể, người dùng hoặc một đối tượng khác. Trong khi người dùng hợp pháp có quyền truy nhập hợp pháp đến một hệ thống thì tin tặc truy nhập bất hợp pháp đến hệ thống. * Tài sản (Asset) là tài nguyên của các tổ chức, cá nhân được bảo vệ.
Tài sản có thể là tài sản lô gíc, như một trang web, thông tin, hoặc dữ liệu. Tài sản có thể là tài sản vật lý, như hệ thống máy tính, thiết bị mạng, hoặc các tài sản khác. * Tấn công (Attack) là hành động có chủ ý hoặc không có chủ ý có khả năng gây hại, hoặc làm thỏa hiệp các thông tin, hệ thống và các tài sản được bảo vệ. Tấn công có thể chủ động hoặc thụ động, trực tiếp hoặc gián tiếp.
Một số nhìn nhận và sự cần thiết của an toàn bảo mật thông tin (Số lượng các thiết bị kết nối vào Internet đến 2015 và dự báo đến 2021) Trong những năm gần đây, cùng với sự phát triển mạnh mẽ của các thiết bị di động, và đặc biệt là các thiết bị loT (Internet of Things), số lượng người dùng mạng Internet và số lượng thiết bị kết nối vào mạng Internet tăng trưởng nhanh chóng. Theo thống kê và dự báo của Forbes [3] như hình ảnh trên, thì số lượng các thiết bị có kết nối Internet là khoảng 15 tỷ và dự báo sẽ tăng mạnh lên khoảng 28 tỷ thiết bị có kết nối vào năm 2021. Các thiết bị IoT kết nối thông minh là nền tảng cho phát triển nhiều ứng dụng quan trọng trong các lĩnh vực của đời sống xã hội, như thành phố thông minh, cộng đồng thông minh, ngôi nhà thông minh, ứng dụng giám sát và chăm sóc sức khỏe,. (Số lượng các sự cố toàn hệ thống thông tin được thông báo đến Cơ quan ứng cứu khẩn cấp máy tính (US-CERT) trong giai đoạn 2006 - 2014 [4]) Cùng với những lợi ích to lớn mà các thiết bị kết nối Internet mạng lại, các sự cố mất an toàn thông tin đối với các hệ thống máy tính, điện thoại di động thông minh, các thiết bị 19 IoT và người dùng cũng tăng vọt.
Theo số liệu ghi nhận của Cơ quan Thống kê quốc gia Hoa Kỳ cho ở hình trên, số lượng các sự cố mất an toàn hệ thống thông tin được thông báo đến Cơ quan ứng cứu khẩn cấp máy tính (US-CERT) trong giai đoạn 2006 - 2014 tăng rất mạnh, từ 5.503 vụ vào năm 2006 lên đến 67. Ở Việt Nam, trong báo cáo “Tổng kết an ninh mạng năm 2015 và dự báo xu hướng 2016” [5], Tập đoàn Bkav cho biết 8.700 tỷ đồng là tổng thiệt hại ước tính do virus máy tính gây ra đối với người dùng Việt Nam trong năm 2015. Con số này vẫn ở mức cao và tiếp tục tăng so với 8.500 tỷ đồng của năm 2014. Dự báo trong năm 2016 và các năm tiếp theo, số lượng sự cố và thiệt hại do mất an toàn thông tin gây ra còn có thể lớn hơn nữa, do số lượng thiết bị kết nối tăng trưởng nhanh chóng và nguy cơ từ sự phát triển mạnh của các phần mềm độc hại và các kỹ thuật tấn công, phá hoại tinh vi.
Như vậy, việc đảm bảo an toàn cho thông tin, máy tính, hệ thống mạng và các thiết bị kết nối khác, chống lại các truy nhập trái phép và các cuộc tấn công phá hoại là rất cần thiết không chỉ đối với các cá nhân, cơ quan, tổ chức, doanh nghiệp mà còn cả đối với an ninh quốc gia. Hơn nữa, việc xây dựng các giải pháp an toàn thông tin chỉ thực sự hiệu quả khi được thực hiện bài bản, đồng bộ, đảm bảo cân bằng giữa tính an toàn, tính hữu dụng của hệ thống và chi phí đầu tư cho các biện pháp đảm bảo an toàn. Các yêu cầu đảm bảo An toàn thông tin và Hệ thống thông tin Như đã trình bày trong Mục 1, việc đảm bảo an toàn thông tin hoặc hệ thống thông tin là việc đảm bảo ba thuộc tính của thông tin hoặc hệ thống thông tin, bao gồm tính Bí mật (Confidentiality), tính Toàn vẹn (Integrity) và tính Sẵn dùng (Availability). Ngoài ra ở một số hệ thống còn bổ sung thêm yêu cầu về tính Chống thoái thác (Non-repudiation).
Đây cũng là bốn yêu cầu đảm bảo an toàn thông tin và hệ thống thông tin. Bí mật (Confidentiality) Tính bí mật đảm bảo rằng chỉ người dùng có thẩm quyền mới được truy nhập thông tin, hệ thống.