Bối cảnh và vấn đề nghiên cứu

Khóa luận được thực hiện dựa trên nghiên cứu thực tế tại Công ty TNHH Zenco Việt Nam (ZENCO VN Co.,Ltd) – một doanh nghiệp hoạt động trong lĩnh vực may đo, phân phối các sản phẩm đồng phục (với hai thương hiệu chính là Đồng Phục Đẹp K14.vn và CAVA Uniform) kết hợp in ấn trên các chất liệu vải, lụa, bông, da. Doanh nghiệp vận hành theo mô hình bán lẻ và kinh doanh trực tuyến (thương mại điện tử), trong đó hệ thống công nghệ thông tin đóng vai trò chi phối và dữ liệu được xem là tài sản sống còn. Tuy nhiên, sự gia tăng mức độ phức tạp của hạ tầng mạng kéo theo nhiều nguy cơ mất an toàn thông tin như lộ lọt, sửa đổi trái phép, mất mát dữ liệu hoặc tấn công từ chối dịch vụ. Tại công ty, phần lớn cán bộ nhân viên chưa ý thức đầy đủ về tầm quan trọng của công tác bảo mật, quy trình bảo đảm an toàn thông tin chưa được chuẩn hóa và thiếu tính thống nhất.

Mục tiêu nghiên cứu: Nghiên cứu và đưa ra một số giải pháp nhằm đảm bảo an toàn bảo mật thông tin cho Công ty TNHH Zenco.

Nhiệm vụ nghiên cứu:

  1. Tổng hợp lý thuyết và cơ sở lý luận về đảm bảo an toàn thông tin.
  2. Phân tích đánh giá thực trạng an toàn bảo mật thông tin của Công ty TNHH Zenco và đưa ra các thiếu sót, lỗ hổng của hệ thống thông tin dựa trên các tài liệu thu thập và phiếu điều tra.
  3. Trên cơ sở nghiên cứu thực trạng tại công ty, đưa ra một số đề xuất phòng chống và khắc phục để ngăn chặn các nguy cơ mất an toàn bảo mật thông tin có thể áp dụng cho công ty.

Đối tượng nghiên cứu: Vấn đề an toàn và bảo mật thông tin; khách thể nghiên cứu là Công ty TNHH Zenco (bao gồm hệ thống mạng máy chủ, máy trạm; các thiết bị phần cứng và phần mềm; cơ sở dữ liệu lưu trữ; cùng yếu tố con người và chính sách quản lý nội bộ).

Phạm vi nghiên cứu:

  • Không gian: Trụ sở Công ty TNHH Zenco tại số 5/55 Huỳnh Thúc Kháng, quận Đống Đa, Hà Nội, tập trung nghiên cứu tình hình an toàn và bảo mật cơ sở dữ liệu trong hệ thống thông tin nội bộ.
  • Thời gian: Số liệu báo cáo kết quả hoạt động kinh doanh giai đoạn 2016 – 2018 và các dữ liệu khảo sát thu thập trong quá trình thực tập năm 2019.

Cơ sở lý thuyết và phương pháp

Khung lý thuyết và khái niệm: Tác giả hệ thống hóa các khái niệm về thông tin, dữ liệu, hệ thống thông tin và cơ sở dữ liệu dựa trên giáo trình của Đàm Gia Mạnh (2009) và luận văn của Nguyễn Tuấn Anh. Mục tiêu an toàn và bảo mật được xác định theo mô hình ba thuộc tính cơ bản: tính bí mật (Confidentiality - chỉ người được cấp quyền mới được tiếp cận), tính trọn vẹn (Integrity - bảo vệ sự chính xác, chỉ người có thẩm quyền mới được thay đổi), và tính sẵn sàng (Availability - dữ liệu luôn sẵn sàng khi người có thẩm quyền cần truy xuất).

Các lý thuyết chuyên ngành về an toàn hệ thống thông tin:

  • Hình thức tấn công: Phân loại thành tấn công thụ động (lấy cắp dữ liệu trên đường truyền mà không làm biến đổi thông tin, gồm dạng ngoại tuyến và trực tuyến qua hình thức lừa đảo phishing) và tấn công chủ động (chặn bắt, sửa đổi dữ liệu trên đường truyền, tấn công lặp lại hoặc tấn công từ chối dịch vụ DoS lợi dụng cơ chế bắt tay 3 bước của TCP/IP).
  • Các nguy cơ mất an toàn: Khía cạnh vật lý (mất điện, nhiệt độ, độ ẩm, cháy nổ, hỏng hóc phần cứng); phần mềm độc hại (virus, sâu mạng Worm, trojan, spyware, adware); lỗ hổng lập trình hệ thống; tấn công dò mật khẩu (sử dụng các phần mềm tự động như Xavior, Authforce, Hypnopaedia); tấn công qua thư điện tử giả mạo; nguy cơ rò rỉ dữ liệu trên đường truyền và tắc nghẽn lưu lượng mạng.
  • Công nghệ bảo mật phổ biến: Tường lửa (Firewall), hệ thống phát hiện và ngăn chặn xâm nhập (IDS/IPS), mạng LAN ảo (VLAN), mạng riêng ảo (VPN với cơ chế xác thực AAA và mã hóa), và các giải pháp chống mã độc riêng lẻ, tập trung hoặc tại gateway.
  • Khung tài liệu tham khảo: Tổng quan các công trình trong nước (Đàm Gia Mạnh 2009, Bộ môn CNTT Đại học Nha Trang 2014, Nguyễn Tuấn Anh, Nguyễn Tiến Đức 2002 về tiêu chuẩn ISO/IEC 27001) và các nghiên cứu quốc tế (William Stallings 2005 về chuẩn mã hóa DES/NIST FIPS PUB 46, Erik Johansson & Pontus Johnson 2005 về mô hình cấu trúc doanh nghiệp EARP, Man Young Rhee 2003 về giao thức an ninh mạng Internet).

Phương pháp nghiên cứu:

  • Phương pháp thu thập dữ liệu sơ cấp: Phát 20 phiếu điều tra và phỏng vấn trực tiếp cán bộ nhân viên tại các phòng ban của Công ty TNHH Zenco để khảo sát hiện trạng sử dụng thiết bị, phần mềm, thói quen vận hành và nhận thức về an toàn thông tin.
  • Phương pháp thu thập dữ liệu thứ cấp: Tiếp cận báo cáo kết quả hoạt động kinh doanh 3 năm (2016, 2017, 2018) từ phòng Kế toán - Hành chính, các tài liệu kỹ thuật nội bộ và nguồn tài liệu chuyên khảo từ Internet.
  • Phương pháp phân tích và xử lý dữ liệu: Sử dụng phần mềm SPSS để thống kê mô tả định lượng (phân tích tần số, tỷ lệ phần trăm); kết hợp phương pháp định tính và công cụ Microsoft Excel để lập bảng số liệu, biểu đồ so sánh và phân tích nguyên nhân của các lỗ hổng bảo mật.

Nội dung chính theo từng chương

Chương 1: Cơ sở lý luận về vấn đề an toàn bảo mật thông tin

Chương này tập trung trình bày các định nghĩa khoa học về thông tin, dữ liệu, hệ thống thông tin, cơ sở dữ liệu và vai trò cốt lõi của an toàn thông tin đối với sự phát triển của doanh nghiệp. Tác giả phân tích bản chất của hai hình thức tấn công hệ thống (thụ động và chủ động), chỉ rõ cơ chế hoạt động của các phần mềm độc hại (virus lây nhiễm tệp cục bộ, sâu worm tự lây qua mạng, trojan và spyware ẩn danh để đánh cắp dữ liệu). Văn bản hệ thống hóa 7 nhóm nguy cơ mất an toàn dữ liệu trong hệ thống thông tin và phân tích nguyên lý kỹ thuật của 5 công nghệ bảo vệ chủ đạo gồm Tường lửa, IDS/IPS, VLAN, VPN và phần mềm quét mã độc. Đánh giá tổng quan tình hình nghiên cứu chỉ ra rằng các công trình tại Việt Nam (như nghiên cứu về ISO/IEC 27001) chủ yếu mang tính định hướng vĩ mô, chưa đi sâu vào khả năng ứng dụng thực tế cho một doanh nghiệp thương mại điện tử cụ thể.

Chương 2: Kết quả phân tích, đánh giá thực trạng về vấn đề an toàn bảo mật thông tin cho công ty TNHH Zenco

Chương 2 trình bày tổng quan về Công ty TNHH Zenco Việt Nam (thành lập năm 2012, hoạt động từ 06/03/2013, mã số thuế 0106115850 do ông Hoàng Văn Thành làm Giám đốc), cơ cấu tổ chức gồm Ban Giám đốc và các phòng chức năng: Kinh doanh, Kế toán - Hành chính, Thiết kế - Kỹ thuật. Kết quả kinh doanh giai đoạn 2016 – 2018 cho thấy doanh thu năm 2016 đạt 1.235,58 triệu đồng, năm 2017 đạt 1.482,49 triệu đồng, và năm 2018 tăng trưởng 186% so với năm 2016; lợi nhuận sau thuế năm 2016 đạt 697,11 triệu đồng.

Hiện trạng hạ tầng công nghệ thông tin gồm 15 máy tính để bàn, 20 máy tính xách tay, 1 máy in, 1 máy chiếu, 1 máy quét và 2 thiết bị kết nối mạng (cần bổ sung hoặc thay thế 2 thiết bị mạng). Phần mềm ứng dụng gồm bộ tin học văn phòng Office 2010, phần mềm kế toán MISA SME.NET, phần mềm tiếp thị Mass SEO Content, cùng dịch vụ lưu trữ đám mây Google Drive (thường gặp sự cố ngắt kết nối tài khoản, lỗi đồng bộ và lỗi 502 tạm thời). Về nhân sự, công ty có 5 nhân viên phụ trách phần cứng, 10 nhân viên phụ trách phần mềm; 90% nhân viên có chứng chỉ tin học; ngân sách dành cho bảo trì phần cứng, phần mềm và thuê nhân sự ngoài ước tính 80.000.000 đồng/năm (chưa tính chi phí đào tạo).

Kết quả điều tra thực trạng an toàn bảo mật từ 20 phiếu khảo sát ghi nhận các số liệu sau:

Tiêu chí khảo sát Số liệu ghi nhận Nhận xét thực trạng
Tần suất cập nhật thông tin website Thỉnh thoảng: 7/10; Hàng tháng: 2/10; Hàng tuần: 1/10; Hàng ngày: 0/10 Website ít được cập nhật thường xuyên
Biện pháp bảo vệ an toàn dữ liệu Sử dụng ổ cứng: 5/10 (50%); Đồng bộ lên mạng: 3/10 (30%); Sao lưu liên tục: 2/10 (20%) Lưu trữ phụ thuộc lớn vào ổ cứng cục bộ
Mức độ quan tâm của nhân viên tới ATBM Khá quan tâm: 10/20 (50%); Bình thường: 6/20 (30%); Rất quan tâm: 4/20 (20%) Sự quan tâm dừng ở mức trung bình
Đánh giá chất lượng phần mềm Tốt: 8/20; Khá: 6/20; Trung bình: 4/20; Rất tốt: 2/20; Kém: 0/20 Phần lớn nhân viên hài lòng với phần mềm
Nhận diện nguy cơ gây mất an toàn Phần mềm độc hại: 9 phiếu; Chủ định: 5 phiếu; Khác: 4 phiếu; Ngẫu nhiên: 2 phiếu Mã độc từ Internet là mối đe dọa lớn nhất
Bản quyền phần mềm diệt virus Có bản quyền chính hãng: 20%; Sử dụng bản miễn phí hoặc crack: 80% Nguy cơ lây nhiễm mã độc rất cao
Biện pháp phòng tránh đã sử dụng Biện pháp kỹ thuật: 15 phiếu (75%); Biện pháp phi kỹ thuật: 5 phiếu (25%) Chủ yếu dùng kỹ thuật, thiếu quy chế

Đánh giá thực trạng chỉ ra các điểm yếu cốt tử: công ty sử dụng chung duy nhất một máy chủ vật lý cho toàn bộ hệ thống website và dữ liệu nội bộ; 80% máy trạm dùng phần mềm không bản quyền; thiếu công cụ tự động cảnh báo lỗi kết nối giữa máy chủ và máy trạm; biện pháp bảo mật đường truyền sơ sài; chu kỳ sao lưu kéo dài 1 tháng/lần; và thiết bị phòng cháy chữa cháy lâu ngày không được kiểm tra định kỳ.

Chương 3: Định hướng phát triển và đề xuất giải pháp đảm bảo an toàn thông tin cho công ty TNHH Zenco Việt Nam

Dựa trên định hướng tăng cường bảo mật hệ thống và bảo vệ cơ sở dữ liệu kinh doanh của Zenco, tác giả đề xuất hệ thống giải pháp chia làm ba nhóm:

Giải pháp phần cứng và an ninh mạng: Đề xuất trang bị tường lửa phần cứng thế hệ mới Cisco ASA with FirePOWER Services (NGFW) để giám sát lưu lượng và ngăn chặn tấn công xâm nhập theo thời gian thực. Thiết lập bảo mật đường truyền không dây WEP độ dài khóa 128-bit hoặc nâng cấp chuẩn mã hóa; triển khai chứng chỉ số SSL cho website (gói dịch vụ hỗ trợ SAN 250.000 đồng/domain/năm, mã hóa 256-bit, bảo hiểm 10.000 USD). Bảng cấu hình kỹ thuật tối thiểu được đề xuất:

Loại thiết bị Cấu hình phần cứng tối thiểu Phần mềm và hệ điều hành
Máy chủ (Server) CPU Core 2 Duo 2.8 GHz trở lên, RAM 8GB, HDD 300GB, Card mạng 10/100/1000 Mbps Hệ điều hành Windows, Webserver Apache 2.x hoặc SQL Server 2008
Máy trạm người dùng CPU Intel, RAM tối thiểu, HDD 20GB, Card mạng 200 Mbps Hệ điều hành Windows, trình duyệt IE 5.5+/Firefox 1.4+/Opera 7.21+, CSDL SQL Server 2008

Giải pháp phần mềm và dữ liệu: Sử dụng hệ thống mã hóa tập tin EFS (Encrypting File System) trên phân vùng NTFS của hệ điều hành Windows để bảo vệ thư mục nhạy cảm; áp dụng công cụ BitLocker (thuật toán AES) hoặc Whole Disk Encryption, Drive Crypt để mã hóa toàn bộ ổ đĩa di động; nâng cấp hệ điều hành máy chủ lên Windows Server 2008; tích hợp chữ ký số PKI của Tập đoàn Viettel với mức phí 990.000 đồng/năm; rút ngắn chu kỳ sao lưu dữ liệu từ 1 tháng/lần xuống còn 1 tuần/lần (phân chia vị trí lưu bản sao ở xa cho rủi ro thảm họa và lưu tại chỗ cho lỗi thao tác); chuẩn hóa 100% phần mềm diệt virus có bản quyền trên tất cả máy trạm.

Giải pháp nguồn nhân lực và quản trị: Áp dụng nguyên tắc đặc quyền tối thiểu (least privilege) khi phân quyền tài khoản; kích hoạt cơ chế thẩm định truy cập (Audit) trên Windows Server để kiểm soát lịch sử mở tệp dữ liệu; ban hành văn bản quy chế và ký cam kết bảo mật thông tin với nhân viên; tuyển dụng nhân viên quản trị an toàn thông tin chuyên trách; tổ chức các chương trình tập huấn nâng cao nhận thức phòng chống thư điện tử giả mạo và mã độc.

Kết quả và đóng góp

Kết quả nghiên cứu:

  • Khảo sát thực tế 20 cán bộ nhân viên tại Zenco, làm rõ thực trạng 80% máy trạm sử dụng phần mềm diệt virus crack hoặc miễn phí, nguy cơ tấn công từ phần mềm độc hại đứng đầu (9/20 phiếu), và toàn bộ hệ thống vận hành phụ thuộc vào một máy chủ vật lý độc đạo.
  • Thiết lập thông số cấu hình phần cứng chuẩn cho máy chủ (RAM 8GB, HDD 300GB) và máy tính cá nhân, đề xuất bổ sung tường lửa Cisco ASA FirePOWER.
  • Đưa ra giải pháp sử dụng chữ ký số Viettel với chi phí 990.000 đồng/năm, gói chứng chỉ SSL cho website, và tái thiết lập chu kỳ sao lưu dữ liệu xuống 1 tuần/lần thay cho chu kỳ 1 tháng/lần trước đây.

Đóng góp của đề tài:

  • Về mặt lý luận: Hệ thống hóa cơ sở khoa học về an toàn và bảo mật hệ thống thông tin, làm rõ mối quan hệ giữa ba yếu tố kỹ thuật, phần mềm và con người trong mô hình doanh nghiệp thương mại điện tử bán lẻ quy mô nhỏ.
  • Về mặt thực tiễn: Phản ánh bức tranh thực chứng về hạ tầng công nghệ và nhận thức bảo mật tại Công ty TNHH Zenco giai đoạn 2016 – 2018; đồng thời xây dựng danh mục giải pháp đồng bộ có tính khả thi cao, phù hợp với ngân sách bảo trì 80.000.000 đồng/năm của doanh nghiệp.

Hạn chế và hướng nghiên cứu tiếp

Hạn chế:

  • Kích thước mẫu khảo sát nhỏ (n = 20 phiếu điều tra) tại một đơn vị may mặc cá biệt, chưa mang tính khái quát cao cho toàn ngành thương mại điện tử.
  • Xử lý định lượng mới dừng lại ở mức thống kê mô tả tần số và tỷ lệ phần trăm, chưa thực hiện các phân tích tương quan hay kiểm định hồi quy chuyên sâu trên phần mềm SPSS.
  • Cấu hình kỹ thuật đề xuất (như CPU Core 2 Duo, RAM 8GB, Windows Server 2008, giao thức WEP) phản ánh công nghệ tại thời điểm nghiên cứu năm 2019 và đã bộc lộ sự lạc hậu so với các tiêu chuẩn an ninh hiện hành.
  • Khóa luận chưa triển khai thử nghiệm thực tế giải pháp trên hệ thống của Zenco để đo lường hiệu năng và tính tương thích phần mềm.

Hướng nghiên cứu tiếp:

  • Mở rộng phạm vi khảo sát sang nhiều doanh nghiệp vừa và nhỏ trong lĩnh vực bán lẻ trực tuyến nhằm nâng cao tính đại diện của dữ liệu.
  • Nghiên cứu xây dựng lộ trình áp dụng hệ thống quản lý an toàn thông tin theo tiêu chuẩn quốc tế ISO/IEC 27001 cho doanh nghiệp thương mại điện tử.
  • Nghiên cứu phương án chuyển đổi từ máy chủ vật lý sang hạ tầng điện toán đám mây (Cloud Server) và thiết lập kịch bản kiểm thử xâm nhập (Penetration Testing) định kỳ.

Giá trị tham khảo

Đối tượng tham khảo:

  • Sinh viên và học viên chuyên ngành Hệ thống thông tin kinh tế, Thương mại điện tử, Công nghệ thông tin và Quản trị kinh doanh đang thực hiện khóa luận tốt nghiệp hoặc đề tài nghiên cứu về an toàn thông tin tại doanh nghiệp vừa và nhỏ (SMEs).
  • Cán bộ kỹ thuật, quản trị mạng và nhà quản lý tại các doanh nghiệp thương mại điện tử quy mô nhỏ cần tài liệu tham khảo để đánh giá hiện trạng và xây dựng phương án bảo mật chi phí thấp.

Nội dung có giá trị tham khảo cao:

  • Bảng câu hỏi điều tra khảo sát lỗ hổng bảo mật tại phần phụ lục (gồm 5 nhóm nội dung: hạ tầng chung, lỗ hổng phần cứng, phần mềm, con người, và giải pháp) có thể tái sử dụng trực tiếp làm công cụ thu thập dữ liệu sơ cấp cho các nghiên cứu tương tự.
  • Phương pháp tiếp cận kết hợp giữa thiết bị vật lý, dịch vụ lưu trữ trực tuyến (Google Drive) và thói quen bảo mật của nhân viên văn phòng.
  • Giải pháp tận dụng các tính năng bảo mật sẵn có của hệ điều hành Windows (EFS, BitLocker, Audit logging) kết hợp với dịch vụ bên ngoài (chữ ký số Viettel, chứng chỉ SSL) giúp tối ưu hóa ngân sách đầu tư công nghệ.

Câu hỏi thường gặp

  1. Tỷ lệ máy tính sử dụng phần mềm diệt virus có bản quyền tại Công ty TNHH Zenco thời điểm khảo sát là bao nhiêu? Theo kết quả xử lý phiếu điều tra, chỉ có 20% máy tính cá nhân sử dụng phần mềm diệt virus có bản quyền chính hãng được nhà sản xuất hỗ trợ; 80% máy tính còn lại cài đặt các phiên bản miễn phí hoặc phần mềm crack tải từ mạng Internet.

  2. Chu kỳ sao lưu dữ liệu tại Zenco trước nghiên cứu kéo dài bao lâu và tác giả đề xuất điều chỉnh ra sao? Trước nghiên cứu, công ty thực hiện sao lưu cơ sở dữ liệu theo chu kỳ 1 tháng một lần. Tác giả đánh giá thời gian này quá dài và đề xuất rút ngắn xuống định kỳ 1 tuần một lần, đồng thời phân tách vị trí cất giữ bản sao ở xa cho rủi ro thiên tai và lưu trữ nội bộ cho lỗi thao tác con người.

  3. Tác giả đề xuất thiết bị tường lửa phần cứng nào cho hệ thống mạng của Zenco? Tác giả đề xuất trang bị dòng tường lửa thế hệ mới Cisco ASA with FirePOWER Services (NGFW), thiết bị tích hợp tường lửa, kiểm soát ứng dụng và phòng chống xâm nhập trên một nền tảng phần cứng chuyên dụng nhằm tăng cường bảo vệ theo thời gian thực.

  4. Ngân sách bảo trì công nghệ thông tin thường niên và chi phí chữ ký số được xác định trong văn bản là bao nhiêu? Hàng năm, chi phí bảo trì phần cứng, phần mềm và thuê nhân sự CNTT ngoài của Zenco ước tính khoảng 80.000.000 đồng (chưa gồm chi phí đào tạo). Đối với chữ ký số PKI, tác giả đề xuất sử dụng gói dịch vụ của Tập đoàn Viettel với mức phí 990.000 đồng/năm.

  5. Điểm yếu lớn nhất trong kiến trúc máy chủ của Zenco được khóa luận chỉ ra là gì? Công ty dùng chung duy nhất một máy chủ vật lý cho toàn bộ hoạt động từ website thương mại điện tử đến cơ sở dữ liệu nội bộ. Kẻ xấu có thể lợi dụng lỗ hổng website để chiếm quyền điều khiển máy chủ; ngoài ra, sự cố phần cứng vật lý sẽ gây nguy cơ mất trắng dữ liệu do việc sao lưu phức tạp và tốn kém.

Kết luận

Khóa luận tốt nghiệp của tác giả Vi Văn Chì đã phân tích toàn diện thực trạng an toàn bảo mật hệ thống thông tin tại Công ty TNHH Zenco giai đoạn 2016 – 2018. Dựa trên số liệu khảo sát 20 nhân viên, công trình đã chỉ rõ các điểm yếu then chốt về máy chủ vật lý độc đạo, tỷ lệ phần mềm crack lên tới 80% và nhận thức an ninh mạng còn hạn chế của nhân sự. Hệ thống giải pháp đề xuất bao gồm tường lửa Cisco ASA, mã hóa EFS/BitLocker, chữ ký số Viettel và quy trình sao lưu định kỳ 1 tuần/lần mang tính ứng dụng thực tiễn cao, giúp doanh nghiệp thương mại điện tử quy mô nhỏ hoàn thiện hạ tầng an toàn dữ liệu với mức chi phí phù hợp.