Bối cảnh và vấn đề nghiên cứu

Trong nền kinh tế thị trường và xu thế hội nhập quốc tế, thông tin đóng vai trò là tài sản vô giá đối với sự sống còn và năng lực cạnh tranh của mỗi doanh nghiệp. Sự gia tăng nhanh chóng về nhu cầu sử dụng Internet và các hệ thống tin học hóa quản lý mở ra cơ hội mở rộng kinh doanh nhưng đồng thời cũng đặt doanh nghiệp trước những hiểm họa an ninh mạng ngày càng tinh vi, có tổ chức và hướng tới mục tiêu trục lợi tài chính. Theo số liệu khảo sát thị trường được tác giả trích dẫn, có 66% số doanh nghiệp từng gặp phải các sự cố an toàn thông tin, 65% số vụ tấn công xuất phát từ nhân viên nội bộ, 49% doanh nghiệp chưa coi an toàn thông tin là ưu tiên hàng đầu, và 40% hoàn toàn không tiến hành nghiên cứu rủi ro bảo mật.

Đối với Công ty Cổ phần Truyền thông Đa phương tiện Tân Quang (Tân Quang Media) – một doanh nghiệp chuyên kinh doanh, phân phối thiết bị công nghệ truyền hình và sản xuất nội dung đa phương tiện, việc rò rỉ dữ liệu khách hàng, tài sản trí tuệ hay gián đoạn kết nối sẽ trực tiếp làm suy giảm uy tín và năng lực tài chính. Xuất phát từ bối cảnh đó, khóa luận thực hiện nghiên cứu thực trạng và đề xuất giải pháp tường lửa nhằm nâng cao năng lực an toàn bảo mật thông tin tại công ty.

Mục tiêu nghiên cứu của đề tài được xác định cụ thể như sau:

  1. Nghiên cứu tổng quan lý luận về an toàn bảo mật thông tin: phân tích khái niệm, vai trò, các yêu cầu kỹ thuật và tổng hợp các giải pháp công nghệ an toàn bảo mật thông tin phổ biến.
  2. Phân tích, đánh giá thực trạng công tác an toàn bảo mật thông tin tại Công ty Cổ phần Truyền thông Đa phương tiện Tân Quang, chỉ rõ những điểm mạnh, điểm yếu và các nguy cơ rủi ro.
  3. Đề xuất giải pháp và mô hình an toàn bảo mật thông tin phù hợp với quy mô hạ tầng, năng lực tài chính của công ty, đồng thời phân tích những thuận lợi và khó khăn khi triển khai.

Đối tượng và phạm vi nghiên cứu của khóa luận:

  • Đối tượng nghiên cứu: Hoạt động an toàn bảo mật thông tin tại Công ty Cổ phần Truyền thông Đa phương tiện Tân Quang.
  • Phạm vi không gian: Khảo sát toàn diện tại 5 phòng ban chức năng của công ty, bao gồm: Phòng Kỹ thuật - Bảo hành, Phòng Tài chính Kế toán, Phòng Kinh doanh Xuất nhập khẩu, Phòng Hành chính - Tổ chức và Phòng Dự án.
  • Phạm vi thời gian: Số liệu thứ cấp và dữ liệu hoạt động tài chính được thu thập trong giai đoạn 2011 – 2013; các khảo sát thực trạng và phỏng vấn chuyên sâu được thực hiện trong thời gian thực tập tốt nghiệp (tháng 03 đến tháng 04 năm 2014).

Cơ sở lý thuyết và phương pháp

Cơ sở lý thuyết của khóa luận được xây dựng dựa trên các tài liệu chuyên ngành Hệ thống thông tin kinh tế và an toàn dữ liệu:

  • Khái niệm dữ liệu và thông tin: Phân biệt dữ liệu (các giá trị thô, chưa có ý nghĩa) và thông tin (dữ liệu đã qua phân tích, xử lý để mang lại giá trị cho người sử dụng). Khóa luận trích dẫn định nghĩa từ Giáo trình Hệ thống thông tin quản lý của Trường Đại học Thương Mại, tài liệu mạng máy tính của Thái Hồng Nhị và Phạm Minh Việt (2004), quan điểm của Russell Ackoff và định nghĩa của Cookie Monster.
  • Bốn thuộc tính an toàn bảo mật thông tin:
    • Tính bảo mật (Confidentiality): Đảm bảo thông tin chỉ được truy cập bởi những đối tượng được cấp quyền hợp lệ.
    • Tính toàn vẹn (Integrity): Bảo vệ dữ liệu không bị sửa đổi, tạo mới hoặc xóa bỏ trái phép trong quá trình lưu trữ và truyền thông.
    • Tính sẵn sàng (Availability): Hệ thống và dữ liệu luôn ở trạng thái đáp ứng phục vụ người dùng có thẩm quyền bất kỳ lúc nào.
    • Tính tin cậy (Authenticity/Reliability): Đảm bảo thông tin nhận được đúng với nguồn phát và chưa bị can thiệp bởi bên thứ ba.
  • Các công nghệ an toàn thông tin:
    • Bảo mật đường truyền: Kỹ thuật mã hóa đối xứng (Symmetric-key) và mã hóa khóa công khai (Public-key).
    • Điện toán đám mây (Cloud Computing): Các mô hình triển khai (Public Cloud, Private Cloud, Hybrid Cloud) và mô hình dịch vụ SaaS (Software as a Service).
    • Công nghệ Tường lửa (Firewall): Phân tích bản chất là rào chắn giữa mạng tin cậy (Intranet) và mạng không tin cậy (Internet). Các thành phần cấu tạo gồm bộ lọc gói tin (Packet Filtering Router), cổng ứng dụng (Application-Level Gateway / Proxy Server), và cổng mạch (Circuit-Level Gateway). Phân loại tường lửa theo phần cứng (Hardware Firewall) và phần mềm (Software Firewall).
  • Tổng quan các nghiên cứu liên quan: Khóa luận điểm qua bài báo cáo thiết kế tường lửa của Th.S Vũ Anh Tuấn (Đại học Thái Nguyên, 2012), nghiên cứu về an toàn dữ liệu ngân hàng trên nền tảng điện toán đám mây của Nguyễn Dương Hùng (Học viện Ngân hàng, 2013), các báo cáo hội thảo an ninh hệ thống của Cục Tin học – Bộ Công an (2011) và các bài viết trên Thời báo Kinh tế Việt Nam (2007).

Phương pháp nghiên cứu thực tế bao gồm:

  • Phương pháp thu thập dữ liệu sơ cấp: Tiến hành điều tra bằng bảng hỏi và phỏng vấn trực tiếp cán bộ quản lý (Ban Giám đốc) và nhân viên các phòng Kế toán, Kinh doanh, Kỹ thuật với quy mô mẫu khảo sát là $N = 15$ người.
  • Phương pháp thu thập dữ liệu thứ cấp: Thu thập hồ sơ năng lực, cơ cấu tổ chức, báo cáo tài chính giai đoạn 2011 – 2013, các tài liệu kỹ thuật về phần mềm và hạ tầng mạng do Ban Giám đốc công ty cung cấp, kết hợp tra cứu giáo trình, tạp chí chuyên ngành CNTT.
  • Phương pháp phân tích và xử lý dữ liệu: Sử dụng phần mềm Microsoft Excel để xử lý thống kê mô tả, lập bảng tần số, vẽ biểu đồ tỷ lệ phần trăm và áp dụng phương pháp so sánh định tính/định lượng giữa các phương án bảo mật.

Nội dung chính theo từng chương

Phần 1: Tổng quan vấn đề nghiên cứu

Phần này trình bày tính cấp thiết của việc bảo vệ dữ liệu trong doanh nghiệp vừa và nhỏ trước các nguy cơ tấn công mạng từ bên ngoài và rò rỉ nội bộ. Tác giả xác định rõ mục đích nghiên cứu, đối tượng, phạm vi thời gian (2011–2013), phạm vi không gian (5 phòng ban chức năng của Tân Quang Media). Đồng thời, phần này trình bày chi tiết các phương pháp thu thập dữ liệu (phỏng vấn, tổng hợp số liệu, nghiên cứu tài liệu) và phương pháp phân tích so sánh, kèm theo kết cấu tổng thể 3 phần của khóa luận.

Phần 2: Cơ sở lý luận và thực trạng an toàn bảo mật thông tin tại Công ty Cổ phần Truyền thông Đa phương tiện Tân Quang

Chương này được chia thành hai mảng nội dung chính: khung lý luận học thuật và khảo sát thực chứng tại doanh nghiệp.

Về mặt lý luận, tác giả hệ thống hóa các định nghĩa về dữ liệu, thông tin, 4 thuộc tính an toàn thông tin (bảo mật, toàn vẹn, sẵn sàng, tin cậy), nguyên lý hoạt động của cơ chế lọc gói dựa trên tiêu đề TCP/IP (địa chỉ IP nguồn/đích, cổng TCP/UDP, giao thức ICMP, giao diện vào/ra), cùng ưu nhược điểm của tường lửa phần cứng và phần mềm.

Về thực trạng tại Tân Quang Media:

  • Thông tin doanh nghiệp: Thành lập ngày 26/03/2006, vốn điều lệ 1.800.000.000 VNĐ, mã số thuế 0101855636. Trụ sở chính tại Phòng 1901, Tầng 19, Tòa nhà HH2 đường Lê Văn Lương kéo dài, Thanh Xuân, Hà Nội; Chi nhánh TP.HCM tại Phòng 502, Lầu 5, Tòa nhà số 9 Phan Kế Bính, Quận 1.
  • Cơ cấu tổ chức và nhân sự: Công ty gồm Ban Giám đốc (Giám đốc, PGĐ Tài chính, PGĐ Kinh doanh) và 5 phòng ban chuyên môn. Tổng số nhân viên là 22 người (54,54% nam, 45,46% nữ), độ tuổi bình quân 27; 95% nhân lực có trình độ đại học.
  • Kết quả hoạt động kinh doanh: Tình hình tài chính duy trì ổn định, doanh thu năm 2011 đạt 6.005 triệu đồng (Bảng 2.1).
  • Kết quả điều tra thực trạng an toàn thông tin ($N = 15$):
Nội dung khảo sát Tiêu chí phân loại Số lượng (Phiếu) Tỷ lệ (%)
Mức độ quan tâm của lãnh đạo Quan tâm mức cao 14.55 (quy đổi) 97.00
Quan tâm bình thường 0.45 (quy đổi) 3.00
Không quan tâm 0 0.00
Thách thức lớn nhất trong bảo mật Khó khăn về ngân sách 10 66.67
Khó khăn về nhân lực 5 33.33
Nhận thức về tầm quan trọng Rất quan trọng 8 53.00
Quan trọng 4 27.00
Bình thường 2 13.00
Không quan trọng 1 7.00
Giải pháp ưu tiên cần làm đầu tiên Hệ thống tường lửa & bảo vệ chu vi 5 33.33
Ứng dụng điện toán đám mây 4 26.67
Hệ thống phát hiện & ngăn ngừa xâm nhập 3 20.00
An toàn mạng không dây 3 20.00
Phương pháp kỹ thuật ưu tiên Kết cấu mạng nội bộ nghiêm ngặt 8 53.00
Đảm bảo sự toàn diện của hệ thống 4 27.00
Cơ chế an toàn đầy đủ cho mạng 3 20.00
Dự kiến ngân sách đầu tư Từ 10 đến 50 triệu đồng 7 46.66
Dưới 10 triệu đồng 4 26.67
Trên 50 triệu đồng 4 26.67

Kết quả đánh giá mức độ hài lòng về an toàn dữ liệu (thang điểm 1 đến 4) cho thấy: Tính sẵn sàng đạt mức 2 (ít hài lòng), Tính toàn vẹn đạt mức 2 (ít hài lòng), trong khi Tính tin cậy và riêng tư chỉ đạt mức 1 (không hài lòng).

  • Đánh giá điểm mạnh: Đội ngũ nhân lực CNTT được đào tạo từ các trường đại học chuyên ngành (ĐH Bách Khoa, ĐH Công nghệ, ĐH FPT, Bách khoa Aptech); đã trang bị phần mềm diệt virus BKAV Pro bản quyền, phần mềm bảo mật email (Security Plus for MDaemon, Symantec); có phân quyền đăng nhập riêng biệt; mạng nội bộ LAN kết nối máy chủ - máy trạm ổn định; kỹ thuật viên đã ẩn thông tin máy chủ web.
  • Đánh giá điểm yếu: Website công ty chạy trên máy chủ dùng chung (Shared Hosting) tiềm ẩn rủi ro lây nhiễm chéo mã độc; mật khẩu email và đăng nhập một số trang nội bộ truyền dưới dạng văn bản rõ chưa mã hóa; chưa có tường lửa chuyên dụng để giám sát lưu lượng vào/ra; chính sách bảo mật chưa đồng bộ giữa đơn vị thiết kế web và đơn vị quản trị máy chủ.

Phần 3: Định hướng phát triển và đề xuất giải pháp an toàn bảo mật thông tin tại Công ty Cổ phần Truyền thông Đa phương tiện Tân Quang

Chương này đưa ra các phân tích kỹ thuật và định hướng giải pháp:

  • Định hướng phát triển của công ty: Mục tiêu đến năm 2020 trở thành doanh nghiệp phân phối nội dung đa phương tiện phục vụ trên 30 triệu khách hàng, đòi hỏi phải hoàn thiện hệ thống bảo mật toàn diện từ phần cứng đến phần mềm.
  • Phân tích yêu cầu và so sánh giải pháp: Đối với doanh nghiệp quy mô vừa và nhỏ như Tân Quang Media, hệ thống tường lửa phần cứng cao cấp (như Cisco, SonicWALL PRO 2040) tuy có hiệu năng cao nhưng chi phí thiết bị và bảo trì vượt quá ngân sách dự kiến (vốn chỉ ở mức 10–50 triệu đồng). Các giải pháp cá nhân miễn phí (như ZoneAlarm, Comodo Firewall) thiếu khả năng quản trị tập trung mạng doanh nghiệp.
  • Đề xuất giải pháp ISA Server 2006: Lựa chọn phần mềm Microsoft Internet Security & Acceleration Server 2006 phiên bản Standard (ISA Server 2006 Standard) làm tường lửa chính cho công ty.
  • Phân tích tính năng kỹ thuật của ISA Server 2006:
    • Thiết lập cơ chế kiểm soát truy cập dữ liệu ra/vào theo giao thức, thời gian và lọc nội dung web.
    • Hỗ trợ thiết lập mạng riêng ảo (VPN Site-to-Site và Remote Access) kết nối an toàn giữa trụ sở Hà Nội và văn phòng TP.HCM.
    • Cấu hình vùng mạng phi quân sự (DMZ) để bảo vệ tách biệt các máy chủ quan trọng như Mail Server và Web Server.
    • Tính năng Web Caching (lưu đệm trên RAM và ổ đĩa cứng) giúp tăng tốc độ truy cập Internet và tiết kiệm băng thông mạng.
  • Yêu cầu cấu hình triển khai: Tác giả xác lập cấu hình tối thiểu để cài đặt hệ thống tường lửa ISA Server 2006 Standard: Vi xử lý (CPU) tốc độ từ 500 MHz trở lên; Ổ cứng (Hard Disk) phân vùng NTFS với dung lượng trống tối thiểu 150 MB; Hệ điều hành máy chủ Windows 2000 Server Service Pack 4 (SP4).

Kết quả và đóng góp

Khóa luận đã đạt được các kết quả cụ thể:

  • Phản ánh chính xác thực trạng an ninh mạng tại Tân Quang Media qua số liệu điều tra thực tế ($N = 15$), chỉ ra điểm nghẽn lớn nhất của doanh nghiệp là rào cản ngân sách (66,67%) và mức độ hài lòng về tính riêng tư dữ liệu chỉ đạt mức thấp nhất (1/4 điểm).
  • Xác định được nguyên nhân mất an toàn thông tin tại doanh nghiệp, nổi bật là việc dùng chung hosting, mật khẩu nội bộ không được mã hóa và thiếu hụt hệ thống kiểm soát gói tin chuyên dụng.
  • Đề xuất mô hình tường lửa phần mềm ISA Server 2006 Standard đáp ứng đầy đủ các yêu cầu kỹ thuật (lọc gói, phân quyền, thiết lập DMZ, tạo kết nối VPN) với chi phí triển khai phù hợp với khung ngân sách dự kiến (10 – 50 triệu đồng) của doanh nghiệp.
  • Về mặt học thuật và ứng dụng, đề tài đóng góp một quy trình khảo sát, đánh giá và lựa chọn giải pháp tường lửa mang tính thực tiễn cao, khắc phục hạn chế của các nghiên cứu trước đây vốn chỉ dừng lại ở phân tích lý thuyết thuần túy hoặc áp dụng cho các tổ chức ngân hàng quy mô lớn.

Hạn chế và hướng nghiên cứu tiếp

Khóa luận còn tồn tại một số hạn chế do tác giả tự nhận định và giới hạn phạm vi nghiên cứu:

  • Thời gian nghiên cứu và thực tập tại doanh nghiệp có hạn (khoảng 01 tháng), quy mô mẫu khảo sát còn nhỏ ($N = 15$), phụ thuộc vào nhận định chủ quan của đối tượng phỏng vấn.
  • Do chính sách bảo mật nội bộ của công ty, tác giả chưa tiếp cận được toàn diện mã nguồn các phần mềm chuyên biệt.
  • Khóa luận mới dừng lại ở việc phân tích yêu cầu, đề xuất giải pháp và nêu cấu hình cài đặt tối thiểu của ISA Server 2006, chưa tiến hành cài đặt thử nghiệm thực tế trên hệ thống mạng đang vận hành, chưa có số liệu đo kiểm hiệu năng chịu tải hay đánh giá thực nghiệm sau triển khai.

Hướng nghiên cứu tiếp theo được mở rộng từ phạm vi đề tài:

  • Xây dựng bảng quy tắc lọc chi tiết (access rules, publishing rules) cho từng phòng ban trên ISA Server 2006.
  • Triển khai mô hình kết nối VPN Site-to-Site bảo mật giữa mạng LAN trụ sở Hà Nội và văn phòng đại diện tại TP. Hồ Chí Minh.

Giá trị tham khảo

Tài liệu khóa luận có giá trị tham khảo thiết thực cho:

  • Sinh viên chuyên ngành: Sinh viên các ngành Hệ thống thông tin kinh tế, Tin học kinh tế, Công nghệ thông tin và Thương mại điện tử có thể sử dụng đề tài làm mẫu tham khảo về cấu trúc khóa luận ứng dụng CNTT trong doanh nghiệp.
  • Doanh nghiệp vừa và nhỏ (SMEs): Cung cấp tài liệu tham khảo về quy trình rà soát lỗ hổng an ninh mạng nội bộ và phương pháp luận lựa chọn phần mềm tường lửa tối ưu chi phí.
  • Nội dung giá trị nhất: Phần tổng hợp cơ sở lý thuyết về 4 thuộc tính bảo mật thông tin, bộ câu hỏi và bảng số liệu khảo sát thực trạng, cùng bảng phân tích đối sánh giữa tường lửa phần cứng và tường lửa phần mềm.

Câu hỏi thường gặp

1. Quy mô nhân sự và đặc điểm tổ chức của Tân Quang Media tại thời điểm nghiên cứu như thế nào?
Công ty có 22 nhân viên chính thức (tỷ lệ nam/nữ là 54,54% / 45,46%), độ tuổi trung bình 27, với 95% nhân lực có trình độ đại học. Cơ cấu tổ chức gồm Ban Giám đốc và 5 phòng ban: Hành chính - Tổ chức, Tài chính kế toán, Kinh doanh xuất nhập khẩu, Kỹ thuật - Bảo hành và Dự án.

2. Kết quả khảo sát nhân viên về các thuộc tính an toàn dữ liệu tại công ty đạt mức nào?
Khảo sát 15 nhân viên theo thang điểm 1 đến 4 ghi nhận: Tính sẵn sàng đạt mức 2 (ít hài lòng), Tính toàn vẹn đạt mức 2 (ít hài lòng), và Tính tin cậy cùng tính riêng tư chỉ đạt mức 1 (không hài lòng).

3. Khó khăn lớn nhất trong công tác bảo mật thông tin tại Tân Quang Media là gì?
Theo kết quả điều tra tại Bảng 2.3, khó khăn lớn nhất là rào cản về ngân sách tài chính, chiếm tỷ lệ 66,67% (10/15 ý kiến), trong khi khó khăn về nhân lực chiếm 33,33% (5/15 ý kiến).

4. Vì sao tác giả đề xuất giải pháp ISA Server 2006 Standard thay vì thiết bị tường lửa phần cứng?
Tường lửa phần cứng chuyên dụng (như SonicWALL, Cisco) có giá thành rất cao và yêu cầu chi phí vận hành lớn, không phù hợp với mức ngân sách dự kiến của công ty (phần lớn mong muốn mức 10 – 50 triệu đồng). ISA Server 2006 Standard là giải pháp phần mềm vừa túi tiền, tích hợp cơ chế lọc gói, kiểm soát truy cập, vùng DMZ, hỗ trợ VPN và có tính năng Web Caching giúp tiết kiệm băng thông.

5. Cấu hình tối thiểu để cài đặt tường lửa ISA Server 2006 theo đề xuất là gì?
Hệ thống yêu cầu phần cứng tối thiểu gồm CPU tốc độ 500 MHz, dung lượng ổ cứng trống tối thiểu 150 MB định dạng phân vùng NTFS, và phần mềm nền tảng là hệ điều hành Windows 2000 Server Service Pack 4 (SP4).

Kết luận

Khóa luận tốt nghiệp đã làm rõ tầm quan trọng của an toàn bảo mật thông tin đối với sự phát triển bền vững của doanh nghiệp trong kỷ nguyên số hóa. Thông qua khảo sát thực tế tại Công ty Cổ phần Truyền thông Đa phương tiện Tân Quang, tác giả đã chỉ ra các lỗ hổng an ninh mạng hiện hữu và rào cản tài chính của doanh nghiệp. Đề xuất ứng dụng tường lửa Microsoft ISA Server 2006 Standard là giải pháp kỹ thuật có tính ứng dụng cao, cân đối giữa hiệu quả bảo mật và năng lực đầu tư thực tế của công ty.