Luận văn thạc sĩ áp dụng enterprise architecture xây dựng khung kiến trúc bảo đảm an toàn thông tin cho các tổ chức doanh nghiệp tại việt nam

Luận văn thạc sĩ nghiên cứu áp dụng kiến trúc doanh nghiệp để xây dựng khung bảo đảm an toàn thông tin cho doanh nghiệp tại Việt Nam.

• Tác giả: Nguyễn Thanh Tuyền
• Người hướng dẫn: TS. Lê Quang Minh
• Trường học: Đại học Quốc gia Hà Nội
• Chuyên ngành: Công nghệ thông tin
• Đề tài: Khung Kiến Trúc Bảo Đảm An Toàn Thông Tin Cho Doanh Nghiệp Tại Việt Nam
• Loại tài liệu: luận văn thạc sĩ
• Năm xuất bản: 2016
• Địa điểm: Hà Nội

Mục lục chi tiết

• LỜI CAM ĐOAN
• BẢNG CÁC CHỮ CÁI VIẾT TẮT
• DANH MỤC CÁC HÌNH VẼ
• DANH MỤC CÁC BẢNG
• MỞ ĐẦU
• 1. CHƯƠNG I: TỔNG QUAN VỀ KIẾN TRÚC TỔNG THỂ, KHUNG KIẾN TRÚC TỔNG THỂ
• 1.1. Tổng quan về kiến trúc tổng thể
• 1.1.1. Các khái niệm
• 1.1.2. Thành phần của kiến trúc tổng thể
• 1.1.3. Tầm quan trọng của kiến trúc tổng thể
• 1.1.4. Quy trình xây dựng kiến trúc tổng thể
• 1.2. Tổng quan về khung kiến trúc tổng thể
• 1.2.1. Khung kiến trúc tổng thể là gì?
• 1.2.2. Lịch sử và phát triển của khung kiến trúc EA
• 1.3. Các phương pháp xây dựng khung kiến trúc tổng thể
• 1.3.1. Khung kiến trúc ZACHMAN
• 1.3.2. Khung kiến trúc TOGAF
• 1.3.3. Khung kiến trúc ITI-GAF
• 2. CHƯƠNG II: CƠ SỞ LÝ LUẬN VỀ AN TOÀN THÔNG TIN, HỆ THỐNG QUẢN LÝ AN TOÀN THÔNG TIN
• 2.1. An toàn thông tin
• 2.1.1. Các yếu tố ảnh hưởng đến an toàn thông tin
• 2.2. Thực trạng an toàn thông tin tại Việt Nam
• 2.2.1. Thực trạng an toàn thông tin tại các tổ chức doanh nghiệp
• 2.2.2. Hoạt động tấn công mạng vào các tổ chức, doanh nghiệp
• 2.3. Quản lý an toàn thông tin theo tiêu chuẩn TCVN ISO/IEC 27002:2011
• 2.3.1. Tổng quan tiêu chuẩn TCVN ISO/IEC 27002:2011
• 2.3.2. Cấu trúc của tiêu chuẩn TCVN ISO/IEC 27002:2011
• 3. CHƯƠNG III: XÂY DỰNG KHUNG KIẾN TRÚC BẢO ĐẢM AN TOÀN THÔNG TIN CHO CÁC TỔ CHỨC DOANH NGHIỆP
• 3.1. Đề xuất khung kiến trúc bảo đảm an toàn thông tin
• 3.1.1. Mô hình đơn giản
• 3.1.2. Mô hình trung gian
• 3.1.3. Mô hình nâng cao
• 3.2. Khung kiến trúc bảo đảm an toàn thông tin
• 3.2.1. Phân cụm tiêu chuẩn TCVN ISO/IEC 27002:2011
• 3.2.2. Xây dựng bộ câu hỏi đánh giá
• 3.3. Đánh giá kết quả đạt được và hướng phát triển trong tương lai
• 3.3.1. Kết quả đạt được
• 3.3.2. Hướng phát triển trong tương lai
• TÀI LIỆU THAM KHẢO

Tóm tắt

I. Tổng Quan Khung Kiến Trúc An Toàn Thông Tin Doanh Nghiệp

Trong bối cảnh số hóa hiện nay, an toàn thông tin (ATTT) trở thành yếu tố sống còn cho mọi doanh nghiệp. Việc xây dựng một khung kiến trúc an toàn thông tin doanh nghiệp vững chắc là điều cấp thiết. Khung kiến trúc này không chỉ giúp bảo vệ dữ liệu mà còn đảm bảo tính liên tục của hoạt động kinh doanh. Tài liệu nghiên cứu chỉ ra rằng, một khung tham chiếu ATTT tốt cần phải toàn diện, linh hoạt và dễ dàng thích ứng với các thay đổi của môi trường.

1.1. Định Nghĩa và Vai Trò của Kiến Trúc An Toàn Thông Tin

Kiến trúc ATTT là một bản thiết kế tổng thể, mô tả cách các thành phần khác nhau của hệ thống công nghệ thông tin tương tác với nhau để bảo vệ dữ liệu và tài sản khỏi các mối đe dọa. Vai trò của nó là định hình chính sách an toàn thông tin và hướng dẫn việc triển khai các biện pháp bảo mật một cách hiệu quả. Theo tài liệu, “Kiến trúc ATTT bao gồm tầm nhìn, nguyên tắc, các chuẩn và các quy trình nhằm hướng dẫn việc mua, thiết kế và triển khai công nghệ trong doanh nghiệp”.

1.2. Tại Sao Doanh Nghiệp Việt Nam Cần Kiến Trúc An Toàn Thông Tin

Doanh nghiệp Việt Nam đang đối mặt với nhiều nguy cơ an ninh mạng. Xây dựng kiến trúc ATTT giúp doanh nghiệp chủ động phòng chống tấn công mạng, giảm thiểu rủi ro và tuân thủ các quy định an toàn thông tin hiện hành. Hơn nữa, kiến trúc này tạo nền tảng cho việc đạt chứng nhận ISO 27001 cho doanh nghiệp Việt Nam, nâng cao uy tín và khả năng cạnh tranh.

II. Thách Thức Rủi Ro An Ninh Mạng Cho Doanh Nghiệp Hiện Nay

Các doanh nghiệp tại Việt Nam đang phải đối mặt với sự gia tăng của các cuộc tấn công mạng, từ các cuộc tấn công phishing đơn giản đến các cuộc tấn công APT (Advanced Persistent Threat) phức tạp. Điều này đòi hỏi một sự thay đổi trong cách tiếp cận quản lý rủi ro an ninh mạng. Việc thiếu hụt kỹ năng an toàn thông tin và nhận thức về an ninh mạng cũng là một thách thức lớn. Các doanh nghiệp cần đầu tư vào đào tạo và nâng cao nhận thức cho nhân viên để giảm thiểu các rủi ro tiềm ẩn.

2.1. Các Loại Hình Tấn Công Mạng Phổ Biến Tại Việt Nam

Các hình thức tấn công mạng phổ biến bao gồm tấn công DDoS, ransomware, malware, và tấn công vào các lỗ hổng bảo mật của ứng dụng web. Theo thống kê, các cuộc tấn công ransomware đang gia tăng và gây thiệt hại lớn cho các doanh nghiệp, đặc biệt là các doanh nghiệp vừa và nhỏ (SME). Doanh nghiệp cần triển khai các giải pháp bảo vệ dữ liệu cá nhân và hệ thống một cách toàn diện.

2.2. Thiếu Hụt Nguồn Nhân Lực An Toàn Thông Tin Chuyên Nghiệp

Việc thiếu hụt nhân lực có kỹ năng an toàn thông tin là một vấn đề nan giải. Các doanh nghiệp cần chủ động hợp tác với các trường đại học và trung tâm đào tạo để xây dựng đội ngũ chuyên gia ATTT. Ngoài ra, việc đào tạo an toàn thông tin cho nhân viên cũng rất quan trọng để nâng cao nhận thức và giảm thiểu các rủi ro từ bên trong.

2.3. Tuân Thủ Quy Định Pháp Luật Về An Toàn Thông Tin

Việc tuân thủ các tiêu chuẩn an toàn thông tin Việt Nam và các quy định pháp luật liên quan là bắt buộc. Các doanh nghiệp cần xây dựng chính sách an toàn thông tin rõ ràng và đảm bảo tuân thủ nghiêm ngặt. Điều này không chỉ giúp bảo vệ doanh nghiệp mà còn tránh được các rủi ro pháp lý.

III. Cách Xây Dựng Khung Kiến Trúc Bảo Mật Thông Tin Hiệu Quả

Để xây dựng một khung kiến trúc bảo mật thông tin hiệu quả, doanh nghiệp cần thực hiện các bước sau: Xác định phạm vi bảo mật, phân tích rủi ro, thiết kế kiến trúc, triển khai các biện pháp bảo mật, kiểm tra và đánh giá hiệu quả. Quá trình này cần được thực hiện liên tục và cải tiến để đảm bảo an ninh mạng luôn được duy trì ở mức cao nhất. Nên xem xét mô hình an toàn thông tin và khung kiến trúc zero trust.

3.1. Đánh Giá Rủi Ro An Toàn Thông Tin Toàn Diện

Việc đánh giá rủi ro an toàn thông tin là bước đầu tiên và quan trọng nhất. Doanh nghiệp cần xác định tất cả các tài sản thông tin quan trọng, các mối đe dọa tiềm ẩn và các lỗ hổng bảo mật. Từ đó, có thể đưa ra các biện pháp bảo vệ phù hợp và hiệu quả.

3.2. Lựa Chọn Giải Pháp An Toàn Thông Tin Phù Hợp Với Doanh Nghiệp

Có rất nhiều giải pháp an toàn thông tin cho doanh nghiệp trên thị trường. Doanh nghiệp cần lựa chọn các giải pháp phù hợp với quy mô, đặc thù hoạt động và ngân sách. Các giải pháp có thể bao gồm tường lửa, phần mềm diệt virus, hệ thống phát hiện xâm nhập, và các giải pháp bảo vệ dữ liệu.

3.3. Xây Dựng Quy Trình Ứng Phó Sự Cố An Ninh Mạng

Doanh nghiệp cần xây dựng một quy trình ứng phó sự cố an ninh mạng rõ ràng và hiệu quả. Quy trình này cần bao gồm các bước phát hiện, phân tích, ngăn chặn, phục hồi và báo cáo sự cố. Việc diễn tập ứng phó sự cố thường xuyên giúp doanh nghiệp chuẩn bị tốt hơn cho các tình huống khẩn cấp.

IV. Tiêu Chuẩn Quy Định An Toàn Thông Tin Quan Trọng Tại Việt Nam

Việc tuân thủ các tiêu chuẩn an toàn thông tin Việt Nam và các quy định pháp luật liên quan là bắt buộc. Các tiêu chuẩn quan trọng bao gồm TCVN ISO/IEC 27001, TCVN ISO/IEC 27002 và các văn bản pháp luật khác liên quan đến bảo vệ dữ liệu cá nhân và an ninh mạng. Việc tuân thủ giúp doanh nghiệp chứng minh sự cam kết với an ninh mạng và tạo dựng niềm tin với khách hàng.

4.1. Tổng Quan Tiêu Chuẩn TCVN ISO IEC 27002 2011 Về ATTT

TCVN ISO/IEC 27002:2011 cung cấp các hướng dẫn chi tiết về các biện pháp kiểm soát an ninh thông tin. Tiêu chuẩn này bao gồm các lĩnh vực như chính sách an ninh thông tin, quản lý rủi ro, kiểm soát truy cập, an ninh vật lý, và ứng phó sự cố. Theo tài liệu: “Cấu trúc của tiêu chuẩn TCVN ISO/IEC 27002:2011 được trình bày một cách rõ ràng và chi tiết, giúp doanh nghiệp dễ dàng áp dụng và triển khai các biện pháp bảo mật.”.

4.2. Áp Dụng Quy Định Về Bảo Vệ Dữ Liệu Cá Nhân Tại Việt Nam

Các quy định về bảo vệ dữ liệu cá nhân đang ngày càng được siết chặt tại Việt Nam. Doanh nghiệp cần tuân thủ các quy định này để tránh các rủi ro pháp lý và bảo vệ quyền lợi của khách hàng. Điều này đòi hỏi doanh nghiệp phải có các biện pháp kiểm soát chặt chẽ đối với việc thu thập, xử lý và lưu trữ dữ liệu cá nhân.

V. Ứng Dụng Triển Khai Khung Kiến Trúc ATTT Cho SME Việt

Việc triển khai khung kiến trúc an toàn thông tin cho các doanh nghiệp vừa và nhỏ (SME) tại Việt Nam cần có sự linh hoạt và phù hợp với nguồn lực hạn chế. Doanh nghiệp cần tập trung vào các biện pháp bảo mật cơ bản nhưng hiệu quả, như tường lửa, phần mềm diệt virus, và đào tạo nhân viên. Đảm bảo tuân thủ tuân thủ an toàn thông tin.

5.1. Lựa Chọn Mô Hình Triển Khai Phù Hợp Cho SME

SME có thể lựa chọn các mô hình triển khai khác nhau, tùy thuộc vào quy mô và đặc thù hoạt động. Một số mô hình phổ biến bao gồm: triển khai tại chỗ, sử dụng dịch vụ đám mây, hoặc kết hợp cả hai. Cần xem xét dịch vụ bảo mật thông tin và giải pháp an toàn thông tin cho doanh nghiệp.

5.2. Tối Ưu Chi Phí Đầu Tư Cho An Toàn Thông Tin

SME cần tối ưu hóa chi phí đầu tư cho ATTT bằng cách lựa chọn các giải pháp có chi phí hợp lý và tập trung vào các rủi ro quan trọng nhất. Việc sử dụng các giải pháp mã nguồn mở và dịch vụ đám mây có thể giúp giảm chi phí đáng kể.

VI. Tương Lai Xu Hướng Phát Triển An Toàn Thông Tin Doanh Nghiệp

Trong tương lai, an toàn thông tin doanh nghiệp sẽ tiếp tục là một lĩnh vực quan trọng và đầy thách thức. Các xu hướng phát triển bao gồm: ứng dụng trí tuệ nhân tạo (AI) và máy học (ML) trong bảo mật, tăng cường bảo mật cho các thiết bị IoT, và phát triển các giải pháp bảo mật dựa trên blockchain. Cần liên tục kiểm tra an ninh mạng và audit ATTT.

6.1. Ứng Dụng Trí Tuệ Nhân Tạo AI Trong Bảo Mật Thông Tin

AI và ML có thể được sử dụng để phát hiện các mối đe dọa mới, tự động hóa các tác vụ bảo mật, và cải thiện khả năng ứng phó sự cố. Các hệ thống AI có thể phân tích lượng lớn dữ liệu để phát hiện các mẫu bất thường và cảnh báo sớm về các cuộc tấn công.

6.2. Bảo Mật Cho Các Thiết Bị IoT Trong Môi Trường Doanh Nghiệp

Sự gia tăng của các thiết bị IoT tạo ra nhiều lỗ hổng bảo mật mới. Doanh nghiệp cần có các biện pháp để bảo vệ các thiết bị này khỏi các cuộc tấn công. Điều này có thể bao gồm việc sử dụng các giao thức bảo mật mạnh mẽ, cập nhật phần mềm thường xuyên, và giám sát liên tục.

Nội dung chính

Tổng quan nghiên cứu

Trong kỷ nguyên chuyển đổi số và bùng nổ dữ liệu, an toàn thông tin đã trở thành vấn đề sống còn đối với sự phát triển bền vững của mọi tổ chức. Báo cáo Rủi ro Toàn cầu công bố thiệt hại kinh tế do tội phạm mạng gây ra trên thế giới đã vượt mức 400 tỷ USD mỗi năm. Tại Việt Nam, xu hướng ứng dụng công nghệ thông tin ngày càng sâu rộng vào mọi hoạt động sản xuất kinh doanh và quản lý nhà nước. Tuy nhiên, phần lớn các tổ chức và doanh nghiệp vẫn phát triển hệ thống thông tin theo phương thức tự phát, thiếu một quy hoạch kiến trúc tổng thể. Hệ quả là hệ thống thông tin ngày càng trở nên cồng kềnh, phức tạp theo cấp số nhân, chi phí đầu tư gia tăng đột biến trong khi khả năng tích hợp và đáp ứng nhu cầu thực tế suy giảm nghiêm trọng.

Trước thực trạng đó, nghiên cứu này đặt mục tiêu ứng dụng phương pháp luận Kiến trúc tổng thể (Enterprise Architecture - EA) kết hợp với các tiêu chuẩn quốc tế để xây dựng một khung kiến trúc bảo đảm an toàn thông tin toàn diện, khả thi và phù hợp với đặc thù của các tổ chức, doanh nghiệp tại Việt Nam. Phạm vi nghiên cứu tập trung khảo sát thực trạng an ninh mạng tại các doanh nghiệp trong nước giai đoạn 2014 - 2016, đồng thời bám sát hành lang pháp lý của Luật An toàn thông tin mạng năm 2015.

Ý nghĩa của công trình thể hiện rõ qua việc cung cấp bộ công cụ chuẩn hóa 112 tiêu chí kiểm soát theo chuẩn TCVN ISO/IEC 27002:2011, giúp các đơn vị giảm thiểu hơn 50% thời gian rà soát điểm yếu bảo mật, loại bỏ tình trạng đầu tư chắp vá tiêu tốn hàng triệu USD, đồng thời nâng cao năng lực phòng thủ chủ động trước các cuộc tấn công mạng ngày càng tinh vi.

Cơ sở lý thuyết và phương pháp nghiên cứu

Khung lý thuyết áp dụng

Nghiên cứu được xây dựng trên nền tảng tích hợp nhiều hệ thống lý thuyết kiến trúc và bảo mật kinh điển:

Thứ nhất, Khung kiến trúc Zachman do John Zachman phát triển từ năm 1987, đóng vai trò như một lược đồ phân loại ma trận 6 hàng 6 cột. Mô hình này tiếp cận hệ thống thông tin thông qua 6 câu hỏi cốt lõi gồm Cái gì (What), Như thế nào (How), Ở đâu (Where), Ai (Who), Khi nào (When), Tại sao (Why) dưới 6 góc nhìn từ Người lập kế hoạch, Chủ đầu tư, Người thiết kế, Người xây dựng, Nhà thầu phụ đến Người sử dụng cuối.

Thứ hai, Khung kiến trúc mở TOGAF do The Open Group hoàn thiện, cung cấp Phương pháp phát triển kiến trúc ADM gồm 9 pha khép kín từ Pha trù bị, Tầm nhìn kiến trúc đến Quản lý thay đổi, kết hợp hai mô hình tham chiếu công nghệ TRM và mô hình cơ sở hạ tầng thông tin tích hợp III-RM.

Thứ ba, Khung kiến trúc ITI-GAF do Viện Công nghệ thông tin - Đại học Quốc gia Hà Nội phát triển từ năm 2009. Đây là khung kiến trúc tinh gọn, mô hình hóa doanh nghiệp thành không gian 3 chiều 3x3x3 gồm 27 khối tương tác chặt chẽ giữa 3 quan điểm: Hoạt động (Bên ngoài, Nội bộ, Tiềm lực), Thể chế (Cơ chế, Tổ chức, Chế tài) và Nguồn lực (Nghiệp vụ, Nhân lực, Cơ sở hạ tầng).

Thứ tư, Khái niệm an toàn thông tin mở rộng từ tam giác bảo mật CIA kinh điển gồm Tính bảo mật (Confidentiality), Tính toàn vẹn (Integrity), Tính sẵn sàng (Availability) bổ sung thêm thuộc tính Tính không chối bỏ (Non-repudiation), được chuẩn hóa thông qua 11 lĩnh vực quản lý của tiêu chuẩn TCVN ISO/IEC 27002:2011.

Phương pháp nghiên cứu

Nghiên cứu sử dụng nguồn dữ liệu khảo sát hiện trạng an toàn thông tin tại Việt Nam do Hiệp hội An toàn thông tin và Tạp chí An toàn thông tin công bố, kết hợp cùng các báo cáo an ninh mạng quốc tế.

Cỡ mẫu nghiên cứu bao gồm hơn 300 tổ chức, cơ quan nhà nước và doanh nghiệp thuộc nhiều quy mô khác nhau trên toàn quốc. Phương pháp chọn mẫu phân tầng kết hợp định lượng và định tính được áp dụng nhằm phản ánh chính xác bức tranh bảo mật ở cả khối doanh nghiệp vừa và nhỏ (SMEs) lẫn các tập đoàn lớn.

Lý do lựa chọn phương pháp phân tích mô hình hóa và phân cụm tiêu chuẩn xuất phát từ thực tiễn: Các khung kiến trúc toàn cầu như TOGAF hay FEAF quá phức tạp, đòi hỏi chi phí triển khai lên tới hàng triệu USD cho mỗi đơn vị, hoàn toàn không tương thích với điều kiện kinh tế và trình độ nhân sự tại Việt Nam. Do đó, việc quy nạp và phân bổ các điều khoản của ISO 27002 vào 27 khối của ITI-GAF là phương pháp tối ưu để tạo ra một bộ công cụ đánh giá có cấu trúc mạch lạc, dễ áp dụng và tiết kiệm chi phí. Toàn bộ quá trình nghiên cứu, xây dựng mô hình và hoàn thiện bảng trọng số 112 tiêu chí được thực hiện trong khung thời gian từ năm 2015 đến cuối năm 2016.

Kết quả nghiên cứu và thảo luận

Những phát hiện chính

Phân tích số liệu thực trạng an toàn thông tin tại các tổ chức, doanh nghiệp Việt Nam đã chỉ ra nhiều điểm nghẽn nghiêm trọng:

Thứ nhất, khủng hoảng về nhân sự và nhận thức an ninh mạng. Tỷ lệ các tổ chức có lãnh đạo hoặc cán bộ chuyên trách/bán chuyên trách về an toàn thông tin đã suy giảm nghiêm trọng từ 73% năm 2014 xuống chỉ còn 34% năm 2015. Đáng chú ý, có tới 55.4% đơn vị xác định nhân viên đang làm việc tại chính tổ chức là nguy cơ mất an toàn lớn nhất, vượt xa mối đe dọa từ tin tặc bên ngoài. Tuy vậy, chỉ có 25.6% đơn vị xây dựng kế hoạch đào tạo kỹ năng bảo mật định kỳ cho nhân viên.

Thứ hai, sự buông lỏng trong quy trình và chính sách quản trị. Số lượng doanh nghiệp phê duyệt và ban hành chính sách an toàn thông tin chính thức chỉ chiếm 23.7% năm 2015, giảm so với mức 30% năm 2014 và 25% năm 2013. Tỷ lệ cơ quan ban hành quy định bảo đảm an toàn dữ liệu cá nhân chỉ đạt 22.7%, trong đó số đơn vị tuân thủ các tiêu chuẩn quốc tế như ISO 27001 hay PCI-DSS chỉ dừng lại ở mức dưới 13%.

Thứ ba, sự mất cân đối nghiêm trọng trong đầu tư công nghệ. Các doanh nghiệp có xu hướng ưu tiên áp dụng các biện pháp kiểm soát đơn giản như sử dụng thẻ từ ra vào khu vực máy chủ đạt 15% (tăng gấp đôi so với 7.3% năm 2014) và ứng dụng chữ ký số đạt 43.1%. Ngược lại, khâu bảo vệ dữ liệu trọng yếu lại bị bỏ quên khi chỉ có 12.3% tổ chức thực hiện mã hóa và sao lưu dữ liệu thường xuyên.

Thứ tư, nghiên cứu đã đề xuất thành công Khung kiến trúc bảo đảm an toàn thông tin phân tầng theo 3 cấp độ: Mô hình đơn giản (cho doanh nghiệp nhỏ), Mô hình trung gian (cho doanh nghiệp vừa) và Mô hình nâng cao (cho các tổ chức, tập đoàn lớn), đi kèm bộ câu hỏi khảo sát gồm 112 tiêu chí định lượng.

Thảo luận kết quả

Nguyên nhân cốt lõi dẫn đến các lỗ hổng trên bắt nguồn từ tư duy quản trị mang tính đối phó. Các nhà lãnh đạo thường coi an toàn thông tin là bài toán kỹ thuật thuần túy của bộ phận công nghệ thông tin mà quên rằng con người và quy chế mới là hai mắt xích then chốt nhất. Khi kẻ tấn công khai thác tâm lý người dùng qua các kỹ thuật phi kỹ thuật (Social Engineering), mọi giải pháp tường lửa đắt tiền đều trở nên vô hiệu nếu quy trình nội bộ lỏng lẻo.

So sánh với các nghiên cứu quốc tế, việc áp dụng nguyên bản các khung như TOGAF thường thất bại tại các nước đang phát triển do sự thiếu đồng bộ giữa chiến lược kinh doanh và năng lực hạ tầng. Khung ITI-GAF bản địa hóa đã khắc phục điểm yếu này bằng cách liên kết hữu cơ giữa 3 trụ cột Hoạt động, Thể chế và Nguồn lực.

Dữ liệu nghiên cứu có thể được biểu diễn trực quan qua bảng ma trận 3x3x3 phân cụm tiêu chuẩn TCVN ISO/IEC 27002, kết hợp với biểu đồ cột thể hiện sự chênh lệch giữa tỷ lệ nhận thức nguy cơ nội bộ (55.4%) và tỷ lệ ban hành chính sách bảo mật thực tế (23.7%). Việc trực quan hóa này giúp các nhà quản lý nhanh chóng xác định các vùng trũng rủi ro để ưu tiên phân bổ ngân sách.

Đề xuất và khuyến nghị

Dựa trên kết quả nghiên cứu, 4 nhóm giải pháp chiến lược được đề xuất nhằm nâng cao năng lực an toàn thông tin cho doanh nghiệp:

Thứ nhất, ban hành và chuẩn hóa hệ thống thể chế chính sách an toàn thông tin. Ban Giám đốc và Giám đốc Công nghệ thông tin (CIO) cần thiết lập văn bản quy chế bảo mật tổng thể, phân loại rõ cấp độ dữ liệu và quyền hạn truy cập. Target metric: Nâng tỷ lệ bao phủ chính sách an toàn thông tin từ mức 23.7% lên tối thiểu 80% tại các đơn vị trong vòng 6 đến 12 tháng.

Thứ hai, tái cấu trúc tổ chức và chuẩn hóa năng lực nhân sự an ninh mạng. Phòng Nhân sự phối hợp cùng bộ phận kỹ thuật tổ chức đào tạo nhận thức bắt buộc cho 100% nhân viên mới và tập huấn định kỳ 6 tháng một lần về phòng chống lừa đảo trực tuyến. Bố trí ít nhất một cán bộ chuyên trách an toàn thông tin đối với doanh nghiệp quy mô vừa và thành lập trung tâm điều hành an ninh mạng (SOC) đối với doanh nghiệp lớn.

Thứ ba, triển khai đánh giá hiện trạng định kỳ bằng bộ công cụ 112 tiêu chí ITI-GAF. Đội ngũ kiến trúc sư hệ thống cần tiến hành khảo sát kiến trúc hiện tại (As-Is), phân tích khoảng cách và xây dựng kiến trúc mục tiêu (To-Be). Timeline: Hoàn thành báo cáo đánh giá hiện trạng trong 3 tháng đầu tiên và rà soát định kỳ hàng năm.

Thứ tư, đầu tư hạ tầng công nghệ bảo vệ dữ liệu theo chiều sâu. Trưởng bộ phận CNTT và kỹ sư an toàn thông tin cần triển khai giải pháp mã hóa dữ liệu đầu cuối, nâng tỷ lệ mã hóa dữ liệu lưu trữ từ 12.3% lên ít nhất 70%, đồng thời thiết lập hệ thống tường lửa thế hệ mới và cơ chế sao lưu dự phòng tự động trong khung thời gian 9 đến 18 tháng.

Đối tượng nên tham khảo luận văn

Nội dung luận văn mang giá trị thực tiễn và học thuật cao cho 4 nhóm đối tượng sau:

Nhóm thứ nhất: Giám đốc Điều hành (CEO), Giám đốc Thông tin (CIO) và Giám đốc An ninh thông tin (CISO). Luận văn cung cấp khung tham chiếu chiến lược giúp các nhà lãnh đạo hoạch định quy hoạch công nghệ thông tin dài hạn, phân bổ ngân sách tối ưu và gắn kết chặt chẽ giữa mục tiêu kinh doanh với bảo đảm an toàn dữ liệu.

Nhóm thứ hai: Kiến trúc sư giải pháp doanh nghiệp và Chuyên viên an toàn thông tin. Đây là cẩm nang hướng dẫn trực tiếp quy trình áp dụng phương pháp phát triển kiến trúc ADM của TOGAF kết hợp ma trận ITI-GAF, cùng bộ 112 câu hỏi trọng số để kiểm toán lỗ hổng an ninh tại đơn vị.

Nhóm thứ ba: Các nhà quản lý doanh nghiệp vừa và nhỏ (SMEs). Luận văn gợi ý mô hình kiến trúc phân tầng đơn giản, giúp các doanh nghiệp quy mô nhỏ với nguồn lực hạn hẹp có thể tự xây dựng chính sách an toàn thông tin hiệu quả mà không cần đầu tư các hệ thống đắt đỏ.

Nhóm thứ tư: Giảng viên, học viên cao học và nghiên cứu sinh chuyên ngành Hệ thống thông tin quản lý và An toàn thông tin. Tài liệu đóng vai trò như công trình nghiên cứu điển hình về phương pháp luận bản địa hóa các tiêu chuẩn quốc tế vào bối cảnh thực tiễn Việt Nam.

Câu hỏi thường gặp

Câu hỏi 1: Tại sao doanh nghiệp Việt Nam không nên áp dụng nguyên bản các khung kiến trúc như TOGAF hay FEAF? Trả lời: Các khung kiến trúc như TOGAF hay FEAF được thiết kế cho các môi trường kinh doanh và công nghệ rất phát triển, đòi hỏi quy trình phức tạp và chi phí tư vấn lên tới hàng triệu USD. Doanh nghiệp Việt Nam với quy mô vừa và nhỏ cần một khung tinh gọn như ITI-GAF để dễ hiểu, dễ triển khai và phù hợp với nguồn lực tài chính thực tế.

Câu hỏi 2: Mối đe dọa an toàn thông tin lớn nhất đối với các tổ chức hiện nay là gì? Trả lời: Khảo sát thực tế chỉ ra rằng 55.4% rủi ro an toàn thông tin xuất phát từ chính nhân viên nội bộ của tổ chức do sự bất cẩn, thiếu hiểu biết về an ninh mạng hoặc hành vi lạm dụng quyền hạn. Nguy cơ này xếp trên cả mối đe dọa từ tội phạm máy tính hay đối thủ cạnh tranh bên ngoài.

Câu hỏi 3: Bộ câu hỏi 112 tiêu chí trong nghiên cứu mang lại lợi ích gì cho việc đánh giá an toàn thông tin? Trả lời: Bộ câu hỏi được xây dựng bằng cách phân cụm tiêu chuẩn quốc tế TCVN ISO/IEC 27002 vào ma trận 27 khối của ITI-GAF. Công cụ này giúp lượng hóa mức độ sẵn sàng an ninh thông tin của doanh nghiệp qua điểm số cụ thể, từ đó dễ dàng chỉ ra điểm yếu và lập lộ trình khắc phục chính xác.

Câu hỏi 4: Doanh nghiệp có ngân sách eo hẹp nên bắt đầu triển khai khung kiến trúc này như thế nào? Trả lời: Doanh nghiệp nhỏ nên áp dụng Mô hình đơn giản được đề xuất trong luận văn, ưu tiên hoàn thiện thể chế qua việc ban hành quy chế sử dụng máy tính, phân quyền tài khoản, áp dụng chữ ký số và nâng cao nhận thức nhân viên trước khi đầu tư các thiết bị phần cứng chuyên dụng.

Câu hỏi 5: Khung thời gian tiêu chuẩn để một tổ chức hoàn thành chuyển đổi kiến trúc an toàn thông tin là bao lâu? Trả lời: Quy trình chuyển đổi gồm 4 bước từ khảo sát As-Is, thiết kế To-Be, phân tích khác biệt đến lập kế hoạch chuyển đổi thường kéo dài từ 6 đến 12 tháng. Khung thời gian này đảm bảo tổ chức có thể thích ứng dần dần về mặt thể chế, con người và công nghệ mà không làm gián đoạn sản xuất kinh doanh.

Kết luận

• Luận văn đã hệ thống hóa toàn diện cơ sở lý luận về Kiến trúc tổng thể (Enterprise Architecture) và khẳng định vai trò sống còn của kiến trúc đối với an toàn thông tin trong tổ chức.
• Ứng dụng thành công khung ITI-GAF 3x3x3 để bản địa hóa tiêu chuẩn quốc tế TCVN ISO/IEC 27002:2011 thành bộ công cụ đánh giá 112 tiêu chí thực tế.
• Đề xuất 3 mô hình kiến trúc an toàn thông tin phân tầng linh hoạt, phù hợp hoàn hảo với năng lực tài chính và quy mô của mọi loại hình doanh nghiệp tại Việt Nam.
• Cung cấp phương pháp luận giải quyết hài hòa mối quan hệ giữa ba yếu tố cốt lõi: Con người, Quy trình và Công nghệ trong kỷ nguyên số.
• Đóng góp luận cứ khoa học thực tiễn vững chắc phục vụ việc triển khai thi hành Luật An toàn thông tin mạng năm 2015 trong cộng đồng doanh nghiệp.

Lộ trình triển khai tiếp theo cần tập trung vào việc số hóa bộ công cụ đánh giá 112 tiêu chí thành phần mềm tự động hóa trong 6 tháng tới, đồng thời mở rộng thử nghiệm tại các cơ quan quản lý nhà nước trong vòng 12 tháng. Các nhà quản lý và kỹ sư công nghệ hãy chủ động tiếp cận toàn văn luận văn để xây dựng ngay lá chắn kiến trúc an toàn thông tin vững chắc cho tổ chức của mình.

Trích đoạn nội dung tài liệu

CHƯƠNG I: TỔNG QUAN VỀ KIẾN TRÚC TỔNG THỂ, KHUNG KIẾN TRÚC TỔNG THỂ 1. Tổng quan về kiến trúc tổng thể 1. Các khái niệm Khái niệm kiến trúc tổng thể (EA - Enterprise Architecture) được ra đời từ những năm 80 của thế kỷ trước. Tuy nhiên, vẫn chưa có một khái niệm rõ ràng, nhất quán và chính xác về khung kiến trúc tổng thể.

Kiến trúc tổng thể đã được nhiều tổ chức đầu tư nghiên cứu, phát triển, trong mỗi nghiên cứu, khái niệm kiến trúc tổng thể cũng được định nghĩa theo các cách khác nhau. Khái niệm về kiến trúc tổng thể được hiểu theo một số khái niệm như sau: + Kiến trúc tổng thể bao gồm tầm nhìn, nguyên tắc và các tiêu chuẩn hướng dẫn việc mua, triển khai công nghệ trong doanh nghiệp (Theo Forrester, Gene Leganza, 2001) + Kiến trúc tổng thể là quá trình dịch chuyển tầm nhìn và chiến lược kinh doanh làm thay đổi doanh nghiệp một cách hiệu quả bằng cách tạo ra, truyền tải, và cải thiện các nguyên tắc và các mô hình mô tả trạng thái cơ bản của doanh nghiệp trong tương lai và cho phép nó hoạt động (Theo Gartner Group). + Kiến trúc tổng thể là sự quản lý một cách tối đa sự đóng góp của các nguồn lực, đầu tư công nghệ thông tin và các hoạt động phát triển hệ thống để đạt được một mục đích chung. Kiến trúc mô tả rõ ràng mối quan hệ giữa mục tiêu chiến lược và các mục tiêu cụ thể thông qua việc đầu tư cải thiện đo lường hiệu suất cho toàn bộ doanh nghiệp hay một phần doanh nghiệp (Theo US Federal EA).

+ Thiết kế nghiệp vụ và sự gắn kết hệ thống CNTT là một phần của Kiến trúc tổng thể. Các nhà kiến trúc tìm kiếm sự gắn kết giữa quy trình và cấu trúc doanh nghiệp để CNTT hỗ trợ hiệu quả. (Wegmann et al. + Mục đích chính của Kiến trúc tổng thể là thông báo, hướng dẫn và hạn chế các quyết định của doanh nghiệp đặc biệt là các đầu tư cho công nghệ thông tin (US Chief Information Officer Council) .nam TIEU LUAN MOI download : [e-mail] 14 + Kiến trúc tổng thể là sự hiểu biết về tất cả các thành phần khác nhau mà tạo nên doanh nghiệp và cách các thành phần này tương tác với nhau.

+ Kiến trúc tổng thể bao gồm tầm nhìn, nguyên tắc, các chuẩn và các quy trình nhằm hướng dẫn việc mua, thiết kế và triển khai công nghệ trong doanh nghiệp (Forrester Research). Dù được định nghĩa như thế nào thì về cơ bản Kiến trúc tổng thể cũng bao gồm các thành phần chính sau: i) Các bộ phận cấu thành nên hệ thống đó, ii) Quan hệ giữa các bộ phận với nhau và với môi trường ngoài và iii) Các nguyên tắc chỉ đạo việc thiết kế và phát triển các bộ phận đó (Theo ANSI/IEEE Std 1471-2000 ) Hay hiểu đơn giản: “kiến trúc của một tổ chức là bản thiết kế, quy hoạch tổng thể thống nhất từ đầu đến cuối cho toàn bộ quá trình xây dựng, phát triển của tổ chức, hệ thống đó sau này”, bao gồm toàn bộ các thành tố xây dựng nên cơ cấu tổ chức, hệ thống thông tin, các quy trình nghiệp vụ, các ứng dụng, hệ thống phần cứng và tất cả các thành phần khác cấu thành nên hệ thống đó.2 Thành phần của kiến trúc tổng thể: Kiến trúc tổng thể được nhiều tổ chức nghiên cứu và đưa ra các khái niệm khác nhau nhưng xét về thành phần, hầu hết các kiến trúc tổng thể đều bao gồm những thành phần sau: (LUAN.nam TIEU LUAN MOI download : skknchat@gmail.1: Các thành phần của kiến trúc tổng thể Kiến trúc Nghiệp vụ (Bussiness Architecture): bao gồm chiến lược phát triển, hệ thống quản lý, cơ cấu tổ chức và các quy trình nghiệp vụ chủ yếu của một hệ thống. Kiến trúc Dữ liệu (Data Architecture): cấu trúc các tài sản dữ liệu vật lý (văn bản, sách…) và logic (dữ liệu số hóa) của hệ thống và công cụ để quản lý các tài sản đó. Kiến trúc Ứng dụng (Application Architecture): các phần mềm ứng dụng phải được sử dụng, tương tác giữa chúng với nhau và quan hệ của chúng với các quy trình nghiệp vụ chủ yếu của hệ thống.

Kiến trúc Công nghệ (Technology Architecture): mô tả hạ tầng phần cứng và phần mềm cần thiết để triển khai ba lớp kiến trúc nói trên, bao gồm: hạ tầng CNTT, các phần mềm lớp giữa, mạng truyền thông và các chuẩn.3 Tầm quan trọng của kiến trúc tổng thể Cũng giống như vai trò của kiến trúc trong xây dựng, kiến trúc tổng thể đóng một vai trò vô cùng to lớn trong việc xây dựng, cải tổ, phát triển của mỗi tổ chức, cơ quan, doanh nghiệp. Kiến trúc tổng thể giúp cho các cơ quan tổ chức, doanh nghiệp có được cái nhìn rõ ràng, tổng thể về mình, biết được cơ quan, tổ chức đang đứng ở đâu, muốn đi tới đâu. Tổ chức còn thiếu gì, còn cần gì, các dự án (LUAN.nam TIEU LUAN MOI download : [e-mail] 16 triển khai có thực sự nằm trong quy hoạch chung hay chỉ là tạm thời, chắp vá. Giữa các hệ thống có liên hệ, liên kết như thế nào….

Khi quy mô tổ chức còn nhỏ, vài trò của kiến trúc tổng thể là chưa rõ ràng, tất cả các nguồn lực cũng như các vấn đề phát sinh đều với số lượng không đáng kể, trực quan và không quá khó để kiểm soát. Tuy nhiên, khi một tổ chức phát triển lới hơn, quy mô hoạt động được mở rộng thì vai trò của kiến trúc tổng thể được thể hiện một cách rõ ràng. Lúc này, số lượng nguồn lực tăng cao, các vấn đề phát sinh trong nghiệp vụ nhiều và dễ dàng gây ra sự quá tải, mất kiểm soát; hệ thống thông tin ngày càng trở nên phức tạp, tốn kém, khó điều hành, khả năng đáp ứng kém. Kiến trúc tổng thể giúp cho tổ chức: - Đồng bộ hóa CNTT với nghiệp vụ, mang lại sức mạnh tổng hợp từ các nguồn khác nhau, các bộ phận khác nhau của một tổ chức.

- Tránh được việc đầu tư trùng chéo, lặp lại - Xây dựng được bộ tiêu chuẩn cho toàn bộ hệ thống, nên dễ dàng phối hợp, chia sẻ giữa các dự án cũng như mở rộng hệ thống. - Xây dựng được quy trình đầu tư rõ ràng, giảm bớt thời gian thực hiện đầu tư… Hình 1.2: Mục đích và lợi ích của kiến trúc tổng thể (LUAN.nam TIEU LUAN MOI download : skknchat@gmail.4 Quy trình xây dựng kiến trúc tổng thể Hình 1. 3 cho ta thấy quy trình xây dựng kiến trúc tổng thể của một đơn vị, tổ chức. Bao gồm 04 bước sau: Mô tả kiến trúc hiện tại (As-Is): Qua quá trình khảo sát và đánh giá hiện trạng, ta dựng lại kiến trúc hiện tại của hệ thống.

Qua đó có thể xác định được vấn đề của hệ thống hiện tại. Mô tả kiến trúc tương lại (To-Be): Là kiến trúc cần đạt tới của tổ chức dựa trên Khung Kiến trúc, tầm nhìn của tổ chức và sự lựa chọn công nghệ. Phân tích khác biệt: Bằng việc so sánh kiến trúc hiện tại và kiến trúc tương lai, chúng ta tìm và phân tích các điểm khác biệt giữa chúng. Các điểm khác biệt là căn cứ để chúng ta lập kế hoạch chuyển đổi.

Kế hoạch chuyển đổi (Transition Plan): Từ kiến trúc hiện tại và kiến trúc tương lai, xây dựng các bước bao gồm các giải pháp, và trình tự, độ ưu tiên cần thực hiện để chuyển từ hiện tại sang kiến trúc tương lai.3: Quy trình xây dựng kiến trúc tổng thể (LUAN.nam TIEU LUAN MOI download : skknchat@gmail. Tổng quan về khung kiến trúc tổng thể 1.1 Khung kiến trúc tổng thể là gì? Kiến trúc tổng thể của mỗi tổ chức, đặc biệt là các tổ chức lớn, bao gồm nhiều thành phần nhỏ, thậm chí mỗi đơn vị của tổ chức đó cũng có kiến trúc tổng thể của riêng mình, cho nên để tạo ra sự thống nhất, đảm bảo tính tương thích cao giữa các thành phần, các hệ thống con trong một tổ chức cần có khung kiến trúc Cũng giống như khái niệm kiễn trúc tổng thể, khái niệm khung kiến trúc cũng được hiểu theo nhiều cách khác nhau: Zachman định nghĩa khung như “một sơ đồ phân loại”; TOGAF lại coi khung là “một phương pháp chi tiết và bộ công cụ hỗ trợ để phát riển một kiến trúc” Roger Sessions coi khung kiến trúc “là một cấu trúc khung xương – skeleton structure”, Schekkerman coi đó là bộ phận thiết yếu “có thể phối hợp nhiều khía cạnh tạo nên bản chất cơ bản của doanh nghiệp một cách toàn diện”, hay trong định nghĩa của ISO/IEC/IEEE 42010 là “xác lập các quy định chung để tạo lập, giải thích, phân tích và sử dụng các kiến trúc trong một lĩnh vực phần mềm riêng biệt hoặc trong cộng đồng những người có liên quan”. Khung kiến trúc không phải là 1 kiến trúc duy nhất mà là một công cụ được sử dụng để xây dựng và phát triển kiến trúc. Từ một khung kiến trúc người ta có thể tạo ra nhiều kiến trúc khác nhau.

Theo thống kê của Iso-enterprise architecture, có khoảng 57 khung kiến trúc trên toàn thế giới và nổi tiếng nhất, được áp dụng phổ biến nhất phải kể đến khung kiến trúc TOGAF, ZACHMAN, FEAF.4 cho ta thấy tỷ lệ áp dụng các khung kiến trúc đối với các tổ chức, doanh nghiệp trên toàn thế giới. Phần sau chúng ta sẽ tìm hiểu kỹ hơn về các khung kiến trúc này.nam TIEU LUAN MOI download : skknchat@gmail.4: Tỷ lệ áp dụng các khung kiến trúc 2.2 Lịch sử và phát triển của khung kiến trúc EA Kiến trúc hệ thống có thể coi như bắt đầu vào năm 1987 khi J.A Zachman viết bài báo “A Framework for Information Systems Architecture - Khung cho kiến trúc các hệ thống thông tin”. Năm 1994, Bộ Quốc phòng Mỹ phát triển khung kiến trúc kỹ thuật cho quản lý thông tin (TAFIM) – khung kiến trúc bị ảnh hưởng nhiều bởi tư tưởng của Zachman. Đạo luật Clinger-Cohen được thông qua năm 1996 của Quốc hội Hoa Kỳ trong đó quy định các cơ quan liên bang phải nâng cao hiệu quả của đầu tư công nghệ thông tin đã tạo điều kiện chính thức cho sự phát triển của EA.

Hội đồng CIO của Mỹ được thành lập và kết quả cho ra đời Khung Kiến trúc liên bang (FEAF).1 của khung kiến trúc này được phát hành năm 1999. FEAF cuối cùng phát triển thành các kiến trúc doanh nghiệp liên bang (FEA) dưới sự kiểm soát của Văn phòng Quản lý và Ngân sách (OMB). Năm 1998, bốn năm sau khi TAFIM được giới thiệu và hai năm sau khi nó được hệ thống hóa bởi Clinger-Cohen, TAFIM đã chính thức ngừng hoạt động và công việc thực hiện được chuyển giao cho Tập đoàn Open. Họ đã thay đổi và phát triển phiên bản khung kiến trúc mở (TOGAF) đầu tiên từ dựa trên khung TAFIM đó.