Bối cảnh và vấn đề nghiên cứu

Khóa luận tốt nghiệp của tác giả Trần Văn Huấn (chuyên ngành Hệ thống thông tin kinh tế, Trường Đại học Thương mại Hà Nội, năm 2012) tập trung giải quyết bài toán an toàn và bảo mật dữ liệu trong môi trường doanh nghiệp công nghệ thông tin quy mô vừa và nhỏ. Bối cảnh thực tiễn được đặt ra khi các hệ thống vận hành trên nền tảng Internet trở thành công cụ hỗ trợ ra quyết định của các cấp quản trị, đồng thời đối mặt với nguy cơ dữ liệu trên đường truyền hoặc trong kho lưu trữ bị đánh cắp, làm sai lệch hoặc giả mạo phục vụ mục đích cạnh tranh không lành mạnh và gián điệp kinh tế. Dẫn chứng từ báo cáo "Hiện trạng An toàn thông tin trong các tổ chức doanh nghiệp Việt Nam 2011" của Hiệp hội An toàn thông tin Việt Nam (VNISA) công bố ngày 23/11/2011 cho thấy 52% tổ chức chưa có quy trình thao tác chuẩn để ứng phó sự cố máy tính; các biện pháp phòng vệ chủ yếu dừng lại ở phần mềm chống virus, tường lửa và bộ lọc thư rác cơ bản, trong khi các giải pháp bảo mật nâng cao (chữ ký số, hệ thống phát hiện xâm nhập, quản lý định danh, sinh trắc học) chỉ chiếm tỷ lệ sử dụng quanh ngưỡng 5%.

Tại đơn vị nghiên cứu thực địa là Công ty Cổ phần Đầu tư và Phát triển Phần mềm SDIC (thành lập năm 2006, hoạt động trong lĩnh vực gia công phần mềm và dịch vụ tin học văn phòng), tác giả chỉ ra các điểm nghẽn thực tế: việc quản lý luồng dữ liệu vào ra và kiểm soát truy cập Internet của nhân viên còn thiếu chặt chẽ; cơ chế bảo vệ bí mật thông tin trong hệ thống thông tin quản lý còn thiếu linh hoạt; chưa khai thác đồng bộ các công cụ an ninh mạng, từ đó làm gia tăng rủi ro thất thoát thông tin nghiệp vụ và ảnh hưởng đến năng lực cạnh tranh.

Mục tiêu nghiên cứu được xác lập theo văn bản gồm ba nội dung:

  1. Hệ thống hóa cơ sở lý luận về an toàn và bảo mật hệ thống thông tin quản lý trong doanh nghiệp.
  2. Đánh giá thực trạng hoạt động an toàn và bảo mật hệ thống thông tin quản lý tại Công ty Cổ phần Đầu tư và Phát triển Phần mềm SDIC trên cơ sở lý luận và các công cụ phân tích.
  3. Đề xuất các giải pháp khả thi nhằm nâng cao hiệu quả công tác an toàn và bảo mật hệ thống thông tin quản lý cho công ty.

Đối tượng và phạm vi nghiên cứu:

  • Đối tượng nghiên cứu: Các giải pháp công nghệ và giải pháp con người phục vụ việc nâng cao an toàn và bảo mật hệ thống thông tin quản lý.
  • Phạm vi không gian: Công ty Cổ phần Đầu tư và Phát triển Phần mềm SDIC (địa chỉ: P1301 Nhà B11B, Khu Nam Trung Yên, Cầu Giấy, Hà Nội).
  • Phạm vi thời gian: Thu thập và phân tích dữ liệu hoạt động giai đoạn 3 năm (2009, 2010, 2011); xây dựng giải pháp cho giai đoạn 2012 – 2013 và định hướng đến năm 2015.
  • Phạm vi nội dung: Thực trạng tổ chức, vận hành, kiểm soát rủi ro an toàn thông tin tại SDIC; đánh giá các yếu tố công nghệ, nhân sự, môi trường tác động; xây dựng giải pháp kỹ thuật phân lớp và cơ chế quản trị quy trình an ninh.

Cơ sở lý thuyết và phương pháp

Khung lý thuyết của đề tài được xây dựng từ giáo trình và tài liệu chuyên ngành của Trường Đại học Thương mại Hà Nội, tập trung vào các khái niệm nền tảng:

  • Phân định dữ liệu, thông tin và hệ thống thông tin quản lý (MIS): Dữ liệu là tập hợp ký tự, số liệu rời rạc chưa mang lại hiểu biết trực tiếp; thông tin là dữ liệu đã qua xử lý mang ý nghĩa đối với người sử dụng; MIS là mạng lưới máy tính phối hợp thu thập, xử lý, lưu trữ và cung cấp thông tin phục vụ điều hành và ra quyết định.
  • Mô hình bảo mật CIA: Xác lập ba mục tiêu cốt lõi gồm tính bảo mật (Confidentiality - chỉ cá nhân được cấp quyền mới có thể truy cập), tính toàn vẹn (Integrity - thông tin chính xác, không bị chỉnh sửa trái phép) và tính sẵn sàng (Availability - dữ liệu luôn sẵn sàng phục vụ người dùng hợp pháp khi có nhu cầu).
  • Phân loại tấn công hệ thống: Kỹ thuật tấn công xã hội (Social Engineering Attacks lợi dụng sự bất cẩn của con người), tấn công phần mềm (Software Attacks nhắm vào ứng dụng, hệ điều hành và giao thức), tấn công phần cứng (Hardware Attacks phá hoại thiết bị vật lý dẫn tới từ chối dịch vụ - DoS).
  • Mô hình phòng thủ theo chiều sâu trên các tầng giao thức TCP/IP: Lớp 1 (Router tích hợp Access Control List - ACL, Firewall, IPS trên hệ điều hành IOS nhằm lọc gói tin tại cổng kết nối nhà cung cấp dịch vụ); Lớp 2 (Network IPS - NIPS giám sát lưu lượng mạng ra vào Internet); Lớp 3 (Firewall phân tách 3 vùng mạng Inside, Outside và DMZ bảo vệ các máy chủ dịch vụ công cộng); Lớp 4 (NIPS kết hợp Host IPS - HIPS giám sát trực tiếp trên từng máy chủ nội bộ).
  • Khung quản trị an ninh: Chu trình bảo mật 4 giai đoạn gồm Bảo đảm an ninh (Secure), Giám sát (Monitoring), Kiểm thử (Test), Nâng cấp (Improve) dựa trên chính sách an ninh doanh nghiệp (theo tài liệu của John S. Flowers và Tom Stracener, 1999); kết hợp tiêu chuẩn quốc tế ISO/IEC 27001 về hệ thống quản lý an toàn thông tin.
  • Hệ thống văn bản pháp luật: Quyết định số 63/QĐ-TTg ngày 13/01/2010 của Thủ tướng Chính phủ phê duyệt "Quy hoạch phát triển an toàn thông tin số quốc gia đến năm 2020"; Nghị định số 97/2008/NĐ-CP ngày 28/08/2008 về quản lý, cung cấp, sử dụng dịch vụ Internet và thông tin điện tử; Nghị định số 90/2008/NĐ-CP về chống thư rác.

Phương pháp nghiên cứu và nguồn dữ liệu:

  • Phương pháp thu thập dữ liệu thứ cấp: Dữ liệu nội bộ trích xuất từ báo cáo kết quả hoạt động kinh doanh giai đoạn 2009 – 2011 do Phòng Kế toán, Phòng Hành chính và Phòng Nhân sự Công ty SDIC cung cấp; dữ liệu bên ngoài từ các báo cáo khảo sát của VNISA, tài liệu nghiên cứu và sách chuyên khảo an toàn mạng.
  • Phương pháp thu thập dữ liệu sơ cấp: Khảo sát thực địa bằng bảng câu hỏi gồm 10 câu (kết hợp câu hỏi đóng và câu hỏi mở) phát trực tiếp cho 10 cán bộ nhân viên trong công ty; thực hiện phỏng vấn chuyên sâu trực tiếp với ông Tạ Kim Ngọc – Trưởng phòng Gia công phần mềm SDIC vào ngày 10/04/2012 thông qua 5 câu hỏi mở về hiện trạng máy chủ, công cụ bảo mật và định hướng công nghệ.
  • Phương pháp xử lý dữ liệu: Ứng dụng phần mềm SPSS (Statistical Package for the Social Sciences) để phân tích thống kê mô tả, tần suất, tính toán trọng số quan trọng và vẽ đồ thị; kết hợp phương pháp phân tích định tính nhằm tổng hợp, so sánh giữa lý luận và thực trạng vận hành.

Nội dung chính theo từng chương

Phần 1: Tổng quan về an toàn và bảo mật hệ thống thông tin quản lý tại Công ty Cổ phần Đầu tư và Phát triển Phần mềm SDIC

Phần mở đầu hệ thống hóa tính cấp thiết của việc bảo vệ hệ thống thông tin trong bối cảnh các hiểm họa an ninh mạng gia tăng tại Việt Nam, phân tích thực trạng bảo mật còn hạn chế qua số liệu khảo sát của VNISA năm 2011. Tác giả xác lập rõ phạm vi nghiên cứu tại Công ty SDIC, thiết kế các công cụ thu thập thông tin bao gồm phiếu điều tra định lượng (10 câu hỏi) và biên bản phỏng vấn chuyên gia quản lý kỹ thuật. Quy trình xử lý dữ liệu sơ cấp bằng phần mềm SPSS được xác lập nhằm định lượng hóa mức độ nhận thức về an ninh mạng của nhân viên công ty.

Phần 2: Cơ sở lý luận và thực trạng về an toàn và bảo mật hệ thống thông tin quản lý của Công ty Cổ phần Đầu tư và Phát triển Phần mềm SDIC

Nội dung chương 2 phân tách làm hai mảng chính:

  • Hệ thống hóa lý thuyết: Làm rõ các khái niệm về dữ liệu, thông tin, hệ thống thông tin quản lý (MIS); ba yêu cầu cốt lõi của mô hình bảo mật CIA; phân loại các hình thức tấn công hệ thống (tấn công xã hội, phần mềm, phần cứng); nguyên lý thiết kế mô hình bảo mật phân lớp theo giao thức TCP/IP (kết hợp Router, Firewall, NIPS, HIPS, phân vùng DMZ); phân tích bốn phương pháp xác định ngân sách an ninh (tỷ lệ phần trăm trên doanh thu, cân bằng cạnh tranh, căn cứ mục tiêu - nhiệm vụ, theo khả năng tài chính).
  • Thực trạng tại Công ty SDIC: Giới thiệu thông tin pháp lý của doanh nghiệp (thành lập ngày 15/07/2006, giấy phép số 0103013314 do Sở Kế hoạch và Đầu tư Hà Nội cấp, vốn điều lệ ghi nhận 7.000.000.000 VNĐ, nhân sự gồm 30 cán bộ nhân viên vào năm 2011, nhận đầu tư từ VNPT Group và VPBank). Đơn vị từng trúng thầu cung cấp phần mềm quản lý nhân sự (HRM) cho Tập đoàn Dầu khí Quốc gia Việt Nam (năm 2008) và đào tạo chuyển giao HRM cho VNPost (năm 2010). Về hạ tầng kỹ thuật, công ty trang bị 2 máy chủ nhưng thực chất là tận dụng máy trạm cài đặt hệ điều hành Windows Server 2003, chưa triển khai máy chủ chuyên dụng; tỷ lệ máy tính cá nhân trên nhân viên đạt 1:1,17.
  • Xử lý dữ liệu định lượng qua SPSS: Khảo sát 10 nhân viên ghi nhận thành phần con người có trọng số quan trọng cao nhất trong hệ thống thông tin (0,35 điểm), tiếp đến là cơ sở dữ liệu (0,25 điểm), phần cứng (0,20 điểm), phần mềm (0,20 điểm) và mạng truyền thông (thấp nhất). Về nhân tố bên ngoài ảnh hưởng, 90% ý kiến xác định công nghệ thông tin là yếu tố chi phối lớn nhất, tiếp theo là kinh tế (70%), chính sách - pháp luật (50%) và văn hóa - xã hội (30%). Về nhân tố nội bộ, 60% lựa chọn sự phối hợp giữa các phòng ban, 50% lựa chọn ngân sách, 40% chọn khâu lập kế hoạch. Đáng chú ý, có 40% nhân sự không nắm được hệ thống của đơn vị đã từng bị tấn công hay chưa; 4/10 ý kiến đánh giá an toàn thông tin tại đơn vị chỉ ở mức trung bình và 1 ý kiến đánh giá ở mức yếu. Các hình thức sự cố phổ biến nhất gồm làm suy giảm hiệu năng mạng (quá tải mạng) và lây nhiễm virus/worm.

Phần 3: Định hướng phát triển và đề xuất nhằm nâng cao hiệu quả an toàn và bảo mật hệ thống thông tin quản lý tại Công ty Cổ phần Đầu tư và Phát triển Phần mềm SDIC

Chương cuối khái quát các thành tựu của đơn vị (xây dựng chiến lược an ninh gắn với kinh doanh, mạng băng thông rộng kết nối toàn bộ máy trạm, ứng dụng bước đầu tường lửa phần mềm và lọc thư rác) cùng các hạn chế tồn tại (thiếu giải pháp chiều sâu, chưa ứng dụng tường lửa phần cứng, thiếu nhân sự chuyên trách an ninh mạng, thiếu quy trình chuẩn đánh giá hiệu quả chi phí bảo mật). Tác giả nhận diện nguyên nhân do biến động công nghệ nhanh, quy định pháp lý còn chung chung và lãnh đạo doanh nghiệp chưa phân bổ ngân sách tập trung.

Trên cơ sở đó, tác giả đưa ra các nhóm giải pháp kỹ thuật và quản trị:

  • Chuyển đổi hệ điều hành máy chủ sang Linux Server, cấu hình cơ chế lọc gói tin với IP Chains, IP Masquerading, mã hóa truyền thông bằng thư viện OpenSSL (hỗ trợ giao thức SSL v2/v3, TLS v1), thiết lập các công cụ giám sát Sxid, Snort, Linux Intrusion Detection System (LIDS) và các phần mềm rà soát lỗ hổng (Nmap, Strobe, Sscan, Satan).
  • Triển khai tường lửa kết hợp: Cài đặt phần mềm Microsoft ISA Server 2006 nhằm thiết lập chính sách truy cập mạng nội bộ, lọc thông tin và tạo mạng riêng ảo VPN; đầu tư thiết bị tường lửa phần cứng Cisco ASA 8.5 để kiểm soát gói tin vào/ra trước và sau định tuyến.
  • Tái cấu trúc hệ thống máy chủ: Bổ sung thêm 1 máy chủ vật lý (nâng tổng số lên 3 máy chủ) và phân tách chức năng riêng biệt giữa máy chủ kiểm soát truy cập và máy chủ lưu trữ (Mail Server, Virus Scan Server, SQL Server, DHCP Server, Exchange Server).
  • Chuẩn hóa quy trình an ninh 4 bước (Secure - Monitoring - Test - Improve) và ứng dụng tiêu chuẩn ISO/IEC 27001 cùng các công cụ kiểm tra Traffic IQ Pro, GFI LANguard Network Security Scanner, thiết bị chuyên dụng Foundstone FS1000.
  • Các kiến nghị vĩ mô gửi Nhà nước (hoàn thiện văn bản dưới luật, thành lập các đội ứng cứu sự cố máy tính CSIRT, đào tạo nhân lực an toàn thông tin qua Bộ GD&ĐT) và kiến nghị nội ngành phần mềm (chủ động tự phát triển phần mềm nghiệp vụ nội bộ tránh lỗ hổng bảo mật từ phần mềm bẻ khóa không bản quyền).

Kết quả và đóng góp

Khóa luận đã tổng hợp hệ thống chỉ tiêu tài chính, ngân sách an ninh mạng và các phát hiện điều tra thực nghiệm tại Công ty SDIC thông qua các bảng số liệu cụ thể:

Bảng 1: Một số chỉ tiêu hoạt động và ngân sách bảo mật của Công ty SDIC (2009 – 2011)

Chỉ tiêu Năm 2009 Năm 2010 Năm 2011
Doanh thu bán hàng và cung cấp dịch vụ (VNĐ) 8.842.000.000* 11.469.000.000 16.842.000.000
Tăng trưởng doanh thu so với năm trước (%) - 147% 137%
Chi phí cho hoạt động an toàn, bảo mật HTTT (VNĐ) 22.000.000 > 30.000.000** Tăng 173,7% so với 2010
Tổng số cán bộ nhân viên (người) 25 30 30 - 35***
Tỷ lệ nhân sự có trình độ đại học trở lên (%) - - 90% (2 ThS, 25 ĐH)

(Ghi chú theo số liệu văn bản: *Doanh thu năm 2009 tại bảng 2.2 ghi 8.842; phần thuyết minh trang 16 ghi 8.988 VNĐ. **Ngân sách trung bình hàng năm được ghi nhận hơn 30 triệu đồng; năm 2011 tăng 173,7% so với 2010 trong khi lợi nhuận sau thuế tăng chậm hơn. ***Trang 15 ghi 30 nhân viên; trang 28 ghi 35 nhân viên).

Bảng 2: Tổng hợp kết quả khảo sát nhân sự SDIC bằng phần mềm SPSS (n = 10)

Tiêu chí khảo sát Phân loại / Thành phần Kết quả ghi nhận từ mẫu
Trọng số vai trò thành phần trong HTTT Con người / CSDL / Phần cứng / Phần mềm / Mạng Con người: 0,35; CSDL: 0,25; Phần cứng: 0,20; Phần mềm: 0,20; Mạng: thấp nhất
Nhân tố bên ngoài ảnh hưởng CNTT / Kinh tế / Chính sách - Pháp luật / Văn hóa CNTT: 90%; Kinh tế: 70%; Pháp luật: 50%; Văn hóa - Xã hội: 30%
Nhân tố bên trong ảnh hưởng Phối hợp phòng ban / Ngân sách / Kế hoạch / Người thực hiện Phối hợp: 60%; Ngân sách: 50%; Lập kế hoạch: 40%; Nhân sự thực hiện: 20%
Tình trạng nhận biết tấn công mạng Mức độ nhận thức của nhân viên 40% không biết; 10% khẳng định có bị tấn công và được theo dõi đầy đủ
Hình thức tấn công thường gặp Các nguy cơ an ninh ghi nhận Chủ yếu là quá tải mạng (suy giảm hiệu năng) và nhiễm virus/worm
Đánh giá mức độ an toàn thông tin Xếp loại hiện trạng của công ty 4 ý kiến đánh giá trung bình; 1 ý kiến đánh giá yếu

Về mặt giải pháp, đề tài đóng góp một khung giải pháp toàn diện kết hợp giữa kỹ thuật và quản trị:

  • Đề xuất thay thế hệ thống Windows Server 2003 bằng Linux Server tích hợp giao thức mã hóa dữ liệu OpenSSL, tường lửa nhân Linux (IP Chains, IP Masquerading) và hệ thống phát hiện xâm nhập mã nguồn mở Snort.
  • Thiết lập mô hình tường lửa kép: Tường lửa phần mềm ISA Server 2006 phụ trách định tuyến, thiết lập VPN và phân quyền vùng mạng; tường lửa phần cứng Cisco ASA 8.5 đặt trước router để lọc luồng gói tin chuyên sâu.
  • Phân tách hạ tầng máy chủ thành 3 cụm riêng biệt: Nhóm máy chủ kiểm soát truy cập và nhóm máy chủ dịch vụ/lưu trữ (SQL, Mail, Exchange, Virus Scan).
  • Thiết lập quy trình quản trị 4 bước tuần hoàn khép kín (Secure - Monitoring - Test - Improve) vận hành theo tiêu chuẩn ISO/IEC 27001 và công cụ rà soát mạng định kỳ (Traffic IQ Pro, GFI LANguard Network Security Scanner).

Đóng góp khoa học của đề tài: So với các công trình nghiên cứu trước đó (như luận văn năm 2009 của Nguyễn Hữu Dũng tại ĐH Thương mại về bảo mật HTTT quản trị vốn chỉ dừng ở mức khái quát lý thuyết), khóa luận của Trần Văn Huấn đã trực tiếp khảo sát thực địa tại một doanh nghiệp phần mềm cụ thể, kết hợp công cụ điều tra định lượng bằng SPSS và phỏng vấn chuyên gia phụ trách công nghệ để đề xuất các giải pháp kỹ thuật khả thi, phù hợp với năng lực tài chính và hạ tầng của doanh nghiệp vừa và nhỏ tại Việt Nam.

Hạn chế và hướng nghiên cứu tiếp

Hạn chế của khóa luận được tác giả thừa nhận xuất phát từ phạm vi nghiên cứu thực tập tốt nghiệp:

  • Cỡ mẫu điều tra thực nghiệm còn nhỏ (chỉ khảo sát 10 cán bộ nhân viên và phỏng vấn 1 cán bộ quản lý kỹ thuật), do đó tính đại diện thống kê còn ở mức sơ bộ.
  • Dữ liệu tài chính và hoạt động kỹ thuật chỉ phản ánh trong phạm vi hẹp từ năm 2009 đến năm 2011 tại một doanh nghiệp phần mềm quy mô nhỏ (dưới 40 nhân sự), chưa phản ánh đầy đủ đặc thù của các doanh nghiệp quy mô lớn hoặc các ngành kinh doanh khác.
  • Các giải pháp kỹ thuật đề xuất (cài đặt Linux Server, nâng cấp Cisco ASA 8.5, phân bổ 3 máy chủ) và mô hình chu trình an ninh mới dừng lại ở mức độ kiến nghị định hướng cho giai đoạn 2012 – 2015, chưa có điều kiện triển khai thực nghiệm để đo lường hiệu quả chi phí - lợi ích (ROI) thực tế trên hệ thống.

Hướng nghiên cứu tiếp: Cần mở rộng quy mô khảo sát trên nhiều doanh nghiệp công nghệ thông tin; xây dựng thử nghiệm mô hình bảo mật phân lớp trên môi trường phòng thí nghiệm mạng (lab test) và đánh giá độ trễ hệ thống khi áp dụng đồng thời các giải pháp mã hóa OpenSSL kết hợp tường lửa phần cứng.

Giá trị tham khảo

Khóa luận có giá trị tham khảo thiết thực đối với:

  • Sinh viên các ngành Hệ thống thông tin kinh tế, Quản trị hệ thống thông tin, Công nghệ thông tin và Thương mại điện tử: Học hỏi phương pháp kết hợp giữa nghiên cứu định tính (phỏng vấn chuyên gia) và định lượng (thiết kế bảng hỏi, nhập liệu và phân tích SPSS) trong một đề tài quản trị công nghệ.
  • Cán bộ quản trị mạng và nhà quản lý tại các doanh nghiệp vừa và nhỏ (SME): Tham khảo quy trình phân chia vùng mạng an toàn (Inside, Outside, DMZ), phương án tối ưu hóa chi phí bảo mật bằng công cụ mã nguồn mở (Linux, Snort, OpenSSL) và cấu trúc xây dựng chính sách an toàn thông tin theo chu trình 4 bước kết hợp tiêu chuẩn ISO/IEC 27001.

Câu hỏi thường gặp

1. Hệ thống máy chủ của Công ty SDIC tại thời điểm nghiên cứu gặp phải điểm yếu kỹ thuật cơ bản nào?
Hệ thống mạng của công ty vận hành dựa trên 2 máy chủ nhưng thực chất chỉ là các máy trạm (workstation) được cài đặt hệ điều hành Windows Server 2003, cấu hình phần cứng thấp, chưa có hệ điều hành chuyên dụng chống xâm nhập và chưa tách biệt giữa máy chủ lưu trữ dữ liệu với máy chủ kiểm soát truy cập.

2. Kết quả điều tra thực nghiệm bằng SPSS tại SDIC xác định yếu tố nào đóng vai trò quan trọng nhất trong hệ thống thông tin quản lý?
Kết quả xử lý phiếu điều tra 10 nhân viên ghi nhận thành phần con người giữ vai trò quyết định với trọng số cao nhất là 0,35 điểm; xếp sau lần lượt là cơ sở dữ liệu (0,25 điểm), phần cứng (0,20 điểm), phần mềm (0,20 điểm) và mạng truyền thông có điểm số thấp nhất.

3. Khóa luận ghi nhận hình thức sự cố mạng nào diễn ra phổ biến nhất tại Công ty SDIC?
Dữ liệu khảo sát chỉ ra các hình thức sự cố phổ biến nhất mà hệ thống từng gặp phải là các cuộc tấn công làm suy giảm hiệu năng mạng (gây nghẽn và quá tải đường truyền) cùng tình trạng lây nhiễm virus, sâu máy tính (worm) và mã độc tự lây lan.

4. Tác giả đề xuất giải pháp tường lửa (firewall) cụ thể nào để bảo vệ hệ thống thông tin của SDIC?
Tác giả đề xuất mô hình phối hợp: bên ngoài sử dụng tường lửa phần cứng Cisco ASA 8.5 lắp đặt trước router để lọc gói tin trước và sau khi định tuyến; bên trong kết hợp tường lửa phần mềm Microsoft ISA Server 2006 để phân vùng truy cập mạng nội bộ, thiết lập chính sách mạng riêng ảo VPN và lọc gói tin theo địa chỉ mạng con.

5. Chu trình an toàn và bảo mật 4 bước mà khóa luận khuyến nghị cho doanh nghiệp gồm những nội dung gì?
Chu trình được vận hành liên tục dựa trên chính sách an toàn doanh nghiệp (Corporate Security Policy), gồm 4 bước: Bảo đảm an ninh (Secure - thực thi giải pháp cụ thể), Giám sát (Monitoring - theo dõi lưu lượng và phát hiện bất thường), Kiểm thử (Test - rà soát định kỳ lỗ hổng bằng công cụ chuyên dụng) và Nâng cấp (Improve - cải tạo, cập nhật công nghệ mới).

Kết luận

Khóa luận tốt nghiệp của tác giả Trần Văn Huấn đã phản ánh chân thực thực trạng bảo đảm an toàn và bảo mật hệ thống thông tin quản lý tại Công ty Cổ phần Đầu tư và Phát triển Phần mềm SDIC giai đoạn 2009 – 2011. Thông qua việc kết hợp chặt chẽ giữa khung lý luận phân lớp TCP/IP, mô hình CIA và phương pháp nghiên cứu định lượng qua SPSS, tác giả đã chỉ rõ các lỗ hổng về hạ tầng máy chủ, nhận thức nhân sự và cơ chế kiểm soát dữ liệu. Hệ thống giải pháp đề xuất bao gồm ứng dụng hệ điều hành Linux, tường lửa kết hợp ISA Server - Cisco ASA và quy trình an ninh 4 bước theo chuẩn ISO/IEC 27001 mang tính ứng dụng thực tiễn cao đối với các doanh nghiệp công nghệ quy mô vừa và nhỏ.