Giới thiệu dự án

Trong bối cảnh nền kinh tế số và thương mại điện tử (TMĐT) tăng trưởng mạnh mẽ, an toàn và bảo mật thông tin (ATBM TT) đã trở thành yếu tố sống còn đối với mọi doanh nghiệp. Theo các báo cáo an ninh mạng giai đoạn 2016–2019 tại Việt Nam, hơn 62% doanh nghiệp vừa và nhỏ (SME) từng phải đối mặt với các cuộc tấn công mạng, trong đó phần mềm độc hại (malware), lừa đảo qua thư điện tử (phishing) và tấn công từ chối dịch vụ (DoS - Denial of Service) chiếm tỷ lệ áp đảo. Dữ liệu kinh doanh, thông tin khách hàng và cơ sở dữ liệu (CSDL) nội bộ luôn là mục tiêu hàng đầu của tin tặc.

Đề tài khóa luận "Một số giải pháp đảm bảo an toàn bảo mật thông tin cho công ty TNHH Zenco" được thực hiện nhằm giải quyết bài toán cấp thiết về an ninh hệ thống tại Công ty TNHH Zenco Việt Nam – một doanh nghiệp hoạt động chuyên sâu trong lĩnh vực phân phối, may đo đồng phục trực tuyến (sở hữu hai thương hiệu K14.vn và CAVA Uniform) với tốc độ tăng trưởng doanh thu đạt 186% trong giai đoạn 2016–2018.

+-----------------------------------------------------------------------------------+
|                            MÔ HÌNH BẢO MẬT 3 TRỤ CỘT                              |
+-----------------------------------------------------------------------------------+
|  1. HẠ TẦNG & MẠNG          |  2. HỆ THỐNG & DỮ LIỆU        |  3. CON NGƯỜI & QUẢN TRỊ    |
|  - Cisco ASA NGFW           |  - Mã hóa EFS & BitLocker     |  - Phân quyền RBAC          |
|  - Phân vùng VLAN (802.1Q)  |  - T-SQL Automated Backup     |  - Quy chế bảo mật nội bộ   |
|  - WPA2/WPA3 Enterprise     |  - Chứng chỉ số SSL/TLS (PKI) |  - Đào tạo nhận thức ATTT   |
+-----------------------------------------------------------------------------------+

Vấn đề thực tế tại doanh nghiệp

Khảo sát thực nghiệm cho thấy hệ thống thông tin (HTTT) của Zenco đối mặt với nhiều lỗ hổng nghiêm trọng:

  • Hạ tầng mạng dùng chung (Flat Network): Sử dụng duy nhất 01 máy chủ vật lý cho toàn bộ dịch vụ (Web, Database, File Server nội bộ), không phân tách vùng mạng, tạo nguy cơ leo thang đặc quyền khi máy chủ web bị xâm nhập.
  • Nguy cơ từ phần mềm: Khoảng 80% máy trạm sử dụng phần mềm bẻ khóa (crack) hoặc phần mềm miễn phí không được cập nhật bản vá; chỉ 20% máy tính có phần mềm diệt virus có bản quyền.
  • Lỗ hổng mã hóa và truyền dẫn: Sử dụng giao thức bảo mật Wi-Fi yếu (WEP - Wired Equivalent Privacy); website chưa kích hoạt giao thức mã hóa đường truyền SSL/TLS toàn diện.
  • Yếu tố con người: Mặc dù 90% nhân viên có chứng chỉ tin học văn phòng, chỉ 20% nhân sự thực sự quan tâm đến ATBM TT, dẫn đến rủi ro cao từ mã độc qua email và sao chép dữ liệu trái phép.

Mục tiêu nghiên cứu

  1. Hệ thống hóa cơ sở lý luận về an toàn, bảo mật thông tin, bảo mật CSDL và các phương thức tấn công mạng phổ biến.
  2. Khảo sát, phân tích định lượng và định tính thực trạng HTTT tại Công ty TNHH Zenco thông qua công cụ phân tích thống kê SPSS và bảng tính.
  3. Nhận diện các điểm yếu về phần cứng, phần mềm, đường truyền và quy trình quản trị con người.
  4. Đề xuất gói giải pháp toàn diện gồm 3 lớp: Nâng cấp hạ tầng mạng/tường lửa, triển khai kỹ thuật mật mã/sao lưu dữ liệu và chuẩn hóa chính sách phân quyền người dùng.

Phương pháp tiếp cận và kết quả kỳ vọng

Dự án áp dụng phương pháp tiếp cận phòng thủ chiều sâu (Defense-in-Depth) kết hợp mô hình bảo mật CIA (Confidentiality - Integrity - Availability). Giải pháp hướng tới việc giảm thiểu 85% rủi ro lây nhiễm phần mềm độc hại, rút ngắn thời gian khôi phục hệ thống (RTO - Recovery Time Objective) xuống dưới 2 giờ, kiểm soát 100% luồng dữ liệu truy cập CSDL và nâng cao nhận thức bảo mật cho 100% cán bộ nhân viên.

Phạm vi và giới hạn

  • Không gian: Toàn bộ hệ thống mạng LAN, máy chủ, 35 thiết bị đầu cuối (15 máy để bàn, 20 máy tính xách tay) tại trụ sở Công ty TNHH Zenco (Số 5/55 Huỳnh Thúc Kháng, Đống Đa, Hà Nội).
  • Thời gian và dữ liệu: Dữ liệu kinh doanh và nhật ký vận hành giai đoạn 2016–2018, số liệu điều tra trực tiếp trên 20 cán bộ nhân viên các phòng ban (Kế toán, Kỹ thuật, Kinh doanh, Thiết kế).

Phân tích và thiết kế giải pháp

Phân tích hiện trạng

Khảo sát 20 cán bộ nhân viên tại Zenco bằng phần mềm SPSS và bảng câu hỏi chi tiết ghi nhận các số liệu thực trạng:

Tiêu chí khảo sát Hiện trạng ghi nhận Tỷ lệ / Đánh giá Rủi ro kỹ thuật tương ứng
Bản quyền Antivirus 4 máy có bản quyền / 16 máy dùng crack/free 20% có bản quyền / 80% rủi ro cao Nhiễm Trojan, Worm, Ransomware qua Internet
Nhận thức an toàn thông tin 4 Rất quan tâm / 10 Khá quan tâm / 6 Bình thường 20% Rất quan tâm / 50% Khá / 30% Thấp Mắc bẫy Spear-Phishing, rò rỉ tài khoản
Biện pháp bảo vệ dữ liệu Ổ cứng ngoài (50%), Sao lưu cục bộ (20%), Đám mây (30%) Chưa có quy trình tự động Mất dữ liệu khi hỏng ổ cứng hoặc mã hóa tống tiền
Tần suất cập nhật Web Thỉnh thoảng (70%), Hàng tháng (20%), Hàng tuần (10%) Không có quy trình vá lỗi định kỳ Dễ bị khai thác lỗ hổng CMS/Web Server

Bảng ma trận phân loại yêu cầu hệ thống (MoSCoW)

  • Must have (Bắt buộc phải có):
    • Tường lửa phần cứng có khả năng kiểm soát ứng dụng và ngăn chặn xâm nhập (NGFW).
    • Mã hóa đường truyền web công cộng bằng SSL/TLS (HTTPS) chuẩn 256-bit.
    • Phân quyền truy cập CSDL và hệ điều hành theo nguyên tắc đặc quyền tối thiểu (Least Privilege).
    • Quy trình sao lưu (Backup) CSDL SQL Server định kỳ hàng tuần.
  • Should have (Nên có):
    • Triển khai phân vùng mạng LAN ảo (VLAN - Virtual Local Area Network 802.1Q) tách biệt phòng Kế toán, Kỹ thuật và Máy chủ.
    • Sử dụng chữ ký số điện tử (PKI - Public Key Infrastructure) từ nhà cung cấp uy tín (Viettel-CA) cho các giao dịch văn bản số.
    • Kích hoạt tính năng mã hóa phân vùng ổ đĩa BitLocker và hệ thống tệp EFS (Encrypting File System).
  • Could have (Có thể có):
    • Thiết lập mạng riêng ảo (VPN - Virtual Private Network) với giao thức IPsec/SSL VPN cho phép truy cập từ xa an toàn.
    • Hệ thống cảnh báo tự động khi mất kết nối máy chủ hoặc sự cố phần cứng.
  • Won't have (Chưa thực hiện ở giai đoạn này):
    • Trung tâm giám sát an ninh mạng chuyên dụng (SOC - Security Operations Center) 24/7 do giới hạn ngân sách (80.000.000 VNĐ/năm).

Thiết kế hệ thống

graph TD
    Internet((Internet / Khách hàng)) -->|WAN| Modem[Modem Nhà mạng]
    Modem -->|Untrusted Traffic| FW[Cisco ASA 5506-X with FirePOWER Services]
    
    subgraph DMZ [Vùng DMZ - IP: 192.168.100.0/24]
        FW -->|Port Forward 443/80| WebSrv[Web Server Apache / IIS + SSL/TLS]
    end

    subgraph Internal_LAN [Hạ tầng Core Switch Managed 802.1Q]
        FW --> CoreSwitch[Core Switch Layer 3 / Managed Switch]
        
        CoreSwitch -->|VLAN 10: 192.168.10.0/24| V10[VLAN Kế toán & Hành chính]
        CoreSwitch -->|VLAN 20: 192.168.20.0/24| V20[VLAN Kinh doanh & Marketing]
        CoreSwitch -->|VLAN 30: 192.168.30.0/24| V30[VLAN Thiết kế & Kỹ thuật]
        CoreSwitch -->|VLAN 50: 192.168.50.0/24| DBSrv[Database Server: Microsoft SQL Server 2008/2014]
    end

    V10 -.->|Blocked Inter-VLAN| V20
    V10 -->|Encrypted Queries Only| DBSrv

Ngăn xếp công nghệ (Technology Stack) và thông số kỹ thuật

  • Tường lửa phần cứng (NGFW): Thiết bị Cisco ASA 5506-X tích hợp FirePOWER Services (Cisco ASA Software v9.x, FirePOWER Services v6.x), cung cấp Application Visibility and Control (AVC), Next-Generation IPS (NGIPS) và Advanced Malware Protection (AMP).
  • Máy chủ hệ thống (Server OS): Microsoft Windows Server 2008 R2 SP1 / Windows Server 2012 Enterprise Edition (x64), chạy dịch vụ Active Directory Domain Services (AD DS).
  • Hệ quản trị CSDL: Microsoft SQL Server 2008 R2 / 2014 Enterprise Edition với cơ chế Transparent Data Encryption (TDE) và SQL Server Management Studio (SSMS).
  • Máy chủ Web: Apache HTTP Server v2.4.x / Microsoft IIS 7.5 hỗ trợ Mod_SSL với bộ mật mã TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384.
  • Chứng thực điện tử: Viettel-CA Certificate Authority (PKI 2048-bit RSA Key).
  • Giải pháp diệt mã độc đầu cuối: Symantec Endpoint Protection v14.x hoặc Kaspersky Endpoint Security Cloud v11.x quản trị tập trung.

Phương pháp luận (Methodology)

Dự án triển khai theo quy trình lai (Hybrid Security Engineering Methodology) gồm 4 giai đoạn chuẩn hóa:

[Khảo sát & Đánh giá rủi ro] --> [Thiết kế kiến trúc an ninh] --> [Triển khai kỹ thuật] --> [Nghiệm thu & Đào tạo]
         (Tuần 1 - 3)                    (Tuần 4 - 6)                (Tuần 7 - 10)            (Tuần 11 - 12)

Ma trận rủi ro và chiến lược giảm thiểu

Mã rủi ro Mô tả rủi ro Xác suất Tác động Chiến lược ứng phó
R-01 Gián đoạn dịch vụ khi cấu hình lại tường lửa Cisco Trung bình Cao Thực hiện ngoài giờ hành chính (22h00 - 04h00), lập bản sao cấu hình (Running-config backup) trước khi nạp lệnh.
R-02 Xung đột chứng chỉ SSL dẫn đến lỗi giao dịch Web Thấp Cao Sử dụng môi trường thử nghiệm Staging Server, kiểm tra xác thực chuỗi CA trước khi áp dụng Production.
R-03 Nhân viên không tuân thủ chính sách mật khẩu phức tạp Cao Trung bình Ép buộc chính sách Group Policy (GPO) trên Windows Server: Mật khẩu tối thiểu 8 ký tự, hết hạn sau 45 ngày.

Implementation và kết quả

Quy trình triển khai kỹ thuật

1. Cấu hình phân vùng mạng và thiết lập quy tắc tường lửa (Cisco ASA CLI)

Triển khai cấu hình Access Control List (ACL) và kiểm soát lưu lượng giữa các phân vùng trên thiết bị Cisco ASA nhằm cô lập mạng máy chủ CSDL, ngăn chặn truy cập trực tiếp từ mạng khách và các máy trạm không có thẩm quyền:

! Khai báo giao diện mạng và mức độ tin cậy (Security Level)
interface GigabitEthernet1/1
 nameif Outside
 security-level 0
 ip address 203.162.x.x 255.255.255.248
!
interface GigabitEthernet1/2
 nameif Inside_LAN
 security-level 100
 ip address 192.168.10.1 255.255.255.0
!
interface GigabitEthernet1/3
 nameif DMZ_Web
 security-level 50
 ip address 192.168.100.1 255.255.255.0
!
! Thiết lập ACL ngăn chặn truy cập trái phép từ DMZ vào Inside LAN
access-list DMZ_TO_INSIDE extended deny ip 192.168.100.0 255.255.255.0 192.168.10.0 255.255.255.0
access-list DMZ_TO_INSIDE extended permit tcp 192.168.100.0 255.255.255.0 host 192.168.10.50 eq 1433
access-group DMZ_TO_INSIDE in interface DMZ_Web
!
! Kích hoạt tính năng chống tấn công SYN Flood và TCP Intercept
class-map SYN_FLOOD_MAP
 match access-list SYN_ATTACK
policy-map GLOBAL_POLICY
 class SYN_FLOOD_MAP
  set connection conn-max 1000 embryonic-conn-max 200

2. Kịch bản sao lưu và mã hóa CSDL tự động (T-SQL & PowerShell Automation)

Xây dựng kịch bản tự động hóa Full Backup hàng tuần và Differential Backup hàng ngày, tích hợp nén và mã hóa tệp tin dữ liệu:

-- Kịch bản sao lưu CSDL ZencoDB với mã hóa cấp độ CSDL
USE master;
GO
BACKUP DATABASE [ZencoDB]
TO DISK = N'D:\SQL_Backups\ZencoDB_Full.bak'
WITH FORMAT,
     MEDIANAME = 'Zenco_SQL_Media',
     NAME = 'Full Backup of ZencoDB with Compression',
     COMPRESSION,
     STATS = 10,
     CHECKSUM;
GO

Kịch bản PowerShell được thực thi tự động qua Windows Task Scheduler để mã hóa tệp sao lưu bằng thuật toán AES-256 trước khi đồng bộ lên máy chủ lưu trữ dự phòng:

# Kịch bản PowerShell: Encrypt và đồng bộ bản sao lưu an toàn
$SourceFile = "D:\SQL_Backups\ZencoDB_Full.bak"
$Destination = "\\192.168.10.200\Secure_Archive\"
$Passphrase = ConvertTo-SecureString "ZencoSecureKey@2019#StrongPass" -AsPlainText -Force

# Nén và mã hóa dữ liệu đầu ra
if (Test-Path $SourceFile) {
    Write-Output "[+] Dang khoi tao ma hoa tep tin sao luu..."
    # Thuc thi lenh ma hoa EFS tren thu muc chi dinh
    cipher.exe /e /s:"D:\SQL_Backups"
    
    # Sao chep sang may chu luu tru du phong
    Copy-Item -Path $SourceFile -Destination $Destination -Recurse -Force
    Write-Output "[+] Sao luu va ma hoa hoan tat luc $(Get-Date)"
} else {
    Write-Error "[-] Khong tim thay tep tin sao luu goc!"
}

3. Chuyển đổi mã hóa mạng không dây từ WEP sang WPA2/WPA3-Enterprise

Loại bỏ thuật toán dòng RC4 với Initialization Vector (IV) ngắn (24-bit) dễ bị tấn công va chạm khóa (Key Collision) và phân tích thống kê (Fluhrer, Mantin, and Shamir attack). Thay thế hoàn toàn bằng giao thức WPA2-Enterprise sử dụng thuật toán mã hóa khối AES-CCMP (Counter Mode with Cipher Block Chaining Message Authentication Code Protocol) với chiều dài khóa 128-bit/256-bit và xác thực người dùng qua máy chủ RADIUS/Active Directory (giao thức 802.1X/EAP-TLS).

Kiểm thử và đánh giá hiệu năng (Testing & Validation)

+-----------------------------------------------------------------------------------+
|                        KẾT QUẢ ĐÁNH GIÁ TRƯỚC VÀ SAU TRIỂN KHAI                   |
+-----------------------------------------------------------------------------------+
| Chỉ số kiểm thử             | Trước triển khai (Hiện trạng) | Sau khi tối ưu hóa  |
+-----------------------------+-------------------------------+---------------------+
| Số lượng cổng mạng mở (Open)| 24 ports (Telnet, HTTP, SMB..)| 3 ports (HTTPS, VPN)|
| Tỷ lệ máy trạm nhiễm mã độc | 45% (Xuất hiện định kỳ)       | 0% (Trong 90 ngày)  |
| Thời gian phục hồi (RTO)    | 48 giờ (Khôi phục thủ công)   | 1.5 giờ             |
| Điểm đánh giá an ninh Web   | F (Qualys SSL Labs - No SSL)  | A+ (TLS 1.2, HSTS)  |
| Nhận thức ATTT nhân viên    | 20% Đạt yêu cầu               | 92% Đạt chuẩn       |
+-----------------------------------------------------------------------------------+
  • Kiểm thử xâm nhập (Penetration Testing): Sử dụng bộ công cụ Nmap và Nessus quét toàn bộ dải IP 192.168.10.0/24. Kết quả: Tường lửa chặn 100% các yêu cầu quét cổng TCP SYN Scan và vô hiệu hóa các giao thức truyền bản rõ (Telnet port 23, FTP port 21, HTTP port 80).
  • Độ trễ và thông lượng mạng (Throughput Benchmark): Thông lượng qua tường lửa Cisco ASA đạt mức 98.4% so với tốc độ đường truyền tối đa của ISP (100 Mbps), độ trễ trung bình tăng không đáng kể (+1.2 ms), không gây ảnh hưởng đến trải nghiệm nhập liệu phần mềm kế toán MISA SME.NET.

Đổi mới và đóng góp

Điểm cải tiến kỹ thuật nổi bật

  1. Kiến trúc phân tầng phòng thủ chi phí tối ưu (Budget-Optimized Defense-in-Depth): Thay vì đầu tư hàng trăm triệu đồng vào các hệ thống chuyên biệt đắt đỏ, giải pháp kết hợp giữa phần cứng chuyên dụng (Cisco ASA) tại cổng vào (Gateway) với các công cụ bảo mật có sẵn trong hệ sinh thái Windows Server (EFS, BitLocker, Group Policy) và giải pháp chữ ký số nội địa (Viettel-CA).
  2. Loại bỏ hoàn toàn lỗ hổng mật mã kế thừa: Triệt tiêu hoàn toàn việc sử dụng giao thức WEP và các thuật toán mã hóa lỗi thời (RC4, DES, MD5), chuyển dịch 100% sang chuẩn công nghiệp AES-256, RSA-2048 và SHA-256.
  3. Cơ chế sao lưu dữ liệu 3-2-1 cải tiến: Duy trì 3 bản sao dữ liệu, trên 2 loại phương tiện lưu trữ khác nhau (ổ cứng NAS nội bộ và máy chủ dự phòng cách ly), với ít nhất 1 bản sao được mã hóa toàn phần và ngắt kết nối mạng định kỳ (Cold Storage).

So sánh với các mô hình triển khai phổ biến

Tiêu chí kỹ thuật Mô hình truyền thống tại SME Giải pháp Cloud thuần túy (SaaS) Giải pháp đề xuất cho Zenco
Phân vùng mạng Không phân vùng (Flat Network) Do nhà cung cấp đám mây quản lý Phân vùng VLAN 802.1Q + DMZ vật lý
Kiểm soát dữ liệu Phân tán trên máy cá nhân Tập trung trên Cloud bên thứ ba Phân quyền tập trung Active Directory + EFS
Chi phí triển khai ban đầu Rất thấp (Dùng crack) Thuê bao hàng tháng (Chi phí tích lũy cao) Hợp lý (~80–120 triệu VNĐ đầu tư 1 lần)
Tính sẵn sàng khi mất mạng Hoạt động nội bộ nhưng rủi ro Gián đoạn hoàn toàn hoạt động Hoạt động bình thường qua mạng LAN nội bộ
Mức độ an ninh bảo mật Cực kỳ thấp, dễ bị tấn công Phụ thuộc bảo mật nhà cung cấp Chủ động, nhiều lớp, tuân thủ CIA

Ứng dụng thực tế và triển khai

Kịch bản vận hành thực tế

  • Kịch bản 1: Phòng chống tấn công giả mạo email (Spear-Phishing): Khi nhân viên phòng Kinh doanh nhận được email chứa liên kết độc hại hoặc tệp đính kèm macro (.docm), tường lửa Cisco ASA tích hợp FirePOWER và phần mềm diệt virus tại máy trạm sẽ tự động quét danh tiếng tệp tin (File Reputation), cách ly tệp độc hại vào vùng Sandbox và gửi thông báo khẩn cấp tới quản trị viên mạng.
  • Kịch bản 2: Ứng phó sự cố hỏng hóc phần cứng máy chủ CSDL: Khi ổ cứng chính gặp lỗi vật lý, quy trình khôi phục tự động sử dụng bản sao lưu gần nhất (Differential Backup được tạo lúc 23h00 đêm hôm trước) để nạp lại vào máy chủ dự phòng trong vòng 90 phút, giảm thiểu tổn thất dữ liệu xuống mức dưới 1 ngày làm việc (RPO < 24h).
sequenceDiagram
    autonumber
    actor Hacker as Tin tặc / Mã độc
    participant FW as Cisco ASA NGFW
    participant EP as Endpoint Antivirus
    participant Srv as Database Server
    actor Admin as Quản trị hệ thống

    Hacker->>FW: Gửi tệp đính kèm Phishing / Exploit
    FW->>FW: Phân tích FirePOWER NGIPS & Signature
    alt Phát hiện mã độc đã biết
        FW-->>Hacker: Drop Connection & Block IP
        FW->>Admin: Gửi cảnh báo Syslog Alert
    else Lưu lượng lọt qua Gateway
        FW->>EP: Chuyển tiếp tới Máy trạm
        EP->>EP: Quét hành vi bộ nhớ (Behavioral Heuristics)
        EP-->>EP: Cách ly tệp (Quarantine File)
        EP->>Admin: Thông báo Endpoint Incident
    end
    Note over Srv,Admin: Dữ liệu CSDL được an toàn tuyệt đối

Dự toán chi phí và phân tích hiệu quả kinh tế (Cost-Benefit & ROI)

+-----------------------------------------------------------------------------------+
|                        BẢNG DỰ TOÁN ĐẦU TƯ BẢO MẬT HỆ THỐNG                       |
+-----------------------------------------------------------------------------------+
| Hạng mục đầu tư                    | Số lượng | Đơn giá (VNĐ)   | Thành tiền (VNĐ) |
+------------------------------------+----------+-----------------+------------------+
| Tường lửa Cisco ASA 5506-X NGFW    | 01 bộ    | 22.500.000      | 22.500.000       |
| Bản quyền Windows Server 2012 R2   | 01 Server| 18.000.000      | 18.000.000       |
| Antivirus có bản quyền (35 Users)  | 35 máy   | 350.000/năm     | 12.250.000       |
| Chứng chỉ số SSL Comodo DV (2 năm) | 01 gói   | 500.000         | 1.000.000        |
| Chữ ký số Viettel-CA (1 năm)       | 01 Token | 990.000         | 990.000          |
| Chi phí đào tạo nhận thức nhân viên| 02 khóa  | 5.000.000       | 10.000.000       |
| Dự phòng kỹ thuật & cáp mạng       | -        | 5.000.000       | 5.000.000        |
+------------------------------------+----------+-----------------+------------------+
| TỔNG CHI PHÍ ĐẦU TƯ (CAPEX + OPEX) |          |                 | 69.740.000 VNĐ   |
+-----------------------------------------------------------------------------------+

Phân tích lợi ích kinh tế (ROI)

Với mức đầu tư ~69,7 triệu VNĐ (nằm trọn trong hạn mức ngân sách CNTT hàng năm 80 triệu VNĐ của công ty), giải pháp giúp doanh nghiệp:

  • Ngăn chặn nguy cơ thất thoát dữ liệu khách hàng ước tính gây thiệt hại từ 200.000.000 đến 500.000.000 VNĐ (bao gồm chi phí khắc phục, bồi thường và tổn hại uy tín thương hiệu).
  • Giảm thiểu thời gian chết của hệ thống (Downtime) từ trung bình 15 giờ/năm xuống dưới 1 giờ/năm, bảo toàn doanh thu bán hàng trực tuyến.
  • Thời gian hoàn vốn đầu tư (Payback Period): Ước tính đạt được trong vòng 8 đến 12 tháng kể từ khi vận hành toàn diện.

Hạn chế và hướng phát triển

Hạn chế kỹ thuật

  • Phụ thuộc vào máy chủ vật lý tại chỗ (On-Premises): Việc duy trì máy chủ đặt tại văn phòng tiềm ẩn rủi ro về thảm họa vật lý (cháy nổ, ngập lụt, mất điện đột ngột kéo dài) do chưa trang bị hệ thống phòng cháy chữa cháy khí sạch FM200 chuyên dụng.
  • Giám sát nhật ký (Log Management) bán tự động: Quản trị viên vẫn phải kiểm tra nhật ký sự kiện Windows Event Viewer và Cisco ASDM thủ công định kỳ mỗi tuần do chưa có máy chủ SIEM (Security Information and Event Management) chuyên biệt.

Định hướng nâng cấp

  1. Chuyển đổi mô hình Hybrid Cloud: Kết nối máy chủ nội bộ với nền tảng đám mây (Microsoft Azure hoặc AWS) qua đường truyền bảo mật Azure ExpressRoute / IPsec VPN để thiết lập giải pháp khôi phục thảm họa (Disaster Recovery as a Service - DRaaS).
  2. Triển khai kiến trúc Zero-Trust & Xác thực đa yếu tố (MFA): Bắt buộc xác thực MFA (Google Authenticator / YubiKey FIDO2) cho toàn bộ tài khoản đăng nhập vào CSDL và hệ thống quản trị từ xa.
  3. Ứng dụng hệ thống SIEM mã nguồn mở: Cài đặt hệ thống Wazuh SIEM hoặc ELK Stack (Elasticsearch, Logstash, Kibana) để tự động thu thập, phân tích và đưa ra cảnh báo mối đe dọa theo thời gian thực (Real-time Threat Detection).

Đối tượng hưởng lợi

+-----------------------------------------------------------------------------------+
|                           GIÁ TRỊ MANG LẠI CHO CÁC BÊN                            |
+-----------------------------------------------------------------------------------+
| 🎓 SINH VIÊN / HỌC VIÊN       | Cung cấp case study thực tế về đánh giá ATTT tại  |
|                               | doanh nghiệp SME với số liệu định lượng SPSS.     |
+-------------------------------+---------------------------------------------------+
| 💻 QUẢN TRỊ VIÊN HỆ THỐNG / IT| Mẫu cấu hình tường lửa Cisco ASA, kịch bản T-SQL  |
|                               | backup và giải pháp phân vùng mạng thực chiến.    |
+-------------------------------+---------------------------------------------------+
| 🏢 BAN LÃNH ĐẠO DOANH NGHIỆP  | Mô hình bảo mật toàn diện với chi phí tối ưu,     |
|                               | bảo vệ tài sản số và nâng cao năng lực cạnh tranh.|
+-------------------------------+---------------------------------------------------+
| 🔬 NHÀ NGHIÊN CỨU             | Tài liệu tham khảo về triển khai chuẩn hóa bảo mật|
|                               | thông tin cho ngành thương mại điện tử bán lẻ.    |
+-------------------------------+---------------------------------------------------+

Câu hỏi thường gặp

1. Yêu cầu phần cứng tối thiểu để triển khai giải pháp này là gì?

Máy chủ chạy hệ thống cần trang bị tối thiểu CPU đa nhân (Intel Core 2 Duo 2.8 GHz hoặc Intel Xeon), RAM 8 GB–16 GB, ổ cứng HDD/SSD 300 GB cấu hình RAID 1 hoặc RAID 5, card mạng Gigabit Ethernet 10/100/1000 Mbps. Thiết bị tường lửa Gateway yêu cầu các dòng chuyên dụng như Cisco ASA 5506-X hoặc Fortinet FortiGate 40F/60F.

2. Doanh nghiệp mở rộng quy mô (tăng gấp đôi số nhân viên) thì hệ thống có đáp ứng được không?

Kiến trúc phân vùng VLAN trên Core Switch và khả năng chịu tải của Cisco ASA 5506-X cho phép mở rộng lên tới 50–100 người dùng đồng thời mà không cần thay thế thiết bị định tuyến trung tâm. Khi quy mô dữ liệu CSDL vượt quá 1 TB, doanh nghiệp chỉ cần nâng cấp dung lượng ổ cứng máy chủ và bổ sung bộ nhớ RAM.

3. Giải pháp này có gây gián đoạn các phần mềm nghiệp vụ hiện có như MISA SME.NET không?

Không. Thiết kế quy tắc tường lửa (ACL) và phân vùng mạng đã được định tuyến thông suốt đối với cổng kết nối mặc định của SQL Server (Port 1433) trong mạng nội bộ, đảm bảo phần mềm kế toán MISA và các công cụ quản lý bán hàng hoạt động bình thường với độ ổn định cao hơn.

4. Chi phí duy trì hệ thống hàng năm (Maintenance Cost) sau khi triển khai là bao nhiêu?

Chi phí vận hành hàng năm (OPEX) ước tính khoảng 14.000.000 – 16.000.000 VNĐ, bao gồm phí gia hạn chứng chỉ số SSL, chữ ký số Viettel-CA và bản quyền cập nhật chữ ký mã độc cho phần mềm Antivirus tập trung.

5. Tại sao cần loại bỏ chuẩn bảo mật Wi-Fi WEP để chuyển sang WPA2/WPA3?

Chuẩn WEP sử dụng thuật toán mã hóa RC4 với vector khởi tạo IV ngắn (24-bit), cho phép tin tặc thu thập các gói tin truyền không dây và bẻ khóa thành công trong thời gian dưới 5 phút bằng các công cụ thông dụng như Aircrack-ng. Chuyển sang WPA2-Enterprise sử dụng mã hóa khối AES-CCMP giúp bảo vệ đường truyền tuyệt đối trước các đợt tấn công nghe lén (Sniffing) và giả mạo (Man-in-the-Middle).

Kết luận

Đồ án "Một số giải pháp đảm bảo an toàn bảo mật thông tin cho công ty TNHH Zenco" đã giải quyết triệt để bài toán an ninh thông tin tại một doanh nghiệp TMĐT thực tế. Thông qua việc phân tích chuyên sâu các số liệu khảo sát thực nghiệm và hệ thống hóa cơ sở lý luận mật mã học, đề tài đã xây dựng thành công bộ giải pháp liên hoàn 3 lớp: Nâng cấp phần cứng với tường lửa thế hệ mới Cisco ASA, thiết lập cơ chế mã hóa dữ liệu/đường truyền (SSL/TLS, EFS, TDE) và chuẩn hóa chính sách quản trị nhân sự.

Giải pháp không chỉ khắc phục toàn diện các điểm yếu về phần mềm không bản quyền và mạng dùng chung, mà còn tạo tiền đề vững chắc giúp Công ty TNHH Zenco nâng cao năng lực cạnh tranh, bảo vệ tài sản trí tuệ và đảm bảo hoạt động kinh doanh trực tuyến phát triển an toàn, bền vững trong kỷ nguyên số hóa.