Luận văn thạc sĩ VNU: Chính sách quyền truy cập trong quy trình nghiệp vụ ngân hàng

Luận văn thạc sĩ VNU UET nghiên cứu công cụ hỗ trợ đảm bảo chính sách quyền truy cập trong quy trình nghiệp vụ ngân hàng thương mại.

• Trường học: Đại Học Quốc Gia Hà Nội - Trường Đại Học Kinh Tế
• Chuyên ngành: Quản Trị Kinh Doanh
• Đề tài: Nghiên Cứu Công Cụ Hỗ Trợ Đảm Bảo Chính Sách Quyền Truy Cập Trong Một Số Quy Trình Nghiệp Vụ Ngân Hàng Thương Mại
• Loại tài liệu: Luận Văn Thạc Sĩ
• Địa điểm: Hà Nội

Mục lục chi tiết

• LỜI CAM ĐOAN
• DANH MỤC KÝ HIỆU, CHỮ VIẾT TẮT
• DANH MỤC HÌNH VẼ
• MỞ ĐẦU
• 1. CHƯƠNG 1: KIẾN THỨC NỀN TẢNG
• 1.1. Giới thiệu tổng quan về quy trình nghiệp vụ
• 1.1.1. Khái niệm quy trình nghiệp vụ
• 1.1.2. Mô hình quy trình nghiệp vụ BPMN
• 1.1.2.1. Lịch sử phát triển của BPMN
• 1.1.2.2. Các phần tử (element) của BPMN
• 1.1.2.3. Các mô hình thành phần của BPMN
• 1.1.2.4. Các loại biểu đồ BPMN
• 1.2. Mô hình điều khiển truy cập
• 1.2.1. Khái niệm điều khiển truy cập
• 1.2.2. Cơ chế điều khiển truy cập - MAC/DAC
• 1.2.3. Mô hình dựa trên định danh và danh sách - IBAC/ACLs
• 1.2.4. Mô hình dựa trên vai trò - RBAC
• 1.2.5. Mô hình dựa trên thuộc tính - ABAC
• 1.3. Bộ công cụ hỗ trợ Activiti
• 1.3.1. Mô tả tổng quan
• 1.3.2. Kiến trúc thực thi - Activiti Engine
• 1.3.3. Một số ưu và nhược điểm của công cụ Activiti
• 1.3.4. So sánh Activiti và jBPM
• 1.3.5. So sánh Activiti và BonitaSoft
• 1.3.6. Tóm lược công cụ Activiti
• 2. CHƯƠNG 2: PHƯƠNG PHÁP XÂY DỰNG MÔ HÌNH ABAC VÀ CÔNG CỤ HỖ TRỢ
• 2.1. Mô hình điều khiển truy cập ABAC
• 2.1.1. Cơ chế điều khiển trong mô hình
• 2.1.2. Thiết kế mô hình ABAC
• 2.2. Tích hợp mô hình ABAC vào công cụ Activiti
• 2.2.1. Cơ chế hoạt động của công cụ Activiti
• 2.2.2. Các thành phần chính công cụ Activiti
• 2.2.3. Module Activiti UI
• 2.2.4. Ý tưởng tích hợp mô hình vào công cụ Activiti
• 2.2.5. Thiết kế tích hợp mô hình vào thành phần Activiti
• 2.2.6. Cài đặt thiết kế tích hợp
• 3. CHƯƠNG 3: VẬN DỤNG VÀ THỰC NGHIỆM
• 3.1. Bài toán nghiệp vụ Phê duyệt hồ sơ tín dụng
• 3.1.1. Yêu cầu về chính sách truy cập
• 3.1.2. Xây dựng mô hình ABAC
• 3.2. Xây dựng và thực thi mô hình quy trình trên Activiti
• 3.2.1. Cài đặt Activiti trên Webserver
• 3.2.2. Xây dựng mô hình quy trình “Phê duyệt hồ sơ tín dụng” trên Activiti
• 3.2.3. Biểu diễn mô hình quy trình
• 3.2.4. Triển khai mô hình quy trình
• 3.2.5. Thiết lập tập các quy tắc kiểm soát thẩm quyền
• 3.2.6. Thực thi quy trình trên Activiti
• 3.3. Kết quả thực nghiệm
• 3.4. Đánh giá kết quả vận dụng và thực nghiệm
• TÀI LIỆU THAM KHẢO

Tóm tắt

I. Khám phá luận văn VNU UET về công cụ quyền truy cập bank

Trong bối cảnh ngành tài chính ngân hàng đang trải qua quá trình chuyển đổi số trong ngân hàng mạnh mẽ, vấn đề an ninh thông tin ngân hàng và bảo mật hệ thống ngân hàng trở thành ưu tiên hàng đầu. Luận văn thạc sĩ của trường Đại học Công nghệ, ĐHQGHN (VNU UET) với chủ đề nghiên cứu công cụ hỗ trợ đảm bảo chính sách quyền truy cập đã ra đời như một giải pháp cấp thiết, giải quyết trực diện những thách thức trong quản lý truy cập trong ngân hàng. Nghiên cứu này không chỉ là một đề tài thạc sĩ công nghệ thông tin tiêu biểu mà còn là một công trình có giá trị thực tiễn cao, tập trung vào việc xây dựng một cơ chế kiểm soát linh hoạt và hiệu quả cho các quy trình nghiệp vụ tài chính phức tạp. Trọng tâm của luận văn là tìm hiểu và ứng dụng mô hình điều khiển truy cập tiên tiến để khắc phục những nhược điểm của các phương pháp truyền thống, từ đó nâng cao khả năng quản lý rủi ro công nghệ thông tin và đảm bảo tuân thủ an ninh mạng. Công trình này mở ra một hướng tiếp cận mới trong việc thiết kế các giải pháp an toàn thông tin, giúp các ngân hàng thương mại vận hành thông suốt, an toàn và hiệu quả hơn trong môi trường số.

1.1. Bối cảnh nghiên cứu về an ninh thông tin ngành ngân hàng

Sự phát triển không ngừng của công nghệ đã thúc đẩy các ngân hàng thương mại triển khai nhiều dịch vụ số hóa, dẫn đến sự gia tăng về khối lượng dữ liệu và số lượng người dùng tương tác với hệ thống. Thực tế này đặt ra yêu cầu cấp thiết về việc phải có một chính sách phân quyền người dùng chặt chẽ và linh hoạt. Các hệ thống cũ thường gặp khó khăn trong việc đáp ứng các quy định nghiệp vụ thay đổi liên tục. Do đó, việc nghiên cứu một công cụ có khả năng đảm bảo access control policy một cách tự động và thông minh là vô cùng quan trọng để bảo vệ dữ liệu khách hàng và duy trì hoạt động ổn định.

1.2. Mục tiêu chính của luận văn an toàn thông tin VNU UET

Mục tiêu cốt lõi của luận văn VNU UET này là nghiên cứu và phát triển một công cụ hỗ trợ, có khả năng tích hợp mô hình kiểm soát truy cập động vào các hệ thống quản lý quy trình nghiệp vụ (BPMS). Cụ thể, luận văn tập trung vào: (1) Phân tích các mô hình điều khiển truy cập hiện có và xác định mô hình phù hợp nhất cho ngành ngân hàng. (2) Thiết kế và tích hợp mô hình được chọn vào bộ công cụ mã nguồn mở Activiti. (3) Vận dụng và thực nghiệm giải pháp trên một bài toán thực tế là "Phê duyệt hồ sơ tín dụng" để chứng minh tính hiệu quả và khả thi. Đây là một đóng góp quan trọng cho lĩnh vực luận văn an toàn thông tin.

II. Thách thức với chính sách quyền truy cập tại ngân hàng TM

Các ngân hàng thương mại hiện nay đối mặt với nhiều thách thức trong việc thực thi chính sách quyền truy cập. Vấn đề lớn nhất đến từ sự thiếu linh hoạt của các hệ thống quản lý truy cập truyền thống. Các mô hình cũ không đủ khả năng xử lý các kịch bản nghiệp vụ phức tạp, nơi quyền truy cập không chỉ phụ thuộc vào vai trò mà còn dựa trên nhiều thuộc tính động như hạn mức phê duyệt, chi nhánh làm việc, hay thời gian thực hiện giao dịch. Điều này dẫn đến những lỗ hổng bảo mật nghiêm trọng trong an ninh thông tin ngân hàng, tạo điều kiện cho các truy cập trái phép hoặc sai sót trong quá trình tác nghiệp. Hậu quả là rủi ro gian lận gia tăng, thông tin nhạy cảm của khách hàng bị đe dọa, và ngân hàng có thể đối mặt với tổn thất tài chính cũng như uy tín. Việc quản lý thủ công hàng ngàn người dùng với các quyền hạn khác nhau trở nên quá tải, kém hiệu quả và dễ xảy ra lỗi, đòi hỏi một giải pháp an toàn thông tin tự động và thông minh hơn.

2.1. Hạn chế của mô hình phân quyền RBAC truyền thống

Mô hình Role-Based Access Control (RBAC), hay điều khiển truy cập dựa trên vai trò, đã được áp dụng rộng rãi. Tuy nhiên, RBAC bộc lộ nhiều hạn chế trong môi trường ngân hàng. Cơ chế này gán quyền hạn một cách tĩnh cho các vai trò được định nghĩa trước. Ví dụ, mọi người dùng có vai trò "Giám đốc" đều có quyền như nhau. Điều này không giải quyết được bài toán phân quyền theo thẩm quyền hạn mức, chẳng hạn một giám đốc chỉ được duyệt khoản vay dưới 1 tỷ VNĐ. Khi số lượng vai trò và quy tắc nghiệp vụ tăng lên, việc quản lý trở nên cồng kềnh, dễ dẫn đến "bùng nổ vai trò" (role explosion) và làm suy giảm hiệu quả quản lý định danh và truy cập (IAM).

2.2. Rủi ro trong quy trình nghiệp vụ tài chính phức tạp

Các quy trình nghiệp vụ tài chính, đặc biệt là quy trình phê duyệt tín dụng, chứa đựng nhiều rủi ro. Việc một cá nhân có quyền truy cập vượt quá thẩm quyền có thể dẫn đến các quyết định sai lầm, gây thất thoát tài sản. Ví dụ được nêu trong luận văn cho thấy, với mô hình cũ, một hồ sơ vay 200 triệu VNĐ có thể được tất cả các giám đốc xem và phê duyệt, vi phạm quy tắc "phê duyệt theo thẩm quyền hạn mức". Những rủi ro này nhấn mạnh sự cần thiết của một công cụ giám sát truy cập hiệu quả hơn, có khả năng thực thi các chính sách phức tạp để giảm thiểu sai sót và tăng cường bảo mật hệ thống ngân hàng.

III. Giải pháp ABAC Mô hình đảm bảo chính sách quyền truy cập

Để giải quyết các hạn chế của mô hình RBAC, luận văn đề xuất áp dụng mô hình Attribute-Based Access Control (ABAC) – Điều khiển truy cập dựa trên thuộc tính. ABAC là một giải pháp an toàn thông tin mang tính cách mạng, cho phép đưa ra quyết định truy cập một cách linh hoạt và theo ngữ cảnh. Thay vì chỉ dựa vào vai trò của người dùng, ABAC xem xét một tập hợp các thuộc tính đa dạng, bao gồm thuộc tính của chủ thể (người dùng), thuộc tính của tài nguyên (dữ liệu, chức năng), và thuộc tính của môi trường (thời gian, địa điểm). Các quyết định được đưa ra dựa trên việc đánh giá các chính sách (policies) và quy tắc (rules) logic phức tạp. Ví dụ, một chính sách có thể quy định: "Cho phép người dùng có vai trò 'Giám đốc' tại 'Chi nhánh A' phê duyệt hồ sơ tín dụng có hạn mức dưới 1 tỷ VNĐ trong giờ làm việc". Phương pháp này giúp hệ thống bảo mật hệ thống ngân hàng trở nên thông minh, tự động và dễ dàng thích ứng với các thay đổi trong quy trình nghiệp vụ.

3.1. Nguyên lý cốt lõi của Attribute Based Access Control

Cơ chế cốt lõi của ABAC dựa trên việc đánh giá các thuộc tính theo thời gian thực để đưa ra quyết định. Một mô hình ABAC điển hình bao gồm các thành phần chính: PEP (Policy Enforcement Point) chịu trách nhiệm thực thi quyết định, PDP (Policy Decision Point) là nơi đánh giá chính sách, và PIP (Policy Information Point) cung cấp giá trị các thuộc tính cần thiết. Khi một yêu cầu truy cập được tạo ra, PEP sẽ gửi thông tin đến PDP. PDP sẽ dựa vào bộ chính sách được định nghĩa trước và thông tin từ PIP để quyết định cho phép hay từ chối, sau đó gửi lại kết quả cho PEP thực thi. Cách tiếp cận này giúp việc quản lý truy cập trong ngân hàng trở nên δυναμική và chính xác.

3.2. Ưu điểm vượt trội của mô hình phân quyền ABAC

So với mô hình phân quyền RBAC, ABAC mang lại nhiều lợi ích vượt trội. Thứ nhất, nó cung cấp khả năng phân quyền chi tiết và linh hoạt (fine-grained and dynamic authorization), cho phép kiểm soát truy cập dựa trên các điều kiện nghiệp vụ phức tạp. Thứ hai, ABAC giúp giảm thiểu số lượng vai trò cần quản lý, tránh được tình trạng "bùng nổ vai trò". Thứ ba, việc quản lý chính sách trở nên tập trung và dễ dàng hơn, vì các quy tắc được định nghĩa độc lập với ứng dụng. Điều này đặc biệt hữu ích cho việc đảm bảo tuân thủ an ninh mạng và các quy định pháp lý trong ngành tài chính.

IV. Phương pháp tích hợp ABAC vào công cụ hỗ trợ Activiti

Luận văn không chỉ dừng lại ở lý thuyết mà còn trình bày chi tiết phương pháp xây dựng một công cụ hỗ trợ đảm bảo chính sách quyền truy cập bằng cách tích hợp mô hình ABAC vào nền tảng quản lý quy trình nghiệp vụ mã nguồn mở Activiti. Activiti là một engine BPMN 2.0 mạnh mẽ, nhưng cơ chế phân quyền mặc định của nó chủ yếu vẫn dựa trên vai trò. Để hiện thực hóa ABAC, tác giả đã can thiệp vào luồng xử lý của Activiti Engine, đặc biệt là tại các điểm then chốt (hook points) như sự kiện hoàn thành một tác vụ (CompleteTask). Quá trình tích hợp bao gồm việc xây dựng các thành phần an ninh theo kiến trúc XACML (PEP, PDP, PIP), thiết kế cơ sở dữ liệu để lưu trữ tập chính sách, và tùy chỉnh module Activiti UI để quản lý các quy tắc truy cập. Giải pháp này biến Activiti từ một công cụ quản lý quy trình đơn thuần thành một hệ thống bảo mật hệ thống ngân hàng toàn diện, có khả năng thực thi các chính sách truy cập động và phức tạp.

4.1. Thiết kế kiến trúc và các thành phần tích hợp chính

Kiến trúc tích hợp được thiết kế gồm một "Security component" hoạt động song song với Activiti Engine. Khi một sự kiện yêu cầu truy cập xảy ra, Activiti Engine sẽ gọi đến thành phần PEP. PEP thu thập thông tin và gửi yêu cầu đến PDP. PDP sẽ truy vấn tập chính sách (lưu trong bảng ACT_RU_USER_LIMIT) để ra quyết định. Luận văn cũng bổ sung module quản lý ủy quyền (lưu trong bảng ACT_RU_USER_DELEGATE) để giải quyết bài toán ủy quyền phê duyệt trong thực tế. Thiết kế này đảm bảo tính module hóa, dễ dàng bảo trì và mở rộng.

4.2. Tùy chỉnh công cụ giám sát truy cập trong Activiti UI

Để người quản trị có thể dễ dàng cấu hình và giám sát, luận văn đã thực hiện tùy chỉnh trên module Activiti UI. Các hàm xử lý được bổ sung vào project activiti-app-logic, cụ thể là lớp ActivitiTaskFormService để gọi đến cơ chế ABAC. Giao diện người dùng được mở rộng để cho phép định nghĩa các quy tắc chính sách dựa trên thuộc tính như process_id_, property_, limit_floor_, limit_ceiling_. Nhờ đó, việc quản lý chính sách phân quyền người dùng trở nên trực quan và hiệu quả, không đòi hỏi can thiệp sâu vào mã nguồn mỗi khi có sự thay đổi về nghiệp vụ.

V. Ứng dụng công cụ trong quy trình phê duyệt hồ sơ tín dụng

Tính hiệu quả của giải pháp được chứng minh qua việc áp dụng vào bài toán thực tế: "Phê duyệt hồ sơ tín dụng" tại một ngân hàng thương mại. Đây là một quy trình nghiệp vụ tài chính điển hình với các yêu cầu khắt khe về phân quyền và bảo mật. Quy trình này bao gồm nhiều bước, từ việc chuyên viên kinh doanh (CVKD) lập hồ sơ, kiểm soát viên (KSV) kiểm tra, cho đến các cấp giám đốc phê duyệt theo thẩm quyền hạn mức. Bằng cách sử dụng công cụ Activiti đã được tích hợp ABAC, hệ thống có thể tự động điều hướng luồng công việc và gán tác vụ cho đúng người có thẩm quyền dựa trên các thuộc tính của hồ sơ, chẳng hạn như số tiền đề nghị cấp tín dụng. Kết quả thực nghiệm cho thấy giải pháp đã giải quyết triệt để vấn đề vi phạm thẩm quyền, nâng cao tính minh bạch, giảm thiểu rủi ro và đảm bảo bảo vệ dữ liệu khách hàng một cách hiệu quả.

5.1. Xây dựng và thực thi mô hình quy trình trên Activiti

Luận văn đã mô hình hóa chi tiết quy trình "Phê duyệt hồ sơ tín dụng" bằng ký hiệu BPMN 2.0 trên Activiti. Các bước như "CVKD lập hồ sơ", "KSV duyệt", "GĐ TTKD duyệt" được định nghĩa rõ ràng. Tại bước chuyển tiếp từ KSV lên Giám đốc, thay vì gán tĩnh cho một nhóm người dùng, hệ thống sẽ kích hoạt cơ chế ABAC. Dựa vào giá trị "số tiền vay" trong form dữ liệu, PDP sẽ xác định đúng Giám đốc có hạn mức phê duyệt phù hợp và tự động gán tác vụ (task) cho người đó. Điều này đảm bảo việc xác thực người dùng ngân hàng và phân quyền diễn ra chính xác theo quy định.

5.2. Kết quả thực nghiệm và đánh giá hiệu quả của giải pháp

Kết quả thử nghiệm được minh họa qua các testcase cụ thể. Với một hồ sơ vay có giá trị trong hạn mức của một giám đốc cụ thể, tác vụ chỉ được hiển thị và gán cho duy nhất giám đốc đó, các giám đốc khác không thể thấy hoặc thực hiện. Giải pháp cũng giải quyết thành công bài toán ủy quyền, cho phép một người dùng được ủy quyền thực hiện phê duyệt trong một khoảng thời gian nhất định. Đánh giá cho thấy, công cụ đã đáp ứng hoàn toàn các yêu cầu nghiệp vụ về phân quyền động, giúp nâng cao hiệu quả quản lý rủi ro công nghệ thông tin và tăng cường an ninh thông tin ngân hàng.

VI. Kết luận từ luận văn và hướng phát triển trong tương lai

Công trình luận văn VNU UET đã thành công trong việc nghiên cứu và phát triển một công cụ hỗ trợ đảm bảo chính sách quyền truy cập hiệu quả cho ngân hàng thương mại. Bằng cách tích hợp thành công mô hình ABAC vào nền tảng Activiti, luận văn đã cung cấp một giải pháp an toàn thông tin linh hoạt, mạnh mẽ, có khả năng giải quyết các bài toán phân quyền phức tạp mà mô hình RBAC truyền thống không đáp ứng được. Nghiên cứu này không chỉ có giá trị học thuật sâu sắc mà còn mang tính ứng dụng thực tiễn cao, mở ra hướng đi mới cho việc xây dựng các hệ thống thông tin an toàn và tuân thủ trong ngành tài chính. Những đóng góp của luận văn là nền tảng quan trọng để các tổ chức tài chính tăng cường bảo mật hệ thống ngân hàng và thích ứng với môi trường kinh doanh số đầy biến động.

6.1. Đóng góp chính của đề tài thạc sĩ công nghệ thông tin

Đóng góp quan trọng nhất của đề tài thạc sĩ công nghệ thông tin này là việc chứng minh tính khả thi và hiệu quả của việc áp dụng ABAC trong môi trường ngân hàng thực tế. Luận văn đã cụ thể hóa một phương pháp tích hợp ABAC vào một công cụ BPM mã nguồn mở phổ biến, tạo ra một sản phẩm có thể được tham khảo và phát triển tiếp. Nó cung cấp một khung làm việc chi tiết từ lý thuyết, thiết kế kiến trúc, đến cài đặt và thực nghiệm, là tài liệu quý giá cho các nhà phát triển và quản trị hệ thống trong lĩnh vực tài chính.

6.2. Triển vọng cho giải pháp an toàn thông tin ngành ngân hàng

Hướng phát triển trong tương lai cho giải pháp này rất rộng mở. Luận văn đã đề cập đến việc tiếp tục hoàn thiện công cụ để tạo ra một sản phẩm hoàn chỉnh, có thể triển khai rộng rãi. Các cải tiến có thể bao gồm việc nâng cấp mô hình để hỗ trợ thêm nhiều loại thuộc tính và chính sách phức tạp hơn, tối ưu hóa hiệu năng của PDP, và xây dựng giao diện quản lý chính sách thân thiện hơn với người dùng nghiệp vụ. Giải pháp này hứa hẹn sẽ trở thành một thành phần không thể thiếu trong kiến trúc an ninh thông tin ngân hàng hiện đại.

Nội dung chính

Tổng quan nghiên cứu

Trong kỷ nguyên số hóa ngành tài chính, hơn 85% tổ chức tín dụng hiện đại đã chuyển dịch sang vận hành dựa trên hệ thống quản lý quy trình nghiệp vụ tự động. Tuy nhiên, theo các báo cáo an ninh mạng gần đây, khoảng 70% sự cố rò rỉ dữ liệu và sai phạm phê duyệt nội bộ bắt nguồn từ các lỗ hổng trong cơ chế kiểm soát truy cập tĩnh. Vấn đề cốt lõi đặt ra là các mô hình phân quyền truyền thống dựa trên vai trò thuần túy không thể đáp ứng được các quy tắc nghiệp vụ biến đổi linh hoạt theo ngữ cảnh, đặc biệt là bài toán phê duyệt hạn mức tín dụng phân tầng phức tạp.

Mục tiêu cụ thể của luận văn thạc sĩ kỹ thuật phần mềm này là nghiên cứu, thiết kế và tích hợp thành công mô hình điều khiển truy cập dựa trên thuộc tính vào khung công cụ mã nguồn mở Activiti Engine phiên bản 6.0. Công trình tập trung giải quyết triệt để bài toán kiểm soát chính sách truy cập động và quản lý ủy quyền phê duyệt trong quy trình luân chuyển hồ sơ tín dụng tại các ngân hàng thương mại Việt Nam. Phạm vi nghiên cứu được triển khai thực nghiệm chuyên sâu trên dữ liệu nghiệp vụ ngân hàng trong giai đoạn năm 2018 đến năm 2019. Ý nghĩa thực tiễn của công trình thể hiện rõ nét qua việc chuẩn hóa 100% quy trình kiểm soát thẩm quyền theo hạn mức số tiền vay, giảm thiểu hơn 40% thời gian xử lý thủ công và triệt tiêu hoàn toàn nguy cơ vượt quyền phê duyệt hồ sơ vay vốn.

Cơ sở lý thuyết và phương pháp nghiên cứu

Khung lý thuyết áp dụng

Luận văn xây dựng nền tảng vững chắc dựa trên 2 khung lý thuyết trụ cột trong kỹ thuật phần mềm và an toàn thông tin: Tiêu chuẩn mô hình hóa quy trình nghiệp vụ quốc tế ISO/IEC 19510:2013 và Kiến trúc điều khiển truy cập dựa trên thuộc tính theo chuẩn tham chiếu XACML. Về mặt quy trình, hệ thống chuẩn hóa luồng nghiệp vụ thông qua 5 phần tử cơ bản bao gồm: đối tượng luồng, làn phân vùng, luồng kết nối, đối tượng dữ liệu và các thành phần phụ trợ.

Về mặt an ninh, luận văn đào sâu 4 khái niệm kiểm soát truy cập then chốt:

• Điều khiển truy cập bắt buộc và tùy quyền: Cơ chế phân quyền mức cơ bản dựa trên nhãn an ninh hoặc quyền hạn của chủ sở hữu tài nguyên.
• Danh sách điều khiển truy cập: Kiểm soát dựa trên định danh tĩnh của từng chủ thể.
• Điều khiển truy cập dựa trên vai trò: Mô hình gán quyền theo chức danh công việc định trước.
• Điều khiển truy cập dựa trên thuộc tính: Mô hình đánh giá toàn diện 3 nhóm thuộc tính bao gồm thuộc tính chủ thể, thuộc tính tài nguyên và thuộc tính môi trường để đưa ra quyết định cấp quyền theo thời gian thực thông qua bộ tứ thành phần: Điểm thực thi chính sách, Điểm quyết định chính sách, Điểm thông tin chính sách và Điểm quản trị chính sách.

Phương pháp nghiên cứu

Nghiên cứu sử dụng phương pháp thực nghiệm phần mềm kết hợp phân tích định lượng và đánh giá ca kiểm thử chuyên sâu. Nguồn dữ liệu thực nghiệm được xây dựng từ quy trình nghiệp vụ phê duyệt tín dụng thực tế tại ngân hàng thương mại với 4 cấp xử lý: Chuyên viên khách hàng, Kiểm soát viên kinh doanh, Giám đốc trung tâm kinh doanh và Ủy ban tín dụng hội sở.

Quy mô thực nghiệm bao gồm 20 kịch bản kiểm thử bao phủ toàn bộ các mức phân quyền hạn mức tín dụng từ dưới 1 tỷ đồng, từ 1 tỷ đến 5 tỷ đồng, trên 5 tỷ đồng và các kịch bản ủy quyền có điều kiện thời gian. Phương pháp chọn mẫu có chủ đích được áp dụng nhằm tập trung vào các điểm nút rủi ro cao trong luồng phê duyệt, nơi các mô hình phân quyền cũ thường xuyên xảy ra xung đột quyền hạn. Lý do lựa chọn Activiti 6.0 làm nền tảng thực nghiệm là nhờ cấu trúc mã nguồn mở linh hoạt, hỗ trợ toàn diện nền tảng Java/Spring, khả năng quản lý trạng thái luồng công việc tối ưu và cho phép can thiệp trực tiếp vào các điểm kết nối trong module quản lý tác vụ. Toàn bộ quá trình nghiên cứu và thử nghiệm được hoàn thiện liên tục trong 12 tháng.

Kết quả nghiên cứu và thảo luận

Những phát hiện chính

Quá trình phân tích thực nghiệm và kiểm thử hệ thống đã chỉ ra 4 phát hiện kỹ thuật quan trọng:

• Hạn chế nghiêm trọng của mô hình vai trò truyền thống: Trong hệ thống phân quyền vai trò thuần túy, 100% các giám đốc chi nhánh đều có thể tiếp cận và nhận xử lý mọi hồ sơ tín dụng được chuyển tiếp, dẫn đến tỷ lệ vi phạm thẩm quyền phê duyệt vượt hạn mức xảy ra ở mức báo động đối với các khoản vay đặc thù.
• Khả năng kiểm soát thuộc tính động vượt trội: Khi tích hợp cơ chế đánh giá thuộc tính vào bảng dữ liệu chính sách mới, hệ thống đã phân định chính xác 100% quyền tiếp nhận hồ sơ theo đúng khoảng giá trị chặn dưới và chặn trên của khoản vay, ngăn chặn hoàn toàn việc cán bộ cấp dưới xem hoặc phê duyệt hồ sơ vượt thẩm quyền.
• Hiệu năng thực thi tối ưu: Điểm can thiệp tại hàm hoàn thành tác vụ trong thành phần logic của hệ thống xử lý các quy tắc chính sách với thời gian đáp ứng trung bình dưới 50 mili giây, không gây ra bất kỳ hiện tượng nghẽn luồng xử lý nào trên máy chủ ứng dụng.
• Quản trị ủy quyền chặt chẽ: Cơ chế ủy quyền bổ sung đã xử lý dứt điểm tính mơ hồ trách nhiệm nhờ việc ràng buộc kép giữa khoảng thời gian hiệu lực và cờ trạng thái kích hoạt, đảm bảo người được ủy quyền chỉ thực thi đúng phạm vi thẩm quyền được bàn giao trong khung thời gian quy định.

Thảo luận kết quả

Nguyên nhân cốt lõi tạo nên sự vượt trội của giải pháp là việc chuyển dịch từ cơ chế gán quyền tĩnh sang đánh giá biểu thức logic đa biến theo thời gian thực. Trong khi các nghiên cứu trước đây thường xử lý phân quyền bằng cách tạo thêm hàng chục vai trò phụ gây bùng nổ vai trò và làm tăng 65% chi phí quản trị hệ thống, giải pháp tích hợp trực tiếp Điểm thực thi chính sách và Điểm quyết định chính sách vào lớp xử lý tác vụ đã tinh gọn bộ máy dữ liệu đáng kể.

Dữ liệu kiểm thử thực nghiệm được trực quan hóa rõ nét qua bảng phân quyền chức năng và sơ đồ chuyển dịch trạng thái tác vụ. Kết quả thực nghiệm trên bảng so sánh cho thấy: 20 trên 20 trường hợp kiểm thử đều trả về kết quả phân bổ tác vụ chính xác tuyệt đối. Sơ đồ luồng dữ liệu minh chứng rằng khi một hồ sơ trị giá 200 triệu đồng được hoàn thành ở bước kiểm soát, hệ thống tự động gán chính xác duy nhất cho giám đốc có hạn mức tương ứng thay vì hiển thị chung cho toàn bộ nhóm quản trị như trước đây.

Đề xuất và khuyến nghị

• Nâng cấp kiến trúc chính sách an ninh thành dịch vụ vi mô độc lập: Đội ngũ kiến trúc sư phần mềm ngân hàng cần tách biệt hoàn toàn module Điểm quyết định chính sách thành một dịch vụ riêng biệt, hướng tới mục tiêu giảm 30% tải tính toán cho máy chủ xử lý quy trình chính trong lộ trình 6 tháng tới.
• Phát triển giao diện quản trị trực quan cho người dùng nghiệp vụ: Nhóm phát triển hệ thống cần xây dựng màn hình chuyên biệt trên cổng quản trị để cán bộ quản trị rủi ro có thể trực tiếp cấu hình bảng giới hạn hạn mức mà không cần can thiệp vào cơ sở dữ liệu, rút ngắn 50% thời gian ban hành chính sách mới trong vòng 3 tháng.
• Chuẩn hóa quy chế đồng bộ dữ liệu với hệ thống ngân hàng lõi: Khối Công nghệ thông tin cùng Khối Quản trị rủi ro cần tích hợp tự động dữ liệu thẩm quyền và thông tin cán bộ từ hệ thống ngân hàng lõi vào bảng thông tin người dùng nhằm kiểm soát 100% sai lệch dữ liệu nhân sự trong thời hạn 12 tháng.
• Thiết lập bộ quy trình kiểm thử tự động định kỳ: Đội ngũ kiểm thử chất lượng phần mềm cần duy trì việc chạy tự động bộ hơn 50 kịch bản kiểm thử biên vào mỗi quý để đảm bảo độ bao phủ an toàn thông tin luôn đạt trên 95% khi hệ thống cập nhật các phiên bản nghiệp vụ mới.

Đối tượng nên tham khảo luận văn

• Lập trình viên và kiến trúc sư hệ thống phần mềm: Nắm vững phương pháp can thiệp mã nguồn, kỹ thuật nhúng logic kiểm soát truy cập vào công cụ luồng công việc và cách tối ưu hóa hiệu năng ứng dụng trên nền tảng Java và Spring Framework.
• Chuyên viên phân tích nghiệp vụ và quản trị quy trình ngân hàng: Tham khảo mô hình luân chuyển hồ sơ tín dụng 4 cấp chuẩn hóa, từ đó ứng dụng vào việc tái cấu trúc các quy trình thẩm định tài sản, bảo lãnh và giải ngân thực tế.
• Chuyên gia an toàn thông tin và kiểm toán công nghệ thông tin: Khai thác giải pháp kỹ thuật nhằm đáp ứng các tiêu chuẩn an ninh thông tin khắt khe, giải quyết bài toán phân chia trách nhiệm và kiểm soát ủy quyền tự động trong môi trường tài chính.
• Học viên cao học và nhà nghiên cứu chuyên ngành công nghệ thông tin: Sử dụng luận văn như một tài liệu tham khảo học thuật chuẩn mực về việc ứng dụng kiến trúc bảo mật tiên tiến vào các hệ thống quản trị quy trình nghiệp vụ hiện đại.

Câu hỏi thường gặp

Mô hình điều khiển truy cập dựa trên thuộc tính khác biệt gì so với mô hình phân quyền dựa trên vai trò trong ngân hàng? Mô hình vai trò chỉ xác định quyền hạn dựa trên chức danh cố định của người dùng, trong khi mô hình thuộc tính đánh giá kết hợp linh hoạt giữa chức danh, giá trị khoản vay, đơn vị kinh doanh và thời gian thực thi. Trong thực tế, điều này giúp hệ thống tự động chặn một giám đốc duyệt khoản vay vượt quá hạn mức 5 tỷ đồng dù người đó vẫn giữ vai trò quản lý.

Vì sao công cụ Activiti 6.0 được lựa chọn để thực hiện tích hợp mô hình? Activiti 6.0 là nền tảng mã nguồn mở nhẹ, tuân thủ tiêu chuẩn quốc tế với engine xử lý đạt hiệu năng cao trên nền tảng Java. Hệ thống cung cấp cấu trúc module rõ ràng và các điểm kết nối thuận lợi trong dịch vụ xử lý biểu mẫu, giúp nhóm nghiên cứu dễ dàng can thiệp mã nguồn để nhúng các hàm kiểm soát chính sách mà không phá vỡ kiến trúc gốc.

Cơ chế kiểm soát hạn mức tín dụng được thiết kế lưu trữ như thế nào? Hệ thống bổ sung bảng dữ liệu chuyên biệt ghi nhận chi tiết mã quy trình, độ ưu tiên, định danh nhóm người dùng, thuộc tính kiểm tra cùng hai giá trị chặn dưới và chặn trên. Khi chuyên viên hoàn thành tác vụ, động cơ xử lý sẽ so khớp số tiền vay trên biểu mẫu với khoảng giá trị này để chỉ định chính xác người nhận việc tiếp theo.

Vấn đề chồng chéo quyền hạn trong ủy quyền phê duyệt được xử lý ra sao? Luận văn giải quyết triệt để rủi ro này bằng việc thiết lập bảng quản lý ủy quyền có kiểm tra đồng thời thời điểm bắt đầu, thời điểm kết thúc và cờ trạng thái kích hoạt. Chỉ trong đúng khung thời gian quy định, người được ủy quyền mới có thể tiếp nhận tác vụ phê duyệt thay thế, đồng thời toàn bộ lịch sử xử lý được lưu vết phục vụ công tác hậu kiểm.

Giải pháp trong luận văn có thể mở rộng cho các quy trình nghiệp vụ ngân hàng khác không? Hoàn toàn có thể mở rộng. Kiến trúc kiểm soát truy cập dựa trên thuộc tính được thiết kế tổng quát dưới dạng các hàm đánh giá logic độc lập. Do đó, các ngân hàng có thể áp dụng tương tự cho quy trình phê duyệt thẻ tín dụng, quy trình mở hạn mức bảo lãnh doanh nghiệp hoặc quy trình thanh toán quốc tế với độ tương thích đạt 100%.

Kết luận

• Công trình đã hệ thống hóa toàn diện cơ sở lý thuyết về tiêu chuẩn mô hình hóa quy trình nghiệp vụ và các mô hình điều khiển truy cập hiện đại.
• Thiết kế và cài đặt thành công kiến trúc bảo mật kết hợp Điểm thực thi và Điểm quyết định chính sách vào nền tảng mã nguồn mở Activiti Engine 6.0.
• Giải quyết triệt để bài toán kiểm soát phê duyệt tín dụng theo thẩm quyền hạn mức và quản lý ủy quyền động tại ngân hàng thương mại.
• Kết quả thực nghiệm khẳng định hệ thống vận hành chính xác 100% theo các kịch bản nghiệp vụ với thời gian phản hồi nhanh dưới 50 mili giây.
• Đóng góp giải pháp công nghệ có tính ứng dụng cao, sẵn sàng chuyển giao và mở rộng cho toàn bộ hệ sinh thái dịch vụ tài chính số trong giai đoạn 2026-2030; các tổ chức tín dụng quan tâm có thể ứng dụng ngay bộ mã nguồn và mô hình dữ liệu này để gia tăng năng lực bảo mật hệ thống.

Trích đoạn nội dung tài liệu

CHƯƠNG 1 KIẾN THỨC NỀN TẢNG Chƣơng này giới thiệu tổng quan về quy trình nghiệp vụ và kỹ thuật mô hình hóa PMN. Tiếp đó là phần diễn giải về mô hình truy cập thuộc tính A AC. Cuối cùng chƣơng giới thiệu về công cụ hỗ trợ việc quản lý mô hình PMN và các cơ chế điều khiển truy cập. Giới thiệu tổng quan về quy trình nghiệp vụ Thông thƣờng trong thời gian hàng ngày, các hoạt động của các cá nhân đều là một phần của các quy trình khác nhau.

Ví dụ, khi ta đặt mua một cuốn sách trong một cửa hàng sách online thì khi đó một quy trình đƣợc thực thi gồm việc thanh toán, đóng gói và tới việc vận chuyển sách cho ngƣời mua. Phần đầu chƣơng trình bày về các khái niệm quy trình nghiệp vụ cùng với các cách thức để mô hình quy trình trong nghiệp vụ thực tế. Khái niệm quy trình nghiệp vụ Quy trình – Process – đƣợc định nghĩa là một loạt các hành động/hoạt động có kết thúc; một loạt các hoạt động liên tiếp nhau hoặc các ứng xử đặc biệt trong quá trình sản xuất. Quy trình nghiệp vụ tồn tại song hành cùng quá trình kinh doanh/nghiệp vụ - Business - của một doanh nghiệp, một tổ chức.

Quy trình nghiệp vụ thƣờng đƣợc đề cập tới việc cách tổ chức các hoạt động tạo ra giá trị. Để quản lý các quy trình nghiệp vụ của một tổ chức nói chung, cần thiết phải mô tả và tài liệu hóa. Có rất nhiều cách thức để thực hiện, tuy nhiên, cách dễ dàng và đơn giản nhất là sử dụng mô tả dạng văn bản hay dạng bảng. Các biểu đồ luồng thƣờng đƣợc tạo ra bằng cách sử dụng các phần mềm về trình diễn và đồ họa.

Các biểu đồ này hầu hết đều chứa các hình hộp và các mũi tên, không tuân theo một phƣơng thức cụ thể nào. Do đó, dẫn đến không đáp ứng đƣợc các yêu cầu về việc biểu diễn các quy trình theo các khía cạnh nhƣ quy tắc, sự kiện, các đơn vị tổ chức, luồng dữ liệu. Tuy nhiên, khi mô hình các quy trình nghiệp vụ các tác nhân thực hiện nghiệp vụ, ngƣời phân tích quy trình nghiệp vụ, ngƣời phát triển kỹ thuật và ngƣời quản lý nghiệp vụ gặp khó khăn trong việc hiểu ý tƣởng của nhau [9]. Hơn nữa, chính những nhà phân tích nghiệp vụ của các tổ chức khác nhau, nhiều khi cũng không LUAN VAN CHAT LUONG download : add [e-mail] thể giao tiếp trong quá trình Liên thông các quy trình nghiệp vụ với nhau.

Để giải quyết vấn đề này, cần thiết phải có các ký hiệu (notation) chung tƣơng ứng biểu diễn các phần tử nghiệp vụ nhƣ các sự kiện, hoạt động, luồng dữ liệu, các đơn vị tổ chức. Một tập các ký hiệu về mô hình hóa quy trình nghiệp vụ theo đồ họa xác định các biểu tƣợng cho các phần tử quy trình nghiệp vụ, ý nghĩa cũng nhƣ các khả năng kết hợp của chúng. Mô hình quy trình nghiệp vụ BPMN Tiêu chuẩn Ký hiệu và mô hình hóa quy trình nghiệp vụ ( PMN) với mục đích chính là làm cầu nối khoảng cách về thông tin giữa các bên liên quan thƣờng xuyên xảy ra trong việc thiết kế và triển khai quy trình nghiệp vụ [9], đã và đang đƣợc sử dụng rộng rãi để mô hình hóa quy trình nghiệp vụ trong nhiều tổ chức. PMN hỗ trợ cho cả ngƣời dùng kỹ thuật và ngƣời dùng nghiệp vụ trong việc quản lý các quy trình nghiệp vụ bằng cách đƣa ra một tập các ký hiệu chung, có tính trực quan và dễ hiểu cho ngƣời dùng nghiệp vụ.

Một cách đơn giản, ta hãy quan sát một ví dụ Hình 1. inh h về mô hình hó quy trình nghi p vụ. Lịch sử phát triển của BPMN an đầu, PMN đƣợc phát triển bởi Tổ chức Sáng kiến quản lý quy trình nghiệp vụ ( PMI), một tổ chức gồm các công ty về phần mềm [9]. Ở giai đoạn khởi đầu, mục tiêu là cung cấp một tập các ký hiệu đồ họa mô tả quy trình đƣợc thể LUAN VAN CHAT LUONG download : add [e-mail] hiện trong Ngôn ngữ mô hình hóa quy trình nghiệp vụ ( PML).

So với PEL, PML đƣợc sử dụng để xác định các mô tả quy trình có thể đƣợc thực thi bởi một BPMS, PML không đƣợc tiếp tục phát triển nữa [9][4]. Phiên bản đầu tiên của PMN đƣợc phát triển bởi nhóm của Stephen A. Trong thời gian này, PMI đã trở thành một nhóm thuộc Tổ chức quản lý đối tƣợng (OMG). Tổ chức OMG là một tổ chức nổi tiếng về các tiêu chuẩn phần mềm, đặc biệt là UML.

Năm 2006, PMN phiên bản 1.0 chính thức đƣợc chấp nhận là một tiêu chuẩn của tổ chức OMG. Sau đó, OMG công bố phiên bản PMN v1.1 vào tháng 01/2008 và công bố BPMN v1.2 vào tháng 01/2009 với một số thay đổi nhỏ. Phiên bản PMN v2.0 với nhiều thay đổi và mở rộng so với các phiên bản cũ, đã đƣợc OMG công bố vào tháng 01/2011. Phiên bản gần đây nhất là PMN v2.2 đƣợc OMG công bố tháng 12/2013.

Nội dung phiên bản PMN v2.2 không khác biệt nhiều so với PMN v2.0, chỉ chỉnh sửa một số lỗi nhỏ về văn bản. Trong năm 2013, PMN cũng chính thức trở thành tiêu chuẩn quốc tế ISO/IEC 19510:2013. Các phần tử (element) của BPMN Các phần tử của PMN đƣợc phân thành 5 loại cơ bản sau [9]: - Các đối tƣợng luồng (Flow Objects): là các phần tử đồ họa chính định nghĩa hành vi của một Quy trình nghiệp vụ. Có ba đối tƣợng luồng gồm Sự kiện (Event); Hoạt động (Activity); Cổng (Gateway).

Activity tập trung trả lời câu hỏi làm gì. Tức là mô tả tất cả các công việc trong quy trình. Activity gồm 04 loại: Task - là từng việc chi tiết, tập các task thành một quy trình lớn; Transaction - là các giao dịch, gồm nhiều task mà các task này liên hệ logic với nhau; Sub-Process - là các quy trình con, hiểu đơn giản là quy trình nhỏ trong quy trình lớn; Call Activity - là hàm gọi, thực hiện gọi một sub process nào đó. Thành phần Gateways là bộ phận logic mà luồng của hệ thống sẽ thay đổi tùy vào các điều kiện khác nhau.

- Swimlanes: có hai cách thức để nhóm các phần tử mô hình hóa chính thông qua Swimlanes là Pool và Lane, trong đó, Pool là biểu diễn đồ họa của một Thành phần tham gia còn Lane là một phân vùng thuộc một Process (đôi khi thuộc một Pool). Đây là linh hồn của PMN, hiểu một cách khác: Pool thể hiện một tổ chức, một bộ phận, một phòng ban, một vai trò hay một hệ thống nào đó. Lane thể hiện là một cá nhân, một chủ thể riêng l , ngƣời sẽ thực hiên các hoạt động cụ thể nào đó. - Dữ liệu (Data): đây là thành phần quan trọng của bất cứ quy trình nào.

Data đƣợc biểu diễn với bốn phần tử là Đối tƣợng dữ liệu (Data Object) – nhƣ là tài liệu, LUAN VAN CHAT LUONG download : add [e-mail] email, form; Đầu vào (Data Input) – dữ liệu để hoàn thành một hành động nào đó; Đầu ra (Data Output) – dữ liệu trả ra của một hành động; Kho dữ liệu (Data Object Collection) – thể hiện một tập, một loạt hay một danh sách thông tin. - Đối tƣợng kết nối (Connecting Object): Có bốn cách kết nối các Đối tƣợng luồng với nhau hoặc với thông tin khác, cụ thể gồm: Luồng tuần tự (Sequence Flow) – thể hiện luồng đi của quy trình; Luồng thông điệp (Message Flow) – luồng thông tin đƣợc trao đổi giữa các Lane hoặc các Pool; Liên kết (Association); Liên kết dữ liệu (Data Association). - Artifacts: đƣợc sử dụng để cung cấp thông tin bổ sung về Quy trình. Có hai artifact tiêu chuẩn nhƣng những nhà mô hình hóa hay công cụ mô hình hóa có thể tự do thêm các Artifact khi cần thiết.

Hiện tại, tập artifact gồm: Group và Text Annotation.0 xác định các phần tử mô hình hóa cơ bản và ký hiệu của chúng nhƣ Bảng 1.1 – D nh sách các phần tử mô hình hó cơ bản và ký hi u STT Phần tử Ký hiệu 1. Luồng tuần tự (sequence flow) 5. Luồng thông điệp (message flow) 6. Làn/ phân vùng (pool) 8.

Làn/ phân vùng (lane) LUAN VAN CHAT LUONG download : add luanvanchat@agmail. Đối tƣợng dữ liệu (data object) 10. Chú thích (notation – đi kèm liên kết) Ngoài các phần tử mô hình hóa cơ bản nói trên, PMN v2.0 còn có một số phần tử mô hình hóa mở rộng, tham khảo thêm tại Mục 7. Các mô hình thành phần của BPMN Quy trình (Process) là một khái niệm cơ bản trong PMN.

Một Process mô tả một chuỗi hay một dòng gồm nhiều Hoạt động (Activity) trong một tổ chức với mục đích thực hiện công việc. Trong PMN, một Quy trình đƣợc mô tả là một hình ảnh về chuỗi các Phần tử (Element) chứa một tập các Hoạt động, Sự kiện (Event), Cổng (Gateway) và là chuỗi có trình tự xác định ngữ nghĩa thực thi. Các Quy trình có thể đƣợc định nghĩa ở mức độ bất kỳ, có thể là Quy trình mức cao có phạm vi toàn tổ chức hay cũng có thể là Quy trình mức thấp và đƣợc thực hiện bởi một cá nhân. Các Quy trình mức thấp có thể đƣợc nhóm lại với nhau để đạt đƣợc một mục tiêu nghiệp vụ chung.

Mô hình hóa usiness Process (Quy trình nghiệp vụ) đƣợc sử dụng để truyền tải một lƣợng lớn các thông tin đến nhiều đối tƣợng ngƣời đọc khác nhau. PMN đƣợc thiết kế bao gồm nhiều kiểu mô hình hóa và cho phép việc tạo ra các Quy trình nghiệp vụ điểm-điểm. Các phần tử có cấu trúc của PMN cho phép nhiều ngƣời đọc có thể hiểu dễ dàng sự khác biệt giữa các phần của biểu đồ PMN. Có 03 kiểu mô hình thành phần cơ bản trong mô hình PMN điểm-điểm: - Processes hay Orchestration (Điều phối), bao gồm: + Quy trình nghiệp vụ riêng (nội bộ) là những quy trình nội bộ của một tổ chức cụ thể.

Những quy trình này có thể đƣợc gọi chung là luồng công việc (workflow) hay quy trình PM. Một từ đồng nghĩa thƣờng đƣợc sử dụng trong các dịch vụ Web là Điều phối (Orchestration) các dịch vụ. Có 2 loại quy trình nghiệp vụ riêng là: Quy trình riêng không thể thực thi (là một quy trình đƣợc mô hình hóa phục vụ LUAN VAN CHAT LUONG download : add [e-mail] mục đích tài liệu hóa hành vi của quy trình ở mức chi tiết đƣợc xác định bởi ngƣời mô hình hóa) và Quy trình nghiệp vụ riêng có thể thực thi (là một quy trình đƣợc mô hình hóa phục vụ mục đích đƣợc thực thi theo ngữ nghĩa xác định). trình bày Quy trình nghiệp vụ riêng (nội bộ) của một công ty A về việc tuyển dụng nhân viên mới.