Bối cảnh và vấn đề nghiên cứu
Khóa luận tốt nghiệp được thực hiện trong khuôn khổ chương trình đào tạo ngành Hệ thống Thông tin Kinh tế, dưới sự hướng dẫn của Th.S Nguyễn Thị Hội, lấy trường hợp nghiên cứu điển hình tại Công ty Cổ phần Công nghệ Tinh Vân (địa chỉ: Tầng 3, Khách sạn Thể Thao, Làng Sinh viên Hacinco, Quận Thanh Xuân, Hà Nội). Doanh nghiệp được thành lập từ ngày 20/07/1997, hoạt động trọng tâm trong lĩnh vực sản xuất phần mềm đóng gói, cung cấp giải pháp công nghệ thông tin cho khối Chính phủ và Giáo dục, triển khai hệ thống ERP/HRM, gia công xuất khẩu phần mềm, phát triển nội dung số và ứng dụng di động.
Trong môi trường kinh doanh số, thông tin và dữ liệu về khách hàng, đối tác nhập khẩu, nhà cung cấp cũng như bản quyền phần mềm là tài sản sống còn, chi phối toàn bộ hoạt động vận hành của doanh nghiệp. Mặc dù sở hữu quy mô nhân sự và thị phần ngày càng mở rộng, công tác đảm bảo an toàn bảo mật hệ thống thông tin (ATBM HTTT) tại Công ty Tinh Vân vẫn chưa được đầu tư tương xứng; quy trình thu thập, xử lý và lưu trữ dữ liệu còn mang tính phân tán, thiếu tính nhất quán và tiềm ẩn nhiều nguy cơ mất an toàn thông tin nội bộ.
Xuất phát từ thực tiễn trên, đề tài tập trung giải quyết các mục tiêu và nhiệm vụ nghiên cứu cụ thể sau:
- Hệ thống hóa và làm rõ cơ sở lý luận khoa học về an toàn bảo mật hệ thống thông tin trong tổ chức doanh nghiệp.
- Khảo sát, phân tích và đánh giá thực trạng công tác an toàn bảo mật hệ thống thông tin tại Công ty Cổ phần Công nghệ Tinh Vân dựa trên dữ liệu sơ cấp và thứ cấp thu thập được.
- Đề xuất hệ thống các giải pháp đồng bộ về kỹ thuật phần cứng, phần mềm, chính sách quản trị và con người nhằm nâng cao tính an toàn, bảo mật cho hệ thống thông tin của công ty.
Đối tượng và phạm vi nghiên cứu của khóa luận được xác định:
- Đối tượng nghiên cứu: Vấn đề an toàn bảo mật hệ thống thông tin, các giải pháp công nghệ, quy chế quản lý con người và chính sách bảo mật nội bộ áp dụng cho hệ thống thông tin doanh nghiệp.
- Phạm vi không gian: Nghiên cứu vi mô tại trụ sở Công ty Cổ phần Công nghệ Tinh Vân.
- Phạm vi thời gian: Số liệu hoạt động sản xuất kinh doanh, cơ cấu nhân sự và thực trạng kỹ thuật được khảo sát trong giai đoạn 2010 đến giữa năm 2013, kết hợp định hướng phát triển của công ty giai đoạn 2010–2015.
Cơ sở lý thuyết và phương pháp
Khóa luận xây dựng nền tảng nghiên cứu dựa trên các khái niệm chuẩn mực về dữ liệu, thông tin và hệ thống thông tin trong quản trị doanh nghiệp. Trọng tâm lý thuyết của đề tài tập trung vào mô hình tam giác bảo mật CIA với ba thuộc tính cốt lõi:
- Tính bảo mật (Confidentiality): Đảm bảo thông tin chỉ được truy cập bởi những cá nhân hoặc tiến trình được cấp quyền hợp lệ, ngăn chặn hành vi rò rỉ dữ liệu tài sản của doanh nghiệp.
- Tính toàn vẹn (Integrity): Bảo đảm dữ liệu luôn chính xác, nguyên vẹn, không bị sửa đổi, chèn ép hoặc xóa bỏ trái phép bởi các tác nhân bên trong hay bên ngoài.
- Tính sẵn sàng (Availability): Đảm bảo hệ thống và dữ liệu luôn ở trạng thái đáp ứng kịp thời nhu cầu truy xuất của người dùng hợp pháp 24/24.
Tác giả phân loại các nguy cơ mất an toàn thông tin thành hai nhóm: nguy cơ ngẫu nhiên (thiên tai, mất điện, hỏng hóc vật lý) và nguy cơ có chủ định (tấn công thụ động như nghe lén đường truyền, cài đặt mã độc gián điệp, keylogger; tấn công chủ động như can thiệp thay đổi gói tin, tấn công từ chối dịch vụ DoS khai thác điểm yếu trong quá trình bắt tay ba bước của TCP/IP, lây nhiễm virus, trojan, rootkit). Cơ sở lý thuyết được kế thừa từ các công trình quốc tế của William Stallings (2005) về chuẩn mã hóa AES, xác thực CMAC; Man Young Rhee (2003) về thuật toán và giao thức bảo mật Internet; cùng các giáo trình trong nước của Đàm Gia Mạnh (2009) về an toàn dữ liệu thương mại điện tử và Phan Đình Diệu (2002) về lý thuyết mật mã.
Phương pháp nghiên cứu kết hợp giữa định tính và định lượng:
- Thu thập dữ liệu sơ cấp: Thiết kế bảng câu hỏi khảo sát gồm 7 tiêu chí chuyên sâu về hoạt động an toàn bảo mật, phát trực tiếp cho mẫu khảo sát gồm 10 nhân sự đang làm việc tại các bộ phận của Công ty Cổ phần Công nghệ Tinh Vân.
- Thu thập dữ liệu thứ cấp: Dữ liệu nội bộ từ báo cáo tài chính, báo cáo nhân sự các năm 2010, 2011, 2012 của Công ty Tinh Vân; dữ liệu bên ngoài từ báo cáo an ninh thông tin của VNCERT (2010) và khảo sát trên 300 doanh nghiệp của VNISA phía Nam (giai đoạn 2010–2012).
- Phương pháp xử lý dữ liệu: Ứng dụng phần mềm SPSS (Statistical Package for the Social Sciences) để phân tích thống kê mô tả, tần số và tỷ lệ phần trăm từ dữ liệu phiếu điều tra; kết hợp phương pháp tổng hợp, so sánh kỹ thuật đối chứng để đánh giá thực trạng.
Nội dung chính theo từng chương
Chương 1: Tổng quan về đề tài nghiên cứu
Chương mở đầu phân tích bối cảnh phát triển của công nghệ thông tin trong hoạt động kinh tế, nhấn mạnh vai trò trung tâm của hệ thống thông tin đối với năng lực cạnh tranh của doanh nghiệp. Tác giả tổng thuật các nghiên cứu trong và ngoài nước, chỉ ra rằng các công trình trước đây chủ yếu tập trung vào an toàn dữ liệu trên website hoặc hệ thống mạng thương mại điện tử diện rộng, chưa đi sâu giải quyết bài toán an toàn bảo mật gắn liền với thực trạng thiết bị và hành vi người dùng tại các doanh nghiệp công nghệ quy mô vừa. Từ đó, chương 1 xác lập tính cấp thiết, mục tiêu 3 phần, đối tượng và phương pháp tiếp cận của đề tài.
Chương 2: Cơ sở lý luận và thực trạng của ATBM thông tin trong HTTT của công ty cổ phần công nghệ Tinh Vân
Chương 2 trình bày chi tiết khung lý thuyết về các nhân tố ảnh hưởng (con người và công nghệ), phân tích cơ chế hoạt động của tường lửa (Firewall) và giao thức SSL 3.0 (với hai giao thức con: SSL Record Protocol và SSL Handshake Protocol).
Phần thực trạng cung cấp hồ sơ toàn diện về Công ty Cổ phần Công nghệ Tinh Vân:
- Tình hình hoạt động và nhân sự: Doanh thu tăng trưởng từ 87 tỷ đồng (năm 2010) lên 127 tỷ đồng (năm 2011 và 2012); lợi nhuận sau thuế năm 2010 đạt 264,4 triệu đồng. Tổng nhân sự năm 2012 là 108 người, trong đó trình độ đại học chiếm 78,7% (85 người), trên đại học chiếm 7,4% (8 người). Nhóm chuyên trách công nghệ thông tin chỉ gồm 5 người (1 tổ trưởng và 4 nhân viên).
- Hạ tầng kỹ thuật hiện tại:
- Hệ thống máy chủ: Gồm 2 máy chủ HP Proliant ML115 T01 (CPU AMD Opteron 4450B Dual Core 2.30 GHz, RAM 1024 MB DDR2-800 ECC, ổ cứng 160GB SATA, chạy hệ điều hành Windows Server 2003 đã vận hành từ năm 2002).
- Hệ thống máy trạm: Gồm khoảng 100 máy tính (CPU Intel Pentium 4, RAM 2GB DDR2, HDD 160GB, cài đặt Windows XP Service Pack 2 hoặc 3).
- Ứng dụng và bảo mật: Sử dụng SQL Server 2008, phần mềm Kế toán Misa, tường lửa phần mềm NAT và Norton Personal Firewall 2010, phần mềm diệt virus BKAV Pro, PC Tools Doctor, giao thức WEP. Website
tinhvan.com chỉ dừng lại ở chức năng giới thiệu, chưa tích hợp giao dịch trực tuyến.
Bảng tổng hợp kết quả xử lý phiếu điều tra qua SPSS (n = 10):
| Câu hỏi khảo sát |
Phân loại lựa chọn |
Tần số (người) |
Tỷ lệ (%) |
| 1. Tần suất thực hiện ATBM |
Thỉnh thoảng
Thường xuyên
Rất thường xuyên
Không bao giờ |
4
3
2
1 |
40,0
30,0
20,0
10,0 |
| 2. Mức độ quan trọng thành phần |
Con người
Phần cứng
Phần mềm
Cơ sở dữ liệu |
3
2
2
2 |
30,0
20,0
20,0
20,0 |
| 3. Thách thức lớn nhất về ATBM |
Nhân lực
Ngân sách và yếu tố khác |
6
4 |
60,0
40,0 |
| 4. Đánh giá mức độ ATBM hiện tại |
Trung bình
Rất tốt
Yếu / Khác |
4
2
4 |
40,0
20,0
40,0 |
| 5. Phương thức bảo mật thông tin khách hàng |
Quản lý qua Email
Quản lý Cơ sở dữ liệu
Quản lý hệ thống hướng dẫn |
4
3
1 |
40,0
30,0
10,0 |
| 6. Ngân sách dự kiến đầu tư cho ATBM |
30 – 70 triệu đồng
< 30 triệu đồng
> 70 triệu đồng |
6
2
2 |
60,0
20,0
20,0 |
| 7. Tần suất sao lưu dữ liệu |
1 tháng / lần
3 tháng / lần
6 tháng / lần |
3
3
2 |
30,0
30,0
20,0 |
Đánh giá tổng hợp cho thấy điểm mạnh của Tinh Vân là mạng LAN phủ kín, phần mềm kế toán có bản quyền, dữ liệu có sao lưu định kỳ. Điểm yếu là máy chủ chạy hệ điều hành Windows Server 2003 lỗi thời, thiếu nhân sự bảo mật chuyên trách, ngân sách đầu tư quá thấp (chủ yếu dưới 70 triệu đồng) và nhận thức an ninh mạng của nhân viên chưa đồng đều.
Chương 3: Định hướng phát triển, đề xuất giải pháp nâng cao hiệu quả ATBM trong HTTT tại công ty cổ phần công nghệ Tinh Vân
Chương 3 xây dựng các giải pháp dựa trên mục tiêu mở rộng quy mô thêm 2 chi nhánh, tăng trưởng 25%–30%/năm và chuyển dịch sang nền tảng Cloud/SaaS của Tinh Vân:
1. Nâng cấp hệ thống máy chủ: Thay thế máy chủ cũ bằng dòng máy chủ LifeCom 1U Server Rack S1230-300B chạy hệ điều hành Windows Server 2008.
Bảng so sánh thông số kỹ thuật máy chủ:
| Thông số kỹ thuật |
Máy chủ cũ (HP Proliant ML115 T01) |
Máy chủ đề xuất (LifeCom 1U S1230-300B) |
| Bộ vi xử lý (CPU) |
AMD Opteron 4450B Dual Core 2.30 GHz |
1x Intel Xeon Quad-Core X3430 2.40 GHz |
| Bo mạch / Chipset |
nVidia MCP 55S Pro |
Intel 3420 Server Chipset |
| Bộ nhớ đệm (Cache) |
2 MB |
8 MB |
| Bộ nhớ RAM |
1024 MB PC2-6400 ECC (DDR2-800) |
2 GB DDR3-1333 ECC (Hỗ trợ mở rộng 32 GB) |
| Dung lượng ổ cứng |
160 GB SATA |
250 GB SATA |
| Hệ điều hành |
Windows Server 2003 |
Windows Server 2008 |
Tác giả nhấn mạnh quy trình kỹ thuật khi nâng cấp: luôn sao lưu dữ liệu đã thẩm định, tạo bản sao lưu ảnh đĩa (disk image) bằng Acronis hoặc StorageCraft, không thực hiện nhiều thay đổi phần cứng cùng lúc, kiểm tra nhật ký log hệ thống qua các công cụ như HoundDog hoặc PacketTrap.
2. Chính sách quản lý thiết bị và kiểm soát mạng không dây:
- Cấu hình Group Policy (
gpedit.msc) trên Windows thông qua mục Device Installation Restrictions để khóa hoàn toàn quyền đọc/ghi và nhận diện các thiết bị lưu trữ ngoài (ổ USB, ổ ghi CD/DVD, đĩa mềm) trên máy người dùng, chỉ cấp quyền can thiệp cho tài khoản quản trị (Administrator override).
- Kiểm soát mạng không dây WLAN bằng tiện ích dòng lệnh
netsh wlan (sử dụng các lệnh export profile, add profile, show profiles, connect thông qua file cấu hình XML) nhằm cố định cấu hình kết nối mạng nội bộ, ẩn các mạng Wi-Fi lân cận để tránh việc máy tính tự động truy cập vào mạng lạ ngoài tầm kiểm soát.
3. Triển khai phần mềm bảo mật và mã hóa mới:
- Trang bị gói phần mềm bảo mật Kaspersky Small Office Security (bản quyền 5 PC + 1 File Server) cho máy chủ và các máy tính lưu trữ trọng yếu, kết hợp Kaspersky Anti-Virus cho các máy trạm còn lại; dự toán chi phí khoảng 24,2 triệu đồng/năm.
- Ứng dụng phần mềm mã hóa A+ Folder Locker (hỗ trợ các thuật toán 3DES, Blowfish, Cast128, Ice, RC2, RC4, Twofish, Thinice) để tạo phân vùng ổ đĩa ảo bí mật và ẩn dữ liệu nhạy cảm vào bên trong các tệp tin đa phương tiện.
Kết quả và đóng góp
Khóa luận đã đạt được các kết quả cụ thể gắn liền với số liệu thực tế tại đơn vị thực tập:
- Phản ánh trung thực bức tranh hiện trạng công nghệ thông tin tại Công ty Cổ phần Công nghệ Tinh Vân: hệ thống máy chủ 10 năm chưa nâng cấp (từ 2002), 60% ý kiến khảo sát xác nhận nhân lực là rào cản lớn nhất đối với ATBM, 40% đánh giá mức độ bảo mật chỉ ở mức trung bình và 40% doanh nghiệp vẫn quản lý dữ liệu khách hàng thông qua email phân tán.
- Đề xuất được cấu hình kỹ thuật cụ thể cho máy chủ LifeCom 1U với vi xử lý Intel Xeon X3430 Quad-Core và RAM DDR3 ECC 2GB, khắc phục triệt để tình trạng nghẽn hiệu năng của máy chủ HP Proliant cũ chạy Windows Server 2003.
- Xây dựng quy trình quản trị an ninh không tốn chi phí bản quyền thông qua việc tận dụng các công cụ sẵn có trên hệ điều hành Windows: thiết lập chính sách Group Policy chặn thiết bị ngoại vi và kiểm soát kết nối Wi-Fi bằng
netsh wlan.
- Đưa ra bài toán dự toán kinh phí khả thi cho doanh nghiệp: giải pháp phần mềm diệt virus tập trung Kaspersky Small Office Security có chi phí 24,2 triệu đồng/năm, hoàn toàn nằm trong ngưỡng ngân sách 30–70 triệu đồng mà 60% nhân sự công ty đã phản hồi qua khảo sát.
Hạn chế và hướng nghiên cứu tiếp
Khóa luận ghi nhận một số hạn chế gắn liền với điều kiện thực hiện nghiên cứu:
- Hạn chế về quy mô mẫu: Do thời gian thực tập và phạm vi nghiên cứu vi mô, bảng câu hỏi khảo sát mới chỉ được triển khai trên cỡ mẫu 10 nhân viên, chưa đại diện cho toàn bộ 108 cán bộ công nhân viên của công ty.
- Hạn chế về phạm vi công nghệ: Nghiên cứu tập trung chủ yếu vào hệ thống máy chủ cục bộ (On-premises), hạ tầng mạng nội bộ và máy trạm văn phòng; các giải pháp bảo mật nâng cao cho mô hình điện toán đám mây (Cloud) và phần mềm dạng dịch vụ (SaaS) chưa được kiểm thử thực nghiệm chuyên sâu.
- Hướng nghiên cứu tiếp theo: Mở rộng điều tra thực nghiệm trên toàn bộ các phòng ban của Tinh Vân; nghiên cứu xây dựng giải pháp an toàn thông tin chuyên biệt cho kiến trúc Cloud Computing và môi trường lập trình ứng dụng di động theo định hướng chiến lược 2010–2015 của doanh nghiệp.
Giá trị tham khảo
Khóa luận là tài liệu tham khảo thực tiễn hữu ích dành cho:
- Sinh viên và học viên: Thuộc các chuyên ngành Hệ thống Thông tin Kinh tế, Hệ thống Thông tin Quản lý, Công nghệ Thông tin, Quản trị Mạng có thể tham khảo phương pháp kết hợp phân tích SPSS với đánh giá hiện trạng hạ tầng mạng doanh nghiệp.
- Nhà quản trị mạng và cán bộ IT doanh nghiệp vừa và nhỏ (SMEs): Tham khảo chi tiết các bước thiết lập chính sách Group Policy để vô hiệu hóa cổng USB, quy trình quản lý profile mạng không dây qua
netsh wlan, cũng như bảng thông số lựa chọn phần cứng máy chủ và phần mềm bảo mật phù hợp với ngân sách hạn hẹp.
Câu hỏi thường gặp
1. Hiện trạng phần cứng máy chủ và máy trạm tại Công ty Cổ phần Công nghệ Tinh Vân ở thời điểm khảo sát có những đặc điểm gì?
Công ty sử dụng 2 máy chủ HP Proliant ML115 T01 trang bị CPU AMD Opteron 4450B Dual Core 2.30 GHz, RAM 1024 MB DDR2-800 ECC, HDD 160GB chạy Windows Server 2003 từ năm 2002. Hệ thống máy trạm gồm khoảng 100 máy dùng chip Intel Pentium 4, RAM 2GB DDR2, HDD 160GB chạy Windows XP SP2/SP3.
2. Kết quả xử lý phiếu điều tra qua SPSS chỉ ra đâu là khó khăn lớn nhất về an toàn bảo mật tại Tinh Vân?
Kết quả khảo sát tại câu hỏi 3 cho thấy 60% số phiếu lựa chọn "Nhân lực" là thách thức lớn nhất đối với công tác bảo mật của công ty; đồng thời nhóm chuyên trách công nghệ thông tin chỉ có 5 người quản lý toàn bộ hệ thống 100 máy trạm.
3. Khóa luận đề xuất cấu hình máy chủ nào để thay thế cho máy chủ cũ của công ty?
Tác giả đề xuất máy chủ LifeCom 1U Server Rack S1230-300B trang bị vi xử lý Intel Xeon Quad-Core X3430 2.40 GHz (8MB Cache), Chipset Intel 3420, RAM 2GB DDR3-1333 ECC (hỗ trợ tối đa 32GB), ổ cứng 250GB SATA và cài đặt hệ điều hành Windows Server 2008.
4. Giải pháp Group Policy và lệnh Netsh WLAN được đề xuất nhằm ngăn chặn những rủi ro an ninh mạng nào?
Group Policy (gpedit.msc) được dùng để chặn cài đặt thiết bị lưu trữ ngoài (USB, CD/DVD) nhằm chống thất thoát dữ liệu nội bộ. Lệnh netsh wlan quản lý profile XML kết nối mạng không dây, giúp máy tính chỉ kết nối vào mạng Wi-Fi nội bộ được chỉ định và ẩn các mạng Wi-Fi lạ xung quanh.
5. Chi phí dự toán cho giải pháp phần mềm bảo mật mới tại Tinh Vân là bao nhiêu?
Khóa luận đề xuất gói Kaspersky Small Office Security (5 máy trạm + 1 máy chủ) kết hợp Kaspersky Anti-Virus với tổng chi phí ước tính khoảng 24,2 triệu đồng/năm, đi kèm việc ứng dụng phần mềm mã hóa miễn phí A+ Folder Locker.
Kết luận
Khóa luận tốt nghiệp đã hoàn thành việc hệ thống hóa cơ sở lý luận về an toàn bảo mật hệ thống thông tin và làm rõ thực trạng hạ tầng công nghệ tại Công ty Cổ phần Công nghệ Tinh Vân giai đoạn 2010–2013. Dựa trên kết quả phân tích số liệu điều tra bằng phần mềm SPSS, tác giả đã chỉ ra các điểm nghẽn then chốt về máy chủ cũ kỹ, nhân lực mỏng và mức độ đầu tư bảo mật còn hạn chế. Hệ thống giải pháp đề xuất bao gồm nâng cấp máy chủ LifeCom 1U chạy Windows Server 2008, thiết lập chính sách Group Policy, quản lý mạng không dây bằng Netsh WLAN và trang bị phần mềm Kaspersky mang tính khả thi cao, đáp ứng tốt mục tiêu phát triển bền vững của doanh nghiệp.
