Bối cảnh và vấn đề nghiên cứu

Trong xu thế số hóa và mở rộng của nền kinh tế tri thức, hệ thống thông tin (HTTT) đóng vai trò điều phối trọng yếu trong các hoạt động sản xuất kinh doanh, đặc biệt là tại các đơn vị vận hành thương mại điện tử. Dữ liệu kinh doanh và cơ sở dữ liệu (CSDL) khách hàng được xem là nguồn tài sản thiết yếu, trực tiếp tác động đến năng lực vận hành và uy tín thương hiệu của doanh nghiệp. Tuy nhiên, sự phát triển nhanh của hạ tầng mạng cũng làm gia tăng các điểm yếu kỹ thuật và nguy cơ tấn công mạng từ cả môi trường bên trong lẫn bên ngoài. Tại nhiều doanh nghiệp quy mô vừa và nhỏ, việc đầu tư bảo mật chưa tương xứng với quy mô khai thác dữ liệu, các chính sách an toàn thông tin (ATTT) còn phân mảnh và nhận thức của người lao động chưa đồng đều.

Khóa luận tốt nghiệp "Một số giải pháp đảm bảo an toàn bảo mật thông tin cho công ty TNHH Zenco" của tác giả Vi Văn Chì (Khoa Hệ thống thông tin kinh tế và Thương mại điện tử, Trường Đại học Thương Mại, năm 2019; người hướng dẫn: Cù Nguyên Giáp) tập trung giải quyết bài toán ATTT tại Công ty TNHH Zenco Việt Nam — một doanh nghiệp chuyên sản xuất, phân phối các sản phẩm đồng phục (với hai thương hiệu K14.vn và CAVA Uniform) thông qua các kênh thương mại điện tử.

Mục tiêu chung của đề tài là nghiên cứu và đề xuất các giải pháp kỹ thuật, quản trị nhằm đảm bảo an toàn bảo mật thông tin cho Công ty TNHH Zenco. Để đạt được mục tiêu này, tác giả xác định 3 nhiệm vụ nghiên cứu cụ thể:

  1. Tổng hợp cơ sở lý luận và lý thuyết chuyên ngành về đảm bảo an toàn, bảo mật thông tin trong hệ thống thông tin doanh nghiệp.
  2. Phân tích, đánh giá thực trạng công tác an toàn bảo mật thông tin tại Công ty TNHH Zenco, chỉ ra các lỗ hổng, thiếu sót về phần cứng, phần mềm và nhận thức nhân sự dựa trên tài liệu thứ cấp và dữ liệu điều tra thực tế.
  3. Đề xuất hệ thống giải pháp kỹ thuật, công nghệ và quản lý nguồn nhân lực nhằm ngăn chặn, khắc phục các nguy cơ mất an toàn dữ liệu, phù hợp với điều kiện vận hành của công ty.

Về đối tượng nghiên cứu, đề tài xác định đối tượng trọng tâm là vấn đề an toàn và bảo mật thông tin, với khách thể nghiên cứu là Công ty TNHH Zenco Việt Nam. Các thành phần đối tượng cụ thể được bóc tách gồm: hệ thống mạng máy chủ và máy trạm; các trang thiết bị phần cứng và phần mềm ứng dụng; hệ thống CSDL và phương thức lưu trữ; đội ngũ nhân viên và cán bộ quản lý liên quan đến chính sách bảo mật.

Về phạm vi nghiên cứu:

  • Phạm vi không gian: Nghiên cứu được giới hạn tại trụ sở Công ty TNHH Zenco Việt Nam (địa chỉ: Số 5/55 Huỳnh Thúc Kháng, Quận Đống Đa, Hà Nội).
  • Phạm vi thời gian: Đề tài sử dụng dữ liệu báo cáo kết quả hoạt động kinh doanh của công ty trong giai đoạn 3 năm từ 2016 đến 2018; các số liệu khảo sát thực trạng kỹ thuật và nhân sự được thu thập trong thời gian thực tập của tác giả tại doanh nghiệp vào năm 2019.

Cơ sở lý thuyết và phương pháp nghiên cứu

Về cơ sở lý luận, khóa luận hệ thống hóa các khái niệm nền tảng trong lĩnh vực an toàn thông tin dựa trên các giáo trình và công trình nghiên cứu chuyên ngành tại Việt Nam:

  • Các định nghĩa về thông tin, dữ liệu, CSDL và hệ thống thông tin trích dẫn từ tài liệu của Đàm Gia Mạnh (2009, Giáo trình an toàn dữ liệu trong thương mại điện tử, NXB Thống Kê) và luận văn thạc sĩ của Nguyễn Tuấn Anh (Đại học Bách Khoa). Theo đó, an toàn thông tin là việc duy trì trạng thái dữ liệu không bị phá hoại, thay đổi, sao chép hoặc xóa bỏ trái phép, đảm bảo 3 thuộc tính căn bản (bộ ba CIA): tính bí mật (Confidentiality), tính toàn vẹn (Integrity) và tính sẵn sàng (Availability).
  • Phân loại hình thức tấn công: Tấn công thụ động (passive attack, gồm dạng ngoại tuyến - offline và trực tuyến - online như phishing) nhằm nghe lén, thu thập thông tin tài khoản trên đường truyền mà không làm gián đoạn hệ thống; tấn công chủ động (active attack) can thiệp, sửa đổi nội dung gói tin thời gian thực; tấn công lặp lại; và tấn công từ chối dịch vụ (DoS - Denial of Service) lợi dụng cơ chế bắt tay 3 bước của giao thức TCP/IP để làm quá tải tài nguyên máy chủ.
  • Nhận diện các nhóm nguy cơ: Rủi ro vật lý (nguồn điện, độ ẩm, cháy nổ, thiên tai, hư hỏng thiết bị); rủi ro sửa đổi nội dung; phần mềm độc hại (Virus, Sâu máy tính - Worm, Trojan horse, Phần mềm gián điệp - Spyware, Phần mềm quảng cáo - Adware); lỗ hổng bảo mật trong hệ điều hành và dịch vụ mạng; tấn công dò quét mật khẩu (sử dụng từ điển hoặc các công cụ như Xavior, Authforce, Hypnopaedia); tấn công lừa đảo qua thư điện tử (email giả mạo, đính kèm mã độc dạng macro); nguy cơ rò rỉ dữ liệu trên đường truyền không dây và nguy cơ tắc nghẽn lưu lượng.
  • Các công nghệ bảo mật: Nguyên lý tường lửa (Firewall); hệ thống phát hiện xâm nhập (IDS) và hệ thống ngăn chặn xâm nhập (IPS); phân đoạn mạng bằng mạng LAN ảo (VLAN); mạng riêng ảo (VPN) kết hợp mô hình AAA và thuật toán mã hóa; các cơ chế phòng chống mã độc tại máy trạm, máy chủ tập trung và cổng mạng (gateway).
  • Tổng quan tài liệu: Khóa luận điểm qua các công trình trong nước như Đàm Gia Mạnh (2009), bài giảng của Bộ môn CNTT Đại học Nha Trang (2014), Nguyễn Tiến Đức (2002, tiếp cận tiêu chuẩn ISO/IEC 27001 của Cục Công nghệ thông tin) và các nghiên cứu quốc tế như William Stallings (2005, mật mã học và chuẩn DES - FIPS PUB 46), Erik Johansson & Pontus Johnson (2005, đánh giá an toàn thông tin doanh nghiệp EARP hướng tới CIO), Man Young Rhee (2003, giao thức và thuật toán an ninh Internet).

Về phương pháp nghiên cứu, đề tài kết hợp các phương pháp định tính và định lượng:

  • Phương pháp thu thập dữ liệu sơ cấp: Thiết kế và phát phiếu điều tra khảo sát gồm 5 nhóm câu hỏi (hạ tầng chung, lỗ hổng phần cứng, lỗ hổng phần mềm, yếu tố con người, biện pháp hiện có) đến 20 nhân viên đang làm việc tại các phòng ban của Công ty TNHH Zenco, kết hợp phương pháp phỏng vấn trực tiếp cán bộ quản lý.
  • Phương pháp thu thập dữ liệu thứ cấp: Tiếp cận báo cáo tài chính nội bộ giai đoạn 2016 – 2018 do Phòng Kế toán - Hành chính công ty cung cấp, kết hợp tra cứu các tài liệu, giáo trình, ấn phẩm khoa học trên Internet.
  • Phương pháp phân tích và xử lý dữ liệu: Ứng dụng phần mềm SPSS (Statistical Package for the Social Sciences) để phân tích thống kê mô tả, tần số đối với các biến định lượng từ phiếu điều tra; sử dụng bảng tính Microsoft Excel để vẽ biểu đồ và tổng hợp số liệu tài chính; kết hợp phương pháp so sánh đối chiếu giữa cơ sở lý luận với hiện trạng thực tế và phương pháp phán đoán logic để nhận diện rủi ro bảo mật tiềm ẩn.

Nội dung chính theo từng chương

Chương 1: Cơ sở lý luận về vấn đề an toàn bảo mật thông tin

Chương 1 hệ thống hóa khung lý thuyết tổng thể về an toàn dữ liệu và HTTT. Tác giả làm rõ ranh giới giữa dữ liệu thô và thông tin có nghĩa, từ đó phân tích giá trị tài sản của CSDL doanh nghiệp. Chương này tập trung phân tích các phương thức tấn công mạng phổ biến, đặc tính lây lan của các dòng mã độc (Virus, Worm, Trojan, Spyware), cơ chế tấn công DoS đánh phá tầng kết nối mạng, và các hiểm họa phi kỹ thuật (social engineering). Tác giả cũng tổng thuật nguyên lý của các công nghệ bảo vệ hiện đại gồm tường lửa kiểm soát lưu lượng Intranet - Internet, hạ tầng mạng ảo VLAN cách ly phân vùng truy cập (ví dụ tách VLAN kế toán với các máy tính kỹ thuật), kênh truyền bảo mật VPN, và các tầng chống virus. Cuối chương, tác giả khái quát các công trình nghiên cứu trong và ngoài nước, chỉ ra rằng các tài liệu trước đây thường dừng ở khung lý thuyết chung hoặc tiêu chuẩn diện rộng (như ISO/IEC 27001), chưa có giải pháp chuyên biệt hóa cho một doanh nghiệp thương mại điện tử thời trang quy mô nhỏ như Công ty TNHH Zenco.

Chương 2: Kết quả phân tích, đánh giá thực trạng về vấn đề an toàn bảo mật thông tin cho công ty TNHH Zenco

Chương 2 mô tả chi tiết hồ sơ doanh nghiệp và hiện trạng hạ tầng kỹ thuật của đối tượng nghiên cứu. Công ty TNHH Zenco Việt Nam thành lập năm 2012, hoạt động theo Giấy chứng nhận ĐKKD từ ngày 06/03/2013, mã số thuế 0106115850, do ông Hoàng Văn Thành làm Giám đốc, chuyên kinh doanh may đo đồng phục (Đồng Phục Đẹp K14.vn, CAVA Uniform) và dịch vụ in ấn chất liệu da, vải, lụa. Bộ máy công ty tổ chức theo cơ cấu chức năng, gồm: Hội đồng quản trị, Giám đốc, 2 Phó Giám đốc (Kinh doanh và Kỹ thuật), cùng 4 phòng ban: Phòng Kế toán - Hành chính, Phòng Kinh doanh, Phòng Kỹ thuật, Phòng Thiết kế.

Về tình hình kinh doanh, báo cáo tài chính giai đoạn 2016 – 2018 cho thấy doanh nghiệp duy trì đà tăng trưởng:

Chỉ tiêu tài chính Năm 2016 Năm 2017 Năm 2018
Doanh thu (triệu đồng) 1.136,00 (theo lời văn) / 1.235,58 (theo bảng) 1.482,49 Tăng 186% so với 2016
Chi phí hàng bán (triệu đồng) 305,76 — —
Lợi nhuận trước thuế (triệu đồng) 830,82 — —
Thuế phải nộp (triệu đồng) 232,71 — —
Lợi nhuận sau thuế (triệu đồng) 697,11 — —

Hiện trạng trang thiết bị phần cứng tại trụ sở ghi nhận: 15 máy tính để bàn (đáp ứng tốt), 20 máy tính xách tay (đáp ứng tốt), 1 máy in, 1 máy chiếu, 1 máy quét và 2 bộ thiết bị kết nối mạng (hub, switch, wifi - đánh giá mức khá, cần bổ sung hoặc thay thế 2 thiết bị). Tỷ lệ máy tính trên nhân viên đạt 1:1; 100% nhân viên khối văn phòng sử dụng máy tính làm việc thường xuyên và có chứng chỉ tin học (tính chung toàn công ty, tỷ lệ có chứng chỉ tin học là 90%, không có là 10%). Đội ngũ CNTT nội bộ gồm 5 nhân sự chuyên trách phần cứng và 10 nhân sự phụ trách phần mềm. Ngân sách bảo trì phần cứng, phần mềm và thuê nhân sự CNTT ngoài ước tính khoảng 80.000.000 đồng/năm (chưa bao gồm chi phí đào tạo).

Phần mềm nghiệp vụ đang sử dụng gồm: Microsoft Office 2010 (Word, Excel), phần mềm kế toán MISA SME.NET, phần mềm quản lý nhân sự, các công cụ quảng cáo (Email Marketing, SMS Marketing, Mass SEO Content). Việc lưu trữ dữ liệu kinh doanh phụ thuộc chủ yếu vào nền tảng đám mây Google Drive của các tài khoản cá nhân và nhóm, thường xuyên gặp hiện tượng tự đăng xuất (out tài khoản), lỗi không đồng bộ tập tin và lỗi 502 tạm thời.

Kết quả xử lý 20 phiếu khảo sát nhân viên qua SPSS cho thấy các số liệu thực trạng:

  • Tần suất cập nhật thông tin trên website: Thỉnh thoảng (7/10 ý kiến), Hàng tháng (2/10), Hàng tuần (1/10), Hàng ngày (0/10).
  • Biện pháp đảm bảo an toàn CSDL: Sử dụng ổ cứng ngoài chiếm 50% (5/10), đồng bộ lên mạng chiếm 30% (3/10), sao lưu liên tục chiếm 20% (2/10).
  • Mức độ quan tâm đến ATTT: Khá quan tâm chiếm 50% (10 phiếu), Bình thường chiếm 30% (6 phiếu), Rất quan tâm chỉ chiếm 20% (4 phiếu).
  • Đánh giá chất lượng phần mềm: Tốt chiếm 40% (8 phiếu), Khá chiếm 30% (6 phiếu), Trung bình chiếm 20% (4 phiếu), Rất tốt chiếm 10% (2 phiếu).
  • Nhận diện nguy cơ gây mất an toàn: Phần mềm độc hại đứng đầu với 9 lượt chọn; rủi ro chủ định (5 lượt); các nguy cơ khác (4 lượt); nguy cơ ngẫu nhiên (2 lượt).
  • Biện pháp phòng tránh hiện tại: 75% dựa vào biện pháp kỹ thuật (15 phiếu), 25% dựa vào biện pháp phi kỹ thuật (5 phiếu).

Đánh giá nhược điểm và nguyên nhân, tác giả chỉ ra các điểm nghẽn nghiêm trọng:

  1. Có tới 80% máy tính cá nhân trong đơn vị sử dụng phần mềm miễn phí hoặc phần mềm bẻ khóa (crack) tải từ mạng; chỉ 20% máy tính có cài đặt phần mềm diệt virus có bản quyền chính hãng.
  2. Cả công ty dùng chung 01 máy chủ vật lý (Server) duy nhất cho toàn bộ hệ thống (chạy cả website bán hàng lẫn CSDL nội bộ). Nếu website bị tấn công, kẻ xấu dễ dàng chiếm quyền máy chủ và lấy cắp thông tin; việc sao lưu thủ công trên máy chủ vật lý rất phức tạp và tốn kém.
  3. Thiếu cơ chế và phần mềm tự động kiểm tra kết nối, thông báo lỗi máy trạm đến máy chủ; quy trình báo hỏng mạng hoàn toàn thủ công.
  4. Trang thiết bị phòng cháy chữa cháy (PCCC) đã mua sắm từ lâu, không được kiểm tra, bảo dưỡng định kỳ.
  5. Bảo mật đường truyền sơ sài; nhân viên thiếu kiến thức nhận diện email giả mạo chứa macro/mã độc.

Chương 3: Định hướng phát triển và đề xuất giải pháp đảm bảo an toàn thông tin cho công ty TNHH Zenco Việt Nam

Trên cơ sở định hướng của doanh nghiệp (đảm bảo tính toàn vẹn, bảo mật CSDL, ngăn ngừa xâm nhập, hoàn thiện chữ ký số, bồi dưỡng nhân lực), tác giả đề xuất gói giải pháp theo 3 nhóm trụ cột:

1. Nhóm giải pháp phần cứng và hạ tầng mạng:

  • Trang bị tường lửa phần cứng chuyên dụng thế hệ mới (NGFW): Khuyến nghị triển khai dòng thiết bị Cisco ASA with FirePOWER Services nhằm hợp nhất tường lửa, khả năng kiểm soát ứng dụng và phòng chống xâm nhập (IPS) theo thời gian thực.
  • Thiết lập quy tắc lọc nội dung gửi ra: Cấu hình tường lửa khóa chặn các giao thức chia sẻ file ngang hàng (P2P), chặn gửi kèm tệp tin nhạy cảm qua email, ứng dụng các bộ lọc nội dung từ các nhà cung cấp như Microsoft ForeFront, McAfee hoặc Google Postini.
  • Chuẩn hóa bảo mật mạng không dây và đường truyền: Thay thế các điểm truy cập mở bằng cơ chế mã hóa WEP 128-bit (kết hợp giải thuật RC4) hoặc chuẩn WPA/WPS để ngăn chặn việc bắt gói tin từ xa.
  • Triển khai giao thức SSL (Secure Sockets Layer) cho hệ thống website thương mại điện tử của công ty: Khuyến nghị gói chứng thực tên miền (DV) với thông số kỹ thuật:
Thuộc tính gói dịch vụ Chi tiết thông số
Loại chứng thực Chứng thực tên miền (DV)
Số domain bảo mật 1 - 2 Subdomain (mở rộng 3 - 100 domain)
Hiển thị thanh địa chỉ Giao thức HTTPS + Biểu tượng ổ khóa màu xanh
Chuẩn mã hóa Lên đến 256 bits
Phí hỗ trợ SAN 250.000 đồng/domain/năm
Chính sách bảo hiểm 10.000 USD
Chi phí cài đặt & hỗ trợ Miễn phí cài đặt; hỗ trợ kỹ thuật 24/24
  • Đề xuất tiêu chuẩn cấu hình phần cứng tối thiểu cho hệ thống mạng:
Thiết bị Cấu hình phần cứng tối thiểu Phần mềm và hệ điều hành
Máy chủ (Server) CPU Core 2 Duo 2.8 GHz or higher; RAM 8GB; Ổ cứng HDD 300GB; Card mạng 10/100/1000 Mbps Hệ điều hành Windows; Webserver: Apache 2.x hoặc Microsoft SQL Server 2008
Máy trạm người dùng (PC) CPU Intel or higher; RAM 512GB (nguyên văn); Ổ cứng HDD 20GB; Card mạng 200 Mbps Hệ điều hành Windows; Trình duyệt IE 5.5+, Netscape 7.0+, Firefox 1.4+, Opera 7.21+; CSDL SQL Server 2008

2. Nhóm giải pháp phần mềm:

  • Kỹ thuật mã hóa hệ thống tập tin EFS (Encrypting File System): Tích hợp sẵn trên phân vùng NTFS của các hệ điều hành Windows, kết hợp mã hóa đối xứng và bất đối xứng dựa trên giấy phép số để bảo vệ tập tin/thư mục nhạy cảm.
  • Mã hóa toàn bộ ổ đĩa: Kích hoạt công cụ BitLocker sử dụng thuật toán AES (Advanced Encryption Standard) tích hợp trong hệ điều hành hoặc các công cụ nhóm ba (Whole Disk Encryption, Drive Crypt).
  • Nâng cấp máy chủ lên hệ điều hành Windows Server 2008; cập nhật các bản vá lỗi bảo mật phần mềm.
  • Ứng dụng hạ tầng khóa công khai (PKI) và chữ ký điện tử: Khuyến nghị sử dụng dịch vụ chứng thực chữ ký số Viettel-CA của Tập đoàn Viễn thông Quân đội Viettel với mức phí thuê bao 990.000 đồng/năm.
  • Tái thiết lập quy trình sao lưu và phục hồi dữ liệu (Backup - Restore): Chuyển đổi chu kỳ sao lưu CSDL từ 1 tháng/lần xuống định kỳ 1 tuần/lần; phân biệt lưu trữ bản sao theo nguyên nhân rủi ro (lưu xa trụ sở đối với nguy cơ khách quan như cháy nổ, thiên tai; lưu cục bộ thuận tiện đối với lỗi phần cứng, thao tác người dùng).
  • Chuẩn hóa bản quyền: Xóa bỏ 80% phần mềm bẻ khóa trôi nổi, trang bị 100% hệ điều hành và phần mềm diệt virus có bản quyền chính hãng được tự động cập nhật cơ sở dữ liệu nhận dạng mã độc.

3. Nhóm giải pháp nguồn nhân lực và quản trị nội bộ:

  • Áp dụng nguyên tắc đặc quyền tối thiểu (least privilege) khi phân quyền truy cập CSDL theo từng vị trí làm việc; đặt mật khẩu riêng cho từng tập tin nhạy cảm.
  • Kích hoạt tính năng thẩm định (audit) nhật ký truy cập tập tin, thư mục trên Windows Server để truy vết hành vi người dùng.
  • Ban hành quy chế văn bản yêu cầu nhân viên ký cam kết bảo mật thông tin, cấm tự ý sao chép dữ liệu nội bộ đem về nhà hoặc gửi qua email cá nhân; quy định lịch trình đổi mật khẩu bắt buộc.
  • Định kỳ tổ chức đào tạo, phổ biến kiến thức bảo mật cho nhân viên, đặc biệt là nhân viên kinh doanh tiếp xúc trực tiếp với dữ liệu khách hàng.
  • Tuyển dụng nhân viên chuyên trách quản trị an toàn thông tin để giám sát hệ thống độc lập.

Kết quả và đóng góp

Khóa luận đã phản ánh trung thực bức tranh hiện trạng công nghệ thông tin tại một doanh nghiệp thương mại điện tử may mặc tại Hà Nội, cung cấp các bằng chứng số liệu cụ thể:

  • Ghi nhận đầy đủ danh mục phần cứng gồm 35 máy tính (15 PC, 20 laptop), 100% nhân viên văn phòng có chứng chỉ tin học, cùng mức ngân sách duy trì bảo trì CNTT 80 triệu đồng/năm.
  • Đo lường chính xác các tỷ lệ lỗ hổng thông qua khảo sát: 80% máy tính dùng phần mềm không bản quyền/crack; 50% chỉ lưu trữ CSDL bằng ổ cứng vật lý; 50% nhân viên chỉ quan tâm ở mức khá và 30% ở mức bình thường đối với công tác bảo mật; 9/20 ý kiến xác nhận mối nguy lớn nhất là mã độc từ Internet.

Về mặt đóng góp giải pháp, tác giả không dừng lại ở các khuyến nghị lý thuyết chung chung mà đưa ra các đề xuất cụ thể gắn với chi phí và nhà cung cấp có thật tại thị trường Việt Nam:

  • Đề xuất trang bị thiết bị tường lửa thế hệ mới chuyên dụng Cisco ASA with FirePOWER Services.
  • Lựa chọn giải pháp chứng chỉ số bảo mật web SSL gói DV mức mã hóa 256-bit với phí SAN 250.000 đồng/domain/năm.
  • Định giá gói dịch vụ chữ ký số Viettel-CA ở mức 990.000 đồng/năm để đưa vào ứng dụng thực tế.
  • Thiết kế bảng thông số cấu hình chuẩn cho cả máy chủ và máy trạm phục vụ định hướng tái đầu tư hạ tầng.
  • Tối ưu hóa chu trình quản trị dữ liệu thông qua việc rút ngắn tần suất sao lưu CSDL từ 1 tháng/lần xuống 1 tuần/lần và phân loại lưu trữ theo nguyên nhân sự cố.

Hạn chế và hướng nghiên cứu tiếp

Về mặt hạn chế:

  • Thời gian nghiên cứu trong giai đoạn thực tập tốt nghiệp có hạn và trình độ nghiên cứu bước đầu của sinh viên còn hạn chế, dẫn đến việc khảo sát dừng lại ở quy mô mẫu nhỏ (n = 20 phiếu điều tra).
  • Các đề xuất kỹ thuật (như tường lửa Cisco ASA FirePOWER, hệ thống máy chủ, chữ ký số) mới dừng ở mức định hướng và thiết kế phương án lý thuyết, chưa được triển khai thử nghiệm thực tế (pilot) để đo lường các chỉ số hiệu năng mạng, độ trễ và tổng chi phí đầu tư hạ tầng (TCO).
  • Một số khuyến nghị kỹ thuật có tính kế thừa từ tài liệu tham khảo cũ tại thời điểm viết khóa luận (như việc đề xuất giao thức mã hóa mạng không dây WEP 128-bit vốn đã bộc lộ nhiều lỗ hổng toán học, phiên bản hệ điều hành máy chủ Windows Server 2008 hay danh mục trình duyệt Netscape 7.0/IE 5.5).

Về hướng nghiên cứu tiếp:

  • Khóa luận mở ra hướng nghiên cứu chi tiết hơn về việc xây dựng quy chế vận hành an toàn thông tin theo chuẩn quốc tế ISO/IEC 27001 thích ứng cho doanh nghiệp quy mô nhỏ.
  • Thử nghiệm tích hợp hệ thống sao lưu tự động nhiều điểm (hybrid cloud backup) thay thế việc phụ thuộc đơn lẻ vào tài khoản Google Drive miễn phí.
  • Nghiên cứu cơ chế bảo mật chuyên sâu cho cổng thanh toán điện tử và CSDL giao dịch bán lẻ trực tuyến khi Zenco mở rộng thêm các chi nhánh trên toàn quốc.

Giá trị tham khảo

Tài liệu khóa luận có giá trị tham khảo hữu ích cho:

  • Sinh viên các chuyên ngành Hệ thống thông tin quản lý, Thương mại điện tử, Tin học kinh tế và Công nghệ thông tin định hướng ứng dụng quản trị doanh nghiệp: Khóa luận là một tài liệu mẫu về quy trình khảo sát, thu thập dữ liệu và đánh giá thực trạng ATTT tại một doanh nghiệp kinh doanh cụ thể.
  • Những người thực hiện đề tài tốt nghiệp liên quan đến an toàn mạng doanh nghiệp: Bản câu hỏi khảo sát thực trạng gồm 5 phần chi tiết trong Phụ lục 1 là công cụ thu thập dữ liệu thực địa có thể kế thừa và mở rộng.
  • Các nhà quản lý doanh nghiệp vừa và nhỏ (SME) trong lĩnh vực thương mại trực tuyến: Có thể tham khảo phương pháp rà soát lỗ hổng hệ thống trên 3 khía cạnh vật lý, kỹ thuật phần mềm và con người, từ đó lựa chọn các giải pháp bản quyền và cấu hình tường lửa phù hợp với nguồn lực tài chính.

Câu hỏi thường gặp

1. Cơ cấu hạ tầng máy tính và nhân sự công nghệ thông tin tại Công ty TNHH Zenco được tác giả ghi nhận cụ thể như thế nào? Công ty trang bị tổng cộng 35 máy tính (gồm 15 máy tính để bàn và 20 máy tính xách tay), đạt tỷ lệ 1 máy tính/1 nhân viên. Toàn bộ 100% nhân viên văn phòng có chứng chỉ tin học (tỷ lệ chung toàn công ty là 90%). Đội ngũ CNTT nội bộ gồm 15 người: 5 nhân sự chuyên trách phần cứng và 10 nhân sự phụ trách phần mềm. Ngân sách bảo trì phần cứng, phần mềm và thuê ngoài ước tính khoảng 80.000.000 đồng/năm.

2. Điểm yếu lớn nhất về mặt phần mềm và bản quyền tại đơn vị được chỉ ra qua kết quả khảo sát là gì? Qua khảo sát, có tới 80% số máy tính cá nhân của nhân viên đang cài đặt các phần mềm miễn phí hoặc phần mềm bẻ khóa (crack) tải từ trên mạng; chỉ có 20% số máy tính được trang bị phần mềm diệt virus có bản quyền chính hãng hỗ trợ cập nhật từ nhà sản xuất. Điều này khiến nguy cơ lây nhiễm mã độc qua mạng trở thành rủi ro lớn nhất (được 9/20 ý kiến khảo sát xác nhận).

3. Kiến trúc máy chủ của công ty tồn tại rủi ro bảo mật vật lý và kỹ thuật nào nghiêm trọng nhất? Hệ thống CNTT của công ty vận hành trên 01 máy chủ vật lý duy nhất dùng chung cho toàn bộ mạng nội bộ và website thương mại điện tử. Rủi ro là nếu website bị tấn công, kẻ xấu có thể chiếm quyền điều khiển toàn bộ máy chủ và thâm nhập CSDL doanh nghiệp. Đồng thời, việc chạy trên máy chủ vật lý đơn lẻ khiến việc sao lưu dữ liệu phức tạp, tốn kém và đối mặt với nguy cơ mất trắng dữ liệu khi phần cứng gặp sự cố kỹ thuật hoặc cháy nổ (khi các thiết bị PCCC tại công ty không được kiểm tra định kỳ).

4. Khóa luận đề xuất các công nghệ và dịch vụ bảo mật nào để mã hóa và xác thực dữ liệu tại công ty? Tác giả đề xuất tích hợp giải pháp mã hóa tập tin EFS trên phân vùng NTFS của hệ điều hành Windows; kích hoạt công cụ mã hóa toàn bộ ổ đĩa BitLocker (thuật toán AES); trang bị chứng chỉ bảo mật đường truyền web SSL loại chứng thực tên miền DV (chuẩn mã hóa lên tới 256 bits, bảo hiểm 10.000 USD); và ứng dụng hạ tầng chữ ký số PKI qua gói dịch vụ Viettel-CA với chi phí 990.000 đồng/năm.

5. Khóa luận phát hiện bất cập gì trong quy trình sao lưu dữ liệu của Zenco và đưa ra kiến nghị thay đổi cụ thể ra sao? Tại thời điểm nghiên cứu, công ty duy trì chu kỳ sao lưu CSDL khá thưa, lên tới một tháng một lần, dẫn đến nguy cơ mất lượng lớn dữ liệu phát sinh khi xảy ra sự cố. Tác giả kiến nghị rút ngắn chu kỳ sao lưu định kỳ xuống một tuần một lần. Đồng thời, công ty cần chia phương án lưu trữ theo nguyên nhân: cất giữ bản sao ở vị trí xa bản chính đối với các sự cố bất khả kháng (thiên tai, cháy nổ), và lưu giữ bản sao tại chỗ đối với các lỗi thao tác chủ quan hoặc trục trặc phần mềm/phần cứng để phục hồi nhanh chóng.

Kết luận

Khóa luận tốt nghiệp của tác giả Vi Văn Chì đã hoàn thành các mục tiêu nghiên cứu thông qua việc kết hợp cơ sở lý luận về an toàn thông tin với khảo sát thực địa tại Công ty TNHH Zenco Việt Nam. Nghiên cứu chỉ ra các điểm yếu điển hình của một doanh nghiệp thương mại điện tử quy mô vừa và nhỏ, bao gồm việc lạm dụng phần mềm không bản quyền, sử dụng máy chủ đơn lẻ và quy trình bảo mật phân tán. Hệ thống giải pháp đề xuất theo 3 nhóm phần cứng, phần mềm và quản trị nhân sự mang tính hệ thống, cung cấp định hướng thiết thực để doanh nghiệp từng bước chuẩn hóa và bảo vệ tài nguyên dữ liệu kinh doanh.