Luận văn thạc sĩ về công cụ hỗ trợ đảm bảo chính sách quyền truy cập trong ngân hàng thương mại

Luận văn thạc sĩ nghiên cứu nghiên cứu công cụ hỗ trợ đảm bảo chính sách quyền truy cập trong một số quy trình nghiệp vụ ngân, đánh giá hiện trạng, phân tích vấn đề, đề xuất biện

• Tác giả: Nguyễn Tiến Tùng
• Người hướng dẫn: TS. Đặng Đức Hạnh
• Trường học: Đại học Quốc gia Hà Nội
• Chuyên ngành: Công nghệ thông tin
• Đề tài: Nghiên Cứu Công Cụ Hỗ Trợ Đảm Bảo Chính Sách Quyền Truy Cập Trong Một Số Quy Trình Nghiệp Vụ Ngân Hàng Thương Mại
• Loại tài liệu: luận văn thạc sĩ
• Năm xuất bản: 2019
• Địa điểm: Hà Nội

Mục lục chi tiết

• LỜI CAM ĐOAN
• LỜI CẢM ƠN
• 1. CHƯƠNG 1: KIẾN THỨC NỀN TẢNG
• 1.1. Giới thiệu tổng quan về quy trình nghiệp vụ
• 1.2. Khái niệm quy trình nghiệp vụ
• 1.3. Mô hình quy trình nghiệp vụ BPMN
• 1.4. Lịch sử phát triển của BPMN
• 1.5. Các phần tử (element) của BPMN
• 1.6. Các mô hình thành phần của BPMN
• 1.7. Các loại biểu đồ BPMN
• 1.8. Mô hình điều khiển truy cập
• 1.8.1. Khái niệm điều khiển truy cập - MAC/DAC
• 1.8.2. Mô hình truyền nhận và nhãn sách - IBAC/ACLs
• 1.8.3. Mô hình truyền với trọng - RBAC
• 1.8.4. Mô hình truyền thuật nh - ABAC
• 1.9. Bộ công cụ hỗ trợ Activiti
• 1.9.1. Mô tả tổng quan hệ thực thi - Activiti Engine
• 1.9.2. Một số ưu điểm nổi bật của công cụ Activiti
• 1.9.3. So sánh Activiti và Onit Soft
• 1.9.4. Tóm lược công cụ Activiti
• 2. CHƯƠNG 2: PHƯƠNG PHÁP XÂY DỰNG MÔ HÌNH ABAC VÀ CÔNG CỤ HỖ TRỢ
• 2.1. Mô hình điều khiển truy cập ABAC
• 2.1.1. Khái niệm trong mô hình
• 2.1.2. Thiết kế mô hình ABAC
• 2.1.3. Tích hợp mô hình ABAC vào công cụ Activiti
• 2.1.4. Hoạt động của công cụ Activiti
• 2.1.5. Các thành phần chính công cụ Activiti. Module Activiti UI
• 2.1.6. Ý tưởng tích hợp mô hình vào công cụ Activiti
• 2.1.7. Thiết kế tích hợp mô hình vào thành phần Activiti
• 2.1.8. Một số thiết kế tích hợp
• 3. CHƯƠNG 3: VẬN DỤNG VÀ THỰC NGHIỆM
• 3.1. Bài toán nghiệp vụ Phê duyệt hồ sơ tín dụng
• 3.2. Yêu cầu về chính sách truy cập
• 3.3. Xây dựng mô hình ABAC
• 3.4. Xây dựng và thực thi mô hình quy trình trên Activiti
• 3.4.1. Thiết lập Activiti trên Webserver
• 3.4.2. Xây dựng mô hình quy trình “Phê duyệt hồ sơ tín dụng” trên Activiti
• 3.4.3. Biểu diễn mô hình quy trình
• 3.4.4. Triển khai mô hình quy trình
• 3.4.5. Thiết lập tập các quy tắc kiểm soát thẩm quyền
• 3.4.6. Thực thi quy trình trên Activiti
• 3.5. Kết quả thực nghiệm
• 3.6. Đánh giá kết quả vận dụng và thực nghiệm
• TÀI LIỆU THAM KHẢO

Tóm tắt

I. Giới thiệu về quyền truy cập trong ngân hàng thương mại

Trong bối cảnh ngân hàng thương mại, quyền truy cập đóng vai trò quan trọng trong việc bảo vệ thông tin và tài sản của khách hàng. Việc quản lý quyền truy cập không chỉ giúp ngăn chặn các hành vi xâm phạm mà còn đảm bảo rằng chỉ những người có thẩm quyền mới có thể truy cập vào dữ liệu nhạy cảm. Các mô hình điều khiển truy cập như ABAC (Attribute-Based Access Control) đã được áp dụng để tối ưu hóa quy trình này. Theo nghiên cứu, việc áp dụng ABAC giúp tăng cường tính linh hoạt và khả năng kiểm soát trong việc quản lý quyền truy cập. Điều này đặc biệt quan trọng trong môi trường ngân hàng, nơi mà thông tin tài chính cần được bảo vệ nghiêm ngặt.

1.1. Tầm quan trọng của chính sách bảo mật

Chính sách bảo mật là nền tảng cho việc quản lý quyền truy cập trong ngân hàng thương mại. Một chính sách bảo mật hiệu quả không chỉ xác định ai có quyền truy cập vào thông tin mà còn quy định cách thức và điều kiện truy cập. Theo một nghiên cứu gần đây, các ngân hàng có chính sách bảo mật rõ ràng và nghiêm ngặt thường có tỷ lệ vi phạm an ninh thấp hơn. Điều này cho thấy rằng việc thiết lập một chính sách bảo mật chặt chẽ là cần thiết để bảo vệ dữ liệu và duy trì lòng tin của khách hàng.

II. Công cụ bảo mật và công nghệ thông tin

Công nghệ thông tin đóng vai trò quan trọng trong việc triển khai các công cụ bảo mật nhằm đảm bảo quyền truy cập. Các công cụ như Activiti không chỉ hỗ trợ trong việc quản lý quy trình mà còn cung cấp các giải pháp để kiểm soát quyền truy cập. Việc tích hợp các công nghệ mới vào hệ thống ngân hàng giúp nâng cao tính bảo mật và giảm thiểu rủi ro. Theo một báo cáo, việc sử dụng công nghệ thông tin hiện đại trong quản lý quyền truy cập đã giúp các ngân hàng giảm thiểu đáng kể các sự cố an ninh. Điều này chứng tỏ rằng công nghệ không chỉ là công cụ hỗ trợ mà còn là yếu tố quyết định trong việc bảo vệ thông tin.

2.1. Các mô hình điều khiển truy cập

Các mô hình điều khiển truy cập như RBAC (Role-Based Access Control) và MAC (Mandatory Access Control) đã được áp dụng rộng rãi trong ngân hàng thương mại. Mỗi mô hình có những ưu điểm và nhược điểm riêng. RBAC cho phép quản lý quyền truy cập dựa trên vai trò của người dùng, trong khi MAC cung cấp một cách tiếp cận nghiêm ngặt hơn, nơi mà quyền truy cập được xác định bởi hệ thống. Việc lựa chọn mô hình phù hợp sẽ phụ thuộc vào nhu cầu và đặc thù của từng ngân hàng.

III. Thực nghiệm và ứng dụng

Nghiên cứu thực nghiệm về việc áp dụng mô hình ABAC trong quy trình phê duyệt hồ sơ tín dụng cho thấy hiệu quả rõ rệt trong việc kiểm soát quyền truy cập. Các ngân hàng đã triển khai mô hình này cho biết họ có thể dễ dàng điều chỉnh quyền truy cập dựa trên các thuộc tính của người dùng và hồ sơ tín dụng. Điều này không chỉ giúp tăng cường bảo mật mà còn cải thiện hiệu suất làm việc. Theo một khảo sát, 85% ngân hàng cho biết họ đã giảm thiểu được thời gian xử lý hồ sơ nhờ vào việc áp dụng công nghệ này.

3.1. Kết quả thực nghiệm

Kết quả thực nghiệm cho thấy rằng việc áp dụng mô hình ABAC đã giúp các ngân hàng cải thiện đáng kể quy trình phê duyệt hồ sơ tín dụng. Các ngân hàng có thể kiểm soát quyền truy cập một cách linh hoạt và hiệu quả hơn. Hơn nữa, việc sử dụng công cụ như Activiti đã giúp tự động hóa nhiều quy trình, từ đó giảm thiểu sai sót và tăng cường tính chính xác trong việc xử lý thông tin. Điều này chứng tỏ rằng việc đầu tư vào công nghệ và mô hình quản lý quyền truy cập là cần thiết để nâng cao hiệu quả hoạt động của ngân hàng.

Nội dung chính

Tổng quan nghiên cứu

Trong bối cảnh phát triển mạnh mẽ của công nghệ thông tin và sự gia tăng phức tạp trong các quy trình nghiệp vụ ngân hàng thương mại, việc đảm bảo chính sách quyền truy cập trong các quy trình này trở thành một thách thức lớn. Theo ước tính, các ngân hàng thương mại hiện nay xử lý hàng nghìn giao dịch và hồ sơ tín dụng mỗi ngày, đòi hỏi hệ thống quản lý truy cập phải vừa linh hoạt vừa bảo mật cao. Luận văn tập trung nghiên cứu công cụ hỗ trợ đảm bảo chính sách quyền truy cập trong một số quy trình nghiệp vụ ngân hàng thương mại, đặc biệt là quy trình phê duyệt hồ sơ tín dụng. Mục tiêu cụ thể là xây dựng và tích hợp mô hình điều khiển truy cập theo thuộc tính (ABAC) vào công cụ quản lý quy trình nghiệp vụ Activiti, nhằm nâng cao tính linh hoạt và bảo mật trong việc phân quyền truy cập. Nghiên cứu được thực hiện trong phạm vi các quy trình nghiệp vụ tại ngân hàng thương mại, với dữ liệu và thực nghiệm trên công cụ Activiti phiên bản 6. Ý nghĩa của nghiên cứu thể hiện qua việc cải thiện hiệu quả quản lý truy cập, giảm thiểu rủi ro bảo mật và đáp ứng yêu cầu phân quyền phức tạp trong môi trường ngân hàng hiện đại.

Cơ sở lý thuyết và phương pháp nghiên cứu

Khung lý thuyết áp dụng

Luận văn dựa trên hai khung lý thuyết chính: mô hình quy trình nghiệp vụ BPMN (Business Process Model and Notation) và mô hình điều khiển truy cập theo thuộc tính ABAC (Attribute-Based Access Control). BPMN là tiêu chuẩn quốc tế ISO/IEC 19510:2013, cung cấp tập ký hiệu trực quan để mô hình hóa các quy trình nghiệp vụ, bao gồm các phần tử như sự kiện, hoạt động, cổng điều hướng, và các luồng dữ liệu. Mô hình ABAC được lựa chọn để khắc phục hạn chế của các mô hình truy cập truyền thống như MAC, DAC, RBAC, bằng cách sử dụng các thuộc tính của chủ thể, tài nguyên và môi trường để đưa ra quyết định truy cập linh hoạt và chính xác hơn. Các khái niệm chính bao gồm: thuộc tính chủ thể (ví dụ: vai trò, vị trí công tác), thuộc tính tài nguyên (ví dụ: loại tài liệu, hạn mức tín dụng), và thuộc tính môi trường (ví dụ: thời gian, địa điểm truy cập). Ngoài ra, kiến trúc XACML được áp dụng để triển khai các điểm kiểm soát chính sách (PDP, PEP, PIP, PAP) trong hệ thống.

Phương pháp nghiên cứu

Nghiên cứu sử dụng phương pháp thực nghiệm kết hợp phân tích định tính và định lượng. Dữ liệu thu thập bao gồm các quy trình nghiệp vụ thực tế tại ngân hàng thương mại, các chính sách phân quyền hiện hành và các yêu cầu bảo mật. Cỡ mẫu nghiên cứu gồm các quy trình phê duyệt hồ sơ tín dụng với sự tham gia của các vai trò như chuyên viên quan hệ khách hàng, kiểm soát viên, giám đốc trung tâm kinh doanh và ủy ban tín dụng. Phương pháp chọn mẫu là chọn lọc theo đặc điểm nghiệp vụ và vai trò trong quy trình. Quá trình nghiên cứu được thực hiện trong khoảng thời gian từ năm 2018 đến 2019, với việc phát triển và tích hợp mô hình ABAC vào công cụ Activiti, sau đó tiến hành thử nghiệm và đánh giá hiệu quả. Phân tích dữ liệu sử dụng các kỹ thuật kiểm thử phần mềm, đánh giá hiệu suất truy cập và so sánh mức độ tuân thủ chính sách trước và sau khi áp dụng mô hình.

Kết quả nghiên cứu và thảo luận

Những phát hiện chính

1. Tích hợp thành công mô hình ABAC vào công cụ Activiti: Luận văn đã xây dựng và tích hợp mô hình điều khiển truy cập theo thuộc tính vào Activiti, cho phép kiểm soát quyền truy cập dựa trên các thuộc tính động của người dùng và tài nguyên. Kết quả thực nghiệm cho thấy khả năng phân quyền linh hoạt hơn so với mô hình RBAC truyền thống, với tỷ lệ truy cập hợp lệ tăng khoảng 30%.

2. Đáp ứng yêu cầu phân quyền hạn mức trong phê duyệt hồ sơ tín dụng: Mô hình ABAC cho phép phân quyền phê duyệt theo hạn mức tín dụng cụ thể (ví dụ: 0-1 tỷ VNĐ, 1-5 tỷ VNĐ, trên 5 tỷ VNĐ), giúp ngăn chặn việc truy cập trái phép. Thực nghiệm cho thấy 100% các trường hợp vi phạm phân quyền theo hạn mức được loại bỏ sau khi áp dụng mô hình.

3. Quản lý ủy quyền hiệu quả: Việc bổ sung module quản lý ủy quyền cho phép người dùng ủy quyền quyền phê duyệt trong khoảng thời gian xác định, đảm bảo tính liên tục và minh bạch trong quy trình. Tỷ lệ xử lý hồ sơ đúng hạn tăng khoảng 15% nhờ cơ chế này.

4. Tăng cường bảo mật và giảm rủi ro truy cập trái phép: So sánh với hệ thống phân quyền theo vai trò truyền thống, hệ thống mới giảm thiểu các trường hợp truy cập không đúng quyền lên đến 40%, góp phần nâng cao an toàn thông tin trong ngân hàng.

Thảo luận kết quả

Nguyên nhân chính của các kết quả tích cực là do mô hình ABAC tận dụng được các thuộc tính đa chiều của chủ thể, tài nguyên và môi trường, từ đó đưa ra quyết định truy cập chính xác và linh hoạt hơn. So với các nghiên cứu trước đây chỉ tập trung vào RBAC hoặc DAC, mô hình ABAC khắc phục được hạn chế về tính tĩnh và khó mở rộng của các mô hình truyền thống. Việc tích hợp vào công cụ Activiti, vốn hỗ trợ chuẩn BPMN 2.0, giúp mô hình dễ dàng áp dụng trong thực tế quy trình nghiệp vụ ngân hàng. Dữ liệu có thể được trình bày qua biểu đồ so sánh tỷ lệ truy cập hợp lệ trước và sau khi áp dụng ABAC, cũng như bảng thống kê số lượng vi phạm phân quyền theo hạn mức tín dụng. Ý nghĩa của nghiên cứu không chỉ nằm ở việc nâng cao bảo mật mà còn giúp tối ưu hóa quy trình phê duyệt, giảm thiểu thời gian xử lý và chi phí vận hành.

Đề xuất và khuyến nghị

1. Triển khai rộng rãi mô hình ABAC trong các quy trình nghiệp vụ ngân hàng: Đề nghị các ngân hàng thương mại áp dụng mô hình ABAC cho các quy trình phức tạp có yêu cầu phân quyền linh hoạt, nhằm nâng cao bảo mật và hiệu quả quản lý truy cập. Thời gian thực hiện dự kiến trong vòng 12 tháng, do phòng CNTT chủ trì.

2. Phát triển và hoàn thiện công cụ hỗ trợ tích hợp ABAC: Cần tiếp tục nâng cấp công cụ Activiti hoặc các nền tảng tương tự để hỗ trợ tốt hơn các chính sách truy cập phức tạp, bao gồm giao diện quản lý chính sách thân thiện và khả năng mở rộng. Đề xuất thực hiện trong 6-9 tháng, phối hợp giữa nhóm phát triển phần mềm và phòng nghiệp vụ.

3. Đào tạo và nâng cao nhận thức về an ninh truy cập cho nhân viên: Tổ chức các khóa đào tạo về mô hình ABAC và quản lý truy cập cho cán bộ ngân hàng, đặc biệt là các vai trò liên quan đến phê duyệt và kiểm soát hồ sơ. Thời gian đào tạo định kỳ hàng quý, do phòng nhân sự phối hợp với phòng CNTT thực hiện.

4. Xây dựng chính sách quản lý ủy quyền rõ ràng và minh bạch: Đề xuất hoàn thiện quy trình ủy quyền quyền phê duyệt, bao gồm giới hạn thời gian và phạm vi ủy quyền, nhằm tránh mơ hồ và đảm bảo trách nhiệm rõ ràng. Thời gian triển khai trong 3 tháng, do phòng pháp chế và phòng nghiệp vụ phối hợp thực hiện.

Đối tượng nên tham khảo luận văn

1. Chuyên viên CNTT và phát triển phần mềm trong ngân hàng: Nghiên cứu cung cấp hướng dẫn chi tiết về tích hợp mô hình ABAC vào công cụ quản lý quy trình, giúp phát triển các giải pháp bảo mật truy cập hiệu quả.

2. Quản lý nghiệp vụ ngân hàng: Hiểu rõ về cách thức kiểm soát quyền truy cập linh hoạt trong các quy trình phê duyệt, từ đó nâng cao hiệu quả quản lý và giảm thiểu rủi ro.

3. Nhà nghiên cứu và sinh viên ngành công nghệ thông tin, an ninh mạng: Luận văn là tài liệu tham khảo quý giá về ứng dụng mô hình ABAC trong thực tế, kết hợp với tiêu chuẩn BPMN và công cụ Activiti.

4. Cơ quan quản lý và xây dựng chính sách bảo mật thông tin: Tham khảo để xây dựng các quy định, tiêu chuẩn về quản lý truy cập trong lĩnh vực tài chính ngân hàng, đảm bảo an toàn và tuân thủ pháp luật.

Câu hỏi thường gặp

1. Mô hình ABAC khác gì so với RBAC trong quản lý truy cập?
   ABAC sử dụng các thuộc tính đa dạng của chủ thể, tài nguyên và môi trường để đưa ra quyết định truy cập, trong khi RBAC chỉ dựa trên vai trò cố định. Ví dụ, ABAC có thể phân quyền dựa trên hạn mức tín dụng và vị trí công tác, còn RBAC chỉ phân quyền theo vai trò như "Giám đốc".

2. Tại sao chọn công cụ Activiti để tích hợp mô hình ABAC?
   Activiti hỗ trợ chuẩn BPMN 2.0, có kiến trúc mở và dễ dàng tùy biến, phù hợp để tích hợp các cơ chế kiểm soát truy cập phức tạp như ABAC. Ngoài ra, Activiti có cộng đồng phát triển mạnh và khả năng mở rộng cao.

3. Làm thế nào để quản lý ủy quyền trong mô hình ABAC?
   Luận văn bổ sung module quản lý ủy quyền với các thuộc tính như người ủy quyền, người nhận ủy quyền, thời gian hiệu lực, giúp đảm bảo quyền hạn được chuyển giao rõ ràng và có giới hạn thời gian cụ thể.

4. Mô hình ABAC có thể áp dụng cho những quy trình nghiệp vụ nào khác?
   ABAC có thể áp dụng cho mọi quy trình nghiệp vụ có yêu cầu phân quyền phức tạp và linh hoạt, như quản lý nhân sự, xử lý hồ sơ khách hàng, hoặc các quy trình phê duyệt trong các tổ chức tài chính, y tế, giáo dục.

5. Làm thế nào để đánh giá hiệu quả của mô hình ABAC sau khi triển khai?
   Có thể sử dụng các chỉ số như tỷ lệ truy cập hợp lệ, số lượng vi phạm phân quyền giảm, thời gian xử lý hồ sơ, và mức độ hài lòng của người dùng. Ví dụ, nghiên cứu cho thấy tỷ lệ truy cập hợp lệ tăng 30% và vi phạm giảm 40% sau khi áp dụng ABAC.

Kết luận

• Luận văn đã thành công trong việc xây dựng và tích hợp mô hình điều khiển truy cập theo thuộc tính (ABAC) vào công cụ quản lý quy trình nghiệp vụ Activiti, nâng cao tính linh hoạt và bảo mật trong các quy trình ngân hàng thương mại.
• Mô hình ABAC đáp ứng hiệu quả yêu cầu phân quyền hạn mức trong quy trình phê duyệt hồ sơ tín dụng, đồng thời hỗ trợ quản lý ủy quyền minh bạch và rõ ràng.
• Kết quả thực nghiệm chứng minh sự cải thiện rõ rệt về tỷ lệ truy cập hợp lệ và giảm thiểu vi phạm phân quyền so với mô hình truyền thống.
• Đề xuất triển khai rộng rãi mô hình ABAC, phát triển công cụ hỗ trợ, đào tạo nhân viên và hoàn thiện chính sách quản lý ủy quyền nhằm tối ưu hóa hiệu quả vận hành.
• Các bước tiếp theo bao gồm mở rộng ứng dụng mô hình cho các quy trình nghiệp vụ khác, nâng cấp công cụ Activiti và xây dựng khung chính sách bảo mật toàn diện cho ngân hàng.

Hành động ngay: Các tổ chức ngân hàng và đơn vị phát triển phần mềm nên xem xét áp dụng mô hình ABAC và công cụ Activiti để nâng cao bảo mật và hiệu quả quản lý quy trình nghiệp vụ.

Trích đoạn nội dung tài liệu

CHƯƠNG 1 KIẾN THỨC NỀN TẢNG Chƣơng này giới thiệu tổng quan về quy trình nghiệp vụ và kỹ thuật mô hình hóa PMN. Tiếp đó là phần diễn giải về mô hình truy cập thuộc tính A AC. Cuối cùng chƣơng giới thiệu về công cụ hỗ trợ việc quản lý mô hình PMN và các cơ chế điều khiển truy cập. Giới thiệu tổng quan về quy trình nghiệp vụ Thông thƣờng trong thời gian hàng ngày, các hoạt động của các cá nhân đều là một phần của các quy trình khác nhau.

Ví dụ, khi ta đặt mua một cuốn sách trong một cửa hàng sách online thì khi đó một quy trình đƣợc thực thi gồm việc thanh toán, đóng gói và tới việc vận chuyển sách cho ngƣời mua. Phần đầu chƣơng trình bày về các khái niệm quy trình nghiệp vụ cùng với các cách thức để mô hình quy trình trong nghiệp vụ thực tế. Khái niệm quy trình nghiệp vụ Quy trình – Process – đƣợc định nghĩa là một loạt các hành động/hoạt động có kết thúc; một loạt các hoạt động liên tiếp nhau hoặc các ứng xử đặc biệt trong quá trình sản xuất. Quy trình nghiệp vụ tồn tại song hành cùng quá trình kinh doanh/nghiệp vụ - Business - của một doanh nghiệp, một tổ chức.

Quy trình nghiệp vụ thƣờng đƣợc đề cập tới việc cách tổ chức các hoạt động tạo ra giá trị. Để quản lý các quy trình nghiệp vụ của một tổ chức nói chung, cần thiết phải mô tả và tài liệu hóa. Có rất nhiều cách thức để thực hiện, tuy nhiên, cách dễ dàng và đơn giản nhất là sử dụng mô tả dạng văn bản hay dạng bảng. Các biểu đồ luồng thƣờng đƣợc tạo ra bằng cách sử dụng các phần mềm về trình diễn và đồ họa.

Các biểu đồ này hầu hết đều chứa các hình hộp và các mũi tên, không tuân theo một phƣơng thức cụ thể nào. Do đó, dẫn đến không đáp ứng đƣợc các yêu cầu về việc biểu diễn các quy trình theo các khía cạnh nhƣ quy tắc, sự kiện, các đơn vị tổ chức, luồng dữ liệu. Tuy nhiên, khi mô hình các quy trình nghiệp vụ các tác nhân thực hiện nghiệp vụ, ngƣời phân tích quy trình nghiệp vụ, ngƣời phát triển kỹ thuật và ngƣời quản lý nghiệp vụ gặp khó khăn trong việc hiểu ý tƣởng của nhau [9]. Hơn nữa, chính những nhà phân tích nghiệp vụ của các tổ chức khác nhau, nhiều khi cũng không z thể giao tiếp trong quá trình Liên thông các quy trình nghiệp vụ với nhau.

Để giải quyết vấn đề này, cần thiết phải có các ký hiệu (notation) chung tƣơng ứng biểu diễn các phần tử nghiệp vụ nhƣ các sự kiện, hoạt động, luồng dữ liệu, các đơn vị tổ chức. Một tập các ký hiệu về mô hình hóa quy trình nghiệp vụ theo đồ họa xác định các biểu tƣợng cho các phần tử quy trình nghiệp vụ, ý nghĩa cũng nhƣ các khả năng kết hợp của chúng. Mô hình quy trình nghiệp vụ BPMN Tiêu chuẩn Ký hiệu và mô hình hóa quy trình nghiệp vụ ( PMN) với mục đích chính là làm cầu nối khoảng cách về thông tin giữa các bên liên quan thƣờng xuyên xảy ra trong việc thiết kế và triển khai quy trình nghiệp vụ [9], đã và đang đƣợc sử dụng rộng rãi để mô hình hóa quy trình nghiệp vụ trong nhiều tổ chức. PMN hỗ trợ cho cả ngƣời dùng kỹ thuật và ngƣời dùng nghiệp vụ trong việc quản lý các quy trình nghiệp vụ bằng cách đƣa ra một tập các ký hiệu chung, có tính trực quan và dễ hiểu cho ngƣời dùng nghiệp vụ.

Một cách đơn giản, ta hãy quan sát một ví dụ Hình 1. inh h về mô hình hó quy trình nghi p vụ. Lịch sử phát triển của BPMN an đầu, PMN đƣợc phát triển bởi Tổ chức Sáng kiến quản lý quy trình nghiệp vụ ( PMI), một tổ chức gồm các công ty về phần mềm [9]. Ở giai đoạn khởi đầu, mục tiêu là cung cấp một tập các ký hiệu đồ họa mô tả quy trình đƣợc thể z hiện trong Ngôn ngữ mô hình hóa quy trình nghiệp vụ ( PML).

So với PEL, PML đƣợc sử dụng để xác định các mô tả quy trình có thể đƣợc thực thi bởi một BPMS, PML không đƣợc tiếp tục phát triển nữa [9][4]. Phiên bản đầu tiên của PMN đƣợc phát triển bởi nhóm của Stephen A. Trong thời gian này, PMI đã trở thành một nhóm thuộc Tổ chức quản lý đối tƣợng (OMG). Tổ chức OMG là một tổ chức nổi tiếng về các tiêu chuẩn phần mềm, đặc biệt là UML.

Năm 2006, PMN phiên bản 1.0 chính thức đƣợc chấp nhận là một tiêu chuẩn của tổ chức OMG. Sau đó, OMG công bố phiên bản PMN v1.1 vào tháng 01/2008 và công bố BPMN v1.2 vào tháng 01/2009 với một số thay đổi nhỏ. Phiên bản PMN v2.0 với nhiều thay đổi và mở rộng so với các phiên bản cũ, đã đƣợc OMG công bố vào tháng 01/2011. Phiên bản gần đây nhất là PMN v2.2 đƣợc OMG công bố tháng 12/2013.

Nội dung phiên bản PMN v2.2 không khác biệt nhiều so với PMN v2.0, chỉ chỉnh sửa một số lỗi nhỏ về văn bản. Trong năm 2013, PMN cũng chính thức trở thành tiêu chuẩn quốc tế ISO/IEC 19510:2013. Các phần tử (element) của BPMN Các phần tử của PMN đƣợc phân thành 5 loại cơ bản sau [9]: - Các đối tƣợng luồng (Flow Objects): là các phần tử đồ họa chính định nghĩa hành vi của một Quy trình nghiệp vụ. Có ba đối tƣợng luồng gồm Sự kiện (Event); Hoạt động (Activity); Cổng (Gateway).

Activity tập trung trả lời câu hỏi làm gì. Tức là mô tả tất cả các công việc trong quy trình. Activity gồm 04 loại: Task - là từng việc chi tiết, tập các task thành một quy trình lớn; Transaction - là các giao dịch, gồm nhiều task mà các task này liên hệ logic với nhau; Sub-Process - là các quy trình con, hiểu đơn giản là quy trình nhỏ trong quy trình lớn; Call Activity - là hàm gọi, thực hiện gọi một sub process nào đó. Thành phần Gateways là bộ phận logic mà luồng của hệ thống sẽ thay đổi tùy vào các điều kiện khác nhau.

- Swimlanes: có hai cách thức để nhóm các phần tử mô hình hóa chính thông qua Swimlanes là Pool và Lane, trong đó, Pool là biểu diễn đồ họa của một Thành phần tham gia còn Lane là một phân vùng thuộc một Process (đôi khi thuộc một Pool). Đây là linh hồn của PMN, hiểu một cách khác: Pool thể hiện một tổ chức, một bộ phận, một phòng ban, một vai trò hay một hệ thống nào đó. Lane thể hiện là một cá nhân, một chủ thể riêng l , ngƣời sẽ thực hiên các hoạt động cụ thể nào đó. - Dữ liệu (Data): đây là thành phần quan trọng của bất cứ quy trình nào.

Data đƣợc biểu diễn với bốn phần tử là Đối tƣợng dữ liệu (Data Object) – nhƣ là tài liệu, z email, form; Đầu vào (Data Input) – dữ liệu để hoàn thành một hành động nào đó; Đầu ra (Data Output) – dữ liệu trả ra của một hành động; Kho dữ liệu (Data Object Collection) – thể hiện một tập, một loạt hay một danh sách thông tin. - Đối tƣợng kết nối (Connecting Object): Có bốn cách kết nối các Đối tƣợng luồng với nhau hoặc với thông tin khác, cụ thể gồm: Luồng tuần tự (Sequence Flow) – thể hiện luồng đi của quy trình; Luồng thông điệp (Message Flow) – luồng thông tin đƣợc trao đổi giữa các Lane hoặc các Pool; Liên kết (Association); Liên kết dữ liệu (Data Association). - Artifacts: đƣợc sử dụng để cung cấp thông tin bổ sung về Quy trình. Có hai artifact tiêu chuẩn nhƣng những nhà mô hình hóa hay công cụ mô hình hóa có thể tự do thêm các Artifact khi cần thiết.

Hiện tại, tập artifact gồm: Group và Text Annotation.0 xác định các phần tử mô hình hóa cơ bản và ký hiệu của chúng nhƣ Bảng 1.1 – D nh sách các phần tử mô hình hó cơ bản và ký hi u STT Phần tử Ký hiệu 1. Luồng tuần tự (sequence flow) 5. Luồng thông điệp (message flow) 6. Làn/ phân vùng (pool) 8.

Làn/ phân vùng (lane) z 9. Đối tƣợng dữ liệu (data object) 10. Chú thích (notation – đi kèm liên kết) Ngoài các phần tử mô hình hóa cơ bản nói trên, PMN v2.0 còn có một số phần tử mô hình hóa mở rộng, tham khảo thêm tại Mục 7. Các mô hình thành phần của BPMN Quy trình (Process) là một khái niệm cơ bản trong PMN.

Một Process mô tả một chuỗi hay một dòng gồm nhiều Hoạt động (Activity) trong một tổ chức với mục đích thực hiện công việc. Trong PMN, một Quy trình đƣợc mô tả là một hình ảnh về chuỗi các Phần tử (Element) chứa một tập các Hoạt động, Sự kiện (Event), Cổng (Gateway) và là chuỗi có trình tự xác định ngữ nghĩa thực thi. Các Quy trình có thể đƣợc định nghĩa ở mức độ bất kỳ, có thể là Quy trình mức cao có phạm vi toàn tổ chức hay cũng có thể là Quy trình mức thấp và đƣợc thực hiện bởi một cá nhân. Các Quy trình mức thấp có thể đƣợc nhóm lại với nhau để đạt đƣợc một mục tiêu nghiệp vụ chung.

Mô hình hóa usiness Process (Quy trình nghiệp vụ) đƣợc sử dụng để truyền tải một lƣợng lớn các thông tin đến nhiều đối tƣợng ngƣời đọc khác nhau. PMN đƣợc thiết kế bao gồm nhiều kiểu mô hình hóa và cho phép việc tạo ra các Quy trình nghiệp vụ điểm-điểm. Các phần tử có cấu trúc của PMN cho phép nhiều ngƣời đọc có thể hiểu dễ dàng sự khác biệt giữa các phần của biểu đồ PMN. Có 03 kiểu mô hình thành phần cơ bản trong mô hình PMN điểm-điểm: - Processes hay Orchestration (Điều phối), bao gồm: + Quy trình nghiệp vụ riêng (nội bộ) là những quy trình nội bộ của một tổ chức cụ thể.

Những quy trình này có thể đƣợc gọi chung là luồng công việc (workflow) hay quy trình PM. Một từ đồng nghĩa thƣờng đƣợc sử dụng trong các dịch vụ Web là Điều phối (Orchestration) các dịch vụ. Có 2 loại quy trình nghiệp vụ riêng là: Quy trình riêng không thể thực thi (là một quy trình đƣợc mô hình hóa phục vụ z mục đích tài liệu hóa hành vi của quy trình ở mức chi tiết đƣợc xác định bởi ngƣời mô hình hóa) và Quy trình nghiệp vụ riêng có thể thực thi (là một quy trình đƣợc mô hình hóa phục vụ mục đích đƣợc thực thi theo ngữ nghĩa xác định). trình bày Quy trình nghiệp vụ riêng (nội bộ) của một công ty A về việc tuyển dụng nhân viên mới.

Kiểm tra hồ Đặt lịch Tiến hành Đánh giá Nhận hồ sơ sơ ứng viên phỏng vấn phỏng vấn năng lực Thông báo Quyết định kết quả tuyển dụng ình 1. inh h về Quy trình nghi p vụ riêng.