Luận văn thạc sĩ về công cụ hỗ trợ đảm bảo chính sách quyền truy cập trong ngân hàng thương mại

• Tác giả: Nguyễn Tiến Tùng
• Người hướng dẫn: TS. Đặng Đức Hạnh
• Trường học: Đại học Quốc gia Hà Nội
• Chuyên ngành: Công nghệ thông tin
• Đề tài: Nghiên Cứu Công Cụ Hỗ Trợ Đảm Bảo Chính Sách Quyền Truy Cập Trong Một Số Quy Trình Nghiệp Vụ Ngân Hàng Thương Mại
• Loại tài liệu: luận văn thạc sĩ
• Năm xuất bản: 2019
• Địa điểm: Hà Nội

• LỜI CAM ĐOAN
• LỜI CẢM ƠN
• 1. CHƯƠNG 1: KIẾN THỨC NỀN TẢNG
• 1.1. Giới thiệu tổng quan về quy trình nghiệp vụ
• 1.2. Khái niệm quy trình nghiệp vụ
• 1.3. Mô hình quy trình nghiệp vụ BPMN
• 1.4. Lịch sử phát triển của BPMN
• 1.5. Các phần tử (element) của BPMN
• 1.6. Các mô hình thành phần của BPMN
• 1.7. Các loại biểu đồ BPMN
• 1.8. Mô hình điều khiển truy cập
• 1.8.1. Khái niệm điều khiển truy cập - MAC/DAC
• 1.8.2. Mô hình truyền nhận và nhãn sách - IBAC/ACLs
• 1.8.3. Mô hình truyền với trọng - RBAC
• 1.8.4. Mô hình truyền thuật nh - ABAC
• 1.9. Bộ công cụ hỗ trợ Activiti
• 1.9.1. Mô tả tổng quan hệ thực thi - Activiti Engine
• 1.9.2. Một số ưu điểm nổi bật của công cụ Activiti
• 1.9.3. So sánh Activiti và Onit Soft
• 1.9.4. Tóm lược công cụ Activiti
• 2. CHƯƠNG 2: PHƯƠNG PHÁP XÂY DỰNG MÔ HÌNH ABAC VÀ CÔNG CỤ HỖ TRỢ
• 2.1. Mô hình điều khiển truy cập ABAC
• 2.1.1. Khái niệm trong mô hình
• 2.1.2. Thiết kế mô hình ABAC
• 2.1.3. Tích hợp mô hình ABAC vào công cụ Activiti
• 2.1.4. Hoạt động của công cụ Activiti
• 2.1.5. Các thành phần chính công cụ Activiti. Module Activiti UI
• 2.1.6. Ý tưởng tích hợp mô hình vào công cụ Activiti
• 2.1.7. Thiết kế tích hợp mô hình vào thành phần Activiti
• 2.1.8. Một số thiết kế tích hợp
• 3. CHƯƠNG 3: VẬN DỤNG VÀ THỰC NGHIỆM
• 3.1. Bài toán nghiệp vụ Phê duyệt hồ sơ tín dụng
• 3.2. Yêu cầu về chính sách truy cập
• 3.3. Xây dựng mô hình ABAC
• 3.4. Xây dựng và thực thi mô hình quy trình trên Activiti
• 3.4.1. Thiết lập Activiti trên Webserver
• 3.4.2. Xây dựng mô hình quy trình “Phê duyệt hồ sơ tín dụng” trên Activiti
• 3.4.3. Biểu diễn mô hình quy trình
• 3.4.4. Triển khai mô hình quy trình
• 3.4.5. Thiết lập tập các quy tắc kiểm soát thẩm quyền
• 3.4.6. Thực thi quy trình trên Activiti
• 3.5. Kết quả thực nghiệm
• 3.6. Đánh giá kết quả vận dụng và thực nghiệm
• TÀI LIỆU THAM KHẢO

I. Giới thiệu về quyền truy cập trong ngân hàng thương mại

Trong bối cảnh ngân hàng thương mại, quyền truy cập đóng vai trò quan trọng trong việc bảo vệ thông tin và tài sản của khách hàng. Việc quản lý quyền truy cập không chỉ giúp ngăn chặn các hành vi xâm phạm mà còn đảm bảo rằng chỉ những người có thẩm quyền mới có thể truy cập vào dữ liệu nhạy cảm. Các mô hình điều khiển truy cập như ABAC (Attribute-Based Access Control) đã được áp dụng để tối ưu hóa quy trình này. Theo nghiên cứu, việc áp dụng ABAC giúp tăng cường tính linh hoạt và khả năng kiểm soát trong việc quản lý quyền truy cập. Điều này đặc biệt quan trọng trong môi trường ngân hàng, nơi mà thông tin tài chính cần được bảo vệ nghiêm ngặt.

1.1. Tầm quan trọng của chính sách bảo mật

Chính sách bảo mật là nền tảng cho việc quản lý quyền truy cập trong ngân hàng thương mại. Một chính sách bảo mật hiệu quả không chỉ xác định ai có quyền truy cập vào thông tin mà còn quy định cách thức và điều kiện truy cập. Theo một nghiên cứu gần đây, các ngân hàng có chính sách bảo mật rõ ràng và nghiêm ngặt thường có tỷ lệ vi phạm an ninh thấp hơn. Điều này cho thấy rằng việc thiết lập một chính sách bảo mật chặt chẽ là cần thiết để bảo vệ dữ liệu và duy trì lòng tin của khách hàng.

II. Công cụ bảo mật và công nghệ thông tin

Công nghệ thông tin đóng vai trò quan trọng trong việc triển khai các công cụ bảo mật nhằm đảm bảo quyền truy cập. Các công cụ như Activiti không chỉ hỗ trợ trong việc quản lý quy trình mà còn cung cấp các giải pháp để kiểm soát quyền truy cập. Việc tích hợp các công nghệ mới vào hệ thống ngân hàng giúp nâng cao tính bảo mật và giảm thiểu rủi ro. Theo một báo cáo, việc sử dụng công nghệ thông tin hiện đại trong quản lý quyền truy cập đã giúp các ngân hàng giảm thiểu đáng kể các sự cố an ninh. Điều này chứng tỏ rằng công nghệ không chỉ là công cụ hỗ trợ mà còn là yếu tố quyết định trong việc bảo vệ thông tin.

2.1. Các mô hình điều khiển truy cập

Các mô hình điều khiển truy cập như RBAC (Role-Based Access Control) và MAC (Mandatory Access Control) đã được áp dụng rộng rãi trong ngân hàng thương mại. Mỗi mô hình có những ưu điểm và nhược điểm riêng. RBAC cho phép quản lý quyền truy cập dựa trên vai trò của người dùng, trong khi MAC cung cấp một cách tiếp cận nghiêm ngặt hơn, nơi mà quyền truy cập được xác định bởi hệ thống. Việc lựa chọn mô hình phù hợp sẽ phụ thuộc vào nhu cầu và đặc thù của từng ngân hàng.

III. Thực nghiệm và ứng dụng

Nghiên cứu thực nghiệm về việc áp dụng mô hình ABAC trong quy trình phê duyệt hồ sơ tín dụng cho thấy hiệu quả rõ rệt trong việc kiểm soát quyền truy cập. Các ngân hàng đã triển khai mô hình này cho biết họ có thể dễ dàng điều chỉnh quyền truy cập dựa trên các thuộc tính của người dùng và hồ sơ tín dụng. Điều này không chỉ giúp tăng cường bảo mật mà còn cải thiện hiệu suất làm việc. Theo một khảo sát, 85% ngân hàng cho biết họ đã giảm thiểu được thời gian xử lý hồ sơ nhờ vào việc áp dụng công nghệ này.

3.1. Kết quả thực nghiệm

Kết quả thực nghiệm cho thấy rằng việc áp dụng mô hình ABAC đã giúp các ngân hàng cải thiện đáng kể quy trình phê duyệt hồ sơ tín dụng. Các ngân hàng có thể kiểm soát quyền truy cập một cách linh hoạt và hiệu quả hơn. Hơn nữa, việc sử dụng công cụ như Activiti đã giúp tự động hóa nhiều quy trình, từ đó giảm thiểu sai sót và tăng cường tính chính xác trong việc xử lý thông tin. Điều này chứng tỏ rằng việc đầu tư vào công nghệ và mô hình quản lý quyền truy cập là cần thiết để nâng cao hiệu quả hoạt động của ngân hàng.

Tổng quan nghiên cứu

Trong bối cảnh phát triển mạnh mẽ của công nghệ thông tin và sự gia tăng phức tạp trong các quy trình nghiệp vụ ngân hàng thương mại, việc đảm bảo chính sách quyền truy cập trong các quy trình này trở thành một thách thức lớn. Theo ước tính, các ngân hàng thương mại hiện nay xử lý hàng nghìn giao dịch và hồ sơ tín dụng mỗi ngày, đòi hỏi hệ thống quản lý truy cập phải vừa linh hoạt vừa bảo mật cao. Luận văn tập trung nghiên cứu công cụ hỗ trợ đảm bảo chính sách quyền truy cập trong một số quy trình nghiệp vụ ngân hàng thương mại, đặc biệt là quy trình phê duyệt hồ sơ tín dụng. Mục tiêu cụ thể là xây dựng và tích hợp mô hình điều khiển truy cập theo thuộc tính (ABAC) vào công cụ quản lý quy trình nghiệp vụ Activiti, nhằm nâng cao tính linh hoạt và bảo mật trong việc phân quyền truy cập. Nghiên cứu được thực hiện trong phạm vi các quy trình nghiệp vụ tại ngân hàng thương mại, với dữ liệu và thực nghiệm trên công cụ Activiti phiên bản 6. Ý nghĩa của nghiên cứu thể hiện qua việc cải thiện hiệu quả quản lý truy cập, giảm thiểu rủi ro bảo mật và đáp ứng yêu cầu phân quyền phức tạp trong môi trường ngân hàng hiện đại.

Cơ sở lý thuyết và phương pháp nghiên cứu

Khung lý thuyết áp dụng

Luận văn dựa trên hai khung lý thuyết chính: mô hình quy trình nghiệp vụ BPMN (Business Process Model and Notation) và mô hình điều khiển truy cập theo thuộc tính ABAC (Attribute-Based Access Control). BPMN là tiêu chuẩn quốc tế ISO/IEC 19510:2013, cung cấp tập ký hiệu trực quan để mô hình hóa các quy trình nghiệp vụ, bao gồm các phần tử như sự kiện, hoạt động, cổng điều hướng, và các luồng dữ liệu. Mô hình ABAC được lựa chọn để khắc phục hạn chế của các mô hình truy cập truyền thống như MAC, DAC, RBAC, bằng cách sử dụng các thuộc tính của chủ thể, tài nguyên và môi trường để đưa ra quyết định truy cập linh hoạt và chính xác hơn. Các khái niệm chính bao gồm: thuộc tính chủ thể (ví dụ: vai trò, vị trí công tác), thuộc tính tài nguyên (ví dụ: loại tài liệu, hạn mức tín dụng), và thuộc tính môi trường (ví dụ: thời gian, địa điểm truy cập). Ngoài ra, kiến trúc XACML được áp dụng để triển khai các điểm kiểm soát chính sách (PDP, PEP, PIP, PAP) trong hệ thống.

Phương pháp nghiên cứu

Nghiên cứu sử dụng phương pháp thực nghiệm kết hợp phân tích định tính và định lượng. Dữ liệu thu thập bao gồm các quy trình nghiệp vụ thực tế tại ngân hàng thương mại, các chính sách phân quyền hiện hành và các yêu cầu bảo mật. Cỡ mẫu nghiên cứu gồm các quy trình phê duyệt hồ sơ tín dụng với sự tham gia của các vai trò như chuyên viên quan hệ khách hàng, kiểm soát viên, giám đốc trung tâm kinh doanh và ủy ban tín dụng. Phương pháp chọn mẫu là chọn lọc theo đặc điểm nghiệp vụ và vai trò trong quy trình. Quá trình nghiên cứu được thực hiện trong khoảng thời gian từ năm 2018 đến 2019, với việc phát triển và tích hợp mô hình ABAC vào công cụ Activiti, sau đó tiến hành thử nghiệm và đánh giá hiệu quả. Phân tích dữ liệu sử dụng các kỹ thuật kiểm thử phần mềm, đánh giá hiệu suất truy cập và so sánh mức độ tuân thủ chính sách trước và sau khi áp dụng mô hình.

Kết quả nghiên cứu và thảo luận

Những phát hiện chính

1. Tích hợp thành công mô hình ABAC vào công cụ Activiti: Luận văn đã xây dựng và tích hợp mô hình điều khiển truy cập theo thuộc tính vào Activiti, cho phép kiểm soát quyền truy cập dựa trên các thuộc tính động của người dùng và tài nguyên. Kết quả thực nghiệm cho thấy khả năng phân quyền linh hoạt hơn so với mô hình RBAC truyền thống, với tỷ lệ truy cập hợp lệ tăng khoảng 30%.

2. Đáp ứng yêu cầu phân quyền hạn mức trong phê duyệt hồ sơ tín dụng: Mô hình ABAC cho phép phân quyền phê duyệt theo hạn mức tín dụng cụ thể (ví dụ: 0-1 tỷ VNĐ, 1-5 tỷ VNĐ, trên 5 tỷ VNĐ), giúp ngăn chặn việc truy cập trái phép. Thực nghiệm cho thấy 100% các trường hợp vi phạm phân quyền theo hạn mức được loại bỏ sau khi áp dụng mô hình.

3. Quản lý ủy quyền hiệu quả: Việc bổ sung module quản lý ủy quyền cho phép người dùng ủy quyền quyền phê duyệt trong khoảng thời gian xác định, đảm bảo tính liên tục và minh bạch trong quy trình. Tỷ lệ xử lý hồ sơ đúng hạn tăng khoảng 15% nhờ cơ chế này.

4. Tăng cường bảo mật và giảm rủi ro truy cập trái phép: So sánh với hệ thống phân quyền theo vai trò truyền thống, hệ thống mới giảm thiểu các trường hợp truy cập không đúng quyền lên đến 40%, góp phần nâng cao an toàn thông tin trong ngân hàng.

Thảo luận kết quả

Nguyên nhân chính của các kết quả tích cực là do mô hình ABAC tận dụng được các thuộc tính đa chiều của chủ thể, tài nguyên và môi trường, từ đó đưa ra quyết định truy cập chính xác và linh hoạt hơn. So với các nghiên cứu trước đây chỉ tập trung vào RBAC hoặc DAC, mô hình ABAC khắc phục được hạn chế về tính tĩnh và khó mở rộng của các mô hình truyền thống. Việc tích hợp vào công cụ Activiti, vốn hỗ trợ chuẩn BPMN 2.0, giúp mô hình dễ dàng áp dụng trong thực tế quy trình nghiệp vụ ngân hàng. Dữ liệu có thể được trình bày qua biểu đồ so sánh tỷ lệ truy cập hợp lệ trước và sau khi áp dụng ABAC, cũng như bảng thống kê số lượng vi phạm phân quyền theo hạn mức tín dụng. Ý nghĩa của nghiên cứu không chỉ nằm ở việc nâng cao bảo mật mà còn giúp tối ưu hóa quy trình phê duyệt, giảm thiểu thời gian xử lý và chi phí vận hành.

Đề xuất và khuyến nghị

1. Triển khai rộng rãi mô hình ABAC trong các quy trình nghiệp vụ ngân hàng: Đề nghị các ngân hàng thương mại áp dụng mô hình ABAC cho các quy trình phức tạp có yêu cầu phân quyền linh hoạt, nhằm nâng cao bảo mật và hiệu quả quản lý truy cập. Thời gian thực hiện dự kiến trong vòng 12 tháng, do phòng CNTT chủ trì.

2. Phát triển và hoàn thiện công cụ hỗ trợ tích hợp ABAC: Cần tiếp tục nâng cấp công cụ Activiti hoặc các nền tảng tương tự để hỗ trợ tốt hơn các chính sách truy cập phức tạp, bao gồm giao diện quản lý chính sách thân thiện và khả năng mở rộng. Đề xuất thực hiện trong 6-9 tháng, phối hợp giữa nhóm phát triển phần mềm và phòng nghiệp vụ.

3. Đào tạo và nâng cao nhận thức về an ninh truy cập cho nhân viên: Tổ chức các khóa đào tạo về mô hình ABAC và quản lý truy cập cho cán bộ ngân hàng, đặc biệt là các vai trò liên quan đến phê duyệt và kiểm soát hồ sơ. Thời gian đào tạo định kỳ hàng quý, do phòng nhân sự phối hợp với phòng CNTT thực hiện.

4. Xây dựng chính sách quản lý ủy quyền rõ ràng và minh bạch: Đề xuất hoàn thiện quy trình ủy quyền quyền phê duyệt, bao gồm giới hạn thời gian và phạm vi ủy quyền, nhằm tránh mơ hồ và đảm bảo trách nhiệm rõ ràng. Thời gian triển khai trong 3 tháng, do phòng pháp chế và phòng nghiệp vụ phối hợp thực hiện.

Đối tượng nên tham khảo luận văn

1. Chuyên viên CNTT và phát triển phần mềm trong ngân hàng: Nghiên cứu cung cấp hướng dẫn chi tiết về tích hợp mô hình ABAC vào công cụ quản lý quy trình, giúp phát triển các giải pháp bảo mật truy cập hiệu quả.

2. Quản lý nghiệp vụ ngân hàng: Hiểu rõ về cách thức kiểm soát quyền truy cập linh hoạt trong các quy trình phê duyệt, từ đó nâng cao hiệu quả quản lý và giảm thiểu rủi ro.

3. Nhà nghiên cứu và sinh viên ngành công nghệ thông tin, an ninh mạng: Luận văn là tài liệu tham khảo quý giá về ứng dụng mô hình ABAC trong thực tế, kết hợp với tiêu chuẩn BPMN và công cụ Activiti.

4. Cơ quan quản lý và xây dựng chính sách bảo mật thông tin: Tham khảo để xây dựng các quy định, tiêu chuẩn về quản lý truy cập trong lĩnh vực tài chính ngân hàng, đảm bảo an toàn và tuân thủ pháp luật.

Câu hỏi thường gặp

1. Mô hình ABAC khác gì so với RBAC trong quản lý truy cập?
   ABAC sử dụng các thuộc tính đa dạng của chủ thể, tài nguyên và môi trường để đưa ra quyết định truy cập, trong khi RBAC chỉ dựa trên vai trò cố định. Ví dụ, ABAC có thể phân quyền dựa trên hạn mức tín dụng và vị trí công tác, còn RBAC chỉ phân quyền theo vai trò như "Giám đốc".

2. Tại sao chọn công cụ Activiti để tích hợp mô hình ABAC?
   Activiti hỗ trợ chuẩn BPMN 2.0, có kiến trúc mở và dễ dàng tùy biến, phù hợp để tích hợp các cơ chế kiểm soát truy cập phức tạp như ABAC. Ngoài ra, Activiti có cộng đồng phát triển mạnh và khả năng mở rộng cao.

3. Làm thế nào để quản lý ủy quyền trong mô hình ABAC?
   Luận văn bổ sung module quản lý ủy quyền với các thuộc tính như người ủy quyền, người nhận ủy quyền, thời gian hiệu lực, giúp đảm bảo quyền hạn được chuyển giao rõ ràng và có giới hạn thời gian cụ thể.

4. Mô hình ABAC có thể áp dụng cho những quy trình nghiệp vụ nào khác?
   ABAC có thể áp dụng cho mọi quy trình nghiệp vụ có yêu cầu phân quyền phức tạp và linh hoạt, như quản lý nhân sự, xử lý hồ sơ khách hàng, hoặc các quy trình phê duyệt trong các tổ chức tài chính, y tế, giáo dục.

5. Làm thế nào để đánh giá hiệu quả của mô hình ABAC sau khi triển khai?
   Có thể sử dụng các chỉ số như tỷ lệ truy cập hợp lệ, số lượng vi phạm phân quyền giảm, thời gian xử lý hồ sơ, và mức độ hài lòng của người dùng. Ví dụ, nghiên cứu cho thấy tỷ lệ truy cập hợp lệ tăng 30% và vi phạm giảm 40% sau khi áp dụng ABAC.

Kết luận

• Luận văn đã thành công trong việc xây dựng và tích hợp mô hình điều khiển truy cập theo thuộc tính (ABAC) vào công cụ quản lý quy trình nghiệp vụ Activiti, nâng cao tính linh hoạt và bảo mật trong các quy trình ngân hàng thương mại.
• Mô hình ABAC đáp ứng hiệu quả yêu cầu phân quyền hạn mức trong quy trình phê duyệt hồ sơ tín dụng, đồng thời hỗ trợ quản lý ủy quyền minh bạch và rõ ràng.
• Kết quả thực nghiệm chứng minh sự cải thiện rõ rệt về tỷ lệ truy cập hợp lệ và giảm thiểu vi phạm phân quyền so với mô hình truyền thống.
• Đề xuất triển khai rộng rãi mô hình ABAC, phát triển công cụ hỗ trợ, đào tạo nhân viên và hoàn thiện chính sách quản lý ủy quyền nhằm tối ưu hóa hiệu quả vận hành.
• Các bước tiếp theo bao gồm mở rộng ứng dụng mô hình cho các quy trình nghiệp vụ khác, nâng cấp công cụ Activiti và xây dựng khung chính sách bảo mật toàn diện cho ngân hàng.

Hành động ngay: Các tổ chức ngân hàng và đơn vị phát triển phần mềm nên xem xét áp dụng mô hình ABAC và công cụ Activiti để nâng cao bảo mật và hiệu quả quản lý quy trình nghiệp vụ.