Luận văn: Quản lý rủi ro theo các tiêu chí NFP cho các dịch vụ Web

Tài liệu phân tích và xây dựng mô hình quản lý rủi ro cho dịch vụ Web dựa trên các tiêu chí NFP, tập trung vào yếu tố an toàn và tính chịu lỗi.

• Tác giả: Phạm Văn Đồng
• Người hướng dẫn: TS. Vũ Thị Hương Giang
• Trường học: Trường Đại học Bách Khoa Hà Nội
• Chuyên ngành: Công Nghệ Thông Tin
• Đề tài: Quản Lý Rủi Ro Dịch Vụ Web Theo Các Tiêu Chí Nfp (Non-Functional Property)
• Loại tài liệu: Luận văn thạc sĩ
• Năm xuất bản: 2010
• Địa điểm: Hà Nội

Tóm tắt

I. Khái niệm về Quản lý Rủi ro Dịch vụ Web theo tiêu chí NFP

Quản lý rủi ro dịch vụ Web là một quy trình quan trọng trong phát triển ứng dụng công nghệ thông tin hiện đại. Với sự phát triển vũ bão của các dịch vụ Web, việc giảm thiểu rủi ro khi khai thác các dịch vụ này trở thành vấn đề thiết yếu. Tiêu chí NFP (Non-Functional Property) bao gồm các đặc tính chất lượng dịch vụ như bảo mật, chịu lỗi, độ tin cậy và hiệu năng. Sự kết hợp giữa quản lý rủi ro và các tiêu chí NFP giúp các tổ chức, doanh nghiệp duy trì chất lượng dịch vụ cao nhất. Nghiên cứu về mối quan hệ tương hỗ giữa hai lĩnh vực này chưa được phát triển đầy đủ, do đó việc xây dựng mô hình quản lý rủi ro phù hợp là cần thiết.

1.1. Định nghĩa Quản lý Rủi ro

Quản lý rủi ro là quá trình xác định, phân tích và đánh giá các mối nguy hiểm tiềm ẩn có thể ảnh hưởng đến dịch vụ Web. Quy trình này bao gồm các bước: xác định rủi ro, đánh giá tác động, xác định khả năng xảy ra, và đưa ra các biện pháp giảm thiểu rủi ro phù hợp. Việc tích hợp quản lý rủi ro vào chu kỳ phát triển phần mềm (SDLC) đảm bảo rằng các rủi ro được xem xét từ giai đoạn đầu tiên.

1.2. Tiêu chí NFP trong Dịch vụ Web

Tiêu chí NFP không liên quan đến các chức năng cơ bản mà đến chất lượng thực hiện. Các tiêu chí chính bao gồm: bảo mật (security), chịu lỗi (fault tolerance), độ tin cậy (reliability), và hiệu năng (performance). Mỗi tiêu chí NFP có mức độ ảnh hưởng khác nhau đến rủi ro của dịch vụ Web, yêu cầu các chiến lược quản lý rủi ro cụ thể và phù hợp.

II. Các Mô hình Quản lý Rủi ro cho Dịch vụ Web

Trên thế giới đã có nhiều mô hình quản lý rủi ro được phát triển cho các dịch vụ Web. Các mô hình này giúp các tổ chức xác định, đánh giá và kiểm soát các rủi ro một cách hiệu quả. Mô hình rủi ro cần phải linh hoạt và phù hợp với các đặc tính riêng biệt của từng dịch vụ Web. Việc khảo sát hiện trạng quản lý rủi ro tại các cơ quan, tổ chức và doanh nghiệp Việt Nam cho thấy rằng hầu hết chưa áp dụng các mô hình quản lý rủi ro toàn diện. Đặc biệt, sự thiếu hiểu biết về mối liên hệ giữa các tiêu chí NFP và rủi ro dẫn đến các quyết định quản lý không phù hợp.

2.1. Mô hình Quản lý Rủi ro Tích hợp

Mô hình tích hợp kết hợp quản lý rủi ro vào trong toàn bộ chu kỳ SDLC. Quá trình bao gồm: xác định nguồn rủi ro từ yêu cầu chức năng và phi chức năng, phân tích tác động và xác suất, đánh giá mức độ rủi ro, và lập kế hoạch giảm thiểu. Phương pháp này đảm bảo rủi ro được xem xét liên tục từ thiết kế cho đến triển khai.

2.2. Đánh giá Ảnh hưởng của Tiêu chí NFP

Mỗi tiêu chí NFP ảnh hưởng đến mức độ rủi ro khác nhau. Ví dụ, bảo mật yếu tăng rủi ro về mất dữ liệu, chịu lỗi kém tăng rủi ro về ngừng dịch vụ. Việc đánh giá định lượng ảnh hưởng này giúp xác định ưu tiên quản lý rủi ro và phân bổ tài nguyên hiệu quả hơn cho các biện pháp bảo vệ phù hợp.

III. Các Tiêu chí NFP Chính Bảo mật và Chịu lỗi

Bảo mật và chịu lỗi là hai tiêu chí NFP quan trọng nhất đối với dịch vụ Web. Bảo mật bao gồm các biện pháp bảo vệ dữ liệu, xác thực người dùng, và mã hóa thông tin. Chịu lỗi đề cập đến khả năng hệ thống tiếp tục hoạt động khi gặp sự cố. Cả hai tiêu chí này đều tạo ra những rủi ro riêng biệt và cần các chiến lược quản lý khác nhau. Theo các tiêu chuẩn an toàn quốc tế, việc đánh giá và cải thiện các tiêu chí này là bắt buộc. Các tổ chức cần xây dựng các quy trình rõ ràng để đánh giá mức độ bảo mật và chịu lỗi của dịch vụ Web.

3.1. Tiêu chí Bảo mật trong Quản lý Rủi ro

Bảo mật dịch vụ Web liên quan đến bảo vệ chống lại các mối đe dọa như tấn công hacker, đánh cắp dữ liệu, và truy cập trái phép. Các rủi ro bảo mật bao gồm: lỗ hổng trong code, cấu hình sai, và xác thực yếu. Quản lý rủi ro bảo mật cần bao gồm kiểm tra bảo mật định kỳ, cập nhật patch, và đào tạo nhân viên về ý thức bảo mật.

3.2. Tiêu chí Chịu lỗi trong Quản lý Rủi ro

Chịu lỗi (Fault Tolerance) là khả năng dịch vụ Web hoạt động bình thường dù xảy ra lỗi. Rủi ro chịu lỗi bao gồm: mất kết nối cơ sở dữ liệu, sự cố máy chủ, và vượt tải hệ thống. Các biện pháp quản lý bao gồm: sao lưu dữ liệu, redundancy hệ thống, và kiểm tra khả năng phục hồi.

IV. Ứng dụng Thực tiễn Quản lý Rủi ro NFP tại Việt Nam

Tình hình quản lý rủi ro dịch vụ Web tại các cơ quan, tổ chức và doanh nghiệp Việt Nam cho thấy rằng hầu hết chưa áp dụng các mô hình toàn diện. Các thách thức chính bao gồm: thiếu nhân lực chuyên môn, kiến thức hạn chế về các tiêu chí NFP, và thiếu các công cụ hỗ trợ. Việc xây dựng mô hình quản lý rủi ro phù hợp với tiêu chí an toàn của dịch vụ Web là cần thiết. Các ứng dụng thử nghiệm đã chứng minh tính khả thi của các mô hình này. Tuy nhiên, để triển khai rộng rãi, cần có sự hỗ trợ từ các tổ chức chuyên môn và nâng cao nhận thức của các quản lý trong doanh nghiệp.

4.1. Thực trạng Quản lý Rủi ro tại Việt Nam

Hiện nay, phần lớn các doanh nghiệp Việt Nam chỉ áp dụng các biện pháp quản lý rủi ro cơ bản. Quản lý rủi ro bảo mật thường tập trung vào việc cài đặt tường lửa và phần mềm antivirus. Quản lý chịu lỗi hạn chế chủ yếu ở việc sao lưu dữ liệu thủ công. Thiếu các quy trình hệ thống, kiểm tra định kỳ, và kế hoạch phục hồi sau sự cố. Cần nâng cao nhận thức và đầu tư vào các công cụ quản lý rủi ro hiện đại.

4.2. Hướng phát triển Mô hình Quản lý Rủi ro Toàn diện

Mô hình quản lý rủi ro toàn diện cần kết hợp các tiêu chí NFP, quy trình SDLC, và các tiêu chuẩn quốc tế. Các bước chính: thiết lập chính sách rủi ro, xây dựng quy trình đánh giá, triển khai công cụ tự động hóa, và đào tạo nhân viên. Ứng dụng thử nghiệm và phối hợp với các chuyên gia quốc tế sẽ tăng hiệu quả triển khai.

Trích đoạn nội dung tài liệu

BO GL AO DỤC VÀ ĐÀO TẠO TRƯỜNG PAI HOC BACH KHOA HA NOT LUAN VAN THAC SY KHOA HQC QUAN LY RUIRO THEO CAC TIEU CHi NEP CHO CAC DICH VU WEB NFP (NON-FUNCTIONAL PROPERTY) - AWARE RISK MANAGEMENT FOR WEB SERVICES NGANH: CONG NGHE THONG ‘TIN MA 80: PHAM VAN DONG Người hướng din khoa hoc: TS. VO TH] HUONG GIANG IIA NOI 2010 Quan ly rii ro theo cae tiéu chi NFP cho cdc dich vu Web LOI CAM DOAN Tôi — Phạm Văn Đồng, học viên lớp Cao học CNTT 2007-3009 Trường Dai hoc Bach Khoa Lá Nội cam kết Luận văn tốt nghiệp là công trinh nghiên cửu của bản thân tôi đưới sự hướng dẫn của TS. Vũ Thị Hương Giang, Viện CNTT-LT, Trường Dại học lách Khoa Hà Nội. Các kết quả nêu trong Luận văn tốt nghiệp là trung thực, không sao chép toàn văn của bất ký công trình nào khác.

1Ià Nội, ngây 04, tháng 02, nam 2010 Học viên: Phạm Văn Đồng, Lớp Cao Học CNTT 07-09 Phạm Vân Đồng — Lớp cao hoe CNIT 07-09 —DH Bach Khoa Hà Nội 2 Quan ly ria ro theo cdc tiéu chi NFP cho các dịch vụ Web. LOI CAM ON Tôi xin bày tõ lòng biết ơn sâu sắc tới oô giáo, TS. Vũ Thị Hương Giang, Viện Công Nghệ Thông Tin va Truyền Thông, trường Đại họu Bách Khoa Hà Nội, đã khuyên khích và rất tận tình hướng dẫn tôi trong suốt quá trình thực hiện luận văn. Nhờ sự quan tâm chỉ báo và những ÿ kiến đóng góp quý báu của cỏ, tôi mới có thể hoàn thành luận vẫn mày.

Tôi xữi chân thành câm ơn tập thể các thấy, cô giáo trường Đại học Bách Khoa là Nội nói chung va Viện Công Kghệ Thông Tin và Truyền Thông nói riêng đã tận tỉnh giảng dạy truyền dạt cho tôi những kiến thức, kinh nghiệm quý báu trong suốt những năm học vừa qua. Tôi cũng xin vam ơn các giảng viên đồng nghiệp ở trường đại học Mô - Địa chất đã tạo điều kiệnvẻ thời gian để tôi có thê học tập và hoàn thành luận văn Cuối cùng, tôi xin chân thành cảm em gia đình, người thân đá hết lòng giúp đỡ hỗ trợ về vật chất lần tinh thắn giúp tôi yên tâm học tập và nghiên cửu trong guối. trình học lập va thực hiện luận văn. Phạm Vân Đồng — Lớp cao hoe CNIT 07-09 —DH Bach Khoa Hà Nội 3 Quan ly ria ro theo cdc tiéu chi NFP cho các dịch vụ Web.

Tính cắp thiết của đề tài Quản lý rúi ro là mọt vấn dễ quan trọng trong việc phát triển các ứng dụng về công nghệ thông tín. Với việc phát triển như vũ báo hiện may của công, me Web thủ việc giảm thiêu rũi ro khi khai thác các dich vụ Web là một vẫn để thiết. Bên cạnh dó, việc duy trì các tiêu chỉ mô tả chất lượng dich vu (NEP) như báo mật, chịu lỗi, v. là mật vấn để rất được các nhà cùng cấp địch vụ quan tâm.

'Trên thế giới đã có nhiều nghiên cửu vềquấn lý rủi ro cũng như vẻ các tiểu chi NFP (Non-Funtional Property) cho phan mém noi chung va cho eae dich va nói riêng, Tuy nhiên, hiện chua có một nghiên cửu cụ thể về mối quan hệ tương hỗ giữa hai vẫn đẻ này. lo không đánh gia được mức độ ảnh hướng của các tiêu chí NTP đến mức độ rủi zo khi khai thác cáo dịch vụ Web nên rất khó có thể đưa ra các mô hình quản lý rúi ro phú hợp cho các dịch vụ Web có các tiêu chí NitP khác nhau. Mục đích nghiên cứu Mục địch của luận văn là nghiên cứu quản lý rủi ro theo các tiêu chỉ NEP cho các dịch vụ Web. Trước tiên tư tưởng vá các kỹ thuật dịch vụ Web nói chung, sẽ được đào sâu nghiên cứu lì biểu.

Tiếp theo luận văn sẽ nghiên cứu tiêu chí NIP ctia địch vụ Web là an toàn. Vi mục tiêu là quản lý rủi ro nên luân văn cũng tìm hiểu vẻ các mỏ hình quan ly rid ro, khảo sát tính hình thực tế mả các cơ quan, tổ chứo, doanh nghiệp tại Việt Nam dang gặp phải trong việc quầu lý rủi ro về an toàn và chúu lỗi của địch vu Web. Luận văn sẽ phân tích và đưa ra một mô hình quán lý rúi ro phú hợp với Tiêu chí am toàn của dịch vụ Web, Một ứng dụng thủ nghiệm sẽ được xây dựng để thủ nghiệm tính khả thi của mô hình. Nhiệm vụ nghiên cứu Nghiên cứu về các dịch vụ web: Nghiên cứu về quân lý rúi ro Từn hiểu các tiêu chỉ NFP của các dịch vụ Web : chịu lỗi và an toàn Phân tích đánh giá sự ảnh hưởng của các tiêu chí rên đến việc quân lý rủi +o dỗi với các dịch vụ web «_ Khảo sát hiện trạng quản lý rúiro về an toàn và chịu lỗi của dịch vụ Web tại các cơ quan, tô chức, doanh nghiép tai Viel Nam «Xây dựng mô hình quận lý rủi ro phù hợp và đặi thể nghiêm Phạm Vân Đồng — Lớp cao hoe CNIT 07-09 —DH Bach Khoa Hà Nội 10 Quan ly ria ro theo cdc tiéu chi NFP cho các dịch vụ Web.

DANH MUC CAC BANG Bang 2.1 ‘lich hop quan lý rủi ro vào trong SDLC - 29 Tang 2.2 Các tôn hại do con người - - 37 Bang 2.4 Tiêu chuẩn an toàn. HH nga ni seeeeeseooooi Â2/ Bang 2.5 Xáo định Khả năng xây ra - - - -44 Tăng 2.6 Xác định độ lớn của tác động.7 Mã lrận mứe độ r A? Bang 2.8 Tỷ lệ rũi to và các hành động cân thiết -48 Bảng 4. Sự liên kết giữahệ thông quản ký anton tng anv ay tin quản lý rồi ro an toàn dịch vụ Web. 78 Phạm Vân Đồng — Lớp cao hoe CNIT 07-09 —DH Bach Khoa Hà Nội 8 Quản hý rủi ro theo các tiên chỉ NEP cho cde dich vu Web DANH MỤC CÁC TỪ VIÉT TAT STT | Tir vier tit Giai nghia 1 FT Fault Tolerant 2.— |HTML Hyper Text Markup Language 3 GUI Graphical User Interface 4 NVP N- Version Programming 5 |NEP Non — Functional Property 6 _ | SOAP Simple Object Access Protocol 7 XML eXtensible Markup Language 8.

W3C World Wide Web Consortium 9 WS Web Service Phạm ăn Đẳng ~ Lớp cao học CNTT 07-09— ĐH Bách Khoa Hà Nội Quan ly ria ro theo cdc tiéu chi NFP cho các dịch vụ Web. ‘YONG KEY CHUONG 74 CHUONG 4 Quant)LY RUT RO CHO DICH VII WER THEO TIỂU CHÍ AN TOAN- “4. KnaienoeeTÔ 42 Quy trình quân lý rũ ro an toàn dich vụ Web. - 76 4-3 Thidl lp ngit cinh (Context establishment) 4.1 Nghiên cứu tong thé (Gencral consideration) 4.2 Các tiêu chi co bin.3 Nac din pham vi va cde giới hạn 43.4 Vai trò của lỗ chức đối với quản lý r li T0 an loài hvu Web 81 1 dich vy Web.1 Mô tả về đánhgiá rủi ro an toan dich vu Web.2 Các bước đảnh giả rủi ro, tose 4.3 Xử lý rửi ro an toàn dich vu Web (WS Security Ri Treatment) 90 4.1 Mô tả lỗng quái về xứ lý rải ro.2 Giảm nhẹ rủi ro (Risk Ecdnction).3 Duy tii nii ro (Risk retention).4 Tránh mii ro (Risk avoidance) 4.5 Chuyển đổi rủi ro (Risk Iransfer) 4.6 Chấp nhận rồi ro an loan dich vy Web (WS sccurity risk acceptance).7 Truyền đạt nii ro an toàn dich vu Web (WS security risk comumunication).

95 48 Theo déi và xem lại rửi ro an toàn dich vu Web (WS seourity tisk moitoning and review) 4.2 Theo đấi, xem lại và cải reviewing and improving). TONG KET CIUGNG CHUONG5. XAY MtLING THU NGHIEM CHT XINGTRÌNH QUAN LY RUTRO THỦ NGHIÊM THEO TIBU CHI AN TOAN DOI VỚI CÁC DỊCH VU WEB.1 Khảo sát thực trạng quản lý rửi ro an toàn và chịu lỗi của địch vụ Web tại một số cơ quan, doanh nghiệp ở Việt Nam - 101 $.1 Mục đích khảo sát.2 Nội đụng khảo sắt.3 Kết quả khảo sát.2 Chương trình thử nghiệm quản lý rủi ro địch vụ Web theo tiêu chi an oàn.1 Xác dịnh phạm vi hệ thông wll 5.2 Tài liệu hệ thông, .3 Thang đo đánh giá rủi ro.1 Xác đình tài sản.1 Xác định yêu cầu.26 Buốc 32 Định giá tài sẵn.1 Xác định các môi đe doa và điểm yếu, 118 538 Bước 12 Mức độ xã sa.1 Cac rit ra cia é thong 121 5.1 Tay chọn xử lý rồi ro.2 Lựa chọn mục tiêu kiểm soát và các kiệm soit. 124 Phạm Vân Đồng — Lớp cao hoe CNIT 07-09 —DH Bach Khoa Hà Nội 5 Quan ly ria ro theo cdc tiéu chi NFP cho các dịch vụ Web.

Tính cắp thiết của đề tài Quản lý rúi ro là mọt vấn dễ quan trọng trong việc phát triển các ứng dụng về công nghệ thông tín. Với việc phát triển như vũ báo hiện may của công, me Web thủ việc giảm thiêu rũi ro khi khai thác các dich vụ Web là một vẫn để thiết. Bên cạnh dó, việc duy trì các tiêu chỉ mô tả chất lượng dich vu (NEP) như báo mật, chịu lỗi, v. là mật vấn để rất được các nhà cùng cấp địch vụ quan tâm.

'Trên thế giới đã có nhiều nghiên cửu vềquấn lý rủi ro cũng như vẻ các tiểu chi NFP (Non-Funtional Property) cho phan mém noi chung va cho eae dich va nói riêng, Tuy nhiên, hiện chua có một nghiên cửu cụ thể về mối quan hệ tương hỗ giữa hai vẫn đẻ này. lo không đánh gia được mức độ ảnh hướng của các tiêu chí NTP đến mức độ rủi zo khi khai thác cáo dịch vụ Web nên rất khó có thể đưa ra các mô hình quản lý rúi ro phú hợp cho các dịch vụ Web có các tiêu chí NitP khác nhau. Mục đích nghiên cứu Mục địch của luận văn là nghiên cứu quản lý rủi ro theo các tiêu chỉ NEP cho các dịch vụ Web. Trước tiên tư tưởng vá các kỹ thuật dịch vụ Web nói chung, sẽ được đào sâu nghiên cứu lì biểu.

Tiếp theo luận văn sẽ nghiên cứu tiêu chí NIP ctia địch vụ Web là an toàn. Vi mục tiêu là quản lý rủi ro nên luân văn cũng tìm hiểu vẻ các mỏ hình quan ly rid ro, khảo sát tính hình thực tế mả các cơ quan, tổ chứo, doanh nghiệp tại Việt Nam dang gặp phải trong việc quầu lý rủi ro về an toàn và chúu lỗi của địch vu Web. Luận văn sẽ phân tích và đưa ra một mô hình quán lý rúi ro phú hợp với Tiêu chí am toàn của dịch vụ Web, Một ứng dụng thủ nghiệm sẽ được xây dựng để thủ nghiệm tính khả thi của mô hình.