Luận văn thạc sĩ ussh phân tích tác động của chính sách khcn đối với sự phát triển các sản phẩm an toàn và bảo mật cho hệ thống thông tin điện tử từ trong tiến trình hội nhập quốc tế

Luận văn thạc sĩ ussh phân tích tác động chính sách khcn đến phát triển sản phẩm an toàn, bảo mật cho hệ thống thông tin điện tử trong hội nhập quốc tế.

• Tác giả: Nguyễn Kim Anh
• Người hướng dẫn: TS. Nguyễn Nam Hải
• Trường học: Trường Đại học Khoa học Xã hội và Nhân văn
• Chuyên ngành: Quản lý Khoa học và Công nghệ
• Đề tài: Phân tích tác động của chính sách KH&CN đối với sự phát triển các sản phẩm an toàn và bảo mật cho hệ thống thông tin điện tử trong tiến trình hội nhập quốc tế
• Loại tài liệu: Luận văn thạc sĩ
• Năm xuất bản: 2009
• Địa điểm: Hà Nội

Mục lục chi tiết

• PHẦN MỞ ĐẦU
• Lý do nghiên cứu
• Tổng quan tình hình nghiên cứu
• Mục tiêu nghiên cứu
• Phạm vi nghiên cứu
• Vấn đề nghiên cứu
• Giả thuyết nghiên cứu
• Phương pháp chứng minh luận điểm
• Kết cấu của Luận văn
• 1. CHƯƠNG 1: CƠ SỞ LÝ LUẬN
• 1.1. Hệ thống các khái niệm có liên quan
• 1.1.1. Một số khái niệm cơ bản về an toàn và bảo mật cho Hệ thống thông tin điện tử
• 1.2. Một số điểm đặc trưng đối với sản phẩm AT&BM
• 1.3. Chính sách KH&CN với việc phát triển sản phẩm AT&BM
• 1.4. Kết luận Chương 1
• 2. CHƯƠNG 2: VẤN ĐỀ AT&BM VÀ CÁC TIÊU CHÍ ĐÁNH GIÁ SẢN PHẨM AT&BM
• 2.1. Vấn đề AT&BM hiện nay
• 2.2. Hiện trạng các sản phẩm AT&BM
• 2.3. Nhu cầu phát triển và các tiêu chí đánh giá sản phẩm AT&BM
• 2.3.1. Những lợi ích thu được khi áp dụng sản phẩm AT&BM tin cậy vào HTTT trong nền kinh tế hội nhập ngày một sâu rộng
• 2.3.2. Tìm hiểu thực tế việc triển khai AT&BM tại một số cơ quan và doanh nghiệp trong năm vừa qua
• 2.3.2.1. Đối tượng khảo sát
• 2.3.2.2. Nội dung và phương pháp
• 2.3.2.3. Kết quả thu nhận
• 2.3.2.4. Đánh giá kết quả
• 2.4. Các tiêu chí đánh giá sản phẩm AT&BM trên thế giới
• 2.5. Tiêu chí chung về AT&BM
• 2.6. Hoạt động thừa nhận lẫn nhau về Tiêu chí chung - Tổ chức thừa nhận lẫn nhau về Tiêu chí chung
• 2.7. Kết luận Chương 2
• 3. CHƯƠNG 3: TÁC ĐỘNG CỦA CHÍNH SÁCH KH&CN ĐỐI VỚI SỰ PHÁT TRIỂN SẢN PHẨM AT&BM CHO HTTT TRONG TIẾN TRÌNH HỘI NHẬP QUỐC TẾ
• 3.1. Chính sách KH&CN liên quan tới lĩnh vực AT&BM trong thời gian qua
• 3.1.1. Luật Giao dịch điện tử số 51/2005/QH11 ngày 29/11/2005
• 3.1.2. Luật Công nghệ Thông tin
• 3.1.3. Nghị định số 64/2007/NĐ-CP
• 3.1.4. Nghị định số 90/2008/NĐ-CP
• 3.1.5. Các Nghị định số: 27/2007/NĐ-CP
• 3.1.6. Quyết định số 138/2007/QĐ-TTg
• 3.1.7. Nghị định số 26/2007/NĐ-CP
• 3.1.8. Nghị định số 73/2007/NĐ-CP
• 3.1.9. Các Quyết định số 19/2008/QĐ-BTTTT và 20/2008/QĐ-BTTTT
• 3.1.10. Luật Tiêu chuẩn và Quy chuẩn kỹ thuật
• 3.2. Tác động của chính sách KH&CN đối với sự phát triển sản phẩm AT&BM
• 3.2.1. Chính sách KH&CN làm thay đổi nhận thức về vấn đề AT&BM
• 3.2.2. Chính sách KH&CN thúc đẩy ứng dụng các sản phẩm AT&BM
• 3.2.3. Chính sách KH&CN thúc đẩy nghiên cứu, sản xuất các sản phẩm AT&BM
• 3.2.4. Chính sách KH&CN có tác động đến quá trình phân phối các sản phẩm AT&BM
• 3.3. Xu hướng phát triển của những lĩnh vực áp dụng các sản phẩm AT&BM
• 3.4. Đề xuất các nhóm chính sách KH&CN để phát triển các sản phẩm AT&BM đến năm 2020
• 3.4.1. Ban hành các quy định bắt buộc về AT&BM trong các tổ chức, đặc biệt là các cơ quan Chính phủ
• 3.4.2. Công nhận, tuân theo chuẩn CC và chuẩn bị gia nhập CCRA
• 3.4.3. Xây dựng hệ thống đầy đủ các tiêu chuẩn quốc gia và các quy chuẩn kỹ thuật về AT&BM
• 3.4.4. Xây dựng hệ thống Hạ tầng cơ sở khóa công khai quốc gia
• 3.4.5. Một số chính sách khác
• 3.4.5.1. Nâng cao nhận thức về AT&BM cho nhiều đối tượng khác nhau
• 3.4.5.2. Nâng cao chất lượng đào tạo về lĩnh vực AT&BM
• 3.4.5.3. Nâng cao hiệu quả phòng thí nghiệm trọng điểm an toàn thông tin
• 3.4.5.4. Chuyển giao công nghệ để có thể nhanh chóng chủ động sản xuất được một số loại sản phẩm AT&BM quan trọng trong thời gian ngắn
• 3.5. Kết luận Chương 3
• DANH MỤC TÀI LIỆU THAM KHẢO
• PHẦN PHỤ LỤC
• Phụ lục 1: BẢNG HỎI KHẢO SÁT TÌNH HÌNH AT&BM
• Phụ lục 2: Kết quả Điều tra
• Phụ lục 3: Một số văn bản Quy phạm pháp luật có liên quan

Tóm tắt

I. Tổng quan về tác động của chính sách KH CN đến sản phẩm an toàn

Chính sách khoa học và công nghệ (KH&CN) đóng vai trò quan trọng trong việc phát triển các sản phẩm an toàn và bảo mật. Trong bối cảnh hội nhập quốc tế, việc áp dụng các chính sách này không chỉ giúp nâng cao chất lượng sản phẩm mà còn đảm bảo an toàn thông tin cho hệ thống thông tin điện tử. Các sản phẩm an toàn và bảo mật không chỉ đáp ứng nhu cầu trong nước mà còn có khả năng cạnh tranh trên thị trường quốc tế.

1.1. Khái niệm về chính sách KH CN và sản phẩm an toàn

Chính sách KH&CN được hiểu là hệ thống các quy định, hướng dẫn nhằm thúc đẩy nghiên cứu và phát triển công nghệ. Sản phẩm an toàn và bảo mật là những sản phẩm được thiết kế để bảo vệ thông tin và hệ thống thông tin khỏi các mối đe dọa. Việc hiểu rõ các khái niệm này là cần thiết để đánh giá tác động của chính sách đến sự phát triển sản phẩm.

1.2. Tình hình hiện tại của sản phẩm an toàn và bảo mật

Hiện nay, thị trường sản phẩm an toàn và bảo mật đang phát triển mạnh mẽ. Tuy nhiên, vẫn còn nhiều thách thức trong việc đảm bảo chất lượng và độ tin cậy của các sản phẩm này. Các doanh nghiệp cần phải nỗ lực hơn nữa để đáp ứng các tiêu chuẩn quốc tế và nâng cao nhận thức về an toàn thông tin.

II. Vấn đề và thách thức trong phát triển sản phẩm an toàn

Mặc dù có nhiều chính sách hỗ trợ, nhưng việc phát triển sản phẩm an toàn và bảo mật vẫn gặp phải nhiều thách thức. Các vấn đề như chi phí cao, thiếu hụt nguồn nhân lực chất lượng cao và sự cạnh tranh từ các sản phẩm nhập khẩu là những yếu tố cần được giải quyết.

2.1. Chi phí và nguồn lực trong phát triển sản phẩm

Chi phí cho việc nghiên cứu và phát triển sản phẩm an toàn thường rất cao. Điều này khiến nhiều doanh nghiệp gặp khó khăn trong việc đầu tư vào công nghệ mới. Hơn nữa, nguồn nhân lực chất lượng cao trong lĩnh vực này còn hạn chế, ảnh hưởng đến khả năng cạnh tranh của sản phẩm.

2.2. Cạnh tranh từ sản phẩm nhập khẩu

Sản phẩm an toàn và bảo mật nhập khẩu thường có giá thành thấp hơn và chất lượng tốt hơn. Điều này tạo ra áp lực lớn cho các doanh nghiệp trong nước, yêu cầu họ phải cải thiện chất lượng sản phẩm và dịch vụ để giữ vững thị trường.

III. Phương pháp phát triển sản phẩm an toàn và bảo mật hiệu quả

Để phát triển sản phẩm an toàn và bảo mật, các doanh nghiệp cần áp dụng các phương pháp nghiên cứu và phát triển hiệu quả. Việc hợp tác với các tổ chức nghiên cứu và áp dụng công nghệ mới là rất quan trọng.

3.1. Hợp tác nghiên cứu và phát triển

Hợp tác với các tổ chức nghiên cứu và trường đại học có thể giúp doanh nghiệp tiếp cận công nghệ mới và nâng cao chất lượng sản phẩm. Các chương trình hợp tác này cũng giúp chia sẻ chi phí và rủi ro trong quá trình phát triển sản phẩm.

3.2. Áp dụng công nghệ mới trong sản xuất

Việc áp dụng công nghệ mới không chỉ giúp cải thiện chất lượng sản phẩm mà còn giảm chi phí sản xuất. Các doanh nghiệp cần đầu tư vào công nghệ tự động hóa và trí tuệ nhân tạo để nâng cao hiệu quả sản xuất.

IV. Ứng dụng thực tiễn và kết quả nghiên cứu trong phát triển sản phẩm

Các nghiên cứu cho thấy rằng việc áp dụng chính sách KH&CN đã mang lại nhiều kết quả tích cực trong việc phát triển sản phẩm an toàn và bảo mật. Nhiều doanh nghiệp đã thành công trong việc cải thiện chất lượng sản phẩm và mở rộng thị trường.

4.1. Các doanh nghiệp điển hình trong phát triển sản phẩm

Nhiều doanh nghiệp trong nước đã áp dụng thành công các chính sách KH&CN để phát triển sản phẩm an toàn và bảo mật. Họ đã cải thiện được chất lượng sản phẩm và tăng cường khả năng cạnh tranh trên thị trường quốc tế.

4.2. Kết quả nghiên cứu và ứng dụng thực tiễn

Các nghiên cứu cho thấy rằng việc đầu tư vào phát triển sản phẩm an toàn và bảo mật không chỉ mang lại lợi ích kinh tế mà còn góp phần nâng cao an ninh quốc gia. Điều này cho thấy tầm quan trọng của chính sách KH&CN trong việc phát triển sản phẩm.

V. Kết luận và tương lai của sản phẩm an toàn trong hội nhập quốc tế

Tương lai của sản phẩm an toàn và bảo mật trong bối cảnh hội nhập quốc tế phụ thuộc vào việc cải thiện chính sách KH&CN và nâng cao nhận thức về an toàn thông tin. Các doanh nghiệp cần chủ động hơn trong việc phát triển sản phẩm và ứng dụng công nghệ mới.

5.1. Định hướng phát triển sản phẩm an toàn

Các doanh nghiệp cần xác định rõ định hướng phát triển sản phẩm an toàn và bảo mật, từ đó xây dựng các chiến lược phù hợp để đáp ứng nhu cầu thị trường.

5.2. Tăng cường hợp tác quốc tế trong lĩnh vực an toàn thông tin

Hợp tác quốc tế trong lĩnh vực an toàn thông tin sẽ giúp các doanh nghiệp trong nước tiếp cận công nghệ mới và nâng cao chất lượng sản phẩm. Điều này cũng góp phần nâng cao vị thế của Việt Nam trên thị trường quốc tế.

Nội dung chính

Tổng quan nghiên cứu

Theo báo cáo an ninh mạng của McAfee năm 2008, thiệt hại kinh tế do mất an toàn thông tin trên toàn cầu đã vượt mức 1.000 tỷ USD, phản ánh mức độ nguy hiểm ngày càng leo thang của tội phạm mạng đối với nền kinh tế số. Tại Việt Nam trong cùng năm, thống kê từ Trung tâm An ninh mạng BKIS ghi nhận 33.137 dòng virus máy tính mới xuất hiện, lây nhiễm trên 60 triệu lượt thiết bị và gây thiệt hại ước tính lên tới 30.000 tỷ đồng, tăng gấp 10 lần so với năm 2007. Thực trạng này đặt ra vấn đề nghiên cứu cấp bách: làm thế nào để xây dựng một hành lang pháp lý và cơ chế quản lý khoa học công nghệ đủ mạnh nhằm thúc đẩy nghiên cứu, sản xuất và ứng dụng các sản phẩm an toàn và bảo mật (AT&BM) nội địa, bảo vệ vững chắc hệ thống thông tin điện tử quốc gia trong tiến trình hội nhập quốc tế.

Mục tiêu trọng tâm của nghiên cứu là phân tích đa chiều tác động của hệ thống chính sách khoa học và công nghệ (KH&CN) hiện hành đối với sự phát triển các sản phẩm AT&BM; đồng thời đề xuất hệ thống giải pháp chính sách đồng bộ đến năm 2020. Phạm vi nghiên cứu tập trung vào các hệ thống thông tin phục vụ khu vực kinh tế - xã hội và quản lý nhà nước không thuộc phạm vi bí mật quốc gia tại Việt Nam, dựa trên dữ liệu thực chứng giai đoạn 2000-2008 và tầm nhìn phát triển đến năm 2020. Ý nghĩa nghiên cứu mang tính thực tiễn cao, cung cấp luận cứ khoa học giúp cơ quan quản lý tối ưu hóa tỷ lệ phân bổ ngân sách cho bảo mật (đạt mức chuẩn 10% tổng mức đầu tư công nghệ thông tin) và giảm thiểu trên 70% nguy cơ rò rỉ dữ liệu trước các cuộc tấn công không gian mạng.

Cơ sở lý thuyết và phương pháp nghiên cứu

Khung lý thuyết áp dụng

Nghiên cứu vận dụng lý thuyết chính sách KH&CN của Giáo sư Vũ Cao Đàm và khung hướng dẫn phát triển tiềm lực khoa học của UNESCO, xác định chính sách là tập hợp các biện pháp thể chế hóa do chủ thể quản lý ban hành nhằm tạo động lực và định hướng hoạt động của các tổ chức kinh tế - xã hội. Bên cạnh đó, luận văn áp dụng mô hình tam giác bảo mật CIA kinh điển (Confidentiality - Tính tin cậy, Integrity - Tính toàn vẹn, Availability - Tính sẵn sàng) được tổng hợp bởi Tiến sĩ khoa học Ghegzda D.P Ivasko để lượng hóa mức độ an toàn của hệ thống thông tin.

Khung lý thuyết của luận văn xoay quanh 4 khái niệm cốt lõi:

1. Sản phẩm an toàn và bảo mật: Các giải pháp phần cứng và phần mềm (như Tường lửa - Firewall, Hệ thống phát hiện xâm nhập - IDS, Hệ thống ngăn chặn xâm nhập - IPS, Thiết bị mật mã) tích hợp kỹ thuật chuyên dụng để bảo vệ hệ thống trước hiểm họa mạng.
2. Hạ tầng khóa công khai (PKI): Tập hợp các giải pháp kỹ thuật và pháp lý phục vụ việc quản lý, phân phối chứng chỉ số và chữ ký số.
3. Tiêu chuẩn quản lý an toàn thông tin ISO/IEC 27001:2005: Bộ chuẩn quốc tế cung cấp mô hình thiết lập, vận hành và cải tiến hệ thống quản lý an toàn thông tin.
4. Tiêu chí chung Common Criteria (ISO/IEC 15408): Hệ thống tiêu chuẩn quốc tế gồm 7 mức bảo đảm đánh giá (EAL 1 đến EAL 7) nhằm kiểm định độ tin cậy của sản phẩm AT&BM.

Phương pháp nghiên cứu

Nghiên cứu sử dụng nguồn dữ liệu thứ cấp từ các văn bản quy phạm pháp luật (Luật Giao dịch điện tử số 51/2005/QH11, Luật Công nghệ thông tin số 67/2006/QH11, Nghị định số 26/2007/NĐ-CP, Nghị định số 73/2007/NĐ-CP) kết hợp báo cáo an ninh của VNCERT, Websense và Frost & Sullivan. Nguồn dữ liệu sơ cấp được thu thập thông qua khảo sát thực tế tại 70 cơ quan, đơn vị, bao gồm 05 Trung tâm Tin học cấp Bộ, 15 cơ quan quản lý nhà nước trực thuộc các Sở/Ban/Ngành và 50 doanh nghiệp quy mô lớn có ứng dụng thương mại điện tử.

Phương pháp chọn mẫu có chủ đích kết hợp phân tầng (purposive stratified sampling) được áp dụng nhằm đảm bảo tính đại diện cho các hệ thống thông tin trọng yếu quốc gia. Tác giả sử dụng phương pháp phân tích chính sách định tính kết hợp kỹ thuật phân tích thống kê định lượng và quét mạng an ninh thực nghiệm tại hiện trường. Lý do lựa chọn phương pháp này là nhằm đối chiếu khách quan giữa quy định pháp lý trên văn bản với năng lực thực thi phòng vệ trên thực tế, hạn chế sai số do tính chủ quan của người trả lời bảng hỏi. Toàn bộ tiến trình nghiên cứu và khảo sát thực địa được thực hiện xuyên suốt trong năm 2008, so sánh đối chiếu với các mốc dữ liệu năm 2000 và 2003.

Kết quả nghiên cứu và thảo luận

Những phát hiện chính

Thứ nhất, chính sách KH&CN đã tạo bước chuyển biến mạnh mẽ về nhận thức và tỷ lệ trang bị công cụ bảo vệ nền tảng. Dữ liệu khảo sát thực chứng cho thấy tỷ lệ các tổ chức sử dụng tường lửa (Firewall) đã tăng từ 10% vào năm 2000 lên 70% vào năm 2008. Tỷ lệ máy trạm cá nhân được cài đặt phần mềm diệt virus tăng trưởng vượt bậc từ 40% năm 2000 lên 70% năm 2003 và đạt 100% vào năm 2008. Tương tự, tỷ lệ triển khai giải pháp diệt virus cho hệ thống Mail Server tăng từ 4% năm 2003 lên 94,2% năm 2008.

Thứ hai, việc ứng dụng các giải pháp phòng thủ chuyên sâu và công nghệ xác thực mạnh còn ở mức rất khiêm tốn. Tỷ lệ cơ quan, doanh nghiệp trang bị Hệ thống phát hiện truy nhập trái phép (IDS) năm 2003 chỉ đạt 3%, đến năm 2008 mới tăng lên 35,7%. Đáng chú ý, việc ứng dụng thiết bị Token mật mã để xác thực người dùng chỉ chiếm 7,1% vào năm 2008, dù đã tăng so với mức 1% của năm 2000. Hệ quả là có tới 40% website chứng khoán và 8 trên tổng số 26 cổng thông tin điện tử ngân hàng tại Việt Nam năm 2008 tồn tại lỗ hổng bảo mật nghiêm trọng.

Thứ ba, khoảng cách lớn giữa ban hành quy định và mức độ chuẩn hóa vận hành theo tiêu chuẩn quốc tế. Mặc dù các văn bản pháp luật đã định hình khung thể chế, chỉ có 19,34% đơn vị được khảo sát có kế hoạch áp dụng tiêu chuẩn ISO 27001, trong khi 30,6% hoàn toàn không nhận thức được sự cần thiết của việc chuẩn hóa. Trong đợt diễn tập tấn công thử nghiệm do VNCERT và VNISA phối hợp thực hiện trên hệ thống cổng thông tin cơ quan nhà nước năm 2008, chỉ có 23% đơn vị phát hiện được hệ thống đang bị xâm nhập.

Thảo luận kết quả

Nguyên nhân cốt lõi của tình trạng trên bắt nguồn từ sự đầu tư manh mún, thiếu đồng bộ trong các cơ quan, tổ chức. Nhiều đơn vị chỉ dành khoảng 3% ngân sách CNTT cho công tác AT&BM, cách rất xa so với chuẩn 10% của các nước phát triển. Thêm vào đó, Việt Nam thiếu một hệ thống kiểm định, đánh giá chất lượng sản phẩm AT&BM theo chuẩn quốc tế, dẫn đến việc nhập khẩu tràn lan các thiết bị nước ngoài vốn tiềm ẩn nguy cơ bị cài đặt sẵn cửa sau (backdoor) hoặc thuật toán mã hóa suy yếu.

Các phát hiện nghiên cứu có thể được trực quan hóa thông qua biểu đồ cột so sánh tỷ lệ trang bị công nghệ AT&BM qua 3 mốc thời gian 2000 - 2003 - 2008 và bảng ma trận đánh giá năng lực kiểm soát rủi ro theo các cấp độ EAL của chuẩn Common Criteria. Khi đặt cạnh dự báo của Frost & Sullivan về tốc độ tăng trưởng thị trường AT&BM tại Việt Nam đạt 32%/năm (trong đó dòng sản phẩm IDP tăng trưởng 52,3%/năm), kết quả nghiên cứu chỉ ra sự bất cập sâu sắc: thị trường tăng trưởng nhanh nhưng doanh nghiệp trong nước mới chỉ sản xuất được phần mềm diệt virus đơn giản (như BKAV, CMC), chưa làm chủ được thiết bị phần cứng bảo mật chuyên dụng.

Đề xuất và khuyến nghị

Dựa trên kết quả phân tích tác động chính sách, nghiên cứu đề xuất 4 nhóm giải pháp chiến lược nhằm thúc đẩy phát triển ngành công nghiệp AT&BM Việt Nam giai đoạn đến năm 2020:

1. Ban hành quy định bắt buộc về AT&BM trong hệ thống cơ quan nhà nước: Chính phủ cần chỉ đạo Bộ Thông tin và Truyền thông phối hợp cùng Ban Cơ yếu Chính phủ ban hành thông tư liên tịch quy định bắt buộc trích tối thiểu 10% tổng kinh phí đầu tư các dự án CNTT cho hạng mục an toàn, bảo mật. Thời gian triển khai áp dụng đồng bộ trên toàn quốc từ giai đoạn 2010-2015.

2. Xây dựng hệ thống Tiêu chuẩn quốc gia (TCVN) và Quy chuẩn kỹ thuật (QCVN) về AT&BM: Bộ Khoa học và Công nghệ chủ trì việc chuyển dịch và áp dụng tiêu chuẩn Tiêu chí chung Common Criteria (ISO/IEC 15408) vào hệ thống tiêu chuẩn Việt Nam. Mục tiêu đến năm 2015 ban hành đầy đủ bộ quy chuẩn kỹ thuật bắt buộc đối với tất cả các thiết bị phần cứng, phần mềm an ninh mạng thương mại nhập khẩu và sản xuất trong nước.

3. Thiết lập tổ chức kiểm định quốc gia và gia nhập Thỏa ước CCRA: Nhà nước ưu tiên cấp vốn đầu tư nâng cấp Phòng thí nghiệm trọng điểm an toàn thông tin quốc gia đạt chuẩn quốc tế. Bộ TT&TT xây dựng đề án gia nhập Tổ chức thừa nhận lẫn nhau về Tiêu chí chung (CCRA) với tư cách quốc gia cấp chứng chỉ (CAP) trước năm 2020, tạo điều kiện cho sản phẩm AT&BM Việt Nam xuất khẩu ra thị trường toàn cầu.

4. Phát triển Hạ tầng cơ sở khóa công khai quốc gia (National PKI) và đẩy mạnh chuyển giao công nghệ: Ban Cơ yếu Chính phủ và Bộ TT&TT cấp phép, giám sát chặt chẽ hoạt động của các Tổ chức chứng thực chữ ký số (CA), đồng thời thiết lập chính sách ưu đãi thuế, hỗ trợ vốn nghiên cứu cho các doanh nghiệp công nghệ trong nước tiếp nhận chuyển giao công nghệ mật mã, hướng tới mục tiêu tự chủ sản xuất trên 50% chủng loại thiết bị AT&BM trọng yếu vào năm 2020.

Đối tượng nên tham khảo luận văn

1. Cơ quan quản lý nhà nước và hoạch định chính sách (Bộ KH&CN, Bộ TT&TT, Ban Cơ yếu Chính phủ): Khai thác luận văn làm căn cứ lý luận và cơ sở dữ liệu thực tiễn để xây dựng các văn bản quy phạm pháp luật, hoàn thiện khung tiêu chuẩn kỹ thuật quốc gia về bảo mật thông tin.
2. Lãnh đạo công nghệ thông tin (CIO, CISO) tại các tổ chức công và doanh nghiệp: Áp dụng khung tiêu chuẩn ISO 27001 và mô hình đánh giá rủi ro trong luận văn để quy hoạch kiến trúc bảo mật tổng thể, tối ưu hóa ngân sách đầu tư thiết bị AT&BM.
3. Doanh nghiệp nghiên cứu, sản xuất và phân phối sản phẩm an ninh mạng: Nắm bắt xu hướng tiêu chuẩn hóa Common Criteria (ISO 15408) và định hướng thị trường để thiết kế lộ trình phát triển sản phẩm phần cứng, phần mềm an toàn thông tin đáp ứng tiêu chuẩn kiểm định quốc tế.
4. Giảng viên, nghiên cứu sinh và học viên cao học ngành Quản lý KH&CN, An toàn thông tin: Sử dụng công trình như một tài liệu tham khảo chuẩn mực về phương pháp luận phân tích tác động chính sách và phương pháp điều tra thực chứng hệ thống CNTT tại Việt Nam.

Câu hỏi thường gặp

Tại sao chính sách KH&CN lại giữ vai trò quyết định đối với thị trường sản phẩm an toàn và bảo mật? Sản phẩm an toàn bảo mật là loại hình công nghệ cao mang tính đặc thù và giá thành lớn. Chính sách KH&CN đóng vai trò định hướng tiêu chuẩn kỹ thuật, tạo lập khung pháp lý kiểm định chất lượng và kích cầu thị trường thông qua các quy định bắt buộc về bảo mật trong cơ quan nhà nước, bảo đảm an ninh hệ thống thông tin quốc gia.

Nguy cơ tiềm ẩn lớn nhất khi sử dụng thiết bị an toàn bảo mật nhập khẩu từ nước ngoài là gì? Các cường quốc công nghệ luôn kiểm soát chặt chẽ việc xuất khẩu mật mã. Thiết bị thương mại xuất khẩu thường đi sau công nghệ hiện hành từ 5 đến 7 năm và tiềm ẩn rủi ro bị cài cắm cửa sau (backdoor) hoặc thuật toán mã hóa yếu, khiến dữ liệu nội bộ có thể bị các cơ quan tình báo quốc tế giải mã và khai thác.

Tiêu chí chung Common Criteria (ISO/IEC 15408) đóng vai trò gì trong quản lý sản phẩm bảo mật? Common Criteria cung cấp thước đo quốc tế thống nhất với 7 cấp độ bảo đảm đánh giá (EAL 1 đến EAL 7). Tiêu chuẩn này giúp người mua xác thực độ tin cậy của sản phẩm, giúp nhà sản xuất chuẩn hóa quy trình phát triển và giúp cơ quan quản lý loại bỏ các sản phẩm kém chất lượng trên thị trường.

Thực trạng tỷ lệ phân bổ ngân sách cho bảo mật thông tin tại các cơ quan, doanh nghiệp Việt Nam ra sao? Khảo sát thực tế giai đoạn 2000-2008 cho thấy phần lớn các đơn vị chỉ dành khoảng 3% tổng ngân sách CNTT cho công tác an toàn bảo mật. Con số này quá thấp so với mức khuyến nghị chuẩn 10% của các tổ chức an ninh mạng quốc tế, dẫn đến tình trạng hệ thống phòng thủ bị chắp vá và dễ bị xâm nhập.

Tại sao việc xây dựng Hạ tầng khóa công khai quốc gia (PKI) lại là nhiệm vụ cấp bách đến năm 2020? PKI cung cấp nền tảng xác thực mạnh, tính toàn vẹn và khả năng chống chối bỏ thông qua công nghệ chữ ký số và chứng chỉ số. Đây là điều kiện tiên quyết để triển khai an toàn các dịch vụ công trực tuyến của Chính phủ điện tử và các giao dịch tài chính trong thương mại điện tử, thúc đẩy hội nhập kinh tế quốc tế.

Kết luận

• Luận văn đã hệ thống hóa toàn diện cơ sở lý luận về quản lý chính sách KH&CN và khung đánh giá độ an toàn thông tin theo mô hình CIA, ISO 27001 và ISO 15408.
• Cung cấp bức tranh thực chứng chuẩn xác về thực trạng triển khai AT&BM tại 70 cơ quan, doanh nghiệp Việt Nam, chỉ ra sự tăng trưởng mạnh về sử dụng Firewall (70%) nhưng còn yếu về xác thực Token (7,1%) và chuẩn ISO 27001 (19,34%).
• Phân tích rõ tính hai mặt của việc phụ thuộc vào thiết bị bảo mật nhập ngoại và khẳng định tính cấp thiết của việc tự chủ công nghệ phòng thủ không gian mạng.
• Đề xuất hệ thống 4 nhóm giải pháp chính sách trọng tâm đến năm 2020, nổi bật là việc áp dụng chuẩn Common Criteria và lộ trình gia nhập tổ chức CCRA.
• Đóng góp luận cứ khoa học quan trọng cho việc hoàn thiện thể chế quản lý KH&CN trong lĩnh vực an toàn thông tin phục vụ tiến trình hội nhập kinh tế quốc tế.

Để hiện thực hóa mục tiêu bảo vệ chủ quyền số quốc gia, các cơ quan quản lý, viện nghiên cứu và doanh nghiệp công nghệ cần khẩn trương phối hợp triển khai đồng bộ lộ trình chuẩn hóa tiêu chuẩn kỹ thuật và đầu tư nguồn lực cho phòng thí nghiệm kiểm định trọng điểm. Hãy liên hệ và tham khảo chi tiết toàn văn công trình nghiên cứu để áp dụng các giải pháp quản lý chính sách KH&CN tối ưu vào thực tiễn tổ chức.

Trích đoạn nội dung tài liệu

CHƯƠNG 1. NHỮNG VẤN ĐỀ LÝ LUẬN 1. Hệ thống khái niệm có liên quan 1.1 Một số khái niệm cơ bản về an toàn và bảo mật cho Hệ thống thông tin điện tử Trong lĩnh vực bảo vệ hệ thống thông tin điện tử, người ta thường nhắc tới các thuật ngữ: an ninh thông tin, an toàn thông tin và bảo mật thông tin. An ninh thông tin (Information security): là hoạt động đảm bảo cho người sử dụng thông tin được quyền truy cập đến chỉ những thông tin mà mình được quyền sử dụng [4, tr.

An toàn thông tin (Information safety): là hoạt động bảo đảm cho việc sử dụng thông tin được thông suốt, không bị ngừng trệ, không có sự cố, không bị mất mát [4, tr. Bảo mật thông tin (Information Confidentiality): là hoạt động bảo đảm cho thông tin không bị lộ ra ngoài [4, tr. Ba thuật ngữ trên có thể được sử dụng không tách rời nhau mà bao trùm lên nhau, nhiều khi một thuật ngữ hay hai thuật ngữ kết hợp với nhau được dùng bao hàm cả ba nội dung trên. Trong Luận văn này, khái niệm An toàn và bảo mật thông tin (AT&BM) được dùng với nghĩa cả ba nội dung.

Các khái niệm sẽ trình bày sau đây do Tiến sĩ khoa học Ghegzda D.P Ivasko tổng hợp trong cuốn sách "Các cơ sở an toàn cho HTTT" [6]. Các thuộc tính cơ bản của thông tin - Tính tin cậy (Confidentiality): đảm bảo rằng chỉ những người được phép mới có thể truy nhập vào HTTT. 13 LUAN VAN CHAT LUONG download : add [e-mail] - Tính toàn vẹn (Intergrity): bảo vệ tính chính xác và đầy đủ của thông tin và các phương pháp xử lý thông tin. - Tính sẵn sàng (Availability): đảm bảo rằng những người sử dụng được phép có thể truy nhập vào HTTT khi cần.

AT&BM cho HTTT Gồm các hoạt động quản lý, nghiệp vụ và kỹ thuật đối với HTTT để bảo vệ, khôi phục các hệ thống và nội dung thông tin trước các hiểm hoạ do tự nhiên hoặc con người gây ra, nhằm bảo đảm cho các HTTT thực hiện đúng chức năng, phục vụ đúng đối tượng một cách sẵn sàng, toàn vẹn và tin cậy. Các hiểm hoạ AT&BM đối với HTTT Hiểm hoạ AT&BM được hiểu là các tác động (chủ ý hay ngẫu nhiên) lên HTTT, trực tiếp hay gián tiếp gây nên tổn thất cho hệ thống. Hiểm hoạ ngẫu nhiên là các hiểm hoạ thông thường độc lập với các điều khiển gây phá hỏng tài sản của HTTT, thường liên quan đến các thảm hoạ thiên nhiên, các lỗi phần cứng hay phần mềm có thể dẫn đến các hoạt động không chính xác của HTTT hay sử dụng các ứng dụng không đúng. Hiểm hoạ có chủ ý được xác định khi đối phương (người/nhóm người, thường được gọi là hacker hay tội phạm mạng) sử dụng các kỹ thuật đặc biệt tiếp cận để làm lộ thông tin, nhằm khám phá, sửa đổi trái phép thông tin do Hệ thống quản lý.

Các dạng hiểm hoạ bao gồm: hiểm hoạ phá hoại tính tin cậy của thông tin, hiểm hoạ phá hoại tính toàn vẹn của thông tin và các hiểm hoạ phá hoại khả năng sẵn sàng của hệ thống: - Hiểm hoạ lên tính tin cậy được hiểu như khái niệm “truy nhập trái phép” để làm lộ thông tin. Chống lại các hiểm hoạ này được quan tâm nhiều 14 LUAN VAN CHAT LUONG download : add [e-mail] nhất bởi vì nó trực tiếp liên quan đến nhiệm vụ bảo vệ các bí mật quân sự và nhà nước. - Hiểm hoạ lên tính toàn vẹn xảy ra khi những người không có thẩm quyền tác động lên thông tin được lưu giữ trong Hệ thống hay lên đường truyền làm sai lệch/thay đổi nội dung thông tin. Tính toàn vẹn thông tin có thể bị phá hoại bởi kẻ tội phạm hay là kết quả tác động khách quan từ phía môi trường vận hành.

Hiểm hoạ này đang là vấn đề thời sự nóng hổi nhất. - Hiểm hoạ đe doạ tính sẵn sàng của HTTT phá hoại khả năng làm việc (từ chối dịch vụ) hướng tới việc tạo tình trạng mà khi đó tài nguyên của HTTT trở nên không thể truy nhập được hay giảm khả năng làm việc của nó. Các dạng vi phạm AT&BM Một số dạng vi phạm điển hình (thường được coi là các gian lận trong HTTT) có thể liệt kê như sau: - Truy nhập thông tin bất hợp pháp: Người dùng A gửi qua mạng cho người dùng B một file có chứa thông tin quan trọng được bảo vệ. Người dùng C không có quyền đọc file này nhưng lại có thể theo dõi quá trình truyền dữ liệu và sao chép file trong khi truyền.

- Mạo danh để tạo thông tin giả, thay đổi thông tin, gian lận trong các giao dịch: Người dùng D gửi thông báo cho người dùng E, một người dùng F chặn bắt thông báo, thay đổi nội dung thông báo, sau đó mới chuyển tiếp cho người dùng E với tư cách D. Người dùng E đón nhận thông báo đó như một thông báo hợp pháp. Một trường hợp nữa là thông báo có thể bị chặn bắt hoặc làm trễ nhằm mục đích lấy cắp các thông tin quan trọng. - Ngăn chặn truyền tin giữa các người dùng: là hành động ngăn chặn không cho thông tin được gửi tới đích cần nhận.

15 LUAN VAN CHAT LUONG download : add [e-mail] - Từ chối trách nhiệm đối với thông tin mà người gian lận đã tạo ra, chối bỏ gửi tin, chối bỏ nhận tin Những trường hợp trên chưa phải là tất cả những vi phạm AT&BM mà chỉ minh hoạ một số dạng vi phạm. Nhiệm vụ của AT&BM là làm sao ngăn chặn, phát hiện và loại bỏ được các gian lận trong các HTTT. AT&BM trong một HTTT thường đồng nghĩa với vấn đề an toàn về mặt vật lý (đối với tài sản, bao gồm: thông tin, máy tính và mạng…) và phương thức quản lý (quy trình vận hành, tổ chức quản lý và nhân lực) trong Hệ thống đó. Các vấn đề liên quan tới AT&BM cho HTTT Thông thường khi xem xét vấn đề AT&BM của một HTTT, ta thường xem xét 03 vấn đề sau: tấn công, các kỹ thuật đảm bảo AT&BM và các dịch vụ AT&BM.

- Tấn công (hay còn gọi là thâm nhập trái phép): là một hành động dẫn đến lộ thông tin của một HTTT và thường ở các dạng sau: + Chặn bắt thông tin: Loại tấn công này thực hiện truy nhập bất hợp pháp tới thông tin. Đây là loại tấn công vào tính tin cậy. Đối tượng truy nhập bất hợp pháp có thể là người, chương trình hoặc một máy tính. + Làm gián đoạn hoặc ngắt dòng thông tin: Loại tấn công này làm cho thông tin của hệ thống bị phá huỷ hoặc trở nên không sẵn sàng phục vụ hoặc không sử dụng được.

Đây là loại tấn công vào tính sẵn sàng. + Thay đổi nội dung thông tin: Loại tấn công này thực hiện thay đổi bất hợp pháp nội dung thông tin tức là tấn công vào tính toàn vẹn. + Giả mạo: Loại tấn công này nhằm đưa những thông tin giả mạo vào hệ thống. Tấn công này liên quan đến các vấn đề xác thực thông tin.

16 LUAN VAN CHAT LUONG download : add [e-mail] - Dịch vụ AT&BM: là các dịch vụ nâng cao tính AT&BM cho các HTTT nhằm chống lại các tấn công của tin tặc. Các dịch vụ AT&BM gồm: + Bảo mật: Đảm bảo thông tin trong Hệ thống chỉ được truy nhập bởi những người có thẩm quyền. Dạng truy nhập bao gồm: in, hiển thị và các dạng khám phá thông tin. + Xác thực (Chứng thực): Đảm bảo nguồn gốc và tính đúng đắn của đối tượng cần xác thực.

Để xác thực thì thường sử dụng chữ ký số. + Đảm bảo tính toàn vẹn: Đảm bảo rằng chỉ những đối tượng có thẩm quyền mới có thể thay đổi các tài nguyên của HTTH. Việc thay đổi bao gồm: ghi, thay đổi trạng thái, xóa, tạo, làm trễ hoặc gửi lại các thông tin đã được truyền. + Chống chối bỏ: nhằm ngăn chặn người gửi hoặc người nhận chối bỏ việc đã gửi thông báo và đã nhận thông báo.

Như vậy, khi thông báo đã được gửi, người nhận có thể chứng minh được ai là người đã gửi thông báo. Tương tự, khi thông báo đã được nhận, người gửi có thể chứng minh ai là người đã nhận thông báo. + Kiểm soát truy nhập: Đảm bảo việc truy nhập thông tin được kiểm soát bởi hệ thống. + Sẵn sàng: Đảm bảo sự sẵn sàng phục vụ của các tài nguyên mạng đối với người sử dụng hợp pháp.

- Kỹ thuật đảm bảo AT&BM: Các kỹ thuật được thiết kế để phát hiện, ngăn ngừa hoặc loại bỏ tấn công. Một số kỹ thuật cơ bản ta thường gặp trong các HTTT được thể hiện dưới dạng sau: + Tường lửa (Firewall): là sản phẩm sử dụng để kiểm soát luồng thông tin giữa mạng Intranet và mạng Internet, ngăn chặn việc truy nhập trái phép từ bên ngoài vào mạng nhằm bảo vệ các nguồn thông tin nội bộ. 17 LUAN VAN CHAT LUONG download : add [e-mail] + Sản phẩm phát hiện các truy nhập mạng trái phép (IDS): là sản phẩm nhằm phát hiện các dấu hiệu tấn công hệ thống và thực hiện cảnh báo cho người quản trị hay hệ thống biết về nguy cơ xảy ra tấn công trước khi nó xảy ra. + Sản phẩm ngăn chặn truy nhập trái phép (IPS): là sản phẩm kết hợp giữa IDS và tường lửa, là một hệ thống chủ động, có khả năng phát hiện và ngăn ngừa các truy nhập trái phép, ngăn chặn các cuộc tấn công… từ đó, đưa ra những phản ứng tích cực bảo vệ hệ thống.

+ Sản phẩm diệt Virus và các phần mềm độc hại (spyware, malware): là phần mềm dùng rà soát toàn bộ Hệ thống để phát hiện và loại bỏ các chương trình độc hại cũng như virus trong các mạng máy tính, đồng thời khôi phục và sửa chữa những phần đã bị phá huỷ. Virus và các phần mềm độc hại là một trong những đối tượng nguy hiểm nhất trong các HTTT hiện nay. + Sản phẩm chống thư rác: là sản phẩm nhằm ngăn chặn việc phát tán các thư rác trong các hệ thống thư tín điện tử. + Hệ thống lọc lưu lượng: lọc bỏ virus, spam, spyware hay các trang web có nội dung xấu để bảo vệ người dùng trong mạng + Cập nhật bản vá lỗ hổng: nhiều phần mềm ứng dụng, phần mềm hệ thống khi đưa vào vận hành mới phát hiện ra những điểm yếu (lỗ hổng) mà những điểm mà kẻ tấn công mạng có thể lợi dụng để tấn công.

Khi đó các nhà sản xuất phần mềm phải thiết kế những đoạn chương trình bổ sung để khắc phục những điểm yếu đó. Những đoạn chương trình này được gọi là những miếng vá.