Giáo trình An toàn và bảo mật thông tin: Phần 1 - PGS.TS. Đàm Gia Mạnh, TS. Nguyễn Thị Hội (Chủ biên)

Giáo trình An toàn và bảo mật thông tin được biên soạn nhằm cung cấp kiến thức về an toàn và bảo mật thông tin theo tiếp cận quản trị rủi ro cho thông tin trong hệ thống thông tin. Giáo trình kết cấu gồm 7 chương và chia thành 2 phần, phần 1 trình bày những nội dung về: tổng quan an toàn và bảo mật thông tin; quy trình đảm bảo an toàn và bảo mật thông tin; các kiểu tấn công và các mối đe dọa đối với an toàn và bảo mật thông tin;... Mời các bạn cùng tham khảo!

Chủ biên:

PGS.TS Đàm Gia Mạnh - TS Nguyễn Thị Hội

TRƯỜNG ĐẠI HỌC THƯƠNG MẠI

THUONGMAI UNIVERSITY

AN TỒN VÀ BẢO MẬT THƠNG TIN

LỜI NÓI ĐẦU

Từ xưa đến nay, thông tin luôn là một loại tài sản quý giá và có vai trò quan trọng đối với mỗi cá nhân, tổ chức, quốc gia Trong bất cứ lĩnh vực hoạt động nào của đời sống xã hội, việc nắm bắt được thông tin một cách nhanh chóng, kịp thời và chính xác có thể giúp cho tổ chức, cá nhân

có thể có được những chiến lược hoạt động đúng đắn, giúp họ có thể đứng vững và phát triển trước những thay đổi thường xuyên của thị trường cũng như đời sống xã hội Với sự phát triển mạnh mẽ của công nghệ thông tin và đặc biệt là của mạng Internet, con người đã có một môi trường thuận lợi để có thể nắm bắt thông tin một cách nhanh chóng cũng như tạo ra khả năng trao đổi thông tin dễ dàng Tuy nhiên, ngoài mang lại những lợi ích

to lớn, mạng Internet còn tiềm ẩn trong nó rất nhiều nguy cơ và những mối hiểm họa Đó chính là sự tấn công vào chính hệ thống thông tin qua mạng Internet với những mục đích không tốt đẹp, gây mất an toàn thông tin, làm ảnh hưởng đến toàn bộ hoạt động của tổ chức, cá nhân và có thể gây tổn hại đến những lợi ích kinh tế cũng như uy tín của tổ chức, cá nhân Sự gia tăng không ngừng và ngày càng tinh vi của các hành động xâm phạm vào thông tin của các cá nhân, tổ chức gây mất sự an toàn của thông tin đang là vấn đề nóng, nan giải luôn rình rập, đe dọa, đặt các chủ thể thông tin trước những cơ hội và thách thức, rủi ro Vì vậy, đảm bảo an toàn và bảo mật thông tin có vai trò quan trọng trong các chiến lược phát triển bền vững của mỗi quốc gia, tổ chức và cá nhân

Giáo trình “An toàn và bảo mật thông tin” này được biên soạn theo

chương trình học phần “An toàn và bảo mật thông tin doanh nghiệp” thuộc

chương trình đào tạo ngành Hệ thống thông tin kinh tế do Hiệu trưởng Trường Đại học Thương mại phê chuẩn ngày 22 tháng 12 năm 2017 và được Hiệu trưởng phê duyệt làm tài liệu chính thức dùng cho giảng dạy, học tập ở Trường Đại học Thương mại Đối tượng phục vụ chính của giáo trình là sinh viên đại học chính quy các chuyên ngành Quản trị Hệ thống thông tin và chuyên ngành Quản trị Thương mại điện tử của Trường Đại

học Thương mại Ngoài ra, giáo trình cũng được dùng cho sinh viên đại học chính quy thuộc các chuyên ngành khác của Trường Đại học Thương mại và có thể có ích cho những ai muốn tìm hiểu và vận dụng các kiến thức về đảm bảo an toàn và bảo mật thông tin trong đời sống, trong hoạt động sản xuất, kinh doanh

Giáo trình gồm 7 chương, trình bày về an toàn và bảo mật thông tin theo tiếp cận quản trị rủi ro cho thông tin trong hệ thống thông tin, bao gồm các nội dung: xác định và nhận dạng các rủi ro, các nguy cơ gây mất

an toàn và bảo mật thông tin; phân tích, đánh giá và đo lường các nguy cơ (bao gồm cả các giải pháp khắc phục hậu quả do rủi ro gây ra); giám sát rủi ro, lựa chọn giải pháp khắc phục hậu quả, thực hiện đảm bảo an toàn và bảo mật thông tin Tuy nhiên, với đối tượng quản trị là thông tin - một dạng “tài nguyên” mặc dù có thể đo lường và đánh giá được nhưng lại là

“phi vật chất”, nên trong quá trình trình bày, có những nội dung của hoạt động quản trị rủi ro được trình bày kết hợp đồng thời, chẳng hạn như nhận dạng và đo lường, nhận dạng và đánh giá, giám sát, Với cách làm này, chúng tôi hy vọng sẽ giúp nâng cao khả năng vận dụng cho người đọc trong thực tiễn hoạt động đảm bảo an toàn và bảo mật thông tin của mình

Để sử dụng được giáo trình này, bạn đọc chỉ cần có kiến thức tối thiểu vể Tin học được giảng dạy ở tất cả các trường đại học

Giáo trình do PGS, TS Đàm Gia Mạnh và TS Nguyễn Thị Hội làm chủ biên, phân công biên soạn như sau: PGS, TS Đàm Gia Mạnh biên soạn các chương 1, 2, 3; TS Nguyễn Thị Hội biên soạn các chương 4, 5,

6, 7 PGS, TS Đàm Gia Mạnh tổng hợp và chỉnh sửa bản thảo

Trong quá trình biên soạn, các tác giả đã tham khảo nhiều tài liệu của các nhà khoa học trong, ngoài nước và cũng đã nhận được những ý kiến đóng góp quí báu của tập thể giảng viên Bộ môn Công nghệ thông tin, của Hội đồng khoa học Khoa Hệ thống thông tin kinh tế và Thương mại điện tử của Trường Đại học Thương mại và một số nhà khoa học trong và ngoài Trường Tập thể tác giả xin chân thành cảm ơn tất cả những người đã nêu trên

Mặc dù các tác giả đã rất cố gắng, giáo trình cũng khó tránh khỏi những hạn chế và thiếu sót trong nội dung và diễn giải Vì vậy, các tác giả mong nhận được ý kiến nhận xét của bạn đọc để tiếp tục hoàn thiện nội dung giáo trình trong những lần xuất bản sau Ý kiến đóng góp xin gửi theo địa chỉ: Bộ môn Công nghệ thông tin, Trường Đại học Thương mại, email: bmcntt@tmu.edu.vn

TẬP THỂ TÁC GIẢ

1.3.2 Tổng quan về rủi ro cho thông tin và quản trị rủi ro

1.3.3 Mối quan hệ giữa quản trị rủi ro cho thông tin và an toàn

Chương 2: QUY TRÌNH ĐẢM BẢO AN TOÀN VÀ BẢO MẬT THÔNG TIN 69

2.1.1 Xác định, nhận dạng các nguy cơ gây mất an toàn và bảo mật thông tin 70 2.1.2 Phân tích, đánh giá các nguy cơ gây mất an toàn và bảo mật thông tin 71

2.2 NHẬN DẠNG CÁC NGUY CƠ GÂY MẤT AN TOÀN VÀ BẢO MẬT THÔNG TIN 73

2.2.3 Phương pháp nhận dạng các nguy cơ gây mất an toàn

2.3 PHÂN TÍCH, ĐÁNH GIÁ CÁC NGUY CƠ GÂY MẤT AN TOÀN

2.3.2 Những vấn đề trong phân tích, đánh giá các nguy cơ gây mất an toàn

Chương 3: CÁC KIỂU TẤN CÔNG VÀ CÁC MỐI ĐE DỌA

3.2.3 Tấn công chủ động 111

3.3 XU HƯỚNG TẤN CÔNG MỚI GÂY MẤT AN TOÀN

4.5 TỔNG KẾT CHƯƠNG 4 172

5.4 XU HƯỚNG CÔNG NGHỆ TRONG ĐẢM BẢO AN TOÀN

6.4 MỘT SỐ BIỆN PHÁP ĐẢM BẢO AN TOÀN CHO NGƯỜI DÙNG

7.4.3 An toàn thông tin cho các website thương mại 297

7.5.2 Các nguy cơ gây mất an toàn thông tin từ phương tiện

7.5.4 Biện pháp đảm bảo an toàn thông tin trên các phương tiện

DANH MỤC TỪ VIẾT TẮT

Tiếng Việt

Agency Network

Mạng lưới cơ quan với các đề án nghiên cứu tiên tiến ATM Automated Teller Machine Máy rút tiền tự động CGI Common Gateway Interface Giao diện cổng chung CSI Customer Satisfaction Index Chỉ số hài lòng của khách

hàng DHCP Dynamic Host Configuration

Protocol

Giao thức cấu hình Host động

DVD Digital Versatile Disc Đĩa đa năng kỹ thuật số

EU European Union Liên minh/Liên hiệp

Châu Âu GCI Graph Computer Interface Giao diện đồ họa máy tính

IP Internet Protocol Giao thức Internet

ISP Internet Service Provider Nhà cung cấp dịch vụ

Internet ISO International Organization for

Standardization

Tổ chức quốc tế về tiêu chuẩn hóa

Từ viết tắt Từ đầy đủ Nghĩa tiếng việt

SAN Storage Area Network Mạng lưu trữ dữ liệu

TCP/IP Transmission Control Protocol/

Internet Protocol

Giao thức điều khiển truyền nhận/ Giao thức liên mạng USB Universal Serial Bus Chuẩn kết nối tuần tự

đa dụng

DANH MỤC BẢNG BIỂU

Bảng 1.1 Danh mục luật liên quan đến an toàn, bảo mật thông tin

Bảng 1.2 Các nghị định và thông tư liên quan đến an toàn,

Bảng 1.3 Các quyết định, chỉ thị, công văn về an toàn,

Bảng 2.1 Minh họa các kiểu đe dọa và biện kiểm soát an toàn 84 Bảng 4.1 Thời gian tìm khoá đối với các khoá

Bảng 4.2 Ví dụ mã hóa Monophabetic dựa trên bảng chữ cái 146 Bảng 4.3 Mã hóa Monophabetic dựa trên chuỗi nhị phân 147 Bảng 4.4 Minh họa mã hóa hàng với K = 4 3 1 2 5 6 7 148 Bảng 4.5 Minh họa mã hóa hàng rào với K=2 149 Bảng 4.6 Minh họa mã hóa cộng tính với K=3 150

Bảng 4.8 Minh họa mã hóa khóa tự động 154 Bảng 4.9 Danh sách các hàm băm thông dụng 171 Bảng 5.1 Minh họa một cách phân loại thông tin và nơi lưu trữ 178 Bảng 5.2 Minh họa cách phân loại thông tin cần lưu trữ 179 Bảng 5.3 So sánh sao lưu và dự phòng thông tin 184 Bảng 6.1 Ứng dụng ISO - 27001 trên thế giới 228 Bảng 7.1 Một số vụ tấn công vào website nổi tiếng

DANH MỤC HÌNH VẼ

Hình 1.1 Các lĩnh vực quan trọng cần ưu tiên đảm bảo an toàn

thông tin mạng và hệ thống thông tin quan trọng

Hình 1.2 Mô hình an toàn và bảo mật thông tin nhiều lớp 33 Hình 1.3 Mô hình truyền thông tin an toàn 38 Hình 1.4 Các nội dung quản trị rủi ro trong hệ thống thông tin 45 Hình 2.1 Quy trình đảm bảo an toàn và bảo mật thông tin 70 Hình 2.2 Quy trình nhận dạng các nguy cơ gây mất an toàn

Hình 2.3 Xác định các lỗ hổng và đánh giá rủi ro 86 Hình 2.4 Quy trình kiểm soát rủi ro 92 Hình 2.5 Các chiến lược kiểm soát rủi ro cho hệ thống thông tin

Hình 3.1 Minh họa các mối đe dọa từ các thiết bị phần cứng 99 Hình 3.2 Kịch bản của một cuộc tấn công 105 Hình 3.3 Nghe trộm thông tin trên đường truyền 108 Hình 3.4 Phân tích lưu lượng thông tin trên đường truyền 111

Hình 3.6 Tấn công từ chối dịch vụ cổ điển 115

Hình 3.8 Tấn công từ chối dịch vụ phản xạ 119 Hình 3.9 Tấn công liên kết chéo XSS 120

Hình 4.1 Mô hình truyền tin có bảo mật cơ bản 136 Hình 4.2 Mô hình hệ mã hóa đối xứng 145

Hình 4.3 Mã hóa cộng tính với bước dịch chuyển bằng 3 150 Hình 4.4 Hình vuông Vigenere dùng để mã hóa và giải mã 153

Hình 4.6 Sơ đồ truyền tin bằng mã hóa khóa công khai 162 Hình 4.7 Cơ chế xác thực bằng hệ mã hóa khóa công khai 163 Hình 5.1 Phần mềm EaseUS Data Recovery Wizard 190 Hình 6.1 Các kiểu dữ liệu phi cấu trúc trong HTTT 211 Hình 6.2: Các thành phần trong hệ thống ISMS 221 Hình 6.3: Các bước triển khai NIST 232 Hình 6.4: Đánh giá tình trạng hiện tại của tổ chức 235 Hình 6.5: Phân biệt người dùng toàn cục và người dùng cục bộ 238 Hình 6.6: Cấu trúc hoạt động của giao thức SSL 243 Hình 6.7 Mô hình giao thức bắt tay 244 Hình 6.8: Cơ chế hoạt động của SET 247

Hình 6.10 Tường lửa với cơ chế lọc gói 255 Hình 7.1 Tạo chữ ký số và kiểm tra chữ ký số 274 Hình 7.2 Sơ đồ sử dụng khoá công khai trong chữ ký số 277 Hình 7.3 Chứng thực số sử dụng khoá công khai 280 Hình 7.4 Chu kỳ sống của chứng thực số 282 Hình 7.5: Các hình thức thanh toán điện tử 284 Hình 7.6: Thẻ tín dụng Visa Card và Master Card 288

Hình 7.9 Số vụ website bị tấn công theo thời gian 298 Hình 7.10 Các phương tiện truyền thông xã hội phổ biến 305

Chương 1 TỔNG QUAN VỀ AN TOÀN

VÀ BẢO MẬT THÔNG TIN

Phần đầu chương trình bày những vấn đề cơ bản về an toàn và bảo mật thông tin trong hệ thống thông tin, bao gồm những khái niệm cơ bản về an toàn và bảo mật thông tin; vai trò, mục tiêu và yêu cầu của an toàn và bảo mật thông tin trong hoạt động của các tổ chức, doanh nghiệp; các

mô hình đảm bảo an toàn và bảo mật thông tin

Trong phần tiếp theo của chương một, trình bày những nội dung chính trong tiếp cận nghiên cứu an toàn và bảo mật thông tin theo góc độ quản trị rủi ro Trên cơ sở tổng quan về rủi ro, về quản trị rủi ro, phần này trình bày những nội dung cơ bản của hoạt động quản trị rủi ro trong hệ thống thông tin Những nội dung đó là: nhận dạng hay xác định rủi ro thường gặp trong hệ thống thông tin; phân tích, đánh giá, đo lường mức

độ ảnh hưởng; xây dựng chiến lược kiểm soát các rủi ro để hạn chế tác động của chúng

Phần cuối của chương một giới thiệu về hành lang pháp lý (các luật, quy định và thông tư) về an toàn và bảo mật thông tin ở Việt Nam và một

số quy định trên thế giới về an ninh thông tin toàn cầu

1.1 GIỚI THIỆU CHUNG VỀ AN TOÀN VÀ BẢO MẬT THÔNG TIN

Trong mục này, giáo trình đề cập đến khái niệm về an toàn và bảo mật thông tin, giới thiệu vài nét về lịch sử phát triển của các hệ thống đảm bảo an toàn thông tin

1.1.1 Khái niệm an toàn và bảo mật thông tin

An toàn và an ninh: Theo từ điển tiếng Việt “An toàn là sự đảm bảo

yên ổn hoàn toàn, không gặp trắc trở, không bị nguy hiểm về tính mạng,

sức khỏe và vật chất” Theo quan điểm của các nhà kinh tế chính trị học

thì “An toàn là sự ổn định, là sự phát triển bền vững, an toàn là tránh được

các thiệt hại về vật chất và con người” Theo quan điểm của nhà tâm lý

học “An toàn là sự thoải mái về tâm lý, sự yên tâm về thể xác, tâm hồn và

tài sản” Như vậy, an toàn là biện pháp hạn chế tối đa và phòng ngừa những

tình huống xấu xảy ra Nói một cách khác, an toàn có nghĩa là được bảo

vệ, không bị xâm phạm bởi người không được phép

Bao trùm lên khái niệm an toàn là khái niệm an ninh Khái niệm an

ninh rộng lớn hơn, có mức độ đặc biệt quan trọng và trên một diện rộng hơn chẳng hạn như an ninh quốc gia, an ninh kinh tế, an ninh quốc phòng còn khái niệm an toàn có mức độ hẹp hơn nằm ở bên trong của khái niệm

an ninh Phải đảm bảo an ninh trước thì mới có đảm bảo an toàn Tuy nhiên, cả hai khái niệm này đều có điểm giống nhau và chung một mục đích là bảo vệ cho con người và tài sản của con người

An toàn thông tin (Information Security) có thể hiểu là có đầy đủ các

điều kiện và các biện pháp cần thiết để đảm bảo cho thông tin tránh khỏi những nguy cơ bị truy cập trái phép, bị sử dụng, làm rò rỉ, làm hỏng, bị chỉnh sửa, bị sao chép, bị xóa bỏ bởi những người không được phép Các nguy cơ này có thể là ngẫu nhiên (do tai nạn, thiên tai, ) hoặc có chủ định (bị phá hoại từ bên ngoài, hoặc chủ định của con người, ) Theo Bách

khoa toàn thư mở thì “An toàn thông tin là hành động ngăn cản, phòng

ngừa sự sử dụng, truy cập, tiết lộ, chia sẻ, phát tán, ghi lại hoặc phá hủy thông tin chưa có sự cho phép”

Liên quan đến khái niệm an toàn thông tin có các khái niệm an toàn

thông tin mạng (cyber security), an toàn máy tính (computer security), đảm bảo thông tin (information assurance) Trong nhiều trường hợp, các

khái niệm này và khái niệm an toàn thông tin (information security) có thể được sử dụng với nghĩa giống nhau Về cơ bản, an toàn thông tin quan tâm đến khía cạnh bí mật, toàn vẹn, sẵn sàng của dữ liệu mà không quan tâm đến hình thức của dữ liệu: điện tử, bản in, hoặc các dạng khác An toàn máy tính tập trung vào việc đảm bảo tính sẵn sàng và hoạt động đúng đắn

của hệ thống máy tính mà không quan tâm đến thông tin được lưu trữ và

xử lý như thế nào, chỉ đảm bảo thông tin tập trung và sẵn sàng cho người dùng trong hệ thống An toàn thông tin mạng là khái niệm mới xuất hiện những năm gần đây khi hệ thống mạng toàn cầu Internet phát triển bùng

nổ, các dịch vụ mạng được tích hợp cùng với các quy trình hoạt động của các tổ chức doanh nghiệp dẫn đến các cuộc tấn công mạng ngày càng lan rộng và đa dạng An toàn thông tin mạng nhằm đảm bảo cho các hoạt động của người dùng cá nhân, các tổ chức đơn vị trong mạng toàn cầu được

an toàn

Một hệ thống thông tin của tổ chức được coi là an toàn khi nó được

bảo vệ nhiều lớp với nhiều mức khác nhau bao gồm: bảo vệ mức vật lý, bảo vệ mức người dùng, bảo vệ các tác vụ, bảo vệ hệ thống truyền thông, bảo vệ hệ thống mạng và bảo vệ sự an toàn của thông tin được lưu trữ, sử dụng và phân phối trong tổ chức

Bảo mật thông tin có thể được hiểu là duy trì tính bí mật, tính toàn

vẹn, toàn diện và tính sẵn sàng cho toàn bộ thông tin Theo Bách khoa toàn thư mở bảo mật thông tin là sự hạn chế khả năng lạm dụng tài nguyên thông tin và tài sản liên quan đến thông tin như các máy tính, thiết bị mạng, thiết bị ngoại vi, các phần mềm của cơ quan hoặc người sở hữu hệ thống

An toàn của một hệ thống thông tin thực chất là sự đảm bảo an ninh ở mức độ chấp nhận được Muốn hệ thống thông tin an toàn thì trước hết phải có sự đảm bảo thông tin trên cơ sở mạng truyền dữ liệu thông suốt Sau chữ an toàn thường có chữ bảo mật để mở rộng khía cạnh đảm bảo bí mật về nội dung thông tin Như vậy, an toàn bảo mật hệ thống thông tin là đảm bảo hoạt động lưu thông và nội dung bí mật cho những thành phần của hệ thống ở mức độ chấp nhận được

Các yếu tố không thể tách rời trong an toàn và bảo mật thông tin là: (1) Tính bí mật: Đảm bảo thông tin đó là duy nhất, chỉ những người được cho phép mới được tiếp cận đến;

(2) Tính toàn vẹn: Đảm bảo sự hoàn chỉnh, toàn diện của thông tin;

(3) Tính chính xác: Thông tin đưa ra phải chính xác, đầy đủ, không được sai lệch hay không được vi phạm bản quyền nội dung;

(4) Tính sẵn sàng: Thông tin luôn phải sẵn sàng, có thể được cung cấp ở bất cứ đâu, bất cứ khi nào khi có yêu cầu

Việc bảo vệ thông tin trong hệ thống thông tin của tổ chức có thể được thực hiện bằng các thiết bị phần cứng (các hệ thống backup dữ liệu, ) hay các chương trình phần mềm (trình diệt virus, các chương trình

mã hóa, ) Trong môi trường mạng toàn cầu như hiện nay, việc đảm bảo

an toàn thông tin gặp khó khăn hơn rất nhiều Trước đây, dữ liệu chỉ được lưu trữ trong một máy tính cá nhân độc lập, việc bảo mật thông tin được thực hiện dễ dàng bằng cách sử dụng các biện pháp phần cứng (niêm phong các ổ mềm, ổ CD) hay các trình bảo vệ dữ liệu cục bộ đơn giản Nhưng giờ đây, dữ liệu không đơn thuần nằm trong một máy tính riêng biệt nữa mà được chia sẻ trên mạng cho nhiều người sử dụng cùng lúc, điều này giúp việc trao đổi thông tin ngày càng thuận lợi hơn nhưng cũng gia tăng các nguy cơ bị tấn công cho các hệ thống thông tin của các tổ chức, doanh nghiệp Các kẻ tấn công không cần phải trực tiếp tác động lên máy tính của nạn nhân, thậm chí cũng không cần biết chiếc máy tính đó như thế nào

mà vẫn có thể xâm nhập vào nó, thay đổi, sao chép, xóa bỏ thông tin của nạn nhân Vì vậy, người đảm bảo an toàn thông tin cho các hệ thống thông tin phải luôn luôn cập nhật các kiến thức bảo mật mới có thể thích nghi được với tình trạng tấn công dữ liệu ngày càng gia tăng như hiện nay Như vậy, có thể hiểu: Thông tin trong một hệ thống thông tin là an toàn khi các khiếm khuyết không thể làm cho hoạt động chủ yếu của hệ thống thông tin bị ngừng hẳn và các sự cố xảy ra sẽ được khắc phục kịp thời mà không gây thiệt hại đến mức độ nguy hiểm cho chủ sở hữu Thông tin trong một hệ thống thông tin được coi là bảo mật nếu tính riêng tư của nội dung thông tin được đảm bảo theo đúng các tiêu chí trong một thời gian xác định

Trong hệ thống thông tin, hai yếu tố an toàn và bảo mật đều rất quan trọng và gắn bó với nhau: hệ thống mất an toàn thì không bảo mật và ngược

lại hệ thống không bảo mật thì mất an toàn Tuy nhiên, nếu phân tích theo

mô hình OSI (mô hình tham chiếu các hệ thống mở) thì sự an toàn của hệ thống thông tin được thực hiện chủ yếu ở các tầng dưới, còn việc bảo mật nội dung thông tin được thực hiện ở các tầng trên

1.1.2 Lịch sử phát triển của an toàn và bảo mật thông tin

Lịch sử về an toàn thông tin gắn liền với an toàn máy tính Trong chiến tranh thế giới, các hệ thống máy tính cần đảm bảo an toàn về tính bí mật của vị trí cất giữ, an toàn cho phần cứng, phần mềm tránh khỏi các mối đe dọa từ chiến tranh nên đã có nhiều biện pháp được thực hiện nhằm đảm bảo cho các máy tính vẫn có thể hoạt động tốt trong chiến tranh như cất vào tủ sắt, có cơ chế tài khoản kèm mật khẩu khi truy cập dữ liệu, Những năm 1960 của thế kỷ trước, trong suốt thời kỳ chiến tranh lạnh giữa Mỹ và Liên Xô, các hệ thống bảo mật và phòng tránh bắt đầu ra đời, như hệ thống ARPA (Advanced Research Project Agency - Cơ quan hoạch định nghiên cứu tiên tiến) bắt đầu được thực thi, sau đó đến hệ thống ARPANET (Advanced Research Projects Agency Network)rồi đến các hệ thống ARPANET- Program Plan

Những năm từ 1970 đến 1980, hệ thống ARPANET trở nên phổ biến và được sử dụng rộng rãi Tháng 12 năm 1973 Robert.M (còn gọi Bob Metcalfe) đã phát triển một hệ thống bảo đảm an toàn cho mạng Ethernet với khả năng đảm bảo an toàn cho dữ liệu bằng cách giới hạn người dùng, định danh truy cập, chia quyền truy cập trong tổ chức thành nhiều mức đã đem lại thành công mới cho các giải pháp đảm bảo an toàn thông tin cho các tổ chức, đơn vị Ngoài ra, trong giai đoạn này các nghiên cứu của MIT (Massachusetts Institute of Technology), MULTICS (Multiplexed Information and Computing Service) rồi các hệ thống trên UNIX cũng đưa

ra các giải pháp mới cho các hệ thống thông tin được đảm bảo an toàn Những năm 1990 cho đến những năm cuối của thế kỷ 20, mạng máy tính trở nên phổ biến và cũng tiềm ẩn những nguy cơ mất an toàn thông tin cho người sử dụng, đặc biệt là sự phát triển vượt bậc của mạng toàn cầu Internet, đã đem lại rất nhiều nguy cơ cho người sử dụng chúng

Bởi sự kết nối hàng triệu người dùng kèm theo các dịch vụ như chia sẻ thông tin, gửi nhận thư, truyền nhận tập tin, đã làm tăng các nguy cơ giả mạo, làm hỏng hóc cũng như các nguy cơ tác động trực tiếp lên dữ liệu của người dùng Do đó, đòi hỏi các nhà nghiên cứu phải đưa ra các chiến lược và giải pháp an toàn thông tin đa dạng hơn

Từ năm 2000 cho đến nay, đặc biệt là từ cuối những năm 2000, các khái niệm về an toàn thông tin, an toàn máy tính, được thay bằng khái niệm an ninh mạng (cyber security) bởi vào giai đoạn này sự phát triển bùng nổ của công nghệ thông tin và các hệ thống mạng con kết nối với mạng Internet làm gia tăng các cuộc tấn công trên mạng, gây ra sự mất an toàn thông tin Các hệ thống lưu trữ thông tin cũng dần được đẩy lên các đám mây cùng các dịch vụ cho thuê kho lưu trữ ngày càng phát triển và phổ biến làm nguy cơ mất an toàn cho dữ liệu ngày càng cao Các hệ thống truyền thông xã hội bùng nổ kèm theo các dịch vụ truyền thông phát triển cũng làm tăng nguy cơ đối với người dùng, thêm nữa, các hệ thống thông tin của các tổ chức doanh nghiệp ngày mở rộng và thâm nhập vào hầu hết các tác vụ trong hoạt động của tổ chức làm nguy cơ mất an toàn của các

hệ thống thông tin ngày càng cao

1.1.3 Vai trò của an toàn và bảo mật thông tin

Không giống như các chương trình phần mềm hay các hệ thống ứng dụng khác, các hệ thống đảm bảo an toàn thông tin cho tổ chức có nhiệm vụ chính là đảm bảo rằng hệ thống thông tin và các nội dung của chúng đều hoạt động tốt, không có sai sót hay hỏng hóc Về cơ bản, các hệ thống đảm bảo an toàn thông tin cho các đơn vị tổ chức có bốn vai trò chính sau đây:

Thứ nhất, bảo vệ chức năng hoạt động của tổ chức: Bao gồm cả khía

cạnh quản lý nói chung và quản lý CNTT nói riêng đều chịu trách nhiệm thực thi các biện pháp an ninh thông tin để bảo vệ khả năng hoạt động của

tổ chức không bị sai sót hay hỏng hóc Các tổ chức quan tâm đến các biện pháp an ninh thông tin có ảnh hưởng đối với các hoạt động kinh doanh cũng như tăng thêm chi phí gây nên các gián đoạn trong hoạt động kinh

doanh hay không, chứ không phải là chỉ đơn thuần lựa chọn một biện pháp nhằm thiết lập một kỹ thuật nào đó để đảm bảo an ninh thông tin Nghĩa là các hệ thống đảm bảo an toàn thông tin phải làm sao để nó trong suốt với các hoạt động kinh doanh của tổ chức, hoặc làm cho các hoạt động được dễ dàng thuận tiện chứ không phải đảm bảo an ninh mà ảnh hưởng nhiều đến kết quả hoạt động kinh doanh của tổ chức

Thứ hai, tạo môi trường thuận lợi cho các ứng dụng trong tổ chức thực thi an toàn Các tổ chức ngày nay đang chịu áp lực rất lớn trong thực

thi và vận hành các ứng dụng tích hợp, vì vậy, các hệ thống đảm bảo an toàn thông tin cần tạo ra một môi trường thuận lợi trong đó các biện pháp bảo vệ các ứng dụng phải được thực hiện một cách trong suốt

Thứ ba, bảo vệ dữ liệu mà tổ chức thu thập và sử dụng Nếu không

có dữ liệu thì các tổ chức không thể có các giao dịch và/hoặc không có khả năng mang lại giá trị cho khách hàng, vì vậy, mỗi tổ chức, doanh nghiệp đều mong muốn có các hệ thống thông tin có thể đáp ứng được các dịch vụ kết nối với khách hàng, đưa ra nhiều dịch vụ cũng như có khả năng đáp ứng các yêu cầu dựa vào hệ thống thông tin của họ Vì vậy, bảo vệ dữ liệu trong các hoạt động và lưu trữ chúng an toàn để sử dụng cho các lần sau

là khía cạnh quan trọng của an toàn thông tin Một hệ thống bảo mật thông tin hiệu quả sẽ thực hiện chức năng bảo vệ sự toàn vẹn và giá trị của dữ liệu trong tổ chức, doanh nghiệp

Thứ tư, bảo vệ các tài sản có tính công nghệ trong các tổ chức Để

thực hiện các hoạt động sản xuất, kinh doanh đạt hiệu quả, các tổ chức phải sử dụng các dịch vụ cơ sở hạ tầng an toàn phù hợp với quy mô và phạm vi của tổ chức mình Ví dụ, sử dụng các phần mềm diệt virus, các hệ thống tường lửa, các dịch vụ kiểm soát truy cập trái phép, các dịch vụ lưu trữ dữ liệu an toàn, các dịch vụ e-mail, các dịch vụ cung cấp gửi và nhận tệp tin, đảm bảo hoạt động an toàn Vì vậy, hệ thống đảm bảo an toàn thông tin phải đảm bảo sao cho các tài sản mang tính công nghệ trong các

tổ chức hoạt động đúng và không bị hỏng hóc

Hộp 1.1 An toàn và bảo mật thông tin được xem là nhiệm vụ rất quan trọng trong các chiến lược nhằm đưa đến một kế hoạch phát triển bền vững cho

mỗi cá nhân, tổ chức và quốc gia

Theo thống kê của AV-Test (https://www.av-test.org, 2019) trong năm 2018 có 137,5 triệu mã độc mới đã xuất hiện và ba tháng đầu năm 2019 đã xuất hiện thêm 24,55 triệu mã độc mới Còn theo Imperva 2019 Cyber Threat Defense Report, trong

6 tháng đầu năm 2019 có 78% các cuộc tấn công an ninh mạng vào các tổ chức thành công, nghĩa là hơn hai phần ba các cuộc tấn công vào các hệ thống mạng diễn ra đã thành công Xu hướng tấn công an ninh mạng ngày càng đa dạng, từ các hệ thống ATM đến các mạng xã hội và các hệ thống gửi nhận thư điện tử; Từ các hệ thống mạng doanh nghiệp đến các thiết bị sử dụng cá nhân như máy tính cá nhân, điện thoại di động thông minh hay các thiết bị gia dụng trong các hệ thống vạn vật kết nối (Internet of Things - IoT), Điều đó cho thấy rằng, an toàn thông tin là một vấn đề luôn luôn nóng bỏng đối với tất cả các quốc gia trên thế giới

Ở Việt Nam, theo quyết định của Thủ tướng Chính phủ số 632/QĐ-TTg ban hành ngày 10/05/2017 thì Việt Nam hiện nay đang tập trung ưu tiên đảm bảo an toàn thông tin vào 11 lĩnh vực sau (Hình 1.1):

Hình 1.1 Các lĩnh vực quan trọng cần ưu tiên đảm bảo an toàn thông tin mạng và hệ thống thông tin quan trọng quốc gia của Việt Nam

(Nguồn: Cục An toàn thông tin, 12-2017)

1.2 MỤC TIÊU VÀ YÊU CẦU CỦA AN TOÀN VÀ BẢO MẬT THÔNG TIN

1.2.1 Mục tiêu của an toàn và bảo mật thông tin

Đảm bảo an toàn và bảo mật thông tin cho một hệ thống thông tin trong tổ chức, doanh nghiệp nhằm đạt được những mục tiêu cụ thể sau: (1) Phát hiện các lỗ hổng của hệ thống thông tin cũng như dự đoán trước những nguy cơ tấn công vào thông tin của tổ chức, doanh nghiệp gây mất an toàn thông tin

(2) Ngăn chặn những hành động gây mất an toàn thông tin và bảo mật thông tin từ bên trong cũng như bên ngoài tổ chức, doanh nghiệp (3) Phục hồi kịp thời các tổn thất của tổ chức, doanh nghiệp trong trường hợp hệ thống thông tin bị tấn công gây mất an toàn và bảo mật

thông tin, nhằm đưa hệ thống thông tin trở lại hoạt động bình thường trong thời gian sớm nhất

Hai nguyên tắc quan trọng trong việc thiết kế và đánh giá các hệ thống đảm bảo an toàn và bảo mật thông tin là:

(1) Phải tìm đến tất cả các khả năng mà đối tượng phá hoại có thể thâm nhập vào hệ thống thông tin Thông thường, trước khi thâm nhập vào

hệ thống thông tin để gây mất an toàn và bảo mật thông tin, các đối tượng

cố ý phá hoại sẽ tìm mọi cách để thử các khả năng có thể nhằm thâm nhập

để phá hoại các thành phần khác nhau trong hệ thống thông tin của tổ chức Vì vậy, những người làm công việc đảm bảo an toàn thông tin và bảo mật thông tin cho hệ thống thông tin cần đề phòng tất cả những khả năng có thể xảy ra, nhằm hạn chế tối đa những tổn thất cho thông tin trong hệ thống thông tin khi vận hành

(2) Cần đảm bảo tất cả các tài sản của tổ chức phải được bảo vệ đến khi hết giá trị sử dụng Điều này có nghĩa là các thông tin chưa hết hạn sử dụng, các thiết bị công nghệ, các phần mềm, đều cần được bảo vệ cho đến khi chúng bị loại bỏ hoàn toàn khỏi sự vận hành của hệ thống thông tin

1.2.2 Yêu cầu cho an toàn và bảo mật thông tin

An toàn và bảo mật thông tin là một vấn đề phức tạp, liên quan đến nhiều yếu tố khác nhau nhưng về cơ bản cần phải đảm bảo cho thông tin có được các tính chất sau: tính bí mật, tính toàn vẹn, tính sẵn sàng và tính tin cậy của thông tin

Tính bí mật: Trong an toàn và bảo mật thông tin, tính bí mật

(Confidentiality) là yêu cầu mà thông tin của người sử dụng phải được bảo

vệ tránh bị những người không được phép có thể biết được Nói khác đi là phải đảm bảo được rằng: ai là người được phép sử dụng (và sử dụng được) các thông tin (theo sự phân loại bí mật của thông tin) trong hệ thống thông tin của tổ chức, doanh nghiệp

Thông tin đạt được tính bí mật khi nó không bị truy nhập hay sử dụng trái phép bởi những người không sở hữu chúng Trên thực tế, rất

nhiều thông tin cá nhân của người sử dụng đều cần phải đạt được độ bí mật cao chẳng hạn như các thông tin về mã số thẻ tín dụng, số thẻ bảo hiểm xã hội, Vì vậy, có thể nói đảm bảo tính bí mật là yêu cầu quan trọng nhất đối với tính an toàn của một hệ thống thông tin

Tính toàn vẹn: Trong an toàn và bảo mật thông tin, tính toàn vẹn

(Integrity) có nghĩa là thông tin không bị tạo ra, thay đổi hay bị xóa bỏ bởi những người không có quyền sở hữu Tính toàn vẹn đề cập đến khả năng đảm bảo cho các thông tin không bị thay đổi nội dung bằng bất cứ cách nào bởi người không được phép trong quá trình truyền thông

Chính sách toàn vẹn dữ liệu phải đảm bảo: cho ai là người được phép có thể thay đổi thông tin và ai là người không được phép thay đổi thông tin Thông tin trên thực tế có thể bị vi phạm tính toàn vẹn, khi hệ thống thông tin không đạt được độ an toàn cần thiết Chẳng hạn một hệ quản trị

cơ sở dữ liệu xây dựng kém có thể gây mất mát dữ liệu trong trường hợp mất điện đột ngột, gặp sự cố khi truy cập Các hành động phá hoại nhằm vào hệ thống thông tin cũng có thể gây ra mất tính toàn vẹn của dữ liệu Việc đảm bảo tính toàn vẹn của thông tin bao gồm: Đảm bảo sự toàn vẹn đổi với dữ liệu gốc; Bảo vệ thông tin không bị sửa chữa và phá hoại bởi những người không có thẩm quyền và bảo vệ thông tin không bị những thay đổi không đúng về mặt ngữ nghĩa hay logic

Tính sẵn sàng: Tuy thông tin phải được đảm bảo bí mật và toàn vẹn

nhưng đối với người sử dụng, thông tin phải luôn trong trạng thái sẵn sàng (Availability) Các biện pháp bảo mật thông tin làm cho người sử dụng gặp khó khăn hay không thể thao tác được với thông tin đều không thể được chấp nhận Nói khác đi, các biện pháp đảm bảo an toàn thông tin phải đảm bảo được sự bí mật và toàn vẹn của thông tin nhưng đồng thời cũng phải hạn chế tối đa những khó khăn gây ra cho người sử dụng thông tin thực sự Thông tin và tài nguyên khác của hệ thống thông tin phải luôn ở trong tình trạng sẵn sàng phục vụ bất cứ lúc nào đối với những người dùng

có thẩm quyền sử dụng một cách thuận lợi

Tính tin cậy: Yêu cầu về tính tin cậy (Reliability) của thông tin liên

quan đến khả năng đảm bảo rằng, một mặt, ngoài những người có quyền, không ai có thể xem các thông điệp và truy cập những thông tin có giá trị Mặt khác, nó cũng phải đảm bảo rằng thông tin mà người dùng nhận được là đúng với sự mong muốn của họ, chưa hề bị mất mát hay bị lọt vào tay những người dùng không được phép

Việc đánh giá độ an toàn và bảo mật của thông tin trong một hệ thống thông tin phải xem xét đến tất cả những yếu tố trên, nếu thiếu một trong

số đó thì độ an toàn và bảo mật của hệ thống thông tin được coi là không hoàn thiện hay được đánh giá là chưa đảm bảo

1.2.3 Các nguyên tắc an toàn và bảo mật thông tin

Để đảm bảo cho các hệ thống quản lý an toàn và bảo mật thông tin hoạt động hiệu quả, các nguyên tắc chung được đặt ra bao gồm:

Thứ nhất, giới hạn quyền hạn tối thiểu (Last Privilege) cho người

dùng trong hệ thống thông tin của tổ chức, doanh nghiệp Đây là nguyên tắc cơ bản nhất, theo nguyên tắc này, bất kỳ một đối tượng nào cũng chỉ

có những quyền hạn nhất định đối với tài nguyên trong hệ thống Khi thâm nhập vào hệ thống, mỗi đối tượng chỉ được sử dụng một số tài nguyên nhất định

Thứ hai, cần triển khai mô hình bảo vệ theo chiều sâu (Defence In

Depth) Nguyên tắc này đảm bảo cho hoạt động của hệ thống quản lý an toàn và bảo mật thông tin không phụ thuộc vào một cơ chế an toàn duy nhất nào cho dù cho chúng rất mạnh, mà trong các hệ thống quản lý thông tin cần tạo nhiều cơ chế đảm bảo an toàn để chúng tương hỗ lẫn nhau trong quá trình đảm bảo an toàn và bảo mật thông tin cho hệ thống thông tin

Thứ ba, việc kiểm soát trong hệ thống thông tin phải được thực hiện

theo cơ chế nút thắt (Choke Point) Việc tạo ra một “cửa khẩu” hẹp và chỉ cho phép các thông tin đi vào hoặc đi ra từ hệ thống thông tin của tổ chức, doanh nghiệp bằng một con đường duy nhất Nguyên tắc này tạo một cơ

chế gia tăng độ an toàn và bảo mật và khả năng kiểm soát cho hệ thống thông tin

Thứ tư, thường xuyên phát hiện và gia cố các điểm nối yếu nhất

(Weakest Link) của hệ thống thông tin Đây là nguyên tắc dựa trên luận điểm “Một dây xích có độ bền bằng độ bền tại mắt xích yếu nhất của nó” Trong thực tế, kẻ phá hoại thường tìm những chỗ yếu nhất trong hệ thống

để tấn công, do đó các hệ thống quản lý an toàn và bảo mật thông tin cần phải thường xuyên phát hiện và gia cố các điểm yếu hay mắt xích yếu nhất của hệ thống Thông thường chúng ta chỉ tập trung quan tâm đến kẻ tấn công trên mạng nhiều hơn là để ý đến kẻ tiếp cận trực tiếp vào hệ thống,

do đó an toàn vật lý được coi là điểm yếu nhất trong hệ thống thông tin của tổ chức, doanh nghiệp

Thứ năm, các giải pháp đảm bảo an toàn và bảo mật thông tin phải

mang tính toàn cục (Global solutions): các hệ thống an toàn đòi hỏi phải

có tính toàn cục của các hệ thống cục bộ Nếu có một kẻ nào đó có thể bẻ gãy một cơ chế an toàn thì chúng có thể thành công bằng cách tấn công hệ thống tự do của ai đó và sau đó tấn công hệ thống từ nội bộ bên trong

Cuối cùng là cần đa dạng các biện pháp bảo vệ (Multi-methods) Cần

phải sử dụng nhiều biện pháp bảo vệ khác nhau để đảm bảo an toàn và bảo mật cho thông tin trong hệ thống thông tin Các biện pháp bảo vệ khác nhau một mặt hỗ trợ nhau trong việc bảo vệ, mặt khác, tạo ra một hệ thống bảo vệ dày đặc, nhiều lớp, từ đó tạo ra sự an toàn cao cho hệ thống, nếu không, khi kẻ tấn công vào được một hệ thống thì chúng cũng dễ dàng tấn công vào các hệ thống khác

1.2.4 Các mô hình đảm bảo an toàn và bảo mật thông tin

1.2.4.1 Mô hình theo cấu trúc mạng

Trong thời đại Internet, an toàn và bảo mật thông tin có liên quan mật thiết với an toàn mạng máy tính và an toàn máy tính của chính người

sử dụng Vì vậy, nghiên cứu về an toàn và bảo mật thông tin trong hệ thống thông tin thực chất là nghiên cứu đảm bảo an toàn cho máy tính và đảm

bảo an toàn cho mạng máy tính Mô hình nghiên cứu này được gọi là mô hình an toàn và bảo mật thông tin theo cấu trúc mạng

An toàn máy tính (Computer Security): Đảm bảo an toàn cho máy

tính là đảm bảo an toàn cho các tệp tin, các dạng thông tin chứa trong máy tính An toàn máy tính gắn với việc bảo vệ các tài sản có sẵn trong máy tính không bị truy nhập, sử dụng hoặc phá hủy trái phép Về cơ bản, an toàn máy tính là loại an toàn kỹ thuật (an toàn logic) với việc người kiểm soát máy tính phân quyền (cho phép hoặc không cho phép) người khác đột nhập hoặc sử dụng các thông tin có trong máy tính Thông thường, để bảo

vệ máy tính cá nhân hoặc thông tin trong máy tính cá nhân, chủ sở hữu thường đặt mật khẩu (Password) cho máy tính hoặc cho các tệp tin (trong trường hợp máy tính được phân quyền, chia sẻ cho người khác sử dụng)

An toàn mạng máy tính (Network Security): Khi các máy tính kết nối

với nhau thành mạng máy tính, tài nguyên trên mạng máy tính phong phú, tiện lợi cho các bên sử dụng nhưng cũng đem lại rủi ro cho họ Một kẻ xấu hoặc một đối thủ cạnh tranh có thể truy nhập trái phép vào một (một số) máy trong mạng để phá hủy hoặc điều khiển các máy tính khác, ăn cắp thông tin, điều khiển các thông tin khi truyền trong mạng

Chú ý rằng trong an toàn và bảo mật thông tin, không có ranh giới rõ rệt giữa an toàn máy tính và an toàn mạng máy tính

1.2.4.2 Mô hình đảm bảo an toàn và bảo mật thông tin nhiều lớp

Để làm giảm các ảnh hưởng của những thiệt hại do sự mất mát thông tin mang lại đồng thời giúp cho hệ thống thông tin có được sự an toàn cao nhất chúng ta nên tổ chức bảo vệ hệ thống máy tính nói chung và thông tin nói riêng thành nhiều mức khác nhau Làm như vậy, cho dù kẻ gian có thể vượt qua được một mức nào đó thì vẫn còn phải đối mặt với những tầng bảo vệ ở phía sâu bên trong Mô hình xây dựng kiểu này được gọi là mô hình đảm bảo an toàn thông tin nhiều lớp hay bảo mật theo chiều sâu (defense in depth layers)

Theo các tài liệu khác nhau, có mô hình nhiều lớp chia thành bốn mức là mức vật lý, mức mạng, mức hệ điều hành và mức dữ liệu, có mô

hình chia thành bảy mức gồm mức chính sách, mức vật lý, mức người dùng, mức mạng, mức máy chủ, mức ứng dụng và mức dữ liệu Trước đây,

hệ thống bảo mật nhiều lớp thường được quan niệm gồm bốn mức, tuy nhiên, hiện nay do các kịch bản tấn công gây mất an toàn và bảo mật thông tin ngày càng đa dạng và vai trò của các bộ phận trong mỗi tổ chức đều có

sự quan trọng trong tiến hành triển khai các giải pháp đảm bảo an toàn cho

hệ thống thông tin của tổ chức, nên hệ thống bảo mật nhiều lớp được chia thành bảy mức, được mô tả trong Hình 1.2

(1) Mức chính sách, quy trình và thủ tục: Đây là mức bảo mật được

coi là quan trọng nhất trong các tổ chức, đơn vị hoặc quốc gia Bởi hệ thống chính sách, các quy trình và thủ tục được quy định để thực hiện trong mỗi tổ chức, đơn vị và quốc gia sẽ quyết định xem hệ thống bảo mật trong

tổ chức, đơn vị và quốc gia đó được thực hiện như thế nào? Có ban hành các chính sách gì? Đã ban hành những đạo luật nào? Quy định xử phạt và các vấn đề liên quan khác đến các vấn đề vi phạm trong an toàn và bảo mật thông tin?

Hình 1.2 Mô hình an toàn và bảo mật thông tin nhiều lớp

(Nguồn: Mark Rhodes - Ousley [16])

Dữ liệu (Data)

Ứng dụng (Application)

Máy chủ

(Host)

Mạng nội bộ (Internal network)

Mức ngoài (Perimeter)

Mức vật lý (Physics)

Chính sách, Thủ tục và Nhận thức (Policies, Procedurer Awareness)

(2) Bảo vệ mức vật lý: Đây là mức bảo vệ ngoài cùng của hệ thống

thông tin chống lại sự mất mát, hỏng hóc thông tin Ở mức này, các biện pháp chủ yếu là chống lại những nguy cơ mất mát thông tin qua các thành phần vật lý, như các hỏng hóc về phần cứng hay các biện pháp tấn công trực tiếp qua đường truyền vật lý, các mất mát do các yếu tố vật lý khác gây ra, như thiên tai, kẻ gian đột nhập, Để có một hệ thống bảo vệ mức vật lý tốt cần:

- Đánh giá tốt các khả năng thiên tai có thể xảy ra, đưa ra những dự đoán về những diễn biến bất thường của khí hậu, thời tiết Đặc biệt cần chú ý đến những thiệt hại do hỏa hoạn bởi vì đây là thảm họa không thể

dự đoán trước nhưng lại hoàn toàn có thể phòng tránh một cách hiệu quả

- Đánh giá được mức độ chịu đựng được của hệ thống thông tin trước những sự cố bất ngờ như động đất, cháy nổ, lũ lụt, từ đó đưa ra các phương pháp bảo vệ, sao lưu dữ liệu, thông tin cho phù hợp

- Quản lý chặt chẽ các truy nhập ở mức vật lý vào phần cứng hệ thống như các truy nhập qua đĩa mềm, ổ cứng di động hoặc ổ USB Do các thiết bị này có thể chứa những chương trình độc hại như virus, trojan có thể gây nguy hiểm cho thông tin (mất hoặc bị thay đổi thông tin) Cũng cần có những điều khiển hợp lý cho các truy nhập vật lý như giới hạn khả năng truy nhập vào các thiêt bị vật lý bằng cách sử dụng các phần mềm khóa cứng (hard lock), đồng thời cần có những cơ chế ghi lại vết của những người truy nhập vào hệ thống thông tin và thời điểm truy nhập để dễ dàng trong việc quản lý

- Quản lý tốt hoạt động của các thiết bị cần bảo vệ và thiết bị bảo vệ,

để đảm bảo sự hoạt động một cách ổn định, có những kiểm tra và sửa chữa định kỳ với những thiết bị có khả năng hỏng hóc cao, có biện pháp chống trộm và cảnh bảo hỏa hoạn

(3) Bảo vệ mức người dùng: Đây là mức bảo vệ nhằm hạn chế các

nguy cơ do người dùng hệ thống thông tin gây ra trong quá trình tác nghiệp như các sai sót trong vận hành, truy cập hoặc sao chép, thay đổi, xóa bỏ thông tin của hệ thống Các biện pháp thường được các tổ chức thực hiện

bao gồm phân quyền người dùng, hướng dẫn và đào tạo người dùng, cảnh báo và xử phạt người dùng nếu gây ra các tổn thất đối với hệ thống thông tin của tổ chức, đơn vị

Các câu hỏi thường phải trả lời trong mức bảo vệ này bao gồm: (i) Ai được quyền truy cập vào thông tin, dữ liệu, ứng dụng hay hệ thống này?

(ii) Những lỗi thường xảy ra khi người dùng sử dụng dữ liệu, thông tin, ứng dụng hoặc hệ thống này?

(iii) Người dùng sẽ cần mức cảnh báo, xử phạt thế nào nếu gây nên các tổn thất cho hệ thống thông tin?

(4) Bảo vệ mức mạng: Do hiện nay mạng máy tính là hệ thống truyền

thông không thể thiếu trong các tổ chức, đơn vị, vì vậy, tấn công vào mạng máy tính của các đơn vị, tổ chức ngày càng phổ biến Bảo vệ mức mạng

là sử dụng các phương pháp, phương tiện, công cụ kỹ thuật nhằm hạn chế các nguy cơ gây ảnh hưởng nghiêm trọng đến hoạt động truyền thông tin của mạng máy tính (nhất là các mạng máy tính của các tổ chức, doanh nghiệp) như các hệ thống tường lửa, các hệ thống phát hiện xâm nhập trái phép, các hệ thống phòng chống mã độc, Để hạn chế các nguy cơ cho hệ thống mạng các nhà quản trị an toàn và bảo mật thông tin thường thực hiện các biện pháp:

- Sử dụng các thiết bị phần cứng chuyên dụng để ngăn chặn sự xâm nhập trái phép từ mạng Internet vào máy tính của tổ chức, đơn vị như các thiết bị tường lửa (Firewall), hệ thống phát hiện xâm nhập (IDS),

- Thực hiện các cơ chế quản lý và phân quyền người dùng, các cơ chế xác nhận người dùng trên mạng,

- Sử dụng các giao thức bảo mật trong quá trình truyền thông tin trên mạng, tiến hành mã hóa thông tin trước khi chúng được truyền đi trên mạng để đảm bảo tính bảo mật của thông tin

(5) Bảo vệ mức máy chủ: Mức bảo vệ này được thực hiện trên hệ

thống máy chủ của hệ thống thông tin, bao gồm các hệ thống máy chủ lưu

trữ dữ liệu, máy chủ ứng dụng và máy chủ dịch vụ mạng Các mức bảo vệ được tiến hành chủ yếu là ghi nhận các truy cập, dự đoán và phát hiện các xâm nhập trái phép, bảo vệ dữ liệu và sao lưu chúng nhằm hạn chế bị hỏng hóc, mất mát khi vận hành hệ thống

Ví dụ như tạo và phân quyền người dùng để giới hạn quyền truy cập, kiểm soát các chương trình đang được thực thi trong máy tính đầu cuối, lưu trữ các tập tin Log dùng để theo dõi hoạt động của hệ thống, hoặc dùng các chức năng bảo mật được tích hợp sẵn (các chương trình dò tìm, diệt và ngăn chặn sự lây lan của virus cũng như các phần mềm gián điệp, tường lửa)

(6) Bảo vệ mức ứng dụng: Là mức bảo vệ được thực hiện trên các

ứng dụng hỗ trợ tác nghiệp của hệ thống thông tin như các ứng dụng văn phòng, ứng dụng quản trị cơ sở dữ liệu, ứng dụng tính toán, ứng dụng xử lý, Các mức bảo vệ được tiến hành chủ yếu ở đây là sử dụng cơ chế phân quyền, kiểm soát các truy cập, dự đoán và phát hiện các xâm nhập trái phép, bảo vệ dữ liệu, sử dụng các chức năng sẵn có của ứng dụng hoặc sử dụng các phần mềm bảo mật chuyên dụng cho các ứng dụng được sử dụng trong hệ thống thông tin của tổ chức, doanh nghiệp

(7) Bảo vệ mức dữ liệu: Đây là mức bảo vệ cuối cùng trong hệ thống

thông tin của tổ chức doanh nghiệp là mức bảo vệ dữ liệu Trong mức bảo

vệ này, người sử dụng sẽ quyết định chính sách, quy trình cũng như các phương pháp, phương tiện, công cụ kỹ thuật để bảo mật cho dữ liệu của chính họ Các biện pháp thường được sử dụng là mã hóa dữ liệu, phân quyền người dùng, hoặc thiết lập các cơ chế cảnh báo, sao lưu,

- Mã hóa dữ liệu: Khác với việc mã hoá dữ liệu để truyền đi (trong mạng máy tính), trong mức này, dữ liệu được mã hoá và lưu trữ dưới dạng bản mã mà chỉ có người chủ thực sự mới có thể giải mã ra được, điều này khiến cho kẻ tấn công dù có lấy được dữ liệu cũng rất khó để có thể sử dụng được vào các mục đích phá hoại

- Phân quyền người dùng: Để sử dụng thông tin dữ liệu một cách hiệu quả, đảm bảo an toàn, nên phân ra nhiều loại người sử dụng khác

nhau Việc phân quyền sẽ giúp cho việc quản lý thông tin, dữ liệu dễ dàng hơn trong khi vẫn đảm bảo được việc sử dụng hiệu quả, an toàn

- Thiết lập các cơ chế sao lưu dữ liệu để đảm bảo cho hệ thống thông tin hoạt động một cách ổn định ngay cả khi bị kẻ gian phá hoại hệ thống

Mạng Internet là một môi trường truyền tin không an toàn, trong đó,

dữ liệu hay thông tin truyền đi có thể bị nghe trộm, bị sao chép, bị sửa đổi hoặc xóa bỏ trong quá trình truyền từ máy tính người gửi đến máy tính người nhận Việc bảo vệ bằng biện pháp vật lý cho kênh truyền thông tin thường khó thực hiện hoặc chi phí quá cao, vì vậy, cách duy nhất để ngăn chặn các hình thức tấn công thông tin trong quá trình truyền thông là sử dụng các hình thức mã hóa Mã hóa kênh truyền và mã hóa thông tin được truyền trên mạng, bởi vì mã hóa sẽ khiến cho kẻ tấn công dù có xâm nhập được vào đường truyền, lấy được dữ liệu cũng không thể đọc hay thay đổi nó

Mô hình đảm bảo an toàn trong quá trình truyền dữ liệu trên mạng được thực hiện như trên Hình 1.3 Ở đây, thông tin trước khi được truyền trên kênh truyền thông tin sẽ được mã hóa thành một thông báo an toàn Đối thủ dù có bắt được thông tin ở thông báo cũng khó có thể giải mã để đọc nó Khi thông tin đến đích, nó sẽ được giải mã tại bên đích để trở thành thông báo nguyên bản ban đầu Vấn đề là đảm bảo làm sao bên nhận có thể giải mã được thông báo đó mà đối thủ tấn công lại không thể Với các phương pháp mã hóa đối xứng truyền thống, một khóa chung sẽ được tạo

ra và trao đổi giữa bên gửi và bên nhận qua bên thứ ba đáng tin Còn với các phương pháp mã hóa khóa công khai, hai bên thậm chí còn không cần thiết phải trao đổi khóa với nhau mà vẫn đảm bảo được độ bảo mật của

dữ liệu

Hình 1.2 Mô hình truyền thông tin an toàn

Các yêu cầu cụ thể đảm bảo an toàn và bảo mật thông tin truyền trên mạng máy tính là:

- Thiết kế một giải thuật thích hợp cho việc chuyển đổi liên quan đến

an toàn

- Tạo ra thông tin bí mật (khóa) đi kèm với giải thuật

- Phát triển các phương pháp phân bổ và chia sẻ thông tin bí mật

- Đặc tả một giao thức sử dụng bởi hai bên gửi và nhận dựa trên giải thuật an toàn và thông tin bí mật, làm cơ sở cho một dịch vụ an toàn Kiến trúc truyền thông an toàn phổ biến hiện nay được khuyến nghị theo mô hình mạng bẩy tầng OSI là khuyến nghị X.800 của ITU-T (ISO, 2013) Kiến trúc này đã định ra một phương thức chung cho việc xác định các nhu cầu về an toàn thông tin Kiến trúc này chú trọng đến các dịch vụ

an toàn, các cơ chế an toàn và các hành động tấn công X.800 là một dịch vụ an toàn cung cấp cho tầng giao thức của các hệ thống mở trao đổi thông tin mà vẫn đảm bảo an toàn thông tin cần thiết cho hệ thống và các cuộc truyền dữ liệu

Kiến trúc truyền thông an toàn được sử dụng nữa là RFC 2828 (Man Y.R, 2003) (RFC - Request For Comments - Yêu cầu cho các bình luận-

là tập hợp những tài liệu về những kiến nghị, đề xuất, những nghiên cứu

mới và những bình luận liên quan trực tiếp hoặc gián tiếp đến công nghệ, nghi thức ứng dụng mạng Internet)

Các kỹ thuật mã hóa kênh truyền và mã hóa dữ liệu sẽ được trình bày chi tiết trong các chương sau của giáo trình

1.3 AN TOÀN VÀ BẢO MẬT THÔNG TIN THEO TIẾP CẬN QUẢN TRỊ RỦI RO

1.3.1 Tổng quan về rủi ro và quản trị rủi ro

1.3.1.1 Vài nét về rủi ro

Trong cuộc sống hàng ngày có những tình huống xảy ra ngoài dự kiến đến với con người và đối với mỗi người Nếu đó là tình huống có tác động tích cực người ta gọi đó là may mắn (hay cơ hội), còn nếu nó tác động tiêu cực người ta gọi đó là không may mắn (hay rủi ro) Rủi ro là một thuật ngữ được mọi người dùng một cách phổ biến trong cuộc sống thường ngày Vì vậy, có khá nhiều quan điểm khác nhau để tiếp cận khái

niệm về rủi ro (Trần Hùng, 2017) Trong giáo trình này, rủi ro được hiểu

là một biến cố không chắc chắn mà nếu xảy ra thì sẽ gây tổn thất cho con

người hoặc tổ chức nào đó

Trong thực tế, khi nói đến rủi ro thường nói đến tổn thất Tổn thất ở

đây có thể là những thiệt hại, mất mát về tài sản, cũng có thể là mất cơ hội có thể được hưởng về tinh thần, thể chất Rủi ro và tổn thất là 2 phạm trù khác nhau nhưng lại có quan hệ chặt chẽ với nhau: rủi ro là nguyên nhân, tổn thất là hậu quả Bất cứ rủi ro nào cũng để lại tổn thất ở dạng này hay dạng khác, nhưng không phải tổn thất nào cũng được quy cho những rủi

ro Khi nghiên cứu về rủi ro phải nghiên cứu về tổn thất, bởi qua nghiên cứu về tổn thất sẽ thấy được sự nguy hiểm, tác hại, mức độ nghiêm trọng của rủi ro Ngược lại, nghiên cứu về tổn thất mà không nghiên cứu rủi ro thì sẽ không biết được nguyên nhân của thiệt hại để từ đó có biện pháp phòng ngừa, hạn chế tổn thất

Rủi ro có thể xảy ra với bất kỳ ai, bất kỳ tổ chức nào và ở bất kỳ đâu, trong mọi hoạt động Sự tồn tại khách quan và có tính phổ biến của rủi ro