NGHIÊN CỨU XÂY DỰNG CHIẾN LƯỢC AN TOÀN THÔNG TIN VÀ ĐỀ XUẤT CÁC BIỆN PHÁP TRIỂN KHAI TẠI MẠNG NINH BÌNH

Đề tài : NGHIÊN CỨU XÂY DỰNG CHIẾN LƯỢC AN TOÀN THÔNG TIN VÀ ĐỀ XUẤT CÁC BIỆN PHÁP TRIỂN KHAI TẠI MẠNG NINH BÌNH Bố cục gồm 6 chương, cụ thể như sau: Chương 1: Nhu cầu thực tế và định hướng nghiên cứu. Chương 2: Phân tích, đánh giá về tình trạng ATTT hiện nay Chương 3: Xây dựng chiến lược ATTT và mô hình quản lý ATTT cấp tỉnh Chương 4: Các biện pháp đảm bảo ATTT. Chương 5: Các biện pháp triển khai áp dụng tại tỉnh Ninh Bình. Chương 6: Kết luận và hướng phát triển tiếp.

LỜI CẢM ƠN

Trong quá trình thực hiện đề tài tại Học viện Công nghệ Bưu chính Viễn thông tôi đã nhận được nhiều sự chỉ bảo, hướng dẫn, hỗ trợ và giúp đỡ tận tình cho việc hoàn thiện đề tài này.

Trước hết tôi xin chân thành cảm ơn thầy giáo hướng dẫn TSKH Hoàng Đăng Hải, người thầy đã tận tình, chỉ bảo, hướng dẫn tôi trong suốt quá trình thực hiện bài luận văn

Tôi xin bày tỏ lòng biết ơn của mình đến các thầy cô giáo đã giảng dạy chúng tôi trong lớp Cao học Điện tử - Viễn thông Khoá 7 cũng như các thầy cô trong Học viện Công nghệ Bưu chính Viễn thông và các bạn bè đã góp ý cho tôi để hoàn thành đề tài nghiên cứu này

Trong quá trình thực hiện, đề tài không tránh khỏi thiếu sót, do vậy tôi mong nhận được ý kiến đóng góp để đề tài hoàn thiện hơn nữa.

Xin chân thành cảm ơn!

Học viên Phạm Đình Hưng

MỤC LỤC

Lời cảm ơn i

Mục lục ii

Danh mục các chữ viết tắt và ký hiệu vi Danh mục các hình vẽ, bảng biểu vii Tài liệu tham khảo Phụ lục Mục lục MỞ ĐẦU……… 1

CHƯƠNG 1: NHU CẦU THỰC TẾ VÀ ĐỊNH HƯỚNG NGHIÊN CỨU 4

1.1 Nhu cầu thực tế về xây dựng chiến lược an toàn thông tin……… 4

1.2 Mục tiêu của luận văn……… 6

1.3 Định hướng nghiên cứu và đóng góp chính của luận văn……… 6

CHƯƠNG 2: PHÂN TÍCH ĐÁNH GIÁ VỀ TÌNH HÌNH AN TOÀN THÔNG TIN HIỆN NAY……… 7

2.1 Tổng quan về an toàn thông tin……… 7

2.2 Một số khái niệm cơ bản trong an toàn thông tin 9

2.3 Tầm quan trọng của việc đảm bảo an toàn thông tin……… 11

2.4 Nguồn gốc và bản chất của vấn đề an toàn thông tin……… 13

2.5 Các nguy cơ hiểm họa và lỗ hổng an ninh………15

2.5.1.Nguy cơ, hiểm họa……… 15

2.5.2.Phân loại lỗ hổng an ninh……… 15

2.5.3.Tình huống xuất hiện lỗ hổng an ninh………16

2.6 Những vấn đề nóng về an toàn thông tin ở Việt Nam……… 16

2.6.1.Tình hình phát triển Internet 16

2.6.2.Những vấn đề nóng về an toàn thông tin ở Việt Nam 17

2.6.2.1 Sự gia tăng các hình thức tấn công, lừa đảo trên mạng 17

2.6.2.2 Sự gia tăng mức độ thiệt hại và ảnh hưởng 18

2.6.2.3 Sự gia tăng các lỗ hổng an ninh 20

2.6.2.4 Sự gia tăng của virus và các mã độc hại nội 20

2.6.2.5 Những vấn đề đáng lo ngại cần quan tâm 21

2.6.2.6 Sự thiếu hụt về cơ sở pháp lý 22

2.7 Đánh giá chung về tình hình ATTT thế giới và trong nước……… 23

2.7.1.Xu thế gia tăng Spyware 23

2.7.2.Tính đa dạng và phức tạp của vấn đề an ninh thông tin 23

2.7.3.Tốc độ và quy mô phát triển của tấn công mạng 24

2.7.4.Trình độ kỹ thuật, công nghệ của các loại hình tấn công mạng 24

2.7.5.Màu sắc chính trị của tấn công, xâm nhập mạng 25

2.7.6.Nhận thức xã hội và nhu cầu đảm bảo an toàn thông tin: 25

2.7.7.Xu hướng chung của thế giới đối với vấn đề an toàn thông tin 25

CHƯƠNG 3: XÂY DỰNG CHIẾN LƯỢC ATTT VÀ MÔ HÌNH QUẢN LÝ ATTT CẤP TỈNH………27

3.1 Sự cần thiết phải có chiến lược an toàn thông tin……… 27

3.2 Cơ sở cho xây dựng chiến lược an toàn thông tin……… 27

3.3 Các nguyên tắc chủ yếu trong xây dựng chiến lược ATTT……… 28

3.3.1.Các yêu cầu cơ bản trong xây dựng chiến lược ATTT 28

3.3.2.Các lĩnh vực liên quan trong quản lý ATTT 28

3.3.3.Các nguyên tắc chung trong xây dựng chiến lược ATTT 29

3.4 Nội dung chiến lược an toàn thông tin……….29

3.4.1.Mục tiêu của chiến lược 29

3.4.2.Đánh giá công tác đảm bảo an toàn an ninh thông tin 29

3.4.3.Dự báo xu hướng an toàn thông tin trong giai đoạn 2008 – 2012 31

3.4.3.1 Xu hướng xuất hiện tội phạm máy tính chuyên nghiệp 31

3.4.3.2 Xu hướng tấn công từ chối dịch vụ, spam, spyware 32

3.4.3.3 Xu hướng tấn công gia tăng vào các website 32

3.4.3.4 Nhu cầu phối hợp giữa lực lượng kỹ thuật và luật pháp 33

3.4.3.5 Xu hướng tấn công vào các công ty viễn thông 33

3.4.3.6 Dự báo thị trường bảo mật và nhu cầu chuyên gia bảo mật ở Việt Nam 33

3.4.4.Các nội dung cơ bản của chiến lược an toàn thông tin 33

3.4.4.1 Tăng cường vai trò quản lý nhà nước trong đảm bảo an toàn thông tin 33

3.4.4.2 Ngăn chặn các tấn công vào cơ sở hạ tầng thông tin 34

3.4.4.3 Giảm thiểu các lỗ hổng và điểm yếu hệ thống 35

3.4.4.4 Quản lý các nguy cơ tấn công vào các đối tượng khác nhau 36

3.5 Một số công việc cần triển khai ngay………37

3.5.1.Cải thiện môi trương pháp lý và quản lý nhà nước 37

3.5.2.Triển khai kế hoạch nâng cao nhận thức của cộng đồng về an toàn mạng 38

3.5.3.Triển khai kế hoạch nâng cao năng lực an toàn mạng của quốc gia 38

3.5.4 Đẩy mạnh thực hiện một số dự án, cung cấp dịch vụ cho xã hội, cộng đồng 38

3.5.5 Đẩy mạnh nghiên cứu KHCN đồng thời tăng cường hợp tác quốc tế 39

3.6 Xây dựng mô hình quản lý ATTT cấp tỉnh……….39

3.6.1.Mô hình phối hợp quản lý 39

3.6.2.Các trọng tâm của mô hình quản lý ATTT cấp tỉnh 40

3.6.2.1 Xây dựng hệ thống giám sát, cảnh báo, xử lý sự cố mạng cấp tỉnh 40

3.6.2.2 Xây dựng hệ thống phòng thủ chống tấn công, giảm thiểu thiệt hại 43

3.2.2.3 Xây dựng chương trình đào tạo, nâng cao nhận thức 44

3.6.2.4 Xây dựng và triển khai các biện pháp bảo vệ cơ sở hạ tầng thông tin 45

3.6.2.5 Xây dựng quy trình phối hợp xử lý sự cố 45

CHƯƠNG 4: ĐỀ XUẤT CÁC BIỆN PHÁP ĐẢM BẢO ATTT 47

4.1 Tổng quan về các biện pháp đảm bảo ATTT……… 47

4.1.1.Biện pháp quản lý 47

4.1.2.Biện pháp kỹ thuật 47

4.2 Các biện pháp tổ chức quản lý……….48

4.2.1.Nhiệm vụ quản lý an toàn thông tin 48

4.2.2.Các biện pháp tổ chức quản lý nhằm đảm bảo ATTT 48

4.2.2.1 Đảm bảo tính xác thực 48

4.2.2.2 Đảm bảo tính sẵn sàng của thông tin 49

4.2.2.3 Đảm bảo tính bảo mật 49

4.2.2.4 Đảm bảo tính toàn vẹn 49

4.2.3.Các biện pháp quản lý khác 50

4.3 Biện pháp kỹ thuật……….50

4.3.1.Hệ thống các biện pháp kỹ thuật 50

4.3.1.1 Bảo vệ các tài nguyên trên mạng chống sự xâm nhập trái phép và các cuộc tấn công từ bên ngoài 50

4.3.1.2 Bảo vệ các tài nguyên trên mạng chống sự xâm nhập trái phép, và các cuộc tấn công từ bên trong mạng 51

4.3.1.3 Bảo vệ thông tin chống sự giả mạo người dùng để xâm nhập trái phép vào

hệ thống 51

4.3.1.4 Kiểm tra phát hiện lỗ hổng mạng để vá trước khi bị tấn công 51

4.3.1.5 Chống virus thâm nhập lây lan qua mạng 52

4.3.1.6 Kiểm soát nội dung thông tin 52

4.3.2.Xây dựng các mức và vành đai bảo vệ an toàn mạng 52

CHƯƠNG 5: CÁC BIỆN PHÁP TRIỂN KHAI ÁP DỤNG TẠI TỈNH NINH BÌNH 54

5.1 Hiện trạng cơ sở hạ tầng thông tin tỉnh Ninh Bình………54

5.1.1.Những yếu tố và điều kiện tự nhiên, kinh tế xã hội ảnh hưởng đến phát triển và ứng dụng công nghệ thông tin 54

5.1.2.Hiện trạng Cơ sở hạ tầng công nghệ thông tin tại tỉnh 55

5.1.3.Thực trạng nguồn nhân lực công nghệ thông tin 55

5.1.4.Công nghiệp phần cứng, phần mềm trên địa bàn tỉnh 57

5.2 Tình hình ứng dụng công nghệ thông tin tại tỉnh và các vấn đề đặt ra…57 5.2.1.Ứng dụng công nghệ thông tin trong cơ quan hành chính nhà nước 57

5.2.2.Ứng dụng công nghệ thông tin trong các cơ quan Đảng 57

5.2.3.Ứng dụng công nghệ thông tin trong giáo dục, đào tạo 57

5.2.4.Ứng dụng công nghệ thông tin trong y tế 58

5.2.5.Ứng dụng công nghệ thông tin trong các lĩnh vực khác 58

5.3 Đánh giá hiện trạng ứng dụng công nghệ thông tin tại Ninh Bình…… 59

5.3.1.Đánh giá chung về ứng dụng công nghệ thông tin tại tỉnh 59

5.3.1.1 Điểm mạnh 59

5.3.1.2 Điểm yếu 60

5.3.2.Các vấn đề đặt ra 61

5.4 Đề xuất giải pháp và các biện pháp triển khai chiến lược an toàn thông tin tại tỉnh Ninh Bình……… 62

5.4.1.Quan điểm về triển khai thực thi chiến lược ATTT cấp tỉnh 62

5.4.2.Các giải pháp và biện pháp triển khai chiến lược an toàn thông tin tại tỉnh Ninh Bình 63

5.4.3.Đề xuất về giải pháp xây dựng hệ thống giám sát an toàn mạng và cảnh báo tại tỉnh Ninh Bình 66

CHƯƠNG 6: KẾT LUẬN VÀ HƯỚNG NGHIÊN CỨU TIẾP 68

6.1 Kết luận……… 68 6.2 Kiến nghị hướng phát triển tiếp theo của đề tài……….70

DANH MỤC CÁC CHỮ VIẾT TẮT VÀ KÝ HIỆU

ATTT An toàn thông tin

Bộ TT&TT Bộ Thông tin và truyền thông

CNTT Công nghệ thông tin

CNTT-TT Công nghệ thông tin - truyền thông

CSHT Cơ sở hạ tầng

CSHT-TT Cơ sở hạ tầng thông tin

GDP Tổng sản lượng quốc nội

IDS/IPS Hệ thống phát hiện, chống xâm nhập

ICSA Hiệp hội An ninh máy tính quốc tế

PKI Cơ sở hạ tầng khoá công khai

Sở TT&TT Sở thông tin và truyền thông

VNCERT Trung tâm ứng cứu khẩn cấp máy tính Việt Nam

VNNIC Trung tâm Internet Việt Nam

DANH MỤC CÁC HÌNH VẼ, BẢNG BIỂU Trang

Hình 2.2 Các thành phần cơ bản trong môi trường không gian mạng 9

Hình 2.4.Thị phần Internet Việt Nam tính đến 7-2008 17Hình 2.5 Tỷ lệ phần trăm máy tính ở các ngành ở Việt Nam bị nhiễm vi rút 19Hình 3.1 Số lượng vụ tấn công lấy cắp mật khẩu tăng nhanh 32

Hình 3.3 Mô hình trao đổi thông tin, phối hợp xử lý, thông báo sự cố 40Hình 3.4 Sơ đồ hệ thống giám sát, cảnh báo, xử lý sự cố cấp tỉnh 41Hình 3.5 Hệ thống giám sát, cảnh báo sớm và phản ứng nhanh cấp tỉnh 43

Hình 5.1 Sơ đồ kết nối mạng viễn thông cấp tỉnh Ninh Bình 65Hình 5.2 Hệ thống cảnh báo sớm và phản ứng nhanh toàn mạng cấp tỉnh 67Bảng 5 1: Nguồn nhân lực công nghệ thông tin tại Ninh Bình tính đến 12/2006 56Bảng 5.2: Xếp hạng mức độ sẵn sàng ứng dụng công nghệ thông tin 58

MỞ ĐẦU

Trong thời đại bùng nổ thông tin ngày nay, việc đảm bảo an toàn thông tin, dữ liệu

là vấn đề cấp thiết đặt ra cho các tổ chức - doanh nghiệp Đối với những ai chịu tráchnhiệm quản lý hệ thống mạng viễn thông, mạng máy tính, cho tổ chức – doanh nghiệptrong môi trường kinh doanh hiện nay cũng như trong môi trường e-commerce thì bảomật - an toàn thông tin là vấn đề hàng đầu trong mọi tình huống

Tầm quan trọng của an toàn thông tin từ lâu đã được ghi nhận trong quân sự vàtrong những lĩnh vực hoạt động xã hội và tại những nơi có thể xuất hiện nguy cơ đe dọađến an ninh quốc gia Việc làm chủ an ninh thông tin và những con số bí mật của nó -giải mã các mật mã - được công nhận như một tác nhân quan trọng đem lại chiến thắngtrong rất nhiều cuộc xung đột quân sự từ nhiều thế kỷ qua, trong đó có cả thế chiến thứ

II ở thế kỷ trước Với khái niệm này an toàn thông tin là phương tiện che dấu thông tin

và bảo vệ nó không bị bóp méo hay bị mất mát trong quá trình truyền tin, hoặc bị đánhcắp dữ liệu Việc giải mã các mật mã là những phương tiện làm vô hiệu hoá các khảnăng an ninh của đối phương

Với sự phát triển đa dạng và nhanh chóng của các dịch vụ và ứng dụng trên mạnghiện nay, khi thông tin trở thành một tài sản giá trị, an toàn thông tin ngày càng đượccoi trọng và đã trở thành một vấn đề trọng tâm trong chiến lược phát triển mạng lưới.Mạng máy tính ngày nay đã trở thành một môi trường phổ biến để truyền đi các thôngtin nhạy cảm, ví dụ như chuyển tiền điện tử, trao đổi dữ liệu thương mại, các thông tinnhạy cảm liên quan đến chính phủ, quốc gia và các thông tin liên quan khác đến tài sảncủa các công ty và các tập đoàn kinh tế,… Sự gia tăng liên kết giữa các mạng làm chobất kỳ một hệ thống thông tin nào cũng đều có thể trở thành truy cập được đối với cộngđồng người dùng Kỹ thuật tấn công mạng máy tính ngày càng trở lên dễ dàng hơn nhờ

có sẵn các công nghệ phát triển tinh xảo và giá thành của các công nghệ đó thườnggiảm xuống nhanh chóng làm cho bất kỳ người hiếu kỳ nào cũng có thể sử dụng để trởthành kẻ tấn công mạng

Cho đến nay, an toàn thông tin không chỉ còn đơn thuần là vấn đề kỹ thuật mà cònliên quan đến nhiều yếu tố khác như: định hướng phát triển, quy hoạch, cơ chế chính

sách, công nghệ, cơ sở hạ tầng thông tin quốc gia, nhân sự, tổ chức quản lý, nhận thức

xã hội, cơ sở pháp lý, các chế tài… Vấn đề đảm bảo an toàn thông tin cần được xem xétmột cách toàn diện, tổng thể hơn

Chính vì những lý do nêu trên, xây dựng chiến lược an toàn thông tin là một việclàm cấp bách và thiết thực Nhiều quốc gia đã và đang xây dựng chiến lược an toànthông tin cho riêng mình Trong khi đó, Việt Nam vẫn chưa có chiến lược an toàn thôngtin quốc gia, do an toàn thông tin còn là lĩnh vực mới được quan tâm trong thời giangần đây Nhận thức về an toàn thông tin ở nước ta còn thấp Chiến lược quy hoạch, pháttriển mạng lưới có đảm bảo an toàn thông tin còn mang nặng tính kinh nghiệm, thiếu cơ

sở khoa học

Mặt khác, chiến lược an toàn thông tin không chỉ là cần thiết ở cấp quốc gia, mà còncần được xây dựng cho đến từng cơ quan/tổ chức, doanh nghiệp Theo định nghĩa củaWikipedia, chiến lược là một kế hoạch dài hạn nhằm đạt được một mục tiêu tổng thểchung của một tổ chức hoặc một nhóm người Chính sách là một kế hoạch hành động

cụ thể và hướng dẫn thực thi nhằm đạt được những mục tiêu cụ thể hóa cho chiến lược.Xuất phát từ hiện trạng phát triển thông tin và truyền thông trong nước, từ nhu cầuthực tế cấp thiết hiện nay, việc nghiên cứu tìm hiểu các vấn đề liên quan đến an toànthông tin và xây dựng chiến lược an toàn thông tin cùng các biện pháp đảm bảo an toànthông tin là một vấn đề cấp thiết đang đặt ra

Trong khuôn khổ của luận văn này không đề cập đến an toàn thông tin ở cấp quốcgia Chủ đề của luận văn là nghiên cứu xây dựng chiến lược an toàn thông tin và đềxuất các biện pháp triển khai tại mạng cấp tỉnh Ninh Bình Về mặt phương pháp luận,chiến lược và chính sách thực thi cũng như các biện pháp đề xuất trong bài có thể ápdụng cho xây dựng chiến lược và chính sách an toàn thông tin quốc gia, có thể áp dụngrộng rãi cho các tỉnh thành khác, cũng như cho từng cơ quan/tổ chức hoặc doanhnghiệp

Trên cơ sở như vậy, bài luận văn về nghiên cứu xây dựng chiến lược an toàn thôngtin, các biện pháp triển khai áp dụng tại tỉnh Ninh Bình, có bố cục gồm 6 chương, cụthể như sau:

- Chương 1: Nhu cầu thực tế và định hướng nghiên cứu.

- Chương 2: Phân tích, đánh giá về tình trạng ATTT hiện nay

- Chương 3: Xây dựng chiến lược ATTT và mô hình quản lý ATTT cấp tỉnh

- Chương 4: Các biện pháp đảm bảo ATTT

- Chương 5: Các biện pháp triển khai áp dụng tại tỉnh Ninh Bình.

- Chương 6: Kết luận và hướng phát triển tiếp.

Đề tài nghiên cứu này là công trình nghiên cứu đầu tiên về chiến lược an toàn thôngtin tại Việt Nam Kết quả nghiên cứu có thể áp dụng cho nghiên cứu xây dựng chiếnlược an toàn thông tin quốc gia

CHƯƠNG 1: NHU CẦU THỰC TẾ VÀ ĐỊNH HƯỚNG NGHIÊN CỨU

1.1 Nhu cầu thực tế về xây dựng chiến lược an toàn thông tin

Với sự phát triển bùng nổ hiện nay của các ứng dụng trên mạng, đặc biệt là cácdịch vụ Internet, thương mại điện tử, chính phủ điện tử…, vấn đề đảm bảo an toànthông tin ngày càng trở nên có tầm quan trọng thực sự Trước kia, mục đích chủ đạocủa thiết kế hệ thống mạng lưới là đảm bảo cho các hệ thống có thể thực hiện tốt cácchức năng theo yêu cầu thiết kế như: hoạt động tốt và ổn định, ít lỗi, dễ phát triển mởrộng, dễ kết nối với các hệ thống khác… còn công tác bảo đảm an toàn thông tin chỉ làmột vấn đề thứ yếu Ngày nay, sự kết nối mạng toàn cầu đã mở ra khả năng chia sẻthông tin, dữ liệu, tài nguyên mạng trên diện rộng Những thông tin và tài nguyên đóđang trở thành mục tiêu của các cuộc tấn công nhằm các mục đích trục lợi và phá hoại

Hệ thống mạng lưới dù ở bất kỳ phạm vi nào, ví dụ như mạng cục bộ của một cơquan, tổ chức hay doanh nghiệp hoặc mạng truyền thông cấp tỉnh, cấp quốc gia… cũngđều cần được bảo vệ để chống lại mọi hình thức tấn công và xâm nhập từ cả bên ngoài

và bên trong Mặt khác, cùng với sự phát triển đa dạng và nhanh chóng của các dịch vụ

và ứng dụng trên mạng hiện nay, thông tin đã trở thành một tài sản giá trị đối với mỗi

quốc gia, mỗi cơ quan/tổ chức/doanh nghiệp Do đó việc đảm bảo an toàn thông tin

đã trở thành một vấn đề trọng tâm trong chiến lược phát triển mạng lưới

Yêu cầu đảm bảo an toàn thông tin cần phải được đặt ra ngay từ quá trình quyhoạch, lập kế hoạch cho đến quá trình thiết kế mạng lưới Đây là yêu cầu mới đối vớiphát triển mạng lưới và là một vấn đề mang tính toàn diện, vì liên quan đến rất nhiềuyếu tố khác nhau như định hướng phát triển, quy hoạch, lập kế hoạch, cơ chế chínhsách, thiết kế/đầu tư/xây dựng hệ thống thông tin, các biện pháp kỹ thuật và tổ chứcquản lý đảm bảo an toàn cho hệ thống thông tin và cho hoạt động của tổ chức, các vấn

đề về nhận thức, nhân sự, cơ sở pháp lý, các chế tài …

Ngày nay tại đa số các quốc gia trên thế giới, mọi hoạt động trong các lĩnh vựcchính trị, kinh tế, thương mại, tài chính/ngân hàng, y tế, giao thông vận tải, thông tin vàtruyền thông, năng lượng… đều dựa trên mạng máy tính Các hệ thống nói trên được

xác định là cơ sở hạ tầng trọng yếu quốc gia Đảm bảo hoạt động an toàn cho các cơ sở

hạ tầng trọng yếu quốc gia được xem coi là nhiệm vụ trọng tâm của mỗi quốc gia Nhận

thức được điều đó, nhiều quốc gia đã xây dựng chiến lược an toàn thông tin cho riêng

mình Trong khi đó, Việt Nam vẫn chưa có chiến lược an toàn thông tin quốc gia Mộtphần do công nghệ thông tin ở nước ta vẫn còn phát triển ở trình độ thấp, an toàn thôngtin còn là lĩnh vực mới được quan tâm trong thời gian gần đây Một phần khác là donhận thức về an toàn thông tin ở nước ta còn thấp Chiến lược quy hoạch, phát triểnmạng lưới còn thiếu định hướng đảm bảo an toàn thông tin Một số hệ thống và biệnpháp bảo vệ còn mang nặng tính kinh nghiệm, thiếu cơ sở khoa học và thiếu tính hệthống

Mặt khác, chiến lược an toàn thông tin không chỉ là cần thiết ở cấp quốc gia, mà còncần được xây dựng cho đến từng cơ quan/tổ chức, doanh nghiệp Theo định nghĩa của

Wikipedia, chiến lược là một kế hoạch dài hạn nhằm đạt được một mục tiêu tổng thể chung của một tổ chức hoặc một nhóm người Chính sách là một kế hoạch hành động

cụ thể và hướng dẫn thực thi nhằm đạt được những mục tiêu cụ thể hóa cho chiến lược.Xuất phát từ hiện trạng phát triển thông tin và truyền thông trong nước, từ nhu cầuthực tế cấp thiết hiện nay, việc nghiên cứu tìm hiểu các vấn đề liên quan đến an toànthông tin, xây dựng chiến lược an toàn thông tin cùng các biện pháp đảm bảo an toànthông tin đang là một nhu cầu cấp thiết, đòi hỏi có nghiên cứu xây dựng trên cơ sở khoahọc Đó cũng là chủ đề nghiên cứu đặt ra đối với bài luận văn

Tuy nhiên, bài luận văn không đề cập đến chiến lược an toàn thông tin ở cấp quốc

gia, mà chỉ giới hạn ở phạm vi xây dựng chiến lược an toàn thông tin, đề xuất các

biện pháp triển khai tại mạng cấp tỉnh Ninh Binh Mặc dù vậy, phương pháp luận,

chiến lược và chính sách thực thi cũng như các biện pháp đề xuất trong bài vẫn có thể

áp dụng cho xây dựng chiến lược và chính sách an toàn thông tin quốc gia, và có thể ápdụng rộng rãi cho các tỉnh thành khác, cũng như cho từng cơ quan/tổ chức hoặc doanhnghiệp khác

1.2 Mục tiêu của luận văn.

Mục tiêu đề ra của luận văn là nghiên cứu xây dựng chiến lược an toàn thông tin

và đề xuất các biện pháp triển khai tại mạng cấp tỉnh, cụ thể là mạng tỉnh Ninh Bình

1.3 Định hướng nghiên cứu và đóng góp chính của luận văn.

Chủ đề nghiên cứu của luận văn tập trung vào một số nội dung sau:

Thứ nhất là nghiên cứu về tầm quan trọng của việc đảm bảo an toàn thông tin, nhucầu xây dựng chiến lược an toàn thông tin đảm bảo phát triển mạng có định hướng vàbền vững; đảm bảo hạ tầng cho phát triển CNTT/các dịch vụ/ e-government/e-commerce tại tỉnh, đảm bảo các đặc thù của tỉnh/vùng kinh tế…; đảm bảo được sự phốihợp với các tỉnh khác và với trung ương

Thứ hai là nghiên cứu, đánh giá tình trạng an toàn thông tin trong nước và quốc tế;Nhận định về các nguy cơ, hiểm họa, các mối đe dọa tấn công vào các hệ thống CNTTcủa tỉnh để từ đó đề xuất được chiến lược và những biện pháp phù hợp

Thứ ba là nghiên cứu xây dựng chiến lược an toàn thông tin (ATTT) và mô hìnhquản lý ATTT cấp tỉnh, các mô hình quan hệ và phối hợp, các nội dung triển khai chiếnlược ATTT

Thứ tư là đề xuất các biện pháp về tổ chức, quản lý, kỹ thuật nhằm đảm bảoATTT và các biện pháp triển khai chiến lược ATTT cụ thể tại tỉnh Ninh Bình

Xuất phát từ mục tiêu và các định hướng nghiên cứu, luận văn đóng góp một sốnội dung chính như sau:

- Đánh giá tổng hợp về hiện trạng và các nguy cơ hiểm họa đe dọa ATTT

- Xây dựng chiến lược ATTT và mô hình quản lý ATTT cấp tỉnh

- Đề xuất các biện pháp đảm bảo ATTT và các biện pháp triển khai cụ thể chochiến lược ATTT tại tỉnh Ninh Bình

CHƯƠNG 2: PHÂN TÍCH ĐÁNH GIÁ VỀ TÌNH HÌNH

AN TOÀN THÔNG TIN HIỆN NAY

2.1 Tổng quan về an toàn thông tin

Ngày nay, khi mà nhu cầu trao đổi thông tin ngày càng lớn và đa dạng, các tiến bộ

về điện tử - viễn thông và công nghệ thông tin không ngừng được phát triển ứng dụng

để nâng cao chất lượng và lưu lượng truyền tin thì các quan niệm, ý tưởng và các biệnpháp bảo vệ thông tin dữ liệu cũng ngày càng được đổi mới Bảo vệ an toàn thông tin làmột chủ đề rộng, có liên quan đến nhiều lĩnh vực và trong thực tế có thể có rất nhiềuphương pháp được thực hiện để bảo vệ an toàn thông tin Các phương pháp bảo đảm antoàn thông tin đó có thể qui tụ vào ba nhóm sau đây [1]:

1 Bảo đảm an toàn thông tin bằng các biện pháp hành chính

2 Bảo đảm an toàn thông tin bằng các biện pháp kỹ thuật ( cứng )

3 Bảo đảm an toàn thông tin bằng các biện pháp thuật toán ( mềm )

Vấn đề đặt ra hiện nay đối với việc quy hoạch phát triển mạng đảm bảo an toànthông tin và để đảm bảo an toàn thông tin có hiệu quả thì điều trước tiên là phải quyhoạch mạng làm sao cho việc khai thác, quản lý thật hiệu quả và phải lường trước hoặc

dự đoán trước các khả năng không an toàn, các khả năng xâm phạm, các sự cố rủi ro cóthể xẩy ra đối với thông tin dữ liệu được lưu trữ và trao đổi trên đường truyền tin cũngnhư trên mạng Xác định càng chính xác các nguy cơ nói trên thì càng quyết định đượctốt các giải pháp để giảm thiểu các thiệt hại Mọi nguy cơ đều phải quan tâm và các viphạm nhỏ thường có xác xuất xảy ra cao và các vụ việc có xác suất xảy ra bé đôi khi lạigây nên những thiệt hại khôn lường

An toàn thông tin là một chủ đề rất rộng, nó bao hàm việc đảm bảo được nămtiêu chí cơ bản của thông tin, đó là: tính xác thực, tính sẵn sàng, tính bảo mật, tính toànvẹn và tính chống chối bỏ [1,3,5]

Đối với mạng máy tính hoặc mạng Internet thì an toàn thông tin bao gồm an toàn

dữ liệu, an toàn đối với từng máy tính, an toàn mạng máy tính và an toàn hệ thống Cóthể gọi chung là an toàn hệ thống công nghệ thông tin

Việc bảo vệ an ninh quốc gia đi đôi với việc bảo vệ an toàn thông tin quốc gia.

Hệ thống công nghệ thông tin và truyền thông của mỗi quốc gia là tập hợp các hệ thốngthông tin của chính phủ - cơ quan hành chính nhà nước, các lĩnh vực kinh tế và cácdoanh nghiệp và nó được gọi là cơ sở hạ tầng thông tin trọng yếu

Cơ sở hạ tầng thông tin trọng yếu

Hạ tầng cơ quan chíng phủ

Hệ thống lưu trữ và vận chuyển dầu khí

Hệ thống cung cấp nước

Hệ thống tài chính - ngân hàng

Hệ thống

giao thông

vận tải

Hệ thống năng lượng điện năng viễn thôngHệ thống

Hệ thống dịch vụ khẩn cấp

Hình 2.1: Cơ sở hạ tầng thông tin trọng yếu

Thế giới đã tổng kết 8 cơ sở hạ tầng trọng yếu của mỗi quốc gia [1,2,5] bao gồm:

Hạ tầng cho các cơ quan chính phủ; Hệ thống lưu trữ và vận chuyển dầu khí; Hệ thốngcung cấp nước; Hệ thống tài chính ngân hàng; Hệ thống giao thông vận tải; Hệ thốngnăng lượng điện năng; Hệ thống viễn thông; Hệ thống dịch vụ khẩn cấp CNTT-TT đãtrở thành động lực phát triển của mỗi quốc gia và có vai trò đặc biệt quan trọng trong

xu thế “ tin học hóa” các cơ sở hạ tầng trọng yếu quốc gia

Hiện nay, nhiều thách thức đang đặt ra đối với việc đảm bảo an toàn an ninhmạng Trong xu thế phát triển và ứng dụng công nghệ thông tin và truyền thông, lợi ích

đã trở thành động lực chủ yếu Trong xu thế phát triển kinh tế - chính trị và trong môitrường cạnh tranh toàn cầu, việc “hại người” cũng là một cách làm “lợi ta” Đó cũng làcách các đối thủ cạnh tranh trong các hoạt động kinh tế thương mại sử dụng nhằm pháhoại và tiêu diệt nhau Các cuộc tấn công qua mạng cũng một phần hướng tới mục tiêu

đó Tuy nhiên, điều đó lại là động lực tạo ra sự “phát triển ngược chiều” với sự pháttriển mang lại những lợi ích thiết thực của công nghệ thông tin

An toàn và bảo mật trong không gian mạng đã trở thành một nhu cầu bức thiết đốivới xã hội Hình 2.1-2 biểu thị các thành phần cơ bản trong không gian mạng bao gồm:con người, thiết bị công nghệ, dữ liệu thông tin và môi trường pháp lý Dưới góc độ antoàn thông tin, dữ liệu thông tin là đối tượng trọng tâm [2].

Hình 2.2 Các thành phần cơ bản trong môi trường không gian mạng:

2.2 Một số khái niệm cơ bản trong an toàn thông tin

An toàn thông tin (ATTT):

ATTT là khả năng bảo vệ đối với môi trường thông tin kinh tế xã hội, đảm bảocho việc hình thành, sử dụng và phát triển vì lợi ích của mọi công dân, mọi tổ chức và

của quốc gia Đây là một vấn đề hết sức cấp thiết trong thời đại công nghệ thông tin

hiện nay ATTT được xây dựng trên nền tảng một hệ thống các chính sách, quy tắc, quytrình và các giải pháp kỹ thuật nhằm mục đích đảm bảo an toàn tài nguyên thông tin mà

tổ chức đó sở hữu cũng như các tài nguyên thông tin của các đối tác, các khách hàngtrong một môi trường thông tin toàn cầu [3]

Không thể đảm bảo an toàn 100%, nhưng ta có thể giảm bớt các rủi ro khôngmong muốn dưới tác động từ mọi phía của các lĩnh vực hoạt động kinh tế xã hội Khicác tổ chức, đơn vị tiến hành đánh giá những rủi ro và cân nhắc kỹ những biện pháp đốiphó về ATTT, họ luôn luôn đi đến kết luận: những giải pháp công nghệ (kỹ thuật) đơn

Dữ liệu thông tin

Thiết bịCông nghệ

cCon người

Mất an toàn thông tin đến từ bất cứ thành phần nào

Môi trường pháp

lý, luật pháp(quy định, quychuẩn )

lẻ không thể cung cấp đủ sự an toàn Những sản phẩm Anti-virus, Firewalls và các công

cụ khác không thể cung cấp sự an toàn cần thiết cho hầu hết các tổ chức ATTT là mộtmắt xích liên kết hai yếu tố: yếu tố công nghệ và yếu tố con người

+ Yếu tố công nghệ: bao gồm những sản phẩm như Firewall, phần mềm phòng

chống virus, giải pháp mật mã, sản phẩm mạng, hệ điều hành và những ứng dụng như:trình duyệt Internet và phần mềm nhận Email từ máy trạm

+ Yếu tố con người: là những người sử dụng máy tính, những người làm việc với

thông tin và sử dụng máy tính trong công việc của mình

Như vậy, có thể khẳng định vấn đề ATTT phải bắt đầu từ các chính sách trong đócon người là mắt xích quan trọng nhất, bởi vì con người là khâu yếu nhất trong toàn bộquá trình đảm bảo an toàn thông tin [4] Hầu như phần lớn các phương thức tấn côngđược hacker sử dụng là khai thác các điểm yếu của hệ thống thông tin và đa phần cácđiểm yếu đó rất tiếc lại do con người tạo ra Việc nhận thức kém và không tuân thủ cácchính sách về ATTT là nguyên nhân chính gây ra tình trạng trên

Đối tượng tấn công mạng (Intruder):

Là những cá nhân hoặc các tổ chức sử dụng các kiến thức về mạng và các công cụphá hoại (phần mềm hoặc phần cứng) để dò tìm các điểm yếu, lỗ hổng bảo mật trên hệthống, thực hiện các hoạt động xâm nhập và chiếm đoạt tài nguyên mạng trái phép

Ví dụ về một số đối tượng tấn công mạng là:

- Tin tặc (Hacker): Là những kẻ xâm nhập vào mạng trái phép bằng cách sử dụngcác công cụ phá mật khẩu hoặc khai thác các điểm yếu của các thành phần truy nhậptrên hệ thống

- Kẻ giả mạo (Masquerader): Là những kẻ có hành vi giả mạo thông tin trên mạng

Có một số hình thức như giả mạo địa chỉ IP, tên miền, định danh người dùng

- Nghe lén (Eavesdropping): Là những đối tượng nghe trộm thông tin trên mạng,

sử dụng các công cụ sniffer; sau đó dùng các công cụ phân tích và debug để lấy đượccác thông tin có giá trị

Những đối tượng tấn công mạng có thể nhằm nhiều mục đích khác nhau như: ăncắp những thông tin có giá trị về kinh tế, phá hoại hệ thống mạng có chủ định, hoặc

cũng có thể chỉ là những hành động vô ý thức, thử nghiệm các chương trình khôngkiểm tra cẩn thận

Các lỗ hổng bảo mật:

Các lỗ hổng bảo mật là những điểm yếu trên hệ thống hoặc ẩn chứa trong mộtdịch vụ mà dựa vào đó kẻ tấn công có thể xâm nhập trái phép để thực hiện các hànhđộng phá hoại hoặc chiếm đoạt tài nguyên bất hợp pháp [3, 7]

Nguyên nhân gây ra những lỗ hổng bảo mật là khác nhau: có thể do lỗi của bảnthân hệ thống, hoặc phần mềm cung cấp, hoặc do người quản trị yếu kém không hiểusâu sắc các dịch vụ cung cấp

Mức độ ảnh hưởng của các lỗ hổng là khác nhau Có những lỗ hổng chỉ ảnhhưởng tới chất lượng dịch vụ cung cấp, có những lỗ hổng ảnh hưởng nghiêm trọng tớitoàn bộ hệ thống

Một chính sách bảo mật được coi là hoàn hảo nếu nó xây dựng gồm các văn bảnpháp qui, kèm theo các công cụ bảo mật hữu hiệu và nhanh chóng giúp người quản trịphát hiện, ngăn chặn các xâm nhập trái phép

2.3 Tầm quan trọng của việc đảm bảo an toàn thông tin

CNTT có vai trò hết sức quan trọng trong đời sống chính trị, kinh tế, xã hội, anninh quốc gia, các hoạt động của các cơ quan/tổ chức/doanh nghiệp/chính phủ…

Tầm quan trọng của an toàn thông tin từ lâu đã được ghi nhận trong quân sự vàtrong những lĩnh vực hoạt động xã hội và tại những nơi có thể xuất hiện sự uy hiếp đến

an ninh quốc gia Việc làm chủ an ninh truyền thông và những con số bí mật của nó giải mã các mật mã - được công nhận như một tác nhân quan trọng đem lại chiến thắng

-trong rất nhiều cuộc xung đột quân sự từ nhiều thế kỷ qua, -trong đó có cả thế chiến thứ

II ở thế kỷ trước Với khái niệm này an toàn thông tin là phương tiện che dấu thông tin

và bảo vệ nó không bị bóp méo hay bị mất mát trong quá trình truyền tin, hoặc bị đánhcắp dữ liệu Việc giải mã các mật mã là những phương tiện làm vô hiệu hoá các khảnăng an ninh của đối phương

Hiện nay có ba xu hướng phát triển chính làm cho các vấn đề an toàn thông tinngày càng trở lên nghiêm trọng và buộc chúng ta cần phải đánh giá khẩn cấp quan điểmnày là:

+ Sự gia tăng liên kết giữa các mạng làm cho một hệ thống bất kỳ đều có thể trởthành truy cập được đối với một cộng đồng người dùng hoàn toàn không quen biết giatăng nhanh chóng về số lượng

+ Việc sử dụng ngày càng nhiều mạng máy tính để truyền đi các thông tin nhạycảm an ninh, ví dụ như chuyển tiền điện tử, trao đổi dữ liệu thương mại, các thông tinkhông mật nhưng nhạy cảm của chính phủ và các thông tin liên quan khác đến tài sảncủa các công ty và các tập đoàn kinh tế,…

+ Kỹ thuật tấn công mạng máy tính ngày càng trở lên dễ dàng hơn nhờ có sẵn cáccông nghệ phát triển phức tạp và giá thành của các công nghệ đó thường xuyên giảmxuống nhanh chóng làm cho bất kỳ người hiếu kỳ nào cũng có thể trở thành kẻ tấn côngmạng

Những kẻ tấn công mạng hiện nay là những phần tử “ thâm canh cố đế” của môitrường mạng diện rộng Các mạng của các chính phủ, của cơ quan tài chính, của nhữngcông ty viễn thông và các tập đoàn kinh tế đã trở thành nạn nhân của các vụ đột nhậpcủa hacker và trong tương lai vẫn là những mục tiêu săn đuổi của chúng

Xuất phát từ ứng dụng thực tế, xu hướng phát triển ứng dụng và các nguy cơ mất

an toàn thông tin và những lợi ích béo bở từ việc tấn công mạng đã cho chúng ta thấyđược việc đảm bảo an toàn thông tin giữ một vai trò rất quan trọng

2.4 Nguồn gốc và bản chất của vấn đề an toàn thông tin

Do đặc điểm của một hệ thống mạng là có nhiều người sử dụng và phân tán vềmặt địa lý nên việc bảo vệ các tài nguyên ( tránh mất mát, hoặc sử dụng không hợp lệ )

trong môi trường mạng phức tạp hơn nhiều so với một máy tính đơn lẻ, hoặc một người

sử dụng

Hoạt động của người quản trị hệ thống mạng phải đảm bảo các thông tin trênmạng là tin cậy và được sử dụng đúng mục đích, đúng đối tượng đồng thời đảm bảomạng hoạt động ổn định, không bị tấn công bởi những kẻ phá hoại Có một thực tế làkhông một hệ thống mạng nào đảm bảo là an toàn tuyệt đối, một hệ thống dù được bảo

vệ chắc chắn đến mức nào thì cũng có lúc bị vô hiệu hoá bởi những kẻ có ý đồ xấu.Quan niệm ban đầu về bảo vệ thông tin máy tính chỉ giới hạn ở mật khẩu và mật

mã Mật khẩu được sử dụng để đăng nhập vào một hệ thống, còn mật mã được sử dụng

để mã hóa dữ liệu, che dấu dữ liệu Mật mã vô cùng quan trọng nhưng chỉ là một phầncủa sự việc [2] Đến nay, có nhiều vấn đề nghiêm trọng phát sinh trong bảo vệ thôngtin, cụ thể như sau:

1 Virus là một phát minh gây sốc, bắt đầu từ năm 1981, tới nay đã phát triển liêntục theo cấp số nhân

2 Liên tục có các lỗ hổng an ninh và các điểm yếu về bảo mật của hệ thống bịphát hiện và bị lợi dụng để nghe lén, xâm nhập, trộm tin, phá hoại,…

3 Ngày càng nhiều các công cụ chủ động tấn công trực tiếp hoặc làm nội ứng mởcửa hệ thống (ví dụ như DDoS, Botnet, Spyware…)

4 Các phần mềm có hại nằm vùng (artifact) ngày một tinh xảo hơn

Mạng máy tính không chỉ còn là hệ thống kỹ thuật mà đang trở thành môi trườngcho các hoạt động kinh tế - xã hội - an ninh quốc phòng Ứng dụng mạng càng nhiều thìnguy cơ mất an toàn càng tăng Vậy an toàn thông tin nghĩa là thế nào? Thực chất vấn

đề an toàn thông tin phát sinh do hệ thống nhất thời chưa hoàn thiện (song sẽ có thểđược hoàn thiện dần trong tương lai) hay đó là một cuộc chiến luôn luôn tồn tại vàkhông khoan nhượng giữa việc bảo vệ và các kẻ tấn công mạng? Đâu là ranh giới giữatấn công mạng với các vấn đề liên quan đến tội phạm mạng và khủng bố mạng? Nhữngtác động và ảnh hưởng của vấn đề an toàn mạng đến an ninh quốc gia là gì? Để trả lờinhững câu hỏi đó, ta cần tìm hiểu về bản chất của vấn đề an toàn thông tin

Trước hết nói về bản chất của thông tin Thông tin có 5 tính chất cơ bản sau:

- Tính chất bí mật: Thông tin phải được sử dụng bởi đúng đối tượng.

- Tính toàn vẹn: Thông tin phải đảm bảo đầy đủ, nguyên vẹn về cấu trúc, không mâu

thuẫn

- Tính sẵn sàng: Thông tin phải được sẵn sàng tiếp cận, phục vụ đúng cách, đúng mục

đích

- Tính chính xác: Thông tin phải chính xác, tin cậy.

- Tính chống chối bỏ: Thông tin có thể kiểm chứng được nguồn gốc hoặc người đưa tin.

Vậy mất an toàn thông tin nghĩa là vi phạm 1 hoặc nhiều tính chất của thông tin

Có hai nhóm lýdo gây ra mất an toàn thông tin từ gốc, đó là:

– “Sai sót” trong quá trình thiết kế và sử dụng Internet và mạng thông tin

– Không lường trước được quy mô phát triển của Internet

Bản thân mạng hiện nay cũng tạo ra một số nguyên nhân có tính bản chất là:

– Mạng không có cơ chế định danh người dùng

– Giao tiếp không cần kiểm soát

– Mạng là cộng đồng lớn mà lại không có luật chung

– Thiếu phối hợp và giám sát giữa các tổ chức quản lý Internet

– An ninh thông tin là một vấn đề mới

– Sự chia sẻ và quản lý tài nguyên Internet không hợp lý

Như chúng ta đã biết, bản chất các hành vi tấn công /gây rối (tội phạm) là sẵn cótrong mọi xã hội Trong lĩnh vực thông tin: các hành vi đó (tội phạm mạng) cũng chỉ là

sử dụng mạng máy tính làm phương tiện để thực thi mục đích

Có nhiều nguyên nhân chủ quan và khách quan dẫn đến mất an toàn thông tin,trong đó có các nguyên nhân phổ biến như sau:

- Khiếm khuyết của hệ thống trong quá trình thiết kế (Lỗ hổng an ninh)

- Lỗi thực thi (do khiếm khuyết hệ thống)

- Lỗi trong quá trình khai thác sử dụng không đúng cách

- Những khiếm khuyết về quản lý/kỹ thuật trong quá trình sản xuất (phần cứng/phầnmềm ), trong bản thân các hệ thống CNTT (các lỗ hổng an ninh), trong khai thác sửdụng tạo điều kiện cho các tấn công

- Sự đầu tư chưa đúng mức (về lý thuyết, thực tiễn) đối với lĩnh vực ATTT (một mặt

do sự phát triển quá nhanh và đi trước của CNTT và mạng) nên còn thiếu tri thứctổng thể hệ thống về ATTT, dẫn đến thực tế “chắp vá”, sửa chữa kiểu “chữa cháy”,liên tục trở nên lạc hậu

- Thiếu các chuẩn, thị trường ATTT còn quá mới, non yếu, thiếu nhân lực và thêmvào đó là sự phát triển nhanh chóng của các hệ thống thông tin

2.5 Các nguy cơ hiểm họa và lỗ hổng an ninh

2.5.1 Nguy cơ, hiểm họa

Nhu cầu sử dụng máy tính, mạng, nhu cầu về thương mại điện tử càng tăng thìnguy cơ mất ATTT ngày càng gia tăng [7]

Dự báo trong tương lai, giới chuyên môn nhận định tình hình an toàn thông tincòn nóng hơn những năm qua do việc ứng dụng công nghệ thông tin (CNTT) ngày càngmạnh mẽ trong bối cảnh nhận thức và hành lang pháp lý chưa theo kịp Kỹ nghệ tin tặccao siêu hơn, phức tạp hơn, phát tán nhanh hơn, bùng phát mạnh hơn theo nhịp độ pháttriển của CNTT

Tiếp tục xuất hiện nhiều biến thể virus mới, tội phạm an ninh mạng sẽ chuyênnghiệp và tinh vi hơn, mạng xã hội sẽ là đích ngắm mới của hacker Thêm vào đó làmạng lưới gián điệp, tình báo sử dụng công nghệ đánh cắp thông tin tiên tiến và cácnguy cơ chiến tranh thông tin, khủng bố trên mạng cũng như hàng loạt các hoạt độngphá hoại, gây rối, xâm phạm, truyền bá văn hoá phẩm đồi truỵ, nói xấu, bôi nhọ, hạthấp uy tín cá nhân và tổ chức

2.5.2 Phân loại lỗ hổng an ninh

Lỗ hổng an ninh được phân là 3 loại đó là: lỗ hổng theo nguồn gốc xuất hiện, lỗhổng theo giai đoạn áp dụng và lỗ hổng theo phân bố trong hệ thống

Theo nguồn gốc xuất hiện:

+ Cố ý: Có ý đồ phá hoại, tạo cửa hậu, bỏ ngỏ, có chương trình phá hoại, tạokênh dò rỉ thông tin

+ Vô ý: do khiếm khuyết kỹ thuật (phần cứng, phần mềm) khi thiết kế

Theo các giai đoạn áp dụng:

+ Trong quá trình thiết kế hệ thống

+ Trong quá trình thử nghiệm, cải tiến, hoàn thiện

+ Trong giai đoạn khai thác sử dụng

Theo phân bố trong hệ thống:

+ Phần cứng: ví dụ lỗi thiết bị

+ Phần mềm: Phần mềm hệ thống, Các tiện ích / phần mềm phục vụ, Phần mềmứng dụng (tại chỗ, nối mạng, truy cập cơ sở dữ liệu)

2.5.3 Tình huống xuất hiện lỗ hổng an ninh.

Lỗ hổng an ninh xuất hiện trong các trường hợp: Khi xây dựng mạng lưới thì việcxác định mô hình ATTT đã không phù hợp thậm chí còn không có thiết kế Hoặc nếu

có thì việc áp dụng mô hình ATTT không đúng, thiếu các biện pháp đảm bảo và cuốicùng là do quản trị và khai thác không đúng quy cách

2.6 Những vấn đề nóng về an toàn thông tin ở Việt Nam

2.6.1 Tình hình phát triển Internet

Internet được sử dụng chính thức ở Việt Nam từ ngày 19/11/1997 Theo thống kêcủa Trung tâm Internet Việt Nam (VNNIC), đến hết tháng 5 năm 2008, Việt Nam cógần 6 triệu thuê bao Internet quy đổi với có 20.159.615 người sử dụng Internet, chiếm23% dân số (theo báo cáo của Bộ TT&TT [11] )

0,02 0,04 0,1 0,25 0,38

0,8 1,66

2,89 4,06 5,18 6,05

trường, đạt tỷ lệ 93,48% - Tổng số trường ĐH và CĐ là 235 / 235 trường, đạt tỷ lệ100% [11] Thị phần Internet ở Việt Nam được chia ra như trên hình sau:

tử, dịch vụ ngân hàng, tài chính, hải quan, v.v…

Phụ lục 1 là danh sách Các doanh nghiệp chính thức cung cấp dịch vụ trong lĩnhvực Internet

2.6.2 Những vấn đề nóng về an toàn thông tin ở Việt Nam.

2.6.2.1 Sự gia tăng các hình thức tấn công, lừa đảo trên mạng

Trong thời gian vừa qua, tình hình an ninh thông tin trên Internet diễn biến phứctạp Nhiều trang thông tin điện tử bị tấn công, bị thay đổi nội dung Không ít trangthông tin của Việt Nam sử dụng tên miền quốc tế bị mất hoặc bị chuyển hướng, vi rút,thư rác phát tán mạnh Một số mạng mang địa chỉ IP của Việt Nam do phát tán vi rúthay thư rác đã bị cấm kết nối quốc tế, cấm giao dịch điện tử… Theo khảo sát sơ bộ củaTrung tâm Ứng cứu khẩn cấp máy tính Việt Nam (VNCERT) [9] có tới 80% các trangtin điện tử còn nhiều sơ hở trong đảm bảo an ninh thông tin, nhiều hệ thống thông tincòn có khiếm khuyết chưa được cập nhật và quan tâm đúng mức nên đã gây ra những

sự cố đáng tiếc ảnh hưởng tới các dịch vụ hành chính điện tử, thương mại điện tử và cáchình thức ứng dụng công nghệ thông tin khác Trong khi đó, nhận thức về nguy cơ mất

an ninh thông tin và thiệt hại khi xảy ra sự cố mạng của nhiều cơ quan, tổ chức vàdoanh nghiệp còn nhiều hạn chế

Ngày càng có nhiều các hình thức tấn công, lừa đảo trên mạng, các tội phạm trênmạng, các nguy cơ chiến tranh thông tin trên mạng, các nguy cơ khủng bố, nguy cơgián điệp trên mạng

Các hành vi xâm phạm an ninh thông tin ngày càng đa dạng và phức tạp Cáchành vi vi phạm phát triển với tốc độ nhanh và qui mô rộng khắp Các cuộc tấn công sửdụng công nghệ, kỹ thuật ngày càng tinh vi xảo quyệt Các cuộc tấn công, xâm nhậpphục vụ cho mục đích chính trị ngày càng tăng

Nguy cơ mất an toàn thông tin kể cả do tin tặc trong nước và do các tấn công cónguồn gốc nước ngoài ngày một gia tăng cùng với sự phát triển CNTT và TT, tuân theoqui luật chung của thế giới Các hành vi tội phạm mạng ngày càng đa dạng và phức tạp,phát triển với tốc độ nhanh và qui mô lớn, với công nghệ và kỹ thuật ngày càng tinh vixảo quyệt hơn, tương tự ở các nước phát triển như đã nêu ở phần trên Đảm bảo an toàn

an ninh thông tin ngày càng trở thành vấn đề nóng

2.6.2.2 Sự gia tăng mức độ thiệt hại và ảnh hưởng.

Những năm trước đây, Việt Nam đã hứng chịu nhiều thiệt hại do các cuộc tấncông của các loại virus các ngày 25/11/1997, 25/11/1998 của virus Date Mặc dầu đãđược cảnh báo trước, dữ liệu của hàng ngàn PC ở Việt Nam vẫn bị xóa Các ngày26/4/1999, 26/4/2000 virus Chernobyl đã phá hỏng dữ liệu hàng ngàn PC mặc dù cũng

đã biết trước qua mạng thông tin đại chúng Các virus Melissa (1999), LoveLetter(2000), Code Red (2001) và Nimda đã từng làm ảnh hưởng đến lưu lượng Internet.Năm 1999, một ISP ở Việt Nam đã bị tấn công, ngừng hoạt động 1 tuần lễ Năm

2005 một số Website của Chính quyền đã bị tấn công bởi hackers Thổ nhĩ Kỳ

Mới đây (8/2008) tin tặc đã tấn công vào lỗ hổng trong hệ thống tên miền Internet( DNS) để chuyển hướng người dùng sang các trang web giả mạo độc hại và đã làm têliệt gần 8.000 website của Việt Nam

Virus nội được biết đến từ lâu, sự kiện tác giả phát tán virus “gái xinh” bị bắt đánhdấu nhận thức mới về an toàn mạng.

Các hình thức tấn công mạng như DDoS, đột nhập website, thâm nhập mạng,spam…vẫn phổ biến và một số trường hợp đã được các cơ quan bảo vệ an toàn mạng vàbảo vệ pháp luật quan tâm xử lý

Theo số liệu tổng kết, thống kê an ninh mạng 2007 của Trung tâm An ninh mạngBKIS [10], trong năm 2007 Việt Nam số máy tính bị nhiễm virus là 33.646.000 lượtmáy tính Số virus mới xuất hiện trong năm là 6.752 virus Số virus xuất hiện trong một

ngày là 18,48 virus mới Virus lây truyền nhiều nhất trong năm là W32.Winib.Worm,

lây nhiễm 511.000 máy tính Và cũng theo quan sát của BKIS số website Việt Nam bịhacker trong nước tấn công năm 2007 là 118 website Số website Việt Nam bị hackernước ngoài tấn công năm 2007 là 224 website và số website Bkis phát hiện lỗ hổngnghiêm trọng là 140 website

DÞch vô Th ¬ng

m¹i

Y TÕ Gi¸o dôc LÜnh vùc

kh¸c

Hình 5 Tỷ lệ phần trăm máy tính ở các ngành ở Việt Nam bị nhiễm vi rút

2.6.2.3 Sự gia tăng các lỗ hổng an ninh

Hàng triệu máy tính bị nhiễm virus “nội” chỉ trong một tuần, hàng trăm trang web

bị hacker trong nước và nước ngoài tấn công Đây là vài con số về tình trạng an ninhmạng ở Việt Nam cho thấy còn quá nhiều lỗ hổng về bảo mật Bên cạnh đó còn có lỗhỗng bảo mật không thuộc về kỹ thuật - khung pháp lý để xử lý loại tội phạm này.Năm 2007 vừa qua, trung bình có 18,48 virus mới xuất hiện trong một ngày, điểnhình là virus W32.Winib.Worm, virus W32.Ukuran.Worm và hàng loạt biến thể Theo

thống kê sơ bộ của VNCERT qua khảo sát các website quan trọng nhất của Việt Nam,

có tới 80% Website được xếp vào loại còn nhiều kẽ hở, không đảm bảo an ninh thôngtin

Năm 2007, đã có 342 website của Việt Nam vị hack bởi các hacker trong nước vànước ngoài, trong số này có những website bị hack tới hai lần

Có một điểm đáng chú ý trong những vụ tấn công trên, là kẻ tấn công hầu hết đều

là người quen biết hoặc khá gần gũi với nạn nhân Đây là điều lãnh đạo các Doanhnghiệp rất nên chú ý Những cuộc tấn công mang tính vùi dập, nếu không phải là từ cácđối thủ cạnh tranh không lành mạnh thì thường xuất phát từ những xích mích, thù hằnmang tính cá nhân

Theo các chuyên gia an ninh mạng và bảo mật, tội phạm máy tính ở Việt Nam đãchuyên nghiệp hơn, gần hơn với tội phạm quốc tế Nếu trước đây, hacker tấn công chỉ

để chứng minh khả năng, thì từ vài năm trở lại đây đã xuất hiện những cuộc tấn cônghoặc xâm nhập có chủ đích

2.6.2.4 Sự gia tăng của virus và các mã độc hại nội.

Nếu nửa đầu năm 2006, các loại virus ngoại gần như độc chiếm không gian mạng

VN, thì nửa cuối năm lại thuộc về các dòng virus nội lây lan qua trình nhắn tin tức thờiYahoo! Messenger (YM) Chỉ trong 20 ngày của tháng 9, đã có 10 loại virus nội liêntiếp được đưa lên mạng Các tháng sau đó, virus nội vẫn sản sinh như nấm sau mưa

Do YM được dùng rất phổ biến tại Việt Nam nên các virus nói trên phát tán vớimột tốc độ nhanh khủng khiếp Theo thống kê BKIS, trong tháng 9/2006, có tới550.000 máy tính ở Việt Nam bị nhiễm virus nội Còn theo trung tâm Ứng Cứu KhẩnCấp Máy Tính Việt Nam – Bộ TT&TT, thì con số máy tính bị nhiễm virus nội trongkhoảng 1 tuần đầu tháng 9 lên tới 1,4 triệu máy Dù theo thống kê của đơn vị nào thì sốvirus nội và số máy bị nhiễm virus đều là con số kỷ lục từ trước tới nay ở Việt Nam.Một đặc điểm lây lan của các virus nội là lợi dụng lỗ hổng bảo mật trong… kiếnthức của người dùng YM Kẻ phát tán virus thường gửi những thông điệp gợi tò mò để

dụ người dùng YM click vào một đường link nào đó và virus sẽ được tải về máy Sau

đó virus trong máy lại tiếp tục gửi link kèm theo những lời dụ dỗ đến những máy kháctheo danh sách YM của nạn nhân

Cùng với virus nội, đã xuất hiện một số adware (phần mềm quảng cáo bất hợppháp) xuất xứ từ Việt Nam như KeepmeScript hay ExploitJS Lượng máy tính bị nhiễmcác loại adware này cũng nhiều không kém số lượng máy tính bị nhiễm các loại virus.Các loại spam nội cũng xuất hiện ngày một nhiều

Theo VNCERT, nếu mỗi máy tính cần khoảng 2 USD để khắc phục hậu quả, thìvới 1,4 triệu máy tính bị nhiễm trong vòng 1 tuần, con số thiệt hại đã là khoảng 2,8 triệuUSD (hơn 40 tỷ đồng) Tuy nhiên, thiệt hại trong thực tế có thể lớn hơn nhiều, vì viruslàm chậm và gián đoạn quy trình công việc, tàn phá những dữ liệu quan trọng Thống

kê của BKIS cho thấy, trong tháng 10/1006 có khoảng 54.000 máy tính có thể đã bị mấttoàn bộ dữ liệu quan trọng do 2 trong số nhiều virus nội lây qua YM Chúng xóa đi toàn

bộ các file văn bản (.doc, xls) và dữ liệu (.mdb) trong các thư mục đang mở trên máycủa nạn nhân

2.6.2.5 Những vấn đề đáng lo ngại cần quan tâm

Những vụ tấn công liên tiếp trong năm 2007 cũng như những đợt “dịch” viruskhiến nhiều người hoang mang, thất vọng, cho rằng thương mại điện tử (TMĐT) và cácgiao dịch qua mạng ở Việt Nam sẽ khó mà phát triển được

Tuy nhiên, điều đáng lo ngại nhất hiện nay về an ninh mạng không phải là hackerhay virus, mà là sự thiếu hoàn thiện của hệ thống pháp luật VN đối với tội phạm kỹthuật số, là tình trạng thiếu các biện pháp về kỹ thuật, công nghệ để ngăn chặn tộiphạm, là các “lỗ hổng bảo mật” lớn trong ý thức và trình độ của người dùng Internet.Trong năm 2006, nhiều hacker, tác giả virus, tội phạm đánh cắp tài khoản trên mạng đã

bị bắt nhưng chỉ bị xử phạt hành chính rất nhẹ, thậm chí dù hành vi phạm tội đã rõ ràngnhưng vẫn không quy được tội, nhất là khi tội phạm có yếu tố nước ngoài Chừng nàoluật pháp chưa đủ sức răn đe và trừng phạt thì chưa thể hi vọng tin tặc thôi lộng hành.Tuy nhiên, trong khi chờ đợi pháp luật hoàn thiện, các tổ chức, doanh nghiệp cần

tự bảo vệ bằng cách nâng cao cảnh giác, cập nhật kiến thức về bảo mật và quản lý

mạng; nhờ đến các đơn vị chuyên về bảo mật, an ninh mạng như C15, BKIS, VNCERTVinaClean của VDC…

Doanh nghiệp cũng có thể sử dụng tường lửa và các thiết bị bảo mật cung cấp theoyêu cầu hoặc đóng gói bán sẵn, như BizGates của công ty cổ phần công nghệ Hà Nội(HanoiTJSC), hoặc thiết bị của các hãng nước ngoài như WatchGuard, DrayTek,Checkpoint, Cisco Bên cạnh các biện pháp kỹ thuật, cần đặc biệt chú ý yếu tố conngười trong nội bộ công ty

Nguyên nhân chủ yếu của các lỗ hổng bảo mật trên các website Việt Nam là docác công ty viết phần mềm (PM) chưa thực sự quan tâm đến vấn đề an ninh mạng Một

số nguyên nhân cụ thể là:

 Lập trình không cẩn thận

 Không cập nhật thường xuyên các bản vá phần mềm như hệ điều hành, webserver, database server

 Phân quyền chưa tốt

 Đặt mật khẩu quản trị yếu

 Mở nhiều dịch vụ không cần thiết

Các quản trị mạng tại Việt Nam nên rà soát lại website của mình theo các tiêu chínêu trên Các công ty phần mềm cần tổ chức cho lập trình viên học về viết mã lệnh antoàn

2.6.2.6 Sự thiếu hụt về cơ sở pháp lý

Chúng ta đã khẩn trương thực hiện chỉ thị 58 của Bộ Chính trị về đẩy mạnh ứngdụng và phát triển Công nghệ Thông tin Trong thời đại này người ta nói nhiều đến nềnkinh tế số, kinh tế tri thức Vấn đề an toàn thông tin, an toàn mạng máy tính chống trộmcắp thông tin, tấn công phá hoại thông tin, phá huỷ các cơ sở vật chất phụ thuộc vàoCNTT, bom thư, virus máy tính, ăn cắp tiền ngân hàng càng trở nên đặc biệt quantrọng Vì vậy Quốc hội và Chính phủ đã ban hành một số văn bản quy phạm pháp luậtnhằm đảm bảo an toàn thông tin Các văn bản pháp lý liên quan đến vấn đề ATTT đãban hành được tóm tắt ở phụ lục 2 cho thấy cơ sở pháp lý còn thiếu hụt

2.7 Đánh giá chung về tình hình ATTT thế giới và trong nước

2.7.1 Xu thế gia tăng Spyware

Spyware đang trở nên phổ biến lấn dần các virus thuần túy Năm 2003, theo kếtquả nghiên cứu kiểm định của hãng phần mềm Webroot và hãng dịch vụ InternetEarthlink được thực hiện trên 1,5 triệu PC, trong đó đã phát hiện ra hơn 41 triệu phầnmềm quảng cáo (adware), các cookies đánh dấu, spyware, trojans và rất nhiều phầnmềm độc hại khác Chúng theo dõi các tác vụ được thực hiện trên máy tính và ăn cắpthông tin về hoạt động của người dùng Bình quân mỗi máy tính cá nhân chứa tới 28phần mềm gián điệp (spyware)

Năm 2004, theo thống kê của tổ chức IDC có tới 67% máy tính trên thế giới bịnhiễm spyware Chi phí cho việc chống lại những “kẻ xâm nhập” bất hợp pháp này sẽtăng từ 12 triệu USD trong năm 2003 lên 305 triệu USD vào năm 2008

Năm 2006, công ty Webroot cho biết có 89% máy tính của các khách hàng của họ

bị “dính” trung bình tới 30 loại spyware khác nhau

Malware là những hiểm hoạ mới từ Internet Malware lây theo bầy đàn trở thànhnhững mối nguy hiểm thực sự đối với người sử dụng Internet tại Việt Nam Malware làcách gọi chung cho các loại phần mềm độc hại, bao gồm virus, trojans, spyware,adware… Khi bị nhiễm malware loại này, nếu không được chữa chạy kịp thời, máytính của nạn nhân sẽ nhanh chóng bị lây nhiễm hàng loạt malware khác từ Internet

2.7.2 Tính đa dạng và phức tạp của vấn đề an ninh thông tin

Quan điểm về an toàn an ninh thông tin hiện nay đã khác xa thời kỳ đầu chỉ đơnthuần là bảo vệ máy tính cho người dùng phòng chống virus tin học Ngày nay, cáchành vi xâm phạm an ninh thông tin ngày càng đa dạng và phức tạp, xuất phát từ nhiềuđộng cơ rất khác nhau như: 1) Đùa cợt, thể hiện cá nhân, thử nghiệm…; 2) Đánh cắpthông tin, lừa đảo trên mạng, gian lận, tống tiền, tấn công ngân hàng, tấn công dịch vụthanh toán trực tuyến,…; 3) Phá hoại, phá hủy thông tin và các trang web, gây rối hệthống mạng; tuyên truyền, phát tán thông tin không lành mạnh,… 4) Kích động bạo lực,tung tin phản động phá hoại chính trị quốc gia, quấy rối trật tự xã hội, gây mâu thuẫnquốc gia và tôn giáo sắc tộc, gây chiến tranh thông tin, khủng bố quốc tế, tấn công các

cơ sở lưu trữ dữ liệu quốc gia và các hệ thống điều khiển quốc gia…; 5) Phá hoại đốithủ kinh tế cạnh tranh, hoạt động tình báo kinh tế - chính trị, tấn công các trung tâmnghiên cứu lén lấy bí mật quốc gia… Mỗi động cơ lại biểu hiện với vô vàn hành vi vàhình thức xâm phạm an toàn an ninh thông tin.

2.7.3 Tốc độ và quy mô phát triển của tấn công mạng

Cùng với sự phát triển như vũ bão của CNTT và TT, các hình thức tấn công xâmphạm an ninh thông tin tuy không phát triển nhanh bằng nhưng cũng gia tăng theo cấp

số nhân Theo thống kê sơ bộ của ICSA Labs ( thuộc Hiệp hội an ninh thông tin quốc tế), số lượng phần mềm độc hại mỗi năm tăng thêm từ 50-100% Theo thống kê của tổchức Cipher Trust thì mỗi ngày có thêm tới hơn 180.000 máy tính bị nhiễm phần mềmđộc hại Đây mới chỉ là những thống kê không đầy đủ, vì khó có thể thống kê được hết

và kể hết những thiệt hại do các phần mềm độc hại gây ra Do CNTT và TT được ứngdụng rộng rãi nên qui mô các tấn công mạng ngày càng rộng khắp, phạm vi tác độngcủa việc mất an toàn thông tin ngày càng lan rộng không chỉ còn đơn thuần ở mứcthông tin cá nhân, tổ chức mà còn ở mức qui mô quốc gia, toàn cầu

Các tổ chức bị ảnh hưởng bởi vấn đề an toàn mạng ngày càng tăng và đa dạng.Trong khi đó kỹ thuật tin tặc ngày càng cao hơn, thời gian để phản ứng ngắn lại

2.7.4 Trình độ kỹ thuật, công nghệ của các loại hình tấn công mạng.

Các loại shình tấn công mạng ngày càng sử dụng công nghệ, kỹ thuật tinh vi xảoquyệt hơn Công cụ cho các tội phạm mạng và tin tặc là những phần mềm do thám giánđiệp truyền tới các máy tính nối mạng và có thể lây nhiễm tới kể cả những máy khôngnối mạng Nguy cơ về tội phạm tin tặc sử dụng công nghệ cao ngày một gia tăng Ví dụnhư các vụ tấn công vào hệ thống dữ liệu của các công ty thông tin di động đánh cắpthẻ Sim, xâm nhập hệ thống ngân hàng đánh cắp tiền tài khoản, chuyển tiền trái phép,rút tiền trái phép qua máy tự động ATM, gây rối mất thông tin liên lạc, gây tắc nghẽnmạng lưới,…Tình hình gia tăng tấn công, các nguy cơ đe dọa

2.7.5 Màu sắc chính trị của tấn công, xâm nhập mạng

Tấn công, xâm nhập mạng ngày càng được lợi dụng cho mục đích chính trị Cáccông cụ tấn công, xâm nhập, nghe lén được tăng cường và được sử dụng ở nhiều cấp độ

khác nhau Ví dụ như những hệ thống giám sát Internet, nghe lén thu trộm thông tin (bộphận an ninh quốc gia của Bộ Quốc phòng Mỹ NSA đặt kênh thu thập thông tin ngầm

từ hệ điều hành Windows – theo washingtonpost.com ngày 09/1/2007, hoặc hệ thốngnghe lén ECHELON trên mạng Internet của NSA – theo hãng tin AP ngày 11/5/2006 )

2.7.6 Nhận thức xã hội và nhu cầu đảm bảo an toàn thông tin:

Hầu hết các nước trên thế giới ngày càng có nhận thức thống nhất về sự cần thiếtcủa chính sách an toàn an ninh thông tin quốc gia Các nước phát triển sớm đưa ra chiếnlược quốc gia và thành lập các tổ chức đảm bảo an ninh thông tin (ví dụ Mỹ ban hành

“Chiến lược quốc gia bảo vệ không gian mạng” vào tháng 2/2003, thành lập Cục Anninh không gian mạng vào tháng 6/2003)

Các tổ chức ngày càng có nhận thức thống nhất về sự cần thiết của chính sách anninh bảo mật và thực hành như một phần của chiến lược phòng ngừa rủi ro chung Cácnhà quản trị hệ thống hay mạng trở nên không thể một mình bảo vệ được các cơ cấu hệthống cũng như tài sản thông tin Có nhiều luật và quy định mới liên quan đến việc các

tổ chức bảo vệ thông tin

2.7.7 Xu hướng chung của thế giới đối với vấn đề an toàn thông tin

Xu hướng chung của thế giới đối với vấn đề an toàn thông tin bao gồm 4 hướng sau:1) Các nước phát triển đang liên tục bổ sung, hoàn thiện hệ thống luật pháp, quiđịnh mới, tiêu chuẩn và qui phạm về an toàn an ninh thông tin;

2) Thiết lập các tổ chức, chuẩn bị sẵn lực lượng phản ứng quốc gia; Bổ sung cácqui trình phản ứng sự cố trên qui mô lớn; Tăng cường nâng cao nhận thức về nguy cơmất an toàn thông tin trên mạng;

3) Thiết lập liên kết các tổ chức quốc gia và quốc tế về đảm bảo an toàn thông tin;Liên minh các cơ sở nghiên cứu, công nghiệp, các cơ quan quản lý quốc gia; Hìnhthành mạng lưới điều phối quốc gia về an toàn mạng;

4) Tăng cường hợp tác quốc tế, lập kênh liên lạc thường trực quốc tế về an ninhthông tin; Liên tục tăng cường các diễn đàn và hội nghị cấp cao về an ninh thông tin.Các tổ chức hoạt động trong lĩnh vực ATTT: các CERT, ITU,…Các hoạt động: hộinghị thượng đỉnh, hội nghị ITU, Mô hình phối hợp ở các nước

3.1 Sự cần thiết phải có chiến lược an toàn thông tin

Chiến lược ATTT tạo thành một bộ khung cho việc tổ chức và thực hiện cáctrọng tâm về ATTT, là những định hướng cho các cơ quan, tổ chức xác định rõ vai trò

và trách nhiệm của họ trong việc đảm bảo ATTT Đồng thời, nó xác định các bước cầnthiết cho các cơ quan, tổ chức trong việc thực thi công tác đảm bảo ATTT

Xây dựng chiến lược bao trùm mọi lĩnh vực an toàn thông tin là một vấn đề khó.Nhiều vấn đề không thể đề cập đến một cách chi tiết, nhiều vấn đề không thể cụ thể hóathành những chính sách an toàn thông tin Mặt khác, CNTT phát triển hết sức nhanhchóng, kèm theo nó là lĩnh vực an toàn thông tin Ngay các điểm yếu hệ thống và nguy

cơ đe dọa cũng thay đổi nhanh theo thời gian Kỹ thuật và công nghệ của tin tặc cũngphát triển nhanh với trình độ rất cao Điều đó đòi hỏi xây dựng chiến lược cần có tínhtổng thể, bao trùm và đón đầu cả một giai đoạn phát triển

3.2 Cơ sở cho xây dựng chiến lược an toàn thông tin

Cơ sở cho xây dựng chiến lược an toàn thông tin trong phạm vi một tỉnh đều có mụctiêu chung đó là: Ngăn chặn các tấn công vào cơ sở hạ tầng thông tin; Giảm thiểu cácnguy cơ, các điểm yếu trong hệ thống thông tin; Giảm thiểu thiệt hại và thời gian khôiphục lỗi

Để xây dựng chiến lược ATTT cấp tỉnh cần xác định các nội dung sau:

- Đánh giá hiện trạng: nguy cơ, hiểm họa và mối đe dọa tấn công như nhau

- Xác định rõ vai trò quản lý nhà nước trong mối quan hệ với các cơ quan, tổ chứcdoanh nghiệp khác như nhau

- Xác định các trọng tâm chiến lược

Các trọng tâm trong bảo vệ an toàn thông tin được xác định theo thứ tự ưu tiên sau:

- Củng cố và hoàn thiện môi trường pháp lý

- Xây dựng hệ thống cảnh báo, xử lý sự cố

- Xây dựng chương trình chống tấn công, giảm thiểu thiệt hại

- Xây dựng chương trình đào tạo, nâng cao nhận thức

- Xây dựng chương trình bảo vệ cơ sở hạ tầng thông tin

- Xây dựng chương trình phối hợp xử lý sự cố

3.3 Các nguyên tắc chủ yếu trong xây dựng chiến lược ATTT

3.3.1 Các yêu cầu cơ bản trong xây dựng chiến lược ATTT

Để xây dựng được chiến lược an toàn thông tin một cách có hiệu quả nhất cần cócác yêu cầu cơ bản sau:

- Xây dựng chính sách về ATTT: Bao gồm các cơ sở pháp luật, hành lanh pháp lý,các quy trình, quy định trong việc thực thi chiến lược ATTT

- Xây dựng đội ngũ: Cần có các khoá đào tạo bối dưỡng, nâng cao năng lực của cán

bộ đảm nhiệm vai trò đảm bảo an toàn thông tin của đơn vị, đồng thời cần có nhómhoặc chuyên gia chuyên trách được đào tạo nghiệp vụ về ATTT.Đối với các các cán

bộ làm việc trong môi trường mạng cần qua đào tạo cơ bản để nâng cao nhận thức,tránh sai sót trong quá trình sử dụng các hệ thống CNTT

- Xây dựng các biện pháp quản lý về ATTT: Bên cạnh việc xây dựng các chính sách,đội ngũ có nghiệp vụ về ATTT cần phải xây dựng các biện pháp quản lý về ATTTnhư: Rà soát, khảo sát hiện trạng, nhu cầu về đảm bảo nhu cầu ATTT; Xây dựng bộkhung, các quy trình, quy chế tuân thủ theo pháp luật, chính sách, tiêu chuẩn; Xâydựng quy chế quản lý, vận hành, khắc phục sự cố, phòng chống, sao lưu; Xây dựngquy trình kiểm tra, giám sát việc thực thi các biện pháp

- Áp dụng các biện pháp kỹ thuật: Các dự án đầu tư CNTT cần tuân thủ pháp luật vềATTT, các tiêu chuẩn ATTT Rà soát, kiểm tra, đánh giá hiện trạng các hệ thốngCNTT, các quy trình quản lý, khai thác để bổ sung các biện pháp phù hợp Kiểm trađịnh kỳ, theo dõi, giám sát, hiệu chỉnh kịp thời các lỗi hệ thống

Đặc biệt đối với các cơ quan/tổ chức cung cấp dịch vụ Internet cần tăng cường bảo

vệ dữ liệu, có cảnh báo, có hỗ trợ khách hàng, có bảo vệ nhiều lớp…

3.3.2 Các lĩnh vực liên quan trong quản lý ATTT

Lĩnh vực pháp lý: bao gồm chính sách, các văn bản pháp luật, các luật, nghị định,hành lang pháp lý đối với việc đảm bảo ATTT

Các lĩnh vực khác gồm: Tổ chức, phân loại và kiểm soát tài sản, nhân lực, môitrường, quản trị hệ thống, kiểm soát truy nhập, phát triển và bảo dưỡng hệ thống, kếhoạch duy trì hoạt động, đảm bảo tuân thủ.

3.3.3 Các nguyên tắc chung trong xây dựng chiến lược ATTT

Các nguyên tắc chung trong xây dựng chiến lược ATTT gồm:

1- Đảm bảo an toàn thông tin là trách nhiệm của mỗi cá nhân, mỗi tổ chức

Vai trò của các cơ quan quản lý nhà nước chỉ là hỗ trợ, thúc đẩy thông qua: sự tăngcường sự phối hợp, chia sẻ thông tin; Tăng cường hệ thống giám sát, phát hiện tấncông, cảnh báo sớm và hỗ trợ kỹ thuật, tư vấn xử lý sự cố, hỗ trợ nghiên cứu phát triển.2- Bảo vệ quyền riêng tư và tự do cá nhân Quyền riêng tư và tự do cá nhân được bảo

vệ thông qua hệ thống pháp lý

3- Các quy định phù hợp với thực tế

4- Phân định trách nhiệm và kiểm tra giám sát

5- Đảm bảo tính mềm dẻo linh hoạt trong các hoạt động quản lý, xử lý ứng cứu

6- Đảm bảo tính đón đầu công nghệ mới

3.4 Nội dung chiến lược an toàn thông tin

3.4.1 Mục tiêu của chiến lược

Chiến lược ATTT bao gồm các mục tiêu sau:

- Ngăn chặn các tấn công vào cơ sở hạ tầng thông tin

- Giảm thiểu các nguy cơ, các điểm yếu trong hệ thống thông tin

- Giảm thiểu thiệt hại và thời gian khôi phục lỗi

3.4.2 Đánh giá công tác đảm bảo an toàn an ninh thông tin

- Về môi trường pháp lý: Cơ sở pháp lý về an toàn an ninh thông tin đã được triển

khai từng phần qua các văn bản pháp quy, song vẫn chưa khái quát và đầy đủ Tương tựnhư các nước phát triển, hệ thống văn bản pháp quy cần thường xuyên cập nhật, thayđổi, bổ sung do sự phát triển nhanh của CNTT và TT Bộ TT&TT đã xây dựng vàchuẩn bị đệ trình bổ sung một số văn bản pháp lý, tiêu chuẩn

- Về mặt công nghệ: CNTT phát triển rất nhanh nên phần mềm và kể cả phần mềm độc

hại, các kẽ hở hệ thống ngày càng nhiều, tấn công mạng ngày càng đa dạng, tinh vi và

chuyên nghiệp hơn Trong khi đó, cơ sở vật chất phục vụ hoạt động đảm bảo an toàn anninh thông tin còn thiếu và yếu; Mức độ đầu tư về an ninh thông tin còn thấp so với thếgiới Đầu tư cho an toàn an ninh thông tin tại các quốc gia khác thường chiếm từ 8% -10% tổng đầu tư cho CNTT.

- Về mặt quản lý Nhà nước: Công tác điều phối cấp quốc gia đã bước đầu được triển

khai, song cần tăng cường và mở rộng hơn Các tổ chức đảm bảo an toàn an ninh thôngtin trong nước còn chưa triển khai ở mức độ và qui mô cần thiết, đội ngũ còn mỏng.Còn thiếu các tiêu chuẩn, quy trình quy phạm kỹ thuật về an ninh thông tin Tổ chứcISO thế giới có trên 100 chuẩn về an ninh thông tin, trong khi đó Việt Nam mới banhành 2 tiêu chuẩn và bắt tay nghiên cứu 12 tiêu chuẩn để chuẩn bị ban hành

- Về nhận thức, đào tạo nhân lực: Nhận thức về nguy cơ mất an toàn thông tin có

tăng nhưng cần đẩy mạnh hơn nữa với mọi đối tượng: người quản lý, quản trị mạng,người dùng Còn nhiều cơ quan, tổ chức, doanh nghiệp chưa đánh giá đầy đủ nguy cơmất an toàn thông tin và sự cần thiết của các biện pháp phòng chống, chưa có đầu tưđúng mức cho đảm bảo an toàn an ninh thông tin về mặt trang thiết bị kỹ thuật và độingũ Hầu hết chương trình đào tạo CNTT ở các trường đại học trong nước còn chưa cónội dung về an ninh thông tin Đào tạo nghiệp vụ an toàn an ninh thông tin còn tùy tiện

Bộ TT & TT đang quan tâm đến nội dung và kế hoạch đào tạo, huấn luyện, bồi dưỡngnghiệp vụ an toàn thông tin, đấu tranh phòng chống tấn công trên mạng

- Về mức độ ảnh hưởng do mất an toàn thông tin tới nay: Việt Nam đang bước vào

giai đoạn phát triển kinh tế giống thời kỳ các nước phát triển đã trải qua CNTT tuyphát triển nhanh, song ứng dụng CNTT ở Việt Nam hiện nay vẫn còn ở mức thấp so vớithế giới Các dịch vụ hành chính công trên mạng, chính phủ điện tử còn chưa triển khai.Thương mại điện tử còn chưa thực sự phát triển Chính vì vậy, Việt Nam chưa kịp bịảnh hưởng nặng nề về mất an toàn thông tin so với nhiều nước, hậu quả chưa lớn, song

sự hiện diện của các hành vi tấn công mạng và tội phạm mạng đang có nguy cơ phổbiến và đáng lo ngại

- Về nguy cơ mất an toàn thông tin trong thời gian tới: Việt Nam đang xây dựng cơ

sở hạ tầng trọng yếu về CNTT, trong đó một số lĩnh vực kinh tế - xã hội – an ninh quốc

phòng có ứng dụng CNTT ở mức cao Với đà phát triển CNTT và TT hiện nay, nguy cơmất an toàn thông tin sẽ gia tăng nhanh chóng và gây thiệt hại, ảnh hưởng nghiêm trọngđến sự phát triển kinh tế xã hội nếu công tác đảm bảo an ninh thông tin không đượctriển khai ở đúng mức độ và qui mô cần thiết Dự báo Việt Nam cũng sẽ qua thời kỳphát triển CNTT giống như các nước khác trên thế giới Các loại hình tội phạm mạngmới, các thủ đoạn tấn công vào mạng Việt Nam cũng sẽ tương tự và tăng theo qui luậtcấp số nhân như đã xảy ra ở các nước phát triển khác Nhận thức được điều đó sẽ giúpViệt Nam chủ động hơn trong việc chuẩn bị trước để đề phòng, đối phó, ngăn chặnnhằm giảm thiểu thiệt hại, hạn chế tối đa những nguy cơ, thúc đẩy phát triển bền vữngcông nghệ thông tin và chính trị kinh tế xã hội.

Để phát triển kinh tế chính trị xã hội bền vững, thúc đẩy phát triển ứng dụng côngnghệ thông tin, chính phủ điện tử và thương mại điện tử, cần quyết liệt hơn trong côngtác đảm bảo an ninh thông tin mạng với những chính sách an ninh thông tin quốc gia

3.4.3 Dự báo xu hướng an toàn thông tin trong giai đoạn 2008 – 2012

3.4.3.1 Xu hướng xuất hiện tội phạm máy tính chuyên nghiệp

Tội phạm máy tính của Việt Nam hình thành với các hoạt động gần giống giới tộiphạm quốc tế, bao gồm:

- Lừa đảo quốc tế qua mail ( phishing)

- Các hoạt động liên quan đến làm giả, mua hàng, rửa tiền bằng thẻ tín dụng

- Phát triển các mạng máy tính ma (bots network ) để tổ chức tấn công từ chốidịch vụ, gửi thư rác, quảng cáo dạng popup,…

- Bảo kê, tấn công các hệ thông thương mại điện tử vì lý do kinh tế và cạnh tranh

- Gửi thư rác vào không gian mạng Việt Nam với quy mô lớn

Hình 3.1 Số lượng vụ tấn công lấy cắp mật khẩu tăng nhanh

Hình 3.2 Số lượng vụ lừa đảo tăng nhanh

3.4.3.2 Xu hướng tấn công từ chối dịch vụ, spam, spyware

Xu hướng tấn công từ chối dịch vụ, spam, spyware sẽ tiếp tục sẽ tiếp tục hoànhhành Hình thái tấn công nguy hiểm và khó chống đỡ nhất trên Internet – DDoS - trởlên phổ biến ở Việt Nam trong bối cảnh giới hacker thế giới ‘ khai tử ‘ kiểu tấn côngnày với một số cải tiến dùng trình duyệt có hỗ trợ Flask làm công cụ tấn công, khiếnnhiều người dùng web trở thành zoombile đi tấn công các hệ thống đã được hacker địnhtrước, tấn công Flash – DDoS trở nên rất khó khống chế về phương diện kỹ thuật.Nhiều công cụ kỹ thuật tinh vi hơn sẽ xuất hiện

3.4.3.3 Xu hướng tấn công gia tăng vào các website

Hàng loạt các website có độ bảo mật kém của Việt Nam sẽ bị tấn công nghiêm trọngbởi các công cụ tự đáp sẽ phối hợp với cộng do mắc các lỗi bảo mật phổ biến