Giải pháp đảm bảo an toàn và bảo mật HTTT cho công ty cổ phần climax việt nam

Accounting Information Sytstems 2002, New York John & Sons, 2002 Cuốn sách viết về phần mềm thông tin kế toán bao gồm: Nhìn chung về mô hìnhphần mềm kế toán, hệ thống kế toán quản lý, hệ

LỜI CẢM ƠN

Trước tiên, em xin gửi lời cảm ơn sâu sắc nhất đến Th.S Bùi Quang Trường –

Giảng viên Bộ môn Công nghệ thông tin đã tận tình hướng dẫn em trong suốt quá trìnhthực hiện khóa luận tốt nghiệp

Em xin bày tỏ lời cảm ơn sâu sắc đến những thầy cô giáo đã giảng dạy em trongbốn năm ngồi trên ghế giảng đường trường Đại học Thương Mại, những kiến thức mà

em nhận được sẽ là hành trang giúp em vững bước trong tương lai

Em cũng muốn gửi lời cảm ơn đến các anh chị trong Công ty cổ phần ClimaxViệt Nam đã nhiệt tình giúp đỡ tác giả trong quá trình hoàn thành bài khóa luận tốtnghiệp của mình

Cuối cùng, em xin chân thành cảm ơn Khoa Hệ thống thông tin kinh tế và cácthầy cô trong Thư viện trường đã tạo điều kiện giúp tác giả nghiên cứu tài liệu quý báutrong thời gian qua để hoàn thành đề tài

Bài khóa luận của em còn nhiều thiếu xót kinh mong nhận được sự chỉ bảo vàgiúp đỡ của quý thầy cô và các bạn để bài làm được hoàn thiện hơn

Xin chân thành cảm ơn!

MỤC LỤC

LỜI CẢM ƠN i

DANH MỤC BẢNG BIỂU, SƠ ĐỒ, HÌNH VẼ iv

DANH MỤC TỪ VIẾT TẮT v

PHẦN I: TỔNG QUAN VẤN ĐỀ NGHIÊN CỨU 1

1.1 Tầm quan trọng, ý nghĩa của vấn đề nghiên cứu 1

1.1.1 Tầm quan trọng 1

1.1.2 Ý nghĩa của vấn đề nghiên cứu 1

1.2 Tổng quan vấn đề nghiên cứu 2

1.2.1 Tình hình nghiên cứu ngoài nước 2

1.2.2.Tình hình nghiên cứu trong nước 3

1.3 Mục tiêu của đề tài 4

1.4 Đối tượng và phạm vi nghiên cứu của đề tài 4

1.5 Pháp nghiên cứu 5

1.5.1 Phương pháp thu thập dữ liệu 5

1.5.2 Phương pháp phân tích và xử lý dữ liệu 5

1.6 Kết cấu khóa luận 6

PHẦN II CƠ SỞ LÝ LUẬN VÀ THỰC TRẠNG AN TOÀN BẢO MẬT HTTT CỦA CÔNG TY CỔ PHẦN CLIMAX VIỆT NAM 7

2.1 Cơ sở lý luận về an toàn bảo mật HTTT 7

2.1.1 Khái niệm và vai trò của an toàn bảo mật HTTT trong công ty 7

2.1.2 Một số phương thức tấn công và phòng vệ HTTT 10

2.1.3 Phân định nội dung 19

2.2 Thực trạng về vấn đề an toàn bảo mật HTTT của công ty cổ phần Climax Việt Nam 19

2.2.1 Giới thiệu về công ty cổ phần Climax Việt Nam 19

2.2.2 Phân tích thực trạng tại an toàn và bảo mật HTTT tại công ty cổ phần Climax Việt Nam 22

2.2.3 Đánh giá thực trạng vấn đề an toàn bảo mật HTTT tại công ty 32

PHẦN III ĐỊNH HƯỚNG PHÁT TRIỂN VÀ ĐỀ XUẤT GIẢI PHÁP ĐẢM BẢO AN TOÀN BẢO MẬT CHO HTTT CỦA CÔNG TY CỔ PHẦN CLIMAX 35

VIỆT NAM 35

3.1 Định hướng phát triển đảm bảo an toàn và bảo mật HTTT cho công ty cổ phần Climax Việt Nam 35

3.2 Đề xuất giải pháp đảm bảo an toàn và bảo mật HTTT cho công ty 36

3.2.1 Giải pháp tường lửa cho HTTT của công ty 36

3.2.2 Giải pháp bảo mật dữ liệu cho HTTT củacông ty 38

3.2.3 Xây dựng quy trình kiểm soát mạng chặt chẽ cho HTTT của công ty 39

3.2.4 Quy định việc đảm bảo an toàn, bảo mật hệ thống 40

3.2.5 Nâng cao chất lượng nguồn nhân lực phục vụ hoạt động đảm bảo an toàn và bảo mật HTTT cho công ty 41

3.3 Một số kiến nghị 42

KẾT LUẬN 43 TÀI LIỆU THAM KHẢO

PHIẾU ĐIỀU TRA KHẢO SÁT

HỆ THỐNG THÔNG TIN TẠI DOANH NGHIỆP

DANH MỤC BẢNG BIỂU, SƠ ĐỒ, HÌNH VẼ

Bảng 2.1 Báo cáo kết quả kinh doanh của công ty cổ phần CLIMAX Việt Nam1 Bảng 2.2 Các phần mềm đang được sử dụng tại công ty cổ phần CLIMAX Việt Nam

Biểu đồ 2.1 Biểu đồ thể hiện tỷ lệ sử dụng phần mềm bản quyền trong công ty 23

Biểu đồ 2.2 Biện pháp bảo vệ dữ liệu máy tính 24

Biểu đồ 2.2 Tỷ lệ đầu tư vào CNTT và HTTT trong vòng 3 năm gần đây 25

Biểu đồ 2.3 Biểu đồ thể hiện tầm quan trọng của bảo mật HTTT 27

Biểu đồ 2.4 Biểu đồ thể hiện mức độ quan tâm đầu tư cho việc xây dựng hệ thống thông tin an toàn bảo mật của công ty 28

Biểu đồ 2.5 Biểu đồ thể hiện các giải pháp công ty đưa ra để đảm bảo an toàn thông tin hệ thống 28

Biểu đồ 2.6 Biểu đồ thể hiện trình độ hiểu biết của nhân viên trong công ty về an toàn bảo mật HTTT 29

Biểu đồ 2.7 Biểu đồ thể hiện cách thức bảo vệ CSDL được sử dụng trong Công ty .30 Biểu đồ 2.8 Biểu đồ thể hiện trở ngại khi phát triển an toàn HTTT công ty 30

Biểu đồ 2.9 Biểu đồ thể hiện cách thức bảo đảm an toàn bảo mật HTTT được sử dụng 31 Biểu đồ 2.10 Biểu đồ thể hiện mức độ đầu tư vào an toàn bảo mật HTTT của công ty trong thời gian tới 32

Hình 3.1 Thiết bị bảo mật Cisco ASA 5510 38

Sơ đồ 2.1 Cơ cấu bộ máy tổ chức Công ty cổ phần CLIMAX Việt Nam

DANH MỤC TỪ VIẾT TẮT

PHẦN I: TỔNG QUAN VẤN ĐỀ NGHIÊN CỨU.

I.1 Tầm quan trọng, ý nghĩa của vấn đề nghiên cứu.

I.1.1 Tầm quan trọng.

Hệ thống thông tin có vai trò rất quan trọng giúp gia tăng giá trị cho tổ chức vàquyết định đối với hiệu quả kinh doanh, tính sống còn cảu tổ chức Là cơ sở để cácnhà quản lý và doanh nghiệp có thể đưa ra những quyết định chiến lược đúng đắn, đưadoanh nghiệp vượt qua giai đoạn khó khăn và phát triển Hiện nay rất ít doanh nghiệpquan tâm đúng mức đến vấn đề tổ chức hệ thống thông tin trong doanh nghiệp Vìvậy, giữ an toàn và bảo mật cho HTTT của doanh nghiệp ngày càng được coi trọng.Xây dựng một HTTT an toàn giúp cho việc quản lý hệ thống trở nên rõ ràng,minh bạch hơn Một môi trường thông tin an toàn, trong sạch sẽ có tác động khôngnhỏ đến việc giảm thiểu chi phí quản lý và hoạt động của doanh nghiệp, nâng cao uytín của doanh nghiệp, tạo điều kiện thuận lợi cho sự hội nhập một môi trường thông tinlành mạnh Điều này sẽ tác động mạnh đến ưu thế cạnh tranh của tổ chức Rủi ro vềthông tin có thể gây thất thoát tiền bạc, tài sản, con người và gây thiệt hại đến hoạtđộng kinh doanh sản xuất của doanh nghiệp.Do vậy, đảm bảo ATTT doanh nghiệp cũng cóthể coi là một hoạt động quan trọng trong sự nghiệp phát triển của doanh nghiệp

I.1.2 Ý nghĩa của vấn đề nghiên cứu.

Là một doanh nghiệp mới thành lập, Công ty cổ phần Climax Việt Nam vẫn chưa

có sự đầu tư đúng mức cho vấn đề an toàn bảo mật HTTT của mình Nhận thấy đây là

vấn đề cần thiết đối với công ty nên em quyết định lựa chọn vấn đề: “Giải pháp đảm bảo an toàn và bảo mật HTTT cho công ty cổ phần Climax Việt Nam ” làm đề tài

khóa luận của mình Với hi vọng, đây sẽ là giải pháp hiệu quả để giúp công ty nângcao doanh thu và lợi nhuận trong tương lai, đảm bảo doanh nghiệp có thể đưa ra nhữngquyết định một cách đúng đắn, kịp thời

Áp dụng kết quả nghiên cứu để đưa ra các giải pháp nâng cao tính an toàn bảomật của HTTT cho doanh nghiệp

I.2 Tổng quan vấn đề nghiên cứu.

I.2.1 Tình hình nghiên cứu ngoài nước.

Ở Việt Nam nói riêng và trên Thế giới nói chung, có không ít người quan tâm vànghiên cứu đưa ra phương hướng và giải pháp đảm bảo an toàn và bảo mật hệ thốngthông tin nói chung Công nghệ thông tin ngày càng phát triển dẫn đến càng nhiềuhình thức tinh vi, tiểu sảo, nhiều các cuộc tấn công đánh cắp dữ liệu vào các websitecủa các doanh nghiệp lớn nhỏ, các tổ chức, chính phủ…

Hay gần đây nhất là vụ tấn công vào các trang thông tin điện tử của Cơ quan tìnhbáo Trung ương Mỹ CIA và Interpol, gây những hậu quả đặc biệt nghiêm trọng Các sốliệu thống kê và thực tế cho thấy các cuộc tấn công mạng sẽ ngày càng mạnh mẽ hơn,chuyên nghiệp hơn và ngày càng khó khăn hơn để ngăn chặn

Accounting Information Sytstems (2002), New York John & Sons, 2002

Cuốn sách viết về phần mềm thông tin kế toán bao gồm: Nhìn chung về mô hìnhphần mềm kế toán, hệ thống kế toán quản lý, hệ thống khái niệm và kế toán, các công

cụ của hệ thống, quá trình phát triển của hệ thống… Cuốn sách sẽ giúp ta hiểu roc hơn

về phần mềm kế toán và cách sử dụng phần mềm một cách tối đa nhất

William Stallings(2005), Cryptography and network security principles and practices, Fourth Edition, Prentice Hall, 2005

Cuốn sách nói về vấn đề mật mã và an ninh mạng hiện nay, khám phá những vấn

đề cơ bản của công nghệ mật mã và an ninh mạng Kiểm tra các thực hành an ninhmạng thông qua các ứng dụng thực tế đã được triển khai thực hiện và sử dụng ngàynay Các chương trình mã hóa được sử dụng rộng rãi nhất dựa trên các dữ liệuEncryption Standard (DES) được thông qua vào năm 1977 của Cục Tiêu chuẩn Quốcgia, nay là Viện Tiêu chuẩn và Công nghệ (NIST), như tiêu chuẩn xử lý thông tin liênbang 46 (FIPS PUB 46) Đối với DES, dữ liệu được mã hóa trong khối 64-bit sử dụngmột chìa khóa 56-bit Các thuật toán biến đổi 64-bit đầu vào trong một loạt các bướcvào một đầu ra 64-bit Các bước tương tự, với cùng một phím, được sử dụng để đảongược mã hóa DES với việc sử dụng rộng rãi Nó cũng đã là chủ đề của nhiều cuộctranh cãi liên quan đến bảo mật của DES là Để đánh giá đúng bản chất của sự tranhcãi, chúng ta hãy nhanh chóng xem lại lịch sử của DES

Tính năng ngăn chặn chế độ thuật toán, mã hoá hoạt động, bao gồm cả chế độCMAC (Cipher-based Message Authentication Code) để xác thực và chế độ mã hoáchứng thực Bao gồm phương pháp giải quyết, mở rộng cập nhật những phần mềm độchại và những kẻ xâm hại.

I.2.2 Tình hình nghiên cứu trong nước.

Hiện nay vấn đề an toàn và bảo mật thông tin rất được coi trọng Chính phủ đãban hành nghị định 85/2016/NĐ-CP quy định về đảm bảo an toàn HTTT theo cấp độ,

có hiệu lực thực thi từ ngày 1/2/2016:

Nghị định này quy định chi tiết về tiêu chí, thẩm quyền, trình tự, thủ tục xác địnhcấp độ an toàn HTTT và trách nhiệm đảm bảo an toàn HTTT theo từng cấp độ; tráchnhiệm của việc đảm bảo an toàn HTTT

Một số giáo trình:

TS Trần Thị Song Minh (2012), Hệ thống thông tin quản lý, Nhà xuất bản Đại

Học Kinh Tế Quốc Dân Giáo trình được chia làm 6 phần Phần 1, cho ta thấy cái nhìntổng quát về HTTT Phần 2, các thành phần công nghệ của HTTT Phần 3, các HTTTdưới góc độ quản lý và ra quyết định Phần 4, các HTTT ứng dụng trong kinh doanh.Phần 5, phát triển các HTTT trong tổ chức Phần 6, quản trị các nguồn lực và vấn đề

an toàn HTTT

TS Đàm Gia Mạnh(2009), An toàn dữ liệu trong thương mại điện tử, nhà xuất

bản thống kê, Đại Học Thương Mại Giáo trình cho ta thấy tổng quan về an toàn dữliệu, các hình thức tấn công dữ liệu trong thương mại điện tử, các phương thức phòngtránh và khắc phục hậu quả, các phương pháp mã hóa và cuối cùng là ứng dụng của antoàn dữ liệu trong thương mại điện tử

“An toàn bảo mật HTTT”, Đại học Bách Khoa HN Giáo trình viết về tổng quanbảo mật an toàn hệ thống thông tin, các phương pháp mã hóa cổ điển, chuẩn mã dữliệu DES, mật mã công khai, các sơ đồ chữ ký số Trong đó, phần các phương pháp mãhóa cổ điển giúp ta biết về các phương pháp mã hóa cổ điển, cơ chế hoạt động của cácphương pháp đó

Đã có khá nhiều những công trình nghiên cứu về vấn đề này:

Có khá nhiều đề tài đã đề cập đến vấn đề an toàn bảo mật thông tin như đề tài

“An toàn và bảo mật HTTT”, Trịnh Ngọc Minh, đề tài nghiên cứu trọng điểm cấpĐHQG, ĐHQG TP Hồ Chí Minh Đề tài nói về các biện pháp bảo mật HTTT : các

dịch vụ cần bảo vệ trên máy chủ unix, bài toán phát hiện kẻ xâm nhập, một số phươngpháp bảo vệ tài nguyên hệ thống, xây dựng firewall trên cơ sở máy chủ Linux và cisco Router.

Luận văn thạc sĩ với đề tài “Bảo mật và an toàn thông tin trong thương mại điện tử”, Nguyễn Tuấn Anh, Khoa CNTT, Đại học Bách Khoa.

Luận văn đã đưa ra được một số công cụ và phương pháp nhằm đảm bảo an toànthông tin trong TMĐT như: mã hóa, chữ ký số…

Tuy nhiên, nội dung nghiên cứu của luận văn chỉ dừng lại ở việc đảm bảo an toànthông tin trong TMĐT chứ không bao quát được toàn bộ các vấn đề về ATTT nóichung và đi sâu vào một doanh nghiệp cụ thể

Đồ án tốt nghiệp “Nghiên cứu đảm bảo an toàn thông tin bằng kiểm soát truy nhập”,

Đoàn Trọng Hiệp, Khoa CNTT, Đại học dân lập Hải Phòng

Đồ án giúp ta hiểu rõ hơn về các kĩ thuật, phương pháp và mô hình kiểm soáttruy nhập nhằm đảm bảo an toàn thông tin

Nhưng kết quả của đồ án chỉ là tìm hiểu, nghiên cứu tài liệu để hệ thống lại cácvấn đề chứ không đi vào ứng dụng tại một cơ quan hay tổ chức cụ thể nào

I.3 Mục tiêu của đề tài.

- Tìm hiểu nghiên cứu và hệ thống hóa cơ sở lý luận về an toàn và bảo mật HTTTcho doanh nghiệp

- Phân tích, tổng hợp thực trạng về an toàn bảo mật HTTT trong doanh nghiệp

- Đánh giá ưu, nhược điểm, nguyên nhân của thực trạng an toàn bảo mật HTTT trongdoanh nghiệp

- Trên cơ sở nghiên cứu lý thuyết, phân tích và đánh giá thực trạng đưa ra các kiếnnghị, biện pháp để đảm bảo an toàn bảo mật HTTT cho doanh nghiệp

I.4 Đối tượng và phạm vi nghiên cứu của đề tài.

Đối tượng nghiên cứu: Doanh nghiệp, HTTT, các hoạt động đảm bảo an toànbảo mật HTTT cho DN

Phạm vi nghiên cứu :

- Về nội dung: Đề tài nghiên cứu về mức độ an toàn và bảo mật HTTT củacông ty và đưa ra các biện pháp để nâng cao HTTT đó

- Phạm vi về thời gian: Số liệu thu thập từ 2014 đến năm 2016

- Phạm vi về không gian: Công ty cổ phần Climax Việt Nam, cơ chế bảo mật,quá trình nghiệp vụ

1.5 Pháp nghiên cứu.

1.5.1 Phương pháp thu thập dữ liệu

Phương pháp nghiên cứu tài liệu: tìm hiểu nghiên cứu các văn bản, tài liệu liênquan đến đề tài nghiên cứu qua internet và các bài báo Phân tích, tổng hợp các tài liệu

có liên quan đến đề tài

Phương pháp thống kê, thu thập số liệu bằng cách sử dụng phiếu điều tra : thiết

kế những phiếu điều tra, hướng dẫn người sử dụng điền những thông tin cần thiếtnhằm thăm dò dư luận, thu thập các ý kiến, quan điểm có tính đại chúng rộng rãi.Phương pháp so sánh đối chiếu: Đối chiếu giữa lý luận và thực tiễn kết hợp thuthập và xử lý thông tin từ các nguồn thu thập

Phương pháp phân tích, tổng hợp, xử lý và đánh giá: Sử dụng Microsoft officeexcel, vẽ biểu đồ minh họa để xử lý các số liệu thu thập được từ các nguồn tài liệu bêntrong công ty bao gồm báo cáo kết quả hoạt động kinh doanh của công ty năm 2014 –

2015, từ phiếu điều tra và tài liệu thống kê khác

Phương pháp phán đoán dùng để đưa ra các dự báo, phán đoán về tình hình pháttriển HTTT của công ty, tình hình an toàn bảo mật thông tin chung trong nước và thếgiới cũng như đưa ra các nhận định về các nguy cơ mất an toàn thông tin mà công ty

sẽ hứng chịu

1.5.2 Phương pháp phân tích và xử lý dữ liệu

Mỗi phương pháp xử lý thông tin đều có những ưu nhược điểm riêng của chúng

vì vậy trong đề tài nghiên cứu này chúng ta sẽ sử dụng các phương pháp xử lý thôngtin sau:

Phương pháp định lượng: Sử dụng phần mềm SPSS (Statistical Package for

Phương pháp định tính: Đối với các số dữ liệu thu thập được ở dạng số liệu có

thể thống kê phân tích và định lượng được ta sẽ dùng bảng tính Excel để phân tích làm

rõ các thuộc tính, bản chất của sự vật hiện tượng hoặc làm sáng tỏ từng khía cạnh hợp

thành nguyên nhân của vấn đề được phát hiện Thường sử dụng để đưa ra các bảng sốliệu thống kê, các biểu đồ thống kê, đồ thị.

1.6 Kết cấu khóa luận.

Phần 1: Tổng quan về vấn đề nghiên cứu

Phần 2: Cơ sở lý luận và thực trạng an toàn bảo mật HTTT của công ty cổ phầnClimax Việt Nam

Phần 3: Định hướng phát triển và đề xuất giải pháp đảm bảo an toàn bảo mậtHTTT của công ty cổ phần Climax Việt Nam

PHẦN II CƠ SỞ LÝ LUẬN VÀ THỰC TRẠNG AN TOÀN BẢO MẬT HTTT

CỦA CÔNG TY CỔ PHẦN CLIMAX VIỆT NAM.

2.1 Cơ sở lý luận về an toàn bảo mật HTTT.

2.1.1 Khái niệm và vai trò của an toàn bảo mật HTTT trong công ty.

2.1.1.1 Các khái niệm về HTTTT

- Hệ thống: tập hợp các phần tử tương tác được tổ chức nhằm thực hiện mộtmục đích xác định(TS Trần Thị Song Minh, Giáo trình HTTT Quản lý, Đại học kinh

tế quốc dân)

Các phần tử ở đây là tập hợp các phương tiện vật chất và nhân lực

Những yếu tố cơ bản của một hệ thống gồm:

Mục đích: chính là lý do mà hệ thống tồn tại và là một tiêu chí được sử dụng khiđánh giá mức độ thành công của hệ thống

Phạm vi: nhằm xác định những gì nằm trong và ngoài hệ thống

Môi trường: bao gồm tất cả những yếu tố nằm ngoài hệ thống

Đầu vào: là những đối tượng và thông tin từ môi trường bên ngoài hệ thống đượcđưa vào hệ thống

Đầu ra: là những đối tượng hoặc những thông tin được đưa từ hệ thống ra bên ngoài

- Hệ thống thông tin: một hệ thống bao gồm các yếu tố có quan hệ với nhaucùng làm nhiệm vụ thu thập, xử lý, lưu trữ và phân phối dữ liệu, thông tin cung cấpmột cơ chế phản hồi để đạt được một mục tiêu định trước.(TS Trần Thị Song Minh,Giáo trình HTTT quản lý, Đại học kinh tế quốc dân)

- Hệ thống thông tin quản lý là: hệ thống tích hợp các yếu tố con người, các thủtục, các CSDL và các thiết bị được sử dụng để cung cấp những thông tin có ích chocác nhà quản lý và ra quyết định (TS Trần Thị Song Minh, Giáo trình hệ thống thôngtin quản lý, Đại Học Kinh Tế Quốc Dân)

- Bảo mật hệ thống thông tin là: bảo vệ hệ thống thông tin chống lại việc truycập, sử dụng, chỉnh sửa, phá hủy, làm lộ và gián đoạn thông tin và hoạt động của hệthống một cách trái phép

- An toàn dữ liệu: có thể hiểu là quá trình đảm bảo an toàn ch hệ thống tránh khỏinhững nguy cơ hỏng hóc hoặc mất mát dữ liệu Các nguy cơ này có thể là ngẫu nhiênhoặc có chủ định

2.1.1.2 Các khái niệm về an toàn bảo mật hệ thống thông tin.

a Khái niệm an toàn bảo mật

Một hệ thống thông tin bảo mật là một hệ thống mà thông tin được xử lý trên nóđảm bảo được 3 đặc trưng sau đây: Tính bí mật của thông tin, tính toàn vẹn của thôngtin, tính khả dụng của thông tin

Ba đặc trưng này được liên kết lại và xem như là mô hình tiêu chuẩn của các hệthống thông tin bảo mật, hay nói cách khác, đây là 3 thành phần cốt yếu của một hệthống thông tin bảo mật Mô hình này được sử dụng rộng rãi trong nhiều ngữ cảnh vànhiều tài liệu khác nhau, và được gọi tắt là mô hình CIA.

b Các đặc trưng của an toàn bảo mật

Tính bí mật.

Một số loại thông tin chỉ có giá trị với một đối tượng xác định khi chúng khôngphổ biến cho các đối tượng khác Tính bí mật của thông tin giới hạn về đối tượng đượcquyền truy xuất đến thông tin Đối tượng truy xuất có thể là con người, máy tính hoặcphần mềm, kể cả phần mềm phá hoại như virus, worm, spyware……

Đảm bảo tính bí mật của thông tin, ngoài các cơ chế và phương tiện vật lý nhưnhà xưởng, thiết bị lưu trữ, dịch vụ bảo vệ…….thì kỹ thuật mã hóa được xem là công

cụ bảo mật thông tin hữu hiệu nhất trong môi trường mấy tính Các kỹ thuật mã hóađược xem là công cụ bảo mật thông tin hữu hiệu nhất trong môi trường máy tính

Tính toàn vẹn.

Đặc trưng này đảm bảo sự tồn tại nguyên vẹn của thông tin, loại trừ mọi sự thayđổi thông tin có chủ đích hoặc hư hỏng, mất mát thông tin do gặp sự cố thiết bị hoặcphần mềm Tính toàn vẹn được xem xét trên 2 khía cạnh:

- Tính nguyên vẹn của nội dung thông tin

- Tính xác thực của nguồn thông tin

Nói cách khác, tính toàn vẹn của thông tin phải được đánh giá trên hai mặt: toànvẹn về nội dung và toàn vẹn về nguồn gốc

Nếu như tính bí mật của thông tin chỉ quan tâm đến việc thông tin có bị tiết lộhay không, thì tính toàn vẹn của thông tin vừa quan tâm tới tính chính xác của thôngtin và cả mức độ tin cậy của thông tin

Trong thực tế, tính khả dụng được xem là nền tảng của hệ thống bảo mật, bởi vìkhi hệ thống không sẵn sàng thì việc đảm bảo 2 đặc trưng còn lại (bí mật và toàn vẹn)

sẽ trở lên vô cùng vô nghĩa

2.1.1.3 Vai trò của an toàn bảo mật hệ thống thông tin.

Hệ thống thông tin là thành phần thiết yếu trong mọi cơ quan, tổ chức, đem lạikhả năng xử lý thông tin, nhưng hệ thống thông tin cũng chứa rất nhiều điểm yếu Domáy tính được phát triển với tốc độ rất nhanh để đáp ứng nhiều yêu cầu của ngườidùng, các phiên bản được phát hành liên tục với các tính năng mới được thêm vàongày càng nhiều, điều này làm cho các phần mềm không được kiểm tra kỹ trước khiphát hành và bên trong chúng chứa rất nhiều lỗ hổng có thể dễ dàng bị lợi dụng Thêmvào đó là việc phát triển của hệ thống mạng, cũng như sự phân tán của hệ thống thôngtin, làm cho người dùng truy cập thông tin dễ dàng hơn và tin tặc cũng có nhiều mụctiêu tấn công dễ dàng hơn

Song song với việc xây dựng hệ thống thông tin hiện đại, đáp ứng nhu cầu củacác cơ quan, tổ chức cần phải bảo vệ hệ thống thông tin, đảm bảo cho hệ thống đó hoạtđộng ổn định và tin cậy An toàn và bảo mật thông tin là thiết yếu trong mọi cơ quan,

tổ chức An toàn bảo mật thông tin có vai trò quan trọng đối với sự phát triển bền vữngcủa các doanh nghiệp Đối với mỗi doanh nghiệp, thông tin có thể coi là tài sản vô giá.Xây dựng một HTTT an toàn giúp cho việc quản lý hệ thống trở nên rõ ràng,minh bạch hơn Một môi trường thông tin an toàn, trong sạch sẽ có tác động khôngnhỏ đến việc giảm thiểu chi phí quản lý và hoạt động của doanh nghiệp, nâng cao uytín của doanh nghiệp, tạo điều kiện thuận lợi cho sự hội nhập một môi trường thông tinlành mạnh Điều này sẽ tác động mạnh đến ưu thế cạnh tranh của tổ chức Rủi ro vềthông tin có thể gây thất thoát tiền bạc, tài sản, con người và gây thiệt hại đến hoạt

động kinh doanh sản xuất của doanh nghiệp.Do vậy, đảm bảo ATTT doanh nghiệpcũng có thể coi là một hoạt động quan trọng trong sự nghiệp phát triển của doanh nghiệp

2.1.2 Một số phương thức tấn công và phòng vệ HTTT.

2.1.2.1 Các phương thức tấn công.

Tấn công từ chối dịch vụ DoS

Dạng tấn công này không xâm nhập vào hệ thống để lấy cắp hay thay đổi thôngtin mà chỉ nhằm vào mục đích ngăn chặn hoạt động bình thường của hệ thống, đặc biệtđối với các hệ thống phục vụ trên mạng công cộng như web server, Mail server…Các tấn công từ chối dịch vụ thường rất dễ nhận ra do tác động cụ thể của nó đốivới hệ thống Mục tiêu tấn công của từ chối dịch vụ có thể là một máy chủ hoặc mộtmạng con

Cơ sở của tấn công từ chối dịch vụ là các sơ hở về bảo mật trong cấu hình hệthống, sơ hở trong giao thức kết nối mạng và các lỗ hổng bảo mật của phần mềm, hoặcđơn giản là sự hạn chế của tài nguyên như băng thông kết nối, năng lực của máy chủ.Tấn công từ chối dịch vụ thường được thực hiện thông qua mạng Internet , nhưngcũng có thể xuất phát từ trong nội bộ hệ thống dưới dạng tác động của các phần mềmnhư worm hoặc trojan

Hai kỹ thuận thường dùng để gây ra các tấn công từ chối dịch vụ truyền thôngtương ứng với hai mục tiêu tấn công là Ping of Death và buffer-overflow

- Ping of Death tấn công vào kết nối mạng bằng cách gửi liên tục và với số lượnglớn các gói dữ liệu ICMP đến một mạng con nào đó, chiếm toàn bộ băng thông kế nối

và do đó gây ra tắc nghẽn mạng

- Buffer-overflow tấn công vào các máy chủ bằng cách nạp dự liệu vượt quá giớihạn của bộ đệm trên máy chủ, gây ra lỗi hệ thống Các tấn công từ chối dịch vụ nổitiếng trong lịch sử bảo mật máy tính như Code Red, Slapper, Slammer… Là các tấncông sử dụng kỹ thuật buffer- overflow

Tấn công từ chối dịch vụ phân tán.

Là phương thức tấn công dựa trên nguyên tắc từ chối dịch vụ nhưng có mức độnguy hiểm cao hơn do huy động cùng lúc nhiều máy tính cùng tấn công vào một hệthống duy nhất

Tấn công từ chối dịch vụ phân tán được thực hiện qua 2 giai đoạn :

Kẻ tấn công huy động nhiều máy tính trên mạng tham gia từ chối dịch vụ phân tánbằng các cài đặt các phần mềm điều khiển từ xa trên các máy tính này.

Các máy tính đã được cái đặt phần mềm điều khiển này được gọi là Zoombie Đểthực hiện bước này, kẻ tấn công dò tìm trên mạng những máy có nhiều sơ hở để tấncông và cài đặt các phần mềm điều khiển xa lên đó mà người quản lý không hay biết.Những phần mềm này được gọi chung là backdoor

Kẻ tấn công điều khiển zombie đồng loạt thực hiện tấn công vào mục tiêu

Các thành phần tham gia trong chuỗi dịch vụ phân tán bao gồm:

- Client: phần mềm điều khiển từ xa được kẻ tấn công sử dụng để điều khiển cácmáy khác tham gia tấn công Máy tính chạy phần mềm này được gọi là master

- Deamon: phần mềm chạy trên các zombie, thực hiện yêu cầu của master và lànơi trực tiếp thực hiện tấn công từ chối dịch vụ đến máy nạn nhân

- Dò theo tự điển: thử lần lượt các mật khẩu người sử dụng thường dùng Để chođơn giản, người dùng thường có thói quen nguy hiểm là dùng những thông tin dễ nhớlàm mật khẩu, ví dụ như tên mình, ngày sinh, số điện thoại Một số hệ thống hạn chế

nguy cơ này bằng cách định ra các chính sách về mật khẩu, quy định độ khó tối thiểucủa mật khẩu, ví dụ mật khẩu phải khác những thông tin liên quan đến cá nhân người

sử dụng, phải bao gồm các chữ in hoa và chữ thường, chữ cái và các mẫu tự khác chữcái

đó, tất cả các kết nối có thể có của server đều dành hết cho việc chờ đợi này và dokhông có khả năng phục vụ cho các kết nối khác nhau

Tấn công dựa vào số thứ tự của TCP

Trong quá trình truyền dữ liệu giữa các máy sử dụng giao thức TCP, số thứ tự làmột thông tin quan trọng giúp xác định thứ tự các gói dữ liệu và xác định các gói đãđược nhận thành công Số thứ tự được đánh theo từng byte dữ liệu và được duy trì mộtcách đồng bộ giữa bên gửi và bên nhận Nếu một máy thứ ba, bằng cách nào đó, chặnbắt được các gói dữ liệu đang được trao đổi và đoán được số thứ tự của quá trìnhtruyển nhận dữ liệu, nó sẽ có khả năng xen vào kết nối, làm ngắt kết nối của một đầu

và nhảy vào thay thế

Tấn công dùng giao thức ICMP.

ICMP là một giao thức điều khiển dùng trong mạng IP Giao thức này thườngđược sử dụng để thực hiện các thủ tục điều khiển trên mạng IP như kiểm tra các kếtnối Hai phương thức tấn công phổ biến dựa trên ICMP bao gồm :

- Smurf attack : nguyên lý hoạt động của ICMP là hồi đáp lại khi nhân được yêu

cầu từ máy khác, do chức năng của ICMP là để kiểm tra các kết nối IP Dựa vàonguyên lý này, một kẻ tấn công có thể giả danh một địa chỉ IP nào đó và gửi một yêucầu đến tất cả các máy trong nội bộ Ngay lập tức, tất cả các máy đều đồng loạt trả lờicho máy có địa chỉ IP bị giả danh, dẫn đến máy này bị tắc nghẽn không có khả nănghoạt động như bình thường Mục tiêu của tấn công smurf là làm tê liệt một máy nào

đó bằng các gói ICMP

-ICMP tunneling: do gói dữ liệu ICMP thường được chấp nhận bởi nhiều máytrên mạng, nên kẻ tấn công có thể lợi dụng điều này để chuyển các thông tin khônghợp lệ thông qua các gói dữ liệu ICMP Để ngăn chặn các tấn công này, cách tốt nhất

là từ chối tất cả các gói dữ liệu ICMP

Tấn công khai thác phần mềm

Đây là tên gọi chung của tất cả các hình thức tấn công nhằm vào chương trìnhứng dụng hoặc một dịch vụ nào đó ở lớp ứng dụng Bằng cách khai thác các sơ hở vàcác lỗi kỹ thuật trên các phần mềm và dịch vụ này, kẻ tấn công có thể xâm nhập hệthống hoặc làm gián đoạn hoạt động bình thường của hệ thống

Tấn công tràn bộ nhớ đệm: là phương thức tấn công vào các lỗi lập trình của sốphần mềm Lỗi này có thể do lập trình viên, do bản chất của ngôn ngữ hoặc do trìnhbiên dịch Ngôn ngữ C là ngôn ngữ có nhiều khả năng gây ra các lỗi tràn bộ đệm nhất,các chương trình hệ thống, đặc biệt trong môi trường Unix và Linux

2.1.2.2 Các phương thức xâm nhập hệ thống bằng phần mềm phá hoại.

Kỹ thuật và hình thức tấn công mới thường xuyên được phát hiện và nâng cấp Ởtrên chỉ giới thiệu các hình thức tấn công đã được thực hiện và phân tích Ngoài cáchình thức tấn công như trên các hệ thống thông tin còn phải đối mặt với một nguy cơxâm nhập rất lớn đó là các phần mềm virus, worm, spyware gọi chung là các phầnmềm phá hoại hay phầm mềm độc Sau đây sẽ tập trung trình bày các hình thức xâmnhập này

Virus.

Là phầm mềm anar, kích thước nhỏ và được gắn vào một tập tin chủ nào đó,thông thường là các tập tin thực thi được, nhờ các virus mới có khả năng phá hoại vànan truyền qua các máy khác Một số loại virus gắn với các tập tin tài liệu được gọi làcác virus macro

Virus lan truyền qua các máy tính thông qua việc sao chép các tập tin có nhiễmvirus từ đĩa mềm, đĩa CD, đĩa flash, hoặc thông qua các tập tin gửi kèm qua e-mmail.Phạm vi phá hoại của virus là rất lớn Thông thường nhất, các virus thường gây ra mấtmát dữ liệu, hư hỏng phần mềm và hư hỏng hệ điều hành

Nếu trên máy chưa cài đặt sẵn các chương trình quét virus thì dấu hiệu thườngthấy để nhận biết có virus trên máy tính là:

- Xuất hiện các thông báo lạ trên máy hình.

- Máy tính làm việc chậm đi đáng kể, đặc biệt khi khởi động chương trình

- Mất đột ngột một hoặc nhiều tập tin trên đĩa

- Lỗi phần mềm không có lý do

Có thể thấy mức độ phát tán của virus thông qua e-mail nghiêm trọng hơn nhiều,bởi vì đối với hình thức lây lan qua đường sao chép tập tin thì chỉ có các máy tính chủđộng sao chép tập tin mới bị nhiễm virus; ngược lại trong phương thức phát tán bằnge-mail, những máy không chủ động sao chép tập tin cũng có khả năng bị lây nhiễmnếu vô ý mở những tập tin nhiễm virus được gửi kèm e-mail

Worm

Là loại phầm mềm độc có cơ chế hoạt động và tầm phá hoại gần giống như virus.Điểm khác nhau cơ bản giữa worm và virus là worm có khả năng tự sao chép thôngqua mạng, tồn tại như một chương trình độc lập

Đặc trưng cơ bản nhất của worm là tính phát tán nhanh trên phạm vi rộng bằngnhiều phương tiện khác nhau, như sử dụng trực tiếp giao thức TCP/IP, sử dụng cácdịch vụ mạng ở lớp ứng dụng, phát tán qua e-mail và nhiều phương tiện khác WormNimda xuất hiện năm 2001 là một worm điển hình với tốc độ phát tán cực nhanh vàmức độ nguy hiểm lớn, có thể gây tê liệt các hệ thống mạng lớn sử dụng hệ điều hànhWindows trong nhiều giờ

Trojan hourse.

Một dạng phần mềm độc hoạt động núp dưới danh nghĩa một phần mềm hữu íchkhác, và sẽ thực hiện các hành vi phá hoại hệ thống khi chương trình giả danh đượckích hoạt bởi người sử dụng

Trojan không có khả năng tự sao chép như Worm, không có khả năng tự thực thinhư virus

Mức độ phá hoại của Trojan cũng rất đa dạng, trong đó quan trọng nhất là thựcthi như một phần mềm gián điệp giúp cho những kẻ tấn công từ xa có thể dễ dàng xâmnhập hệ thống Spyware là một ví dụ của Trojan, đây là các phần mềm được tự độngcài vào máy khi người sử dụng tải các phầm mềm trên Internet về cài trên máy tính củamình Spyware có thể tự động gửi e-mail, tự động mở các trang web hoặc thực hiện cáchành vi khác gây ảnh hưởng đến hoạt động bình thường của máy tính bị nhiễm

Logic bomb.

Là các phần mềm nằm ẩn trên máy tính và chỉ thực hiện khi có một sự kiện nào

đó xảy ra, ví dụ khi người quản trị mạng đăng nhập vào hệ thống, khi một ứng dụngnào đó được chạy hoặc đến một ngày giờ định trước nào đó

Trên đây là các phương thức xâm nhập vào hệ thống sử dụng phần mềm pháhoại Mặc dù sự xâm nhập vào một hệ thống cụ thể nào đó của các phần mềm này cóthể không do chủ đích của một cá nhân nào, nhưng thiệt hại do các hình thức xâmnhập này gây ra là rất lớn, do tính phổ biến của nó Bất kỳ máy nào cũng có thể bịnhiễm phần mềm độc, đặc biệt khi kết nối đến mạng Internet Các nguyên tắc chung đểtránh sự xâm nhập của các phần mềm độc vào máy tính nói riêng và vào một hệ thốngthông tin nói chung bao gồm:

- Không sao chép dữ liệu từ các nguồn không tin cậy

- Không cài đặt các phần mềm không rõ nguồn gốc, đặc biệt là các phần mềmdowload từ Internet

- Thường xuyên cập nhật các bản sửa lỗi

- Cài đặt các chương trình Antivirus, Antisyware và cập nhật thường xuyên chocác chương trình này

- Theo dõi các thông tin về các loại virus mới, phương thức hoạt động và cáchthức ngăn chặn trên các trang web chuyên về bảo mật

2.1.2.3 Kỹ thuật ngăn chặn và phát hiện xâm nhập.

Sau khi nhận diện các nguy cơ và rủi ro đối với hệ thống, phân tích các phươngthức và kỹ thuật tấn công có khả năng ảnh hưởng đến sự an toàn của hệ thống, các hệthống thông tin thường triển khai các biện pháp kỹ thuật cần thiết để ngăn chặn và pháthiện xâm nhập Phần này giới thiệu về tường lửa và hệ thống xâm nhập, hai ứng dụngbảo mật điển hình hiện nay

trong chính sách bảo mật mà cho phép hoặc không cho phép chuyển tiếp các gói nàyđến đích.

Chức năng của tường lửa trên mạng là quản lý lưu lượng vào/ra trên kết nốiInternet và ghi lại các sự kiện diễn ra trên kết nối này phục vụ cho các mục đích antoàn mạng Tuy nhiên, do bản chất của tường lửa là giám sát lưu lượng luân chuyểnthông qua một kết nối giữa mạng nội bộ và mạng công cộng bên ngoài, cho nên tườnglửa không có khả năng giám sát và ngăn chặn các tấn công xuất phát từ bên trongmạng nội bộ Có thể tóm tắt chức năng chủ yếu của tường lửa như sau:

- Separator: Tách rời giữa mạng nội bộ và mạng công cộng, ràng buộc tất cả cáckết nối từ trong ra ngoài hoặc từ ngoài vào trong phải đi qua tường lửa như một đường

đi duy nhất

- Restricter: Chỉ cho phép một số lượng giới hạn các loại lưu lượng được phépxuyên qua tường lửa, nhờ đó người quản trị có thể thực thi chính sách bảo mật bằngcách thiết lập các quy tắc lọc gói tương ứng gọi là access rules

- Analyzer: Theo dõi lưu lượng luân chuyển qua tường lửa, ghi lại các thông tinnày lại theo yêu cầu của người quản trị để phục vụ cho các phân tích để đánh giá mức

độ an toàn hệ thống

Ngoài các chức năng cơ bản trên, một số bức tường lửa còn có chức năng xácthực đối với người sử dụng trước khi chấp nhận kết nối

Phân loại tường lửa theo đặc tính kỹ thuật:

Tường lửa có thể là một phần mềm chạy trên một máy tính nào đó với ít nhất làhai giao tiếp mạng, khi đó nó được gọi là firewall mềm Các firewall mềm thông dụnghiện nay gồm: SunScreen, ISA server, Check point, Gauntlet, IPTable

Phân loại firewall theo phạm vi bảo vệ:

Căn cứ vào phạm vi mà tường lửa bảo vệ, có thể chia tường lửa thành 2 nhómriêng biệt: tường lửa dành cho máy tính cá nhân và tường lửa dành cho mạng

- Personal firewall thông thường là các firewall mềm, được cài đặt treeb máy tính

cá nhân để bảo vệ cho mát tính cá nhân

- Network firewall có thể là firewall mềm hoặc firewall cứng, thường được lắpđặt trước hoặc sau bộ định tuyển nhằm mục đích bảo vệ cho toàn hệ thống mạng.Phân loại firewall theo cơ chế làm việc:

Dựa trên cơ chế làm việc, firewall được chia thành 3 loại như sau:

- Tường lửa lọc gói

Nguyên lý của các bức tưởng lửa lọc gói là đọc tất cả các thông tin trong tiêu đềcủa các gói dữ liệu IP luân chuyển qua bức tường lửa, và dựa trên các thông tin này đểquyết định hay loại bỏ gói dữ liệu Như vậy, khi thiết lập các quy tắc lọc gói củatường lửa, người quản trị căn cứ trên các thông tin sau đây:

- Địa chỉ IP, bao gồm địa chỉ IP của máy gửi và địa chỉ IP của máy nhận

- Số cổng kết nối, bao gồm cả cổng của máy gửi và cổng của máy nhận

- Giao thức kết nối, ví dụ TCP, UDP hay ICMP

- Tường lửa lớp ứng dụng

Hoạt động của tưởng lửa lớp ứng dụng tương tự như tường lửa lọc gói, tức làcũng dựa trên việc phân tích các gói dữ liệu IP để quyết định có cho phép đi xuyên quabức tường lửa hay không Điểm khác của tường lửa lớp ứng dụng là nó có khả năngphân tích cả nội dụng của gói dữ liệu IP, và do đó cho phép thiết lập các quy tắc lọcgói phức tạp hơn

Do đặc tính của tường lửa lớp ứng dụng can thiệp trực tiếp vào tất cả các gói dữliệu di chuyển qua nó, nên nhìn dưới góc độ truy xuất mạng, bức tường lửa lớp ứngdụng trực tiếp thực hiện các giao dịch với mạng bên ngoài thay cho cá máy tính bêntrong Do vậy, tường lửa ứng dụng cũng còn được gọi là phần mềm Proxy

- Tường lửa kiểm soát trạng thái

Là loại tường lửa kết hợp cả hai nguyên lý làm việc của lửa lọc gói và tường lửalớp ứng dụng

Tường lửa kiểm soát trạng thái cho phép thiết lập các quy tắc lọc gói phức tạphơn so với tường lửa lọc gói, tuy nhiên không mất quá nhiều thời gian cho việc phântích nội dung của tất cả các gói dữ liệu như trường hợp tường lửa lớp ứng dụng Tườnglửa kiểm soát trạng thái theo dõi trạng thái của tất cả các kết nối đi qua nó và các kếtnối hợp lệ mới được chấp nhận chuyển tiếp qua tường lửa, các gói khác đều bị loại bỏtại đây

b Hệ thống phát hiện xâm nhập.

Hệ thống phát hiện xâm nhập IDS là hệ thống phát hiện các dấu hiệu của tấncông xâm nhập Khác với bức tường lửa, IDS không thực hiện các thao tác ngăn chặntruy xuất mà chỉ theo dõi các hoạt động trên mạng để tìm ra các dấu hiệu của tấn công

và cảnh báo cho người quản trị mạng

IDS không thực hiện chức năng phân tách giữa mạng nội bộ và mạng công cộngnhư bức tường lửa nên không gánh toàn bộ lưu lượng qua nó và do đó không có nguy

- Lưu lượng đang lưu thông trên mạng

Chức năng ban đầu của IDS chỉ là phát hiện các dấu hiện xâm nhập, do đó IDSchỉ có thể tạo ra các cảnh báo khi tấn công đang diễn ra hoặc thậm chí sau khi tấn công

đã hoàn tất Càng về sau, nhiều kỹ thuật mới được tích hợp vào IDS, giúp nó có khảnăng dự đoán được tấn công và thậm chí phản ứng lại các tấn công đang diễn ra

Hai thành phần quan trọng nhất cấu tạo nên hệ thống IDS là sensor (bộ cảmnhận) có chức năng chặn bắt và phân tích lưu lượng trên mạng và các nguồn thông tinkhác để phát hiện dấu hiệu xâm nhập; signature database là cơ sở dữ liệu chứa dấuhiệu của các tấn công đã được phát hiện và phân tích Cơ chế làm việc của signaturedatabase giống như virus database trong các chương trình antivirus, do vậy, việc duytrì một hệ thống IDS hiệu quả phải bao gồm việc cập nhật thường xuyên cơ sở dữ liệu này.Phân loại IDS theo phạm vi giám sát;

Dựa trên phạm vi giám sát, IDS được chia thành 2 loại:

- Networ-based IDS (NIDS) : là những IDS giám sát trên toàn bộ mạng Nguồnthông tin chủ yếu của NIDS là các gói dữ liệu đang lưu thông trên mạng

- Host-based IDS (HIDS): Là những IDS giám sát hoạt động của từng mát tínhriêng biệt Do vậy, nguồn thông tin chủ yếu của HIDS ngoài lưu lượng dữ liệu đến và

đi từ máy chủ có hệ thống dữ liệu nhật ký hệ thống và kiển tra hệ thống

Phân loại IDS theo kỹ thuật thực hiện:

Dựa trên kỹ thuật thực hiện, IDS cũng được chia làm 2 loại:

- Sign ature-based IDS phát hiện xâm nhập dựa trên dấu hiệu của hành vi xâmnhập, thông qua phân tích lưu lượng mạng và nhật ký hệ thống Kỹ thuật này đòi hỏiphải duy trì một cơ sở dữ liệu về các dấu hiệu xâm nhập và cơ sở dữ liệu phải đượccập nhật thường xuyên mỗi khi có một hình thức hoặc kỹ thuật xâm nhập mới

- Anomaaly-based IDS: phát hiện xâm nhập bằng cách so sánh các hành vi hiệntại với hoạt động bình thường của hệ thống để phát hiện bất thường có thể là dấu hiệucủa xâm nhập

2.1.3 Phân định nội dung

a Lý Thuyết.

- Khái niệm và vai trò của an toàn bảo mật HTTT trong công ty

- Một số phương thức tấn công và phòng vệ HTTT

b Thực trạng.

- Giới thiệu về tình hình công ty.

- Tổng hợp và xử lý dữ liệu, số liệu thu thập được để phân tích, đánh giá

- Xem xét và đề xuất các giải pháp nhằm nâng cao ATTT cho công ty: Giải pháp

để bảo mật dữ liệu, tường lửa, quy định việc đảm bảo an toàn, bảo mật hệ thống,

đào tạo nhân lực, kiểm soát mạng chặt chẽ

2.2 Thực trạng về vấn đề an toàn bảo mật HTTT của công ty cổ phần Climax Việt Nam

2.2.1 Giới thiệu về công ty cổ phần Climax Việt Nam.

2.2.1.1.Giới thiệu về doanh nghiệp.

- Tên đầy đủ công ty : CÔNG TY CỔ PHẦN CLIMAX VIỆT NAM

- Địa chỉ: Số 46B, Phố Nguyễn Đình Hoàn, Phường Nghĩa Đô, Quận Cầu Giấy,TP.Hà Nội

- Email: climaxvnjsc@gmail.com

- Điện thoại: 043.7589039

- Năm thành lập: 2010

- Website:www.clisun.vn

- Loại hình doanh nghiệp: Công ty Cổ phần

- Ngành nghề kinh doanh: Phân phối đèn LED

nhiệt tình trong công việc Công ty luôn hướng tới việc cung cấp các sản phẩm chấtlượng tốt, đáp ứng mong muốn của khách hàng và các dịch vụ ngày càng chuyênnghiệp Hiện nay, công ty đang hướng tới việc mở rộng thị trường ra khắp cả nước.

b Ngành nghề, lĩnh vực hoạt động.

Phân phối đèn LED

Sản phẩm: Đèn downlight, đèn ốp trần, đèn tube led, máng, tủ điện

c Chiến lược kinh doanh.

Phát triển thêm các sản phẩm mới, để phù hợp với nhu cầu của khách hàng Mởrộng địa bàn ra khắp cả nước với mục tiêu:

+ Luôn hướng tới sự hài lòng của khách hàng

+ Sản phẩm, dịch vụ ngày càng tốt

2.2.1.2 Bộ máy tổ chức.

Sơ đồ cơ cấu tổ chức doanh nghiệp:

Sơ đồ 2.1: Cơ cấu bộ máy tổ chức Công ty cổ phần CLIMAX Việt Nam

Ban giám đốc

- Chủ tịch hội đồng quản trị –Giám đốc điều hành: ông Nguyễn Đăng Hoan

- Nhiệm vụ: hoạch định, kiểm soát chiến lược chung của công ty, đồng thời quản

lý, giám sát, kiểm tra các hoạt động kinh doanh cũng như các hoạt động hàng ngày

Phòng tư vấn, hỗ trợ và xử lý đơn hàng

- Trưởng phòng: Nguyễn Hồng Vân

- Nhiệm vụ:

+ Tiếp nhận đơn hàng từ phía nhân viên kinh doanh và các đại lý

+ Tiếp nhận yêu cầu bảo hành từ phía khách hàng, sau đó chuyển cho bộ phận kho

Ban Giám Đốc

Phòng kinh doanh

Phòng kinh doanh

xử lý đơn hàng.

Phòng tư vấn, hỗ trợ và

xử lý đơn hàng.

Phòng quản lý kho hàng

Phòng quản lý kho hàng

- Trưởng phòng: Chu Minh Khang

- Nhiệm vụ: tìm kiếm và thuyết phục khách hàng mới sử dụng sản phẩm củacông ty, chăm sóc và giữ mối quan hệ với tập khách hàng đã có

Phòng tài chính kế toán

-Kế toán trưởng: Phạm Thị Tuyến

-Nhiệm vụ: trợ giúp ban giám đốc trực tiếp chỉ đạo việc theo dõi tình hình tàichính, xác định nhu cầu về vốn, tình trạng luân chuyển vốn, tổ chức thực hiện công tác

kế toán của công ty Theo dõi tình hình và sự biến động của các loại tài sản, tình hìnhkinh doanh, cung cấp thông tin kịp thời cho Ban giám đốc và đóng góp ý kiến về hiệuquả hoạt động sản xuất kinh doanh, hợp nhất báo cáo tài chính công ty

Phòng quản lý kho hàng

-Tiếp nhận đơn hàng từ phòng tư vấn, hỗ trợ và xử lý đơn hàng

-Lấy hàng

-Phân công người chở hàng, bảo hành

-Quản lý những hàng hóa có trong kho

2.2.1.3 Tình hình, tài chính của công ty.

Bảng 2.1 Báo cáo kết quả kinh doanh của công ty cổ phần CLIMAX Việt Nam

Theo báo cáo thống kê của phòng kế toán trong 3 năm gần đây ta có thể thấydoanh thu của công ty ngày càng tăng Doanh thu tăng dần qua các năm, năm 2014doanh thu tăng 4.18 tỷ so với năm 2013, năm 2015 tăng 3.922 tỷ so với năm 2015.Năm 2015 doanh thu tăng nhưng không nhiều bằng năm 2014 do càng về sau thịtrường đèn LED càng có nhiều đối thủ cạnh tranh mạnh

2.2.2 Phân tích thực trạng an toàn và bảo mật HTTT tại công ty cổ phần Climax Việt Nam.

2.2.2.1 Trang thiết bị phần cứng của công ty.

Về trang thiết bị phần cứng tại công ty: Công ty có 1 máy chủ Mỗi phòng ban

đều có trang bị máy tính để bàn và xách tay Tổng số máy tính của công ty là 10 máy.

2.2.2.2 Các phần mềm ứng dụng

1 Windows XP, Windows 7, windows 8 Hệ điều hành

2 Microsoft office 2010 Bộ hỗ trợ công tác văn phòng

5 TeamViewer 10 Điều khiển các máy tính từ xa

8 Notepad++ Phần mềm soạn thảo mã nguồn, hỗ trợ đa ngôn ngữ lập trình

9 Adobe Photoshop CS6 Phần mềm chỉnh sửa ảnh

10 Filezilla Công cụ giúp upload file lên host hoặc

tải xuống từ host

11 Sothink SWF Decompiler Phần mềm biên tập flash

( Nguồn :Phòng kỹ thuật )

Bảng 2.2 Các phần mềm đang được sử dụng tại công ty cổ phần CLIMAX Việt Nam

Theo kết quả xử lý phiếu điều tra, nguyên nhân doanh nghiệp chưa sử dụng cácphần mềm như: CRM, phần mềm ERP, phần mềm quản lý nhân sự,…chủ yếu là do chiphí triển khai các phần mềm này cao (chiếm 40%) và trình độ nhân viên chưa đủ(20%), chưa thật sự cần thiết đối với công ty( chiếm 40%)

Theo kết quả tổng hợp từ phiều điều tra cho thấy công ty vẫn sử dụng các phầnmềm không có bản quyền chính thức Có 70% số máy tính sử dụng các phần mềmmiễn phí Chỉ có 30% số máy tính là có sử dụng phần mềm diệt virus có bản quyềnđược hỗ trợ từ nhà sản xuất, phần mềm kế toán Từ đó ta có thể thấy được rằng mức độchú trọng tới công tác bảo mật từng máy tính của nhân viên còn chưa có sự đầu tưđúng mức Cụ thể như sau:

68.00%

Tỷ lệ phần mềm bảo mật

Có bản quyền Không có bản quyền

(Nguồn: kết quả xử lý từ phiếu điều tra)

Biểu đồ 2.1 Biểu đồ thể hiện tỷ lệ sử dụng phần mềm bản quyền trong công ty

2.2.2.3 Mạng

Thiết bị mạng : Model wifi TP-link (4port + wiliess) số lượng: 3 Tất cả các máytính đều được kết nối trực tiếp vào mạng internet thông qua các cổng mạng đã lắp đặt sẵn.Theo thống kê từ kết quả phiếu điều tra: số máy tính kết nối vào mạng nội bộ: 10máy Số máy tính kết nối vào Internet: 10 máy Chất lượng mạng sử dụng ổn định và

có tốc độ cao Mạng cục bộ có sử dụng hệ thống an ninh mạng: tường lửa, nhằm ngănchặn người dùng truy cập vào các thông tin không mong muốn và ngăn chặn ngườidùng từ bên ngoài truy nhập các thông tin bảo mật

2.2.2.4 Dữ liệu và cơ sở dữ liệu

a Về phương thức thu thập dữ liệu

Dữ liệu được thu thập từ nhiều nguồn khác nhau nhưng bao gồm 2 nguồn chínhlà: dữ liệu bên trong và bên ngoài công ty

- Nguồn dữ liệu bên trong: chủ yếu tại các phòng ban nơi mà các thông tin đangđược lưu trữ trong giấy tờ, sổ sách, hồ sơ dữ liệu, báo cáo,

- Nguồn dữ liệu bên ngoài: dữ liệu được thu thập từ bên ngoài doanh nghiệp nhưtrên mạng Internet, báo chí, khách hàng, đối thủ cạnh tranh, các doanh nghiệp có liênquan và các nguồn khác

b Về phương thức xử lý dữ liệu

Với các dữ liệu sau khi thu thập sẽ được phân loại, chọn lọc và được xử lý thôngqua các phần mềm ví dụ như: Microsoft Excel, phần mềm kế toán… Ngoài ra cácthông tin như: ý kiến phản hồi của khách hàng, thông tin đối thủ cạnh tranh,…được xử

lý thủ công dựa trên sự hiểu biết và kinh nghiệm để đưa ra những quyết định, chính

sách cho công ty.

c Về phương thức lưu trữ dữ liệu

Cơ sở dữ liệu của công ty được chia nhỏ và lưu trữ phân tán ở các bộ phận,phòng ban khác nhau.Các phòng ban chủ yếu lưu trữ thông tin liên quan đến phòngban của mình, do đó thông tin phải di chuyển qua các bộ phận, phòng ban khác nhau

để các phòng ban có thể nắm bắt toàn bộ thông tin cần thiết Quản lí dữ liệu chưa theomột hệ thống nhất định

Dữ liệu về khách hàng lưu trữ thủ công và phân tán: Chủ yếu vẫn là trên sổ sách,giấy tờ hoặc là máy tính nhưng ở các vị trí khác nhau và không khoa học Điều này cóthể tạo sự hạn chế trong việc trao đổi dữ liệu giữa các bộ phận do công ty chưa có cơ

sở dữ liệu dùng chung và có thể chia sẻ trong toàn bộ công ty Việc truy xuất dữ liệu làkhó khăn nên nhiều thông tin quan trọng không được chia sẻ giữa các thành viên vàban lãnh đạo, thậm chí nhiều phản hồi của khách hàng bị bỏ quên

Ổ cứng độ bền cao

(Nguồn: kết quả xử lý từ phiếu điều tra)

Biểu đồ 2.2 Biện pháp bảo vệ dữ liệu máy tính

Về vấn đề đảm bảo an toàn dữ liệu ngoài việc sử dụng các công cụ diệt virus thìcòn có các phương pháp đảm bảo an toàn dữ liệu cho máy tính Theo như khảo sát từcác nhân viên trong công ty thì các máy tính có sử dụng các biện pháp bảo vệ dữ liệucủa máy tính Trong đó 30% số máy tính sử dụng ổ cứng độ bền cao cho máy tính đểđảm bảo về dữ liệu, 50% là sử dụng giải pháp đồng bộ lên mạng còn lại 20% sử dụngphương pháp sao lưu liên tục

2.2.2.5 Nguồn nhân lực cho CNTT và HTTT

70.00%

20.00%

5.00% 5.00%

Phần cứng Phần mềm Đào tạo công nghệ thông tin

Khác

( Nguồn: Kết quả xử lý phiếu điều tra)

Biểu đồ 2.2 Tỷ lệ đầu tư vào CNTT và HTTT trong vòng 3 năm gần đây.

Qua biểu đồ ta có thể thấy tỷ lệ đầu tư về CNTT và HTTT của công ty còn chưacao, hầu như chỉ đầu tư vào phần cứng đến 70% là đầu tư vào phần cứng, 20% đầu tưvào phần mềm, chỉ có 5% đầu tư vào đào tạo CNTT Do công ty mới thành lập nênchưa chú trọng vào CNTT và HTTT, theo phiếu điều tra số nhân viên hoạt động tronglĩnh vự này khá ít chỉ có 2 người

có thể liên hệ trực tiếp với công ty thông qua website, tích hợp hệ thống mạng xã hộinhư: facebook, google+, twitter, youtube,

Giao diện website của công ty :

Việc quản trị website vẫn chưa được coi trọng và đầu tư Công ty chỉ có 2 nhânviên quản trị website với nhiệm vụ đăng tin tức và chỉnh sửa hình ảnh và nội dung vềsản phẩm để đăng lên website.

Nội dung website được làm mới, cập nhật các thông tin về sản phẩm, tin tức,hình ảnh thường xuyên, nội dụng tin tức được đầu tư, biên tập liên tục giúp nâng caochất lượng về cả nội dung và hình thức của website Tuy nhiên do đặc thù về sản phẩm

và dịch vụ kinh doanh nên website của công ty còn chưa có các menu cần thiết của 1website TMĐT như: thanh toán qua mạng, quản lý khách hàng, đóng góp ý kiến,…Vấn để an toàn bảo mật và quản trị HTTT tin cho website cũng chưa được đầu tư

2.2.2.7.Thực trạng an toàn và bảo mât HTTT tại công ty cổ phần Climax Việt Nam.