BÁO cáo ASSIGNMENT môn COM3022 bài 2

TRƯỜNG CAO ĐẲNG THỰC HÀNH
FPT - POLYTECHNIC
BÁO CÁO ASSIGNMENT MÔN COM3022
Lớp: PT09301
Sinh viên thực hiện: NGUYỄN ĐĂNG
LONG
Tên SV/mã sinh viên:PA00156
Giáo viên hướng dẫn: LÊ THANH HẢI
[TRẦN HỮU THÀNH – THANHTHPA00133 - ASSIGNMENT]
October 2, 2014
Nhiệm vụ xây dựng chính sách bảo mật được
đặt lên đầu tiên trong lộ trình xây dựng hệ
thống an toàn thông tin cho một tổ chức hay
doanh nghiệp.
Hiện trạng của việc xây dựng hệ thống bảo mật thông tin (BMTT)
Thông tin là một trong những tài sản quan trọng, quý giá đối với tổ chức doanh nhiệp. Những rủi
ro đối với các thông tin như bị lộ, bị thay đổi, bị mất mát, bị từ chối đều ảnh hưởng nghiêm trọng
đến hoạt động, đến uy tín, đến chiến lược của tổ chức, doanh nghiệp. Vì vậy, mục tiêu đưa ra là
cần phải bảo vệ an toàn thông tin, đảm bảo tính bí mật thông tin (confidentiality), tính toàn vẹn
thông tin (integrity), tính sẵn sàng thông tin (availabiltiy). Việc đảm bảo được các yếu tố trên sẽ
giúp tổ chức, doanh nghiệp bảo vệ tính bảo mật của thông tin, chống lại việc thay đổi, phá hủy
hay mất mát thông tin.
Tại Việt Nam, các tổ chức doanh nghiệp cũng đã xây dựng các giải pháp để đảm bảo an toàn hệ
thống như trang bị hệ thống tường lửa (Firewall), hệ thống chống xâm nhập (IPS), hệ thống
phòng chống virus (Antivirus),… Tuy nhiên, tất cả chỉ đơn thuần là giải pháp công nghệ. Câu hỏi
đặt ra là hệ thống đã được trang bị giải pháp bảo mật nhưng mức độ an toàn đến đâu, giải pháp
đã tốt chưa, đã đầy đủ chưa. Tổ chức thực hiện giải pháp đã tốt hay chưa, con người thực hiện
giải pháp như thế nào, họ đã ý thức các vấn đề về an toàn thông tin và đã được gán trách nhiệm
phải đảm bảo an toàn hệ thống thông tin chưa? Thông thường, các giải pháp lúc xây dựng xong
thì tốt nhưng chỉ sau một thời gian hoạt động sẽ bộc lộ nhiều điểm yếu mà nguyên nhân chính là
do yếu tố con người.

Hạ tầng công nghệ thông tin xây dựng tốt, hệ thống bảo mật xây dựng tốt nhưng sau khi đưa vào
sử dụng, chất lượng sẽ phụ thuộc vào chính bản thân đối tượng sử dụng nó, họ có tuân thủ theo
đúng giải pháp hay không, trách nhiệm của họ thế nào, ý thức ra làm sao. Chúng ta biết bảo mật
đi kèm với việc mang lại sự không thuận tiện cho người dùng và dễ dàng làm cho họ từ bỏ các
biện pháp bảo mật. Tuy nhiên, trong các tổ chức doanh nghiệp, an toàn thông tin luôn phải được
đưa lên hàng đầu và tất cả các thành viên đều phải tuân thủ điều này.
Vai trò của chính sách BMTT
Để đảm bảo an toàn hệ thống, cần phải có các yếu tố sau:
• Con người
• Quy trình
• Giải pháp
• Các tiêu chuẩn quốc tế
2
[TRẦN HỮU THÀNH – THANHTHPA00133 - ASSIGNMENT]
October 2, 2014
Hiện tại các tổ chức doanh nghiệp mới thực hiện ở việc xây dựng giải pháp, còn các yếu tố khác
như con người, qui trình, tiêu chuẩn quốc tế chưa được chú trọng. Các yếu tố đó chưa tốt và chưa
gắn kết, chưa được giám sát bởi còn thiếu một yếu tố rất quan trọng, đó là chính sách BMTT.
Chính sách bảo mật là tài liệu cấp cao đặc thù, tập hợp các luật đặc biệt của tổ chức, doanh
nghiệp như những yêu cầu, quy định mà những người của tổ chức, doanh nghiệp đó phải thực
hiện để đạt được các mục tiêu về an toàn thông tin. Chính sách bảo mật sẽ được người đứng đầu
tổ chức doanh nghiệp phê chuẩn và ban hành thực hiện. Nó được ví như bộ luật của tổ chức,
doanh nghiệp mà mọi thành viên trong tổ chức, các đối tác, khách hàng quan hệ đều phải tuân
thủ. Chính sách bảo mật sẽ là tiền đề để doanh nghiệp xây dựng các giải pháp bảo mật, xây dựng
những quy trình đảm bảo an toàn hệ thống, đưa ra các hướng dẫn thực hiện, gắn kết yếu tố con
người, quản trị, công nghệ để thực hiện mục tiêu an toàn hệ thống. Đồng thời chính sách bảo mật
cũng đưa ra nhận thức về an toàn thông tin, gán trách nhiệm về an toàn cho các thành viên của tổ
chức doanh nghiệp, từ đó đảm bảo hệ thống được vận hành đúng quy trình, an toàn hơn.
Chính sách BMTT là cốt lõi, là trung tâm để có thể bắt đầu xây dựng các giải pháp an toàn thông
tin.

Từ bộ chính sách bảo mật, ngoài việc sẽ đưa ra được giải pháp an ninh toàn diện còn gắn với ý
thức, trách nhiệm của thành viên trong tổ chức doanh nghiệp về an toàn thông tin. Từ lâu, hậu
quả của việc không xây dựng chính sách BMTT mà chỉ có giải pháp an ninh đã khiến cho giải
pháp trở nên không toàn diện và hiệu quả.
Mô hình Top-down trong chính sách BMTT
Thực tế là hiện nay, trong các tổ chức doanh nghiệp, chúng ta thấy đều xuất hiện “chính sách
ngầm” về BMTT. Ví dụ như không được cài sniffer (phần mềm nghe lén) trong mạng, không
được gửi e-mail mạo danh, không được sao chép tài liệu ra ngoài, không được dùng phần mềm
không có bản quyền Những chính sách này đều bàn thảo không chính thức, không được ban
hành, và phổ biến rộng rãi. Điều này làm cho chính sách không còn hiệu lực, không gắn ý thức
an toàn thông tin tới từng thành viên, không quy được trách nhiệm về pháp lý và trong nhiều
trường hợp có thể còn xung đột với các văn bản ban hành.
Hiện tại, các tổ chức doanh nghiệp chỉ mới đưa ra các giải pháp công nghệ là chính và chưa xây
dựng cùng với chính sách bảo mật. Mô hình mà họ đang xây dựng là theo mô hình bottom-up.
Tức là xây dựng hạ tầng thông tin, giải pháp bảo mật trước rồi sau đó mới xây dựng chính sách
bảo mật. Chính vì vậy, các giải pháp công nghệ xây dựng đều không toàn diện, thiếu đâu vá đấy,
không mang tính tổng thể đồng bộ, chi phí cao. Ví dụ: Đề xuất xây dựng hệ thống bảo mật mạng
firewall, ips nhưng sau đó do hệ thống máy tính bị virus, tổ chức lại đề xuất giải pháp diệt virus.
Khi thấy hệ thống không kiểm soát được việc truy cập mạng, lại đề xuất giải pháp kiểm soát truy
cập mạng NAC. Điều này thể hiện sự thiếu toàn diện, chiến lược. Hay tại trung ương xây dựng
giải pháp này nhưng tại chi nhánh của họ thì lại xây dựng giải pháp kiểu khác, đây là biểu hiện
của sự không đồng bộ.
Theo khuyến cáo của các tổ chức trên thế giới, để xây dựng hệ thống an toàn thì nên xây dựng
theo mô hình top-down tức là phải xây dựng chính sách bảo mật trước. Tổ chức thực thi theo
3
[TRẦN HỮU THÀNH – THANHTHPA00133 - ASSIGNMENT]
October 2, 2014
chính sách bảo mật bao gồm con người, quy trình, giải pháp công nghệ, vật lý. Phương pháp này
đạt được tính toàn diện, đồng bộ và lâu dài.
Trong các tài liệu chuẩn về an toàn thông tin như ISO27001 hay COBIT, nhiệm vụ xây dựng

chính sách bảo mật đều được đặt lên đầu tiên trong lộ trình xây dựng hệ thống an toàn thông tin.
Chính sách bảo mật tác động đến toàn bộ hệ thống bao gồm phần mềm, phần cứng, truy cập, con
người, các kết nối, hệ thống mạng, hạ tầng viễn thông. Để xây dựng được một bộ chính sách bảo
mật tốt, trước tiên chúng ta cần xác định được các tài nguyên trong hệ thống, đánh giá mức độ
quan trọng, phân loại chúng. Chỉ khi xác định được đủ các tài nguyên thì bộ chính sách viết ra
mới bao quát được toàn bộ tất cả những gì cần phải bảo vệ. Bước tiếp theo sẽ là đánh giá các
chức năng, quy trình hoạt động sử dụng các tài nguyên, sau đó, xác định tài nguyên nào cần bảo
vệ. Từ đó đưa ra các chính sách bảo mật bảo vệ các tài nguyên đó.
Kết luận
Như vậy, để đảm bảo an toàn hệ thống thông tin, chúng ta không những phải có giải pháp mà cần
có con người, quy trình và cần áp dụng các tiêu chuẩn an toàn. Sự kết hợp giữa các yếu tố này để
vận hành, quản trị nâng cấp hệ thống được an toàn hơn, những điều này đều xuất phát từ chính
sách bảo mật của tổ chức doanh nghiệp. Đó là trung tâm tiền đề để thực hiện:
• Xây dựng quy trình an toàn thông tin
• Xây dựng các giải pháp an toàn thông tin
• Áp dụng các tiêu chuẩn an toàn thông tin
• Đưa ra các hướng dẫn thực hiện an toàn thông tin
• Đưa ý thức an toàn thông tin vào các thành viên tổ chức
• Đưa trách nhiệm an toàn thông tin vào các thành viên tổ chức
• Tránh việc vi phạm an toàn thông tin dẫn tới vi phạm pháp luật
Tất cả những điều đó thể hiện chính sách bảo mật là rất quan trọng đối với tổ chức, doanh
nghiệp, cần phải có bộ chính sách bảo mật thông tin và phải xây dựng hệ thống theo mô hình
top-down.
Về Quản Lý Phiên Bản :
Quản lý phiên bản (mã nguồn) là gì, tại sao bạn nên quan tâm? Quản lý phiên bản là một hệ
thống lưu trữ các thay đổi của một tập tin (file) hoặc tập hợp các tập tin theo thời gian, do đó nó
giúp bạn có thể quay lại một phiên bản xác định nào đó sau này. Mặc dù các ví dụ trong cuốn
sách này sử dụng mã nguồn của phần mềm là đối tượng cho quản lý phiên bản, song trong thực
thế bất kỳ loại file nào trên máy tính cũng có thể được sử dụng cho quản lý phiên bản.
4

[TRẦN HỮU THÀNH – THANHTHPA00133 - ASSIGNMENT]
October 2, 2014
Nếu bạn là một nhà thiết kế đồ hoạ hoặc thiết kế website, bạn muốn lưu trữ tất cả các phiên bản
của một bức ảnh hoặc bố cục (cái mà chắc chắn bạn cần), thì sử dụng một Hệ Thống Quản Lý
phiên bản (Version Control System - VCS) là một cách làm rất khôn ngoan. Một VCS cho phép
bạn: khôi phục lại phiên bản cũ của các file, khôi phục lại phiên bản cũ của toàn bộ dự án, xem
lại các thay đổi đã được thực hiện theo thời gian, xem ai là người thực hiện thay đổi cuối cùng có
thể gây ra sự cố, hay xem ai là người đã gây ra sự cố đó và còn nhiều hơn thế nữa. Sử dụng VCS
còn đồng nghĩa với việc khi bạn làm rối tung mọi thứ lên hay vô tình xoá mất các file đi, bạn có
khôi phục lại chúng một cách dễ dàng. Hơn nữa, tất cả quá trình này có thể được thực hiện rất
nhanh chóng và không hề tốn quá nhiều công sức.
Hệ Thống Quản Lý Phiên Bản Cục Bộ

:
Nhiều người chọn phương pháp quản lý phiên bản bằng cách copy các file sang một thư mục
khác (có thể là các thư mục được đặt tên theo thời gian, nếu họ thông minh). Đây là một phương
pháp rất phổ biến bởi vì nó rất đơn giản, tuy nhiên nó cũng rất dễ gây ra lỗi. Bạn sẽ rất dễ quên
rằng bạn đang ở trong thư mục nào hay vô tình sửa hoặc sao chép nhầm file mà bạn không
muốn.
Để giải quyết vấn đề này, từ lâu các lập trình viên đã phát triển các phiên bản VCS cục bộ có
chứa một database đơn giản lưu trữ tất cả các sự thay đổi của các files dưới sự kiểm soát thay đổi
(xem Hình 1-1).
Hình 1-1. Mô hình quản lý phiên bản cục bộ.
5
[TRẦN HỮU THÀNH – THANHTHPA00133 - ASSIGNMENT]
October 2, 2014
Một trong những hệ thống quản lý phiên bản phổ biến hơn có tên là rcs vẫn còn được sử dụng ở
nhiều máy tính cho tới bây giờ. Ngay cả hệ điều hành Mac OS X nổi tiếng cũng đưa vào các lệnh
rcs khi bạn cài đặt Developer Tools (Các công cụ dành cho lập trình viên). Phần mềm này cơ bản
hoạt động bằng cách lưu giữ các bản vá (những sự thay đổi giữa các file) từ phiên bản này qua

phiên bản khác ở một định dạng đặc biệt được lưu trên ổ cứng; nó có thể tái tạo lại bất kỳ file
nào ở bất kỳ thời điểm nào bằng cách gộp tất cả các bản vá lại với nhau.
Hệ Thống Quản Lý Phiên Bản Tập Trung

:
Vấn đề nghiêm trọng tiếp theo mà mọi người thường mắc phải là họ cần cộng tác với các lập
trình viên khác trong hệ thống. Để vượt qua trở ngại này, Hệ Thống Quản Lý Phiên Bản Tập
Trung (Centralized Version Control Systems - CVCSs) được phát triển. Các hệ thống này, ví dụ
như CVS, Subversion, và Perforce, bao gồm một máy chủ có chứa tất cả các tập tin đã được
"phiên bản hoá" (versioned), và danh sách các máy khách có quyền thay đổi các tập tin này trên
máy chủ trung tâm đó. Trong vòng nhiều năm, mô hình này đã trở thành tiêu chuẩn cho việc
quản lý phiên bản (xem Hình 1-2).
Hình 1-2. Mô hình quản lý phiên bản tập trung.
Mô hình này cung cấp rất nhiều lợi thế, đặc biết so với việc quản lý cục bộ. Ví dụ, tất cả người
dùng đều biết một phần nào đó những việc mà những người khác trong dự án đang làm. Người
6
[TRẦN HỮU THÀNH – THANHTHPA00133 - ASSIGNMENT]
October 2, 2014
quản lý có quyền quản lý ai có thể làm gì theo ý muốn; và việc này dễ dàng hơn nhiều so với
việc phải quản lý ở từng cơ sở dử liệu ở từng máy riêng biệt.
Tuy nhiên, mô hình này cũng có những bất cập nghiêm trọng. Dễ nhận thấy nhất đó là "sự cố tập
trung" mà máy chủ trung tâm mắc phải. Nếu máy chủ đó không hoạt động trong một giờ, nghĩa
là trong khoảng thời gian đó không ai có thể cộng tác với những người còn lại hoặc lưu trữ các
thay đổi đã được phiên bản hoá của bất kỳ tập tin nào mà người đó đang thao tác. Nếu ổ cứng
lưu trữ cơ sở dữ liệu trung tâm bị hỏng, và các sao lưu dự phòng chưa được tạo ra tính đến thời
điểm đó, bạn sẽ mất toàn bộ lịch sử của dự án đó, ngoại trừ những phiên bản cục bộ mà người
dùng có được trên máy tính cá nhân. Các hệ thống quản lý phiên bản cục bộ phải đối diện với
vấn đề tương tự như thế này mỗi khi toàn bộ lịch sử của dự án được lưu ở một nơi, bạn có nguy
cơ mất tất cả.
Hệ Thống Quản Lý Phiên Bản Phân Tán

:
Đã tới lúc cần tới các Hệ Thống Quản Lý Phiên Bản Phân Tán - Distributed Version Control
Systems (DVCSs). Trong các DVCS (ví dụ như Git, Mercurial, Bazaar hay Darcs), các máy
khách không chỉ "check out" (sao chép về máy cục bộ) phiên bản mới nhất của các tập tin: chúng
sao chép (mirror) toàn bộ kho chứa (repository). Chính vì vậy nếu như một máy chủ nào mà các
hệ thống quản lý phiên bản này (mỗi máy khách là một hệ thống riêng biệt) đang cộng tác ngừng
hoạt động, thì kho chứa từ bất kỳ máy khách nào cũng có thể dùng để sao chép ngược trở lại máy
chủ để khôi phục lại toàn bộ hệ thống. Mỗi checkout thực sự là một bản sao đầy đủ của tất cả dữ
liệu (xem Hình 1-3).
7
[TRẦN HỮU THÀNH – THANHTHPA00133 - ASSIGNMENT]
October 2, 2014
Hình 1-3. Mô hình quản lý phiên bản phân tán.
Ngoài ra, phần lớn các hệ thống này xử lý rất tốt việc quản lý nhiều kho chứa từ xa, vì thế bạn có
thể cộng tác với nhiều nhóm người khác nhau theo những cách khác nhau trong cùng một dự án.
Việc này cho phép bạn cài đặt nhiều loại "tiến trình công việc" (workflow) không thể thực hiện
được với các hệ thống tập trung, ví dụ như các mô hình phân cấp.
Phát hiện và khắc phục lỗ hổng bảo mật:
• Phát hiện:
• Quét mạng
• Quét điểm yếu
• Kiểm tra log
• Kiểm tra tính toàn vẹn file
• Phát hiện virus
• Chống tấn công quay số
CÁC BIỆN PHÁP PHÁT HIỆN HỆ THỐNG BỊ TẤN CÔNG :
Không có một hệ thống nào có thể đảm bảo an toàn tuyệt đối; bản thân mỗi dịch vụ đều có
những lỗ hổng bảo mật tiềm tàng. Đứng trên góc độ người quản trị hệ thống, ngoài việc tìm hiểu
phát hiện những lỗ hổng bảo mật còn luôn phải thực hiện các biện pháp kiểm tra hệ thống xem

có dấu hiệu tấn công hay không. Các biện pháp đó là: Kiểm tra các dấu hiệu hệ thống bị tấn
công: hệ thống thường bị treo hoặc bị vỡ bằng những thông báo lỗi không rõ ràng. Khó xác định
nguyên nhân do thiếu thông tin liên quan. Trước tiên, xác định các nguyên nhân về phần cứng
hay không, nếu không phải phần cứng hãy nghĩ đến khả năng máy bị tấn công.
8
[TRẦN HỮU THÀNH – THANHTHPA00133 - ASSIGNMENT]
October 2, 2014
Tường lửa :
Phần mềm diệt virus là phần mềm có tính năng phát hiện, loại bỏ các virus máy tính khắc phục
(một phần hoặc hoàn toàn) hậu quả của virus gây ra và có khả năng được nâng cấp để nhận biết
các loại virus trong tương lai.
Để đạt được các mục tiêu tối thiểu trên và mở rộng tính năng, phần mềm diệt virus thường hoạt
động trên các nguyên lí cơ bản nhất như sau:
Kiểm tra (quét) các tập tin để phát hiện các virus đã biết trong cơ sở dữ liệu nhận dạng về virus
của chúng.
9
[TRẦN HỮU THÀNH – THANHTHPA00133 - ASSIGNMENT]
October 2, 2014
• Phát hiện các hành động của các phần mềm giống như các hành động của virus
hoặc các phần mềm độc hại.
• LAN (viết tắt từ tên tiếng Anh Local Area Network, "mạng máy tính cục bộ") là
một hệ thống mạng dùng để kết nối các máy tính trong một phạm vi nhỏ (nhà ở,
phòng làm việc, trường học, …). Các máy tính trong mạng LAN có thể chia sẻ tài
nguyên với nhau, mà điển hình là chia sẻ tập tin, máy in, máy quét và một số thiết
bị khác.
• Một mạng LAN tối thiểu cần có máy chủ (server), các thiết bị ghép nối
(Repeater, Hub, Switch, Bridge), máy tính con (client), card mạng (Network Interface
Card – NIC) và dây cáp (cable) để kết nối các máy tính lại với nhau. Trong thời đại
của hệ điều hành MS-DOS, máy chủ mạng LAN thường sử dụng phần mềm Novell
NetWare, tuy nhiên điều này đã trở nên lỗi thời hơn sau khi Windows NT và Windows

for Workgroups xuất hiện. Ngày nay hầu hết máy chủ sử dụng hệ điều hành Windows, và
tốc độ mạng LAN có thể lên đến 10 Mbps, 100 Mbps hay thậm chí là 1 Gbps.
• Một hình thức khác của LAN là WAN (Wide Area Network). Có nghĩa là mạng diện
rộng. Dùng để nối các LAN lại với nhau (thông qua router).
• Một hình thức khác nữa của mạng LAN, mới xuất hiện trong những năm gần đây
là WLAN (Wireless LAN) – mạng LAN không dây.
7. Phát hiện, làm giảm và ngăn chặn các vụ tấn công:
Để tránh rủi ro bị tấn công vào hệ thống mạng LAN, Các cơ quan, tổ chức, doanh nghiệp
phải trang bị cho hệ thống mạng LAN một giải pháp phòng chống virus tổng thể bao gồm
cả chặn virus trên gateway, máy chủ (server) và cho toàn bộ mạng. Giải pháp này hoạt
động theo mô hình quản lý tập trung trên một máy chủ duy nhất hoặc nhiều máy chủ
phân cấp, bảo vệ an toàn tối đa cho từng máy tính cũng như trên toàn hệ thống mạng
trước những nguy cơ về virus, trojan, rootkit, spyware, adware Bên cạnh đó, giải pháp
tổng thể sẽ đưa ra các thống kê, báo cáo giúp người quản trị mạng sẽ luôn được nắm
được thông tin tổng quan cũng như chi tiết mới nhất về tình hình virus máy tính trong
toàn hệ thống, biết được loại virus nào đang lây lan trong mạng, những máy nào bị nhiễm
virus, xử lý triệt để virus hay chưa, những máy nào chưa cập nhật chương trình diệt virus
mới nhất Với những thông tin này, người quản trị sẽ chủ động đưa ra các phương án xử
lý chính xác và kịp thời, nhằm ngăn chặn tối đa những nguy cơ có thể ảnh hưởng tới hệ
thống. Trong trường hợp có sự cố virus, quản trị có thể đặt lịch quét, ra lệnh quét cho các
máy tính trong mạng từ xa, giảm thiểu thời gian, công sức và chi phí để quản trị hệ thống
diệt virus trong mạng.
Bảo mật dữ liệu doanh nghiệp
Với các doanh nghiệp sở hữu các dữ liệu và tài nguyên yêu cầu được bảo vệ, giám sát tình trạng
sử dụng một cách chặt chẽ. Các dữ liệu và tài nguyên này là nơi lưu trữ và xử lý các số liệu liên
quan đến khách hàng và của doanh nghiệp với giá trị rất lớn. Thông qua các dữ liệu này, nguồn
tài chính được luân chuyển theo một trình tự và qui tắc chặt chẽ. Nếu các dữ liệu và các tiến trình
10
[TRẦN HỮU THÀNH – THANHTHPA00133 - ASSIGNMENT]
October 2, 2014

này bị can thiệp không hợp lệ, chắc chắn sẽ xảy ra sự rối loạn và thiệt hại đáng kể cho doanh
nghiệp cũng như mất mát uy tín của chính doanh nghiệp đó.
Bằng sự hợp tác chặt chẽ với các tổ chức hoạt động về lĩnh vực an ninh hệ thống nổi tiếng trên
thế giới, itv solution luôn đảm bảo cung cấp cho khách hàng giải pháp về an ninh hệ thống theo
06 cấp độ (tổ chức, pháp luật, điều hành, thương mại, tài chính và về con người) đúng theo tiêu
chuẩn của ISO 27001: 2005 cho 10 thành phần (chính sách an ninh, tổ chức, phân loại và kiểm
soát tài nguyên, an ninh nhân sự, an ninh môi trường và vật lý, quản lý tác nghiệp và truyền
thông, kiểm soát truy cập, duy trì và cải tiến, quản lý liên tục, tính tuân thủ) có thể ảnh hưởng
đến an ninh thông tin của doanh nghiệp nhằm đảm bảo 3 thuộc tính của nó: Tính tin cậy
(Confidentiality), tính toàn vẹn (Integrity) và tính sẵn sàng(Availability).
Dựa trên tiêu chuẩn này, itv solution luôn cung cấp các giải pháp về an ninh hệ thống tuỳ theo
cấp độ của từng doanh nghiệp với những thành phần tối thiểu như:
GIẢI PHÁP BẢO VỆ ĐA CẤP VỀ PHẦN CỨNG
11
[TRẦN HỮU THÀNH – THANHTHPA00133 - ASSIGNMENT]
October 2, 2014

Lớp Firewall bên ngoài
Đây là lớp an ninh chủ lực chuyên dùng để chống lại các cuộc tấn công từ môi trường bên ngoài
như hacker, virus, spam….bảo vệ hệ thống giảm thiểu tối đa các ảnh hưởng xấu từ bên ngoài.
Khi được kết nối với môi trường bên ngoài. Trong thực tế: nguy cơ xâm nhập vào hệ thống nội
bộ của doanh nghiệp từ các đối tượng ngoại vi (như hacker, virus…), thông tin cung cấp
12
[TRẦN HỮU THÀNH – THANHTHPA00133 - ASSIGNMENT]
October 2, 2014
tới người dùng/khách hàng PHẢI được toàn vẹn và các người dùng được phép từ bên ngoài DỄ
DÀNG truy cập được.

Lớp an ninh trung gian
Lớp an ninh này chủ yếu dựa trên các tính năng an ninh cơ bản của thiết bị mạng, hệ điều hành,

Ví dụ với thiết bị mạng cao cấp chúng ta có thể triển khai những tính năng an ninh mạng cơ bản
như:
• Access control
list hạn chế truy cập của người dùng cuối qua những phần vùng, những ứng dụng không
thuộc phạm vi truy xuất của mình.
• Thiết lập các quyền truy cập thông qua username, password
• Hạn chế kết nối vào hệ thống (kết nối vật lý) tại những vị trí không được phép thông
qua tính năng port security, VLAN access control list của thiết bị mạng.
• Phân vùng VLAN hạn chế các dữ liệu vô ích (Broadcast, ARP signal…) tràn ngập từ khu
vực này qua khu vực khác, tận dụng tối đa băng thông cho thông tin có ích (traffic thực
sự của người dùng) của hệ thống. Ngăn chặn khuyếch tán Virus hay ảnh hưởng liên đới
do trường hợp không ổn định của hệ thống phần cứng từ vùng này qua vùng khác.
• v.v.
Firewall bảo vệ hệ thống máy chủ (serverfarm) - internal firewall
Phân hệ tường lửa nội bộ (internal firewall) đóng vai trò hết sức quan trọng là chốt chặn bảo mật
cuối cùng bảo vệ toàn bộ hệ thống dữ liệu của doanh nghiệp. Phân hệ này đồng thời là cửa ngõ
kiểm soát trước khi đi vào khu vực nhạy cảm nhất trong hệ thống, là khu vực các máy chủ trung
tâm. Điểm đặc biệt tại đây là ngoài việc ngăn chặn các tấn công từ môi trường bên ngoài xâm
nhập vào hệ thống, các thiết bị tường lửa còn phải phân tích các truy cập từ cả trong mạng LAN,
lọc và ngăn chặn được những tấn công xuất phát từ trong nội bộ. Hơn nữa do tầm quan trọng như
vậy, các thiết bị tường lửa tại phân hệ này phải là loại có công suất xử lý (throughput) cao và đặc
biệt là có khả năng hoạt động như là thiết bị ngăn chặn xâm nhập IPS (Intrusion Prevention
System).
Trung tâm dữ liệu là nơi chứa đựng tất cả tài sản vô giá của doanh nghiệp về mặt tài chính, thông
tin khách hàng… chính vì vậy tại khu vực có tầm quan trọng sống còn này của hệ thống chúng ta
13
[TRẦN HỮU THÀNH – THANHTHPA00133 - ASSIGNMENT]
October 2, 2014
cần có giải pháp bảo vệ an toàn cao nhất trong khả năng có thể của công nghệ. (xem sơ đồ minh
hoạ).

CÁC GIẢI PHÁP PHỤ TRỢ QUAN TRỌNG KHÁC
Phần mềm phòng chống Virus cho máy trạm (end-user)
Đây là thành phần không thể thiếu cho một hệ thống có khả năng phòng chống thâm nhập cao,
nhằm chống lại các lây nhiễm từ môi trường bên trong do người dùng gây ra.
Giải pháp ngăn chặn mất mát dữ liệu (data lost prevention)
Với kinh nghiệm trong việc thiết kế các giải pháp về an ninh hệ thống chuyên nghiệp, itv
solution đảm bảo cung cấp cho khách hàng các giải pháp chống thất thoát thông tin như: chống
sao chép thông tin ra khỏi hệ thống, chống gởi mail kèm tập tin nhạy cảm đã được định trước
nhằm hỗ trợ doanh nghiệp, nhất là các doanh nghiệp sản xuất, ngân hàng giảm thiểu tối đa
khả năng bị đánh cắp thông tin quan trọng hoặc "lộ" thông tin với các đối thủ cạnh tranh.
Giải pháp an ninh vật lý cho các phòng máy chủ
Ngoài các giải pháp trên, itv solution còn cung cấp các giải pháp cho việc giám sát an ninh vật lý
cho phòng máy chủ như: hệ thống kiểm soát vào ra, hệ thống camera theo dõi chuyên dụng
riêng cho phòng máy chủ
Hệ thống giám sát và quản trị hệ thống an ninh thông tin
Bất kỳ hệ thống an ninh mạng nào dù có hiện đại đến đâu cũng sẽ không phát huy hết tác dụng
nếu không có hệ thống giám sát giúp người quản trị phát hiện và ngăn chăn các thâm nhập trái
phép kịp thời và đưa ra những giải pháp hỗ trợ tiếp theo. Chính vì vậy, với giải pháp an ninh
mạng của Gensys, itv solution luôn luôn tư vấn khách hàng trang bị hệ thống này tuỳ theo mức
độ sao cho phù hợp với doanh nghiệp nhất trong phạm vi kinh phí cho phép. Xây dựng chính
sách an ninh cho doanh nghiệp Đây là một trong những thành phần rất quan trọng có tầm ảnh
hưởng rất lớn đến hệ thống an ninh. Vì vậy, itv solution luôn có những chuyên gia được đào tạo
bài bản chuyên nghiệp nhất để có thể cùng với các doanh nghiệp xây dựng các chính sách an
ninh đặc thù và phù hợp cho từng doanh nghiệp/tổ chức cụ thể.
Thực hiện kiểm toán định kỳ dữ liệu
Trên thế giới, mỗi nhà cung cấp giải pháp sẽ có các định nghĩa, phương pháp triển khai khác
nhau về mô hình QTDL. Bài viết này xin giới thiệu khái quát một vài mô hình (framework) phổ
14
[TRẦN HỮU THÀNH – THANHTHPA00133 - ASSIGNMENT]
October 2, 2014

biến trên thế giới.
2.1 Mô hình quản trị dữ liệu DAMA
Mô hình quản trị dữ liệu theo DAMA
Theo Hiệp hội Quản lý dữ liệu (Data Management Association – DAMA, www.dama.org),
QTDL bao gồm các lĩnh vực sau :
- Quản lý kiến trúc dữ liệu (Data Architecture Management): lập kế hoạch, theo dõi và điều
phối cho việc xây dựng mô hình dữ liệu và kiến trúc dữ liệu tổng thể toàn hệ thống.
- Phát triển dữ liệu (Data Development): thực hiện việc triển khai mô hình dữ liệu như: phân
tích, thiết kế, xây dựng, kiểm thử, triển khai và bảo trì.
- Quản lý thao tác dữ liệu (Data Operation Management): thực hiện các công việc như giám
sát hiệu năng, cải tiến hiệu năng, dự phòng, sao lưu, phục hồi dữ liệu.
- Quản lý bảo mật dữ liệu (Data Security Management): xây dựng các quy tắc, chính sách bảo
mật và thực hiện kiểm tra bảo mật dữ liệu định kỳ.
- Quản lý dữ liệu chủ (Reference & Master Data Management): quản lý hệ thống dữ liệu chủ
của hệ thống.
- Kho dữ liệu DN (Data warehousing and BI): hỗ trợ khai thác, phân tích dữ liệu và ra quyết
định đối với Ban Lãnh đạo.
- Quản lý tài liệu và nội dung (Document and Content Management): thực hiện việc lưu trữ,
đánh chỉ mục, bảo vệ, truy cập các dữ liệu phi cấu trúc trong hệ thống.
- Quản lý Metadata (Metadata management): tích hợp, quản lý, cung cấp metadata của tất cả
các nguồn dữ liệu, các ứng dụng.
- Quản lý chất lượng dữ liệu (Data Quality Management): quản lý chất lượng dữ liệu, làm
giảm nhẹ ảnh hưởng của dữ liệu bẩn.
15
[TRẦN HỮU THÀNH – THANHTHPA00133 - ASSIGNMENT]
October 2, 2014
2.2 Mô hình quản trị dữ liệu DGI
Mô hình quản trị dữ liệu theo DGI.
Theo Viện Quản trị dữ liệu (Data Governance Institute – DGI , www.datagovernance.com), để
triển khai chương trình QTDL, sẽ gồm 3 nhóm:

- Kỹ thuật
o Nhiệm vụ và tầm nhìn của QTDL (1)
o Mục tiêu, các chỉ số đo lường sự thành công của QTDL (2)
o Các quy định, quy tắc dữ liệu. (3)
o Quyền hạn quyết định (4)
o Trách nhiệm (5)
o Kiểm soát việc thực hiện (6)
- Con người:
o Data Stakeholders: bao gồm các phòng ban nghiệp vụ, Trung tâm Công nghệ thông tin (IT),
những bên liên quan có ảnh hưởng/bị ảnh hưởng bởi các quyết định về dữ liệu.(7)
o Data Governance Office – DGO (Ban QTDL): thực hiện việc điều hành, giám sát, phối hợp
các bên liên quan trong việc thực hiện các quy định, quy trình QTDL.(8)
o Data Stewards: bao gồm các phòng ban liên quan, cá nhân định nghĩa các quy tắc dữ liệu,
yêu cầu về dữ liệu, quy trình nghiệp vụ.(9)
- Quy trình
o Các quy trình QTDL theo hướng chủ động (proactive), bị động (reactive) và đang xử lý (on-
going)
16
[TRẦN HỮU THÀNH – THANHTHPA00133 - ASSIGNMENT]
October 2, 2014
Một mô hình DGO.
Trong khuôn khổ của một bài viết, không thể đi quá sâu vào từng thành phần trong mô hình DGI.
Tuy nhiên, điều đặc biệt lưu ý trong mô hình DGI là: QTDL cần được thực hiện bởi những
phòng/ban/đơn vị hiểu được dữ liệu sẽ sử dụng như thế nào trong kinh doanh, chứ không phải
thực hiện chỉ bởi những bộ phận lưu trữ, bảo vệ dữ liệu. DN không thể thực hiện thành công
chương trình QTDL nếu không có sự phối hợp chặt chẽ giữa nghiệp vụ, IT và các đơn vị kinh
doanh.
Quản trị dữ liệu mang lại lợi ích gì?
Đối với hoạt động kinh doanh
QTDL cho phép sử dụng, khai thác dữ liệu như một tài sản của DN. Do vậy, QTDL sẽ mang lại

các lợi ích tổng thể sau:
o Giảm chi phí và hoạt động hiệu quả: cung cấp các dịch vụ nhanh chóng, chính xác cho các
quy trình quan trọng trên phạm vi toàn hệ thống; cung cấp khả năng phân tích, đưa ra câu trả lời
cho các câu hỏi của nghiệp vụ một cách nhanh chóng;
o Tính tuân thủ trong kinh doanh: thông qua việc đưa ra các chính sách dữ liệu, thủ tục, xác
định rõ trách nhiệm của cán bộ, đơn vị trong quá trình khai thác, sử dụng dữ liệu… góp phần
nâng cao tính tuân thủ trong hoạt động của cán bộ trên phạm vi hệ thống;
o Tăng chất lượng phục vụ khách hàng: tăng khả năng hiểu rõ về khách hàng thông qua các
kênh thông tin khác nhau; mở rộng khả năng bán chéo sản phẩm (cross-sell, up-sell).
17
[TRẦN HỮU THÀNH – THANHTHPA00133 - ASSIGNMENT]
October 2, 2014
3 KPI đo lường lợi ích của QTDL
(khảo sát trên 50 công ty thuộc
Top 5000 trên thế giới):
+ Tăng khả năng hỗ trợ khách
hàng thông qua tăng hiệu quả hoạt
động của CRM: 31%
+ Tăng thị phần bằng việc xác
định các cơ hội kinh doanh thật sự:
28%
+ Giảm thiểu chi phí sửa lỗi dữ
liệu 19%
(Khảo sát IBM – 04, 2006)
18