luận văn hệ thống thông tin kinh tế giải pháp đảm bảo an toàn và bảo mật HTTT cho công ty cổ phần climax việt nam

1
LỜI CẢM ƠN

Trước tiên, em xin gửi lời cảm ơn sâu sắc nhất đến Th.S Bùi Quang Trường –
Giảng viên Bộ môn Công nghệ thông tin đã tận tình hướng dẫn em trong suốt quá trình
thực hiện khóa luận tốt nghiệp.
Em xin bày tỏ lời cảm ơn sâu sắc đến những thầy cô giáo đã giảng dạy em trong
bốn năm ngồi trên ghế giảng đường trường Đại học Thương Mại, những kiến thức mà
em nhận được sẽ là hành trang giúp em vững bước trong tương lai.
Em cũng muốn gửi lời cảm ơn đến các anh chị trong Công ty cổ phần Climax
Việt Nam đã nhiệt tình giúp đỡ tác giả trong quá trình hoàn thành bài khóa luận tốt
nghiệp của mình.
Cuối cùng, em xin chân thành cảm ơn Khoa Hệ thống thông tin kinh tế và các
thầy cô trong Thư viện trường đã tạo điều kiện giúp tác giả nghiên cứu tài liệu quý báu
trong thời gian qua để hoàn thành đề tài.
Bài khóa luận của em còn nhiều thiếu xót kinh mong nhận được sự chỉ bảo và
giúp đỡ của quý thầy cô và các bạn để bài làm được hoàn thiện hơn.
Xin chân thành cảm ơn!

1


2

MỤC LỤC

2


3

Bảng 2.1. Báo cáo kết quả kinh doanh của công ty cổ phần CLIMAX Việt Nam1
Bảng 2.2. Các phần mềm đang được sử dụng tại công ty cổ phần CLIMAX Việt Nam
Sơ đồ 2.1. Cơ cấu bộ máy tổ chức Công ty cổ phần CLIMAX Việt Nam

3


4
DANH MỤC TỪ VIẾT TẮT

TỪ VIẾT TẮT
TMĐT
ATBM
HTTT
VNĐ
CNTT

GIẢI NGHĨA
Thương mại điện tử
An toàn bảo mật
Hệ thống thông tin
Việt Nam đồng
Công nghệ thông tin

4


PHẦN I: TỔNG QUAN VẤN ĐỀ NGHIÊN CỨU.

I.1.

Tầm quan trọng, ý nghĩa của vấn đề nghiên cứu.
I.1.1. Tầm quan trọng.
Hệ thống thông tin có vai trò rất quan trọng giúp gia tăng giá trị cho tổ chức và
quyết định đối với hiệu quả kinh doanh, tính sống còn cảu tổ chức. Là cơ sở để các
nhà quản lý và doanh nghiệp có thể đưa ra những quyết định chiến lược đúng đắn, đưa
doanh nghiệp vượt qua giai đoạn khó khăn và phát triển. Hiện nay rất ít doanh nghiệp
quan tâm đúng mức đến vấn đề tổ chức hệ thống thông tin trong doanh nghiệp. Vì
vậy, giữ an toàn và bảo mật cho HTTT của doanh nghiệp ngày càng được coi trọng.
Xây dựng một HTTT an toàn giúp cho việc quản lý hệ thống trở nên rõ ràng,
minh bạch hơn. Một môi trường thông tin an toàn, trong sạch sẽ có tác động không
nhỏ đến việc giảm thiểu chi phí quản lý và hoạt động của doanh nghiệp, nâng cao uy
tín của doanh nghiệp, tạo điều kiện thuận lợi cho sự hội nhập một môi trường thông tin
lành mạnh. Điều này sẽ tác động mạnh đến ưu thế cạnh tranh của tổ chức. Rủi ro về
thông tin có thể gây thất thoát tiền bạc, tài sản, con người và gây thiệt hại đến hoạt
động kinh doanh sản xuất của doanh nghiệp.Do vậy, đảm bảo ATTT doanh nghiệp cũng có
thể coi là một hoạt động quan trọng trong sự nghiệp phát triển của doanh nghiệp.
I.1.2. Ý nghĩa của vấn đề nghiên cứu.
Là một doanh nghiệp mới thành lập, Công ty cổ phần Climax Việt Nam vẫn chưa
có sự đầu tư đúng mức cho vấn đề an toàn bảo mật HTTT của mình. Nhận thấy đây là
vấn đề cần thiết đối với công ty nên em quyết định lựa chọn vấn đề: “Giải pháp đảm
bảo an toàn và bảo mật HTTT cho công ty cổ phần Climax Việt Nam. ” làm đề tài
khóa luận của mình. Với hi vọng, đây sẽ là giải pháp hiệu quả để giúp công ty nâng
cao doanh thu và lợi nhuận trong tương lai, đảm bảo doanh nghiệp có thể đưa ra những
quyết định một cách đúng đắn, kịp thời.
Áp dụng kết quả nghiên cứu để đưa ra các giải pháp nâng cao tính an toàn bảo
mật của HTTT cho doanh nghiệp.

5

I.2.

Tổng quan vấn đề nghiên cứu.

I.2.1. Tình hình nghiên cứu ngoài nước.
Ở Việt Nam nói riêng và trên Thế giới nói chung, có không ít người quan tâm và
nghiên cứu đưa ra phương hướng và giải pháp đảm bảo an toàn và bảo mật hệ thống
thông tin nói chung. Công nghệ thông tin ngày càng phát triển dẫn đến càng nhiều
hình thức tinh vi, tiểu sảo, nhiều các cuộc tấn công đánh cắp dữ liệu vào các website
của các doanh nghiệp lớn nhỏ, các tổ chức, chính phủ…
Hay gần đây nhất là vụ tấn công vào các trang thông tin điện tử của Cơ quan tình
báo Trung ương Mỹ CIA và Interpol, gây những hậu quả đặc biệt nghiêm trọng. Các số
liệu thống kê và thực tế cho thấy các cuộc tấn công mạng sẽ ngày càng mạnh mẽ hơn,
chuyên nghiệp hơn và ngày càng khó khăn hơn để ngăn chặn.
Accounting Information Sytstems (2002), New York John & Sons, 2002
Cuốn sách viết về phần mềm thông tin kế toán bao gồm: Nhìn chung về mô hình
phần mềm kế toán, hệ thống kế toán quản lý, hệ thống khái niệm và kế toán, các công
cụ của hệ thống, quá trình phát triển của hệ thống… Cuốn sách sẽ giúp ta hiểu roc hơn
về phần mềm kế toán và cách sử dụng phần mềm một cách tối đa nhất.
William Stallings(2005), Cryptography and network security principles and
practices, Fourth Edition, Prentice Hall, 2005
Cuốn sách nói về vấn đề mật mã và an ninh mạng hiện nay, khám phá những vấn
đề cơ bản của công nghệ mật mã và an ninh mạng. Kiểm tra các thực hành an ninh
mạng thông qua các ứng dụng thực tế đã được triển khai thực hiện và sử dụng ngày
nay. Các chương trình mã hóa được sử dụng rộng rãi nhất dựa trên các dữ liệu
Encryption Standard (DES) được thông qua vào năm 1977 của Cục Tiêu chuẩn Quốc
gia, nay là Viện Tiêu chuẩn và Công nghệ (NIST), như tiêu chuẩn xử lý thông tin liên
bang 46 (FIPS PUB 46). Đối với DES, dữ liệu được mã hóa trong khối 64-bit sử dụng
một chìa khóa 56-bit. Các thuật toán biến đổi 64-bit đầu vào trong một loạt các bước

vào một đầu ra 64-bit. Các bước tương tự, với cùng một phím, được sử dụng để đảo
ngược mã hóa. DES với việc sử dụng rộng rãi. Nó cũng đã là chủ đề của nhiều cuộc
tranh cãi liên quan đến bảo mật của DES là. Để đánh giá đúng bản chất của sự tranh
cãi, chúng ta hãy nhanh chóng xem lại lịch sử của DES.

6


Tính năng ngăn chặn chế độ thuật toán, mã hoá hoạt động, bao gồm cả chế độ
CMAC (Cipher-based Message Authentication Code) để xác thực và chế độ mã hoá
chứng thực. Bao gồm phương pháp giải quyết, mở rộng cập nhật những phần mềm độc
hại và những kẻ xâm hại.
I.2.2. Tình hình nghiên cứu trong nước.
Hiện nay vấn đề an toàn và bảo mật thông tin rất được coi trọng. Chính phủ đã
ban hành nghị định 85/2016/NĐ-CP quy định về đảm bảo an toàn HTTT theo cấp độ,
có hiệu lực thực thi từ ngày 1/2/2016:
Nghị định này quy định chi tiết về tiêu chí, thẩm quyền, trình tự, thủ tục xác định
cấp độ an toàn HTTT và trách nhiệm đảm bảo an toàn HTTT theo từng cấp độ; trách
nhiệm của việc đảm bảo an toàn HTTT.
Một số giáo trình:
TS. Trần Thị Song Minh (2012), Hệ thống thông tin quản lý, Nhà xuất bản Đại
Học Kinh Tế Quốc Dân. Giáo trình được chia làm 6 phần. Phần 1, cho ta thấy cái nhìn
tổng quát về HTTT. Phần 2, các thành phần công nghệ của HTTT. Phần 3, các HTTT
dưới góc độ quản lý và ra quyết định. Phần 4, các HTTT ứng dụng trong kinh doanh.
Phần 5, phát triển các HTTT trong tổ chức. Phần 6, quản trị các nguồn lực và vấn đề
an toàn HTTT.
TS. Đàm Gia Mạnh(2009), An toàn dữ liệu trong thương mại điện tử, nhà xuất
bản thống kê, Đại Học Thương Mại. Giáo trình cho ta thấy tổng quan về an toàn dữ
liệu, các hình thức tấn công dữ liệu trong thương mại điện tử, các phương thức phòng
tránh và khắc phục hậu quả, các phương pháp mã hóa và cuối cùng là ứng dụng của an

toàn dữ liệu trong thương mại điện tử.
“An toàn bảo mật HTTT”, Đại học Bách Khoa HN. Giáo trình viết về tổng quan
bảo mật an toàn hệ thống thông tin, các phương pháp mã hóa cổ điển, chuẩn mã dữ
liệu DES, mật mã công khai, các sơ đồ chữ ký số. Trong đó, phần các phương pháp mã
hóa cổ điển giúp ta biết về các phương pháp mã hóa cổ điển, cơ chế hoạt động của các
phương pháp đó.
Đã có khá nhiều những công trình nghiên cứu về vấn đề này:
Có khá nhiều đề tài đã đề cập đến vấn đề an toàn bảo mật thông tin như đề tài
“An toàn và bảo mật HTTT”, Trịnh Ngọc Minh, đề tài nghiên cứu trọng điểm cấp
ĐHQG, ĐHQG TP. Hồ Chí Minh. Đề tài nói về các biện pháp bảo mật HTTT : các
7


dịch vụ cần bảo vệ trên máy chủ unix, bài toán phát hiện kẻ xâm nhập, một số phương
pháp bảo vệ tài nguyên hệ thống, xây dựng firewall trên cơ sở máy chủ Linux và cisco Router.
Luận văn thạc sĩ với đề tài “Bảo mật và an toàn thông tin trong thương mại điện
tử”, Nguyễn Tuấn Anh, Khoa CNTT, Đại học Bách Khoa.
Luận văn đã đưa ra được một số công cụ và phương pháp nhằm đảm bảo an toàn
thông tin trong TMĐT như: mã hóa, chữ ký số….
Tuy nhiên, nội dung nghiên cứu của luận văn chỉ dừng lại ở việc đảm bảo an toàn
thông tin trong TMĐT chứ không bao quát được toàn bộ các vấn đề về ATTT nói
chung và đi sâu vào một doanh nghiệp cụ thể.
Đồ án tốt nghiệp “Nghiên cứu đảm bảo an toàn thông tin bằng kiểm soát truy nhập”,
Đoàn Trọng Hiệp, Khoa CNTT, Đại học dân lập Hải Phòng.
Đồ án giúp ta hiểu rõ hơn về các kĩ thuật, phương pháp và mô hình kiểm soát
truy nhập nhằm đảm bảo an toàn thông tin.
Nhưng kết quả của đồ án chỉ là tìm hiểu, nghiên cứu tài liệu để hệ thống lại các
vấn đề chứ không đi vào ứng dụng tại một cơ quan hay tổ chức cụ thể nào.
I.3.
-

Mục tiêu của đề tài.
Tìm hiểu nghiên cứu và hệ thống hóa cơ sở lý luận về an toàn và bảo mật HTTT cho doanh nghiệp.
Phân tích, tổng hợp thực trạng về an toàn bảo mật HTTT trong doanh nghiệp.
Đánh giá ưu, nhược điểm, nguyên nhân của thực trạng an toàn bảo mật HTTT trong doanh nghiệp.
Trên cơ sở nghiên cứu lý thuyết, phân tích và đánh giá thực trạng đưa ra các kiến nghị, biện pháp để đảm bảo an toàn bảo
mật HTTT cho doanh nghiệp.

I.4.

Đối tượng và phạm vi nghiên cứu của đề tài.
Đối tượng nghiên cứu: Doanh nghiệp, HTTT, các hoạt động đảm bảo an toàn
bảo mật HTTT cho DN.
Phạm vi nghiên cứu :
- Về nội dung: Đề tài nghiên cứu về mức độ an toàn và bảo mật HTTT của
công ty và đưa ra các biện pháp để nâng cao HTTT đó.
- Phạm vi về thời gian: Số liệu thu thập từ 2014 đến năm 2016.
- Phạm vi về không gian: Công ty cổ phần Climax Việt Nam, cơ chế bảo mật,
quá trình nghiệp vụ.
1.5. Pháp nghiên cứu.
1.5.1. Phương pháp thu thập dữ liệu
Phương pháp nghiên cứu tài liệu: tìm hiểu nghiên cứu các văn bản, tài liệu liên
quan đến đề tài nghiên cứu qua internet và các bài báo. Phân tích, tổng hợp các tài liệu
có liên quan đến đề tài.

8


Phương pháp thống kê, thu thập số liệu bằng cách sử dụng phiếu điều tra : thiết
kế những phiếu điều tra, hướng dẫn người sử dụng điền những thông tin cần thiết

nhằm thăm dò dư luận, thu thập các ý kiến, quan điểm có tính đại chúng rộng rãi.
Phương pháp so sánh đối chiếu: Đối chiếu giữa lý luận và thực tiễn kết hợp thu
thập và xử lý thông tin từ các nguồn thu thập.
Phương pháp phân tích, tổng hợp, xử lý và đánh giá: Sử dụng Microsoft office
excel, vẽ biểu đồ minh họa để xử lý các số liệu thu thập được từ các nguồn tài liệu bên
trong công ty bao gồm báo cáo kết quả hoạt động kinh doanh của công ty năm 2014 –
2015, từ phiếu điều tra và tài liệu thống kê khác
Phương pháp phán đoán dùng để đưa ra các dự báo, phán đoán về tình hình phát
triển HTTT của công ty, tình hình an toàn bảo mật thông tin chung trong nước và thế
giới cũng như đưa ra các nhận định về các nguy cơ mất an toàn thông tin mà công ty
sẽ hứng chịu.
1.5.2. Phương pháp phân tích và xử lý dữ liệu
Mỗi phương pháp xử lý thông tin đều có những ưu nhược điểm riêng của chúng
vì vậy trong đề tài nghiên cứu này chúng ta sẽ sử dụng các phương pháp xử lý thông
tin sau:
Phương pháp định lượng: Sử dụng phần mềm SPSS (Statistical Package for
Social Sciences).
SPSS là một phần mềm cung cấp hệ thống quản lý dữ liệu và phân tích thống kê
trong một môi trường đồ họa, sử dụng các trình đơn mô tả và các hộp thoại đơn giản
để thực hiện hầu hết các công việc thống kê phân tích số liệu. Người dùng có thể dễ
dàng sử dụng SPSS để phân tích hồi quy, thống kê tần suất, xây dựng đồ thị
Phương pháp định tính: Đối với các số dữ liệu thu thập được ở dạng số liệu có
thể thống kê phân tích và định lượng được ta sẽ dùng bảng tính Excel để phân tích làm
rõ các thuộc tính, bản chất của sự vật hiện tượng hoặc làm sáng tỏ từng khía cạnh hợp
thành nguyên nhân của vấn đề được phát hiện. Thường sử dụng để đưa ra các bảng số
liệu thống kê, các biểu đồ thống kê, đồ thị.
1.6.

Kết cấu khóa luận.
Phần 1: Tổng quan về vấn đề nghiên cứu.

9


Phần 2: Cơ sở lý luận và thực trạng an toàn bảo mật HTTT của công ty cổ phần
Climax Việt Nam.
Phần 3: Định hướng phát triển và đề xuất giải pháp đảm bảo an toàn bảo mật
HTTT của công ty cổ phần Climax Việt Nam.

10


PHẦN II. CƠ SỞ LÝ LUẬN VÀ THỰC TRẠNG AN TOÀN BẢO MẬT HTTT
CỦA CÔNG TY CỔ PHẦN CLIMAX VIỆT NAM.
2.1. Cơ sở lý luận về an toàn bảo mật HTTT.
2.1.1. Khái niệm và vai trò của an toàn bảo mật HTTT trong công ty.
2.1.1.1. Các khái niệm về HTTTT
- Hệ thống: tập hợp các phần tử tương tác được tổ chức nhằm thực hiện một
mục đích xác định(TS. Trần Thị Song Minh, Giáo trình HTTT Quản lý, Đại học kinh
tế quốc dân)
Các phần tử ở đây là tập hợp các phương tiện vật chất và nhân lực.
Những yếu tố cơ bản của một hệ thống gồm:
Mục đích: chính là lý do mà hệ thống tồn tại và là một tiêu chí được sử dụng khi
đánh giá mức độ thành công của hệ thống.
Phạm vi: nhằm xác định những gì nằm trong và ngoài hệ thống.
Môi trường: bao gồm tất cả những yếu tố nằm ngoài hệ thống.
Đầu vào: là những đối tượng và thông tin từ môi trường bên ngoài hệ thống được
đưa vào hệ thống.
Đầu ra: là những đối tượng hoặc những thông tin được đưa từ hệ thống ra bên ngoài.
- Hệ thống thông tin: một hệ thống bao gồm các yếu tố có quan hệ với nhau

cùng làm nhiệm vụ thu thập, xử lý, lưu trữ và phân phối dữ liệu, thông tin cung cấp
một cơ chế phản hồi để đạt được một mục tiêu định trước.(TS. Trần Thị Song Minh,
Giáo trình HTTT quản lý, Đại học kinh tế quốc dân)
- Hệ thống thông tin quản lý là: hệ thống tích hợp các yếu tố con người, các thủ
tục, các CSDL và các thiết bị được sử dụng để cung cấp những thông tin có ích cho
các nhà quản lý và ra quyết định (TS. Trần Thị Song Minh, Giáo trình hệ thống thông
tin quản lý, Đại Học Kinh Tế Quốc Dân)
- Bảo mật hệ thống thông tin là: bảo vệ hệ thống thông tin chống lại việc truy
cập, sử dụng, chỉnh sửa, phá hủy, làm lộ và gián đoạn thông tin và hoạt động của hệ
thống một cách trái phép.
- An toàn dữ liệu: có thể hiểu là quá trình đảm bảo an toàn ch hệ thống tránh khỏi
những nguy cơ hỏng hóc hoặc mất mát dữ liệu. Các nguy cơ này có thể là ngẫu nhiên
hoặc có chủ định.
2.1.1.2. Các khái niệm về an toàn bảo mật hệ thống thông tin.
a. Khái niệm an toàn bảo mật.
Một hệ thống thông tin bảo mật là một hệ thống mà thông tin được xử lý trên nó
đảm bảo được 3 đặc trưng sau đây: Tính bí mật của thông tin, tính toàn vẹn của thông
tin, tính khả dụng của thông tin.
11


Ba đặc trưng này được liên kết lại và xem như là mô hình tiêu chuẩn của các hệ
thống thông tin bảo mật, hay nói cách khác, đây là 3 thành phần cốt yếu của một hệ
thống thông tin bảo mật. Mô hình này được sử dụng rộng rãi trong nhiều ngữ cảnh và
nhiều tài liệu khác nhau, và được gọi tắt là mô hình CIA.
b. Các đặc trưng của an toàn bảo mật.
Tính bí mật.
Một số loại thông tin chỉ có giá trị với một đối tượng xác định khi chúng không
phổ biến cho các đối tượng khác. Tính bí mật của thông tin giới hạn về đối tượng được
quyền truy xuất đến thông tin. Đối tượng truy xuất có thể là con người, máy tính hoặc

phần mềm, kể cả phần mềm phá hoại như virus, worm, spyware……..
Đảm bảo tính bí mật của thông tin, ngoài các cơ chế và phương tiện vật lý như
nhà xưởng, thiết bị lưu trữ, dịch vụ bảo vệ…….thì kỹ thuật mã hóa được xem là công
cụ bảo mật thông tin hữu hiệu nhất trong môi trường mấy tính. Các kỹ thuật mã hóa
được xem là công cụ bảo mật thông tin hữu hiệu nhất trong môi trường máy tính.
Tính toàn vẹn.
Đặc trưng này đảm bảo sự tồn tại nguyên vẹn của thông tin, loại trừ mọi sự thay
đổi thông tin có chủ đích hoặc hư hỏng, mất mát thông tin do gặp sự cố thiết bị hoặc
phần mềm. Tính toàn vẹn được xem xét trên 2 khía cạnh:
- Tính nguyên vẹn của nội dung thông tin.
- Tính xác thực của nguồn thông tin.
Nói cách khác, tính toàn vẹn của thông tin phải được đánh giá trên hai mặt: toàn
vẹn về nội dung và toàn vẹn về nguồn gốc.
Nếu như tính bí mật của thông tin chỉ quan tâm đến việc thông tin có bị tiết lộ
hay không, thì tính toàn vẹn của thông tin vừa quan tâm tới tính chính xác của thông
tin và cả mức độ tin cậy của thông tin.

12


Tính khả dụng.
Tính khả dụng của thông tin là tính sẵn sang của thông tin cho các nhu cầu truy
xuất hợp lệ.
Tính khả dụng là một yêu cầu rất quan trọng của hệ thống, bởi vì một hệ thống
tồn tại nhưng không sẵn sàng cho sử dụng thì cũng giống như không tồn tại một hệ
thống thông tin nào. Một hệ thống khả dụng là một hệ thống làm việc trôi chảy và hiệu
quả, có khả năng phục hồi nhanh chống nếu có sự cố xảy ra.
Trong thực tế, tính khả dụng được xem là nền tảng của hệ thống bảo mật, bởi vì
khi hệ thống không sẵn sàng thì việc đảm bảo 2 đặc trưng còn lại (bí mật và toàn vẹn)
sẽ trở lên vô cùng vô nghĩa.

2.1.1.3. Vai trò của an toàn bảo mật hệ thống thông tin.
Hệ thống thông tin là thành phần thiết yếu trong mọi cơ quan, tổ chức, đem lại
khả năng xử lý thông tin, nhưng hệ thống thông tin cũng chứa rất nhiều điểm yếu. Do
máy tính được phát triển với tốc độ rất nhanh để đáp ứng nhiều yêu cầu của người
dùng, các phiên bản được phát hành liên tục với các tính năng mới được thêm vào
ngày càng nhiều, điều này làm cho các phần mềm không được kiểm tra kỹ trước khi
phát hành và bên trong chúng chứa rất nhiều lỗ hổng có thể dễ dàng bị lợi dụng. Thêm
vào đó là việc phát triển của hệ thống mạng, cũng như sự phân tán của hệ thống thông
tin, làm cho người dùng truy cập thông tin dễ dàng hơn và tin tặc cũng có nhiều mục
tiêu tấn công dễ dàng hơn.
Song song với việc xây dựng hệ thống thông tin hiện đại, đáp ứng nhu cầu của
các cơ quan, tổ chức cần phải bảo vệ hệ thống thông tin, đảm bảo cho hệ thống đó hoạt
động ổn định và tin cậy. An toàn và bảo mật thông tin là thiết yếu trong mọi cơ quan,
tổ chức. An toàn bảo mật thông tin có vai trò quan trọng đối với sự phát triển bền vững
của các doanh nghiệp. Đối với mỗi doanh nghiệp, thông tin có thể coi là tài sản vô giá.
Xây dựng một HTTT an toàn giúp cho việc quản lý hệ thống trở nên rõ ràng,
minh bạch hơn. Một môi trường thông tin an toàn, trong sạch sẽ có tác động không
nhỏ đến việc giảm thiểu chi phí quản lý và hoạt động của doanh nghiệp, nâng cao uy
tín của doanh nghiệp, tạo điều kiện thuận lợi cho sự hội nhập một môi trường thông tin
lành mạnh. Điều này sẽ tác động mạnh đến ưu thế cạnh tranh của tổ chức. Rủi ro về
thông tin có thể gây thất thoát tiền bạc, tài sản, con người và gây thiệt hại đến hoạt

13


động kinh doanh sản xuất của doanh nghiệp.Do vậy, đảm bảo ATTT doanh nghiệp
cũng có thể coi là một hoạt động quan trọng trong sự nghiệp phát triển của doanh nghiệp.
2.1.2. Một số phương thức tấn công và phòng vệ HTTT.
2.1.2.1. Các phương thức tấn công.
Tấn công từ chối dịch vụ DoS.

Dạng tấn công này không xâm nhập vào hệ thống để lấy cắp hay thay đổi thông
tin mà chỉ nhằm vào mục đích ngăn chặn hoạt động bình thường của hệ thống, đặc biệt
đối với các hệ thống phục vụ trên mạng công cộng như web server, Mail server…
Các tấn công từ chối dịch vụ thường rất dễ nhận ra do tác động cụ thể của nó đối
với hệ thống. Mục tiêu tấn công của từ chối dịch vụ có thể là một máy chủ hoặc một
mạng con.
Cơ sở của tấn công từ chối dịch vụ là các sơ hở về bảo mật trong cấu hình hệ
thống, sơ hở trong giao thức kết nối mạng và các lỗ hổng bảo mật của phần mềm, hoặc
đơn giản là sự hạn chế của tài nguyên như băng thông kết nối, năng lực của máy chủ.
Tấn công từ chối dịch vụ thường được thực hiện thông qua mạng Internet , nhưng
cũng có thể xuất phát từ trong nội bộ hệ thống dưới dạng tác động của các phần mềm
như worm hoặc trojan.
Hai kỹ thuận thường dùng để gây ra các tấn công từ chối dịch vụ truyền thông
tương ứng với hai mục tiêu tấn công là Ping of Death và buffer-overflow.
- Ping of Death tấn công vào kết nối mạng bằng cách gửi liên tục và với số lượng
lớn các gói dữ liệu ICMP đến một mạng con nào đó, chiếm toàn bộ băng thông kế nối
và do đó gây ra tắc nghẽn mạng.
- Buffer-overflow tấn công vào các máy chủ bằng cách nạp dự liệu vượt quá giới
hạn của bộ đệm trên máy chủ, gây ra lỗi hệ thống. Các tấn công từ chối dịch vụ nổi
tiếng trong lịch sử bảo mật máy tính như Code Red, Slapper, Slammer…. Là các tấn
công sử dụng kỹ thuật buffer- overflow.
Tấn công từ chối dịch vụ phân tán.
Là phương thức tấn công dựa trên nguyên tắc từ chối dịch vụ nhưng có mức độ
nguy hiểm cao hơn do huy động cùng lúc nhiều máy tính cùng tấn công vào một hệ
thống duy nhất.
Tấn công từ chối dịch vụ phân tán được thực hiện qua 2 giai đoạn :
14


Kẻ tấn công huy động nhiều máy tính trên mạng tham gia từ chối dịch vụ phân tán

bằng các cài đặt các phần mềm điều khiển từ xa trên các máy tính này.
Các máy tính đã được cái đặt phần mềm điều khiển này được gọi là Zoombie. Để
thực hiện bước này, kẻ tấn công dò tìm trên mạng những máy có nhiều sơ hở để tấn
công và cài đặt các phần mềm điều khiển xa lên đó mà người quản lý không hay biết.
Những phần mềm này được gọi chung là backdoor.
Kẻ tấn công điều khiển zombie đồng loạt thực hiện tấn công vào mục tiêu.
Các thành phần tham gia trong chuỗi dịch vụ phân tán bao gồm:
- Client: phần mềm điều khiển từ xa được kẻ tấn công sử dụng để điều khiển các
máy khác tham gia tấn công. Máy tính chạy phần mềm này được gọi là master.
- Deamon: phần mềm chạy trên các zombie, thực hiện yêu cầu của master và là
nơi trực tiếp thực hiện tấn công từ chối dịch vụ đến máy nạn nhân.
Nghe lén.
Đây là hình thức lấy cắp dữ liệu bằng cách đọc lén lên trên mạng. Hầu hết các
card mạng điều có khả năng chặn bắt tất cả các gói dữ liệu lưu thông trên mạng, mặc
dù gói dữ liệu đó không được gửi đến cho mình. Những card mạng có khả năng như
thế được gọi là đang ở chế độ promiscous.
Có rất nhiều phần mềm cho phép thực hiện chặn bắt dữ liệu từ một máy đang
kết nối vào mạng. Bằng việc đọc và phân tích các gói dữ liệu bắt được, kẻ tấn công có
thể tìm thấy nhiều thông tin quan trọng để tiến hành các hình thức tấn công khác.
Tấn công mật khẩu.
Là hình thức truy xuất trái phép vào hệ thống bằng cách dò mật khẩu. Có hai kỹ
thuật dò mật khẩu phổ biến:
-

Dò tuần tự: Dò mật khẩu bằng cách thứ lần lượt các tổ hợp ký tự, thông thường việc
này được thực hiện tự động bằng phần mềm. Mật khẩu càng dài thì số lần thử các lớn
và do đó khó bị phát hiện hơn. Một số hệ thống quy định chiều dài tối thiểu của mật
khẩu. Ngoài ra để ngăn chặn việc thử mật khẩu nhiều lần, một số hệ thống ngắt nối
nếu liên tiếp nhận được mật khẩu sai sau một số lần nào đó.

-

Dò theo tự điển: thử lần lượt các mật khẩu người sử dụng thường dùng. Để cho đơn
giản, người dùng thường có thói quen nguy hiểm là dùng những thông tin dễ nhớ làm
mật khẩu, ví dụ như tên mình, ngày sinh, số điện thoại.... Một số hệ thống hạn chế
15


nguy cơ này bằng cách định ra các chính sách về mật khẩu, quy định độ khó tối thiểu
của mật khẩu, ví dụ mật khẩu phải khác những thông tin liên quan đến cá nhân người
sử dụng, phải bao gồm các chữ in hoa và chữ thường, chữ cái và các mẫu tự khác chữ
cái...
Làm tràn kết nối TCP.
Đây là tấn công khai thác thủ tục bắt tay ba chiều của TCP. Mục đích của tấn
công là gây ra quá tải kết nối trên máy chủ và dẫn tới từ chối dịch vụ(DoS).
Nhận được bản tin ACK trả lời từ phía client thì server phải chờ cho đến khi hết
thời hiệu rồi mới giải tỏa kết nối này. Với sơ hở này, nếu một kẻ tấn công cố tình tạo ra
các bản ACK liên tiếp gửi đến server nhưng không hồi đáp, thì đến một thời điểm nào
đó, tất cả các kết nối có thể có của server đều dành hết cho việc chờ đợi này và do
không có khả năng phục vụ cho các kết nối khác nhau.
Tấn công dựa vào số thứ tự của TCP.
Trong quá trình truyền dữ liệu giữa các máy sử dụng giao thức TCP, số thứ tự là
một thông tin quan trọng giúp xác định thứ tự các gói dữ liệu và xác định các gói đã
được nhận thành công. Số thứ tự được đánh theo từng byte dữ liệu và được duy trì một
cách đồng bộ giữa bên gửi và bên nhận. Nếu một máy thứ ba, bằng cách nào đó, chặn
bắt được các gói dữ liệu đang được trao đổi và đoán được số thứ tự của quá trình
truyển nhận dữ liệu, nó sẽ có khả năng xen vào kết nối, làm ngắt kết nối của một đầu
và nhảy vào thay thế.
Tấn công dùng giao thức ICMP.
ICMP là một giao thức điều khiển dùng trong mạng IP. Giao thức này thường

được sử dụng để thực hiện các thủ tục điều khiển trên mạng IP như kiểm tra các kết
nối. Hai phương thức tấn công phổ biến dựa trên ICMP bao gồm :
-

Smurf attack : nguyên lý hoạt động của ICMP là hồi đáp lại khi nhân được yêu cầu từ
máy khác, do chức năng của ICMP là để kiểm tra các kết nối IP. Dựa vào nguyên lý
này, một kẻ tấn công có thể giả danh một địa chỉ IP nào đó và gửi một yêu cầu đến tất
cả các máy trong nội bộ. Ngay lập tức, tất cả các máy đều đồng loạt trả lời cho máy có
địa chỉ IP bị giả danh, dẫn đến máy này bị tắc nghẽn không có khả năng hoạt động
như bình thường. Mục tiêu của tấn công smurf là làm tê liệt một máy nào đó bằng các
gói ICMP.
16


-ICMP tunneling: do gói dữ liệu ICMP thường được chấp nhận bởi nhiều máy
trên mạng, nên kẻ tấn công có thể lợi dụng điều này để chuyển các thông tin không
hợp lệ thông qua các gói dữ liệu ICMP. Để ngăn chặn các tấn công này, cách tốt nhất
là từ chối tất cả các gói dữ liệu ICMP.
Tấn công khai thác phần mềm.
Đây là tên gọi chung của tất cả các hình thức tấn công nhằm vào chương trình
ứng dụng hoặc một dịch vụ nào đó ở lớp ứng dụng. Bằng cách khai thác các sơ hở và
các lỗi kỹ thuật trên các phần mềm và dịch vụ này, kẻ tấn công có thể xâm nhập hệ
thống hoặc làm gián đoạn hoạt động bình thường của hệ thống.
Tấn công tràn bộ nhớ đệm: là phương thức tấn công vào các lỗi lập trình của số
phần mềm. Lỗi này có thể do lập trình viên, do bản chất của ngôn ngữ hoặc do trình
biên dịch. Ngôn ngữ C là ngôn ngữ có nhiều khả năng gây ra các lỗi tràn bộ đệm nhất,
các chương trình hệ thống, đặc biệt trong môi trường Unix và Linux.
2.1.2.2. Các phương thức xâm nhập hệ thống bằng phần mềm phá hoại.
Kỹ thuật và hình thức tấn công mới thường xuyên được phát hiện và nâng cấp. Ở
trên chỉ giới thiệu các hình thức tấn công đã được thực hiện và phân tích. Ngoài các

hình thức tấn công như trên các hệ thống thông tin còn phải đối mặt với một nguy cơ
xâm nhập rất lớn đó là các phần mềm virus, worm, spyware... gọi chung là các phần
mềm phá hoại hay phầm mềm độc. Sau đây sẽ tập trung trình bày các hình thức xâm
nhập này.
Virus.
Là phầm mềm anar, kích thước nhỏ và được gắn vào một tập tin chủ nào đó,
thông thường là các tập tin thực thi được, nhờ các virus mới có khả năng phá hoại và
nan truyền qua các máy khác. Một số loại virus gắn với các tập tin tài liệu được gọi là
các virus macro.
Virus lan truyền qua các máy tính thông qua việc sao chép các tập tin có nhiễm
virus từ đĩa mềm, đĩa CD, đĩa flash, hoặc thông qua các tập tin gửi kèm qua e-mmail.
Phạm vi phá hoại của virus là rất lớn. Thông thường nhất, các virus thường gây ra mất
mát dữ liệu, hư hỏng phần mềm và hư hỏng hệ điều hành.
Nếu trên máy chưa cài đặt sẵn các chương trình quét virus thì dấu hiệu thường
thấy để nhận biết có virus trên máy tính là:
17


- Xuất hiện các thông báo lạ trên máy hình.
- Máy tính làm việc chậm đi đáng kể, đặc biệt khi khởi động chương trình.
- Mất đột ngột một hoặc nhiều tập tin trên đĩa.
- Lỗi phần mềm không có lý do.
Có thể thấy mức độ phát tán của virus thông qua e-mail nghiêm trọng hơn nhiều,
bởi vì đối với hình thức lây lan qua đường sao chép tập tin thì chỉ có các máy tính chủ
động sao chép tập tin mới bị nhiễm virus; ngược lại trong phương thức phát tán bằng
e-mail, những máy không chủ động sao chép tập tin cũng có khả năng bị lây nhiễm
nếu vô ý mở những tập tin nhiễm virus được gửi kèm e-mail.
Worm.
Là loại phầm mềm độc có cơ chế hoạt động và tầm phá hoại gần giống như virus.
Điểm khác nhau cơ bản giữa worm và virus là worm có khả năng tự sao chép thông

qua mạng, tồn tại như một chương trình độc lập.
Đặc trưng cơ bản nhất của worm là tính phát tán nhanh trên phạm vi rộng bằng
nhiều phương tiện khác nhau, như sử dụng trực tiếp giao thức TCP/IP, sử dụng các
dịch vụ mạng ở lớp ứng dụng, phát tán qua e-mail và nhiều phương tiện khác. Worm
Nimda xuất hiện năm 2001 là một worm điển hình với tốc độ phát tán cực nhanh và
mức độ nguy hiểm lớn, có thể gây tê liệt các hệ thống mạng lớn sử dụng hệ điều hành
Windows trong nhiều giờ.
Trojan hourse.
Một dạng phần mềm độc hoạt động núp dưới danh nghĩa một phần mềm hữu ích
khác, và sẽ thực hiện các hành vi phá hoại hệ thống khi chương trình giả danh được
kích hoạt bởi người sử dụng.
Trojan không có khả năng tự sao chép như Worm, không có khả năng tự thực thi
như virus.
Mức độ phá hoại của Trojan cũng rất đa dạng, trong đó quan trọng nhất là thực
thi như một phần mềm gián điệp giúp cho những kẻ tấn công từ xa có thể dễ dàng xâm
nhập hệ thống. Spyware là một ví dụ của Trojan, đây là các phần mềm được tự động
cài vào máy khi người sử dụng tải các phầm mềm trên Internet về cài trên máy tính của
mình. Spyware có thể tự động gửi e-mail, tự động mở các trang web hoặc thực hiện các
hành vi khác gây ảnh hưởng đến hoạt động bình thường của máy tính bị nhiễm.
18


Logic bomb.
Là các phần mềm nằm ẩn trên máy tính và chỉ thực hiện khi có một sự kiện nào
đó xảy ra, ví dụ khi người quản trị mạng đăng nhập vào hệ thống, khi một ứng dụng
nào đó được chạy hoặc đến một ngày giờ định trước nào đó.
Trên đây là các phương thức xâm nhập vào hệ thống sử dụng phần mềm phá
hoại. Mặc dù sự xâm nhập vào một hệ thống cụ thể nào đó của các phần mềm này có
thể không do chủ đích của một cá nhân nào, nhưng thiệt hại do các hình thức xâm
nhập này gây ra là rất lớn, do tính phổ biến của nó. Bất kỳ máy nào cũng có thể bị

nhiễm phần mềm độc, đặc biệt khi kết nối đến mạng Internet. Các nguyên tắc chung để
tránh sự xâm nhập của các phần mềm độc vào máy tính nói riêng và vào một hệ thống
thông tin nói chung bao gồm:
- Không sao chép dữ liệu từ các nguồn không tin cậy.
- Không cài đặt các phần mềm không rõ nguồn gốc, đặc biệt là các phần mềm
dowload từ Internet.
- Thường xuyên cập nhật các bản sửa lỗi.
- Cài đặt các chương trình Antivirus, Antisyware và cập nhật thường xuyên cho
các chương trình này.
- Theo dõi các thông tin về các loại virus mới, phương thức hoạt động và cách
thức ngăn chặn trên các trang web chuyên về bảo mật.
2.1.2.3. Kỹ thuật ngăn chặn và phát hiện xâm nhập.
Sau khi nhận diện các nguy cơ và rủi ro đối với hệ thống, phân tích các phương
thức và kỹ thuật tấn công có khả năng ảnh hưởng đến sự an toàn của hệ thống, các hệ
thống thông tin thường triển khai các biện pháp kỹ thuật cần thiết để ngăn chặn và phát
hiện xâm nhập. Phần này giới thiệu về tường lửa và hệ thống xâm nhập, hai ứng dụng
bảo mật điển hình hiện nay.
a. Tường lửa.
Tường lửa hay firewall là kỹ thuật ngăn chặn các tấn công xâm nhập từ bên ngoài
vào hệ thống bên trong.
Nguyên tắc chung của các bức tường lửa là điều khiển truy xuất mạng bằng cách
giám sát tất cả các gói dữ liệu được gửi thông qua tường lửa, và tùy vào các cài đặt

19


trong chính sách bảo mật mà cho phép hoặc không cho phép chuyển tiếp các gói này
đến đích.
Chức năng của tường lửa trên mạng là quản lý lưu lượng vào/ra trên kết nối
Internet và ghi lại các sự kiện diễn ra trên kết nối này phục vụ cho các mục đích an

toàn mạng. Tuy nhiên, do bản chất của tường lửa là giám sát lưu lượng luân chuyển
thông qua một kết nối giữa mạng nội bộ và mạng công cộng bên ngoài, cho nên tường
lửa không có khả năng giám sát và ngăn chặn các tấn công xuất phát từ bên trong
mạng nội bộ. Có thể tóm tắt chức năng chủ yếu của tường lửa như sau:
- Separator: Tách rời giữa mạng nội bộ và mạng công cộng, ràng buộc tất cả các
kết nối từ trong ra ngoài hoặc từ ngoài vào trong phải đi qua tường lửa như một đường
đi duy nhất.
- Restricter: Chỉ cho phép một số lượng giới hạn các loại lưu lượng được phép
xuyên qua tường lửa, nhờ đó người quản trị có thể thực thi chính sách bảo mật bằng
cách thiết lập các quy tắc lọc gói tương ứng gọi là access rules.
- Analyzer: Theo dõi lưu lượng luân chuyển qua tường lửa, ghi lại các thông tin
này lại theo yêu cầu của người quản trị để phục vụ cho các phân tích để đánh giá mức
độ an toàn hệ thống.
Ngoài các chức năng cơ bản trên, một số bức tường lửa còn có chức năng xác
thực đối với người sử dụng trước khi chấp nhận kết nối.
Phân loại tường lửa theo đặc tính kỹ thuật:
Tường lửa có thể là một phần mềm chạy trên một máy tính nào đó với ít nhất là
hai giao tiếp mạng, khi đó nó được gọi là firewall mềm. Các firewall mềm thông dụng
hiện nay gồm: SunScreen, ISA server, Check point, Gauntlet, IPTable....
Phân loại firewall theo phạm vi bảo vệ:
Căn cứ vào phạm vi mà tường lửa bảo vệ, có thể chia tường lửa thành 2 nhóm
riêng biệt: tường lửa dành cho máy tính cá nhân và tường lửa dành cho mạng.
-

Personal firewall thông thường là các firewall mềm, được cài đặt treeb máy tính cá
nhân để bảo vệ cho mát tính cá nhân.

-

Network firewall có thể là firewall mềm hoặc firewall cứng, thường được lắp đặt trước

hoặc sau bộ định tuyển nhằm mục đích bảo vệ cho toàn hệ thống mạng.
Phân loại firewall theo cơ chế làm việc:
Dựa trên cơ chế làm việc, firewall được chia thành 3 loại như sau:
20


-

Tường lửa lọc gói
Nguyên lý của các bức tưởng lửa lọc gói là đọc tất cả các thông tin trong tiêu đề
của các gói dữ liệu IP luân chuyển qua bức tường lửa, và dựa trên các thông tin này để
quyết định hay loại bỏ gói dữ liệu. Như vậy, khi thiết lập các quy tắc lọc gói của
tường lửa, người quản trị căn cứ trên các thông tin sau đây:

-

Địa chỉ IP, bao gồm địa chỉ IP của máy gửi và địa chỉ IP của máy nhận.

-

Số cổng kết nối, bao gồm cả cổng của máy gửi và cổng của máy nhận.

-

Giao thức kết nối, ví dụ TCP, UDP hay ICMP.

-

Tường lửa lớp ứng dụng.
Hoạt động của tưởng lửa lớp ứng dụng tương tự như tường lửa lọc gói, tức là

cũng dựa trên việc phân tích các gói dữ liệu IP để quyết định có cho phép đi xuyên qua
bức tường lửa hay không. Điểm khác của tường lửa lớp ứng dụng là nó có khả năng
phân tích cả nội dụng của gói dữ liệu IP, và do đó cho phép thiết lập các quy tắc lọc
gói phức tạp hơn.
Do đặc tính của tường lửa lớp ứng dụng can thiệp trực tiếp vào tất cả các gói dữ
liệu di chuyển qua nó, nên nhìn dưới góc độ truy xuất mạng, bức tường lửa lớp ứng
dụng trực tiếp thực hiện các giao dịch với mạng bên ngoài thay cho cá máy tính bên
trong. Do vậy, tường lửa ứng dụng cũng còn được gọi là phần mềm Proxy.

-

Tường lửa kiểm soát trạng thái.
Là loại tường lửa kết hợp cả hai nguyên lý làm việc của lửa lọc gói và tường lửa
lớp ứng dụng.
Tường lửa kiểm soát trạng thái cho phép thiết lập các quy tắc lọc gói phức tạp
hơn so với tường lửa lọc gói, tuy nhiên không mất quá nhiều thời gian cho việc phân
tích nội dung của tất cả các gói dữ liệu như trường hợp tường lửa lớp ứng dụng. Tường
lửa kiểm soát trạng thái theo dõi trạng thái của tất cả các kết nối đi qua nó và các kết
nối hợp lệ mới được chấp nhận chuyển tiếp qua tường lửa, các gói khác đều bị loại bỏ
tại đây.

b. Hệ thống phát hiện xâm nhập.
Hệ thống phát hiện xâm nhập IDS là hệ thống phát hiện các dấu hiệu của tấn
công xâm nhập. Khác với bức tường lửa, IDS không thực hiện các thao tác ngăn chặn
truy xuất mà chỉ theo dõi các hoạt động trên mạng để tìm ra các dấu hiệu của tấn công
và cảnh báo cho người quản trị mạng.

21

IDS không thực hiện chức năng phân tách giữa mạng nội bộ và mạng công cộng
như bức tường lửa nên không gánh toàn bộ lưu lượng qua nó và do đó không có nguy
cơ làm tắc nghẽn mạng.
IDS phát hiện dấu vết của tấn công bằng cách phân tích hai nguồn thông tin chủ
yếu sau đây:
- Thông tin về các thao tác thực hiện trên máy chủ được lưu trong nhật ký hệ
thống.
- Lưu lượng đang lưu thông trên mạng.
Chức năng ban đầu của IDS chỉ là phát hiện các dấu hiện xâm nhập, do đó IDS
chỉ có thể tạo ra các cảnh báo khi tấn công đang diễn ra hoặc thậm chí sau khi tấn công
đã hoàn tất. Càng về sau, nhiều kỹ thuật mới được tích hợp vào IDS, giúp nó có khả
năng dự đoán được tấn công và thậm chí phản ứng lại các tấn công đang diễn ra.
Hai thành phần quan trọng nhất cấu tạo nên hệ thống IDS là sensor (bộ cảm
nhận) có chức năng chặn bắt và phân tích lưu lượng trên mạng và các nguồn thông tin
khác để phát hiện dấu hiệu xâm nhập; signature database là cơ sở dữ liệu chứa dấu
hiệu của các tấn công đã được phát hiện và phân tích. Cơ chế làm việc của signature
database giống như virus database trong các chương trình antivirus, do vậy, việc duy
trì một hệ thống IDS hiệu quả phải bao gồm việc cập nhật thường xuyên cơ sở dữ liệu này.
Phân loại IDS theo phạm vi giám sát;
Dựa trên phạm vi giám sát, IDS được chia thành 2 loại:
- Networ-based IDS (NIDS) : là những IDS giám sát trên toàn bộ mạng. Nguồn
thông tin chủ yếu của NIDS là các gói dữ liệu đang lưu thông trên mạng.
- Host-based IDS (HIDS): Là những IDS giám sát hoạt động của từng mát tính
riêng biệt. Do vậy, nguồn thông tin chủ yếu của HIDS ngoài lưu lượng dữ liệu đến và
đi từ máy chủ có hệ thống dữ liệu nhật ký hệ thống và kiển tra hệ thống.
Phân loại IDS theo kỹ thuật thực hiện:
Dựa trên kỹ thuật thực hiện, IDS cũng được chia làm 2 loại:
- Sign ature-based IDS phát hiện xâm nhập dựa trên dấu hiệu của hành vi xâm
nhập, thông qua phân tích lưu lượng mạng và nhật ký hệ thống. Kỹ thuật này đòi hỏi
phải duy trì một cơ sở dữ liệu về các dấu hiệu xâm nhập và cơ sở dữ liệu phải được

cập nhật thường xuyên mỗi khi có một hình thức hoặc kỹ thuật xâm nhập mới.
22


- Anomaaly-based IDS: phát hiện xâm nhập bằng cách so sánh các hành vi hiện
tại với hoạt động bình thường của hệ thống để phát hiện bất thường có thể là dấu hiệu
của xâm nhập.
2.1.3. Phân định nội dung.
a. Lý Thuyết.
- Khái niệm và vai trò của an toàn bảo mật HTTT trong công ty.
- Một số phương thức tấn công và phòng vệ HTTT.
b. Thực trạng.
- Giới thiệu về tình hình công ty.
- Tổng hợp và xử lý dữ liệu, số liệu thu thập được để phân tích, đánh giá.
- Xem xét và đề xuất các giải pháp nhằm nâng cao ATTT cho công ty: Giải pháp
để bảo mật dữ liệu, tường lửa, quy định việc đảm bảo an toàn, bảo mật hệ thống,
đào tạo nhân lực, kiểm soát mạng chặt chẽ.
2.2. Thực trạng về vấn đề an toàn bảo mật HTTT của công ty cổ phần Climax
Việt Nam.
2.2.1. Giới thiệu về công ty cổ phần Climax Việt Nam.
2.2.1.1.Giới thiệu về doanh nghiệp.
- Tên đầy đủ công ty : CÔNG TY CỔ PHẦN CLIMAX VIỆT NAM.
- Địa chỉ: Số 46B, Phố Nguyễn Đình Hoàn, Phường Nghĩa Đô, Quận Cầu Giấy,
TP.Hà Nội.
- Email:
- Điện thoại: 043.7589039
- Năm thành lập: 2010
- Website:www.clisun.vn
- Loại hình doanh nghiệp: Công ty Cổ phần
- Ngành nghề kinh doanh: Phân phối đèn LED

- Số nhân viên:40
a. Quá trình hình thành và phát triển.
Công ty cổ phần Climax Việt Nam thành lập ngày 7-9-2010. Công ty hoạt động
trong lĩnh vực buôn bán, cung cấp các loại đèn Led.
Khi mới thành lập công ty chỉ có 4 nhân viên: 1 nhân viên chở hàng, 1 nhân viên
kinh doanh, 1 nhân viên kế toán, 1 nhân viên quản lý kho. Sau 6 năm hoạt động công
ty số lượng nhân viên của công ty đã tăng lên đến 50 người. Địa bàn hoạt động trải
rộng khắp các tỉnh như: Hưng Yên, Sơn Tây, Bắc Ninh, Bắc Giang……
Với đội ngủ nhân viên trẻ, chuyên nghiệp, có tinh thần trách nhiệm cao, luôn
23


nhiệt tình trong công việc. Công ty luôn hướng tới việc cung cấp các sản phẩm chất
lượng tốt, đáp ứng mong muốn của khách hàng và các dịch vụ ngày càng chuyên
nghiệp. Hiện nay, công ty đang hướng tới việc mở rộng thị trường ra khắp cả nước.
b. Ngành nghề, lĩnh vực hoạt động.
Phân phối đèn LED
Sản phẩm: Đèn downlight, đèn ốp trần, đèn tube led, máng, tủ điện.
c. Chiến lược kinh doanh.
Phát triển thêm các sản phẩm mới, để phù hợp với nhu cầu của khách hàng. Mở
rộng địa bàn ra khắp cả nước với mục tiêu:
+ Luôn hướng tới sự hài lòng của khách hàng.
+ Sản phẩm, dịch vụ ngày càng tốt.
2.2.1.2. Bộ máy tổ chức.
Sơ đồ cơ cấu tổ chức doanh nghiệp:

Phòng quản
tài chính
kế hàng
toán Phòng tư vấn, hỗ trợ và xử lý đơn hàng.

Phòng
lý kho

Sơ đồ 2.1: Cơ cấu bộ máy tổ chức Công ty cổ phần CLIMAX Việt Nam
Ban giám đốc
- Chủ tịch hội đồng quản trị –Giám đốc điều hành: ông Nguyễn Đăng Hoan
- Nhiệm vụ: hoạch định, kiểm soát chiến lược chung của công ty, đồng thời quản
lý, giám sát, kiểm tra các hoạt động kinh doanh cũng như các hoạt động hàng ngày.
Phòng tư vấn, hỗ trợ và xử lý đơn hàng
- Trưởng phòng: Nguyễn Hồng Vân
- Nhiệm vụ:
+ Tiếp nhận đơn hàng từ phía nhân viên kinh doanh và các đại lý.
+ Tiếp nhận yêu cầu bảo hành từ phía khách hàng, sau đó chuyển cho bộ phận kho.
24


+ Tiếp nhận các khách hàng mới, xử lý các xự cố
+ Quản trị website.
Phòng Tư vấn và Hỗ trợ khách hàng cũng cam kết: Luôn hướng đến lợi ích khách
hàng, đáp ứng mọi ýêu cầu với thái độ tận tình và chuyên nghiệp nhất.
-

Phòng kinh doanh
Trưởng phòng: Chu Minh Khang
Nhiệm vụ: tìm kiếm và thuyết phục khách hàng mới sử dụng sản phẩm của công ty,

-

chăm sóc và giữ mối quan hệ với tập khách hàng đã có.
Phòng tài chính kế toán

Kế toán trưởng: Phạm Thị Tuyến.
Nhiệm vụ: trợ giúp ban giám đốc trực tiếp chỉ đạo việc theo dõi tình hình tài chính,
xác định nhu cầu về vốn, tình trạng luân chuyển vốn, tổ chức thực hiện công tác kế
toán của công ty. Theo dõi tình hình và sự biến động của các loại tài sản, tình hình
kinh doanh, cung cấp thông tin kịp thời cho Ban giám đốc và đóng góp ý kiến về hiệu

-

quả hoạt động sản xuất kinh doanh, hợp nhất báo cáo tài chính công ty.
Phòng quản lý kho hàng
Tiếp nhận đơn hàng từ phòng tư vấn, hỗ trợ và xử lý đơn hàng.
Lấy hàng.
Phân công người chở hàng, bảo hành.
Quản lý những hàng hóa có trong kho.

2.2.1.3. Tình hình, tài chính của công ty.
Năm
Thực hiện
Doanh thu
Chi Phí
Lợi nhuận

2013

2014

2015

10.245 tỷ
8.423 tỷ

1.822 tỷ

14.423 tỷ
9.728 tỷ
4.695 tỷ

18.345 tỷ
10.244 tỷ
8.101 tỷ

(Nguồn: Phòng kế toán)
Bảng 2.1. Báo cáo kết quả kinh doanh của công ty cổ phần CLIMAX Việt Nam
Theo báo cáo thống kê của phòng kế toán trong 3 năm gần đây ta có thể thấy
doanh thu của công ty ngày càng tăng . Doanh thu tăng dần qua các năm, năm 2014
doanh thu tăng 4.18 tỷ so với năm 2013, năm 2015 tăng 3.922 tỷ so với năm 2015.
Năm 2015 doanh thu tăng nhưng không nhiều bằng năm 2014 do càng về sau thị
trường đèn LED càng có nhiều đối thủ cạnh tranh mạnh.
2.2.2.

Phân tích thực trạng an toàn và bảo mật HTTT tại công ty cổ phần Climax Việt
Nam.
2.2.2.1. Trang thiết bị phần cứng của công ty.
Về trang thiết bị phần cứng tại công ty: Công ty có 1 máy chủ. Mỗi phòng ban
25