(Nguồn: Tổng hợp từ quá trình điều tra và phỏng vấn)
Ở câu hỏi cuối cùng “Trở ngại khi phát triển ATTT của Công ty?”, ý kiến tập trung vào trở ngại chính là “nguồn nhân lực”. Bởi nhận thức về ATTT của nhân viên chưa cao nên khó có thể đạt được mục tiêu an tồn cho hệ thống.
CHƯƠNG 3
CÁC KẾT LUẬN VÀ ĐỀ XUẤT GIẢI PHÁP ĐẢM BẢO AN TOÀN CHO HỆ THỐNG THÔNG TIN CÔNG TY CỔ PHẦN TRUNG THÀNH VIỆT NAM
3.1. Đánh giá thực trạng an tồn bảo mật thơng tin tại cơng ty
Qua q trình thu thập và phân tích kết quả điều tra, có thể đưa ra nhận xét về tình hình đảm bảo ATTT của Cơng ty Cổ phần Trung Thành Việt Nam:
3.1.1. Những kết quả đạt được
Các thiết bị phần cứng đã được trang bị của cơ sở hạ tầng CNTT đều trong tình trạng hoạt động tốt và ổn định. Đây sẽ là một sự khởi đầu tốt cho kế hoạch xây dựng một hệ thống đảm bảo ATTT cho công ty.
Các phần mềm ứng dụng là phần mềm có bản quyền. Việc mua bản quyền phần mềm giúp tránh được những rủi ro từ việc tải phần mềm miễn phí (có kèm theo virus, mã độc…) đồng thời có thể thường xun được cập nhật thơng tin về các nguy cơ ATTT, cập nhật các bản vá lỗi của nhà sản xuất.
Hệ thống phân quyền người sử dụng giúp làm giảm bớt sự tiếp xúc của thông tin với môi trường ngồi, làm tăng tính bảo mật của thơng tin.
Cơ chế sao lưu dữ liệu thường xuyên giúp công ty hạn chế tối thiểu những tổn thất khi thông tin gặp phải sự cố như hỏng hóc hay bị sửa đổi, bị xóa.
Phần lớn nhân viên và ban lãnh đạo Cơng ty đã nhận thức được tầm quan trọng của ATTT đối với hoạt động kinh doanh và sự phát triển của Công ty.
Công ty mới thành lập với đội ngũ nhân viên trẻ, nhiệt huyết dễ dàng tiếp thu cái mới nên đào tạo họ sẽ nắm bắt vấn đề rất nhanh chóng.
3.1.2. Những vấn đề cịn tồn tại
Hạ tầng kỹ thuật CNTT của cơng ty vẫn chưa đảm bảo được tính đồng bộ, chưa đáp ứng được toàn bộ u cầu trao đổi thơng tin giữa các phịng ban với nhau, việc đầu tư cho mạng nội bộ còn triển khai chậm, các cơ sở dữ liệu, các hệ thống bảo đảm an tồn, bảo mật cịn chưa cao.
Hệ thống thông tin phục vụ chỉ đạo, điều hành, quản lý chưa thực sự phát triển, mức độ, hiệu quả ứng dụng CNTT trong đơn vị còn chưa cao, các chức năng hỗ trợ lãnh đạo ra quyết định quản lý, hỗ trợ nhân viên làm việc vẫn cịn gặp nhiều khó khăn, nội dung thơng tin trên các website chưa thực sự được cập nhật thường
xuyên, đầy đủ, chưa đáp ứng được hết nhu cầu thông tin của khách hàng, đối tác và bản thân nội bộ doanh nghiệp.
Trình độ tin học văn phịng của các nhân viên làm việc trong công ty không đồng đều, hầu như trình đồ tin học của nhân viên vẫn cịn thấp. Điều này tạo ra một rào cản rất lớn đối với cơng ty trong q trình đầu tư, phát triển và ứng dụng CNTT trong công ty.
Hiệu quả ứng dụng CNTT, thương mại điện tử trong đơn vị còn thấp, các chức năng hỗ trợ lãnh đạo ra quyết định quản lý, hỗ trợ nhân viên làm việc vẫn còn đang ở giai đoạn khởi động, nội dung thông tin trên các website chưa thực sự được cập nhật thường xuyên, đầy đủ, chưa đáp ứng được nhu cầu thông tin cơ bản của khách hàng và bản thân nội bộ đơn vị.
Các phần mềm chuyên dụng còn chưa được sử dụng nhiều, các phần mềm hầu như chưa được thiết kế riêng cho công ty. Chưa ứng dụng phần mềm quản lý nhân sự gây khó khăn trong cơng tác quản lý và theo dõi tình trạng nhân viên trong cơng ty. Kiến thức công nghệ thông tin tổng quát của nhân viên còn sơ sài, đặc biệt là kiến thức làm việc qua mạng: trong q trình điều tra có rất ít nhân viên cơng chức ở các phịng ban có khả năng thao tác quản trị cũng như làm việc và chia sẻ thơng tin qua mạng.
Các hình thức bảo đảm an tồn và bảo mật thơng tin, dữ liệu trong cơng ty cịn q sơ sài, chưa đủ để đảm bảo mục tiêu an tồn bảo mật của hệ thống.
Hình thức giao dịch chủ yếu của công ty vẫn là giao dịch truyền thống. Hình thức này vừa tốn kém về thời gian, chi phí vừa khó đảm bảo được an tồn thơng tin cho cả Công ty và đối tác.
Thực trạng về vấn đề an ninh thông tin tại Công ty cổ phần Trung Thành như đã phân tích, đánh giá ở trên cho thấy việc đảm bảo ATTT là một vấn đề quan trọng đối với hoạt động của Công ty.
3.1.3. Nguyên nhân của những tồn tại
Công ty chưa thực sự chú trọng đến vấn đề phát triển HTTT và đồng bộ HTTT. Công ty luôn phải đối mặt với thách thức về đổi mới tổ chức, phương thức quản lý, quy trình điều hành, đồng bộ với thực hiện ứng dụng CNTT để hoạt động hiệu lực, hiệu quả và minh bạch. Cơng ty cần tối ưu hóa nguồn lực (bao gồm nhân
lực, tài lực) và yêu cầu phải gắn kết, phối hợp đồng bộ ứng dụng CNTT với chương trình hoạt động phát triển của cơng ty.
Do trình độ CNTT trong cơng ty chưa thực sự tốt, thiếu nhân viên chuyên trách đủ khả năng đáp ứng yêu cầu an tồn thơng tin cho cả cơng ty. Hiểu biết của nhân viên trong công ty về công tác ATTT chưa nhiều và không được chú trọng đào tạo.
Do chưa chú trọng đầu tư cho CNTT, các phần mềm về quản lý của công ty chưa được đầu tư dẫn đến việc gia tăng chi phí và thời gian cho các công tác quản lý. Các phần mềm sử dụng phục thuộc nhiều vào nhà cung cấp phần mềm, khả năng xử lý, khai thác hiệu năng sử dụng rất hạn chế
Do việc bảo đảm an tồn thơng tin mạng của cơng ty mới chỉ dùng lại ở vấn đề cài đặt các phần mềm diệt virus trên các máy tính, thiết lập tường lửa trên hệ thống các máy chủ. Chưa có những giải pháp phù hợp hơn trong quá trình hoạt động kinh doanh ngày càng phức tạp và nguy cơ mất ATTT cao như hiện nay.
Do đặc thù nên cơng ty chưa có bộ phận quản trị mạng và các HTTT riêng. Vấn đề này được xen kẽ trong cơng việc của các phịng ban có sử dụng HTTT, hệ mạng, phần mềm.
Cơng ty chưa có những quy định, chính sách cụ thể đối với nhân viên về vấn đề đảm bảo an tồn hệ thống thơng tin cho chính doanh nghiệp mình, tạo nên những lỗ hổng trong cơng tác anh ninh thông tin.
3.2. Phương hướng hoạt động của Công ty Cổ phần Trung Thành ViệtNam giai đoạn 2017-2022 Nam giai đoạn 2017-2022
Trong thời gian tới, công ty sẽ mở rộng địa bàn hoạt động, thành lập thêm các chi nhánh tại miền Trung và miền Nam, tăng cường năng lực mọi mặt để đáp ứng tốt nhất yêu cầu của Quý đối tác. Với phương châm “Chuyên nghiệp – Chất lượng – Tiến độ - An tồn – Hiệu quả”, Cơng ty Cổ phần Trung Thành Việt Nam ln chào đón sự hợp tác của các đối tác trong và ngoài nước trên cơ sở chia sẻ lợi ích cùng hướng tới sự phát triển bền vững lâu dài.
Đảm bảo tính ATBM đối với mọi thông tin, dữ liệu trong hệ thống: thông tin khách hàng, thông tin về các đối tác hay các thông tin hoạt động nội bộ công ty nhằm làm tăng khả năng cạnh tranh và uy tín của cơng ty trên thị trường.
Xây dựng HTTT hỗ trợ, phục vụ hiệu quả các hoạt động tác nghiệp của công ty, giúp giảm bớt chi phí hoạt động cho cơng ty, tránh tuyệt đối sự xâm nhập bên trong cũng như bên ngoài.
Hoàn thiện hệ thống chữ ký số và xác thực chứng chỉ số. Đây là giải pháp cần thiết đề nâng có hiệu quả cơng tác đảm bảo an tồn HTTT của cơng ty.
Tổ chức các chương trình đào tạo cho nhân viên nhằm nâng cao kiến thức ATBM thông tin trong doanh nghiệp. Nguồn nhân lực am hiểu và có khả năng đảm bảo an ninh trực tiếp cho hệ thống của mình là một lợi thế lớn cho doanh nghiệp.
3.3. Đề xuất giải pháp đảm bảo an tồn thơng tin trong doanh nghiệp
3.3.1.Giải pháp trang thiết bị phần cứng
Trong thời đại công nghệ phát triển, các doanh nghiệp đều sử dụng Internet tuy nhiên chưa chú ý tới bảo mật đặc biệt là các doanh nghiệp nhỏ và vừa, do đó mạng kết nối Internet trong doanh nghiệp được thả nổi và các nhân viên được tự do truy cập Internet mà khơng bị kiểm sốt, chính điều đó đã tạo điều kiện rất dễ xâm nhập ăn cắp dữ liệu, mà hơn hết các dữ liệu cá nhân hay doanh nghiệp là tài sản vô cùng quý giá quyết định số mạng của cả một doanh nghiệp hay một tổ chức nào đó.
Do đó cần có các giải pháp hiệu quả để hệ thống máy tính doanh nghiệp được bảo mật và bất khả xâm phạm từ những người muốn xâm nhập vào hệ thống với mục đích ăn cắp hoặc phá hoại dữ liệu.
Để ngăn chăn tình trạng này, doanh nghiệp nên sử dụng tường lửa cho phần
cứng (Firewall). Tường lửa (Firewall) là một thuật ngữ dùng mô tả những thiết bị
hay phần mềm có nhiệm vụ lọc những thông tin đi vào hay đi ra một hệ thống mạng hay máy tính theo những quy định đã được cài đặt trước đó. Mục tiêu của việc sử dụng tường lửa là tạo ra những kết nối an toàn từ vùng mạng bên trong ra bên ngoài hệ thống, cũng như đảm bảo khơng có những truy cập trái phép từ bên ngoài vào những máy chủ và thiết bị bên trong hệ thống mạng.
Cơng ty có sử dụng tường lửa Firewall để đảm bảo an tồn và bảo mật thơng tin, tuy nhiên việc sử dụng Firewall của phần mềm có sẵn trên Windows chưa đáp ứng và sử dụng hiệu quả cho cơng ty.
Firewall phần cứng là những firewall được tích hợp sẵn trên các phần cứng chuyên dụng, thiết kế dành riêng cho firewall. Trước khi một gói tin Internet đến
máy tính, thì Firewall phần cứng sẽ giám sát các gói tin và kiểm tra xem nó đến từ đâu. Nó cũng kiểm tra nếu địa chỉ IP hoặc tiêu đề có thể tin cậy được.
Firewall của Cisco: Đối với các dòng sản phẩm firewall của Cisco - dòng sản phẩm được rất nhiều doanh nghiệp có quy mơ hoạt động nhỏ và vừa sử dụng, nổi trội bởi các tính năng và giá thành phù hợp. Doanh nghiệp có thể triển khai thiết bị bảo mật “Firewall ASA 5505”:
ASA 5505 là model nhỏ nhất trong các dịng sản phẩm của ASA, cả về kích thước vật lý cũng như hiệu suất. Nó được thiết kế dành cho các văn phịng nhỏ và văn phịng gia đình, thiết bị này khá phù hợp với thực trạng của cơng ty. Có 8 cổng FastEthernet trên ASA 5505, tất cả kết nối đến một switch nội bộ. 2 trong số các cổng có khả năng cung cấp Power over Ethernet (PoE) với các thiết bị kèm theo. (ASA chính nó khơng thể hỗ trợ bởi PoE). The mặc định, tất cả 8 cổng được kết nối đến các VLAN giống nhau trong switch, cho phép kết nối các thiết bị để giao tiếp ở lớp 2.
Các cổng của switch có thể chia thành nhiều VLAN để hỗ trợ các khu vực hoặc chức năng khác nhau trong một văn phòng nhỏ. ASA kết nối với mỗi VLAN qua các interface các nhân luận lý. Bất kỳ luồng dữ liệu nào qua giữa các VLAN đều qua ASA và các chính sách bảo mật của nó. ASA 5505 có một khe Security Services Card (SSC) có thể chấp nhận một tùy chọn AIPSSC-5 IPS module. Với module được cài đặt, ASA có thể tăng cường các đặc tính bảo mật của nó với các chức năng mạng IPS.
Ngồi ra, doanh nghiệp cũng có thể sử dụng thiết bị bảo mật khác ví dụ:
“Cisco RV016 Multi-WAN VPN Router” với nhiều tính năng như: An ninh mạnh:
Cung cấp khả năng kiểm tra trạng thái gói tin (SPI) bức tường lửa và mã hóa phần cứng; Ngăn chặn Java, cookies, ActiveX, HTTP proxy; Tường lửa SPI, từ chối dịch vụ (DoS), bóng của cái chết, lũ lụt SYN, tấn công mặt đất, IP giả mạo, thông báo qua email cho hacker tấn cơng cùng nhiều các tính năng khác.
3.3.2. Giải pháp sử dụng phần mềm ứng dụng
Phần mềm bảo mật
Phần mềm bảo mật lựa chọn cho cơng ty cần có các tính năng chống virus, mã độc, thư rác trên máy chủ, các thiết bị di động trong mạng để phát hiện kịp thời và loại bỏ những đoạn mã độc hại (Virus, trojan, worms,...) và hỗ trợ người sử dụng
cài đặt các phần mềm này trên máy trạm đồng thời cần phải thường xuyên cập nhật các phiên bản mới, các bản vá lỗi của các phần mềm chống virus để bảo đảm chương trình quét virus của công ty trên máy chủ và các máy trạm luôn được cập nhật và thiết lập chế độ quét thường xuyên.
Công ty Trung Thành Việt Nam có thể sử dụng dụng sản phẩm của Bitdefender, bộ sản phẩm gồm có: Bitdefender Antivirus Plus, Bitdefender Internet
Security, Bitdefender Total Security.
Bitdefender Antivirus Plus 2017 cung cấp cho người dùng một chế độ bảo vệ
chủ động và tiên tiến chống lại virus, phần mềm gián điệp, cuộc tấn công lừa đảo và hành vi ăn trộm danh tính mà khơng làm chậm tốc độ của máy tính. Bitdefender
Antivirus Plus có rất nhiều các tính năng hữu ích:
- Bảo vệ máy tính khỏi virus:
Bảo vệ dữ liệu tồn diện: Bitdefender khóa tất cả mọi thứ từ các loại virus truyền thống, sâu, Trojan đến mã độc ransomware, khai thác lỗ hổng zero-day, rootkit và phần mềm gián điệp.
Báo cáo an ninh hàng tuần: Bitdefender Antivirus Plus 2017 luôn hoạt động ở chế độ nền, ngăn chặn phần mềm độc hại mới và loại bỏ những lây nhiễm. Mỗi tuần người dùng sẽ nhận được một bản báo cáo tóm tắt về tình trạng an tồn của máy tính; và cịn rất nhiều các tính năng khác như: đảm bảo an toàn cho giao dịch trực tuyến, duyệt web an toàn, bảo vệ USB, bảo vệ mạng xã hội hay kiểm soát các hoạt động nguy hiểm.
- Hiệu suất tốt:
Tích hợp điện tốn đám mây: phần mềm có thể thực thi tất cả các chế độ quét trên đám mây, do đó khơng làm giảm hiệu suất của máy tính. Chỉ có chữ ký của dữ liệu được quét, Bitdefender Antivirus Plus 2017 không tải lên tập tin hay lưu trữ chúng.
Chế độ làm việc, xem phim, chơi game: đảm bảo nhân viên cơng ty có thể tập trung vào các hoạt động của mình. Nó sẽ phát hiện khi nhân viên chơi game, làm việc hoặc xem phim và tạm thời loại bỏ những thông báo, điều chỉnh các thiết lập trực quan và tạm dừng các chương trình nền khơng cần thiết.
Hủy file tài liệu nhạy cảm: Bitdefender Antivirus Plus cung cấp cho người dùng một cơng cụ băm nhỏ tập tin để xóa hồn tồn thơng tin nhạy cảm từ máy tính và thậm chí ngăn chặn những cơng cụ khơi phục tập tin chuyên nghiệp tái tạo lại.
- An toàn với một cú nhấp chuột: Thanh tốn nhanh và an tồn; Quét nhanh các vùng dễ bị tổn thương hay tối ưu hóa các quyết định liên quan đến an ninh mà không cần nhập vào bất cứ dữ liệu gì.
Bitdefender Total Security ngồi những khả năng chống Virus xâm nhập, ăn
cắp tài khoản, bảo vệ hệ thống mà còn cho phép người dùng mã hóa các dữ liệu trên máy tính để bảo mật an tồn, ngăn chặn các hành vi truy cập trái phép cùng rất nhiều các tính năng tiện ích.
- Chương trình bảo mật tồn diện cho hệ thống: bảo vệ hệ thống tránh được virus và các phần tử độc hại, bảo mật dữ liệu, bảo vệ thông tin cá nhân khi trực tuyến, mã hóa các tập tin, thư mục và tối ưu hóa hoạt động của máy tính.
- Chế độ quét mạnh mẽ và nhanh chóng: BitDefender Total Security quét nhanh chóng tồn bộ hệ thống bao gồm các ổ đĩa, phân vùng, thư mục... phát hiện triệt để nhiều loại virus và phần tử đặc biệt nguy hiểm để cảnh báo kịp thời cho