Hình 3 .1 Cisco RV016 Multi-WAN VPN Router
Hình 3.2 Mạng riêng ảo VPN điển hình
(Nguồn: https://quantrimang.com)
Do quy mô công ty không quá lớn và cũng yêu cầu làm việc ở xa không nhiều nên để tiết kiệm chi phí, cơng ty có thể thiết lập mạng riêng ảo dựa trên chức năng sẵn có được cung cấp bởi hệ điều hành Window.
3.2.4.3 Bật chế độ mã hóa WPA2
WPA2 (Wifi Protected Access 2) đã có sẵn khi cơng ty lắp Wifi. WPA2 là cơng nghệ sử dụng mã hóa AES/CCMP. Cơng ty sử dụng dạng thức Enterprise phù hợp cho doanh nghiệp, nó khá phức tạp và yêu cầu một máy chủ ngoài, được gọi là RADIUS server, để kích hoạt nhận thực 802.1X .
WPA2 sử dụng giao thức TKIP (Temporal Key Intergrity Protocol) nhằm thay đổi khóa dùng AP và user một cách tự động trong q trình trao đổi thơng tin.
Hiện tại, thiết bị Wi-Fi và các thiết bị truy cập Wi-Fi của cơng ty (máy tính xách tay, điện thoại thơng minh, máy tính bảng...) của cơng ty đều hỗ trợ mã hóa WPA2. Do vậy nên bật chế độ mã hóa này lên (WPA2 Personal)
3.2.4.4 Ghi nhật kí, theo dõi, giám sát hệ thống
- Ghi nhật kí
Giải pháp này ghi lại các phiên kết nối, các phiên đăng nhập của người dùng, các tiến trình hoạt động sẽ giúp nhà quản trị mạng có thể tìm lại dấu vết của người
Web, máy chủ Email và máy chủ ứng dụng khác cần được kích hoạt tính năng ghi nhật kí để quản lý thơng tin, nâng cao tính an tồn bảo mật.
Phần mềm mã nguồn mở như Syslog-ng (http://www.balabit.com), SyslogAgent (http://syslogserver.com) là các giải pháp tốt. Hệ thống sẽ giúp ghi lại các cảnh báo, thông báo từ các thiết bị phần cứng như tường lửa, router, swich, từ các máy chủ Web, Database và các hệ thồng khác.
-Theo dõi, giám sát
Đây là công việc thường xuyên và quan trọng của nhà quản trị mạng của cơng ty trong việc phịng chống hiệu quả trước khi sự cố xuất hiện. Việc giám sát có thể gồm:
+ Phát hiện trên hệ thống mạng có nhiều virus phát tán.
+ Giám sát các máy tính trong mạng LAN và trên mơi trường Internet.
+ Phát hiện hacker đang dùng công cụ nghe lén mật khẩu, quét các lỗi của hệ thống và các ứng dụng.
+ Thống kê số lượng các kết nối, các session cũng như những lưu lujwownjg bất thường trên hệ thống mạng.
3.2.4.5 Các giải pháp khác
- Ẩn tên mạng (SSID)
Mỗi mạng Wi-Fi đều có tên mạng (SSID) khác biệt nhau, một số thiết bị Wi- Fi hỗ trợ cùng lúc 4 SSID khác nhau. Giải pháp này giúp bảo mật mạng Wifi ở mức cơ bản nhất cho Công ty cổ phần truyền thông và công nghệ iChip. Nên ẩn SSID nhằm tránh người lạ dị tìm, thường xuyên để ý tới mạng Wi-Fi của công ty.
-Giới hạn việc cấp phát địa chỉ IP động
Việc cấp phát địa chỉ IP động DHCP (Dynamic Host Configuration Protocol) từ thiết bị Wi-Fi giúp việc kết nối mạng Wi-Fi trở nên dễ dàng hơn. Tuy nhiên để tăng cường khả năng bảo mật mạng Wi-Fi thì cơng ty chỉ nên thiết lập sao cho lượng đại chỉ IP cấp phát tự động vừa đủ số thiết bị được phép truy cập mạng Wi-Fi.
3.2.5. Giải pháp con người
Theo thống kê về an ninh mạng của CERT (Computer Emergency Response Team- http://www.cert.com) cho thấy có khoảng 70% số trường hợp thơng tin bị thất thốt có liên quan tới yếu tố con người. Do đó, yếu tố con người để nhằm nâng cao tính bảo mật thơng tin cho Công ty cổ phần truyền thông và công nghệ iChip là vơ cùng quan trọng.
Cơng ty đã có bộ phận CNTT cùng với trình độ hiểu biết về ATTT của nhân viên cịn hạn chế, do đó cơng ty cổ phân truyền thông và công nghệ iChip cần xây dụng bộ phận quản trị HTTT cùng với kế hoạch đào tạo, nâng cao hiểu biết về ATBM thông tin cho nhân viên. Công ty nên chọn ra 2 đến 3 nhân viên tiêu biểu để đưa đi đào tạo chuyên sâu về ATTT tạo thành bộ phận quản trị , đồng thời mời các chuyên viên về an ninh thông tin đến giảng dạy và thuyết trình trực tiếp cho tồn bộ nhân viên trong Cơng ty.
Ngồi việc nâng cao kiến thưc chun mơn, cơng ty cần phát triển các kĩ năng khác cho nhân viên như: kĩ năng giao tiếp ngoại ngữ, kĩ năng tư duy và làm việc độc lập, kĩ năng làm việc nhóm....
Mặt khác, Cơng ty cần có các chính sách, quy định cụ thể đối với nhân viên về vấn đề liên quan đến ATTT trong Cơng ty: quản lí nghiêm khắc nhân viên, ký thoả thuận với nhân viên nghiệp vụ đảm bảo giữ bí mật thơng tin khách hàng. Tất cả thơng tin kháchhàng, đối tác hay thông tin nội bộ của công ty đều phải đảm bảo bí mật và tất cả nhân viên đều phải ký thỏa thuận này. Việc xử lý, loại bỏ những tư liệu, giấy tờ liên quan đến hoạt động của công ty đều phải huỷ qua máy tài liệu. Các loại giấy tờ, thông tin, phần mềm in ấn vi tính đều khơng được mang ra khỏi cơng ty. Giáo dục đạo đức cho nhân viên. Đưa ra cơ chế an toàn liên quan đến việc tuyển, sử dụng nhân viên và sa thải nhân viên; kịp thời bố trí, điều chỉnh, điều động cán bộ, nhân viên.
3.2.6. Đối với Website
Công ty cổ phần truyền thông và công nghệ iChip cần chú ý tới các giải pháp ATTT với website trước sự truy cập, tấn công và khai thác dữ liệu khiến website bị nhiễm độc gây nguy hiểm không chỉ cho người sở hữu trang web mà cịn cả những khách truy cập. Các biệc pháp có thể sử dụng để nâng cao an tồn bảo mật thơng tin cho website của cơng ty là:
Sử dụng mật khẩu mạnh
Mật khẩu mạnh là nền tảng cơ bản giúp tăng cường bảo mật cho hệ thống máy chủ. Mật khẩu khộng chỉ bắt buộc thay đổi sau khi xảy ra sự cố mà cần phải thay đổi thường xuyên, tốt nhất định kì mỗi tháng một lần.
Mật khẩu an tồn phải được tích hợp giữa chữ, số và các kí hiệu đặc biệt nhưng phải đảm bảo dễ nhớ để không phải ghi chú lại mật khẩu này vảo sổ hay
máy tính, khơng sử dụng cùng một mật khẩu cho nhiều tài khoản khác nhau như email, tài khoản ngân hàng.....
Để tạo mật khẩu mạnh thì nó cần phải đủ khó cho một chương trình máy tính muốn phá. Cần tạo mật khẩu dài với đội dài từ mười ký tự trở lên và phức tạp như sử dụng các ký tự hoa, ký tự thường, số và các biểu tượng ví dụ như dấu ngạch ngang trong mật khẩu của mình.
Ví dụ cho việc đặt mật khẩu mạnh đó là "Bighouse $ 123", trong mật khẩu vừa có chữ in hoa, chữ thường, biểu tượng và các con số. Với cách đặt mật khẩu thế này nhân viên rất dễ nhớ vì từ sử dụng cũng phổ biến, biểu tượng quen thuộc và các con số liên tục. Hoặc đặt mật khẩu theo dạng "3o(t&gSp&3hZ4#t9", đây là một mật khẩu dạng chuỗi ngẫu nhiên nhưng cực kì mạnh cũng như cực kì khó đốn.
Kiểm tra mã nguồn website thường xuyên
Website được công khai cho tất cả mọi người truy cập, do đó phải thường xuyên giám sát, kiểm tra mã nguồn. Trong trường hợp phát hiện những tập tin bất thường thì phải tiến hành kiểm tra vì đây có thể là các Trojan/Backdoor do tin tặc cài vào hệ thồng website.
Việc kiểm tra mã nguồn được thực hiện bằng cách sau: - Kiểm tra thủ công:
+ Kiểm tra dưới footer của website có ghi thơng tin của website hay mã
nguồn
+ Nhìn đường dẫn url của website đoạn mã nguồn
+ Xem tổng quan giao diện và lướt qua từng bài viết, nhất là phần bình luận. + Đi sâu hơn vào code bằng các kiểm tra phần từ ( Ctrl U ) quan sát các đặt class, đường dẫn đến file js, css và các thư mục.
- Dùng tool
Sử dụng công cụ Builtwith. Builtwith là một công cụ rất mạnh dùng để kiểm tra mã nguồn của website. Nó đi sâu vào chi tiết của trang web bao gồm: server, hệ thống quản trị, framework, các chức năng tích hợp, thơng tin về template sử dụng và ngôn ngữ code.
Sao lưu dữ liệu thường xuyên
Dữ liệu là một phần quan trọng của hệ thống website. Dữ liệu có thể bị mất do tin tặc xâm nhập và xóa mật hoặc do thiên tai, hỏa hoạn, lũ lụt… thực thế đã
chứng minh rằng nhiều doanh nghiệp mất toàn bộ dữ liệu, thiệt hại kinh tế rất lớn do khơng thực hiện quy trình sao lưu dữ liệu. Do đó, cơng việc này phải được đưa vào danh sách cơng việc thường xun, và có phân công nhân sự thực hiện.
Để ngăn chặn điều này xảy ra, người dùng cần có những phương pháp thích hợp để bảo vệ máy chủ cũng như máy tính của mình khi kết nối với tài khoản máy chủ.
Quan tâm đến bảo mật máy tính:
Rất nhiều malware độc hại tấn công vào các trang web và được phát tán bằng cách lây nhiễm vào các máy tính. Vì vậy, vấn đề an ninh của máy chủ chứa trang web là một trong những khía cạnh quan trọng nhất trong việc bảo mật website. Giữ cho máy chủ ln trong tình trạng an tồn và không bị nhiễm độc sẽ nâng cao mức độ an tồn cũng như tránh được sự tấn cơng của các malware.
Tăng cường mức độ bảo mật của máy chủ:
Nếu sở hữu hệ thống máy chủ, người dùng cần chú ý đến cấu hình của máy để bảo đảm mức độ an tồn nhất có thể. Hoạt động để tăng cường bảo mật máy chủ gồm những phần sau:
Loại bỏ tất cả các phần mềm khơng sử dụng
Vơ hiệu hóa tất cả các dịch vụ và module không cần thiết Thiết lập chính sách phù hợp cho người dùng và các nhóm
Thiết lập quyền truy cập/hạn chế truy cập vào các tập tin và thư mục nhất định
Vơ hiệu hóa việc duyệt thư mục trực tiếp
Thu thập các tập tin ghi nhận hoạt động, thường xuyên kiểm tra các hoạt động đáng ngờ
Sử dụng mã hóa và các giao thức an tồn
Khi website có lỗ hổng, tội phạm mạng dễ dàng xâm nhập, tấn công và khai thác dữ liệu khiến website bị nhiễm độc gây nguy hiểm không chỉ cho chủ sở hữu trang web mà cho cả những khách truy cập. Sau khi website đã được khử độc, nếu quản trị viên vẫn chủ quan không quan tâm đến các lỗ hỗng này thường xuyên thì website vẫn sẽ dễ dàng bị nhiễm độc trở lại bất cứ lúc nào. Sự thật rằng khơng có cách nào loại bỏ các mối đe dọa này hoàn toàn. Tuy nhiên, các nhà quản trị,c chủ sở hữu trang web và những người sử dụng Internet nâng cao tính an tồn hơn bằng
cách thực hiện theo các quy tắc bảo mật cơ bản và giữ cho website, máy tính người dùng khơng bị nhiễm độc trong bất cứ thời điểm nào.
Công ty cổ phần truyền thông và công nghệ iChip hoạt động trong các cung cấp các dịch cụ Marketing, Digital Marketing, Direct Marketing, cung cấp và bán các dịch vụ liên quan...Ngồi ra, iChip là đại diện ủy quyền chính thức của sàn thương mại điện tử lớn nhất thế giới Alibaba tại Việt Nam. Vì vậy việc đảm bảo an tồn thơng tin cho Website cơng ty là hết sức quan trọng. Các biện pháp mà công ty nên áp dụng là: nên mã hóa các dữ liệu, khơng lưu các thơng tin mật, có cách hướng dẫn cho khách hàng tạo mật khẩu mạnh khi giao dịch, thiết lập hệ thống cảnh báo nếu website phát hiện bất kỳ hành động có vẻ đáng ngờ trong giao dịch trực tuyến của khách hàng, kiểm tra website công ty và sao lưu dữ liệu một cách thường xuyên.
3.3. Một số đề xuất, kiến nghị về an tồn hệ thơng thơng tin đối với cơng ty cổ phần truyền thông và công nghệ iChip
3.3.1. Các kiến nghị với nhà nước
- Tiếp tục nghiên cứu và hồn thiện mơi trường hành lang pháp lý đối với các hoạt động an tồn và bảo mật thơng tin của doanh nghiệp
- Đẩy mạnh tuyên truyền nâng cao nhận thức của các doanh nghiệp về ATBM thông tin trong doanh nghiệp.
- Đầu tư phát triển cơ sở hạ tầng: Nhà nước cần có các dự án ưu tiên phục vụ mục tiêu phát triển an tồn thơng tin số quốc gia với các ngân sách chi tiêu tương ứng.
- Đào tạo nguồn nhân lực cho ATBM thơng tin: Để đẩy mạnh chương trình ATBM thơng tin thì nhu cầu về nguồn nhân lực am hiểu CNTT và có trình độ chun môn là rất cần thiết với đủ đạo đức tư cách, am hiểu hoạt động trong lĩh vực công nghệ thông tin.
- Xây dựng và hoàn thiện các cơ chế hỗ trợ doanh nghiệp trong việc ứng dụng và triển khai an tồn thơng tin nói chung. Phát triển các cơng nghệ hỗ trợ ATBM TT trên cơ sở khuyến khích chuyển giao cơng nghệ từ nước ngồi. Trên cơ sở đó nhà nước cần ban hành những chính sách, biện pháp khuyến khích đầu tư phát triển CNTT phục vụ hoạt động đảm bảo ATBM TT.
3.3.2. Kiến nghị với công ty cổ phần truyền thông và công nghệ iChip- Đào tạo nhân lực trong công ty - Đào tạo nhân lực trong công ty
Công ty cần chú ý đến việc đào tạo và nâng cao kiến thức và kỹ năng CNTT cho nhân viên về CNTT. Ngồi việc nâng cao kiến thức chun mơn sâu và thực tế, công ty cần nâng cao các kỹ năng mềm cho nhân viên như: Kỹ năng giao tiếp ngoại ngữ, kỹ năng tư duy và làm việc độc lập, kỹ năng làm việc theo nhóm.
Cơng ty nên mở các lớp phổ biến kiến thức vềan toàn bảo mật thông tin cho cán bộ, nhân viên trong công ty. Nêu cao tinh thần cảnh giác đối với bất kỳ hình thức tấn cơng dữ liệu nào. Kiểm sốt nội bộ chặt chẽ và đề ra các quy định riêng về an tồn bảo mật thơn tin cho công ty.
Đề nghị thiết lập bộ phận chuyên trách về CNTT, và nhân viên về CNTT có trình độ đại học và phải có kinh nghiệm trong ATBM thông tin.
- Đầu tư trang thiết bị
Nâng cấp máy chủ tại công ty lên Windows server 2008 để phù hợp với các ứng dụng trong hệ thống mới, cấu hình cao hơn phù hợp với tình hình phát triển của cơng ty.
Cập nhật trang thiết bị phần cứng, phần mềm để thích ứng với những giải pháp mới về an tồn bảo mật thơng tin trong hệ thống mạng của doanh nghiệp.
Các trang thiết bị về công nghệ thông tin phải được kiểm tra thường xuyên, khắc phục các lỗi và trục trặc nhanh chóng và kịp thời.
Cập nhật những giải pháp bảo mật thông tin tức thời và có hiệu quả tối ưu đối với ngân sách, đặc điểm của công ty.
KẾT LUẬN
Ngày nay, với sự phát triển của công nghệ thông tin, Internet trở thành cầu nối chia sẻ kiến thức, thông tin và giúp con người đến gần nhau hơn. Các cơng ty có cơ hội quảng bá sản phẩm, tìm đối tác làm ăn, đàm phán kinh doanh và chia sẻ thơng tin. Bên cạnh đó, cơng nghệ thơng tin và các ứng dụng của nó giúp cơng ty phân tích, lưu trữ thơng tin và dữ liệu để phục vụ cho việc điều hành và ra quyết định kinh doanh. Vì vậy, việc đảm bảo và nâng cao an tồn bảo mật thơng tin tại các doanh nghiệp được quan tâm hàng đầu.
Với đề tài “Một số giải pháp đảm bảo an tồn thơng tin cho Cơng ty cổ phần truyền thông và công nghệ iChip”, em có một số nhận xét sau:
-Kết quả đạt được: Hệ thống hóa một cách chi tiết các lý thuyết về an tồn bảo mật thơng tin, lập phiếu điều tra và nhận xét về thực trạng công tác ATBM cũng như đưa ra một số giải pháp cần thiết trong thời điểm hiện tại về phần cứng, phần mềm, dữ liệu, con người... nhằm nâng cao tính ATBM thơng tin cho cơng ty
-Tồn tại: Do thời gian có hạn cũng như hạn chế về mặt kiến thức nên em khơng thể tránh khỏi thiếu sót. Bài khóa luận cịn tập trung vào khá nhiều lý thuyết,