TRƯỜNG ĐẠI HỌC ĐIỆN LỰC
KHOA CÔNG NGHỆ THÔNG TIN

BÁO CÁO CHUYÊN ĐỀ HỌC PHẦN
MÔN CHÍNH SÁCH AN TOÀN THÔNG TIN

ĐỀ TÀI:
CHÍNH SÁCH AN TOÀN THÔNG TIN CHO DOANH NGHIỆP 2018
Sinh viên thực hiện

: MAI QUANG VINH

Giảng viên hướng dẫn

: TH.S NGUYỄN VĂN TÙNG

Ngành

: CÔNG NGHỆ THÔNG TIN

Chuyên ngành

: QUẢN TRỊ AN NINH MẠNG

Lớp

: QTANM

Khóa

: D11

Hà Nội, tháng 4 năm 2018

TRƯỜNG ĐẠI HỌC ĐIỆN LỰC
1


KHOA CÔNG NGHỆ THÔNG TIN

BÁO CÁO CHUYÊN ĐỀ HỌC PHẦN
MÔN CHÍNH SÁCH AN TOÀN THÔNG TIN

ĐỀ TÀI:
CHÍNH SÁCH AN TOÀN THÔNG TIN CHO DOANH NGHIỆP 2018
Sinh viên thực hiện

: MAI QUANG VINH

Giảng viên hướng dẫn

: TH.S NGUYỄN VĂN TÙNG

Ngành

: CÔNG NGHỆ THÔNG TIN

Chuyên ngành

: QUẢN TRỊ AN NINH MẠNG

Lớp


: QTANM

Khóa

: D11
Hà Nội, tháng 4 năm 2018

I. MỞ ĐẦU
1. Giới thiệu: Đề tài “Xây dựng chính sách an toàn thông tin cho tổ chức/
doanh nghiệp”.
2


- Trong những năm gần đây, cùng với sự phát triển vượt bậc của mạng
internet, chúng ta không thể nói đến việc các doanh nghiệp tự thiết
kế riêng cho công ty mình một hệ thống mạng nội bộ của công ty,
nhằm đảm bảo an toàn cả về dữ liệu chung, dữ liệu riêng tư, cũng
như việc dễ dàng kiểm soát và quản lý. Mặc dù cho rất nhiều đơn vị
cung cấp dịch vụ như server hosting, vps v.v.. và vô vàn lời hứa, cam
kết về bảo mật tuy nhiên với một số doanh nghiệp lớn, không chỉ cần
lưu trữ và bảo mật về mặt dữ liệu, mà đôi khi còn cần bảo mật cẩn
thận “ mánh khóe làm ăn”. Trong thực tế đã cho thấy, đã có rất nhiều
công ty bị mất tập tin dữ liệu quan trọng “vào tay” công ty đang cạnh
tranh và gây thiết hại rất nhiều về lợi nhuận, doanh thu của công ty.
Điều đó cho chúng ta rút ra được rằng, việc có một hệ thống mạng
máy chủ riêng đã là khó, nhưng để có thể bảo vệ, vận hành, bảo trì
nâng cấp hệ thống đó còn khó hơn gấp nhiều lần. Nội dung dưới đây,
em sẽ nói tổng quan về hệ thống mạng của một doanh nghiệp mà
em đã xây dựng, và những chính sách cần thiết để phòng chống

virus, cập nhật bản vá hệ điều hành, phân vùng mạng, quản lý truy
cập mạng, quản lý tài khoản người dùng, các thiết bị tin học, công
tác tại phòng máy chủ, sao lưu và phục hồi dữ liệu.

2. Phạm vi áp dụng các chính sách:
3


- Trong phạm vi công ty, cả 2 chi nhánh miền bắc và miền nam, nội
dung chính sách theo hướng mở, các công ty khác vẫn có thể thông
qua và sửa đổi cũng như áp dụng trên từng lĩnh vực phù hợp.
3. Đối tượng áp dụng:
- Tất cả các thành viên, người dùng, sau khi được cấp quyền truy cập
vào tài khoản, do người quản trị cung cấp đều phải tuân thủ quy
định, chính sách về an toàn thông tin mà công ty đề ra.
4. Các khái niệm cơ bản:
- Hệ thống thông tin là một hệ thống bao gồm các yếu tố có quan hệ
với nhau cùng làm nhiệm vụ thu thập, xử lý, lưu trữ và phân
phối thông tin và dữ liệu và cung cấp một cơ chế phản hồi để đạt
được một mục tiêu định trước.
- An toàn thông tin là hành động ngăn cản, phòng ngừa sự sử dụng,
truy cập, tiết lộ, chia sẻ, phát tán, ghi lại hoặt phá hủy thông tin chưa
có sự cho phép.
- Chính sách an toàn thông tin là những quy định do cơ quan, tổ chức
đề ra, nhằm đảm bảo an toàn thông tin.

4


- Mã độc hay phần mềm độc hại (Malware = Malicious Sofware), là

phần mềm, chương trình, đoạn mã được thiết kế để thực hiện hành
vi: tấn công hệ thống; đánh cắp thông tin; xâm nhập hệ thống.

- Virus là phần mềm độc hại tự sao chép bằng cách chèn các bản sao
của chính nó vào chương trình lưu trữ hoặc các tập tin dữ liệu. Virus
thường được kích hoạt thông qua các tương tác của người dùng như
là mở một tập tin hoặc chạy một chương trình. Virus được chia
thành hai tiểu thể loại là: virus biên dịch và virus diễn dịch. Virus biên
dịch (Compiled virus) được kích hoạt bởi một hệ điều hành, còn
Virus diễn dịch (Interpreted virus) được khởi động bởi một ứng
dụng.
- Hệ thống vá lỗi là khi các hãng phần mềm nhận ra được lỗ hổng
trong sản phẩm của họ, họ thường xuyên đưa ra các bản vá để sửa
những lỗ hổng đó. Và người sử dụng hoặc người quản trị sẽ cập nhật
các bản vá lỗi thông qua ứng dụng phần mềm hoặc cập nhật hệ điều
hành.
- Tường lửa là là một bức rào chắn giữa mạng nội bộ (local network)
với một mạng khác (chẳng hạn như Internet)
- VLAN là cụm từ viết tắt của virtual local area network hay còn được
gọi là mạng LAN ảo. VLAN là một kỹ thuật cho phép tạo lập các mạng
LAN độc lập một cách logic trên cùng một kiến trúc hạ tầng vật lý.
5


- DNS (viết tắt trong tiếng Anh của Domain Name System - Hệ thống
tên miền) là một hệ thống cho phép thiết lập tương ứng giữa địa chỉ
IP và tên miền trên Internet.
- IDS (Intrucsion Detection System) được hiểu đơn giản là hệ thống
phát hiện xâm phạm thông qua việc phát hiện những bất thường
trong lưu thông mạng cũng như các sự kiện xảy ra trên hệ thống máy

tính, từ đó phân tích và phát hiện các vấn đề về an ninh hệ thống để
đám bảo việc phòng thủ trước những đợt tấn công.
-

IPS (Intrusion Prevention Systems – Hệ thống ngăn ngừa xâm nhập) là

hệ thống theo

dõi, ngăn ngừa kịp thời các hoạt động xâm nhập không mong muốn.
Chức năng chính của IPS là xác định các hoạt động nguy hại, lưu
giữ các thông tin này. Sau đó kết hợp với firewall để dừng ngay các
hoạt động này, và cuối cùng đưa ra các báo cáo chi tiết về các hoạt
động xâm nhập trái phép trên.

II. HIỆN TRẠNG CÔNG NGHỆ THÔNG TIN VÀ AN TOÀN THÔNG TIN CỦA TỔ CHỨC
1.

Giới thiệu chung về tổ chức:
- Công ty cổ phần mạng xã hội chia sẻ hình ảnh PlayPhoto VietNam. Là một
đơn vị chủ quản mạng xã hội PlayPhoto. Dịch vụ mạng xã hội này đáp ứng 3
nền tảng chính là web, android, ios
Đáp ứng nhu cầu truy cập cao thời gian thực. Ban đầu thành lập với 2 đơn vị
chi nhánh là tại Hà Nội và Tp. Hồ Chí Minh. Đảm bảo phục vụ trên 500.000 tài
khoản sử dụng thường xuyên hàng tháng của khách hàng trong nước và ngoài
6


nước. Doanh thu của công ty chủ yếu nhờ vào việc quảng cáo tiếp thị trên bảng
tin và đang mở rộng dịch vụ trả phí đối với những tính năng vượt trội như chia
sẻ ảnh chất lượng gốc ( không thông qua việc nén ảnh trước khi lưu vô máy

chủ ), thêm bộ lọc màu hình ảnh đẹp mắt, quyền riêng tư album v.v...

2.

Hệ thống mạng nội bộ các phòng ban của công ty:

-

02 đường truyền từ 2 nhà mạng khác nhau.
01 máy chủ web.
01 máy chủ database.
01 máy chủ SMTP ( dịch vụ e-mail).
01 máy chủ web application.
01 máy chủ FTP ( dịch vụ tập tin).
01 máy chủ DNS.
01 máy cảnh báo truy cập trái phép IDS.
03 tường lửa bảo vệ.
07 switch tương ứng với nhiệm vụ chia cổng cho 7 phòng ban.
01 modem wifi chung.

 Tại mỗi đơn vị đều có những phòng ban như sau:
- Phòng giám đốc các chi nhánh thay mặt tổng giám đốc quản lý các chi
nhánh.
- Phòng kỹ thuật: chuyên lắp đặt, cấu hình dịch vụ, sửa chữa bảo trì, nâng
cấp, bảo quản hệ thống.
- Phòng tổ chức hành chính: chuyên công tác nội vụ cơ quan, tiếp nhận thông
tin bên ngoài.
- Phòng kinh doanh : chuyên quản lý các dịch vụ quảng cáo, marketing, thanh
toán trực tuyến của khách hàng.
- Phòng tư vấn: chuyên tư vấn giải đáp thắc mắc qua trang web (sub domain)

hỗ trợ và tổng đài tư vấn 24/24.
- Phòng chính sách: chuyên xây dựng và sửa đổi bổ sung chính sách và pháp
lý cho trang web, người sử dụng, dữ liệu lưu trữ v.v...
- Phòng quản trị trang Web( administrator, moderator v.v..)
7


* Hình ảnh mô hình mạng của công ty, được vẽ trên phần mềm Cisco packet tracet 7.0

3.

Hiện trạng về an toàn thông tin của tổ chức.
- Hiện tại tất cả máy chủ đều được cài đặt windows server 2012, hệ
thống phòng ngừa và diệt virus, hệ thống vá lỗi và cập nhật hệ
điều hành thường xuyên, kèm theo đó là các ứng dụng phù hợp
với nhu cầu sử dụng n.
- Hệ thống tường lửa, thiết bị cảnh báo truy cập trái phép hoạt
động 24/24 đảm bảo hệ thống an toàn tuyệt đối.
- Người quản trị sẽ liên tục kiểm tra các lỗ hổng và luôn đưa ra các
giải pháp giải quyết kịp thời, cập nhật các bản vá lỗi bảo mật
thường xuyên.
8


- Số lượng nhân viên và quản lý là 198 người chia đều ra các phòng
ban khác nhau, đều được cấp tài khoản đăng nhập riêng, email
riêng được lưu trữ trên máy chủ chung của công ty.
- Trình độ người sử dụng: tất cả nhân viên trong công ty đã được
đào tạo qua khóa học tin học cơ bản và văn phòng.
- Các máy hoạt động trong công ty đã được cài đặt phần mềm diệt

virus của hãng X và liên tục cập nhật và phát hiện các loại mã độc
mới.

III.

NỘI DUNG CHÍNH SÁCH AN TOÀN THÔNG TIN CỦA TỔ CHỨC
1. Về phòng chống virus máy tính:
Tác hại và ảnh hưởng:
- Tiêu tốn tài nguyên hệ thống
- Phá hủy dữ liệu
- Phá hủy hệ thống
- Đánh cắp dữ liệu
- Mã hóa dữ liệu để tống tiền v.v..

Thực trạng hệ thống:

9


- Các máy hoạt động trong công ty đã được cài đặt phần mềm diệt
virus của hãng X và liên tục cập nhật và phát hiện các loại mã độc
mới.
- Về phần nhìn chung, hệ thống mạng hiện tại của công ty chưa bị
nhiễm virus mã độc, tuy nhiên vẫn luôn trong tình trạng sẵn sàng
phòng thủ trước những tấn công mạng

Các mô hình và giải pháp:
- Liên tục cập nhật tình hình mới về các sự cố an ninh mạng trong
nước và toàn thế giới cho tất cả các nhân viên trong công ty, nhằm
nâng cao ý thức phòng chống virus, mã độc, trojan v.v.

- Hạn chế việc sao chép không cần thiết và không chạy các chương
trình tải từ Internet hoặc sao chép từ máy khác khi chưa đủ tin
cậy.
- Không mở những tệp gửi kèm trong thư điện tử nếu có nghi ngờ
về nguồn gốc hay nội dung thư
- Không truy cập các trang web có nội dung không lành mạnh.
- Thường xuyên cập nhật các bản sửa lỗi cho các phần mềm chạy
trên máy tính cùa mình, kể cả hệ điều hành.
- Định kì sao lưu dữ liệu để có thể khôi phục khi bị virus phá hoại.
- Định kì quét và diệt virus bằng các phần mềm diệt virus.
10


2. Về cập nhật và bản vá hệ điều hành:
Giới thiệu, mở đầu :
Cập nhật và vá hệ điều hành là hành động nâng cấp về mặt phần
mềm của một hệ điều hành, hay nói rõ hơn là một thiết bị chạy hệ
điều hành, về cơ bản, nó sẽ khắc phục được hết những khuyết
điểm của bản cập nhật trước đó, có thể nó cũng sẽ mang lại trải
nghiệm tốt hơn hoặc bảo mật hơn.

11


Hiện trạng vá lỗi hệ điều hành của tổ chức :
- Hiện nay, các máy tính trong công ty đã và luôn cập nhật bản
update của windows 10 mới nhất và bản quyền.
- Nhân viên kỹ thuật luôn kiểm tra các thiết bị và đảm bảo rằng, tất
cả các thiết bị đó đang chạy bản vá ổn định nhất, trước khi giao lại
cho người dùng.


Phân tích những tác hại, ảnh hưởng đến tổ chức:
- Một số tác hại nếu không cập nhật bản vá hoặc hệ điều hành sẽ có
ảnh hưởng không nhỏ đến việc các thiết bị hoạt động.
- Trong số đó có thể nói đến có nhiều nguy cơ bị lây nhiễm virus
máy tính từ những lỗ hổng bảo mật chưa được vá.
- Một số máy tính sẽ bị hiện tưởng không phản hồi do lỗi của một
số phần mềm gây ra, trong quá trình hoạt động sai cách, hoặc
xung đột giữa các phần mềm với nhau.

Các mô hình, giải pháp:
- Quản trị viên hệ thống hoặc nhân viên kỹ thuật cần liên tục kiểm
tra lỗ hổng, báo cáo lại cho nhà phát triển, và chủ động cập nhật
và tìm cách sửa lỗi, vá lỗi hệ thống.
12


- Phải luôn đảm bảo rằng phiên bản ứng dụng và hệ điều hành của
tất cả những máy chủ và máy khách trong công ty đều đang là bản
vá bảo mật mới nhất, ứng dụng cập nhật mới nhất và bản quyền
của nhà phát triển.
- Triển khai cập nhật và bản vá hệ điều hành cần thực hiện một cách
đồng bộ trên tất cả các thiết bị có trong công ty, mang lại tính
đồng nhất trong quản lý cũng như xử lý sự cố sau này.
- Trước khi cập nhật và bản vá hệ thống, cần đảm bảo phải sao lưu
lại dữ liệu và hệ điều hành cũ, đề phòng trường hợp phát sinh lỗi
trong quá trình cài đặt.

3. Chính sách phân vùng mạng:
Vùng mạng nội bộ

- Còn gọi là mạng LAN (Local area network), là nơi đặt các thiết bị
mạng, máy trạm và máy chủ thuộc mạng nội bộ của đơn vị.
Vùng mạng DMZ
- Vùng DMZ là một vùng mạng trung lập giữa mạng nội bộ và mạng
Internet, là nơi chứa các thông tin cho phép người dùng từ
Internet truy xuất vào và chấp nhận các rủi ro tấn công từ
Internet. Các dịch vụ thường được triển khai trong vùng DMZ là:
máy chủ Web, máy chủ Mail, máy chủ DNS, máy chủ FTP,…
Vùng mạng Server
13


- Vùng mạng Server hay Server Farm, là nơi đặt các máy chủ không
trực tiếp cung cấp dịch vụ cho mạng Internet. Các máy chủ triển
khai ở vùng mạng này thường là Database Server, LDAP Server,…
Vùng mạng Internet
- Còn gọi là mạng ngoài, kết nối với mạng Internet toàn cầu.

Quy định về phân vùng mạng:
- Nên đặt các máy chủ web, máy chủ thư điện tử (mail server)…
cung cấp dịch vụ ra mạng Internet trong vùng mạng DMZ, nhằm
tránh các tấn công mạng nội bộ hoặc gây ảnh hướng tới an toàn
mạng nội bộ nếu các máy chủ này bị tấn công và chiếm quyền
kiểm soát. Chú ý không đặt máy chủ web, mail server hoặc các
máy chủ chỉ cung cấp dịch vụ cho nội bộ trong vùng mạng này.

- Các máy chủ không trực tiếp cung cấp dịch vụ ra mạng ngoài như
máy chủ ứng dụng, máy chủ cơ sở dữ liệu, máy chủ xác thực… nên
đặt trong vùng mạng server network để tránh các tấn công trực
diện từ Internet và từ mạng nội bộ. Đối với các hệ thống thông tin

yêu cầu có mức bảo mật cao, hoặc có nhiều cụm máy chủ khác

14


nhau có thể chia vùng server network thành các vùng nhỏ hơn
độc lập để nâng cao tính bảo mật.

- Nên thiết lập các hệ thống phòng thủ như tường lửa (firewall) và
thiết bị phát hiện/phòng chống xâm nhập (IDS/IPS) để bảo vệ hệ
thống, chống tấn công và xâm nhập trái phép. Khuyến cáo đặt
firewall và IDS/IPS ở các vị trí như sau: đặt firewall giữa đường nối
mạng Internet với các vùng mạng khác nhằm hạn chế các tấn công
từ mạng từ bên ngoài vào; đặt firewall giữa các vùng mạng nội bộ
và mạng DMZ nhằm hạn chế các tấn công giữa các vùng đó; đặt
IDS/IPS tại vùng cần theo dõi và bảo vệ.
-

Nên đặt một Router ngoài cùng (Router biên) trước khi kết nối
đến nhà cung cấp dịch vụ internet (ISP) để lọc một số lưu lượng
không mong muốn và chặn những gói tin đến từ những địa chỉ IP
không hợp lệ.

4. Chính sách quản lý truy cập mạng:
Tại sao cần quản lý truy cập mạng:
- Việc quản lý truy cập mạng là quản lý những trang web mà các
máy clien truy cập trong quá trình sử dụng, việc làm đó không chỉ
ngăn chặn các máy clien truy cập những web độc hại, gắn mã độc
v.v
15



Một số giải pháp quản lý truy cập mang:
- Mỗi một đơn vị máy khách đều được cấp một địa chỉ IP tĩnh, và
quản lý bởi quản trị viên hệ thống hoặc nhân viên kỹ thuật của
công ty.
- Những máy clien ở những bộ phận quan trọng trong công ty sẽ
không được lắp card mạng wifi mà chỉ có card mạng LAN cổng RJ45 thông thường, nhằm hạn chế việc kết nối wifi công cộng của
công ty.
- Wifi công cộng của công ty, được sử dụng cho nhiều mục đích
chung, sẽ luôn được đặt mật khẩu, thay đổi 7 ngày 1 lần, mật
khẩu mới sẽ được ghi trên bảng thông tin chung của công ty cứ
mỗi sáng thứ 2 hàng tuần, nhằm việc hạn chế truy cập internet từ
bên ngoài.
- Trong thời gian làm việc theo quy định, sẽ chặn tất cả những liên
kết truy cập tới các trang mạng xã hội như facebook, instagram,
zalo v.v nhằm đảm bảo nhân viên tập trung cao độ nhất trong
công việc.
- Mọi liên lạc trong công ty sẽ thông qua ứng dụng Skype dành cho
doanh nghiệp và không sử dụng ứng dụng khác.
- Thống kê lịch sử trang web và băng thông cho từng máy clien,
phát hiện sai phạm trong quá trình làm việc sẽ có những hình phạt
tương ứng.

5. Chính sách quản lý người dùng:
16


Thực trạng người dùng của doanh nghiệp:
- Hiện tại doanh nghiệp đang có 198 người trong tất cả các bộ phần

phòng ban.
- Với một đơn vị người dùng, sẽ được cấp phát tài khoản và mật
khẩu đăng nhập khác nhau.
Giải pháp quản lý người dùng trong phạm vi doanh nghiệp nhỏ
- Để liên lạc và gửi tài liệu, hồ sơ v.v.. với các thành viên khác trong
công ty, cần phải được cấp email riêng theo tên và quy định của
công ty. Ví dụ: Họ và tên là Mai Quang Vinh thì email được cấp sẽ
là
- Trong trường hợp có 2hay nhiều hơn những nhân viên có cùng
tên, thì tên tài khoản và email sẽ có thêm 3 số cuối của mã nhân
viên tương ứng.
- Đối với những nhân viên đã hết hợp đồng, quản trị viên hệ thống
hoặc nhân viên kỹ thuật của công ty sẽ tạm thời vô hiệu hóa tài
khoản trong 14 ngày, nếu sau 14 ngày, nhân viên đó không quay
trở lại làm việc công ty hoặc làm việc tại công ty khác sẽ xóa tài
khoản và tất cả dữ liệu cũ liên quan đến công ty.
- Đối với những nhân viên, hoặc đối tác, tác nghiệp tại công ty, có
thời hạn lớn hơn hoặc bằng 3 ngày, sẽ đều phải được thông qua
điều khoản an toàn thông tin của công ty, và được cấp tài khoản
đăng nhập, địa chỉ email riêng. Hồ sơ của người đó sẽ được lưu
trữ tại phòng ban quản lý hành chính.

17


6. Chính sách về thiết bị tin học :
Hiện trạng thiết bị tin học của công ty:
- Hiện tại đã có 212 máy clien đang hoạt động trong công ty.
- Tất cả thiết bị được trang bị đều là mới 100% .
- Nguồn cấp rõ ràng, chế độ bảo hành, và đổi trả minh bạch

Một số giải pháp quản lý thiết bị tin học :
- Mỗi nhân viên khi được chấp nhận làm việc tại công ty đều phải
được cấp chứng chỉ tin học văn phòng cơ bản.
- Nhân viên cần xem xét và báo cáo lỗi cho quản trị viên về tình
trạng lỗi trên thiết bị của mình, để khắc phục lỗi sớm nhất có thể.
- Sau khi sử dụng máy tính hoặc khi ra về, cần tắt hết thiết bị đúng
cách nhằm tiết kiệm điện cho công ty, cũng như bảo quản thiết bị
tin học và dữ liệu có trong đó.
- Mỗi nhân viên cần nâng cao ý thức tự giác trong việc giữ gìn, bảo
quản thiết bị tin học của công ty.
- Khi trang bị thiết bị mới cho công ty, cần thống kê chi tiết về thiết
bị đó, như hãng sản xuất, thời gian bảo hành, các tính năng,
hướng dẫn sử dụng v.v..
- Thay thế và bảo trì những thiết bị cũ, nhằm đảm bảo phục vụ làm
việc một cách xuyên suốt.
7.

Chính sách vào ra trong công ty :
Một số quy định về việc vào ra công ty:
18


- Mỗi nhân viên đều được đánh mã nhân viên, họ tên, ngày tháng
năm sinh trên thẻ nhân viên.
- Khi vào ra trong công ty cần có thẻ nhân viên hợp lệ, được xác
thực bằng nhân viên bảo vệ hoặc hệ thống tự động.
- Mỗi một đơn vị công cụ di chuyển như xe ô tô, xe máy, xe đạp
điện đều phải được đánh mã số khi gửi vô bãi đỗ xe.
- Việc nhân viên vào ra trong công ty sẽ được giám sát bởi camera
giám sát 24/24.

- Khi có người lạ ra vào công ty, cần có biện pháp ngăn chặn nếu
không có lý do chính đáng. Camera sẽ lưu giữ hình ảnh những
người lạ khi xuất hiện tại công ty, nhằm đảm bảo an ninh công ty.
8. Chính sách làm việc tại phòng máy chủ:
- Với đặc thù riêng của phòng server là chỉ cấp quyền cho một số
lượng người nhất định có quyền ra vào như: phòng kỹ thuật,
phòng IT, ban lãnh đạo
- Phòng máy chủ là nơi lưu trữ và xử lý nhiều dữ liệu và tác vụ quan
trọng của công ty. Thế nên việc vào ra phòng máy chủ cũng có khá
nhiều quy định khắt khe so với những phòng ban khác.

- Sẽ có tối đa 3 nhân viên được cấp phép quản lý, bảo trì, vận hành
máy chủ. Đảm bảo tính sẵn sàng về mặt dữ liệu và xử lý dữ liệu.
- Phòng máy chủ sẽ có máy quét vân tay của 3 nhân viên quản trị.
Và chỉ 3 người đó mới có quyền vào ra phòng máy chủ. Những

19


người không thuộc thẩm quyền sẽ không được đăng ký vân tay
mở khóa.
- Nhân viên làm việc tại phòng máy chủ phải làm việc thật sự cẩn
trọng, liên tục cập nhật các vấn đề phát sinh trong quá trình vận
hành. Trước khi vô làm việc cần được test qua các bài kiểm tra
nhất định, và đã qua các khóa học cơ bản về quản trị mạng và an
ninh mạng.
- Cần đưa ra nhiều giải pháp thiết kế hệ thống tối ưu trong vận
hành, khắc phục sự cố.

9. Chính sách sao lưu và phục hồi dữ liệu:

Sao lưu và phục hồi dữ liệu là gì:
- Sao lưu và phục hồi dữ liệu là hành động mà người quản trị phải
làm thường xuyên, đó là việc lưu trữ những dữ liệu quan trọng vô
một nơi khác với nơi lưu trữ cơ bản bình thường, thông thường
thì nó sẽ bảo mật hơn, nhằm việc khi xảy ra sự cô hay tấn công
mạng, sẽ không bị ảnh hưởng và mất mát đến dữ liệu, và có thể
phục hồi lại dữ liệu sau khi khắc phục xong sự cố, đảm bảo hoạt
động thông suốt sau quá trình đó.
- Dữ liệu là một trong những thứ có tác động đến sự sống còn của
công ty, nên việc bảo quản, sao lưu, phục hồi dữ liệu là việc làm
tiên quyết, đặt lên hàng đầu.
Tác hại của việc mất dữ liệu:
20


- Làm mất tính bảo toàn và sẵn sàng của dữ liệu.
- Giảm năng suất thực hiện công việc của cả công ty.
- Nếu mất tập tin quan trọng, sẽ ảnh hưởng lớn đến kinh tế của cả
công ty
Một số giải pháp cho việc sao lưu và phục hồi dữ liệu:
- Hệ thống phải được sao lưu mỗi 24 giờ và được lưu trữ cẩn trọng
bởi quản trị viên.
- Khi có sự cố mất mát về mặt dữ liệu, sẽ luôn có dữ liệu dự phòng
đã lưu trữ trước đó, đảm bảo tính toàn vẹn dữ liệu.
- Xu hướng tấn công bằng mã độc mã hóa dữ liệu (Ransomware)
đang ngày một cao, các chủng Ransomware sẽ có sự tiến hóa
trong cách tấn công và đối tượng mà chúng tấn công. Một khi
doanh nghiệp bị mã độc tống tiền ghé thăm thì toàn bộ dữ liệu
của doanh nghiệp sẽ bị mã hóa. Đừng cho rằng doanh nghiệp nhỏ
có thể nằm ngoài tầm ngắm của loại tấn công này.


HẾT
------------------------------------------------------------------------------------

Hà Nội, ngày 14 tháng 4 năm 2018
Người viết báo cáo
21


Mai Quang Vinh

Mục Lục
Mở đầu ..................................................................................... 3
Giới thiệu....................................................................................3
Phạm vi áp dụng các chính sách...................................................4
Đối tượng áp dụng.......................................................................4
Các khái niệm cơ bản:..................................................................4
HIỆN TRẠNG CỦA TỔ CHỨC .........................................................7
Giới thiệu chung về tổ chức........................................................................7
Hệ thống mạng nội bộ các phòng ban của công ty.......................................7

Hiện trạng về an toàn thông tin của tổ chức.................................9
NỘI DUNG CHÍNH SÁCH TỔ CHỨC...............................................10
Về phòng chống virus máy tính:...................................................10
Về cập nhật và bản vá hệ điều hành.............................................12
Chính sách phân vùng mạng.........................................................14
Chính sách quản lý truy cập mạng................................................16
Chính sách về thiết bị tin học.......................................................19
Chính sách vào ra trong công ty...................................................20
Chính sách làm việc tại phòng máy chủ........................................21

Chính sách sao lưu và phục hồi dữ liệu.........................................22

22


23