GD1 - Bảo mật và công cụ bảo
mật trong TMĐT!
Hơn lúc nào hết, tình trạng bảo mật cho các website nói chung và các website
thương mại điện tử Việt Nam nói riêng đáng báo động như hiện nay. Nếu không kịp
thời khắc phục thì sẽ là hiểm hoạ khôn lường cho ngành công nghệ còn non trẻ này
của đất nước. Tình trạng ăn cắp và sử dụng thẻ tín dụng giả để mua hàng trên các
website thương mại điện tử, tình trạng phát tán virus ăn cắp mật mã liên tục xảy ra với
cường độ ngày một nhiều, một số vụ tấn công của các Hacker Việt vào một vài
website thương mại điện tử trong thời gian gần đây, một số website của các tổ chức bị
các hacker nước ngoài xâm nhập… tự nó đã nói lên điều đó.
Khi thiết lập một dự án thương mại điện tử thường vì do kiến thức của các CIO
(Giám đốc phụ trách thông tin) trong lĩnh vực bảo mật còn hạn chế hoặc do ý muốn
chủ quan, cứ thiết lập website trước, một thời gian sau đó khi hoạt động hiệu quả mới
đầu tư tiếp cho hệ thống bảo mật. Hơn thế nữa, đã là thương mại điện tử thì cần phải
thu hút thật nhiều khách hàng truy cập thì mới có cơ hội kinh doanh hiệu quả được.
Một khi mở rộng cho nhiều người truy cập đồng nghĩa với việc thu hút không ít các
truy cập không được mong đợi.
Con người Việt Nam vốn rất nhanh nhạy, năng động và rất có năng khiếu trong
lĩnh vực công nghệ thông tin. Bằng chứng là trong các cuộc thi về CNTT, Việt Nam
luôn giành các thứ hạng khá cao. Những vị trí quan trọng hàng đầu tại các công ty
hàng đầu về CNTT thế giới cũng đều có người Việt Nam. Cùng với đó, sau khoảng
hơn 10 năm hội nhập với thế giới trong lĩnh vực này, công nghệ thông tin nước nhà đã
có những bước tiến nhanh chóng, giới trẻ Việt Nam hầu như đã tiếp cận với nền công
nghệ thông tin thế giới. Tuy nhiên, song song với việc nhiều người sử dụng các kiến
thức này một cách hiệu quả và có ích thì một số cá nhân, đa số là những thanh niên trẻ,
hiếu thắng muốn chứng tỏ mình đã sử dụng các kiến thức và sự hiểu biết của mình
không đúng mục đích. Hơn thế nữa, tài nguyên trên internet là vô tận nên việc lấy mã
nguồn virus có sẵn nhan nhản trên mạng về để thay đổi một ít, phát triển hoặc cho phát
tán lại ngay là một vấn đề không quá khó. Việc đi tắt, đón đầu nền công nghệ mới đã
tạo ra những lực lượng không được đào tạo bài bản và các kiến thức họ học được chỉ
là lượm lặt từ khắp nơi và khi không có một môi trường tốt để học hỏi, không được
đào tạo các kỹ năng sống tốt cả ngoài cuộc sống cũng như trên môi trường mạng
internet thì việc họ dùng những kiến thức mà mình lượm lặt đó để đi… “thử nghiệm”
là điều không tránh khỏi. Và một lý do quan trọng nữa là sự cạnh tranh không lành
mạnh của các chủ website thương mại điện tử với nhau.
Có hai công cụ tiêu biểu là bức tường lửa (firewall) và các kênh truy cập
được thiết lập riêng để đối tác truy nhập một cách an toàn (tunnel).
Bức tường lửa đóng vai trò rất lớn trong các dự án thương mại điện tử. Nó có
thể giám sát các website và bảo vệ các hệ thống xử lý lệnh. Nó kết hợp giữa phần cứng
và phần mềm, là hàng rào giữa tài nguyên Internet của doanh nghiệp với thế giới bên
ngoài. Công nghệ cho công cụ này có hai hình thức cơ bản là phần mềm cài đặt vào
server internet hoặc một hệ thống lọc độc lập trước server internet và bảo vệ mạng nội
bộ trước thế giới bên ngoài. Một bức tường lửa chỉ gồm phần mềm là đủ đảm bảo an
toàn cho một website thương mại điện tử cỡ nhỏ, còn loại hệ thống độc lập trước
server thì dùng để bảo toàn dữ liệu cho các dự án quy mô hơn. Bức tường lửa có hai
thành phần chính gồm: cổng và van. Cổng cho phép dữ liệu lưu thông giữa hai mạng
thông tin trong khi van để ngăn các gói dữ liệu ra vào không đúng cổng. Để áp dụng
hiệu quả hơn, theo các chuyên gia khuyến cáo thì nên sử dụng song song hai bức
tường lửa của hai nhà sản xuất khác nhau để phát huy đầy đủ và không bỏ sót các
khiếm khuyết của từng bộ.
Trong khi đó, Tunnel dựa trên cơ sở các gói giao thức Internet được mã hoá,
cung cấp tạo ra mạng riêng ảo (virtual private network – MRA) nhằm phục vụ cho các
giao tiếp kinh doanh cần mức độ bảo mật cao. MRA rất hữu dụng trong việc ngăn
chặn các tay hacker cũng như người sử dụng không được phép trong khi công nghệ
này lại có thêm khả năng kết nối mọi người lại với nhau. Hay nói khác hơn, ngoài
chức năng là công cụ bảo mật, tunnel còn giúp các nhân viên, bất kể xa hay gần, có
phương tiện rẻ tiền để kết nối với nhau. Các chi phí để thiết lập tunnel chủ yếu là chi
phí ban đầu, sau đó thì chỉ tốn chi phí hoạt động rất ít.
Tuy bức tường lửa và tunnel là những công cụ khá an toàn cho thương mại điện
tử nhưng nó cũng có những mối đe doạ không phải nhỏ. Bức tường lửa không thể ngăn
chặn được các truy nhập trái phép ngay từ các nhân viên trong công ty vì vậy bạn cần
phải xác định ngay rằng khi mở MRA cho các đối tác kinh doanh đồng nghĩa với việc
bạn đang đặt tổ chức của mình vào nguy cơ thất thoát thông tin cao.
Mặc dù công cụ đã có như vậy, tuy nhiên để nó đi vào ứng dụng thì vẫn chưa
thực sự được coi trọng hay nói đúng hơn thì đội ngũ các CIO cũng còn có kiến thức về
bảo mật khá hạn chế khi họ bắt đầu một dự án thương mại điện tử. Việc xây dựng một
hệ thống bảo mật cho riêng người Việt Nam với giá bán cho người Việt Nam sẽ kích
thích ứng dụng trong nước hơn. Ngoài ra, cần đào tạo đội ngũ CIO cho các doanh
nghiệp thương mại điện tử về kiến thức bảo mật để theo kịp với sự phát triển như vũ
bão của công nghệ thông tin thế giới; Cần giáo dục mọi người nói chung và đội ngũ
các công dân mạng trẻ nói riêng ý thức hơn trong việc học hành và ứng dụng các kiến
thức tự học hỏi trên mạng; Hướng họ sử dụng các kiến thức của mình một cách tích
cực hơn; Tạo cho họ sân chơi lành mạnh trên internet, như việc tổ chức thường xuyên
các cuộc thi tấn công website, máy chủ nhằm giúp cho hệ thống bảo mật tốt hơn và
giúp cho những người dự thi nâng cao kiến thức bảo mật của mình; Ban hành các chế
tài xử lý thật mạnh tay các đối tượng cố ý phá hoạ cũng như cố ý gây ra sự cạnh tranh
không lành mạnh trên môi trường mạng. Dù thế nào đi nữa thì ý thức của con người
vẫn là quan trọng nhất, việc đầu tư cho hệ thống bảo mật ngay từ lúc ban đầu chuẩn
bị thực hiện một dự án thương mại điện tử và không thôi chú tâm đến công việc đó
trong suốt quá trình hoạt động nếu không muốn phải trả giá.