Quá trình phát triển an toàn bảo mật hệ thống thông tin ngành Tài chính và định hướng giai đoạn 2008 – 2012
Giai đoạn từ 2000 đến nay là nâng cấp hạ tầng và tích hợp hệ thống. Bài viết này giới thiệu về quá trình phát triển an toàn bảo mật hệ thống thông tin ngành Tài chính qua các giai đoạn kể trên, trong đó tập trung vào phân tích tầm quan trọng của an toàn bảo mật hệ thống thông tin tài chính giai đoạn từ nay đến năm 2012 và các yếu tố chính tác động đến quá trình này.
Xuất phát từ nhu cầu cải cách hệ thống nghiệp vụ và mô hình tổ chức, năm 1990 ngành Tài chính bắt đầu triển khai dự án ứng dụng CNTT vào hoạt động nghiệp vụ của Ngành. Những thay đổi chính trong giai đoạn này là: Hệ thống Kho bạc Nhà nước ra đời làm nhiệm vụ thu chi Ngân sách Nhà nước thống nhất từ Trung ương đến địa phương, thực hiện kế toán kho bạc; Tổng Cục Thuế ra đời từ việc hợp nhất 3 cơ quan thuế là Cục thuế công thương nghiệp, Cục Thuế quốc doanh và Cục thuế nông nghiệp; Luật Ngân sách Nhà nước và Mục lục Ngân sách Nhà nước đã từng bước được hoàn chỉnh. Với những thay đổi về chức năng nhiệm vụ, cơ cấu tổ chức và mô hình nghiệp vụ của Ngành thì khối luợng thông tin cần xử lý tăng đột biến, yêu cầu thu thập và xử lý dữ liệu để cung cấp thông tin một cách đầy đủ, chính xác và kịp thời trở nên cấp thiết. Từ trước năm 1990, hầu hết công việc thu thập, sắp xếp, phân loại, xử lý và cung cấp thông tin đều thực hiện thủ công, do vậy đến giai đoạn này việc triển khai dự án ứng dụng CNTT vào hoạt động nghiệp vụ của Ngành là tất yếu và cấp bách. Tuy nhiên việc ứng dụng CNTT ở ngành Tài chính bắt đầu từ “con số 0” nên cần có một giai đoạn “làm quen” để tạo ra một môi trường tin học trong Ngành. Những hoạt động chính trong giai đoạn này là: đào tạo tin học căn bản trên diện rộng cho cán bộ Ngành; trang bị các máy tính PC đơn lẻ cho các đơn vị để dần làm quen với các ứng dụng cơ bản của văn phòng như soạn thảo văn bản, sử dụng trang tính điện tử và từng bước sử dụng vào các ứng dụng nghiệp vụ được viết trên môi trường đơn lẻ như: quản lý ngân sách, kế toán kho bạc, quản lý lương, quản lý nhân sự, quản lý công văn đi- đến. Trong giai đoạn này các hoạt động liên quan đến an toàn bảo mật hệ thống thông tin gần như chưa được tính đến hoặc mới ở mức rất đơn giản, chỉ mới là các hoạt động quét, diệt virus máy tính, các chính sách đơn giản để kiểm soát truy cập và bảo vệ dữ liệu bằng tên và mật khẩu người dùng. Cuối giai đoạn này, vào năm 1994, giao dịch thanh toán điện tử của Kho bạc bước đầu sử dụng kỹ thuật mật mã khoá đối xứng để trao đổi dữ liệu giữa Kho bạc Trung ương với các Kho bạc tỉnh.
Giai đoạn từ 1995 đến 1999 đánh dấu sự phát triển mạnh mẽ của các ứng dụng CNTT vào hoạt động nghiệp vụ của ngành Tài chính. Về hạ tầng kỹ thuật, trong giai đoạn này đã thiết lập được 320 mạng cục bộ ở Trung ương và các địa phương, các mạng này được liên kết đơn giản qua điện thoại quay số, cho đến cuối 1999 mới hình thành các đường trục kết nối các mạng cục bộ tạo ra cơ sở để xây dựng mạng diện rộng ngành Tài chính. Đã có 36 bộ chương trình ứng dụng thiết kế theo kiến trúc khách/chủ dựa trên nền tảng CSDL ORACLE hỗ trợ hầu hết các xử lý nghiệp vụ của ngành Tài chính. Các ứng dụng nghiệp vụ này chủ yếu hoạt động trên mạng cục bộ, tạo ra CSDL nghiệp vụ trên các máy chủ ở tỉnh và Trung ương, các số liệu báo cáo cũng được truyền qua mạng diện rộng (chủ yếu qua đường thoại) từ địa phương lên Trung ương. Từ năm 1998, ngành Tài chính bắt đầu triển khai dự án xây dựng CSDL quốc gia Tài chính - Ngân sách đặt ở Bộ Tài chính phục vụ việc cung cấp các thông tin tổng hợp cho các cấp lãnh đạo. Như vậy cho đến cuối giai đoạn này, nếu coi phần tài sản chính của hệ thống CNTT ngành Tài chính là hạ tầng kỹ thuật, các chương trình ứng dụng và hệ thống dữ liệu nghiệp vụ cũng như dữ liệu tổng hợp thì khối tài sản này đã khá lớn, ngành Tài chính đã là một “anh nhà giàu, có của ăn của để”. Việc bảo vệ khối tài sản này sao cho an toàn là một nhiệm vụ cấp bách. Có thể kể đến một yếu tố quan trọng tác động đến việc an toàn bảo mật hệ thống thông tin tài chính, đó là từ năm 1997, Internet bắt đầu được mở ra ở Việt Nam. Tuy ở Bộ Tài chính việc kết nối các mạng của Ngành vào Internet vẫn bị cấm (theo quy định của quy chế tạm thời về sử dụng Internet), chỉ có một số máy đơn lẻ phục vụ đối ngoại hoặc công tác nghiên cứu mới được kết nối Internet, nhưng đây cũng chính là đầu mối tiềm ẩn đe dọa đến an toàn bảo mật hệ thống thông tin của Ngành. Trong giai đoạn này, vấn đề an toàn bảo mật hệ thống thông tin ngành cũng chưa thực sự bùng nổ, mới xây dựng được quy chế vận hành các mạng cục bộ, các CSDL quan trọng sử dụng hệ thống sao lưu trên cơ sở băng từ, việc trao đổi thông tin bằng thư điện tử mới ở mức ban đầu. Lượng thông tin chủ yếu vẫn quy tụ ở các mạng cục bộ, thông tin lưu truyền trên mạng diện rộng còn ít. Khái niệm tường lửa để bảo vệ mạng LAN khi kết nối Internet mới được đặt ra để nghiên cứu.
Từ năm 2000 đến nay là giai đoạn triển khai có hệ thống các hoạt động an toàn bảo mật hệ thống thông tin ngành Tài chính. Để lý giải điều này cần bắt đầu từ việc phân tích mô hình ở mức khái niệm mối quan hệ các dự án CNTT trong ngành, nó cũng phản ánh kiến trúc hệ thống thông tin ngành Tài chính (hình 1).
Hình 1: Mô hình kiến trúc hệ thống thông tin ngành Tài chính
Mô hình này chia làm 3 lớp: lớp dưới cùng là hạ tầng kỹ thuật đảm bảo cho hoạt động của 2 lớp trên. Lớp này bao gồm 2 thành phần quan trọng là Hạ tầng truyền thông thống nhất của Ngành và An toàn bảo mật hệ thống thông tin. Lớp thứ 2 là các dự án hiện đại hoá hệ thống nghiệp vụ trong ngành Tài chính như Thuế, Kho bạc, Hải quan… Lớp trên cùng là các ứng dụng tổng hợp mà ở mức cao nhất là các CSDL quốc gia Tài chính – Ngân sách, hệ thống thông tin thống kê và phân tích dự báo. Như vậy, lớp dưới cùng phải được thiết kế để phục vụ cho việc vận hành ổn định, liên tục và an toàn của các thành phần ở lớp trên.
Năm 2001, Bộ Tài chính đã khai trương Website của Bộ và kết nối Internet nhằm phục vụ việc cung cấp thông tin cho xã hội cũng như tạo ra kênh tương tác với các đối tượng quản lý của Ngành. Đến thời điểm này, việc xây dựng kế hoạch tổng thể về an toàn bảo mật hệ thống thông tin tài chính được đặt ra. Năm 2002, Bộ Tài chính với sự tư vấn của các chuyên gia bảo mật của Bộ Công an đã hoàn thành “Đề án tổng thể an toàn bảo mật hệ thống thông tin ngành Tài chính”. Mục tiêu của Đề án là thiết kế tổng thể giải pháp an toàn bảo mật hệ thống thông tin tài chính trong giai đoạn 5 năm. Nội dung chính bao gồm: đánh giá hiện trạng và mô tả các yêu cầu về an toàn bảo mật từ đó xây dựng mô hình an toàn bảo mật hệ thống thông tin tài chính (kiểm soát truy cập, mạng riêng ảo phân tách các phân hệ theo hệ thống dọc, mã hoá và lưu trữ, hạ tầng PKI…); xây dựng hệ thống chính sách liên quan đến an toàn bảo mật hệ thống thông tin Ngành. Sau 5 năm triển khai đề án, hệ thống thông tin ngành Tài chính đã được bảo vệ, duy trì được hoạt động ổn định liên tục và bảo đảm an toàn của các hoạt động nghiệp vụ, không để xảy ra sự cố làm gián đoạn hoạt động của hệ thống cũng như vi phạm tính toàn vẹn và bảo mật của thông tin. Nhưng do tính phức tạp của hệ thống truyền thông và sự đa dạng về ứng dụng, cơ sở dữ liệu nên các biện pháp an toàn bảo mật đã áp dụng vẫn còn chưa đầy đủ và đồng bộ nên trên toàn bộ hệ thống vẫn còn lỗ hổng bảo mật, có nguy cơ bị tấn công cao.
Hiện tại, Bộ Tài chính đang đánh giá lại các kết quả của đề án và cập nhật xây dựng đề án về an toàn bảo mật hệ thống thông tin tài chính trong giai đoạn 5 năm tới (2008-2012). Có 3 yếu tố lớn tác động đến việc xây dựng kế hoạch này:
Hình 2: Mô hình nghiệp vụ thông tin Tài chính
Về thể chế: việc ban hành Luật Công nghệ thông tin; Luật Giao dịch điện tử; các nghị định về ứng dụng CNTT trong các cơ quan Nhà nước; giao dịch điện tử trong hoạt động tài chính; chữ ký số và chứng thực chữ ký số đã tạo hành lang pháp lý cho việc triển khai có hệ thống các giải pháp an toàn bảo mật. Cốt lõi của Luật Giao dịch điện tử là công nhận giá trị pháp lý của chứng từ điện tử khi đảm bảo tính toàn vẹn, tính bảo mật và tính sẵn sàng của nó. Như vậy có thể thấy để giao dịch điện tử nói chung trong đó có thương mại điện tử hay tài chính điện tử có thể triển khai và phát triển được thì điều cốt lõi là những vấn đề liên quan đến an toàn thông tin cần được đảm bảo. Nghị định 64/2007/NĐ-CP về ứng dụng CNTT trong hoạt động của cơ quan Nhà nước có quy định “cơ quan Nhà nước có trách nhiệm kết nối hạ tầng kỹ thuật của mình với mạng Internet để cung cấp thông tin và dịch vụ hành chính công theo chức năng, nhiệm vụ của mình”. Quy định này có thể coi là một bước đột phá trong việc tạo ra môi trường thuận lợi cho việc truy cập, trao đổi thông tin của cơ quan Chính phủ với xã hội. Tuy nhiên đây cũng là một thách thức đối với việc bảo vệ an toàn thông tin của các cơ quan Chính phủ.
Về mô hình nghiệp vụ: các quy trình nghiệp vụ trong Ngành đang được tái kiến trúc lại theo hướng tập trung, chuyển từ mô hình quản lý sang phục vụ. Coi công nghệ thông tin và truyền thông là nền tảng để hiện đại hoá. Ba loại mô hình tương ứng với các thay đổi trên là mô hình xử lý tập trung cấp toàn ngành, mô hình trao đổi dữ liệu liên ngành và mô hình cung cấp dịch vụ công trên nền Internet, xây dựng dưới dạng các cổng thông tin (Portal). Về mô hình thứ nhất, hiện nay hầu hết các bài toán nghiệp vụ của Ngành được phát triển trên kiến trúc khách/chủ, CSDL tác nghiệp đặt tại các máy chủ ở cấp tỉnh, kết nối với phần máy khách (client), nơi phát sinh thông tin yêu cầu tại các quầy giao dịch và tại cấp quận, huyện. Hạ tầng truyền thông được nâng cấp như hiện nay sẽ tạo tiền đề cho việc xây dựng mô hình xử lý tập trung tại Trung ương với các bài toán nghiệp vụ của Thuế, Kho bạc, Hải quan. Ở mô hình tập trung, hai vấn đề về an toàn thông tin cần giải quyết là an toàn cho thông tin lưu giữ trên máy chủ và an toàn thông tin trên đường truyền. Mô hình trao đổi dữ liệu liên ngành được xây dựng xuất phát từ các nguyên tắc nhất quán thông tin, một ví dụ cho mô hình này là bài toán trao đổi thông tin Thuế - Kho bạc – Ngân sách: trước đây các chứng từ thu chi đều được gửi cho Kho bạc, Tài chính, Thuế và mỗi đơn vị đều có hệ thống kế toán riêng, dẫn đến các báo cáo thu- chi ngân sách của 3 đơn vị không nhất quán. Theo luật Ngân sách sửa đổi, chỉ hệ thống Kho bạc Nhà nước làm kế toán ngân sách và cung cấp các số liệu, báo cáo cho các đơn vị khác trong hệ thống tài chính, do vậy các hệ thống thông tin của các đơn vị phải thiết kế dạng mở, liên kết được với nhau. Với mô hình cung cấp dịch vụ công, thường phát triển các ứng dụng trên nền Web, với số lượng lớn người dùng truy cập qua Internet. Kiến trúc ứng dụng trong trường hợp này thường dựa trên mô hình 3 lớp: lớp lõi, lớp phân phối và lớp truy cập. Một mô hình như vậy được mô tả trong hình 2.
Như vậy có thể thấy với cả 3 mô hình trên, an toàn bảo mật thông tin là yếu tố sống còn trong quá trình thực hiện.
Các tiến bộ của Công nghệ thông tin - Truyền thông và các công nghệ an toàn bảo mật tạo điều kiện cơ bản cho việc chuyển sang môi trường giao dịch tài chính điện tử được đảm bảo và các yếu tố này cũng rất quan trọng trong việc hoạch định kế hoạch an ninh hệ thống thông tin tài chính. Về truyền thông, ngành Tài chính là một trong các khách hàng đầu tiên sử dụng mạng thế hệ mới (NGN) của nhà cung cấp dịch vụ VNPT. Việc chuyển từ các đường thuê bao leased-line sang mạng MPLS vẫn đảm bảo tính bảo mật trên đường truyền nhưng chi phí rẻ hơn rất nhiều. Về công nghệ an toàn bảo mật, ngành Tài chính lựa chọn sử dụng chữ ký số trên nền hạ tầng khoá công khai PKI để đảm bảo cho các giao dịch điện tử an toàn như thanh toán điện tử của kho bạc hay các bài toán quản lý thuế và hải quan điện tử. Các công nghệ an toàn như tường lửa, IDS, IPS, phòng chống virus, spam, tấn công từ chối dịch vụ… sẽ được sử dụng một cách đồng bộ.
Có thể hình dung một đề án cập nhật về an ninh thông tin ngành Tài chính trong 5 năm tới sẽ gồm các thành phần sau:
a. Về chính sách
Tuân thủ các quy định hành chính của Nhà nước về vấn đề bảo mật thông tin quốc gia; Chính sách đảm bảo an toàn thông tin chưa được máy tính hoá (thông tin bàn giấy); Chính sách đảm bảo an toàn thông tin điện tử; Chính sách về an toàn bảo mật cho mạng truyền thông; Chính sách truy nhập hệ thống áp dụng trên các điểm truy nhập; Chính sách truy nhập và sử dụng Kho dữ liệu; Chính sách sử dụng và quản lý tài nguyên mật mã.
b. Về hạ tầng khoá công khai và CA
Xây dựng một hệ thống CA ngành Tài chính làm khung kỹ thuật cũng như pháp lý cho các đơn vị trong ngành Tài chính (Tổng Cục Thuế, Tổng Cục Hải quan, Kho bạc Nhà nước, Uỷ ban Chứng khoán Nhà nước, Cục Dự trữ quốc gia,…) triển khai các ứng dụng sử dụng giao dịch điện tử an toàn (bí mật, toàn vẹn, xác thực, chống từ chối). Hệ thống này cung cấp dịch vụ: Xác thực chứng chỉ số cho người dùng, cho ứng dụng; Lưu trữ, phân phối chứng chỉ số tới người dùng và ứng dụng có nhu cầu sử dụng; Thu hồi chứng chỉ số khi không có nhu cầu sử dụng; Cung cấp dịch vụ mã hoá, chữ ký số.
c. Các biện pháp tổng hợp
Áp dụng các giải pháp kỹ thuật: Tường lửa; phòng chống virus, spam, phishing, spyware, malware; phát hiện và ngăn chặn xâm nhập trái phép; mã hoá thông tin trên đường truyền; mã hoá dữ liệu; mạng riêng ảo; xác thực mạnh. Triển khai đồng bộ các giải pháp kỹ thuật trên trên toàn bộ hệ thống mạng, đảm bảo dự phòng nhiều lớp
d. Xây dựng trung tâm phòng chống thảm hoạ của ngành Tài chính
Trung tâm này đặt tại khu công nghệ cao Hoà Lạc và được sử dụng trong trường hợp trung tâm miền Bắc ngừng hoạt động với các yêu cầu sau:
- Xây dựng kế hoạch duy trì các hoạt động của ngành Tài chính trong trường hợp xảy ra thảm họa đồng thời xây dựng kế hoạch phục hồi hệ thống thông tin sau khi thảm họa xảy ra.
- Là nơi lưu trữ dữ liệu dự phòng của toàn ngành Tài chính.
- Kết nối với trung tâm miền Bắc với tốc độ cao, năng lực dự phòng lớn để đảm bảo cho toàn bộ các dữ liệu được sao lưu thời gian thực từ các trung tâm dữ liệu về trung tâm dự phòng.
e. Hệ thống giám sát và quản lý an ninh thông tin
Trong toàn bộ hệ thống sử dụng hệ thống giám sát và quản lý an toàn bảo mật phải sử dụng các công cụ có khả năng sau:
- Quản lý thiết bị trong toàn mạng
- Giám sát và kiểm tra việc sử dụng chương trình mã hoá trước khi gửi thông tin đi của người dùng.
- Nhanh chóng cô lập vùng bị tấn công; bảo vệ mạng để đảm bảo tính toàn vẹn của dữ liệu trao đổi
- Phòng chống các lỗ hổng của quản lý truy nhập
- Cung cấp chứng cứ của những hoạt động vi phạm an toàn bảo mật
- Xây dựng thư viện các dấu vết của các hoạt động bất thường
- Hiển thị được các bản ghi giám sát ở dạng văn bản, hiển thị một cách trực quan trạng thái an toàn bảo mật của hệ thống....
