Bài thuyết trình Một cách tiếp cận xây dựng kiến trúc tổng thể an toàn thông tin và hạ tầng chứng thực điện tử ngành tài chính

MỘT CÁCH TIẾP CẬN XÂY DỰNG KIẾN

TRÚC TỔNG THỂ ANTT VÀ HẠ TẦNG

CHỨNG THỰC ĐIỆN TỬ NGÀNH TÀI CHÍNH

Ts Trần Nguyên Vũ

Cục Tin học & thống kê- Bộ Tài chính

Security World 2010, Hà nội – 23, 24/3/2010

Nội dung

Xây dựng kiến trúc tổng thể ANTT

Bối cảnh

Đặc thù của ngành

Định hướng

Kiến trúc tổng thể (EA)

Kiến trúc tổng thể ANTT

Hạ tầng chứng thực điện tử

Bối cảnh

Nhu cầu

Đặc thù của ngành

CA công cộng

CA chuyên dụng

2

I. 1. Bối cảnh

Ngày 13/01/2010 Thủ tướng Chính phủ phê duyệt

Quy hoạch phát triển ATTT số quốc gia, với 4 mục tiêu

chính:

• Đảm bảo an toàn mạng và hạ tầng thông tin

• Đảm bảo an toàn cho dữ liệu và ứng dụng CNTT

• Phát triển nguồn nhân lực và ứng dụng CNTT

• Môi trường pháp lý về ATTT

3

I. 1. Bối cảnh

Năm 2010, ngành Tài chính bắt đầu định hướng xây

dựng đề án “Đảm bảo an toàn bảo mật thông tin

ngành Tài chính”

Phạm vi: các đơn vị thuộc Bộ Tài chính

Thời gian: 2011-2015 và định hướng đến 2020

Căn cứ:

9 Quy hoạch phát triển ATTT quốc gia vừa được

phê duyệt

9 Nhu cầu ATTT hoạt động nghiệp vụ của ngành

Tài chính

9 Hướng dẫn của bộ tiêu chuẩn ISO

27001/27002

4

I. 2. Đặc thù của Ngành

BTC là một Bộ lớn đa ngành (Thuế, KB, HQ..)

hoạt động nghiệp vụ theo nhiều mô hình khác

nhau

Có phạm vi trải rộng trên toàn quốc, từ TƯ tới

tỉnh, huyện (có những nghiệp vụ tới cấp xã)

Đang trong quá trình chuyển đổi: tích hợp, liên

kết, tái cấu trúc

Đang triển khai các dự án lớn cả về thể chế và

công nghệ: đề án 30 về CCHC, các đề án hiện

đại hoá hệ thống KB, Thuế, Hải quan..

5

I. 2. Các xu hướng ứng dụng ICT để hiện

đại hoá nghiệp vụ ngành Tài chính

Xu hướng tập trung hoá: các ứng dụng trong Ngành từng bươc

nâng cấp theo mô hình tập trung tại trung ương. Người dùng cuối

giao dịch nghiệp vụ online với CSDL tập trung ở trung ương. Ví dụ:

bài toán quản lý thuế TNCN sẽ thiết kế theo mô hình tập trung

Liên kết chia sẻ thông tin: liên kết trong Ngành giữa hệ thống

Thuế, Hải quan, Kho bạc và Ngân sách để trao đổi thông tin về

thu-chi Ngân sách. Liên kết với bên ngoài: Thuế, Hải quan, Kho

bạc liên kết với hệ thống Ngân hàng để hợp lý hoá quy trình thu

thuế qua ngân hàng. Ví dụ: cổng TTĐT Hải quan

Xu hướng đẩy mạng các dịch vụ tài chính công trực tuyến,

Dự kiến từ nay cho đến 2015 sẽ có khoảng 96 dịch vụ tài chính

công sẽ được cung cấp cho người dân, tổ chức, doanh nghiệp qua

mạng Internet ở mức 3 trở lên theo bảng phân loại của Bộ TTTT. Ví

dụ: khai HQ điện tử, nộp tờ khai thuế qua mạng Internet

6

I. 2. Các thách thức

Cần chuẩn hoá lại các chuẩn của các hệ thống

con để có thể liên kết, tích hợp

Tính mở của hệ thống cao hơn, hệ thống sẽ có

nhiều điểm két nối với Internet, là nguồn gốc

cho các hiểm hoạ đe doạ sự mất ATTT của hệ

thống.

Với hơn 7 vạn người dùng cuối trong Ngành,

tính tuân thủ các quy chế ATTT chưa cao, chưa

có một hệ thống giám sát an ninh thông tin

hoàn chỉnh cũng là một thách thức cho ATTT

của Ngành

7

HTTT thống nhất Ngành tài chính

8

I. 3. Các định hướng chính về ATTT

Áp dụng tiêu chuẩn ISO 27001/27002 và xây

dựng hệ thống quản lý an toàn thông tin

(ISMS) ngành Tài chính

Xây dựng hệ thống chính sách và kiến trúc

tổng thể ANTT ngành Tài chính

Củng cố hệ thống an ninh mạng

Áp dụng chữ ký số trong giao dịch tài chính

điện tử

9

I. 3. Định hướng áp dụng tiêu chuẩn

ISO27001/27002

Cách tiếp cận truyền thống: chỉ tập trung vào an ninh

mạng

Cách tiếp cận theo ISO 27001/27002:

ANTT phải đảm bảo 3 yếu tố: bảo mật, toàn vẹn và sẵn

sàng

ANTT bao gồm không chỉ hạ tầng kỹ thuật mà cả quy trình

nghiệp vụ, quy trình quản lý và cơ chế tổ chức, con người

ANTT phải thực hiện thường xuyên liên tục theo vòng lặp P,

D, C, A.

ANTT bắt đầu từ việc liệt kê rà soát tài sản CNTT, phân tích

các điểm yếu và các mối đe doạ từ đó xác định được các rủi

ro và xây dựng các biện pháp khắc phục các rủi ro

I. 3. Vấn đề gặp phải khi áp dụng tiêu

chuẩn ISO27001/27002

ISO 27001/27002 có phạm vi là cả hệ thống thông

tin của đơn vị trong khi Bộ Tài chính tập trung vào hệ

thống thông tin điện tử (tài nguyên số chứ không

phải mọi loại tài nguyên của đơn vị)

ISO 27001/27002 được thể hiện bằng một hệ thống

phân loại và liệt kê các yêu cầu và giải pháp cho

ANTT

ANTT chưa thể hiện bằng một hệ thống mô tả có kiến

trúc và liên kết các thành phần, theo cú pháp đồ thị

để thuận tiện cho việc quản lý thay đổi, tối ưu hoá

hoạt động ANTT

11

I. 3. Định hướng

Xây dựng kiến trúc tổng thể an ninh thông tin

(Enterprise Information Security Archi tecture,

EISA) như là một bộ phận của kiến trúc tổng

thể Hệ thống thông tin (Enterprise

Architecture, EA).

Cách tiếp cận này lần đầu tiên được Gartner đề xuất trong

bài báo “Incoporating Security into the Enterprise

Architecture Framework” 24/1/2006

Trong lần làm việc với BTC cuối năm 2009, các chuyên gia

việt kiều cũng đề xuất cách tiếp cận tương tự qua khái

niệm “Information Assurance Architecture” (IAA)

12

I. 4. Kiến trúc tổng thể

Có rất nhiều định nghĩa cho khái niệm EA, ta có thể hiểu:

Kiến trúc tổng thể (EA) của một hệ thống thông tin là cách

nhìn của hệ thống thông tin dưới một kiến trúc mạch lạc, đặc

tả được mối quan hệ giữa kiến trúc của hệ thống IT và kiến

trúc của hệ thống nghiệp vụ. EA mô tả cách thức 2 kiến trúc

này tương hợp với nhau để hệ thống IT hỗ trợ một cách có

hiệu quả cho hệ thống nghiệp vụ của tổ chức.

Mục đích của EA là tối ưu hoá giá trị của tổ chức bằng cách

đầu tư ứng dụng IT. Nếu hệ thống IT không đáp ứng được yêu

cầu của hệ thống nghiệp vụ thì việc đầu tư cho IT là lãng phí.

Ngược lại nếu hệ thống nghiệp vụ không áp dụng IT thì hoạt

động sẽ không có hiệu quả

Hiện nay có các công cụ để xây dựng EA gắn với các cấu phần

của nghiệp vụ và IT do vậy sẽ dễ dàng hơn trong việc quản lý

sự thay đổi (Rational của IBM, TOGAF v9 phát triển bới

Architecture Forum.. )

13

I. 5. Kiến trúc tổng thể ANTT

Thể hiện ANTT dưới dạng một kiến trúc tổng thể ATTT sẽ

có các lợi ích sau:

Kiến trúc tông thể ANTT sẽ cho phép sau này liên kết vào

kiến trúc EA, như một phần của EA.

Xây dựng kiến trúc tổng thể ANTT sẽ giúp chúng ta tuân

thủ chặt chẽ các bộ tiêu chuẩn ISO 27001/27002

Triển khai kiến trúc tổng thể ANTT sẽ thuận lợi hơn cho

việc gắn kết các bộ phận trong hệ thống trong việc phát

triển các nguyên tắc, chính sách, thủ tục ANTT và do vậy

sẽ tiết kiệm chi phí khi phát triển ứng dụng, nâng cấp hạ

tầng và quản lý ANTT của tổ chức

14

I. 5. Kiến trúc tổng thể ANTT

Con người

Chính sách

Quy trình nghiệp vụ

Các ứng dụng

Dữ liệu , thông tin

Hạ tầng kỹ thuật

15

I. 5. Kiến trúc ANTT lớ p mạng

Kiến trúc ANTT lớp mạng bao gồm

Gateway security

Firewalls

IPS/IDS

Network Access Control

Server Security

Authentication and Authorization

IP Security

Content Filters

Kiến trúc mạng ( VPN, 3 lớp..)

Client Security

Malware (computer viruses, worms, trojan horses, spyware,

dishonest adware… )

Endpoint solution

Mobile and Wireless Security

Physical Security (Data Center..)

Mô hình Intranet BTC

17

II. 1. Xây dựng hạ tầng chứng thực số BTC

-Bối cảnh

Một trong những nhiệm vụ trong tâm của

Chính phủ và khối các Bộ ngành trong năm

2010 và các năm tiếp theo là đẩy mạnh CCHC.

“Đề án 30 tiếp tục là một nhiệm vụ trọng

tâm trong chỉ đạo, điều hành của Chính

phủ từ nay đến hết 2010 nhằm tạo môi

trường công khai, minh bạch và thuận lợi

nhất cho người dân và doanh nghiệp”

Cổng TTĐT CP

18

II. 1. Chỉ thị 34/2008/CT-TTG về tăng

cường sử dụng thư điện tử

“Những văn bản được chuyển qua hệ thống

TĐT phù hợp với quy định của pháp luật về

GDĐTcó giá trị pháp lý tương đương với văn

bản giấy trong giao dịch giữa các cơ quan NN

và cơ quan gửi không phải gửi thêm văn bản

giấy”

“Khi phát hành văn bản giấy, trừ những văn

bản mật, ngoài việc gửi văn bản tới nơi nhận

theo cách thông thường, phải gửi văn bản điện

tử..”

19

II. 1.Bối cảnh

Vừa qua, Ngân hàng thế giới đã công bố bảng

xếp hạng chung về môi trường kinh doanh,

Việt nam bị tụt 2 bậc so với năm trước, từ

91/181 xuống 93/183.

Việc đánh giá dựa trên 10 tiêu chí trong đó có

thủ tục thành lập DN, thủ tục hoàn thành nghĩa

vụ nộp thuế..

Theo đó, trong 1 năm, DN Việt nam phải dành

tới 1050 giờ làm việc cho các thủ tục về thuế

và 32 lần đến nộp thuế các loại trong khi đó số

giờ trung bình trong khu vực chỉ là 227 giờ

20

Bài thuyết trình Một cách tiếp cận xây dựng kiến trúc tổng thể an toàn thông tin và hạ tầng chứng thực điện tử ngành tài chính - Trần Nguyên Vũ