Tóm tắt Chương 11: Applications of IT — SBL

Bốn lý do áp dụng công nghệ mới: early adopters get ahead of competitors; improve performance; quantity of data available; good for stakeholders.
Đi trước có rủi ro: chi phí phát triển, công nghệ chưa chín, rủi ro danh tiếng. Công nghệ không tạo khác biệt trong mắt khách thì chờ thêm thường hợp lý hơn.
Smart technology có ba nhóm: smart devices, smart connected devices, IoT devices. Lợi ích: tiện, tiết kiệm năng lượng, hiệu quả vận hành, phản hồi tức thì. Rủi ro: lộ dữ liệu qua cảm biến, dữ liệu cá nhân trên mạng, lỏng kiểm tra an toàn, luật đi sau công nghệ.
Mobile technology: truy cập dữ liệu ngoài văn phòng, giao dịch dễ hơn; rủi ro là chi phí thiết bị, lỗi thời nhanh, thêm cửa cho người không được phép. Kiểm soát: firewall, mật khẩu, đào tạo.

Định nghĩa NIST (2011): truy cập qua mạng, theo nhu cầu, vào kho tài nguyên máy tính dùng chung, cấp và thu hồi nhanh với ít công quản lý.
Lợi ích: chi phí và vốn, scalability, triển khai nhanh, truy cập mọi nơi, business continuity (sao lưu liên tục), phần cứng thế hệ mới với economies of scale, doanh nghiệp nhỏ cũng dùng được.
Rủi ro: mất quyền kiểm soát dữ liệu, dữ liệu bị lấy cắp, mất, hỏng, nhân viên nhà cung cấp can thiệp, nhà cung cấp là mục tiêu tấn công lớn, trách nhiệm vẫn ở doanh nghiệp, SLA phức tạp và lệ thuộc hợp đồng, mất chuyên môn IT nội bộ, ngừng thanh toán thì mất dữ liệu.
Cloud hay on-premises phụ thuộc chuyên môn IT nội bộ, yêu cầu tuân thủ, thái độ với rủi ro, quy mô và nhu cầu hiện diện toàn cầu. Năm tiêu chí so sánh: deployment, cost, control, security, compliance.

RPA: robot phần mềm làm việc lặp lại theo quy tắc. Lợi ích: faster handling time, reduced errors, reduced costs, staff focus on value-adding work.
AI: máy thực hiện chức năng nhận thức (cảm nhận, suy luận, học, giải quyết vấn đề). Machine learning: học từ dữ liệu lớn, tự tìm quy luật; dựa trên predictive và prescriptive analytics.
Lợi ích AI: xử lý nhanh dữ liệu lớn, nhận ra quy luật phức tạp, nhất quán, tự tìm xu hướng không cần người nhắc. Giới hạn: phụ thuộc chất lượng dữ liệu, dữ liệu huấn luyện thiên lệch, cứng nhắc ngoài việc được huấn luyện.
Đạo đức: unemployment, wealth inequality, security, mistakes, AI bias, unintended consequences. Rủi ro với doanh nghiệp: chi phí, lệ thuộc IT, bảo vệ dữ liệu, thiếu tế nhị, chấp nhận của nhà quản lý ngành, quyền sở hữu nội dung generative AI.
Kiểm soát: human oversight, kiểm tra thiên lệch dữ liệu, pilot, đồng ý của khách và mã hóa, giám đốc chịu trách nhiệm, kế hoạch cho người lao động bị ảnh hưởng.

IoT: cảm biến gắn vào vật thể tạo và chia sẻ dữ liệu qua mạng. Data analytics: rút hiểu biết từ dữ liệu trước đây quá khó hoặc quá tốn để phân tích.
Big data: tăng trưởng cấp số mũ của dữ liệu có cấu trúc và phi cấu trúc. Bốn V: volume, velocity, variety, veracity; có tài liệu thêm value.
Cơ hội: xu hướng mới, phản ứng thời gian thực, hiểu khách và đối thủ qua dữ liệu phi cấu trúc, dữ liệu hiệu suất chính xác. Thách thức: tin tặc, virus, kiện tụng; sa đà phân tích; correlation không phải causation; chi phí hạ tầng và thiếu người; dữ liệu thiên lệch.
Quyết định sản phẩm mới, marketing, giá cần dữ liệu; nguồn là desk research (secondary) và field research (primary), ngày càng nhiều từ mạng xã hội và IoT.
Định giá chiến lược xét mission and objectives, cost, competition, customers, controls.

Information system gồm hệ thống, quy trình, thủ tục thu thập, lưu, xử lý, phân phối thông tin; IS strategy phải khớp chiến lược tổ chức.
Bốn nhóm kiểm soát: physical access, logical access, operational (segregation of duties, audit trail), data input (verification; validation gồm check digit, control total, range, limit, compatibility, format check). Ba nhóm đầu là general controls, nhóm cuối là application controls.
Hệ thống kế toán: kiểm soát chart of accounts (chỉ người có thẩm quyền sửa mã, soát xét hằng năm); kiểm tra quy tắc ghi sổ bằng test data.
Cyber security bảo vệ hệ thống, mạng, dữ liệu trong cyberspace. Hậu quả tấn công: mất danh tiếng, bị phạt, tổn thất tài chính (ransomware), gián đoạn, mất tài sản trí tuệ, bị kiện.
Xây dựng cyber security: thành viên hội đồng chịu trách nhiệm, NED tham gia tích cực, CISO, phân vai rõ, xác định mức chịu đựng rủi ro, nói dễ hiểu, đào tạo định kỳ, rút kinh nghiệm; kiểm soát kỹ thuật và bảo hiểm.
Năm biện pháp cải thiện kiểm soát IT: continuity planning, systems development and maintenance, personnel security, asset classification and control, compliance measures. Disaster recovery là phần khôi phục IT của continuity planning; sao lưu thường xuyên, ngoài trụ sở hoặc trên cloud.