Ngày Pháp luật Việt Nam 9/11 là dịp nhắc lại một tinh thần quen thuộc: mọi hoạt động cần có quy tắc rõ ràng, ai được làm gì và chịu trách nhiệm ra sao. Tinh thần đó áp dụng được ngay vào một vấn đề rất thực tế của doanh nghiệp: ai được truy cập dữ liệu nào, trong bao lâu và dựa trên cơ sở nào.
Nhiều doanh nghiệp đầu tư vào tường lửa, phần mềm diệt virus, hệ thống sao lưu. Những khoản đầu tư này cần thiết. Nhưng gần như mọi biện pháp bảo mật khác đều dựa trên một giả định: đúng người đang truy cập đúng dữ liệu. Nếu giả định này không được bảo đảm, các lớp bảo vệ còn lại mất phần lớn tác dụng. Vì vậy, an toàn thông tin bắt đầu từ cách doanh nghiệp quản lý quyền truy cập.
Bối cảnh pháp lý: vì sao chủ đề này đáng quan tâm lúc này
Khung pháp lý về dữ liệu và an ninh mạng tại Việt Nam đã có những thay đổi đáng chú ý trong năm 2026. Luật Bảo vệ dữ liệu cá nhân (Luật số 91/2025/QH15) có hiệu lực từ 01/01/2026, cùng với Nghị định 356/2025/NĐ-CP hướng dẫn thi hành. Luật An ninh mạng 2025 có hiệu lực từ 01/7/2026.
Các quy định này đặt trách nhiệm lên tổ chức xử lý dữ liệu trong việc áp dụng biện pháp bảo vệ phù hợp. Kiểm soát truy cập là một trong những biện pháp quản lý và kỹ thuật nền tảng để thực hiện việc đó. Tuy nhiên, nghĩa vụ cụ thể của từng doanh nghiệp phụ thuộc vào loại dữ liệu và hoạt động xử lý, và cần được xác định cùng chuyên gia pháp lý. Bài viết này chia sẻ kiến thức về quản trị, không phải tư vấn pháp lý.
Bốn nguyên tắc quản lý quyền truy cập
1. Cấp quyền theo nhiệm vụ
Nguyên tắc cốt lõi là đặc quyền tối thiểu (least privilege): mỗi người chỉ được cấp đúng quyền cần thiết để hoàn thành công việc của mình, không hơn. Cách triển khai phổ biến là kiểm soát truy cập theo vai trò (RBAC): quyền được gắn với vai trò, không gắn riêng cho từng cá nhân.
Bảng dưới đây là ví dụ minh họa, cần điều chỉnh theo từng doanh nghiệp:
| Vai trò | Cần truy cập | Không nên mặc định có |
|---|---|---|
| Kế toán | Sổ sách, hóa đơn, báo cáo tài chính | Hồ sơ nhân sự chi tiết, cấu hình hệ thống |
| Nhân sự | Hồ sơ nhân viên, hợp đồng, bảng lương | Sổ sách kế toán chi tiết |
| Kinh doanh | Dữ liệu khách hàng, báo giá, hợp đồng thuộc phạm vi phụ trách | Bảng lương, dữ liệu của nhóm khác không liên quan |
| IT | Hạ tầng và cấu hình hệ thống | Đọc nội dung nghiệp vụ nhạy cảm (nhân sự, tài chính) |
| Đối tác, khách tạm thời | Thư mục dự án cụ thể, có thời hạn | Mạng nội bộ, dữ liệu ngoài dự án |
Dòng IT thường gây bất ngờ: người quản trị hệ thống có quyền kỹ thuật cao không đồng nghĩa với việc nên đọc được mọi nội dung. Tách quyền quản trị hệ thống khỏi quyền xem nội dung nghiệp vụ là một cách giảm rủi ro nội bộ.
2. Quản lý vòng đời tài khoản
Tài khoản là “chìa khóa” của hệ thống. Một số thực hành nền tảng:
- Mỗi người một tài khoản định danh. Tránh tài khoản dùng chung, vì không thể biết ai đã làm gì khi có sự cố.
- Xác thực nhiều lớp (MFA) cho các tài khoản quan trọng, đặc biệt là tài khoản quản trị và truy cập từ xa.
- Tách tài khoản quản trị khỏi tài khoản làm việc hằng ngày, để việc lướt web hay đọc email không diễn ra bằng tài khoản có quyền cao nhất.
- Rà soát định kỳ các tài khoản không còn hoạt động hoặc không còn lý do tồn tại.
- Quản trị tập trung khi có thể: thư mục người dùng tập trung (như Active Directory hoặc LDAP) kết hợp đăng nhập một lần (SSO) giúp quản lý và thu hồi quyền từ một điểm duy nhất.
3. Kiểm soát chia sẻ dữ liệu
Dữ liệu thường bị lộ không phải vì bị tấn công, mà vì được chia sẻ quá rộng. Các nguyên tắc thực tế:
- Phân loại dữ liệu thành các mức (ví dụ: công khai, nội bộ, mật, nhạy cảm), trong đó dữ liệu cá nhân cần được xếp vào nhóm bảo vệ phù hợp.
- Chia sẻ theo nguyên tắc cần-biết (need-to-know): chỉ người có nhu cầu công việc mới được xem.
- Kiểm soát đường liên kết chia sẻ: đặt thời hạn hết hạn, giới hạn người nhận, tránh liên kết công khai cho dữ liệu nội bộ.
- Hạn chế chia sẻ qua kênh không thuộc quản lý của doanh nghiệp, như email hoặc ứng dụng nhắn tin cá nhân, ổ USB không kiểm soát.
- Chia sẻ với đối tác theo thời hạn, và thu hồi khi kết thúc dự án.
- Ghi nhật ký truy cập, để khi có sự cố có thể truy vết ai đã truy cập gì.
4. Thu hồi quyền khi nhân sự thay đổi
Đây là khâu hay bị bỏ sót nhất. Quy trình quản lý nên bao quát ba sự kiện nhân sự:
| Sự kiện | Việc cần làm |
|---|---|
| Vào làm | Cấp quyền theo vai trò chuẩn, không cấp “giống người trước” một cách máy móc |
| Chuyển vị trí | Thu hồi quyền của vị trí cũ trước khi hoặc khi cấp quyền vị trí mới, tránh tích lũy quyền theo thời gian (privilege creep) |
| Nghỉ việc | Thu hồi ngay: tài khoản, VPN, email, quyền trên các nền tảng dịch vụ, token MFA, thẻ ra vào, thiết bị; đổi mật khẩu của mọi tài khoản dùng chung nếu có |
Một tài khoản của người đã nghỉ mà chưa bị thu hồi là cánh cửa mở mà không ai còn nhớ đến. Quy trình này cần sự phối hợp giữa nhân sự (kích hoạt sự kiện), quản lý trực tiếp (xác nhận quyền) và IT (thực thi), thay vì phụ thuộc vào việc ai đó nhớ.
Sáu sai lầm thường gặp
- Dùng chung tài khoản để “cho tiện”, mất khả năng truy vết.
- Cấp quyền quản trị rộng để khỏi phải xử lý yêu cầu lặt vặt.
- Không rà soát quyền định kỳ, khiến quyền tích lũy theo thời gian.
- Thu hồi quyền chậm khi nhân sự nghỉ hoặc chuyển bộ phận.
- Chia sẻ liên kết công khai cho dữ liệu nội bộ.
- Có nhật ký nhưng không ai xem, hoặc không có nhật ký để xem.
Công nghệ hỗ trợ kiểm soát truy cập
Chính sách và quy trình đi trước, công nghệ giúp thực thi chúng nhất quán. Ở góc độ hạ tầng, các lớp thường liên quan gồm:
- Hạ tầng mạng: phân đoạn mạng (VLAN), xác thực thiết bị và người dùng khi kết nối (802.1X), chính sách tường lửa theo nhóm người dùng.
- Lưu trữ và máy chủ: phân quyền thư mục theo nhóm, ghi nhật ký truy cập tệp. Khi dữ liệu nhân sự, chấm công, tính lương được tập trung trên một máy chủ, như mô hình VisionTech từng triển khai cho FM Logistic Vietnam, chính sự tập trung đó khiến phân quyền rõ ràng trở thành yêu cầu thiết kế.
- Camera giám sát: phân quyền xem trực tiếp, xem lại và xuất video; ghi nhật ký thao tác.
- Kiểm soát ra vào vật lý: quyền ra vào theo khu vực và theo vai trò, thu hồi thẻ khi nhân sự thay đổi.
- Quản lý tập trung và nhật ký: thư mục người dùng thống nhất, nhật ký hệ thống được lưu trữ và rà soát.
Một lưu ý đồng bộ với chuỗi bài về quản lý hệ thống của VisionTech: tài khoản quản trị cao nhất và tài liệu cấu hình nên thuộc về doanh nghiệp, kể cả khi hệ thống do đơn vị tích hợp triển khai và vận hành.
Quản lý hệ thống CNTT có trách nhiệm: ai làm gì?
Kiểm soát truy cập không phải việc riêng của phòng IT. Một cách phân vai gọn:
| Bên | Trách nhiệm |
|---|---|
| Lãnh đạo | Phê duyệt chính sách, bảo đảm nguồn lực |
| Chủ sở hữu dữ liệu (trưởng bộ phận) | Quyết định ai cần quyền gì cho dữ liệu của bộ phận mình |
| Nhân sự | Kích hoạt quy trình khi có người vào, chuyển, nghỉ |
| IT | Thực thi cấp, thay đổi, thu hồi quyền; giám sát và lưu nhật ký |
| Đơn vị tích hợp (nếu có) | Hỗ trợ thiết kế, triển khai, rà soát định kỳ |
Rà soát quyền cần được thực hiện định kỳ (ví dụ hằng quý hoặc nửa năm, tùy mức độ nhạy cảm của dữ liệu), với chủ sở hữu dữ liệu xác nhận danh sách người đang có quyền.
Bốn bước để bắt đầu
- Kiểm kê: liệt kê tài khoản, hệ thống và nhóm dữ liệu quan trọng.
- Xác định vai trò và ma trận quyền: ai cần truy cập gì, dựa trên nhiệm vụ.
- Xử lý trước các điểm rủi ro cao: tài khoản quản trị, tài khoản dùng chung, tài khoản của người đã nghỉ.
- Thiết lập quy trình và rà soát định kỳ: để việc quản lý quyền không phụ thuộc vào trí nhớ của một vài người.
Tự đánh giá: mười câu hỏi
- Mỗi nhân sự có một tài khoản riêng, hay vẫn có tài khoản dùng chung?
- Quyền truy cập có gắn với vai trò, hay được cấp theo từng yêu cầu lẻ?
- Tài khoản quản trị có bật MFA không?
- Doanh nghiệp có danh sách đầy đủ các hệ thống và dữ liệu quan trọng không?
- Dữ liệu có được phân loại theo mức độ nhạy cảm không?
- Liên kết chia sẻ dữ liệu có thời hạn và giới hạn người nhận không?
- Khi nhân sự chuyển bộ phận, quyền cũ có được thu hồi không?
- Khi nhân sự nghỉ việc, mất bao lâu để thu hồi toàn bộ quyền?
- Quyền truy cập có được rà soát định kỳ và ai xác nhận?
- Nhật ký truy cập có được lưu trữ, và có ai xem xét không?
Một câu trả lời “không biết” cũng là tín hiệu cần xem lại.
An toàn thông tin không bắt đầu từ thiết bị đắt tiền. Nó bắt đầu từ những câu hỏi đơn giản nhưng nghiêm túc: ai được truy cập gì, vì sao, đến khi nào.
Doanh nghiệp bạn cần trao đổi về kiểm soát truy cập và quản lý hệ thống CNTT có trách nhiệm?
Liên hệ VisionTech → Hotline tư vấn: 1900 23 23 63
