Bảo mật dữ liệu doanh nghiệp: 10 việc nên làm ngay

Doanh nghiệp nhỏ cũng là mục tiêu của tội phạm mạng

Nhiều chủ doanh nghiệp nghĩ rằng công ty mình quá nhỏ để bị chú ý. Thực tế, kẻ tấn công thường dùng công cụ tự động quét hàng loạt mục tiêu và nhắm vào nơi phòng thủ yếu nhất. Thiếu nhân sự bảo mật, mật khẩu đơn giản và sao lưu thiếu kiểm tra khiến doanh nghiệp nhỏ dễ trở thành con mồi.

Các hình thức tấn công phổ biến gồm mã độc tống tiền (ransomware) mã hoá toàn bộ dữ liệu rồi đòi tiền chuộc, email lừa đảo đánh cắp mật khẩu, và giả mạo email đối tác để yêu cầu chuyển tiền sang tài khoản khác. Ngoài thiệt hại trực tiếp, sự cố lộ lọt dữ liệu cá nhân còn kéo theo trách nhiệm pháp lý: Nghị định 13/2023/NĐ-CP và tiếp đó là Luật Bảo vệ dữ liệu cá nhân (có hiệu lực từ ngày 01/01/2026) yêu cầu tổ chức xử lý dữ liệu cá nhân áp dụng biện pháp bảo vệ phù hợp và thông báo cho cơ quan chức năng khi xảy ra vi phạm.

Việc 1–3: Bảo vệ tài khoản và quyền truy cập

Phần lớn sự cố bắt đầu từ một tài khoản bị chiếm quyền. Vì vậy, siết chặt “cửa ra vào” là ưu tiên hàng đầu và cũng là nhóm việc có chi phí thấp nhất.

Hãy lập thêm danh sách các hệ thống quan trọng kèm người giữ quyền quản trị, để tránh tình trạng không ai biết tài khoản tên miền, hosting hay fanpage đang nằm trong tay ai.

• 1. Bật xác thực hai lớp (2FA) cho email doanh nghiệp, phần mềm kế toán, ngân hàng điện tử, tài khoản quản trị website và mạng xã hội. Khi có thể, ưu tiên ứng dụng xác thực như Google Authenticator, Microsoft Authenticator hoặc khoá bảo mật vật lý thay cho mã SMS.
• 2. Dùng mật khẩu mạnh và trình quản lý mật khẩu. Mỗi hệ thống một mật khẩu riêng, đủ dài; dùng công cụ như Bitwarden hoặc 1Password để lưu trữ và chia sẻ an toàn thay vì ghi vào file Excel hay nhóm chat.
• 3. Phân quyền tối thiểu. Nhân viên chỉ được truy cập dữ liệu cần cho công việc; tài khoản quản trị dùng riêng, không dùng cho việc hằng ngày. Khi nhân sự nghỉ việc, thu hồi toàn bộ quyền truy cập ngay trong ngày.

Việc 4–5: Sao lưu định kỳ và cập nhật phần mềm

4. Sao lưu định kỳ và thử khôi phục. Sao lưu là phương án cứu cánh cuối cùng khi gặp mã độc tống tiền hoặc sự cố phần cứng. Nguyên tắc 3-2-1 được áp dụng rộng rãi: giữ ít nhất ba bản dữ liệu, trên hai loại phương tiện lưu trữ khác nhau, trong đó một bản đặt ở nơi tách biệt như cloud. Bản sao lưu nên tách khỏi mạng nội bộ hoặc bật chế độ chống sửa xoá để mã độc không mã hoá được. Hãy định kỳ thử khôi phục, vì bản sao lưu chưa từng được kiểm tra thì chưa thể coi là an toàn.

5. Cập nhật phần mềm và vá lỗ hổng. Hệ điều hành, trình duyệt, plugin website và thiết bị mạng như router, camera đều cần được cập nhật thường xuyên. Nhiều cuộc tấn công khai thác những lỗ hổng đã có bản vá từ lâu nhưng chưa được cài đặt. Hãy bật cập nhật tự động và thay thế phần mềm, thiết bị đã hết hỗ trợ.

Việc 6–7: Đào tạo nhân viên và kiểm soát quy trình

Công nghệ tốt đến đâu cũng có thể bị vô hiệu hoá bởi một cú nhấp chuột sai. Con người vừa là điểm yếu, vừa có thể trở thành lớp phòng thủ hiệu quả nếu được trang bị kiến thức và quy trình rõ ràng.

Ví dụ, kế toán của một công ty xuất nhập khẩu nhận email “từ đối tác” báo đổi tài khoản ngân hàng, kèm hoá đơn trông y hệt thật. Chỉ một cuộc gọi xác minh theo số điện thoại cũ là đủ phát hiện giả mạo. Hãy khuyến khích nhân viên báo cáo ngay khi nghi ngờ hoặc lỡ bấm nhầm, thay vì giấu đi vì sợ bị phạt.

• 6. Đào tạo nhân viên định kỳ cách nhận diện email, tin nhắn lừa đảo: địa chỉ người gửi bất thường, đường dẫn lạ, lời lẽ thúc giục gấp, yêu cầu cung cấp mật khẩu hay mã OTP. Có thể tổ chức các bài kiểm tra mô phỏng để nâng cao cảnh giác.
• 7. Xây dựng quy trình xác minh cho thao tác nhạy cảm. Mọi yêu cầu đổi số tài khoản nhận tiền, chuyển khoản gấp hay xuất dữ liệu khách hàng phải được xác nhận qua một kênh khác, chẳng hạn gọi lại cho người yêu cầu theo số điện thoại đã lưu từ trước.

Việc 8–9: Bảo vệ thiết bị và dữ liệu nhạy cảm

8. Bảo vệ thiết bị và mạng nội bộ. Cài phần mềm chống mã độc trên mọi máy tính, bật mã hoá ổ đĩa (BitLocker trên Windows, FileVault trên macOS) cho laptop thường mang ra ngoài và đặt khoá màn hình tự động. Tách mạng Wi-Fi cho khách khỏi mạng nội bộ, đổi mật khẩu mặc định của router và camera. Nếu nhân viên làm việc từ xa, hãy dùng VPN hoặc giải pháp truy cập an toàn thay vì mở cổng trực tiếp ra Internet.

9. Phân loại và bảo vệ dữ liệu nhạy cảm. Không phải dữ liệu nào cũng cần bảo vệ như nhau. Hãy xác định đâu là dữ liệu quan trọng nhất và áp dụng biện pháp tương xứng.

• Lập danh sách nơi đang lưu dữ liệu khách hàng, nhân sự, tài chính và hợp đồng.
• Mã hoá dữ liệu nhạy cảm khi lưu trữ và khi truyền đi; website luôn dùng HTTPS.
• Hạn chế chia sẻ file qua đường dẫn công khai, đặt thời hạn cho liên kết chia sẻ.
• Chỉ thu thập dữ liệu cá nhân thực sự cần, có sự đồng ý của chủ thể dữ liệu và xoá khi hết mục đích sử dụng.

Việc 10: Lập kế hoạch ứng phó sự cố

10. Chuẩn bị sẵn kế hoạch ứng phó sự cố. Khi sự cố xảy ra, những giờ đầu tiên rất quan trọng. Một kế hoạch ngắn gọn trên một đến hai trang giấy cũng tốt hơn nhiều so với việc lúng túng tìm người xử lý.

Bạn không cần làm cả mười việc trong một tuần. Hãy bắt đầu với xác thực hai lớp, sao lưu và cập nhật phần mềm, rồi lần lượt hoàn thiện các việc còn lại; mỗi năm nên rà soát toàn bộ ít nhất một lần. Nếu chưa có nhân sự chuyên trách, GREEN TECH có thể hỗ trợ đánh giá hiện trạng và thiết lập các biện pháp bảo mật phù hợp với quy mô doanh nghiệp.

• Ai là đầu mối và cần liên hệ những ai: ban lãnh đạo, đơn vị IT, nhà cung cấp dịch vụ.
• Các bước cô lập ban đầu: ngắt máy bị nhiễm khỏi mạng, đổi mật khẩu các tài khoản liên quan.
• Cách khôi phục từ bản sao lưu và thứ tự ưu tiên khôi phục từng hệ thống.
• Nghĩa vụ thông báo cho cơ quan chức năng và khách hàng bị ảnh hưởng khi lộ lọt dữ liệu cá nhân.