Nhiều doanh nghiệp chỉ nghĩ đến bảo mật khi có dấu hiệu bất thường: một tệp bị gửi nhầm, một tài khoản cũ vẫn đăng nhập được, hoặc khách hàng hỏi vì sao thông tin của họ xuất hiện ở nơi không nên có. Nhưng phần lớn rủi ro không bắt đầu từ một cuộc tấn công phức tạp. Nó bắt đầu từ một câu hỏi chưa được trả lời rõ: ai cần được vào hệ thống nào để hoàn thành công việc, và khi nào quyền đó phải thay đổi?
Mật khẩu mạnh, xác thực hai lớp và phần mềm bảo vệ đều quan trọng. Tuy nhiên, chúng không thay thế việc quản lý quyền truy cập. Nếu một nhân viên vẫn xem được báo giá của toàn bộ khách hàng sau khi chuyển bộ phận, hoặc một tài khoản dùng chung cho cả nhóm kho, doanh nghiệp đã tạo ra rủi ro ngay trong cách tổ chức công việc. Kiểm soát quyền truy cập tốt không làm mọi người khó làm việc hơn; nó giúp thông tin đến đúng người, đúng lúc và có thể giải trình.
Bắt đầu từ công việc, không từ danh sách phần mềm
Cách làm đơn giản nhất là liệt kê các công việc quan trọng trước, rồi mới xét đến công cụ. Chẳng hạn, người phụ trách chăm sóc khách hàng cần xem lịch sử trao đổi và tình trạng đơn hàng; kế toán cần chứng từ, công nợ và hóa đơn; quản lý bán hàng có thể cần báo cáo tổng hợp nhưng không nhất thiết xem toàn bộ tài liệu nhân sự. Khi quyền được suy từ nhiệm vụ, doanh nghiệp tránh được hai cực đoan: cấp quá rộng vì “cho tiện”, hoặc khóa quá chặt khiến công việc phải xin mở từng ngày.
Hãy chọn năm đến mười hệ thống hoặc nơi lưu dữ liệu ảnh hưởng lớn nhất: email công việc, lưu trữ đám mây, phần mềm kế toán, quản lý khách hàng, bán hàng, chấm công và trang quản trị website. Với mỗi nơi, ghi bốn dòng ngắn: dữ liệu chính là gì, nhóm vai trò nào cần dùng, quyền tối thiểu của từng vai trò là gì, và ai chịu trách nhiệm phê duyệt. Một bảng một trang như vậy thường hữu ích hơn một chính sách dài mà không ai mở lại.
Phân quyền theo vai trò, không theo từng cá nhân
Quyền truy cập nên đi cùng vai trò công việc. Ví dụ, có thể tạo các nhóm “bán hàng”, “vận hành”, “kế toán”, “quản lý chi nhánh” và “quản trị hệ thống”, rồi gán quyền cần thiết cho từng nhóm. Khi có nhân sự mới, doanh nghiệp cấp đúng nhóm thay vì sao chép toàn bộ quyền của một người cũ. Khi nhân sự đổi vị trí, chỉ cần đổi nhóm và kiểm tra những quyền tạm thời còn lại.
Không phải ai có chức danh cao hơn cũng cần nhìn thấy mọi dữ liệu. Quyền rộng cần gắn với trách nhiệm cụ thể và được kiểm tra định kỳ. Một trưởng bộ phận có thể cần xem báo cáo tổng hợp của đội, nhưng không cần tải xuống toàn bộ hồ sơ lương. Một người làm dự án có thể cần vào thư mục dùng chung đến khi bàn giao, nhưng không nên mặc định giữ quyền đó mãi. Nguyên tắc “đủ để làm việc” vừa bảo vệ dữ liệu vừa làm rõ trách nhiệm.
Đừng bỏ qua tài khoản dùng chung và quyền tạm thời
Tài khoản dùng chung làm mất dấu vết: khi có thay đổi, không ai biết chính xác ai đã thực hiện. Nếu buộc phải dùng trong một thiết bị vận hành, hãy giới hạn phạm vi, thay đổi mật khẩu khi nhân sự thay đổi và ưu tiên chuyển dần sang tài khoản riêng có nhật ký hoạt động. Với các nhà cung cấp, cộng tác viên hoặc nhân sự thử việc, quyền truy cập nên có ngày hết hạn rõ ràng thay vì dựa vào trí nhớ của một quản lý.
Ví dụ, một đơn vị tổ chức sự kiện có thể cho cộng tác viên xem thư mục tài liệu phục vụ chương trình trong ba tuần. Ngày kết thúc được đặt ngay khi cấp quyền; sau chương trình, người phụ trách chỉ cần rà lại danh sách thay vì lần theo từng đường link đã gửi. Cách làm này không cần hệ thống phức tạp, nhưng giảm đáng kể nguy cơ tài liệu tiếp tục lưu hành ngoài phạm vi công việc.
Đưa việc rà quyền vào ba thời điểm cố định
Quyền truy cập cần được xem lại khi có người mới, khi ai đó đổi vai trò hoặc nghỉ việc, và theo một nhịp định kỳ—chẳng hạn mỗi quý. Ba thời điểm này quan trọng hơn việc cố gắng kiểm tra mọi ngày. Khi một nhân sự nghỉ việc, danh sách việc cần làm không chỉ là thu lại thiết bị: khóa tài khoản, chuyển quyền sở hữu tệp, thu hồi quyền đối với nhóm chat và kiểm tra các tài khoản liên quan đến nhà cung cấp hoặc thanh toán.
Trong buổi rà quý, quản lý mỗi bộ phận chỉ cần xác nhận hai điều: danh sách người còn đúng vai trò không, và có quyền nào rộng hơn nhu cầu công việc không. Nếu có quyền nhạy cảm như phê duyệt thanh toán, xuất dữ liệu khách hàng hay sửa cấu hình hệ thống, nên yêu cầu một người thứ hai xác nhận. Đây không phải là thủ tục làm chậm tổ chức; nó là cách phát hiện sai lệch khi còn rẻ để sửa.
Một tuần để bắt đầu
Doanh nghiệp không cần chờ một dự án công nghệ lớn. Trong tuần đầu, hãy chọn hai hệ thống quan trọng nhất và lập danh sách vai trò cùng quyền tương ứng. Trong tuần thứ hai, xử lý tài khoản dùng chung và các quyền của người đã đổi việc hoặc nghỉ việc. Sau đó, đặt một lịch rà ngắn theo quý và chỉ định người giữ bảng quyền. Khi quyền truy cập được tổ chức như một phần của vận hành, bảo mật trở thành một thói quen làm việc có thể kiểm tra, thay vì một lời nhắc chỉ xuất hiện sau sự cố.
