Sáu mục tổng hợp về an toàn thông tin và rà soát rủi ro cuối năm: thuật ngữ, quy trình, vấn đề thường gặp, chỉ số, vai trò theo mô hình doanh nghiệp và checklist. Bấm vào từng ô để lật và xem chi tiết.
Chào bạn,
Thông tin của doanh nghiệp, từ dữ liệu khách hàng, hồ sơ nhân sự đến số liệu sản xuất, thường chỉ được nhắc đến khi sự cố đã xảy ra. Một lần rà soát rủi ro bài bản vào cuối năm giúp bạn thấy trước chỗ yếu thay vì đối phó khi đã muộn.
Trang này gom lại sáu mục nền tảng về an toàn thông tin và rà soát rủi ro: thuật ngữ, quy trình, vấn đề thường gặp, chỉ số KPI liên quan, vai trò theo từng mô hình doanh nghiệp và checklist. Bạn không cần đọc một lượt từ đầu đến cuối — hãy bấm vào ô đang cần, lật ra và dùng ngay.
Mong rằng sau khi đọc, bạn sẽ rà soát được rủi ro có thứ tự, kiểm soát quyền truy cập chặt hơn và có sẵn phương án khi sự cố xảy ra. Chúc bạn một năm vận hành an toàn.
— Thư viện Quản trị Nhân sự
Là bộ khái niệm nền về an toàn thông tin: nền tảng an toàn thông tin, rủi ro và kiểm soát, tiêu chuẩn và pháp lý. Hiểu rõ giúp bạn dùng đúng thuật ngữ khi rà soát, đánh giá mức rủi ro và biết cần đối chiếu quy định nào. Phù hợp với người mới làm an toàn thông tin, cũng như quản lý và lãnh đạo cần hiểu cùng một nghĩa.
Ba mục tiêu bảo vệ dữ liệu
- CIA — bí mật (confidentiality), toàn vẹn (integrity), sẵn sàng (availability): ba mục tiêu cơ bản
- Tài sản thông tin — dữ liệu, hệ thống, thiết bị và người có liên quan đến thông tin của doanh nghiệp
- Mối đe dọa (threat) — nguyên nhân có thể gây hại, như mã độc, lừa đảo, nhân viên làm lộ dữ liệu
- Lỗ hổng (vulnerability) — điểm yếu mà mối đe dọa có thể khai thác
Cách nhìn nhận rủi ro
- Rủi ro — khả năng xảy ra sự cố nhân với mức thiệt hại
- Đăng ký rủi ro (risk register) — bảng ghi các rủi ro, mức độ, người phụ trách, biện pháp
- Biện pháp kiểm soát — quy định, kỹ thuật hoặc quy trình để giảm rủi ro
- Rủi ro còn lại (residual risk) — phần rủi ro vẫn còn sau khi đã áp dụng biện pháp
Khung tham chiếu
- ISO/IEC 27001 — tiêu chuẩn quốc tế về hệ thống quản lý an toàn thông tin
- Bảo vệ dữ liệu cá nhân — Luật Bảo vệ dữ liệu cá nhân 91/2025 có hiệu lực từ 01/01/2026
- Phân quyền tối thiểu (least privilege) — chỉ cấp quyền vừa đủ cho công việc
- Sao lưu 3-2-1 — 3 bản sao, 2 loại phương tiện, 1 bản lưu ở nơi khác
Là chuỗi ba nghiệp vụ nối tiếp: rà soát rủi ro an toàn thông tin, quản lý quyền truy cập và ứng phó sự cố; mỗi nghiệp vụ nêu mục đích và các bước theo thứ tự. Nắm được thứ tự này, bạn biết cần làm gì trước, trong và sau khi sự cố xảy ra. Dành cho nhân viên IT, quản trị hệ thống và người phụ trách bảo mật.
Tài liệu tham khảo: thư mục "Quản trị rủi ro"Làm hằng năm hoặc khi có thay đổi lớn
Để làm gì: Biết những tài sản nào đang rủi ro và ưu tiên xử lý cái nào trước.
- Lập danh sách tài sản thông tin: dữ liệu, hệ thống, thiết bị
- Xác định mối đe dọa và lỗ hổng: cho từng nhóm tài sản
- Đánh giá mức rủi ro: khả năng nhân thiệt hại
- Chọn biện pháp xử lý: giảm, chuyển giao, chấp nhận, tránh
- Giao người phụ trách và hạn: ghi vào đăng ký rủi ro
Rà soát cuối năm
Để làm gì: Không để tài khoản của người đã nghỉ hoặc quyền thừa còn tồn tại.
- Xuất danh sách tài khoản và quyền: từng hệ thống
- Đối chiếu với danh sách nhân sự hiện tại: tìm tài khoản của người đã nghỉ
- Thu hồi quyền thừa: theo nguyên tắc tối thiểu
- Rà soát tài khoản quản trị: kiểm tra số lượng và mật khẩu mạnh
- Lưu biên bản: ngày rà soát, người thực hiện
Chuẩn bị trước khi xảy ra
Để làm gì: Khi có sự cố, mọi người biết ai làm gì, và dữ liệu được khôi phục nhanh.
- Phát hiện và báo ngay: kênh báo rõ ràng
- Cô lập: ngắt máy hoặc tài khoản bị ảnh hưởng
- Xử lý và khôi phục: từ bản sao lưu đã kiểm tra
- Thông báo bên liên quan: lãnh đạo, khách hàng, cơ quan nếu pháp luật yêu cầu
- Rút kinh nghiệm: cập nhật biện pháp
Tổng hợp các vướng mắc hay gặp khi bảo vệ thông tin, chia theo cấp thực hiện, cấp quản lý và cấp lãnh đạo. Biết trước giúp bạn nhận ra rủi ro từ sớm và sửa đúng chỗ, thay vì chỉ biết khi sự cố đã xảy ra. Dành cho Dành cho nhân viên IT và quản trị hệ thống cần rà soát cách làm hiện tại, cùng quản lý và lãnh đạo muốn biết cấp mình hay vướng ở đâu.
Nhân viên HR, hành chính, kế toán lương
- Dùng chung tài khoản hoặc mật khẩu yếu
- Không cập nhật bản vá hệ điều hành và phần mềm
- Sao lưu có nhưng chưa bao giờ thử khôi phục
Trưởng phòng, trưởng bộ phận, quản đốc
- Cấp quyền rộng cho tiện, quên thu hồi khi nhân viên chuyển bộ phận
- Phòng ban dùng dịch vụ đám mây cá nhân để chia sẻ file công việc
- Chủ quan với email lừa đảo vì tin vào người gửi quen
Giám đốc, chủ doanh nghiệp
- Coi an toàn thông tin là chi phí, không đầu tư đúng mức
- Không có người chịu trách nhiệm rõ
- Không diễn tập khi có sự cố
KPI (Key Performance Indicator – chỉ số đo lường hiệu suất chính) là con số cụ thể cho biết một công việc hoặc mục tiêu đang đạt đến đâu so với kế hoạch. Với an toàn thông tin và rà soát rủi ro, các KPI liên quan được chia theo bốn nhóm: tài chính, khách hàng nội bộ, quy trình và con người.
Biết các KPI này giúp bạn đánh giá việc thực hiện công việc bằng số liệu thay vì cảm nhận, và định hướng công việc theo hướng giúp doanh nghiệp kinh doanh hiệu quả: người làm biết cần ưu tiên khắc phục rủi ro nào trước, lãnh đạo thấy đầu tư cho an toàn thông tin đang giảm rủi ro ra sao. Dành cho trưởng bộ phận IT, người phụ trách bảo mật và giám đốc cần theo dõi hiệu quả.
Chi phí và hiệu quả đồng vốn
- Chi phí xử lý sự cố an toàn thông tin trong năm
- Chi phí an toàn thông tin trên tổng chi phí IT
Cảm nhận của người lao động và bộ phận sử dụng
Tốc độ và độ chính xác nghiệp vụ
- Tỷ lệ máy đã vá lỗi đúng hạn
- Số sự cố an toàn thông tin trong kỳ
- Tỷ lệ sao lưu thành công và khôi phục thử thành công
- Thời gian trung bình phát hiện và xử lý sự cố
Năng lực, gắn kết và giữ chân
- Tỷ lệ nhân viên hoàn thành đào tạo nhận thức an toàn thông tin
- Tỷ lệ nhân viên bấm vào email thử nghiệm lừa đảo
Cho thấy ai tham gia và phụ trách việc gì để rà soát và xử lý rủi ro thông tin trong từng mô hình: sản xuất, chuỗi, hospitality, logistics, xây dựng, doanh nghiệp nhỏ và vừa. Hiểu rõ vai trò giúp phân việc đúng người, tránh đẩy qua đẩy lại giữa các bộ phận. Dành cho chủ doanh nghiệp, giám đốc và trưởng bộ phận muốn dựng quy trình an toàn thông tin hợp với mô hình của mình. Tên vị trí có thể khác nhau giữa các công ty.
Nhiều ca, nhiều chuyền, lực lượng công nhân lớn
Đặc điểm của doanh nghiệp sản xuất: Có hệ thống văn phòng và hệ thống điều khiển, thiết bị nhà xưởng; chấm công và kiểm soát ra vào lưu dữ liệu nhân viên.
- Trưởng bộ phận IT: chính sách, rà soát
- Phòng nhân sự: dữ liệu nhân sự, thu hồi quyền khi nghỉ việc
- Bảo vệ, an ninh: phối hợp an ninh vật lý
- Giám đốc nhà máy: duyệt chính sách
Nhiều điểm bán, quy chuẩn chung từ trụ sở
Đặc điểm của doanh nghiệp chuỗi: Nhiều điểm bán, mỗi nơi một mạng và thiết bị; rủi ro cao ở máy POS và Wi-Fi.
- IT trụ sở: chuẩn hóa cấu hình, giám sát
- Quản lý cửa hàng: tuân thủ quy định tại điểm bán
- Giám đốc vận hành: duyệt
Cao điểm đúng vào dịp lễ Tết, làm theo ca
Đặc điểm của ngành hospitality (khách sạn, nhà hàng): Lưu dữ liệu khách hàng (thông tin cá nhân, thanh toán), Wi-Fi công cộng.
- Quản lý IT: bảo vệ dữ liệu khách
- Lễ tân, thu ngân: tuân thủ quy trình xử lý dữ liệu
- Tổng giám đốc: duyệt
Kho, đội xe, mùa cao điểm trước Tết
Đặc điểm của ngành logistics: Dữ liệu đơn hàng, thông tin khách hàng và thiết bị cầm tay di động.
- IT hoặc vận hành hệ thống: quản lý thiết bị, quyền
- Quản lý kho: tuân thủ
- Giám đốc điều hành: duyệt
Lao động theo công trình, biến động theo mùa
Đặc điểm của ngành xây dựng: Văn phòng và công trường tách biệt; dữ liệu bản vẽ, hợp đồng, báo giá.
- Phụ trách IT hoặc hành chính: quản lý tài khoản, sao lưu
- Chỉ huy trưởng: tuân thủ ở công trường
- Giám đốc dự án: duyệt
Một người kiêm nhiều việc, chủ doanh nghiệp quyết trực tiếp
Đặc điểm của doanh nghiệp nhỏ và siêu nhỏ (dưới 50 người): Thường không có chuyên trách; biện pháp cơ bản: mật khẩu mạnh, xác thực hai lớp, sao lưu.
- Chủ doanh nghiệp: quyết định và làm gương
- Người kiêm IT hoặc nhà cung cấp dịch vụ: thiết lập và nhắc việc
Có bộ phận nhân sự, cần quy trình thống nhất
Đặc điểm của doanh nghiệp vừa (50 đến 500 người): Cần chính sách chung, phân quyền và quy trình ứng phó sự cố.
- Trưởng bộ phận IT: chính sách, rà soát
- Trưởng phòng nhân sự: đào tạo, thu hồi quyền
- Giám đốc: duyệt
Là các danh sách việc cần làm cho ba tình huống: rà soát cuối năm, khi nhân viên nghỉ việc và chuẩn bị ứng phó sự cố; bạn có thể tick chọn và tải về. Dùng checklist giúp không sót tài khoản, quyền truy cập và dễ kiểm tra tiến độ. Dành cho nhân viên IT, HR và quản lý trực tiếp triển khai.
Các việc cơ bản
Thu hồi quyền
Trước khi xảy ra
