Sáu mục tổng hợp về kiểm soát truy cập: thuật ngữ, quy trình, vấn đề thường gặp, chỉ số, vai trò theo mô hình doanh nghiệp và checklist. Bấm vào từng ô để lật và xem chi tiết.
Những khái niệm cần thống nhất để hiểu quyền truy cập, xác thực và rủi ro.
Thuật ngữ về quyền truy cập và xác thực
- Kiểm soát truy cập — quy định ai được truy cập tài nguyên nào, vật lý hoặc số
- Xác thực — kiểm tra người dùng đúng là người đã khai báo
- Phân quyền — gán mức quyền xem, sửa, duyệt cho từng vai trò
- Nguyên tắc tối thiểu quyền — chỉ cấp quyền cần thiết cho công việc
Các phương thức xác thực
- Thẻ từ hoặc thẻ RFID — phương thức xác thực bằng thẻ có mã
- Sinh trắc học — xác thực bằng vân tay, khuôn mặt hoặc mống mắt
- Xác thực hai yếu tố — kết hợp hai cách xác thực để tăng an toàn
- Nhật ký truy cập — ghi lại ai truy cập, khi nào và truy cập gì
Các khái niệm về cấp và thu hồi quyền
- Ma trận quyền — bảng liệt kê vai trò và quyền tương ứng
- Rà soát quyền — kiểm tra định kỳ quyền có còn phù hợp không
- Thu hồi quyền — gỡ quyền khi người dùng đổi vị trí hoặc nghỉ việc
Các khái niệm khi có truy cập sai
- Truy cập trái phép — vào khu vực hoặc hệ thống không được phép
- Chia sẻ thông tin đăng nhập — dùng chung tài khoản hoặc thẻ
- Cảnh báo bất thường — hệ thống báo khi có hành vi khác thường
Các nghiệp vụ lặp lại trong kiểm soát truy cập. Mỗi quy trình nêu mục đích và các bước theo thứ tự.
Quyền được cấp đúng và có phê duyệt
Để làm gì: Mỗi người chỉ có quyền cần thiết và được phê duyệt đúng người.
- Đề nghị quyền: nêu vai trò và phạm vi công việc
- Phê duyệt: người phụ trách hệ thống hoặc khu vực duyệt
- Cấp quyền và thông báo: người dùng được hướng dẫn quy định
- Ghi sổ: lưu hồ sơ đề nghị và phê duyệt
Gỡ quyền khi thay đổi vị trí hoặc nghỉ việc
Để làm gì: Không còn người cũ giữ quyền sau khi đã thay đổi vị trí hoặc nghỉ việc.
- Nhận thông báo thay đổi: từ bộ phận nhân sự
- Gỡ quyền: trong ngày thay đổi
- Thu thẻ và tài khoản: xác nhận đã thu hồi
- Ghi sổ: chốt hồ sơ quyền
Đảm bảo quyền luôn khớp với công việc
Để làm gì: Phát hiện quyền dư và quyền sai để điều chỉnh kịp thời.
- Xuất danh sách quyền: theo hệ thống và khu vực
- Đối chiếu với nhân sự hiện tại: và vai trò
- Điều chỉnh: gỡ quyền dư, bổ sung quyền thiếu
- Lập biên bản rà soát: có người ký
Theo dõi và xử lý bất thường
Để làm gì: Phát hiện sớm truy cập bất thường để ngăn sự cố.
- Xem nhật ký định kỳ: theo tuần hoặc khi có cảnh báo
- Xác minh bất thường: hỏi người liên quan và đối chiếu
- Xử lý và báo cáo: theo quy định
- Điều chỉnh quyền hoặc quy định: nếu cần
Khó khăn xuất hiện ở từng đối tượng khi kiểm soát truy cập, gồm cả nhân viên là khách hàng nội bộ.
Người dùng và người quản trị hằng ngày
- Dùng chung tài khoản để làm việc cho nhanh
- Để thẻ hoặc mật khẩu ở nơi dễ thấy
- Không đăng xuất khi rời máy tính
- Không báo khi nhận ra quyền không đúng
Trưởng bộ phận và người phụ trách hệ thống
- Duyệt quyền mà không xem phạm vi thực tế
- Không thu hồi quyền khi nhân viên chuyển bộ phận
- Không rà soát định kỳ danh sách người dùng
- Phân quyền quá rộng để tiện việc
Giám đốc, chủ doanh nghiệp
- Rủi ro rò rỉ dữ liệu và bí mật kinh doanh
- Không có báo cáo về truy cập bất thường
- Đầu tư hệ thống bị trì hoãn khi chưa có sự cố
- Trách nhiệm phân quyền chưa được quy định
Người cần truy cập để làm việc
- Phải chờ lâu để được cấp quyền cần dùng
- Không biết cách đề nghị đổi quyền khi công việc thay đổi
- Mất quyền đột ngột mà không được báo trước
- Không hiểu vì sao bị yêu cầu xác thực nhiều lần
Chỉ số đo hiệu quả kiểm soát truy cập theo bốn nhóm. Nhóm nào chưa có KPI đã kiểm chứng thì để trống.
Chi phí kiểm soát truy cập
- Chi phí hệ thống và thiết bị xác thực trên mỗi người dùng
- Thiệt hại do truy cập trái phép trong kỳ
- Chi phí cấp lại thẻ hoặc tài khoản
Mức thuận tiện khi truy cập
- Thời gian chờ để được cấp quyền
- Số khiếu nại về truy cập không được xử lý đúng hạn
- Mức hài lòng về quy trình cấp quyền
Tuân thủ và kiểm soát
- Tỷ lệ rà soát quyền đúng kỳ
- Tỷ lệ quyền được thu hồi đúng hạn khi thay đổi vị trí
- Số truy cập trái phép trong kỳ
- Tỷ lệ tài khoản dùng chung
Năng lực người quản trị hệ thống
Ai phụ trách kiểm soát truy cập trong từng mô hình. Tên vị trí có thể khác nhau giữa các công ty.
Hệ thống sản xuất, dữ liệu công thức và khu vực nhạy cảm
Dữ liệu công thức và hệ thống sản xuất là tài sản quan trọng.
- Bộ phận IT: quản trị hệ thống và phân quyền
- Trưởng bộ phận: duyệt quyền cho nhân viên
- Bộ phận an ninh: kiểm soát truy cập khu vực
- Bộ phận nhân sự: thông báo thay đổi vị trí và nghỉ việc
Hệ thống dùng chung cho nhiều điểm
Hệ thống dùng chung cho nhiều điểm, cần phân quyền theo điểm.
- Bộ phận IT trụ sở: quản trị và phân quyền tập trung
- Quản lý cửa hàng: đề nghị quyền cho nhân viên tại điểm
- Bộ phận nhân sự: thông báo thay đổi
- Kiểm soát nội bộ: rà soát định kỳ
Hệ thống đặt phòng, thanh toán và khóa cửa
Hệ thống đặt phòng, thanh toán và khóa cửa cần phân quyền rõ.
- Quản lý vận hành: duyệt quyền cho bộ phận
- Lễ tân: quản lý quyền trên hệ thống đặt phòng
- Kế toán: quản lý quyền thanh toán
- Kỹ thuật: quản trị hệ thống khóa cửa
Hệ thống quản lý kho và vận tải
Hệ thống quản lý kho và vận tải cần phân quyền theo vai trò.
- Quản lý kho: duyệt quyền truy cập kho
- Quản lý vận tải: duyệt quyền hệ thống vận tải
- Bộ phận IT: quản trị hệ thống
- Bộ phận an ninh: kiểm soát truy cập khu vực
Nhiều nhà thầu cần truy cập hệ thống và khu vực
Nhiều nhà thầu cần truy cập hệ thống và khu vực trong thời gian ngắn.
- Chỉ huy công trường: duyệt quyền cho nhà thầu
- Hành chính công trình: cấp và thu hồi tài khoản
- Bộ phận IT: cấp tài khoản có thời hạn
- Bộ phận an ninh: kiểm soát khu vực
Ít người, thường dùng chung tài khoản
Ít người nhưng thường dùng chung tài khoản; cần tách tài khoản từng người.
- Chủ doanh nghiệp: quyết định quyền cho từng người
- Người kiêm nhiệm IT: cấp và thu hồi tài khoản
- Nhân viên: không chia sẻ tài khoản
Có bộ phận IT và quy trình cấp quyền
Có bộ phận IT và quy trình cấp quyền có phê duyệt.
- Giám đốc: phê duyệt chính sách truy cập
- Bộ phận IT: quản trị và giám sát
- Trưởng bộ phận: duyệt quyền trong bộ phận
- Bộ phận nhân sự: thông báo thay đổi
Danh sách việc cần làm lặp lại. Có thể tick chọn và tải về để dùng.
Các việc trước khi cấp quyền
Các việc cần làm để gỡ quyền
Các hạng mục rà soát
