Doanh nghiệp khi bị audit an ninh vật lý (physical security audit / compliance audit theo các chuẩn như C-TPAT, ISO 27001 (điều khoản physical security), RBA) tại nhà máy thường không “rớt” vì thiếu camera hay khóa cửa hiện đại, mà chủ yếu vướng ở các vấn đề nền tảng: quy trình kiểm soát ra vào, bằng chứng (log/lịch sử), phân quyền theo khu vực và ý thức của con người vận hành cổng, bảo vệ.
Các điểm bị phát hiện nhiều nhất thường gồm:
1. Phân quyền ra vào khu vực không chặt chẽ
Đây là lỗi phổ biến nhất khi audit kiểm tra kiểm soát ra vào (access control) tại nhà máy.
Các vấn đề thường gặp:
- Thẻ/phù hiệu ra vào cấp mức truy cập cao (mở được mọi cửa) cho quá nhiều người, không theo nguyên tắc “chỉ cấp quyền cần thiết”
- Không phân vùng theo khu vực nhạy cảm (kho nguyên liệu, khu sản xuất lõi, phòng hóa chất, R&D) — một thẻ mở được toàn bộ cửa trong nhà máy
- Không giới hạn quyền theo khung giờ (nhân viên ca ngày vẫn mở được cửa khu hạn chế lúc nửa đêm)
- Nhân viên nghỉ việc hoặc chuyển bộ phận nhưng thẻ ra vào chưa bị thu hồi hoặc vô hiệu hóa
- Thẻ tạm cấp cho khách/nhà thầu không được thu hồi sau khi hết hạn công việc
- Không có quy trình phê duyệt cấp quyền theo cấp bậc rõ ràng (ai duyệt, duyệt dựa trên tiêu chí gì)
Audit thường hỏi:
- Ai đang có quyền vào khu vực hạn chế (kho, R&D, phòng hóa chất, khu vực lưu mẫu/công thức)?
- Có review định kỳ danh sách người đang có quyền ra vào không?
- Có log/lịch sử ra vào theo từng cửa, từng khu vực không?
- Có quy định bằng văn bản về cấp và thu hồi thẻ ra vào không?
2. Thiếu log và khả năng truy vết ra vào
Nhiều nhà máy có hệ thống kiểm soát cửa hoặc camera nhưng không lưu log đầy đủ, hoặc lưu nhưng không tra cứu được khi cần.
Audit an ninh thường phát hiện:
- Không biết chính xác ai đã ra/vào một cửa cụ thể tại một thời điểm cụ thể
- Camera không lưu đủ thời gian theo yêu cầu (nhiều tiêu chuẩn yêu cầu tối thiểu 90 ngày, một số yêu cầu đến 1 năm)
- Log ra vào cổng/xe tải ghi tay, thiếu thông tin, chữ viết không rõ ràng hoặc bị tẩy xóa
- Không cảnh báo khi có truy cập bất thường (mở cửa khu vực hạn chế ngoài giờ, thẻ dùng sai khu vực đã đăng ký)
- Không có cơ chế giám sát tập trung nhiều cổng, nhiều camera cùng lúc
Rủi ro:
Khi xảy ra sự cố (mất tài sản, xâm nhập trái phép, tai nạn liên quan đến người ra vào) sẽ không thể:
- điều tra,
- xác định nguyên nhân,
- hoặc chứng minh trách nhiệm.
3. Không có chính sách & quy trình an ninh vật lý bằng văn bản
Nhiều doanh nghiệp có thực hiện kiểm soát ra vào nhưng không lập thành tài liệu, quy trình chuẩn.
Audit thường yêu cầu:
- Access Control Policy (chính sách cấp và thu hồi quyền ra vào)
- Visitor & Contractor Management Procedure (quy trình quản lý khách, nhà thầu ra vào)
- Security Incident Response Procedure (quy trình ứng phó khi phát hiện xâm nhập, mất tài sản)
- Key & Badge Control Policy (quy trình quản lý chìa khóa, thẻ ra vào)
- Container & Seal Security Procedure (với doanh nghiệp xuất khẩu theo C-TPAT — quy trình kiểm tra container, niêm phong an ninh cao cấp)
- Security Patrol & Post Order (lịch tuần tra, nhiệm vụ cụ thể của bảo vệ theo từng ca)
Điểm vướng:
- Có thực hiện nhưng không lập thành văn bản
- Tài liệu quá cũ, không cập nhật khi thay đổi bố trí nhà máy hoặc cổng ra vào
- Không có bằng chứng đào tạo bảo vệ và nhân viên về quy trình này
Trong audit, “không chứng minh được” thường bị xem như “chưa làm”.
4. Hạ tầng kiểm soát ra vào không được bảo trì tốt
Các lỗi phổ biến:
- Camera an ninh bị hỏng, mất nét, hoặc có điểm mù chưa được khắc phục
- Đầu đọc thẻ/vân tay/khuôn mặt tại cổng hoạt động chập chờn, bị tắt tạm “cho nhanh” vào giờ cao điểm
- Cổng, hàng rào, barie hư hỏng nhưng chưa sửa; cửa bị chèn/kê mở thường xuyên để tiện đi lại
- Đèn chiếu sáng khu vực cổng, hàng rào không đủ vào ban đêm
- Hệ thống kiểm soát cửa không đồng bộ giữa các xưởng/chi nhánh, mỗi nơi một chuẩn khác nhau
- Không có lịch bảo trì định kỳ cho thiết bị an ninh (camera, đầu đọc thẻ, khóa điện)
Audit an ninh sẽ kiểm:
- Camera có đang hoạt động và ghi hình đúng như khai báo không (thường kiểm tra trực tiếp tại chỗ)
- Cổng, hàng rào, barie có đang ở trạng thái vận hành đúng thiết kế không
- Có nhật ký bảo trì thiết bị an ninh không
5. Nhân viên và bảo vệ thiếu ý thức về an ninh vật lý
Con người — đặc biệt là lực lượng bảo vệ và nhân viên tại cổng — là lỗ hổng lớn nhất, không phải công nghệ.
Audit an ninh thường đánh giá:
- Bảo vệ có được đào tạo nhận diện thẻ giả, phát hiện tailgating (đi ké theo người có thẻ hợp lệ) không?
- Có quy trình báo cáo khi phát hiện người lạ, xe lạ, vật lạ trong khu vực nhà máy không?
- Nhân viên có hiểu quy định không được mở cửa cho người không có thẻ, kể cả đồng nghiệp quen mặt, không?
- Có kiểm tra ngẫu nhiên (spot-check) hiệu quả tuần tra của bảo vệ không?
Thực tế:
- Bảo vệ mở cửa cho người quen dù không quẹt thẻ (tailgating được dung túng)
- Nhân viên cho mượn thẻ ra vào lẫn nhau
- Khách/nhà thầu đi lại tự do trong khu vực hạn chế mà không có người dẫn (escort)
- Cửa thoát hiểm hoặc cửa phụ bị chèn mở thường xuyên, vô hiệu hóa luôn cả kiểm soát ra vào ở cổng chính
Tham khảo thêm về nhiệm vụ của nhân viên bảo vệ trong nhà máy sản xuất.
6. Không quản lý nhà thầu / bên thứ ba ra vào vật lý
Đặc biệt phổ biến ở doanh nghiệp SMB, khi các đơn vị bảo trì, vệ sinh, logistics ra vào nhà máy thường xuyên nhưng không qua quy trình kiểm soát nào.
Ví dụ:
- Nhà thầu bảo trì, vệ sinh dùng chung một thẻ ra vào, không cấp riêng theo từng cá nhân
- Xe tải giao nhận hàng vào thẳng khu vực sản xuất mà không qua điểm kiểm tra
- Không ký cam kết an ninh (security agreement) với nhà thầu phụ trước khi cho vào nhà máy
- Không biết chính xác nhà thầu nào đang có mặt trong nhà máy tại một thời điểm
Audit an ninh thường hỏi:
- Có đánh giá an ninh nhà thầu/nhà cung cấp trước khi cho ra vào nhà máy không?
- Có hợp đồng hoặc cam kết an ninh với nhà thầu không?
- Có kiểm soát khu vực mà nhà thầu được phép di chuyển không?
7. Không phân loại khu vực nhạy cảm và kiểm soát ra vào theo mức độ rủi ro
Nhiều nhà máy không phân loại rõ khu vực nào là “nhạy cảm” (kho hàng giá trị cao, khu vực hóa chất, phòng lưu mẫu/công thức, bãi container) để áp mức kiểm soát ra vào tương xứng — mọi khu vực đều được canh gác như nhau, hoặc tệ hơn, khu nhạy cảm nhất lại lỏng lẻo nhất vì ít người qua lại nên chủ quan.
Audit an ninh thường hỏi:
- Nhà máy có bản đồ phân vùng an ninh (security zoning) không?
- Khu vực nào bắt buộc phải có người dẫn (escort) khi có người ngoài vào?
- Container/xe tải trước khi xuất hàng có được kiểm tra theo quy trình 7 điểm/17 điểm chuẩn C-TPAT không?
- Niêm phong an ninh (seal) cao cấp có được kiểm tra và ghi log mỗi lần thay không?
Tình huống thực tế với Audit An ninh
Khi các tổ chức quốc tế hoặc đối tác lớn tiến hành audit an ninh vật lý tại nhà máy theo các tiêu chuẩn như C-TPAT, ISO 27001 (điều khoản physical security) hoặc RBA, họ không chỉ kiểm tra camera xem có hoạt động không. Đơn vị kiểm toán sẽ xoáy sâu vào tính toàn vẹn của log ra vào và quy trình vận hành thực tế của bộ phận Security, GA.
Tình huống thực tế: Tại một nhà máy gia công linh kiện xuất khẩu đi Mỹ, đoàn audit yêu cầu trích xuất danh sách toàn bộ khách và xe tải của nhà thầu đã ra vào cổng số 2 trong ngày 15 của 3 tháng trước đó. Vì doanh nghiệp vẫn dùng sổ ghi chép tay và file Excel rời rạc, bảo vệ phải mất hơn 2 tiếng để tìm lại, thông tin lại bị tẩy xóa, viết chữ không rõ ràng. Nghiêm trọng hơn, auditor phát hiện một số nhân sự đã chấm công nghỉ việc trên hệ thống HR nhưng thẻ từ ra vào cổng vẫn chưa bị khóa — một lỗ hổng an ninh vật lý nghiêm trọng vì thẻ vẫn có thể dùng được. Nhà máy bị đánh giá “Không đạt” vì nguy cơ thất thoát tài sản và xâm nhập trái phép.
Để vượt qua các kỳ audit gắt gao này một cách dễ dàng, doanh nghiệp sản xuất cần số hóa toàn bộ quy trình kiểm soát ra vào bằng phần mềm quản lý an ninh nhà máy eFAC. eFAC giúp tự động hóa việc đăng ký, phê duyệt và lưu vết 100% lịch sử di chuyển của người, phương tiện, hàng hóa theo thời gian thực (realtime). Hệ thống tự động đồng bộ dữ liệu với bộ phận nhân sự để khóa quyền ra vào ngay khi nhân viên nghỉ việc, giúp doanh nghiệp luôn đảm bảo tính tuân thủ tối đa khi bị audit an ninh vật lý.
Doanh nghiệp có thể xem thêm giải pháp quản lý ra vào cổng eGCS tại Hỏi đáp về HRtech và Secutech để xây dựng quy trình kiểm soát cổng nhà máy đạt chuẩn quốc tế.
Tham khảo thêm về các chức năng trong hệ thống kiểm soát ra vào.
