Thiết Kế Website
Nên tự bảo mật website hay thuê dịch vụ? Chia việc theo 3 nhóm
Câu hỏi “tự bảo mật website hay thuê” thường được đặt như phải chọn một trong hai. Trên thực tế, có những việc doanh nghiệp không bao giờ nên giao hẳn cho người ngoài, và có những việc tự làm thì rủi ro hơn thuê.
Nên tự giữ quyền sở hữu tài khoản, 2FA và việc thu hồi quyền khi nhân sự thay đổi. Các việc định kỳ như cập nhật và sao lưu có thể tự làm nếu có người làm đều mỗi tháng; nếu không thì thuê. Xử lý khi bị hack, cấu hình máy chủ và kiểm thử chuyên sâu nên giao cho người có chuyên môn. Đa số doanh nghiệp nhỏ hợp với mô hình kết hợp.
Tách bảo mật website thành ba nhóm việc
Thay vì so “tự làm” với “thuê” chung chung, hãy chia việc theo mức độ cần chuyên môn và mức độ cần quyền sở hữu:
| Nhóm việc | Ví dụ | Ai nên làm |
|---|---|---|
| Quyền sở hữu và truy cập | Đứng tên tên miền, hosting; giữ tài khoản quản trị gốc; bật 2FA; thu hồi tài khoản khi nhân viên nghỉ hoặc đổi đối tác | Luôn là doanh nghiệp, dù có thuê ngoài |
| Vận hành định kỳ | Cập nhật plugin, theme, WordPress có kiểm tra; sao lưu và khôi phục thử; rà tài khoản; đọc cảnh báo Search Console | Tự làm nếu có người đều đặn; không thì thuê |
| Chuyên môn sâu | Gỡ mã độc và cửa hậu; cấu hình máy chủ, tường lửa; phân tích log; kiểm thử xâm nhập | Người có chuyên môn, thường là thuê |
Nhóm đầu tiên là nơi nhiều doanh nghiệp mất kiểm soát nhất: tên miền đứng tên bên làm web, mật khẩu hosting chỉ một nhân viên biết. Khi người đó rời đi, doanh nghiệp không còn quyền với chính website của mình. Cách quản lý nhóm này có trong bài quản lý hosting và tên miền an toàn.
Tự bảo mật website cần những gì?
Tự làm không tốn phí dịch vụ nhưng tốn ba thứ khác. Trả lời thật lòng năm câu sau:
- Có một người cụ thể chịu trách nhiệm, có ghi trong công việc hằng tháng, không phải “ai rảnh thì làm”?
- Người đó biết sao lưu cả file và database, và đã từng khôi phục thử thành công?
- Khi cập nhật plugin làm website trắng trang, người đó biết vào hosting tắt plugin hoặc quay lại bản cũ?
- Người đó phân biệt được thông báo cập nhật bảo mật cần làm ngay và cập nhật tính năng có thể chờ?
- Có người thay thế khi người phụ trách nghỉ phép hoặc nghỉ việc?
Trả lời “có” cả năm câu thì tự làm phần vận hành định kỳ là hợp lý. Nếu chỉ thiếu câu cuối, vẫn tự làm được nhưng nên viết lại quy trình thành tài liệu ngắn để người khác thay thế khi cần. Danh sách việc cụ thể và lịch gợi ý có trong bài cách bảo mật website tránh bị hack.
Tự làm thì mỗi tháng phải làm những gì?
Nhiều doanh nghiệp đánh giá thấp phần này vì nghĩ “cài plugin bảo mật một lần là xong”. Một tháng vận hành thực tế gồm:
| Việc | Tần suất | Cần biết gì |
|---|---|---|
| Đọc danh sách cập nhật, ghi chú phiên bản, cập nhật theo nhóm và kiểm tra lại website | Hằng tuần đến 2 lần/tháng | Biết quay lại bản cũ khi cập nhật lỗi |
| Kiểm tra backup chạy thành công, dung lượng kho lưu trữ | Hằng tuần | Biết đọc thông báo lỗi của plugin backup |
| Rà tài khoản người dùng, xóa tài khoản thừa | Hằng tháng | Phân biệt vai trò trong WordPress |
| Xem Search Console mục Vấn đề bảo mật, thông báo từ hosting | Hằng tháng | Hiểu cảnh báo nào cần xử lý ngay |
| Khôi phục thử một bản backup | Mỗi quý | Dựng website trên môi trường thử |
| Kiểm tra plugin bị công bố lỗ hổng | Khi có thông báo | Tra cơ sở dữ liệu lỗ hổng, quyết định tắt hay thay plugin |
Phần khó không nằm ở từng việc mà ở tính đều đặn. Bỏ ba tháng không cập nhật là đủ để website có plugin mang lỗ hổng đã công bố. Các loại lỗ hổng hay gặp được giải thích trong bài lỗ hổng bảo mật website.
Khi nào thuê ngoài hợp lý hơn?
- Không có ai trong công ty làm kỹ thuật, hoặc người duy nhất biết làm đã quá tải.
- Website bán hàng mà một ngày ngừng là mất đơn, cần người phản ứng nhanh khi có sự cố.
- Website có nhiều plugin, code tùy biến, mỗi lần cập nhật đều có nguy cơ xung đột.
- Website từng bị hack: cần người tìm đúng cửa vào, không chỉ dọn phần nhìn thấy.
- Doanh nghiệp có nghĩa vụ bảo vệ dữ liệu khách hàng và cần có báo cáo, nhật ký việc đã làm.
Thuê ngoài không có nghĩa là giao hết rồi quên. Bên dịch vụ chỉ làm tốt khi doanh nghiệp báo cho họ những thay đổi phía mình: thêm nhân viên cần tài khoản, chạy chiến dịch lớn sắp tới, đổi đối tác làm nội dung. Một đầu mối phía doanh nghiệp đọc báo cáo tháng và trả lời các câu hỏi của bên kỹ thuật là đủ, không cần biết kỹ thuật.
So sánh ba mô hình
| Tiêu chí | Tự làm toàn bộ | Thuê toàn bộ | Kết hợp |
|---|---|---|---|
| Chi phí tiền | Thấp nhất, chủ yếu công cụ | Phí hằng tháng | Phí cho phần kỹ thuật |
| Chi phí thời gian nội bộ | Cao, đều đặn mỗi tháng | Thấp, chủ yếu đọc báo cáo | Thấp đến vừa |
| Phụ thuộc người | Phụ thuộc một nhân viên | Phụ thuộc nhà cung cấp | Có hai bên kiểm tra chéo |
| Phản ứng khi sự cố | Tùy người đó có mặt và biết làm | Theo cam kết trong hợp đồng | Doanh nghiệp phát hiện, bên kỹ thuật xử lý |
| Quyền kiểm soát | Cao | Dễ mất nếu giao cả quyền sở hữu | Cao nếu giữ tài khoản gốc |
| Hợp với | Doanh nghiệp có người kỹ thuật, website đơn giản | Website bán hàng, không có người kỹ thuật | Đa số doanh nghiệp vừa và nhỏ |
Mô hình kết hợp thường chia việc thế nào?
Một cách chia hay dùng với website doanh nghiệp nhỏ:
- Doanh nghiệp giữ: tài khoản nhà đăng ký tên miền, hosting, email quản trị, tài khoản Search Console; bật 2FA cho tất cả; cấp quyền riêng cho bên kỹ thuật và thu hồi khi ngừng hợp tác; đọc báo cáo tháng.
- Bên kỹ thuật làm: cập nhật có kiểm tra, sao lưu và khôi phục thử, rà file và tài khoản bất thường, báo cáo những gì đã thay đổi.
- Thuê theo vụ khi cần: gỡ mã độc, nâng cấp PHP lớn, kiểm thử chuyên sâu.
Tại Marketing SEO Top, phần vận hành định kỳ nằm trong gói bảo trì WordPress từ 900.000đ/tháng; khách vẫn nhận và giữ tài khoản quản trị, tên miền và hosting đứng tên khách. Phần sự cố tính riêng theo trang xử lý mã độc WordPress. Cách tách các khoản chi và đọc báo giá có trong bài chi phí bảo mật website.
Thuê ngoài mà vẫn giữ quyền kiểm soát
- Đưa mật khẩu tài khoản gốc thay vì tạo tài khoản riêng cho bên kỹ thuật. Khi ngừng hợp tác, bạn phải đổi mọi thứ và không biết họ đã truy cập gì.
- Để bên kỹ thuật đứng tên tên miền, hosting “cho tiện gia hạn”.
- Không yêu cầu báo cáo. Không có báo cáo thì không biết dịch vụ có thực sự được làm.
- Không biết bản backup nằm ở đâu. Bản backup nên nằm trong kho của doanh nghiệp hoặc ít nhất doanh nghiệp truy cập được.
- Không có điều khoản bàn giao khi kết thúc: danh sách tài khoản đã tạo, bản backup cuối, ghi chú cấu hình.
Câu hỏi thường gặp
Nhân viên văn phòng không biết kỹ thuật có tự bảo mật website được không?
Làm được phần quyền sở hữu và truy cập: bật 2FA, dùng trình quản lý mật khẩu, rà danh sách người dùng, xóa tài khoản người đã nghỉ. Phần cập nhật và khôi phục khi website lỗi cần người quen thao tác trên hosting, nếu không nên thuê.
Bên làm web có trách nhiệm bảo mật website sau khi bàn giao không?
Tùy hợp đồng. Thông thường bên làm web chịu trách nhiệm lỗi trong phần họ xây dựng trong thời gian bảo hành, còn cập nhật plugin và vận hành sau bàn giao là việc của chủ website hoặc dịch vụ bảo trì riêng. Nên đọc kỹ điều khoản bảo hành để biết khoảng trống nằm ở đâu.
Thuê dịch vụ bảo mật rồi mà website vẫn bị hack thì sao?
Xem hợp đồng quy định việc làm sạch trong trường hợp này tính trong gói hay tính riêng, và yêu cầu bên dịch vụ chỉ ra nguyên nhân. Không dịch vụ nào cam kết được không bao giờ bị hack, nhưng bên làm đúng việc phải có backup để khôi phục và nhật ký để truy nguyên.
Thuê freelancer lo bảo mật website có ổn không?
Ổn nếu người đó làm đều, có báo cáo và doanh nghiệp vẫn giữ tài khoản gốc. Rủi ro lớn nhất là phụ thuộc một cá nhân: khi họ bận hoặc ngừng nhận việc, không ai biết website đang ở trạng thái nào. Yêu cầu ghi chép việc đã làm và nơi lưu backup để người khác tiếp nhận được.
Doanh nghiệp có nhiều website thì nên tự làm hay thuê?
Càng nhiều website, việc định kỳ càng tốn thời gian và một website bị nhiễm dễ lây sang website khác cùng hosting. Mô hình hay dùng là chuẩn hóa plugin và hosting cho tất cả website, rồi giao phần vận hành cho một đầu mối duy nhất, nội bộ hoặc thuê ngoài.
Cần người làm giúp phần này?
Mô tả ngắn nhu cầu hoặc gửi link website. Chúng tôi phản hồi bằng đánh giá cụ thể trước khi báo giá.
