Thiết Kế Website
Bảo mật doanh nghiệp nhỏ: việc cần làm trước khi mua phần mềm
Sự cố an ninh mạng ở doanh nghiệp nhỏ hiếm khi bắt đầu từ một cuộc tấn công tinh vi. Thường gặp hơn là mật khẩu dùng chung, một email giả đối tác đề nghị đổi số tài khoản, hay nhân viên đã nghỉ vẫn giữ quyền quản trị fanpage và website.
Bảo mật doanh nghiệp nhỏ nên bắt đầu từ việc rẻ trước: kiểm kê tài khoản và ai đang giữ quyền, bật xác thực hai lớp cho email, ngân hàng, tên miền, mạng xã hội, dùng trình quản lý mật khẩu, quy định gọi điện xác minh mọi yêu cầu đổi số tài khoản, và sao lưu dữ liệu có một bản tách khỏi mạng. Phần mềm bảo mật đắt tiền chỉ có tác dụng khi những việc này đã làm.
Doanh nghiệp nhỏ thường gặp những rủi ro nào?
| Rủi ro | Tình huống điển hình | Hậu quả | Biện pháp chính |
|---|---|---|---|
| Chiếm tài khoản | Mật khẩu email công ty trùng mật khẩu một website đã bị lộ dữ liệu | Mất email, kéo theo mất fanpage, tên miền, tài khoản quảng cáo | Mật khẩu riêng cho từng dịch vụ, xác thực hai lớp |
| Lừa đảo qua email, Zalo | “Đối tác” báo đổi số tài khoản nhận tiền, giọng văn giống thật | Chuyển tiền cho kẻ gian, khó đòi lại | Gọi lại số đã lưu từ trước để xác minh mọi thay đổi thông tin thanh toán |
| Mã độc tống tiền, mất dữ liệu | Mở tệp đính kèm “hóa đơn”, máy và ổ chia sẻ bị mã hóa | Mất dữ liệu kế toán, khách hàng; ngừng làm việc nhiều ngày | Sao lưu có bản tách rời, cập nhật hệ điều hành, hạn chế quyền quản trị trên máy |
| Website bị chèn mã | Plugin lâu không cập nhật, theme bẻ khóa | Website chuyển hướng sang trang lạ, bị trình duyệt cảnh báo | Cập nhật, sao lưu, gỡ plugin thừa, theo dõi định kỳ |
| Lộ dữ liệu khách hàng | Nhân viên gửi danh sách khách qua Zalo cá nhân; laptop mất không đặt mật khẩu | Nghĩa vụ thông báo theo luật, mất lòng tin khách | Thu dữ liệu tối thiểu, phân quyền, mã hóa ổ đĩa |
Bước đầu tiên: kiểm kê tài khoản và người giữ quyền
Không thể bảo vệ thứ mình không biết đang có. Lập một bảng tính chỉ chủ doanh nghiệp xem được, mỗi dòng một tài khoản:
| Cột cần có | Ví dụ |
|---|---|
| Dịch vụ | Tên miền, hosting, email công ty, fanpage, Zalo OA, Google Business Profile, tài khoản quảng cáo, ngân hàng điện tử, phần mềm kế toán |
| Đứng tên ai, đăng ký bằng email nào | Tên miền đứng tên công ty, đăng ký bằng email của giám đốc |
| Email và số điện thoại khôi phục | Số điện thoại của nhân viên đã nghỉ là rủi ro cần sửa ngay |
| Xác thực hai lớp: có chưa, gắn vào thiết bị của ai | Ứng dụng xác thực trên điện thoại công ty |
| Ai đang có quyền quản trị | Nhân viên marketing, đơn vị làm web, cộng tác viên |
| Ngày hết hạn (nếu có) | Tên miền, hosting, giấy phép phần mềm |
Sau buổi kiểm kê đầu tiên, phần lớn doanh nghiệp tìm ra ít nhất một tài khoản quan trọng đứng tên người không còn làm việc, hoặc quyền quản trị còn trong tay một bên đã ngừng hợp tác.
Mười hai việc ưu tiên, xếp theo chi phí
Không tốn tiền, làm trong tuần này:
- Bật xác thực hai lớp cho email, ngân hàng, tên miền, hosting, mạng xã hội, tài khoản quảng cáo. Ưu tiên ứng dụng xác thực hoặc khóa bảo mật thay cho mã qua SMS; hướng dẫn dùng ứng dụng xác thực có ở bài cách dùng Google Authenticator.
- Mỗi người một tài khoản riêng; bỏ thói quen dùng chung một tài khoản quản trị.
- Quy định bằng văn bản: mọi yêu cầu đổi số tài khoản nhận tiền, chuyển khoản gấp phải được xác minh bằng cuộc gọi tới số điện thoại đã lưu từ trước, không gọi số ghi trong email.
- Bật cập nhật tự động cho hệ điều hành và trình duyệt trên mọi máy.
- Tài khoản dùng hằng ngày trên máy tính không có quyền quản trị máy; chỉ cài phần mềm qua người phụ trách.
- Tách mạng Wi-Fi cho khách khỏi mạng nội bộ có máy in, ổ lưu trữ chung.
Chi phí thấp, làm trong tháng này:
- Trình quản lý mật khẩu cho cả công ty, để chia sẻ mật khẩu có kiểm soát thay vì gửi qua tin nhắn.
- Sao lưu theo nguyên tắc 3-2-1: ba bản dữ liệu, trên hai loại thiết bị, một bản để ngoài văn phòng hoặc tách khỏi mạng; thử khôi phục mỗi quý.
- Email theo tên miền có cấu hình SPF, DKIM, DMARC để giảm thư giả mạo tên công ty bạn. Xem trang email doanh nghiệp; gói email hosting từ 49.000đ/tháng.
- Website được cập nhật, sao lưu và theo dõi định kỳ; gói bảo trì website WordPress từ 900.000đ/tháng gồm các việc này.
Khi doanh nghiệp lớn hơn:
- Phần mềm quản lý thiết bị và chống mã độc có giám sát tập trung, mã hóa ổ đĩa laptop.
- Chính sách bảo mật thông tin bằng văn bản, buổi hướng dẫn nhận diện lừa đảo cho nhân viên mỗi năm, kế hoạch xử lý sự cố có tên người phụ trách.
Nhân viên vào và nghỉ việc: hai thời điểm dễ lộ nhất
- Khi nhận người mới: tạo tài khoản riêng theo vai trò, chỉ cấp quyền cần cho công việc, hướng dẫn quy định xác minh chuyển khoản ngay tuần đầu.
- Khi người nghỉ việc: khóa email công ty và chuyển thư sang người kế nhiệm, gỡ quyền fanpage, website, tài khoản quảng cáo, đổi mật khẩu các tài khoản dùng chung, thu hồi thiết bị, đổi số điện thoại khôi phục nếu đang là số của họ.
- Với đơn vị bên ngoài (làm web, chạy quảng cáo, kế toán): cấp quyền bằng tài khoản riêng của họ, không đưa mật khẩu chủ; gỡ quyền khi kết thúc hợp đồng.
Dữ liệu khách hàng: nghĩa vụ theo luật
Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 có hiệu lực từ 01/01/2026. Với doanh nghiệp nhỏ, ba điểm cần nắm: chỉ thu dữ liệu cần cho mục đích đã nói với khách và có sự đồng ý của khách; không mua, bán dữ liệu cá nhân; khi phát hiện vi phạm có thể gây hại cho người có dữ liệu, phải thông báo cơ quan chuyên trách của Bộ Công an trong 72 giờ. Hộ kinh doanh, doanh nghiệp siêu nhỏ được miễn một số hồ sơ, nhưng không được miễn nghĩa vụ xin sự đồng ý. Trường hợp cụ thể nên hỏi luật sư.
Khi đã xảy ra sự cố: sáu việc trong vài giờ đầu
- Ngắt mạng máy nghi nhiễm mã độc, không tắt nguồn vội nếu cần giữ dấu vết.
- Đổi mật khẩu các tài khoản quan trọng từ một thiết bị sạch, đăng xuất mọi phiên đang mở.
- Nếu có giao dịch chuyển tiền đáng ngờ, gọi ngay ngân hàng để đề nghị phong tỏa, rồi trình báo công an.
- Giữ bằng chứng: email, tin nhắn, ảnh màn hình, thời điểm phát hiện.
- Khôi phục từ bản sao lưu sạch thay vì cố “dọn” máy hoặc website đang nhiễm.
- Đánh giá có dữ liệu khách hàng bị lộ không, để thực hiện nghĩa vụ thông báo đúng hạn.
Với website WordPress đã bị chèn mã, quy trình làm sạch và đóng lỗ hổng có ở trang xử lý mã độc WordPress.
Sai lầm hay gặp
- Mua phần mềm diệt virus đắt tiền nhưng cả văn phòng vẫn dùng chung một mật khẩu email.
- Bản sao lưu nằm cùng ổ, cùng mạng với dữ liệu gốc; mã độc tống tiền mã hóa luôn cả bản sao lưu.
- Mã xác thực hai lớp gửi về SIM của một nhân viên; người đó nghỉ hoặc mất máy là công ty mất tài khoản.
- Giao toàn quyền cho đơn vị bên ngoài mà không có danh sách tài khoản và người giữ quyền.
- Coi bảo mật là việc làm một lần; không ai kiểm tra lại quyền truy cập sau sáu tháng.
Câu hỏi thường gặp
Doanh nghiệp nhỏ có cần thuê nhân viên IT riêng để bảo mật không?
Thường là chưa cần. Phần lớn việc ưu tiên như xác thực hai lớp, kiểm kê tài khoản, sao lưu, quy định xác minh chuyển khoản do chủ doanh nghiệp và một người phụ trách làm được. Các phần kỹ thuật như website, email, máy chủ có thể thuê đơn vị chuyên trách theo từng việc.
Phần mềm diệt virus có sẵn trong Windows có đủ cho máy tính công ty không?
Với văn phòng nhỏ, phần bảo vệ tích hợp sẵn trong Windows khi được bật và cập nhật đầy đủ thường là mức nền chấp nhận được. Nó không thay được việc cập nhật hệ điều hành, hạn chế quyền quản trị và sao lưu. Khi có nhiều máy, cần một công cụ quản lý tập trung để biết máy nào chưa cập nhật.
Bị lừa chuyển khoản do email giả đối tác thì làm gì?
Gọi ngay cho ngân hàng của bạn để đề nghị liên hệ ngân hàng nhận tiền phong tỏa, càng sớm càng có cơ hội giữ lại tiền. Sau đó trình báo công an kèm email, chứng từ chuyển khoản, và báo cho đối tác thật biết hộp thư của một trong hai bên có thể đã bị chiếm. Đổi mật khẩu, bật xác thực hai lớp cho email liên quan.
Dữ liệu công ty nên sao lưu bao lâu một lần?
Theo mức dữ liệu bạn chấp nhận mất: dữ liệu kế toán, đơn hàng thay đổi hằng ngày thì sao lưu hằng ngày; tài liệu ít thay đổi thì hằng tuần. Quan trọng hơn tần suất là có một bản tách khỏi mạng và thử khôi phục định kỳ, vì bản sao lưu chưa từng thử có thể không dùng được.
Có nên cho nhân viên dùng máy tính, điện thoại cá nhân để làm việc không?
Được, nếu có quy định tối thiểu: thiết bị đặt khóa màn hình, cập nhật hệ điều hành, đăng nhập tài khoản công ty bằng xác thực hai lớp, không lưu dữ liệu khách hàng ra ứng dụng cá nhân. Khi nhân viên nghỉ, bạn cần gỡ được quyền truy cập dữ liệu công ty mà không phải đụng vào thiết bị của họ.
Cần người làm giúp phần này?
Mô tả ngắn nhu cầu hoặc gửi link website. Chúng tôi phản hồi bằng đánh giá cụ thể trước khi báo giá.
