← Blog

An ninh và tuân thủ dữ liệu cho công ty nhỏ: bắt đầu từ đâu

Hầu hết công ty 5-50 người ở Việt Nam không có ai chuyên trách an ninh thông tin. Việc bị dồn vào một người kiêm nhiệm, hoặc không ai làm cho tới khi có sự cố. Bài này chia nhỏ việc "an ninh và dữ liệu cá nhân" thành 4 mảng cụ thể, để biết nên bắt đầu từ đâu trong một buổi chiều.

1. Rà soát tài khoản — làm trước tiên, vì rẻ và nhanh

Xuất danh sách tài khoản từ Google Workspace hoặc Microsoft 365, kiểm ba điều: ai chưa bật xác thực hai bước (MFA), ai đã nghỉ việc mà tài khoản còn mở, và tài khoản quản trị (admin) có đăng nhập gần đây không. Ba điều này chiếm phần lớn các vụ chiếm quyền tài khoản ở công ty nhỏ, và kiểm tra không mất gì ngoài 10-15 phút đọc một file CSV.

2. Tuân thủ dữ liệu cá nhân — không phải công ty nào cũng phải làm hồ sơ đầy đủ

Nghị định 356/2025/NĐ-CP có hiệu lực từ 01/01/2026 đặt ra nghĩa vụ thông báo, xin đồng ý và trả lời yêu cầu của người có dữ liệu trong 30 ngày. Hộ kinh doanh và doanh nghiệp siêu nhỏ được miễn một số nghĩa vụ nặng (đánh giá tác động, bộ phận bảo vệ dữ liệu riêng), trừ khi xử lý dữ liệu nhạy cảm hoặc giữ dữ liệu từ 100.000 người trở lên. Việc cần làm: tự đánh giá công ty thuộc diện nào, rồi soạn các văn bản mẫu cơ bản (thông báo thu thập, thỏa thuận với đối tác xử lý dữ liệu).

3. Nhân viên vào và nghỉ việc — lỗ hổng âm thầm nhất

Tài khoản của người đã nghỉ việc mà không ai khóa là một trong những rủi ro phổ biến nhất nhưng ít được để ý nhất, vì nó không gây hậu quả ngay. Cách xử lý đơn giản: mỗi lần có người nghỉ, có một checklist cố định (khóa email, thu hồi thiết bị, đổi mật khẩu tài khoản chung) kèm hạn chót, và ai đó chịu trách nhiệm tick xong trong vòng 24-48 giờ.

4. Đào tạo nhân viên chống lừa đảo — việc nên làm định kỳ, không phải một lần

Phần lớn sự cố an ninh ở công ty nhỏ bắt đầu từ một email lừa đảo được tin tưởng, không phải từ lỗ hổng kỹ thuật. Đào tạo ngắn, định kỳ mỗi quý, với bài kiểm tra nhận biết email lừa đảo, hiệu quả hơn một buổi hội thảo dài một lần rồi quên.

Nên làm theo thứ tự nào

Nếu chỉ có một buổi chiều: làm mục 1 (rà soát tài khoản) trước, vì rẻ nhất và phát hiện rủi ro rõ ràng nhất. Sau đó đến mục 3 (quy trình nghỉ việc), vì dễ biến thành thói quen. Mục 2 và 4 có thể làm dần trong vài tuần tiếp theo.

Thông tin chỉ mang tính tham khảo, không phải tư vấn pháp lý. Mở bảng điều khiển miễn phí để làm thử cả 4 mục với dữ liệu mẫu.