← Blog

MFA là gì và vì sao công ty nhỏ cũng cần bật ngay

MFA (xác thực hai bước, hay 2FA/multi-factor authentication) là lớp bảo vệ thêm sau mật khẩu: sau khi nhập đúng mật khẩu, hệ thống còn hỏi một mã thứ hai — thường gửi qua ứng dụng xác thực trên điện thoại. Nếu kẻ xấu có được mật khẩu (qua lừa đảo, lộ dữ liệu, hay đoán), họ vẫn không vào được tài khoản vì thiếu mã thứ hai.

Vì sao công ty nhỏ hay nghĩ "mình không cần"

Suy nghĩ phổ biến: "công ty nhỏ, không ai nhắm tới mình". Thực tế, phần lớn các vụ chiếm quyền tài khoản không nhắm riêng vào một công ty — chúng tự động dò mật khẩu bị lộ từ các vụ rò rỉ dữ liệu khác trên hàng loạt địa chỉ email, bất kể công ty lớn nhỏ. MFA chặn được gần hết kiểu tấn công này, dù mật khẩu đã bị lộ.

Bật MFA trên Google Workspace

1. Đăng nhập Admin Console (admin.google.com) bằng tài khoản quản trị.
2. Vào Security → Authentication → 2-step verification.
3. Bật "Allow users to turn on 2-Step Verification", sau đó đặt "Enforcement" theo nhóm hoặc toàn công ty, với thời hạn ân hạn vài ngày để nhân viên kịp cài đặt.

Bật MFA trên Microsoft 365

1. Vào Microsoft 365 admin center → Users → Active users.
2. Chọn "Multi-factor authentication" ở thanh công cụ phía trên danh sách người dùng.
3. Chọn từng người hoặc cả danh sách, bấm "Enable" — hoặc dùng Conditional Access / Security defaults để bắt buộc cho toàn tổ chức (khuyên dùng cho công ty có Microsoft 365 Business Premium trở lên).

Vài lưu ý khi triển khai

Thông báo trước cho nhân viên, hướng dẫn cài ứng dụng xác thực (Google Authenticator, Microsoft Authenticator) trước ngày bắt buộc. Chuẩn bị mã dự phòng (backup codes) cho trường hợp mất điện thoại. Ưu tiên bật cho tài khoản quản trị và tài khoản có quyền truy cập dữ liệu tài chính/khách hàng trước, rồi mở rộng ra toàn công ty trong 1-2 tuần.

Muốn biết công ty mình còn bao nhiêu tài khoản chưa bật MFA? Thả file CSV xuất từ Google/Microsoft vào đây, công cụ chỉ đọc trong trình duyệt, không gửi gì ra ngoài.