Một doanh nghiệp nhỏ không có phòng IT nên làm bảo mật theo thứ tự: tháng đầu bảo vệ tài khoản và đường đi của tiền, tháng thứ hai bảo vệ dữ liệu và thiết bị, tháng thứ ba lo con người và quy định. Phần lớn các việc trong 90 ngày đó miễn phí hoặc chi phí thấp; chỉ một số ít cần thuê ngoài, và khi đó bạn đã biết chính xác mình cần thuê làm gì.
Bài này là bản đồ chung cho cả danh mục. Mỗi mục bên dưới có bài hướng dẫn chi tiết riêng trong danh mục Bảo mật cho doanh nghiệp nhỏ của trang, như sao lưu, phân quyền tài khoản, quy định dùng AI hay đào tạo nhân viên. Ở đây tập trung vào câu hỏi mà chủ doanh nghiệp hay hỏi nhất: có quá nhiều việc, bắt đầu từ đâu.
Bắt đầu từ câu hỏi: mất cái gì thì công ty ngừng chạy
Trước khi làm bất cứ việc kỹ thuật nào, chủ doanh nghiệp nên ngồi một mình hoặc với người quản lý thân cận nhất, trả lời ba câu. Thứ nhất, nếu mất quyền vào thứ gì thì ngày mai công ty không làm việc được: hộp thư, phần mềm bán hàng, fanpage, tài khoản ngân hàng, dữ liệu kế toán. Thứ hai, tiền của công ty đi ra theo những đường nào, ai bấm nút chuyển. Thứ ba, dữ liệu nào của khách nếu lộ ra sẽ khiến bạn mất khách hoặc gặp rắc rối pháp lý.
Câu trả lời thường vừa một trang giấy, và nó quyết định thứ tự làm việc. Một tiệm bán hàng online sẽ thấy fanpage và tài khoản sàn đứng đầu danh sách. Một văn phòng dịch vụ kế toán sẽ thấy dữ liệu khách và hộp thư. Một xưởng sản xuất có thể thấy máy tính điều khiển máy móc và bản vẽ kỹ thuật. Không có danh sách chung đúng cho mọi nơi, nhưng lộ trình dưới đây phủ được phần lớn doanh nghiệp từ năm đến năm mươi người.
Thời AI thêm một lý do để bắt đầu sớm: kẻ gian dùng công cụ tự động để rải tin nhắn lừa, dò mật khẩu và quét thiết bị hàng loạt, nên doanh nghiệp nhỏ không còn được che chắn nhờ "chẳng ai để ý tới mình". Ngược lại, chính AI cũng giúp bạn đọc hiểu cài đặt, soạn quy trình, chuẩn bị tài liệu đào tạo nhanh hơn, miễn là không đưa dữ liệu thật vào.
Tháng thứ nhất: tài khoản và đường đi của tiền
Đây là tháng quan trọng nhất, vì phần lớn thiệt hại ở doanh nghiệp nhỏ đến từ tài khoản bị chiếm và tiền bị chuyển nhầm cho kẻ gian.
- Lập danh sách tài khoản quan trọng nhất: hộp thư chủ và kế toán, ngân hàng điện tử, fanpage, sàn thương mại điện tử, phần mềm bán hàng, nhà cung cấp tên miền.
- Bật xác thực hai lớp cho từng tài khoản trong danh sách, ưu tiên ứng dụng xác thực hoặc khoá bảo mật. Cất mã dự phòng ở nơi an toàn.
- Kiểm email và số điện thoại khôi phục của từng tài khoản, chuyển về tay chủ doanh nghiệp.
- Đặt quy tắc gọi lại qua số đã lưu cho mọi yêu cầu chuyển tiền bất thường và mọi yêu cầu đổi số tài khoản nhà cung cấp.
- Hỏi ngân hàng về tính năng tách người tạo lệnh và người duyệt lệnh, bật thông báo mọi giao dịch.
- Gỡ quyền của người đã nghỉ trên mọi tài khoản tìm thấy trong danh sách.
Cuối tháng thứ nhất, công ty đã chặn được hai đường mất mát lớn nhất. Chi phí gần như bằng không, chủ yếu là thời gian của chủ và kế toán, khoảng vài buổi tối.
Tháng thứ hai: dữ liệu và thiết bị
Khi tài khoản đã vững, chuyển sang những thứ giữ dữ liệu và những thiết bị không ai trông.
- Chọn phương án sao lưu theo quy tắc 3-2-1 phù hợp quy mô, có ít nhất một bản không nối mạng thường trực, chỉ định người phụ trách.
- Thử khôi phục lần đầu ngay trong tháng để chắc bản sao lưu dùng được.
- Bật cập nhật tự động cho hệ điều hành và trình duyệt trên mọi máy tính công ty; gỡ phần mềm và tiện ích không dùng.
- Bật khoá màn hình và mã hoá ổ đĩa cho laptop, nhất là máy mang ra khỏi văn phòng.
- Đổi mật khẩu mặc định của bộ phát Wi-Fi, đầu ghi camera, máy in; tách mạng khách khỏi mạng nhân viên.
- Chuyển mật khẩu dùng chung vào một trình quản lý mật khẩu có chia sẻ theo nhóm.
Tháng này có thể phát sinh chi phí ở mức thấp: ổ cứng gắn ngoài hoặc thiết bị lưu trữ mạng, gói lưu trữ đám mây, trình quản lý mật khẩu bản nhóm. Nếu văn phòng có máy chủ riêng hay mạng phức tạp, đây là lúc cân nhắc thuê kỹ thuật viên cho phần đó.
Tháng thứ ba: con người và quy định
Công cụ chỉ phát huy khi con người biết dùng và biết khi nào phải dừng lại. Tháng thứ ba dành cho những việc không tốn tiền nhưng tốn công thuyết phục:
- Soạn quy định dùng AI một trang: dữ liệu nào không được đưa vào chatbot, công cụ nào được phép, ai kiểm kết quả.
- Lập sổ tài khoản theo người và quy trình khi nhân viên nghỉ việc, để lần sau không phải dò lại từ đầu.
- Tổ chức buổi đào tạo đầu tiên khoảng 45 phút về nhận ra lừa đảo, với tình huống theo từng vai trò.
- Chọn một kênh báo sự cố duy nhất và công bố cho toàn công ty: báo ai, bằng cách nào, không bị trách khi báo nhầm.
- Viết một trang "khi có chuyện thì làm gì": gọi ngân hàng qua số chính thức, giữ bằng chứng, báo ai trong công ty, báo công an nơi đặt trụ sở.
- Rà lại nghĩa vụ về dữ liệu cá nhân của khách theo quy định hiện hành, nếu cần thì hỏi người có chuyên môn pháp lý.
Sau 90 ngày, công ty bạn không trở thành nơi không thể bị tấn công, nhưng đã ra khỏi nhóm dễ bị lấy tiền và mất dữ liệu nhất. Với doanh nghiệp nhỏ, đó là phần lợi lớn nhất trên mỗi giờ bỏ ra.
Mức chi phí: miễn phí, thấp, cần thuê ngoài
Bảng dưới xếp các việc trong lộ trình theo mức chi phí, để bạn biết việc nào làm ngay, việc nào cần dự trù. Không ghi giá cụ thể vì giá thay đổi theo thời gian và nhà cung cấp.
| Mức | Việc tiêu biểu | Ghi chú |
|---|---|---|
| Miễn phí | Xác thực hai lớp, đổi email khôi phục, quy tắc gọi lại, gỡ quyền người cũ, cập nhật phần mềm, đổi mật khẩu thiết bị, tách mạng khách có sẵn, quy định dùng AI, buổi đào tạo nội bộ | Chiếm phần lớn lợi ích, chỉ tốn thời gian |
| Thấp | Ổ cứng sao lưu, gói lưu trữ đám mây có giữ phiên bản, trình quản lý mật khẩu bản nhóm, tài khoản AI cho tổ chức, khoá bảo mật phần cứng cho chủ và kế toán | Thường tính theo tháng hoặc theo đầu người |
| Cần thuê ngoài | Chia vùng mạng, hệ thống sao lưu có giám sát cho máy chủ, cấu hình xác thực tên miền gửi thư, rà soát định kỳ, hỗ trợ khi có sự cố | Thuê theo việc hoặc theo hợp đồng hỗ trợ định kỳ |
Nếu ngân sách eo hẹp, hãy làm hết hàng miễn phí trước khi chi tiền cho bất kỳ thứ gì. Một phần mềm đắt tiền không bù được việc hộp thư kế toán chưa bật xác thực hai lớp.
Chọn và làm việc với người IT thuê ngoài
Thuê theo việc cụ thể. Sau 90 ngày, bạn biết rõ việc nào mình không tự làm được. Đưa cho người IT thuê ngoài một danh sách cụ thể như vậy sẽ dễ báo giá, dễ nghiệm thu hơn nhiều so với câu "anh xem giúp hệ thống công ty".
Đòi bàn giao bằng văn bản. Mọi việc người IT làm phải đi kèm tài liệu: thiết bị nào, cài gì, mật khẩu quản trị (để bạn đổi ngay), sao lưu chạy ở đâu. Không có tài liệu, công ty phụ thuộc vào một người.
Cấp quyền theo việc, gỡ khi xong. Người IT thuê ngoài cũng là một tài khoản có quyền cao. Tạo tài khoản riêng cho họ, không đưa tài khoản của chủ, và gỡ quyền khi hết hợp đồng, giống như với nhân viên nghỉ việc.
Hỏi về cách họ giữ thông tin của bạn. Họ lưu mật khẩu khách hàng ở đâu, ai trong nhóm họ được xem, họ có dùng công cụ AI để xử lý dữ liệu của khách không. Một bên làm nghề cẩn thận sẽ trả lời rõ ràng những câu này.
Cảnh giác với lời hứa chắc chắn. Cẩn trọng với ai hứa "chặn được mọi tấn công" hay đề nghị mua ngay một gói lớn khi chưa xem công ty bạn. Bảo mật cho doanh nghiệp nhỏ chủ yếu là nền nếp, và người làm nghề tốt sẽ nói với bạn như vậy.
Giữ nhịp sau 90 ngày
Phần khó nhất không phải 90 ngày đầu mà là năm sau đó. Nhân viên đến và đi, công cụ mới xuất hiện, chiêu lừa đổi theo mùa. Cách giữ nhịp đơn giản nhất là gắn việc bảo mật vào những mốc đã có sẵn của công ty: họp đầu tháng thì dành năm phút rà quyền tài khoản, chốt sổ quý thì thử khôi phục sao lưu và tổ chức buổi đào tạo ngắn, tổng kết năm thì rà lại danh sách "mất cái gì thì công ty ngừng chạy".
Mỗi khi công ty đổi gì đó lớn, như mở thêm chi nhánh, dùng phần mềm mới, bắt đầu cho nhân viên làm từ xa hay đưa công cụ AI có quyền đọc email vào quy trình, hãy hỏi lại ba câu ở đầu bài. Thay đổi lớn là lúc lỗ hổng mới xuất hiện, và cũng là lúc mọi người sẵn sàng thay đổi thói quen nhất.
Cuối cùng, ghi chép lại mọi việc đã làm trong một sổ đơn giản: ngày, việc, ai làm. Khi có chuyện, sổ này giúp bạn và người hỗ trợ biết ngay tình trạng của công ty. Khi khách hàng lớn hay đối tác hỏi công ty bảo vệ dữ liệu thế nào, nó cũng là câu trả lời có bằng chứng mà doanh nghiệp nhỏ ít khi có sẵn.
Câu hỏi thường gặp
Doanh nghiệp nhỏ không có IT nên bắt đầu bảo mật từ đâu?
Bắt đầu từ tài khoản và đường đi của tiền: bật xác thực hai lớp cho hộp thư, ngân hàng điện tử, fanpage, đặt quy tắc gọi lại xác minh cho mọi yêu cầu chuyển tiền bất thường. Đây là nơi phần lớn thiệt hại xảy ra và gần như không tốn chi phí.
Bảo mật cho doanh nghiệp nhỏ có tốn nhiều tiền không?
Phần lớn việc quan trọng nhất là miễn phí, chỉ tốn thời gian. Một số việc ở mức chi phí thấp như sao lưu, trình quản lý mật khẩu, và chỉ những phần phức tạp như chia vùng mạng hay máy chủ riêng mới cần thuê ngoài.
Có cần mua phần mềm bảo mật đắt tiền ngay từ đầu không?
Không nên mua trước khi làm xong các việc miễn phí như xác thực hai lớp, sao lưu, cập nhật phần mềm và đào tạo nhân viên. Phần mềm đắt không bù được nền nếp cơ bản còn thiếu.
Khi nào doanh nghiệp nhỏ nên thuê IT bên ngoài?
Khi đã tự làm hết phần cơ bản và còn lại những việc cần chuyên môn như chia vùng mạng, sao lưu máy chủ có giám sát, cấu hình xác thực tên miền gửi thư hoặc hỗ trợ khi có sự cố. Thuê theo danh sách việc cụ thể và đòi bàn giao bằng văn bản.
Lộ trình 90 ngày có phù hợp với cửa hàng chỉ ba bốn người không?
Phù hợp, chỉ cần rút gọn. Cửa hàng rất nhỏ có thể gộp tháng hai và tháng ba, bỏ phần chia vùng mạng phức tạp, nhưng vẫn giữ xác thực hai lớp, quy tắc gọi lại, sao lưu và một buổi nói chuyện với nhân viên về lừa đảo.
AI giúp được gì cho doanh nghiệp nhỏ trong việc bảo mật?
AI giúp đọc hiểu cài đặt, soạn quy định, bảng kiểm và tình huống đào tạo nhanh hơn. Điều kiện là không đưa dữ liệu thật như mật khẩu, danh sách khách hay số tài khoản vào chatbot, và luôn đối chiếu hướng dẫn với tài liệu chính thức hiện hành.