Người làm IT kiêm bảo mật ở công ty nhỏ nên ưu tiên theo thứ tự: biết mình đang giữ những gì, khoá chặt tài khoản quan trọng, đảm bảo sao lưu khôi phục được, rồi mới tới giám sát, quy định và đào tạo. Làm ngược thứ tự, ví dụ mua công cụ giám sát khi chưa biết công ty có bao nhiêu tài khoản quản trị, là cách tốn tiền mà rủi ro không giảm.
Bài này viết cho người đang ở vị trí đó: một mình, hoặc cùng một hai người, lo cả máy in, mạng Wi-Fi, phần mềm kế toán, email, lẫn câu hỏi "có bị hack không" của giám đốc. Danh mục Bảo mật cho doanh nghiệp nhỏ trên trang này đã có các hướng dẫn chi tiết từng biện pháp; ở đây nói về cách tổ chức công việc của chính bạn: chọn việc, giữ ranh giới, báo cáo, và phát triển nghề trong vai trò kiêm nhiệm.
Hiểu đúng vai của mình trước khi làm
Người làm IT kiêm nhiệm thường rơi vào một trong hai cái bẫy. Bẫy thứ nhất: coi bảo mật là việc "khi nào rảnh thì làm", và vì không bao giờ rảnh nên không bao giờ làm. Bẫy thứ hai: nhận hết trách nhiệm bảo mật của công ty lên vai mình, trong khi quyền quyết định ngân sách, quy định và kỷ luật nằm ở giám đốc.
Cách thoát cả hai bẫy là thống nhất vai trò bằng văn bản, dù chỉ là một email ngắn. Nội dung gồm: bạn phụ trách những việc bảo mật nào, mỗi tuần dành khoảng bao nhiêu thời gian, việc gì cần giám đốc quyết, và khi có sự cố thì báo ai trong bao lâu. Email này bảo vệ cả hai bên: giám đốc biết rủi ro nào đang được lo và rủi ro nào chưa, còn bạn không bị quy trách nhiệm cho thứ ngoài quyền mình.
Hãy nhớ: trách nhiệm cuối cùng về an toàn thông tin của doanh nghiệp thuộc về người điều hành, kể cả theo tinh thần các quy định về bảo vệ dữ liệu cá nhân. Người làm IT là người thực hiện và tư vấn. Nói rõ điều này không phải đùn đẩy, mà là để quyết định đúng người đúng việc.
Ba tháng đầu: thứ tự ưu tiên
Bảng dưới là thứ tự gợi ý khi bạn mới nhận vai trò hoặc mới quyết định làm bảo mật nghiêm túc. Mỗi tháng có một đầu ra để báo cáo giám đốc.
| Thời gian | Việc chính | Đầu ra |
|---|---|---|
| Tháng 1, tuần 1–2 | Lập danh sách tài sản: máy tính, thiết bị mạng, tài khoản quản trị, dịch vụ trực tuyến công ty đang dùng, ai giữ mật khẩu nào | Một bảng tài sản, dù còn thiếu |
| Tháng 1, tuần 3–4 | Khoá tài khoản quan trọng nhất: email giám đốc và kế toán, ngân hàng điện tử, trang quản trị bán hàng, fanpage | Danh sách tài khoản đã bật xác thực nhiều lớp và đổi mật khẩu |
| Tháng 2 | Kiểm sao lưu: dữ liệu nào được sao lưu, ở đâu, khôi phục thử một lần | Biên bản khôi phục thử thành công hoặc danh sách thiếu sót |
| Tháng 2 | Cập nhật phần mềm và tắt những gì không dùng | Danh sách máy và thiết bị đã cập nhật |
| Tháng 3 | Quy trình vào làm, nghỉ việc; quy định ngắn về dùng AI và dữ liệu | Hai quy trình một trang được giám đốc duyệt |
| Tháng 3 | Buổi nói chuyện ngắn với nhân viên về lừa đảo hiện hành | Danh sách người tham dự, câu hỏi thường gặp |
Thứ tự này dựa trên nguyên lý đơn giản: không biết mình có gì thì không bảo vệ được; tài khoản là cửa ngõ của phần lớn sự cố ở doanh nghiệp nhỏ; và sao lưu khôi phục được là tấm lưới cuối cùng khi mọi thứ khác hỏng.
Giữ ranh giới khi việc gì cũng đổ về mình
Tách việc gấp khỏi việc quan trọng. Máy in hỏng là gấp; rà quyền tài khoản là quan trọng. Nếu không giữ một khung giờ cố định mỗi tuần cho việc quan trọng, việc gấp sẽ ăn hết thời gian. Hai buổi sáng mỗi tuần, có ghi lịch, là mức nhiều người duy trì được.
Biết khi nào cần người ngoài. Điều tra một sự cố nghiêm trọng, đánh giá bảo mật cho khách hàng lớn yêu cầu, hay cấu hình một hệ thống mình chưa từng làm là những lúc nên đề xuất thuê chuyên gia bên ngoài. Đề xuất sớm tốt hơn tự xoay xở rồi làm hỏng bằng chứng.
Không giữ một mình mọi mật khẩu. Nếu bạn nghỉ ốm hay nghỉ việc mà công ty không vào được hệ thống, đó là rủi ro. Thống nhất với giám đốc một cách lưu trữ mật khẩu quản trị an toàn mà người được uỷ quyền truy cập được khi cần.
Từ chối có lý do. Khi được yêu cầu làm việc trái nguyên tắc, như cho cả phòng dùng chung một tài khoản quản trị cho tiện, hãy giải thích rủi ro bằng văn bản, đề xuất cách khác, và nếu giám đốc vẫn quyết, ghi lại quyết định đó.
Báo cáo với giám đốc: ít, đều, dễ hiểu
Giám đốc công ty nhỏ hiếm khi có thời gian đọc báo cáo dài. Một bản tin hằng tháng nửa trang thường hiệu quả hơn: đã làm gì tháng này, rủi ro lớn nhất hiện còn, việc cần giám đốc quyết hoặc duyệt, kế hoạch tháng sau. Viết bằng ngôn ngữ kinh doanh: tài khoản ngân hàng, đơn hàng, dữ liệu khách, thời gian ngừng làm việc.
Ví dụ giả định một dòng tốt: "Đã bật bước nhập mã điện thoại cho email của kế toán và giám đốc; nếu ai đó lấy được mật khẩu, họ vẫn không vào được hộp thư để giả danh yêu cầu chuyển tiền." Một dòng kém: "Đã cấu hình xác thực đa yếu tố cho hai tài khoản."
Báo cáo đều đặn còn có một tác dụng ít người để ý: khi có sự cố, giám đốc đã quen nghe bạn nói về rủi ro, nên sẽ tin và hành động nhanh hơn. Người chỉ xuất hiện khi có chuyện thường bị nghe như người báo tin xấu, không phải người giữ nhà.
Một tuần làm việc mẫu của người kiêm nhiệm
Ví dụ giả định cho một văn phòng khoảng ba mươi người, một nhân viên IT. Con số giờ chỉ để hình dung tỷ lệ; điều chỉnh theo thực tế của bạn.
- Sáng thứ Hai (30 phút): xem nhanh cảnh báo của hệ thống email và tài khoản đám mây trong tuần qua: đăng nhập lạ, quy tắc chuyển thư mới, chia sẻ tệp ra ngoài.
- Sáng thứ Ba (2 giờ, khung cố định): làm một việc trong danh sách ưu tiên, ví dụ rà quyền thư mục dùng chung của phòng kế toán. Khung giờ này được báo trước với mọi người, chỉ việc thật sự khẩn mới được chen.
- Các ngày trong tuần: hỗ trợ người dùng như thường lệ, nhưng mỗi lần gặp chuyện liên quan bảo mật, ghi một dòng vào nhật ký công việc.
- Sáng thứ Năm (2 giờ, khung cố định): tiếp tục việc ưu tiên, hoặc kiểm sao lưu và cập nhật phần mềm.
- Chiều thứ Sáu (30 phút): cập nhật bảng tài sản nếu có thay đổi, ghi lại việc đã xong, chọn việc ưu tiên tuần sau.
- Cuối tháng (1 giờ): viết bản tin nửa trang cho giám đốc từ nhật ký công việc của bốn tuần.
Khoảng năm giờ mỗi tuần cho bảo mật nghe ít, nhưng giữ đều đặn trong một năm là hơn hai trăm giờ việc có chủ đích, đủ để đưa một văn phòng từ chỗ không ai lo sang chỗ nền tảng chắc chắn.
Phát triển nghề trong vai trò kiêm nhiệm
Làm IT kiêm bảo mật ở công ty nhỏ là nơi học rất nhiều nếu bạn có ý thức ghi lại. Một số cách để vai trò này trở thành bước tiến nghề nghiệp:
- Giữ nhật ký công việc bảo mật: mỗi việc đã làm, mỗi sự cố đã xử lý, kết quả ra sao. Sau một năm đây là hồ sơ năng lực thật.
- Chọn một mảng để đi sâu theo nhu cầu của công ty, ví dụ bảo mật email và tài khoản đám mây, thay vì học dàn trải.
- Dành một hai giờ mỗi tuần để tự học có hệ thống, kèm lab riêng ở nhà cho những gì không được thử trên hệ thống công ty.
- Đề xuất công ty hỗ trợ một phần chi phí học hoặc thi chứng chỉ gắn với việc đang làm, kèm kế hoạch áp dụng cụ thể.
- Tham gia nhóm cộng đồng của những người làm IT ở doanh nghiệp nhỏ để hỏi kinh nghiệm, nhớ không chia sẻ thông tin nhận diện được công ty.
Với nhiều người, vài năm kiêm nhiệm ở công ty nhỏ, nếu có ghi chép, là bước đệm sang các vị trí giám sát hay bảo mật hạ tầng chuyên trách. Không có gì đảm bảo trước, nhưng kinh nghiệm xử lý việc thật luôn được hỏi tới trong phỏng vấn.
Dùng AI để làm nhanh mà không tạo rủi ro mới
Người làm một mình được lợi nhiều từ chatbot: soạn nháp quy định, viết hướng dẫn cho nhân viên, giải thích một cảnh báo lạ từ hệ thống email, gợi ý danh sách kiểm cho việc cấu hình một thiết bị. Một câu lệnh mẫu: "Soạn một quy trình một trang cho việc thu hồi quyền khi nhân viên nghỉ việc ở văn phòng hai mươi người dùng email đám mây và phần mềm kế toán, viết dạng danh sách kiểm, ngôn ngữ dễ hiểu".
Rủi ro nằm ở hai chỗ. Thứ nhất, dán dữ liệu thật của công ty vào chatbot cá nhân: danh sách nhân viên, cấu hình, ảnh chụp màn hình trang quản trị. Hãy che hết thông tin nhận diện, và nếu công ty chưa có quy định dùng AI, đó chính là việc nên đề xuất. Thứ hai, làm theo hướng dẫn của AI trên hệ thống thật mà không kiểm: tên menu, tuỳ chọn và tác động của một thay đổi cấu hình có thể khác giữa các phiên bản. Kiểm với tài liệu chính thức, thử ở nơi ít ảnh hưởng trước, và luôn có cách quay lại.
Câu hỏi thường gặp
Một người làm IT có lo được bảo mật cho cả công ty không?
Ở công ty vài chục người, một người có thể lo được phần nền: tài khoản, sao lưu, cập nhật, quy trình cơ bản, đào tạo nhân viên. Những việc chuyên sâu như điều tra sự cố nghiêm trọng hay đánh giá theo tiêu chuẩn thì nên có hỗ trợ từ bên ngoài. Quan trọng là giám đốc hiểu rõ phần nào đang được lo và phần nào chưa.
Giám đốc không cấp ngân sách cho bảo mật thì làm gì?
Bắt đầu với những việc gần như không tốn tiền: bật xác thực nhiều lớp, đổi mật khẩu mặc định, rà quyền, kiểm sao lưu, cập nhật phần mềm. Ghi lại kết quả và rủi ro còn lại. Khi đề xuất chi tiêu, nói bằng hậu quả kinh doanh và đưa vài phương án, để giám đốc có lựa chọn.
Nên ưu tiên chống lừa đảo hay chống phần mềm độc hại trước?
Ở doanh nghiệp nhỏ, nhiều sự cố bắt đầu từ tài khoản bị chiếm hoặc nhân viên bị lừa qua email, tin nhắn. Vì vậy khoá tài khoản quan trọng và giúp nhân viên nhận ra lừa đảo thường đứng trước. Cập nhật phần mềm và sao lưu đi kèm ngay sau, vì chúng giảm hậu quả khi phần mềm độc hại lọt vào.
Có nên tự học để thi chứng chỉ trong lúc làm kiêm nhiệm không?
Có thể, nếu chứng chỉ gắn với việc bạn đang làm, ví dụ nền tảng bảo mật hoặc chứng chỉ của nền tảng email, đám mây công ty đang dùng. Học gắn với việc thật giúp nhớ lâu và áp dụng ngay. Đừng để việc ôn thi lấn hết khung giờ dành cho việc bảo mật quan trọng của công ty.
Khi có sự cố mà không chắc mình xử lý được thì sao?
Báo giám đốc ngay, giữ nguyên hiện trạng hết mức có thể, ghi lại những gì đã thấy và đã làm kèm thời gian, và đề xuất mời người có chuyên môn hỗ trợ. Đừng xoá dữ liệu hay cài lại máy vội vì có thể mất bằng chứng. Danh mục xử lý sự cố trên trang này có hướng dẫn từng bước cho từng loại.