Trả lời nhanh: Phân quyền quản trị IT tốt là mỗi cá nhân có đúng quyền cần cho công việc, sử dụng tài khoản định danh riêng, được ghi nhận lịch sử thay đổi và có quy trình thu hồi quyền khi chuyển việc. Tài khoản quản trị dùng chung, đặc biệt là tài khoản có toàn quyền hệ thống, khiến doanh nghiệp khó xác định ai đã thực hiện một thay đổi và khó giảm thiểu thiệt hại khi thông tin đăng nhập bị lộ.
Vì sao tài khoản admin dùng chung là điểm yếu?
Ở nhiều doanh nghiệp, tài khoản administrator, tài khoản quản lý firewall hoặc tài khoản quản trị Microsoft 365 được truyền từ nhân viên cũ sang người mới. Cách làm này có vẻ thuận tiện vì không mất công cấp quyền, nhưng kéo theo ba rủi ro: không thể quy trách nhiệm theo người dùng, mật khẩu có thể tiếp tục nằm trong thiết bị/tài liệu cũ và một sự cố đánh cắp tài khoản có thể ảnh hưởng nhiều hệ thống cùng lúc.
Mức độ nghiêm trọng không phụ thuộc vào số nhân sự. Công ty chỉ có 20 người nhưng dùng một tài khoản admin quản lý máy chủ kế toán, email và NAS vẫn phải đối diện rủi ro tập trung. Việc sửa không nhất thiết bắt đầu bằng mua phần mềm đắt tiền; bước đầu có thể là kiểm kê và tách quyền theo vai trò.
Bốn loại tài khoản cần tách rõ
| Loại tài khoản | Dùng cho | Cách quản lý nên áp dụng |
|---|---|---|
| Người dùng thông thường | Email, ứng dụng, dữ liệu công việc | Không cấp local admin mặc định |
| Tài khoản quản trị cá nhân | Thay đổi cấu hình theo nhiệm vụ | Tài khoản riêng, MFA, log đầy đủ |
| Tài khoản dịch vụ | Chạy ứng dụng hoặc tự động hóa | Giới hạn quyền, quản lý secret và vòng đời |
| Tài khoản khẩn cấp | Khôi phục quyền khi hệ thống xác thực lỗi | Bảo quản, giám sát và thử quy trình định kỳ |
Tài khoản khẩn cấp là cơ chế dự phòng có kiểm soát, không phải mật khẩu chia sẻ công khai. Phải có người chịu trách nhiệm cất giữ, điều kiện sử dụng và cách phát hiện khi tài khoản được kích hoạt.
Nguyên tắc ít đặc quyền áp dụng trong văn phòng
Người phụ trách hỗ trợ máy in không cần quyền quản trị toàn bộ domain. Nhân viên kế toán cần đọc/ghi thư mục nghiệp vụ, nhưng không có lý do xem thư mục nhân sự. Nhà cung cấp phần mềm được cấp quyền vào đúng server liên quan, theo thời hạn cụ thể thay vì một tài khoản quản trị có hiệu lực vô hạn.
Đối với Microsoft 365, nên sử dụng role chuyên biệt khi khả thi và tránh dùng Global Administrator cho việc hằng ngày. Với firewall, phân tách quyền giám sát, chỉnh cấu hình và phê duyệt nếu thiết bị hỗ trợ. Với Windows, xem xét các cơ chế quản lý mật khẩu local admin thay vì đặt cùng một mật khẩu trên toàn bộ máy.
Quy trình thay đổi quyền: yêu cầu, duyệt, thực hiện, kiểm tra
- Yêu cầu: Ghi rõ người cần quyền, tài nguyên, lý do và thời hạn.
- Phê duyệt: Chủ hệ thống hoặc người quản lý bộ phận xác nhận nhu cầu.
- Thực hiện: IT gán quyền tối thiểu và xác thực người nhận.
- Kiểm tra: Thử nhiệm vụ chính, đảm bảo quyền không mở rộng ngoài dự kiến.
- Đóng và rà soát: Lưu ticket; thu hồi quyền tạm thời khi hết hạn.
Mỗi quý nên rà soát các tài khoản có đặc quyền cao, tài khoản không đăng nhập lâu ngày và quyền của bên thứ ba. Với thay đổi liên quan nhân sự, bộ phận hành chính/nhân sự cần thông báo IT trước ngày hiệu lực.
Kịch bản chuyển giao khi IT Manager nghỉ việc
Doanh nghiệp cần nhận lại danh sách hệ thống, mật khẩu/tài khoản được quản lý qua kho bí mật phù hợp, giấy phép, tài liệu cấu hình, quyền trên nhà cung cấp cloud, DNS, tên miền và hệ thống backup. Kiểm tra các tài khoản có quyền truy cập từ xa, API token, khóa SSH, VPN và thiết bị cá nhân đã từng kết nối. Sau đó luân chuyển bí mật nhạy cảm, thu hồi quyền cũ và xác nhận tính liên tục của dịch vụ trước khi kết thúc bàn giao.
Không nên chỉ đổi một mật khẩu rồi coi như đã xong: các phiên đăng nhập, token và quyền ủy quyền có thể cần thu hồi riêng tùy nền tảng.
Checklist 10 mục cho doanh nghiệp
- Có danh mục tài khoản đặc quyền cho từng nền tảng.
- Mỗi kỹ thuật viên có danh tính riêng, không chia sẻ tài khoản hằng ngày.
- MFA được bật, đặc biệt đối với quyền quản trị cloud và truy cập từ xa.
- Người phê duyệt quyền và người thực hiện được ghi nhận rõ.
- Quyền của vendor có thời hạn, có nhật ký truy cập.
- Tài khoản không còn sử dụng được vô hiệu hóa.
- Các bí mật không được đặt trong file Excel công khai hoặc nhóm chat.
- Có cơ chế dự phòng khi mất phương thức đăng nhập quản trị.
- Tài liệu cấu hình được bàn giao cho doanh nghiệp.
- Có lịch kiểm tra quyền định kỳ.
Tham khảo dịch vụ IT doanh nghiệp và giải pháp an ninh mạng của SMNET để tổ chức quản trị quyền cùng quy trình hỗ trợ.
Câu hỏi thường gặp
IT thuê ngoài có được giữ mật khẩu hệ thống?
Có thể được cấp quyền theo hợp đồng, nhưng quyền sở hữu và cơ chế kiểm soát phải thuộc doanh nghiệp. Nên cấp tài khoản riêng, có thể thu hồi và lưu dấu vết thay đổi.
Có nên cấp local admin cho tất cả nhân viên?
Thông thường không. Chỉ cấp khi có nhu cầu nghiệp vụ xác minh được, cân nhắc quyền tạm thời hoặc cơ chế phê duyệt.
Tài khoản khẩn cấp có cần MFA?
Thiết kế tùy nền tảng và kịch bản khóa tài khoản; cần bám hướng dẫn nhà cung cấp để tránh mất quyền truy cập hàng loạt khi hệ thống xác thực gặp sự cố. Không dùng tài khoản dự phòng cho công việc thường nhật.
