Quản lý quyền truy cập dữ liệu nhạy cảm trong hệ thống

Ban biên tập Alpha Security Hub · 19/05/2026 · Cập nhật 12/10/2026

Quản lý quyền truy cập là việc đảm bảo đúng người, đúng thời điểm, chỉ được truy cập đúng dữ liệu cần cho công việc. Với dữ liệu nhạy cảm như thông tin khách hàng, tài chính, hồ sơ nhân sự, đây là lớp bảo vệ quan trọng không kém mã hóa: dữ liệu được mã hóa vẫn hiện ra rõ ràng với người có quyền đọc. Bài viết trình bày các nguyên tắc, mô hình và quy trình giúp doanh nghiệp kiểm soát quyền truy cập một cách có hệ thống.

Vì sao quyền truy cập thường bị "phình to"

Trong nhiều tổ chức, quyền truy cập tăng dần theo thời gian mà ít khi được thu hồi:

Nhân viên chuyển phòng ban nhưng giữ quyền cũ.
Quyền được cấp tạm thời cho một dự án rồi không ai thu hồi.
Để tiện, nhiều người dùng chung một tài khoản quản trị.
Thư mục được chia sẻ cho "toàn công ty" để khỏi phải phân quyền chi tiết.
Tài khoản của người đã nghỉ việc vẫn hoạt động.

Hậu quả là khi một tài khoản bị chiếm, kẻ tấn công có trong tay nhiều hơn mức cần thiết. Đây cũng là nguồn rủi ro rò rỉ nội bộ lớn.

Nguyên tắc nền tảng

Đặc quyền tối thiểu

Mỗi người dùng, ứng dụng, dịch vụ chỉ được cấp quyền tối thiểu cần để thực hiện nhiệm vụ. Mặc định là từ chối, chỉ cho phép khi có lý do.

Cần biết (need-to-know)

Ngay cả khi có thẩm quyền chung, người dùng chỉ truy cập dữ liệu cụ thể khi công việc đòi hỏi. Ví dụ, nhân viên chăm sóc khách hàng xem được hồ sơ khách hàng đang hỗ trợ, không phải xuất toàn bộ danh sách.

Phân tách nhiệm vụ

Các thao tác quan trọng cần nhiều người tham gia. Người tạo lệnh chi không đồng thời là người duyệt; người quản trị cơ sở dữ liệu không đồng thời quản lý khóa mã hóa.

Các mô hình phân quyền

Mô hình	Cách hoạt động	Phù hợp
RBAC (theo vai trò)	Quyền gắn với vai trò như "kế toán", "kinh doanh"; người dùng được gán vai trò	Đa số doanh nghiệp, dễ quản lý
ABAC (theo thuộc tính)	Quyền quyết định bởi thuộc tính người dùng, dữ liệu, ngữ cảnh như phòng ban, khu vực, giờ, thiết bị	Tổ chức cần kiểm soát chi tiết, linh hoạt
Quyền cấp theo yêu cầu (JIT)	Quyền cao chỉ được cấp khi cần, trong thời gian giới hạn	Quyền quản trị, truy cập dữ liệu đặc biệt nhạy cảm

Nhiều tổ chức bắt đầu với RBAC, sau đó bổ sung điều kiện ngữ cảnh như chỉ cho phép truy cập từ thiết bị công ty, hoặc yêu cầu xác thực lại khi xem dữ liệu nhạy cảm.

Thiết kế vai trò hợp lý

Liệt kê các chức năng công việc trong tổ chức.
Với mỗi chức năng, xác định hệ thống và dữ liệu cần thiết, mức độ: xem, sửa, xóa, xuất.
Gom thành vai trò; tránh tạo quá nhiều vai trò riêng lẻ cho từng người.
Xác định chủ sở hữu dữ liệu: người có trách nhiệm phê duyệt quyền truy cập cho từng tập dữ liệu.
Tài liệu hóa ma trận vai trò - quyền.

Quản lý tài khoản đặc quyền

Tài khoản quản trị là mục tiêu hàng đầu của kẻ tấn công. Biện pháp:

Tách tài khoản quản trị khỏi tài khoản làm việc hằng ngày.
Bắt buộc xác thực đa yếu tố mạnh.
Không dùng chung tài khoản; mỗi quản trị viên có tài khoản riêng để truy vết.
Lưu mật khẩu tài khoản dịch vụ, tài khoản khẩn cấp trong kho bí mật có kiểm soát.
Ghi nhật ký và, với hệ thống quan trọng, ghi lại phiên làm việc đặc quyền.
Cấp quyền cao theo yêu cầu và tự động hết hạn.

Quy trình vào - chuyển - nghỉ việc

Sự kiện	Việc cần làm
Nhân viên mới	Cấp quyền theo vai trò, không sao chép quyền từ người khác
Chuyển vị trí	Thu hồi quyền vai trò cũ, cấp quyền vai trò mới
Nghỉ việc	Vô hiệu hóa tài khoản đúng thời điểm, thu hồi thiết bị, chuyển giao dữ liệu, đổi mật khẩu dùng chung nếu có
Nhà thầu, đối tác	Tài khoản riêng, có ngày hết hạn, phạm vi hẹp

Kết nối hệ thống nhân sự với hệ thống quản lý danh tính giúp tự động hóa các bước này, giảm sót lọt.

Rà soát quyền định kỳ

Định kỳ, ví dụ mỗi quý hoặc nửa năm, chủ sở hữu dữ liệu và quản lý xác nhận lại danh sách người có quyền. Những quyền không được xác nhận sẽ bị thu hồi. Ưu tiên rà soát dữ liệu nhạy cảm và tài khoản đặc quyền thường xuyên hơn. Rà soát quyền cũng là hạng mục quan trọng trong kiểm toán an toàn thông tin định kỳ.

Kiểm soát kỹ thuật bổ trợ

Đăng nhập một lần (SSO) với MFA: quản lý tập trung, thu hồi một lần là mất quyền mọi nơi.
Che dữ liệu: chỉ hiển thị một phần thông tin nhạy cảm cho vai trò không cần xem đầy đủ.
Giới hạn xuất dữ liệu: hạn chế quyền xuất hàng loạt.
Nhật ký truy cập: ghi lại ai xem gì, khi nào, phục vụ điều tra và phát hiện bất thường.
Mã hóa làm lớp bảo vệ thêm; xem bài mã hóa cơ sở dữ liệu.

Tài khoản dịch vụ và ứng dụng

Không chỉ con người, các ứng dụng và tích hợp cũng có quyền truy cập. Tài khoản dịch vụ thường có quyền rộng và mật khẩu không bao giờ đổi. Hãy kiểm kê chúng, giới hạn quyền, xoay vòng thông tin xác thực, và xóa những tích hợp không còn dùng. Người dùng cá nhân có thể áp dụng tư duy tương tự khi rà soát ứng dụng liên kết với tài khoản mạng xã hội, như trong bài kiểm tra ứng dụng liên kết Facebook.

Bắt đầu từ đâu

Vô hiệu hóa tài khoản của người đã nghỉ việc.
Bật MFA cho mọi tài khoản quản trị.
Liệt kê ai đang có quyền vào dữ liệu nhạy cảm nhất.
Thu hồi chia sẻ "toàn công ty" với thư mục nhạy cảm.
Thiết kế vai trò cơ bản và lên lịch rà soát.

Câu hỏi thường gặp

RBAC và ABAC khác nhau thế nào?

RBAC cấp quyền theo vai trò cố định, dễ hiểu và dễ quản lý. ABAC quyết định dựa trên nhiều thuộc tính như phòng ban, vị trí, thiết bị, thời gian, linh hoạt hơn nhưng phức tạp hơn khi thiết kế.

Bao lâu nên rà soát quyền truy cập một lần?

Nhiều tổ chức rà soát mỗi quý hoặc nửa năm, và thường xuyên hơn với tài khoản đặc quyền và dữ liệu đặc biệt nhạy cảm. Ngoài ra cần rà soát khi có thay đổi tổ chức lớn.

Có nên dùng chung tài khoản quản trị trong nhóm IT?

Không nên. Tài khoản dùng chung khiến không thể truy vết ai đã làm gì và khó thu hồi khi có người nghỉ. Mỗi quản trị viên nên có tài khoản riêng với MFA.

Quyền truy cập theo yêu cầu (JIT) là gì?

Là cơ chế chỉ cấp quyền cao khi người dùng thực sự cần, trong khoảng thời gian giới hạn, sau đó tự động thu hồi. Cách này giảm thời gian tài khoản có quyền cao tồn tại.

Bài liên quan

Bảo mật thiết bị lưu trữ di động USB và ổ cứng ngoài

An Ninh Dữ Liệu