Trong mô hình làm việc kết hợp, ranh giới giữa thiết bị cá nhân và thiết bị công ty trở nên mờ nhạt. Một tài khoản bị lộ có thể mở cửa cho kẻ tấn công xâm nhập hệ thống nội bộ, đánh cắp dữ liệu nhạy cảm hoặc gieo mã độc. Dưới đây là những bước thực tế giúp mỗi nhân viên và nhóm quản trị xây dựng thói quen bảo mật bền vững. 1. Sử dụng trình quản lý mật khẩu duy nhất - Chọn một công cụ quản lý mật khẩu uy tín (ví dụ: Bitwarden, 1Password) và bật đồng bộ hóa trên mọi thiết bị. - Tạo mật khẩu riêng biệt cho từng dịch vụ, độ dài tối thiểu 16 ký tự, kết hợp chữ hoa, chữ thường, số và ký tự đặc biệt. - Không chia sẻ mật khẩu qua email, chat hay giấy tờ in. 2. Bật xác thực đa yếu tố (MFA) cho mọi tài khoản quan trọng - Ưu tiên phương thức dựa trên ứng dụng authenticator (Google Authenticator, Microsoft Authenticator) hoặc khóa phần cứng (YubiKey) thay vì SMS. - Đăng ký ít nhất hai phương thức dự phòng để tránh bị khóa khi mất thiết bị chính. 3. Phân tách không gian làm việc trên thiết bị cá nhân - Tạo hồ sơ người dùng riêng cho công việc (Windows: "Work profile", macOS: "Managed Apple ID", Android: "Work profile"). - Cài đặt chính sách mã hóa ổ cứng, tự động khóa màn hình sau 5 phút không hoạt động. - Không lưu trữ tài liệu công ty ở thư mục cá nhân (Downloads, Desktop) mà dùng thư mục đồng bộ được quản trị (OneDrive for Business, Google Drive Enterprise). 4. Quy trình cấp và thu hồi quyền truy cập nhóm - Khi thành viên mới gia nhập, quản trị viên cấp quyền theo nguyên tắc "ít nhất cần thiết" (least privilege). - Thiết lập lịch xem xét hàng quý: kiểm tra danh sách thành viên nhóm, nhóm chia sẻ, quyền truy cập ứng dụng SaaS. - Khi nhân viên nghỉ việc hoặc chuyển phòng ban, thu hồi toàn bộ quyền trong vòng 24 giờ và xoá tài khoản khỏi các nhóm chia sẻ. 5. Giám sát và phản hồi nhanh khi phát hiện bất thường - Bật cảnh báo đăng nhập từ vị trí mới, thiết bị mới trên các dịch vụ quan trọng (Microsoft 365, Google Workspace, GitHub). - Huấn luyện nhân viên nhận diện email giả mạo, liên kết độc hại và báo cáo ngay cho bộ phận IT. - Duy trì nhật ký sự cố (incident log) đơn giản: thời gian, mô tả, hành động khắc phục, người chịu trách nhiệm. 6. Văn hóa "bảo mật là trách nhiệm chung" - Tổ chức buổi chia sẻ 15 phút mỗi tháng về một chủ đề thực tế (ví dụ: cách nhận diện QR code lừa đảo, cập nhật firmware router gia đình). - Khuyến khích đồng nghiệp nhắc nhở lẫn nhau khi thấy thói quen rủi ro (mật khẩu ghi trên giấy, màn hình không khóa). - Công nhận và ghi nhận những người báo cáo sự cố kịp thời để tạo động lực tích cực. Kết luận: Bảo mật tài khoản không phải là công việc một lần mà là chuỗi thói quen hàng ngày. Khi mỗi cá nhân áp dụng trình quản lý mật khẩu, bật MFA, phân tách môi trường làm việc và tuân thủ quy trình cấp/thu hồi quyền, toàn bộ tổ chức sẽ có lớp phòng thủ vững chắc trước các mối đe dọa phổ biến trong môi trường làm việc kết hợp.