**1. Đánh giá rủi ro truy cập từ xa** - Liệt kê tất cả các điểm kết nối: VPN, Remote Desktop, các dịch vụ đám mây (Office 365, Google Workspace). - Xác định dữ liệu nhạy cảm nào có thể bị lộ nếu thiết bị nhân viên bị mất hoặc bị mã độc xâm nhập. - Ví dụ thực tế: Một công ty 30 nhân viên tại Hà Nội để VPN mở mà không yêu cầu xác thực đa yếu tố (MFA); một laptop bị đánh cắp dẫn đến rò rỉ hợp đồng khách hàng. **2. Triển khai xác thực đa yếu tố (MFA) bắt buộc** - Bật MFA cho mọi tài khoản truy cập VPN, email, và các ứng dụng SaaS. - Sử dụng ứng dụng xác thực (Microsoft Authenticator, Google Authenticator) thay vì SMS để tránh tấn công SIM‑swap. - Cấu hình chính sách "MFA luôn bật" trên Azure AD hoặc Google Admin Console. **3. Áp dụng nguyên tắc Zero Trust cho kết nối từ xa** - Không tin tưởng thiết bị chỉ vì nó kết nối qua VPN. Yêu cầu thiết bị đáp ứng baseline bảo mật: hệ điều hành cập nhật, phần mềm chống mã độc hoạt động, disk encryption bật. - Sử dụng giải pháp NAC (Network Access Control) hoặc Conditional Access để chặn thiết bị không tuân thủ. **4. Giám sát và ghi log hoạt động truy cập** - Bật log VPN, log đăng nhập Azure AD/Google Workspace, và log truy cập file chia sẻ. - Triển khai SIEM nhẹ (ví dụ: Wazuh, Elastic SIEM free) để cảnh báo khi có đăng nhập từ địa lý bất thường, nhiều lần sai MFA, hoặc tải dữ liệu lớn ngoài giờ làm việc. - Thiết lập quy trình review log hàng tuần 15 phút bởi người phụ trách IT. **5. Đào tạo và mô phỏng tấn công định kỳ** - Tổ chức buổi đào tạo 30 phút mỗi quý về lừa đảo email, việc chia sẻ mật khẩu, và cách báo cáo sự cố. - Gửi email phishing mô phỏng (có công cụ miễn phí như GoPhish) để đo lường tỷ lệ click; sau đó phản hồi ngay cho nhân viên sai. - Cập nhật chính sách bảo mật dựa trên kết quả mô phỏng. **Lời khuyên nhanh** - Luôn giữ bản sao lưu ngoại tuyến (offline backup) của dữ liệu quan trọng; ransomware thường mã hóa cả ổ cứng mạng nếu có quyền truy cập. - Hạn chế quyền admin trên máy nhân viên; chỉ cấp quyền cần thiết cho công việc. - Sử dụng mật khẩu quản lý tập trung (password manager doanh nghiệp) để tránh dùng lại mật khẩu yếu. Với 5 bước trên, doanh nghiệp vừa và nhỏ có thể giảm thiểu đáng kể rủi ro từ việc nhân viên làm việc từ xa, đồng thời tuân thủ các yêu cầu bảo mật cơ bản mà không cần đầu tư hệ thống phức tạp.