Quản trị danh tính và truy cập (Identity and Access Management – IAM) là nền tảng để kiểm soát ai được làm gì trên hệ thống. Dưới đây là 5 bước thực tế giúp doanh nghiệp vừa và nhỏ (SME) xây dựng IAM chắc chắn mà không cần đội ngũ bảo mật lớn. 1. Kiểm tra tài sản danh tính hiện có - Liệt kê mọi tài khoản: nhân viên, nhà cung cấp, dịch vụ đám mây, tài khoản dịch vụ (service accounts). - Phân loại theo mức độ nhạy cảm (quản trị, tài chính, dữ liệu khách hàng). - Ví dụ: Công ty thương mại điện tử nhỏ phát hiện 12 tài khoản quản trị cũ vẫn còn hoạt động sau khi nhân viên nghỉ việc. 2. Áp dụng nguyên tắc đặc quyền tối thiểu (Least Privilege) - Chỉ cấp quyền cần thiết cho từng vai trò. - Sử dụng nhóm (group) và chính sách dựa trên vai trò (RBAC) thay vì gán quyền cho từng người. - Mẹo: Tạo ba nhóm cơ bản – Admin, Operator, Viewer – và gán người dùng vào nhóm phù hợp. 3. Triển khai xác thực đa yếu tố (MFA) bắt buộc - Bật MFA cho mọi tài khoản truy cập hệ thống quan trọng (VPN, email, console đám mây, CRM). - Ưu tiên phương pháp ứng dụng authenticator hoặc khóa phần cứng thay vì SMS. - Thực tế: Đại lý marketing sau khi bật MFA cho tài khoản Google Workspace giảm 90% vụ đăng nhập trái phép trong 3 tháng. 4. Tự động hóa provisioning và de‑provisioning - Kết nối hệ thống HR (bảng lương, phần mềm quản trị nhân sự) với thư mục danh tính (Azure AD, Google Directory, Okta). - Khi nhân viên nhập/nghỉ, tài khoản được tạo/khóa tự động trong vòng vài phút. - Điều này loại bỏ rủi ro "tài khoản mồ côi" – nguyên nhân phổ biến của rò rỉ dữ liệu. 5. Giám sát, ghi nhật ký và kiểm toán liên tục - Bật ghi log đăng nhập, thay đổi quyền, cấp phép mới. - Thiết lập cảnh báo bất thường: đăng nhập từ quốc gia lạ, thử đăng nhập thất bại nhiều lần, thay đổi quyền admin. - Thực hiện xem xét quyền truy cập hàng quý (quarterly access review) – xác nhận mỗi tài khoản vẫn cần thiết. Lời khuyên áp dụng ngay: - Bắt đầu từ bước 1 trong tuần này: xuất danh sách tài khoản từ tất cả hệ thống. - Sử dụng công cụ miễn phí hoặc bản dùng thử của các nhà cung cấp IAM (Microsoft Entra ID Free, Google Cloud Identity Free) để triển khai MFA và RBAC. - Gán một người phụ trách (có thể là IT lead) chịu trách nhiệm xem xét quyền hàng quý. Với 5 bước trên, doanh nghiệp vừa và nhỏ có thể kiểm soát danh tính hiệu quả, giảm thiểu bề mặt tấn công và tuân thủ các yêu cầu cơ bản của các tiêu chuẩn như ISO 27001 hay PCI‑DSS mà không cần ngân sách lớn.