1. 19:08 14/10/2026
Nhiều doanh nghiệp vừa và nhỏ (SME) tập trung bảo mật nội bộ nhưng quên rằng nhà cung cấp, đối tác hoặc dịch vụ đám mây cũng có thể là cửa ngõ cho tấn công. Dưới đây là quy trình 4 bước thực tế để kiểm soát rủi ro bên thứ ba mà không cần đội ngũ an ninh lớn.
1. Lập danh sách và phân loại nhà cung cấp
- Thu thập thông tin tất cả các bên thứ ba: phần mềm SaaS, nhà cung cấp hạ tầng, nhà phát triển ngoài, dịch vụ thanh toán, v.v.
- Phân loại theo mức độ truy cập dữ liệu nhạy cảm (cao, trung bình, thấp) và mức độ quan trọng đối với hoạt động kinh doanh.
- Ví dụ: Hệ thống ERP truy cập dữ liệu tài chính → mức cao; Dịch vụ email marketing chỉ có danh sách liên lạc → mức thấp.
2. Đánh giá rủi ro ban đầu
- Gửi bảng câu hỏi tiêu chuẩn (Vendor Security Questionnaire) tập trung vào: chứng chỉ ISO 27001/SOC 2, quy trình vá lỗ hổng, chính sách kiểm soát truy cập, kế hoạch ứng phó sự cố.
- Yêu cầu bằng chứng: báo cáo kiểm toán, kết quả quét lỗ hổng gần nhất, cam kết SLA về thời gian phản hồi sự cố.
- Chấm điểm rủi ro (ví dụ: 1‑5) để ưu tiên tài nguyên xem xét sâu hơn.
3. Thiết lập kiểm soát và giám sát liên tục
- Ký hợp đồng bao gồm điều khoản bảo mật: yêu cầu báo cáo vi phạm trong 24 h, quyền kiểm tra định kỳ, cam kết tuân thủ quy định dữ liệu (PDPA, GDPR).
- Triển khai công cụ giám sát tự động: theo dõi thay đổi chứng chỉ SSL, phát hiện IP bất thường truy cập API, cảnh báo khi nhà cung cấp xuất hiện trong danh sách vi phạm dữ liệu công khai.
- Thực hiện đánh giá lại ít nhất một lần mỗi năm hoặc khi có thay đổi lớn (mua lại, thay đổi kiến trúc).
4. Xây dựng quy trình ứng phó sự cố liên quan bên thứ ba
- Xác định rõ trách nhiệm: ai là người liên lạc chính, quy trình cô lập tài khoản bị xâm phạm, cách thu hồi quyền truy cập ngay lập tức.
- Tổ chức演练 (tabletop exercise) hàng năm với nhóm IT, pháp lý và quản trị rủi ro để kiểm tra thời gian phản hồi.
- Lưu trữ hồ sơ sự cố và bài học để cải thiện tiêu chí chọn lọc nhà cung cấp sau này.
Lời khuyên áp dụng ngay:
- Bắt đầu bằng một bảng tính đơn giản liệt kê 10‑15 nhà cung cấp quan trọng nhất.
- Sử dụng mẫu câu hỏi miễn phí từ NIST SP 800‑161 hoặc Cloud Security Alliance.
- Tự động hóa cảnh báo qua dịch vụ như Have I Been Pwned API hoặc các nền tảng TIP (Threat Intelligence Platform) miễn phí.
- Đảm bảo hợp đồng có điều khoản "right to audit" – quyền kiểm tra độc lập – ngay từ đầu.
Việc quản trị rủi ro bên thứ ba không phải là dự án một lần mà là chu trình liên tục. Khi SME hệ thống hóa 4 bước trên, diện tích tấn công bị thu hẹp đáng kể mà không cần đầu tư lớn vào nhân sự hay công cụ đắt tiền.