Làm việc từ xa an toàn cho doanh nghiệp nhỏ: VPN, mật khẩu, xác thực 2 lớp

Giữa tháng 3/2020, khi dịch COVID-19 lan rộng, nhiều cơ quan và doanh nghiệp, kể cả doanh nghiệp nhỏ, cho nhân viên làm việc tại nhà. Chuyển nhanh sang làm việc từ xa dễ để lộ khoảng trống an toàn thông tin: máy tính cá nhân, Wi-Fi gia đình, mật khẩu yếu. Dưới đây là những biện pháp cơ bản, có thể làm được ngay.

Vì sao làm việc từ xa dễ gặp rủi ro

Cơ quan an ninh mạng Hoa Kỳ CISA, trong cảnh báo AA20-073A ngày 13/3/2020 về bảo mật VPN doanh nghiệp, nêu một số rủi ro khi nhiều nhân viên làm việc từ xa cùng lúc:

• Kẻ xấu có thể tăng cường lừa đảo (phishing) nhắm vào người làm việc từ xa để lấy thông tin đăng nhập.
• VPN và thiết bị đầu cuối nếu không được cập nhật bản vá sẽ dễ bị khai thác.
• Tổ chức không dùng xác thực nhiều lớp cho truy cập từ xa dễ bị tấn công hơn.
• Số lượng kết nối VPN có hạn; nếu quá tải, nhân viên có thể không làm việc được.

1. VPN: dùng đúng cách

VPN tạo đường hầm mã hoá giữa máy của nhân viên và mạng công ty. Một số lưu ý:

• Chỉ dùng VPN do công ty cấp hoặc phần mềm đáng tin cậy, tránh các ứng dụng VPN miễn phí không rõ nguồn.
• Cập nhật máy chủ VPN, thiết bị mạng và phần mềm máy khách thường xuyên.
• Kiểm tra số kết nối đồng thời tối đa và khả năng chịu tải trước khi cả đội cùng kết nối.
• Chỉ cấp quyền truy cập đúng phạm vi công việc cần, không mở toàn bộ mạng nội bộ.

Nếu doanh nghiệp quá nhỏ để vận hành VPN, hãy cân nhắc các dịch vụ làm việc trên nền tảng đám mây có sẵn xác thực mạnh, thay vì mở cổng truy cập từ xa trực tiếp vào máy tính văn phòng.

2. Mật khẩu mạnh và quản lý mật khẩu

• Mỗi dịch vụ một mật khẩu riêng, dài và khó đoán; cụm từ dài thường dễ nhớ hơn chuỗi ký tự ngẫu nhiên ngắn.
• Dùng trình quản lý mật khẩu để lưu và tạo mật khẩu, thay vì ghi vào giấy hoặc tệp văn bản.
• Không chia sẻ mật khẩu qua tin nhắn nhóm; dùng tính năng chia sẻ của trình quản lý mật khẩu.
• Đổi ngay mật khẩu khi nghi ngờ bị lộ.

3. Xác thực hai lớp (hai bước)

Xác thực hai lớp thêm một yếu tố ngoài mật khẩu, ví dụ mã từ ứng dụng trên điện thoại hoặc khoá bảo mật. Khi mật khẩu bị lộ, kẻ xấu vẫn khó vào được tài khoản. Hãy bật cho:

• Email công ty và tài khoản quản trị (Google, Microsoft, hosting, tên miền).
• Phần mềm kế toán, quản lý khách hàng, kho dữ liệu đám mây.
• Tài khoản mạng xã hội và quảng cáo của doanh nghiệp.

Nếu có thể, ưu tiên mã từ ứng dụng xác thực hơn mã gửi qua tin nhắn SMS.

4. Thiết bị và mạng tại nhà

• Cập nhật hệ điều hành, trình duyệt, phần mềm diệt virus.
• Bật mã hoá ổ đĩa và khoá màn hình tự động.
• Đổi mật khẩu mặc định của modem Wi-Fi, dùng mã hoá WPA2 trở lên.
• Tách dữ liệu công việc khỏi dữ liệu cá nhân nếu có thể, không để người khác trong nhà dùng chung máy làm việc.
• Sao lưu dữ liệu quan trọng định kỳ lên nơi an toàn.

5. Cảnh giác với lừa đảo

Trong thời gian dịch, thông tin về COVID-19 bị lợi dụng để lừa đảo. Hãy dạy nhân viên:

• Không bấm vào đường dẫn hoặc tệp đính kèm lạ, kể cả khi email có vẻ đến từ cơ quan y tế hay lãnh đạo.
• Xác nhận qua kênh khác (gọi điện) khi nhận yêu cầu chuyển tiền hoặc cung cấp mật khẩu.
• Báo ngay cho người phụ trách IT khi nghi ngờ.

Thông tin dịch bệnh chính thống nên lấy từ các cơ quan như Bộ Y tế hoặc WHO.

6. Quy định nội bộ đơn giản

Viết một trang quy định ngắn: được dùng thiết bị nào, lưu dữ liệu ở đâu, ai cấp quyền, báo sự cố cho ai. Tài liệu NIST SP 800-46 Rev. 2 là một tài liệu tham khảo về an toàn làm việc từ xa nếu bạn cần hướng dẫn kỹ hơn.

Cập nhật 2026: Làm việc từ xa và làm việc kết hợp đã trở nên phổ biến. Xác thực nhiều lớp và khoá truy cập (passkey) được nhiều dịch vụ hỗ trợ. Hãy kiểm tra hướng dẫn hiện hành của nhà cung cấp dịch vụ bạn dùng.

Câu hỏi thường gặp

Doanh nghiệp nhỏ có bắt buộc phải dùng VPN không?

Không bắt buộc. Quan trọng là truy cập từ xa được bảo vệ bằng xác thực mạnh và cập nhật đầy đủ. VPN là một trong những lựa chọn.

Xác thực hai lớp có làm phiền nhân viên không?

Chỉ thêm vài giây mỗi lần đăng nhập, đổi lại giảm đáng kể rủi ro khi mật khẩu bị lộ.

Cần hỗ trợ thiết lập thì sao?

Bạn có thể liên hệ đội Công nghệ của HVSC để trao đổi về nhu cầu cụ thể.

Nguồn tham khảo

• CISA — Alert AA20-073A: Enterprise VPN Security: https://www.cisa.gov/news-events/cybersecurity-advisories/aa20-073a
• NIST — SP 800-46 Rev. 2: https://csrc.nist.gov/pubs/sp/800/46/r2/final
• Google — Bật xác minh 2 bước: https://support.google.com/accounts/answer/185839
• WHO: https://www.who.int