Tình huống: Kiểm toán nội bộ phát hiện 4 nhân viên IT đã nghỉ việc từ 6–18 tháng trước vẫn còn tài khoản hoạt động trên hệ thống ERP và VPN công ty — trong đó một người còn quyền quản trị (admin). Chưa phát hiện thiệt hại, nhưng đây là “cửa hậu” cực kỳ nguy hiểm. Xử lý ngay thế nào, và kiểm tra những gì?
1. Thu hồi khẩn cấp: trong 24 giờ
(a) Vô hiệu hóa ngay toàn bộ tài khoản của nhân viên đã nghỉ việc (ERP, VPN, email, hệ thống con) — đừng chờ xác minh “có bị dùng không”, cứ khóa trước. (b) Đổi mật khẩu các tài khoản dùng chung/service account mà nhân viên cũ từng biết. (c) Thu hồi chứng chỉ số, token, khóa API đã cấp. (d) Rà soát toàn bộ danh sách tài khoản hệ thống đối chiếu với danh sách nhân sự hiện tại — quyết toán mọi tài khoản “mồ côi” (orphan accounts). Với quyền admin còn sót, ưu tiên cao nhất: kiểm tra xem có tài khoản ẩn/cửa hậu nào được tạo thêm không.
2. Kiểm tra hồi tố: 18 tháng qua có gì bất thường
(a) Trích xuất log đăng nhập của 4 tài khoản trong 18 tháng: thời gian, IP, hành động thực hiện — tìm đăng nhập bất thường (giờ lạ, IP lạ, tải dữ liệu lớn). (b) Nếu phát hiện truy cập sau khi nghỉ việc: đánh giá đã làm gì (xem, sao chép, sửa, xóa dữ liệu?) — đây là căn cứ để tố giác (xâm nhập/sử dụng trái phép mạng máy tính — Điều 288, 289 BLHS) và đòi bồi thường. (c) Kiểm tra tính toàn vẹn dữ liệu: có dữ liệu nào bị sửa/xóa trong thời gian tài khoản còn hoạt động. (d) Nếu dữ liệu cá nhân khách hàng bị truy cập — thực hiện nghĩa vụ thông báo theo Luật 91/2025.
3. Hoàn thiện quy trình offboarding IT
(1) Checklist offboarding bắt buộc: ngày cuối làm việc = ngày vô hiệu hóa toàn bộ tài khoản (tự động qua tích hợp HR-IT nếu có thể). (2) Phân quyền tối thiểu (least privilege) — không ai có quyền admin vượt quá nhu cầu công việc; tài khoản admin dùng chung bị cấm, mỗi admin có tài khoản riêng để truy vết. (3) Rà soát định kỳ (hàng quý) đối chiếu tài khoản hệ thống với nhân sự. (4) Điều khoản bảo mật sau chấm dứt trong hợp đồng + biên bản bàn giao có xác nhận đã thu hồi quyền truy cập.
Câu hỏi thường gặp
Phát hiện NV IT cũ còn tài khoản admin thì làm gì đầu tiên?
Vô hiệu hóa ngay toàn bộ tài khoản của người đã nghỉ việc (đừng chờ xác minh); đổi mật khẩu tài khoản dùng chung họ từng biết; thu hồi chứng chỉ/token/API; rà soát tài khoản ẩn/cửa hậu. Tất cả trong 24 giờ.
Có cần kiểm tra log 18 tháng không?
Có. Trích xuất log đăng nhập của các tài khoản còn sót: thời gian, IP, hành động — tìm đăng nhập bất thường sau khi nghỉ việc. Nếu phát hiện truy cập trái phép, đây là căn cứ tố giác (Điều 288, 289 BLHS) và đòi bồi thường.
Quy trình offboarding IT chuẩn gồm gì?
Ngày cuối = ngày vô hiệu hóa toàn bộ tài khoản; phân quyền tối thiểu, cấm tài khoản admin dùng chung; rà soát định kỳ hàng quý đối chiếu tài khoản với nhân sự; điều khoản bảo mật sau chấm dứt + biên bản bàn giao xác nhận thu hồi quyền.
Bài viết đã được FLAW AI Legal Council kiểm tra chất lượng trước khi xuất bản.