Để ngăn tình trạng nhân viên nghỉ việc mang theo dữ liệu, doanh nghiệp cần kiểm soát từ sớm việc họ được truy cập dữ liệu nào và trên thiết bị nào. Khi nhân viên nghỉ việc, quy trình offboarding sẽ tiếp nối các biện pháp kiểm soát này bằng việc thu hồi và xử lý dữ liệu công ty còn lưu trên thiết bị. Microsoft Intune là một trong những công cụ giúp doanh nghiệp thực hiện các biện pháp kiểm soát đó một cách hiệu quả.
Không ít doanh nghiệp chỉ nhận ra mức độ nghiêm trọng của tình trạng nhân viên nghỉ việc mang theo dữ liệu khi thông tin khách hàng bị lộ, bí mật kinh doanh rơi vào tay đối thủ hoặc thậm chí đã phát sinh vấn đề pháp lý. Đến thời điểm đó, việc xác định dữ liệu nào đã bị sao chép, lưu trữ hay chia sẻ ra bên ngoài để thu hồi thường rất khó khăn.
Đáng chú ý, rủi ro này không phải lúc nào cũng đến từ hành vi cố ý. Trong quá trình làm việc, nhân viên có thể tải tài liệu, đồng bộ email hoặc lưu dữ liệu công việc trên thiết bị cá nhân. Khi họ rời doanh nghiệp, những dữ liệu này có thể vẫn nằm lại trên thiết bị. Nếu thiếu cơ chế quản lý phù hợp, doanh nghiệp sẽ không kiểm soát được chúng.
Vì vậy, bảo vệ dữ liệu khi nhân viên nghỉ việc không thể chỉ dừng ở việc khóa tài khoản hay thu hồi máy tính. Doanh nghiệp cần kiểm soát đồng thời quyền truy cập, thiết bị, ứng dụng và dữ liệu. Việc kiểm soát này cần diễn ra trong toàn bộ vòng đời làm việc của nhân viên.
Vậy hãy cùng MM Technology đi tìm lời giải để giải quyết bài toán nhân viên nghỉ việc mang theo dữ liệu trong bài viết này. Bao gồm cả cách nhận diện những con đường dữ liệu thường thất thoát và các biện pháp phù hợp.
Cùng tìm hiểu nhé.
1. Nhân viên nghỉ việc có thể mang theo dữ liệu nào của doanh nghiệp?
Nhân viên nghỉ việc có thể mang theo hầu hết dữ liệu họ từng truy cập. Đó là danh sách khách hàng, hợp đồng, báo giá, mã nguồn hoặc tài khoản đăng nhập. Dữ liệu càng nằm rải rác, nguy cơ thất thoát càng cao.
Tùy vị trí và quyền hạn, những dữ liệu đó có thể bao gồm:
- Dữ liệu khách hàng và đối tác. Danh bạ, lịch sử giao dịch, thông tin liên hệ người ra quyết định, điều khoản hợp đồng, mức chiết khấu.
- Dữ liệu kinh doanh và chiến lược. Kế hoạch bán hàng, bảng giá, báo cáo doanh thu, chiến lược marketing, kế hoạch sản phẩm.
- Dữ liệu tài chính và nhân sự. Bảng lương, ngân sách, báo cáo nội bộ, thông tin cá nhân của đồng nghiệp.
- Tài sản trí tuệ. Mã nguồn, bản vẽ, công thức, quy trình vận hành, tài liệu đào tạo, mẫu hợp đồng.
- Thông tin truy cập. Tài khoản đăng nhập, mật khẩu được lưu trên trình duyệt, token, khóa API, quyền truy cập vào ứng dụng đám mây.
Điểm đáng lưu ý là phần lớn nhân viên không mang dữ liệu đi với ý đồ xấu. Nhiều trường hợp chỉ là “giữ lại để tham khảo” hoặc “lỡ còn trong máy”. Dù động cơ là gì, hậu quả với doanh nghiệp vẫn như nhau.
2. Nhân viên nghỉ việc mang theo dữ liệu bằng cách nào?
Nhân viên thường mang dữ liệu đi bằng vài cách quen thuộc. Họ có thể sao chép sang USB, gửi email về hộp thư cá nhân hoặc đồng bộ lên đám mây riêng. Một số người chụp màn hình. Số khác giữ lại file đã tải trên thiết bị cá nhân. Trong đó, có người lấy dữ liệu đi có chủ đích, có người không!
Nhóm chủ động, thường là trường hợp nhân viên chiếm đoạt dữ liệu:
- Sao chép dữ liệu sang USB, ổ cứng di động hoặc thẻ nhớ.
- Chuyển tiếp hàng loạt email công việc sang Gmail hay email cá nhân.
- Tải tài liệu lên Google Drive, Dropbox, iCloud hoặc OneDrive cá nhân.
- Gửi file qua Zalo, Telegram, Messenger.
- Chụp ảnh màn hình, quay màn hình hoặc in tài liệu.
Nhóm thụ động, thường là trường hợp vô ý tải xuống hoặc lưu giữ dữ liệu trên thiết bị cá nhân:
- Email công ty vẫn đăng nhập sẵn trên điện thoại cá nhân.
- Ứng dụng lưu trữ tự động đồng bộ file về máy riêng.
- Tài liệu đã tải về thư mục Downloads hoặc ứng dụng chat trên thiết bị cá nhân.
- Mật khẩu được lưu trong trình duyệt và vẫn dùng được sau khi nghỉ việc.
Thực tế, nhóm thụ động tuy không có chủ đích nhưng khó phát hiện hơn. Nhân viên thường không nhớ mình còn giữ dữ liệu công ty. Những bản sao này vẫn tồn tại sau khi nhân viên rời đi. Nếu thiết bị bị mất hoặc rơi vào tay người khác, dữ liệu công ty cũng có thể bị lộ theo.
3. Những rủi ro nào xảy ra khi nhân viên nghỉ việc mang theo dữ liệu?
Doanh nghiệp đối mặt với năm nhóm rủi ro thất thoát dữ liệu chính. Đó là lộ thông tin khách hàng, mất bí mật kinh doanh và gián đoạn hoạt động. Ngoài ra còn có nguy cơ bị truy cập trái phép, cùng rủi ro về pháp lý và uy tín. Mức độ ảnh hưởng phụ thuộc vào loại dữ liệu bị thất thoát, phạm vi truy cập và khả năng xử lý sự cố của doanh nghiệp.
Cụ thể như sau.
3.1 Lộ thông tin khách hàng và đối tác
Danh sách khách hàng là tài sản đối thủ muốn có nhất. Nếu nhân viên sang công ty cạnh tranh và mang theo dữ liệu này, đối thủ có thể tiếp cận đúng khách hàng của doanh nghiệp. Họ sẽ chào mức giá và đề xuất “đo ni đóng giày”. Chưa kể đến, việc lộ thông tin cá nhân của khách hàng còn kéo theo trách nhiệm bảo vệ dữ liệu.
Hậu quả thường gặp gồm:
- Khách hàng bị đối thủ chủ động liên hệ và chào mức giá thấp hơn.
- Khách hàng mất lòng tin khi thông tin cá nhân bị sử dụng ngoài ý muốn.
- Đối tác ngần ngại chia sẻ thông tin trong những lần hợp tác sau.
- Doanh nghiệp tốn thời gian và chi phí để trấn an, xử lý khiếu nại.
3.2 Mất bí mật kinh doanh và lợi thế cạnh tranh
Công thức, quy trình, chiến lược giá hay kế hoạch sản phẩm đều là thông tin mật, được xây dựng qua nhiều năm đầu tư. Khi chúng rời khỏi công ty, đối thủ có thể sao chép chỉ trong vài tuần. Thiệt hại này khó quy ra tiền nhưng kéo dài nhất. Nếu nhân viên cố ý chuyển chúng cho đối thủ, hành vi này có thể bị xem là gián điệp thương mại.
Một số tình huống điển hình:
- Công thức, quy trình hoặc bí quyết vận hành bị sao chép sang đơn vị khác.
- Chiến lược giá và kế hoạch sản phẩm bị đối thủ nắm trước.
- Doanh nghiệp mất lợi thế về thời gian đưa sản phẩm ra thị trường.
- Khó chứng minh dữ liệu nào đã bị lấy đi và vào thời điểm nào.
3.3 Gián đoạn hoạt động do thất lạc dữ liệu quan trọng
Không phải lúc nào nhân viên cũng mang dữ liệu đi để sử dụng. Có người xóa file hàng loạt trước khi nghỉ. Có người di chuyển tài liệu hoặc chỉ giữ bản duy nhất trên thiết bị cá nhân. Khi người kế nhiệm cần đến, công ty không còn gì để tiếp quản.
Sự gián đoạn thường biểu hiện qua:
- Dự án đình trệ vì mất hồ sơ, bản thiết kế hoặc lịch sử trao đổi.
- Công việc với khách hàng bị ngắt quãng do không tìm được hợp đồng, báo giá.
- Người kế nhiệm mất nhiều tuần để dựng lại tài liệu.
- Doanh nghiệp phải làm lại những việc đã hoàn thành.
3.4 Gia tăng nguy cơ truy cập trái phép vào hệ thống
Tài khoản chưa thu hồi, mật khẩu còn lưu trong trình duyệt hay email công ty còn đăng nhập trên điện thoại cá nhân đều là những “cánh cửa mở”. Người đã nghỉ việc, hoặc bất kỳ ai có được thiết bị đó, có thể vào lại hệ thống. Họ có thể làm vậy trong thời gian dài mà không bị phát hiện.
Dưới góc độ an ninh mạng, những “cánh cửa mở” này là điểm yếu dễ bị khai thác nhất vì không cần kỹ thuật phức tạp.
Các “cánh cửa mở” thường gặp:
- Tài khoản chưa bị vô hiệu hóa vẫn đăng nhập được từ xa.
- Mật khẩu lưu trên trình duyệt vẫn dùng được sau khi nghỉ việc.
- Email công ty còn đăng nhập sẵn trên điện thoại cá nhân.
- Token hoặc khóa API chưa bị hủy.
3.5 Phát sinh rủi ro pháp lý và ảnh hưởng uy tín doanh nghiệp
Khi dữ liệu cá nhân của khách hàng hoặc nhân viên bị lộ, doanh nghiệp có thể phải chịu trách nhiệm theo quy định về bảo vệ dữ liệu cá nhân, như Nghị định 13/2023/NĐ-CP.
Thực tiễn, doanh nghiệp cũng có thể cân nhắc khởi kiện hoặc yêu cầu chấm dứt hành vi vi phạm và bồi thường, dựa trên hợp đồng lao động và luật lao động. Tuy nhiên, quá trình này tốn thời gian và cần bằng chứng rõ ràng. Hãy tham vấn luật sư để xác định nghĩa vụ và hướng xử lý cụ thể.
Các rủi ro cần lưu ý:
- Bị xử phạt hoặc yêu cầu khắc phục khi vi phạm quy định về dữ liệu cá nhân.
- Quan hệ lao động với nhân viên cũ trở nên căng thẳng, tranh chấp kéo dài và khó chứng minh nếu thiếu dấu vết truy cập.
- Chi phí pháp lý và thời gian xử lý vụ việc.
- Uy tín giảm sút trước khách hàng và đối tác.
4. Vì sao doanh nghiệp khó kiểm soát dữ liệu khi nhân viên nghỉ việc?
Doanh nghiệp khó kiểm soát vì dữ liệu không chỉ nằm trên máy tính công ty. Dữ liệu còn phân tán trên nhiều thiết bị, ứng dụng và tài khoản. Nếu thiếu quy trình quản lý xuyên suốt, IT có thể không biết nhân viên đã truy cập, tải xuống hay đồng bộ dữ liệu nào trước khi nghỉ việc.
4.1 Nhân viên sử dụng nhiều thiết bị để làm việc
Một nhân viên có thể dùng laptop công ty, máy tính bàn, điện thoại cá nhân và cả máy tính bảng. Làm việc từ xa và dùng thiết bị cá nhân (BYOD) khiến danh sách này dài thêm. Nếu IT không nắm đầy đủ, sẽ có thiết bị bị bỏ sót khi xử lý nghỉ việc.
Hãy hình dung đến tình huống một nhân viên kinh doanh thường xuyên đi gặp khách hàng. Ở văn phòng, người này dùng laptop công ty. Khi ra ngoài, họ mở email trên điện thoại cá nhân và tải báo giá về máy tính bảng. Đến ngày nghỉ việc, công ty chỉ thu lại chiếc laptop. Báo giá và danh sách khách hàng vẫn nằm nguyên trên hai thiết bị còn lại.
4.2 Dữ liệu phân tán trên nhiều nền tảng và ứng dụng
Email, chat nội bộ, ổ đĩa đám mây, CRM, phần mềm kế toán, công cụ quản lý dự án… Mỗi nền tảng có một hệ thống phân quyền riêng.
Việc quản lý dữ liệu vì thế trở nên phức tạp hơn. Nhân viên trẻ, nhất là gen Z, quen dùng nhiều ứng dụng cùng lúc để làm việc nhanh hơn. Vì vậy, dữ liệu càng dễ phân tán. Chỉ cần quên một ứng dụng, người đã nghỉ việc vẫn truy cập được một mảng dữ liệu quan trọng.
Chẳng hạn, hợp đồng nằm trên Google Drive, thông tin khách hàng nằm trong CRM, còn trao đổi nội bộ diễn ra trên Teams hoặc Zalo. IT khóa email công ty đúng ngày nhân viên nghỉ việc nhưng quên thu hồi quyền vào CRM. Kết quả là người này vẫn đăng nhập được và có thể xuất toàn bộ danh sách khách hàng.
4.3 Doanh nghiệp chưa có quy trình offboarding rõ ràng
Nhiều doanh nghiệp vừa và nhỏ chưa có chính sách offboarding bằng văn bản. Khi có người nghỉ, HR báo miệng cho IT hoặc nhắn tin vào phút chót. Không có checklist, không có người chịu trách nhiệm, không có bước kiểm tra lại. Kết quả là việc thu hồi quyền phụ thuộc vào trí nhớ của từng người.
Đây chính là một lỗ hổng bảo mật về mặt quy trình, dù hệ thống kỹ thuật có tốt đến đâu.
Thực tế, tình huống này khá quen thuộc. HR nhắn cho IT vào chiều thứ Sáu, trong khi nhân viên đã nghỉ từ sáng cùng ngày. IT chỉ xử lý vào đầu tuần sau. Suốt hai ngày cuối tuần, tài khoản của người đã nghỉ vẫn hoạt động bình thường.
4.4 Không kiểm soát được dữ liệu đã đồng bộ hoặc tải xuống
Khóa tài khoản chỉ ngăn truy cập mới. Dữ liệu đã tải về, đồng bộ offline hoặc lưu trong bộ nhớ đệm của ứng dụng vẫn nằm trên thiết bị. Nếu không có công cụ quản lý thiết bị, việc thu hồi dữ liệu công ty gần như không thể.
Thử bàn đến một trường hợp thường gặp. Nhân viên mở file hợp đồng từ email, và file tự lưu vào thư mục Downloads trên điện thoại cá nhân. Sau đó, tài khoản công ty bị khóa. Dù vậy, file vẫn nằm trên máy. Người này có thể mở lại bất cứ lúc nào, kể cả khi không có mạng.
5. Doanh nghiệp cần làm gì để ngăn nhân viên nghỉ việc mang theo dữ liệu?
Để ngăn nhân viên nghỉ việc mang theo dữ liệu, doanh nghiệp cần kết hợp năm việc. Đó là xây dựng quy trình offboarding giữa IT và HR, thu hồi quyền truy cập đúng lúc và kiểm soát thiết bị. Hai việc còn lại là tách dữ liệu công việc khỏi dữ liệu cá nhân và chuẩn bị sẵn cách xóa dữ liệu công ty từ xa.
5.1 Xây dựng quy trình offboarding giữa IT và HR
Hãy biến offboarding thành một phần của chính sách bảo mật thông tin nội bộ. Quy trình cần có checklist và người chịu trách nhiệm cụ thể. Về bản chất, đây cũng là công việc quản trị CNTT, nơi IT và HR cần phối hợp chặt chẽ.
Cụ thể như, IT xác nhận từng đầu việc đã hoàn thành. Quy trình nên áp dụng cho mọi trường hợp, kể cả khi hai bên “chia tay trong hòa bình”.
Một quy trình offboarding nên xác định rõ:
- Thời điểm nhân viên chính thức nghỉ việc
- Danh sách tài khoản, ứng dụng và hệ thống cần thu hồi
- Danh sách thiết bị công ty đã bàn giao
- Dữ liệu và tài liệu cần bàn giao cho người tiếp nhận
- Cách xử lý dữ liệu công ty trên thiết bị cá nhân
- Người chịu trách nhiệm kiểm tra và xác nhận hoàn tất
5.2 Thu hồi tài khoản và quyền truy cập khi nhân viên nghỉ việc
Thu hồi quyền truy cập không chỉ là khóa một tài khoản email, mà là một phần của quá trình quản lý vòng đời danh tính và quyền truy cập. Trong mô hình IAM, quyền của người dùng cần được quản lý từ khi gia nhập, thay đổi vai trò cho đến khi rời tổ chức.
Các hạng mục liên quan cần kiểm tra gồm:
- Tài khoản đăng nhập chính, gồm email và tài khoản đăng nhập một lần (SSO)
- Quyền truy cập ứng dụng đám mây, CRM, phần mềm kế toán, máy chủ nội bộ
- Mật khẩu các tài khoản dùng chung
- Token, khóa API và khóa truy cập hệ thống
- Phiên đăng nhập đang hoạt động trên các thiết bị
- Quyền thành viên trong nhóm, kênh chat và thư mục chia sẻ
Doanh nghiệp có thể tìm hiểu thêm về IAM là gì để hiểu cách quản lý danh tính và quyền truy cập xuyên suốt vòng đời nhân viên.
5.3 Kiểm soát thiết bị truy cập dữ liệu công ty
Doanh nghiệp khó bảo vệ thứ mình không nhìn thấy. Vì vậy, hãy biết rõ thiết bị nào đang truy cập dữ liệu công ty và đặt ra điều kiện cho chúng. Một nền tảng quản lý thiết bị như Microsoft Intune giúp việc này tự động hơn.
Một số nguyên tắc nên áp dụng:
- Lập danh sách thiết bị được phép truy cập dữ liệu công ty
- Yêu cầu mã khóa màn hình và mã hóa thiết bị
- Yêu cầu hệ điều hành và ứng dụng được cập nhật để giảm nguy cơ nhiễm mã độc
- Chặn thiết bị không đáp ứng điều kiện bảo mật
- Rà soát định kỳ thiết bị không còn hoạt động hoặc không còn người sử dụng
5.4 Phân tách dữ liệu công việc và dữ liệu cá nhân
Đây là nguyên tắc nền tảng nếu doanh nghiệp cho phép dùng thiết bị cá nhân. Khi dữ liệu công việc nằm trong một vùng quản lý riêng, doanh nghiệp chỉ cần gỡ vùng đó. Ảnh, tin nhắn và ứng dụng riêng của nhân viên không bị ảnh hưởng. Cách làm này vừa bảo vệ doanh nghiệp, vừa tôn trọng quyền riêng tư của người lao động.
Có thể áp dụng bằng cách:
- Dùng ứng dụng công việc riêng cho email, chat và lưu trữ thay vì ứng dụng cá nhân
- Chặn sao chép dữ liệu công ty sang ứng dụng cá nhân
- Quản lý dữ liệu công ty trong một vùng làm việc riêng trên thiết bị
- Giữ nguyên ảnh, tin nhắn và ứng dụng riêng của nhân viên khi xử lý nghỉ việc
5.5 Xóa dữ liệu doanh nghiệp khỏi thiết bị khi cần thiết
Sau khi thu hồi quyền truy cập, hãy xử lý cả dữ liệu còn lưu trên thiết bị. Với thiết bị cá nhân, doanh nghiệp chỉ xóa dữ liệu công ty. Với thiết bị của công ty, có thể xóa toàn bộ thiết bị. Hãy cấu hình sẵn từ trước, đừng đợi đến khi nhân viên đã rời đi.
Doanh nghiệp nên chuẩn bị sẵn:
- Quy định rõ khi nào chỉ xóa dữ liệu công ty và khi nào xóa toàn bộ thiết bị
- Thông báo phạm vi xóa dữ liệu cho nhân viên ngay từ khi bắt đầu dùng thiết bị
- Bước sao lưu và bàn giao tài liệu cần thiết trước khi xóa
- Cách ghi lại thời điểm, người thực hiện và kết quả
6. Microsoft Intune giúp bảo vệ dữ liệu khi nhân viên nghỉ việc như thế nào?
Microsoft Intune hỗ trợ doanh nghiệp quản lý thiết bị và bảo vệ dữ liệu công việc trên các ứng dụng được hỗ trợ. Khi nhân viên nghỉ việc, IT có thể dùng các chính sách và thao tác quản lý của Intune. Mục đích là thu hồi quyền quản lý thiết bị hoặc xóa dữ liệu doanh nghiệp trong phạm vi được hỗ trợ.
Vậy vì sao bài viết nhắc đến Intune ở đây? Các phần trước cho thấy một nguyên nhân chung: dữ liệu nằm trên những thiết bị và ứng dụng mà doanh nghiệp không nhìn thấy, cũng không điều khiển được. Khóa tài khoản không xử lý được phần dữ liệu đã tải về hoặc đồng bộ. Intune được đưa vào để giải quyết đúng khoảng trống này.
Nếu bạn chưa từng nghe qua về Microsoft Intune trước đây, bạn có thể xem thêm bài viết Microsoft Intune là gì để nắm cách Intune quản lý thiết bị, ứng dụng và bảo vệ dữ liệu doanh nghiệp trước khi đi vào từng tình huống xử lý dưới đây.
6.1 Quản lý thiết bị truy cập dữ liệu doanh nghiệp
Phần 4.1 đã chỉ ra một khó khăn: nhân viên dùng nhiều thiết bị, và IT dễ bỏ sót thiết bị khi xử lý nghỉ việc. Intune giải quyết vấn đề này bằng cách đưa thiết bị vào một danh sách quản lý tập trung. Khi thiết bị được đăng ký (enroll), IT thấy được thiết bị, người dùng và hệ điều hành. Nhờ vậy, việc tìm ra thiết bị gắn với nhân viên sắp nghỉ trở nên nhanh hơn.
Intune giúp IT:
- Xem danh sách thiết bị, người dùng và hệ điều hành đã đăng ký
- Đặt chính sách tuân thủ, như yêu cầu mật khẩu, mã hóa và phiên bản hệ điều hành tối thiểu
- Theo dõi thiết bị nào đạt hoặc chưa đạt chuẩn
- Kết hợp với Conditional Access của Microsoft Entra để chỉ cho thiết bị đạt chuẩn truy cập email và tài liệu
- Tìm nhanh các thiết bị gắn với nhân viên sắp nghỉ việc
6.2 Áp dụng chính sách bảo vệ dữ liệu trên ứng dụng
Phần 2 và 4.4 đã cho thấy dữ liệu thường bị tải về, sao chép hoặc đồng bộ ngay trong ứng dụng. Chính sách bảo vệ ứng dụng (App Protection Policy) xử lý đúng điểm này. Chính sách áp dụng cho các ứng dụng được hỗ trợ như Outlook, Teams, OneDrive hay Word. Cách này phù hợp với thiết bị cá nhân, vì nhân viên không cần đăng ký quản lý toàn bộ thiết bị.
Các kiểm soát thường dùng:
- Hạn chế sao chép, cắt, dán dữ liệu công ty sang ứng dụng chưa được quản lý
- Chặn lưu bản sao dữ liệu công ty vào bộ nhớ máy hoặc dịch vụ cá nhân
- Chỉ cho phép lưu vào các vị trí được duyệt, như OneDrive hoặc SharePoint
- Yêu cầu mã PIN hoặc sinh trắc học khi mở ứng dụng công việc
Lưu ý rằng, chính sách chỉ kiểm soát dữ liệu trong các ứng dụng được bảo vệ. Dữ liệu đã chuyển ra ngoài trước khi áp dụng chính sách thì Intune không thu hồi được.
6.3 Xóa dữ liệu công ty nhưng giữ lại dữ liệu cá nhân
Phần 2 cũng nêu một trường hợp khó: nhân viên giữ dữ liệu công ty trên thiết bị cá nhân mà không cố ý. Khi họ nghỉ việc, doanh nghiệp cần xóa dữ liệu công ty nhưng không đụng đến dữ liệu riêng.
Intune hỗ trợ việc này bằng thao tác xóa có chọn lọc (selective wipe). IT tạo yêu cầu xóa dữ liệu công ty trong các ứng dụng được bảo vệ. Dữ liệu bị xóa khi ứng dụng kết nối lại với Intune.
Khi xóa có chọn lọc:
- Dữ liệu công ty trong ứng dụng được bảo vệ bị gỡ
- Ảnh, danh bạ và ứng dụng riêng của nhân viên được giữ nguyên
- Thiết bị không cần đăng ký quản lý toàn bộ
- Thiết bị cần kết nối mạng để nhận yêu cầu xóa
- IT có thể cấu hình tự động xóa khi tài khoản bị vô hiệu hóa hoặc thiết bị offline quá lâu
6.4 Retire thiết bị để gỡ dữ liệu công ty nhưng vẫn giữ dữ liệu cá nhân
Retire là trong Microsoft Intune là thao tác gỡ dữ liệu công ty nhưng vẫn giữ dữ liệu cá nhân. Nó phù hợp khi thiết bị đã đăng ký vào Intune và nhân viên giữ lại thiết bị cá nhân.
Thao tác này xử lý rủi ro ở phần 3.4: email, hồ sơ và cấu hình của công ty vẫn còn trên máy sau khi nghỉ việc. Retire gỡ thiết bị khỏi quản lý và loại bỏ dữ liệu, ứng dụng, hồ sơ cấu hình do Intune cấp. Kết quả cụ thể có thể khác nhau đôi chút tùy hệ điều hành.
Khi Retire một thiết bị:
- Thiết bị không còn thuộc phạm vi quản lý của Intune
- Dữ liệu, ứng dụng, hồ sơ email và cấu hình do công ty cấp bị loại bỏ
- Dữ liệu cá nhân của người dùng được giữ lại
- Thiết bị cần kết nối mạng để nhận lệnh Retire
Nếu đang cần tìm tài liệu hướng dẫn kỹ thuật về thao tác Retire trong Microsoft Intune (một tính năng cực kỳ quan trọng), bạn có thể tham khảo hướng dẫn của hãng về Device action: retire.
6.5 Wipe thiết bị để xóa dữ liệu và đưa thiết bị về trạng thái ban đầu
Wipe xử lý trường hợp nặng hơn: thiết bị thuộc sở hữu công ty, bị mất hoặc cần tái sử dụng. Đây là cách giảm các rủi ro ở phần 3.1 và 3.2, khi dữ liệu khách hàng và bí mật kinh doanh có thể rơi vào tay người khác.
Với tình huống này, Wipe đưa thiết bị về cài đặt gốc và xóa toàn bộ dữ liệu, kể cả dữ liệu cá nhân. Vì vậy, với thiết bị cá nhân, doanh nghiệp nên ưu tiên Retire.
Nên dùng tính năng Wipe của Microsoft Intune khi:
- Thiết bị thuộc sở hữu của công ty
- Thiết bị bị mất hoặc bị đánh cắp
- Cần tái sử dụng thiết bị cho nhân viên khác
- Thiết bị chứa dữ liệu nhạy cảm cần xóa toàn bộ
7. Quy trình xử lý dữ liệu và thiết bị khi nhân viên nghỉ việc gồm bước nào?
Quy trình xử lý dữ liệu và thiết bị khi nhân viên nghỉ việc gồm sáu bước. Doanh nghiệp xác định tài khoản và thiết bị, rồi thu hồi quyền truy cập. Tiếp theo là phân loại thiết bị và xử lý dữ liệu còn lưu trên đó. Cuối cùng, doanh nghiệp chọn Retire hoặc Wipe tùy trường hợp. Sau đó là bước kiểm tra và hoàn tất.
Đây là quy trình tham khảo. Doanh nghiệp có thể điều chỉnh các bước theo quy mô, loại thiết bị và chính sách bảo mật thông tin nội bộ của mình.
7.1 Bước 1: Xác định tài khoản, thiết bị và ứng dụng nhân viên đang sử dụng
Quy trình nên bắt đầu ngay khi HR nhận mẫu đơn xin nghỉ việc, không đợi đến ngày cuối. Lúc này IT cần lập danh sách đầy đủ những gì nhân viên đang sử dụng. Nếu đã có hệ thống quản lý thiết bị, IT có thể lấy danh sách từ đó. Cách này nhanh hơn việc hỏi từng người.
Cần xác định:
- Tài khoản email, SSO và tài khoản dùng chung mà nhân viên nắm giữ
- Ứng dụng đám mây, CRM, phần mềm kế toán có phân quyền riêng
- Thiết bị công ty đã cấp, như laptop, điện thoại, USB, thẻ truy cập
- Thiết bị cá nhân có dùng cho công việc
- Dữ liệu và dự án nhân viên đang phụ trách
7.2 Bước 2: Thu hồi quyền truy cập vào dữ liệu doanh nghiệp
Hãy thu hồi quyền đúng thời điểm đã thống nhất với HR. Cách này tránh khoảng trống giữa lúc nghỉ việc và lúc quyền bị thu hồi. Đừng quên chuyển quyền sở hữu dữ liệu cho người tiếp nhận trước khi vô hiệu hóa tài khoản.
Các việc cần làm:
- Vô hiệu hóa tài khoản vào đúng thời điểm đã thống nhất
- Thu hồi phiên đăng nhập và token đang hoạt động
- Gỡ quyền khỏi nhóm, kênh chat và thư mục chia sẻ
- Đổi mật khẩu các tài khoản dùng chung
- Chuyển quyền sở hữu email, tài liệu và lịch cho người tiếp nhận
- Chuyển tiếp email về người phụ trách trong thời gian chuyển giao
7.3 Bước 3: Phân loại thiết bị công ty và thiết bị cá nhân
Mỗi loại thiết bị cần một cách xử lý khác nhau. Thiết bị công ty thuộc quyền sở hữu của doanh nghiệp nên có thể thu hồi và xóa hoàn toàn. Thiết bị cá nhân thuộc sở hữu của nhân viên nên chỉ được xóa phần dữ liệu công ty. Phân loại sai ở bước này có thể gây mất dữ liệu cá nhân hoặc để sót dữ liệu doanh nghiệp.
Việc phân loại nên dựa trên:
- Quyền sở hữu thiết bị: của công ty hay của nhân viên
- Thiết bị đã đăng ký quản lý hay chỉ cài ứng dụng công việc
- Mức độ nhạy cảm của dữ liệu trên thiết bị
- Chính sách đã thống nhất với nhân viên từ trước
7.4 Bước 4: Xử lý dữ liệu doanh nghiệp còn lưu trên thiết bị
Trước khi xóa, hãy bàn giao hoặc sao lưu những tài liệu người tiếp nhận cần dùng. Sau đó, dữ liệu công ty còn trên thiết bị cần được xóa theo đúng chính sách của doanh nghiệp. Bước này cũng thuộc quản lý thông tin: doanh nghiệp cần biết dữ liệu nào còn cần giữ lại và dữ liệu nào cần xóa.
Cần rà soát:
- File đã tải về và email đồng bộ offline
- Bộ nhớ đệm và dữ liệu của các ứng dụng công việc
- Bản sao trên dịch vụ lưu trữ hoặc ứng dụng chat cá nhân
- Biên bản bàn giao tài liệu
- Xác nhận bằng văn bản của nhân viên đã xóa dữ liệu công ty khỏi dịch vụ cá nhân
7.5 Bước 5: Retire hoặc Wipe thiết bị tùy trường hợp
Việc chọn Retire hay Wipe phụ thuộc vào loại thiết bị và tình huống. Nên ghi lại quyết định và thời điểm thực hiện để có căn cứ khi cần đối chiếu sau này.
Cách chọn thao tác:
- Thiết bị cá nhân: Retire hoặc xóa dữ liệu ứng dụng có chọn lọc
- Thiết bị công ty: Wipe, sau đó cài đặt lại trước khi cấp cho người khác
- Thiết bị bị mất hoặc chưa thu hồi được: Wipe từ xa ngay khi có thể
- Mọi trường hợp: ghi lại người thực hiện, thời điểm và kết quả
7.6 Bước 6: Kiểm tra và hoàn tất quy trình offboarding
Sau khi thực hiện, hãy xác nhận từng việc đã hoàn tất. Nhiều doanh nghiệp bỏ qua bước này, và đó thường là lý do những sơ hở nhỏ tồn tại hàng tháng mà không ai biết.
Danh sách kiểm tra cuối cùng:
- Tài khoản đã khóa và quyền đã được thu hồi
- Thiết bị đã được xử lý và có xác nhận trạng thái
- Dữ liệu đã bàn giao, người tiếp nhận xác nhận đã nhận đủ
- IT ký xác nhận checklist, HR lưu hồ sơ
- Nhật ký đăng nhập được kiểm tra lại sau vài ngày để phát hiện truy cập bất thường
Đừng đợi đến khi nhân viên nghỉ việc mới tìm cách xác định dữ liệu đang nằm ở đâu. Với giải pháp Microsoft Intune, MM Technology hỗ trợ doanh nghiệp xây dựng khả năng quản lý thiết bị và bảo vệ dữ liệu công việc tập trung, kể cả trong môi trường có thiết bị cá nhân. Khám phá Microsoft Intune!
8. Một số câu hỏi thường gặp (FAQ)
Chưa đủ. Khóa tài khoản chỉ chặn đăng nhập mới. Dữ liệu đã tải về hoặc đồng bộ vẫn nằm trên thiết bị. Doanh nghiệp cần thu hồi quyền, quản lý thiết bị và xóa dữ liệu công ty.
Có. Điều kiện là doanh nghiệp đã thiết lập quản lý từ trước và nhân viên đồng ý với chính sách dùng thiết bị cá nhân. Khi đó, IT chỉ xóa dữ liệu và ứng dụng của công ty. Dữ liệu cá nhân được giữ nguyên.
Tùy thao tác. Retire và xóa dữ liệu ứng dụng chỉ xóa dữ liệu của công ty. Wipe xóa toàn bộ thiết bị, kể cả dữ liệu cá nhân. Hãy chọn đúng thao tác cho từng loại thiết bị.
Retire gỡ quản lý và xóa dữ liệu công ty, giữ lại dữ liệu cá nhân. Wipe đưa thiết bị về cài đặt gốc và xóa tất cả. Retire phù hợp với thiết bị cá nhân. Wipe phù hợp với thiết bị công ty hoặc thiết bị bị mất.
9. Tạm kết
Nhân viên nghỉ việc mang theo dữ liệu là rủi ro có thể phòng ngừa. Doanh nghiệp cần kiểm soát quyền truy cập, thiết bị, ứng dụng và dữ liệu ngay từ khi nhân viên làm việc. Đừng chờ đến ngày cuối mới xử lý.
Như đã phân tích, thất thoát dữ liệu không chỉ đến từ hành vi cố ý. Một file tải về điện thoại hay một email còn đăng nhập sẵn cũng đủ để dữ liệu rời khỏi doanh nghiệp. Khi sự cố xảy ra, thiệt hại không dừng ở thông tin khách hàng hay bí mật kinh doanh. Nó còn kéo theo rủi ro pháp lý và uy tín.
Vì vậy, doanh nghiệp nên chuyển từ xử lý theo sự cố sang quản lý chủ động. Hãy bắt đầu bằng ba việc. Thứ nhất, lập checklist offboarding chung cho IT và HR. Thứ hai, thống kê thiết bị đang truy cập dữ liệu công ty. Thứ ba, thống nhất chính sách dùng thiết bị cá nhân. Sau đó, cân nhắc triển khai các công cụ như Microsoft Intune để quá trình thu hồi quyền quản lý và xóa dữ liệu công ty diễn ra nhất quán, đúng phạm vi.
MM Technology hy vọng bài viết giúp bạn nhận ra những kẽ hở trong quy trình hiện tại. Nếu cần tư vấn triển khai giải pháp quản lý thiết bị Microsoft Intune, đội ngũ chúng tôi sẵn sàng hỗ trợ!
