Để xóa dữ liệu máy tính từ xa khi nhân viên nghỉ việc, IT sẽ cần khóa tài khoản nội bộ của nhân viên trước, sau đó gửi lệnh xóa từ xa qua MDM như Microsoft Intune. Với máy công ty thì dùng lệnh Remote Wipe để xóa sạch, còn máy cá nhân (BYOD) dùng lệnh Retire để chỉ gỡ dữ liệu doanh nghiệp. Trước khi gửi lệnh, hãy sao lưu tài liệu quan trọng và theo dõi đến khi lệnh hoàn tất.
Đối với nhân viên sử dụng máy tính công ty để làm việc, bất kể là tại văn phòng hay từ xa, bộ phận IT chỉ cần thu hồi lại thiết bị, khóa tài khoản và chấm dứt quyền truy cập vào hệ thống nội bộ khi họ nghỉ việc. Đây là một trong những quy trình offboarding điển hình nhất hiện nay.
Tuy nhiên, với trường hợp nhân viên dùng thiết bị cá nhân làm việc (BYOD) hoặc nghỉ việc đột ngột khi đang giữ máy tính công ty ở xa, doanh nghiệp không thể thu hồi vật lý ngay lập tức hay tùy tiện can thiệp trực tiếp vào tài sản riêng của họ.
Chính vì vậy, bài toán đặt ra lúc này là làm sao để thu hồi toàn bộ thông tin nội bộ mà vẫn đảm bảo quyền riêng tư của người nhân viên đã nghỉ việc.
Trước thách thức này, xóa dữ liệu máy tính từ xa chính là chốt chặn kỹ thuật cuối cùng giúp doanh nghiệp thu hồi lại quyền truy cập thông tin một cách chủ động nhất. Vậy cách thực hiện ra sao, yêu cầu kỹ thuật là gì, cần lưu ý điểm nào,… hãy cùng tìm hiểu chi tiết trong bài viết này!
1. Xóa dữ liệu máy tính từ xa là gì? Khi nào cần thực hiện?
Xóa dữ liệu máy tính từ xa (Remote Wipe) là cơ chế bảo mật cho phép quản trị viên IT gửi lệnh thông qua mạng Internet để tiêu hủy toàn bộ hoặc một phần dữ liệu trên thiết bị đầu cuối mà không cần tiếp cận vật lý.
Về mặt kỹ thuật, đây là quá trình định dạng ổ đĩa, ghi đè dữ liệu hoặc hủy khóa giải mã để tiêu hủy dữ liệu vĩnh viễn (Data sanitization). Nhờ đó, dữ liệu tàn dư không còn lưu lại trên ổ đĩa cứng hay bộ nhớ flash.
Doanh nghiệp thường kích hoạt tính năng xóa dữ liệu từ xa trong 4 tình huống rủi ro cao. Cụ thể:
- Mất trộm hoặc thất lạc thiết bị. Khi nhân viên làm rơi hoặc bị mất trộm laptop, điện thoại (như iPhone) tại nơi công cộng, hoặc mất laptop công ty trong lúc đi công tác.
- Nhân viên nghỉ việc (IT Offboarding). Khi chấm dứt quan hệ lao động nhưng nhân sự chưa bàn giao máy, làm việc ở xa hoặc có dấu hiệu nhân viên chiếm đoạt dữ liệu.
- Thiết bị nhiễm mã độc nghiêm trọng. Nếu một máy tính bị tấn công bởi Ransomware, việc xóa sạch hệ thống từ xa giúp cô lập thiết bị.
- Tài khoản bị xâm nhập trái phép. Khi hệ thống giám sát phát hiện dấu hiệu rò rỉ dữ liệu hoặc lấy cắp danh tính từ một thiết bị đầu cuối cụ thể.
Trong phạm vi bài viết này, chúng ta sẽ tập trung sâu vào quy trình xóa dữ liệu máy tính từ xa khi nhân viên nghỉ việc, một mắt xích quan trọng nhưng thường bị bỏ sót trong khâu IT Offboarding.
2. Có thể xóa dữ liệu máy tính từ xa khi nhân viên nghỉ việc không?
Doanh nghiệp có thể xóa dữ liệu máy tính từ xa khi nhân viên nghỉ việc nhưng cần thỏa hai điều kiện. Về quyền hạn, doanh nghiệp chỉ được xóa thiết bị hoặc dữ liệu thuộc quyền quản lý của mình. Về kỹ thuật, máy phải được đăng ký vào hệ thống quản lý và có kết nối mạng.
2.1 Quyền hạn và giới hạn của doanh nghiệp đối với loại thiết bị
Trước khi hỏi xóa bằng cách nào, hãy xác định máy này thuộc về ai. Câu trả lời quyết định phạm vi dữ liệu mà doanh nghiệp được phép xóa:
- Máy do công ty cấp: Thiết bị là tài sản thiết bị/dữ liệu của doanh nghiệp, nên công ty có quyền thu hồi và xóa toàn bộ nội dung bên trong.
- Máy cá nhân dùng cho công việc (BYOD): Máy thuộc sở hữu của nhân viên nên công ty không được xóa sạch toàn bộ. Doanh nghiệp áp dụng xóa chọn lọc dữ liệu doanh nghiệp (Selective Wipe). Cách này chỉ gỡ email công ty, tài liệu nội bộ, chứng chỉ và ứng dụng làm việc. Ảnh và file cá nhân phải được giữ nguyên.
Ví dụ như, anh Nam làm kinh doanh và dùng MacBook cá nhân để xem báo giá của công ty. Khi anh nghỉ việc, công ty chỉ xóa hộp thư, thư mục tài liệu và ứng dụng công việc. Ảnh gia đình và file riêng của anh vẫn được giữ nguyên.
Để tránh hiểu lầm về sau, doanh nghiệp nên ghi rõ phạm vi dữ liệu được thu hồi trong chính sách sử dụng thiết bị. Nhân viên cần xác nhận chính sách này ngay từ khi bắt đầu làm việc. Qua đó giữ được quan hệ lao động tốt đẹp kể cả khi chấm dứt hợp đồng.
2.2 Điều kiện kỹ thuật để thực hiện lệnh xóa dữ liệu từ xa
Lệnh xóa cần một kênh giao tiếp bảo mật đáng tin giữa thiết bị và hệ thống quản lý. Vì vậy, thiết bị phải đáp ứng các điều kiện sau:
- Đã đăng ký vào nền tảng MDM: Máy phải được đăng ký (enroll) vào giải pháp Mobile Device Management (MDM) như Microsoft Intune. Máy chưa từng đăng ký sẽ không nhận được lệnh, dù quản trị viên có quyền cao đến đâu.
- Hệ điều hành được hỗ trợ: Windows 10 và Windows 11 được hỗ trợ đầy đủ. Windows 7 đã ngừng hỗ trợ nên không thể đăng ký vào Intune. Máy chạy hệ điều hành này phải xử lý thủ công.
- Có kết nối Internet: Máy cần mạng tại thời điểm nhận lệnh.
- Có quyền quản trị phù hợp: Người thực hiện cần vai trò được phân quyền trong hệ thống.
Thương hiệu phần cứng không quyết định khả năng xóa. Một chiếc Laptop Dell, Lenovo hay HP đều xử lý giống nhau. Miễn là chúng đã đăng ký quản lý và chạy hệ điều hành phù hợp.
3. Doanh nghiệp có thể xóa dữ liệu máy tính từ xa bằng những cách nào?
Doanh nghiệp có thể xóa dữ liệu máy tính từ xa theo ba hướng chính. Đi từ thủ công đến tự động hóa hoàn toàn. Mỗi hướng phù hợp với một quy mô và mức độ rủi ro khác nhau. Vì vậy, doanh nghiệp thường kết hợp cả ba để tạo nhiều lớp bảo vệ.
3.1 Yêu cầu nhân viên tự xóa thủ công và gửi bằng chứng xác nhận
Đây là cách làm mang tính chất tình thế ở các doanh nghiệp chưa đầu tư hệ thống quản trị tập trung. Doanh nghiệp thường áp dụng theo một trong hai hướng sau:
- IT trực tiếp xóa. Nhân viên IT gọi video và kết nối vào máy bằng phần mềm điều khiển từ xa. Sau đó, họ tự tay xóa file Windows thuộc về công ty và làm trống thùng rác (Recycle Bin).
- Nhân viên tự xóa và gửi bằng chứng. IT hướng dẫn nhân viên tự xóa dữ liệu công ty. Rồi yêu cầu gửi lại ảnh chụp màn hình hoặc video quay quá trình xóa.
Dù tiết kiệm chi phí, cả hai cách đều tồn tại lỗ hổng bảo mật rất lớn. Nhân viên hoàn toàn có thể sao chép toàn bộ thư mục dự án sang USB hoặc tải lên Google Drive cá nhân.
- Ưu điểm. Dễ triển khai, phù hợp với doanh nghiệp nhỏ và quan hệ lao động thiện chí.
- Hạn chế. Công ty không thể kiểm chứng dữ liệu đã bị xóa thật hay chưa, và nhân viên có thể xóa sót hoặc chỉ xóa bề mặt.
- Rủi ro cao nhất. Khi nhân viên rời đi trong tâm thế đối đầu hoặc có dấu hiệu chiếm đoạt dữ liệu, một đoạn video hay tờ cam kết gần như không có giá trị kỹ thuật.
3.2 Thu hồi quyền truy cập tài khoản (đổi mật khẩu, đăng xuất phiên đăng nhập)
Ngay khi quyết định nghỉ việc có hiệu lực, quản trị viên khóa tài khoản định danh của nhân viên trên hệ thống quản lý danh tính và quyền truy cập (IAM). Sau đó, quản trị viên buộc đăng xuất khỏi mọi phiên làm việc (Revoke Sessions). Thao tác này cắt đứt ngay quyền truy cập vào email, hệ thống ERP và kho lưu trữ đám mây.
Phương án này không đụng đến dữ liệu trên máy mà chặn nhân viên khỏi hệ thống công ty. Các thao tác thường gồm:
- Vô hiệu hóa tài khoản email và tài khoản đăng nhập.
- Đổi mật khẩu các dịch vụ dùng chung.
- Thu hồi các phiên đăng nhập đang hoạt động (trong Microsoft 365 là thao tác revoke sessions).
- Cắt quyền VPN và ứng dụng đám mây.
Bước này có hiệu lực ngay lập tức nên cần làm đúng ngày nhân viên chấm dứt hợp đồng. Tuy nhiên, những file đã tải về máy hoặc đã đồng bộ ra ổ cứng vẫn còn nguyên.
3.3 Sử dụng giải pháp quản lý thiết bị tập trung (MDM) như Microsoft Intune
Triển khai giải pháp MDM là phương thức chuẩn mực nhất nhì hiện nay trong quản lý bảo mật thiết bị đầu cuối. Thay vì phụ thuộc vào người dùng, MDM thiết lập một kênh giao tiếp bảo mật trực tiếp với hệ điều hành của thiết bị.
MDM cho phép phòng IT quản lý hàng trăm thiết bị từ một bảng điều khiển duy nhất. Hiện nay, Microsoft Intune là một trong những giải pháp MDM điển hình. Nếu chưa biết đến dịch vụ này, bạn có thể tham khảo thông tin chi tiết trong bài viết Microsoft Intune là gì.
Giải pháp này mang lại ba lợi ích chính:
- Tách biệt được hai nhu cầu. Với máy công ty, quản trị viên reset toàn bộ. Với máy cá nhân, quản trị viên chỉ thu hồi dữ liệu doanh nghiệp mà không đụng đến phần riêng tư.
- Kiểm soát và đối chiếu được. Lệnh được gửi từ hệ thống, có trạng thái và nhật ký thao tác.
- Nền tảng cho bảo mật thiết bị đầu cuối. Quản trị viên có thể bắt buộc mã hóa ổ đĩa, đặt chính sách mật khẩu và chặn máy không đạt chuẩn truy cập tài nguyên công ty.
Nếu doanh nghiệp bạn chưa có hệ thống quản lý thiết bị tập trung, việc đăng ký thiết bị từ sớm sẽ quyết định lệnh xóa có chạy được hay không. Tìm hiểu giải pháp Microsoft Intune ngay!
4. Làm thế nào để xóa dữ liệu máy tính từ xa bằng Microsoft Intune?
Để xóa dữ liệu máy tính từ xa bằng Microsoft Intune, quản trị viên đăng nhập vào Microsoft Intune admin center và tìm thiết bị của nhân viên trong mục Devices. Sau đó, quản trị viên chọn lệnh Wipe cho máy công ty cấp, hoặc lệnh Retire cho máy cá nhân (BYOD). Hệ thống sẽ tự động thu hồi dữ liệu doanh nghiệp và làm sạch thiết bị.
Dưới đây là quy trình kỹ thuật có thể tham khảo.
4.1 Điều kiện cần thiết trước khi thực hiện
Trước khi gửi lệnh, quản trị viên cần rà soát bốn điều kiện sau:
- Giấy phép. Doanh nghiệp có giấy phép Microsoft Intune.
- Thiết bị. Máy đã được đăng ký vào Intune và chạy Windows 10 hoặc Windows 11.
- Quyền hạn. Tài khoản quản trị có quyền thực hiện thao tác xóa.
- Đối tượng. Đã xác định đúng thiết bị. Hãy đối chiếu tên máy, người dùng chính và số serial để tránh xóa nhầm.
Ngoài bốn điều kiện trên, hãy xem thời điểm máy kết nối gần nhất trong trang chi tiết thiết bị. Nếu máy đã nhiều ngày chưa kết nối, lệnh sẽ chưa chạy ngay. Khi đó, IT cần theo dõi sát hơn.
Với máy cá nhân, nhân viên cũng cần đăng ký máy vào hệ thống ngay từ khi bắt đầu làm việc. Máy chưa đăng ký thì IT không thể gửi lệnh Retire.
4.2 Các bước xóa dữ liệu máy tính từ xa
Quy trình Wipe devices trong Intune gồm sáu bước ngắn gọn, chúng tôi minh họa trong hình ảnh bên dưới nhé.
Cụ thể:
- Bước 1. Đăng nhập vào Microsoft Intune.
- Bước 2. Vào Devices > All devices, sau đó tìm máy theo tên thiết bị hoặc email nhân viên.
- Bước 3. Chọn thiết bị và bấm Wipe (máy công ty cấp) hoặc Retire (máy cá nhân BYOD).
- Bước 4. Với lệnh Wipe, hãy chọn tùy chọn xóa phù hợp. Với nhân viên nghỉ việc, không tích tùy chọn giữ lại tài khoản người dùng. Chỉ bật tùy chọn tiếp tục xóa khi máy mất nguồn cho máy bị mất. Nếu quá trình bị gián đoạn, một số máy có thể không khởi động lại được.
- Bước 5. Xác nhận lệnh. Thao tác này không thể hoàn tác nên cần kiểm tra lại tên thiết bị trước khi bấm.
- Bước 6. Theo dõi trạng thái trong Device actions cho đến khi hoàn tất. Nếu máy đang offline, lệnh sẽ chờ và chạy khi máy kết nối lại.
Khi lệnh Wipe hoàn tất, máy trở về trạng thái ban đầu. Tương đương đặt lại thiết bị (Reset laptop) nhưng được thực hiện từ xa. Việc xóa dữ liệu ổ C cùng toàn bộ phần mềm ứng dụng cài thêm diễn ra tự động, mọi nội dung đều bị xóa hết.
Remote Wipe an toàn hơn nhiều so với việc nhờ nhân viên xóa trên laptop. Lệnh do hệ thống thực thi và có nhật ký để đối chiếu. Đây cũng là một cách bảo vệ dữ liệu Intune hiệu quả khi máy không còn trong tầm kiểm soát.
4.3 Phân biệt Wipe, Retire và Delete trong Microsoft Intune
Giao diện của Microsoft Intune cung cấp 3 nút thao tác quản lý vòng đời thiết bị. Chúng khá giống nhau về mặt ngữ nghĩa nhưng khác biệt hoàn toàn về tác động kỹ thuật. Việc chọn nhầm lệnh có thể dẫn đến mất trắng dữ liệu cá nhân của nhân viên hoặc bỏ sót tài liệu mật của công ty.
Cụ thể:
- Wipe (Xóa toàn bộ hệ thống). Thực hiện khôi phục cài đặt gốc toàn diện. Mọi phân vùng dữ liệu, ứng dụng cài thêm và thiết lập người dùng đều bị xóa sạch. Chức năng này chỉ dành riêng cho thiết bị thuộc sở hữu của công ty khi nhân viên nghỉ việc không bàn giao hoặc máy bị mất trộm.
- Retire (Thu hồi dữ liệu doanh nghiệp). Thực thi cơ chế Selective Wipe. Intune chỉ gỡ bỏ các ứng dụng do công ty đẩy xuống, các profile cấu hình Wi-Fi/VPN nội bộ, chứng chỉ bảo mật và dữ liệu công việc được quản lý bởi chính sách bảo vệ ứng dụng (APP). Toàn bộ dữ liệu cá nhân của người dùng được bảo toàn nguyên vẹn. Đây là lựa chọn bắt buộc đối với thiết bị BYOD.
- Delete (Xóa khỏi danh sách quản lý). Thao tác này xóa bản ghi của thiết bị khỏi giao diện Intune để làm gọn danh sách. Cần lưu ý rằng Delete không phải lệnh xóa dữ liệu. Hệ thống chỉ kích hoạt ngầm lệnh Retire (hoặc Wipe với Android do công ty sở hữu), và lệnh này vẫn phải chờ máy kết nối để thực thi. Quản trị viên chỉ nên dùng nút này sau khi thiết bị đã Wipe xong hoặc đã được thanh lý vật lý.
5. Cần lưu ý gì khi xóa dữ liệu máy tính của nhân viên nghỉ việc?
Để quá trình xóa dữ liệu diễn ra suôn sẻ, đảm bảo an toàn thông tin nhưng vẫn tránh được các tranh chấp lao động không đáng có, bộ phận IT cần tuân thủ nghiêm ngặt 3 nguyên tắc vận hành sau. Gồm: phân biệt rõ dữ liệu công ty và dữ liệu cá nhân, sao lưu thông tin quan trọng trước khi xóa, và kiểm tra trạng thái lệnh sau khi gửi.
5.1 Phân biệt dữ liệu doanh nghiệp và dữ liệu cá nhân
Nguyên tắc đầu tiên là chọn lệnh theo quyền sở hữu thiết bị, không theo thói quen:
- Máy công ty: Có thể dùng Wipe vì toàn bộ nội dung thuộc quyền quản lý của doanh nghiệp.
- Máy cá nhân: Chỉ dùng Retire hoặc xóa chọn lọc. Xóa nhầm ảnh hay tài liệu riêng của nhân viên có thể dẫn đến khiếu nại và tranh chấp.
Cần nhớ rằng độ nhạy cảm của thông tin khác nhau giữa các loại dữ liệu. Bảng lương, hợp đồng khách hàng hay mã nguồn là thông tin mật cần ưu tiên thu hồi. Lịch làm việc hay tài liệu đào tạo công khai thì ít rủi ro hơn. Phân loại dữ liệu từ trước giúp IT biết cần bảo vệ gì trước tiên khi có sự cố.
5.2 Sao lưu dữ liệu quan trọng trước khi xóa
Sau khi Wipe hoàn tất, dữ liệu trên máy gần như không thể lấy lại. Vì vậy, việc bàn giao phải diễn ra trước khi xóa, theo bốn bước sau:
- Bước 1. Quản lý trực tiếp xác nhận danh sách tài liệu cần giữ lại.
- Bước 2. Nhân viên hoặc IT chuyển tài liệu lên kho lưu trữ chung của công ty, chẳng hạn OneDrive hoặc SharePoint.
- Bước 3. Một người khác kiểm tra file mở được và đầy đủ.
- Bước 4. Chỉ sau khi hoàn tất ba bước trên mới gửi lệnh xóa.
Ví dụ như, một nhân viên kế toán nghỉ việc đúng giữa kỳ quyết toán, và máy của cô còn chứa sổ sách chưa nộp báo cáo. Nếu IT xóa máy trước khi sao lưu, công ty sẽ mất dữ liệu quan trọng và có thể chậm tiến độ báo cáo.
Lưu ý thêm rằng bản sao lưu trên iCloud hoặc tài khoản cá nhân của nhân viên không nằm trong tầm quản lý của công ty. Vì vậy, doanh nghiệp nên yêu cầu lưu dữ liệu công việc vào kho lưu trữ dữ liệu máy tính tập trung của công ty ngay từ đầu.
5.3 Kiểm tra trạng thái thực hiện lệnh xóa
Gửi lệnh không có nghĩa là xóa xong. Lệnh có thể ở một trong ba trạng thái:
- Đang chờ: Máy đang offline nên chưa nhận lệnh.
- Hoàn tất: Máy đã thực thi xong.
- Thất bại: Lệnh gặp lỗi, chẳng hạn do chính sách chặn reset hoặc ổ đĩa gặp sự cố, cần xử lý ngay.
Sau khi hoàn tất, hãy lưu lại hồ sơ gồm thời gian thực hiện, người thực hiện, tên thiết bị và ảnh chụp trạng thái lệnh. Hồ sơ này giúp doanh nghiệp chứng minh đã chấm dứt hành vi vi phạm và áp dụng đủ biện pháp bảo vệ dữ liệu.
Hãy đưa bước này vào quy trình thu hồi thiết bị nhân sự nghỉ việc (IT Offboarding). IT, nhân sự và quản lý trực tiếp cùng thực hiện theo một quy trình thống nhất.
6. Một số câu hỏi thường gặp (FAQ)
Không nhận ngay, nhưng lệnh không bị mất. Hệ thống lưu lệnh ở trạng thái chờ và tự chuyển xuống máy khi thiết bị kết nối lại Internet.
Có. Quản trị viên dùng lệnh Retire hoặc chính sách bảo vệ ứng dụng để chỉ gỡ dữ liệu doanh nghiệp, còn ảnh, tài liệu và ứng dụng cá nhân của nhân viên được giữ nguyên.
Doanh nghiệp nên khóa tài khoản và đăng xuất mọi phiên đăng nhập ngay, sau đó gửi lệnh Wipe hoặc Retire nếu máy đã đăng ký MDM. Song song đó, hãy gửi yêu cầu hoàn trả thiết bị bằng văn bản và lưu lại toàn bộ bằng chứng liên lạc. Nếu máy chưa đăng ký MDM, các biện pháp từ xa gần như không dùng được. Khi đó, doanh nghiệp bắt buộc phải thu hồi thiết bị trực tiếp.
Không. Lệnh chỉ chạy khi máy bật và có mạng. Đây là giới hạn chung của mọi giải pháp xóa từ xa. Vì vậy, doanh nghiệp cần mã hóa ổ đĩa từ trước để bảo vệ dữ liệu trong lúc chờ lệnh. Đồng thời, hãy khóa tài khoản để chặn truy cập mới.
7. Tạm kết
Quay lại bài toán đặt ra ở đầu bài: làm sao thu hồi toàn bộ thông tin nội bộ mà vẫn đảm bảo quyền riêng tư của nhân viên đã nghỉ việc? Qua các nội dung trên, có thể thấy xóa dữ liệu máy tính từ xa chính là chốt chặn kỹ thuật cuối cùng giải quyết được cả hai yêu cầu này.
Cách làm khá đơn giản: máy công ty thì dùng lệnh Wipe để xóa sạch, máy cá nhân thì dùng lệnh Retire để chỉ gỡ dữ liệu công ty và giữ nguyên ảnh, file riêng. Trước đó, hãy khóa tài khoản của nhân viên để họ không truy cập được nữa.
Để mọi việc suôn sẻ, doanh nghiệp nên đăng ký thiết bị vào hệ thống quản lý ngay từ đầu, bật mã hóa ổ đĩa và ghi rõ quy định thu hồi dữ liệu trong chính sách BYOD. Nếu cần hỗ trợ triển khai, bạn hãy liên hệ với MM Technology nhé.
