Quản lý danh tính và quyền truy cập: Kiểm soát vòng đời tài khoản nhân viên.

Dùng sự kiện nhân sự để khởi động đúng công việc

Nhân viên bắt đầu làm việc, chuyển vai trò và kết thúc nhiệm vụ là các sự kiện quan trọng với quyền truy cập. Tổ chức cần xác định nguồn thông tin được sử dụng, đầu mối gửi và thời điểm có hiệu lực. Nếu mỗi nhóm nhận một email không theo cấu trúc, IT khó biết thông tin nào là chính thức và khi nào phải thực hiện thay đổi.

Thông tin đầu vào cần đủ để xác định danh tính, đơn vị, người quản lý và nhiệm vụ. Đầu mối nhân sự xác nhận tình trạng làm việc, nhưng không nhất thiết đủ thẩm quyền quyết định mọi quyền nghiệp vụ. Chủ ứng dụng hoặc chủ dữ liệu cần xác nhận phạm vi phục vụ công việc. Việc tách trách nhiệm giúp tránh lấy chức danh chung làm căn cứ cấp quyền quá rộng.

Thời điểm xử lý phải được tổ chức xác định theo rủi ro và yêu cầu áp dụng. Không nên dùng một thời hạn chung cho mọi loại thay đổi rồi coi đó là yêu cầu pháp lý. Kết thúc nhiệm vụ với quyền nhạy cảm có thể cần phối hợp chặt về thời điểm; chuyển vị trí nội bộ cần kế hoạch bàn giao để vừa bỏ quyền cũ vừa giữ công việc liên tục.

Danh tính ổn định cũng quan trọng. Khi một người đổi tên hiển thị hoặc được tạo thêm tài khoản, tổ chức vẫn cần biết các tài khoản thuộc cùng chủ thể nào. Nếu chỉ tra theo địa chỉ email hiện tại, quyền trên một ứng dụng cũ có thể bị bỏ sót. Danh mục cần phản ánh mối liên hệ này với mức chi tiết phù hợp.

Nền tảng quản lý bảo mật thông tin giúp đội ngũ nhìn vòng đời như một chuỗi trách nhiệm. Từ đó, cơ chế cấp và thu hồi không chỉ là thao tác IT, mà là công việc có đầu vào, quyết định và bằng chứng xác nhận của nhiều bên.

Cấp quyền theo nhiệm vụ, không theo yêu cầu thuận tiện

Khi có nhân viên mới, tổ chức cần xác định các quyền chuẩn của vai trò và phần phải phê duyệt riêng. Lấy một tài khoản tương tự để sao chép mọi quyền thường nhanh, nhưng tài khoản mẫu có thể đã tích lũy ngoại lệ. Cách làm đó biến lịch sử của người trước thành quyền khởi đầu của người sau mà không ai đánh giá lại.

Chủ nghiệp vụ cần mô tả hành động thực tế: đọc thông tin nào, sửa dữ liệu nào hoặc phê duyệt việc gì. IT dùng các vai trò hoặc nhóm quyền phù hợp để thực hiện. Người cấp quyền không nên tự suy đoán nhu cầu kinh doanh; người phê duyệt cũng cần hiểu phạm vi mà lựa chọn của mình tạo ra, thay vì chỉ đồng ý với tên một nhóm khó đọc.

Tài khoản quản trị nên được quản lý theo nhu cầu và mức rủi ro của quyền đặc biệt. Tài khoản dùng cho công việc thông thường và quyền quản trị có thể cần cơ chế tách phù hợp. Cấp quyền đặc biệt lâu dài chỉ vì người đó thuộc IT làm tăng phạm vi sử dụng ngoài mục đích. Ngoại lệ cần có giới hạn và bước xem xét.

Xác thực mạnh góp phần bảo vệ danh tính, nhưng không thay thế việc cấp đúng quyền. CIS phân biệt quản lý tài khoản với quản lý quyền truy cập trong Control 5 và Control 6. Doanh nghiệp cần biết tài khoản nào tồn tại, ai chịu trách nhiệm, đồng thời kiểm soát cách cấp, thay đổi và thu hồi khả năng truy cập vào tài nguyên.

Bảng là gợi ý tổ chức kiểm soát, không phải thời hạn hay biểu mẫu bắt buộc cho mọi doanh nghiệp. Các bước cần bám danh mục ứng dụng và nhu cầu thực tế. Khi đã thống nhất cách làm, người quản lý IT có thể điều phối đầu mối để tránh bỏ sót hệ thống do đơn vị khác hoặc nhà cung cấp vận hành.

Chuyển vị trí là lúc phải nhìn cả quyền được thêm và quyền giữ lại

Một nhân viên chuyển từ bán hàng sang phân tích dữ liệu có thể được bổ sung quyền mới rất nhanh. Quyền cũ thường tồn tại vì người quản lý muốn giữ để hỗ trợ khi cần. Nếu không có thời điểm kết thúc, những nhu cầu bàn giao tạm thời dễ biến thành quyền lâu dài. Sau vài lần đổi vai trò, phạm vi truy cập có thể rộng hơn nhiệm vụ hiện tại.

Việc chuyển vị trí cần bắt đầu bằng so sánh nhiệm vụ cũ và mới. Quyền nào phục vụ vai trò mới, quyền nào chỉ cần cho bàn giao và quyền nào không còn lý do giữ? Câu hỏi này phải được trả lời bởi các chủ nghiệp vụ liên quan. IT thực hiện theo quyết định, đồng thời kiểm tra những phụ thuộc kỹ thuật có thể làm thu hồi không đầy đủ.

Nếu cần giữ quyền tạm, hồ sơ nên ghi lý do, phạm vi, người phê duyệt và điều kiện kết thúc. Hết thời điểm hoặc hoàn thành bàn giao phải kích hoạt việc xem xét, không chỉ gửi một thông báo để mọi người tự nhớ. Khi không thể tự động thu hồi, cần đầu mối theo dõi và bằng chứng xác nhận phần thủ công.

Cũng phải xem xung đột trách nhiệm. Quyền mới cộng với quyền cũ có thể cho phép một người vừa thực hiện vừa phê duyệt cùng giao dịch. Việc từng nhóm quyền được phê duyệt riêng không bảo đảm tổ hợp cuối cùng phù hợp. Chủ quy trình cần nhìn tổng thể quyền theo con người và luồng công việc, nhất là tại các bước có tác động đáng kể.

Kết thúc nhiệm vụ cần bao phủ cả những đường truy cập còn lại

Khóa tài khoản trung tâm là một hành động quan trọng, nhưng chưa chắc xử lý mọi ứng dụng. Một hệ thống có thể dùng tài khoản riêng, một đối tác có thể quản trị quyền độc lập hoặc một phiên làm việc vẫn cần được xử lý theo khả năng của nền tảng. Doanh nghiệp cần danh sách phạm vi liên quan để quyết định không dừng ở một nút khóa.

Nhóm vận hành cần kiểm tra cơ chế đăng nhập, phiên truy cập và các quyền trực tiếp phù hợp với từng hệ thống. Với dịch vụ không kết nối vào quản lý tập trung, phải có bước riêng và đầu mối xác nhận. Việc tự động hóa cần được kiểm chứng trên các đường truy cập thực tế; một báo cáo đồng bộ thành công không đủ nếu một phần quyền nằm ngoài luồng đó.

Tài khoản nhân viên cũng cần được phân biệt với tài khoản dịch vụ hoặc tác vụ tự động mà người đó đang phụ trách. Không nên vô hiệu hóa máy móc mọi danh tính liên quan nếu điều đó làm dừng dịch vụ. Các danh tính phục vụ hệ thống cần có chủ mới, quyền được rà và thông tin xác thực được xử lý theo chính sách cùng kế hoạch vận hành.

Vô hiệu hóa quyền truy cập không đồng nghĩa xóa toàn bộ dữ liệu công việc. Tổ chức phải xác định cách bàn giao và lưu giữ theo yêu cầu pháp luật, hợp đồng và chính sách áp dụng, có đầu mối phù hợp xác nhận. Quyền của người rời đi cần được xử lý, trong khi tài liệu nghiệp vụ có thể vẫn phải được bảo vệ và giữ theo mục đích hợp lệ.

Ở bước này, năng lực quản trị vận hành IT giúp phối hợp thao tác, kiểm tra và tránh tác động ngoài dự kiến. Khi một hệ thống chưa xử lý được, trạng thái còn thiếu phải hiện rõ cùng người chịu trách nhiệm; không đóng yêu cầu chỉ vì các nền tảng phổ biến nhất đã hoàn thành.

Một tình huống: yêu cầu đóng nhưng quyền ở đối tác còn mở

Trong tình huống giả định, một nhân viên phụ trách đối soát chuyển sang vị trí khác. Nhân sự cập nhật thông tin và IT thay nhóm quyền trên hệ thống trung tâm. Yêu cầu được đóng vì danh sách tác vụ nội bộ đã hoàn tất. Tuy nhiên, tài khoản tại cổng đối tác vẫn giữ quyền tải bộ hồ sơ của nhiệm vụ cũ.

Khi rà một giao dịch bàn giao, chủ nghiệp vụ mới phát hiện quyền này. Trước đó, cổng đối tác không nằm trong danh mục xử lý khi chuyển vị trí; người gửi yêu cầu cũng không biết cần báo riêng. Không có dấu hiệu cho thấy nhân viên cố tình dùng sai, nhưng khả năng truy cập vượt nhu cầu vẫn tồn tại. Đánh giá cần bám quyền thực tế thay vì chỉ trạng thái ticket.

Doanh nghiệp bổ sung cổng đối tác vào phạm vi quản lý, chỉ định chủ phê duyệt và đầu mối nhận xác nhận thu hồi. Mẫu thay đổi vai trò được sửa để thể hiện các quyền bên ngoài trung tâm. Phần bàn giao cần giữ tạm được quản lý riêng, giúp người thực hiện biết đâu là ngoại lệ đã được duyệt và đâu là quyền bị bỏ sót.

Sau đó, nhóm đối chiếu một số trường hợp chuyển vị trí có phụ thuộc tương tự. Cách kiểm tra không dừng ở chữ ký “đã rà soát” mà xem quyền trên nền tảng và kết quả xử lý. Tình huống giả định cho thấy vòng đời tài khoản chỉ đầy đủ khi phạm vi công việc của doanh nghiệp được phản ánh trong danh mục thực hiện.

Dùng rà soát để sửa sai lệch, không chỉ xác nhận danh sách

Rà soát quyền cần dựa trên danh sách thực tế được lấy từ hệ thống và đối chiếu nhiệm vụ hiện hành. Chủ nghiệp vụ phải có thông tin đủ để hiểu mỗi quyền cho phép làm gì. Một bảng chỉ chứa mã nhóm kỹ thuật dễ dẫn tới phê duyệt hàng loạt, khiến hoạt động rà soát có chữ ký nhưng không thay đổi chất lượng kiểm soát.

Tần suất và phạm vi nên phù hợp mức rủi ro, loại quyền và khả năng thay đổi của hoạt động. Ngoài các đợt định kỳ, sự kiện chuyển vị trí, kết thúc hợp tác hoặc thay chức năng ứng dụng có thể cần rà lại. Những quyền đặc biệt và ngoại lệ kéo dài thường cần được nhìn riêng vì hậu quả có thể khác quyền thông thường.

Khi phát hiện sai lệch, cần có hành động, người xử lý và cách xác nhận. Các chỉ số hữu ích có thể gồm quyền quá hạn chưa thu hồi, ứng dụng chưa bao phủ hoặc yêu cầu đóng khi còn phạm vi chưa được xác nhận. Số tài khoản đã tạo không phản ánh việc vòng đời được kiểm soát đến đâu.

Người dùng cũng cần biết cách yêu cầu quyền, báo thay đổi nhiệm vụ và sử dụng tài khoản đúng. Nội dung nhận thức an toàn thông tin giúp truyền đạt trách nhiệm này bằng tình huống công việc. Cơ chế rõ và dễ sử dụng làm giảm nhu cầu mượn tài khoản hoặc tìm cách xử lý ngoài quy trình.

Một vòng đời được quản lý tốt giúp doanh nghiệp trả lời quyền đang có phục vụ nhiệm vụ nào, được ai phê duyệt và khi nào cần xem lại. Khi thông tin nhân sự, quyết định nghiệp vụ và bằng chứng hệ thống cùng khớp, tổ chức kiểm soát được cả tốc độ hỗ trợ công việc lẫn phạm vi truy cập còn tồn tại.

Bài viết liên quan

• Xây dựng chính sách an toàn thông tin phù hợp với chiến lược và rủi ro doanh nghiệp.
• Kiểm kê và phân loại tài sản thông tin: Nền tảng để xác định yêu cầu bảo vệ.
• Xây dựng Statement of Applicability: Liên kết rủi ro với các biện pháp kiểm soát.
• Áp dụng nguyên tắc Zero Trust trong quản lý quyền truy cập doanh nghiệp.

Nguồn tham khảo

1. CIS — Critical Security Control 5: Account Management
2. CIS — Critical Security Control 6: Access Control Management
3. ISO — ISO/IEC 27002:2022: Information security controls