Cách kiểm soát quyền truy cập hệ thống đúng quy định

Vì vậy, kiểm soát quyền truy cập cần được tổ chức theo một chu trình có thể kiểm chứng: xác định ai được truy cập, được truy cập vào đâu, với quyền gì, bằng phương thức xác thực nào, được giám sát ra sao và khi nào phải thu hồi hoặc xét duyệt lại quyền.

Chủ thể vận hành phải chịu trách nhiệm gì đối với quyền truy cập?

Đơn vị vận hành là đơn vị được chủ quản hệ thống thông tin giao nhiệm vụ vận hành hệ thống. Nếu hệ thống gồm nhiều thành phần hoặc phân tán, chủ quản phải chỉ định một đơn vị chủ trì thực hiện quyền và nghĩa vụ của đơn vị vận hành. Trường hợp thuê dịch vụ công nghệ thông tin, hợp đồng phải làm rõ trách nhiệm và thẩm quyền của các bên về quản trị dữ liệu, kiểm soát truy cập và bảo đảm an ninh mạng.

Về thực chất, trách nhiệm vận hành không dừng ở việc thiết lập tài khoản. Đơn vị vận hành phải thực hiện các biện pháp bảo vệ theo phương án đã được phê duyệt, tuân thủ pháp luật và tiêu chuẩn, quy chuẩn kỹ thuật về an ninh mạng, đồng thời định kỳ đánh giá hiệu quả biện pháp bảo vệ và báo cáo chủ quản để điều chỉnh khi cần.

Điều này tạo thành ba lớp trách nhiệm:

·         Phân quyền đúng: Chỉ cấp quyền cần thiết cho người hoặc tài khoản có nhu cầu nghiệp vụ

·         Kiểm soát trong quá trình sử dụng: Xác thực, giám sát và ghi nhận hoạt động truy cập

·         Rà soát liên tục: Kiểm tra quyền còn phù hợp hay không và xử lý quyền không còn cần thiết

Kiểm soát quyền truy cập hệ thống cần thực hiện những nội dung nào?

Quản lý tài khoản và phân quyền

Quyền truy cập phải gắn với tài khoản và nhu cầu sử dụng cụ thể. Đơn vị vận hành cần quản lý việc tạo lập, cấp phát và sử dụng tài khoản, đồng thời phân quyền phù hợp với chức năng của người sử dụng.

Đối với tài khoản có quyền quản trị, yêu cầu kiểm soát phải chặt hơn. Quy định hiện hành về hoạt động bảo đảm an ninh thông tin mạng yêu cầu có biện pháp quản lý tài khoản, phân quyền sử dụng, kiểm soát truy cập, quản lý phương thức xác thực và kiểm soát việc tạo lập, cấp phát, sử dụng, giám sát tài khoản có quyền quản trị. Quy định cũng yêu cầu rà soát, kiểm tra và xét duyệt lại quyền truy cập của người sử dụng.

Vì vậy, hồ sơ kiểm soát nên thể hiện tối thiểu:

·         Danh sách tài khoản đang hoạt động

·         Chủ thể sử dụng từng tài khoản

·         Nhóm quyền được cấp

·         Mục đích nghiệp vụ của quyền

·         Tài khoản đặc quyền hoặc tài khoản quản trị

·         Người phê duyệt việc cấp quyền

·         Thời điểm rà soát hoặc xét duyệt lại

Xác thực và kiểm soát truy cập

Kiểm soát truy cập phải đi cùng cơ chế xác thực. Thông tư 12/2022/TT-BTTTT, văn bản hướng dẫn Nghị định 85/2016/NĐ-CP, phân tách các yêu cầu về xác thực và kiểm soát truy cập đối với mạng, máy chủ và ứng dụng trong các cấp độ an toàn hệ thống thông tin.

Đối với hệ thống có truy cập từ xa, phương án thiết kế còn phải bảo đảm quản lý truy cập và quản trị hệ thống từ xa an toàn, chẳng hạn thông qua mạng riêng ảo hoặc phương án tương đương phù hợp.

Kiểm soát tài khoản đặc quyền

Tài khoản quản trị có khả năng tạo tài khoản, thay đổi cấu hình hoặc truy cập dữ liệu ở phạm vi rộng nên phải được kiểm soát riêng. Thông tư 12/2022/TT-BTTTT có yêu cầu đối với hệ thống cấp độ cao về phương án quản lý tài khoản đặc quyền và các biện pháp kiểm soát liên quan.

Về vận hành, cần đặc biệt kiểm soát:

·         Ai được cấp quyền quản trị

·         Quyền quản trị được sử dụng cho nhiệm vụ nào

·         Việc sử dụng tài khoản quản trị có được giám sát và ghi nhật ký hay không

·         Quyền quản trị có được rà soát lại định kỳ hay không

·         Tài khoản có còn hiệu lực sau khi người sử dụng thay đổi vị trí hoặc không còn nhiệm vụ hay không

Ghi nhật ký và giám sát truy cập

Kiểm soát quyền chỉ có giá trị tuân thủ nếu tổ chức có khả năng chứng minh quyền đã được cấp và sử dụng như thế nào. Các yêu cầu bảo đảm an toàn hệ thống thông tin theo cấp độ bao gồm nhật ký hệ thống bên cạnh xác thực và kiểm soát truy cập.

Nếu hệ thống xử lý dữ liệu cá nhân, Nghị định 13/2023/NĐ-CP còn quy định bên kiểm soát dữ liệu cá nhân phải ghi lại và lưu trữ nhật ký hệ thống về quá trình xử lý dữ liệu cá nhân.

Do đó, nhật ký nên đủ để hỗ trợ xác định chủ thể, thời điểm và hoạt động truy cập cần thiết cho việc giám sát, điều tra và xử lý sự cố.

Khi nào phải rà soát và thu hồi quyền truy cập?

Rà soát quyền không nên chỉ thực hiện khi có sự cố. Yêu cầu hiện hành đặt việc xét duyệt lại quyền truy cập trong chính cơ chế kiểm soát tài khoản và phân quyền. Đồng thời, đơn vị vận hành phải định kỳ đánh giá hiệu quả của các biện pháp bảo vệ an ninh mạng và báo cáo chủ quản nếu cần điều chỉnh.

Về vận hành thực tế, quyền nên được xem xét lại khi:

·         Người sử dụng thay đổi vị trí hoặc nhiệm vụ

·         Người sử dụng nghỉ việc hoặc chấm dứt quyền truy cập

·         Thay đổi chức năng, phạm vi hoặc kiến trúc hệ thống

·         Phát sinh quyền quản trị mới

·         Phát hiện dấu hiệu sử dụng quyền bất thường

·         Kết quả đánh giá rủi ro cho thấy quyền hiện tại không còn phù hợp

Mục tiêu không phải là giảm quyền một cách máy móc mà là bảo đảm quyền hiện có luôn có căn cứ nghiệp vụ và phù hợp với phương án bảo vệ đã được phê duyệt.

Nếu hệ thống xử lý dữ liệu cá nhân thì yêu cầu có khác không?

Có. Khi quyền truy cập cho phép nhân sự hoặc hệ thống tiếp cận dữ liệu cá nhân, việc phân quyền phải được đặt trong yêu cầu bảo vệ dữ liệu cá nhân.

Nghị định 13/2023/NĐ-CP yêu cầu các biện pháp bảo vệ dữ liệu cá nhân được áp dụng ngay từ khi bắt đầu và trong suốt quá trình xử lý, bao gồm cả biện pháp quản lý và biện pháp kỹ thuật. Bên kiểm soát dữ liệu cá nhân phải áp dụng các biện pháp tổ chức và kỹ thuật phù hợp, có khả năng chứng minh hoạt động xử lý tuân thủ quy định và phải rà soát, cập nhật biện pháp khi cần thiết.

Điều này có nghĩa quyền truy cập dữ liệu cá nhân không nên được quản lý tách rời khỏi mục đích xử lý, phạm vi dữ liệu và trách nhiệm của từng bên tham gia xử lý.

Kiểm soát quyền truy cập phải gắn với cấp độ an ninh mạng

Không có một cấu hình kiểm soát truy cập duy nhất áp dụng cho mọi hệ thống. Nghị định 331/2026/NĐ-CP thiết lập cơ chế bảo vệ hệ thống thông tin theo cấp độ và yêu cầu phương án bảo đảm an ninh mạng tương ứng với cấp độ được phê duyệt. Việc bảo vệ phải được thực hiện liên tục từ thiết kế, xây dựng, vận hành đến khi hủy bỏ hệ thống.

Vì vậy, chủ thể vận hành nên kiểm tra theo chuỗi:

1.    Xác định hệ thống và cấp độ áp dụng

2.    Đối chiếu phương án bảo đảm an ninh mạng đã được phê duyệt

3.    Xác định yêu cầu về xác thực, phân quyền và kiểm soát truy cập

4.    Triển khai tài khoản, quyền và cơ chế giám sát

5.    Ghi nhận nhật ký và bằng chứng vận hành

6.    Rà soát, đánh giá hiệu quả và khắc phục điểm yếu

7.    Báo cáo chủ quản khi cần điều chỉnh

Cách tiếp cận này quan trọng hơn việc chỉ kiểm tra một chức năng “phân quyền” trong phần mềm, vì tuân thủ được đánh giá trên cả quy trình quản lý và hiệu quả của biện pháp bảo vệ. Nghị định 331/2026/NĐ-CP cũng quy định nội dung kiểm tra, đánh giá bao gồm việc tổ chức thực thi các biện pháp bảo đảm an ninh mạng theo phương án đã được phê duyệt và đánh giá hiệu quả của các biện pháp đó.

Doanh nghiệp nên lưu những bằng chứng gì để chứng minh tuân thủ?

Một cơ chế kiểm soát quyền truy cập có thể kiểm chứng nên duy trì hồ sơ tương ứng với từng bước của vòng đời quyền. Tùy hệ thống và cấp độ, bộ hồ sơ có thể gồm:

·         Quy chế hoặc chính sách quản lý quyền truy cập

·         Danh mục tài khoản và nhóm quyền

·         Hồ sơ phê duyệt cấp quyền

·         Hồ sơ thay đổi hoặc thu hồi quyền

·         Danh sách tài khoản đặc quyền

·         Kết quả rà soát quyền định kỳ

·         Nhật ký truy cập và hoạt động quản trị

·         Hồ sơ xử lý tài khoản bất thường

·         Kết quả đánh giá an ninh mạng và quản lý rủi ro

·         Bằng chứng khắc phục điểm yếu, lỗ hổng

·         Báo cáo thực thi và điều chỉnh biện pháp bảo vệ

Các tài liệu này giúp chuyển kiểm soát quyền truy cập từ một cấu hình kỹ thuật thành một quy trình có thể chứng minh khi kiểm tra, đánh giá tuân thủ.

Tính đến ngày 26/8/2026, khung pháp lý về an ninh mạng đã có thay đổi quan trọng: Luật An ninh mạng số 116/2025/QH15 có hiệu lực từ 1/7/2026 và Nghị định 331/2026/NĐ-CP về bảo vệ an ninh mạng đối với hệ thống thông tin có hiệu lực từ 19/8/2026. Vì vậy, khi xây dựng hoặc rà soát quy trình kiểm soát quyền truy cập, cần đối chiếu với cấp độ và loại hệ thống cụ thể thay vì chỉ dựa vào các quy định cũ về an toàn thông tin.

Tóm lại, kiểm soát quyền truy cập hệ thống đúng quy định phải bao gồm quản lý tài khoản, phân quyền, xác thực, kiểm soát tài khoản đặc quyền, ghi nhật ký, rà soát quyền và đánh giá hiệu quả định kỳ. Nếu hệ thống xử lý dữ liệu cá nhân, các biện pháp này còn phải đáp ứng yêu cầu bảo vệ dữ liệu cá nhân. Trọng tâm tuân thủ không nằm ở việc “có phân quyền” mà ở khả năng chứng minh rằng quyền được cấp đúng, sử dụng đúng, được giám sát và được thu hồi hoặc điều chỉnh khi không còn phù hợp.