Trả lời nhanh: Văn phòng luật nên cấp quyền theo từng hồ sơ vụ việc và vai trò, bật MFA cho các tài khoản được hỗ trợ, giới hạn chia sẻ bên ngoài theo người nhận và thời hạn, rồi thu hồi quyền khi nhân sự đổi vai trò hoặc nghỉ việc. IT có thể hỗ trợ tài khoản, thiết bị, email, mạng và nền tảng lưu trữ trong phạm vi được ủy quyền; luật sư hoặc người phụ trách hồ sơ quyết định ai được xem tài liệu. Không gửi hồ sơ khách hàng, mật khẩu hay mã xác thực qua ticket hoặc kênh chưa được văn phòng phê duyệt.
Văn phòng luật thường trao đổi tài liệu với khách hàng, cộng sự, đối tác và chuyên gia theo từng vụ việc. Rủi ro không chỉ là mã độc: thư mục dùng chung quá rộng, tài khoản cũ chưa khóa, máy tính dùng chung hoặc link không có thời hạn cũng có thể làm lộ nội dung ngoài dự kiến. Bài này tập trung vào vận hành IT và kiểm soát truy cập, không phải tư vấn pháp lý, đánh giá tuân thủ hay khuyến nghị một phần mềm hồ sơ cụ thể.
Lập danh mục tài sản số trước khi đặt quyền
Ghi lại hệ thống đang sử dụng, chủ sở hữu nghiệp vụ, nhà cung cấp và người có quyền phê duyệt. Danh mục tùy văn phòng có thể gồm email Microsoft 365/Google Workspace, thư mục nội bộ, kho hồ sơ theo vụ việc, laptop và điện thoại công việc, máy in/scanner, VPN, sao lưu, chữ ký số, phần mềm nghiệp vụ và tài khoản vendor. Không mặc định hệ thống nào cũng do IT sở hữu; cần xác định đúng đầu mối trước khi thay đổi.
| Nhóm tài sản | Câu hỏi cần trả lời | Người quyết định |
|---|---|---|
| Hồ sơ vụ việc, thư mục, email | Ai được xem, sửa, tải hoặc chia sẻ? Khi nào quyền hết hạn? | Luật sư phụ trách hoặc người được ủy quyền |
| Tài khoản nhân sự | Có MFA, cách khôi phục và người duyệt quyền chưa? | Quản lý văn phòng và chủ hệ thống |
| Laptop, điện thoại, USB | Ai sở hữu? Có khóa màn hình/mã hóa? Được lưu dữ liệu gì? | Văn phòng và người quản lý thiết bị |
| Chia sẻ bên ngoài | Đúng người, đúng thư mục, đúng thời hạn và kênh chưa? | Người phụ trách hồ sơ |
| Sao lưu, khôi phục | Phạm vi nào được bảo vệ, ai yêu cầu restore, đã thử chưa? | Chủ dữ liệu và chủ hệ thống |
Thiết kế quyền theo hồ sơ và vai trò
Một lần đăng nhập không nên tự động mở toàn bộ kho tài liệu. Hãy phân nhóm theo công việc: luật sư phụ trách, cộng sự được giao, trợ lý, kế toán/vận hành, quản trị viên IT và khách mời. Nguyên tắc quyền tối thiểu là chỉ cấp những gì cần cho nhiệm vụ; tránh tài khoản chung và rà soát quyền quản trị định kỳ. Đây là nguyên tắc vận hành, không thay thế đánh giá rủi ro riêng của văn phòng.
Nên tổ chức quyền quanh từng hồ sơ/matter thay vì một thư mục “Khách hàng” mở cho mọi người. Nhóm được giao mới truy cập hồ sơ tương ứng; khách chỉ nhận đúng bộ tài liệu đã duyệt; IT xử lý thiết bị nhưng không tự quyết định quyền đọc nội dung vụ việc. Tên nhóm, người duyệt và quy trình phải nhất quán để người thay thế xử lý được khi có sự cố.
Checklist tài khoản và thiết bị
- Bật MFA cho email, tài khoản quản trị, VPN và lưu trữ khi dịch vụ hỗ trợ; cân nhắc phương thức chống lừa đảo nếu nền tảng và quy trình phù hợp.
- Mỗi nhân sự một tài khoản riêng; giới hạn tài khoản admin và tách công việc thường ngày khỏi tác vụ đặc quyền khi khả thi.
- Chỉ định người duyệt quyền theo hồ sơ; lưu ngày cấp, mục đích, phạm vi và ngày rà soát.
- Áp dụng khóa màn hình, cập nhật phần mềm, bảo vệ endpoint và mã hóa thiết bị theo chính sách đã chọn.
- Không lưu mật khẩu, OTP, khóa khôi phục hay token trong file chia sẻ hoặc ticket thông thường.
- Quyết định rõ thiết bị cá nhân có được truy cập hồ sơ không; nếu có, quy định khóa thiết bị, xóa dữ liệu công việc và báo mất.
NIST khuyến nghị doanh nghiệp nhỏ bật MFA cho các tài khoản có hỗ trợ. MFA bổ sung một lớp bảo vệ khi mật khẩu bị lộ, không bảo đảm ngăn mọi kiểu xâm nhập.
Chia sẻ tài liệu với khách hàng và bên thứ ba
Trước khi gửi, người phụ trách hồ sơ kiểm tra người nhận, nội dung, quyền và thời hạn. Khi nền tảng hỗ trợ, chia sẻ cho người cụ thể và yêu cầu xác thực thay vì tạo link công khai cho tài liệu nhạy cảm. Giới hạn quyền tải/chỉnh sửa theo nhu cầu và rà lại guest khi công việc kết thúc. Microsoft mô tả các lựa chọn chia sẻ ngoài tổ chức trong SharePoint/OneDrive; cấu hình thực tế còn phụ thuộc tenant và chính sách văn phòng.
Không chuyển hồ sơ sang email cá nhân, ứng dụng nhắn tin hay kho cá nhân chỉ vì quy trình chính bất tiện. Dùng kênh đã được văn phòng phê duyệt, xác minh người nhận và cách thu hồi link. IT có thể cấu hình nền tảng, nhưng người có thẩm quyền của văn phòng xác nhận dữ liệu nào được chia sẻ.
Khi nhân sự vào, chuyển vai trò hoặc nghỉ việc
| Sự kiện | Việc cần làm | Bằng chứng tối thiểu |
|---|---|---|
| Nhân sự mới | Tạo tài khoản sau phê duyệt; cấp đúng nhóm/hồ sơ; thiết lập MFA và thiết bị | Người duyệt, ngày cấp, hệ thống và nhóm quyền |
| Đổi nhóm hoặc vụ việc | Xác nhận quyền cũ cần giữ hay thu hồi; không sao chép toàn bộ quyền của đồng nghiệp | Quyết định của người phụ trách và thay đổi đã làm |
| Nghỉ việc/kết thúc cộng tác | Thu hồi phiên, VPN, tài khoản và chia sẻ; tiếp nhận thiết bị; bàn giao dữ liệu theo chính sách | Thời điểm, người thực hiện và danh sách quyền đã rà |
| Vendor hết hỗ trợ | Thu hồi tài khoản kỹ thuật, token, VPN hoặc guest; xác nhận bàn giao | Chủ sở hữu, phạm vi thu hồi và xác nhận đóng quyền |
Không tự động xóa thư hoặc hồ sơ khi khóa tài khoản. Việc lưu giữ và bàn giao tuân theo chính sách hồ sơ của văn phòng. IT thực hiện yêu cầu đã duyệt và ghi nhận kết quả; chủ dữ liệu quyết định nội dung cần giữ, chuyển giao hay xử lý tiếp.
Nếu phát hiện chia sẻ nhầm hoặc tài khoản đáng ngờ
- Báo người phụ trách sự cố và người phụ trách hồ sơ qua kênh nội bộ đã định.
- Ghi thời gian, tài khoản, thiết bị, link/thư mục và phạm vi đã biết; không sao chép hồ sơ nhạy cảm sang kênh cá nhân để lưu bằng chứng.
- Người có thẩm quyền quyết định tạm dừng link, thu hồi phiên hay khóa tài khoản; IT thao tác trong quyền được giao và bảo toàn log phù hợp.
- Phối hợp nhà cung cấp email/lưu trữ để kiểm tra hoạt động; phân biệt rõ sự kiện đã xác nhận với điều chưa rõ.
- Chỉ thông báo khách hàng hoặc bên ngoài theo quyết định của người có thẩm quyền và quy trình văn phòng; IT không tự đưa ra kết luận pháp lý.
- Sau xử lý, rà quyền tương tự, cập nhật quy trình và thử lại việc chia sẻ/thu hồi.
Không có một cài đặt kỹ thuật đơn lẻ bảo đảm hồ sơ an toàn tuyệt đối. Mục tiêu thực tế là giảm quyền thừa, phát hiện sớm, giữ bằng chứng phù hợp và phân công rõ ai duyệt, ai thao tác, ai thông báo.
Checklist rà soát định kỳ
- Tài khoản admin/chung, nhân sự đã nghỉ và tài khoản vendor còn tồn tại.
- Guest hoặc link sắp hết hạn, không còn chủ sở hữu hay vượt phạm vi.
- MFA, thông tin khôi phục, thiết bị được phép và phiên đăng nhập đáng ngờ.
- Laptop thất lạc, thiết bị dùng chung, bản sao cục bộ và USB theo chính sách.
- Trạng thái sao lưu và một lần khôi phục thử được phê duyệt; job báo thành công chưa chứng minh dữ liệu khôi phục dùng được.
- Nhật ký thay đổi quyền gồm người yêu cầu, người duyệt, người làm, thời điểm và kết quả.
IT Support có thể hỗ trợ phần nào?
Đội IT thuê ngoài có thể kiểm kê tài khoản/thiết bị, cấu hình endpoint và MFA trong quyền được cấp, xử lý email/mạng/VPN, hướng dẫn kênh chia sẻ, thu hồi quyền theo yêu cầu đã duyệt, kiểm tra bằng chứng backup và phối hợp nhà cung cấp. Thỏa thuận nên ghi rõ phạm vi, giờ hỗ trợ, quyền remote, người phê duyệt và cách xử lý dữ liệu. Không mặc định IT Support là tư vấn pháp lý, chủ hồ sơ, đơn vị điều tra pháp chứng hay đánh giá chứng nhận.
IT Systems hỗ trợ IT Support, tài khoản, thiết bị, mạng và phối hợp vận hành theo phạm vi khảo sát và SLA thống nhất. Xem dịch vụ IT Support cho doanh nghiệp hoặc liên hệ IT Systems.
Câu hỏi thường gặp
Có nên dùng một tài khoản chung cho nhóm hồ sơ?
Không nên vì khó xác định ai đã truy cập và thu hồi đúng quyền cá nhân khi đổi vai trò. Dùng tài khoản riêng và nhóm quyền phù hợp với nền tảng cùng chính sách văn phòng.
Có thể gửi link công khai cho khách để đỡ lỗi đăng nhập không?
Chỉ dùng cho nội dung văn phòng đã duyệt để công khai. Với hồ sơ khách hàng, ưu tiên đúng người nhận, xác thực và thời hạn; người phụ trách hồ sơ phê duyệt trước.
IT có được đọc hồ sơ khi xử lý sự cố không?
Không mặc định. Quyền IT cần giới hạn theo nhiệm vụ; chỉ mở nội dung khi người có thẩm quyền cho phép, việc đó cần thiết và phù hợp chính sách.
Nhân sự nghỉ việc thì khóa tài khoản hay sao lưu trước?
Văn phòng phê duyệt trình tự và chỉ định người giữ hồ sơ. IT thu hồi quyền theo thời điểm được chỉ định; chủ sở hữu xác nhận nội dung cần lưu hoặc chuyển giao trước khi xóa hay đổi quyền sở hữu.
Sao lưu có thay thế phân quyền không?
Không. Sao lưu hỗ trợ khôi phục trong một số tình huống; phân quyền kiểm soát ai được truy cập. Hai cơ chế có phạm vi, chủ sở hữu, quy trình và cách kiểm tra riêng.
