II. Kiểm soát Truy cập và Quản lý Hệ thống

• Nguyên tắc "Cần thiết để biết" (Need-to-Know):

  • Hạn chế quyền truy cập vào các hệ thống, dữ liệu, tài liệu nhạy cảm ở mức tối thiểu cần thiết cho công việc thử việc.

  • Chỉ cấp quyền cho các thư mục, tài khoản, phần mềm liên quan trực tiếp đến nhiệm vụ được giao.

  • Không cấp quyền truy cập vào các hệ thống quan trọng toàn công ty trừ khi thực sự cần thiết và có sự giám sát.

• Quản lý Thiết bị:

  • Ưu tiên sử dụng thiết bị làm việc do công ty cung cấp (máy tính, điện thoại) để dễ dàng kiểm soát bảo mật (cài đặt phần mềm giám sát, mã hóa ổ đĩa, v.v.).

  • Nếu nhân viên sử dụng thiết bị cá nhân (BYOD), phải có chính sách rõ ràng về bảo mật dữ liệu công ty trên thiết bị đó (ví dụ: cài đặt phần mềm bảo mật, quy tắc lưu trữ dữ liệu).

• Quản lý Tài khoản và Mật khẩu:

  • Cấp phát tài khoản email, hệ thống với mật khẩu mạnh, yêu cầu đổi mật khẩu ngay lần đầu tiên.

  • Áp dụng xác thực đa yếu tố (MFA) cho các tài khoản quan trọng.

  • Theo dõi lượng truy cập email và máy tính một cách bất thường (cần thông báo rõ cho nhân viên về việc giám sát này theo luật pháp hiện hành).