Ba lớp bảo mật không thay thế nhau

Một đối tác bên ngoài có thể là studio thiết kế, công ty truyền thông nội dung hay nhà thầu kỹ thuật. Khi họ bắt đầu tiếp cận hệ thống và tài liệu của doanh nghiệp, Anh / Chị cần ba lớp kiểm soát riêng biệt. Mỗi lớp bảo vệ một thứ khác nhau. Dùng lẫn lộn hoặc bỏ sót một lớp là để lại lỗ hổng mà chỉ phát hiện được khi sự việc đã xảy ra.

Ba lớp không thay thế nhau

Nghề thường phân biệt ba lớp như sau:

• SSO (đăng nhập một lần, Single Sign-On): kiểm soát ai được vào hệ thống, vào được tới đâu và thu hồi quyền ra sao khi người đó rời khỏi dự án. SSO kết nối với hệ đăng nhập tập trung của doanh nghiệp, phân quyền theo vai trò và ghi lại ai đã truy cập gì.
• NDA (thoả thuận bảo mật, Non-Disclosure Agreement): ràng buộc pháp lý về việc giữ kín thông tin chiến lược, tài sản chưa công bố và nội dung nhạy cảm. NDA phủ cả nhân sự trực tiếp và thầu phụ có tiếp cận thông tin.
• DPA (thoả thuận xử lý dữ liệu, Data Processing Agreement): quy định bên đối tác được làm gì với dữ liệu cá nhân, dữ liệu được lưu ở đâu và bảo vệ ra sao. DPA cũng quy định khi nào phải xoá hoặc trả lại dữ liệu, đồng thời phân định rõ ai là bên kiểm soát dữ liệu và ai là bên xử lý.

Khi nào từng lớp trở nên cần thiết

• SSO: ưu tiên khi doanh nghiệp đã có hệ đăng nhập tập trung và nhiều người hoặc nhiều đối tác cùng truy cập tài nguyên. Không nhất thiết ngay từ đầu nếu quy mô nhỏ, nhưng phải có cơ chế thu hồi quyền thủ công thay thế.
• NDA: thường cần khi chia sẻ tài liệu chiến lược, đề bài thương hiệu, kế hoạch sản phẩm chưa công bố. Nên ký trước khi trao bất kỳ thông tin nhạy cảm nào, không phải sau.
• DPA: cần ngay khi đối tác bên ngoài chạm vào dữ liệu cá nhân. Tại Việt Nam, Luật Bảo vệ dữ liệu cá nhân 91/2025 và Nghị định 356/2025 đặt nghĩa vụ cho bên kiểm soát và bên xử lý dữ liệu; cần luật sư đối chiếu với từng hợp đồng cụ thể. Theo GDPR Điều 28 (tham khảo nước ngoài), bên xử lý chỉ được làm theo chỉ dẫn bằng văn bản và phải cam kết bảo mật, không thuê lại thầu phụ khi chưa có sự đồng ý của bên kiểm soát.

Bên xử lý dữ liệu chỉ được xử lý dữ liệu cá nhân theo chỉ dẫn có ghi chép của bên kiểm soát, trừ trường hợp pháp luật yêu cầu khác.

GDPR Điều 28 (tham khảo)

Lỗi thường gặp cần tránh

• Dừng ở NDA, bỏ qua DPA: đây là lỗi phổ biến nhất. NDA không quy định ai được làm gì với dữ liệu cá nhân, không đề cập việc xoá hay trả dữ liệu khi xong việc.
• Không thu hồi quyền khi nhân sự nghỉ: quyền truy cập còn hoạt động sau khi người đó rời đi là rủi ro thực tế, không phải lý thuyết. SSO giúp thu hồi tập trung; nếu chưa có SSO thì cần quy trình thủ công rõ ràng.
• Dùng mẫu DPA tải về mà không qua pháp chế hoặc luật sư: mẫu trên mạng có thể không khớp luật áp dụng tại Việt Nam hoặc thiếu điều khoản phù hợp với thực tế hợp đồng. Một DPA sai có thể tạo cảm giác an toàn giả.
• Không quy định rõ việc xoá và trả dữ liệu: khi hợp đồng kết thúc, dữ liệu cá nhân cần được xoá hoặc trả lại. Nếu không ghi vào DPA, không có cơ sở để yêu cầu.

Nguyên tắc quyền tối thiểu

Khi thiết lập phân quyền, nguyên tắc nên theo là quyền tối thiểu: mỗi người chỉ thấy và chạm đúng những gì cần thiết cho vai trò của họ, không hơn. SSO là công cụ thực thi nguyên tắc này ở cấp hệ thống. NDA và DPA là thực thi ở cấp pháp lý. Cả hai cần chạy song song, không cái nào thay được cái kia.

Ràng buộc về dữ liệu cá nhân có hậu quả pháp lý vượt ngoài phạm vi thiết kế hay vận hành thương hiệu, nên phần này cần pháp chế hoặc luật sư của doanh nghiệp cùng soát trước khi ký. Làm chặt từ đầu thì phí tổn thấp; vá sau khi đã có sự cố thì tốn kém hơn nhiều.

Bài viết là thông tin tham khảo. Phạm vi, giá và cam kết cụ thể của Sinh Vũ ghi trong hồ sơ đề xuất và hợp đồng đã ký.