Cách bảo mật email công ty khi làm việc từ xa

Email là cánh cửa dẫn vào gần như mọi thứ của công ty: hợp đồng, báo giá, tài khoản ngân hàng, cả việc đặt lại mật khẩu các dịch vụ khác. Khi nhân viên làm việc ở nhà, quán cà phê hay chỗ cho thuê, cánh cửa này không còn nằm sau router và máy tính của văn phòng. Bài này tóm lại những việc đủ nhẹ để cả đội cùng làm, nhưng chặn được phần lớn rủi ro thường gặp.

Bạn không cần là dân kỹ thuật. Chủ doanh nghiệp nhỏ có thể làm theo từng mục, còn người phụ trách IT có thể dùng làm danh sách kiểm tra khi hướng dẫn nhân viên mới.

Vì sao email làm việc từ xa dễ bị tấn công hơn

Ở văn phòng, máy tính thường dùng chung một mạng được quản lý. Ở nhà, mỗi người một router, một mật khẩu Wi-Fi cũ, thậm chí máy cá nhân dùng chung với con cái. Kẻ lừa đảo biết điều đó nên thường nhắm vào ba chỗ: mật khẩu bị lộ, thư giả mạo sếp hoặc đối tác, và thiết bị bị cài phần mềm độc hại.

Điểm yếu nhất thường không phải kỹ thuật mà là thói quen: dùng chung một mật khẩu cho nhiều nơi, bấm vào liên kết khi đang vội, hoặc để máy mở sẵn tài khoản công ty cho người khác dùng.

Bước 1: Bật xác minh 2 bước cho mọi tài khoản email

Đây là việc đáng làm nhất. Dù mật khẩu bị lộ, kẻ xấu vẫn cần thêm mã từ điện thoại của bạn. Cách bật tùy nhà cung cấp, ví dụ với Google Workspace hoặc Gmail:

1. Mở trang quản lý tài khoản Google, chọn Bảo mật (Security).
2. Tìm mục Xác minh 2 bước (2-Step Verification) rồi chọn Bắt đầu (Get started).
3. Làm theo hướng dẫn, ưu tiên dùng thông báo trên điện thoại hoặc ứng dụng tạo mã thay vì tin nhắn SMS.
4. Lưu mã dự phòng ở nơi an toàn, không để chung trong hộp thư.

Với Microsoft 365, mục tương tự nằm trong phần Thông tin bảo mật (Security info) của tài khoản. Nếu công ty dùng email tên miền riêng, quản trị viên có thể yêu cầu bắt buộc cho toàn bộ nhân viên. Chi tiết cách hoạt động xem thêm ở bài mật khẩu mạnh và xác minh 2 bước.

Bước 2: Mỗi tài khoản một mật khẩu riêng, dài và khó đoán

Mật khẩu email công ty không nên giống mật khẩu mạng xã hội hay mua sắm. Khi một trang bên ngoài bị rò rỉ dữ liệu, kẻ xấu sẽ thử đúng cặp email và mật khẩu đó ở những nơi khác.

• Dùng cụm từ dài (khoảng 14 ký tự trở lên) thay vì từ ngắn có ký tự đặc biệt.
• Dùng trình quản lý mật khẩu để không phải nhớ hay ghi giấy; xem cách quản lý mật khẩu bằng trình quản lý mật khẩu.
• Đổi ngay mật khẩu khi nghi ngờ lộ, và khi nhân viên nghỉ việc thì thu hồi quyền truy cập cùng ngày.

Bước 3: Thận trọng với thư giả mạo và yêu cầu chuyển tiền

Kiểu lừa phổ biến với doanh nghiệp nhỏ là thư giả giám đốc: nội dung ngắn, giọng gấp gáp, nhờ kế toán chuyển khoản hoặc gửi bảng lương. Một số thư còn giả địa chỉ rất giống thật, chỉ khác một ký tự.

Cách tự bảo vệ đơn giản:

1. Nhìn kỹ địa chỉ người gửi đầy đủ, không chỉ tên hiển thị.
2. Với mọi yêu cầu liên quan tiền hoặc thông tin nhạy cảm, xác nhận lại bằng cách gọi điện hoặc nhắn qua kênh khác đã biết.
3. Không bấm liên kết trong thư lạ; tự mở trang chính thức bằng cách gõ địa chỉ hoặc dùng dấu trang đã lưu.
4. Báo cho người phụ trách ngay nếu lỡ bấm hoặc nhập mật khẩu, đừng im lặng vì ngại.

Cách nhận diện thư giả ngân hàng cũng giống phần lớn thư lừa khác, xem cách nhận biết email lừa đảo giả mạo ngân hàng.

Bước 4: Giữ thiết bị và mạng ở nhà sạch sẽ

Email an toàn đến đâu cũng vô nghĩa nếu máy tính nhiễm mã độc.

• Bật Windows Security và cập nhật Windows đều đặn.
• Dùng tài khoản riêng cho công việc, không cho người khác đăng nhập vào cùng phiên.
• Khóa màn hình khi rời máy: nhấn Windows + L.
• Đổi mật khẩu quản trị mặc định của router ở nhà và dùng mã hóa WPA2 hoặc WPA3 cho Wi-Fi.
• Ở nơi công cộng, tránh đăng nhập email công ty trên máy lạ hoặc Wi-Fi không rõ chủ. Nếu bắt buộc, dùng dữ liệu di động từ điện thoại của mình.

Bước 5: Thiết lập quy tắc chung cho cả đội

Bảo mật tốt nhất là khi mọi người cùng làm giống nhau. Doanh nghiệp nhỏ có thể bắt đầu bằng một trang giấy quy ước gồm:

• Ai được phép truy cập hộp thư dùng chung (kế toán, bán hàng).
• Thông tin nào không được gửi qua email thường (mật khẩu, ảnh chụp giấy tờ tùy thân).
• Quy trình khi nhân viên nghỉ việc: đổi mật khẩu, thu hồi thiết bị, chuyển hộp thư.
• Cách báo sự cố: gọi ai, trong bao lâu.

Nếu công ty có email tên miền riêng, quản trị viên còn có thể bật các chế độ bảo vệ chống giả mạo. Xem thêm về email tên miền riêng cho doanh nghiệp.

Những dấu hiệu tài khoản đã bị xâm nhập

• Có thư đã gửi mà bạn không viết, hoặc bạn bè báo nhận thư lạ từ bạn.
• Nhận thông báo đăng nhập từ vị trí hoặc thiết bị bạn không biết.
• Quy tắc chuyển tiếp thư tự động xuất hiện trong cài đặt.
• Mật khẩu bỗng không đăng nhập được.

Khi gặp, đổi mật khẩu ngay từ thiết bị sạch, đăng xuất mọi phiên đăng nhập, kiểm tra quy tắc chuyển tiếp và báo cho người quản trị.

Cần hỗ trợ thêm?

Nếu công ty bạn chưa có ai lo phần máy tính và email, dịch vụ vận hành hệ thống IT hoặc dịch vụ IT của Cường Tech có thể giúp thiết lập, kiểm tra định kỳ. Bạn cũng có thể gọi hotline 0943.847.333 để được tư vấn cách làm phù hợp quy mô của mình.