Cách bắt buộc nhân viên bật xác minh hai bước trên Google Workspace, Microsoft 365

Mật khẩu email công ty bị lộ là một trong những cách kẻ gian đi vào hệ thống, giả mạo sếp, đòi chuyển tiền hay chép dữ liệu khách. Bắt buộc mọi nhân viên bật xác minh hai bước (2FA/MFA) là biện pháp rẻ nhưng hiệu quả nhất để giảm rủi ro này. Quản trị viên có thể ép bật ngay trong bảng quản trị Google Workspace hoặc Microsoft 365.

Bài này dành cho người quản trị tài khoản công ty. Giao diện các trang quản trị thay đổi thường xuyên, nên tên menu bên dưới là đường dẫn phổ biến; nếu khác, hãy dùng ô tìm kiếm trong trang quản trị.

Chuẩn bị trước khi bắt buộc

Đừng bật bắt buộc đột ngột, vì nhân viên có thể bị khóa khỏi công việc. Hãy chuẩn bị:

1. Thông báo trước ít nhất một tuần, kèm hướng dẫn ngắn bằng ảnh.
2. Chọn phương thức: khuyến nghị dùng ứng dụng xác thực (Google Authenticator, Microsoft Authenticator) hoặc khóa bảo mật. Mã SMS tiện hơn nhưng yếu hơn.
3. Có ít nhất hai quản trị viên để một người mất quyền thì vẫn còn người xử lý.
4. Thống nhất cách hỗ trợ khi nhân viên mất điện thoại hoặc đổi máy.
5. Cho nhân viên thử trước nhóm nhỏ (ví dụ phòng IT) để rút kinh nghiệm.

Bạn có thể gửi cho nhân viên bài cách dùng Google Authenticator, Microsoft Authenticator và cách lưu mã dự phòng khi bật xác minh 2 bước.

Google Workspace: bắt buộc xác minh 2 bước

1. Đăng nhập Google Admin console bằng tài khoản quản trị.
2. Vào Security (Bảo mật) > Authentication (Xác thực) > 2-Step Verification (Xác minh 2 bước).
3. Chọn đơn vị tổ chức (Organizational unit) hoặc nhóm cần áp dụng, bắt đầu từ nhóm thử nghiệm.
4. Tích Allow users to turn on 2-Step Verification (Cho phép người dùng bật).
5. Ở mục Enforcement (Thực thi), chọn On (Bật), rồi chọn thời điểm bắt đầu hoặc On from a date.
6. Đặt New user enrollment period (thời gian ân hạn cho người dùng mới) để họ có vài ngày thiết lập.
7. Ở Methods (Phương thức), chọn cho phép mọi phương thức hay chỉ dùng khóa bảo mật nếu cần mức an toàn cao hơn.
8. Bấm Save (Lưu).

Sau đó dùng báo cáo trong Admin console để xem ai đã đăng ký, ai chưa. Người chưa đăng ký sẽ được yêu cầu thiết lập khi đăng nhập sau ngày bắt buộc.

Microsoft 365: bật MFA cho người dùng

Microsoft thường tự bật các thiết lập an toàn mặc định (Security defaults) cho tenant mới, giúp yêu cầu MFA. Nếu bạn muốn quản lý chủ động:

1. Đăng nhập Microsoft Entra admin center (trung tâm quản trị Entra) hoặc Microsoft 365 admin center bằng tài khoản quản trị.
2. Vào Identity (Danh tính) > Overview > Properties và kiểm tra Security defaults đang bật hay tắt.
3. Nếu gói của bạn có Conditional Access (Truy cập có điều kiện), hãy tạo chính sách Require multifactor authentication (Yêu cầu MFA) cho tất cả người dùng, áp dụng cho mọi ứng dụng đám mây.
4. Loại trừ một tài khoản break-glass (quản trị khẩn cấp) có mật khẩu rất dài và cất giữ cẩn thận, phòng khi hệ thống MFA gặp sự cố.
5. Bật chính sách ở chế độ Report-only trước để xem ảnh hưởng, sau đó chuyển sang On.

Quản lý nhân viên sau khi bật

• Mất hoặc đổi điện thoại: quản trị viên cần có quy trình xác minh danh tính (gọi video, xác nhận qua trưởng phòng) rồi mới đặt lại phương thức xác minh.
• Cấp mã dự phòng cho nhân viên hay đi công tác.
• Nhắc không đưa mã cho ai, kể cả người xưng là IT. Xem bài hướng dẫn nhân viên nhận biết lừa đảo qua mạng.
• Kết hợp quy định mật khẩu: xem cách đặt quy định mật khẩu cho nhân viên văn phòng.
• Rà soát định kỳ: ai chưa bật, tài khoản nghỉ việc đã khóa chưa.

Doanh nghiệp nhỏ không có IT thì sao?

Nếu công ty bạn chưa có người phụ trách, việc thiết lập quản trị, phân quyền và chính sách bảo mật có thể gây rối. Cường Tech có dịch vụ IT cho doanh nghiệp và vận hành hệ thống CNTT để hỗ trợ thiết lập đúng ngay từ đầu.

Cần hỗ trợ thêm?

Bạn có thể liên hệ qua trang liên hệ hoặc gọi hotline/Zalo 0943.847.333 để được tư vấn lộ trình triển khai phù hợp quy mô công ty.