Cấp quyền cho nhà thầu, khách hàng bên ngoài vào công cụ dự án thế nào cho an toàn?

Không dùng tài khoản dùng chung. Không truy vết được ai làm gì, không thu hồi quyền riêng cho một người được, và mật khẩu đi qua chat là rủi ro lộ thông tin rõ ràng.

Nguyên tắc thiết kế quyền

1. Mỗi người một tài khoản, gắn với email công ty của họ; bật xác thực hai lớp (Google, NCSC… đều khuyến nghị đây là biện pháp bảo vệ tài khoản quan trọng hàng đầu).
2. Quyền tối thiểu cần thiết (least privilege): khách hàng thường chỉ cần xem và bình luận; nhà thầu chỉ thấy không gian/gói việc của họ.
3. Nhóm quyền theo vai trò, không cấp quyền từng người lẻ: "Nhà thầu A – sửa", "Khách hàng – xem". Thêm/bớt người chỉ là thêm/bớt khỏi nhóm.
4. Tách không gian chứa thông tin nội bộ (chi phí, đánh giá nhà thầu, đàm phán) khỏi không gian chung.
5. Đặt ngày hết hạn cho quyền khách nếu công cụ hỗ trợ.

Quy trình vào – ra (onboarding/offboarding)

• Có danh sách truy cập của bên ngoài trong sổ đăng ký bên liên quan hoặc phụ lục kế hoạch truyền thông: ai, quyền gì, đến bao giờ, ai phê duyệt.
• Khi hợp đồng kết thúc hoặc thay người: thu hồi quyền trong ngày, chuyển quyền sở hữu tài liệu họ tạo, đổi các mã/khoá dùng chung (nếu có).
• Rà soát danh sách truy cập định kỳ (ví dụ hằng tháng) và ở mỗi mốc giai đoạn.

Trong hợp đồng: đưa điều khoản về bảo mật thông tin, quy định dùng công cụ và nghĩa vụ báo sự cố vào hợp đồng với nhà thầu — đây là một phần của quản lý mua sắm, không chỉ việc của bộ phận IT.

Nguồn:

• Google Workspace Admin Help — Protect your business with 2-Step Verification
• NCSC — Turn on 2-step verification (2SV)