Trả lời nhanh: Đây là nơi tập trung các công cụ về tuân thủ và quản trị dữ liệu của Microsoft 365. Với doanh nghiệp vừa và nhỏ, ba thứ đáng dùng nhất là nhật ký kiểm tra để biết ai đã làm gì, tìm kiếm nội dung để tra cứu khi có tranh chấp, và chính sách lưu giữ dữ liệu.
Cái tên nghe như dành cho tập đoàn lớn, nhưng có vài công cụ trong đó mà doanh nghiệp nhỏ dùng ngay được và dùng thường xuyên. Bài này chỉ ra ba thứ đó.
- Nhật ký kiểm tra ghi lại mọi hành động trong tenant, dùng khi điều tra.
- Tìm kiếm nội dung tra được thư và tệp của toàn tổ chức cùng lúc.
- Chính sách lưu giữ quyết định dữ liệu sống bao lâu sau khi xóa.
- Nhật ký chỉ hữu ích khi bạn biết nó tồn tại trước lúc cần.
- Việc tra cứu dữ liệu nhân viên cần có cơ sở và quy định nội bộ rõ ràng.
Nhật ký kiểm tra
Đây là thứ đáng dùng nhất trong cả bộ với doanh nghiệp nhỏ, và nó chạy sẵn mà bạn không phải bật gì.
Hệ thống ghi lại các hành động trong tenant: ai đăng nhập, ai xóa tệp, ai đổi cấu hình, ai cấp quyền cho người khác, ai xuất dữ liệu.
Bốn tình huống dùng tới:
- Một tệp quan trọng biến mất. Tra xem ai xóa và lúc nào, rồi khôi phục.
- Nghi ngờ nhân viên sắp nghỉ đang tải dữ liệu về. Nhật ký ghi các hoạt động tải xuống bất thường.
- Một cấu hình bị đổi và không ai nhận. Tra xem tài khoản nào đã đổi.
- Nghi ngờ tài khoản bị chiếm. Xem hoạt động của tài khoản đó trong khoảng thời gian nghi ngờ.
Điểm quan trọng về thời gian lưu: nhật ký chỉ giữ trong một khoảng, và khoảng đó tùy cấp giấy phép. Gói cơ bản lưu ngắn hơn, các gói cao hơn lưu lâu hơn.
Nghĩa là công cụ này chỉ giúp được nếu bạn tra trong thời hạn. Phát hiện muộn thì dữ liệu đã bị dọn. Đây là lý do nên biết nó tồn tại từ trước, chứ không phải đi tìm khi đã có sự cố.
Tìm kiếm nội dung
Công cụ tìm trong toàn bộ hộp thư, site SharePoint, OneDrive và tin nhắn Teams của cả tổ chức cùng lúc.
Ba tình huống thực tế ở doanh nghiệp Việt Nam:
- Tranh chấp hợp đồng. Cần tìm mọi trao đổi liên quan tới một khách hàng trong hai năm qua, kể cả thư của nhân viên đã nghỉ.
- Yêu cầu từ cơ quan chức năng về việc cung cấp thông tin liên quan tới một vụ việc.
- Điều tra nội bộ về một sự việc.
Cách dùng: đặt phạm vi tìm là nơi nào, đặt điều kiện là từ khóa, khoảng thời gian, người gửi. Hệ thống trả về kết quả và bạn xuất ra được.
Một điểm mạnh đáng biết: nó tìm cả nội dung đang bị giữ bởi chính sách lưu giữ, tức là những thứ người dùng đã xóa. Đây là lý do chính sách lưu giữ và công cụ này bổ sung cho nhau.
Về mặt pháp lý và đạo đức: tra cứu dữ liệu của nhân viên là việc nhạy cảm. Doanh nghiệp nên có quy định nội bộ ghi rõ khi nào được tra, ai có quyền phê duyệt, và thông báo cho nhân viên biết về chính sách này. Với các trường hợp liên quan tới dữ liệu cá nhân, nên tham khảo tư vấn pháp lý về nghĩa vụ theo Luật Bảo vệ dữ liệu cá nhân.
Chính sách lưu giữ
Đây là công cụ quyết định dữ liệu sống bao lâu, cả theo hướng giữ lại lẫn hướng xóa đi.
Nó có hai vế: buộc giữ tối thiểu một khoảng thời gian dù người dùng đã xóa, và tự xóa sau một khoảng thời gian dù người dùng chưa xóa.
Vế thứ nhất bảo vệ bạn trước việc xóa nhầm và xóa cố ý. Vế thứ hai giúp không tích tụ dữ liệu vô thời hạn, vốn vừa tốn dung lượng vừa tăng khối lượng phải cung cấp khi có tranh chấp.
Điểm cần rõ: đây không phải sao lưu. Nó nằm bên trong chính hệ thống mà nó bảo vệ, nên không giúp được trong tình huống tài khoản quản trị bị chiếm rồi xóa sạch.
Ba việc khác dùng được ở quy mô nhỏ
Nhãn nhạy cảm. Gắn mức bảo mật vào tài liệu, kèm mã hóa và hạn chế thao tác. Nhãn đi theo tệp ra khỏi công ty.
Chính sách chống rò rỉ dữ liệu. Quét nội dung và chặn khi thông tin nhạy cảm sắp rời khỏi tổ chức. Nên bắt đầu bằng chế độ mô phỏng để xem dữ liệu đang chảy đi đâu trước khi chặn gì.
Quản lý rủi ro nội bộ. Phát hiện các mẫu hành vi đáng chú ý, chẳng hạn tải xuống hàng loạt trước khi nghỉ việc. Tính năng này cần gói cao và cần cân nhắc kỹ về mặt quan hệ lao động, nên với doanh nghiệp nhỏ thì thường chưa tới lượt.
Với doanh nghiệp vừa và nhỏ, thứ tự nên làm là: hiểu nhật ký kiểm tra, đặt chính sách lưu giữ, rồi mới tới nhãn và chống rò rỉ.
Cần gói nào và bắt đầu từ đâu
Về giấy phép: nhật ký kiểm tra cơ bản và tìm kiếm nội dung có ở hầu hết gói doanh nghiệp, với thời gian lưu khác nhau. Nhãn nhạy cảm và chống rò rỉ dữ liệu thường cần Business Premium trở lên. Các tính năng tuân thủ nâng cao cần gói Enterprise cao.
Bốn việc nên làm ngay, kể cả khi bạn chưa có nhu cầu tuân thủ nào:
- Vào xem nhật ký kiểm tra một lần để biết nó ở đâu và tìm được gì. Mười lăm phút này rất đáng, vì lúc có sự cố thì bạn không có thời gian mò.
- Kiểm thời gian lưu nhật ký theo gói của bạn, để biết mình có bao lâu để phát hiện vấn đề.
- Đặt một chính sách lưu giữ cơ bản cho email và tài liệu, ở chế độ chỉ giữ, chưa bật xóa tự động.
- Ghi vào quy định nội bộ về việc công ty có thể tra cứu dữ liệu trên hệ thống làm việc, và trong trường hợp nào.
Việc thứ tư quan trọng hơn nó có vẻ: nó vừa minh bạch với nhân viên, vừa tạo cơ sở rõ ràng cho công ty khi cần dùng tới các công cụ này.
Ba việc bật ngay hôm nay, mất chưa tới một giờ
| Việc | Vì sao đáng làm trước | Sau khi bật thì được gì |
|---|---|---|
| Bật nhật ký kiểm tra và kiểm nó đã ghi | Nhiều tổ chức chỉ phát hiện nó tắt lúc cần điều tra | Truy được ai xóa tệp, ai đăng nhập, ai cấp quyền, lúc nào |
| Đặt chính sách lưu giữ cho hộp thư và kho tệp | Nhân viên nghỉ việc xóa sạch trước khi bàn giao là chuyện có thật | Dữ liệu vẫn lấy lại được dù người dùng đã xóa |
| Chạy thử một lần tìm kiếm nội dung | Lúc thật sự cần thì không phải lúc học cách dùng | Biết trước mất bao lâu và kết quả trông thế nào |
Kiểm nhật ký đã bật chưa
Connect-ExchangeOnline # Nhat ky kiem tra toan to chuc dang bat hay tat Get-AdminAuditLogConfig | Format-List UnifiedAuditLogIngestionEnabled # Bat neu dang tat Set-AdminAuditLogConfig -UnifiedAuditLogIngestionEnabled $true # Thu truy mot hanh dong trong 7 ngay gan nhat Search-UnifiedAuditLog -StartDate (Get-Date).AddDays(-7) -EndDate (Get-Date) ` -Operations FileDeleted -ResultSize 20 | Format-Table CreationDate,UserIds,Operations
Điểm cần nhớ: nhật ký chỉ ghi từ lúc bật trở đi. Bật hôm nay không giúp điều tra việc xảy ra tháng trước. Đây là lý do việc này thuộc nhóm làm ngay, không phải nhóm để dành.
Thời gian lưu nhật ký và giới hạn theo gói
- Gói doanh nghiệp cơ bản giữ nhật ký trong khoảng vài tháng. Đủ cho phần lớn tình huống nội bộ, không đủ cho tranh chấp kéo dài.
- Muốn giữ lâu hơn thì phải có gói tuân thủ cao hơn, hoặc tự xuất nhật ký định kỳ ra nơi lưu trữ của công ty.
- Xuất định kỳ là phương án rẻ: đặt một tác vụ hằng tháng chạy lệnh tìm kiếm nhật ký, kết xuất ra tệp và lưu vào kho của công ty.
Quy trình khi nhân viên nghỉ việc, thứ tự đúng
- Chặn đăng nhập và thu hồi mọi phiên đang mở.
- Đặt hộp thư và kho tệp của người đó vào diện lưu giữ, trước khi làm bất cứ việc gì khác.
- Chuyển quyền sở hữu tệp cho người kế nhiệm.
- Chuyển hộp thư thành hộp thư dùng chung nếu cần giữ địa chỉ.
- Cuối cùng mới gỡ giấy phép.
Làm sai thứ tự, cụ thể là gỡ giấy phép trước, là cách mất dữ liệu phổ biến nhất. Chi tiết ở bài xử lý tài khoản khi nhân viên nghỉ việc.
Câu hỏi thường gặp
Nhật ký kiểm tra có phải bật không
Với hầu hết tổ chức hiện nay nó đã bật sẵn. Nên vào kiểm một lần để chắc chắn, vì các tenant tạo từ lâu có thể ở trạng thái khác.
Tìm kiếm nội dung có đọc được thư của nhân viên không
Có, đó chính là chức năng của nó. Vì thế nó cần được dùng có cơ sở và có quy trình phê duyệt rõ ràng, cùng với quy định nội bộ đã thông báo cho nhân viên.
Doanh nghiệp nhỏ có cần các công cụ này không
Nhật ký kiểm tra và chính sách lưu giữ thì có, vì chúng miễn phí trong gói và giúp ích khi có sự cố. Các tính năng tuân thủ nâng cao thì thường chưa cần cho tới khi doanh nghiệp có yêu cầu cụ thể từ khách hàng hoặc quy định ngành.
Dữ liệu Microsoft 365 lưu ở đâu
Tùy vùng dữ liệu được chọn khi tạo tổ chức. Đây là thông tin cần biết khi có yêu cầu về nơi lưu trữ dữ liệu, và bạn kiểm được trong trang quản trị. Với các quy định về dữ liệu cá nhân tại Việt Nam, nên tham khảo tư vấn pháp lý cho trường hợp cụ thể của công ty.
