Trả lời nhanh: Đặt mức chia sẻ ra ngoài ở cấp tổ chức trước, đây là cài đặt quan trọng nhất. Mức cân bằng cho doanh nghiệp Việt Nam là buộc người ngoài xác thực bằng email. Kèm theo đó đặt hạn dùng mặc định cho liên kết và quyền mặc định là chỉ xem.
Doanh nghiệp nào cũng phải gửi tài liệu cho khách hàng và nhà cung cấp. Bài này nói cách làm việc đó mà vẫn kiểm soát được ai đang xem gì.
- Cài đặt cấp tổ chức quyết định mọi thứ, chỉnh nó trước.
- Mức buộc người ngoài xác thực bằng email là cân bằng hợp lý.
- Hạn dùng mặc định cho liên kết là cài đặt đáng giá nhất.
- Site nhạy cảm siết riêng ở cấp site, không nới lỏng được ngược lại.
- Danh sách khách bên ngoài chỉ dài ra nếu không ai dọn.
Bốn mức ở cấp tổ chức
Cài đặt này nằm trong trang quản trị SharePoint và nó quyết định giới hạn trên cho mọi việc chia sẻ trong tổ chức.
- Bất kỳ ai. Liên kết mở được không cần đăng nhập. Tiện nhất và rủi ro nhất, vì link chuyển tiếp được vô hạn và bạn không biết ai đã xem.
- Khách mới và khách đã có. Người ngoài phải xác thực bằng email, thường bằng mã dùng một lần. Bạn biết được ai truy cập.
- Chỉ khách đã có. Chỉ những người đã được thêm vào danh bạ tổ chức từ trước.
- Chỉ người trong tổ chức. Không chia sẻ ra ngoài được.
Với doanh nghiệp Việt Nam thường xuyên gửi tài liệu cho khách hàng, mức hai là cân bằng hợp lý. Nó vẫn cho chia sẻ ra ngoài, người nhận chỉ mất một phút xác minh, và bạn có nhật ký ai đã truy cập.
Mức một chỉ nên dùng khi có nhu cầu cụ thể, chẳng hạn gửi tài liệu marketing công khai, và khi đó nên kèm hạn dùng ngắn.
Ba cài đặt kèm theo
Một, hạn dùng mặc định cho liên kết. Đây là cài đặt đáng giá nhất và mất một phút để bật.
Không có hạn dùng thì liên kết sống mãi. Sau ba năm, công ty bạn có hàng nghìn cửa mở mà không ai nhớ đã mở cho ai. Đặt hạn ba mươi ngày cho liên kết dạng bất kỳ ai là mức hợp lý.
Hai, quyền mặc định là chỉ xem. Người dùng vẫn đổi sang cho sửa khi cần, nhưng mặc định an toàn giúp tránh sai sót. Rất nhiều trường hợp gửi liên kết cho sửa trong khi chỉ định cho người ta đọc.
Ba, loại liên kết mặc định. Đặt là dành cho người cụ thể thay vì bất kỳ ai. Khi đó người dùng phải chủ động chọn nếu muốn dùng loại rộng hơn, và việc đó tạo một khoảnh khắc suy nghĩ.
Ba cài đặt này không cấm ai làm gì, chúng chỉ đặt mặc định an toàn. Đây là cách hiệu quả hơn nhiều so với việc ra quy định rồi hy vọng người ta nhớ.
Siết riêng cho site nhạy cảm
Cài đặt cấp site có thể chặt hơn cấp tổ chức nhưng không nới lỏng hơn được. Đây là điểm quan trọng về cách thiết kế.
Nghĩa là: đặt cấp tổ chức ở mức phù hợp với phần lớn, rồi siết riêng những site chứa dữ liệu nhạy cảm.
Ba site nên siết:
- Site nhân sự chứa hồ sơ nhân viên và bảng lương. Đặt chỉ người trong tổ chức.
- Site kế toán chứa chứng từ tài chính.
- Site ban giám đốc chứa tài liệu chiến lược.
Ngược lại, site dùng để làm việc với đối tác thì để mức rộng hơn, vì đó là mục đích của nó.
Cách thiết kế tốt: tách hẳn một site riêng cho việc hợp tác với bên ngoài, chỉ chứa những gì cần chia sẻ. Mời khách vào đó thay vì mời vào site nội bộ của phòng ban. Cách này rõ ràng hơn nhiều so với việc tạo ngoại lệ quyền trong site nội bộ.
Khách bên ngoài và việc rà soát
Khi ai đó ngoài tổ chức được cấp quyền, họ trở thành một tài khoản khách trong hệ thống. Danh sách này chỉ dài ra nếu không ai dọn.
Rà mỗi sáu tháng, bốn việc:
- Liệt kê tài khoản khách trong trang Entra, lọc theo loại khách.
- Với mỗi người, xem lần cuối họ đăng nhập là khi nào. Không đăng nhập cả năm thì gần như chắc chắn nên gỡ.
- Xem họ đang có quyền vào những site nào.
- Xóa tài khoản khách của những người không còn hợp tác.
Phân biệt quan trọng: gỡ khách khỏi một site khác với xóa tài khoản khách. Chỉ gỡ khỏi site thì họ vẫn còn trong tổ chức và có thể còn quyền ở nơi khác. Muốn cắt hẳn thì xóa tài khoản khách.
Nếu gói của bạn có, bật rà soát truy cập tự động. Tính năng này định kỳ hỏi chủ sở hữu site rằng khách này còn cần không, và tự gỡ nếu không ai xác nhận. Đây là cách bền nhất vì nó không phụ thuộc vào việc ai đó nhớ rà.
Ba cách chia sẻ khác cho tình huống nhạy cảm
Với tài liệu thật sự nhạy cảm, liên kết chia sẻ có thể chưa đủ. Ba lựa chọn thêm.
Chặn tải về. Người nhận đọc được trên trình duyệt nhưng không lưu bản sao. Hợp với báo giá và tài liệu chỉ để tham khảo. Họ vẫn chụp được màn hình, nên đây là biện pháp giảm chứ không phải chặn tuyệt đối.
Nhãn nhạy cảm có mã hóa. Bảo vệ nằm trong chính tệp và đi theo nó ra khỏi công ty. Người không được chỉ định thì mở không được, kể cả khi có file trong tay. Cần gói Business Premium trở lên.
Không chia sẻ, gửi bản đã lược bỏ. Đôi khi cách đơn giản nhất là gửi một bản PDF chỉ chứa phần cần thiết, thay vì cho truy cập vào tệp gốc có nhiều thông tin hơn.
Nguyên tắc chung: chọn cách nhẹ nhất đủ dùng. Áp dụng biện pháp nặng cho mọi thứ khiến người dùng thấy phiền và tìm cách né, chẳng hạn gửi qua ứng dụng nhắn tin cá nhân, và như vậy kém an toàn hơn hẳn.
Bốn mức chia sẻ ở cấp tổ chức
| Mức | Ai mở được liên kết | Dùng khi nào |
|---|---|---|
| Chỉ người trong tổ chức | Nhân viên công ty | Mặc định an toàn nhất, nhưng không chia sẻ ra ngoài được |
| Khách đã có tài khoản trong hệ thống | Người đã được mời làm khách | Đối tác làm việc lâu dài |
| Khách mới, xác minh bằng mã gửi qua thư | Người nhận được liên kết và nhận được mã | Cân bằng hợp lý cho phần lớn công ty |
| Bất kỳ ai có liên kết | Ai cũng mở được, kể cả người được chuyển tiếp | Chỉ dùng cho tài liệu công khai |
Khuyến nghị: đặt mức thứ ba làm mặc định cho toàn tổ chức. Cấm hẳn chia sẻ ra ngoài thì nhân viên sẽ gửi tệp qua đường khác, khó kiểm soát hơn nhiều.
Ba cài đặt kèm theo, đáng bật ngay
- Đặt hạn sử dụng mặc định cho liên kết, ví dụ 30 ngày. Liên kết sống mãi là thứ tích tụ dần và không ai rà lại.
- Đặt quyền mặc định là chỉ xem, người chia sẻ phải chủ động chọn nếu muốn cho sửa.
- Chặn tải xuống với tài liệu nhạy cảm, cho xem trên trình duyệt nhưng không tải về máy người nhận.
Rà soát định kỳ
Connect-SPOService -Url https://TENCONGTY-admin.sharepoint.com
# Muc chia se cua tung site
Get-SPOSite -Limit All | Select Url, SharingCapability
# Sat chat rieng cho site nhay cam
Set-SPOSite -Identity https://TENCONGTY.sharepoint.com/sites/ketoan `
-SharingCapability Disabled
Connect-MgGraph -Scopes "User.Read.All"
# Khach ben ngoai lau khong dang nhap
Get-MgUser -Filter "userType eq 'Guest'" -All -Property DisplayName,Mail,SignInActivity |
Select DisplayName, Mail, @{n="LanCuoi";e={$_.SignInActivity.LastSignInDateTime}} |
Sort LanCuoiBa cách khác cho tình huống nhạy cảm
- Tạo một thư viện riêng cho tài liệu chia sẻ với đối tác, tách hẳn khỏi kho nội bộ. Cách đơn giản nhất và hiệu quả nhất.
- Gắn nhãn phân loại cho tài liệu nhạy cảm và đặt quy tắc chặn chia sẻ ra ngoài với nhãn đó.
- Với hợp đồng và tài liệu pháp lý, cân nhắc gửi bản in ấn có hạn xem thay vì tệp gốc, để không bị chỉnh sửa và chuyển tiếp.
Câu hỏi thường gặp
Người ngoài phải làm gì để mở liên kết
Với mức yêu cầu xác thực, họ nhận một mã dùng một lần gửi tới chính địa chỉ email đó, nhập mã vào là mở được. Mất khoảng một phút. Nên báo trước cho đối tác lần đầu để họ không nghĩ đó là thư lừa đảo.
Thu hồi liên kết thì người đã tải file về có mất không
Không. Thu hồi chỉ chặn truy cập từ nay về sau. Bản họ đã tải vẫn nằm trên máy họ. Với tài liệu cần kiểm soát chặt, hãy dùng tùy chọn chặn tải về hoặc nhãn có mã hóa.
Khách bên ngoài có tốn giấy phép không
Trong giới hạn Microsoft cho phép thì không tốn giấy phép riêng. Nhưng họ là một tài khoản cần quản lý và họ chiếm dung lượng khi tải tệp lên, nên đừng coi là hoàn toàn không có chi phí.
Nên chặn hẳn chia sẻ ra ngoài không
Với hầu hết doanh nghiệp thì không, vì nó chặn luôn công việc kinh doanh. Cách hợp lý là đặt mức yêu cầu xác thực ở cấp tổ chức, rồi chặn hẳn riêng cho các site chứa dữ liệu nhạy cảm.
