Trả lời nhanh: Đây là biện pháp bảo mật hiệu quả nhất so với công sức bỏ ra, và nó miễn phí trong mọi gói. Cách nhanh nhất là bật thiết lập bảo mật mặc định. Cách linh hoạt hơn là dùng chính sách truy cập có điều kiện, nhưng nó cần giấy phép cao hơn.
Nếu công ty bạn chỉ làm được một việc về bảo mật trong năm nay, hãy làm việc này. Bài này đi qua cách chọn phương thức, cách triển khai không gây loạn, và các trường hợp vướng.
- Chặn được phần lớn vụ chiếm tài khoản, và miễn phí trong mọi gói.
- Thiết lập bảo mật mặc định là cách nhanh nhất, bật một lần cho cả tổ chức.
- Ứng dụng xác thực trên điện thoại an toàn hơn mã gửi qua tin nhắn.
- Bắt mỗi người đăng ký ít nhất hai phương thức để không bị khóa.
- Thiết bị cũ và máy in dùng giao thức xác thực cũ sẽ bị chặn.
- Hai lựa chọn loại trừ nhau, không dùng đồng thời được.
- Thiết lập mặc định miễn phí, có trong mọi gói, không tùy chỉnh gì.
Vì sao đây là việc nên làm đầu tiên
Mật khẩu một mình không còn đủ, vì ba lý do đang xảy ra hằng ngày.
- Mật khẩu bị lộ từ nơi khác. Nhân viên dùng lại mật khẩu công ty cho một dịch vụ bên ngoài, dịch vụ đó bị lộ dữ liệu, và kẻ tấn công thử mật khẩu đó với địa chỉ email công ty.
- Thư lừa đảo dẫn tới trang đăng nhập giả. Nhân viên nhập mật khẩu vào đó mà không nhận ra.
- Dò mật khẩu tự động nhắm vào các tài khoản có mật khẩu đơn giản.
Trong cả ba trường hợp, kẻ tấn công có mật khẩu đúng. Xác thực nhiều yếu tố chặn họ ở bước sau, vì họ không có điện thoại của nhân viên.
Về hiệu quả so với công sức, không có biện pháp nào khác sánh được: nó miễn phí, triển khai trong một buổi, và chặn được phần lớn các vụ chiếm tài khoản. Mọi việc bảo mật khác nên xếp sau việc này.
Hai cách bật
Cách một, thiết lập bảo mật mặc định. Đây là bộ chính sách dựng sẵn của Microsoft, bật bằng một công tắc trong trang Entra.
Nó làm bốn việc: bắt mọi người đăng ký xác thực nhiều yếu tố, bắt quản trị viên xác thực mỗi lần đăng nhập, bắt người dùng thường xác thực khi có dấu hiệu bất thường, và chặn các giao thức xác thực cũ.
Ưu điểm: miễn phí, có trong mọi gói, bật trong một phút. Nhược điểm: không tùy chỉnh được gì. Không loại trừ được ai, không đặt điều kiện riêng.
Cách hai, chính sách truy cập có điều kiện. Linh hoạt hơn nhiều: đặt quy tắc theo người dùng, theo ứng dụng, theo vị trí địa lý, theo trạng thái thiết bị.
Ví dụ những thứ chỉ cách hai làm được: không bắt xác thực lại khi nhân viên ở trong văn phòng, chặn hẳn đăng nhập từ ngoài Việt Nam, hoặc bắt xác thực chặt hơn với nhóm kế toán.
Nhược điểm: cần giấy phép Entra ID cấp cao hơn, có trong Business Premium và các gói Enterprise nhưng không có trong Business Basic và Standard.
Chọn thế nào: công ty dưới hai mươi người và không có yêu cầu đặc biệt thì dùng cách một. Công ty lớn hơn hoặc đã có Business Premium thì dùng cách hai.
Chọn phương thức xác thực
Ba phương thức, và khác biệt về an toàn là thật.
Ứng dụng xác thực trên điện thoại. An toàn nhất và tiện nhất. Người dùng chỉ cần bấm chấp nhận, hoặc gõ một con số hiện trên màn hình đăng nhập. Đây là phương thức nên chuẩn hóa cho cả công ty.
Mã gửi qua tin nhắn. Tiện nhưng kém an toàn hơn, vì có kiểu tấn công chiếm số điện thoại bằng cách lừa nhà mạng cấp lại SIM. Dùng làm phương thức dự phòng thì được, làm phương thức chính thì không nên.
Gọi điện thoại tự động. Dùng khi hai cách trên không khả thi, chẳng hạn nhân viên dùng điện thoại không thông minh.
Ngoài ra có khóa bảo mật vật lý, an toàn nhất nhưng tốn tiền mua và chỉ hợp lý cho nhóm tài khoản nhạy cảm nhất như quản trị viên toàn phần.
Nguyên tắc quan trọng nhất: bắt mỗi người đăng ký ít nhất hai phương thức. Mất điện thoại mà chỉ có một là họ tự khóa cửa nhốt mình, và quản trị viên phải can thiệp thủ công. Với công ty năm mươi người, tình huống này xảy ra vài lần mỗi năm.
Triển khai không gây loạn
Bật cho cả công ty cùng lúc mà không báo trước là cách tạo ra một buổi sáng hỗn loạn. Năm bước.
- Thông báo trước một tuần kèm hướng dẫn có ảnh chụp màn hình. Nói rõ vì sao làm, làm khi nào, và cần chuẩn bị gì.
- Làm thử với đội công nghệ thông tin trước. Họ gặp hết các vấn đề và biết cách xử trước khi số đông gặp.
- Triển khai theo đợt, mỗi đợt một phòng ban. Bắt đầu bằng phòng ít rủi ro nhất.
- Có người trực hỗ trợ trong ngày triển khai của mỗi đợt.
- Đặt hạn chót đăng ký. Cho khoảng hai tuần để mọi người tự đăng ký, sau đó bắt buộc. Không có hạn chót thì luôn còn một nhóm chưa làm.
Một mẹo giảm phản đối: giải thích rằng việc này cũng bảo vệ chính họ, vì hộp thư công việc thường chứa cả thông tin cá nhân của họ.
Các trường hợp vướng
Bốn tình huống bạn sẽ gặp, chuẩn bị trước thì xử nhanh.
Thiết bị dùng giao thức xác thực cũ. Máy in gửi bản quét qua email, phần mềm kế toán gửi hóa đơn, máy chấm công. Chúng không hỗ trợ xác thực nhiều yếu tố và sẽ bị chặn. Cách xử đúng là chuyển sang cơ chế xác thực hiện đại, hoặc dùng một tài khoản riêng có ngoại lệ và bị giới hạn chặt về quyền. Đừng vì chúng mà tắt luôn cả chính sách.
Nhân viên không có điện thoại thông minh. Dùng phương thức gọi điện tự động, hoặc cấp khóa bảo mật vật lý.
Nhân viên đổi điện thoại. Cần đăng ký lại phương thức trên máy mới. Nếu họ còn phương thức thứ hai thì tự làm được, nếu không thì quản trị viên phải đặt lại. Đây là lý do của nguyên tắc hai phương thức.
Tài khoản dùng chung của một phòng. Cách đúng là bỏ hẳn tài khoản dùng chung, chuyển sang hộp thư dùng chung mà từng người truy cập bằng tài khoản riêng. Tài khoản dùng chung vốn đã là rủi ro bảo mật, và việc bật xác thực nhiều yếu tố là cơ hội tốt để dọn nó.
Chọn cái nào
Ba tình huống rõ ràng.
Dùng thiết lập mặc định khi: công ty dưới hai mươi người, không có người chuyên trách công nghệ thông tin, đang dùng gói Basic hoặc Standard, và không có yêu cầu đặc biệt về vị trí hay thiết bị. Bật nó ngay hôm nay, đừng chờ.
Dùng truy cập có điều kiện khi: đã có Business Premium, có người biết cấu hình, có thiết bị hoặc quy trình cần ngoại lệ, hoặc có yêu cầu tuân thủ cụ thể.
Tình huống thứ ba, đang dùng mặc định và muốn chuyển: việc này làm được và không khó. Nhưng phải viết đủ các chính sách thay thế trước, rồi mới tắt thiết lập mặc định. Tắt trước mà chưa có chính sách nào là tổ chức mất hết lớp bảo vệ trong khoảng thời gian giữa hai bước, và đây là sai lầm thật sự nguy hiểm.
Lưu ý: hai thứ này loại trừ nhau. Bật thiết lập mặc định thì không tạo được chính sách truy cập có điều kiện, và ngược lại. Microsoft không cho dùng đồng thời để tránh xung đột quy tắc.
So sánh hai cách bật, chọn theo gói đang có
| Tiêu chí | Thiết lập bảo mật mặc định | Chính sách truy cập có điều kiện |
|---|---|---|
| Cần giấy phép gì | Có trong mọi gói, kể cả Business Basic | Cần Microsoft Entra ID P1, đã có sẵn trong Business Premium và E3, E5 |
| Mức tùy chỉnh | Không tùy chỉnh được gì | Tùy chỉnh theo nhóm người, theo ứng dụng, theo vị trí, theo thiết bị |
| Loại trừ được ai không | Không, áp cho tất cả | Có, loại trừ được tài khoản dịch vụ và tài khoản khẩn cấp |
| Chặn cách đăng nhập kiểu cũ | Có, chặn hết | Có, và chọn được ngoại lệ |
| Bật trong bao lâu | Vài phút | Vài giờ tới vài ngày để thiết kế và thử |
| Dùng đồng thời được không | Không. Bật cái này thì phải tắt cái kia | Không |
Cách chọn: công ty dưới 25 người, dùng gói Basic hoặc Standard, không có người chuyên về kỹ thuật thì bật thiết lập mặc định, xong trong năm phút và đã chặn được phần lớn rủi ro. Công ty đã có Business Premium hoặc có nhu cầu ngoại lệ thì dùng chính sách truy cập có điều kiện.
Triển khai theo lịch, không gây loạn
| Tuần | Việc làm |
|---|---|
| Tuần 0 | Gửi thông báo cho toàn công ty kèm hướng dẫn một trang: cài ứng dụng xác thực nào, đăng ký ở đâu, mất bao lâu |
| Tuần 1 | Bật cho nhóm thử: ban giám đốc, kế toán, người phụ trách kỹ thuật. Ghi lại mọi vướng mắc |
| Tuần 2 | Mở đăng ký tự nguyện cho toàn công ty, hỗ trợ tại chỗ trong hai buổi cố định |
| Tuần 3 | Nhắc những người chưa đăng ký, hỗ trợ riêng |
| Tuần 4 | Bật bắt buộc. Chuẩn bị sẵn người trực để xử lý ca vướng trong hai ngày đầu |
Bật bắt buộc ngay ngày đầu là cách chắc chắn nhất để tạo ra một buổi sáng hỗn loạn và làm nhân viên ghét biện pháp này. Bốn tuần là thời gian hợp lý cho công ty vài chục người.
Các trường hợp vướng và cách xử
- Máy in đa chức năng gửi bản quét qua email. Chúng dùng cách đăng nhập kiểu cũ và sẽ bị chặn. Ba đường: dùng tính năng gửi thư qua kết nối trực tiếp không cần đăng nhập trong Exchange, tạo một tài khoản riêng cho thiết bị và loại trừ nó khỏi chính sách, hoặc chuyển máy in sang gửi qua máy chủ thư nội bộ.
- Phần mềm kế toán hoặc hệ thống gửi hóa đơn tự động. Cùng vấn đề, xử lý theo cách trên. Ghi lại danh sách các hệ thống này trước khi bật, chứ không phải phát hiện dần sau khi bật.
- Nhân viên không có điện thoại thông minh. Dùng khóa cứng xác thực, hoặc mã gửi qua tin nhắn. Mã qua tin nhắn kém an toàn hơn nhưng vẫn tốt hơn không có gì.
- Nhân viên mất điện thoại. Đây là lý do bắt mỗi người đăng ký hai phương thức ngay từ đầu. Không có phương thức dự phòng thì quản trị viên phải cấp lại thủ công.
- Tài khoản khẩn cấp. Tạo hai tài khoản quản trị dùng riêng cho tình huống khẩn, đặt mật khẩu rất dài, cất nơi an toàn, và loại trừ khỏi chính sách. Đây là cách tránh việc cả công ty bị khóa ngoài khi chính sách cấu hình sai.
Kiểm tra sau khi bật
Connect-MgGraph -Scopes "Policy.Read.All","AuditLog.Read.All"
# Ai chua dang ky phuong thuc xac thuc nao
Get-MgReportAuthenticationMethodUserRegistrationDetail |
Where-Object { $_.IsMfaRegistered -eq $false } |
Select UserPrincipalName, IsAdmin | Format-Table -AutoSize
# Cac lan dang nhap bi chan trong 7 ngay
Get-MgAuditLogSignIn -Filter "createdDateTime ge $((Get-Date).AddDays(-7).ToString('yyyy-MM-dd'))" -Top 200 |
Where-Object { $_.Status.ErrorCode -ne 0 } |
Select CreatedDateTime, UserPrincipalName, AppDisplayName, @{n='Loi';e={$_.Status.ErrorCode}} |
Format-Table -AutoSizeDanh sách người chưa đăng ký là thứ cần theo dõi hằng tuần trong giai đoạn triển khai. Nhật ký đăng nhập bị chặn cho biết hệ thống nào của công ty đang dùng cách đăng nhập kiểu cũ mà bạn chưa xử lý.
Bật hai lớp có tốn thêm tiền không
Cách một trong phần trên không tốn thêm đồng nào, đúng như bài đã nói. Bảng dưới là con số cho ai đang cân nhắc cách hai.
| Gói | Mã SKU | Giá/user/năm | Về hai cách trong bài |
|---|---|---|---|
| Microsoft 365 Business Standard | CFQ7TTC0LDPB | 3.130.000đ bản có Teams | Chỉ dùng được cách một |
| Microsoft 365 Business Premium | CFQ7TTC0LCHC | 6.900.000đ | Dùng được cả cách hai |
Chênh 3.770.000đ mỗi người mỗi năm cho quyền dùng truy cập có điều kiện. Nếu công ty chỉ cần bắt xác thực hai lớp cho tất cả mọi người thì không cần trả khoản này, cách một đủ dùng và Microsoft không yêu cầu giấy phép nào cho nó.
Giá bán lẻ tại TND, đã gồm hóa đơn VAT điện tử đứng tên doanh nghiệp. Cập nhật 07/09/2026. TND là nhà cung cấp phần mềm bản quyền chính hãng, báo giá số lượng lớn liên hệ trực tiếp.
Câu hỏi thường gặp
Xác thực nhiều yếu tố có tốn thêm tiền không
Không, tính năng cơ bản có trong mọi gói Microsoft 365. Chỉ các chính sách truy cập có điều kiện nâng cao mới cần giấy phép Entra ID cấp cao hơn, vốn có sẵn trong Business Premium.
Nhân viên phải xác thực mỗi lần đăng nhập à
Không nhất thiết. Có tùy chọn ghi nhớ thiết bị tin cậy trong một số ngày, nên thực tế họ chỉ xác thực vài lần mỗi tháng trên máy quen. Việc xác thực chỉ xảy ra thường xuyên khi đăng nhập từ máy lạ hoặc vị trí lạ.
Quản trị viên bị mất quyền truy cập thì sao
Đây là rủi ro thật. Cách phòng là tạo một tài khoản quản trị dự phòng có mật khẩu rất dài, được loại trừ khỏi chính sách, và mật khẩu cất ở nơi an toàn ngoài hệ thống. Tài khoản này chỉ dùng khi khẩn cấp.
Có nên bắt cả tài khoản khách bên ngoài không
Nên. Khách bên ngoài truy cập tài liệu công ty cũng là một cửa vào, và họ thường ít được kiểm soát hơn nhân viên. Chính sách truy cập có điều kiện áp được riêng cho nhóm khách.
Thiết lập mặc định có đủ an toàn không
Đủ cho phần lớn doanh nghiệp nhỏ, và tốt hơn rất nhiều so với không có gì. Nó chặn được các mối đe dọa phổ biến nhất. Chỉ khi bạn có nhu cầu cụ thể mà nó không đáp ứng thì mới cần chuyển.
Truy cập có điều kiện có làm nhân viên khó chịu không
Nếu viết khéo thì ngược lại: bạn giảm được số lần bắt xác thực khi nhân viên ở trong văn phòng hoặc trên thiết bị quen. Khó chịu xảy ra khi viết quy tắc quá chặt mà không thử trước ở chế độ báo cáo.
Nâng lên Business Premium chỉ để dùng tính năng này có đáng không
Business Premium không chỉ có truy cập có điều kiện mà còn kèm Defender for Office 365, Intune và các tính năng bảo vệ dữ liệu. Nếu bạn cần từ hai thứ trở lên trong số đó thì đáng, còn chỉ vì một tính năng thì nên cân nhắc kỹ.
Đang dùng mặc định thì có bị mất gì khi chuyển không
Không mất dữ liệu, nhưng có khoảng trống bảo vệ nếu làm sai thứ tự. Luôn viết và bật đủ chính sách thay thế trước, kiểm ở chế độ báo cáo, rồi mới tắt thiết lập mặc định.
