Khi các tổ chức đánh giá những mối đe dọa đối với bảo mật doanh nghiệp, họ thường tập trung vào việc ngăn chặn các cuộc tấn công quy mô lớn. Tuy nhiên, những rủi ro nghiêm trọng nhất lại ít rõ ràng hơn nhiều: việc xử lý sai quyền truy cập tài khoản và thông tin đăng nhập khi nhân viên nghỉ việc cũng có thể nguy hiểm không kém.

Rủi ro không chỉ nằm ở những gì cựu nhân viên mang theo, mà còn ở những gì họ vẫn có thể truy cập sau khi đã rời đi. Những sơ suất nhỏ như không xóa quản trị viên khỏi ổ đĩa đám mây hoặc không xoay vòng thông tin đăng nhập được chia sẻ có thể tạo ra rủi ro kéo dài nhiều tuần. Trong môi trường doanh nghiệp, đặc biệt là các nhóm làm việc từ xa hoặc có tỷ lệ nghỉ việc cao, việc đảm bảo dữ liệu được xử lý an toàn trong quá trình bàn giao có thể giống như nỗ lực ngăn chặn một điểm rò rỉ âm thầm nhưng dai dẳng.

Bài viết này sẽ tìm hiểu lớp bảo mật thường bị bỏ qua này nhằm giúp tổ chức cải thiện quy trình bàn giao nghỉ việc. Nội dung bao gồm lý do khiến quyền truy cập của cựu nhân viên trở nên cực kỳ nguy hiểm, tác động của thông tin đăng nhập bị bỏ quên hoặc chưa thu hồi đối với các tổ chức, và quan trọng nhất – những bước thực tế để giảm thiểu rủi ro này.

Hiểu rõ các mối nguy bảo mật trong quá trình bàn giao nghỉ việc

Bảo mật bàn giao nhân sự nghỉ việc là yếu tố then chốt đối với mọi tổ chức, bất kể kích thước. Theo Security Magazine, tính đến năm 2025, gần 90% cựu nhân viên(cửa sổ mới) vẫn duy trì quyền truy cập vào các hệ thống và dữ liệu nhạy cảm của doanh nghiệp sau khi rời đi.

Chỉ một đăng nhập bị bỏ sót cũng có thể tạo ra lỗ hổng trong hệ thống phòng thủ. Việc không thu hồi quyền truy cập của cựu nhân viên tạo ra rủi ro đáng kể. Ngay cả một hành vi lạm dụng đơn lẻ cũng có thể dẫn đến việc rò rỉ dữ liệu kéo dài mà không bị phát hiện.

Các rủi ro phổ biến nhất bao gồm:

  • Vẫn giữ quyền truy cập vào các công cụ công việc như email, nền tảng đám mây và hệ thống CRM — hoặc tồi tệ hơn là trình quản lý mật khẩu dành cho doanh nghiệp
  • Thông tin đăng nhập được chia sẻ hoặc chưa xoay vòng
  • Các tài khoản quản trị viên hoặc tài khoản có quyền cao vẫn đang hoạt động với quyền truy cập hệ thống mở rộng
  • Tài khoản dịch vụ và khóa API bị bỏ quên

Hậu quả của việc bỏ qua quy trình bàn giao nghỉ việc

Dưới đây là cách việc quản lý thông tin đăng nhập lỏng lẻo trong quá trình bàn giao dẫn đến các tác động thực tế:

  • Trích xuất dữ liệu trái phép: Nhân viên nghỉ việc có thể vẫn giữ quyền truy cập vào kho lưu trữ, hệ thống nội bộ hoặc các nguồn dữ liệu nhạy cảm.
  • Thông tin đăng nhập tồn tại lâu hơn thời gian làm việc: Thông tin đăng nhập được chia sẻ nếu không xoay vòng có thể tiếp tục bị sử dụng ngay cả khi nhân viên đã chuyển sang công ty mới.
  • Cố ý lạm dụng hoặc phá hoại: Trong trường hợp xảy ra xung đột, quyền truy cập còn sót lại có thể bị dùng để xóa, thay đổi hoặc tiết lộ dữ liệu.
  • Rủi ro về tuân thủ và pháp lý: Các quy định như GDPR và HIPAA yêu cầu kiểm soát nghiêm ngặt quyền truy cập dữ liệu. Việc không thu hồi thông tin đăng nhập có thể dẫn đến các khoản phạt và hậu quả pháp lý.

Đây là những sự cố thực tế, thường xuyên xảy ra, có thể dẫn đến vi phạm dữ liệu, gián đoạn vận hành, tổn hại uy tín và thiệt hại tài chính.

Rủi ro cụ thể từ thông tin đăng nhập không được quản lý

Quản lý thông tin đăng nhập là một trong những công cụ hiệu quả nhất để bàn giao nghỉ việc suôn sẻ và an toàn. Mặc dù vậy, nhiều doanh nghiệp không triển khai trình quản lý mật khẩu dành cho doanh nghiệp một cách hiệu quả, làm tăng nguy cơ rủi ro. Một số sự cố thông tin đăng nhập phổ biến nhất khi bàn giao bao gồm:

  • Kho được chia sẻ: Nếu nhóm sử dụng kho mật khẩu được chia sẻ và nhân viên nghỉ việc không bị xóa ngay lập tức, họ có thể tiếp tục đăng nhập mà không bị phát hiện.
  • Thông tin đăng nhập quyền siêu người dùng và quyền cao: Các tài khoản có quyền cao — như cổng thông tin nhân sự, công cụ tài chính, bảng điều khiển máy chủ — gây ra rủi ro cực lớn nếu quyền truy cập không được thu hồi ngay lập tức.
  • Đăng nhập công cụ doanh nghiệp SaaS: Nhiều công ty tích tụ hàng loạt công cụ SaaS, mỗi công cụ có các đăng nhập riêng. Việc bỏ sót một vài tài khoản là rất dễ xảy ra.
  • Lưu trữ đám mây và nền tảng cộng tác: Các công cụ như Google Drive, Dropbox và Microsoft 365 thường lưu trữ tài liệu nhạy cảm nhiều năm và vẫn có thể bị tiếp cận nếu quyền truy cập không được thu hồi.

Các tài khoản cấp cao đặc biệt nguy hiểm nếu nhân viên nghỉ việc (hoặc ai đó sau này xâm phạm thông tin đăng nhập vẫn còn hoạt động của họ) nhận ra họ vẫn có thể tương tác với thông tin kinh doanh nhạy cảm, tải xuống tệp hoặc thay đổi hồ sơ mà không bị phát hiện. Các đăng nhập được chia sẻ sẽ nhân bội rủi ro này.

Danh mục kiểm tra bảo mật khi bàn giao nghỉ việc

Vì chỉ cần quên một điểm truy cập cũng có thể tạo ra lỗ hổng trong hệ thống phòng thủ của tổ chức, việc thiết lập các phương pháp hay nhất về bàn giao IT là chìa khóa then chốt.

Ngay lập tức:

  • Thu hồi quyền truy cập SSO, email và trình quản lý mật khẩu ngay lập tức khi chấm dứt hợp đồng hoặc nghỉ việc.
  • Khóa tất cả thiết bị đã kết nối: máy tính xách tay, điện thoại di động, máy tính bảng – từ xa nếu có thể.
  • Vô hiệu hóa quyền truy cập vào lưu trữ đám mây, cổng thông tin nội bộ và bảng điều khiển quản trị viên.

Trong vòng 24 giờ:

  • Xoay vòng mọi thông tin đăng nhập được chia sẻ mà nhân viên đó từng có quyền truy cập. Bao gồm các đăng nhập được chia sẻ, tài khoản nhà cung cấp và thông tin đăng nhập máy chủ hoặc cơ sở hạ tầng.
  • Cập nhật các khóa API hoặc mã thông báo dịch vụ được sử dụng hoặc tạo bởi nhân viên nghỉ việc.
  • Thông báo cho trưởng nhóm và bộ phận IT để họ kiểm tra lại các công cụ ít phổ biến hơn.

Trước khi kết thúc tuần:

  • Tiến hành kiểm tra chi tiết các quyền “mồ côi” có thể tồn tại. Tìm kiếm các quyền truy cập còn tiếp diễn trong công cụ SaaS, nền tảng đám mây, bảng điều khiển quản trị viên và môi trường phát triển.
  • Xem lại các vai trò và quyền quản trị viên trên các ứng dụng quan trọng để tìm bất kỳ trường hợp nào vẫn tham chiếu đến người dùng đã nghỉ việc.

Rà soát sau 30 ngày:

  • Xác nhận một lần nữa rằng thông tin đăng nhập và các điểm truy cập của cựu nhân viên đều đã bị vô hiệu hóa, đồng thời không có đăng nhập hay hoạt động nào xảy ra.

Điều quan trọng là phải ghi lại từng bước và lưu nhật ký kiểm toán để đáp ứng các yêu cầu tuân thủ và đảm bảo minh bạch cho công tác rà soát nội bộ.

Để xem hướng dẫn đầy đủ, danh mục kiểm tra bàn giao có thể giúp doanh nghiệp coi quy trình bàn giao như một hoạt động bảo mật toàn diện.

Rủi ro pháp lý do bàn giao kém hiệu quả

Vi phạm dữ liệu không phải là rủi ro duy nhất trong quy trình bàn giao. Các công ty thuộc đối tượng áp dụng GDPR, HIPAA hoặc quy tắc báo cáo tài chính phải chứng minh họ giới hạn quyền truy cập vào dữ liệu cá nhân và bảo mật ngay khi có người nghỉ việc. Việc không thu hồi thông tin đăng nhập kỹ thuật số thường được coi là vi phạm quy định tuân thủ.

Ngoài ra, sự gia tăng của hình thức làm việc từ xa khiến việc quản lý thông tin đăng nhập trong quá trình bàn giao trở nên khó khăn hơn nhiều. Thiết bị có thể ở cách xa hàng cây số và đôi khi người dùng quên rằng họ vẫn đang đăng nhập. Với các ứng dụng đám mây ở khắp mọi nơi, chỉ một quyền chưa thu hồi cũng có thể dẫn đến rủi ro rò rỉ âm thầm kéo dài nhiều tuần.

Nếu nhân viên cũ vẫn có thể tiếp cận dữ liệu công ty (và đặc biệt là thông tin định danh cá nhân), đó là nguy cơ vi phạm tiềm ẩn – và vẫn có thể bị phạt ngay cả khi không ai lạm dụng quyền truy cập đó. Các kho không kiến thức (zero-knowledge), như các kho do Proton Pass for Business cung cấp, mang lại một lớp bảo đảm bổ sung.

Đây là lý do tại sao việc chủ động bàn giao nghỉ việc là thiết yếu để duy trì tiêu chuẩn tuân thủ cao: hãy nhớ rằng khôi phục quyền truy cập nhanh chóng và an toàn hơn nhiều so với việc dọn dẹp hậu quả sau một cuộc tấn công hoặc rò rỉ. Nếu nghi ngờ, hãy vô hiệu hóa trước và kiểm toán sau.

Trình quản lý mật khẩu: giải pháp thông minh cho quy trình bàn giao an toàn

Khi ngày càng nhiều công ty làm việc từ xa và phụ thuộc vào hàng chục, thậm chí hàng trăm công cụ trực tuyến, các quy trình thủ công không thể đáp ứng kịp. Trong môi trường phân tán hiện đại, một trình quản lý mật khẩu dành cho doanh nghiệp như Proton Pass for Business có thể giúp quy trình bàn giao diễn ra gần như tức thì – và an toàn hơn nhiều.


Là đơn vị dẫn đầu về quyền riêng tư và tuân thủ, Proton đã phát triển toàn bộ hệ sinh thái bảo mật. Ngay từ đầu, Proton Pass for Business đã được thiết kế để đơn giản hóa các quy trình bảo mật cho doanh nghiệp.

Khi sử dụng Proton Pass for Business, quản trị viên có thể thu hồi quyền truy cập ngay lập tức và xác nhận, thông qua nhật ký kiểm toán an toàn, rằng không có hoạt động trái phép nào xảy ra sau khi nghỉ việc và không có hoạt động trái phép nào diễn ra sau đó.

Thông tin chi tiết về các nguyên tắc bảo mật và giải pháp của Proton có trên Proton Trust Center.

Proton Pass for Business là mã nguồn mở và đã được kiểm toán, cho phép các nhà lãnh đạo doanh nghiệp và nhóm IT xác minh cách thông tin đăng nhập được lưu trữ và điều gì xảy ra khi kho đã thu hồi. Việc đảm bảo bảo mật đồng nhất giữa các nhóm làm việc phân tán giúp hỗ trợ các quy trình bàn giao tốt hơn trong tương lai, bao gồm:

  • Quyền kiểm soát của quản trị viên giúp việc xóa quyền truy cập vào trình quản lý mật khẩu trở thành thao tác trong một bước.
  • Nhật ký truy cập và kho, nhờ đó luôn biết ai đã làm gì thông qua trình quản lý mật khẩu, ngay cả khi chấm dứt hợp đồng lao động.
  • Tuân thủ luật quyền riêng tư, được hỗ trợ bởi các quy định của Thụy Sĩ, giúp tăng cường sự tin cậy về mặt pháp lý; ngay cả trong mùa cao điểm bận rộn nhất hoặc khi có biến động nhân sự lớn, không lỗ hổng nào vô tình bị bỏ ngỏ.

Đảm bảo quy trình bàn giao nghỉ việc chặt chẽ tuyệt đối

Các tổ chức không thể để xảy ra lỗ hổng truy cập trong quá trình chuyển giao nhân sự. Phương pháp tiếp cận có cấu trúc, ưu tiên bảo mật — được hỗ trợ bởi các công cụ như Proton Pass — giúp bảo vệ các tài sản quan trọng và duy trì sự tin cậy.

Các sự cố bảo mật thường xuất phát từ những sơ suất nhỏ, nhưng một hệ thống tự động, đơn giản có thể xóa bỏ lỗi do con người trong những thời điểm khó lường nhất.

Bảo mật bàn giao nhân sự nghỉ việc không nên được coi là một nhiệm vụ HR hoặc IT riêng lẻ. Thay vào đó, các tổ chức phải xây dựng một văn hóa bảo mật bao gồm cả tiếp nhận và bàn giao nhân sự, kết hợp với nhận thức của nhân viên, việc tuân thủ các phương pháp hay nhất, tính tuân thủ và công nghệ phù hợp để giảm thiểu rủi ro.

Các vi phạm dữ liệu không chờ đợi quy trình trở nên hoàn hảo. Để củng cố hàng rào kỹ thuật số và hỗ trợ văn hóa bảo mật, hãy tìm hiểu thêm về cách Proton Pass for Business giúp nâng cao an ninh mạng trong quy trình bàn giao nghỉ việc bằng cách liên hệ với nhóm bán hàng.

Các câu hỏi thường gặp về bàn giao nhân sự nghỉ việc an toàn

Bảo mật bàn giao nhân sự nghỉ việc là gì?

Bảo mật bàn giao nhân sự nghỉ việc là quá trình bảo vệ tài sản kỹ thuật số và dữ liệu của tổ chức bằng cách đảm bảo rằng nhân viên nghỉ việc không còn có thể truy cập các tài khoản, thông tin đăng nhập hoặc tài nguyên nhạy cảm sau khi rời đi. Quá trình này bao gồm việc thu hồi đăng nhập, xoay vòng thông tin đăng nhập được chia sẻ và xác nhận rằng tất cả các quyền đều đã bị xóa để ngăn chặn truy cập trái phép.

Tại sao việc bàn giao nghỉ việc lại quan trọng đối với bảo mật?

Bàn giao nghỉ việc là yếu tố then chốt đối với bảo mật vì cựu nhân viên vẫn giữ quyền truy cập có thể gây ra rò rỉ dữ liệu vô tình hoặc cố ý, vi phạm tuân thủ hoặc gián đoạn dịch vụ. Nếu không có quy trình bàn giao nghiêm ngặt, thông tin kinh doanh bảo mật và dữ liệu khách hàng sẽ gặp rủi ro ngay cả khi có người đã rời đi.

Những bước nào đảm bảo bàn giao nghỉ việc an toàn?

Để đảm bảo bàn giao nghỉ việc an toàn, phương pháp tiếp cận sau đây được khuyến nghị:

  • Chấm dứt quyền truy cập SSO/trình quản lý mật khẩu ngay lập tức sau khi có thông báo hoặc vào ngày làm việc cuối cùng.
  • Xoay vòng mọi mật khẩu được chia sẻ hoặc mật khẩu quản trị viên trong vòng 24 giờ.
  • Kiểm toán tất cả công cụ và nền tảng để tìm các quyền còn sót lại trong vòng một tuần.
  • Tiến hành rà soát lần cuối sau 30 ngày để phát hiện các điểm truy cập bị bỏ sót.

Làm thế nào để thu hồi quyền truy cập của cựu nhân viên?

Có thể thu hồi quyền truy cập từ cựu nhân viên bằng cách vô hiệu hóa tài khoản của họ trên tất cả các dịch vụ, xóa họ khỏi các kho được chia sẻ và sử dụng các quyền kiểm soát quản trị viên chuyên dụng trong trình quản lý mật khẩu như Proton Pass for Business. Hành động ngay lập tức là tốt nhất — ngắt quyền truy cập càng sớm thì nguy cơ xảy ra sự cố bảo mật càng thấp.