Phòng ngừa rò rỉ dữ liệu từ nhân sự đã nghỉ việc: Lỗ hổng bị bỏ quên

Không ít vụ rò rỉ dữ liệu cá nhân tại Việt Nam lại bắt nguồn từ chính những nhân sự từng làm việc trong doanh nghiệp. Khi “người cũ” trở thành rủi ro mới, câu hỏi đặt ra không còn là doanh nghiệp xử lý hậu quả như thế nào, mà là doanh nghiệp nên thiết kế cơ chế phòng ngừa từ sớm như thế nào để hạn chế những rủi ro này.

Điểm chung của các tình huống này là: rò rỉ dữ liệu không đến từ “bên ngoài”, mà từ “người trong cuộc” – những người hiểu rõ hệ thống và biết chính xác dữ liệu nằm ở đâu.

Khi dữ liệu bị “mang đi” cùng nhân sự

Một cựu nhân viên của Công ty Cổ phần thương mại Công nghệ thông tin di động Onesms (Onesms), đơn vị cung cấp dịch vụ sổ liên lạc điện tử cho các trường học trên cả nước đã lợi dụng quyền truy cập hệ thống trong thời gian làm việc để trích xuất trái phép dữ liệu cá nhân của học sinh. Cụ thể, Tùng đã sao chép khoảng 15.000 thông tin của học sinh và phụ huynh, bao gồm họ tên, số điện thoại và các dữ liệu liên quan từ nguồn sổ liên lạc điện tử[1].

Đáng chú ý, hành vi sao chép dữ liệu được thực hiện khi Tùng vẫn còn là nhân viên, tức có quyền truy cập hợp pháp. Tuy nhiên, sau khi nghỉ việc, Tùng không bị kiểm soát hoặc thu hồi dữ liệu đã sao chép. Đối tượng sau đó sử dụng các tài khoản mạng xã hội để rao bán dữ liệu và kết nối với người mua, hình thành hoạt động mua bán dữ liệu cá nhân có hệ thống.

Theo hồ sơ vụ án, Tùng đã thực hiện hơn 500 giao dịch mua bán dữ liệu, thu lợi bất chính khoảng 700 - 800 triệu đồng. Vụ việc cho thấy một lỗ hổng điển hình: dữ liệu bị “lấy đi” từ bên trong tổ chức trước khi nhân sự nghỉ việc, và chỉ được khai thác, thương mại hóa sau đó, gây rủi ro nghiêm trọng cho cả doanh nghiệp và chủ thể dữ liệu. Điều đáng nói, hành vi này không phải do tấn công mạng tinh vi, mà xuất phát từ chính người có quyền truy cập hợp pháp.

Đây không phải trường hợp cá biệt. Trong thực tế, nhiều doanh nghiệp tại Việt Nam từng đối mặt với tình huống: Nhân viên kinh doanh mang theo danh sách khách hàng khi chuyển sang công ty đối thủ; Nhân sự IT sao lưu dữ liệu hệ thống trước khi nghỉ việc; Dữ liệu khách hàng bị chia sẻ qua email cá nhân hoặc lưu trữ trên thiết bị riêng của người lao động.

Điểm chung của các tình huống này là: rò rỉ dữ liệu không đến từ “bên ngoài”, mà từ “người trong cuộc” – những người hiểu rõ hệ thống và biết chính xác dữ liệu nằm ở đâu.

Vì sao doanh nghiệp dễ “mất dữ liệu” khi nhân sự nghỉ việc?

Quy trình nghỉ việc (offboarding) còn hình thức

Phần lớn doanh nghiệp chú trọng bàn giao công việc, nhưng lại xem nhẹ việc thu hồi quyền truy cập dữ liệu. Không ít trường hợp tài khoản nội bộ chưa bị khóa ngay lập tức. Nhân viên đã nghỉ việc nhưng quyền truy cập hệ thống vẫn còn hiệu lực và email công ty vẫn hoạt động sau khi nhân sự đã nghỉ. Điều này tạo ra một “khoảng trống kiểm soát” nguy hiểm.

Vụ việc chúng tôi nêu trên đây cũng cho thấy vấn đề không chỉ nằm ở việc nhân viên sao chép dữ liệu khi còn làm việc, mà còn ở chỗ doanh nghiệp không kiểm soát được việc dữ liệu đã bị mang ra ngoài trước thời điểm nghỉ việc.

Một quy trình offboarding chặt chẽ không chỉ là thu hồi laptop, thẻ nhân viên hay khóa email. Doanh nghiệp cần rà soát toàn bộ quyền truy cập của nhân sự, kiểm tra lịch sử đăng nhập, lịch sử tải xuống dữ liệu, các lần xuất file, chuyển tiếp email, đồng bộ dữ liệu lên tài khoản cá nhân hoặc thiết bị ngoài. Với các vị trí có quyền truy cập dữ liệu nhạy cảm như quản trị hệ thống, chăm sóc khách hàng, kinh doanh, kỹ thuật hoặc vận hành nền tảng số, việc kiểm soát phải được kích hoạt ngay khi nhân sự có dấu hiệu nghỉ việc, không phải chờ đến ngày làm việc cuối cùng.

Trong vụ việc này, nếu doanh nghiệp có cơ chế cảnh báo khi nhân viên tải xuống lượng lớn dữ liệu học sinh, phụ huynh; có quy định cấm sao chép dữ liệu sang thiết bị cá nhân; có biên bản xác nhận xóa/hoàn trả dữ liệu khi nghỉ việc; và có kiểm tra log trước khi chấm dứt hợp đồng, rủi ro có thể đã được phát hiện sớm hơn.

Vì vậy, bài học không chỉ là “khóa quyền truy cập sau khi nghỉ việc”, mà là phải kiểm soát toàn bộ giai đoạn trước, trong và sau khi nhân sự rời khỏi doanh nghiệp.

Quản lý dữ liệu của doanh nghiệp chưa được hệ thống hóa và đơn vị phụ trách không rõ ràng

Trên thực tế, phần lớn hành vi rò rỉ không diễn ra sau khi nghỉ việc, mà bắt đầu từ trước đó. Nếu doanh nghiệp không có cơ chế giám sát: việc nhân sự tải dữ liệu hàng loạt, hoặc có những truy cập bất thường, thì việc sao chép gần như không thể phát hiện.

Ở nhiều doanh nghiệp, dữ liệu khách hàng vẫn bị xem như “tài sản của cá nhân hoặc bộ phận”, thay vì là tài sản doanh nghiệp. Điều này khiến việc mang theo dữ liệu khi nghỉ việc bị “bình thường hóa”, đặc biệt là tại các công ty chứng khoán, công ty bất động sản.

Ngoài ra, các doanh nghiệp cũng chưa có quan tâm đúng mực tới các hệ thống như phân quyền truy cập, giám sát hành vi, hay biện pháp kỹ thuật ngăn chặn thất thoát dữ liệu chưa được đầu tư tương xứng, đặc biệt ở doanh nghiệp vừa và nhỏ. Hệ thống giám soát, phân quyền lỏng lẻo là “cơ hội” để nhân sự đưa dữ liệu ra ngoài vòng an toàn và kiểm soát của công ty một cách dễ dàng.

Hợp đồng lao động là một trong những cơ sở pháp lý đầu tiên để ràng buộc người lao động phải tuân thủ việc bảo vệ dữ liệu cá nhân tại doanh nghiệp nói riêng và dữ liệu của công ty nói chung.

Rủi ro pháp lý không còn là “lý thuyết”

Với việc Luật Bảo vệ dữ liệu cá nhân 2025 có hiệu lực từ 1/1/2026, Luật Dữ liệu 2024 và các văn bản hướng dẫn thi hành đã đặt trách nhiệm bảo vệ dữ liệu của doanh nghiệp ở mức cao hơn đáng kể.

Một điểm quan trọng mà doanh nghiệp nên lưu ý là trách nhiệm của doanh nghiệp không chấm dứt khi nhân viên nghỉ việc. Nếu dữ liệu bị lộ, doanh nghiệp với tư cách bên kiểm soát hoặc bên vừa kiểm soát và xử lý dữ liệu cá nhân vẫn có thể bị xử phạt, thậm chí phải bồi thường thiệt hại cho chủ thể dữ liệu. Việc thiếu kiểm soát nội bộ có thể bị xem là vi phạm nghĩa vụ bảo mật của doanh nghiệp, ngay cả khi hành vi trực tiếp do cá nhân thực hiện.

Phòng ngừa rò rỉ dữ liệu: Không thể chỉ dựa vào “niềm tin”

Để hạn chế rủi ro từ nhân sự đã nghỉ việc, doanh nghiệp cần chuyển từ tư duy “tin tưởng” sang “kiểm soát có hệ thống”. Một mô hình hiệu quả có thể được xây dựng trên ba lớp: pháp lý – quy trình – công nghệ.

Thiết lập ràng buộc pháp lý ngay từ đầu

Hợp đồng lao động là một trong những cơ sở pháp lý đầu tiên để ràng buộc người lao động phải tuân thủ việc bảo vệ dữ liệu cá nhân tại doanh nghiệp nói riêng và dữ liệu của công ty nói chung. Trong hợp đồng lao động ký kết với người lao động, doanh nghiệp cần quy định rõ: (1) dữ liệu là tài sản của doanh nghiệp; (2) nghĩa vụ bảo mật kéo dài sau khi chấm dứt hợp đồng; (3) chế tài khi có hành vi vi phạm của người lao động.

Đối với các vị trí nhạy cảm, doanh nghiệp có thể cân nhắc ký kết thỏa thuận không cạnh tranh; cam kết không sử dụng dữ liệu sau khi nghỉ việc. Quan trọng hơn, khi nhân sự rời đi, cần có xác nhận: đã bàn giao toàn bộ dữ liệu, không lưu giữ bản sao dưới bất kỳ hình thức nào và cam kết không sử dụng bất kỳ dữ liệu nào của doanh nghiệp có được, biết được trong quá trình làm việc tại doanh nghiệp.

Quy trình nội bộ: kiểm soát đúng thời điểm

Một quy trình offboarding hiệu quả cần bao gồm: khóa ngay lập tức toàn bộ tài khoản truy cập; thu hồi thiết bị và kiểm tra dữ liệu; rà soát lịch sử truy cập trước khi nghỉ việc; xác nhận hoàn tất nghĩa vụ bảo mật. Song song đó, doanh nghiệp nên áp dụng nguyên tắc “quyền truy cập tối thiểu” – nhân sự chỉ được tiếp cận dữ liệu cần thiết cho công việc. Đây là một trong những biện pháp hữu hiệu để doanh nghiệp tránh thất thoát và rò rĩ dữ liệu từ các nhân sự đã nghỉ việc tại công ty.

Sử dụng kỹ thuật công nghệ cao

Các giải pháp kỹ thuật đóng vai trò then chốt trong hoạt động của doanh nghiệp để phòng ngừa rủi ro lộ dữ liệu cá nhân/dữ liệu từ nhân viên đã nghỉ việc. Các giải pháp kỹ thuật có thể liệt kê ra đây như: hệ thống ngăn chặn thất thoát dữ liệu (DLP); mã hóa dữ liệu nhạy cảm; giám sát hành vi truy cập; kiểm soát thiết bị đầu cuối (USB, thiết bị cá nhân).

Những công cụ này không chỉ giúp ngăn chặn rò rỉ, mà còn tạo bằng chứng khi xảy ra tranh chấp, giúp doanh nghiệp có những lợi thế trong việc yêu cầu cá nhân gây thiệt hại phải bồi thường và chịu trách nhiệm đối với hành vi vi phạm.

Phòng ngừa phải bắt đầu trước khi nhân sự nghỉ việc

Sai lầm phổ biến là doanh nghiệp chỉ siết chặt kiểm soát khi nhân sự đã nộp đơn nghỉ. Nhưng ở thời điểm đó, dữ liệu có thể đã bị sao chép.

Thay vào đó, doanh nghiệp phải giám sát liên tục hành vi truy cập. Đồng thời phải phân loại dữ liệu theo mức độ nhạy cảm và tiến hành thiết lập các cảnh báo sớm đối với việc truy cập và truy xuất dữ liệu trái phép của người lao động ngay trong thời gian những người này đang còn là nhân sự của công ty.

Rò rỉ dữ liệu từ nhân sự đã nghỉ việc không còn là rủi ro hiếm gặp, mà đang trở thành một “lỗ hổng hệ thống” trong nhiều doanh nghiệp. Khi dữ liệu ngày càng có giá trị, việc kiểm soát vòng đời dữ liệu, bao gồm cả giai đoạn nhân sự rời đi đã trở thành yêu cầu bắt buộc. Trong bối cảnh pháp lý ngày càng siết chặt, doanh nghiệp không thể chờ đến khi sự cố xảy ra mới hành động. Phòng ngừa rủi ro dữ liệu, xét cho cùng, không phải là câu chuyện công nghệ, mà là câu chuyện quản trị rủi ro trong hoạt động của bất kỳ doanh nghiệp nào trong thời đại số.