Bảo mật website doanh nghiệp: 12 việc tối thiểu cần làm

Bảo mật website doanh nghiệp bắt đầu từ những việc rất cơ bản: tài khoản quản trị an toàn, phần mềm luôn được cập nhật, sao lưu khôi phục được, kết nối mã hóa, phân quyền đúng người đúng việc, và có người theo dõi khi có dấu hiệu bất thường. Phần lớn sự cố mà các website vừa và nhỏ gặp phải không đến từ tấn công tinh vi, mà từ mật khẩu yếu, phần mềm cũ, tài khoản của nhân viên đã nghỉ việc vẫn còn hoạt động, hoặc không có bản sao lưu dùng được khi cần.

Tóm tắt nhanh

• Con người: mật khẩu mạnh, xác thực hai lớp, mỗi người một tài khoản, thu hồi quyền khi nghỉ việc.
• Phần mềm: cập nhật đều, gỡ thành phần không dùng, chỉ cài từ nguồn tin cậy.
• Hạ tầng: HTTPS toàn website, sao lưu tách biệt, giám sát và giới hạn truy cập bất thường.
• Quy trình: biết ai làm gì khi có sự cố, thử khôi phục định kỳ.

12 việc tối thiểu

Nhóm 1: Tài khoản và con người

1. Mật khẩu mạnh, không dùng lại. Mật khẩu dài, không trùng với mật khẩu email hay mạng xã hội. Dùng trình quản lý mật khẩu thay vì ghi vào bảng tính hay tin nhắn.

2. Bật xác thực hai lớp cho tài khoản quản trị. Đây là biện pháp hiệu quả nhất để chặn việc đăng nhập bằng mật khẩu bị lộ.

3. Mỗi người một tài khoản, đúng quyền. Không dùng chung tài khoản quản trị. Người viết bài chỉ cần quyền soạn thảo, không cần quyền cài đặt hệ thống.

4. Thu hồi quyền ngay khi thay đổi nhân sự. Lập danh sách tài khoản quản trị website, hosting, tên miền, email, Search Console, và rà soát mỗi quý.

Nhóm 2: Phần mềm

5. Cập nhật phần mềm quản trị, thư viện và thành phần mở rộng. Phần lớn lỗ hổng được khai thác là lỗ hổng đã có bản vá nhưng website chưa cập nhật.

6. Gỡ những gì không dùng. Giao diện cũ, plugin tắt nhưng chưa xóa, tài khoản thử nghiệm, trang thử nghiệm quên gỡ đều là cửa sau tiềm năng.

7. Chỉ cài thành phần từ nguồn tin cậy. Không dùng giao diện, plugin bản bẻ khóa. Chúng thường chứa sẵn mã độc.

Nhóm 3: Hạ tầng và dữ liệu

8. HTTPS cho toàn bộ website. Chứng chỉ SSL hợp lệ, tự động gia hạn, chuyển hướng toàn bộ http sang https. Xem bài SSL là gì.

9. Sao lưu tự động, lưu tách biệt, thử khôi phục. Bản sao lưu nằm cùng máy chủ với website có thể mất cùng lúc khi sự cố. Hãy lưu ở nơi khác và thử khôi phục định kỳ.

10. Giới hạn truy cập bất thường. Giới hạn số lần đăng nhập sai, giới hạn tần suất yêu cầu, chặn các địa chỉ có hành vi tấn công, bảo vệ form khỏi spam.

Nhóm 4: Giám sát và quy trình

11. Giám sát liên tục. Theo dõi website có hoạt động không, nhật ký đăng nhập, thay đổi tệp bất thường, cảnh báo từ Google Search Console về vấn đề bảo mật.

12. Có quy trình xử lý sự cố. Ai là đầu mối, liên hệ đơn vị vận hành qua kênh nào, ai được quyền quyết định tạm ngưng website, ai thông báo cho khách hàng nếu dữ liệu bị ảnh hưởng.

Khi nghi ngờ website bị xâm nhập

Dấu hiệu thường gặp: website chuyển hướng sang trang lạ, xuất hiện nội dung quảng cáo không rõ nguồn, Google cảnh báo "trang web có thể bị tấn công", trình duyệt chặn truy cập, tài khoản quản trị lạ xuất hiện.

Các bước nên làm:

1. Liên hệ ngay đơn vị vận hành qua kênh hỗ trợ sự cố nghiêm trọng.
2. Đổi mật khẩu tài khoản quản trị, hosting, tên miền, email liên quan, từ một thiết bị sạch.
3. Không tự xóa tệp lung tung. Việc này có thể làm mất dấu vết cần để tìm nguyên nhân.
4. Khoanh vùng và làm sạch: xác định thời điểm và cách xâm nhập, khôi phục từ bản sao lưu sạch, vá lỗ hổng.
5. Kiểm tra dữ liệu khách hàng có bị truy cập không. Nếu có, thực hiện nghĩa vụ theo quy định bảo vệ dữ liệu cá nhân, xem bài website và Luật Bảo vệ dữ liệu cá nhân 2025.
6. Yêu cầu Google xem xét lại trong Search Console sau khi đã làm sạch, nếu website bị gắn cảnh báo.

Bảo mật là việc của ai?

Ranh giới trách nhiệm nên được ghi rõ trong hợp đồng vận hành. Xem bài bảo trì website gồm những gì và 12 điều khoản cần đọc kỹ trong hợp đồng thiết kế website.

Câu hỏi thường gặp

Website nhỏ có bị tấn công không?

Có. Phần lớn các cuộc tấn công là tự động, quét hàng loạt website để tìm lỗ hổng đã biết, không phân biệt website lớn hay nhỏ. Website nhỏ không được cập nhật thường là mục tiêu dễ nhất.

Có SSL là website đã an toàn?

Chưa. SSL chỉ mã hóa đường truyền giữa người dùng và máy chủ. Nó không bảo vệ website khỏi mật khẩu yếu, phần mềm cũ hay mã độc.

Có nên dùng tường lửa ứng dụng web (WAF)?

Với website có lượng truy cập lớn, có thanh toán hoặc dữ liệu khách hàng, WAF là lớp bảo vệ hữu ích. Với website nhỏ, các biện pháp tối thiểu trong bài thường đã giải quyết phần lớn rủi ro.

Bao lâu nên đổi mật khẩu quản trị?

Quan trọng hơn việc đổi định kỳ là dùng mật khẩu mạnh, duy nhất, có xác thực hai lớp, và đổi ngay khi có dấu hiệu lộ hoặc thay đổi nhân sự.

Kết luận

Bảo mật website không đòi hỏi doanh nghiệp trở thành chuyên gia an ninh mạng. Mười hai việc trên, làm đều đặn, đã loại bỏ phần lớn rủi ro thường gặp. Phần kỹ thuật nên giao cho đơn vị vận hành có cam kết rõ ràng, phần con người và tài khoản là việc doanh nghiệp tự giữ.

Các website Giải Pháp Web triển khai được lưu trữ, sao lưu, giám sát, vá bảo mật và quét mã độc trong phạm vi dịch vụ vận hành website, sự cố nghiêm trọng được tiếp nhận 24/7 qua hotline 0966 318 336. Liên hệ lienhe@giaiphapweb.com để được tư vấn.