Bảo mật ERP là bảo vệ dữ liệu và các thao tác quan trọng trên phần mềm quản lý doanh nghiệp: ai được xem thông tin, sửa đơn hàng, đổi tài khoản ngân hàng của nhà cung cấp hoặc duyệt thanh toán. Ngoài mật khẩu, doanh nghiệp cần phân quyền, kiểm tra người duyệt, bảo vệ tài khoản quản trị, lưu lịch sử thay đổi và chuẩn bị khi có sự cố.
Ví dụ giả định: một nhân viên được tạo nhà cung cấp nhưng không nên tự đổi số tài khoản nhận tiền rồi tự duyệt chi mà thiếu người kiểm tra độc lập. Với ERP có nhiều phân hệ, hãy đặt kiểm soát này trong các phân hệ ERP và quy trình triển khai ERP ngay từ đầu.
1. Phân quyền ERP theo công việc
Mỗi người chỉ được làm việc cần thiết: nhân viên bán hàng tạo đơn, thủ kho xác nhận xuất, kế toán đối chiếu và người được giao mới duyệt chi. Đây là quyền tối thiểu (least privilege). Cấp theo nhóm công việc giúp dễ quản lý hơn việc tự tạo quyền khác nhau cho từng người.
- Tạo tài khoản riêng, tránh nhiều người dùng chung tài khoản.
- Xác định rõ quyền xem, thêm, sửa, xóa, xuất báo cáo và phê duyệt.
- Nhân viên chuyển bộ phận phải sửa quyền; nghỉ việc phải thu hồi.
- Quyền tạm thời có người duyệt, thời hạn và lịch kiểm tra.
2. Tách nhiệm vụ để tránh một người tự làm hết
Tách nhiệm vụ (SoD) giúp tránh một người tự thực hiện toàn bộ giao dịch nhạy cảm. Ví dụ người tạo nhà cung cấp không đồng thời tự thay đổi tài khoản ngân hàng và tự duyệt tiền. Mỗi doanh nghiệp cần xác định các bước phải có người kiểm tra khác dựa trên rủi ro thực tế.
Sơ đồ kiểm tra trước khi cấp quyền
1. Access Request
User / role / action
cần quyền gì?
2. Least Privilege
Có vượt quá
job function?
3. SoD Check
Có conflict với
quyền đang có?
4. Decision
Approve / deny /
compensating control
↓ Audit trail + owner + expiry/review date
Sơ đồ gốc mô tả bốn bước: xin quyền → xem có vượt công việc → xem quyền có xung đột → chấp nhận, từ chối hoặc áp dụng kiểm soát bổ sung. Giữ lại người phê duyệt, lý do và thời hạn để kiểm tra lại.
| Tình huống quyền xung đột | Rủi ro | Cách kiểm soát |
|---|---|---|
| Tạo nhà cung cấp, sửa số tài khoản và duyệt chi | Chuyển tiền sai người nhận. | Người khác xác minh tài khoản và duyệt. |
| Đặt mua, nhận hàng và duyệt hóa đơn | Tự xác nhận cả hàng và tiền. | Đối chiếu độc lập đơn – hàng – hóa đơn. |
| Lập và tự duyệt bút toán kế toán | Sổ sách có thể bị sửa không kiểm tra. | Có người xem và duyệt riêng. |
| Tạo tài khoản rồi tự cấp quyền cao | Quyền quản trị bị cấp quá mức. | Yêu cầu phê duyệt và lưu nhật ký. |
Công ty ít nhân viên: nếu phải kiêm nhiệm, có thể bố trí giám đốc hoặc kế toán trưởng kiểm tra riêng các giao dịch nhạy cảm, lưu chứng từ và rà soát ngoại lệ có thời hạn. Biện pháp này cần đánh giá theo mức rủi ro, không mặc nhiên thay thế được việc tách quyền.
3. Bảo vệ tài khoản quản trị và người duyệt tiền
Nên bật xác thực nhiều lớp (MFA) cho tài khoản quản trị, người duyệt thanh toán và các tài khoản quan trọng khi sản phẩm hỗ trợ. Hạn chế dùng tài khoản quản trị cho công việc thường ngày. Nếu phải cấp quyền khẩn cấp, cần thời hạn, người chấp thuận và lịch sử thao tác. CISA khuyến nghị chọn phương thức MFA mạnh hơn khi có điều kiện.
4. Bảo vệ tài khoản kết nối ERP với phần mềm khác
ERP thường kết nối website, ngân hàng, CRM, kho và hóa đơn điện tử. Tài khoản/API dùng để kết nối cũng có quyền truy cập dữ liệu, nên phải được quản lý như tài khoản quan trọng. Xem cách tích hợp ERP để hiểu thêm việc xử lý dữ liệu giữa các hệ thống.
- Dùng tài khoản riêng cho kết nối, chỉ cấp quyền cần thiết.
- Không công khai mật khẩu hoặc khóa truy cập trong mã nguồn, tài liệu.
- Thu hồi hoặc đổi khóa khi đối tác, người phụ trách thay đổi.
- Theo dõi đăng nhập sai và giao dịch kết nối bất thường.
5. Nhật ký ERP phải cho biết ai đã làm gì
Nhật ký hoạt động (audit log) giúp biết ai đã đăng nhập, đổi quyền, sửa tài khoản ngân hàng, thay giá hoặc duyệt một chứng từ. Không chỉ bật ghi log rồi bỏ đó; doanh nghiệp cần người xem cảnh báo, quy định thời gian lưu và cách bảo vệ dữ liệu trong nhật ký.
- Ghi nhận đăng nhập thất bại đáng ngờ và thay đổi quyền quản trị.
- Theo dõi sửa dữ liệu nhạy cảm, chứng từ và việc bỏ qua bước duyệt.
- Có người phụ trách kiểm tra bất thường và lưu bằng chứng khi xử lý.
6. Kiểm soát việc sửa dữ liệu quan trọng
Tài khoản ngân hàng của nhà cung cấp, hạn mức công nợ khách hàng, mã hàng và giá trị tồn kho đều có thể gây thiệt hại nếu sửa sai. Cần quy định người đề nghị, người xác minh và người duyệt thay đổi. Xem hướng dẫn quản lý dữ liệu nền ERP để phân chia trách nhiệm và kiểm tra số liệu.
7. Cập nhật ERP và phân chia trách nhiệm bảo mật
Mỗi lần nâng cấp phần mềm, đổi cấu hình, thêm module hay sửa kết nối cần được kiểm tra trước khi áp dụng lên hệ thống đang sử dụng. Phải có người chấp thuận, phương án sao lưu và cách quay lại nếu xảy ra lỗi.
Với ERP chạy trên đám mây, nhà cung cấp có thể bảo vệ phần hạ tầng, nhưng doanh nghiệp vẫn quản lý người dùng, phân quyền, cấu hình và ứng dụng kết nối theo hợp đồng. Microsoft mô tả đây là trách nhiệm bảo mật chia sẻ; không nên nghĩ dùng cloud là không còn trách nhiệm. Đọc Cloud ERP và ERP tại chỗ.
8. Sao lưu, khôi phục và xử lý sự cố
Khi ERP bị ngừng, dữ liệu bị xóa nhầm hoặc có dấu hiệu bị truy cập trái phép, cần biết ai nhận cảnh báo, ai quyết định hạn chế quyền, liên hệ nhà cung cấp thế nào và cách xác nhận hệ thống phục hồi đúng. Có sao lưu chưa đủ: phải thử phục hồi. Phần chi tiết có trong sao lưu và khôi phục ERP.
Mẫu kiểm tra phân quyền trước khi chạy ERP
| Tình huống thử | Kết quả phải đạt | Người xác nhận |
|---|---|---|
| Nhân viên bán tạo đơn của mình | Được tạo, không tự duyệt chi. | Trưởng bán hàng. |
| Thủ kho xem dữ liệu kế toán nhạy cảm | Bị chặn nếu không có quyền. | Kế toán và quản trị ERP. |
| Kế toán đổi tài khoản nhà cung cấp | Cần kiểm tra hoặc duyệt độc lập. | Kế toán trưởng. |
| Nhân viên nghỉ việc đăng nhập lại | Không còn truy cập được. | Nhân sự và kỹ thuật. |
| Quản trị thay đổi nhóm quyền | Có nhật ký và người duyệt. | Người phụ trách ERP. |
Điều cần kiểm tra là người được phép phải làm được; người không được phép phải bị chặn. Trưởng bộ phận cùng đội kỹ thuật ký xác nhận bằng chứng. Đưa các tình huống này vào kiểm thử ERP và UAT. Bảng trên là mẫu minh họa, không phải kết quả kiểm thử của khách hàng.
Checklist bảo mật ERP cho chủ doanh nghiệp
- Có danh sách quyền theo bộ phận và người phê duyệt cấp quyền.
- Đã kiểm tra người có thể tự tạo, sửa và duyệt cùng giao dịch nhạy cảm.
- Tài khoản quan trọng được bảo vệ bằng MFA phù hợp.
- Nhân viên chuyển việc hoặc nghỉ việc được điều chỉnh, thu hồi quyền.
- API kết nối có quyền phù hợp, không lộ mật khẩu/khóa truy cập.
- Có nhật ký quan trọng và người kiểm tra định kỳ.
- Đã thử cập nhật, sao lưu, phục hồi và phương án xử lý sự cố.
Bảo mật ERP là công việc thường xuyên, không phải chỉ cài một lần trước khi vận hành. Các yêu cầu quan trọng cần đưa vào hồ sơ RFP ERP để nhà cung cấp trả lời rõ quyền hạn, kiểm thử và trách nhiệm.
Nguồn tham khảo và giới hạn áp dụng
- NIST SP 800-53 Rev. 5: khung biện pháp bảo vệ, được điều chỉnh theo rủi ro, không phải danh sách bắt buộc cho mọi doanh nghiệp.
- Microsoft Dynamics 365 Security Controls: trách nhiệm bảo mật trên ERP đám mây.
- Microsoft – xử lý xung đột quyền SoD: ví dụ phát hiện và xử lý quyền xung đột trong sản phẩm Dynamics 365.
- CISA – hướng dẫn MFA: khuyến nghị bảo vệ tài khoản bằng nhiều yếu tố.
Nguồn được đối chiếu ngày 24/10/2026. Các tính năng phân quyền, nhật ký, MFA và SoD phụ thuộc nhà cung cấp, phiên bản, cấu hình. Ví dụ thanh toán trong bài là giả định, không đại diện một sự cố thực.
Nếu doanh nghiệp đang dùng Odoo
Các nguyên tắc trên áp dụng cho ERP nói chung. Với Odoo cần rà soát nhóm quyền, module bổ sung, kết nối và cách vận hành của phiên bản đang dùng. Xem hỗ trợ Odoo nếu muốn đưa việc kiểm tra quyền và giám sát bảo mật vào phạm vi dịch vụ.
Đoàn Trình Dục là Giảng viên Khoa Công nghệ Thông tin tại Đại học Công nghệ Sài Gòn (STU), với hơn 10 năm kinh nghiệm thực chiến trong các lĩnh vực Mạng máy tính, Marketing Online, SEO và Bảo mật hệ thống.
Với nền tảng sư phạm và kinh nghiệm tư vấn cho nhiều doanh nghiệp, thầy chuyên sâu vào việc xây dựng các giải pháp kỹ thuật số toàn diện và hiệu quả.