Bảo mật hệ thống ERP Odoo là bảo vệ dữ liệu bán hàng, kho, kế toán và nhân sự khỏi việc bị xem, sửa, xóa trái phép hoặc mất dữ liệu khi có sự cố. Doanh nghiệp cần kiểm soát ai được vào hệ thống, được làm gì, dữ liệu được sao lưu thế nào và ai xử lý khi phát hiện bất thường. Hướng dẫn dưới đây tập trung vào năm nhóm kiểm tra cụ thể với Odoo, không thay thế việc đánh giá an ninh cho từng hệ thống đang vận hành.
Trước hết phải biết doanh nghiệp đang dùng Odoo Online, Odoo.sh hay cài trên máy chủ riêng. Odoo chịu trách nhiệm nhiều phần hạ tầng của dịch vụ do hãng cung cấp, còn bản cài máy chủ riêng cần doanh nghiệp hoặc đơn vị vận hành quản lý thêm hệ điều hành, cơ sở dữ liệu, HTTPS, cập nhật và sao lưu. Tuy nhiên, phân quyền nhân viên và kiểm tra dữ liệu nghiệp vụ vẫn phải có người trong doanh nghiệp chịu trách nhiệm.
1. Ai chịu trách nhiệm bảo mật Odoo theo cách sử dụng?
Không thể đánh giá hệ thống an toàn chỉ vì đối tác nói “đã có bảo mật”. Hãy yêu cầu một bảng ghi rõ hạng mục nào do Odoo, doanh nghiệp hay đối tác quản lý, và chứng cứ nào cho thấy việc kiểm tra đã được thực hiện. Các chính sách Odoo Cloud không tự động áp dụng nguyên vẹn cho máy chủ riêng.
| Hạng mục | Dùng dịch vụ Odoo Online/Odoo.sh | Tự cài máy chủ Odoo | Cần kiểm tra |
|---|---|---|---|
| Cập nhật phần mềm | Hãng quản lý phần nền tảng theo dịch vụ; phần tùy chỉnh cần kiểm tra theo mô hình. | Đơn vị vận hành phải kiểm soát bản vá hệ thống và phần mềm. | Phiên bản, lịch cập nhật và kết quả thử. |
| Kết nối HTTPS, máy chủ | Nhiều phần hạ tầng thuộc phạm vi dịch vụ của Odoo. | Doanh nghiệp hoặc đối tác cấu hình máy chủ, HTTPS và quyền truy cập. | Chứng chỉ HTTPS, cấu hình và tài khoản quản trị. |
| Sao lưu, phục hồi | Kiểm tra chính sách và khả năng lấy/khôi phục bản sao của gói thực dùng. | Tự xác định lịch, nơi lưu, thời gian lưu và thử phục hồi. | Bản sao dữ liệu, tệp đính kèm và kết quả thử khôi phục. |
| Nhân viên và quyền truy cập | Doanh nghiệp phân quyền người dùng trên hệ thống. | Doanh nghiệp phân quyền người dùng trên hệ thống. | Danh sách người dùng, quyền và tài khoản đã nghỉ việc. |
| Chức năng viết riêng, tích hợp | Xác định phần nào được hỗ trợ trên môi trường đã chọn. | Kiểm tra mã riêng, kết nối, khóa truy cập và cập nhật. | Kết quả kiểm thử và người chịu trách nhiệm sửa. |
Trang Odoo Security công bố chính sách bảo vệ và sao lưu cho dịch vụ đám mây do hãng quản lý. Với Odoo cài riêng, hướng dẫn triển khai máy chủ Odoo yêu cầu sử dụng HTTPS và không dùng tài khoản PostgreSQL có quyền quản trị cao nhất để chạy ứng dụng. Chính sách cụ thể phải đối chiếu với hợp đồng và phiên bản sử dụng.
Nếu mới tìm hiểu sản phẩm, xem hệ thống ERP Odoo là gì. Phần tiếp theo giúp doanh nghiệp kiểm tra những việc thuộc trách nhiệm sử dụng hằng ngày.
2. Phân quyền nhân viên và bảo vệ tài khoản đăng nhập
Odoo cho phép gán quyền theo người dùng và nhóm người dùng. Ví dụ, nhân viên bán hàng có thể tạo đơn nhưng không nên tùy ý xem bảng lương. Quyền truy cập xác định người dùng được đọc, tạo, sửa, xóa loại dữ liệu nào; quy tắc bản ghi (record rules) giới hạn dữ liệu cụ thể được xem, chẳng hạn chỉ các đơn hàng của nhóm mình. Cần kiểm thử bằng tài khoản thật theo vai trò; ẩn một nút trên giao diện không có nghĩa dữ liệu đã bị chặn.
| Việc cần làm | Ví dụ dễ hiểu | Cách nghiệm thu |
|---|---|---|
| Phân quyền theo công việc | Nhân viên kho không thể sửa lương, nhân viên bán hàng không tự cấp quyền quản trị. | Đăng nhập bằng tài khoản từng bộ phận, thử xem/sửa dữ liệu được phép và bị cấm. |
| Giới hạn dữ liệu từng nhóm | Nhân viên chỉ nhìn thấy đơn hàng phù hợp quyền đã cấp. | Thử đơn hàng thuộc nhóm mình và của nhóm khác; xác nhận dữ liệu không được phép bị từ chối. |
| Xác thực hai yếu tố (2FA) | Ngoài mật khẩu còn phải xác nhận bằng ứng dụng hoặc phương thức hỗ trợ. | Thử đăng nhập lại và quy trình khi người dùng mất thiết bị. |
| Tài khoản quản trị đặc biệt | Chỉ người được chỉ định có quyền thay đổi cấu hình quan trọng. | Rà soát tài khoản quản trị, quyền cao nhất và thời điểm sử dụng. |
| Nhân viên nghỉ việc hoặc chuyển bộ phận | Không giữ quyền cũ khi người dùng đổi việc hoặc rời công ty. | Khóa tài khoản, thu hồi thiết bị/phiên đăng nhập và khóa kết nối nếu có. |
Theo tài liệu phân quyền Odoo, sửa quyền sai có thể khiến người quản trị tự mất quyền cấu hình. Chế độ Superuser còn có thể bỏ qua các quy tắc phân quyền thông thường; chỉ sử dụng khi thật cần và do người có chuyên môn quản lý. Với 2FA, Odoo có hướng dẫn bật và bắt buộc xác thực theo nhóm người dùng.
Ai chịu trách nhiệm? Trưởng bộ phận xác nhận nhân viên cần làm gì; người quản trị Odoo thiết lập; bộ phận phụ trách kiểm tra lại bằng tài khoản thử. Nếu dùng dữ liệu nhân sự, xem thêm quản lý nhân sự trên Odoo.
3. Bảo vệ máy chủ, dữ liệu sao lưu và khả năng phục hồi
HTTPS giúp bảo vệ dữ liệu truyền giữa người dùng và hệ thống, nhưng không thay thế phân quyền, sao lưu hay bảo vệ máy chủ. Với Odoo cài riêng, cần kiểm soát bản cập nhật, tài khoản quản trị máy chủ, tường lửa và kết nối cơ sở dữ liệu. Nên hỏi rõ ai theo dõi sự cố và ai thực hiện phục hồi khi ERP không truy cập được.
| Hạng mục | Điều doanh nghiệp cần yêu cầu | Bằng chứng phải nhận |
|---|---|---|
| Cập nhật và lỗ hổng | Biết phiên bản Odoo, hệ điều hành, cơ sở dữ liệu và phần mở rộng. | Danh sách phiên bản, kế hoạch thử và cập nhật. |
| HTTPS và truy cập máy chủ | Bật HTTPS, hạn chế cổng/máy được phép truy cập khu vực quản trị. | Kết quả kiểm tra kết nối và cấu hình phù hợp. |
| Mật khẩu, khóa kết nối | Không để mật khẩu hoặc khóa truy cập trong mã nguồn, tài liệu công khai. | Danh sách nơi lưu và người được sử dụng khóa. |
| Sao lưu | Bao gồm cơ sở dữ liệu và các tệp cần để khôi phục hệ thống. | Lịch sao lưu, nơi lưu, bản sao tách biệt và quyền truy cập. |
| Thử phục hồi | Khôi phục vào môi trường thử, mở thử chứng từ và dữ liệu đính kèm. | Biên bản thử, thời gian phục hồi, lỗi cần xử lý. |
| Theo dõi sự cố | Biết khi nào ERP lỗi, mất kết nối hoặc có đăng nhập bất thường. | Thông báo thử, người nhận cảnh báo và cách xử lý. |
Ví dụ: có bản sao cơ sở dữ liệu nhưng thiếu tệp đính kèm thì sau phục hồi chứng từ có thể bị mất file. Vì vậy cần thử mở một số đơn hàng, hóa đơn và tài liệu thực tế trên bản khôi phục. Không nên cam kết phục hồi trong vài phút khi chưa kiểm tra. Thời gian chấp nhận gián đoạn và mức dữ liệu có thể mất phải do doanh nghiệp xác định theo ảnh hưởng kinh doanh.
4. Kiểm tra chức năng viết riêng và phần mềm kết nối
Chức năng được viết thêm cho Odoo và các phần mềm kết nối có thể mở ra đường truy cập dữ liệu mới. Ví dụ, công cụ đồng bộ website dùng tài khoản có quyền quá rộng, hoặc một module do bên thứ ba viết cho phép xem thông tin của người khác. Những phần này cần được kiểm tra trước khi đưa vào sử dụng và sau khi nâng cấp. Người phát triển phải kiểm tra cả quyền truy cập ở cấp xử lý dữ liệu, không chỉ trên giao diện.
| Nhóm cần kiểm tra | Rủi ro dễ hình dung | Cách kiểm tra |
|---|---|---|
| Chức năng viết riêng | Nhân viên không đủ quyền vẫn sửa được dữ liệu. | Cho người dùng không đủ quyền thử truy cập; người viết mã kiểm tra xử lý quyền. |
| Thao tác dùng quyền cao | Mã tự bỏ qua giới hạn dữ liệu, lộ thông tin phòng ban khác. | Người kỹ thuật rà soát mã, đặc biệt phần sử dụng quyền đặc biệt hoặc truy vấn riêng. |
| Module bên thứ ba | Tiện ích có lỗi, bị bỏ bảo trì hoặc xin quyền không cần thiết. | Xem nguồn, phiên bản, người duy trì và thử trên bản sao. |
| Tài khoản kết nối API | Kết nối website được cấp quyền xem cả thông tin nhân sự. | Chỉ cấp dữ liệu cần thiết và thử khi quyền bị hạn chế. |
| Đồng bộ và xuất dữ liệu | Đơn hàng bị nhân đôi, số liệu thất lạc hoặc xuất không kiểm soát. | Thử lỗi kết nối, dữ liệu trùng, xuất file và đối chiếu kết quả. |
Nếu có kết nối website, hóa đơn điện tử hoặc phần mềm khác, xem hướng dẫn tích hợp Odoo. Khi thuê đơn vị triển khai, nên ghi rõ trách nhiệm kiểm thử và bàn giao bảo mật trong tiêu chí chọn đối tác Odoo.
5. Nếu Odoo bị truy cập trái phép hoặc mất dữ liệu thì làm gì?
Tình huống minh họa: doanh nghiệp phát hiện tài khoản đã nghỉ việc vẫn đăng nhập được hoặc có lượt xuất dữ liệu bất thường. Trước hết, người có trách nhiệm cần xác minh cảnh báo, hạn chế truy cập theo mức độ rủi ro, giữ lại nhật ký liên quan và phối hợp xác định dữ liệu bị ảnh hưởng. Không xóa dấu vết hoặc khôi phục vội khi chưa đánh giá nguyên nhân. Đây là tình huống giả định, không phải một vụ việc đã được xác minh.
| Bước xử lý | Cần làm gì? | Cần lưu bằng chứng gì? |
|---|---|---|
| 1. Chuẩn bị | Chỉ định người phụ trách, số liên lạc, phương án sao lưu và thông báo. | Danh sách liên hệ, kế hoạch xử lý. |
| 2. Phát hiện | Kiểm tra đăng nhập lạ, xuất dữ liệu bất thường, lỗi kết nối. | Thời điểm, cảnh báo, nhật ký liên quan. |
| 3. Hạn chế ảnh hưởng | Khóa tài khoản hoặc kết nối đáng ngờ, cân nhắc cô lập hệ thống. | Ai quyết định, đã làm gì, lúc nào. |
| 4. Xác minh nguyên nhân | Khoanh vùng tài khoản, dữ liệu, module và hệ thống liên quan. | Thông tin phục vụ điều tra, bản sao nhật ký. |
| 5. Khôi phục có kiểm tra | Sửa lỗi, đổi khóa truy cập khi cần, phục hồi và đối chiếu nghiệp vụ. | Kết quả khôi phục và xác nhận của bộ phận sử dụng. |
| 6. Ngăn lặp lại | Sửa quy trình cấp quyền, cập nhật bảo mật và đào tạo liên quan. | Người phụ trách, hạn hoàn thành, kết quả kiểm tra. |
- Kiểm tra tài khoản đang dùng và thu hồi quyền người nghỉ việc.
- Người quản trị đã bật và kiểm thử xác thực hai yếu tố theo chính sách.
- Đã kiểm tra bằng tài khoản thử: ai được xem, tạo, sửa, xóa dữ liệu.
- Máy chủ, HTTPS và quyền quản trị có người chịu trách nhiệm.
- Đã biết bản sao lưu nằm ở đâu và có biên bản thử phục hồi.
- Chức năng viết riêng và kết nối được kiểm tra quyền truy cập.
- Có người nhận cảnh báo và quy trình xử lý khi có sự cố.
- Những rủi ro chưa xử lý được ghi nhận, không tuyên bố “an toàn tuyệt đối”.
Kết luận: bảo mật Odoo không phải chỉ mua thêm phần mềm bảo vệ. Chủ doanh nghiệp cần nhận được bảng phân quyền có người duyệt, kết quả thử tài khoản, hồ sơ sao lưu/phục hồi, danh sách phần tích hợp và đầu mối xử lý sự cố. Tài liệu Odoo cung cấp những cơ chế hỗ trợ, nhưng việc cấu hình đúng và kiểm tra định kỳ thuộc trách nhiệm các bên theo cách triển khai. Nên đưa các yêu cầu này vào quy trình triển khai Odoo ngay từ đầu.
Bảo mật Odoo khác gì với bảo mật ERP nói chung?
Bài này tập trung vào quyền người dùng, cách lưu trữ và phần mở rộng của Odoo. Nếu muốn xây dựng quy chế bảo mật cho nhiều hệ thống ERP, xem bảo mật ERP tổng quát. Các hướng dẫn riêng gồm sao lưu và khôi phục ERP, ERP đám mây và máy chủ riêng và quy trình nâng cấp ERP.
Khi nào doanh nghiệp cần đơn vị hỗ trợ Odoo?
Nếu không có nhân viên theo dõi phân quyền, cập nhật phần mềm, kết nối và kiểm tra bản sao lưu, doanh nghiệp cần làm rõ phạm vi hỗ trợ trong hợp đồng. Xem dịch vụ hỗ trợ Odoo để tham khảo, nhưng luôn yêu cầu bảng công việc, trách nhiệm và cách nghiệm thu cụ thể.
Đoàn Trình Dục là Giảng viên Khoa Công nghệ Thông tin tại Đại học Công nghệ Sài Gòn (STU), với hơn 10 năm kinh nghiệm thực chiến trong các lĩnh vực Mạng máy tính, Marketing Online, SEO và Bảo mật hệ thống.
Với nền tảng sư phạm và kinh nghiệm tư vấn cho nhiều doanh nghiệp, thầy chuyên sâu vào việc xây dựng các giải pháp kỹ thuật số toàn diện và hiệu quả.