Startup chưa có nhân sự IT chuyên trách: Checklist quản lý và bảo vệ dữ liệu cơ bản

Startup giai đoạn đầu có thể chỉ có founder, một nhân viên kinh doanh, một kế toán dịch vụ và nhóm cộng tác viên. Không có IT chuyên trách không đồng nghĩa công ty phải dừng sử dụng công nghệ, nhưng điều đó khiến những công việc rất cơ bản—ai giữ mật khẩu quản trị, ai sao lưu dữ liệu, ai khóa tài khoản khi nghỉ việc—dễ bị bỏ quên.

Bài hướng dẫn này xây dựng bộ kiểm soát đủ nhẹ để người không chuyên công nghệ vẫn triển khai được. Đây là checklist quản trị rủi ro, không phải một danh mục “10 nghĩa vụ bắt buộc” trực tiếp do Nghị định 363/2026/NĐ-CP đặt ra cho tất cả startup.

Tóm tắt nhanh: ưu tiên việc nào trước?

Nếu chỉ có một ngày, hãy bắt đầu bằng xác thực đa yếu tố cho tài khoản quan trọng, danh sách người có quyền quản trị, kiểm tra đường dẫn file đang chia sẻ công khai, và một bản sao lưu có thể phục hồi. Những thay đổi này thường tạo ra giá trị vận hành ngay cả trước khi doanh nghiệp có ngân sách cho hệ thống phức tạp.

Tuy nhiên, bảo mật kỹ thuật chỉ là một phần. Startup còn phải xác định mình đang quản lý dữ liệu cá nhân nào, dùng cho mục đích gì và chia sẻ cho những bên nào.

Khung pháp luật cần nhận diện

Luật Dữ liệu 60/2024/QH15 (hiệu lực 01/07/2025) liên quan đến các hoạt động dữ liệu số thuộc phạm vi luật. Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 (hiệu lực 01/01/2026) cần được xem xét khi doanh nghiệp xử lý thông tin về cá nhân. Nghị định 363/2026/NĐ-CP, hiệu lực từ 11/11/2026, quy định xử phạt vi phạm hành chính trong lĩnh vực dữ liệu, đồng thời có giới hạn phạm vi quy định tại Điều 1.

Quy định đối với một hành vi cụ thể có thể phụ thuộc loại dữ liệu, đối tượng và vai trò của doanh nghiệp. Đừng suy diễn rằng doanh nghiệp nhỏ được miễn toàn bộ trách nhiệm dữ liệu, hoặc rằng thiếu nhân viên IT tự động là vi phạm.

Checklist 1: Ai đang giữ chìa khóa hệ thống?

Lập một bảng tài khoản quan trọng: email tên miền, website, hosting, tài khoản quảng cáo, CRM, kho lưu trữ, phần mềm hóa đơn, ngân hàng điện tử và những tích hợp tự động. Với mỗi hệ thống, ghi người phụ trách, tài khoản quản trị và kênh khôi phục. Không ghi mật khẩu thô trong bảng này.

• Có ai đang dùng email cá nhân làm tài khoản chủ duy nhất?
• Có tài khoản cũ của người đã nghỉ vẫn tồn tại?
• Có nhiều người dùng chung một mật khẩu?
• Có bật MFA phù hợp cho hệ thống quan trọng?

Một startup không nhất thiết phải mua hệ thống nhận dạng đắt tiền. Điều cần thiết là biết mình có thể thu hồi quyền khi nhân sự thay đổi.

Checklist 2: File nào đang mở quyền công khai?

Mở phần quản lý chia sẻ của kho lưu trữ, kiểm tra các thư mục hợp đồng, khách hàng, kế toán và nhân sự. Cần chú ý liên kết “bất kỳ ai có link”, các địa chỉ email bên ngoài, ứng dụng bên thứ ba và dữ liệu đã copy vào tài khoản nhân viên.

Làm rõ hai khái niệm: chia sẻ file để cộng tác theo công việc và mở quyền tải toàn bộ dữ liệu. Không nên trao quyền rộng hơn chỉ vì muốn tiết kiệm vài phút thao tác.

Checklist 3: Có thể khôi phục dữ liệu không?

Một bản sao lưu chỉ có giá trị khi khôi phục được. Startup có thể bắt đầu bằng việc chọn vài nhóm tài liệu ưu tiên, xác định nơi sao lưu phù hợp, phân quyền truy cập, bật lịch sử phiên bản nếu có và thử phục hồi một tệp mẫu.

Nhóm dữ liệu	Ưu tiên kiểm tra	Tình huống mất dữ liệu
Hợp đồng và phụ lục	Cao	Không có bản hợp đồng cuối
Khách hàng/CRM	Cao	Mất lịch sử liên hệ
Hóa đơn, chứng từ	Cao	Chậm xử lý kế toán
Mẫu truyền thông	Trung bình	Có thể tái tạo một phần
Cấu hình hệ thống	Cao	Không thể phục hồi dịch vụ

Đây là ví dụ thứ tự ưu tiên, không phải phân loại pháp lý dữ liệu quan trọng theo Luật Dữ liệu.

Checklist 4: Thiết bị làm việc có được kiểm soát?

Nếu nhân viên dùng laptop cá nhân, công ty cần xác định dữ liệu nào được lưu xuống thiết bị, có khóa màn hình và mã hóa phù hợp không, quy trình báo mất máy và cách xóa quyền truy cập công ty. Đối với thiết bị chung tại không gian làm việc, nên tránh lưu mật khẩu trên trình duyệt và luôn đăng xuất sau phiên sử dụng.

Khi thuê văn phòng trọn gói hoặc không gian làm việc chung, cần phân biệt trách nhiệm vận hành hạ tầng theo hợp đồng với trách nhiệm kiểm soát tài khoản, dữ liệu và thiết bị của chính doanh nghiệp. Không nên mặc định chủ tòa nhà hoặc nhà cung cấp văn phòng xử lý mọi rủi ro dữ liệu cho khách thuê.

Checklist 5: Ai chịu trách nhiệm khi xảy ra sự cố?

Không cần đợi có đội an ninh thông tin mới viết quy trình ba bước: ghi nhận – cô lập – đánh giá. Nhân viên phải biết báo cho ai khi mất thiết bị hoặc gửi nhầm file. Người phụ trách cần biết cách tạm khóa tài khoản, bảo toàn chứng cứ, rà soát dữ liệu bị ảnh hưởng và xác định có phải thông báo theo pháp luật áp dụng không.

Tránh hai phản ứng: cố che giấu hoặc xóa sạch chứng cứ. Việc đánh giá sự cố và nghĩa vụ thông báo cần dựa trên loại dữ liệu, tác động và quy định cụ thể; không tự áp một thời hạn thông báo cho mọi sự cố.

Checklist 6: Kiểm tra bên thứ ba

Startup thường dùng kế toán thuê ngoài, đơn vị làm website, nền tảng CRM, agency chạy quảng cáo và dịch vụ IT theo giờ. Liệt kê từng nhà cung cấp cùng loại dữ liệu họ có thể tiếp cận. Thu hồi quyền truy cập của bên đã kết thúc hợp đồng, tránh để token tích hợp cũ hoạt động mãi.

Nếu sử dụng nền tảng nước ngoài, nên đọc điều kiện dịch vụ, phạm vi xử lý dữ liệu, cơ chế quản lý bên phụ và quy định liên quan tới chuyển dữ liệu trong trường hợp thực tế. Không kết luận “cloud quốc tế luôn sai luật”.

Kế hoạch 4 tuần cho startup nhỏ

Tuần 1: Kiểm kê tài khoản, đổi các mật khẩu dùng chung quan trọng, bật MFA và xác định tài khoản khôi phục. Tuần 2: Kiểm tra thư mục chia sẻ, phân quyền, rà soát form thu lead và nguồn dữ liệu khách hàng. Tuần 3: Thiết lập sao lưu và thử phục hồi, viết checklist nhân sự vào/ra. Tuần 4: Kiểm tra bên thứ ba, tập diễn tập một tình huống gửi nhầm file, chốt đầu mối đánh giá pháp lý khi cần.

Mỗi bước cần có người chịu trách nhiệm và bằng chứng hoàn thành đơn giản: bảng kiểm kê, ảnh cấu hình không chứa bí mật, biên bản thử phục hồi hoặc danh sách quyền đã rà soát.

Rà soát pháp luật theo đúng đối tượng

Điều 8 Nghị định 363 đề cập vi phạm về thu thập, tạo lập dữ liệu; Điều 10 về lưu trữ dữ liệu trong phạm vi và đối tượng điều khoản. Các nghĩa vụ đối với dữ liệu cá nhân cần đọc Luật Bảo vệ dữ liệu cá nhân và văn bản liên quan. Startup cần tránh hai cực đoan: coi mọi checklist là điều luật hoặc cho rằng chưa có IT nên không phải làm gì.

Câu hỏi thường gặp

Startup 3 nhân viên phải có phòng IT riêng?

Không thể rút ra yêu cầu chung này từ Nghị định 363. Doanh nghiệp cần thực hiện nghĩa vụ tương ứng hoạt động, loại dữ liệu và quy mô; có thể tổ chức nhân sự hoặc thuê dịch vụ phù hợp trong phạm vi pháp luật cho phép.

Dùng Wi-Fi coworking có mặc nhiên vi phạm?

Không. Tuy vậy, cần áp dụng biện pháp phù hợp cho thiết bị, kết nối, tài khoản và dữ liệu đang xử lý.

Mất máy tính đồng nghĩa doanh nghiệp chắc chắn bị xử phạt?

Không thể kết luận khi chưa xác định dữ liệu ảnh hưởng, biện pháp đã áp dụng, hành vi cụ thể và văn bản điều chỉnh.

Có cần mua phần mềm bảo mật cao cấp ngay không?

Không nhất thiết. Nên ưu tiên hệ thống quan trọng, thiết lập quyền, MFA, backup và đào tạo trước; sau đó đánh giá nhu cầu theo mức rủi ro và ngân sách.

Checklist này có thay thế tư vấn pháp lý không?

Không. Đây là hướng dẫn thực hành để startup bắt đầu kiểm soát; các nghĩa vụ pháp lý cần đối chiếu độc lập.

Nguồn đối chiếu

• Luật Dữ liệu 60/2024/QH15.
• Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15.
• Nghị định 363/2026/NĐ-CP.

Các checklist phản ánh khuyến nghị quản trị thông dụng; không phải xác nhận doanh nghiệp đã đáp ứng đầy đủ mọi nghĩa vụ pháp lý.