Email trên điện thoại nhân viên: quản lý sao cho an toàn

Gần như toàn bộ nhân viên văn phòng hôm nay đọc email công ty ngay trên điện thoại cá nhân, không phải máy tính bàn do công ty cấp. Email trên điện thoại giúp trả lời khách hàng nhanh hơn, không phải đợi mở laptop mới thấy thư mới. Nhưng chiếc điện thoại đó là máy khoá màn hình do người dùng tự đặt, cài ứng dụng gì cũng được, và không nằm trong quyền quản lý của phòng IT công ty. Khi máy bị mất, bị mượn dùng tạm, hay nhân viên nghỉ việc mà thư vẫn còn trên máy cũ, nhiều công ty mới nhận ra chưa có cách xử lý. Bài này nói rõ việc cần làm, và điểm khác nhau giữa IMAP với POP3 khi công ty cần thu hồi quyền truy cập.

Vì sao email công ty lại nằm trên điện thoại cá nhân của nhân viên

Công ty ít khi phát điện thoại riêng cho từng người, nên hộp thư công ty được cấu hình thẳng vào ứng dụng Mail có sẵn trên máy cá nhân. Cách này nhanh, không tốn thêm thiết bị, nhưng đồng nghĩa dữ liệu công việc giờ nằm chung ổ đĩa với ảnh gia đình, mạng xã hội và mật khẩu riêng của người dùng.

Đây không phải chuyện đáng lo nếu công ty kiểm soát được vài điểm mấu chốt: hộp thư dùng gói email theo tên miền mailBus thay vì email cá nhân miễn phí, có quy tắc rõ ràng cho thiết bị cá nhân, và có cách cắt truy cập khi cần. Vấn đề chỉ phát sinh khi ba điều kiện đó thiếu một.

Rủi ro nào xảy ra khi hộp thư trên máy cá nhân bị mất kiểm soát

Ba tình huống lặp lại nhiều nhất: điện thoại bị mất hoặc bị lấy trộm, máy bị người khác mượn dùng tạm, và nhân viên nghỉ việc nhưng ứng dụng thư trên máy cũ chưa gỡ. Cả ba đều để lại một điểm chung: có người ngoài công ty vẫn đọc được thư chứa hoá đơn, hợp đồng hay thông tin khách hàng.

Khoá màn hình có đủ bảo vệ email trên điện thoại không

Khoá màn hình chặn được người lạ nhặt máy mở thư ngay lập tức, nhưng không ngăn được người đã biết mật khẩu hộp thư đăng nhập từ một thiết bị khác. Đọc thư trên điện thoại cần thêm hai lớp phía sau khoá màn hình: xác thực hai lớp cho tài khoản, và mật khẩu ứng dụng riêng cho từng ứng dụng thư thay vì dùng chung một mật khẩu chính.

Mật khẩu ứng dụng là một chuỗi riêng cấp cho từng thiết bị. Mất điện thoại thì chỉ cần thu hồi đúng mật khẩu ứng dụng của máy đó, các thiết bị còn lại vẫn đăng nhập bình thường, không phải đổi mật khẩu chính và làm gián đoạn cả phòng ban. Theo nghiên cứu năm 2019 của Google phối hợp với đại học New York và đại học San Diego, bật xác thực hai lớp bằng khoá bảo mật chặn được 100% tấn công bot tự động và 99% tấn công phishing hàng loạt nhắm vào tài khoản email. Công ty bỏ qua bước này thường chỉ phát hiện ra khi đã có dấu hiệu email công ty bị chiếm quyền, lúc đó việc xử lý tốn công hơn nhiều lần so với bật xác thực hai lớp từ đầu.

WiFi lạ có an toàn để tải email công ty không

Không nên. WiFi quán cà phê hay sân bay không mã hoá lưu lượng theo cách công ty kiểm soát được, ai cùng mạng có công cụ phù hợp vẫn dò được gói tin đi qua. Email trên điện thoại chỉ nên tải qua kết nối 4G, 5G của nhà mạng hoặc WiFi có mật khẩu riêng đáng tin.

File đính kèm chứa hợp đồng, báo giá hay thông tin khách hàng là loại nên tránh mở qua mạng công cộng nhất. Quy định này nên ghi thẳng vào chính sách nội bộ, không để mỗi người tự hiểu theo cách riêng, giống nội dung nên có trong chính sách email cho nhân viên mới ngay từ ngày đầu nhận việc.

IMAP và POP3 quyết định công ty có thu hồi được thư trên điện thoại hay không

IMAP giữ toàn bộ thư trên máy chủ, điện thoại chỉ hiển thị bản đồng bộ, nên công ty đổi mật khẩu hộp thư là cắt được quyền truy cập ngay lập tức. POP3 tải thư về máy rồi xoá khỏi máy chủ theo mặc định, nghĩa là thư đã nằm sẵn trên điện thoại, đổi mật khẩu không lấy lại được gì đã tải trước đó.

Theo chuẩn giao thức IMAP (RFC 3501) và POP3 (RFC 1939), hai giao thức được thiết kế cho hai mục đích khác nhau: IMAP đồng bộ trạng thái hộp thư giữa nhiều thiết bị, còn POP3 sinh ra để tải thư về một máy duy nhất rồi xử lý ngoại tuyến. Gói mailBus của BizMaC hỗ trợ cả hai kiểu kết nối, nhưng với hộp thư có dữ liệu nhạy cảm nên ưu tiên IMAP. Cách khai báo cụ thể trên từng ứng dụng, xem thêm phần cách khai báo IMAP trên điện thoại theo từng hệ điều hành.

Công ty thu hồi quyền truy cập hộp thư trên điện thoại khi nhân viên nghỉ việc thế nào

Đổi mật khẩu hộp thư ngay trong ngày nghỉ việc là bước đầu tiên, làm trước cả khi bàn giao xong công việc. Sau đó kiểm tra danh sách thiết bị đang đăng nhập trong control panel quản trị email và đăng xuất từng thiết bị một, không chỉ đổi mật khẩu rồi để đó.

1. Đổi mật khẩu hộp thư ngay trong ngày nghỉ việc, không chờ bàn giao xong.
2. Đăng xuất mọi thiết bị đang đăng nhập qua control panel quản trị email.
3. Gỡ tài khoản email khỏi điện thoại cá nhân trước khi trả máy hoặc bàn giao lại.
4. Kiểm tra quy tắc chuyển tiếp thư tự động, xoá ngay nếu có quy tắc lạ.

Nếu nhân viên từng dùng POP3 tải hết thư về máy cá nhân, công ty không lấy lại được bản đã tải, chỉ ngăn được thư mới phát sinh. Đây là lý do nên quy định rõ giao thức kết nối ngay từ đầu thay vì để mỗi người tự chọn. Toàn bộ quy trình chi tiết hơn, kèm mẫu biên bản bàn giao, nằm trong bài quy trình xử lý tài khoản khi nghỉ việc.

Câu hỏi thường gặp về hộp thư trên điện thoại nhân viên

Ghi nhanh

Hộp thư trên máy cá nhân của nhân viên là thực tế khó tránh, nhưng công ty vẫn giữ được quyền kiểm soát nếu làm đúng vài việc: bắt buộc khoá màn hình, bật xác thực hai lớp, dùng mật khẩu ứng dụng riêng cho từng thiết bị, tránh WiFi lạ khi tải thư có dữ liệu nhạy cảm, và chọn IMAP để giữ khả năng thu hồi truy cập bất cứ lúc nào cần. Công ty chưa tách hộp thư công việc ra khỏi email cá nhân có thể xem bảng giá gói mailBus theo tên miền để chuyển sang hộp thư quản lý được từ xa.