Rà soát email công ty: bản tự kiểm 15 điểm cho quản lý

Một quản lý vừa hỏi bên IT một câu đơn giản. Hộp thư của bạn kinh doanh nghỉ việc 6 tháng trước. Giờ còn ai vào được không? Không ai trả lời được ngay. Bài này gom 15 điểm rà soát email công ty. Người quản lý tự làm được. Không cần đụng dòng lệnh nào.

Mỗi điểm trả lời được bằng cách mở panel nhìn, hoặc hỏi đúng một câu. Bài nói rõ xem ở đâu, chưa đạt thì làm gì. Làm hết 15 điểm mất khoảng 1 buổi. Lặp lại mỗi quý, không phải làm một lần rồi thôi.

Vì sao rà soát email công ty phải làm định kỳ, không phải một lần

Rủi ro trong hộp thư công ty không đứng yên. Nhân sự vào ra. Mật khẩu cũ dần. Dung lượng đầy lên mỗi tuần. Rà soát một lần lúc mới lập công ty rồi bỏ đó, 2 năm sau danh sách rủi ro đã khác hoàn toàn.

Bài phân quyền panel mail nói cách chia ai được làm gì. Bài này là bản chấm điểm: xem việc phân quyền đó, và 14 việc kia, đang chạy đúng hay đã lệch. Ghi lại kết quả mỗi quý để so sánh.

Nhóm 1: ai đang cầm chìa khoá hộp thư công ty

Ba điểm đầu trả lời câu hỏi quan trọng nhất. Ai đang có quyền vào hộp thư. Người đó có còn nên giữ quyền không. Một tài khoản bỏ quên có thể mở cả kho thư công ty cho người ngoài.

Công ty dưới 50 người mà có hơn 5 người cùng giữ quyền quản trị là con số bất thường. Quyền càng phân tán, sự cố càng khó truy ra ai đã đổi gì.

Nhóm 2: mật khẩu và cách đăng nhập có còn an toàn

Nhóm này không cần hiểu kỹ thuật. Chỉ cần hỏi đúng câu và nhìn đúng mục cài đặt. Hai điểm sau quyết định phần lớn khả năng hộp thư bị chiếm quyền từ bên ngoài.

Một mật khẩu dùng liên tục quá 12 tháng là rủi ro, nhất là hộp thư dùng chung. Xác thực hai lớp là lớp chắn thêm ngoài mật khẩu, thường là mã gửi về điện thoại. Không bật thì chỉ cần lộ mật khẩu là kẻ xấu vào được ngay.

Nhóm 3: xác thực kỹ thuật có khai đủ chưa

Nhóm này nghe có vẻ kỹ thuật nhất. Thật ra chỉ cần một công cụ tra bản ghi DNS miễn phí. Ba chữ SPF, DKIM, DMARC quyết định thư công ty có bị nghi giả mạo hay không.

SPF nói rõ máy chủ nào được phép gửi thư thay tên miền công ty. DKIM ký chữ ký số vào mỗi thư để chứng minh thư không bị sửa dọc đường. DMARC quyết định thư không đạt hai xác thực trên thì xử lý ra sao. Thiếu 1 trong 3 là hở cửa cho email giả mạo. Nhiều công ty có 3 đến 4 tên miền phụ dùng cho website khuyến mãi, sự kiện, dự án ngắn hạn, và hay quên khai xác thực cho những tên miền đó.

Nhóm 4: hộp thư có đang bị dùng sai cách không

Nhóm này nhìn vào thói quen dùng hộp thư hàng ngày. Đây là chỗ dễ bỏ qua nhất. Không có gì hỏng rõ ràng, chỉ là đang rò rỉ dần.

Hộp thư đầy khiến thư khách hàng bị trả lại mà không ai biết. Gói mailBus Pro của BizMaC cấp 50 GB cho 25 hộp thư, gói Edge lên tới 240 GB cho 120 hộp thư. Dấu hiệu rò rỉ dữ liệu ít ai để ý nhất là quy tắc chuyển tiếp tự động: một nhân viên trước khi nghỉ việc đặt sẵn, rồi nó vẫn chạy âm thầm nhiều tháng sau khi người đó đã rời công ty.

4 điểm còn lại: nề nếp vận hành hàng ngày

Bốn điểm cuối gói gọn thói quen chung. Không sâu kỹ thuật, nhưng vẫn cần kiểm định kỳ vì dễ trôi theo thời gian nếu không ai nhắc lại.

14 điểm trên đều dựa vào việc ai đó nhớ ra để làm. Điểm 15 giữ cho cả hệ thống không lặp lại lỗi cũ. Có văn bản ghi rõ các bước xử lý hộp thư khi một người rời công ty thì rà soát lần sau đỡ mất công hơn nhiều.

Câu hỏi thường gặp khi rà soát email công ty

Điểm nào chưa đạt thì làm gì tiếp

Không cần đạt cả 15 điểm ngay lần rà soát đầu tiên. Ưu tiên nhóm 1 và nhóm 3 trước. Đó là chỗ rủi ro cao nhất: tài khoản người đã nghỉ việc, và xác thực SPF, DKIM, DMARC. Nhóm 4 xử lý dần trong vài tuần cũng không sao.

Ghi lại kết quả mỗi lần rà soát vào một file dùng chung. Lần sau so sánh xem điểm nào đang tốt lên, điểm nào lặp lại vấn đề cũ. Công ty đang cân nhắc chuyển hẳn sang hạ tầng riêng để dễ kiểm soát hơn có thể xem thêm Email doanh nghiệp tại BizMaC.