← IT nội bộ · Danh mục quy trình

Rà quyền truy cập định kỳ

Bảo đảm mỗi quý công ty biết rõ ai đang có tài khoản và quyền gì ở từng hệ thống, loại được tài khoản không còn chủ và quyền vượt nhu cầu, đặc biệt quyền quản trị, để thu hẹp chỗ hở mà không ảnh hưởng người đang làm việc.

Nhận bộ file Word

[TÊN CÔNG TY]	QUY TRÌNHRà quyền truy cập định kỳ	Mã tài liệu	QT-IT-04
		Phiên bản	1.0
		Ngày hiệu lực	[ngày ban hành]

Soạn thảo	Soát xét	Phê duyệt
[họ tên, chức danh]	[họ tên, chức danh]	[họ tên, chức danh]

Biên soạn theo cấu trúc và yêu cầu của TCVN ISO 9001:2015. Đây là bản mẫu: công ty áp dụng cần soát xét, phê duyệt và ban hành theo thủ tục kiểm soát tài liệu của mình. Việc chứng nhận do tổ chức chứng nhận đánh giá trên hệ thống thực tế của từng công ty.

1. Mục đích

2. Phạm vi áp dụng

Áp dụng: Áp dụng cho rà quyền hằng quý đối với mọi hệ thống có tài khoản người dùng, gồm so với danh sách nhân sự và bảng quyền chuẩn, và danh sách đề nghị thu hồi.

Không áp dụng: Không áp dụng cho việc cấp, khoá tài khoản khi có người vào hoặc nghỉ (xem quy trình Cấp và thu hồi tài khoản), và điều tra sự cố bảo mật đang xảy ra.

Mức tự chủ của nhân viên AI: Làm xong, chờ duyệt Làm tới bước cuối, trình phiếu theo kỹ năng trinh-duyet.

Người cầm lái đội: Người phụ trách IT. Chỉ người này giao việc và dạy quy tắc cho đội nhân viên AI của phòng.

Người duyệt theo thẩm quyền: Người phụ trách IT.

3. Tài liệu viện dẫn

Điều khoản ISO 9001:2015	Nội dung
7.1.3	Cơ sở hạ tầng
6.1	Hành động giải quyết rủi ro và cơ hội
9.1	Theo dõi, đo lường, phân tích và đánh giá
10.2	Sự không phù hợp và hành động khắc phục

Bảng quyền chuẩn theo vị trí trong Bộ não công ty
Quy chế bảo mật thông tin và sử dụng hệ thống của công ty
Danh sách nhân sự đang làm việc do Nhân sự cung cấp
Quy trình Cấp và thu hồi tài khoản

4. Thuật ngữ

Thuật ngữ	Nghĩa
Tài khoản mồ côi	Tài khoản còn hoạt động nhưng không khớp người nào trong danh sách nhân sự đang làm.
Quyền quản trị	Quyền có thể thay đổi cấu hình, người dùng hoặc dữ liệu của cả hệ thống.
Quyền vượt chuẩn	Quyền thực tế cao hơn mức bảng quyền chuẩn cho vị trí của người đó.
File xuất	Danh sách tài khoản và quyền do người quản trị lấy ra từ một hệ thống tại một thời điểm.

5. Trách nhiệm

Vai trò	RACI	Trách nhiệm
Nhân viên AI Tuệ · Trợ lý Tài khoản & Quyền	R · Thực hiện	Thực hiện các bước được giao, dừng ở mọi điểm cần con người quyết.
Người quản trị	R · Thực hiện	Xuất danh sách từ từng hệ thống và thực hiện thu hồi sau khi được duyệt.
Trưởng bộ phận	C · Được hỏi ý kiến	Xác nhận quyền của người trong bộ phận mình là còn cần hay thu hồi.
Người phụ trách IT	A · Chịu trách nhiệm cuối	Duyệt danh sách thu hồi cuối cùng, kể cả toàn bộ quyền quản trị.
Nhân sự	I · Được thông báo	Cung cấp danh sách nhân sự đang làm việc để đối chiếu.

6. Đầu vào và đầu ra

Đầu vào

File xuất tài khoản và quyền từ từng hệ thống do người quản trị cung cấp
Danh sách nhân sự đang làm việc (chỉ đọc)
Bảng quyền chuẩn theo vị trí trong Bộ não công ty

Đầu ra

Bảng rà quyền theo hệ thống và người dùng
Danh sách đề nghị thu hồi kèm lý do và xác nhận của trưởng bộ phận

Nhận từ đâu, giao cho ai

Chiều	Nơi gửi hoặc nơi nhận	Nội dung
Nhận từ	Người quản trị	Danh sách tài khoản và quyền xuất từ từng hệ thống
Nhận từ	QT-IT-03 Danh sách việc cấp và thu hồi tài khoản	Thay đổi quyền đã thực hiện
Giao cho	Người phụ trách IT	Bảng rà quyền và danh sách đề nghị thu hồi
Giao cho	Người quản trị	Danh sách thu hồi đã duyệt

7. Lưu đồ

1Nhắc và yêu cầu xuất danh sáchTuệ · Trợ lý Tài khoản & Quyền
2Xuất danh sách từ hệ thốngNgười quản trị
3So với danh sách nhân sựTuệ · Trợ lý Tài khoản & Quyền
4So quyền thực tế với bảng quyền chuẩnTuệ · Trợ lý Tài khoản & Quyền
5Lập bảng rà quyền và danh sách đề nghị thu hồiTuệ · Trợ lý Tài khoản & Quyền
6Trưởng bộ phận xác nhậnTrưởng bộ phận
7Duyệt danh sách thu hồiNgười phụ trách IT
8Thực hiện thu hồiNgười quản trị
9Xác nhận và ghi kết quả quýTuệ · Trợ lý Tài khoản & Quyền

Nhân viên AI làm trọn bước · Con người duyệt, ký, quyết

8. Nội dung quy trình

Bước	Người làm	Nội dung	Hồ sơ	Thời hạn	Điểm kiểm soát
1. Nhắc và yêu cầu xuất danh sách	Nhân viên AI Tuệ · Trợ lý Tài khoản & Quyền	Gửi người quản trị danh sách hệ thống cần xuất, định dạng cần có và hạn nộp. Nhắc một lần khi quá hạn, sau đó báo người phụ trách IT hệ thống nào còn thiếu.	Phiếu yêu cầu rà quyền quý	Ngày 5 đầu quý; hạn nộp 3 ngày làm việc (đề xuất ban đầu)	Danh sách hệ thống lấy từ Sổ tài sản, không tự bỏ hệ thống nào.
2. Xuất danh sách từ hệ thống	Con người Người quản trị	Xuất tài khoản, nhóm và quyền của từng hệ thống tại cùng một thời điểm. Gửi file xuất vào thư mục IT; không gửi mật khẩu hay mã xác thực.	File xuất theo hệ thống	Trong 3 ngày làm việc	Chỉ xuất dữ liệu tài khoản và quyền, không kèm thông tin đăng nhập.
3. So với danh sách nhân sự	Nhân viên AI Tuệ · Trợ lý Tài khoản & Quyền	Ghép từng tài khoản với người trong danh sách nhân sự đang làm việc bằng họ tên và địa chỉ thư chính thức. Nêu mọi tài khoản không khớp người nào: người đã nghỉ, tài khoản dịch vụ, tài khoản dùng chung, tài khoản không rõ chủ.	Cột kết quả ghép trong bảng rà quyền	Trong 1 ngày làm việc từ khi có file xuất	Tài khoản không chắc là mồ côi chỉ đánh dấu cần hỏi, không kết luận.
4. So quyền thực tế với bảng quyền chuẩn	Nhân viên AI Tuệ · Trợ lý Tài khoản & Quyền	So từng quyền với bảng quyền chuẩn của vị trí người đó và nêu quyền vượt chuẩn. Liệt kê toàn bộ tài khoản có quyền quản trị ở mọi hệ thống, không lọc bớt.	Cột quyền vượt chuẩn và danh sách quyền quản trị	Cùng thời hạn với bước ghép	Vị trí chưa có trong bảng quyền chuẩn thì nêu riêng, không tự kết luận quyền đó thừa.
5. Lập bảng rà quyền và danh sách đề nghị thu hồi	Nhân viên AI Tuệ · Trợ lý Tài khoản & Quyền	Gộp kết quả thành bảng rà quyền; mỗi mục đề nghị thu hồi kèm lý do và hệ thống. Chia danh sách theo trưởng bộ phận để mỗi người chỉ xác nhận phần của bộ phận mình.	Bảng rà quyền quý và danh sách đề nghị thu hồi	Trong 1 ngày làm việc	Tự kiểm mọi hệ thống trong yêu cầu đều có trong bảng, mục thiếu thì ghi rõ chưa có dữ liệu.
6. Trưởng bộ phận xác nhận	Con người Trưởng bộ phận	Với từng mục của bộ phận mình chọn: thu hồi, giữ kèm lý do, hoặc cần hỏi thêm. Trả lại danh sách đã xác nhận cho nhân viên AI trong hạn.	Danh sách có xác nhận của trưởng bộ phận	Trong 3 ngày làm việc	Không trả lời thì nhắc một lần, rồi báo người phụ trách IT; im lặng không phải là đồng ý thu hồi hay giữ.
7. Duyệt danh sách thu hồi	Con người Người phụ trách IT	Xem toàn bộ quyền quản trị và các mục giữ ngoài chuẩn, quyết định từng mục. Ký duyệt danh sách thu hồi cuối cùng và giao người quản trị thực hiện.	Danh sách thu hồi đã duyệt	Trong 2 ngày làm việc	Quyền quản trị phải được xem xét từng cái, không duyệt gộp.
8. Thực hiện thu hồi	Con người Người quản trị	Khoá hoặc hạ quyền đúng theo danh sách đã duyệt và đánh dấu từng dòng khi xong. Báo lại mục không thực hiện được kèm lý do.	Cột đã làm trên danh sách thu hồi	Trong 5 ngày làm việc từ khi duyệt	Chỉ làm đúng mục đã duyệt; thao tác ngoài danh sách phải có duyệt bổ sung.
9. Xác nhận và ghi kết quả quý	Nhân viên AI Tuệ · Trợ lý Tài khoản & Quyền	Đối chiếu danh sách đã làm với danh sách duyệt, nêu mục còn treo và người giữ. Ghi số liệu quý: số tài khoản mồ côi, số tài khoản quyền quản trị, số quyền đã thu hồi.	Báo cáo rà quyền quý	Trong 2 ngày làm việc sau khi thu hồi xong	Lý do giữ quyền ngoài chuẩn được ghi thành quy tắc để quý sau không hỏi lại.

9. Xử lý ngoại lệ

Tình huống	Cách xử lý
Hệ thống không xuất được danh sách tài khoản	Người quản trị chụp màn hình danh sách người dùng; ghi rõ hệ thống này rà bằng cách thủ công và đề nghị tìm cách xuất cho quý sau.
Tài khoản dịch vụ hoặc dùng chung không có người sở hữu	Đề nghị trưởng bộ phận liên quan nhận làm chủ; không ai nhận thì đưa vào danh sách thu hồi để người phụ trách IT quyết.
Trưởng bộ phận vắng đến hết hạn xác nhận	Nhắc một lần, rồi báo người phụ trách IT để chuyển người được uỷ quyền; mục chưa xác nhận giữ nguyên, không thu hồi.
Phát hiện tài khoản quản trị lạ hoặc hoạt động bất thường	Dừng rà, chuyển ngay người phụ trách IT theo quy trình sự cố bảo mật; không tự xử lý.
Danh sách nhân sự chưa cập nhật so với thực tế	Hỏi Nhân sự xác nhận các tên không khớp trước khi đề nghị thu hồi.

10. Rủi ro và biện pháp kiểm soát

Rủi ro	Biện pháp kiểm soát
Bỏ sót hệ thống nên còn tài khoản không ai biết	Danh sách hệ thống lấy từ Sổ tài sản và đối chiếu số hệ thống trong bảng với số hệ thống yêu cầu.
Thu hồi nhầm quyền người đang cần làm gián đoạn công việc	Mọi mục đều qua xác nhận của trưởng bộ phận, và tài khoản không chắc chỉ đánh dấu cần hỏi.
Quyền quản trị tích tụ không ai xem	Liệt kê toàn bộ quyền quản trị mỗi quý và người phụ trách IT duyệt từng cái.
File xuất chứa dữ liệu nhạy cảm bị lan truyền	Lưu file trong thư mục IT hạn chế quyền và xoá bản tạm sau khi lập báo cáo theo quy chế.

11. Biểu mẫu

BM-IT-04-01

Bảng rà quyền quý

Hệ thống · Tài khoản · Người sở hữu · Vị trí · Quyền hiện có · Quyền theo bảng chuẩn · Có quyền quản trị · Kết quả ghép nhân sự · Đề nghị · Lý do

BM-IT-04-02

Danh sách đề nghị thu hồi

Hệ thống · Tài khoản · Quyền thu hồi · Lý do · Trưởng bộ phận xác nhận · Người phụ trách IT duyệt · Ngày làm · Ghi chú

12. Hồ sơ lưu

Hồ sơ	Nơi lưu	Thời hạn lưu	Người chịu trách nhiệm
File xuất tài khoản và quyền	Kho tài liệu công ty, thư mục IT, quyền hạn chế	Theo bảng thời hạn lưu của công ty	Người quản trị
Bảng rà quyền và danh sách thu hồi đã duyệt	Kho tài liệu công ty, thư mục IT theo năm và quý	Theo bảng thời hạn lưu của công ty	Người phụ trách IT

13. Chỉ số theo dõi

Chỉ số	Cách tính	Mục tiêu	Tần suất
Số tài khoản mồ côi	Số tài khoản không khớp người đang làm tại thời điểm rà	Bằng 0 sau khi thu hồi (đề xuất ban đầu)	Hằng quý
Số tài khoản có quyền quản trị	Tổng số tài khoản có quyền quản trị ở mọi hệ thống	Không tăng so với quý trước nếu không có lý do được duyệt (đề xuất ban đầu)	Hằng quý
Tỷ lệ mục thu hồi hoàn tất đúng hạn	Số mục thu hồi làm xong trong hạn chia tổng số mục đã duyệt	Từ 95% (đề xuất ban đầu)	Hằng quý

14. Lịch sử sửa đổi

Phiên bản	Ngày	Nội dung sửa đổi	Người duyệt
1.0	[ngày ban hành]	Ban hành lần đầu	[họ tên]

Áp dụng quy trình này vào công ty bạn

Mstar chỉnh quy trình theo mẫu biểu, hạn mức và phần mềm của bạn, nạp vào đội nhân viên AI và bàn giao bộ file Word để ban hành.

Nhắn Zalo đăng ký dùng thử Gọi 0943 199 449