Theo Luật An ninh mạng 2025, công ty vệ sinh công nghiệp vào văn phòng khách cần lưu ý gì?

Nhân viên vệ sinh vào văn phòng ngoài giờ, tiếp cận tài liệu và máy tính không khóa. Bài viết chỉ ra rủi ro thường bị bỏ qua nhất.

Đây là nhóm rủi ro an ninh thông tin bị đánh giá thấp nhất trong hầu hết doanh nghiệp. Nhân viên vệ sinh làm việc ngoài giờ, ở trong văn phòng khi không còn ai, tiếp cận mọi phòng ban gồm cả phòng lãnh đạo, phòng nhân sự, phòng kế toán — và thường không được coi là đối tượng cần kiểm soát.

Nhìn thẳng vào mức độ tiếp cận

Trong ca làm việc buổi tối, một nhân viên vệ sinh thực tế tiếp cận được: tài liệu để trên bàn; giấy in còn trong khay máy in; bảng ghi trên tường phòng họp; máy tính chưa khóa màn hình; thùng rác chứa giấy tờ; và ổ khóa, thiết bị mạng.

Điều 26 Luật 116/2025/QH15 quy định các nội dung bảo đảm an ninh dữ liệu. Điều 16 quy định về các hoạt động bảo vệ an ninh mạng.

Trách nhiệm ở đây chia hai phía và cả hai đều cần làm phần của mình.

Trách nhiệm của công ty vệ sinh

Khoản 1 Điều 27 Luật 148/2025/QH15 quy định chủ quản dữ liệu phải chủ động thiết lập quy trình, biện pháp bảo vệ dữ liệu phù hợp với tính chất hoạt động và phương thức đáp ứng yêu cầu của chủ thể dữ liệu.

Mười biện pháp:

• Xác minh lý lịch nhân sự trước khi phân công vào khu vực nhạy cảm;
• Cam kết bảo mật ký với từng nhân viên, kể cả người làm thời vụ;
• Đào tạo — không đọc, không chụp, không mang đi bất kỳ giấy tờ nào;
• Danh sách nhân sự cố định cho từng khách hàng, thông báo khi thay người;
• Không cho nhân sự chưa được xác minh làm thay ca;
• Kiểm soát chìa khóa, thẻ ra vào, có ghi nhận bàn giao;
• Cấm mang điện thoại vào khu vực đặc biệt nhạy cảm nếu khách yêu cầu;
• Không xử lý giấy tờ bỏ đi ngoài quy trình khách hàng quy định;
• Kênh báo cáo khi phát hiện bất thường hoặc bị người ngoài tiếp cận;
• Thu hồi thẻ, chìa khóa ngay khi nhân sự nghỉ.

Điểm thứ năm là lỗ hổng phổ biến nhất trong ngành: người làm chính bận việc, nhờ người quen làm thay một buổi, và người đó vào văn phòng khách mà không ai biết họ là ai.

Điểm thứ tám đáng nhấn mạnh: giấy tờ trong thùng rác của phòng kế toán, phòng nhân sự chứa thông tin đầy đủ. Việc bán giấy vụn là nguồn thu nhập thêm phổ biến của nhân viên vệ sinh và cũng là kênh rò rỉ nghiêm trọng. Cần quy trình rõ và thỏa thuận với khách hàng.

Trách nhiệm của doanh nghiệp thuê dịch vụ

Công ty vệ sinh không thể tự mình giải quyết hết. Chín biện pháp phía khách hàng:

• Chính sách bàn sạch — không để tài liệu trên bàn khi ra về;
• Khóa tủ hồ sơ;
• Tự động khóa màn hình máy tính sau thời gian ngắn;
• Máy hủy tài liệu cho giấy tờ nhạy cảm, không bỏ vào thùng rác thường;
• Thu giấy in khỏi máy in, dùng chức năng in cần xác thực tại máy;
• Xóa bảng phòng họp sau cuộc họp;
• Phân vùng — khu vực nhạy cảm nhất do nhân sự nội bộ tự dọn hoặc có người giám sát;
• Ràng buộc bảo mật trong hợp đồng dịch vụ;
• Kiểm soát ra vào và camera ở hành lang.

Điểm thứ ba và thứ năm là hai biện pháp kỹ thuật rẻ nhất và hiệu quả nhất mà nhiều doanh nghiệp vẫn chưa làm.

Điểm thứ bảy là cách xử lý hợp lý với phòng máy chủ, phòng kế toán, phòng nhân sự: những nơi này không nên để người ngoài vào một mình.

Camera và quyền của người lao động

Điều 15 Luật 116/2025/QH15 liệt kê các hành vi xâm phạm bí mật cá nhân, bí mật gia đình và đời sống riêng tư trên không gian mạng.

Người làm vệ sinh cũng là chủ thể có quyền riêng tư. Năm nguyên tắc: thông báo về phạm vi giám sát; không camera ở khu vực thay đồ, nghỉ ngơi của họ; không dùng hình ảnh camera để đánh giá ngoài phạm vi đã thông báo; đối xử tôn trọng khi có nghi vấn, không quy kết vội; và có quy trình khiếu nại.

Điểm thứ tư đáng lưu ý: khi văn phòng mất đồ, người làm vệ sinh thường bị nghi ngờ đầu tiên, và cách xử lý cần dựa trên chứng cứ chứ không phải định kiến.

Sự cố và trách nhiệm

Sáu nội dung nên có trong hợp đồng: phân định trách nhiệm khi mất mát, rò rỉ; nghĩa vụ thông báo ngay khi phát hiện bất thường; quyền kiểm tra của khách hàng; danh sách nhân sự được phép vào; quy trình khi thay đổi nhân sự; và điều kiện chấm dứt.

Điểm thứ hai quan trọng và hay bị bỏ qua: nhân viên vệ sinh phát hiện cửa phòng máy chủ mở, két sắt không khóa, hoặc người lạ trong văn phòng — họ cần biết phải báo cho ai và biết rằng việc báo cáo được hoan nghênh.

Ứng dụng quản lý công việc

Nhiều công ty vệ sinh dùng ứng dụng chấm công, chụp ảnh xác nhận hoàn thành. Sáu lưu ý: ảnh chụp xác nhận không được ghi lại tài liệu, màn hình trong văn phòng khách; hướng dẫn rõ chụp góc nào; kiểm duyệt ảnh trước khi lưu trữ lâu dài; không lưu ảnh trên thiết bị cá nhân của nhân viên; định vị chỉ bật trong giờ làm việc; và có quy trình khiếu nại cho người lao động về dữ liệu chấm công.

Điểm thứ nhất là rủi ro mới do số hoá tạo ra: yêu cầu chụp ảnh chứng minh đã dọn xong một phòng làm việc vô tình tạo ra kho ảnh về nội thất và tài liệu của khách hàng.

Làm việc tại nhà máy và khu vực sản xuất

Vệ sinh công nghiệp không chỉ là văn phòng. Tại nhà máy, rủi ro có thêm chiều khác. Sáu nguyên tắc:

• Không tiếp cận tủ điều khiển, bảng điện, thiết bị mạng;
• Không rút, cắm bất kỳ dây nào để lấy chỗ cắm máy hút bụi — đây là nguyên nhân của nhiều sự cố dừng dây chuyền;
• Không chụp ảnh dây chuyền, thiết bị, bản vẽ treo tường;
• Đào tạo an toàn trước khi vào khu vực sản xuất;
• Có người của nhà máy đi kèm ở khu vực nhạy cảm;
• Quy trình xử lý khi làm rơi vỡ, va chạm thiết bị — báo ngay thay vì giấu.

Điểm thứ ba là rủi ro về bí mật công nghệ mà ít doanh nghiệp nghĩ tới: bố trí dây chuyền và loại thiết bị là thông tin có giá trị với đối thủ.

Điểm thứ sáu quan trọng về an toàn: một va chạm nhỏ vào cảm biến mà không ai biết có thể gây sự cố lớn nhiều giờ sau đó.

Bàn giao và kết thúc hợp đồng

Năm việc cần làm khi kết thúc:

• Thu hồi toàn bộ chìa khóa, thẻ ra vào, mã cửa;
• Đổi mã khóa số mà nhân sự công ty vệ sinh từng biết;
• Xóa quyền trong hệ thống kiểm soát ra vào;
• Xác nhận bằng văn bản việc bàn giao đầy đủ;
• Cam kết bảo mật tiếp tục có hiệu lực sau khi chấm dứt.

Điểm thứ hai hay bị bỏ qua nhất và cũng nguy hiểm nhất: mã cửa văn phòng không đổi sau khi thay nhà thầu vệ sinh nghĩa là hàng chục người vẫn vào được tòa nhà ngoài giờ.

Danh sách kiểm tra

• Nhân sự có được xác minh lý lịch không?
• Có cho người lạ làm thay ca không?
• Giấy tờ bỏ đi được xử lý thế nào, có bán làm giấy vụn không?
• Khách hàng có chính sách bàn sạch và tự động khóa màn hình không?
• Khu vực nhạy cảm có giám sát khi dọn không?
• Ảnh chụp xác nhận công việc có ghi lại tài liệu của khách không?
• Nhân viên có kênh báo cáo khi phát hiện bất thường không?

Đọc thêm cùng chủ đề

• Xảy ra sự cố AI nghiêm trọng thì phải làm gì?
• Hệ thống AI rủi ro trung bình và thấp phải tuân thủ những gì?
• Doanh nghiệp nhỏ làm AI được hỗ trợ những gì?

Căn cứ pháp lý

• Luật 116/2025/QH15 Điều 26
• Luật 148/2025/QH15 Điều 27
• Luật 116/2025/QH15 Điều 15
• Luật 116/2025/QH15 Điều 16

Bài viết dẫn chiếu văn bản đang có hiệu lực. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.