Một SME không có nhân viên IT vẫn có thể có hệ thống backup tự chạy nếu làm ba việc: giữ 3 bản dữ liệu trên 2 loại lưu trữ, trong đó 1 bản nằm ngoài văn phòng và không thể bị xoá hay mã hoá từ máy tính của nhân viên; để phần mềm sao lưu chạy theo lịch thay vì nhờ trí nhớ; và mỗi tháng thử khôi phục một file thật. Đồng bộ Google Drive hay OneDrive không phải là backup, vì xoá hoặc bị mã hoá ở một nơi thì nơi kia cũng mất theo.
Tóm tắt: Liệt kê dữ liệu quan trọng, chọn một trong ba kiến trúc (toàn cloud, NAS kèm cloud, hoặc thêm ổ ngoại tuyến), bật khoá chống xoá cho bản ngoài văn phòng và gắn email cảnh báo khi sao lưu thất bại. Bài bảo mật dữ liệu SME: 5 bước cơ bản đặt backup trong bức tranh bảo mật chung; bài này đi vào cách làm cụ thể.
Vì sao Google Drive hay OneDrive chưa phải là backup?#
Đồng bộ (sync) giữ hai nơi giống hệt nhau. Đó là điểm mạnh khi làm việc, nhưng là điểm yếu khi có sự cố:
- Xoá nhầm lan theo. Nhân viên xoá thư mục trên máy, Drive cũng xoá. Thùng rác Google Drive tự xoá vĩnh viễn sau 30 ngày; OneDrive cho tài khoản công việc giữ trong thùng rác lâu hơn nhưng vẫn có thời hạn. Nếu phát hiện muộn, dữ liệu đã mất.
- Ransomware lan theo. Mã độc mã hoá file trên máy tính, ứng dụng đồng bộ đẩy bản đã mã hoá lên cloud. Tính năng lịch sử phiên bản có thể cứu được, nhưng khôi phục hàng nghìn file từng cái một là việc rất khó nếu không có công cụ.
- Tài khoản bị xoá khi nhân viên nghỉ. Quản trị viên Google Workspace hoặc Microsoft 365 xoá tài khoản mà quên chuyển quyền sở hữu dữ liệu, toàn bộ file của người đó có thể mất sau một khoảng thời gian ngắn.
- Phần mềm bán hàng, kế toán trên cloud. Nhà cung cấp có backup của họ để bảo vệ hệ thống của họ, không phải để trả lại cho bạn dữ liệu của một ngày cụ thể khi bạn lỡ xoá, hay khi bạn đổi nhà cung cấp.
Bước 0: liệt kê dữ liệu và mức mất mát chấp nhận được#
Trước khi chọn công cụ, trả lời hai câu cho từng nhóm dữ liệu: mất dữ liệu của bao lâu thì còn chịu được (RPO, Recovery Point Objective), và cần khôi phục trong bao lâu (RTO, Recovery Time Objective). Bảng dưới là ví dụ minh hoạ cho một công ty thương mại khoảng 15 người.
| Nhóm dữ liệu | Đang nằm ở đâu | Mất tối đa bao lâu | Cần lấy lại trong |
|---|---|---|---|
| Sổ sách kế toán | MISA SME cài trên máy chủ văn phòng | 1 ngày | Nửa ngày |
| Hợp đồng, hồ sơ pháp lý | Google Drive dùng chung | 1 ngày | 1 ngày |
| Dữ liệu bán hàng | KiotViet hoặc Sapo (cloud) | 1 tuần (xuất định kỳ) | Vài ngày |
| Thiết kế, ảnh sản phẩm | Ổ cứng máy designer | 1 ngày | 1–2 ngày |
| Google Workspace hoặc Microsoft 365 | 1 ngày | 1 ngày |
Bảng này quyết định tần suất: chịu mất một ngày thì sao lưu hằng đêm; không chịu nổi mất vài giờ thì cần snapshot nhiều lần trong ngày.
Ba kiến trúc backup phù hợp với SME#
Quy tắc 3-2-1 nghĩa là 3 bản dữ liệu (bản đang dùng và 2 bản sao), trên 2 loại lưu trữ khác nhau, có 1 bản ở ngoài văn phòng. Nhiều đơn vị bảo mật hiện khuyến nghị thêm một bản bất biến (immutable) hoặc ngoại tuyến để chống ransomware.
| Kiến trúc | Thành phần | Hợp với | Điểm cần lưu ý |
|---|---|---|---|
| A. Toàn cloud | Dữ liệu trên Google Workspace hoặc Microsoft 365, sao lưu sang một kho lưu trữ đối tượng ở nhà cung cấp khác (Backblaze B2, Wasabi, Amazon S3...) | Văn phòng nhỏ, làm việc từ xa, gần như không có file trên máy | Cần một công cụ sao lưu chạy trên cloud hoặc máy tính luôn bật |
| B. NAS kèm cloud | NAS (Synology, QNAP) trong văn phòng nhận bản sao từ máy tính, máy chủ và tài khoản cloud; NAS đẩy tiếp lên kho cloud | Có máy chủ kế toán, file thiết kế dung lượng lớn | NAS cần nguồn điện ổn định, nên có UPS |
| C. Kết hợp ổ ngoại tuyến | Kiến trúc A hoặc B, thêm ổ cứng rời luân phiên mang về nhà mỗi tuần | Doanh nghiệp lo ransomware, đường truyền yếu | Phụ thuộc người nhớ cắm và mang ổ đi |
Với doanh nghiệp không có IT, kiến trúc B thường dễ vận hành nhất: Synology có ứng dụng Active Backup cho máy tính Windows, cho Google Workspace và Microsoft 365, cộng Hyper Backup để đẩy bản sao lên cloud, đều cấu hình qua giao diện web.
Thiết lập cho từng nguồn dữ liệu#
Google Drive, Gmail (Google Workspace)#
Hướng thứ nhất là công cụ chuyên dụng như Active Backup for Google Workspace trên NAS Synology hoặc một dịch vụ sao lưu SaaS. Hướng thứ hai là rclone, công cụ dòng lệnh mã nguồn mở, chạy theo lịch để chép Drive sang kho khác. Không có người kỹ thuật thì nên chọn hướng thứ nhất vì khôi phục qua giao diện dễ hơn.
OneDrive, SharePoint, Outlook (Microsoft 365)#
Tương tự: dùng Active Backup for Microsoft 365 trên NAS, hoặc dịch vụ sao lưu M365 của bên thứ ba. Khi tạo kết nối, dùng một tài khoản quản trị riêng cho việc sao lưu, không dùng tài khoản của giám đốc.
Phần mềm kế toán cài trên máy#
Các phần mềm kế toán dạng cài đặt, ví dụ MISA SME bản desktop, lưu dữ liệu trong cơ sở dữ liệu trên máy chủ nội bộ và thường có chức năng sao lưu riêng. Cách làm: lên lịch sao lưu trong phần mềm (hoặc bằng công cụ của hệ quản trị cơ sở dữ liệu) ra một thư mục, rồi để NAS hoặc công cụ sao lưu chép thư mục đó đi. Kiểm tra với nhà cung cấp phần mềm cách sao lưu được khuyến nghị cho phiên bản bạn đang dùng.
Phần mềm bán hàng, kế toán trên cloud#
KiotViet, Sapo, Haravan, MISA AMIS chạy trên hạ tầng của nhà cung cấp. Phần bạn tự làm là xuất định kỳ khách hàng, hàng hoá, đơn hàng vào thư mục backup; nếu có API, n8n hoặc Make có thể tự xuất hằng tuần. Bản xuất này cũng giúp bạn chủ động khi đổi nhà cung cấp.
Máy tính nhân viên#
Quy định một thư mục làm việc duy nhất (thường là thư mục đồng bộ Drive hoặc OneDrive) cho mọi tài liệu công việc. Máy chứa file lớn như máy thiết kế thì cài agent sao lưu về NAS. Chứng từ nhận qua Zalo cần lưu ngay về thư mục chung.
Chống ransomware: bản sao không ai xoá được#
Ransomware hiện đại thường tìm và xoá bản sao lưu trước khi mã hoá dữ liệu chính. Ba biện pháp giúp bản sao sống sót:
- Bật khoá chống xoá (Object Lock) ở kho cloud. Backblaze B2, Wasabi và Amazon S3 đều hỗ trợ khoá đối tượng trong một khoảng thời gian, ví dụ 30 ngày. Trong thời gian đó, kể cả người có mật khẩu quản trị cũng không xoá được.
- Bật snapshot trên NAS và, nếu dòng máy hỗ trợ, chế độ snapshot bất biến. Snapshot giúp quay lại trạng thái trước khi bị mã hoá trong vài phút.
- Tách tài khoản. Tài khoản quản trị NAS và kho cloud không trùng với tài khoản đăng nhập máy tính hằng ngày, có bật xác thực hai lớp, mật khẩu lưu trong trình quản lý mật khẩu.
Thử khôi phục: lịch và checklist#
Một bản backup chưa từng khôi phục thử là một giả định, chưa phải bảo đảm. Lịch tối thiểu:
- Hằng ngày (tự động): công cụ sao lưu gửi email khi một tác vụ thất bại. Gửi tới hai người, không chỉ một.
- Hằng tháng (15 phút): chọn ngẫu nhiên vài file từ các nguồn khác nhau, khôi phục ra thư mục tạm, mở thử.
- Hằng quý (nửa ngày): khôi phục toàn bộ dữ liệu kế toán sang một máy khác và mở bằng phần mềm kế toán; ghi lại mất bao lâu để so với mục tiêu ở Bước 0.
Ghi kết quả vào một sheet (ngày, người làm, khôi phục gì, kết quả) để có bằng chứng khi đối tác hoặc kiểm toán hỏi.
Chi phí ước tính#
Phần này là minh hoạ dựa trên cấu hình phổ biến, không phải báo giá. Giá thiết bị và dịch vụ cloud thay đổi theo thời điểm và tỷ giá, nên kiểm tra bảng giá hiện hành.
- Kiến trúc A với vài trăm GB: phí kho lưu trữ đối tượng (tính theo TB mỗi tháng) cộng phí công cụ sao lưu nếu dùng bản trả phí. Ở dung lượng này, tổng chi phí thường ở mức vài trăm nghìn đồng mỗi tháng.
- Kiến trúc B: thêm chi phí một lần cho NAS 2 ổ, ổ cứng và UPS; chi phí hằng tháng tương tự A.
- Nhân công: khoảng nửa ngày thiết lập nếu có người hỗ trợ kỹ thuật, sau đó 15 phút mỗi tháng để thử khôi phục.
Dữ liệu khách hàng trong bản backup vẫn là dữ liệu cá nhân#
Bản sao lưu chứa danh sách khách hàng, số điện thoại, lịch sử mua hàng thì vẫn thuộc phạm vi Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân và Luật Bảo vệ dữ liệu cá nhân có hiệu lực từ 01/01/2026. Hệ quả thực tế: mã hoá bản backup, giới hạn người truy cập kho backup, và đặt thời hạn lưu giữ thay vì giữ vĩnh viễn. Bài thu thập dữ liệu khách hàng đúng luật giải thích các nghĩa vụ chính.
Sai lầm thường gặp#
- Ổ backup cắm thường trực vào máy chủ. Ransomware thấy ổ đó như một ổ đĩa bình thường và mã hoá luôn.
- Chỉ backup máy chủ, quên tài khoản cloud. Nhiều doanh nghiệp đã chuyển phần lớn tài liệu lên Drive nhưng hệ thống backup vẫn chỉ chép máy chủ cũ.
- Không ai đọc email cảnh báo. Cảnh báo gửi về hộp thư của người đã nghỉ việc, backup hỏng nhiều tháng không ai biết.
- Mật khẩu mã hoá backup chỉ một người biết. Người đó không liên lạc được thì bản backup vô dụng.
- Giữ quá ít phiên bản. Chỉ giữ bản của 7 ngày gần nhất, trong khi file hỏng được phát hiện sau 3 tuần.
Khi nào KHÔNG nên tự dựng hệ thống backup#
Tự dựng theo hướng dẫn trên hợp với phần lớn văn phòng nhỏ, nhưng có trường hợp nên giao cho đơn vị chuyên trách hoặc chọn dịch vụ được quản lý:
- Cơ sở dữ liệu chạy liên tục cần khôi phục đến từng phút, ví dụ hệ thống đặt hàng tự viết với nhiều giao dịch mỗi giờ. Cần sao lưu ở mức cơ sở dữ liệu và người hiểu cách khôi phục.
- Ngành có yêu cầu tuân thủ riêng như y tế, tài chính, nơi đối tác hoặc cơ quan quản lý yêu cầu quy trình, nhật ký và nơi lưu trữ cụ thể.
- Không có ai nhận và xử lý cảnh báo. Hệ thống tự động vẫn cần một người đọc email lỗi. Không giao được việc này thì nên thuê dịch vụ có giám sát.
- Toàn bộ dữ liệu đã nằm trong một phần mềm cloud có tính năng xuất đầy đủ, và doanh nghiệp chấp nhận rủi ro phụ thuộc nhà cung cấp. Lúc này, lịch xuất dữ liệu định kỳ là đủ, chưa cần NAS hay kho cloud riêng.
Câu hỏi thường gặp#
Bao lâu nên backup một lần?#
Theo mức mất dữ liệu chấp nhận được của từng nhóm. Với phần lớn SME, sao lưu hằng đêm cho tài liệu và kế toán là hợp lý, kèm snapshot vài lần trong ngày trên NAS cho thư mục làm việc chung. Dữ liệu bán hàng trên phần mềm cloud có thể xuất hằng tuần.
Ổ cứng rời có đủ thay cho backup cloud không?#
Ổ cứng rời là một bản sao tốt nếu được rút ra sau khi sao lưu và cất ở nơi khác văn phòng. Nhưng nó phụ thuộc người nhớ làm, dễ hỏng và dễ mất. Dùng ổ rời như bản thứ ba bổ sung, không nên là bản sao duy nhất ngoài văn phòng.
Có nên mã hoá bản backup không?#
Nên, nhất là bản đặt trên cloud hoặc ổ rời mang ra ngoài, vì bản backup chứa toàn bộ dữ liệu khách hàng và tài chính. Điều quan trọng đi kèm là quản lý khoá mã hoá: ít nhất hai người có quyền truy cập khoá, và khoá không lưu cùng chỗ với bản backup.
Làm sao biết backup đang chạy đúng?#
Dựa vào hai lớp kiểm tra. Lớp tự động là email cảnh báo khi tác vụ thất bại, gửi tới ít nhất hai người. Lớp thủ công là thử khôi phục vài file mỗi tháng và toàn bộ dữ liệu kế toán mỗi quý. Chỉ khi khôi phục được và mở được file, bạn mới chắc bản backup dùng được.
Nếu bạn chưa chắc dữ liệu của công ty đang nằm ở bao nhiêu nơi, hay muốn có người cùng lập danh sách nguồn và chọn kiến trúc sao lưu phù hợp, DsAI hỗ trợ việc này trong một buổi tư vấn hạ tầng dữ liệu.
