Quy trình Joiner - Mover - Leaver trong IT Helpdesk: Cấp, đổi và thu hồi quyền của nhân viên
Nhân viên mới đã bắt đầu làm việc nhưng chưa có tài khoản email, phần mềm hoặc thiết bị cần thiết. Nhân viên chuyển phòng ban vẫn giữ quyền truy cập vào dữ liệu của bộ phận cũ. Người đã nghỉ việc nhưng tài khoản SaaS hoặc VPN chưa được vô hiệu hóa. Đây là những tình huống có thể xảy ra khi thông tin nhân sự và hoạt động IT không được kết nối bằng một quy trình thống nhất.
Quy trình Joiner - Mover - Leaver (JML) giúp doanh nghiệp quản lý toàn bộ vòng đời truy cập của nhân viên, từ khi gia nhập (Joiner), thay đổi vai trò (Mover) đến khi nghỉ việc (Leaver). Mỗi thay đổi cần được HR thông báo, người có thẩm quyền phê duyệt, IT Helpdesk thực hiện và lưu lại bằng chứng hoàn tất.
Mục tiêu không chỉ là cấp quyền nhanh hơn mà còn hạn chế tài khoản mồ côi, quyền truy cập tồn dư và những khoảng trống trách nhiệm giữa các bộ phận.
Quy trình Joiner - Mover - Leaver (JML) trong IT Helpdesk là gì và vì sao doanh nghiệp cần chuẩn hóa?
Joiner – Mover – Leaver là quy trình quản lý các thay đổi về tài khoản, quyền truy cập và thiết bị CNTT theo vòng đời làm việc của nhân viên.
Quy trình gồm ba giai đoạn:
Joiner (Gia nhập): Tạo tài khoản, cấp quyền sử dụng ứng dụng và chuẩn bị thiết bị cho nhân viên mới.
Mover (Thay đổi vai trò): Điều chỉnh quyền khi nhân viên chuyển phòng ban, thay đổi vị trí hoặc nhận trách nhiệm mới.
Leaver (Nghỉ việc): Vô hiệu hóa tài khoản, thu hồi quyền truy cập, xử lý dữ liệu công việc và bàn giao thiết bị.
Ba giai đoạn có yêu cầu khác nhau nhưng cùng cần một nguyên tắc: mọi thay đổi quyền phải xuất phát từ yêu cầu hợp lệ, có phê duyệt phù hợp và được xác nhận sau khi thực hiện.
Vì sao xử lý thủ công dễ phát sinh rủi ro?
Ở nhiều mô hình vận hành, HR quản lý thông tin nhân sự, Manager xác định nhu cầu công việc còn IT phụ trách tài khoản và thiết bị. Khi các bộ phận không có luồng phối hợp rõ ràng, thông tin dễ bị chậm hoặc thiếu.
Chẳng hạn, HR thông báo nhân viên nghỉ việc qua email nhưng không xác định chính xác thời điểm chấm dứt truy cập. IT có thể khóa tài khoản email nhưng bỏ sót ứng dụng SaaS sử dụng thông tin đăng nhập riêng.
Kết quả là tài khoản không còn người sử dụng hợp lệ vẫn tồn tại, gây khó khăn cho quản lý và kiểm tra bảo mật.
Theo CIS Controls v8 – Safeguard 6.1 và 6.2, tổ chức cần thiết lập quy trình cấp và thu hồi quyền truy cập khi nhân sự gia nhập, thay đổi vai trò hoặc chấm dứt làm việc.
Vì vậy, chuẩn hóa JML cần được xem là một phần của vận hành IT hằng ngày, không chỉ là nhiệm vụ quản trị tài khoản. Doanh nghiệp có thể tìm hiểu thêm về vai trò của IT Helpdesk trong hỗ trợ người dùng và vận hành CNTT để xác định phạm vi công việc phù hợp.
Trigger từ HR: Điểm khởi đầu của quy trình JML
Một quy trình JML hiệu quả phải bắt đầu từ sự kiện nhân sự được ghi nhận chính thức, thay vì chờ nhân viên hoặc quản lý phát hiện thiếu quyền rồi yêu cầu IT xử lý.
Trigger từ HR là thông báo được gửi khi có quyết định tuyển dụng, điều chuyển, thay đổi trách nhiệm hoặc chấm dứt làm việc. Thông báo này kích hoạt những công việc IT tương ứng.
HR cần cung cấp những thông tin gì?
Để IT Helpdesk xử lý chính xác, yêu cầu tối thiểu nên bao gồm:
Mã nhân viên hoặc định danh nội bộ duy nhất.
Họ tên, phòng ban và chức danh.
Quản lý trực tiếp hoặc người chịu trách nhiệm xác nhận.
Loại yêu cầu: Joiner, Mover hoặc Leaver.
Ngày, giờ thay đổi có hiệu lực.
Địa điểm làm việc và nhu cầu thiết bị.
Những thông tin đặc thù cần thiết cho việc xử lý quyền.
Đối với Mover, HR cần ghi rõ vai trò cũ và vai trò mới. Đối với Leaver, thời điểm chấm dứt truy cập phải được xác định đủ chính xác, đặc biệt với các trường hợp cần xử lý khẩn cấp.
Các thông tin không liên quan đến việc cấp quyền, chẳng hạn lý do nghỉ việc mang tính cá nhân, không nên tự động chia sẻ rộng rãi cho Helpdesk.
Ai phê duyệt và ai thực hiện?
HR không nhất thiết có thẩm quyền quyết định nhân viên được truy cập mọi ứng dụng. Tương tự, IT Helpdesk không nên tự cấp quyền nhạy cảm chỉ dựa trên một tin nhắn yêu cầu.
Mô hình phân công đề xuất:
HR: Xác nhận sự kiện nhân sự, thông tin chính thức và thời điểm hiệu lực.
Manager: Xác nhận nhu cầu truy cập phù hợp với vị trí và nhiệm vụ công việc.
Chủ sở hữu hệ thống: Phê duyệt quyền truy cập đặc biệt hoặc dữ liệu nhạy cảm theo chính sách.
IT Helpdesk: Kiểm tra yêu cầu, thực hiện thay đổi kỹ thuật, cập nhật ticket và lưu bằng chứng.
Luồng quy trình:
HR phát sinh thông báo Joiner, Mover hoặc Leaver.
Helpdesk tiếp nhận và tạo ticket theo định danh nhân viên.
Manager xác nhận nhu cầu hoặc phạm vi thay đổi quyền.
Chủ sở hữu hệ thống phê duyệt bổ sung nếu cần.
IT thực hiện cấp, điều chỉnh hoặc thu hồi quyền.
IT kiểm tra kết quả và lưu bằng chứng.
Người có trách nhiệm xác nhận hoàn tất trước khi đóng ticket.
Các trường hợp không đủ thông tin hoặc chưa được phê duyệt phải có trạng thái chờ rõ ràng, người chịu trách nhiệm xử lý tiếp và cơ chế chuyển cấp khi quá hạn.
Riêng yêu cầu thu hồi truy cập khẩn cấp, doanh nghiệp cần có quy trình được phê duyệt trước để không phụ thuộc vào việc chờ phê duyệt cấp quyền thông thường.
Joiner: Quy trình cấp tài khoản và thiết bị cho nhân viên mới
Giai đoạn Joiner quyết định nhân viên có thể bắt đầu công việc đúng thời điểm hay không.
Một quy trình onboarding tài khoản nhân viên hiệu quả cần phối hợp giữa HR, Manager và IT trước ngày làm việc đầu tiên, đồng thời bảo đảm quyền được cấp phù hợp với nhu cầu thực tế.
Bước 1: Tiếp nhận yêu cầu và xác minh thông tin
IT Helpdesk tiếp nhận ticket từ HR, kiểm tra định danh nhân viên, ngày bắt đầu làm việc, bộ phận và người phê duyệt.
Nếu thông tin chưa đầy đủ, ticket phải được trả về để bổ sung trước khi thực hiện các thao tác yêu cầu phê duyệt.
Bước 2: Xác định quyền theo vai trò
Manager xác nhận các ứng dụng, nhóm truy cập và tài nguyên nhân viên cần sử dụng.
Ví dụ, nhân viên kinh doanh có thể cần email doanh nghiệp, CRM và thư mục tài liệu bán hàng, nhưng không mặc nhiên cần quyền truy cập hệ thống kế toán hoặc dữ liệu nhân sự.
Nguyên tắc quan trọng là chỉ cấp quyền cần thiết để thực hiện nhiệm vụ, thay vì sao chép toàn bộ quyền của một nhân viên khác mà không rà soát.
Bước 3: Tạo tài khoản và cấu hình truy cập
Tùy hạ tầng doanh nghiệp, IT có thể cần:
Tạo hoặc kích hoạt tài khoản định danh doanh nghiệp.
Cấp email và các ứng dụng được phê duyệt.
Thêm nhân viên vào nhóm quyền phù hợp.
Thiết lập xác thực đa yếu tố (MFA) khi áp dụng.
Cấu hình quyền truy cập VPN hoặc tài nguyên nội bộ nếu công việc yêu cầu.
Các tài khoản ngoài hệ thống đăng nhập tập trung cần được ghi nhận riêng để tránh bị bỏ sót khi nhân viên thay đổi vai trò hoặc nghỉ việc.
Bước 4: Chuẩn bị và bàn giao thiết bị
Tài khoản đã tạo không đồng nghĩa nhân viên sẵn sàng làm việc.
IT cần chuẩn bị máy tính, cài đặt phần mềm cần thiết, kiểm tra cấu hình bảo mật và gắn thiết bị với hồ sơ người sử dụng.
Biên bản bàn giao nên ghi nhận mã tài sản, tình trạng thiết bị, phụ kiện đi kèm và người nhận.
Bước 5: Kiểm tra khả năng sử dụng thực tế
Helpdesk cần xác minh rằng nhân viên đăng nhập được vào các ứng dụng thiết yếu và có quyền truy cập đúng phạm vi được duyệt.
Nếu ứng dụng chưa được cấp phép hoặc tài khoản chưa hoạt động, ticket cần thể hiện hạng mục còn tồn đọng và người phụ trách.
Tiêu chí hoàn tất Joiner: Nhân viên có đủ tài khoản, quyền truy cập và thiết bị đã được phê duyệt, có xác nhận bàn giao và không còn lỗi cản trở công việc chính trong phạm vi yêu cầu.
Mover: Thay đổi vai trò phải đi kèm rà soát và thu hồi quyền cũ
Mover thường là giai đoạn dễ bị xem nhẹ trong quy trình joiner mover leaver IT.
Khi nhân viên chuyển phòng ban, doanh nghiệp có xu hướng tập trung cấp quyền cho vị trí mới mà quên rà soát quyền đã có. Sau nhiều lần điều chuyển, một người có thể tích lũy quyền truy cập vượt quá nhu cầu công việc hiện tại.
Không chỉ cấp thêm quyền mới
Giả sử một nhân viên chuyển từ phòng kinh doanh sang phòng vận hành.
Theo vai trò mới, nhân viên cần truy cập hệ thống quản lý vận hành nhưng có thể không còn cần quyền xem toàn bộ dữ liệu CRM của bộ phận kinh doanh.
Nếu IT chỉ bổ sung quyền mới, những quyền cũ không cần thiết vẫn tồn tại.
Để tránh tình trạng này, yêu cầu Mover cần xác định ba nhóm quyền:
Quyền giữ lại: Vẫn cần thiết trong công việc mới.
Quyền bổ sung: Phục vụ nhiệm vụ mới và đã được phê duyệt.
Quyền thu hồi: Không còn nhu cầu sử dụng hoặc không còn phù hợp với trách nhiệm hiện tại.
Các bước xử lý Mover
Bước 1: HR gửi thông báo điều chuyển cùng ngày hiệu lực.
Bước 2: Manager mới xác định quyền cần thiết cho vị trí mới.
Bước 3: Manager cũ hoặc chủ sở hữu hệ thống phối hợp xác định quyền cũ cần thu hồi.
Bước 4: IT Helpdesk đối chiếu quyền hiện tại với quyền được phê duyệt.
Bước 5: IT thực hiện bổ sung và thu hồi quyền theo thời điểm thống nhất.
Bước 6: Kiểm tra kết quả, ghi nhận ngoại lệ và đóng ticket sau khi hoàn tất đối soát.
Trường hợp nhân viên cần giữ một số quyền cũ để bàn giao công việc, quyền đó nên có lý do, người phê duyệt và ngày hết hạn rõ ràng. Không nên để quyền tạm thời tồn tại vô thời hạn.
Điều này phù hợp với kiểm soát PS-5 Personnel Transfer trong NIST SP 800-53 Rev. 5, trong đó nhấn mạnh việc rà soát nhu cầu truy cập hiện tại và điều chỉnh quyền khi nhân sự được chuyển sang vị trí khác.
Tiêu chí hoàn tất Mover: Nhân viên sử dụng được tài nguyên phục vụ vai trò mới, quyền cũ không còn cần thiết đã được thu hồi và mọi ngoại lệ đều có thời hạn kiểm soát.
Leaver: Quy trình offboarding tài khoản nhân viên và thu hồi quyền truy cập khi nghỉ việc
Leaver là giai đoạn đặc biệt quan trọng đối với kiểm soát truy cập. Một nhân viên có thể đã hoàn tất thủ tục nghỉ việc với HR nhưng vẫn còn tài khoản hoạt động trên hệ thống doanh nghiệp.
Vì vậy, offboarding IT không nên chỉ dừng ở việc thu hồi máy tính hoặc khóa tài khoản email.
Xác định chính xác thời điểm chấm dứt truy cập
HR cần thông báo ngày, giờ nghỉ việc có hiệu lực và loại tình huống cần xử lý.
Với trường hợp nghỉ việc theo kế hoạch, IT có thể chuẩn bị danh sách tài khoản, quyền truy cập và thiết bị cần xử lý trước thời điểm đã được thống nhất.
Với trường hợp chấm dứt khẩn cấp, quy trình phải có đầu mối quyết định rõ ràng để vô hiệu hóa truy cập kịp thời, không chờ hoàn tất toàn bộ thủ tục bàn giao thông thường.
Thu hồi quyền trên các hệ thống liên quan
IT Helpdesk cần đối chiếu danh sách tài khoản đang được quản lý, bao gồm:
Tài khoản đăng nhập doanh nghiệp và email.
VPN, Remote Desktop và các hình thức truy cập từ xa.
Ứng dụng SaaS, CRM và phần mềm nghiệp vụ.
Thư mục chia sẻ, hệ thống lưu trữ và nhóm phân quyền.
Tài khoản quản trị riêng hoặc quyền đặc biệt được cấp.
Các ứng dụng không sử dụng đăng nhập tập trung.
Quyền truy cập hệ thống của đối tác nếu thuộc phạm vi doanh nghiệp quản lý.
Ngoài vô hiệu hóa tài khoản, IT cần xem xét thu hồi phiên đăng nhập, token, khóa truy cập và các phương thức xác thực liên quan theo khả năng của từng hệ thống.
Một điểm cần chú ý là khóa tài khoản định danh trung tâm không mặc nhiên bảo đảm mọi ứng dụng bên ngoài đều đã ngừng truy cập.
Xử lý thiết bị và dữ liệu công việc
Thiết bị được cấp cho nhân viên cần được thu hồi, kiểm tra và cập nhật trạng thái trong hệ thống quản lý tài sản.
Đối với dữ liệu công việc, doanh nghiệp cần xác định ai có quyền tiếp nhận email, tệp tin hoặc tài nguyên đang được nhân viên quản lý.
Việc chuyển giao phải theo chính sách và phê duyệt phù hợp, tránh tự ý mở toàn bộ dữ liệu cá nhân hoặc thông tin không cần thiết cho mục đích bàn giao.
Tài khoản cũng không nhất thiết phải bị xóa ngay sau khi nghỉ việc. Trong một số trường hợp, doanh nghiệp cần vô hiệu hóa truy cập nhưng tiếp tục lưu giữ hồ sơ hoặc log trong thời hạn cho phép.
CIS Controls – Safeguard 6.2 cũng lưu ý rằng việc vô hiệu hóa thay vì xóa tài khoản có thể cần thiết để bảo toàn dấu vết kiểm tra.
Làm sao tránh tài khoản mồ côi?
Tài khoản mồ côi là tài khoản vẫn tồn tại nhưng không còn được gắn với một người dùng hoặc chủ thể quản lý hợp lệ, hoặc không còn được quản lý đúng cách.
Để hạn chế tình trạng này, doanh nghiệp nên đối chiếu định kỳ danh sách nhân viên còn hiệu lực từ HR với danh sách tài khoản trên các hệ thống quan trọng.
Những tài khoản không khớp cần được kiểm tra, xác định chủ sở hữu và xử lý theo chính sách.
Đặc biệt, tài khoản dùng chung, tài khoản dịch vụ hoặc tài khoản do nhân viên cũ từng quản lý cần được xem xét riêng, thay vì xóa hoặc vô hiệu hóa hàng loạt mà không đánh giá tác động.
Tiêu chí hoàn tất Leaver: Các quyền truy cập thuộc phạm vi được xác định đã được vô hiệu hóa hoặc thu hồi đúng hạn; thiết bị và dữ liệu công việc được xử lý theo quy định; những ngoại lệ còn lại có người phụ trách và thời hạn giải quyết.
Audit trail: Làm sao chứng minh quyền đã được cấp, đổi hoặc thu hồi đúng quy trình?
Một quy trình JML không thể được đánh giá đầy đủ nếu chỉ dựa vào trạng thái ticket “Completed”.
Doanh nghiệp cần biết ai yêu cầu, ai phê duyệt, IT đã thực hiện những gì, lúc nào và kết quả có được kiểm tra hay không.
Đây là vai trò của audit trail, tức chuỗi hồ sơ và dấu vết cho phép truy lại quá trình xử lý.
Những thông tin cần lưu trong ticket JML
Một ticket nên liên kết được các thông tin sau:
Mã ticket và mã nhân viên.
Loại yêu cầu Joiner, Mover hoặc Leaver.
Thông báo hoặc căn cứ yêu cầu từ HR.
Người phê duyệt cùng thời điểm phê duyệt.
Danh sách hệ thống và quyền cần thay đổi.
Người thực hiện và thời điểm thao tác.
Kết quả thực hiện trên từng hệ thống.
Bằng chứng kiểm tra và trạng thái ngoại lệ.
Người xác nhận nghiệm thu và thời điểm đóng ticket.
Tùy công cụ và chính sách bảo mật, bằng chứng có thể là bản ghi thay đổi quyền, log hệ thống, mã tác vụ tự động hoặc xác nhận kiểm tra của người có trách nhiệm.
Không nên đưa mật khẩu, mã khôi phục MFA, token hoặc thông tin nhạy cảm không cần thiết vào ticket.
Checklist nghiệm thu JML
Checklist tham khảo để áp dụng trước khi đóng ticket:
|
Checklist cần được điều chỉnh theo loại yêu cầu. Chẳng hạn, Joiner có tiêu chí bàn giao thiết bị, trong khi Leaver tập trung vào thu hồi quyền và xác nhận xử lý tài sản.
Đối với quyền không thể thu hồi ngay vì phụ thuộc nhà cung cấp hoặc hệ thống bên ngoài, ticket cần được giữ ở trạng thái phù hợp và ghi rõ biện pháp giảm thiểu rủi ro.
Đưa quy trình JML vào vận hành Helpdesk như thế nào?
Sau khi thiết kế các bước JML, doanh nghiệp cần biến quy trình thành hoạt động có thể thực hiện và giám sát hằng ngày.
Nếu yêu cầu vẫn được gửi phân tán qua email cá nhân hoặc nhóm chat mà không có đầu mối theo dõi, việc kiểm soát thời hạn và trách nhiệm sẽ gặp nhiều khó khăn.
Chuẩn hóa ticket và SLA cho từng giai đoạn
Hệ thống Helpdesk nên có ba loại yêu cầu riêng: Joiner, Mover và Leaver, với biểu mẫu, người phê duyệt và tiêu chí nghiệm thu tương ứng.
Mục tiêu xử lý không nhất thiết giống nhau.
Joiner cần được hoàn tất đủ sớm để nhân viên có thể làm việc theo kế hoạch. Mover cần đồng bộ việc bổ sung quyền mới với thu hồi quyền cũ. Leaver cần ưu tiên thời điểm chấm dứt truy cập, đặc biệt trong trường hợp khẩn cấp.
Doanh nghiệp có thể áp dụng SLA IT Helpdesk để xác định thời gian phản hồi, xử lý và chuyển cấp yêu cầu. Tuy nhiên, SLA phải phân biệt thời gian Helpdesk chủ động xử lý với thời gian chờ HR, Manager hoặc chủ sở hữu hệ thống phê duyệt.
Theo dõi hiệu quả qua ba KPI
Để đánh giá quy trình, doanh nghiệp có thể bắt đầu bằng ba chỉ số:
1. Tỷ lệ Joiner sẵn sàng đúng hạn
Số yêu cầu Joiner hoàn tất các hạng mục thiết yếu trước thời điểm đã cam kết, chia cho tổng số yêu cầu Joiner hợp lệ trong kỳ.
2. Tỷ lệ Leaver thu hồi quyền đúng hạn
Số trường hợp Leaver hoàn tất thu hồi các quyền nằm trong phạm vi kiểm soát trước hoặc tại thời hạn quy định, chia cho tổng số trường hợp đến hạn.
3. Tỷ lệ Mover được rà soát quyền cũ
Số yêu cầu Mover có bằng chứng rà soát và xử lý quyền cũ, chia cho tổng số yêu cầu Mover cần thực hiện trong kỳ.
Các KPI cần có định nghĩa thống nhất về yêu cầu hợp lệ, thời điểm bắt đầu tính và ngoại lệ để tránh đánh giá sai hiệu quả.
Khi doanh nghiệp có IT nội bộ hoặc sử dụng Helpdesk thuê ngoài
Quy trình JML không bắt buộc phải do một nhóm IT thực hiện toàn bộ.
Trong mô hình kết hợp, HR và Manager vẫn phụ trách nguồn dữ liệu nhân sự và phê duyệt. IT nội bộ có thể giữ quyền kiểm soát các hệ thống quan trọng, trong khi Helpdesk thuê ngoài thực hiện các thao tác đã được phân quyền và ghi nhận ticket.
Điểm quan trọng là nhà cung cấp không được tự quyết định quyền nhạy cảm ngoài thẩm quyền đã thống nhất.
Doanh nghiệp có thể tham khảo phương án phối hợp IT nội bộ với IT Helpdesk thuê ngoài để xác định phạm vi giao việc và trách nhiệm quản lý.
Nếu chuẩn bị đưa nhà cung cấp Helpdesk mới vào vận hành, doanh nghiệp cũng cần thống nhất dữ liệu tài khoản, quy trình phê duyệt và mốc nghiệm thu. Những nội dung này được trình bày chi tiết hơn trong hướng dẫn onboarding dịch vụ IT Helpdesk trong 30 ngày.
Chuẩn hóa quy trình cấp và thu hồi quyền cùng IPSIP Việt Nam
Nếu doanh nghiệp đang gặp khó khăn trong việc phối hợp HR–IT, quản lý tài khoản nhân viên hoặc theo dõi các yêu cầu hỗ trợ, dịch vụ IT Helpdesk của IPSIP có thể là một phương án để chuẩn hóa hoạt động tiếp nhận, phân công và xử lý ticket theo SLA phù hợp.
Tổng kết lại, để triển khai hiệu quả quy trình JML, doanh nghiệp cần tập trung vào ba yếu tố: trigger nhân sự chính xác, trách nhiệm phê duyệt và thực hiện rõ ràng, cùng bằng chứng kiểm tra sau mỗi thay đổi.
Khi các yếu tố này được tích hợp vào hệ thống ticket và SLA, doanh nghiệp có thể giảm tình trạng cấp quyền chậm, hạn chế quyền truy cập tồn dư và nâng cao khả năng kiểm soát tài khoản trong toàn bộ quá trình nhân sự làm việc tại doanh nghiệp.
Nguồn tham khảo:
1. CIS Critical Security Controls v8 – Control 6, Access Control Management
2. NIST SP 800-53 Rev. 5 – Security and Privacy Controls for Information Systems and Organizations
