71% nhân viên thừa nhận đã mang dữ liệu khi nghỉ việc (Tessian 2023). File Excel không có phân quyền dòng, không kiểm soát sao chép, không có nhật ký truy cập. 60% doanh nghiệp nhỏ đóng cửa trong 6 tháng sau sự cố rò rỉ dữ liệu (Cybersecurity Ventures). 3 lỗ hổng bảo mật + so sánh Excel vs Web App cuối bài.
Thứ Sáu, trưởng nhóm nộp đơn.
Thứ Hai, ổng đã ở công ty đối thủ.
Danh sách 5,000 khách hàng — số điện thoại, địa chỉ, lịch sử mua, chiết khấu — ổng mang theo hết.
File Google Sheets dùng chung. Ai cũng có thể mở. Ai cũng có thể tải xuống.
Không có nhật ký truy cập. Không có bằng chứng pháp lý. Không làm được gì.
2 tháng sau — 25% khách hàng đại lý ra đi.
Câu hỏi không phải "có xảy ra không" — mà là "khi nào".
Quản lý dữ liệu là bài toán sống còn. Với doanh nghiệp SME, danh sách khách hàng chính là dòng máu. Tuy nhiên, phần lớn đơn vị vẫn giao phó tài sản này cho các file Excel chia sẻ trực tuyến.
Theo báo cáo Verizon DBIR 2022, 82% sự cố bảo mật liên quan đến con người. Đó có thể là sự vô ý, lạm dụng quyền hạn hoặc lòng tham. Khi dữ liệu nằm trong tệp Excel dùng chung, nguy cơ rò rỉ dữ liệu khách hàng luôn hiện hữu.
Hơn 50% cuộc tấn công mạng nhắm vào doanh nghiệp vừa và nhỏ (Cybersecurity Ventures 2020). Trong đó, mối nguy hiểm lớn nhất lại đến từ nội bộ. Sự lỏng lẻo trong bảo mật file Excel nội bộ là cơ hội cho các hành vi gian lận xảy ra.
Theo IBM Cost of a Data Breach Report 2025, chi phí trung bình một vụ rò rỉ dữ liệu lên tới $4.4 triệu. Đối với doanh nghiệp nhỏ, tổn thất này có thể quét sạch mọi thành quả kinh doanh.
Cybersecurity Ventures cảnh báo 60% doanh nghiệp nhỏ phải đóng cửa sau 6 tháng xảy ra sự cố rò rỉ dữ liệu lớn. Rõ ràng, việc bảo vệ thông tin khách hàng không thể thực hiện bằng những công cụ thiếu tính bảo mật.
Lỗ Hổng 1: Ai Mở File = Thấy Hết — Không Có Phân Quyền Dòng
Excel hoàn toàn không có khái niệm phân quyền dòng dữ liệu.
Khi bạn chia sẻ file cho sales — họ thấy toàn bộ thông tin. Họ thấy khách hàng của mình. Họ thấy khách hàng của đồng nghiệp. Họ thấy cả chính sách chiết khấu riêng biệt.
Bạn không thể giới hạn quyền hiển thị. Nhân viên sales A vẫn nhìn thấy danh sách của nhân viên sales B. Sự thiếu riêng tư này tạo ra kẽ hở lớn cho việc đánh cắp thông tin.
Khi nhân viên nghỉ việc, họ đã nắm toàn bộ thông tin từ trước. Họ không cần hack file. Họ không cần phá khóa mật khẩu. Họ chỉ cần nhớ hoặc chụp lại màn hình.
Nghiên cứu từ Carnegie Mellon CERT chỉ ra 81% hành vi đánh cắp dữ liệu nội bộ được lên kế hoạch trước. Nhân viên đã chuẩn bị âm thầm từ nhiều tháng trước khi nộp đơn nghỉ.
Bên cạnh đó, việc nhân viên thấy toàn bộ dữ liệu dễ dẫn đến tình trạng tranh chấp khách hàng. Các nhân sự bán hàng tự ý sử dụng thông tin của nhau. Việc này gây mất đoàn kết nội bộ và giảm hiệu suất chung của phòng kinh doanh.
Nhiều kế toán và chủ shop cố gắng bảo mật bằng cách đặt mật khẩu trang tính (Protect Sheet). Tuy nhiên, mật khẩu Excel có thể bị bẻ khóa trong vài giây bằng công cụ miễn phí. Protect Sheet không phải bảo mật — nó là ảo giác bảo mật.
Microsoft Security Documentation xác nhận mật khẩu Excel sử dụng cơ chế mã hóa rất yếu. Các công cụ bẻ khóa trực tuyến dễ dàng bypass lớp khóa này mà không gặp trở ngại nào.
Nếu doanh nghiệp bạn chưa thể nâng cấp hệ thống, kế toán có thể áp dụng giải pháp tình thế. Hãy tách danh sách khách hàng thành nhiều file Excel riêng biệt theo từng nhân sự và đặt mật khẩu mở file mạnh cho từng tệp.
Cách này giúp hạn chế bớt tầm nhìn của nhân viên. Nhưng nó lại gây khó khăn cho việc quản lý tập trung. Dữ liệu bị xé nhỏ làm mất đi bức tranh tổng thể của doanh nghiệp bạn.
Lỗ Hổng 2: Ai Cũng Có Thể Tải Xuống — Không Thể Chặn
Khi chia sẻ file Excel qua Drive, bạn cấp quyền chỉnh sửa cho nhân viên.
Điều này đồng nghĩa với việc họ có toàn quyền tải xuống. Chỉ cần một click chuột vào nút Download, toàn bộ danh sách 5,000 khách hàng đã nằm gọn trong USB cá nhân.
Doanh nghiệp bạn không thể ngăn chặn hành vi tải xuống này. Excel trực tuyến hay Google Sheets dùng chung đều thiếu tính năng kiểm soát quyền xuất file chặt chẽ.
Tessian 2023 cho biết 71% nhân viên thừa nhận mang theo dữ liệu khi rời công ty. Họ xem đó là "tài sản cá nhân" tích lũy được trong quá trình làm việc.
81% vụ đánh cắp dữ liệu nội bộ xuất phát từ mục đích tài chính (Carnegie Mellon CERT). Họ mang danh sách khách hàng sang công ty mới để nhanh chóng có doanh số. Hoặc họ bán thông tin cho các đối thủ cạnh tranh để nhận lợi ích.
Hậu quả là doanh nghiệp bạn mất đi lợi thế cạnh tranh cốt lõi. Khách hàng đại lý lâu năm đột ngột chuyển sang mua hàng của đối thủ. Bạn rơi vào tình thế bị động mà không biết lý do.
Tương tự như việc tính lương bằng Excel dễ gây lộ thu nhập, quản lý khách hàng bằng Excel trực tiếp đe dọa sự sinh tồn của doanh nghiệp bạn. Mất khách hàng đồng nghĩa với việc mất dòng thu và gây thất thoát dòng tiền do Excel.
Một case study điển hình tại Hàn Quốc năm 2018 (Samsung Securities) cho thấy sự nguy hiểm của việc thiếu kiểm soát dữ liệu. Một nhân viên nhập nhầm dữ liệu đầu vào trên hệ thống thiếu kiểm soát, gây thiệt hại vốn hóa 300 triệu USD chỉ trong vài giờ.
Doanh nghiệp vừa và nhỏ thường chủ quan nghĩ mình không bị nhắm tới. Nhưng thực tế, hơn 50% cuộc tấn công nhắm vào các SME vì hệ thống phòng thủ của họ quá yếu ớt.
Nếu chưa thể chuyển đổi ngay, quản lý nên thiết lập quyền giới hạn trên Google Sheets. Hãy tắt tính năng cho phép người xem và người nhận xét tải xuống, in hoặc sao chép file dữ liệu.
Lỗ Hổng 3: Không Biết Ai Đã Làm Gì — Không Có Nhật Ký
Excel hoàn toàn thiếu tính năng nhật ký lưu vết thay đổi dữ liệu và nhật ký truy cập.
Khi một nhân viên tải file về máy cá nhân lúc nửa đêm, bạn không hề biết. Khi ai đó xuất toàn bộ dữ liệu ra ngoài, hệ thống không để lại dấu vết.
Không có công cụ ghi nhận: Ai đã mở file? Lúc nào? Họ đã xem những thông tin gì? Bạn hoàn toàn mù thông tin trước mọi hành vi của nhân viên.
Khi xảy ra rò rỉ, doanh nghiệp bạn không có bằng chứng pháp lý. Bạn nghi ngờ nhân sự nghỉ việc nhưng không thể chứng minh. Bạn không thể khởi kiện hay đòi bồi thường vì thiếu dữ liệu đối soát.
Theo Carnegie Mellon CERT, 80% hành vi đánh cắp dữ liệu nội bộ xảy ra ngay trong giờ làm việc. Nhân sự thực hiện công khai ngay trước mắt quản lý nhưng không bị phát hiện nhờ kẽ hở của Excel.
Microsoft Office Documentation xác nhận Excel không hỗ trợ audit logging hay phân quyền theo vai trò. Công cụ này được thiết kế cho mục đích cá nhân, không phải để quản lý tài sản chung.
Báo cáo của UK ICO 2019 chỉ ra 90% sự cố bảo mật bắt nguồn từ sai sót của người dùng cuối. Trong đó, 65% trường hợp mất dữ liệu là do gửi nhầm email chứa file đính kèm (Proofpoint/Tessian 2023).
Chỉ cần kế toán gửi nhầm một file Excel danh sách khách hàng cho đối tác khác, toàn bộ thông tin bảo mật lập tức bị phơi bày. Bạn không thể thu hồi hoặc xóa file từ xa một khi nó đã được tải xuống.
Để hạn chế rủi ro này, kế toán cần tích hợp chặt chẽ việc kiểm soát truy cập Excel. Doanh nghiệp bạn nên chỉ định một nhân sự chịu trách nhiệm cập nhật và quản lý file gốc duy nhất.
Tất cả nhân viên khác chỉ được quyền yêu cầu cung cấp thông tin khi cần thiết. Tuy nhiên, cách này làm chậm tiến độ công việc và gây phiền hà cho đội ngũ kinh doanh.
Để giải quyết triệt để, doanh nghiệp bạn nên tìm hiểu cơ chế hoạt động của nhật ký lưu vết thay đổi dữ liệu trên các hệ thống chuyên dụng. Đây là chìa khóa để thiết lập sự minh bạch trong kiểm soát nội bộ.
So sánh giải pháp bảo mật giữa Excel và hệ thống Web App
Việc tiếp tục sử dụng Excel dùng chung giống như việc cất vàng trong tủ kính không khóa. Hãy đối chiếu chi tiết cơ chế bảo mật giữa hai giải pháp:
📊 Bảng: So sánh tính năng an toàn dữ liệu giữa Excel và Web App chuyên dụng
| Tiêu chí bảo mật | Bảng tính Excel dùng chung | Hệ thống Web App chuyên dụng |
|---|---|---|
| Phân quyền hiển thị | Không có. Mọi nhân viên mở file đều thấy toàn bộ thông tin khách hàng. | Phân quyền theo dòng. Nhân sự chỉ thấy dữ liệu khách hàng được giao phụ trách. |
| Kiểm soát sao chép | Không thể chặn. Nhân viên dễ dàng copy toàn bộ cột dữ liệu chỉ trong vài giây. | Chặn bôi đen, chặn copy. Ẩn số điện thoại gốc trên giao diện hiển thị. |
| Kiểm soát xuất file | Không thể chặn tải xuống bản sao. Ai có quyền xem đều có thể download file. | Chặn chức năng tải xuống. Chỉ tài khoản Admin tối cao mới có quyền export dữ liệu. |
| Nhật ký truy cập | Không có. Không thể biết ai đã xem, sửa hay xuất dữ liệu ra ngoài. | Tự động ghi nhận chi tiết: Ai đã truy cập, lúc nào, thực hiện thao tác gì. |
| Quyền khi nhân viên nghỉ | Không thể thu hồi file Excel đã lưu trên máy cá nhân của nhân viên trước đó. | Thu hồi quyền truy cập tức thời chỉ bằng một click khóa tài khoản trên hệ thống. |
| Bằng chứng pháp lý | Không có. Dữ liệu dễ dàng bị thay đổi mà không lưu lại lịch sử gốc. | Nhật ký lưu trữ trên server độc lập, không thể chỉnh sửa hay xóa vết. |
Quyết định duy trì vận hành trên Excel hay nâng cấp hệ thống phụ thuộc vào quy mô dữ liệu của doanh nghiệp bạn. Nếu tệp khách hàng còn nhỏ dưới 50 liên hệ, Excel vẫn đáp ứng được nhu cầu cơ bản.
Nhưng khi số lượng khách hàng tăng lên hàng ngàn, việc bảo mật danh sách khách hàng đòi hỏi giải pháp chuyên nghiệp hơn. Doanh nghiệp bạn có thể kết hợp dữ liệu này với tệp quản lý kho bằng Excel để đồng bộ hóa hoạt động kinh doanh trước khi tiến hành chuyển đổi.
Danh sách khách hàng của doanh nghiệp bạn đang nằm trong bao nhiêu file Excel? Và bao nhiêu người có thể mở nó? 3 lỗ hổng bảo mật trên cần được nhận diện và khắc phục ngay lập tức, trước khi dữ liệu của bạn ra đi cùng nhân sự nghỉ việc.
Câu Hỏi Thường Gặp
Mức độ khó khăn khi bảo mật file Excel nội bộ
Nếu chỉ cần che mắt tạm thời thì không khó. Bạn có thể dùng Protect Sheet, ẩn cột số điện thoại hoặc đặt mật khẩu mở file. Tuy nhiên, nếu muốn bảo mật thật sự như chặn tải xuống, ghi nhật ký truy cập chi tiết và phân quyền dòng dữ liệu thì Excel hoàn toàn không làm được. Do đó, doanh nghiệp bạn cần nâng cấp lên hệ thống Web App chuyên dụng để đảm bảo an toàn tuyệt đối cho tài sản số của mình.
Cách nhận biết nhân viên đã sao chép dữ liệu khách hàng
Với file Excel dùng chung thì không thể biết được do công cụ này không tích hợp tính năng ghi vết nhật ký. Ngược lại, khi sử dụng Web App chuyên dụng có audit trail, mọi hành động xem, sửa, xóa hoặc xuất file đều được ghi nhận chi tiết trên server. Nếu nhân viên có hành vi truy cập dữ liệu bất thường hoặc cố tình tải danh sách hàng loạt trước khi nghỉ việc, hệ thống sẽ tự động phát cảnh báo cho quản lý kiểm tra.
Thời điểm doanh nghiệp cần chuyển sang hệ thống có phân quyền
Doanh nghiệp bạn cần thực hiện chuyển đổi ngay khi xuất hiện 3 dấu hiệu: (1) Danh sách dữ liệu vượt quá 500 khách hàng hoạt động, (2) Từng xảy ra sự cố nhân viên nghỉ việc mang dữ liệu khách hàng sang đối thủ cạnh tranh, (3) Có nhiều nhân sự cùng truy cập và chia sẻ chung một tệp dữ liệu trực tuyến. Khi đó, việc sử dụng Excel dùng chung đã chạm ngưỡng giới hạn an toàn và đe dọa trực tiếp đến hoạt động kinh doanh.
Danh sách khách hàng của bạn có đang an toàn?
File Excel không có phân quyền dòng, không có nhật ký, không thể chặn tải xuống. Bài viết phân tích chi phí thực sự và lộ trình chuyển đổi sang hệ thống có kiểm soát.
Đọc: Chuyển Đổi Excel Lên Web App
