CRM bảo mật dữ liệu: 7 câu hỏi nên hỏi nhà cung cấp trước khi chọn

Mình đang được giao so sánh vài phần mềm quản lý khách hàng cho công ty, và yêu cầu số một của sếp là "phải bảo mật". Vấn đề là nhà cung cấp nào cũng nói mình bảo mật. Sau một thời gian đọc tài liệu, mình gom lại thành một bộ tiêu chí để hỏi thẳng nhà cung cấp khi chọn CRM bảo mật dữ liệu. Chia sẻ ở đây để mọi người dùng lại hoặc bổ sung.

CRM bảo mật dữ liệu nghĩa là gì?​

Hiểu đơn giản, đó là CRM được xây dựng để bảo đảm ba thuộc tính: tính bí mật (chỉ người có quyền mới xem), tính toàn vẹn (dữ liệu không bị sửa trái phép) và tính sẵn sàng (cần là truy cập được). Bảo mật là việc của hai bên: nhà cung cấp lo hạ tầng, sao lưu, mã hóa; doanh nghiệp lo phân quyền, quy trình và đào tạo nhân viên. Bài phân tích mình tham khảo là bài viết về CRM bảo mật dữ liệu trên website Getfly.

Bảy câu hỏi mình sẽ hỏi nhà cung cấp​

1. Dữ liệu được mã hóa thế nào? Hỏi rõ mã hóa khi lưu trữ (tiêu chuẩn thường được nhắc là AES-256) và khi truyền tải (TLS 1.2 trở lên). Có hỗ trợ che hoặc mã hóa riêng các trường nhạy cảm như số điện thoại, email không?
2. Phân quyền chi tiết đến đâu? Theo vai trò, phòng ban, đến từng trường dữ liệu và từng hồ sơ không? Có giới hạn theo IP hay giờ làm việc không? Nguyên tắc cần có là "đặc quyền tối thiểu": ai cần gì xem nấy.
3. Có xác thực đa yếu tố không? Ít nhất với tài khoản quản trị.
4. Nhật ký thao tác có chỉnh sửa được không? Mọi thao tác xem, sửa, xóa, xuất dữ liệu phải được ghi lại, và log không được phép bị can thiệp. Hỏi luôn log được lưu bao lâu.
5. Sao lưu và khôi phục ra sao? Sao lưu bao lâu một lần, lưu ở đâu, đã thử khôi phục chưa, mất bao lâu để phục hồi?
6. Có chứng chỉ gì? Ví dụ ISO/IEC 27001 về hệ thống quản lý an toàn thông tin. Nên xin bản chứng nhận thay vì chỉ nghe giới thiệu.
7. Máy chủ đặt ở đâu? Đặt tại Việt Nam thường thuận lợi hơn khi đáp ứng các quy định về lưu trữ dữ liệu trong nước. Nếu máy chủ ở nước ngoài, doanh nghiệp cần tìm hiểu thêm nghĩa vụ liên quan đến chuyển dữ liệu xuyên biên giới.

Sáu rủi ro thực tế, không phải chỉ hacker​

1. Nhân viên nghỉ việc tải dữ liệu mang đi: khóa quyền xuất file từ đầu, che số điện thoại, vô hiệu hóa tài khoản ngay khi nghỉ.
2. Lừa đảo nhắm vào nhân viên: bật xác thực đa yếu tố, đào tạo nhận diện email giả mạo.
3. Thiếu mã hóa: máy chủ bị xâm nhập là lộ toàn bộ.
4. Tích hợp API không an toàn: kết nối tổng đài, website, Zalo, Facebook đều là cửa ngõ; cần xoay vòng khóa API, giới hạn IP.
5. Ransomware và thiếu sao lưu: áp dụng sao lưu 3-2-1 và định kỳ thử khôi phục.
6. Không lưu được bằng chứng sự đồng ý của khách: rủi ro pháp lý theo Luật Bảo vệ dữ liệu cá nhân có hiệu lực từ 01/01/2026.

Bảo mật là để quản lý được dữ liệu, không phải để khóa chặt​

Một điều mình nhận ra: CRM bảo mật tốt không phải là CRM khóa hết mọi thứ, mà là CRM giúp dữ liệu được dùng đúng người, đúng việc. Bài viết trên Báo Phú Thọ về cách quản lý data khách hàng nói khá rõ cách cân bằng giữa khai thác và bảo vệ dữ liệu.
Trên diễn đàn mình cũng từng có hai bài liên quan mọi người có thể đọc thêm: lưu trữ dữ liệu trên CRM và on-premise CRM là gì.

Bảng chấm điểm mình đang dùng​

• Phân quyền chi tiết, che trường nhạy cảm: 25%
• Nhật ký thao tác không sửa được: 20%
• Mã hóa và xác thực đa yếu tố: 20%
• Sao lưu, khôi phục đã kiểm thử: 15%
• Chứng chỉ, vị trí máy chủ: 10%
• Hỗ trợ quy trình đồng ý của khách hàng: 10%

Trọng số là do mình tự đặt theo ưu tiên công ty, mọi người nên điều chỉnh theo ngành. Ai muốn xem demo thực tế các tính năng phân quyền có thể tìm video của Getfly CRM.
Câu hỏi cho mọi người: khi chọn CRM, các bạn có hỏi nhà cung cấp về nhật ký thao tác và sao lưu không? Có tiêu chí nào mình còn thiếu không?