Đăng nhập và phiên
Token đăng nhập có hạn, có cơ chế gia hạn, giới hạn đăng nhập sai và theo dõi phiên đang mở.
Trang chủ/Bảo mật dữ liệu
Bảo mật dữ liệu
Dữ liệu nhân sự và lương cần được kiểm soát từ đầu
Scarlet Sails HRM xử lý những dữ liệu nhạy cảm nhất của doanh nghiệp: hồ sơ nhân sự, CCCD, tài khoản ngân hàng, bảng công, công thức lương và phiếu lương. Vì vậy câu hỏi đầu tiên không phải là phần mềm có đẹp không, mà là dữ liệu nằm ở đâu, ai được xem và sửa gì.
Quyền sở hữu
Dữ liệu nằm ở nơi doanh nghiệp chọn
Hệ thống không bắt buộc đưa dữ liệu lương lên một đám mây dùng chung. Tùy quy định nội bộ, bạn có thể đặt ứng dụng trong công ty hoặc trên VPS riêng.
Máy chủ trong công ty
- Ứng dụng và cơ sở dữ liệu ở trong mạng nội bộ
- Phù hợp khi dữ liệu lương không được phép ra ngoài doanh nghiệp
- IT nội bộ kiểm soát sao lưu, tường lửa và tài khoản quản trị
VPS riêng của doanh nghiệp
- Một máy chủ phục vụ nhiều chi nhánh và ứng dụng di động
- Agent tại nhà máy đồng bộ log chấm công qua kênh mã hóa
- Dễ cho nhân viên truy cập ESS mà không mở hệ thống nội bộ ra Internet
Kiểm soát truy cập
Những lớp bảo vệ có trong hệ thống
Công ty được cấp quyền
Một tài khoản chỉ vào được công ty đã gán quyền. Dữ liệu nhóm công ty không bị lẫn khi người dùng đổi đơn vị làm việc.
Phạm vi phòng ban
Có thể giới hạn theo cây phòng ban, cấp dưới trực tiếp, hoặc chỉ hồ sơ của chính người dùng.
Trường nhạy cảm
Lương, tài khoản ngân hàng, CCCD và thông tin cá nhân được kiểm soát theo vai trò, không chỉ ẩn bằng giao diện.
Audit log
Thay đổi quan trọng được ghi vết để biết ai sửa, sửa lúc nào và dữ liệu trước/sau là gì.
Khóa kỳ
Kỳ công và kỳ lương sau khi chốt có lớp khóa, giảm rủi ro sửa nhầm sau khi đã dùng số liệu để trả lương.
Phê duyệt nhiều cấp
Nghỉ phép, tăng ca và các nghiệp vụ cần kiểm soát có luồng duyệt theo cấp, phòng ban hoặc nhân viên.
Sao lưu và phục hồi
Kế hoạch backup phụ thuộc mô hình triển khai. Với on-premise, IT nội bộ có thể giữ toàn quyền lịch sao lưu.
Dữ liệu nhạy cảm
Không phải trường nào cũng nên được xem như nhau
Trong HRM, dữ liệu "xem được" và dữ liệu "được quyền sửa" phải tách rõ. Một người quản lý có thể cần xem công của tổ, nhưng không nhất thiết được xem toàn bộ lương hoặc giấy tờ tùy thân.
| Nhóm dữ liệu | Rủi ro nếu mở rộng quá mức | Cách kiểm soát nên bật |
|---|---|---|
| Lương và phụ cấp | Lộ thu nhập, công thức lương, khoản khấu trừ cá nhân | Phân quyền theo vai trò, phạm vi dữ liệu, khóa kỳ lương |
| CCCD, địa chỉ, tài khoản ngân hàng | Lộ dữ liệu cá nhân, ảnh giấy tờ, thông tin thanh toán | Chỉ cấp cho nhóm nhân sự được phép, kiểm soát file upload và download |
| Log chấm công và chỉnh công | Sửa nhầm giờ vào/ra, mất dấu vết khi chốt công | Ghi vết trước/sau, quy trình duyệt, báo cáo bất thường |
| Tài khoản và phân quyền | Cấp quyền vượt phạm vi, tài khoản cũ còn hoạt động | Rà người dùng định kỳ, khóa tài khoản nghỉ việc, kiểm lịch sử đăng nhập |
Nói rõ trước
Những điều không nên để tới sau khi ký
Scarlet Sails đã có chứng chỉ ISO 27001 hoặc SOC 2 chưa?
Chưa nêu trên website vì chưa có bằng chứng công khai để công bố. Nếu hồ sơ mua sắm của bạn bắt buộc có chứng chỉ, hãy nói ngay từ đầu để hai bên xác định hướng phù hợp.
Xác thực hai lớp đã chạy thật chưa?
Chưa. Màn hình OTP/MFA đã có hướng thiết kế, nhưng chưa nên quảng cáo như tính năng chạy thật. Nếu bắt buộc cần 2FA, phần này phải đưa vào phạm vi triển khai.
Ai chịu trách nhiệm backup?
Phụ thuộc mô hình triển khai. Với máy chủ của doanh nghiệp, IT nội bộ giữ lịch backup chính; đội Scarlet Sails có thể hỗ trợ cấu hình, kiểm tra phục hồi và nhắc các thư mục file upload cần được sao lưu cùng database.
Có thể giới hạn người quản lý chỉ xem nhân viên của phòng mình không?
Có. Hệ thống có phạm vi dữ liệu theo cây phòng ban, cấp dưới trực tiếp hoặc chính nhân viên, áp dụng từ tầng máy chủ để giảm nguy cơ lộ dữ liệu qua thao tác kỹ thuật.
Đưa yêu cầu bảo mật vào buổi demo
Hãy gửi trước quy định IT, phạm vi dữ liệu và nhóm người dùng cần phân quyền. Demo sẽ bám theo đúng cách doanh nghiệp bạn muốn kiểm soát dữ liệu.