Bảo mật wifi văn phòng: tách mạng khách, WPA3, chặn thiết bị lạ

📌 Bảo mật wifi văn phòng: những vấn đề doanh nghiệp đang gặp

Ở nhiều văn phòng vừa và nhỏ, bảo mật wifi văn phòng chỉ dừng ở một mật khẩu chung. Mật khẩu này được đưa cho khách, đối tác, shipper, nhân viên thời vụ; hai năm sau vẫn không đổi. Tất cả thiết bị, từ laptop kế toán tới camera, máy in, tivi phòng họp, nằm chung một mạng phẳng.

Những tình huống điển hình kỹ thuật viên thường gặp khi khảo sát:

• Một SSID cho tất cả: khách ngồi phòng chờ có thể nhìn thấy thư mục chia sẻ, máy in và cả giao diện camera.
• Router và access point dùng mật khẩu quản trị mặc định, firmware chưa cập nhật nhiều năm.
• WPS vẫn bật, chuẩn mã hóa còn để chế độ tương thích cũ.
• Nhân viên tự cắm thêm router, phát wifi riêng cho tiện, tạo cửa sau không ai quản lý.
• Không ai biết đang có bao nhiêu thiết bị kết nối mạng, thiết bị nào lạ.

Không vấn đề nào ở trên quá phức tạp để khắc phục, nhưng chúng thường bị bỏ qua vì mạng vẫn chạy bình thường mỗi ngày.

❗ Rủi ro nếu bỏ qua bảo mật wifi trong văn phòng

Wifi là cửa trước của mạng nội bộ. Khi cửa này lỏng, hậu quả không chỉ là bị dùng ké băng thông:

• Lộ dữ liệu nội bộ: thư mục chia sẻ không đặt quyền, ổ NAS mở cho mọi máy trong mạng; ai vào được wifi là duyệt được hợp đồng, bảng lương, dữ liệu khách hàng.
• Mã độc lây lan ngang: một laptop của khách nhiễm mã độc có thể quét và tấn công các máy khác cùng mạng, nhất là máy chưa cập nhật Windows. Ransomware mã hóa dữ liệu thường bắt đầu từ những đường lây như vậy.
• Camera, máy in bị chiếm quyền: thiết bị IoT ít khi được cập nhật, dễ bị dùng làm bàn đạp.
• Giả mạo điểm phát: kẻ xấu dựng một SSID trùng tên để bắt nhân viên kết nối nhầm.
• Trách nhiệm pháp lý: nếu mạng văn phòng bị dùng để thực hiện hành vi vi phạm, doanh nghiệp khó chứng minh ai đã truy cập khi không có nhật ký.

Chi phí khắc phục sau sự cố, gồm thời gian ngừng việc, khôi phục dữ liệu và uy tín với khách hàng, thường lớn hơn nhiều lần chi phí phòng ngừa ban đầu.

📌 Phạm vi giải pháp bảo mật wifi văn phòng

Một giải pháp đầy đủ không chỉ đổi mật khẩu mà xử lý theo lớp. Tùy quy mô và ngân sách, doanh nghiệp có thể chọn làm toàn bộ hoặc từng phần, nhưng nên ưu tiên theo thứ tự trong bảng.

Nguyên tắc chung

Ai cần gì thì chỉ thấy cái đó. Khách chỉ ra Internet, camera chỉ nói chuyện với đầu ghi, nhân viên mới thấy máy chủ file.

🛠️ Quy trình khảo sát và triển khai bảo mật wifi văn phòng

PCTech triển khai theo 5 bước, ưu tiên không làm gián đoạn công việc:

1. Khảo sát hiện trạng: liệt kê router, access point, switch, kiểm tra firmware, chuẩn mã hóa, số SSID, dải IP; quét danh sách thiết bị đang kết nối và đánh dấu thiết bị chưa xác định.
2. Báo cáo và báo giá trước: gửi danh sách rủi ro theo mức độ, đề xuất hạng mục, thiết bị cần thay nếu đã quá cũ không hỗ trợ VLAN hay WPA3; chỉ làm khi doanh nghiệp duyệt.
3. Triển khai: cấu hình VLAN, SSID mới, chính sách tường lửa giữa các mạng; thường làm ngoài giờ hoặc cuối tuần.
4. Kiểm tra cùng doanh nghiệp: thử từ mạng khách xem có truy cập được máy in, thư mục chia sẻ hay không; kiểm tra phần mềm nội bộ, máy chấm công, camera vẫn chạy.
5. Bàn giao và hướng dẫn: giao sơ đồ mạng, tài liệu mật khẩu, hướng dẫn lễ tân cách cấp wifi khách; bảo hành theo hạng mục trên phiếu.

📌 Mật khẩu và mạng khách: làm sao vừa an toàn vừa tiện?

Phần khó nhất của bảo mật wifi văn phòng không nằm ở kỹ thuật mà ở thói quen. Nếu quy trình quá rườm rà, nhân viên sẽ tìm cách lách. Vài cách cân bằng thực tế:

• Mạng khách mật khẩu đổi định kỳ theo tuần hoặc tháng, in mã QR đặt ở quầy lễ tân. Khách quét là vào, không cần đọc mật khẩu dài.
• Cô lập máy khách trên mạng khách: các thiết bị khách không nhìn thấy nhau, chỉ đi ra Internet.
• Giới hạn băng thông cho mạng khách để một người tải video không làm chậm cả văn phòng.
• Mạng nội bộ dùng mật khẩu mạnh, từ 16 ký tự, không dán lên tường, đổi khi có nhân sự nghỉ việc.
• Văn phòng từ khoảng 30 người nên cân nhắc tài khoản riêng từng người qua 802.1X, nghỉ việc thì khóa tài khoản, không phải đổi mật khẩu cho cả công ty.

Máy in và máy chấm công nằm trong VLAN riêng; nhân viên vẫn in được nhờ quy tắc cho phép chiều đi, khách thì không.

📌 SLA và báo cáo định kỳ trong dịch vụ bảo mật wifi

Bảo mật không phải việc làm một lần. Firmware có lỗ hổng mới, nhân viên thay đổi, thiết bị mới được cắm vào. Vì vậy PCTech khuyên doanh nghiệp đi kèm gói theo dõi định kỳ.

Mức ưu tiên xử lý được thống nhất trong hợp đồng, ví dụ:

• Ưu tiên cao: mất kết nối toàn văn phòng, nghi ngờ truy cập trái phép. Kỹ thuật viên phản hồi sớm nhất, hỗ trợ từ xa trước rồi có mặt tận nơi khi cần.
• Ưu tiên trung bình: một khu vực yếu sóng, một nhóm máy không vào được mạng.
• Ưu tiên thấp: thêm SSID, đổi mật khẩu, cấp thêm tài khoản.

Báo cáo định kỳ thường gồm: danh sách thiết bị kết nối mới, firmware đã cập nhật, thay đổi cấu hình, cảnh báo phát hiện điểm phát lạ và khuyến nghị cho kỳ tới. Thời gian phản hồi cụ thể phụ thuộc vị trí và gói dịch vụ, được ghi rõ trong hợp đồng thay vì một con số cam kết chung.

💰 Mô hình chi phí bảo mật wifi văn phòng

Chi phí phụ thuộc vào hiện trạng thiết bị và mức độ doanh nghiệp muốn đạt. Có ba cách tính phổ biến:

• Theo dự án: khảo sát, cấu hình lại một lần, bàn giao. Phù hợp văn phòng nhỏ đã có thiết bị đủ tốt.
• Theo gói tháng: theo dõi, cập nhật firmware, xử lý sự cố, báo cáo định kỳ; tính theo số thiết bị mạng hoặc số người dùng.
• Theo giờ công: cho các yêu cầu phát sinh ngoài gói.

Nếu access point hoặc router quá cũ không hỗ trợ VLAN, WPA3, cần thêm chi phí thiết bị. Giá tham khảo hiển thị ở bảng giá ngay trong bài và trang bảng giá; PCTech báo giá chi tiết sau khảo sát, xuất hóa đơn VAT.

✅ Checklist bảo mật wifi văn phòng cho chủ doanh nghiệp

Bạn không cần là dân kỹ thuật để tự đánh giá nhanh. Hãy hỏi người phụ trách IT hoặc tự kiểm tra các câu sau:

• Mạng khách và mạng nội bộ có tách riêng chưa? Khách có nhìn thấy máy in của công ty không?
• Mật khẩu wifi nội bộ đổi lần gần nhất khi nào? Có đổi sau khi nhân viên nghỉ việc không?
• Mật khẩu trang quản trị router còn là mặc định không? Ai đang giữ?
• Firmware router, access point cập nhật lần cuối khi nào?
• WPS đã tắt chưa? Chuẩn mã hóa có phải WPA2-AES hoặc WPA3 không?
• Có ai tự cắm router, bộ phát riêng trong văn phòng không?
• Có danh sách thiết bị được phép kết nối và người chịu trách nhiệm không?

Nếu từ ba câu trở lên bạn trả lời ‘không biết’ hoặc ‘chưa’, đó là dấu hiệu nên khảo sát lại hệ thống.

📌 Ví dụ triển khai cho văn phòng 10, 30 và 50 người

Các ví dụ dưới đây là giả định để bạn hình dung, không phải cấu hình cố định cho mọi văn phòng.

Văn phòng 10 người

Một router có hỗ trợ mạng khách, một hoặc hai access point. Tách SSID khách có cô lập máy khách, đổi mật khẩu quản trị, tắt WPS, cập nhật firmware. Máy in đặt IP tĩnh.

Văn phòng 30 người

Router doanh nghiệp, switch quản lý được, 3–5 access point quản lý tập trung. Ba VLAN: nội bộ, khách, thiết bị (camera, máy in, máy chấm công). Mật khẩu khách xoay vòng hằng tháng, có mã QR ở lễ tân.

Văn phòng 50 người

Thêm xác thực 802.1X theo tài khoản nhân viên, phát hiện điểm phát giả, nhật ký kết nối lưu tập trung. Báo cáo định kỳ hằng tháng cho quản lý. Đây là quy mô nên có hợp đồng bảo trì để không phụ thuộc một cá nhân.

❓ Câu hỏi thường gặp

📌 Dịch vụ và bài viết liên quan

• Chia VLAN cho văn phòng: tách camera, Wi-Fi khách, kế toán an toàn
• Cấu hình firewall cho doanh nghiệp: chặn đúng, mở đủ, có nhật ký rõ
• Kéo dây mạng văn phòng, nhà ở TP.HCM: đi gọn, dán nhãn, test đủ
• Lắp đặt switch mạng văn phòng: chọn đúng loại, đủ PoE, cấu hình gọn
• Cấu hình router tận nơi TP.HCM: Internet ổn định, Wi-Fi an toàn hơn
• Hỗ trợ IT cho doanh nghiệp TP.HCM: từ xa, tận nơi và theo gói tháng
• Giám sát hệ thống IT doanh nghiệp: biết sự cố trước khi ngừng việc
• Dịch vụ thi công mạng PCTech tại TP.HCM

Thông tin doanh nghiệp, chính sách bảo hành và quy trình làm việc: Dữ kiện về PCTech.