Lưu giấy tờ tuỳ thân của khách: 5 việc doanh nghiệp nhỏ nên làm
Khi phải lưu giấy tờ tuỳ thân của khách theo luật chống rửa tiền mới, doanh nghiệp nhỏ nên xem đây là dữ liệu có rủi ro cao và lập kế hoạch bảo mật ngay từ đầu. Năm việc nên làm trước gồm liệt kê giấy tờ đang lưu, chỉ giữ những gì luật yêu cầu, hạn chế người truy cập, bật xác thực hai lớp và soạn sẵn quy trình xử lý khi lộ dữ liệu.
Theo Security Brief Australia (ngày 29/10/2026), luật chống rửa tiền mở rộng buộc nhiều doanh nghiệp nhỏ, như văn phòng kế toán hay công ty môi giới bất động sản, phải thu thập và lưu hộ chiếu, bằng lái xe của khách hàng. Với nhiều doanh nghiệp gốc Việt, đây có thể là lần đầu phải xây dựng quy trình riêng cho loại dữ liệu này.
Những ý chính
- Luật chống rửa tiền mở rộng khiến hộ chiếu, bằng lái của khách nằm rải rác ở nhiều doanh nghiệp nhỏ, tạo thêm mục tiêu cho tội phạm mạng.
- Theo Security Brief Australia, doanh nghiệp có doanh thu dưới 3 triệu AUD vẫn có thể bị phạt theo Đạo luật Quyền riêng tư (Privacy Act).
- Cuộc điều tra của Quốc hội Úc ghi nhận phần lớn sự cố an ninh mạng ở doanh nghiệp vừa và nhỏ đến từ lỗi con người có thể phòng tránh.
- Theo ước tính của hãng bảo hiểm QBE, chỉ khoảng 20% doanh nghiệp vừa và nhỏ ở Úc có bảo hiểm an ninh mạng; bảo hiểm không thay thế được việc phòng ngừa.
Những ý chính
Vì sao luật chống rửa tiền mới làm tăng rủi ro dữ liệu cho doanh nghiệp nhỏ?
Các chuyên gia an ninh mạng được Security Brief Australia dẫn lời nhận định dữ liệu danh tính nay nằm rải rác ở nhiều doanh nghiệp nhỏ. Mỗi doanh nghiệp lưu hộ chiếu, bằng lái của khách sẽ trở thành thêm một mục tiêu cho tội phạm mạng.
Hộ chiếu và bằng lái thường bị dùng để mạo danh, mở tài khoản hoặc vay tiền dưới tên người khác. Khác với mật khẩu, khách hàng khó đổi số giấy tờ ngay sau khi bị lộ, nên thiệt hại có thể kéo dài.
Cần lưu ý, Security Brief Australia cho rằng doanh nghiệp có doanh thu dưới 3 triệu AUD cũng có thể bị phạt theo Đạo luật Quyền riêng tư. Nhiều doanh nghiệp nhỏ lâu nay nghĩ mình nằm ngoài phạm vi của luật này, vì vậy nên kiểm tra lại nghĩa vụ của mình.
Dù vậy, luật chống rửa tiền nhằm ngăn dòng tiền bất hợp pháp, và kiểm tra danh tính khách là nghĩa vụ bắt buộc, không thể né tránh. Rủi ro chủ yếu không nằm ở khâu thu thập, mà ở cách doanh nghiệp lưu giữ giấy tờ sau đó.
Doanh nghiệp nhỏ thường để lộ giấy tờ của khách ở đâu?
Theo Michael West Media (ngày 3/11/2026), cuộc điều tra của Quốc hội Úc về an ninh mạng cho doanh nghiệp vừa và nhỏ chỉ ra phần lớn sự cố đến từ lỗi con người có thể phòng tránh, chứ không phải từ các cuộc tấn công tinh vi.
Với giấy tờ tuỳ thân của khách, lỗi thường nằm ở thói quen làm việc hằng ngày:
- Nhận qua kênh khó kiểm soát: khách chụp hộ chiếu gửi qua email hoặc ứng dụng nhắn tin, bản sao nằm lại trong nhiều hộp thư và điện thoại.
- Lưu ở thư mục chung: bản scan để trong thư mục mà mọi nhân viên, kể cả nhân viên thời vụ, đều mở được.
- Không xác định thời hạn lưu: giấy tờ của khách cũ vẫn nằm trên máy, không ai đối chiếu với thời hạn luật yêu cầu.
- Dùng chung tài khoản: cả văn phòng dùng một email, một mật khẩu và không bật xác thực hai lớp.
Ví dụ (tình huống giả định): một văn phòng kế toán nhận ảnh chụp bằng lái của khách qua ứng dụng nhắn tin, nhân viên lưu vào điện thoại cá nhân rồi tải lên thư mục chung. Chỉ một lần nhận hồ sơ đã tạo ra ít nhất ba bản sao nằm ngoài tầm kiểm soát.
Bảo hiểm an ninh mạng có đủ để bảo vệ doanh nghiệp?
Theo ước tính của hãng bảo hiểm QBE được dẫn trong cuộc điều tra của Quốc hội Úc, chỉ khoảng 20% doanh nghiệp vừa và nhỏ ở Úc có bảo hiểm an ninh mạng.
Bảo hiểm có thể hỗ trợ chi phí khắc phục sau sự cố. Tuy nhiên, bảo hiểm không lấy lại được dữ liệu đã lộ và khó bù đắp niềm tin của khách hàng.
Chi phí ẩn thường nằm ở thời gian xử lý: liên hệ từng khách, làm việc với cơ quan quản lý, rà soát lại hệ thống. Với doanh nghiệp chỉ có vài nhân sự, những việc này có thể làm gián đoạn công việc chính trong một thời gian.
Cách lưu giấy tờ tuỳ thân của khách an toàn: 5 việc nên làm
1. Liệt kê giấy tờ đang lưu và nơi lưu
Doanh nghiệp nên lập danh sách loại giấy tờ, nơi lưu (email, máy tính, điện thoại, hồ sơ giấy) và người có quyền mở. Không biết dữ liệu nằm ở đâu thì không thể bảo vệ.
2. Chỉ giữ những gì luật yêu cầu
Thu thập thêm “để phòng khi cần” sẽ làm thiệt hại lớn hơn nếu bị lộ. Doanh nghiệp nên đối chiếu nghĩa vụ chống rửa tiền để biết cần lưu thông tin gì, lưu bao lâu, rồi xoá các bản sao thừa.
3. Hạn chế người truy cập
Chỉ nhân viên trực tiếp kiểm tra danh tính mới cần mở hồ sơ. Khi nhân viên nghỉ việc, doanh nghiệp cần thu hồi quyền truy cập ngay.
4. Bật xác thực hai lớp
Xác thực hai lớp yêu cầu thêm một bước xác nhận ngoài mật khẩu, chẳng hạn mã gửi về điện thoại. Doanh nghiệp nên áp dụng cho email, kho lưu trữ đám mây và phần mềm quản lý khách hàng.
5. Soạn sẵn quy trình xử lý khi lộ dữ liệu
Quy trình cần nêu rõ ai chịu trách nhiệm, khoá tài khoản nào, liên hệ ai để được tư vấn pháp lý và thông báo cho khách ra sao. Soạn trước khi có sự cố giúp doanh nghiệp tránh những quyết định vội vàng.
Đội ngũ Holdrix hỗ trợ doanh nghiệp rà soát nơi lưu dữ liệu, thiết lập phân quyền và soạn quy trình xử lý sự cố qua dịch vụ Tư vấn công nghệ.
Dịch vụ Tư vấn công nghệ của Holdrix
Quy trình làm việc của Holdrix
Doanh nghiệp nên bắt đầu từ đâu?
- Chỉ định một người chịu trách nhiệm về dữ liệu khách hàng.
- Rà soát mọi kênh khách đang dùng để gửi giấy tờ, chọn một kênh nhận hồ sơ chính thức có kiểm soát.
- Gom bản sao về một nơi lưu duy nhất, phân quyền và xoá phần thừa.
- Bật xác thực hai lớp cho mọi tài khoản chứa dữ liệu khách.
- Hướng dẫn nhân viên nhận biết các lỗi thường gặp nêu trên.
- Soạn quy trình xử lý sự cố ngắn gọn và rà soát lại định kỳ.
Khi nào chưa cần đầu tư phần mềm riêng?
Doanh nghiệp có ít khách cần kiểm tra danh tính thường chưa cần phần mềm riêng. Phân quyền đúng trên công cụ đang dùng, bật xác thực hai lớp và có quy trình rõ ràng đã xử lý được nhiều lỗi thường gặp.
Khi số hồ sơ tăng, nhiều nhân viên cùng xử lý hoặc dữ liệu nằm ở nhiều hệ thống, doanh nghiệp nên cân nhắc giải pháp lưu trữ tập trung có ghi lại lịch sử truy cập.
Câu hỏi thường gặp
Doanh nghiệp doanh thu dưới 3 triệu AUD có bị phạt theo Đạo luật Quyền riêng tư không?
Theo Security Brief Australia, doanh nghiệp có doanh thu dưới 3 triệu AUD vẫn có thể bị phạt theo Đạo luật Quyền riêng tư (Privacy Act). Doanh nghiệp nên hỏi ý kiến luật sư để biết nghĩa vụ cụ thể của mình.
Có nên nhận hộ chiếu của khách qua email không?
Email thông thường khó kiểm soát số bản sao được lưu lại. Doanh nghiệp nên dùng một kênh nhận hồ sơ có phân quyền và xoá bản sao trong hộp thư sau khi đã lưu.
Bảo hiểm an ninh mạng có thay thế được biện pháp bảo mật không?
Bảo hiểm an ninh mạng không thay thế được biện pháp bảo mật. Bảo hiểm có thể hỗ trợ chi phí sau sự cố, nhưng không ngăn được việc dữ liệu của khách bị lộ.
Tóm lại
Luật chống rửa tiền mở rộng biến nhiều doanh nghiệp nhỏ thành nơi lưu dữ liệu danh tính, loại dữ liệu tội phạm mạng thường nhắm tới. Phần lớn rủi ro đến từ lỗi con người, nên doanh nghiệp cần có quy trình rõ ràng và phân quyền chặt chẽ trước khi sự cố xảy ra.
Holdrix lo phần công nghệ. Khách hàng tập trung việc kinh doanh.
Doanh nghiệp đang lưu hộ chiếu, bằng lái của khách nhưng chưa rõ ai được truy cập và dữ liệu nằm ở đâu? Đặt lịch tư vấn
Bài viết chỉ mang tính thông tin chung, không phải tư vấn pháp lý, thuế hoặc di trú.
Tư vấn bảo mật dữ liệu khách hàng có phù hợp với doanh nghiệp của bạn?
Liên hệ với đội ngũ Holdrix để nghe tư vấn và tìm ra giải pháp hợp lý cho doanh nghiệp bạn.
Doanh nghiệp bạn nên bắt đầu từ đâu?
Liên hệ với đội ngũ Holdrix để nghe tư vấn và tìm ra giải pháp hợp lý cho doanh nghiệp bạn.