Xác thực đa yếu tố là gì?
Phương pháp bảo mật yêu cầu người dùng xác thực bằng nhiều yếu tố kết hợp: mật khẩu, OTP, sinh trắc học.
Thuật ngữ tiếng Anh: Multi-Factor Authentication (MFA)
Lĩnh vực: Công nghệ & Số hóa
Ba nhóm yếu tố xác thực và cách kết hợp
MFA hoạt động dựa trên nguyên tắc kết hợp ít nhất hai trong ba nhóm yếu tố, giúp giảm đáng kể rủi ro so với chỉ dùng mật khẩu:
- Yếu tố tri thức (Knowledge): thứ người dùng biết — mật khẩu, mã PIN, câu hỏi bảo mật. Đây là lớp bảo vệ quen thuộc nhất nhưng cũng dễ bị lộ qua phishing hoặc rò rỉ dữ liệu.
- Yếu tố sở hữu (Possession): thứ người dùng có — điện thoại nhận OTP qua SMS/ứng dụng Authenticator, thẻ smart card, token cứng. Khi kết hợp với mật khẩu, kẻ tấn công dù có mật khẩu cũng khó vượt qua lớp này.
- Yếu tố sinh trắc học (Inherence): thứ người dùng là — vân tay, nhận diện khuôn mặt, quét mống mắt. Đây là lớp khó giả mạo nhất và đang được nhiều ngân hàng tại Việt Nam ứng dụng trên app di động.
Một giao dịch chuyển tiền từ tài khoản doanh nghiệp có thể yêu cầu cả ba yếu tố: nhập mật khẩu (tri thức) + xác nhận OTP trên app ngân hàng (sở hữu) + quét vân tay (sinh trắc học).
Tại sao MFA đặc biệt quan trọng với doanh nghiệp SME
Với doanh nghiệp vừa và nhỏ, một vụ lộ mật khẩu email công ty hoặc tài khoản ngân hàng trực tuyến có thể gây thiệt hại tài chính trực tiếp và gián tiếp (mất dữ liệu khách hàng, bị giả mạo hợp đồng, lộ thông tin thẩm định tín dụng nội bộ). Bật MFA trên các hệ thống trọng yếu giúp SME giải quyết phần lớn rủi ro này mà không cần đầu tư hạ tầng bảo mật phức tạp:
- Email doanh nghiệp và tài khoản Google Workspace/Microsoft 365: Bật MFA bắt buộc cho toàn bộ nhân viên, đặc biệt kế toán và quản lý.
- Internet banking và mobile banking doanh nghiệp: Kênh thanh toán nhạy cảm nhất, nên kích hoạt OTP qua app và sinh trắc học.
- Tài khoản nền tảng quản lý bán hàng, sàn thương mại điện tử: Tránh bị chiếm quyền đổi tài khoản nhận tiền.
- Hệ thống kế toán điện toán đám mây (MISA, FAST, Base.vn…): Nơi lưu sổ sách và thông tin đối tác.
Lưu ý khi triển khai MFA cho nhân sự
MFA hiệu quả khi được áp dụng đồng bộ, không phải tùy chọn. Một số điểm doanh nghiệp SME thường vướng:
- Phương thức dự phòng: Luôn có ít nhất hai phương thức xác thực dự phòng (ví dụ: app OTP + số điện thoại dự phòng) để tránh bị khóa tài khoản khi mất thiết bị.
- Xác thực qua SMS không nên là lớp duy nhất: SIM swap là hình thức tấn công đã xuất hiện tại Việt Nam. Ưu tiên app Authenticator hoặc khóa bảo mật phần cứng cho giao dịch giá trị lớn.
- Đào tạo nhân viên: Một bộ phận kế toán/kho bị phishing vẫn có thể nhập OTP vào trang giả mạo. MFA chỉ chặn được khi cả tổ chức tuân thủ, không chỉ riêng quản lý.
- Cập nhật khi thay đổi thiết bị: Khi nhân viên đổi điện thoại, cần chuyển app Authenticator và số điện thoại nhận OTP sang thiết bị mới trước khi bàn giao thiết bị cũ.
Tham khảo: NIST Special Publication 800-63B (Digital Identity Guidelines) khuyến nghị kết hợp nhiều yếu tố xác thực là chuẩn mực bảo mật hiện hành.
Câu hỏi thường gặp
MFA khác 2FA như thế nào?
MFA là thuật ngữ chung cho việc kết hợp nhiều yếu tố xác thực; 2FA là trường hợp sử dụng đúng hai yếu tố, chẳng hạn mật khẩu kèm OTP.
Doanh nghiệp SME nên bật MFA cho hệ thống nào trước?
Nên ưu tiên email doanh nghiệp, dịch vụ lưu trữ đám mây, phần mềm kế toán, quản trị sàn thương mại điện tử và các tài khoản ngân hàng trực tuyến có liên quan đến tiền.
MFA có làm chậm quy trình đăng nhập không?
MFA bổ sung một bước xác thực nên có thể chậm hơn, nhưng ứng dụng xác thực, thiết bị đáng tin cậy hoặc khóa bảo mật giúp giảm bất tiện và tăng khả năng bảo vệ tài khoản.
Nhân viên mất điện thoại thì có truy cập tài khoản được không?
Doanh nghiệp cần thiết lập phương thức dự phòng và quy trình khôi phục tài khoản; không nên chỉ dựa vào SMS làm cơ chế dự phòng duy nhất.
Vay vốn kinh doanh
Hiểu rõ thuật ngữ tài chính giúp doanh nghiệp chuẩn bị hồ sơ vay vốn tốt hơn và tăng khả năng được phê duyệt khoản vay. Đăng ký so sánh lãi suất từ nhiều ngân hàng qua BizLoan.