ĐỀ CƯƠNG TIỂU LUẬN: SỰ TIẾN HÓA TỪ QUYỀN SỞ HỮU CÁ NHÂN (DAC) ĐẾN VAI TRÒ TỔ CHỨC (RBAC) TRONG QUẢN TRỊ NHÂN SỰ HIỆN ĐẠI

1. MỞ ĐẦU

• Lý do chọn đề tài: Trong kỷ nguyên chuyển đổi số, dữ liệu là tài sản quý giá nhất của doanh nghiệp. Việc chuyển dịch từ quản trị quyền hạn dựa trên cá nhân (DAC) sang dựa trên vai trò (RBAC) không chỉ là sự thay đổi kỹ thuật mà là một cuộc cách mạng trong tư duy quản trị nhân sự hiện đại.

• Mục tiêu: Phân tích các lỗ hổng bảo mật của mô hình cũ và chứng minh tính ưu việt của mô hình mới trong việc tối ưu hóa chi phí và cấu trúc tổ chức lớn.

2. CHƯƠNG 1: MÔ HÌNH DAC VÀ NHỮNG RỦI RO KHI NHÂN VIÊN NGHỈ VIỆC

• Định nghĩa: DAC (Discretionary Access Control) là cơ chế cấp quyền tùy ý, trong đó chủ sở hữu tài nguyên quyết định ai được phép truy cập dựa trên danh tính cá nhân.

• Nhược điểm chí mạng khi thu hồi quyền hạn:

  • Hiện tượng "Quyền hạn tích tụ" (Privilege Creep): Theo thời gian, một nhân viên được cấp thêm nhiều quyền lẻ nhưng hiếm khi bị thu hồi. Khi nghỉ việc, việc rà soát để xóa bỏ hoàn toàn các quyền này là cực kỳ khó khăn.

  • Rủi ro từ "Tài khoản ma" (Ghost Accounts): Do quyền gắn liền với cá nhân, quản trị viên dễ bỏ sót các tài nguyên mà nhân viên đó sở hữu hoặc có quyền truy cập gián tiếp. Đây là "cửa sau" để đánh cắp dữ liệu sau khi rời bỏ tổ chức.

  • Thiếu tính đồng bộ: Trong DAC, việc thu hồi quyền phải thực hiện thủ công trên từng tệp tin hoặc thư mục. Với quy mô nhân sự lớn, độ trễ giữa lúc nhân viên nghỉ việc và lúc quyền hạn thực sự bị khóa tạo ra kẽ hở bảo mật nghiêm trọng.

3. CHƯƠNG 2: RBAC - LỜI GIẢI CHO CẤU TRÚC TẬP ĐOÀN LỚN

• Định nghĩa: RBAC (Role-Based Access Control) là cơ chế cấp quyền dựa trên vai trò (Roles) trong tổ chức thay vì danh tính cá nhân.

• Sự tương thích với cấu trúc tập đoàn:

  • Phản ánh sơ đồ tổ chức: RBAC cho phép xây dựng các "vị trí" cố định (Ví dụ: Trưởng phòng Nhân sự, Kế toán tổng hợp). Quyền hạn gắn liền với chức danh, không gắn với tên người.

  • Tính kế thừa và phân cấp: RBAC hỗ trợ phân cấp quyền lợi (Role Hierarchy). Quyền của cấp trên bao hàm quyền của cấp dưới, phù hợp hoàn hảo với mô hình quản trị đa tầng của các tập đoàn.

  • Tuân thủ nguyên tắc "Least Privilege": Đảm bảo nhân viên chỉ có đủ quyền để làm đúng chức năng của vai trò đó, giúp kiểm soát rủi ro nội bộ tốt hơn.

4. CHƯƠNG 3: TỐI ƯU HÓA CHI PHÍ VÀ HIỆU QUẢ QUẢN TRỊ

• Giảm chi phí vận hành (Operational Cost):

  • Thay vì quản lý $n$ người dùng, quản trị viên chỉ cần quản lý $k$ vai trò (với $k$ luôn nhỏ hơn rất nhiều so với $n$).

  • Công thức đơn giản hóa: $O(n \times m) \rightarrow O(n + m)$. Việc giảm bớt số lượng kết nối cần quản lý giúp tiết kiệm hàng ngàn giờ làm việc của bộ phận IT và HR.

• Tự động hóa quy trình Onboarding/Offboarding:

  • Khi có nhân viên mới hoặc nhân viên nghỉ việc, chỉ cần một thao tác "Thêm vào vai trò" hoặc "Gỡ khỏi vai trò". Toàn bộ quyền hạn được cập nhật tức thì trên mọi hệ thống liên kết.

• Giảm thiểu sai sót và chi phí xử lý sự cố: Việc chuẩn hóa quyền hạn theo vai trò giúp loại bỏ các lỗi cấp quyền sai do cảm tính hoặc nhầm lẫn thủ công, từ đó giảm chi phí khắc phục hậu quả rò rỉ dữ liệu.

5. KẾT LUẬN

• Tóm lược: Sự tiến hóa từ DAC sang RBAC là tất yếu để đáp ứng yêu cầu về bảo mật và quy mô của doanh nghiệp hiện đại.

• Kiến nghị: Các doanh nghiệp cần sớm chuẩn hóa danh mục vị trí công việc (Job Catalog) để triển khai RBAC một cách triệt để, hướng tới các mô hình tiên tiến hơn như ABAC (Attribute-based) trong tương lai.