AUP (Acceptable Use Policy) là gì?
Chính sách Sử dụng Chấp nhận được (AUP) là tài liệu quy định quy tắc, hành vi cho phép và cấm khi sử dụng hệ thống CNTT, mạng, Internet của tổ chức. Áp dụng cho nhân viên, sinh viên, người dùng dịch vụ.
Nội dung chính trong AUP
- Quy tắc sử dụng Internet: tìm kiếm, tải xuống, duyệt web.
- Sử dụng email, điện thoại, thiết bị di động, game online.
- Tạo/truy cập trang web tổ chức.
- Cấm: vi phạm pháp luật, xâm nhập hệ thống, spam, nội dung độc hại, vi phạm bản quyền, quấy rối.
6 yếu tố cốt lõi của AUP
- Phạm vi áp dụng (đối tượng, hệ thống).
- Định nghĩa sử dụng chấp nhận được.
- Danh sách hành vi vi phạm (unacceptable uses).
- Quy trình giám sát & kiểm tra.
- Hình phạt/biện pháp xử lý (sanctions).
- Cam ký đồng ý (signature/acknowledgment).
Tại sao doanh nghiệp cần AUP?
- Bảo vệ pháp lý: giảm trách nhiệm khi nhân viên vi phạm (chia sẻ file bất hợp pháp, rò rỉ dữ liệu).
- Rõ ràng kỳ vọng: nhân viên biết được làm gì, không được làm gì.
- Tuân thủ quy định: GDPR, HIPAA, PCI-DSS... yêu cầu chính sách sử dụng.
- Văn hóa an ninh: nâng cao nhận thức, giảm rủi ro nội bộ (insider threat).
Ví dụ vi phạm AUP
- Sao chép/lưu trữ tài liệu bản quyền, nội dung trẻ em bị bóc lột.
- Gửi email đe dọa, quấy rối, spam, chuỗi thư rác.
- Truy cập trang web cấm, cài phần mềm trái phép.
- Chia sẻ mật khẩu, mạo danh tài khoản khác.
Ai được bảo vệ bởi AUP?
- Tổ chức: giảm rủi ro pháp lý, uy tín, tài sản thông tin.
- Nhân viên/người dùng: biết ranh giới, tránh vi phạm vô ý.
- Khách hàng/đối tác: dữ liệu được bảo vệ theo cam kết.
Cách xây dựng AUP hiệu quả
- Đánh giá tác động quy tắc mới.
- Xác định dữ liệu nhạy cảm, yêu cầu tuân thủ.
- Thu thập ý kiến bên liên quan (IT, HR, Pháp lý, nhân viên).
- Viết政策 rõ ràng, ngôn ngữ dễ hiểu.
- Đào tạo, truyền thông, ký cam kết.
- Rà soát, cập nhật định kỳ (6-12 tháng/lần).