Cách audit security website doanh nghiệp

Tại sao SME cần audit security định kỳ

Hack website SME tăng 35%/năm. Hậu quả: data lộ → bị xử phạt theo Luật Bảo vệ dữ liệu cá nhân 2025 (tối đa 3 tỷ đồng với tổ chức cho phần lớn hành vi, Điều 8), brand damage, downtime kinh doanh. Audit định kỳ 6 tháng/lần catch vấn đề trước khi bị exploit.

Điều 8 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 về mức phạt tiền tối đa: 10 lần khoản thu, 5% doanh thu, 3 tỷ đồng — Điều 8: phạt tối đa 10 lần khoản thu với mua bán dữ liệu cá nhân, 5% doanh thu năm trước với vi phạm chuyển dữ liệu xuyên biên giới, 3 tỷ đồng với hành vi khác; cá nhân chịu một nửa mức của tổ chức. Trích Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, Công báo số 971 + 972 ngày 24/7/2025, bản PDF trên congbao.chinhphu.vn, tra ngày 25/09/2026.

12 mục checklist

HTTPS: gõ http://yourdomain.vn → có auto-redirect https? SSL không expire? Check tại ssllabs.com - grade phải ≥ A.
Security headers: securityheaders.com - grade ≥ B. Có: HSTS, CSP, X-Frame-Options.
Folder/file lộ: thử /admin, /.git/, /.env, /backup.zip - phải 404 hoặc 403. Nếu mở được = critical.
Form chống bot: form liên hệ + đăng ký có Captcha (Google reCAPTCHA hoặc hCaptcha)?
Password admin: > 12 ký tự + 2FA enabled? Audit log thấy ai login khi nào.
Backup: hằng ngày tự động? Đã test restore từ backup chưa? (Backup không test = không có backup.)
Update: CMS + plugin update lần cuối < 30 ngày? Plugin cũ nhiều CVE.
Error message: thử URL sai → có lộ database name + version không? Phải generic message.
XSS basic: nhập <script>alert(1)</script> vào form search → có alert pop up = vulnerable.
Rate limit: thử submit form 20 lần liên tiếp → có block không? Không block = spam risk.
Cookie consent: có banner consent (nếu chạy Facebook Pixel + Google Ads remarketing)?
Privacy policy + Terms: đầy đủ, ngày update mới, có liên hệ DPO.

Mục tệp .env bị lộ ở trên thường bắt nguồn từ cách giữ khoá bí mật trong mã nguồn; cách tổ chức cho đúng có trong bài quản lý secret trong ứng dụng trên trancongthang.vn.

Tool free để audit

SSL Labs (ssllabs.com): test SSL grade.
SecurityHeaders.com: test security headers.
BuiltWith.com: phát hiện tech stack + version (xem có cũ + CVE không).
Google Search Console: warning từ Google nếu site có vấn đề.
Mozilla Observatory: comprehensive security check.

Khi nào cần audit chuyên nghiệp

12 mục trên là audit cơ bản. Khi cần level chuyên nghiệp (pentest, OWASP audit, compliance ISO 27001): thuê công ty bảo mật. Phí 30-150tr cho audit + report 2-4 tuần.

Doanh nghiệp cần audit chuyên nghiệp? Alodev hợp tác với 2 công ty bảo mật uy tín VN. /lien-he

Security
Audit
Website

Bài viết liên quan

Cẩm nang thực hành

Cẩm nang thực hành24/10/20269 phút đọc

Quy trình chăm sóc khách hàng 5 bước và phần mềm CSKH cần có

Năm bước của một quy trình chăm sóc khách hàng có thể áp dụng ngay cho doanh nghiệp nhỏ, cách phân công trách nhiệm từng bước, và bốn tính năng phần mềm CSKH thực sự cần thiết thay vì mua một hệ thống thừa tính năng không dùng tới.

Cẩm nang thực hành23/10/20268 phút đọc

Truyền thông nội bộ: công cụ và cách triển khai cho doanh nghiệp

Truyền thông nội bộ không chỉ là gửi thông báo, mà là cách công ty giữ nhân viên hiểu đúng và tin vào những gì lãnh đạo đang làm. Bài viết chỉ ra bốn kênh phổ biến, lỗi thường gặp, và khi nào cần một kênh tập trung thay vì rải rác nhiều nhóm chat.

Cẩm nang thực hành22/10/20269 phút đọc

Kiểm soát nội bộ là gì: nguyên tắc và cách xây dựng cho doanh nghiệp nhỏ

Kiểm soát nội bộ không chỉ dành cho tập đoàn lớn. Bài viết trình bày năm nguyên tắc cơ bản, ba lớp kiểm soát dễ triển khai cho doanh nghiệp nhỏ, và cách phần mềm giúp việc kiểm soát không phụ thuộc vào lòng tin cá nhân.