Tiêu Chí Bảo Mật Khi Chọn CRM: 6 Điều Cần Kiểm Tra
Khi chọn CRM, phần lớn SME dành thời gian so sánh tính năng và giá, còn câu hỏi bảo mật thường chỉ được hỏi qua loa — "có an toàn không" — và chấp nhận câu trả lời "có" mà không kiểm tra thêm. Nhưng CRM lưu gần như toàn bộ dữ liệu khách hàng: tên, số điện thoại, email, lịch sử giao dịch, đôi khi cả thông tin hợp đồng hay thanh toán. Nếu dữ liệu này bị rò rỉ hoặc mất, thiệt hại không chỉ là uy tín mà còn là trách nhiệm pháp lý theo luật bảo vệ dữ liệu cá nhân hiện hành. Dưới đây là sáu tiêu chí bảo mật nên kiểm tra trước khi chọn bất kỳ CRM nào.
Lưu ý: phần pháp lý trong bài chỉ nêu nguyên tắc chung, không thay thế tư vấn pháp lý. Doanh nghiệp nên xác nhận nghĩa vụ cụ thể của mình với luật sư hoặc chuyên gia bảo vệ dữ liệu.
1. Dữ liệu có được mã hóa cả khi lưu trữ lẫn khi truyền đi không
Dữ liệu cần được mã hóa ở hai trạng thái: khi lưu trữ trên máy chủ (encryption at rest, thường dùng chuẩn AES-256) và khi truyền đi giữa trình duyệt, ứng dụng và máy chủ (encryption in transit, qua giao thức TLS). Nếu nhà cung cấp chỉ mã hóa một trong hai, dữ liệu vẫn có thể bị lộ ở trạng thái còn lại — ví dụ dữ liệu được mã hóa trên máy chủ nhưng truyền qua kết nối không mã hóa vẫn có thể bị chặn trên đường truyền.
2. Kiểm soát truy cập có đủ chi tiết theo vai trò không
Một CRM bảo mật tốt không để "ai đăng nhập cũng thấy hết". Nhân viên sale chỉ thấy khách hàng mình phụ trách, quản lý thấy dữ liệu của cả đội, kế toán không cần thấy lịch sử chăm sóc khách hàng. Ba cơ chế cần có:
- Phân quyền theo vai trò và cấp bậc, để mỗi người chỉ thấy đúng phần dữ liệu cần cho công việc.
- Giới hạn đăng nhập theo địa chỉ IP, chỉ cho truy cập từ mạng công ty khi cần.
- Xác thực đa yếu tố, yêu cầu thêm một mã xác thực ngoài mật khẩu khi đăng nhập — giảm đáng kể rủi ro nếu mật khẩu bị lộ.
3. Có nhật ký ghi lại ai đã làm gì với dữ liệu không
Khi có sự cố — dữ liệu bị sửa sai, bị xóa nhầm, hay nghi bị truy cập trái phép — câu hỏi đầu tiên luôn là "ai đã làm, lúc nào". Một CRM đáng tin cậy cần có nhật ký kiểm tra (audit log) ghi đủ ai đăng nhập lúc nào, ai sửa hay xóa bản ghi nào và thay đổi cụ thể là gì. Đây là dữ liệu cần để điều tra sự cố, và thường được yêu cầu khi doanh nghiệp phải giải trình với khách hàng hoặc cơ quan quản lý về việc xử lý dữ liệu cá nhân.
4. Có chứng chỉ bảo mật do bên thứ ba độc lập kiểm định không
Đây là khác biệt quan trọng nhất giữa "nhà cung cấp tự nói mình an toàn" và "được kiểm chứng độc lập". Các chứng chỉ nên tìm:
- ISO/IEC 27001 — hệ thống quản lý an toàn thông tin.
- ISO/IEC 27017 và 27018 — bảo mật và quyền riêng tư dữ liệu trên nền tảng đám mây.
- SOC 2 Type 2 — kiểm toán độc lập về kiểm soát bảo mật, thực hiện định kỳ chứ không phải một lần.
- PCI DSS — nếu hệ thống xử lý dữ liệu thẻ thanh toán.
Một nhà cung cấp không có chứng chỉ nào trong nhóm này, chỉ khẳng định bằng lời trên trang marketing, là tín hiệu cần thận trọng.
5. Dữ liệu được lưu ở đâu, và điều đó có phù hợp với pháp luật Việt Nam không
Đây là tiêu chí nhiều doanh nghiệp Việt Nam bỏ qua nhưng có hệ quả pháp lý cụ thể. Phần lớn CRM quốc tế, trong đó có Zoho, đặt máy chủ ở nước ngoài — với Zoho, không có trung tâm dữ liệu tại Việt Nam. Zoho có trung tâm dữ liệu ở Singapore, nhưng theo trang công khai của Zoho, trung tâm này chỉ phục vụ tài khoản đăng ký tại Singapore; tài khoản đăng ký từ Việt Nam mặc định nằm ở trung tâm dữ liệu Mỹ. Hãy yêu cầu xác nhận bằng văn bản trung tâm dữ liệu của tài khoản bạn.
Theo Luật Bảo vệ dữ liệu cá nhân 2025 và Nghị định 356/2025/NĐ-CP, cả hai có hiệu lực từ 1/1/2026, khi chuyển dữ liệu cá nhân của khách hàng ra máy chủ nước ngoài, doanh nghiệp — với vai trò bên kiểm soát dữ liệu — phải lập hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới. Hồ sơ gồm thông tin về bên chuyển và bên nhận, mục đích, loại dữ liệu, phạm vi và tần suất chuyển, biện pháp bảo vệ, đánh giá rủi ro và hợp đồng với bên nhận. Đây là nghĩa vụ của doanh nghiệp sử dụng CRM, không phải việc nhà cung cấp CRM tự làm thay. Mức phạt tối đa với vi phạm quy định chuyển dữ liệu xuyên biên giới là 5% doanh thu năm trước liền kề hoặc 3 tỷ đồng, tùy mức nào cao hơn.
Nói cách khác, một CRM có đủ chứng chỉ bảo mật quốc tế (tiêu chí 4) không có nghĩa doanh nghiệp tại Việt Nam đã tự động tuân thủ pháp luật trong nước. Đó là hai lớp trách nhiệm khác nhau. Phân tích chi tiết hơn về cách chia trách nhiệm này, với ví dụ dữ liệu nhạy cảm, có trong bài bảo mật dữ liệu y tế khi dùng CRM.
6. Có cơ chế sao lưu và khôi phục dữ liệu khi có sự cố không
Ngoài chống truy cập trái phép, cần hỏi rõ: dữ liệu có được sao lưu định kỳ không, bản sao lưu có nằm ở nhiều nơi để phòng sự cố tại một trung tâm dữ liệu không, và nếu mất dữ liệu do lỗi hệ thống hay thao tác nhầm của nhân viên thì thời gian khôi phục dự kiến là bao lâu. Câu hỏi này ít khi được hỏi trước khi ký hợp đồng, nhưng lại quan trọng nhất khi sự cố thật sự xảy ra.
Zoho CRM đáp ứng các tiêu chí này ở mức nào
Đối chiếu với sáu tiêu chí trên, theo thông tin Zoho công bố trên trang bảo mật dữ liệu của Zoho CRM và trang tuân thủ của Zoho:
| Tiêu chí | Zoho CRM |
|---|---|
| Mã hóa | Mã hóa AES-256 trên toàn bộ máy chủ |
| Kiểm soát truy cập | Phân quyền theo vai trò, giới hạn IP, xác thực đa yếu tố |
| Nhật ký kiểm tra | Có audit log ghi lại thay đổi và xóa dữ liệu |
| Chứng chỉ độc lập | ISO/IEC 27001, 27017, 27018, 27701; SOC 1 và SOC 2 Type 2; hỗ trợ tuân thủ GDPR |
| Vị trí máy chủ | Không có tại Việt Nam; tài khoản đăng ký từ Việt Nam mặc định ở Mỹ (trung tâm Singapore chỉ phục vụ tài khoản Singapore) — nghĩa vụ ở tiêu chí 5 áp dụng |
| Sao lưu | Sao lưu theo thời gian thực trên nhiều máy chủ |
Hai điểm cần nói rõ. Thứ nhất, chứng chỉ PCI DSS của Zoho (dạng tự đánh giá SAQ-D) áp dụng cho các sản phẩm liên quan đến thanh toán như Zoho Books, Invoice, Billing, Checkout, không nằm trong danh sách áp dụng cho CRM. Thứ hai, các thông tin trên là do Zoho công bố ở cấp nền tảng. Doanh nghiệp cần kiểm tra kỹ nên yêu cầu xem báo cáo kiểm toán SOC 2 đầy đủ thay vì chỉ dựa vào trang giới thiệu — Zoho cho biết báo cáo này được cập nhật theo chu kỳ kiểm toán hằng năm.
Checklist trước khi chọn CRM
- Đã xác nhận dữ liệu được mã hóa cả khi lưu trữ và khi truyền đi chưa?
- CRM có hỗ trợ phân quyền theo vai trò, giới hạn IP và xác thực đa yếu tố không?
- Có nhật ký kiểm tra ghi lại việc sửa và xóa dữ liệu không?
- Đã xem chứng chỉ bảo mật được kiểm định độc lập (ISO 27001, SOC 2…) thay vì chỉ tin lời quảng cáo chưa?
- Dữ liệu sẽ lưu ở đâu? Nếu ở nước ngoài, đã lập hồ sơ đánh giá tác động chuyển dữ liệu xuyên biên giới theo quy định hiện hành chưa?
- Đã hỏi rõ tần suất sao lưu và thời gian khôi phục dự kiến khi có sự cố chưa?
Nếu đang so sánh CRM ở cả các khía cạnh ngoài bảo mật, xem thêm checklist 10 tiêu chí chọn CRM phù hợp với ngành.
Câu hỏi thường gặp
CRM có chứng chỉ ISO 27001 thì có tự động tuân thủ luật bảo vệ dữ liệu cá nhân Việt Nam không? Không. ISO 27001 là chứng chỉ về hệ thống quản lý an toàn thông tin của nhà cung cấp, còn nghĩa vụ theo Luật Bảo vệ dữ liệu cá nhân Việt Nam — như lập hồ sơ đánh giá tác động khi chuyển dữ liệu ra nước ngoài — là trách nhiệm của doanh nghiệp sử dụng CRM.
Doanh nghiệp nhỏ có bắt buộc chọn CRM có đủ mọi chứng chỉ kể trên không? Không có quy định bắt buộc chọn CRM theo số chứng chỉ. Nhưng chứng chỉ càng đầy đủ thì rủi ro càng thấp và càng dễ giải trình với khách hàng, đối tác về việc bảo vệ dữ liệu của họ. Mức cần thiết còn tùy loại dữ liệu doanh nghiệp xử lý — dữ liệu y tế hay tài chính cần cân nhắc kỹ hơn dữ liệu liên hệ thông thường.
Nếu CRM đặt máy chủ ở nước ngoài, doanh nghiệp có phải xin phép trước khi dùng không? Các nguồn luật tham khảo cho bài này mô tả nghĩa vụ lập hồ sơ đánh giá tác động chuyển dữ liệu xuyên biên giới, được thực hiện một lần cho suốt thời gian hoạt động và cập nhật khi có thay đổi; thành phần hồ sơ và thủ tục do Chính phủ quy định. Việc hồ sơ cần gửi cho cơ quan chức năng thế nào và khi nào nên được xác nhận với luật sư cho đúng tình huống của doanh nghiệp.
Kết
Bảo mật CRM không phải một dòng để đánh dấu cho có trong bảng so sánh, mà là trách nhiệm chia sẻ giữa nhà cung cấp nền tảng — mã hóa, chứng chỉ, hạ tầng — và chính doanh nghiệp — phân quyền đúng, tuân thủ pháp luật trong nước về chuyển dữ liệu. Chọn một CRM có nền tảng bảo mật tốt là bước đầu tiên, không phải bước cuối cùng.
Nếu doanh nghiệp bạn cần rà soát các tiêu chí này trước khi triển khai, hoặc muốn đánh giá lại cấu hình bảo mật của CRM đang dùng, xem thêm về Zoho CRM tại Phanmembiz hoặc đặt lịch tư vấn miễn phí. Lưu ý đây là tư vấn triển khai kỹ thuật, không thay thế tư vấn pháp lý.
