Bạn phải giữ mật khẩu riêng, bật xác thực hai lớp, cấp quyền vừa đủ và tự cất một bản sao. Làm đủ hai phần đó, sổ trên máy chủ thường khó mất hơn sổ nằm trên một máy tính văn phòng không ai sao lưu. Cái giá phải trả là dữ liệu kế toán nằm trên máy chủ của bên khác, nên muốn biết phần mềm bảo mật tới đâu, bạn cần hỏi máy chủ ở đâu, ai vào được và nhà cung cấp còn thiếu gì.
01
Sổ trên máy chủ nhà cung cấp rủi ro hơn hay ít hơn sổ trên máy văn phòng?
Ít hơn ở chuyện mất sổ, nhiều hơn ở chuyện ai chạm được vào sổ. Sổ cài trên máy văn phòng mất vì những lý do rất đời thường: ổ cứng hỏng đúng tháng quyết toán, laptop bị trộm, mã độc mã hóa cả ổ đòi tiền chuộc, hoặc bản sao lưu cuối cùng là từ nửa năm trước vì không ai được giao việc đó.
Khi chuyển lên online, những rủi ro ấy chuyển sang nhà cung cấp, và bạn nhận về một nhóm rủi ro khác. Ai có mật khẩu cũng mở được sổ từ bất cứ đâu, nên tài khoản bị dò hoặc lộ mật khẩu trở thành cửa vào chính. Người trong công ty dễ được cấp quyền rộng hơn cần thiết, kiểu kế toán bán hàng xem được bảng lương. Dữ liệu nằm trên máy chủ của bên khác, có khi ở một quốc gia bạn không chọn. Và nếu nhà cung cấp ngừng dịch vụ, bạn cần chắc mình lấy được sổ ra.
Một ví dụ dễ gặp: kế toán làm trên máy dùng chung ở văn phòng, quên đăng xuất, người khác mở trình duyệt là vào thẳng phần mềm. Với sổ cài trên máy, chuyện này cũng xảy ra, nhưng với sổ online thì người đó còn có thể mang mật khẩu về nhà dùng tiếp.
Phần mềm cài trên máy vẫn hợp hơn trong hai trường hợp: doanh nghiệp bắt buộc giữ dữ liệu trong mạng nội bộ của mình, hoặc đối tác đòi nhà cung cấp phần mềm có chứng nhận an toàn thông tin mà phần mềm online bạn định dùng chưa có. Khi đó, việc phải làm là giao hẳn cho một người sao lưu sổ ra ngoài máy theo lịch.
02
Nhà cung cấp có xem được sổ sách của công ty bạn không?
Với phần lớn phần mềm online, người quản trị máy chủ về mặt kỹ thuật chạm được tới cơ sở dữ liệu, vì họ là người vận hành, sao lưu và sửa sự cố cho nó. Câu hỏi đúng là ai được vào, vào để làm gì và có quy định gì ràng buộc họ.
Ở KetoanX, chỉ nhân sự kỹ thuật được phân công của đơn vị vận hành là CÔNG TY TNHH MOMD GROUP mới truy cập được máy chủ, và chỉ để vận hành, sao lưu và khắc phục sự cố. Nhân sự kỹ thuật của KetoanX không xem số liệu kế toán khi bạn không gửi yêu cầu hỗ trợ. Mật khẩu của bạn chỉ được lưu dưới dạng đã băm, nên chính nhân sự vận hành cũng không đọc lại được. Số liệu kế toán không được dùng để nhắm quảng cáo, không bán và không cho bên khác thuê.
03
Dữ liệu của các công ty dùng chung hệ thống có bị lẫn sang nhau không?
Không, nếu phần mềm tách dữ liệu ngay ở tầng truy vấn. Ở KetoanX, mỗi bản ghi đều gắn với một công ty, và mọi truy vấn đều lọc theo công ty mà bạn là thành viên. Người ngoài không vào được công ty của bạn nếu không được chủ sở hữu mời bằng email, và lời mời chỉ có hiệu lực khi người nhận đã xác minh địa chỉ email đó. Điều kiện xác minh email chặn trường hợp ai đó đăng ký trước bằng email đang được mời để vào thay.
Nếu bạn làm kế toán dịch vụ, bạn quản lý nhiều công ty trong một tài khoản, nhưng mỗi công ty có danh sách thành viên riêng. Chủ doanh nghiệp A được mời vào công ty A thì chỉ thấy công ty A.
04
Tài khoản đăng nhập được bảo vệ thế nào?
Bằng đường truyền mã hóa, giới hạn số lần thử mật khẩu, và xác thực hai lớp do chính bạn bật. Mọi kết nối tới ketoanx.com đều qua HTTPS, nên dữ liệu đi giữa trình duyệt và máy chủ được mã hóa, kể cả khi bạn dùng wifi ở quán cà phê hay sân bay. Hệ thống giới hạn số lần thử đăng nhập để chống dò mật khẩu, và việc đặt lại mật khẩu đi qua một đường dẫn gửi về email đã đăng ký, có thời hạn.
Có nên bật xác thực hai lớp không?
Nên, ít nhất cho chủ sở hữu và người có quyền chi tiền. Xác thực hai lớp nghĩa là ngoài mật khẩu, mỗi lần đăng nhập bạn còn nhập một mã do ứng dụng trên điện thoại tạo ra và đổi liên tục, nên người biết mật khẩu mà không cầm điện thoại của bạn vẫn không vào được. Trên KetoanX, mỗi người tự bật ở mục Bảo mật tài khoản:
Cài một ứng dụng tạo mã trên điện thoại, như Google Authenticator, Microsoft Authenticator hoặc Authy.
Vào Bảo mật tài khoản, bật xác thực hai lớp và quét mã QR hiện trên màn hình bằng ứng dụng đó.
Nhập mã ứng dụng đang hiện để xác nhận.
In hoặc lưu các mã dự phòng vào trình quản lý mật khẩu, để vẫn đăng nhập được khi mất điện thoại.
05
Làm sao kiểm soát người trong công ty?
Bằng phân quyền, nhật ký thao tác, khóa sổ và gỡ quyền đúng lúc. Nhiều sự cố với sổ sách đến từ chính người có tài khoản: xem thứ không nên xem, sửa chứng từ kỳ đã chốt, hoặc nghỉ việc mà vẫn đăng nhập được.
Phân quyền để kế toán viên không thấy bảng lương
KetoanX có bốn vai trò: chủ sở hữu, quản trị viên, kế toán và chỉ xem. Với từng thành viên, bạn bật hoặc tắt quyền xem, thêm, sửa, xóa theo từng phân hệ, nên kế toán phụ trách bán hàng có thể không mở được phân hệ Tiền lương. Giá vốn cũng ẩn được theo từng người, dùng khi nhân viên bán hàng cần lập chứng từ mà bạn không muốn họ biết biên lợi nhuận.
Nhật ký thao tác và khóa sổ
Nhật ký thao tác ghi lại ai thêm, sửa, xóa chứng từ nào và lúc nào. Khi số dư quỹ cuối tháng lệch mà không ai nhận đã sửa, nhật ký thao tác là chỗ đầu tiên cần mở.
Khóa sổ theo ngày giữ cho số liệu đã nộp báo cáo không bị đổi: kỳ đã khóa thì không thêm, sửa, xóa chứng từ được nữa. Trước khi khóa, trang Kiểm tra sổ sách đối chiếu sổ chi tiết với sổ cái và chỉ ra chỗ lệch.
Khi kế toán nghỉ việc
Gỡ người đó khỏi công ty ngay trong ngày ở trang Thành viên. Phiên đăng nhập đang mở trên thiết bị khác của họ không bị cắt ngay mà chậm một khoảng ngắn. Nếu người đó từng biết mật khẩu chung nào (email công ty, máy chủ thư), đổi luôn các mật khẩu ấy.
06
Sao lưu thế nào và bạn có tự giữ được một bản không?
Có, và bạn nên giữ. Ở KetoanX, cơ sở dữ liệu được sao lưu tự động mỗi ngày và giữ 14 bản gần nhất; ngoài ra mỗi ngày còn có thêm một bản sao lưu đặt tại Việt Nam. Dữ liệu bạn đã xóa sẽ biến mất khỏi các bản sao lưu sau tối đa 14 ngày.
Bản sao lưu của nhà cung cấp dùng để khôi phục khi máy chủ gặp sự cố. Bản sao của riêng bạn thì giải quyết nỗi lo còn lại: nhà cung cấp ngừng dịch vụ, hoặc bạn muốn chuyển sang phần mềm khác. Sổ sách và báo cáo trên KetoanX xuất ra Excel bất cứ lúc nào, không mất phí. Doanh nghiệp vẫn có nghĩa vụ tự lưu tài liệu kế toán, nên một thói quen dễ làm là xuất và cất một bản ngay sau mỗi lần khóa sổ.
07
Máy chủ của KetoanX đặt ở đâu?
Máy chủ của KetoanX được thuê của OVHcloud, đặt tại trung tâm dữ liệu ở Singapore. Lưu lượng truy cập đi qua mạng của Cloudflare để mã hóa đường truyền và giảm tấn công từ chối dịch vụ. OVHcloud và Cloudflare chỉ cung cấp hạ tầng kỹ thuật và không được dùng dữ liệu của bạn cho mục đích riêng.
Dữ liệu chính trên KetoanX vì thế nằm ngoài lãnh thổ Việt Nam; chỉ bản sao lưu hằng ngày bổ sung nằm trong nước. Nếu doanh nghiệp bạn có yêu cầu dữ liệu phải lưu tại Việt Nam, hãy cân nhắc trước khi dùng hoặc liên hệ với chúng tôi để hỏi cụ thể.
08
KetoanX còn những điểm nào chưa làm được?
KetoanX chưa có chứng nhận an toàn thông tin của bên thứ ba, chưa được kiểm thử xâm nhập độc lập, vẫn lưu dữ liệu chính ở ngoài Việt Nam, và thu hồi phiên đăng nhập chưa có hiệu lực tức thì. Chi tiết từng điểm
- Chưa có chứng nhận an toàn thông tin của bên thứ ba, ví dụ ISO/IEC 27001. Nếu đối tác hoặc ngân hàng yêu cầu nhà cung cấp phần mềm có chứng nhận này, KetoanX chưa đáp ứng được.
- Chưa có kiểm thử xâm nhập do một đơn vị bên ngoài thực hiện. Đợt rà soát bảo mật gần nhất do đội phát triển tự làm; các lỗ hổng tìm thấy trong đợt đó đã được vá.
- Dữ liệu chính lưu ngoài Việt Nam, như đã nói ở phần trên.
- Thu hồi phiên đăng nhập hoặc đổi mật khẩu không có hiệu lực ngay ở thiết bị khác mà chậm một khoảng ngắn.
Vì vậy, với sổ sách quan trọng, đừng coi bản sao lưu của nhà cung cấp là bản duy nhất. Định kỳ xuất và lưu một bản ở nơi doanh nghiệp tự quản lý.
09
Hỏi gì để tự kiểm một phần mềm kế toán online bất kỳ?
Hỏi mười câu dưới đây, về nơi đặt máy chủ, quyền truy cập, sao lưu, đường lấy dữ liệu ra và những điểm còn thiếu. Miễn phí hay trả tiền không quyết định phần mềm nào an toàn hơn; câu trả lời cho mười câu này mới quyết định, và một nhà cung cấp đáng tin sẽ trả lời bằng văn bản, công khai trên trang của họ:
Máy chủ đặt ở đâu, ai vận hành, nhân viên nhà cung cấp được vào dữ liệu trong trường hợp nào?
Dữ liệu từng công ty có tách riêng không, ai vào được công ty của tôi?
Có phân quyền theo phân hệ, ẩn được bảng lương và giá vốn không?
Có nhật ký thao tác và khóa sổ không?
Có xác thực hai lớp không?
Sao lưu bao lâu một lần, giữ bao nhiêu bản, bản sao lưu nằm ở đâu?
Có xuất toàn bộ sổ sách ra được không, có mất phí không?
Có chứng nhận hay kiểm thử bảo mật độc lập nào không?
Có trang nêu rõ những điểm chưa làm được không?
Phát hiện lỗ hổng thì báo ở đâu, bao lâu có phản hồi?
Với câu 9, một trang chỉ nói bảo mật tuyệt đối mà không nêu điểm yếu nào là dấu hiệu nên hỏi thêm.
10
Doanh nghiệp tự làm những gì để sổ không mất, không lộ?
Sáu việc: mỗi người một tài khoản, bật xác thực hai lớp, cấp quyền vừa đủ, khóa sổ sau khi nộp báo cáo, xuất bản sao Excel sau mỗi kỳ, và gỡ người nghỉ việc ngay trong ngày. Tài khoản riêng nên làm trước tiên, vì nhật ký thao tác chỉ có ích khi mỗi dòng trong đó ứng với đúng một người: một tài khoản dùng chung cho ba kế toán thì nhật ký không trả lời được ai đã sửa phiếu chi.
Nếu bạn phát hiện một lỗ hổng trên KetoanX, hãy báo qua trang Liên hệ với chủ đề Báo lỗi và đừng công bố trước khi lỗi được khắc phục. Chúng tôi xác nhận đã nhận trong hai ngày làm việc.
Các biện pháp và giới hạn nêu trên đúng với KetoanX tại ngày 16/10/2026.
Dùng thử trên sổ của chính bạn
Đăng ký mất vài phút, không cần thẻ thanh toán. Mọi chức năng đều miễn phí.