Hướng dẫn kiểm kê phần mềm doanh nghiệp – Nên bắt đầu từ đâu?

Trong quản trị vận hành hiện đại, phần mềm bản quyền được xem là một khối tài sản số quan trọng của tổ chức. Tuy nhiên, tại nhiều doanh nghiệp SME, tài sản này lại bị quản lý rời rạc: IT nắm máy tính, Mua hàng nắm hợp đồng, Kế toán giữ hóa đơn, còn người dùng tự cài thêm ứng dụng khi cần. Khi Ban Giám đốc yêu cầu rà soát, câu hỏi đầu tiên thường là: kiểm kê phần mềm doanh nghiệp nên bắt đầu từ đâu? Câu trả lời không phải là đếm máy tính, mà là đối chiếu đồng thời người dùng, thiết bị, ứng dụng và hồ sơ license.

Lỗi tư duy: “Chỉ cần đếm số lượng máy tính là ra số phần mềm cần mua”

Nhiều doanh nghiệp bắt đầu kiểm kê phần mềm bằng cách đếm số lượng PC hoặc laptop. Công ty có 50 máy tính thì ghi nhận cần 50 license. Cách làm này tưởng đơn giản nhưng rất dễ sai, vì mô hình cấp phép phần mềm hiện nay không chỉ dựa trên số thiết bị vật lý.

Một nhân viên có thể dùng PC tại văn phòng, laptop khi đi công tác, điện thoại để truy cập ứng dụng cloud và tài khoản cá nhân để đăng nhập phần mềm. Một phần mềm có thể tính theo user, một phần mềm khác tính theo device, một phần mềm tính theo server, một phần mềm tính theo core CPU, một phần mềm tính theo số phiên truy cập đồng thời. Nếu chỉ đếm máy tính, IT có thể mua thiếu, mua thừa hoặc mua sai mô hình cấp phép.

NIST Cybersecurity Framework 2.0 xếp asset management vào nhóm nhận diện rủi ro và nêu rõ tổ chức cần duy trì inventory cho software, services và systems đang được quản lý. Điều này cho thấy kiểm kê phần mềm không chỉ là việc hành chính, mà là một phần của quản trị rủi ro an ninh mạng.

Với B2B, kiểm kê đúng phải bắt đầu từ câu hỏi: ai đang dùng, dùng trên thiết bị nào, dùng phần mềm gì, license nằm ở đâu và chứng từ có khớp không?

Khái niệm cốt lõi: Kiểm kê phần mềm doanh nghiệp Software Audit là gì?

Kiểm kê phần mềm doanh nghiệp là quá trình rà soát, ghi nhận và đối chiếu toàn bộ phần mềm đang được sử dụng trong tổ chức với nhu cầu người dùng, thiết bị triển khai và giấy phép hợp pháp mà doanh nghiệp đang sở hữu. Đây không phải là một buổi “đi xem máy”, mà là một hoạt động quản trị tài sản phần mềm.

Một cuộc kiểm kê đúng cần đối chiếu 3 chiều:

BSA Compliance Solutions nhấn mạnh lợi ích của software asset management và cảnh báo rủi ro từ phần mềm không được cấp phép, bao gồm malware, ransomware và các mối đe dọa bảo mật nghiêm trọng. Vì vậy, kiểm kê phần mềm không chỉ giúp hợp thức hóa license, mà còn giúp doanh nghiệp giảm rủi ro bảo mật và tối ưu chi phí.

Bước 1: Thu thập thông số định danh người dùng User và thiết bị Device

Điểm bắt đầu đúng không phải là phần mềm, mà là con người và thiết bị. Trước khi biết công ty cần bao nhiêu license, IT phải biết doanh nghiệp có bao nhiêu người dùng đang hoạt động và mỗi người đang sử dụng những thiết bị nào.

IT nên phối hợp với HR, Hành chính và các trưởng bộ phận để xuất danh sách nhân sự hiện tại. Danh sách này cần phân biệt nhân viên chính thức, cộng tác viên, nhân sự thời vụ, tài khoản dùng chung, tài khoản dịch vụ và nhân sự đã nghỉ nhưng chưa thu hồi thiết bị hoặc tài khoản.

Sau đó, IT lập bảng mapping giữa người dùng và thiết bị:

Bước này giúp doanh nghiệp phát hiện nhiều điểm mù: máy đã đổi chủ nhưng chưa cập nhật, laptop cũ vẫn còn tài khoản phần mềm, nhân sự nghỉ việc nhưng license thuê bao vẫn còn gán, hoặc thiết bị cá nhân đang truy cập dữ liệu công ty nhưng chưa được quản lý.

Nếu không làm rõ lớp user và device, mọi bước kiểm kê phần mềm phía sau đều thiếu nền tảng.

Bước 2: Liệt kê danh sách ứng dụng App đang chạy thực tế trên hệ thống

Sau khi có danh sách người dùng và thiết bị, IT cần bóc lớp ứng dụng đang cài đặt hoặc đang được truy cập. Mục tiêu là xác định toàn bộ phần mềm có thể tạo rủi ro license, bảo mật hoặc chi phí.

Có thể thu thập dữ liệu bằng công cụ quản trị endpoint, công cụ kiểm kê LAN, script nội bộ, agent quản lý thiết bị hoặc rà soát thủ công với nhóm máy nhỏ. Với doanh nghiệp nhiều phòng ban, nên ưu tiên công cụ tự động để giảm sai sót.

Danh sách phần mềm nên được phân loại:

NIST CSF 2.0 có ví dụ triển khai cho ID.AM-02: duy trì inventory cho nhiều loại phần mềm và dịch vụ, bao gồm commercial off-the-shelf, open-source, custom applications, API services và cloud-based applications/services. Điều này rất phù hợp với môi trường doanh nghiệp hiện nay, nơi phần mềm không chỉ nằm trên ổ C của máy tính mà còn nằm trên cloud, trình duyệt và tài khoản người dùng.

Bước 3: Rà soát và đối chiếu với hồ sơ cấp phép License/Chứng từ

Đây là bước quyết định tính hợp pháp của toàn bộ cuộc kiểm kê. Sau khi IT có danh sách phần mềm thực tế, Mua hàng và Kế toán phải đưa ra hồ sơ cấp phép tương ứng để đối chiếu.

Bộ hồ sơ cần rà gồm:

Cách đối chiếu cần làm theo từng sản phẩm. Với license theo user, đối chiếu số user đang dùng với số license đã mua. Với license theo device, đối chiếu số máy cài đặt với số license thiết bị. Với phần mềm server hoặc ảo hóa, đối chiếu số server, CPU, core hoặc node. Với phần mềm cloud, đối chiếu trong admin center và hóa đơn subscription.

Nếu số lượng cài đặt lớn hơn số lượng đã mua, doanh nghiệp có rủi ro under-licensing. Nếu hóa đơn có nhưng không rõ Part Number/SKU, cần tra soát lại với nhà cung cấp. Nếu phần mềm đang dùng nhưng không có chứng từ, phải phân loại là thiếu hồ sơ hoặc rủi ro bản quyền, chưa nên kết luận hợp lệ.

Điểm quan trọng là IT và Kế toán phải dùng chung một bảng kiểm kê. Nếu mỗi phòng giữ một file riêng, dữ liệu sẽ nhanh chóng lệch nhau.

Điểm mù 1: Các phần mềm bẻ khóa Crack ẩn trong máy tính nhân viên

Trong nhiều cuộc kiểm kê, rủi ro không nằm ở phần mềm chính mà công ty đã mua, mà nằm ở các tiện ích người dùng tự cài. Nhân viên thiết kế có thể cài phần mềm chỉnh ảnh crack. Nhân viên văn phòng có thể cài tool chuyển file PDF lậu. Nhân viên kỹ thuật có thể dùng phần mềm nén, phần mềm remote hoặc phần mềm dựng video không rõ nguồn.

Dù công ty không chủ trương cài đặt, phần mềm đó vẫn nằm trên thiết bị công ty, truy cập mạng công ty và có thể xử lý dữ liệu công ty. Nếu có kiểm tra bản quyền hoặc sự cố mã độc, doanh nghiệp vẫn phải giải trình vì môi trường làm việc thuộc quyền quản lý của tổ chức.

Rủi ro của phần mềm crack không chỉ là pháp lý. Microsoft cảnh báo phần mềm giả mạo/counterfeit có thể khiến người dùng đối mặt với virus, malware, thiếu bản cập nhật bảo mật, hỏng file, mất dữ liệu và gián đoạn hoạt động kinh doanh.

Khi kiểm kê, IT nên tìm các dấu hiệu như:

Đây là nhóm cần xử lý ưu tiên vì vừa gây rủi ro bản quyền, vừa có thể là cửa vào cho ransomware.

Điểm mù 2: Lãng phí ngân sách do mua thừa License mà không sử dụng

Kiểm kê phần mềm không chỉ để tìm vi phạm. Nó còn giúp phát hiện lãng phí. Nhiều doanh nghiệp trả tiền subscription hàng năm cho user đã nghỉ việc, license không còn dùng, tài khoản thử nghiệm bị quên hoặc phần mềm mua cho dự án cũ nhưng vẫn tự động gia hạn.

Các trường hợp phổ biến gồm:

Với CFO, đây là phần rất đáng quan tâm. Chuẩn hóa phần mềm không nhất thiết làm ngân sách tăng. Nếu kiểm kê tốt, doanh nghiệp có thể cắt license thừa, thu hồi license từ người không dùng, chuyển gói phù hợp hơn và tránh mua mới khi vẫn còn license trống.

Một bảng kiểm kê đúng cần có cột “đang dùng thực tế hay không”. Chỉ nhìn số license đã mua là chưa đủ. Phải biết license nào đang tạo giá trị, license nào đang nằm im và license nào cần cắt trước kỳ gia hạn.

Điểm mù 3: Phần mềm “miễn phí” nhưng sai mục đích thương mại

Không phải phần mềm miễn phí nào cũng được dùng tự do trong doanh nghiệp. Đây là điểm nhiều IT bỏ qua khi kiểm kê. Một số phần mềm miễn phí cho cá nhân nhưng không miễn phí cho mục đích thương mại. Một số phần mềm open source có điều kiện phân phối, ghi nhận tác giả hoặc nghĩa vụ công bố mã nguồn khi chỉnh sửa/phân phối lại. Một số bản trial chỉ cho phép đánh giá, không cho dùng cho dự án thương mại.

Các cụm từ cần đặc biệt chú ý trong EULA hoặc trang tải phần mềm:

NIST CSF 2.0 nêu inventory nên bao gồm cả open-source, custom applications và cloud-based services, không chỉ phần mềm thương mại. Điều này rất quan trọng vì phần mềm miễn phí vẫn có thể tạo rủi ro license, bảo mật hoặc tuân thủ nếu không được quản lý.

Với doanh nghiệp, nguyên tắc là: phần mềm miễn phí vẫn phải được đưa vào danh sách rà soát. Không nên bỏ qua chỉ vì giá bằng 0.

Tại sao kiểm kê thủ công bằng Excel thường dẫn đến sai sót?

Excel có thể hữu ích ở giai đoạn đầu, đặc biệt với doanh nghiệp nhỏ. Nhưng khi số lượng thiết bị, user và phần mềm tăng lên, kiểm kê thủ công bằng Excel rất dễ sai.

Các lỗi thường gặp gồm:

Môi trường IT là động. Thiết bị hỏng, nhân sự đổi máy, phòng ban thay đổi, phần mềm được cài thêm, subscription tự động gia hạn, license được thu hồi rồi gán lại. Một file Excel tĩnh sẽ nhanh chóng lỗi thời nếu không gắn với quy trình cập nhật.

ISO/IEC 19770-2 quy định về thẻ định danh phần mềm để tối ưu việc nhận diện và quản lý phần mềm, còn NIST cho biết SWID Tag có thể được thu thập và trao đổi như dữ liệu inventory phục vụ software asset management và quy trình bảo mật. Điều này cho thấy quản lý phần mềm hiện đại nên tiến tới dữ liệu có cấu trúc, tự động hóa và đối chiếu liên tục, thay vì phụ thuộc hoàn toàn vào nhập liệu thủ công.

Với SME, Excel có thể là bước khởi đầu. Nhưng khi vượt một quy mô nhất định, doanh nghiệp nên cân nhắc công cụ quản trị endpoint, admin center, license portal hoặc hệ thống ITAM để giữ dữ liệu sống.

Bài toán quy hoạch: Từ số liệu kiểm kê đến quy trình chuẩn hóa đồng bộ

Sau khi có bảng kiểm kê, doanh nghiệp không nên dừng lại ở báo cáo. Bảng kiểm kê chỉ có giá trị khi nó dẫn tới hành động: mua bổ sung, cắt giảm license thừa, gỡ phần mềm rủi ro, thu hồi tài khoản cũ, chuẩn hóa chứng từ và thiết lập quy trình quản lý dài hạn.

Ban Giám đốc và IT nên chia kết quả kiểm kê thành 4 nhóm:

Sau đó, doanh nghiệp cần lập kế hoạch theo mức ưu tiên. Nhóm rủi ro cao xử lý trước. Nhóm thiếu license cần báo giá bổ sung. Nhóm dư license cần thu hồi hoặc cắt giảm khi gia hạn. Nhóm thiếu hồ sơ cần làm việc lại với nhà cung cấp, Kế toán và Mua hàng để hoàn thiện chứng từ.

CDC Technologies - Tư vấn Audit hệ thống và cung cấp giải pháp B2B

Tự kiểm kê phần mềm doanh nghiệp đòi hỏi thời gian, dữ liệu và phương pháp. Nếu IT chỉ quét máy mà không có chứng từ kế toán, kết quả sẽ thiếu tính pháp lý. Nếu Kế toán chỉ cầm hóa đơn mà không biết phần mềm đang cài ở đâu, kết quả sẽ thiếu tính thực tế. Nếu Mua hàng chỉ dựa vào báo giá cũ, doanh nghiệp có thể tiếp tục mua sai hoặc mua thừa.

CDC Technologies hỗ trợ doanh nghiệp kiểm kê và chuẩn hóa phần mềm theo góc nhìn B2B: kết hợp dữ liệu thiết bị, người dùng, ứng dụng, license, chứng từ và nhu cầu vận hành. Mục tiêu là giúp doanh nghiệp biết rõ mình đang thiếu gì, thừa gì, sai ở đâu và nên chuẩn hóa theo lộ trình nào để tối ưu chi phí.

CDC Technologies có thể hỗ trợ:

Bắt đầu kiểm kê để làm chủ hệ thống và tối ưu dòng tiền

Kiểm kê phần mềm không phải là một chiến dịch tìm lỗi để phạt, mà là bước đệm đầu tiên để doanh nghiệp làm chủ hệ thống, tối ưu dòng tiền và loại bỏ rủi ro pháp lý. Một nền tảng dữ liệu rõ ràng hôm nay sẽ giúp doanh nghiệp tránh chi phí sửa sai ngày mai.