PC văn phòng có cần TPM 2.0, Secure Boot và mật khẩu BIOS?

PC văn phòng có cần TPM 2.0, Secure Boot và mật khẩu BIOS không?

Với PC doanh nghiệp chạy Windows 11, TPM 2.0 và nền tảng UEFI có khả năng Secure Boot nên được xem là baseline kỹ thuật cần kiểm tra; mật khẩu BIOS/UEFI lại là một chính sách quản trị cần quyết định theo mức độ kiểm soát của tổ chức. Ba thành phần này không thay thế nhau.

Vì vậy, IT không nên dùng checklist đơn giản kiểu “có/không có ba tính năng”. Điều quan trọng hơn là xác định tính năng có tồn tại, đang ở trạng thái nào và tổ chức sẽ quản trị nó ra sao sau khi bàn giao máy.

TPM 2.0 có vai trò gì trên PC văn phòng?

TPM 2.0 là nền tảng bảo mật dựa trên phần cứng dùng để hỗ trợ các hoạt động mật mã và bảo vệ thông tin nhạy cảm như khóa. Với Windows 11, TPM 2.0 cũng nằm trong nhóm yêu cầu phần cứng của hệ điều hành.

TPM có thể được triển khai dưới nhiều hình thức tùy nền tảng phần cứng. Với IT, câu hỏi thực tế không nên chỉ là “máy có chip TPM rời không?” mà là thiết bị có TPM 2.0 đáp ứng yêu cầu và Windows có nhận trạng thái TPM sẵn sàng hay không.

TPM thường liên quan tới các lớp bảo mật như:

• Bảo vệ hoặc hỗ trợ lưu giữ vật liệu khóa mật mã.
• Hỗ trợ BitLocker bảo vệ dữ liệu ổ đĩa.
• Hỗ trợ một số cơ chế xác thực của Windows.
• Ghi nhận các phép đo liên quan tới trạng thái khởi động.
• Tạo nền tảng cho các chức năng bảo mật khác của hệ điều hành và thiết bị.

Vì vậy, TPM không phải một phần mềm diệt virus và cũng không tự động làm toàn bộ PC trở nên an toàn. Nó là một trong các thành phần nền tảng để những cơ chế bảo mật ở lớp trên hoạt động đúng thiết kế.

Khi nhận một lô PC mới, IT nên kiểm tra TPM theo mẫu thống nhất thay vì chờ tới khi bật mã hóa ổ đĩa hoặc triển khai chính sách mới phát hiện một số thiết bị chưa ở trạng thái mong muốn.

Secure Boot bảo vệ PC ở giai đoạn nào?

Secure Boot bảo vệ ngay từ giai đoạn máy bắt đầu khởi động, trước khi Windows hoàn toàn tiếp quản hệ thống. Firmware kiểm tra chữ ký của các thành phần tham gia boot và chỉ cho phép các thành phần đáp ứng chính sách tin cậy được thực thi.

Đây là lớp bảo vệ khác với EDR hoặc antivirus. Các công cụ bảo mật endpoint chủ yếu hoạt động khi hệ điều hành đã chạy, trong khi Secure Boot tập trung vào chuỗi khởi động sớm hơn.

Với PC văn phòng tiêu chuẩn chạy Windows 11, IT không nên tắt Secure Boot chỉ để xử lý nhanh một lỗi cài đặt mà chưa tìm nguyên nhân. Việc thay đổi trạng thái này có thể ảnh hưởng tới các cơ chế bảo vệ khác và tới cách hệ thống được đánh giá sau đó.

Nếu ứng dụng, driver hoặc thiết bị đặc thù yêu cầu thay đổi Secure Boot, nên kiểm thử riêng và ghi nhận ngoại lệ thay vì thay chính sách cho toàn bộ lô PC.

TPM 2.0 và Secure Boot liên quan thế nào đến BitLocker?

TPM và Secure Boot có thể cùng tham gia vào chuỗi bảo vệ mà BitLocker sử dụng để xác định môi trường khởi động có còn ở trạng thái được tin cậy hay không. Vì vậy, thay đổi firmware hoặc cấu hình boot không nên được thực hiện tùy tiện trên PC đã mã hóa.

Trong mô hình phổ biến, TPM giúp bảo vệ thông tin khóa và ghi nhận trạng thái nền tảng. Secure Boot giúp duy trì chuỗi boot tin cậy. BitLocker có thể sử dụng các thông tin này để bảo vệ quá trình mở khóa ổ đĩa.

Trước khi thay đổi BIOS/UEFI trên máy đã bật BitLocker, IT nên:

1. Xác định máy có đang sử dụng BitLocker hay cơ chế mã hóa khác không.
2. Kiểm tra recovery key có được lưu đúng nơi doanh nghiệp quản lý hay chưa.
3. Xem tài liệu của nhà sản xuất và quy trình thay đổi firmware.
4. Thực hiện thay đổi trên nhóm thử nghiệm nếu là tác động diện rộng.
5. Xác nhận máy khởi động và trạng thái bảo mật bình thường sau thay đổi.

Mục tiêu là tránh tình trạng IT thay firmware hoặc thiết lập boot hàng loạt rồi mới phát hiện một nhóm thiết bị yêu cầu BitLocker Recovery khi người dùng khởi động lại.

PC văn phòng có nhất thiết phải đặt mật khẩu BIOS không?

Không phải mọi PC đều bắt buộc phải đặt mật khẩu BIOS/UEFI, nhưng đây là một kiểm soát nên cân nhắc khi doanh nghiệp muốn hạn chế người dùng tự thay đổi cấu hình firmware.

Mật khẩu BIOS không phải một tính năng duy nhất. Tùy hãng và model, firmware có thể cung cấp các loại mật khẩu với phạm vi khác nhau như supervisor/administrator password, power-on password, system management password hoặc mật khẩu ổ lưu trữ.

Với PC doanh nghiệp, cần phân biệt ít nhất hai mục tiêu:

Trong nhiều môi trường, mục tiêu IT cần là ngăn người dùng tùy ý thay boot order, tắt TPM, tắt Secure Boot hoặc chỉnh các thiết lập firmware khác. Điều đó không đồng nghĩa mọi nhân viên phải nhập một mật khẩu BIOS mỗi lần khởi động.

Trước khi triển khai, IT phải kiểm tra chính xác cơ chế mật khẩu của model đang mua. Tên gọi, khả năng quản trị và quy trình khôi phục không hoàn toàn giống nhau giữa các hãng hoặc dòng máy.

Rủi ro lớn nhất khi đặt mật khẩu BIOS là quản lý mật khẩu không đúng

Mật khẩu BIOS chỉ tạo thêm giá trị khi doanh nghiệp có quy trình quản lý mật khẩu tương ứng. Một mật khẩu mạnh nhưng không ai biết đang được lưu ở đâu có thể biến thành vấn đề vận hành khi cần bảo trì, thay linh kiện hoặc thay đổi cấu hình.

IT cần tránh các cách làm sau:

• Đặt mật khẩu rồi lưu trong file Excel không được kiểm soát.
• Dùng một mật khẩu chung nhưng không có quy trình thay đổi khi nhân sự IT nghỉ việc.
• Cho người dùng cuối biết mật khẩu quản trị firmware.
• Không ghi nhận máy nào đã áp chính sách.
• Không kiểm thử quy trình recovery hoặc thay đổi firmware.
• Đặt mật khẩu trước khi xác định khả năng quản trị theo lô của model.

Nếu doanh nghiệp sử dụng password vault hoặc nền tảng quản trị bí mật, thông tin BIOS nên được kiểm soát theo cùng nguyên tắc phân quyền và truy vết phù hợp với chính sách nội bộ.

Với đội PC lớn, IT cũng nên kiểm tra công cụ quản trị firmware của nhà sản xuất thay vì mặc định phải vào BIOS từng máy để cấu hình thủ công.

Những thiết lập BIOS nào không nên để người dùng tự thay đổi?

Các thiết lập ảnh hưởng tới chuỗi boot, TPM và nền tảng bảo mật nên nằm trong phạm vi IT kiểm soát nếu doanh nghiệp đang chuẩn hóa endpoint.

Tùy model và chính sách, IT thường cần chú ý:

• Bật/tắt TPM.
• Bật/tắt Secure Boot.
• Boot mode và boot order.
• Cho phép boot từ USB hoặc thiết bị ngoài.
• Các thiết lập liên quan tới virtualization nếu tổ chức có chính sách riêng.
• Một số cổng hoặc thiết bị tích hợp nếu cần hạn chế.
• Các thiết lập firmware khác được quy định trong baseline của tổ chức.

Không phải tất cả các mục trên đều phải khóa giống nhau trong mọi doanh nghiệp. Chẳng hạn, đội hỗ trợ kỹ thuật có thể cần boot USB thường xuyên trong khi PC người dùng thông thường không có nhu cầu đó.

Vì vậy, chính sách BIOS nên được xây từ use case và mức độ rủi ro, không phải bật tối đa mọi lựa chọn bảo mật chỉ vì firmware có hỗ trợ.

Cách kiểm TPM 2.0, Secure Boot và BIOS trước khi bàn giao PC theo lô

Ba hạng mục này nên được đưa vào baseline trước khi rollout, không nên đợi máy tới tay người dùng mới kiểm tra từng trường hợp.

Một quy trình triển khai có thể đi theo sáu bước liên tục:

Bước 1: Xác định baseline bảo mật của tổ chức

Quy định rõ TPM cần ở trạng thái nào, Secure Boot có phải bật hay không, BIOS cần khóa những quyền nào và PC có được phép boot thiết bị ngoài hay không.

Bước 2: Kiểm đúng part number trước khi mua

Đọc tài liệu kỹ thuật của model và part number để xác nhận nền tảng bảo mật cũng như các tùy chọn quản trị firmware cần thiết.

Bước 3: Xác nhận TPM và Secure Boot trên máy mẫu

Trên máy pilot, xác nhận Windows nhận TPM đúng trạng thái, kiểm Secure Boot và đối chiếu cấu hình UEFI trước khi sao chép baseline sang lô lớn.

Bước 4: Kiểm tương thích với image và phần mềm

Thử quá trình cài image, driver, EDR, BitLocker và các ứng dụng quan trọng trong trạng thái firmware mà doanh nghiệp dự kiến sử dụng.

Bước 5: Áp chính sách BIOS/UEFI

Nếu cần mật khẩu hoặc khóa một số thiết lập, thực hiện theo quy trình được phê duyệt và ghi nhận cách quản lý thông tin phục hồi trước khi rollout.

Bước 6: Kiểm lại trước bàn giao

Xác nhận TPM, Secure Boot và các thiết lập BIOS quan trọng vẫn đúng baseline sau staging, cập nhật firmware và các thay đổi cuối cùng.

Các thiết lập này nên nằm trong cùng quy trình chuẩn hóa cấu hình PC thay vì được xử lý như ba tác vụ độc lập sau khi thiết bị đã được bàn giao.

Nên đưa ba hạng mục này vào tiêu chí mua PC như thế nào?

Trong yêu cầu mua sắm, nên mô tả kết quả cần đạt thay vì chỉ ghi chung “máy có bảo mật cao”. Cách này giúp IT và Mua hàng kiểm được cấu hình trên đúng part number trước khi phê duyệt.

Với dự án số lượng lớn, việc xác minh trên đúng part number rất quan trọng vì các tùy chọn bảo mật hoặc quản trị có thể khác giữa các cấu hình trong cùng một họ sản phẩm.

Khi các yêu cầu này đã được khóa, doanh nghiệp có thể đưa chúng vào phạm vi cung ứng thiết bị CNTT theo tiêu chuẩn doanh nghiệp để kiểm soát từ bước chọn model tới staging và bàn giao.

Những lỗi thường gặp khi triển khai bảo mật firmware

Rủi ro thường đến từ việc thay đổi firmware không có baseline hoặc áp chính sách đại trà trước khi pilot.

• Chỉ kiểm máy “có TPM”: không xác nhận phiên bản và trạng thái TPM mà Windows nhận được.
• Tắt Secure Boot để xử lý lỗi cài đặt: nhưng không ghi nhận hoặc bật lại sau khi hoàn thành.
• Đặt BIOS password nhưng không có vault: tạo rủi ro khóa chính đội IT khỏi firmware.
• Dùng chung mật khẩu thiếu kiểm soát: không có quy trình đổi khi quyền quản trị thay đổi.
• Thay firmware khi chưa kiểm BitLocker: có thể gây tình huống người dùng phải nhập recovery key.
• Không pilot: một cấu hình sai được nhân lên toàn bộ lô PC.
• Không kiểm lại sau staging: trạng thái cuối cùng của máy có thể khác baseline ban đầu.
• Đồng nhất mọi đối tượng: PC tiêu chuẩn, máy kỹ thuật và thiết bị có nhu cầu boot đặc biệt bị áp cùng một chính sách.

CDC Technologies hỗ trợ rà soát baseline bảo mật PC như thế nào?

CDC Technologies có thể phối hợp cùng IT và Security để đối chiếu yêu cầu bảo mật phần cứng với model, part number và phạm vi triển khai PC trước khi khóa lô thiết bị.

Các đầu vào nên chuẩn bị gồm:

• Model hoặc cấu hình PC dự kiến.
• Phiên bản Windows.
• Yêu cầu TPM 2.0 và Secure Boot.
• Có triển khai BitLocker hay không.
• Các thiết lập BIOS cần khóa.
• Yêu cầu boot USB hoặc ngoại lệ kỹ thuật.
• Cách lưu và quản trị BIOS password nếu áp dụng.
• Công cụ quản trị endpoint hiện có.
• Quy mô và kế hoạch rollout.

Mục tiêu là chuyển các yêu cầu “cần bảo mật tốt” thành những trạng thái có thể kiểm tra được trước và sau staging: TPM đúng phiên bản và sẵn sàng, Secure Boot đúng chính sách, BIOS có mức kiểm soát phù hợp và recovery được quản lý trước khi máy tới người dùng.

Với bảo mật phần cứng PC văn phòng, TPM 2.0 và Secure Boot là nền tảng quan trọng nhưng không tự tạo thành một hệ thống endpoint an toàn. Mật khẩu BIOS cũng chỉ có giá trị khi đi kèm quản trị mật khẩu, kiểm soát thay đổi và quy trình recovery. Ba lớp này nên được đặt trong cùng baseline với Windows, BitLocker, EDR và chính sách vận hành của IT.