Lưu trữ email tuân thủ: hướng dẫn thực tế cho doanh nghiệp

Lưu trữ email (email archiving) là giữ một bản sao không sửa được, tìm kiếm được của mọi thư tổ chức gửi và nhận, trong một thời hạn xác định, tách riêng khỏi hộp thư của người dùng. Khác với sao lưu, kho lưu trữ sinh ra để tìm và chứng minh: bạn tìm kiếm, đặt lệnh giữ pháp lý và xuất thư cho kiểm toán, tranh chấp hay cơ quan chức năng, kể cả khi người dùng đã xoá thư từ lâu.

Phần lớn công ty chỉ nghĩ đến lưu trữ email khi luật sư, kiểm toán viên hay cán bộ thuế hỏi "cho xem toàn bộ thư trao đổi với nhà cung cấp này trong năm 2023". Bài này giải thích lưu trữ email là gì, khác sao lưu ra sao, thế nào là kho lưu trữ đạt yêu cầu tuân thủ, và cách triển khai không rườm rà.

Lưu trữ, sao lưu và dọn hộp thư là ba việc khác nhau

Ba khái niệm này hay bị dùng lẫn, nhưng giải quyết ba bài toán khác nhau:

Một hệ thống email tốt có đủ cả ba. Sao lưu giúp bạn chạy lại được; kho lưu trữ là thứ bạn đưa cho kiểm toán.

Vì sao doanh nghiệp cần lưu trữ email

Quy định pháp luật. Nhiều ngành phải lưu giữ thư từ giao dịch trong một thời hạn nhất định. Ví dụ nổi tiếng là các công ty môi giới chứng khoán ở Mỹ, theo Quy tắc SEC 17a-4 phải lưu một số hồ sơ ở dạng không ghi đè, không xoá được. Ở Việt Nam, Luật Kế toán cũng quy định thời hạn lưu trữ tài liệu kế toán kéo dài nhiều năm, và email có thể là một phần của hồ sơ đó. Quy định khác nhau theo quốc gia và ngành, nên hãy hỏi kế toán hoặc luật sư về nghĩa vụ cụ thể của bạn.

Tranh chấp, kiện tụng. Trong tranh chấp hợp đồng hay khiếu nại lao động, email thường là chứng cứ chính. Đưa ra được thư đầy đủ, nguyên vẹn một cách nhanh chóng giúp bạn ở thế mạnh hơn và giảm chi phí pháp lý.

Nhân sự nghỉ việc. Khi một người nghỉ và hộp thư bị xoá, toàn bộ trao đổi với khách hàng, nhà cung cấp có thể biến mất. Kho lưu trữ giữ hồ sơ của công ty bất kể tài khoản cá nhân ra sao.

Điều tra nội bộ. Gian lận, lộ dữ liệu, khiếu nại quấy rối đều cần một hồ sơ đáng tin về ai nói gì, lúc nào.

Cũng cần cân bằng. Các quy định bảo vệ dữ liệu cá nhân — như GDPR ở châu Âu hay Nghị định 13/2023/NĐ-CP ở Việt Nam — đều hướng tới việc không giữ dữ liệu cá nhân lâu hơn mức cần thiết. Một thời hạn lưu giữ rõ ràng, thay vì "giữ mãi mãi", giúp bạn đáp ứng cả hai phía.

Thế nào là kho lưu trữ đạt yêu cầu tuân thủ

Không phải thư mục nào tên "Lưu trữ" cũng là kho lưu trữ tuân thủ. Hãy kiểm tra các tính chất sau:

1. Đầy đủ. Thư được chép ngay trên máy chủ khi gửi hoặc nhận, trước khi người dùng kịp xoá. Người dùng tự kéo thư vào thư mục "Archive" là không đủ.
2. Bất biến. Bản lưu không sửa, không xoá được cho tới khi hết hạn. Mạnh nhất là kho WORM (ghi một lần, đọc nhiều lần), ví dụ kho đối tượng bật S3 Object Lock.
3. Chính sách thời hạn. Có thời hạn rõ ràng, và hành vi dễ đoán khi bạn thay đổi thời hạn.
4. Giữ pháp lý (legal hold). Tạm dừng việc xoá cho một số người hoặc cả tổ chức khi có vụ việc, ưu tiên hơn thời hạn thông thường.
5. Tìm kiếm và xuất eDiscovery. Tìm theo người tham gia, ngày, tiêu đề, chiều thư; xuất ra định dạng chuẩn (như .eml) kèm danh mục liệt kê những gì đã xuất.
6. Nhật ký kiểm toán. Mọi lượt tìm, xem, xuất đều được ghi lại để chứng minh ai đã truy cập gì. Kho lưu trữ chứa dữ liệu nhạy cảm, quyền truy cập phải truy vết được.

Nên giữ email doanh nghiệp bao lâu?

Không có một con số chung. Thời hạn phụ thuộc vào:

• Yêu cầu pháp luật của ngành và của mọi quốc gia bạn hoạt động.
• Điều khoản hợp đồng, như thời hạn bảo hành hay trách nhiệm với khách hàng.
• Thời hiệu khởi kiện theo luật nơi bạn hoạt động.
• Nghĩa vụ bảo vệ dữ liệu cá nhân, vốn không khuyến khích giữ lâu hơn cần thiết.

Nhiều tổ chức chọn vài năm cho thư từ kinh doanh thông thường, và lâu hơn cho một số hồ sơ chịu quản lý riêng. Hãy ghi quyết định thành một chính sách lưu giữ ngắn gọn, được ban lãnh đạo duyệt và xem lại hằng năm. Chưa chắc thì hỏi luật sư trước khi chọn con số.

Giữ pháp lý và eDiscovery nói cho dễ hiểu

Giữ pháp lý là lệnh "không được xoá". Khi có khả năng xảy ra tranh chấp hay điều tra, bạn đặt lệnh giữ cho các hộp thư liên quan (hoặc cả tổ chức), có thể giới hạn theo khoảng ngày. Trong thời gian giữ, thư vẫn nằm trong kho dù đã hết hạn lưu thông thường, và người dùng không xoá vĩnh viễn được.

eDiscovery là quy trình tìm và cung cấp hồ sơ điện tử liên quan. Với email, thực tế là: tìm trong kho theo bộ lọc (người gửi, người nhận, hộp thư, tiêu đề, khoảng ngày), rà kết quả, rồi xuất ra định dạng mà luật sư và công cụ đọc được, kèm danh mục ghi lại những gì đã cung cấp.

Cả hai nên giới hạn cho vài vai trò tin cậy, và đều phải được ghi nhật ký.

Kho lưu trữ tuân thủ của Zomail hoạt động thế nào

Ở các gói có tính năng này, Zomail cung cấp kho lưu trữ tuân thủ xây quanh các tính chất trên:

• Bản sao bất biến của mọi thư gửi và nhận, chép ngay trên máy chủ.
• Thời hạn lưu giữ từ 1 đến 100 năm, đặt theo tổ chức. Tăng thời hạn áp dụng cả cho thư đã lưu; giảm thời hạn chỉ áp dụng cho thư mới. Tắt lưu trữ không xoá những gì đã lưu.
• Kho WORM với S3 Object Lock khi kho lưu trữ được cấu hình như vậy; trang quản trị hiện rõ kho có ở chế độ bất biến hay không.
• Giữ pháp lý cho cả tổ chức hoặc một số hộp thư, có tên vụ việc, lý do và khoảng ngày tuỳ chọn. Thư đang bị giữ không bị xoá khi hết hạn, người dùng của hộp thư bị giữ không xoá vĩnh viễn được thư trên webmail.
• Tìm kiếm eDiscovery theo người tham gia, người gửi, người nhận, hộp thư, tiêu đề, chiều thư và ngày; xuất thành tệp .zip gồm các tệp .eml và manifest.csv.
• Nhật ký kiểm toán cho mọi lượt tìm, xem, tải và xuất.

Kho lưu trữ đi cùng các công cụ khôi phục khác của Zomail: sao lưu mã hoá đặt ở nơi khác, ảnh chụp hộp thư hằng giờ để khôi phục thư bị xoá, và quản trị viên khôi phục được thư đã xoá của người dùng. Bài bảo mật email doanh nghiệp đặt các công cụ này trong bức tranh rộng hơn, còn hướng dẫn quản trị cơ bản nói về vai trò và nhật ký kiểm toán.

Triển khai lưu trữ email: danh sách ngắn

1. Chốt thời hạn lưu giữ với ban lãnh đạo, tốt nhất có ý kiến pháp lý.
2. Bật lưu trữ trước khi cần. Kho chỉ chép thư từ lúc được bật, không tái tạo được lịch sử đã xoá. Nếu đang chuyển nhà cung cấp, hãy bật trước khi đổi MX (xem chuyển email từ Microsoft 365).
3. Xác nhận tính bất biến. Kiểm tra kho có ở chế độ WORM nếu nghĩa vụ của bạn đòi hỏi.
4. Giới hạn quyền truy cập cho vài người cụ thể có xác thực 2 bước, định kỳ xem nhật ký kiểm toán.
5. Viết quy trình giữ pháp lý: ai được yêu cầu, ai thực hiện, ai gỡ lệnh giữ.
6. Thử xuất một lần, để lần yêu cầu thật đầu tiên không phải là lần đầu bạn làm.

Nếu bạn muốn lưu trữ, giữ pháp lý và eDiscovery nằm cùng chỗ với email doanh nghiệp, Zomail có những tính năng này ở các gói kèm kho lưu trữ tuân thủ — xem gói nào có và giá hiện hành trên trang bảng giá.

FAQ

Lưu trữ email khác sao lưu email thế nào?

Sao lưu để khôi phục: lấy lại dữ liệu sau sự cố hay thao tác nhầm, thường giữ vài tuần tới vài tháng. Lưu trữ để làm bằng chứng: hồ sơ bất biến, tìm kiếm được của mọi thư, giữ nhiều năm, có giữ pháp lý và xuất dữ liệu.

Thư mục "Lưu trữ" trong hộp thư có phải kho lưu trữ tuân thủ không?

Không. Thư mục mà người dùng tự kéo thư vào và xoá được chỉ là cách sắp xếp. Kho lưu trữ tuân thủ tự chép thư trên máy chủ và không cho thay đổi cho tới khi hết hạn.

Công ty nên giữ email bao lâu?

Tuỳ ngành, quốc gia hoạt động, điều khoản hợp đồng và quy định về dữ liệu cá nhân. Nhiều doanh nghiệp giữ thư thông thường vài năm, hồ sơ chịu quản lý riêng thì lâu hơn. Hãy đặt chính sách bằng văn bản với ý kiến pháp lý.

Giữ pháp lý (legal hold) email là gì?

Là lệnh ngăn xoá những thư liên quan trong khi có tranh chấp hoặc điều tra, kể cả khi thư đã hết hạn lưu thông thường. Lệnh được gỡ khi vụ việc kết thúc.

Kho lưu trữ có chứa thư từ trước khi bật không?

Thông thường là không. Kho chép thư từ lúc được bật. Thư chuyển sang sau có thể nằm trong hộp thư, nhưng cam kết của kho chỉ áp dụng cho những gì nó đã chép, nên hãy bật sớm.