Phân quyền quản lý dữ liệu khoa học theo cấp: Quản trị viên, lãnh đạo đơn vị và nhà khoa học khác nhau thế nào ​

Phân quyền quản lý dữ liệu khoa học theo cấp là cơ chế phân chia quyền xem, chỉnh sửa và xét duyệt dữ liệu nghiên cứu trên hệ thống CSDL KH&CN theo ba nhóm chính: nhà khoa học tự quản lý hồ sơ cá nhân, lãnh đạo/cán bộ quản lý đơn vị thao tác trong phạm vi đơn vị được phân công, và quản trị viên vận hành toàn hệ thống. Cơ chế này quyết định ai được thấy dữ liệu gì và ai có quyền phê duyệt các bước trong quy trình, đồng thời là yêu cầu bắt buộc theo nguyên tắc kiểm soát truy cập tại Nghị định 85/2016/NĐ-CP về bảo đảm an toàn hệ thống thông tin theo cấp độ.

Cập nhật: tháng 7/2026 — Biên soạn bởi đội ngũ Scibase, Metis JSC

Vì sao cần phân quyền theo cấp trong hệ thống CSDL khoa học? ​

Phân quyền theo cấp là nguyên tắc bảo đảm mỗi người dùng chỉ truy cập đúng phạm vi dữ liệu tương ứng với vai trò và trách nhiệm của mình, tránh tình trạng dữ liệu bị chỉnh sửa sai thẩm quyền hoặc rò rỉ thông tin ngoài phạm vi cần thiết.

Nếu không có phân quyền rõ ràng, một hệ thống CSDL khoa học dùng chung cho toàn đơn vị dễ gặp hai rủi ro: nhà khoa học có thể tự sửa điểm công trình hoặc giờ nghiên cứu của chính mình, hoặc cán bộ một khoa/viện có thể xem và chỉnh sửa dữ liệu của khoa/viện khác không thuộc phạm vi quản lý. Phân quyền theo ba cấp — nhà khoa học, lãnh đạo đơn vị, quản trị viên — giải quyết cả hai vấn đề bằng cách giới hạn phạm vi thao tác của từng nhóm ngay từ thiết kế hệ thống.

Đây không chỉ là vấn đề kỹ thuật. Theo Nghị định 85/2016/NĐ-CP của Chính phủ về bảo đảm an toàn hệ thống thông tin theo cấp độ, hệ thống thông tin phục vụ hoạt động nội bộ có xử lý dữ liệu cá nhân của người dùng (như hồ sơ khoa học của cán bộ, viên chức) phải được phân loại cấp độ an toàn và áp dụng kiểm soát truy cập tương ứng — Bộ Thông tin và Truyền thông đã ban hành Thông tư 12/2022/TT-BTTTT hướng dẫn chi tiết yêu cầu này. Song song đó, Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân (hiệu lực từ 1/7/2023) trao cho chủ thể dữ liệu 11 nhóm quyền cơ bản, trong đó có quyền được biết ai đang xử lý dữ liệu của mình — một hệ thống phân quyền rõ ràng theo cấp giúp đơn vị chứng minh việc tuân thủ này khi cần giải trình.

Theo Báo cáo điều tra vi phạm dữ liệu (Data Breach Investigations Report) 2024 của Verizon — phân tích 10.626 vụ vi phạm dữ liệu được xác nhận trong năm 2023 — 68% số vụ vi phạm liên quan đến yếu tố con người không cố ý, như thao tác nhầm hoặc bị lừa qua kỹ thuật xã hội, chứ không phải tấn công có chủ đích. Phân quyền chặt theo nguyên tắc "chỉ cấp quyền tối thiểu cần thiết" là biện pháp trực tiếp thu hẹp phạm vi thiệt hại khi xảy ra sự cố loại này.

Ba cấp phân quyền chính trên hệ thống CSDL KH&CN ​

Hệ thống CSDL khoa học và công nghệ hiện đại thường chia người dùng thành ba nhóm quyền hạn tăng dần theo phạm vi quản lý:

CấpPhạm vi dữ liệuQuyền chính
Nhà khoa họcHồ sơ và công bố cá nhânXem, chỉnh sửa hồ sơ, khai báo công bố, theo dõi trạng thái xét duyệt
Lãnh đạo/quản lý đơn vịToàn bộ dữ liệu thuộc đơn vị được phân côngXét duyệt công bố, quản lý thành viên, tổng hợp báo cáo đơn vị
Quản trị viênToàn bộ hệ thống, mọi đơn vịQuản lý tài khoản, cơ cấu tổ chức, phân quyền vai trò, cấu hình hệ thống

Ba cấp này không loại trừ lẫn nhau mà xếp lồng vào nhau: quyền của lãnh đạo đơn vị bao trùm quyền của nhà khoa học trong phạm vi đơn vị đó, còn quyền quản trị viên bao trùm toàn bộ hệ thống. Mô hình này tương tự nguyên tắc kiểm soát truy cập theo vai trò (Role-Based Access Control — RBAC) được áp dụng phổ biến trong các hệ thống quản lý dữ liệu doanh nghiệp và cơ quan nhà nước.

Mô hình ba cấp trên phù hợp với một viện, trường quản lý dữ liệu nội bộ của chính mình. Đối với Sở Khoa học và Công nghệ — cơ quan quản lý nhà nước tổng hợp dữ liệu từ nhiều viện, trường, doanh nghiệp độc lập trên địa bàn — mô hình phân quyền cần thêm một lớp trung gian (tổ chức khai báo → cán bộ Sở thẩm định theo lĩnh vực → lãnh đạo Sở phê duyệt tổng hợp), xem chi tiết tại bài CSDL khoa học công nghệ cấp Sở, tỉnh: đặc thù quản lý.

Quyền hạn của nhà khoa học ​

Nhà khoa học là cấp có phạm vi dữ liệu hẹp nhất nhưng quyền thao tác sâu nhất trên chính hồ sơ của mình. Trên hệ thống, nhà khoa học có thể xem và chỉnh sửa lý lịch khoa học điện tử (quá trình công tác, đào tạo, ngoại ngữ), tải xuống lý lịch dưới dạng file Word, thêm và quản lý công bố khoa học của mình theo từng loại, xem bảng quy đổi giờ nghiên cứu cá nhân và xuất Excel kết quả quy đổi.

Nhà khoa học không có quyền xét duyệt công bố của người khác hay xem dữ liệu của đơn vị khác — mọi công bố khai báo đều phải qua quy trình xét duyệt trước khi được ghi nhận chính thức. Cơ chế này tương ứng với quy trình xét duyệt công bố khoa học nội bộ đơn vị đã được thiết kế theo nhiều cấp duyệt. Ví dụ thực tế: một giảng viên khai báo bài báo Scopus Q2 lên hệ thống, trạng thái ban đầu là "Chờ duyệt" — giảng viên chỉ xem được trạng thái và bổ sung minh chứng khi được yêu cầu, không thể tự chuyển trạng thái sang "Đã ghi nhận" dù đã đủ minh chứng, vì thao tác đó thuộc thẩm quyền cấp lãnh đạo đơn vị trở lên.

Quyền hạn của lãnh đạo và cán bộ quản lý đơn vị ​

Nhóm này thao tác trong phạm vi đơn vị được phân công, với quyền hạn rộng hơn nhiều so với nhà khoa học thông thường. Cụ thể, lãnh đạo/quản lý đơn vị có thể xem cây tổ chức và chi tiết đơn vị mình quản lý, quản lý thành viên (thêm nhà khoa học vào đơn vị, cập nhật vai trò công tác, xoá khỏi đơn vị), xét duyệt công bố khoa học theo từng bước quy trình, quản lý toàn bộ công bố thuộc phạm vi đơn vị, đăng tin tức/thông báo nội bộ, và tổng hợp báo cáo khối lượng nghiên cứu theo đơn vị để xuất Excel.

Phạm vi quyền của cấp này bị giới hạn nghiêm ngặt trong ranh giới đơn vị được phân công — một trưởng khoa không thể xem hay chỉnh sửa dữ liệu của khoa khác trừ khi được cấp thêm quyền quản lý ở cấp cao hơn trong cây tổ chức. Trong thực tế triển khai tại các viện, trường, vai trò này thường được gán cho trưởng/phó khoa, trưởng phòng KH&CN hoặc thư ký khoa học được uỷ quyền — nhưng cần phân biệt rõ ai là người có thẩm quyền quyết định cuối cùng (thường là lãnh đạo đơn vị) và ai chỉ hỗ trợ thao tác kỹ thuật (thư ký nhập liệu, kiểm tra hồ sơ), để tránh tình trạng một tài khoản thư ký vô tình có quyền phê duyệt chính thức.

Quyền hạn của quản trị viên hệ thống ​

Quản trị viên có phạm vi truy cập rộng nhất, bao trùm toàn bộ hệ thống thay vì giới hạn trong một đơn vị. Ba nhóm chức năng quản trị chính gồm: quản lý toàn bộ nhà khoa học trên hệ thống (tạo, chỉnh sửa, kích hoạt/ngưng hoạt động tài khoản, xoá vĩnh viễn khi cần), quản lý cấu trúc tổ chức toàn đơn vị (thêm/xoá đơn vị, gán đơn vị trực thuộc, nhập/xuất Excel hàng loạt), và quản lý vai trò/phân quyền — bao gồm tạo vai trò tuỳ chỉnh, gán vai trò cho từng người dùng ở cấp hệ thống lẫn cấp đơn vị.

Chức năng phân công vai trò trong đơn vị của quản trị viên chính là cơ chế quyết định phạm vi dữ liệu mà mỗi lãnh đạo đơn vị được truy cập và quản lý — đây là mắt xích trung tâm kết nối ba cấp phân quyền lại với nhau.

Vì nắm quyền cao nhất, tài khoản quản trị viên cũng là mục tiêu rủi ro lớn nhất nếu bị lộ hoặc dùng sai. Theo Báo cáo chi phí vi phạm dữ liệu (Cost of a Data Breach Report) 2024 của IBM, chi phí trung bình toàn cầu cho một vụ vi phạm dữ liệu đạt 4,88 triệu USD trong năm 2024, tăng 10% so với năm trước; cấu hình sai quyền truy cập trên nền tảng đám mây góp phần gây ra 15% số vụ vi phạm được khảo sát. Đây là lý do vì sao số lượng tài khoản có quyền quản trị viên nên được giữ ở mức tối thiểu cần thiết, thay vì cấp cho toàn bộ cán bộ IT hoặc cán bộ phòng KH&CN "cho tiện". Phân quyền đúng vai trò chỉ là một lớp bảo vệ; các lớp bổ sung như mã hoá dữ liệu, xác thực đa yếu tố và sao lưu định kỳ được trình bày tại bài bảo mật dữ liệu khoa học: rủi ro, quy định pháp lý và cách bảo vệ hệ thống CSDL đơn vị nghiên cứu.

Quy trình thiết lập phân quyền khi triển khai hệ thống mới ​

Khi đưa hệ thống CSDL KH&CN vào vận hành, đơn vị nên thiết lập phân quyền theo trình tự sau để tránh phải làm lại giữa chừng:

  1. Xác định sơ đồ tổ chức — liệt kê đầy đủ đơn vị trực thuộc (khoa, viện, phòng, ban, trung tâm) theo đúng cây quản lý hành chính hiện hành.
  2. Liệt kê vai trò cần thiết — ngoài ba cấp mặc định, xác định vai trò đặc thù (hội đồng khoa học, thư ký khoa học, cán bộ sở hữu trí tuệ...).
  3. Gán phạm vi dữ liệu cho từng vai trò — vai trò nào thấy dữ liệu đơn vị nào, có quyền xét duyệt hay chỉ xem báo cáo.
  4. Tạo tài khoản quản trị viên tối thiểu — chỉ cấp quyền quản trị cho 1–2 cán bộ đầu mối, có quy trình bàn giao khi nhân sự thay đổi.
  5. Phân quyền lãnh đạo theo cây tổ chức — gán đúng người có thẩm quyền phê duyệt, tách quyền phê duyệt khỏi quyền nhập liệu hỗ trợ.
  6. Kiểm thử trên dữ liệu mẫu — cho từng vai trò đăng nhập thử, xác nhận đúng phạm vi thấy/sửa/duyệt trước khi nhập dữ liệu thật.
  7. Rà soát định kỳ (6–12 tháng/lần) — thu hồi quyền của nhân sự đã nghỉ việc hoặc chuyển đơn vị.

Sai lầm thường gặp khi phân quyền dữ liệu khoa học tại đơn vị Việt Nam ​

Trong quá trình triển khai hệ thống CSDL KH&CN tại các viện, trường, một số lỗi phân quyền lặp lại nhiều lần dù không xuất phát từ vấn đề kỹ thuật của hệ thống:

  • Dùng chung một tài khoản quản trị viên cho nhiều cán bộ IT — không xác định được ai đã thao tác khi có sự cố, vi phạm nguyên tắc lưu vết bắt buộc theo yêu cầu kiểm soát truy cập.
  • Quên thu hồi quyền khi nhân sự nghỉ việc hoặc chuyển đơn vị — tài khoản cũ vẫn xem được dữ liệu của đơn vị cũ dù người đó đã không còn công tác tại đó.
  • Gán quyền lãnh đạo đơn vị cho thư ký khoa học thay vì người có thẩm quyền — thư ký vô tình có quyền phê duyệt chính thức, dẫn đến công bố được ghi nhận mà chưa qua thẩm định thực chất.
  • Không tách quyền xét duyệt khỏi quyền là tác giả công bố — lãnh đạo đơn vị tự duyệt công bố do chính mình đứng tên, tạo xung đột lợi ích ngay trong quy trình nội bộ (vấn đề này cũng xuất hiện ở cấp hội đồng nghiệm thu, xem thêm xung đột lợi ích trong hội đồng xét duyệt, nghiệm thu đề tài khoa học).
  • Cấp quyền "xem toàn hệ thống" cho lãnh đạo cấp cao mà không giới hạn quyền chỉnh sửa — lãnh đạo cần xem báo cáo tổng thể, nhưng không nhất thiết cần quyền sửa dữ liệu chi tiết của từng khoa/viện.

So sánh nhanh phạm vi và quyền hạn ba cấp ​

Tiêu chíNhà khoa họcLãnh đạo/quản lý đơn vịQuản trị viên
Phạm vi dữ liệuHồ sơ cá nhânMột đơn vị được phân côngToàn hệ thống
Xét duyệt công bốKhôngCó (trong đơn vị)Có (toàn hệ thống nếu cần)
Quản lý tài khoản người khácKhôngThêm/xoá thành viên đơn vịToàn quyền tài khoản
Cấu hình vai trò, phân quyềnKhôngKhôngCó
Nhập/xuất Excel hàng loạtChỉ dữ liệu cá nhânTrong phạm vi đơn vịToàn hệ thống

Vì sao đơn vị nên thiết kế phân quyền rõ ràng ngay từ đầu? ​

Thiết kế phân quyền không rõ ràng ngay từ đầu triển khai thường dẫn đến việc phải cấp quyền tạm thời, chồng chéo trách nhiệm giữa các cấp quản lý, hoặc phải làm lại toàn bộ phân quyền khi đơn vị mở rộng cơ cấu tổ chức. Khi triển khai hệ thống CSDL khoa học và công nghệ, nên xác định trước sơ đồ tổ chức, danh sách vai trò cần thiết và phạm vi dữ liệu tương ứng với từng vai trò, trước khi vận hành chính thức — đây cũng là một lý do cốt lõi vì sao đơn vị cần xây dựng hệ thống CSDL khoa học và công nghệ thay vì tiếp tục quản lý phân tán bằng file rời rạc. Vì vậy, khả năng phân quyền theo vai trò và phạm vi tổ chức nên là một tiêu chí bắt buộc khi đánh giá phần mềm — xem đầy đủ bộ tiêu chí và bảng chấm điểm nhà cung cấp tại bài tiêu chí chọn phần mềm CSDL khoa học và công nghệ: checklist trước khi đầu tư. Tìm hiểu thêm tại tính năng chính của Scibase.

Câu hỏi thường gặp về phân quyền dữ liệu khoa học ​

Một người có thể có nhiều vai trò cùng lúc không? Có, một nhà khoa học vừa có thể là tác giả công bố của chính mình, vừa được gán vai trò lãnh đạo đơn vị để xét duyệt công bố của đồng nghiệp — hai vai trò này tồn tại song song và không xung đột trên hệ thống. Tuy nhiên khi công bố do chính người đó đứng tên, hệ thống nên chuyển bước xét duyệt sang một lãnh đạo khác hoặc cấp cao hơn để tránh xung đột lợi ích, thay vì để người đó tự phê duyệt công bố của mình.

Lãnh đạo đơn vị có thể xem dữ liệu của đơn vị con không? Có, nếu đơn vị con nằm trong cây tổ chức mà lãnh đạo đó được phân công quản lý, phạm vi dữ liệu sẽ tự động bao gồm toàn bộ các đơn vị trực thuộc. Ví dụ, trưởng phòng KH&CN của một trường đại học thường thấy được dữ liệu của tất cả các khoa, còn trưởng khoa chỉ thấy dữ liệu trong phạm vi khoa mình, trừ khi được cấp thêm quyền quản lý liên khoa.

Quản trị viên có thể xem hồ sơ cá nhân chi tiết của mọi nhà khoa học không? Có, quản trị viên có toàn quyền truy cập hồ sơ, lý lịch khoa học và dữ liệu công bố của mọi nhà khoa học trên hệ thống để phục vụ công tác quản lý và hỗ trợ kỹ thuật. Vì phạm vi truy cập rộng, đơn vị nên giới hạn số tài khoản quản trị viên ở mức tối thiểu và bật tính năng lưu vết thao tác (audit log) để biết chính xác ai đã xem hoặc sửa dữ liệu nào, vào thời điểm nào.

Có thể tuỳ chỉnh vai trò ngoài ba cấp mặc định không? Có, hệ thống cho phép tạo vai trò tuỳ chỉnh (ví dụ: thư ký hội đồng, cán bộ phụ trách sở hữu trí tuệ) với phạm vi quyền riêng, không giới hạn trong ba cấp mặc định. Vai trò tuỳ chỉnh vẫn phải được gán bởi quản trị viên hoặc lãnh đạo có thẩm quyền phù hợp, và nên có mô tả rõ phạm vi dữ liệu để tránh cấp thừa quyền so với nhu cầu công việc thực tế.

Điều gì xảy ra khi một nhà khoa học chuyển từ đơn vị này sang đơn vị khác? Quản trị viên hoặc lãnh đạo đơn vị cũ cần cập nhật lại phân công đơn vị của tài khoản đó trên hệ thống, đồng thời đơn vị mới xác nhận tiếp nhận. Sau khi cập nhật, tài khoản sẽ mất quyền thao tác trong phạm vi dữ liệu của đơn vị cũ và nhận quyền tương ứng ở đơn vị mới; lịch sử công bố đã ghi nhận trước đó vẫn được giữ nguyên gắn với đơn vị tại thời điểm công bố.

Phân quyền dữ liệu khoa học có bắt buộc theo quy định pháp luật không? Có yêu cầu pháp lý liên quan dù không có văn bản nào gọi trực tiếp là "phân quyền dữ liệu khoa học". Nghị định 85/2016/NĐ-CP yêu cầu kiểm soát truy cập theo cấp độ an toàn hệ thống thông tin, còn Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân yêu cầu đơn vị xử lý dữ liệu cá nhân (bao gồm hồ sơ khoa học của cán bộ) phải kiểm soát được ai truy cập dữ liệu đó. Một hệ thống phân quyền theo cấp rõ ràng là cách thực thi trực tiếp hai yêu cầu này.

Tóm tắt ​

  • Ba cấp phân quyền chính: nhà khoa học (hồ sơ cá nhân), lãnh đạo đơn vị (phạm vi đơn vị), quản trị viên (toàn hệ thống).
  • Quyền các cấp lồng vào nhau theo cây tổ chức, không tách rời độc lập.
  • Quản trị viên là cấp duy nhất có quyền cấu hình vai trò và phân quyền cho các cấp khác — nên giữ số tài khoản quản trị viên ở mức tối thiểu.
  • Phân quyền theo cấp gắn với yêu cầu kiểm soát truy cập tại Nghị định 85/2016/NĐ-CP và bảo vệ dữ liệu cá nhân tại Nghị định 13/2023/NĐ-CP.
  • Thiết kế phân quyền rõ từ đầu, kèm quy trình rà soát định kỳ, giúp tránh chồng chéo trách nhiệm khi đơn vị mở rộng.

Nguồn tham khảo: Nghị định 85/2016/NĐ-CP và Thông tư 12/2022/TT-BTTTT (Bộ Thông tin và Truyền thông); Nghị định 13/2023/NĐ-CP (Chính phủ, hiệu lực 1/7/2023); Verizon 2024 Data Breach Investigations Report; IBM Cost of a Data Breach Report 2024.

Bài viết liên quan ​

Cập nhật gần nhất:

Sản phẩm của Công ty Cổ phần Metis.

Copyright © 2020-PRESENT Metis., Jsc