Bảo mật và phân quyền trong Workday

Phân quyền là một trong những phần người mới thấy “khó vào” nhất của Workday — nhưng mô hình thực ra rất nhất quán, chỉ cần nắm ba mảnh ghép: security group, domain policy và business process policy.

Ba mảnh ghép

flowchart LR
  U[Người dùng] --> G[Security Group<br/>nhóm bảo mật]
  G --> D[Domain Security Policy<br/>quyền xem/sửa dữ liệu]
  G --> B[BP Security Policy<br/>quyền tham gia quy trình]

1. Security group — bạn là ai? Người dùng không được gán quyền trực tiếp mà thuộc các nhóm bảo mật. Hai loại quan trọng nhất:

• Role-based: gắn với vai trò trên một tổ chức cụ thể — ví dụ “HR Partner của khối Kinh doanh”. Người giữ vai trò chỉ có quyền trong phạm vi tổ chức đó (và cấp dưới). Đây là cơ chế làm phân quyền Workday “tự co giãn” theo cây tổ chức.
• User-based: gắn thẳng vào người, phạm vi toàn hệ thống — dùng cho vai trò quản trị (ví dụ Security Administrator).

Ngoài ra có nhóm theo điều kiện (job-based, location-based…), nhóm tổng hợp (aggregation) và nhóm giao cắt (intersection) cho nhu cầu phức tạp.

2. Domain security policy — thấy và sửa được dữ liệu nào? Mỗi vùng dữ liệu/chức năng (domain) — ví dụ “Worker Data: Compensation” — có chính sách quy định nhóm nào được xem (view), nhóm nào được sửa (modify), gồm cả quyền gọi qua báo cáo và API (Application Programming Interface).

3. Business process security policy — tham gia quy trình ở vai nào? Với từng Business Process (BP), chính sách quy định nhóm nào được khởi tạo, phê duyệt, xem trạng thái, hủy bước. Kết hợp với định nghĩa BP (ai duyệt bước mấy), đây là nơi kiểm soát vận hành thực tế.

Những đặc điểm nên biết sớm

• Phân quyền theo ngữ cảnh tổ chức — cùng là “Manager” nhưng chỉ thấy nhân viên thuộc nhánh của mình; không cần tạo hàng trăm nhóm thủ công.
• Mọi thay đổi bảo mật đều phải Activate — Workday lưu phiên bản chính sách; sửa xong phải kích hoạt mới có hiệu lực, và có vết kiểm toán đầy đủ.
• Kiểm toán sẵn có — ai xem gì, ai đổi gì, chính sách đổi lúc nào đều tra được; đây là điểm được các đội kiểm toán nội bộ đánh giá cao.
• Áp dụng cho cả AI — agent của Workday Illuminate chạy trong cùng mô hình phân quyền, không “nhìn xuyên” dữ liệu.

Nguyên tắc thiết kế cho dự án mới

1. Bắt đầu từ ma trận vai trò – quyền của doanh nghiệp, ánh xạ vào role-based group trước; hạn chế user-based group ở mức tối thiểu.
2. Đặt quy ước đặt tên nhóm ngay từ đầu — sau go-live số nhóm sẽ tăng nhanh.
3. Kiểm thử phân quyền bằng proxy (đăng nhập thử dưới vai người khác trên tenant thử) trước khi kích hoạt trên production.
4. Rà soát chính sách theo chu kỳ — mỗi bản phát hành có thể thêm domain mới.

---

Nguồn tham khảo: doc.workday.com — Administrator Guide mục Security.