4 thiết lập bảo mật Windows nên kiểm tra trên laptop

Laptop thường rời khỏi nhà, còn desktop ít khi bị bỏ lại ở quán cà phê hay thư viện. Bốn thiết lập có sẵn trong Windows dưới đây xử lý những tình huống khác nhau: ứng dụng mã hóa dữ liệu, người khác tiếp cận máy đang mở, ổ đĩa bị tháo ra và mã độc tìm cách tắt lớp bảo vệ.

Controlled folder access cần được cấu hình để không cản trở ứng dụng hợp lệ

Controlled folder access (CFA) giới hạn ứng dụng nào được phép sửa hoặc xóa tệp trong các thư mục được bảo vệ. Microsoft Defender có thể chặn ứng dụng chưa được tin cậy và báo cho người dùng biết; tính năng này cũng ngăn ghi trực tiếp vào vùng lưu bản ghi khởi động trên thiết bị được bảo vệ.

Điểm cần tính trước là phần mềm hợp lệ đôi khi cũng cần ghi vào các thư mục đó. Trình chỉnh sửa ảnh, công cụ dựng video hoặc game lưu tiến trình trong Documents có thể bị chặn nếu CFA chưa nhận diện ứng dụng. Khi gặp trường hợp này, chỉ thêm đúng ứng dụng đã xác minh vào danh sách cho phép, thay vì tắt CFA hoặc cho phép một thư mục rộng. Microsoft cũng có chế độ Audit để ghi nhận hoạt động trước khi chuyển sang chặn thực tế; trên máy cá nhân, người dùng nên xem thông báo và Protection History để xác định ứng dụng nào bị ảnh hưởng.

Có thể tìm CFA trong Windows Security, tại mục Virus & threat protection, rồi Manage ransomware protection. Tính năng yêu cầu Microsoft Defender Antivirus đang hoạt động và bật bảo vệ thời gian thực; máy dùng phần mềm diệt virus khác có thể không đáp ứng điều kiện này.

Dynamic lock chỉ là lớp dự phòng khi rời khỏi bàn

Dynamic lock dùng tín hiệu Bluetooth từ điện thoại đã ghép đôi để nhận biết người dùng đi xa. Tuy vậy, Windows chỉ khóa thiết bị khi tín hiệu giảm và máy đang nhàn rỗi. Nếu có người thao tác trước khi máy chuyển sang trạng thái đó, tính năng không đảm bảo khóa kịp.

XDA Developers mô tả khoảng chờ khoảng 30–60 giây; tài liệu Microsoft nhấn mạnh đây chỉ là rào cản bổ sung, không thay thao tác khóa máy. Vì thế, ở thư viện hoặc quán cà phê, nhấn Win+L trước khi đứng dậy vẫn là cách chắc chắn hơn. Dynamic lock có ích khi người dùng quên, chứ không nên được xem như cảm biến bảo vệ tức thời.

Thiết lập nằm trong Settings > Accounts > Sign-in options > Dynamic lock. Cần ghép đôi điện thoại qua Bluetooth và kiểm tra tùy chọn cho phép Windows tự khóa khi bạn đi khỏi.

Mã hóa ổ đĩa bảo vệ dữ liệu khi laptop thất lạc

Device encryption hoặc BitLocker mã hóa dữ liệu trên ổ lưu trữ, khiến việc tháo SSD khỏi máy rồi cắm sang máy tính khác không đủ để đọc tệp nếu thiếu khóa khôi phục. Đây là lớp bảo vệ khác với CFA: CFA kiểm soát ứng dụng sửa dữ liệu, còn mã hóa ổ đĩa bảo vệ dữ liệu khi người khác có được ổ vật lý.

Nhiều laptop Windows mới bật Device encryption sẵn, nhưng trạng thái còn tùy thiết bị và cấu hình. Hãy kiểm tra trong Settings > Privacy & security > Device encryption; trên một số phiên bản, BitLocker được quản lý ở mục riêng. Trước khi thay đổi thiết lập, nên xác nhận khóa khôi phục được lưu ở nơi mình có thể truy cập. Nếu ổ mã hóa mà mất khóa, chủ máy cũng có thể không mở được dữ liệu sau sự cố.

Nỗi lo hiệu năng không nên là lý do duy nhất để tắt mã hóa trên laptop đời mới: phần cứng hiện đại hỗ trợ tăng tốc các phép mã hóa, còn lợi ích rõ nhất xuất hiện khi máy hoặc ổ bị mất. Tuy nhiên, hiệu năng thực tế tùy cấu hình và tác vụ; không có một con số suy hao áp dụng cho mọi laptop.

Tamper Protection giữ Defender khỏi bị tắt dễ dàng

Mã độc có thể tìm cách vô hiệu hóa phần mềm bảo vệ trước khi tiếp tục hoạt động. Tamper Protection hạn chế ứng dụng và tiến trình thay đổi một số thiết lập quan trọng của Microsoft Defender Antivirus, trong đó có bảo vệ thời gian thực và các thiết lập chống virus; thao tác sửa qua registry cũng bị chặn khi tính năng bật.

Người dùng có thể kiểm tra tại Windows Security > Virus & threat protection > Manage settings > Tamper Protection. Trên máy do tổ chức quản lý, chính sách của bộ phận CNTT có thể kiểm soát tùy chọn này, nên giao diện cá nhân không phải lúc nào cũng cho phép thay đổi.

Ưu tiên khóa máy và mã hóa, rồi tinh chỉnh các lớp còn lại

Với laptop hay được mang ra ngoài, thói quen khóa bằng Win+L và kiểm tra trạng thái mã hóa giải quyết hai rủi ro trực tiếp nhất: người lạ tiếp cận phiên đang mở và dữ liệu bị đọc khi ổ lưu trữ thất lạc. CFA hữu ích nếu có thư mục quan trọng cần chống sửa đổi, nhưng nên rà soát ứng dụng bị chặn để tránh làm gián đoạn công việc. Tamper Protection giúp giữ các lớp Defender hoạt động, còn Dynamic lock chỉ nên xem là phương án dự phòng.

Microsoft mô tả những tính năng này là các lớp bảo vệ có phạm vi khác nhau; không tính năng riêng lẻ nào loại bỏ nhu cầu khóa máy, giữ bản sao lưu và bảo vệ tài khoản đăng nhập.

Nguồn tham khảo: Microsoft Learn: Controlled folder access; Microsoft Learn: Dynamic lock; Microsoft Learn: Tamper protection; XDA Developers.