Chính sách bảo mật hệ thống an toàn thông tin
PHẦN I – MỤC ĐÍCH, PHẠM VI VÀ CĂN CỨ ÁP DỤNG
Điều 1. Mục đích
1.1. Chính sách này quy định khung quản trị bảo mật áp dụng cho toàn bộ hạ tầng, dịch vụ và dữ liệu mà HiTechCloud vận hành, lưu trữ hoặc xử lý, nhằm bảo vệ ba thuộc tính nền tảng: Tính bí mật (Confidentiality), Tính toàn vẹn (Integrity) và Tính sẵn sàng (Availability) — mô hình C-I-A.
1.2. Chính sách thiết lập yêu cầu tối thiểu bắt buộc về kỹ thuật, quản trị và vận hành nhằm: (a) bảo vệ dữ liệu Khách hàng và dữ liệu nội bộ trước truy cập, tiết lộ, thay đổi hoặc phá hủy trái phép; (b) duy trì khả năng cung cấp dịch vụ liên tục; (c) tuân thủ pháp luật Việt Nam và các tiêu chuẩn quốc tế áp dụng.
1.3. Chính sách bổ sung và hỗ trợ thực thi cho Thoả thuận Sử dụng Dịch vụ, Chính sách Bảo vệ Dữ liệu Cá nhân (PDPD), Cam kết Mức độ Dịch vụ (SLA) và các Điều khoản Dịch vụ chuyên biệt.
Điều 2. Phạm vi áp dụng
2.1. Chính sách áp dụng cho: (a) toàn bộ nhân sự HiTechCloud, gồm người lao động chính thức, thử việc, thực tập sinh, nhà thầu, đối tác kỹ thuật, đại lý và bên thứ ba có truy cập hệ thống; (b) toàn bộ hạ tầng vật lý và logic: trung tâm dữ liệu sở hữu hoặc thuê, thiết bị mạng, máy chủ, máy trạm, thiết bị di động, hạ tầng cloud và edge; (c) toàn bộ phần mềm hệ thống, phần mềm ứng dụng, mã nguồn, container image, AI model, dữ liệu huấn luyện; (d) toàn bộ dữ liệu thuộc sở hữu của HiTechCloud, dữ liệu Khách hàng, dữ liệu nhân viên và dữ liệu đối tác.
Điều 3. Khung tiêu chuẩn tham chiếu
3.1. HiTechCloud lấy các tiêu chuẩn sau làm khung tham chiếu chính: ISO/IEC 27001:2022 (ISMS); ISO/IEC 27017:2015 (bảo mật dịch vụ đám mây); ISO/IEC 27018:2019 (bảo vệ thông tin cá nhân trên đám mây công cộng); NIST Cybersecurity Framework 2.0 (Govern–Identify–Protect–Detect–Respond–Recover); CIS Controls v8; OWASP ASVS v4.0; TCVN 11930:2017 (yêu cầu cơ bản về an toàn hệ thống thông tin theo cấp độ).
3.2. Căn cứ pháp lý:
- Luật An ninh mạng 2025 (Luật số 116/2025/QH15, hiệu lực 01/7/2026 — hợp nhất, thay thế Luật An ninh mạng 2018;
- Luật An toàn thông tin mạng 2015), cùng các nghị định hướng dẫn thi hành;
- Nghị định 85/2016/NĐ-CP về bảo đảm an toàn hệ thống thông tin theo cấp độ;
- Thông tư 12/2022/TT-BTTTT (áp dụng phần còn hiệu lực; nay thuộc phạm vi quản lý của Bộ Khoa học và Công nghệ);
- Luật Bảo vệ dữ liệu cá nhân 2025 (Luật số 91/2025/QH15);
- Nghị định 356/2025/NĐ-CP về biện pháp bảo vệ dữ liệu cá nhân;
- Luật Dữ liệu 2024; Nghị định 147/2024/NĐ-CP;
- Bộ luật Hình sự 2015 (Chương các tội phạm trong lĩnh vực CNTT, mạng viễn thông — Điều 285–294).
PHẦN II – QUẢN TRỊ VÀ TỔ CHỨC BẢO MẬT
Điều 4. Cơ cấu tổ chức bảo mật
4.1. HiTechCloud thiết lập Ban An toàn Thông tin (Information Security Committee – ISC) gồm đại diện Ban Giám đốc, Trưởng phòng CNTT, Quản trị viên Bảo mật (CISO/ISO), Phụ trách bảo vệ dữ liệu (DPO theo PDPD) và đại diện pháp chế. ISC họp định kỳ tối thiểu hàng quý và họp đột xuất khi có sự cố nghiêm trọng.
4.2. Quản trị viên Bảo mật (ISO) chịu trách nhiệm: (a) xây dựng, ban hành, duy trì các chính sách bảo mật chuyên biệt (mật khẩu, kiểm soát truy cập, mã hóa, dự phòng, ứng phó sự cố); (b) tổ chức đánh giá rủi ro định kỳ tối thiểu 6 tháng/lần và bất thường khi có thay đổi lớn; (c) giám sát tuân thủ và xử lý vi phạm; (d) báo cáo trực tiếp tới Giám đốc và ISC.
Điều 5. Phân loại dữ liệu và phân loại hệ thống theo cấp độ
5.1. Dữ liệu được phân thành 4 cấp: Cấp 1 – PUBLIC (thông tin công bố công khai); Cấp 2 – INTERNAL (dữ liệu nội bộ); Cấp 3 – CONFIDENTIAL (dữ liệu khách hàng thông thường, dữ liệu kinh doanh, mã nguồn); Cấp 4 – RESTRICTED (dữ liệu cá nhân nhạy cảm theo PDPD, dữ liệu thanh toán, secret/key, dữ liệu sinh trắc). Mỗi cấp áp dụng tập kiểm soát phù hợp; dữ liệu Cấp 4 bắt buộc mã hóa ở trạng thái lưu trữ (at-rest) và truyền tải (in-transit).
5.2. Phân loại hệ thống theo cấp độ an ninh mạng. HiTechCloud lập hồ sơ đề xuất cấp độ và triển khai phương án bảo đảm an toàn theo cấp độ (hệ thống thông tin được phân thành 5 cấp độ) phù hợp Nghị định 85/2016/NĐ-CP và Luật An ninh mạng 2025; thực hiện thẩm định, phê duyệt và rà soát cấp độ khi có thay đổi.
PHẦN III – KIỂM SOÁT KỸ THUẬT NỀN TẢNG
Điều 6. Kiểm soát truy cập
6.1. Áp dụng nguyên tắc “Least Privilege” (đặc quyền tối thiểu) và “Need-to-know”. Tài khoản đặc quyền (admin, root, sudoer) phải: (a) dùng xác thực đa yếu tố (MFA) bắt buộc; (b) được quản lý qua hệ thống PAM (Privileged Access Management); (c) đăng nhập qua Bastion Host/Jump Server, không kết nối trực tiếp; (d) ghi log toàn phiên SSH/RDP (session recording), lưu trữ tối thiểu 12 tháng.
Điều 7. Mã hóa dữ liệu
7.1. In-transit: mọi kết nối qua mạng công cộng dùng TLS 1.2 trở lên (khuyến nghị TLS 1.3); cấm SSL 2.0/3.0, TLS 1.0/1.1 và cipher yếu (RC4, 3DES, MD5).
7.2. At-rest: dữ liệu Cấp 3 và Cấp 4 mã hóa bằng AES-256-GCM hoặc tương đương; key quản lý qua KMS/HSM đạt FIPS 140-2 Level 2 trở lên.
7.3. Mật khẩu người dùng băm bằng bcrypt/Argon2/scrypt với salt ngẫu nhiên ≥ 16 byte; cấm MD5, SHA-1 cho hashing password.
Điều 8. An toàn mạng
8.1. Mạng phân vùng tối thiểu thành: DMZ (Internet-facing), Application Zone, Database Zone, Management Zone và OOB (Out-of-Band Management).
8.2. Tường lửa thế hệ mới (NGFW) với chính sách deny-by-default tại biên và giữa các zone; rà soát quy tắc tối thiểu 6 tháng/lần.
8.3. DDoS Protection multi-layer (L3/L4 scrubbing + L7 WAF) tại biên dịch vụ; ngưỡng cảnh báo và phản ứng tự động cấu hình theo Điều 10 SLA.
8.4. IDS/IPS triển khai inline trên đường ra-vào hệ thống quan trọng; signature cập nhật ít nhất 24 giờ/lần.
Điều 9. Bảo vệ Endpoint và Máy chủ
9.1. Máy chủ, máy trạm của nhân viên có truy cập hệ thống sản xuất phải trang bị EDR/XDR có khả năng phát hiện hành vi.
9.2. Hệ điều hành và phần mềm phải được vá lỗi theo Chính sách Quản lý Lỗ hổng & Vá lỗi; patch nghiêm trọng (Critical) áp dụng trong 7 ngày (đồng bộ ngưỡng CVSS ≥ 9.0 của bảo trì khẩn cấp tại SLA).
9.3. Máy trạm chứa dữ liệu nội bộ phải mã hóa ổ cứng toàn phần (FDE) bằng BitLocker hoặc FileVault.
PHẦN IV – QUẢN LÝ NHÂN SỰ VÀ ĐÀO TẠO
Điều 10. Sàng lọc nhân sự
10.1. Ứng viên vào vị trí có quyền truy cập hệ thống sản xuất hoặc dữ liệu Cấp 3–4 phải hoàn thành kiểm tra phù hợp trước khi tuyển dụng, trong phạm vi pháp luật cho phép.
10.2. Nhân sự được cấp quyền truy cập đặc biệt (root/admin trên hạ tầng khách hàng) phải ký NDA cá nhân và cam kết bảo mật chuyên sâu theo Thoả thuận Bảo mật Thông tin (NDA).
Điều 11. Đào tạo nhận thức
11.1. 100% nhân viên mới phải hoàn thành khóa đào tạo nhận thức an toàn thông tin trước khi được cấp tài khoản truy cập hệ thống sản xuất.
11.2. Định kỳ 6 tháng, toàn bộ nhân viên tham gia đào tạo bổ sung và bài kiểm tra phishing simulation; tỷ lệ click sai > 10% kích hoạt đào tạo bổ sung.
PHẦN V – ĐÁNH GIÁ, KIỂM TOÁN VÀ TUÂN THỦ
Điều 12. Đánh giá rủi ro và kiểm thử bảo mật
12.1. Đánh giá rủi ro toàn diện tối thiểu 12 tháng/lần và bất thường khi thay đổi kiến trúc lớn.
12.2. Kiểm thử xâm nhập (Penetration Testing) cho hệ thống quan trọng tối thiểu 12 tháng/lần bởi bên thứ ba độc lập có chứng chỉ OSCP/CEH/CISSP.
12.3. Quét lỗ hổng tự động hàng tuần đối với hạ tầng public-facing và hàng tháng đối với hạ tầng nội bộ.
Điều 13. Kiểm toán, tuân thủ và ứng phó sự cố
13.1. HiTechCloud duy trì hồ sơ tuân thủ ATTT để đáp ứng kiểm tra của cơ quan quản lý nhà nước có thẩm quyền (Bộ Khoa học và Công nghệ; Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao – A05, Bộ Công an).
13.2. Báo cáo tuân thủ nội bộ trình ISC hàng quý; báo cáo bất thường trình Giám đốc trong 24 giờ kể từ khi phát hiện sự cố Cấp P1.
13.3. Khi xảy ra sự cố an ninh mạng hoặc vi phạm dữ liệu cá nhân, HiTechCloud thực hiện quy trình ứng phó, khắc phục và phối hợp, thông báo cơ quan chuyên trách theo Luật An ninh mạng 2025, Luật Bảo vệ dữ liệu cá nhân 2025 và PDPD (bao gồm nghĩa vụ thông báo vi phạm dữ liệu cho A05 và chủ thể bị ảnh hưởng).
PHẦN VI – ĐIỀU KHOẢN THI HÀNH
Điều 14. Vi phạm và xử lý
14.1. Mọi hành vi vi phạm Chính sách được ISC điều tra trong vòng 5 ngày làm việc và xử lý theo các mức: nhắc nhở, cảnh cáo, đình chỉ truy cập, chấm dứt hợp đồng và truy cứu trách nhiệm theo pháp luật.
14.2. Người vi phạm cố ý gây thiệt hại cho HiTechCloud hoặc Khách hàng phải bồi thường toàn bộ thiệt hại trực tiếp và bị chuyển cơ quan điều tra nếu có dấu hiệu hình sự theo Điều 285–294 Bộ luật Hình sự 2015.
Điều 15. Hiệu lực và rà soát
15.1. Chính sách có hiệu lực từ ngày 01/07/2026, thay thế toàn bộ phiên bản trước.
15.2. Chính sách được rà soát toàn diện tối thiểu 12 tháng/lần, hoặc khi có thay đổi pháp luật, thay đổi kiến trúc hệ thống lớn, hoặc sau mỗi sự cố nghiêm trọng (P1).
15.3. Mọi sửa đổi phải được Giám đốc phê duyệt và thông báo cho nhân sự liên quan trong vòng 5 ngày làm việc.
