Chính sách kiểm soát truy cập (Identity and Access Management – IAM)
PHẦN I – MỤC ĐÍCH, PHẠM VI VÀ CĂN CỨ
Điều 1. Mục đích
1.1. Chính sách này quy định nguyên tắc và biện pháp quản lý danh tính (Identity) và kiểm soát truy cập (Access) đối với toàn bộ hệ thống, dịch vụ và dữ liệu của HiTechCloud, bảo đảm chỉ những chủ thể được xác thực và ủy quyền hợp lệ mới truy cập được tài nguyên phù hợp với vai trò và nhu cầu công việc.
Điều 2. Phạm vi áp dụng
2.1. Áp dụng cho: nhân sự HiTechCloud (chính thức, thử việc, thực tập, nhà thầu); tài khoản dịch vụ và tài khoản hệ thống (service account); tài khoản Khách hàng và tài khoản phụ trên cổng quản lý; quyền truy cập vào hạ tầng, ứng dụng, cơ sở dữ liệu, mã nguồn, hệ thống cloud và công cụ nội bộ.
Điều 3. Căn cứ pháp lý và tiêu chuẩn
- Luật An ninh mạng 2025 (Luật số 116/2025/QH15) và các nghị định hướng dẫn; Nghị định 85/2016/NĐ-CP về bảo đảm an toàn hệ thống thông tin theo cấp độ;
- Luật Bảo vệ dữ liệu cá nhân 2025 (Luật số 91/2025/QH15) và Nghị định 356/2025/NĐ-CP (yêu cầu xác thực mạnh, tối thiểu đa yếu tố và phân quyền truy cập đối với xử lý dữ liệu lớn/dữ liệu nhạy cảm);
- Bộ luật Hình sự 2015 (sửa đổi, bổ sung 2017);
- Tiêu chuẩn tham chiếu: ISO/IEC 27001:2022 (A.5.15–A.5.18, A.8.2–A.8.5); NIST SP 800-63 (Digital Identity); nguyên tắc Zero Trust (NIST SP 800-207).
Chính sách này bổ trợ và cụ thể hóa các yêu cầu kiểm soát truy cập tại Chính sách Bảo mật Hệ thống An toàn Thông tin (ISMS).
PHẦN II – NGUYÊN TẮC KIỂM SOÁT TRUY CẬP
Điều 4. Các nguyên tắc nền tảng
4.1. HiTechCloud áp dụng: (a) Least Privilege — cấp quyền tối thiểu đủ để thực hiện công việc; (b) Need-to-know — chỉ truy cập dữ liệu cần thiết cho nhiệm vụ; (c) Separation of Duties — tách biệt nhiệm vụ để tránh xung đột lợi ích và lạm quyền; (d) Zero Trust — không tin tưởng mặc định, xác minh liên tục theo danh tính, thiết bị và bối cảnh; (e) Deny by default — mặc định từ chối, chỉ cho phép khi có cấp quyền tường minh.
Điều 5. Mô hình phân quyền
5.1. HiTechCloud áp dụng mô hình RBAC (Role-Based Access Control) kết hợp ABAC (Attribute-Based) cho các trường hợp nhạy cảm. Quyền truy cập được gán theo vai trò (role) thay vì theo cá nhân; mỗi vai trò gắn với tập quyền tối thiểu tương ứng chức năng công việc.
5.2. Quyền truy cập vào dữ liệu được phân tầng theo phân loại dữ liệu tại ISMS (PUBLIC / INTERNAL / CONFIDENTIAL / RESTRICTED); dữ liệu RESTRICTED (dữ liệu cá nhân nhạy cảm, dữ liệu thanh toán, khóa bí mật) chỉ cấp cho vai trò được phê duyệt riêng.
PHẦN III – XÁC THỰC VÀ QUẢN LÝ DANH TÍNH
Điều 6. Xác thực đa yếu tố (MFA)
6.1. MFA bắt buộc đối với: tài khoản quản trị (admin/root); truy cập từ xa (VPN, SSH, RDP); truy cập vào hệ thống xử lý dữ liệu RESTRICTED; cổng quản trị cloud và công cụ CI/CD.
6.2. Ưu tiên yếu tố xác thực chống lừa đảo (phishing-resistant): FIDO2/WebAuthn, security key phần cứng; hạn chế dần OTP qua SMS cho tài khoản đặc quyền. Với xử lý dữ liệu lớn/nhạy cảm, áp dụng xác thực mạnh tối thiểu đa yếu tố theo Nghị định 356/2025/NĐ-CP.
Điều 7. Chính sách mật khẩu
7.1. Yêu cầu tối thiểu: độ dài ≥ 12 ký tự đối với người dùng, ≥ 16 ký tự đối với tài khoản đặc quyền; khuyến khích passphrase; đối chiếu với danh sách mật khẩu bị lộ (breached password) và cấm mật khẩu phổ biến.
7.2. Mật khẩu lưu dưới dạng băm (bcrypt/Argon2/scrypt) với salt ngẫu nhiên. Không áp đặt đổi mật khẩu định kỳ mang tính hình thức; chỉ buộc đổi khi có dấu hiệu lộ, lọt (theo khuyến nghị NIST SP 800-63B).
7.3. Cấm chia sẻ mật khẩu; bí mật hệ thống (API key, token, chứng thư) quản lý qua secret manager, không lưu trong mã nguồn hay tài liệu.
Điều 8. Quản lý tài khoản đặc quyền (PAM)
8.1. Tài khoản đặc quyền được quản lý qua hệ thống PAM: (a) truy cập qua Bastion Host/Jump Server, không kết nối trực tiếp; (b) cấp quyền vừa-đủ-thời-điểm (Just-in-Time) và vừa-đủ-quyền (Just-Enough-Access), thu hồi tự động sau phiên; (c) ghi log toàn phiên (session recording) và lưu tối thiểu 12 tháng; (d) luân chuyển (rotate) bí mật/mật khẩu đặc quyền định kỳ và sau mỗi lần sử dụng khi cần.
Điều 9. Tài khoản dịch vụ và không phải con người (Non-human/Service Account)
9.1. Tài khoản dịch vụ được định danh riêng, gán quyền tối thiểu, không dùng cho đăng nhập tương tác; bí mật được luân chuyển định kỳ và quản lý tập trung; giám sát hoạt động bất thường.
PHẦN IV – VÒNG ĐỜI TRUY CẬP VÀ RÀ SOÁT
Điều 10. Vòng đời truy cập (Joiner–Mover–Leaver)
10.1. Joiner (tuyển mới): cấp tài khoản và quyền theo vai trò được phê duyệt trước ngày làm việc đầu tiên; hoàn thành đào tạo an toàn thông tin trước khi cấp quyền truy cập hệ thống sản xuất.
10.2. Mover (thay đổi vị trí): rà soát và điều chỉnh quyền khi nhân sự chuyển bộ phận/vai trò; thu hồi quyền cũ không còn cần thiết (tránh tích tụ quyền – privilege creep).
10.3. Leaver (nghỉ việc/kết thúc hợp đồng): vô hiệu hóa tài khoản và thu hồi toàn bộ quyền truy cập ngay trong ngày chấm dứt (đối với trường hợp rủi ro cao: vô hiệu hóa ngay lập tức); thu hồi thiết bị, token, chứng thư; chuyển giao dữ liệu công việc.
Điều 11. Rà soát quyền định kỳ (Access Review)
11.1. Rà soát quyền truy cập: hệ thống thường – 6 tháng/lần; tài khoản đặc quyền và hệ thống xử lý dữ liệu RESTRICTED – 3 tháng/lần. Chủ sở hữu hệ thống (system owner) xác nhận lại tính phù hợp của quyền; quyền không còn cần thiết bị thu hồi.
11.2. Kết quả rà soát được ghi nhận và báo cáo Ban An toàn Thông tin (ISC).
Điều 12. Kiểm soát truy cập của Khách hàng
12.1. HiTechCloud cung cấp cho Khách hàng công cụ quản lý truy cập tài khoản: tạo tài khoản phụ với quyền hạn chế; bật MFA; xem nhật ký đăng nhập. Khách hàng chịu trách nhiệm quản lý quyền của tài khoản phụ và người dùng cuối của mình theo Điều 4 Thoả thuận Sử dụng Dịch vụ.
12.2. Nhân sự HiTechCloud chỉ truy cập vào môi trường/dữ liệu của Khách hàng khi cần thiết để cung cấp dịch vụ hoặc hỗ trợ kỹ thuật, theo nguyên tắc đặc quyền tối thiểu, có ghi log và tuân thủ PDPD cùng Điều khoản Hỗ trợ Kỹ thuật (không yêu cầu mật khẩu qua email/chat; ưu tiên cấp quyền tạm thời).
PHẦN V – GIÁM SÁT, XỬ LÝ VI PHẠM VÀ HIỆU LỰC
Điều 13. Giám sát và ghi log truy cập
13.1. Mọi truy cập vào hệ thống quan trọng và dữ liệu CONFIDENTIAL/RESTRICTED được ghi log tập trung (SIEM), bảo vệ toàn vẹn và lưu tối thiểu 12 tháng.
13.2. Hệ thống cảnh báo hành vi bất thường (đăng nhập bất thường về vị trí/thời gian, leo thang đặc quyền, truy cập hàng loạt); cảnh báo nghiêm trọng chuyển Quy trình Ứng phó Sự cố (IR).
Điều 14. Xử lý vi phạm
14.1. Vi phạm chính sách IAM (chia sẻ tài khoản, lạm quyền, cố ý truy cập trái phép) bị xử lý theo Chính sách Bảo mật Hệ thống ATTT và quy chế nội bộ; hành vi có dấu hiệu tội phạm (truy cập trái phép, chiếm đoạt dữ liệu) có thể bị truy cứu theo Điều 285–294 Bộ luật Hình sự 2015 (sửa đổi, bổ sung 2017).
Điều 15. Hiệu lực
15.1. Chính sách có hiệu lực từ ngày 01/07/2026, được rà soát tối thiểu 12 tháng/lần. Bản tiếng Việt có giá trị pháp lý cao nhất.
