情報セキュリティ管理方針
第I部 – 目的、範囲および法的根拠
条 1. 目的
1.1. 本ポリシーは、3つの基本原則である機密性（Confidentiality）、完全性（Integrity）、可用性（Availability）— C-I-Aモデルを保護するために、HiTechCloudが運用、保存、または処理するすべてのインフラ、サービス、データに適用されるセキュリティガバナンスフレームワークを規定します。
1.2. 本ポリシーは、以下を目的とした技術上、管理上および運用上の必須最小要件を規定します。(a) 顧客データおよび内部データを不正アクセス、開示、改変または破壊から保護すること。(b) 継続的なサービス提供能力を維持すること。(c) ベトナム法および適用される国際規格への準拠を確保すること。
1.3. 利用規約、個人データ保護方針(PDPD)、サービスレベル合意(SLA)および専門的利用規約に関する補足方針および実施支援。
条 2. 適用範囲
2.1. 本ポリシーは以下に適用されます。(a)正社員、試用期間従業員、インターン、請負業者、技術パートナー、販売代理店およびシステムアクセス権を有する第三者を含むHiTechCloudのすべての人事、(b)所有または賃借されたデータセンター、ネットワーク機器、サーバー、ワークステーション、モバイルデバイス、クラウドおよびエッジインフラストラクチャを含むすべての物理的および論理的インフラストラクチャ、(c)システムソフトウェア、アプリケーションソフトウェア、ソースコード、Container image、AIモデルおよび学習データを含むすべてのソフトウェア、(d)HiTechCloudが所有するすべてのデータ、顧客データ、従業員データおよびパートナーデータ。
条3 参照標準フレームワーク
3.1. HiTechCloudは、以下の標準を主要な参照フレームワークとして採用しています：ISO/IEC 27001:2022（ISMS）、ISO/IEC 27017:2015（クラウドサービスセキュリティ）、ISO/IEC 27018:2019（パブリッククラウドにおける個人情報保護）、NIST Cybersecurity Framework 2.0（Govern–Identify–Protect–Detect–Respond–Recover）、CIS Controls v8、OWASP ASVS v4.0、TCVN 11930:2017（等級別情報システムセキュリティ基本要件）。
3.2. 法的根拠:
- サイバーセキュリティ法 2025（法律第 116/2025/QH15 号、2026 年 7 月 1 日施行 — サイバーセキュリティ法 2018 を統合・改正）
- サイバー情報セキュリティ法 2015)及びその実施政令;
- 分類レベル別の情報システムセキュリティ確保に関する政令85/2016/NĐ-CP;
- 通達12/2022/TT-BTTTT（効力を有する部分を適用。現在は科学技術省の管轄範囲）；
- 個人データ保護法 2025（法律第 91/2025/QH15 号）
- 個人データ保護措置に関する政令 356/2025/NĐ-CP;
- 2024 年データ法; 政令 147/2024/NĐ-CP;
- 2015年刑法（IT・電気通信ネットワーク分野の犯罪に関する章 — 第285条–第294条）。
第 II 部 – セキュリティガバナンスおよび組織
条4. セキュリティ組織体制
4.1. HiTechCloudは、役員会代表、IT部長、セキュリティ管理者（CISO/ISO）、データ保護責任者（PDPDに基づくDPO）、法務代表から構成される情報セキュリティ委員会（Information Security Committee – ISC）を設置します。ISCは最低でも四半期ごとに定期開催され、重大なインシデントが発生した際には臨時で開催されます。
4.2. セキュリティ管理者（ISO）は以下の責任を負います。(a) 特化型プライバシーポリシー（パスワード、アクセス制御、暗号化、冗長性、インシデント対応）の策定、公布、維持、(b) 最低でも 6か月に1回の定期的なリスク評価および重大な変更が発生した際の随時リスク評価の組織・実施、(c) コンプライアンスの監視および違反への対処、(d) 本部長および ISC への直接報告。
第5条。データ分類およびシステム分類のレベル別分類
5.1. データは4つのレベルに分類されます: レベル 1 – PUBLIC （公開情報）； レベル2 – INTERNAL （内部データ）； レベル 3 – CONFIDENTIAL （通常の顧客データ、ビジネスデータ、ソースコード）； レベル4 – RESTRICTED （PDPDに基づく機微な個人データ、支払いデータ、secret/key、生体認証データ）。各レベルには適切な管理策セットが適用され、レベル4のデータはストレージ状態（at-rest）および転送時（in-transit）での暗号化が必須となります。
5.2. サイバーセキュリティレベルに基づくシステム分類。 HiTechCloudは、政令85/2016/NĐ-CPおよびサイバーセキュリティ法2025に準拠し、レベル提案書類を作成してレベル別の安全確保計画（情報システムは5つのレベルに分類）をデプロイします。また、変更が発生した際にはレベルの評価、承認、見直しを実施します。
パート III – プラットフォームの技術管理
第6条 アクセス制御
6.1. 「Least Privilege」（最小権限）および「Need-to-know」の原則を適用します。特権アカウント（admin、root、sudoer）は以下を満たす必要があります：(a) 多要素認証（MFA）の利用を必須とすること、(b) PAM（Privileged Access Management）システムを介して管理されること、(c) 直接接続せずBastion Host／Jump Server経由でログインすること、(d) 全SSH／RDPセッションをログ記録（session recording）し、最低12か月間保管すること。
条7. データ暗号化
7.1. In-transit: 公開ネットワーク経由のすべての接続は TLS 1.2 以上を使用（TLS 1.3 推奨）し、SSL 2.0/3.0、TLS 1.0/1.1、および弱い暗号スイート（RC4、3DES、MD5）を禁止します。
7.2. At-rest: レベル3およびレベル4データは AES-256-GCM またはこれと同等のもので 暗号化 され、鍵は FIPS 140-2 レベル2以上に準拠した KMS/HSM を通じて管理されます。
7.3. ユーザーパスワードは bcrypt/Argon2/scrypt でハッシュ化されます。16 バイト以上のランダムソルトが使用されます；パスワードハッシュ化に MD5、SHA-1 は禁止されます。
条8. ネットワークセキュリティ
8.1. ネットワークは最小でも以下に分割されます：DMZ (Internet-facing)、Application Zone、Database Zone、Management Zone および OOB (Out-of-Band Management)。
8.2. 次世代ファイアウォール(NGFW)は境界およびゾーン間で deny-by-default ポリシーを適用し、ルール見直しは最低 6 ヶ月/回以上。
8.3. マルチレイヤー DDoS Protection（L3/L4 scrubbing + L7 WAF）をサービスエッジで提供。アラート閾値と自動対応は SLA 第 10 条に基づいて構成します。
8.4. IDS/IPS は重要なシステムの入出力パスにインラインデプロイされ、署名は最低でも24時間ごとに更新される。
条9. Endpointおよびサーバー保護
9.1. 本番システムへのアクセス権を持つサーバー、従業員のワークステーションには、動作検知機能を備えた EDR/XDR を配置する必要があります。
9.2. オペレーティングシステムおよびソフトウェアは、脆弱性管理＆パッチ適用ポリシーに従ってパッチ適用を行う必要があります。重大なパッチ（Critical）は7日以内に適用されます（SLAにおける重大保守のしきい値 CVSS ≥ 9.0 と同期）。
9.3. 内部データを保管するワークステーションは BitLocker または FileVault によるフルディスク暗号化（FDE）を使用する必要があります。
PART IV – 人事および研修
第 10 条。人事スクリーニング
10.1. 本番システムまたはレベル 3–4 データへのアクセス権を持つ職位の候補者は、法律で許可される範囲内で、採用 前に適切な適性審査を完了する必要があります。
10.2. 特別なアクセス権限（顧客インフラストラクチャの root／admin）を付与された人事は、個人用 NDA に署名し、情報セキュリティ契約（NDA）に基づく深層的なセキュリティにコミットする必要があります。
第 11 条。セキュリティ認識研修
11.1. 新入従業員の 100% は、本番システムへのアクセス権を持つアカウントが付与される前に、情報セキュリティ意識研修を修了する必要があります。
11.2. 6 か月ごと、全従業員が補習研修とフィッシングシミュレーションテストを受講します。クリック率が 10% を超える場合、補習研修がトリガーされます。
第 V 部 – 評価、監査およびコンプライアンス
条12. リスク評価とセキュリティテスト
12.1. 最低12か月に1回の包括的なリスク評価、および大規模なアーキテクチャ変更時の臨時評価。
12.2. 重要システムに対するペネトレーションテストは、OSCP/CEH/CISSP資格を有する独立した第三者により最低12か月ごとに実施すること。
12.3. public-facingインフラに対しては毎週、内部インフラに対しては毎月、自動脆弱性スキャンを実施します。
条 13. 監査、コンプライアンス、およびインシデント対応
13.1. HiTechCloud は、管轄の国家管理機関（科学技術省、公安省サイバーセキュリティ・ハイテク犯罪防止局 – A05）による検査に対応するため、情報セキュリティのコンプライアンス記録を維持しています。
13.2. 内部コンプライアンス報告書は四半期ごとに ISC に提出されます。異常報告は P1 インシデント検出から 24 時間以内に本部長に報告されます。
13.3. サイバーセキュリティインシデントまたは個人データ侵害が発生した場合、HiTechCloudはサイバーセキュリティ法2025、個人データ保護法2025およびPDPDに従い、対応・復旧手順を実施し、専門機関と連携・通知を行います（A05および影響を受けるデータ主体へのデータ侵害通知義務を含みます）。
第 VI 部 – 施行規定
条14. 違反および処置
14.1. 本ポリシーに違反する行為は ISC により 5 営業日以内に調査され、以下のレベルで処理されます。注意、警告、アクセス停止、契約の終了、および法律に基づく責任の追及。
14.2. HiTechCloudまたは顧客に故意に損害を与えた違反者は、すべての直接損害を賠償しなければならず、2015年刑法第285条–第294条に基づく犯罪の兆候がある場合は捜査機関に移送されます。
条 15. 効力および見直し
15.1. 本ポリシーは 2026 年 7 月 1 日に効力を生じ、すべての旧バージョンに替わります。
15.2. 本規定は最短12か月ごと、または法律の変更、大規模なシステムアーキテクチャの変更、または各 P1 レベルの重大インシデント後に、全面的に見直されます。
15.3. すべての修正は本部長の承認を得て、関連する人事に 5 営業日以内に通知する必要があります。
