Chính sách bảo vệ an ninh mạng đối với hệ thống thông tin
PHẦN I – MỤC ĐÍCH VÀ PHẠM VI ÁP DỤNG
Điều 1. Mục đích
1.1. Chính sách này quy định cách thức Công ty Cổ phần Giải pháp Công nghệ và Phần mềm Phổ Tuệ (thương hiệu HiTechCloud, sau đây gọi là “HiTechCloud”) tổ chức bảo vệ an ninh mạng đối với hệ thống thông tin do mình làm chủ quản, và cách thức phối hợp với Khách hàng đối với hệ thống thông tin của Khách hàng vận hành trên hạ tầng của HiTechCloud.
1.2. Chính sách này nhằm thực hiện nghĩa vụ theo Luật An ninh mạng số 116/2025/QH15 và Nghị định số 331/2026/NĐ-CP về bảo vệ an ninh mạng đối với hệ thống thông tin, đồng thời làm rõ ranh giới trách nhiệm giữa HiTechCloud và Khách hàng để tránh khoảng trống tuân thủ.
Điều 2. Phạm vi áp dụng
2.1. Phạm vi bao gồm: hạ tầng trung tâm dữ liệu, hạ tầng mạng, nền tảng ảo hoá và điện toán đám mây, hệ thống quản trị và vận hành nội bộ, hệ thống hỗ trợ khách hàng, và các hệ thống thông tin khác do HiTechCloud làm chủ quản.
2.2. Phạm vi không bao gồm hệ thống thông tin, ứng dụng, cơ sở dữ liệu và cấu hình bảo mật do Khách hàng tự triển khai, tự cấu hình và tự quản trị bên trong tài nguyên được cấp, trừ phần dịch vụ quản trị mà Khách hàng đặt riêng bằng hợp đồng.
2.3. Chính sách này áp dụng đối với người lao động, cộng tác viên, nhà thầu, nhà cung cấp dịch vụ phụ của HiTechCloud và đối với Khách hàng trong phần nghĩa vụ được nêu tại Phần V.
2.4. Chính sách này được áp dụng đồng thời với Chính sách Bảo mật Hệ thống Thông tin, Chính sách Quản lý Lỗ hổng Bảo mật và Vá lỗi, Chính sách Giám sát và Ghi nhật ký Hệ thống, Chính sách Kiểm soát Truy cập (IAM), Chính sách Định danh Địa chỉ IP, Lưu trữ và Cung cấp Nhật ký Kết nối và Chính sách Sao lưu và Khôi phục sau Thảm hoạ.
PHẦN II – GIẢI THÍCH TỪ NGỮ
Điều 3. Giải thích từ ngữ
- Hệ thống thông tin là tập hợp phần cứng, phần mềm, cơ sở dữ liệu và hạ tầng mạng được tổ chức để thu thập, xử lý, lưu trữ và trao đổi thông tin phục vụ một hoặc một số hoạt động nghiệp vụ xác định.
- Chủ quản hệ thống thông tin là cơ quan, tổ chức, cá nhân có thẩm quyền quyết định việc xây dựng, vận hành, nâng cấp, mở rộng và bảo vệ hệ thống thông tin đó, và chịu trách nhiệm về an ninh mạng đối với hệ thống thông tin đó.
- Cấp độ an ninh mạng là mức độ yêu cầu bảo vệ được xác định cho hệ thống thông tin căn cứ vào tầm quan trọng, quy mô, tính chất dữ liệu xử lý và mức độ hậu quả khi hệ thống bị xâm phạm, theo quy định tại Nghị định số 331/2026/NĐ-CP.
- Hồ sơ đề xuất cấp độ là hồ sơ xác định cấp độ an ninh mạng của hệ thống thông tin cùng phương án bảo vệ tương ứng, được lập, thẩm định và phê duyệt theo quy định của pháp luật.
- Sự cố an ninh mạng là sự việc bất ngờ xảy ra trên không gian mạng gây hoặc có nguy cơ gây tổn hại tới tính bí mật, tính toàn vẹn hoặc tính khả dụng của hệ thống thông tin và dữ liệu.
- Mô hình trách nhiệm chung là mô hình phân định trách nhiệm bảo vệ theo lớp: bên cung cấp hạ tầng chịu trách nhiệm về an ninh của hạ tầng, bên sử dụng dịch vụ chịu trách nhiệm về an ninh của hệ thống, dữ liệu và cấu hình triển khai trên hạ tầng đó.
PHẦN III – NGUYÊN TẮC
Điều 4. Nguyên tắc bảo vệ an ninh mạng
4.1. Tuân thủ Hiến pháp và pháp luật; bảo đảm quyền và lợi ích hợp pháp của cơ quan, tổ chức, cá nhân; không lấy lý do bảo vệ an ninh mạng để can thiệp vượt mức cần thiết vào dữ liệu và hoạt động hợp pháp của Khách hàng.
4.2. Bảo vệ theo cấp độ: mức độ đầu tư và mức độ chặt chẽ của biện pháp bảo vệ tương xứng với cấp độ an ninh mạng đã được xác định cho từng hệ thống thông tin.
4.3. Bảo vệ nhiều lớp: kết hợp biện pháp quản lý và biện pháp kỹ thuật, phòng ngừa từ lớp vật lý, lớp mạng, lớp nền tảng đến lớp ứng dụng và dữ liệu, không dựa vào một biện pháp duy nhất.
4.4. An ninh ngay từ khâu thiết kế: yêu cầu an ninh mạng được đưa vào từ giai đoạn thiết kế, mua sắm và triển khai, không bổ sung sau khi hệ thống đã đưa vào vận hành.
4.5. Không tin cậy mặc định: mọi truy cập đều phải được xác thực, phân quyền và ghi nhật ký, kể cả truy cập từ bên trong mạng nội bộ.
4.6. Liên tục và kiểm chứng được: biện pháp bảo vệ được duy trì liên tục, được kiểm tra định kỳ và có bằng chứng lưu trữ phục vụ chứng minh tuân thủ.
PHẦN IV – NỘI DUNG CHÍNH SÁCH
Điều 5. Kiểm kê và phân loại hệ thống thông tin
5.1. HiTechCloud lập và duy trì danh mục hệ thống thông tin do mình làm chủ quản. Mỗi hệ thống được ghi nhận: tên hệ thống, chức năng nghiệp vụ, phạm vi dữ liệu xử lý, thành phần hạ tầng, đơn vị vận hành, đầu mối phụ trách và cấp độ an ninh mạng.
5.2. Danh mục được cập nhật khi có hệ thống mới đưa vào vận hành, khi thay đổi phạm vi dữ liệu hoặc kiến trúc, và được rà soát tổng thể tối thiểu 01 (một) lần mỗi năm.
5.3. Việc xác định cấp độ an ninh mạng căn cứ vào tầm quan trọng của hệ thống, quy mô người sử dụng, tính chất dữ liệu xử lý và mức độ hậu quả khi hệ thống bị xâm phạm, theo tiêu chí quy định tại Nghị định số 331/2026/NĐ-CP.
5.4. Hệ thống thông tin thuộc trường hợp phải lập hồ sơ đề xuất cấp độ được lập hồ sơ, trình thẩm định và phê duyệt theo trình tự, thủ tục và thẩm quyền do pháp luật quy định. Hồ sơ và quyết định phê duyệt được lưu trữ trong suốt vòng đời hệ thống.
5.5. Khi cấp độ đã phê duyệt không còn phù hợp do thay đổi về quy mô, dữ liệu hoặc kiến trúc, HiTechCloud thực hiện đánh giá lại và cập nhật hồ sơ theo quy định.
Điều 6. Phương án bảo vệ theo cấp độ
6.1. Mỗi hệ thống thông tin có phương án bảo vệ tương ứng với cấp độ đã xác định, gồm biện pháp quản lý và biện pháp kỹ thuật. Phương án bảo vệ được phê duyệt trước khi hệ thống đưa vào vận hành chính thức.
6.2. Biện pháp quản lý bao gồm tối thiểu: quy định nội bộ về bảo đảm an ninh mạng; phân công trách nhiệm và đầu mối; quản lý thay đổi; quản lý rủi ro; quản lý nhà cung cấp và bên thứ ba; đào tạo nhận thức; kiểm tra, đánh giá định kỳ; và quản lý sự cố.
6.3. Biện pháp kỹ thuật bao gồm tối thiểu:
- bảo vệ an ninh vật lý khu vực đặt thiết bị, kiểm soát ra vào và giám sát hình ảnh;
- phân vùng mạng, kiểm soát luồng dữ liệu giữa các vùng, tường lửa và tường lửa ứng dụng web;
- phát hiện và ngăn chặn xâm nhập, phòng chống mã độc, phòng chống tấn công từ chối dịch vụ;
- xác thực đa yếu tố và kiểm soát truy cập theo đặc quyền tối thiểu đối với tài khoản quản trị;
- mã hoá dữ liệu khi truyền và khi lưu trữ đối với dữ liệu cần bảo vệ;
- ghi nhật ký tập trung, giám sát an ninh và cảnh báo theo Chính sách Giám sát và Ghi nhật ký Hệ thống;
- quản lý điểm yếu, cập nhật bản vá và kiểm tra cấu hình an toàn;
- sao lưu dữ liệu và phương án khôi phục hoạt động.
6.4. Biện pháp bảo vệ được ghi nhận thành cấu hình chuẩn (baseline) cho từng loại thiết bị và nền tảng. Việc sai lệch khỏi cấu hình chuẩn phải được phê duyệt và ghi nhận lý do.
Điều 7. Ranh giới trách nhiệm giữa HiTechCloud và Khách hàng
7.1. HiTechCloud là chủ quản hạ tầng: chịu trách nhiệm về an ninh mạng của trung tâm dữ liệu, hạ tầng mạng, nền tảng ảo hoá, hệ thống lưu trữ, mặt phẳng quản trị dịch vụ và các dịch vụ nền tảng do HiTechCloud vận hành.
7.2. Khách hàng là chủ quản hệ thống thông tin do Khách hàng triển khai trên hạ tầng của HiTechCloud: chịu trách nhiệm xác định cấp độ an ninh mạng, lập hồ sơ đề xuất cấp độ nếu thuộc trường hợp phải lập, xây dựng và thực hiện phương án bảo vệ đối với hệ điều hành khách, ứng dụng, cơ sở dữ liệu, tài khoản, khoá và dữ liệu của mình.
7.3. Việc HiTechCloud cung cấp hạ tầng và công cụ bảo mật không làm chuyển giao tư cách chủ quản hệ thống thông tin của Khách hàng sang HiTechCloud, và không làm phát sinh nghĩa vụ của HiTechCloud phải lập hồ sơ đề xuất cấp độ thay cho Khách hàng.
7.4. Ranh giới trách nhiệm theo từng nhóm dịch vụ được xác định như sau:
| Nhóm dịch vụ | HiTechCloud chịu trách nhiệm | Khách hàng chịu trách nhiệm |
|---|---|---|
| Chỗ đặt máy chủ (Colocation) | An ninh vật lý, điện, làm mát, kết nối, kiểm soát ra vào | Toàn bộ phần cứng, hệ điều hành, ứng dụng, dữ liệu và cấu hình mạng của thiết bị đặt tại trung tâm dữ liệu |
| Máy chủ vật lý riêng, máy chủ ảo, Cloud GPU | Hạ tầng vật lý, mạng, nền tảng ảo hoá, mặt phẳng quản trị | Hệ điều hành khách, bản vá, ứng dụng, tài khoản, cấu hình tường lửa nội bộ, dữ liệu và sao lưu ở lớp ứng dụng |
| Nền tảng được quản trị (cơ sở dữ liệu, Kubernetes, lưu trữ đối tượng) | Hạ tầng, nền tảng, bản vá nền tảng, khả năng sẵn sàng của dịch vụ | Cấu hình bảo mật ở lớp nền tảng, phân quyền, dữ liệu và mã nguồn ứng dụng |
| Dịch vụ quản trị mở rộng theo hợp đồng riêng | Các hạng mục được nêu cụ thể trong hợp đồng dịch vụ quản trị | Các hạng mục ngoài phạm vi hợp đồng dịch vụ quản trị |
7.5. Trường hợp Khách hàng thuộc đối tượng có nghĩa vụ riêng theo pháp luật chuyên ngành, Khách hàng chủ động thông báo cho HiTechCloud để hai bên thống nhất phạm vi hỗ trợ kỹ thuật và nghĩa vụ phối hợp bằng văn bản.
Điều 8. Kiểm tra, đánh giá an ninh mạng
8.1. HiTechCloud thực hiện kiểm tra, đánh giá an ninh mạng đối với hệ thống thông tin do mình làm chủ quản theo định kỳ tối thiểu 01 (một) lần mỗi năm, và kiểm tra đột xuất khi có thay đổi lớn về kiến trúc, khi phát hiện điểm yếu nghiêm trọng hoặc sau sự cố.
8.2. Nội dung kiểm tra bao gồm: rà soát tuân thủ quy định nội bộ và phương án bảo vệ đã phê duyệt; rà soát cấu hình an toàn; dò quét điểm yếu; kiểm thử xâm nhập đối với hệ thống có mức độ quan trọng cao; và đánh giá hiệu lực của biện pháp giám sát, ứng phó.
8.3. Kết quả kiểm tra được lập thành báo cáo nêu rõ điểm không phù hợp, mức độ rủi ro, biện pháp khắc phục, đầu mối chịu trách nhiệm và thời hạn hoàn thành. Điểm không phù hợp mức nghiêm trọng được ưu tiên khắc phục theo Chính sách Quản lý Lỗ hổng Bảo mật và Vá lỗi.
8.4. HiTechCloud phối hợp với cơ quan nhà nước có thẩm quyền trong hoạt động kiểm tra, đánh giá an ninh mạng theo yêu cầu hợp pháp, đúng thẩm quyền và đúng trình tự, thủ tục; bố trí đầu mối, cung cấp tài liệu và tạo điều kiện kỹ thuật trong phạm vi yêu cầu.
8.5. Việc kiểm tra, đánh giá liên quan tới hệ thống thông tin của Khách hàng chỉ được thực hiện khi có yêu cầu hợp pháp của cơ quan nhà nước có thẩm quyền hoặc khi Khách hàng đồng ý bằng văn bản. HiTechCloud thông báo cho Khách hàng khi pháp luật không cấm việc thông báo.
8.6. Khách hàng có quyền tự thực hiện hoặc thuê bên thứ ba kiểm thử xâm nhập đối với hệ thống thông tin của mình, với điều kiện thông báo trước cho HiTechCloud, giới hạn phạm vi trong tài nguyên của chính Khách hàng và tuân thủ Chính sách Sử dụng được Chấp nhận (AUP).
Điều 9. Giám sát an ninh mạng
9.1. HiTechCloud duy trì năng lực giám sát an ninh mạng liên tục đối với hạ tầng thuộc phạm vi quản lý, gồm thu thập nhật ký tập trung, tương quan sự kiện, phát hiện bất thường và cảnh báo, theo Chính sách Giám sát và Ghi nhật ký Hệ thống.
9.2. Nhật ký phục vụ giám sát được lưu trữ theo thời hạn quy định tại Chính sách Giám sát và Ghi nhật ký Hệ thống và Chính sách Định danh Địa chỉ IP, Lưu trữ và Cung cấp Nhật ký Kết nối.
9.3. Hoạt động giám sát giới hạn ở thông tin cần thiết cho mục đích bảo đảm an ninh, an toàn và chất lượng dịch vụ; không mở rộng sang nội dung dữ liệu của Khách hàng, trừ các trường hợp ngoại lệ đã nêu tại Chính sách Giám sát và Ghi nhật ký Hệ thống.
Điều 10. Ứng phó, khắc phục sự cố an ninh mạng
10.1. HiTechCloud duy trì quy trình ứng phó sự cố an ninh mạng gồm các giai đoạn: tiếp nhận và phân loại; ngăn chặn và cô lập; điều tra và xác định nguyên nhân; khắc phục và khôi phục; tổng kết và cải tiến.
10.2. Sự cố được phân mức từ P1 đến P4. Sự cố mức P1 kích hoạt quy trình ứng phó với thời gian phản hồi tối đa 15 (mười lăm) phút và được báo cáo tới lãnh đạo có thẩm quyền.
10.3. HiTechCloud thực hiện nghĩa vụ báo cáo sự cố an ninh mạng tới cơ quan nhà nước có thẩm quyền và tham gia phối hợp ứng phó, khắc phục sự cố theo quy định của pháp luật về an ninh mạng.
10.4. Trong quá trình ứng phó, HiTechCloud thực hiện biện pháp bảo toàn chứng cứ điện tử: giữ nguyên trạng nhật ký liên quan, chụp ảnh trạng thái hệ thống khi cần thiết, ghi nhận thời điểm và người thực hiện từng thao tác xử lý.
10.5. Khách hàng bị ảnh hưởng được thông báo về sự cố trong thời hạn sớm nhất có thể, kèm thông tin về phạm vi ảnh hưởng đã xác định, biện pháp đã thực hiện và khuyến nghị hành động, trong phạm vi pháp luật cho phép và không cản trở hoạt động điều tra.
10.6. Sự cố liên quan tới dữ liệu cá nhân được xử lý đồng thời theo Quy trình Thông báo Vi phạm Dữ liệu Cá nhân và pháp luật về bảo vệ dữ liệu cá nhân.
Điều 11. Quản lý thay đổi, điểm yếu và chuỗi cung ứng
11.1. Mọi thay đổi có tác động tới an ninh của hệ thống thông tin phải qua quy trình quản lý thay đổi: đánh giá tác động, phê duyệt, kiểm thử, triển khai theo cửa sổ thời gian và phương án quay lui.
11.2. Điểm yếu bảo mật được rà soát, phân loại theo mức độ và khắc phục theo thời hạn quy định tại Chính sách Quản lý Lỗ hổng Bảo mật và Vá lỗi.
11.3. Sản phẩm, dịch vụ an ninh mạng do HiTechCloud mua sắm hoặc cung cấp được lựa chọn từ nhà cung cấp đáp ứng điều kiện kinh doanh theo pháp luật về kinh doanh sản phẩm, dịch vụ an ninh mạng, trong đó có Nghị định số 332/2026/NĐ-CP.
11.4. Nhà cung cấp và đối tác có quyền truy cập hệ thống thông tin của HiTechCloud phải cam kết tuân thủ yêu cầu an ninh mạng tương đương, theo Chính sách An toàn Thông tin dành cho Nhà cung cấp và Đối tác.
PHẦN V – TRÁCH NHIỆM CỦA CÁC BÊN
Điều 12. Trách nhiệm của HiTechCloud với tư cách chủ quản hạ tầng
12.1. Xác định cấp độ an ninh mạng, lập và cập nhật hồ sơ đề xuất cấp độ đối với hệ thống thông tin do mình làm chủ quản thuộc trường hợp phải lập theo quy định.
12.2. Xây dựng, phê duyệt và thực hiện phương án bảo vệ tương ứng với cấp độ; bố trí nguồn lực, nhân sự và ngân sách bảo đảm thực hiện.
12.3. Duy trì giám sát liên tục, ứng phó sự cố, báo cáo và phối hợp với cơ quan nhà nước có thẩm quyền theo quy định.
12.4. Tổ chức kiểm tra, đánh giá định kỳ và lưu trữ hồ sơ, biên bản, báo cáo phục vụ chứng minh tuân thủ.
12.5. Cung cấp cho Khách hàng thông tin cần thiết về biện pháp bảo vệ ở lớp hạ tầng để Khách hàng hoàn thiện hồ sơ và phương án bảo vệ của mình, trong phạm vi không làm lộ kiến trúc bảo mật nội bộ và không gây rủi ro an toàn cho hệ thống.
Điều 13. Trách nhiệm của Khách hàng với tư cách chủ quản hệ thống thông tin
13.1. Tự xác định cấp độ an ninh mạng của hệ thống thông tin do mình triển khai và thực hiện thủ tục hồ sơ đề xuất cấp độ nếu thuộc trường hợp phải lập theo quy định của pháp luật.
13.2. Xây dựng và thực hiện phương án bảo vệ đối với phần thuộc trách nhiệm của mình theo bảng phân định tại Điều 7, gồm quản lý bản vá hệ điều hành khách và ứng dụng, quản lý tài khoản và khoá bí mật, cấu hình tường lửa nội bộ, mã hoá dữ liệu và sao lưu ở lớp ứng dụng.
13.3. Bật, cấu hình và lưu trữ nhật ký của hệ thống thông tin do mình quản trị; bảo đảm khả năng truy nguyên khi có yêu cầu hợp pháp.
13.4. Thông báo cho HiTechCloud ngay khi phát hiện sự cố an ninh mạng có khả năng ảnh hưởng tới hạ tầng dùng chung hoặc tới khách hàng khác, qua tổng đài 0865.920.041 hoặc thư điện tử abuse@photuesoftware.com.
13.5. Phối hợp với HiTechCloud và cơ quan nhà nước có thẩm quyền trong hoạt động kiểm tra, đánh giá, ứng phó sự cố liên quan tới hệ thống thông tin của mình.
13.6. Không thực hiện hành vi làm suy giảm an ninh của hạ tầng dùng chung, gồm quét cổng, dò tìm điểm yếu, tấn công thử nghiệm nhằm vào tài nguyên không thuộc quyền sử dụng của mình.
Điều 14. Trách nhiệm của người lao động, nhà thầu và nhà cung cấp dịch vụ phụ
14.1. Thực hiện đúng quy định nội bộ về an ninh mạng, quy trình quản lý thay đổi và quy trình ứng phó sự cố trong phạm vi nhiệm vụ được giao.
14.2. Báo cáo ngay dấu hiệu sự cố, điểm yếu hoặc hành vi bất thường cho bộ phận An toàn thông tin; không tự ý xử lý vượt thẩm quyền làm mất chứng cứ điện tử.
14.3. Tham gia đầy đủ chương trình đào tạo nhận thức an ninh mạng do HiTechCloud tổ chức, tối thiểu 01 (một) lần mỗi năm.
PHẦN VI – XỬ LÝ VI PHẠM
Điều 15. Xử lý vi phạm
15.1. Người lao động, nhà thầu vi phạm Chính sách này bị xử lý theo nội quy lao động, hợp đồng đã ký và quy định của pháp luật, tuỳ theo tính chất và mức độ vi phạm.
15.2. Khách hàng vi phạm nghĩa vụ tại Điều 13 gây rủi ro cho hạ tầng dùng chung hoặc cho khách hàng khác có thể bị áp dụng biện pháp: yêu cầu khắc phục trong thời hạn ấn định; hạn chế kết nối; tạm ngưng một phần hoặc toàn bộ dịch vụ theo Chính sách Tạm ngưng và Chấm dứt Dịch vụ; chấm dứt hợp đồng đối với vi phạm nghiêm trọng hoặc lặp lại.
15.3. Trừ trường hợp khẩn cấp hoặc có yêu cầu của cơ quan nhà nước có thẩm quyền, HiTechCloud thông báo trước và dành thời hạn hợp lý để Khách hàng khắc phục trước khi áp dụng biện pháp hạn chế hoặc tạm ngưng.
15.4. Vi phạm quy định về an ninh mạng có thể bị xử phạt vi phạm hành chính theo Nghị định số 330/2026/NĐ-CP hoặc bị xử lý theo quy định khác của pháp luật. Việc áp dụng biện pháp theo Chính sách này không thay thế và không loại trừ trách nhiệm pháp lý của bên vi phạm.
PHẦN VII – RÀ SOÁT VÀ CẬP NHẬT
Điều 16. Rà soát và cập nhật
16.1. Chính sách này được rà soát tối thiểu 01 (một) lần mỗi 12 (mười hai) tháng, hoặc khi có thay đổi về pháp luật, kiến trúc hạ tầng, phạm vi dịch vụ, hoặc sau sự cố an ninh mạng nghiêm trọng.
16.2. Danh mục hệ thống thông tin, cấp độ an ninh mạng và phương án bảo vệ được rà soát đồng thời với kỳ rà soát Chính sách này.
16.3. Mọi sửa đổi được công bố trước 30 (ba mươi) ngày tại https://hitechcloud.vn/tai-lieu-ho-tro/, trừ trường hợp phải áp dụng ngay theo quy định của pháp luật. Bản tiếng Việt có giá trị pháp lý cao nhất.
16.4. Đầu mối tiếp nhận: tổng đài 0865.920.041; thư điện tử cskh@photuesoftware.com đối với yêu cầu hỗ trợ và khiếu nại dịch vụ; thư điện tử abuse@photuesoftware.com đối với báo cáo sự cố và hành vi vi phạm.
PHẦN VIII – LUẬT ÁP DỤNG VÀ GIẢI QUYẾT TRANH CHẤP
Điều 17. Luật áp dụng và giải quyết tranh chấp
17.1. Văn bản này được điều chỉnh và giải thích theo pháp luật Việt Nam. Trường hợp bất kỳ điều khoản nào bị cơ quan nhà nước có thẩm quyền tuyên là vô hiệu hoặc không thể thi hành, các điều khoản còn lại vẫn giữ nguyên hiệu lực.
17.2. Mọi tranh chấp, khiếu nại phát sinh từ hoặc liên quan đến văn bản này trước hết được giải quyết bằng thương lượng thiện chí giữa các bên. Trình tự tiếp nhận và xử lý khiếu nại thực hiện theo Quy trình Khiếu nại và Giải quyết Tranh chấp.
17.3. Nếu thương lượng không đạt kết quả trong vòng 30 (ba mươi) ngày kể từ lần thương lượng đầu tiên, tranh chấp được đưa ra Toà án nhân dân có thẩm quyền tại Thành phố Hồ Chí Minh giải quyết theo pháp luật Việt Nam. Trường hợp các bên có thoả thuận trọng tài riêng bằng văn bản, thoả thuận trọng tài được ưu tiên áp dụng.
PHẦN IX – CĂN CỨ PHÁP LÝ
- Bộ luật Tố tụng dân sự số 92/2015/QH13 ngày 25/11/2015, có hiệu lực từ ngày 01/7/2016 — về thẩm quyền của Toà án và trình tự giải quyết tranh chấp dân sự, kinh doanh thương mại;
- Luật Trọng tài thương mại số 54/2010/QH12 ngày 17/6/2010, có hiệu lực từ ngày 01/01/2011 — về hiệu lực của thoả thuận trọng tài khi các bên lựa chọn trọng tài thay cho Toà án;
- Luật An ninh mạng số 116/2025/QH15 ngày 10/12/2025, có hiệu lực từ ngày 01/7/2026 (thay thế Luật An ninh mạng số 24/2018/QH14 và Luật An toàn thông tin mạng số 86/2015/QH13);
- Nghị định số 331/2026/NĐ-CP của Chính phủ về bảo vệ an ninh mạng đối với hệ thống thông tin — căn cứ xác định cấp độ an ninh mạng, hồ sơ đề xuất cấp độ và phương án bảo vệ theo cấp độ;
- Nghị định số 333/2026/NĐ-CP ngày 19/8/2026 của Chính phủ quy định chi tiết một số điều và biện pháp thi hành Luật An ninh mạng;
- Nghị định số 329/2026/NĐ-CP của Chính phủ về lực lượng bảo vệ an ninh mạng;
- Nghị định số 332/2026/NĐ-CP của Chính phủ về kinh doanh sản phẩm, dịch vụ an ninh mạng;
- Nghị định số 327/2026/NĐ-CP của Chính phủ về xử lý thông tin, hành vi vi phạm pháp luật trên không gian mạng, có hiệu lực từ ngày 19/8/2026;
- Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định số 356/2025/NĐ-CP quy định chi tiết một số điều và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân;
- Luật Dữ liệu số 60/2024/QH15;
- Luật Viễn thông số 24/2023/QH15, được sửa đổi, bổ sung bởi Luật số 47/2024/QH15, Luật số 112/2025/QH15 và Luật số 116/2025/QH15; Nghị định số 163/2024/NĐ-CP;
- Nghị định số 147/2024/NĐ-CP của Chính phủ về quản lý, cung cấp, sử dụng dịch vụ Internet và thông tin trên mạng;
- Nghị định số 330/2026/NĐ-CP của Chính phủ quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân;
- Nghị định số 174/2026/NĐ-CP của Chính phủ quy định xử phạt vi phạm hành chính trong lĩnh vực bưu chính, viễn thông, công nghệ thông tin và giao dịch điện tử;
- ISO/IEC 27001:2022 và TCVN ISO/IEC 27001:2019 – Hệ thống quản lý an toàn thông tin (tiêu chuẩn tham chiếu, không phải văn bản quy phạm pháp luật).
Văn bản liên quan: Chính sách Bảo mật Hệ thống Thông tin; Chính sách Quản lý Lỗ hổng Bảo mật và Vá lỗi; Chính sách Giám sát và Ghi nhật ký Hệ thống; Chính sách Kiểm soát Truy cập (IAM); Chính sách Định danh Địa chỉ IP, Lưu trữ và Cung cấp Nhật ký Kết nối; Chính sách Sao lưu và Khôi phục sau Thảm hoạ; Quy trình Thông báo Vi phạm Dữ liệu Cá nhân; Chính sách An toàn Thông tin dành cho Nhà cung cấp và Đối tác; Chính sách Sử dụng được Chấp nhận (AUP) — công bố tại https://hitechcloud.vn/tai-lieu-ho-tro/.
