Bảo vệ thông tin của quý công ty bằng một cơ chế bài bản.
Cơ cấu an ninh thông tin đã đạt chứng nhận ISO/IEC 27001:2022. Không chỉ dừng ở chính sách, chúng tôi còn có minh chứng bằng thực tiễn vận hành tại hiện trường phát triển và đánh giá của bên thứ ba.
Cách tiếp cận an ninh thông tin
An ninh thông tin là nỗ lực bảo vệ thông tin của quý công ty như một cơ chế bài bản, được xây dựng từ ba yếu tố: chính sách, vận hành thực tế và đánh giá của bên thứ ba. Miichisoft đã đạt chứng nhận ISO/IEC 27001:2022.
Dựa trên các điểm mà bộ phận CNTT nội bộ và bộ phận thu mua thường kiểm tra, chúng tôi trình bày rõ ràng từ bằng chứng chứng nhận, cách xử lý dữ liệu, biện pháp bảo mật tại hiện trường phát triển, cho đến các mục cần xác nhận khi thu mua.
Xử lý thông tin và các nguyên tắc bảo mật
- Phân loại thông tin theo 3 cấp độ (công khai / nội bộ / bí mật) và kiểm soát truy cập theo từng cấp độ phân loại
- Quyền truy cập tuân theo nguyên tắc đặc quyền tối thiểu. Giới hạn phạm vi theo từng vai trò, kiểm soát bằng phân tách mạng và giới hạn IP
- Ngăn ngừa rò rỉ thông tin bằng mã hóa dữ liệu (lưu trữ) và bảo vệ truyền tải (SSL/TLS = mã hóa dữ liệu truyền tải)
- Cấu hình an toàn và kiểm soát đầu vào. Vô hiệu hóa các chức năng không cần thiết, kiểm tra giá trị đầu vào để loại bỏ dữ liệu bất hợp lệ
- Kiểm soát công cụ và thư viện sử dụng, chỉ phát triển và vận hành với cấu hình đã được phê duyệt
- Ra vào bằng xác thực sinh trắc học. Xác thực bằng thẻ IC / token, cùng với kiểm chứng BCP/DR (duy trì hoạt động kinh doanh và khôi phục sau thảm họa)
Chứng nhận và đánh giá (bằng chứng)
Không chỉ dừng ở chính sách, chúng tôi minh chứng bằng chứng nhận và đánh giá của bên thứ ba.
ISO/IEC 27001:2022
Đã đạt chứng nhận quản lý an ninh thông tin (có chứng chỉ).
ISO 9001:2015
Đã đạt chứng nhận quản lý chất lượng.
Đánh giá bên thứ ba và kiểm toán nội bộ
Thực hiện đánh giá bởi tổ chức chứng nhận và kiểm toán nội bộ theo từng quý.
An ninh thông tin được vận hành gắn liền với cơ chế đảm bảo chất lượng của chúng tôi. Chất lượng và hỗ trợ tiếng Nhật →
Phát triển an toàn và kiểm toán
Không chỉ dừng ở chứng nhận hay quy định, chúng tôi có cơ chế đảm bảo an ninh hằng ngày ngay tại hiện trường phát triển.
Lập trình an toàn (Secure coding)
Chúng tôi triệt để thực hiện phát triển không tạo ra lỗ hổng bảo mật thông qua việc lập trình tuân theo quy chuẩn coding và rà soát code (code review).
Phân tích tĩnh và kiểm tra lỗ hổng bảo mật
Sử dụng SonarQube, OWASP ZAP (công cụ tự động phân tích tĩnh mã nguồn và kiểm tra lỗ hổng bảo mật) để phát hiện rủi ro về chất lượng và bảo mật trước khi phát hành.
Kiểm toán quy trình (PQA)
Bộ phận phụ trách PQA (đảm bảo chất lượng quy trình) định kỳ kiểm tra mức độ tuân thủ quy trình phát triển.
Đào tạo an ninh thông tin
Thực hiện bài kiểm tra an ninh thông tin cho toàn thể nhân viên nhằm xác nhận việc tuân thủ vận hành.
Các hoạt động này được chuẩn hóa và vận hành theo Secure SDLC (quy trình phát triển tích hợp yêu cầu bảo mật vào từng công đoạn, từ hoạch định đến bảo trì).
Việc xử lý dữ liệu bí mật trong phát triển ứng dụng AI được quản lý theo chính sách chuyên biệt.
Xem Quản trị dữ liệu AICác câu hỏi thường gặp (dành cho bộ phận thu mua)
Dữ liệu được lưu trữ ở đâu?
Chúng tôi sử dụng AWS (Khu vực Tokyo), quốc gia lưu trữ là Nhật Bản. Quý công ty có thể trao đổi thêm tùy theo yêu cầu.
Việc chuyển dữ liệu xuyên biên giới (sang Việt Nam) được xử lý như thế nào?
Đối tác nhận thầu phụ (Miichisoft, JSC) tuân thủ chế độ bảo vệ thông tin cá nhân của Việt Nam (Nghị định 13/2023/NĐ-CP và Luật An ninh mạng). Chúng tôi giới hạn mục đích sử dụng, thực hiện trả lại hoặc tiêu hủy dữ liệu sau khi kết thúc, ghi nhật ký truy cập và báo cáo sự cố.
Trong phát triển ứng dụng AI, dữ liệu bí mật được bảo vệ như thế nào?
Về nguyên tắc, các công cụ AI được vận hành trong Sandbox (môi trường thực thi cách ly) để dữ liệu bí mật không bị rò rỉ ra bên ngoài. Tùy theo yêu cầu của quý công ty, chúng tôi cũng có thể lựa chọn sử dụng mô hình ngôn ngữ lớn vận hành trong chính môi trường nội bộ (Local LLM), hoặc cấu hình không phụ thuộc vào một dịch vụ AI cụ thể nào. Chi tiết về việc xử lý dữ liệu được trình bày trong chính sách Quản trị dữ liệu AI.
Có thể giao lại (thầu phụ) không?
Chúng tôi thực hiện sau khi có sự chấp thuận trước bằng văn bản, thông qua hợp đồng có điều khoản bảo mật tương đương hoặc cao hơn.
Xử lý như thế nào khi xảy ra sự cố?
Chúng tôi đã quy định sẵn đội ngũ liên lạc và quy trình xử lý, báo cáo nhanh chóng cho bên giao việc. Về xử lý lỗ hổng bảo mật, chúng tôi thực hiện rà soát IDS, quản lý OS/bản vá và quản lý cấu hình.
Dữ liệu sẽ được xử lý ra sao khi hợp đồng kết thúc?
Chúng tôi thực hiện trả lại dữ liệu hoặc tiêu hủy dữ liệu ở dạng không thể khôi phục, và báo cáo bằng văn bản khi hoàn tất. Quyền sở hữu trí tuệ đối với sản phẩm bàn giao được quy định rõ trong hợp đồng.
Có thể tuân theo chính sách bảo mật của quý công ty không?
Chúng tôi có thể vận hành theo chính sách của quý công ty, ví dụ như môi trường phát triển riêng biệt, sử dụng máy tính do quý công ty cấp, hoặc thiết lập phòng bảo mật riêng. Toàn thể nhân viên đều thực hiện bài kiểm tra an ninh thông tin theo từng quý.
Xin vui lòng trao đổi cùng chúng tôi về các yêu cầu bảo mật.
Chúng tôi đã chuẩn bị sẵn bảng trả lời câu hỏi bảo mật dành cho bộ phận thu mua. Nếu quý công ty chia sẻ yêu cầu cụ thể, chúng tôi sẽ hỗ trợ riêng theo từng trường hợp.
* Số chứng nhận và phạm vi áp dụng (scope) sẽ được cung cấp theo yêu cầu của bộ phận thu mua.
* Việc xử lý thông tin và các biện pháp tại hiện trường phát triển là cơ cấu tiêu chuẩn dựa trên quy định vận hành nội bộ của chúng tôi (tự công bố, self-reported).
* Chủ thể ký kết hợp đồng là pháp nhân Nhật Bản (Công ty Cổ phần Miichisoft Japan). Chúng tôi có cửa liên hệ hỗ trợ song ngữ Nhật–Anh.