Tiêu chuẩn bảo mật
Sửa đổi lần gần đây nhất: 9 tháng 5 năm 2018

I.  Biện pháp kỹ thuật và tổ chức

Chúng tôi cam kết bảo vệ thông tin của khách hàng.  Có tính đến các phương pháp tối ưu, chi phí thực hiện và tính chất, phạm vi, tình huống và mục đích xử lý cũng như khả năng xảy ra và mức độ nghiêm trọng khác nhau của rủi ro đối với các quyền và quyền tự do của các thể nhân, chúng tôi thực hiện các biện pháp kỹ thuật và tổ chức sau đây.  Khi lựa chọn các biện pháp, chúng tôi luôn cân nhắc đến tính bảo mật, tính toàn vẹn, tính sẵn sàng và khả năng phục hồi của các hệ thống. Khôi phục nhanh sau một sự cố kỹ thuật hoặc vật lý là điều được đảm bảo.

Chương trình quyền riêng tư của dữ liệu của chúng tôi được thiết lập để duy trì cấu trúc quản trị dữ liệu toàn cầu và thông tin bảo mật trong suốt vòng đời của thông tin. Chương trình này được điều hành bởi giám đốc bảo vệ dữ liệu, người giám sát việc thực hiện các biện pháp bảo mật và biện pháp bảo mật. Chúng tôi thường xuyên kiểm tra, đánh giá tính hiệu quả của Chương trình bảo mật dữ liệu và các Tiêu chuẩn bảo mật.

1. Tính bí mật. “Tính bí mật có nghĩa là dữ liệu cá nhân được bảo vệ chống lại việc tiết lộ trái phép."  

Chúng tôi sử dụng nhiều biện pháp vật lý và logic để bảo vệ tính bí mật của dữ liệu cá nhân của khách hàng. Các biện pháp này bao gồm:   

Bảo mật vật lý  

• Hệ thống kiểm soát truy cập vật lý tại chỗ (Kiểm soát truy cập bằng thẻ, Giám sát sự kiện an ninh, v.v.) 
• Các hệ thống giám sát bao gồm chuông báo và, nếu phù hợp, giám sát bằng CCTV
• Chính sách bàn sạch và quyền kiểm soát tại chỗ (Khóa máy tính không có giám sát, tủ khóa v.v.)  
• Quản lý quyền truy cập của khách
• Phá hủy dữ liệu trên phương tiện vật lý và tài liệu (xén, khử, v.v.) 

Kiểm soát truy cập & Ngăn chặn truy cập trái phép

• Các hạn chế truy cập của người dùng được áp dụng và quyền truy cập dựa trên vai trò được cung cấp/xem xét dựa trên nguyên tắc tách biệt trách nhiệm
• Các biện pháp ủy quyền và xác thực mạnh mẽ (Xác thực nhiều yếu tố, ủy quyền dựa trên chứng chỉ, hủy kích hoạt/đăng xuất tự động, v.v) 
• Quản lý mật khẩu tập trung và chính sách mật khẩu mạnh/phức tạp (độ dài tối thiểu, độ phức tạp của các ký tự, thời hạn hết hạn của mật khẩu, v.v.)   
• Truy cập có kiểm soát vào email và Internet
• Quản lý chống virus  
• Quản lý hệ thống phòng chống xâm nhập

Mã hóa  

• Mã hóa giao tiếp bên ngoài và nội bộ qua các giao thức mật mã mạnh mẽ  
• Mã hóa dữ liệu nhận dạng cá nhân/dữ liệu cá nhân nhạy cảm (PII/SPII) nằm trên các thiết bị lưu trữ (cơ sở dữ liệu, thư mục dùng chung, v.v.)   
• Mã hóa ổ đĩa toàn bộ cho PC và máy tính xách tay của công ty
• Mã hóa phương tiện lưu trữ
• Các kết nối từ xa đến mạng công ty được mã hóa qua VPN
• Bảo vệ an toàn cho vòng đời của các khóa mã hóa

Giảm thiểu hóa dữ liệu

• Giảm thiểu thông tin nhận dạng cá nhân/thông tin cá nhân nhạy cảm (PII/SPI) trong ứng dụng, nhật ký gỡ lỗi và bảo mật 
• Ẩn danh dữ liệu cá nhân để ngăn nhận dạng cá nhân trực tiếp
• Phân chia dữ liệu được lưu trữ theo chức năng (kiểm tra, thử nghiệm, vận hành trực tiếp) 
• Phân tách hợp lý dữ liệu theo quyền truy cập dựa trên vai trò 
• Xác định thời gian lưu giữ dữ liệu cá nhân   

Kiểm tra bảo mật

• Kiểm tra xâm nhập đối với các mạng quan trọng của công ty và các nền tảng lưu trữ dữ liệu cá nhân
• Quét tìm lỗ hổng và lỗi mạng thường xuyên

2. Sự chính trực. “Tính toàn vẹn đề cập đến việc đảm bảo độ chính xác (nguyên vẹn) của dữ liệu và hoạt động chính xác của hệ thống. Khi thuật ngữ tính toàn vẹn được sử dụng liên quan đến thuật ngữ “dữ liệu”, nó biểu thị rằng dữ liệu đó là hoàn chỉnh và không thay đổi.”  

Các quyền kiểm soát quản lý nhật ký và thay đổi phù hợp được áp dụng tại chỗ, ngoài các quyền kiểm soát truy cập để có thể duy trì tính toàn vẹn của dữ liệu cá nhân, chẳng hạn như:    

Quản lý thay đổi và phát hành  

• Quy trình quản lý thay đổi và phát hành bao gồm (phân tích tác động, phê duyệt, kiểm tra, đánh giá bảo mật, chuẩn bị, giám sát, v.v.)  
• Quyền truy cập dựa trên vai trò & chức năng (Tách biệt trách nhiệm) cung cấp trong môi trường sản xuất    

Ghi nhật ký và giám sát

• Ghi nhật ký truy cập và các lần thay đổi đối với dữ liệu  
• Nhật ký bảo mật và kiểm tra tập trung   
• Giám sát tính hoàn thiện và chính xác của việc chuyển dữ liệu (kiểm tra từ đầu đến cuối)    

3. Tính sẵn có. “Tính sẵn có của dịch vụ và hệ thống công nghệ thông tin, ứng dụng công nghệ thông tin và các chức năng của mạng công nghệ thông tin hoặc của thông tin được đảm bảo, nếu người dùng không thể sử dụng chúng tại mọi thời điểm như dự định.”    

Chúng tôi triển khai các biện pháp bảo mật và sự liên tục phù hợp để duy trì tính sẵn có của dịch vụ và dữ liệu có trong các dịch vụ này:    

• Kiểm tra chuyển đổi dự phòng thường xuyên được áp dụng cho các dịch vụ quan trọng  
• Giá sát và báo cáo khả hăng hoạt động/hiệu suất cho các hệ thống quan trọng  
• Chương trình ứng cứu sự cố  
• Dữ liệu quan trọng được sao chép hoặc sao lưu (Các bản Sao lưu đám mây/Ổ đĩa cứng/Cơ sở dữ liệu, v.v.) 
• Bảo trì phần mềm, cơ sở hạ tầng và bảo mật theo kế hoạch tại chỗ (Các bản cập nhật phần mềm, bản vá bảo mật, v.v.)   
• Hệ thống dự phòng và phục hồi (cụm máy chủ, cơ sở dữ liệu được ánh xạ, các thành phần thiết lập về phạm vi cung cấp cao, v.v.) nằm ở vị trí bên ngoài và/hoặc vị trí địa lý tách biệt    
• Sử dụng nguồn cấp điện liên tục, phần cứng dự phòng khi có lỗi và các hệ thống mạng  
• Các hệ thống cảnh báo, bảo mật tại chỗ  
• Các biện pháp bảo vệ vật lý tại chỗ cho các vị trí quan trọng (bảo vệ đột biến, sàn nâng, hệ thống làm mát, thiết bị báo cháy và/hoặc khói, hệ thống chữa cháy, v.v.) 
• Bảo vệ chống DDOS để duy trì tính sẵn có   
• Kiểm tra ứng suất và tải  

4. Hướng dẫn xử lý dữ liệu. "Hướng dẫn xử lý dữ liệu đề cập đến việc đảm bảo rằng dữ liệu cá nhân sẽ chỉ được xử lý theo hướng dẫn của đơn vị kiểm soát dữ liệu và các biện pháp có liên quan của công ty"  

Chúng tôi đã thiết lập các chính sách nội bộ về quyền riêng tư, thỏa thuận và triển khai đào tạo thường xuyên về quyền riêng tư cho nhân viên để đảm bảo rằng dữ liệu cá nhân được xử lý theo tùy chọn và hướng dẫn của khách hàng.   

• Quyền riêng tư và điều khoản bảo mật tại chỗ trong hợp đồng của nhân viên 
• Đào tạo thường xuyên về bảo mật và quyền riêng tư của dữ liệu cho nhân viên 
• Các điều khoản theo hợp đồng phù hợp đối với các thỏa thuận với nhà thầu phụ để duy trì các quyền kiểm soát hướng dẫn 
• Thường xuyên kiểm tra bảo mật đối với các nhà cung cấp dịch vụ bên ngoài 
• Cung cấp cho khách hàng toàn quyền kiểm soát đối với các tùy chọn xử lý dữ liệu của họ
• Thường xuyên kiểm tra bảo mật