Tài liệu thiết kế, dữ liệu khách hàng và tri thức nghiệp vụ cần được bảo vệ theo mức độ nhạy cảm và mục đích sử dụng.
Tại Việt Nam, chúng tôi xác định nơi lưu trữ, người được phép truy cập và cách sử dụng thông tin trong quá trình phát triển. Trang này trình bày các biện pháp bảo vệ và những nội dung được thống nhất cho từng dự án.
Chúng tôi cũng trả lời bảng câu hỏi đánh giá bảo mật và trao đổi về yêu cầu riêng của công ty bạn hoặc khách hàng của bạn.
Công ty Cổ phần Technica (Technica Co., Ltd., sau đây gọi là “Technica” hoặc “chúng tôi”) coi thông tin khách hàng giao xử lý là một trong những tài sản quan trọng nhất. Chính sách này xác định các biện pháp phòng ngừa sự cố an toàn thông tin và giảm thiểu ảnh hưởng khi sự cố xảy ra.
Trong chính sách này, an toàn thông tin là việc duy trì tính bảo mật, tính toàn vẹn và tính sẵn sàng của tài sản thông tin.
Chính sách áp dụng cho đơn vị, địa điểm và hoạt động sau:
Tổng giám đốc chịu trách nhiệm cao nhất đối với chính sách này. Cán bộ quản lý và nhân viên có trách nhiệm tuân thủ chính sách, quy định liên quan và báo cáo sự cố, điểm yếu bảo mật.
Tổng giám đốc chịu trách nhiệm cao nhất về an toàn thông tin. Người phụ trách an toàn thông tin quản lý việc thực hiện hằng ngày, với sự phối hợp của nhân sự được phân công tại Việt Nam.
| Vai trò | Nhiệm vụ chính |
|---|---|
| Người chịu trách nhiệm cao nhất về an toàn thông tin (Tổng giám đốc) | Ban hành chính sách và chỉ đạo xử lý sự cố nghiêm trọng |
| Người phụ trách an toàn thông tin | Duy trì quy định bảo mật và tổ chức đào tạo |
| Người phụ trách tại địa điểm phát triển (Hà Nội) | Quản lý hoạt động hằng ngày, ra vào và thiết bị |
| Đầu mối tiếp nhận sự cố | Tiếp nhận báo cáo, phối hợp xử lý ban đầu và thông tin cho khách hàng |
Công ty Cổ phần Technica đang chuẩn bị hướng tới chứng nhận ISO/IEC 27001 và hiện chưa được cấp chứng nhận.
Mục tiêu: trước khi kết thúc năm 2027
Kế hoạch đạt chứng nhận không đồng nghĩa với việc đã được chứng nhận. Phạm vi và thông tin đăng ký chỉ được công bố sau khi có kết quả cấp chứng nhận.
Chưa được cấp chứng nhận
Khi được cấp chứng nhận, chúng tôi sẽ công bố thông tin đăng ký và phạm vi được chứng nhận trên trang này.
Technica thực hiện các yêu cầu pháp luật áp dụng về an toàn thông tin và bảo vệ dữ liệu cá nhân, bao gồm Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, Nghị định 356/2025/NĐ-CP và các quy định liên quan của Việt Nam.
An toàn thông tin cần trách nhiệm rõ ràng và cách thực hiện nhất quán. Chúng tôi áp dụng các yêu cầu sau về bảo mật, đào tạo, thay đổi quyền truy cập và báo cáo sự cố.
Toàn bộ cán bộ quản lý và nhân viên ký thỏa thuận bảo mật khi gia nhập. Nghĩa vụ bảo mật tiếp tục sau khi chấm dứt làm việc:
• Thông tin mật thông thường: trong năm năm sau khi nghỉ việc
• Bí mật kinh doanh, mã nguồn, thuật toán, bí quyết kỹ thuật và thông tin cần được bảo vệ lâu dài: cho đến khi thông tin không còn tính bảo mật
Ngoài đào tạo khi gia nhập, cán bộ quản lý và nhân viên được đào tạo định kỳ về an toàn thông tin.
Khi nhân viên chuyển vị trí hoặc nghỉ việc, quyền truy cập không còn cần thiết được thu hồi. Người nghỉ việc trả lại thiết bị và phương tiện xác thực do công ty cấp; người chuyển vị trí được cấp quyền phù hợp với trách nhiệm mới.
Cán bộ quản lý và nhân viên phải kịp thời báo cho đầu mối được chỉ định khi phát hiện sự cố, nghi ngờ sự cố, lỗ hổng hoặc bất thường khác. Các báo cáo được xử lý theo quy trình ứng phó sự cố.
Về nguyên tắc, công việc được thực hiện bởi đội ngũ nội bộ. Nếu dự án cần nhà thầu phụ bên ngoài, phạm vi công việc, trách nhiệm bảo mật và yêu cầu phê duyệt được thống nhất trước với bạn theo hợp đồng.
Hoạt động phát triển được thực hiện tại Việt Nam. Các biện pháp kiểm soát tại văn phòng Hà Nội được trình bày dưới đây.
Quyền ra vào khu vực phát triển được giới hạn cho những người có nhiệm vụ phù hợp.
Văn phòng Hà Nội sử dụng xác thực sinh trắc học cá nhân và lưu hồ sơ ra vào.
Với hình thức đội ngũ phát triển riêng (ODC), chúng tôi có thể bố trí phòng tách biệt với dự án khác theo yêu cầu đã thống nhất. Chỉ nhân sự được cấp quyền của dự án được phép truy cập.
Không được sử dụng USB và thiết bị lưu trữ ngoài.
Camera an ninh được lắp đặt tại văn phòng Hà Nội.
Chúng tôi có thể bố trí làm việc tại địa điểm của công ty bạn hoặc khách hàng của bạn, theo phạm vi, yêu cầu bảo mật và cách phối hợp đã thống nhất.
| Hạng mục | Biện pháp |
|---|---|
| Môi trường lưu trữ | Môi trường được phê duyệt, phù hợp yêu cầu lưu trữ và xử lý dữ liệu tại Việt Nam của dự án |
| Mạng | Kết nối từ bên ngoài chỉ được phép qua VPN |
| Xác thực | Yêu cầu xác thực đa yếu tố và đăng nhập một lần qua Google Workspace |
| Thiết bị | Chỉ sử dụng thiết bị do công ty cấp; không dùng thiết bị cá nhân cho công việc |
| Sao lưu | Sao lưu hằng ngày, quy trình khôi phục được xác định và kiểm thử khôi phục định kỳ |
Chi tiết biện pháp kỹ thuật có thể được cung cấp khi đánh giá bảo mật của dự án.
Chúng tôi chỉ thu thập và truy cập thông tin cần thiết cho dự án đã thống nhất. Khi có thể, chúng tôi ưu tiên phương án không yêu cầu khách hàng cung cấp dữ liệu cá nhân.
Dữ liệu khách hàng cung cấp và kết quả phát triển được lưu trong môi trường đã phê duyệt. Nơi lưu trữ, khu vực máy chủ cloud và quyền truy cập được xác định cho từng dự án, phù hợp yêu cầu xử lý tại Việt Nam. Không được lưu trên thiết bị cá nhân hoặc dịch vụ bên ngoài chưa được phê duyệt.
• Máy chủ nội bộ tại văn phòng Hà Nội, Việt Nam
• Dịch vụ lưu trữ cloud được phê duyệt, theo khu vực và điều kiện xử lý dữ liệu đã thống nhất
Jira và Confluence dùng để quản lý dự án, chia sẻ tài liệu được tự vận hành trên máy chủ nội bộ nêu trên, thay vì sử dụng dịch vụ SaaS bên ngoài.
Nơi lưu trữ và địa điểm nhân sự được phép truy cập là hai nội dung được kiểm soát riêng. Cấu hình phải đáp ứng yêu cầu xử lý dữ liệu tại Việt Nam của dự án.
Kết nối giữa thiết bị khách hàng và máy chủ được bảo vệ bằng TLS (Transport Layer Security).
Thông thường, chúng tôi không dùng dữ liệu vận hành thực tế trong môi trường phát triển; khi phù hợp, sử dụng dữ liệu đã che thông tin hoặc khử nhận dạng. Dữ liệu đã che vẫn được xử lý như dữ liệu cá nhân nếu còn có thể xác định cá nhân.
Thời hạn lưu dữ liệu khách hàng được xác định theo từng dự án. Khi hợp đồng kết thúc hoặc mục đích sử dụng đã hoàn thành, dữ liệu được trả lại hoặc xóa an toàn theo hợp đồng và thỏa thuận với bạn, trừ trường hợp pháp luật yêu cầu lưu giữ. Bản sao lưu được xóa theo lịch lưu giữ và sao lưu áp dụng. Khi cần, chúng tôi báo cáo việc hoàn tất xóa dữ liệu.
Dữ liệu dự án được đội ngũ Technica xử lý tại Việt Nam. Nếu có đề xuất xử lý hoặc chuyển dữ liệu cá nhân ra nước ngoài, chúng tôi đánh giá yêu cầu pháp luật Việt Nam, căn cứ xử lý và biện pháp bảo vệ trước khi thực hiện.
Chúng tôi trao đổi với khách hàng về các phương án sau và quy định biện pháp áp dụng trong hợp đồng dự án.
Khi phù hợp, chúng tôi dùng dữ liệu đã khử nhận dạng, dữ liệu tổng hợp hoặc dữ liệu được che thông tin để giảm nhu cầu chuyển dữ liệu cá nhân. Che thông tin không mặc nhiên làm dữ liệu nằm ngoài phạm vi pháp luật về bảo vệ dữ liệu cá nhân; tình trạng dữ liệu cần được đánh giá trước khi chuyển.
Hoạt động xử lý dữ liệu cá nhân được thực hiện tại Việt Nam, với quyền truy cập giới hạn theo thỏa thuận dự án.
Việc chuyển dữ liệu cá nhân ra nước ngoài, nếu được xem xét, phải đáp ứng quy định pháp luật Việt Nam và điều kiện dự án. Hợp đồng với nhà cung cấp không thay thế căn cứ xử lý hợp pháp hoặc thủ tục bắt buộc theo pháp luật.
Trước khi xử lý, hai bên thống nhất địa điểm, nhân sự được phép truy cập, quyền hạn và các điều kiện bảo mật. Dịch vụ AI bên ngoài, nếu được phê duyệt, phải tuân thủ điều kiện riêng về dịch vụ và xử lý dữ liệu trình bày dưới đây.
Phần này áp dụng cho dữ liệu dự án do đội ngũ phát triển xử lý. Thông tin liên hệ và dữ liệu phân tích website được trình bày riêng tại Chính sách bảo vệ dữ liệu cá nhân.
Chúng tôi tách môi trường, quyền truy cập và mã nguồn theo dự án để giảm nguy cơ truy cập trái phép hoặc chia sẻ ngoài dự kiến giữa các dự án.
Thay đổi được rà soát trước khi đưa vào vận hành và quyền truy cập được quản lý theo dự án. Kiểm soát sử dụng AI tạo sinh trong phát triển được trình bày tại phần Bảo mật khi sử dụng AI.
Môi trường phát triển, kiểm thử trước triển khai và vận hành thực tế được tách biệt; quyền truy cập được quản lý riêng cho từng môi trường.
Mỗi thay đổi đưa vào vận hành đều được một thành viên khác trong đội ngũ rà soát.
Không được đưa khóa API và mật khẩu vào mã nguồn lưu trong hệ thống quản lý phiên bản.
Chúng tôi quét lỗ hổng của các thành phần phần mềm được sử dụng trong dự án.
Quyền truy cập trong hệ thống quản lý phiên bản được tách theo dự án.
Việc bàn giao theo phương thức quy định trong hợp đồng; cách xử lý bản sao chúng tôi giữ sau bàn giao cũng được thống nhất với bạn.
AI có những rủi ro riêng liên quan đến nhà cung cấp mô hình bên ngoài, dữ liệu đầu vào mật, kết quả sinh ra và nhật ký hoạt động. Chúng tôi phân biệt AI dùng trong phát triển với AI cung cấp trong giải pháp khách hàng. Trong cả hai trường hợp, môi trường được phép xử lý và điều kiện sử dụng dữ liệu được thống nhất với khách hàng.
Hai phương án gồm dịch vụ AI bên ngoài được phê duyệt và mô hình tự vận hành. Phương án được chọn theo yêu cầu dự án, độ nhạy cảm của thông tin và địa điểm được phép xử lý.
Chúng tôi sử dụng AI trong phát triển phần mềm theo điều kiện về công cụ, truy cập dữ liệu và bảo mật đã thống nhất cho từng dự án.
Chỉ sử dụng dịch vụ AI doanh nghiệp có bản quyền khi dự án cho phép xử lý bên ngoài. Công cụ, điều khoản dịch vụ và cách xử lý dữ liệu khách hàng được đối chiếu với yêu cầu bảo mật của dự án.
Chúng tôi chạy mô hình AI có trọng số mở trong môi trường tự vận hành đã thống nhất, không gửi câu lệnh hoặc dữ liệu khách hàng đến nhà cung cấp mô hình AI bên ngoài. Phương án này phù hợp với dự án không cho phép dịch vụ AI bên ngoài. Nơi đặt hệ thống, truy cập mạng, nhật ký và thời hạn lưu vẫn cần được xác định cho từng dự án; môi trường do Technica quản lý không mặc nhiên là môi trường riêng của khách hàng.
Mô hình tự vận hành cho phép xử lý trong môi trường được kiểm soát đã thống nhất, không gửi đầu vào đến nhà cung cấp AI bên ngoài.
Khi triển khai sản phẩm, kiến trúc AI được lựa chọn cùng khách hàng trong bước thiết kế, theo yêu cầu về nơi lưu trữ dữ liệu, phân quyền, hiệu năng và bảo mật.
Sản phẩm kết nối với dịch vụ LLM bên ngoài được phê duyệt. Phương án này cho phép khai thác các khả năng mô hình do nhà cung cấp vận hành, theo điều kiện xử lý dữ liệu, hiệu năng và bảo mật đã thống nhất.
Khi lựa chọn phương án này, các tiêu chí về dịch vụ được phép sử dụng và điều khoản không dùng dữ liệu để huấn luyện trong phần “Sử dụng AI tạo sinh trong phát triển” cũng được áp dụng.
Mô hình chạy trên hạ tầng riêng hoặc môi trường chuyên biệt đã thống nhất. Yêu cầu và phản hồi được xử lý trong môi trường đó, không gửi đến nhà cung cấp AI bên ngoài trong quá trình chạy mô hình. Lưu trữ, quản trị và nhật ký vẫn phụ thuộc vào cấu hình triển khai.
Tìm kiếm tri thức nội bộ từ nhiều nguồn có nguy cơ đưa vào câu trả lời thông tin mà người dùng không được phép truy cập. AIKNOW kiểm tra quyền khi truy xuất, tạo câu trả lời và thực thi công cụ nhằm hạn chế truy cập ngoài phạm vi được cấp.
Câu hỏi và câu trả lời có thể chứa thông tin mật. Tùy cấu hình được phê duyệt, nhật ký có thể lưu trên nền tảng theo dõi hoạt động LLM/RAG hoặc bộ nhớ lưu trữ của máy chủ, môi trường chạy ứng dụng. Truy cập được giới hạn theo vai trò (RBAC); nơi lưu và cách xử lý nhật ký là một phần của thiết kế bảo mật dự án.
Quy trình gồm phát hiện, khoanh vùng, thông báo, đánh giá ảnh hưởng, khôi phục và ngăn ngừa tái diễn. Trách nhiệm và tuyến báo cáo rõ ràng giúp phối hợp xử lý kịp thời.
Khi xác nhận sự cố liên quan đến thông tin của bạn, chúng tôi thông báo kịp thời và cập nhật theo tiến độ điều tra.
Nhân sự được phân công tại Việt Nam phối hợp xử lý theo quy trình ứng phó sự cố.
Về độ sẵn sàng, giờ hỗ trợ và mục tiêu phản hồi ban đầu theo mức độ sự cố, xem Mục tiêu cấp độ dịch vụ.
Chúng tôi trao đổi về giới hạn triển khai, xử lý dữ liệu, phân quyền và tổ chức phát triển, bao gồm môi trường hạ tầng riêng và đội ngũ tại Việt Nam. Chúng tôi cũng trả lời bảng câu hỏi bảo mật trong quá trình đánh giá nhà cung cấp.
