Bản tự đánh giá an toàn công khai để quý khách kiểm chứng

1.Vì sao chúng tôi tự đánh giá thay vì mua chứng nhận

Một chứng nhận được cấp mỗi năm một lần, dựa trên ảnh chụp hệ thống tại thời điểm kiểm toán. Giữa hai lần kiểm toán, không ai biết điều gì đã đổi.

Ba khung dưới đây kiểm được liên tục: phần lớn các mục đã thành chốt tự động chạy mỗi lần chúng tôi phát hành. Hỏng ở đâu là dừng phát hành ở đó, không chờ tới kỳ kiểm toán sau.

Chúng tôi không coi đây là thứ thay thế chứng nhận. Đây là thứ chúng tôi làm được ngay, kiểm được ngay, và nói ra được ngay.

2.OWASP ASVS — an toàn ứng dụng, kiểm bằng mã

Khung này kiểm mã nguồn chứ không kiểm giấy tờ, nên chúng tôi biến nó thành một chốt tự động trong quy trình phát hành.

Chốt chạy mỗi lần phát hành và đối chiếu với một mốc nền chỉ được phép nhỏ đi. Thêm một khoản nợ an toàn mới là dây chuyền phát hành dừng lại.

• V2 — Xác thực: mật khẩu băm bằng thuật toán chậm có muối; Super Admin bắt buộc qua xác thực hai bước.
• V3 — Quản lý phiên: cookie phiên đặt cờ HttpOnly và SameSite; phiên hết hạn có thời hạn rõ ràng.
• V4 — Kiểm soát truy cập: cách ly giữa các khách hàng làm ở tầng cơ sở dữ liệu bằng Row Level Security, không làm ở tầng ứng dụng.
• V5 — Kiểm tra đầu vào: mọi trang khách dựng đều đi qua một cổng kiểm duy nhất, kể cả nội dung do AI sinh ra và dữ liệu nhập từ website ngoài.
• V7 — Nhật ký: sổ kiểm toán chỉ ghi thêm, không sửa và không xoá được.
• V12 — Tệp tải lên: chặn theo kích thước ở hai tầng, và tệp nén chỉ được giải nén phần cần đọc.
• V13 — Giao diện lập trình: đường gọi ra ngoài do khách nhập vào được kiểm địa chỉ thật ở từng chặng chuyển hướng.

3.CIS Controls v8 — nhóm triển khai 1

Nhóm 1 là mức dành cho doanh nghiệp vừa và nhỏ. Chúng tôi tự đánh giá theo mười một kiểm soát áp dụng được cho một nền tảng phần mềm như Crewly.

• Kiểm kê tài sản và phần mềm: danh mục phụ thuộc được rà lỗ hổng tự động mỗi lần phát hành.
• Bảo vệ dữ liệu: dữ liệu mỗi khách hàng cách ly ở tầng cơ sở dữ liệu; thông tin nhạy cảm của bên thứ ba được mã hoá trước khi lưu.
• Quản lý tài khoản và quyền truy cập: phân quyền theo vai trò, và quyền quản trị nền tảng tách hẳn khỏi quyền quản trị của khách hàng.
• Nhật ký kiểm toán: ghi thêm không sửa được, có chốt canh tính toàn vẹn.
• Khôi phục dữ liệu: sao lưu định kỳ và có thử khôi phục — sao lưu chưa từng thử khôi phục thì chưa gọi là sao lưu.

4.NIST CSF 2.0 — quản trị an toàn

Khung này không kiểm kỹ thuật mà kiểm cách tổ chức vận hành: ai chịu trách nhiệm, quyết định ghi ở đâu, sự cố xử lý ra sao.

Chúng tôi tự đánh giá theo sáu chức năng của khung: Quản trị, Nhận diện, Bảo vệ, Phát hiện, Ứng phó, Phục hồi.

5.PDPA — trước khi phục vụ thị trường Singapore

Đạo luật Bảo vệ Dữ liệu Cá nhân của Singapore, điều 25, buộc ngừng giữ dữ liệu cá nhân khi mục đích đã xong và không còn nhu cầu pháp lý hay kinh doanh.

Chúng tôi đã lập bản khai thời hạn lưu giữ cho từng loại dữ liệu, kèm một chốt tự động canh tính toàn vẹn của bản khai đó.

• 🔴 Nói rõ giới hạn hiện tại: bản khai thời hạn lưu giữ là MỘT BẢN KHAI. Hệ thống chưa tự xoá dữ liệu quá hạn. Đừng đọc mục này rồi hiểu là dữ liệu quá hạn đang được dọn tự động — chưa.
• Luồng «quyền được quên» — khách yêu cầu xoá tài khoản và dữ liệu — nằm trong kế hoạch, chưa dựng.
• Ràng buộc ngược chiều tại Việt Nam: Luật Kế toán buộc giữ chứng từ kế toán mười năm. Có những dữ liệu không được xoá sớm.

6.Những gì CHƯA đạt — cùng trang, cùng cỡ chữ

Chúng tôi cho rằng nói rõ phần chưa có thì đáng tin hơn là im lặng.

• Chứng nhận SOC 2: CHƯA có, và chưa khởi động quy trình kiểm toán. Sẽ tiến hành khi mở rộng sang thị trường Mỹ.
• Kiểm thử xâm nhập độc lập: CHƯA thực hiện. Đây là việc bắt buộc trước khi phục vụ khách hàng ngoài Việt Nam, và rẻ hơn SOC 2 nhiều bậc.
• Chứng nhận ISO 27001: chưa có và chưa nằm trong kế hoạch gần.
• Tự xoá dữ liệu quá hạn: chưa dựng — xem mục PDPA ở trên.
• Bản tự đánh giá này do chính chúng tôi thực hiện, KHÔNG có bên thứ ba xác nhận. Đó là điều quý khách nên tính tới khi đọc nó.

7.Kiểm chứng bằng cách nào

Mỗi mục ở trên tương ứng một thứ cụ thể trong hệ thống: một chốt tự động, một tệp tài liệu, hoặc một thay đổi cơ sở dữ liệu có ghi vết.

Nếu quý khách đang cân nhắc ký hợp đồng và cần bằng chứng chi tiết hơn — kết quả chốt, bản tự đánh giá đầy đủ, hoặc một buổi trao đổi kỹ thuật — xin liên hệ, chúng tôi cung cấp.