1. MỤC ĐÍCH

Chính sách An toàn thông tin (ATTT) được xây dựng nhằm:

• Đảm bảo tính bảo mật, toàn vẹn và sẵn sàng của thông tin; đồng thời duy trì tính xác thực, khả năng truy vết và trách nhiệm giải trình phù hợp.
• Phòng ngừa, phát hiện, ứng phó và khắc phục kịp thời các sự cố, rủi ro hoặc hành vi vi phạm ATTT.
• Đáp ứng các yêu cầu của ISO/IEC 27001:2022, bao gồm sửa đổi Amd 1:2024, và các quy định pháp luật Việt Nam hiện hành về an ninh mạng, an toàn thông tin, bảo vệ dữ liệu cá nhân và giao dịch điện tử.
• Thiết lập, duy trì và cải tiến liên tục Hệ thống quản lý an toàn thông tin (ISMS), dựa trên đánh giá rủi ro và yêu cầu của các bên quan tâm.
• Kiểm soát việc tạo lập, lưu trữ, truy cập, truyền tải, trao đổi và chia sẻ thông tin với Khách hàng, đối tác và bên ngoài thông qua các kênh được Công ty phê duyệt.

2. PHẠM VI ÁP DỤNG

Chính sách được áp dụng cho:

• Toàn bộ cán bộ, nhân viên, cộng tác viên, thực tập sinh và cá nhân làm việc cho hoặc đại diện Công ty; nhà thầu, đối tác, nhà cung cấp có quyền truy cập hoặc xử lý thông tin/hệ thống thông tin của Công ty.
• Toàn bộ tài sản thông tin thuộc quyền sở hữu, quản lý hoặc kiểm soát của Công ty, bao gồm dữ liệu, hồ sơ giấy, phần mềm, mã nguồn, thiết bị phần cứng, hệ thống mạng, dịch vụ điện toán đám mây, tài khoản, khóa mật mã và hệ thống nghiệp vụ.
• Các kênh trao đổi thông tin với Khách hàng và bên ngoài, bao gồm email Công ty, tổng đài, ticket/helpdesk, CRM, cổng dịch vụ khách hàng, hệ thống nghiệp vụ và các ứng dụng như Zalo, WhatsApp, Telegram, Viber, Messenger hoặc nền tảng tương tự khi được Công ty cho phép.

3. CĂN CỨ BAN HÀNH

Chính sách ATTT được xây dựng và áp dụng trên cơ sở các tiêu chuẩn, văn bản pháp luật và yêu cầu có liên quan, bao gồm:

• ISO/IEC 27001:2022 – Hệ thống quản lý an toàn thông tin; ISO/IEC 27001:2022/Amd 1:2024 – nội dung sửa đổi liên quan đến hành động ứng phó biến đổi khí hậu; ISO/IEC 27002:2022 – hướng dẫn biện pháp kiểm soát ATTT.
• Luật An ninh mạng số 116/2025/QH15 và các văn bản quy định chi tiết, hướng dẫn thi hành còn hiệu lực; các quy định pháp luật về an toàn thông tin mạng được áp dụng trong phạm vi còn hiệu lực/chuyển tiếp.
• Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định 356/2025/NĐ-CP cùng các văn bản sửa đổi, bổ sung, hướng dẫn thi hành còn hiệu lực.
• Luật Giao dịch điện tử số 20/2023/QH15; Nghị định 23/2025/NĐ-CP về chữ ký điện tử và dịch vụ tin cậy; các quy định chuyên ngành khác áp dụng theo sản phẩm, dịch vụ và hoạt động thực tế của Công ty.
• Các chính sách, quy trình, quy định nội bộ của Công ty; hợp đồng, thỏa thuận bảo mật, yêu cầu của Khách hàng/đối tác và các nghĩa vụ tuân thủ pháp lý khác được xác định trong Danh mục nghĩa vụ tuân thủ.

4. NGUYÊN TẮC CHUNG

• Bảo mật (Confidentiality): Thông tin chỉ được truy cập, sử dụng hoặc tiết lộ bởi cá nhân/tổ chức có thẩm quyền và đúng mục đích.
• Toàn vẹn (Integrity): Thông tin phải được bảo vệ khỏi việc sửa đổi, xóa hoặc phá hoại trái phép; các thay đổi quan trọng phải được phê duyệt và lưu vết.
• Sẵn sàng (Availability): Hệ thống, dữ liệu và dịch vụ phải đáp ứng yêu cầu sẵn sàng, khôi phục và liên tục hoạt động đã được xác định.
• Trách nhiệm giải trình (Accountability): Hoạt động truy cập và xử lý thông tin phải gắn với chủ thể chịu trách nhiệm, được ghi nhận và có thể kiểm tra phù hợp.
• Tuân thủ (Compliance): Mọi hoạt động phải tuân thủ chính sách, quy trình, nghĩa vụ pháp lý, yêu cầu hợp đồng và các biện pháp kiểm soát đã được phê duyệt.

5. MỤC TIÊU AN TOÀN THÔNG TIN

• Bảo vệ tài sản thông tin của Công ty, Khách hàng, đối tác và người lao động khỏi truy cập, tiết lộ, sử dụng, thay đổi, mất mát hoặc phá hoại trái phép.
• Nhận diện, đánh giá và xử lý rủi ro ATTT; giảm thiểu khả năng xảy ra và tác động của sự cố.
• Đảm bảo nhân viên và các bên liên quan hiểu rõ trách nhiệm, năng lực cần thiết và nghĩa vụ tuân thủ ATTT.
• Xây dựng văn hóa bảo mật thông tin, bảo vệ dữ liệu cá nhân và thực hành an toàn trong toàn Công ty.
• Giảm thiểu rủi ro rò rỉ, thất thoát, gửi nhầm, chia sẻ sai đối tượng hoặc sử dụng thông tin sai mục đích khi trao đổi với Khách hàng, đối tác và bên ngoài.

6. TRÁCH NHIỆM VÀ CAM KẾT

• Ban lãnh đạo: Phê duyệt chính sách và mục tiêu ATTT; bảo đảm ISMS được tích hợp vào hoạt động của Công ty; phân công trách nhiệm, cung cấp nguồn lực và xem xét hiệu lực ISMS.
• Ban ISO/ISMS: Điều phối triển khai, giám sát, rà soát và cải tiến ISMS; duy trì đánh giá rủi ro, kế hoạch xử lý rủi ro, SoA, chương trình đánh giá nội bộ và theo dõi nghĩa vụ tuân thủ.
• Bộ phận CNTT/Công nghệ: Quản trị hệ thống; triển khai kiểm soát truy cập, cấu hình an toàn, bản vá, nhật ký, sao lưu, giám sát, bảo trì và xử lý sự cố kỹ thuật.
• Bộ phận HCNS: Phối hợp phổ biến chính sách, đào tạo nhận thức ATTT; quản lý cam kết bảo mật, thay đổi vị trí công tác, tiếp nhận và nghỉ việc của nhân sự.
• Toàn thể nhân viên: Tuân thủ chính sách và quy trình; bảo vệ tài sản được giao; không chia sẻ tài khoản; tham gia đào tạo và báo cáo ngay sự cố hoặc nghi ngờ vi phạm ATTT.
• Đối tác/Nhà thầu/Nhà cung cấp/Khách hàng: Tuân thủ các yêu cầu bảo mật, xử lý dữ liệu và nghĩa vụ liên quan theo hợp đồng, thỏa thuận và quy định của Công ty.
• Cấp quản lý các bộ phận: Phê duyệt nhu cầu truy cập; kiểm soát việc tạo lập nhóm/kênh trao đổi với Khách hàng; bảo đảm thành viên, nội dung và kênh sử dụng phù hợp mục đích, thẩm quyền và mức phân loại thông tin.
• Cá nhân trao đổi với Khách hàng: Chỉ sử dụng kênh được phê duyệt; xác minh đúng người nhận; không gửi thông tin nhạy cảm qua kênh không phù hợp; cập nhật nội dung nghiệp vụ quan trọng vào hệ thống chính thức để lưu vết.

7. QUẢN LÝ TÀI SẢN THÔNG TIN VÀ PHÂN LOẠI THÔNG TIN

Mọi tài sản thông tin phải được nhận diện, ghi nhận trong danh mục tài sản phù hợp, xác định chủ sở hữu, nơi lưu trữ/xử lý và yêu cầu bảo vệ. Chủ sở hữu tài sản chịu trách nhiệm rà soát khi có thay đổi.

Thông tin được phân loại theo mức độ nhạy cảm và tác động nếu bị lộ, sửa đổi, mất mát hoặc không thể truy cập, tối thiểu gồm:

• Công khai: Được phép công bố rộng rãi theo phê duyệt; việc công bố không gây ảnh hưởng bất lợi đáng kể.
• Nội bộ: Chỉ sử dụng trong phạm vi Công ty hoặc nhóm đối tượng được phép; không công bố ra ngoài nếu chưa được chấp thuận.
• Mật: Nếu bị tiết lộ, sửa đổi hoặc mất mát có thể gây thiệt hại cho Công ty, Khách hàng, nhân sự hoặc đối tác; ví dụ dữ liệu Khách hàng, hợp đồng, hồ sơ nhân sự, nhật ký có dữ liệu định danh và tài liệu kỹ thuật nội bộ.
• Tuyệt mật: Thông tin có mức độ nhạy cảm hoặc tác động rất cao, chỉ được truy cập theo phê duyệt cụ thể; ví dụ khóa riêng, bí mật xác thực, thông tin quản trị đặc quyền và bí mật hệ thống.

Thông tin phải được gắn nhãn/nhận diện và lưu trữ, truyền tải, sao chép, chia sẻ, lưu giữ, tiêu hủy theo mức phân loại. Dữ liệu cá nhân phải được nhận diện và bảo vệ theo tính chất dữ liệu, mục đích xử lý và yêu cầu pháp luật; phân loại nội bộ không thay thế cấp độ bí mật nhà nước theo quy định pháp luật.

8. KIỂM SOÁT TRUY CẬP

• Quyền truy cập được cấp theo nguyên tắc “cần biết – cần dùng”, quyền tối thiểu, đúng vai trò và có phê duyệt của chủ sở hữu hệ thống/thông tin hoặc người được ủy quyền.
• Tài khoản người dùng phải định danh riêng, không được chia sẻ; mọi cá nhân chịu trách nhiệm đối với hoạt động phát sinh từ tài khoản được giao.
• Mật khẩu phải đủ dài, khó đoán, không tái sử dụng giữa các dịch vụ; ưu tiên sử dụng cụm mật khẩu và trình quản lý mật khẩu được Công ty phê duyệt. Phải thay đổi ngay khi nghi ngờ bị lộ; không sử dụng quy định độ dài đơn lẻ thay cho đánh giá rủi ro và kiểm soát xác thực.
• Áp dụng xác thực đa yếu tố (MFA) đối với tài khoản quản trị, truy cập từ xa, hệ thống trọng yếu và các trường hợp có rủi ro cao; mở rộng theo kết quả đánh giá rủi ro.
• Quyền truy cập phải được thu hồi kịp thời khi nhân viên nghỉ việc, chuyển bộ phận hoặc không còn nhu cầu công việc; ưu tiên thu hồi ngay các quyền đặc quyền và quyền truy cập từ xa.
• Quyền tham gia nhóm trao đổi, tài khoản hỗ trợ Khách hàng, tài khoản quản trị kênh giao tiếp và công cụ hỗ trợ phải được cấp, thay đổi, rà soát và thu hồi theo vai trò, nhu cầu công việc và phê duyệt.
• Khi nhân sự nghỉ việc, chuyển bộ phận hoặc không còn phụ trách Khách hàng/dự án, cấp quản lý phối hợp HCNS và CNTT thu hồi quyền hệ thống, nhóm/kênh trao đổi, thiết bị và tài sản liên quan; việc thực hiện phải được ghi nhận.

9. BẢO MẬT HỆ THỐNG VÀ DỮ LIỆU

• Máy chủ, máy tính và thiết bị di động phải được cấu hình an toàn, cập nhật bản vá, bảo vệ chống mã độc và giám sát phù hợp với mức độ rủi ro.
• Không tự ý cài đặt phần mềm, sử dụng dịch vụ đám mây/công cụ AI chưa được phê duyệt hoặc sao chép dữ liệu ra thiết bị, tài khoản cá nhân khi chưa được phép.
• Dữ liệu quan trọng phải được sao lưu theo yêu cầu nghiệp vụ/RPO/RTO đã xác định; bản sao lưu phải được bảo vệ, kiểm tra khả năng khôi phục và lưu hồ sơ.
• Khi truyền dữ liệu nhạy cảm ra ngoài hoặc qua mạng công cộng, phải sử dụng mã hóa và giao thức/kênh an toàn phù hợp; khóa mật mã và bí mật hệ thống phải được quản lý theo quy định.
• Thiết bị và ứng dụng dùng để trao đổi thông tin với Khách hàng phải được khóa màn hình, cập nhật bản vá, cấu hình bảo mật; không sử dụng thiết bị đã root/jailbreak hoặc thiết bị công cộng không tin cậy để truy cập dữ liệu Công ty.
• Chỉ cài đặt và sử dụng phần mềm, nền tảng trao đổi thông tin, dịch vụ đám mây và công cụ phục vụ công việc đã được Công ty đánh giá/phê duyệt hoặc cho phép theo trường hợp cụ thể.

10. BẢO VỆ THÔNG TIN CÁ NHÂN VÀ DỮ LIỆU KHÁCH HÀNG

• Việc thu thập, xử lý, lưu trữ, sử dụng, chia sẻ, cung cấp, chuyển giao và xóa dữ liệu cá nhân phải tuân thủ Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, Nghị định 356/2025/NĐ-CP và văn bản hướng dẫn còn hiệu lực.
• Chỉ xử lý dữ liệu cá nhân khi có mục đích xác định và căn cứ xử lý hợp pháp. Không mặc định mọi hoạt động đều dựa trên sự đồng ý; trường hợp pháp luật yêu cầu sự đồng ý phải bảo đảm hợp lệ, cụ thể, có thể chứng minh và có cơ chế rút lại.
• Việc chia sẻ hoặc chuyển dữ liệu cá nhân ra nước ngoài phải được đánh giá căn cứ pháp lý, mục đích, bên nhận, địa điểm xử lý, biện pháp bảo vệ và thực hiện hồ sơ/thủ tục đánh giá tác động, thông báo hoặc nghĩa vụ khác theo pháp luật; phê duyệt nội bộ không thay thế nghĩa vụ pháp lý.
• Yêu cầu thực hiện quyền của chủ thể dữ liệu, bao gồm yêu cầu xóa, phải được tiếp nhận, xác minh, đánh giá căn cứ và xử lý trong thời hạn pháp luật quy định; không áp dụng 72 giờ như thời hạn pháp luật chung cho mọi trường hợp. Việc lưu giữ tiếp tục chỉ được thực hiện khi có căn cứ hợp pháp.
• Việc chia sẻ dữ liệu cá nhân, dữ liệu Khách hàng hoặc thông tin nội bộ ra bên ngoài phải đúng mục đích, đúng thẩm quyền, đúng người nhận, giới hạn phạm vi cần thiết và có thỏa thuận/biện pháp bảo vệ phù hợp; phải xác định đúng vai trò của Công ty trong hoạt động xử lý dữ liệu.
• Không gửi mật khẩu, OTP, PIN, private key, secret key, API key, access token hoặc bí mật xác thực qua ứng dụng nhắn tin. Dữ liệu định danh, dữ liệu cá nhân nhạy cảm và dữ liệu Khách hàng phải được trao đổi qua kênh được phê duyệt, có kiểm soát truy cập và lưu vết phù hợp.

11. TRAO ĐỔI THÔNG TIN VỚI KHÁCH HÀNG VÀ BÊN NGOÀI

• Kênh chính thức gồm email Công ty, hệ thống ticket/helpdesk, CRM, tổng đài, cổng dịch vụ khách hàng hoặc hệ thống nghiệp vụ được Công ty phê duyệt và có khả năng lưu vết.
• Các ứng dụng như Zalo, WhatsApp, Telegram, Viber, WeChat, Messenger hoặc nền tảng tương tự chỉ được sử dụng như kênh bổ trợ khi đã được phê duyệt; không mặc nhiên là nơi lưu trữ hoặc xác nhận chính thức cho yêu cầu nghiệp vụ quan trọng.
• Hợp đồng, báo giá chính thức, nghiệm thu, thanh toán, khiếu nại, yêu cầu thay đổi dịch vụ, cấp/thu hồi quyền, thông báo sự cố và cam kết có giá trị pháp lý phải được xử lý trên kênh/hệ thống chính thức theo quy trình.
• Trước khi gửi thông tin, nhân sự phải kiểm tra đúng người nhận, đúng nhóm, địa chỉ/số điện thoại/tài khoản, tệp đính kèm và phạm vi thông tin được phép chia sẻ; xác minh bổ sung đối với yêu cầu bất thường hoặc rủi ro cao.
• Nhóm trao đổi với Khách hàng phải có mục đích rõ ràng, người phụ trách/quản trị và thành viên phù hợp; người phụ trách phải rà soát, bổ sung hoặc loại bỏ thành viên khi thay đổi vai trò, dự án hoặc nhân sự.
• Tệp tin gửi hoặc nhận qua kênh bổ trợ phải được kiểm tra nguồn gửi, nội dung, loại tệp và mức độ nhạy cảm; tệp liên quan đến hỗ trợ, sự cố hoặc quyết định nghiệp vụ phải được cập nhật vào kênh chính thức.
• Không tự ý chuyển tiếp thông tin Khách hàng, ảnh chụp màn hình, log hệ thống, tài liệu nội bộ, dữ liệu cá nhân hoặc thông tin cấu hình cho cá nhân/nhóm/bên thứ ba không có thẩm quyền.
• Bộ phận CNTT/ISMS định kỳ rà soát danh sách ứng dụng được phép sử dụng, đánh giá rủi ro đối với kênh trao đổi mới và ban hành hướng dẫn cấu hình bảo mật; nhà cung cấp nền tảng phải được đánh giá phù hợp khi có xử lý thông tin Công ty/Khách hàng.

12. ỨNG PHÓ SỰ CỐ AN TOÀN THÔNG TIN

• Nhân viên có trách nhiệm báo cáo ngay sự cố hoặc nghi ngờ vi phạm ATTT cho đầu mối ISMS qua kênh báo cáo được Công ty công bố; không tự ý xóa dấu vết hoặc che giấu sự cố.
• Mọi sự cố phải được ghi nhận, phân loại, đánh giá tác động và xử lý theo Quy trình ứng phó sự cố ATTT; xác định người chịu trách nhiệm, biện pháp khống chế, khôi phục và theo dõi sau xử lý.
• Sau sự cố phải thực hiện phân tích nguyên nhân gốc rễ (Root Cause Analysis), đánh giá hiệu lực kiểm soát và triển khai hành động khắc phục/phòng ngừa.
• Sự cố gửi nhầm thông tin, lộ lọt dữ liệu cá nhân, mất thiết bị, chiếm quyền tài khoản, mã độc, tấn công mạng, nhận tệp/đường dẫn đáng ngờ hoặc nghi ngờ giả mạo Khách hàng phải được báo cáo và xử lý ngay; trường hợp liên quan dữ liệu cá nhân phải đánh giá nghĩa vụ thông báo/báo cáo theo thời hạn pháp luật.

13. ĐÀO TẠO & NHẬN THỨC

• Tất cả nhân viên phải tham gia đào tạo nhận thức ATTT khi tiếp nhận công việc và định kỳ ít nhất hằng năm; đào tạo bổ sung khi có thay đổi đáng kể về rủi ro, công nghệ hoặc quy định.
• Nhân viên mới phải được phổ biến chính sách và hoàn thành nội dung đào tạo bắt buộc trước khi được cấp quyền phù hợp hoặc trong thời hạn onboarding do Công ty quy định.
• Các khóa đào tạo, kết quả kiểm tra nhận thức và hành động bổ sung phải được ghi nhận, lưu trữ và đánh giá hiệu lực định kỳ.
• Nội dung đào tạo phải bao gồm phân loại thông tin, bảo vệ dữ liệu cá nhân, quản lý mật khẩu/MFA, sử dụng phần mềm trao đổi thông tin với Khách hàng, nhận diện thông tin nhạy cảm, phòng tránh gửi nhầm, phishing/giả mạo và cách báo cáo sự cố.

14. GIÁM SÁT & KIỂM TRA

• Thực hiện đánh giá nội bộ ISMS theo chương trình đã hoạch định, bảo đảm toàn bộ phạm vi ISMS được đánh giá trong chu kỳ; tối thiểu hằng năm và điều chỉnh tần suất theo rủi ro, thay đổi và kết quả đánh giá trước.
• Theo dõi, đo lường và kiểm tra việc tuân thủ chính sách ATTT định kỳ hoặc đột xuất; sử dụng chỉ số, tiêu chí và phương pháp đã được xác định.
• Việc tuân thủ quy định sử dụng kênh trao đổi thông tin với Khách hàng được kiểm tra định kỳ hoặc đột xuất, đặc biệt tại các bộ phận thường xuyên tiếp xúc, hỗ trợ hoặc xử lý dữ liệu Khách hàng.
• Các vi phạm ATTT phải được ghi nhận, đánh giá và xử lý theo nội quy, quy định nội bộ, hợp đồng và pháp luật hiện hành; bảo đảm đúng thẩm quyền và trình tự.

15. DUY TRÌ & CẬP NHẬT CHÍNH SÁCH

• Chính sách được rà soát, cập nhật ít nhất 1 lần/năm hoặc khi có thay đổi pháp luật, tiêu chuẩn, công nghệ, sản phẩm/dịch vụ, phạm vi ISMS, tổ chức, rủi ro hoặc yêu cầu của bên quan tâm.
• Mọi phiên bản cập nhật phải được xem xét, phê duyệt bởi người có thẩm quyền trước khi ban hành; phiên bản cũ phải được nhận diện và kiểm soát để tránh sử dụng nhầm.

16. CAM KẾT CẢI TIẾN LIÊN TỤC

Công ty cam kết duy trì và cải tiến liên tục Hệ thống quản lý An toàn thông tin (ISMS) nhằm bảo đảm hệ thống luôn phù hợp với:

• Mục tiêu chiến lược, hoạt động kinh doanh và yêu cầu vận hành của Công ty.
• Mức độ rủi ro ATTT thực tế, các mối đe dọa và thay đổi trong bối cảnh hoạt động.
• ISO/IEC 27001:2022, sửa đổi Amd 1:2024 và các yêu cầu pháp lý, hợp đồng, quy định quốc gia có liên quan.

Để thực hiện cam kết này, Công ty triển khai các hoạt động sau:

• Rà soát định kỳ hiệu lực và mức độ phù hợp của ISMS tối thiểu một lần mỗi năm hoặc khi có thay đổi lớn về tổ chức, hệ thống, dịch vụ hoặc bối cảnh hoạt động.
• Thực hiện đánh giá rủi ro ATTT, cập nhật kế hoạch xử lý rủi ro và lựa chọn biện pháp kiểm soát phù hợp; duy trì SoA và bằng chứng thực hiện.
• Theo dõi, phân tích sự cố và điểm không phù hợp; xác định nguyên nhân, thực hiện hành động khắc phục và đánh giá hiệu lực.
• Tổ chức đào tạo, nâng cao nhận thức và năng lực ATTT thường xuyên cho nhân sự theo vai trò và mức độ rủi ro.
• Thực hiện đánh giá nội bộ và xem xét của lãnh đạo theo kế hoạch, tối thiểu hằng năm, bảo đảm xem xét các đầu vào/đầu ra theo yêu cầu ISO/IEC 27001:2022.
• Thu thập phản hồi từ các phòng ban, đối tác và Khách hàng; xem xét thay đổi bối cảnh, bao gồm việc biến đổi khí hậu có phải là vấn đề liên quan đến ISMS hay không, để xác định cơ hội cải tiến.

Ban lãnh đạo chịu trách nhiệm:

• Cung cấp nguồn lực, ngân sách, nhân sự và công cụ cần thiết cho việc duy trì, cải tiến ISMS.
• Bảo đảm chính sách, mục tiêu và văn hóa bảo mật được truyền đạt, thấu hiểu và thực thi trong toàn Công ty.
• Phê duyệt, theo dõi kết quả cải tiến và xử lý các vấn đề cần quyết định tại các cuộc họp xem xét lãnh đạo.

Việc cải tiến liên tục là nghĩa vụ bắt buộc và lâu dài, được lồng ghép vào hoạt động thường xuyên của toàn Công ty.