Bảo mật & quản trị dữ liệu

Bảo mật cần được thiết kế và kiểm chứng

Trang này nêu các chủ đề cần đánh giá trong dự án phần mềm doanh nghiệp. Không thay thế hồ sơ an ninh, đánh giá rủi ro, thỏa thuận xử lý dữ liệu hay cam kết bảo mật trong hợp đồng.

Danh tính & phân quyền

Vai trò người dùng, nguyên tắc quyền tối thiểu, quy trình cấp/thu hồi tài khoản và rà soát quyền định kỳ.

Bảo vệ dữ liệu

Phân loại dữ liệu, giới hạn truy cập, truyền dữ liệu an toàn, lưu giữ và xóa dữ liệu theo chính sách.

Nhật ký & truy vết

Xác định sự kiện cần ghi nhận, thời hạn lưu log, người được phép xem và quy trình xử lý sự cố.

Sao lưu & khôi phục

Chính sách backup, bản sao tách biệt, kiểm thử restore, mục tiêu RPO/RTO và trách nhiệm vận hành.

Vận hành an toàn

Quản lý cấu hình, cập nhật bản vá, môi trường thử nghiệm, kiểm soát thay đổi và giám sát.

Tích hợp có kiểm soát

Xác thực API, giới hạn quyền, quản lý secret, kiểm tra dữ liệu đầu vào và xử lý lỗi kết nối.

Trước khi công bố chứng nhận hoặc tuyên bố tuân thủ, cần có tài liệu kiểm chứng và phê duyệt chính thức. Không đưa dữ liệu khách hàng thật lên môi trường demo hoặc website công khai.

Đánh giá yêu cầu bảo mật của dự án

Trao đổi mô hình triển khai, phân loại dữ liệu, phân quyền, lưu trữ, sao lưu và trách nhiệm vận hành.

Trao đổi yêu cầu →