Chính sách an toàn thông tin

1. Mục đích

Chính sách này quy định những nội dung cần thiết để bảo vệ các thông tin quan trọng mà Công ty xử lý (thông tin cá nhân của khách hàng, người thuê, chủ sở hữu bất động sản và đối tác, bí mật kinh doanh, cùng những bí mật biết được trong quá trình làm việc) khỏi rò rỉ, sửa đổi, mất mát và các mối đe dọa khác, đồng thời duy trì hoạt động kinh doanh một cách ổn định.

2. Phạm vi áp dụng

Chính sách này áp dụng cho các thành viên ban lãnh đạo và nhân viên của Công ty (bao gồm nhân viên bán thời gian, làm thêm và nhân viên phái cử), cũng như các bên nhận ủy thác công việc của Công ty; và áp dụng cho toàn bộ thông tin và hệ thống thông tin được sử dụng trong hoạt động kinh doanh (máy tính, điện thoại thông minh, dịch vụ đám mây, tài liệu, thiết bị lưu trữ, v.v.).

3. Trách nhiệm của ban lãnh đạo và cơ cấu tổ chức

Công ty xác định an toàn thông tin là vấn đề trọng yếu trong quản trị và bổ nhiệm Giám đốc đại diện làm người chịu trách nhiệm cao nhất về an toàn thông tin. Người chịu trách nhiệm cao nhất bảo đảm cơ cấu và nguồn lực cần thiết để triển khai các biện pháp, đồng thời định kỳ kiểm tra tình hình thực hiện Chính sách này.

4. Triển khai các biện pháp an toàn thông tin

Căn cứ “Hướng dẫn biện pháp an toàn thông tin dành cho doanh nghiệp vừa và nhỏ” của Cơ quan Xúc tiến Công nghệ Thông tin Nhật Bản (IPA), Công ty triển khai các biện pháp sau.

(1) Biện pháp cơ bản

• Luôn cập nhật hệ điều hành và phần mềm trên máy tính, điện thoại thông minh và các thiết bị tương tự.
• Bật chức năng phòng chống vi-rút và duy trì tệp định nghĩa ở trạng thái mới nhất.
• Đặt mật khẩu khó đoán và sử dụng xác thực đa yếu tố khi có thể. Nghiêm cấm dùng lại mật khẩu.
• Giới hạn thiết lập chia sẻ tệp và thư mục chỉ cho những người cần thiết cho công việc.
• Sao lưu định kỳ các thông tin quan trọng để phòng hỏng thiết bị, thao tác nhầm, nhiễm vi-rút và các sự cố tương tự.
• Thu thập thông tin về các mối đe dọa và thủ đoạn tấn công mới, chia sẻ trong nội bộ công ty.

(2) Biện pháp trong công việc hằng ngày

• Không tùy tiện mở tệp đính kèm hoặc đường dẫn trong nội dung thư điện tử; kiểm tra trước khi mở các thư đáng ngờ.
• Kiểm tra người nhận trước khi gửi để tránh gửi nhầm thư điện tử và fax.
• Trao đổi thông tin quan trọng bằng phương thức an toàn như mã hóa hoặc đặt mật khẩu.
• Thiết lập phương thức mã hóa phù hợp cho mạng LAN không dây dùng trong công việc.
• Tuân thủ các quy tắc đã đặt ra khi sử dụng Internet và mạng xã hội, trong đó có việc không đăng tải thông tin biết được qua công việc.
• Không để tài liệu và thiết bị lưu trữ chứa thông tin quan trọng trên mặt bàn; bảo quản tại nơi có thể khóa. Khi mang ra ngoài, thực hiện các biện pháp phòng chống mất cắp và thất lạc.
• Hủy tài liệu và thiết bị lưu trữ không còn cần thiết bằng phương pháp không thể khôi phục.
• Khóa màn hình khi rời chỗ ngồi và cất giữ máy tính cùng thiết bị an toàn khi tan làm.
• Hạn chế người không có phận sự ra vào văn phòng.
• Không đăng tải trên trang web hay nơi khác những thông tin không được phép công khai.

(3) Biện pháp ở cấp tổ chức

• Thường xuyên đào tạo và nhắc nhở ban lãnh đạo và nhân viên về an toàn thông tin.
• Quy định rõ cách xử lý khi sử dụng thiết bị cá nhân cho công việc.
• Đưa điều khoản bảo mật vào hợp đồng đối với các giao dịch có trao đổi thông tin quan trọng.
• Lựa chọn dịch vụ đám mây và các dịch vụ bên ngoài khác sau khi xác nhận tính an toàn và độ tin cậy.
• Quy tắc hóa các biện pháp an toàn thông tin và phổ biến rõ ràng tới ban lãnh đạo và nhân viên.

5. Tuân thủ pháp luật và yêu cầu theo hợp đồng

Công ty tuân thủ Luật Bảo vệ thông tin cá nhân, Điều 45 Luật Kinh doanh giao dịch đất nền và nhà ở (nghĩa vụ giữ bí mật biết được trong công việc), Luật Phòng chống cạnh tranh không lành mạnh cùng các quy định, chuẩn mực liên quan khác, cũng như nghĩa vụ bảo mật theo hợp đồng với đối tác. Cách xử lý cụ thể đối với thông tin cá nhân được quy định tại Chính sách bảo mật.

6. Quản lý bên nhận ủy thác

Khi ủy thác toàn bộ hoặc một phần công việc, Công ty lựa chọn bên nhận ủy thác sau khi xác nhận tình hình thực hiện các biện pháp an toàn thông tin của họ, ký kết hợp đồng bao gồm nghĩa vụ bảo mật và thực hiện giám sát cần thiết, phù hợp.

7. Ứng phó khi xảy ra sự cố

Công ty xây dựng cơ chế liên lạc khẩn cấp và quy trình ứng phó cho các sự cố an toàn thông tin hoặc nguy cơ xảy ra sự cố. Khi sự cố xảy ra, ưu tiên hàng đầu là ngăn thiệt hại lan rộng; Công ty nhanh chóng báo cáo tới khách hàng, đối tác và cơ quan quản lý liên quan, đồng thời điều tra nguyên nhân và áp dụng biện pháp phòng ngừa tái diễn.

8. Rà soát liên tục

Công ty kiểm tra tình hình thực hiện Chính sách này ít nhất mỗi năm một lần, rà soát Chính sách và các quy định nội bộ liên quan theo sự thay đổi của hoạt động kinh doanh và sự xuất hiện của các mối đe dọa mới, và cải tiến liên tục.

*Chính sách này được xây dựng tham khảo “Hướng dẫn biện pháp an toàn thông tin dành cho doanh nghiệp vừa và nhỏ (bản thứ 4)” và phụ lục “Tự kiểm tra an toàn thông tin trong 5 phút” của Cơ quan Xúc tiến Công nghệ Thông tin Nhật Bản (IPA).