Bỏ qua đến nội dung chính
FromNine
Danh mục

Tin cậy và tuân thủ

Tin cậy và tuân thủ cho tổ chức trong lĩnh vực được quản lý chặt chẽ

FromNine đạt chứng nhận ISO/IEC 27001. Trang này trình bày cách chúng tôi bảo vệ hệ thống và dữ liệu của quý vị với tư cách nhà cung cấp, những gì chúng tôi đóng góp vào nghĩa vụ của quý vị theo Luật Bảo vệ dữ liệu cá nhân của Việt Nam, NIS2, DORA và Đạo luật AI của EU, và cách đề nghị tài liệu bảo mật của chúng tôi.

Cho các cơ quan nhà nước và doanh nghiệp trong lĩnh vực được quản lý chặt chẽ, nơi quy định của Việt Nam và của EU cùng áp dụng.

Đề nghị tài liệu bảo mậtCam kết của chúng tôi

Cam kết của chúng tôi

Năm cam kết trong mọi dự án

Các cơ quan nhà nước và doanh nghiệp trong những lĩnh vực được quản lý chặt chẽ giao cho chúng tôi dữ liệu nhạy cảm và những hệ thống hỗ trợ quyết định thực tế. Đây là những gì họ có thể yêu cầu chúng tôi thực hiện.

  • Quản lý an toàn thông tin

    Đã chứng nhận

    Hệ thống quản lý an toàn thông tin của chúng tôi đạt chứng nhận ISO/IEC 27001, tiêu chuẩn quốc tế về quản lý an toàn thông tin. Biện pháp kiểm soát, quản lý nhà cung cấp và xử lý sự cố tuân theo hệ thống đó trong mọi dự án.

    Quyền truy cập vào hệ thống và dữ liệu của quý vị được thống nhất trước khi bắt đầu, giới hạn ở mức công việc cần và được rà soát lại khi đội ngũ thay đổi.

    Đạt chứng nhận ISO/IEC 27001

  • Dữ liệu cá nhân, GDPR và Luật Bảo vệ dữ liệu cá nhân

    Cách chúng tôi làm việc

    Mục đích, phạm vi truy cập và thời hạn lưu trữ được thống nhất trước khi xây dựng. Khi xử lý dữ liệu cá nhân thay mặt quý vị, chúng tôi là bên xử lý dữ liệu theo một thỏa thuận xử lý dữ liệu, như Điều 28 GDPR yêu cầu. Với dữ liệu cá nhân của công dân Việt Nam, vai trò và nghĩa vụ của mỗi bên theo Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 cũng được thống nhất trong hợp đồng khi luật này áp dụng.

    Khi việc xử lý có khả năng gây rủi ro cao, chúng tôi cung cấp thông tin kỹ thuật cho đánh giá tác động bảo vệ dữ liệu của quý vị theo GDPR, và cho hồ sơ đánh giá tác động xử lý dữ liệu cá nhân theo Luật Bảo vệ dữ liệu cá nhân khi luật này áp dụng.

  • Con người giám sát AI

    Cách chúng tôi làm việc

    Mỗi tình huống sử dụng AI được phân loại cùng quý vị trong giai đoạn tìm hiểu. Bước phê duyệt, ghi nhật ký và tài liệu kỹ thuật được xây dựng vào hệ thống từ bản phát hành đầu tiên, không phải bổ sung trước một cuộc kiểm toán. Tác tử AI làm việc với quyền hạn có giới hạn và xin phê duyệt trước các bước có hệ quả.

  • Khả năng tiếp cận

    Cách chúng tôi làm việc

    Chúng tôi thiết kế và kiểm thử giao diện theo EN 301 549 và WCAG 2.2 mức AA, bằng công cụ tự động và rà soát thủ công với công nghệ hỗ trợ, và bàn giao một báo cáo đánh giá sự phù hợp liệt kê mọi vấn đề đã biết.

  • Nơi lưu trữ dữ liệu

    Theo từng dự án

    Vùng lưu trữ, quyền kiểm soát khóa mã hóa và địa điểm được phép truy cập hỗ trợ được quyết định cùng quý vị trước khi xây dựng và ghi vào kiến trúc. Với hệ thống phục vụ châu Âu, chúng tôi thiết kế để dữ liệu được lưu trữ trong Liên minh châu Âu, kể cả các phương án đám mây chủ quyền khi yêu cầu của quý vị đòi hỏi. Khi Nghị định số 356/2025/NĐ-CP áp dụng, dữ liệu cá nhân trên dịch vụ điện toán đám mây được mã hóa khi lưu trữ và khi truyền, như khoản 4 Điều 12 của nghị định yêu cầu.

Trang này mô tả cách chúng tôi làm việc với tư cách nhà cung cấp. Đây không phải tuyên bố tuân thủ thay cho quý vị: nghĩa vụ nào áp dụng phụ thuộc vào tổ chức và tình huống sử dụng của quý vị, và việc đánh giá pháp lý thuộc về luật sư của quý vị.

NIS2

NIS2: hỗ trợ an ninh chuỗi cung ứng

Chỉ thị NIS2, Chỉ thị (EU) 2022/2555, yêu cầu các thực thể thiết yếu và quan trọng tại EU quản lý rủi ro an ninh mạng đối với hệ thống mạng và thông tin của mình. An ninh chuỗi cung ứng là một trong các biện pháp tối thiểu tại Điều 21(2), và Điều 21(3) yêu cầu các thực thể xem xét thực hành an ninh của nhà cung cấp trực tiếp và bên cung cấp dịch vụ. Một nhà cung cấp tại Việt Nam phục vụ khách hàng châu Âu thường gặp các yêu cầu này qua hợp đồng; một số nhà cung cấp dịch vụ số được liệt kê trong chỉ thị, như dịch vụ điện toán đám mây hoặc dịch vụ được quản lý, nếu không có cơ sở tại EU nhưng cung cấp dịch vụ tại đó thì phải chỉ định đại diện tại một quốc gia thành viên (Điều 26(3)).

Với tư cách nhà cung cấp của quý vị, chúng tôi giúp phần nghĩa vụ đó dễ chứng minh hơn. Điều khoản an ninh, kênh báo cáo sự cố và cách xử lý lỗ hổng được thống nhất trong từng hợp đồng, và các biện pháp kiểm soát áp dụng cho dự án được ghi lại để quy trình đánh giá rủi ro nhà cung cấp của quý vị có thể xem xét. NIS2 có áp dụng cho tổ chức của quý vị hay không, và áp dụng thế nào theo luật quốc gia, vẫn do chính quý vị đánh giá. Tại Việt Nam, Luật An ninh mạng số 116/2025/QH15 có hiệu lực từ ngày 1/7/2026.

  • Điều khoản an ninh trong hợp đồng

    Quyền truy cập, thầu phụ, thông báo sự cố và hợp tác khi kiểm toán được thống nhất bằng văn bản, không mặc định.

  • Kênh báo cáo sự cố hoạt động thực sự

    Đầu mối liên hệ được chỉ định và thời hạn đã thống nhất, để sự cố phía chúng tôi đến với quý vị kịp cho cảnh báo sớm trong vòng 24 giờ mà NIS2 yêu cầu (Điều 23(4)).

  • Xử lý lỗ hổng

    Việc quét thư viện phụ thuộc, mã nguồn và hạ tầng chạy trong quy trình phát hành, và các phát hiện được khắc phục hoặc báo cáo qua kênh đã thống nhất.

  • Bằng chứng khi có yêu cầu

    Chứng chỉ ISO/IEC 27001 của chúng tôi và mô tả các biện pháp kiểm soát áp dụng cho dự án của quý vị.

DORA

DORA: rủi ro bên thứ ba về ICT cho tổ chức tài chính

Đạo luật về khả năng chống chịu hoạt động số (DORA), Quy định (EU) 2022/2554, áp dụng từ ngày 17/1/2025. Ngân hàng, công ty bảo hiểm, công ty đầu tư, tổ chức thanh toán và các tổ chức tài chính khác tại EU phải quản lý rủi ro bên thứ ba về ICT trong khuôn khổ quản lý rủi ro ICT, lưu giữ sổ đăng ký thông tin về mọi thỏa thuận hợp đồng dịch vụ ICT (Điều 28) và đưa các điều khoản hợp đồng then chốt vào những hợp đồng đó (Điều 30). Nhà cung cấp ICT tại Việt Nam phục vụ các tổ chức này đáp ứng DORA thông qua hợp đồng với khách hàng tại EU.

Khi cung cấp dịch vụ ICT cho một tổ chức tài chính, chúng tôi thống nhất các điều khoản Điều 30 liệt kê: mô tả đầy đủ dịch vụ, địa điểm cung cấp dịch vụ và xử lý dữ liệu, hỗ trợ khi xảy ra sự cố ICT, hợp tác với cơ quan có thẩm quyền của quý vị và quyền chấm dứt hợp đồng. Với dịch vụ hỗ trợ chức năng trọng yếu hoặc quan trọng, hợp đồng còn bao gồm chiến lược rút lui và việc chúng tôi tham gia các bài kiểm tra khả năng chống chịu của quý vị.

Chúng tôi cung cấp thông tin mà sổ đăng ký thông tin của quý vị cần, và ghi lại kế hoạch rút lui ngay từ đầu để việc chuyển đổi nhà cung cấp luôn là một lựa chọn khả thi. Với ngân hàng tại Việt Nam, Thông tư số 09/2020/TT-NHNN của Ngân hàng Nhà nước Việt Nam đặt ra yêu cầu khi sử dụng dịch vụ của bên thứ ba và điện toán đám mây.

  • Dịch vụ tài chínhAI trong lĩnh vực được quản lý, nền tảng bền vững và vận hành được thiết kế theo DORA.

Đạo luật AI của EU

Đạo luật AI của EU: giám sát của con người và tài liệu ngay từ thiết kế

Đạo luật AI của EU, Quy định (EU) 2024/1689, áp dụng theo từng giai đoạn. Các hành vi bị cấm và yêu cầu về hiểu biết AI áp dụng từ tháng 2/2025, nghĩa vụ minh bạch tại Điều 50 áp dụng từ tháng 8/2026. Theo sửa đổi năm 2026 bằng Quy định (EU) 2026/1744, các quy định cho hệ thống rủi ro cao liệt kê tại Phụ lục III áp dụng từ ngày 2/12/2027. Đạo luật áp dụng cả với nhà cung cấp và bên triển khai ngoài EU, nếu kết quả đầu ra của hệ thống AI được sử dụng tại EU (Điều 2(1)(c)).

Với hệ thống rủi ro cao, Đạo luật yêu cầu tài liệu kỹ thuật (Điều 11), tự động ghi nhật ký (Điều 12) và thiết kế mà con người có thể giám sát hiệu quả (Điều 14), và bên triển khai phải giao việc giám sát đó cho người có năng lực và thẩm quyền hành động (Điều 26). Chúng tôi xây dựng cho điều này từ bản phát hành đầu tiên: bước phê duyệt và khả năng can thiệp đặt ở nơi quyết định ảnh hưởng đến con người, và tài liệu được viết song song với mã nguồn.

Tổ chức của quý vị đóng vai trò nhà cung cấp hay bên triển khai phụ thuộc vào cách hệ thống được đưa vào sử dụng. Câu hỏi đó thuộc phần đánh giá pháp lý của luật sư; chúng tôi cung cấp các dữ kiện kỹ thuật cần thiết. Tại Việt Nam, Luật Trí tuệ nhân tạo số 134/2025/QH15 có hiệu lực từ ngày 1/3/2026; các hệ thống AI đã hoạt động trước đó có thời gian chuyển tiếp đến ngày 1/3/2027, hoặc ngày 1/9/2027 trong lĩnh vực y tế, giáo dục và tài chính.

Trong quá trình triển khai

An ninh trong mọi giai đoạn triển khai

Bằng chứng tuân thủ đến từ cách công việc được thực hiện, không phải từ một văn bản viết ở cuối dự án.

  • Truy cập theo đặc quyền tối thiểu

    Quyền truy cập vào môi trường và dữ liệu của quý vị giới hạn ở mức công việc cần, được thống nhất trước khi bắt đầu và rà soát lại mỗi khi đội ngũ thay đổi.

  • Thay đổi được rà soát và quét

    Mọi thay đổi được đồng nghiệp rà soát trước khi phát hành. Việc quét thư viện phụ thuộc, mã nguồn và hạ tầng chạy tự động, và kiểm thử an ninh được lên kế hoạch cho từng bản phát hành.

  • Sự cố xử lý theo quy trình đã thống nhất

    Phân loại sự cố, đầu mối thông báo và thu thập bằng chứng được thống nhất từ đầu, và được đưa vào quy trình xử lý sự cố khi NIS2, DORA hoặc nghĩa vụ thông báo vi phạm theo Luật Bảo vệ dữ liệu cá nhân áp dụng cho quý vị.

  • Bàn giao và rút lui có tài liệu

    Sổ tay vận hành, quyết định kiến trúc và mô hình dữ liệu được bàn giao cùng hệ thống, và kế hoạch rút lui giúp việc hoàn trả dữ liệu và chi phí chuyển đổi luôn minh bạch ngay từ đầu.

Thẩm định nhà cung cấp

Đề nghị tài liệu bảo mật của chúng tôi

Bộ phận mua sắm, an ninh và pháp chế cần bằng chứng trước khi ký hợp đồng. Quý vị có thể đề nghị chúng tôi cung cấp chứng chỉ ISO/IEC 27001 và phạm vi chứng nhận, trả lời bảng câu hỏi an ninh nhà cung cấp của quý vị và các điều khoản xử lý dữ liệu sẽ áp dụng cho dự án.

Vui lòng gửi yêu cầu qua trang Liên hệ và nêu khung tiêu chí quý vị dùng để đánh giá nhà cung cấp, như NIS2, DORA, Luật Bảo vệ dữ liệu cá nhân hoặc một bộ tiêu chuẩn an ninh nội bộ. Những người phù hợp sẽ liên hệ lại với quý vị.

Việt Nam

Quy định của Việt Nam, khung chung của EU

Tại Việt Nam, Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định số 356/2025/NĐ-CP có hiệu lực từ ngày 1/1/2026; luật áp dụng cả với tổ chức nước ngoài trực tiếp tham gia hoặc có liên quan đến hoạt động xử lý dữ liệu cá nhân của công dân Việt Nam. Vi phạm quy định về bảo vệ dữ liệu cá nhân có thể gây tổn hại đến quốc phòng, an ninh quốc gia, trật tự, an toàn xã hội hoặc đến tính mạng, sức khỏe, danh dự, nhân phẩm, tài sản của chủ thể dữ liệu cá nhân thì phải được thông báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân (A05, Bộ Công an) trong vòng 72 giờ kể từ khi phát hiện (Điều 23). Luật An ninh mạng số 116/2025/QH15 có hiệu lực từ ngày 1/7/2026, thay thế Luật An toàn thông tin mạng và Luật An ninh mạng năm 2018.

Tại EU, GDPR, DORA và Đạo luật AI là các quy định áp dụng trực tiếp trên toàn Liên minh. NIS2 là chỉ thị, nên phạm vi, đăng ký và chi tiết báo cáo khác nhau theo từng quốc gia thành viên. Việc giám sát luôn ở cấp quốc gia. Với hệ thống phục vụ cả Việt Nam và châu Âu, chúng tôi thống nhất một bộ biện pháp kiểm soát và gắn mỗi kênh báo cáo sự cố với đúng cơ quan mà đơn vị liên quan phải báo cáo.

Câu hỏi từ bộ phận mua sắm và an ninh

FromNine có đạt chứng nhận ISO/IEC 27001 không?

Có. Hệ thống quản lý an toàn thông tin của chúng tôi đạt chứng nhận ISO/IEC 27001. Chúng tôi cung cấp chứng chỉ và phạm vi chứng nhận khi có yêu cầu, trong quá trình thẩm định nhà cung cấp của quý vị.

Với tư cách nhà cung cấp, FromNine hỗ trợ tổ chức đáp ứng nghĩa vụ NIS2 thế nào?

Chúng tôi thống nhất điều khoản an ninh, kênh thông báo sự cố và cách xử lý lỗ hổng trong hợp đồng, ghi lại các biện pháp kiểm soát áp dụng cho dự án và cung cấp bằng chứng mà quy trình đánh giá rủi ro nhà cung cấp của quý vị cần. NIS2 có áp dụng cho tổ chức của quý vị hay không, và áp dụng thế nào, do quý vị và luật sư của quý vị đánh giá.

FromNine có chấp nhận các điều khoản hợp đồng mà DORA yêu cầu không?

Có. Chúng tôi thống nhất các điều khoản tại Điều 30 DORA, thông báo sự cố qua kênh đã thống nhất, ghi lại kế hoạch rút lui, tham gia các bài kiểm tra khả năng chống chịu và cung cấp thông tin mà sổ đăng ký thông tin của quý vị cần.

Ai chịu trách nhiệm tuân thủ Đạo luật AI của EU?

Điều đó phụ thuộc vào vai trò của quý vị, là nhà cung cấp hay bên triển khai, và vào mức rủi ro của tình huống sử dụng. Chúng tôi cùng quý vị phân loại từng tình huống sử dụng trong giai đoạn tìm hiểu, xây dựng cơ chế giám sát, ghi nhật ký và tài liệu vào hệ thống, và cung cấp dữ kiện kỹ thuật mà luật sư của quý vị cần cho việc đánh giá pháp lý.

Dữ liệu của tổ chức sẽ được lưu trữ và xử lý ở đâu?

Tại địa điểm được thống nhất với quý vị trước khi xây dựng: hạ tầng đám mây của chính quý vị, một vùng EU của nhà cung cấp điện toán đám mây công cộng, hoặc hạ tầng tại chỗ cho khối lượng công việc nhạy cảm. Dịch vụ lưu trữ và dịch vụ AI được chọn tương ứng, và lựa chọn đó được ghi lại cùng các phương án rút lui.

Làm thế nào để đề nghị tài liệu bảo mật của FromNine?

Qua trang Liên hệ. Vui lòng cho biết quý vị cần tài liệu nào và dùng khung tiêu chí nào để đánh giá nhà cung cấp. Những người phù hợp sẽ liên hệ lại với quý vị.

Đề nghị bằng chứng

Cho chúng tôi biết quý vị đánh giá nhà cung cấp theo khung tiêu chí nào và cần tài liệu gì. Chúng tôi sẽ cho quý vị biết những gì có thể chia sẻ và chia sẻ bằng cách nào.

Đề nghị tài liệu bảo mậtVề FromNine