Chính sách bảo mật thông tin

01Mục đích

Chính sách bảo mật thông tin này ("Chính sách") quy định các nguyên tắc và biện pháp mà [Tên pháp nhân vận hành WEWORK] ("WEWORK", "chúng tôi") áp dụng để bảo vệ thông tin của Khách hàng, Người dùng và của chính WEWORK trước các nguy cơ truy cập trái phép, rò rỉ, thay đổi hoặc mất mát.

Chính sách thể hiện cam kết của WEWORK trong việc vận hành dịch vụ an toàn, ổn định và tuân thủ quy định pháp luật Việt Nam về an toàn thông tin.

02Phạm vi áp dụng

• Toàn bộ sản phẩm WEWORK: Task, Project, Workflow, Request, BPM, ứng dụng web, ứng dụng di động và API;
• Hạ tầng máy chủ, hệ thống mạng, cơ sở dữ liệu và các công cụ nội bộ phục vụ vận hành dịch vụ;
• Nhân sự, cộng tác viên và nhà cung cấp của WEWORK có tiếp cận thông tin hoặc hệ thống;
• Khách hàng và Người dùng trong phạm vi trách nhiệm được nêu tại mục Trách nhiệm của Khách hàng.

Chính sách này bổ sung cho Điều khoản dịch vụ và Chính sách quyền riêng tư.

03Nguyên tắc bảo mật

Mọi hoạt động bảo vệ thông tin tại WEWORK dựa trên ba nguyên tắc cốt lõi:

• Bảo mật (Confidentiality): thông tin chỉ được tiếp cận bởi đúng người, đúng quyền hạn;
• Toàn vẹn (Integrity): thông tin chính xác, đầy đủ, không bị thay đổi trái phép;
• Sẵn sàng (Availability): người có quyền truy cập được thông tin khi cần.

Bên cạnh đó, WEWORK áp dụng nguyên tắc quyền tối thiểu — mỗi tài khoản chỉ được cấp quyền vừa đủ để thực hiện công việc — và phòng thủ nhiều lớp, không phụ thuộc vào một biện pháp bảo vệ duy nhất.

04Phân loại thông tin

Thông tin được phân loại để áp dụng mức bảo vệ tương ứng:

• Công khai: thông tin đã được công bố như nội dung website, tài liệu giới thiệu sản phẩm;
• Nội bộ: tài liệu, quy trình vận hành chỉ dùng trong WEWORK;
• Bí mật: Dữ liệu Khách hàng, thông tin tài khoản, dữ liệu cá nhân, mã nguồn và thông tin cấu hình hệ thống.

Thông tin thuộc nhóm Bí mật được bảo vệ ở mức cao nhất và chỉ được tiếp cận khi có nhu cầu công việc chính đáng.

05Kiểm soát truy cập

• Mỗi người dùng có tài khoản định danh riêng; không chia sẻ tài khoản dùng chung;
• Quyền truy cập trong sản phẩm được phân theo vai trò, phòng ban và dự án do quản trị viên của Khách hàng thiết lập;
• Nhân sự WEWORK chỉ được truy cập Dữ liệu Khách hàng khi cần hỗ trợ theo yêu cầu của Khách hàng hoặc xử lý sự cố, và mọi truy cập đều được ghi nhận;
• Quyền truy cập được rà soát định kỳ và thu hồi ngay khi nhân sự nghỉ việc hoặc thay đổi vị trí;
• Truy cập vào hệ thống quản trị nội bộ yêu cầu lớp xác thực bổ sung.

06Mã hoá và bảo vệ dữ liệu

• Toàn bộ kết nối giữa trình duyệt, ứng dụng di động và máy chủ được mã hoá qua HTTPS/TLS;
• Mật khẩu người dùng được lưu dưới dạng băm (hash), không lưu ở dạng có thể đọc được;
• Dữ liệu của các Khách hàng khác nhau được tách biệt về mặt logic, một doanh nghiệp không thể truy cập dữ liệu của doanh nghiệp khác;
• Khoá bí mật, thông tin cấu hình nhạy cảm được quản lý tách biệt khỏi mã nguồn.

07An toàn hạ tầng và vận hành

• Hệ thống được vận hành trên hạ tầng máy chủ đặt tại [địa điểm trung tâm dữ liệu], có kiểm soát ra vào vật lý;
• Môi trường vận hành (production) được tách biệt với môi trường phát triển và kiểm thử;
• Tường lửa, phân vùng mạng và giới hạn truy cập được áp dụng cho các thành phần hệ thống;
• Hệ điều hành và phần mềm được cập nhật bản vá bảo mật định kỳ;
• Hệ thống được giám sát liên tục, có cảnh báo khi phát hiện hoạt động bất thường.

08Sao lưu và khôi phục

• Dữ liệu được sao lưu định kỳ [tần suất sao lưu] và lưu trữ tại vị trí tách biệt với hệ thống chính;
• Bản sao lưu được bảo vệ với mức độ tương đương dữ liệu gốc;
• Quy trình khôi phục được kiểm tra định kỳ để bảo đảm có thể đưa dịch vụ trở lại hoạt động khi xảy ra sự cố.

09Phát triển phần mềm an toàn

• Mã nguồn được quản lý tập trung, mọi thay đổi đều được rà soát trước khi đưa vào sản phẩm;
• Kiểm thử chức năng và kiểm tra bảo mật là bước bắt buộc trước mỗi lần phát hành;
• Các thư viện, thành phần bên thứ ba được theo dõi và cập nhật khi có cảnh báo lỗ hổng;
• Dữ liệu thật của Khách hàng không được sử dụng trong môi trường phát triển và kiểm thử.

10Nhân sự và nhà cung cấp

• Nhân sự WEWORK ký cam kết bảo mật thông tin khi bắt đầu làm việc và tuân thủ cả sau khi nghỉ việc;
• Nhân sự được đào tạo, phổ biến định kỳ về an toàn thông tin và nhận diện các hình thức tấn công phổ biến;
• Nhà cung cấp có tiếp cận thông tin phải cam kết bảo mật và chỉ được tiếp cận trong phạm vi cần thiết cho dịch vụ cung cấp;
• Vi phạm Chính sách được xử lý theo quy định nội bộ và pháp luật hiện hành.

11Quản lý sự cố an toàn thông tin

Khi phát hiện sự cố có thể ảnh hưởng đến an toàn thông tin, WEWORK thực hiện:

• Ghi nhận và đánh giá mức độ ảnh hưởng;
• Khoanh vùng để ngăn sự cố lan rộng;
• Khắc phục nguyên nhân và khôi phục hoạt động bình thường;
• Thông báo cho Khách hàng bị ảnh hưởng và cơ quan có thẩm quyền theo quy định của pháp luật;
• Rút kinh nghiệm và bổ sung biện pháp phòng ngừa tái diễn.

12Trách nhiệm của Khách hàng

Bảo mật là trách nhiệm chung. Để bảo vệ tài khoản và dữ liệu của doanh nghiệp, Khách hàng và Người dùng cần:

• Sử dụng mật khẩu mạnh, không chia sẻ thông tin đăng nhập cho người khác;
• Phân quyền đúng người, đúng việc và thu hồi quyền ngay khi nhân sự nghỉ việc;
• Đăng xuất khỏi thiết bị dùng chung và giữ thiết bị cá nhân an toàn;
• Cảnh giác với email, tin nhắn giả mạo yêu cầu cung cấp mật khẩu — WEWORK không bao giờ yêu cầu bạn cung cấp mật khẩu;
• Thông báo ngay cho WEWORK khi nghi ngờ tài khoản bị truy cập trái phép.

13Báo cáo lỗ hổng bảo mật

Nếu bạn phát hiện lỗ hổng bảo mật trong sản phẩm WEWORK, vui lòng gửi mô tả chi tiết (các bước tái hiện, mức độ ảnh hưởng) tới [security@wework.vn]. Chúng tôi sẽ xác nhận đã nhận báo cáo, đánh giá và phản hồi tiến độ xử lý.

Vui lòng không công bố lỗ hổng, không truy cập hoặc thay đổi dữ liệu của người khác, và không thực hiện các hành vi làm gián đoạn dịch vụ trong quá trình kiểm tra.

14Cập nhật Chính sách

Chính sách được rà soát định kỳ và cập nhật khi có thay đổi về công nghệ, dịch vụ hoặc quy định pháp luật. Phiên bản mới được đăng tại trang này kèm ngày cập nhật.

15Liên hệ

Mọi câu hỏi về Chính sách bảo mật thông tin, vui lòng liên hệ: