Khung kiểm soát (Control Framework)
Danh mục kiểm soát tham chiếu tới chuẩn quốc tế (ISO/NIST/OWASP...) + trạng thái áp dụng theo sản phẩm (DG-09). Đây là đối chiếu đã thiết kế và có bằng chứng, KHÔNG phải chứng nhận.
| Mã | Domain | Tên kiểm soát | Khung tham chiếu | Trạng thái áp dụng |
|---|---|---|---|---|
| CTL-ACCESS-01 | Access Control | RBAC/ABAC quyền theo vai trò + data scope | ISO27001:A.9NIST-CSF2:PR.AA | Đã áp dụng |
| CTL-ACCESS-02 | Access Control | Cách ly dữ liệu theo tenant (Postgres RLS) | ISO27001:A.9.4NIST-CSF2:PR.AA | Đã áp dụng |
| CTL-AI-01 | AI Governance | Con người xác nhận trước khi áp dụng thay đổi do AI đề xuất | ISO-42001NIST-AIRMF | Một phần |
| CTL-API-01 | API Security | Kiểm soát object-level authorization (chống BOLA) | OWASP-API-Security-Top10-2023:API1 | Đã áp dụng |
| CTL-WEBHOOK-01 | API Security | Xác thực chữ ký webhook/CI callback (HMAC) | CWE-347 | Đã áp dụng |
| CTL-BACKUP-01 | Business Continuity | Sao lưu/khôi phục có kiểm chứng (sandbox restore) | ISO-22301 | Đã áp dụng |
| CTL-CLASS-01 | Data Governance | Phân loại dữ liệu (classification) trên tài liệu/hệ thống | ISO27701 | Đã áp dụng |
| CTL-NET-01 | Network Security | Tách vật lý database Platform / X.Office | ISO27001:A.13.1 | Đã áp dụng |
| CTL-PDP-01 | Privacy | Tuân thủ pháp luật bảo vệ dữ liệu cá nhân Việt Nam | Luat-BVDLCN-91-2025-QH15 | Một phần |
| CTL-PRIV-01 | Privacy | Kiểm soát truy cập dữ liệu cá nhân theo data scope | ISO27701:6.9ISO27701:7.2 | Đã áp dụng |
| CTL-SECRET-01 | Secrets Management | Không lưu secret trong source ngoài .env | OWASP-ASVS-4.0:V6.4CWE-798 | Đã áp dụng |
| CTL-CI-01 | Secure SDLC | Cổng kiểm soát CI/CD bắt buộc trước merge | NIST-SSDFISO27001:A.12.6 | Đã áp dụng |
| CTL-MIGRATION-01 | Secure SDLC | Kỷ luật migration DB có phiên bản (không db push tuỳ tiện) | NIST-SSDF | Đã áp dụng |
| CTL-SESSION-01 | Session Management | Thu hồi phiên khi suspend tài khoản | OWASP-ASVS-4.0:V3.3 | Đã áp dụng |
| CTL-QUALITY-01 | Software Quality | Truy vết Product→Version→Test→Defect | ISO/IEC-25010 | Đã áp dụng |
| CTL-DEP-01 | Vulnerability Management | Quét lỗ hổng dependency (SCA) bắt buộc trong CI | OWASP-ASVS-4.0:V14.2ISO27001:A.12.6NIST-SSDF | Đã áp dụng |