Tiêu chuẩn bảo mật & tuân thủ áp dụng cho XHub Ecosystem#

Nguyên tắc: đây là danh sách tiêu chuẩn/khung ĐÃ dùng làm căn cứ thiết kế kiểm soát trong hệ thống này, kèm bằng chứng cụ thể (file, lệnh, kết quả test) — KHÔNG phải tuyên bố đã được chứng nhận (certified). Chứng nhận ISO/SOC2/... cần audit độc lập bên thứ ba, ngoài phạm vi tài liệu này (đúng nguyên tắc "chứng nhận ISO không thay thế pentest/product evidence" trong gói audit bảo mật 2026-08-04).

Cập nhật 2026-08-05: đối chiếu với XHUB_SOFTWARE_AI_GOVERNANCE_AUDIT_READY_HANDOFF_20260805/catalog/SOURCE_REGISTER.csv phát hiện mục 6 (luật Việt Nam) đã LỖI THỜI — Nghị định 13/2023/NĐ-CP đã bị thay thế bởi luật/nghị định mới có hiệu lực từ đầu năm 2026. Đã cập nhật mục 6, thêm mục 6b (Luật AI) và 6c (Luật An ninh mạng) — đây là cập nhật trích dẫn, KHÔNG phải rà soát pháp lý đầy đủ (cần luật sư/DPO xác nhận phạm vi áp dụng thật).

1. OWASP API Security Top 10 (2023)#

• API1:2023 — Broken Object Level Authorization (BOLA): phát hiện + vá thật ngày 2026-08-04 — nhiều route chuyển trạng thái (Ticket/Booking/Directive/Request) có gate quyền theo VAI TRÒ nhưng thiếu kiểm tra chủ sở hữu bản ghi cụ thể. Bằng chứng: xhub-api/SECURITY.md mục "Object-level authorization (BOLA prevention)"; docs/implementation/xoffice-ai/ACCEPTANCE_EVIDENCE.md.
• Áp dụng cho Development Quality Hub: mọi route ghi/chuyển trạng thái (Feature/BacklogItem/ProductVersion FSM) yêu cầu permission cấp module (engineering.*.manage) — object-level ownership check sẽ bổ sung khi có actor cụ thể (DG-05 Defect FSM).

2. OWASP ASVS 4.0 (Application Security Verification Standard)#

• V3.3 (Session termination): thu hồi phiên khi suspend tài khoản — xhub-api/src/auth/auth.service.ts (sessionMembershipActive), verify tay + test:auth-flow PASS.
• V6.4 (Secret management): secret không được lưu trong source ngoài .env — scripts/secret-scan.mjs, chạy bắt buộc trong CI (.github/workflows/ci.yml).
• V14.2 (Dependency management): npm audit --audit-level=high là gate CI bắt buộc.
• Lưu ý phiên bản: OWASP đã phát hành ASVS 5.0.0 (stable), đánh số mục đã đổi khác 4.0. Trích dẫn V3.3/V6.4/V14.2 ở đây vẫn theo ASVS 4.0 vì bằng chứng hiện có (SECURITY.md, auth.service.ts, CI gate) được xác minh theo đánh số 4.0 lúc thiết kế; nâng lên 5.0 cần đối chiếu lại đánh số mục tương ứng trước, CHƯA làm trong đợt này.

3. ISO/IEC 27001 (Information Security Management — kiểm soát tham chiếu, chưa chứng nhận)#

• A.9 (Access control): RBAC (RoleBinding/PermissionPolicy) + ABAC (DataScope) + RLS Postgres theo tenant.
• A.9.4: npm run test:rls (Platform, ~105 bảng) + npm run test:rls-xoffice (X.Office, 90 bảng) chứng minh cách ly tenant — 0 dòng khi không có tenant context, 0 dòng chéo tenant.
• A.12.6 (Vulnerability management): gate SCA (npm audit) trong CI.
• A.13.1 (Network security): tách vật lý 2 database Platform/X.Office (Stage C, 2026-08-04) — không dual-write, không query Prisma chéo DB.

4. ISO/IEC 27701 (Privacy Information Management — mở rộng 27001)#

• 6.9 / 7.2: kiểm soát truy cập dữ liệu cá nhân theo DataScope — ví dụ thật: IOC zone drilldown từ chối xem dữ liệu cá nhân ngoài phạm vi scope của actor (orgUnitId is outside caller scope, xác nhận qua browser 2026-08-04).

5. ISO/IEC 25010 (Software Quality Model)#

• Functional suitability / Reliability / Security / Maintainability — khung tham chiếu cho chính Development Quality Hub này: Product → Version → Feature/Backlog → Test → Defect traceability là cách hiện thực hoá "Maintainability" + "Functional suitability" có đo lường được.

6. Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 + Nghị định 356/2025/NĐ-CP (Việt Nam, hiệu lực 01/01/2026) / GDPR (tham chiếu quốc tế)#

• Thay thế Nghị định 13/2023/NĐ-CP (nghị định cũ đã hết hiệu lực dẫn chiếu kể từ khi luật 91/2025 + nghị định hướng dẫn 356/2025 có hiệu lực 01/01/2026) — nguồn: vanban.chinhphu.vn (docid 214590 cho luật, docid 216387 cho nghị định), ghi trong catalog/SOURCE_REGISTER.csv của gói XHUB_SOFTWARE_AI_GOVERNANCE_AUDIT_READY_HANDOFF_20260805.
• Phân loại dữ liệu: field classification trên EngineeringDocument (PUBLIC/INTERNAL/CONFIDENTIAL/RESTRICTED) — khái niệm không đổi so với thiết kế cũ, chỉ đổi căn cứ pháp lý.
• Không dùng email làm khoá định danh: PersonProfile.id là UUID; email chỉ là thuộc tính (attribute), có thể đổi mà không mất định danh — đã áp dụng từ trước phiên này.
• Chưa làm (cần DG phase riêng, xem IMPLEMENTATION_PLAN.md): Processing Activity Registry, DPIA chính thức, retention rule, xử lý yêu cầu chủ thể dữ liệu (data subject request) — hiện chưa có model nào trong hệ thống, chỉ mới trích dẫn văn bản.

6b. Luật Trí tuệ nhân tạo 134/2025/QH15 (Việt Nam, hiệu lực 01/03/2026)#

• Luật quản trị AI theo rủi ro (risk-based) — nguồn vanban.chinhphu.vn docid 216334. Cần rà soát pháp lý riêng để xác định phạm vi áp dụng cho từng tính năng AI trong hệ sinh thái (ví dụ: AI draft trong X.Office workflow builder — xoffice.service.ts dùng Anthropic SDK).
• Chưa làm: AI System/Use Case Registry, đánh giá tác động AI (AI impact assessment), evaluation run — chưa có model nào; ghi nhận là khoảng trống, không tự nhận đã tuân thủ.

6c. Luật An ninh mạng 116/2025/QH15 (Việt Nam, hiệu lực 01/07/2026)#

• Nguồn vanban.chinhphu.vn docid 216499. Ghi nhận đã có hiệu lực tính đến thời điểm tài liệu này cập nhật (2026-08-05); phạm vi áp dụng cụ thể cho XHub Ecosystem CHƯA được rà soát pháp lý — chỉ ghi nhận sự tồn tại của văn bản, không tự đánh giá compliance.

7. CWE (Common Weakness Enumeration)#

• CWE-798 (Use of Hard-coded Credentials): quét bởi scripts/secret-scan.mjs.

Trạng thái#

Đây là ĐỐI CHIẾU KIỂM SOÁT ĐÃ THIẾT KẾ VÀ CÓ BẰNG CHỨNG, không phải chứng chỉ. Mọi mục CRITICAL/HIGH trong đợt vá bảo mật 2026-08-04 được đánh dấu "đã vá — CHƯA đóng" trong ACCEPTANCE_EVIDENCE.md, cần người khác (không phải AI) retest độc lập trước khi đóng chính thức.