Chính sách phân loại dữ liệu

Dữ liệu phải được duy trì theo cách an toàn, chính xác và đáng tin cậy, đồng thời luôn sẵn sàng để sử dụng được ủy quyền. Các biện pháp bảo mật dữ liệu sẽ được triển khai tương xứng với giá trị, mức độ nhạy cảm và rủi ro của dữ liệu. 

Phân loại

Để triển khai bảo mật ở cấp độ phù hợp, thiết lập các hướng dẫn nhằm tuân thủ pháp luật/quy định và giảm hoặc loại bỏ các tiêu chuẩn cũng như biện pháp kiểm soát xung đột đối với dữ liệu, dữ liệu sẽ được phân loại vào một trong các danh mục sau:

1. Hạn chế - dữ liệu mà việc tiết lộ cho những người không được ủy quyền sẽ vi phạm luật liên bang hoặc tiểu bang hay các hợp đồng của Công ty.
2. Công khai - dữ liệu mà công chúng nói chung có thể được cấp quyền truy cập theo các Hợp đồng của Công ty.

Dữ liệu thuộc cả hai danh mục sẽ yêu cầu các biện pháp bảo mật khác nhau, phù hợp với mức độ mà việc mất mát hoặc hư hỏng dữ liệu có thể gây ảnh hưởng đến hoạt động kinh doanh, dẫn đến tổn thất tài chính hoặc vi phạm pháp luật, chính sách hay các hợp đồng của Công ty.

Các biện pháp bảo mật đối với dữ liệu do Giám đốc Điều hành (COO) thiết lập, phối hợp với nhân viên vận hành, như được định nghĩa dưới đây. Các vai trò và trách nhiệm sau đây được thiết lập để thực hiện chính sách dữ liệu:

• Giám đốc Điều hành (COO) chịu trách nhiệm về quản lý thông tin và chịu trách nhiệm đối với các vấn đề về quyền truy cập dữ liệu và triển khai chính sách.
• Thành viên Nhân viên Vận hành là những người quản lý dữ liệu. Người quản lý chịu trách nhiệm cung cấp hạ tầng an toàn để hỗ trợ dữ liệu, bao gồm nhưng không giới hạn ở việc cung cấp bảo mật vật lý, các quy trình sao lưu và khôi phục, cấp quyền truy cập cho người dùng hệ thống theo ủy quyền của COO hoặc người được COO chỉ định, cũng như triển khai và quản trị các biện pháp kiểm soát đối với thông tin.
• Người dùng Dữ liệu là những cá nhân cần và sử dụng dữ liệu trong phạm vi nhiệm vụ được giao hoặc để thực hiện các vai trò hay chức năng được giao trong cộng đồng Công ty & Khách hàng. Những cá nhân được cấp quyền truy cập vào dữ liệu nhạy cảm giữ vị trí được đặc biệt tin cậy và do đó có trách nhiệm bảo vệ tính bảo mật và toàn vẹn của dữ liệu đó. 

Thực thi

Các biện pháp thực thi được triển khai nhằm bảo mật dữ liệu sẽ được quy định theo cấp độ phân loại dữ liệu. Các biện pháp sẽ bao gồm sự kết hợp phù hợp của những nội dung sau:

• Yêu cầu mã hóa
• Bảo vệ dữ liệu và kiểm soát truy cập
• Quy trình sao lưu và khôi phục được lập thành văn bản
• Kiểm soát thay đổi và rà soát quy trình
• Yêu cầu lưu giữ dữ liệu
• Hủy dữ liệu
• Biện pháp kiểm soát kiểm toán
• Vị trí lưu trữ
• Nhận thức của người dùng