Thuật Ngữ Compliance

Controls quản lý quyền truy cập, least privilege, MFA, access review định kỳ, offboarding, xuất hiện trong mọi framework compliance.

Hệ thống quản lý AI theo ISO 42001, framework policies, processes để quản lý rủi ro và tác động của hệ thống AI.

93 controls bảo mật trong ISO 27001:2022 được chia thành 4 nhóm: organizational, people, physical, technological.

Hợp đồng bắt buộc theo HIPAA giữa Covered Entity và Business Associate xử lý PHI thay mặt họ.

Dữ liệu chủ thẻ trong PCI-DSS, bao gồm PAN (Primary Account Number), tên chủ thẻ, ngày hết hạn, service code.

Tổ chức y tế, nhà cung cấp dịch vụ thanh toán y tế, hoặc healthcare clearinghouse phải tuân thủ HIPAA.

Công ty kế toán được AICPA cấp phép, đơn vị duy nhất có thể phát hành SOC 2 report chính thức.

Tổ chức quyết định mục đích và cách thức xử lý dữ liệu cá nhân, chịu trách nhiệm chính về GDPR compliance.

Tổ chức xử lý dữ liệu cá nhân thay mặt Data Controller, phải ký DPA và tuân thủ instructions của controller.

8 quyền của cá nhân theo GDPR: access, erasure, portability, rectification, object, restrict processing, not be subject to automated decisions.

Hợp đồng bắt buộc theo GDPR giữa Data Controller và Data Processor xử lý dữ liệu EU thay mặt controller.

Thu thập bằng chứng hoạt động của controls, log files, access review records, training completion, screenshots, để chứng minh với auditor.

Quy trình đánh giá khoảng cách giữa trạng thái hiện tại và yêu cầu của framework compliance, bước đầu tiên trong mọi implementation.

3 loại biện pháp bảo vệ theo HIPAA Security Rule: Administrative, Physical, và Technical Safeguards.

Kế hoạch ứng phó sự cố bảo mật, documented procedure về cách phát hiện, contain, investigate, và recover từ security incident.

Hệ thống quản lý bảo mật thông tin, framework policies và processes để quản lý rủi ro bảo mật.

Controls của ISO 42001 về AI governance, bao gồm AI policy, risk management, transparency, accountability.

6 cơ sở pháp lý để xử lý dữ liệu theo GDPR: consent, contract, legal obligation, vital interests, public task, legitimate interests.

Nguyên tắc cấp quyền tối thiểu cần thiết, nhân viên và hệ thống chỉ có access vào những gì cần để thực hiện công việc.

Xác thực đa yếu tố, yêu cầu bắt buộc của hầu hết compliance framework cho truy cập vào production systems và sensitive data.

Điểm không tuân thủ được phát hiện trong quá trình audit, minor nonconformity cho phép sửa trong 90 ngày, major yêu cầu audit lại.

Khoảng thời gian trong SOC 2 Type II mà auditor quan sát controls vận hành, thường 6-12 tháng.

Phạm vi hệ thống, quy trình, và con người liên quan đến việc xử lý, lưu trữ, hoặc truyền dữ liệu thẻ thanh toán.

Kiểm tra xâm nhập do chuyên gia bảo mật thực hiện để tìm lỗ hổng, yêu cầu định kỳ của nhiều framework compliance.

Thông tin sức khỏe được bảo vệ theo HIPAA, bất kỳ thông tin nào có thể identify bệnh nhân và liên quan đến tình trạng sức khỏe.

Chuyên gia được PCI Security Standards Council chứng nhận để thực hiện PCI-DSS assessment cho tổ chức.

Audit tái chứng nhận ISO 27001 sau 3 năm, toàn diện như Stage 2 audit ban đầu, xem xét toàn bộ ISMS.

Quá trình sửa chữa và implement controls còn thiếu sau gap analysis, giai đoạn chiếm nhiều thời gian nhất trong compliance journey.

Kế hoạch xử lý rủi ro sau khi đánh giá, bao gồm 4 lựa chọn: mitigate, accept, avoid, transfer.

Báo cáo tuân thủ PCI-DSS đầy đủ, bắt buộc với Service Provider Level 1 và Merchant Level 1, do QSA thực hiện.

Tài liệu bắt buộc theo GDPR Article 30, liệt kê tất cả hoạt động xử lý dữ liệu cá nhân của tổ chức.

Dữ liệu xác thực nhạy cảm trong PCI-DSS, bao gồm full magnetic stripe, CVV/CVC, PIN, không được lưu sau authorization.

Bảng tự đánh giá PCI-DSS dành cho merchant và service provider không đủ điều kiện yêu cầu Report on Compliance (ROC).

Điều khoản hợp đồng chuẩn do EU phát hành, cơ chế pháp lý phổ biến nhất để chuyển dữ liệu EU ra ngoài EEA.

Tài liệu liệt kê tất cả controls trong ISO 27001 Annex A cùng lý do include hoặc exclude từng control.

Báo cáo đánh giá xem controls có được thiết kế phù hợp tại một thời điểm cụ thể, không đánh giá vận hành liên tục.

Báo cáo đánh giá controls đã vận hành hiệu quả trong khoảng thời gian nhất định (thường 6-12 tháng).

Audit định kỳ hàng năm trong chu kỳ 3 năm ISO 27001, xác nhận ISMS vẫn được duy trì và cải tiến.

5 tiêu chí của SOC 2: Security (bắt buộc), Availability, Confidentiality, Processing Integrity, Privacy.

Quét tự động tìm lỗ hổng bảo mật trong hệ thống, thường chạy định kỳ và kết quả là evidence cho compliance audit.