1. Chứng nhận bảo mật: chọn cái nào trước1. Security certifications: which first
Hai chuẩn được hỏi nhiều nhất là SOC 2 và ISO/IEC 27001. Chúng có phần lớn kiểm soát trùng nhau, nhưng được ưa chuộng ở các thị trường khác nhau.The two most requested standards are SOC 2 and ISO/IEC 27001. Most of their controls overlap, but different markets prefer different ones.
| ChuẩnStandard | Phổ biến ởCommon in | Hình thứcForm |
|---|---|---|
| SOC 2 (Type I, Type II) | Mỹ, khách hàng SaaS toàn cầuUS, global SaaS buyers | Báo cáo kiểm toán bởi công ty kiểm toánAttestation report by an audit firm |
| ISO/IEC 27001:2022 | Châu Âu, châu Á, ÚcEurope, Asia, Australia | Chứng nhận bởi tổ chức chứng nhậnCertificate from a certification body |
Nếu chưa đủ nguồn lực cho chứng nhận, hãy bắt đầu bằng bộ tài liệu bảo mật trả lời sẵn (security pack): chính sách, kiến trúc, quy trình sự cố, danh sách nhà cung cấp phụ.If a certification is not affordable yet, start with a ready-made security pack: policies, architecture overview, incident process and sub-processor list.
2. Dữ liệu khách nước ngoài2. Overseas customer data
- Nơi lưu: nhiều khách hàng yêu cầu dữ liệu nằm trong khu vực của họ. Thiết kế đa vùng (multi-region) từ đầu rẻ hơn tách ra về sau.Location: many buyers want their data kept in their region. Designing for multiple regions early is cheaper than splitting later.
- Vai trò: khi xử lý dữ liệu cho khách hàng, bạn thường là bên xử lý; hợp đồng xử lý dữ liệu (DPA) sẽ được yêu cầu.Role: when you process data for customers you are usually the processor; expect to sign a data processing agreement (DPA).
- Đội ngũ tại Việt Nam: kỹ sư Việt Nam truy cập dữ liệu khách nước ngoài cũng là một luồng chuyển dữ liệu xuyên biên giới theo luật của nước khách hàng.Team in Vietnam: engineers in Vietnam accessing foreign customers’ data is itself a cross-border transfer under the customer’s law.
3. Thị trường đích3. Target markets
| Thị trườngMarket | Luật dữ liệu chínhMain data law | Khách hàng thường hỏiBuyers usually ask for |
|---|---|---|
| Singapore | PDPA 2012 | ISO 27001, quy định của MAS với khách tài chínhISO 27001; MAS rules for financial clients |
| Nhật BảnJapan | APPI | ISO 27001, tài liệu tiếng Nhật, quy trình chặtISO 27001, Japanese documentation, strict processes |
| ÚcAustralia | Privacy Act 1988 | ISO 27001 hoặc SOC 2ISO 27001 or SOC 2 |
| Liên minh châu ÂuEuropean Union | GDPR | DPA, cơ chế chuyển dữ liệu ra ngoài EU, ISO 27001DPA, a transfer mechanism out of the EU, ISO 27001 |
| MỹUnited States | Luật theo bang và theo ngànhState and sector laws | SOC 2 Type II |
4. Thanh toán thẻ4. Card payments
Nếu hệ thống của bạn lưu, xử lý hoặc truyền dữ liệu thẻ, chuẩn PCI DSS v4.0 sẽ áp dụng. Cách giảm phạm vi phổ biến nhất là dùng trang thanh toán do cổng thanh toán lưu trữ, để dữ liệu thẻ không đi qua máy chủ của bạn.If your system stores, processes or transmits card data, PCI DSS v4.0 applies. The most common way to shrink scope is a payment page hosted by your gateway, so card data never touches your servers.
Lộ trình 6 tháng gợi ýA suggested 6-month roadmap
Tháng 1: Đánh giá khoảng trốngMonth 1: Gap assessment
So hiện trạng với yêu cầu của thị trường đích đầu tiên.Compare where you are with your first target market’s expectations.
Tháng 2–3: Nền tảngMonths 2–3: Foundations
Chính sách, quản lý truy cập, nhật ký, sao lưu, quy trình sự cố.Policies, access management, logging, backups, incident process.
Tháng 4: Security packMonth 4: Security pack
Bộ tài liệu trả lời sẵn bảng câu hỏi bảo mật của khách.A ready set of answers for buyers’ security questionnaires.
Tháng 5–6: Đánh giá chính thứcMonths 5–6: Formal audit
Chọn đơn vị kiểm toán hoặc chứng nhận và bắt đầu kỳ đánh giá.Choose an audit or certification body and start the assessment period.
Gửi bảng câu hỏi bảo mật bạn nhận được, chúng tôi giúp xác định phần nào cần thay đổi kiến trúc.Send the security questionnaire you received and we will help identify which answers need architecture changes. Gửi yêu cầu reviewRequest a review