Bảo mật khi làm dự án

• 

  Hai bản tách riêng

  Bản đang chạy phục vụ người dùng thật; bản thử có cơ sở dữ liệu riêng với dữ liệu mẫu giả.

• Bản đang chạy chỉ đọc

  Mọi thử nghiệm có ghi dữ liệu làm trên bản thử. Trên bản đang chạy, kỹ sư chỉ đọc khi điều tra lỗi.

• Bốn việc phải hỏi chủ hệ thống

  Ghi vào dữ liệu thật, xoá một màn hình hay tính năng, đổi quyền của một vai trò, đưa tính năng mới lên bản đang chạy.

• Tài khoản thử không vào bản thật

  Không dùng tài khoản thử bấm trên bản đang chạy. Tài khoản thử được đánh dấu riêng và xoá khi dùng xong.

• Phát hành có đường lùi

  Dựng và kiểm ở cổng riêng rồi mới đổi; lùi về bản trước bằng một lệnh. Xác nhận bằng nội dung trang thật, không bằng mã trả về.

• 

  Danh sách kiểm bảo mật

  Mỗi dự án rà: SQL injection, XSS, CSRF, quản lý khoá bí mật, HTTPS, giới hạn tần suất truy cập, nhật ký thao tác, mã hoá mật khẩu.

• Kiểm phân quyền

  Bài kiểm gọi từng đường API bằng tài khoản không có quyền và đòi bị từ chối.

• Đường công khai phải khai báo

  Đường API mở không cần đăng nhập phải có trong một bài kiểm riêng; quên khai báo thì bộ kiểm báo đỏ.

• Kiểm thử xâm nhập độc lập

  Dự án y tế, tài chính có thể thuê thêm đơn vị kiểm thử xâm nhập; ALODEV cấp môi trường và sửa lỗi họ tìm ra.

• Mỗi đêm

  Giữ 7 bản ngày và 4 bản tuần; bản xuất cơ sở dữ liệu giữ 30 ngày.

• 

  Khác máy vật lý

  Bản sao lưu được chép sang một máy vật lý khác.

• Kiểm bằng dung lượng thật

  Bản sao lưu được kiểm bằng dung lượng thật của từng thư mục bên trong, không bằng việc thấy tên tệp.

• Theo dõi dung lượng

  Kích thước bản sao lưu được theo dõi để sao lưu không làm đầy ổ đĩa của hệ thống đang chạy.

• Diễn tập khôi phục

  Định kỳ. Lần 25/09/2026 khôi phục toàn bộ container trong 6 phút, cơ sở dữ liệu đọc được đủ 168 bảng.

• 

  NDA trước khảo sát

  Doanh nghiệp gửi mẫu NDA của mình hoặc dùng mẫu của ALODEV, ký trước buổi khảo sát.

• Giữ bí mật cả sau dự án

  Thông tin nghiệp vụ, dữ liệu thật và mã nguồn không chia sẻ với bên thứ ba khi chưa có đồng ý bằng văn bản.

• Xoá dữ liệu thật khỏi môi trường phát triển

  Sau khi hệ thống đưa vào vận hành, chỉ giữ dữ liệu thử.

• Nơi lưu theo yêu cầu

  Máy chủ trong nước hoặc đám mây quốc tế, thống nhất trước khi triển khai. Dữ liệu nhạy cảm nên lưu tại Việt Nam.

• Dữ liệu cá nhân

  Ghi nhận đồng ý, xem và xoá dữ liệu theo yêu cầu, nhật ký truy cập dữ liệu nhạy cảm, mã hoá khi lưu và khi truyền.

• Dữ liệu gửi tới AI

  Chọn gói API có cam kết không dùng dữ liệu để huấn luyện khi có, hoặc mô hình chạy tại chỗ khi dữ liệu không được rời máy chủ doanh nghiệp.

• Tài khoản đứng tên doanh nghiệp

  Apple Developer, Google Play, Cloudflare và máy chủ đăng ký dưới tên doanh nghiệp.

• Khoá tích hợp của doanh nghiệp

  Tài khoản tại cổng thanh toán, đơn vị vận chuyển, ngân hàng đứng tên doanh nghiệp.

• 

  Tài khoản quản trị gốc

  Bàn giao cùng mã nguồn, tài liệu kiến trúc, cơ sở dữ liệu và hướng dẫn triển khai.

• Không giữ khoá

  Chuyển sang đơn vị khác thì ALODEV bàn giao tài khoản quản trị, dữ liệu và cấu hình.

• Doanh nghiệp tự gỡ quyền

  Tài khoản thuộc doanh nghiệp, nên quyền truy cập của ALODEV được gỡ ngay trên chính tài khoản đó.

• 

  Theo dõi và cảnh báo

  Hệ thống được gọi thử định kỳ; không trả lời thì cảnh báo gửi về kênh doanh nghiệp chọn.

• Biên bản sự cố

  Triệu chứng, nguyên nhân đo được, cách sửa, việc chặn lặp lại.

• Khởi động lại có tài liệu

  Quy trình khởi động lại sau mất điện hoặc sự cố ghi từng bước.

Toàn văn ở Điều khoản dịch vụ, mục Bảo hành.