Chúng tôi đang trực tiếp triển khai những chương trình này cho khách hàng tại Mỹ, theo các khung pháp lý Hoa Kỳ (HIPAA, SOX, SEC 17a-4, FINRA), trong hai lĩnh vực có yêu cầu khắt khe bậc nhất thế giới: y tế và tài chính.
Tuân thủ thường thất bại ở hai điểm: chương trình chỉ tồn tại trên giấy tờ, và kho lưu trữ chỉ tồn tại như một lời hứa. Chúng tôi xây dựng cả hai thành hệ thống thực sự: kiểm soát bằng mã nguồn thay vì văn bản, mỗi điểm kiểm soát gắn với một người chịu trách nhiệm cụ thể và có minh chứng có thể trình bày rõ ràng bất cứ lúc nào, còn mỗi quy tắc lưu trữ được thực thi bởi hạ tầng từ chối xóa dữ liệu sớm ở cấp độ vật lý: một kho lưu trữ không thể bị âm thầm chỉnh sửa.
Lĩnh vực tập trung
- Chương trình HIPAA cho Đối tác xử lý dữ liệu (Business Associate): Xây dựng danh mục Thỏa thuận Đối tác Xử lý (BAA), lập bản đồ luồng xử lý dữ liệu y tế nhạy cảm (PHI), và ma trận yêu cầu theo hướng dẫn NIST SP 800-66, tài liệu kỹ thuật của NIST (Viện Tiêu chuẩn và Công nghệ Hoa Kỳ) hướng dẫn triển khai Security Rule của HIPAA.
- Lưu trữ và bảo quản email theo chuẩn HIPAA, SOX, SEC 17a-4, và FINRA: Lưu trữ WORM (ghi một lần, đọc nhiều lần), phong tỏa dữ liệu phục vụ tố tụng (legal hold), băm chống giả mạo (tamper-evident hashing), và xuất dữ liệu eDiscovery kèm chuỗi lưu ký (chain of custody) đầy đủ.
- Kiểm soát hạ tầng bằng mã nguồn (Terraform): Mọi điểm kiểm soát được quản lý dưới dạng mã, có phiên bản, có rà soát, và có thể tái tạo chính xác.
- Chuẩn bị thanh tra: Biến cuộc thanh tra tiếp theo thành một thao tác truy vấn dữ liệu, thay vì một dự án khẩn cấp.
Cách chúng tôi làm việc
Chúng tôi bắt đầu từ chính câu hỏi mà đoàn thanh tra sẽ đặt ra, rồi thiết kế ngược lại điểm kiểm soát trả lời được câu hỏi đó. Bất cứ điều gì hệ thống có thể tự thực thi, chúng tôi để hệ thống thực thi. Phần còn lại được viết ra một lần duy nhất, gắn với tên một người cụ thể, và được diễn tập kỹ trước khi có bất kỳ ai từ bên ngoài bước vào phòng.