1. Quyền sở hữu mã nguồn độc quyền
Cyfendo hiểu rằng mã nguồn của bạn là tài sản trí tuệ quan trọng nhất của tổ chức bạn. Bạn giữ 100% quyền sở hữu và mọi quyền sở hữu trí tuệ đối với mọi mã nguồn, tệp cấu hình, siêu dữ liệu kho mã nguồn hoặc tạo phẩm phần mềm (software artifact) được tải lên hoặc được quét bởi nền tảng Cyfendo.
Cyfendo xử lý mã nguồn của khách hàng chỉ nhằm mục đích vận hành là thực hiện các bản quét bảo mật, phát hiện lỗ hổng và tạo các bản vá khắc phục đề xuất theo yêu cầu từ tài khoản của bạn.
2. Không huấn luyện mô hình và không lưu giữ dữ liệu (ZDR)
Mã của bạn không bao giờ được dùng để huấn luyện, huấn luyện lại, tinh chỉnh hoặc cải thiện bất kỳ mô hình nền tảng AI/ML công khai hoặc dùng chung nào.
- Không nạp vào mô hình nền tảng: Các đoạn mã nguồn độc quyền của khách hàng và dữ liệu AST được gửi qua quy trình suy luận tác tử của Cyfendo chịu sự điều chỉnh của các thỏa thuận không lưu giữ dữ liệu (ZDR) cấp doanh nghiệp với các nhà cung cấp hạ tầng AI ở thượng nguồn.
- Suy luận cách ly: Các lệnh gọi suy luận AI không lưu trạng thái và chỉ tồn tại tạm thời. Không có prompt hoặc dạng biểu diễn mã nguồn nào được nhà cung cấp mô hình lưu đệm sau khi suy luận.
- Không nhiễm chéo giữa các khách hàng: Dữ liệu bản quét và đồ thị AST của tenant được phân tách nghiêm ngặt trong các namespace tenant chuyên biệt.
3. Cách ly bằng sandbox tạm thời
Để kiểm chứng các lỗ hổng tiềm ẩn mà không gây rủi ro cho hạ tầng production của bạn, Cyfendo sử dụng các sandbox cách ly, gọn nhẹ (chẳng hạn gVisor / microVM) để kiểm chứng động khi có thể áp dụng:
- Vòng đời tạm thời: Các sandbox phân tích được tạo theo yêu cầu trong thời gian của một tác vụ quét và bị hủy ngay khi tác vụ hoàn tất.
- Cách ly mạng: Sandbox hoạt động trong các namespace hạn chế lưu lượng mạng đi ra, ngăn chặn việc trích xuất dữ liệu trái phép ra bên ngoài.
- Xóa sạch lưu trữ: Các ổ đĩa tạm cục bộ và các volume tạm thời được gắn kết sẽ tự động bị xóa sạch sau khi trích xuất tạo phẩm của bản quét.
4. Tiêu chuẩn mã hóa cấp doanh nghiệp
Cyfendo thực thi các giao thức mật mã mạnh để bảo mật dữ liệu trên các tầng truyền tải và lưu trữ:
- Mã hóa khi truyền: Toàn bộ dữ liệu truyền giữa môi trường phát triển, CI/CD runner, trình duyệt của bạn và các API của Cyfendo đều được mã hóa bằng TLS 1.3 (với mức dự phòng tối thiểu là TLS 1.2), sử dụng các bộ mã hóa mạnh có Perfect Forward Secrecy (PFS).
- Mã hóa khi lưu trữ: Các phát hiện được lưu trữ, báo cáo lỗ hổng và bản ghi cơ sở dữ liệu được lưu đệm đều được mã hóa khi lưu trữ bằng AES-256 với mã hóa phong bì (envelope encryption) và xoay vòng khóa tự động.
5. Hạ tầng đám mây, tình trạng chứng nhận và phạm vi đánh giá
Cyfendo hoạt động trên hạ tầng đám mây cấp doanh nghiệp (bao gồm Google Cloud Platform và AWS) được lưu trữ tại các trung tâm dữ liệu đạt chứng nhận SOC 2 Type II và ISO 27001. Các chứng nhận hạ tầng này xác nhận tính bảo mật vật lý và bảo mật nền tảng của các nhà cung cấp dịch vụ lưu trữ của Cyfendo và không chứng nhận Cyfendo với tư cách là một thực thể độc lập. Kiến trúc ứng dụng, các biện pháp kiểm soát truy cập nội bộ và vòng đời phát triển phần mềm của Cyfendo được thiết kế phù hợp với các khung kiểm soát SOC 2 Type II và ISO 27001; Cyfendo chưa hoàn tất cuộc kiểm toán doanh nghiệp độc lập của riêng mình.
Các báo cáo đánh giá và chứng chỉ của Cyfendo ghi nhận phạm vi kiểm thử bảo mật phần mềm tự động và kết quả thực nghiệm tại thời điểm đánh giá. Các tài liệu này phản ánh kết quả kiểm thử thực nghiệm và không cấu thành chứng nhận độc lập của bên thứ ba, sự xác nhận của cơ quan quản lý hay sự bảo đảm rằng một ứng dụng không có lỗ hổng.
Mọi bên xử lý phụ đều trải qua các đợt đánh giá rủi ro bảo mật nhà cung cấp nghiêm ngặt và bị ràng buộc bởi các Phụ lục Xử lý Dữ liệu (DPA) phù hợp với GDPR, CCPA/CPRA và các thông lệ tốt nhất trong ngành.
6. Dữ liệu tài khoản và telemetry vận hành
Cyfendo thu thập dữ liệu vận hành tối thiểu cần thiết để cung cấp và bảo mật dịch vụ:
- Thông tin tài khoản: Tên, địa chỉ email công việc và tên tổ chức để xác thực và tính phí.
- Chỉ số vận hành: Dòng mã (LOC) đã quét, thời lượng quét, dấu thời gian và số liệu tổng hợp ở mức tổng quan về số lượng lỗ hổng để tính phí theo mức sử dụng và lập kế hoạch năng lực.
- Nhật ký kiểm tra bảo mật: Sự kiện đăng nhập của người dùng, việc sử dụng token API và bản ghi khởi chạy bản quét để phục vụ tuân thủ và kiểm tra bảo mật tenant.
7. Chính sách công bố lỗ hổng (RFC 9116)
Cyfendo hoan nghênh các nhà nghiên cứu bảo mật kiểm tra nền tảng của Cyfendo và báo cáo các lỗ hổng tiềm ẩn một cách có trách nhiệm. Chính sách công bố bảo mật của Cyfendo tuân theo tiêu chuẩn RFC 9116:
- Đầu mối liên hệ bảo mật chính thức: contact@cyfendo.com
- Đặc tả bảo mật chuẩn: https://cyfendo.com/.well-known/security.txt
- Bến đỗ an toàn (Safe Harbor): Cyfendo cam kết không tiến hành hành động pháp lý đối với các nhà nghiên cứu bảo mật báo cáo lỗ hổng một cách thiện chí theo các hướng dẫn công bố có trách nhiệm.
8. Liên hệ và Phụ lục Xử lý Dữ liệu (DPA)
Đối với các thắc mắc về quyền riêng tư, yêu cầu của chủ thể dữ liệu theo GDPR, hoặc để ký kết Phụ lục Xử lý Dữ liệu (DPA) dành cho doanh nghiệp, vui lòng liên hệ Văn phòng Bảo vệ Dữ liệu của Cyfendo:
Email: contact@cyfendo.com
Pháp nhân: Cyfendo Inc., Security & Compliance Office