s8- Phạm vi áp dụng trên các kênh hội viên dùng
- Chính sách bảo mật S8 ở khâu xác thực
- Mật khẩu được băm một chiều
- Mã OTP cho thao tác nhạy cảm
- Cảnh báo thiết bị lạ
- Lớp mã hóa, hạ tầng phía sau mỗi giao dịch
- Cơ chế giám sát, kiểm định hệ thống liên tục
- Trung tâm giám sát 24/7
- Kiểm thử xâm nhập mỗi quý
- Kiểm toán chính sách bảo mật S8
- Thông báo sự cố trong 72 giờ
- Kết luận
Chính Sách Bảo Mật S8 Nhiều Lớp Khiên Cho Tài Khoản
Chính sách bảo mật S8 xuất phát từ một thực tế: phần lớn vụ mất tài khoản bắt nguồn từ mật khẩu bị lộ hay thiết bị lạ, hiếm khi do máy chủ bị xâm nhập. Vì thế, chúng tôi dựng nhiều lớp bảo vệ, từ xác thực, mã hóa đường truyền đến giám sát liên tục. Bài viết giải thích từng lớp vận hành ra sao.
Phạm vi áp dụng trên các kênh hội viên dùng
Chính sách bảo mật S8 không chỉ áp dụng cho trang web chính. Mọi điểm chạm nơi hội viên nhập thông tin hoặc thực hiện giao dịch đều nằm trong phạm vi bảo vệ. Cụ thể gồm 5 khu vực sau.
- Website, tên miền dự phòng: dùng chứng chỉ SSL, tự chuyển hướng sang HTTPS, chặn kết nối không mã hóa.
- Ứng dụng iOS, Android: dữ liệu phiên lưu trong vùng nhớ mã hóa, tự xóa khi đăng xuất.
- Cổng nạp rút: thông tin thanh toán đi thẳng tới ngân hàng, chúng tôi chỉ giữ mã token.
- Kênh hỗ trợ live chat, Telegram, email: mọi hội thoại được ghi nhật ký, nhân viên không yêu cầu mật khẩu.
- Nhà phát hành trò chơi: kết nối qua API có khóa riêng, chỉ nhận mã định danh ẩn danh.
Chính sách bảo mật S8 ở khâu xác thực
Xác thực là lớp đầu tiên quyết định ai được bước vào tài khoản và thao tác với số dư. Chúng tôi không dựa riêng vào mật khẩu mà kết hợp 3 cơ chế kiểm tra chồng lên nhau.
Mật khẩu được băm một chiều
Theo chính sách bảo mật S8, mật khẩu không bao giờ được lưu ở dạng gốc mà chuyển thành chuỗi băm bằng thuật toán bcrypt với hệ số 12. Ngay cả quản trị viên hệ thống cũng không thể đọc ngược ra mật khẩu thật, nên chuỗi băm bị lộ cũng vô dụng. Tài khoản tự khóa 15 phút nếu bị nhập sai liên tiếp 5 lần.
Mã OTP cho thao tác nhạy cảm
Đổi mật khẩu, thêm tài khoản ngân hàng hay rút tiền lần đầu đều cần mã OTP gửi qua SMS hoặc ứng dụng xác thực. Mã gồm 6 chữ số và hết hiệu lực sau 60 giây, nên kẻ gian khó dùng lại dù chụp được màn hình hay đọc trộm tin nhắn. Đây là yêu cầu bắt buộc trong chính sách bảo mật S8 từ năm 2022.
Cảnh báo thiết bị lạ
Hệ thống ghi nhận dấu vân tay thiết bị gồm trình duyệt, hệ điều hành và vị trí mạng của mỗi lần truy cập vào tài khoản. Khi phát hiện thiết bị chưa từng dùng, chính sách bảo mật S8 yêu cầu xác minh qua email trước khi mở phiên. Phiên không có thao tác quá 30 phút cũng tự đăng xuất, kể cả trên ứng dụng.
Lớp mã hóa, hạ tầng phía sau mỗi giao dịch
Dữ liệu tiếp tục được bảo vệ khi di chuyển lẫn khi nằm yên trên máy chủ. Mỗi trạng thái có tiêu chuẩn riêng theo chính sách bảo mật S8. Bảng dưới đối chiếu 5 hạng mục chính.
| Hạng mục | Tiêu chuẩn | Tác dụng thực tế |
| Đường truyền | TLS 1.3 | Chặn nghe lén ở Wi-Fi công cộng |
| Cơ sở dữ liệu | Mã hóa AES-256 | Dữ liệu bị sao chép vẫn không đọc được |
| Thông tin thanh toán | Token hóa chuẩn PCI DSS | Số tài khoản gốc không nằm trên máy chủ |
| Bản sao lưu | Mã hóa, lưu tại 2 trung tâm dữ liệu | Khôi phục nhanh khi một điểm hỏng |
| Lưu lượng truy cập | Tường lửa WAF, lọc DDoS | Trang ổn định trước các đợt tấn công |
Cơ chế giám sát, kiểm định hệ thống liên tục
Hệ thống chỉ an toàn khi được theo dõi cả sau ngày triển khai, vì thế chính sách bảo mật S8 không dừng ở khâu dựng hạ tầng. Việc giám sát, kiểm định duy trì qua 4 cơ chế.
Trung tâm giám sát 24/7
Đội an ninh mạng gồm 12 kỹ sư chia ca theo dõi nhật ký truy cập suốt ngày đêm, kết hợp hệ thống SIEM tự gắn cờ hành vi bất thường. Theo chính sách bảo mật S8, mọi cảnh báo mức cao phải được xử lý trong vòng 30 phút. Tài khoản nghi bị chiếm quyền sẽ tạm khóa giao dịch đến khi chủ tài khoản xác minh.
Kiểm thử xâm nhập mỗi quý
Mỗi quý, chúng tôi thuê nhóm chuyên gia bên ngoài đóng vai tin tặc để tấn công thử website, ứng dụng và cổng thanh toán. Lỗ hổng mức nghiêm trọng phải được vá trong 7 ngày, mức trung bình trong 30 ngày kể từ lúc phát hiện. Kết quả từng đợt được lưu hồ sơ để đối chiếu, tránh lỗi cũ tái xuất hiện ở lần kiểm thử sau.
Kiểm toán chính sách bảo mật S8
Hằng năm, một đơn vị kiểm toán độc lập rà soát toàn bộ quy trình theo tiêu chuẩn ISO/IEC 27001, từ phân quyền nhân sự đến cách lưu nhật ký. Nhân viên chỉ được truy cập đúng phần dữ liệu cần cho công việc của mình. Mọi lần truy cập vào hệ thống lõi đều để lại dấu vết không thể xóa, kể cả với cấp quản lý.
Thông báo sự cố trong 72 giờ
Nếu xảy ra sự cố ảnh hưởng đến dữ liệu, chính sách bảo mật S8 cam kết gửi thông báo tới hội viên liên quan trong vòng 72 giờ. Nội dung nêu rõ phạm vi ảnh hưởng, biện pháp đã thực hiện và việc hội viên cần làm. Chúng tôi không giấu sự cố để giữ hình ảnh, vì chậm trễ chỉ làm thiệt hại lan rộng.
Kết luận
Chính sách bảo mật S8 dựng nhiều lớp mã hóa, giám sát, nhưng một mắt xích vẫn nằm trong tay hội viên: thói quen đăng nhập. Ở S8, phần lớn yêu cầu khôi phục tài khoản đến từ người chưa bật xác thực hai lớp. Vào mục Bảo mật trong hồ sơ, kích hoạt ứng dụng xác thực rồi đặt mật khẩu chưa dùng ở nơi khác.
