Security (Bảo mật)

Ưu tiên hàng đầu của Flo là bảo mật dữ liệu cá nhân của người dùng. Chúng tôi hiểu rằng hồ sơ của bạn trên ứng dụng có thể chứa dữ liệu cá nhân mang tính nhạy cảm cao. Vì vậy, mỗi ngày chúng tôi đều nỗ lực hết mình để triển khai những thông lệ và tiêu chuẩn tốt nhất trong ngành.
Tuân thủ pháp lý
Flo cam kết đảm bảo tính bảo mật và bảo vệ dữ liệu cá nhân theo yêu cầu của Quy định Bảo vệ Dữ liệu Chung của EU, Đạo luật Bảo mật Người tiêu dùng California và các quy định khác.
Hoạt động kiểm tra của bên thứ ba
Chúng tôi thường xuyên phối hợp với các cơ quan bên thứ ba có uy tín để tổ chức các đợt kiểm tra nhằm rà soát và tăng cường các quy trình và chính sách bảo mật nội bộ.
Bảo mật vật lý và môi trường
Flo tuân thủ các tiêu chuẩn cao nhất trong ngành đối với công tác kiểm soát về mặt vật lý, môi trường và lưu trữ. Amazon Web Services là đơn vị quản lý các trung tâm dữ liệu của Flo. Nhờ vậy mà Flo có lợi thế là được vận hành trên nền tảng kiến trúc và công nghệ thiết kế hiện đại nhất.
Bảo mật sản phẩm
Máy chủ và nối mạng

Chúng tôi sử dụng Amazon Web Services để lưu trữ tất cả các môi trường sản xuất. AWS giúp chúng tôi xây dựng cơ sở hạ tầng an toàn, hiệu suất cao, mạnh mẽ và hiệu quả cho ứng dụng của mình. Các trung tâm dữ liệu AWS được thiết kế để đảm bảo tính bảo mật và được chứng nhận SOC 1, SOC 2 và SOC 3. Tất cả các máy chủ lưu trữ môi trường sản xuất của chúng tôi đều vận hành trên nền tảng Docker bất biến, được vá lỗi liên tục. Chúng tôi cũng sử dụng các dịch vụ khác của AWS như VPC (Đám mây riêng ảo), cơ sở hạ tầng đa tài khoản của AWS, EKS (Elastic Kubernetes Service). Để bảo mật thông tin liên lạc qua mạng, chúng tôi sử dụng giao thức HTTPS được mã hóa bằng TLS (Bảo mật tầng giao vận).

Chúng tôi sử dụng Amazon Web Services để lưu trữ tất cả các môi trường sản xuất. AWS giúp chúng tôi xây dựng cơ sở hạ tầng an toàn, hiệu suất cao, mạnh mẽ và hiệu quả cho ứng dụng của mình. Các trung tâm dữ liệu AWS được thiết kế để đảm bảo tính bảo mật và được chứng nhận SOC 1, SOC 2 và SOC 3. Tất cả các máy chủ lưu trữ môi trường sản xuất của chúng tôi đều vận hành trên nền tảng Docker bất biến, được vá lỗi liên tục. Chúng tôi cũng sử dụng các dịch vụ khác của AWS như VPC (Đám mây riêng ảo), cơ sở hạ tầng đa tài khoản của AWS, EKS (Elastic Kubernetes Service). Để bảo mật thông tin liên lạc qua mạng, chúng tôi sử dụng giao thức HTTPS được mã hóa bằng TLS (Bảo mật tầng giao vận).

Mã hóa

Chúng tôi sử dụng dịch vụ KMS (Dịch vụ quản lý khóa) của AWS để tạo và quản lý khóa, đồng thời kiểm soát việc sử dụng mã hóa của nhiều dịch vụ AWS cũng như ứng dụng của chúng tôi.

Chúng tôi sử dụng dịch vụ KMS (Dịch vụ quản lý khóa) của AWS để tạo và quản lý khóa, đồng thời kiểm soát việc sử dụng mã hóa của nhiều dịch vụ AWS cũng như ứng dụng của chúng tôi.

Lưu trữ

Flo lưu trữ mọi loại dữ liệu, chẳng hạn như siêu dữ liệu, hoạt động, tệp gốc và dữ liệu của khách hàng ở nhiều nơi khác nhau. Tất cả dữ liệu đều được mã hóa bằng KMS ở mỗi địa điểm lưu trữ.

Dữ liệu nhạy cảm của người dùng cuối sẽ bị xóa khỏi nhật ký và các kỹ sư của Flo không có quyền truy cập những dữ liệu này.

Flo lưu trữ mọi loại dữ liệu, chẳng hạn như siêu dữ liệu, hoạt động, tệp gốc và dữ liệu của khách hàng ở nhiều nơi khác nhau. Tất cả dữ liệu đều được mã hóa bằng KMS ở mỗi địa điểm lưu trữ.

Dữ liệu nhạy cảm của người dùng cuối sẽ bị xóa khỏi nhật ký và các kỹ sư của Flo không có quyền truy cập những dữ liệu này.

Môi trường tách biệt

Môi trường Sản xuất (Production) được lưu trữ tách biết với các môi trường khác như Dàn dựng (Staging), Phát triển (Development) và Cơ sở hạ tầng (Infrastructure). Mỗi môi trường nằm trên một tài khoản AWS riêng trong một mạng VPC riêng.

Môi trường Sản xuất (Production) được lưu trữ tách biết với các môi trường khác như Dàn dựng (Staging), Phát triển (Development) và Cơ sở hạ tầng (Infrastructure). Mỗi môi trường nằm trên một tài khoản AWS riêng trong một mạng VPC riêng.

Dữ liệu thanh toán của khách hàng

Tất cả các khoản thanh toán đều do App Store, Google Play hoặc Stripe xử lý. Đây là những đơn vị chịu hoàn toàn trách nhiệm bảo mật đối với hoạt động thanh toán. Flo không lưu trữ bất kỳ thông tin thẻ tín dụng nào.

Tất cả các khoản thanh toán đều do App Store, Google Play hoặc Stripe xử lý. Đây là những đơn vị chịu hoàn toàn trách nhiệm bảo mật đối với hoạt động thanh toán. Flo không lưu trữ bất kỳ thông tin thẻ tín dụng nào.

Bảo mật từ thiết kế
Các kỹ sư Flo tận dụng những kỹ thuật phát triển sản phẩm tốt nhất, tuân thủ các tiêu chuẩn ngành, chẳng hạn như quy trình phát triển và đảm bảo chất lượng được tư liệu hóa đầy đủ. Chúng tôi tuân thủ những nguyên tắc đảm bảo an toàn về tính bí mật, tính toàn vẹn và tính khả dụng của ứng dụng trong quá trình thiết kế nhằm giảm thiểu nguy cơ mắc phải sai sót làm tạo ra lỗ hổng bảo mật.
Cấp độ và sao lưu dịch vụ
Cơ sở hạ tầng của Flo sử dụng nhiều kỹ thuật phân lớp như tự động mở rộng, cân bằng tải, hàng đợi tác vụ và triển khai tuần tự. Các cơ sở dữ liệu của chúng tôi đều được tự động sao lưu đầy đủ mỗi ngày. Tất cả các bản sao lưu đều được mã hóa.
Giám sát và cảnh báo hệ thống
Tại Flo, ứng dụng sản xuất và các thành phần cơ sở hạ tầng cơ bản được giám sát 24 giờ/ngày, 7 ngày/tuần, 365 ngày/năm bởi các hệ thống giám sát chuyên dụng. Cảnh báo quan trọng do các hệ thống này tạo ra sẽ được gửi đến các chủ sở hữu dịch vụ trực 24 giờ/ngày, 7 ngày/tuần, 365 ngày/năm và sẽ được báo cáo phù hợp lên bộ phận quản lý hoạt động.
Kiểm tra lỗ hổng (thâm nhập)
Flo định kỳ thuê các công ty an ninh mạng đầu ngành chuyên thực hiện tấn công thử (red team) để tiến hành các bài kiểm tra thâm nhập đối với cấu hình mạng, cơ sở hạ tầng và các lớp ứng dụng. Phương thức kiểm tra lỗ hổng bảo mật này sử dụng các bộ công cụ bảo mật phổ biến cho ứng dụng web và các chương trình quét để tìm lỗ hổng trong ứng dụng trước khi đưa vào môi trường sản xuất.
Quản lý lưu lượng truy cập
Flo sử dụng bộ sản phẩm bảo mật Cloudflare để tự động chặn lưu lượng truy cập độc hại và đảm bảo độ an toàn cho ứng dụng. Flo hoạt động trơn tru trên điện thoại thông minh của người dùng, bất kể họ đang ở đâu, nhờ tính năng định tuyến lưu lượng truy cập thông minh, nội dung trong ứng dụng giờ đây được phân phối đến người dùng từ máy chủ Cloudflare gần nhất.
Thông báo về Vi phạm dữ liệu và Ứng phó sự cố
Flo đã thiết lập quy trình mô tả những hành động cần thực hiện khi Flo Health biết được bất kỳ loại sự kiện nào được phân loại là một Sự cố, trong đó có Vi phạm Dữ liệu Cá nhân, tuân thủ các nguyên tắc và quy định quốc tế.
An ninh là một phần trong văn hóa công ty của Flo
Ít nhất mỗi năm một lần, tất cả nhân viên và nhà thầu của Flo Health sẽ được đào tạo về ý thức bảo mật và được tập huấn để thực hiện các nghĩa vụ và trách nhiệm liên quan đến bảo mật thông tin của mình, tuân thủ các chính sách, quy trình và thỏa thuận có liên quan. Đội ngũ bảo mật của Flo liên tục đánh giá, cập nhật, kiểm tra, duy trì và nâng cao chất lượng các chương trình về bảo mật và quyền riêng tư của công ty.