Trung tâm Bảo mật & Tin cậy

Bảo mật là nền tảng, không phải tính năng bổ sung.

Cách Kiriwake bảo vệ dữ liệu nhân sự, những gì chúng tôi đã kiểm tra và kiểm tra bằng cách nào, những điểm còn thiếu, và cách báo cáo lỗ hổng. Biện pháp hiện có được tách riêng khỏi kế hoạch, và mỗi kết quả đều ghi ngày.

Bảo vệ và mã hóa dữ liệu

Mã hóa khi truyền: Kết nối giữa trình duyệt và Kiriwake dùng HTTPS, chỉ với TLS 1.2 hoặc TLS 1.3. Yêu cầu HTTP được chuyển hướng sang HTTPS, cả trang web và API đều gửi HSTS, và kết nối giữa máy chủ và cơ sở dữ liệu được mã hóa bằng TLS.
Mã hóa dữ liệu cá nhân theo từng trường: Họ tên, thông tin liên lạc, địa chỉ, ngày sinh của nhân viên, thông tin gia đình, tờ khai điều chỉnh cuối năm, phiếu lương, giờ chấm công, chi tiết chi phí, nội dung đơn từ và lịch sử thao tác… được mã hóa theo từng trường trước khi lưu (AES-256-GCM). Mỗi giá trị mã hóa gắn với tổ chức và bản ghi của nó, nên không đọc được nếu bị chuyển sang bản ghi khác.
Quản lý khóa: Khóa mã hóa được quản lý bằng AWS Key Management Service (AWS KMS), tách biệt với cơ sở dữ liệu. Quyền giải mã được giới hạn trong phạm vi cần thiết để vận hành dịch vụ.
Lưu trữ được mã hóa: Bộ nhớ cơ sở dữ liệu, bản sao lưu và tệp giấy tờ cũng được mã hóa bằng chức năng mã hóa của nhà cung cấp đám mây.
Phạm vi mã hóa: Một số trường dùng để tổng hợp và tìm kiếm, như ngày làm việc, số giờ làm và số tiền chi phí, không được mã hóa theo từng trường (nhưng vẫn nằm trên bộ nhớ được mã hóa). Mã hóa không thay thế kiểm soát truy cập: người dùng có quyền sẽ thấy nội dung đã giải mã.

Kiểm soát truy cập và cách ly giữa các tổ chức

Phân quyền theo vai trò: Các vai trò chủ sở hữu, quản trị, thành viên, người xem và nhân viên giới hạn thao tác và thông tin của từng người. Thay đổi cài đặt và quyết định phê duyệt chỉ dành cho các vai trò được phép.
Ẩn trường nhạy cảm theo vai trò: Các trường nhạy cảm như ngày sinh và địa chỉ không hiển thị cho người xem và không có trong tệp CSV người xem xuất.
Tách dữ liệu theo tổ chức: Mọi dữ liệu nghiệp vụ thuộc về một tổ chức, và máy chủ chỉ trả về dữ liệu của tổ chức mà người dùng đang đăng nhập thuộc về. Kiểm thử tự động kiểm tra mọi API truy cập bản ghi theo mã định danh trước truy cập từ tổ chức khác.
Quyền phê duyệt: Nhân viên chỉ thao tác với hồ sơ và đơn của chính mình. Cấp trên chỉ quyết định đơn của cấp dưới, và không ai duyệt được đơn của chính mình hoặc đơn liên quan đến mình.
Liên kết cổng nhân viên: Liên kết dùng giá trị ngẫu nhiên khó đoán, và máy chủ chỉ lưu giá trị băm. Nhân viên phụ trách có thể vô hiệu hóa liên kết bất cứ lúc nào, và khi hồ sơ nhân viên được lưu trữ, liên kết cũng tự động bị vô hiệu hóa.
Mặc định từ chối truy cập: API chỉ trả lời người dùng đã đăng nhập, trừ các điểm truy cập được chủ ý công khai (đăng nhập, đăng ký và cổng nhân viên), nên một API mới không thể vô tình bị công khai.

Xác thực và bảo mật tài khoản

Bắt buộc xác thực hai bước: Mọi tài khoản phải xác minh email và bật xác thực hai bước (ứng dụng xác thực hoặc mã qua email). Có mã khôi phục để dùng khi không dùng được ứng dụng.
Bảo vệ đăng nhập: Giới hạn số lần thử đăng nhập và số yêu cầu gửi tới API, từ chối mật khẩu ngắn hoặc phổ biến, và chống CSRF.
Bảo vệ phiên: Phiên dùng cookie HttpOnly và Secure. Phiên tự kết thúc sau 8 giờ không thao tác (việc tự động làm mới màn hình không tính là thao tác) và chậm nhất 12 giờ sau khi đăng nhập. Mã định danh phiên không được lưu ở dạng gốc.
Bảo vệ khi thay đổi cài đặt bảo mật: Khi đổi mật khẩu hoặc cài đặt xác thực hai bước, các thiết bị khác sẽ bị đăng xuất và thay đổi được thông báo qua email.

Lưu trữ giấy tờ và truy cập tệp

Vùng lưu trữ không công khai: Giấy tờ, biên lai, tài liệu phân phát và tệp PDF phiếu lương được lưu mã hóa ở vùng lưu trữ không có URL công khai.
Máy chủ kiểm tra quyền trước khi cho xem: Tệp chỉ được gửi sau khi máy chủ kiểm tra quyền của người dùng đang đăng nhập, và trình duyệt, proxy không được lưu bộ nhớ đệm.
Chỉ nhân viên liên quan và người phụ trách: Phiếu lương và tài liệu phân phát chỉ nhân viên liên quan và người phụ trách có quyền mới xem được. Phiếu lương chỉ hiển thị trên màn hình khi nhân viên đồng ý nhận bản điện tử.
Kiểm tra tệp: Chỉ nhận tệp PDF, JPEG và PNG, và định dạng được kiểm tra theo nội dung tệp chứ không theo phần mở rộng.

Lịch sử thao tác và nhật ký

Lịch sử thao tác: Các thao tác chính với nhân viên, hồ sơ, giấy tờ, đơn từ và cài đặt được ghi lại kèm người thực hiện và thời gian. Nội dung lịch sử được lưu mã hóa.
Nhật ký bảo mật tài khoản: Việc đăng nhập, nhập sai mật khẩu hoặc mã, đăng xuất và thay đổi xác thực hai bước được ghi lại theo từng tài khoản, và mỗi người dùng có thể xem nhật ký của mình.
Không ghi dữ liệu cá nhân vào nhật ký: Nhật ký ứng dụng chỉ ghi mã định danh và loại lỗi, không ghi họ tên hay nội dung giấy tờ (được kiểm thử tự động).

Sao lưu và vòng đời dữ liệu

Sao lưu: Cơ sở dữ liệu được sao lưu tự động hằng ngày, và bản sao lưu được mã hóa.
Thời gian lưu giấy tờ: Mỗi tổ chức đặt thời gian lưu tệp giấy tờ của các hồ sơ đã hoàn tất hoặc đã hủy, từ 30 ngày đến 10 năm.

Xử lý dữ liệu

Dữ liệu điều chỉnh thuế cuối năm: Tờ khai điều chỉnh thuế cuối năm được lưu đúng như nhân viên đã nộp, và các thay đổi do yêu cầu chỉnh sửa hoặc nộp lại được giữ dưới dạng lịch sử sửa đổi. Người xem không thể xem dữ liệu tờ khai.
Không thu thập My Number: Kiriwake không thu thập My Number (マイナンバー – mã số cá nhân). Chúng tôi đề nghị khách hàng không tải lên giấy tờ có ghi My Number hoặc thông tin sức khỏe như kết quả khám sức khỏe.
Xử lý AI theo lựa chọn: Xử lý giấy tờ bằng AI mặc định tắt. Chỉ khi quản trị viên của tổ chức bật lên, giấy tờ mới được xử lý thông qua API của nhà cung cấp AI bên ngoài.
Gửi tối thiểu dữ liệu cho AI: Khi xử lý bằng AI, chỉ tệp giấy tờ và loại giấy tờ được gửi đi — không gửi họ tên nhân viên hay các thông tin khác lưu trong Kiriwake. Việc xử lý dữ liệu của nhà cung cấp tuân theo điều khoản riêng của họ; chúng tôi sẽ thông báo nhà cung cấp được sử dụng khi bắt đầu triển khai.
Lưu giữ và xóa: Mỗi tổ chức có thể thiết lập thời gian lưu giữ tệp giấy tờ của các hồ sơ đã hoàn tất hoặc đã hủy (từ 30 ngày đến 10 năm), và một quy trình xóa sẽ xóa tệp sau thời hạn đó.
Tự động đọc biên lai là tùy chọn: Tính năng tự động đọc biên lai chi phí chỉ hoạt động khi quản trị viên tổ chức đã bật xử lý AI. Chỉ tệp biên lai được gửi đi, không gửi họ tên hay dữ liệu đã đăng ký khác. Kết quả là ước tính và nhân viên kiểm tra trước khi lưu.
Hồ sơ phải lưu giữ theo luật: Hồ sơ chấm công, nghỉ phép và đơn thanh toán chi phí kèm biên lai không bị tự động xóa, vì luật lao động và luật thuế yêu cầu lưu giữ. Yêu cầu xóa được xử lý cùng tổ chức khách hàng, có xét đến thời hạn lưu giữ theo luật.

Các tiêu chuẩn và khuôn khổ được tham khảo

Các hoạt động bảo mật tham khảo những tiêu chuẩn và khuôn khổ quốc tế, bao gồm ISO/IEC 27001.

ISO/IEC 27001:2022: Tiêu chuẩn quốc tế quy định yêu cầu đối với hệ thống quản lý an toàn thông tin (ISMS). Cách tiếp cận lựa chọn biện pháp kiểm soát dựa trên rủi ro là tài liệu tham khảo chính của chúng tôi.
ISO/IEC 27017 và ISO/IEC 27018: Chúng tôi tham khảo các phần liên quan đến Kiriwake trong các biện pháp kiểm soát an toàn thông tin cho dịch vụ đám mây (ISO/IEC 27017) và quy tắc thực hành bảo vệ dữ liệu cá nhân được xử lý trên đám mây công cộng (ISO/IEC 27018).
Khuôn khổ An ninh mạng NIST 2.0: Chúng tôi dùng khuôn khổ của Viện Tiêu chuẩn và Công nghệ Quốc gia Hoa Kỳ (NIST) làm tham khảo khi sắp xếp các hoạt động bảo mật.
OWASP ASVS: Tiêu chuẩn kiểm chứng bảo mật ứng dụng của OWASP (ASVS) là tham khảo khi thiết kế và kiểm tra xác thực, kiểm soát truy cập và bảo vệ dữ liệu.

Kiriwake chưa được chứng nhận ISO/IEC 27001, ISO/IEC 27017 hay ISO/IEC 27018. Chúng tôi không tuyên bố tuân thủ các tiêu chuẩn này hay có đánh giá của bên thứ ba như SOC 2.

Kết quả đánh giá

Các kiểm tra độc lập, miễn phí mà bất kỳ ai cũng có thể chạy lại với máy chủ công khai của chúng tôi, cùng các kiểm tra tự động đối với mã nguồn và thư viện phụ thuộc. Cập nhật lần cuối ngày 06/11/2026.

Cập nhật lần cuối: 06/11/2026

Cấu hình TLS: kiriwake.jp
A+
Qualys SSL Labs. Chỉ chấp nhận TLS 1.2 và TLS 1.3, và trang web gửi HSTS một năm.
Chạy lại kiểm tra này
Cấu hình TLS: api.kiriwake.jp
A+
Qualys SSL Labs. Chỉ TLS 1.2 và TLS 1.3, HSTS một năm, và bảo mật chuyển tiếp (forward secrecy) với mọi máy khách được kiểm tra.
Chạy lại kiểm tra này
Tiêu đề bảo mật HTTP: kiriwake.jp
B (75/100)
Mozilla HTTP Observatory. Trang web gửi HSTS, X-Content-Type-Options, X-Frame-Options, Referrer-Policy và Cross-Origin-Opener-Policy. Điểm vẫn bị trừ vì Content Security Policy đang ở chế độ chỉ báo cáo.
Chạy lại kiểm tra này
Tiêu đề bảo mật HTTP: api.kiriwake.jp
A+ (135/100)
Mozilla HTTP Observatory. API gửi Content Security Policy nghiêm ngặt, HSTS và các tiêu đề được khuyến nghị khác. Điểm trừ duy nhất còn lại là một cookie của bộ cân bằng tải không có thuộc tính Secure.
Chạy lại kiểm tra này
Lỗ hổng đã biết trong thư viện phụ thuộc
0
pip-audit (Python) và npm audit (các gói JavaScript dùng trong môi trường thực tế), sau các bản cập nhật tháng 10/2026. Cả hai kiểm tra nay chạy tự động mỗi khi mã nguồn thay đổi.
Thông tin bí mật trong mã nguồn và lịch sử thay đổi
Không có
Quét tự động toàn bộ tệp nguồn và toàn bộ lịch sử thay đổi không tìm thấy thông tin đăng nhập hay khóa nào. Mỗi kết quả do công cụ phát hiện đều được kiểm tra thủ công.

Đây là kết quả tại một thời điểm. Điểm cao không có nghĩa là dịch vụ không có lỗ hổng, và các kiểm tra này không thay thế cho kiểm thử xâm nhập.

Tự đánh giá theo OWASP ASVS 5.0

Chúng tôi đã đánh giá ứng dụng theo mọi yêu cầu của Tiêu chuẩn Xác minh Bảo mật Ứng dụng OWASP ASVS 5.0.0, dựa trên bằng chứng từ mã nguồn, kiểm thử và kiểm tra trên môi trường thực tế.

Cấp độ	Số yêu cầu	Đáp ứng	Đáp ứng một phần	Chưa đáp ứng	Chưa xác minh	Không áp dụng
L1	70	46	12	1	0	11
L2	253	105	64	9	5	70

Đây là đánh giá của chính chúng tôi, không phải chứng nhận hay kiểm toán độc lập; OWASP không cấp chứng nhận cho ứng dụng. Cấp độ 2 bao gồm các yêu cầu của cấp độ 1. Chưa có cấp độ nào được đáp ứng đầy đủ. "Không áp dụng" là các yêu cầu cho tính năng Kiriwake không có, như OAuth và WebSocket.

Bản đánh giá chi tiết, kèm bằng chứng cho từng yêu cầu, là tài liệu nội bộ. Nếu cần xem xét bảo mật, vui lòng liên hệ với chúng tôi.

Các hạn chế hiện có

Những gì chúng tôi chưa có hoặc chưa thực hiện. Chúng tôi liệt kê để bạn có thể đánh giá dịch vụ một cách chính xác.

Không có chứng nhận hay xác nhận của bên thứ ba: chúng tôi không có chứng nhận ISO/IEC 27001, ISO/IEC 27017, ISO/IEC 27018 và không có báo cáo SOC 2. Vì vậy, trang này không hiển thị huy hiệu bảo mật nào.
Chưa có đợt kiểm thử xâm nhập nào do bên thứ ba thực hiện. Kết quả trên trang này đến từ các kiểm tra tự động miễn phí và đánh giá của chính chúng tôi.
Content Security Policy của trang web đang ở chế độ chỉ báo cáo: trình duyệt kiểm tra nhưng chưa chặn những gì vi phạm.
Tệp được tải lên có được kiểm tra định dạng nhưng chưa được quét mã độc.
Bản sao lưu cơ sở dữ liệu được giữ trong thời gian ngắn, và việc khôi phục từ bản sao lưu chưa được diễn tập.
Quy trình ứng phó sự cố đã được lập thành văn bản nhưng chưa được diễn tập, và cảnh báo bảo mật chưa được tự động gửi tới người phụ trách.
Chủ sở hữu tổ chức chưa thể tự thu hồi quyền truy cập của một nhân viên phụ trách hoặc kết thúc phiên đăng nhập của họ. Khi cần, vui lòng liên hệ với chúng tôi.
Google Analytics và Cloudflare Web Analytics chạy trên các trang công khai của trang web. Chúng không được tải trong ứng dụng hay cổng thông tin nhân viên.

Báo cáo lỗ hổng

Nếu bạn cho rằng mình đã tìm thấy lỗ hổng bảo mật trong Kiriwake, vui lòng báo riêng cho chúng tôi. Chúng tôi xác nhận đã nhận báo cáo trong vòng 3 ngày làm việc (giờ Nhật Bản) và cập nhật cho bạn cho đến khi lỗi được khắc phục.

Cho chúng tôi biết trang hoặc tính năng, các bước tái hiện và mức ảnh hưởng bạn dự đoán.
Không truy cập, thay đổi hay giữ dữ liệu không phải của bạn, và không kiểm tra bằng tài khoản của tổ chức khác.
Không thực hiện kiểm tra từ chối dịch vụ (DoS), quét tự động với số lượng lớn hay tấn công phi kỹ thuật (social engineering).
Vui lòng cho chúng tôi thời gian khắc phục trước khi công bố.
Chúng tôi không có chương trình thưởng (bug bounty).

Biểu mẫu liên hệ

Các bước tiếp theo

Các mục sau hiện chưa được cung cấp hoặc triển khai. Chúng tôi ưu tiên dựa trên ý kiến từ giai đoạn thí điểm.

Đăng nhập một lần (SSO)
Giới hạn truy cập theo địa chỉ IP
Xuất lịch sử thao tác
Đánh giá bảo mật bởi bên thứ ba (ví dụ kiểm thử xâm nhập)
Áp dụng bắt buộc Content Security Policy cho trang web
Quét mã độc cho tệp được tải lên
Diễn tập ứng phó sự cố định kỳ
Kéo dài thời gian lưu bản sao lưu và diễn tập khôi phục định kỳ
Tự động xóa tệp giấy tờ khi hết thời gian lưu

Câu hỏi về bảo mật

Đối với bảng câu hỏi bảo mật hoặc câu hỏi về cách xử lý dữ liệu, vui lòng dùng biểu mẫu liên hệ. Để báo cáo lỗ hổng, vui lòng xem mục "Báo cáo lỗ hổng" ở trên.

Liên hệ