ISO/IEC 27001:2022 - HỆ THỐNG QUẢN LÝ AN TOÀN THÔNG TIN

TVQ Việt Nam hỗ trợ doanh nghiệp xây dựng hệ thống quản lý an toàn thông tin theo ISO/IEC 27001:2022. Dịch vụ gồm xác định phạm vi, đánh giá rủi ro, lựa chọn biện pháp kiểm soát và chuẩn bị hồ sơ phục vụ đánh giá chứng nhận.

ISO/IEC 27001:2022 là gì?

ISO/IEC 27001:2022 là tiêu chuẩn quốc tế quy định các yêu cầu đối với Hệ thống quản lý an toàn thông tin, tiếng Anh là Information Security Management System, viết tắt là ISMS.

Tiêu chuẩn giúp tổ chức thiết lập một hệ thống quản lý có cấu trúc để nhận diện, đánh giá và kiểm soát các rủi ro liên quan đến thông tin, dữ liệu, hệ thống công nghệ, con người, quy trình và các bên liên quan.

ISO/IEC 27001 không chỉ dành cho doanh nghiệp công nghệ thông tin. Tiêu chuẩn có thể áp dụng cho tổ chức thuộc nhiều lĩnh vực như sản xuất, thương mại, logistics, tài chính, dịch vụ, phần mềm, điện tử, viễn thông, y tế, giáo dục và các doanh nghiệp tham gia chuỗi cung ứng quốc tế.

Mục tiêu của ISO/IEC 27001

Hệ thống quản lý an toàn thông tin tập trung vào ba nguyên tắc cốt lõi:

1. Tính bảo mật - Confidentiality

Thông tin chỉ được truy cập bởi cá nhân hoặc hệ thống được phép.

2. Tính toàn vẹn - Integrity

Thông tin được bảo vệ khỏi việc thay đổi, sửa chữa hoặc phá hủy trái phép.

3. Tính sẵn sàng - Availability

Thông tin và hệ thống cần thiết có khả năng truy cập và sử dụng khi có nhu cầu hợp lệ.

Việc áp dụng ISO/IEC 27001 giúp doanh nghiệp quản lý rủi ro đối với dữ liệu và thông tin một cách có hệ thống, thay vì chỉ phụ thuộc vào các giải pháp kỹ thuật rời rạc.

Những loại thông tin cần được bảo vệ

Phạm vi ISMS có thể bao gồm:

• Dữ liệu khách hàng.
• Dữ liệu cá nhân.
• Hồ sơ nhân sự.
• Hợp đồng.
• Thông tin tài chính.
• Bản vẽ và tài liệu kỹ thuật.
• Bí quyết công nghệ.
• Mã nguồn và phần mềm.
• Dữ liệu ERP.
• Email.
• Máy chủ.
• Dịch vụ cloud.
• Dữ liệu sao lưu.
• Tài liệu giấy.
• Tài sản trí tuệ.
• Thông tin do khách hàng hoặc đối tác giao quản lý.

Lợi ích khi áp dụng và chứng nhận ISO/IEC 27001

Doanh nghiệp áp dụng ISO/IEC 27001 có thể:

• Nhận diện tài sản thông tin quan trọng.
• Đánh giá rủi ro an toàn thông tin.
• Thiết lập biện pháp kiểm soát phù hợp.
• Giảm nguy cơ mất dữ liệu.
• Giảm nguy cơ truy cập trái phép.
• Tăng khả năng phòng ngừa và ứng phó sự cố.
• Kiểm soát tốt quyền truy cập.
• Nâng cao nhận thức của nhân viên.
• Quản lý rủi ro từ nhà cung cấp.
• Cải thiện quản lý dịch vụ cloud.
• Hỗ trợ đáp ứng yêu cầu của khách hàng quốc tế.
• Tăng độ tin cậy trong chuỗi cung ứng.
• Hỗ trợ đấu thầu và đánh giá nhà cung cấp.
• Tạo bằng chứng độc lập về việc doanh nghiệp đã xây dựng hệ thống quản lý an toàn thông tin phù hợp.

Các yêu cầu chính của ISO/IEC 27001

Toàn bộ các yêu cầu tại Điều 4 đến Điều 10 của tiêu chuẩn đều thuộc phạm vi áp dụng của ISMS. Tổ chức không được tùy ý loại bỏ các yêu cầu này.

Điều 4 - Bối cảnh của tổ chức

Doanh nghiệp cần xác định:

• Các vấn đề nội bộ và bên ngoài có liên quan.
• Các bên quan tâm.
• Yêu cầu của các bên quan tâm.
• Phạm vi ISMS.
• Các quá trình cần thiết của hệ thống.

Điều 5 - Lãnh đạo

Lãnh đạo cần:

• Thể hiện cam kết.
• Thiết lập chính sách an toàn thông tin.
• Phân công vai trò và trách nhiệm.
• Tích hợp ISMS vào hoạt động quản lý của doanh nghiệp.

Điều 6 - Hoạch định

Doanh nghiệp cần:

• Xác định rủi ro và cơ hội.
• Thiết lập phương pháp đánh giá rủi ro an toàn thông tin.
• Thực hiện đánh giá rủi ro.
• Lập kế hoạch xử lý rủi ro.
• Xác định các biện pháp kiểm soát cần thiết.
• Xây dựng Statement of Applicability.
• Thiết lập mục tiêu an toàn thông tin.

Điều 7 - Hỗ trợ

Bao gồm:

• Nguồn lực.
• Năng lực.
• Nhận thức.
• Trao đổi thông tin.
• Quản lý thông tin dạng văn bản.

Điều 8 - Thực hiện

Tổ chức cần:

• Thực hiện các quá trình đã hoạch định.
• Thực hiện đánh giá rủi ro định kỳ hoặc khi có thay đổi.
• Triển khai kế hoạch xử lý rủi ro.

Điều 9 - Đánh giá kết quả hoạt động

Bao gồm:

• Theo dõi và đo lường.
• Đánh giá hiệu lực của ISMS.
• Đánh giá nội bộ.
• Xem xét của lãnh đạo.

Điều 10 - Cải tiến

Bao gồm:

• Xử lý sự không phù hợp.
• Hành động khắc phục.
• Cải tiến liên tục hệ thống.

Đánh giá rủi ro an toàn thông tin

Đánh giá rủi ro là nền tảng quan trọng của ISO/IEC 27001.

Doanh nghiệp cần xây dựng phương pháp phù hợp để:

1. Xác định tài sản hoặc đối tượng cần bảo vệ.
2. Xác định nguy cơ.
3. Xác định điểm yếu.
4. Xác định hậu quả.
5. Đánh giá khả năng xảy ra.
6. Xác định mức rủi ro.
7. So sánh với tiêu chí chấp nhận rủi ro.
8. Lập phương án xử lý.

Không nên sao chép nguyên bảng rủi ro từ doanh nghiệp khác vì mỗi tổ chức có hệ thống, dữ liệu, công nghệ và môi trường hoạt động khác nhau.

Xử lý rủi ro

Các phương án xử lý có thể bao gồm:

• Giảm rủi ro.
• Tránh rủi ro.
• Chia sẻ hoặc chuyển giao rủi ro.
• Chấp nhận rủi ro khi phù hợp.

Từ quá trình xử lý rủi ro, tổ chức xác định các biện pháp kiểm soát cần thiết.

Phụ lục A và 93 biện pháp kiểm soát

ISO/IEC 27001:2022 có 93 biện pháp kiểm soát tham chiếu trong Annex A, chia thành bốn nhóm:

• 37 biện pháp về tổ chức.
• 8 biện pháp về con người.
• 14 biện pháp vật lý.
• 34 biện pháp công nghệ.

Một điểm cần hiểu đúng là doanh nghiệp không áp dụng máy móc toàn bộ 93 biện pháp.

Tổ chức phải xác định biện pháp kiểm soát cần thiết từ quá trình xử lý rủi ro, sau đó so sánh với Annex A để bảo đảm không bỏ sót biện pháp cần thiết. Annex A không nên được sử dụng như một checklist bắt buộc áp dụng toàn bộ.

Statement of Applicability - SoA

Tuyên bố áp dụng, hay Statement of Applicability, là một hồ sơ quan trọng trong hệ thống ISO/IEC 27001.

SoA cần phản ánh các biện pháp kiểm soát cần thiết của tổ chức và giải thích việc áp dụng hoặc không áp dụng các biện pháp tham chiếu phù hợp.

Có thể hiểu theo chuỗi:

Rủi ro -> Biện pháp xử lý -> Biện pháp kiểm soát -> SoA -> Bằng chứng áp dụng

Nếu doanh nghiệp sử dụng biện pháp kiểm soát ngoài Annex A thì biện pháp đó vẫn cần được phản ánh phù hợp trong SoA.

Các nhóm biện pháp kiểm soát quan trọng

Nhóm tổ chức

Có thể gồm:

• Chính sách an toàn thông tin.
• Vai trò và trách nhiệm.
• Quản lý tài sản.
• Quản lý nhà cung cấp.
• Quản lý sự cố.
• Tính liên tục kinh doanh.
• Quản lý tuân thủ.
• Quản lý dịch vụ bên ngoài.

Nhóm con người

Có thể gồm:

• Trách nhiệm bảo mật.
• Đào tạo nhận thức.
• Cam kết bảo mật.
• Trách nhiệm khi thay đổi vị trí.
• Trách nhiệm khi chấm dứt hợp đồng.
• Báo cáo sự cố.

Nhóm vật lý

Có thể gồm:

• Kiểm soát ra vào.
• Khu vực an toàn.
• Bảo vệ phòng máy.
• Bảo vệ thiết bị.
• Quản lý phương tiện lưu trữ.
• Bảo vệ thiết bị ngoài cơ sở.

Nhóm công nghệ

Có thể gồm:

• Quản lý tài khoản.
• Kiểm soát truy cập.
• Xác thực.
• Mã hóa.
• Sao lưu.
• Logging.
• Giám sát.
• An ninh mạng.
• Quản lý lỗ hổng.
• Quản lý cấu hình.
• Phòng chống mã độc.
• Bảo mật dữ liệu.
• Phát triển phần mềm an toàn.
• Bảo mật cloud.

ISO/IEC 27001 và biến đổi khí hậu

ISO đã ban hành ISO/IEC 27001:2022/Amd 1:2024. Amendment này áp dụng trực tiếp cho ISO/IEC 27001:2022.

Tổ chức cần xem xét biến đổi khí hậu có phải là vấn đề liên quan đến bối cảnh của mình hay không.

Đối với ISMS, vấn đề này có thể liên quan đến:

• Trung tâm dữ liệu.
• Nguồn điện.
• Hệ thống làm mát.
• Thiên tai.
• Hạ tầng viễn thông.
• Địa điểm lưu trữ.
• Dịch vụ cloud.
• Khả năng duy trì hoạt động.

Dịch vụ ISO/IEC 27001:2022 của TVQ Việt Nam

TVQ Việt Nam cung cấp dịch vụ từ giai đoạn xây dựng hệ thống đến tổ chức đánh giá cấp chứng chỉ.

Giai đoạn 1 - Khảo sát và xác định phạm vi

TVQ hỗ trợ doanh nghiệp:

• Khảo sát hiện trạng.
• Xác định phạm vi ISMS.
• Xác định các địa điểm và hoạt động.
• Xác định tài sản thông tin.
• Xác định yêu cầu khách hàng và pháp lý liên quan.

Giai đoạn 2 - Đánh giá khoảng cách

Đối chiếu hệ thống hiện có với ISO/IEC 27001:2022 để xác định:

• Nội dung đã đáp ứng.
• Nội dung chưa đáp ứng.
• Rủi ro.
• Biện pháp kiểm soát cần bổ sung.
• Hồ sơ cần xây dựng.

Giai đoạn 3 - Đánh giá rủi ro

TVQ hỗ trợ:

• Xây dựng phương pháp.
• Nhận diện rủi ro.
• Phân tích rủi ro.
• Đánh giá mức rủi ro.
• Xác định phương án xử lý.
• Lập Risk Treatment Plan.

Giai đoạn 4 - Xây dựng Statement of Applicability

Hỗ trợ xây dựng SoA phù hợp với kết quả đánh giá và xử lý rủi ro.

Giai đoạn 5 - Xây dựng hệ thống tài liệu

Có thể bao gồm:

• Chính sách an toàn thông tin.
• Quy trình quản lý tài sản.
• Quản lý truy cập.
• Quản lý tài khoản.
• Sao lưu.
• Quản lý sự cố.
• Quản lý nhà cung cấp.
• Quản lý lỗ hổng.
• Quản lý thay đổi.
• Quản lý thiết bị.
• Làm việc từ xa.
• Bảo mật nhân sự.
• Kiểm soát cloud.
• Business continuity.
• Các biểu mẫu và hồ sơ liên quan.

Giai đoạn 6 - Đào tạo

Có thể bao gồm:

• Nhận thức ISO/IEC 27001.
• Nhận thức an toàn thông tin.
• Đánh giá rủi ro.
• Đào tạo đánh giá viên nội bộ.
• Hướng dẫn vận hành ISMS.

Giai đoạn 7 - Hướng dẫn áp dụng

TVQ hỗ trợ doanh nghiệp triển khai các chính sách, quy trình và biện pháp kiểm soát vào hoạt động thực tế.

Giai đoạn 8 - Đánh giá nội bộ

Hỗ trợ:

• Lập kế hoạch.
• Thực hiện đánh giá.
• Ghi nhận điểm chưa phù hợp.
• Theo dõi khắc phục.

Giai đoạn 9 - Xem xét của lãnh đạo

Hỗ trợ chuẩn bị dữ liệu, đầu vào và hồ sơ phục vụ hoạt động xem xét của lãnh đạo.

Giai đoạn 10 - Đánh giá trước chứng nhận

TVQ rà soát tổng thể:

• Phạm vi.
• Risk Assessment.
• Risk Treatment Plan.
• SoA.
• Chính sách.
• Quy trình.
• Hồ sơ.
• Biện pháp kiểm soát.
• Đánh giá nội bộ.
• Xem xét của lãnh đạo.
• Hành động khắc phục.

Đánh giá chứng nhận và cấp chứng chỉ ISO/IEC 27001:2022

Sau khi hệ thống đã sẵn sàng, TVQ Việt Nam có thể hỗ trợ khách hàng lựa chọn và phối hợp với tổ chức chứng nhận trong nước hoặc quốc tế phù hợp để thực hiện đánh giá chứng nhận.

Hoạt động đánh giá chứng nhận hệ thống quản lý về bản chất là hoạt động đánh giá sự phù hợp của bên thứ ba. ISO/IEC 17021-1 quy định các nguyên tắc về năng lực, tính nhất quán và tính khách quan đối với tổ chức thực hiện đánh giá và chứng nhận hệ thống quản lý.

Quá trình thông thường có thể gồm:

1. Xác nhận phạm vi chứng nhận

Xác định:

• Tên tổ chức.
• Địa chỉ.
• Phạm vi hoạt động.
• Số lượng địa điểm.
• Quy mô nhân sự.
• Phạm vi ISMS.

2. Lựa chọn tổ chức chứng nhận

Tùy yêu cầu khách hàng, thị trường hoặc chuỗi cung ứng, TVQ có thể hỗ trợ lựa chọn tổ chức chứng nhận phù hợp.

3. Đánh giá giai đoạn 1

Tổ chức chứng nhận đánh giá mức độ sẵn sàng của hệ thống và tài liệu.

4. Khắc phục sau giai đoạn 1

TVQ hỗ trợ doanh nghiệp xử lý các vấn đề cần hoàn thiện trước giai đoạn 2.

5. Đánh giá giai đoạn 2

Tổ chức chứng nhận đánh giá việc áp dụng thực tế của ISMS.

6. Khắc phục điểm chưa phù hợp

Nếu có NC hoặc yêu cầu khắc phục, TVQ hỗ trợ doanh nghiệp:

• Phân tích nguyên nhân.
• Lập hành động khắc phục.
• Chuẩn bị bằng chứng.
• Hoàn thiện hồ sơ gửi tổ chức chứng nhận.

7. Xem xét và cấp chứng chỉ

Khi kết quả đánh giá đáp ứng yêu cầu và các điểm chưa phù hợp được xử lý theo quy trình của tổ chức chứng nhận, tổ chức chứng nhận sẽ thực hiện xem xét và phát hành chứng chỉ ISO/IEC 27001:2022.

TVQ Việt Nam hỗ trợ khách hàng trong toàn bộ quá trình từ xây dựng hệ thống đến khi hoàn thành quá trình đánh giá và nhận chứng chỉ.

Tổ chức chứng nhận trong nước và quốc tế

Tùy nhu cầu, TVQ có thể hỗ trợ doanh nghiệp lựa chọn:

• Tổ chức chứng nhận trong nước.
• Tổ chức chứng nhận quốc tế.
• Chứng chỉ phù hợp yêu cầu khách hàng.
• Chứng chỉ phù hợp thị trường xuất khẩu.
• Phương án chứng nhận phù hợp yêu cầu đấu thầu hoặc chuỗi cung ứng.

Phạm vi công nhận và tư cách của từng tổ chức chứng nhận cần được xác nhận theo từng dự án cụ thể.

Nguyên tắc độc lập trong chứng nhận

Để bảo đảm giá trị của chứng chỉ, hoạt động chứng nhận phải do tổ chức chứng nhận có thẩm quyền thực hiện độc lập theo quy trình của họ.

TVQ có thể thực hiện vai trò tư vấn, đào tạo, hỗ trợ triển khai và điều phối quá trình chứng nhận quyết định cấp chứng chỉ thuộc về tổ chức chứng nhận sau khi hoàn thành đánh giá và xem xét kết quả.

Cách làm này phù hợp với nguyên tắc tính khách quan và đánh giá bên thứ ba trong chứng nhận hệ thống quản lý.

Dịch vụ trọn gói ISO/IEC 27001 của TVQ Việt Nam

Khách hàng có thể lựa chọn:

Gói 1 - Tư vấn ISO/IEC 27001

Tư vấn xây dựng và hoàn thiện hệ thống.

Gói 2 - Đánh giá khoảng cách và chuyển đổi

Dành cho doanh nghiệp đã có hệ thống hoặc đang sử dụng tài liệu phiên bản cũ.

Gói 3 - Tư vấn và chứng nhận trọn gói

Bao gồm:

• Khảo sát.
• Đánh giá khoảng cách.
• Xây dựng ISMS.
• Đánh giá rủi ro.
• SoA.
• Đào tạo.
• Đánh giá nội bộ.
• Hoàn thiện hồ sơ.
• Chuẩn bị chứng nhận.
• Phối hợp tổ chức chứng nhận thực hiện đánh giá.
• Hỗ trợ khắc phục sau đánh giá.
• Theo dõi quá trình phát hành chứng chỉ.

Liên hệ TVQ Việt Nam để được tư vấn phương án triển khai và đánh giá cấp chứng chỉ ISO/IEC 27001:2022 phù hợp với yêu cầu của doanh nghiệp, khách hàng và thị trường.

Chi phí tư vấn và chứng nhận ISO/IEC 27001 bao nhiêu?

Chi phí được xác định theo phạm vi ISMS, số địa điểm, quy mô nhân sự, loại dữ liệu, hạ tầng công nghệ, nhà cung cấp và mức độ sẵn sàng của các biện pháp kiểm soát. Báo giá cần làm rõ phí tư vấn, phí đánh giá chứng nhận, các khoản triển khai bổ sung và chi phí duy trì nếu thuộc phạm vi đề nghị. TVQ lập phương án phù hợp sau khi nhận thông tin doanh nghiệp.

Thời gian thực hiện ISO/IEC 27001 mất bao lâu?

Tiến độ phụ thuộc vào hiện trạng hệ thống, khả năng bố trí nhân sự và thời gian hoàn thiện bằng chứng áp dụng. Các công việc cần sắp xếp gồm xác định phạm vi, kiểm kê tài sản, đánh giá rủi ro, lập kế hoạch xử lý và SoA, áp dụng biện pháp kiểm soát, đánh giá nội bộ và khắc phục. Lịch đánh giá và xem xét cấp chứng chỉ được xác nhận với tổ chức chứng nhận khi hệ thống sẵn sàng.

Hồ sơ cần chuẩn bị

Doanh nghiệp nên chuẩn bị mô tả dịch vụ, sơ đồ tổ chức và hạ tầng, danh mục tài sản thông tin, các chính sách đang áp dụng, hồ sơ kiểm soát truy cập, sao lưu, sự cố và nhà cung cấp. TVQ rà soát hồ sơ để xác định phần có thể kế thừa và phần cần bổ sung.

Câu hỏi thường gặp

Doanh nghiệp có phải áp dụng tất cả biện pháp kiểm soát tham chiếu không?

Việc lựa chọn biện pháp kiểm soát cần dựa trên rủi ro và yêu cầu áp dụng. Tuyên bố áp dụng SoA thể hiện các biện pháp cần thiết cùng căn cứ lựa chọn hoặc không áp dụng những biện pháp tham chiếu liên quan.

TVQ có trực tiếp quyết định cấp chứng chỉ không?

TVQ tư vấn, đào tạo và hỗ trợ doanh nghiệp chuẩn bị đánh giá. Hoạt động đánh giá và quyết định cấp chứng chỉ thuộc tổ chức chứng nhận theo phạm vi và quy trình của họ.

Liên hệ tư vấn ISO/IEC 27001

Để nhận phương án và báo giá, cung cấp ngành nghề, phạm vi cần thực hiện, số nhân sự, số địa điểm, hiện trạng hệ thống và thời hạn mong muốn qua tvqvietnamco.ltd@gmail.com hoặc hotline 0938 065 963.

Dịch vụ liên quan: Tư vấn ISO 9001 | Tư vấn ISO 14001 | Tư vấn ISO 45001 | Tư vấn ISO 13485.