ISO/IEC 27001:2022 là tiêu chuẩn quốc tế quy định các yêu cầu đối với Hệ thống quản lý an toàn thông tin – Information Security Management System (ISMS). Tiêu chuẩn giúp tổ chức quản lý rủi ro liên quan đến thông tin một cách có hệ thống, thay vì chỉ phụ thuộc vào các giải pháp kỹ thuật riêng lẻ.

Chứng nhận ISO/IEC 27001:2022 cung cấp bằng chứng độc lập rằng ISMS của tổ chức đã được đánh giá theo các yêu cầu áp dụng của tiêu chuẩn.

1. ISO/IEC 27001:2022 quản lý vấn đề gì?

ISO/IEC 27001 tập trung vào việc quản lý an toàn thông tin trên phạm vi toàn tổ chức hoặc phạm vi ISMS đã được xác định.

Ba thuộc tính nền tảng thường được nhắc đến gồm:

• Confidentiality – Tính bảo mật: thông tin chỉ được truy cập bởi những đối tượng được phép;
• Integrity – Tính toàn vẹn: thông tin được bảo vệ khỏi thay đổi hoặc xử lý không phù hợp;
• Availability – Tính sẵn sàng: thông tin và hệ thống cần thiết có thể được truy cập khi có nhu cầu hợp lệ.

2. ISMS là gì?

ISMS không đồng nghĩa với hệ thống firewall, antivirus hoặc một bộ tài liệu ISO.

Một ISMS bao gồm nhiều yếu tố liên kết với nhau như:

• Bối cảnh và phạm vi quản lý an toàn thông tin;
• Vai trò và trách nhiệm;
• Chính sách và mục tiêu an toàn thông tin;
• Đánh giá và xử lý rủi ro;
• Các quá trình vận hành;
• Con người, công nghệ và cơ sở vật chất;
• Đánh giá nội bộ, xem xét của lãnh đạo và cải tiến.

Vì vậy, ISO/IEC 27001 cần được nhìn nhận như một hệ thống quản lý của doanh nghiệp, không chỉ là trách nhiệm riêng của bộ phận IT.

3. ISO/IEC 27001:2022 gồm những phần chính nào?

Các yêu cầu của hệ thống quản lý tập trung tại Clause 4 đến Clause 10, bao gồm bối cảnh tổ chức, lãnh đạo, hoạch định, hỗ trợ, vận hành, đánh giá kết quả hoạt động và cải tiến.

Bên cạnh đó, Annex A của phiên bản 2022 gồm 93 kiểm soát được tổ chức thành 4 nhóm:

• Organizational controls – Kiểm soát tổ chức;
• People controls – Kiểm soát con người;
• Physical controls – Kiểm soát vật lý;
• Technological controls – Kiểm soát công nghệ.

4. ISO/IEC 27001 có phải chỉ dành cho công ty CNTT?

Không.

ISO/IEC 27001 có thể được áp dụng cho nhiều loại hình tổ chức vì hầu hết doanh nghiệp hiện nay đều tạo ra, lưu trữ, xử lý hoặc trao đổi thông tin.

Mức độ phức tạp của ISMS sẽ khác nhau tùy theo quy mô, hoạt động, công nghệ, loại thông tin, yêu cầu khách hàng và rủi ro của từng tổ chức.

5. Doanh nghiệp nào nên cân nhắc chứng nhận ISO/IEC 27001?

Chứng nhận có thể đặc biệt phù hợp với các tổ chức:

• Xử lý dữ liệu khách hàng hoặc thông tin nhạy cảm;
• Phát triển phần mềm, SaaS hoặc cung cấp dịch vụ CNTT;
• Cung cấp dịch vụ BPO, cloud, data processing hoặc hosting;
• Làm việc với khách hàng quốc tế hoặc chuỗi cung ứng toàn cầu;
• Có yêu cầu hợp đồng liên quan đến an toàn thông tin;
• Muốn có đánh giá độc lập đối với ISMS của mình;
• Cần quản lý rủi ro thông tin theo một khung hệ thống nhất quán.

6. ISO/IEC 27001 có chỉ tập trung vào cybersecurity không?

Không.

Cybersecurity là một phần quan trọng, nhưng phạm vi của ISMS rộng hơn. Rủi ro có thể xuất phát từ công nghệ, con người, nhà cung cấp, cơ sở vật chất, lỗi vận hành hoặc các yếu tố bên ngoài.

Ví dụ, một tài liệu giấy bị để sai nơi, nhân viên gửi nhầm dữ liệu, tài khoản cũ chưa bị thu hồi hoặc nhà cung cấp cloud gặp sự cố đều có thể trở thành vấn đề an toàn thông tin.

7. Vai trò của đánh giá rủi ro trong ISO/IEC 27001

Đánh giá rủi ro là một thành phần cốt lõi của ISMS.

Tổ chức cần có cách tiếp cận có hệ thống để:

• Nhận diện rủi ro an toàn thông tin;
• Phân tích và đánh giá mức độ rủi ro;
• Xác định cách xử lý;
• Lựa chọn các kiểm soát phù hợp;
• Theo dõi sự thay đổi của rủi ro theo thời gian.

Vì vậy, việc áp dụng Annex A không nên được hiểu đơn giản là phải “tick đủ 93 kiểm soát”. Các kiểm soát cần được xem xét trong mối liên hệ với rủi ro và bối cảnh của tổ chức.

8. Statement of Applicability – SoA có vai trò gì?

Statement of Applicability (SoA) là một tài liệu quan trọng của ISMS, thể hiện các kiểm soát cần thiết và tình trạng áp dụng của chúng.

SoA giúp tạo mối liên hệ giữa kết quả xử lý rủi ro, các kiểm soát được lựa chọn và cách tổ chức quản lý hệ thống an toàn thông tin.

9. Chứng nhận ISO/IEC 27001 đánh giá điều gì?

Đánh giá chứng nhận không chỉ xem tổ chức có tài liệu hay không.

Hoạt động đánh giá xem xét các bằng chứng về việc ISMS:

• Đã được thiết lập phù hợp với phạm vi;
• Được triển khai và vận hành;
• Có cơ chế quản lý rủi ro;
• Có các kiểm soát phù hợp;
• Được theo dõi và đánh giá;
• Được duy trì và cải tiến.

10. ISO/IEC 27001 có thể tích hợp với các hệ thống ISO khác không?

Có. ISO/IEC 27001 sử dụng cấu trúc hệ thống quản lý hài hòa, vì vậy có thể được tích hợp với các hệ thống quản lý khác.

Doanh nghiệp có thể liên kết ISO/IEC 27001 với ISO 9001, ISO 14001 hoặc ISO 45001 khi phù hợp với mô hình quản lý của tổ chức.

11. Bước tiếp theo nếu doanh nghiệp quan tâm đến chứng nhận

Doanh nghiệp có thể bắt đầu bằng việc tìm hiểu phạm vi chứng nhận, các giai đoạn đánh giá và các yêu cầu của ISO/IEC 27001:2022 trước khi đăng ký đánh giá.

Việc xác định rõ phạm vi, trạng thái hiện tại của ISMS và mục tiêu chứng nhận giúp tổ chức chuẩn bị thông tin phù hợp khi làm việc với tổ chức chứng nhận.

12. Liên hệ NQA Việt Nam

NQA Việt Nam cung cấp dịch vụ đánh giá chứng nhận và đào tạo liên quan đến ISO/IEC 27001:2022.

Liên hệ NQA Việt Nam để tìm hiểu thêm về chứng nhận ISO/IEC 27001:2022:

Website: https://nqa.com.vn
Hotline: 0912 300 560
Zalo OA: https://zalo.me/971108120349512276

Nguồn tham khảo

• ISO/IEC 27001:2022 – Information security, cybersecurity and privacy protection — Information security management systems — Requirements.
• ISO/IEC 27002:2022 – Information security controls.
• NQA – ISO/IEC 27001 Certification resources.