Nhiều tổ chức dành đáng kể thời gian cho ISO/IEC 27001 nhưng vẫn gặp khó khăn khi tiến tới đánh giá chứng nhận. Vấn đề không phải lúc nào cũng nằm ở thiếu tài liệu hoặc thiếu công nghệ.

Ba điểm nghẽn thường gặp là phạm vi ISMS chưa rõ, trách nhiệm chưa được xác định và đánh giá rủi ro chưa phản ánh đúng những vấn đề quan trọng của tổ chức.

1. Điểm nghẽn thứ nhất: Phạm vi ISMS không rõ ràng

Một ISMS cần có ranh giới và phạm vi được xác định.

Khi phạm vi còn mơ hồ, tổ chức có thể gặp khó khăn trong việc xác định:

• Hoạt động nào thuộc ISMS;
• Nhân sự nào có trách nhiệm;
• Hệ thống và tài sản nào cần xem xét;
• Nhà cung cấp nào có liên quan;
• Rủi ro nào cần được đánh giá;
• Kiểm soát nào cần được áp dụng.

2. Vì sao phạm vi quá rộng có thể gây khó khăn?

Một số tổ chức có xu hướng đưa toàn bộ doanh nghiệp, mọi hệ thống và tất cả hoạt động vào phạm vi ngay từ đầu mà chưa phân tích đầy đủ các mối liên hệ.

Phạm vi rộng không phải là không phù hợp, nhưng tổ chức phải có khả năng quản lý toàn bộ các hoạt động, rủi ro và kiểm soát nằm trong phạm vi đã tuyên bố.

3. Phạm vi quá hẹp cũng có thể tạo ra vấn đề

Ngược lại, phạm vi không nên được thu hẹp theo cách loại bỏ các hoạt động hoặc sự phụ thuộc có ảnh hưởng thực sự đến khả năng bảo vệ thông tin.

Ví dụ, một dịch vụ nằm trong phạm vi có thể phụ thuộc vào cloud provider, hệ thống HR, đội IT hoặc một đơn vị hỗ trợ bên ngoài. Các giao diện và sự phụ thuộc này cần được xem xét phù hợp.

4. Điểm nghẽn thứ hai: Không có ownership rõ ràng

ISMS liên quan đến nhiều chức năng khác nhau, không chỉ IT hoặc bộ phận ISO.

Nếu trách nhiệm không rõ, các tình huống sau dễ xảy ra:

• Không ai cập nhật Risk Register;
• Không xác định được ai sở hữu rủi ro;
• Quyền truy cập không được rà soát đúng thời điểm;
• Nhà cung cấp chưa được đánh giá;
• Sự cố xảy ra nhưng không rõ ai có trách nhiệm xử lý;
• Hành động khắc phục kéo dài vì không có người chịu trách nhiệm.

5. Ownership trong ISMS cần hiểu như thế nào?

Ownership không có nghĩa là một người phải tự thực hiện tất cả công việc.

Điều quan trọng là tổ chức xác định rõ ai có quyền quyết định, ai thực hiện, ai theo dõi và ai chịu trách nhiệm đối với rủi ro, kiểm soát hoặc quá trình liên quan.

6. Vai trò của lãnh đạo có quan trọng không?

Có.

ISMS là một hệ thống quản lý. Vì vậy, leadership và commitment không thể được thay thế hoàn toàn bằng việc giao toàn bộ công việc cho IT hoặc một ISO Coordinator.

Các quyết định về nguồn lực, ưu tiên rủi ro và định hướng hệ thống thường cần sự tham gia phù hợp của lãnh đạo.

7. Điểm nghẽn thứ ba: Risk Assessment yếu hoặc mang tính hình thức

Một Risk Register dài không đồng nghĩa với một Risk Assessment tốt.

Các dấu hiệu thường thấy của một đánh giá rủi ro yếu gồm:

• Sử dụng danh sách rủi ro mẫu nhưng không gắn với hoạt động thực tế;
• Tất cả phòng ban có rủi ro gần giống nhau;
• Không thể giải thích cách tính mức rủi ro;
• Rủi ro không có chủ sở hữu;
• Risk Treatment không liên kết với Risk Assessment;
• SoA không phản ánh các quyết định xử lý rủi ro;
• Không cập nhật rủi ro khi hệ thống hoặc hoạt động thay đổi.

8. Risk Assessment cần phản ánh điều gì?

Đánh giá rủi ro cần phản ánh bối cảnh và hoạt động thực tế của tổ chức.

Ví dụ, rủi ro có thể liên quan đến:

• Thông tin khách hàng;
• Source code;
• Cloud infrastructure;
• Quyền truy cập đặc quyền;
• Nhà cung cấp;
• Làm việc từ xa;
• Backup và khả năng phục hồi;
• Sự cố an toàn thông tin;
• Con người và hành vi người dùng.

9. Ba điểm nghẽn này có liên quan với nhau không?

Có, và thường liên hệ rất chặt chẽ.

Một chuỗi vấn đề có thể xảy ra như sau:

1. Phạm vi chưa rõ;
2. Dẫn đến khó xác định trách nhiệm;
3. Ownership không rõ;
4. Dẫn đến Risk Assessment thiếu thông tin thực tế;
5. Risk Assessment yếu;
6. Dẫn đến việc lựa chọn và vận hành kiểm soát thiếu nhất quán.

Vì vậy, các vấn đề này không nên được xem như ba lỗi độc lập hoàn toàn.

10. Những dấu hiệu cho thấy ISMS chưa sẵn sàng cho đánh giá chứng nhận

Một số câu hỏi có thể giúp tổ chức tự xem xét mức độ sẵn sàng:

• Nhân sự có giải thích thống nhất phạm vi ISMS không?
• Có xác định được risk owner và control owner không?
• Risk Register có phản ánh hệ thống và hoạt động hiện tại không?
• SoA có liên kết với việc xử lý rủi ro không?
• Các kiểm soát có bằng chứng vận hành không?
• Internal Audit đã đánh giá hiệu lực của hệ thống chưa?
• Management Review đã xem xét kết quả ISMS chưa?

11. ISO/IEC 27001 không phải là dự án tạo tài liệu

Một ISMS hiệu quả cần được tích hợp vào cách tổ chức quản lý thông tin và rủi ro trong hoạt động thực tế.

Tài liệu là một phần của hệ thống, nhưng mục tiêu cuối cùng không phải là tạo ra thật nhiều policy hoặc procedure. Trọng tâm là khả năng quản lý rủi ro và duy trì các biện pháp kiểm soát phù hợp.

12. Chuẩn bị cho đánh giá chứng nhận

Trước khi đăng ký đánh giá chứng nhận, tổ chức nên có khả năng chứng minh rằng phạm vi, trách nhiệm, đánh giá rủi ro, xử lý rủi ro và các hoạt động vận hành ISMS đã được thiết lập và liên kết với nhau.

Tìm hiểu thêm tại trang Chứng nhận ISO/IEC 27001:2022 của NQA Việt Nam.

13. Liên hệ NQA Việt Nam

NQA Việt Nam cung cấp dịch vụ đánh giá chứng nhận và đào tạo ISO/IEC 27001:2022.

Liên hệ NQA Việt Nam để tìm hiểu về quá trình đánh giá chứng nhận:

Website: https://nqa.com.vn
Hotline: 0912 300 560
Zalo OA: https://zalo.me/971108120349512276

Nguồn tham khảo

• ISO/IEC 27001:2022 – Information security management systems — Requirements.
• ISO/IEC 27002:2022 – Information security controls.
• NQA – ISO/IEC 27001 certification resources.