Trước đánh giá chứng nhận ISO/IEC 27001:2022, tổ chức cần chứng minh rằng ISMS không chỉ được thiết kế trên tài liệu mà đã được thiết lập, triển khai và có bằng chứng vận hành phù hợp.

Việc chuẩn bị tốt không đồng nghĩa với tạo thêm thật nhiều biểu mẫu. Trọng tâm là bảo đảm phạm vi, đánh giá rủi ro, Statement of Applicability (SoA), các kiểm soát và hoạt động đánh giá hệ thống có sự liên kết và nhất quán.

1. Phạm vi ISMS đã được xác định rõ chưa?

Phạm vi là một trong những nền tảng đầu tiên của hệ thống quản lý an toàn thông tin.

Tổ chức nên có khả năng giải thích rõ:

• Đơn vị, phòng ban hoặc chức năng thuộc phạm vi;
• Sản phẩm và dịch vụ liên quan;
• Địa điểm vật lý và môi trường làm việc từ xa;
• Hệ thống CNTT, cloud hoặc hạ tầng có liên quan;
• Các giao diện và sự phụ thuộc với đơn vị hoặc nhà cung cấp bên ngoài.

Nếu phạm vi không rõ, rất khó xác định tài sản, rủi ro, trách nhiệm và các kiểm soát cần thiết.

2. Bối cảnh và các bên quan tâm đã được xem xét chưa?

ISMS cần phản ánh bối cảnh thực tế của tổ chức.

Các yếu tố thường cần được xem xét có thể bao gồm:

• Mô hình kinh doanh;
• Công nghệ đang sử dụng;
• Khách hàng và yêu cầu hợp đồng;
• Nhà cung cấp và dịch vụ thuê ngoài;
• Yêu cầu pháp luật và quy định liên quan;
• Các thay đổi có thể ảnh hưởng đến an toàn thông tin.

3. Vai trò và trách nhiệm ISMS có rõ ràng không?

ISO/IEC 27001 không xem ISMS là trách nhiệm duy nhất của IT.

Trước đánh giá, tổ chức cần có khả năng xác định:

• Vai trò của lãnh đạo;
• Người hoặc nhóm điều phối ISMS;
• Chủ sở hữu rủi ro;
• Người chịu trách nhiệm đối với các kiểm soát;
• Trách nhiệm của nhân viên và các chức năng liên quan.

4. Phương pháp đánh giá rủi ro có được xác định và áp dụng nhất quán?

Risk Assessment là một trong những nội dung trọng tâm khi đánh giá ISMS.

Tổ chức cần chứng minh được cách:

• Nhận diện rủi ro;
• Phân tích hậu quả và khả năng xảy ra theo phương pháp đã xác định;
• Đánh giá mức độ rủi ro;
• Xác định chủ sở hữu rủi ro;
• Quyết định rủi ro nào cần xử lý;
• Theo dõi và cập nhật khi có thay đổi.

Điểm quan trọng là phương pháp được mô tả trong tài liệu phải phù hợp với cách tổ chức thực sự đánh giá rủi ro.

5. Risk Treatment và SoA có liên kết với Risk Assessment không?

Sau khi đánh giá rủi ro, tổ chức cần xác định cách xử lý phù hợp.

Statement of Applicability (SoA) không nên tồn tại như một bảng độc lập chỉ để phục vụ đánh giá chứng nhận.

Đánh giá viên có thể xem xét sự nhất quán giữa Risk Assessment, Risk Treatment Plan, SoA và các kiểm soát đang được vận hành trong thực tế.

6. Các kiểm soát trong SoA có bằng chứng vận hành không?

Bằng chứng có thể tồn tại dưới nhiều hình thức, ví dụ:

• Quyền truy cập và lịch sử phê duyệt;
• Log hệ thống;
• Backup và kết quả phục hồi;
• Hồ sơ đào tạo;
• Biên bản xử lý sự cố;
• Review nhà cung cấp;
• Kết quả kiểm thử bảo mật;
• Biên bản rà soát định kỳ;
• Các bằng chứng điện tử khác.

Không phải tất cả kiểm soát đều cần cùng một loại tài liệu. Bằng chứng cần phù hợp với bản chất của kiểm soát và cách tổ chức vận hành.

7. Chính sách và documented information có phản ánh thực tế không?

Một lỗi thường gặp là tài liệu mô tả một cách vận hành nhưng thực tế doanh nghiệp lại thực hiện theo cách khác.

Trước đánh giá, tổ chức nên bảo đảm các chính sách, quy định, workflow và hồ sơ quan trọng phản ánh đúng cách ISMS đang hoạt động.

8. Nhân sự có hiểu trách nhiệm an toàn thông tin của mình không?

Awareness không chỉ được chứng minh bằng danh sách ký tên tham gia đào tạo.

Trong quá trình đánh giá, nhân sự có thể cần giải thích những vấn đề liên quan trực tiếp đến công việc của mình như:

• Cách xử lý thông tin nhạy cảm;
• Cách báo cáo sự cố;
• Trách nhiệm khi sử dụng tài khoản và thiết bị;
• Quy định đối với dữ liệu khách hàng;
• Các kiểm soát liên quan đến vai trò của họ.

9. Đánh giá nội bộ đã được thực hiện chưa?

Internal Audit là một thành phần quan trọng trước đánh giá chứng nhận.

Hồ sơ đánh giá nội bộ thường cần thể hiện:

• Chương trình đánh giá;
• Phạm vi và tiêu chí;
• Tính khách quan của người đánh giá;
• Bằng chứng và kết quả đánh giá;
• Các điểm không phù hợp nếu có;
• Hoạt động theo dõi sau đánh giá.

10. Management Review đã được thực hiện chưa?

Lãnh đạo cần xem xét ISMS theo các nội dung phù hợp với yêu cầu của tiêu chuẩn.

Management Review giúp chứng minh rằng ISMS được theo dõi ở cấp quản lý và các quyết định về nguồn lực, thay đổi hoặc cải tiến không chỉ được thực hiện ở cấp kỹ thuật.

11. Các NC và hành động khắc phục đã được xử lý phù hợp chưa?

Nếu đánh giá nội bộ, kiểm tra kỹ thuật hoặc hoạt động vận hành phát hiện điểm không phù hợp, tổ chức cần có cơ chế xử lý phù hợp.

Trọng tâm không chỉ là “đóng NC”, mà còn là xác định nguyên nhân, thực hiện hành động và đánh giá hiệu lực khi phù hợp.

12. Chuẩn bị cho Stage 1 và Stage 2 khác nhau như thế nào?

Stage 1 tập trung vào việc xem xét mức độ sẵn sàng và các yếu tố nền tảng của hệ thống trước Stage 2.

Stage 2 đi sâu hơn vào việc đánh giá việc triển khai và hiệu lực của ISMS thông qua tài liệu, phỏng vấn, quan sát và các bằng chứng phù hợp.

Doanh nghiệp vì vậy không nên xem Stage 1 và Stage 2 là hai lần kiểm tra giống nhau.

13. Liên hệ NQA Việt Nam

NQA Việt Nam cung cấp dịch vụ đánh giá chứng nhận ISO/IEC 27001:2022 và các chương trình đào tạo liên quan đến ISMS.

Tìm hiểu thêm về chứng nhận ISO/IEC 27001 tại NQA Việt Nam:

Website: https://nqa.com.vn
Chứng nhận ISO/IEC 27001: Xem thông tin
Đào tạo ISO/IEC 27001: Xem chương trình đào tạo
Hotline: 0912 300 560
Zalo OA: https://zalo.me/971108120349512276

Nguồn tham khảo

• ISO/IEC 27001:2022 – Information security management systems — Requirements.
• ISO/IEC 27002:2022 – Information security controls.
• NQA – ISO/IEC 27001 Certification and Gap Analysis resources.