Chứng nhận ISO/IEC 27001

ISO/IEC 27001 là tiêu chuẩn quốc tế quy định các yêu cầu để thiết lập, triển khai, duy trì và cải tiến liên tục một hệ thống quản lý an toàn thông tin. Mục tiêu cốt lõi là bảo đảm ba thuộc tính của thông tin: tính bảo mật, tính toàn vẹn và tính sẵn sàng (CIA).

Tiêu chuẩn không chỉ đề cập đến tấn công mạng mà bao quát mọi rủi ro có thể làm gián đoạn hoặc tê liệt hoạt động: lỗi hệ thống, sai sót của con người, sự cố hạ tầng hay vi phạm hợp đồng. ISMS xem xét đồng thời các yếu tố tổ chức, nhân sự, cơ sở vật chất và công nghệ, cũng như các yêu cầu pháp luật và hợp đồng liên quan.

ISO/IEC 27001 dựa trên nguyên tắc cải tiến liên tục (thường được mô tả bằng chu trình PDCA: Hoạch định – Thực hiện – Kiểm tra – Hành động) và sử dụng cấu trúc hài hòa (Harmonized Structure) chung với các tiêu chuẩn hệ thống quản lý khác của ISO, nên dễ tích hợp với ISO 9001 hay ISO 14001. Hướng dẫn về các biện pháp kiểm soát được trình bày trong ISO/IEC 27002:2022.

Phiên bản hiện hành ISO/IEC 27001:2022 (cùng Sửa đổi 1:2024) có Phụ lục A gồm 93 biện pháp kiểm soát, được sắp xếp thành bốn chủ đề: tổ chức (37), con người (8), vật lý (14) và công nghệ (34). So với 114 biện pháp kiểm soát của phiên bản 2013, các biện pháp được hợp nhất và có 11 biện pháp mới: tình báo mối đe dọa, an toàn thông tin khi sử dụng dịch vụ đám mây, sẵn sàng CNTT cho tính liên tục kinh doanh, giám sát an ninh vật lý, quản lý cấu hình, xóa thông tin, che giấu dữ liệu, ngăn ngừa rò rỉ dữ liệu, hoạt động giám sát, lọc web và lập trình an toàn.

Thời hạn chuyển đổi từ phiên bản 2013 do IAF quy định đã kết thúc vào ngày 31/10/2025. Tháng 2/2024, ISO ban hành Sửa đổi ISO/IEC 27001:2022/Amd 1:2024 về hành động khí hậu: điều 4.1 bổ sung yêu cầu tổ chức xác định biến đổi khí hậu có phải là vấn đề liên quan hay không, điều 4.2 bổ sung ghi chú rằng các bên quan tâm có thể có yêu cầu liên quan đến biến đổi khí hậu. Hoạt động chứng nhận ISO/IEC 27001 được thực hiện theo ISO/IEC 17021-1 và ISO/IEC 27006-1:2024 dành cho tổ chức chứng nhận.

ISO/IEC 27001 phù hợp với mọi tổ chức, không phân biệt quy mô hay ngành nghề, đặc biệt là những nơi an toàn thông tin đóng vai trò then chốt:

• Công ty phần mềm, trung tâm dữ liệu, nhà cung cấp dịch vụ đám mây và dịch vụ CNTT thuê ngoài
• Ngân hàng, công ty tài chính, bảo hiểm và fintech
• Doanh nghiệp sản xuất, bán lẻ và nhà cung cấp trong chuỗi cung ứng toàn cầu
• Đơn vị vận hành hạ tầng trọng yếu như năng lượng, viễn thông, y tế

TÜV NORD có thể đánh giá ISO 27001 trong chương trình kết hợp với ISO 9001, ISO/IEC 20000-1 hoặc ISO 22301.

Trước khi đánh giá, tổ chức cần có một quy trình quản lý rủi ro an toàn thông tin được áp dụng thực tế: nhận diện, phân tích, đánh giá và xử lý rủi ro. Kết quả được thể hiện trong Tuyên bố áp dụng (Statement of Applicability – SoA), nêu rõ biện pháp kiểm soát nào được chọn hoặc loại trừ và lý do. Ngoài ra, ISMS cần được vận hành đủ thời gian để có hồ sơ đánh giá nội bộ và xem xét của lãnh đạo.