Tư vấn ISO/IEC 27001:2022 theo Risk-Based ISMS - Từ Cyber Risk đến bằng chứng đánh giá và khả năng chứng nhận

Tư vấn ISO 27001- Giới thiệu về Hệ thống quản lý an toàn thông tin ISMS

Tư vấn ISO/IEC 27001:2022 theo Risk-Based ISMS – Từ Cyber Risk đến bằng chứng đánh giá và khả năng chứng nhận

Trong môi trường kinh doanh số, thông tin đã trở thành một trong những tài sản quan trọng nhất của doanh nghiệp. Dữ liệu khách hàng, dữ liệu tài chính, hồ sơ nhân sự, bản vẽ kỹ thuật, công thức sản phẩm, mã nguồn phần mềm, dữ liệu sản xuất, thông tin nhà cung cấp, hợp đồng, email và dữ liệu được lưu trữ trên Cloud đều có thể trở thành mục tiêu của các rủi ro an toàn thông tin.

Một sự cố mất dữ liệu không chỉ gây ảnh hưởng đến hệ thống CNTT mà có thể làm gián đoạn hoạt động sản xuất, đình trệ chuỗi cung ứng, mất khả năng cung cấp dịch vụ, ảnh hưởng đến khách hàng và phát sinh các nghĩa vụ pháp lý hoặc hợp đồng.

ISO/IEC 27001:2022 được xây dựng để giúp tổ chức thiết lập, triển khai, duy trì và cải tiến Information Security Management System – ISMS, trong đó quản lý rủi ro là một thành phần cốt lõi. ISO xác định ISO/IEC 27001 là tiêu chuẩn quy định các yêu cầu đối với ISMS và có thể áp dụng cho tổ chức ở nhiều quy mô và lĩnh vực khác nhau.

Do đó, tư vấn ISO/IEC 27001:2022 hiện đại không nên bắt đầu bằng việc viết hàng loạt quy trình hoặc đơn thuần kiểm tra 93 Controls trong Annex A. Cách tiếp cận có giá trị hơn là bắt đầu từ câu hỏi:

Doanh nghiệp đang đối mặt với những Cyber Risk nào, các rủi ro đó ảnh hưởng đến thông tin và hoạt động kinh doanh ra sao, cần xử lý như thế nào và bằng chứng nào chứng minh các biện pháp kiểm soát đang thực sự hoạt động?

Đây chính là cách tiếp cận Risk-Based ISMS.

VINTECOM Quốc tế cung cấp dịch vụ đào tạo ISO/IEC 27001:2022, tư vấn ISMS, đánh giá GAP, đánh giá rủi ro, xây dựng Risk Treatment Plan, Statement of Applicability, đào tạo đánh giá viên nội bộ và hỗ trợ doanh nghiệp chuẩn bị đánh giá chứng nhận ISO/IEC 27001:2022.

Phạm vi tư vấn ISO/IEC 27001:2022 theo Risk-Based ISMS

Tư vấn ISO/IEC 27001:2022 theo Risk-Based ISMS là quá trình giúp doanh nghiệp xây dựng một hệ thống quản lý an toàn thông tin dựa trên rủi ro thực tế thay vì áp dụng một bộ tài liệu giống nhau cho mọi tổ chức.

Một hệ thống ISMS có thể bao gồm:

Xác định bối cảnh tổ chức.
Xác định phạm vi ISMS.
Xác định các bên quan tâm.
Xác định yêu cầu pháp luật và yêu cầu hợp đồng.
Xác định tài sản thông tin.
Nhận diện các mối đe dọa.
Xác định điểm yếu và khả năng xảy ra sự kiện.
Đánh giá hậu quả đối với tính bảo mật, toàn vẹn và sẵn sàng của thông tin.
Xác định mức độ rủi ro.
Xác định tiêu chí chấp nhận rủi ro.
Lập kế hoạch xử lý rủi ro.
Xác định các biện pháp kiểm soát.
Xây dựng Statement of Applicability.
Triển khai các controls.
Theo dõi và đo lường.
Đánh giá nội bộ.
Xem xét của lãnh đạo.
Hành động khắc phục.
Cải tiến liên tục.

ISO mô tả ISMS là một hệ thống giúp tổ chức quản lý các rủi ro liên quan đến bảo mật thông tin và bảo vệ ba thuộc tính quan trọng của thông tin: Confidentiality, Integrity và Availability.

Risk-Based ISMS là gì?

Risk-Based ISMS có thể hiểu là cách tiếp cận trong đó doanh nghiệp xây dựng và vận hành hệ thống quản lý an toàn thông tin dựa trên các rủi ro thực tế đối với thông tin và hoạt động của tổ chức.

Thay vì đặt câu hỏi:

“ISO 27001 yêu cầu chúng tôi phải có những tài liệu nào?”

doanh nghiệp nên đặt câu hỏi:

“Thông tin nào quan trọng đối với doanh nghiệp, điều gì có thể xảy ra với thông tin đó, hậu quả là gì và chúng tôi cần kiểm soát như thế nào?”

Chuỗi tư duy có thể được mô hình hóa:

Information Asset → Threat → Vulnerability → Risk Event → Impact → Risk Level → Risk Treatment → Control → Evidence → Effectiveness

Đây là một trong những nền tảng quan trọng để xây dựng ISMS có khả năng vận hành thực tế.

ISO cũng cho biết ISO/IEC 27001 cho phép tổ chức áp dụng một quy trình quản lý rủi ro phù hợp với quy mô và nhu cầu của mình, đồng thời điều chỉnh hệ thống khi các yếu tố này thay đổi.

Từ Cyber Risk đến Information Security Risk

Cyber Risk thường được doanh nghiệp hiểu là các rủi ro liên quan đến tấn công mạng, malware, ransomware, phishing, tài khoản bị chiếm quyền hoặc khai thác lỗ hổng.

Tuy nhiên, phạm vi quản lý của ISO/IEC 27001 rộng hơn cybersecurity thuần túy.

Rủi ro an toàn thông tin có thể xuất phát từ:

Tấn công mạng.
Phishing.
Malware.
Ransomware.
Mất thiết bị.
Truy cập trái phép.
Sai quyền người dùng.
Nhân viên vô tình làm lộ dữ liệu.
Nhân viên cố ý sao chép dữ liệu.
Nhà cung cấp bị tấn công.
Cloud configuration sai.
Mất điện.
Cháy hoặc ngập khu vực máy chủ.
Hỏng thiết bị lưu trữ.
Lỗi phần mềm.
Thay đổi hệ thống không được kiểm soát.
Không thể khôi phục dữ liệu từ backup.
Rò rỉ dữ liệu thông qua email hoặc thiết bị di động.

Vì vậy, ISO/IEC 27001 không chỉ là một “cybersecurity certification”. Đây là một hệ thống quản lý nhằm giúp tổ chức quản trị rủi ro đối với thông tin một cách có hệ thống.

Xác định Information Assets – Tài sản thông tin

Một trong những bước đầu tiên của Risk-Based ISMS là xác định những tài sản thông tin nằm trong phạm vi quản lý.

Tài sản không nhất thiết chỉ là dữ liệu điện tử.

Có thể bao gồm:

Database.
File server.
Cloud storage.
Email.
Source code.
Bản vẽ kỹ thuật.
Hồ sơ khách hàng.
Hồ sơ nhân sự.
Hồ sơ tài chính.
Hợp đồng.
Hồ sơ nhà cung cấp.
Dữ liệu sản xuất.
Công thức sản phẩm.
Intellectual Property.
Máy tính.
Server.
Network equipment.
Application.
ERP.
CRM.
MES.
Thiết bị IoT.
Hệ thống OT.
Hồ sơ giấy.

Đối với một nhà máy sản xuất, ví dụ một bản vẽ sản phẩm của khách hàng có thể được lưu trên máy chủ kỹ thuật, máy tính của kỹ sư, hệ thống PLM, email hoặc Cloud.

Nếu doanh nghiệp chỉ đánh giá server mà không xem xét toàn bộ luồng thông tin, đánh giá rủi ro có thể không phản ánh đầy đủ thực tế.

Đánh giá rủi ro ISO/IEC 27001:2022

Risk Assessment là quá trình giúp doanh nghiệp xác định mức độ rủi ro dựa trên khả năng xảy ra và hậu quả của sự kiện liên quan đến an toàn thông tin.

Một mô hình đơn giản có thể được xây dựng:

Risk = Likelihood × Impact

Tuy nhiên, doanh nghiệp cần xác định phương pháp, tiêu chí và thang đánh giá phù hợp với đặc điểm của tổ chức.

Đối với thông tin, tác động thường cần xem xét ít nhất trên ba thuộc tính:

Confidentiality – Tính bảo mật

Ai được phép truy cập thông tin?

Điều gì xảy ra nếu người không có thẩm quyền tiếp cận thông tin?

Integrity – Tính toàn vẹn

Điều gì xảy ra nếu dữ liệu bị sửa đổi, xóa hoặc sai lệch?

Availability – Tính sẵn sàng

Điều gì xảy ra nếu hệ thống hoặc dữ liệu không thể sử dụng khi doanh nghiệp cần?

ISO mô tả ba thuộc tính này là các yếu tố cốt lõi được ISMS bảo vệ thông qua quá trình quản lý rủi ro.

Risk Register – Bản đồ rủi ro của ISMS

Risk Register là một công cụ quan trọng giúp doanh nghiệp theo dõi các rủi ro đã được nhận diện.

Một Risk Register có thể chứa các trường như:

Thành phần	Nội dung cần xác định
Asset	Tài sản thông tin
Threat	Mối đe dọa
Vulnerability	Điểm yếu
Risk Event	Sự kiện rủi ro
CIA Impact	Ảnh hưởng đến C/I/A
Likelihood	Khả năng xảy ra
Impact	Mức độ hậu quả
Risk Level	Mức độ rủi ro
Risk Owner	Người chịu trách nhiệm
Existing Control	Kiểm soát hiện tại
Treatment	Phương án xử lý
Residual Risk	Rủi ro còn lại

Ví dụ, một doanh nghiệp có dữ liệu thiết kế sản phẩm của khách hàng trên server nội bộ.

Threat có thể là truy cập trái phép.

Vulnerability có thể là tài khoản dùng chung hoặc quyền truy cập quá rộng.

Risk Event là dữ liệu thiết kế bị sao chép trái phép.

Impact có thể liên quan đến mất bí mật kinh doanh, vi phạm yêu cầu khách hàng và thiệt hại thương mại.

Từ đó doanh nghiệp xác định biện pháp xử lý phù hợp.

Risk Treatment – Từ rủi ro đến biện pháp kiểm soát

Sau khi đánh giá rủi ro, doanh nghiệp cần quyết định cách xử lý.

Tùy theo kết quả đánh giá và tiêu chí chấp nhận rủi ro, tổ chức có thể xem xét:

Tránh rủi ro.
Giảm hoặc sửa đổi rủi ro.
Chia sẻ hoặc chuyển giao rủi ro.
Chấp nhận rủi ro.

Kết quả của quá trình này là Risk Treatment Plan và các biện pháp kiểm soát cần thiết.

ISO/IEC JTC 1/SC 27 cũng giải thích rằng quá trình risk treatment có thể dẫn đến việc lựa chọn các controls cần thiết để giảm thiểu các rủi ro đã xác định.

Điểm quan trọng là control phải có lý do tồn tại.

Ví dụ:

Rủi ro: tài khoản nhân viên bị chiếm quyền.

Nguyên nhân: mật khẩu bị lộ và không có lớp xác thực bổ sung.

Treatment: giảm rủi ro.

Control: tăng cường authentication và quản lý quyền truy cập.

Evidence: cấu hình hệ thống, danh sách người dùng, hồ sơ cấp quyền, log và kết quả kiểm tra.

Như vậy, doanh nghiệp có thể chứng minh được mối liên hệ:

Risk → Treatment → Control → Evidence

Statement of Applicability – SoA: Cầu nối giữa Risk và Control

Statement of Applicability (SoA) là một thành phần quan trọng trong hệ thống ISMS.

Một sai lầm phổ biến là xem SoA như một bảng checklist 93 Controls.

Cách tiếp cận Risk-Based yêu cầu SoA phản ánh logic quản lý rủi ro của doanh nghiệp.

Có thể hình dung:

Risk Assessment

↓

Risk Treatment

↓

Necessary Controls

↓

Statement of Applicability

↓

Implementation

↓

Evidence

Theo tài liệu hướng dẫn của ISO/IEC JTC 1/SC 27, SoA phải bao gồm các controls cần thiết; nếu tổ chức sử dụng một control không nằm trong Annex A thì control đó vẫn phải được đưa vào SoA khi cần thiết cho ISMS. Tài liệu cũng nhấn mạnh rằng nếu tổ chức lựa chọn một control nhưng không thực hiện control đó theo nội dung đã xác định, điều này có thể dẫn đến vấn đề về sự phù hợp.

Vì vậy, SoA cần được xây dựng dựa trên rủi ro và nhu cầu kiểm soát thực tế, không chỉ dựa trên việc đánh dấu “Applicable”.

Không phải mọi doanh nghiệp đều có cùng một ISMS

Một ngân hàng, bệnh viện, công ty SaaS, nhà máy điện tử và doanh nghiệp logistics có thể cùng áp dụng ISO/IEC 27001:2022 nhưng hệ thống ISMS sẽ không hoàn toàn giống nhau.

Ví dụ:

Một công ty SaaS có thể tập trung vào:

Cloud.
Application security.
Source code.
Secure coding.
Access management.
Data protection.
Monitoring.

Một nhà máy có thể phải xem xét:

ERP.
MES.
OT.
Network.
Máy chủ.
Bản vẽ kỹ thuật.
Dữ liệu khách hàng.
Thiết bị IoT.
Remote access.

Một doanh nghiệp dịch vụ có thể tập trung nhiều vào:

Customer data.
Email.
Cloud.
Third-party suppliers.
Personal data.
Access control.

Điều này cho thấy tư vấn ISO/IEC 27001 cần bắt đầu bằng phạm vi, bối cảnh và rủi ro của doanh nghiệp, không nên sử dụng một bộ tài liệu giống nhau cho mọi ngành.

Cybersecurity có thay thế được ISO/IEC 27001 không?

Không nên đồng nhất hai khái niệm này.

Cybersecurity thường tập trung mạnh vào các biện pháp kỹ thuật và hoạt động bảo vệ hệ thống khỏi các mối đe dọa kỹ thuật số.

ISO/IEC 27001 lại đặt cybersecurity trong một hệ thống quản lý rộng hơn, bao gồm:

Lãnh đạo.
Chính sách.
Quản lý rủi ro.
Con người.
Tài sản.
Nhà cung cấp.
Quy trình.
Kiểm soát vật lý.
Kiểm soát công nghệ.
Đánh giá nội bộ.
Xem xét của lãnh đạo.
Cải tiến.

Một doanh nghiệp có thể sở hữu firewall, antivirus, EDR, backup và SIEM nhưng vẫn cần một hệ thống quản lý để xác định các biện pháp này phục vụ rủi ro nào, ai chịu trách nhiệm, cách theo dõi hiệu lực và cách cải tiến.

ISO cũng mô tả cách tiếp cận của ISO/IEC 27001 là đưa an toàn thông tin vào các quá trình tổ chức, hệ thống thông tin và các biện pháp quản lý.

Từ Control đến Evidence – Bằng chứng đánh giá ISO 27001

Một trong những khác biệt quan trọng giữa “có hệ thống” và “chứng minh hệ thống hoạt động” nằm ở bằng chứng.

Trong đánh giá ISMS, auditor không chỉ hỏi:

“Doanh nghiệp có quy trình này không?”

Mà có thể tiếp tục hỏi:

“Quy trình được thực hiện như thế nào?”

“Ai thực hiện?”

“Thực hiện bao lâu một lần?”

“Có hồ sơ hoặc log nào chứng minh không?”

“Kết quả được xem xét như thế nào?”

“Nếu phát hiện vấn đề thì xử lý ra sao?”

Một chuỗi evidence có thể được hình dung:

Requirement → Control → Process → Responsible Person → Record → Evidence → Effectiveness

Ví dụ với quản lý quyền truy cập:

Access Control Policy

→ Quy trình cấp quyền

→ Yêu cầu cấp quyền

→ Phê duyệt của người có thẩm quyền

→ Cấu hình tài khoản

→ System Log

→ Review quyền định kỳ

→ Bằng chứng xử lý các quyền không còn phù hợp.

Đây chính là cách chuyển một yêu cầu ISO thành bằng chứng có thể kiểm chứng.

ISO định nghĩa audit là quá trình có hệ thống, độc lập và được lập thành tài liệu để thu thập bằng chứng đánh giá và đánh giá khách quan mức độ đáp ứng các tiêu chí đánh giá.

Evidence không đồng nghĩa với việc có thật nhiều hồ sơ

Một hệ thống ISMS tốt không nhất thiết phải có hàng trăm biểu mẫu.

Điều quan trọng là bằng chứng phải:

Liên quan đến yêu cầu.
Có thể kiểm chứng.
Có nguồn gốc rõ ràng.
Phản ánh việc thực hiện thực tế.
Đủ để chứng minh control hoạt động.
Có thể truy xuất khi cần.

Ví dụ, đối với backup, không nên chỉ có một quy trình Backup.

Doanh nghiệp có thể cần chứng minh:

Backup Policy → Backup Configuration → Backup Job → Backup Log → Backup Verification → Restore Test → Corrective Action nếu có lỗi

Khi đó auditor có thể đánh giá không chỉ việc “có backup” mà còn xem xét khả năng kiểm soát và phục hồi thực tế.

Vì sao doanh nghiệp có đủ tài liệu nhưng vẫn có thể phát hiện NC?

Một bộ tài liệu ISMS có thể rất đầy đủ nhưng chưa chắc phản ánh hệ thống đang vận hành hiệu lực.

Một số tình huống thường gặp:

Có quy trình nhưng không thực hiện

Quy trình yêu cầu review quyền truy cập hàng quý nhưng doanh nghiệp không có bằng chứng thực hiện.

Có thực hiện nhưng không có evidence

Nhân viên thực hiện kiểm tra nhưng không lưu lại bằng chứng cần thiết.

Có evidence nhưng không xử lý vấn đề

Monitoring phát hiện bất thường nhưng không có hồ sơ xử lý.

Có Control nhưng không liên kết với Risk

Doanh nghiệp triển khai một biện pháp kỹ thuật nhưng không xác định rõ rủi ro mà biện pháp đó đang xử lý.

Có hệ thống nhưng phạm vi ISMS không phản ánh thực tế

Doanh nghiệp đưa hệ thống Cloud hoặc một hoạt động quan trọng ra ngoài phạm vi mà không có cơ sở phù hợp.

Vì vậy, tư vấn ISO/IEC 27001 cần quan tâm đến effectiveness chứ không chỉ documentation.

Audit Readiness – Đánh giá mức độ sẵn sàng trước chứng nhận

Trước khi doanh nghiệp làm việc với tổ chức chứng nhận, một bước quan trọng là đánh giá mức độ sẵn sàng của ISMS.

Audit Readiness có thể xem xét:

Phạm vi ISMS.
Context of the Organization.
Interested Parties.
Information Security Policy.
Risk Assessment.
Risk Treatment.
Risk Register.
Statement of Applicability.
Objectives.
Controls.
Training.
Incident Management.
Supplier Security.
Internal Audit.
Management Review.
Corrective Actions.
Evidence.
Effectiveness.

Mục tiêu là xác định khoảng cách giữa:

“Hệ thống đã được xây dựng”

và

“Hệ thống đã sẵn sàng để được đánh giá”.

VINTECOM có thể thực hiện GAP Assessment hoặc Pre-assessment theo hướng đánh giá dựa trên bằng chứng để doanh nghiệp nhận diện những điểm cần hoàn thiện trước khi bước vào quá trình chứng nhận.

ISO/IEC 27001 Certification – Khả năng chứng nhận được hình thành từ đâu?

Chứng nhận ISO/IEC 27001 không chỉ phụ thuộc vào việc doanh nghiệp có một bộ tài liệu phù hợp.

Khả năng đáp ứng đánh giá được hình thành từ nhiều yếu tố:

Phạm vi phù hợp

↓

ISMS được thiết lập

↓

Risk Assessment được thực hiện

↓

Risk Treatment được xác định

↓

Controls được lựa chọn

↓

SoA được xây dựng

↓

Controls được triển khai

↓

Có bằng chứng khách quan

↓

Internal Audit

↓

Management Review

↓

Corrective Action

↓

Sẵn sàng cho Certification Audit

ISO xác nhận doanh nghiệp có thể lựa chọn triển khai ISO/IEC 27001 để quản lý rủi ro mà không nhất thiết phải chứng nhận; nếu lựa chọn chứng nhận, chứng chỉ được cấp thông qua quá trình đánh giá sự phù hợp của tổ chức chứng nhận. ISO cũng lưu ý rằng chứng chỉ từ một tổ chức chứng nhận được công nhận có thể tạo thêm mức độ tin cậy đối với các bên liên quan.

Vì vậy, tư vấn và chứng nhận là hai vai trò cần được phân biệt.

Tư vấn ISO/IEC 27001:2022 của VINTECOM theo mô hình Risk-Based ISMS

VINTECOM Quốc tế định hướng hoạt động tư vấn ISO/IEC 27001:2022 theo chuỗi:

Assessment → Risk → Treatment → Control → Implementation → Evidence → Verification → Audit Readiness

Assessment

Khảo sát phạm vi, hệ thống, quy trình, tài sản thông tin và hiện trạng quản lý.

Risk

Xác định và đánh giá rủi ro liên quan đến thông tin trong phạm vi ISMS.

Treatment

Xác định phương án xử lý và mức rủi ro còn lại.

Control

Xác định các biện pháp kiểm soát cần thiết và xây dựng SoA.

Implementation

Hỗ trợ doanh nghiệp triển khai hệ thống quản lý và các controls phù hợp.

Evidence

Xác định hồ sơ, log, record và bằng chứng cần thiết để chứng minh quá trình được thực hiện.

Verification

Thực hiện GAP Assessment, đánh giá nội bộ hoặc đánh giá xác nhận mức độ sẵn sàng theo phạm vi dịch vụ.

Audit Readiness

Giúp doanh nghiệp nhận diện các khoảng cách trước khi làm việc với tổ chức chứng nhận độc lập.

Đối với doanh nghiệp sản xuất, VINTECOM có thể xem xét đồng thời IT và các hệ thống liên quan đến OT, ERP, MES, dữ liệu kỹ thuật, thiết kế sản phẩm, hệ thống máy chủ, mạng sản xuất và các nền tảng Cloud trong phạm vi ISMS.

Đối với doanh nghiệp công nghệ, trọng tâm có thể mở rộng đến Cloud, application security, secure coding, source code, vulnerability management, access management và monitoring.

Đào tạo ISO/IEC 27001:2022 theo Risk-Based ISMS

Chương trình đào tạo có thể được thiết kế theo từng nhóm đối tượng.

Đối với lãnh đạo, nội dung tập trung vào quản trị rủi ro, trách nhiệm, mục tiêu ISMS, nguồn lực và các rủi ro có thể ảnh hưởng đến hoạt động kinh doanh.

Đối với ISMS Manager, nội dung đi sâu vào phạm vi, risk assessment, risk treatment, SoA, controls, objectives, monitoring và continual improvement.

Đối với IT và cybersecurity, nội dung tập trung vào các biện pháp kỹ thuật, access control, network security, vulnerability management, logging, monitoring, backup, cloud security và incident management.

Đối với Internal Auditor, trọng tâm là kỹ thuật lập kế hoạch audit, lấy mẫu, phỏng vấn, kiểm tra hồ sơ, truy tìm bằng chứng và đánh giá effectiveness.

Đối với HR, Procurement và các bộ phận quản lý nhà cung cấp, nội dung có thể tập trung vào People Controls, supplier security, confidentiality và yêu cầu an toàn thông tin trong quá trình cung cấp dịch vụ.

ISO/IEC 27001:2022 và Amendment 1:2024

Khi xây dựng hoặc cập nhật ISMS trong giai đoạn hiện nay, doanh nghiệp cũng cần lưu ý ISO/IEC 27001:2022 đã có Amendment 1:2024 – Climate action changes. ISO công bố amendment này ngày 23/02/2024 và xác nhận đây là amendment áp dụng cho ISO/IEC 27001:2022.

Điều này cho thấy doanh nghiệp không nên xây dựng hệ thống theo một phiên bản tài liệu cũ rồi giữ nguyên trong nhiều năm.

ISMS cần được xem xét định kỳ khi:

Tiêu chuẩn có thay đổi.
Công nghệ thay đổi.
Doanh nghiệp thay đổi hệ thống.
Phạm vi kinh doanh thay đổi.
Xuất hiện mối đe dọa mới.
Có yêu cầu khách hàng mới.
Có thay đổi về pháp luật.
Có sự cố an toàn thông tin.
Có thay đổi trong chuỗi cung ứng.

Đây cũng chính là bản chất của một hệ thống quản lý dựa trên rủi ro: rủi ro thay đổi thì hệ thống kiểm soát cũng phải được xem xét và cập nhật.

Câu hỏi thường gặp về tư vấn ISO/IEC 27001:2022 theo Risk-Based ISMS

Risk-Based ISMS trong ISO/IEC 27001:2022 là gì?

Risk-Based ISMS là cách tiếp cận xây dựng và vận hành hệ thống quản lý an toàn thông tin dựa trên việc nhận diện, phân tích, đánh giá và xử lý các rủi ro đối với thông tin trong phạm vi ISMS. Kết quả đánh giá rủi ro là cơ sở quan trọng để xác định các biện pháp kiểm soát cần thiết.

Cyber Risk có giống Information Security Risk không?

Không hoàn toàn. Cyber Risk thường tập trung vào các rủi ro liên quan đến môi trường số và các cuộc tấn công mạng, trong khi Information Security Risk trong ISMS có phạm vi rộng hơn và có thể bao gồm rủi ro về con người, vật lý, quy trình, nhà cung cấp, công nghệ và các hình thức mất Confidentiality, Integrity hoặc Availability.

Risk Register có bắt buộc phải có theo một mẫu cố định không?

Không nên áp dụng một mẫu duy nhất cho mọi doanh nghiệp. Điều quan trọng là phương pháp đánh giá rủi ro phải phù hợp với tổ chức, có tiêu chí rõ ràng và tạo ra thông tin đủ để doanh nghiệp quyết định cách xử lý rủi ro.

SoA có phải là danh sách 93 Controls không?

Không. SoA phải phản ánh các controls cần thiết đối với ISMS. Việc lựa chọn controls cần liên kết với đánh giá và xử lý rủi ro. ISO/IEC JTC 1/SC 27 cũng nêu rằng các controls cần thiết phải được đưa vào SoA và những controls cần thiết ngoài Annex A cũng phải được thể hiện trong SoA.

Auditor ISO 27001 quan tâm đến bằng chứng gì?

Tùy phạm vi và control, auditor có thể xem xét chính sách, quy trình, hồ sơ đào tạo, Risk Register, SoA, hồ sơ phân quyền, system logs, backup records, vulnerability assessment, incident records, supplier records, internal audit và các bằng chứng khác. Audit evidence cần có khả năng kiểm chứng và liên quan đến tiêu chí đánh giá.

Có ISO/IEC 27001 thì doanh nghiệp có được miễn mọi rủi ro cybersecurity không?

Không. ISO/IEC 27001 là hệ thống quản lý rủi ro, không phải cam kết rằng doanh nghiệp sẽ không bao giờ xảy ra sự cố an toàn thông tin. Mục tiêu là thiết lập một cơ chế có hệ thống để nhận diện, xử lý, theo dõi và cải tiến việc quản lý rủi ro.

VINTECOM có cấp chứng chỉ ISO/IEC 27001 không?

VINTECOM cung cấp dịch vụ đào tạo, tư vấn, GAP Assessment, đánh giá nội bộ và hỗ trợ chuẩn bị chứng nhận. Việc cấp chứng chỉ ISO/IEC 27001 được thực hiện bởi tổ chức chứng nhận độc lập phù hợp với phạm vi chứng nhận.

Kết luận

Tư vấn ISO/IEC 27001:2022 theo Risk-Based ISMS không nên được tiếp cận như một dự án xây dựng tài liệu để “đối phó với audit”.

Giá trị cốt lõi của ISMS nằm ở khả năng kết nối:

Cyber Risk → Information Security Risk → Risk Assessment → Risk Treatment → Controls → SoA → Implementation → Evidence → Effectiveness → Audit Readiness

Khi chuỗi này được thiết kế và vận hành nhất quán, doanh nghiệp không chỉ có một bộ tài liệu ISO mà có một cơ chế quản trị rủi ro an toàn thông tin có thể kiểm chứng.

Đối với doanh nghiệp đang chuyển đổi số, sử dụng Cloud, phát triển phần mềm, vận hành nhà máy thông minh, quản lý dữ liệu khách hàng hoặc tham gia chuỗi cung ứng FDI, cách tiếp cận Risk-Based ISMS giúp hệ thống ISO/IEC 27001:2022 gắn với các rủi ro thực tế thay vì tồn tại độc lập với hoạt động kinh doanh.

VINTECOM Quốc tế cung cấp đào tạo ISO/IEC 27001:2022, tư vấn ISO/IEC 27001:2022, tư vấn Risk-Based ISMS, đánh giá rủi ro, xây dựng Risk Treatment Plan, Statement of Applicability, đào tạo đánh giá viên nội bộ, GAP Assessment và hỗ trợ chuẩn bị Audit Readiness cho doanh nghiệp tại Việt Nam.

📶📶📶 Liên hệ đăng ký ngay dịch vụ đào tạo, tư vấn chứng nhận ISO 27001: 2022

Quý khách hàng, tổ chức, doanh nghiệp yêu cầu dịch vụ Đào tạo, Tư vấn chứng nhận Hệ thống quản lý An toàn thông tin ISMS theo tiêu chuẩn ISO 27001: 2022, xin vui lòng nhấn vào“Đăng ký-Báo giá”hoặc trên thanh công cụ phía dưới bên phải màn hình PC để nhận báo giá cho dịch vụ đào tạo, tư vấn chứng nhận ISO 27001: 2022.

🎁🎁🎁 Hỗ trợ thẩm định hệ thống văn bản, hồ sơ ISO khi đăng ký online

📶📶📶 Để biết thêm thông tin chi tiết về khóa học, xin vui lòng liên hệ:

☎ Văn phòng VINTECOM Quốc tế tại Hà Nội: 16thFloor -Green Stars City - 234 Phạm Văn Đồng, phường Phú Diễn, TP. Hà Nội. Hotline 094-886-5288/ (024) 730-588-58

☎ Văn phòng VINTECOM Quốc tế tại Hồ Chí Minh: Glory Heights - Vinhomes Grand Park, 88 đường Phước Thiện, Phường Long Bình, TP. HCM. Hotline 0938-083-998/ (028) 7300-7588

CÔNG TY TƯ VẤN QUẢN LÝ VINTECOM QUỐC TẾ

Head Office: Số 5 phố Hoàng Sâm, Nghĩa Đô, Cầu giấy, TP. Hà Nội

VĂN PHÒNG VINTECOM HÀ NỘI

Address: 16th Floor - Green Stars City

234 Phạm Văn Đồng, phường Phú Diễn, TP. Hà Nội

Tel/ Fax : (024) 730.588.58/ (024) 730.333.86

Hotline: 0948 865 288

YM: kdvintecom

Email : office-hn@vintecom.com.vn

Web : www.vintecom.com.vn

VĂN PHÒNG VINTECOM HỒ CHÍ MINH

Address: Glory Heights - Vinhomes Grand Park