ISO/IEC 27001 – Hệ thống quản lý an toàn thông tin (ISMS) - Viện Đổi mới sáng tạo và chuyển giao công nghệ

ISO/IEC 27001 giúp tổ chức bảo mật dữ liệu, giảm rủi ro an ninh thông tin và tăng độ tin cậy
với khách hàng/đối tác thông qua cách tiếp cận quản trị rủi ro và kiểm soát an toàn thông tin.

Doanh nghiệp thường gặp

Quyền truy cập phân tán, cấp/quản lý tài khoản chưa chặt, khó truy vết.
Thiếu quy trình xử lý sự cố, backup/khôi phục, quản lý thay đổi và nhà cung cấp.
Dữ liệu nhạy cảm (khách hàng/đối tác/nhân sự) chưa có phân loại và kiểm soát thống nhất.
Khách hàng yêu cầu đánh giá ATTT, chứng nhận hoặc hỏi “bằng chứng vận hành” của ISMS.

ITI triển khai theo hướng

Scope rõ: chọn phạm vi ISMS phù hợp để tối ưu chi phí và thời gian.
Risk-driven: phương pháp đánh giá rủi ro + kế hoạch xử lý rủi ro + SoA.
Policy → control → evidence: mỗi kiểm soát đều có cách vận hành và hồ sơ minh chứng.
Phối hợp IT & nghiệp vụ: ATTT không chỉ là IT; cần quy trình và trách nhiệm rõ.

Lợi ích khi triển khai

Thiết lập khung quản trị rủi ro an toàn thông tin.
Giảm nguy cơ sự cố, rò rỉ dữ liệu và gián đoạn dịch vụ.
Tăng niềm tin khách hàng, hỗ trợ yêu cầu đấu thầu/chuỗi cung ứng.
Nền tảng để mở rộng quản lý quyền riêng tư (ISO/IEC 27701).

Deliverables chi tiết

Phạm vi ISMS, chính sách an toàn thông tin, phân quyền & vai trò.
Đánh giá rủi ro, kế hoạch xử lý rủi ro, Statement of Applicability (SoA).
Quy trình quản lý sự cố, thay đổi, tài sản, nhà cung cấp, backup…
Đánh giá nội bộ, CAPA và xem xét của lãnh đạo.

Danh mục tài sản thông tin (asset inventory) và phân loại thông tin (nếu áp dụng).
Chính sách truy cập, quản trị tài khoản, mật khẩu/MFA (tùy hạ tầng).
Kế hoạch tiếp tục hoạt động/khôi phục (BCP/DR) mức tối thiểu theo rủi ro.
Bộ bằng chứng vận hành: log, ticket, biên bản họp, checklist, báo cáo kiểm tra định kỳ…

Quy trình triển khai gợi ý

1

Khảo sát & xác định phạm vi ISMS
Hệ thống, dữ liệu, dịch vụ, bên liên quan và yêu cầu tuân thủ.
2

Đánh giá rủi ro & SoA
Chọn kiểm soát phù hợp và lập kế hoạch xử lý rủi ro.
3

Thiết kế quy trình & vận hành
Chính sách, quy trình, kiểm soát kỹ thuật và hồ sơ minh chứng.
4

Đánh giá nội bộ & sẵn sàng chứng nhận
Đánh giá, khắc phục và chuẩn bị làm việc với tổ chức chứng nhận.

Thông tin cần chuẩn bị

Hạ tầng & dữ liệu

Danh sách hệ thống/ứng dụng, sơ đồ hạ tầng mức cao, nhà cung cấp cloud/hosting (nếu có).
Danh mục dữ liệu quan trọng/nhạy cảm và luồng dữ liệu chính.
Danh sách tài khoản/quyền truy cập hiện tại (AD/SSO/ứng dụng cốt lõi) nếu có thể trích xuất.

Quy trình & tuân thủ

Quy trình ITSM (incident/change/problem), backup/restore, onboarding/offboarding (nếu có).
Hợp đồng với nhà cung cấp quan trọng (SLA, điều khoản bảo mật) nếu cần đánh giá.
Yêu cầu khách hàng/đối tác (security questionnaire, audit checklist) và mục tiêu chứng nhận.

Thời gian triển khai

Thời gian dự kiến: thường 8–16 tuần tùy phạm vi hệ thống và mức độ phức tạp.
Nếu phạm vi bao gồm nhiều ứng dụng/đơn vị hoặc cần cải thiện kiểm soát kỹ thuật lớn, timeline có thể dài hơn.

Câu hỏi thường gặp

SoA là gì và vì sao quan trọng?

Statement of Applicability (SoA) là danh sách kiểm soát áp dụng/không áp dụng và lý do. Đây là “bản đồ kiểm soát” để chứng minh tổ chức đã lựa chọn biện pháp phù hợp với rủi ro.

ISO/IEC 27001 chỉ dành cho công ty IT?

Không. Bất kỳ tổ chức nào xử lý dữ liệu quan trọng đều có thể áp dụng. Phạm vi ISMS sẽ được thiết kế phù hợp (VD: chỉ cho một dịch vụ, một hệ thống, hoặc toàn doanh nghiệp).

Đã dùng cloud thì có làm ISO/IEC 27001 được không?

Có. Khi dùng cloud cần làm rõ trách nhiệm với nhà cung cấp, quản trị quyền truy cập, cấu hình an toàn và bằng chứng vận hành.

Khóa học liên quan

Xem Khóa học ISO/IEC 27001 (đánh giá rủi ro,
kiểm soát và đánh giá nội bộ ISMS).

Liên quan quyền riêng tư

Nếu mục tiêu tập trung vào dữ liệu cá nhân, xem thêm ISO/IEC 27701.

Nhận tư vấn
Quay lại ISO