Annex A ISO 27001 là danh mục biện pháp kiểm soát an toàn thông tin mà mọi hệ thống ISO/IEC 27001 phải đối chiếu khi xử lý rủi ro. Bản 2022 có 93 biện pháp trong 4 chủ đề, thay cho 114 biện pháp trong 14 nhóm của bản 2013.
Tóm tắt
- ISO/IEC 27001:2022 có 93 biện pháp kiểm soát trong 4 chủ đề: tổ chức (37), con người (8), vật lý (14), công nghệ (34).
- Bản 2022 bổ sung 11 biện pháp mới, phần lớn liên quan đến đám mây, dữ liệu và giám sát.
- Giai đoạn chuyển đổi đã kết thúc ngày 31/10/2025. Chứng chỉ theo bản 2013 không còn hiệu lực.
- Không phải biện pháp nào cũng bắt buộc. Lựa chọn dựa trên đánh giá rủi ro và được giải trình trong SoA.
Annex A là gì?
Annex A (Phụ lục A) của ISO/IEC 27001 là danh mục tham chiếu các biện pháp kiểm soát an toàn thông tin. Theo điều 6.1.3, sau khi đánh giá rủi ro, tổ chức xác định các biện pháp cần thiết để xử lý rủi ro, rồi so sánh với Annex A để chắc chắn không bỏ sót biện pháp quan trọng nào (6.1.3 c).
Hướng dẫn triển khai nằm trong ISO/IEC 27002:2022. Lưu ý: chỉ biện pháp trong Annex A mới được loại trừ (có giải trình); các yêu cầu từ điều 4 đến điều 10 là bắt buộc với mọi tổ chức.
Cấu trúc 4 chủ đề
Bản 2022 gom các biện pháp theo bản chất thay vì theo lĩnh vực quản lý như bản 2013:
| Điều khoản | Chủ đề | Ví dụ biện pháp | Số lượng |
|---|---|---|---|
| A.5 | Tổ chức | Chính sách, phân loại thông tin, quản lý nhà cung cấp, quản lý sự cố | 37 |
| A.6 | Con người | Sàng lọc nhân sự, đào tạo nhận thức, làm việc từ xa | 8 |
| A.7 | Vật lý | Vùng an ninh, kiểm soát ra vào, bảo vệ thiết bị | 14 |
| A.8 | Công nghệ | Kiểm soát truy cập, mã hóa, sao lưu, ghi log, lập trình an toàn | 34 |
| Tổng cộng | 93 | ||
ISO/IEC 27002:2022 còn gắn cho mỗi biện pháp 5 thuộc tính (loại biện pháp, thuộc tính an toàn thông tin, khái niệm an ninh mạng, năng lực vận hành, lĩnh vực an ninh) để lọc và nhóm biện pháp theo nhu cầu.
Danh sách đầy đủ 93 biện pháp
A.5 Biện pháp tổ chức (37)
- 5.1 Chính sách an toàn thông tin; 5.2 Vai trò và trách nhiệm; 5.3 Phân tách nhiệm vụ; 5.4 Trách nhiệm của cấp quản lý
- 5.5 Liên lạc với cơ quan chức năng; 5.6 Liên lạc với các nhóm chuyên môn; 5.7 Thông tin về mối đe dọa; 5.8 An toàn thông tin trong quản lý dự án
- 5.9 Kiểm kê thông tin và tài sản liên quan; 5.10 Sử dụng chấp nhận được thông tin và tài sản; 5.11 Hoàn trả tài sản
- 5.12 Phân loại thông tin; 5.13 Ghi nhãn thông tin; 5.14 Chuyển giao thông tin
- 5.15 Kiểm soát truy cập; 5.16 Quản lý định danh; 5.17 Thông tin xác thực; 5.18 Quyền truy cập
- 5.19 An toàn thông tin trong quan hệ nhà cung cấp; 5.20 An toàn thông tin trong thỏa thuận với nhà cung cấp; 5.21 Quản lý an toàn thông tin trong chuỗi cung ứng CNTT; 5.22 Theo dõi, xem xét và quản lý thay đổi dịch vụ nhà cung cấp; 5.23 An toàn thông tin khi sử dụng dịch vụ đám mây
- 5.24 Hoạch định và chuẩn bị quản lý sự cố; 5.25 Đánh giá và quyết định đối với sự kiện an toàn thông tin; 5.26 Ứng phó sự cố; 5.27 Rút kinh nghiệm từ sự cố; 5.28 Thu thập chứng cứ
- 5.29 An toàn thông tin khi gián đoạn; 5.30 Sẵn sàng CNTT cho tính liên tục kinh doanh
- 5.31 Yêu cầu pháp luật, chế định và hợp đồng; 5.32 Quyền sở hữu trí tuệ; 5.33 Bảo vệ hồ sơ; 5.34 Quyền riêng tư và bảo vệ dữ liệu cá nhân
- 5.35 Xem xét độc lập về an toàn thông tin; 5.36 Tuân thủ chính sách, quy tắc và tiêu chuẩn an toàn thông tin; 5.37 Quy trình vận hành dạng văn bản
A.6 Biện pháp con người (8)
- 6.1 Sàng lọc; 6.2 Điều khoản và điều kiện tuyển dụng; 6.3 Nhận thức, giáo dục và đào tạo an toàn thông tin; 6.4 Quy trình kỷ luật
- 6.5 Trách nhiệm sau khi nghỉ việc hoặc thay đổi công việc; 6.6 Thỏa thuận bảo mật; 6.7 Làm việc từ xa; 6.8 Báo cáo sự kiện an toàn thông tin
A.7 Biện pháp vật lý (14)
- 7.1 Vành đai an ninh vật lý; 7.2 Kiểm soát ra vào; 7.3 Bảo vệ văn phòng, phòng và cơ sở; 7.4 Giám sát an ninh vật lý
- 7.5 Bảo vệ trước mối đe dọa vật lý và môi trường; 7.6 Làm việc trong khu vực an ninh; 7.7 Bàn làm việc sạch và màn hình sạch
- 7.8 Bố trí và bảo vệ thiết bị; 7.9 An toàn tài sản bên ngoài cơ sở; 7.10 Phương tiện lưu trữ; 7.11 Tiện ích hỗ trợ (điện, làm mát)
- 7.12 An toàn cáp; 7.13 Bảo trì thiết bị; 7.14 Hủy hoặc tái sử dụng thiết bị an toàn
A.8 Biện pháp công nghệ (34)
- 8.1 Thiết bị đầu cuối người dùng; 8.2 Quyền truy cập đặc quyền; 8.3 Hạn chế truy cập thông tin; 8.4 Truy cập mã nguồn; 8.5 Xác thực an toàn
- 8.6 Quản lý năng lực hệ thống; 8.7 Phòng chống mã độc; 8.8 Quản lý lỗ hổng kỹ thuật; 8.9 Quản lý cấu hình
- 8.10 Xóa thông tin; 8.11 Che giấu dữ liệu; 8.12 Ngăn ngừa rò rỉ dữ liệu; 8.13 Sao lưu thông tin; 8.14 Dự phòng phương tiện xử lý thông tin
- 8.15 Ghi nhật ký; 8.16 Hoạt động giám sát; 8.17 Đồng bộ thời gian; 8.18 Sử dụng chương trình tiện ích đặc quyền; 8.19 Cài đặt phần mềm trên hệ thống vận hành
- 8.20 An toàn mạng; 8.21 An toàn dịch vụ mạng; 8.22 Phân tách mạng; 8.23 Lọc truy cập web; 8.24 Sử dụng mật mã
- 8.25 Vòng đời phát triển an toàn; 8.26 Yêu cầu an toàn ứng dụng; 8.27 Nguyên tắc kiến trúc và kỹ thuật hệ thống an toàn; 8.28 Lập trình an toàn
- 8.29 Kiểm thử an toàn trong phát triển và nghiệm thu; 8.30 Phát triển thuê ngoài; 8.31 Tách biệt môi trường phát triển, kiểm thử và vận hành
- 8.32 Quản lý thay đổi; 8.33 Thông tin kiểm thử; 8.34 Bảo vệ hệ thống thông tin trong quá trình kiểm thử đánh giá
11 biện pháp mới trong bản 2022
- 5.7Thông tin về mối đe dọa (threat intelligence)
- 5.23An toàn thông tin khi sử dụng dịch vụ đám mây
- 5.30Sẵn sàng CNTT cho tính liên tục kinh doanh
- 7.4Giám sát an ninh vật lý
- 8.9Quản lý cấu hình
- 8.10Xóa thông tin
- 8.11Che giấu dữ liệu (data masking)
- 8.12Ngăn ngừa rò rỉ dữ liệu
- 8.16Hoạt động giám sát
- 8.23Lọc truy cập web
- 8.28Lập trình an toàn
- Hướng dẫn triển khai chi tiết: ISO/IEC 27002:2022
Khác biệt so với bản 2013
- Số lượng: từ 114 xuống 93 biện pháp. Phần lớn là do gộp các biện pháp trùng lặp, không phải bỏ bớt yêu cầu.
- Cấu trúc: từ 14 nhóm (A.5 đến A.18) thành 4 chủ đề (A.5 đến A.8). Mã số biện pháp thay đổi hoàn toàn, nên SoA cũ phải lập lại.
- Phần điều khoản 4 đến 10: thay đổi nhỏ, ví dụ yêu cầu hoạch định thay đổi (6.3) và xác định quá trình cần thiết của hệ thống (4.4).
Hạn chuyển đổi đã qua. Theo IAF MD 26, chứng chỉ ISO/IEC 27001:2013 hết hiệu lực sau ngày 31/10/2025. Tổ chức chưa chuyển đổi cần đánh giá chứng nhận theo bản 2022.
Lập Tuyên bố áp dụng (SoA)
SoA (Statement of Applicability) là thông tin dạng văn bản bắt buộc theo điều 6.1.3 d. Với từng biện pháp trong Annex A, SoA cần thể hiện:
- Biện pháp có được áp dụng hay không.
- Lý do áp dụng, thường gắn với rủi ro hoặc yêu cầu pháp lý, hợp đồng.
- Lý do loại trừ nếu không áp dụng.
- Tình trạng triển khai.
Có thể bổ sung biện pháp ngoài Annex A nếu đánh giá rủi ro cho thấy cần thiết. SoA nên có số phiên bản và ngày phê duyệt, vì chứng chỉ thường viện dẫn phiên bản SoA.
Ví dụ minh hoạ: một công ty phần mềm 60 người chạy toàn bộ hạ tầng trên đám mây. SoA có thể giới hạn 7.11 và 7.12 ở văn phòng, phần trung tâm dữ liệu kiểm soát qua 5.23; còn 8.25 đến 8.31 về phát triển an toàn gần như chắc chắn phải áp dụng.
Chuyên gia đánh giá thường xem xét gì?
Chuyên gia đối chiếu SoA với thực tế vận hành, thường hỏi:
- SoA có nhất quán với kết quả đánh giá rủi ro (8.2) và kế hoạch xử lý rủi ro đã được chủ rủi ro phê duyệt (6.1.3 e, f) không.
- Lý do loại trừ có hợp lý không, ví dụ loại trừ 8.28 Lập trình an toàn trong khi tổ chức có đội phát triển phần mềm.
- Có bằng chứng vận hành thực tế: biên bản rà soát quyền định kỳ (5.18), danh sách tài khoản đặc quyền (8.2), kết quả khôi phục thử bản sao lưu (8.13), nhật ký được bảo vệ khỏi chỉnh sửa (8.15).
- Biện pháp mới có thực chất chưa: danh mục dịch vụ đám mây và tiêu chí chọn nhà cung cấp (5.23), cấu hình chuẩn được lập thành văn bản (8.9), nguồn thông tin mối đe dọa được phân tích chứ không chỉ đăng ký nhận tin (5.7).
Sự không phù hợp hay gặp: SoA ghi “đã triển khai” nhưng không có bằng chứng; danh mục tài sản (5.9) thiếu dịch vụ SaaS; quyền truy cập của nhân viên đã nghỉ việc chưa thu hồi (5.18, 6.5). DAS là tổ chức chứng nhận nên không tư vấn cách lập SoA; đánh giá viên chỉ ghi nhận phát hiện dựa trên bằng chứng.
Câu hỏi thường gặp
Có phải áp dụng đủ 93 biện pháp không?
Không. Tổ chức chọn biện pháp dựa trên kết quả đánh giá rủi ro, yêu cầu pháp luật và hợp đồng. Biện pháp không áp dụng phải có lý do loại trừ hợp lý trong SoA.
Annex A khác ISO/IEC 27002 thế nào?
Annex A là phần chuẩn tắc, dùng làm căn cứ đánh giá chứng nhận. ISO/IEC 27002 dùng cùng mã số nhưng chỉ hướng dẫn triển khai; không có chứng nhận theo ISO/IEC 27002.
SoA có phải gửi cho khách hàng không?
Tiêu chuẩn không bắt buộc công khai SoA. Nhiều tổ chức chỉ cung cấp bản tóm tắt khi khách hàng yêu cầu, vì SoA có thể chứa thông tin nhạy cảm về hệ thống bảo vệ.
Cách đánh giá viên đối chiếu SoA với thực tế vận hành trong đợt chứng nhận xem tại trang dịch vụ chứng nhận ISO 27001.
Nguồn tham khảo
- ISO/IEC 27001:2022: tiêu chuẩn yêu cầu, chứa Annex A với 93 biện pháp.
- ISO/IEC 27002:2022: hướng dẫn triển khai và 5 thuộc tính của từng biện pháp.
- Tài liệu IAF: IAF MD 26 về chuyển đổi sang ISO/IEC 27001:2022.
Bài viết cung cấp thông tin chung về yêu cầu tiêu chuẩn. Là tổ chức chứng nhận, DAS không tư vấn xây dựng hệ thống cho doanh nghiệp mà DAS đánh giá.
Biên soạn và rà soát
Chuyên gia đánh giá DAS Việt Nam Bài viết do đội ngũ chuyên gia đánh giá trưởng của DAS Việt Nam biên soạn và rà soát, dựa trên kinh nghiệm đánh giá chứng nhận thực tế tại doanh nghiệp.