ISO 27001 là gì? Đó là tiêu chuẩn quốc tế ISO/IEC 27001 quy định yêu cầu cho hệ thống quản lý an toàn thông tin (ISMS). Tiêu chuẩn giúp tổ chức bảo vệ tính bảo mật, tính toàn vẹn và tính sẵn sàng của thông tin bằng cách đánh giá rủi ro và lựa chọn biện pháp kiểm soát phù hợp. Phiên bản hiện hành là ISO/IEC 27001:2022, kèm sửa đổi Amd 1:2024.
Tóm tắt
- Do ISO và IEC cùng ban hành, nên tên đầy đủ là ISO/IEC 27001.
- Các phiên bản: 2005, 2013 và 2022 (hiện hành, kèm Amd 1:2024). Không có phiên bản 2015.
- Gồm điều 4 đến 10 (yêu cầu hệ thống, bắt buộc) và Annex A với 93 biện pháp kiểm soát (chọn theo rủi ro).
- Áp dụng cho mọi tổ chức, không chỉ doanh nghiệp công nghệ.
ISO 27001 quy định những gì?
ISO/IEC 27001 không yêu cầu một công nghệ hay sản phẩm bảo mật cụ thể. Tiêu chuẩn yêu cầu tổ chức xây dựng một hệ thống quản lý: xác định thông tin cần bảo vệ, đánh giá rủi ro, quyết định cách xử lý rủi ro, vận hành biện pháp kiểm soát và đo lường hiệu quả để cải tiến.
Ba thuộc tính an toàn thông tin là trọng tâm:
- Bảo mật: chỉ người được phép mới truy cập được thông tin.
- Toàn vẹn: thông tin chính xác, không bị thay đổi trái phép.
- Sẵn sàng: người được phép truy cập được thông tin khi cần.
“Thông tin” ở đây hiểu rộng: dữ liệu trên máy chủ và dịch vụ đám mây, hồ sơ giấy, mã nguồn, thậm chí hiểu biết của nhân sự chủ chốt. Vì vậy ISMS không chỉ là việc của phòng CNTT mà liên quan đến nhân sự, pháp chế, mua hàng và các bộ phận nghiệp vụ.
Cấu trúc của tiêu chuẩn
ISO/IEC 27001 dùng cấu trúc hài hòa (Harmonized Structure) chung với ISO 9001, ISO 14001 và ISO 45001, nên dễ tích hợp với các hệ thống quản lý khác.
| Điều | Nội dung chính |
|---|---|
| 4. Bối cảnh | Vấn đề nội bộ, bên ngoài (gồm xem xét biến đổi khí hậu theo Amd 1:2024), các bên quan tâm, phạm vi ISMS |
| 5. Lãnh đạo | Cam kết, chính sách an toàn thông tin, vai trò và trách nhiệm |
| 6. Hoạch định | Đánh giá rủi ro, xử lý rủi ro, Tuyên bố áp dụng (SoA), mục tiêu, hoạch định thay đổi |
| 7. Hỗ trợ | Nguồn lực, năng lực, nhận thức, trao đổi thông tin, thông tin dạng văn bản |
| 8. Thực hiện | Kiểm soát vận hành, đánh giá và xử lý rủi ro định kỳ |
| 9. Đánh giá kết quả | Theo dõi, đo lường, đánh giá nội bộ, xem xét của lãnh đạo |
| 10. Cải tiến | Cải tiến liên tục, sự không phù hợp và hành động khắc phục |
Annex A liệt kê 93 biện pháp kiểm soát trong 4 chủ đề: tổ chức (5.1 đến 5.37), con người (6.1 đến 6.8), vật lý (7.1 đến 7.14) và công nghệ (8.1 đến 8.34). Tổ chức được loại trừ biện pháp trong Annex A nếu có lý do, nhưng không được loại trừ yêu cầu nào ở điều 4 đến 10. Chi tiết xem bài Annex A ISO/IEC 27001:2022.
Cốt lõi: quản lý rủi ro an toàn thông tin
Trái tim của ISO/IEC 27001 là điều 6.1.2 và 6.1.3. Tổ chức phải tự xác định phương pháp đánh giá rủi ro, gồm tiêu chí chấp nhận rủi ro, và phương pháp đó phải cho kết quả nhất quán, có giá trị và so sánh được khi lặp lại. Mỗi rủi ro phải có chủ rủi ro. Sau đó tổ chức chọn phương án xử lý, xác định biện pháp cần thiết, so sánh với Annex A, lập SoA và kế hoạch xử lý rủi ro được chủ rủi ro phê duyệt.
Điều 8.2 và 8.3 yêu cầu đánh giá lại rủi ro theo kế hoạch và khi có thay đổi đáng kể, ví dụ chuyển hệ thống lên đám mây hay thuê ngoài một quá trình. ISO/IEC 27005:2022 là tài liệu hướng dẫn chi tiết cho phần này.
Thông tin dạng văn bản bắt buộc
Tiêu chuẩn không yêu cầu sổ tay, nhưng có danh sách thông tin dạng văn bản tối thiểu mà đánh giá viên sẽ hỏi:
- Phạm vi ISMS (4.3) và chính sách an toàn thông tin (5.2).
- Quá trình đánh giá rủi ro (6.1.2), quá trình xử lý rủi ro (6.1.3) và SoA (6.1.3 d).
- Mục tiêu an toàn thông tin (6.2) và bằng chứng năng lực (7.2).
- Kết quả đánh giá rủi ro (8.2) và xử lý rủi ro (8.3).
- Kết quả theo dõi, đo lường (9.1), chương trình và kết quả đánh giá nội bộ (9.2), kết quả xem xét của lãnh đạo (9.3).
- Sự không phù hợp và hành động khắc phục (10.2).
Ngoài ra là hồ sơ phát sinh từ biện pháp đã chọn, ví dụ quy trình vận hành dạng văn bản (5.37), nhật ký sự kiện (8.15), biên bản rà soát quyền truy cập (5.18).
ISO 27001 và các tiêu chuẩn liên quan
- ISO/IEC 27002:2022: hướng dẫn cách triển khai từng biện pháp trong Annex A. Không dùng để chứng nhận.
- ISO/IEC 27005:2022: hướng dẫn quản lý rủi ro an toàn thông tin.
- ISO/IEC 27701:2025: hệ thống quản lý thông tin quyền riêng tư. Từ bản 2025, đây là tiêu chuẩn hệ thống quản lý độc lập, chứng nhận được mà không cần ISO/IEC 27001, nhưng vẫn tích hợp được với ISMS.
- ISO/IEC 27006-1: yêu cầu bổ sung cho tổ chức chứng nhận ISMS, gồm cách tính thời gian đánh giá.
Với yêu cầu pháp lý tại Việt Nam, Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định 356/2025/NĐ-CP (cùng hiệu lực từ 01/01/2026, Nghị định 356 thay thế Nghị định 13/2023/NĐ-CP) là nghĩa vụ mà ISMS phải nhận diện ở điều 4.2 và biện pháp 5.31, 5.34. Chứng chỉ ISO/IEC 27001 không thay thế nghĩa vụ tuân thủ, nhưng là khung có hệ thống để thực hiện và chứng minh.
Ai nên áp dụng ISO 27001?
Mọi tổ chức xử lý thông tin quan trọng đều có thể áp dụng: công nghệ thông tin, ngân hàng, bảo hiểm, BPO, y tế, viễn thông, năng lượng, cơ quan nhà nước. Lý do thường gặp là khách hàng hoặc đối tác yêu cầu nhà cung cấp có chứng nhận, hồ sơ đấu thầu đòi hỏi, hoặc tổ chức muốn quản lý rủi ro an ninh mạng có hệ thống.
Đánh giá viên kiểm tra gì?
Chứng nhận do tổ chức chứng nhận độc lập thực hiện, theo ISO/IEC 17021-1 và ISO/IEC 27006-1. Quy trình gồm đánh giá giai đoạn 1 (tài liệu, mức độ sẵn sàng), giai đoạn 2 (vận hành thực tế), thẩm xét và cấp chứng chỉ hiệu lực 3 năm, sau đó giám sát hằng năm. Ở giai đoạn 2, đánh giá viên thường:
- Lấy mẫu rủi ro trong sổ đăng ký, lần theo biện pháp xử lý trong SoA đến bằng chứng vận hành.
- Kiểm tra tài khoản của nhân viên đã nghỉ việc đã được thu hồi chưa (5.18, 6.5).
- Yêu cầu xem kết quả khôi phục thử bản sao lưu (8.13), không chỉ lịch sao lưu.
- Phỏng vấn nhân viên về cách báo cáo sự kiện an toàn thông tin (6.8).
Sự không phù hợp hay gặp ở lần đầu: phương pháp đánh giá rủi ro không có tiêu chí chấp nhận rủi ro; mục tiêu an toàn thông tin không đo lường được; đánh giá nội bộ do chính người vận hành hệ thống tự đánh giá công việc của mình, thiếu khách quan theo 9.2.2.
Câu hỏi thường gặp
ISO 27001 có bắt buộc tại Việt Nam không?
Pháp luật không bắt buộc doanh nghiệp phải có chứng nhận ISO/IEC 27001. Yêu cầu thường đến từ hợp đồng, hồ sơ mời thầu hoặc chính sách quản lý nhà cung cấp của khách hàng.
ISO 27001 và ISO 27002 khác nhau thế nào?
ISO/IEC 27001 là tiêu chuẩn yêu cầu, dùng để đánh giá chứng nhận. ISO/IEC 27002 là hướng dẫn triển khai biện pháp kiểm soát, cùng mã số với Annex A, không cấp chứng chỉ theo ISO/IEC 27002.
Có phiên bản tiếng Việt của ISO 27001 không?
Việt Nam có các TCVN chấp nhận tiêu chuẩn họ ISO/IEC 27000, nhưng cần kiểm tra TCVN đó tương ứng với phiên bản nào. Khi đánh giá chứng nhận, căn cứ là ISO/IEC 27001:2022 kèm Amd 1:2024.
Khi ISMS đã vận hành, doanh nghiệp có thể đăng ký đánh giá ISO 27001 với DAS và nhận đề xuất ngày công.
Nguồn tham khảo
- ISO/IEC 27001:2022: tiêu chuẩn yêu cầu đối với hệ thống quản lý an toàn thông tin.
- ISO/IEC 27002:2022: hướng dẫn triển khai biện pháp kiểm soát.
- ISO/IEC 27005:2022: hướng dẫn quản lý rủi ro an toàn thông tin.
- ISO/IEC 27701:2025: hệ thống quản lý thông tin quyền riêng tư, chứng nhận độc lập.
- ISO/IEC 17021-1:2015: yêu cầu đối với tổ chức đánh giá chứng nhận hệ thống quản lý.
Bài viết cung cấp thông tin chung về yêu cầu tiêu chuẩn. Là tổ chức chứng nhận, DAS không tư vấn xây dựng hệ thống cho doanh nghiệp mà DAS đánh giá.
Biên soạn và rà soát
Chuyên gia đánh giá DAS Việt Nam Bài viết do đội ngũ chuyên gia đánh giá trưởng của DAS Việt Nam biên soạn và rà soát, dựa trên kinh nghiệm đánh giá chứng nhận thực tế tại doanh nghiệp.