ISO 27001 2022 (ISO/IEC 27001:2022) thay thế bản 2013 với thay đổi nhỏ ở phần điều khoản và thay đổi lớn ở Annex A: từ 114 biện pháp trong 14 nhóm còn 93 biện pháp trong 4 chủ đề, trong đó có 11 biện pháp mới. Giai đoạn chuyển đổi đã kết thúc ngày 31/10/2025, nên câu hỏi hiện nay không còn là “khi nào chuyển” mà là chứng chỉ đang dùng có ghi đúng phiên bản hay không.
Tóm tắt
- Ban hành tháng 10/2022; sửa đổi Amd 1:2024 bổ sung yêu cầu xem xét biến đổi khí hậu ở điều 4.1 và 4.2.
- Điều 4 đến 10: bổ sung yêu cầu về quá trình, hoạch định thay đổi, làm rõ một số yêu cầu.
- Annex A: 93 biện pháp, 4 chủ đề, 11 biện pháp mới.
- Chứng chỉ theo bản 2013 không còn hiệu lực sau 31/10/2025 (IAF MD 26).
Thay đổi ở điều 4 đến 10
Phần yêu cầu hệ thống được điều chỉnh để thống nhất với cấu trúc hài hòa (Harmonized Structure) của các tiêu chuẩn hệ thống quản lý ISO:
| Điều | Thay đổi |
|---|---|
| 4.2 | Xác định yêu cầu nào của các bên quan tâm sẽ được giải quyết qua ISMS |
| 4.4 | Yêu cầu xác định các quá trình cần thiết và tương tác giữa chúng |
| 5.3 | Vai trò, trách nhiệm phải được trao đổi trong tổ chức |
| 6.2 | Mục tiêu an toàn thông tin phải được theo dõi và có sẵn dưới dạng văn bản |
| 6.3 | Mới: hoạch định thay đổi đối với ISMS |
| 8.1 | Thiết lập tiêu chí cho các quá trình; kiểm soát quá trình, sản phẩm, dịch vụ do bên ngoài cung cấp có liên quan đến ISMS |
| 9.2, 9.3 | Tách thành tiểu mục (9.2.1, 9.2.2; 9.3.1 đến 9.3.3); thêm đầu vào xem xét của lãnh đạo về thay đổi nhu cầu, mong đợi của các bên quan tâm |
| 10 | Đổi thứ tự: 10.1 Cải tiến liên tục, 10.2 Sự không phù hợp và hành động khắc phục |
Sửa đổi Amd 1:2024 về biến đổi khí hậu
Tháng 2/2024, ISO ban hành sửa đổi chung cho nhiều tiêu chuẩn hệ thống quản lý, trong đó có ISO/IEC 27001:2022/Amd 1:2024. Điều 4.1 thêm yêu cầu tổ chức xác định biến đổi khí hậu có phải là vấn đề liên quan hay không; điều 4.2 thêm ghi chú rằng các bên quan tâm có thể có yêu cầu liên quan đến biến đổi khí hậu.
Với ISMS, câu trả lời có thể ngắn gọn nhưng phải có căn cứ. Ví dụ, trung tâm dữ liệu ở vùng hay ngập có thể coi thời tiết cực đoan là rủi ro đối với tính sẵn sàng, liên quan đến 7.5 và 5.30. Đánh giá viên sẽ hỏi tổ chức đã xem xét vấn đề này trong phân tích bối cảnh chưa, không yêu cầu kết luận phải là “có liên quan”.
Thay đổi ở Annex A
Bản 2022 tổ chức lại toàn bộ biện pháp kiểm soát theo bản chất thay vì theo lĩnh vực:
| Tiêu chí | Bản 2013 | Bản 2022 |
|---|---|---|
| Số biện pháp | 114 | 93 |
| Cách nhóm | 14 nhóm (A.5 đến A.18) | 4 chủ đề: Tổ chức (37), Con người (8), Vật lý (14), Công nghệ (34) |
| Biện pháp mới | Không áp dụng | 11 |
| Thuộc tính phân loại | Không có | 5 thuộc tính trong ISO/IEC 27002:2022 |
Số lượng giảm chủ yếu do gộp các biện pháp trùng lặp, không phải do bỏ bớt yêu cầu. 11 biện pháp mới gồm: thông tin về mối đe dọa (5.7), an toàn thông tin khi dùng dịch vụ đám mây (5.23), sẵn sàng CNTT cho liên tục kinh doanh (5.30), giám sát an ninh vật lý (7.4), quản lý cấu hình (8.9), xóa thông tin (8.10), che giấu dữ liệu (8.11), ngăn ngừa rò rỉ dữ liệu (8.12), hoạt động giám sát (8.16), lọc truy cập web (8.23), lập trình an toàn (8.28).
Danh sách đủ 93 biện pháp và cách lập SoA xem bài Annex A ISO/IEC 27001:2022.
Hạn chuyển đổi đã kết thúc: chứng chỉ hiện nay phải thể hiện gì
Theo IAF MD 26, mọi chứng chỉ ISO/IEC 27001:2013 hết hiệu lực sau ngày 31/10/2025. Từ thời điểm đó, chứng chỉ được công nhận chỉ cấp theo bản 2022. Khi kiểm tra chứng chỉ của chính mình hoặc của nhà cung cấp, cần thấy:
- Tiêu chuẩn ghi là ISO/IEC 27001:2022 (một số tổ chức chứng nhận ghi thêm Amd 1:2024).
- Viện dẫn phiên bản Tuyên bố áp dụng (SoA) theo mã biện pháp mới.
- Ngày hiệu lực và ngày hết hạn hợp lý; chứng chỉ ghi bản 2013 với ngày hết hạn sau 31/10/2025 là dấu hiệu cần xác minh.
- Tra cứu được trên cơ sở dữ liệu của tổ chức chứng nhận hoặc IAF CertSearch.
Tổ chức để chứng chỉ 2013 hết hiệu lực mà chưa chuyển đổi không được “gia hạn” chứng chỉ cũ; thường phải đánh giá theo bản 2022, có thể như một lần chứng nhận mới tùy quyết định của tổ chức chứng nhận.
Đánh giá viên kiểm tra gì ở các điểm thay đổi
Dù chuyển đổi đã xong, các điểm mới của bản 2022 vẫn là nơi phát hiện nhiều sự không phù hợp trong đánh giá giám sát:
- SoA chuyển đổi máy móc: dùng bảng ánh xạ 2013 sang 2022 nhưng không xem lại lý do áp dụng; ví dụ 8.11 ghi “không áp dụng” trong khi môi trường kiểm thử dùng dữ liệu khách hàng thật (liên quan 8.33).
- 6.3 Hoạch định thay đổi: chuyển hệ thống thư điện tử lên đám mây mà không có hồ sơ xem xét mục đích, hệ quả và nguồn lực của thay đổi.
- 8.1 Quá trình bên ngoài: dịch vụ trung tâm dữ liệu thuê ngoài không có tiêu chí kiểm soát, không được theo dõi theo 5.22.
- 5.7 Thông tin mối đe dọa: chỉ đăng ký nhận bản tin, không có phân tích hay hành động đi kèm.
- 8.16 Hoạt động giám sát: có công cụ thu thập nhật ký nhưng không ai xem cảnh báo, không có tiêu chí hành vi bất thường.
Ví dụ minh hoạ: một công ty BPO 150 người chuyển đổi bằng cách đổi mã biện pháp trong SoA. Đánh giá viên lấy mẫu 8.12 Ngăn ngừa rò rỉ dữ liệu, thấy SoA ghi “đã triển khai” nhưng cổng USB và tải tệp lên web cá nhân vẫn mở. Phát hiện được ghi nhận là sự không phù hợp với 6.1.3 vì SoA không phản ánh thực tế xử lý rủi ro.
Câu hỏi thường gặp
ISO 27001 phiên bản mới nhất là bản nào?
Phiên bản hiện hành là ISO/IEC 27001:2022 kèm sửa đổi Amd 1:2024. Chưa có phiên bản ISO/IEC 27001 mới hơn thay thế bản 2022.
Tiêu chuẩn ISO 27001:2013 còn dùng được không?
Bản 2013 đã bị thay thế và không còn là căn cứ chứng nhận. Tài liệu nội bộ viện dẫn mã biện pháp cũ (A.9, A.12…) nên được cập nhật để tránh nhầm lẫn khi đánh giá.
Amd 1:2024 có cần đánh giá chuyển đổi riêng không?
Không có giai đoạn chuyển đổi riêng cho Amd 1:2024. Nội dung sửa đổi được kiểm tra trong các cuộc đánh giá giám sát hoặc chứng nhận lại thông thường.
Có bảng đối chiếu biện pháp 2013 và 2022 không?
ISO/IEC 27002:2022 có phụ lục đối chiếu mã biện pháp giữa hai phiên bản. Bảng này hữu ích để rà soát, nhưng SoA vẫn phải dựa trên đánh giá rủi ro hiện tại.
Xem thêm tổng quan về ISO 27001, hoặc quy trình và ước tính ngày công đánh giá tại trang chứng nhận ISO 27001.
Nguồn tham khảo
- ISO/IEC 27001:2022: tiêu chuẩn hiện hành và sửa đổi Amd 1:2024.
- ISO/IEC 27002:2022: hướng dẫn biện pháp, có bảng đối chiếu với bản 2013.
- Tài liệu IAF: IAF MD 26, yêu cầu chuyển đổi sang ISO/IEC 27001:2022.
- IAF CertSearch: tra cứu chứng chỉ được công nhận.
Bài viết cung cấp thông tin chung về yêu cầu tiêu chuẩn. Là tổ chức chứng nhận, DAS không tư vấn xây dựng hệ thống cho doanh nghiệp mà DAS đánh giá.
Biên soạn và rà soát
Chuyên gia đánh giá DAS Việt Nam Bài viết do đội ngũ chuyên gia đánh giá trưởng của DAS Việt Nam biên soạn và rà soát, dựa trên kinh nghiệm đánh giá chứng nhận thực tế tại doanh nghiệp.