Quy trình chứng nhận ISO 27001 gồm các bước: đăng ký và xác định phạm vi ISMS, đánh giá giai đoạn 1, đánh giá giai đoạn 2, thẩm xét và cấp chứng chỉ, giám sát hằng năm và chứng nhận lại sau 3 năm. Ngoài ISO/IEC 17021-1, tổ chức chứng nhận còn phải tuân theo ISO/IEC 27006-1, tiêu chuẩn riêng cho chứng nhận hệ thống quản lý an toàn thông tin. Căn cứ đánh giá hiện nay là ISO/IEC 27001:2022 kèm Amd 1:2024.
Tóm tắt
- Phạm vi ISMS là quyết định quan trọng nhất, được ghi trên chứng chỉ.
- Giai đoạn 1 kiểm tra đánh giá rủi ro, SoA và mức độ sẵn sàng.
- Giai đoạn 2 kiểm tra bằng chứng các biện pháp kiểm soát đang vận hành.
- Chứng chỉ có hiệu lực 3 năm, giám sát ít nhất mỗi năm một lần.
Bước 1: Đăng ký và xác định phạm vi
Phạm vi ISMS (điều 4.3) xác định bộ phận, địa điểm, hệ thống, dịch vụ nào được chứng nhận, cùng các giao diện và phụ thuộc với hoạt động bên ngoài phạm vi. Phạm vi phải phù hợp với điều doanh nghiệp muốn chứng minh với khách hàng. Ví dụ, nếu khách hàng quan tâm đến dịch vụ vận hành phần mềm, phạm vi chỉ gồm phòng hành chính sẽ không có giá trị với họ.
Khi đăng ký, tổ chức chứng nhận cần thông tin: số người làm việc trong phạm vi (gồm cả nhân sự thuê ngoài thường xuyên), số địa điểm, hệ thống CNTT chính, dịch vụ đám mây và quá trình thuê ngoài. Số ngày công đánh giá ISMS được tính theo ISO/IEC 27006-1, dựa trên số người trong phạm vi và mức độ phức tạp của hoạt động kinh doanh và hạ tầng CNTT. Tổ chức nhiều địa điểm có thể được lấy mẫu theo IAF MD 1 nếu đủ điều kiện; đánh giá tích hợp với ISO 9001 hoặc ISO 14001 theo IAF MD 11. Ước tính sơ bộ tại trang chứng nhận ISO 27001.
Bước 2: Đánh giá giai đoạn 1
Mục đích giai đoạn 1 là xác định tổ chức đã sẵn sàng cho giai đoạn 2 hay chưa và thu thập thông tin để lập kế hoạch giai đoạn 2. Chuyên gia xem xét:
- Phạm vi ISMS và bối cảnh (4.1, 4.2), gồm cả việc đã xem xét biến đổi khí hậu theo Amd 1:2024 hay chưa.
- Phương pháp và kết quả đánh giá rủi ro an toàn thông tin (6.1.2, 8.2).
- Kế hoạch xử lý rủi ro và phê duyệt của chủ rủi ro (6.1.3 e, f).
- Tuyên bố áp dụng (SoA) theo 93 biện pháp của Annex A, lý do loại trừ.
- Kết quả đánh giá nội bộ (9.2) và xem xét của lãnh đạo (9.3) đã thực hiện ít nhất một lần.
Phát hiện giai đoạn 1 thường được ghi nhận là “vấn đề cần lưu ý” và có thể dẫn đến sự không phù hợp ở giai đoạn 2 nếu không xử lý. Lý do phổ biến khiến giai đoạn 2 phải lùi lịch: chưa thực hiện đánh giá nội bộ đầy đủ phạm vi, hoặc SoA chưa khớp với kế hoạch xử lý rủi ro.
Bước 3: Đánh giá giai đoạn 2
Chuyên gia kiểm tra hiệu lực thực hiện của ISMS tại cơ sở: phỏng vấn người phụ trách, quan sát thực tế, kiểm tra cấu hình, nhật ký hệ thống (8.15), biên bản rà soát quyền truy cập (5.18), kết quả khôi phục thử bản sao lưu (8.13), hồ sơ xử lý sự cố (5.26), quản lý lỗ hổng (8.8) và đánh giá nhà cung cấp (5.19 đến 5.22). Đánh giá viên thường lấy mẫu một vài rủi ro trong sổ đăng ký, lần theo biện pháp tương ứng trong SoA và đòi bằng chứng vận hành.
Sự không phù hợp được phân loại nặng hoặc nhẹ. Theo ISO/IEC 17021-1, với sự không phù hợp nặng, tổ chức chứng nhận phải xác minh sự khắc phục và hành động khắc phục trước khi ra quyết định cấp chứng chỉ; với sự không phù hợp nhẹ, cần xem xét và chấp nhận kế hoạch khắc phục của tổ chức.
Ví dụ minh hoạ: một công ty dịch vụ phần mềm 70 người, ở giai đoạn 2, đánh giá viên lấy mẫu 5 nhân viên nghỉ việc trong 6 tháng và thấy 2 tài khoản đám mây chưa bị khoá. Đây là sự không phù hợp với 5.18 và 6.5; nếu quy trình thu hồi quyền hoàn toàn không tồn tại, mức độ có thể bị đánh giá là nặng.
Bước 4: Thẩm xét, cấp chứng chỉ và giám sát
Người không tham gia đánh giá thẩm xét hồ sơ và quyết định cấp chứng chỉ. Chứng chỉ ghi phạm vi, phiên bản SoA, địa điểm và có hiệu lực 3 năm. Đánh giá giám sát diễn ra ít nhất mỗi năm một lần; lần giám sát đầu tiên không quá 12 tháng kể từ ngày ra quyết định chứng nhận. Trước khi chứng chỉ hết hạn, tổ chức cần đánh giá chứng nhận lại để duy trì liên tục.
Giữa các kỳ đánh giá, tổ chức cần thông báo cho tổ chức chứng nhận khi có thay đổi đáng kể: thay đổi phạm vi, địa điểm, chuyển hạ tầng lên đám mây, sáp nhập. Chứng chỉ do DAS cấp có thể tra cứu tại trang khách hàng.
Hồ sơ thường được yêu cầu
| Hồ sơ | Điều khoản |
|---|---|
| Phạm vi ISMS | 4.3 |
| Chính sách an toàn thông tin | 5.2 |
| Quá trình đánh giá và xử lý rủi ro, kết quả | 6.1.2, 6.1.3, 8.2, 8.3 |
| Tuyên bố áp dụng (SoA) | 6.1.3 d |
| Mục tiêu an toàn thông tin | 6.2 |
| Bằng chứng năng lực | 7.2 |
| Kiểm soát vận hành (mức cần thiết) | 8.1 |
| Kết quả theo dõi, đo lường | 9.1 |
| Chương trình và kết quả đánh giá nội bộ | 9.2.2 |
| Kết quả xem xét của lãnh đạo | 9.3.3 |
| Sự không phù hợp và hành động khắc phục | 10.2 |
Ngoài ra là các hồ sơ phát sinh từ biện pháp kiểm soát được chọn trong SoA, ví dụ quy trình vận hành dạng văn bản (5.37), danh mục tài sản (5.9), thỏa thuận bảo mật (6.6). Danh sách biện pháp xem tại Annex A ISO/IEC 27001:2022.
DAS là tổ chức chứng nhận nên không tư vấn xây dựng ISMS. Tổ chức tự triển khai hoặc thuê đơn vị tư vấn độc lập; DAS chỉ đánh giá dựa trên bằng chứng khách quan.
Câu hỏi thường gặp
ISMS cần vận hành bao lâu trước khi đánh giá?
Tiêu chuẩn không quy định số tháng. Điều kiện thực tế là đã có đủ bằng chứng vận hành cho các biện pháp chính, đã hoàn thành ít nhất một chu kỳ đánh giá nội bộ và xem xét của lãnh đạo.
Có đánh giá từ xa được không?
Một phần hoạt động có thể thực hiện từ xa nếu tổ chức chứng nhận đánh giá rủi ro và hạ tầng cho phép, ví dụ xem xét tài liệu hay phỏng vấn. Kiểm tra biện pháp vật lý (7.1 đến 7.14) và quan sát thực tế thường vẫn cần tại cơ sở.
Trường hợp nào không được cấp chứng chỉ?
Khi sự không phù hợp nặng chưa được khắc phục và xác minh trong thời hạn, hoặc phạm vi đăng ký không khớp với hoạt động thực tế. Khi đó tổ chức chứng nhận có thể yêu cầu đánh giá lại giai đoạn 2.
Đọc thêm: ISO 27001 là gì và lợi ích của ISO 27001.
Nguồn tham khảo
- ISO/IEC 17021-1:2015: yêu cầu về đánh giá hai giai đoạn, giám sát và chứng nhận lại.
- ISO/IEC 27001:2022: căn cứ đánh giá chứng nhận ISMS.
- Tài liệu IAF: IAF MD 1 (đa địa điểm) và MD 11 (đánh giá tích hợp).
- IAF CertSearch: tra cứu chứng chỉ được công nhận.
Bài viết cung cấp thông tin chung về yêu cầu tiêu chuẩn. Là tổ chức chứng nhận, DAS không tư vấn xây dựng hệ thống cho doanh nghiệp mà DAS đánh giá.
Biên soạn và rà soát
Chuyên gia đánh giá DAS Việt Nam Bài viết do đội ngũ chuyên gia đánh giá trưởng của DAS Việt Nam biên soạn và rà soát, dựa trên kinh nghiệm đánh giá chứng nhận thực tế tại doanh nghiệp.