Đánh giá rủi ro an toàn thông tin ISO 27001 là quá trình nhận diện, phân tích và đánh giá các rủi ro làm mất tính bảo mật, toàn vẹn hoặc sẵn sàng của thông tin trong phạm vi hệ thống quản lý an toàn thông tin (ISMS), theo một phương pháp được xác lập trước. Mọi biện pháp kiểm soát, kể cả lý do loại trừ biện pháp Annex A, phải truy ngược được về kết quả này. Yêu cầu nằm ở điều 6.1.2 (quá trình), 6.1.3 (xử lý rủi ro), 8.2 và 8.3 (thực hiện trong vận hành).
Tóm tắt
- Quá trình đánh giá phải cho kết quả nhất quán, hợp lệ và so sánh được khi lặp lại.
- Mỗi rủi ro phải có chủ rủi ro; chủ rủi ro phê duyệt kế hoạch xử lý và chấp nhận rủi ro còn lại.
- Tiêu chuẩn không bắt buộc phương pháp cụ thể; ISO/IEC 27005:2022 và ISO 31000:2018 là tài liệu hướng dẫn.
Đánh giá rủi ro nằm ở đâu trong ISO/IEC 27001:2022?
Đánh giá viên lần theo cả chuỗi điều khoản dưới đây; một mắt xích đứt thường dẫn đến sự không phù hợp.
| Điều khoản | Nội dung | Thông tin dạng văn bản |
|---|---|---|
| 6.1.2 | Thiết lập và áp dụng quá trình đánh giá rủi ro an toàn thông tin | Lưu giữ thông tin về quá trình |
| 6.1.3 | Xử lý rủi ro, lập SoA và kế hoạch xử lý rủi ro | SoA; thông tin về quá trình xử lý |
| 8.2 | Thực hiện đánh giá theo khoảng thời gian hoạch định hoặc khi có thay đổi đáng kể | Lưu giữ kết quả đánh giá |
| 8.3 | Thực hiện kế hoạch xử lý rủi ro | Lưu giữ kết quả xử lý |
| 9.3 | Xem xét của lãnh đạo, có đầu vào là kết quả đánh giá rủi ro và tình trạng kế hoạch xử lý | Kết quả xem xét |
Điều 6.1.2 yêu cầu những gì?
- Thiết lập tiêu chí rủi ro: gồm tiêu chí chấp nhận rủi ro và tiêu chí để thực hiện đánh giá (thang đo hậu quả, thang đo khả năng xảy ra, cách tính mức rủi ro).
- Bảo đảm kết quả nhất quán, hợp lệ, so sánh được: hai người đánh giá cùng một tình huống phải ra kết quả gần nhau; lần đánh giá năm sau so sánh được với năm trước.
- Nhận diện rủi ro: rủi ro gắn với việc mất tính bảo mật, toàn vẹn, sẵn sàng của thông tin trong phạm vi ISMS, và xác định chủ rủi ro.
- Phân tích rủi ro: đánh giá hậu quả tiềm ẩn nếu rủi ro xảy ra, khả năng xảy ra trên thực tế, từ đó xác định mức rủi ro.
- Đánh giá rủi ro: so sánh kết quả phân tích với tiêu chí đã thiết lập và sắp xếp thứ tự ưu tiên xử lý.
Vì yêu cầu “so sánh được”, mỗi mức của thang đo cần mô tả bằng lời (mức 4 là ngừng dịch vụ bao lâu, có vi phạm hợp đồng không); nếu chỉ có con số, mỗi người sẽ chấm một kiểu.
Tiếp cận theo tài sản hay theo kịch bản sự kiện?
Trước đây nhiều tổ chức áp dụng hướng tài sản: liệt kê tài sản, mối đe dọa, điểm yếu. ISO/IEC 27001:2022 không bắt buộc cách nào, còn ISO/IEC 27005:2022 mô tả cả hai: tiếp cận theo tài sản và tiếp cận theo sự kiện (kịch bản). ISO 31000:2018 cung cấp nguyên tắc chung, hữu ích khi muốn thống nhất với quản lý rủi ro kinh doanh.
| Cách tiếp cận | Phù hợp khi |
|---|---|
| Theo tài sản | Có danh mục tài sản thông tin rõ ràng (biện pháp 5.9), muốn bao quát chi tiết |
| Theo kịch bản sự kiện | Muốn tập trung vào tình huống có ảnh hưởng kinh doanh lớn, lãnh đạo dễ hiểu |
Dù chọn cách nào, khi nhận diện cần xét nguồn gây ra rủi ro: con người cố ý (tấn công, gian lận), con người vô ý (gửi nhầm email, cấu hình sai), sự cố kỹ thuật (hỏng phần cứng, lỗi phần mềm), môi trường (cháy, ngập, mất điện), và bên ngoài như nhà cung cấp hay dịch vụ đám mây. Mối đe dọa chỉ thành rủi ro đáng kể khi gặp điểm yếu tương ứng, ví dụ bản sao lưu chưa từng được thử khôi phục.
Chủ rủi ro là ai?
Chủ rủi ro là người hoặc vị trí có trách nhiệm giải trình và thẩm quyền quản lý rủi ro. Thường đó là trưởng bộ phận nghiệp vụ sở hữu quá trình hoặc dữ liệu, không nhất thiết là phòng CNTT. Theo điều 6.1.3 f, tổ chức phải có sự phê duyệt của chủ rủi ro đối với kế hoạch xử lý rủi ro và sự chấp nhận rủi ro còn lại. Nếu mọi rủi ro đều ghi “chủ rủi ro: phòng IT”, đánh giá viên sẽ hỏi về thẩm quyền chấp nhận rủi ro thay cho bộ phận kinh doanh.
Từ đánh giá đến xử lý rủi ro và SoA (điều 6.1.3)
Sau đánh giá, tổ chức chọn phương án xử lý: giảm (bổ sung hoặc thay đổi biện pháp kiểm soát), tránh (ngừng hoạt động gây rủi ro), chia sẻ (bảo hiểm, thuê ngoài có ràng buộc hợp đồng) hoặc chấp nhận. Tiếp theo, tổ chức xác định mọi biện pháp kiểm soát cần thiết, có thể từ bất kỳ nguồn nào, rồi so sánh với Annex A để bảo đảm không bỏ sót biện pháp cần thiết. Annex A là danh mục đối chiếu, không phải danh sách phải áp dụng máy móc; xem thêm 93 biện pháp Annex A ISO/IEC 27001:2022.
Tuyên bố áp dụng phải nêu: các biện pháp cần thiết, lý do đưa vào, biện pháp đã được thực hiện hay chưa, và lý do loại trừ các biện pháp Annex A không áp dụng.
Ví dụ minh hoạ: một rủi ro đi qua toàn bộ chuỗi
Ví dụ minh hoạ tại một công ty phần mềm gia công 60 người, dùng thang 5 mức cho hậu quả và khả năng xảy ra, mức rủi ro bằng tích hai giá trị, ngưỡng chấp nhận là 8.
- Kịch bản: mã nguồn của khách hàng bị lộ do tài khoản kho mã của lập trình viên đã nghỉ việc chưa bị thu hồi.
- Chủ rủi ro: giám đốc khối phát triển phần mềm.
- Phân tích: hậu quả 4 (vi phạm hợp đồng bảo mật với khách hàng), khả năng 3 (đã có lần phát hiện tài khoản tồn đọng), mức rủi ro 12, vượt ngưỡng.
- Xử lý: giảm rủi ro bằng quy trình thu hồi quyền gắn với thủ tục nghỉ việc (5.18), giới hạn quyền ghi vào kho mã (8.4), bật xác thực đa yếu tố (8.5).
- Rủi ro còn lại: khả năng giảm còn 2, mức rủi ro 8; chủ rủi ro ký chấp nhận. SoA ghi ba biện pháp trên là “áp dụng”, lý do viện dẫn mã rủi ro tương ứng.
Thực hiện định kỳ và khi có thay đổi (điều 8.2, 8.3)
Điều 8.2 yêu cầu đánh giá theo khoảng thời gian đã hoạch định và khi có đề xuất hoặc xảy ra thay đổi đáng kể, ví dụ chuyển hệ thống lên đám mây, đổi nhà cung cấp quan trọng, sau sự cố nghiêm trọng hoặc khi có yêu cầu pháp lý mới. Điều 8.3 yêu cầu thực hiện kế hoạch xử lý và lưu kết quả.
Đánh giá viên kiểm tra gì và lỗi thường gặp
- Tiêu chí chưa đủ: có ma trận rủi ro nhưng không có tiêu chí chấp nhận, hoặc thang đo không có mô tả (6.1.2 a).
- Kết quả cũ: sổ rủi ro không cập nhật sau thay đổi lớn như chuyển đổi hạ tầng (8.2).
- Thiếu chủ rủi ro hoặc thiếu chấp nhận: không có bằng chứng chủ rủi ro phê duyệt kế hoạch và rủi ro còn lại (6.1.3 f).
- SoA không khớp: biện pháp ghi “đã áp dụng” nhưng thực tế chưa triển khai, hoặc loại trừ biện pháp mà sổ rủi ro lại cần (6.1.3 d).
- Kế hoạch xử lý không được theo dõi: hạng mục quá hạn không được báo cáo trong xem xét của lãnh đạo (8.3, 9.3).
Xem thêm: quy trình chứng nhận ISO 27001, ISO 27001 là gì, những thay đổi của bản 2022.
Phương pháp và kết quả đánh giá rủi ro là nội dung được xem xét kỹ nhất khi DAS đánh giá cấp chứng nhận ISO 27001. DAS là tổ chức chứng nhận nên không tư vấn xây dựng sổ rủi ro; đánh giá viên chỉ xác minh quá trình bạn đã thiết lập.
Câu hỏi thường gặp
Có bắt buộc áp dụng ISO/IEC 27005 không?
Không. ISO/IEC 27005:2022 là tài liệu hướng dẫn, không phải tiêu chuẩn để chứng nhận. Tổ chức có thể dùng phương pháp riêng, miễn là đáp ứng các yêu cầu của điều 6.1.2 và cho kết quả nhất quán.
Bao lâu phải đánh giá rủi ro lại một lần?
Tiêu chuẩn không ấn định chu kỳ, chỉ yêu cầu “theo khoảng thời gian hoạch định” và khi có thay đổi đáng kể. Nhiều tổ chức chọn rà soát toàn bộ hằng năm và đánh giá bổ sung khi có thay đổi.
Có được chấp nhận một rủi ro vượt ngưỡng không?
Có thể, nếu việc chấp nhận phù hợp với tiêu chí chấp nhận rủi ro đã thiết lập (ví dụ cho phép cấp lãnh đạo cao hơn chấp nhận có thời hạn) và được ghi nhận. Đánh giá viên kiểm tra thẩm quyền của người chấp nhận.
Nguồn tham khảo
- ISO/IEC 27001:2022: yêu cầu điều 6.1.2, 6.1.3, 8.2, 8.3 và Annex A.
- ISO/IEC 27005:2022: hướng dẫn quản lý rủi ro an toàn thông tin, gồm tiếp cận theo tài sản và theo sự kiện.
- ISO 31000:2018: nguyên tắc và khung quản lý rủi ro chung.
- ISO/IEC 27002:2022: hướng dẫn thực hiện các biện pháp kiểm soát được chọn sau xử lý rủi ro.
Bài viết cung cấp thông tin chung về yêu cầu tiêu chuẩn. Là tổ chức chứng nhận, DAS không tư vấn xây dựng hệ thống cho doanh nghiệp mà DAS đánh giá.
Biên soạn và rà soát
Chuyên gia đánh giá DAS Việt Nam Bài viết do đội ngũ chuyên gia đánh giá trưởng của DAS Việt Nam biên soạn và rà soát, dựa trên kinh nghiệm đánh giá chứng nhận thực tế tại doanh nghiệp.