An toàn thông tin nhà cung cấp ISO 27001 là việc nhận diện, kiểm soát và theo dõi rủi ro phát sinh khi bên ngoài cung cấp sản phẩm, dịch vụ có ảnh hưởng đến thông tin của tổ chức. Nhà cung cấp phần mềm, đơn vị bảo trì CNTT, trung tâm dữ liệu và dịch vụ đám mây đều có thể truy cập hoặc lưu trữ thông tin của bạn. ISO/IEC 27001:2022 dành năm biện pháp kiểm soát cho nhóm rủi ro này, từ 5.19 đến 5.23, và điều 8.1 yêu cầu kiểm soát các quá trình, sản phẩm, dịch vụ do bên ngoài cung cấp có liên quan đến hệ thống quản lý an toàn thông tin.
Tóm tắt
- Năm biện pháp: quan hệ nhà cung cấp, thỏa thuận, chuỗi cung ứng ICT, theo dõi và thay đổi dịch vụ, dịch vụ đám mây.
- 5.23 Dịch vụ đám mây là biện pháp mới trong bản 2022.
- Thuê ngoài không chuyển giao trách nhiệm về an toàn thông tin; tổ chức vẫn phải chứng minh kiểm soát.
Năm biện pháp kiểm soát
| Mã | Biện pháp | Nội dung chính |
|---|---|---|
| 5.19 | An toàn thông tin trong quan hệ nhà cung cấp | Quá trình xác định và quản lý rủi ro khi sử dụng sản phẩm, dịch vụ của nhà cung cấp |
| 5.20 | Giải quyết an toàn thông tin trong thỏa thuận với nhà cung cấp | Yêu cầu an toàn thông tin phù hợp được thiết lập và thỏa thuận theo từng loại nhà cung cấp |
| 5.21 | Quản lý an toàn thông tin trong chuỗi cung ứng ICT | Rủi ro từ phần cứng, phần mềm, dịch vụ CNTT và nhà cung cấp cấp dưới |
| 5.22 | Theo dõi, xem xét và quản lý thay đổi dịch vụ nhà cung cấp | Theo dõi định kỳ việc đáp ứng yêu cầu và kiểm soát thay đổi trong dịch vụ |
| 5.23 | An toàn thông tin khi sử dụng dịch vụ đám mây | Quá trình mua, sử dụng, quản lý và rời bỏ dịch vụ đám mây |
Bắt đầu từ danh sách và phân loại nhà cung cấp
Không phải nhà cung cấp nào cũng cần cùng mức kiểm soát. Bước đầu tiên là lập danh sách nhà cung cấp có liên quan đến an toàn thông tin, sau đó phân loại theo mức truy cập thông tin và mức phụ thuộc. Cách phân loại này nên gắn với đánh giá rủi ro an toàn thông tin để mức kiểm soát tương xứng.
| Nhóm | Ví dụ | Mức kiểm soát gợi ý |
|---|---|---|
| Cao | Đám mây lưu dữ liệu khách hàng, đơn vị quản trị hệ thống từ xa | Đánh giá trước khi chọn, điều khoản đầy đủ, xem xét định kỳ, yêu cầu bằng chứng (chứng chỉ, báo cáo đánh giá) |
| Trung bình | Phần mềm kế toán dạng thuê bao, đơn vị bảo trì máy in có truy cập mạng | Điều khoản bảo mật, giới hạn quyền truy cập, xem xét khi gia hạn hợp đồng |
| Thấp | Nhà cung cấp văn phòng phẩm, vệ sinh không vào khu vực hạn chế | Cam kết bảo mật cơ bản hoặc không cần biện pháp riêng |
Hợp đồng với nhà cung cấp nên có gì? (5.20)
- Phạm vi thông tin được truy cập, mức phân loại và cách sử dụng được phép.
- Yêu cầu kiểm soát truy cập, mã hóa, sao lưu phù hợp với rủi ro.
- Nghĩa vụ báo cáo sự cố an toàn thông tin và thời hạn báo cáo.
- Quyền đánh giá hoặc yêu cầu bằng chứng tuân thủ.
- Điều kiện sử dụng nhà cung cấp cấp dưới (thầu phụ).
- Trả lại hoặc xóa thông tin khi kết thúc hợp đồng, kèm xác nhận.
Khi nhà cung cấp xử lý dữ liệu cá nhân thay tổ chức, điều khoản hợp đồng còn cần phù hợp với Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định 356/2025/NĐ-CP (hiệu lực từ 01/01/2026). Biện pháp 5.31 của Annex A yêu cầu xác định các yêu cầu pháp lý và hợp đồng liên quan.
Chuỗi cung ứng ICT (5.21)
Rủi ro không dừng ở nhà cung cấp trực tiếp. Một phần mềm có thể dùng thư viện mã nguồn mở, một dịch vụ quản trị có thể thuê lại bên khác. Biện pháp 5.21 yêu cầu tổ chức xác định và quản lý rủi ro này, ví dụ yêu cầu nhà cung cấp truyền đạt yêu cầu an toàn xuống thầu phụ, cam kết về nguồn gốc và cập nhật bản vá cho sản phẩm.
Dịch vụ đám mây và trách nhiệm chia sẻ (5.23)
Khi dùng dịch vụ đám mây, trách nhiệm được chia giữa nhà cung cấp và khách hàng. Nhà cung cấp thường lo hạ tầng; khách hàng vẫn chịu trách nhiệm cấu hình, tài khoản, phân quyền và dữ liệu của mình. Biện pháp 5.23 yêu cầu tổ chức thiết lập quá trình cho cả vòng đời dịch vụ: tiêu chí lựa chọn, phân định vai trò, cách quản lý cấu hình, và chiến lược rời bỏ (lấy dữ liệu ra, xóa dữ liệu, chuyển sang nhà cung cấp khác). Tổ chức có thể tham khảo thêm ISO/IEC 27017 (biện pháp an toàn cho dịch vụ đám mây) và ISO/IEC 27018 (bảo vệ dữ liệu cá nhân trên đám mây công cộng).
Ví dụ minh hoạ
Ví dụ minh hoạ: một công ty bán lẻ trực tuyến 80 người dùng nền tảng thương mại điện tử dạng thuê bao và một đơn vị bên ngoài vận hành chăm sóc khách hàng. Sổ nhà cung cấp xếp cả hai vào nhóm cao. Với nền tảng thương mại điện tử, công ty lưu bằng chứng về chứng nhận an toàn thông tin của nhà cung cấp, bảng phân định trách nhiệm, và danh sách tài khoản quản trị phía mình. Với đơn vị chăm sóc khách hàng, hợp đồng có điều khoản bảo mật, nghĩa vụ báo cáo sự cố, quyền đánh giá; mỗi năm công ty xem xét lại kết quả dịch vụ và danh sách nhân viên bên đó có quyền truy cập.
Đánh giá viên kiểm tra gì?
- Danh sách nhà cung cấp có liên quan, cách phân loại và mức rủi ro.
- Hợp đồng của nhà cung cấp được lấy mẫu, đối chiếu với yêu cầu trong chính sách.
- Bằng chứng xem xét định kỳ (5.22): biên bản họp, báo cáo dịch vụ, sự cố do nhà cung cấp gây ra.
- Danh sách dịch vụ đám mây đang dùng, kể cả dịch vụ bộ phận tự đăng ký, và cấu hình phân quyền.
- Cách xử lý thay đổi từ phía nhà cung cấp, ví dụ đổi trung tâm dữ liệu hoặc thầu phụ.
Điểm không phù hợp thường gặp: hợp đồng cũ ký trước khi có ISMS chưa được bổ sung điều khoản an toàn thông tin; dịch vụ đám mây do từng phòng tự đăng ký không nằm trong danh sách; không có bằng chứng xem xét nhà cung cấp sau khi chọn.
Xem thêm: Annex A ISO/IEC 27001:2022, kiểm soát truy cập theo ISO 27001. Mức phụ thuộc vào nhà cung cấp và dịch vụ đám mây là một yếu tố khi tính ngày công đánh giá; xem chi phí chứng nhận ISO 27001.
Câu hỏi thường gặp
Nhà cung cấp đã có chứng chỉ ISO 27001 thì có cần đánh giá thêm không?
Chứng chỉ là bằng chứng tốt nhưng cần kiểm tra phạm vi chứng nhận có bao trùm dịch vụ bạn đang dùng không và chứng chỉ còn hiệu lực không. Phần trách nhiệm phía khách hàng, như cấu hình và phân quyền, vẫn do bạn kiểm soát.
Nhà cung cấp lớn không chấp nhận sửa hợp đồng thì sao?
Với dịch vụ đám mây phổ biến, khách hàng thường không đàm phán được điều khoản. Tổ chức có thể đánh giá điều khoản chuẩn của nhà cung cấp, ghi nhận rủi ro còn lại, áp dụng biện pháp bù đắp phía mình và để chủ rủi ro chấp nhận.
Bao lâu phải xem xét nhà cung cấp một lần?
Tiêu chuẩn không ấn định. Tần suất nên theo mức rủi ro: nhóm cao xem xét ít nhất hằng năm hoặc khi có sự cố, thay đổi; nhóm thấp có thể xem xét khi gia hạn hợp đồng.
Nguồn tham khảo
- ISO/IEC 27001:2022: điều 8.1 và Annex A, biện pháp 5.19 đến 5.23.
- ISO/IEC 27002:2022: hướng dẫn thực hiện biện pháp nhà cung cấp và dịch vụ đám mây.
- ISO/IEC 27005:2022: hướng dẫn đánh giá rủi ro làm cơ sở phân loại nhà cung cấp.
Bài viết cung cấp thông tin chung về yêu cầu tiêu chuẩn. Là tổ chức chứng nhận, DAS không tư vấn xây dựng hệ thống cho doanh nghiệp mà DAS đánh giá.
Biên soạn và rà soát
Chuyên gia đánh giá DAS Việt Nam Bài viết do đội ngũ chuyên gia đánh giá trưởng của DAS Việt Nam biên soạn và rà soát, dựa trên kinh nghiệm đánh giá chứng nhận thực tế tại doanh nghiệp.