Quản lý sự cố an toàn thông tin ISO 27001 là quá trình chuẩn bị, phát hiện, đánh giá, ứng phó và rút kinh nghiệm từ các sự kiện có thể gây hại cho thông tin của tổ chức. Không hệ thống nào loại bỏ hoàn toàn được sự cố; điều tiêu chuẩn yêu cầu là xử lý có kiểm soát và không để sự cố lặp lại. Annex A của ISO/IEC 27001:2022 có nhóm biện pháp 5.24 đến 5.28 cho quản lý sự cố, 5.29 và 5.30 cho liên tục kinh doanh, cùng biện pháp 6.8 về báo cáo sự kiện an toàn thông tin.
Tóm tắt
- Vòng đời sự cố: chuẩn bị, báo cáo, đánh giá, ứng phó, thu thập bằng chứng, rút kinh nghiệm.
- Mọi nhân sự phải biết báo cáo sự kiện bất thường qua kênh nào (6.8).
- Liên tục kinh doanh gồm duy trì an toàn thông tin khi gián đoạn và sẵn sàng CNTT (5.30, mới trong bản 2022).
- Sự cố liên quan dữ liệu cá nhân còn kéo theo nghĩa vụ theo pháp luật bảo vệ dữ liệu cá nhân.
Các biện pháp liên quan
| Mã | Biện pháp | Ý chính |
|---|---|---|
| 5.24 | Hoạch định và chuẩn bị quản lý sự cố | Quy trình, vai trò, trách nhiệm được xác định và truyền đạt trước khi sự cố xảy ra |
| 5.25 | Đánh giá và quyết định về sự kiện an toàn thông tin | Đánh giá sự kiện và quyết định có phân loại là sự cố hay không |
| 5.26 | Ứng phó sự cố an toàn thông tin | Ứng phó theo thủ tục đã lập thành văn bản |
| 5.27 | Rút kinh nghiệm từ sự cố | Dùng hiểu biết từ sự cố để củng cố, cải tiến biện pháp kiểm soát |
| 5.28 | Thu thập bằng chứng | Nhận diện, thu thập, bảo quản bằng chứng liên quan đến sự kiện |
| 5.29 | An toàn thông tin trong thời gian gián đoạn | Duy trì an toàn thông tin ở mức phù hợp khi bị gián đoạn |
| 5.30 | Sẵn sàng CNTT cho liên tục kinh doanh | Hoạch định, triển khai, duy trì và kiểm tra sự sẵn sàng của CNTT |
| 6.8 | Báo cáo sự kiện an toàn thông tin | Cơ chế để nhân sự báo cáo kịp thời sự kiện quan sát được hoặc nghi ngờ |
Sự kiện và sự cố khác nhau thế nào?
Sự kiện là một dấu hiệu có thể liên quan đến an toàn thông tin, ví dụ cảnh báo đăng nhập bất thường hoặc một email đáng ngờ. Sự cố là một hoặc nhiều sự kiện được đánh giá là có khả năng gây hại cho thông tin hoặc hoạt động, ví dụ tài khoản đã bị chiếm quyền. Biện pháp 5.25 yêu cầu tiêu chí phân loại rõ để không bỏ sót sự cố thật và không quá tải vì cảnh báo nhỏ. Tiêu chí thường xét: loại thông tin bị ảnh hưởng, số người dùng, khả năng lan rộng, nghĩa vụ pháp lý và hợp đồng.
Quy trình ứng phó theo từng bước
- Chuẩn bị (5.24): quy trình, đầu mối, danh sách liên hệ (kể cả nhà cung cấp và cơ quan có thẩm quyền), công cụ, mẫu biểu.
- Phát hiện và báo cáo (6.8): kênh báo cáo đơn giản, nhân sự được đào tạo; không trách phạt người báo cáo sớm.
- Đánh giá và phân loại (5.25): xác định mức độ nghiêm trọng, người quyết định và thời gian phản hồi theo mức.
- Ứng phó (5.26): ngăn chặn lan rộng, loại bỏ nguyên nhân, khôi phục, thông báo cho các bên liên quan theo yêu cầu.
- Thu thập bằng chứng (5.28): giữ nhật ký, ảnh chụp, bản sao theo cách bảo đảm tính toàn vẹn, trước khi khôi phục làm mất dấu vết.
- Rút kinh nghiệm (5.27): phân tích nguyên nhân gốc, cập nhật đánh giá rủi ro và biện pháp kiểm soát; xử lý như sự không phù hợp theo điều 10.2 khi phù hợp.
Sự cố liên quan dữ liệu cá nhân
Khi sự cố làm lộ, mất hoặc thay đổi trái phép dữ liệu cá nhân, tổ chức còn phải thực hiện nghĩa vụ theo Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định 356/2025/NĐ-CP (hiệu lực từ 01/01/2026). Quy trình ứng phó nên có bước kiểm tra nghĩa vụ thông báo và thời hạn theo văn bản pháp luật, cùng đầu mối pháp chế. Nếu tổ chức là bên xử lý dữ liệu cho khách hàng, hợp đồng thường yêu cầu báo cho khách hàng trong thời hạn nhất định; xem thêm ISO 27701 và quản lý quyền riêng tư.
Liên tục kinh doanh và sẵn sàng CNTT (5.29, 5.30)
Biện pháp 5.30 yêu cầu sự sẵn sàng của CNTT được hoạch định, triển khai, duy trì và kiểm tra dựa trên mục tiêu liên tục kinh doanh. Cách làm thường thấy là xác định thời gian khôi phục mục tiêu và mức mất dữ liệu chấp nhận được cho từng hệ thống quan trọng, rồi thiết kế sao lưu (8.13) và dự phòng (8.14) tương ứng. Kế hoạch chỉ có giá trị khi được kiểm tra thực tế, chẳng hạn khôi phục từ bản sao lưu hoặc chuyển sang hệ thống dự phòng. Biện pháp 5.29 nhắc rằng khi đang khôi phục, các biện pháp an toàn không được bị bỏ qua, ví dụ cấp quyền quản trị tạm thời phải được thu hồi sau đó.
Ví dụ minh hoạ
Ví dụ minh hoạ: tại một công ty dịch vụ kế toán 50 người, một nhân viên báo qua kênh hỗ trợ rằng đã nhập mật khẩu vào trang giả mạo. Đầu mối an toàn thông tin phân loại là sự cố mức cao vì hộp thư chứa hồ sơ khách hàng. Trong vài giờ đầu: đổi mật khẩu, thu hồi phiên đăng nhập, kiểm tra quy tắc chuyển tiếp email, xuất nhật ký đăng nhập làm bằng chứng. Sau đó công ty xác định có email khách hàng bị truy cập hay không để quyết định nghĩa vụ thông báo. Buổi rút kinh nghiệm dẫn đến việc bật xác thực đa yếu tố cho email và bổ sung nội dung nhận diện lừa đảo vào đào tạo nhận thức.
Đánh giá viên kiểm tra gì?
- Quy trình quản lý sự cố, vai trò, tiêu chí phân loại và kênh báo cáo.
- Sổ theo dõi sự kiện, sự cố trong kỳ; đánh giá viên thường lấy mẫu một vài sự cố để lần theo từng bước.
- Báo cáo sau sự cố, nguyên nhân gốc và hành động khắc phục đã hoàn thành.
- Kết quả kiểm tra khôi phục, diễn tập liên tục kinh doanh.
- Phỏng vấn nhân sự ngẫu nhiên: khi thấy bất thường thì báo cho ai, bằng cách nào.
Điểm không phù hợp thường gặp: sổ sự cố trống cả năm trong khi hệ thống ghi nhận nhiều cảnh báo; sự cố được xử lý nhưng không có phân tích nguyên nhân; kế hoạch khôi phục chưa từng được kiểm tra; nhân viên không biết kênh báo cáo.
Xem thêm: Annex A ISO/IEC 27001:2022, sự cố phát sinh từ nhà cung cấp. Khi ISMS đã sẵn sàng, xem báo giá chứng nhận ISO 27001 và lịch đánh giá với DAS.
Câu hỏi thường gặp
Cả năm không có sự cố thì đánh giá viên xem gì?
Đánh giá viên sẽ xem sổ sự kiện, cách phân loại, kết quả diễn tập và phỏng vấn nhân sự. Một sổ hoàn toàn trống thường gợi ý kênh báo cáo chưa hoạt động, không phải hệ thống không có sự kiện.
Có phải báo sự cố cho tổ chức chứng nhận không?
Thỏa thuận chứng nhận thường yêu cầu tổ chức thông báo các thay đổi hoặc vấn đề có thể ảnh hưởng đến khả năng đáp ứng yêu cầu của hệ thống. Với sự cố nghiêm trọng, nên trao đổi với tổ chức chứng nhận; nội dung sẽ được xem xét trong lần giám sát tiếp theo.
Có cần ISO 22301 để đáp ứng phần liên tục kinh doanh?
Không. ISO/IEC 27001 chỉ yêu cầu liên tục về an toàn thông tin và sẵn sàng CNTT. ISO 22301 là tiêu chuẩn riêng cho hệ thống quản lý kinh doanh liên tục, áp dụng khi tổ chức muốn quản lý liên tục kinh doanh ở phạm vi rộng hơn.
Doanh nghiệp nhỏ có cần đội ứng phó riêng không?
Không bắt buộc. Có thể giao vai trò cho cá nhân kiêm nhiệm và thuê đơn vị bên ngoài hỗ trợ kỹ thuật, miễn là vai trò, đầu mối liên hệ và thời gian phản hồi được xác định rõ trong quy trình và hợp đồng.
Nguồn tham khảo
- ISO/IEC 27001:2022: Annex A 5.24 đến 5.30, 6.8 và điều 10.2.
- ISO/IEC 27002:2022: hướng dẫn thực hiện các biện pháp quản lý sự cố và liên tục kinh doanh.
- Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định 356/2025/NĐ-CP: nghĩa vụ khi xảy ra vi phạm dữ liệu cá nhân.
Bài viết cung cấp thông tin chung về yêu cầu tiêu chuẩn. Là tổ chức chứng nhận, DAS không tư vấn xây dựng hệ thống cho doanh nghiệp mà DAS đánh giá.
Biên soạn và rà soát
Chuyên gia đánh giá DAS Việt Nam Bài viết do đội ngũ chuyên gia đánh giá trưởng của DAS Việt Nam biên soạn và rà soát, dựa trên kinh nghiệm đánh giá chứng nhận thực tế tại doanh nghiệp.