Thời gian chứng nhận ISO 27001 phụ thuộc chủ yếu vào việc doanh nghiệp xây dựng và vận hành ISMS mất bao lâu, không phải vào bản thân cuộc đánh giá. Khi đánh giá rủi ro, Tuyên bố áp dụng (SoA) và các biện pháp kiểm soát đã vận hành có bằng chứng, các bước đánh giá và cấp chứng chỉ thường hoàn tất trong vài tuần.
Tóm tắt
- Phạm vi ISMS càng rộng, càng nhiều hệ thống và địa điểm thì càng cần nhiều thời gian.
- Đánh giá rủi ro và SoA là phần thường mất thời gian nhất ở phía doanh nghiệp.
- Biện pháp kỹ thuật cần thời gian vận hành để có nhật ký, biên bản làm bằng chứng.
- Phía tổ chức chứng nhận: giai đoạn 1, giai đoạn 2, khắc phục và thẩm xét.
Thời gian gồm hai phần
Thời gian để có chứng chỉ ISO/IEC 27001:2022 nên tách làm hai phần để ước tính đúng:
- Phần của doanh nghiệp: xác định phạm vi, đánh giá rủi ro, lập SoA, triển khai biện pháp, vận hành để tạo bằng chứng, đánh giá nội bộ và xem xét của lãnh đạo. Phần này dài hay ngắn tùy hiện trạng.
- Phần của tổ chức chứng nhận: xem xét hồ sơ đăng ký, đánh giá giai đoạn 1, đánh giá giai đoạn 2, xác minh hành động khắc phục, thẩm xét và ra quyết định. Phần này tương đối ổn định khi hồ sơ sẵn sàng.
Khoảng cách giữa giai đoạn 1 và giai đoạn 2 không có con số cố định. Nó phụ thuộc vào số vấn đề phát hiện ở giai đoạn 1 và thời gian doanh nghiệp cần để xử lý. Theo ISO/IEC 17021-1, tổ chức chứng nhận phải cân nhắc thời gian cần thiết để giải quyết các vấn đề này khi quyết định lịch giai đoạn 2.
Các yếu tố quyết định thời gian
| Yếu tố | Ảnh hưởng |
|---|---|
| Phạm vi ISMS (4.3) | Số bộ phận, địa điểm, hệ thống thông tin, dịch vụ đám mây trong phạm vi |
| Đánh giá rủi ro (6.1.2) | Kiểm kê tài sản (5.9), xác định mối đe dọa, điểm yếu, chủ rủi ro, tiêu chí chấp nhận |
| Biện pháp kiểm soát | Số biện pháp trong SoA phải triển khai mới so với hiện trạng |
| Bằng chứng vận hành | Rà soát quyền định kỳ (5.18), kiểm tra sao lưu (8.13), xử lý sự cố (5.26), đào tạo nhận thức (6.3) |
| Đánh giá nội bộ, xem xét lãnh đạo | Phải hoàn thành ít nhất một chu kỳ (9.2, 9.3) trước đánh giá giai đoạn 2 |
| Nhà cung cấp, thuê ngoài | Hợp đồng, thỏa thuận bảo mật, đánh giá nhà cung cấp (5.19 đến 5.22) |
Số ngày đánh giá
Ngày công đánh giá ISMS được tính theo ISO/IEC 27006-1, dựa trên số người làm việc trong phạm vi và mức độ phức tạp của hoạt động kinh doanh và hạ tầng CNTT, có điều chỉnh tăng hoặc giảm theo các yếu tố như mức độ phụ thuộc vào thuê ngoài và nhà cung cấp, hoạt động phát triển hệ thống thông tin nội bộ. So với ISO 9001 cùng quy mô, đánh giá ISO 27001 thường cần nhiều ngày hơn vì đánh giá viên phải kiểm tra cả biện pháp kỹ thuật. Tổng ngày công được chia giữa giai đoạn 1 và giai đoạn 2. Ước tính ngày công ISO 27001.
Ví dụ minh hoạ lộ trình
Ví dụ minh hoạ: một công ty dịch vụ phần mềm 50 người, một văn phòng, hạ tầng trên đám mây, chưa có hệ thống quản lý nào. Trình tự hợp lý có thể là:
- Chốt phạm vi và phương pháp đánh giá rủi ro; kiểm kê tài sản gồm cả dịch vụ SaaS.
- Đánh giá rủi ro, lập SoA và kế hoạch xử lý, trình chủ rủi ro phê duyệt.
- Triển khai biện pháp còn thiếu, ví dụ quản lý cấu hình (8.9), giám sát (8.16), lập trình an toàn (8.28).
- Vận hành đủ lâu để có ít nhất một kỳ rà soát quyền, một lần khôi phục thử sao lưu, một đợt đào tạo nhận thức.
- Đánh giá nội bộ toàn bộ phạm vi, xem xét của lãnh đạo, rồi đăng ký đánh giá chứng nhận.
Với công ty này, bước 4 thường quyết định thời gian: biện pháp định kỳ theo quý chỉ tạo bằng chứng sau ít nhất một quý vận hành.
Điều gì làm kéo dài thời gian?
- Phạm vi không rõ hoặc thay đổi giữa chừng, khiến phải đánh giá lại rủi ro và lập lại SoA.
- SoA loại trừ biện pháp không có lý do hợp lý, ví dụ loại trừ 8.28 Lập trình an toàn khi có đội phát triển phần mềm.
- Có chính sách nhưng thiếu bằng chứng vận hành: không có nhật ký truy cập, không có biên bản rà soát quyền.
- Đánh giá nội bộ không đủ phạm vi hoặc thiếu khách quan (9.2.2), buộc phải làm lại trước giai đoạn 2.
- Sự không phù hợp nặng ở giai đoạn 2: phải khắc phục và được xác minh trước khi cấp chứng chỉ; nếu quá thời hạn tổ chức chứng nhận quy định, có thể phải đánh giá lại giai đoạn 2.
- Còn dùng Annex A bản 2013. Từ sau 31/10/2025 chỉ chứng nhận theo bản 2022.
ISO 27001 có khó không?
ISO 27001 đòi hỏi phối hợp giữa lãnh đạo, CNTT, nhân sự, pháp chế và các bộ phận nghiệp vụ, không chỉ là việc của phòng CNTT. Doanh nghiệp đã có nền tảng quản lý như ISO 9001 thường triển khai thuận lợi hơn vì đã quen với đánh giá nội bộ và xem xét của lãnh đạo.
Từ góc nhìn đánh giá viên, phần khó nhất thường là:
- Phương pháp đánh giá rủi ro (6.1.2): phải cho kết quả nhất quán, có giá trị và so sánh được; nhiều tổ chức có bảng rủi ro nhưng không có tiêu chí chấp nhận rủi ro.
- Biện pháp giám sát (8.15, 8.16): thu thập nhật ký thì dễ, nhưng chứng minh có người xem và xử lý cảnh báo mới khó.
- Nhà cung cấp và đám mây (5.19 đến 5.23): khó đàm phán điều khoản với nhà cung cấp lớn, cần dựa vào báo cáo và chứng nhận của họ một cách có kiểm soát.
Câu hỏi thường gặp
Có cách nào rút ngắn thời gian không?
Cách hiệu quả nhất là chọn phạm vi đúng với dịch vụ khách hàng quan tâm và chuẩn bị bằng chứng vận hành sớm. DAS không cung cấp dịch vụ tư vấn hay “chứng nhận nhanh”; thời gian đánh giá tuân theo ngày công tối thiểu của ISO/IEC 27006-1.
Sau đánh giá giai đoạn 2 bao lâu có chứng chỉ?
Tùy số sự không phù hợp và tốc độ khắc phục. Khi các sự không phù hợp nặng đã được xác minh và kế hoạch khắc phục cho sự không phù hợp nhẹ được chấp nhận, hồ sơ chuyển sang thẩm xét và quyết định chứng nhận.
Mở rộng phạm vi sau khi có chứng chỉ có mất nhiều thời gian không?
Mở rộng phạm vi cần đánh giá bổ sung, có thể kết hợp với kỳ giám sát. Thời gian phụ thuộc phần mở rộng có dùng chung đánh giá rủi ro và biện pháp với phạm vi hiện tại hay không.
Xem các bước và hồ sơ tại quy trình chứng nhận ISO 27001, hoặc danh sách biện pháp tại Annex A ISO/IEC 27001:2022.
Nguồn tham khảo
- ISO/IEC 17021-1:2015: trình tự đánh giá hai giai đoạn và quyết định chứng nhận.
- ISO/IEC 27001:2022: yêu cầu ISMS và Annex A.
- ISO/IEC 27005:2022: hướng dẫn đánh giá rủi ro an toàn thông tin, phần thường tốn thời gian nhất.
Bài viết cung cấp thông tin chung về yêu cầu tiêu chuẩn. Là tổ chức chứng nhận, DAS không tư vấn xây dựng hệ thống cho doanh nghiệp mà DAS đánh giá.
Biên soạn và rà soát
Chuyên gia đánh giá DAS Việt Nam Bài viết do đội ngũ chuyên gia đánh giá trưởng của DAS Việt Nam biên soạn và rà soát, dựa trên kinh nghiệm đánh giá chứng nhận thực tế tại doanh nghiệp.