Tra cứu chứng chỉ 024 3776 3177 Nhận báo giá

Hệ thống quản lý an toàn thông tin

Chứng nhận ISO/IEC 27001:2022Bảo vệ thông tin dựa trên đánh giá rủi ro.

Tiêu chuẩn quốc tế về quản lý an toàn thông tin, giúp doanh nghiệp bảo vệ tính bảo mật, toàn vẹn và sẵn sàng của thông tin. Chứng chỉ do DAS cấp được đánh giá độc lập và tra cứu công khai.

Nhận báo giá ISO 27001 Ước tính ngày công

01Tổng quan

Khi nào doanh nghiệp cần ISO 27001?

ISO/IEC 27001 quy định yêu cầu cho hệ thống quản lý an toàn thông tin (ISMS). Tổ chức đánh giá rủi ro, lựa chọn biện pháp kiểm soát, đối chiếu với 93 biện pháp trong Annex A và lập Tuyên bố áp dụng (SoA).

ISO 27001 là gì: ISMS, Annex A và SoA

Tình huống thường gặp

  1. 01
    Khách hàng, đối tác yêu cầu

    Ngân hàng, khách hàng nước ngoài thường đòi hỏi nhà cung cấp CNTT có ISO 27001.

  2. 02
    Xử lý dữ liệu nhạy cảm

    Dữ liệu khách hàng, tài chính, sức khỏe cần kiểm soát có hệ thống.

  3. 03
    Chuẩn bị cho yêu cầu pháp lý

    Nền tảng cho tuân thủ bảo vệ dữ liệu cá nhân, mở rộng với ISO/IEC 27701.

  4. 04
    Giảm rủi ro an ninh mạng

    Kiểm soát truy cập, sao lưu, giám sát và ứng phó sự cố.

Lợi ích khi áp dụng

  • Bảo vệ thông tin

    Kiểm soát tính bảo mật, toàn vẹn và sẵn sàng của thông tin.

  • Niềm tin của khách hàng

    Bằng chứng độc lập khi tham gia dự án, đấu thầu.

  • Quản lý rủi ro

    Đánh giá và xử lý rủi ro an toàn thông tin định kỳ.

  • Liên tục kinh doanh

    Sẵn sàng ứng phó sự cố và duy trì hoạt động.

Phân tích lợi ích của ISO 27001 cho doanh nghiệp

02Yêu cầu tiêu chuẩn

Bảy nhóm yêu cầu, vận hành theo chu trình PDCA

Chuyên gia đánh giá xem xét hệ thống của doanh nghiệp theo các điều khoản 4 đến 10 của tiêu chuẩn. Hiểu cấu trúc này giúp doanh nghiệp chuẩn bị đúng trọng tâm.

  1. 4
    Bối cảnh của tổ chức

    Vấn đề nội bộ, bên ngoài, các bên quan tâm, phạm vi ISMS.

    PLAN
  2. 5
    Sự lãnh đạo

    Cam kết của lãnh đạo, chính sách an toàn thông tin, vai trò và trách nhiệm.

    PLAN
  3. 6
    Hoạch định

    Đánh giá và xử lý rủi ro, Tuyên bố áp dụng (SoA), mục tiêu, hoạch định thay đổi.

    PLAN
  4. 7
    Hỗ trợ

    Nguồn lực, năng lực, nhận thức, trao đổi thông tin, thông tin dạng văn bản.

    DO
  5. 8
    Thực hiện

    Kiểm soát vận hành, đánh giá rủi ro định kỳ, thực hiện kế hoạch xử lý rủi ro.

    DO
  6. 9
    Đánh giá kết quả hoạt động

    Theo dõi, đo lường, đánh giá nội bộ và xem xét của lãnh đạo.

    CHECK
  7. 10
    Cải tiến

    Xử lý sự không phù hợp, hành động khắc phục, cải tiến liên tục.

    ACT
Chu trình PDCA và các điều khoản ISO 27001 Thông tin bảo mật, toàn vẹn sẵn sàng PLAN Điều 4, 5, 6 DO Điều 7, 8 CHECK Điều 9 ACT Điều 10
Điều 4 đến 10 tạo thành vòng PDCA khép kín. Sự lãnh đạo (điều 5) là trung tâm điều phối của toàn hệ thống.

Đánh giá rủi ro an toàn thông tin theo điều 6.1.2 và 8.2

Annex A: 93 biện pháp kiểm soátChia thành 4 chủ đề: Tổ chức (37), Con người (8), Vật lý (14), Công nghệ (34). Chứng chỉ theo bản 2013 đã hết hiệu lực sau 31/10/2025.

Danh sách 93 biện pháp kiểm soát Annex A

03Quy trình

Năm bước từ đăng ký đến chứng chỉ

Thời gian phụ thuộc quy mô và mức độ phức tạp, thông thường từ vài tuần đến vài tháng. Chuyên gia DAS thống nhất lịch đánh giá ngay khi xác nhận đề xuất.

  1. Đăng ký và báo giá

    Gửi thông tin doanh nghiệp, nhận đề xuất ngày công và chi phí.

  2. Đánh giá giai đoạn 1

    Xem xét hệ thống tài liệu và mức độ sẵn sàng.

  3. Đánh giá giai đoạn 2

    Đánh giá thực tế tại cơ sở, thống nhất hành động khắc phục.

  4. Cấp chứng chỉ

    Thẩm xét hồ sơ độc lập, cấp chứng chỉ hiệu lực 3 năm.

  5. Giám sát định kỳ

    Đánh giá giám sát hằng năm để duy trì hiệu lực.

Chi tiết từng bước và hồ sơ cần chuẩn bị

Cần chuẩn bị gì trước đánh giá giai đoạn 2?

Chuyên gia sẽ kiểm tra bằng chứng hệ thống đã vận hành thực tế, không chỉ tồn tại trên giấy.

  • Phạm vi hệ thống quản lý đã xác định
  • Chính sách và mục tiêu đã ban hành
  • Thông tin dạng văn bản theo yêu cầu tiêu chuẩn
  • Hồ sơ chứng minh các quá trình đã vận hành
  • Kết quả đánh giá rủi ro và kế hoạch xử lý rủi ro
  • Tuyên bố áp dụng (SoA) theo Annex A bản 2022
  • Đã đánh giá nội bộ toàn bộ hệ thống
  • Đã thực hiện xem xét của lãnh đạo

04Chi phí

Ước tính ngày công đánh giá ISO 27001

Chi phí chứng nhận chủ yếu phụ thuộc số ngày công đánh giá. Nhập quy mô để có con số sơ bộ, sau đó nhận báo giá chính xác từ chuyên gia.

người

Tính cả nhân sự thời vụ và nhà thầu làm việc thường xuyên.

2Độ phức tạp kinh doanh và hệ thống CNTT

Theo ISO/IEC 27006-1, ngày công tính theo số nhân sự trong phạm vi rồi điều chỉnh theo độ phức tạp kinh doanh và môi trường CNTT.

3Báo giá chứng nhận bao gồm
  • Đánh giá giai đoạn 1Xem xét tài liệu, mức độ sẵn sàng
  • Đánh giá giai đoạn 2Đánh giá thực tế tại cơ sở
  • Thẩm xét và cấp chứng chỉHiệu lực 3 năm, tra cứu công khai
  • 2 đợt giám sátNăm thứ 2 và năm thứ 3

Con số mang tính tham khảo. Báo giá chính thức phụ thuộc số địa điểm, ca làm việc và phạm vi chứng nhận. Đánh giá kết hợp nhiều tiêu chuẩn giúp giảm tổng ngày công.

Kết quả ước tính · ISO 27001

6ngày công

Ngày công cơ sở
5
Hệ số tiêu chuẩn
× 1,0
Hệ số rủi ro
× 1,2

Nhận báo giá ISO 27001 cho cấu hình này

Chuyên gia DAS liên hệ trong giờ làm việc. Thông tin chỉ dùng để liên hệ báo giá, theo chính sách bảo mật.

05Câu hỏi thường gặp

Câu hỏi về chứng nhận ISO 27001

Chưa thấy câu trả lời bạn cần? Chuyên gia đánh giá của DAS trả lời trực tiếp, không ràng buộc.

Gọi 024 3776 3177
Chứng chỉ ISO 27001:2013 còn dùng được không?

Không. Theo IAF MD 26, giai đoạn chuyển đổi kết thúc ngày 31/10/2025. Chứng chỉ theo bản 2013 không còn hiệu lực, tổ chức cần được chứng nhận theo ISO/IEC 27001:2022.

ISO/IEC 27001:2022 khác bản 2013 thế nào

Chứng nhận ISO 27001 mất bao lâu?

Phụ thuộc mức độ sẵn sàng của ISMS: đã đánh giá rủi ro, có Tuyên bố áp dụng, kế hoạch xử lý rủi ro đã triển khai, đã đánh giá nội bộ và xem xét của lãnh đạo. Số ngày đánh giá tại cơ sở được tính theo ISO/IEC 27006-1, dựa trên số nhân sự trong phạm vi và độ phức tạp về kinh doanh, công nghệ thông tin.

Các yếu tố quyết định thời gian chứng nhận ISO 27001

Tuyên bố áp dụng (SoA) là gì, có bắt buộc không?

Bắt buộc theo điều 6.1.3 d). SoA liệt kê các biện pháp kiểm soát cần thiết, lý do lựa chọn, tình trạng thực hiện và lý do loại trừ biện pháp nào trong Annex A. Đánh giá viên đối chiếu SoA với kết quả đánh giá rủi ro và thực tế vận hành.

Annex A ISO/IEC 27001:2022 và cách lập SoA

Doanh nghiệp nào nên chứng nhận ISO 27001?

Tổ chức xử lý thông tin quan trọng của chính mình hoặc của khách hàng: công ty phần mềm, dịch vụ đám mây, BPO, tài chính, y tế, thương mại điện tử. Phạm vi chứng nhận có thể là toàn bộ hoặc một phần tổ chức, miễn là xác định rõ ranh giới và các giao diện (điều 4.3).

ISO 27001 phù hợp với doanh nghiệp nào

Chứng chỉ ISO 27001 có thay cho nghĩa vụ bảo vệ dữ liệu cá nhân không?

Không. Chứng chỉ xác nhận hệ thống quản lý an toàn thông tin, không thay thế nghĩa vụ theo Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 và Nghị định 356/2025/NĐ-CP. ISO/IEC 27701 mở rộng ISMS sang quản lý quyền riêng tư, giúp tổ chức có khung thực hiện các nghĩa vụ này.

ISO/IEC 27701 và quản lý dữ liệu cá nhân

Chứng chỉ có hiệu lực bao lâu?

Chứng chỉ có hiệu lực 3 năm, với các đợt đánh giá giám sát hằng năm. Trước khi hết hạn, doanh nghiệp thực hiện đánh giá chứng nhận lại để tiếp tục chu kỳ mới.

Giám sát và chứng nhận lại để duy trì chứng chỉ

DAS có tư vấn xây dựng hệ thống không?

Không. Là tổ chức chứng nhận, DAS không tư vấn xây dựng hệ thống mà mình đánh giá, để bảo đảm tính khách quan của chứng chỉ. DAS tổ chức các khóa đào tạo công khai về yêu cầu tiêu chuẩn và đánh giá nội bộ.

Đang có chứng chỉ của tổ chức khác, có chuyển sang DAS được không?

Được. Chứng chỉ được công nhận còn hiệu lực có thể chuyển đổi theo IAF MD 2 về chuyển đổi chứng nhận. DAS xem xét hồ sơ và tiếp tục chu kỳ giám sát hiện tại.

Điều kiện và các bước chuyển tổ chức chứng nhận

Căn cứ và nguồn tham khảo

06Tiêu chuẩn liên quan

Kết hợp ISO 27001 với tiêu chuẩn khác

Các tiêu chuẩn cùng cấu trúc cấp cao nên có thể đánh giá tích hợp trong một đợt, giảm tổng ngày công và chi phí.

  1. ISO 9001 :2026

    Quản lý chất lượng

    Phù hợp doanh nghiệp công nghệ, tài chính cần cả chất lượng và bảo mật.

07Tài liệu & Kiến thức ISO

Biểu mẫu và hướng dẫn về ISO 27001

Biểu mẫu đăng ký, quy trình chứng nhận và quy định công khai của DAS, cùng bài viết do chuyên gia đánh giá biên soạn.

Biểu mẫu chứng nhận

  1. Bản đăng ký chứng nhận đa tiêu chuẩnFMP 19, tiếng Anh · DOCX · 121 KB (tải về)
  2. Quy trình yêu cầu chứng nhận của khách hàngPROC 19, tiếng Anh · DOCX · 124 KB (tải về)
  3. Quy trình chứng nhận cho tất cả các tiêu chuẩnPROC 17, tiếng Anh · DOCX · 138 KB (tải về)
  4. Quy trình xem xét hợp đồngPROC 20, tiếng Anh · DOCX · 174 KB (tải về)
  5. Quy trình ban hành và thu hồi chứng nhậnPROC 24, tiếng Anh · DOCX · 137 KB (tải về)
  6. Quy trình giải quyết phản hồi, khiếu nại và kháng nghịPROC 12, tiếng Anh · DOCX · 121 KB (tải về)
  7. Quy định sử dụng giấy chứng nhận, dấu chứng nhận và dấu công nhậnRE/DAS-05, hiệu lực 21/10/2025 · PDF · 564 KB (tải về)

Đã có chứng chỉ? Tra cứu chứng chỉ do DAS cấp.

Hướng dẫn chuyên sâu về ISO 27001

  1. ISO 27001 là gì? Tiêu chuẩn quản lý an toàn thông tin8 phút đọc
  2. Quy trình chứng nhận ISO 27001: các bước và hồ sơ7 phút đọc
  3. Chọn tổ chức chứng nhận ISO 27001: 6 tiêu chí7 phút đọc
  4. Kiểm soát truy cập ISO 27001: yêu cầu và cách đánh giá7 phút đọc
  5. An toàn thông tin nhà cung cấp ISO 27001 và dịch vụ đám mây7 phút đọc
  6. Sự cố an toàn thông tin ISO 27001: quản lý và ứng phó7 phút đọc
Tất cả bài viết về ISO 27001

08Bước tiếp theo

Sẵn sàng chứng nhận ISO 27001?

Chọn cách phù hợp với mức độ sẵn sàng của doanh nghiệp. Mọi trao đổi với chuyên gia DAS đều không ràng buộc.

  • Đánh giá độc lập
  • Công nhận UKAS
  • Chứng chỉ tra cứu công khai
Gọi ngay Nhận báo giá