Trả lời nhanh: ISO 27001 (ISO/IEC 27001) là tiêu chuẩn quốc tế quy định yêu cầu cho hệ thống quản lý an toàn thông tin (ISMS). Tổ chức đánh giá rủi ro, chọn biện pháp bảo vệ từ 93 biện pháp ở Annex A, rồi có thể được bên độc lập cấp chứng chỉ hiệu lực 3 năm.
Điểm chính
- Bản hiện hành là ISO/IEC 27001:2022 (công bố 25/10/2022), kèm sửa đổi Amd 1:2024 bổ sung yêu cầu xem xét biến đổi khí hậu.
- Yêu cầu bắt buộc nằm ở điều khoản 4–10. Annex A có 93 biện pháp chia 4 nhóm: tổ chức (37), con người (8), vật lý (14), công nghệ (34).
- Hạn chuyển đổi từ bản 2013 đã kết thúc ngày 31/10/2025. Chứng chỉ theo bản 2013 không còn hiệu lực.
- ISO 27001 là tự nguyện, không thay thế nghĩa vụ theo Luật An ninh mạng 2025 (cấp độ hệ thống thông tin) và Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15.
- Chi phí phụ thuộc phạm vi, số nhân sự, số địa điểm và mức sẵn sàng. Hãy so báo giá theo từng nhóm chi phí.
Mục lục
- ISO 27001 là gì?
- ISMS là gì và vì sao ISO 27001 dựa trên rủi ro?
- Bộ tiêu chuẩn ISO/IEC 27000 gồm những gì?
- Điều khoản 4–10 của ISO 27001:2022 yêu cầu gì?
- Annex A ISO 27001:2022 có 93 biện pháp kiểm soát nào?
- ISO 27001:2022 khác bản 2013 thế nào? Hạn chuyển đổi đã qua thì sao?
- Doanh nghiệp nào nên áp dụng và lợi ích thực tế là gì?
- Quy trình triển khai và chứng nhận ISO 27001 gồm những bước nào?
- Chi phí ISO 27001 gồm những nhóm nào?
- ISO 27001 liên quan gì đến pháp luật Việt Nam?
- Những sai lầm thường gặp khi triển khai
- Câu hỏi thường gặp
ISO 27001 là gì?
ISO/IEC 27001 là tiêu chuẩn do Tổ chức Tiêu chuẩn hoá Quốc tế (ISO) và Uỷ ban Kỹ thuật Điện quốc tế (IEC) cùng ban hành. Tên đầy đủ của bản hiện hành là “Information security, cybersecurity and privacy protection — Information security management systems — Requirements”, tức các yêu cầu đối với hệ thống quản lý an toàn thông tin.
Chữ “yêu cầu” là chìa khoá. ISO 27001 không hướng dẫn cách cài tường lửa hay mã hoá ổ đĩa. Nó quy định tổ chức phải quản lý an toàn thông tin có hệ thống: ai chịu trách nhiệm, rủi ro được đánh giá ra sao, biện pháp nào được chọn và vì sao, hiệu quả đo thế nào, sai sót sửa ra sao. Vì là bộ yêu cầu, đây là tiêu chuẩn duy nhất trong họ 27000 dùng để cấp chứng nhận cho ISMS.
Mục tiêu là giữ ba thuộc tính của thông tin, gọi tắt là CIA: bí mật (chỉ người được phép mới xem), toàn vẹn (không bị sửa trái phép) và sẵn sàng (truy cập được khi cần). “Thông tin” hiểu rộng: dữ liệu trên máy chủ và đám mây, hồ sơ giấy, email, ghi âm cuộc gọi, cả hiểu biết của nhân viên. Vì vậy ISO 27001 chạm tới con người, quy trình và công nghệ, không chỉ phòng IT.
Phiên bản nào đang có hiệu lực năm 2026?
Theo trang chính thức của ISO, ISO/IEC 27001:2022 là ấn bản thứ ba, công bố ngày 25/10/2022, do tiểu ban ISO/IEC JTC 1/SC 27 phụ trách. Hai ấn bản trước ra năm 2005 và 2013; nguồn gốc xa hơn là tiêu chuẩn BS 7799 của Viện Tiêu chuẩn Anh (BSI).
Ngày 23/02/2024, ISO công bố sửa đổi ISO/IEC 27001:2022/Amd 1:2024 “Climate action changes”. Điều 4.1 thêm yêu cầu tổ chức xác định biến đổi khí hậu có phải vấn đề liên quan hay không; điều 4.2 thêm ghi chú rằng các bên liên quan có thể có yêu cầu về biến đổi khí hậu. Thay đổi này áp dụng đồng loạt cho các tiêu chuẩn hệ thống quản lý theo cấu trúc chung như ISO 14001, ISO 22301, ISO 42001.
ISMS là gì và vì sao ISO 27001 dựa trên rủi ro?
Hệ thống quản lý an toàn thông tin (Information Security Management System, ISMS) là tập hợp chính sách, quy trình, vai trò, nguồn lực và biện pháp tổ chức dùng để bảo vệ thông tin. ISMS không phải một phần mềm mà là “bộ máy vận hành” an toàn thông tin.
ISO 27001 không bắt mọi tổ chức làm giống nhau. Mỗi nơi tự xác định thông tin nào quan trọng, mối đe doạ nào thực tế và mức rủi ro nào chấp nhận được.
Ví dụ minh hoạ. Một công ty phần mềm 80 người sẽ đầu tư nhiều vào lập trình an toàn, quản lý cấu hình, tách môi trường thử nghiệm. Một công ty nhập liệu 300 người xử lý hồ sơ khách hàng sẽ tập trung vào phân quyền theo vai trò, chặn sao chép dữ liệu ra ngoài, đào tạo nhận thức. Cả hai đều có thể đạt chứng nhận với tập biện pháp khác nhau, miễn lựa chọn xuất phát từ đánh giá rủi ro hợp lý và biện pháp vận hành thật.
Bộ tiêu chuẩn ISO/IEC 27000 gồm những gì?
| Tiêu chuẩn | Vai trò | Cấp chứng nhận? |
|---|---|---|
| ISO/IEC 27000 | Tổng quan và thuật ngữ | Không |
| ISO/IEC 27001 | Yêu cầu đối với ISMS, kèm Annex A | Có |
| ISO/IEC 27002 | Hướng dẫn thực hiện từng biện pháp trong Annex A | Không |
| ISO/IEC 27005 | Hướng dẫn quản lý rủi ro an toàn thông tin | Không |
| ISO/IEC 27017, 27018 | Hướng dẫn bổ sung cho dịch vụ đám mây và dữ liệu cá nhân trên đám mây | Thường đánh giá kèm 27001 |
| ISO/IEC 27701 | Quản lý thông tin quyền riêng tư | Có |
| ISO/IEC 27006 | Yêu cầu đối với tổ chức chứng nhận ISMS | Dành cho tổ chức chứng nhận |
Điều khoản 4–10 của ISO 27001:2022 yêu cầu gì?
Điều 1–3 là phạm vi, tài liệu viện dẫn và thuật ngữ. Điều 4–10 là yêu cầu bắt buộc; muốn được chứng nhận phải đáp ứng toàn bộ, không loại trừ điều nào.
| Điều khoản | Câu hỏi cần trả lời | Kết quả cần có |
|---|---|---|
| 4. Bối cảnh | Vấn đề nội bộ, bên ngoài nào ảnh hưởng? Bên liên quan yêu cầu gì? ISMS bao trùm phạm vi nào? | Phân tích bối cảnh, danh sách bên liên quan, phạm vi ISMS |
| 5. Lãnh đạo | Lãnh đạo cam kết thế nào? Ai chịu trách nhiệm gì? | Chính sách an toàn thông tin, phân công vai trò |
| 6. Hoạch định | Đánh giá, xử lý rủi ro theo phương pháp nào? Mục tiêu là gì? Thay đổi được lên kế hoạch ra sao? | Phương pháp rủi ro, kế hoạch xử lý, Tuyên bố áp dụng (SoA), mục tiêu |
| 7. Hỗ trợ | Đủ nguồn lực, năng lực, nhận thức chưa? Tài liệu kiểm soát ra sao? | Hồ sơ đào tạo, quy tắc quản lý tài liệu |
| 8. Vận hành | Kế hoạch có được làm thật? Rủi ro có được đánh giá lại định kỳ? | Kết quả đánh giá và xử lý rủi ro |
| 9. Đánh giá kết quả | Đo gì, ai đo, bao lâu một lần? Có đánh giá nội bộ và xem xét của lãnh đạo? | Kết quả giám sát, báo cáo đánh giá nội bộ, biên bản xem xét |
| 10. Cải tiến | Phát hiện sự không phù hợp thì xử lý và ngăn tái diễn ra sao? | Hồ sơ không phù hợp, hành động khắc phục |
So với bản 2013, điểm mới đáng chú ý ở phần điều khoản là điều 6.3: mọi thay đổi ISMS (ví dụ chuyển hệ thống lên đám mây, đổi nhà cung cấp) phải được lên kế hoạch.
Về hồ sơ, các tài liệu tối thiểu thường gồm: phạm vi ISMS (4.3), chính sách (5.2), quy trình đánh giá và xử lý rủi ro (6.1.2, 6.1.3), SoA và kế hoạch xử lý rủi ro (6.1.3), mục tiêu (6.2), bằng chứng năng lực (7.2), kết quả đánh giá và xử lý rủi ro (8.2, 8.3), kết quả giám sát (9.1), chương trình và kết quả đánh giá nội bộ (9.2), kết quả xem xét của lãnh đạo (9.3), sự không phù hợp và hành động khắc phục (10.2).
Annex A ISO 27001:2022 có 93 biện pháp kiểm soát nào?
Annex A là danh mục tham chiếu các biện pháp kiểm soát (controls). Bản 2022 giảm từ 114 biện pháp trong 14 nhóm xuống 93 biện pháp trong 4 nhóm. Yêu cầu không nhẹ đi: phần lớn là gộp biện pháp trùng lặp, đồng thời thêm 11 biện pháp mới.
| Nhóm (mục) | Số biện pháp | Ví dụ nội dung |
|---|---|---|
| Tổ chức (5) | 37 | Chính sách, quản lý tài sản, phân loại thông tin, kiểm soát truy cập, nhà cung cấp, quản lý sự cố, liên tục kinh doanh, tuân thủ |
| Con người (6) | 8 | Thẩm tra lý lịch, điều khoản lao động, đào tạo nhận thức, cam kết bảo mật, làm việc từ xa |
| Vật lý (7) | 14 | Kiểm soát ra vào, bảo vệ thiết bị, bàn sạch và màn hình sạch, huỷ thiết bị lưu trữ |
| Công nghệ (8) | 34 | Xác thực, quản lý đặc quyền, chống mã độc, sao lưu, ghi log, mã hoá, phát triển phần mềm an toàn |
11 biện pháp mới trong bản 2022
| Nhóm | Biện pháp mới |
|---|---|
| Tổ chức | 5.7 Thông tin về mối đe doạ (threat intelligence); 5.23 An toàn khi dùng dịch vụ đám mây; 5.30 Sẵn sàng CNTT cho liên tục kinh doanh |
| Vật lý | 7.4 Giám sát an ninh vật lý |
| Công nghệ | 8.9 Quản lý cấu hình; 8.10 Xoá thông tin; 8.11 Che giấu dữ liệu (data masking); 8.12 Ngăn rò rỉ dữ liệu (DLP); 8.16 Giám sát hoạt động; 8.23 Lọc web; 8.28 Lập trình an toàn |
Danh sách này phản ánh ba xu hướng: dùng đám mây, rò rỉ dữ liệu và tấn công vào phần mềm. Nếu bạn đang đưa hệ thống lên đám mây, bài điện toán đám mây và các mô hình triển khai giải thích phân chia trách nhiệm giữa bạn và nhà cung cấp.
Có bắt buộc áp dụng đủ 93 biện pháp không?
Không. Tổ chức so sánh biện pháp đã chọn với toàn bộ Annex A để không bỏ sót, rồi lập Tuyên bố áp dụng (Statement of Applicability, SoA): biện pháp nào áp dụng, vì sao, đã thực hiện chưa, và lý do loại trừ biện pháp không áp dụng. Tổ chức cũng được thêm biện pháp ngoài Annex A nếu rủi ro đòi hỏi.
Lưu ý: Loại trừ biện pháp “cho nhẹ việc” là lỗi hay bị phát hiện khi đánh giá. Lý do phải khớp đánh giá rủi ro và thực tế. Công ty có nhân viên làm việc từ xa mà loại trừ biện pháp về làm việc từ xa sẽ rất khó giải thích.
ISO 27001:2022 khác bản 2013 thế nào? Hạn chuyển đổi đã qua thì sao?
| Tiêu chí | ISO/IEC 27001:2013 | ISO/IEC 27001:2022 |
|---|---|---|
| Biện pháp Annex A | 114, chia 14 nhóm | 93, chia 4 nhóm |
| Biện pháp mới | — | 11 (đám mây, DLP, che giấu dữ liệu, lập trình an toàn…) |
| Thuộc tính biện pháp | Không có | 5 loại (trong ISO/IEC 27002:2022) |
| Điều khoản | Chưa có mục kế hoạch thay đổi | Thêm 6.3; làm rõ 4.4, 9.2, 9.3 |
| Biến đổi khí hậu | Không đề cập | Bổ sung ở 4.1, 4.2 qua Amd 1:2024 |
| Trạng thái năm 2026 | Không còn dùng để chứng nhận | Phiên bản duy nhất để chứng nhận |
Theo tài liệu IAF MD 26 của Diễn đàn Công nhận Quốc tế (IAF), giai đoạn chuyển đổi kéo dài 36 tháng kể từ khi bản 2022 ra đời. Sau 30/04/2024, mọi đánh giá chứng nhận lần đầu và tái chứng nhận phải theo bản 2022. Giai đoạn chuyển đổi kết thúc ngày 31/10/2025; theo thông báo của các tổ chức chứng nhận như DQS và NSAI, chứng chỉ theo bản cũ hết hiệu lực hoặc bị thu hồi sau ngày này.
Ở thời điểm tháng 10/2026, việc cần làm là kiểm tra chứng chỉ của chính mình và của nhà cung cấp. Đối tác nào còn gửi chứng chỉ ghi “ISO/IEC 27001:2013” thì chứng chỉ đó không còn giá trị.
Doanh nghiệp nào nên áp dụng và lợi ích thực tế là gì?
ISO 27001 áp dụng cho mọi loại hình, quy mô. Nhu cầu chứng nhận cao nhất ở doanh nghiệp phần mềm, SaaS, trung tâm dữ liệu; doanh nghiệp thuê ngoài như dịch vụ BPO, ITO, tổng đài (khách hàng nước ngoài thường đặt ISO 27001 vào tiêu chí chọn nhà cung cấp); tài chính, fintech, thương mại điện tử; y tế, giáo dục, logistics.
Lợi ích doanh nghiệp thường cảm nhận rõ nhất:
- Mở cửa thị trường: vượt vòng hồ sơ thầu và bảng câu hỏi bảo mật của khách hàng lớn.
- Hiểu rủi ro của mình: có danh mục tài sản thông tin và bản đồ rủi ro đầy đủ.
- Trách nhiệm rõ ràng: mỗi biện pháp có người phụ trách, không còn là “việc của IT”.
- Nền cho tuân thủ: nhiều hồ sơ ISMS dùng lại được cho nghĩa vụ an ninh mạng và dữ liệu cá nhân.
Nếu doanh nghiệp rất nhỏ và chưa khách hàng nào yêu cầu, chưa cần vội chứng nhận. Hãy làm việc nền tảng trước: kiểm kê tài sản, bật xác thực đa yếu tố, sao lưu có thử phục hồi, đào tạo nhận diện email lừa đảo, và dùng ISO 27001 làm khung tham chiếu.
Quy trình triển khai và chứng nhận ISO 27001 gồm những bước nào?
Quy trình gồm phần doanh nghiệp tự làm và phần tổ chức chứng nhận đánh giá. Thời gian tuỳ quy mô, phạm vi và mức sẵn sàng.
Doanh nghiệp xây dựng và vận hành ISMS
- Cam kết lãnh đạo, lập nhóm dự án với người phụ trách có quyền điều phối các phòng ban.
- Xác định phạm vi: toàn công ty hay một sản phẩm, một văn phòng. Phạm vi phải khớp điều khách hàng cần thấy trên chứng chỉ.
- Đánh giá khoảng cách (gap analysis) so với điều 4–10 và Annex A.
- Kiểm kê tài sản, đánh giá rủi ro: mối đe doạ, điểm yếu, khả năng xảy ra, hậu quả.
- Xử lý rủi ro, lập SoA, được chủ sở hữu rủi ro phê duyệt.
- Viết chính sách, quy trình ngắn gọn, đúng cách công ty thật sự làm.
- Triển khai biện pháp và đào tạo: phần tốn công nhất.
- Vận hành, lưu bằng chứng: log, biên bản, phiếu yêu cầu thật.
- Đánh giá nội bộ và xem xét của lãnh đạo trước khi mời đánh giá chứng nhận.
Đánh giá chứng nhận và duy trì
- Giai đoạn 1 (Stage 1): xem xét tài liệu, phạm vi, đánh giá rủi ro, SoA và mức sẵn sàng.
- Giai đoạn 2 (Stage 2): đánh giá thực tế: phỏng vấn nhân viên, xem hệ thống, lấy mẫu hồ sơ.
- Sự không phù hợp: chia lớn (major) và nhỏ (minor). Lỗi lớn phải được khắc phục và chấp nhận trước khi ra quyết định cấp chứng chỉ.
- Chứng chỉ: thường hiệu lực 3 năm, ghi rõ phạm vi và phiên bản tiêu chuẩn. Có đánh giá giám sát năm thứ nhất, thứ hai và tái chứng nhận trước khi hết hạn. ISMS ngừng vận hành thì chứng chỉ có thể bị đình chỉ hoặc thu hồi.
Để kiểm tra một chứng chỉ, hãy xem tổ chức chứng nhận có được tổ chức công nhận thành viên IAF công nhận cho lĩnh vực ISO/IEC 27001 không, tra số chứng chỉ trên trang của tổ chức chứng nhận, đọc kỹ phạm vi (có thể chỉ một văn phòng hoặc một dịch vụ), phiên bản (phải là 2022) và ngày hết hạn.
Chi phí ISO 27001 gồm những nhóm nào?
Không có bảng giá chung. Báo giá trên mạng chênh nhau nhiều và thường không nói rõ gồm gì. Hãy tách chi phí thành các nhóm sau để so sánh:
| Nhóm chi phí | Gồm những gì | Yếu tố ảnh hưởng |
|---|---|---|
| Nhân lực nội bộ | Thời gian nhóm dự án, chủ sở hữu rủi ro, IT, nhân sự, pháp chế | Thường lớn nhất nhưng hay bị bỏ quên vì không có hoá đơn |
| Tư vấn (không bắt buộc) | Đánh giá khoảng cách, hướng dẫn tài liệu, đào tạo, đánh giá thử | Hiện trạng, phạm vi, mức “cầm tay chỉ việc” |
| Đào tạo | Nhận thức cho toàn bộ nhân viên, chuyên gia đánh giá nội bộ | Số nhân viên, tự đào tạo hay thuê ngoài |
| Công nghệ khắc phục | Sao lưu, ghi log, quản lý danh tính, chống mã độc, DLP, mã hoá | Những gì đã có; không phải biện pháp nào cũng cần mua phần mềm mới |
| Đánh giá chứng nhận | Giai đoạn 1, 2, phí cấp chứng chỉ, đi lại của chuyên gia | Số ngày công đánh giá, tính theo số người trong phạm vi, số địa điểm, độ phức tạp (theo ISO/IEC 27006) |
| Duy trì | Giám sát năm 1, 2; tái chứng nhận năm thứ 3 | Mở rộng phạm vi, thêm chi nhánh, sự cố |
Cảnh giác với gói “trọn gói, cam kết đạt”: tổ chức chứng nhận độc lập không được vừa tư vấn vừa chứng nhận cho cùng khách hàng vì xung đột lợi ích. Chứng chỉ có được trong vài tuần mà ISMS không vận hành thật thường ít giá trị khi khách hàng lớn tự đánh giá lại.
Để so sánh được, hãy gửi các bên cùng thông tin: phạm vi, số nhân sự, số địa điểm, hệ thống chính, có dùng đám mây không; yêu cầu ghi số ngày công đánh giá và phí giám sát các năm sau.
ISO 27001 liên quan gì đến pháp luật Việt Nam?
Pháp luật Việt Nam không bắt buộc doanh nghiệp có chứng chỉ ISO 27001. Tuy vậy, ISMS hỗ trợ trực tiếp hai nhóm nghĩa vụ dưới đây. Đây là thông tin tham khảo, không phải tư vấn pháp lý.
Luật An ninh mạng 2025 và cấp độ hệ thống thông tin
Luật An ninh mạng số 116/2025/QH15 được thông qua ngày 10/12/2025, hiệu lực từ 01/07/2026. Theo Điều 44, Luật An toàn thông tin mạng số 86/2015/QH13 (đã sửa đổi năm 2018) và Luật An ninh mạng số 24/2018/QH14 hết hiệu lực từ cùng ngày. Điều 8 chia hệ thống thông tin thành 5 cấp độ theo mức tổn hại khi có sự cố, từ cấp độ 1 (tổn hại quyền, lợi ích hợp pháp của tổ chức, cá nhân) đến cấp độ 5 (tổn hại đặc biệt nghiêm trọng tới an ninh quốc gia).
Điều 10 giao chủ quản hệ thống các nhiệm vụ như xác định cấp độ, đánh giá và quản lý rủi ro, giám sát, kiểm tra. Hệ thống cấp độ 3 và 4 (không thuộc danh mục quan trọng về an ninh quốc gia) bắt buộc một nhóm biện pháp, trong đó có áp dụng tiêu chuẩn, quy chuẩn kỹ thuật về an ninh mạng.
Ngày 19/08/2026, Chính phủ ban hành Nghị định 331/2026/NĐ-CP về bảo vệ an ninh mạng đối với hệ thống thông tin. Theo tóm tắt trên Cổng thông tin Bộ Công an:
- Hệ thống đáp ứng tiêu chí nhiều cấp độ thì áp dụng cấp cao nhất; cấm chia nhỏ hệ thống để hạ cấp độ.
- Hệ thống xử lý dữ liệu cá nhân từ 100.000 chủ thể (dữ liệu cơ bản) hoặc 10.000 chủ thể (dữ liệu nhạy cảm) trở lên thuộc ngưỡng cấp độ 3. Vượt ngưỡng thì phải đánh giá lại rủi ro và đề xuất nâng cấp độ nếu cần.
- Hệ thống vận hành hoặc đang xây dựng trước 01/07/2026 phải được thẩm định, phê duyệt cấp độ theo Nghị định 85/2016/NĐ-CP trong 6 tháng kể từ khi luật có hiệu lực, rồi đáp ứng yêu cầu mới trong 12 tháng.
- Người đứng đầu chịu trách nhiệm trực tiếp và phải bố trí nhân sự chuyên trách an ninh mạng.
Tổng quan về các mối đe doạ và khung pháp lý có trong bài an ninh mạng là gì.
Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15
Luật số 91/2025/QH15 được thông qua ngày 26/06/2025, hiệu lực từ 01/01/2026. Hai điểm gắn trực tiếp với ISMS:
- Thông báo vi phạm (Điều 23): khi phát hiện vi phạm có thể gây tổn hại tới quốc phòng, an ninh, trật tự xã hội hoặc xâm phạm tính mạng, sức khoẻ, danh dự, tài sản của chủ thể dữ liệu, bên kiểm soát dữ liệu phải thông báo cho cơ quan chuyên trách chậm nhất 72 giờ kể từ khi phát hiện và lập biên bản xác nhận. Nhóm biện pháp quản lý sự cố 5.24–5.28 của Annex A giúp đáp ứng thời hạn này.
- Mức phạt (Điều 8): tổ chức vi phạm về chuyển dữ liệu cá nhân xuyên biên giới bị phạt tối đa 5% doanh thu năm trước liền kề; vi phạm khác tối đa 3 tỷ đồng; cá nhân tối đa bằng một nửa.
ISO 27001 không đi sâu vào quyền của chủ thể dữ liệu như đồng ý hay xoá dữ liệu. Doanh nghiệp xử lý nhiều dữ liệu cá nhân nên kết hợp ISO/IEC 27701 và một khung quản trị dữ liệu.
| Nghĩa vụ pháp lý | ISMS hỗ trợ | ISO 27001 không thay thế |
|---|---|---|
| Xác định cấp độ hệ thống | Danh mục tài sản, đánh giá rủi ro, sơ đồ hệ thống | Thủ tục thẩm định, phê duyệt cấp độ |
| Đánh giá, quản lý rủi ro | Điều 6.1 và 8.2 với phương pháp, hồ sơ rõ ràng | Tiêu chí, biểu mẫu do cơ quan nhà nước quy định |
| Giám sát, ứng phó sự cố | Biện pháp 5.24–5.28, 8.15, 8.16 | Báo cáo cơ quan có thẩm quyền đúng mẫu, đúng hạn |
| Bảo vệ dữ liệu cá nhân | Biện pháp 5.34, mã hoá, kiểm soát truy cập | Cơ sở pháp lý xử lý, sự đồng ý, hồ sơ đánh giá tác động |
Nói ngắn gọn: chứng chỉ ISO 27001 không đồng nghĩa với tuân thủ pháp luật Việt Nam, nhưng giúp việc tuân thủ nhẹ hơn nhiều.
Những sai lầm thường gặp khi triển khai
- Coi là dự án của phòng IT: khoảng 40% Annex A (37/93) là biện pháp tổ chức; nhân sự, pháp chế, mua hàng đều phải tham gia.
- Đánh giá rủi ro một lần rồi để đó: điều 8.2 yêu cầu đánh giá lại định kỳ và khi có thay đổi lớn.
- Phạm vi quá hẹp để lấy chứng chỉ nhanh: khách hàng có thể từ chối nếu dịch vụ họ dùng nằm ngoài phạm vi.
- Bỏ quên nhà cung cấp: biện pháp 5.19–5.23 dành cho rủi ro chuỗi cung ứng, gồm cả đám mây.
- Đào tạo hình thức: nhiều sự cố bắt đầu từ một tệp đính kèm độc hại dẫn tới mã độc tống tiền. Đào tạo nên có tình huống thật.
Câu hỏi thường gặp
ISO 27001 có bắt buộc với doanh nghiệp Việt Nam không?
Không. Bắt buộc là nghĩa vụ theo Luật An ninh mạng 2025 và Luật Bảo vệ dữ liệu cá nhân 2025. Khách hàng, nhà đầu tư hoặc hồ sơ thầu có thể đặt ISO 27001 làm điều kiện.
Chứng chỉ ISO 27001:2013 còn dùng được không?
Không. Giai đoạn chuyển đổi theo IAF MD 26 kết thúc ngày 31/10/2025; chứng chỉ theo bản 2013 đã hết hiệu lực hoặc bị thu hồi.
Doanh nghiệp nhỏ có làm được ISO 27001 không?
Có. Phạm vi gọn, ít địa điểm thì số ngày công đánh giá thấp hơn. Quan trọng là có người thật sự chịu trách nhiệm vận hành ISMS.
Có chứng chỉ ISO 27001 rồi thì có bị tấn công mạng không?
Vẫn có thể. Chứng chỉ cho thấy tổ chức có hệ thống quản lý rủi ro vận hành tại thời điểm đánh giá, không bảo đảm không có sự cố. Giá trị nằm ở việc phát hiện sớm, xử lý đúng quy trình và rút kinh nghiệm.