ISO 27001 và SOC 2 khác nhau

Mục lục

1. ISO 27001 và SOC 2 khác nhau ở điểm cốt lõi nào?
2. Bảng so sánh ISO 27001 và SOC 2 theo từng tiêu chí
3. SOC 2 được cấu thành từ những gì?
4. SOC 2 Type 1 và Type 2 khác nhau ra sao so với chu kỳ ISO?
5. Phạm vi và bằng chứng: hai khung khác nhau thế nào khi làm thực tế?
6. Khi nào nên chọn ISO 27001, khi nào nên chọn SOC 2?
7. Thời gian triển khai và công việc duy trì khác nhau thế nào?
8. Những hiểu lầm thường gặp khi so sánh hai khung
9. Doanh nghiệp Việt Nam nên bắt đầu từ đâu?
10. Câu hỏi thường gặp

ISO 27001 và SOC 2 khác nhau ở điểm cốt lõi nào?

Điểm khác lớn nhất không nằm ở danh sách biện pháp kỹ thuật, vì hai bên đều yêu cầu quản lý truy cập, ứng phó sự cố, giám sát và quản lý nhà cung cấp. Khác biệt nằm ở thứ được đem ra đánh giá và ai là người đánh giá.

ISO 27001 đánh giá một hệ thống quản lý. Theo cách diễn đạt của các đơn vị tư vấn, ISO 27001 kiểm tra hệ thống quản lý có tồn tại, được duy trì và thúc đẩy cải tiến liên tục hay không. Tổ chức chứng nhận được công nhận sẽ cấp chứng chỉ sau khi đánh giá hai giai đoạn (Stage 1 và Stage 2).

SOC 2 đánh giá kiểm soát của một dịch vụ. SOC 2 không cho ra chứng chỉ; một công ty kiểm toán CPA độc lập thực hiện đánh giá và phát hành báo cáo xác nhận xem kiểm soát có đáp ứng tiêu chí áp dụng hay không. Vì vậy khi khách hàng yêu cầu “chứng nhận SOC 2”, thực chất họ muốn xem báo cáo SOC 2 (thường là Type 2) và đọc phần ý kiến kiểm toán cùng các ngoại lệ.

Về cách đọc kết quả: ISO 27001 trả lời câu hỏi “bạn có hệ thống để các kiểm soát luôn hoạt động không”. SOC 2 trả lời “các kiểm soát của dịch vụ này có hoạt động không”. Nếu bạn cần nền tảng về hệ thống quản lý, hãy đọc bài ISMS và Annex A của ISO 27001; phần dưới đây chỉ tập trung vào chỗ hai khung khác nhau.

Bảng so sánh ISO 27001 và SOC 2 theo từng tiêu chí

Tiêu chí	ISO 27001	SOC 2
Bản chất	Tiêu chuẩn yêu cầu cho ISMS; kết quả là chứng chỉ	Báo cáo xác nhận về kiểm soát theo Trust Services Criteria
Cơ quan ban hành	ISO và IEC	AICPA (Hiệp hội Kế toán công chứng Hoa Kỳ)
Ai đánh giá	Tổ chức chứng nhận được công nhận	Công ty kiểm toán CPA được cấp phép
Phạm vi	Phạm vi ISMS do tổ chức xác định, có thể là cả công ty hoặc một phần	Một dịch vụ hoặc hệ thống cung cấp cho khách hàng
Cách đặt yêu cầu	Điều khoản bắt buộc 4 đến 10 cùng Annex A (93 biện pháp trong bản 2022)	Tiêu chí nêu kết quả cần đạt; tổ chức tự thiết kế kiểm soát
Hạng mục tuỳ chọn	Tuyên bố áp dụng (SoA) cho phép loại biện pháp không liên quan, có giải trình	Security bắt buộc; bốn danh mục còn lại tuỳ chọn
Thời điểm đánh giá	Hướng tới việc duy trì hệ thống liên tục	Type 1: một thời điểm; Type 2: một kỳ quan sát
Chu kỳ	3 năm; giám sát hằng năm hai năm liền, tái chứng nhận ở năm thứ ba	Không có quy định gia hạn chính thức; phần lớn nhà cung cấp lặp lại hằng năm
Người nhận bằng chứng	Chứng chỉ công khai, thường đính kèm phạm vi và SoA	Báo cáo chi tiết, thường chia sẻ theo thoả thuận bảo mật
Độ phổ biến	Công nhận toàn cầu	Phổ biến nhất ở Bắc Mỹ

Các điểm về chu kỳ ISO và việc SOC 2 không có yêu cầu gia hạn chính thức khớp với mô tả của các đơn vị đánh giá: ISO 27001 cần đánh giá giám sát hằng năm hai năm liên tiếp rồi tái chứng nhận ở năm thứ ba, còn SOC 2 không có yêu cầu gia hạn nhưng đa số nhà cung cấp vẫn kiểm tra lại hằng năm.

SOC 2 được cấu thành từ những gì?

SOC 2 dựa trên năm danh mục tiêu chí dịch vụ tin cậy (Trust Services Criteria): an ninh (Security), tính sẵn sàng (Availability), toàn vẹn xử lý (Processing Integrity), bảo mật thông tin (Confidentiality) và quyền riêng tư (Privacy). Phiên bản hiện hành là bộ tiêu chí năm 2017 kèm điểm lưu ý (points of focus) sửa đổi năm 2022; bản cập nhật này không thay đổi bản thân các tiêu chí.

Ba ý hay bị hiểu sai:

• Security là bắt buộc. Nó gồm nhóm Common Criteria mã CC1 đến CC9. Theo một tổng hợp công bố gần đây, mọi báo cáo đều mang 33 tiêu chí chung, và toàn bộ bộ tiêu chí có 61 tiêu chí.
• Tiêu chí nêu kết quả, không nêu cách làm. Ví dụ CC6.1 yêu cầu có kiểm soát truy cập logic và vật lý, CC7.1 yêu cầu nhận diện lỗ hổng, CC8.1 yêu cầu quản lý thay đổi. Bạn tự chọn kiểm soát cụ thể, nên hai công ty cùng phạm vi có thể có hai bộ kiểm soát khác nhau.
• Điểm lưu ý (points of focus) là hướng dẫn, không phải danh sách tick. Không phải điểm lưu ý nào cũng liên quan và không bắt buộc đạt hết để có kết quả kiểm tra thành công.

Danh mục nên thêm ngoài Security phụ thuộc loại dịch vụ. Nhà cung cấp SaaS có cam kết thời gian hoạt động trong hợp đồng thường thêm Availability; nếu bạn đang soạn các cam kết đó, hãy xem cam kết mức dịch vụ SLA để đồng bộ con số với kiểm soát được kiểm tra. Danh mục Privacy chỉ nên đưa vào khi dịch vụ thực sự thu thập và xử lý dữ liệu cá nhân với vai trò rõ ràng.

SOC 2 Type 1 và Type 2 khác nhau ra sao so với chu kỳ ISO?

Người mua ở Việt Nam thường bỏ qua khác biệt này, trong khi nó quyết định độ tin cậy của báo cáo. Báo cáo Type 1 đánh giá thiết kế kiểm soát tại một thời điểm; Type 2 đánh giá kiểm soát có vận hành hiệu quả trong một giai đoạn xác định, thường 6 đến 12 tháng.

Hệ quả thực tế:

• Type 1 hữu ích khi bạn cần nhanh một văn bản cho khách đầu tiên, nhưng nhiều bộ phận mua sắm của doanh nghiệp lớn vẫn đòi Type 2.
• Type 2 có tính hồi tố: báo cáo chỉ phủ kỳ đã kiểm, không kéo dài sang năm sau. Khoảng trống giữa hai báo cáo liên tiếp là chỗ khách hàng hay hỏi, nên nhiều bên kèm thư bảo đảm (bridge letter) cho giai đoạn chưa được kiểm.
• Chứng chỉ ISO 27001 thì có hiệu lực theo chu kỳ ba năm, với các lần giám sát xen giữa.

Phạm vi và bằng chứng: hai khung khác nhau thế nào khi làm thực tế?

Với ISO 27001, bước đầu là xác định phạm vi ISMS, rồi đánh giá rủi ro và lập tuyên bố áp dụng cho Annex A. Kiểm toán viên kiểm cả khung quản trị: chính sách, mục tiêu, đánh giá nội bộ, xem xét của lãnh đạo và hành động khắc phục. Nếu thiếu biên bản xem xét của lãnh đạo hay kế hoạch đánh giá nội bộ, bạn có thể trượt dù kỹ thuật đã tốt.

Với SOC 2, bạn viết mô tả hệ thống: dịch vụ, hạ tầng, con người, quy trình và kiểm soát. Ban quản lý khẳng định mô tả đó chính xác, rồi CPA kiểm tra mẫu bằng chứng trong kỳ. Ví dụ minh hoạ: với kiểm soát “thu hồi quyền truy cập khi nhân viên nghỉ việc”, kiểm toán viên có thể chọn một số trường hợp nghỉ việc trong kỳ và đối chiếu ngày nghỉ với ngày khoá tài khoản. Nếu vài trường hợp khoá trễ, chúng sẽ xuất hiện như ngoại lệ trong báo cáo.

Về chiều sâu kiểm soát vật lý, ISO 27001 chi tiết hơn: nhóm kiểm soát vật lý của Annex A gồm 14 biện pháp, còn SOC 2 xử lý ở CC6.4 và CC6.5 với mức độ chi tiết thấp hơn nhiều. Ngược lại, SOC 2 có cấu trúc kiểm tra riêng cho tính sẵn sàng, toàn vẹn xử lý và quyền riêng tư; ISO 27001 chạm các chủ đề này trong Annex A nhưng không có bộ tiêu chí kiểm tra có cấu trúc tương đương.

Nếu hạ tầng của bạn chạy trên đám mây, hãy rõ phần nào do nhà cung cấp đảm nhận. Cả hai khung đều xem nhà cung cấp là rủi ro cần quản lý, và báo cáo của nhà cung cấp cloud thường được dùng làm bằng chứng cho phần hạ tầng. Nếu bạn cần ôn lại mô hình này, hãy đọc đám mây công cộng và trách nhiệm chia sẻ.

Khi nào nên chọn ISO 27001, khi nào nên chọn SOC 2?

Hãy bắt đầu từ người đòi bằng chứng, không phải từ khung nào “đẹp” hơn. Câu hỏi nên đặt cho đội kinh doanh: trong ba đến năm hợp đồng lớn gần nhất bị chậm vì đánh giá an ninh, khách hàng đã yêu cầu tài liệu gì?

Thiên về ISO 27001

• Khách hàng, đối tác hoặc hồ sơ thầu ở châu Á, châu Âu hay khu vực công yêu cầu chứng chỉ ISO 27001.
• Bạn cần một khung quản trị cho cả tổ chức, gồm nhiều dịch vụ và nhiều văn phòng.
• Bạn muốn chứng chỉ công khai, dễ đưa vào hồ sơ năng lực.

Thiên về SOC 2

• Bạn bán SaaS hoặc dịch vụ dữ liệu cho khách hàng doanh nghiệp ở Bắc Mỹ; khung này đặc biệt phổ biến ở những mảng mà khách hàng lớn đòi có trước khi làm việc với nhà cung cấp.
• Bộ phận mua hàng của khách gửi bảng câu hỏi an ninh dài và muốn thay bằng một báo cáo của bên thứ ba.
• Bạn cần chứng minh các cam kết cụ thể như thời gian hoạt động hay bảo mật dữ liệu, không chỉ chứng minh có hệ thống quản lý.

Làm cả hai

Công ty xuất khẩu dịch vụ phần mềm sang nhiều thị trường thường rơi vào nhóm này. Một tổng hợp công bố gần đây ước tính công ty hoàn thành một khung thường mang theo khoảng 70% công việc kiểm soát sang khung kia. Đây là ước tính của một đơn vị tư vấn, không phải số liệu chuẩn; tỷ lệ thực tế phụ thuộc phạm vi và mức trưởng thành của bạn. AICPA cũng có tài liệu ánh xạ giữa bộ tiêu chí dịch vụ tin cậy 2017 và ISO 27001, dùng được để lập bảng đối chiếu bằng chứng.

Thời gian triển khai và công việc duy trì khác nhau thế nào?

Các nguồn tư vấn quốc tế thường cho rằng SOC 2 có thể đạt trong vài tháng với đội thiên về công nghệ, còn ISO 27001 thường kéo dài 6 đến 12 tháng và cần duy trì liên tục. Đây là khoảng tham khảo; thời gian thực tế phụ thuộc hiện trạng chính sách, số điểm lệch phát hiện khi đánh giá khoảng trống và lịch của đơn vị đánh giá.

Điều đáng tính trước là khối lượng lặp lại:

• ISO 27001 cần đánh giá nội bộ, xem xét của lãnh đạo và đánh giá rủi ro theo định kỳ, ngoài hai lần giám sát và lần tái chứng nhận.
• SOC 2 Type 2 đòi bằng chứng sinh ra trong suốt kỳ: danh sách nhân viên nghỉ việc, vé thay đổi, báo cáo quét lỗ hổng, kết quả khôi phục sao lưu. Bằng chứng thiếu của tháng nào thì không thể làm bù về sau.
• Phí đánh giá lặp lại theo chu kỳ, nên hãy lập ngân sách nhiều năm thay vì chỉ cho lần đầu. Báo giá cụ thể tuỳ đơn vị và phạm vi, bài này không nêu mức giá.

Một số kiểm soát dùng chung ở cả hai khung đã có bài riêng: giám sát sự kiện bằng hệ thống SIEM thường là nguồn bằng chứng nhật ký, còn kiểm thử xâm nhập cung cấp kết quả cho nhóm tiêu chí về nhận diện lỗ hổng. Lưu ý đừng nhầm “SOC 2” với trung tâm vận hành an ninh; khái niệm đó được giải thích ở bài trung tâm vận hành an ninh SOC. Hai thứ này chỉ trùng ký hiệu SOC (System and Organization Controls ở báo cáo, Security Operations Center ở đội vận hành).

Những hiểu lầm thường gặp khi so sánh hai khung

• “SOC 2 là chứng chỉ.” Không đúng: đó là báo cáo xác nhận của CPA, có ý kiến kiểm toán và danh sách ngoại lệ. Báo cáo có ngoại lệ vẫn có thể là báo cáo “sạch” nếu ý kiến không bị điều chỉnh, nên hãy đọc nội dung chứ không chỉ xem có báo cáo hay không.
• “SOC 2 tự đánh giá.” Một số bài mô tả SOC 2 như bản tự đánh giá, nhưng bên đánh giá là CPA độc lập. Ban quản lý chỉ lập mô tả hệ thống và lời khẳng định của mình.
• “ISO 27001 chỉ là giấy tờ.” Chứng nhận đòi bằng chứng vận hành, ví dụ kết quả đánh giá nội bộ và hành động khắc phục. Giấy tờ đẹp nhưng không chạy thật sẽ lộ ra ở đánh giá giám sát.
• “Có SOC 2 là đủ cho ISO 27001.” Không: khoảng trống chính nằm ở khung quản trị ISMS, vì SOC 2 không buộc bạn có đánh giá rủi ro theo phương pháp ISMS hay tuyên bố áp dụng.
• “Chứng chỉ ISO 27001:2013 vẫn dùng được.” Không. Thời hạn chuyển đổi sang bản 2022 đã kết thúc ngày 31/10/2025, theo yêu cầu của IAF MD 26; tổ chức còn giữ chứng chỉ 2013 có chứng chỉ không còn giá trị và phải đánh giá đầy đủ Stage 1/Stage 2 theo bản 2022. Khi xem chứng chỉ của đối tác, hãy kiểm tra phiên bản và phạm vi.

Doanh nghiệp Việt Nam nên bắt đầu từ đâu?

Trước khi chọn khung, bạn cần một bộ kiểm soát nền tảng. Nếu đội còn ít người, hãy đọc an ninh mạng cho doanh nghiệp nhỏ để nắm các biện pháp thiết yếu, và nền khái niệm ở bài tổng quan an toàn thông tin.

Một lộ trình điển hình cho công ty phần mềm Việt Nam bán cho khách nước ngoài (ví dụ minh hoạ, không phải dữ liệu thực):

1. Thu thập yêu cầu từ ba bảng câu hỏi an ninh khách hàng gần nhất; ghi lại câu nào lặp lại và tài liệu nào được yêu cầu.
2. Chọn phạm vi là một sản phẩm chính cùng hạ tầng và đội vận hành sản phẩm đó, không phải cả công ty.
3. Chạy đánh giá khoảng trống theo khung mà khách yêu cầu nhiều nhất, rồi lập bảng ánh xạ sang khung còn lại.
4. Với SOC 2, chốt ngày bắt đầu kỳ quan sát và thiết lập thu thập bằng chứng tự động từ hệ thống định danh, quản lý thay đổi và sao lưu trước ngày đó.
5. Với ISO 27001, hoàn tất đánh giá nội bộ và xem xét của lãnh đạo trước khi mời tổ chức chứng nhận vào Stage 1.

Hai kiểm soát gần như luôn bị hỏi ở cả hai khung là khôi phục sau sự cố và sao lưu. Hãy chuẩn bị bằng chứng thử khôi phục thực tế, xem thêm kế hoạch khôi phục thảm hoạ.

Câu hỏi thường gặp

ISO 27001 và SOC 2, cái nào khó hơn?

Tuỳ điểm xuất phát. ISO 27001 thường đòi nhiều tài liệu quản trị và công việc duy trì hơn, vì phải có cả hệ thống quản lý. SOC 2 Type 2 khó ở chỗ bằng chứng phải liên tục trong cả kỳ quan sát, và kiểm toán viên kiểm tra theo mẫu. Đội đã có quy trình kỹ thuật tốt nhưng ít tài liệu thường thấy SOC 2 dễ hơn; tổ chức nặng về chính sách nhưng yếu vận hành thì ngược lại.

SOC 2 có phải chứng chỉ không?

Không. SOC 2 là báo cáo xác nhận do công ty kiểm toán CPA phát hành, gồm mô tả hệ thống, ý kiến kiểm toán và kết quả kiểm tra. Thị trường vẫn hay gọi là “chứng nhận SOC 2” cho tiện, nhưng khi trao đổi hợp đồng nên nói rõ loại báo cáo (Type 1 hay Type 2) và kỳ phủ.

Có cần làm SOC 2 nếu đã có ISO 27001 không?

Chỉ cần nếu khách hàng yêu cầu. Nhiều khách ở Bắc Mỹ chấp nhận báo cáo SOC 2 dễ hơn, vì họ quen đọc loại báo cáo này và nó nêu chi tiết kiểm soát cùng ngoại lệ. Nếu đã có ISMS, bạn có lợi thế lớn khi làm SOC 2 nhờ dùng lại chính sách, đánh giá rủi ro và nhiều bằng chứng.

Chứng chỉ ISO 27001 có hiệu lực bao lâu?

Chu kỳ chứng nhận là ba năm, với đánh giá giám sát hằng năm hai năm liền và tái chứng nhận ở năm thứ ba. Chứng chỉ phải theo bản 2022; bản 2013 đã hết giá trị từ 31/10/2025. Việc chuyển đổi sang bản 2022 không đặt lại chu kỳ ba năm đang chạy.

SOC 2 Type 2 cần quan sát bao lâu?

Phổ biến là 6 đến 12 tháng. Bộ tiêu chí của AICPA không ép một độ dài duy nhất; bạn thỏa thuận kỳ phủ với công ty kiểm toán, cân nhắc nhu cầu của khách và việc bằng chứng đã sẵn sàng từ ngày bắt đầu kỳ hay chưa.

Hai tiêu chuẩn này có thay thế yêu cầu pháp lý về dữ liệu cá nhân không?

Không. Cả hai là khung tự nguyện, chứng minh với khách hàng rằng kiểm soát an ninh được kiểm tra độc lập. Nghĩa vụ pháp lý về dữ liệu cá nhân ở Việt Nam là việc khác; bạn có thể xem phần tổng quan ở bài Nghị định 13/2023 về dữ liệu cá nhân để đối chiếu với kiểm soát đang vận hành.