ISO 27001 vs SOC 2
Khác nhau ở đâu, ai yêu cầu cái nào, và công ty Việt Nam nên làm cái nào trước.
Trả lời ngắn: ISO 27001 hay SOC 2?
ISO 27001 là chứng chỉ cho hệ thống quản lý an toàn thông tin (ISMS), do tổ chức chứng nhận được công nhận cấp, hiệu lực 3 năm kèm surveillance audit ít nhất mỗi năm một lần. SOC 2 là báo cáo chứng thực (attestation report) về các control của một dịch vụ, do CPA firm có giấy phép phát hành theo chuẩn AICPA. Chọn SOC 2 khi khách hàng Mỹ hoặc Canada yêu cầu báo cáo SOC 2; chọn ISO 27001 khi khách hàng Nhật, EU hay châu Á yêu cầu chứng chỉ, hoặc khi bạn cần một khung quản lý cho toàn tổ chức. Công ty bán cho cả hai thị trường thường làm cả hai trên cùng một bộ control.
Khách hàng tại Nhật, EU, Singapore và châu Á; công ty cần một khung quản lý an toàn thông tin cho toàn tổ chức.
Xem hub ISO 27001 →ISO 27001 và SOC 2 khác nhau thế nào?
| Tiêu chí | ISO 27001 | SOC 2 |
|---|---|---|
| Bản chất | Tiêu chuẩn quốc tế cho ISMS (ISO/IEC 27001:2022) | Khung chứng thực của AICPA, báo cáo theo Trust Services Criteria |
| Bạn nhận được gì | Chứng chỉ ISO 27001 (kèm báo cáo đánh giá) | Báo cáo SOC 2 Type I hoặc Type II, thường chia sẻ theo NDA |
| Ai cấp | Tổ chức chứng nhận được công nhận bởi cơ quan công nhận quốc gia (thành viên IAF) | CPA firm có giấy phép do hội đồng kế toán bang tại Mỹ cấp, làm theo chuẩn AICPA |
| Phạm vi | Phạm vi ISMS bạn tự xác định: tổ chức, địa điểm, dịch vụ | Hệ thống cung cấp một dịch vụ cụ thể và các Trust Services Category bạn chọn (Security luôn bắt buộc) |
| Yêu cầu và control | Điều khoản 4–10 cộng 93 control Annex A; loại trừ phải giải trình trong Statement of Applicability | Common criteria CC1–CC9 cho Security, cộng tiêu chí Availability, Confidentiality, Processing Integrity hoặc Privacy nếu chọn |
| Cách đánh giá | Audit Stage 1 (tài liệu) và Stage 2 (vận hành); không có observation period cố định nhưng ISMS phải đang chạy, gồm internal audit và management review | Type I: thiết kế control tại một thời điểm. Type II: thiết kế và vận hành trong một kỳ, thường 3 đến 12 tháng; AICPA không quy định tối thiểu |
| Hiệu lực và chu kỳ | Chứng chỉ 3 năm; surveillance audit ít nhất mỗi năm một lần, rồi tái chứng nhận | Không có ngày hết hạn chính thức; khách hàng thường muốn kỳ báo cáo kết thúc trong 12 tháng gần nhất, nên Type II làm lại hằng năm |
| Yếu tố quyết định chi phí | Quy mô phạm vi (nhân sự, địa điểm, hệ thống) quyết định số ngày audit của tổ chức chứng nhận; công sức nội bộ; công cụ | Type I hay II, độ dài kỳ, số category, độ phức tạp hệ thống, CPA firm; công sức nội bộ; công cụ |
| Thời gian (ước tính) | Tùy phạm vi: readiness, rồi Stage 1 và Stage 2. Chứng nhận của chính pTrackly: 3 tuần readiness + 4 tuần audit (trường hợp của chúng tôi, không phải cam kết) | Tùy phạm vi readiness; Type I sau một lần đánh giá tại thời điểm; Type II thêm observation period thường 3 đến 12 tháng |
| Ai thường yêu cầu | Khách hàng doanh nghiệp và đối tác tại Nhật, EU, Singapore và phần lớn châu Á; hồ sơ thầu | Khách hàng doanh nghiệp Mỹ và Canada mua SaaS hoặc dịch vụ IT |
Thời gian là ước tính phụ thuộc phạm vi, không phải cam kết. Chi phí phụ thuộc phạm vi, đơn vị đánh giá và mức sẵn sàng hiện tại; phí audit độc lập tính riêng.
Nên chọn ISO 27001 hay SOC 2?
Chọn ISO 27001 nếu...
- Khách hàng tại Nhật, Singapore, EU yêu cầu chứng chỉ
- Bạn làm outsourcing hoặc dịch vụ IT cho khách hàng doanh nghiệp
- Bạn muốn một hệ thống quản lý cho toàn tổ chức, không chỉ một dịch vụ
- Bạn dự định làm thêm ISO 42001 hoặc ISO 27701, cùng cấu trúc hệ thống quản lý
Chọn SOC 2 nếu...
- Khách hàng Mỹ, Canada yêu cầu báo cáo SOC 2
- Bạn là SaaS B2B và vendor review của khách hàng hỏi SOC 2
- Bạn muốn giới hạn phạm vi ở một dịch vụ cụ thể
Làm cả hai nếu...
- Bạn bán cho cả Mỹ và Nhật hoặc EU
- Security questionnaire của khách hàng hỏi cả hai
- Bạn đủ năng lực vận hành một bộ control cho hai cuộc audit
Có thể làm ISO 27001 và SOC 2 cùng lúc không?
Có. Cả hai đều dựa trên cùng các thực hành bảo mật cốt lõi, nên một bộ control có thể phục vụ cả hai cuộc audit. Phần khác nhau nằm ở tài liệu và cách đánh giá: ISO 27001 thêm các điều khoản ISMS (phạm vi, xử lý rủi ro, Statement of Applicability, internal audit, management review); SOC 2 thêm system description và, với Type II, bằng chứng mỗi control đã vận hành suốt kỳ đánh giá.
pTrackly cho phép map một control vào nhiều framework, nên evidence thu một lần dùng được cho cả ISO 27001 và SOC 2. Quyết định phạm vi, vận hành control và audit vẫn thuộc về đội của bạn, tổ chức chứng nhận và CPA firm.
Công ty Việt Nam nên làm cái nào trước?
| Thị trường bạn bán vào | Khách hàng thường hỏi | Nên bắt đầu với |
|---|---|---|
| Mỹ, Canada (SaaS, dịch vụ IT) | Báo cáo SOC 2, thường là Type II | SOC 2. Làm Type I trước nếu một hợp đồng cần bằng chứng sớm, rồi lên Type II |
| Nhật Bản | Chứng chỉ ISO 27001 (khách hàng có thể tra trên danh sách của ISMS-AC) | ISO 27001 |
| EU | Thường là ISO 27001; nghĩa vụ GDPR là chuyện riêng | ISO 27001, kèm chương trình GDPR nếu xử lý dữ liệu cá nhân của người ở EU |
| Singapore và phần còn lại của châu Á | Thường là ISO 27001 | ISO 27001 |
| Chưa rõ hoặc hỗn hợp | Xem security questionnaire của 3 khách hàng tiềm năng lớn nhất | Cái mở khóa được nhiều doanh thu nhất trước, rồi tái sử dụng control cho cái còn lại |
Câu hỏi thường gặp
ISO 27001 và SOC 2 khác nhau thế nào?
ISO 27001 là chứng chỉ cho hệ thống quản lý an toàn thông tin của tổ chức, do tổ chức chứng nhận được công nhận cấp, hiệu lực 3 năm. SOC 2 là báo cáo chứng thực về control của một dịch vụ, do CPA firm có giấy phép phát hành theo chuẩn AICPA, không có ngày hết hạn chính thức.
ISO 27001 và SOC 2 cái nào khó hơn?
ISO 27001 nặng hơn về hệ thống quản lý: phạm vi, đánh giá rủi ro, Statement of Applicability, internal audit và management review. SOC 2 Type II nặng hơn về bằng chứng: mỗi control phải có evidence vận hành trong suốt kỳ đánh giá, thường 3 đến 12 tháng.
Có thể làm ISO 27001 và SOC 2 cùng lúc không?
Có. Hai bộ yêu cầu dùng chung phần lớn thực hành bảo mật cốt lõi như access control, change management, logging, incident response và quản lý nhà cung cấp, nên một bộ control có thể phục vụ cả hai. Phần khác nhau là tài liệu ISMS cho ISO 27001 và system description cùng evidence theo kỳ cho SOC 2.
Có ISO 27001 thì khách hàng Mỹ có cần SOC 2 nữa không?
Thường vẫn cần. Khách hàng Mỹ yêu cầu SOC 2 muốn chính báo cáo của CPA firm; một số chấp nhận ISO 27001 kèm security questionnaire, nhưng hãy hỏi trực tiếp khách hàng trước khi quyết định.
Startup Việt Nam nên làm cái nào trước?
Theo thị trường: bán cho Mỹ và Canada thì SOC 2 trước; bán cho Nhật, EU, Singapore thì ISO 27001 trước. Nếu chưa rõ, xem security questionnaire của các khách hàng lớn nhất và làm cái mở khóa nhiều doanh thu hơn.
Đọc thêm
Biến kiến thức tuân thủ thành công việc được thực hiện
Trợ lý AI hướng dẫn từng bước, bằng chứng được thu thập tự động và trạng thái kiểm soát luôn nằm trong một workspace.
Trong buổi trao đổi, chúng tôi xác định framework, phạm vi hệ thống và cách pTrackly phù hợp với quy trình hiện tại của bạn.
Không thay thế đơn vị kiểm toán hoặc tổ chức chứng nhận độc lập.