ISO 27001 Checklist: Danh Sách Kiểm Tra Đầy Đủ

ISO 27001 checklist gồm 5 giai đoạn: xác định phạm vi ISMS, đánh giá và xử lý rủi ro kèm Statement of Applicability (SoA), lập tài liệu bắt buộc theo ISO/IEC 27001:2022, vận hành control và thu thập evidence, rồi hoàn tất internal audit và management review trước khi tổ chức chứng nhận audit Stage 1 và Stage 2. Mỗi mục dưới đây gắn với điều khoản tương ứng của tiêu chuẩn.

ISO 27001 checklist gồm những giai đoạn nào?

Checklist chia công việc theo thứ tự phụ thuộc: phạm vi quyết định tài sản và rủi ro, rủi ro quyết định control, control quyết định evidence, và internal audit kiểm tra toàn bộ trước khi auditor bên ngoài đến. Bảng dưới tóm tắt đầu ra của từng giai đoạn theo ISO/IEC 27001:2022.

Nếu chưa biết mình đang thiếu gì, hãy bắt đầu bằng gap analysis ISO 27001 trước khi dùng checklist này.

Giai đoạn 1: cần kiểm tra gì khi xác định phạm vi ISMS?

Phạm vi quyết định toàn bộ khối lượng công việc phía sau, nên cần được viết rõ và được lãnh đạo phê duyệt theo điều khoản 4.3. Phạm vi càng hẹp và rõ, việc quản lý rủi ro và control càng hiệu quả; nên tránh mở rộng quá mức ở lần chứng nhận đầu tiên.

• [ ] Xác định ranh giới tổ chức, địa điểm, hệ thống và dịch vụ trong phạm vi
• [ ] Lập danh mục tài sản thông tin trong phạm vi, mỗi tài sản có người sở hữu
• [ ] Xác định bên liên quan nội bộ và bên ngoài cùng yêu cầu của họ (khách hàng, cơ quan quản lý, nhà cung cấp)
• [ ] Ghi nhận yêu cầu pháp lý và hợp đồng áp dụng
• [ ] Phê duyệt và lưu tuyên bố phạm vi dưới dạng tài liệu

Giai đoạn 2: đánh giá rủi ro và SoA cần những gì?

Đánh giá rủi ro là phần cốt lõi: tiêu chuẩn yêu cầu một quy trình có tiêu chí rõ, lặp lại được và cho kết quả nhất quán. Statement of Applicability nối rủi ro với control: ghi rõ control Annex A nào áp dụng, control nào loại trừ và lý do. Auditor thường xem SoA rất kỹ, vì mỗi quyết định loại trừ phải bảo vệ được khi phỏng vấn.

• [ ] Định nghĩa tiêu chí chấp nhận rủi ro và phương pháp đánh giá
• [ ] Nhận diện, phân tích và đánh giá rủi ro cho tài sản và quy trình trong phạm vi
• [ ] Gán risk owner cho từng rủi ro
• [ ] Lập kế hoạch xử lý rủi ro (giảm thiểu, chấp nhận, chuyển giao, tránh)
• [ ] Lập SoA với lý do áp dụng hoặc loại trừ cho cả 93 control
• [ ] Risk owner phê duyệt kế hoạch xử lý và chấp nhận rủi ro còn lại

Giai đoạn 3: tài liệu bắt buộc của ISO 27001 gồm những gì?

ISO/IEC 27001:2022 yêu cầu một số "thông tin dạng văn bản" (documented information) cụ thể; phần còn lại do doanh nghiệp tự quyết theo nhu cầu. Danh sách tối thiểu cần có:

• [ ] Phạm vi ISMS (4.3)
• [ ] Chính sách an toàn thông tin (5.2)
• [ ] Quy trình đánh giá và xử lý rủi ro (6.1.2, 6.1.3)
• [ ] Statement of Applicability (6.1.3)
• [ ] Mục tiêu an toàn thông tin (6.2)
• [ ] Bằng chứng về năng lực nhân sự (7.2)
• [ ] Kết quả đánh giá rủi ro và xử lý rủi ro (8.2, 8.3)
• [ ] Kết quả giám sát và đo lường (9.1)
• [ ] Chương trình và kết quả internal audit (9.2)
• [ ] Kết quả management review (9.3)
• [ ] Điểm không phù hợp và hành động khắc phục (10.2)

Giai đoạn 4: vận hành control và thu thập evidence thế nào?

Annex A của ISO 27001:2022 có 93 control trong 4 nhóm: tổ chức (37), con người (8), vật lý (14), công nghệ (34). Mỗi control được chọn trong SoA cần có bằng chứng thực thi quan sát được; chính sách đơn thuần không đủ. Evidence nên được thu thập theo tần suất của control ngay từ khi triển khai, không đợi đến trước audit.

• [ ] Hồ sơ cấp, thay đổi và thu hồi quyền truy cập; kết quả access review định kỳ
• [ ] Báo cáo quét lỗ hổng và hồ sơ vá lỗi
• [ ] Hồ sơ xử lý sự cố an toàn thông tin
• [ ] Kết quả thử nghiệm sao lưu, khôi phục và kế hoạch liên tục kinh doanh
• [ ] Hồ sơ đánh giá nhà cung cấp
• [ ] Hồ sơ đào tạo nhận thức an toàn thông tin
• [ ] Hồ sơ kiểm tra an ninh vật lý (nếu có địa điểm trong phạm vi)

Giai đoạn 5: cần hoàn tất gì trước audit chứng nhận?

Trước Stage 1, ISMS phải đã chạy đủ để có kết quả giám sát, một vòng internal audit và một lần management review. Tổ chức chứng nhận sẽ kiểm tra các hồ sơ này ở Stage 1 trước khi sang Stage 2 đánh giá control vận hành thực tế.

• [ ] Hoàn tất internal audit bao phủ toàn bộ phạm vi ISMS
• [ ] Ghi nhận điểm không phù hợp, phân tích nguyên nhân và hành động khắc phục
• [ ] Tổ chức management review có biên bản quyết định
• [ ] Chọn tổ chức chứng nhận được công nhận (cách chọn certification body)
• [ ] Chuẩn bị nhân sự cho phỏng vấn: mỗi người hiểu trách nhiệm thật của mình

Thời gian từ readiness đến Stage 1 và Stage 2 được phân tích trong ISO 27001 mất bao lâu; sau khi có chứng chỉ, checklist chuyển sang duy trì ISO 27001 sau chứng nhận.

pTrackly giúp quản lý ISO 27001 checklist thế nào?

Khi thêm ISO 27001, pTrackly tạo sẵn control, mẫu chính sách và evidence task theo bản 2022; mỗi task có người phụ trách, tần suất, ngày review và nhắc việc trước hạn. Risk register chấm điểm rủi ro theo khả năng xảy ra và mức tác động, có kế hoạch xử lý và chấp nhận rủi ro chính thức; ma trận yêu cầu–control cho thấy điều khoản và control Annex A nào đã có policy và evidence. pTrackly không quyết định phạm vi, không chấp nhận rủi ro thay lãnh đạo và không thực hiện audit; đội ngũ của bạn vận hành ISMS, tổ chức chứng nhận đánh giá. Xem trang ISO 27001 của pTrackly.

Câu hỏi thường gặp

SoA khác gì với kế hoạch xử lý rủi ro?

Kế hoạch xử lý rủi ro mô tả cách xử lý từng rủi ro cụ thể. SoA liệt kê toàn bộ 93 control Annex A, ghi rõ control nào áp dụng hay loại trừ kèm lý do, và liên kết với kế hoạch xử lý rủi ro. Cả hai đều là yêu cầu của điều khoản 6.1.3.

Khi nào nên bắt đầu thu thập evidence?

Ngay khi control được triển khai. Tiêu chuẩn không quy định số tháng tối thiểu, nhưng auditor cần thấy control đã vận hành đủ lâu để có hồ sơ, nên evidence thu thập gấp trước audit thường không thuyết phục.

Internal audit có bắt buộc trước audit chứng nhận không?

Có. Điều khoản 9.2 yêu cầu internal audit theo chương trình định kỳ, và tổ chức chứng nhận cần thấy ít nhất một vòng internal audit cùng management review trước khi chứng nhận.

Có phải triển khai cả 93 control Annex A không?

Không. Doanh nghiệp chọn control dựa trên đánh giá rủi ro và yêu cầu áp dụng, nhưng SoA phải đề cập cả 93 control, kể cả control loại trừ và lý do.