Chứng Nhận Bảo Mật Nào Phù Hợp Với Doanh Nghiệp Của Bạn?

Chứng nhận bảo mật nào phù hợp phụ thuộc vào ba yếu tố: khách hàng ở đâu, bạn xử lý loại dữ liệu gì, và hợp đồng yêu cầu gì. Bán SaaS cho doanh nghiệp Mỹ thường cần báo cáo SOC 2; khách hàng đa quốc gia, Nhật, EU thường hỏi ISO 27001. HIPAA, GDPR và PCI DSS là nghĩa vụ đi theo dữ liệu, không phải lựa chọn.

Chứng nhận, báo cáo và luật khác nhau thế nào?

Không phải mọi cái tên trong danh sách đều là "chứng nhận". ISO 27001 và ISO 42001 là tiêu chuẩn có chứng nhận do tổ chức chứng nhận độc lập cấp. SOC 2 là báo cáo kiểm toán (attestation report) do công ty CPA phát hành theo chuẩn của AICPA. HIPAA và GDPR là luật: không có chứng nhận chính thức của nhà nước, doanh nghiệp tự chịu trách nhiệm tuân thủ. PCI DSS là tiêu chuẩn của ngành thẻ, được đánh giá hằng năm bằng SAQ hoặc ROC.

Khi nào nên chọn ISO 27001?

ISO 27001 phù hợp khi khách hàng ở nhiều quốc gia, khi bạn làm outsourcing cho Nhật, EU, Úc hoặc Singapore, hoặc khi hồ sơ thầu yêu cầu chứng nhận. Phiên bản hiện hành là ISO/IEC 27001:2022 với 93 control trong Annex A, chia 4 nhóm; bạn chọn control áp dụng dựa trên đánh giá rủi ro và ghi lại trong Statement of Applicability. Chứng nhận có hiệu lực 3 năm, với surveillance audit trong các năm giữa chu kỳ (ISO/IEC 27001). Nếu toàn bộ khách hàng là doanh nghiệp Mỹ và họ chỉ hỏi SOC 2, ISO 27001 có thể để sau.

Khi nào nên chọn SOC 2?

SOC 2 phù hợp khi bạn bán SaaS cho doanh nghiệp Mỹ và đang bị chặn ở vòng security review. Type I đánh giá thiết kế control tại một thời điểm; Type II đánh giá control vận hành qua một khoảng thời gian, thường 3 đến 12 tháng, AICPA không quy định thời gian tối thiểu. Báo cáo dựa trên Trust Services Criteria, trong đó Security luôn có mặt; Availability, Processing Integrity, Confidentiality và Privacy được chọn thêm theo dịch vụ. Xem thêm SOC 2 là gì và ISO 27001 vs SOC 2.

HIPAA, PCI DSS và GDPR áp dụng khi nào?

Ba khung này đi theo dữ liệu bạn chạm vào, nên câu hỏi là "có áp dụng không", không phải "có muốn không".

• HIPAA: áp dụng khi bạn là business associate, tức tạo, nhận, lưu hoặc truyền PHI thay cho covered entity Mỹ. Phải ký BAA và thực hiện các safeguard của Security Rule; mức phạt chia bậc theo mức độ lỗi và được điều chỉnh theo lạm phát hằng năm (45 CFR 160.404). App wellness không liên quan tới covered entity thường không thuộc phạm vi HIPAA.
• PCI DSS: phiên bản hiện hành là v4.0.1 (PCI SSC). Dùng cổng thanh toán như Stripe giúp thu hẹp phạm vi rất nhiều nhưng không loại bạn khỏi PCI DSS: merchant vẫn xác nhận tuân thủ, thường bằng một SAQ ngắn hơn.
• GDPR: áp dụng cho doanh nghiệp ngoài EU khi cung cấp hàng hóa, dịch vụ cho người ở EU hoặc theo dõi hành vi của họ (Điều 3(2)), và đi theo hợp đồng DPA khi bạn xử lý dữ liệu thay khách hàng EU. Website chỉ "truy cập được từ EU" chưa đủ để kích hoạt GDPR (GDPR Điều 3).

Khi nào nên cân nhắc ISO 42001?

ISO 42001 (2023) là tiêu chuẩn cho hệ thống quản lý AI. Nó đáng cân nhắc khi AI là sản phẩm chính và khách hàng bắt đầu hỏi về quản trị rủi ro AI. Cấu trúc giống ISO 27001 nên dễ tích hợp nếu đã có ISMS; Annex A có 38 control. ISO 42001 không tự nó chứng minh tuân thủ EU AI Act. Xem ISO 42001 là gì.

Chọn theo thị trường và dữ liệu như thế nào?

Có nên làm nhiều framework cùng lúc không?

Các framework chia sẻ nhiều nhóm control: kiểm soát truy cập, mã hóa, ứng phó sự cố, đánh giá rủi ro, đào tạo, quản lý nhà cung cấp, logging. Vì vậy framework thứ hai thường tốn ít công hơn framework đầu, nhưng mức tiết kiệm phụ thuộc phạm vi; đừng giả định một tỷ lệ chung. Cách làm an toàn là chọn một framework theo nhu cầu kinh doanh cấp bách nhất, dựng nền, rồi thêm framework tiếp theo và chỉ lấp phần còn thiếu. Ví dụ minh họa cho SaaS bán cho Mỹ và EU: báo cáo SOC 2 Type I trước, song song đưa GDPR vào vận hành, bắt đầu kỳ quan sát Type II, rồi thêm ISO 27001 khi cần. Phân tích chi tiết ở bài thêm framework thì workload cũng tăng?.

Sai lầm thường gặp: chọn theo "uy tín" thay vì theo khách hàng đang hỏi gì; làm tất cả cùng lúc; bỏ qua khung bắt buộc; quên chi phí duy trì (surveillance audit, báo cáo SOC 2 hằng năm, giám sát HIPAA); và để phạm vi quá rộng. Khi so sánh chi phí, tách phần nền tảng, công nội bộ, tư vấn, khắc phục và phí đánh giá độc lập, rồi gửi cùng một phạm vi cho các bên báo giá.

pTrackly giúp gì khi bạn đã chọn framework?

pTrackly hỗ trợ ISO 27001, SOC 2 (Type I và Type II), HIPAA, GDPR, PCI DSS, ISO 42001 và ISO 9001. Khi thêm framework, pTrackly tạo control, policy và evidence task còn thiếu; control dùng chung giữa các framework, nên một policy được publish hoặc một task hoàn thành được tính cho mọi framework liên quan, và mỗi framework có điểm tuân thủ riêng. pTrackly không chọn framework thay bạn, không cấp chứng nhận hay báo cáo, và không quyết định phạm vi; việc đó thuộc về đội của bạn, auditor, công ty CPA hoặc QSA.

Câu hỏi thường gặp

Doanh nghiệp SaaS Việt Nam nên bắt đầu với ISO 27001 hay SOC 2?

Bắt đầu với cái mà khách hàng đang hỏi. Nếu phần lớn doanh thu đến từ doanh nghiệp Mỹ, thường là SOC 2; nếu khách hàng ở Nhật, EU hoặc nhiều quốc gia, thường là ISO 27001.

HIPAA và GDPR có chứng nhận không?

Không có chứng nhận chính thức của nhà nước. Doanh nghiệp tự chịu trách nhiệm tuân thủ và có thể dùng đánh giá của bên thứ ba để chứng minh với khách hàng.

Dùng Stripe thì có cần PCI DSS không?

Vẫn cần xác nhận tuân thủ, nhưng phạm vi nhỏ hơn nhiều vì dữ liệu thẻ không đi qua hệ thống của bạn; thường là một SAQ ngắn. Hỏi ngân hàng thanh toán (acquirer) loại SAQ phù hợp.

Làm framework thứ hai có nhanh hơn không?

Thường có, vì nhiều control dùng lại được. Mức nhanh hơn phụ thuộc phạm vi và mức độ trùng lặp thực tế giữa hai framework.

Đọc thêm

• SOC 2 là gì? Hướng dẫn từ A đến Z
• ISO 27001 vs SOC 2
• pTrackly cho SOC 2