Tóm tắt
Với ISO 27001, SOC 2, HIPAA, PCI DSS hay GDPR, duy trì compliance sau chứng nhận thường khó hơn đạt được; bài phân tích các điểm nghẽn và cách xử lý.
Duy trì compliance sau chứng nhận khó hơn đạt chứng nhận vì chứng nhận là một dự án có ngày kết thúc, còn mọi framework đều yêu cầu control tiếp tục vận hành sau đó: ISO 27001 qua surveillance audit hằng năm, SOC 2 qua báo cáo mới cho mỗi kỳ, PCI DSS qua đánh giá hằng năm, còn HIPAA và GDPR qua hồ sơ bạn phải xuất trình được bất cứ lúc nào. Phần lớn team chỉ bố trí người cho dự án, không cho vận hành.
Vì sao framework nào cũng gặp cùng một vấn đề sau chứng nhận?
Dù bạn vừa đạt ISO 27001, có báo cáo SOC 2 Type II, sẵn sàng HIPAA, PCI DSS hay tuân thủ GDPR, câu chuyện đều giống nhau. Dự án kết thúc, hợp đồng tư vấn đóng lại, chứng nhận lên website, và các control dựng cho audit không còn được chạy theo lịch. Đến kỳ audit sau, không ai duy trì những gì đã xây. Đó không phải do team thiếu cố gắng; đó là hệ quả khi compliance được chạy như dự án có ngày kết thúc thay vì một chức năng vận hành có người phụ trách và lịch.
Mỗi framework yêu cầu gì sau chứng nhận?
Mỗi framework kiểm tra tính liên tục theo cách riêng. Bảng dưới tóm tắt các nghĩa vụ định kỳ mà team hay đánh giá thấp.
| Framework | Cách kiểm tra tính liên tục | Nghĩa vụ định kỳ cần lên lịch |
|---|---|---|
| ISO 27001 | Surveillance audit năm 1 và năm 2, recertification năm 3 | Internal audit (điều 9.2), management review (9.3), đánh giá rủi ro theo kỳ (8.2), review policy (A.5.1), access review (A.5.18) |
| SOC 2 Type II | Báo cáo mới cho mỗi kỳ, thường 3 đến 12 tháng; AICPA không quy định tối thiểu | Evidence cho từng lần chạy của từng control trong suốt kỳ |
| PCI DSS v4.0.1 | Đánh giá hằng năm (ROC hoặc SAQ) | Xác nhận phạm vi mỗi 12 tháng (12.5.2), ASV scan hằng quý (11.3.2), pentest hằng năm (11.4), access review 6 tháng một lần (7.2.4) |
| HIPAA | Không có chứng nhận; OCR yêu cầu hồ sơ khi điều tra hoặc review | Đánh giá định kỳ (164.308(a)(8)), đào tạo (164.308(a)(5)), lưu hồ sơ 6 năm (164.316(b)(2)) |
| GDPR | Không có chu kỳ audit; bạn phải chứng minh được việc tuân thủ (Điều 5(2)) | Kiểm thử biện pháp bảo mật thường xuyên (Điều 32(1)(d)), DPIA cho xử lý rủi ro cao (Điều 35), hợp đồng với bên xử lý (Điều 28) |
Nguồn: ISO/IEC 27001:2022, tổng quan SOC 2 của AICPA, thư viện tài liệu PCI SSC, HIPAA Security Rule (45 CFR Part 164 Subpart C) và văn bản GDPR trên EUR-Lex.
Vì sao dự án đạt chứng nhận không chuẩn bị bạn cho giai đoạn duy trì?
Consultant được thuê để đưa bạn qua audit, và phạm vi thường dừng ở đó. Họ viết policy, giúp triển khai control và gom bộ evidence, nhưng hiếm khi xây thói quen để các control đó tiếp tục chạy trong 365 ngày tiếp theo. Trong khi đó compliance thường là việc kiêm nhiệm: ở phần lớn doanh nghiệp Việt Nam không có compliance team chuyên trách, CTO, engineering manager hoặc IT lead gánh thêm bên cạnh công việc chính. Không có nhắc hạn và người phụ trách, việc định kỳ bị trôi cho đến khi audit sắp tới.
Năm đầu sau chứng nhận thường hỏng ở đâu?
Năm vấn đề xuất hiện ở gần như mọi team:
- Evidence nằm rải rác. Log cloud, email access review, báo cáo scan, hồ sơ đào tạo, tài liệu vendor và thread xử lý sự cố nằm ở các hệ thống khác nhau. Khi auditor hỏi evidence từ tháng 2 đến tháng 8, phải có người đi lục.
- Deadline trôi qua im lặng. Review policy, đánh giá rủi ro, pentest, kiểm thử liên tục kinh doanh (ISO 27001 A.5.30) và DPIA (GDPR Điều 35) không có nhắc hạn, nên lộ ra thành finding.
- Không ai có bức tranh tổng thể. Security nắm control kỹ thuật, HR nắm đào tạo, pháp chế nắm hợp đồng, engineering nắm cấu hình. Câu "hiện mình compliant đến đâu?" mất vài ngày mới trả lời được.
- Nhiều framework thì nhân công việc. Evidence access review có thể dùng cho ISO 27001 A.5.18, SOC 2 CC6.2 và CC6.3, PCI DSS 7.2.4 và HIPAA 164.312(a)(1) cùng lúc, nhưng không có control mapping thì team thu thập riêng cho từng framework.
- Người dựng hệ thống nghỉ việc. Hiểu biết về evidence ở đâu, policy nào ai giữ chỉ nằm trong đầu vài người, và người kế nhiệm phải dựng lại dưới áp lực audit.
Phần vận hành của các vấn đề này, như tài khoản mồ côi và configuration drift, nằm trong bài compliance tracking liên tục và 5 vấn đề vận hành bị bỏ sót.
Làm sao chuyển từ dự án compliance sang vận hành compliance?
Hãy coi compliance như monitoring hay tính lương: một chức năng có người phụ trách, có lịch và có hồ sơ.
| Khía cạnh | Compliance như dự án | Compliance như vận hành |
|---|---|---|
| Evidence | Thu thập trước audit | Thu thập theo lịch của từng task, tự động khi có thể |
| Review định kỳ | Nhớ ra muộn, thành finding | Mỗi việc có owner, hạn và nhắc nhở |
| Trạng thái | Không rõ cho đến khi có người kiểm tra | Hiển thị trên dashboard |
| Thêm framework | Làm lại việc đã làm | Control dùng chung, map một lần |
| Hiểu biết | Trong đầu người | Trong hệ thống, có lịch sử |
| Làm việc với auditor | Folder và file zip | Không gian audit riêng có danh sách yêu cầu và evidence |
Ví dụ cụ thể khi vận hành song song ISO 27001 và PCI DSS có trong bài duy trì ISO 27001 và PCI DSS sau chứng nhận; lịch surveillance audit và recertification có trong hướng dẫn duy trì ISO 27001 sau chứng nhận. Để dùng mỗi lần review như một tín hiệu rủi ro, xem compliance tracking là hệ thống cảnh báo sớm.
pTrackly hỗ trợ duy trì compliance sau chứng nhận như thế nào?
pTrackly được xây cho giai đoạn vận hành. Evidence task có tần suất, owner và ngày review, nhắc 7, 3 và 1 ngày trước hạn và chuyển cấp khi quá hạn; policy có ngày review với cùng cơ chế nhắc. Control được dùng chung giữa các framework, nên thêm ISO 27001 trên nền SOC 2 sẽ tái sử dụng control và task trùng lặp thay vì nhân đôi. Integration và kiểm tra cloud theo lịch thu thập evidence mà không cần chụp màn hình, còn audit chạy trong một không gian chung, nơi auditor bên ngoài chỉ thấy các audit họ được mời. pTrackly không vận hành control thay bạn và không cấp chứng nhận: team của bạn vận hành control, tổ chức chứng nhận hoặc công ty CPA thực hiện audit. Chính pTrackly đã sẵn sàng audit ISO 27001 trong 3 tuần và qua audit chứng nhận 4 tuần trên nền tảng; đó là dự án của chính chúng tôi, và phạm vi khác sẽ cho timeline khác. Xem pTrackly cho team đã có chứng nhận.
Câu hỏi thường gặp
Vì sao duy trì compliance khó hơn đạt chứng nhận?
Đạt chứng nhận là một dự án có ngân sách, có deadline và có người hỗ trợ bên ngoài. Duy trì là việc định kỳ trải khắp nhiều team, thường do người đang có một công việc toàn thời gian khác đảm nhận, và không có gì nhắc họ cho đến kỳ audit sau.
Sau khi đạt ISO 27001, bao lâu thì bị audit lại?
Tổ chức chứng nhận thực hiện surveillance audit vào năm thứ nhất và thứ hai, và recertification audit trước khi chứng nhận 3 năm hết hạn.
Báo cáo SOC 2 có cần làm lại không?
Báo cáo SOC 2 không có ngày hết hạn chính thức, nhưng khách hàng thường muốn báo cáo có kỳ đánh giá kết thúc trong 12 tháng gần nhất, nên phần lớn công ty làm Type II hằng năm với các kỳ nối tiếp nhau.
Một bộ evidence có dùng được cho nhiều framework không?
Thường là có. Một access review có thể đáp ứng ISO 27001 A.5.18, SOC 2 CC6.2 và CC6.3, PCI DSS 7.2.4 và HIPAA 164.312(a)(1) nếu nó bao phủ các hệ thống mà mỗi framework đưa vào phạm vi. Map control một lần và thu thập theo mapping đó.
