Tóm tắt
Checklist hồ sơ bảo mật cho công ty outsourcing Việt Nam khi khách hàng quốc tế đánh giá vendor: chính sách, risk assessment, evidence, DPA và chứng nhận.
Hồ sơ bảo mật cho công ty outsourcing là bộ tài liệu và bằng chứng giúp khách hàng quốc tế thấy nhà cung cấp bảo vệ dữ liệu, mã nguồn, tài khoản và môi trường dự án ra sao: phạm vi dịch vụ, policy, risk assessment, evidence control đang vận hành, pentest, điều khoản dữ liệu và chứng nhận đúng phạm vi. Hồ sơ tốt phải phản ánh cách công ty đang vận hành, không chỉ là một bộ policy mẫu được tạo ngay trước ngày đánh giá.
Khách hàng có thể yêu cầu hồ sơ ở giai đoạn RFP, vendor onboarding, đàm phán hợp đồng hoặc security review. Danh sách cụ thể phụ thuộc vào thị trường, ngành, dữ liệu và mức truy cập mà đội outsourcing được cấp.
Khách hàng quốc tế đánh giá điều gì ở vendor outsourcing?
Đối với một công ty ITO, khách hàng thường muốn biết bốn việc:
- Phạm vi trách nhiệm giữa hai bên đã rõ chưa?
- Các rủi ro đối với dữ liệu và hệ thống đã được nhận diện chưa?
- Control có được vận hành và để lại evidence hay không?
- Nếu xảy ra sự cố, ai phát hiện, xử lý và thông báo?
ISO/IEC 27001 yêu cầu tổ chức thiết lập, vận hành, duy trì và cải tiến hệ thống quản lý an toàn thông tin dựa trên rủi ro. Đây là lý do ISO 27001 thường xuất hiện trong yêu cầu của khách hàng outsourcing, nhưng certificate chỉ là một phần của hồ sơ. Khách hàng vẫn cần hiểu scope và cách control áp dụng cho dự án của họ.
Hồ sơ bảo mật cho công ty outsourcing cần những gì?
Thông tin về phạm vi dịch vụ
Hãy bắt đầu bằng tài liệu mô tả dịch vụ, hệ thống liên quan, địa điểm làm việc, vai trò của nhân sự và luồng dữ liệu. Nếu team chỉ truy cập môi trường của khách hàng qua VDI, hồ sơ phải nói rõ điều đó. Nếu dữ liệu được sao chép sang môi trường của nhà cung cấp, phạm vi control sẽ khác.
Tài liệu nên trả lời:
- Loại dữ liệu nào được truy cập hoặc xử lý?
- Dữ liệu được lưu ở đâu và đi qua những hệ thống nào?
- Nhân sự nào có quyền truy cập?
- Nhà cung cấp phụ nào tham gia?
- Khi hợp đồng kết thúc, tài khoản và dữ liệu được xử lý thế nào?
Chính sách và quy trình
Một bộ hồ sơ thường cần các chính sách phù hợp với phạm vi dự án, chẳng hạn quản lý truy cập, phân loại dữ liệu, phát triển phần mềm an toàn, quản lý thay đổi, ứng phó sự cố và quản lý nhà cung cấp.
Policy chỉ có giá trị khi có owner, ngày phê duyệt, phiên bản và chu kỳ rà soát. Nội dung cũng phải khớp với công cụ team đang dùng. Nếu policy yêu cầu mọi thay đổi phải có review, repository phải lưu được lịch sử review tương ứng.
Risk assessment và kế hoạch xử lý
Risk assessment cho thấy công ty không áp dụng control theo thói quen. Team đã xem xét tài sản, mối đe dọa, điểm yếu, khả năng xảy ra và tác động, sau đó chọn cách xử lý phù hợp.
Đối với dự án outsourcing, risk register nên phân biệt rủi ro chung của công ty với rủi ro riêng của khách hàng. Ví dụ, quyền truy cập production, thiết bị cá nhân, nhân sự làm việc từ xa hoặc việc dùng công cụ AI coding có thể cần quyết định riêng theo hợp đồng.
Evidence về control đang vận hành
Khách hàng thường không dừng ở câu hỏi "có policy hay không". Họ có thể yêu cầu bằng chứng như:
| Control | Evidence có thể chuẩn bị |
|---|---|
| Onboarding và offboarding | Ticket cấp hoặc thu hồi quyền, danh sách tài khoản, phê duyệt của quản lý |
| Access control | Báo cáo MFA, role matrix, access review gần nhất |
| Secure SDLC | Pull request review, branch protection, kết quả scan |
| Vulnerability management | Báo cáo scan, pentest, ticket và trạng thái khắc phục |
| Incident response | Kế hoạch ứng phó, danh sách liên hệ, kết quả diễn tập |
| Backup và recovery | Cấu hình backup, log kiểm thử phục hồi |
| Security awareness | Nội dung đào tạo và hồ sơ hoàn thành |
Evidence cần có ngày, nguồn, owner và control liên quan. Một folder chứa nhiều screenshot không có chú thích sẽ khiến người review mất thời gian xác minh.
Pentest và quản lý lỗ hổng
Khách hàng có thể yêu cầu báo cáo pentest cho sản phẩm, API, mobile app hoặc hạ tầng nằm trong phạm vi. Trước khi chia sẻ báo cáo đầy đủ, hai bên cần thống nhất mức thông tin được phép cung cấp. Nhiều trường hợp chỉ cần executive summary, phạm vi kiểm thử, thời điểm thực hiện và trạng thái khắc phục.
Pentest không thay thế quy trình quản lý lỗ hổng. Team vẫn cần chứng minh cách phát hiện, ưu tiên, giao owner và xác nhận việc khắc phục.
Điều khoản dữ liệu và nhà cung cấp phụ
Nếu dự án xử lý dữ liệu cá nhân, legal cần xác định vai trò của các bên và điều khoản xử lý dữ liệu. Ủy ban Châu Âu nêu rõ nghĩa vụ của processor đối với controller phải được quy định trong hợp đồng hoặc văn bản pháp lý. Với chuyển dữ liệu ra ngoài EEA, hai bên có thể cần đánh giá cơ chế chuyển dữ liệu và Standard Contractual Clauses.
Đây là nội dung cần tư vấn pháp lý theo từng trường hợp. Nền tảng compliance có thể quản lý task, tài liệu và phê duyệt, nhưng không tự quyết định cơ sở pháp lý thay cho doanh nghiệp.
Chứng nhận và báo cáo độc lập
Hãy cung cấp certificate hoặc audit report đúng phạm vi và còn hiệu lực. Đừng chỉ ghi "công ty có ISO 27001". Khách hàng cần biết certificate bao phủ pháp nhân, địa điểm, dịch vụ và hệ thống nào; nhiều khách hàng sẽ tự kiểm tra certificate với tổ chức chứng nhận hoặc cơ quan công nhận, ví dụ khách hàng Nhật thường tra cứu trên ISMS-AC. Lý do khách hàng Nhật vẫn có thể từ chối dù bạn có chứng nhận được phân tích trong bài mất hợp đồng Nhật dù có ISO 27001.
Tùy thị trường và dịch vụ, khách hàng có thể quan tâm đến:
- ISO 27001 cho hệ thống quản lý an toàn thông tin.
- SOC 2 khi bán dịch vụ SaaS hoặc công nghệ cho doanh nghiệp Mỹ.
- HIPAA nếu dịch vụ liên quan đến ePHI trong phạm vi luật Mỹ.
- GDPR và điều khoản dữ liệu khi xử lý dữ liệu cá nhân tại EU.
- PCI DSS nếu phạm vi có dữ liệu thẻ thanh toán.
Ai nên chịu trách nhiệm cho hồ sơ bảo mật?
Compliance hoặc security nên điều phối, nhưng hồ sơ cần đầu vào của nhiều đội. Sales xác nhận yêu cầu khách hàng. Engineering mô tả kiến trúc và control kỹ thuật. HR cung cấp hồ sơ nhân sự. Legal xử lý điều khoản. Management phê duyệt các cam kết có ảnh hưởng đến toàn công ty.
Nên có một owner cho từng tài liệu và một người chịu trách nhiệm cho phiên bản hồ sơ gửi ra ngoài. Điều này tránh việc sales dùng certificate cũ hoặc gửi một policy chưa được phê duyệt.
Dấu hiệu nào cho thấy hồ sơ đang được quản lý chưa tốt?
- Mỗi RFP lại tạo một folder mới và sao chép tài liệu cũ.
- Không ai biết policy nào là phiên bản đã duyệt.
- Evidence chỉ được gom khi khách hàng hỏi.
- Câu trả lời của sales khác với cách engineering đang vận hành.
- Một thay đổi hạ tầng không được cập nhật vào data flow hoặc risk register.
- Certificate được gửi mà không kiểm tra scope.
Những vấn đề này không được giải quyết bằng cách thuê thêm người viết tài liệu cho từng hợp đồng. Team cần một hệ thống giữ requirement, owner, tài liệu và evidence liên kết với nhau.
Làm sao chuẩn bị một lần và dùng lại có kiểm soát?
Một hồ sơ bảo mật tốt không phải file ZIP cố định. Đó là dữ liệu sống được cập nhật khi nhân sự, hạ tầng, vendor hoặc phạm vi dịch vụ thay đổi. Khi khách hàng gửi bảng câu hỏi, dùng lại câu trả lời đã duyệt theo cách trong bài security questionnaire cho SaaS và ITO.
Trên pTrackly cho công ty ITO, policy có vòng phê duyệt trước khi publish, evidence task gắn với control và có người phụ trách, tần suất, ngày review. Trust Portal cho phép công khai danh sách framework, control và nhà cung cấp phụ, còn file policy, certificate và tài liệu khác chỉ chia sẻ sau khi khách hàng ký NDA và được duyệt quyền truy cập. Ask Tracky, trợ lý AI, giúp tìm policy và evidence liên quan trong dữ liệu của bạn; nội dung gửi khách hàng vẫn do đội của bạn kiểm tra và chịu trách nhiệm.
Câu hỏi thường gặp
Hồ sơ bảo mật cho công ty outsourcing gồm những tài liệu gì?
Thường gồm mô tả phạm vi dịch vụ, bộ policy đã duyệt, risk assessment, evidence của các control đang vận hành, báo cáo pentest hoặc tóm tắt, điều khoản xử lý dữ liệu và chứng nhận hoặc báo cáo độc lập đúng phạm vi.
Có nên gửi báo cáo pentest đầy đủ cho khách hàng không?
Không nhất thiết. Nhiều khách hàng chấp nhận executive summary, phạm vi, thời điểm kiểm thử và trạng thái khắc phục; báo cáo đầy đủ nên chia sẻ có kiểm soát, thường sau NDA.
Có chứng nhận ISO 27001 thì có cần hồ sơ bảo mật nữa không?
Vẫn cần. Certificate chứng minh hệ thống quản lý trong một phạm vi; khách hàng vẫn hỏi về dự án cụ thể, mức truy cập của đội bạn, điều khoản dữ liệu và evidence gần đây.
Ai nên phê duyệt hồ sơ trước khi gửi?
Người phụ trách compliance hoặc security điều phối, còn các cam kết ảnh hưởng toàn công ty, như điều khoản dữ liệu hay mức dịch vụ, cần lãnh đạo hoặc pháp chế phê duyệt.
