Tóm tắt
ISO 27001:2022 Annex A có 93 controls chia 4 nhóm. Bài này giải thích từng nhóm, 11 controls mới và cách doanh nghiệp xác định controls nào áp dụng.
ISO 27001 Annex A là danh sách 93 control tham chiếu trong ISO/IEC 27001:2022, chia thành bốn nhóm: tổ chức (37), con người (8), vật lý (14) và công nghệ (34). Không phải control nào cũng bắt buộc. Kết quả risk assessment quyết định doanh nghiệp cần control nào, và Statement of Applicability (SoA) ghi lại quyết định đó cho từng control.
Annex A trong ISO 27001:2022 được tổ chức thế nào?
Annex A liệt kê 93 control trong bốn nhóm, đánh số theo các mục của tiêu chuẩn hướng dẫn ISO/IEC 27002:2022. Nhóm cho biết control thuộc loại biện pháp nào, không nói ai phụ trách: access review (5.18) nằm trong nhóm tổ chức dù bộ phận IT là bên thực hiện.
| Nhóm | Số control | Đánh số | Thường do ai phụ trách |
|---|---|---|---|
| Organizational (tổ chức) | 37 | 5.1–5.37 | Ban lãnh đạo, security lead, pháp chế, mua hàng |
| People (con người) | 8 | 6.1–6.8 | HR và quản lý trực tiếp |
| Physical (vật lý) | 14 | 7.1–7.14 | Hành chính văn phòng, IT phụ trách thiết bị |
| Technological (công nghệ) | 34 | 8.1–8.34 | Engineering, IT và DevOps |
| Tổng | 93 |
Annex A là bộ tham chiếu. Clause 6.1.3 của ISO/IEC 27001 yêu cầu doanh nghiệp so sánh các control đã chọn qua risk treatment với Annex A để không bỏ sót control cần thiết, rồi lập SoA giải thích lý do đưa vào hoặc loại trừ từng control. Cách viết SoA xem tại hướng dẫn Statement of Applicability.
Annex A thay đổi gì từ bản 2013 sang 2022?
Bản 2013 có 114 control trong 14 domain; bản 2022 còn 93 control trong 4 nhóm. Theo bảng đối chiếu của ISMS.online, 24 control được gộp, 58 control được cập nhật và 11 control mới được thêm (ISMS.online Annex A). Số control ít hơn là do hợp nhất, không phải yêu cầu nhẹ hơn.
Giai đoạn chuyển đổi cho chứng chỉ cấp theo ISO/IEC 27001:2013 đã kết thúc ngày 31/10/2025, nên mọi chứng chỉ còn hiệu lực hiện nay đều theo bản 2022. Nếu tài liệu nội bộ vẫn ghi số hiệu 2013 như A.9.2.5 hay A.12.6.1, hãy đổi sang control 2022 tương ứng (5.18 quyền truy cập, 8.8 quản lý lỗ hổng kỹ thuật) trước kỳ audit tiếp theo.
11 control mới trong ISO 27001:2022 là gì?
Các control sau không có bản tương đương trực tiếp trong bản 2013:
| Control | Tên | Nhóm |
|---|---|---|
| 5.7 | Threat intelligence | Organizational |
| 5.23 | Information security for use of cloud services | Organizational |
| 5.30 | ICT readiness for business continuity | Organizational |
| 7.4 | Physical security monitoring | Physical |
| 8.9 | Configuration management | Technological |
| 8.10 | Information deletion | Technological |
| 8.11 | Data masking | Technological |
| 8.12 | Data leakage prevention | Technological |
| 8.16 | Monitoring activities | Technological |
| 8.23 | Web filtering | Technological |
| 8.28 | Secure coding | Technological |
Với phần lớn công ty phần mềm, khối lượng việc nhiều nhất nằm ở 5.23, 8.9, 8.16 và 8.28: cần chính sách sử dụng cloud và đánh giá nhà cung cấp, cấu hình chuẩn (baseline) được định nghĩa rõ, giám sát hệ thống chủ động và một chuẩn secure coding mà developer thực sự áp dụng.
Nhóm control tổ chức (5.1–5.37) bao gồm những gì?
Nhóm tổ chức quy định cách quản trị bảo mật: chính sách, vai trò, tài sản, truy cập, nhà cung cấp, sự cố, tính liên tục và nghĩa vụ pháp lý. Auditor thường đọc nhóm này trước vì các control khác đều dựa trên nó.
- Chính sách và quản trị (5.1–5.8): chính sách bảo mật thông tin, vai trò và trách nhiệm, phân tách nhiệm vụ, trách nhiệm của ban lãnh đạo, liên hệ với cơ quan chức năng và nhóm chuyên môn, threat intelligence (5.7) và bảo mật trong quản lý dự án.
- Tài sản và thông tin (5.9–5.14): danh mục thông tin và tài sản liên quan, sử dụng hợp lệ, hoàn trả tài sản, phân loại, gán nhãn và truyền tải thông tin. Cách lập danh mục xem tại hướng dẫn asset inventory.
- Truy cập và định danh (5.15–5.18): quy tắc kiểm soát truy cập, quản lý định danh, thông tin xác thực và quyền truy cập, gồm cả access review định kỳ.
- Nhà cung cấp (5.19–5.23): bảo mật trong quan hệ và hợp đồng với nhà cung cấp, chuỗi cung ứng ICT, giám sát dịch vụ nhà cung cấp và sử dụng dịch vụ cloud.
- Sự cố (5.24–5.28): lập kế hoạch, đánh giá, ứng phó, rút kinh nghiệm và thu thập bằng chứng sự cố.
- Liên tục và tuân thủ (5.29–5.37): bảo mật khi gián đoạn, sẵn sàng ICT, yêu cầu pháp lý và hợp đồng, sở hữu trí tuệ, bảo vệ hồ sơ, quyền riêng tư và dữ liệu cá nhân, đánh giá độc lập, tuân thủ chính sách và quy trình vận hành được văn bản hóa.
Nhóm control con người (6.1–6.8) bao gồm những gì?
Nhóm con người bao trùm vòng đời nhân sự từ tuyển dụng đến nghỉ việc. Đây là nhóm nhỏ nhất nhưng hay phát sinh finding, vì bằng chứng phải có cho từng người trong phạm vi chứ không chỉ cho chính sách.
| Control | Auditor sẽ hỏi gì |
|---|---|
| 6.1 Screening | Hồ sơ xác minh lý lịch trước khi tuyển, tương xứng với vị trí |
| 6.2 Terms and conditions of employment | Hợp đồng đã ký có nêu trách nhiệm bảo mật |
| 6.3 Information security awareness, education and training | Hồ sơ đào tạo của mọi người trong phạm vi, kể cả nhà thầu |
| 6.4 Disciplinary process | Quy trình xử lý vi phạm chính sách được văn bản hóa |
| 6.5 Responsibilities after termination or change of employment | Hồ sơ offboarding và nghĩa vụ còn hiệu lực sau khi nghỉ |
| 6.6 Confidentiality or non-disclosure agreements | NDA đã ký với nhân viên, nhà thầu và bên thứ ba |
| 6.7 Remote working | Quy định làm việc từ xa và cách thực thi |
| 6.8 Information security event reporting | Kênh báo cáo sự cố mà nhân viên biết và sử dụng |
Nhóm control vật lý (7.1–7.14) bao gồm những gì?
Nhóm vật lý bảo vệ cơ sở và thiết bị. Nhóm này vẫn áp dụng cho công ty remote-first hay cloud-native, chỉ là phạm vi có thể thu hẹp về một văn phòng, chỗ ngồi co-working và laptop tại nhà.
- Khu vực an toàn (7.1–7.7): vành đai vật lý, kiểm soát ra vào, bảo vệ văn phòng, giám sát an ninh vật lý (7.4), chống mối đe dọa môi trường, làm việc trong khu vực an toàn và clear desk, clear screen.
- Thiết bị (7.8–7.14): bố trí thiết bị, tài sản mang ra ngoài cơ sở, phương tiện lưu trữ, tiện ích hỗ trợ, cáp, bảo trì thiết bị và tiêu hủy hoặc tái sử dụng an toàn.
Với sản phẩm chạy trên cloud, control về data center thường được kế thừa từ chứng nhận của nhà cung cấp cloud. Doanh nghiệp vẫn phải chứng minh đã đánh giá phạm vi kế thừa đó theo 5.23, và văn phòng, thiết bị của mình đáp ứng 7.7, 7.9 và 7.14.
Nhóm control công nghệ (8.1–8.34) bao gồm những gì?
Nhóm công nghệ là nơi đội kỹ thuật bỏ nhiều công sức nhất: endpoint, truy cập, lỗ hổng, log, mạng, mã hóa và vòng đời phát triển phần mềm.
- Endpoint và truy cập (8.1–8.5): thiết bị đầu cuối, quyền đặc quyền, giới hạn truy cập thông tin, truy cập source code và xác thực an toàn.
- Vận hành (8.6–8.19): quản lý capacity, chống malware, quản lý lỗ hổng kỹ thuật (8.8), quản lý cấu hình (8.9), xóa thông tin, data masking, chống rò rỉ dữ liệu, backup, dự phòng, logging (8.15), monitoring (8.16), đồng bộ thời gian, dùng tiện ích đặc quyền và cài đặt phần mềm.
- Mạng (8.20–8.23): bảo mật mạng, dịch vụ mạng, phân tách mạng và lọc web.
- Mã hóa (8.24): sử dụng mật mã, gồm cả quản lý khóa.
- Phát triển an toàn (8.25–8.34): vòng đời phát triển an toàn, yêu cầu bảo mật ứng dụng, kiến trúc an toàn, secure coding (8.28), kiểm thử bảo mật, phát triển thuê ngoài, tách môi trường dev, test và production, quản lý thay đổi (8.32), dữ liệu test và bảo vệ hệ thống khi kiểm tra audit.
Làm sao xác định control Annex A nào áp dụng?
Doanh nghiệp quyết định tính áp dụng từ kế hoạch xử lý rủi ro, rồi ghi lại cho từng control trong SoA: có áp dụng không, vì sao, đã triển khai chưa, và lý do nếu loại trừ.
- Xác định phạm vi ISMS: sản phẩm, địa điểm, đội nhóm và hệ thống nào nằm trong phạm vi.
- Thực hiện risk assessment và chọn phương án xử lý cho từng rủi ro (xem hướng dẫn ISO 27001 risk assessment).
- Liệt kê control cần cho các phương án đó, rồi đối chiếu với đủ 93 control Annex A.
- Viết SoA với lý do đưa vào hoặc loại trừ cho từng control.
- Gán owner và bằng chứng chứng minh mỗi control được áp dụng đang vận hành.
Loại trừ phải có lý do gắn với phạm vi. Secure coding (8.28) có thể loại trừ nếu tổ chức không phát triển phần mềm trong phạm vi; bảo mật dịch vụ cloud (5.23) gần như không thể loại trừ. "Khó triển khai" không phải lý do hợp lệ, và auditor của tổ chức chứng nhận kiểm tra điểm này ngay ở Stage 1. Nếu chưa biết đang thiếu gì, bắt đầu bằng gap analysis ISO 27001.
Control attribute là gì, có bắt buộc dùng không?
ISO/IEC 27002:2022, tiêu chuẩn hướng dẫn đứng sau Annex A, gán cho mỗi control năm thuộc tính: loại control (preventive, detective, corrective), thuộc tính bảo mật (confidentiality, integrity, availability), khái niệm cybersecurity (identify, protect, detect, respond, recover), năng lực vận hành và security domain. ISO/IEC 27001 không bắt buộc dùng các thuộc tính này.
Chúng hữu ích khi lọc control. Đội ánh xạ control sang NIST CSF hay SOC 2 có thể nhóm theo khái niệm cybersecurity, còn security lead có thể lọc mọi control detective để kiểm tra phần giám sát đã đủ chưa.
Triển khai Annex A hiệu quả thế nào?
Bắt đầu từ rủi ro, dùng lại bằng chứng và để công cụ sẵn có tạo ra bằng chứng.
- Bắt đầu từ rủi ro, không từ danh sách. Triển khai cả 93 control ở mức sâu nhất trước khi đánh giá rủi ro thường làm quá tay ở vùng rủi ro thấp và bỏ sót rủi ro thật.
- Ánh xạ trước khi thu thập. Nếu đồng thời làm SOC 2 hoặc HIPAA, một đợt access review có thể dùng cho cả ISO 27001 5.18 và SOC 2 CC6. So sánh hai framework tại ISO 27001 vs SOC 2.
- Dùng cấu hình làm bằng chứng. Branch protection và lịch sử review pull request hỗ trợ 8.32 quản lý thay đổi; log audit của cloud hỗ trợ 8.15 và 8.16. Auditor chấp nhận bằng chứng do hệ thống tạo ra khi được thu thập nhất quán trong suốt kỳ audit.
Với công ty outsourcing làm cho khách hàng Nhật, bộ câu hỏi bảo mật của khách thường bám sát các nhóm control này; xem thêm ISO 27001 cho công ty outsourcing làm thị trường Nhật.
pTrackly hỗ trợ phần nào với Annex A?
pTrackly có framework ISO 27001:2022 với requirement, control, policy template và evidence task định kỳ. Control được dùng chung giữa các framework, nên một policy hay task phục vụ cả SOC 2 hoặc HIPAA chỉ cần làm một lần. Risk register cho phép gắn mỗi treatment action với control reference như "ISO 27001 A.5.17", và asset inventory là hồ sơ cho control 5.9. Việc quyết định control nào áp dụng, viết lý do trong SoA và vận hành control vẫn thuộc về đội ngũ của bạn; tổ chức chứng nhận được công nhận là bên audit và cấp chứng chỉ. Xem giải pháp ISO 27001 của pTrackly và ISO 27001 mất bao lâu.
Câu hỏi thường gặp
ISO 27001 Annex A có bao nhiêu control?
ISO/IEC 27001:2022 Annex A có 93 control trong bốn nhóm: 37 tổ chức, 8 con người, 14 vật lý và 34 công nghệ. Bản 2013 có 114 control trong 14 domain.
Có bắt buộc áp dụng đủ 93 control Annex A không?
Không. Doanh nghiệp chọn control qua risk treatment và giải thích mọi quyết định đưa vào hoặc loại trừ trong SoA. Ngược lại, các clause 4 đến 10 của tiêu chuẩn là bắt buộc để được chứng nhận.
Control trong ISO 27001 và ISO 27002 khác nhau thế nào?
ISO/IEC 27001 Annex A mô tả mỗi control trong một hai câu. ISO/IEC 27002:2022 dùng cùng 93 control và cách đánh số, bổ sung mục đích, hướng dẫn triển khai và thuộc tính. Chứng nhận chỉ đánh giá theo ISO/IEC 27001.
Công ty chỉ dùng cloud có loại trừ được nhóm control vật lý không?
Hiếm khi loại trừ được toàn bộ. Control về data center thường kế thừa từ nhà cung cấp cloud, nhưng kiểm soát ra vào văn phòng, clear desk và clear screen (7.7), thiết bị mang ra ngoài (7.9) và tiêu hủy laptop an toàn (7.14) vẫn áp dụng cho nhân viên và thiết bị của bạn.
Tài liệu tham khảo:
- ISO/IEC 27001:2022, Information security management systems (iso.org/standard/82875.html)
- ISO/IEC 27002:2022, Information security controls (iso.org/standard/75652.html)
- ISMS.online: ISO 27001 Annex A (isms.online/iso-27001/annex-a)
