Tóm tắt
Cách công ty phần mềm Việt Nam xây ISO 27001 asset inventory theo Annex A 5.9: xác định tài sản, phân loại, gắn owner và duy trì danh mục cho audit.
ISO 27001 asset inventory là danh mục "thông tin và các tài sản liên quan" mà control 5.9 trong Annex A của ISO/IEC 27001:2022 yêu cầu xây dựng và duy trì, mỗi tài sản có owner. Với công ty phần mềm, danh mục gồm dữ liệu, hệ thống, dịch vụ cloud và SaaS, thiết bị, được phân loại theo độ nhạy cảm. Đây là đầu vào trực tiếp cho risk assessment và là một trong những hồ sơ auditor xem sớm.
Asset inventory trong ISO 27001 gồm những gì?
Control 5.9 yêu cầu một danh mục thông tin và tài sản liên quan, kèm owner, được xây dựng và duy trì. Đây không chỉ là danh sách thiết bị IT: tài sản là bất cứ thứ gì chứa, xử lý hoặc hỗ trợ thông tin trong phạm vi ISMS. Trên thực tế, danh mục của công ty phần mềm thường gồm:
- Dữ liệu và thông tin: dữ liệu khách hàng, source code, credential, log, backup, hợp đồng.
- Phần mềm và hệ thống: ứng dụng, database, pipeline CI/CD, môi trường dev và staging.
- Dịch vụ: tài khoản cloud (AWS, GCP, Azure), SaaS như GitHub, Google Workspace, Slack, Jira, password manager.
- Thiết bị: laptop, điện thoại công ty, thiết bị mạng nếu có.
Con người và uy tín thường không nằm trong danh mục dưới dạng dòng riêng mà được xử lý qua nhóm control con người (6.x) và kế hoạch liên tục kinh doanh.
Vì sao asset inventory quan trọng với ISMS?
Danh mục tài sản phục vụ ba mục đích thực tế, không chỉ để qua audit.
- Nền tảng cho risk assessment. Không đánh giá được rủi ro của tài sản không ai biết tồn tại. Một S3 bucket chứa dữ liệu khách hàng nằm ngoài danh mục thì rủi ro của nó không được đánh giá và control không được áp dụng. Cách dùng danh mục làm khung đánh giá xem tại hướng dẫn ISO 27001 risk assessment.
- Phạm vi khi có sự cố. Khi xảy ra sự cố, danh mục cho biết tài sản nào bị ảnh hưởng và ai là owner cần liên hệ.
- Offboarding và truy cập. Control 5.11 yêu cầu thu hồi tài sản khi nhân viên nghỉ, còn 5.18 yêu cầu điều chỉnh, thu hồi quyền truy cập. Không có danh mục hệ thống thì không biết phải thu hồi quyền ở đâu.
Mỗi tài sản trong danh mục cần ghi những trường nào?
| Trường | Mô tả | Ví dụ |
|---|---|---|
| Mã tài sản | Mã định danh duy nhất | INF-001 |
| Tên tài sản | Tên mô tả rõ ràng | Production PostgreSQL database |
| Loại | Dữ liệu, phần mềm, phần cứng, dịch vụ | Dữ liệu |
| Mô tả | Tài sản chứa hoặc làm gì | Dữ liệu khách hàng: tên, email, lịch sử giao dịch |
| Phân loại | Mức nhạy cảm theo quy định phân loại của doanh nghiệp (5.12) | Confidential |
| Mức quan trọng | Ảnh hưởng nếu mất hoặc gián đoạn | Critical |
| Owner | Một cá nhân cụ thể chịu trách nhiệm | CTO |
| Vị trí, môi trường | Nơi lưu trữ hoặc vận hành | AWS RDS, ap-southeast-1, production |
| Phụ thuộc | Tài sản liên quan | API server (INF-003), backup S3 (INF-008) |
| Trạng thái | Đang dùng, ngừng dùng, đã tiêu hủy | Đang dùng |
Phân loại tài sản thông tin thế nào?
Phân loại xác định mức bảo vệ cần thiết. Control 5.12 yêu cầu phân loại thông tin theo nhu cầu bảo mật của tổ chức, và 5.13 yêu cầu gán nhãn theo quy định phân loại đó. ISO 27001 không quy định thang cố định; doanh nghiệp tự định nghĩa và áp dụng nhất quán. Thang phổ biến cho công ty phần mềm B2B:
- Restricted (hạn chế cao nhất): private key, credential production, dữ liệu cá nhân nhạy cảm. Chỉ một số ít người được truy cập.
- Confidential (bí mật): dữ liệu khách hàng, source code, hợp đồng thương mại. Lộ ra gây thiệt hại nghiêm trọng cho khách hàng hoặc doanh nghiệp.
- Internal (nội bộ): tài liệu nội bộ, biên bản họp, wiki. Không công khai nhưng thiệt hại nếu lộ không nghiêm trọng.
- Public (công khai): tài liệu marketing, website, tài liệu kỹ thuật công khai.
Phần lớn tài sản của công ty phần mềm là Confidential hoặc Internal. Doanh nghiệp nhỏ có thể gộp Restricted vào Confidential nếu quy tắc xử lý giống nhau.
Danh mục tài sản của một công ty SaaS khoảng 30 người trông thế nào?
Ví dụ minh họa dưới đây nhóm tài sản theo loại và mức quan trọng, không liệt kê từng file hay từng laptop.
| Nhóm | Tài sản | Phân loại | Mức quan trọng |
|---|---|---|---|
| Dữ liệu | Dữ liệu khách hàng (production database) | Confidential | Critical |
| Dữ liệu | Dữ liệu staging (Confidential nếu chứa bản sao dữ liệu thật) | Internal hoặc Confidential | Medium |
| Dữ liệu | Source code, API key và credential | Confidential hoặc Restricted | Critical |
| Hệ thống | Server ứng dụng và database production | Confidential | Critical |
| Hệ thống | Pipeline CI/CD, hạ tầng logging và monitoring | Internal | High |
| Dịch vụ | Tài khoản cloud, GitHub, password manager | Confidential | Critical |
| Dịch vụ | Google Workspace, hệ thống HR | Confidential | High |
| Dịch vụ | Slack, Jira | Internal | Medium |
| Thiết bị | Laptop developer (theo nhóm, ví dụ 25 máy) | Confidential | High |
Ai nên là owner của từng tài sản?
Mỗi tài sản cần một owner: người có thẩm quyền quyết định về tài sản, không nhất thiết là người dùng hằng ngày. Ví dụ phân công:
- Production database, source code, tài khoản cloud: CTO, Lead Engineer hoặc DevOps Lead, người chịu trách nhiệm về hạ tầng và kiến trúc.
- Dữ liệu khách hàng: CEO hoặc người phụ trách sản phẩm, người chịu trách nhiệm cuối cùng về cách dữ liệu được dùng.
- Dữ liệu nhân sự: COO hoặc HR Manager.
Owner phải là một cá nhân cụ thể, không phải "phòng IT" hay "công ty". Owner tài sản thường cũng là risk owner của các rủi ro gắn với tài sản đó trong ISO 27001 risk register.
Duy trì asset inventory sau khi được chứng nhận thế nào?
Control 5.9 yêu cầu danh mục được duy trì, nghĩa là cập nhật khi có thay đổi chứ không làm một lần. Cập nhật khi:
- triển khai hệ thống mới hoặc dùng công cụ SaaS mới;
- ngừng một hệ thống: đổi trạng thái thành ngừng dùng hoặc đã tiêu hủy thay vì xóa dòng, để giữ lịch sử;
- owner thay đổi do nhân sự thay đổi;
- phân loại thay đổi do tính chất dữ liệu thay đổi;
- phát hiện tài sản chưa đăng ký trong lần review định kỳ.
Phần lớn doanh nghiệp review toàn bộ danh mục ít nhất mỗi năm, cùng đợt review rủi ro. Surveillance audit thường hỏi: tài sản nào được thêm hoặc bỏ từ kỳ audit trước, và quy trình cập nhật ra sao. Lịch duy trì tổng thể xem tại duy trì ISO 27001 sau chứng nhận.
Những lỗi phổ biến khi xây asset inventory?
- Quá chi tiết: liệt kê từng laptop thay vì "laptop developer (25 máy)" khiến danh mục không quản lý được, trừ khi các thiết bị có mức rủi ro khác nhau.
- Bỏ sót SaaS và cloud: GitHub, Slack, Google Workspace đều là tài sản thông tin quan trọng.
- Owner là bộ phận: "IT Department" không phải owner hợp lệ.
- Không cập nhật: tài sản mới không được đăng ký là lỗi điển hình ở surveillance audit.
- Staging chứa dữ liệu thật nhưng phân loại Internal: nếu staging có bản sao dữ liệu production, phân loại và control phải tương ứng với Confidential.
Nên quản lý asset inventory bằng spreadsheet hay phần mềm?
Spreadsheet đáp ứng được tiêu chuẩn. Khó khăn đến khi danh mục lớn dần: ai cập nhật khi có hệ thống mới, tài sản nào chưa có owner, và làm sao liên kết tài sản với rủi ro, nhà cung cấp tương ứng.
pTrackly có module Assets với tên, mô tả, loại, mức quan trọng, owner, phân loại (Public, Internal, Confidential, Restricted), trạng thái (Active, Inactive, Disposed) và môi trường (Production, Staging, Development, Corporate). Nút Sync Assets nhập tài sản từ các tích hợp đã kết nối: AWS (EC2, S3, RDS), Google Workspace (thiết bị và ứng dụng OAuth), GitHub (repository) và Jamf (thiết bị được quản lý). Rủi ro và nhà cung cấp có thể liên kết với tài sản bị ảnh hưởng. Việc xác định phạm vi, phân loại và gán owner phù hợp vẫn do đội ngũ của bạn quyết định. Xem giải pháp ISO 27001 của pTrackly và hướng dẫn ISO 27001 Annex A.
Câu hỏi thường gặp
Asset inventory có bắt buộc trong ISO 27001 không?
Control 5.9 thuộc Annex A, nên về nguyên tắc có thể loại trừ trong SoA, nhưng gần như không tổ chức nào có lý do hợp lệ để loại trừ. Auditor kỳ vọng thấy danh mục tài sản có owner vì nó là nền tảng của risk assessment.
Có phải liệt kê từng laptop và từng file không?
Không. Nhóm tài sản theo loại và mức quan trọng là đủ, ví dụ "laptop developer, 25 máy". Chỉ tách riêng khi các tài sản trong nhóm có mức rủi ro hoặc owner khác nhau.
Dịch vụ SaaS như Slack hay GitHub có phải đưa vào danh mục không?
Có. Dịch vụ SaaS chứa hoặc xử lý thông tin trong phạm vi ISMS là tài sản cần đăng ký, kèm owner và phân loại. Đồng thời nhà cung cấp của chúng thuộc phạm vi các control nhà cung cấp 5.19–5.23.
Bao lâu phải review asset inventory?
ISO 27001 không quy định chu kỳ cố định, chỉ yêu cầu danh mục được duy trì. Phổ biến là cập nhật khi có thay đổi và review toàn bộ ít nhất mỗi năm, cùng đợt review rủi ro.
Tài liệu tham khảo:
- ISO/IEC 27001:2022, Information security management systems (iso.org/standard/82875.html)
- ISO/IEC 27002:2022, Information security controls (iso.org/standard/75652.html)
