Tóm tắt

Lộ trình ISO 27001 cho công ty outsourcing phần mềm: xác định phạm vi, risk assessment, SoA, SDLC, quyền truy cập, nhà cung cấp và evidence.

Công ty ITO nên triển khai ISO/IEC 27001 như một hệ thống quản lý an toàn thông tin, không phải một bộ policy để gửi khách hàng. Công việc cốt lõi gồm xác định phạm vi ISMS, đánh giá rủi ro, chọn control, vận hành quy trình và lưu evidence đủ để chứng minh chúng hoạt động.

ISO/IEC 27001:2022 quy định yêu cầu đối với hệ thống quản lý an toàn thông tin. Tiêu chuẩn dùng cách tiếp cận dựa trên rủi ro và có thể áp dụng cho tổ chức thuộc mọi quy mô. Với một công ty outsourcing phần mềm, phạm vi thường liên quan trực tiếp đến nhân sự dự án, thiết bị, mã nguồn, môi trường cloud và dữ liệu khách hàng.

Checklist ISO 27001 cho ITO gồm những gì?

  1. Xác định phạm vi ISMS theo dịch vụ và dữ liệu khách hàng.
  2. Lập danh mục tài sản và owner.
  3. Đánh giá, xử lý rủi ro và lập Statement of Applicability.
  4. Vận hành control cho nhân sự, truy cập, SDLC, cloud và nhà cung cấp.
  5. Thu evidence trong công việc hằng ngày.
  6. Thực hiện internal audit, management review và corrective action.
  7. Làm việc với tổ chức chứng nhận độc lập nếu doanh nghiệp muốn chứng nhận.

pTrackly hỗ trợ triển khai và duy trì ISMS. Chứng nhận ISO 27001 do tổ chức chứng nhận độc lập cấp, không phải do nền tảng compliance hoặc đơn vị hỗ trợ triển khai cấp.

1. Chọn phạm vi ISMS dựa trên hợp đồng và cách giao hàng

Đừng bắt đầu bằng câu "toàn bộ công ty" nếu chưa xác định tài sản và quy trình liên quan. Hãy lập bản đồ cho một dịch vụ tiêu biểu:

  • Khách hàng gửi dữ liệu gì và qua kênh nào.
  • Nhân sự nào có thể truy cập mã nguồn, môi trường và dữ liệu.
  • Thiết bị, văn phòng, VPN, cloud và công cụ SaaS được sử dụng.
  • Công việc nào do nhà thầu phụ hoặc nhà cung cấp xử lý.
  • Ai phê duyệt quyền truy cập, thay đổi và phát hành.
  • Dữ liệu được lưu, sao lưu, chuyển giao và xóa như thế nào.

Phạm vi ISMS phải nhất quán giữa tài liệu, hợp đồng, sơ đồ hạ tầng và thực tế vận hành. Nếu nhóm dự án làm việc từ xa hoặc dùng thiết bị cá nhân, điều đó cần được phản ánh trong đánh giá rủi ro thay vì bị bỏ qua khỏi mô tả.

2. Lập inventory cho tài sản thông tin

Inventory không chỉ là danh sách laptop. Công ty ITO nên quản lý ít nhất các nhóm sau:

  • Dữ liệu khách hàng và dữ liệu dự án.
  • Repository mã nguồn và artifact build.
  • Tài khoản cloud, CI/CD, ticketing và collaboration.
  • Endpoint, thiết bị mạng và phương tiện lưu trữ.
  • Tài liệu yêu cầu, thiết kế, test và bàn giao.
  • Dịch vụ bên thứ ba và nhà thầu phụ.
  • Vai trò con người có quyền truy cập đặc quyền.

Mỗi tài sản cần owner, mức phân loại, vị trí, quy tắc truy cập, yêu cầu sao lưu hoặc lưu giữ và liên kết đến rủi ro liên quan. Xem hướng dẫn chi tiết về asset inventory ISO 27001.

3. Xây risk register và kế hoạch xử lý

Risk register phải phản ánh cách công ty thực sự cung cấp dịch vụ. Các tình huống cần xem xét gồm:

  • Nhân sự rời dự án nhưng quyền truy cập chưa bị thu hồi.
  • Developer tải dữ liệu production về môi trường local.
  • Secret xuất hiện trong repository hoặc log CI/CD.
  • Thay đổi production không có review hoặc khả năng rollback.
  • Nhà thầu phụ truy cập dữ liệu nhưng chưa được đánh giá.
  • Thiết bị làm việc từ xa không được mã hóa hoặc quản lý.
  • Backup có tồn tại nhưng chưa từng kiểm tra khôi phục.

Mỗi rủi ro cần asset, threat, vulnerability, hậu quả, mức rủi ro, owner, phương án xử lý, deadline và rủi ro còn lại. Phương pháp chấm điểm phải được định nghĩa và dùng nhất quán. Xem cách xây risk register ISO 27001.

4. Lập Statement of Applicability

Statement of Applicability, thường viết tắt là SoA, giải thích control Annex A nào được áp dụng, control nào không áp dụng, lý do lựa chọn và trạng thái triển khai. SoA phải nối được ba lớp thông tin:

  1. Rủi ro và yêu cầu đã xác định.
  2. Control được chọn để xử lý.
  3. Evidence cho thấy control đã được triển khai và vận hành.

Không nên sao chép lý do áp dụng giống nhau cho toàn bộ control. Lý do cần phản ánh phạm vi và rủi ro của công ty. Đọc thêm hướng dẫn viết Statement of Applicability.

5. Ưu tiên control sát với hoạt động outsourcing

Nhân sự và vòng đời tài khoản

Kết nối quy trình HR với cấp, thay đổi và thu hồi quyền. Evidence có thể gồm yêu cầu phê duyệt, danh sách quyền định kỳ, biên bản bàn giao và kết quả review tài khoản.

Quản lý truy cập dự án

Áp dụng nguyên tắc least privilege, MFA và tách quyền giữa development, staging và production. Ghi rõ ai phê duyệt quyền đặc quyền và bao lâu phải review lại.

Secure development lifecycle

Định nghĩa yêu cầu bảo mật, code review, quản lý dependency, secret scanning, kiểm thử và phê duyệt release. Nếu một dự án có quy trình khác, hãy ghi nhận ngoại lệ và cách xử lý rủi ro.

Cloud và logging

Quản lý cấu hình baseline, quyền IAM, log quan trọng, cảnh báo và thay đổi hạ tầng. Evidence nên lấy từ hệ thống nguồn thay vì ảnh chụp màn hình rời rạc khi có thể.

Nhà cung cấp và nhà thầu phụ

Lập inventory, đánh giá trước khi sử dụng, đưa yêu cầu bảo mật vào hợp đồng và review định kỳ. Việc một nhà cung cấp có chứng nhận không tự động xử lý mọi rủi ro trong cách công ty bạn cấu hình và sử dụng dịch vụ đó.

Incident và business continuity

Kế hoạch cần nêu người chỉ huy, kênh liên lạc, điều kiện thông báo khách hàng, cách bảo toàn evidence và bài kiểm tra định kỳ. Với continuity, phải thử khôi phục thay vì chỉ xác nhận có backup.

6. Thu evidence trong lúc làm việc

Evidence tốt có nguồn, thời gian, owner và mối liên hệ rõ với control. Với công ty ITO, có thể lấy evidence từ:

  • HRIS hoặc ticket onboarding và offboarding.
  • Identity provider và cloud IAM.
  • GitHub, GitLab hoặc hệ thống quản lý source code.
  • CI/CD, scanner và hệ thống change management.
  • Endpoint management và vulnerability management.
  • Ticket incident, backup test và supplier review.

Automation có thể giảm thao tác thu thập lặp lại, nhưng không tự quyết định evidence có đủ và phù hợp hay không. Owner control và người đánh giá vẫn cần xem xét ngữ cảnh.

7. Tự kiểm tra trước audit độc lập

Trước khi làm việc với tổ chức chứng nhận, hãy xác nhận:

  • Phạm vi, risk register và SoA cùng một phiên bản hiện hành.
  • Policy phản ánh quy trình đang vận hành.
  • Control có owner và evidence theo khoảng thời gian phù hợp.
  • Internal audit đã bao quát phạm vi ISMS.
  • Nonconformity có root cause và corrective action.
  • Management review có quyết định và theo dõi hành động.
  • Nhân sự được phỏng vấn hiểu trách nhiệm thực tế của họ.

Auditor có thể lấy mẫu. Một vài hồ sơ đẹp không bù được cho quy trình chỉ hoạt động trước ngày audit.

pTrackly hỗ trợ công ty ITO triển khai ISO 27001 như thế nào?

pTrackly chuyển requirement và control thành công việc có owner, giúp quản lý policy, risk, SoA và evidence trong một workspace. Team có thể theo dõi điểm thiếu trước audit và tiếp tục vận hành control sau chứng nhận. pTrackly không thay thế trách nhiệm của doanh nghiệp hoặc tổ chức chứng nhận độc lập.

Xem giải pháp cho công ty ITO và giải pháp ISO 27001 để hiểu cách quản lý công việc triển khai và duy trì trên pTrackly.

Nguồn tham khảo

Nội dung này là hướng dẫn triển khai chung, không phải cam kết chứng nhận hoặc tư vấn pháp lý.

Xem giải pháp ISO 27001 với pTrackly
Thẻ:
ISO 27001IT outsourcingITO VietnamISMSaudit readiness
← Quay lại Blog