Vì Sao Khách Hàng Nhật Bản Ngày Càng Yêu Cầu ISO 27001?
Trong vài năm gần đây, ISO 27001 chuyển từ "nice to have" sang "thường xuyên xuất hiện trong RFP" đối với nhiều công ty IT outsourcing Việt Nam phục vụ thị trường Nhật Bản.
Nguyên nhân từ phía Nhật Bản:
Áp lực từ chuỗi cung ứng: Khi các tập đoàn Nhật bị yêu cầu bởi khách hàng của họ (thường là tổ chức tài chính, chính phủ, hoặc healthcare) phải demonstrate supply chain security, họ chuyển yêu cầu đó xuống vendor, bao gồm công ty outsource tại Việt Nam.
METI guidelines: Bộ Kinh tế, Thương mại và Công nghiệp Nhật Bản (METI) đã ban hành nhiều hướng dẫn về cybersecurity supply chain. ISO 27001 là cách phổ biến nhất để đáp ứng.
Sự kiện breach nổi tiếng: Một số vụ rò rỉ dữ liệu tại Nhật Bản trong những năm gần đây có nguồn gốc từ vendor, khiến các doanh nghiệp Nhật thận trọng hơn với outsourcing partner.
Những Điểm Khách Hàng Nhật Bản Hay Kiểm Tra
Khác với một số thị trường chỉ hỏi "có chứng nhận không", khách hàng Nhật thường đi sâu hơn vào nội dung của ISMS.
1. Quản lý nhân sự và access control
Câu hỏi thường gặp trong security questionnaire:
- Quy trình onboarding/offboarding nhân viên như thế nào?
- Access có bị revoke ngay khi nhân viên nghỉ việc không?
- Background check có được thực hiện không?
- Developer có access trực tiếp vào production không?
Điểm hay bị thiếu: Nhiều công ty Việt Nam có quy trình nhưng không document. ISO 27001 yêu cầu documented evidence, không chỉ có quy trình tồn tại.
2. Quản lý thông tin khách hàng (Information Classification)
Khách hàng Nhật rất cẩn thận về cách thông tin của họ được phân loại và xử lý:
- Có policy phân loại thông tin (public / internal / confidential / secret) không?
- Nhân viên có được training để xử lý đúng theo classification không?
- Source code của khách hàng được bảo vệ như thế nào?
3. Incident response và breach notification
Đặc biệt sau các vụ breach gần đây:
- Nếu có sự cố, thông báo cho khách hàng trong bao lâu?
- Quy trình điều tra và báo cáo như thế nào?
- Có contact point 24/7 không?
4. Physical security
Không ít khách hàng Nhật yêu cầu on-site visit hoặc photo documentation về:
- Văn phòng có clean desk policy không?
- Screen lock policy?
- Visitor management?
- Máy tính có mã hóa ổ cứng không?
5. Vendor và subcontractor management
Nếu bạn dùng developer freelance hoặc subcontract ra bên ngoài:
- Có NDA và security agreement với tất cả không?
- Có policy về việc contractor xử lý thông tin khách hàng không?
ISO 27001 Giải Quyết Những Gì Trong Danh Sách Trên
ISO 27001 Annex A có các controls trực tiếp address những lo ngại phổ biến của khách hàng Nhật:
| Mối lo ngại | Controls liên quan |
|---|---|
| Nhân sự và access | A.6 (People controls), A.8 (Access control) |
| Information classification | A.5.12, A.5.13 |
| Incident response | A.5.24-5.28 |
| Physical security | A.7 (Physical controls) |
| Vendor management | A.5.19-5.22 (Supplier security) |
| Change management | A.8.32 |
Khi bạn có ISO 27001 certification, khách hàng Nhật biết rằng một external auditor đã verify tất cả những controls này đang hoạt động, không chỉ tồn tại trên giấy.
Những Điểm Đặc Thù Cần Chú Ý Với Thị Trường Nhật
Tiếng Nhật trong documentation
Một số khách hàng lớn yêu cầu policy documents có bản tiếng Nhật, hoặc ít nhất muốn review bản tiếng Anh chi tiết. Cần plan cho translation nếu đây là yêu cầu.
Audit bởi khách hàng (customer audit)
Ngoài certification audit từ CB, nhiều tập đoàn Nhật lớn còn tự thực hiện supplier audit hàng năm. ISO 27001 là nền tảng tốt nhưng bạn vẫn cần chuẩn bị cho câu hỏi cụ thể của từng khách hàng.
P-Mark (Privacy Mark)
P-Mark là chứng nhận bảo vệ thông tin cá nhân của Nhật Bản, khác với ISO 27001 nhưng đôi khi được đề cập cùng nhau. Nếu khách hàng yêu cầu P-Mark, đó là process riêng. ISO 27001 không tương đương P-Mark nhưng overlap đáng kể.
ISMAP (Government cloud)
Nếu bạn cung cấp dịch vụ cloud cho chính phủ Nhật Bản, ISMAP (Information system Security Management and Assessment Program) mới là yêu cầu. ISO 27001 là prerequisite quan trọng.
Quy Trình Triển Khai Cho IT Outsourcing
Với đặc thù của outsourcing company (thường có nhiều project chạy song song, team thay đổi theo project), quy trình ISO 27001 cần giải quyết một số thách thức riêng:
1. Xác định scope phù hợp
Không nhất thiết phải scope toàn bộ công ty. Nhiều outsourcing company bắt đầu với một business unit hoặc một nhóm project trước, sau đó mở rộng. Điều này giảm chi phí audit ban đầu và cho phép iterate.
2. Developer access management
Đây thường là điểm phức tạp nhất. Policy cần rõ ràng về:
- Developer có access gì vào production environment của khách hàng?
- Privileged access được kiểm soát và monitored như thế nào?
- Code được lưu trữ ở đâu và ai có quyền gì?
3. Knowledge transfer và offboarding
Khi nhân viên rời project (hoặc công ty), knowledge transfer quan trọng, nhưng cũng cần ensure access revocation đồng thời. Hai việc này thường conflict và cần được document rõ trong procedures.
4. Multiple client environments
Nếu bạn làm việc trong environment của nhiều khách hàng khác nhau, cần policy về logical separation, đảm bảo dữ liệu của khách hàng A không thể bị accessed bởi nhân viên đang làm project của khách hàng B.
Duy Trì ISO 27001 Trong Môi Trường Outsourcing
Outsourcing company có đặc thù là team thay đổi thường xuyên, người mới join liên tục, người cũ rời đi. Điều này tạo ra challenge liên tục với ISO 27001:
- Security awareness training cho người mới
- Access provisioning và deprovisioning kịp thời
- Onboarding/offboarding checklist phải được follow mỗi lần
Automation platform giúp nhiều ở đây: alert khi có employee status change, nhắc nhở training deadline, track access review. Thay vì HR phải manually chase security team, quy trình được trigger tự động.
Câu Hỏi Thường Gặp
Q: Khách hàng Nhật chỉ cần thấy certificate hay phải cung cấp thêm gì?
Thường là cả hai. Certificate chứng minh scope và validity. Nhưng nhiều khách hàng còn yêu cầu Statement of Applicability (SoA), document liệt kê tất cả controls và lý do include/exclude, để hiểu ISMS của bạn ở mức chi tiết hơn.
Q: Certificate từ certification body Việt Nam có được khách hàng Nhật chấp nhận không?
Có, miễn là certification body được accredit bởi IAF member (UKAS, JAB, DAkkS...). Bureau Veritas, BSI, TÜV, SGS đều được chấp nhận rộng rãi. Một số khách hàng Nhật prefer CB được accredit bởi JAB (Japan Accreditation Board), accreditor chính thức của Nhật cho ISMS scheme. Nên hỏi khách hàng trước khi chọn CB.
Q: Mất bao lâu để có chứng nhận đủ để submit vào RFP của khách hàng Nhật?
Phụ thuộc vào hiện trạng. Với platform automation, giai đoạn readiness rút ngắn đáng kể. Nhưng nên bắt đầu sớm, không để đến khi có deadline RFP mới bắt đầu.
Q: Có cần phải có người Nhật trong team compliance không?
Không bắt buộc. Nhưng nếu khách hàng yêu cầu tài liệu tiếng Nhật, cần plan cho translation. ISO 27001 không có yêu cầu về ngôn ngữ.
ISO 27001 không chỉ là một checkbox để trả lời RFP, đây là foundation để xây dựng trust dài hạn với khách hàng Nhật Bản. Khi documentation đầy đủ và controls thực sự vận hành, customer audit hàng năm trở thành cơ hội để demonstrate sự nghiêm túc thay vì là áp lực.
Nếu bạn đang cân nhắc cách tiếp cận, xem Tư Vấn ISO 27001 Hay Dùng Platform Automation?, phân tích phù hợp trực tiếp với bối cảnh outsourcing company cần duy trì compliance liên tục cho nhiều khách hàng. Hoặc đặt demo pTrackly để xem cách platform hỗ trợ quy trình evidence collection và duy trì hàng năm.