Tóm tắt
Khách Nhật thường hỏi certificate ISO 27001, SoA, access và sự cố; thiếu certificate dễ bị loại ở vendor qualification. Cách IT outsourcing Việt chuẩn bị.
Yêu cầu ISO 27001 khách hàng Nhật Bản đặt ra cho nhà cung cấp thường không dừng ở câu hỏi "có chứng nhận không". Họ hỏi phạm vi certificate, Statement of Applicability (SoA), và cách công ty IT outsourcing thực sự quản lý access, phân loại thông tin, sự cố và nhà thầu phụ. Chuẩn bị đúng nghĩa là có ISMS vận hành được và evidence trả lời được từng câu hỏi đó.
Vì sao khách hàng Nhật Bản hỏi về ISO 27001?
Khi một doanh nghiệp Nhật giao phần phát triển phần mềm ra nước ngoài, dữ liệu, source code và quyền truy cập hệ thống của họ nằm một phần ở phía nhà cung cấp. Bên mua cần bằng chứng rằng rủi ro đó được quản lý, và chứng nhận ISO/IEC 27001 do tổ chức chứng nhận được công nhận cấp là cách phổ biến để đưa bằng chứng đó vào quy trình phê duyệt nhà cung cấp. Tại Nhật, tiêu chuẩn này được ban hành dưới tên JIS Q 27001, và ISMS-AC công bố danh sách tổ chức chứng nhận được công nhận và tổ chức đã được chứng nhận.
Mức độ yêu cầu khác nhau theo khách hàng và ngành: có nơi chỉ cần certificate trong hồ sơ thầu, có nơi gửi security questionnaire chi tiết hoặc tự audit nhà cung cấp. Bài này mô tả những gì khách hàng thường hỏi, không phải quy định chung cho mọi doanh nghiệp Nhật. Khi đã có certificate mà vẫn mất hợp đồng vì phạm vi hoặc evidence, xem mất hợp đồng Nhật dù có ISO 27001.
Khách hàng Nhật thường kiểm tra những gì?
Các câu hỏi thường gặp trong questionnaire và buổi review nhà cung cấp, cùng control ISO/IEC 27001:2022 liên quan và evidence nên có sẵn:
| Khách hàng hỏi | Control ISO 27001:2022 liên quan | Evidence nên có sẵn |
|---|---|---|
| Onboarding/offboarding, thu hồi quyền khi nghỉ việc, developer có vào production không | A.5.15–A.5.18 (access control, identity, authentication, access rights), A.8.2 (privileged access), A.6.1 và A.6.5 (screening, trách nhiệm sau khi nghỉ) | Checklist onboarding/offboarding đã ký, kết quả access review gần nhất, danh sách privileged account |
| Thông tin và source code của khách được phân loại, xử lý thế nào | A.5.12–A.5.13 (phân loại, gán nhãn), A.8.4 (truy cập source code) | Policy phân loại, quyền repository theo project, bằng chứng training |
| Có sự cố thì báo trong bao lâu, ai là đầu mối | A.5.24–A.5.28 (quản lý sự cố), A.6.8 (báo cáo sự kiện) | Quy trình incident response, đầu mối liên hệ, thời hạn thông báo đã cam kết trong hợp đồng |
| Văn phòng, clean desk, khóa màn hình, mã hóa ổ cứng | A.7 (physical controls), A.8.1 (thiết bị đầu cuối) | Policy clean desk/clear screen, danh sách thiết bị và trạng thái mã hóa |
| Freelancer và nhà thầu phụ có được kiểm soát không | A.5.19–A.5.22 (supplier security) | NDA và điều khoản bảo mật với nhà thầu, danh sách nhà thầu đang truy cập dữ liệu khách |
| Thay đổi trên hệ thống của khách được kiểm soát ra sao | A.8.32 (change management) | Quy trình review/approve thay đổi, lịch sử pull request hoặc ticket |
Certificate cho thấy một tổ chức chứng nhận đã đánh giá ISMS trong phạm vi ghi trên certificate. Vì vậy khách hàng thường hỏi thêm SoA để biết control nào áp dụng và vì sao; cách viết SoA có trong hướng dẫn Statement of Applicability.
Chưa có ISO 27001 thì điều gì xảy ra ở vòng vendor qualification?
Kịch bản thường gặp: liên hệ ban đầu tốt, demo tích cực, rồi bộ phận mua hàng hoặc bảo mật của khách gửi bảng câu hỏi và hỏi chứng chỉ an toàn thông tin. Nếu quy trình phê duyệt nhà cung cấp nội bộ của khách ghi rõ yêu cầu ISMS certification, người phụ trách dự án phía Nhật không có quyền bỏ qua bước đó, nên hồ sơ dừng lại bất kể năng lực kỹ thuật. Hệ quả thường gặp là bị loại ngay ở bước đầu, chỉ được giao dự án nhỏ ít nhạy cảm về dữ liệu, hoặc phải trả lời lại cùng một bộ câu hỏi bảo mật cho từng khách mà không có bằng chứng độc lập.
Không có số liệu công khai đáng tin cậy về tỷ lệ khách hàng Nhật yêu cầu ISO 27001 theo ngành, nên cách an toàn là hỏi thẳng và đọc kỹ hồ sơ mời thầu. Các tín hiệu cho thấy khả năng cao khách sẽ hỏi chứng chỉ:
| Tín hiệu | Vì sao chứng chỉ dễ bị hỏi |
|---|---|
| Dự án truy cập dữ liệu sản xuất, nhân sự hoặc khách hàng | Quy định bảo mật nội bộ của khách thường áp yêu cầu với bên xử lý dữ liệu |
| Khách là doanh nghiệp lớn hoặc có chuỗi nhà cung cấp nhiều tầng | Yêu cầu bảo mật thường được chuyển xuống nhà cung cấp cấp dưới |
| Hồ sơ mời thầu có bảng câu hỏi bảo mật hoặc phụ lục an toàn thông tin | Câu hỏi về ISMS certification thường nằm ngay đầu bảng |
| Dịch vụ cloud bán cho cơ quan nhà nước Nhật | Có chương trình đánh giá riêng (ISMAP) với quy trình đăng ký riêng |
Khi cân nhắc có nên đầu tư, hãy so tổng nguồn lực triển khai và duy trì với giá trị các hợp đồng mà chứng chỉ mở ra, thay vì chỉ nhìn phí audit; các khoản cần tính có trong chi phí triển khai ISO 27001 tại Việt Nam.
Thị trường Nhật có điểm gì cần chú ý thêm?
- Ngôn ngữ tài liệu: một số khách hàng muốn có bản tiếng Nhật của policy chính, hoặc ít nhất bản tiếng Anh đủ chi tiết. ISO 27001 không quy định ngôn ngữ, nên đây là yêu cầu hợp đồng; hãy hỏi sớm để lên kế hoạch dịch.
- Customer audit: ngoài audit chứng nhận, khách hàng có thể tự audit nhà cung cấp theo checklist riêng. ISO 27001 là nền tảng, nhưng vẫn cần trả lời câu hỏi cụ thể của từng khách.
- Privacy Mark (P-Mark): là chương trình chứng nhận bảo vệ thông tin cá nhân của Nhật, tách biệt với ISO 27001. Nếu khách hàng yêu cầu P-Mark, hãy coi đó là một quy trình riêng và xác nhận yêu cầu với khách.
- ISMAP: là chương trình đánh giá dịch vụ cloud cho cơ quan chính phủ Nhật. Nếu bạn cung cấp cloud service cho khu vực công Nhật, hãy kiểm tra yêu cầu trực tiếp trên cổng ISMAP chính thức thay vì giả định ISO 27001 là đủ.
- Tổ chức chứng nhận: nên hỏi khách hàng trước khi chọn CB; một số khách quen làm việc với certificate được công nhận theo hệ thống của Nhật. Cách so sánh CB có trong chọn certification body ISO 27001.
Công ty outsourcing triển khai ISO 27001 thế nào cho phù hợp?
- Hỏi khách mục tiêu cần gì và làm gap analysis trước khi chào giá. Xác nhận khách cần certificate ISO/IEC 27001 của tổ chức chứng nhận được công nhận hay bộ control và evidence tương đương, rồi đo khoảng cách bằng gap analysis ISO 27001.
- Chọn scope vừa đủ. Không bắt buộc phải đưa cả công ty vào phạm vi. Nhiều công ty bắt đầu với đơn vị hoặc nhóm project phục vụ khách Nhật, rồi mở rộng.
- Làm rõ quyền của developer. Ghi rõ developer được truy cập gì trong môi trường của khách, privileged access được duyệt và giám sát ra sao, source code lưu ở đâu.
- Gắn offboarding với chuyển giao. Khi người rời project, chuyển giao kiến thức và thu hồi quyền phải diễn ra cùng lúc và có checklist.
- Tách môi trường giữa các khách hàng. Đảm bảo người làm project của khách A không truy cập được dữ liệu của khách B, và ghi điều đó vào policy.
- Chuẩn bị bộ evidence cho questionnaire. Gom sẵn certificate, SoA, policy chính và evidence gần nhất theo bảng trên; khi chưa có certificate, trả lời bằng evidence thật (chính sách đã ban hành, access review, quy trình xử lý sự cố) kèm lộ trình chứng nhận có mốc thời gian; xem hồ sơ bảo mật cho hợp đồng outsourcing quốc tế.
Thời gian triển khai phụ thuộc phạm vi và hiện trạng; xem ISO 27001 mất bao lâu. pTrackly tự đạt chứng nhận với 3 tuần readiness và 4 tuần audit, và một khách hàng cũng vậy; cả hai đều đã có ISMS vận hành sẵn, nên đây không phải cam kết cho doanh nghiệp bắt đầu từ đầu.
Duy trì ISO 27001 khi nhân sự thay đổi liên tục thế nào?
Công ty outsourcing có người vào, người ra và người chuyển project thường xuyên, nên ba việc phải chạy đều: training nhận thức bảo mật cho người mới, cấp và thu hồi quyền đúng lúc, và access review định kỳ có kết quả lưu lại. Surveillance audit hằng năm và customer audit đều sẽ hỏi lại các bằng chứng này.
pTrackly giúp đội của bạn quản lý danh sách nhân sự và thiết bị, giao và theo dõi training, chạy access review với người duyệt không tự duyệt quyền của chính mình, và nhắc evidence task trước hạn. pTrackly không cấp chứng nhận và không thay bạn quyết định scope hay control; tổ chức chứng nhận đánh giá ISMS, còn khách hàng Nhật quyết định nhà cung cấp. Xem pTrackly cho công ty ITO.
Câu hỏi thường gặp
Khách hàng Nhật chỉ cần certificate hay cần thêm tài liệu?
Thường cần cả hai. Certificate cho biết phạm vi và hiệu lực; SoA, policy chính và câu trả lời questionnaire cho biết ISMS vận hành thế nào trong phạm vi đó.
Khách hàng Nhật có chấp nhận lộ trình ISO 27001 thay cho certificate không?
Tùy khách hàng. Một số chấp nhận lộ trình có mốc thời gian kèm evidence về control đang vận hành cho dự án ít nhạy cảm; nếu quy trình phê duyệt nội bộ của khách yêu cầu certificate, lộ trình không thay thế được.
Certificate do tổ chức chứng nhận hoạt động tại Việt Nam cấp có được chấp nhận không?
Thường có, nếu tổ chức chứng nhận được công nhận bởi một accreditation body là thành viên IAF và phạm vi certificate bao trùm dịch vụ bạn cung cấp. Một số khách có ưu tiên riêng, nên hãy hỏi trước khi chọn.
Có cần bản tiếng Nhật của tài liệu ISMS không?
ISO 27001 không yêu cầu ngôn ngữ cụ thể. Nếu khách hàng yêu cầu tiếng Nhật trong hợp đồng hoặc questionnaire, hãy lên kế hoạch dịch các policy chính.
P-Mark có thay thế được ISO 27001 không?
Không. P-Mark tập trung vào bảo vệ thông tin cá nhân theo chương trình của Nhật, còn ISO 27001 là hệ thống quản lý an toàn thông tin; khách hàng có thể yêu cầu một hoặc cả hai.
Nếu bạn đang cân nhắc tự làm hay thuê tư vấn, xem tư vấn ISO 27001 hay dùng platform, hoặc đặt demo pTrackly.
