Tóm tắt
ISO 27001 là gì: tiêu chuẩn quốc tế về hệ thống quản lý an toàn thông tin (ISMS). Ai cần chứng nhận, 93 control và quy trình audit cho doanh nghiệp Việt.
ISO 27001 là gì? ISO/IEC 27001:2022 là tiêu chuẩn quốc tế do ISO và IEC ban hành, quy định yêu cầu cho hệ thống quản lý an toàn thông tin (ISMS). Doanh nghiệp vận hành ISMS theo các điều khoản 4 đến 10, chọn control từ 93 control Annex A dựa trên đánh giá rủi ro, rồi được một tổ chức chứng nhận được công nhận audit và cấp chứng chỉ có hiệu lực 3 năm.
ISO 27001 là gì, nói ngắn gọn?
ISO 27001 là tiêu chuẩn quản lý, không phải danh sách công cụ bảo mật. Nó yêu cầu doanh nghiệp xác định phạm vi thông tin cần bảo vệ, đánh giá rủi ro, chọn biện pháp kiểm soát (control) phù hợp, vận hành chúng và liên tục kiểm tra, cải tiến. Phiên bản hiện hành là ISO/IEC 27001:2022; giai đoạn chuyển đổi từ bản 2013 đã kết thúc ngày 31/10/2025, nên chứng chỉ theo bản 2013 không còn hiệu lực. Chứng chỉ do tổ chức chứng nhận (certification body) được công nhận cấp sau audit, không phải do ISO, nhà tư vấn hay nền tảng phần mềm cấp.
| Thông tin | Nội dung |
|---|---|
| Tên đầy đủ | ISO/IEC 27001:2022, Information security management systems: Requirements |
| Phần bắt buộc | Điều khoản 4 đến 10 (bối cảnh, lãnh đạo, kế hoạch, hỗ trợ, vận hành, đánh giá, cải tiến) |
| Annex A | 93 control trong 4 nhóm: tổ chức (37), con người (8), vật lý (14), công nghệ (34) |
| Ai cấp chứng chỉ | Tổ chức chứng nhận được công nhận, qua audit Stage 1 và Stage 2 |
| Hiệu lực | 3 năm, có surveillance audit trong chu kỳ và tái chứng nhận trước khi hết hạn |
Vì sao doanh nghiệp Việt Nam cần ISO 27001?
Lý do phổ biến nhất là khách hàng yêu cầu. Công ty outsourcing và SaaS bán cho khách hàng Nhật Bản, EU, Singapore hoặc enterprise thường gặp ISO 27001 trong vendor assessment, hồ sơ thầu (RFP) hoặc phụ lục hợp đồng bảo mật. Chứng chỉ cho khách hàng thấy một bên độc lập đã kiểm tra rằng ISMS của bạn được thiết kế và vận hành, giúp giảm số câu hỏi trong bảng câu hỏi bảo mật. Ngoài yêu cầu thương mại, ISMS còn giúp doanh nghiệp có quy trình rõ cho quản lý quyền truy cập, xử lý sự cố, sao lưu và quản lý nhà cung cấp, thay vì bảo mật theo kiểu "đến đâu hay đến đó". Nếu bạn cần phân tích sâu hơn về động lực kinh doanh, xem tại sao cần ISO 27001.
ISO 27001 phù hợp với doanh nghiệp nào?
ISO 27001 phù hợp nhất với tổ chức giữ hoặc xử lý thông tin của khách hàng và bị khách hàng yêu cầu chứng minh điều đó. Các nhóm thường cần sớm:
- Công ty IT outsourcing phục vụ khách hàng quốc tế, đặc biệt khi truy cập mã nguồn và môi trường của khách hàng.
- SaaS bán ra ngoài Việt Nam hoặc cho khách hàng enterprise.
- Fintech, BPO và các đơn vị xử lý dữ liệu nhạy cảm của khách hàng.
Chưa cần vội khi: startup giai đoạn đầu chưa có khách hàng enterprise yêu cầu, doanh nghiệp chỉ phục vụ thị trường nội địa với dữ liệu không nhạy cảm, hoặc chưa có ai chịu trách nhiệm về an toàn thông tin. Startup có thể bắt đầu với control nền tảng trước, xem ISO 27001 cho startup. Nếu khách hàng chủ yếu ở Mỹ, hãy so sánh với SOC 2 trong ISO 27001 vs SOC 2.
Cấu trúc ISO 27001 gồm những gì?
ISO 27001 có hai phần: các điều khoản 4 đến 10 là yêu cầu bắt buộc của hệ thống quản lý, và Annex A là danh mục 93 control để chọn dựa trên rủi ro. Doanh nghiệp không phải triển khai cả 93 control; Statement of Applicability (SoA) ghi lại control nào áp dụng, control nào loại trừ và lý do.
| Điều khoản | Nội dung chính |
|---|---|
| Phạm vi ISMS, các bên liên quan và yêu cầu của họ |
| Cam kết của ban lãnh đạo, chính sách an toàn thông tin, vai trò và trách nhiệm |
| Đánh giá và xử lý rủi ro, SoA, mục tiêu an toàn thông tin |
| Nguồn lực, năng lực, nhận thức, trao đổi thông tin, tài liệu |
| Thực hiện kế hoạch xử lý rủi ro và các quy trình |
| Giám sát, đo lường, đánh giá nội bộ (internal audit), xem xét của lãnh đạo (management review) |
| Xử lý điểm không phù hợp, hành động khắc phục, cải tiến liên tục |
Chi tiết từng nhóm control có trong hướng dẫn 93 control Annex A, và phương pháp đánh giá rủi ro trong hướng dẫn ISO 27001 risk assessment.
Quy trình đạt chứng nhận ISO 27001 diễn ra thế nào?
Quy trình có hai phần do hai bên khác nhau kiểm soát: doanh nghiệp xây và vận hành ISMS, sau đó tổ chức chứng nhận audit. Thời gian của phần đầu phụ thuộc phạm vi và mức độ sẵn có của control; phần sau phụ thuộc lịch của tổ chức chứng nhận.
- Làm gap analysis để biết đang có gì và thiếu gì so với tiêu chuẩn (hướng dẫn gap analysis).
- Xác định phạm vi ISMS, lập danh mục tài sản và đánh giá rủi ro.
- Viết chính sách, chọn control, lập SoA và kế hoạch xử lý rủi ro.
- Vận hành control và thu thập bằng chứng (evidence) trong công việc hằng ngày.
- Thực hiện internal audit và management review, xử lý các điểm không phù hợp.
- Chọn tổ chức chứng nhận được công nhận (cách chọn certification body), qua Stage 1 (xem xét tài liệu và mức sẵn sàng) và Stage 2 (đánh giá control vận hành thực tế).
- Duy trì ISMS qua các kỳ surveillance audit và tái chứng nhận sau 3 năm.
Về thời gian: pTrackly tự đạt chứng nhận ISO 27001 với 3 tuần readiness và 4 tuần audit, và một khách hàng cũng đạt kết quả tương tự; cả hai đều có ISMS đã vận hành sẵn, nên đây là ví dụ, không phải cam kết. Các yếu tố làm timeline dài hay ngắn được giải thích trong ISO 27001 mất bao lâu.
Chi phí ISO 27001 gồm những khoản nào?
Chi phí gồm ba nhóm tách biệt và nên lập ngân sách riêng: phí của tổ chức chứng nhận cho audit ban đầu, surveillance và tái chứng nhận (báo giá theo quy mô và phạm vi); chi phí tư vấn hoặc nền tảng hỗ trợ triển khai; và thời gian của nhân sự nội bộ để vận hành control. Không có mức giá chuẩn, vì số ngày audit được tính theo số nhân sự trong phạm vi, số địa điểm và độ phức tạp. Cách ước tính từng khoản có trong chi phí triển khai ISO 27001 tại Việt Nam.
Doanh nghiệp Việt Nam thường mắc sai lầm gì?
Năm lỗi gặp nhiều nhất đều đến từ việc coi ISO 27001 là dự án giấy tờ:
| Sai lầm | Hậu quả | Cách tránh |
|---|---|---|
| Viết policy rồi cất đi | Auditor phỏng vấn nhân viên và không thấy quy trình được làm thật | Gắn mỗi policy với người phụ trách, lịch xem xét và evidence |
| Phạm vi quá rộng ngay từ đầu | Khối lượng control và evidence tăng mạnh, kéo dài readiness | Bắt đầu với dịch vụ hoặc bộ phận khách hàng yêu cầu, mở rộng sau |
| Thiếu cam kết của lãnh đạo | Thiếu nguồn lực; điều khoản 5 yêu cầu lãnh đạo chịu trách nhiệm | Lãnh đạo phê duyệt chính sách, mục tiêu và chủ trì management review |
| Copy risk assessment từ template | Rủi ro không khớp hoạt động thực tế, SoA không có căn cứ | Đánh giá rủi ro theo tài sản và quy trình của chính doanh nghiệp |
| Không lên kế hoạch duy trì | Control ngừng chạy sau khi có chứng chỉ, gặp vấn đề ở surveillance audit | Lập lịch evidence và review định kỳ cho cả chu kỳ 3 năm |
pTrackly hỗ trợ ISO 27001 như thế nào?
pTrackly là nền tảng quản lý compliance, hỗ trợ ISO 27001:2022 cùng SOC 2, HIPAA, GDPR, PCI DSS, ISO 42001 và ISO 9001 (xem ISO 9001 cho công ty phần mềm nếu khách hàng hỏi thêm về quản lý chất lượng). Khi thêm ISO 27001, pTrackly tạo control, mẫu chính sách và evidence task tương ứng; mỗi evidence task có người phụ trách, tần suất và ngày review, kèm nhắc việc 7, 3 và 1 ngày trước hạn. Chính sách đi qua luồng phê duyệt có người duyệt độc lập; risk register, danh mục tài sản và ma trận yêu cầu–control giúp theo dõi mức độ sẵn sàng. Khi audit, auditor làm việc trong không gian audit riêng với danh sách yêu cầu. pTrackly không quyết định phạm vi hay rủi ro thay bạn, không vận hành control và không cấp chứng chỉ: đội ngũ của bạn sở hữu ISMS, tổ chức chứng nhận thực hiện audit. Xem thêm tại trang ISO 27001 của pTrackly và checklist ISO 27001.
Câu hỏi thường gặp
ISO 27001 có bắt buộc theo pháp luật Việt Nam không?
Không. ISO 27001 là tiêu chuẩn tự nguyện; doanh nghiệp thường làm vì khách hàng hoặc hợp đồng yêu cầu. Nghĩa vụ pháp lý về dữ liệu cá nhân tại Việt Nam nằm trong Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 và Nghị định 356/2025/NĐ-CP, là yêu cầu riêng.
Chứng chỉ ISO 27001 có hiệu lực bao lâu?
3 năm. Trong chu kỳ đó tổ chức chứng nhận thực hiện surveillance audit định kỳ, và doanh nghiệp cần tái chứng nhận trước khi chứng chỉ hết hạn.
Có phải triển khai đủ 93 control Annex A không?
Không. Doanh nghiệp chọn control dựa trên đánh giá rủi ro và yêu cầu áp dụng, rồi ghi lý do áp dụng hoặc loại trừ từng control trong Statement of Applicability.
ISO 27001 và SOC 2 khác nhau thế nào?
ISO 27001 là chứng chỉ do tổ chức chứng nhận cấp cho một ISMS; SOC 2 là báo cáo attestation do công ty kiểm toán CPA phát hành theo chuẩn AICPA. Khách hàng Mỹ thường hỏi SOC 2, khách hàng Nhật Bản và châu Âu thường hỏi ISO 27001.
