Tóm tắt
ISO 27001 mất bao lâu: thời gian readiness tùy phạm vi ISMS, audit Stage 1 và Stage 2 theo lịch certification body, rồi chu kỳ 3 năm có surveillance audit.
ISO 27001 mất bao lâu gồm hai phần khác nhau: thời gian readiness do team bạn quyết định (xây ISMS, risk assessment, SoA, vận hành control) và thời gian audit Stage 1 + Stage 2 do certification body lên lịch. Readiness phụ thuộc phạm vi và mức sẵn sàng hiện tại; ví dụ của chính pTrackly là 3 tuần readiness rồi 4 tuần audit đến khi có chứng nhận.
ISO 27001 mất bao lâu, tính từ đâu đến đâu?
Câu hỏi "ISO 27001 mất bao lâu" thường gộp ba khoảng thời gian: chuẩn bị nội bộ (readiness), audit chứng nhận hai giai đoạn, và chờ quyết định cấp chứng chỉ. Chỉ phần đầu nằm trong tay bạn. Stage 1 và Stage 2 do một certification body được công nhận thực hiện theo ISO/IEC 17021-1, nên lịch của auditor và kết quả Stage 1 quyết định phần còn lại. Không có con số chuẩn cho mọi công ty; con số hữu ích nhất là ước tính theo phạm vi ISMS của chính bạn.
| Giai đoạn | Ai quyết định thời gian | Phụ thuộc vào |
|---|---|---|
| Readiness (scope, risk assessment, SoA, policy, vận hành control) | Team của bạn | Phạm vi ISMS, số hệ thống và địa điểm, control đã có sẵn, thời gian người phụ trách dành ra |
| Internal audit và management review | Team của bạn (hoặc internal auditor thuê ngoài) | Bắt buộc theo clause 9.2 và 9.3 trước khi certification body đánh giá |
| Stage 1 (đánh giá tài liệu và mức sẵn sàng) | Certification body | Lịch auditor, độ hoàn chỉnh của tài liệu ISMS |
| Khắc phục giữa Stage 1 và Stage 2 | Team của bạn | Số phát hiện ở Stage 1 |
| Stage 2 (đánh giá vận hành thực tế) | Certification body | Số audit-day theo quy mô và độ phức tạp, lịch auditor |
| Quyết định cấp chứng nhận | Certification body | Quy trình review nội bộ của họ, nonconformity còn mở |
Ví dụ thực tế: 3 tuần readiness và 4 tuần audit
pTrackly tự làm ISO 27001 cho chính mình: 3 tuần để sẵn sàng audit, sau đó 4 tuần audit đến khi có chứng nhận. Đây cũng là kết quả của một khách hàng. Cả hai trường hợp đều bắt đầu khi phần lớn control đã vận hành hằng ngày, nên 3 tuần là thời gian kiểm tra và hoàn thiện, không phải xây từ đầu. Câu chuyện chi tiết có trong bài ISO 27001 trong 3 tuần: bài học continuous compliance tại pTrackly. Đây không phải cam kết cho mọi tổ chức: phạm vi khác, điểm xuất phát khác thì timeline khác.
Những yếu tố nào làm timeline dài hay ngắn?
Timeline readiness dài hay ngắn chủ yếu do khối lượng việc phải tạo mới, không do bản thân tiêu chuẩn. ISO/IEC 27001:2022 có 93 control trong Annex A chia 4 nhóm (organizational, people, physical, technological), và bạn phải quyết định từng control có áp dụng hay không trong Statement of Applicability (cấu trúc tiêu chuẩn được giải thích trong ISO 27001 là gì). Công ty đã có quy trình access review, quản lý thay đổi, backup và đào tạo thì phần lớn thời gian là ghi lại và thu thập bằng chứng; công ty chưa có thì phải vận hành chúng trước.
Các yếu tố thường gặp:
- Phạm vi ISMS: một sản phẩm, một văn phòng ngắn hơn nhiều so với toàn công ty nhiều địa điểm.
- Asset inventory và risk assessment: inventory thiếu thì risk assessment phải làm lại (xem hướng dẫn ISO 27001 asset inventory). Xem ISO 27001 gap analysis để biết điểm xuất phát.
- Policy và quy trình phê duyệt: policy nằm trong email chờ góp ý là nguyên nhân trễ phổ biến nhất.
- Người phụ trách có thời gian thật: một người kiêm nhiệm vài giờ mỗi tuần sẽ chậm hơn một owner có thời gian cố định.
- Lịch certification body: nên liên hệ sớm; cách chọn đơn vị có ở bài chọn certification body ISO 27001.
Vì sao ISO 27001 khác SOC 2 về thời gian?
ISO 27001 là chứng nhận cho một hệ thống quản lý (ISMS), còn SOC 2 là báo cáo attestation do CPA firm phát hành. ISO 27001 yêu cầu scope document được lãnh đạo phê duyệt, SoA cho 93 control, internal audit và management review trước khi chứng nhận. SOC 2 Type II thì cần một observation period, thường 3 đến 12 tháng; AICPA không quy định thời gian tối thiểu. Vì vậy một ISO 27001 có thể xong sớm hơn một báo cáo SOC 2 Type II đầu tiên, dù khối lượng tài liệu nhiều hơn. So sánh đầy đủ có ở trang ISO 27001 vs SOC 2.
Sau khi có chứng nhận thì timeline tiếp theo là gì?
Chứng nhận ISO 27001 có chu kỳ 3 năm. Theo ISO/IEC 17021-1, certification body thực hiện surveillance audit ít nhất mỗi năm một lần trong năm 1 và năm 2, và recertification audit trước khi hết chu kỳ. Giữa các kỳ, bạn phải duy trì control, chạy internal audit theo kế hoạch, cập nhật risk assessment khi có thay đổi lớn và giữ SoA đúng thực tế. Chuẩn ISO/IEC 27001:2013 đã hết hiệu lực chuyển đổi ngày 31/10/2025 theo lộ trình của IAF, nên mọi chứng nhận hiện hành phải theo bản 2022. Việc cần làm sau chứng nhận có ở duy trì ISO 27001 sau chứng nhận.
pTrackly giúp gì và không làm gì?
pTrackly có framework ISO 27001:2022 với policy template được điều chỉnh theo công ty, evidence task lặp lại theo tần suất (hằng ngày đến hằng năm) kèm nhắc việc 7, 3 và 1 ngày trước hạn, risk register chấm điểm likelihood × impact, và audit workspace nơi auditor xem request list và bằng chứng qua auditor portal. Control dùng chung giữa các framework, nên làm thêm SOC 2 hay ISO 42001 không phải làm lại. pTrackly không cấp chứng nhận và không thay certification body; scope, quyết định rủi ro và việc vận hành control vẫn thuộc về team của bạn. Xem nền tảng ISO 27001 của pTrackly.
Câu hỏi thường gặp
Công ty 20 người làm ISO 27001 mất bao lâu?
Phụ thuộc vào phạm vi và control đã có hơn là số người. Công ty nhỏ có phạm vi gọn và quy trình đã vận hành có thể sẵn sàng trong vài tuần; ví dụ của pTrackly là 3 tuần readiness rồi 4 tuần audit.
ISO 27001 Stage 1 và Stage 2 cách nhau bao lâu?
Không có khoảng cách cố định. Certification body lên lịch Stage 2 sau khi xem kết quả Stage 1, và khoảng cách phụ thuộc vào số phát hiện cần khắc phục và lịch auditor.
Chứng nhận ISO 27001 có hiệu lực bao lâu?
Chứng nhận theo chu kỳ 3 năm, với surveillance audit ít nhất mỗi năm một lần trong năm 1 và năm 2, rồi recertification audit trước khi hết hạn.
Có thể làm ISO 27001 mà không thuê consultant không?
Có. Tiêu chuẩn không yêu cầu consultant; nhiều team tự làm với template và một người phụ trách có kinh nghiệm. Consultant hữu ích khi phạm vi rộng hoặc team chưa từng làm hệ thống quản lý ISO.
