Tóm tắt
Nên làm ISO 27001 hay SOC 2 trước: chọn theo deal đang bị chặn và đầu ra khách hàng chấp nhận; bài có decision matrix cho CTO công ty SaaS và ITO Việt Nam.
Nên làm ISO 27001 hay SOC 2 trước phụ thuộc vào deal đang bị chặn và đầu ra mà khách hàng chấp nhận. Ưu tiên SOC 2 khi deal quan trọng tại Mỹ yêu cầu SOC 2 report; ưu tiên ISO 27001 khi khách hàng yêu cầu certificate hoặc công ty phục vụ nhiều thị trường. Nếu cả hai đều cần, xây một bộ control dùng chung thay vì chạy hai dự án tách biệt.
Vì sao CTO hay bị kẹt giữa ISO 27001 và SOC 2?
Một CTO startup SaaS ở TP.HCM có thể nhận hai yêu cầu trong cùng một quý: khách hàng enterprise ở Singapore muốn xem ISO 27001, còn prospect tại Mỹ hỏi "Do you have SOC 2?". Team thường không đủ người để chạy hai dự án độc lập cùng lúc. Cái khó là hai framework trông giống nhau về nội dung control nhưng cho ra hai loại tài liệu khác nhau, do hai loại tổ chức khác nhau phát hành, và mỗi khách hàng chỉ chấp nhận loại họ cần. ISO 27001 không phải "SOC 2 bản quốc tế", và SOC 2 cũng không phải "ISO 27001 cho Mỹ". So sánh chi tiết hai framework có trong ISO 27001 vs SOC 2; bài này tập trung vào cách ra quyết định.
ISO 27001 và SOC 2 khác nhau ở những điểm nào ảnh hưởng đến quyết định?
ISO/IEC 27001 là tiêu chuẩn yêu cầu đối với hệ thống quản lý an toàn thông tin (ISMS); tổ chức chứng nhận được công nhận đánh giá và cấp certificate có hiệu lực ba năm, kèm audit giám sát. SOC 2 là báo cáo chứng thực do CPA firm độc lập phát hành theo chuẩn của AICPA, đánh giá control theo Trust Services Criteria.
| Tiêu chí | ISO 27001 | SOC 2 |
|---|---|---|
| Bản chất | Tiêu chuẩn yêu cầu đối với ISMS (ISO) | Báo cáo examination về control của service organization (AICPA) |
| Đầu ra | Certificate do tổ chức chứng nhận cấp | Báo cáo SOC 2 Type 1 hoặc Type 2 do CPA firm phát hành |
| Trọng tâm | Thiết lập, vận hành, duy trì và cải tiến ISMS dựa trên rủi ro; 93 control Annex A (bản 2022) | Security luôn bắt buộc; thêm Availability, Processing Integrity, Confidentiality hoặc Privacy nếu cần |
| Cách chia sẻ | Certificate và scope có thể công khai và tra cứu | Báo cáo chi tiết, thường chia sẻ theo NDA |
| Chu kỳ | Audit giám sát ít nhất hằng năm, tái chứng nhận sau ba năm | Không có ngày hết hạn chính thức; khách hàng thường muốn kỳ báo cáo kết thúc trong 12 tháng gần nhất |
| Việc cần xác nhận với khách hàng | Scope certificate có bao phủ dịch vụ họ mua không | Họ cần Type 1 hay Type 2, và những tiêu chí nào |
Có nên chọn framework chỉ theo quốc gia của khách hàng?
Không nên. "Mỹ chọn SOC 2, còn lại chọn ISO 27001" dễ nhớ nhưng không đủ để ra quyết định: một tập đoàn Mỹ có thể chấp nhận ISO 27001, và một khách hàng Singapore có thể yêu cầu SOC 2 theo chính sách vendor risk của họ. Hãy phân loại pipeline bằng dữ liệu:
| Câu hỏi | Dữ liệu cần lấy |
|---|---|
| Deal nào đang bị chặn? | Giá trị, giai đoạn, yêu cầu bằng văn bản |
| Khách hàng chấp nhận đầu ra nào? | Certificate, SOC 2 report, questionnaire hay tài liệu khác |
| Deadline là khi nào? | Ngày procurement hoặc security review cần hồ sơ |
| Scope nào được đánh giá? | Sản phẩm, hạ tầng, pháp nhân, địa điểm |
| Yêu cầu có lặp lại không? | Số prospect khác đã hỏi cùng nội dung |
Framework nên ưu tiên là framework giải quyết nhu cầu lặp lại và ảnh hưởng lớn nhất đến pipeline, không phải framework có tên quen hơn.
Khi nào nên ưu tiên ISO 27001?
ISO 27001 thường là lựa chọn hợp lý khi RFP hoặc khách hàng ghi rõ ISO 27001, khi công ty cần một ISMS cho nhiều sản phẩm, dự án hoặc thị trường, khi khách hàng muốn kiểm tra certificate và scope trước khi đi sâu vào questionnaire, và khi công ty ITO cần chuẩn hóa cách quản lý bảo mật giữa nhiều delivery team. Khách hàng Nhật Bản thường hỏi ISO 27001 trước tiên. Trước khi bắt đầu, hãy chốt scope: certificate chỉ có ý nghĩa nếu pháp nhân, dịch vụ và hệ thống khách hàng dùng nằm trong phạm vi chứng nhận. Xem thêm ISO 27001 với pTrackly và giải pháp cho công ty ITO.
Khi nào nên ưu tiên SOC 2?
SOC 2 nên đi trước khi một deal có giá trị đang chờ SOC 2 report, khi công ty là service organization và khách hàng cần đánh giá control của hệ thống cung cấp dịch vụ, khi procurement đã xác nhận loại báo cáo và tiêu chí họ quan tâm, và khi nhiều khách hàng cùng hỏi SOC 2 chứ không chỉ một prospect hỏi chung chung. Không nên tự động đưa cả năm nhóm tiêu chí vào scope; chọn theo cam kết dịch vụ và yêu cầu khách hàng. Cách chọn scope cho báo cáo đầu tiên có trong SOC 2 cho SaaS startup. Xem thêm SOC 2 với pTrackly và giải pháp cho B2B SaaS.
Nên hứa Type 1 hay Type 2 với khách hàng?
Đừng hứa loại nào trước khi hỏi lại khách hàng. Type 1 đánh giá thiết kế control tại một ngày; Type 2 đánh giá control vận hành trong một kỳ, thường từ 3 đến 12 tháng (AICPA không quy định tối thiểu). Team sales không nên suy diễn rằng Type 1 luôn đủ để ký hợp đồng hoặc Type 2 luôn bắt buộc. Cũng hỏi rõ khách hàng cần SOC 2 hay SOC 1 (báo cáo cho kiểm soát tài chính); xem SOC 1, SOC 2, SOC 3 khác nhau thế nào. Hãy lấy yêu cầu bằng văn bản và thống nhất phạm vi, tiêu chí cùng kỳ examination với CPA firm trước. So sánh hai loại có trong SOC 2 Type I và Type II.
Nếu cần cả hai, làm sao để không làm hai lần?
Hai framework có nhiều chủ đề control giống nhau như access control, risk management, change management, incident response và vendor management, nhưng một certificate không tự động đáp ứng framework còn lại. Cách vận hành ít lặp lại:
- Tạo một control library phản ánh cách công ty thật sự làm việc.
- Ánh xạ requirement ISO 27001 và SOC 2 vào từng control.
- Chỉ định một owner cho mỗi control dùng chung.
- Thu thập evidence một lần, tại nơi nó phát sinh.
- Kiểm tra evidence có đáp ứng ngữ cảnh của từng framework và từng auditor không.
Kế hoạch chạy song song chi tiết có trong triển khai ISO 27001 và SOC 2 cùng lúc.
Decision matrix cho CTO trông như thế nào?
Chấm mỗi framework từ 0 đến 3 điểm cho từng tiêu chí, rồi cộng lại; framework có tổng cao hơn là ứng viên làm trước.
| Tiêu chí | 0 điểm | 1 điểm | 2 điểm | 3 điểm |
|---|---|---|---|---|
| Deal đang bị chặn | Không có | Deal sớm | Deal đang review | Điều kiện ký hợp đồng |
| Số khách hàng yêu cầu | Chưa có | Một khách hàng | Một số khách hàng | Lặp lại trong pipeline |
| Phù hợp thị trường ưu tiên | Thấp | Có liên quan | Quan trọng | Thị trường chính |
| Tài sản có thể tái sử dụng | Chưa có | Có một phần | Có nhiều control | Đã có control và evidence |
| Khả năng vận hành nội bộ | Chưa có owner | Owner kiêm nhiệm | Có nhóm phối hợp | Có owner và quy trình rõ |
Điểm số không thay thế yêu cầu hợp đồng; nó giúp ban lãnh đạo thấy lý do đằng sau quyết định. Trước khi duyệt ngân sách, trả lời thêm: ai là owner khi consultant kết thúc, team quản lý policy và evidence ở đâu, và sau audit ai theo dõi thay đổi về nhân sự, hạ tầng và vendor. Nếu chưa trả lời được những câu này, công ty đang lên kế hoạch cho một dự án audit, chưa phải cho việc vận hành compliance.
pTrackly hỗ trợ quyết định này như thế nào?
pTrackly quản lý ISO 27001 và SOC 2 trong cùng một workspace và dùng chung control giữa các framework: khi thêm ISO 27001 trên nền SOC 2, control, policy và evidence task trùng nhau được dùng lại, và mỗi framework có điểm riêng theo tỷ lệ policy đã publish và evidence đã hoàn thành. Ask Tracky trả lời câu hỏi như "tìm khoảng trống giữa các framework" dựa trên dữ liệu của chính tổ chức, kèm nguồn; thay đổi AI đề xuất phải được người dùng xem lại trước khi áp dụng. pTrackly không quyết định thay bạn nên làm framework nào và không cấp certificate hay báo cáo.
Câu hỏi thường gặp
Công ty SaaS bán cho Mỹ nên làm SOC 2 hay ISO 27001 trước?
Thường là SOC 2, vì khách hàng enterprise Mỹ hay yêu cầu SOC 2 report trong vendor review. Tuy vậy, hãy xác nhận bằng văn bản với chính khách hàng, vì một số tổ chức Mỹ chấp nhận ISO 27001.
Có ISO 27001 rồi thì có được miễn SOC 2 không?
Không tự động. Nhiều control và evidence dùng lại được, nhưng SOC 2 vẫn cần CPA firm thực hiện examination riêng, và Type 2 cần evidence trong suốt observation period.
Công ty ITO làm việc với khách hàng Nhật nên ưu tiên gì?
Khách hàng Nhật Bản thường hỏi ISO 27001 trước tiên, nên ISO 27001 thường là lựa chọn đầu cho công ty ITO phục vụ thị trường này. Quan trọng là scope certificate phải bao phủ đúng dịch vụ và đội dự án khách hàng thuê.
Có thể làm ISO 27001 và SOC 2 song song không?
Có, nếu dùng một bộ control chung và có owner rõ ràng cho từng control. Hai cuộc audit vẫn tách biệt: tổ chức chứng nhận cho ISO 27001 và CPA firm cho SOC 2.
