Tóm tắt
Công ty outsourcing mất hợp đồng Nhật dù có ISO 27001 khi phạm vi chứng chỉ không phủ dự án, hoặc không đưa ra được evidence gần đây rằng control vẫn chạy.
Công ty outsourcing mất hợp đồng Nhật dù có ISO 27001 thường vì hai lý do: phạm vi chứng chỉ không bao phủ dự án khách hàng đang mua, hoặc team không đưa ra được evidence gần đây cho thấy control vẫn vận hành. Chứng chỉ giúp bạn vào vòng due diligence; evidence của vài tháng gần nhất mới giữ được hợp đồng.
Ngoài chứng chỉ, khách hàng Nhật kiểm tra những gì?
Khách hàng doanh nghiệp Nhật thường xem ISO 27001 là điều kiện đầu vào (thiếu nó là bị loại sớm), rồi hỏi tiếp chứng chỉ đó áp dụng thế nào cho dự án của họ: phạm vi gồm gì, surveillance audit gần nhất khi nào, và bạn có chứng minh được từng control đã chạy trong một khoảng thời gian gần đây không. Họ có thể xác minh chứng chỉ với tổ chức chứng nhận đã cấp; tại Nhật, ISMS Accreditation Center (ISMS-AC) công bố danh sách tổ chức chứng nhận được công nhận và tổ chức đã được chứng nhận. Lý do khách hàng Nhật yêu cầu ISO 27001 ngay từ đầu, và điều gì xảy ra khi chưa có chứng chỉ, nằm ở bài ISO 27001 cho IT outsourcing làm với khách Nhật.
| Khách hàng hỏi | Điều họ đang kiểm tra | Evidence cần sẵn |
|---|---|---|
| Phạm vi chứng chỉ gồm những gì? | Dự án, dữ liệu và địa điểm của họ có nằm trong ISMS không | Scope statement, Statement of Applicability, danh sách địa điểm và dịch vụ |
| Surveillance audit gần nhất khi nào? | Chứng chỉ có được duy trì, không chỉ được cấp | Ngày báo cáo surveillance audit, các điểm không phù hợp và cách đóng |
| Cho xem access review 6 tháng qua | Control có chạy giữa các kỳ audit không | Biên bản review có ngày, người review và người phê duyệt |
| Incident response plan năm nay đã được diễn tập chưa? | Kế hoạch có dùng được thực tế không | Biên bản diễn tập, phát hiện, hành động khắc phục |
| Subcontractor trong dự án của chúng tôi đã được đánh giá chưa? | Rủi ro chuỗi cung ứng | Danh sách vendor, kết quả đánh giá, NDA hoặc DPA đã ký |
| Nếu người phụ trách bảo mật nghỉ việc thì sao? | Phụ thuộc vào một người | Owner theo từng control, quy trình được viết ra, biên bản bàn giao |
Vì sao phạm vi chứng chỉ hay là điểm hở?
Chứng chỉ ISO 27001 bao phủ phạm vi đã xác định cho ISMS, không mặc định là toàn công ty. Một công ty được chứng nhận cho quản lý IT nội bộ có thể sau đó nhận dự án phát triển mà môi trường, repository hoặc dữ liệu khách hàng nằm ngoài phạm vi đó. Khách hàng đọc scope statement trong due diligence sẽ thấy ngay. Mỗi khi dự án mới thay đổi nơi lưu dữ liệu khách hàng hoặc người được truy cập, cần đánh giá có phải mở rộng phạm vi không và ghi lại quyết định.
Control thay đổi thế nào giữa các kỳ surveillance audit?
Chứng chỉ ISO/IEC 27001 có hiệu lực 3 năm, với surveillance audit trong chu kỳ, nhưng không phản ánh control đang vận hành ra sao hôm nay. Control drift là khoảng hở xuất hiện khi control đúng tại thời điểm audit rồi lệch dần trong công việc hằng ngày, thường vì không có gì theo dõi chứ không phải vì ai cố tình bỏ qua. Ví dụ quen thuộc trong outsourcing:
- Contractor được cấp quyền ghi vào repository của khách hàng; hợp đồng kết thúc, HR đã off-board nhưng quyền repository vẫn còn vì không ai nối hai việc lại.
- Dự án chuyển sang cloud provider mới và security baseline cũ không được áp dụng cho môi trường mới.
- Một lần nâng cấp hệ thống đưa cấu hình mật khẩu hoặc MFA về mặc định, và không ai phát hiện cho tới khi khách hàng review kỹ thuật.
Buổi security review ngoài chu kỳ của khách hàng tìm ra những lỗi này qua kiểm tra kỹ thuật, không qua chứng chỉ. Cách giữ control vận hành sau khi đạt chứng nhận ở hub duy trì ISO 27001 sau chứng nhận.
Làm sao chứng minh compliance bất cứ lúc nào, không chỉ lúc audit?
Biến evidence thành một phần công việc thay vì một dự án trước audit:
- Giao mỗi control định kỳ (access review, thử khôi phục backup, đánh giá vendor, diễn tập sự cố) cho một owner, kèm tần suất và ngày review.
- Lưu evidence kèm ngày và người phê duyệt, để có thể đưa ra bất kỳ giai đoạn nào khi được hỏi.
- Rà lại phạm vi ISMS mỗi khi bắt đầu dự án hoặc khách hàng mới.
- Chuẩn bị sẵn một bộ tài liệu chia sẻ được dưới NDA (chứng chỉ, phạm vi, chính sách chính, tóm tắt evidence gần đây) thay vì gom lại cho từng yêu cầu.
- Viết quy trình đủ rõ để người mới tiếp tục được.
Bài checklist triển khai ISO 27001 cho công ty ITO Việt Nam liệt kê các control quan trọng nhất trong công việc delivery.
Bộ tài liệu khách hàng thường yêu cầu trong vendor review, từ policy, risk assessment tới evidence và điều khoản dữ liệu, được liệt kê trong bài hồ sơ bảo mật cho công ty outsourcing.
pTrackly hỗ trợ ở đâu?
Trong pTrackly, mỗi evidence task có owner, tần suất (từ hằng ngày tới hằng năm) và ngày review; mọi thay đổi trạng thái, phân công và quyết định review được lưu trong lịch sử task, nên có thể cho khách hàng xem việc gì đã làm trong một giai đoạn và ai phê duyệt. Task định kỳ tự mở lại khi hết kỳ review. Trust Portal cho khách hàng xem framework và control của bạn, và yêu cầu chính sách hoặc chứng chỉ sau khi ký NDA trực tuyến. pTrackly không quyết định phạm vi ISMS, không vận hành control thay bạn và không cấp chứng chỉ; việc đó thuộc về team của bạn và tổ chức chứng nhận. Xem pTrackly cho IT outsourcing và trang framework ISO 27001.
Câu hỏi thường gặp
Có ISO 27001 là đủ để giữ hợp đồng với khách hàng Nhật không?
Thường là cần nhưng chưa đủ. Khách hàng Nhật hay kiểm tra tiếp phạm vi chứng chỉ, surveillance audit gần nhất và evidence gần đây cho thấy control chạy trên dự án của họ.
Khách hàng Nhật xác minh chứng chỉ ISO 27001 của chúng tôi bằng cách nào?
Họ có thể xác minh với tổ chức chứng nhận đã cấp. Với chứng chỉ do tổ chức được công nhận tại Nhật cấp, ISMS-AC công bố danh sách tổ chức chứng nhận và tổ chức đã được chứng nhận.
Chứng chỉ ISO 27001 có hiệu lực bao lâu?
3 năm, với surveillance audit trong chu kỳ và recertification audit khi hết hạn. Chứng chỉ không cho thấy control vận hành thế nào giữa các kỳ audit.
Nên chuẩn bị evidence gì trước buổi security review của khách hàng?
Scope statement và Statement of Applicability, báo cáo audit gần nhất, access review có ngày, biên bản diễn tập sự cố, danh sách vendor kèm kết quả đánh giá, và owner cho các control chính.
Chứng chỉ ISO 27001 mở cửa; evidence của vài tháng gần nhất giữ cửa luôn mở.
