Tóm tắt
Thu thập bằng chứng compliance tự động dùng integration check để chứng minh cấu hình định kỳ; policy, risk và phê duyệt vẫn cần con người.
Thu thập bằng chứng compliance tự động là dùng kết nối với hệ thống như AWS, GitHub hay Google Workspace để kiểm tra cấu hình theo lịch và lưu kết quả làm evidence cho từng control. Nó thay phần chụp màn hình lặp lại, nhưng không thay policy, risk assessment, phê duyệt và các bằng chứng về con người, những thứ vẫn cần người phụ trách.
Bằng chứng compliance là gì?
Bằng chứng compliance (evidence) là tài liệu, log, ảnh chụp màn hình hoặc báo cáo chứng minh một control đang vận hành đúng thiết kế, có nguồn, thời điểm và người chịu trách nhiệm. ISO/IEC 27001 yêu cầu lưu giữ thông tin dạng văn bản làm bằng chứng cho việc giám sát và đo lường (điều khoản 9.1, ISO/IEC 27001); với SOC 2 Type II, công ty CPA kiểm tra control vận hành xuyên suốt kỳ quan sát, thường 3 đến 12 tháng, AICPA không quy định thời gian tối thiểu (AICPA).
Ví dụ khác biệt giữa lời nói và bằng chứng:
- "Chúng tôi yêu cầu MFA" không phải bằng chứng. Policy đã duyệt cộng báo cáo từ hệ thống định danh cho thấy MFA được bật cho mọi user mới là bằng chứng.
- "Chúng tôi review quyền truy cập hằng quý" không phải bằng chứng. Danh sách tài khoản được rà soát, người xác nhận, ngày và hành động xử lý mới là bằng chứng.
- "Chúng tôi mã hóa dữ liệu" không phải bằng chứng. Cấu hình mã hóa của S3, EBS, RDS và kết quả kiểm tra định kỳ mới là bằng chứng.
Auditor thường yêu cầu những loại bằng chứng nào?
| Loại | Ví dụ | Tự động hóa được không? |
|---|---|---|
| Policy và thủ tục | Information security policy, access control, incident response, vendor management (có người duyệt, ngày hiệu lực) | Một phần: nhắc review và theo dõi phê duyệt; nội dung do con người viết |
| Cấu hình kỹ thuật | MFA, mã hóa, public access, branch protection, backup | Có, qua integration check theo lịch |
| Log và theo dõi | Log truy cập, log admin, change management, incident log | Một phần: hệ thống log giữ dữ liệu; người phụ trách lấy mẫu và giải thích |
| Bằng chứng con người | Hồ sơ đào tạo, background check, biên bản review, đánh giá vendor | Một phần: theo dõi hoàn thành và nhắc hạn |
| Rà soát định kỳ | Access review, cập nhật risk, pentest, khắc phục lỗ hổng, diễn tập BCP | Một phần: lịch, người phụ trách, lịch sử; quyết định do con người |
Thời gian lưu log tùy framework và policy của bạn; ví dụ PCI DSS yêu cầu giữ audit log ít nhất 12 tháng, trong đó 3 tháng gần nhất phải truy xuất được ngay (yêu cầu 10.5.1, PCI SSC).
Vì sao thu thập thủ công tốn thời gian?
Phần tốn thời gian hiếm khi là bản thân việc chụp một màn hình. Nó nằm ở việc xác định auditor cần gì, đi xin tài liệu từ IT, HR, Legal, Operations, nhắc lại nhiều lần, phát hiện thiếu khi đã muộn, rồi đặt tên và gắn từng file vào đúng control. Mỗi kỳ audit lặp lại vòng đó từ đầu. Thời gian cụ thể khác nhau theo phạm vi và tổ chức; để biết con số thật của team mình, hãy đo thời gian thu thập evidence trong hai tuần làm việc bình thường. Bảy việc lặp lại đáng đưa lên nền tảng được liệt kê trong bài công việc compliance thủ công nên tự động hóa.
Tự động hóa thay đổi điều gì?
- Integration check theo lịch. Kết nối với hệ thống đang dùng để kiểm tra cấu hình: AWS (mã hóa S3, EBS, RDS; chặn public access; MFA cho IAM user; backup RDS), Google Workspace (2FA bắt buộc, quyền admin), GitHub (branch protection, cảnh báo bảo mật). Kết quả được lưu làm evidence và chạy lại theo lịch.
- Evidence theo control. Thay vì folder rời rạc, mỗi evidence gắn với control trong framework, ví dụ ISO/IEC 27001:2022 A.8.3 (hạn chế truy cập thông tin): policy, cấu hình, bản ghi access review. Danh sách evidence theo từng control cho SOC 2 có ở bài SOC 2 evidence collection, và cách tổ chức trên nền tảng ở trang pTrackly cho ISO 27001.
- Phát hiện evidence thiếu hoặc cũ. Evidence quá hạn review, check thất bại hoặc evidence lâu không cập nhật được báo cho người phụ trách trước kỳ audit, thay vì để auditor phát hiện.
Tự động hóa rút ngắn phần đi xin và sắp xếp evidence; mức rút ngắn phụ thuộc bao nhiêu control của bạn có thể kiểm tra qua hệ thống. Nó không rút ngắn thời gian để control vận hành đủ lâu, hay lịch của tổ chức chứng nhận và công ty CPA.
Phần nào tự động hóa không thay được?
- Policy và thủ tục. Template giúp bắt đầu, nhưng auditor muốn thấy policy phản ánh đúng cách tổ chức vận hành.
- Risk assessment. Đánh giá rủi ro gì, vì sao, xử lý thế nào là quyết định của con người.
- Đào tạo. Nền tảng theo dõi hoàn thành; nội dung và cách triển khai do đội của bạn làm.
- Đánh giá vendor. Cần phán đoán, không chỉ checklist.
Lỗi thường gặp khi thu thập evidence là gì?
- Tạo evidence hồi tố. Auditor nhận ra qua metadata và dấu thời gian; đây là dấu hiệu nghiêm trọng.
- Evidence quá cũ. Policy viết nhiều năm trước chưa review là evidence yếu; auditor muốn thấy evidence trong kỳ đánh giá.
- Không giải thích được evidence. Người phụ trách phải nói được evidence cho control nào, lấy từ đâu, chứng minh điều gì.
- Evidence mâu thuẫn với policy. Policy nói review hằng quý nhưng chỉ có một bản ghi trong năm còn tệ hơn không có evidence.
- Phạm vi quá rộng. Khoanh vùng hệ thống trong phạm vi từ đầu giúp giảm khối lượng evidence.
pTrackly hỗ trợ thu thập bằng chứng thế nào?
Trên pTrackly, mỗi evidence task gắn với control, có người phụ trách, tần suất và ngày review. Integration check áp dụng cho task có thể chạy ngay hoặc chạy hằng ngày theo lịch; khi mọi check đạt, task giữ trạng thái hoàn thành và ngày review lùi sang kỳ sau, khi một check thất bại, task chuyển sang Failed và người phụ trách được báo. Người phụ trách được nhắc trước 7, 3 và 1 ngày đến hạn review. Chức năng Check readiness của Ask Tracky liệt kê evidence còn thiếu, check thất bại và evidence cũ hơn 90 ngày. Khi khóa audit, pTrackly lưu dấu vân tay SHA-256 cho từng file evidence. pTrackly không viết thay policy, không quyết định rủi ro, và không thay auditor đánh giá evidence.
Câu hỏi thường gặp
Thu thập bằng chứng tự động có đủ để qua audit không?
Không. Nó xử lý tốt cấu hình kỹ thuật; policy, risk assessment, đào tạo, đánh giá vendor và phê duyệt vẫn cần con người, và auditor vẫn tự đánh giá evidence.
Integration check khác gì ảnh chụp màn hình?
Ảnh chụp màn hình cho thấy một thời điểm và nhanh lỗi thời; integration check chạy lại theo lịch và ghi kết quả mỗi lần, nên cho thấy control vận hành qua thời gian.
Evidence cần lưu bao lâu?
Tùy framework và policy của bạn. Ví dụ PCI DSS yêu cầu giữ audit log ít nhất 12 tháng; với SOC 2 Type II, evidence phải phủ toàn bộ kỳ quan sát.
Có thể tạo lại evidence sau khi audit bắt đầu không?
Không nên. Evidence phải được tạo khi control vận hành; evidence tạo hồi tố dễ bị phát hiện qua dấu thời gian và làm giảm niềm tin của auditor.
