Tóm tắt
Tích hợp ISO 27001 và ISO 42001 là vận hành một hệ thống quản lý chung về audit, review, tài liệu, và giữ riêng phần đánh giá tác động và vòng đời AI.
Tích hợp ISO 27001 và ISO 42001 khả thi vì hai tiêu chuẩn dùng chung cấu trúc clause 4 đến 10 của ISO. Doanh nghiệp đã có ISMS có thể dùng chung internal audit, management review, quản lý tài liệu và corrective action cho hệ thống quản lý AI (AIMS). Phần đặc thù AI vẫn làm riêng: đánh giá tác động, vòng đời và dữ liệu của hệ thống AI.
Vì sao ISO 27001 và ISO 42001 dùng chung được một hệ thống quản lý?
ISO xây các tiêu chuẩn hệ thống quản lý trên một cấu trúc hài hòa: cùng tên clause và phần lớn nội dung lõi cho bối cảnh, lãnh đạo, hoạch định, hỗ trợ, vận hành, đánh giá hiệu quả và cải tiến. ISO/IEC 27001:2022 và ISO/IEC 42001:2023 đều theo cấu trúc này, nên một bộ quy trình có thể phục vụ cả hai, miễn mỗi quy trình ghi rõ đang áp dụng tiêu chí của tiêu chuẩn nào.
Khác biệt nằm ở đối tượng quản lý. ISO 27001 quản lý rủi ro an toàn thông tin, Annex A có 93 control tham chiếu trong 4 nhóm chủ đề. ISO 42001 quản lý rủi ro và tác động của hệ thống AI, Annex A có 38 control trong 9 nhóm (A.2 đến A.10), kèm hướng dẫn triển khai ở Annex B. Mỗi tiêu chuẩn cần một Statement of Applicability (SoA) riêng: ISO 27001 theo clause 6.1.3 và ISO 42001 theo clause 6.1.3 của chính nó.
Những quy trình nào dùng chung được?
| Quy trình | Clause (cả hai tiêu chuẩn) | Cách tích hợp |
|---|---|---|
| Bối cảnh và phạm vi | 4.1 đến 4.4 | Một phân tích bối cảnh; phạm vi AIMS ghi rõ hệ thống AI và vai trò (phát triển, cung cấp, sử dụng) |
| Chính sách | 5.2 | Giữ AI policy riêng (ISO 42001 A.2.2) và căn chỉnh với chính sách bảo mật (A.2.3) |
| Năng lực và nhận thức | 7.2, 7.3 | Một hồ sơ đào tạo, bổ sung trách nhiệm về AI theo vai trò |
| Thông tin dạng văn bản | 7.5 | Một quy tắc version, phê duyệt và lưu trữ cho cả hai hệ thống |
| Internal audit | 9.2 | Một chương trình audit, tiêu chí riêng cho ISMS và AIMS |
| Management review | 9.3 | Một cuộc review có đủ đầu vào mà mỗi tiêu chuẩn yêu cầu |
| Nonconformity và corrective action | 10.2 | Một workflow root cause, owner, deadline và kiểm tra hiệu quả |
Phần nào phải giữ riêng cho AI?
Các yêu cầu dưới đây không có tương đương trong ISO 27001 và không thể đáp ứng bằng cách tái dùng evidence bảo mật:
- Đánh giá tác động hệ thống AI (ISO 42001 clause 6.1.4 và A.5): hậu quả với cá nhân, nhóm người và xã hội, không chỉ với thông tin của tổ chức.
- Vòng đời hệ thống AI (A.6): yêu cầu, tài liệu thiết kế, verification và validation, triển khai, vận hành và giám sát, tài liệu kỹ thuật và log sự kiện cho từng hệ thống AI.
- Dữ liệu cho hệ thống AI (A.7): thu thập, chất lượng, nguồn gốc và chuẩn bị dữ liệu huấn luyện và vận hành.
- Thông tin cho bên liên quan (A.8): tài liệu cho người dùng, báo cáo ra bên ngoài và thông báo sự cố AI.
- Sử dụng có trách nhiệm (A.9) và quan hệ với bên thứ ba, khách hàng (A.10), gồm cả nhà cung cấp AI như API của model.
Control ISO 27001 nào hỗ trợ một phần ISO 42001?
Một số control bảo mật tạo ra evidence mà AIMS dùng lại được, nhưng không control nào tự đáp ứng trọn yêu cầu AI. Control mapping cần ghi phần tái sử dụng và phần gap còn lại.
| Control ISO 27001:2022 | Control ISO 42001 được hỗ trợ | Gap còn lại |
|---|---|---|
| A.5.19 đến A.5.22 Quan hệ nhà cung cấp | A.10.3 Suppliers | Rủi ro riêng của nhà cung cấp AI: hành vi model, cách dùng dữ liệu, thông báo thay đổi |
| A.8.15 Logging | A.6.2.8 Ghi log sự kiện của hệ thống AI | Sự kiện AI nào cần log và lưu bao lâu, theo từng hệ thống |
| A.5.24 đến A.5.28 Quản lý sự cố | A.8.4 Thông báo sự cố | Ai bên ngoài tổ chức phải được thông báo khi có sự cố AI |
| A.8.25 Vòng đời phát triển an toàn | A.6.2.2 đến A.6.2.5 Yêu cầu, thiết kế, verification và validation, triển khai | Tiêu chí validation riêng cho model và quyết định phát hành |
Tích hợp hai hệ thống theo những bước nào?
- Liệt kê quy trình ISMS hiện có và evidence mà mỗi quy trình tạo ra.
- Lập danh mục hệ thống AI: mục đích, model, dữ liệu, người bị tác động, owner và cơ chế giám sát của con người. Xem hướng dẫn danh mục hệ thống AI và risk register.
- Đối chiếu yêu cầu ISO 42001 với quy trình hiện có theo mục tiêu, không chỉ theo tên clause.
- Bổ sung phương pháp đánh giá tác động hệ thống AI và mở rộng phương pháp rủi ro với các nguồn rủi ro AI.
- Lập SoA riêng cho ISO 42001 theo Annex A của tiêu chuẩn này.
- Cập nhật chương trình internal audit và agenda management review cho cả hai hệ thống.
- Hỏi tổ chức chứng nhận có audit kết hợp hai tiêu chuẩn được không; tổ chức đó phải đủ năng lực chứng nhận hệ thống quản lý AI (ISO/IEC 42006:2025 đặt yêu cầu cho các tổ chức này).
pTrackly hỗ trợ tích hợp ISMS và AIMS như thế nào?
pTrackly có ISO 27001 và ISO 42001 là hai framework, mỗi framework có compliance matrix riêng (clause và Annex A). Control được dùng chung: một policy được publish hoặc một evidence task hoàn thành sẽ tính cho mọi framework liên kết, trong khi mỗi framework giữ điểm riêng. Khi thêm ISO 42001, pTrackly tạo các policy template về AI (AI policy, quản lý rủi ro và đánh giá tác động AI, data governance cho AI, vòng đời hệ thống AI, bên thứ ba và nhà cung cấp AI) cùng evidence task tương ứng. Các tích hợp chỉ đọc với nền tảng AI như OpenAI, Anthropic, AWS Bedrock và MLflow thu thập evidence hỗ trợ, và risk register chứa rủi ro AI cạnh rủi ro bảo mật. Đội của bạn vẫn quyết định phạm vi, thực hiện đánh giá tác động và ký SoA; tổ chức chứng nhận được công nhận mới là bên cấp chứng chỉ. Xem ISO 27001, ISO 42001 và ISO 42001 mất bao lâu với doanh nghiệp đã có ISO 27001.
Câu hỏi thường gặp
Một cuộc audit có cover được cả ISO 27001 và ISO 42001 không?
Nhiều tổ chức chứng nhận có audit kết hợp khi hai hệ thống quản lý đã tích hợp, nhưng mỗi tiêu chuẩn vẫn được đánh giá theo yêu cầu riêng và mỗi chứng chỉ được cấp riêng. Hãy xác nhận tổ chức chứng nhận được công nhận cho ISO 42001.
Có cần hai Statement of Applicability không?
Có. ISO 27001 và ISO 42001 mỗi tiêu chuẩn yêu cầu SoA theo Annex A của chính nó, có lý giải cho từng control được chọn hoặc loại trừ.
ISO 27001 có bao gồm rủi ro AI không?
Chỉ phần an toàn thông tin. Bias, tác động lên cá nhân và xã hội, minh bạch với người dùng và quyết định theo vòng đời AI là nội dung của ISO 42001 mà ISO 27001 không đề cập.
Nên làm ISO 42001 trước hay sau ISO 27001?
Thứ tự nào cũng được. Nếu khách hàng đang hỏi ISO 27001, ISMS có sẵn là nền tảng hệ thống quản lý cho ISO 42001; nếu câu hỏi chính của người mua là quản trị AI, ISO 42001 có thể triển khai độc lập.
Nguồn tham khảo
Nội dung này không thay thế việc đọc tiêu chuẩn gốc hoặc đánh giá độc lập.
