Continuous Compliance ISO 27001: Bài Học Từ Chứng Nhận Của pTrackly

Continuous compliance ISO 27001 nghĩa là vận hành ISMS mỗi ngày: policy có người phụ trách và lịch xem xét, evidence được thu thập theo chu kỳ, control được theo dõi liên tục, thay vì gom một nhóm làm dự án vài tháng trước audit. Nhờ cách làm này, pTrackly tự đạt chứng nhận ISO 27001 với 3 tuần readiness và 4 tuần audit; đó là trường hợp của chúng tôi, không phải cam kết.

Continuous compliance ISO 27001 khác cách làm theo dự án ở điểm nào?

Khác biệt nằm ở thời điểm công việc được làm. Theo mô hình dự án, gần kỳ audit doanh nghiệp tập hợp một nhóm để viết tài liệu, review policy, gom evidence và chuẩn bị phỏng vấn; sau audit, hoạt động gần như dừng đến kỳ sau, nên khối lượng lặp lại mỗi năm. Theo continuous compliance, cùng các việc đó được chia thành nhiệm vụ định kỳ có người phụ trách, nên khi audit đến, phần lớn đã xong và auditor chỉ cần xác minh hệ thống đang vận hành. ISO/IEC 27001:2022 vốn yêu cầu điều này: điều khoản 9 và 10 đòi hỏi giám sát, internal audit, management review và cải tiến liên tục, không chỉ một lần trước chứng nhận.

Vì sao không nên viết lại tài liệu ISO 27001 từ đầu?

Phần lớn doanh nghiệp đều cần cùng một bộ tài liệu cốt lõi: chính sách an toàn thông tin, danh mục tài sản, phương pháp đánh giá rủi ro, Statement of Applicability (SoA), kế hoạch internal audit. Cấu trúc của chúng gần giống nhau dù phạm vi ISMS khác nhau, nên bắt đầu từ một file Word trắng ở mỗi dự án là lãng phí. Khi tự chuẩn bị chứng nhận, chúng tôi chuẩn hóa các tài liệu này thành mẫu; trong pTrackly, khi thêm ISO 27001, doanh nghiệp nhận bộ mẫu chính sách được điều chỉnh theo thông tin công ty, rồi chỉ cần review, sửa theo thực tế, phê duyệt và ban hành. Điều mẫu không làm được là thay bạn mô tả đúng cách tổ chức vận hành: auditor sẽ phỏng vấn nhân viên để kiểm tra policy có được làm thật.

Evidence ISO 27001 nên được thu thập thế nào?

Evidence nên được thu thập khi hoạt động xảy ra, gắn với control mà nó chứng minh, không phải chụp lại hàng loạt trước mỗi kỳ audit. Quy trình thủ công quen thuộc là đăng nhập từng hệ thống (AWS, Azure, GitHub, Google Workspace), chụp màn hình, đặt tên file, tải lên Drive và gắn vào control, rồi lặp lại ở kỳ surveillance và tái chứng nhận. Có hai loại evidence cần xử lý khác nhau:

1. Evidence có thể lấy từ hệ thống: cấu hình cloud, quyền truy cập, branch protection, tài khoản người dùng. Với các hệ thống đã kết nối, evidence task có thể chạy kiểm tra tích hợp theo lịch hằng ngày và lưu kết quả làm bằng chứng.
2. Evidence do con người tạo: biên bản họp, internal audit, biên bản đào tạo, risk review, management review, đánh giá nhà cung cấp, báo cáo sự cố. Loại này cần mẫu rõ ràng: mục đích, control liên quan, thông tin cần có và người duyệt.

Trong cả hai trường hợp, evidence cần có thời điểm, người nộp và người duyệt độc lập, vì auditor đánh giá control có vận hành trong suốt kỳ, không chỉ tại ngày audit. Chi tiết về cách tổ chức evidence có trong thu thập bằng chứng compliance tự động.

Bài học lớn nhất từ chứng nhận ISO 27001 của pTrackly là gì?

Bài học không phải là làm nhanh hơn, mà là loại bỏ những việc không cần làm lại. Ba tuần readiness của chúng tôi chủ yếu là xác minh: mỗi control đã có người phụ trách, policy đã ban hành, evidence còn hiệu lực và lịch review chưa. Bốn tuần audit tập trung vào việc cho auditor thấy hệ thống vận hành thế nào, thay vì tìm tài liệu. Câu chuyện đầy đủ (tiếng Anh) có trong how pTrackly got ISO 27001 certified in 7 weeks; một khách hàng cũng đạt cùng mốc 3 tuần readiness và 4 tuần audit. Doanh nghiệp bắt đầu từ con số không sẽ cần thời gian khác, xem ISO 27001 mất bao lâu.

Duy trì ISO 27001 sau chứng nhận cần gì?

Chứng chỉ ISO 27001 có hiệu lực 3 năm, với surveillance audit trong chu kỳ và tái chứng nhận trước khi hết hạn, nên continuous compliance là cách duy trì rẻ nhất. Mỗi policy có người chịu trách nhiệm và tần suất review; mỗi evidence task có tần suất từ hằng ngày đến hằng năm; rủi ro được xem xét lại theo mức điểm; internal audit và management review được lên lịch trong năm. Lịch chi tiết cho kỳ surveillance có trong duy trì ISO 27001 sau chứng nhận.

pTrackly hỗ trợ continuous compliance ISO 27001 ra sao?

pTrackly hỗ trợ ISO 27001:2022 cùng SOC 2, HIPAA, GDPR, PCI DSS, ISO 42001 và ISO 9001 trên cùng một hệ thống control dùng chung, nên một policy hay evidence được tính cho mọi framework liên quan. Evidence task có tần suất, ngày review và nhắc việc 7, 3, 1 ngày trước hạn; một số task tự chạy kiểm tra qua tích hợp như AWS, Azure, Google Cloud, GitHub, GitLab, Google Workspace, Okta hay Jira, phần còn lại được tải lên hoặc gắn link theo mẫu. Policy có luồng phê duyệt với người duyệt độc lập, và mỗi phiên bản được duyệt đều lưu bản ghi phê duyệt có ký. pTrackly không quyết định phạm vi, không vận hành control thay bạn và không cấp chứng chỉ; tổ chức chứng nhận được công nhận thực hiện audit. Xem trang ISO 27001 của pTrackly.

Câu hỏi thường gặp

Triển khai ISO 27001 thường mất bao lâu?

Tùy phạm vi và mức độ sẵn có của control. pTrackly mất 3 tuần readiness và 4 tuần audit vì ISMS đã vận hành sẵn; doanh nghiệp bắt đầu từ đầu thường cần lâu hơn, và đây là ví dụ, không phải cam kết.

Vì sao chuẩn bị evidence cho ISO 27001 mất nhiều thời gian?

Vì evidence thường được gom thủ công từ Excel, Google Drive và screenshot ngay trước audit. Thu thập theo tần suất của từng control, gắn với control và có người duyệt giúp evidence sẵn sàng khi auditor hỏi.

Continuous compliance có phải là tự động hóa hoàn toàn không?

Không. Một phần evidence có thể lấy từ hệ thống đã kết nối, nhưng đánh giá rủi ro, management review, đào tạo và quyết định về phạm vi vẫn do con người thực hiện và phê duyệt.

Continuous compliance có giúp khi thêm SOC 2 hay ISO 42001 không?

Có. Khi control được dùng chung giữa các framework, policy và evidence đã có cho ISO 27001 được tính cho framework mới; phần việc mới chỉ là các yêu cầu riêng của framework đó.