Bộ quy trình, hồ sơ hệ thống quản lý an toàn thông tin ISO/IEC 27001 mẫu theo bản 2022

Muốn được chứng nhận ISO/IEC 27001, doanh nghiệp phải chứng minh với chuyên gia đánh giá rằng hệ thống quản lý an toàn thông tin, thường gọi là ISMS, đã được thiết lập, vận hành và cải tiến bằng văn bản và bằng hồ sơ thực tế. Phần lớn bài viết đang có trên mạng chỉ liệt kê tên một số tài liệu, nhiều bài còn dùng cấu trúc của phiên bản 2013 với 114 biện pháp kiểm soát, trong khi chứng chỉ theo phiên bản 2013 đã hết hiệu lực từ ngày 31/10/2025.

Bài viết này là bộ khung đầy đủ để doanh nghiệp tự xây dựng hệ thống tài liệu theo ISO/IEC 27001:2022 (kèm Sửa đổi 1:2024): danh mục thông tin dạng văn bản mà tiêu chuẩn bắt buộc theo từng điều khoản, bộ 18 quy trình mẫu với mục đích, trách nhiệm, các bước và hồ sơ đầu ra, mẫu chính sách, mẫu sổ đăng ký rủi ro, mẫu Tuyên bố áp dụng, danh sách đủ 93 biện pháp kiểm soát của Phụ lục A, lộ trình triển khai và các nghĩa vụ pháp luật Việt Nam cần lồng ghép vào hệ thống.

Giải đáp nhanh

• Phiên bản nào đang áp dụng? ISO/IEC 27001:2022, đã được bổ sung Sửa đổi 1:2024 về biến đổi khí hậu. Chứng chỉ theo bản 2013 phải chuyển đổi xong trước ngày 31/10/2025.
• Tiêu chuẩn bắt buộc bao nhiêu tài liệu? Tiêu chuẩn không đưa ra con số cố định. Phần điều khoản 4 đến 10 yêu cầu khoảng 16 nhóm thông tin dạng văn bản; Phụ lục A có thêm một số tài liệu bắt buộc khi biện pháp kiểm soát tương ứng được chọn áp dụng.
• Bộ tài liệu gồm những gì? Chính sách và phạm vi, phương pháp đánh giá rủi ro, sổ đăng ký rủi ro, kế hoạch xử lý rủi ro, Tuyên bố áp dụng, mục tiêu an toàn thông tin, các quy trình vận hành và hồ sơ chứng minh như kết quả giám sát, đánh giá nội bộ, xem xét của lãnh đạo, hành động khắc phục.
• Có bắt buộc theo pháp luật không? Chứng nhận ISO/IEC 27001 là tự nguyện. Tuy nhiên, các nghĩa vụ về bảo vệ hệ thống thông tin và bảo vệ dữ liệu cá nhân theo pháp luật Việt Nam là bắt buộc, và nên được đưa vào chính hệ thống ISO để làm một lần, dùng cho cả hai mục đích.
• Mất bao lâu? Doanh nghiệp vừa và nhỏ có phạm vi gọn thường cần khoảng 4 đến 6 tháng từ khi bắt đầu đến khi đánh giá chứng nhận, trong đó cần ít nhất vài tháng vận hành để có hồ sơ thật.
• Chứng chỉ có hiệu lực bao lâu? 03 năm, với đánh giá giám sát ít nhất mỗi năm một lần và đánh giá tái chứng nhận trước khi hết hạn.

ISO/IEC 27001 hiện hành gồm những phần nào

ISO/IEC 27001 do Tổ chức Tiêu chuẩn hóa quốc tế (ISO) và Ủy ban Kỹ thuật điện quốc tế (IEC) cùng ban hành. Phiên bản hiện hành là ISO/IEC 27001:2022, công bố ngày 25/10/2022, thay thế bản 2013. Tháng 02/2024, ISO ban hành Sửa đổi 1:2024, bổ sung vào điều 4.1 yêu cầu tổ chức xác định biến đổi khí hậu có phải là vấn đề liên quan hay không, và vào điều 4.2 ghi chú rằng các bên quan tâm có thể có yêu cầu liên quan đến biến đổi khí hậu.

Tiêu chuẩn có hai phần mà bộ tài liệu phải bám theo:

• Điều 4 đến điều 10 là các yêu cầu của hệ thống quản lý: bối cảnh tổ chức, sự lãnh đạo, hoạch định, hỗ trợ, vận hành, đánh giá kết quả thực hiện và cải tiến. Điều 1 đến điều 3 chỉ là phạm vi, tài liệu viện dẫn và thuật ngữ, không phải yêu cầu. Doanh nghiệp được chứng nhận phải đáp ứng toàn bộ điều 4 đến điều 10, không được loại trừ.
• Phụ lục A là danh mục 93 biện pháp kiểm soát chia thành 4 nhóm: tổ chức (37 biện pháp), con người (8), vật lý (14) và công nghệ (34). Doanh nghiệp chọn biện pháp nào áp dụng dựa trên kết quả đánh giá rủi ro, và phải giải thích lý do loại trừ từng biện pháp không áp dụng trong Tuyên bố áp dụng.

Hướng dẫn chi tiết cách thực hiện từng biện pháp nằm ở tiêu chuẩn đi kèm ISO/IEC 27002:2022. Khi viết quy trình, nên mở song song ISO/IEC 27002 để lấy phần "hướng dẫn thực hiện" của từng biện pháp làm cơ sở, thay vì tự nghĩ ra nội dung.

Thay đổi chính so với bản 2013 cần phản ánh vào tài liệu

Nội dung	Bản 2013	Bản 2022 kèm Sửa đổi 1:2024
Số biện pháp Phụ lục A	114 biện pháp trong 14 nhóm	93 biện pháp trong 4 nhóm; 11 biện pháp hoàn toàn mới, nhiều biện pháp được gộp lại
Bên quan tâm	Xác định bên quan tâm và yêu cầu của họ	Thêm yêu cầu xác định yêu cầu nào sẽ được giải quyết thông qua hệ thống (điều 4.2 điểm c)
Quá trình của hệ thống	Không yêu cầu rõ	Phải xác định các quá trình cần thiết và sự tương tác giữa chúng (điều 4.4)
Mục tiêu an toàn thông tin	Không yêu cầu giám sát mục tiêu	Mục tiêu phải được giám sát (điều 6.2 điểm d)
Hoạch định thay đổi	Không có	Điều 6.3 mới: thay đổi hệ thống phải được thực hiện có hoạch định
Kiểm soát vận hành	Kiểm soát quá trình	Phải thiết lập tiêu chí cho các quá trình và kiểm soát cả quá trình, sản phẩm, dịch vụ do bên ngoài cung cấp (điều 8.1)
Biến đổi khí hậu	Không có	Phải xác định biến đổi khí hậu có là vấn đề liên quan hay không (điều 4.1, Sửa đổi 1:2024)

11 biện pháp mới cần có quy trình hoặc quy định tương ứng nếu được chọn áp dụng: 5.7 Thông tin về mối đe dọa, 5.23 An toàn thông tin khi sử dụng dịch vụ đám mây, 5.30 Sẵn sàng công nghệ thông tin và truyền thông cho hoạt động liên tục, 7.4 Giám sát an ninh vật lý, 8.9 Quản lý cấu hình, 8.10 Xóa thông tin, 8.11 Che giấu dữ liệu, 8.12 Ngăn ngừa rò rỉ dữ liệu, 8.16 Hoạt động giám sát, 8.23 Lọc truy cập web và 8.28 Lập trình an toàn.

ISO 27001 và nghĩa vụ pháp luật Việt Nam về an toàn thông tin

Áp dụng ISO/IEC 27001 là tự nguyện; pháp luật Việt Nam hiện không có quy định chung bắt buộc doanh nghiệp phải có chứng chỉ này. Nhưng doanh nghiệp vận hành hệ thống thông tin và xử lý dữ liệu cá nhân có những nghĩa vụ bắt buộc riêng. Một hệ thống ISO được xây dựng tốt là công cụ thuận tiện nhất để thực hiện các nghĩa vụ đó, với điều kiện danh mục yêu cầu pháp luật (biện pháp A.5.31) ghi đúng văn bản hiện hành.

Văn bản pháp luật hiện hành cần đưa vào danh mục

• Luật An ninh mạng số 116/2025/QH15, có hiệu lực từ ngày 01/7/2026. Theo khoản 2 Điều 44, Luật này thay thế cả Luật An toàn thông tin mạng 2015 và Luật An ninh mạng 2018. Tài liệu ISO nào còn trích dẫn Luật An toàn thông tin mạng 2015 cần cập nhật.
• Nghị định 331/2026/NĐ-CP về bảo vệ an ninh mạng đối với hệ thống thông tin, có hiệu lực từ ngày 19/8/2026: tiêu chí xác định cấp độ, hồ sơ và thẩm quyền phê duyệt cấp độ, biện pháp bảo vệ theo từng cấp độ. Quy định về cấp độ theo Nghị định 85/2016/NĐ-CP trước đây không còn là căn cứ cho hệ thống mới.
• Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, có hiệu lực từ ngày 01/01/2026, và Nghị định 356/2025/NĐ-CP hướng dẫn, cùng hiệu lực từ ngày 01/01/2026, thay Nghị định 13/2023/NĐ-CP.
• Tiêu chuẩn quốc gia: TCVN ISO/IEC 27001:2019 vẫn còn hiệu lực nhưng tương đương bản quốc tế 2013; hiện chưa có tiêu chuẩn quốc gia chấp nhận bản 2022, nên doanh nghiệp xin chứng nhận theo bản quốc tế ISO/IEC 27001:2022. TCVN 11930:2017 về yêu cầu cơ bản theo cấp độ đã bị thay bằng TCVN 14423:2026 An ninh mạng, hệ thống thông tin, yêu cầu cơ bản.
• Văn bản chuyên ngành nếu có, ví dụ Thông tư 09/2020/TT-NHNN về an toàn hệ thống thông tin trong hoạt động ngân hàng, Nghị định 52/2024/NĐ-CP về thanh toán không dùng tiền mặt với tổ chức trung gian thanh toán.

Phân loại cấp độ hệ thống thông tin

Theo Điều 8 Luật An ninh mạng 2025, hệ thống thông tin được phân thành 5 cấp độ theo mức độ tổn hại khi bị sự cố. Xác định cấp độ là nhiệm vụ của mọi chủ quản hệ thống thông tin (điểm a khoản 1 Điều 10), không phải chỉ của cơ quan nhà nước. Tiêu chí tại Nghị định 331/2026/NĐ-CP mà doanh nghiệp thường gặp:

Cấp độ	Tiêu chí thường gặp với doanh nghiệp	Ai thẩm định, phê duyệt hồ sơ đề xuất cấp độ
Cấp độ 1	Hệ thống phục vụ nội bộ và chỉ xử lý thông tin công cộng (Điều 11)	Đơn vị chuyên trách về an ninh mạng của chủ quản thẩm định và phê duyệt (khoản 1 Điều 18)
Cấp độ 2	Hệ thống nội bộ có xử lý thông tin cá nhân; dịch vụ trực tuyến không thuộc ngành nghề kinh doanh có điều kiện; dịch vụ trực tuyến xử lý dữ liệu cá nhân của dưới 100.000 người (dữ liệu cơ bản) hoặc dưới 10.000 người (dữ liệu nhạy cảm) (Điều 12)	Như cấp độ 1
Cấp độ 3	Dịch vụ trực tuyến thuộc ngành nghề kinh doanh có điều kiện; dịch vụ trực tuyến xử lý dữ liệu cá nhân của từ 100.000 người (dữ liệu cơ bản) hoặc từ 10.000 người (dữ liệu nhạy cảm) trở lên (Điều 13)	Đơn vị chuyên trách thẩm định, chủ quản hệ thống phê duyệt (khoản 2 Điều 18)
Cấp độ 4 và 5	Hệ thống có thể gây tổn hại đặc biệt nghiêm trọng tới lợi ích công cộng, trật tự an toàn xã hội hoặc an ninh quốc gia	Bộ Công an chủ trì thẩm định; cấp độ 5 do Thủ tướng Chính phủ phê duyệt danh mục (khoản 3 Điều 18)

Chủ quản hệ thống cấp độ 3 và 4 phải áp dụng bắt buộc nhiều biện pháp như ban hành quy định bảo đảm an ninh mạng trong toàn bộ vòng đời hệ thống, sao lưu, kiểm tra tuân thủ, giám sát và ứng phó sự cố (khoản 4 Điều 10 Luật An ninh mạng 2025). Đây chính là các nội dung mà quy trình QT-05, QT-08, QT-12, QT-13 trong bộ tài liệu ISO đã bao trùm. Hệ thống đã được xác định cấp độ theo luật cũ giữ nguyên cấp độ nhưng phải đáp ứng yêu cầu mới trong 12 tháng kể từ ngày 01/7/2026, tức trước ngày 01/7/2027 (khoản 1 Điều 45).

Ngoài ra, chủ quản hệ thống thông tin có trách nhiệm báo cáo sự cố an ninh mạng với cơ quan chuyên trách của Bộ Công an hoặc Bộ Quốc phòng (điểm c khoản 1 Điều 40); doanh nghiệp cung cấp dịch vụ trên không gian mạng phải có phương án ứng cứu khẩn cấp và báo cáo ngay khi xảy ra sự cố (Điều 41). Quy trình QT-12 cần ghi rõ đầu mối và thời hạn báo cáo này.

Nghĩa vụ bảo vệ dữ liệu cá nhân cần lồng vào hệ thống

• Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân: lập, lưu và gửi 01 bản chính cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong 60 ngày kể từ ngày đầu tiên xử lý (khoản 1 Điều 21 Luật Bảo vệ dữ liệu cá nhân).
• Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới: lập và gửi trong 60 ngày kể từ ngày đầu tiên chuyển (khoản 2 Điều 20). Doanh nghiệp dùng dịch vụ đám mây đặt máy chủ ở nước ngoài cần kiểm tra mình có thuộc diện phải lập hay thuộc trường hợp miễn tại khoản 6 Điều 20.
• Thông báo vi phạm: khi phát hiện vi phạm có thể gây tổn hại, phải thông báo cho cơ quan chuyên trách chậm nhất 72 giờ kể từ khi phát hiện (khoản 1 Điều 23). Quy trình quản lý sự cố phải có bước đánh giá sự cố có liên quan dữ liệu cá nhân không và mốc 72 giờ.
• Mức phạt tối đa đối với tổ chức (Điều 8): 5% doanh thu năm trước liền kề với vi phạm về chuyển dữ liệu xuyên biên giới; 03 tỷ đồng với các vi phạm khác; 10 lần khoản thu với hành vi mua bán dữ liệu cá nhân. Cá nhân vi phạm chịu tối đa một nửa mức của tổ chức.
• Doanh nghiệp nhỏ, khởi nghiệp được lựa chọn chưa thực hiện Điều 21, Điều 22 và khoản 2 Điều 33 trong 05 năm từ ngày 01/01/2026; hộ kinh doanh và doanh nghiệp siêu nhỏ không phải thực hiện. Ngoại lệ này không áp dụng nếu doanh nghiệp kinh doanh dịch vụ xử lý dữ liệu cá nhân, trực tiếp xử lý dữ liệu cá nhân nhạy cảm hoặc xử lý dữ liệu của từ 100.000 người trở lên (Điều 41 Nghị định 356/2025/NĐ-CP).

Biện pháp A.5.34 của ISO/IEC 27001 yêu cầu xác định và đáp ứng yêu cầu về quyền riêng tư theo pháp luật. Vì vậy, khi chuyên gia đánh giá hỏi về A.5.34 tại Việt Nam, bằng chứng tốt nhất là các hồ sơ đánh giá tác động nêu trên, thông báo xử lý dữ liệu cho khách hàng và nhân viên, cùng quy trình đáp ứng yêu cầu của chủ thể dữ liệu.

Bảng đối chiếu tài liệu ISO với nghĩa vụ pháp luật

Nghĩa vụ pháp luật	Tài liệu ISO dùng để thực hiện
Xác định cấp độ hệ thống thông tin (Điều 10 Luật An ninh mạng 2025)	CS-02 phạm vi, QT-04 danh mục tài sản, kèm hồ sơ đề xuất cấp độ theo Nghị định 331/2026/NĐ-CP
Đánh giá và quản lý rủi ro an ninh mạng (điểm b khoản 1 Điều 10)	QT-03, sổ đăng ký rủi ro, kế hoạch xử lý rủi ro
Ban hành quy định an ninh mạng trong vòng đời hệ thống, sao lưu, giám sát (khoản 2 Điều 10)	QT-08, QT-09, QT-10, QT-13
Báo cáo sự cố an ninh mạng (Điều 40, Điều 41)	QT-12
Tuyên truyền, nâng cao nhận thức (điểm e khoản 1 Điều 10)	QT-18
Đánh giá tác động xử lý dữ liệu cá nhân, chuyển dữ liệu xuyên biên giới (Điều 20, 21 Luật Bảo vệ dữ liệu cá nhân)	QT-14, QT-11 với nhà cung cấp đám mây
Thông báo vi phạm dữ liệu cá nhân trong 72 giờ (Điều 23)	QT-12
Bảo vệ bí mật kinh doanh, nghĩa vụ bảo mật của người lao động	QT-06, thỏa thuận bảo mật

Cấu trúc bộ tài liệu ISMS nên xây dựng

ISO/IEC 27001 không quy định hình thức tài liệu. Tài liệu có thể là văn bản Word, trang wiki nội bộ, quy trình trên phần mềm quản lý công việc hay video hướng dẫn, miễn là được kiểm soát phiên bản, phê duyệt và truy cập được khi cần. Cách tổ chức thông dụng nhất là chia 4 tầng:

Tầng	Loại tài liệu	Ví dụ	Người phê duyệt thường gặp
Tầng 1	Chính sách, phạm vi, mục tiêu	Chính sách an toàn thông tin, tài liệu phạm vi hệ thống, mục tiêu an toàn thông tin năm	Tổng giám đốc hoặc Hội đồng quản trị
Tầng 2	Quy trình	Quy trình đánh giá rủi ro, quy trình kiểm soát truy cập, quy trình quản lý sự cố	Đại diện lãnh đạo về an toàn thông tin
Tầng 3	Hướng dẫn công việc, quy định kỹ thuật	Hướng dẫn cấu hình tường lửa, hướng dẫn sao lưu máy chủ, quy định đặt mật khẩu	Trưởng bộ phận công nghệ thông tin
Tầng 4	Biểu mẫu và hồ sơ	Phiếu yêu cầu cấp quyền, nhật ký sao lưu, biên bản đánh giá nội bộ	Không cần phê duyệt biểu mẫu trống; hồ sơ được ký theo từng lần phát sinh

Nên thống nhất một quy tắc đánh mã ngay từ đầu, ví dụ: CS cho chính sách, QT cho quy trình, HD cho hướng dẫn, BM cho biểu mẫu, kèm số thứ tự và phiên bản (QT-03, phiên bản 1.0). Mỗi tài liệu cần có trang đầu ghi mã, tên, phiên bản, ngày hiệu lực, người soạn, người kiểm tra, người phê duyệt và bảng theo dõi sửa đổi.

Hai khái niệm cần phân biệt rõ khi đọc tiêu chuẩn:

• Duy trì thông tin dạng văn bản nghĩa là tài liệu hướng dẫn phải có và được cập nhật, ví dụ chính sách, phạm vi, quy trình.
• Lưu giữ thông tin dạng văn bản nghĩa là hồ sơ làm bằng chứng phải được giữ lại, ví dụ kết quả đánh giá rủi ro, biên bản đánh giá nội bộ, hồ sơ đào tạo. Hồ sơ không được sửa sau khi đã lập; nếu sai thì lập hồ sơ mới hoặc ghi nhận điều chỉnh có ký xác nhận.

Danh mục thông tin dạng văn bản bắt buộc theo điều 4 đến điều 10

Đây là phần chuyên gia đánh giá kiểm tra đầu tiên ở giai đoạn 1. Thiếu bất kỳ mục nào trong bảng dưới đây là điểm không phù hợp.

Điều khoản	Thông tin dạng văn bản	Loại	Tài liệu mẫu tương ứng
4.3	Phạm vi của hệ thống quản lý an toàn thông tin	Tài liệu	Tài liệu phạm vi (CS-02)
5.2	Chính sách an toàn thông tin	Tài liệu	Chính sách an toàn thông tin (CS-01)
6.1.2	Quá trình đánh giá rủi ro an toàn thông tin, gồm tiêu chí chấp nhận rủi ro và tiêu chí thực hiện đánh giá	Tài liệu	Quy trình đánh giá và xử lý rủi ro (QT-03)
6.1.3	Quá trình xử lý rủi ro an toàn thông tin	Tài liệu	Quy trình đánh giá và xử lý rủi ro (QT-03)
6.1.3 điểm d	Tuyên bố áp dụng	Tài liệu	Tuyên bố áp dụng (CS-04)
6.1.3 điểm e	Kế hoạch xử lý rủi ro, có phê duyệt của chủ sở hữu rủi ro	Tài liệu	Kế hoạch xử lý rủi ro (BM-03.3)
6.2	Mục tiêu an toàn thông tin	Tài liệu	Mục tiêu và kế hoạch thực hiện (CS-03)
7.2 điểm d	Bằng chứng về năng lực của nhân sự	Hồ sơ	Hồ sơ đào tạo, bằng cấp, chứng chỉ (BM-18.x)
7.5.1 điểm b	Thông tin dạng văn bản mà tổ chức xác định là cần thiết cho hiệu lực của hệ thống	Tài liệu	Các quy trình, hướng dẫn do doanh nghiệp tự xác định
8.1	Thông tin đủ để tin tưởng rằng các quá trình được thực hiện như hoạch định	Hồ sơ	Hồ sơ vận hành của từng quy trình
8.2	Kết quả đánh giá rủi ro an toàn thông tin	Hồ sơ	Sổ đăng ký rủi ro (BM-03.2)
8.3	Kết quả xử lý rủi ro an toàn thông tin	Hồ sơ	Báo cáo thực hiện kế hoạch xử lý rủi ro
9.1	Bằng chứng về kết quả theo dõi, đo lường	Hồ sơ	Báo cáo chỉ số an toàn thông tin định kỳ
9.2.2	Bằng chứng về việc thực hiện chương trình đánh giá nội bộ và kết quả đánh giá	Hồ sơ	Chương trình, kế hoạch, báo cáo đánh giá nội bộ (BM-15.x)
9.3.3	Bằng chứng về kết quả xem xét của lãnh đạo	Hồ sơ	Biên bản họp xem xét của lãnh đạo (BM-16.2)
10.2	Bản chất sự không phù hợp, hành động đã thực hiện và kết quả của hành động khắc phục	Hồ sơ	Phiếu yêu cầu hành động khắc phục (BM-17.1)

Những nội dung tiêu chuẩn yêu cầu phải làm nhưng không bắt buộc lập văn bản gồm: phân tích bối cảnh (4.1), bên quan tâm (4.2), các quá trình của hệ thống (4.4), vai trò và trách nhiệm (5.3), hoạch định thay đổi (6.3), truyền thông (7.4). Trên thực tế, chuyên gia đánh giá vẫn cần bằng chứng doanh nghiệp đã thực hiện các việc này, nên cách an toàn là lập thành văn bản ngắn gọn.

Tài liệu bắt buộc theo Phụ lục A khi biện pháp được áp dụng

Một số biện pháp kiểm soát trong Phụ lục A dùng chính từ "lập thành văn bản" hoặc yêu cầu một danh mục, quy tắc cụ thể. Nếu doanh nghiệp chọn áp dụng biện pháp đó, tài liệu tương ứng trở thành bắt buộc:

Biện pháp	Tài liệu cần có
5.1 Chính sách an toàn thông tin	Chính sách chung và các chính sách theo chủ đề, được phê duyệt, công bố, thông báo và xem xét định kỳ
5.2 Vai trò và trách nhiệm	Bảng phân công vai trò, trách nhiệm an toàn thông tin
5.9 Danh mục thông tin và tài sản	Danh mục tài sản có chủ sở hữu
5.10 Sử dụng chấp nhận được	Quy định sử dụng thông tin và tài sản
5.15 Kiểm soát truy cập	Quy tắc kiểm soát truy cập vật lý và logic
5.24 Hoạch định quản lý sự cố	Quy trình, vai trò và trách nhiệm quản lý sự cố
5.31 Yêu cầu pháp lý, quy định và hợp đồng	Danh mục yêu cầu pháp luật và hợp đồng, được cập nhật
5.37 Quy trình vận hành được lập thành văn bản	Quy trình vận hành cho các phương tiện xử lý thông tin
6.2 Điều khoản tuyển dụng	Hợp đồng lao động, thỏa thuận có điều khoản trách nhiệm an toàn thông tin
6.6 Thỏa thuận bảo mật	Mẫu thỏa thuận bảo mật, được xem xét định kỳ và ký bởi nhân sự, bên liên quan
8.24 Sử dụng mật mã	Quy tắc sử dụng mật mã và quản lý khóa
8.32 Quản lý thay đổi	Quy trình quản lý thay đổi

Ngoài ra, các biện pháp như 5.12 Phân loại thông tin, 5.19 Quan hệ với nhà cung cấp, 5.23 Dịch vụ đám mây, 5.30 Sẵn sàng cho hoạt động liên tục, 8.13 Sao lưu, 8.15 Ghi nhật ký, 8.25 Vòng đời phát triển an toàn, nếu được áp dụng thì gần như luôn cần một quy định hoặc quy trình bằng văn bản để chuyên gia đánh giá có căn cứ kiểm tra.

Danh mục bộ tài liệu mẫu đề xuất

Danh mục dưới đây phù hợp với doanh nghiệp vừa và nhỏ có hệ thống công nghệ thông tin, phần mềm hoặc dịch vụ trực tuyến. Doanh nghiệp quy mô nhỏ có thể gộp một số quy trình; doanh nghiệp lớn có thể tách thêm. Điều quan trọng là mỗi yêu cầu của tiêu chuẩn và mỗi biện pháp đã chọn đều có chỗ được giải quyết trong tài liệu.

Mã	Tên tài liệu	Điều khoản và biện pháp liên quan
CS-01	Chính sách an toàn thông tin	5.1, 5.2; A.5.1
CS-02	Bối cảnh, bên quan tâm và phạm vi hệ thống	4.1, 4.2, 4.3, 4.4
CS-03	Mục tiêu an toàn thông tin và kế hoạch thực hiện	6.2
CS-04	Tuyên bố áp dụng	6.1.3 điểm d
CS-05	Sơ đồ tổ chức và bảng phân công vai trò an toàn thông tin	5.3; A.5.2, A.5.3, A.5.4
CS-06	Bộ chính sách theo chủ đề (sử dụng tài sản, mật khẩu, làm việc từ xa, thiết bị cá nhân, bàn làm việc sạch, mật mã)	A.5.10, A.5.17, A.6.7, A.7.7, A.8.1, A.8.24
QT-01	Kiểm soát thông tin dạng văn bản	7.5
QT-02	Hoạch định thay đổi hệ thống	6.3
QT-03	Đánh giá và xử lý rủi ro an toàn thông tin	6.1, 8.2, 8.3
QT-04	Quản lý tài sản và phân loại thông tin	A.5.9 đến A.5.14, A.7.10, A.7.14, A.8.10
QT-05	Kiểm soát truy cập và quản lý định danh	A.5.15 đến A.5.18, A.8.2 đến A.8.5
QT-06	An toàn thông tin trong quản lý nhân sự	A.6.1 đến A.6.6
QT-07	An ninh vật lý và môi trường	A.7.1 đến A.7.14
QT-08	Quản lý vận hành hệ thống công nghệ thông tin	A.5.37, A.8.6 đến A.8.23
QT-09	Quản lý thay đổi và cấu hình	A.8.9, A.8.32
QT-10	Phát triển và mua sắm hệ thống an toàn	A.5.8, A.8.25 đến A.8.31, A.8.33
QT-11	Quản lý nhà cung cấp và dịch vụ đám mây	A.5.19 đến A.5.23
QT-12	Quản lý sự cố an toàn thông tin	A.5.24 đến A.5.28, A.6.8
QT-13	Bảo đảm hoạt động liên tục	A.5.29, A.5.30, A.8.14
QT-14	Tuân thủ pháp luật và bảo vệ dữ liệu cá nhân	A.5.31 đến A.5.34, A.5.36
QT-15	Đánh giá nội bộ	9.2; A.5.35
QT-16	Theo dõi, đo lường và xem xét của lãnh đạo	9.1, 9.3
QT-17	Sự không phù hợp, hành động khắc phục và cải tiến	10.1, 10.2
QT-18	Năng lực, đào tạo, nhận thức và truyền thông	7.2, 7.3, 7.4; A.6.3

Nội dung chi tiết 18 quy trình mẫu

Mỗi quy trình nên viết theo khung thống nhất: mục đích, phạm vi áp dụng, tài liệu viện dẫn, định nghĩa, trách nhiệm, nội dung các bước, hồ sơ đầu ra và thời gian lưu. Phần dưới đây tóm tắt nội dung cốt lõi của từng quy trình để doanh nghiệp điền theo thực tế của mình.

QT-01 Kiểm soát thông tin dạng văn bản

Mục đích là bảo đảm tài liệu luôn đúng phiên bản, được phê duyệt trước khi ban hành và hồ sơ được lưu giữ đủ thời gian, không bị mất hay sửa đổi trái phép.

• Quy định cách đặt mã, định dạng trang đầu, cấp phê duyệt cho từng tầng tài liệu.
• Quy định cách ban hành và thu hồi: nơi đăng tài liệu hiện hành, cách thông báo cho người liên quan, cách đánh dấu tài liệu lỗi thời nếu cần giữ lại.
• Xem xét định kỳ tất cả tài liệu ít nhất mỗi năm một lần hoặc khi có thay đổi lớn về tổ chức, công nghệ, pháp luật.
• Kiểm soát tài liệu bên ngoài như văn bản pháp luật, tiêu chuẩn, hợp đồng với khách hàng.
• Bảng thời gian lưu hồ sơ, nơi lưu, người được truy cập, cách tiêu hủy khi hết hạn.

Hồ sơ đầu ra: danh mục tài liệu hiện hành (BM-01.1), danh mục tài liệu bên ngoài (BM-01.2), danh mục hồ sơ và thời gian lưu (BM-01.3), phiếu đề nghị ban hành, sửa đổi tài liệu (BM-01.4).

QT-02 Hoạch định thay đổi hệ thống

Điều 6.3 là yêu cầu mới của bản 2022. Khi doanh nghiệp thay đổi phạm vi chứng nhận, cơ cấu tổ chức, chuyển hạ tầng lên đám mây hay sáp nhập bộ phận, thay đổi đó phải được hoạch định trước, không làm sau rồi mới cập nhật tài liệu.

• Nhận diện thay đổi ảnh hưởng đến hệ thống quản lý an toàn thông tin.
• Đánh giá mục đích, hệ quả tiềm ẩn, nguồn lực cần thiết, phân công trách nhiệm.
• Đánh giá lại rủi ro và cập nhật Tuyên bố áp dụng nếu cần.
• Phê duyệt, thực hiện, kiểm tra kết quả sau thay đổi.

Hồ sơ đầu ra: phiếu hoạch định thay đổi hệ thống (BM-02.1). Cần phân biệt với QT-09 là thay đổi kỹ thuật trên hệ thống công nghệ thông tin.

QT-03 Đánh giá và xử lý rủi ro an toàn thông tin

Đây là quy trình quan trọng nhất của cả hệ thống, vì toàn bộ việc chọn biện pháp kiểm soát phải xuất phát từ kết quả đánh giá rủi ro. Tiêu chuẩn yêu cầu quá trình đánh giá rủi ro phải cho kết quả nhất quán, có giá trị và so sánh được khi lặp lại (điều 6.1.2 điểm b), nên phương pháp phải được viết đủ rõ để hai người khác nhau đánh giá cùng một rủi ro cho ra kết quả gần nhau.

Các bước chính:

• Bước 1, xác định phạm vi đánh giá: dựa trên danh mục tài sản và các quá trình nằm trong phạm vi hệ thống.
• Bước 2, nhận diện rủi ro: rủi ro làm mất tính bảo mật, tính toàn vẹn hoặc tính sẵn sàng của thông tin. Có thể nhận diện theo tài sản (tài sản, mối đe dọa, điểm yếu) hoặc theo kịch bản sự kiện. Bản 2022 không bắt buộc phương pháp dựa trên tài sản.
• Bước 3, xác định chủ sở hữu rủi ro: người có trách nhiệm và thẩm quyền quản lý rủi ro, thường là trưởng bộ phận sở hữu quá trình hoặc tài sản.
• Bước 4, phân tích rủi ro: đánh giá khả năng xảy ra và mức độ tác động, tính mức rủi ro.
• Bước 5, đánh giá rủi ro: so sánh với tiêu chí chấp nhận rủi ro và xếp thứ tự ưu tiên xử lý.
• Bước 6, chọn phương án xử lý: giảm thiểu bằng biện pháp kiểm soát, né tránh bằng cách dừng hoạt động gây rủi ro, chia sẻ qua bảo hiểm hoặc thuê ngoài, hoặc chấp nhận.
• Bước 7, xác định biện pháp kiểm soát cần thiết và so sánh với Phụ lục A để bảo đảm không bỏ sót biện pháp cần thiết.
• Bước 8, lập Tuyên bố áp dụng và kế hoạch xử lý rủi ro, trình chủ sở hữu rủi ro phê duyệt kế hoạch và chấp nhận rủi ro còn lại.
• Bước 9, đánh giá lại theo kỳ hạn (ví dụ mỗi năm một lần) và khi có thay đổi đáng kể hoặc sau sự cố nghiêm trọng.

Ví dụ thang điểm có thể đưa vào quy trình:

Điểm	Khả năng xảy ra	Mức độ tác động
1	Hiếm, chưa từng xảy ra trong 5 năm	Không đáng kể, không ảnh hưởng khách hàng
2	Có thể xảy ra trong 2 đến 5 năm	Gián đoạn nội bộ dưới 4 giờ, thiệt hại nhỏ
3	Có thể xảy ra trong 1 năm	Gián đoạn dịch vụ khách hàng dưới 1 ngày làm việc, lộ thông tin nội bộ
4	Có thể xảy ra nhiều lần trong năm	Gián đoạn trên 1 ngày, lộ dữ liệu khách hàng, vi phạm hợp đồng
5	Gần như chắc chắn, xảy ra hằng tháng	Lộ dữ liệu cá nhân quy mô lớn, bị xử phạt, mất khách hàng lớn

Mức rủi ro bằng điểm khả năng nhân điểm tác động, từ 1 đến 25 điểm. Ví dụ tiêu chí: từ 1 đến 6 điểm là thấp, được chấp nhận; từ 8 đến 12 điểm là trung bình, phải có biện pháp trong 6 tháng; từ 15 đến 25 điểm là cao, phải xử lý ngay và báo cáo lãnh đạo. Doanh nghiệp tự quyết định thang điểm và ngưỡng chấp nhận, nhưng phải ghi rõ trong quy trình và được lãnh đạo phê duyệt.

Hồ sơ đầu ra: danh mục tài sản (dùng chung với QT-04), sổ đăng ký rủi ro (BM-03.2), kế hoạch xử lý rủi ro (BM-03.3), Tuyên bố áp dụng (CS-04), biên bản chấp nhận rủi ro còn lại (BM-03.4), báo cáo đánh giá rủi ro định kỳ.

QT-04 Quản lý tài sản và phân loại thông tin

• Lập danh mục thông tin và tài sản liên quan: dữ liệu, phần mềm, máy chủ, máy tính, thiết bị mạng, dịch vụ đám mây, con người giữ vai trò then chốt. Mỗi tài sản có chủ sở hữu.
• Phân loại thông tin theo mức độ nhạy cảm, ví dụ 4 mức: công khai, nội bộ, bảo mật, tuyệt mật; quy định cách gắn nhãn, lưu trữ, trao đổi, in ấn cho từng mức.
• Quy định sử dụng tài sản chấp nhận được và trả lại tài sản khi nghỉ việc.
• Quy định truyền đưa thông tin qua thư điện tử, ứng dụng nhắn tin, thiết bị lưu trữ di động.
• Quản lý phương tiện lưu trữ, xóa thông tin và tiêu hủy thiết bị an toàn để dữ liệu không thể khôi phục.

Hồ sơ đầu ra: danh mục tài sản (BM-04.1), biên bản bàn giao, thu hồi tài sản (BM-04.2), biên bản xóa dữ liệu và tiêu hủy thiết bị (BM-04.3).

QT-05 Kiểm soát truy cập và quản lý định danh

• Nguyên tắc cấp quyền tối thiểu và cần biết; mỗi người dùng một tài khoản định danh riêng, hạn chế tài khoản dùng chung.
• Quy trình cấp, thay đổi, thu hồi quyền khi tuyển dụng, chuyển vị trí, nghỉ việc, có phê duyệt của chủ sở hữu hệ thống.
• Quản lý quyền đặc quyền như quản trị máy chủ, cơ sở dữ liệu: cấp riêng, ghi nhật ký, xem xét thường xuyên hơn.
• Quy định mật khẩu và xác thực đa yếu tố cho truy cập từ xa, hệ thống quan trọng, tài khoản quản trị.
• Rà soát quyền truy cập định kỳ, ví dụ mỗi quý với quyền đặc quyền và mỗi 6 tháng với quyền thông thường.
• Kiểm soát truy cập mã nguồn.

Hồ sơ đầu ra: phiếu yêu cầu cấp, thu hồi quyền (BM-05.1), danh sách tài khoản đặc quyền (BM-05.2), biên bản rà soát quyền truy cập (BM-05.3).

QT-06 An toàn thông tin trong quản lý nhân sự

• Trước khi tuyển dụng: thẩm tra lý lịch phù hợp với vị trí và pháp luật; hợp đồng lao động có điều khoản về trách nhiệm an toàn thông tin.
• Trong quá trình làm việc: đào tạo nhận thức; quy trình kỷ luật đối với vi phạm an toàn thông tin được thông báo trước.
• Khi nghỉ việc hoặc chuyển vị trí: thu hồi tài sản, khóa tài khoản trong thời hạn quy định, nhắc lại nghĩa vụ bảo mật còn hiệu lực sau khi nghỉ.
• Thỏa thuận bảo mật ký với nhân sự, cộng tác viên, đối tác tiếp cận thông tin.

Hồ sơ đầu ra: cam kết bảo mật đã ký (BM-06.1), danh mục kiểm tra khi nhận việc và nghỉ việc (BM-06.2), hồ sơ xử lý kỷ luật nếu có.

Lưu ý pháp lý: thẩm tra lý lịch và theo dõi nhân viên liên quan đến dữ liệu cá nhân của người lao động, phải có căn cứ xử lý hợp pháp và thông báo rõ mục đích. Điều khoản bảo mật, cấm tiết lộ bí mật kinh doanh trong hợp đồng lao động cần soạn phù hợp Bộ luật Lao động để có thể áp dụng khi phát sinh tranh chấp.

QT-07 An ninh vật lý và môi trường

• Xác định vành đai an ninh và khu vực an toàn như phòng máy chủ, phòng lưu hồ sơ.
• Kiểm soát ra vào bằng thẻ từ hoặc vân tay, sổ đăng ký khách, giám sát bằng camera.
• Phòng chống cháy nổ, ngập nước, mất điện; điều hòa, bộ lưu điện, máy phát điện cho phòng máy chủ.
• Quy định bàn làm việc sạch, khóa màn hình khi rời chỗ.
• Bảo vệ thiết bị mang ra ngoài trụ sở, bảo trì thiết bị theo lịch.

Hồ sơ đầu ra: sổ ra vào khu vực an toàn (BM-07.1), nhật ký kiểm tra phòng máy chủ (BM-07.2), hồ sơ bảo trì thiết bị (BM-07.3). Doanh nghiệp dùng hoàn toàn dịch vụ đám mây vẫn phải có biện pháp vật lý cho văn phòng và thiết bị đầu cuối; phần trung tâm dữ liệu dựa vào chứng nhận của nhà cung cấp đám mây và được quản lý qua QT-11.

QT-08 Quản lý vận hành hệ thống công nghệ thông tin

Quy trình này gom các biện pháp kỹ thuật hằng ngày. Doanh nghiệp lớn nên tách thành các hướng dẫn riêng.

• Sao lưu: dữ liệu nào, tần suất, nơi lưu bản sao cách ly, thời gian giữ, kiểm tra khôi phục định kỳ. Thường áp dụng nguyên tắc ít nhất 3 bản, trên 2 loại phương tiện, 1 bản ở ngoài trụ sở.
• Phòng chống phần mềm độc hại: phần mềm diệt virus tập trung, cập nhật mẫu nhận diện, chặn thiết bị lưu trữ di động nếu cần.
• Quản lý lỗ hổng kỹ thuật: theo dõi bản tin bảo mật, quét lỗ hổng định kỳ, thời hạn vá theo mức độ nghiêm trọng (ví dụ lỗ hổng nghiêm trọng vá trong 7 ngày).
• Ghi nhật ký và giám sát: hệ thống nào phải ghi nhật ký, thời gian lưu nhật ký, bảo vệ nhật ký khỏi bị sửa, đồng bộ thời gian, cảnh báo hành vi bất thường.
• An toàn mạng: tường lửa, phân tách mạng khách, mạng nội bộ, vùng máy chủ; lọc truy cập web.
• Ngăn ngừa rò rỉ dữ liệu, che giấu dữ liệu: giới hạn tải lên, chia sẻ ra ngoài; che dữ liệu cá nhân trong môi trường kiểm thử.
• Quản lý năng lực hệ thống, cài đặt phần mềm, sử dụng chương trình tiện ích đặc quyền.

Hồ sơ đầu ra: nhật ký sao lưu và kết quả thử khôi phục (BM-08.1), báo cáo quét lỗ hổng và theo dõi vá (BM-08.2), báo cáo giám sát nhật ký (BM-08.3), danh mục phần mềm được phép cài đặt (BM-08.4).

QT-09 Quản lý thay đổi và cấu hình

• Phân loại thay đổi: thay đổi tiêu chuẩn đã được phê duyệt sẵn, thay đổi thông thường, thay đổi khẩn cấp.
• Mỗi thay đổi có yêu cầu, đánh giá ảnh hưởng an toàn thông tin, kế hoạch quay lui, phê duyệt, kiểm thử, triển khai, xác nhận sau triển khai.
• Duy trì cấu hình chuẩn an toàn cho máy chủ, thiết bị mạng, máy trạm; phát hiện cấu hình bị thay đổi trái phép.

Hồ sơ đầu ra: phiếu yêu cầu thay đổi (BM-09.1), sổ theo dõi thay đổi (BM-09.2), bộ cấu hình chuẩn (HD-09.1).

QT-10 Phát triển và mua sắm hệ thống an toàn

• Đưa yêu cầu an toàn thông tin vào từ giai đoạn lập dự án và đặc tả yêu cầu.
• Nguyên tắc kiến trúc an toàn và lập trình an toàn, ví dụ tham chiếu danh sách lỗ hổng phổ biến của OWASP.
• Rà soát mã nguồn, kiểm thử an toàn trước khi nghiệm thu, kiểm thử xâm nhập với hệ thống quan trọng.
• Tách biệt môi trường phát triển, kiểm thử, vận hành; không dùng dữ liệu thật chưa che giấu để kiểm thử.
• Kiểm soát phát triển thuê ngoài bằng hợp đồng và kiểm tra kết quả bàn giao.

Hồ sơ đầu ra: đặc tả yêu cầu an toàn (BM-10.1), báo cáo rà soát mã nguồn và kiểm thử an toàn (BM-10.2), biên bản nghiệm thu có nội dung an toàn thông tin.

QT-11 Quản lý nhà cung cấp và dịch vụ đám mây

• Lập danh sách nhà cung cấp có tiếp cận thông tin hoặc hệ thống, phân loại theo mức độ quan trọng.
• Đánh giá nhà cung cấp trước khi ký: chứng nhận ISO/IEC 27001, báo cáo kiểm toán độc lập, nơi lưu trữ dữ liệu.
• Hợp đồng có điều khoản bảo mật, quyền kiểm tra, thông báo sự cố, trả lại và xóa dữ liệu khi chấm dứt, xử lý dữ liệu cá nhân thay mặt doanh nghiệp.
• Với dịch vụ đám mây: xác định rõ phần trách nhiệm của nhà cung cấp và của doanh nghiệp, cấu hình an toàn, kế hoạch thoát khỏi dịch vụ.
• Đánh giá lại nhà cung cấp quan trọng hằng năm.

Hồ sơ đầu ra: danh sách nhà cung cấp (BM-11.1), phiếu đánh giá nhà cung cấp (BM-11.2), hợp đồng và phụ lục bảo mật đã ký.

QT-12 Quản lý sự cố an toàn thông tin

• Kênh báo cáo sự kiện an toàn thông tin cho mọi nhân viên (thư điện tử, số điện thoại, biểu mẫu) và nghĩa vụ báo cáo ngay khi phát hiện.
• Tiêu chí phân biệt sự kiện và sự cố; phân loại mức độ nghiêm trọng.
• Các bước ứng phó: ngăn chặn, loại bỏ nguyên nhân, khôi phục, thông báo cho bên liên quan.
• Thu thập và bảo quản chứng cứ điện tử để có thể dùng trong xử lý kỷ luật, khiếu nại hoặc tố tụng.
• Rút kinh nghiệm sau sự cố, cập nhật đánh giá rủi ro.
• Thông báo cho cơ quan nhà nước, khách hàng và chủ thể dữ liệu trong thời hạn pháp luật quy định khi sự cố liên quan đến dữ liệu cá nhân hoặc hệ thống thông tin thuộc diện quản lý.

Hồ sơ đầu ra: phiếu báo cáo sự kiện (BM-12.1), sổ theo dõi sự cố (BM-12.2), báo cáo xử lý và rút kinh nghiệm (BM-12.3), biên bản thu thập chứng cứ (BM-12.4).

QT-13 Bảo đảm hoạt động liên tục

• Phân tích tác động kinh doanh: xác định dịch vụ quan trọng, thời gian gián đoạn tối đa chấp nhận được và lượng dữ liệu tối đa có thể mất.
• Kế hoạch khôi phục cho từng kịch bản: mất trung tâm dữ liệu, mã độc tống tiền, mất nhà cung cấp đám mây, mất nhân sự then chốt.
• Duy trì mức an toàn thông tin ngay cả khi đang gián đoạn.
• Diễn tập ít nhất mỗi năm một lần và cập nhật kế hoạch theo kết quả.

Hồ sơ đầu ra: báo cáo phân tích tác động (BM-13.1), kế hoạch hoạt động liên tục (BM-13.2), biên bản diễn tập (BM-13.3).

QT-14 Tuân thủ pháp luật và bảo vệ dữ liệu cá nhân

• Lập và cập nhật danh mục yêu cầu pháp luật, quy định ngành và hợp đồng liên quan đến an toàn thông tin; phân công người theo dõi văn bản mới.
• Bảo vệ quyền sở hữu trí tuệ: quản lý bản quyền phần mềm, không sử dụng phần mềm không có giấy phép.
• Bảo vệ hồ sơ theo thời gian lưu luật định.
• Quy trình xử lý dữ liệu cá nhân: căn cứ xử lý, thông báo, quyền của chủ thể dữ liệu, đánh giá tác động, chuyển dữ liệu ra nước ngoài.
• Đánh giá tuân thủ định kỳ các chính sách, quy định nội bộ.

Hồ sơ đầu ra: danh mục yêu cầu pháp luật (BM-14.1), danh mục bản quyền phần mềm (BM-14.2), hồ sơ về xử lý dữ liệu cá nhân, báo cáo đánh giá tuân thủ.

QT-15 Đánh giá nội bộ

• Lập chương trình đánh giá bao trùm toàn bộ điều 4 đến điều 10 và các biện pháp áp dụng trong chu kỳ chứng nhận, ưu tiên khu vực rủi ro cao.
• Chọn chuyên gia đánh giá có năng lực và độc lập với công việc được đánh giá.
• Kế hoạch từng cuộc đánh giá, danh mục câu hỏi, báo cáo phát hiện, theo dõi khắc phục.
• Phải hoàn thành ít nhất một chu kỳ đánh giá nội bộ đầy đủ trước khi đánh giá chứng nhận giai đoạn 2.

Hồ sơ đầu ra: chương trình đánh giá năm (BM-15.1), kế hoạch đánh giá (BM-15.2), danh mục câu hỏi (BM-15.3), báo cáo đánh giá nội bộ (BM-15.4).

QT-16 Theo dõi, đo lường và xem xét của lãnh đạo

Theo điều 9.1, doanh nghiệp phải xác định cần theo dõi cái gì, phương pháp, thời điểm, người theo dõi và người phân tích. Một số chỉ số thường dùng:

• Tỷ lệ nhân viên hoàn thành đào tạo nhận thức trong năm.
• Số sự cố an toàn thông tin theo mức độ, thời gian phát hiện và khắc phục trung bình.
• Tỷ lệ lỗ hổng nghiêm trọng được vá đúng hạn.
• Tỷ lệ bản sao lưu được thử khôi phục thành công.
• Tỷ lệ tài khoản nghỉ việc được khóa trong thời hạn quy định.
• Thời gian sẵn sàng của dịch vụ quan trọng.

Họp xem xét của lãnh đạo ít nhất mỗi năm một lần, đầu vào theo điều 9.3.2 gồm: tình trạng hành động từ lần trước, thay đổi bối cảnh, thay đổi nhu cầu của bên quan tâm, kết quả thực hiện (sự không phù hợp, kết quả đo lường, đánh giá nội bộ, mức đạt mục tiêu), phản hồi của bên quan tâm, kết quả đánh giá rủi ro và tình trạng kế hoạch xử lý, cơ hội cải tiến. Đầu ra là quyết định về cải tiến và nhu cầu thay đổi hệ thống.

Hồ sơ đầu ra: báo cáo chỉ số định kỳ (BM-16.1), biên bản họp xem xét của lãnh đạo (BM-16.2).

QT-17 Sự không phù hợp, hành động khắc phục và cải tiến

• Nguồn phát hiện: đánh giá nội bộ, đánh giá bên ngoài, sự cố, khiếu nại khách hàng, kết quả giám sát.
• Khắc phục tức thời, phân tích nguyên nhân gốc (ví dụ phương pháp 5 câu hỏi tại sao), xem có sự không phù hợp tương tự ở nơi khác không.
• Thực hiện hành động khắc phục, kiểm tra hiệu lực sau một thời gian.
• Ghi nhận cơ hội cải tiến và đưa vào kế hoạch.

Hồ sơ đầu ra: phiếu yêu cầu hành động khắc phục (BM-17.1), sổ theo dõi sự không phù hợp (BM-17.2).

QT-18 Năng lực, đào tạo, nhận thức và truyền thông

• Xác định yêu cầu năng lực cho các vai trò then chốt: quản trị hệ thống, lập trình viên, chuyên gia đánh giá nội bộ, người phụ trách an toàn thông tin.
• Kế hoạch đào tạo năm; đào tạo nhận thức cho nhân viên mới trước khi cấp quyền truy cập và nhắc lại định kỳ cho toàn bộ nhân viên.
• Diễn tập thư lừa đảo để đo mức nhận thức thực tế.
• Kế hoạch truyền thông theo điều 7.4: truyền thông nội dung gì, khi nào, cho ai, ai thực hiện, bằng cách nào.

Hồ sơ đầu ra: ma trận năng lực (BM-18.1), kế hoạch đào tạo (BM-18.2), danh sách tham dự và kết quả kiểm tra (BM-18.3), kế hoạch truyền thông (BM-18.4).

Mẫu chính sách an toàn thông tin

Điều 5.2 yêu cầu chính sách phải phù hợp với mục đích của tổ chức, làm khung cho việc đặt mục tiêu, có cam kết đáp ứng các yêu cầu áp dụng và cam kết cải tiến liên tục. Chính sách phải sẵn có dưới dạng văn bản, được truyền đạt trong tổ chức và cung cấp cho bên quan tâm khi phù hợp. Khung nội dung có thể dùng:

• Mục đích: "Công ty TNHH ABC cam kết bảo vệ tính bảo mật, tính toàn vẹn và tính sẵn sàng của thông tin của Công ty, khách hàng và đối tác trong phạm vi hoạt động phát triển và vận hành phần mềm quản lý bán hàng."
• Phạm vi áp dụng: toàn bộ nhân viên, cộng tác viên, nhà cung cấp tiếp cận thông tin, hệ thống trong phạm vi đã xác định tại tài liệu CS-02.
• Cam kết của lãnh đạo: đáp ứng yêu cầu pháp luật, hợp đồng và yêu cầu của tiêu chuẩn ISO/IEC 27001; cung cấp nguồn lực; cải tiến liên tục hệ thống.
• Nguyên tắc: quản lý dựa trên rủi ro; quyền truy cập tối thiểu cần thiết; mọi sự cố phải được báo cáo; vi phạm bị xử lý theo nội quy lao động.
• Khung mục tiêu: mục tiêu cụ thể được đặt hằng năm tại tài liệu CS-03, ví dụ không có sự cố lộ dữ liệu khách hàng, 100% nhân viên được đào tạo nhận thức, dịch vụ sẵn sàng từ 99,5% thời gian trở lên.
• Trách nhiệm: lãnh đạo, đại diện lãnh đạo về an toàn thông tin, trưởng bộ phận, từng nhân viên.
• Các chính sách theo chủ đề được ban hành kèm theo.
• Xem xét: chính sách được xem xét ít nhất mỗi năm một lần hoặc khi có thay đổi đáng kể.
• Chữ ký phê duyệt của người đứng đầu, ngày hiệu lực.

Chính sách chỉ nên dài 1 đến 2 trang. Chi tiết kỹ thuật đặt ở chính sách theo chủ đề và quy trình, để mọi nhân viên đọc và hiểu được chính sách chung.

Mẫu sổ đăng ký rủi ro

Sổ đăng ký rủi ro thường lập bằng bảng tính, mỗi dòng một rủi ro. Các cột nên có và ví dụ hai dòng:

Cột	Ví dụ rủi ro 1	Ví dụ rủi ro 2
Mã rủi ro	R-012	R-027
Tài sản hoặc quá trình	Cơ sở dữ liệu khách hàng	Máy tính xách tay của nhân viên kinh doanh
Mối đe dọa	Mã độc tống tiền mã hóa dữ liệu	Mất, bị trộm khi đi công tác
Điểm yếu	Bản sao lưu nằm cùng mạng với máy chủ chính	Ổ cứng không mã hóa
Tính bị ảnh hưởng	Sẵn sàng, toàn vẹn	Bảo mật
Chủ sở hữu rủi ro	Trưởng phòng Công nghệ thông tin	Trưởng phòng Kinh doanh
Khả năng, tác động, mức rủi ro	3, 5, 15 (cao)	3, 4, 12 (trung bình)
Phương án xử lý	Giảm thiểu	Giảm thiểu
Biện pháp kiểm soát	A.8.13 sao lưu cách ly ngoài mạng, A.8.7 phòng chống mã độc, A.5.30 kế hoạch khôi phục	A.8.1 mã hóa toàn bộ ổ cứng, quản lý thiết bị từ xa, A.6.7 quy định làm việc từ xa
Mức rủi ro còn lại	1, 5, 5 (thấp)	3, 1, 3 (thấp)
Hạn hoàn thành, người thực hiện	30/6, nhóm hạ tầng	31/3, nhóm hỗ trợ
Chủ sở hữu chấp nhận rủi ro còn lại	Có, ký ngày	Có, ký ngày

Mẫu Tuyên bố áp dụng

Tuyên bố áp dụng, thường được gọi tắt là SoA, là tài liệu chuyên gia đánh giá dùng để lập kế hoạch đánh giá. Theo điều 6.1.3 điểm d, tài liệu phải nêu các biện pháp kiểm soát cần thiết, lý do đưa vào, biện pháp đó đã được thực hiện hay chưa và lý do loại trừ các biện pháp trong Phụ lục A. Mẫu cột:

Biện pháp	Áp dụng	Lý do đưa vào hoặc loại trừ	Tình trạng	Tài liệu tham chiếu
A.5.23 An toàn thông tin khi sử dụng dịch vụ đám mây	Có	Rủi ro R-031, R-032; yêu cầu hợp đồng của khách hàng	Đã thực hiện	QT-11
A.7.4 Giám sát an ninh vật lý	Có	Rủi ro R-005 đột nhập văn phòng	Đang thực hiện, hoàn thành 30/4	QT-07
A.8.30 Phát triển thuê ngoài	Không	Công ty không thuê ngoài phát triển phần mềm trong phạm vi chứng nhận	Không áp dụng	Không có

Lý do loại trừ phải đúng thực tế. Chuyên gia đánh giá sẽ kiểm tra; nếu loại trừ A.8.30 nhưng thực tế có thuê đơn vị ngoài lập trình, đó là điểm không phù hợp.

Đủ 93 biện pháp kiểm soát của Phụ lục A

Danh sách dưới đây dùng để lập Tuyên bố áp dụng và làm danh mục đối chiếu khi viết quy trình. Tên biện pháp được diễn đạt tiếng Việt theo nội dung của ISO/IEC 27001:2022; biện pháp mới so với bản 2013 có ghi chú.

Nhóm biện pháp tổ chức, 37 biện pháp

Mã	Biện pháp
5.1	Chính sách an toàn thông tin
5.2	Vai trò và trách nhiệm an toàn thông tin
5.3	Phân tách nhiệm vụ
5.4	Trách nhiệm của lãnh đạo
5.5	Liên hệ với cơ quan có thẩm quyền
5.6	Liên hệ với các nhóm chuyên môn
5.7	Thông tin về mối đe dọa (mới)
5.8	An toàn thông tin trong quản lý dự án
5.9	Danh mục thông tin và tài sản liên quan
5.10	Sử dụng chấp nhận được thông tin và tài sản
5.11	Trả lại tài sản
5.12	Phân loại thông tin
5.13	Gắn nhãn thông tin
5.14	Truyền đưa thông tin
5.15	Kiểm soát truy cập
5.16	Quản lý định danh
5.17	Thông tin xác thực
5.18	Quyền truy cập
5.19	An toàn thông tin trong quan hệ với nhà cung cấp
5.20	Giải quyết vấn đề an toàn thông tin trong thỏa thuận với nhà cung cấp
5.21	Quản lý an toàn thông tin trong chuỗi cung ứng công nghệ thông tin và truyền thông
5.22	Giám sát, xem xét và quản lý thay đổi dịch vụ của nhà cung cấp
5.23	An toàn thông tin khi sử dụng dịch vụ đám mây (mới)
5.24	Hoạch định và chuẩn bị quản lý sự cố an toàn thông tin
5.25	Đánh giá và quyết định về sự kiện an toàn thông tin
5.26	Ứng phó sự cố an toàn thông tin
5.27	Rút kinh nghiệm từ sự cố an toàn thông tin
5.28	Thu thập chứng cứ
5.29	An toàn thông tin trong thời gian gián đoạn
5.30	Sẵn sàng công nghệ thông tin và truyền thông cho hoạt động liên tục (mới)
5.31	Yêu cầu pháp lý, quy định và hợp đồng
5.32	Quyền sở hữu trí tuệ
5.33	Bảo vệ hồ sơ
5.34	Quyền riêng tư và bảo vệ thông tin nhận dạng cá nhân
5.35	Xem xét độc lập về an toàn thông tin
5.36	Tuân thủ chính sách, quy tắc và tiêu chuẩn an toàn thông tin
5.37	Quy trình vận hành được lập thành văn bản

Nhóm biện pháp con người, 8 biện pháp

Mã	Biện pháp
6.1	Thẩm tra lý lịch
6.2	Điều khoản và điều kiện tuyển dụng
6.3	Nhận thức, giáo dục và đào tạo về an toàn thông tin
6.4	Quy trình kỷ luật
6.5	Trách nhiệm sau khi chấm dứt hoặc thay đổi công việc
6.6	Thỏa thuận bảo mật hoặc không tiết lộ thông tin
6.7	Làm việc từ xa
6.8	Báo cáo sự kiện an toàn thông tin

Nhóm biện pháp vật lý, 14 biện pháp

Mã	Biện pháp
7.1	Vành đai an ninh vật lý
7.2	Kiểm soát ra vào
7.3	Bảo vệ văn phòng, phòng làm việc và cơ sở
7.4	Giám sát an ninh vật lý (mới)
7.5	Bảo vệ trước mối đe dọa vật lý và môi trường
7.6	Làm việc trong khu vực an toàn
7.7	Bàn làm việc sạch và màn hình sạch
7.8	Bố trí và bảo vệ thiết bị
7.9	An toàn tài sản bên ngoài trụ sở
7.10	Phương tiện lưu trữ
7.11	Tiện ích hỗ trợ
7.12	An toàn hệ thống cáp
7.13	Bảo trì thiết bị
7.14	Tiêu hủy hoặc tái sử dụng thiết bị an toàn

Nhóm biện pháp công nghệ, 34 biện pháp

Mã	Biện pháp
8.1	Thiết bị đầu cuối của người dùng
8.2	Quyền truy cập đặc quyền
8.3	Hạn chế truy cập thông tin
8.4	Truy cập mã nguồn
8.5	Xác thực an toàn
8.6	Quản lý năng lực hệ thống
8.7	Phòng chống phần mềm độc hại
8.8	Quản lý lỗ hổng kỹ thuật
8.9	Quản lý cấu hình (mới)
8.10	Xóa thông tin (mới)
8.11	Che giấu dữ liệu (mới)
8.12	Ngăn ngừa rò rỉ dữ liệu (mới)
8.13	Sao lưu thông tin
8.14	Dự phòng phương tiện xử lý thông tin
8.15	Ghi nhật ký
8.16	Hoạt động giám sát (mới)
8.17	Đồng bộ thời gian
8.18	Sử dụng chương trình tiện ích đặc quyền
8.19	Cài đặt phần mềm trên hệ thống vận hành
8.20	An toàn mạng
8.21	An toàn dịch vụ mạng
8.22	Phân tách mạng
8.23	Lọc truy cập web (mới)
8.24	Sử dụng mật mã
8.25	Vòng đời phát triển an toàn
8.26	Yêu cầu an toàn ứng dụng
8.27	Kiến trúc hệ thống và nguyên tắc kỹ thuật an toàn
8.28	Lập trình an toàn (mới)
8.29	Kiểm thử an toàn trong phát triển và nghiệm thu
8.30	Phát triển thuê ngoài
8.31	Tách biệt môi trường phát triển, kiểm thử và vận hành
8.32	Quản lý thay đổi
8.33	Thông tin dùng cho kiểm thử
8.34	Bảo vệ hệ thống thông tin trong quá trình kiểm tra đánh giá

Danh mục biểu mẫu và thời gian lưu gợi ý

ISO/IEC 27001 không quy định thời gian lưu hồ sơ. Doanh nghiệp tự quyết định, bảo đảm ít nhất hết một chu kỳ chứng nhận 03 năm và không ngắn hơn thời hạn pháp luật yêu cầu với từng loại hồ sơ. Gợi ý:

Hồ sơ	Thời gian lưu gợi ý
Sổ đăng ký rủi ro, kế hoạch xử lý rủi ro các phiên bản	03 năm kể từ khi có phiên bản mới thay thế
Báo cáo đánh giá nội bộ, biên bản xem xét của lãnh đạo	Ít nhất 03 năm
Phiếu hành động khắc phục	Ít nhất 03 năm
Hồ sơ đào tạo, năng lực	Trong thời gian làm việc và 03 năm sau khi nghỉ việc
Phiếu cấp, thu hồi quyền truy cập	Trong thời gian tài khoản tồn tại và 01 năm sau khi thu hồi
Nhật ký hệ thống quan trọng	Theo yêu cầu pháp luật áp dụng, hợp đồng và rủi ro; thường từ 06 tháng đến 01 năm trực tuyến
Hồ sơ sự cố và chứng cứ	Đến khi hết thời hiệu khiếu nại, khởi kiện liên quan
Thỏa thuận bảo mật đã ký	Hết thời hạn nghĩa vụ bảo mật

Lộ trình xây dựng hệ thống theo 10 bước

Bước	Công việc	Kết quả	Thời gian tham khảo cho doanh nghiệp vừa và nhỏ
1	Lãnh đạo cam kết, bổ nhiệm người phụ trách, lập ban dự án	Quyết định thành lập ban dự án	Tuần 1
2	Đánh giá hiện trạng so với tiêu chuẩn	Báo cáo khoảng cách	Tuần 2 đến 3
3	Xác định bối cảnh, bên quan tâm, phạm vi	CS-02	Tuần 3 đến 4
4	Ban hành chính sách, phương pháp đánh giá rủi ro	CS-01, QT-03	Tuần 4 đến 5
5	Lập danh mục tài sản, đánh giá rủi ro	Danh mục tài sản, sổ đăng ký rủi ro	Tuần 5 đến 8
6	Lập Tuyên bố áp dụng, kế hoạch xử lý rủi ro, mục tiêu	CS-03, CS-04, BM-03.3	Tuần 8 đến 9
7	Viết và ban hành quy trình, biểu mẫu; triển khai biện pháp kỹ thuật	Bộ tài liệu đã ban hành	Tuần 9 đến 14
8	Đào tạo nhận thức, đào tạo chuyên gia đánh giá nội bộ	Hồ sơ đào tạo	Tuần 12 đến 15
9	Vận hành hệ thống, tạo hồ sơ thực tế	Hồ sơ vận hành đủ các quy trình	Ít nhất 2 đến 3 tháng
10	Đánh giá nội bộ, xem xét của lãnh đạo, khắc phục	BM-15.4, BM-16.2, BM-17.1	Trước đánh giá chứng nhận

Thời gian thực tế phụ thuộc vào phạm vi, số địa điểm, mức độ sẵn có của các biện pháp kỹ thuật và nguồn lực nội bộ. Bước 9 không nên rút ngắn: chuyên gia đánh giá cần thấy hồ sơ phát sinh thật, không phải hồ sơ lập một lần trước ngày đánh giá.

Quy trình đánh giá chứng nhận

• Chọn tổ chức chứng nhận: nên chọn tổ chức được công nhận cho lĩnh vực ISO/IEC 27001 bởi tổ chức công nhận là thành viên thỏa ước thừa nhận lẫn nhau của Diễn đàn Công nhận Quốc tế (IAF). Chứng chỉ được công nhận thường được khách hàng, đối tác nước ngoài chấp nhận. Có thể tra cứu hiệu lực chứng chỉ trên cơ sở dữ liệu IAF CertSearch.
• Đánh giá giai đoạn 1: xem xét tài liệu, phạm vi, mức độ sẵn sàng; chuyên gia chỉ ra các điểm cần hoàn thiện.
• Đánh giá giai đoạn 2: đánh giá việc thực hiện tại chỗ, phỏng vấn nhân sự, kiểm tra hồ sơ và cấu hình kỹ thuật thực tế.
• Khắc phục và cấp chứng chỉ: sự không phù hợp nặng phải khắc phục và được xác nhận trước khi cấp chứng chỉ; sự không phù hợp nhẹ cần có kế hoạch khắc phục được chấp nhận.
• Đánh giá giám sát: ít nhất mỗi năm một lần trong chu kỳ 03 năm.
• Tái chứng nhận: thực hiện trước khi chứng chỉ hết hạn.

Số ngày đánh giá do tổ chức chứng nhận tính theo hướng dẫn của tiêu chuẩn ISO/IEC 27006-1, chủ yếu dựa trên số người làm việc trong phạm vi, số địa điểm và mức độ phức tạp của hệ thống.

Chi phí xây dựng và chứng nhận ISO 27001

Chứng nhận ISO/IEC 27001 là dịch vụ do tổ chức chứng nhận cung cấp, không có lệ phí nhà nước. Tổng chi phí gồm các phần:

• Phí đánh giá chứng nhận: tính theo số ngày công đánh giá giai đoạn 1, giai đoạn 2; phí giám sát hằng năm và phí tái chứng nhận báo giá riêng.
• Phí tư vấn xây dựng hệ thống nếu thuê đơn vị tư vấn.
• Chi phí đào tạo: đào tạo nhận thức và đào tạo chuyên gia đánh giá nội bộ.
• Chi phí đầu tư kỹ thuật để xử lý rủi ro: sao lưu ngoài trụ sở, xác thực đa yếu tố, mã hóa ổ cứng, giám sát nhật ký, kiểm thử xâm nhập. Đây thường là phần biến động lớn nhất và phụ thuộc hiện trạng.
• Thời gian nhân sự nội bộ dành cho dự án.

Khi so sánh báo giá, nên yêu cầu ghi rõ số ngày công đánh giá cho từng giai đoạn và phí giám sát của cả chu kỳ 03 năm, không chỉ phí năm đầu.

Những lỗi thường gặp khi xây dựng bộ tài liệu

• Dùng nguyên bộ mẫu tải trên mạng mà không sửa theo thực tế: tên quy trình không khớp cách làm, chuyên gia phỏng vấn nhân viên là phát hiện ngay.
• Dùng tài liệu theo bản 2013: mã biện pháp A.9, A.12 không còn tồn tại; thiếu 11 biện pháp mới và điều 6.3.
• Tuyên bố áp dụng không gắn với đánh giá rủi ro: chọn biện pháp theo cảm tính, không có rủi ro nào dẫn tới biện pháp đó.
• Phạm vi không rõ: không nêu địa điểm, hệ thống, quá trình, giao diện và phụ thuộc với bên ngoài.
• Mục tiêu không đo được: "nâng cao an toàn thông tin" thay vì chỉ số có con số và thời hạn.
• Hồ sơ lập dồn trước ngày đánh giá: ngày tháng trùng nhau, cùng một người ký, không có dấu vết vận hành thực tế.
• Bỏ quên nghĩa vụ pháp luật Việt Nam: danh mục yêu cầu pháp luật chỉ ghi chung chung, không có văn bản cụ thể về bảo vệ dữ liệu cá nhân, an ninh mạng, lao động.
• Không có bằng chứng lãnh đạo tham gia: chính sách không có chữ ký, không có biên bản xem xét của lãnh đạo.

Câu hỏi thường gặp

Có thể dùng bộ tài liệu ISO 27001 mẫu tải trên mạng không

Có thể dùng làm khung tham khảo, nhưng phải sửa theo đúng cách doanh nghiệp đang làm. Chuyên gia đánh giá không chấm tài liệu đẹp mà kiểm tra tài liệu có khớp với thực tế không, thông qua phỏng vấn nhân viên và xem hồ sơ, cấu hình hệ thống. Ngoài ra cần kiểm tra mẫu đã theo bản 2022 chưa; mẫu còn mã biện pháp A.9, A.12, A.18 là mẫu theo bản 2013.

Doanh nghiệp nhỏ dưới 20 người có cần đủ 18 quy trình không

Không bắt buộc. Tiêu chuẩn chỉ bắt buộc các thông tin dạng văn bản nêu ở bảng điều 4 đến điều 10 và các tài liệu gắn với biện pháp được áp dụng. Doanh nghiệp nhỏ có thể gộp thành khoảng 8 đến 10 tài liệu, ví dụ gộp QT-06, QT-07 vào một quy định nội bộ, gộp QT-15, QT-16, QT-17 thành một quy trình đánh giá và cải tiến.

Có được loại trừ điều khoản nào không

Không được loại trừ yêu cầu nào trong điều 4 đến điều 10. Chỉ được loại trừ biện pháp kiểm soát trong Phụ lục A, kèm lý do trong Tuyên bố áp dụng.

Bao lâu sau khi ban hành tài liệu thì được đánh giá chứng nhận

Tiêu chuẩn không quy định số tháng tối thiểu, nhưng phải có đủ hồ sơ chứng minh hệ thống đã vận hành, đã hoàn thành ít nhất một lần đánh giá nội bộ và một lần xem xét của lãnh đạo. Thực tế thường cần ít nhất 2 đến 3 tháng vận hành.

Chứng chỉ ISO 27001 có thay cho việc xác định cấp độ hệ thống thông tin không

Không. Xác định cấp độ và bảo vệ hệ thống theo cấp độ là nghĩa vụ theo Luật An ninh mạng 2025 và Nghị định 331/2026/NĐ-CP, thực hiện bằng hồ sơ đề xuất cấp độ riêng. Tuy nhiên, phần lớn biện pháp kỹ thuật và quản lý trong hồ sơ ISO có thể dùng lại làm phương án bảo đảm an ninh mạng cho hệ thống.

Chứng chỉ ISO 27001 có thay cho hồ sơ đánh giá tác động dữ liệu cá nhân không

Không. Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân và chuyển dữ liệu xuyên biên giới là hồ sơ pháp lý phải gửi cơ quan chuyên trách theo Luật Bảo vệ dữ liệu cá nhân. Hệ thống ISO giúp có sẵn thông tin về biện pháp bảo vệ để đưa vào hồ sơ đó.

Chứng chỉ theo bản 2013 còn dùng được không

Không. Mọi chứng chỉ ISO/IEC 27001:2013 đã hết hiệu lực từ ngày 31/10/2025 theo quy định chuyển đổi của Diễn đàn Công nhận Quốc tế. Doanh nghiệp còn chứng chỉ bản 2013 phải đánh giá lại theo bản 2022.

Một chứng chỉ có thể bao gồm nhiều địa điểm, công ty con không

Có, nếu được xác định trong phạm vi hệ thống. Phạm vi càng rộng thì số ngày đánh giá càng nhiều và các địa điểm phải được kiểm soát theo cùng một hệ thống tài liệu.

LTV Law hỗ trợ phần pháp lý của hệ thống

LTV Law không phải tổ chức chứng nhận và không cấp chứng chỉ ISO. Chúng tôi hỗ trợ doanh nghiệp các phần pháp lý mà bộ tài liệu ISO cần dựa vào:

• Lập danh mục yêu cầu pháp luật về an ninh mạng, bảo vệ dữ liệu cá nhân, lao động, sở hữu trí tuệ áp dụng cho doanh nghiệp.
• Soạn hồ sơ đánh giá tác động xử lý dữ liệu cá nhân, hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới, thông báo xử lý dữ liệu cho khách hàng và người lao động.
• Soạn thỏa thuận bảo mật, điều khoản bảo mật trong hợp đồng lao động, phụ lục bảo mật và xử lý dữ liệu trong hợp đồng với nhà cung cấp, khách hàng.
• Rà soát chính sách an toàn thông tin, quy trình quản lý sự cố để bảo đảm các mốc báo cáo theo đúng luật.
• Tư vấn bảo vệ bí mật kinh doanh và xử lý khi xảy ra rò rỉ thông tin.

Doanh nghiệp cần trao đổi về phần pháp lý trong dự án ISO/IEC 27001 có thể liên hệ LTV Law để được tư vấn theo phạm vi hệ thống cụ thể.