Chứng nhận ISO 27001

Khi triển khai hiện nay, xem xét ISO/IEC 27001:2022 cùng sửa đổi Amd 1:2024. Chứng nhận hệ thống không bảo đảm tuyệt đối rằng mọi sự cố an toàn thông tin đều được ngăn ngừa.

ISO/IEC 27001:2022 và sửa đổi 2024

Chứng nhận ISO/IEC 27001 là hoạt động đánh giá độc lập ISMS của doanh nghiệp bởi tổ chức chứng nhận. Đánh giá chứng nhận ban đầu thông thường gồm giai đoạn 1 và giai đoạn 2, sau đó có quyết định chứng nhận riêng. Các hoạt động chuẩn bị, đánh giá và theo dõi được trình bày dưới đây.

Chuẩn bị và giai đoạn 1

Chuẩn bị và đánh giá giai đoạn 1: sau khi thống nhất phạm vi, thỏa thuận chứng nhận, tổ chức chứng nhận xem xét tài liệu ISMS và mức độ sẵn sàng cho giai đoạn 2. Nội dung có thể gồm chính sách, đánh giá rủi ro, bản Công bố áp dụng, đánh giá nội bộ và xem xét của lãnh đạo. Đánh giá sơ bộ tự nguyện không thay thế đánh giá giai đoạn 1.

Đánh giá giai đoạn 2

Đánh giá giai đoạn 2: chuyên gia xem xét việc áp dụng và hiệu lực trong phạm vi đã thống nhất, đối chiếu chính sách, yêu cầu, quy trình với bằng chứng thực tế. Chỉ xem xét tài liệu là chưa đủ.

Bằng chứng có thể gồm hồ sơ phân quyền truy cập, biên bản họp lãnh đạo phê duyệt chính sách, phỏng vấn và quan sát trực tiếp hoạt động ISMS.

Báo cáo và xử lý phát hiện

Báo cáo và theo dõi sau đánh giá: phát hiện được báo cáo cho lãnh đạo và phân loại theo quy tắc áp dụng của tổ chức chứng nhận. Các nhóm thường gặp gồm:

Điểm quan sát

Điểm quan sát hoặc cơ hội cải tiến: nội dung cần xem xét, được phân biệt với việc không đáp ứng một yêu cầu.

Không phù hợp nhẹ

Điểm không phù hợp nhẹ: chưa đáp ứng yêu cầu nhưng không làm mất khả năng tổng thể của hệ thống trong việc đạt kết quả dự kiến. Doanh nghiệp phải sửa chữa, phân tích nguyên nhân và thực hiện hành động khắc phục phù hợp. Tổ chức chứng nhận quy định cách phản hồi, kiểm tra và thời hạn; việc chấp nhận kế hoạch không thay thế nghĩa vụ thực hiện.

Không phù hợp nặng

Điểm không phù hợp nặng: ảnh hưởng đến khả năng đạt kết quả dự kiến của hệ thống. Chỉ được cấp chứng nhận sau khi sửa chữa, hành động khắc phục cần thiết đã được xem xét và hiệu lực được tổ chức chứng nhận kiểm tra xác nhận; có thể cần đánh giá bổ sung. Chuyên gia đánh giá nêu phát hiện, không cung cấp dịch vụ tư vấn triển khai cho chính doanh nghiệp được đánh giá.

Duy trì chứng nhận

Sau chứng nhận ban đầu, đánh giá giám sát theo dõi việc tiếp tục đáp ứng yêu cầu. Chu kỳ chứng nhận thường là ba năm, với đánh giá chứng nhận lại trước khi chứng chỉ hết hạn, theo chương trình của tổ chức chứng nhận và điều kiện duy trì sự phù hợp.

BSI — Lộ trình đánh giá ISO27001