ISO 27001 là gì? Tiêu chuẩn ISO/IEC 27001:2022 giải thích cho doanh nghiệp
ISO 27001 (ISO/IEC 27001) là tiêu chuẩn quốc tế về hệ thống quản lý an toàn thông tin (ISMS): doanh nghiệp nhận diện rủi ro với thông tin, chọn biện pháp kiểm soát phù hợp và chứng minh hệ thống vận hành được qua đánh giá của tổ chức chứng nhận độc lập.
Đây thường là chứng chỉ đầu tiên khách hàng nước ngoài hỏi khi rà soát nhà cung cấp. Phần dưới giải thích bản ISO/IEC 27001:2022 đang có hiệu lực: tiêu chuẩn đòi gì, mất bao lâu, tốn những khoản nào, kèm bối cảnh luật Việt Nam 2026. Đã chắc cần chứng nhận? Xem cách Musk-IS tư vấn chứng nhận ISO 27001 theo 6 giai đoạn.
Điểm chính
- ISO/IEC 27001:2022 là ấn bản thứ ba và là bản duy nhất còn dùng để cấp chứng nhận; chứng chỉ theo bản 2013 đã hết hiệu lực sau hạn chuyển đổi 31/10/2025.
- Doanh nghiệp phải đáp ứng điều khoản 4 đến 10, rồi đối chiếu 93 biện pháp kiểm soát ở Phụ lục A (chia 4 nhóm) để lập Tuyên bố áp dụng.
- Doanh nghiệp đã có nền tảng thường cần 4–6 tháng để đạt chứng nhận, xây dựng từ đầu khoảng 6–8 tháng.
- Chứng chỉ có chu kỳ 3 năm, với đánh giá giám sát hằng năm và tái chứng nhận trước khi hết hạn.
ISO 27001 là gì? Định nghĩa, ISMS và bản 2022
ISO/IEC 27001 là tiêu chuẩn do Tổ chức Tiêu chuẩn hóa Quốc tế (ISO) và Ủy ban Kỹ thuật Điện Quốc tế (IEC) cùng ban hành, quy định yêu cầu để thiết lập, vận hành, duy trì và cải tiến hệ thống quản lý an toàn thông tin. Doanh nghiệp đáp ứng các yêu cầu này có thể được tổ chức chứng nhận độc lập đánh giá và cấp chứng chỉ.
Hệ thống quản lý an toàn thông tin (Information Security Management System – ISMS) không phải một phần mềm hay một thiết bị. ISMS là tập hợp chính sách, quy trình, vai trò và hồ sơ giúp doanh nghiệp trả lời một cách nhất quán ba câu: thông tin nào quan trọng, đang gặp rủi ro gì, và đã kiểm soát rủi ro đó ra sao. Mục tiêu cuối cùng là giữ được ba thuộc tính của thông tin: tính bảo mật (Confidentiality), tính toàn vẹn (Integrity) và tính sẵn sàng (Availability), thường gọi tắt là CIA.
Tên đầy đủ của bản hiện hành là ISO/IEC 27001:2022 “Information security, cybersecurity and privacy protection — Information security management systems — Requirements”. Năm 2024, ISO phát hành thêm bản sửa đổi ISO/IEC 27001:2022/Amd 1:2024, yêu cầu doanh nghiệp xác định ở điều khoản 4.1 liệu biến đổi khí hậu có phải vấn đề liên quan đến ISMS hay không. Sửa đổi này nhỏ, nhưng thường được chuyên gia đánh giá hỏi tới vì nhiều bộ tài liệu soạn trước 2024 chưa có.
Ở Việt Nam còn một điểm dễ nhầm. Tiêu chuẩn quốc gia TCVN ISO/IEC 27001:2019 chuyển dịch từ bản ISO/IEC 27001:2013, không phải bản 2022. Tại thời điểm viết bài, chúng tôi chưa tìm thấy TCVN chuyển dịch bản 2022. Tài liệu tiếng Việt lưu hành trên mạng vì vậy thường vẫn theo cấu trúc cũ với 114 biện pháp kiểm soát.
| Hạng mục | ISO/IEC 27001:2013 | ISO/IEC 27001:2022 |
|---|---|---|
| Phụ lục A | 114 biện pháp, 14 lĩnh vực | 93 biện pháp, 4 nhóm chủ đề |
| Biện pháp mới | — | 11 biện pháp (tình báo mối đe dọa, an toàn khi dùng dịch vụ đám mây, ngăn rò rỉ dữ liệu, lập trình an toàn…) |
| Thay đổi so với bản cũ | — | 24 biện pháp gộp lại, 58 biện pháp cập nhật nội dung |
| Chứng chỉ | Hết hiệu lực sau 31/10/2025 | Bản duy nhất dùng để chứng nhận hiện nay |
| Bản TCVN tương ứng | TCVN ISO/IEC 27001:2019 | Chưa tìm thấy (10/2026) |
Điều khoản 4 đến 10: doanh nghiệp thực sự phải nộp gì?
Tiêu chuẩn có 10 điều khoản, nhưng chỉ điều khoản 4 đến 10 là yêu cầu bắt buộc được đánh giá; điều 1–3 nói về phạm vi, tài liệu viện dẫn và thuật ngữ. Bảy điều khoản này dùng cấu trúc chung của các tiêu chuẩn hệ thống quản lý ISO, nên doanh nghiệp đã có ISO 9001 sẽ thấy thứ tự chương gần như giống hệt và có thể đánh giá tích hợp hai hệ thống.
| Điều khoản | Tên | Đầu ra thực tế cần có |
|---|---|---|
| 4 | Bối cảnh của tổ chức | Vấn đề nội bộ, bên ngoài; yêu cầu của các bên quan tâm; phạm vi ISMS |
| 5 | Sự lãnh đạo | Cam kết của lãnh đạo, chính sách an toàn thông tin, phân công trách nhiệm |
| 6 | Hoạch định | Phương pháp đánh giá rủi ro, kế hoạch xử lý rủi ro, Tuyên bố áp dụng (SoA), mục tiêu an toàn thông tin |
| 7 | Hỗ trợ | Nguồn lực, năng lực, đào tạo nhận thức, kiểm soát thông tin dạng văn bản |
| 8 | Vận hành | Thực hiện đánh giá và xử lý rủi ro theo kế hoạch, lưu hồ sơ |
| 9 | Đánh giá kết quả | Theo dõi, đo lường; đánh giá nội bộ (9.2); xem xét của lãnh đạo (9.3) |
| 10 | Cải tiến | Hành động khắc phục điểm không phù hợp, cải tiến liên tục |
Trọng tâm của cả tiêu chuẩn nằm ở điều khoản 6.1.3. Tại đây doanh nghiệp đối chiếu kết quả đánh giá rủi ro với Phụ lục A, quyết định áp dụng hay loại trừ từng biện pháp và ghi lại trong Tuyên bố áp dụng (Statement of Applicability – SoA).
Lỗi hay gặp nhất khi đánh giá chứng nhận là SoA ghi “không áp dụng” mà không giải thích lý do. Ví dụ, công ty dùng Microsoft 365 hoặc Google Workspace hằng ngày nhưng loại trừ biện pháp 5.23 (an toàn thông tin khi sử dụng dịch vụ đám mây). Chuyên gia đánh giá thường lật trang này ngay ngày đầu.
Phụ lục A: 93 biện pháp kiểm soát chia thành 4 nhóm
Phụ lục A của ISO/IEC 27001:2022 liệt kê 93 biện pháp kiểm soát, xếp thành 4 nhóm: tổ chức, con người, vật lý và công nghệ. Doanh nghiệp không buộc phải áp dụng đủ 93 biện pháp, nhưng phải xem xét từng biện pháp và giải thích vì sao áp dụng hoặc loại trừ trong SoA.
| Nhóm | Số hiệu | Số biện pháp | Ví dụ tiêu biểu |
|---|---|---|---|
| Tổ chức | 5.1–5.37 | 37 | Chính sách, danh mục tài sản, quan hệ nhà cung cấp, quản lý sự cố |
| Con người | 6.1–6.8 | 8 | Thẩm tra lý lịch, nhận thức và đào tạo (6.3), làm việc từ xa |
| Vật lý | 7.1–7.14 | 14 | Vành đai an ninh, bảo vệ phòng máy và thiết bị, bàn làm việc sạch |
| Công nghệ | 8.1–8.34 | 34 | Kiểm soát truy cập, quản lý lỗ hổng kỹ thuật (8.8), nhật ký, sao lưu, mã hóa |
Bản 2022 có 11 biện pháp hoàn toàn mới: 5.7 tình báo mối đe dọa, 5.23 an toàn thông tin khi dùng dịch vụ đám mây, 5.30 sẵn sàng công nghệ thông tin cho kinh doanh liên tục, 7.4 giám sát an ninh vật lý, 8.9 quản lý cấu hình, 8.10 xóa thông tin, 8.11 che giấu dữ liệu, 8.12 ngăn rò rỉ dữ liệu, 8.16 hoạt động giám sát, 8.23 lọc web và 8.28 lập trình an toàn. Với công ty phần mềm, 8.28 thường là biện pháp tốn công nhất vì phải có quy trình review code và kiểm thử bảo mật có hồ sơ.
Một số biện pháp gần như không thể chứng minh chỉ bằng văn bản. Biện pháp 8.8 về quản lý lỗ hổng kỹ thuật cần lịch quét định kỳ, báo cáo và bằng chứng đã vá, nên nhiều doanh nghiệp kết hợp với dịch vụ quét lỗ hổng bảo mật bên ngoài. Biện pháp 6.3 cần danh sách người đã học, nội dung và kết quả kiểm tra; một buổi đào tạo nhận thức an toàn thông tin có điểm danh và bài test thường là bằng chứng đơn giản nhất.
Mỗi biện pháp trong Phụ lục A chỉ có một tiêu đề và một câu yêu cầu. Hướng dẫn chi tiết cách làm nằm ở tiêu chuẩn đi kèm ISO/IEC 27002:2022, được nói rõ hơn ở phần so sánh bên dưới.
Doanh nghiệp nào cần ISO 27001?
Mọi tổ chức, bất kể quy mô hay ngành, đều có thể áp dụng tiêu chuẩn này, nhưng nhu cầu chứng nhận thực tế tập trung ở các doanh nghiệp mà khách hàng, đối tác hoặc hồ sơ thầu yêu cầu bằng chứng về an toàn thông tin. Ở Việt Nam, nhóm này thường gồm năm loại doanh nghiệp.
Nhóm thứ nhất là công ty phần mềm, outsourcing và nhà cung cấp SaaS hoặc hạ tầng đám mây làm cho khách nước ngoài. Email kiểu “Vui lòng gửi chứng chỉ ISO 27001 và bản Tuyên bố áp dụng (SoA) trước khi ký hợp đồng” là chuyện thường gặp với nhóm này. Nhóm thứ hai là doanh nghiệp thu thập nhiều dữ liệu cá nhân như tài chính, thương mại điện tử, y tế và bán lẻ.
Nhóm thứ ba là ngành có chuỗi cung ứng phức tạp như bán dẫn và sản xuất linh kiện, nơi khách hàng lớn kiểm tra năng lực bảo mật của nhà cung cấp. Hai nhóm còn lại là nhà thầu cho cơ quan nhà nước, ngân hàng, đơn vị thanh toán, và doanh nghiệp xuất khẩu hoặc đa quốc gia cần đáp ứng yêu cầu của đối tác.
Doanh nghiệp FDI là trường hợp đặc biệt. Một nhà máy Đài Loan hay Hàn Quốc ở Bình Dương, Bắc Ninh thường được công ty mẹ yêu cầu đưa vào phạm vi ISMS chung của tập đoàn, hoặc tự đạt chứng nhận vì khách hàng cuối là thương hiệu quốc tế. Câu hỏi khi đó không còn là “có cần hay không” mà là “phạm vi gồm những gì”.
Cũng có lúc chưa nên làm. Công ty nhỏ, không có khách hàng hay hợp đồng nào đòi chứng chỉ, nên ưu tiên những việc rẻ hơn mà hiệu quả ngay: rà soát tài khoản và phân quyền, bật xác thực đa yếu tố, kiểm tra bản sao lưu có khôi phục được không. Bỏ ra nhiều tháng để lấy chứng chỉ không ai hỏi tới thường không đáng.
ISO 27001 có bắt buộc ở Việt Nam không?
Với doanh nghiệp nói chung, ISO 27001 là tiêu chuẩn tự nguyện. Tại thời điểm viết bài (10/2026), chúng tôi chưa thấy văn bản pháp luật nào buộc mọi doanh nghiệp phải có chứng chỉ này. Áp lực thực tế đến từ hợp đồng, hồ sơ thầu và yêu cầu của đối tác, và với các doanh nghiệp đó, không có chứng chỉ đồng nghĩa với mất cơ hội.
Pháp luật Việt Nam lại đặt ra nghĩa vụ bảo vệ thông tin theo cách khác. Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 có hiệu lực từ 01/01/2026, cùng Nghị định 356/2025/NĐ-CP hướng dẫn thi hành, đặt ra các nghĩa vụ như lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân, hồ sơ chuyển dữ liệu cá nhân ra nước ngoài và bố trí nhân sự bảo vệ dữ liệu cá nhân cho các trường hợp thuộc diện quy định. Từng nghĩa vụ này được giải thích trong bài Luật Bảo vệ dữ liệu cá nhân 2025.
Về an ninh mạng, Luật An ninh mạng số 116/2025/QH15, hiệu lực từ 01/07/2026, hợp nhất Luật An toàn thông tin mạng 2015 và Luật An ninh mạng 2018. Nghị định 331/2026/NĐ-CP về bảo vệ an ninh mạng đối với hệ thống thông tin chia hệ thống thành 5 cấp độ để áp dụng biện pháp bảo vệ tương ứng.
Một ISMS vận hành tốt giúp doanh nghiệp thực hiện và lưu bằng chứng cho phần lớn các biện pháp kỹ thuật và quản lý mà những văn bản này đòi hỏi: danh mục tài sản, phân quyền, nhật ký, xử lý sự cố, đào tạo. Nhưng chứng chỉ không thay thế được các hồ sơ do luật quy định. Doanh nghiệp có chứng chỉ vẫn phải tự lập hồ sơ đánh giá tác động theo Luật 91/2025 nếu thuộc diện phải lập.
Lộ trình đạt chứng nhận: 6 giai đoạn, mất bao lâu?
Doanh nghiệp đã có nền tảng (danh mục tài sản, chính sách an toàn thông tin, phân quyền truy cập, sao lưu và ứng phó sự cố, đánh giá rủi ro) thường cần khoảng 4–6 tháng từ khi khởi động đến khi được cấp chứng chỉ. Doanh nghiệp xây dựng từ đầu cần khoảng 6–8 tháng. Chênh lệch chủ yếu do độ rộng của phạm vi, mức độ sẵn có của quy trình và việc có người phụ trách nội bộ hay không.
- Khởi động và xác định phạm vi: thống nhất mục tiêu, phòng ban, địa điểm, hệ thống nằm trong ISMS và lập kế hoạch triển khai.
- Đánh giá hiện trạng và khoảng cách: đối chiếu chính sách, quy trình đang có với điều khoản 4–10 và Phụ lục A, ra báo cáo khoảng cách.
- Đánh giá rủi ro và xây dựng SoA: kiểm kê tài sản thông tin, đánh giá rủi ro, lập kế hoạch xử lý rủi ro và Tuyên bố áp dụng.
- Xây dựng và triển khai ISMS: hoàn thiện chính sách, quy trình, biểu mẫu, đưa biện pháp kiểm soát vào vận hành thật.
- Đánh giá nội bộ và hoàn thiện: đào tạo nhân sự, thu thập bằng chứng vận hành, đánh giá nội bộ, xem xét của lãnh đạo, khắc phục điểm chưa phù hợp.
- Đánh giá chứng nhận: tổ chức chứng nhận đánh giá giai đoạn 1 (tài liệu và mức sẵn sàng) và giai đoạn 2 (hệ thống có vận hành đúng không), rồi cấp chứng chỉ khi đạt yêu cầu.
Trên thực tế, nhiều tổ chức chứng nhận muốn thấy khoảng 3 tháng hồ sơ vận hành trước khi đánh giá giai đoạn 2. Đây là thông lệ của tổ chức chứng nhận, tiêu chuẩn không quy định con số này.
Điểm khiến nhiều dự án trễ hạn không nằm ở việc soạn tài liệu mà ở chỗ thiếu bằng chứng. Doanh nghiệp dành ba, bốn tháng đầu để viết quy trình, đến lúc đánh giá nội bộ mới phát hiện chưa có biên bản xem xét quyền truy cập hay nhật ký kiểm tra sao lưu nào. Chúng tôi thường khuyên cho hệ thống chạy thử từ tháng thứ hai, vừa chạy vừa sửa, thay vì đợi bộ tài liệu hoàn hảo.
Chi phí ISO 27001 gồm những khoản nào?
Chi phí đạt và giữ chứng nhận gồm ba khoản: phí tư vấn (nếu thuê), phí của tổ chức chứng nhận và chi phí nội bộ. Khoản thứ ba hay bị quên nhất: giờ làm của nhân sự tham gia, công cụ kỹ thuật phải mua thêm và các hạng mục kiểm thử. Vì vậy, báo giá chỉ có một con số khó so sánh nếu hai bên hiểu phạm vi khác nhau.
Phí của tổ chức chứng nhận tính theo số ngày công đánh giá. Theo ISO/IEC 27006-1:2024 (tiêu chuẩn yêu cầu đối với tổ chức chứng nhận ISMS), thời lượng đánh giá tính theo Phụ lục C, dựa trên số người trong phạm vi, số địa điểm và độ phức tạp rủi ro. Phạm vi càng rộng thì mỗi năm trả càng nhiều. Chu kỳ chứng nhận kéo dài 3 năm: năm đầu đánh giá chứng nhận, hai năm sau mỗi năm một lần đánh giá giám sát, cuối chu kỳ tái chứng nhận. Ngân sách vì thế nên lập cho 3 năm chứ không chỉ năm đầu.
| Yếu tố | Làm chi phí và thời gian tăng khi… |
|---|---|
| Phạm vi ISMS | Đưa toàn công ty vào ngay năm đầu thay vì một mảng nghiệp vụ cốt lõi |
| Số địa điểm | Có nhiều chi nhánh, nhà máy hoặc văn phòng ở nước ngoài trong phạm vi |
| Mức sẵn có của quy trình | Chưa có danh mục tài sản, phân quyền, sao lưu hay quy trình xử lý sự cố |
| Hệ thống thuê ngoài | Dùng nhiều nhà cung cấp, dịch vụ đám mây nhưng chưa có hồ sơ quản lý nhà cung cấp |
| Hạng mục kỹ thuật | Phải bổ sung tập trung nhật ký, sao lưu khác vị trí, quét lỗ hổng hoặc kiểm thử xâm nhập |
| Nhân sự nội bộ | Không có người phụ trách ISMS, mọi việc dồn cho bộ phận IT |
Quan điểm của chúng tôi có thể khác nhiều nơi: năm đầu nên chọn một mảng nghiệp vụ cốt lõi để đạt chứng nhận, năm sau mới mở rộng. Tổng chi phí chưa chắc thấp hơn, nhưng dòng tiền và áp lực lên nhân sự nhẹ hơn hẳn, và dự án ít bị bỏ dở giữa chừng.
Trước khi chọn tổ chức chứng nhận, nên hỏi bốn câu sau:
- Tổ chức có được công nhận (accreditation) cho lĩnh vực ISO/IEC 27001 không, và chứng chỉ có tra được trên IAF CertSearch không?
- Báo giá tính bao nhiêu ngày công cho đánh giá lần đầu, giám sát năm 2, năm 3 và tái chứng nhận?
- Chuyên gia đánh giá có làm việc được bằng tiếng Việt hoặc ngôn ngữ của công ty mẹ không?
- Nếu phát hiện điểm không phù hợp nặng, thời hạn khắc phục là bao lâu và có phát sinh phí đánh giá lại không?
Danh sách chứng chỉ có công nhận tra được trên IAF CertSearch. Đây cũng là cách đối tác kiểm tra ngược chứng chỉ của bạn.
ISO 27001 khác ISO 27002 và ISO 27701 thế nào?
ISO 27001 là tiêu chuẩn yêu cầu và là bản duy nhất trong ba tiêu chuẩn này dùng để chứng nhận ISMS. ISO/IEC 27002:2022 là tiêu chuẩn hướng dẫn, giải thích mục đích và cách triển khai từng biện pháp trong Phụ lục A, nên không có “chứng chỉ ISO 27002”. Nói ngắn gọn: 27001 nói phải đạt điều gì, 27002 gợi ý làm thế nào.
ISO/IEC 27701 là tiêu chuẩn về hệ thống quản lý thông tin quyền riêng tư (PIMS), tập trung vào xử lý dữ liệu cá nhân. Bản ISO/IEC 27701:2025 phát hành ngày 14/10/2025 đã trở thành tiêu chuẩn hệ thống quản lý độc lập, không còn bắt buộc phải có ISO 27001 trước như bản 2019. Doanh nghiệp xử lý nhiều dữ liệu khách hàng, nhất là khi phải tuân thủ cùng lúc Luật 91/2025 và GDPR, nên cân nhắc tư vấn chứng nhận ISO 27701 song song: đánh giá rủi ro, đánh giá nội bộ và xem xét của lãnh đạo dùng chung được, tiết kiệm đáng kể ngày công so với làm hai lần.
Nhà cung cấp dịch vụ đám mây còn có thể bổ sung ISO/IEC 27017 cho biện pháp kiểm soát riêng của môi trường cloud. Với tiêu chuẩn này, nhiều tổ chức chứng nhận chỉ cấp chứng chỉ 27017 khi chứng chỉ 27001 còn hiệu lực.
Hiểu lầm thường gặp về ISO 27001
Có bốn hiểu lầm chúng tôi gặp gần như ở mọi buổi trao đổi đầu tiên với doanh nghiệp. Mỗi hiểu lầm dẫn đến một quyết định sai về ngân sách hoặc thời gian.
“Có chứng chỉ là không bị tấn công.” Chứng chỉ chỉ xác nhận doanh nghiệp có cơ chế nhận diện rủi ro, phát hiện sự cố, xử lý và cải tiến. Doanh nghiệp đã được chứng nhận vẫn có thể bị lừa đảo qua email hay bị mã hóa dữ liệu, điểm khác là họ phát hiện sớm hơn và khôi phục có kế hoạch.
“Chứng chỉ ISO 27001 của nhân viên là chứng nhận của công ty.” Khi tìm “chứng chỉ ISO 27001”, nhiều người thực ra đang nói về chứng chỉ cá nhân như Lead Auditor hay Lead Implementer, có được sau khóa học và bài thi. Chứng chỉ này chứng minh năng lực của một người. Còn chứng nhận của doanh nghiệp thì do tổ chức chứng nhận cấp sau khi đánh giá ISMS, có phạm vi và thời hạn ghi rõ. Hai thứ không thay thế nhau.
“Viết đủ bộ tài liệu là đạt.” Đánh giá giai đoạn 2 kiểm tra hệ thống có vận hành thật hay không: biên bản xem xét quyền truy cập, nhật ký sự cố, hồ sơ đào tạo, kết quả đánh giá nội bộ. Bộ tài liệu mua sẵn mà không có hồ sơ vận hành gần như chắc chắn bị ghi điểm không phù hợp.
“TCVN ISO/IEC 27001:2019 là bản mới nhất.” Bản TCVN này dựa trên ISO/IEC 27001:2013, trong khi chứng chỉ theo bản 2013 đã hết hiệu lực từ sau 31/10/2025. Muốn được chứng nhận, doanh nghiệp phải triển khai theo bản 2022.
Trước khi gọi tổ chức chứng nhận, doanh nghiệp nên tự trả lời 3 câu nào?
Hãy dành một buổi chiều với lãnh đạo và bộ phận IT để trả lời ba câu. Thông tin quan trọng nhất của công ty nằm ở hệ thống nào và ai chịu trách nhiệm? Hợp đồng, hồ sơ thầu hay yêu cầu nào của khách hàng đang nêu rõ ISO 27001, và hạn chót là khi nào? Trong 12 tháng qua đã xảy ra sự cố an toàn thông tin nào, và có ghi nhận lại không? Trả lời được ba câu này là đã có phần lớn đầu vào cho bước xác định phạm vi và đánh giá khoảng cách.
Khi đã rõ phạm vi và thời hạn, bạn có thể xem lộ trình tư vấn ISO 27001 của Musk-IS. Đội ngũ của chúng tôi gồm chuyên gia an toàn thông tin và luật sư dữ liệu cá nhân, có kinh nghiệm với yêu cầu của Việt Nam, Đài Loan, Hàn Quốc và EU. Nếu chưa chắc doanh nghiệp đang ở mức nào, hãy nhờ chuyên gia rà soát hiện trạng trước khi lập ngân sách.
Câu hỏi thường gặp về ISO 27001
ISO 27001 có bắt buộc không?
Với doanh nghiệp nói chung, ISO 27001 là tiêu chuẩn tự nguyện. Tại thời điểm viết bài, chúng tôi chưa thấy văn bản pháp luật Việt Nam nào buộc mọi doanh nghiệp phải có chứng chỉ này. Trên thực tế, nhiều hợp đồng với khách hàng nước ngoài, hồ sơ thầu và đối tác ngân hàng yêu cầu chứng chỉ, nên với những doanh nghiệp đó, chứng chỉ gần như là điều kiện để được làm việc.
Chứng chỉ ISO 27001 có hiệu lực bao lâu?
Chứng chỉ có chu kỳ 3 năm. Trong thời gian đó, tổ chức chứng nhận đánh giá giám sát mỗi năm một lần để xác nhận hệ thống vẫn vận hành; trước khi hết hạn, doanh nghiệp phải đánh giá tái chứng nhận để bắt đầu chu kỳ mới. Nếu phát hiện điểm không phù hợp nặng mà không khắc phục đúng hạn, chứng chỉ có thể bị đình chỉ hoặc thu hồi.
ISO 27001 và ISO 27002 khác nhau thế nào?
ISO 27001 là tiêu chuẩn yêu cầu, dùng để đánh giá và cấp chứng nhận cho hệ thống quản lý an toàn thông tin; Phụ lục A chỉ nêu tên và yêu cầu ngắn của 93 biện pháp kiểm soát. ISO 27002 là tiêu chuẩn hướng dẫn, giải thích mục đích và cách triển khai từng biện pháp, và không dùng để cấp chứng nhận. Khi triển khai, doanh nghiệp thường đọc hai tiêu chuẩn song song.
Chứng chỉ ISO 27001:2013 còn dùng được không?
Không. Hạn chuyển đổi từ bản 2013 sang bản 2022 cho chứng chỉ có công nhận đã kết thúc ngày 31/10/2025, nên chứng chỉ theo bản 2013 không còn hiệu lực. Doanh nghiệp đang giữ chứng chỉ cũ mà chưa chuyển đổi cần đánh giá lại theo ISO/IEC 27001:2022. Khi đối tác gửi chứng chỉ, hãy kiểm tra số hiệu phiên bản và tra trên IAF CertSearch.
ISO 27001 phiên bản mới nhất là bản nào?
Bản mới nhất là ISO/IEC 27001:2022, ấn bản thứ ba, kèm bản sửa đổi Amd 1:2024 bổ sung yêu cầu xem xét biến đổi khí hậu ở điều khoản 4.1 và một ghi chú tương ứng ở điều khoản 4.2. Bản 2022 thay 114 biện pháp kiểm soát của bản 2013 bằng 93 biện pháp chia 4 nhóm. Tiêu chuẩn quốc gia TCVN ISO/IEC 27001:2019 vẫn dựa trên bản 2013.
Tài liệu tham khảo
- ISO/IEC 27001:2022 Information security management systems — Requirements – Tiêu chuẩn yêu cầu đối với hệ thống quản lý an toàn thông tin, ấn bản thứ ba. ISO/IEC · 2022
- ISO/IEC 27001:2022/Amd 1:2024 Climate action changes – Bổ sung yêu cầu xem xét biến đổi khí hậu ở điều khoản 4.1, ghi chú ở điều khoản 4.2. ISO/IEC · 02/2024
- ISO/IEC 27006-1:2024 – Yêu cầu đối với tổ chức đánh giá và chứng nhận ISMS, gồm cách tính thời lượng đánh giá. ISO/IEC · 03/2024
- Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 – Luật về bảo vệ dữ liệu cá nhân, hiệu lực từ 01/01/2026. Quốc hội · 26/06/2025
