ISO/IEC 27018 dành cho đối tượng nào?

Tiêu chuẩn tập trung vào tổ chức cung cấp dịch vụ Public Cloud và xử lý PII thay mặt khách hàng với vai trò PII Processor. Hướng dẫn cũng có thể hữu ích cho Bên Kiểm soát dữ liệu cá nhân, nhưng không bao phủ toàn bộ nghĩa vụ bổ sung của Bên Kiểm soát theo pháp luật Privacy.

Có cần ISO/IEC 27001 trước khi triển khai ISO/IEC 27018 không?

Về mặt triển khai kiểm soát, doanh nghiệp có thể sử dụng hướng dẫn ISO/IEC 27018 độc lập. Tuy nhiên nếu mục tiêu là chứng nhận, nhiều Scheme được triển khai cùng hoặc dựa trên hệ thống ISO/IEC 27001. Doanh nghiệp nên xác nhận điều kiện cụ thể với tổ chức chứng nhận ngay từ đầu dự án.

ISO/IEC 27018 khác ISO/IEC 27701 như thế nào?

ISO/IEC 27701 mở rộng hệ thống quản lý sang Privacy Information Management và bao quát trách nhiệm của cả Bên Kiểm soát dữ liệu cá nhân và PII Processor. ISO/IEC 27018 tập trung hẹp hơn vào việc bảo vệ PII trong Public Cloud Processor Environment.

Công ty chỉ sử dụng Microsoft 365, AWS hoặc Azure có cần chứng nhận ISO/IEC 27018 không?

Không nhất thiết. Việc chỉ là Cloud Customer không tự động khiến doanh nghiệp trở thành đối tượng chính của ISO/IEC 27018. Cần xác định doanh nghiệp có cung cấp Public Cloud Service và xử lý PII với vai trò Processor hay không.

ISO/IEC 27018 có đồng nghĩa với tuân thủ GDPR không?

Không. ISO/IEC 27018 có thể hỗ trợ doanh nghiệp xây dựng các biện pháp bảo vệ PII và bằng chứng kiểm soát, nhưng không thay thế việc xác định nghĩa vụ pháp lý cụ thể theo GDPR hoặc các luật bảo vệ dữ liệu khác.

Triển khai ISO/IEC 27018 mất bao lâu?

Thời gian phụ thuộc vào việc doanh nghiệp đã có ISO/IEC 27001 hay chưa, quy mô Cloud Service, số lượng hệ thống, số loại PII, số bên xử lý phụ, mức độ hoàn thiện tài liệu và mục tiêu có Certification hay chỉ triển khai kiểm soát. Musk-IS xác định lộ trình cụ thể sau khi khảo sát phạm vi.

Dịch vụ tư vấn chứng nhận
ISO 27018

Tư vấn triển khai ISO/IEC 27018:2025 — tiêu chuẩn quốc tế về bảo vệ thông tin nhận dạng cá nhân (PII) trong môi trường Public Cloud, dành cho doanh nghiệp cung cấp dịch vụ Cloud với vai trò PII Processor, giúp chuẩn hóa vòng đời xử lý PII và tăng niềm tin với khách hàng.

Nhận Báo Giá ISO 27018

2025Phiên bản tiêu chuẩn hiện hành

6Bước triển khai tư vấn

PIIProcessor trên Public Cloud

Đối tác tiêu biểu

ISO/IEC 27018 Là Gì?

ISO/IEC 27018 là tiêu chuẩn quốc tế cung cấp hướng dẫn về bảo vệ thông tin nhận dạng cá nhân — Personally Identifiable Information (PII) trong môi trường Public Cloud, đặc biệt khi nhà cung cấp dịch vụ Cloud xử lý PII thay mặt cho khách hàng với vai trò PII Processor. Phiên bản hiện hành là ISO/IEC 27018:2025, được công bố tháng 08/2025 và thay thế ISO/IEC 27018:2019. Dịch vụ tư vấn chứng nhận ISO 27018 của Musk-IS hỗ trợ doanh nghiệp rà soát hiện trạng và xây dựng kiểm soát bảo vệ PII trên Public Cloud.

Phiên bản 2025 được căn chỉnh với ISO/IEC 27002:2022 và bổ sung Annex B với hướng dẫn triển khai mở rộng.

ISO/IEC 27018 tập trung vào các hoạt động liên quan đến PII trong Public Cloud như thu thập, lưu trữ, xử lý, truyền, truy cập, tiết lộ, lưu giữ, xóa và hoàn trả dữ liệu, quản lý bên thứ ba và ứng phó sự cố liên quan đến PII. Tiêu chuẩn đặc biệt phù hợp với các Cloud Service Provider cung cấp dịch vụ xử lý dữ liệu theo hợp đồng, chẳng hạn SaaS, PaaS, IaaS và các nền tảng Cloud có xử lý thông tin cá nhân.

Hướng dẫn ISO/IEC 27018 cũng có thể hữu ích với tổ chức đóng vai trò Bên Kiểm soát dữ liệu cá nhân, nhưng tổ chức Bên Kiểm soát có thể phải đáp ứng thêm các nghĩa vụ pháp luật về quyền riêng tư nằm ngoài phạm vi của tiêu chuẩn.

Tìm Hiểu Chi Tiết Về ISO 27018

Doanh Nghiệp Nào Nên Triển Khai ISO/IEC 27018?

ISO/IEC 27018 đặc biệt phù hợp với doanh nghiệp cung cấp Public Cloud Service và xử lý PII thay mặt khách hàng với vai trò PII Processor, không phải mọi doanh nghiệp chỉ đơn thuần sử dụng Cloud.

SaaS, PaaS, IaaS Provider và Cloud Application Provider

Cung cấp phần mềm, nền tảng hoặc hạ tầng Cloud có xử lý PII thay mặt khách hàng B2B, đặc biệt khi có khách hàng tại EU hoặc tập đoàn quốc tế.

Cloud CRM, HRM, ERP, Contact Center, Accounting Platform

Xử lý lượng lớn dữ liệu khách hàng, dữ liệu nhân sự hoặc dữ liệu tài chính thay mặt doanh nghiệp sử dụng dịch vụ.

Cloud Healthcare Platform và Cloud Education Platform

Xử lý dữ liệu sức khỏe hoặc dữ liệu học viên — nhóm PII nhạy cảm cần kiểm soát vòng đời chặt chẽ trên Public Cloud.

Doanh nghiệp thường xuyên nhận bộ câu hỏi thẩm định quyền riêng tư

Cần chứng minh năng lực bảo vệ PII trong quá trình Vendor Due Diligence từ khách hàng, đối tác quốc tế.

Doanh nghiệp đã có ISO/IEC 27001 muốn mở rộng sang Privacy và Cloud

Muốn tích hợp bảo vệ PII vào hệ thống quản lý an toàn thông tin hiện có thay vì xây dựng hệ thống riêng biệt.

Rà Soát Trước Khi Triển Khai ISO/IEC 27018

Musk-IS rà soát 5 nhóm rủi ro Privacy khi doanh nghiệp xử lý PII trên Cloud mà chưa có hệ thống kiểm soát bài bản.

Đánh giá khoảng cách ISO 27018

Đã có ISO 27001/27701Bổ sung kiểm soát PII

Chưa có hệ thốngXây dựng theo phạm vi PII

01

Mục đích xử lý PII

Chưa rõ mục đích, dữ liệu dùng sai thỏa thuận

02

Kiểm soát truy cập PII

Quyền quá rộng, thiếu MFA, không rà soát định kỳ

03

Bên xử lý phụ

Chưa có danh mục Subprocessor

04

Lưu trữ & xóa dữ liệu

Chưa có thời hạn lưu và quy trình xóa

05

Minh bạch xử lý PII

Chưa rõ vị trí dữ liệu, thiếu bằng chứng tuân thủ

ISO/IEC 27018 không phải tiêu chuẩn chung cho mọi doanh nghiệp chỉ đơn thuần sử dụng Cloud — phạm vi cốt lõi là tổ chức cung cấp dịch vụ Public Cloud với vai trò PII Processor.

Xem quy trình 6 bước

Vì Sao Doanh Nghiệp Cần ISO/IEC 27018?

Khi doanh nghiệp xử lý PII của khách hàng trên Public Cloud, khách hàng không chỉ quan tâm hệ thống có an toàn hay không mà còn muốn biết dữ liệu của họ được sử dụng, lưu trữ, chia sẻ và xóa như thế nào.

Chuẩn hóa bảo vệ PII trên Public Cloud

Làm rõ mục đích và phạm vi xử lý PII
Hạn chế việc sử dụng dữ liệu ngoài mục đích đã thống nhất
Kiểm soát quyền truy cập dữ liệu chặt chẽ hơn

Kiểm soát chuỗi bên xử lý phụ

Quản lý các bên bên xử lý phụ tham gia xử lý PII
Tăng tính minh bạch với khách hàng về luồng dữ liệu
Chuẩn hóa quy trình xử lý sự cố liên quan đến PII

Kiểm soát trọn vòng đời dữ liệu

Xây dựng cơ chế xóa và hoàn trả dữ liệu khi kết thúc dịch vụ
Xác minh dữ liệu đã được xóa khỏi cả hệ thống sao lưu
Kiểm soát thời gian lưu giữ đúng nhu cầu thực tế

Đáp ứng thẩm định từ khách hàng quốc tế

Hỗ trợ đáp ứng Security và bộ câu hỏi thẩm định quyền riêng tư
Hỗ trợ Vendor Due Diligence của khách hàng
Tăng khả năng chứng minh năng lực bảo vệ quyền riêng tư

Tạo lợi thế kinh doanh cho SaaS/Cloud Provider

Tạo lợi thế khi cung cấp SaaS hoặc Cloud Service cho doanh nghiệp quốc tế
Hỗ trợ thực hiện nghĩa vụ hợp đồng về bảo vệ dữ liệu
Rút ngắn quá trình thẩm định của khách hàng lớn

Nền tảng tích hợp cho các khung Privacy khác

Tạo nền tảng để tích hợp GDPR và Luật Bảo vệ Dữ liệu Cá nhân Việt Nam
Dễ dàng mở rộng sang PIPA Hàn Quốc, PDPA Đài Loan khi cần
Giảm chi phí khi triển khai đồng thời nhiều khung tuân thủ

01. Xác định đúng phạm vi PII và vai trò Processor

Xác định chính xác doanh nghiệp có thuộc phạm vi cốt lõi của ISO/IEC 27018 hay không trước khi triển khai, tránh đầu tư sai trọng tâm.

Xây dựng PII Inventory và luồng dữ liệu đối chiếu
Xác định Data Subject, khách hàng Bên Kiểm soát dữ liệu liên quan
Xác định hệ thống, Database, Storage và Cloud Region
Xác định luồng dữ liệu xuyên biên giới và bên xử lý phụ

01. Xác định đúng phạm vi PII và vai trò Processor

02. Đánh giá rủi ro quyền riêng tư và thiết kế kiểm soát

Đánh giá các rủi ro đặc thù ảnh hưởng đến PII trong quá trình cung cấp Cloud Service, từ truy cập trái phép đến rủi ro từ bên xử lý phụ.

Đánh giá Unauthorized Access, Data Leakage, Insider Threat
Đánh giá rủi ro lưu trữ dữ liệu và Inadequate Data xoá dữ liệu
Xác định Risk Owner, Existing kiểm soát và Residual Risk
Thiết kế xử lý rủi ro và bằng chứng cần duy trì

02. Đánh giá rủi ro quyền riêng tư và thiết kế kiểm soát

03. Quản lý bên xử lý phụ và bên thứ ba

Bảo đảm doanh nghiệp biết PII của khách hàng đang được chuyển cho ai và những bên đó chịu trách nhiệm gì.

Xây dựng bên xử lý phụ danh mục và phân loại rủi ro
Thiết lập tiêu chí thẩm định quyền riêng tư
Rà soát dữ liệu Processing Agreement với từng bên
Thiết lập cơ chế rà soát định kỳ và theo dõi thay đổi

04. Tích hợp với ISO/IEC 27001, 27017 và 27701

Với doanh nghiệp đã triển khai các tiêu chuẩn ISO liên quan, Musk-IS ưu tiên kế thừa thay vì xây dựng lại từ đầu.

Tận dụng Risk Management, Access kiểm soát, Incident Management sẵn có
Bổ sung Privacy yêu cầu, PII Lifecycle và bên xử lý phụ kiểm soát
Tích hợp đánh giá nội bộ, họp xem xét của lãnh đạo, hành động khắc phục
Xây dựng hệ thống thống nhất cho Security, Cloud và Privacy

04. Tích hợp với ISO/IEC 27001, 27017 và 27701

Dự Án Tiêu Biểu

Các dự án ISO/IEC 27018, Privacy, Cloud Security hoặc ISO/IEC 27001/27701 có phạm vi PII trên Cloud mà Musk-IS được phép công bố, không bao gồm PII khách hàng, Credential hay Tenant ID.

Xem thêm

ISO 27001Taiwan

ISO 27001BS 10012HongkongKoreaTaiwan

ISO 27001ISO 27701Taiwan

ISO 27701ISO 27017ISO 27018Taiwan

ISO 27001BS 10012Taiwan

ISO 27001Taiwan

01

ĐÁNH GIÁ – GAP ASSESSMENT

Rà soát hiện trạng xử lý PII trên Public Cloud
Đối chiếu với ISO/IEC 27018:2025 và ISO/IEC 27002
Xác định nhóm khắc phục nhanh (Quick Wins) và thứ tự ưu tiên
Lập lộ trình triển khai ISO/IEC 27018

02

XÂY DỰNG – BUILD

Xây dựng PII Inventory, luồng dữ liệu và Privacy đánh giá rủi ro
Xây dựng bên xử lý phụ Management và Access kiểm soát
Soạn thảo PII Protection chính sách và các quy trình liên quan
Xây dựng lưu trữ dữ liệu và Secure xoá dữ liệu Framework

04

VẬN HÀNH – OPERATE

Vận hành kiểm soát truy cập, ghi nhật ký và Monitoring cho PII
Đào tạo nhận thức quyền riêng tư cho IT, Security và vận hành Cloud
Thu thập bằng chứng liên tục trong quá trình xử lý PII
Xử lý yêu cầu tiết lộ, xóa hoặc hoàn trả dữ liệu theo hợp đồng

03

DUY TRÌ – MAINTAIN

Rà soát PII Inventory, luồng dữ liệu và bên xử lý phụ định kỳ
Đánh giá nội bộ định kỳ và chuẩn bị Surveillance Audit
Rà soát khi triển khai dịch vụ Cloud mới hoặc thay đổi Cloud Region
Cập nhật khi tiêu chuẩn hoặc yêu cầu pháp lý thay đổi

Bước 1: Khảo sát hiện trạng & xác định phạm vi

Xác định Cloud Service, vai trò PII Processor, khách hàng liên quan, PII thuộc phạm vi, hệ thống và Cloud Region.

Bước 2: Lập bản đồ dữ liệu & đánh giá khoảng cách

Xây dựng PII Inventory, lập luồng dữ liệu, xác định bên xử lý phụ, đánh giá khoảng cách ISO/IEC 27018 và xây dựng lộ trình.

Bước 3: Privacy đánh giá rủi ro & thiết kế kiểm soát

Đánh giá rủi ro quyền riêng tư, xác định xử lý rủi ro, thiết kế kiểm soát và xác định bằng chứng cần duy trì.

Bước 4: Xây dựng chính sách, quy trình & Documentation

Xây dựng tài liệu, chuẩn hóa hợp đồng và quy trình, xây dựng lưu trữ dữ liệu và xoá dữ liệu, hoàn thiện bên xử lý phụ Management.

Bước 5: Hướng dẫn vận hành & đánh giá nội bộ

Đào tạo, thu thập bằng chứng, thực hiện đánh giá nội bộ, rà soát khoảng cách và hành động khắc phục.

Bước 6: Hỗ trợ đánh giá chứng nhận

Chuẩn bị mức sẵn sàng chứng nhận, chuẩn bị bằng chứng, hỗ trợ làm việc với tổ chức chứng nhận và phân tích điểm không phù hợp nếu có.

Musk-IS giúp chúng tôi xây dựng PII Inventory và bên xử lý phụ Register đầy đủ, điều mà trước đây chúng tôi chưa từng hệ thống hóa dù đã xử lý dữ liệu khách hàng nhiều năm.