Chuyển đến nội dung
DMC DEFENSE

ISO 27001 không phải tấm bằng, mà là một hệ thống vận hành liên tục.

ISO 27001 là tiêu chuẩn quốc tế về bảo mật thông tin. Nó không chứng nhận một tài liệu: nó chứng nhận một Hệ thống Quản lý Bảo mật Thông tin (ISMS) sống, được đo lường và cải thiện. Chúng tôi đồng hành cùng bạn tới chứng nhận, do một tổ chức độc lập cấp.

Mục lục

Một ISMS, không phải tập hồ sơ quy trình

Sai lầm tốn kém nhất là coi ISO 27001 như một chồng tài liệu phải làm để lấy con dấu. Tiêu chuẩn không đòi tài liệu: nó đòi một hệ thống quản lý, một cách bền vững để quyết định, hành động và kiểm chứng.

Hệ thống đó dựa trên một phân tích rủi ro của riêng bạn. Bạn không tích 93 ô: bạn xác định điều thực sự đe dọa thông tin của mình, quyết định cách xử lý, và viết một Tuyên bố Áp dụng biện minh cho từng kiểm soát được giữ, hay loại bỏ.

Và vì rủi ro hôm nay khác rủi ro năm sau, ISMS được xây để vận hành: đo lường, sửa chữa, lặp lại. Chứng nhận xác nhận cỗ máy này hoạt động, không phải một hồ sơ đã đầy đủ.

Chu kỳ chứng nhận

  1. Năm 0Chứng nhậnĐánh giá Giai đoạn 1 và 2
  2. Năm 1Giám sátĐánh giá theo dõi
  3. Năm 2Giám sátĐánh giá theo dõi
  4. Năm 3Tái chứng nhậnChu kỳ lặp lại

Chứng nhận có hiệu lực ba năm. Mỗi năm có một cuộc đánh giá giám sát; hết chu kỳ, mọi thứ bắt đầu lại. Đây không phải vạch đích, mà là một nhịp điệu.

Điều tiêu chuẩn thực sự yêu cầu

  • Phương pháp dựa trên rủi ro

    Quyết định bảo mật xuất phát từ rủi ro của bạn, không từ một mẫu chung.

  • Cải thiện liên tục

    ISMS tự đo lường và tự sửa theo vòng lặp, không bao giờ đóng băng.

  • 93 kiểm soát cần cân nhắc

    Phụ lục A đề xuất; Tuyên bố Áp dụng của bạn quyết định.

Động cơ: Lập kế hoạch, Thực hiện, Kiểm tra, Cải tiến

Bên dưới chứng nhận là một vòng lặp, gọi là PDCA. Nó không bao giờ dừng: mỗi vòng tinh chỉnh bảo mật của vòng trước. Chứng nhận chỉ là một điểm trên vòng này, vượt qua một lần, rồi thăm lại ở mỗi cuộc đánh giá.

Vòng lặp PDCA

  • Lập kế hoạch

    Xác định phạm vi, lập bản đồ rủi ro, đặt mục tiêu bảo mật và các kiểm soát cần triển khai.

  • Thực hiện

    Triển khai kiểm soát kỹ thuật và tổ chức, đào tạo đội ngũ, duy trì các quy trình.

  • Kiểm tra

    Đo hiệu quả qua chỉ số, kiểm toán nội bộ và đánh giá quản lý. Tìm các khoảng trống.

  • Cải tiến

    Sửa điểm không phù hợp, điều chỉnh kiểm soát, đưa bài học trở lại, rồi bắt đầu vòng mới.

Con đường tới chứng nhận

Ở đây, ngược lại, thứ tự quan trọng: đây là một chuỗi thực sự, từ chẩn đoán đầu tiên đến cuộc đánh giá chứng nhận. Chúng tôi điều hành trọn vẹn; cuộc đánh giá cuối cùng thuộc về một tổ chức chứng nhận độc lập.

Từ chẩn đoán đến đánh giá

  1. 01 · Tháng 1

    Phân tích bối cảnh

    Hiểu tổ chức, các bên liên quan và phạm vi ISMS, và đo khoảng cách so với tiêu chuẩn.

  2. 02 · Tháng 2

    Phân tích rủi ro

    Xác định và đánh giá rủi ro, lập kế hoạch xử lý và viết Tuyên bố Áp dụng (SoA).

  3. 03 · Tháng 2-3

    Tài liệu ISMS

    Viết chính sách và quy trình tiêu chuẩn yêu cầu, mà không biến chúng thành tượng đài hành chính.

  4. 04 · Tháng 3-5

    Triển khai

    Triển khai kiểm soát kỹ thuật và tổ chức, đào tạo đội ngũ, đưa hệ thống vào vận hành.

  5. 05 · Tháng 5-6

    Kiểm toán nội bộ

    Kiểm toán ISMS từ bên trong, họp đánh giá quản lý, sửa điểm không phù hợp trước khi tổ chức đến.

  6. 06 · Tháng 6-8

    Đánh giá chứng nhận

    Hỗ trợ đánh giá Giai đoạn 1 (tài liệu) và Giai đoạn 2 (hiệu quả) do tổ chức chứng nhận thực hiện.

Được chứng nhận, và chu kỳ bắt đầu

Chứng chỉ được cấp cho ba năm. Chuỗi kết thúc, nhưng vòng lặp tiếp quản: ngay năm sau, một cuộc đánh giá giám sát kiểm tra ISMS vẫn đang vận hành.

Thời lượng mang tính tham khảo: thay đổi theo phạm vi của ISMS.

93 kiểm soát của Phụ lục A

ISO 27001:2022 nhóm các kiểm soát thành bốn chủ đề. Đây không phải các bước vượt qua lần lượt: chúng áp dụng cùng nhau, liều lượng theo rủi ro của bạn.

93kiểm soát trong 4 chủ đề

  • A.5 · 37 kiểm soát

    Tổ chức

    Chính sách, vai trò và trách nhiệm, quản lý tài sản, kiểm soát truy cập, quan hệ nhà cung cấp.

  • A.6 · 8 kiểm soát

    Con người

    Tuyển dụng, nâng cao nhận thức, đào tạo, quy trình kỷ luật, trách nhiệm sau hợp đồng.

  • A.7 · 14 kiểm soát

    Vật lý

    Vành đai an toàn, truy cập vật lý, bảo vệ môi trường, an toàn hệ thống cáp.

  • A.8 · 34 kiểm soát

    Công nghệ

    Bảo mật mạng, mã hóa, quản lý lỗ hổng, phát triển an toàn, ghi nhật ký.

Phân bổ Phụ lục A của ISO/IEC 27001:2022 (mục A.5 đến A.8). Thanh theo đúng tỷ lệ.

Chứng nhận mở ra điều gì

Ngoài con dấu, một ISMS vận hành tạo ra hiệu ứng cụ thể, trên thị trường, khách hàng và mức độ phơi nhiễm rủi ro của bạn.

  • Công nhận toàn cầu

    Chứng chỉ được ghi nhận tại 150 quốc gia và trong mọi lĩnh vực kinh tế (ISO Survey 2022).

  • Tiếp cận thị trường

    Điều kiện thường gặp trong đấu thầu công và các khách hàng lớn tư nhân.

  • Niềm tin khách hàng

    Bằng chứng độc lập về sự nghiêm túc của bạn, không cần phải giải trình.

  • Giảm rủi ro

    Xác định chủ động và xử lý có hệ thống các rủi ro thông tin của bạn.

  • Tuân thủ dễ hơn

    Một nền tảng tăng tốc tuân thủ GDPR, NIS2 và theo ngành.

  • Cải thiện liên tục

    Phản xạ điều chỉnh thường trực, tích hợp vào cách doanh nghiệp vận hành.

Nguồn tham khảo

Các dữ kiện trong hướng dẫn này (cấu trúc tiêu chuẩn, số lượng kiểm soát, thời hạn chứng chỉ) lấy từ các văn bản công khai sau.

Tiêu chuẩn

Chứng nhận

Nguồn được tra cứu ngày 29/09/2026.

Đọc thêm

Cùng đưa ISMS của bạn vào vận hành.

Chuyên gia của chúng tôi đánh giá miễn phí mức trưởng thành và vạch lộ trình tới chứng nhận, từ khoảng cách ban đầu đến cuộc đánh giá Giai đoạn 2.

Yêu cầu audit miễn phíKhám phá PSSI

Khám phá SOC 24/7