Cập nhật ISO/IEC 27001:2022 – Những thay đổi quan trọng các tổ chức cần biết

ISO/IEC 27001 – tiêu chuẩn quốc tế hàng đầu về hệ thống quản lý an ninh thông tin (ISMS) – đã chính thức được cập nhật phiên bản mới vào ngày 25/10/2022. Sau gần một thập kỷ kể từ phiên bản trước (2013), lần sửa đổi lần này mang đến nhiều cải tiến nhằm nâng cao hiệu quả quản lý rủi ro an ninh thông tin, thích ứng tốt hơn với bối cảnh công nghệ đang thay đổi nhanh chóng.

Dưới góc nhìn chuyên môn từ Viện Nghiên cứu Phát triển Chứng nhận Toàn cầu (GCDRI), bài viết sẽ phân tích toàn diện các điểm thay đổi chính giữa ISO/IEC 27001:2013 và ISO/IEC 27001:2022, giúp tổ chức và doanh nghiệp tại Việt Nam nắm bắt và ứng dụng tiêu chuẩn mới một cách hiệu quả, đảm bảo khả năng chuyển đổi đúng hạn và duy trì chứng nhận cập nhật.

Những thay đổi chính trong hệ thống ISO/IEC 27001:2022

So với phiên bản 2013, ISO/IEC 27001:2022 có một số cập nhật trọng yếu ở cả phần nội dung điều khoản và Phụ lục A – bảng kiểm soát an ninh thông tin. Những thay đổi này chủ yếu nhằm đảm bảo tính tương thích cao hơn với các tiêu chuẩn khác trong bộ ISO như ISO 9001, ISO 14001 và ứng dụng định dạng Annex SL.

Các thay đổi trong hệ thống quản lý (Phần chính của tiêu chuẩn)

Mặc dù các điều khoản bắt buộc từ mục 4 đến 10 chỉ cập nhật ở phạm vi nhỏ, song một số mở rộng và bổ sung quan trọng đã được ghi nhận để tăng cường tính rõ ràng và hiệu lực triển khai của hệ thống quản lý an ninh thông tin:

• Điều khoản 4.2 – Bên quan tâm và yêu cầu: Bổ sung yêu cầu phân tích xem yêu cầu nào của các bên liên quan cần được giải quyết thông qua hệ thống ISMS.
• Điều khoản 4.4 – Quản lý hệ thống ISMS: Bổ sung yêu cầu lập kế hoạch cho các quy trình và mối tương tác của chúng như một bộ phận của ISMS.
• Điều khoản 5.3 – Vai trò và trách nhiệm: Làm rõ yêu cầu tổ chức phải đảm bảo trao đổi thông tin hiệu quả về vai trò và trách nhiệm trong nội bộ.
• Điều khoản 6.2 – Mục tiêu an toàn thông tin: Bổ sung yêu cầu giám sát tiến độ đạt được mục tiêu.
• Điều khoản 6.3 – Kế hoạch thay đổi: Là điểm mới hoàn toàn, đề xuất mọi thay đổi trong ISMS phải có kế hoạch và thực hiện phù hợp.
• Điều khoản 7.4 – Truyền thông: Rút gọn một số nội dung, loại bỏ yêu cầu thiết lập quy trình liên lạc.
• Điều khoản 8.1 – Lập kế hoạch và kiểm soát hoạt động: Đưa thêm yêu cầu thiết lập tiêu chí và triển khai quy trình bảo mật phù hợp với các tiêu chí đã đề ra. Đồng thời loại bỏ yêu cầu lên kế hoạch đạt mục tiêu – vì đã được thể hiện ở mục 6.2.
• Điều khoản 9.3 – Đánh giá của lãnh đạo: Bổ sung nội dung đánh giá mức độ đáp ứng nhu cầu của bên liên quan và việc tích hợp với ISMS.
• Điều khoản 10 – Cải tiến: Sắp xếp lại các nội dung nhỏ thành “Cải tiến liên tục” và “Khắc phục sự không phù hợp”, không thay đổi nội dung nhưng trình bày khoa học hơn.

Thay đổi trong Phụ lục A – Hệ thống kiểm soát an ninh thông tin

Phụ lục A là nơi chứa các biện pháp kiểm soát an toàn thông tin khuyến nghị – đóng vai trò trọng yếu trong việc triển khai thực tiễn hệ thống ISMS cho doanh nghiệp.

Tổng quan về những thay đổi:

• Số lượng kiểm soát giảm từ 114 xuống còn 93, nhờ việc hợp nhất 57 kiểm soát có nội dung trùng lặp hoặc tương đương.
• Các kiểm soát mới được tổ chức theo 4 nhóm thay vì 14 nhóm như trước đây:
  • Điều khoản 5: Biện pháp tổ chức
  • Điều khoản 6: Con người
  • Điều khoản 7: Vật lý
  • Điều khoản 8: Công nghệ

11 kiểm soát mới được bổ sung:

Các biện pháp kiểm soát mới này tập trung vào các rủi ro hiện đại như rò rỉ dữ liệu, an ninh đám mây, lập trình an toàn hay quản lý cấu hình – những vấn đề ngày càng phổ biến trong thời đại số hóa mạnh mẽ.

Thời hạn bắt buộc chuyển đổi sang ISO/IEC 27001:2022

Theo hướng dẫn từ Diễn đàn Công nhận Quốc tế (IAF), các tổ chức đã được chứng nhận theo ISO/IEC 27001:2013 cần hoàn tất việc chuyển đổi sang phiên bản mới trước ngày 31/10/2025.

Tuy nhiên, các tổ chức chứng nhận sẽ bắt đầu cấp chứng chỉ theo bản 2022 kể từ ngày 31/10/2023, báo hiệu một khoảng thời gian chuyển đổi đủ dài để doanh nghiệp chuẩn bị. Tuy vậy, GCDRI khuyến cáo doanh nghiệp nên thực hiện sớm việc rà soát hệ thống để cập nhật các nội dung mới phù hợp, nhằm đảm bảo duy trì chứng nhận và phát triển hệ thống an toàn thông tin hiệu quả hơn.

Tác động thực tế đến doanh nghiệp

Phần lớn những điều chỉnh trong bản cập nhật là mở rộng hoặc diễn giải rõ ràng hơn các yêu cầu hiện có, không phải là thay đổi hoàn toàn mới. Điều này giúp:

• Doanh nghiệp đã có nền tảng ISO/IEC 27001:2013 sẽ dễ dàng nâng cấp hệ thống, đặc biệt nếu đang duy trì hiệu quả quy trình ISMS.
• Các kiểm soát mới trong Phụ lục A có thể dễ dàng tích hợp vào tài liệu hiện hành thông qua các hướng dẫn an ninh bổ sung.
• Thêm các yêu cầu về quản trị và đo lường mục tiêu giúp hệ thống ISMS vận hành chuyên nghiệp hơn, tăng khả năng phản ứng với thay đổi rủi ro.

Tuy nhiên, với sự phức tạp đang gia tăng trong môi trường công nghệ số, việc chuyển đổi đầu tư kỹ lưỡng sang ISO/IEC 27001:2022 là cơ hội quan trọng để nâng cấp toàn diện hệ thống quản lý bảo mật thông tin.

Lời khuyên chuyên gia từ GCDRI

Viện Nghiên Cứu Phát Triển Chứng Nhận Toàn Cầu (GCDRI) khuyến nghị tổ chức nên:

• Bắt đầu đánh giá khoảng cách (Gap analysis) giữa hệ thống hiện tại và yêu cầu phiên bản mới,
• Cập nhật tài liệu, chính sách hệ thống và đánh giá lại các biện pháp kiểm soát đang áp dụng,
• Đào tạo nhân sự nắm bắt các kiểm soát mới và công cụ đánh giá rủi ro tương ứng,
• Phối hợp sớm với tổ chức chứng nhận để xây dựng lộ trình chuyển đổi và tái đánh giá hiệu quả.

Việc chủ động triển khai sớm sẽ giúp tổ chức tránh tình trạng bị động vào thời điểm cận hạn và đóng góp cho hệ thống quản trị an ninh thông tin bền vững trước các mối đe doạ ngày càng tinh vi.

Nếu bạn đang cần hỗ trợ triển khai ISO/IEC 27001 phiên bản mới hoặc cần tư vấn xây dựng, đào tạo chuẩn hóa hệ thống an ninh thông tin, hãy liên hệ ngay với GCDRI. Với đội ngũ chuyên gia uy tín, phương pháp đào tạo hiệu quả và tài liệu cập nhật theo từng ngành nghề, chúng tôi sẵn sàng đồng hành cùng bạn trong hành trình chuyển đổi và nâng cao năng lực quản lý bảo mật thông tin.

Liên hệ ngay:

• Hotline: 0904.889.859 (Ms.Hoa)
• Email: chungnhantoancau@gmail.com

Hãy để GCDRI giúp bạn làm chủ tiêu chuẩn ISO/IEC 27001:2022 – bệ phóng vững chắc xây dựng hệ thống an ninh thông tin tiêu chuẩn quốc tế.