Đánh Giá Rủi Ro An Toàn Thông Tin Theo ISO 27001

Đánh giá rủi ro an toàn thông tin là phần quyết định chất lượng của cả hệ thống ISMS theo tiêu chuẩn ISO 27001, và cũng là phần đánh giá viên xem kỹ nhất. Bài viết trình bày trình tự thực hiện, những lỗi khiến kết quả trở nên vô dụng, và cách nối kết quả đánh giá rủi ro với Tuyên bố áp dụng.

Vì sao đánh giá rủi ro là gốc của ISMS

ISO/IEC 27001:2022 không đưa ra một danh sách biện pháp bắt buộc phải áp dụng. Thay vào đó, tiêu chuẩn yêu cầu tổ chức tự xác định rủi ro của mình rồi chọn biện pháp tương xứng. Nghĩa là: nếu đánh giá rủi ro sai, mọi thứ phía sau — biện pháp kiểm soát, Tuyên bố áp dụng, kế hoạch xử lý, ngân sách — đều sai theo.

Đây cũng là lý do không thể mua một bộ hồ sơ mẫu về dùng. Rủi ro của một công ty phần mềm 30 người khác hẳn rủi ro của một ngân hàng hay một trung tâm dữ liệu, dù cả ba đều chứng nhận theo cùng một tiêu chuẩn.

Tiêu chuẩn yêu cầu gì

Điều khoản 6.1.2 yêu cầu tổ chức xác định và áp dụng một quá trình đánh giá rủi ro an toàn thông tin, trong đó phải:

Thiết lập tiêu chí rủi ro — gồm tiêu chí chấp nhận rủi ro và tiêu chí để thực hiện đánh giá.
Bảo đảm tính nhất quán và có thể so sánh — chạy lại quá trình phải cho kết quả tương đương, không phụ thuộc người thực hiện.
Nhận diện rủi ro đối với tính bảo mật, toàn vẹn và sẵn sàng của thông tin trong phạm vi ISMS.
Xác định chủ sở hữu rủi ro — người có thẩm quyền và trách nhiệm với rủi ro đó.
Phân tích rủi ro — hậu quả nếu xảy ra và khả năng xảy ra thực tế.
Đánh giá rủi ro — so với tiêu chí đã đặt và xếp thứ tự ưu tiên xử lý.

Điều khoản 6.1.3 tiếp nối bằng xử lý rủi ro: chọn phương án, xác định biện pháp kiểm soát cần thiết, đối chiếu với Phụ lục A để không bỏ sót, rồi lập Tuyên bố áp dụng và kế hoạch xử lý rủi ro được chủ sở hữu rủi ro phê duyệt.

Trình tự thực hiện

Xác định phạm vi và bối cảnh. Rủi ro chỉ có nghĩa trong một phạm vi cụ thể. Xác định trước bộ phận, dịch vụ, địa điểm và hệ thống nằm trong ISMS.
Lập danh mục tài sản thông tin. Đây là thông tin, không phải thiết bị: dữ liệu khách hàng, mã nguồn, hồ sơ nhân sự, hợp đồng, cấu hình hệ thống, thông tin xác thực.
Xác định chủ sở hữu cho từng nhóm tài sản.
Nhận diện mối đe doạ và điểm yếu tương ứng với từng tài sản.
Phân tích hậu quả và khả năng xảy ra, có tính tới biện pháp đang thực sự vận hành.
So với tiêu chí chấp nhận và xếp thứ tự ưu tiên.
Chọn phương án xử lý: giảm thiểu, chuyển giao, tránh, hoặc chấp nhận.
Đối chiếu Phụ lục A để kiểm tra không bỏ sót biện pháp nào cần thiết.

Hai cách tiếp cận: theo tài sản hay theo kịch bản

Theo tài sản — liệt kê tài sản, gán mối đe doạ và điểm yếu cho từng tài sản. Ưu điểm: có hệ thống, dễ chứng minh đã bao phủ. Nhược điểm: với tổ chức lớn thì danh mục phình rất nhanh và phần lớn dòng lặp lại.

Theo kịch bản — mô tả các tình huống có thể xảy ra (rò rỉ dữ liệu khách hàng qua email, mã độc tống tiền, nhân sự nghỉ việc mang theo dữ liệu, nhà cung cấp đám mây gián đoạn) rồi đánh giá từng kịch bản. Ưu điểm: gần với cách lãnh đạo suy nghĩ, dễ ra quyết định. Nhược điểm: dễ bỏ sót nếu người làm không đủ kinh nghiệm.

Tiêu chuẩn không bắt buộc cách nào. Nhiều tổ chức dùng kết hợp: nền là danh mục tài sản, phủ lên trên là một số kịch bản trọng yếu.

Những lỗi khiến kết quả trở nên vô dụng

Liệt kê thiết bị thay vì thông tin. “Máy chủ số 3” không phải tài sản thông tin — dữ liệu chạy trên nó mới là. Sai từ bước này khiến toàn bộ phân tích lệch.
Không xác định chủ sở hữu rủi ro. Hệ quả trực tiếp: không ai chịu trách nhiệm xử lý, và kế hoạch xử lý không có ai phê duyệt.
Chấm điểm theo cảm tính rồi hợp lý hoá ngược. Người chấm biết trước muốn kết luận rủi ro thấp nên chọn điểm cho vừa.
Tính cả biện pháp chưa tồn tại. Biện pháp nằm trên kế hoạch không phải biện pháp đang vận hành.
Làm một lần rồi để đó. Tiêu chuẩn yêu cầu đánh giá lại theo kế hoạch và khi có thay đổi đáng kể — đổi nhà cung cấp, ra dịch vụ mới, sự cố, thay đổi pháp luật.
Bỏ qua rủi ro từ bên thứ ba. Dịch vụ đám mây, đơn vị thuê ngoài, nhà cung cấp phần mềm đều nằm trong phạm vi rủi ro dù không nằm trong phạm vi tổ chức.
Không nối được với Phụ lục A. Kết quả đánh giá rủi ro và Tuyên bố áp dụng mâu thuẫn nhau là điểm không phù hợp gần như chắc chắn bị nêu.

Bốn phương án xử lý rủi ro

Sau khi xếp thứ tự ưu tiên, mỗi rủi ro cần một quyết định xử lý. Bốn phương án chuẩn:

Giảm thiểu — áp dụng biện pháp kiểm soát để hạ khả năng xảy ra hoặc hạ mức tác động. Đây là phương án phổ biến nhất và là nơi Phụ lục A phát huy vai trò.
Chuyển giao — chuyển một phần hậu quả sang bên khác, thường bằng bảo hiểm hoặc điều khoản hợp đồng với nhà cung cấp. Lưu ý: chuyển giao hậu quả tài chính không chuyển giao được trách nhiệm với khách hàng và với pháp luật.
Tránh — dừng hoặc thay đổi hoạt động sinh ra rủi ro. Ví dụ: ngừng lưu trữ một loại dữ liệu nhạy cảm không thực sự cần.
Chấp nhận — giữ nguyên rủi ro vì nó nằm dưới ngưỡng chấp nhận, hoặc vì chi phí xử lý vượt quá giá trị bảo vệ được. Quyết định này phải được chủ sở hữu rủi ro phê duyệt bằng văn bản, không phải mặc nhiên.

Một điểm hay bị nhầm: “chấp nhận” khác hẳn “chưa xử lý”. Chấp nhận là một quyết định có ý thức, có người chịu trách nhiệm và có hồ sơ. Chưa xử lý là thiếu sót.

Rủi ro còn lại

Sau khi áp dụng biện pháp, phần rủi ro chưa được loại bỏ hết gọi là rủi ro còn lại. Tiêu chuẩn yêu cầu tổ chức chấp nhận rủi ro còn lại một cách chính thức, do chủ sở hữu rủi ro thực hiện.

Trong thực tế, đây là bước hay bị bỏ vì trông có vẻ hình thức. Nhưng nó có giá trị thật: nó buộc người có thẩm quyền phải nhìn thấy và ký vào mức rủi ro mà tổ chức đang mang, thay vì để mức đó tồn tại một cách vô danh trong một bảng tính không ai đọc.

Nên chấm điểm hai lần cho mỗi rủi ro — trước và sau biện pháp — vì khoảng cách giữa hai con số chính là giá trị mà hệ thống kiểm soát đang tạo ra. Với những chỗ khoảng cách lớn, hệ thống đang phụ thuộc nặng vào một vài biện pháp, và cần cơ chế giám sát chặt hơn cho chính các biện pháp đó.

Tiêu chí chấp nhận rủi ro — phần hay bị bỏ trống

Tiêu chuẩn yêu cầu tiêu chí này phải được thiết lập trước, không phải suy ra sau khi đã chấm điểm. Tiêu chí cần trả lời được: mức rủi ro nào tổ chức chấp nhận mà không cần xử lý, mức nào phải xử lý trong bao lâu, và ai có thẩm quyền chấp nhận một rủi ro ở mức cao.

Thiếu tiêu chí này thì bảng điểm rủi ro không dẫn tới quyết định nào — mọi rủi ro đều trông như nhau và không ai biết phải xử lý cái gì trước.

Nối sang Tuyên bố áp dụng và kế hoạch xử lý

Đầu ra của đánh giá rủi ro phải chảy tiếp vào hai tài liệu bắt buộc:

Tuyên bố áp dụng (SoA) — với từng biện pháp trong 93 biện pháp của Phụ lục A: áp dụng hay không, triển khai thế nào, nếu loại trừ thì vì sao. Lý do loại trừ phải nhất quán với kết quả đánh giá rủi ro.
Kế hoạch xử lý rủi ro — biện pháp bổ sung, người chịu trách nhiệm, thời hạn, nguồn lực; và phải được chủ sở hữu rủi ro phê duyệt, kèm chấp nhận rủi ro còn lại.

Hướng dẫn chi tiết cách triển khai từng biện pháp nằm ở ISO/IEC 27002:2022.

Hồ sơ cần lưu

Phương pháp và tiêu chí đánh giá rủi ro; danh mục tài sản thông tin kèm chủ sở hữu; kết quả nhận diện, phân tích và đánh giá rủi ro; kế hoạch xử lý rủi ro đã phê duyệt; hồ sơ chấp nhận rủi ro còn lại; và hồ sơ các lần đánh giá lại kèm lý do.

Toàn bộ bộ tài liệu ISMS được liệt kê tại bài bộ tài liệu ISO 27001.

Về thời hạn lưu: hồ sơ đánh giá rủi ro nên lưu ít nhất trọn một chu kỳ chứng nhận ba năm, vì đánh giá viên ở lần tái chứng nhận sẽ muốn thấy quá trình rủi ro tiến hoá thế nào qua các kỳ, chứ không chỉ ảnh chụp tại thời điểm hiện tại.

Bước tiếp theo

Nếu doanh nghiệp bạn đang xây dựng ISMS, hãy làm đánh giá rủi ro trước khi viết bất kỳ quy trình nào — vì chính nó quyết định bạn cần những quy trình gì. Xem thêm hướng dẫn triển khai ISO 27001 từ A đến Z hoặc quy trình chứng nhận ISO 27001.

🔗 Xem thêm: Tiêu chuẩn ISO 27001: Bảo vệ tài sản thông tin toàn diện cho doanh nghiệp thời đại số

Hoa Linh

Chuyên Gia at Viện Nghiên Cứu Phát Triển Chứng Nhận Toàn Cầu – hoalinh@chungnhantoancau.vn – Web

Hoa Linh là chuyên gia tư vấn và triển khai hệ thống quản lý theo tiêu chuẩn quốc tế ISO với hơn 8 năm kinh nghiệm hỗ trợ doanh nghiệp Việt Nam đạt chứng nhận ISO 9001, ISO 14001, ISO 45001, ISO 22000, ISO 27001 và ISO 50001. Với nền tảng kiến thức chuyên sâu về quản lý chất lượng, quản lý môi trường, an toàn lao động và an toàn thông tin, Hoa Linh đã đồng hành cùng hàng trăm doanh nghiệp trong đa dạng lĩnh vực như sản xuất, thực phẩm, logistics, xây dựng, dịch vụ thương mại và công nghệ. Khả năng phân tích hệ thống hiện tại của doanh nghiệp, tư vấn các giải pháp cải tiến phù hợp, xây dựng tài liệu ISO chuyên nghiệp, đào tạo đội ngũ nhân sự, đánh giá nội bộ và hỗ trợ doanh nghiệp làm việc với tổ chức chứng nhận quốc tế.
Hiện tại, Hoa Linh là chuyên gia của Viện Nghiên Cứu Phát Triển Chứng Nhận Toàn Cầu (GCDRI) và trực tiếp tham gia tư vấn - đào tạo - hỗ trợ doanh nghiệp đạt chứng nhận ISO theo yêu cầu của khách hàng và đối tác quốc tế.