Trong bài viết trước, ARES Vietnam đã chia sẻ những công việc doanh nghiệp nên chủ động rà soát khi Luật An ninh mạng 2025 có hiệu lực, như hệ thống thông tin, phân loại dữ liệu, quyền truy cập, sao lưu dữ liệu và phương án ứng phó sự cố. Luật An ninh mạng số 116/2025/QH15 được ban hành ngày 10/12/2025 và chính thức có hiệu lực từ ngày 01/07/2026.

Tuy nhiên, xác định những việc cần thực hiện mới chỉ là bước khởi đầu. Để các biện pháp bảo vệ thông tin phát huy hiệu quả lâu dài, tổ chức cần xây dựng cơ chế quản lý thống nhất, phân công rõ trách nhiệm, duy trì hồ sơ và thường xuyên rà soát khi công nghệ, nhân sự hoặc mô hình kinh doanh thay đổi.

Đây cũng là lý do nhiều doanh nghiệp lựa chọn xây dựng Hệ thống quản lý an toàn thông tin theo ISO/IEC 27001. Trong bài viết dưới đây, ARES Vietnam sẽ cùng bạn tìm hiểu cách tiêu chuẩn này hỗ trợ doanh nghiệp quản lý các yêu cầu về an ninh mạng.

Xem thêm: Luật An Ninh Mạng 2025 Chính Thức Có Hiệu Lực Từ 1/7/2026: Doanh Nghiệp Nên Làm Gì?

ISO/IEC 27001 Hỗ Trợ Doanh Nghiệp Quản Lý Yêu Cầu An Ninh Mạng Như Thế Nào?

Doanh nghiệp có thể đã áp dụng nhiều biện pháp như phân quyền truy cập, sao lưu dữ liệu, sử dụng phần mềm bảo mật hoặc đào tạo nhân viên. Tuy nhiên, nếu những hoạt động này được triển khai riêng lẻ, hiệu quả sẽ khó duy trì khi hệ thống, con người và các nguy cơ liên tục thay đổi.

Thông qua Hệ thống quản lý an toàn thông tin, ISO/IEC 27001 giúp doanh nghiệp kết nối những hoạt động trên thành một cơ chế quản lý rõ ràng, có trách nhiệm cụ thể và được kiểm tra thường xuyên. Vai trò này được thể hiện qua bảy nội dung chính sau:

1. Xác Định Rõ Doanh Nghiệp Cần Bảo Vệ Những Gì

Trước khi lựa chọn biện pháp bảo vệ, doanh nghiệp cần xác định rõ phạm vi của hệ thống quản lý an toàn thông tin. Bước này giúp làm rõ những thông tin, hệ thống, quy trình và bên liên quan cần được đưa vào phạm vi quản lý.

Phạm vi có thể bao gồm:

• Các phòng ban và quy trình nghiệp vụ;
• Dữ liệu khách hàng, hồ sơ nhân sự, thông tin tài chính và bí mật kinh doanh;
• Hệ thống công nghệ thông tin, phần mềm và cơ sở dữ liệu;
• Máy chủ, thiết bị lưu trữ và nền tảng đám mây;
• Các địa điểm hoặc chi nhánh có liên quan.

Doanh nghiệp cũng cần xác định những người dùng, nhà cung cấp và bên thứ ba đang có quyền truy cập hoặc tham gia xử lý thông tin.

Khi phạm vi được xác định rõ, doanh nghiệp có thể tập trung nguồn lực vào những tài sản thực sự quan trọng, đồng thời hạn chế nguy cơ bỏ sót hệ thống, dữ liệu hoặc mối liên hệ có khả năng phát sinh rủi ro.

2. Xác Định Những Rủi Ro Cần Ưu Tiên Xử Lý

Không phải mọi rủi ro đều có khả năng xảy ra và mức độ ảnh hưởng giống nhau. Vì vậy, doanh nghiệp cần xác định những vấn đề nào phải được ưu tiên thay vì triển khai các biện pháp bảo mật một cách dàn trải.

Theo ISO/IEC 27001, tổ chức cần xây dựng phương pháp đánh giá rủi ro phù hợp với bối cảnh hoạt động. Qua đó, tổ chức có thể xem xét khả năng xảy ra, hậu quả có thể phát sinh và mức độ ảnh hưởng của từng rủi ro đối với thông tin cũng như hoạt động kinh doanh.

Chẳng hạn, quá trình đánh giá có thể phát hiện:

• Tài khoản của nhân sự đã nghỉ việc vẫn còn hoạt động;
• Một tài khoản được cấp nhiều quyền hơn mức cần thiết;
• Dữ liệu đã được sao lưu nhưng chưa từng kiểm tra khả năng khôi phục;
• Thông tin quan trọng được lưu trên thiết bị cá nhân;
• Nhà cung cấp chưa có cơ chế phối hợp xử lý sự cố rõ ràng;
• Hệ thống quan trọng chưa có phương án dự phòng khi bị gián đoạn.

Dựa trên kết quả đánh giá, doanh nghiệp có thể lựa chọn phương án xử lý phù hợp, như giảm thiểu, tránh, chuyển giao hoặc chấp nhận rủi ro theo tiêu chí đã xác định.

Cách tiếp cận này giúp doanh nghiệp tập trung nguồn lực vào những vấn đề có khả năng gây ảnh hưởng lớn, thay vì chỉ xử lý khi sự cố đã xảy ra.

3. Phân Công Rõ Người Chịu Trách Nhiệm

An toàn thông tin không chỉ là nhiệm vụ của bộ phận IT. Nhiều sự cố có thể phát sinh từ cách nhân viên sử dụng dữ liệu, quy trình cấp tài khoản, hoạt động của nhà cung cấp hoặc sự thiếu phối hợp giữa các phòng ban.

ISO/IEC 27001 yêu cầu các vai trò, trách nhiệm và quyền hạn liên quan đến Hệ thống quản lý an toàn thông tin phải được xác định và truyền đạt rõ ràng.

Tùy theo cơ cấu của từng tổ chức, trách nhiệm có thể được phân công như sau:

• Ban lãnh đạo phê duyệt định hướng, mục tiêu và nguồn lực;
• Bộ phận IT quản lý hạ tầng và các biện pháp kỹ thuật;
• Phòng nhân sự phối hợp cấp, điều chỉnh và thu hồi tài khoản;
• Các phòng ban chịu trách nhiệm đối với thông tin mình tạo ra hoặc sử dụng;
• Bộ phận mua hàng hoặc pháp chế kiểm soát yêu cầu bảo mật đối với nhà cung cấp;
• Người lao động tuân thủ chính sách và báo cáo khi phát hiện dấu hiệu bất thường.

Việc phân công rõ ràng giúp hạn chế tình trạng chồng chéo, bỏ sót hoặc đùn đẩy trách nhiệm. Đồng thời, doanh nghiệp cũng thuận lợi hơn khi theo dõi tiến độ và kiểm tra kết quả của từng hoạt động.

4. Chuyển Yêu Cầu Thành Quy Trình Có Thể Thực Hiện

Những yêu cầu như “bảo vệ dữ liệu”, “kiểm soát quyền truy cập” hoặc “ứng phó sự cố” sẽ khó áp dụng nếu chỉ dừng ở mức nguyên tắc chung.

ISO/IEC 27001 giúp doanh nghiệp chuyển những yêu cầu này thành chính sách, quy trình và hướng dẫn cụ thể. Các nội dung cần làm rõ có thể bao gồm:

• Trường hợp nào được cấp tài khoản;
• Ai có thẩm quyền phê duyệt quyền truy cập;
• Quyền của người dùng được kiểm tra lại khi nào;
• Tài khoản được thu hồi ra sao khi nhân sự nghỉ việc hoặc chuyển bộ phận;
• Dữ liệu nào cần sao lưu và thực hiện với tần suất bao nhiêu;
• Ai chịu trách nhiệm kiểm tra khả năng khôi phục dữ liệu;
• Nhân viên cần báo cho ai khi phát hiện email có dấu hiệu lừa đảo;
• Sự cố ở mức độ nào phải báo cáo cho ban lãnh đạo;
• Yêu cầu bảo mật nào cần được đưa vào hợp đồng với nhà cung cấp.

Khi cách thức thực hiện được quy định rõ, nhân viên sẽ dễ hiểu và áp dụng hơn. Doanh nghiệp cũng có cơ sở để đào tạo, giám sát và bảo đảm các biện pháp được triển khai nhất quán trong toàn tổ chức.

5. Lưu Giữ Bằng Chứng Thực Hiện

Các hoạt động bảo vệ thông tin không chỉ cần được triển khai mà còn phải có hồ sơ chứng minh đã được thực hiện.

Những bằng chứng này có thể bao gồm:

• Danh sách tài khoản và quyền truy cập;
• Biên bản rà soát phân quyền;
• Nhật ký sao lưu dữ liệu;
• Kết quả kiểm tra khả năng khôi phục;
• Hồ sơ đào tạo và truyền thông nội bộ;
• Báo cáo sự cố và kết quả xử lý;
• Hồ sơ đánh giá nhà cung cấp;
• Kết quả đánh giá nội bộ;
• Biên bản xem xét của lãnh đạo;
• Kế hoạch và kết quả thực hiện hành động khắc phục.

Việc lưu giữ hồ sơ giúp doanh nghiệp kiểm tra công việc đã được thực hiện đầy đủ hay chưa, xác định người chịu trách nhiệm và kịp thời phát hiện những nội dung còn thiếu.

Đây cũng là nguồn thông tin quan trọng khi doanh nghiệp thực hiện đánh giá nội bộ, tiếp nhận đánh giá từ khách hàng hoặc đăng ký đánh giá chứng nhận ISO/IEC 27001.

6. Đánh Giá Hiệu Quả Của Các Biện Pháp Kiểm Soát

Có quy trình không đồng nghĩa với việc quy trình đang được thực hiện đúng hoặc mang lại kết quả mong muốn.

Trong thực tế, doanh nghiệp có thể gặp những tình huống như:

• Có quy định sao lưu nhưng chưa từng thử khôi phục dữ liệu;
• Có quy trình thu hồi quyền nhưng tài khoản của nhân sự cũ vẫn hoạt động;
• Đã tổ chức đào tạo nhưng nhân viên chưa biết cách báo cáo sự cố;
• Có quy định kiểm soát nhà cung cấp nhưng chưa thực hiện đánh giá định kỳ;
• Đã ban hành chính sách nhưng chưa theo dõi mức độ tuân thủ.

ISO/IEC 27001 yêu cầu doanh nghiệp theo dõi, đánh giá và xem xét xem hệ thống cùng các biện pháp kiểm soát có được thực hiện đúng và đạt kết quả mong muốn hay không.

Các hoạt động như theo dõi chỉ số, kiểm tra định kỳ, đánh giá nội bộ và xem xét của lãnh đạo sẽ giúp doanh nghiệp phát hiện điểm chưa phù hợp. Từ đó, tổ chức có thể xác định nguyên nhân và thực hiện hành động khắc phục trước khi vấn đề gây ảnh hưởng lớn hơn đến hoạt động.

7. Duy Trì Và Cập Nhật Hệ Thống Khi Có Thay Đổi

Rủi ro an toàn thông tin không cố định mà thay đổi cùng với hoạt động của doanh nghiệp.

Những thay đổi có thể làm xuất hiện nguy cơ mới bao gồm:

• Triển khai phần mềm hoặc hệ thống mới;
• Chuyển dữ liệu lên nền tảng đám mây;
• Ứng dụng AI, IoT hoặc các công nghệ mới;
• Mở thêm chi nhánh hoặc nhà máy;
• Tuyển dụng, điều chuyển hoặc thay đổi nhân sự;
• Thay đổi nhà cung cấp;
• Kết nối hệ thống với khách hàng hoặc đối tác;
• Mở rộng thị trường và mô hình kinh doanh.

ISO/IEC 27001 yêu cầu Hệ thống quản lý an toàn thông tin được duy trì và cải tiến thường xuyên. Khi hoạt động, công nghệ hoặc yêu cầu từ các bên liên quan thay đổi, doanh nghiệp cần xem xét lại phạm vi, rủi ro và các biện pháp đang áp dụng.

Việc cập nhật định kỳ giúp hệ thống không bị lỗi thời, đồng thời nâng cao khả năng thích ứng trước những thay đổi về công nghệ, nhân sự và môi trường kinh doanh.

Đánh Giá Và Chứng Nhận ISO/IEC 27001 Tại ARES Vietnam

Quản lý yêu cầu an ninh mạng không chỉ là đầu tư thêm phần mềm hoặc thiết bị bảo mật. Doanh nghiệp cần một cơ chế giúp xác định rõ những gì phải bảo vệ, ưu tiên rủi ro, phân công trách nhiệm, chuẩn hóa cách thực hiện và thường xuyên kiểm tra kết quả.

Thông qua Hệ thống quản lý an toàn thông tin, ISO/IEC 27001 giúp doanh nghiệp kết nối các hoạt động này thành một hệ thống thống nhất, phù hợp với quy mô và bối cảnh của tổ chức.

ARES Vietnam cung cấp dịch vụ đánh giá và chứng nhận ISO/IEC 27001, giúp xác nhận mức độ phù hợp và hiệu lực của Hệ thống quản lý an toàn thông tin theo yêu cầu của tiêu chuẩn quốc tế.

Tìm hiểu thêm: Dịch vụ chứng nhận ISO 27001 của ARES Vietnam

Xem thêm: 8 Lợi Ích Khi Doanh Nghiệp Đạt Chứng Nhận ISO 27001

Câu Hỏi Thường Gặp