“Doanh nghiệp đã sẵn sàng để đánh giá chứng nhận ISO 27001 chưa?”

Đây là câu hỏi rất quan trọng trước khi doanh nghiệp đăng ký đánh giá chứng nhận.

Nhiều doanh nghiệp đã xây dựng khá nhiều tài liệu nhưng khi chuyên gia đánh giá yêu cầu cung cấp bằng chứng thực tế thì lại phát hiện:

• Hồ sơ chưa đầy đủ.
• Một số quy trình chưa được thực hiện.
• Đánh giá rủi ro chưa phù hợp.
• Quyền truy cập chưa được rà soát.
• Nhân viên chưa được đào tạo đầy đủ.
• Đánh giá nội bộ chưa thực hiện.
• Lãnh đạo chưa thực hiện xem xét hệ thống.
• Một số biện pháp kiểm soát chưa có bằng chứng vận hành.

ISO/IEC 27001:2022 quy định các yêu cầu đối với Hệ thống quản lý an toàn thông tin (ISMS), áp dụng cho tổ chức ở nhiều quy mô và lĩnh vực khác nhau. ISO nhấn mạnh cách tiếp cận quản lý rủi ro và việc thiết lập, triển khai, duy trì, cải tiến liên tục ISMS.

Vì vậy, trước khi bước vào đánh giá chứng nhận, doanh nghiệp nên thực hiện một cuộc pre-assessment/checklist nội bộ để kiểm tra toàn bộ hệ thống.

Dưới đây là checklist có thể sử dụng để chuẩn bị.

1. Kiểm tra phạm vi chứng nhận ISO 27001

Đầu tiên, doanh nghiệp cần chắc chắn rằng phạm vi ISMS đã được xác định rõ ràng và nhất quán.

Checklist

• Đã xác định rõ phạm vi ISMS.
• Đã xác định dịch vụ/sản phẩm nằm trong phạm vi.
• Đã xác định các phòng ban liên quan.
• Đã xác định địa điểm nằm trong phạm vi.
• Đã xác định hệ thống CNTT liên quan.
• Đã xác định các hoạt động thuê ngoài có liên quan.
• Phạm vi chứng nhận phù hợp với yêu cầu của khách hàng.
• Các tài liệu nội bộ sử dụng cùng một phạm vi.
• Nhân sự liên quan hiểu phạm vi ISO 27001.

Vì sao cần kiểm tra?

Nếu phạm vi không rõ ràng, doanh nghiệp có thể gặp khó khăn khi chuyên gia đánh giá xác định:

“Những hoạt động nào thực sự thuộc ISMS?”

Đặc biệt, nếu doanh nghiệp được khách hàng yêu cầu ISO 27001, phạm vi trên chứng chỉ cần phù hợp với dịch vụ mà doanh nghiệp cam kết bảo vệ.

2. Kiểm tra chính sách và mục tiêu an toàn thông tin

Doanh nghiệp cần có định hướng rõ ràng về an toàn thông tin.

Checklist

• Đã ban hành chính sách an toàn thông tin.
• Chính sách được lãnh đạo phê duyệt.
• Chính sách phù hợp với hoạt động doanh nghiệp.
• Nhân viên liên quan đã được truyền đạt chính sách.
• Chính sách được kiểm soát phiên bản.
• Có mục tiêu an toàn thông tin.
• Mục tiêu có thể đo lường hoặc đánh giá được khi phù hợp.
• Có kế hoạch thực hiện mục tiêu.
• Có theo dõi kết quả thực hiện.

Doanh nghiệp không nên chỉ có một bản chính sách được ký rồi lưu trong tủ hồ sơ.

Điều quan trọng là nhân viên phải biết, hiểu và thực hiện các yêu cầu liên quan đến công việc của mình.

3. Kiểm tra bối cảnh tổ chức và các bên quan tâm

Đây là nhóm nội dung quan trọng của hệ thống quản lý.

Doanh nghiệp cần xem xét:

• Bối cảnh bên trong.
• Bối cảnh bên ngoài.
• Các vấn đề có ảnh hưởng đến ISMS.
• Các bên quan tâm.
• Các yêu cầu liên quan của các bên quan tâm.

Checklist

• Đã xác định các vấn đề bên trong và bên ngoài.
• Đã xác định các bên quan tâm.
• Đã xác định yêu cầu liên quan của khách hàng.
• Đã xem xét yêu cầu pháp luật/quy định có liên quan.
• Đã xem xét yêu cầu hợp đồng.
• Các nội dung được cập nhật khi có thay đổi.

Ví dụ, nếu khách hàng yêu cầu doanh nghiệp phải bảo vệ dữ liệu theo một số điều khoản cụ thể trong hợp đồng, đây có thể là một yêu cầu cần được xem xét trong hệ thống.

4. Kiểm tra tài sản thông tin

Một hệ thống ISO 27001 hiệu quả cần biết doanh nghiệp đang bảo vệ những tài sản thông tin nào.

Checklist

• Đã lập danh mục tài sản thông tin.
• Tài sản được xác định người chịu trách nhiệm.
• Đã xác định mức độ quan trọng của tài sản.
• Đã xác định nơi lưu trữ.
• Đã xác định cách thức sử dụng.
• Tài sản được cập nhật khi có thay đổi.
• Có quy định quản lý tài sản.
• Có quy định đối với việc bàn giao/thu hồi tài sản.
• Tài sản của khách hàng/bên thứ ba được kiểm soát phù hợp.

Tài sản thông tin không chỉ là máy chủ hoặc máy tính.

Có thể bao gồm:

• Dữ liệu khách hàng.
• Mã nguồn.
• Hồ sơ nhân sự.
• Hợp đồng.
• Báo giá.
• Tài liệu kỹ thuật.
• Cơ sở dữ liệu.
• Tài liệu giấy.

ISO cũng nhấn mạnh rằng thông tin cần được bảo vệ có thể tồn tại dưới nhiều hình thức, bao gồm dữ liệu số, cloud và thông tin trên giấy.

5. Kiểm tra đánh giá rủi ro an toàn thông tin

Đây là một trong những nội dung quan trọng nhất trước đánh giá chứng nhận.

Checklist

• Có phương pháp đánh giá rủi ro.
• Phương pháp được xác định rõ.
• Đã xác định các rủi ro.
• Đã xác định nguyên nhân/nguồn rủi ro.
• Đã đánh giá khả năng xảy ra.
• Đã đánh giá mức độ ảnh hưởng.
• Đã xác định mức rủi ro.
• Đã xác định tiêu chí chấp nhận rủi ro.
• Đã xác định phương án xử lý.
• Rủi ro được cập nhật khi có thay đổi.
• Có người chịu trách nhiệm đối với rủi ro.

Ví dụ:

Tài sản: Dữ liệu khách hàng.

Rủi ro: Truy cập trái phép.

Nguyên nhân: Phân quyền không phù hợp.

Hậu quả: Rò rỉ dữ liệu.

Biện pháp xử lý: Tăng cường kiểm soát quyền truy cập, rà soát tài khoản định kỳ và các biện pháp phù hợp khác.

Điều quan trọng là đánh giá rủi ro phải phù hợp với thực tế doanh nghiệp, không nên chỉ sao chép một bảng rủi ro có sẵn trên Internet.

6. Kiểm tra kế hoạch xử lý rủi ro

Sau khi đánh giá rủi ro, doanh nghiệp cần chứng minh rằng những rủi ro cần xử lý đã được đưa vào kế hoạch.

Checklist

• Đã xác định các rủi ro cần xử lý.
• Đã lựa chọn phương án xử lý.
• Có người chịu trách nhiệm.
• Có thời hạn thực hiện.
• Có nguồn lực cần thiết.
• Theo dõi tiến độ.
• Có bằng chứng hoàn thành.
• Đánh giá lại rủi ro sau xử lý khi phù hợp.

7. Kiểm tra Statement of Applicability – SoA

Statement of Applicability (SoA) là một tài liệu rất quan trọng trong quá trình chuẩn bị chứng nhận.

SoA cần thể hiện các biện pháp kiểm soát được doanh nghiệp lựa chọn và tình trạng áp dụng, cùng với cơ sở giải thích phù hợp.

Checklist

• Đã xây dựng SoA.
• SoA phù hợp với phạm vi ISMS.
• Các biện pháp kiểm soát được xem xét đầy đủ.
• Có lý do áp dụng/không áp dụng phù hợp.
• Trạng thái triển khai được cập nhật.
• SoA nhất quán với đánh giá rủi ro.
• SoA nhất quán với các tài liệu và bằng chứng thực tế.
• SoA được kiểm soát phiên bản.

Không nên coi SoA chỉ là một bảng để hoàn thành hồ sơ.

Chuyên gia đánh giá có thể đối chiếu SoA với:

Rủi ro → biện pháp kiểm soát → quy trình → bằng chứng thực tế.

8. Kiểm tra kiểm soát quyền truy cập

Đây là nội dung doanh nghiệp cần đặc biệt chú ý.

Checklist

• Có quy định quản lý quyền truy cập.
• Có quy trình cấp tài khoản.
• Có quy trình thay đổi quyền.
• Có quy trình thu hồi quyền.
• Tài khoản nhân viên nghỉ việc được xử lý.
• Quyền truy cập được phân theo nhu cầu.
• Tài khoản đặc quyền được kiểm soát.
• Có rà soát quyền truy cập định kỳ.
• Có bằng chứng rà soát.
• Tài khoản dùng chung được kiểm soát phù hợp.

Một tình huống chuyên gia đánh giá có thể quan tâm là:

“Nhân viên A đã nghỉ việc, tài khoản của người này được xử lý như thế nào?”

Doanh nghiệp không chỉ cần trả lời bằng lời nói mà nên có bằng chứng.

9. Kiểm tra quản lý mật khẩu và xác thực

Checklist

• Có quy định quản lý mật khẩu.
• Có yêu cầu về mật khẩu phù hợp.
• Tài khoản quản trị được kiểm soát.
• Có biện pháp xác thực phù hợp.
• MFA được áp dụng khi cần thiết.
• Có quản lý tài khoản đặc quyền.
• Không chia sẻ tài khoản trái quy định.
• Có kiểm soát khi nhân viên thay đổi vị trí.

Không phải mọi doanh nghiệp đều phải áp dụng một công nghệ giống nhau, nhưng doanh nghiệp cần chứng minh rằng biện pháp kiểm soát phù hợp với rủi ro đã xác định.

10. Kiểm tra sao lưu và khôi phục dữ liệu

Đây là một nội dung rất thực tế.

Checklist

• Có chính sách/quy trình sao lưu.
• Xác định dữ liệu cần sao lưu.
• Xác định tần suất sao lưu.
• Xác định nơi lưu trữ bản sao.
• Có kiểm soát quyền truy cập bản sao lưu.
• Có kiểm tra việc sao lưu.
• Có kiểm tra khả năng khôi phục.
• Có hồ sơ/bằng chứng kiểm tra.
• Có phương án khi sao lưu thất bại.

Một doanh nghiệp có thể nói:

“Chúng tôi sao lưu dữ liệu hàng ngày.”

Nhưng chuyên gia đánh giá có thể hỏi tiếp:

“Bằng chứng đâu?”

hoặc:

“Lần gần nhất doanh nghiệp thử khôi phục dữ liệu là khi nào?”

Vì vậy, bằng chứng vận hành rất quan trọng.

11. Kiểm tra quản lý sự cố an toàn thông tin

Doanh nghiệp cần chuẩn bị cho tình huống sự cố xảy ra.

Checklist

• Có quy trình quản lý sự cố.
• Nhân viên biết cách báo cáo sự cố.
• Có kênh tiếp nhận sự cố.
• Có phân loại sự cố.
• Có người chịu trách nhiệm xử lý.
• Có hồ sơ sự cố.
• Có phân tích nguyên nhân khi phù hợp.
• Có hành động khắc phục.
• Có đánh giá bài học sau sự cố.

Ngay cả khi doanh nghiệp chưa từng xảy ra sự cố nghiêm trọng, vẫn cần chứng minh rằng đã có cơ chế sẵn sàng ứng phó.

12. Kiểm tra quản lý nhà cung cấp và bên thứ ba

Nếu doanh nghiệp sử dụng:

• Phần mềm bên ngoài.
• Nhà cung cấp CNTT.
• Dịch vụ bảo mật.
• Đơn vị vận hành hệ thống.
• Đối tác xử lý dữ liệu.

thì cần xem xét rủi ro từ các bên thứ ba.

Checklist

• Có danh sách nhà cung cấp liên quan.
• Xác định nhà cung cấp quan trọng.
• Có tiêu chí đánh giá nhà cung cấp.
• Có yêu cầu an toàn thông tin trong hợp đồng khi cần.
• Có đánh giá/rà soát nhà cung cấp.
• Có quản lý thay đổi dịch vụ.
• Có bằng chứng đánh giá.

13. Kiểm tra an toàn nhân sự

Con người là một phần quan trọng của hệ thống quản lý an toàn thông tin.

Checklist

• Nhân viên được đào tạo nhận thức.
• Có hồ sơ đào tạo.
• Nhân viên hiểu trách nhiệm bảo mật.
• Có quy định bảo mật khi nhân viên nghỉ việc.
• Có quy định bàn giao tài sản.
• Có thu hồi quyền truy cập.
• Có xử lý trách nhiệm khi vi phạm quy định.

14. Kiểm tra an toàn vật lý

ISO 27001 không chỉ liên quan đến hệ thống phần mềm.

Doanh nghiệp cũng cần xem xét:

• Văn phòng.
• Phòng máy chủ.
• Thiết bị.
• Hồ sơ giấy.
• Khu vực hạn chế.

Checklist

• Có kiểm soát ra vào.
• Khu vực quan trọng được bảo vệ.
• Có quản lý khách.
• Thiết bị được bảo vệ phù hợp.
• Có phương án phòng ngừa sự cố vật lý.
• Hồ sơ giấy được bảo vệ.
• Thiết bị lưu trữ được quản lý.

15. Kiểm tra quản lý thiết bị đầu cuối

Checklist

• Có danh sách thiết bị.
• Thiết bị được giao cho người sử dụng cụ thể.
• Có kiểm soát phần mềm.
• Có bảo vệ chống mã độc phù hợp.
• Có cập nhật hệ điều hành/phần mềm.
• Có quản lý thiết bị khi nhân viên nghỉ việc.
• Có quy định làm việc từ xa.
• Có kiểm soát thiết bị cá nhân nếu được phép sử dụng.

16. Kiểm tra quản lý thay đổi và phát triển phần mềm

Đối với công ty phần mềm, SaaS hoặc doanh nghiệp có đội ngũ phát triển, đây là nhóm nội dung đặc biệt quan trọng.

Checklist

• Có quy trình quản lý thay đổi.
• Có kiểm soát phiên bản.
• Có phân quyền môi trường phát triển/test/production.
• Có kiểm soát mã nguồn.
• Có quy trình phê duyệt thay đổi.
• Có kiểm thử trước khi triển khai.
• Có quản lý lỗ hổng khi phù hợp.
• Có kiểm soát quyền truy cập repository.
• Có bằng chứng triển khai.

17. Kiểm tra đào tạo và nhận thức

Doanh nghiệp nên kiểm tra xem nhân viên có thực sự hiểu trách nhiệm của mình hay không.

Checklist

• Có kế hoạch đào tạo.
• Nhân viên liên quan đã được đào tạo.
• Có hồ sơ tham dự.
• Có nội dung đào tạo.
• Nhân viên hiểu chính sách.
• Nhân viên biết cách báo cáo sự cố.
• Nhân viên hiểu quy định bảo vệ thông tin.
• Nhân viên mới được đào tạo phù hợp.

18. Kiểm tra đánh giá nội bộ ISO 27001

Đây là một trong những bước quan trọng trước đánh giá chứng nhận.

Checklist

• Đã lập chương trình đánh giá nội bộ.
• Đã xác định phạm vi đánh giá.
• Có tiêu chí đánh giá.
• Người đánh giá có năng lực phù hợp.
• Đánh giá viên có tính khách quan cần thiết.
• Đã thực hiện đánh giá.
• Có báo cáo đánh giá.
• Có ghi nhận điểm chưa phù hợp.
• Có hành động khắc phục.
• Có theo dõi kết quả khắc phục.

Nếu doanh nghiệp chưa thực hiện đánh giá nội bộ thì không nên vội vàng đăng ký đánh giá chứng nhận.

19. Kiểm tra xem xét của lãnh đạo

Lãnh đạo cần có bằng chứng cho thấy hệ thống ISMS được xem xét ở cấp quản lý.

Checklist

• Đã thực hiện xem xét của lãnh đạo.
• Có đầu vào phù hợp cho cuộc xem xét.
• Xem xét kết quả đánh giá nội bộ.
• Xem xét tình trạng mục tiêu.
• Xem xét rủi ro.
• Xem xét sự cố.
• Xem xét nguồn lực.
• Xác định cơ hội cải tiến.
• Có biên bản/hồ sơ.
• Có quyết định hoặc hành động sau xem xét.

20. Kiểm tra hồ sơ và bằng chứng

Đây là phần doanh nghiệp cần đặc biệt chú ý trước ngày đánh giá.

Checklist

• Hồ sơ có đầy đủ.
• Hồ sơ có ngày tháng rõ ràng.
• Có người thực hiện/phê duyệt phù hợp.
• Hồ sơ phù hợp với quy trình.
• Hồ sơ nhất quán giữa các bộ phận.
• Có thể truy xuất khi chuyên gia yêu cầu.
• Hồ sơ được kiểm soát.
• Hồ sơ được bảo vệ khỏi sửa đổi trái phép.
• Hồ sơ được lưu giữ theo quy định.

Một nguyên tắc rất hữu ích:

Đừng chỉ hỏi “Doanh nghiệp có quy trình này không?” mà hãy hỏi “Doanh nghiệp có bằng chứng cho thấy quy trình này đã được thực hiện không?”

21. Kiểm tra tính nhất quán giữa tài liệu và thực tế

Đây là một trong những điểm doanh nghiệp dễ mắc lỗi nhất.

Ví dụ:

Trong quy trình ghi:

“Rà soát quyền truy cập 6 tháng/lần.”

Nhưng hồ sơ thực tế cho thấy doanh nghiệp 12 tháng mới rà soát một lần.

Khi đó, chuyên gia đánh giá có thể đặt câu hỏi về việc thực hiện kiểm soát.

Doanh nghiệp nên kiểm tra:

• Quy trình đúng với thực tế.
• Tần suất quy định đúng với tần suất thực hiện.
• Người chịu trách nhiệm đúng.
• Hồ sơ phản ánh đúng hoạt động.
• Không có tài liệu đã lỗi thời.
• Các biểu mẫu đang sử dụng đúng phiên bản.

22. Kiểm tra các yêu cầu pháp luật và hợp đồng

Doanh nghiệp cần xác định các yêu cầu có liên quan đến an toàn thông tin.

Checklist

• Đã xác định yêu cầu pháp luật liên quan.
• Đã xác định yêu cầu hợp đồng.
• Đã xác định yêu cầu khách hàng.
• Có cơ chế theo dõi thay đổi.
• Có đánh giá mức độ tuân thủ.
• Có bằng chứng thực hiện.

Đặc biệt, nếu doanh nghiệp xử lý dữ liệu của khách hàng, cần xem xét các nghĩa vụ liên quan đến bảo vệ và xử lý thông tin theo phạm vi hoạt động thực tế.

23. Kiểm tra các điểm chưa phù hợp trước ngày đánh giá

Trước khi mời tổ chức chứng nhận, doanh nghiệp nên tự đặt câu hỏi:

“Nếu ngày mai chuyên gia đánh giá đến, chúng ta có vấn đề gì?”

Checklist

• Đã rà soát các điểm chưa phù hợp.
• Đã xác định nguyên nhân.
• Đã có hành động khắc phục.
• Đã có người chịu trách nhiệm.
• Có thời hạn khắc phục.
• Có bằng chứng hoàn thành.
• Đã kiểm tra hiệu lực khắc phục.

24. Checklist nhân sự trước ngày đánh giá

Doanh nghiệp nên xác định rõ ai sẽ làm việc với đoàn đánh giá.

Checklist

• Có người đầu mối ISO 27001.
• Có đại diện lãnh đạo.
• Có người phụ trách IT/Security.
• Có người phụ trách nhân sự.
• Có người phụ trách các quy trình liên quan.
• Các nhân sự quan trọng biết lịch đánh giá.
• Nhân sự biết cách cung cấp bằng chứng.
• Có phương án thay thế khi người phụ trách vắng mặt.

25. Checklist chuẩn bị ngày đánh giá chứng nhận

Trước ngày đánh giá

• Xác nhận lịch đánh giá.
• Xác nhận phạm vi.
• Chuẩn bị phòng họp.
• Chuẩn bị tài liệu cần thiết.
• Chuẩn bị danh sách liên hệ.
• Chuẩn bị quyền truy cập cần thiết cho việc kiểm tra khi phù hợp.
• Thông báo cho các phòng ban liên quan.

Trong ngày đánh giá

• Có người đầu mối điều phối.
• Cung cấp thông tin chính xác.
• Không tự ý che giấu điểm yếu.
• Cung cấp bằng chứng khi được yêu cầu.
• Ghi nhận các vấn đề chuyên gia đánh giá nêu.
• Phối hợp với đoàn đánh giá.

Sau đánh giá

• Tổng hợp các điểm chưa phù hợp.
• Xác định nguyên nhân.
• Lập kế hoạch khắc phục.
• Thực hiện hành động khắc phục.
• Gửi bằng chứng đúng thời hạn khi được yêu cầu.

Checklist tổng hợp 30 giây trước khi đánh giá ISO 27001

Nếu cần một phiên bản ngắn để kiểm tra nhanh, doanh nghiệp có thể sử dụng danh sách dưới đây:

• Phạm vi ISMS đã rõ.
• Chính sách an toàn thông tin đã ban hành.
• Mục tiêu an toàn thông tin đã xác định.
• Tài sản thông tin đã được xác định.
• Rủi ro đã được đánh giá.
• Kế hoạch xử lý rủi ro đã có.
• SoA đã hoàn thiện.
• Các kiểm soát cần thiết đã triển khai.
• Quyền truy cập đã được kiểm soát.
• Sao lưu và khôi phục đã được kiểm tra.
• Sự cố đã có quy trình xử lý.
• Nhà cung cấp đã được đánh giá.
• Nhân viên đã được đào tạo.
• Hồ sơ và bằng chứng đã sẵn sàng.
• Đánh giá nội bộ đã hoàn thành.
• Điểm chưa phù hợp đã được xử lý.
• Xem xét của lãnh đạo đã thực hiện.
• Nhân sự đầu mối đã sẵn sàng.
• Các phòng ban liên quan đã được thông báo.
• Doanh nghiệp đã sẵn sàng cho đánh giá chứng nhận.

5 câu hỏi doanh nghiệp nên tự hỏi trước khi mời tổ chức chứng nhận

Câu hỏi 1:

Nếu chuyên gia đánh giá hỏi “Hãy cho tôi xem bằng chứng”, chúng ta có thể cung cấp ngay không?

Câu hỏi 2:

Nhân viên có thực sự thực hiện những gì quy trình quy định không?

Câu hỏi 3:

Các rủi ro quan trọng nhất đã được xử lý hoặc kiểm soát chưa?

Câu hỏi 4:

SoA có thực sự phản ánh hệ thống đang vận hành không?

Câu hỏi 5:

Nếu ngày mai có sự cố an toàn thông tin, doanh nghiệp có biết phải làm gì không?

Nếu doanh nghiệp trả lời “có” một cách rõ ràng và có bằng chứng cho phần lớn các câu hỏi trên, mức độ sẵn sàng sẽ tốt hơn đáng kể.

Vì sao doanh nghiệp không nên chỉ chuẩn bị hồ sơ trước đánh giá ISO 27001?

ISO 27001 là hệ thống quản lý, không đơn thuần là một bộ hồ sơ.

ISO mô tả ISO/IEC 27001 là tiêu chuẩn đưa ra các yêu cầu để tổ chức thiết lập, thực hiện, duy trì và cải tiến ISMS; hệ thống này sử dụng cách tiếp cận quản lý rủi ro để bảo vệ tính bảo mật, toàn vẹn và sẵn sàng của thông tin.

Vì vậy, doanh nghiệp cần chuẩn bị đồng thời:

Tài liệu + Con người + Quy trình + Công nghệ + Bằng chứng vận hành.

Nếu chỉ tập trung vào tài liệu mà bỏ qua việc vận hành, doanh nghiệp có thể gặp khó khăn khi chuyên gia đánh giá kiểm tra thực tế.

Doanh nghiệp nên thực hiện checklist này trước bao lâu?

Tốt nhất nên thực hiện trước đánh giá chứng nhận một khoảng thời gian đủ để khắc phục các điểm còn thiếu, thay vì chờ đến sát ngày.

Một kế hoạch hợp lý có thể là:

Trước 4–8 tuần: Rà soát toàn bộ hệ thống.

Trước 2–4 tuần: Hoàn thành các điểm khắc phục quan trọng.

Trước 1–2 tuần: Kiểm tra hồ sơ, nhân sự và bằng chứng.

Trước 1–2 ngày: Kiểm tra lần cuối lịch đánh giá, tài liệu và đầu mối.

Ngày đánh giá: Tập trung phối hợp và cung cấp bằng chứng.

Thời gian thực tế cần điều chỉnh theo quy mô, phạm vi và mức độ sẵn sàng của từng doanh nghiệp.

Kết luận

Checklist chuẩn bị đánh giá chứng nhận ISO 27001 không chỉ giúp doanh nghiệp kiểm tra tài liệu mà còn giúp rà soát toàn bộ khả năng vận hành của hệ thống ISMS.

Trước khi đánh giá, doanh nghiệp nên đặc biệt kiểm tra:

Phạm vi → chính sách → tài sản → rủi ro → SoA → biện pháp kiểm soát → quyền truy cập → sao lưu → sự cố → nhà cung cấp → đào tạo → bằng chứng → đánh giá nội bộ → xem xét của lãnh đạo → hành động khắc phục.

Quan trọng nhất, doanh nghiệp cần nhớ:

Có tài liệu chưa có nghĩa là hệ thống đã vận hành. Có hệ thống chưa có nghĩa là đã có bằng chứng. Và có bằng chứng chưa có nghĩa là kiểm soát đã hiệu quả.

Mục tiêu của quá trình chuẩn bị là giúp doanh nghiệp bước vào đánh giá với một hệ thống phù hợp, được vận hành thực tế và có khả năng chứng minh bằng bằng chứng.

Doanh nghiệp sắp đánh giá chứng nhận ISO 27001?

Hãy sử dụng checklist trên để tự đánh giá mức độ sẵn sàng trước khi mời tổ chức chứng nhận. Nếu còn nhiều mục chưa hoàn thành, doanh nghiệp nên thực hiện đánh giá khoảng cách và xây dựng kế hoạch khắc phục trước khi bước vào đánh giá chính thức.

ISO 27001 – Không chỉ chuẩn bị để đạt chứng nhận, mà xây dựng một hệ thống giúp doanh nghiệp quản lý và bảo vệ thông tin lâu dài.

Dịch vụ đào tạo và chứng nhận ISO tại PQI

PQI đồng hành cùng doanh nghiệp trong toàn bộ quá trình triển khai hệ thống quản lý:

• Đào tạo nhận thức ISO.
• Đào tạo đánh giá viên nội bộ.
• Đánh giá chứng nhận.
• Đào tạo duy trì và cải tiến hệ thống.

Đội ngũ chuyên gia của PQI luôn hướng tới mục tiêu giúp doanh nghiệp không chỉ đạt chứng nhận, mà còn vận hành hiệu quả hệ thống quản lý môi trường và tạo giá trị bền vững.

Liên hệ ngay với chúng tôi, Tel/Zalo: 0906259389