ISO 27001 & ISO 31000: Áp Dụng Toàn Cầu Cho An Ninh Mạng
ISO 27001 và ISO 31000 là tiêu chuẩn quốc tế, không thuộc về quốc gia nào cụ thể. Hơn 170 quốc gia là thành viên ISO áp dụng các chuẩn này.
1. ISO 27001 - Hệ thống quản trị an ninh thông tin (ISMS)
- Phạm vi: Toàn cầu, mọi ngành, mọi quy mô tổ chức
- Mục đích: Khung làm việc thiết lập, triển khai, duy trì, cải tiến ISMS
- Chứng nhận: Có thể chứng nhận bởi tổ chức độc lập (UKAS, ANAB, JAS-ANZ...)
- Bản mới nhất: ISO/IEC 27001:2022
2. ISO 31000 - Quản trị rủi ro
- Phạm vi: Mọi loại rủi ro (tài chính, an toàn, dự án, an ninh mạng...)
- Nguyên tắc: Tích hợp, cấu trúc, tùy biến, bao trùm, động, cải tiến liên tục
- Quy trình: Xác định bối cảnh > Đánh giá rủi ro > Xử lý rủi ro > Giám sát > Ghi chép
- Bản mới nhất: ISO 31000:2018
- Không chứng nhận: Là hướng dẫn, không yêu cầu chứng nhận
3. Mối quan hệ ISO 27001 & ISO 31000
ISO 27001 căn cứ vào nguyên tắc ISO 31000 cho quy trình đánh giá & xử lý rủi ro an ninh thông tin (mục 6.1, 8.2, 8.3). ISO 27005 chuyên biệt hóa ISO 31000 cho rủi ro an ninh thông tin.
4. Các quốc gia/kinh tế lớn áp dụng rộng rãi
- Châu Âu: Đức, Anh, Pháp, Hà Lan, Thụy Sĩ (GDPR thúc đẩy ISO 27001)
- Bắc Mỹ: Mỹ, Canada (NIST CSF song song, nhiều doanh nghiệp lấy ISO 27001)
- Châu Á: Nhật Bản, Singapore, Úc, Hàn Quốc, Việt Nam (tăng mạnh gần đây)
- Trung Đông: UAE, Ả Rập Xê-út (quy định ngân hàng, năng lượng)
5. ISO 27001 có bao gồm an ninh mạng không?
Có. ISO 27001 cung cấp khung bảo vệ thông tin dưới mọi hình thức (số, giấy, truyền tải). An ninh mạng là tập con quan trọng. Chứng nhận ISO 27001 củng cố tư thế an ninh mạng tổ chức.
6. Tiêu chuẩn an ninh mạng ISO khác
- ISO/IEC 27032: Hướng dẫn an ninh mạng (cybersecurity) cụ thể
- ISO/IEC 27005: Quản trị rủi ro an ninh thông tin
- ISO/IEC 27701: Mở rộng ISO 27001 cho bảo mật thông tin cá nhân (PIMS)
7. So sánh với Cyber Essentials (Anh)
- Cyber Essentials: 5 điều khiển cơ bản, phù hợp SME, bắt buộc hợp đồng chính phủ Anh
- ISO 27001: 114 điều khiển (Annex A 2013) / 93 điều khiển (2022), toàn diện, quốc tế, mọi quy mô
8. Việt Nam và ISO 27001/31000
- Việt Nam là thành viên ISO từ 1977 (TCVN)
- Nhiều doanh nghiệp ngân hàng, viễn thông, CNTT, nhà nước áp dụng ISO 27001
- Thông tư 03/2017/TT-NHNN yêu cầu ngân hàng áp dụng quản trị rủi ro (ISO 31000)
- Nghị định 53/2022/NĐ-CP khuyến khích chuẩn ISO cho an ninh mạng cơ sở hạ tầng quan trọng
Tóm lại: ISO 27001 và 31000 là tiêu chuẩn quốc tế phổ biến toàn cầu, không giới hạn quốc gia. Mọi tổ chức ở bất kỳ quốc gia nào đều có thể áp dụng và chứng nhận.