1. 19:14 13/10/2026
1. Xác định phạm vi và tài sản thông tin
- Liệt kê tất cả hệ thống, ứng dụng, cơ sở dữ liệu và thiết bị lưu trữ dữ liệu nhạy cảm.
- Phân loại dữ liệu theo mức độ: công khai, nội bộ, bảo mật, cực kỳ bảo mật.
- Ví dụ thực tế: Một công ty thương mại điện tử nhận ra rằng cơ sở dữ liệu đơn hàng và thông tin thẻ tín dụng thuộc nhóm “cực kỳ bảo mật”, trong khi blog marketing chỉ ở mức “công khai”.
2. Đánh giá rủi ro và xác định kiểm soát
- Thực hiện ma trận rủi ro: xác định mối đe dọa (mã độc, rò rỉ nội bộ, lỗi cấu hình), xác suất và tác động.
- Chọn các kiểm soát từ Phụ lục A của ISO 27001 phù hợp: ví dụ A.9.2 (quản lý quyền truy cập), A.12.6 (quản lý lỗ hổng kỹ thuật), A.16.1 (quản lý sự cố).
- Cập nhật ma trận mỗi quý hoặc khi có thay đổi lớn (triển khai dịch vụ mới, thay đổi nhân sự).
3. Xây dựng và phê duyệt chính sách, quy trình
- Viết chính sách bảo mật thông tin (Information Security Policy) ngắn gọn, ký bởi lãnh đạo cao nhất.
- Phát triển quy trình đi kèm: cấp/thu hồi tài khoản, quản lý sự cố, sao lưu và phục hồi, đào tạo nhận thức.
- Đảm bảo mọi nhân viên ký nhận đã đọc và hiểu chính sách khi nhập nghề và sau mỗi lần cập nhật.
4. Triển khai kiểm soát kỹ thuật và tổ chức
- Cấu hình tường lửa, IDS/IPS, mã hóa dữ liệu khi lưu trữ và truyền tải.
- Triển khai giải pháp quản lý thiết bị di động (MDM) để áp dụng chính sách mã hóa, khóa từ xa, xóa dữ liệu trên điện thoại nhân viên.
- Thiết lập quy trình kiểm tra quyền truy cập đặc quyền hàng tháng và ghi log mọi thay đổi cấu hình quan trọng.
5. Giám sát, đo lường và cải tiến liên tục
- Sử dụng SIEM để tập trung log, thiết lập cảnh báo cho các sự kiện bất thường (đăng nhập sai nhiều lần, truy cập dữ liệu nhạy cảm ngoài giờ).
- Thực hiện kiểm toán nội bộ mỗi 6 tháng và mời đơn vị độc lập kiểm toán ngoài hàng năm.
- Dựa trên kết quả, cập nhật ma trận rủi ro, điều chỉnh kiểm soát và báo cáo cho ban quản trị để ra quyết định đầu tư.
Lời khuyên áp dụng ngay:
- Bắt đầu từ tài sản quan trọng nhất, đừng cố gắng bao quát toàn bộ hệ thống trong lần đầu.
- Sử dụng mẫu tài liệu ISO 27001 miễn phí từ các tổ chức uy tín để tiết kiệm thời gian soạn thảo.
- Đặt mục tiêu đo lường cụ thể: ví dụ “giảm 80 % số lần vi phạm chính sách truy cập trong 12 tháng”.