INFOCHIEF ACADEMY · INFORMATION SECURITY KNOWLEDGE SERIES

Thiết lập phạm vi và bối cảnh của hệ thống quản lý an toàn thông tin theo ISO/IEC 27001.

Phạm vi ISMS cần được xác lập từ bối cảnh, yêu cầu và các mối phụ thuộc. Làm rõ ranh giới cùng những điểm giao nhận giúp doanh nghiệp quản lý phần việc thuê ngoài và bảo vệ đúng hoạt động cần thiết.

Biên soạn: Infochief Academy · Chuyên đề: Quản lý an toàn thông tin

← Trở về thư viện bài viết

Minh họa biên tập: nhóm chuyên gia rà phạm vi hệ thống quản lý an toàn thông tin và các điểm phụ thuộc.

Một phạm vi ISMS được viết là toàn bộ phòng IT, nhưng thông tin quan trọng lại được tạo ở nghiệp vụ và xử lý trên dịch vụ thuê ngoài. Khi đánh giá rủi ro, nhóm không biết có cần xem các luồng ấy hay không. Phạm vi ngắn đã che một hệ thống phụ thuộc rộng hơn nhiều.

Thiết lập bối cảnh và phạm vi theo ISO/IEC 27001 cần bắt đầu từ thông tin, hoạt động và các quan hệ tạo kết quả. Mục đích là xác định ranh giới áp dụng có thể giải thích, đồng thời giữ trách nhiệm đối với những phụ thuộc liên quan. Thu hẹp phạm vi không được hiểu là làm những rủi ro ngoài ranh giới tự biến mất.

Bối cảnh giải thích vì sao cần quản lý

Tổ chức cần xác định những vấn đề bên trong và bên ngoài liên quan mục đích và kết quả dự kiến của ISMS. Các vấn đề có thể gồm chiến lược, cách cung cấp dịch vụ, cơ cấu, năng lực, sự phụ thuộc và yêu cầu từ môi trường hoạt động. Không nên chỉ lập một danh sách chung rồi bỏ khi chọn phạm vi.

Một doanh nghiệp mở rộng dịch vụ trực tuyến sẽ có những điều kiện khác đơn vị xử lý nội bộ trong phạm vi hẹp. Làm việc từ nhiều địa điểm, thuê ngoài hoặc thay cách dùng dữ liệu có thể làm trách nhiệm và kiểm soát cần được xem lại. Bối cảnh phải dẫn tới câu hỏi quản lý cụ thể.

Các bên quan tâm cần được xác định cùng yêu cầu liên quan và phần được xử lý qua ISMS. Khách hàng, nhân viên, đối tác hoặc cơ quan có thẩm quyền có thể tạo nhu cầu khác nhau. Những nghĩa vụ cần được người đủ chuyên môn xác định theo hoàn cảnh, không suy ra chỉ từ một mẫu tiêu chuẩn.

Năng lực tổ chức cách tiếp cận này có thể được phát triển qua chương trình Quản lý Bảo mật Thông tin. Trong áp dụng, người sở hữu hoạt động và thông tin phải tham gia, để bối cảnh không chỉ phản ánh góc nhìn của đội kỹ thuật.

Ranh giới cần theo thông tin và hoạt động

ISO/IEC 27001 yêu cầu xác định ranh giới và khả năng áp dụng của ISMS, có xét bối cảnh, yêu cầu liên quan cùng các giao diện và phụ thuộc giữa hoạt động của tổ chức và bên khác. Phạm vi phải được giữ như thông tin dạng văn bản. Một tên phòng ban hoặc một địa chỉ thường chưa đủ giải thích cách áp dụng.

Nhóm cần biết hoạt động được bao phủ, thông tin xử lý, đơn vị, địa điểm và những thành phần hỗ trợ. Không nhất thiết đưa mọi chi tiết kỹ thuật vào câu phạm vi, nhưng các hồ sơ hỗ trợ phải cho phép xác định ranh giới thực tế. Nếu không, đánh giá rủi ro và kiểm soát dễ dựa trên cách hiểu khác nhau.

Tình huống giả định: doanh nghiệp chọn dịch vụ xử lý hồ sơ khách hàng làm phạm vi đầu tiên. Dịch vụ nhận thông tin từ nghiệp vụ, dùng nền tảng thuê ngoài và được hỗ trợ bởi nhóm IT dùng chung. Phạm vi cần làm rõ các hoạt động trong ISMS cùng những quan hệ hỗ trợ, thay vì chỉ liệt kê máy chủ thuộc quyền IT.

Một mẫu diễn đạt đề xuất có thể nêu việc quản lý an toàn thông tin cho tiếp nhận, xử lý và cung cấp dịch vụ hồ sơ, tại các đơn vị và địa điểm được xác định, cùng các nguồn lực hỗ trợ liên quan. Đây là cách viết minh họa, không phải phạm vi chuẩn có thể sao chép mà không đối chiếu hoạt động thực tế.

Phân biệt ngoài ranh giới với không cần kiểm soát

Một nhà cung cấp hoặc bộ phận dùng chung có thể nằm ngoài phần tổ chức được chọn, nhưng cung cấp đầu vào hoặc thực hiện kiểm soát cần thiết. Tổ chức vẫn phải hiểu và quản lý quan hệ liên quan. Thuê ngoài không tự chuyển hết trách nhiệm đối với kết quả dự kiến của ISMS.

Trong tình huống hồ sơ, dịch vụ lưu trữ và nguồn nhân sự có thể do bên khác vận hành. Nhóm cần biết ai xác nhận quyền, dữ liệu, giờ hỗ trợ và bằng chứng. Nếu các điều kiện này ảnh hưởng khả năng bảo vệ, chúng phải được xử lý trong quản lý rủi ro và cơ chế cung cấp phù hợp.

Không nên loại một kiểm soát khỏi xem xét chỉ vì được nhà cung cấp thực hiện. Điều cần hỏi là kiểm soát có cần thiết và tổ chức có căn cứ về việc thực hiện hay không. SoA và kế hoạch xử lý phải phản ánh những lựa chọn liên quan, còn bằng chứng từ đối tác phải giữ phạm vi cùng giới hạn.

Nội dung ranh giới đề xuất	Câu hỏi xác định	Hồ sơ hỗ trợ
Hoạt động và thông tin	Phần công việc nào thuộc ISMS?	Mô tả dịch vụ cùng luồng dữ liệu
Đơn vị và địa điểm	Ai thực hiện, ở đâu?	Cơ cấu, vai trò và môi trường làm việc
Nguồn lực	Hệ thống và khả năng nào hỗ trợ?	Danh mục cùng quan hệ liên quan
Giao diện và phụ thuộc	Bên ngoài ranh giới cung cấp điều gì?	Cam kết, trách nhiệm và bằng chứng
Giới hạn	Vì sao chọn phạm vi này?	Căn cứ bối cảnh và đánh giá phù hợp

Bảng là công cụ thiết lập phạm vi đề xuất, không phải mẫu chính thức của ISO/IEC 27001. Với từng nội dung, cần người sở hữu xác nhận. Ranh giới phải có căn cứ và được sử dụng nhất quán trong công việc, không chỉ được viết để hồ sơ nhìn gọn.

Năng lực quản lý dịch vụ và các phụ thuộc có thể được phát triển qua chương trình Quản lý Dịch vụ IT – ITSM. Khi áp dụng, chủ dịch vụ cần nối trách nhiệm giữa các nhóm, để phần được thuê ngoài hoặc cung cấp chung không trở thành khoảng trống không ai theo dõi.

Kiểm tra phạm vi bằng một hành trình thực

Nhóm chọn một hồ sơ khách hàng trong tình huống giả định và đi theo từ tiếp nhận tới lưu, sử dụng, chia sẻ và kết thúc. Ở mỗi điểm, ghi người tham gia, nguồn lực và điều kiện. Cách kiểm tra giúp phát hiện luồng dữ liệu hoặc bên cung cấp bị bỏ trong mô tả ban đầu.

Nếu một công đoạn cần thông tin từ bộ phận ngoài phạm vi, phải xác định giao diện và trách nhiệm. Nếu quyền phụ thuộc nguồn nhân sự, cần người nhận thông báo cùng thời điểm. Nếu dữ liệu được chia sẻ với đối tác, cần mục đích, yêu cầu và cơ chế xác nhận. Một ranh giới dùng được phải giúp các câu hỏi này có người trả lời.

Các phát hiện không luôn có nghĩa phải mở phạm vi toàn doanh nghiệp ngay. Có thể quản lý phụ thuộc bằng trách nhiệm và điều kiện phù hợp. Nhưng nếu phạm vi hiện tại không cho phép giải thích hoặc bảo vệ kết quả cần thiết, phải trình phương án điều chỉnh thay vì giữ vì đã được chọn.

Giữ nhất quán giữa phạm vi và các hồ sơ ISMS

Đánh giá rủi ro, lựa chọn kiểm soát, mục tiêu và hoạt động kiểm tra phải khớp phạm vi. Nếu phạm vi nói bao phủ dịch vụ nhưng kiểm kê chỉ có máy chủ, dữ liệu và quy trình nghiệp vụ có thể bị bỏ. Nếu SoA không phản ánh kiểm soát do đối tác thực hiện, hệ thống sẽ thiếu đường nối giữa rủi ro và bằng chứng.

Cần giữ người sở hữu và phiên bản của mô tả hỗ trợ. Một câu phạm vi có thể tương đối ổn định, còn luồng, nhà cung cấp hoặc địa điểm thay đổi. Nhóm phải biết cập nhật hồ sơ nào và kiểm tra tác động, không chỉ thay câu chữ khi gần tới đánh giá.

Năng lực tổ chức phân công và quản lý tài liệu có thể được phát triển qua chương trình Trưởng Phòng IT – IT Manager. Trong doanh nghiệp, chủ ISMS cần cơ chế nhận thay đổi và trình điều chỉnh, để phạm vi tiếp tục phản ánh hoạt động thay vì một trạng thái lịch sử.

Khi trình phạm vi hoặc chứng nhận nếu được lựa chọn, thông tin phải phản ánh đúng phần được bao phủ. Không nên để cách diễn đạt khiến người đọc hiểu toàn doanh nghiệp hoặc mọi dịch vụ đều được bao gồm khi thực tế khác. Ranh giới rõ giúp các bên hiểu ý nghĩa cùng giới hạn của bằng chứng.

Rà bối cảnh khi điều kiện thay đổi

ISO/IEC 27001:2022 có Amendment 1:2024 về hành động khí hậu. Trong xem xét bối cảnh, tổ chức cần xác định biến đổi khí hậu có phải vấn đề liên quan hay không; các bên quan tâm cũng có thể có yêu cầu liên quan. Điều này không tự yêu cầu mọi ISMS thành hệ thống quản lý môi trường, mà cần đánh giá sự liên quan tới kết quả theo hoàn cảnh.

Bên cạnh đó, dịch vụ mới, phạm vi dữ liệu, đối tác, địa điểm hoặc cách làm việc đổi đều có thể làm ranh giới và phụ thuộc cần được rà. Nhóm phải xác định tác động tới rủi ro, nguồn lực và kiểm soát. Không nên chỉ đổi ngày tài liệu trong khi điều kiện thực đã khác.

Góc nhìn trong chương trình Lãnh đạo IT – CIO là hướng tham khảo để phát triển cách chọn phạm vi theo mục tiêu và năng lực. Trong thực tế, lãnh đạo phải hiểu điều được bao phủ, các phụ thuộc và nguồn lực để cơ chế có thể hoạt động.

Bối cảnh và phạm vi tốt giúp doanh nghiệp biết vì sao quản lý, quản lý phần nào và giữ quan hệ nào. Khi ranh giới được kiểm tra qua thông tin và công việc, các bước đánh giá rủi ro và lựa chọn kiểm soát có nền tảng rõ. ISMS lúc đó được thiết lập theo hoạt động thực, không chỉ theo nơi tài sản kỹ thuật được đặt.