Đánh giá nội bộ và xem xét lãnh đạo: Hai cơ chế giữ ISMS vận hành hiệu quả

Hai cơ chế trả lời những câu hỏi khác nhau

ISO/IEC 27001 đặt yêu cầu đánh giá nội bộ và xem xét của lãnh đạo theo các khoảng thời gian được hoạch định. Đánh giá cần cung cấp thông tin về sự phù hợp với yêu cầu áp dụng cùng việc ISMS được triển khai và duy trì hiệu lực. Xem xét của lãnh đạo sử dụng thông tin quản lý để đưa ra quyết định về cải tiến và những thay đổi cần thiết.

Không nên gộp hai cơ chế thành một cuộc họp mà không rõ mục đích và bằng chứng. Người đánh giá cần kết luận từ tiêu chí và thông tin đã kiểm tra, không quyết định thay lãnh đạo về phân bổ ngân sách. Lãnh đạo có thể dùng kết quả đánh giá nhưng còn phải xem rủi ro, thay đổi bối cảnh và những vấn đề điều hành khác có liên quan.

Cũng cần phân biệt đánh giá nội bộ với chứng nhận. Đánh giá nội bộ là công việc tổ chức cần thực hiện để kiểm tra hệ thống của mình; chứng nhận là một hoạt động bên ngoài theo phạm vi và điều kiện riêng. Có chứng nhận không tự bảo đảm mọi kiểm soát luôn hiệu lực hoặc làm mất nhu cầu kiểm tra nội bộ.

Năng lực quản lý bảo mật thông tin hỗ trợ các bên hiểu mối liên hệ này. Mục tiêu là phát hiện điều hệ thống cần sửa và đưa nó tới người có trách nhiệm. Nếu cả đánh giá lẫn xem xét chỉ phục vụ việc hoàn thành lịch, thông tin quan trọng có thể được ghi nhận nhưng không tạo thay đổi.

Hoạch định đánh giá theo mức quan trọng và kết quả trước

Chương trình đánh giá cần có phạm vi, tiêu chí, phương pháp, trách nhiệm và cách báo cáo phù hợp. Mức quan trọng của quá trình cùng kết quả đánh giá trước là những đầu vào cần được xem khi hoạch định. Không nên chia lịch đều cho mọi bộ phận nếu các sai lệch lớn đang tập trung ở một số hoạt động có rủi ro cao.

Nhóm cần xác định điều sẽ kiểm tra và tiêu chí để kết luận. Tiêu chí có thể gồm yêu cầu của ISMS do tổ chức xác lập và các yêu cầu tiêu chuẩn áp dụng. Một bảng câu hỏi chung không tự đủ nếu không phản ánh phạm vi dịch vụ, kiểm soát và yêu cầu thực tế. Người đánh giá phải biết mình đang tìm bằng chứng cho điều gì.

Lựa chọn người đánh giá cần bảo đảm tính khách quan và vô tư của quá trình. Trong tổ chức nhỏ, nguồn lực có thể hạn chế nhưng vẫn phải có cách quản lý xung đột khi một người kiểm tra chính phần việc mình thực hiện. Không nên chỉ đổi tên vai trò trên lịch để tạo cảm giác độc lập mà cách đánh giá không thay đổi.

ISO/IEC 27007:2020 cung cấp hướng dẫn về chương trình đánh giá ISMS, thực hiện đánh giá và năng lực người đánh giá. Đây là nguồn hướng dẫn bổ sung, không thay các yêu cầu của ISO/IEC 27001. Doanh nghiệp cần chọn phương pháp phù hợp với mục tiêu kiểm tra và điều kiện của mình.

Theo dấu bằng chứng qua một hoạt động thật

Một cách kiểm tra hữu ích là chọn mẫu có căn cứ và đi theo chuỗi thực hiện. Với thu hồi quyền, xem sự kiện nhân sự, yêu cầu, quyết định, thao tác trên các hệ thống và xác nhận kết quả. Mỗi điểm cho biết quy trình có nối được đầu vào tới đầu ra hay bị đứt tại một bộ phận.

Trong tình huống giả định, người đánh giá chọn trường hợp nhân viên chuyển vai trò. Hồ sơ ghi yêu cầu đã hoàn tất, nhưng kiểm tra tại một ứng dụng riêng cho thấy quyền cũ vẫn còn. Kết luận phải dựa trên tiêu chí và bằng chứng đó, không chỉ ghi “nhân viên chưa tuân thủ” khi còn chưa biết ai có trách nhiệm với phạm vi bị bỏ sót.

Nhóm tiếp tục xem cách danh mục ứng dụng được duy trì và người xác nhận đóng yêu cầu. Họ nhận ra một phần hệ thống không nằm trong danh sách thao tác. Sai lệch có nguyên nhân về phạm vi và điểm giao nhận, nên yêu cầu sửa không nên chỉ dừng ở thu hồi quyền của trường hợp được chọn.

Mẫu kiểm tra không bảo đảm mọi trường hợp khác đều giống hoặc đều đạt. Báo cáo cần thể hiện phạm vi và giới hạn, nhưng cũng phải chỉ ra căn cứ cần kiểm tra rộng hơn khi dấu hiệu cho thấy vấn đề có tính hệ thống. Đánh giá không nên dùng một mẫu thành công để khẳng định toàn bộ hoạt động đã hiệu lực.

Bảng là cách nhìn mối liên hệ đề xuất. Các đầu ra cần đủ rõ để người nhận biết phải làm gì, nhưng không thay thế hồ sơ và nội dung tiêu chuẩn yêu cầu. Việc một điểm đã được báo không đồng nghĩa tổ chức đã hoàn thành trách nhiệm xử lý.

Đưa hành động khắc phục tới nguyên nhân và kiểm tra hiệu lực

Khi có sự không phù hợp, tổ chức cần xử lý sai lệch và xem nhu cầu hành động để ngăn tái diễn phù hợp. Thu hồi một quyền bị bỏ sót có thể sửa trường hợp hiện tại; nếu nguyên nhân là danh mục chưa đầy đủ, cần điều chỉnh phạm vi và cơ chế cập nhật. Hai việc liên quan nhưng không được coi là cùng một kết quả.

Kế hoạch hành động nên nêu người chịu trách nhiệm, kết quả và cách xác nhận. Những mô tả như “tăng cường tuân thủ” khó kiểm tra, vì không biết hoạt động nào sẽ thay đổi. Cần xác định điều kiện trong quy trình, công nghệ hoặc năng lực cần được sửa và bằng chứng cho thấy phần đó đã vận hành.

Đóng hành động phải bám mức phù hợp của kiểm tra. Một quy trình được sửa và gửi đi chưa chứng minh các trường hợp sau được xử lý đúng. Có thể cần kiểm tra mẫu mới, quan sát một luồng thực hiện hoặc xem dữ liệu vận hành tùy vấn đề. Người xác nhận cần giữ rõ phần nào đã đạt và giới hạn của kết luận.

Năng lực quản lý IT giúp điều phối các hành động vượt một nhóm. Nếu vấn đề phụ thuộc nhân sự, nghiệp vụ hoặc nhà cung cấp, chủ hành động cần có cơ chế làm việc với họ. Không nên giao mọi sai lệch cho IT rồi để quá hạn vì điều kiện nằm ngoài thẩm quyền.

Chuẩn bị xem xét lãnh đạo bằng vấn đề cần quyết định

Đầu vào xem xét phải phản ánh tình trạng hiện hành của hệ thống. Kết quả đánh giá, theo dõi mục tiêu, rủi ro và kế hoạch xử lý cần được trình với bối cảnh. Những thay đổi về hoạt động, yêu cầu liên quan và hành động từ kỳ trước cũng cần được xem theo nội dung áp dụng, thay vì chỉ đưa báo cáo kỹ thuật gần nhất.

Cách trình bày nên cho lãnh đạo thấy điều chưa đạt, hậu quả và lựa chọn. Một danh sách hàng chục sai lệch thiếu phân tích có thể làm người đọc khó xác định ưu tiên. Nhóm chuẩn bị cần chỉ ra vấn đề nào lặp lại, vấn đề nào vượt nguồn lực hiện tại và quyết định nào cần cấp lãnh đạo.

Các chỉ số cần được giải thích theo phạm vi và chất lượng dữ liệu. Nếu tỷ lệ hoàn thành cao nhưng kiểm tra cho thấy nhiều việc chưa có bằng chứng hiệu lực, lãnh đạo phải thấy khoảng trống đó. NIST SP 800-55 có thể hỗ trợ việc chọn và sử dụng thước đo, giúp kết quả theo dõi bám câu hỏi quản lý.

Với năng lực lãnh đạo IT, người trình có thể nối thông tin với quyết định về ưu tiên, nguồn lực và thay đổi trách nhiệm. Cuộc xem xét cần tạo được lựa chọn cụ thể, không chỉ ghi rằng mọi người đã nghe báo cáo và tiếp tục thực hiện như trước.

Ghi quyết định và giữ trách nhiệm tới lúc có kết quả

Kết quả xem xét cần được giữ như thông tin dạng văn bản phù hợp. Hồ sơ phải thể hiện quyết định và hành động liên quan cải tiến hoặc thay đổi ISMS, không chỉ danh sách người tham dự. Tổ chức có thể chọn cách ghi phù hợp, miễn đủ để hiểu điều đã thống nhất và theo dõi việc thực hiện.

Một quyết định bổ sung nguồn lực cần có người triển khai và cách xác nhận. Một quyết định thay phạm vi hoặc mục tiêu cần được phản ánh vào hồ sơ liên quan. Nếu biên bản không đi vào công việc, kỳ sau có thể tiếp tục thảo luận cùng vấn đề mà không ai biết điều gì đã xảy ra với quyết định trước.

Các vấn đề chưa giải quyết phải được giữ rõ trạng thái và điều kiện đang chặn. Lãnh đạo cần thấy việc cần quyết định thêm, không chỉ nhận báo cáo rằng một hành động vẫn “đang làm”. Cách theo dõi này giúp phân biệt thiếu thời gian, thiếu nguồn lực và phương án chưa phù hợp để có phản ứng đúng.

Dùng kết quả để giữ ISMS sát hoạt động doanh nghiệp

Khi sự cố hoặc thay đổi quan trọng xuất hiện, tổ chức cần xem tác động tới chương trình đánh giá và nội dung điều hành. Không nên chờ mọi vấn đề đến lịch cuối năm nếu các giả định đang dùng đã đổi. Những hoạt động bổ sung cần phù hợp mức rủi ro và mục đích, tránh kiểm tra tràn lan mà thiếu kết luận.

Nội dung quản lý rủi ro IT giúp kết quả đánh giá quay lại ưu tiên bảo vệ. Một kiểm soát thiếu hiệu lực có thể ảnh hưởng nhiều kịch bản; một thay đổi bối cảnh có thể khiến tiêu chí cũ cần được xem lại. Hai cơ chế sẽ hữu ích hơn khi thông tin được dùng chung thay vì giữ trong các bộ hồ sơ riêng.

Đánh giá nội bộ phát hiện bằng chứng, hành động khắc phục thay đổi điều kiện và xem xét lãnh đạo tháo gỡ những quyết định ở cấp hệ thống. Khi chuỗi này được duy trì, ISMS có khả năng tự kiểm tra và điều chỉnh trong hoạt động thực tế, giúp doanh nghiệp biết điều gì đang hiệu lực và điều gì còn cần làm.

Bài viết liên quan

• Xây dựng chương trình quản lý rủi ro an toàn thông tin của nhà cung cấp.
• Quản lý sự cố an toàn thông tin: Từ phát hiện đến ứng phó, khôi phục và rút kinh nghiệm.
• Thiết lập hệ thống KPI và KRI để đánh giá hiệu quả quản lý an toàn thông tin.
• Triển khai ISMS trong doanh nghiệp: Từ đánh giá hiện trạng đến vận hành và cải tiến

Nguồn tham khảo

1. ISO — ISO/IEC 27001:2022: Information security management systems
2. ISO — ISO/IEC 27007:2020: Guidelines for information security management systems auditing
3. NIST — SP 800-55 Volume 2: Developing an Information Security Measurement Program