Kiểm toán các biện pháp kiểm soát an toàn thông tin dựa trên ISO/IEC 27001 và ISO/IEC 27002.

Phân biệt yêu cầu ISMS với hướng dẫn kiểm soát

ISO/IEC 27001 đặt yêu cầu đối với hệ thống quản lý an toàn thông tin. ISO/IEC 27002 cung cấp hướng dẫn về kiểm soát và cách thực hiện. Một bên giúp xác định những điều hệ thống quản lý phải đáp ứng, bên kia hỗ trợ tổ chức lựa chọn và thiết kế biện pháp phù hợp. Chứng nhận ISMS theo ISO/IEC 27001 không đồng nghĩa chứng nhận riêng theo ISO/IEC 27002.

Khi kiểm toán nội bộ IT, đoàn cần xác định phạm vi nhiệm vụ. Có thể xem một nhóm kiểm soát, một dịch vụ hoặc một phần ISMS. Một cuộc chỉ kiểm tra truy cập không tự tạo kết luận về sự phù hợp toàn bộ hệ thống quản lý. Báo cáo phải giữ ranh giới để người sử dụng không hiểu rộng hơn bằng chứng.

Phiên bản cùng những yêu cầu áp dụng cần được xác định. Các tiêu chuẩn có thể được cập nhật và tài liệu nội bộ cần nhất quán với căn cứ được sử dụng. Không trộn tên hoặc cấu trúc từ các phiên bản rồi ghi chung theo ISO. Khi dùng bản tham chiếu, đoàn phải hiểu vai trò và điều kiện áp dụng của nội dung đó.

Tiêu chí còn có thể gồm chính sách, hợp đồng hoặc yêu cầu khác được tổ chức xác lập. Đoàn cần phân biệt một điều bắt buộc với một lựa chọn triển khai tham khảo. Nếu thiết kế khác ví dụ trong ISO/IEC 27002 nhưng vẫn đáp ứng mục tiêu và tiêu chí, sự khác biệt hình thức không tự là phát hiện.

Nội dung kiểm toán IT giúp đội ngũ xây nhiệm vụ rõ và giữ kết luận đúng phạm vi. Kiểm toán phải sử dụng tiêu chuẩn để xác định căn cứ, đồng thời thực hiện công việc theo phương pháp nghề nghiệp phù hợp, không chỉ kiểm tra danh sách tài liệu.

Chọn kiểm soát từ rủi ro, yêu cầu và SoA

Đoàn cần hiểu bối cảnh, phạm vi ISMS và các yêu cầu liên quan để đánh giá việc lựa chọn. Một kiểm soát cần thiết có thể đến từ xử lý rủi ro hoặc nhu cầu bảo vệ khác đã xác định. Nếu không hiểu căn cứ, đoàn khó biết phạm vi triển khai có đủ hoặc lý do không áp dụng có hợp lý.

Statement of Applicability thể hiện kiểm soát cần thiết, lý do lựa chọn, tình trạng triển khai và căn cứ loại trừ các kiểm soát Annex A không cần thiết. Việc đối chiếu bộ tham chiếu nhằm tránh bỏ sót. Không có nghĩa mọi kiểm soát trong Annex A mặc nhiên cần cho mọi doanh nghiệp, hoặc mọi kiểm soát cần thiết chỉ được lấy từ bộ này.

Tình trạng chưa triển khai phải khác với không cần thiết. Nếu tổ chức có rủi ro cần kiểm soát nhưng chưa đủ nguồn lực, đó là phần phải được xử lý và điều hành. Không dùng lý do loại trừ để che khoảng trống ngân sách hay trách nhiệm. Kiểm toán xem căn cứ, trạng thái và hành động phù hợp theo phạm vi.

Những kiểm soát thực hiện bên ngoài đơn vị vẫn có thể cần cho ISMS. Bộ phận dùng chung hoặc nhà cung cấp có thể giữ một phần hoạt động, nhưng doanh nghiệp cần cách quản lý và xác nhận. Đoàn phải theo quan hệ đó, tránh loại bằng chứng quan trọng chỉ vì không do nhóm IT trực tiếp thao tác.

Cách nhìn quản lý rủi ro IT giúp kiểm tra đường nối từ kịch bản tới biện pháp. Đánh giá của quản lý là đầu vào; đoàn cần xem mức tin cậy và thay đổi hiện hành, không dùng nguyên kết luận rủi ro thấp để bỏ thủ tục khi căn cứ chưa được kiểm chứng.

Đánh giá thiết kế theo kết quả bảo vệ cần đạt

Một kiểm soát cần mô tả hành động, trách nhiệm, đầu vào và kết quả. Với nhật ký, lưu sự kiện là một khả năng; mục tiêu phát hiện còn cần nguồn phù hợp, tín hiệu và cách tiếp nhận xử lý. Đoàn phải biết kết quả mong đợi trước khi quyết định tài liệu nào chứng minh thiết kế.

Các yêu cầu bảo mật, toàn vẹn và sẵn sàng có thể cần biện pháp khác nhau. Dữ liệu công khai vẫn có thể cần bảo vệ khỏi sửa sai hoặc gián đoạn. Không nên dùng một nhãn nhạy cảm để kết luận mọi điều kiện bảo vệ đã đủ. Thiết kế phải bám mục đích sử dụng cùng hậu quả đã xác định.

ISO/IEC 27002 tổ chức kiểm soát theo các nhóm về tổ chức, con người, vật lý và công nghệ. Góc nhìn này giúp đoàn tránh chỉ tập trung công cụ. Một cấu hình tốt có thể cần thông tin nhân sự, thẩm quyền phê duyệt hoặc năng lực vận hành để tiếp tục hiệu lực. Các mối liên hệ phải được xem theo kiểm soát trong phạm vi.

Bảng là đề xuất xây chương trình, không phải biểu mẫu ISO bắt buộc. Các câu hỏi cần được diễn giải thành thủ tục có phạm vi. Một dòng đạt trên bảng chưa đủ cho kết luận nếu không thể chỉ ra nguồn, điều kiện và phần thời gian bằng chứng hỗ trợ.

Năng lực quản lý bảo mật thông tin giúp đơn vị trình bày căn cứ và cơ chế thực hiện. Đoàn kiểm toán đánh giá độc lập mức phù hợp, giữ rõ khoảng trống nếu tiêu chí hoặc thiết kế chưa đủ để đáp ứng mục tiêu đã xác lập.

Kiểm tra vận hành bằng nguồn và thủ tục phù hợp

Đoàn cần xác định tổng thể trước chọn mẫu. Danh sách yêu cầu, cảnh báo hoặc hành động có thể bỏ những hoạt động ngoài luồng. Nếu chỉ dùng nguồn đơn vị đã xử lý tốt, kết quả có thể phản ánh một phần hẹp. Kiểm tra tính đầy đủ và tin cậy của nguồn giúp chọn đúng bằng chứng.

Phỏng vấn, xem hồ sơ, quan sát hoặc kiểm thử có thể được kết hợp tùy kiểm soát. Một ảnh cấu hình hiện tại hỗ trợ hiện trạng, chưa thay bằng chứng thực hiện trong cả kỳ. Khi cơ chế đổi giữa kỳ, đoàn cần xem các phiên bản và điều kiện trước khi tổng hợp kết quả.

Với kiểm soát tự động, cần xem cấu hình, dữ liệu đầu vào và quyền sửa cơ chế có liên quan. Với kiểm soát thủ công, cần biết người thực hiện có thông tin và thẩm quyền đủ không. Không dùng tên công cụ hoặc lịch quy trình để suy ra hiệu lực mà thiếu kiểm tra phần quyết định kết quả.

ISO/IEC 27007 cung cấp hướng dẫn về chương trình và thực hiện đánh giá ISMS. Đoàn có thể tham khảo phương pháp phù hợp, đồng thời giữ nhiệm vụ kiểm toán IT đã xác lập. Một cuộc nội bộ theo tiêu chuẩn và một cuộc đánh giá chứng nhận có bối cảnh riêng; không gọi kết quả của mình là chứng nhận khi không phải hoạt động đó.

Một tình huống: có nhật ký nhưng chưa có đường xử lý tín hiệu

Trong tình huống giả định, doanh nghiệp ghi trong SoA rằng kiểm soát nhật ký đã triển khai. Nền tảng thu sự kiện hoạt động và các bản ghi được giữ. Khi đoàn hỏi mục tiêu phát hiện truy cập không phù hợp, nhóm nhận ra chưa xác định rõ tín hiệu nào cần xem và ai chịu trách nhiệm hành động.

Đoàn kiểm tra tiêu chí, phạm vi nguồn và một số tình huống trong kỳ. Bằng chứng cho thấy thông tin có nhưng không được đưa tới đầu mối theo cách đã kỳ vọng. Kết luận cần nói đúng phần này, không khẳng định nhật ký vô ích hay mọi sự cố đều đã bị bỏ qua khi chưa có căn cứ.

Quản lý đề xuất xác định các tín hiệu liên quan rủi ro, phân định trách nhiệm và kiểm tra cách xử lý. Trạng thái kiểm soát được làm rõ theo phạm vi, còn việc còn thiếu được đưa vào kế hoạch. Không chỉ đổi câu chữ trong SoA để tránh phát hiện; hoạt động phải thay đổi nếu mục tiêu vẫn chưa đạt.

Khi theo dõi, đoàn xem bằng chứng tín hiệu được tạo, nhận và xử lý trong điều kiện phù hợp. Tình huống giả định cho thấy tiêu chuẩn có thể giúp xác định nhu cầu, nhưng công cụ và tài liệu chưa tự tạo kết quả bảo vệ. Đường nối từ rủi ro tới thực hiện phải được kiểm tra.

Báo cáo theo tiêu chí và giữ cải tiến có trách nhiệm

Phát hiện cần nêu điều kiện thực tế, căn cứ và tác động, cùng nguyên nhân khi đủ thông tin. Kiến nghị hoặc kế hoạch hành động phải sửa phần tạo khoảng trống. Thiếu người nhận cảnh báo không tự được giải quyết bằng mua thêm khả năng ghi log, cũng như nguồn dữ liệu thiếu không chỉ cần nhắc tuân thủ.

Năng lực quản lý IT giúp điều phối đầu mối và nguồn lực. Khi kiểm soát liên quan nghiệp vụ hoặc nhà cung cấp, phương án phải bao phủ điểm giao nhận. Đoàn kiểm toán theo dõi bằng chứng phù hợp, không chỉ trạng thái một hành động đã đóng.

Kiểm toán dựa trên ISO có giá trị khi doanh nghiệp hiểu căn cứ lựa chọn, mức hiệu lực và phần chưa đủ bằng chứng. Giữ đúng vai trò của ISO/IEC 27001 cùng ISO/IEC 27002 giúp kết luận vừa có cơ sở tham chiếu vừa bám hoạt động, tạo điều kiện cải thiện ISMS thay vì chỉ hoàn thiện một danh sách kiểm soát.

Bài viết liên quan

• Đánh giá kiểm soát trong quản lý nhà cung cấp và dịch vụ IT thuê ngoài.
• Kỹ thuật thu thập bằng chứng kiểm toán IT: Phỏng vấn, quan sát, kiểm tra và thực hiện lại.
• Viết phát hiện kiểm toán IT thuyết phục: Từ tiêu chí và bằng chứng đến kiến nghị
• Theo dõi hành động khắc phục: Làm thế nào để xác nhận vấn đề đã được xử lý hiệu quả?

Nguồn tham khảo

1. ISO — ISO/IEC 27001:2022: Information security management systems
2. ISO — ISO/IEC 27002:2022: Information security controls
3. ISO — ISO/IEC 27007:2020: Guidelines for information security management systems auditing