STATEMENT OF APPLICABILITY (SOA) TRONG ISO/IEC 27001:2022 LÀ GÌ? TÀI LIỆU CỐT LÕI CỦA HỆ THỐNG QUẢN LÝ AN TOÀN THÔNG TIN

Trong bối cảnh các cuộc tấn công mạng, rò rỉ dữ liệu và yêu cầu tuân thủ ngày càng gia tăng, ISO/IEC 27001:2022 được nhiều tổ chức lựa chọn để xây dựng Hệ thống quản lý an toàn thông tin. Một trong những tài liệu quan trọng nhất của hệ thống này là Statement of Applicability (SoA).

Trên thực tế, nhiều doanh nghiệp có thể hoàn thiện đầy đủ các chính sách, quy trình và biểu mẫu nhưng vẫn gặp điểm không phù hợp trong quá trình đánh giá chứng nhận do Statement of Applicability chưa được xây dựng đúng bản chất. Điều này cho thấy SoA không chỉ là một yêu cầu về tài liệu mà còn là bằng chứng thể hiện cách doanh nghiệp nhận diện, đánh giá và kiểm soát rủi ro an toàn thông tin.

Statement of Applicability (SoA): Tài liệu cốt lõi của ISO/IEC 27001:2022

Statement of Applicability (SoA) là gì?

Statement of Applicability (SoA) là tài liệu ghi nhận các biện pháp kiểm soát an toàn thông tin (Information Security Controls) mà tổ chức quyết định áp dụng, không áp dụng hoặc áp dụng có điều kiện, dựa trên kết quả đánh giá rủi ro, kế hoạch xử lý rủi ro và các nghĩa vụ tuân thủ.

Nói cách khác, SoA trả lời bốn câu hỏi quan trọng:

• Doanh nghiệp lựa chọn những biện pháp kiểm soát nào?
• Vì sao các biện pháp đó được lựa chọn?
• Có biện pháp nào không áp dụng hay không?
• Việc triển khai được chứng minh bằng tài liệu và hồ sơ nào?

SoA là tài liệu kết nối giữa đánh giá rủi ro, xử lý rủi ro và các biện pháp kiểm soát trong Annex A, giúp đảm bảo mọi quyết định về an toàn thông tin đều có cơ sở và có thể chứng minh.

Vai trò của Statement of Applicability trong ISMS

Nhiều người cho rằng SoA chỉ được lập để đáp ứng yêu cầu đánh giá chứng nhận. Thực tế, đây là tài liệu có vai trò quản trị xuyên suốt trong vòng đời của ISMS.

Thứ nhất, giúp tổ chức chứng minh rằng các biện pháp kiểm soát được lựa chọn dựa trên rủi ro thực tế, thay vì áp dụng theo cảm tính hoặc sao chép từ tài liệu mẫu.

Thứ hai, tạo mối liên kết giữa các tài liệu trong hệ thống. Mỗi biện pháp kiểm soát được lựa chọn cần được hỗ trợ bởi chính sách, quy trình, hướng dẫn công việc hoặc hồ sơ triển khai tương ứng.

Thứ ba, tài liệu tham chiếu quan trọng trong các cuộc đánh giá nội bộ, xem xét của lãnh đạo và đánh giá chứng nhận. Thông qua SoA, chuyên gia đánh giá có thể đối chiếu giữa rủi ro đã xác định, biện pháp kiểm soát được lựa chọn và bằng chứng triển khai thực tế.

Cuối cùng, hỗ trợ doanh nghiệp duy trì và cải tiến hệ thống. Khi xuất hiện công nghệ mới, thay đổi quy trình hoặc phát sinh yêu cầu pháp lý, doanh nghiệp có thể sử dụng SoA để rà soát và cập nhật các biện pháp kiểm soát cần thiết.

Statement of Applicability gồm những nội dung gì?

Mặc dù tiêu chuẩn không quy định một mẫu SoA cố định, tài liệu này thường bao gồm các nội dung sau:

• Mã và tên của từng biện pháp kiểm soát theo Annex A của ISO/IEC 27001:2022.
• Trạng thái áp dụng hoặc không áp dụng.
• Lý do lựa chọn hoặc loại trừ.
• Rủi ro hoặc yêu cầu mà biện pháp kiểm soát hướng tới.
• Chính sách, quy trình hoặc hướng dẫn liên quan.
• Hồ sơ và bằng chứng chứng minh việc triển khai.
• Ghi chú hoặc nhận xét khi cần thiết.

Việc xây dựng đầy đủ các nội dung trên giúp SoA trở thành tài liệu trung tâm của hệ thống quản lý an toàn thông tin.

SoA được xây dựng dựa trên những căn cứ nào?

Statement of Applicability không được xây dựng độc lập mà phải dựa trên các đầu vào quan trọng của ISMS.

Đầu tiên là đánh giá rủi ro (Risk Assessment) để xác định các tài sản thông tin, mối đe dọa, điểm yếu và mức độ rủi ro.

Tiếp theo là kế hoạch xử lý rủi ro (Risk Treatment Plan) nhằm xác định các biện pháp kiểm soát phù hợp để giảm thiểu hoặc chấp nhận rủi ro.

Ngoài ra, doanh nghiệp cần xem xét các yêu cầu pháp luật, điều khoản hợp đồng, yêu cầu của khách hàng, yêu cầu của cơ quan quản lý và mục tiêu an toàn thông tin của tổ chức.

Điều này giải thích vì sao không có hai doanh nghiệp nào có Statement of Applicability giống hệt nhau, ngay cả khi cùng hoạt động trong một lĩnh vực.

Mối quan hệ giữa SoA và Annex A ISO/IEC 27001:2022

Annex A của ISO/IEC 27001:2022 bao gồm 93 biện pháp kiểm soát được chia thành bốn nhóm: kiểm soát về tổ chức, con người, vật lý và công nghệ.

Một hiểu lầm phổ biến là doanh nghiệp phải áp dụng toàn bộ 93 biện pháp kiểm soát. Thực tế, ISO yêu cầu doanh nghiệp đánh giá tính phù hợp của từng biện pháp và đưa ra quyết định dựa trên rủi ro.

Chính vì vậy, SoA không phải là bản sao của Annex A mà là kết quả của quá trình phân tích, lựa chọn và giải trình các biện pháp kiểm soát phù hợp với bối cảnh hoạt động của tổ chức.

Những sai lầm phổ biến khi xây dựng SoA

Nhiều doanh nghiệp vẫn gặp khó khăn trong quá trình xây dựng Statement of Applicability.

Sai lầm đầu tiên là sử dụng SoA mẫu từ một tổ chức khác mà không đánh giá lại mức độ phù hợp. Điều này có thể dẫn đến việc áp dụng những biện pháp kiểm soát không cần thiết hoặc bỏ sót các kiểm soát quan trọng.

Sai lầm thứ hai là SoA không nhất quán với kết quả đánh giá rủi ro. Ví dụ, báo cáo đánh giá rủi ro xác định nguy cơ mất dữ liệu ở mức cao nhưng SoA lại không lựa chọn các biện pháp kiểm soát liên quan đến sao lưu hoặc khôi phục dữ liệu.

Sai lầm thứ ba là thiếu bằng chứng triển khai. Việc đánh dấu một biện pháp là "đã áp dụng" nhưng không có chính sách, quy trình hoặc hồ sơ chứng minh sẽ khiến doanh nghiệp khó đáp ứng yêu cầu đánh giá.

Cuối cùng, nhiều tổ chức quên cập nhật SoA khi có thay đổi về hệ thống CNTT, ứng dụng mới, dịch vụ điện toán đám mây hoặc yêu cầu của khách hàng, khiến tài liệu không còn phản ánh đúng thực trạng của hệ thống.

Thực hành tốt khi xây dựng Statement of Applicability

Để SoA phát huy đúng vai trò trong ISMS, doanh nghiệp nên xây dựng tài liệu này trên cơ sở kết quả đánh giá rủi ro, đồng thời liên kết chặt chẽ với các chính sách, quy trình và hồ sơ liên quan.

Bên cạnh đó, SoA cần được rà soát định kỳ hoặc khi có thay đổi đáng kể về công nghệ, quy trình, cơ cấu tổ chức hoặc yêu cầu pháp luật. Mọi quyết định áp dụng hoặc loại trừ biện pháp kiểm soát cần có căn cứ rõ ràng và được lãnh đạo phê duyệt.

Quan trọng hơn, doanh nghiệp nên xem SoA là công cụ quản trị rủi ro thay vì chỉ là tài liệu phục vụ đánh giá chứng nhận.

Lợi ích đối với doanh nghiệp công nghệ thông tin
Statement of Applicability (SoA) là một trong những tài liệu có giá trị nhất của ISO/IEC 27001:2022 vì phản ánh toàn bộ cách tiếp cận của doanh nghiệp trong việc lựa chọn và triển khai các biện pháp kiểm soát an toàn thông tin.

Một SoA được xây dựng bài bản không chỉ giúp doanh nghiệp đáp ứng yêu cầu của tiêu chuẩn mà còn chứng minh năng lực quản trị rủi ro, nâng cao hiệu quả của Hệ thống quản lý an toàn thông tin và tạo niềm tin với khách hàng, đối tác cũng như các bên quan tâm.

Đối với các tổ chức đang hướng tới chứng nhận ISO/IEC 27001 hoặc mong muốn duy trì một ISMS hiệu lực, Statement of Applicability không nên được xem là một biểu mẫu hành chính, mà là tài liệu chiến lược đóng vai trò định hướng toàn bộ hoạt động kiểm soát an toàn thông tin của doanh nghiệp.

Trong ISO/IEC 27001:2022, Statement of Applicability không được đánh giá dựa trên số lượng biện pháp kiểm soát được áp dụng, mà dựa trên khả năng chứng minh rằng mỗi biện pháp đều được lựa chọn có căn cứ, triển khai hiệu quả và phù hợp với mức độ rủi ro của tổ chức. Đây chính là yếu tố tạo nên giá trị thực sự của một Hệ thống quản lý an toàn thông tin theo tiêu chuẩn quốc tế.

Quý khách hàng có nhu cầu đăng ký chứng nhận/đào tạo ISO hoặc cần tư vấn lựa chọn tiêu chuẩn phù hợp, vui lòng liên hệ KMRA để được hỗ trợ và nhận báo giá chi tiết.

KMRA tư vấn quy trình chứng nhận, phạm vi đánh giá, thời gian thực hiện và chi phí phù hợp với quy mô, lĩnh vực hoạt động của từng doanh nghiệp.

Trụ sở HCM:         ☎︎+84 28 3535 4350 | Zalo 0983 890 712 | kmarvn@kmr.com.vn

Chi nhánh Hà Nội:☎︎ Zalo 0966 177 712 | support.hanoi@kmr.com.vn

KMRA ACADEMY:   ☎︎ Zalo 0982 704 713| sales01@kmr.com.vn