ISO 27001 và NIS2: Điểm chồng lấn và khác biệt

Đây là gì

ISO/IEC 27001:2022 quy định các yêu cầu để thiết lập, vận hành và cải tiến một hệ thống quản lý an toàn thông tin (ISMS): bối cảnh và phạm vi, sự lãnh đạo, đánh giá và xử lý rủi ro, hỗ trợ, vận hành, đánh giá kết quả thực hiện và cải tiến. Phụ lục A của tiêu chuẩn liệt kê 93 biện pháp kiểm soát tham chiếu, được nhóm thành các chủ đề tổ chức, con người, vật lý và công nghệ, và được lựa chọn theo kết quả đánh giá rủi ro. Tổ chức có thể chọn để ISMS của mình được đánh giá bởi một tổ chức chứng nhận được công nhận. Ngược lại, NIS2 yêu cầu các đơn vị thuộc phạm vi triển khai các biện pháp quản lý rủi ro trên các lĩnh vực xác định, quy trách nhiệm cho các cơ quan quản lý, đồng thời bổ sung yêu cầu báo cáo sự cố nghiêm ngặt cho cơ quan có thẩm quyền, cơ chế giám sát và xử phạt. Phần chồng lấn là rất lớn: đánh giá rủi ro, chính sách, kiểm soát truy cập, mật mã, an ninh nhà cung cấp, quản lý sự cố, duy trì hoạt động liên tục và đào tạo đều xuất hiện ở cả hai. Những khác biệt cũng quan trọng. NIS2 đặt ra thời hạn báo cáo theo luật, trách nhiệm giải trình và đào tạo rõ ràng của ban lãnh đạo và cơ chế giám sát quốc gia; ISO 27001 cho phép tổ chức tự xác định phạm vi, và phạm vi đó có thể không khớp với các dịch vụ mà NIS2 quan tâm.

Dành cho ai

Phần so sánh này hữu ích cho:

• Các tổ chức đã có chương trình ISO 27001 đang đánh giá khoảng cách so với NIS2
• Các tổ chức thuộc phạm vi NIS2 đang quyết định có xây dựng ISMS làm khung của mình hay không
• Nhà cung cấp được khách hàng yêu cầu chứng minh sự phù hợp với ISO 27001 hoặc các cam kết liên quan đến NIS2
• Ban lãnh đạo đang phân bổ ngân sách giữa các khung

Giúp làm rõ điều gì

Đặt hai văn bản cạnh nhau giúp làm rõ:

• Những biện pháp kiểm soát và hồ sơ hiện có nào có thể được tái sử dụng làm bằng chứng cho NIS2
• Phạm vi ISMS có bao quát các dịch vụ và hệ thống liên quan theo NIS2 hay không
• Những nghĩa vụ NIS2 nào, chẳng hạn mốc thời gian báo cáo, cần bổ sung quy trình
• Chứng nhận ISO chính thức là một yêu cầu kinh doanh hay chỉ đơn giản là một khung hữu ích

Những gì được bao gồm

• So sánh phạm vi ISMS với các dịch vụ và hệ thống có liên quan theo NIS2
• Ánh xạ các biện pháp kiểm soát thuộc Phụ lục A đã triển khai vào các lĩnh vực biện pháp tại Điều 21 của NIS2
• Bổ sung quy trình xử lý sự cố cho các giai đoạn báo cáo 24 giờ, 72 giờ và một tháng
• Lập hồ sơ rõ ràng về sự phê duyệt, giám sát và đào tạo của cơ quan quản lý
• Mở rộng việc đánh giá nhà cung cấp để bao gồm các nhà cung cấp ICT đằng sau các dịch vụ quan trọng
• Kiểm tra luật chuyển hóa quốc gia để tìm các yêu cầu bổ sung hoặc các chương trình được tham chiếu
• Sử dụng đánh giá nội bộ và xem xét của lãnh đạo để chứng minh các biện pháp có hiệu quả theo thời gian
• Lưu giữ bằng chứng về các biện pháp kiểm soát kỹ thuật, không chỉ chính sách

Những gì không được bao gồm

• Chứng nhận ISO 27001 hoặc đánh giá bởi tổ chức chứng nhận
• Tuyên bố rằng chứng nhận ISO 27001 đáp ứng các nghĩa vụ theo NIS2
• Diễn giải pháp lý về luật NIS2 quốc gia
• Danh hiệu hoặc công nhận chính thức

Khi nào nên chọn

Hãy dùng phần so sánh này khi lập kế hoạch chương trình bảo mật cho một đến hai năm tới. Nếu khách hàng yêu cầu chứng chỉ ISO 27001, hãy lên kế hoạch cho một đợt đánh giá chứng nhận được công nhận như một bước riêng. Nếu thuộc phạm vi NIS2, hãy dùng cấu trúc ISMS để tổ chức các biện pháp nhưng bổ sung các yếu tố riêng của chỉ thị. Nếu chưa có cả hai, bắt đầu bằng một đợt đánh giá khoảng cách có cấu trúc so với một tham chiếu đã thống nhất thường hữu ích hơn việc viết chính sách trước. Bài viết này là thông tin chung và không phải là tư vấn pháp lý.

Phương pháp của chúng tôi

Hãy coi ISO 27001 là cấu trúc quản lý và NIS2 là tập hợp các yêu cầu pháp lý mà cấu trúc đó phải đáp ứng. Bắt đầu với một bộ biện pháp kiểm soát duy nhất được ánh xạ vào cả hai, để mỗi biện pháp kiểm soát có một người phụ trách và một bộ bằng chứng. Đặc biệt chú ý đến phạm vi: một ISMS chỉ bao quát chức năng của trụ sở chính sẽ không chứng minh được nhiều về các hệ thống đằng sau một dịch vụ quan trọng. Dịch vụ Security Baseline Review của chúng tôi có thể hỗ trợ phần kỹ thuật: góc nhìn bằng văn bản, được xếp theo mức độ nghiêm trọng, về các tài sản đã thống nhất và các quan sát về khoảng cách sẵn sàng so với một tham chiếu đã thống nhất, nếu có trong phạm vi đã xác nhận. Đây là hỗ trợ sẵn sàng và ra quyết định, giúp bạn chuẩn bị làm việc với các tổ chức chứng nhận được công nhận, kiểm toán viên và cố vấn pháp lý. Nếu mục tiêu là chứng nhận, hãy chọn một tổ chức chứng nhận được công nhận để thực hiện đánh giá và giữ công việc chuẩn bị sẵn sàng tách biệt khỏi đợt đánh giá đó.

Security Baseline Review

Câu hỏi thường gặp

Bài viết liên quan