ISO/IEC 27002:2022 – 93 Controls An Toàn Thông Tin, An Toàn Mạng & Bảo Vệ Quyền Riêng Tư

ISO/IEC 27002:2022: An Toàn Thông Tin, An Toàn Mạng Và Bảo Vệ Quyền Riêng Tư – Cẩm Nang 93 Controls Thực Tế

Giới thiệu

ISO/IEC 27002:2022 được coi là “cẩm nang thực chiến” quan trọng nhất của toàn bộ gia đình ISO 27000. Đây là tài liệu hướng dẫn chi tiết 93 controls (biện pháp kiểm soát) giúp doanh nghiệp triển khai hiệu quả các yêu cầu của ISO 27001:2022.

Phiên bản 2022 đã được tinh gọn mạnh mẽ: giảm từ 114 controls (2013) xuống còn 93 controls, được sắp xếp lại thành 4 themes hiện đại: Organizational, People, Physical và Technological. Đặc biệt bổ sung 11 controls mới tập trung vào cloud security, threat intelligence, data leakage prevention – rất phù hợp với doanh nghiệp SaaS, công nghệ, tài chính và sản xuất tại Việt Nam.

(Hình 1: Infographic 4 themes 93 controls ISO 27002:2022)

1. ISO/IEC 27002:2022 Là Gì?

ISO/IEC 27002:2022 là tiêu chuẩn quốc tế cung cấp hướng dẫn chi tiết để chọn và triển khai các controls an toàn thông tin. Đây không phải tiêu chuẩn chứng nhận mà là tài liệu hỗ trợ thực hiện Annex A của ISO 27001:2022.

Tiêu chuẩn tập trung bảo vệ ba yếu tố cốt lõi: Confidentiality – Integrity – Availability, đồng thời tăng cường bảo vệ quyền riêng tư dữ liệu.

2. Những Điểm Mới Nổi Bật Trong Phiên Bản 2022

• Giảm từ 114 controls xuống 93 controls
• Sắp xếp lại thành 4 themes thay vì 14 clauses cũ:
  • Organizational controls: 37 controls
  • People controls: 8 controls
  • Physical controls: 14 controls
  • Technological controls: 34 controls
• Thêm 11 controls mới quan trọng: Threat intelligence, Cloud services configuration, Data leakage prevention, Web filtering, Secure coding, v.v.

Bảng so sánh nhanh ISO 27002:2013 vs 2022

(Hình 2: Mindmap 11 controls mới ISO 27002:2022)

3. Lợi Ích Khi Áp Dụng ISO/IEC 27002:2022

• Triển khai controls chính xác, hiệu quả cao
• Giảm rủi ro mất dữ liệu và tấn công mạng lên đến 40–60%
• Tăng lòng tin khách hàng quốc tế và đối tác
• Dễ dàng chứng nhận ISO 27001:2022
• Tiết kiệm chi phí nhờ cấu trúc gọn gàng và dễ đo lường

4. Cách Triển Khai 93 Controls Thực Tế

1. Đánh giá rủi ro (kết hợp ISO 27005)
2. Xây dựng Statement of Applicability (SoA)
3. Chọn và áp dụng controls phù hợp theo 4 themes
4. Đào tạo nhân sự & kiểm soát vận hành
5. Giám sát, đo lường (theo ISO 27004) và cải tiến liên tục

(Hình 3: Phân bổ 93 controls theo 4 themes)