ISO/IEC 27005:2022 – Quản Lý Rủi Ro An Toàn Thông Tin Theo Tiêu Chuẩn Quốc Tế

ISO/IEC 27005:2022: Quản Lý Rủi Ro An Toàn Thông Tin – Trái Tim Của Hệ Thống Quản Lý An Toàn Thông Tin (ISMS)

Giới thiệu ISO/IEC 27005:2022 chính là “trái tim” và nền tảng cốt lõi của toàn bộ Hệ thống Quản lý An toàn Thông tin (ISMS) theo ISO 27001:2022. Tiêu chuẩn cung cấp hướng dẫn chi tiết và có hệ thống về cách xác định, đánh giá, xử lý và giám sát rủi ro an ninh thông tin – giúp doanh nghiệp không chỉ “phòng thủ” mà còn chủ động biến rủi ro thành cơ hội.

Phiên bản 2022 đã được cập nhật mạnh mẽ, phù hợp hơn với môi trường công nghệ hiện đại (cloud, AI, OT) và yêu cầu pháp lý tại Việt Nam như Luật An ninh mạng và Luật Bảo vệ dữ liệu cá nhân.

Hình 1: Quy trình quản lý rủi ro hoàn chỉnh theo ISO 27005:2022

1. ISO/IEC 27005:2022 Là Gì?

ISO/IEC 27005:2022 là tiêu chuẩn quốc tế thuộc gia đình ISO 27000, tập trung chuyên sâu vào quản lý rủi ro an toàn thông tin. Tiêu chuẩn giúp tổ chức xây dựng, triển khai và duy trì một quy trình quản lý rủi ro toàn diện, logic và lặp lại theo chu trình PDCA.

Đây không phải tiêu chuẩn chứng nhận mà là tài liệu hướng dẫn thực tiễn, được sử dụng trực tiếp trong Annex A của ISO 27001 để xây dựng Statement of Applicability (SoA).

2. Những Điểm Mới Nổi Bật Trong Phiên Bản 2022

Bảng so sánh nhanh ISO 27005:2018 vs 2022

Hình 2: Risk Assessment Matrix theo ISO 27005:2022

3. Lợi Ích Khi Áp Dụng ISO/IEC 27005:2022

• Xác định và ưu tiên rủi ro chính xác, giảm thiểu thiệt hại thực tế
• Tăng hiệu quả đầu tư bảo mật (chỉ chi cho những rủi ro thật sự quan trọng)
• Hỗ trợ Ban lãnh đạo ra quyết định dựa trên dữ liệu
• Giúp doanh nghiệp dễ dàng chứng nhận ISO 27001:2022
• Tăng khả năng chống chịu và phục hồi trước các cuộc tấn công mạng

4. Quy Trình Quản Lý Rủi Ro Theo ISO 27005:2022

1. Xác lập bối cảnh (Context establishment)
2. Đánh giá rủi ro (Risk assessment)
3. Xử lý rủi ro (Risk treatment)
4. Giám sát & rà soát (Monitoring and review)
5. Giao tiếp & tư vấn (Communication and consultation)

Hình 3: 5 bước quản lý rủi ro liên tục theo ISO 27005