Trong quá trình triển khai an toàn thông tin, nhiều doanh nghiệp thường nhầm lẫn giữa ISO 27001 và Nghị định 85/2016/NĐ-CP vì cả hai đều liên quan đến bảo mật hệ thống và quản lý rủi ro an ninh mạng. Tuy nhiên, đây là hai khung quản lý hoàn toàn khác nhau về bản chất, mục tiêu và phạm vi áp dụng.

Nếu ISO 27001 là tiêu chuẩn quốc tế giúp doanh nghiệp xây dựng hệ thống quản lý an toàn thông tin bài bản thì Nghị định 85 lại là yêu cầu pháp lý tại Việt Nam liên quan đến bảo đảm an toàn hệ thống thông tin theo cấp độ. Việc hiểu rõ sự khác biệt giữa hai tiêu chuẩn này sẽ giúp doanh nghiệp tránh triển khai chồng chéo, thiếu sót hoặc sai định hướng compliance. Đây cũng là yếu tố quan trọng trong bối cảnh yêu cầu về bảo mật dữ liệu và an ninh mạng ngày càng khắt khe.

ISO 27001 là gì?

International Organization for Standardization ban hành ISO/IEC 27001 như một tiêu chuẩn quốc tế về Hệ thống quản lý an toàn thông tin (ISMS – Information Security Management System). Tiêu chuẩn này tập trung vào việc xây dựng một hệ thống quản trị bảo mật tổng thể nhằm bảo vệ dữ liệu, kiểm soát rủi ro và nâng cao khả năng vận hành an toàn thông tin trong doanh nghiệp.

Điểm đặc trưng của ISO 27001 là không chỉ tập trung vào công nghệ mà còn bao gồm quy trình, con người, chính sách, quản trị và hoạt động đánh giá rủi ro. Doanh nghiệp triển khai ISO 27001 thường hướng đến việc chuẩn hóa hệ thống bảo mật theo chuẩn quốc tế, tăng uy tín với khách hàng và đối tác, đồng thời đáp ứng các yêu cầu audit hoặc đấu thầu trong và ngoài nước.

Hiện nay, ISO 27001 được nhiều doanh nghiệp công nghệ, tài chính, ngân hàng, thương mại điện tử và đơn vị cung cấp dịch vụ số lựa chọn nhằm xây dựng nền tảng bảo mật bền vững và chuyên nghiệp hơn.

Nghị định 85/2016/NĐ-CP là gì?

Chính phủ Việt Nam ban hành Nghị định 85/2016/NĐ-CP nhằm quy định việc bảo đảm an toàn hệ thống thông tin theo cấp độ. Đây là quy định mang tính pháp lý tại Việt Nam, tập trung vào việc xác định cấp độ của từng hệ thống thông tin và áp dụng các biện pháp bảo vệ phù hợp với mức độ quan trọng của hệ thống đó.

Nghị định 85 yêu cầu doanh nghiệp và tổ chức phải xây dựng hồ sơ đề xuất cấp độ, triển khai các biện pháp kỹ thuật và quản lý tương ứng, đồng thời thực hiện đánh giá định kỳ để bảo đảm an toàn thông tin. Các lĩnh vực như ngân hàng, giáo dục, y tế, cơ quan nhà nước hoặc doanh nghiệp cung cấp dịch vụ số thường là những đơn vị chịu ảnh hưởng trực tiếp từ quy định này.

Khác với ISO 27001 mang tính tiêu chuẩn quốc tế tự nguyện, Nghị định 85 là yêu cầu compliance mà nhiều tổ chức bắt buộc phải thực hiện nếu vận hành hệ thống thông tin thuộc diện quản lý.

Khác với ISO 27001, Nghị định 85 mang tính pháp lý bắt buộc đối với nhiều cơ quan, tổ chức và doanh nghiệp đang vận hành hệ thống thông tin tại Việt Nam, đặc biệt là:

cơ quan nhà nước,
ngân hàng,
y tế,
giáo dục,
hạ tầng quan trọng,
doanh nghiệp cung cấp dịch vụ số.

Điểm khác nhau giữa ISO 27001 và Nghị định 85

Khác nhau về bản chất

ISO 27001 là tiêu chuẩn quốc tế mang tính tự nguyện, doanh nghiệp có thể lựa chọn triển khai để nâng cao năng lực quản trị bảo mật và xây dựng hệ thống vận hành chuyên nghiệp hơn. Trong khi đó, Nghị định 85 là yêu cầu pháp lý bắt buộc đối với nhiều hệ thống thông tin tại Việt Nam.

Điều này có nghĩa là một doanh nghiệp có thể không cần đạt chứng nhận ISO 27001 nhưng vẫn bắt buộc phải thực hiện đánh giá cấp độ và triển khai các yêu cầu theo Nghị định 85 nếu hệ thống thuộc diện quản lý.

Khác nhau về phạm vi triển khai

ISO 27001 thường được áp dụng ở cấp độ tổ chức hoặc một phạm vi quản lý cụ thể như trung tâm dữ liệu, khối CNTT hoặc toàn bộ doanh nghiệp. Mục tiêu của ISO là xây dựng một hệ thống quản trị an toàn thông tin có khả năng cải tiến liên tục và kiểm soát rủi ro lâu dài.

Ngược lại, Nghị định 85 tập trung vào từng hệ thống thông tin riêng lẻ và phân loại chúng theo cấp độ từ 1 đến 5 dựa trên mức độ ảnh hưởng nếu xảy ra sự cố. Một doanh nghiệp có thể sở hữu nhiều hệ thống khác nhau và mỗi hệ thống lại có cấp độ an toàn thông tin riêng.

Khác nhau về mục tiêu

ISO 27001 hướng đến việc xây dựng nền tảng quản trị bảo mật lâu dài, chuẩn hóa quy trình và nâng cao khả năng kiểm soát rủi ro của doanh nghiệp.

Trong khi đó, Nghị định 85 tập trung vào việc bảo đảm an toàn cho hệ thống thông tin theo mức độ quan trọng, giảm nguy cơ mất an toàn thông tin và đáp ứng yêu cầu quản lý nhà nước về an ninh mạng.

Khác nhau về cách đánh giá

Với ISO 27001, doanh nghiệp sẽ được đánh giá dựa trên hệ thống quản lý, quy trình vận hành, kiểm soát rủi ro và các bằng chứng thực tế liên quan đến hoạt động bảo mật. Sau khi đáp ứng yêu cầu, doanh nghiệp có thể được cấp chứng nhận ISO bởi đơn vị đánh giá độc lập.

Trong khi đó, Nghị định 85 yêu cầu doanh nghiệp thực hiện xác định cấp độ hệ thống thông tin, xây dựng hồ sơ đề xuất cấp độ, triển khai các biện pháp bảo vệ tương ứng và thực hiện kiểm tra, đánh giá định kỳ theo quy định pháp luật. Việc phê duyệt cấp độ thường liên quan đến cơ quan quản lý hoặc đơn vị có thẩm quyền.

Doanh nghiệp có ISO 27001 rồi có cần làm Nghị định 85 không?

Đây là một trong những hiểu lầm phổ biến nhất hiện nay. Nhiều doanh nghiệp cho rằng chỉ cần đạt ISO 27001 thì sẽ tự động đáp ứng đầy đủ yêu cầu pháp lý về an toàn thông tin tại Việt Nam. Thực tế không phải vậy.

ISO 27001 không thể thay thế cho các nghĩa vụ pháp lý liên quan đến Nghị định 85. Doanh nghiệp vẫn phải thực hiện các thủ tục như xác định cấp độ hệ thống, lập hồ sơ cấp độ và triển khai các biện pháp bảo đảm an toàn thông tin theo quy định.

Tuy nhiên, nếu đã xây dựng hệ thống ISO 27001 tốt, doanh nghiệp sẽ có lợi thế rất lớn khi triển khai Nghị định 85 vì nhiều nội dung có thể tái sử dụng như quản lý rủi ro, chính sách bảo mật, quy trình kiểm soát truy cập hay xử lý sự cố.

Nên triển khai ISO 27001 hay Nghị định 85 trước?

Điều này phụ thuộc vào mục tiêu và nhu cầu thực tế của doanh nghiệp. Nếu doanh nghiệp cần đáp ứng yêu cầu pháp lý, phục vụ kiểm tra hoặc triển khai hệ thống theo yêu cầu của cơ quan quản lý nhà nước thì nên ưu tiên Nghị định 85 trước.

Ngược lại, nếu doanh nghiệp muốn chuẩn hóa hệ thống quản trị bảo mật, nâng cao uy tín với khách hàng quốc tế hoặc tham gia các dự án yêu cầu compliance quốc tế thì ISO 27001 sẽ là lựa chọn phù hợp hơn.

Trong thực tế, nhiều doanh nghiệp hiện nay lựa chọn triển khai song song cả hai để vừa đáp ứng compliance tại Việt Nam, vừa xây dựng được hệ thống quản trị an toàn thông tin theo chuẩn quốc tế.

Doanh nghiệp thường gặp khó khăn gì khi triển khai?

Một vấn đề phổ biến hiện nay là nhiều doanh nghiệp triển khai bảo mật theo hướng “đối phó audit”, dẫn đến tình trạng có đầy đủ tài liệu nhưng thiếu tính vận hành thực tế. Một số đơn vị đạt chứng nhận ISO nhưng chưa xây dựng quy trình kiểm soát hiệu quả, trong khi nhiều doanh nghiệp khác hoàn thành hồ sơ cấp độ nhưng lại chưa triển khai đầy đủ các biện pháp kỹ thuật tương ứng.

Ngoài ra, nhiều doanh nghiệp còn gặp khó khăn trong việc:

xác định đúng cấp độ hệ thống thông tin,
quản lý tài sản và dữ liệu,
đánh giá rủi ro,
xây dựng quy trình xử lý sự cố,
duy trì compliance lâu dài.

Đây cũng là lý do ngày càng nhiều tổ chức lựa chọn sử dụng dịch vụ tư vấn an toàn thông tin hoặc triển khai kết hợp giữa compliance và vận hành thực tế thay vì chỉ tập trung vào hồ sơ giấy tờ.

Dịch vụ Chuẩn hóa Hệ thống CNTT

Việc triển khai Nghị định 85 và ISO 27001 thường khiến doanh nghiệp gặp khó khăn do quy trình chồng chéo, tốn nhiều thời gian và nguồn lực vận hành. 405CYSE cung cấp dịch vụ Dịch vụ Chuẩn hóa Hệ thống CNTT kết hợp cùng bộ tài liệu Masterkit được thiết kế riêng cho doanh nghiệp tại Việt Nam.

Đội ngũ chuyên gia sẽ giúp xây dựng một hệ thống quản trị đồng bộ, tối ưu chi phí và dễ dàng triển khai. Giải pháp giúp doanh nghiệp nâng cao năng lực tuân thủ, sẵn sàng cho thanh tra nhà nước và tạo nền tảng đạt các chứng nhận quốc tế về an toàn thông tin.

ISO 27001 và Nghị định 85 đều đóng vai trò quan trọng trong chiến lược an toàn thông tin của doanh nghiệp nhưng không thể thay thế cho nhau. Nếu ISO 27001 giúp doanh nghiệp xây dựng nền tảng quản trị bảo mật theo chuẩn quốc tế thì Nghị định 85 lại giúp đáp ứng các yêu cầu pháp lý về bảo đảm an toàn hệ thống thông tin tại Việt Nam.

Trong bối cảnh rủi ro an ninh mạng và yêu cầu compliance ngày càng gia tăng, doanh nghiệp nên xem đây là hai khung quản lý bổ trợ cho nhau thay vì lựa chọn một trong hai. Việc kết hợp cả quản trị quốc tế và compliance nội địa sẽ giúp hệ thống vận hành an toàn hơn, giảm rủi ro sự cố và nâng cao năng lực bảo mật trong quá trình chuyển đổi số.