Security Audit là gì? Phân biệt với pentest và khi nào cần làm cả hai.

Một trong những hiểu lầm phổ biến nhất trong lĩnh vực an toàn thông tin tại Việt Nam là xem security audit và pentest (kiểm thử xâm nhập) như hai cách gọi khác nhau cho cùng một dịch vụ. Trên thực tế, đây là hai hoạt động hoàn toàn khác nhau về mục tiêu, phương pháp và kết quả đầu ra.

Sự nhầm lẫn này dẫn đến hai vấn đề thực tế: doanh nghiệp chi tiền cho pentest khi thực sự cần security audit để đáp ứng yêu cầu pháp lý, hoặc ngược lại, thực hiện security audit xong nghĩ rằng mình đã kiểm tra đủ mức độ an toàn mà không biết hệ thống vẫn có thể bị xâm nhập qua những lỗ hổng chưa từng được thử nghiệm thực tế.

Bài viết này làm rõ security audit là gì, cách phân biệt với pentest và khi nào doanh nghiệp cần thực hiện cả hai.

Security audit là gì?

Security audit (kiểm toán bảo mật) là quá trình đánh giá có hệ thống và độc lập toàn bộ các thành phần của một tổ chức liên quan đến an toàn thông tin, bao gồm hệ thống kỹ thuật, chính sách bảo mật, quy trình vận hành và con người, nhằm xác định mức độ tuân thủ so với một framework hoặc tiêu chuẩn tham chiếu cụ thể.

Nói đơn giản hơn, security audit trả lời câu hỏi: tổ chức của bạn đang làm đúng những gì mà tiêu chuẩn bảo mật yêu cầu không?

Điểm cốt lõi của security audit là tính đối chiếu. Mọi phát hiện trong quá trình audit đều được đánh giá dựa trên một chuẩn mực xác định trước, không phải theo cảm tính hay kinh nghiệm chủ quan của người thực hiện. Đây là điều phân biệt security audit với một buổi tư vấn bảo mật thông thường.

Bốn lớp đánh giá trong một security audit toàn diện

Security audit không chỉ là kiểm tra máy tính và phần mềm. Một security audit chuyên nghiệp phải đánh giá đồng thời bốn lớp cấu thành hệ thống bảo mật của tổ chức.

Lớp kỹ thuật

Đây là lớp mà hầu hết doanh nghiệp nghĩ đến đầu tiên khi nói về security audit. Lớp kỹ thuật bao gồm rà soát cấu hình máy chủ, thiết bị mạng, hệ điều hành và ứng dụng; kiểm tra phân vùng mạng và kiểm soát truy cập; đánh giá hệ thống mã hóa dữ liệu trong lưu trữ và truyền tải; rà soát nhật ký hệ thống và cơ chế giám sát; và kiểm tra quy trình sao lưu và phục hồi dữ liệu.

Tuy nhiên lớp kỹ thuật chỉ là một phần của bức tranh tổng thể. Ba lớp còn lại thường bị đánh giá thấp nhưng lại là nguồn gốc của phần lớn sự cố bảo mật thực tế.

Lớp chính sách

Security audit đánh giá xem tổ chức có đang vận hành theo hệ thống chính sách bảo mật đầy đủ và phù hợp không. Các câu hỏi điển hình ở lớp này bao gồm: chính sách sử dụng thiết bị và hệ thống có được ban hành và cập nhật không, chính sách quản lý mật khẩu có đủ nghiêm ngặt không, chính sách kiểm soát truy cập của bên thứ ba có được thiết lập rõ ràng không, và quan trọng hơn, các chính sách đó có thực sự được thực thi trong vận hành hàng ngày không.

Lớp quy trình

Nhiều tổ chức có chính sách tốt trên giấy nhưng thiếu quy trình cụ thể để thực hiện. Security audit kiểm tra các quy trình thực tế như quy trình onboarding và offboarding nhân viên (đặc biệt là thu hồi quyền truy cập khi nhân viên nghỉ việc), quy trình vá lỗi và cập nhật phần mềm, quy trình phê duyệt thay đổi hệ thống, quy trình ứng phó sự cố bảo mật và quy trình kiểm toán nội bộ định kỳ.

Lớp con người

Con người là điểm yếu nhất và cũng thường xuyên bị bỏ qua nhất trong security audit. Lớp con người bao gồm đánh giá nhận thức bảo mật của nhân viên, kiểm tra mức độ tuân thủ chính sách trong thực tế thông qua phỏng vấn và quan sát, đánh giá năng lực của đội ngũ IT và bảo mật nội bộ, và đôi khi cả các bài kiểm tra giả lập tấn công phi kỹ thuật (social engineering) để đo lường phản ứng thực tế của nhân viên.

Các framework security audit phổ biến

Security audit luôn được thực hiện dựa trên một framework hoặc tiêu chuẩn tham chiếu. Việc chọn framework nào phụ thuộc vào mục tiêu của tổ chức và yêu cầu từ khách hàng hay cơ quan quản lý.

ISO 27001:2022

ISO 27001 là tiêu chuẩn quản lý an toàn thông tin được công nhận rộng rãi nhất trên toàn cầu. Security audit theo ISO 27001 đánh giá mức độ triển khai của Hệ thống Quản lý An toàn Thông tin (ISMS), bao gồm 93 biện pháp kiểm soát được tổ chức thành 4 chủ đề chính: biện pháp tổ chức, biện pháp con người, biện pháp vật lý và biện pháp công nghệ.

Đây là framework phù hợp nhất khi doanh nghiệp muốn đạt chứng nhận quốc tế, đang trong quá trình tham gia chuỗi cung ứng toàn cầu hoặc cần chứng minh năng lực bảo mật với đối tác nước ngoài. Tại Việt Nam, ISO 27001 ngày càng được yêu cầu trong các hợp đồng với tập đoàn đa quốc gia và dự án hợp tác quốc tế.

NIST Cybersecurity Framework (NIST CSF)

Được phát triển bởi Viện Tiêu chuẩn và Công nghệ Quốc gia Mỹ, NIST CSF tổ chức các biện pháp bảo mật theo 5 chức năng cốt lõi: Identify (Nhận diện), Protect (Bảo vệ), Detect (Phát hiện), Respond (Phản ứng) và Recover (Phục hồi). Phiên bản 2.0 ra mắt năm 2024 bổ sung thêm chức năng Govern (Quản trị) làm nền tảng cho toàn bộ framework.

Security audit theo NIST phù hợp với doanh nghiệp đang xây dựng chương trình bảo mật từ đầu hoặc muốn đánh giá mức độ trưởng thành tổng thể của hệ thống quản lý bảo mật. NIST cũng là framework được ưu tiên cho các tổ chức vận hành hạ tầng trọng yếu.

CIS Controls

CIS Controls (Center for Internet Security) cung cấp danh sách 18 nhóm biện pháp kiểm soát bảo mật được sắp xếp theo thứ tự ưu tiên dựa trên hiệu quả thực tế trong việc ngăn chặn các cuộc tấn công phổ biến nhất. Đây là framework thực tiễn nhất cho doanh nghiệp vừa và nhỏ vì nó chỉ rõ nên làm gì trước, làm gì sau thay vì liệt kê đồng đều hàng trăm yêu cầu.

Security audit theo CIS Controls phù hợp khi doanh nghiệp muốn nhanh chóng cải thiện tình trạng bảo mật với ngân sách và thời gian có hạn, tập trung vào những biện pháp có tác động lớn nhất.

TCVN 11930:2017 và Nghị định 85

Trong bối cảnh pháp lý Việt Nam, security audit còn phải đối chiếu với tiêu chuẩn quốc gia TCVN 11930:2017 và yêu cầu cấp độ an toàn thông tin theo Nghị định 85/2016/NĐ-CP. Đây là framework bắt buộc với các tổ chức cần lập hồ sơ đề xuất cấp độ an toàn thông tin, được hướng dẫn chi tiết qua Thông tư 12/2022/TT-BTTTT.

Pentest là gì và khác security audit ở điểm nào?

Pentest (Penetration Testing, kiểm thử xâm nhập) là hoạt động mô phỏng có kiểm soát các cuộc tấn công mạng thực tế vào hệ thống của tổ chức, với mục tiêu phát hiện những lỗ hổng có thể bị khai thác bởi kẻ tấn công bên ngoài hoặc nội bộ.

Nếu security audit hỏi “bạn đang làm đúng theo quy định không?” thì pentest hỏi “hệ thống của bạn có thực sự chịu được tấn công không?”

Bảng so sánh security audit và pentest

Tiêu chí	Security Audit	Pentest
Mục tiêu	Đánh giá sự tuân thủ với framework chuẩn	Phát hiện lỗ hổng có thể khai thác trong thực tế
Phương pháp	Rà soát tài liệu, phỏng vấn, kiểm tra cấu hình	Tấn công mô phỏng thực tế bằng kỹ thuật của hacker
Phạm vi	Toàn bộ tổ chức (kỹ thuật, quy trình, con người, chính sách)	Thường giới hạn ở một hệ thống hoặc phạm vi kỹ thuật cụ thể
Kết quả	Báo cáo mức độ tuân thủ và khoảng cách so với tiêu chuẩn	Danh sách lỗ hổng được xếp hạng theo mức độ nguy hiểm
Tần suất	Định kỳ theo yêu cầu chứng nhận hoặc pháp lý	Định kỳ hoặc khi có thay đổi hệ thống lớn
Người thực hiện	Auditor có chứng chỉ (CISA, ISO 27001 LA)	Ethical hacker hoặc red team chuyên nghiệp
Giá trị chính	Chứng minh tuân thủ, phát hiện khoảng trống quy trình	Phát hiện lỗ hổng kỹ thuật thực tế trước kẻ tấn công

Một điểm rất quan trọng cần hiểu: security audit có thể cho thấy tổ chức tuân thủ đầy đủ ISO 27001 nhưng pentest vẫn có thể tìm ra lỗ hổng kỹ thuật mà auditor không phát hiện. Ngược lại, pentest có thể cho thấy không có lỗ hổng nghiêm trọng nào nhưng security audit vẫn có thể chỉ ra rằng quy trình quản lý rủi ro, chính sách kiểm soát truy cập hay năng lực ứng phó sự cố của tổ chức không đáp ứng yêu cầu tối thiểu của pháp luật.

Khi nào cần làm security audit, khi nào cần pentest và khi nào cần cả hai?

Khi nào chỉ cần security audit

Doanh nghiệp nên ưu tiên security audit khi đang trong quá trình chuẩn bị hồ sơ đề xuất cấp độ an toàn thông tin theo Nghị định 85 hoặc hướng tới chứng nhận ISO 27001; khi cần đánh giá mức độ tuân thủ Luật An ninh mạng 2025 và Nghị định 356 để xác định khoảng cách pháp lý; khi ban lãnh đạo cần bức tranh tổng thể về rủi ro an toàn thông tin để đưa ra quyết định đầu tư; hoặc khi chuẩn bị cho một đợt kiểm tra của cơ quan quản lý.

Khi nào chỉ cần pentest

Doanh nghiệp nên ưu tiên pentest khi vừa triển khai một ứng dụng hoặc hệ thống mới và cần kiểm tra trước khi đưa vào vận hành; khi có thay đổi kiến trúc hệ thống lớn và muốn đảm bảo thay đổi đó không tạo ra lỗ hổng mới; khi muốn kiểm tra xem các lỗ hổng đã được vá trước đó có thực sự được xử lý triệt để không; hoặc khi đang hoạt động trong lĩnh vực có nguy cơ tấn công cao như tài chính, thương mại điện tử và đang muốn đánh giá khả năng phòng thủ thực chiến.

Khi nào cần cả security audit lẫn pentest

Trong nhiều tình huống thực tế, doanh nghiệp cần thực hiện cả hai. Security audit trước tiên để xác định khoảng cách tuân thủ và ưu tiên các vấn đề cần xử lý, sau đó pentest để xác nhận rằng các biện pháp kiểm soát kỹ thuật đang hoạt động hiệu quả trong thực tế.

Cụ thể, doanh nghiệp nên làm cả hai khi đang xây dựng chương trình bảo mật toàn diện lần đầu và cần vừa đảm bảo tuân thủ vừa kiểm tra khả năng phòng thủ thực tế; khi chuẩn bị cho một sự kiện quan trọng như IPO, mua bán sáp nhập hoặc mở rộng thị trường quốc tế; khi là mục tiêu có nguy cơ cao và cần cả chứng minh tuân thủ pháp lý lẫn đảm bảo an toàn kỹ thuật; hoặc khi yêu cầu từ phía đối tác hoặc khách hàng đòi hỏi cả hai loại báo cáo.

Security audit theo pháp luật Việt Nam: Những điểm doanh nghiệp cần lưu ý

Trong bối cảnh pháp lý hiện nay tại Việt Nam, security audit không còn là hoạt động tự nguyện mà đang dần trở thành nghĩa vụ pháp lý cho nhiều nhóm doanh nghiệp.

Theo Luật An ninh mạng 2025, các tổ chức vận hành hệ thống thông tin quan trọng phải thực hiện đánh giá an toàn thông tin định kỳ và duy trì phương án bảo đảm an toàn được cập nhật theo thực trạng hệ thống. Theo Nghị định 85/2016/NĐ-CP, doanh nghiệp cần lập hồ sơ đề xuất cấp độ an toàn thông tin cho hệ thống của mình và triển khai các biện pháp bảo vệ tương ứng. Theo Nghị định 356/2025/NĐ-CP, hồ sơ DPIA yêu cầu doanh nghiệp chứng minh có biện pháp bảo vệ kỹ thuật phù hợp và security audit chính là cơ sở để xây dựng phần này của hồ sơ.

Dịch vụ Security Audit của 405CYSE

405CYSE triển khai dịch vụ kiểm định an toàn hệ thống IT theo mô hình 5P SYNS, bao trùm đồng thời cả bốn lớp đánh giá (kỹ thuật, chính sách, quy trình, con người) và đối chiếu với nhiều framework tiêu chuẩn trong cùng một lần kiểm định, bao gồm Luật An ninh mạng 2025, Nghị định 85, Nghị định 356, ISO 27001:2022 và TCVN 11930:2017.

Kết quả đầu ra là báo cáo với hơn 150 hạng mục rủi ro được chấm điểm và phân cấp rõ ràng theo mức độ nghiêm trọng, kèm lộ trình khắc phục cụ thể theo thứ tự ưu tiên ngắn hạn và dài hạn. Toàn bộ quá trình kiểm định được thực hiện mà không gây gián đoạn hệ thống vận hành, phù hợp với doanh nghiệp cần duy trì hoạt động liên tục trong quá trình đánh giá.

Xem chi tiết dịch vụ Security Audit của 405CYSE

Security audit là gì không còn là câu hỏi học thuật khi Luật An ninh mạng 2025 và Nghị định 356 đã chính thức có hiệu lực. Hiểu đúng sự khác biệt giữa security audit và pentest giúp doanh nghiệp đầu tư đúng loại dịch vụ cho đúng mục tiêu, tránh lãng phí ngân sách bảo mật vào những hoạt động không giải quyết được bài toán thực sự đang đối mặt. Doanh nghiệp chủ động thực hiện security audit định kỳ không chỉ đang đáp ứng nghĩa vụ pháp lý mà đang xây dựng nền tảng bảo mật vững chắc để tăng trưởng an tâm trong môi trường số ngày càng nhiều rủi ro.