6 yếu tố quan trọng ảnh hưởng đến quá trình đạt ISO 27001

Nhờ vào sự ra đời của Google Maps, chúng ta có tùy chọn kiểm tra thời gian di chuyển của mình trước khi khởi hành đến một điểm đến. Tính năng này thật hữu ích khi nó giúp bạn ước lượng được thời gian cần di chuyển, tình hình giao thông vào thời điểm đó, nó có thể giúp bạn tránh lãng phí hàng giờ ngồi trong đám kẹt xe. Google maps ắt hẳn không thể loại bỏ tắc nghẽn giao thông cho bạn rồi, nhưng nó sẽ giúp bạn có kỳ vọng đúng đắn cho chuyến đi, từ đó giúp bạn lập kế hoạch phù hợp hơn.

Với tư cách là Tổ chức tư vấn ISO, tại IMI, chúng tôi hiểu rằng việc xác định thời gian biểu cho từng khách hàng luôn là một hoạt động cần nhiều sức lực, và mỗi công ty thì sẽ lại có những đặc điểm khác nhau khiến việc xây dựng kế hoạch đạt chứng chỉ cũng khác nhau. Tiêu chuẩn ISO, đặc biệt là ISO 27001 cũng khá tổng thể và có quá nhiều biến số khác nhau có thể ảnh hưởng đến thời gian đạt được chứng nhận của bạn, nhưng điều đó không có nghĩa là chúng tôi không thể giúp bạn xác định tiến trình ISO 27001.

Trong bài viết này, chúng tôi chia sẻ cho bạn một cách chi tiết sáu yếu tố có thể ảnh hưởng đến lượng thời gian bạn sẽ dành để được chứng nhận ISO 27001. Hãy đọc tiếp để hiểu rõ hơn về các yếu tố nội bộ trong tổ chức của bạn có thể đóng vai trò quan trọng trong việc rút ngắn hoặc kéo dài thời gian đánh giá chứng nhận của bạn.

Giống như Google Maps, chúng ta sẽ không thể giải quyết bất kỳ trở ngại khách quan nào, nhưng chúng tôi sẽ giúp bạn có vị thế tốt hơn để lập kế hoạch kiểm tra của mình với những kỳ vọng hợp lý hơn.

Điều gì ảnh hưởng đến tiến trình ISO 27001 của bạn?

Trên thực tế, trong ISO 27006 có cung cấp một số hướng dẫn về việc dự kiến ​​thời gian biểu chứng nhận ước tính. Sáu yếu tố này là những yếu tố mà ISO 27006 xem xét khi tính toán thời gian đánh giá tiềm năng. 

1. Sự chuẩn bị của bạn

Việc chuẩn bị ISO 27001 đòi hỏi rất nhiều tài nguyên và nhân lực, trung bình, có thể mất từ ​​2 tháng đến một năm để một tổ chức chuẩn bị đầy đủ cho chứng nhận ISO 27001 của họ. 

Bạn sẽ cần làm những việc như:

• Xác định phạm vi của hệ thống quản lý bảo mật thông tin (ISMS) của bạn
• Nhận quyền quản lý
• Xác định vai trò và trách nhiệm liên quan đến an toàn thông tin
• Tiến hành đánh giá / xử lý rủi ro
• Thiết lập một tuyên bố về khả năng áp dụng
• Thực hiện đánh giá nội bộ ISMS của bạn
• Thiết lập các hoạt động giám sát / đo lường

Như bạn thấy đấy, danh sách những việc cần làm rất phong phú. Cách tiếp cận toàn diện của ISO 27001 đối với bảo mật sẽ có nghĩa là dành đủ thời gian để đưa mọi thứ vào đúng vị trí và thực hiện kiểm tra. Thời gian của bạn để làm tất cả những điều này sẽ hoàn toàn ảnh hưởng đến tiến trình tổng thể của bạn để được chứng nhận.

2. Số lượng nhân viên

Chắc chắn là yếu tố có thể dễ định lượng ban đầu nhất, số lượng nhân viên bạn dự định có trong phạm vi hoạt động cũng sẽ đóng một phần trong tổng số ngày kiểm toán cần thiết trong quá trình kiểm toán ban đầu của bạn — bao gồm Giai đoạn 1 và Giai đoạn 2. 

Mối tương quan ở đây rất đơn giản – càng nhiều người cần được tổ chức chứng nhận của bạn phỏng vấn, thì càng mất nhiều thời gian, đặc biệt là khi bạn phải kết hợp các cuộc phỏng vấn vào lịch trình cá nhân.

Nhưng đối với ISO / IEC 27006: 2015, đây là chứng chỉ mà ­các tổ chức chứng nhận bắt buộc phải tuân theo khi thực hiện đánh giá ISMS, thì lại có đưa ra các yêu cầu tối thiểu dựa trên số lượng người thực hiện công việc dưới sự kiểm soát của tổ chức (ví dụ: số lượng nhân viên trong phạm vi).

3. Sửa đổi phạm vi

Như đã đề cập trước đây rằng việc thiết lập phạm vi ISMS là điều bạn phải làm trước quá trình chứng nhận thực tế.

Tuy nhiên, những quyết định đầu tiên không phải lúc nào cũng thành công. Nếu bạn cần phải thực hiện sửa đổi phạm vi sau tiến hành lấychứng nhận thực tế, điều đó có thể dẫn đến kéo dài nhưng cũng có thể rút ngắn thời gian kiểm tra.

Thời gian bổ sung thực tế được tính dựa trên hướng dẫn từ ISO 27006, nhưng các sửa đổi phổ biến bao gồm thêm hoặc bớt:

• Người lao động;
• Chức năng;
• Địa điểm;
• Hệ thống; hoặc
• Quy trình, v.v.

4. Thời gian giám sát và chứng nhận lại 

Ba yếu tố đầu tiên đặc biệt ảnh hưởng đến thời gian cần thiết cho đánh giá chứng nhận ban đầu của bạn. Đổi lại, đánh giá ban đầu của bạn ảnh hưởng đến toàn bộ phần còn lại của quy trình ISO 27001 của bạn, cụ thể là đánh giá giám sát và chứng nhận lại:

• Mỗi đánh giá giám sát của bạn sẽ mất khoảng 1/3 thời gian đánh giá chứng nhận ban đầu.
• Quá trình đánh giá chứng nhận lại của bạn sẽ mất khoảng 2/3 thời gian đánh giá chứng nhận ban đầu. 

Vì vậy, nếu lần đánh giá ban đầu của bạn mất tổng cộng 12 ngày, thì quá trình xem xét giám sát sẽ kéo dài khoảng 4 ngày trong khi quá trình chứng nhận lại sẽ kéo dài khoảng 8 ngày.

5. Sự không phù hợp

Chứng chỉ ISO 27001 có tính chu kỳ, vì vậy bạn sẽ luôn phải trải qua các cuộc đánh giá ban đầu, sau đó đến các vòng giám sát và chứng nhận lại.

Tuy nhiên, ngoài đường cơ sở đó, nếu kiểm toán viên của bạn xác định được bất kỳ sự không phù hợp lớn và nhỏ nào trong quá trình xem xét đó, điều đó có thể dẫn đến việc cần thêm thời gian. 

Không chỉ vậy, bạn phải sửa chữa tất cả các điểm không phù hợp nhỏ đã xác định, sửa chữa và khắc phục tất cả các điểm không phù hợp lớn đã xác định trước khi đánh giá viên của bạn có thể cấp hoặc cấp lại chứng nhận ISO 27001 cho tổ chức bạn.

Thời gian sửa chữa và khắc phục có thể thay đổi từ vài tuần đến vài tháng khiến kéo dài thời gian kiểm tra của bạn.

6. Các yếu tố cụ thể riêng cho từng tổ chức

Bên cạnh những yếu tố tổng quát hơn này, cũng có một số yếu tố cụ thể đối với tổ chức của bạn sẽ phát huy tác dụng khi tính toán số ngày phải dành ra cho cuộc kiểm toán.

Những thứ như:

• Mức độ phức tạp của ISMS (ví dụ: mức độ nghiêm trọng của thông tin, tình huống rủi ro của ISMS, v.v.)
• (Các) loại hình kinh doanh được thực hiện trong phạm vi ISMS của bạn
• Hiệu suất đã được chứng minh trước đây của ISMS của bạn
• Mức độ và sự đa dạng của công nghệ được sử dụng trong việc triển khai các thành phần khác nhau của ISMS của bạn (ví dụ: số lượng nền tảng CNTT khác nhau, số lượng mạng được tách biệt)
• Mức độ thuê ngoài và các thỏa thuận của bên thứ ba được sử dụng trong phạm vi ISMS của bạn
• Mức độ phát triển hệ thống thông tin
• Số lượng địa điểm / địa điểm khôi phục sau thảm họa. 

Nhưng những yếu tố này không phải lúc nào cũng có nghĩa là thêm thời gian vào lịch trình dự kiến ​​của bạn — đôi khi, chúng có thể dẫn đến giảm thời gian nếu được tinh chỉnh hợp lý.

Điều gì sẽ kéo dài thời gian đạt ISO 27001 của bạn?

Những điều sẽ cần thêm thời gian kiểm tra bao gồm :

• Dịch vụ hậu cần phức tạp, ví dụ, nhiều tòa nhà hoặc địa điểm trong phạm vi của ISMS;
• Rào cản ngôn ngữ tiềm ẩn, cho dù đó là giữa kiểm toán viên và nhân viên hoặc trong tài liệu;
• Đánh giá viên phải đến thăm các địa điểm tạm thời để xác nhận các hoạt động tại (các) địa điểm cố định; hoặc
• ISMS của bạn đang áp dụng một số lượng lớn các tiêu chuẩn và quy định.

Điều gì có thể giúp rút ngắn tiến trình ISO 27001 của bạn?

Ngược lại, những điều vẫn có những yếu tố có thể rút ngắn thời gian kiểm toán ISO, bao gồm:

• Sự chuẩn bị sẵn sàng ở mức độ cao cho chứng nhận hoặc mức độ trưởng thành cao của ISMS trong tổ chức bạn;
• Đánh giá viên có kiến ​​thức trước về tổ chức của bạn (ví dụ: nếu bạn đã được chứng nhận theo tiêu chuẩn khác bởi cùng một tổ chức chứng nhận, thì sự quen thuộc đó sẽ hữu ích);
• Sản phẩm / quy trình không có hoặc có rủi ro thấp;
• Các quy trình liên quan đến một hoạt động chung duy nhất (ví dụ: chỉ cung cấp dịch vụ); và
• Nhiều nhân viên thực hiện các nhiệm vụ giống nhau dưới sự kiểm soát của tổ chức.

Vững tiến cùng chứng nhận ISO 27001

Có rất nhiều biến số có thể ảnh hưởng đến các khía cạnh khác nhau của chứng nhận ISO 27001 của bạn, đôi khi các dự đoán cũng chỉ ước chừng phần nào những trải nghiệm thật cho đến khi công việc thực sự được hoàn thành. Hy vọng bài viết này sẽ phần nào cung cấp thông tin cho bạn vững tin tiếp tục chuẩn bị ISMS để đạt chứng nhận trong tương lai, giờ đây bạn hiểu nhiều điều trong số đó có thể thêm thời gian cho các cuộc đánh giá của bạn hoặc giúp bạn tiết kiệm một số chi phí khi thời gian đến. 

Tại IMI, chúng tôi đã tư vấn thành công ISO 27001 cho hàng trăm doanh nghiệp với cam kết thời gian hoàn thành chỉ trong 2 tháng. Nếu bạn còn thắc mắc và cần được tư vấn cách đạt được các chứng chỉ ISO cho doanh nghiệp của mình, liên tục cải tiển sau khi lấy được chứng chỉ, trải nghiệm công cụ quản lý chất lượng được đội ngũ IMI phát triển, hãy liên hệ ngay hotline  091 653 1957 của IMI.

IMI là một trong các tổ chức chuyên tư vấn và hỗ trợ xây dựng hệ thống đạt chứng nhận quốc tế chuyên nghiệp tại Việt Nam. Chúng tôi là tổ chức được chứng nhận bởi Bộ Khoa học Công nghệ chỉ định và có kết nối dịch vụ trên toàn cầu. 

Chúng tôi cam kết:

Sẽ mang đến cho Quý khách hàng dịch vụ chất lượng vượt trội.

Với Giá tốt nhất – Thời gian nhanh nhất – Dịch vụ chất lượng nhất.