Mẫu chính sách bảo mật SOC 2 và hồ sơ biện pháp theo Điều 21 NIS2
SOC 2 và NIS2 phần lớn đòi hỏi cùng những chính sách bằng văn bản: kiểm soát truy cập, ứng phó sự cố, sao lưu, nhà cung cấp, quản lý thay đổi và mã hóa. Bộ tài liệu ISO 27001 soạn chúng một lần từ câu trả lời của bạn, bằng tiếng Anh, Đức, Tây Ban Nha, Pháp, Ba Lan hoặc Ý, và gắn mỗi chính sách với các tiêu chí SOC 2, các biện pháp kiểm soát Phụ lục A của ISO/IEC 27001 và các điểm của Điều 21 khoản 2 NIS2.
Đối chiếu với các nguồn ngày 25 tháng 10, 2026
AICPA: 2017 Trust Services Criteria (với các điểm trọng tâm sửa đổi năm 2022), tiếng Anh
Đối chiếu với các nguồn ngày 25 tháng 10, 2026
Tóm tắt về SOC 2
SOC 2 là một báo cáo, không phải chứng chỉ: một công ty kế toán công chứng Hoa Kỳ (CPA) độc lập kiểm tra các biện pháp kiểm soát của tổ chức cung cấp dịch vụ theo Tiêu chí dịch vụ tin cậy (Trust Services Criteria) của AICPA và phát hành báo cáo. Báo cáo loại 1 đánh giá thiết kế kiểm soát tại một thời điểm; báo cáo loại 2 còn đánh giá việc vận hành trong một khoảng thời gian. Bảo mật (các tiêu chí chung CC1 đến CC9) luôn nằm trong phạm vi; tính sẵn sàng, tính bí mật, tính toàn vẹn của xử lý và quyền riêng tư được thêm khi dịch vụ cần.
Tóm tắt Điều 21 NIS2
Theo Điều 21 Chỉ thị (EU) 2022/2555, các chủ thể thiết yếu và quan trọng thực hiện các biện pháp kỹ thuật, vận hành và tổ chức phù hợp và tương xứng để quản lý rủi ro an ninh mạng. Khoản 2 liệt kê những gì các biện pháp này tối thiểu phải bao gồm:
- (a) chính sách phân tích rủi ro và an ninh hệ thống thông tin;
- (b) xử lý sự cố;
- (c) liên tục kinh doanh, như quản lý sao lưu, khôi phục sau thảm họa và quản lý khủng hoảng;
- (d) an ninh chuỗi cung ứng;
- (e) an ninh trong mua sắm, phát triển và bảo trì hệ thống, bao gồm xử lý và công bố lỗ hổng;
- (f) chính sách và quy trình đánh giá hiệu quả của các biện pháp;
- (g) thực hành vệ sinh mạng cơ bản và đào tạo an ninh mạng;
- (h) mật mã và, khi phù hợp, mã hóa;
- (i) an ninh nhân sự, kiểm soát truy cập và quản lý tài sản;
- (j) xác thực đa yếu tố hoặc liên tục và liên lạc được bảo vệ, khi phù hợp.
Điều 23 bổ sung việc báo cáo sự cố nghiêm trọng cho CSIRT hoặc cơ quan có thẩm quyền: cảnh báo sớm trong vòng 24 giờ kể từ khi biết, thông báo sự cố trong vòng 72 giờ và báo cáo cuối cùng chậm nhất một tháng sau thông báo. Một tổ chức có phải là chủ thể thiết yếu hay quan trọng hay không do luật quốc gia chuyển hóa Chỉ thị quyết định.
Bộ tài liệu soạn những gì
| Tệp | Nội dung |
|---|---|
| 07 đến 13 | Bảy chính sách: sử dụng được chấp nhận, kiểm soát truy cập, quản lý thay đổi, ứng phó sự cố, an ninh nhà cung cấp, sao lưu và liên tục kinh doanh, mật mã. Mỗi chính sách có mục đích, phạm vi, quy tắc, người phụ trách, ngoại lệ, chu kỳ rà soát và bảng tiêu chí SOC 2, biện pháp kiểm soát Phụ lục A và các điểm NIS2 tương ứng. |
| 14 | Bảng tiêu chí SOC 2: các tiêu chí theo số với mô tả chủ đề của chúng tôi, cho hạng mục Bảo mật và các hạng mục bạn chọn, có cột cho biện pháp kiểm soát của bạn và bằng chứng mà kiểm toán viên có thể xem; kèm bản CSV. |
| 15 | Hồ sơ biện pháp theo Điều 21 NIS2: mỗi điểm trong mười điểm được trích từ Công báo EU bằng ngôn ngữ của tài liệu, các tệp của bộ tài liệu liên quan và trạng thái các biện pháp kiểm soát Phụ lục A theo Tuyên bố áp dụng của bạn; tiếp theo là các thời hạn của Điều 23 khoản 4. Dưới mỗi điểm có bảng đối chiếu của ENISA (phiên bản 1.2, CC BY 4.0) giữa các điểm của Quy định thực thi (EU) 2024/2690 và ISO/IEC 27001:2022. |
| 00 đến 06 | Tệp hướng dẫn đọc trước và phần cốt lõi ISO 27001: phạm vi, chính sách an toàn thông tin, đánh giá rủi ro và sổ đăng ký, kế hoạch xử lý rủi ro, Tuyên bố áp dụng cho 93 biện pháp kiểm soát Phụ lục A, mục tiêu. |
Tất cả các tệp này có trong một lần mua bộ tài liệu khởi đầu ISO 27001, cho một tổ chức.
Mỗi chính sách bao quát gì
| Chính sách | Tiêu chí SOC 2 | ISO/IEC 27001 Phụ lục A | NIS2 Điều 21 khoản 2 |
|---|---|---|---|
| Chính sách sử dụng được chấp nhận | CC1.1, CC2.2 | 5.10, 6.3, 6.7, 8.1 | (g), (i) |
| Chính sách kiểm soát truy cập | CC6.1, CC6.2, CC6.3 | 5.15, 5.16, 5.17, 5.18, 8.2, 8.3, 8.5 | (i), (j) |
| Chính sách quản lý thay đổi | CC8.1 | 8.8, 8.25, 8.31, 8.32 | (e) |
| Chính sách ứng phó sự cố | CC7.3, CC7.4, CC7.5 | 5.24, 5.25, 5.26, 5.27, 5.28, 6.8 | (b) |
| Chính sách an ninh nhà cung cấp | CC9.2 | 5.19, 5.20, 5.21, 5.22, 5.23 | (d) |
| Chính sách sao lưu và liên tục kinh doanh | CC9.1, A1.2, A1.3 | 5.29, 5.30, 8.13, 8.14 | (c) |
| Chính sách mật mã | CC6.1, CC6.7 | 8.24 | (h) |
Các tham chiếu này là cách hiểu của chúng tôi về chỗ mỗi chính sách hỗ trợ; đây không phải bảng đối chiếu của kiểm toán viên và không cho thấy một tiêu chí hay biện pháp đã được đáp ứng.
Những gì bộ tài liệu không làm
Bộ tài liệu không chứa văn bản các tiêu chí của AICPA hay của ISO/IEC 27001: tiêu chí và biện pháp kiểm soát chỉ được nêu bằng số và lời văn của chúng tôi. Bộ tài liệu không kiểm tra biện pháp kiểm soát của bạn, không phát hành báo cáo SOC 2, không quyết định NIS2 có áp dụng cho bạn hay không và không báo cáo sự cố thay bạn. Mọi chỗ trống trong tệp được ghi TO COMPLETE (theo ngôn ngữ tài liệu đã chọn). Tài liệu chỉ có bằng tiếng Anh, Đức, Tây Ban Nha, Pháp, Ba Lan và Ý.
Những gì bạn nhập không rời khỏi trình duyệt; các tệp được tạo trên thiết bị của bạn. Đây là mẫu, không phải tư vấn pháp lý.
Nguồn
- AICPA: 2017 Trust Services Criteria (với các điểm trọng tâm sửa đổi năm 2022), tiếng Anh
- Chỉ thị (EU) 2022/2555 (NIS2), Điều 21 và 23 (tiếng Anh)
- Quy định thực thi (EU) 2024/2690 của Ủy ban: yêu cầu kỹ thuật và phương pháp cho nhà cung cấp điện toán đám mây, trung tâm dữ liệu, dịch vụ được quản lý, DNS và các bên khác được liệt kê (tiếng Anh)