Chuyển đến nội dung
Công cụ tra cứu quy định EU
Tiếng Việt (Ngôn ngữ)

Mẫu ISO 27001 điền sẵn cho bạn: Tuyên bố áp dụng, sổ đăng ký rủi ro và chính sách

Hệ thống quản lý an toàn thông tin theo ISO/IEC 27001:2022 dựa trên một số tài liệu cốt lõi: phạm vi, chính sách, đánh giá rủi ro và kế hoạch xử lý, Tuyên bố áp dụng và các mục tiêu. Trả lời câu hỏi một lần; bộ hồ sơ soạn các tài liệu này dưới dạng tệp Word bằng tiếng Anh, tiếng Đức, tiếng Tây Ban Nha, tiếng Pháp, tiếng Ba Lan hoặc tiếng Ý, tính mức rủi ro của từng rủi ro, và liệt kê cả 93 biện pháp kiểm soát của Phụ lục A với quyết định của bạn.

Đối chiếu với các nguồn ngày 25 tháng 10, 2026

Tổ chức
Bối cảnh và phạm vi
Hệ thống bao gồm những gì, ví dụ: phát triển, lưu trữ và hỗ trợ nền tảng đặt chỗ Acme.
Mỗi dòng một mục.
Mỗi dòng một mục. Để trống nếu không loại trừ gì.
Các hoạt động ngoài phạm vi hoặc do bên khác thực hiện mà hệ thống dựa vào, ví dụ lưu trữ đám mây hoặc tính lương. Mỗi dòng một mục.
Những gì bên trong tổ chức ảnh hưởng đến an toàn, ví dụ đội IT nhỏ hoặc hệ thống cũ. Mỗi dòng một mục.
Các yếu tố bên ngoài, ví dụ quy định NIS2, yêu cầu của khách hàng, các cuộc tấn công vào ngành của bạn. Mỗi dòng một mục.
Sửa đổi 1 năm 2024 yêu cầu mọi tổ chức xác định điều này, ví dụ có đối với một trung tâm dữ liệu có nguy cơ ngập lụt.
Mỗi dòng một mục, ví dụ Khách hàng: điều khoản an ninh trong hợp đồng; Cơ quan bảo vệ dữ liệu: GDPR.
Chính sách an toàn thông tin
Họ tên và vai trò.
Ví dụ giám đốc điều hành.
Mỗi dòng một mục, ví dụ Kiểm soát truy cập, Sao lưu, Sử dụng chấp nhận được, Làm việc từ xa.
Một số nguyên từ 1 đến 36; thường là 12.
SOC 2 và NIS2

Bộ tài liệu có thêm bảy chính sách theo chủ đề, một bảng tiêu chí SOC 2 và một hồ sơ biện pháp theo Điều 21 NIS2. Bảng tiêu chí luôn có hạng mục Bảo mật; hãy chọn các hạng mục SOC 2 khác mà báo cáo của bạn sẽ bao gồm.

Rủi ro

Các rủi ro có mức (khả năng xảy ra × tác động) đến con số này có thể được chấp nhận, ví dụ 8.
Rủi ro R1
Ví dụ cơ sở dữ liệu khách hàng.
Ví dụ mật khẩu quản trị viên bị đánh cắp, không có yếu tố xác thực thứ hai.

Mức rủi ro: hãy đánh giá khả năng xảy ra và tác động

Số từ danh sách bên dưới, ví dụ 5.17, 8.5.

Tuyên bố áp dụng: 93 biện pháp kiểm soát

Với mỗi biện pháp kiểm soát: bao gồm hay loại trừ, lý do, và đã được thực hiện chưa. Biện pháp kiểm soát được nêu trong một rủi ro ở trên được biện minh bởi rủi ro đó.

Đã quyết định 0/93.

5. Organizational controls
  • 5.1 Information security policy and topic policies
  • 5.2 Security roles and who is responsible
  • 5.3 Conflicting duties kept apart
  • 5.4 Management makes staff apply security
  • 5.5 Contacts with authorities
  • 5.6 Contacts with security groups and forums
  • 5.7 Information on threats collected and analysed
  • 5.8 Security in projects
  • 5.9 Inventory of information and assets, with owners
  • 5.10 Rules for acceptable use
  • 5.11 Assets handed back on leaving
  • 5.12 Information classified by need for protection
  • 5.13 Information marked with its class
  • 5.14 Rules for sending and sharing information
  • 5.15 Access control rules
  • 5.16 Identities managed over their whole life
  • 5.17 Passwords and other log-in secrets
  • 5.18 Access rights granted, reviewed and removed
  • 5.19 Security with suppliers
  • 5.20 Security terms in supplier contracts
  • 5.21 Security in the ICT supply chain
  • 5.22 Supplier services monitored and changes managed
  • 5.23 Use of cloud services
  • 5.24 Incident handling prepared
  • 5.25 Security events assessed and classified
  • 5.26 Response to incidents
  • 5.27 Lessons from incidents
  • 5.28 Evidence collected and preserved
  • 5.29 Security kept during disruption
  • 5.30 ICT ready for business continuity
  • 5.31 Legal, regulatory and contract requirements identified
  • 5.32 Intellectual property respected
  • 5.33 Records protected
  • 5.34 Privacy and personal data
  • 5.35 Independent review of security
  • 5.36 Compliance with own security rules checked
  • 5.37 Written operating procedures
6. People controls
  • 6.1 Background checks of candidates
  • 6.2 Security duties in employment contracts
  • 6.3 Security awareness and training
  • 6.4 Disciplinary process for breaches
  • 6.5 Duties after leaving or changing job
  • 6.6 Confidentiality agreements
  • 6.7 Working from home and other remote places
  • 6.8 Staff report security events
7. Physical controls
  • 7.1 Secure boundaries around premises
  • 7.2 Entry controls
  • 7.3 Offices, rooms and facilities secured
  • 7.4 Premises monitored
  • 7.5 Protection from physical and environmental threats
  • 7.6 Rules for working in secure areas
  • 7.7 Clear desk and locked screens
  • 7.8 Equipment placed and protected
  • 7.9 Assets taken off the premises
  • 7.10 Storage media handled over their life
  • 7.11 Power and other utilities
  • 7.12 Cables protected
  • 7.13 Equipment maintained
  • 7.14 Equipment wiped or destroyed before disposal or re-use
8. Technological controls
  • 8.1 Laptops, phones and other user devices
  • 8.2 Administrator and other privileged access
  • 8.3 Access to information restricted
  • 8.4 Access to source code
  • 8.5 Secure log-in
  • 8.6 Capacity planned and monitored
  • 8.7 Malware protection
  • 8.8 Technical vulnerabilities handled
  • 8.9 Secure configurations
  • 8.10 Information deleted when no longer needed
  • 8.11 Data masking
  • 8.12 Data leakage prevented
  • 8.13 Backups
  • 8.14 Redundant systems
  • 8.15 Event logs
  • 8.16 Monitoring for unusual behaviour
  • 8.17 Clocks synchronised
  • 8.18 Powerful utility programs restricted
  • 8.19 Software installed on live systems
  • 8.20 Network security
  • 8.21 Security of network services
  • 8.22 Networks separated
  • 8.23 Web filtering
  • 8.24 Encryption and key management
  • 8.25 Secure development life cycle
  • 8.26 Security requirements for applications
  • 8.27 Secure architecture and engineering principles
  • 8.28 Secure coding
  • 8.29 Security testing before acceptance
  • 8.30 Outsourced development supervised
  • 8.31 Development, test and production kept apart
  • 8.32 Changes managed
  • 8.33 Test data protected
  • 8.34 Systems protected during audit tests

Mục tiêu

Mục tiêu 1
Ví dụ đăng nhập đa yếu tố trên mọi tài khoản quản trị viên.
Cách bạn biết đã đạt, ví dụ 100 % tài khoản quản trị viên.
Ngôn ngữ của tài liệu

Không gì bạn nhập được gửi đi đâu. Thông tin doanh nghiệp của bạn được giữ trong trình duyệt này cho lần sau.

Các tệp gồm những gì

  • phạm vi ISMS, với các vấn đề nội bộ và bên ngoài, câu hỏi về biến đổi khí hậu của Sửa đổi 1:2024, các bên quan tâm và yêu cầu của họ, các địa điểm, những gì bị loại ra và các giao diện (điều khoản 4.1 đến 4.3);
  • chính sách an toàn thông tin với cam kết của lãnh đạo cao nhất, các vai trò và các chính sách theo chủ đề của bạn (5.2);
  • đánh giá rủi ro: phương pháp, thang 1 đến 5, mức chấp nhận của bạn, và sổ đăng ký với khả năng xảy ra × tác động được tính cho mọi rủi ro (6.1.2);
  • kế hoạch xử lý rủi ro với phương án, các biện pháp kiểm soát của Phụ lục A, hành động, người thực hiện và thời hạn, và một cột để chủ sở hữu từng rủi ro phê duyệt (6.1.3);
  • Tuyên bố áp dụng: cả 93 biện pháp kiểm soát của Phụ lục A, được chọn hay loại trừ, lý do (các rủi ro mà một biện pháp xử lý được điền sẵn cho bạn) và đã triển khai hay chưa (6.1.3 d), kèm tệp CSV cho bảng tính;
  • các mục tiêu an toàn thông tin với thước đo, nguồn lực, người phụ trách và thời hạn (6.2), và tệp read-me liệt kê những gì tiêu chuẩn yêu cầu ngoài các tệp này.

Bộ hồ sơ kiểm tra những gì

Mức rủi ro chỉ được tính từ các đánh giá là số nguyên từ 1 đến 5; mọi giá trị khác được đánh dấu cần bổ sung. Số biện pháp kiểm soát không có trong Phụ lục A được hiển thị là bị từ chối, không đoán. Biện pháp kiểm soát bạn loại trừ trong khi một rủi ro của bạn dựa vào nó được đánh dấu trong biểu mẫu và trong Tuyên bố áp dụng. Không có gì bị bỏ trống âm thầm: mọi chỗ thiếu đều ghi TO COMPLETE.

ISO 27001 và NIS2

Chỉ thị NIS2 (EU) 2022/2555 không yêu cầu chứng nhận ISO/IEC 27001. Điều 21 yêu cầu các chủ thể thiết yếu và quan trọng áp dụng biện pháp quản lý rủi ro, có tính đến, khi phù hợp, các tiêu chuẩn châu Âu và quốc tế liên quan, và Điều 25 yêu cầu các quốc gia thành viên khuyến khích việc sử dụng chúng. Đánh giá rủi ro, chính sách và Tuyên bố áp dụng là cách phổ biến để cho thấy các biện pháp đó đã được lựa chọn như thế nào. Cách bộ tài liệu gắn các chính sách với SOC 2 và Điều 21: Chính sách SOC 2 và NIS2.

Bộ hồ sơ không làm gì

Không chứa văn bản của tiêu chuẩn: tên các biện pháp kiểm soát là từ ngắn gọn của chính chúng tôi, và bạn cần bản ISO/IEC 27001 của riêng mình để đọc các yêu cầu. Không soạn các quy trình đằng sau từng biện pháp kiểm soát, không thực hiện đánh giá nội bộ hay xem xét của lãnh đạo, và không chứng nhận điều gì: chỉ đánh giá của tổ chức chứng nhận được công nhận mới dẫn đến giấy chứng nhận. Các tài liệu bằng tiếng Anh, tiếng Đức, tiếng Tây Ban Nha, tiếng Pháp, tiếng Ba Lan và tiếng Ý.

Những gì bạn nhập không rời khỏi trình duyệt; các tệp được tạo trên thiết bị của bạn. Đây là mẫu, không phải tư vấn pháp lý.

Nguồn