Quy trình, thủ tục chứng nhận hệ thống quản lý ATTT gồmcácbước xây dựng hệ thống ISO 27001: 2013 như sau:

Bước1: Đăng ký chứng nhận ISO 27001

Đểđược cấp giấy chứng nhận ISO 27001 hợp lệ, doanh nghiệp phải tiến hành đăng kýchứng nhận với tổ chức chứng nhận IS0 27001. Ở bước đầu tiên này, doanh nghiệpcần khai báo các thông tin cần thiết theo yêu cầu, biểu mẫu mà tổ chức chứng nhậncung cấp để hoàn thiện hồ sơ đăng ký chứng nhận ISO 27001.

Bước2: Xem xét hợp đồng và chuẩn bị đánh giá ISO 27001

Sau khi tiếp nhận đơn đăng ký chứng nhận ISO 27001 củadoanh nghiệp, tổ chức chứng nhận sẽ gửi hợp đồng đánh giá chứng nhận trong đócó kế hoạch và chi phí chứng nhận cho doanh nghiệp. Ở bước này doanh nghiệp cầnxem xét và chuẩn bị đánh giá chứng nhận

Bước3: Đánh giá giai đoạn 1 (Stage 1 Audit)

Đánh giá giai đoạn 1 là đánh giá sơ bộ. Đánh giá viên sẽ xem xét tài liệu củabạn để kiểm tra xem hệ thống ISMS đã được phát triển phù hợp với tiêu chuẩn ISO27001 hay chưa. Doanh nghiệp sẽ phải trình bày bằng chứng về tất cả cáckhía cạnh quan trọng của ISMS theo yêu cầu của tổ chức chứng nhận

Bước4: Đánh giá giai đoạn 2 (Stage 2 Audit)

Đánh giá giai đoạn 2 được tiến hành một cách lỹ lưỡnghơn. Tổ chức chứng nhận sẽ cử chuyên gia xuống trực tiếp cơ sở để đánh giá thựctrạng tuân thủ hệthống quản lý chất lượng ISO 27001 của doanh nghiệp. Kết thúc quá trìnhđánh giá, một báo cáo đánh giá sẽ được gửi tới doanh nghiệp, trong đó ghi chéplại những điểm chưa tuân thủ tiêu chuẩn để doanh nghiệp khắc phục trong thờigian quy định

Bước5: Thẩm xét hồ sơ ISO 27001

Ngoài hoạt động đánh giá hiện trường, tổ chức chứng nhậnsẽ tiến hành rà soát, thẩm duyệt kỹ càng hơn các tài liệu, quy trình, văn bản củadoanh nghiệp để chắc chắn rằng tiêu chuẩn ISO 27001 được áp dụng một cách hợpchuẩn. Tổ chức chứng nhận có quyền yêu cầu doanh nghiệp bổ sung tài liệu khi cầnthiết

Bước6: Cấp chứng chỉ ISO 27001 có hiệu lực trong vòng 3 năm

Tổ chức chứng nhận sẽ cấp giấy chứngnhận ISO 27001 có hiệu lực trong vòng 03 năm cho doanh nghiệp sau khixác minh doanh nghiệp đã hoàn thiện hành động khắc phục (nếu có)

Bước7: Đánh giá giám sát định kỳ 2 lần trong 3 năm

Chứng chỉ ISO 27001 sẽ được duy trì giá trị nguyên vẹntrong vòng 3 năm với điều kiện doanh nghiệp phải hoàn thành các cuộc đánh giá giám sát địnhkỳ theo kế hoạch của tổ chức chứng nhận. Thông thường, đánh giá giám sát sẽ đượcthực hiện 1 năm/lần, có nghĩa là trong 3 năm, doanh nghiệp sẽ phải trải qua 2cuộc giám sát. Nếu trong những lần đánh giá giám sát này, tổ chức chứng nhậnphát hiện các vi phạm nghiêm trọng hoặc các lỗi sai không được khắc phục kịp thờithì chứng chỉ ISO 27001 của doanh nghiệp sẽ bị thu hồi lại.

Bước8: Đánh giá tái chứng nhận sau 3 năm

Như đã nói ở trên, chứng chỉ ISO 27001 không phải cóhiệu lực vô thời hạn mà chỉ có giá trị trong vòng 3 năm kể từ ngày cấp chứng nhậnnên sau thời hạn 3 năm, giấy chứng nhận của doanh nghiệp sẽ vô giá trị. Lúcnày, nếu vẫn cónhu cầu sở hữu chứng nhận ISO 27001 thì doanh nghiệp phải tiến hành đánh giá chứngnhận lại.

CHI PHÍ CHỨNG NHẬN ISO 27001

1.Những yếu tố quyết định tới chi phí chứng nhận ISO 27001

Để hoàn thành chứng nhận ISO 27001, doanh nghiệp cần bỏra chi phí bao nhiêu? Thực tế, rất khó để có thể trả lời câu hỏi này một cách cụthể bởi chi phí đánh giá ISO 27001 phụ thuộc vào nhiều yếu tố. Cụ thể chi phíchứng nhận phụ thuộc vào số ngày công đánh giá cho từng giai đoạn, mà số ngàycông đánh giá lại được tính toán dựa trên 3 yếu tố cơ bản sau đây:

Quy mô: Tổng số nhân sự hoạt động và làm việc tại cácđịa điểm cần đánh giá

Phạm vi hoạt động: Lĩnh vực hoạt động của doanh nghiệp(Ví dụ: Sản xuất phần mềm, thiết kế nền tảng trên không gian mạng, cung cấp giảipháp an ninh mạng,…)

Địa điểm: Số lượng địa điểm đăng ký đánh giá chứng nhận

Vì thế mà các doanh nghiệp khác nhau sẽ có chi phí chứngnhận ISO 27001 không giống nhau.

2.Chi phí chứng nhận ISO 27001 gồm những gì?

Vậy chi phí chứng nhận ISO 27001:2013 bao gồm các khoảnphí nào? Thông thường, một báo phí chứng nhận ISO 27001 trọn gói sẽ bao gồm 3khoản phí cơ bản sau:

Thứ nhất là Chi phí năm chứng nhận bao gồm:

Chi phí đánh giá & xem xét tài liệu Giai đoạn 1

Chi phí đánh giá chính thức & viết báo cáo Giai đoạn2

Chi phí đăng ký dấu công nhận

Thứ hai là Chi phí năm giám sát năm thứ nhất

Chi phí đánh giá giám sát lần 1

Chi phí báo cáo đánh giá lần 1

Thứ ba là Chi phí năm giám sát năm thứ hai

Chi phí đánh giá giám sát lần 2

Chi phí báo cáo đánh giá lần 2