Bảo mật dữ liệu doanh nghiệp tuân thủ chuẩn GDPR và ISO 27001

Ban biên tập ANZ Solution · 19/05/2026 · Cập nhật 13/10/2026

Bảo mật dữ liệu doanh nghiệp theo GDPR và ISO 27001 nghĩa là đồng thời đáp ứng hai yêu cầu khác nhau: GDPR là quy định pháp lý của Liên minh châu Âu về quyền của người có dữ liệu, còn ISO/IEC 27001 là tiêu chuẩn quốc tế về hệ thống quản lý an toàn thông tin. Một bên trả lời câu hỏi "được phép làm gì với dữ liệu cá nhân", bên kia trả lời "tổ chức quản lý rủi ro thông tin như thế nào". Hiểu đúng mối quan hệ này giúp doanh nghiệp không làm hai lần cùng một việc.

Hai khung khác nhau ở điểm nào

Tiêu chí	GDPR	ISO/IEC 27001
Bản chất	Quy định pháp luật của EU, có hiệu lực từ 25/5/2018	Tiêu chuẩn tự nguyện, phiên bản hiện hành năm 2022
Phạm vi	Chỉ dữ liệu cá nhân	Mọi tài sản thông tin: dữ liệu, hệ thống, tài liệu, con người
Trọng tâm	Quyền của chủ thể dữ liệu, cơ sở pháp lý xử lý	Quản lý rủi ro bảo mật, kiểm soát và cải tiến liên tục
Hệ quả khi vi phạm	Phạt hành chính, có thể tới 20 triệu euro hoặc 4% doanh thu toàn cầu	Mất hoặc không được cấp chứng nhận
Cách chứng minh	Hồ sơ xử lý, đánh giá tác động, bằng chứng vận hành	Đánh giá của tổ chức chứng nhận độc lập

Điểm giao nhau lớn nhất là Điều 32 của GDPR, yêu cầu biện pháp kỹ thuật và tổ chức phù hợp để bảo đảm an toàn dữ liệu. Một hệ thống ISO 27001 vận hành tốt chính là bằng chứng mạnh cho yêu cầu này. Ngược lại, ISO 27001 không tự động giải quyết các nghĩa vụ riêng của GDPR như quyền được xóa, quyền truy cập hay cơ sở pháp lý cho từng hoạt động xử lý.

Khi nào doanh nghiệp Việt cần quan tâm

Không phải doanh nghiệp nào cũng chịu GDPR. Những trường hợp thường gặp gồm: bán hàng trực tuyến cho khách ở châu Âu, cung cấp ứng dụng hoặc SaaS có người dùng EU, gia công phần mềm hay vận hành dịch vụ cho đối tác châu Âu, hoặc là công ty con của tập đoàn đa quốc gia. Với ISO 27001, động lực thường đến từ khách hàng: các hồ sơ thầu, hợp đồng outsourcing hay đối tác tài chính ngày càng hay đặt chứng chỉ này làm điều kiện.

Trong nước, khung pháp lý cũng đã chặt hơn. Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân có hiệu lực từ 1/7/2023, và Luật Bảo vệ dữ liệu cá nhân được Quốc hội thông qua năm 2025 tiếp tục nâng yêu cầu. Nhiều khái niệm như sự đồng ý, đánh giá tác động, thông báo vi phạm có tinh thần gần với GDPR, nên một chương trình xây theo chuẩn quốc tế sẽ dễ thích ứng với quy định Việt Nam.

Bắt đầu từ bản đồ dữ liệu

Mọi chương trình tuân thủ đều sụp đổ nếu doanh nghiệp không biết mình đang giữ dữ liệu gì. Bước đầu tiên là lập danh mục: dữ liệu nào được thu thập, từ nguồn nào, lưu ở hệ thống nào, ai được truy cập, chia sẻ cho bên thứ ba nào, giữ trong bao lâu. Với GDPR, đây là nền của Sổ ghi chép hoạt động xử lý (Record of Processing Activities). Với ISO 27001, đây là danh mục tài sản thông tin để đánh giá rủi ro.

Thực tế, dữ liệu cá nhân thường nằm rải rác ở những nơi ít ai nghĩ tới: file Excel trong ổ chia sẻ, hộp thư bộ phận tuyển dụng, ảnh chụp màn hình trong nhóm chat, bản sao lưu cũ. Hãy phỏng vấn từng phòng ban thay vì chỉ hỏi bộ phận IT.

Xây dựng hệ thống quản lý theo ISO 27001

ISO 27001 yêu cầu một hệ thống quản lý an toàn thông tin (ISMS) gồm các thành phần cốt lõi:

Xác định phạm vi: ISMS bao trùm toàn công ty hay chỉ một dịch vụ, một văn phòng. Phạm vi hẹp giúp đạt chứng nhận nhanh hơn nhưng phải hợp lý với nhu cầu khách hàng.
Đánh giá và xử lý rủi ro: xác định mối đe dọa, lỗ hổng, khả năng xảy ra và mức ảnh hưởng, rồi chọn cách xử lý: giảm thiểu, chuyển giao, chấp nhận hoặc tránh.
Tuyên bố áp dụng (SoA): liệt kê các biện pháp kiểm soát trong Phụ lục A, nêu rõ biện pháp nào được áp dụng và lý do loại trừ. Phiên bản 2022 gom các kiểm soát vào bốn nhóm: tổ chức, con người, vật lý và công nghệ.
Vận hành và đo lường: thực thi chính sách, thu thập bằng chứng, theo dõi chỉ số.
Đánh giá nội bộ và xem xét của lãnh đạo: phát hiện điểm chưa phù hợp và cải tiến.

Sai lầm phổ biến là coi ISO 27001 như dự án viết tài liệu. Tổ chức chứng nhận sẽ hỏi bằng chứng vận hành: log truy cập, biên bản rà soát quyền, kết quả kiểm thử khôi phục, hồ sơ đào tạo. Chính sách đẹp mà không ai làm theo sẽ bị phát hiện nhanh.

Bổ sung các nghĩa vụ riêng của GDPR

Trên nền ISMS, doanh nghiệp cần thêm những lớp mà ISO 27001 không bao phủ đầy đủ:

Cơ sở pháp lý cho từng mục đích xử lý: sự đồng ý, thực hiện hợp đồng, nghĩa vụ pháp lý, lợi ích chính đáng… Mỗi hoạt động phải gắn với một cơ sở cụ thể.
Quy trình đáp ứng quyền chủ thể: truy cập, chỉnh sửa, xóa, hạn chế xử lý, phản đối, di chuyển dữ liệu. GDPR yêu cầu phản hồi trong vòng một tháng, có thể gia hạn trong một số trường hợp.
Đánh giá tác động (DPIA): bắt buộc với hoạt động xử lý có rủi ro cao như theo dõi quy mô lớn hoặc xử lý dữ liệu nhạy cảm.
Thông báo vi phạm: báo cơ quan giám sát trong 72 giờ kể từ khi biết sự cố, nếu vi phạm có khả năng gây rủi ro cho người có dữ liệu.
Chuyển dữ liệu ra ngoài EU: cần cơ chế hợp lệ như điều khoản hợp đồng mẫu (SCC).
Thỏa thuận xử lý dữ liệu (DPA) với mọi nhà cung cấp tiếp cận dữ liệu cá nhân.

Các biện pháp kỹ thuật đáng đầu tư trước

Không cần mua mọi giải pháp cùng lúc. Một số biện pháp mang lại hiệu quả cao cho cả hai khung:

Mã hóa dữ liệu khi lưu trữ và khi truyền, quản lý khóa tập trung.
Xác thực đa yếu tố cho mọi tài khoản quản trị và truy cập từ xa.
Phân quyền tối thiểu, rà soát quyền định kỳ, thu hồi ngay khi nhân sự nghỉ việc.
Ghi log tập trung và giám sát truy cập bất thường vào dữ liệu nhạy cảm.
Sao lưu tách biệt, kiểm thử khôi phục thực tế.
Ẩn danh hóa hoặc giả danh hóa dữ liệu dùng cho phát triển, kiểm thử và phân tích.

Nhiều yêu cầu trong số này cũng chính là nguyên tắc của mô hình kiến trúc Zero Trust. Nếu dữ liệu nằm trên nền tảng đám mây, cần hiểu rõ trách nhiệm chia sẻ giữa doanh nghiệp và nhà cung cấp, như phân tích trong bài nguyên tắc bảo mật đám mây cho CTO.

Con người và văn hóa tuân thủ

Phần lớn sự cố dữ liệu bắt nguồn từ thao tác của con người: gửi nhầm email, chia sẻ link công khai, bấm vào email lừa đảo. Vì vậy, đào tạo nhận thức là kiểm soát bắt buộc trong ISO 27001 và là bằng chứng quan trọng cho GDPR. Nội dung đào tạo nên gắn với tình huống thật của từng phòng ban: nhân sự cần biết cách xử lý hồ sơ ứng viên, kinh doanh cần biết giới hạn khi dùng danh sách khách hàng, kỹ sư cần biết không sao chép dữ liệu thật sang môi trường thử nghiệm.

Câu chuyện về dữ liệu cá nhân không chỉ là vấn đề nội bộ doanh nghiệp. Các tranh luận về an ninh dữ liệu trên mạng xã hội cho thấy người dùng ngày càng nhạy cảm với cách dữ liệu của họ được thu thập và chuyển đi. Doanh nghiệp minh bạch về điều này có lợi thế rõ rệt khi xây dựng niềm tin.

Lộ trình gợi ý cho doanh nghiệp vừa

Một lộ trình thực tế có thể chia làm ba giai đoạn. Giai đoạn đầu tập trung vào bản đồ dữ liệu, đánh giá khoảng cách so với hai khung và chọn phạm vi. Giai đoạn hai triển khai kiểm soát, viết chính sách, đào tạo, thiết lập quy trình quyền chủ thể và thông báo sự cố. Giai đoạn ba vận hành đủ lâu để có bằng chứng, đánh giá nội bộ, rồi mời tổ chức chứng nhận. Thời gian mỗi giai đoạn phụ thuộc quy mô và mức độ sẵn có, nhưng hiếm khi rút ngắn được phần vận hành thực tế.

Tuân thủ GDPR và ISO 27001 không phải đích đến mà là một vòng lặp. Khi doanh nghiệp thêm sản phẩm mới, đổi nhà cung cấp hay mở rộng thị trường, bản đồ dữ liệu và đánh giá rủi ro cần được cập nhật. Làm tốt vòng lặp này, chứng chỉ chỉ còn là hệ quả tự nhiên của một hệ thống bảo mật vận hành thật.

Câu hỏi thường gặp

Doanh nghiệp Việt Nam không có văn phòng ở châu Âu có phải tuân thủ GDPR?

Có thể có. GDPR áp dụng cả với tổ chức ngoài EU nếu cung cấp hàng hóa, dịch vụ cho người ở EU hoặc theo dõi hành vi của họ. Công ty gia công phần mềm xử lý dữ liệu thay cho khách hàng châu Âu cũng thường bị ràng buộc qua hợp đồng xử lý dữ liệu.

Chứng chỉ ISO 27001 có thời hạn bao lâu?

Chứng chỉ ISO 27001 thường có hiệu lực ba năm, với các đợt đánh giá giám sát định kỳ hằng năm. Hết chu kỳ, doanh nghiệp cần đánh giá chứng nhận lại để duy trì.

Có chứng nhận chính thức cho GDPR như ISO 27001 không?

GDPR không có một chứng chỉ bắt buộc tương đương ISO 27001. Quy định cho phép các cơ chế chứng nhận được phê duyệt, nhưng trên thực tế doanh nghiệp chứng minh tuân thủ bằng hồ sơ, quy trình và bằng chứng vận hành, không chỉ bằng một tấm giấy.

Doanh nghiệp nhỏ nên bắt đầu từ đâu nếu chưa đủ ngân sách đạt ISO 27001?

Hãy bắt đầu bằng việc lập danh mục dữ liệu, phân quyền truy cập, bật xác thực đa yếu tố, sao lưu định kỳ và viết quy trình xử lý sự cố. Những việc này đều là nền móng của ISO 27001, nên khi đủ nguồn lực, việc xin chứng nhận sẽ nhẹ nhàng hơn nhiều.

Bài liên quan

An Ninh Mạng