Tiêu chuẩn & bảo đảmTiêu chuẩn rõ phạm vi.
Tiêu chuẩn rõ phạm vi.
Công bố rõ căn cứ.
Tham chiếu, áp dụng, kiểm thử và chứng nhận là các trạng thái khác nhau.
Ma trận tiêu chuẩn
Nguồn ngoài được dẫn rõ. Không suy diễn năng lực sản phẩm từ tên tiêu chuẩn.
| Tiêu chuẩn / khung | Phạm vi | Trạng thái công bố | Giới hạn & bằng chứng |
|---|---|---|---|
| ISO/IEC 27001:2022 ↗ | Hệ thống quản lý an toàn thông tin | Chứng chỉ tổ chức được công bố | SIS351224I008; hạn ghi trên chứng chỉ: 04/12/2027. Cần xác minh tình trạng giám sát hiện hành. |
| ISO/IEC 24745:2022 ↗ | Bảo vệ thông tin sinh trắc học | Tiêu chuẩn tham chiếu | Phạm vi thiết kế: tách miền, ràng buộc danh tính, vòng đời mẫu. Chưa có báo cáo đánh giá sản phẩm trong gói. |
| ISO/IEC 30107-3:2023 ↗ | Kiểm thử & báo cáo PAD | Phương pháp đánh giá | Báo cáo phải chỉ rõ thiết bị, thuật toán và phạm vi tấn công. Không tự gán cấp L2/L3. |
| ISO/IEC 19795-1:2021 ↗ | Kiểm thử hiệu năng sinh trắc học | Phương pháp đánh giá | Số liệu phụ thuộc tập kiểm thử, ngưỡng, tập tìm kiếm và môi trường. |
| ISO/IEC 27017 ↗ | Kiểm soát an toàn đám mây | Đánh giá khi áp dụng | Chỉ áp dụng theo mô hình đám mây và phạm vi hợp đồng; không công bố chứng nhận. |
| ISO/IEC 27018 ↗ | Bảo vệ dữ liệu cá nhân trên đám mây | Đánh giá khi áp dụng | Xác định vai trò bên xử lý, vị trí dữ liệu và bên xử lý phụ. |
| OWASP API Security Top 10 - 2023 ↗ | Rủi ro an toàn API | Khung tham chiếu | Phân quyền theo đối tượng; giới hạn tài nguyên; quản lý phiên bản. |
| NIST CSF 2.0 ↗ | Quản trị rủi ro an ninh mạng | Khung tham chiếu | Đối chiếu mục tiêu quản trị và vận hành; không phải chứng nhận sản phẩm. |
| 91/2025/QH15 ↗ | Luật Bảo vệ dữ liệu cá nhân | Khung pháp lý Việt Nam | Hiệu lực 01/01/2026. Áp dụng theo vai trò và hoạt động xử lý. |
| 356/2025/NĐ-CP ↗ | Quy định chi tiết thi hành | Khung pháp lý Việt Nam | Hiệu lực 01/01/2026. Chính sách triển khai cần rà soát pháp lý. |