Claude cho Operations: Theo dõi compliance

Compliance không chỉ là "đánh dấu vào checklist"

Compliance hiệu quả đòi hỏi hiểu rõ từng yêu cầu trong framework áp dụng, ánh xạ các controls hiện có, xác định gap, và duy trì evidence liên tục — không chỉ trước khi audit. Đây là công việc đòi hỏi nhiều thời gian và kiến thức chuyên sâu mà hầu hết Operations team khó duy trì nhất quán.

Claude có thể giúp bạn hiểu các framework compliance phổ biến, xây dựng control inventory, chuẩn bị cho audit, và tổng hợp báo cáo gap analysis — tất cả trong ngôn ngữ rõ ràng, không rườm rà.

Các framework compliance phổ biến tại Việt Nam

Bắt đầu với Gap Analysis

Chúng tôi đang chuẩn bị cho ISO 27001 certification.
Công ty: Fintech startup, 80 nhân viên, TP.HCM.
Đang xử lý dữ liệu tài chính của 50.000 người dùng.

Hãy giúp tôi thực hiện gap analysis bằng cách:
1. Liệt kê 10 control domain quan trọng nhất của ISO 27001:2022
2. Với mỗi domain, đặt câu hỏi để đánh giá current state của tôi
3. Sau khi tôi trả lời, xác định gap và prioritize theo risk level

Bắt đầu với domain đầu tiên: Information Security Policies

Xây dựng Control Inventory

Tạo control inventory cho SOC 2 Type II - Trust Service Criteria Security.

Với mỗi control:
- Control ID và mô tả
- Loại control (preventive/detective/corrective)
- Control owner (vai trò, không cần tên cụ thể)
- Evidence cần thu thập để chứng minh
- Tần suất kiểm tra (continuous/monthly/quarterly/annual)
- Trạng thái (Implemented/In Progress/Planned/Gap)

Tập trung vào CC6 (Logical and Physical Access Controls) trước.

Chuẩn bị cho Audit

Chúng tôi có audit ISO 27001 vào tháng 6/2026.
Hôm nay là tháng 3. Còn 3 tháng.

Tạo audit preparation timeline:
- Tháng 3: Những việc gì cần làm ngay?
- Tháng 4: Pre-audit internal review
- Tháng 5: Evidence collection và remediation
- Trước audit: Final checklist

Đặc biệt chú ý đến:
- Evidence nào cần thu thập liên tục (log, access review)
- Gaps thường gặp mà auditor hay phát hiện
- Cách chuẩn bị team để trả lời câu hỏi của auditor

Tuân thủ Nghị định 13/2023 về bảo vệ dữ liệu cá nhân

Đây là yêu cầu pháp lý áp dụng cho hầu hết doanh nghiệp tại Việt Nam từ 2023:

Giải thích các yêu cầu của Nghị định 13/2023/NĐ-CP
cho công ty e-commerce B2C xử lý dữ liệu 500.000 khách hàng:

1. Dữ liệu cá nhân nào chúng tôi đang thu thập
   (tên, email, SĐT, địa chỉ, lịch sử mua hàng)?
   Loại nào là "dữ liệu nhạy cảm" theo nghị định?

2. Yêu cầu về consent: cần xin phép gì trước khi dùng dữ liệu?

3. Quyền của chủ thể dữ liệu: khách hàng có quyền gì?
   Quy trình xử lý yêu cầu xóa/sửa dữ liệu?

4. Khi xảy ra data breach: cần thông báo ai, trong bao lâu?

5. Chúng tôi có cần bổ nhiệm DPO (Data Protection Officer) không?

6. Chế tài nếu vi phạm là gì?

Evidence Management

Tôi cần xây dựng hệ thống quản lý evidence cho SOC 2.
Hãy tạo:

1. Danh sách evidence types cần thu thập theo tần suất:
   - Hàng ngày: log files, backup verification
   - Hàng tuần: vulnerability scan results
   - Hàng tháng: access review, patch status
   - Hàng quý: penetration test, vendor review

2. Naming convention cho evidence files

3. Template evidence collection checklist cho tháng

4. Cách organise evidence folder structure
   (theo control domain, theo kỳ audit, theo loại evidence)

Báo cáo compliance dashboard

Tạo template báo cáo compliance monthly cho CISO/CTO:

Sections cần có:
1. Overall compliance score (% controls implemented)
2. Status by framework (ISO 27001 / SOC 2)
3. Open findings từ kỳ trước và tiến độ remediation
4. New risks phát sinh trong tháng
5. Upcoming deadlines (audit dates, renewal dates)
6. Decisions needed từ leadership

Format: 1 trang, đủ thông tin cho executive, không dài dòng

Xử lý Security Incident theo compliance

Kịch bản: Phát hiện unauthorized access vào database
chứa thông tin khách hàng lúc 15:00 hôm nay.
Ước tính 10.000 bản ghi bị expose.

Theo yêu cầu compliance (Nghị định 13/2023 + ISO 27001):
1. Những bước ngay lập tức cần làm (trong 1 giờ đầu)?
2. Phải thông báo cho ai và trong bao lâu?
   (cơ quan nhà nước, khách hàng, board?)
3. Evidence nào cần bảo quản ngay?
4. Template incident report chuẩn compliance?
5. Lessons learned process sau incident?

Vendor Compliance Review

Chúng tôi đang dùng 5 vendors xử lý dữ liệu khách hàng.
Tạo checklist để đánh giá compliance của vendor:

1. Certifications họ cần có (SOC 2, ISO 27001?)
2. Contractual requirements (DPA - Data Processing Agreement)
3. Câu hỏi security questionnaire cần gửi vendor
4. Tần suất review vendor compliance
5. Red flags cần escalate ngay

Lưu ý quan trọng

• Claude hỗ trợ, không thay thế chuyên gia — Với ISO 27001 hoặc SOC 2, bạn vẫn cần consultant/auditor có chứng chỉ để certification chính thức
• Luật thay đổi thường xuyên — Luôn xác minh với nguồn chính thức (văn bản pháp luật) trước khi áp dụng các yêu cầu pháp lý
• Context-specific — Yêu cầu compliance cho startup 50 người khác với enterprise 5.000 người

Bước tiếp theo

Compliance không phải là một lần rồi xong — đó là quá trình liên tục. Khám phá thêm các hướng dẫn Operations với Claude:

Xem tất cả hướng dẫn ứng dụng Claude cho HR & Operations

Bài viết liên quan

• Claude cho Operations: Báo cáo tình hình hoạt động
• Claude cho Operations: Tài liệu hóa quy trình
• Claude cho Operations: Quản lý Change Request
• Claude Productivity: Quản lý công việc thông minh
• Claude cho HR: Onboarding nhân viên mới