• What is ISO 27001?

---

ISO/IEC 27001:2022 คือมาตรฐานระดับสากลที่เป็นที่ยอมรับทั่วโลกสำหรับระบบการจัดการความมั่นคงปลอดภัยสารสนเทศ (ISMS) โดยทำหน้าที่เป็นกรอบแนวทางให้แก่องค์กรในการบริหารจัดการและปกป้องสินทรัพย์สารสนเทศของตน

 

Your Journey to ISO 27001 (video) Series

ISO/IEC 27001:2022 คือมาตรฐานสากลสำหรับระบบการจัดการความมั่นคงปลอดภัยสารสนเทศ (ISMS) มาตรฐานนี้ได้วางรูปแบบสำหรับการประเมินความเสี่ยง การออกแบบและการนำมาตรการความปลอดภัยไปปฏิบัติใช้ รวมถึงการบริหารจัดการด้านความปลอดภัย โดยได้กำหนดแนวทางสำหรับการนำไปปฏิบัติและการบริหารจัดการ เพื่อช่วยให้ข้อมูลของคุณมีความปลอดภัย

ISO/IEC 27001 เป็นมาตรฐานสากลเพียงฉบับเดียวสำหรับระบบการจัดการความมั่นคงปลอดภัยสารสนเทศที่สามารถทำการตรวจสอบรับรองได้ การได้รับการรับรองมาตรฐานนี้ถือเป็นการสร้างความมั่นใจจากหน่วยงานอิสระว่า องค์กรของคุณได้ปฏิบัติตามข้อกำหนดทางกฎหมาย ข้อบังคับ ระเบียบ และข้อตกลงตามสัญญาต่าง ๆ ที่เกี่ยวข้องกับข้อมูลที่มีความละเอียดอ่อนอย่างครบถ้วนสมบูรณ์ ทั้งนี้ การได้รับใบรับรอง ISO/IEC 27001 ยังเป็นเครื่องพิสูจน์ว่า คุณได้ดำเนินมาตรการที่จำเป็นอย่างครบถ้วนแล้ว เพื่อปกป้องข้อมูลที่มีความละเอียดอ่อนจากการเข้าถึงโดยไม่ได้รับอนุญาต

ใครบ้างที่จำเป็นต้องใช้ ISO/IEC 27001

องค์กรใดก็ตามที่มีการจัดเก็บข้อมูลที่มีความละเอียดอ่อน ย่อมถือเป็นผู้ที่มีคุณสมบัติเหมาะสมสำหรับการขอรับรองมาตรฐาน ISO/IEC 27001 โดยเฉพาะอย่างยิ่งบริษัทที่ดำเนินธุรกิจในภาคส่วนการดูแลสุขภาพ การเงิน ภาครัฐ และเทคโนโลยีสารสนเทศ จะได้รับประโยชน์อย่างมหาศาลจากการมีระบบการจัดการความมั่นคงปลอดภัยสารสนเทศ (ISMS) ที่ได้รับการรับรองมาตรฐาน

หากองค์กรของคุณได้รับการรับรองมาตรฐาน ISO 9001 อยู่แล้ว คุณจะได้รับประโยชน์จากข้อได้เปรียบของ Annex SL

เนื่องจากมาตรฐาน ISO/IEC 27001 และ ISO 9001 ต่างก็มีโครงสร้างพื้นฐานร่วมกันในหลายด้าน อาทิ บริบทขององค์กร บทบาทของผู้นำ และกระบวนการวางแผน องค์กรของคุณจึงสามารถบูรณาการระบบความมั่นคงปลอดภัยสารสนเทศเข้ากับระบบการจัดการคุณภาพ (QMS) ที่มีอยู่เดิมได้อย่างราบรื่น ซึ่งจะช่วยให้กระบวนการก้าวไปสู่การรับรองมาตรฐาน ISO/IEC 27001 มีประสิทธิภาพยิ่งขึ้น อีกทั้งยังช่วยประหยัดทั้งเวลาและงบประมาณได้เป็นอย่างดี

ระบบการจัดการความปลอดภัยของข้อมูล (Information Security Management Systems) คืออะไร?

นับจากอีเมล์ภายในองค์กร วัสดุ/อุปกรณ์ช่วยขาย ไปจนถึงรายงานทางการเงิน องค์กรทุกขนาดในทุกภาคอุตสาหกรรมต่างต้องมีการดำเนินการหรือการจัดการการกับข้อมูลจำนวนมากในแต่ละวัน สำหรับองค์กรหนึ่งๆเช่นองค์กรของท่าน ข้อมูลนี้ถือเป็นข้อได้เปรียบทางการแข่งขัน – เพราะมันคือข้อมูลที่บอกว่าท่านแก้ปัญหาต่างๆอย่างไร หรือท่านคว้าส่วนแบ่งของตลาดมาได้อย่างไร เป้าหมายของระบบการจัดการความปลอดภัยของข้อมูล (ISMS) คือเพื่อปกป้องข้อมูลที่สร้างความแตกต่างให้กับธุรกิจของท่าน ทั้งในแบบออนไลน์และโดยตัวบุคคล

หลักการของระบบการจัดการความปลอดภัยของข้อมูล

ในขณะที่การนำระบบ ISMS ไปปฏิบัตินั้นจะแตกต่างกันไปในแต่ละองค์กร แต่มีหลักการพื้นฐานของ ISMS ที่ทุกองค์กรจะต้องปฏิบัติตามเพื่อให้เกิดประสิทธิภาพในการปกป้องทรัพย์สินสารสนเทศขององค์กร ตัวอย่างหลักการด้านล่างนี้จะช่วยแนะแนวทางเพื่อไปสู่การได้รับการรับรองมาตรตรฐาน ISO/IEC 27001

ขั้นตอนแรกของการดำเนินการระบบ ISMS อย่างประสบผลสำเร็จ คือ การทำให้ผู้มีส่วนได้เสียที่สำคัญ (key stakeholders) ตระหนักถึงความจำเป็นของการรักษาความปลอดภัยของข้อมูล เพราะหากไม่ได้รับความร่วมมือจากผู้ที่เกี่ยวข้องทั้งหมดขององค์กร ซึ่งล้วนแต่เป็นผู้ที่ต้องปฏิบัติตาม ตรวจสอบและกำกับดูแล และคงรักษาระบบ ISMS ย่อมเป็นเรื่องยากที่จะประสบความสำเร็จในการให้ได้มาและคงรักษาไว้ซึ่งการได้รับการรับรองมาตรฐาน ISMS

เพื่อให้ระบบ ISMS ขององค์กรหนึ่งๆมีประสิทธิผล องค์กรนั้นๆต้องทำการวิเคราะห์ความจำเป็นด้านการรักษาความปลอดภัยสำหรับแต่ละทรัพย์สินสารสนเทศ และนำการควบคุมที่เหมาะสมต่างๆมาใช้เพื่อให้สามารถเก็บรักษาสินทรัพย์ดังกล่าวไว้ได้อย่างปลอดภัย สินทรัพย์สารเทศทั้งหมดไม่สามารถที่จะใช้วิธีการควบคุมเดียวกันได้ เพราะข้อมูลของแต่ละองค์กรมีรูปแบบ และขนาดที่แตกต่างกัน การควบคุมเพื่อการรักษาความปลอดภัยของข้อมูลก็เช่นเดียวกันที่ย่อมต้องแตกต่างกันตามความเหมาะสม

การนำระบบ ISMS ปฏิบัตินั้นไม่ได้เป็นโครงการที่มีระยะเวลาคงที่ตายตัว เพื่อให้องค์กรปลอดภัยจากภัยคุกคามทางข้อมูลต่างๆ ระบบ ISMS จำเป็นที่จะต้องเติบโตและพัฒนาอย่างต่อเนื่องเพื่อสนองตอบต่อสภาพทางเทคนิคที่มีการเปลี่ยนแปลงอย่างรวดเร็ว ด้วยเหตุนี้การประเมินซ้ำอย่างต่อเนื่องของระบบการจัดการความปลอดภัยของข้อมูลจึงเป็นสิ่งที่ต้องทำอย่างขาดไม่ได้ การทดสอบและการประเมินระบบ ISMS ที่บ่อยครั้ง ช่วยให้องค์กรสามารถที่จะรู้ได้ว่าข้อมูลต่างๆของพวกเขานั้นยังคงได้รับการปกป้องเป็นอย่างดี หรือจำเป็นต้องมีการปรับเปลี่ยนแก้ไขใดๆ หรือไม่

ระบบการจัดการความปลอดภัยของข้อมูลถือเป็นกระบวนการหนึ่ง

เช่นเดียวกันกับองค์กรที่ต้องปรับตัวให้เข้ากับสภาวะแวดล้อมทางธุรกิจที่มีการเปลี่ยนแปลง ระบบการจัดการความปลอดภัยของข้อมูลก็ต้องมีการปรับให้เข้ากับความก้าวหน้าทางเทคโนโลยีที่มีการเปลี่ยนแปลงอย่างรวดเร็วและข้อมูลใหม่ๆขององค์กร และเพื่อที่จะปรับตัวให้เข้ากับสภาวะเงื่อนไขการเปลี่ยนแปลงเหล่านี้ มาตรฐาน ISO/IEC 27001 จึงใช้วิธีการบริหารจัดการเชิงกระบวนการสำหรับระบบ ISMS โดยการประยุกต์ใช้หลักการ Plan- Do-Check-Act

ภาพรวมของการรับรองระบบ

หน่วยรับรองที่ได้รับการรับรองระบบงาน ตัวอย่างเช่น PJR อาจรับรองระบบ ISMS ของท่านตามมาตรฐาน ISO/IEC 27001 การได้รับการรับรองดังกล่าวจะช่วยสร้างความน่าเชื่อถือให้กับองค์กรของท่านซึ่งมีความจำเป็นต่อธุรกิจในปัจจุบันที่อยู่ในโลกที่อุดมไปด้วยข้อมูล การรับรองระบบมาตรฐาน ISO/IEC 27001 เหมือนกับมาตรฐาน ISO มาตรฐานอื่นๆ นั่นคือต้องมีกระบวนการตรวจประเมิน 3 ระยะ ดังนี้:

การทบทวนระบบ ISMS อย่างไม่เป็นทางการ – ในการตรวจประเมินระยะที่ 1 สำหรับมาตรฐาน ISO/IEC 27001 ผู้ตรวจประเมินจะทำการทบทวนและตรวจสอบระบบ ISMS ของท่านอย่างไม่เป็นทางการ การทบทวนตรวจสอบนี้ จะหมายรวมถึงการดำเนินการต่างๆ เช่น การตรวจสอบการมีอยู่ของเอกสารที่สำคัญในระบบ ISMS และตรวจสอบระบบ ISMS โดยภาพรวม เป้าหมายของการตรวจประเมินระยะที่ 1 คือ เพื่อให้ผู้ตรวจประเมินรู้จักและคุ้นเคยกับองค์กรของท่าน รวมถึงเพื่อให้ท่านได้ทำความรู้จักกับผู้ตรวจประเมิน

การตรวจประเมินความสอดคล้องอย่างเป็นทางการ – การตรวจประเมินระยะที่ 2 สำหรับมาตรฐาน ISO/IEC 27001เป็นการตรวจประเมินอย่างเป็นทางการ
การตรวจประเมินระยะที่ 2 นี้ คือการทบทวนตรวจสอบและทดสอบระบบการจัดการความปลอดภัยของข้อมูลขององค์กรของท่านอย่างละเอียดโดยเทียบกับข้อกำหนดของมาตรฐาน ISO/IEC 27001 ในระหว่างดำเนินการตรวจประเมินระยะนี้ ผู้ตรวจประเมินจะทำการสัมภาษณ์พนักงานที่มีความสำคัญ เพื่อที่จะทดสอบความเข้าใจในระบบ ISMS ระบบขององค์กรที่สอดคล้องกับมาตรฐาน ISO 27001 การตรวจสอบนี้จะทำให้ ISMS ของคุณได้รับการรับรองมาตรฐาน ISO/IEC 27001 หากระบบขององค์กรของท่านมีความสอดคล้องกับข้อกำหนดของมาตรฐาน ISO 27001 การตรวจประเมินนี้จะส่งผลต่อระบบ ISMS ของท่านที่จะขอรับการรับรองมาตรฐาน ISO/IEC 27001

การตรวจประเมินติดตามผล–ระยะสุดท้ายของการรับรองมาตรฐานระบบ ISO/IEC 27001 คือ การตรวจประเมินเพื่อทำให้มั่นใจว่าระบบ ISMS ของท่านได้รับการประเมินและปรับปรุงอย่างต่อเนื่อง การตรวจประเมินติดตามผลจะถูกดำเนินการอย่างน้อยที่สุดปีละหนึ่งครั้ง โดยมีจุดประสงค์เพื่อเป็นการยืนยันว่าองค์กรของท่านยังคงมีความลอดคล้องกับมาตรฐาน การตรวจประเมินติดตามผลนี้อาจถูกดำเนินการบ่อยครั้งกว่าในช่วงเริ่มต้นของการนำระบบไปปฏิบัติ

การตัดสินใจที่จะดำเนินการเพื่อให้ได้รับการรับรองมาตรฐานระบบการจัดการความปลอดภัยของข้อมูลนั้นถือเป็นก้าวสำคัญขององค์กรหนึ่งๆ แต่ผลตอบแทนที่จะได้รับนั้นก็มีความคุ้มค่ามาก การติดอาวุธให้กับองค์กรด้วยการมีระบบ ISMS ที่ได้รับการรับรอง องค์กรของท่านจะสามารถยื่นเสนอราคาแข่งขันได้ง่ายขึ้น ดึงดูดลูกค้าได้มากขึ้น และสามารถสร้างความมั่นใจให้กับผู้มีส่วนได้เสียได้ว่าข้อมูลที่ช่วยให้ธุรกิจของท่านดำเนินอยู่ได้นั้นได้รับการปกป้องเป็นอย่างดี

ประวัติของ ISO/IEC 27001

มาตรฐาน ISO/IEC 27001 ไม่ใช่มาตรฐานระบบ ISMS มาตรฐานแรก ในปี 1995 (พ.ศ.2538) กลุ่ม BSI (British Standards Institution) ได้ตีพิมพ์มาตรฐาน BS 7799 โดย BS 7799 ได้อธิบายเกี่ยวกับวิธีปฏิบัติที่เป็นเลิศสำหรับการจัดการความปลอดภัยของข้อมูล ในปี 1999 (พ.ศ.2542) BSI ตีพิมพ์ส่วนที่สองของมาตรฐาน BS 7799 นั่นคือ BS 7799 -2 ซึ่งมุ่งเน้นไปที่วิธีการนำระบบ ISMS ไปปฏิบัติ ภายหลังจากมีการแก้ไขในปี 2002 มาตรฐาน BS 7799-2 ได้รวมเอา หลักการ Plan-Do-Check-Act เข้ามาประกอบ ซึ่งสอดรับกับมาตรฐานอื่นๆ เช่น ISO 9000 มาตรฐาน BS 7799-2 นี้ ภายหลังได้ถูกนำมาประยุกต์ใช้โดย ISO จนในเดือนพฤศจิกายนปี 2005 จึงได้กลายเป็นมาตรฐาน ISO/IEC 27001

ประโยชน์ของ ISO 27001

การได้รับการรับรองโดยบุคคลที่ 3 ตามมาตรฐาน ISO 27001 ได้รวมประโยชน์ไว้อย่างมากมายทั้งสำหรับองค์กรและผู้มีส่วนได้เสียขององค์กร

ประโยชน์ประการหนึ่งคือ การได้รับการรับรองมาตรฐาน ISO 27001 จะช่วยเพิ่มความน่าเชื่อถือขององค์กรของท่าน ด้วยความครบถ้วนสมบูรณ์ของข้อมูลและระบบต่างๆของท่านที่ได้รับการรับรองโดยบุคคลที่ 3 เป็นสร้างความมั่นใจให้กับซัพพลายเออร์ ลูกค้า และผู้มีส่วนได้เสียอื่นๆ ว่า องค์กรของท่านได้มีการดำเนินมาตรการที่จำเป็นเพื่อปกป้องข้อมูลขององค์กร นอกจากให้ความอุ่นใจให้กับลูกค้าปัจจุบันของท่านแล้ว ISO 27001 ยังสามารถช่วยท่านในการดึงดูดลูกค้ใหม่ที่ใส่ใจในเรื่องการรักษาความปลอดภัย

นอกจากนี้การได้รับการรับรองมาตรฐาน ISO 27001 ยังสามารถช่วยเสริมสร้างความรู้สึกเกี่ยวกับการรักษาความลับทั่วทั้งองค์กรได้อีกด้วย นี้เป็นเรื่องสำคัญเพราะข้อมูลที่สำคัญไม่ได้ถูกเก็บไว้เฉพาะในเซิร์ฟเวอร์และฮาร์ดไดรฟ์เท่านั้น แต่มันสามารถถูกเข้าถึงและจดจำได้โดยบุคคล/พนักงานในองค์กรของท่านเองอีกด้วย การได้รับการรับรองมาตรฐาน ISO 27001 สามารถเปลี่ยนวัฒนธรรมองค์กรของท่านได้ ทำให้มันเป็นสิ่งหนึ่งที่สร้างมูลค่าให้กับข้อมูลส่วนตัวของบริษัทของท่าน

ใครที่ต้องการมาตรฐาน ISO 27001?

องค์กรที่ถือครองและดูแลข้อมูลที่สำคัญและเป็นความลับ คือ ผู้ที่ควรจะได้รับการรับรองมาตรฐาน ISO 27001 โดยเฉพาะอย่างยิ่ง บริษัทในภาคอุตสาหกรรมด้านการดูแลสุขภาพ ด้านการเงิน และ IT จะได้รับประโยชน์อย่างมากจากการได้รับการรับรองมาตรฐานระบบ ISMS