ข้อมูลจัดเก็บที่ใด ใครเข้าถึงได้ จัดการบริการที่จ้างภายนอกอย่างไร และใครตอบสนองเมื่อเกิดเหตุ ล้วนเป็นคำถามด้านความปลอดภัยสารสนเทศในงานประจำวัน ISMS เชื่อมการจัดการความเสี่ยง มาตรการควบคุม และหลักฐานการดำเนินงานเข้าด้วยกัน
ฉบับปัจจุบันและการเปลี่ยนผ่าน
ฉบับที่ใช้อยู่คือ ISO/IEC 27001:2022 พร้อมฉบับแก้ไขปี 2024 ฉบับปี 2022 แทนฉบับปี 2013 และคงโครงสร้างระบบบริหารข้อ 4–10 กับแนวทางอิงความเสี่ยง การเปลี่ยนแปลงหลักคือจัดโครงสร้างมาตรการภาคผนวก A ใหม่ และชี้แจงการวางแผนการเปลี่ยนแปลง ปฏิสัมพันธ์ของกระบวนการ บทบาท เป้าหมาย และการทบทวนฝ่ายบริหาร ISO/IEC 27001 ระบุข้อกำหนด ISMS ส่วน ISO/IEC 27002:2022 ให้แนวทางนำมาตรการความปลอดภัยสารสนเทศไปใช้
กำหนดเปลี่ยนผ่านขององค์กรที่ได้รับการรับรองฉบับปี 2013 สิ้นสุดวันที่ 31 ตุลาคม 2025 ตาม IAF MD 26:2023 ช่วงเปลี่ยนผ่านเดิมสิ้นสุดแล้ว องค์กรที่ยังใช้ฉบับเก่าควรยืนยันข้อกำหนดปัจจุบันและขั้นตอนสมัครกับหน่วยรับรอง ใบรับรองไม่ได้ยืนยันว่าระบบทุกระบบปราศจากช่องโหว่หรือปฏิบัติตามกฎหมายความเป็นส่วนตัวและไซเบอร์ทั้งหมด
ฉบับแก้ไขปี 2024 ให้พิจารณาว่าการเปลี่ยนแปลงสภาพภูมิอากาศเป็นประเด็นที่เกี่ยวข้องหรือไม่ และระบุว่าผู้มีส่วนได้เสียอาจมีข้อกำหนดด้านสภาพภูมิอากาศ อาจประเมินความร้อน น้ำท่วม ไฟฟ้า และสถานที่สำรองตามความเกี่ยวข้อง ไม่ได้หมายความว่าทุกองค์กรต้องทำบัญชีก๊าซเรือนกระจก
ภาคผนวก A และการจัดการความเสี่ยง
ฉบับปี 2022 ปรับภาคผนวก A จาก 114 มาตรการใน 14 หมวดเป็น 93 มาตรการใน 4 กลุ่ม จำนวนที่ลดลงไม่ได้หมายความว่าลบมาตรการเดิมได้โดยไม่ทบทวน สี่กลุ่มได้แก่ การควบคุมด้านองค์กร บุคลากร กายภาพ และเทคโนโลยี มีมาตรการใหม่ 11 รายการ ครอบคลุมข่าวกรองภัยคุกคาม บริการคลาวด์ ความพร้อม ICT เพื่อความต่อเนื่อง การเฝ้าระวังกายภาพ การกำหนดค่า การลบข้อมูล การปกปิดข้อมูล การป้องกันข้อมูลรั่วไหล การติดตาม การกรองเว็บ และการเขียนโค้ดอย่างปลอดภัย
เลือกมาตรการตามผลประเมินและแผนจัดการความเสี่ยง เอกสาร Statement of Applicability (SoA) ระบุมาตรการที่จำเป็น สถานะการดำเนินการ และเหตุผลที่รวมหรือตัดออก โดยต้องสอดคล้องกับแผนความเสี่ยงและหลักฐานจริง คุณลักษณะของ ISO/IEC 27002 ช่วยจัดหมวดมาตรการ แต่ไม่ได้สร้างช่องบังคับใหม่ใน SoA ด้วยตัวเอง
ขั้นตอนนำไปใช้ที่แนะนำ
- ยืนยันขอบเขต ISMS สินทรัพย์สารสนเทศ สถานที่ การพึ่งพา และข้อกำหนดของผู้มีส่วนได้เสีย
- กำหนดเกณฑ์ความเสี่ยงและประเมินการรักษาความลับ ความถูกต้องครบถ้วน ความพร้อมใช้ หน้าที่ตามกฎหมาย และผลกระทบทางธุรกิจ
- เลือกวิธีจัดการความเสี่ยงและมาตรการภาคผนวก A พร้อมบันทึกการตัดสินใจในแผนและ SoA
- ระบุผู้รับผิดชอบและทรัพยากร ดำเนินมาตรการและเก็บหลักฐาน เช่น การทบทวนสิทธิ์ การตรวจผู้ขาย การทดสอบสำรองข้อมูล การซ้อมเหตุการณ์ และการฝึกอบรม
- ติดตามผลและการเปลี่ยนแปลง ทบทวนความเสี่ยงเมื่อระบบ ผู้ขาย หรือวัตถุประสงค์ธุรกิจเปลี่ยน
- ตรวจภายใน ทบทวนฝ่ายบริหาร ปิดการแก้ไข และประสานการรับรองกับหน่วยรับรองอิสระ
ข้อมูลที่ควรเตรียม
ขอบเขต ISMS และแผนภาพระบบ ทะเบียนสินทรัพย์และผู้ขาย การประเมินและแผนจัดการความเสี่ยง บันทึกสิทธิ์เข้าถึง สำรองข้อมูล เหตุการณ์ การฝึกอบรม SoA ปัจจุบัน และหน้าที่ตามกฎหมายหรือสัญญา ควรตกลงเรื่องสิทธิ์เข้าถึงและการเก็บรักษาก่อนส่งตัวอย่างข้อมูลละเอียดอ่อน
ขอบเขตบริการ
หารือการทบทวนขอบเขตและช่องว่าง การประเมินความเสี่ยง การจัดทำ SoA การฝึกอบรม ตรวจภายใน และเตรียมตรวจภายนอกได้ ขอบเขต ผลงาน เวลา และค่าใช้จ่ายตกลงหลังทราบความต้องการ การตัดสินการรับรองเป็นหน้าที่ของหน่วยรับรองอิสระ