การตรวจประเมินเพื่อขอการรับรอง ISO 27001 (Certification Assessment)

การตรวจประเมินเพื่อขอการรับรอง ISO 27001 (Certification Assessment)

Posted by pryn on วันอาทิตย์ที่ 15 ธันวาคม พ.ศ. 2562 0

การตรวจประเมินเพื่อขอการรับรอง ISO 27001 (Certification Assessment)

ผู้เขียน ปริญญ์ เสรีพงศ์ CISA CEH ISMS(IRCA)

Email : mr.pryn@gmail.com

ISO/IEC 27001 เป็นมาตรฐานที่สามารถตรวจประเมินเพื่อขอการรับรองจากหน่วยรับรอง (Certification body) ซึ่งเป็นการตรวจประเมินประเภทบุคคลที่สาม (Third-party conformity assessment)    องค์กรที่ต้องการประเมินสถานะระบบการจัดการความมั่นคงปลอดภัยของสารสนเทศของตนเอง สามารถขอรับการตรวจประเมินจากหน่วยรับรอง (Certification body) เพื่อแสดงให้เห็นว่าระบบที่จัดทำขึ้นสอดคล้องกับมาตรฐานสากล

การตรวจประเมินระบบประเภทบุคคลที่สาม (Third-party conformity assessment) ทำให้ผลการตรวจน่าเชื่อถือกว่าองค์กรตรวจประเมินตนเอง  และเป็นการตรวจที่นิยมในระดับสากล โดยหน่วยรับรองที่ให้บริการตรวจประเมินจะต้องมีความน่าเชื่อถือและมีมาตรฐานกำกับดูแล เพื่อให้มั่นใจว่าผลการตรวจประเมินน่าเชื่อถือและตรงตามมาตรฐานสากลที่กำหนดไว้

Photo by John Schnobrich on Unsplash

ประโยชน์ของการตรวจประเมินเพื่อขอรับการรับรอง

·   สร้างความเชื่อมั่นทางธุรกิจ จุดเด่นที่สำคัญของมาตรฐาน ISO/IEC 27001 คือการสร้างความต่อเนื่องทางธุรกิจ (Business Continuity)  ซึ่งเป็นมาตรการที่สร้างความเชื่อมั่นได้ว่าหากระบบสารสนเทศเกิดความเสียหายหรือเกิดภัยพิบัติส่งผลกระทบต่อกระบวนการธุรกิจที่สำคัญ องค์กรสามารถดำเนินการกู้คืนระบบให้กลับมาอยู่ในระดับที่ยอมรับได้ภายในเวลาที่เหมาะสม  แสดงให้เห็นว่าองค์กรมีการเตรียมความพร้อมเป็นอย่างดีและเป็นการสร้างความเชื่อมั่นให้แก่คู่ค้า

·  ภาพลักษณ์ที่เป็นสากล ภาพลักษณ์ขององค์กรมีความสำคัญในการดำเนินธุรกิจ  เพราะสะท้อนมุมมองของบุคคลภายนอกที่มีต่อองค์กร  หากองค์กรมีภาพลักษณ์ที่น่าเชื่อถือในการรักษาความมั่นคงปลอดภัยของสารสนเทศย่อมได้รับความไว้วางใจในผลิตภัณฑ์หรือบริการตามไปด้วย

·  สอดคล้องตามกฎหมาย การปฏิบัติตามกฎหมายที่เกี่ยวข้องกับความมั่นคงปลอดภัยของสารสนเทศ เป็นข้อกำหนดที่องค์กรต้องปฏิบัติตามอย่างเคร่งครัดและมีหลักฐานยืนยัน ดังนั้น องค์กรที่ได้รับการรับรองมาตรฐาน ISO/IEC 27001  จึงแสดงให้เห็นว่าองค์กรดำเนินการสอดคล้องตามกฎหมายด้านความมั่นคงปลอดภัยของสารสนเทศ

·   รักษาความต่อเนื่องตามมาตรฐาน เมื่อองค์กรผ่านการรับรองมาตรฐานโดยหน่วยรับรอง (Certification body)  ยังมีกลไกการติดตามและทบทวนว่าองค์กรยังคงรักษาระบบสอดคล้องตามมาตรฐานที่เรียกว่า Surveillance Audit ซึ่งหน่วยรับรอง (Certification body)ที่เป็นผู้ตรวจประเมินรับรองระบบเป็นผู้ดำเนินการ โดยติดตามและทบทวนผลการดำเนินงานเป็นระยะๆ ภายในช่วงอายุของการรับรองคือ 3 ปี จะเห็นได้ว่าองค์กรที่ผ่านการรับรองแล้วจะได้รับการตรวจประเมินและทบทวนอย่างต่อเนื่องเพื่อให้มั่นใจว่ายังคงรักษามาตรฐานไว้ได้