ผู้เขียน ปริญญ์ เสรีพงศ์ CISA,CEH,CC ที่ปรึกษา ISO 27001 mr.pryn@gmail.com
การทำความเข้าใจ
"บริบทขององค์กร"
เป็นก้าวแรกที่สำคัญยิ่งในการสร้างระบบการจัดการความมั่นคงปลอดภัยสารสนเทศ (ISMS)
ที่แข็งแกร่งตามมาตรฐาน ISO
27001:2022 ลองนึกภาพว่า ISMS คือบ้านที่เราต้องการสร้าง บริบทขององค์กรก็เปรียบเสมือนพื้นที่และสภาพแวดล้อมโดยรอบ ก่อนลงมือสร้าง
เราต้องสำรวจให้ละเอียดถี่ถ้วนว่าพื้นที่เป็นอย่างไร มีลักษณะภูมิประเทศแบบไหน มีต้นไม้ใหญ่ แหล่งน้ำ หรือสิ่งก่อสร้างอื่นๆ บ้าง
ลมพัดแรงไหม ฝนตกชุกหรือเปล่า มีภัยธรรมชาติอะไรบ้าง
เช่นเดียวกัน ในการสร้าง ISMS เราต้องวิเคราะห์ปัจจัยภายในและภายนอกองค์กร ปัจจัยภายในก็เหมือนกับลักษณะภายในบ้าน เช่น โครงสร้าง วัสดุ การตกแต่ง ซึ่งสะท้อนถึงวัฒนธรรม วิสัยทัศน์ และทรัพยากรขององค์กร ส่วนปัจจัยภายนอกก็เหมือนกับสภาพแวดล้อมรอบบ้าน เช่น สภาพอากาศ เพื่อนบ้าน กฎระเบียบของชุมชน ซึ่งอาจส่งผลกระทบต่อความมั่นคงปลอดภัยของบ้าน
นอกจากนี้ เรายังต้องเข้าใจความต้องการและความคาดหวังของผู้มีส่วนได้ส่วนเสีย ซึ่งเปรียบเสมือนสมาชิกในครอบครัว แต่ละคนมีความต้องการและความคาดหวังที่แตกต่างกัน เช่น พ่อแม่อยากได้บ้านที่แข็งแรงปลอดภัย ลูกๆ อยากได้บ้านที่สวยงามน่าอยู่ ญาติพี่น้องอยากได้บ้านที่อบอุ่น การทำความเข้าใจความต้องการเหล่านี้ จะช่วยให้เราออกแบบ ISMS ที่ตอบสนองความต้องการของทุกฝ่ายได้อย่างลงตัว
เมื่อเรามีความเข้าใจบริบทขององค์กรอย่างถ่องแท้แล้ว เราก็จะสามารถกำหนดขอบเขตของ ISMS
ได้อย่างเหมาะสม เปรียบเสมือนการกำหนดรั้วบ้าน ว่าจะล้อมรอบพื้นที่ใดบ้าง สิ่งไหนควรอยู่ภายในรั้ว สิ่งไหนควรอยู่นอกรั้ว ขอบเขตที่ชัดเจน จะช่วยให้เราโฟกัสทรัพยากร และดำเนินการรักษาความปลอดภัยได้อย่างมีประสิทธิภาพ
อย่าลืมว่าบริบทขององค์กร ไม่ใช่สิ่งที่คงที่ แต่มีการเปลี่ยนแปลงอยู่ตลอดเวลา เราจึงต้องหมั่นตรวจสอบ ประเมินผล และปรับปรุง ISMS ให้สอดคล้องกับบริบทใหม่ๆ เพื่อให้บ้านของเรามั่นคงแข็งแรง และปลอดภัยจากภัยคุกคามต่างๆ อย่างยั่งยืน
บริบทขององค์กร (Context of
the organization) : มุมมองเชิงลึกและประโยชน์
(ฉบับขยายความ)
หัวข้อ "บริบทขององค์กร"
เป็นเสมือนเข็มทิศนำทาง ที่ช่วยให้องค์กรสามารถสร้างระบบการจัดการความมั่นคงปลอดภัยสารสนเทศ (ISMS)
ตามมาตรฐาน ISO 27001:2022 ได้อย่างแม่นยำและมีประสิทธิภาพ การทำความเข้าใจบริบทอย่างลึกซึ้ง เปรียบเสมือนการวางรากฐานที่แข็งแกร่ง เพื่อรองรับการเติบโตและการเปลี่ยนแปลงขององค์กรในอนาคต
1. ปัจจัยภายในและภายนอก:
- ปัจจัยภายใน: เสมือนภาพสะท้อน ที่แสดงให้เห็นถึงลักษณะเฉพาะขององค์กร
- ตัวอย่าง: โครงสร้างองค์กรแบบรวมศูนย์หรือกระจายอำนาจ วัฒนธรรมองค์กรที่เน้นนวัตกรรมหรือความมั่นคง ทรัพยากรบุคคลที่มีทักษะด้าน
IT
- การวิเคราะห์: นอกจาก SWOT
analysis ยังสามารถใช้
- VRIO
analysis: วิเคราะห์ทรัพยากรและความสามารถ เพื่อสร้างความได้เปรียบในการแข่งขัน
- Value
chain analysis: วิเคราะห์กิจกรรมที่สร้างมูลค่า เพื่อระบุจุดเสี่ยง
- ปัจจัยภายนอก: เสมือนกระแสน้ำ ที่พัดพาองค์กรไปในทิศทางต่างๆ
- ตัวอย่าง: กฎหมายคุ้มครองข้อมูลส่วนบุคคล
(PDPA) ภัยคุกคามจาก
ransomware การแข่งขันในตลาด
- การวิเคราะห์: นอกจาก PESTLE
analysis ยังสามารถใช้
- Porter's
Five Forces: วิเคราะห์อำนาจต่อรอง เพื่อประเมินความเสี่ยงจากคู่แข่ง
- Scenario planning: วิเคราะห์สถานการณ์ในอนาคต เพื่อเตรียมความพร้อม
2. ความต้องการและความคาดหวังของผู้มีส่วนได้ส่วนเสีย:
- ผู้มีส่วนได้ส่วนเสีย: เปรียบเสมือนผู้โดยสาร ที่ร่วมเดินทางไปกับองค์กร
- ตัวอย่าง: ลูกค้าที่ต้องการความมั่นใจในความปลอดภัยของข้อมูล พนักงานที่ต้องการสภาพแวดล้อมการทำงานที่ปลอดภัย ผู้ถือหุ้นที่ต้องการผลตอบแทนจากการลงทุน
- การวิเคราะห์:
- Stakeholder
mapping: จัดกลุ่มผู้มีส่วนได้ส่วนเสีย ตามระดับอิทธิพลและความสนใจ
- Power/interest
grid: วิเคราะห์อำนาจและความสนใจ เพื่อกำหนดกลยุทธ์การสื่อสาร
- เทคนิค:
- Focus
group: ระดมความคิดเห็นจากกลุ่มตัวอย่าง
- Surveys:
สำรวจความคิดเห็น
- Observation:
สังเกตพฤติกรรม
3. ขอบเขตของ ISMS:
- วัตถุประสงค์: เสมือนการล้อมรั้ว เพื่อกำหนดพื้นที่ในการดูแลรักษาความปลอดภัย
- องค์ประกอบ:
- ขอบเขตทางกายภาพ: อาจครอบคลุม สำนักงานใหญ่ สาขา ศูนย์ข้อมูล
- ขอบเขตทางข้อมูล: อาจครอบคลุม ข้อมูลลูกค้า ข้อมูลทางการเงิน ข้อมูลทรัพย์สินทางปัญญา
- ขอบเขตทางบุคคล: อาจครอบคลุม พนักงาน ผู้รับเหมา ลูกค้า
- ประโยชน์:
- ลดความซับซ้อน: ช่วยให้โฟกัส
- เพิ่มประสิทธิภาพ: ใช้ทรัพยากรอย่างคุ้มค่า
- ลดความขัดแย้ง: กำหนดความรับผิดชอบชัดเจน
4. ผลลัพธ์ของการกำหนดบริบท:
- ISMS ที่ยืดหยุ่น: สามารถปรับตัว รองรับการเปลี่ยนแปลง
- สร้างความได้เปรียบ: ตอบสนองความต้องการ สร้างความพึงพอใจ
- ลดต้นทุน:
ป้องกันความเสียหาย เพิ่มประสิทธิภาพ
ข้อควรระวัง:
- บริบทขององค์กร เปรียบเสมือนสิ่งมีชีวิต ที่มีการเปลี่ยนแปลงตลอดเวลา ดังนั้นองค์กรควรมี
- ระบบติดตาม: ตรวจจับสัญญาณ
- กลไกทบทวน: ประเมินผลกระทบ
- กระบวนการปรับปรุง: ปรับเปลี่ยน
ISMS ให้ทันสมัย
ไม่มีความคิดเห็น:
แสดงความคิดเห็น