การเตรียมตัวก่อนรับการตรวจประเมินขอรับรอง ISO 27001 (ISMS Certification Assessment)

การเตรียมตัวก่อนรับการตรวจประเมินขอรับรอง ISO 27001

ผู้เขียน ปริญญ์ เสรีพงศ์ CISA CEH ISMS(IRCA)

Email : mr.pryn@gmail.com

การเตรียมความพร้อมก่อนรับการตรวจประเมินเพื่อขอการรับรองมาตรฐานมีความสำคัญไม่น้อยไปกว่าการสร้างและดำเนินระบบ  เนื่องจากในการตรวจประเมินองค์กรมีเวลาจำกัดในการแสดงหลักฐานเพื่อให้ผู้ตรวจตรวจประเมินมั่นใจว่ามีมาตรการการจัดการความมั่นคงปลอดภัยของสารสนเทศสอดคล้องตามมาตรฐานที่กำหนดไว้ หากไม่ได้เตรียมพร้อมที่ดีพออาจก่อให้เกิดอุปสรรคในระหว่างการตรวจประเมินได้ เช่น ไม่ได้กำหนดผู้รับผิดชอบในการรับการตรวจประเมิน ไม่มีการเตรียมเอกสารไว้ให้พร้อม หรือบุคลากรขาดความเข้าใจในระบบการจัดการความมั่นคงปลอดภัยของสารสนเทศ  ปัญหาเหล่านี้สะท้อนให้เห็นว่าองค์กรยังขาดความสามารถในการรักษามาตรฐานให้คงอยู่อย่างมีประสิทธิภาพตามวัตถุประสงค์ของมาตรฐาน 

ดังนั้น องค์กรต้องเตรียมความพร้อมให้สมบูรณ์ทุกด้าน ตั้งแต่การทบทวนว่าประยุกต์ใช้ข้อกำหนดครบถ้วนหรือไม่ การปฏิบัติตามมาตรการที่กำหนดไว้มีประสิทธิภาพเพียงใด รวมถึงผู้ที่เกี่ยวข้องมีความตระหนักและเข้าใจในเรื่องความมั่นคงปลอดภัยของสารสนเทศ และสามารถนำไปปฏิบัติได้ถูกต้องเหมาะสม เป็นต้น 

Photo by Glenn Carstens-Peters on Unsplash

ประเด็นสำคัญในการประเมินความพร้อมด้วยตนเองก่อนตรวจประเมินเพื่อขอรับการรับรองมีดังนี้

·   องค์กรกำหนดขอบเขตของระบบชัดเจนหรือไม่

·   ผู้บริหารมีความมุ่งมั่นและให้การสนับสนุนอย่างเป็นรูปธรรมหรือไม่

·   องค์กรเข้าใจข้อกำหนดของมาตรฐานและนำข้อกำหนดของ ISO/IEC 27001 มาประยุกต์ใช้ครบถ้วนหรือไม่

·   เอกสารระบบการจัดการความมั่นคงปลอดภัยของสารสนเทศครบถ้วนสมบูรณ์หรือไม่

·   องค์กรได้นำระบบการจัดการความมั่นคงปลอดภัยของสารสนเทศไปปฏิบัติครบถ้วนหรือไม่

·   ผลลัพธ์ของการดำเนินระบบมีเพียงพอที่จะประเมินความสามารถในการควบคุมจัดการความเสี่ยงต่างๆ หรือไม่

·  ผลลัพธ์ของการดำเนินระบบผ่านเกณฑ์หรือเป้าหมายหรือไม่  เช่น การปฏิบัติตามมาตรการลดความเสี่ยงส่งผลให้เกิดเหตุการณ์ไม่พึงประสงค์ (Information security incidents) ทางด้านความมั่นคงปลอดภัยของสารสนเทศลดลงตามเป้าหมาย เป็นต้น

·  องค์กรสามารถแสดงหลักฐานการปฏิบัติภายใต้ระบบการจัดการความมั่นคงปลอดภัยของสารสนเทศได้หรือไม่ เพียงพอหรือไม่ เช่น แผนงาน บันทึกการปฏิบัติงาน เป็นต้น

·  ผลการดำเนินงานภายใต้ระบบการจัดการความมั่นคงปลอดภัยของสารสนเทศมีประสิทธิภาพเพียงพอต่อการแก้ไขและป้องกันความเสี่ยงในรูปแบบต่างๆ ขององค์กร

·  ทุกหน่วยงานมีความเข้าใจในบทบาทและหน้าที่ของตนเองในการปฏิบัติงานภายใต้ระบบการจัดการความมั่นคงปลอดภัยของสารสนเทศ

การประเมินตนเองด้วยคำถามข้างต้น องค์กรต้องให้คำตอบทุกประเด็นอย่างชัดเจนเป็นรูปธรรม โดยมีเอกสารและหลักฐานต่างๆ  ยืนยัน รวมทั้งมีผลลัพธ์จากการดำเนินระบบที่แสดงให้เห็นว่าองค์กรสามารถจัดการ ควบคุม และลดความเสี่ยงให้อยู่ในระดับที่ยอมรับได้  รวมถึงมีกลไกที่สามารถปรับปรุงระบบให้สอดรับกับการเปลี่ยนแปลงต่าง ๆ เช่น ภัยคุกคามใหม่ และกฎหมายที่ปรับปรุงเพิ่มเติม  และที่สำคัญคือ บุคลากรทุกระดับต้องตระหนักถึงความสำคัญและเข้าใจบทบาทของตนเอง สามารถปฏิบัติตามระบบได้อย่างถูกต้อง ครบถ้วน สม่ำเสมอ และมีประสิทธิภาพ

การเตรียมตัวก่อนรับการตรวจประเมินขอรับรอง ISO 27001 (ISMS Certification Assessment)

Posted by pryn No comments

การเตรียมตัวก่อนรับการตรวจประเมินขอรับรอง ISO 27001

ผู้เขียน ปริญญ์ เสรีพงศ์ CISA CEH ISMS(IRCA)

Email : mr.pryn@gmail.com

การเตรียมความพร้อมก่อนรับการตรวจประเมินเพื่อขอการรับรองมาตรฐานมีความสำคัญไม่น้อยไปกว่าการสร้างและดำเนินระบบ  เนื่องจากในการตรวจประเมินองค์กรมีเวลาจำกัดในการแสดงหลักฐานเพื่อให้ผู้ตรวจตรวจประเมินมั่นใจว่ามีมาตรการการจัดการความมั่นคงปลอดภัยของสารสนเทศสอดคล้องตามมาตรฐานที่กำหนดไว้ หากไม่ได้เตรียมพร้อมที่ดีพออาจก่อให้เกิดอุปสรรคในระหว่างการตรวจประเมินได้ เช่น ไม่ได้กำหนดผู้รับผิดชอบในการรับการตรวจประเมิน ไม่มีการเตรียมเอกสารไว้ให้พร้อม หรือบุคลากรขาดความเข้าใจในระบบการจัดการความมั่นคงปลอดภัยของสารสนเทศ  ปัญหาเหล่านี้สะท้อนให้เห็นว่าองค์กรยังขาดความสามารถในการรักษามาตรฐานให้คงอยู่อย่างมีประสิทธิภาพตามวัตถุประสงค์ของมาตรฐาน 

ดังนั้น องค์กรต้องเตรียมความพร้อมให้สมบูรณ์ทุกด้าน ตั้งแต่การทบทวนว่าประยุกต์ใช้ข้อกำหนดครบถ้วนหรือไม่ การปฏิบัติตามมาตรการที่กำหนดไว้มีประสิทธิภาพเพียงใด รวมถึงผู้ที่เกี่ยวข้องมีความตระหนักและเข้าใจในเรื่องความมั่นคงปลอดภัยของสารสนเทศ และสามารถนำไปปฏิบัติได้ถูกต้องเหมาะสม เป็นต้น 

Photo by Glenn Carstens-Peters on Unsplash

ประเด็นสำคัญในการประเมินความพร้อมด้วยตนเองก่อนตรวจประเมินเพื่อขอรับการรับรองมีดังนี้

·   องค์กรกำหนดขอบเขตของระบบชัดเจนหรือไม่

·   ผู้บริหารมีความมุ่งมั่นและให้การสนับสนุนอย่างเป็นรูปธรรมหรือไม่

·   องค์กรเข้าใจข้อกำหนดของมาตรฐานและนำข้อกำหนดของ ISO/IEC 27001 มาประยุกต์ใช้ครบถ้วนหรือไม่

·   เอกสารระบบการจัดการความมั่นคงปลอดภัยของสารสนเทศครบถ้วนสมบูรณ์หรือไม่

·   องค์กรได้นำระบบการจัดการความมั่นคงปลอดภัยของสารสนเทศไปปฏิบัติครบถ้วนหรือไม่

·   ผลลัพธ์ของการดำเนินระบบมีเพียงพอที่จะประเมินความสามารถในการควบคุมจัดการความเสี่ยงต่างๆ หรือไม่

·  ผลลัพธ์ของการดำเนินระบบผ่านเกณฑ์หรือเป้าหมายหรือไม่  เช่น การปฏิบัติตามมาตรการลดความเสี่ยงส่งผลให้เกิดเหตุการณ์ไม่พึงประสงค์ (Information security incidents) ทางด้านความมั่นคงปลอดภัยของสารสนเทศลดลงตามเป้าหมาย เป็นต้น

·  องค์กรสามารถแสดงหลักฐานการปฏิบัติภายใต้ระบบการจัดการความมั่นคงปลอดภัยของสารสนเทศได้หรือไม่ เพียงพอหรือไม่ เช่น แผนงาน บันทึกการปฏิบัติงาน เป็นต้น

·  ผลการดำเนินงานภายใต้ระบบการจัดการความมั่นคงปลอดภัยของสารสนเทศมีประสิทธิภาพเพียงพอต่อการแก้ไขและป้องกันความเสี่ยงในรูปแบบต่างๆ ขององค์กร

·  ทุกหน่วยงานมีความเข้าใจในบทบาทและหน้าที่ของตนเองในการปฏิบัติงานภายใต้ระบบการจัดการความมั่นคงปลอดภัยของสารสนเทศ

การประเมินตนเองด้วยคำถามข้างต้น องค์กรต้องให้คำตอบทุกประเด็นอย่างชัดเจนเป็นรูปธรรม โดยมีเอกสารและหลักฐานต่างๆ  ยืนยัน รวมทั้งมีผลลัพธ์จากการดำเนินระบบที่แสดงให้เห็นว่าองค์กรสามารถจัดการ ควบคุม และลดความเสี่ยงให้อยู่ในระดับที่ยอมรับได้  รวมถึงมีกลไกที่สามารถปรับปรุงระบบให้สอดรับกับการเปลี่ยนแปลงต่าง ๆ เช่น ภัยคุกคามใหม่ และกฎหมายที่ปรับปรุงเพิ่มเติม  และที่สำคัญคือ บุคลากรทุกระดับต้องตระหนักถึงความสำคัญและเข้าใจบทบาทของตนเอง สามารถปฏิบัติตามระบบได้อย่างถูกต้อง ครบถ้วน สม่ำเสมอ และมีประสิทธิภาพ

การตรวจประเมินเพื่อขอการรับรอง ISO 27001 (Certification Assessment)

การตรวจประเมินเพื่อขอการรับรอง ISO 27001 (Certification Assessment)

ผู้เขียน ปริญญ์ เสรีพงศ์ CISA CEH ISMS(IRCA)

Email : mr.pryn@gmail.com

ISO/IEC 27001 เป็นมาตรฐานที่สามารถตรวจประเมินเพื่อขอการรับรองจากหน่วยรับรอง (Certification body) ซึ่งเป็นการตรวจประเมินประเภทบุคคลที่สาม (Third-party conformity assessment)    องค์กรที่ต้องการประเมินสถานะระบบการจัดการความมั่นคงปลอดภัยของสารสนเทศของตนเอง สามารถขอรับการตรวจประเมินจากหน่วยรับรอง (Certification body) เพื่อแสดงให้เห็นว่าระบบที่จัดทำขึ้นสอดคล้องกับมาตรฐานสากล

การตรวจประเมินระบบประเภทบุคคลที่สาม (Third-party conformity assessment) ทำให้ผลการตรวจน่าเชื่อถือกว่าองค์กรตรวจประเมินตนเอง  และเป็นการตรวจที่นิยมในระดับสากล โดยหน่วยรับรองที่ให้บริการตรวจประเมินจะต้องมีความน่าเชื่อถือและมีมาตรฐานกำกับดูแล เพื่อให้มั่นใจว่าผลการตรวจประเมินน่าเชื่อถือและตรงตามมาตรฐานสากลที่กำหนดไว้

Photo by John Schnobrich on Unsplash

ประโยชน์ของการตรวจประเมินเพื่อขอรับการรับรอง

·   สร้างความเชื่อมั่นทางธุรกิจ จุดเด่นที่สำคัญของมาตรฐาน ISO/IEC 27001 คือการสร้างความต่อเนื่องทางธุรกิจ (Business Continuity)  ซึ่งเป็นมาตรการที่สร้างความเชื่อมั่นได้ว่าหากระบบสารสนเทศเกิดความเสียหายหรือเกิดภัยพิบัติส่งผลกระทบต่อกระบวนการธุรกิจที่สำคัญ องค์กรสามารถดำเนินการกู้คืนระบบให้กลับมาอยู่ในระดับที่ยอมรับได้ภายในเวลาที่เหมาะสม  แสดงให้เห็นว่าองค์กรมีการเตรียมความพร้อมเป็นอย่างดีและเป็นการสร้างความเชื่อมั่นให้แก่คู่ค้า

·  ภาพลักษณ์ที่เป็นสากล ภาพลักษณ์ขององค์กรมีความสำคัญในการดำเนินธุรกิจ  เพราะสะท้อนมุมมองของบุคคลภายนอกที่มีต่อองค์กร  หากองค์กรมีภาพลักษณ์ที่น่าเชื่อถือในการรักษาความมั่นคงปลอดภัยของสารสนเทศย่อมได้รับความไว้วางใจในผลิตภัณฑ์หรือบริการตามไปด้วย

·  สอดคล้องตามกฎหมาย การปฏิบัติตามกฎหมายที่เกี่ยวข้องกับความมั่นคงปลอดภัยของสารสนเทศ เป็นข้อกำหนดที่องค์กรต้องปฏิบัติตามอย่างเคร่งครัดและมีหลักฐานยืนยัน ดังนั้น องค์กรที่ได้รับการรับรองมาตรฐาน ISO/IEC 27001  จึงแสดงให้เห็นว่าองค์กรดำเนินการสอดคล้องตามกฎหมายด้านความมั่นคงปลอดภัยของสารสนเทศ

·   รักษาความต่อเนื่องตามมาตรฐาน เมื่อองค์กรผ่านการรับรองมาตรฐานโดยหน่วยรับรอง (Certification body)  ยังมีกลไกการติดตามและทบทวนว่าองค์กรยังคงรักษาระบบสอดคล้องตามมาตรฐานที่เรียกว่า Surveillance Audit ซึ่งหน่วยรับรอง (Certification body)ที่เป็นผู้ตรวจประเมินรับรองระบบเป็นผู้ดำเนินการ โดยติดตามและทบทวนผลการดำเนินงานเป็นระยะๆ ภายในช่วงอายุของการรับรองคือ 3 ปี จะเห็นได้ว่าองค์กรที่ผ่านการรับรองแล้วจะได้รับการตรวจประเมินและทบทวนอย่างต่อเนื่องเพื่อให้มั่นใจว่ายังคงรักษามาตรฐานไว้ได้

การตรวจประเมินเพื่อขอการรับรอง ISO 27001 (Certification Assessment)

Posted by pryn No comments

การตรวจประเมินเพื่อขอการรับรอง ISO 27001 (Certification Assessment)

ผู้เขียน ปริญญ์ เสรีพงศ์ CISA CEH ISMS(IRCA)

Email : mr.pryn@gmail.com

ISO/IEC 27001 เป็นมาตรฐานที่สามารถตรวจประเมินเพื่อขอการรับรองจากหน่วยรับรอง (Certification body) ซึ่งเป็นการตรวจประเมินประเภทบุคคลที่สาม (Third-party conformity assessment)    องค์กรที่ต้องการประเมินสถานะระบบการจัดการความมั่นคงปลอดภัยของสารสนเทศของตนเอง สามารถขอรับการตรวจประเมินจากหน่วยรับรอง (Certification body) เพื่อแสดงให้เห็นว่าระบบที่จัดทำขึ้นสอดคล้องกับมาตรฐานสากล

การตรวจประเมินระบบประเภทบุคคลที่สาม (Third-party conformity assessment) ทำให้ผลการตรวจน่าเชื่อถือกว่าองค์กรตรวจประเมินตนเอง  และเป็นการตรวจที่นิยมในระดับสากล โดยหน่วยรับรองที่ให้บริการตรวจประเมินจะต้องมีความน่าเชื่อถือและมีมาตรฐานกำกับดูแล เพื่อให้มั่นใจว่าผลการตรวจประเมินน่าเชื่อถือและตรงตามมาตรฐานสากลที่กำหนดไว้

Photo by John Schnobrich on Unsplash

ประโยชน์ของการตรวจประเมินเพื่อขอรับการรับรอง

·   สร้างความเชื่อมั่นทางธุรกิจ จุดเด่นที่สำคัญของมาตรฐาน ISO/IEC 27001 คือการสร้างความต่อเนื่องทางธุรกิจ (Business Continuity)  ซึ่งเป็นมาตรการที่สร้างความเชื่อมั่นได้ว่าหากระบบสารสนเทศเกิดความเสียหายหรือเกิดภัยพิบัติส่งผลกระทบต่อกระบวนการธุรกิจที่สำคัญ องค์กรสามารถดำเนินการกู้คืนระบบให้กลับมาอยู่ในระดับที่ยอมรับได้ภายในเวลาที่เหมาะสม  แสดงให้เห็นว่าองค์กรมีการเตรียมความพร้อมเป็นอย่างดีและเป็นการสร้างความเชื่อมั่นให้แก่คู่ค้า

·  ภาพลักษณ์ที่เป็นสากล ภาพลักษณ์ขององค์กรมีความสำคัญในการดำเนินธุรกิจ  เพราะสะท้อนมุมมองของบุคคลภายนอกที่มีต่อองค์กร  หากองค์กรมีภาพลักษณ์ที่น่าเชื่อถือในการรักษาความมั่นคงปลอดภัยของสารสนเทศย่อมได้รับความไว้วางใจในผลิตภัณฑ์หรือบริการตามไปด้วย

·  สอดคล้องตามกฎหมาย การปฏิบัติตามกฎหมายที่เกี่ยวข้องกับความมั่นคงปลอดภัยของสารสนเทศ เป็นข้อกำหนดที่องค์กรต้องปฏิบัติตามอย่างเคร่งครัดและมีหลักฐานยืนยัน ดังนั้น องค์กรที่ได้รับการรับรองมาตรฐาน ISO/IEC 27001  จึงแสดงให้เห็นว่าองค์กรดำเนินการสอดคล้องตามกฎหมายด้านความมั่นคงปลอดภัยของสารสนเทศ

·   รักษาความต่อเนื่องตามมาตรฐาน เมื่อองค์กรผ่านการรับรองมาตรฐานโดยหน่วยรับรอง (Certification body)  ยังมีกลไกการติดตามและทบทวนว่าองค์กรยังคงรักษาระบบสอดคล้องตามมาตรฐานที่เรียกว่า Surveillance Audit ซึ่งหน่วยรับรอง (Certification body)ที่เป็นผู้ตรวจประเมินรับรองระบบเป็นผู้ดำเนินการ โดยติดตามและทบทวนผลการดำเนินงานเป็นระยะๆ ภายในช่วงอายุของการรับรองคือ 3 ปี จะเห็นได้ว่าองค์กรที่ผ่านการรับรองแล้วจะได้รับการตรวจประเมินและทบทวนอย่างต่อเนื่องเพื่อให้มั่นใจว่ายังคงรักษามาตรฐานไว้ได้