Risk-Based Approach ใน ISO 27001: หัวใจสำคัญของการจัดการความมั่นคงปลอดภัยสารสนเทศ

มาตรฐาน ISO 27001 ว่าด้วยระบบการจัดการความมั่นคงปลอดภัยสารสนเทศ (ISMS) มีหัวใจสำคัญอยู่ที่การนำ "Risk-Based Approach" หรือแนวทางการบริหารจัดการความเสี่ยงมาประยุกต์ใช้ ซึ่งไม่ใช่เพียงการระบุและประเมินความเสี่ยง แต่ยังรวมถึงการจัดการความเสี่ยงเหล่านั้นอย่างเป็นระบบและต่อเนื่อง

ที่มาและความสำคัญ

แนวคิด Risk-Based Approach ใน ISO 27001 มีที่มาจากหลักการที่ว่าแต่ละองค์กรมีบริบท ความเสี่ยง และความต้องการด้านความมั่นคงปลอดภัยของสารสนเทศที่แตกต่างกันไป ดังนั้น การกำหนดมาตรการควบคุมความเสี่ยงจึงไม่สามารถใช้แนวทางเดียวกันได้ทั้งหมด แต่ต้องพิจารณาจากปัจจัยเฉพาะของแต่ละองค์กรเป็นสำคัญ    

หลักการและการนำไปใช้

ISO 27001 กำหนดให้องค์กรต้องดำเนินการประเมินความเสี่ยงด้านความมั่นคงปลอดภัยสารสนเทศอย่างเป็นระบบ โดยมีขั้นตอนสำคัญคือ   

1. การกำหนดเกณฑ์การประเมินความเสี่ยง: ซึ่งรวมถึงเกณฑ์การยอมรับความเสี่ยงและเกณฑ์ในการประเมินความเสี่ยง    

2. การระบุความเสี่ยง: โดยพิจารณาจากประเด็นทั้งภายนอกและภายในองค์กรที่อาจส่งผลกระทบต่อความมั่นคงปลอดภัยของสารสนเทศ  

3. การวิเคราะห์ความเสี่ยง: เพื่อประเมินโอกาสที่จะเกิดเหตุการณ์ความเสี่ยงและผลกระทบที่อาจเกิดขึ้น    

4. การประเมินความเสี่ยง: เพื่อจัดลำดับความสำคัญของความเสี่ยงสำหรับการจัดการ  

5. การจัดการความเสี่ยง: ซึ่งรวมถึงการเลือกมาตรการควบคุมความเสี่ยงที่เหมาะสม การจัดทำแผนจัดการความเสี่ยง และการขออนุมัติแผนจากผู้มีส่วนได้ส่วนเสีย    

ผลลัพธ์และประโยชน์

การนำ Risk-Based Approach มาใช้ใน ISO 27001 ช่วยให้องค์กรสามารถ

• กำหนดมาตรการควบคุมความเสี่ยงที่เหมาะสมและมีประสิทธิภาพ    

• จัดสรรทรัพยากรด้านความมั่นคงปลอดภัยสารสนเทศได้อย่างคุ้มค่า    

• สร้างความเชื่อมั่นให้กับผู้มีส่วนได้ส่วนเสียว่าองค์กรมีการบริหารจัดการความเสี่ยงด้านความมั่นคงปลอดภัยสารสนเทศอย่างเหมาะสม    

• ปรับปรุงระบบการจัดการความมั่นคงปลอดภัยสารสนเทศอย่างต่อเนื่อง    

โดยสรุป Risk-Based Approach เป็นหลักการสำคัญที่ช่วยให้องค์กรสามารถจัดการความเสี่ยงด้านความมั่นคงปลอดภัยสารสนเทศได้อย่างมีประสิทธิภาพและสอดคล้องกับบริบทขององค์กร ซึ่งเป็นรากฐานสำคัญในการสร้างระบบ ISMS ที่แข็งแกร่งและยั่งยืน

ผู้เขียน ปริญญ์ เสรีพงศ์   ที่ปรึกษา ISO27001 pryn@sdxdataverse.com

Risk-Based Approach ใน ISO 27001: หัวใจสำคัญของการจัดการความมั่นคงปลอดภัยสารสนเทศ

Posted by pryn No comments

มาตรฐาน ISO 27001 ว่าด้วยระบบการจัดการความมั่นคงปลอดภัยสารสนเทศ (ISMS) มีหัวใจสำคัญอยู่ที่การนำ "Risk-Based Approach" หรือแนวทางการบริหารจัดการความเสี่ยงมาประยุกต์ใช้ ซึ่งไม่ใช่เพียงการระบุและประเมินความเสี่ยง แต่ยังรวมถึงการจัดการความเสี่ยงเหล่านั้นอย่างเป็นระบบและต่อเนื่อง

ที่มาและความสำคัญ

แนวคิด Risk-Based Approach ใน ISO 27001 มีที่มาจากหลักการที่ว่าแต่ละองค์กรมีบริบท ความเสี่ยง และความต้องการด้านความมั่นคงปลอดภัยของสารสนเทศที่แตกต่างกันไป ดังนั้น การกำหนดมาตรการควบคุมความเสี่ยงจึงไม่สามารถใช้แนวทางเดียวกันได้ทั้งหมด แต่ต้องพิจารณาจากปัจจัยเฉพาะของแต่ละองค์กรเป็นสำคัญ    

หลักการและการนำไปใช้

ISO 27001 กำหนดให้องค์กรต้องดำเนินการประเมินความเสี่ยงด้านความมั่นคงปลอดภัยสารสนเทศอย่างเป็นระบบ โดยมีขั้นตอนสำคัญคือ   

1. การกำหนดเกณฑ์การประเมินความเสี่ยง: ซึ่งรวมถึงเกณฑ์การยอมรับความเสี่ยงและเกณฑ์ในการประเมินความเสี่ยง    

2. การระบุความเสี่ยง: โดยพิจารณาจากประเด็นทั้งภายนอกและภายในองค์กรที่อาจส่งผลกระทบต่อความมั่นคงปลอดภัยของสารสนเทศ  

3. การวิเคราะห์ความเสี่ยง: เพื่อประเมินโอกาสที่จะเกิดเหตุการณ์ความเสี่ยงและผลกระทบที่อาจเกิดขึ้น    

4. การประเมินความเสี่ยง: เพื่อจัดลำดับความสำคัญของความเสี่ยงสำหรับการจัดการ  

5. การจัดการความเสี่ยง: ซึ่งรวมถึงการเลือกมาตรการควบคุมความเสี่ยงที่เหมาะสม การจัดทำแผนจัดการความเสี่ยง และการขออนุมัติแผนจากผู้มีส่วนได้ส่วนเสีย    

ผลลัพธ์และประโยชน์

การนำ Risk-Based Approach มาใช้ใน ISO 27001 ช่วยให้องค์กรสามารถ

• กำหนดมาตรการควบคุมความเสี่ยงที่เหมาะสมและมีประสิทธิภาพ    

• จัดสรรทรัพยากรด้านความมั่นคงปลอดภัยสารสนเทศได้อย่างคุ้มค่า    

• สร้างความเชื่อมั่นให้กับผู้มีส่วนได้ส่วนเสียว่าองค์กรมีการบริหารจัดการความเสี่ยงด้านความมั่นคงปลอดภัยสารสนเทศอย่างเหมาะสม    

• ปรับปรุงระบบการจัดการความมั่นคงปลอดภัยสารสนเทศอย่างต่อเนื่อง    

โดยสรุป Risk-Based Approach เป็นหลักการสำคัญที่ช่วยให้องค์กรสามารถจัดการความเสี่ยงด้านความมั่นคงปลอดภัยสารสนเทศได้อย่างมีประสิทธิภาพและสอดคล้องกับบริบทขององค์กร ซึ่งเป็นรากฐานสำคัญในการสร้างระบบ ISMS ที่แข็งแกร่งและยั่งยืน

ผู้เขียน ปริญญ์ เสรีพงศ์   ที่ปรึกษา ISO27001 pryn@sdxdataverse.com

รีวิว ISO 27001 :2013 - ตอนที่2 ความสำคัญของการประเมินความเสี่ยงสารสนเทศ

ทำความเข้าใจมาตรฐานISO27001:2013 และความสำคัญของการประเมินความเสี่ยงของสารสนเทศ (Information Security Risk Assessment)

หลังจากเล่าถึงภาพรวมของ ISO 27001 :2013 ไปในตอนที่แล้ว (รีวิว ISO27001:2013 ระบบการจัดการความมั่นคงปลอดภัยของสารสนเทศ - ตอนที่1 ) บทความนี้จะเน้นไปที่ความเข้าใจเรื่องของความเสี่ยง(Risk)ซึ่งมีสาระสำคัญที่น่าสนใจและเป็นประโยชน์ในการนำประยุกต์ใช้งาน

การนำมาตรฐานISO27001มาใช้งาน 

      มี4 องค์ประกอบใหญ่คือ

• จัดทำระบบ(Establish)การจัดการความมั่นคงปลอดภัยของสารสนเทศ(Information Security Management System -ISMS) คือ การเตรียมการ วางแผนเพื่อปกป้องสารสนเทศ
• นำไปปฏิบัติ(Implement) คือ  นำแผนจากขั้นตอนการจัดทำระบบ(Establish)ไปปฏิบัติจริงหน้างาน ทำตามเอกสารคู่มือและลงบันทึกในแบบฟอร์ม 
• รักษาไว้(Maintain) คือปฏิบัติควบคู่ไปกับการทำงานปกติ (ไม่ใช่ทำเฉพาะก่อนจะโดนตรวจAudit)
• ปรับปรุงอย่างต่อเนื่อง(Continual Improvement) คือ ทบทวนผลการทำระบบและหาจุดปรับปรุงอย่างต่อเนื่อง ไม่ใช่ทำครั้งเดียวจบ

  การทำระบบ ISO27001ให้มีประสิทธิภาพ ท่านต้องทำตาม 4 ข้อข้างต้นให้ครบถ้วน ตั้งแต่ จัดทำระบบ(Establish),  นำไปปฏิบัติ(Implement) , รักษาไว้(Maintain) และ Continual Improvement  และต้องมีหลักฐาน(ทั้งเอกสารและผลการปฏิบัติ) ที่น่าเชื่อถือ สะท้อนความเป็นจริงและตรวจสอบย้อนหลังได้

โมเดล CIA ในISO27001

iso27001 เน้นการปกป้องข้อมูลสารสนเทศ (Information) ให้มีคุณสมบัติ 3 ประการคือ

• Confidential: การปกป้องสารสนเทศให้เข้าถึงได้เฉพาะผู้ที่มีสิทธิ  ถ้าหากข้อมูลรั่วไหลแสดงว่าขาดคุณสมบัติในข้อนี้
• Integrity: ปกป้องความถูกต้องสมบูรณ์ของสารสนเทศไม่ให้ถูกแก้ไขเปลี่ยนแปลงผิดไปจากความเป็นจริง เช่น การแฮกระบบเพื่อแก้ไขข้อมูล เป็นต้น
• Availability : สร้างความเชื่อมั่นว่าระบบสารสนเทศพร้อมใช้งาน

ถึงตรงนี้หลายท่านคงสงสัยว่าแล้วจะต้องป้องกันConfidentiality , Integrityเข้มงวดแค่ไหน  ข้อมูลก็มีมากมายหลายประเภท ต้องป้องกันอย่างเข้มข้นเท่ากันหมดทุกข้อมูลยังเปล่า ???
การปกป้องข้อมูล(Information) จะเข้มงวดมากหรือน้อย ขึ้นอยู่กับ"ความเสี่ยง" หลักการคือ  ข้อมูลใดที่เสี่ยงสูงย่อมต้องมีมาตรการปกป้องเข้มงวดกว่าข้อมูลที่มีความเสี่ยงต่ำ ตัวอย่างเช่น  ข้อมูล username & password สำหรับเข้าสู่ระบบสารสนเทศขององค์กร ต้องมีมาตรการปกป้องที่เข้มงวดไม่น้อยกว่าข้อมูลทั่วไปที่ประกาศในเวบไซท์องค์กร เป็นต้น

ประเมินความเสี่ยงนั้นสำคัญไฉน

"การประเมินความเสี่ยงของสารสนเทศ(Information Security Risk Assessment)" เป็นหัวใจสำคัญของการทำระบบการจัดการความมั่นคงปลอดภัยของสารสนเทศISO27001  นั่นคือ หากท่านประเมินความเสี่ยงไม่ถูกต้อง หรือไม่ครอบคลุม ก็จะทำให้การจัดการความเสี่ยงที่ตามมานั้นแก้ปัญหาไม่ตรงจุด และไม่ครอบคลุมตามไปด้วย  ว่าไปแล้วการประเมินความเสี่ยงก็เหมือนการตรวจร่างกายนั่นแหละ ถ้าตรวจไม่ครบหรือตรวจไม่ละเอียดก็ไม่พบอาการป่วยและไม่ได้รักษา ปล่อยทิ้งไว้จนสุกงอมอาการป่วยก็แสดงออกมาในที่สุด!!

แนวทางจัดการความเสี่ยง

เมื่อประเมินความเสี่ยงของสารสนเทศ จนทราบแล้วว่ามีเรื่องอะไรบ้างที่มีความเสี่ยง ไม่ว่าจะเสี่ยงมาก เสี่ยงปานกลางหรือเสี่ยงน้อย  ทุกความเสี่ยงต้องมีคำตอบรองรับว่าความเสี่ยงแต่ละระดับจะจัดการอย่างไร  โดยทั่วไปความเสี่ยงสูงจะมีการทำแผนงานจัดการความเสี่ยง(Risk Treatment) โดยมีมาตรการต่างๆ มาดูแลจัดการ  จากนั้นเขียนเป็นคู่มือการปฏิบัติก็เป็นวิธีการที่นิยมใช้กันครับ

ตรงนี้สำคัญนะครับ เพราะว่าผลประเมินความเสี่ยงจะเป็นตัวกำหนดว่าจะต้องทำแผนงานจัดการความเสี่ยง(Risk Treatment) เพื่อจัดการความเสี่ยงอะไรบ้าง  ประเด็นเรื่องกฏหมายเป็นหัวข้อหนึ่งที่สำคัญในการประเมินความเสี่ยง หากพบว่าประเมินความเสี่ยงแล้วพบว่าเป็นรื่องผิดกฏหมาย แบบนี้จัดเป็นความเสี่ยงสูงต้องรีบแก้ไขโดยด่วน


ผู้เขียน : Pryn Sereepong, CISA, CEH, ISMS(IRCA)
pryn@ftpi.or.th

รีวิว ISO 27001 :2013 - ตอนที่2 ความสำคัญของการประเมินความเสี่ยงสารสนเทศ

Posted by pryn 1 comment

ทำความเข้าใจมาตรฐานISO27001:2013 และความสำคัญของการประเมินความเสี่ยงของสารสนเทศ (Information Security Risk Assessment)

หลังจากเล่าถึงภาพรวมของ ISO 27001 :2013 ไปในตอนที่แล้ว (รีวิว ISO27001:2013 ระบบการจัดการความมั่นคงปลอดภัยของสารสนเทศ - ตอนที่1 ) บทความนี้จะเน้นไปที่ความเข้าใจเรื่องของความเสี่ยง(Risk)ซึ่งมีสาระสำคัญที่น่าสนใจและเป็นประโยชน์ในการนำประยุกต์ใช้งาน

การนำมาตรฐานISO27001มาใช้งาน 

      มี4 องค์ประกอบใหญ่คือ

• จัดทำระบบ(Establish)การจัดการความมั่นคงปลอดภัยของสารสนเทศ(Information Security Management System -ISMS) คือ การเตรียมการ วางแผนเพื่อปกป้องสารสนเทศ
• นำไปปฏิบัติ(Implement) คือ  นำแผนจากขั้นตอนการจัดทำระบบ(Establish)ไปปฏิบัติจริงหน้างาน ทำตามเอกสารคู่มือและลงบันทึกในแบบฟอร์ม 
• รักษาไว้(Maintain) คือปฏิบัติควบคู่ไปกับการทำงานปกติ (ไม่ใช่ทำเฉพาะก่อนจะโดนตรวจAudit)
• ปรับปรุงอย่างต่อเนื่อง(Continual Improvement) คือ ทบทวนผลการทำระบบและหาจุดปรับปรุงอย่างต่อเนื่อง ไม่ใช่ทำครั้งเดียวจบ

  การทำระบบ ISO27001ให้มีประสิทธิภาพ ท่านต้องทำตาม 4 ข้อข้างต้นให้ครบถ้วน ตั้งแต่ จัดทำระบบ(Establish),  นำไปปฏิบัติ(Implement) , รักษาไว้(Maintain) และ Continual Improvement  และต้องมีหลักฐาน(ทั้งเอกสารและผลการปฏิบัติ) ที่น่าเชื่อถือ สะท้อนความเป็นจริงและตรวจสอบย้อนหลังได้

โมเดล CIA ในISO27001

iso27001 เน้นการปกป้องข้อมูลสารสนเทศ (Information) ให้มีคุณสมบัติ 3 ประการคือ

• Confidential: การปกป้องสารสนเทศให้เข้าถึงได้เฉพาะผู้ที่มีสิทธิ  ถ้าหากข้อมูลรั่วไหลแสดงว่าขาดคุณสมบัติในข้อนี้
• Integrity: ปกป้องความถูกต้องสมบูรณ์ของสารสนเทศไม่ให้ถูกแก้ไขเปลี่ยนแปลงผิดไปจากความเป็นจริง เช่น การแฮกระบบเพื่อแก้ไขข้อมูล เป็นต้น
• Availability : สร้างความเชื่อมั่นว่าระบบสารสนเทศพร้อมใช้งาน

ถึงตรงนี้หลายท่านคงสงสัยว่าแล้วจะต้องป้องกันConfidentiality , Integrityเข้มงวดแค่ไหน  ข้อมูลก็มีมากมายหลายประเภท ต้องป้องกันอย่างเข้มข้นเท่ากันหมดทุกข้อมูลยังเปล่า ???
การปกป้องข้อมูล(Information) จะเข้มงวดมากหรือน้อย ขึ้นอยู่กับ"ความเสี่ยง" หลักการคือ  ข้อมูลใดที่เสี่ยงสูงย่อมต้องมีมาตรการปกป้องเข้มงวดกว่าข้อมูลที่มีความเสี่ยงต่ำ ตัวอย่างเช่น  ข้อมูล username & password สำหรับเข้าสู่ระบบสารสนเทศขององค์กร ต้องมีมาตรการปกป้องที่เข้มงวดไม่น้อยกว่าข้อมูลทั่วไปที่ประกาศในเวบไซท์องค์กร เป็นต้น

ประเมินความเสี่ยงนั้นสำคัญไฉน

"การประเมินความเสี่ยงของสารสนเทศ(Information Security Risk Assessment)" เป็นหัวใจสำคัญของการทำระบบการจัดการความมั่นคงปลอดภัยของสารสนเทศISO27001  นั่นคือ หากท่านประเมินความเสี่ยงไม่ถูกต้อง หรือไม่ครอบคลุม ก็จะทำให้การจัดการความเสี่ยงที่ตามมานั้นแก้ปัญหาไม่ตรงจุด และไม่ครอบคลุมตามไปด้วย  ว่าไปแล้วการประเมินความเสี่ยงก็เหมือนการตรวจร่างกายนั่นแหละ ถ้าตรวจไม่ครบหรือตรวจไม่ละเอียดก็ไม่พบอาการป่วยและไม่ได้รักษา ปล่อยทิ้งไว้จนสุกงอมอาการป่วยก็แสดงออกมาในที่สุด!!

แนวทางจัดการความเสี่ยง

เมื่อประเมินความเสี่ยงของสารสนเทศ จนทราบแล้วว่ามีเรื่องอะไรบ้างที่มีความเสี่ยง ไม่ว่าจะเสี่ยงมาก เสี่ยงปานกลางหรือเสี่ยงน้อย  ทุกความเสี่ยงต้องมีคำตอบรองรับว่าความเสี่ยงแต่ละระดับจะจัดการอย่างไร  โดยทั่วไปความเสี่ยงสูงจะมีการทำแผนงานจัดการความเสี่ยง(Risk Treatment) โดยมีมาตรการต่างๆ มาดูแลจัดการ  จากนั้นเขียนเป็นคู่มือการปฏิบัติก็เป็นวิธีการที่นิยมใช้กันครับ

ตรงนี้สำคัญนะครับ เพราะว่าผลประเมินความเสี่ยงจะเป็นตัวกำหนดว่าจะต้องทำแผนงานจัดการความเสี่ยง(Risk Treatment) เพื่อจัดการความเสี่ยงอะไรบ้าง  ประเด็นเรื่องกฏหมายเป็นหัวข้อหนึ่งที่สำคัญในการประเมินความเสี่ยง หากพบว่าประเมินความเสี่ยงแล้วพบว่าเป็นรื่องผิดกฏหมาย แบบนี้จัดเป็นความเสี่ยงสูงต้องรีบแก้ไขโดยด่วน


ผู้เขียน : Pryn Sereepong, CISA, CEH, ISMS(IRCA)
pryn@ftpi.or.th