เตรียมองค์กรให้พร้อม ISO 27001 ใน 90 วัน

ISO/IEC 27001 คือมาตรฐานสากลสำหรับระบบบริหารความมั่นคงปลอดภัยสารสนเทศ (ISMS) องค์กรจำนวนมากเริ่มทำเพราะลูกค้ารายใหญ่หรือคู่ค้าต่างประเทศขอ แต่ถ้าทำถูกวิธี สิ่งที่ได้มากกว่าใบรับรองคือ “ระบบ” ที่ทำให้ความปลอดภัยไม่ขึ้นกับตัวบุคคล

ระยะเวลา 90 วันเป็นไปได้สำหรับองค์กรขนาดกลางที่มีผู้บริหารสนับสนุนและมีทีม IT ที่ให้เวลาได้ ถ้าระบบซับซ้อนหรือมีหลายสาขา อาจใช้เวลากว่านี้ แผนด้านล่างคือโครงที่เราใช้เป็นจุดตั้งต้น

เดือนที่ 1: รู้ว่าอยู่ตรงไหน และต้องปกป้องอะไร

• Gap Assessment เทียบสิ่งที่องค์กรทำอยู่กับข้อกำหนดของมาตรฐาน เพื่อให้เห็นว่าขาดอะไร และอะไรมีอยู่แล้วแค่ยังไม่ได้เขียนเป็นเอกสาร
• กำหนดขอบเขต ISMS เลือกระบบ หน่วยงาน และสถานที่ที่จะอยู่ในใบรับรอง ขอบเขตที่เล็กและชัดทำให้ 90 วันเป็นไปได้
• ทำทะเบียนทรัพย์สินสารสนเทศ ระบบ ข้อมูล อุปกรณ์ และผู้รับผิดชอบ
• ประเมินความเสี่ยง ให้คะแนนโอกาสและผลกระทบ แล้วเลือกการควบคุมจาก Annex A ที่ตอบความเสี่ยงนั้น

ผลลัพธ์ของเดือนแรกคือ Statement of Applicability (SoA) ฉบับร่าง และแผนจัดการความเสี่ยง

เดือนที่ 2: เขียนให้ตรงกับที่ทำ และทำให้ตรงกับที่เขียน

• นโยบายและขั้นตอน นโยบายความมั่นคงปลอดภัย การควบคุมการเข้าถึง การจัดการเหตุการณ์ การสำรองข้อมูล การใช้งานอุปกรณ์ และการบริหารผู้ให้บริการภายนอก เขียนให้สั้นและตรงกับวิธีทำงานจริง เอกสารที่ไม่มีใครทำตามคือสิ่งที่ผู้ตรวจจับได้เร็วที่สุด
• นำการควบคุมไปใช้ เช่น เปิดการยืนยันตัวตนหลายขั้น ทบทวนสิทธิ์ผู้ใช้ ทดสอบการกู้คืนข้อมูลสำรอง
• อบรมพนักงาน ทุกคนในขอบเขตต้องรู้นโยบายและวิธีรายงานเหตุการณ์ การจำลอง Phishing ใช้เป็นหลักฐานการสร้างความตระหนักได้
• เริ่มเก็บหลักฐาน บันทึกการประชุม ผลการทบทวนสิทธิ์ บันทึกเหตุการณ์ ทุกอย่างต้องมีร่องรอยว่าทำจริง

เดือนที่ 3: ตรวจตัวเอง แก้ แล้วรับการตรวจ

• ทดสอบเจาะระบบหรือประเมินช่องโหว่ สำหรับระบบในขอบเขต ผลการทดสอบเป็นหลักฐานการประเมินความเสี่ยงเชิงเทคนิคที่ผู้ตรวจมักขอดู
• Internal Audit ตรวจทุกข้อกำหนดด้วยคนที่ไม่ได้ทำงานนั้นเอง บันทึกข้อบกพร่องและแก้ไขให้เสร็จ
• Management Review ผู้บริหารทบทวนผล ตัดสินใจเรื่องทรัพยากร และอนุมัติให้เข้ารับการตรวจ
• การตรวจรับรอง โดยหน่วยรับรอง (Certification Body) แบ่งเป็น Stage 1 ตรวจเอกสาร และ Stage 2 ตรวจการปฏิบัติจริง

สิ่งที่ทำให้ 90 วันล้มเหลวบ่อยที่สุด

1. ขอบเขตกว้างเกินไปตั้งแต่แรก
2. ผู้บริหารมอบหมายแล้วหายไป การตัดสินใจเรื่องงบและทรัพยากรค้าง
3. เขียนเอกสารจากเทมเพลตโดยไม่ปรับให้ตรงกับการทำงานจริง
4. ไม่มีหลักฐานว่าทำ เพราะเริ่มเก็บช้าเกินไป

ถ้าต้องการให้เราประเมินว่าองค์กรของคุณใช้เวลาเท่าไร เริ่มจาก Gap Assessment ได้ที่ บริการที่ปรึกษามาตรฐาน