เผยแพร่ ISO/IEC 27001Information SecurityISMS
สรุปสั้นๆ: ISO/IEC 27001 คือมาตรฐานสากลสำหรับ “ระบบบริหารจัดการความมั่นคงปลอดภัยของข้อมูล” (ISMS) ผู้ให้บริการที่ได้รับรองแปลว่ามีการประเมินความเสี่ยงและมีมาตรการดูแลข้อมูลอย่างเป็นระบบ ซึ่งผ่านการตรวจจากหน่วยงานภายนอกแล้ว ก่อนเลือกผู้ให้บริการ ให้ตรวจว่าใบรับรองเป็นของจริงและ “ขอบเขต” ครอบคลุมบริการที่คุณจะใช้
ISO/IEC 27001 คืออะไร
ISO/IEC 27001 เป็นมาตรฐานที่ ISO และ IEC ร่วมกันออก กำหนดวิธีวางระบบเพื่อดูแลความลับ (Confidentiality) ความถูกต้อง (Integrity) และความพร้อมใช้งาน (Availability) ของข้อมูล ฉบับล่าสุดคือ ISO/IEC 27001:2022 ซึ่งจัดมาตรการควบคุมใน Annex A เป็น 4 กลุ่ม ได้แก่ องค์กร บุคลากร กายภาพ และเทคโนโลยี
หัวใจของมาตรฐานไม่ใช่การซื้ออุปกรณ์ แต่คือ “ระบบ” ที่ทำให้องค์กรรู้ว่ามีความเสี่ยงอะไร ควบคุมอย่างไร และปรับปรุงต่อเนื่อง
ใบรับรองบอกอะไรกับลูกค้า
- มีการประเมินความเสี่ยงอย่างเป็นระบบ ไม่ได้ป้องกันตามความรู้สึก
- มีการควบคุมการเข้าถึง ข้อมูลและระบบตามหน้าที่
- มีขั้นตอนรับมือเหตุการณ์ผิดปกติ และทบทวนหลังเกิดเหตุ
- ดูแลผู้ให้บริการภายนอก ที่เกี่ยวข้องกับข้อมูล
- ผ่านการตรวจจากหน่วยงานรับรองภายนอก และถูกตรวจติดตามเป็นระยะ
ใบรับรองไม่ได้แปลว่าไม่มีความเสี่ยงเลย แต่แปลว่ามีระบบจัดการความเสี่ยงที่ตรวจสอบได้
เช็ก 3 ข้อก่อนเชื่อใบรับรอง
- ตรวจเลขที่ใบรับรอง ในฐานข้อมูลของหน่วยงานที่ออกใบรับรองโดยตรง
- อ่านขอบเขต (Scope) ว่าครอบคลุมบริการที่คุณจะใช้หรือไม่ ใบรับรองบางใบครอบคลุมเพียงบางแผนก
- ดูวันหมดอายุ และฉบับของมาตรฐานว่าเป็นฉบับปัจจุบัน
ใบรับรองของ GIST
บริษัท โกลบอล อินโนเวทีฟ โซลูชั่นส์ จำกัด ได้รับการรับรองมาตรฐาน ISO/IEC 27001:2022 (Certificate No: IS 828237) ตรวจสอบได้ที่ฐานข้อมูลของ BSI ขอบเขตครอบคลุม System Integration, Cloud Service - IaaS, IT Hardware Resellers และ Co-location
คำถามที่พบบ่อยเกี่ยวกับเรื่องนี้
ตรวจสอบได้อย่างไรว่าใบรับรอง ISO/IEC 27001 เป็นของจริง?
ดูเลขที่ใบรับรองและชื่อหน่วยงานที่ออกใบรับรอง แล้วค้นในฐานข้อมูลของหน่วยงานนั้นโดยตรง เช่น ใบรับรองของ GIST เลขที่ IS 828237 ออกโดย BSI ตรวจสอบได้ที่ฐานข้อมูลของ BSI
ISO/IEC 27001 กับ PDPA ต่างกันอย่างไร?
PDPA เป็นกฎหมายคุ้มครองข้อมูลส่วนบุคคลที่ต้องปฏิบัติตาม ส่วน ISO/IEC 27001 เป็นมาตรฐานสากลที่องค์กรเลือกนำมาใช้เพื่อบริหารความมั่นคงปลอดภัยของข้อมูลทุกประเภท การมีระบบตาม ISO/IEC 27001 ช่วยสนับสนุนมาตรการรักษาความปลอดภัยที่ PDPA กำหนด แต่ไม่ได้แทนการปฏิบัติตามกฎหมาย
ใบรับรองมีอายุนานเท่าไร?
โดยทั่วไปใบรับรองมีรอบ 3 ปี ระหว่างนั้นหน่วยงานรับรองจะเข้ามาตรวจติดตาม (Surveillance Audit) เป็นระยะ เพื่อยืนยันว่าองค์กรยังปฏิบัติตามมาตรฐานอย่างต่อเนื่อง