ระบบมาตรฐานดานความปลอดภัยของขอมูล ISO 27001

             ISO/IEC 27001:2005 (Information Security Management System: ISMS) เปนมาตรฐานการจัดการขอมูลที่มีความสําคัญเพื่อใหธุรกิจ ดําเนินไปอยางตอเนื่อง ซึ่งขอกําหนดตางๆกําหนดขึ้นโดยองคกรที่มีชื่อเสียงและมีความนาเชื่อถือระหวางประเทศ คือ ISO (The International Organization for Standardization) และ IEC (The International Electrotechnical Commission) การประยุกตใชISMS จะชวยให กิจกรรมทางธุรกิจตอเนื่องไมสะดุด, ชวยปองกันกระวนการทางธุรกิจจากภัยรายแรงตางๆเชน แผนดินไหว, วาตภัย, อุทกภัย ฯลฯ และ ความ เสียหายของระบบขอมูล โดยครอบคุม  ทุกกลุมอุตสาหกรรมและทุกกลุมธุรกิจ 

มาตรฐานนี้เปนมาตรฐานสากลที่มุงเนนดานการรักษาความมั่นคงปลอดภัยใหกับระบบสารสนเทศขององคกร และใชเปนมาตรฐานอางอิงเพื่อ เปนแนวทางในการเสริมสรางความมั่นคงปลอดภัย ใหกับระบบสารสนเทศขององคกรอยางแพรหลาย กอนจะมาเปนมาตรฐานสากลนี้ มาตรฐาน ISO/IEC 27001 และ ISO/IEC 17799:2005 ไดรับการแกไขปรับปรุงมาจากมาตรฐานเดืมที่ชื่อวา BS 7799­1 และ ISO/IEC 17799 : 2000 ตามลําดับ เนื้อหาของมาตรฐาน ISO 27001 : 2005 จะเกี่ยวของกับการจัดตั้งและปฏิบัติใชงาน “ระบบบริหารความมั่นคงของขอมูล” ขึ้นในองคกร ซึ่งในแนวคิดของมาตรฐานสวนนี้จะเปนแนวทางสําคัญเนื้อหาของมาตรฐาน ISO 27001 : 2005 แบงออกเปน 8 สวนดังนี้

1.ขอบเขต (Scope) 

2.มาตรฐานอางอิง (Normative reference) 

3.คําจํากัดความและนิยาม (Term and definitions) 

4.ระบบบริหารความมั่นคงของขอมูล (Information security management system) 

5. หนาที่ความรับผิดชอบของฝายบริหาร (Management responsibility) 

6.การตรวจประเมินการบริหารความมั่งคงของขอมูลภายใน (Internal ISMS audit)

 7.การทบทวนการบริหารความมั่นคงของขอมูล (Management review of the ISMS) 

8.การปรับปรุงการบริหารความมั่นคงของขอมูล (ISMS improvement)

ความแตกตางระหวางมาตรฐาน ISO/IEC27001 กับ ISO/IEC17799­2005 สามารถอธิบายโดยยอไดดังนี้

1.ขอบเขต (Scope) 

2.ศัพทเทคนิคและนิยาม (Terms and definitions) 

3.โครงสรางของมาตรฐาน (Structure of this standard) 

4.การประเมินความเสี่ยงและการจัดการกับความเสี่ยง / ลด / โอนยาย / ยอมรับความเสี่ยง (Risk assessment and treatment) 

          สําหรับมาตรฐาน ISO/IEC 17799­2005 วาดวยเรื่องของวิธีปฏิบัติที่จะนําไปสูระบบบริหาร จัดการความมั่นคงปลอดภัยที่องคกรไดจัดทําขึ้น ซึ่งจะตองเปนไปตามขอกําหนดในมาตรฐาน ISO/IEC27001 รายละเอียดของมาตรฐานนี้จะบอกถึงวิธีปฏิบัติในการลดความเสี่ยงที่เกิดจากจุด ออนของระบบโดยแบงเปนหัวขอหลักที่เกี่ยวของกับระบบ และใหแนวทางวาผูจัดทําควรปฏิบัติอยางไร ซึ่งผูใชสามารถเพิ่มเติมมาตรการหรือใช วิธีการที่มีความมั่นคงปลอดภัยเพียงพอ หรือเหมาะสมตามที่องคกระไดประเมินไว 

           หลักการของการออกแบบโครงสรางระบบ ISO/IEC27001:2005 เปนระบบพลวัตร (Dynamic System)ซึ่งอางอิง รูปแบบ PDCA Model (Plan Do Check Action) ซึ่งเปนโครงสรางเดียวกับ ระบบ การบริหารที่เปนสากลที่ใชกันทั่วโลก เชน ระบบการจัดการคุณภาพ (ISO 9001:2000), ระบบการจัดการสิ่งแวดลอม (ISO14001:2004), ระบบการจัดการคุณภาพสําหรับอุตสาหกรรมรถยนต(ISO/TS 16949), ระบบ การจัดการจัดการคุณภาพสําหรับอตสาหกรรมอาหาร (ISO 21001) ฯลฯ ซึ่งองคที่มีการประยุกตระบบการจัดการตางๆนี้แลว จะสามารถตอย อดระบบ ISO/IEC27001:2005 ไดเร็วและงายขึ้น แตสําหรับ องคกรที่ยังไมมีระบบการจัดการใดๆ ก็ใชวาจะประยุกตใชยากเพราะ ระบบ มีการ เขียนที่เขาใจงายและแบงหมวดใหงายตอความเขาใจตาม PDCA อยูแลวเพียงแตตองทําความเขาใจกับระบบใหมากขึ้น 

              ISO/IEC27001:2005 หรือ Information Security Management System (ISMS) เปนระบบการจัดการความปลอดภัยของขอมูล เพื่อให ระบบขอมูลสารสนเทศขององคกรมีคุณสมบัติในดานตางๆดังตอไปนี้ 

• Confidentiality เพื่อใหมั่นใจไดวาขอมูลตางๆ สามารถเขาถึงไดเฉพาะ ผูที่มีสิทธิที่จะเขาเทานั้น

• Integrity เพื่อใหมั่นใจไดวา ขอมูลมีความถูกตองครบถวนสมบูรณโดยไมไดถูกเปลี่ยนแปลงหรือแกไข จากผูไมไดรับอนุญาติ

 • Availability เพื่อใหมั่นใจไดวาขอมูลพรอมที่จะใชงานอยูเสมอ โดยผูที่มีสิทธิในการเขาถึงขอมูลสามารถเขาถึงไดทุกเมื่อ หากตองการ 

ระบบ ISMS เปนระบบ Dynamic system ที่ใชโครงสราง PDCA ดังนั้น ระบบจะมีการหมุนเพื่อปรับปรุงอยางตอเนื่องอยูตลอดเวลามี่ที่สิ้นสุด โดยโครงสรางของขอกําหนด จะถูกแบงตาม PDCA ดังนี้

Plan ­ การจัดทําระบบ ISMS

Establish ISMS 

a) กําหนด scope และ ขอบเขตการจัดทําระบบ ISMS 

b) กําหนด ISMS Policy 

c) กําหนด รูปแบบการประเมินความเสี่ยง 

d) กําหนดความเสี่ยง 

e) วิเคราะหและ ประเมินความเสี่ยง

f) กําหนดและประเมิน วิธีการเพื่อลดความเสี่ยง 

g) เลือกการควบคุม เพื่อลดความเสี่ยง 

h) เห็นชอบความเสี่ยงที่เหลืออยูโดย management 

I) เห็นชอบและประยุกตใชระบบ โดย management 

J) จัดทํา Statement of Applicable(SOA) 

Do ­ ประยุกตใชและดําเนินการ ระบบ ISMS

Implement and Operate the ISMSa) กำหนดแผนการลดความเสี่ยงb) ดำเนินการตามแผนลดความเสี่ยงc) ดำเนินการ ตามการควบคุมที่เลือกตาม 4.2.1gd) กำหนดการวัดประสิทธิภาพของระบบการควบคุมe) จัดทำรายการฝึกอบรมf) จัดการการประยุกต์ใช้ระบบg) ประยุกต์ใช้ ระเบียบปฎิบัติงานCheck - เฝ้าระวังและตรวจสอบระบบ ISMSMonitor and review ISMSa) จัดทำ ระเบียบปฏิบัติการ เฝ้าระวังและตรวจสอบระบบ ISMSb) ทบทวนประสิทธิภาพของ ระบบอย่างสม่ำเสมอc) วัดประสิทธิภาพการควบคุมในการปฏิบัติตามข้อกำหนดd) ทบทวน การประเมินความเสี่ยงตามแผน ความเสี่ยงที่เหลือ ระบบการประเมินความเสี่ยง และการเปลี่ยนแปลงต่างๆ ตามรอบเวลาที่กำหนดe) ดำเนินการ ตรวจติดตามภายในระบบISMSf) ดำเนินการ จัดทำ management reviewg) ปรับปรุง security plan ให้ทันสมัยh) บนทึกการการทำงานและหลักฐานที่มีผลต่อประสิทธิภาพและประสิทธิผลของระบบAction - รักษาและปรับปรุง ระบบ ISMSMaintain and improve the ISMSa) ดำเนินการ corrective action และ preventive actionb) สื่อสาร วิธีการและการปรับปรุงต่างๆ ให้กับผู้ที่เกี่ยข้องต่างๆc) แน่ใจว่า วิธีการที่ปรับปรุงขึ้น บรรลุจุดประสงค์ที่วางไว้นอกจากนี้ บางข้อกำหนดในระบบ ISMS ถูกแยกมากล่าวเพื่อชี้แจงรายละเอียดดังนี้4.3 Document control4.3.1 General4.3.2 Control of Document4.3.3 Control of Record5. Management Responsibility5.1 Management Commitment5.2 Resource management6 Internal Audit7 Management Review7.1 General7.2 Review Input7.3 Review Out put8 ISMS Improvement8.1 Continual Improvement8.2 Corrective action8.3 Preventive action ปัจจุบันข้อมูลสารสนเทศเปรียบเสมือนสินทรัพย์ที่มีมูลค่าและบทบาทสำคัญต่อการบริหารจัดการองค์กร ดังนั้นองค์กรต่างๆจึงเริ่มตระหนักถึงการปกป้องรักษาข้อมูลสารสนเทศที่สำคัญๆ อันนำมาซึ่งความท้าทายในการบริหารความมั่นคงปลอดภัยสำหรับสารสนเทศอย่างเป็นมาตรฐาน และมีประสิทธิภาพคุ้มค่ากับการลงทุน เพื่อให้ผู้ใช้ข้อมูลสารสนเทศมีความเชื่อมั่นว่าข้อมูลสารสนเทศดังกล่าวมีความปลอดภัยตามหลักของ C I A ซึ่งประกอบด้วย มีกระบวนการรักษาความลับที่เหมาะสม ผู้มีสิทธิเท่านั้นถึงจะเข้าถึงได้ (C : Confidentiality) มีความสมบูรณ์ถูกต้องของเนื้อหาสาระ (I : Integrity) และมีความพร้อมใช้งานอยู่เสมอ ผู้ใช้สามารถเข้าถึงข้อมูลเมื่อต้องการได้ทุกเวลา (A : Availability) โดยเฉพาะในโอกาสที่ประเทศไทยจะก้าวไปสู่ประชาคมอาเซียนในปี 2015 (ASEAN Community 2015) องค์กรต่างๆในประเทศไทยจึงจำเป็นต้องเริ่มตระหนักถึงความสำคัญในการบริหารจัดการความมั่นคงปลอดภัยสำหรับสารสนเทศ เพื่อสร้างความมั่นใจให้กับผู้บริหาร พนักงาน ลูกค้า และคู่ค้า ว่าสารสนเทศขององค์กรจะมีคุณสมบัติครบตามหลัก C I A

 ในปีที่ผ่านมา ผู้เขียนได้มีโอกาสรับการสนับสนุนจาก องค์การเพิ่มผลผลิตแห่งเอเชีย หรือ Asian Productivity Organization (APO) ในการเข้าร่วมโครงการ Training Course on the Information Security Management System: ISO 27000 Series ซึ่งมีจุดมุ่งหมายเพื่อให้การฝึกอบรมเชิงลึกเกี่ยวกับการประยุกต์ใช้ระบบการจัดการตามระบบคุณภาพ ISO 27000 อันเป็นมาตรฐานของระบบคุณภาพที่ใช้ในการบริหารความมั่นคงปลอดภัยสำหรับสารสนเทศ หรือ Information Security Management (ISM) และเตรียมความพร้อมให้ผู้ร่วมโครงการที่มาจากประเทศสมาชิกต่างๆดังกล่าวสามารถเป็นผู้นำการประเมินและการปฏิบัติงานตามมาตรฐาน ISO 27000 ได้อย่างมีประสิทธิภาพ ทำให้ผู้เขียนมีความเข้าใจถึงความสำคัญและการประยุกต์ใช้ระบบคุณภาพตามมาตรฐาน ISO 27000 ยิ่งขึ้น ด้วยเหตุนี้ผู้เขียนจึงอยากนำความรู้และประสบการณ์ที่ได้ มาแลกเปลี่ยนแบ่งปันกับผู้อ่านเพื่อให้ทุกท่านได้ตระหนักถึงการรักษาความมั่นคงปลอดภัยสำหรับสารสนเทศและสามารถนำไปประยุกต์ให้เกิดประโยชน์ต่อตนเองและองค์กรได้ต่อไป
ระบบบริหารจัดการความมั่นคงปลอดภัยสำหรับสารสนเทศ หรือ Information Security Management System (ISMS) นั้น คือ ระบบหรือกระบวนการที่ใช้ในการบริหารจัดการสารสนเทศที่มีความสำคัญขององค์กรให้มีความมั่นคงปลอดภัยตามหลัก C I A ซึ่งมีแนวทางการปฏิบัติตามขั้นตอนของกระบวนการดังนี้
เริ่มตั้งแต่ทำการวิเคราะห์และประเมินความเสี่ยงเพื่อทำให้ทราบว่าสารสนเทศใดที่มีความสำคัญต่อการดำเนินธุรกิจขององค์กร โอกาสที่จะเกิดความเสี่ยงและความเสียหายอันส่งผลกระทบต่อการดำเนินธุรกิจขององค์กรจากภัยคุกคามทั้งภายในภายนอกกับสารสนเทศนั้นมากน้อยแค่ไหน มีวิธีการบริหารจัดการในการป้องกันความเสี่ยงดังกล่าวอย่างไร โดยจำเป็นต้องจัดลำดับความสำคัญของความเสี่ยงทั้งหมดที่พบ และพิจารณาว่าสิ่งใดจำเป็นต้องรีบบริหารจัดการก่อนและหลัง จากนั้นจึงดำเนินการตามวงจร P (Plan หรือ การวางแผน) D (Do หรือ การประยุกต์ใช้หรือการดำเนินการ)C (Check หรือ การตรวจสอบ) A (Action หรือ การบำรุงรักษาหรือการปรับปรุง) โดยเริ่มจากทำการออกแบบระบบบริหารจัดการ ซึ่งในที่นี้หมายถึงกระบวนการที่เปรียบเสมือนเป็นเครื่องมือในการรักษาความมั่นคงปลอดภัย แต่ไม่ได้หมายรวมเพียงแค่การนำระบบเทคโนโลยีสารสนเทศมาสนับสนุนเท่านั้น ยังหมายรวมถึงการพัฒนาขั้นตอนปฏิบัติหรือการนำขั้นตอนปฏิบัติที่มีอยู่เดิมมาปรับปรุงเพื่อให้เกิดกระบวนการป้องกันและรักษาความมั่นคงปลอดภัยของสารสนเทศที่ใช้ในการดำเนินธุรกิจขององค์กรอย่างเหมาะสม โดยหลังจากที่ได้ระบบที่ต้องการแล้วก็ทำการดำเนินการตามระบบที่ได้วางแผนไว้ จากนั้นทำการตรวจสอบการดำเนินงานว่ามีการดำเนินงานครบถ้วนตามวัตถุประสงค์และแผนที่วางไว้หรือไม่ และยังมีจุดอ่อนอยู่ที่จุดใด อย่างไร เมื่อได้ข้อมูลครบถ้วนแล้วก็นำมาพิจารณาทำการบำรุงรักษากระบวนการเดิมที่มีประสิทธิภาพเหมาะสมเพียงพอ และทำการปรับปรุงกระบวนการที่ยังมีจุดอ่อนให้ดีขึ้น เพื่อทำให้ระบบบริหารจัดการที่ประยุกต์ใช้ในองค์กรนั้นมีคุณภาพ ทันสมัย และเหมาะสมอยู่เสมอสำหรับระบบการจัดการตามระบบคุณภาพ ISO/IEC 27000 อันเป็นมาตรฐานของระบบคุณภาพที่ใช้ในการบริหารความมั่นคงปลอดภัยสำหรับสารสนเทศ หรือ Information Security Management (ISM) นั้นประกอบด้วยมาตรฐานย่อยอื่นๆดังนี้ISO/IEC 27000 : 2008 ว่าด้วย ภาพรวมและคำศัพท์ต่างๆที่ใช้ในมาตรฐานISO/IEC 27001 : 2005 ว่าด้วย ความต้องการตามมาตรฐาน ว่าสิ่งที่จำเป็นต้องดำเนินการนั้นมีเรื่องใดบ้างISO/IEC 27002  ว่าด้วย เกณฑ์มาตรฐานในการปฏิบัติ ว่าควรปฏิบัติอย่างไรเพื่อให้เป็นไปตามความต้องการของมาตรฐาน สิ่งใดที่จำเป็นต้องมี และต้องมีในระดับไหนISO/IEC 27003 : 2009  ว่าด้วย แนวทางการดำเนินงานตามมาตรฐานISO/IEC 27004  ว่าด้วย การวัดประเมินตามมาตรฐานISO/IEC 27005 : 2008 ว่าด้วย การบริหารความเสี่ยงตามมาตรฐานISO/IEC 27006 : 2008 ว่าด้วย แนวทางการปฏิบัติเพื่อให้ได้รับการรับรองตามมาตรฐานISO/IEC 27007 ว่าด้วย แนวทางการตรวจประเมินตามมาตรฐานของผู้ตรวจประเมิน
แต่โดยทั่วไปหากพูดถึงมาตรฐานการบริหารความมั่นคงปลอดภัยสำหรับสารสนเทศ เราก็จะไปให้ความสนใจกับความต้องการตามมาตรฐาน แล้วเรียกรวมๆว่า ISO 27001 นั่นเอง ซึ่งสิ่งที่ขาดไม่ได้เมื่อต้องการจะประยุกต์ใช้ระบบคุณภาพตามมาตรฐาน ISO 27000 ในองค์กร ก็คือองค์กรต้องมีการดำเนินการดังต่อไปนี้

-          จัดทำนโยบายระบบบริหารความมั่นคงปลอดภัยสำหรับสารสนเทศ (ISMS)-          กำหนดขอบเขตของระบบบริหารความมั่นคงปลอดภัยสำหรับสารสนเทศ (ISMS)-          จัดทำขั้นตอนและการควบคุมในการสนับสนุนระบบบริหารความมั่นคงปลอดภัยสำหรับสารสนเทศ (ISMS)-          เลือกและจัดทำวิธีการประเมินความเสี่ยง-          จัดทำรายงานการประเมินความเสี่ยง-          จัดทำแผนการรักษาความเสี่ยงขั้นตอนการบันทึกตามระบบบริหารความมั่นคงปลอดภัยสำหรับสารสนเทศ (ISMS)-          จัดทำบันทึกในระบบบริหารความมั่นคงปลอดภัยสำหรับสารสนเทศ (ISMS)-          จัดทำ Statement of Applicability (SoA) หรือ เอกสารแสดงมาตรการในมาตรฐาน ISO/IEC 27001 ที่องค์กรได้มีการนำมาใช้งานและเหตุผลของการใช้ รวมทั้งมาตรการที่ไม่ได้นำมาใช้งานและเหตุผลที่ไม่ได้ใช้งานโดยการดำเนินการดังกล่าวต้องครอบคลุมหัวข้อหลัก (Domain) ที่จำเป็นในการปฏิบัติตามเกณฑ์มาตรฐานระบบคุณภาพ ISO 27001 ซึ่งมีอยู่ทั้งหมด 11 หัวข้อหลัก คือ-          Domain ที่ 1 ในมาตรฐานคือหมวด A5 เป็นหัวข้อที่ว่าด้วยเรื่อง Security Policy หรือ นโยบายการรักษาความมั่นคงปลอดภัยสำหรับสารสนเทศขององค์กร-          Domain ที่ 2 ในมาตรฐานคือหมวด A6 เป็นหัวข้อที่ว่าด้วยเรื่อง Organization  of Information Security หรือ โครงสร้างพื้นฐานด้านการรักษาความมั่นคงปลอดภัยสำหรับสารสนเทศขององค์กร-          Domain ที่ 3 ในมาตรฐานคือหมวด A7 เป็นหัวข้อที่ว่าด้วยเรื่อง Asset Management หรือ การบริหารจัดการสินทรัพย์ที่เกี่ยวกับสารสนเทศขององค์กร-          Domain ที่ 4 ในมาตรฐานคือหมวด A8 เป็นหัวข้อที่ว่าด้วยเรื่อง Human Resource Security หรือ การรักษาความมั่นคงปลอดภัยด้านทรัพยากรบุคคลที่มีผลกระทบต่อความมั่นคงปลอดภัยสำหรับสารสนเทศ-          Domain ที่ 5 ในมาตรฐานคือหมวด A9 เป็นหัวข้อที่ว่าด้วยเรื่อง Physical & Environmental Security หรือ การรักษาความมั่นคงปลอดภัยทางกายภาพที่มีผลกระทบต่อความมั่นคงปลอดภัยสำหรับสารสนเทศ-          Domain ที่ 6 ในมาตรฐานคือหมวด A10 เป็นหัวข้อที่ว่าด้วยเรื่อง Communications & Operations Management หรือ การบริหารจัดการเรื่องการสื่อสารและการปฏิบัติงานที่มีผลกระทบต่อความมั่นคงปลอดภัยสำหรับสารสนเทศ-          Domain ที่ 7 ในมาตรฐานคือหมวด A11 เป็นหัวข้อที่ว่าด้วยเรื่อง Access Control หรือ การควบคุมการเข้าถึงข้อมูลสารสนเทศ-          Domain ที่ 8 ในมาตรฐานคือหมวด A12 เป็นหัวข้อที่ว่าด้วยเรื่อง Information Systems Acquisition Development & Maintenance หรือ การพัฒนาและการบำรุงรักษาระบบสารสนเทศ-          Domain ที่ 9 ในมาตรฐานคือหมวด A13 เป็นหัวข้อที่ว่าด้วยเรื่อง Information Security Incident Management หรือ การบริหารการเตรียมความพร้อมเพื่อรับเหตุการณ์ที่ไม่คาดฝันที่อาจเกิดขึ้นกับระบบสารสนเทศ-          Domain ที่ 10 ในมาตรฐานคือหมวด A14 เป็นหัวข้อที่ว่าด้วยเรื่อง Business Continuity Management  หรือ การบริหารการดำเนินธุรกิจอย่างต่อเนื่อง-          Domain ที่ 11 ในมาตรฐานคือหมวด A15 เป็นหัวข้อที่ว่าด้วยเรื่อง Compliance หรือ การปฏิบัติตามกฏระเบียบข้อบังคับ

ทั้งนี้ในแต่ละหัวข้อหลัก หรือ Domain จะประกอบไปด้วย วัตถุประสงค์ของการควบคุมตามเกณฑ์มาตรฐาน หรือ Control Objectives และในแต่ละControl Objectives จะประกอบไปด้วย ตัวควบคุมตามเกณฑ์มาตรฐาน หรือ Controls  ดังนั้นใน เกณฑ์มาตรฐานระบบคุณภาพ ISO 27001 ซึ่งประกอบด้วย Domain ทั้งหมด 11 หัวข้อ จะมี Control Objectives ทั้งหมด 39 ข้อ และมี Controls ทั้งหมด 133 ข้อ  อย่างไรก็ตามองค์กรไม่จำเป็นต้องมีการดำเนินงานตาม Control Objectives ทั้งหมด 39 ข้อ และไม่จำเป็นต้องมีการดำเนินงานตาม Controls ทั้งหมด 133 ข้อ  เนื่องจากทั้งนี้ทั้งนั้นขึ้นอยู่กับ ลักษณะภารกิจ และ การวิเคราะห์ผลกระทบทางธุรกิจ หรือ  Business Impact Analysis : BIA ของแต่ละองค์กรนั่นเอง