ที่ปรึกษา ISO/IEC 27001 ระบบการจัดการความมั่นคงปลอดภัยสารสนเทศ

For Your Business

ธุรกิจที่เหมาะสมและช่วงเวลาที่ควรเริ่ม

องค์กรที่จัดการข้อมูลลูกค้า ให้บริการดิจิทัล หรือมีข้อกำหนดความมั่นคงปลอดภัยจากห่วงโซ่อุปทาน สามารถประเมินการนำระบบไปใช้ได้ เมื่อเปิดบริการใหม่ ขยายองค์กร ย้ายขึ้นคลาวด์ หรือมาตรการเดิมกระจัดกระจาย ควรเริ่มจากกำหนดขอบเขตจัดการสารสนเทศ

การบริหารจัดการไม่ใช่แค่ความรับผิดชอบของฝ่ายข้อมูลเท่านั้น แต่ยังรวมถึงบุคลากร ซัพพลายเออร์ สภาพแวดล้อมทางกายภาพ และวิธีที่ธุรกิจใช้ข้อมูล

The Challenge

ปัญหาที่ธุรกิจพบบ่อย

การมีไฟร์วอลล์และสำเนาสำรองไม่ได้แปลว่าจัดการความเสี่ยงสารสนเทศแล้ว หากไม่รู้ว่าข้อมูลใดสำคัญ ใครมีสิทธิเข้าถึง หรือยังไม่ถอนสิทธิเมื่อพนักงานออก เครื่องมืออาจไม่ช่วยแก้ช่องว่างด้านหน้าที่

อีกปัญหาคือเอกสารควบคุมไม่ตรงกับการปฏิบัติจริง เช่น นโยบายให้ตรวจตามรอบแต่ไม่มีบันทึก หรือจัดการความเสี่ยงแล้วแต่ยังไม่ทบทวนความเสี่ยงที่เหลือ

Our Approach

แนวทางและข้อกำหนดที่เกี่ยวข้อง

ISO/IEC 27001:2022 พร้อม Amd 1:2024 กำหนดข้อกำหนดระบบการจัดการความมั่นคงปลอดภัยสารสนเทศ โดยใช้การจัดการความเสี่ยงเพื่อดูแลความลับ ความถูกต้องครบถ้วน และความพร้อมใช้งานของข้อมูล การรับรองพิจารณาขอบเขตระบบและหลักฐานปฏิบัติ ไม่รับประกันว่าระบบจะไม่ถูกบุกรุก

ขอบเขตและความเสี่ยงด้านข้อมูล

ช่วยกำหนดบริการ ระบบ สถานที่ และส่วนเชื่อมต่อภายนอก ระบุข้อมูลสำคัญและผลกระทบที่อาจเกิด การประเมินความเสี่ยงต้องมีเกณฑ์สอดคล้องกันและผู้รับผิดชอบเพื่อจัดลำดับงาน

มาตรการควบคุมและเอกสารแสดงการใช้มาตรการ (SoA)

จัดทำรายการมาตรการที่จำเป็น เหตุผลเลือก สถานะการนำไปใช้ และเอกสารแสดงการใช้มาตรการ (SoA) โดยพิจารณาความเสี่ยงและข้อกำหนดที่ใช้ ไม่คัดลอกรายการควบคุมของบริษัทอื่นมาใช้โดยตรง

การดําเนินงานและการทบทวนอย่างต่อเนื่อง

เชื่อมงานสิทธิเข้าถึง ผู้จัดหา การจัดการเหตุการณ์ และการเปลี่ยนแปลง พร้อมตรวจบันทึกจริง งานทดสอบและแก้ไขทางเทคนิควางแผนแยกตามความต้องการ ส่วนการทบทวนระบบติดตามหน้าที่และประสิทธิผลของมาตรการ

Preparation

บริษัทต้องเตรียมเอกสารอะไรบ้าง?

• ขอบเขตและข้อมูล: รายการบริการ ระบบ สถานที่ และข้อมูลสําคัญ
• ความเสี่ยงและการควบคุม: การประเมินความเสี่ยง แผนจัดการความเสี่ยง นโยบาย และ SoA
• สิทธิ์และผู้จัดหา: บทบาทบัญชี, บริการภายนอก และเงื่อนไขสัญญา
• การดําเนินงานและการปรับปรุง: เหตุการณ์ การตรวจสอบสํารองข้อมูล การฝึกอบรม การตรวจสอบ และบันทึกการปรับปรุง

สำหรับการหารือเบื้องต้น สามารถส่งสรุปหรือตัวอย่างที่ลบข้อมูลระบุตัวบุคคลแล้ว ส่วนข้อมูลฉบับเต็มให้ส่งตามขอบเขต สิทธิ์การเข้าถึง และวิธีรักษาความลับที่ตกลงกัน ตรวจสอบก่อนว่าข้อมูลเดิมยังใช้ได้หรือไม่ แล้วจึงเติมส่วนที่ขาด โดยไม่ถือว่าต้องจัดทำเอกสารใหม่ทั้งหมด

Project Planning

การประเมินเวลาและค่าใช้จ่าย

ประเมินงานตามระบบสารสนเทศ สถานที่ บริการภายนอก และช่องว่างของมาตรการควบคุม การสแกนช่องโหว่ ทดสอบเจาะระบบ ซื้ออุปกรณ์ และแก้ไขทางวิศวกรรมต้องตกลงแยกกัน ค่าที่ปรึกษาระบบการจัดการไม่ครอบคลุมการปรับปรุงทางเทคนิคทั้งหมด

แต่ละโครงการจะตกลงจำนวนครั้งและความรับผิดชอบในการสัมภาษณ์ ณ สถานประกอบการ การปรับเอกสาร การฝึกอบรม การสนับสนุนการตรวจประเมินภายใน และการติดตามการปรับปรุง ค่าที่ปรึกษาระบบไม่ได้รวมการรับรองโดยบุคคลที่สาม การทดสอบเฉพาะทาง งานวิศวกรรม หรือบริการทางกฎหมายโดยอัตโนมัติ กำหนดการเปลี่ยนใบรับรองเดิมให้สอดคล้องกับมาตรฐานฉบับใหม่ต้องยืนยันกับหน่วยรับรอง