Check GAP ระบบ IT ตาม ISO/IEC 20000-1 และ ISO/IEC 27001 องค์กรต้องเตรียมอะไรบ้าง?

การเตรียมขอการรับรอง ISO/IEC 20000-1:2018 และ ISO/IEC 27001:2022 ไม่ใช่เพียงการจัดทำนโยบาย คู่มือ หรือระเบียบปฏิบัติให้ครบเท่านั้น องค์กรต้องแสดงให้เห็นว่า ระบบได้รับการกำหนดอย่างชัดเจน มีการนำไปใช้จริง มีผู้รับผิดชอบ มีการติดตามผล และมีหลักฐานที่ตรวจสอบย้อนกลับได้

การ ตรวจสอบช่องว่างของระบบ (GAP Assessment) ช่วยให้องค์กรเปรียบเทียบระหว่าง

สิ่งที่องค์กรดำเนินการอยู่ในปัจจุบัน กับสิ่งที่มาตรฐานกำหนด

ก่อนเข้าสู่การตรวจรับรอง องค์กรจึงควรตรวจความพร้อมทั้งด้านเอกสาร ระบบเทคโนโลยีสารสนเทศ การปฏิบัติงานจริง และความเข้าใจของบุคลากร เพราะการตรวจอาจครอบคลุมการเยี่ยมชมพื้นที่ การสังเกตการปฏิบัติงาน และการสัมภาษณ์ผู้ที่เกี่ยวข้อง

หลักการต่อไปนี้สามารถใช้ได้กับทุกองค์กรที่มีบริการด้านเทคโนโลยีสารสนเทศ ไม่ว่าจะเป็นผู้ให้บริการแก่ลูกค้าภายนอก หรือหน่วยงาน IT ที่ให้บริการภายในองค์กร

ISO/IEC 20000-1 และ ISO/IEC 27001 เกี่ยวข้องกันอย่างไร?

ISO/IEC 20000-1:2018

เป็นมาตรฐานสำหรับ ระบบบริหารการบริการ (Service Management System: SMS)

ในบริบทของงาน IT มาตรฐานนี้ครอบคลุมการวางแผน ออกแบบ เปลี่ยนผ่าน ส่งมอบ ปฏิบัติการ เฝ้าติดตาม และปรับปรุงบริการ

บริการในขอบเขตอาจเป็นได้ทั้ง

• ระบบเครือข่าย
• ระบบอีเมล
• ระบบฐานข้อมูล
• ระบบ ERP
• ระบบ Cloud
• ระบบสนับสนุนผู้ใช้งาน
• ระบบสำรองข้อมูล
• ระบบรักษาความมั่นคงปลอดภัยไซเบอร์

ISO/IEC 27001:2022

เป็นมาตรฐานสำหรับ ระบบบริหารความมั่นคงปลอดภัยสารสนเทศ (Information Security Management System: ISMS)

มาตรฐานนี้ใช้บริหารความเสี่ยงที่เกี่ยวข้องกับข้อมูล ระบบสารสนเทศ เครือข่าย ซอฟต์แวร์ บุคลากร สถานที่ และผู้ให้บริการภายนอก

หากองค์กรจัดทำสองมาตรฐานร่วมกัน ควรเชื่อมโยงให้อยู่ภายใต้ ระบบบริหารแบบบูรณาการ (Integrated Management System: IMS) เช่น การเปลี่ยนแปลงระบบอาจส่งผลต่อความพร้อมใช้งานของบริการ ขณะที่เหตุขัดข้องของบริการอาจเกี่ยวข้องกับความมั่นคงปลอดภัยสารสนเทศ

ขั้นตอนที่ 1 ระบุภาพรวมของบริการให้ชัดเจน

องค์กรควรเริ่มจากการทำความเข้าใจว่า มีบริการใดอยู่ในขอบเขต และหน่วยงานใดรับผิดชอบบริการเหล่านั้น

ข้อมูลที่ต้องกำหนด ได้แก่

• ชื่อและรายละเอียดของบริการ
• วัตถุประสงค์ของบริการ
• ลูกค้าหรือผู้ใช้บริการ
• หน่วยงานที่เกี่ยวข้อง
• ระบบและเทคโนโลยีที่ใช้
• สถานที่ให้บริการ
• ผู้ให้บริการภายนอก
• เงื่อนไขของบริการ
• ผลลัพธ์ที่ต้องการจากระบบบริหาร

องค์กรควรครอบคลุมหน่วยงานที่เกี่ยวข้องกับการวางแผน พัฒนาบริการ บริหารสัญญา ออกแบบ ติดตั้ง ปฏิบัติการ เฝ้าติดตาม และสนับสนุนบริการ รวมถึงระบบสนับสนุนและผู้ให้บริการภายนอก

เอกสารที่ควรเตรียม ได้แก่

• ผังองค์กร
• รายละเอียดบริการ
• แผนบริการ
• บัญชีรายการบริการ
• แผนภาพสถาปัตยกรรมระบบ
• แผนภาพเครือข่าย
• รายชื่อระบบสนับสนุน
• รายชื่อผู้ให้บริการภายนอก
• บทบาทและความรับผิดชอบ

ชื่อบริการ หน่วยงาน ระบบ และผู้ให้บริการภายนอกที่ระบุในเอกสารทุกฉบับควรสอดคล้องกัน

ขั้นตอนที่ 2 วิเคราะห์บริบทขององค์กร

องค์กรต้องระบุ ประเด็นภายในและภายนอก (Internal and External Issues) ที่อาจมีผลต่อการให้บริการและความมั่นคงปลอดภัยสารสนเทศ

ประเด็นภายนอกอาจครอบคลุม

• การเมือง
• เศรษฐกิจ
• สังคม
• เทคโนโลยี
• สิ่งแวดล้อม
• กฎหมาย

ประเด็นภายในอาจครอบคลุม

• โครงสร้างและการกำกับดูแล
• ทรัพยากร
• ความสามารถของบุคลากร
• วัฒนธรรมองค์กร
• เทคโนโลยีที่ใช้อยู่
• การสื่อสารระหว่างหน่วยงาน

ประเด็นเหล่านี้ควรถูกนำไปใช้ในการกำหนดขอบเขต การประเมินความเสี่ยง การกำหนดวัตถุประสงค์ และการวางแผนระบบ

การจัดทำ SWOT หรือ PESTEL เพียงอย่างเดียวยังไม่เพียงพอ องค์กรต้องแสดงให้เห็นว่า ผลการวิเคราะห์ถูกนำไปใช้ตัดสินใจหรือปรับปรุงระบบอย่างไร

ขั้นตอนที่ 3 ระบุผู้มีส่วนได้เสียและข้อกำหนดที่เกี่ยวข้อง

องค์กรควรจัดทำทะเบียน ผู้มีส่วนได้เสีย (Interested Parties) ที่เกี่ยวข้องกับ SMS และ ISMS

ผู้มีส่วนได้เสียอาจประกอบด้วย

• หน่วยงานกำกับดูแล
• ลูกค้า
• ผู้ใช้บริการ
• ผู้บริหาร
• พนักงาน
• หน่วยงานภายใน
• ผู้ให้บริการภายนอก
• พันธมิตรทางธุรกิจ
• ผู้รับจ้างช่วง

องค์กรต้องระบุทั้งความต้องการ ความคาดหวัง และข้อกำหนดของแต่ละกลุ่ม ไม่ใช่เพียงจัดทำรายชื่อ

ทะเบียนควรระบุ

• ผู้มีส่วนได้เสียคือใคร
• เกี่ยวข้องกับระบบอย่างไร
• ต้องการอะไรจากบริการ
• มีข้อกำหนดใดที่องค์กรต้องปฏิบัติตาม
• ใครเป็นผู้รับผิดชอบ
• ติดตามข้อกำหนดจากแหล่งใด
• ประเมินการปฏิบัติตามอย่างไร
• ทบทวนด้วยความถี่เท่าใด

องค์กรต้องมีกระบวนการสำหรับระบุ ติดตาม ประเมิน และทบทวนการปฏิบัติตามกฎหมาย ข้อบังคับ สัญญา และข้อกำหนดอื่นที่เกี่ยวข้องอย่างต่อเนื่อง

ขั้นตอนที่ 4 กำหนดขอบเขตของ SMS และ ISMS

องค์กรต้องกำหนดขอบเขตของ

• ระบบบริหารการบริการ
• ระบบบริหารความมั่นคงปลอดภัยสารสนเทศ

ขอบเขตควรระบุให้ชัดเจนว่า ครอบคลุม

• บริการ
• กระบวนการ
• หน่วยงานและหน้าที่งาน
• สถานที่
• ระบบและเครือข่าย
• แอปพลิเคชัน
• ข้อมูลและทรัพย์สินสารสนเทศ
• บุคลากร
• ผู้ให้บริการภายนอก
• กิจกรรมสนับสนุน

องค์กรต้องเชื่อมโยงข้อความแสดงขอบเขตกับบริการ กระบวนการ และหน้าที่งานหลักทั้งหมด

เอกสารประกอบขอบเขตอาจประกอบด้วย

• ข้อความแสดงขอบเขต
• คู่มือ SMS และ ISMS
• แผนภาพสถาปัตยกรรมบริการ
• แผนภาพเครือข่าย
• แผนภาพการไหลของข้อมูล
• ผังกระบวนการ
• ผังองค์กร
• บัญชีรายการบริการ
• ทะเบียนทรัพย์สิน
• รายชื่อผู้ให้บริการภายนอก

ขั้นตอนที่ 5 จัดทำแผนผังความเชื่อมโยงระหว่างกระบวนการ

องค์กรควรจัดทำ แผนผังปฏิสัมพันธ์ระหว่างกระบวนการ (Process Interaction Map) เพื่อแสดงว่าแต่ละกระบวนการเชื่อมโยงกันอย่างไร

กระบวนการที่ควรนำมาแสดง ได้แก่

• การบริหารความเสี่ยง
• การควบคุมเอกสาร
• การบริหารทรัพย์สิน
• การจัดการเหตุขัดข้อง
• การบริหารปัญหา
• การบริหารการเปลี่ยนแปลง
• การบริหารระดับการให้บริการ
• การบริหารผู้ให้บริการภายนอก
• การตรวจติดตามภายใน
• การทบทวนโดยฝ่ายบริหาร
• การแก้ไขและปรับปรุง

กระบวนการสนับสนุน เช่น การบริหารความเสี่ยง การควบคุมเอกสาร และการตรวจติดตามภายใน ต้องเป็นส่วนหนึ่งของระบบ ไม่ใช่แสดงเฉพาะกระบวนการให้บริการ

แต่ละกระบวนการควรระบุ

• ปัจจัยนำเข้า
• กิจกรรม
• ผลลัพธ์
• ผู้รับผิดชอบ
• ตัวชี้วัด
• เอกสารและบันทึก
• ระบบที่ใช้
• กระบวนการต้นทางและปลายทาง

ตัวอย่างเช่น เมื่อผู้ใช้แจ้งเหตุขัดข้อง เจ้าหน้าที่ต้องเปิด Ticket ประเมินลำดับความสำคัญ ดำเนินการแก้ไข และหากเหตุเกิดซ้ำต้องส่งต่อไปยังการบริหารปัญหา หากต้องเปลี่ยนระบบก็ต้องเข้าสู่กระบวนการบริหารการเปลี่ยนแปลง

ขั้นตอนที่ 6 ควบคุมเอกสารและบันทึกให้ครบทุกประเภท

องค์กรต้องควบคุม สารสนเทศที่เป็นลายลักษณ์อักษร (Documented Information) ทั้งเอกสารที่ใช้กำหนดวิธีปฏิบัติงาน และบันทึกที่ใช้ยืนยันผลการดำเนินงาน

เอกสารที่ควรควบคุม ได้แก่

• คู่มือ
• นโยบาย
• ระเบียบปฏิบัติ
• วิธีปฏิบัติงาน
• แบบฟอร์ม
• เอกสารสนับสนุน
• เอกสารภายนอก
• แผน
• บันทึก
• รายงาน

เอกสารสนับสนุน วิธีปฏิบัติงาน และเอกสารภายนอกต้องถูกนำเข้าสู่ระบบควบคุมเอกสารอย่างครบถ้วน

องค์กรควรตรวจสอบ

• การอนุมัติก่อนใช้งาน
• รหัสและชื่อเอกสาร
• หมายเลขฉบับหรือครั้งที่แก้ไข
• วันที่มีผลบังคับใช้
• ผู้จัดทำ ผู้ทบทวน และผู้อนุมัติ
• สิทธิ์การเข้าถึง
• ระดับชั้นความลับ
• การป้องกันการใช้เอกสารล้าสมัย
• ระยะเวลาการเก็บรักษา
• การควบคุมเอกสารภายนอก
• วิธีทำลายหรือกำจัดข้อมูล

ขั้นตอนที่ 7 วางแผนระบบแบบบูรณาการ

องค์กรควรจัดทำแผนดำเนินงานที่ครอบคลุมทั้ง ISO/IEC 20000-1 และ ISO/IEC 27001

แผนอาจอยู่ในรูปแบบ

• โครงสร้างการแบ่งงาน
• แผนภูมิแกนต์
• แผนปฏิบัติการ

แผนควรระบุ

• กิจกรรม
• ผู้รับผิดชอบ
• ระยะเวลา
• สถานะ
• ทรัพยากร
• ผลลัพธ์ที่ต้องการ
• ความเสี่ยงและโอกาส
• วิธีประเมินผล

การวางแผน SMS และ ISMS ต้องพิจารณาความเสี่ยงและโอกาสร่วมกัน ไม่ควรแยกเป็นสองระบบที่ไม่มีความเชื่อมโยง

ขั้นตอนที่ 8 ประเมินความเสี่ยงทั้งด้านบริการและสารสนเทศ

องค์กรต้องประเมินทั้ง

• ความเสี่ยงด้านความมั่นคงปลอดภัยสารสนเทศ
• ความเสี่ยงด้านการบริหารการบริการ

องค์ประกอบที่ควรนำมาพิจารณา ได้แก่

• ผลิตภัณฑ์และบริการ
• กระบวนการ
• เครื่องคอมพิวเตอร์
• ซอฟต์แวร์
• เครื่องเสมือน
• เครือข่าย
• ข้อมูล
• สถานที่
• ระบบสาธารณูปโภคสนับสนุน
• ผู้ให้บริการภายนอก
• บุคลากร

ความเสี่ยงด้านบริการควรครอบคลุม

• ความพร้อมใช้งานของบริการ
• ความต่อเนื่องของบริการ
• ความสามารถในการรองรับปริมาณงาน
• การพึ่งพาผู้ให้บริการภายนอก
• บุคคลหรือหน่วยงานอื่นที่เกี่ยวข้องตลอดวงจรชีวิตบริการ

หลักฐานที่ควรเตรียม ได้แก่

• ระเบียบปฏิบัติการบริหารความเสี่ยง
• วิธีการประเมินความเสี่ยง
• เกณฑ์ผลกระทบ
• เกณฑ์โอกาสเกิด
• เกณฑ์ยอมรับความเสี่ยง
• ทะเบียนความเสี่ยง
• เจ้าของความเสี่ยง
• แผนจัดการความเสี่ยง
• ความเสี่ยงคงเหลือ
• หลักฐานการยอมรับความเสี่ยง

ขั้นตอนที่ 9 ทบทวนเอกสารแสดงการประยุกต์ใช้มาตรการควบคุม

องค์กรต้องจัดทำ เอกสารแสดงการประยุกต์ใช้มาตรการควบคุม (Statement of Applicability: SoA)

เอกสารนี้ต้องระบุ

• มาตรการควบคุมที่เลือกใช้
• มาตรการควบคุมที่ไม่เลือกใช้
• เหตุผลในการเลือกหรือไม่เลือก
• สถานะการนำไปปฏิบัติ

องค์กรควรตรวจสอบว่า

• มาตรการควบคุมเชื่อมโยงกับผลการประเมินความเสี่ยง
• ครอบคลุมกฎหมายและข้อกำหนดตามสัญญา
• เหตุผลของมาตรการควบคุมที่ไม่เลือกใช้มีความเหมาะสม
• สถานะใน SoA ตรงกับการปฏิบัติจริง
• มีการพิจารณามาตรการเพิ่มเติมเมื่อจำเป็น

เหตุผลในการไม่ใช้มาตรการควบคุมต้องสัมพันธ์กับขอบเขต ความเสี่ยง เทคโนโลยี และลักษณะของบริการ

ขั้นตอนที่ 10 จัดทำแผนการบริหารการบริการ

องค์กรต้องจัดทำ แผนการบริหารการบริการ (Service Management Plan) เพื่ออธิบายว่าจะบริหารบริการที่อยู่ในขอบเขตอย่างไร

แผนควรครอบคลุม

• ขอบเขตของระบบและบริการ
• วัตถุประสงค์
• โครงสร้างการบริหาร
• บทบาทและความรับผิดชอบ
• กระบวนการบริหารการบริการ
• ทรัพยากร
• ผู้ให้บริการภายนอก
• ความเสี่ยงและโอกาส
• วิธีวัดผล
• วิธีรายงาน
• การทบทวนและปรับปรุง

แผนการบริหารการบริการควรเชื่อมโยงกับขอบเขต ผังกระบวนการ บัญชีรายการบริการ SLA ทะเบียนความเสี่ยง และ KPI

ขั้นตอนที่ 11 กำหนดนโยบาย วัตถุประสงค์ และตัวชี้วัด

องค์กรควรกำหนดนโยบายที่ครอบคลุมเรื่องสำคัญ เช่น

• การควบคุมการเข้าถึง
• การบริหารทรัพย์สิน
• การบริหารรหัสผ่าน
• การจัดการสื่อบันทึกข้อมูล
• การถ่ายโอนสารสนเทศ
• การเข้ารหัสลับ
• การจัดการเหตุขัดข้อง
• การบริหารการเปลี่ยนแปลง
• ความต่อเนื่องทางธุรกิจ
• การบริหารผู้ให้บริการ
• การบริหารระดับการให้บริการ
• การบริหารขีดความสามารถ
• การบริหารความพร้อมใช้งาน
• การบริหารปัญหา
• การบริหารช่องโหว่ทางเทคนิค
• การป้องกันข้อมูลรั่วไหล

นอกจากนี้ องค์กรต้องกำหนด ตัวชี้วัดผลการดำเนินงานหลัก (Key Performance Indicator: KPI) ที่แสดงประสิทธิผลของ

• กระบวนการ
• มาตรการควบคุม
• วัตถุประสงค์
• ผลการให้บริการ

จำนวนและขอบเขตของ KPI ต้องเพียงพอต่อการประเมินประสิทธิผลของระบบ

KPI ควรระบุเป้าหมาย สูตรคำนวณ แหล่งข้อมูล ความถี่ ผู้รับผิดชอบ และการดำเนินการเมื่อไม่บรรลุเป้าหมาย

ขั้นตอนที่ 12 ดำเนินการตรวจติดตามภายใน

องค์กรต้องดำเนินการ ตรวจติดตามภายใน (Internal Audit) ก่อนเข้าสู่การตรวจรับรอง

หลักฐานที่ควรมี ได้แก่

• โปรแกรมการตรวจติดตามภายใน
• แผนการตรวจ
• ขอบเขตและเกณฑ์การตรวจ
• รายการตรวจ
• หลักฐานความสามารถของผู้ตรวจ
• รายงานผลการตรวจ
• หลักฐานที่ตรวจพบ
• ข้อบกพร่องหรือข้อสังเกต
• การแก้ไขและการดำเนินการแก้ไข
• ผลการติดตาม

การมีเพียงคำสั่งแต่งตั้งผู้ตรวจยังไม่เพียงพอ ต้องมีผลการตรวจและหลักฐานการติดตามแก้ไข

ขั้นตอนที่ 13 จัดทำวิธีปฏิบัติงานด้านการปฏิบัติการบริการ

องค์กรต้องจัดทำวิธีปฏิบัติงานสำหรับ การจัดให้มีบริการ การปฏิบัติการ และการเฝ้าติดตามบริการ (Service Provisioning, Operation and Monitoring)

วิธีปฏิบัติงานควรครอบคลุม

• การเริ่มให้บริการ
• การติดตั้ง
• การกำหนดค่าระบบ
• การเปิดใช้งาน
• การเฝ้าติดตามสถานะบริการ
• การตรวจสอบสัญญาณแจ้งเตือน
• การบริหารสิทธิ์ผู้ใช้งาน
• การรายงานเหตุผิดปกติ
• การยกระดับเหตุการณ์
• การจัดทำบันทึกการปฏิบัติงาน

ขั้นตอนต้องสอดคล้องกับเครื่องมือที่องค์กรใช้จริง เช่น ระบบบริหาร Ticket ระบบเฝ้าติดตาม และระบบบริหารอุปกรณ์

ขั้นตอนที่ 14 จัดทำข้อมูลบริการตลอดวงจรชีวิต

องค์กรควรมี กลุ่มบริการตลอดวงจรชีวิต (Service Portfolio) และ บัญชีรายการบริการ (Service Catalogue) ที่เป็นทางการและเป็นปัจจุบัน

องค์กรต้องกำหนดว่า

• บริการอยู่ในช่วงใดของวงจรชีวิต
• กระบวนการใดดำเนินการโดยบุคคลภายนอก
• ควบคุมแต่ละฝ่ายอย่างไร
• บริการมีข้อกำหนดและเงื่อนไขอะไร
• บริการมีข้อจำกัดอะไร
• ใครเป็นเจ้าของบริการ
• SLA ของบริการคืออะไร

บัญชีรายการบริการต้องครอบคลุมบริการที่อยู่ในขอบเขตทั้งหมด

ขั้นตอนที่ 15 บริหารต้นทุน ความต้องการ และความสัมพันธ์กับผู้ใช้บริการ

องค์กรต้องกำหนดกระบวนการในสามด้านให้ชัดเจน

การจัดทำงบประมาณและบัญชีสำหรับบริการ

ควรกำหนดวิธีจัดสรรต้นทุน งบประมาณ ผู้รับผิดชอบ และวิธีติดตามควบคุมต้นทุน

การบริหารความต้องการใช้บริการ

ควรมีข้อมูลความต้องการ ปริมาณงาน แนวโน้ม การคาดการณ์ และแผนรองรับ

การบริหารความสัมพันธ์ทางธุรกิจ

ควรมีการประชุมกับลูกค้าหรือหน่วยงานผู้ใช้ การทบทวนผลการให้บริการ ผลประเมินความพึงพอใจ ข้อร้องเรียน และแผนดำเนินการ

ขั้นตอนที่ 16 ควบคุมการออกแบบ การเปลี่ยนแปลง และการนำบริการขึ้นใช้งาน

องค์กรต้องกำหนดกระบวนการ

• การออกแบบและเปลี่ยนผ่านบริการ
• การบริหารการเปลี่ยนแปลง
• การบริหารการเผยแพร่และนำขึ้นใช้งาน

กระบวนการควรครอบคลุมตั้งแต่การออกแบบ การสร้าง การทดสอบ การอนุมัติ จนถึงการนำบริการขึ้นใช้งาน

หลักฐานที่ควรมี ได้แก่

• คำขอเปลี่ยนแปลง
• ประเภทของการเปลี่ยนแปลง
• การประเมินผลกระทบ
• การประเมินความเสี่ยง
• การอนุมัติ
• แผนและผลการทดสอบ
• แผนนำขึ้นใช้งาน
• แผนย้อนกลับ
• บันทึกการเผยแพร่
• การทบทวนหลังดำเนินการ
• การปรับปรุงข้อมูลทรัพย์สินและการกำหนดค่า

ขั้นตอนที่ 17 บริหารระดับการให้บริการ

องค์กรต้องดำเนินการ บริหารระดับการให้บริการ (Service Level Management) ไม่ใช่เพียงระบุ SLA ไว้ในสัญญา

กระบวนการต้องครอบคลุม

• การติดตามผลเทียบกับ SLA
• การทบทวนผลการให้บริการ
• การรายงานผล
• การเปรียบเทียบปริมาณงานจริงกับขีดจำกัด
• การดำเนินการเมื่อไม่บรรลุ SLA

หลักฐานที่ควรมี ได้แก่ SLA ฉบับอนุมัติ วิธีคำนวณ แหล่งข้อมูล รายงานผลการให้บริการ รายงานความพร้อมใช้งาน และแผนแก้ไขเมื่อไม่บรรลุ SLA

ขั้นตอนที่ 18 บริหารขีดความสามารถ ความพร้อมใช้งาน และความต่อเนื่องของบริการ

องค์กรต้องแยกการบริหารทั้งสามเรื่องให้ชัดเจน

การบริหารขีดความสามารถ (Capacity Management)

ใช้ติดตามว่าทรัพยากร เช่น หน่วยประมวลผล หน่วยความจำ พื้นที่จัดเก็บข้อมูล Bandwidth ใบอนุญาตใช้งาน และบุคลากร เพียงพอต่อความต้องการหรือไม่

การบริหารความพร้อมใช้งาน (Availability Management)

ใช้ติดตามว่าบริการพร้อมใช้งานตาม SLA หรือเป้าหมายหรือไม่

การบริหารความต่อเนื่องของบริการ (Service Continuity Management)

ใช้เตรียมความต่อเนื่องของบริการให้สามารถดำเนินต่อหรือกู้คืนได้เมื่อเกิดเหตุหยุดชะงัก

องค์กรควรมีข้อมูลปริมาณการใช้งาน แนวโน้ม เกณฑ์แจ้งเตือน บันทึกเวลาหยุดให้บริการ รายงานความพร้อมใช้งาน แผนความต่อเนื่องของบริการ และผลการทดสอบแผน

ขั้นตอนที่ 19 จัดทำการรายงานบริการ

องค์กรต้องจัดทำ การรายงานบริการ (Service Reporting) ให้เป็นกระบวนการอย่างเป็นทางการ

ควรกำหนดว่า

• รายงานข้อมูลอะไร
• รายงานให้ใคร
• รายงานด้วยความถี่เท่าใด
• ใช้ข้อมูลจากระบบใด
• ใครจัดทำ
• ใครทบทวน
• ใครอนุมัติ
• ดำเนินการอย่างไรเมื่อพบแนวโน้มผิดปกติ

ขั้นตอนที่ 20 แยกคำขอบริการ เหตุขัดข้อง และปัญหาให้ชัดเจน

องค์กรไม่ควรรวมทั้งสามกระบวนการเป็นเรื่องเดียวกัน

คำขอบริการ (Service Request)

คำขอให้ดำเนินการตามปกติ เช่น ขอเปิดสิทธิ์ ขอข้อมูล หรือขอเพิ่มผู้ใช้งาน

เหตุขัดข้อง (Incident)

เหตุที่ทำให้บริการหยุดชะงักหรือคุณภาพของบริการลดลง

ปัญหา (Problem)

สาเหตุหรือสาเหตุที่อาจทำให้เกิดเหตุขัดข้อง Incident หนึ่งเหตุการณ์หรือหลายเหตุการณ์

องค์กรต้องกำหนดกระบวนการทั้งสามให้แยกจากกัน และเชื่อมโยงกันอย่างเหมาะสม

หลักฐานควรประกอบด้วย

• บันทึกรายการคำขอหรือเหตุขัดข้อง (Ticket Record)
• ลำดับความสำคัญ (Priority)
• ระดับความรุนแรง (Severity)
• เวลาตอบสนอง
• เวลาแก้ไข
• การยกระดับ
• การวิเคราะห์สาเหตุราก
• บันทึกปัญหา (Problem Record)
• วิธีแก้ไขชั่วคราว
• ข้อผิดพลาดที่ทราบสาเหตุแล้ว

ขั้นตอนที่ 21 เตรียมบุคลากรให้พร้อม

องค์กรต้องมีหลักฐานว่าบุคลากรมีความสามารถและเข้าใจหน้าที่ของตน

หลักฐานควรครอบคลุม

• คำบรรยายลักษณะงาน
• คุณสมบัติประจำตำแหน่ง
• เกณฑ์ความสามารถ
• ผลการประเมินความสามารถ
• แผนฝึกอบรม
• บันทึกการฝึกอบรม
• แผนพัฒนารายบุคคล
• การสร้างความตระหนัก

บุคลากรควรอธิบายได้ว่า

• รับผิดชอบกระบวนการใด
• ใช้เอกสารฉบับใด
• บันทึกข้อมูลในระบบใด
• ต้องรายงานใครเมื่อเกิดเหตุ
• ต้องดำเนินการอย่างไรเมื่อเกิดเหตุขัดข้อง (Incident)
• มีบทบาทอย่างไรต่อ SMS และ ISMS

การตรวจสอบช่องว่างตาม ISO/IEC 20000-1 และ ISO/IEC 27001 สามารถใช้ได้กับทุกองค์กรที่มีบริการ IT ไม่ว่าจะเป็นบริการสำหรับลูกค้าภายนอกหรือบริการสนับสนุนผู้ใช้งานภายใน

ในทุกกระบวนการ องค์กรควรตรวจให้ครบสามเรื่อง

กำหนดระบบให้ชัดเจน

มีนโยบาย แผน ขั้นตอน เกณฑ์ และผู้รับผิดชอบ

นำระบบไปปฏิบัติจริง

บุคลากรเข้าใจหน้าที่และดำเนินงานตามกระบวนการ

จัดเก็บหลักฐานยืนยันผล

มีบันทึกคำขอบริการหรือเหตุขัดข้อง (Ticket) บันทึกการทำงานของระบบ (Log) รายงานผลการดำเนินงาน (Report) บันทึกการอนุมัติ ผลการวัด และผลการเฝ้าติดตามที่สามารถตรวจสอบย้อนกลับได้

เมื่อขอบเขต กระบวนการ เอกสาร บุคลากร และหลักฐานสอดคล้องกัน องค์กรจะสามารถใช้ผลการตรวจสอบช่องว่างเพื่อจัดลำดับสิ่งที่ต้องแก้ไข และเตรียมความพร้อมก่อนเข้าสู่การตรวจรับรองได้อย่างเป็นระบบ

บทความที่เกี่ยวข้อง

• การตรวจประเมินภายในตาม ISO 19011:2026
• ISO/IEC27001:2022 อัพเดทใหม่ มีอะไรเปลี่ยนแปลงบ้าง
• ระบบบริหารความต่อเนื่องทางธุรกิจ (BCM) และ Business Impact Analysis
• DCC คืออะไร? การควบคุมเอกสาร

องค์กรที่กำลังเตรียมเปลี่ยนผ่านระบบสู่ ISO/IEC 27001:2022 ดูเนื้อหาข้อกำหนดและแนวทางเปลี่ยนผ่านแบบละเอียดได้ที่ หลักสูตรข้อกำหนดและการเปลี่ยนผ่าน ISO/IEC 27001:2022