นโยบายความมั่นคงปลอดภัยสารสนเทศ ตีความข้อ 5.2 ของ ISO/IEC 27001:2022

นโยบายในข้อ 5.2 คือเอกสารแบบไหน

ความเข้าใจคลาดเคลื่อนที่พบได้ในการตรวจประเมินคือการนำกฎระเบียบทุกเรื่องมารวมไว้ในเอกสารฉบับเดียวแล้วเรียกว่านโยบาย ผลคือได้เอกสารหนาหลายสิบหน้าที่ไม่มีใครอ่านจบ และเปลี่ยนแปลงยากเพราะทุกครั้งที่แก้รายละเอียดเล็กน้อยต้องขออนุมัติจากผู้บริหารระดับสูงใหม่

เจตนาของข้อ 5.2 คือนโยบายระดับบนสุดของ ISMS ที่บอกว่าองค์กรให้ความสำคัญกับความมั่นคงปลอดภัยสารสนเทศอย่างไร และวางกรอบให้เรื่องที่เหลือไปต่อได้ ส่วนรายละเอียดเชิงปฏิบัติควรอยู่ในเอกสารระดับรองที่แก้ไขได้คล่องกว่า

ความยาวไม่ใช่ตัวชี้วัดคุณภาพ นโยบายที่ดีอาจยาวเพียงหนึ่งถึงสองหน้า ตราบใดที่สิ่งที่ข้อกำหนดขอให้มีอยู่ครบและอ่านแล้วรู้ว่าองค์กรยืนอยู่ตรงไหน

สี่สิ่งที่นโยบายต้องทำให้เกิด

เมื่ออ่านข้อ 5.2 โดยจับที่เจตนา จะเห็นว่ามาตรฐานขอให้นโยบายทำงานสี่อย่างพร้อมกัน

อย่างแรกคือความเหมาะสมกับวัตถุประสงค์ขององค์กร นโยบายของผู้ให้บริการประมวลผลข้อมูลกับของโรงงานผลิตย่อมไม่เหมือนกัน เพราะสิ่งที่ต้องปกป้องและแรงกดดันจากภายนอกต่างกัน

อย่างที่สองคือการเป็นกรอบให้กำหนดวัตถุประสงค์ด้านความมั่นคงปลอดภัยสารสนเทศ ข้อนี้เชื่อมตรงไปยังข้อ 6.2 ถ้านโยบายเขียนกว้างจนไม่ให้ทิศทางใด ๆ วัตถุประสงค์ที่ตั้งขึ้นภายหลังจะไม่มีที่ยึด

อย่างที่สามคือพันธะที่จะทำให้เป็นไปตามข้อกำหนดที่เกี่ยวข้อง ซึ่งครอบคลุมทั้งกฎหมาย สัญญากับลูกค้า และข้อกำหนดที่องค์กรรับมาเอง

อย่างที่สี่คือพันธะที่จะปรับปรุง ISMS อย่างต่อเนื่อง ซึ่งเชื่อมไปยังหมวดที่ 10

ทำไมคำว่า เหมาะสมกับวัตถุประสงค์ขององค์กร จึงสำคัญ

คำนี้เป็นจุดที่แยกนโยบายที่ใช้งานได้ออกจากนโยบายที่คัดลอกมา ผู้ตรวจประเมินไม่ได้ตรวจว่าถ้อยคำสวยหรือไม่ แต่ตรวจว่าสิ่งที่เขียนไว้สอดคล้องกับสิ่งที่พบในข้อ 4.1 เรื่องบริบทองค์กร ข้อ 4.2 เรื่องความต้องการของผู้มีส่วนได้ส่วนเสีย และข้อ 4.3 เรื่องขอบเขตของ ISMS หรือไม่

ตัวอย่างของความไม่สอดคล้องที่ตรวจพบได้ เช่น นโยบายกล่าวถึงการปกป้องข้อมูลบัตรชำระเงินทั้งที่องค์กรไม่ได้ประมวลผลข้อมูลประเภทนั้นเลย หรือนโยบายไม่กล่าวถึงการทำงานจากภายนอกสำนักงานทั้งที่พนักงานส่วนหนึ่งทำงานแบบผสมและมีการเข้าถึงระบบจากภายนอก

นโยบายระดับบน กับ นโยบายเฉพาะเรื่อง

เมื่อ ISMS มีขอบเขตกว้างขึ้น เอกสารฉบับเดียวจะรองรับรายละเอียดไม่ไหว โครงสร้างที่ช่วยให้ระบบไม่แข็งเกินไปคือการแยกนโยบายระดับบนตามข้อ 5.2 ออกจากนโยบายเฉพาะเรื่องที่ลงรายละเอียดในแต่ละหัวข้อ

โครงสร้างแบบนี้ทำให้การปรับรายละเอียดไม่ต้องรื้อเอกสารที่ผู้บริหารอนุมัติทุกครั้ง และทำให้ผู้ปฏิบัติงานได้อ่านเฉพาะสิ่งที่เกี่ยวกับตนเอง

การทำให้พร้อมใช้ สื่อสาร และเข้าถึงได้

ข้อ 5.2 ไม่ได้จบที่การอนุมัติ มาตรฐานขอให้นโยบายอยู่ในรูปเอกสารสารสนเทศ สื่อสารภายในองค์กร และทำให้ผู้มีส่วนได้ส่วนเสียที่เกี่ยวข้องเข้าถึงได้ตามความเหมาะสม

คำว่าตามความเหมาะสมเปิดให้องค์กรใช้ดุลพินิจ แต่ดุลพินิจนั้นต้องมีเหตุผล ตัวอย่างของการตัดสินใจที่อธิบายได้ เช่น เผยแพร่นโยบายฉบับเต็มภายในองค์กร และเผยแพร่ฉบับย่อที่ไม่มีรายละเอียดเชิงเทคนิคบนเว็บไซต์สำหรับลูกค้าและคู่ค้า พร้อมบันทึกเหตุผลของการแบ่งแบบนั้นไว้

ส่วนคำว่าสื่อสารภายใน หมายถึงมากกว่าการวางไฟล์ไว้บนระบบเอกสารกลาง เพราะการเข้าถึงได้ไม่เท่ากับการรับรู้ หลักฐานที่มีน้ำหนักคือร่องรอยว่าพนักงานได้รับทราบและเข้าใจสาระของนโยบาย ซึ่งเชื่อมไปยังข้อ 7.3 เรื่องความตระหนัก

ความเชื่อมโยงกับข้ออื่นที่ควรตรวจพร้อมกัน

เมื่อทบทวนข้อ 5.2 ควรเปิดดูข้ออื่นควบคู่ไปด้วย ได้แก่ ข้อ 5.1 เพื่อดูว่าผู้บริหารระดับสูงแสดงความเป็นผู้นำผ่านอะไรบ้างนอกจากการลงนาม ข้อ 6.2 เพื่อดูว่าวัตถุประสงค์ที่ตั้งไว้สืบย้อนกลับมาถึงนโยบายได้หรือไม่ ข้อ 7.4 เพื่อดูแผนการสื่อสาร และข้อ 9.3 เพื่อดูว่าการทบทวนนโยบายถูกนำเข้าสู่การทบทวนของฝ่ายบริหารตามรอบหรือไม่

อ่านต่อเรื่องการจัดการความเสี่ยงและเอกสาร Statement of Applicability ได้ที่ ISO/IEC 27001 ข้อ 6.1.3 การจัดการความเสี่ยงและการจัดทำ SoA และเรื่องการตรวจติดตามภายในที่ ISO/IEC 27001:2022 ข้อ 9.2 การตรวจประเมินภายในของ ISMS

คำถามที่ควรตอบได้

1. สาระในนโยบายสอดคล้องกับบริบทและขอบเขตที่องค์กรกำหนดไว้อย่างไร (ที่มา ข้อ 5.2 ประกอบข้อ 4.1 ถึง 4.3)
2. วัตถุประสงค์ด้านความมั่นคงปลอดภัยสารสนเทศที่ตั้งไว้ สืบย้อนกลับไปยังข้อความใดในนโยบาย (ที่มา ข้อ 5.2 เชื่อมข้อ 6.2)
3. นโยบายระบุพันธะเรื่องการปฏิบัติตามข้อกำหนดที่เกี่ยวข้องและการปรับปรุงต่อเนื่องไว้ที่ใด (ที่มา ข้อ 5.2)
4. องค์กรตัดสินใจอย่างไรว่าจะเปิดเผยนโยบายส่วนใดต่อผู้มีส่วนได้ส่วนเสียภายนอก และมีเหตุผลบันทึกไว้หรือไม่ (ที่มา ข้อ 5.2 ประกอบข้อ 7.4)
5. มีหลักฐานอะไรว่าพนักงานรับรู้สาระของนโยบาย ไม่ใช่เพียงรู้ว่านโยบายเก็บอยู่ที่ใด (ที่มา ข้อ 5.2 เชื่อมข้อ 7.3)

บทความนี้เรียบเรียงขึ้นด้วยถ้อยคำของผู้เรียบเรียงเพื่ออธิบายและตีความข้อกำหนด ไม่ใช่การแปลหรือทำซ้ำเนื้อหาของมาตรฐาน ตัวอย่างทั้งหมดเป็นกรณีสมมติเพื่อประกอบคำอธิบาย การนำไปใช้จริงให้ยึดตัวมาตรฐานฉบับจริงเป็นหลัก