ISO/IEC 27001:2022 Annex A ข้อ 5.7 ข่าวกรองภัยคุกคาม: จากประกาศเตือนสู่ข้อมูลที่ใช้ตัดสินใจ

ISO/IEC 27001:2022 Annex A ข้อ 5.7 ข่าวกรองภัยคุกคาม (Threat intelligence) เป็นหนึ่งในมาตรการควบคุมที่เพิ่มเข้ามาใหม่ในฉบับปี 2022 ตัวมาตรการใน Annex A มีเพียงประโยคเดียว ผู้เรียบเรียงเห็นว่าคำถามที่ตามมาเมื่อนำไปใช้คือ “ประกาศเตือนที่องค์กรได้รับอยู่ นับเป็นข่าวกรองแล้วหรือยัง” บทความนี้อธิบายตัวมาตรการ ความเชื่อมโยงกับกระบวนการประเมินความเสี่ยง และยกกรณีสมมติของบริษัทซอฟต์แวร์ในประเทศไทย

สรุปสั้นก่อน

• มาตรการข้อ 5.7 ว่าด้วยการทำให้ข้อมูลเรื่องภัยคุกคามที่องค์กรได้รับ ผ่านการวิเคราะห์จนเป็นข่าวกรองภัยคุกคาม (threat intelligence)
• ผู้เรียบเรียงเห็นว่าคำที่แยกข่าวสารออกจากข่าวกรองคือ “วิเคราะห์” การส่งต่อประกาศเตือนเข้ากลุ่มแชตโดยไม่มีผู้พิจารณาว่าเกี่ยวกับองค์กรหรือไม่ ยังเป็นเพียงการรวบรวม
• Annex A มีเฉพาะชื่อและข้อความของมาตรการ แนวทางการนำไปใช้อยู่ใน ISO/IEC 27002:2022 ซึ่งเป็นมาตรฐานแนวทาง ไม่ใช่มาตรฐานที่ใช้ตรวจรับรอง

ตัวมาตรการกล่าวถึงอะไร

ผู้เรียบเรียงอ่านมาตรการข้อ 5.7 ว่าน้ำหนักอยู่ที่การวิเคราะห์ ซึ่งเป็นขั้นที่เปลี่ยนข้อมูลดิบให้เป็นข่าวกรอง มาตรการไม่ได้ระบุแหล่งข้อมูล ความถี่ หรือเครื่องมือ การเลือกสิ่งเหล่านี้จึงเป็นการตัดสินใจขององค์กรเอง

แนวทางการนำไปใช้ในรายละเอียดอยู่ใน ISO/IEC 27002:2022 ข้อ 5.7 บทความนี้ไม่ได้สรุปแนวทางในเอกสารฉบับนั้น และขอย้ำว่าคุณลักษณะของมาตรการ (attributes) เป็นเนื้อหาของ ISO/IEC 27002:2022 ไม่ได้อยู่ใน Annex A ของ ISO/IEC 27001:2022

ภัยคุกคาม กับ ช่องโหว่: สองคำที่ผู้เรียบเรียงเห็นว่าต้องแยกให้ออก

คำนิยามทางการของสองคำนี้อยู่ใน ISO/IEC 27000 ไม่ได้อยู่ใน ISO/IEC 27001 ผู้เรียบเรียงขออธิบายด้วยถ้อยคำของตนเองว่า ภัยคุกคาม (threat) เป็นฝั่งของผู้กระทำหรือเหตุการณ์ที่อาจสร้างความเสียหาย เช่น กลุ่มผู้โจมตีที่ส่งอีเมลหลอกลวงไปยังฝ่ายบัญชีของบริษัทไทย ส่วนช่องโหว่ (vulnerability) เป็นฝั่งของจุดอ่อนที่อยู่ในองค์กรเอง เช่น อุปกรณ์ VPN ที่ยังไม่ได้ติดตั้งแพตช์ (patch) Annex A แยกเรื่องทั้งสองไว้คนละมาตรการ ช่องโหว่ทางเทคนิคอยู่ในข้อ 8.8 การจัดการช่องโหว่ทางเทคนิค (Management of technical vulnerabilities)

ผู้เรียบเรียงเห็นว่าสองมาตรการนี้ทำงานเสริมกัน ข่าวกรองภัยคุกคามช่วยให้องค์กรจัดลำดับได้ว่าช่องโหว่ใดกำลังถูกนำไปใช้โจมตีจริงในขณะนั้น ขณะที่รายการช่องโหว่ของทรัพย์สินตนเองช่วยให้องค์กรกรองได้ว่าข่าวภัยคุกคามเรื่องใดเกี่ยวข้องกับตน และเห็นว่าถ้าข้อมูลสองชุดนี้อยู่แยกกันโดยไม่มีผู้นำมาเทียบ ประโยชน์ของทั้งสองมาตรการจะลดลง

ข่าวกรองไปอยู่ตรงไหนในระบบ

ผู้เรียบเรียงเห็นว่าข่าวกรองภัยคุกคามไม่ได้มีคุณค่าในตัวเอง คุณค่าอยู่ที่การนำไปใช้ตัดสินใจในกระบวนการอื่นของระบบการจัดการความมั่นคงปลอดภัยสารสนเทศ (ISMS) ในบทความนี้ผู้เรียบเรียงยกจุดเชื่อมที่ตรวจสอบได้มาสองจุด

จุดแรกคือการประเมินความเสี่ยงตามข้อ 6.1.2 และการดำเนินการประเมินความเสี่ยงตามข้อ 8.2 ซึ่งข้อ 8.2 ไม่ได้ผูกการประเมินไว้กับรอบที่วางแผนไว้เพียงอย่างเดียว แต่รวมถึงกรณีการเปลี่ยนแปลงที่มีนัยสำคัญด้วย ผู้เรียบเรียงเห็นว่าข่าวกรองที่บ่งชี้ภัยคุกคามรูปแบบใหม่ต่อระบบที่องค์กรใช้อยู่ เป็นข้อมูลนำเข้าหนึ่งที่เกี่ยวข้องกับการพิจารณาว่าจะประเมินความเสี่ยงบางรายการใหม่ก่อนถึงรอบหรือไม่

จุดที่สองคือการตัดสินใจเรื่องมาตรการควบคุม ข้อ 6.1.3 กำหนดให้มีถ้อยแถลงการนำไปใช้ (Statement of Applicability) ซึ่งมีเหตุผลของการรวมหรือไม่รวมมาตรการแต่ละข้อ ผู้เรียบเรียงเห็นว่าจุดนี้ทำให้การตัดสินใจเรื่องมาตรการข้อ 5.7 ตรวจย้อนกลับไปยังผลการประเมินความเสี่ยงได้

กรณีสมมติ — บริษัทพัฒนาซอฟต์แวร์บัญชีสำหรับธุรกิจขนาดเล็ก กรุงเทพมหานคร พนักงาน 40 คน

ฝ่ายไอทีของบริษัทสมัครรับประกาศเตือนจากผู้ผลิตอุปกรณ์เครือข่ายและจากหน่วยงานด้านความมั่นคงปลอดภัยไซเบอร์ของรัฐ ประกาศทุกฉบับถูกส่งต่อเข้ากลุ่มแชตของทีมไอทีโดยอัตโนมัติ ในรอบการตรวจติดตามภายใน ผู้ตรวจติดตามพบประกาศสองฉบับในกลุ่มแชต ฉบับแรกเตือนเรื่องช่องโหว่ในอุปกรณ์ VPN รุ่นที่บริษัทใช้อยู่ และระบุว่ามีการโจมตีจริงแล้ว ฉบับที่สองเตือนเรื่องอีเมลหลอกลวงที่แอบอ้างเป็นหน่วยงานภาษีในช่วงยื่นแบบภาษี ซึ่งกลุ่มเป้าหมายคือฝ่ายบัญชีของลูกค้าบริษัท

ประกาศทั้งสองฉบับอยู่ในกลุ่มแชตครบถ้วน คำถามที่ผู้เรียบเรียงเห็นว่าตามมามีดังนี้ ใครเป็นผู้พิจารณาว่าประกาศฉบับแรกเกี่ยวข้องกับอุปกรณ์ของบริษัท และมีบันทึกการตัดสินใจนั้นหรือไม่ ประกาศฉบับที่สองไปถึงบุคลากรคนใดนอกทีมไอทีบ้าง และบัญชีความเสี่ยงของบริษัทมีรายการใดเปลี่ยนไปหลังได้รับประกาศทั้งสองฉบับ

สิ่งที่มาตรการไม่ได้กำหนด

มาตรการข้อ 5.7 ไม่ได้กำหนดให้ซื้อบริการข่าวกรองเชิงพาณิชย์ ไม่ได้กำหนดจำนวนแหล่งข้อมูล และไม่ได้กำหนดรูปแบบรายงาน ผู้เรียบเรียงเห็นว่าจำนวนแหล่งข้อมูล หรือการมีบริการข่าวกรองที่ซื้อมา ไม่ได้บอกด้วยตัวเองว่ามีการวิเคราะห์เกิดขึ้นแล้ว และเห็นว่าความเหมาะสมของมาตรการนี้วัดด้วยเกณฑ์เดียวกับมาตรการอื่นใน Annex A คือความได้สัดส่วนกับความเสี่ยงที่องค์กรประเมินไว้

ผู้เรียบเรียงเห็นว่าการนำข่าวกรองไปสื่อสารแก่บุคลากรภายในที่เกี่ยวข้อง เชื่อมโยงกับข้อ 7.4 การสื่อสาร (Communication) และข้อ 7.3 ความตระหนัก (Awareness) ด้วย ผู้อ่านที่ต้องการรายละเอียดอ่านต่อได้ในบทความ ISO/IEC 27001:2022 ข้อ 7.4 การสื่อสาร

คำถามที่ควรตอบได้

1. ข่าวกรองภัยคุกคามเรื่องใดที่ทำให้องค์กรตัดสินใจเปลี่ยนแปลงบางอย่าง และหลักฐานของการตัดสินใจนั้นอยู่ที่ใด
   ที่มา: ข้อ 8.2 การประเมินความเสี่ยงด้านความมั่นคงปลอดภัยสารสนเทศ; Annex A ข้อ 5.7 ข่าวกรองภัยคุกคาม
2. เมื่อได้รับประกาศเตือนเรื่องช่องโหว่ที่มีการโจมตีจริงแล้ว องค์กรใช้ข้อมูลใดยืนยันว่าประกาศนั้นเกี่ยวข้องหรือไม่เกี่ยวข้องกับทรัพย์สินของตน
   ที่มา: Annex A ข้อ 8.8 การจัดการช่องโหว่ทางเทคนิค; Annex A ข้อ 5.7 ข่าวกรองภัยคุกคาม
3. เหตุผลที่ระบุไว้ในถ้อยแถลงการนำไปใช้สำหรับมาตรการข้อ 5.7 สอดคล้องกับสิ่งที่เกิดขึ้นจริงในองค์กรหรือไม่
   ที่มา: ข้อ 6.1.3 การจัดการความเสี่ยงด้านความมั่นคงปลอดภัยสารสนเทศ

ข้อความเต็มของมาตรการและข้อกำหนดที่อ้างถึงข้างต้น ผู้อ่านต้องเปิดจากตัวมาตรฐาน ISO/IEC 27001:2022

อ่านต่อในบทความที่เกี่ยวข้อง

• ISO/IEC 27001 ข้อ 6.1.2 การประเมินความเสี่ยงด้านความมั่นคงปลอดภัยสารสนเทศ
• ISO/IEC 27001 ข้อ 8.2 การประเมินความเสี่ยงด้านความมั่นคงปลอดภัยสารสนเทศ
• ISO/IEC 27001 ข้อ 6.1.3 การจัดการความเสี่ยงด้านความมั่นคงปลอดภัยสารสนเทศ
• ISO/IEC 27001:2022 Annex A หมวดการควบคุมมีไว้ให้หาเจอ ไม่ได้มีไว้ให้ไล่ให้ครบ
• ISO/IEC 27001:2022 Annex A ข้อ 5.23 การใช้บริการคลาวด์
• การตรวจรับรอง ISO/IEC 27001 กับ EQA

บทความนี้เรียบเรียงขึ้นด้วยถ้อยคำของผู้เรียบเรียงเพื่ออธิบายและตีความข้อกำหนดของ ISO/IEC 27001:2022 ไม่ใช่การแปลหรือทำซ้ำเนื้อหาของมาตรฐาน หรือของ ISO/IEC 27002:2022 ตัวอย่างทั้งหมดเป็นกรณีสมมติเพื่อประกอบคำอธิบาย การนำไปใช้จริงให้ยึดตัวมาตรฐานฉบับจริงเป็นหลัก