ISO/IEC 27001:2022 ภาคผนวก A ข้อ 6.7 การทำงานระยะไกล: เมื่อขอบเขตของ ISMS ขยายออกนอกสถานที่ขององค์กร

ISO/IEC 27001:2022 ภาคผนวก A ข้อ 6.7 การทำงานระยะไกล (Remote working) เป็นการควบคุมในหมวดการควบคุมด้านบุคลากร (People controls) ข้อความของการควบคุมมีใจความเดียวคือการคุ้มครองสารสนเทศเมื่อบุคลากรทำงานนอกสถานที่ขององค์กร ผู้เรียบเรียงเห็นว่าข้อนี้เป็นการควบคุมที่ขอบเขตทางกายภาพของระบบการจัดการความมั่นคงปลอดภัยสารสนเทศ (ISMS) ขยายออกไปพ้นสถานที่ขององค์กร บทความนี้อธิบายสถานะของข้อ 6.7 ใน ISMS วลีใดในข้อนี้ที่ผู้เรียบเรียงเห็นว่ามีน้ำหนัก ความเชื่อมโยงกับกฎหมายแรงงานไทยที่แก้ไขในปี 2023 และกรณีสมมติของบริษัทซอฟต์แวร์ในประเทศไทย

สรุปสั้นก่อน

• การควบคุมในภาคผนวก A ไม่ได้บังคับใช้โดยอัตโนมัติ ข้อใดจำเป็นหรือไม่และเพราะเหตุใด ปรากฏในเอกสารแสดงการนำไปใช้ (Statement of Applicability, SoA) ตามข้อ 6.1.3
• ผู้เรียบเรียงเห็นว่าในกริยาสามคำที่ข้อ 6.7 ใช้กับสารสนเทศ คำว่า “จัดเก็บ” เป็นจุดที่การควบคุมอ่อนลงได้เมื่อการทำงานย้ายออกจากสำนักงาน
• ISO/IEC 27001:2022 ไม่ได้ให้นิยามของการทำงานระยะไกลไว้ในภาคผนวก A แนวทางการนำไปใช้อยู่ใน ISO/IEC 27002:2022 ซึ่งเป็นเอกสารแนะนำ ไม่ใช่มาตรฐานที่ใช้ตรวจรับรอง มาตรฐานจึงไม่ได้กำหนดว่าสถานการณ์ใดนับเป็นการทำงานระยะไกล ผู้เรียบเรียงเห็นว่าขอบเขตที่ปรากฏในเอกสารขององค์กรจึงเป็นสิ่งที่ผู้ตรวจประเมินอ่านจากองค์กรนั้นเอง

สถานะของข้อ 6.7 ใน ISMS

ข้อ 6.1.3 กำหนดให้ผลการเลือกการควบคุมและเหตุผลปรากฏใน SoA ข้อ 6.7 จึงมีสถานะเดียวกับการควบคุมอื่นในภาคผนวก A คือ องค์กรเป็นผู้สรุปว่าจำเป็นหรือไม่ และเหตุผลของข้อสรุปนั้นเป็นสิ่งที่ตรวจสอบได้

ผู้เรียบเรียงเห็นว่าประเด็นที่มีน้ำหนักในการตรวจประเมินคือความสอดคล้องระหว่างเหตุผลใน SoA กับสภาพการทำงานจริง องค์กรที่ระบุใน SoA ว่าข้อ 6.7 ไม่จำเป็นเพราะ “พนักงานทำงานที่สำนักงานทั้งหมด” ขณะที่ทีมขายพกโน้ตบุ๊กไปพบลูกค้าและวิศวกรบริการเข้าถึงระบบของลูกค้าจากหน้างาน ข้อความใน SoA นั้นยังไม่ตรงกับสิ่งที่เกิดขึ้น และคำถามอาจย้อนกลับไปที่การประเมินความเสี่ยงตามข้อ 6.1.2 ว่าได้พิจารณาสถานการณ์เหล่านี้หรือไม่

ผู้เรียบเรียงเห็นว่าคำว่า “ระยะไกล” ในข้อนี้อ่านได้กว้างกว่าการทำงานที่บ้าน การทำงานจากที่พักระหว่างเดินทาง การทำงานที่สถานที่ของลูกค้า และการใช้พื้นที่ทำงานร่วม (co-working space) ล้วนเป็นสถานการณ์ที่สารสนเทศอยู่นอกสถานที่ขององค์กร ขอบเขตที่องค์กรยึดถือจึงเป็นสิ่งที่ผู้ตรวจประเมินอาจถามถึงเป็นลำดับแรก

ผู้เรียบเรียงเห็นว่ากริยาสามคำในข้อ 6.7 มีน้ำหนักต่างกัน

ข้อ 6.7 ใช้กริยาสามคำกับสารสนเทศ คือ เข้าถึง (accessed) ประมวลผล (processed) และจัดเก็บ (stored) ผู้เรียบเรียงเห็นว่าสามคำนี้ชี้ไปที่สถานการณ์ที่ต่างกัน การเข้าถึง เช่น การเปิดระบบวางแผนทรัพยากรองค์กร (ERP) ผ่านเครือข่ายส่วนตัวเสมือน (VPN) จากบ้าน สารสนเทศยังอยู่ในระบบขององค์กร การประมวลผล เช่น การแก้ไขเอกสารบนเครื่องคอมพิวเตอร์ที่องค์กรจัดให้ สารสนเทศอยู่บนอุปกรณ์ที่องค์กรควบคุมได้ ส่วนการจัดเก็บ เช่น การดาวน์โหลดสำเนาฐานข้อมูลลูกค้าไว้ในเครื่องส่วนตัวเพื่อทำงานตอนที่อินเทอร์เน็ตไม่เสถียร หรือการพิมพ์เอกสารออกมาอ่านที่บ้าน สารสนเทศได้ออกจากสภาพแวดล้อมที่องค์กรควบคุมแล้ว

ผู้เรียบเรียงเห็นว่านโยบายที่กล่าวถึงเฉพาะช่องทางการเข้าถึงและอุปกรณ์ที่องค์กรจัดให้ อาจถูกอ่านว่าครอบคลุมสองกริยาแรก ขณะที่สำเนาที่บุคลากรสร้างขึ้นเองนอกสถานที่เป็นสิ่งที่ผู้ตรวจประเมินอาจถามถึงแยกต่างหาก และเห็นว่านี่คือจุดที่การอ่านข้อ 6.7 ทีละคำให้ผลต่างจากการอ่านเป็นหัวข้อโดยรวมว่า “นโยบายทำงานที่บ้าน”

ความเชื่อมโยงกับกฎหมายแรงงานไทย

พระราชบัญญัติคุ้มครองแรงงาน (ฉบับที่ 8) ปี 2023 ซึ่งมีผลใช้บังคับตั้งแต่วันที่ 18 เมษายน 2023 เพิ่มมาตรา 23/1 เปิดให้นายจ้างและลูกจ้างอาจตกลงกันเป็นหนังสือหรือข้อมูลอิเล็กทรอนิกส์ ให้ลูกจ้างทำงานนอกสถานประกอบกิจการหรือนอกสำนักงานได้โดยใช้เทคโนโลยีสารสนเทศ และข้อตกลงดังกล่าวอาจกำหนดรายละเอียด เช่น ช่วงเวลา วันและเวลาทำงาน อุปกรณ์และค่าใช้จ่าย ผู้เรียบเรียงเห็นว่าในองค์กรที่ได้ทำข้อตกลงตามมาตรานี้ ข้อตกลงดังกล่าวเป็นเอกสารที่ผู้ตรวจประเมินอาจขอดู เพราะเป็นหลักฐานว่าองค์กรรับรู้ว่ามีการทำงานระยะไกลเกิดขึ้นในระดับที่เป็นทางการ

ข้อตกลงตามมาตรา 23/1 ไม่ได้มีเนื้อหาเรื่องความมั่นคงปลอดภัยสารสนเทศเป็นข้อบังคับ ผู้เรียบเรียงเห็นว่าองค์กรที่มีข้อตกลงลักษณะนี้ แต่ข้อตกลงและเอกสารประกอบไม่กล่าวถึงสารสนเทศเลย ยังไม่ได้ตอบคำถามของข้อ 6.7 ด้วยเอกสารฉบับนั้น คำตอบอาจอยู่ในเอกสารอื่นขององค์กร ซึ่งผู้ตรวจประเมินอาจถามว่าเอกสารเหล่านั้นไปถึงผู้ที่ทำงานนอกสถานที่แล้วหรือไม่ ตามข้อ 7.3 และข้อ 7.4

สำหรับองค์กรที่ประมวลผลข้อมูลส่วนบุคคลนอกสถานที่ พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล (ประกาศปี 2019) กำหนดหน้าที่ของผู้ควบคุมข้อมูลในเรื่องมาตรการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล ผู้เรียบเรียงเห็นว่าการทำงานระยะไกลจึงไม่ได้เป็นเพียงประเด็นของภาคผนวก A แต่เป็นข้อกำหนดกฎหมายที่เข้ามาในบริบทของข้อ 4.2 ด้วย

กรณีสมมติ — บริษัทซอฟต์แวร์ จังหวัดเชียงใหม่

บริษัทขนาดเล็ก ทำงานแบบผสมระหว่างสำนักงานกับที่บ้าน SoA ระบุว่าข้อ 6.7 นำไปใช้ โดยอ้างถึงนโยบายการทำงานนอกสถานที่ซึ่งกำหนดให้ใช้ VPN และเครื่องคอมพิวเตอร์ที่บริษัทจัดให้ ระหว่างการตรวจประเมิน ทีมสนับสนุนลูกค้าอธิบายว่าเมื่อลูกค้าแจ้งปัญหาช่วงกลางคืน พนักงานเข้าถึงฐานข้อมูลของลูกค้าผ่านเครื่องส่วนตัวจากร้านกาแฟ เพราะเครื่องของบริษัทอยู่ที่สำนักงาน และนักพัฒนาคนหนึ่งให้ข้อมูลว่าตนคัดลอกข้อมูลจริงบางส่วนมาไว้ในเครื่องเพื่อทดสอบโปรแกรมที่บ้าน

ผู้เรียบเรียงเห็นว่ากรณีนี้แสดงช่องว่างสองชั้น ชั้นแรกคือช่องว่างระหว่างนโยบายกับการปฏิบัติ ซึ่งเป็นคำถามของข้อ 7.3 และข้อ 9.1 ชั้นที่สองคือช่องว่างในการประเมินความเสี่ยงเอง เพราะสถานการณ์ “ตอบปัญหาลูกค้านอกเวลาทำการจากอุปกรณ์ที่ไม่ใช่ของบริษัท” อาจไม่เคยถูกระบุเป็นความเสี่ยงตามข้อ 6.1.2 คำถามที่ตามมาจึงไม่ใช่เพียงว่าพนักงานทำผิดนโยบายหรือไม่ แต่เป็นว่าองค์กรรู้หรือไม่ว่างานลักษณะนี้เกิดขึ้น และการรู้นั้นไปถึงการประเมินความเสี่ยงหรือยัง

ข้อ 6.7 กับการควบคุมข้ออื่นในภาคผนวก A

ผู้เรียบเรียงเห็นว่าข้อ 6.7 ไม่ได้ทำงานโดยลำพัง เมื่อองค์กรนิยามการทำงานระยะไกลแล้ว การควบคุมอื่นที่ถูกอ้างถึงตามมาคือ ข้อ 8.1 อุปกรณ์ปลายทางของผู้ใช้ (User endpoint devices) สำหรับอุปกรณ์ที่ใช้นอกสถานที่ ข้อ 5.23 ความมั่นคงปลอดภัยสารสนเทศสำหรับการใช้บริการคลาวด์ (Information security for use of cloud services) เมื่อการทำงานระยะไกลพึ่งบริการคลาวด์ และข้อ 6.3 ความตระหนัก การศึกษา และการฝึกอบรมด้านความมั่นคงปลอดภัยสารสนเทศ (Information security awareness, education and training) สำหรับผู้ที่ทำงานนอกสถานที่ขององค์กร

ผู้เรียบเรียงเห็นว่าการที่การควบคุมหลายข้อเกี่ยวข้องพร้อมกันไม่ได้หมายความว่าต้องมีเอกสารหลายฉบับ เพราะจำนวนเอกสารไม่ใช่สิ่งที่มาตรฐานกำหนด และเห็นว่าคำถามที่ผู้ตรวจประเมินอาจถามคือ ผู้ที่ทำงานนอกสถานที่จริงอธิบายได้หรือไม่ว่าตนทำอะไรกับสารสนเทศได้และไม่ได้ รายละเอียดของข้อ 5.23 อ่านต่อได้ที่ ISO/IEC 27001:2022 Annex A ข้อ 5.23 การใช้บริการคลาวด์ และภาพรวมของภาคผนวก A อยู่ในบทความ ISO/IEC 27001:2022 Annex A หมวดการควบคุมมีไว้ให้หาเจอ ไม่ได้มีไว้ให้ไล่ให้ครบ

คำถามที่ควรตอบได้

1. หากสุ่มพนักงานหนึ่งคนที่ทำงานนอกสถานที่ในสัปดาห์นี้ พนักงานคนนั้นอธิบายได้หรือไม่ว่าสารสนเทศประเภทใดที่ตนนำออกนอกสถานที่ได้ และประเภทใดที่ไม่ได้
   ที่มา: ภาคผนวก A ข้อ 6.7 การทำงานระยะไกล; ข้อ 7.3 ความตระหนัก
2. ข้อตกลงการทำงานนอกสถานประกอบกิจการตามกฎหมายแรงงานขององค์กร (ถ้ามี) เชื่อมกับเอกสารด้านความมั่นคงปลอดภัยสารสนเทศฉบับใด หรือยังไม่เชื่อมกับฉบับใดเลย
   ที่มา: ข้อ 4.2 การทำความเข้าใจความต้องการและความคาดหวังของผู้มีส่วนได้ส่วนเสีย; ภาคผนวก A ข้อ 6.7 การทำงานระยะไกล
3. เหตุผลที่ระบุใน SoA สำหรับข้อ 6.7 ยังตรงกับรูปแบบการทำงานปัจจุบันขององค์กรหรือไม่ และการทบทวนล่าสุดเกิดขึ้นเมื่อใด
   ที่มา: ข้อ 6.1.3 การจัดการกับความเสี่ยงด้านความมั่นคงปลอดภัยสารสนเทศ; ภาคผนวก A ข้อ 6.7 การทำงานระยะไกล

ข้อความเต็มของข้อกำหนดและการควบคุมที่อ้างถึงข้างต้น ผู้อ่านต้องเปิดจากตัวมาตรฐาน ISO/IEC 27001:2022

อ่านต่อในบทความที่เกี่ยวข้อง

• ISO/IEC 27001:2022 Annex A หมวดการควบคุมมีไว้ให้หาเจอ ไม่ได้มีไว้ให้ไล่ให้ครบ
• ISO/IEC 27001 ข้อ 6.1.3 การจัดการความเสี่ยงและการจัดทำ SoA
• ISO/IEC 27001:2022 ข้อ 7.2 ความสามารถ และข้อ 7.3 ความตระหนัก ต่างกันอย่างไร
• ISO/IEC 27001:2022 Annex A ข้อ 5.23 การใช้บริการคลาวด์
• การตรวจรับรอง ISO/IEC 27001 กับ EQA

บทความนี้เรียบเรียงขึ้นด้วยถ้อยคำของผู้เรียบเรียงเพื่ออธิบายและตีความข้อกำหนดของ ISO/IEC 27001:2022 ไม่ใช่การแปลหรือทำซ้ำเนื้อหาของมาตรฐาน ตัวอย่างทั้งหมดเป็นกรณีสมมติเพื่อประกอบคำอธิบาย การนำไปใช้จริงให้ยึดตัวมาตรฐานฉบับจริงและตัวบทกฎหมายฉบับจริงเป็นหลัก