ISO/IEC 27001:2022 ข้อ 10.2 ความไม่สอดคล้องและการปฏิบัติการแก้ไข

ความไม่สอดคล้องในระบบ ISMS ไม่เท่ากับเหตุการณ์ด้านความมั่นคงปลอดภัย

จุดเริ่มต้นที่ทำให้ข้อ 10.2 ถูกใช้ผิดทาง คือการเหมารวมว่าเหตุการณ์ด้านความมั่นคงปลอดภัยสารสนเทศ (information security incident) ทุกเหตุการณ์คือความไม่สอดคล้อง ทั้งที่สองคำนี้ตอบคำถามคนละข้อ

เหตุการณ์ ถามว่าเกิดอะไรขึ้นกับสารสนเทศขององค์กร เช่น มีการเข้าถึงข้อมูลโดยไม่ได้รับอนุญาต มีอีเมลหลอกลวงที่มีผู้กดลิงก์ หรือระบบไม่พร้อมใช้งาน ส่วน ความไม่สอดคล้อง ถามว่ามีข้อกำหนดใดไม่ถูกทำตาม ข้อกำหนดนั้นอาจเป็นข้อกำหนดของตัวมาตรฐานเอง หรือเป็นกฎที่องค์กรกำหนดขึ้นในระบบของตัวเอง เช่น นโยบาย ระเบียบปฏิบัติ หรือเกณฑ์ที่ระบุไว้ในแผนจัดการความเสี่ยง

ความสัมพันธ์ระหว่างสองคำนี้จึงไม่ใช่การซ้อนทับกันพอดี เหตุการณ์บางเหตุการณ์เกิดขึ้นทั้งที่องค์กรทำตามทุกอย่างที่กำหนดไว้ครบถ้วน กรณีนั้นไม่มีความไม่สอดคล้อง แต่อาจมีสัญญาณว่ามาตรการที่เลือกไว้ยังไม่พอ ซึ่งเป็นเรื่องของการทบทวนการประเมินความเสี่ยง ในทางกลับกัน ความไม่สอดคล้องหลายอย่างถูกพบโดยไม่ต้องมีเหตุการณ์ใดเกิดขึ้นเลย เช่น พบจาก การตรวจติดตามภายในตามข้อ 9.2 ว่าการทบทวนสิทธิ์การเข้าถึงตามรอบที่องค์กรกำหนดไว้เองไม่ได้ทำมาสองไตรมาส

ชั้นแรก จัดการสิ่งที่เกิดขึ้นแล้ว และผลที่ตามมา

เมื่อพบความไม่สอดคล้อง มาตรฐานกำหนดให้องค์กรตอบสนองสองทาง ทางแรกคือดำเนินการเพื่อควบคุมและแก้ไขสิ่งที่เกิดขึ้น ทางที่สองคือจัดการกับผลที่ตามมา สองทางนี้ต่างกันและต้องทำทั้งคู่

ในกรณีสมมติข้างต้น การควบคุมและแก้ไขคือการปิดบัญชีทั้งสามทันที ส่วนการจัดการกับผลที่ตามมาคือการตรวจสอบย้อนหลังว่ามีการเข้าใช้งานจากบัญชีเหล่านั้นหรือไม่ มีข้อมูลใดถูกเข้าถึงหรือส่งออก และถ้ามีลูกค้าที่ข้อมูลอาจเกี่ยวข้อง ต้องพิจารณาว่ามีพันธะในการแจ้งหรือไม่ องค์กรที่หยุดอยู่ที่การปิดบัญชีแล้วถือว่าจบ ยังทำไม่ครบครึ่งแรกของข้อนี้

ชั้นแรกนี้เทียบได้กับสิ่งที่มาตรฐานฉบับอื่นเรียกว่าการแก้ไข ซึ่งเป็นคนละอย่างกับการปฏิบัติการแก้ไข ผู้ที่ต้องการทบทวนเส้นแบ่งนี้อีกครั้งสามารถอ่านได้จากบทความ การแก้ไขกับการปฏิบัติการแก้ไขต่างกันอย่างไร ซึ่งใช้ตรรกะเดียวกันแม้จะยกตัวอย่างจากบริบทความปลอดภัยของอาหาร

ชั้นที่สอง ประเมินความจำเป็นในการขจัดสาเหตุ

ข้อความที่ตามมาคือการกำหนดให้องค์กรประเมินความจำเป็นในการดำเนินการเพื่อขจัดสาเหตุของความไม่สอดคล้อง เพื่อไม่ให้เกิดซ้ำหรือเกิดขึ้นที่อื่น โดยการประเมินนั้นทำผ่านการทบทวนและวิเคราะห์ความไม่สอดคล้อง การหาสาเหตุ และการพิจารณาว่ามีความไม่สอดคล้องลักษณะเดียวกันอยู่ที่อื่นหรืออาจเกิดขึ้นได้อีกหรือไม่

คำสำคัญคือ ประเมินความจำเป็น มาตรฐานเปิดทางให้องค์กรสรุปได้ว่าไม่จำเป็นต้องมีการปฏิบัติการแก้ไข ถ้าเหตุผลรองรับหนักแน่นพอ เช่น ความไม่สอดคล้องเกิดจากสถานการณ์เฉพาะที่ไม่มีทางเกิดซ้ำ แต่การใช้ช่องนี้ต้องมีร่องรอยของการคิด ไม่ใช่การเว้นว่างไว้ในแบบฟอร์ม ในทางปฏิบัติ ถ้าเรื่องเดียวกันเคยถูกบันทึกไว้แล้วในรอบก่อน ข้ออ้างว่าเป็นเหตุการณ์เฉพาะจะใช้ไม่ได้อีก

อีกวรรคที่ควรอ่านช้า ๆ คือเงื่อนไขว่าการปฏิบัติการแก้ไขต้องเหมาะสมกับผลกระทบของความไม่สอดคล้องที่พบ ประโยคนี้ทำงานสองทาง ทางหนึ่งคือกันไม่ให้องค์กรตอบเรื่องใหญ่ด้วยมาตรการเล็ก เช่น ตอบความไม่สอดคล้องเชิงระบบด้วยการอบรมย้ำเตือนเพียงอย่างเดียว อีกทางหนึ่งคือกันไม่ให้ตอบเรื่องเล็กด้วยมาตรการใหญ่จนกลายเป็นภาระที่ไม่มีใครทำตามได้จริง

ผลของการหาสาเหตุอาจย้อนกลับไปแตะการประเมินความเสี่ยง

ข้อ 10.2 กำหนดต่อไปว่าองค์กรต้องทบทวนประสิทธิผลของการปฏิบัติการแก้ไขที่ทำไป และต้องเปลี่ยนแปลงระบบ ISMS ถ้าจำเป็น วรรคหลังนี้เป็นจุดที่ข้อ 10.2 เชื่อมกลับไปหาข้อ 6

ถ้าการหาสาเหตุพาไปถึงข้อสรุปว่าความเสี่ยงที่เกี่ยวข้องไม่เคยถูกชี้บ่งไว้เลย หรือถูกประเมินไว้ต่ำกว่าความเป็นจริง ผลที่ตามมาไม่ได้จบที่การเพิ่มขั้นตอนในระเบียบปฏิบัติ แต่ต้องย้อนไปทบทวนผลการประเมินความเสี่ยง และพิจารณาว่าแผนจัดการความเสี่ยงกับ Statement of Applicability ตามข้อ 6.1.3 ยังสะท้อนสิ่งที่องค์กรตัดสินใจไว้จริงหรือไม่ การปฏิบัติการแก้ไขที่หยุดอยู่ที่ระดับขั้นตอนการทำงาน ทั้งที่สาเหตุอยู่ที่ระดับการตัดสินใจเรื่องความเสี่ยง เป็นรูปแบบที่ทำให้เรื่องเดิมกลับมาอีกในรอบถัดไป

หลักฐานที่ต้องเก็บ และการเขียนที่ทำให้ตามรอยได้

ข้อ 10.2 ปิดท้ายด้วยการกำหนดให้เก็บรักษาเอกสารสารสนเทศเป็นหลักฐานสองชุด ชุดแรกคือลักษณะของความไม่สอดคล้องและการดำเนินการที่ทำไป ชุดที่สองคือผลของการปฏิบัติการแก้ไข การแยกเป็นสองชุดมีเหตุผล เพราะชุดแรกบันทึกตอนเปิดเรื่อง ส่วนชุดที่สองบันทึกตอนปิดเรื่องหลังพิสูจน์ผลแล้ว ระบบที่ปิดเรื่องทันทีที่ลงมือทำ โดยยังไม่มีหลักฐานว่าได้ผล จะขาดหลักฐานชุดที่สอง

คุณภาพของการเขียนความไม่สอดคล้องมีผลโดยตรงต่อคุณภาพของการหาสาเหตุ ข้อความที่ระบุแต่ข้อกำหนดโดยไม่ระบุหลักฐานที่พบ หรือระบุแต่หลักฐานโดยไม่ชี้ว่าขัดกับข้อกำหนดใด ทำให้ผู้รับเรื่องต้องเดา แนวทางการเขียนที่ใช้ได้ทั้งกับการตรวจติดตามภายในและกับการบันทึกในระบบ อธิบายไว้แล้วในบทความ การเขียนความไม่สอดคล้องให้ชัดตามแนวทาง ISO 19011

คำถามที่ควรตอบได้

1. ในทะเบียนของเรา เรื่องใดเป็นเหตุการณ์ด้านความมั่นคงปลอดภัย และเรื่องใดเป็นความไม่สอดคล้อง เราแยกสองอย่างนี้ออกจากกันด้วยเกณฑ์อะไร (ที่มา: ข้อ 10.2 ในส่วนนิยามของความไม่สอดคล้อง เทียบกับข้อกำหนดด้านการจัดการเหตุการณ์)
2. สำหรับความไม่สอดคล้องรอบล่าสุด เราบันทึกทั้งการควบคุมแก้ไขสิ่งที่เกิดขึ้น และการจัดการกับผลที่ตามมา ครบทั้งสองส่วนหรือไม่ (ที่มา: ข้อ 10.2 ในส่วนการตอบสนองต่อความไม่สอดคล้อง)
3. เรื่องใดที่เราสรุปว่าไม่จำเป็นต้องมีการปฏิบัติการแก้ไข และเหตุผลที่บันทึกไว้หนักแน่นพอที่จะยืนได้เมื่อเรื่องเดิมกลับมาหรือไม่ (ที่มา: ข้อ 10.2 ในส่วนการประเมินความจำเป็นในการขจัดสาเหตุ)
4. เราตรวจหรือไม่ว่าความไม่สอดคล้องลักษณะเดียวกันมีอยู่ที่หน่วยงานอื่นหรือกระบวนการอื่น และตรวจอย่างไร (ที่มา: ข้อ 10.2 ในส่วนการพิจารณาว่ามีลักษณะเดียวกันอยู่ที่อื่นหรือไม่)
5. มีกี่เรื่องที่ผลการหาสาเหตุนำไปสู่การแก้ไขผลการประเมินความเสี่ยงหรือแผนจัดการความเสี่ยง ไม่ใช่แค่แก้ระเบียบปฏิบัติ (ที่มา: ข้อ 10.2 ในส่วนการเปลี่ยนแปลงระบบ ISMS ถ้าจำเป็น ประกอบกับข้อ 6.1.2 และ 6.1.3)

มาตรฐานความปลอดภัยของอาหารเพิ่มกลไกอีกชั้นหนึ่งนอกเหนือจากความไม่สอดคล้องและการปรับปรุงอย่างต่อเนื่อง เพื่อกลับมาตรวจสอบฐานทางเทคนิคของระบบเป็นระยะ ดูการตีความได้ที่บทความ ISO 22000:2018 ข้อ 10.3 การปรับปรุงระบบการจัดการความปลอดภัยของอาหารให้ทันสมัย

บทความนี้เรียบเรียงขึ้นด้วยถ้อยคำของผู้เรียบเรียงเพื่ออธิบายและตีความข้อกำหนด ไม่ใช่การแปลหรือทำซ้ำเนื้อหาของมาตรฐาน ตัวอย่างทั้งหมดเป็นกรณีสมมติเพื่อประกอบคำอธิบาย การนำไปใช้จริงให้ยึดตัวมาตรฐานฉบับจริงเป็นหลัก