ISO/IEC 27001:2022 ข้อ 4.1–4.3 บริบทองค์กรและการกำหนดขอบเขต ISMS — อธิบายและตีความข้อกำหนด

คำว่าประเด็นในข้อ 4.1 หมายถึงอะไรในบริบทของ ISMS

ข้อ 4.1 ขอให้องค์กรกำหนดประเด็นภายนอกและภายในที่เกี่ยวข้องกับวัตถุประสงค์ขององค์กร และที่มีผลต่อความสามารถในการบรรลุผลลัพธ์ที่ตั้งใจไว้ของ ISMS ประโยคท้ายคือส่วนที่คัดกรอง ประเด็นที่ไม่มีผลต่อความสามารถในการรักษาความลับ ความถูกต้องครบถ้วน และความพร้อมใช้ของสารสนเทศ ไม่จำเป็นต้องอยู่ในรายการนี้

ในทางปฏิบัติ การวิเคราะห์บริบทที่ใช้งานได้จริงจะแยกได้เป็นสามกลุ่ม กลุ่มแรกคือประเด็นที่เปลี่ยนภาพภัยคุกคาม เช่น การเปิดให้พนักงานทำงานจากภายนอกสำนักงาน หรือการเปลี่ยนไปใช้บริการประมวลผลแบบคลาวด์ กลุ่มที่สองคือประเด็นที่เปลี่ยนข้อผูกพัน เช่น กฎหมายคุ้มครองข้อมูลส่วนบุคคล หรือเงื่อนไขในสัญญากับลูกค้าองค์กร กลุ่มที่สามคือประเด็นที่เปลี่ยนความสามารถขององค์กรเอง เช่น การพึ่งพาผู้เชี่ยวชาญเพียงคนเดียวในระบบสำคัญ หรืออัตราการลาออกของทีมที่ดูแลโครงสร้างพื้นฐาน

ข้อสังเกตในการตรวจประเมินคือ รายการบริบทที่เขียนไว้กว้างจนใช้กับองค์กรใดก็ได้ จะไม่สามารถเชื่อมต่อไปยังข้อ 6.1.2 การประเมินความเสี่ยงได้ ถ้ารายการบริบทกับทะเบียนความเสี่ยงไม่มีจุดที่อ้างถึงกันเลย นั่นเป็นสัญญาณว่าสองกิจกรรมนี้ถูกทำแยกกันเพื่อให้มีเอกสาร ไม่ใช่เพื่อใช้งาน

ข้อ 4.2 มีสองชั้น และชั้นที่สองคือชั้นที่ตัดสิน

ข้อ 4.2 ขอให้องค์กรกำหนดว่าใครคือผู้มีส่วนได้ส่วนเสียที่เกี่ยวข้องกับ ISMS และข้อกำหนดของบุคคลเหล่านั้นคืออะไร แต่ยังมีชั้นที่สองต่อจากนั้น คือต้องกำหนดด้วยว่าข้อกำหนดใดในบรรดานั้นที่จะถูกจัดการผ่าน ISMS

ชั้นที่สองนี้เป็นเครื่องมือที่มีประโยชน์มากกว่าที่เห็น เพราะทำให้องค์กรตอบได้ว่าเหตุใดข้อเรียกร้องบางอย่างจึงไม่ถูกนำเข้าระบบ เช่น ความคาดหวังด้านคุณภาพของบริการที่ไม่เกี่ยวกับความมั่นคงปลอดภัยสารสนเทศ องค์กรมีสิทธิ์ระบุว่าเรื่องนี้จัดการผ่านช่องทางอื่น การเขียนเหตุผลนี้ไว้ทำให้ขอบเขตของระบบมีตรรกะ แทนที่จะเป็นการเลือกโดยไม่มีคำอธิบาย

สำหรับผู้ให้บริการที่มีลูกค้าองค์กร ข้อกำหนดของผู้มีส่วนได้ส่วนเสียส่วนที่หนักที่สุดจะปรากฏในสัญญาและในเอกสารแนบท้ายสัญญาด้านความมั่นคงปลอดภัย ข้อผูกพันเหล่านี้ต้องถูกดึงเข้ามาเป็นข้อมูลนำเข้าของระบบอย่างเป็นระบบ ไม่ใช่ค้นหาเป็นรายครั้งเมื่อมีการตรวจประเมิน

ข้อ 4.3 ทำไมขอบเขตของ ISMS จึงเขียนยากกว่าที่คิด

ข้อ 4.3 ขอให้องค์กรกำหนดขอบเขตและความสามารถในการนำไปใช้ของระบบ โดยพิจารณาประเด็นตามข้อ 4.1 ข้อกำหนดตามข้อ 4.2 และจุดเชื่อมต่อกับการพึ่งพาระหว่างกิจกรรมที่องค์กรทำเองกับกิจกรรมที่องค์กรอื่นทำ และให้ขอบเขตนั้นพร้อมใช้ในรูปเอกสารสารสนเทศ

สิ่งที่ทำให้ข้อนี้ยากคือ ขอบเขตของ ISMS ไม่ได้ถูกกำหนดด้วยผังองค์กรอย่างเดียว แต่ถูกกำหนดด้วยสารสนเทศ บริการ สถานที่ และเทคโนโลยีที่รองรับ ขอบเขตที่เขียนด้วยชื่อฝ่ายเพียงอย่างเดียวจะตอบไม่ได้ว่าข้อมูลของลูกค้าไหลผ่านที่ใดบ้าง และใครแตะต้องได้

วิธีตรวจสอบขอบเขตที่ตนเองเขียนไว้อย่างง่ายคือ ลองไล่เส้นทางของสารสนเทศชุดสำคัญที่สุดหนึ่งชุด ตั้งแต่จุดที่รับเข้ามา ผ่านการประมวลผล การจัดเก็บ การสำรองข้อมูล ไปจนถึงการทำลายเมื่อหมดความจำเป็น ถ้าเส้นทางนี้วิ่งออกนอกขอบเขตที่ประกาศไว้ในจุดใดจุดหนึ่ง องค์กรต้องอธิบายให้ได้ว่าจุดนั้นถูกจัดการอย่างไร ทางเลือกมีสองทางเท่านั้น คือขยายขอบเขตให้ครอบคลุม หรือคงขอบเขตเดิมแล้วจัดการจุดเชื่อมต่อนั้นอย่างชัดเจนผ่านการประเมินความเสี่ยงและมาตรการที่เกี่ยวข้อง

สามข้อนี้เชื่อมไปข้างหน้าอย่างไร

ผลของข้อ 4.1 ถึง 4.3 ไม่ได้จบในตัวเอง แต่กลายเป็นข้อมูลนำเข้าของข้อ 6.1.2 การประเมินความเสี่ยงด้านความมั่นคงปลอดภัยสารสนเทศ และมีผลต่อข้อ 6.1.3 การจัดการความเสี่ยงกับเอกสารแสดงการบังคับใช้ (Statement of Applicability) เพราะเหตุผลที่องค์กรใช้อธิบายว่ามาตรการใดจำเป็นหรือไม่จำเป็น ต้องสอดคล้องกับขอบเขตที่ประกาศไว้

ในทางกลับกัน เมื่อการประเมินความเสี่ยงพบว่าความเสี่ยงสำคัญเกิดจากกิจกรรมที่อยู่นอกขอบเขต นั่นเป็นสัญญาณให้ทบทวนข้อ 4.3 ใหม่ ความสัมพันธ์นี้เป็นสองทาง ไม่ใช่ทางเดียว อ่านรายละเอียดของขั้นตอนถัดไปได้ที่ ISO/IEC 27001 ข้อ 6.1.2 การประเมินความเสี่ยงด้านความมั่นคงปลอดภัยสารสนเทศ และ ข้อ 6.1.3 การจัดการความเสี่ยงและ Statement of Applicability

คำถามที่ควรตอบได้

หนึ่ง ประเด็นภายนอกและภายในที่บันทึกไว้ตามข้อ 4.1 มีข้อใดบ้างที่ถูกอ้างถึงจริงในทะเบียนความเสี่ยง (ที่มาคือข้อ 4.1 อ่านคู่กับข้อ 6.1.2)

สอง ข้อกำหนดของผู้มีส่วนได้ส่วนเสียข้อใดที่องค์กรเลือกจะไม่จัดการผ่าน ISMS และเหตุผลคืออะไร (ที่มาคือข้อ 4.2)

สาม ถ้าไล่เส้นทางของสารสนเทศชุดสำคัญหนึ่งชุด เส้นทางนั้นออกนอกขอบเขตที่ประกาศไว้ที่จุดใดบ้าง (ที่มาคือข้อ 4.3)

สี่ มีบุคคลหรือหน่วยงานใดที่อยู่นอกขอบเขตแต่มีสิทธิ์ระดับสูงต่อระบบในขอบเขต และควบคุมด้วยวิธีใด (ที่มาคือข้อ 4.3 เรื่องจุดเชื่อมต่อและการพึ่งพา)

ห้า เมื่อองค์กรเปลี่ยนผู้ให้บริการภายนอกหรือย้ายระบบไปใช้บริการรูปแบบใหม่ ขอบเขตถูกทบทวนหรือไม่ และทบทวนเมื่อใด (ที่มาคือข้อ 4.3 อ่านคู่กับข้อ 8.1)

บทความนี้เรียบเรียงขึ้นด้วยถ้อยคำของผู้เรียบเรียงเพื่ออธิบายและตีความข้อกำหนด ไม่ใช่การแปลหรือทำซ้ำเนื้อหาของมาตรฐาน ตัวอย่างทั้งหมดเป็นกรณีสมมติเพื่อประกอบคำอธิบาย การนำไปใช้จริงให้ยึดตัวมาตรฐานฉบับจริงเป็นหลัก