ISO 27001 ข้อ 7.5 เอกสารสารสนเทศ ตีความข้อกำหนดในบริบท ISMS

ความต่างที่ต้องจับให้ได้ เมื่อข้อ 7.5 อยู่ในมาตรฐานความมั่นคงปลอดภัยสารสนเทศ

ถ้าอ่านข้อ 7.5 ของ ISO/IEC 27001 เทียบกับข้อ 7.5 ของมาตรฐานระบบการจัดการฉบับอื่น จะพบว่าโครงสร้างและถ้อยคำใกล้เคียงกันมาก ความต่างจึงไม่ได้อยู่ที่ตัวข้อกำหนด แต่อยู่ที่ธรรมชาติของเอกสารที่ระบบนี้ผลิตขึ้น

ในระบบบริหารคุณภาพ เอกสารโดยลักษณะของมันคือคำอธิบายว่างานต้องทำอย่างไร การหลุดออกไปภายนอกสร้างความเสียหายได้ในระดับหนึ่ง แต่ในระบบบริหารความมั่นคงปลอดภัยสารสนเทศ เอกสารจำนวนหนึ่งอธิบายว่าองค์กรรู้ตัวว่าตนอ่อนแอตรงไหน และตัดสินใจยอมรับความเสี่ยงข้อใดไว้บ้าง

ผลคือประโยคในข้อ 7.5.3 ที่กำหนดให้เอกสารได้รับการปกป้องอย่างเพียงพอ รวมถึงการปกป้องจากการสูญเสียความลับ การใช้อย่างไม่เหมาะสม และการสูญเสียความถูกต้องครบถ้วน กลายเป็นข้อกำหนดที่มีน้ำหนักสูงเป็นพิเศษในมาตรฐานฉบับนี้ เพราะเอกสารของระบบเองก็เป็นสารสนเทศที่ต้องถูกจัดชั้นและควบคุมการเข้าถึงเหมือนสารสนเทศอื่นขององค์กร

คำถามที่ใช้ตรวจสอบตัวเองได้เร็วที่สุดคือ ถ้าทะเบียนความเสี่ยงและคำแถลงการบังคับใช้ (Statement of Applicability) ขององค์กรหลุดออกไปสู่ภายนอกวันนี้ ผลกระทบคืออะไร ถ้าคำตอบคือมีผลกระทบจริง แต่เอกสารสองชิ้นนั้นอยู่ในโฟลเดอร์ที่ทุกคนในองค์กรเปิดได้ แปลว่าข้อ 7.5.3 ยังไม่ถูกทำให้ครบ

7.5.1 ทั่วไป — ขอบเขตมาจากสองแหล่ง

ส่วนแรกกำหนดว่าระบบต้องมีเอกสารสารสนเทศสองกลุ่ม กลุ่มแรกคือสิ่งที่ตัวมาตรฐานเรียกไว้เอง กลุ่มที่สองคือสิ่งที่องค์กรพิจารณาแล้วเห็นว่าจำเป็นต่อประสิทธิผลของระบบ

กลุ่มแรกไม่ได้ถูกรวบรวมไว้เป็นบัญชีในที่เดียว แต่กระจายอยู่ตามข้อต่าง ๆ ทั้งเล่ม วิธีค้นหาที่ตรงที่สุดคือไล่อ่านทุกข้อแล้วจับจุดที่ข้อกำหนดใช้ถ้อยคำว่าต้องมีเอกสารสารสนเทศพร้อมใช้หรือต้องเก็บรักษาไว้ ตัวอย่างที่เห็นได้ชัดคือขอบเขตของระบบตามข้อ 4.3 นโยบายตามข้อ 5.2 และคำแถลงการบังคับใช้ตามข้อ 6.1.3 ซึ่งเป็นเอกสารที่ผู้ตรวจประเมินจะขอดูตั้งแต่ขั้นแรกของการตรวจ

กลุ่มที่สองคือส่วนที่องค์กรตัดสินใจเอง และเป็นส่วนที่เกิดปัญหาได้สองทางตรงกันข้าม ทางแรกคือเขียนน้อยเกินไปจนกระบวนการขึ้นกับตัวบุคคล ทางที่สองคือเขียนมากเกินไปจนไม่มีใครอ่านและไม่มีใครปรับปรุงให้ทัน

เกณฑ์ที่ใช้ตัดสินได้คือคำว่าจำเป็นต่อประสิทธิผล ไม่ใช่คำว่ามีไว้ให้ดูดี ถ้าเอกสารชิ้นหนึ่งหายไปแล้วไม่มีอะไรเปลี่ยน แปลว่ามันไม่เคยจำเป็นตั้งแต่ต้น

7.5.2 การสร้างและปรับปรุง — สามเรื่องที่ต้องเหมาะสม

ส่วนนี้สั้นที่สุดในสามส่วน และกำหนดเพียงว่าเมื่อสร้างหรือปรับปรุงเอกสาร ต้องทำให้สามเรื่องเหมาะสม คือการชี้บ่งและคำอธิบายของเอกสาร รูปแบบและสื่อที่ใช้ และการทบทวนอนุมัติเพื่อความเหมาะสมและความเพียงพอ

คำที่เป็นแกนคือคำว่าเหมาะสม ซึ่งแปลว่ามาตรฐานไม่ได้กำหนดรูปแบบตายตัว องค์กรที่ทำงานบนระบบจัดการเอกสารออนไลน์ ไม่จำเป็นต้องพิมพ์เลขที่เอกสารและวันที่อนุมัติลงบนหัวกระดาษ ถ้าระบบนั้นให้ข้อมูลเดียวกันได้และตรวจสอบย้อนกลับได้

ประเด็นที่ต้องระวังในบริบทของ ISMS คือคำว่าทบทวนและอนุมัติ ต้องมีคนที่มีอำนาจจริงเป็นผู้อนุมัติ และคนคนนั้นต้องอยู่ในตำแหน่งที่รับผลของการอนุมัติได้ นโยบายที่กำหนดข้อห้ามให้คนทั้งองค์กรแต่อนุมัติโดยผู้ที่ไม่มีอำนาจสั่งการข้ามหน่วยงาน จะกลายเป็นเอกสารที่บังคับใช้ไม่ได้จริง

7.5.3 การควบคุม — สองเป้าหมายที่ต้องบรรลุพร้อมกัน

ส่วนนี้ยาวที่สุดและมีสองเป้าหมายที่ดึงกันคนละทาง ซึ่งเป็นเหตุผลว่าทำไมข้อนี้จึงยากในทางปฏิบัติ

เป้าหมายแรกคือเอกสารต้องพร้อมใช้และเหมาะสมกับการใช้งาน ณ ที่และเวลาที่ต้องการ เป้าหมายนี้ผลักไปทางการเปิดให้เข้าถึงได้ง่าย

เป้าหมายที่สองคือเอกสารต้องได้รับการปกป้องอย่างเพียงพอ ทั้งจากการสูญเสียความลับ การใช้อย่างไม่เหมาะสม และการสูญเสียความถูกต้องครบถ้วน เป้าหมายนี้ผลักไปทางการจำกัดการเข้าถึง

การออกแบบที่ตอบทั้งสองเป้าหมายได้ต้องแยกตามผู้ใช้และตามชั้นความลับของเอกสาร ไม่ใช่ตั้งค่าเดียวกันทั้งระบบ ขั้นตอนปฏิบัติงานที่พนักงานหน้างานต้องใช้ทุกวันกับรายงานผลการทดสอบเจาะระบบ ไม่ควรอยู่ภายใต้กติกาการเข้าถึงชุดเดียวกัน

มาตรฐานยังระบุกิจกรรมที่องค์กรต้องจัดการตามความเหมาะสม ซึ่งครอบคลุมตั้งแต่การแจกจ่ายและการเข้าถึง การจัดเก็บและการรักษาสภาพให้อ่านออกได้ การควบคุมการเปลี่ยนแปลง ไปจนถึงการเก็บรักษาและการกำจัดเมื่อครบกำหนด

คำว่าการกำจัดเป็นจุดที่เชื่อมกับกฎหมายในบริบทไทยโดยตรง เพราะระยะเวลาเก็บรักษาข้อมูลบางประเภทถูกกำหนดโดยกฎหมายหรือโดยสัญญากับลูกค้า ขณะที่ข้อมูลส่วนบุคคลมีหลักว่าไม่ควรเก็บไว้เกินความจำเป็น องค์กรจึงต้องตัดสินระยะเวลาเก็บรักษาให้ชัดและทำได้จริงทั้งสองด้าน

อีกประเด็นคือหมายเหตุของข้อนี้ที่ชี้ว่า การเข้าถึงอาจหมายถึงสิทธิในการอ่านอย่างเดียว หรือสิทธิในการอ่านและแก้ไข ซึ่งเป็นการแยกที่ต้องสะท้อนอยู่ในการตั้งค่าสิทธิจริงของระบบ ไม่ใช่อยู่แค่ในถ้อยคำของขั้นตอนปฏิบัติงาน

ตารางเทียบ — สามส่วนของข้อ 7.5 ตอบคนละคำถาม

เอกสารจากภายนอกที่ระบบต้องใช้

ส่วนท้ายของข้อ 7.5.3 กำหนดว่าเอกสารสารสนเทศที่มาจากภายนอกซึ่งองค์กรพิจารณาแล้วว่าจำเป็นต่อการวางแผนและการปฏิบัติงานของระบบ ต้องถูกชี้บ่งตามความเหมาะสมและถูกควบคุม

ในบริบทของระบบบริหารความมั่นคงปลอดภัยสารสนเทศ เอกสารกลุ่มนี้ได้แก่ข้อกำหนดด้านความมั่นคงปลอดภัยที่ลูกค้าส่งมาพร้อมสัญญา รายงานการตรวจประเมินหรือใบรับรองของผู้ให้บริการภายนอก และข้อกำหนดตามกฎหมายที่เกี่ยวข้องกับข้อมูลที่องค์กรถือครองอยู่

สิ่งที่ต้องควบคุมสำหรับเอกสารกลุ่มนี้ไม่ใช่การอนุมัติ เพราะองค์กรไม่ได้เป็นเจ้าของ แต่คือการรู้ว่าถืออยู่ฉบับใด ฉบับนั้นยังเป็นฉบับล่าสุดหรือไม่ และใครในองค์กรต้องรู้เมื่อมีการเปลี่ยนแปลง

คำถามที่ควรตอบได้

1. องค์กรรวบรวมไว้ที่ใดว่าเอกสารใดที่มาตรฐานเรียก และเอกสารใดที่องค์กรเพิ่มเองเพราะเห็นว่าจำเป็นต่อประสิทธิผล (ที่มา: ข้อ 7.5.1)
2. ในการแก้ไขเอกสารครั้งล่าสุด ใครเป็นผู้อนุมัติ และผู้อนุมัติคนนั้นมีอำนาจครอบคลุมขอบเขตที่เอกสารบังคับใช้หรือไม่ (ที่มา: ข้อ 7.5.2)
3. ทะเบียนความเสี่ยงและคำแถลงการบังคับใช้ถูกจัดชั้นความลับไว้ระดับใด และสิทธิการเข้าถึงจริงในระบบตรงกับระดับนั้นหรือไม่ (ที่มา: ข้อ 7.5.3)
4. องค์กรกำหนดระยะเวลาเก็บรักษาและวิธีกำจัดเอกสารแต่ละกลุ่มไว้อย่างไร และเคยมีการกำจัดตามกำหนดจริงหรือยัง (ที่มา: ข้อ 7.5.3)
5. เอกสารจากภายนอกที่ระบบต้องใช้มีอะไรบ้าง องค์กรรู้ได้อย่างไรว่าฉบับที่ถืออยู่ยังเป็นฉบับปัจจุบัน (ที่มา: ข้อ 7.5.3)

บทความนี้เรียบเรียงขึ้นด้วยถ้อยคำของผู้เรียบเรียงเพื่ออธิบายและตีความข้อกำหนด ไม่ใช่การแปลหรือทำซ้ำเนื้อหาของมาตรฐาน ตัวอย่างทั้งหมดเป็นกรณีสมมติเพื่อประกอบคำอธิบาย การนำไปใช้จริงให้ยึดตัวมาตรฐานฉบับจริงเป็นหลัก