ISO/IEC 27001 ข้อ 9.3 การทบทวนฝ่ายบริหารของ ISMS ตีความข้อกำหนด

ข้อ 9.3.1 กำหนดว่าใครต้องทบทวน และต้องทบทวนเมื่อใด

ข้อความสั้นที่สุดของข้อนี้กลับเป็นข้อความที่ถูกอ่านผ่านได้ง่ายที่สุด มาตรฐานระบุว่าผู้ที่ต้องทบทวนคือ ผู้บริหารระดับสูง ไม่ใช่ผู้จัดการฝ่ายไอทีหรือผู้จัดการระบบ และระบุว่าต้องทบทวนตามช่วงเวลาที่วางแผนไว้ เพื่อให้มั่นใจว่า ISMS ยังคงเหมาะสม เพียงพอ และมีประสิทธิผลอยู่

คำสามคำนี้ไม่ได้ซ้ำกัน ความเหมาะสมคือคำถามว่าระบบยังเข้ากับบริบทและทิศทางขององค์กรอยู่หรือไม่ ความเพียงพอคือคำถามว่าขอบเขตและมาตรการที่มีครอบคลุมสิ่งที่ต้องปกป้องครบหรือไม่ และประสิทธิผลคือคำถามว่าสิ่งที่ทำอยู่ได้ผลตามที่ตั้งใจหรือไม่ วาระการประชุมที่ออกแบบมาดีจะเปิดโอกาสให้ตอบทั้งสามคำถามแยกจากกัน ไม่ใช่ตอบรวบเป็นข้อสรุปเดียวว่าระบบยังใช้ได้

ส่วนคำว่า “ตามช่วงเวลาที่วางแผนไว้” หมายความว่าองค์กรเป็นผู้กำหนดความถี่เอง โดยต้องอธิบายเหตุผลได้ องค์กรที่มีการเปลี่ยนแปลงด้านเทคโนโลยีเร็ว หรือเพิ่งขยายขอบเขตของ ISMS ย่อมมีเหตุผลที่จะทบทวนถี่กว่าปีละครั้ง

ข้อ 9.3.2 ข้อมูลนำเข้า อ่านเป็นสามก้อนจะจัดวาระได้ง่ายกว่า

ข้อ 9.3.2 ไล่รายการข้อมูลนำเข้าไว้ยาว การท่องรายการนั้นทีละบรรทัดไม่ช่วยให้จัดประชุมได้ดีขึ้น วิธีที่ใช้งานได้จริงกว่าคือจัดกลุ่มใหม่ตามคำถามที่แต่ละกลุ่มกำลังตอบ

ก้อนที่หนึ่ง มองย้อนหลัง ประกอบด้วยสถานะของการดำเนินการที่ตัดสินใจไว้ในการทบทวนครั้งก่อน ผลการตรวจติดตามภายใน ผลของการเฝ้าระวังและวัด ความไม่สอดคล้องและการปฏิบัติการแก้ไข และผลว่าวัตถุประสงค์ด้านความมั่นคงปลอดภัยสารสนเทศที่ตั้งไว้บรรลุหรือไม่ ก้อนนี้ตอบคำถามว่าสิ่งที่ตกลงกันไว้รอบก่อนเกิดขึ้นจริงหรือไม่

ก้อนที่สอง มองสถานะความเสี่ยงปัจจุบัน ประกอบด้วยผลการประเมินความเสี่ยงและสถานะของแผนการจัดการความเสี่ยง รวมถึงการเปลี่ยนแปลงของประเด็นภายในและภายนอกที่เกี่ยวข้องกับ ISMS และการเปลี่ยนแปลงของความต้องการและความคาดหวังของผู้มีส่วนได้ส่วนเสีย ก้อนนี้คือแกนกลางที่ทำให้การทบทวน ISMS ไม่เหมือนใคร

ก้อนที่สาม มองไปข้างหน้า ประกอบด้วยข้อมูลป้อนกลับจากผู้มีส่วนได้ส่วนเสีย และโอกาสในการปรับปรุงอย่างต่อเนื่อง ก้อนนี้เป็นที่มาของมติที่จะเกิดขึ้นในข้อ 9.3.3

สองรายการที่แยก ISMS ออกจากระบบอื่น

ในบรรดาข้อมูลนำเข้าทั้งหมด รายการที่ผู้ตรวจประเมินมองหาเป็นพิเศษคือผลการประเมินความเสี่ยงและสถานะของแผนการจัดการความเสี่ยง เหตุผลคือ ISMS ทั้งระบบถูกสร้างขึ้นจากผลของ ข้อ 6.1.3 การจัดการความเสี่ยงและเอกสารแสดงการบังคับใช้ ถ้าภาพความเสี่ยงเปลี่ยนแต่ผู้บริหารระดับสูงไม่เคยเห็นการเปลี่ยนนั้น การตัดสินใจเรื่องทรัพยากรจะอิงกับภาพเก่า

สถานะของแผนการจัดการความเสี่ยงเป็นรายการที่ให้ข้อมูลได้มากที่สุดในทางปฏิบัติ เพราะมันบอกทั้งความคืบหน้าและอุปสรรค รายการที่ถูกเลื่อนออกไปซ้ำหลายรอบเป็นสัญญาณอย่างใดอย่างหนึ่งในสองอย่าง คือทรัพยากรไม่พอ หรือการประเมินความเสี่ยงเดิมประเมินระดับความเร่งด่วนไว้ไม่ตรงกับความเป็นจริง ทั้งสองอย่างเป็นเรื่องที่ต้องให้ผู้บริหารระดับสูงตัดสิน ไม่ใช่เรื่องที่ทีมปฏิบัติการตัดสินเองได้

ข้อ 9.3.3 ผลลัพธ์ที่ต้องออกจากห้องประชุม

ข้อ 9.3.3 กำหนดว่าผลลัพธ์ของการทบทวนต้องรวมถึงการตัดสินใจที่เกี่ยวกับโอกาสในการปรับปรุงอย่างต่อเนื่อง และความจำเป็นในการเปลี่ยนแปลงใด ๆ ต่อ ISMS พร้อมทั้งต้องเก็บเอกสารสารสนเทศเป็นหลักฐานของผลการทบทวน

คำที่มีน้ำหนักคือคำว่า การตัดสินใจ รายงานการประชุมที่บันทึกเพียงว่าที่ประชุมรับทราบทุกวาระ จึงยังไม่ตอบข้อนี้ สิ่งที่ทำให้บันทึกใช้เป็นหลักฐานได้คือการระบุว่าตัดสินใจอะไร ใครรับผิดชอบ และภายในเมื่อใด เพราะรายการเหล่านี้จะกลายเป็นข้อมูลนำเข้าก้อนแรกของการทบทวนครั้งถัดไปโดยอัตโนมัติ

อีกจุดที่ควรระวังคือความเชื่อมโยงกับ ข้อ 9.2 การตรวจติดตามภายใน การตรวจภายในที่จบก่อนการทบทวนนานเกินไปจะทำให้ข้อมูลที่นำเข้าที่ประชุมเก่าจนไม่สะท้อนสถานะจริง การวางลำดับเวลาให้การตรวจภายในเสร็จก่อนการทบทวนในระยะที่เหมาะสม จึงเป็นเรื่องของการออกแบบปฏิทินระบบ ไม่ใช่เรื่องของความสะดวก

คำถามที่ควรตอบได้

1. ผู้ที่นั่งอยู่ในที่ประชุมทบทวนครั้งล่าสุด เป็นผู้บริหารระดับสูงที่มีอำนาจตัดสินใจเรื่องทรัพยากรจริงหรือไม่ (ที่มา: ข้อ 9.3.1 เรื่องผู้ที่ต้องทบทวน)
2. วาระการประชุมของเรามีรายการที่รายงานผลการประเมินความเสี่ยงและสถานะแผนการจัดการความเสี่ยงหรือไม่ (ที่มา: ข้อ 9.3.2 เรื่องข้อมูลนำเข้าที่เป็นเรื่องเฉพาะของ ISMS)
3. ความถี่ในการทบทวนที่เรากำหนดไว้ มีเหตุผลรองรับจากอัตราการเปลี่ยนแปลงขององค์กรหรือไม่ (ที่มา: ข้อ 9.3.1 เรื่องช่วงเวลาที่วางแผนไว้)
4. บันทึกการประชุมของเราระบุการตัดสินใจ ผู้รับผิดชอบ และกำหนดเวลา หรือระบุเพียงว่ารับทราบ (ที่มา: ข้อ 9.3.3 เรื่องผลลัพธ์ของการทบทวนและเอกสารสารสนเทศที่ต้องเก็บ)
5. การดำเนินการที่ตัดสินใจไว้ในการทบทวนครั้งก่อน ถูกยกมาเป็นวาระแรกของครั้งนี้หรือไม่ (ที่มา: ข้อ 9.3.2 เรื่องสถานะของการดำเนินการจากการทบทวนครั้งก่อน)

อ่านต่อในชุดบทความรอบเดียวกัน: การทำความสะอาดและการฆ่าเชื้อตาม Codex CXC 1-1969, Revised 2022

บทความนี้เรียบเรียงขึ้นด้วยถ้อยคำของผู้เรียบเรียงเพื่ออธิบายและตีความข้อกำหนด ไม่ใช่การแปลหรือทำซ้ำเนื้อหาของมาตรฐาน ตัวอย่างทั้งหมดเป็นกรณีสมมติเพื่อประกอบคำอธิบาย การนำไปใช้จริงให้ยึดตัวมาตรฐานฉบับจริงเป็นหลัก