การควบคุมข้อ 5.23 ความมั่นคงปลอดภัยสารสนเทศสำหรับการใช้บริการคลาวด์ (Information security for use of cloud services) เป็นหนึ่งในการควบคุมที่เพิ่มเข้ามาใหม่ใน Annex A ของ ISO/IEC 27001:2022 ผู้เรียบเรียงเห็นว่าสาระของข้อนี้ไม่ได้อยู่ที่ว่าผู้ให้บริการคลาวด์ปลอดภัยหรือไม่ แต่อยู่ที่องค์กรผู้ใช้บริการมีกระบวนการของตนเองสำหรับบริการคลาวด์ที่ผูกกับข้อกำหนดด้านความมั่นคงปลอดภัยที่องค์กรกำหนดไว้เองหรือไม่
ข้อ 5.23 อยู่ตรงไหน และมีผลกับองค์กรใด
Annex A ของ ISO/IEC 27001:2022 เป็นชุดการควบคุมอ้างอิง (reference controls) ที่ข้อ 6.1.3 การจัดการความเสี่ยงด้านความมั่นคงปลอดภัยสารสนเทศ (Information security risk treatment) ให้ใช้ประกอบการจัดการความเสี่ยงและการจัดทำเอกสารแสดงการนำไปใช้ (Statement of Applicability, SoA) รายละเอียดของขั้นตอนนั้นผู้อ่านต้องเปิดจากข้อ 6.1.3 การควบคุมข้อ 5.23 อยู่ในหมวดการควบคุมเชิงองค์กร (Organizational controls) ถัดจากชุดการควบคุมข้อ 5.19 ถึง 5.22 ซึ่งว่าด้วยความสัมพันธ์ ข้อตกลง ห่วงโซ่อุปทาน ICT และการเฝ้าติดตามผู้ส่งมอบ
ผู้เรียบเรียงเห็นว่าตำแหน่งนี้สะท้อนความหมายของข้อนี้ ผู้ให้บริการคลาวด์คือผู้ส่งมอบชนิดหนึ่ง การควบคุมกลุ่มผู้ส่งมอบจึงใช้กับผู้ให้บริการคลาวด์อยู่แล้ว ส่วนลักษณะของบริการคลาวด์ที่ต่างจากผู้ส่งมอบประเภทอื่น ได้แก่ องค์กรนำข้อมูลและกระบวนการของตนไปจัดเก็บบนระบบที่ตนไม่ได้ควบคุมทางกายภาพ แบ่งความรับผิดชอบกับผู้ให้บริการตามรูปแบบบริการและสัญญา และเมื่อเลิกใช้ ข้อมูลไม่ได้กลับมาเองโดยอัตโนมัติ
ผู้เรียบเรียงเห็นว่าคำถามที่ตามมาสำหรับองค์กรที่ระบุในเอกสารแสดงการนำไปใช้ว่าข้อ 5.23 ไม่นำมาใช้ คือเหตุผลที่บันทึกไว้ยังตรงกับบริการที่ใช้อยู่จริงหรือไม่ เพราะบริการอย่างอีเมล ระบบบัญชี หรือที่เก็บไฟล์ที่องค์กรใช้อยู่ อาจเข้าข่ายบริการคลาวด์ตามนิยามที่องค์กรยึดถือในขอบเขตของตน
ผู้เรียบเรียงอ่านการควบคุมข้อนี้อย่างไร
ถ้อยคำของการควบคุมข้อ 5.23 ใน Annex A มีความยาวเพียงหนึ่งประโยค ซึ่งผู้อ่านต้องเปิดจากตัวมาตรฐาน ผู้เรียบเรียงเห็นว่ามีสองคำในประโยคนั้นที่ตัดสินคุณภาพของการนำไปใช้ คือคำว่าข้อกำหนดขององค์กร และคำว่าการเลิกใช้
คำแรก ผู้เรียบเรียงเห็นว่าการควบคุมข้อนี้ไม่ได้บอกว่าบริการคลาวด์ต้องมีคุณสมบัติใด แต่ให้องค์กรเป็นผู้กำหนดข้อกำหนดด้านความมั่นคงปลอดภัยของตน ซึ่งมีที่มาจากผลการประเมินความเสี่ยงตามข้อ 6.1.2 การประเมินความเสี่ยงด้านความมั่นคงปลอดภัยสารสนเทศ (Information security risk assessment) และจากความต้องการของผู้มีส่วนได้ส่วนเสียตามข้อ 4.2 เช่น พันธะตามกฎหมายคุ้มครองข้อมูลส่วนบุคคลของไทย หรือเงื่อนไขในสัญญากับลูกค้าที่ระบุว่าข้อมูลต้องอยู่ในเขตอำนาจใด องค์กรที่ยังไม่ได้เขียนข้อกำหนดเหล่านี้ออกมา จึงไม่มีสิ่งที่จะนำไปเทียบกับบริการที่กำลังจะเลือก
คำที่สอง การเลิกใช้ (exit) ผู้เรียบเรียงเห็นว่าคำถามที่องค์กรตอบได้หรือไม่ได้คือ เมื่อสิ้นสุดสัญญา องค์กรรู้หรือไม่ว่าจะได้ข้อมูลกลับอย่างไร และข้อมูลที่เหลืออยู่กับผู้ให้บริการจะถูกจัดการอย่างไร องค์กรที่ตอบคำถามนี้ไม่ได้ อาจพบว่าการเลิกใช้บริการมีความเสี่ยงด้านความมั่นคงปลอดภัยที่ไม่ได้ประเมินไว้
สิ่งที่ Annex A ไม่ได้บอก และไม่ควรเติมเข้าไปเอง
Annex A ระบุเพียงชื่อและถ้อยคำของการควบคุม แนวทางการนำไปใช้อยู่ใน ISO/IEC 27002:2022 ซึ่งเป็นมาตรฐานคนละฉบับและไม่ใช่มาตรฐานสำหรับการรับรอง ผู้เรียบเรียงเห็นว่าผู้ตรวจประเมินจึงไม่สามารถยกรายการจาก ISO/IEC 27002 มาเป็นข้อกำหนดที่องค์กรต้องมีครบทุกข้อ สิ่งที่ตรวจได้คือกระบวนการที่องค์กรกำหนดขึ้นครอบคลุมวงจรการใช้บริการตามถ้อยคำของการควบคุมหรือไม่ และสอดคล้องกับข้อกำหนดที่องค์กรตั้งไว้เองหรือไม่
ในทางกลับกัน ผู้เรียบเรียงเห็นว่าใบรับรอง ISO/IEC 27001 ของผู้ให้บริการคลาวด์ก็ไม่ได้ทำให้ข้อ 5.23 ของผู้ใช้บริการสอดคล้องไปโดยปริยาย ใบรับรองของผู้ให้บริการครอบคลุมระบบของผู้ให้บริการภายใต้ขอบเขตที่ผู้ให้บริการกำหนด ส่วนที่ผู้ใช้บริการรับผิดชอบตามรูปแบบบริการและสัญญา เช่น การตั้งค่า การกำหนดสิทธิ์ผู้ใช้ หรือการตัดสินใจว่าจะนำข้อมูลประเภทใดไปจัดเก็บ ไม่ได้อยู่ในใบรับรองของผู้ให้บริการ
บริษัทให้บริการซอฟต์แวร์แบบสมัครสมาชิกแก่ลูกค้าโรงพยาบาลเอกชน ตัวระบบทำงานบนแพลตฟอร์มคลาวด์ของผู้ให้บริการรายใหญ่ในภูมิภาค ขอบเขตของระบบบริหารความมั่นคงปลอดภัยสารสนเทศ (ISMS) ครอบคลุมการพัฒนาและการให้บริการซอฟต์แวร์นี้
บริษัทรวบรวมรายชื่อบริการคลาวด์ที่ใช้อยู่ และพบว่ามีบริการที่ทีมพัฒนาสมัครใช้เองด้วยบัตรเครดิตของบริษัทโดยไม่ผ่านการจัดหา สามรายการ ข้อกำหนดของบริษัทเองที่มีอยู่ เช่น ข้อมูลผู้ป่วยต้องอยู่ในภูมิภาคที่สัญญากับลูกค้าอนุญาต
คำถามจากกรณีนี้คือ บริการสามรายการที่ทีมสมัครเองอยู่ในกระบวนการใดของบริษัทหรือไม่ และบริษัทมีหลักฐานใดว่าข้อกำหนดของตนถูกตรวจสอบก่อนอนุมัติให้ใช้บริการแต่ละรายการ (กรณีสมมติเพื่อประกอบคำอธิบายเท่านั้น)
เส้นแบ่งสามคู่ที่ผู้เรียบเรียงเห็นว่าต่างกัน
ข้อ 5.23 ไม่เท่ากับ ข้อ 5.19 ถึง 5.22 ผู้เรียบเรียงเห็นว่าการควบคุมกลุ่มผู้ส่งมอบใช้กับผู้ส่งมอบตามขอบเขตของแต่ละข้อ ส่วนข้อ 5.23 ตั้งคำถามเฉพาะของบริการคลาวด์ คำถามที่ตามมาคือ กระบวนการจัดซื้อผู้ส่งมอบที่มีอยู่ครอบคลุมประเด็นเฉพาะของบริการคลาวด์ เช่น การเลิกใช้ หรือไม่
บริการคลาวด์ ไม่เท่ากับ ระบบที่ฝ่ายไอทีจัดหา ผู้เรียบเรียงเห็นว่าบริการที่ฝ่ายอื่นสมัครใช้เองผ่านเว็บ เช่น เครื่องมือออกแบบ เครื่องมือแบบสอบถาม หรือพื้นที่แชร์ไฟล์ อาจเป็นบริการคลาวด์ตามนิยามที่องค์กรยึดถือเช่นกัน ถ้ากระบวนการจัดหาไม่ครอบคลุมบริการเหล่านี้ กระบวนการนั้นก็ครอบคลุมได้เพียงส่วนที่ฝ่ายไอทีมองเห็น
การประเมินก่อนใช้ ไม่เท่ากับ กระบวนการทั้งวงจร ผู้เรียบเรียงเห็นว่าองค์กรที่ประเมินผู้ให้บริการอย่างละเอียดตอนเลือกใช้ แต่ไม่มีขั้นตอนเมื่อเลิกใช้ ยังไม่แสดงว่ากระบวนการครอบคลุมวงจรการใช้บริการตามถ้อยคำของการควบคุม
| ประเด็นที่ผู้เรียบเรียงเห็นว่าเกี่ยวข้อง | คำถามที่ผู้เรียบเรียงเห็นว่าตามมา |
|---|---|
| ที่มาของข้อกำหนดที่ใช้เทียบกับบริการคลาวด์ | ข้อกำหนดด้านความมั่นคงปลอดภัยที่ใช้คัดเลือกบริการคลาวด์เขียนไว้ที่ใด และสืบย้อนไปถึงผลการประเมินความเสี่ยงหรือพันธะตามข้อ 4.2 รายการใด |
| ช่วงการเลิกใช้บริการ | สำหรับบริการคลาวด์ที่เก็บข้อมูลลับ องค์กรรู้ได้อย่างไรว่าเมื่อสิ้นสุดสัญญาจะได้ข้อมูลกลับอย่างไร และข้อมูลที่เหลือจะถูกจัดการอย่างไร |
คำถามที่ควรตอบได้
- เอกสารแสดงการนำไปใช้ของเราให้เหตุผลการนำข้อ 5.23 มาใช้หรือไม่นำมาใช้ไว้อย่างไร และเหตุผลนั้นยังตรงกับบริการที่ใช้อยู่ในปัจจุบันหรือไม่ (ที่มา: ข้อ 6.1.3 เชื่อมกับการควบคุมข้อ 5.23)
- ถ้าวันนี้ต้องย้ายออกจากบริการคลาวด์ที่เก็บข้อมูลลับของเรา เราจะได้ข้อมูลกลับในรูปแบบใด และรู้ได้อย่างไรว่าข้อมูลที่เหลือถูกจัดการตามที่ตกลงไว้ (ที่มา: การควบคุมข้อ 5.23 ของ Annex A)
- องค์กรรู้ได้จากที่ใดว่ามีบริการคลาวด์ใดใช้อยู่ในขอบเขต และข้อมูลนั้นตรงกับการใช้จริงของแต่ละฝ่ายหรือไม่ (ผู้เรียบเรียงตั้งคำถามจากขอบเขตของกระบวนการตามการควบคุมข้อ 5.23)
อ่านต่อในบทความที่เกี่ยวข้อง
- ISO/IEC 27001:2022 Annex A — หมวดการควบคุมมีไว้ให้หาเจอ ไม่ได้มีไว้ให้ไล่ให้ครบ
- ISO/IEC 27001 ข้อ 6.1.3 การจัดการความเสี่ยงและการจัดทำ SoA
- ISO/IEC 27001 ข้อ 6.1.2 การประเมินความเสี่ยงด้านความมั่นคงปลอดภัยสำหรับสารสนเทศ
- ISO/IEC 27001:2022 ข้อ 4.1–4.3 บริบทองค์กรและการกำหนดขอบเขต ISMS
- ISO 27001 ข้อ 8.1 การวางแผนและควบคุมการปฏิบัติงาน
- การตรวจรับรอง ISO/IEC 27001 กับ EQA
บทความนี้เรียบเรียงขึ้นด้วยถ้อยคำของผู้เรียบเรียงเพื่ออธิบายและตีความการควบคุมใน Annex A ของ ISO/IEC 27001:2022 ไม่ใช่การแปลหรือทำซ้ำเนื้อหาของมาตรฐาน ตัวอย่างทั้งหมดเป็นกรณีสมมติเพื่อประกอบคำอธิบาย การนำไปใช้จริงให้ยึดตัวมาตรฐานฉบับจริงเป็นหลัก
หลักสูตรข้อกำหนดและการตรวจติดตามภายใน ISO/IEC 27001
Equal Assurance (Thailand) Ltd. เป็นหน่วยรับรองระบบและผู้ให้บริการฝึกอบรม เปิดหลักสูตรทั้งแบบเปิดทั่วไป (Public) และแบบภายในองค์กร (In-house) หลักสูตรมีเนื้อหาเป็นการทั่วไป ไม่ใช่การให้คำปรึกษาเฉพาะราย และการเข้าอบรมกับ EQA ไม่มีผลต่อผลการตรวจประเมิน
เกี่ยวกับผู้ตรวจทานบทความ
จีรศักดิ์ ม่วงชิน (Jeerasak Muangchin)
ผู้ตรวจประเมิน / วิทยากร – ระบบยานยนต์ คุณภาพ สิ่งแวดล้อม อาชีวอนามัยและความปลอดภัย และความมั่นคงปลอดภัยสารสนเทศ · ผู้ตรวจประเมินขึ้นทะเบียน IATF · Certified in Cybersecurity (CC) · DPO Certified Level 1 & 2 (ICDL)
- ปริญญาตรี เทคโนโลยีสารสนเทศและการสื่อสาร (มสธ.) · ปริญญาโท MBA (มหาวิทยาลัยรามคำแหง หลักสูตรนานาชาติ) · ปริญญาตรี วิศวกรรมไฟฟ้ากำลัง (มจธ.)
- Lead Auditor และวิทยากรกับหน่วยรับรองระดับสากลตั้งแต่ปี 2006 · เคยเป็นวิทยากรหลักที่ได้รับอนุมัติสำหรับหลักสูตร IRCA ISO 9001 Lead Auditor
- ประสบการณ์ 4 ปีในตำแหน่ง Division Manager โรงงานอุปกรณ์ไฟฟ้าและฉีดพลาสติก ทำงานกับทีม APQP, MSA, SPC และ QMS
- ตรวจประเมินและสอน IATF 16949, ISO 9001, ISO 14001, ISO 45001, ISO 22301, ISO 39001, ISO/IEC 17025, ISO/IEC 27001 และ 27701, ISO 13485, ISCC, RSPO, คาร์บอนฟุตพริ้นท์ (CFO/CFP), Core Tools (APQP, PPAP, FMEA, MSA, SPC), VDA 6.3 และ TISAX
ภาษาที่สอน: ไทยและอังกฤษ
หลักสูตรที่เกี่ยวข้อง
ISO/IEC 27001 ความมั่นคงปลอดภัยสารสนเทศ (ISMS)
EQA Thailand เปิดอบรมหลักสูตรนี้ และเป็นหน่วยตรวจรับรอง (Certification Body) ที่สามารถตรวจรับรองระบบตามมาตรฐานนี้ได้ด้วย
หลักสูตรมีเนื้อหาเป็นการทั่วไป ไม่ใช่การให้คำปรึกษาเฉพาะราย และการเข้าอบรมไม่มีผลต่อผลการตรวจประเมิน
อ่านต่อเกี่ยวกับมาตรฐานนี้: ISO/IEC 27001 ความมั่นคงปลอดภัยสารสนเทศ
ขอการรับรอง ISO/IEC 27001 กับ EQA
- ขั้นตอนและระยะเวลาตั้งแต่ยื่นใบสมัครถึงได้ใบรับรอง
- ค่าตรวจรับรองคิดจากอะไร (IAF MD 5)
- วิธีเลือกหน่วยรับรอง 7 ข้อที่ตรวจสอบได้
กรอกใบสมัครขอรับรอง ISO/IEC 27001
EQA เป็นหน่วยรับรอง (Certification Body) จึงไม่ให้คำปรึกษาในการจัดทำระบบ บทความนี้เป็นความรู้ทั่วไป
ISO/IEC 27001 สำหรับบริษัทซอฟต์แวร์และผู้ให้บริการ: ตรวจอะไร กำหนดขอบข่ายอย่างไร และเวลาตรวจคิดจากอะไร
ISO/IEC 27001:2022 ภาคผนวก A ข้อ 5.31 ข้อกำหนดทางกฎหมาย ข้อบังคับ ระเบียบ และสัญญา: ทะเบียนกฎหมายยังไม่ใช่คำตอบทั้งหมด
ISO/IEC 27001:2022 ภาคผนวก A ข้อ 6.7 การทำงานระยะไกล: เมื่อขอบเขตของ ISMS ขยายออกนอกสถานที่ขององค์กร