ISO/IEC 27001:2022 ภาคผนวก A ข้อ 5.31 ข้อกำหนดทางกฎหมาย ข้อบังคับ ระเบียบ และสัญญา: ทะเบียนกฎหมายยังไม่ใช่คำตอบทั้งหมด

ISO/IEC 27001:2022 ภาคผนวก A ข้อ 5.31 ข้อกำหนดทางกฎหมาย ข้อบังคับ ระเบียบ และสัญญา (Legal, statutory, regulatory and contractual requirements) เป็นมาตรการควบคุมที่มีชื่อยาวข้อหนึ่งในภาคผนวก A และชื่อนั้นบอกขอบเขตไว้ในตัว คือแหล่งของข้อกำหนดมีสี่ประเภท ไม่ใช่กฎหมายอย่างเดียว ผู้เรียบเรียงเห็นว่าทะเบียนกฎหมายเพียงอย่างเดียวยังไม่ได้แสดงส่วนที่สองของมาตรการนี้ คือ “แนวทางขององค์กรในการปฏิบัติตาม” และการ “ปรับให้เป็นปัจจุบัน” บทความนี้อธิบายว่าข้อ 5.31 ครอบคลุมอะไร เชื่อมกับข้อกำหนดในตัวมาตรฐานส่วนหลักอย่างไร และยกกรณีสมมติของบริษัทในประเทศไทยที่ทะเบียนกฎหมายครบแต่ยังตอบคำถามของข้อ 5.31 ไม่ได้

สรุปสั้นก่อน

• ข้อ 5.31 ไม่ได้มีวัตถุเพียงตัวข้อกำหนดจากภายนอก แต่รวมถึงแนวทางที่องค์กรใช้ปฏิบัติตามข้อกำหนดเหล่านั้นด้วย และเงื่อนไขเดียวกันใช้กับทั้งสองส่วน ข้อความเต็มผู้อ่านต้องเปิดจากตัวมาตรฐาน
• ข้อกำหนดตามสัญญา (contractual requirements) อยู่ในขอบเขตของข้อ 5.31 เท่ากับกฎหมาย สำหรับบริษัทผู้ให้บริการ ข้อกำหนดที่ลูกค้าเขียนไว้ในสัญญาหรือข้อตกลงการประมวลผลข้อมูล เป็นแหล่งข้อกำหนดที่อาจมีปริมาณมากกว่ากฎหมาย
• ภาคผนวก A ของ ISO/IEC 27001:2022 มีเฉพาะชื่อและข้อความของมาตรการควบคุม คำอธิบายวิธีนำไปปฏิบัติอยู่ใน ISO/IEC 27002:2022 ซึ่งเป็นมาตรฐานแนวทางปฏิบัติ (guidance) ไม่ใช่มาตรฐานที่ใช้ตรวจรับรอง

ขอบเขตของข้อ 5.31

ผู้เรียบเรียงเห็นว่าจุดสำคัญของข้อความในมาตรการควบคุมข้อ 5.31 อยู่ที่การมีวัตถุสองส่วน ไม่ใช่เฉพาะตัวข้อกำหนดจากภายนอกซึ่งชื่อข้อระบุประเภทไว้สี่ประเภท แต่รวมถึงวิธีที่องค์กรใช้ปฏิบัติตาม โดยทั้งสองส่วนอยู่ภายใต้เงื่อนไขเดียวกันตามที่สรุปไว้ข้างต้น ข้อความเต็มผู้อ่านต้องเปิดจากตัวมาตรฐาน

ผู้เรียบเรียงเห็นว่าโครงสร้างประโยคนี้เป็นจุดที่ทำให้ข้อ 5.31 ต่างจากทะเบียนที่ติดตามเฉพาะกฎหมาย ทะเบียนกฎหมายตอบคำถามว่า “มีข้อกำหนดอะไร” แต่ข้อ 5.31 ถามต่อว่า “องค์กรปฏิบัติตามข้อกำหนดนั้นด้วยวิธีใด” และเงื่อนไขเดียวกันในข้อ 5.31 ใช้กับวิธีนั้นด้วย เมื่อกฎหมายเปลี่ยน สิ่งที่ต้องเปลี่ยนตามจึงไม่ใช่เฉพาะบรรทัดในทะเบียน แต่รวมถึงคำอธิบายว่าองค์กรจะปฏิบัติตามอย่างไร

ความสัมพันธ์กับข้อกำหนดในตัวมาตรฐานส่วนหลัก

ภาคผนวก A เป็นภาคผนวกเชิงบรรทัดฐาน (normative) ที่องค์กรใช้เทียบกับมาตรการควบคุมที่ตนกำหนดขึ้นในกระบวนการจัดการความเสี่ยง (risk treatment) ตามข้อ 6.1.3 ข้อ 5.31 จึงไม่ได้ทำงานโดยลำพัง แต่เชื่อมกับข้อ 4.2 ความเข้าใจความต้องการและความคาดหวังของผู้มีส่วนได้ส่วนเสีย และหมายเหตุของข้อ 4.2 เปิดทางให้ข้อกำหนดจากภายนอกประเภทที่ข้อ 5.31 กล่าวถึงเข้ามาอยู่ในขอบข่ายของผู้มีส่วนได้ส่วนเสียได้ รายละเอียดผู้อ่านต้องเปิดจากตัวมาตรฐาน

ผู้เรียบเรียงเห็นว่าลำดับที่อ่านได้จากมาตรฐานเป็นดังนี้ ข้อ 4.2 ให้องค์กรกำหนดว่าข้อกำหนดใดของผู้มีส่วนได้ส่วนเสียจะถูกจัดการผ่านระบบการจัดการความมั่นคงปลอดภัยสารสนเทศ หน่วยงานกำกับดูแลและลูกค้าที่มีสัญญาเป็นผู้มีส่วนได้ส่วนเสียประเภทหนึ่ง ข้อ 5.31 จึงรับช่วงข้อกำหนดที่ถูกเลือกไว้ในข้อ 4.2 มาชี้บ่งให้ละเอียดและกำหนดแนวทางปฏิบัติตาม ผู้เรียบเรียงเห็นว่าหากคำตอบต่อข้อ 4.2 ระบุเพียงว่าผู้มีส่วนได้ส่วนเสียคือ “ลูกค้าและหน่วยงานราชการ” โดยไม่ระบุข้อกำหนด ข้อ 5.31 ก็ยังไม่มีจุดตั้งต้นให้อ้างอิง

ตัวอย่างแหล่งข้อกำหนดในบริบทไทย

กฎหมายไทยที่เกี่ยวกับความมั่นคงปลอดภัยสารสนเทศซึ่งผู้เรียบเรียงยกเป็นตัวอย่างมีสองฉบับ ฉบับแรกคือพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล ซึ่งประกาศในราชกิจจานุเบกษาในปี 2019 และมีผลบังคับใช้เต็มฉบับเมื่อวันที่ 1 มิถุนายน 2022 หลังการเลื่อนบังคับใช้ด้วยพระราชกฤษฎีกา กฎหมายฉบับนี้มีข้อกำหนดเรื่องมาตรการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล และมีกฎหมายลำดับรองที่ออกตามมาเป็นระยะ ฉบับที่สองคือพระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ ซึ่งมาตรา 26 กำหนดให้ผู้ให้บริการเก็บรักษาข้อมูลจราจรทางคอมพิวเตอร์ไว้ไม่น้อยกว่าเก้าสิบวัน และมีประกาศกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม เรื่อง หลักเกณฑ์การเก็บรักษาข้อมูลจราจรทางคอมพิวเตอร์ของผู้ให้บริการ ซึ่งประกาศในปี 2021 กำหนดรายละเอียด องค์กรบางประเภทยังอยู่ภายใต้พระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์ ซึ่งประกาศในปี 2019 หากเป็นหน่วยงานโครงสร้างพื้นฐานสำคัญทางข้อมูลสารสนเทศ (Critical Information Infrastructure)

ผู้เรียบเรียงเห็นว่าตัวอย่างสองฉบับแรกแสดงความต่างที่มีประโยชน์ กฎหมายคุ้มครองข้อมูลส่วนบุคคลเป็นข้อกำหนดที่มีกฎหมายลำดับรองทยอยออกหลังวันบังคับใช้ จึงเป็นตัวทดสอบคำว่า “ปรับให้เป็นปัจจุบัน” ส่วนมาตรา 26 ของพระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์เป็นข้อกำหนดที่มีตัวเลขชัดเจน จึงเป็นตัวทดสอบคำว่า “แนวทางในการปฏิบัติตาม” เพราะการมีบรรทัด “เก็บข้อมูลจราจรทางคอมพิวเตอร์ (log) เก้าสิบวัน” ในทะเบียน ยังไม่ได้บอกว่าระบบใดเก็บ เก็บที่ใด และใครยืนยันว่าเก็บได้ครบตามนั้น

สำหรับข้อกำหนดตามสัญญา บริษัทผู้ให้บริการซอฟต์แวร์หรือรับจ้างประมวลผลข้อมูลในประเทศไทยอาจมีสัญญากับลูกค้าที่ระบุเงื่อนไขด้านความมั่นคงปลอดภัย เช่น ระยะเวลาแจ้งเหตุละเมิดข้อมูล สถานที่จัดเก็บข้อมูล หรือสิทธิของลูกค้าในการตรวจสอบ ข้อกำหนดเหล่านี้อาจต่างกันไปตามลูกค้าแต่ละราย และเป็นส่วนที่ทะเบียนซึ่งจัดทำขึ้นเพื่อติดตามกฎหมายเพียงอย่างเดียวไม่ได้ครอบคลุม

กรณีสมมติ — บริษัทพัฒนาซอฟต์แวร์บริหารงานบุคคล กรุงเทพมหานคร

บริษัทให้บริการระบบเงินเดือนและข้อมูลพนักงานในรูปแบบบริการผ่านอินเทอร์เน็ตแก่ลูกค้าองค์กรประมาณหกสิบราย ระบบการจัดการความมั่นคงปลอดภัยสารสนเทศมีทะเบียนกฎหมายที่ระบุพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล และพระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ พร้อมวันที่ทบทวนล่าสุด

เมื่อผู้ตรวจประเมินขอดูแนวทางปฏิบัติตามข้อกำหนดเรื่องการแจ้งเหตุละเมิดข้อมูลส่วนบุคคล บริษัทชี้ไปที่ขั้นตอนการจัดการเหตุการณ์ ซึ่งระบุว่าจะแจ้งผู้ควบคุมข้อมูลส่วนบุคคลและหน่วยงานตามที่กฎหมายกำหนด ภายในกรอบเวลาของกฎหมาย แต่เมื่อผู้ตรวจประเมินสุ่มสัญญากับลูกค้าสามราย พบว่าสัญญาสองฉบับกำหนดให้บริษัทแจ้งลูกค้าภายในเวลาที่สั้นกว่ากรอบของกฎหมาย และฉบับหนึ่งกำหนดให้ข้อมูลของลูกค้าต้องจัดเก็บภายในประเทศเท่านั้น ข้อกำหนดทั้งสามรายการไม่ปรากฏในทะเบียน และขั้นตอนการจัดการเหตุการณ์ไม่ได้แยกกรอบเวลาตามลูกค้า

ผู้เรียบเรียงเห็นว่ากรณีนี้ไม่ได้บอกว่าบริษัทผิดสัญญา บริษัทอาจแจ้งลูกค้าได้ทันจริงเมื่อเกิดเหตุ สิ่งที่กรณีนี้แสดงคือข้อกำหนดประเภทที่สี่ในชื่อของข้อ 5.31 ยังไม่ถูกชี้บ่ง และแนวทางปฏิบัติตามที่จัดทำเป็นเอกสารยังไม่ครอบคลุมข้อกำหนดที่เข้มกว่ากฎหมาย คำถามที่ตามมาคือ เมื่อฝ่ายขายลงนามสัญญาใหม่ที่มีเงื่อนไขด้านความมั่นคงปลอดภัย ข้อมูลนั้นถูกส่งต่อไปยังผู้ดูแลระบบการจัดการด้วยช่องทางใด

รูปแบบของเอกสารตามข้อ 5.31

ข้อ 5.31 ไม่ได้ระบุรูปแบบของเอกสาร ไม่ได้ระบุว่าต้องเป็นทะเบียนฉบับเดียว และไม่ได้ระบุรอบการทบทวน สำหรับองค์กรที่เก็บข้อกำหนดตามสัญญาไว้ในระบบบริหารสัญญาของฝ่ายขายและเก็บกฎหมายไว้ในทะเบียนของฝ่ายกฎหมาย ผู้เรียบเรียงเห็นว่าคำถามที่ตามมาคือ เอกสารใดแสดงว่าทั้งสองแหล่งถูกพิจารณาร่วมกันในระบบการจัดการ และเมื่อแหล่งใดแหล่งหนึ่งเปลี่ยน ใครเป็นผู้รับรู้

ผู้อ่านที่ต้องการเห็นจุดตั้งต้นของข้อกำหนดจากผู้มีส่วนได้ส่วนเสีย อ่านต่อได้ที่ ISO/IEC 27001:2022 ข้อ 4.2 ความเข้าใจความต้องการและความคาดหวังของผู้มีส่วนได้ส่วนเสีย และผู้ที่ต้องการเห็นมาตรการควบคุมอีกข้อที่ข้อกำหนดตามสัญญามีบทบาท อ่านต่อได้ที่ ISO/IEC 27001:2022 ภาคผนวก A ข้อ 5.23 ความมั่นคงปลอดภัยสารสนเทศสำหรับการใช้บริการคลาวด์

คำถามที่ควรตอบได้

1. ครั้งล่าสุดที่กฎหมายลำดับรองด้านการคุ้มครองข้อมูลส่วนบุคคลออกใหม่ ระบบการจัดการรับรู้เรื่องนี้จากช่องทางใด และใครเป็นผู้ตัดสินว่าแนวทางปฏิบัติตามต้องแก้หรือไม่
   ที่มา: ภาคผนวก A ข้อ 5.31 ข้อกำหนดทางกฎหมาย ข้อบังคับ ระเบียบ และสัญญา; ข้อ 6.1.3 การจัดการความเสี่ยงด้านความมั่นคงปลอดภัยสารสนเทศ (Information security risk treatment)
2. สัญญากับลูกค้าฉบับล่าสุดที่ลงนาม มีเงื่อนไขด้านความมั่นคงปลอดภัยสารสนเทศหรือไม่ และหากมี เงื่อนไขนั้นปรากฏในเอกสารของระบบการจัดการที่ใด
   ที่มา: ภาคผนวก A ข้อ 5.31 ข้อกำหนดทางกฎหมาย ข้อบังคับ ระเบียบ และสัญญา; ข้อ 4.2 ความเข้าใจความต้องการและความคาดหวังของผู้มีส่วนได้ส่วนเสีย
3. สำหรับข้อกำหนดที่มีตัวเลข เช่น ระยะเวลาเก็บรักษาข้อมูลจราจรทางคอมพิวเตอร์ องค์กรระบุได้หรือไม่ว่าระบบใดเป็นผู้ปฏิบัติตาม และใครเป็นผู้ยืนยันว่าปฏิบัติได้ตามนั้น
   ที่มา: ภาคผนวก A ข้อ 5.31 ข้อกำหนดทางกฎหมาย ข้อบังคับ ระเบียบ และสัญญา

ข้อความเต็มของมาตรการควบคุมและข้อกำหนดที่อ้างถึงข้างต้น ผู้อ่านต้องเปิดจากตัวมาตรฐาน ISO/IEC 27001:2022

อ่านต่อในบทความที่เกี่ยวข้อง

• ISO/IEC 27001:2022 ข้อ 4.1–4.3 บริบทองค์กรและการกำหนดขอบเขต ISMS
• ISO/IEC 27001:2022 ภาคผนวก A หมวดของมาตรการควบคุมทั้งสี่
• ISO/IEC 27001:2022 ภาคผนวก A ข้อ 6.7 การทำงานระยะไกล
• ISO/IEC 27001:2022 ข้อ 7.5 เอกสารสารสนเทศ
• การตรวจรับรอง ISO/IEC 27001 กับ EQA

บทความนี้เรียบเรียงขึ้นด้วยถ้อยคำของผู้เรียบเรียงเพื่ออธิบายและตีความมาตรการควบคุมของ ISO/IEC 27001:2022 ไม่ใช่การแปลหรือทำซ้ำเนื้อหาของมาตรฐาน ตัวอย่างทั้งหมดเป็นกรณีสมมติเพื่อประกอบคำอธิบาย การนำไปใช้จริงให้ยึดตัวมาตรฐานฉบับจริงและตัวบทกฎหมายฉบับจริงเป็นหลัก