การรับรองมาตรฐาน
การรับรองมาตรฐาน ISO 27001 Information security management systems
การรับรองมาตรฐาน ISO 27001 ระบบการจัดการความมั่นคงปลอดภัยสารสนเทศ (Information security management systems)
ข้อมูลโปรแกรม (Attributes)
- ชื่อโปรแกรม: ISO 27001 Assurance Program
- เกณฑ์การรับรอง: ISO 27001 และกฎบัตรลูกค้า (Client Charter)
- กลุ่มองค์กร: ทุกองค์กรที่ใช้เทคโนโลยีสารสนเทศ
- ขอบเขต: ระดับสากล (International)
- ผลลัพธ์ที่ได้รับ: ใบรับรอง Certificate of Confidence
- อายุการรับรอง: 3 ปี ภายใต้เงื่อนไขการรักษาการรับรองอย่างต่อเนื่อง
- ผลที่คาดหวัง: การรับรองสร้างความเชื่อมั่นแก่องค์กร ลูกค้า หน่วยงานกำกับดูแล และ/หรือผู้มีส่วนได้เสียอื่นว่าองค์กรสามารถจัดการความมั่นคงปลอดภัยสารสนเทศได้อย่างมีประสิทธิผล
ความเป็นมา
ISO 27001 กำหนดข้อกำหนดสำหรับการจัดตั้ง นำไปปฏิบัติ รักษา และปรับปรุงอย่างต่อเนื่องซึ่งระบบการจัดการความมั่นคงปลอดภัยสารสนเทศ หรือ ISMS (Information Security Management System) การนำ ISMS มาใช้เป็นการตัดสินใจเชิงกลยุทธ์ขององค์กร การจัดตั้งและนำ ISMS ไปปฏิบัติขึ้นอยู่กับความต้องการและวัตถุประสงค์ขององค์กร ข้อกำหนดด้านความมั่นคงปลอดภัยของผู้มีส่วนได้เสีย กระบวนการที่ใช้ ตลอดจนขนาดและโครงสร้างขององค์กร ซึ่งทั้งหมดนี้อาจเปลี่ยนแปลงได้ตามเวลา
ISMS ที่มั่นคง พร้อมด้วยถ้อยแถลงความรับผิดชอบ (Statement of Accountability) จะรักษาความลับ (confidentiality) ความถูกต้องครบถ้วน (integrity) และความพร้อมใช้ (availability) ของสารสนเทศ โดยใช้กระบวนการบริหารความเสี่ยง และสร้างความเชื่อมั่นแก่ผู้มีส่วนได้เสียว่าความเสี่ยงได้รับการจัดการอย่างเพียงพอ
ขั้นตอนการขอรับรอง
ในฐานะองค์กรผู้ขอรับการรับรอง ขั้นตอนที่เกี่ยวข้องมีดังนี้
- การยื่นขอการรับรอง: พิจารณาและตอบรับข้อเสนอ (Proposal) ที่จัดทำเฉพาะสำหรับองค์กรของท่าน จากนั้นกระบวนการจะเริ่มต้นทันที
- การได้รับการรับรอง: ขั้นแรกจะมีการตรวจประเมินขั้นต้นก่อนการรับรอง (pre-certification audit หรือ Stage 1) ซึ่งดำเนินการที่สถานประกอบการของท่าน หรือที่สำนักงานของเรา หรือทั้งสองแห่ง เพื่อพิจารณาว่าระบบการจัดการของท่านมีความพร้อมเพียงพอหรือไม่ ประเด็นที่พบจะได้รับการรายงาน เมื่อท่านดำเนินการกับประเด็นเหล่านั้นแล้ว จะมีการตรวจประเมินเพื่อการรับรอง ณ สถานประกอบการ (certification audit หรือ Stage 2) ซึ่งเราจะตรวจสอบว่าองค์กรของท่านดำเนินการตามเกณฑ์ของโปรแกรมได้เพียงใด ประเด็นที่พบจะได้รับการรายงานเช่นกัน เมื่อเราพิจารณาแล้วว่าไม่มีประเด็นค้างที่ก่อความเสี่ยงในระดับที่ยอมรับไม่ได้ต่อองค์กรของท่าน พนักงาน ลูกค้า หน่วยงานกำกับดูแล Equal Assurance หรือผู้อื่น เราจึงออกใบรับรอง Certificate of Confidence ให้
- การรักษาการรับรอง: เราจะดำเนินการตรวจติดตาม (surveillance audit) เป็นระยะตามระดับความเสี่ยง (ในบางกรณีอาจมีการตรวจพิเศษและการตรวจติดตามผลเพิ่มเติม) และตรวจประเมินเพื่อต่ออายุการรับรอง (re-certification audit) ทุก 3 ปี เพื่อตรวจสอบว่าองค์กรของท่านยังคงดำเนินการตามเกณฑ์ของโปรแกรม ประเด็นที่พบจะได้รับการรายงาน ตราบใดที่เรายังพิจารณาว่าไม่มีประเด็นค้างที่ก่อความเสี่ยงในระดับที่ยอมรับไม่ได้ต่อองค์กรของท่าน พนักงาน ลูกค้า หน่วยงานกำกับดูแล Equal Assurance หรือผู้อื่น การรับรองของท่านจะยังคงมีผล
รายละเอียดเพิ่มเติมติดต่อที่
โทร: +66 (0)63 187 9718
อีเมล: eqa.training@equalassurancethai.com
ขั้นตอนการตรวจรับรองกับ EQA
เจ็ดขั้นตอนตั้งแต่ยื่นใบสมัครจนถึงใบรับรองที่รักษาไว้ตลอดรอบ 3 ปี แต่ละขั้นมีบทความอธิบายรายละเอียด
- ยื่นใบสมัคร
กรอกใบสมัครออนไลน์บนหน้าการตรวจรับรอง ระบุขอบข่าย สถานประกอบการ จำนวนพนักงาน และมาตรฐานที่ต้องการ ขั้นนี้ไม่มีค่าใช้จ่าย อ่านเพิ่มเติม →
- ทบทวนใบสมัครและใบเสนอราคา
EQA ตรวจสอบว่าขอบข่ายอยู่ในความสามารถของหน่วยรับรอง และคำนวณจำนวนวันตรวจตาม IAF MD 5 ใบเสนอราคาจึงคิดจากองค์กรของท่าน ไม่ใช่ราคาตายตัว อ่านเพิ่มเติม →
- ทำสัญญาและวางแผนการตรวจ
เมื่อตอบรับใบเสนอราคา EQA แต่งตั้งทีมผู้ตรวจที่ไม่มีงานที่ปรึกษาหรือผลประโยชน์ทับซ้อนกับองค์กรของท่าน และนัดหมายวันตรวจร่วมกัน อ่านเพิ่มเติม →
- การตรวจ Stage 1
ทบทวนความพร้อมของระบบเอกสาร ขอบข่าย ทะเบียนกฎหมาย การตรวจติดตามภายใน และการทบทวนฝ่ายบริหาร ท่านได้รับรายงานสิ่งที่ต้องแก้ไขก่อน Stage 2 อ่านเพิ่มเติม →
- การตรวจ Stage 2
ตรวจการปฏิบัติจริง ณ สถานประกอบการ ทั้งบันทึก การสัมภาษณ์ และการสังเกตหน้างาน เทียบกับข้อกำหนดทุกข้อของมาตรฐาน อ่านเพิ่มเติม →
- ปิดข้อบกพร่องและการตัดสินให้การรับรอง
ท่านส่งการแก้ไขและการปฏิบัติการแก้ไขสำหรับข้อบกพร่องที่พบ การตัดสินให้การรับรองทำโดยผู้ที่ไม่ได้อยู่ในทีมตรวจ อ่านเพิ่มเติม →
- ใบรับรองและรอบ 3 ปี
ใบรับรองมีอายุ 3 ปี มีการตรวจเฝ้าระวังในปีที่ 1 และ 2 และตรวจต่ออายุก่อนใบรับรองหมดอายุ องค์กรที่ได้รับการรับรองใช้เครื่องหมาย EQA ได้ตามหลักเกณฑ์ อ่านเพิ่มเติม →
EQA ไม่ระบุระยะเวลาดำเนินการตายตัว เพราะจำนวนวันตรวจขึ้นกับขนาดและความซับซ้อนของแต่ละองค์กร ขอใบเสนอราคาเพื่อรับกำหนดการสำหรับองค์กรของท่าน
องค์กรที่ผ่านการตรวจรับรองกับ EQA
คู่มือสำหรับผู้ที่กำลังเลือกหน่วยรับรอง
ก่อนยื่นใบสมัคร บทความชุดนี้อธิบายสิ่งที่ควรตรวจสอบ ปัจจัยที่กำหนดค่าใช้จ่ายและระยะเวลา และสิ่งที่ต้องทำหลังได้รับใบรับรอง
ISO 27001 Certification — Information security management systems
Attributes
- Name: ISO 27001 Assurance Program
- Criteria: ISO 27001 and Client Charter
- Market: All organizations utilizing information technology
- Scope: International
- Output: Certificate of Confidence
- Validity: 3 years, subject to on-going requirements
- Outcome: Certification gives confidence to the organization, its customers, regulators and/or other interested parties in the ability to effectively manage information security.
Background
ISO 27001 provides requirements for establishing, implementing, maintaining and continually improving an information security management system, or ISMS. The adoption of an ISMS is a strategic decision for an organization. The establishment and implementation of an ISMS is influenced by the organization’s needs and objectives, security requirements of interested parties, the processes used and the organizational size and structure maintained, all of which can change over time.
A sound ISMS and Statement of Accountability preserves the confidentiality, integrity and availability of information by applying a risk management process and gives confidence to interested parties that risks are adequately managed.
The process
As an organisation, the steps involved for you are:
- Applying for certification: Review and accept our customised Proposal, and you're underway.
- Achieving certification: Firstly, a pre-certification audit (Stage 1) will be conducted either on-site (at your premises) or off-site (at our premises) or both, to see whether your management system is suitable. Areas of concern will be reported. Once concerns have been actioned, an on-site certification audit (Stage 2) will be conducted, where we examine the extent to which you address the program criteria. Areas of concern will be reported. Once we are satisfied there are no outstanding issues that present an unacceptable risk to you, your employees, customers, regulators, Equal Assurance or others, we can proceed to issue a Certificate of Confidence.
- Maintaining certification: Depending on the level of risk, we will conduct a series of surveillance audits (and in some cases special and follow-up audits) and tri-ennial re-certification audits, to examine the extent to which you continue to address the program criteria. Areas of concern will be reported. So long as we continue to be satisfied there are no outstanding issues that present an unacceptable risk to you, your employees, customers, regulators, Equal Assurance or others, your certification remains valid.
Further information
Tel: +66 (0)63 187 9718
E-mail: eqa.training@equalassurancethai.com
How certification with EQA works
Seven steps from application to a certificate that is maintained over a three-year cycle. Each step links to a guide with more detail.
- Application
Fill in the online application on the certification page: scope, sites, headcount and the standard. No fee at this step. Read more →
- Application review and quotation
EQA checks that the scope is within its competence and calculates the audit time under IAF MD 5, so the quotation is based on your organisation, not a list price. Read more →
- Agreement and audit planning
Once you accept, EQA assigns an audit team with no consultancy or other conflict of interest with your organisation and agrees the audit dates with you. Read more →
- Stage 1 audit
A readiness review of your documented system, scope, legal register, internal audit and management review. You receive a report of anything to resolve before Stage 2. Read more →
- Stage 2 audit
On-site audit of how the system works in practice: records, interviews and observation against every requirement of the standard. Read more →
- Closing findings and the certification decision
You submit corrections and corrective actions for any nonconformity. The decision to certify is taken by a person who was not on the audit team. Read more →
- Certificate and the three-year cycle
The certificate is valid for three years, with surveillance audits in years one and two and a recertification audit before expiry. Certified organisations may use the EQA mark under its rules. Read more →
EQA does not publish turnaround times, because audit time depends on the size and complexity of each organisation. Ask for a quotation to get dates for your case.
Organisations certified with EQA
Choosing a certification body: guides
Before you apply, these guides explain what to check, what affects cost and timing, and what happens after the certificate is issued. Articles are in Thai.