Information Security Management System (isms) : Iso 27001

Information Security Management Systems (ISMS) : ISO 27001 ในธุรกิจ IT โดยทั่วไปจะประกอบดวย Information Security อยูในทั้ง 3 ระดับไดแก ระดับที่ 1 คือ Organizational Security ซึ่งเปนระดับที่อยูบนสุดประกอบดวย การจัดการ ความปลอดภัยของระบบ, มาตราฐาน ISO/IEC 17799:2005, มาตราฐาน ISO/IEC 27001:2005, ITBPM, GSM Audit/TU4 เปนตน ระดับที่ 2 คือ IT System Security ซึ่งเปนระดับที่อยูตรงกลางประกอบดวย • การประเมินระบบIT และ Certification • ความปลอดภัยของเครือขาย ระบบปฏิบัติการ Application และ Physical • SQ (System Qualification), SigG ระดับที่ 3 คือ Product Security ซึ่งเปนระดับที่อยูลางสุดประกอบดวย • การทดสอบ ประเมิน และ รับรองผลิตภัณฑ • Software และ Hardware • มาตราฐาน ISO 15408 (common criteria) ขอมูล (Information) ถือเปนทรัพยสิน(asset) ที่สําคัญตอธุรกิจขององคกรที่ตองไดรับการปกปองและการรักษาความ ปลอดภัยของขอมูลตองคํานึงถึง 3 ประเด็นหลักคือ Confidentiality Integrity และ Availability โดยอาจรวมถึง authenticity accountability non-repudiation และ reliability ดวย ISO/IEC 17799:2005 คือมาตราฐานสําหรับการจัดการความปลอดภัยของขอมูล (Information Security Management) ที่ ประกอบดวยกระบวนการ (Procedure) มาตรการ (Measure) และ ขอเสนอแนะของมาตรการ (Recommendation of measure) ซึ่ง ISO/IEC 27001:2005 ประกอบดวย 133 controls (11 detailed control clauses และ 39 control objectives) ISO/IEC 27001 Framework ประกอบดวย Plan Do Check และ Act. • Plan ตรงกับการสราง ISMS (ขอ 4.2.1) • Do ตรงกับการ Implement และ Operate ISMS (ขอ4.2.2) • Check ตรงกับการตรวจสอบและ Review ISMS (ขอ4.2.3) • Act ตรงกับการบํารุงรักษาและปรับปรุง ISMS (ขอ4.2.4) หัวขออบรมไดกลาวถึง กระบวนในการจัดการดานความเสี่ยง ซึ่งรวมถึง การประเมินความเสี่ยง, การจัดการบริหารความ เสี่ยง และการจัดทําเอกสาร statement of applicability ในการประเมินความเสี่ยงสามารถเลือกใชแนวทางไดหลายวิธีซึ่งวิธีที่เลือกใช นั้นจะตองเปนวิธีที่สามารถเปรียบเทียบไดและสามารถทําไดใหมเพื่อใหการปรับปรุงประสิทธภาพเปนไปอยางตอเนื่อง ในสวนของการ จัดเตรียมเอกสารของการประเมินความเสี่ยงนั้นจะตองประกอบไปดวย 1. การกําหนดความเสี่ยง (Risk identification) - สินทรัพย (assests)/ ภัยคุกคาม (threats)/ ชองโหว (vulnerabilities) - ผลกระทบที่เกิดขึ้นจากความเสี่ยง (risk impact) 2. การประเมินความเสี่ยง (Assessment of the risks)

1/8

Information Security Management Systems (ISMS) : ISO 27001 - ประเมินจํานวนขั้นของความเสี่ยง (estimate the levels) - ประเมินเกณทของความเสี่ยงทีย่ อมรับได (acceptable level of risk) 3. การบริหารความเสี่ยง (Treatment of the risks) - เลือกใชการจัดการ (controls) ที่เหมาะสม เพื่อใหสามารถควบคุมความเสี่ยงใหอยูในเกณทที่กําหนด เกณฑในการยอมรับความเสี่ยงและขั้นของความเสี่ยงที่ยอมรับไดนั้นจะตองถูกกําหนดอยางชัดเจน กอนการจัดทําเอกสาร statement of applicability ซึ่งจะกําหนด (i) การจัดการ (controls) ที่เลือกใช และเหตุผลของการเลือก (ii) การจัดการ (controls) ที่ใช อยูในปจจุบัน (iii) การจัดการ (controls) ที่ไมไดเลือกใช จะตองระบุเหตุผลและเกณฑในการไมเลือกใชการจัดการนั้นๆ หัวขออบรมไดกลาวถึงประเภทของการตรวจสอบ (audit), หนวยงานที่เกีย่ วของในการรับรองมาตราฐานระบบที่เกี่ยวของ รวมถึงมาตราฐาน ISMS, หลักการในการทํา audit, กระบวนการและขั้นตอนในการทํา audit, คุณสมบัติของผูทําการ audit หลักการ สําคัญในการทํา audit ตามมาตราฐาน ISMS นั้นเพื่อที่จะยืนยันหลักฐานของการมีอยูจริงของการปฏิบัติตาม ISMS ในองคกร และ หากมีการปฏิบัติแลวนั้นจะตองตรวจสอบวากระบวนการตางๆ ตาม ISMS ที่ใชปฏิบตั ิมีประสิทธิภาพดวยหรือไม ในการทํา audit นั้นจะมีอยูสองขั้นตอนหลักคือ ในเฟสแรกการ audit จะทําการตรวจสอบเอกสาร (document review) และ เตรียมพรอมในการทําการ audit ณ.สถานที่จริง (on-site audit) ในเฟสที่สองการ audit จะทํา on-site audit และเตรียมเอกสารขอ การรับรอง และจัดสง รายงานการตรวจสอบ (audit report) กอนที่จะเริ่มทําการ audit นั้นในขั้นตนทางผูตรวจสอบจะตองทําการวาง แผนการตรวจสอบ เพื่อเลือกหัวหนาคณะตรวจสอบ (lead auditor), กําหนดจุดประสงคของการตรวจสอบ, กําหนดขอบเขตและ เกณฑในการตรวจสอบ, กําหนดความเปนไปไดในการดําเนินการตรวจสอบ, เลือกคณะผูตรวจสอบ (auditor), ติดตอประสานงานกับ ผูที่จะเขาดําเนินการตรวจสอบ หลังจากการวางแผนงานดังกลาวแลวจึงจะสามารถเริ่มทําการ audit ในสองเฟสได ผูตรวจสอบจะตองจัดเตรียม Audit checklist และ Audit questionnaire • Audit checklist o เพื่อเปนการเตรียมความพรอมสําหรับการตรวจสอบ o เพื่อยืนยันความลึกซึ้งและเปนแนวทางในการตรวจสอบ o ควรจะตองสะทอนสภาพแวดลอมและขอบเขตของการตรวจสอบ o ตองไมสามารถคาดเดาลวงหนาได o ควรตองเปนคําถาม “ถูก” หรือ “ผิด” • Audit questionnaire o เพื่อเสริมกับ Audit checklist o เพื่อพิสูจนคําตอบของ Checklist วาเปนจริง o เปนคําถามเปด ขึ้นตนดวยคําเชน How, Where, Who, When, Why, What, What if ในการพัฒนาระบบ ISMS จะตองประกอบไปดวยขบวนการ (Process) มากมายกลาวคือ PROCESS คือกลุมของงาน (activities) ที่เกี่ยวของและมีความสัมพันธกันเพื่อแปลจาก input เปน output โดย output จะวัดไดเปนผลลัพธ (Effectiveness) ซึ่งวัด จากวางานนั้นไดผลตามที่คาดหมายหรือไม และผลสัมฤทธิ์ (Efficiency) ซึ่งวัดจากวาผลลัพธที่ไดใชทรัพยากรคุมคาหรือไม

2/8

Information Security Management Systems (ISMS) : ISO 27001 Process จะเนนความสําคัญของ 1. ความเขาใจความตองการของ Information security และความจําเปนในการสรางนโยบาย (Policy) และเปาหมาย (Objective) 2. Implement และ operate control ตางๆ เพื่อบริหารความเสี่ยงองคกร 3. Monitor และ Review ประสิทธิภาพ (Performance) และผลลัพธ (Effectiveness) ของ ISMS 4. Continual improvement ตามตัวชี้วัด การ Audit ในขั้นตอนที่สอง (Stage two audit) จุดประสงคเพื่อ 1. สรางความมั่นใจวาองคกรปฎิบัติตามนโยบาย (Policy) จุดประสงค (Objective) และขั้นตอน (Procedure) ที่ทําขึ้น 2. สรางความมั่นใจวา ISMS เปนไปตามความตองการของมาตรฐาน ISMS และเอกสารบังคับ (Normative document: Annex A) และบรรลุจุดประสงคของนโยบายขององคกร Stage two audit มุงเนนเรื่อง 1. การประเมินความเสี่ยงและการออกแบบผลลัพธของ ISMS 2. Statement of Applicability (SOA) 3. จุดประสงค (Objective) และเปาหมาย (target) 4. Monitoring, measuring, reporting และ reviewing เปรียบเทียบกับจุดประสงค และเปาหมาย 5. Security และ management review 6. ความรับผิดชอบของผูบริหารตอนโยบายความปลอดภัย 7. ความสัมพันธระหวางนโยบาย การประเมินความเสี่ยง จุดประสงคและเปาหมาย ความรับผิดชอบ โปรแกรม ขั้นตอน ขอมูลประสิทธิภาพ (performance data) และ Security review สวนประกอบของทีมงาน Audit และความรับผิดชอบ 1. Lead Auditor a. เปนผูนําทีม Audit b. รับผิดชอบตอการ Audit c. ตัดสินใจตอการสรุปผล Audit 2. Auditor(s) a. ชวยเหลือ Lead Auditor b. ดําเนินการ Audit งานที่ไดรับมอบหมาย 3. Expert a. ชวยเหลือใหขอมูลเฉพาะทางตางๆ 4. Observer สวนประกอบของทีมงาน Auditee และความรับผิดชอบ 1. Top management

3/8

Information Security Management Systems (ISMS) : ISO 27001 2. Representative (MR) a. เปนตัวกลางในการสื่อสาร b. ยอมรับการตัดสินใจของทีม Audit 3. Guides a. นําทีม Audit ในการเดินทางตรวจสอบหนวยงานตางๆ b. สังเกตุการณ Audit 4. Head of Department 5. Staff 6. Consultant การประชุม (Meeting) 1. Opening meeting a. เพื่อยืนยันแผนการตรวจสอบและขอบเขตของการตรวจสอบ b. บรรยายสรุปกิจกรรมการตรวจสอบ c. ใหโอกาส Auditee ในการซักถาม d. ยืนยันวัน เวลา การประชุม Closing meeting 2. Team meeting a. เฉพาะสําหรับสมาชิกทีม Audit b. ทบทวนความคืบหนา c. รายงาน Noncomformity และคําแนะนํา d. วางแผนสําหรับการ Audit ตอไป e. แกปญหาความขัดแยงภายในทีม 3. Daily review meeting with auditee a. ไมเกิน 15 ถึง 20 นาที b. ควรจะจัดขึ้นทุกสิ้นวัน c. ทบทวน Nonconformity d. แกไขปญหา e. แสดงความคืบหนาของการตรวจสอบ f. ชี้แจงจุดที่เขาใจผิดระหวางกัน 4. Final team meeting a. ทําความเขาใจกับสิ่งที่ตรวจพบ b. จัดชนิดและประเภทสิ่งที่ตรวจพบ c. เตรียมการสําหรับ Closing meeting d. เตรียมรายงาน e. ทําความตกลงกับผลของการ Audit

4/8

Information Security Management Systems (ISMS) : ISO 27001 Collection Information and Audit Skills เริ่มตนจะกลาวถึงกระบวนการที่เกี่ยวของกับการรวบรวมขอมูล ขณะทําการ on-site audit (audit) จนถึงการสรุปผลการ audit โดยมีทั้งหมด 5 ขั้นตอนไดแก 1) การระบุแหลงขอมูล 2) การรวบรวมขอมูลโดยการสุม และตรวจสอบขอมูลที่ได 3) การประเมินผลโดยใชเกณฑการ audit ที่ตั้งไว 4) การทบทวนผลที่ได 5) การสรุป สําหรับวิธีการรวบรวมขอมูลนั้นหลักๆ แลวไดแก 1) สัมภาษณพนักงานตําแหนงสําคัญๆ 2) ตรวจดูเอกสารตางๆ 3) ตรวจผลของกิจกรรมตางๆ เชน log file 4) สังเกตสถานที่ หรือกิจกรรมที่เกิดขึ้น ทักษะของการ audit ที่สําคัญคือ การสุมตัวอยางเพื่อการ audit โดย auditor ตองสุมตัวอยางใหเพียงพอ เพื่อใหมั่นใจไดวา auditee ทําตาม standard ซึ่งไมมีหลักเกณฑของการสุมที่แนนอนตายตัว สวนใหญขึ้นอยูกับประสบการณของ auditor และผลที่ได จากการสุม ในกรณี ที่ auditor ตอง auditor ลูกคาที่มีหลาย site ลําดับของ site ที่จะสุมตัวอยางขึ้นอยูกับ auditor พิจารณาเทานั้น ตอมา จะเปนคําแนะนําสําหรับ วิธกี ารสัมภาษณ ซึ่งสรุปคราวๆไดวา auditor ตองทําใหผูถูกสัมภาษณไมตกอยูในสถาน การณตึงเครียด และควรใชเวลาไมมากนักสําหรับการสัมภาษณ top management นั้นคือตองถามที่สําคัญๆ และเปนภาพรวมของ บริษัทเทานั้น สิ่งสําคัญของการสัมภาษณคือการตั้งคําถาม auditor ตองวางแผนในการตั้งคําถาม เพื่อใหไดคําตอบ ที่มีขอมูลครบถวน และมีประสิทธิภาพ และสิ่งที่ขาดไมไดในการ audit คือการจดขอมูลที่ไดรับขณะ audit ลงบนกระดาษ Audit Finding and Nonconformity ภาพรวมของบทนี้ จะกลาวถึง สิ่งที่พบจากการ Audit (audit finding) ในบทที่แลวไดกลาวถึงวิธีการใหไดมาซึงขอมูลขณะ ทําการ audit เมื่อ auditor ไดขอมูลมาแลว สิ่งตอไปที่ตองทําคือ การนําขอมูลมาประมวลผล เพื่อหาหลักฐานที่อิงกับขอมูลจริง ซึ่งตอง ใชตอนเขียน audit report Audit finding สามารถแบงไดเปน 4 ระดับไดแก 1) Conformity คือพบวาลูกคาทําตาม standard ซึ่งการจะสรุปในลักษณะ นี้ไดตองมีหลักฐาน ขอมูลยืนยันที่แนนอน 2) Nonconformity 3) Observation คือระดับที่ลูกคาจําเปนตองดูตรวจตราตอไป เพราะ อาจจะเกิดสิ่งที่ขัดกับ standard ไดในอนาคตอันใกล 4) Opportunities for Improvement หรือระดับที่มีแตคําชี้แนะ สําหรับระดับ Nonconformity สรุปคือการที่ management system ขาดบางสวนที่สําคัญของ standard ไป หรือมีการ implement เพื่อใหไดตรงตาม standard แตไมสําเร็จ ซึ่งระดับนี้แบงยอยไดเปน Major และ Minor

Writing Nonconformity Report (NCR) ในกรณีที่ auditor พบวา audit finding มี nonconformity เกิดขึ้น auditor ตองแจงใหบุคคลที่เกี่ยวของรับทราบ โดยผาน ทาง Nonconformity Report (NCR) ซึ่งการเขียน NCR นี้จะมีแบบฟอรมที่ชัดเจน ซึ่งไดระบุรายละเอียดสําคัญๆ ที่ auditor ตองปอน ไว เชน ระดับของ nonconformity วันที่ของตัว report และ clause number ของ standard ที่เกี่ยวของกับ nonconformity สําหรับรายละเอียดของ nonconformity ที่เขียนไวใน NCR ตองบอกไดวาเกิดอะไรที่ขัดกับ standard ขึ้น เกิดขึ้น ณ ที่ไหน ใน ISMS ทําไมจึงขัดกับ standard และขัดกับ standard ขออะไร

5/8

Information Security Management Systems (ISMS) : ISO 27001 เราสามารถสรุปขั้นตอนสรุปทายของการ Audit ไดดังนี้ ITEM

Description / Objectives 1 2 3 1. 2. 3. 4. 5. 6. 7. 8. 9. 10. 11.

6/8

Preparing Audit Conclusion Review the audit information finding Audit conclusions agreement Prepare recommendation Audit Conclusion The extent of conformity of the management system review process, implement, maintenance, improvement with the audit criteria Matrix of Nonconformities and summary report Closing Meeting Content of Closing Meeting Introductions Records of attendance Thank for …. Restate objectives and scope Limitation of audit Report Findings Statement of confidentiality Summary of Nonconformance reports(NCR) Recommendation Corrective action and follow-up (with agreed timescales) Questions

Information Security Management Systems (ISMS) : ISO 27001 ITEM

Description / Objectives 4 1. 2. 3. 4. 5. 6. 7. 8. 9. 10. 11. 12. 13. 14. 15. 16. 17. 18. 5 6 -

7/8

Audit Report The audit report should provide a complete, accurate, concise and clear record of the audit, and should include or refer to the following: the audit objectives; the audit scope, particularly identification of the organizational and functional units or processes audited and the time period covered; identification of the audit client; identification of audit team; the date and place of on-site audit activities; the audit criteria; the audit findings; the audit conclusions; the audit plan; a list of auditee representatives; The audit report may also or refer to the following: a summary of the audit process, the uncertainty, the obstacles encountered that could decrease the reliability of the audit conclusion; confirmation that the audit objectives have been accomplished within the audit scope in accordance with the audit plan; No covered area; any unresolved diverging opinions between audit team and auditee; recommendations for improvement; follow-up action plan agreement; a statement of the confidential nature of contents; the distribution list of the audit report. Corrective / Preventive process Initiation process Action process Close Out process Follow up action ISMS Certification Audit Lifecycle of third party Audit ISO 27001 Certification Audit

Information Security Management Systems (ISMS) : ISO 27001 ITEM

Description / Objectives -

8/8

ISMS Certification process Surveillance assessment Repeat Audit (Triennial Re-assessment) in 3 years issue Certificate Cancellation