ยกระดับความมั่นคงปลอดภัยบนคลาวด์ด้วยมาตรฐาน ISO/IEC 27017 และ 27018

ทำไมคลาวด์ต้องการมาตรฐานเฉพาะทาง

ในยุคที่องค์กรส่วนใหญ่ย้ายระบบขึ้นสู่คลาวด์ (Cloud Adoption) การพึ่งพาเพียงมาตรฐาน ISO/IEC 27001 อาจไม่เพียงพอ เนื่องจากสภาพแวดล้อมคลาวด์มีความซับซ้อนและมีโมเดลความรับผิดชอบร่วม (Shared Responsibility Model) ที่ชัดเจนระหว่างผู้ให้บริการ (CSP) และผู้ใช้บริการ (CSC) มาตรฐาน ISO/IEC 27017 จึงถูกออกแบบมาเพื่อเป็นแนวทางปฏิบัติเพิ่มเติมสำหรับบริการคลาวด์โดยเฉพาะ

เจาะลึก ISO/IEC 27017 และ 27018

ISO/IEC 27017 มุ่งเน้นไปที่การควบคุมความปลอดภัยสำหรับบริการคลาวด์ เช่น การจัดการสิทธิ์การเข้าถึง (IAM) การแยกส่วนข้อมูล (Data Segregation) และการจัดการเหตุการณ์ละเมิดความปลอดภัย ในขณะที่ ISO/IEC 27018 เน้นไปที่การคุ้มครองข้อมูลส่วนบุคคล (PII) ในสภาพแวดล้อมคลาวด์สาธารณะ เพื่อให้มั่นใจว่าข้อมูลส่วนบุคคลจะถูกจัดเก็บและประมวลผลอย่างปลอดภัยตามหลักสากล

ข้อเสนอแนะสำหรับองค์กรไทย

องค์กรที่ใช้บริการคลาวด์ควรตรวจสอบว่าผู้ให้บริการคลาวด์ของตนได้รับการรับรองมาตรฐานเหล่านี้หรือไม่ นอกจากนี้ องค์กรควรจัดทำ Shared Responsibility Matrix เพื่อระบุให้ชัดเจนว่ามาตรการความปลอดภัยใดเป็นหน้าที่ของใคร เพื่อป้องกันช่องโหว่ที่อาจเกิดขึ้นจากการเข้าใจผิดในหน้าที่ความรับผิดชอบ

---

แหล่งอ้างอิง

1. ISO/IEC 27001, 27017 and 27018 certifications - OVHcloud
2. What Are ISO 27001, ISO 27017, and ISO 27018 Standards? - Kiteworks