ยกระดับการรักษาความมั่นคงปลอดภัยบนระบบคลาวด์ด้วย ISO 27017 และ ISO 27018 ป้องกัน Data Breach

ทำไมมาตรฐานเฉพาะด้านคลาวด์จึงมีความสำคัญต่อการป้องกันข้อมูลรั่วไหล

การย้ายระบบงานขึ้นสู่ระบบคลาวด์ช่วยเพิ่มความคล่องตัวทางธุรกิจ แต่ขณะเดียวกันก็นำมาซึ่งความเสี่ยงจากเหตุการณ์ข้อมูลรั่วไหล (Data Breach) ที่เพิ่มขึ้นอย่างต่อเนื่อง เช่น การกำหนดสิทธิ์ผู้ใช้งานผิดพลาด (Misconfiguration) หรือช่องโหว่ในการจัดการ Credential แม้ว่า ISO/IEC 27001:2022 - Information security management systems จะครอบคลุมภาพรวมของ ISMS แต่การใช้งานคลาวด์ต้องการแนวทางการควบคุมที่เฉพาะเจาะจงยิ่งขึ้น

มาตรฐาน ISO/IEC 27017 มอบแนวทางปฏิบัติสำหรับการควบคุมความมั่นคงปลอดภัยในบริการคลาวด์ (Cloud Security) ทั้งในมุมของผู้ให้บริการคลาวด์ (Cloud Service Provider) และผู้ใช้บริการ (Cloud Customer) ขณะที่ ISO/IEC 27018 มุ่งเน้นการคุ้มครองข้อมูลระบุตัวตน (PII) บนระบบคลาวด์สาธารณะโดยเฉพาะ ซึ่งสอดรับกับหลักเกณฑ์การป้องกันข้อมูลรั่วไหลในระดับสากล

คำแนะนำสำหรับองค์กรไทยในการบูรณาการควบคุมความปลอดภัยคลาวด์

เพื่อลดความเสี่ยงจากการถูกโจมตีทางไซเบอร์และการทำผิดเงื่อนไขความปลอดภัย องค์กรในประเทศไทยควรนำข้อกำหนดต่อไปนี้มาปรับใช้:

1. แบ่งแยกหน้าที่ความรับผิดชอบอย่างชัดเจน: นำเกณฑ์ ISO 27017 มากำหนดบทบาทระหว่างองค์กรและ Cloud Provider ให้ชัดเจน เช่น การจัดการระบบสำรองข้อมูล การเข้ารหัสลับ และการตรวจสอบการเข้าถึง
2. เพิ่มความเข้มงวดในการปกป้องข้อมูลส่วนบุคคลบนคลาวด์: ปฏิบัติตาม ISO 27018 ด้วยการจำกัดการนำข้อมูลลูกค้าไปประมวลผลนอกเหนือวัตถุประสงค์ พร้อมเปิดใช้งานการเข้ารหัสข้อมูลทั้งในระหว่างส่ง (In Transit) และขณะจัดเก็บ (At Rest)
3. เฝ้าระวังและทดสอบเหตุการณ์ผิดปกติสม่ำเสมอ: จัดทำระบบ Cloud Security Posture Management (CSPM) และแผนตอบสนองต่อเหตุภัยคุกคามเพื่อลดผลกระทบหากเกิดเหตุการณ์ละเมิดข้อมูล

---

แหล่งอ้างอิง

1. ISO/IEC 27001 Information Security Management