ก้าวข้ามการเปลี่ยนแปลง ISO/IEC 27001:2022 และ Amendment 2024: แนวทางที่องค์กรไทยต้องปฏิบัติ

การเปลี่ยนแปลงสำคัญใน ISO/IEC 27001 และบริบทใหม่ปี 2024

มาตรฐานระบบบริหารจัดการความมั่นคงปลอดภัยสารสนเทศ ISO/IEC 27001 ได้ผ่านการปรับปรุงครั้งสำคัญในเวอร์ชัน 2022 โดยจัดกลุ่มการควบคุม (Controls) ใน Annex A จากเดิม 114 มาตรการเป็น 93 มาตรการ ภายใต้ 4 หมวดหลัก ได้แก่ Organizational, People, Physical และ Technological พร้อมเพิ่มมาตรการใหม่ที่สะท้อนภัยคุกคามยุคดิจิทัล เช่น Threat Intelligence, Cloud Services Security และ Data Leakage Prevention (DLP)

นอกจากนี้ ในปี 2024 ยังมีการประกาศ ISO/IEC 27001:2022/Amd 1:2024 ที่กำหนดให้องค์กรต้องนำประเด็นด้าน Climate Change เข้ามาประเมินในบริบทขององค์กร (Context of the Organization) ว่าส่งผลกระทบต่อความมั่นคงปลอดภัยสารสนเทศหรือความต่อเนื่องในการดำเนินธุรกิจ (BCP/DRP) หรือไม่อย่างมีนัยสำคัญ ทั้งนี้ กำหนดเวลาการสิ้นสุดการเปลี่ยนผ่าน (Transition Period) ของเวอร์ชัน 2013 อยู่ในเดือนตุลาคม 2025 ซึ่งหมายความว่าทุกองค์กรจะต้องได้รับการรับรองภายใต้มาตรฐานฉบับใหม่นี้อย่างสมบูรณ์

ความท้าทายขององค์กรไทยและข้อเสนอแนะเชิงปฏิบัติ

สำหรับองค์กรในประเทศไทย โดยเฉพาะกลุ่มการเงิน ประกันภัย โรงพยาบาล และผู้ให้บริการไอที การยกระดับ ISMS จำเป็นต้องดำเนินมาตรการเชิงรุกดังนี้:

1. ปรับปรุงการประเมินความเสี่ยงและ Statement of Applicability (SoA): ทบทวนรายการควบคุมตาม Annex A 93 ข้อเดิมให้สอดรับกับการใช้งาน Cloud และ Hybrid Work
2. บูรณาการ Threat Intelligence: นำระบบตรวจจับภัยคุกคามที่มีการอัปเดตแบบเรียลไทม์มาใช้เป็นส่วนหนึ่งของการเฝ้าระวังความปลอดภัย
3. ประเมินความต่อเนื่องทางธุรกิจต่อภัยพิบัติ: วิเคราะห์ความเสี่ยงด้านสภาพอากาศรุนแรงต่อ Data Center หลักและศูนย์สำรองตามข้อกำหนด Amendment 1:2024

การเตรียมความพร้อมร่วมกับผู้เชี่ยวชาญด้านการตรวจประเมินจะช่วยลดระยะเวลาและความเสี่ยงในการไม่ผ่านการรับรองระบบอย่างราบรื่น

---

แหล่งอ้างอิง

1. ISO Official Standard
2. GRC Lab ISO 27001 Guide
3. E-Sign News & Insights