เจาะลึก ISO/IEC 27001 ฉบับปรับปรุงใหม่ พร้อมข้อกำหนด Climate Action Amendment ที่องค์กรต้องรู้

การเปลี่ยนแปลงสำคัญของมาตรฐานระบบบริหารจัดการความมั่นคงปลอดภัยสารสนเทศ

ในภูมิทัศน์ความปลอดภัยสารสนเทศปัจจุบัน องค์กรทั่วโลกต้องเผชิญกับภัยคุกคามที่มีความซับซ้อนยิ่งขึ้น มาตรฐาน ISO/IEC 27001:2022 - Information security management systems จึงถือเป็นแกนหลักสำคัญในการตรวจประเมินความพร้อมของ Information Security Management System (ISMS) โดยมีการปรับโครงสร้างการควบคุม (Annex A Controls) ลดลงเหลือ 93 มาตรการภายใต้ 4 กลุ่มธีม พร้อมนำเสนอการควบคุมสมัยใหม่ เช่น Data Masking, Threat Intelligence และ Cloud Security Monitoring อย่างชัดเจน

จุดเปลี่ยนสำคัญล่าสุดคือการประกาศใช้ข้อกำหนดส่วนขยาย ISO/IEC 27001:2022/Amd 1:2024 ซึ่งกำหนดให้องค์กรต้องพิจารณาประเด็นด้านการเปลี่ยนแปลงสภาพภูมิอากาศ (Climate Action) เข้ามาเป็นส่วนหนึ่งของการประเมินบริบทองค์กร (Clause 4.1) และความต้องการของผู้มีส่วนได้ส่วนเสีย (Clause 4.2) โดยเหตุการณ์สภาพอากาศสุดขั้วหรือภัยธรรมชาติอาจส่งผลกระทบต่อศูนย์ข้อมูล (Data Center) และความต่อเนื่องของระบบไอที

แนวทางปฏิบัติสำหรับองค์กรในประเทศไทยเพื่อเตรียมความพร้อมรับการตรวจรับรอง

สำหรับองค์กรธุรกิจในไทยที่กำลังเตรียมตัวสำหรับการต่ออายุหรือขอรับรองมาตรฐาน ISMS ควรดำเนินการเชิงรุกดังต่อไปนี้:

1. ปรับปรุงบริบทองค์กรและการประเมินความเสี่ยง: บันทึกการวิเคราะห์ว่าการเปลี่ยนแปลงสภาพภูมิอากาศมีผลต่อการดำเนินงานหรือไม่ เช่น ความเสี่ยงน้ำท่วมศูนย์ข้อมูล ความเสถียรของระบบไฟฟ้า หรือข้อกำหนดด้านการกำกับดูแลจากคู่ค้าระดับสากล
2. ผสานโมเดล Shared Responsibility: สำหรับองค์กรที่ใช้ระบบคลาวด์ (เช่น AWS, Azure, Google Cloud) ควรบันทึกความรับผิดชอบร่วมกับผู้ให้บริการคลาวด์เกี่ยวกับการจัดการด้านกายภาพและศูนย์ข้อมูล
3. ปรับปรุงเอกสาร Statement of Applicability (SoA): ตรวจสอบว่ามาตรการควบคุมทั้งหมดอิงตามเวอร์ชันปี 2022 ครบถ้วน เพื่อให้การตรวจประเมินของ Certification Body เป็นไปอย่างราบรื่น

---

แหล่งอ้างอิง

1. ISO/IEC 27001:2022 Official Standard
2. ISO/IEC 27001:2022/Amd 1:2024 Climate Action Changes