ใครคือผู้อนุมัติการตัดสินใจนโยบายความปลอดภัยเครือข่าย?

ผู้มีอำนาจอนุมัติ (Approval Authority) นโยบายความปลอดภัยข้อมูล

ตามมาตรฐานสากล (ISO 27001, NIST, COBIT) และการกำกับดูแลกิจการ (Corporate Governance):

1. ระดับบริหารสูงสุด (Top Management / Board Level)

• Board of Directors / Audit Committee - อนุมัติ Information Security Policy (Master Policy) ระดับองค์กร
• CEO / President - ลงนามรับรอง นโยบายหลัก การจัดสรรทรัพยากร
• CISO (Chief Information Security Officer) - Propose, Develop, Maintain นโยบาย แต่มัก ไม่ได้ Approve เอง (Separation of Duties)

2. ระดับบริหารระดับกลาง (Senior Management)

• CIO / CTO / VP IT - อนุมัติ System-Specific Policies (Network, Cloud, Endpoint, Application)
• CRO / Chief Risk Officer - Review Risk Appetite, Policy Alignment
• Legal/Compliance/Privacy Officer - อนุมัติด้าน Legal/Regulatory (GDPR, PDPA, HIPAA)

3. ระดับปฏิบัติการ (Operational Level)

• Information Security Policy Council / Committee - ประกอบด้วย CISO, CIO, CRO, Legal, HR, Business Unit Heads
• หน้าที่: Review, Recommend, Monitor, Enforce - ไม่ได้ Approve Master Policy
• Data Owners / System Owners - Approve Issue-Specific Policies (Data Classification, Access Control Rules สำหรับระบบที่รับผิดชอบ)

กระบวนการพัฒนาและอนุมัติ นโยบาย (Policy Lifecycle)

1. Initiate: CISO/Security Team ระบุความต้องการ (Risk, Regulation, Incident, Audit Finding)
2. Draft: Security Team เขียน Draft Policy (ใช้ Template: ISO 27001 Annex A, NIST 800-53)
3. Review: Stakeholders (Legal, HR, IT, Business Units, Union/Works Council) ให้ Feedback
4. Approve: Top Management / Board ลงนาม Master Policy; Senior Management ลงนาม System/Issue Policies
5. Publish & Communicate: Intranet, Policy Portal, Acknowledgment (Click-through/Signature)
6. Train & Awareness: Role-based Training, Phishing Sim, Tabletop
7. Enforce & Monitor: Technical Controls, Audits, KPIs, Exceptions Process
8. Review & Update: ประจำปี (Annual) หรือเมื่อมี Trigger (Breach, Law Change, Merger, Tech Change)

3 ประเภทนโยบายความปลอดภัย (Three Types of Security Policies)

องค์ประกอบหลักที่ต้องมีใน Security Policy

1. Purpose & Scope - เป้าหมาย ขอบเขต ใครบ้าง
2. Roles & Responsibilities - RACI Matrix (Owner, Custodian, User)
3. Compliance Requirements - Laws, Regulations, Standards, Contracts
4. Risk Management Approach - Risk Appetite, Assessment Methodology
5. Control Objectives & Requirements - Mapping ไป Standards (ISO, NIST, PCI)
6. Enforcement & Sanctions - ผลของการ違反
7. Review Cycle & Version Control - Annual, Change Log, Approval History

เครื่องมือช่วย Implement Policy

• GPO (Group Policy Objects) - Windows Domain Policies
• MDM/UEM (Intune, Jamf, VMware Workspace ONE) - Mobile/Endpoint Policies
• CSPM/SSPM (Wiz, Prisma, Netskope) - Cloud/SaaS Policy Enforcement
• Policy as Code (OPA, Sentinel, Kyverno, Checkov) - IaC/GitOps Policy Enforcement
• NIST CSF / ISO 27001 Toolkits - Policy Templates, Gap Assessment

บทบาทใน Security Governance (Common Roles)

• Direct (Board/CISO): Strategy, Risk Appetite, Policy Approval
• Develop (Security Team): Policy Drafting, Standards, Procedures, Guidelines
• Implement (IT/Engineering/Business): Technical Controls, Configurations, Processes
• Monitor (Audit/Compliance/SOC): KPIs, Metrics, Audits, Continuous Monitoring
• Assure (Internal/External Audit): Independent Verification

สรุป: ใคร Approve อะไร?