home

หน้าแรก
 Computer >> บทช่วยสอนคอมพิวเตอร์ >  >> ระบบเครือข่าย >> ความปลอดภัยเครือข่าย

ประเทศไหนบ้างที่ใช้มาตรฐาน ISO 27001 และ ISO 31000 สำหรับไซเบอร์ซีคิวริตี้?

ISO 27001 และ ISO 31000: มาตรฐานสากล ไม่ผูกมัดกับประเทศใดประเทศหนึ่ง

สำคัญ: ISO 27001 และ ISO 31000 เป็น มาตรฐานระดับสากล (International Standards) ที่เผยแพร่โดย ISO (International Organization for Standardization) ใช้งานได้ทั่วโลก ไม่ได้จำกัดเฉพาะประเทศใดประเทศหนึ่ง องค์กรทุกขนาด ทุกภาคส่วน ทุกประเทศ สามารถนำไปใช้ รับรองมาตรฐาน และปฏิบัติตามได้

ISO 27001: ระบบจัดการความปลอดภัยข้อมูล (ISMS)

คืออะไร?

มาตรฐานสากลสำหรับ Information Security Management System (ISMS) ให้กรอบงานจัดตั้ง ดำเนินการ รักษา และปรับปรุงความปลอดภัยข้อมูลอย่างต่อเนื่อง (PDCA Cycle) เผยแพร่ครั้งล่าสุด: ISO/IEC 27001:2022

องค์ประกอบหลัก:

  • Clause 4-10: ข้อกำหนดบังคับ (Requirements) - Context, Leadership, Planning, Support, Operation, Performance Evaluation, Improvement
  • Annex A (Reference Controls): 93 ควบคุม (Controls) แบ่ง 4 ธีม: Organizational, People, Physical, Technological
  • Risk-based approach: Clause 6.1 กำหนดให้ประเมินความเสี่ยงและเลือกควบคุมที่เหมาะสม

ใครใช้ ISO 27001?

  • องค์กรทุกประเภท: สตาร์ทอัพ, SME, Enterprise, รัฐบาล, องค์กรไม่แสวงหาผลกำไร
  • ทุกอุตสาหกรรม: ธนาคาร/การเงิน, สุขภาพ, IT/Telecom, 製造業, Retail, Education, Government
  • ประเทศที่มีองค์กรรับรองมากที่สุด (ข้อมูล ISO Survey): China, Japan, India, UK, USA, Germany, Italy, Spain, Netherlands, Taiwan

ISO 31000: การจัดการความเสี่ยง (Risk Management)

คืออะไร?

มาตรฐานสากลสำหรับ Risk Management ให้ หลักการ (Principles), กรอบงาน (Framework), กระบวนการ (Process) ที่ใช้ได้กับ ความเสี่ยงทุกประเภท (การเงิน, ความปลอดภัย, โครงการ, ไซเบอร์, สภาพแวดล้อม, ข้อบังคับ)

หลักการ 8 ข้อ (Principles):

  1. Integrated (บูรณาการ)
  2. Structured and Comprehensive (มีโครงสร้าง ครบถ้วน)
  3. Customized (ปรับให้เหมาะสม)
  4. Inclusive (รวมทุกฝ่าย)
  5. Dynamic (ไดนามิก/ปรับตัว)
  6. Best Available Information (ใช้ข้อมูลที่ดีที่สุด)
  7. Human and Cultural Factors (ปัจจัยมนุษย์/วัฒนธรรม)
  8. Continual Improvement (ปรับปรุงต่อเนื่อง)

กระบวนการ 5 ขั้นตอน:

  1. Establish Context: กำหนดขอบเขต มาตรเกณฑ์
  2. Risk Identification: ระบุความเสี่ยง (What can happen? Why? How?)
  3. Risk Analysis: วิเคราะห์ความน่าจะเป็นและผลกระทบ
  4. Risk Evaluation: ประเมินว่ายอมรับได้หรือต้องดำเนินการ
  5. Risk Treatment: จัดการความเสี่ยง (Avoid, Reduce, Transfer, Accept)

ความสัมพันธ์ระหว่าง ISO 27001 และ ISO 31000

มุมมองISO 27001ISO 31000
ขอบเขตเฉพาะ Information Securityความเสี่ยงทุกประเภท (Enterprise Risk)
ลักษณะRequirements (บังคับ, รับรองได้)Guidelines (แนวทาง, รับรองไม่ได้)
ความเสี่ยงClause 6.1: Risk Assessment & TreatmentFull Process (Context → Treatment)
การเชื่อมโยงอ้างอิง ISO 31000 ใน Clause 6.1.2 & 6.1.3เป็นพื้นฐานทฤษฎีของ ISO 27001
มาตรฐานเชื่อมโยงISO/IEC 27005 (InfoSec Risk Mgmt)ISO 31010 (Risk Assessment Techniques)

ประเทศ/ภูมิภาคที่เน้นการใช้งานมาก (Adoption Rate สูง)

แม้จะเป็นมาตรฐานสากล แต่วัฒนธรรมการปฏิบัติต่างกัน:

เอเชีย-แปซิฟิก (Adoption สูงมาก)

  • ญี่ปุ่น: นำร่อง ISO 27001 มากกว่า 20 ปี กว่า 10,000 ใบรับรอง
  • จีน: จำนวนใบรับรอง ISO 27001 มากที่สุดโลก (รัฐบาลบังคับภาคสำคัญ)
  • อินเดีย: IT/Outsourcing hub ใช้ ISO 27001 เป็นข้อกำหนดลูกค้าต่างชาติ
  • สิงคโปร์: CSA Cyber Essentials, PDPA บังคับ ISO 27001 ภาคการเงิน/สาธารณูปโภค
  • ออสเตรเลีย/นิวซีแลนด์: Government ICT procurement ต้องการ ISO 27001
  • เกาหลีใต้: ISMS-P (รวม ISO 27001 + PIMS) บังคับภาคสาธารณะ

ยุโรป

  • UK: GDPR, NIS Regulations กระตุ้น ISO 27001
  • เยอรมนี: BSI IT-Grundschutz (รวม ISO 27001) มาตรฐานรัฐบาล
  • เนเธอร์แลนด์, สเปน, อิตาลี: ใบรับรองสูงในภาคเอกชน

อเมริกาเหนือ

  • สหรัฐอเมริกา: NIST CSF เป็นหลัก แต่ ISO 27001 ใช้ใน Enterprise/Global Business/DoD Contractors
  • แคนาดา: PIPEDA, การจัดซื้อรัฐบาล รับ ISO 27001

ไทยแลนด์

  • PDPA (พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล) กระตุ้นการนำ ISO 27001 ไปใช้
  • BOT (ธนาคารแห่งประเทศไทย) กำหนดให้สถาบันการเงินมี ISMS ตามมาตรฐาน
  • ETDA (สำนักงานกิจการระหว่างประเทศดิจิทัล) ส่งเสริม ISO 27001, ISO 22301
  • องค์กรรัฐ/รัฐวิสาหกิจ เริ่มบังคับ/ส่งเสริมการรับรอง

มาตรฐานเกี่ยวข้องอื่นๆ

  • ISO/IEC 27002: Code of Practice สำหรับ Controls (คู่มือการปฏิบัติ) - ไม่รับรองได้
  • ISO/IEC 27005: Information Security Risk Management - เฉพาะเจาะจง
  • ISO/IEC 27701: Privacy Information Management (PIMS) - ขยายจาก ISO 27001 สำหรับ GDPR/PDPA
  • ISO/IEC 27017/27018: Cloud Security Controls
  • NIST CSF / NIST 800-53: มาตรฐานสหรัฐ (ยอมรับสากล)
  • SOC 2: รายงานการควบคุม (Attestation) ไม่ใช่มาตรฐานจัดการ
  • Cyber Essentials (UK): Baseline controls พื้นฐาน

สรุป

  • ISO 27001 และ ISO 31000 ใช้ได้ทุกประเทศ ไม่มีรายชื่อประเทศที่ "บังคับ" หรือ "ใช้" อย่างเป็นทางการ
  • การนำไปใช้ขึ้นอยู่กับ: กฎหมาย/ข้อบังคับท้องถิ่น, ความต้องการลูกค้า/พาร์ทเนอร์, ความสุจริตขององค์กร
  • ประเทศที่มีการรับรอง ISO 27001 สูงสุด: China, Japan, India, UK, USA, Germany
  • ในไทย: PDPA, BOT, ETDA, สำนักงานสาธารณสุข เป็นขับเคลื่อนหลัก
  • ISO 31000 ใช้เป็นกรอบงาน ERM (Enterprise Risk Management) ในองค์กรใหญ่ทั่วโลก รวมถึงไทย