กรอบการปฏิบัติตามข้อกำหนด

การปฏิบัติตามข้อกำหนดหมายถึงการปฏิบัติตามข้อกำหนดด้านความปลอดภัยที่กำหนดโดยกฎหมาย ระเบียบข้อบังคับ หรือมาตรฐานอุตสาหกรรม กรอบงานช่วยให้องค์กรมีชุดมาตรการควบคุมที่มีโครงสร้าง เป็นที่ยอมรับ และสามารถนำไปใช้พร้อมแสดงหลักฐานได้

การปฏิบัติตามข้อกำหนดไม่ใช่สิ่งเดียวกับความปลอดภัย แต่กรอบงานที่ดีจะช่วยผลักดันให้เกิดการปรับปรุงที่เป็นรูปธรรม

ISO/IEC 27001 เป็นมาตรฐานสากลสำหรับ ISMS (ระบบการจัดการความมั่นคงปลอดภัยสารสนเทศ) มาตรฐานนี้อิงความเสี่ยง โดยคุณจะระบุความเสี่ยง เลือกมาตรการควบคุมจากภาคผนวก A และปรับปรุงอย่างต่อเนื่อง

• ผู้ตรวจสอบที่ได้รับการรับรองเป็นผู้ออกใบรับรอง
• เน้นกระบวนการบริหารจัดการ ไม่ใช่เพียงเทคโนโลยี

SOC 2 (การควบคุมระบบและองค์กร) เป็นรายงานการรับรองข้อเท็จจริงที่พบได้ทั่วไปในผู้ให้บริการซอฟต์แวร์ในรูปแบบบริการ โดยอิงตาม เกณฑ์บริการด้านความน่าเชื่อถือ ของ AICPA ซึ่งครอบคลุมความปลอดภัย ความพร้อมใช้งาน ความถูกต้องสมบูรณ์ของการประมวลผล การรักษาความลับ และความเป็นส่วนตัว

• ประเภทที่ I: มาตรการควบคุมได้รับการออกแบบ ณ ช่วงเวลาใดเวลาหนึ่ง
• ประเภทที่ II: มาตรการควบคุมทำงานได้อย่างมีประสิทธิผลตลอดช่วงเวลาหนึ่ง

PCI DSS (มาตรฐานความปลอดภัยข้อมูลอุตสาหกรรมบัตรชำระเงิน) ใช้กับองค์กรใดก็ตามที่จัดเก็บ ประมวลผล หรือส่งข้อมูลผู้ถือบัตร มาตรฐานนี้มีข้อกำหนดเชิงกำหนดตายตัวและเป็นรูปธรรม

• เข้ารหัสข้อมูลผู้ถือบัตรและใช้การแบ่งส่วนเครือข่าย
• จำกัดสิทธิ์เท่าที่จำเป็นต้องรู้
• ทดสอบและเฝ้าติดตามเป็นประจำ

คุณจะพบกรอบข้อกำหนดต่อไปนี้ด้วย:

• GDPR: การคุ้มครองข้อมูลและความเป็นส่วนตัวของ EU
• HIPAA: ข้อมูลด้านการดูแลสุขภาพของ US
• NIST CSF / 800-53: กรอบงานและบัญชีรายการมาตรการควบคุมของ US

กรอบงานหลายรายการมีส่วนที่ทับซ้อนกัน จึงสามารถจับคู่มาตรการควบคุมระหว่างกรอบงานต่าง ๆ ได้

กรอบงานมีได้หลายระดับ:

• อิงความเสี่ยง (ISO 27001): คุณเลือกมาตรการควบคุมให้เหมาะสมกับความเสี่ยงของตน
• กำหนดตายตัว (PCI DSS): มีข้อกำหนดบังคับเฉพาะเจาะจงโดยไม่คำนึงถึงบริบท

การทราบประเภทของกรอบงานจะช่วยให้คุณรู้ว่าสามารถปรับมาตรการควบคุมได้มากน้อยเพียงใด

การกำหนด scope เป็นขั้นตอนเชิงปฏิบัติขั้นแรก scope จะกำหนดว่าระบบ ข้อมูล และกระบวนการใดอยู่ภายใต้กรอบงาน

สำหรับ PCI DSS การแบ่งส่วนสามารถลด scope และค่าใช้จ่ายได้ โดยแยกระบบที่มีข้อมูลผู้ถือบัตรออกจากส่วนอื่นของเครือข่าย

กรอบงานจัดระเบียบข้อกำหนดเป็น มาตรการควบคุม ซึ่งมักจัดกลุ่มเป็นหมวดต่าง ๆ เช่น การควบคุม access การเข้ารหัส การบันทึกเหตุการณ์ และการรับมือเหตุการณ์

มาตรการควบคุมแต่ละรายการต้องมีผู้รับผิดชอบ การนำไปใช้ และหลักฐานว่าใช้งานได้จริง

ผลลัพธ์จะแตกต่างกันไปตามกรอบงาน:

• การรับรอง (ISO 27001): ใบรับรองผ่าน/ไม่ผ่านจากหน่วยงานที่ได้รับการรับรอง
• การรับรองข้อเท็จจริง (SOC 2): รายงานความเห็นของผู้ตรวจสอบที่แบ่งปันภายใต้ NDA
• การยืนยันความสอดคล้อง (PCI DSS): AOC และ/หรือ ROC จาก QSA

การปฏิบัติตามข้อกำหนดไม่ใช่เหตุการณ์ที่เกิดขึ้นเพียงครั้งเดียว มาตรฐานคาดหวังให้มีการดำเนินงานอย่างต่อเนื่อง การประเมินซ้ำเป็นระยะ และการปรับปรุง

• ISO 27001 กำหนดให้มีการตรวจประเมินติดตาม
• SOC 2 ประเภทที่ II ครอบคลุมช่วงเวลาหลายเดือน
• PCI DSS กำหนดให้สแกนรายไตรมาสและประเมินประจำปี

องค์กรส่วนใหญ่ต้องปฏิบัติตามกรอบงานหลายรายการพร้อมกัน ควรสร้าง การจับคู่มาตรการควบคุม เพื่อให้มาตรการควบคุมหนึ่งรายการที่นำไปใช้อย่างดี เช่น MFA ตรงตามข้อกำหนดที่สอดคล้องกันใน ISO 27001, SOC 2 และ PCI DSS ได้พร้อมกัน ช่วยหลีกเลี่ยงงานซ้ำซ้อน

จับคู่กรอบงานกับลักษณะของกรอบงานนั้น

กรอบงานการปฏิบัติตามข้อกำหนดช่วยจัดโครงสร้างและแสดงหลักฐานด้านความปลอดภัย:

• ISO 27001 = การรับรอง ISMS ที่อิงความเสี่ยง
• SOC 2 = การรับรองข้อเท็จจริงตามเกณฑ์บริการด้านความน่าเชื่อถือสำหรับผู้ให้บริการ
• PCI DSS = มาตรฐานที่กำหนดตายตัวสำหรับข้อมูลผู้ถือบัตร
• กำหนด scope มอบหมายผู้รับผิดชอบมาตรการควบคุม และจับคู่มาตรการควบคุมที่ทับซ้อนกันเพื่อประสิทธิภาพ