มาตรการควบคุม การตรวจประเมิน และการรับรอง

การเลือกกรอบงานเป็นส่วนที่ง่าย การทำงานที่ยากคือการนำมาตรการควบคุมไปใช้ แล้วพิสูจน์ว่ามาตรการเหล่านั้นได้ผลผ่านการตรวจประเมิน และขอรับการรับรองเมื่อจำเป็น

บทเรียนนี้ครอบคลุมเส้นทางในทางปฏิบัติ ได้แก่ มาตรการควบคุมมีลักษณะอย่างไรเมื่อใช้งานจริง หลักฐานประเภทใดที่ผู้ตรวจประเมินคาดหวัง กระบวนการตรวจประเมินดำเนินไปอย่างไร และใบรับรองบ่งบอกหรือไม่ได้บ่งบอกอะไร

มาตรการควบคุมแบ่งเป็นสามประเภทตามวิธีลดความเสี่ยง:

• เชิงป้องกัน — หยุดไม่ให้เหตุการณ์เกิดขึ้น (MFA ไฟร์วอลล์ สิทธิ์เท่าที่จำเป็น)
• เชิงตรวจจับ — เปิดเผยเหตุการณ์ที่กำลังเกิดขึ้นหรือเกิดขึ้นไปแล้ว (การบันทึกเหตุการณ์ การแจ้งเตือนของ SIEM การติดตามความถูกต้องครบถ้วนของไฟล์)
• เชิงแก้ไข — ฟื้นฟูและจำกัดความเสียหายหลังเกิดเหตุการณ์ (การสำรองข้อมูล การติดตั้งการแก้ไข การตอบสนองต่อเหตุการณ์)

โครงการที่เข้มแข็งต้องผสานมาตรการทั้งสามประเภทเข้าด้วยกัน การพึ่งพาเพียงการป้องกันจะทำให้คุณมองไม่เห็นสิ่งที่เกิดขึ้นเมื่อการป้องกันล้มเหลว

มาตรการควบคุมยังแบ่งประเภทตามลักษณะของมาตรการได้ดังนี้:

• ด้านบริหาร — นโยบาย กระบวนการปฏิบัติงาน การฝึกอบรม การทบทวนการเข้าถึง
• ด้านเทคนิค — นำไปใช้ในเทคโนโลยี เช่น การเข้ารหัส การควบคุมการเข้าถึง การบันทึกเหตุการณ์
• ด้านกายภาพ — กุญแจ เครื่องอ่านบัตรผ่าน และสถานที่ที่มีการรักษาความปลอดภัย

ผู้ตรวจประเมินมองหาความครอบคลุมทั้งสามด้าน มาตรการควบคุมทางเทคนิคที่สมบูรณ์แบบแต่ถูกบั่นทอนด้วยนโยบายที่ไม่มีใครปฏิบัติตาม ไม่ถือเป็นมาตรการควบคุมที่ใช้งานได้จริง

ผู้ตรวจประเมินประเมินมาตรการควบคุมในสองมิติ:

• ประสิทธิผลด้านการออกแบบ — หากมาตรการทำงานตามที่ตั้งใจไว้ มาตรการนั้นสามารถจัดการความเสี่ยงได้หรือไม่
• ประสิทธิผลด้านการดำเนินงาน — มาตรการนั้นทำงานจริงอย่างสม่ำเสมอเป็นระยะเวลาหนึ่งหรือไม่

มาตรการควบคุมอาจออกแบบไว้บนเอกสารได้ดี แต่ล้มเหลวเมื่อนำไปดำเนินงานจริง เช่น การทบทวนบันทึกเหตุการณ์ที่ไม่มีใครดำเนินการจริง หลักฐานต้องพิสูจน์ให้เห็นทั้งสองด้าน

การตรวจประเมินอาศัยหลักฐาน คุณต้องแสดงให้เห็นว่ามาตรการควบคุมแต่ละรายการดำเนินงานอยู่ เอกสารประกอบที่พบได้ทั่วไป ได้แก่:

• บันทึกการทบทวนการเข้าถึงที่แสดงการรับรองสิทธิ์ใหม่รายไตรมาส
• บันทึกเหตุการณ์และรายการแจ้งงานที่พิสูจน์ว่ามีการตรวจสอบการแจ้งเตือน
• ไฟล์ส่งออกการกำหนดค่าที่แสดงว่ามีการบังคับใช้การเข้ารหัสหรือ MFA
• บันทึกการฝึกอบรมที่เสร็จสมบูรณ์

ผู้ตรวจประเมินจะสุ่มตัวอย่าง โดยเลือกมาตรการควบคุมหนึ่งรายการ ขอหลักฐานในช่วงเวลาหนึ่ง และติดตามตั้งแต่ต้นจนจบ

การตรวจประเมินมีสองระดับ:

• การตรวจประเมินภายใน — คุณหรือผู้ตรวจประเมินภายในที่ว่าจ้างจะทบทวน ISMS ของตนเองเพื่อค้นหาช่องว่างก่อนการตรวจประเมินภายนอก ซึ่ง ISO 27001 กำหนดให้ต้องดำเนินการ
• การตรวจประเมินภายนอก / เพื่อการรับรอง — หน่วยงานอิสระที่ได้รับการรับรองจะประเมินคุณเพื่อออกใบรับรอง

การตรวจประเมินภายในเป็นการซ้อมเสมือนจริง การค้นหาความไม่สอดคล้องด้วยตนเองก่อนจะช่วยประหยัดค่าใช้จ่ายได้มากกว่าการปล่อยให้หน่วยงานรับรองเป็นผู้ค้นพบ

การรับรอง ISO 27001 ดำเนินการเป็นสองระยะ:

• ระยะที่ 1 — การทบทวนเอกสาร ผู้ตรวจประเมินตรวจสอบว่าเอกสาร ISMS ขอบเขต นโยบาย การประเมินความเสี่ยง และ SoA มีอยู่และสอดคล้องกัน
• ระยะที่ 2 — การตรวจประเมินการนำไปใช้ ผู้ตรวจประเมินตรวจสอบว่ามาตรการควบคุมทำงานจริงผ่านการสัมภาษณ์ การสุ่มตัวอย่างหลักฐาน และการสังเกตการณ์

เมื่อผ่านทั้งสองระยะ คุณจะได้รับใบรับรอง ซึ่งโดยทั่วไปมีอายุสามปีและมีการตรวจติดตามอย่างต่อเนื่อง

การตรวจประเมินก่อให้เกิดข้อค้นพบซึ่งจำแนกตามความรุนแรง:

• ความไม่สอดคล้องระดับร้ายแรง — ไม่มีมาตรการควบคุมหรือมาตรการบกพร่องอย่างร้ายแรง ขัดขวางการรับรองจนกว่าจะแก้ไข
• ความไม่สอดคล้องระดับเล็กน้อย — การบกพร่องที่ไม่บั่นทอนระบบทั้งหมด แต่ต้องจัดทำแผนการดำเนินการแก้ไข
• ข้อสังเกต / โอกาสในการปรับปรุง — เป็นคำแนะนำ ไม่ถือเป็นความล้มเหลว

คุณต้องตอบสนองด้วยแผนการดำเนินการแก้ไข ซึ่งระบุสาเหตุรากเหง้า วิธีแก้ไข และการป้องกันไม่ให้เกิดซ้ำ

การรับรองไม่ถาวร ใบรับรอง ISO 27001 ดำเนินไปตามวงจรดังนี้:

• การตรวจประเมินติดตาม — โดยทั่วไปดำเนินการทุกปี เป็นการตรวจสอบที่เบากว่าเพื่อดูว่า ISMS ยังคงดำเนินงานอยู่
• การตรวจประเมินเพื่อรับรองใหม่ — การประเมินใหม่อย่างครบถ้วน โดยทั่วไปดำเนินการทุกสามปี

กระบวนการนี้ทำให้มั่นใจว่า ISMS ยังคงดำเนินวงจรต่อเนื่อง หากปล่อยให้มาตรการควบคุมหยุดดำเนินการระหว่างการตรวจประเมิน คุณอาจสูญเสียใบรับรองในการตรวจติดตามครั้งถัดไป

ทีมที่มีวุฒิภาวะหลีกเลี่ยงการเร่งรีบเตรียมตัวช่วงตรวจประเมินด้วยการมุ่งสู่การปฏิบัติตามข้อกำหนดอย่างต่อเนื่อง: รวบรวมหลักฐานโดยอัตโนมัติและรักษามาตรการควบคุมให้พร้อมรับการตรวจประเมินอยู่เสมอ

• ทำให้การรวบรวมหลักฐานเป็นอัตโนมัติ (การทบทวนสิทธิ์การเข้าถึง ภาพบันทึกการกำหนดค่า) ตามกำหนดเวลา
• เฝ้าติดตามการเบี่ยงเบนของมาตรการควบคุมแบบเรียลไทม์ เช่น บัคเก็ต S3 ถูกเปิดเป็นสาธารณะ
• มองการปฏิบัติตามข้อกำหนดเป็นสถานะที่ดำเนินต่อเนื่อง ไม่ใช่โครงการประจำปี

นี่เป็นอีกจุดที่เครื่องมือ SOAR และเครื่องมือทำให้การปฏิบัติตามข้อกำหนดเป็นอัตโนมัติช่วยสร้างประโยชน์ โดยเปลี่ยนการตรวจประเมิน ณ ช่วงเวลาใดช่วงเวลาหนึ่งให้เป็นการรับรองอย่างต่อเนื่อง

บางครั้งไม่สามารถนำมาตรการควบคุมที่กำหนดมาใช้ตามที่เขียนไว้ได้จริง เช่น ระบบเดิมอาจไม่รองรับ MFA กรอบงานต่าง ๆ จึงอนุญาตให้ใช้มาตรการควบคุมชดเชย: ทางเลือกที่บรรลุวัตถุประสงค์ด้านความเสี่ยงเดียวกัน

• จัดทำเอกสารอธิบายว่าเหตุใดจึงไม่สามารถใช้มาตรการควบคุมเดิมได้
• อธิบายทางเลือกนั้น เช่น การแยกเครือข่ายอย่างเข้มงวดร่วมกับการเฝ้าติดตามระบบเดิมที่เข้มงวดขึ้น
• แสดงให้เห็นว่าทางเลือกนั้นลดความเสี่ยงลงจนอยู่ในระดับเทียบเท่า

ผู้ตรวจประเมินยอมรับมาตรการควบคุมชดเชยเมื่อมีหลักฐานชัดเจนถึงเหตุผลและการลดความเสี่ยงในระดับเทียบเท่า ไม่ใช่เพียงกล่าวอ้าง

ลองพิจารณาประสิทธิผลของมาตรการควบคุมจากมุมมองของผู้ตรวจประเมิน

มาตรการควบคุม การตรวจประเมิน และการรับรอง:

• มาตรการควบคุมมีลักษณะเชิงป้องกัน เชิงตรวจจับ หรือเชิงแก้ไขตามหน้าที่ และเป็นด้านการบริหาร ด้านเทคนิค หรือด้านกายภาพตามลักษณะ ควรใช้ทุกประเภทเป็นชั้นป้องกันร่วมกัน
• ผู้ตรวจประเมินประเมินทั้งประสิทธิผลด้านการออกแบบและประสิทธิผลในการปฏิบัติงาน โดยการปฏิบัติงานต้องมีหลักฐานตลอดช่วงเวลาหนึ่ง
• การตรวจประเมินภายในช่วยค้นหาช่องว่างก่อนการตรวจประเมินเพื่อรับรองจากภายนอก ซึ่งดำเนินการในระยะที่ 1 (เอกสาร) และระยะที่ 2 (การนำไปปฏิบัติ)
• ข้อค้นพบมีตั้งแต่ความไม่สอดคล้องที่ร้ายแรงและเล็กน้อยไปจนถึงข้อสังเกต ควรตอบสนองด้วยแผนการดำเนินการแก้ไข
• ใบรับรองต้องผ่านการตรวจติดตามและการตรวจเพื่อรับรองซ้ำ ควรมุ่งสู่การปฏิบัติตามข้อกำหนดอย่างต่อเนื่องเพื่อให้พร้อมรับการตรวจประเมินอยู่เสมอ