INFORMATION SECURITY MANAGEMENT SYSTEM

ISO/IEC 27001:2022
เปลี่ยนความมั่นคงปลอดภัย
ให้เป็นความเชื่อมั่นทางธุรกิจ

ISMS ไม่ใช่โครงการของฝ่าย IT เพียงฝ่ายเดียว แต่เป็นระบบบริหารความเสี่ยงของข้อมูลทั้งองค์กร ช่วยให้ผู้บริหาร ลูกค้า และคู่ค้าเห็นว่าองค์กรจัดการข้อมูลอย่างเป็นระบบ ตรวจสอบได้ และพัฒนาอย่างต่อเนื่อง

ปรึกษาแนวทางเริ่มต้นองค์กรต้องเตรียมอะไร

WHY ISMS

ประโยชน์ที่มากกว่าใบรับรอง

สร้างกรอบการตัดสินใจด้านความเสี่ยงที่เชื่อมคน กระบวนการ และเทคโนโลยีเข้าด้วยกัน
01

Trust

ยกระดับความเชื่อมั่นของลูกค้า คู่ค้า และผู้มีส่วนได้ส่วนเสียด้วยระบบที่ตรวจสอบได้

02

Resilience

มองเห็นความเสี่ยงล่วงหน้า เตรียมรับเหตุการณ์ และฟื้นตัวจากภัยคุกคามได้ดีขึ้น

03

Governance

กำหนดเจ้าของข้อมูล บทบาท การอนุมัติ และการติดตามผลอย่างชัดเจน

04

Business Enablement

รองรับเงื่อนไขลูกค้า การเข้าร่วมประมูล และโอกาสทางธุรกิจที่ต้องการมาตรฐานสากล

GET READY

เตรียมตัวก่อนเริ่มงานกับที่ปรึกษา

ไม่จำเป็นต้องมีเอกสารครบก่อนเริ่ม สิ่งสำคัญคือมีเป้าหมาย ผู้ตัดสินใจ และข้อมูลตั้งต้นที่เข้าถึงได้
  • Business objectiveเหตุผลที่ต้องการ ISMS และกำหนดเวลาทางธุรกิจ
  • Initial scopeสถานที่ ระบบ บริการ กระบวนการ และหน่วยงานที่คาดว่าจะอยู่ในขอบเขต
  • Current landscapeนโยบายเดิม ผลตรวจที่ผ่านมา แผนผังระบบ รายชื่อสินทรัพย์ และข้อกำหนดลูกค้า/กฎหมาย
  • Available resourcesผู้ประสานงาน เวลาของ Process Owner งบประมาณ และช่องทางตัดสินใจ
QUICK START

ข้อมูลสำหรับการประชุมครั้งแรก

เตรียมเพียงภาพรวมองค์กร จำนวนพนักงาน สถานที่ ระบบ/บริการสำคัญ เหตุผลที่ต้องการรับรอง และช่วงเวลาที่ต้องการ ก็เพียงพอสำหรับเริ่มประเมิน Scope และ Roadmap เบื้องต้น

นัด Initial Consultation →

ISMS SCOPE

กำหนดขอบเขตให้ชัด ก่อนประเมินเวลาและงบประมาณ

Scope คือคำตอบว่า “ระบบ ISMS นี้ครอบคลุมส่วนใดขององค์กร” และจะเป็นกรอบของการประเมินความเสี่ยง การจัดทำระบบ หลักฐาน และการตรวจรับรอง

Scope ไม่จำเป็นต้องเริ่มจากทั้งองค์กร

องค์กรอาจเริ่มจากบริการสำคัญ หน่วยธุรกิจ หรือสถานที่ที่ลูกค้าต้องการความเชื่อมั่นก่อน แล้วจึงขยายในระยะต่อไปได้ อย่างไรก็ตาม ขอบเขตต้องสมเหตุสมผลและไม่ตัดกระบวนการสนับสนุนหรือการพึ่งพาที่จำเป็นต่อความมั่นคงปลอดภัยออกไปเพียงเพื่อให้โครงการเล็กลง

Scope ที่ดีต้องชัดเจน เข้าใจตรงกัน และสะท้อนการดำเนินงานจริง
01

Products & Services

ผลิตภัณฑ์ บริการ หรือกิจกรรมทางธุรกิจใดที่ต้องการให้ใบรับรองครอบคลุม

02

Organization

บริษัท หน่วยธุรกิจ ฝ่ายงาน และบุคลากรกลุ่มใดที่มีบทบาทต่อบริการนั้น

03

Locations

สำนักงานใหญ่ สาขา Data Center สถานที่ปฏิบัติงาน และพื้นที่ทำงานจากระยะไกลใดเกี่ยวข้อง

04

Technology

ระบบ แอปพลิเคชัน Cloud Network อุปกรณ์ และสภาพแวดล้อมทางเทคนิคใดสนับสนุนขอบเขต

05

Processes & Information

กระบวนการสำคัญ ข้อมูล ลูกค้า พนักงาน ทรัพย์สินทางปัญญา และข้อมูลจากบุคคลภายนอกใดอยู่ในความรับผิดชอบ

06

Dependencies

ผู้ให้บริการ Outsource คู่ค้า ระบบส่วนกลาง และกระบวนการสนับสนุนใดที่ขอบเขตต้องพึ่งพา

สิ่งที่ลูกค้าควรเตรียม
  • แผนผังองค์กรและรายชื่อหน่วยงานที่เกี่ยวข้อง
  • รายการบริการ ระบบ สถานที่ และผู้ให้บริการสำคัญ
  • แผนภาพการไหลของข้อมูลหรือ Architecture เท่าที่มี
  • ข้อกำหนดจากลูกค้า สัญญา กฎหมาย และ Regulatory Requirements
  • เป้าหมายว่าจะรับรองส่วนใดและต้องการใบรับรองเมื่อใด
คำถามที่ที่ปรึกษาจะช่วยทวนสอบ
  • ขอบเขตนี้ตอบเป้าหมายทางธุรกิจจริงหรือไม่
  • มีระบบหรือกระบวนการสนับสนุนใดที่หลีกเลี่ยงไม่ได้
  • Interface ระหว่างสิ่งที่อยู่ในและนอก Scope ชัดเจนหรือไม่
  • องค์กรมีอำนาจควบคุมบุคลากร เทคโนโลยี และผู้ให้บริการเพียงพอหรือไม่
  • Scope นี้สื่อสารกับลูกค้าและตรวจรับรองได้อย่างไม่ทำให้เข้าใจผิดหรือไม่
ตัวอย่างรูปแบบข้อความ Scope

“ระบบบริหารความมั่นคงปลอดภัยสารสนเทศสำหรับการให้บริการ [ชื่อบริการ] ซึ่งดำเนินงานโดย [หน่วยงาน] ณ [สถานที่] และสนับสนุนโดย [ระบบ/กระบวนการสำคัญ]”

ข้อความจริงต้องปรับตามบริบท การพึ่งพา และขอบเขตการควบคุมของแต่ละองค์กร

PROJECT JOURNEY

โดยทั่วไปใช้เวลาประมาณ 3–12 เดือน

ระยะเวลาจริงขึ้นกับ Scope, ความพร้อมเดิม, จำนวนหน่วยงาน/สถานที่, ความซับซ้อนของระบบ และเวลาที่ทีมองค์กรจัดสรรได้
01

Discover

2–4 สัปดาห์

กำหนดเป้าหมายและขอบเขต ทำ Gap Assessment และวางแผนโครงการ

02

Design

1–2 เดือน

ออกแบบ Governance, Risk Methodology, Policies และแผนจัดการความเสี่ยง

03

Implement

2–6 เดือน

นำกระบวนการและ Controls ไปใช้ เก็บหลักฐาน และสร้างความตระหนัก

04

Verify

1–2 เดือน

Internal Audit, Management Review, Corrective Action และ Pre-assessment

05

Certify

ตามคิวหน่วยรับรอง

Certification Audit Stage 1 และ Stage 2 โดยหน่วยรับรองอิสระ

ตัวเลขนี้เป็นกรอบประมาณการสำหรับวางแผน ไม่ใช่การรับประกันระยะเวลา หลัง Gap Assessment ที่ปรึกษาจึงจะจัดทำแผนที่เหมาะกับองค์กรได้

GOVERNANCE

ทีมที่ต้องมี ไม่จำเป็นต้องเป็นทีมใหม่ทั้งหมด

ใช้บุคลากรจากโครงสร้างเดิมได้ แต่ต้องมีอำนาจ หน้าที่ เวลา และเจ้าของงานที่ชัดเจน
EXECUTIVE LEVEL

Executive Sponsor / Top Management

กำหนดทิศทาง อนุมัติ Scope และทรัพยากร ตัดสินใจความเสี่ยงสำคัญ และเข้าร่วม Management Review

STEERING LEVEL

ISMS Steering Committee

ตัวแทนผู้บริหารจาก IT, HR, Legal/Compliance, Operations, Risk และหน่วยธุรกิจ ทำหน้าที่กำกับ ติดตาม และแก้ประเด็นข้ามสายงาน

PROGRAM LEVEL

ISMS Manager / Project Manager

เป็นศูนย์กลางประสานงาน ดูแลแผน เอกสาร การประชุม หลักฐาน และสื่อสารกับที่ปรึกษา

PROCESS LEVEL

Risk & Control Owners

เจ้าของกระบวนการ ข้อมูล ระบบ และความเสี่ยง ผู้ลงมือใช้ Controls และรับผิดชอบผลลัพธ์จริง

ASSURANCE LEVEL

Internal Auditors

ผู้ตรวจภายในที่มีความเป็นกลางจากกิจกรรมที่ตรวจ อาจเป็นทีมภายในหรือใช้ผู้เชี่ยวชาญภายนอกตามความเหมาะสม

PEOPLE & AWARENESS

ต้องอบรม Awareness หรือไม่?

ต้องทำให้บุคลากรที่เกี่ยวข้องเกิดความตระหนัก แต่ ไม่จำเป็นต้องให้ที่ปรึกษาเป็นผู้สอนทุกครั้ง

องค์กรต้องแสดงให้เห็นว่าบุคลากรเข้าใจนโยบายความมั่นคงปลอดภัย บทบาทของตน ผลต่อประสิทธิผลของ ISMS และผลที่อาจเกิดจากการไม่ปฏิบัติตาม การอบรมเป็นวิธีที่นิยม แต่ยังใช้กิจกรรมสื่อสาร แบบทดสอบ การจำลองสถานการณ์ หรือการรณรงค์ต่อเนื่องได้

ช่วงเริ่มโครงการ

แนะนำให้ที่ปรึกษาทำ Executive Briefing, ISMS Team Workshop และ Organization-wide Awareness เพื่อสร้างความเข้าใจชุดเดียวกัน

หลังระบบเริ่มทำงาน

องค์กรสามารถรับช่วงต่อด้วย Training Matrix, สื่อภายใน, Onboarding, Phishing Simulation และการทบทวนตามความเสี่ยง

สิ่งที่ควรเก็บไว้

แผน/เนื้อหาสื่อสาร รายชื่อผู้เข้าร่วม ผลทดสอบ หลักฐานกิจกรรม และการประเมินประสิทธิผล

FREE ISMS STARTING POINT

เริ่มจากการมองเห็น Cybersecurity Risk ขององค์กร

ตอบคำถามประมาณ 8–10 นาที เพื่อรับรายงานความเสี่ยงและลำดับประเด็นที่ควรพิจารณาก่อนกำหนด ISMS Roadmap โดยไม่จำเป็นต้องให้ข้อมูลติดต่อผลลัพธ์เป็นการประเมินเบื้องต้น ไม่ใช่ Certification Audit หรือ Vulnerability Assessment
ประเมินความพร้อมฟรี →

CONSULTANT'S ROLE

ที่ปรึกษาช่วยให้องค์กรเดินได้เร็วขึ้น—แต่ระบบต้องเป็นของคุณ

เราทำหน้าที่ชี้ช่องว่าง ออกแบบแนวทาง โค้ชทีม และทวนสอบความพร้อม โดยให้เจ้าของกระบวนการมีส่วนร่วมตัดสินใจและใช้งานจริง
01

Gap & Roadmap

เห็นสถานะจริง ลำดับความสำคัญ และทรัพยากรที่ต้องใช้

02

Governance & Risk

ออกแบบบทบาท วิธีประเมินความเสี่ยง และเกณฑ์การตัดสินใจ

03

Documentation & Coaching

พัฒนาเอกสารที่เหมาะกับงานจริง พร้อมโค้ชผู้รับผิดชอบ

04

Readiness Assurance

Internal Audit, Management Review และจำลองความพร้อมก่อนรับรอง

START WITH CLARITY

ขอประเมิน Scope และ Timeline เบื้องต้น

เล่าเป้าหมาย ขอบเขตที่คาดไว้ และกำหนดเวลาของคุณ เราจะช่วยจัดกรอบการเริ่มต้นที่เหมาะกับองค์กร
Initial ConsultationISO/IEC 27001:2022 • Gap Assessment • Advisory • Training