ISO/IEC 27017 คืออะไร? และทำไมองค์กรควรนำมาประยุกต์ใช้?

What is ISOIEC 27017, and why should organizations adopt it

     ISO/IEC 27017:2026 เป็นมาตรฐานสากลที่ให้แนวทางสำหรับการประยุกต์ใช้มาตรการควบคุมความมั่นคงปลอดภัยสารสนเทศ กับบริการคลาวด์ สำหรับทั้งผู้ให้บริการคลาวด์และลูกค้าบริการคลาวด์ จุดสำคัญของมาตรฐานนี้คือการนำแนวคิดด้าน Information Security Controls มาประยุกต์ให้เหมาะสมกับบริบทของ Cloud Computing ซึ่งมีโครงสร้าง ความรับผิดชอบ และความเสี่ยงแตกต่างจากระบบสารสนเทศแบบดั้งเดิม ตัวอย่างเช่น ISO/IEC 27017:2026 Information security, cybersecurity and privacy protection — Information security controls based on ISO/IEC 27002 for cloud services ความมั่นคงปลอดภัยสารสนเทศ ความมั่นคงปลอดภัยไซเบอร์ และการคุ้มครองความเป็นส่วนตัว — มาตรการควบคุมความมั่นคงปลอดภัยสารสนเทศตาม ISO/IEC 27002 สำหรับบริการคลาวด์ (ลูกค้าบริการคลาวด์: Cloud Service Customer หรือ CSC) และผู้ให้บริการคลาวด์ (ผู้ให้บริการคลาวด์: Cloud Service Provider หรือ CSP)

ISO/IEC 27017:2026 ใช้ได้กับทั้ง 2 ฝ่าย ได้แก่

  • Cloud Service Provider (CSP) หรือผู้ให้บริการคลาวด์
  • Cloud Service Customer (CSC) หรือลูกค้าบริการคลาวด์

ดังนั้น ISO/IEC 27017:2026 จึงให้ความสำคัญกับการกำหนดและทำความเข้าใจบทบาท หน้าที่ และความรับผิดชอบด้านความมั่นคงปลอดภัยสารสนเทศระหว่างผู้ให้บริการคลาวด์และลูกค้าบริการคลาวด์อย่างชัดเจน

ทำไมองค์กรควรนำ ISO/IEC 27017:2026 มาประยุกต์ใช้ ?

  1. เพราะ Cloud ไม่ได้ปลอดภัยโดยอัตโนมัติ

     หนึ่งในความเข้าใจผิดที่พบบ่อย คือ  “ใช้ Cloud รายใหญ่แล้ว ปลอดภัยแน่นอน” ในความเป็นจริง ผู้ให้บริการ Cloud อาจมีมาตรการรักษาความมั่นคงปลอดภัยของโครงสร้างพื้นฐาน (Infrastructure Security) ที่แข็งแรงมาก แต่ลูกค้ายังคงต้องรับผิดชอบหลายเรื่อง

ตัวอย่างเช่น

  • การกำหนดและบริหารรหัสผ่าน (Password)
  • การกำหนดสิทธิ์การเข้าถึง (Access Rights)
  • การเปิด Public Access
  • การตั้งค่า Storage
  • การจัดการบัญชีผู้ดูแลระบบ (Privileged/Admin Account)
  • การตั้งค่า Firewall
  • การจัดการ API Key และข้อมูลลับที่ใช้ยืนยันตัวตน
  • การจัดการข้อมูล
  • การกำหนดและตั้งค่าการสำรองข้อมูล (Backup)

หากองค์กรตั้งค่าผิด ก็อาจเกิด การละเมิดข้อมูล (Data Breach) ได้ แม้ Infrastructure ของ Provider จะมีความปลอดภัยสูงก็ตาม

  1. เพราะต้องรู้ว่า “ใครรับผิดชอบอะไร”

นี่คือหนึ่งในเหตุผลสำคัญที่สุดของ ISO/IEC 27017 การรักษาความมั่นคงปลอดภัยของบริการคลาวด์อาจเกิดช่องว่างในการควบคุมได้หากบทบาทและความรับผิดชอบระหว่างผู้ให้บริการและลูกค้าไม่ชัดเจน ISO/IEC 27017:2026 จึงช่วยลดช่องว่างด้านบทบาทและความรับผิดชอบ (responsibility gaps) ระหว่างผู้ให้บริการคลาวด์และลูกค้าบริการคลาวด์

  1. เพราะข้อมูลสำคัญขององค์กรอยู่บน Cloud มากขึ้น

ในอดีตข้อมูลอาจอยู่ใน Server Room ภายในบริษัท

  1. เพราะลูกค้าองค์กรเริ่มถามเรื่อง Cloud Security มากขึ้น

โดยเฉพาะลูกค้าระดับ Enterprise ก่อนเซ็นสัญญา ลูกค้าอาจส่ง Security Questionnaire หลายสิบหรือหลายร้อยข้อ เช่น

  • มี ISO/IEC 27001 หรือไม่?
  • ใช้ Cloud Provider รายใด?
  • Data Center อยู่ประเทศอะไร?
  • มี Encryption หรือไม่?
  • มี MFA หรือไม่?
  • มี Penetration Test หรือไม่?
  • มี Incident Response หรือไม่?
  • มี Backup หรือไม่?
  • มีการลบข้อมูลหลังยกเลิกสัญญาหรือไม่?

องค์กรที่มีระบบ Cloud Security ที่ชัดเจนจะสามารถตอบคำถามเหล่านี้ได้ง่ายขึ้น

  1. เพราะช่วยลดความเสี่ยงจาก Cloud Misconfiguration

การกำหนดค่าคลาวด์ไม่เหมาะสม (Cloud Misconfiguration) เป็นความเสี่ยงสำคัญประการหนึ่งของการใช้บริการคลาวด์ ISO/IEC 27017:2026 ช่วยให้องค์กรประยุกต์ใช้มาตรการควบคุมความมั่นคงปลอดภัยสารสนเทศกับบริการคลาวด์อย่างเป็นระบบและสอดคล้องกับความเสี่ยง

     URS ประเทศไทย ให้บริการตรวจประเมินและรับรองระบบการจัดการตามมาตรฐานสากลที่เกี่ยวข้องกับความมั่นคงปลอดภัยสารสนเทศ บริการคลาวด์ ความเป็นส่วนตัว ความต่อเนื่องทางธุรกิจ คุณภาพ และการบริหารบริการ อาทิ ISO/IEC 27001:2022, ISO/IEC 27017:2026, ISO/IEC 27701, ISO 22301, ISO 9001, ISO/IEC 20000-1 และมาตรฐานอื่นที่เกี่ยวข้องโดยทีมผู้ตรวจประเมินที่มีประสบการณ์ในการตรวจประเมินองค์กรทั้งภาครัฐและภาคเอกชน

หากท่านต้องการข้อมูลเกี่ยวกับขอบข่าย ขั้นตอนการตรวจประเมินเพื่อการรับรอง หรือข้อมูลประกอบการเตรียมความพร้อมตามมาตรฐาน สามารถติดต่อ URS ประเทศไทยผ่านช่องทางที่แสดงอยู่บนหน้าจอ เพื่อรับข้อมูลเพิ่มเติมและวางแผนการตรวจประเมินให้เหมาะสมกับบริบทขององค์กร

BACK