ISO/IEC 27001 Gap Assessment: องค์กรควรเตรียมตัวอย่างไร

เมื่อคู่ค้า ลูกค้า หรือผู้กำกับดูแลถามว่าองค์กรปกป้องข้อมูลสำคัญอย่างไร คำตอบที่น่าเชื่อถือไม่ควรหยุดอยู่ที่รายชื่อเครื่องมือ Cybersecurity แต่ต้องแสดงให้เห็นว่ามีระบบบริหารความเสี่ยง เจ้าของงาน กระบวนการควบคุม หลักฐาน และการปรับปรุงอย่างต่อเนื่อง ISO/IEC 27001 ช่วยวางโครงสร้างดังกล่าวผ่านระบบบริหารจัดการความมั่นคงปลอดภัยสารสนเทศ หรือ ISMS

Gap Assessment เป็นขั้นตอนที่ช่วยให้องค์กรเห็นระยะห่างระหว่างสิ่งที่ทำอยู่กับสิ่งที่มาตรฐานคาดหวัง ก่อนลงทุนแก้ไขหรือเข้าสู่การตรวจรับรอง จุดสำคัญคือไม่ประเมินเพื่อให้ได้คะแนนสวย แต่เพื่อรู้ว่าช่องว่างใดสร้างความเสี่ยงจริงและควรจัดการก่อน

ISO/IEC 27001 Gap Assessment คืออะไร?

Gap Assessment คือการเปรียบเทียบบริบท ขอบเขต นโยบาย กระบวนการ การประเมินความเสี่ยง มาตรการควบคุม การติดตามผล และหลักฐานขององค์กร กับข้อกำหนดของ ISO/IEC 27001:2022 รวมถึงการเลือกมาตรการควบคุมใน Annex A ให้เหมาะกับความเสี่ยง ผลลัพธ์ควรบอกได้ทั้งสิ่งที่มีอยู่ สิ่งที่ทำแต่ยังไม่มีหลักฐาน สิ่งที่ยังขาด และผลกระทบหากไม่แก้ไข

ใครควรทำ Gap Assessment?

การประเมินเหมาะกับองค์กรที่เตรียมขอการรับรอง ต้องตอบข้อกำหนดลูกค้าหรือคู่ค้า กำลังขยายบริการดิจิทัล ต้องการรวมการควบคุมที่กระจัดกระจาย หรืออยากยกระดับ Cybersecurity Governance โดยยังไม่ตัดสินใจเรื่องการรับรอง ทีมที่เกี่ยวข้องควรมีผู้บริหาร เจ้าของกระบวนการ IT และ Security, Risk, Legal, HR, Procurement, Facilities และ Internal Audit ตามขอบเขต

การประเมินมีกี่ขั้นตอน และทำอะไรบ้าง?

ขั้นที่ 1 กำหนดวัตถุประสงค์และขอบเขต

ระบุบริการ กระบวนการ ข้อมูล สถานที่ ระบบคลาวด์ คู่ค้า และส่วนเชื่อมต่อที่อยู่ใน ISMS พร้อมเหตุผลของการรวมหรือไม่รวมแต่ละส่วน ขอบเขตที่แคบแต่ตรงกับสิ่งที่ลูกค้าซื้อจริงมีค่ามากกว่าขอบเขตกว้างที่ทำไม่เสร็จ

ขั้นที่ 2 รวบรวมเอกสารและหลักฐาน

รวบรวมนโยบาย risk register, asset inventory, access review, incident record, backup test, vendor review, training record และรายงาน monitoring เพื่อให้เห็นว่ามีอะไรอยู่แล้วบ้างก่อนเริ่มสัมภาษณ์ ขั้นนี้มักเผยว่าหลายมาตรการมีเอกสารแต่ไม่มีบันทึกการปฏิบัติ

ขั้นที่ 3 สัมภาษณ์และสังเกตการทำงานจริง

ตรวจว่าสิ่งที่เขียนไว้เกิดขึ้นจริงหรือไม่ ใครเป็นผู้ตัดสินใจ ทำบ่อยแค่ไหน และเก็บหลักฐานไว้ที่ใด คำถามที่ได้ผลที่สุดคือขอให้แสดงตัวอย่างล่าสุดของการปฏิบัติ ไม่ใช่ถามว่ามีขั้นตอนหรือไม่

ขั้นที่ 4 ประเมินข้อกำหนดและมาตรการควบคุม

แยกผลเป็นพร้อมแล้ว ทำบางส่วน ยังไม่มี และไม่เกี่ยวข้องพร้อมเหตุผลกำกับทุกข้อ ให้คะแนนตามหลักฐานที่ตรวจเห็นจริง ไม่ใช่ตามคำตอบในแบบสอบถาม เพราะคะแนนที่สูงเกินจริงจะไปปรากฏเป็นข้อบกพร่องในการตรวจรับรอง

ขั้นที่ 5 จัดลำดับตามความเสี่ยงและ dependency

ให้ความสำคัญกับช่องว่างที่กระทบข้อมูลสำคัญ ข้อผูกพันทางกฎหมาย ลูกค้า และความต่อเนื่องทางธุรกิจก่อน พร้อมระบุว่าช่องว่างใดต้องแก้ก่อนจึงจะแก้ช่องว่างอื่นได้ เพื่อไม่ให้ทีมทำงานคู่ขนานที่ติดขัดกันเอง

ขั้นที่ 6 สร้าง Remediation Roadmap

ระบุเจ้าของ เป้าหมาย หลักฐานที่ต้องได้ งบประมาณ ระยะเวลา quick wins และการตัดสินใจที่ต้องยกระดับให้ผู้บริหาร roadmap ที่ดีต้องบอกได้ว่าเมื่อทำครบแล้วองค์กรพร้อมเข้าสู่การตรวจรับรองเมื่อใด

ช่องว่างที่มักพบมีอะไรบ้าง?

• ขอบเขต ISMS ไม่ชัด หรือไม่ครอบคลุม dependency สำคัญ
• Risk assessment แยกจากความเสี่ยงธุรกิจและไม่มีเกณฑ์ยอมรับความเสี่ยง
• Asset inventory ไม่สะท้อนเจ้าของข้อมูล Cloud service และ supplier
• มีเครื่องมือป้องกันแต่ขาดรอบทบทวน การทดสอบ และหลักฐานประสิทธิผล
• Incident response, backup และ business continuity มีเอกสารแต่ไม่เคยซ้อมร่วมกัน
• Supplier security ถูกตรวจเฉพาะก่อนเซ็นสัญญาแต่ไม่ติดตามตลอดอายุบริการ

ผู้บริหารควรได้รับผลลัพธ์อะไรจากการประเมิน?

รายงานที่ดีไม่ควรเป็น checklist หลายร้อยบรรทัดเพียงอย่างเดียว ผู้บริหารควรเห็น executive summary, heatmap ตามความเสี่ยง, ประเด็นตัดสินใจ, quick wins, โครงการระยะกลาง, dependency, งบประมาณโดยประมาณ และความพร้อมสู่การตรวจรับรอง ส่วนทีมปฏิบัติการควรได้รับรายการข้อค้นพบที่อ้างอิงข้อกำหนด หลักฐานที่ตรวจ เจ้าของงาน และเกณฑ์ปิดประเด็นอย่างชัดเจน

ข้อผิดพลาดที่ควรหลีกเลี่ยงมีอะไรบ้าง?

• คัดลอกนโยบายหรือ Statement of Applicability จากองค์กรอื่นโดยไม่เชื่อมกับความเสี่ยงจริง
• มอบหมายให้ฝ่าย IT ทำฝ่ายเดียวจนขาดเจ้าของข้อมูลและเจ้าของกระบวนการธุรกิจ
• วัดจากการมีเอกสารแทนการตรวจว่ามาตรการควบคุมทำงานและให้ผลตามที่ตั้งใจ
• แก้ทุกช่องว่างพร้อมกันโดยไม่คำนึงถึงความเสี่ยง ทรัพยากร และลำดับ dependency

ตัวอย่างสถานการณ์: ขอบเขตที่กว้างเกินไปทำให้โครงการไม่จบ

ผู้ให้บริการซอฟต์แวร์ไทยรายหนึ่งถูกลูกค้าองค์กรขอใบรับรอง ISO/IEC 27001 ภายในหนึ่งปี ทีมเริ่มจากการกำหนดขอบเขตให้ครอบคลุมทั้งบริษัทเพราะคิดว่าดูน่าเชื่อถือกว่า ผลคือ Gap Assessment พบช่องว่าง 180 รายการ ซึ่งเกินกำลังทีม 12 คน

การประเมินรอบที่สองปรับขอบเขตให้เหลือเฉพาะบริการ SaaS ที่ลูกค้าใช้ ทีมพัฒนาและดำเนินการที่เกี่ยวข้อง และศูนย์ข้อมูลคลาวด์ที่ให้บริการนั้น ช่องว่างลดเหลือ 64 รายการ โดยยังตอบโจทย์ลูกค้าได้ เพราะขอบเขตครอบคลุมบริการที่ลูกค้าซื้อจริง บทเรียนคือขอบเขตที่แคบแต่ตรงมีค่ามากกว่าขอบเขตที่กว้างแต่ทำไม่เสร็จ

บทสรุป

ISO/IEC 27001 Gap Assessment ที่มีคุณค่าไม่ใช่การไล่ตอบว่าผ่านหรือไม่ผ่าน แต่คือการทำให้ผู้บริหารเห็นว่าข้อมูลและบริการใดสำคัญ ความเสี่ยงอยู่ตรงไหน มาตรการใดทำงานจริง และต้องลงทุนอะไรต่อ การกำหนดขอบเขตที่ชัด ตรวจจากหลักฐาน และจัดลำดับตามความเสี่ยง จะเปลี่ยนมาตรฐานจากโครงการเอกสารให้เป็นระบบบริหาร Digital Trust ที่ยั่งยืน

ยกระดับ Cybersecurity และ Digital Trust ขององค์กร

ดูบริการ Cybersecurity Consulting

คำถามที่พบบ่อย

ISO/IEC 27001 Gap Assessment คืออะไร

การเปรียบเทียบ ISMS ปัจจุบันกับข้อกำหนดของมาตรฐาน เพื่อระบุช่องว่าง ความเสี่ยง หลักฐานที่ขาด และลำดับการปรับปรุง

ต่างจาก Certification Audit อย่างไร

Gap Assessment เป็นการเตรียมความพร้อมและวางแผนแก้ไข ส่วน Certification Audit เป็นการตรวจอย่างเป็นทางการโดยหน่วยรับรองอิสระ

ต้องประเมินครบทุกระบบหรือไม่

ไม่จำเป็น แต่ขอบเขตต้องสอดคล้องกับบริการ กระบวนการ ข้อมูล และความเสี่ยงที่องค์กรต้องการบริหาร พร้อมอธิบายส่วนเชื่อมต่ออย่างสมเหตุสมผล

ผลลัพธ์ควรมีอะไร

ระดับความพร้อม รายการช่องว่างพร้อมหลักฐาน ความเสี่ยง เจ้าของงาน quick wins และ roadmap ที่ผู้บริหารใช้ตัดสินใจได้

Gap Assessment ใช้เวลานานเท่าใด

องค์กรขนาดกลางที่ขอบเขตชัดเจนมักใช้เวลาสี่ถึงแปดสัปดาห์ แบ่งเป็นการกำหนดขอบเขตและรวบรวมเอกสารประมาณสองสัปดาห์ การสัมภาษณ์และตรวจหลักฐานสองถึงสี่สัปดาห์ และการจัดทำรายงานพร้อม roadmap อีกหนึ่งถึงสองสัปดาห์ ขอบเขตที่กว้างเกินจำเป็นเป็นสาเหตุหลักที่ทำให้ยืดออกไปหลายเดือน