เริ่มต้น ISO/IEC 27001:2022 ภายใน 90 วันแรก ต้องทำอะไรบ้าง

หลายองค์กรเริ่มทำ ISO 27001 ด้วยการเขียนเอกสารจำนวนมาก แต่ไม่ได้เริ่มจากความเสี่ยงจริงขององค์กร แผน 90 วันนี้ช่วยให้เริ่มต้นได้ถูกทาง

30 วันแรก: วางรากฐาน

• ผู้บริหารประกาศนโยบายและแต่งตั้งทีม ISMS
• กำหนด Scope ให้ชัด เช่น ระบบใด สถานที่ใด กระบวนการใด
• จัดทำทะเบียนทรัพย์สินสารสนเทศ (Asset Inventory)

31–60 วัน: Gap Analysis และ Risk Assessment

1. เทียบสถานะปัจจุบันกับ Clause 4–10
2. ประเมินความเสี่ยงของทรัพย์สินหลัก (Likelihood × Impact)
3. กำหนดเกณฑ์การยอมรับความเสี่ยง

61–90 วัน: Risk Treatment และ SoA

• เลือกมาตรการจาก Annex A ทั้ง 93 Controls
• จัดทำ Statement of Applicability ระบุเหตุผลที่เลือกหรือไม่เลือกแต่ละ Control
• วางแผนดำเนินการแก้ไข พร้อมผู้รับผิดชอบและกำหนดเวลา

สิ่งที่เปลี่ยนในเวอร์ชัน 2022

• Annex A ลดจาก 114 เหลือ 93 Controls จัดเป็น 4 กลุ่ม
• เพิ่ม Control ใหม่ 11 ข้อ เช่น Threat Intelligence, Cloud Services, Data Masking

ISO ที่ดีต้องสะท้อนสิ่งที่องค์กรทำจริง ไม่ใช่เอกสารที่เขียนเพื่อรอตรวจ

หากต้องการผู้ช่วยวางระบบ สามารถดูบริการ Implement ISO