dip.ict.csn คณะทำงานตรวจสอบและประเมินความเสี่ยงด้านสารสนเทศ

คณะทำงานตรวจสอบและประเมินความเสี่ยงด้านสารสนเทศ

คณะทำงานตรวจสอบและประเมินความเสี่ยงด้านสารสนเทศ

กลุ่มระบบคอมพิวเตอร์และเครือข่าย

ศูนย์เทคโนโลยีสารสนเทศและการสื่อสาร 

1. เหตุผลและความจำเป็น

ในยุคดิจิทัลปัจจุบัน สารสนเทศและระบบเทคโนโลยีสารสนเทศ (IT) มีบทบาทสำคัญอย่างยิ่งต่อการดำเนินงานขององค์กร การพึ่งพาระบบและข้อมูลที่เพิ่มขึ้นนำมาซึ่ง ความเสี่ยงด้านสารสนเทศ ที่หลากหลายและซับซ้อน ตั้งแต่ภัยคุกคามทางไซเบอร์ การหยุดชะงักของระบบ การละเมิดข้อมูล ไปจนถึงการไม่ปฏิบัติตามกฎระเบียบที่เกี่ยวข้อง หากไม่ได้รับการบริหารจัดการอย่างมีประสิทธิภาพ ความเสี่ยงเหล่านี้อาจส่งผลกระทบอย่างรุนแรงต่อชื่อเสียง การดำเนินงาน ความมั่นคงทางการเงิน และความต่อเนื่องทางธุรกิจขององค์กรได้ การจัดตั้ง คณะทำงานตรวจสอบและประเมินความเสี่ยงด้านสารสนเทศ เป็นสิ่งจำเป็นอย่างยิ่งเพื่อดำเนินงานด้านความเสี่ยง ได้แก่

- ระบุประเมินและจัดลำดับความสำคัญของความเสี่ยง ที่เกี่ยวข้องกับสารสนเทศและระบบ IT ได้อย่างครอบคลุมและเป็นระบบ

- ให้มีการตรวจสอบและประเมินความเสี่ยงของระบบสารสนเทศ หรือสถานการณ์ด้านความปลอดภัยที่ไม่พึงประสงค์  

- เป็นการสร้างความมั่นใจในการรักษาความลับ (Confidentiality) ความถูกต้องครบถ้วน (Integrity) และความพร้อมใช้งาน (Availability) ของข้อมูลและระบบสารสนเทศ

- สนับสนุนการตัดสินใจเชิงกลยุทธ์ ในการลงทุนด้าน IT และการจัดสรรทรัพยากรเพื่อลดความเสี่ยง

- ส่งเสริมการปฏิบัติตามข้อกำหนดทางกฎหมาย มาตรฐาน และนโยบายภายใน ที่เกี่ยวข้องกับความปลอดภัยของข้อมูล

- ยกระดับความตระหนักรู้ ด้านความเสี่ยงด้านสารสนเทศทั่วทั้งองค์กร สร้างกลไกในการปรับปรุง การควบคุมและการป้องกันความเสี่ยงอย่างต่อเนื่อง

2. วัตถุประสงค์

คณะทำงานตรวจสอบและประเมินความเสี่ยงด้านสารสนเทศ มีวัตถุประสงค์ดังต่อไปนี้

2.1 เพื่อระบุและประเมินความเสี่ยงด้านสารสนเทศ ที่อาจส่งผลกระทบต่อสินทรัพย์สารสนเทศ กระบวนการทางธุรกิจ และการดำเนินงานขององค์กร

2.2 เพื่อกำหนดระดับความเสี่ยงที่ยอมรับได้ (Risk Appetite) ขององค์กร และจัดทำรายงานสถานะความเสี่ยงต่อผู้บริหารระดับสูง

2.3 เพื่อเสนอแนะมาตรการควบคุมและลดความเสี่ยง ที่เหมาะสมและมีประสิทธิภาพ รวมถึงการจัดทำแผนปฏิบัติการเพื่อลดความเสี่ยง (Risk Mitigation Plan)

2.4 เพื่อติดตามและทบทวนประสิทธิภาพของมาตรการควบคุม และประสิทธิผลของการลดความเสี่ยงอย่างสม่ำเสมอ

2.5 เพื่อสร้างกรอบการทำงานสำหรับการบริหารความเสี่ยงด้านสารสนเทศ ที่สอดคล้องกับมาตรฐานสากลและแนวปฏิบัติที่ดี

2.6 เพื่อส่งเสริมวัฒนธรรมความปลอดภัยของข้อมูล และความตระหนักรู้ด้านความเสี่ยงด้านสารสนเทศภายในองค์กร

3. อำนาจหน้าที่

คณะทำงานตรวจสอบและประเมินความเสี่ยงด้านสารสนเทศ มีอำนาจหน้าที่ดังต่อไปนี้

3.1 กำหนดขอบเขตและระเบียบวิธี ในการตรวจสอบและประเมินความเสี่ยงด้านสารสนเทศ

3.2 รวบรวมข้อมูล ที่จำเป็นในการระบุและวิเคราะห์ความเสี่ยง รวมถึงการสัมภาษณ์ผู้ที่เกี่ยวข้อง การทบทวนเอกสาร และการตรวจสอบระบบ

3.3 ดำเนินการประเมินความเสี่ยง โดยพิจารณาจากปัจจัยด้านโอกาสที่จะเกิด (Likelihood) และผลกระทบ (Impact)

3.4 จัดทำรายงานการประเมินความเสี่ยง ซึ่งระบุความเสี่ยงที่สำคัญ มาตรการควบคุมปัจจุบัน และข้อเสนอแนะในการปรับปรุง

3.5 เสนอแนะแนวทางและแผนการลดความเสี่ยง รวมถึงการจัดสรรทรัพยากรที่จำเป็น

3.6 ประสานงานกับหน่วยงานที่เกี่ยวข้อง เช่น IT, ความปลอดภัยข้อมูล, การตรวจสอบภายใน และฝ่ายบริหาร เพื่อให้มั่นใจว่าการบริหารความเสี่ยงเป็นไปอย่างบูรณาการ

3.7 ติดตามความคืบหน้า ของการนำมาตรการลดความเสี่ยงไปปฏิบัติ และประเมินผลลัพธ์

3.8 ทบทวนแผนการประเมินความเสี่ยง และปรับปรุงให้ทันสมัยอยู่เสมอตามการเปลี่ยนแปลงของเทคโนโลยี ภัยคุกคาม และสภาพแวดล้อมทางธุรกิจ

3.9 นำเสนอผลการประเมินความเสี่ยงและข้อเสนอแนะ ต่อผู้บริหารระดับสูง คณะกรรมการบริหารความเสี่ยง หรือคณะกรรมการที่เกี่ยวข้องเพื่อพิจารณาอนุมัติและสนับสนุนการดำเนินงาน

4. องค์ประกอบของคณะทำงาน

คณะทำงาน ควรประกอบด้วยบุคลากรจากหลากหลายหน่วยงานที่มีความรู้และประสบการณ์ที่เกี่ยวข้อง เพื่อให้การประเมินความเสี่ยงเป็นไปอย่างรอบด้าน ประกอบด้วย

- ผู้บริหารงานด้านเทคโนโลยีสารสนเทศ (CIO)

- ตัวแทนจากฝ่าย IT/Security (หัวหน้าคณะทำงาน)

- ตัวแทนจากฝ่ายตรวจสอบภายใน

- ตัวแทนจากฝ่ายกฎหมายหรือนิติกร (หากมี)

- ตัวแทนจากฝ่ายปฏิบัติการ/ธุรกิจที่ใช้ระบบสารสนเทศโดยตรง

- ผู้เชี่ยวชาญด้านความปลอดภัยข้อมูล/ความเสี่ยง (หากมี)

การแต่งตั้งคณะทำงานนี้ จะช่วยให้องค์กรสามารถบริหารจัดการความเสี่ยงด้านสารสนเทศได้อย่างเป็นระบบ โปร่งใส และมีประสิทธิภาพ ซึ่งจะนำไปสู่ความมั่นคงปลอดภัยและความยั่งยืนในการดำเนินธุรกิจในระยะยาว

5. รายละเอียดที่เกี่ยวข้องในการดำเนินงานของคณะทำงาน

มีหน้าดำเนินงานเพื่อให้การตรวจสอบและประเมินความเสี่ยงครอบคลุมและมีประสิทธิภาพ ประกอบด้วย

5.1 การกำกับดูแลและการบริหารจัดการ (Governance and Management)

- นโยบายและมาตรฐานความปลอดภัยสารสนเทศ

- โครงสร้างการกำกับดูแลความปลอดภัย (เช่น คณะกรรมการความปลอดภัยข้อมูล)

- บทบาทและหน้าที่ความรับผิดชอบด้านความปลอดภัยของบุคลากร

- การบริหารจัดการผู้ให้บริการภายนอก (Third-Party Risk Management)

- การปฏิบัติตามกฎหมายและข้อบังคับ (เช่น PDPA, ISO 27001, NIST)

5.2 การจัดการสินทรัพย์สารสนเทศ (Information Asset Management)

- การจำแนกประเภทและการจัดหมวดหมู่ข้อมูลและสินทรัพย์ IT

- การกำหนดความเป็นเจ้าของสินทรัพย์ (Asset Ownership)

- การจัดการวงจรชีวิตของข้อมูล (Data Lifecycle Management)

5.3 การจัดการความปลอดภัยทางกายภาพและสิ่งแวดล้อม (Physical and Environmental Security Management)

- การควบคุมการเข้าถึงสถานที่ (Physical Access Control)

- การป้องกันภัยพิบัติ (Disaster Prevention)

- การบำรุงรักษาสภาพแวดล้อมที่สำคัญ (เช่น อุณหภูมิ, ความชื้น)

5.4 การจัดการความปลอดภัยเครือข่ายและระบบ (Network and System Security Management)

- การควบคุมการเข้าถึงระบบและเครือข่าย (Logical Access Control)

- การจัดการช่องโหว่และการติดตั้งแพทช์ (Vulnerability Management and Patch Management)

- การป้องกันมัลแวร์และภัยคุกคามทางไซเบอร์

- การเข้ารหัสข้อมูล (Encryption)

- การกำหนดค่าความปลอดภัยของระบบ (Secure Configuration)

5.5 การจัดการการปฏิบัติงาน (Operations Management)

- การเฝ้าระวังและการบันทึกเหตุการณ์ (Monitoring and Logging)

- การสำรองข้อมูลและการกู้คืน (Backup and Recovery)

- การจัดการเหตุการณ์ความปลอดภัย (Security Incident Management)

- การบริหารจัดการการเปลี่ยนแปลง (Change Management)

- แผนความต่อเนื่องทางธุรกิจ (Business Continuity Plan - BCP) และแผนฟื้นฟูภัยพิบัติ (Disaster Recovery Plan - DRP)

5.6 การพัฒนาและการบำรุงรักษาระบบ (System Development and Maintenance)

- ความปลอดภัยในการพัฒนาซอฟต์แวร์ (Secure Software Development Lifecycle - SSDLC)

- การทดสอบการเจาะระบบ (Penetration Testing) และการประเมินช่องโหว่ (Vulnerability Assessment)

5.7 การบริหารจัดการบุคลากร (Human Resources Management)

- การสร้างความตระหนักและการฝึกอบรมด้านความปลอดภัยข้อมูล

- นโยบายการลาออกและการจัดการสิทธิ์การเข้าถึง

- การตรวจสอบประวัติพนักงาน

5.8 การจัดการการปฏิบัติตามกฎหมายและมาตรฐาน (Compliance Management)

- การตรวจสอบการปฏิบัติตามนโยบาย กฎหมาย และมาตรฐานที่เกี่ยวข้อง

- การจัดการกับการตรวจสอบจากภายนอก (External Audits)

6. ภาคผนวก

- แผนการตรวจประเมินความเสี่ยงด้านสารสนเทศ 

.

จากตัวอย่างข้างบนในเป็นแนวทางในการแต่งตั้ง คณะทำงานตรวจสอบและประเมินความเสี่ยงด้านสารสนเทศ เพื่อช่วยให้องค์กรสามารถบริหารจัดการความเสี่ยงด้านสารสนเทศ ได้อย่างเป็นระบบโปร่งใสและมีประสิทธิภาพ ซึ่งจะนำไปสู่ความมั่นคงปลอดภัยและความยั่งยืนในการดำเนินธุรกิจในระยะยาว

 .

-------------------------

ที่มา

-

ข้อมูลและภาพ

- www.iok2u.com