ISO/IEC 27001:2022 และ Penetration Testing
มาตรฐานระบบบริหารจัดการความมั่นคงปลอดภัยสารสนเทศ หรือ ISMS สำหรับจัดการความเสี่ยงต่อข้อมูล บุคลากร กระบวนการ และเทคโนโลยีอย่างเป็นระบบ
การใช้ผลทดสอบในระบบบริหาร ISO/IEC 27001
ISO/IEC 27001 เป็นมาตรฐานระบบบริหารความมั่นคงปลอดภัยสารสนเทศ ผลทดสอบมีคุณค่าเมื่อเชื่อมกับ scope, risk treatment, control owner และการทบทวนของผู้บริหาร.
- ควรกำหนดขอบเขต ISMS และจัดทำบัญชีทรัพย์สินสารสนเทศให้ชัดเจนก่อนเริ่มทดสอบ เพื่อป้องกันไม่ให้นำผลประเมินจากระบบย่อยไปอ้างอิงเป็นภาพรวมความเสี่ยงของทั้งองค์กร.
- คัดเลือกมาตรการควบคุมความปลอดภัยโดยอ้างอิงจากผลการประเมินความเสี่ยงและเอกสาร Statement of Applicability (SoA) โดยไม่ใช้รายการ Controls เป็นเพียง Checklist ที่ตัดขาดจากบริบททางธุรกิจ.
- การทดสอบเจาะระบบ (Penetration Testing) เป็นหลักฐานสำคัญอย่างหนึ่งในการยืนยันประสิทธิผลของมาตรการทางเทคนิค ทั้งนี้ มาตรฐานไม่ได้บังคับรอบความถี่ในการทำ Pentest ไว้แบบตายตัว แต่ขึ้นอยู่กับระดับความเสี่ยงและการเปลี่ยนแปลงขององค์กร.
- จัดเก็บรวบรวมรายการความเสี่ยง ช่องโหว่ การตัดสินใจยอมรับความเสี่ยง แผนการแก้ไข และผลการทดสอบซ้ำอย่างเป็นระบบ เพื่อใช้ประกอบการตรวจประเมินภายใน (Internal Audit) และการทบทวนของฝ่ายบริหาร (Management Review).
INFORMATION SECURITY MANAGEMENT
มาตรฐานระบบบริหารจัดการความมั่นคงปลอดภัยสารสนเทศ หรือ ISMS สำหรับจัดการความเสี่ยงต่อข้อมูล บุคลากร กระบวนการ และเทคโนโลยีอย่างเป็นระบบ
ข้อกำหนดที่เกี่ยวข้องกับ Penetration Testing
- ISO/IEC 27001:2022 ไม่ได้กำหนดให้องค์กรทุกแห่งต้องทำ Penetration Testing ตามรอบเวลาตายตัว แต่กำหนดให้ระบุ ประเมิน และจัดการความเสี่ยงด้านความมั่นคงปลอดภัยสารสนเทศอย่างเป็นระบบ
- Penetration Testing สามารถใช้เป็นวิธีควบคุมและหลักฐานสนับสนุน Annex A 8.8 การจัดการช่องโหว่ทางเทคนิค, A.8.29 การทดสอบความมั่นคงปลอดภัยระหว่างการพัฒนาและการยอมรับระบบ และ A.5.35 การทบทวนความมั่นคงปลอดภัยอย่างเป็นอิสระ
- ขอบเขตและความถี่ควรกำหนดจากผลประเมินความเสี่ยง ข้อกำหนดทางกฎหมาย หน่วยงานกำกับดูแล สัญญา และความสำคัญของระบบ
- ผลการทดสอบควรถูกนำเข้าสู่กระบวนการ Risk Treatment การแก้ไข การยอมรับความเสี่ยง และหลักฐานการปรับปรุง ISMS อย่างต่อเนื่อง
ISO/IEC 27001 เป็นมาตรฐานแบบ risk-based ไม่ใช่รายการ test case การทำ Penetration Testing จึงต้องผูกกับความเสี่ยงและ Statement of Applicability ของแต่ละองค์กร
ตารางเปรียบเทียบข้อกำหนดและการทดสอบความปลอดภัย
สรุปรายละเอียดประกาศ บทบัญญัติ และขอบเขตการทดสอบความปลอดภัยที่จำเป็น
| ประกาศ และข้อกำหนด | สาระสำคัญ | ขอบเขตการทดสอบ | รอบเวลาทดสอบ |
|---|---|---|---|
| Annex A 8.8 | การบริหารจัดการช่องโหว่ทางเทคนิค (Technical Vulnerability Management) | สินทรัพย์สารสนเทศในขอบเขต ISMS, Production Servers, Cloud Services | ตามผลประเมินความเสี่ยง และทบทวนทุกรอบ Surveillance Audit |
| Annex A 8.29 | การทดสอบความปลอดภัยระหว่างพัฒนาและก่อนรับมอบระบบ (Security Testing in Development and Acceptance) | ระบบที่พัฒนาใหม่, การเปลี่ยนแปลงสำคัญ, ก่อนขึ้นใช้งานจริง | ก่อนรับมอบระบบ และเมื่อมีการเปลี่ยนแปลงสำคัญ |
| Annex A 5.35 | การทบทวนความมั่นคงปลอดภัยสารสนเทศโดยผู้ประเมินอิสระ (Independent Review) | การควบคุมตาม Statement of Applicability (SoA) ที่ประกาศใช้ | ตามรอบที่กำหนดในแผนการทบทวน |
เครื่องมือประเมินความพร้อม
คลิกเลือกรายการที่องค์กรของท่านได้ดำเนินการแล้ว เพื่อคำนวณระดับความพร้อมเบื้องต้น