เจาะลึก ISO/IEC 27001:2022/Amd 1:2024 การผนวกประเด็นการเปลี่ยนแปลงสภาพภูมิอากาศเข้ากับระบบ ISMS

การเปลี่ยนแปลงสำคัญใน ISO/IEC 27001:2022 Amendment 1:2024

การประกาศใช้ข้อกำหนดแก้ไขเพิ่มเติม ISO/IEC 27001:2022/Amd 1:2024 ส่งผลให้เกิดข้อกำหนดใหม่ในการบริหารจัดการความมั่นคงปลอดภัยสารสนเทศ โดยมุ่งเน้นการประเมินผลกระทบจากการเปลี่ยนแปลงสภาพภูมิอากาศ (Climate Change) ซึ่งถูกบรรจุไว้ในข้อกำหนดหลัก 2 ส่วนสำคัญ ได้แก่:

1. Clause 4.1 (บริบทขององค์กร): องค์กรต้องวิเคราะห์และตัดสินว่าประเด็นความเปลี่ยนแปลงสภาพภูมิอากาศเป็นปัจจัยที่เกี่ยวข้องกับระบบการจัดการความมั่นคงปลอดภัยสารสนเทศ (ISMS) หรือไม่ พร้อมทั้งบันทึกการประเมินนี้เป็นลายลักษณ์อักษร
2. Clause 4.2 (ความต้องการของผู้มีส่วนได้ส่วนเสีย): มีการเพิ่มหมายเหตุระบุว่า คู่ค้า ภาครัฐ และหน่วยงานกำกับดูแลอาจมีข้อกำหนดเฉพาะเกี่ยวกับความยั่งยืนและสภาพภูมิอากาศ ซึ่งองค์กรจำเป็นต้องคำนึงถึงในการวางนโยบายความมั่นคงปลอดภัย

ผลกระทบต่อความมั่นคงปลอดภัยสารสนเทศและ Data Center

ความเสี่ยงจากสภาพภูมิอากาศสุดขั้วส่งผลกระทบโดยตรงต่อความพร้อมใช้งาน (Availability) ของข้อมูล เช่น เหตุการณ์น้ำท่วม คลื่นความร้อนสูง หรือไฟฟ้าดับเป็นวงกว้าง ซึ่งอาจทำให้ระบบศูนย์ข้อมูล (Data Center) หยุดชะงัก นอกจากนี้ ปัญหาห่วงโซ่อุปทาน (Supply Chain) อันเนื่องมาจากภัยธรรมชาติก็อาจกระทบต่อการจัดหาอุปกรณ์ฮาร์ดแวร์เพื่อทดแทนในกรณีฉุกเฉิน

แนวทางการปฏิบัติสำหรับองค์กรในประเทศไทย

สำหรับองค์กรในไทยที่เตรียมรับการตรวจประเมินหรือต่ออายุการรับรองมาตรฐาน ควรดำเนินการเชิงปฏิบัติดังนี้:

• ทบทวนบริบทองค์กรและความเสี่ยง (Risk Register): ประเมินว่าสภาพอากาศสุดขั้วในพื้นที่ตั้งของเซิร์ฟเวอร์หรือศูนย์ข้อมูลส่งผลต่อความต่อเนื่องทางธุรกิจหรือไม่
• ปรับปรุงแผนความต่อเนื่องทางธุรกิจ (BCP/DRP): บรรจุสถานการณ์ภัยพิบัติทางธรรมชาติลงในการฝึกซ้อมแผนกู้คืนระบบสารสนเทศ เพื่อรองรับสถานการณ์ฉุกเฉินได้อย่างไร้รอยต่อ

---

แหล่งอ้างอิง

1. ISO/IEC 27001:2022/Amd 1:2024 - International Organization for Standardization
2. ISO 27001 Amendment 1 2024 - How to address it