อัปเดตมาตรฐาน ISO/IEC 27001 สู่ปี 2026: สิ้นสุดระยะเปลี่ยนผ่าน พร้อมข้อกำหนดใหม่ด้านการเปลี่ยนแปลงสภาพภูมิอากาศ

การเปลี่ยนแปลงสำคัญและการสิ้นสุดช่วงเวลาปรับตัวของ ISO/IEC 27001

สำหรับองค์กรที่เตรียมตัวหรือถือครองการรับรองระบบบริหารจัดการความมั่นคงปลอดภัยสารสนเทศ (ISMS) ตามมาตรฐานสากล ขณะนี้ไม่มีเวอร์ชันใหม่อย่างเป็นทางการอย่าง "ISO/IEC 27001:2026" แต่มาตรฐานที่บังคับใช้ทั่วโลกในปัจจุบันคือ ISO/IEC 27001:2022 ควบคู่กับเอกสารแก้ไขเพิ่มเติม ISO/IEC 27001:2022/Amd 1:2024 ซึ่งหลังจากที่ช่วงเวลาผ่อนปรนการปรับเปลี่ยนจากเวอร์ชัน 2013 ได้สิ้นสุดลง (Transition deadline สิ้นสุดเมื่อวันที่ 31 ตุลาคม 2025 ตามรายงานของ Konfirmity) ส่งผลให้ทุกองค์กรที่ตรวจประเมินต่ออายุหรือขอรับรองใหม่จะต้องอ้างอิงตามเวอร์ชัน 2022 อย่างสมบูรณ์

การปรับปรุงโครงสร้างจากเดิม 114 การควบคุม เหลือ 93 การควบคุม โดยแบ่งออกเป็น 4 หมวดหมู่หลัก (Organizational, People, Physical, Technological) ช่วยให้องค์กรสามารถผนวกมาตรการรับมือภัยคุกคามไซเบอร์สมัยใหม่ได้มีประสิทธิภาพยิ่งขึ้น ไม่ว่าจะเป็น Threat Intelligence, Cloud Security, Configuration Management และการป้องกันข้อมูลรั่วไหล (Data Leakage Prevention)

ข้อกำหนดใหม่ Climate Action Amendment ที่ผู้ตรวจประเมินให้ความสำคัญ

จุดที่หลายองค์กรอาจมองข้ามคือการแก้ไขเพิ่มเติมด้านสภาพภูมิอากาศ หรือ ISO/IEC 27001:2022/Amd 1:2024 ซึ่งส่งผลกระทบต่อข้อกำหนด Clause 4.1 (Understanding the organization and its context) และ Clause 4.2 (Understanding the needs and expectations of interested parties) โดยกำหนดให้องค์กรต้องพิจารณาว่าความเสี่ยงจากการเปลี่ยนแปลงสภาพภูมิอากาศ (Climate Change) ส่งผลกระทบต่อความมั่นคงปลอดภัยสารสนเทศของตนหรือไม่

ตัวอย่างที่เห็นได้ชัดคือ ผลกระทบจากสภาพอากาศรุนแรง (Extreme Weather Events) ที่อาจทำให้ศูนย์ข้อมูล (Data Center) ระบบโครงข่ายไฟฟ้า หรือช่องทางการสื่อสารหยุดชะงัก แผนกู้คืนระบบจากภัยพิบัติ (Disaster Recovery Plan) และการบริหารจัดการความเสี่ยงจากผู้ให้บริการภายนอก (Vendor Due Diligence) จึงต้องครอบคลุมมิติเหล่านี้เพิ่มเติม

แนวทางปฏิบัติสำหรับองค์กรในไทย

1. ทบทวนบริบทองค์กรและทะเบียนความเสี่ยง (Risk Register): เพิ่มเติมประเด็นด้านสภาพภูมิอากาศและภัยธรรมชาติที่อาจกระทบต่อ Data Center ทั้ง On-premises และ Cloud พร้อมบันทึกข้อสรุปลงในรายงานบริบทองค์กร
2. ปรับปรุง Statement of Applicability (SoA): ตรวจสอบว่า SoA อ้างอิงชุดการควบคุม 93 ข้อตามเวอร์ชัน 2022 อย่างครบถ้วน รวมถึงการตรวจติดตามความต่อเนื่องทางธุรกิจ (Business Continuity)
3. เปลี่ยนผ่านสู่การปฏิบัติจริง (Continuous Evidence): ผู้ตรวจประเมินให้ความสำคัญกับหลักฐานการทำงานจริงมากกว่าเพียงเอกสารเชิงนโยบาย เช่น บันทึกการจัดการการเปลี่ยนแปลง (Clause 6.3) และผลการทดสอบแผนกู้คืนระบบ

---

แหล่งอ้างอิง

1. ISO/IEC 27001:2022/Amd 1:2024
2. Konfirmity - ISO 27001 in 2026: What Changed, Latest Version & Key Requirements
3. Bright Defense - ISO 27001: What Changed in 2026?