รับมือความเสี่ยงบน Cloud ด้วยมาตรฐาน ISO/IEC 27017 และ 27018

ความสำคัญของมาตรฐานเฉพาะทางสำหรับ Cloud

ในขณะที่ ISO/IEC 27001 เป็นรากฐานของการจัดการความมั่นคงปลอดภัยสารสนเทศ แต่เมื่อองค์กรย้ายข้อมูลขึ้นสู่ Cloud ความเสี่ยงจะมีความซับซ้อนมากขึ้น ISO/IEC 27017 จึงถูกออกแบบมาเพื่อเป็นแนวทางปฏิบัติ (Code of Practice) สำหรับการควบคุมความปลอดภัยบน Cloud โดยเฉพาะ ส่วน ISO/IEC 27018 มุ่งเน้นไปที่การคุ้มครองข้อมูลส่วนบุคคล (PII) ในสภาพแวดล้อม Cloud สาธารณะ ซึ่งสอดคล้องกับหลักการของ PDPA และ GDPR อย่างยิ่ง

การบูรณาการมาตรฐานเข้ากับ ISMS

องค์กรไม่จำเป็นต้องขอรับรอง ISO/IEC 27017 หรือ 27018 แยกเดี่ยว แต่ควรนำมาประยุกต์ใช้เป็นส่วนหนึ่งของระบบบริหารจัดการความมั่นคงปลอดภัยสารสนเทศ (ISMS) ตามมาตรฐาน ISO/IEC 27001 การทำเช่นนี้จะช่วยให้องค์กรสามารถ:

• ระบุความรับผิดชอบร่วมกันระหว่างผู้ให้บริการ Cloud และผู้ใช้งาน (Shared Responsibility Model)
• เพิ่มมาตรการป้องกันการเข้าถึงข้อมูลโดยไม่ได้รับอนุญาตบนระบบ Cloud
• สร้างความโปร่งใสในการจัดการข้อมูลส่วนบุคคลให้กับลูกค้าและหน่วยงานกำกับดูแล

ข้อเสนอแนะสำหรับองค์กรไทย

สำหรับบริษัทที่ใช้บริการ Cloud หรือเป็นผู้ให้บริการ Cloud เอง การนำมาตรฐานเหล่านี้มาปรับใช้จะช่วยลดความเสี่ยงจากการรั่วไหลของข้อมูลได้มหาศาล องค์กรควรเริ่มจากการประเมินว่าข้อมูลใดบ้างที่อยู่บน Cloud และนำแนวทางจาก ISO/IEC 27017 มาปรับใช้ในนโยบายความปลอดภัยขององค์กร เพื่อให้มั่นใจว่าการใช้งานเทคโนโลยีคลาวด์จะเป็นไปอย่างปลอดภัยและสอดคล้องกับกฎหมายคุ้มครองข้อมูลส่วนบุคคล

---

แหล่งอ้างอิง

1. ISO - ISO/IEC 27017:2026
2. F5 - ISO 27001, ISO 27017, ISO 27018