Information Security Template

เอกสารแสดงกระบวนการที่เกี่ยวข้องกับการกำกับดูแลด้าน IT เช่น การจัดทำและขออนุมัติแผนงานด้าน IT การจัดทำแผนและการบริหารจัดการทรัพยากรด้าน IT และการติดตามและรายงานผลการดำเนินการด้าน IT เป็นต้น

เอกสารแสดงบทบาทหน้าที่และความรับผิดชอบของหน่วยงานด้าน IT ตามหลักการแบ่งแยกหน้าที่ 3 ระดับ (3 Lines of Defense : 3 LoDs) เช่น หน่วยงานปฏิบัติงานด้าน IT และผู้ที่ใช้ระบบ IT ปฏิบัติงาน, หน่วยงานบริหารความเสี่ยงด้าน IT และหน่วยงานกำกับดูแลการปฏิบัติตามกฎหมายและหลักเกณฑ์ด้าน IT และ หน่วยงานตรวจสอบด้าน IT เป็นต้น

นโยบายบริหารจัดการความเสี่ยงด้าน IT (IT risk management policy)

แบบฟอร์มทะเบียนความเสี่ยง (risk register)

นโยบายการรักษาความมั่นคงปลอดภัยด้าน IT (IT security policy)

เอกสารขั้นตอนการปฏิบัติงานที่เกี่ยวข้องกับการบริหารจัดการความเสี่ยงด้าน IT และการรักษาความมั่นคงปลอดภัยด้าน IT

เอกสารแสดงวิธีปฏิบัติสำหรับการอนุมัติยกเว้น (exception)

แบบฟอร์มขออนุมัติยกเว้น (exception)

เอกสารข้อกำหนดหรือเงื่อนไขในสัญญาจ้างหรือระเบียบข้อบังคับภายในองค์กร ที่มีการกล่าวถึงบทบาทหน้าที่ความรับผิดชอบ การปฏิบัติตามนโยบายและข้อกำหนดที่เกี่ยวข้องกับการรักษาความมั่นคงปลอดภัยด้านเทคโนโลยีสารสนเทศของบริษัท เพื่อป้องกันการรั่วไหลของข้อมูลหรือความเสียหายที่อาจเกิดขึ้นต่อทรัพย์สินด้านเทคโนโลยีสารสนเทศของบริษัท

ข้อตกลงการไม่เปิดเผยข้อมูล (non-disclosure agreement)

แผนการส่งเสริมและพัฒนาความรู้ด้าน IT (training program)

แบบฟอร์มลงนามนโยบายการใช้งาน IT ที่ยอมรับได้ (acceptable use policy)

เอกสารแนวปฏิบัติในการคัดเลือกผู้ให้บริการภายนอก

เอกสารประเมินศักยภาพบุคคลภายนอก (Due Diligence form)

สัญญาหรือข้อตกลงการใช้บริการ การเชื่อมต่อ หรือการเข้าถึงข้อมูลจากบุคคลภายนอก

สัญญาหรือข้อตกลงการใช้บริการกับบุคคลภายนอก ซึ่งเป็นผู้ให้บริการงานด้าน IT รายที่มีนัยสำคัญ

แบบฟอร์มลงนาม ข้อตกลงการไม่เปิดเผยข้อมูล (non-disclosure agreement)

ทะเบียนรายชื่อบุคคลภายนอก (third-party list)

แบบฟอร์มการประเมินผลการปฏิบัติงานหรือผลการให้บริการของบุคคลภายนอก

แผนรองรับในกรณีที่บุคคลภายนอกเกิดเหตุการณ์ผิดปกติด้าน IT (incident response plan)

เอกสารระเบียบปฏิบัติเกี่ยวกับการบริหารจัดการทรัพย์สินด้าน IT

ทะเบียนทรัพย์สินด้าน IT ประเภท Hardware

ทะเบียนทรัพย์สินด้าน IT ประเภท Software

เอกสารหลักเกณฑ์การจัดชั้นความลับของข้อมูล (data classification)

เอกสารแนวปฏิบัติในการจัดการข้อมูล (data handling) ตามชั้นความลับ ที่ครอบคลุมตลอดวงจรชีวิตของข้อมูล

เอกสารแนวปฏิบัติในการทำลายข้อมูล (Data Disposal)

ทะเบียนการทำลายข้อมูลสำคัญ

ทะเบียนทรัพย์สินประเภทข้อมูล (Data Inventory)

เอกสารแนวปฏิบัติในการสร้างบัญชีผู้ใช้งาน

เอกสารแนวปฏิบัติในการทบทวนบัญชีและสิทธิการเข้าถึงของผู้ใช้งาน

เอกสารแนวปฏิบัติในการขออนุมัติสิทธิในการเข้าถึงข้อมูลและระบบ IT

เอกสารแนวปฏิบัติในการปรับปรุงสิทธิของผู้ใช้งานเมื่อมีการเปลี่ยนแปลงหน้าที่ความรับผิดชอบหรือตำแหน่งงาน

เอกสารแนวปฏิบัติในการเพิกถอนสิทธิของผู้ใช้งาน

เอกสารนโยบายรหัสผ่าน (Password Policy)

เอกสารแนวปฏิบัติในการขอใช้งานบัญชี privileged user

แบบฟอร์มลงนาม การขอใช้งานบัญชี privileged user

มาตรฐานการเข้ารหัส (Encryption standard)

นโยบายการเข้ารหัส (Encryption policy)

เอกสารแสดงสิทธิการเข้าถึงศูนย์คอมพิวเตอร์ และพื้นที่ที่เกี่ยวข้องกับระบบ IT ที่มีนัยสำคัญ

แบบฟอร์มลงนาม หรือ บันทึกควบคุมการเข้า-ออก ศูนย์คอมพิวเตอร์ และพื้นที่ที่เกี่ยวข้องกับระบบ IT ที่มีนัยสำคัญ

เอกสารมาตรฐานการตั้งค่าด้านความมั่นคงปลอดภัย (security configuration standard) หรือ security baseline

เอกสารแนวในการบริหารจัดการการเปลี่ยนแปลง

แบบฟอร์มลงนาม คำขอการเปลี่ยนแปลง (change request) ที่ลงนามโดยผู้มีอำนาจ

เอกสารแนวปฏิบัติในการบริหารจัดการขีดความสามารถของระบบ (capacity management)

การกำหนดตัวชี้วัดการใช้ทรัพยากรด้านเทคโนโลยีสารสนเทศ (threshold และ trigger) ในระดับต่าง ๆ

เอกสารมาตรการรักษาความปลอดภัยของเครื่องแม่ข่าย และอุปกรณ์ที่ใช้ปฏิบัติงาน

เอกสารนโยบายและมาตรการรักษาความปลอดภัยสำหรับการปฏิบัติงานจากเครือข่ายภายนอก (teleworking) การใช้งานอุปกรณ์เคลื่อนที่ (mobile device) และรวมถึงการใช้งานอุปกรณ์ส่วนตัว (Bring Your Own Device : BYOD)

แบบฟอร์มลงนาม การอนุมัติการปฏิบัติงานจากเครือข่ายภายนอกของบุคคลากร

ทะเบียนอุปกรณ์เคลื่อนที่ (mobile device)

เอกสารแนวปฏิบัติในการสำรองข้อมูล

เอกสารแนวปฏิบัติในการตรวจจับเหตุการณ์ผิดปกติที่อาจส่งผลกระทบต่อความปลอดภัยของระบบ IT ที่มีนัยสำคัญ

แผนการประเมินช่องโหว่ (Vulnerability Assessment)

เอกสารแนวปฏิบัติในการบริหารจัดการประเมินช่องโหว่ (Vulnerability Assessment) และ การทดสอบเจาะระบบ (Penetration Test)

เอกสารแนวปฏิบัติในการบริหารจัดการโปรแกรมแก้ไขช่องโหว่ (patch management)

เอกสารแนวปฎิบัติการควบคุมข้อมูลที่รับส่งผ่านระบบเครือข่ายสื่อสาร (information transfer)

เอกสารแนวปฏิบัติการใช้งาน Electronic messaging (Instant messaging, Social networking และ File sharing) ในบริษัท

เอกสารที่ระบุถึงกรอบการบริหารจัดการโครงการ (project management framework)

เอกสารแสดงหลักเกณฑ์การคัดเลือกระบบ IT และผู้ให้บริการ

เอกสารแนวปฏิบัติในการออกแบบและพัฒนาระบบ

เอกสารแนวฏิบัติในการออกแบบและพัฒนาระบบอย่างปลอดภัย (secure coding)

แบบฟอร์มลงนาม User Acceptance Test (UAT)

แผนการรับมือกับเหตุการณ์ผิดปกติ (Incident Response Plan : IRP)

เอกสารแต่งตั้งคณะทำงานหรือหน่วยงานที่รับผิดชอบในการจัดทำแผนฉุกเฉินด้าน IT

แผนผัง Call Tree

แผนการตรวจสอบด้านเทคโนโลยีสารสนเทศ