ISO 27001 คืออะไร พร้อม 27701 และ 27799 ทำไมร้านควรสนใจ

บทความนี้เป็นข้อมูลทั่วไป ไม่ใช่คำปรึกษาทางกฎหมาย รายละเอียดของมาตรฐานแต่ละฉบับดูได้จาก ISO ส่วนหน้าที่ตาม PDPA ดูจาก สคส.

เวลาเลือกระบบจองคิวหรือระบบเก็บข้อมูลลูกค้า เจ้าของร้านมักเห็นคำว่า ISO 27001 ในหน้าเว็บของผู้ให้บริการ แต่ไม่แน่ใจว่า ISO 27001 คืออะไร ต่างจาก 27701 และ 27799 อย่างไร และเกี่ยวกับร้านตรงไหน บทความนี้อธิบายด้วยภาษาง่าย ๆ พร้อมวิธีตรวจว่าการรับรองที่ผู้ให้บริการอ้างนั้นครอบคลุมบริการที่คุณใช้จริง

ISO 27001 คืออะไร

ISO/IEC 27001 เป็นมาตรฐานสากลสำหรับ ระบบบริหารจัดการความมั่นคงปลอดภัยสารสนเทศ (Information Security Management System หรือ ISMS) หัวใจของมาตรฐานไม่ใช่เครื่องมือตัวใดตัวหนึ่ง แต่เป็นวิธีบริหารความเสี่ยงอย่างเป็นระบบ

• ระบุว่าข้อมูลอะไรสำคัญ และมีความเสี่ยงอะไรบ้าง
• เลือกมาตรการควบคุมให้เหมาะกับความเสี่ยง เช่น การควบคุมสิทธิ์ การเข้ารหัส การสำรองข้อมูล การรับมือเหตุการณ์
• กำหนดความรับผิดชอบ มีเอกสาร และฝึกอบรม
• ตรวจสอบภายใน ทบทวนโดยผู้บริหาร และปรับปรุงต่อเนื่อง

องค์กรที่ได้รับการรับรองต้องผ่านการตรวจประเมินจากหน่วยรับรองภายนอก และถูกตรวจติดตามเป็นระยะตลอดอายุใบรับรอง

ISO/IEC 27701 คืออะไร

ISO/IEC 27701 ขยายแนวคิดจากความปลอดภัยไปสู่ การบริหารจัดการข้อมูลส่วนบุคคล (Privacy Information Management System หรือ PIMS) ครอบคลุมเรื่องที่เกี่ยวกับความเป็นส่วนตัวโดยตรง เช่น

• การระบุบทบาทว่าเป็นผู้ควบคุมหรือผู้ประมวลผลข้อมูล
• การกำหนดวัตถุประสงค์และฐานในการใช้ข้อมูล
• การรองรับสิทธิของเจ้าของข้อมูล
• การจัดการผู้ประมวลผลช่วงต่อและการโอนข้อมูล

มาตรฐานนี้สอดคล้องกับแนวคิดของกฎหมายคุ้มครองข้อมูลอย่าง PDPA จึงช่วยให้องค์กรวางกระบวนการที่รองรับกฎหมายได้เป็นระบบ อ่านเรื่องบทบาทผู้ควบคุมและผู้ประมวลผลได้ใน ผู้ควบคุมข้อมูล vs ผู้ประมวลผล

ISO 27799 คืออะไร

ISO 27799 เป็นมาตรฐานด้าน สารสนเทศสุขภาพ ให้แนวทางการบริหารความมั่นคงปลอดภัยสำหรับข้อมูลสุขภาพส่วนบุคคล โดยต่อยอดจากมาตรการควบคุมในตระกูล ISO/IEC 27000 ISO 27799 เป็นมาตรฐานเชิงแนวปฏิบัติ และโดยทั่วไปประเมินร่วมกับขอบเขตของ ISO/IEC 27001 ถ้อยคำเรื่องการรับรองจึงควรอ่านคู่กับใบรับรองจริง

สำหรับคลินิก ทันตกรรม กายภาพ หรือสปาที่เก็บประวัติแพ้ยาและโรคประจำตัว มาตรฐานนี้เกี่ยวข้องโดยตรง เพราะข้อมูลสุขภาพเป็นข้อมูลอ่อนไหวตาม PDPA ดู ข้อมูลอ่อนไหว PDPA มาตรา 26

เปรียบเทียบ 3 มาตรฐาน

ทำไมร้านควรสนใจ แม้ไม่ได้ขอใบรับรองเอง

ร้านบริการส่วนใหญ่ไม่จำเป็นต้องขอใบรับรอง ISO เอง แต่เมื่อร้านฝากข้อมูลลูกค้าไว้กับผู้ให้บริการระบบ ร้านยังเป็นผู้ควบคุมข้อมูลตาม PDPA และต้องเลือกผู้ประมวลผลที่มีมาตรการเหมาะสม การเลือกผู้ให้บริการที่ได้รับการรับรองช่วยได้หลายทาง

1. ลดความเสี่ยงข้อมูลรั่ว จากระบบที่ผ่านการตรวจประเมิน
2. ตอบลูกค้าได้มั่นใจ เมื่อลูกค้าถามว่าข้อมูลของเขาอยู่ที่ไหน ปลอดภัยแค่ไหน
3. มีหลักฐานการคัดเลือก ว่าร้านพิจารณามาตรฐานของผู้ประมวลผลแล้ว
4. กระบวนการรองรับ PDPA เช่น การแจ้งเหตุ การลบข้อมูล ถูกออกแบบไว้แล้ว

วิธีตรวจใบรับรองของผู้ให้บริการ

อย่าดูแค่โลโก้บนเว็บไซต์ ให้ขอหรือตรวจข้อมูลเหล่านี้

• เลขที่ใบรับรอง และ หน่วยรับรอง ที่ออกให้
• ขอบเขต (scope) ใบรับรองครอบคลุมบริการที่คุณใช้หรือไม่ บางองค์กรรับรองเฉพาะบางหน่วยงานหรือบางบริการ
• วันหมดอายุ และสถานะปัจจุบัน
• ชื่อนิติบุคคล ตรงกับบริษัทที่คุณทำสัญญาหรือไม่

มาตรฐานไม่ได้แทนมาตรการฝั่งร้าน

แม้ผู้ให้บริการจะได้รับการรับรอง ความปลอดภัยของข้อมูลลูกค้ายังขึ้นกับการใช้งานของร้านด้วย ตัวอย่างเช่น ถ้าพนักงานหลายคนใช้บัญชีเดียวกัน ถ้าแท็บเล็ตหน้าร้านไม่ล็อกหน้าจอ หรือถ้าส่งออกรายชื่อลูกค้าแล้วส่งต่อในกลุ่มแชท มาตรฐานของผู้ให้บริการก็ช่วยได้จำกัด สิ่งที่ร้านควรทำควบคู่กัน

• ให้พนักงานเข้าระบบด้วยบัญชีของตัวเอง และกำหนดบทบาทให้เหมาะกับงาน
• ปิดสิทธิ์ทันทีเมื่อพนักงานลาออก
• ล็อกหน้าจออุปกรณ์หน้าร้าน
• ส่งออกข้อมูลเฉพาะเมื่อจำเป็น และลบไฟล์เมื่อใช้เสร็จ

ตัวอย่าง: คลินิกทันตกรรมเลือกระบบนัด

ตัวอย่าง คลินิกทันตกรรมเปรียบเทียบระบบนัด 3 ราย ทุกรายมีระบบจองออนไลน์คล้ายกัน คลินิกตั้งคำถามเพิ่ม

• ข้อมูลเก็บในประเทศใด
• มีข้อตกลงการประมวลผลข้อมูลหรือไม่
• ได้รับการรับรองมาตรฐานใด ขอบเขตครอบคลุมบริการนี้หรือไม่
• ข้อมูลสุขภาพถูกเข้ารหัสและจำกัดการเข้าถึงอย่างไร

คำตอบช่วยให้คลินิกตัดสินใจจากข้อเท็จจริง ไม่ใช่จากราคาอย่างเดียว ดูการตั้งค่าคลินิกทันตกรรมที่ หน้าธุรกิจทันตกรรม

NadQ กับมาตรฐาน ISO

NadQ ให้บริการโดย บริษัท หนุมานไอที จำกัด บริษัทผู้ให้บริการได้รับการรับรองมาตรฐาน ISO/IEC 27001, ISO/IEC 27701 และ ISO 27799 โดยขอบเขตการรับรองเป็นไปตามที่ระบุในใบรับรองแต่ละฉบับ นอกจากนี้ระบบยังมีมาตรการที่สอดคล้องกับแนวคิดของมาตรฐาน เช่น

• แยกข้อมูลแต่ละร้านด้วยการควบคุมระดับฐานข้อมูล
• สิทธิ์ตามบทบาท เจ้าของ ผู้จัดการ พนักงานต้อนรับ พนักงานบริการ
• เข้ารหัสข้อมูลสุขภาพระดับฟิลด์และบันทึกการเข้าถึง
• เก็บข้อมูลหลักในศูนย์ข้อมูลประเทศไทย

รายละเอียดเพิ่มเติมอยู่ใน นโยบายความเป็นส่วนตัว

ถามผู้ให้บริการอย่างไรโดยไม่ต้องเป็นผู้เชี่ยวชาญ

ร้านไม่จำเป็นต้องอ่านมาตรฐานทั้งเล่ม ถามคำถามง่าย ๆ ก็พอ เช่น ใบรับรองของคุณครอบคลุมบริการที่ร้านใช้หรือไม่ ข้อมูลของร้านเก็บในประเทศใด ถ้าข้อมูลรั่วจะแจ้งร้านภายในกี่ชั่วโมง พนักงานของผู้ให้บริการเข้าถึงข้อมูลลูกค้าของร้านได้ในกรณีใด และเมื่อเลิกใช้บริการ ข้อมูลจะถูกลบเมื่อไร ผู้ให้บริการที่มีระบบบริหารจัดการที่ดีมักตอบคำถามเหล่านี้ได้ชัดเจนและมีเอกสารรองรับ

สรุป

ISO 27001 คือมาตรฐานการบริหารความปลอดภัยสารสนเทศ ISO/IEC 27701 ต่อยอดไปที่ข้อมูลส่วนบุคคล และ ISO 27799 เน้นข้อมูลสุขภาพ ร้านไม่จำเป็นต้องขอรับรองเอง แต่ควรใช้มาตรฐานเหล่านี้เป็นเกณฑ์เลือกผู้ให้บริการ และตรวจขอบเขตใบรับรองให้ครอบคลุมบริการที่ใช้จริง ร่วมกับทำหน้าที่ตาม PDPA ฝั่งร้านให้ครบ