របៀបអនុវត្ត ISO 27001: ការណែនាំសម្រាប់ការប្រើប្រាស់

សព្វថ្ងៃនេះ បញ្ហាសន្តិសុខព័ត៌មាន (តទៅនេះហៅថា សន្តិសុខព័ត៌មាន) របស់ក្រុមហ៊ុន គឺជាបញ្ហាមួយក្នុងចំនោមបញ្ហាបំផុតនៅលើពិភពលោក។ ហើយនេះមិនមែនជារឿងគួរឱ្យភ្ញាក់ផ្អើលនោះទេ ព្រោះនៅក្នុងប្រទេសជាច្រើនមានការរឹតបន្តឹងលើតម្រូវការសម្រាប់អង្គការដែលរក្សាទុក និងដំណើរការទិន្នន័យផ្ទាល់ខ្លួន។ បច្ចុប្បន្ននេះ ច្បាប់របស់រុស្ស៊ីទាមទារឱ្យរក្សាសមាមាត្រដ៏សំខាន់នៃលំហូរឯកសារក្នុងទម្រង់ជាក្រដាស។ ទន្ទឹមនឹងនេះដែរ និន្នាការឆ្ពោះទៅរកឌីជីថលភាវូបនីយកម្មគឺគួរឱ្យកត់សម្គាល់៖ ក្រុមហ៊ុនជាច្រើនបានរក្សាទុកព័ត៌មានសម្ងាត់មួយចំនួនធំរួចហើយទាំងក្នុងទម្រង់ឌីជីថល និងក្នុងទម្រង់ឯកសារក្រដាស។

នេះ​បើ​តាម​លទ្ធផល ការស្ទង់មតិ មជ្ឈមណ្ឌលវិភាគប្រឆាំងមេរោគ 86% នៃអ្នកឆ្លើយតបបានកត់សម្គាល់ថាក្នុងកំឡុងឆ្នាំ ពួកគេយ៉ាងហោចណាស់ម្តងត្រូវដោះស្រាយឧប្បត្តិហេតុបន្ទាប់ពីការវាយប្រហារតាមអ៊ីនធឺណិត ឬជាលទ្ធផលនៃការរំលោភបំពានអ្នកប្រើប្រាស់នៃបទប្បញ្ញត្តិដែលបានបង្កើតឡើង។ ក្នុងន័យនេះ ការផ្តល់អាទិភាពដល់សន្តិសុខព័ត៌មានក្នុងអាជីវកម្មបានក្លាយជាភាពចាំបាច់។

បច្ចុប្បន្ននេះ សន្តិសុខព័ត៌មានសាជីវកម្មមិនត្រឹមតែជាសំណុំនៃមធ្យោបាយបច្ចេកទេសដូចជា កំចាត់មេរោគ ឬជញ្ជាំងភ្លើងប៉ុណ្ណោះទេ វាគឺជាវិធីសាស្រ្តរួមបញ្ចូលគ្នាមួយសម្រាប់ការគ្រប់គ្រងទ្រព្យសម្បត្តិរបស់ក្រុមហ៊ុនជាទូទៅ និងព័ត៌មានជាពិសេស។ ក្រុមហ៊ុនដោះស្រាយបញ្ហាទាំងនេះខុសគ្នា។ ថ្ងៃនេះយើងចង់និយាយអំពីការអនុវត្តស្តង់ដារអន្តរជាតិ ISO 27001 ជាដំណោះស្រាយចំពោះបញ្ហាបែបនេះ។ សម្រាប់ក្រុមហ៊ុននៅលើទីផ្សាររុស្ស៊ី វត្តមាននៃវិញ្ញាបនបត្របែបនេះជួយសម្រួលអន្តរកម្មជាមួយអតិថិជនបរទេស និងដៃគូដែលមានតម្រូវការខ្ពស់ក្នុងបញ្ហានេះ។ ISO 27001 ត្រូវបានប្រើប្រាស់យ៉ាងទូលំទូលាយនៅលោកខាងលិច និងគ្របដណ្តប់លើតម្រូវការក្នុងវិស័យសន្តិសុខព័ត៌មាន ដែលគួរតែត្រូវបានគ្របដណ្តប់ដោយដំណោះស្រាយបច្ចេកទេសដែលបានប្រើប្រាស់ ហើយក៏រួមចំណែកដល់ការអភិវឌ្ឍន៍ដំណើរការអាជីវកម្មផងដែរ។ ដូច្នេះ ស្តង់ដារនេះអាចក្លាយជាគុណសម្បត្តិប្រកួតប្រជែងរបស់អ្នក និងជាចំណុចនៃការទំនាក់ទំនងជាមួយក្រុមហ៊ុនបរទេស។

វិញ្ញាបនប័ត្រនៃប្រព័ន្ធគ្រប់គ្រងសន្តិសុខព័ត៌មាននេះ (ដែលក្រោយមកហៅថា ISMS) បានប្រមូលនូវការអនុវត្តល្អបំផុតសម្រាប់ការរចនា ISMS ហើយសំខាន់គឺបានផ្តល់សម្រាប់លទ្ធភាពនៃការជ្រើសរើសឧបករណ៍ត្រួតពិនិត្យដើម្បីធានាដល់ដំណើរការនៃប្រព័ន្ធ តម្រូវការសម្រាប់ការគាំទ្រផ្នែកសន្តិសុខបច្ចេកវិទ្យា និងសូម្បីតែ សម្រាប់ដំណើរការគ្រប់គ្រងបុគ្គលិកនៅក្នុងក្រុមហ៊ុន។ យ៉ាងណាមិញ ចាំបាច់ត្រូវយល់ថា ការបរាជ័យផ្នែកបច្ចេកទេសគ្រាន់តែជាផ្នែកនៃបញ្ហាប៉ុណ្ណោះ។ នៅក្នុងបញ្ហាសន្តិសុខព័ត៌មាន កត្តាមនុស្សដើរតួនាទីយ៉ាងធំ ហើយវាពិបាកជាងក្នុងការលុបបំបាត់ ឬកាត់បន្ថយវា។

ប្រសិនបើក្រុមហ៊ុនរបស់អ្នកកំពុងស្វែងរកការទទួលបានវិញ្ញាបនបត្រ ISO 27001 នោះអ្នកប្រហែលជាបានព្យាយាមស្វែងរកវិធីងាយៗដើម្បីធ្វើវារួចហើយ។ យើងត្រូវតែខកចិត្តអ្នក៖ មិនមានវិធីងាយស្រួលនៅទីនេះទេ។ ទោះយ៉ាងណាក៏ដោយ មានជំហានមួយចំនួនដែលនឹងជួយរៀបចំអង្គការមួយសម្រាប់តម្រូវការសន្តិសុខព័ត៌មានអន្តរជាតិ៖

1. ទទួលបានការគាំទ្រពីអ្នកគ្រប់គ្រង

អ្នក​ប្រហែល​ជា​គិត​ថា​នេះ​ជា​រឿង​ជាក់ស្តែង ប៉ុន្តែ​ក្នុង​ការ​អនុវត្ត​ចំណុច​នេះ​ច្រើន​តែ​ត្រូវ​បាន​គេ​មើល​រំលង។ ជាងនេះទៅទៀត នេះជាហេតុផលចម្បងមួយដែលគម្រោងអនុវត្ត ISO 27001 ជារឿយៗបរាជ័យ។ បើគ្មានការយល់ដឹងពីសារៈសំខាន់នៃគម្រោងការអនុវត្តស្តង់ដារ ការគ្រប់គ្រងនឹងមិនផ្តល់ទាំងធនធានមនុស្សគ្រប់គ្រាន់ ឬថវិកាគ្រប់គ្រាន់សម្រាប់ការបញ្ជាក់នោះទេ។

2. បង្កើតផែនការរៀបចំវិញ្ញាបនប័ត្រ

ការរៀបចំសម្រាប់វិញ្ញាបនប័ត្រ ISO 27001 គឺជាកិច្ចការដ៏ស្មុគស្មាញដែលពាក់ព័ន្ធនឹងការងារជាច្រើនប្រភេទ ទាមទារឱ្យមានការចូលរួមពីមនុស្សមួយចំនួនធំ ហើយអាចចំណាយពេលច្រើនខែ (ឬសូម្បីតែច្រើនឆ្នាំ)។ ដូច្នេះវាមានសារៈសំខាន់ខ្លាំងណាស់ក្នុងការបង្កើតផែនការគម្រោងលម្អិត៖ បែងចែកធនធាន ពេលវេលា និងការចូលរួមរបស់មនុស្សក្នុងកិច្ចការដែលបានកំណត់យ៉ាងតឹងរ៉ឹង និងតាមដានការអនុលោមតាមកាលកំណត់ បើមិនដូច្នេះទេ អ្នកប្រហែលជាមិនអាចបញ្ចប់ការងារបានទេ។

3. កំណត់បរិមាត្រវិញ្ញាបនប័ត្រ

ប្រសិនបើអ្នកមានអង្គការធំមួយដែលមានសកម្មភាពចម្រុះ វាអាចសមហេតុផលក្នុងការបញ្ជាក់តែផ្នែកនៃអាជីវកម្មរបស់ក្រុមហ៊ុនទៅ ISO 27001 ដែលនឹងកាត់បន្ថយហានិភ័យនៃគម្រោងរបស់អ្នក ក៏ដូចជាពេលវេលា និងការចំណាយរបស់វា។

4. បង្កើតគោលនយោបាយសន្តិសុខព័ត៌មាន

ឯកសារសំខាន់បំផុតមួយគឺគោលនយោបាយសុវត្ថិភាពព័ត៌មានរបស់ក្រុមហ៊ុន។ វាគួរតែឆ្លុះបញ្ចាំងពីគោលដៅសុវត្ថិភាពព័ត៌មានរបស់ក្រុមហ៊ុនអ្នក និងគោលការណ៍ជាមូលដ្ឋាននៃការគ្រប់គ្រងសន្តិសុខព័ត៌មាន ដែលត្រូវតែអនុវត្តតាមដោយបុគ្គលិកទាំងអស់។ គោលបំណងនៃឯកសារនេះគឺដើម្បីកំណត់នូវអ្វីដែលអ្នកគ្រប់គ្រងរបស់ក្រុមហ៊ុនចង់សម្រេចបានក្នុងវិស័យសន្តិសុខព័ត៌មាន ក៏ដូចជារបៀបដែលវានឹងត្រូវបានអនុវត្ត និងគ្រប់គ្រង។

5. កំណត់វិធីសាស្រ្តវាយតម្លៃហានិភ័យ

កិច្ចការដ៏លំបាកបំផុតមួយគឺការកំណត់ច្បាប់សម្រាប់ការវាយតម្លៃ និងការគ្រប់គ្រងហានិភ័យ។ វាមានសារៈសំខាន់ណាស់ក្នុងការយល់ដឹងថាតើហានិភ័យណាដែលក្រុមហ៊ុនអាចចាត់ទុកថាអាចទទួលយកបាន និងដែលត្រូវការវិធានការជាបន្ទាន់ដើម្បីកាត់បន្ថយពួកគេ។ បើគ្មានច្បាប់ទាំងនេះទេ ISMS នឹងមិនដំណើរការទេ។
ក្នុងពេលជាមួយគ្នានេះវាមានតម្លៃចងចាំពីភាពគ្រប់គ្រាន់នៃវិធានការណ៍ដែលបានធ្វើឡើងដើម្បីកាត់បន្ថយហានិភ័យ។ ប៉ុន្តែ​អ្នក​មិន​គួរ​យក​ទៅ​ឆ្ងាយ​ពេក​ជាមួយ​នឹង​ដំណើរ​ការ​បង្កើន​ប្រសិទ្ធភាព​ទេ ព្រោះ​វា​ក៏​ត្រូវ​ចំណាយ​ពេល​វេលា​ច្រើន ឬ​ចំណាយ​ហិរញ្ញវត្ថុ ឬ​ប្រហែល​ជា​មិន​អាច​ទៅ​រួច​ដែរ។ យើងណែនាំអ្នកឱ្យប្រើគោលការណ៍ "ភាពគ្រប់គ្រាន់អប្បបរមា" នៅពេលបង្កើតវិធានការកាត់បន្ថយហានិភ័យ។

6. គ្រប់គ្រងហានិភ័យដោយយោងទៅតាមវិធីសាស្រ្តដែលបានអនុម័ត

ដំណាក់កាលបន្ទាប់គឺការអនុវត្តស្របគ្នានៃវិធីសាស្រ្តគ្រប់គ្រងហានិភ័យ ពោលគឺការវាយតម្លៃ និងដំណើរការរបស់ពួកគេ។ ដំណើរការនេះត្រូវតែអនុវត្តជាប្រចាំដោយមានការយកចិត្តទុកដាក់ខ្ពស់។ តាមរយៈការរក្សាការចុះបញ្ជីហានិភ័យសុវត្ថិភាពព័ត៌មានឱ្យទាន់សម័យ អ្នកនឹងអាចបែងចែកធនធានរបស់ក្រុមហ៊ុនប្រកបដោយប្រសិទ្ធភាព និងការពារឧប្បត្តិហេតុធ្ងន់ធ្ងរ។

7. រៀបចំផែនការព្យាបាលហានិភ័យ

ហានិភ័យដែលលើសពីកម្រិតដែលអាចទទួលយកបានសម្រាប់ក្រុមហ៊ុនរបស់អ្នកត្រូវតែបញ្ចូលក្នុងផែនការព្យាបាលហានិភ័យ។ វាគួរតែកត់ត្រាសកម្មភាពដែលមានបំណងកាត់បន្ថយហានិភ័យ ក៏ដូចជាអ្នកទទួលខុសត្រូវចំពោះពួកគេ និងកាលបរិច្ឆេទកំណត់។

8. បំពេញសេចក្តីថ្លែងការណ៍នៃការអនុវត្ត

នេះគឺជាឯកសារសំខាន់ដែលនឹងត្រូវបានសិក្សាដោយអ្នកឯកទេសពីស្ថាប័នបញ្ជាក់ក្នុងអំឡុងពេលសវនកម្ម។ វាគួរតែពណ៌នាអំពីការគ្រប់គ្រងសុវត្ថិភាពព័ត៌មានណាមួយដែលអនុវត្តចំពោះសកម្មភាពរបស់ក្រុមហ៊ុនអ្នក។

9. កំណត់ពីរបៀបដែលប្រសិទ្ធភាពនៃការត្រួតពិនិត្យសុវត្ថិភាពព័ត៌មាននឹងត្រូវបានវាស់វែង។

សកម្មភាពណាមួយត្រូវតែមានលទ្ធផលនាំទៅដល់ការសម្រេចគោលដៅដែលបានបង្កើតឡើង។ ដូច្នេះ វាមានសារៈសំខាន់ណាស់ក្នុងការកំណត់យ៉ាងច្បាស់ដោយប៉ារ៉ាម៉ែត្រអ្វីដែលសមិទ្ធផលនៃគោលដៅនឹងត្រូវបានវាស់វែងទាំងសម្រាប់ប្រព័ន្ធគ្រប់គ្រងសុវត្ថិភាពព័ត៌មានទាំងមូល និងសម្រាប់យន្តការត្រួតពិនិត្យនីមួយៗដែលបានជ្រើសរើសពីឧបសម្ព័ន្ធភាពអាចអនុវត្តបាន។

10. អនុវត្តការត្រួតពិនិត្យសុវត្ថិភាពព័ត៌មាន

ហើយបន្ទាប់ពីបញ្ចប់ជំហានមុនទាំងអស់ អ្នកគួរតែចាប់ផ្តើមអនុវត្តការត្រួតពិនិត្យសុវត្ថិភាពព័ត៌មានដែលអាចអនុវត្តបានពីឧបសម្ព័ន្ធភាពអាចអនុវត្តបាន។ ពិតណាស់បញ្ហាប្រឈមដ៏ធំបំផុតនៅទីនេះនឹងត្រូវបានបង្ហាញនូវវិធីថ្មីទាំងស្រុងក្នុងការធ្វើអ្វីៗនៅទូទាំងដំណើរការជាច្រើននៃស្ថាប័នរបស់អ្នក។ មនុស្សមានទំនោរប្រឆាំងនឹងគោលនយោបាយ និងនីតិវិធីថ្មី ដូច្នេះត្រូវយកចិត្តទុកដាក់លើចំណុចបន្ទាប់។

11. អនុវត្តកម្មវិធីបណ្តុះបណ្តាលសម្រាប់បុគ្គលិក

ចំណុចទាំងអស់ដែលបានពិពណ៌នាខាងលើនឹងគ្មានន័យ ប្រសិនបើនិយោជិតរបស់អ្នកមិនយល់ពីសារៈសំខាន់នៃគម្រោង ហើយមិនធ្វើសកម្មភាពស្របតាមគោលការណ៍សុវត្ថិភាពព័ត៌មាន។ ប្រសិនបើអ្នកចង់ឱ្យបុគ្គលិករបស់អ្នកគោរពតាមច្បាប់ថ្មីទាំងអស់ ដំបូងអ្នកត្រូវពន្យល់មនុស្សអំពីមូលហេតុដែលពួកគេចាំបាច់ ហើយបន្ទាប់មកផ្តល់ការបណ្តុះបណ្តាលលើ ISMS ដោយគូសបញ្ជាក់ពីគោលការណ៍សំខាន់ៗទាំងអស់ដែលនិយោជិតត្រូវយកមកពិចារណាក្នុងការងារប្រចាំថ្ងៃរបស់ពួកគេ។ កង្វះការបណ្តុះបណ្តាលបុគ្គលិកគឺជាហេតុផលទូទៅសម្រាប់ការបរាជ័យគម្រោង ISO 27001 ។

12. រក្សាដំណើរការ ISMS

នៅពេលនេះ ISO 27001 ក្លាយជាទម្លាប់ប្រចាំថ្ងៃនៅក្នុងស្ថាប័នរបស់អ្នក។ ដើម្បីបញ្ជាក់ពីការអនុវត្តការត្រួតពិនិត្យសន្តិសុខព័ត៌មានស្របតាមស្តង់ដារ សវនករនឹងត្រូវផ្តល់កំណត់ត្រា - ភស្តុតាងនៃប្រតិបត្តិការជាក់ស្តែងនៃការត្រួតពិនិត្យ។ ប៉ុន្តែភាគច្រើនបំផុត កំណត់ត្រាគួរតែជួយអ្នកក្នុងការតាមដានថាតើបុគ្គលិករបស់អ្នក (និងអ្នកផ្គត់ផ្គង់) កំពុងបំពេញភារកិច្ចរបស់ពួកគេដោយអនុលោមតាមវិធានដែលបានអនុម័តឬអត់។

13. តាមដាន ISMS របស់អ្នក។

តើមានអ្វីកើតឡើងជាមួយ ISMS របស់អ្នក? តើអ្នកមានឧប្បត្តិហេតុប៉ុន្មាន វាជាប្រភេទអ្វី? តើនីតិវិធីទាំងអស់ត្រូវបានអនុវត្តយ៉ាងត្រឹមត្រូវដែរឬទេ? ជាមួយនឹងសំណួរទាំងនេះ អ្នកគួរតែពិនិត្យមើលថាតើក្រុមហ៊ុនកំពុងបំពេញគោលដៅសុវត្ថិភាពព័ត៌មានរបស់ខ្លួនដែរឬទេ។ បើមិនដូច្នោះទេ អ្នកត្រូវតែបង្កើតផែនការដើម្បីកែតម្រូវស្ថានភាព។

14. ធ្វើសវនកម្ម ISMS ផ្ទៃក្នុង

គោលបំណងនៃសវនកម្មផ្ទៃក្នុងគឺដើម្បីកំណត់ភាពមិនស៊ីសង្វាក់គ្នារវាងដំណើរការជាក់ស្តែងនៅក្នុងក្រុមហ៊ុន និងគោលនយោបាយសុវត្ថិភាពព័ត៌មានដែលបានអនុម័ត។ សម្រាប់ផ្នែកភាគច្រើន វាកំពុងពិនិត្យមើលថាតើនិយោជិតរបស់អ្នកគោរពតាមច្បាប់កម្រិតណា។ នេះជាចំណុចសំខាន់ណាស់ ព្រោះបើអ្នកមិនគ្រប់គ្រងការងាររបស់បុគ្គលិកទេ អង្គការអាចរងការខូចខាត (ដោយចេតនា ឬអចេតនា)។ ប៉ុន្តែគោលដៅនៅទីនេះ គឺមិនមែនដើម្បីស្វែងរកពិរុទ្ធជន ហើយដាក់វិន័យពួកគេចំពោះការមិនគោរពតាមគោលនយោបាយនោះទេ ប៉ុន្តែដើម្បីកែតម្រូវស្ថានភាព និងទប់ស្កាត់បញ្ហានាពេលអនាគត។

15. រៀបចំការត្រួតពិនិត្យការគ្រប់គ្រង

ការគ្រប់គ្រងមិនគួរកំណត់រចនាសម្ព័ន្ធជញ្ជាំងភ្លើងរបស់អ្នកទេ ប៉ុន្តែពួកគេគួរតែដឹងពីអ្វីដែលកំពុងកើតឡើងនៅក្នុង ISMS៖ ឧទាហរណ៍ថាតើអ្នកគ្រប់គ្នាកំពុងបំពេញទំនួលខុសត្រូវរបស់ពួកគេ និងថាតើ ISMS កំពុងសម្រេចបានលទ្ធផលគោលដៅដែរឬទេ។ ផ្អែកលើបញ្ហានេះ អ្នកគ្រប់គ្រងត្រូវតែធ្វើការសម្រេចចិត្តសំខាន់ៗ ដើម្បីកែលម្អ ISMS និងដំណើរការអាជីវកម្មផ្ទៃក្នុង។

16. ណែនាំប្រព័ន្ធនៃសកម្មភាពកែតម្រូវ និងបង្ការ

ដូចស្តង់ដារណាមួយ ISO 27001 ទាមទារ "ការកែលម្អជាបន្តបន្ទាប់"៖ ការកែតម្រូវជាប្រព័ន្ធ និងការការពារភាពមិនស៊ីសង្វាក់គ្នានៅក្នុងប្រព័ន្ធគ្រប់គ្រងសុវត្ថិភាពព័ត៌មាន។ តាមរយៈសកម្មភាពកែតម្រូវ និងបង្ការ ភាពមិនអនុលោមភាពអាចត្រូវបានកែដំរូវ និងទប់ស្កាត់ពីការកើតឡើងម្តងទៀតនាពេលអនាគត។

សរុបសេចក្តីមក ខ្ញុំចង់និយាយថា តាមពិតទៅ ការទទួលបានវិញ្ញាបនបត្រគឺពិបាកជាងការពិពណ៌នានៅក្នុងប្រភពផ្សេងៗ។ នេះត្រូវបានបញ្ជាក់ដោយការពិតដែលថានៅក្នុងប្រទេសរុស្ស៊ីសព្វថ្ងៃនេះមានតែ ក្រុមហ៊ុនចំនួន ២៦០ ត្រូវបានបញ្ជាក់សម្រាប់ការអនុលោម។ ទន្ទឹមនឹងនេះដែរនេះគឺជាស្តង់ដារដ៏ពេញនិយមបំផុតមួយនៅបរទេសដែលបំពេញតម្រូវការដែលកំពុងកើនឡើងនៃអាជីវកម្មក្នុងវិស័យសន្តិសុខព័ត៌មាន។ តម្រូវការសម្រាប់ការអនុវត្តនេះគឺដោយសារតែមិនត្រឹមតែកំណើន និងភាពស្មុគស្មាញនៃប្រភេទនៃការគំរាមកំហែងប៉ុណ្ណោះទេ ប៉ុន្តែថែមទាំងតម្រូវការនៃច្បាប់ ក៏ដូចជាអតិថិជនដែលត្រូវការរក្សាការសម្ងាត់ពេញលេញនៃទិន្នន័យរបស់ពួកគេ។

ទោះបីជាការពិតដែលថាវិញ្ញាបនប័ត្រ ISMS មិនមែនជាកិច្ចការងាយស្រួលក៏ដោយ ការពិតនៃការបំពេញតាមតម្រូវការនៃស្តង់ដារអន្តរជាតិ ISO/IEC 27001 អាចផ្តល់នូវអត្ថប្រយោជន៍ប្រកួតប្រជែងយ៉ាងធ្ងន់ធ្ងរនៅក្នុងទីផ្សារពិភពលោក។ យើងសង្ឃឹមថាអត្ថបទរបស់យើងបានផ្តល់ការយល់ដឹងដំបូងអំពីដំណាក់កាលសំខាន់ៗក្នុងការរៀបចំក្រុមហ៊ុនសម្រាប់ការបញ្ជាក់។

ប្រភព: www.habr.com