IT SELECT LAB

ISO 27001 คืออะไร — สิ่งที่ต้องรู้ก่อนเริ่มทำ ISMS

ผู้เผยแพร่: IT SELECT LAB · นโยบายเนื้อหาและการแก้ไขข้อมูล

เผยแพร่

อ่านบทความในหมวดเดียวกัน

เมื่อองค์กรต้องการพิสูจน์ว่ามีระบบรักษาความปลอดภัยข้อมูลที่เป็นมาตรฐานสากล ISO/IEC 27001 คือมาตรฐานที่ได้รับการยอมรับมากที่สุดทั่วโลก บทความนี้อธิบายทุกสิ่งที่ต้องรู้ก่อนเริ่มต้นทำ ISMS ตั้งแต่นิยาม ขั้นตอน ค่าใช้จ่าย ไปจนถึงความเชื่อมโยงกับกฎหมายไทย

ISO/IEC 27001:2022 คืออะไร

ISO/IEC 27001:2022 คือมาตรฐานสากลที่กำหนดข้อกำหนดสำหรับการจัดตั้ง นำไปใช้ บำรุงรักษา และปรับปรุง ระบบบริหารจัดการความมั่นคงปลอดภัยสารสนเทศ (Information Security Management System — ISMS) อย่างต่อเนื่อง เผยแพร่โดย International Organization for Standardization (ISO) ร่วมกับ International Electrotechnical Commission (IEC) [1]

มาตรฐานนี้เป็นเวอร์ชันล่าสุดที่ปรับปรุงจากฉบับปี 2013 โดยองค์กรที่ถือใบรับรองฉบับเดิมต้องเปลี่ยนผ่าน (migrate) มายังฉบับ 2022 ภายในวันที่ 31 ตุลาคม 2025 มิฉะนั้นใบรับรองเดิมจะหมดอายุ [2]

วัตถุประสงค์หลักของ ISO 27001 คือการรักษา CIA Triad ได้แก่:

  • Confidentiality — ความลับ: ข้อมูลเข้าถึงได้เฉพาะผู้ที่ได้รับอนุญาต
  • Integrity — ความถูกต้อง: ข้อมูลไม่ถูกแก้ไขโดยไม่ได้รับอนุญาต
  • Availability — ความพร้อมใช้งาน: ข้อมูลพร้อมให้เข้าถึงเมื่อต้องการ

ISMS คืออะไร — หัวใจของ ISO 27001

ISMS (Information Security Management System) คือ กรอบการทำงานเชิงระบบ ที่ครอบคลุมนโยบาย กระบวนการ บุคลากร และเทคโนโลยี เพื่อบริหารจัดการความเสี่ยงด้านความมั่นคงปลอดภัยสารสนเทศขององค์กร [1]

ISO 27001 ใช้โมเดล Plan-Do-Check-Act (PDCA) เป็นกลไกในการปรับปรุงอย่างต่อเนื่อง:

ขั้นตอนกิจกรรมหลัก
Plan (วางแผน)กำหนดขอบเขต ISMS, ประเมินความเสี่ยง, เลือกมาตรการควบคุม
Do (ปฏิบัติ)นำนโยบายและมาตรการไปปฏิบัติจริง, อบรมบุคลากร
Check (ตรวจสอบ)ตรวจสอบภายใน (Internal Audit), ทบทวนโดยผู้บริหาร (Management Review)
Act (ปรับปรุง)แก้ไขข้อบกพร่อง, ปรับปรุงมาตรการให้ทันสมัย

Annex A Controls — 93 มาตรการใน 4 หมวด

ISO 27001:2022 ปรับโครงสร้างมาตรการควบคุม (controls) จากเดิม 114 controls ใน 14 domains (ฉบับ 2013) เหลือ 93 controls ใน 4 หมวดหลัก ดังนี้ [3]:

หมวดจำนวน Controlsตัวอย่าง
Organizational (องค์กร)37นโยบายความปลอดภัย, การบริหารสินทรัพย์, ความสัมพันธ์กับซัพพลายเออร์
People (บุคลากร)8การคัดกรองบุคลากร, ความตระหนักรู้, ข้อตกลงรักษาความลับ
Physical (กายภาพ)14การควบคุมการเข้าถึงพื้นที่, ความปลอดภัยของอุปกรณ์
Technological (เทคโนโลยี)34การควบคุมการเข้าถึงระบบ, การเข้ารหัส, ความปลอดภัยของเครือข่าย

Controls ใหม่ที่เพิ่มในฉบับ 2022

ฉบับ 2022 เพิ่ม 11 controls ใหม่เพื่อรองรับภัยคุกคามสมัยใหม่ ได้แก่ [3]:

  • A.5.7 Threat Intelligence — การรวบรวมข่าวกรองภัยคุกคาม
  • A.5.23 Information Security for Cloud Services — ความปลอดภัยสำหรับบริการคลาวด์
  • A.5.30 ICT Readiness for Business Continuity — ความพร้อมด้าน ICT สำหรับความต่อเนื่องทางธุรกิจ
  • A.7.4 Physical Security Monitoring — การเฝ้าระวังความปลอดภัยทางกายภาพ
  • A.8.9 Configuration Management — การบริหารจัดการ Configuration
  • A.8.10 Information Deletion — การลบข้อมูล
  • A.8.11 Data Masking — การปกปิดข้อมูล
  • A.8.12 Data Leakage Prevention — การป้องกันข้อมูลรั่วไหล
  • A.8.16 Monitoring Activities — กิจกรรมการเฝ้าระวัง
  • A.8.23 Web Filtering — การกรองเว็บ
  • A.8.28 Secure Coding — การเขียนโค้ดอย่างปลอดภัย

ขั้นตอนการทำ ISO 27001 — จาก Gap Analysis สู่ Certification

ขั้นตอนที่ 1: Gap Analysis (วิเคราะห์ช่องว่าง)

ประเมินสถานะปัจจุบันขององค์กรเทียบกับข้อกำหนด ISO 27001 เพื่อระบุจุดที่ต้องปรับปรุง ขั้นตอนนี้ควรดำเนินการโดยผู้เชี่ยวชาญที่มีประสบการณ์ด้าน IT Audit เพื่อให้ได้ภาพรวมที่ถูกต้อง

ขั้นตอนที่ 2: Risk Assessment (ประเมินความเสี่ยง)

ระบุสินทรัพย์สารสนเทศ ภัยคุกคาม ช่องโหว่ และประเมินระดับความเสี่ยง จากนั้นเลือก controls ที่เหมาะสมจาก Annex A มาจัดทำ Statement of Applicability (SoA) [2]

ขั้นตอนที่ 3: Implementation (นำไปปฏิบัติ)

  • จัดทำนโยบายและขั้นตอนปฏิบัติ (Policies & Procedures)
  • ติดตั้งมาตรการควบคุมทางเทคนิค (Technical Controls)
  • อบรมพนักงานให้เข้าใจบทบาทหน้าที่
  • ดำเนินการตามแผนจัดการความเสี่ยง (Risk Treatment Plan)

ขั้นตอนที่ 4: Internal Audit (ตรวจสอบภายใน)

ตรวจสอบว่า ISMS ดำเนินการตามข้อกำหนดหรือไม่ ผู้ตรวจสอบภายในต้องเป็นอิสระจากกระบวนการที่ตรวจ ขั้นตอนนี้มักใช้เวลา 2–4 สัปดาห์ขึ้นอยู่กับขนาดองค์กร

ขั้นตอนที่ 5: Management Review (ทบทวนโดยผู้บริหาร)

ผู้บริหารระดับสูงทบทวนผลการดำเนินงาน ISMS รวมถึงผล Internal Audit เพื่อตัดสินใจเรื่องทรัพยากรและการปรับปรุง

ขั้นตอนที่ 6: Certification Audit (การตรวจรับรอง)

ดำเนินการโดยหน่วยงานรับรอง (Certification Body — CB) แบ่งเป็น 2 ขั้นตอน [2]:

  • Stage 1 (Document Review): ตรวจสอบเอกสาร นโยบาย SoA และความพร้อมของ ISMS
  • Stage 2 (On-site Audit): ตรวจสอบการปฏิบัติจริง สัมภาษณ์บุคลากร ตรวจหลักฐาน

หากผ่านทั้งสองขั้นตอน องค์กรจะได้รับ ใบรับรอง ISO 27001 ซึ่งมีอายุ 3 ปี โดยต้องรับการตรวจติดตาม (Surveillance Audit) ทุกปี

ค่าใช้จ่ายโดยประมาณ

ค่าใช้จ่ายในการทำ ISO 27001 แตกต่างกันตามขนาดองค์กร ขอบเขต ISMS และวิธีการดำเนินงาน จากข้อมูลหลายแหล่งสรุปได้ดังนี้ [4][5]:

ขนาดองค์กรค่าใช้จ่ายปีแรก (โดยประมาณ)
องค์กรขนาดเล็ก (ไม่เกิน 50 คน)USD 12,000 – 60,000 (ประมาณ 420,000 – 2,100,000 บาท)
องค์กรขนาดกลาง (50–250 คน)USD 35,000 – 100,000 (ประมาณ 1,200,000 – 3,500,000 บาท)
องค์กรขนาดใหญ่ (มากกว่า 250 คน)USD 100,000 ขึ้นไป (ประมาณ 3,500,000 บาทขึ้นไป)

ค่าใช้จ่ายหลักประกอบด้วย:

  • ค่าที่ปรึกษา (Consultant) — หากไม่ดำเนินการเอง
  • ค่าเครื่องมือและเทคโนโลยีที่ต้องเพิ่มเติม
  • ค่า Certification Audit จากหน่วยงานรับรอง
  • ค่าฝึกอบรมพนักงาน
  • ค่า Surveillance Audit ประจำปี (ปีที่ 2 และ 3)

ความเชื่อมโยงกับมาตรฐานเว็บไซต์ สกมช. พ.ศ. 2568

เมื่อวันที่ 16 กันยายน 2568 สำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (สกมช./NCSA) ได้ประกาศ มาตรฐานการรักษาความมั่นคงปลอดภัยสำหรับเว็บไซต์ พ.ศ. 2568 ในราชกิจจานุเบกษา โดยบังคับใช้กับหน่วยงานของรัฐ หน่วยงานควบคุมหรือกำกับดูแล และหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ (CII) [6]

นอกจากนี้ เมื่อวันที่ 2 กันยายน 2568 คณะรัฐมนตรีได้มีมติเห็นชอบ กรอบแนวทางการดำเนินการสร้างความมั่นคงปลอดภัยไซเบอร์ให้กับหน่วยงานของรัฐ โดยระบุว่าหน่วยงานของรัฐควรมีการใช้แนวทางมาตรฐาน ISO/IEC 27001 หรือ NIST Cybersecurity Framework ในการออกแบบ พัฒนาและบำรุงรักษาระบบ [7]

สิ่งนี้หมายความว่าองค์กรที่มีใบรับรอง ISO 27001 อยู่แล้วจะมีความได้เปรียบอย่างมากในการปฏิบัติตามมาตรฐาน สกมช. และสามารถใช้เป็นหลักฐานแสดงความพร้อมด้านความมั่นคงปลอดภัยได้ทันที

ใครควรทำ ISO 27001

  • หน่วยงานรัฐ — ตามกรอบแนวทาง สกมช. ที่ ครม. เห็นชอบ
  • สถาบันการเงิน — ธปท. กำหนดให้มีมาตรฐานความปลอดภัยสารสนเทศ
  • บริษัทเทคโนโลยี / SaaS — ลูกค้าองค์กรมักร้องขอใบรับรอง ISO 27001
  • ผู้ให้บริการด้าน Healthcare — ข้อมูลสุขภาพเป็นข้อมูลอ่อนไหวตาม PDPA
  • องค์กรที่ต้องการเข้าตลาดต่างประเทศ — ISO 27001 เป็นมาตรฐานที่ยอมรับทั่วโลก

ITSL ช่วยองค์กรได้อย่างไร

ITSL มีบริการที่รองรับทุกขั้นตอนของการทำ ISO 27001:

  • IT Audit & Gap Analysis — ประเมินสถานะปัจจุบันเทียบกับ ISO 27001
  • ISO 27001 Consulting — ให้คำปรึกษาตั้งแต่เริ่มต้นจนถึงได้รับใบรับรอง
  • CISSP Training — อบรมบุคลากรให้มีความรู้ด้านความปลอดภัยสารสนเทศระดับสากล

แหล่งอ้างอิง

  1. ISO/IEC, “ISO/IEC 27001:2022 — Information security, cybersecurity and privacy protection — Information security management systems — Requirements,” International Organization for Standardization, 2022. https://www.iso.org/standard/27001
  2. Secureframe, “The ISO 27001 Certification Process: A Step-by-Step Guide,” 2025. https://secureframe.com/hub/iso-27001/certification-process
  3. DataGuard, “ISO 27001 Controls: Overview of all measures from Annex A,” 2025. https://www.dataguard.com/iso-27001/annex-a
  4. DPO Consulting, “How Much Does ISO 27001 Certification Cost? A Complete Breakdown (2026),” 2026. https://www.dpo-consulting.com/blog/iso-27001-certification-cost
  5. Sprinto, “How much does ISO 27001 Certification cost in 2026?,” 2026. https://sprinto.com/iso-27001/certification-cost
  6. สกมช., “มาตรฐานการรักษาความมั่นคงปลอดภัยสำหรับเว็บไซต์ พ.ศ. 2568,” ราชกิจจานุเบกษา เล่ม 142 ตอนพิเศษ 305 ง, 16 กันยายน 2568. https://wss.sth.sh
  7. NCSA Thailand, “กรอบแนวทางการดำเนินการสร้างความมั่นคงปลอดภัยไซเบอร์ให้กับหน่วยงานของรัฐ,” มติ ครม. 2 กันยายน 2568. https://www.facebook.com/NCSA.Thailand

วางขอบเขตงานก่อนขอราคา

ระบุระบบ บทบาทผู้ใช้ สภาพแวดล้อม และข้อกำหนดที่เกี่ยวข้อง เพื่อหารือขอบเขต ระยะเวลา และงบประมาณตามงานจริง

จองเวลาคุย 💬 Line @itselectlab หรือเตรียม scope ก่อน