ศ รช ช จ ตร สายชล Seerachat Jitsaichon

Transcription

1 โครงการเตร ยมความพร อมการบร หารจ ดการด านความม นคงปลอดภ ย ระบบสารสนเทศ กรณ ศ กษาหน วยงานของร ฐ Development of Information Security Management System Case Study ศ รช ช จ ตร สายชล Seerachat Jitsaichon สารน พนธ น เป นส วนหน งของการศ กษา หล กส ตรว ทยาศาสตรมหาบ ณฑ ต สาขาว ชาเทคโนโลย สารสนเทศ คณะว ทยาการและเทคโนโลย สารสนเทศ มหาว ทยาล ยเทคโนโลย มหานคร ป การศ กษา 2556

2 ห วข อโครงงาน โครงการเตร ยมความพร อมการบร หารจ ดการด านความ ม นคงปลอดภ ยระบบสารสนเทศ กรณ ศ กษาหน วยงานของร ฐ น กศ กษา ร.ท.ศ รช ช จ ตร สายชล รห สน กศ กษา ปร ญญา ว ทยาศาสตรมหาบ ณฑ ต สาขาว ชา เทคโนโลย สารสนเทศ พ.ศ อาจารย ผ ควบค มโครงงาน รศ.ดร.ฤกษ ช ย ฟ ประท ปศ ร บทค ดย อ ในป จจ บ นน เทคโนโลย สารสนเทศม ความจาเป นในการทางานท กภาคส วนของ หน วยงานราชการเพ อเป นการช วยในการท างาน เพ มประส ทธ ภาพและประส ทธ ผล ด งน นเม อ น าเทคโนโลย สารสนเทศมาใช ต องค าน งถ งความเส ยงและผลกระทบท อาจจะเก ดข นก บ หน วยงานหร อองค กร จากเทคโนโลย สารสนเทศ จ งจาเป นต องหาว ธ ป องก น, หล กเล ยงหร อว ธ บรรเทาความเส ยง ท เหมาะสมในการจ ดการความเส ยงหร อผลกระทบท อาจจะจะเก ดข นก บ หน วยงานหร อองค กร โครงงานน ม ว ตถ ประสงค เพ อเป นแนวทางในการจ ดทาเปร ยบเท ยบตรวจสอบนโยบาย ร กษาความม นคงปลอดภ ยสารสนเทศขององค กร โดยน า ISO 27001:2005 และตามระเบ ยบปฏ บ ต รวมถ งนโยบายท หน วยงานหร อองค กรใช ในป จจ บ นมาว เคราะห เพ อให ทราบถ งระด บความเส ยงขององค กรช องโหว ในด านต างๆทางความปลอดภ ย และม แนวทางเช งนโยบายในการป องก นความม นคงปลอดภ ยทางด านเทคโนโลย สารสนเทศอย างเป น มาตรฐาน เพ อให การปฏ บ ต งาน ของหน วยงานหร อองค กร บรรล เป าหมายตามว ตถ ประสงค ม ความม นคงปลอดภ ย, ม ความน าเช อถ อและเป นแบบอย างให ก บหน วยงานหร อองค กรอ นๆท เก ยวข อง I

3 ก ตต กรรมประกาศ โครงงานน พ ฒนาส าเร จล ล วงได ด วยด เพราะความกร ณา ความช วยเหล อและก าล งใจ จากหลายคน ข าพเจ าขอขอบพระค ณมา ณ ท น ขอขอบพระค ณ รศ.ดร.ฤกษ ช ย ฟ ประท ปศ ร อาจารย ท ปร กษาโครงงาน เป นอย างส งท ได กร ณาสละเวลาอ นม ค าในการให ค าแนะน าปร กษาอ นเป นประโยชน ต อการท าโครงงานและ คอยตรวจสอบโครงงานน อย สม าเสมอ รวมท งให กาล งใจในการทาโครงงานเสมอ ขอขอบพระค ณ คณาจารย ท กท านของภาคว ชาเทคโนโลย สารสนเทศ จากมหาว ทยาล ย เทคโนโลย มหานครท ให ความร และความเข าใจในด านความม นคงปลอดภ ยสารสนเทศ อ นเป น ประโยชน ต อการค นคว าศ กษาในการทาโครงงาน รวมท งเป นก าล งใจ ทาให โครงงานน จนสาเร จ ได ด วยด ขอบพระค ณครอบคร ว พ ๆ และเพ อนๆ ท คอยให ค าปร กษา ให ค าแนะน าและเป น กาล งใจเสมอมา ขอขอบพระค ณ หน วยงานองค กรของร ฐในการด าเน นโครงงาน คณะกรรมการ สารสนเทศของหน วย ผ ด แลระบบคอมพ วเตอร และเคร อข าย ศ นย คอมพ วเตอร ของหน วย นายทหารเทคโนโลย สารสนเทศของหน วย รวมถ ง บ คลากร และเจ าหน าท ท ได ให ข อม ลและ คาปร กษาในการจ ดทาโครงงานน ผ จ ดทาโครงงาน ต องขอขอบพระค ณท กท านเป นอย างส งมา ณ โอกาสน ศ รช ช จ ตร สายชล ม นาคม 2557 II

4 สารบ ญ หน า บทค ดย อ I ก ตต กรรมประกาศ II สารบ ญ III สารบ ญ (ต อ) IV สารบ ญตาราง V สารบ ญตาราง(ต อ) VI สารบ ญร ปภาพ VII บทท 1 บทน า ป ญหา หร อ แรงจ งใจ โครงงานท น าเสนอ ว ตถ ประสงค ขอบเขตโครงงาน ประโยชน ท คาดว าจะได ร บ แผนการดาเน นงาน 3 บทท 2 ทฤษฏ และพ นฐานความร ท เก ยวข อง พ นฐาน ป ญหาและข อจาก ดของงานว จ ย แนวทางการแก ป ญหา พ นฐานท จาเป น สร ปท ายบท 13 บทท 3 การดาเน นงาน โครงสร างและองค ประกอบ น าระบบมาตรฐาน ISO 27001:2005 มาเปร ยบเท ยบก บการร กษาความม นคง ปลอดภ ยด านสารสนเทศขององค กร การประเม นความเส ยง และการบรรเทาความเส ยง การว เคราะห และผลการว เคราะห ความเส ยงระบบสารสนเทศ นโยบายและกระบวนการในการบร หารความเส ยงของระบบสารสนเทศ จ ดทานโยบายป องก นความปลอดภ ยของระบบสารสนเทศภายในองค กร สร ปผลการดาเน นการ 23 III

5 สารบ ญ (ต อ) หน า บทท 4 ผลการดาเน นการตามโครงการ โครงสร างขององค กร น าระบบมาตรฐาน ISO 27001:2005 มาเปร ยบเท ยบก บการร กษา ความม นคงปลอดภ ยด านสารสนเทศขององค กร การประเม นความเส ยง การว เคราะห และผลการว เคราะห ความเส ยงระบบสารสนเทศ จ ดทานโยบายป องก นความปลอดภ ยของระบบสารสนเทศภายในองค กร สร ปผลการดาเน น 54 บทท 5 สร ปผลโครงงาน สร ปผลการดาเน นโครงการ สร ปผลการน าโครงงานไปปฏ บ ต ข อเสนอแนะสาหร บการน าโครงงานไปประย กต ใช 56 เอกสารอ างอ ง 57 ภาคผนวก ก เปร ยบเท ยบระบบระบบมาตรฐาน ISO 27001:2005ก บระบบการร กษาความ ม นคงปลอดภ ยด านสารสนเทศขององค กร ก-1 ภาคผนวก ข เอกสารตามมาตรฐาน ISO ข-1 IV

6 สารบ ญตาราง ตารางท 3.1 เปร ยบเท ยบระบบระบบมาตรฐาน ISO 27001:2005ก บระบบการร กษาความ ม นคงปลอดภ ยด านสารสนเทศขององค กร 15 ตารางท 3.2 การพ จารณา โอกาส หร อความบ อยคร งของการเก ดเหต การณ 16 ตารางท 3.3 การพ จารณาการให คะแนน ด านการปฏ บ ต การ 17 ตารางท 3.4 การพ จารณาการให คะแนน ด านกฎหมายและระเบ ยบข อบ งค บ 17 ตารางท 3.5 การพ จารณาการให คะแนน ด านการปฏ บ ต การด านภาพพจน ช อเส ยง 18 ตารางท 3.6 เกณฑ การประเม นระด บความเส ยง = โอกาสการเก ดความเส ยง x ความร นแรง ของผลกระทบท เก ดจากความเส ยง 18 ตารางท 3.7 แผนภ ม ความเส ยงจ ดลาด บจากความร นแรง(ผลกระทบ)และโอกาสเก ดความ เส ยง 19 ตารางท 3.8 การประเม นความเส ยง 19 ตารางท 3.9 แสดงรายละเอ ยดล กษณะความเส ยง 21 ตารางท 3.10 ประเม นความเส ยง 21 ตารางท 3.11 ผลการว เคราะห ความเส ยง 21 ตารางท 3.12 ลาด บการจ ดการความเส ยง 21 ตารางท 3.13 เอกสารตามมาตรฐาน ISO (Statement Of Applicability) 22 ตารางท 4.1 ตารางทร พย ส นภายในหน วยงาน (Hardware) 24 ตารางท 4.2 ตารางทร พย ส นภายในหน วยงาน (Software) 26 ตารางท 4.3 การพ จารณา โอกาส หร อความบ อยคร งของการเก ดเหต การณ 29 ตารางท 4.4 การพ จารณาการให คะแนน ด านการปฏ บ ต การ 29 ตารางท 4.5 การพ จารณาการให คะแนน ด านกฎหมาย ระเบ ยบและข อบ งค บ 30 ตารางท 4.6 การพ จารณาการให คะแนน ด านภาพพจน ช อเส ยง 30 ตารางท 4.7 เกณฑ การประเม นระด บความเส ยง = โอกาสการเก ดความเส ยง x ความร นแรง ของผลกระทบท เก ดจากความเส ยง 31 ตารางท 4.8 แผนภ ม ความเส ยงจ ดลาด บจากความร นแรง(ผลกระทบ) และโอกาสเก ด ความเส ยง 31 ตารางท 4.9 การประเม นความเส ยง 32 ตารางท 4.10 ล กษณะรายละเอ ยดของความเส ยง 33 หน า V

7 สารบ ญตาราง(ต อ) หน า ตารางท 4.11 การประมาณความเส ยง 40 ตารางท 4.12 การรายงานผลการว เคราะห ความเส ยง 44 ตารางท 4.13 การจ ดการความเส ยง 48 ตารางท 4.14 การประเม นความเส ยงตามลาด บความเส ยง (01-13) 54 VI

8 สารบ ญร ป หน า ร ปท 2.1 โครงสร าง ISMS 6 ร ปท 2.2 PDCA Model 10 VII

9 บทท 1 บทน า 1.1 ป ญหา หร อ แรงจ งใจ เน องจากเป นหน วยงานภาคร ฐ โดยม การพ ฒนาและขยายการบร การให ก บประชาชน มากย งข น และเม อระยะเวลา2-3ป ท ผ านมาได ม การน าระบบสารสนเทศมาใช ในหน วยงานมาก ข นระบบสารสนเทศเป นส งท เพ มเข ามาใหม เพ อเพ มความสะดวกของการทางานให ก บบ คคลากร และผ มาร บบร การ ด งน นผ จ ดท าโครงการจ งเสนอการจ ดท าโครงการเตร ยมความพร อมของ ระบบบร หารจ ดการ ทางด านความปลอดภ ยระบบสารสนเทศ โดยการน ามาตรฐาน ISO/IEC27001:2005 มาใช ในการเตร ยมความพร อมในการบร หารจ ดการด งกล าว เพ อน า มาตรฐานมาใช ในการพ ฒนาและเตร ยมความพร อมทางด านความปลอดภ ยระบบสารสนเทศ ให ก บหน วยงานภาคร ฐกรณ ศ กษา ท กาล งพ ฒนาขยายการบร การท มากย งข นในอนาคตต อไป 1.2 โครงงานท น าเสนอ โครงการเตร ยมความพร อมการบร หารจ ดการด านความม งคงปลอดภ ยระบบสารสนเทศ โดยการน ามาตรฐาน ISO/IEC27001:2005 ให ก บ หน วยงานภาคร ฐท ใช เป นกรณ ศ กษา 1.3 ว ตถ ประสงค - น าความร ท ได มาใช เป นแนวทางในการพ ฒนาองค กร - น าความร ท ได มาทาการประย กต เป นแนวทางในการปฏ บ ต งานขององค กร - เพ อน ามาตรฐานความม งคงปลอดภ ยระบบสารสนเทศมาเป นแนวทางในการพ ฒนา ระบบสารสนเทศขององค กร - เพ อจ ดการและบร หารความเส ยงในด านความม งคงปลอดภ ยระบบสารสนเทศให ก บ องค กร - เพ อว ดประส ทธ ผลของการน ามาตรฐานความม งคงปลอดภ ยระบบสารสนเทศมาใช ก บ องค กร - เพ อตรวจสอบและปร บปร งมาตรฐานความม งคงปลอดภ ยระบบสารสนเทศ ให ก บ องค กรเพ อให ม ความปลอดภ ยและประส ทธ ภาพเพ มข น 1

10 1.4 ขอบเขตโครงงาน ขอบเขตโครงการ กาหนดขอบเขตของโครงการ น าระบบมาตรฐาน ISO 27001:2005 มาเปร ยบเท ยบก บการร กษา ความม นคงปลอดภ ยด านสารสนเทศขององค กร การประเม นความเส ยง และการบรรเทาความเส ยง ขอบเขตโครงการ การว เคราะห และผลการว เคราะห ความเส ยงระบบสารสนเทศ นโยบายและกระบวนการในการบร หารความเส ยงของระบบสารสนเทศ จ ดท านโยบายป องก นความปลอดภ ยของระบบสารสนเทศภายใน องค กร สร ปผลโครงการ 1.5 ประโยชน ท คาดว าจะได ร บ - องค กรม นโยบาย ข นตอน กระบวนการ และแนวทางในการบร หารจ ดการทางด าน ความม นคงปลอดภ ยระบบสารสนเทศ - องค กรม ความพร อมในการบร หารงานทางด านความเส ยงของระบบสารสนเทศ - องค กรสามารถน าแนวทางมาใช ในการแก ป ญหาการบร หารจ ดการทางด านความม นคง ปลอดภ ยระบบสารสนเทศ 2

11 1.6 แผนการดาเน นงาน การดาเน นงานโครงงาน 1 ข นตอนการดาเน นงาน 1.กาหนดโครงสร างขององค กร และองค ประกอบ 2. น าระบบมาตรฐาน ISO 27001:2005 มาเปร ยบเท ยบ ก บการร กษาความม นคง ปลอดภ ยด านสารสนเทศของ องค กร 3. การประเม นความเส ยง และ การบรรเทาความเส ยง ม ถ นายน กรกฎาคม ส งหาคม ก นยายน ต ลาคม

12 1.6.2 การดาเน นงานโครงงาน 2 ข นตอนการดาเน นงาน 1. การว เคราะห และผลการ ว เคราะห ความเส ยงระบบ สารสนเทศ 2. นโยบายและกระบวนการใน การบร หารความเส ยงของ ระบบสารสนเทศ 3. จ ดทานโยบายป องก นความ ปลอดภ ยของระบบสารสนเทศ ภายในองค กร 4. สร ปผลการดาเน นงานเพ อ เป นแนวทางในการพ ฒนาให องค กร พฤศจ กายน ธ นวาคม มกราคม ก มภาพ นธ ม นาคม

13 บทท 2 ทฤษฎ และพ นฐานท เก ยวข อง 2.1 พ นฐาน ป จจ บ นระบบเทคโนโลย สารสนเทศเข ามาม บทบาทมากมายในธ รก จหร อองค การต างๆ ท งในด านระบบการท างานขององค กร หร อเป นส อการศ กษาต างๆ เร ยกได ว าม บทบาทเข ามา เก ยวข องในในช ว ตประจาว นของส งคมมากข น ซ งในระบบธ รก จตามบร ษ ท ห างร าน หร อองค กร ท งในระบบราชการ และเอกชนต างๆก จะม ข อม ลซ งเป นความล บของแต ละหน วยงานโดยถ าจะ พ ดถ งระบบการป องก นความปลอดภ ยสารสนเทศของแต ละหน วยงาน ก จะม ร ปแบบและว ธ การ ท แตกต างก นออกไป ซ งโดยระเบ ยบการจ ดการมาตรฐานหล กของระบบบร หารป องก นความ ปลอดภ ยสารสนเทศหล กๆก ค อ มาตรฐาน ISO/IEC 27001:2005 (Information Security Management Systems: ISMS) ท ได ร บการยอมร บเป น เพ อให บ คคลกรท ร บผ ดชอบหน าท ตามหน วยงานหร อองค กรต างๆปฏ บ ต ให เป นไปตามมาตรฐานเด ยวก น เพ อลด ความเส ยงต างๆและความปลอดภ ยในระบบสารสนเทศด วยมาตรฐานด งน มาตรฐาน ISO/IEC 27001:2005 ค อ (Information Security Management System: ISMS) เป นมาตรฐานการจ ดการข อม ลท ม ความส าค ญเพ อให ธ รก จด าเน นไปอย าง ต อเน อง ซ งข อก าหนดต างๆก าหนดข นโดยองค กรท ม ช อเส ยงและม ความน าเช อถ อระหว าง ประเทศ ค อ ISO (The International Organization for Stanadardization) และ IEC (The International Electrotechnical Commission) การประย กต ใช ISMS จะช วยให ก จกรรมทาง ธ รก จต อเน องไม สะด ด, ช วยป องก นกระบวนการทางธ รก จจากภ ยร ายแรงต างๆ และเพ อเป น การเตร ยมความพร อมสาหร บบ คลากรผ ด แลระบบสารสนเทศภายในองค กรให ปฎ บ ต ไปในทาง เด ยวก นและเป นมาตรฐานเด ยวก น 5

14 โดยหล กของการออกแบบโครงสร างระบบ ISO/IEC 27001:2005 จะใช อ างอ งร ปแบบ PDCA Model (Plan Do Check Action) ซ งเป นโครงสร างแบบเด ยวก บระบบ การบร หารสากล ท ใช ก นท วโลกและเป นมาตรฐานท ได ร บการยอมร บ แต สาหร บองค กรท ย งไม ม ระบบการจ ดการ ใดๆเลย ก สามารถน ามาใช หร อประย กต ให เข าก บองค กรของตนได โดยไม ยาก เพราะระบบม การเข ยนท เข าใจง ายและแบ งหมวดให ง ายต อความเข าใจตาม PDCA อย แล วเพ ยงแต ต องท า ความเข าใจก บระบบให มากข นและใช ระบบ PDCA เป นประจาหร บองค กรเป นประจาก สามารถ ปร บปร งระเบ ยบการจ ดการมาตรฐานป องก นความปลอดภ ยสารสนเทศของหน วยงานได ISMS Availability Integrity Confidentiality ร ปท 2.1 โครงสร าง ISMS ISO/IEC27001:2005 หร อ ISMS หร อ Information Security Management System เป นการจ ดการความปลอดภ ยของข อม ลเพ อ เข าเท าน น Confidentiality ให แน ใจว าข อม ลต างๆ สามารถเข าถ งได เฉพาะผ ท ม ส ทธ ท จะ Integrity ป องก นให ข อม ลม ความถ กต องและความสมบ รณ แน ใจว าผ ม ส ทธ ในการเข าถ งข อม ลสามารถเข าถ งได เม อต องการ 6

15 2.1.2 มาตรฐาน ISO/IEC 27001:2005 เป นกรอบด านการควบค มระบบความ ปลอดภ ยข อม ล ซ งแบ งออกเป น 11 ข อด งน 1.Security Policy นโยบายความม นคงปลอดภ ย 2.Organization Information Security โครงสร างด านความม นคงปลอดภ ย สาหร บองค กร 3.Asset Management การบร หารจ ดการทร พย ส นขององค กร 4.Human Resource Security ความม นคงปลอดภ ยเก ยวก บบ คลากร 5.Physical and environment security การสร างความม นคงปลอดภ ยทาง กายภาพและส งแวดล อม 6.Communications and Operations Menagement การบร หารจ ดการด าน การส อสารและดาเน นงานของเคร อข ายสารสนเทศขององค กร 7.Access Control การควบค มการเข าถ ง 8.Informantion Systems acquisition, development and maintenance การ จ ดหาพ ฒนา และบาร งร กษาระบบสารสนเทศ 9.Infornamtion Security incident management การบร หารจ ดการเหต การณ ท เก ยวข องก บความม นคงปลอดภ ยขององค กร 10.Business continuity management การบร หารความต อเน องในการ ดาเน นงานขององค กร 11.Compliance การปฏ บ ต ตามข อกาหนด 2.2 ป ญหาและข อจาก ดของงานว จ ย ป ญหาของงานว จ ยอาจเก ดจากการประเม นความเส ยงท ม ผลกระทบต อองค กรต างๆ องค กรขาดการจ ดการด านความเส ยงในด านความม นคงปลอดภ ยของระบบ สารสนเทศ เช น ขาดการกาหนดขอบเขตในการดาเน นการ ขาดบ คลากรผ ร บผ ดชอบและเตร ยมความพร อมในการป องก นความ ปลอดภ ยของระบบสารสนเทศในองค กรโดยบางคร งองค กรอาจให ความส าค ญในการป องก น ระบบความปลอดภ ยสารสนเทศน อยเก นไป ขาดนโยบายและข นตอนการปฏ บ ต งานเพ อเป นแนวทางในการบร หาร จ ดการความม นคงปลอดภ ยระบบสารสนเทศ ขาดการดาเน นการจ ดการแผนความเส ยง 7

16 2.3 แนวทางการแก ป ญหา การน ามาตรฐาน ISO/IEC 27001:2005 มาประย กต ใช สาหร บองค กรเพ อเป นแนวทาง ในการปฏ บ ต และเร มต นเพ อผล กด นให บ คลากรในองค กรคาน งและม งเน นเร องความปลอดภ ย ของระบบเทคโนโลย สารสนเทศเพ อให ปฏ บ ต ไปในแนวทางท ถ กต องและปลอดภ ยให เป น มาตรฐานท ด สาหร บองค กรและระบบสารสนเทศขององค กร และให เป นไปตาม เพ อสร างความม นคงและปลอดภ ยในระบบสารสนเทศขององค กร โดยม การกาหนดด งน กาหนดขอบเขตของโครงการและกาหนดร บผ ดชอบโครงการ ท าเกณฑ การว ดผลและประเม นว เคราะห ความเส ยงส าหร บระบบสารสนเทศใน องค กร ด าเน นการว เคราะห ความเส ยงของระบบเทคโนโลย สารสนเทศโดยการก าหนด ป ญหาและความน าจะเป นในความเส ยงออกมาเป นข นตอน ทาแผนและข นตอนการปฎ บ ต ในการลดความเส ยงของระบบสารสนเทศในองค กร จ ดท านโยบายส าหร บความม นคงและปลอดภ ยสาระสนเทศและข นตอนการ ปฏ บ ต งานด านความม นคงปลอดภ ยระบบสารสนเทศ จ ดท าเอกสารท เล อกใช ในระบบบร หารจ ดการร กษาความม นคงปลอดภ ย สารสนเทศในองค กรเพ อให บ คลากรในหน วยงานปฏ บ ต ตามเป นไปในแนวทางเด ยวก น 2.4 พ นฐานท จาเป น ISO/IEC 27001:2005 (ISMS Requirements for Information Security Manageme) เป นมาตรฐานการจ ดการข อม ลท ม ความส าค ญเพ อให ธ รก จด าเน นไปอย างต อ เน อง ซ ง ข อก าหนดต างๆก าหนดข นโดยองค กรท ม ช อเส ยงและม ความน าเช อถ อ ระหว างประเทศ ค อ ISO (The International Organization for Standardization) และ IEC (The International Electrotechnical Commission) การประย กต ใช ISMS จะช วยให ก จกรรมทางธ รก จต อเน องไม สะด ด, ช วยป องก นกระบวนการทางธ รก จจากภ ยร ายแรงต างๆเช น แผ นด นไหว, วาตภ ย, อ ทกภ ย ฯลฯ และ ความเส ยหายของระบบข อม ล โดยครอบคล มท กกล มอ ตสาหกรรมและท ก กล มธ รก จ หล กการของการออกแบบโครงสร างระบบ ISO/IEC 27001:2005 จะใช อ างอ ง ร ปแบบ PDCA Model (Plan Do Check Action) ซ งเป นโครงสร างเด ยวก บ ระบบการบร หารท เป นสากลท ใช ก นท วโลก เช น ระบบการจ ดการค ณภาพ (ISO 9001:2000), ระบบการจ ดการ ส งแวดล อม (ISO14001:2004), ระบบการจ ดการค ณภาพสาหร บอ ตสาหกรรมรถยนต (ISO/TS 16949), ระบบการจ ดการจ ดการค ณภาพสาหร บอ ตสาหกรรมอาหาร (ISO 21001) ฯลฯ ซ งองค ท ม การประย กต ระบบการจ ดการต างๆน แล ว จะสามารถต อยอดระบบ ISO/IEC 27001:2005 ได เร วและง ายข นISO/IEC 27001:2005 เป นระบบการจ ดการความปลอดภ ยของข อม ลโดย 8

17 - เป น International Standard ของ Information Security Management (ISM) - กาหนดค ณล กษณะเฉพาะของการบร หารจ ดการความม นคงฯด านสารสนเทศ - ก าหนดหล กปฏ บ ต ของ ISM (Code of Practice for Information Security Management) - เป นแนวทางสาหร บ การออกใบร บรอง (Certification) โดยองค กรภายนอก - สามารถใช เป นแนวทางการประเม นและการออกใบร บรอง โดย Certification Bodies -น าไปประย กต ใช ได ก บองค กร -ม งท จะหว งผลในเช งป องก น ระบบบร หารจ ดการความปลอดภ ยสาหร บสารสนเทศ สร ปรายละเอ ยดท สาค ญ ได ด งต อไปน -ข อกาหนดท วไป องค กรจะต องก าหนดนโยบายป องก นความปลอดภ ยระบบสารสนเทศ ลงม อปฏ บ ต ดาเน นการ เฝ าระว ง ทบทวน บาร ง ร กษาและปร บปร งระบบบร หารจ ดการความม นคงปลอดภ ย ตามท ได กาหนดไว เป น นโยบายลายล กษณ อ กษร ภายในกรอบก จกรรมการดาเน นการ รวมท ง ความเส ยงท เก ยวข อง โดยจะใช กระบวนการ Plan-Do-Check-Act หร อ P-D-C-A มา ประย กต ใช 9

18 กาหนดนโยบายและจ ดทา ระบบบร หารจ ดการความ ม นคงปลอดภ ย (ISMS) ลงม อปฏ บ ต ตามระบบ บร หารจ ดการความม นคง ปลอดภ ย ปร บปร งค ณภาพของระบบ บร หารจ ดการความม นคง ปลอดภ ย ตรวจสอบและทบทวนผล การดาเน นการตามระบบ บร หารความม นคงปลอดภ ย ร ปท 2.2 PDCA Model ก าหนดและบร หารจ ดการ ระบบบร หารจ ดการความม นคงปลอดภ ย ด งต อไปน - ก าหนด ระบบบร หารจ ดการความม นคงปลอดภ ย (Plan) โดยองค กรควรก าหนด ขอบเขตระบบบร หารจ ดการความม นคงปลอดภ ยและค าน งถ งป จจ ยหลายๆอย างท เก ยวก บ ระบบสารสนเทศภายในองค กร อย างเช น ขนาดและประเภทของธ รก จ สถานท ต ง ทร พยากร บ คลากรภายในองค กรเพ อระบ ขอบเขตการป องก นความเส ยงของระบบเทคโนโลย สารสนเทศ โดยความม แผนการจ ดการความเส ยง การประเม นความเส ยง ว เคราะห ความเส ยง เพ อน ามา จ ดท าป องก นความเส ยง แล วขออน ม ต เพ อด าเน นการป องก นความเส ยงของระบบ เทคโนโลย สารสนเทศภายในองค กร จ ดทาเอกสาร SoA (Statement of Applicability) แสดง การใช งานมาตรฐานตามท แสดงไวในส วนของมาตรฐานการร กษาความม นคง ปลอดภ ยในการ ประกอบธ รกรรมทางด านอ เล กทรอน กส - ลงม อปฏ บ ต และ ด าเน นการระบบบร หารจ ดการความม นคงปลอดภ ย (Do) โดย องค กรจ ดท าแผนการจ ดการความเส ยงตามท ได ส งเกต และว เคราะห หาความเส ยง เพ อลงม อ ปฏ บ ต ตามแผนป องก นความเส ยงท ได ก าหนดไว และม การจ ดการอบรมให ความร แก บ คลากรท ม หน าท ร บผ ดชอบต อระบบเทคโนโลย สารสนเทศเพ อสร างความตระหน กและเป นการสร าง ระบบบร หารจ ดการความเส ยงเพ อความม นคงละปลอดภ ยเพ อเป นการเตร ยมความพร อมในการ ร บม อแก ไขป ญหาต อความเส ยงท อาจจะเก ดข นต อระบบเทคโนโลย สารสนเทศขององค กร ซ ง ควรให บ คลากรปฏ บ ต เป นประจาสม าเสมอให เป นไปตาม 10

19 - เฝ าระว งและทบทวนระบบบร หารจ ดการความม นคงปลอดภ ย (Check) โดยบ คลากร องค กรม อปฏ บ ต ตามข นตอนปฏ บ ต และท วางไว เพ อเป นการเฝ าระว ง ทบทวน และม การว ดผล การประเม นผลด านการป องก นความม นคงปลอดภ ยอย างสม าเสมอ โดยม ระยะเวลา การประเม นความเส ยงและว ดผลการประเม นความเส ยงตามระยะเวลาท ก าหนดไว เพ อ ตรวจสอบหาความเส ยงท เหล ออย และน าความเส ยงท เหล ออย มาทบทวน ปร บปร งแก ไข เพ อ น ามาพ ฒนาระบบบร หารจ ดการความม นคงปลอดภ ยต อไป ด วยการบ นท กความเส ยงท เก ดข น อย างสม าเสมอ - บาร งร กษาและปร บปร งระบบ บร หารจ ดการด านความม นคงปลอดภ ย (Act) โดย องค กรควรปร บปร งระบบบร หารจ ดการความม นคงปลอดภ ยตามเอกสารหร อท วางแผนกาหนดไว และใช ควรใช ว ท แก ไขป องก นจากบ นท กหร อเอกสารท ได ทาการบ นท กความ เส ยงต างๆของระบบเทคโนโลย สารสนเทศขององค กรเพ อน ามาปร บปร งแก ไข หร ออาจใช การ ป องก นโดยหาข อม ลต นแบบจากองค กรอ นเม อน ามาปร บปร งแก ไขและบร หารจ ดการความ ปลอดภ ยขององค กรตนเองโดยการจดบ นท กหร อท าป องก น บ าร งร กษาอย าง สม าเสมอและแจ งการดาเน นการให แก ท กหน วยงานท เก ยวข องร บทราบ และตรวจสอบว าผลท ได ร บน นบรรล เป าหมายหร อไม ข อกาหนดทางด านการจ ดทาเอกสาร - ความต องการท วไป เอกสารท จาเป นต องจ ดทาจะรวมถ งบ นท กแสดงการต ดส นใจของ ผ บร หาร ได แก นโยบายความม นคงปลอดภ ย ขอบเขตของระบบบร หารจ ดการความม นคง ปลอดภ ย ว ธ การประเม นความเส ยง เป นต น - การบร หารจ ดการเอกสาร ซ งเอกสารตามข อก าหนดของระบบบร หารจ ดการความ ม นคงปลอดภ ยจะต องได ร บการ ป องก นและควบค ม ข นตอนการปฏ บ ต ท เก ยวข องก บการ จ ดการเอกสาร ได แก อน ม ต การใช งานเอกสารก อนท จะเผยแพร ทบทวน ปร บปร งและอน ม ต เอกสารตามความจ าเป น ระบ การเปล ยนแปลงและสถานะภาพของเอกสารป จจ บ น - การบร หารจ ดการบ นท กข อม ลหร อฟอร มต างๆ องค กรจะต องม การก าหนด จ ดทาและ บาร งร กษาบ นท กข อม ลหร อฟอร มต างๆ เพ อใช เป นหล กฐานแสดงความสอดคล องก บข อก าหนด และการดาเน นการ ประส ทธ ภาพของระบบบร หารจ ดการความม นคงปลอดภ ย 11

20 2.4.2 หน าท ความร บผ ดชอบของผ บร หาร - การให ความส าค ญในการบร หารจ ดการ โดยผ บร หารจะต องแสดงถ งการให ความส าค ญต อการก าหนดการลงม อปฏ บ ต การ ด าเน นการ เฝ าระว ง การทบทวน การ บาร งร กษาและการปร บปร งระบบบร หารจ ดการความม นคงปลอดภ ยโดยการปฏ บ ต งานต างๆ ต องได ร บความย นยอมจากผ บร หาร - การบร หารจ ดการทร พยากรท จาเป นและการอบรม การสร างความตระหน กและการ เพ มข ดความสามารถเพ อให บ คลากรท งหมดท ได ร บมอบหมายหน าท สามารถปฏ บ ต งานได ตามท กาหนดไว ในนโยบายความม นคง ปลอดภ ย การตรวจสอบภายในระบบบร หารจ ดการความม นคงปลอดภ ย องค กร ทาการดาเน นการตรวจสอบภายในตามระยะเวลาท ก าหนดไว เพ อตรวจสอบว า ว ตถ ประสงค กระบวนการ และข นตอนปฏ บ ต ของระบบบร หารจ ดการความม นคง ปลอดภ ยเป นไปตามก าหนดนโยบายข อบ งค บต างๆให ม ความสอดคล องก บข อก าหนดและ นโยบายท วางไว ในองค กร โดยองค กรควรม การวางแผนตรวจสอบระบบต างๆท ม ความส าค ญ ต อองค ก อนว าเป นไปตามเป าหมายท ท วางไว หร อไม อย างเป นประจ าและจ ดท ารายงานการ ตรวจสอบ บ นท กผลเพ อเป นบ นท กไว พ ฒนาระบบในการตรวจสอบด วย การทบทวนระบบบร หารจ ดการความม นคงปลอดภ ยโดยผ บร หาร ผ บร หารจะต องทบทวนระบบบร หารจ ดการความม นคงปลอดภ ยตามรอบระยะเวลาท ก าหนดไว เพ อให ม การด าเน นการท เหมาะสม พอเพ ยงและส มฤทธ ผล การทบทวนจะต อง รวมถ งการปร บปร งหร อเปล ยนแปลงระบบบร หารจ ดการความม นคง ปลอดภ ย ซ งหมายรวมถ ง นโยบายความม นคงปลอดภ ยและว ตถ ประสงค ทางด านความปลอดภ ย ผลของการทบทวน จะต องได ร บการบ นท กไว อย างเป นลายล กษณ อ กษรและบ นท กข อม ลท เก ยวข องก บการทบทวน จะต องได ร บการบาร งร กษาไว โดย ระบบ ISO/IEC 27001:2005 ม การแนะน าให ประย กต ข อก าหนดของ ISO/IEC 17799:2005 มาใช ในการควบค มและจ ดการเก ยวก บความเส ยงท เก ดข น (ตามข อก าหนด 4.2.1g ของ ISO/IEC 27001:2005) และ หากองค กรจะไม เล อกประย กต และ/หร อใช บางส วน ข อก าหนดของ ISO/IEC17799:2005 สามารถกระทาได แต ต องม การอธ บายสาเหต ของการไม เล อกประย กต ใช ให ช ดเจนไว ใน SOA (ตามข อก าหนด 4.2.1j ของ ISO/IEC 27001:2005) อย างไรก ตามมาตรฐาน ISO/IEC27001:2005 น ถ กออกแบบมาส าหร บการตรวจ ประเม น (Certification) น นค อหากองค กรใดได จ ดทาระบบตามมาตรฐานน ครบถ วนตามความ ต องการท ก าหนด ไว แล ว องค กรด งกล าวสามารถย นค าขอไปย งหน วยงานร บตรวจประเม น ระบบ (Certification Body) เพ อให เข ามาดาเน นการตรวจประเม นและร บรองระบบท จ ดทาข นได ท งน ความต องการท องค กรจาเป นต องดาเน นการเพ อให ได ร บการตรวจประเม นจะ ถ กระบ อย ใน Clause 4, 5, 6, 7 และ 8 ของมาตรฐานด งกล าว แต อย างไรก ตาม ความซ บซ อนของระบบ บร หารความม นคงปลอดภ ยของสารสนเทศท แต ละองค กรพ ฒนา ข นจะม ความแตกต างก นไป 12

21 ข นอย ก บ ขนาด โครงสร าง ว ตถ ประสงค ความต องการเก ยวก บความม นคงปลอดภ ย รวมไปถ ง กระบวนการทางธ รก จ (Business Processes) ขององค กร โดยสร ปแล วระบบการจ ดการความปลอดภ ยข อม ล ISO/IEC 27001:2005 หร อ ISMS เป นระบบ dynamic system ท ม การประย กต หล กการ PDCA Cycle ท สามารถประย กต ใช ได ก บท กธ รก จ เพ อให ระบบข อม ลขององค กร ม Confidentiality ให แน ใจว าข อม ลต างๆ สามารถ เข าถ งได เฉพาะ ผ ท ม ส ทธ ท จะเข าเท าน น ม Integrity ป องก น ให ข อม ลม ความถ กต อง และ ความสมบ รณ และ Availability แน ใจว า ผ ท ม ส ทธ ในการเข าถ งข อม ล สามารถเข าถ งได เม อม ความต องการ โดยระบบการจ ดการ ISMS น น จะเป นระบบการจ ดการภายใต ความส ยงท ยอมร บได ไม ใช ให ระบบไม ม ความเส ยงเลยหร อไม เก ดป ญหาเลย ทาให เก ดประส ทธ ภาพในการ ใช ทร พยากรในการลงท นสาหร บการจ ดการความปลอดภ ยของข อม ลอย างม ประส ทธ ภาพ โดย ส วนใหญ จะม การใช ร วมก บ ระบบ ISO/IEC 17799:2005 เพ อให เก ดประส ทธ ภาพในการ ดาเน นงาน ในป จจ บ นคณะอน กรรมการด านความม นคงปลอดภ ยในการประกอบธ รกรรมทาง อ เล กทรอน กส ได ออกมาตรฐานการร กษาความม นคงปลอดภ ยในการประกอบธ รกรรมทาง อ เล กทรอน กส (เวอร ช น 2.5) ประจาป 2550 โดยอ างอ งจากมาตรฐาน ISO/IEC 27001:2005 เพ อให สอดคล องก บ คณะกรรมการธ รกรรมทางอ เล กทรอน กส จะด าเน นการ ผล กด นให มาตรฐานน กลาย เป นมาตรฐานของประเทศไทยท ได ร บการร บรองโดยส าน กงาน มาตรฐานผล ตภ ณฑ อ ตสาหกรรม (สมอ.) และ มาตรฐานการร กษาความม นคงปลอดภ ยในการ ประกอบธ รกรรมทางอ เล กทรอน กส 2.5 สร ปท ายบท ผ จ ดทาโครงการขอน าเสนอทฤษฎ และพ นฐานท จาเป นในการดาเน นโครงงานการแก ไข ป ญหา ข อจ าก ดของงานว จ ย แนวทางการแก ไขป ญหาและมาตรฐานต างๆ ท จ าเป นในการ ป องก นระบบเทคโนโลย สารสนเทศ เพ อให เป นข อม ลสาหร บบ คคลกรท ม ส วนเก ยวข องในระบบ สารสนเทศขององค กรต างๆ ให ปฏ บ ต ไปเป นแนวทางท ได ร บมาตรฐานการยอมร บสากล และ เพ อเป นการปกป องข อม ลระบบสารสนเทศขององค กร 13

22 บทท 3 การดาเน นงาน ในระบบธ รก จของแต ละองค กรน นการจ ดท านโยบายความปลอดภ ยของระบบ สารสนเทศถ อเป นเร องท ส าค ญมากส าหร บองค การซ งควรจ ดท าเป นนโยบายป องก นความ ปลอดภ ยระบบสารสนเทศเพ อให บ คลากรหร อพน กงานงานในองค กรท เก ยวข องก บระบบ สารสนเทศขององค การปฏ บ ต ให เป นไปในแนวทางเด ยวก นอย างเคร งคร ด เพ อป องก นความ ปลอดภ ยของระบบเทคโนโลย สารสนเทศขององค กรให เป นไปตามเป าหมายท ก าหนดไว โดย ผ จ ดทาจ งคาน งถ งความสาค ญของความปลอดภ ยและได น าระบบมาตรฐานเก ยวก บระบบ ISO 27001:2005 มาประย กต ใช สาหร บองค กรเพ อเป นแนวทางในการทาโครงงาน ด งน 1. กาหนดโครงสร างขององค กรและองค ประกอบ 2. น าระบบมาตรฐาน ISO 27001:2005 มาเปร ยบเท ยบก บการร กษาความม นคง ปลอดภ ยด านสารสนเทศขององค กร 3. การประเม นความเส ยง และการบรรเทาความเส ยง 4. การว เคราะห และผลการว เคราะห ความเส ยงระบบสารสนเทศ 5. นโยบายและกระบวนการในการบร หารความเส ยงของระบบสารสนเทศ 6. จ ดทานโยบายป องก นความปลอดภ ยของระบบสารสนเทศภายในองค กร 7. สร ปผลการดาเน นงานเพ อเป นแนวทางในการพ ฒนาให องค กร 3.1 โครงสร างและองค ประกอบ การจ ดทานโยบายร กษาความม นคงปลอดภ ยสารสนเทศขององค กรโดยก าหนดข อม ลท จะน ามาใช ศ กษาและว เคราะห ข อม ลต างๆ ด งน มาตรฐานระบบ ISO 27001:2005 มาตรฐานความม นคงปลอดภ ยด านสารสนเทศ โดยเล อกมา 4 หมวดหล ก โครงสร างด านความม นคงปลอดภ ยสาหร บองค กร การบร หารจ ดการทร พย ส นขององค กร ความม นคงปลอดภ ยท เก ยวข องก บบ คลากร การสร างความม นคงปลอดภ ยทางกายภาพและส งแวดล อม ระเบ ยบว าด วยการร กษาความล บทางราชการ พ.ศ พระราชบ ญญ ต ว าด วยการกระทาความผ ดเก ยวก บคอมพ วเตอร พ.ศ พ.ร.บ.ว าด วยการกระทาความผ ดเก ยวก บคอมพ วเตอร พ.ศ ระเบ ยบกองท พอากาศว าด วยการร กษาความปลอดภ ยระบบสารสนเทศของ กองท พอากาศ พ.ศ

23 3.1.6 นโยบายและแนวปฏ บ ต ในการร กษาความม นคงปลอดภ ยด านสารสนเทศของ กองท พอากาศ ค ม อการจ ดทาแผนบร หารความเส ยงด านเทคโนโลย สารสนเทศและการส อสาร หน วยข นตรงกองท พอากาศ 3.2 น าระบบมาตรฐาน ISO 27001:2005 มาเปร ยบเท ยบก บการร กษาความม นคง ปลอดภ ยด านสารสนเทศขององค กร โดยการเอานโยบายป องก นความปลอดภ ยสารสนเทศขององค กรมาปฏ บ ต ตามแนวของ ระบบมาตรฐานตาม ISO : 2005 เพ อให ปฏ บ ต เป นในแนวทางเด ยวก นเพ อความ ปลอดภ ยของระบบสารสนเทศภายในองค กร ตารางท 3.1 เปร ยบเท ยบระบบระบบมาตรฐาน ISO 27001:2005ก บระบบการร กษาความ ม นคงปลอดภ ยด านสารสนเทศขององค กร Control Objective Control ผลการประเม น เอกสารหล กฐาน ข อเสนอแนะ 15

24 3.3 การประเม นความเส ยง และการบรรเทาความเส ยง การดาเน นงาน : การประเม นค าความเส ยง ความเส ยงของหน วยงานภาคร ฐเป นการน าผลท ได จากการเปร ยบเท ยบความเส ยงของ ระบบเทคโนโลย สารสนเทศของหน วยงานก บระบบมาตรฐาน ISO 27001:2005 โดยผ จ ดท า ร วมก นว เคราะห ก บผ ท ม หน าท ร บผ ดชอบระบบเทคโนโลย สารสนเทศของหน วยงาน เพ อหา จ ดบกพร อง และหาความเส ยงของระบบเทคโนโลย สารสนเทศ เพ อน ามาพ ฒนาความเส ยงของ ระบบเทคโนโลย สารสนเทศ อ างอ งตามค ม อการจ ดท าแผนบร หารความเส ยงด านเทคโนโลย สารสนเทศและการส อสารท ออกโดยองค กรใหญ ของหน วยงาน การประมาณความเส ยง เป นการด ป ญหาความเส ยงว าม โอกาส การเก ดมากน อย เพ ยงไร และด ความร นแรงของผลท เก ดว าทาให เก ดความเส ยหายมากน อยเพ ยงใด ซ งองค กรได ม ค ม อการจ ดท าแผนบร หารความเส ยงด านเทคโนโลย สารสนเทศและการส อสารหน วยข นตรง การประมาณความเส ยงจ งต องทาตาม แผนการบร หารความเส ยงขององค กร เพ อน าผลท ได มา พ ฒนาและลดความเส ยง อย างถ กต องและม ความเข าใจตรงก น ไปมาก ด งน โอกาส หร อความบ อยคร งของการเก ดเหต การณ ความเส ยง แบ งเป น 5 ระด บจากน อย ถ ายโอนความเส ยง) ระด บท 1 แทบไม เก ดเลย ระด บท 2 น อยคร งมาก (เป นความเส ยงท ยอมร บได ) ระด บท 3 นานๆคร ง (เป นความเส ยงท ยอมร บได แต ม การต ดตามเฝ าระว ง) ระด บท 4 บ อย (เป นความเส ยงท ต องม นโยบายและการแก ไข ระด บท 5 บ อยมาก (เป นความเส ยงท ต องม นโยบายและการแก ไขเร งด วนหร อ ตารางท 3.2 การพ จารณา โอกาส หร อความบ อยคร งของการเก ดเหต การณ ระด บคะแนน ความบ อยคร ง 1= แทบไม เก ดเลย เก ดไม เก น 2 คร งต อป 2= น อยคร งมาก เก ดไม เก น 4 คร งต อป 3= นานๆคร ง เก ดไม เก น 6 คร งต อป 4= บ อย เก ดไม เก น 8 คร งต อป 5= บ อยมาก เก ดมากกว า 8 คร งต อป 16

25 การพ จารณาเกณฑ การประเม นค าความร นแรงของผลกระทบท เก ดจากความเส ยง แบ งเป น 5 ระด บ ด งน ค าความร นแรงเท าก บ 1 (ต ามาก) ค าความร นแรงเท าก บ 2 (ต า) ค าความร นแรงเท าก บ 3 (ปานกลาง) ค าความร นแรงเท าก บ 4 (ส ง) ค าความร นแรงเท าก บ 5 (ส งมาก) การพ จารณาการให คะแนน ความร นแรงของผลกระทบท เก ดจากความเส ยง ออกเป น 3 ด านค อ ด านการปฏ บ ต การ ด านกฎหมาย,ระเบ ยบและข อบ งค บ และด านภาพพจน ช อเส ยง ตารางท 3.3 การพ จารณาการให คะแนน ด านการปฏ บ ต การ แบ ง ระด บคะแนน ผลกระทบท เก ด 1= ต ามาก 2= ต า ไม กระทบต อการปฏ บ ต งาน กระทบต อการปฏ บ ต งานของผ ใช งานรายบ คคล 3 = ปานกลาง กระทบต อการปฏ บ ต งานท ง ฝ าย หร อ ห องปฏ บ ต การ 4 = ส ง กระทบต อการปฏ บ ต งานท งสาน กงาน 5 = ส งมาก กระทบต อการปฏ บ ต งานท วท งองค กร 1= ต ามาก 2= ต า ตารางท 3.4 การพ จารณาการให คะแนน ด านกฎหมายและระเบ ยบข อบ งค บ ระด บ คาอธ บาย ไม กระทบต อกฎหมาย ระเบ ยบ และข อบ งค บท เก ยวข อง ข ดต อระเบ ยบ ของแผนก หร อ ห องปฏ บ ต การ 3= ปานกลาง ข ดต อระเบ ยบ ของหน วยงาน 4= ส ง ข ดต อระเบ ยบ ขององค กร 5= ส งมาก ข ดต อกฎหมาย พระราชบ ญญ ต ท เก ยวข อง 17

26 1= ต ามาก 2= ต า ตารางท 3.5 การพ จารณาการให คะแนน ด านการปฏ บ ต การด านภาพพจน ช อเส ยง ระด บ คาอธ บาย กระทบช อเส ยงขององค กรน อยมาก หร อ ไม กระทบ กระทบช อเส ยงขององค กรน อย 3= ปานกลาง กระทบช อเส ยงขององค กรปานกลาง ทาให เก ดความไม พอใจจากสาร ธารณะ และพน กงาน เช นม การเข ยนว จารณ 4= ส ง กระทบช อเส ยงขององค กรอย างมาก ทาให เก ดความไม พอใจอย าง มากจากสารธารณะ เช น การแสดงความค ดเห นค ดค านผ านทางส อ ต างๆ 5= ส งมาก กระทบช อเส ยงขององค กรอย างร นแรง ทาให เก ดการต อต านร นแรง จากสารธารณะ เช น การประท วง การประเม นค าความเส ยง พ จารณาจากโอกาสการเก ดความเส ยง หร อความบ อยคร ง ของการเก ดเหต, ระด บความร นแรงของผลท เก ดจากความเส ยงท ม ต อระบบ และประส ทธ ภาพ ของแผนการควบค มผลกระทบทางด านความปลอดภ ยของระบบ ต อความเส ยงท เก ดข น โดย จ ดท าการเก ดความเส ยงเป นแผนภ ม ความเส ยง แบ งเป นระด บความส าค ญเป นโอกาสการเก ด เหต ความร นแรงและขอบเขตของระด บความเส ยงท สามารถยอมร บได ตารางท 3.6 เกณฑ การประเม นระด บความเส ยง = โอกาสการเก ดความเส ยง x ความร นแรง ของผลกระทบท เก ดจากความเส ยง ใช เกณฑ จ ดแบ งด งน ระด บคะแนน ระด บความเส ยง กลย ทธ ในการจ ดการความเส ยง พ นท ส 1-8 ต า ยอมร บความเส ยง ขาว 9-16 ปานกลาง ยอมร บความเส ยง (ม ต ดตาม) ส ง ควบค มความเส ยง (ม แผนควบค มความเส ยง) 25 ส งมาก ถ ายโอนความเส ยง เหล อง ฟ า แดง 18

27 ตารางท 3.7 แผนภ ม ความเส ยงจ ดลาด บจากความร นแรง(ผลกระทบ)และโอกาสเก ดความเส ยง มาก ผลกระทบ ความเส ยงปานกลาง -ผลกระทบร นแรงมาก -โอกาสเก ดน อย ความเส ยงต า -ผลกระทบน อย -โอกาสเก ดน อย ความเส ยงส ง -ผลกระทบร นแรงมาก -โอกาสเก ดมาก ความเส ยงปานกลาง -ผลกระทบน อย -โอกาสเก ดมาก น อย โอกาสท จะเก ด มาก ตารางท 3.8 การประเม นความเส ยง ความเส ยงส งมาก ความเส ยงส ง ความร นแรง ความเส ยงปานกลาง ความเส ยงต า โอกาสท จะเก ด 19

28 3.3.2 การบรรเทาความเส ยง เป นการจ ดล าด บ, ค านวณความเส ยง และควบค มการลดความเส ยงอย างเหมาะสม ตรมแนวทางจากการประเม นความเส ยง เพ อลดความเส ยงให อ ย ในระด บท ยอมร บได การบรรเทาความเส ยงแบ งเป น 5 ประเภท ด งน 1. การยอมร บความเส ยง ค อความเส ยงท ยอมร บได และดาเน นงานไปตามปกต ทาการปร บปร งแก ไขเม อม โอกาส 2. การหล กเล ยงความเส ยง ค อการกาจ ดสาเหต ของความเส ยง 3. การจ าก ดความเส ยง ค อการท าระบบควบค มความเส ยง เพ อให เก ดผล กระทบต อความม นคงปลอดภ ยน อยท ส ด 4. การว จ ยและการร บร ความเส ยง ค อการลดความส ญเส ยจากความเส ยง โดย การตรวจสอบ, ค นคว า และว จ ยเพ อเสร มสร างความม นคงปลอดภ ยให ก บระบบ 5. การถ ายโอนความเส ยง ค อการถ ายโอนความเส ยงเพ อชดเชยความส ญเส ย ท อาจเก ดจากความเส ยง 3.4 การว เคราะห และผลการว เคราะห ความเส ยงระบบสารสนเทศ การว เคราะห ความเส ยงระบบเทคโนโลย สารสนเทศของหน วยงานโดยอ างอ งร ปแบบ ตาม ค ม อการจ ดทาแผนบร หารความเส ยงด านเทคโนโลย สารสนเทศและการส อสารหน วยข น ตรงกองท พอากาศ สามารถว เคราะห ออกมาได ด งน ความเส ยงด านเทคน ค อาจเป นความเส ยงท เก ดจากต วอ ปกรณ หร อระบบ Soft ware ไวร ส หร อจากโปรแกรมท ไม พ งประสงค ต างๆ เป นต น ความเส ยงจากบ คลากรท ใช งานระบบเทคโนโลย สารสนเทศม ความร ไม เพ ยงพอ ในการใช อ ปกรณ หร ออาจทางานท นอกเหน อจากการใช งานปกต ซ งอาจทาให เก ดความ เส ยหายต อระบบเทคโนโลย สารสนเทศภายในองค กรได ความเส ยงท เก ดจากเหต ฉ กเฉ น หร อภ ยทางธรรมชาต เช น เก ดเหต ไฟด บ หร อ ไฟกระชากจนทาให เก ดความเส ยหายต อข อม ลสารสนเทศภายในองค กรได ความเส ยงจากการบร หารจ ดการระบบเทคโนโลย สารสนเทศภายในองค กร 20