Penetration Testing สำหรับ ISO 27001 Certification
Annex A A.8.8 ว่าด้วยการบริหารจัดการช่องโหว่ทางเทคนิค แนวทางของ Reconix: การทดสอบเจาะระบบเป็นวิธีที่นิยมใช้แสดงหลักฐานตามข้อนี้ เราทดสอบและออกรายงานพร้อมยื่น Auditor ตามขอบเขต ISMS ขององค์กรคุณ
ISO 27001 คืออะไร?
ISO/IEC 27001:2022 คือมาตรฐานสากลสำหรับระบบ ISMS เป็น Risk-Based Framework ที่ Clauses 4 ถึง 10 วางแนวทางตั้งแต่การจัดตั้ง นำไปใช้ ดูแลรักษา ไปจนถึงการปรับปรุงอย่างต่อเนื่อง และ Annex A ระบุข้อควบคุม (อิงตาม ISO 27002:2022)
- วาง ISMS ที่ครอบคลุมทั้งคน กระบวนการ และเทคโนโลยี
- เวอร์ชัน 2022 จัดข้อควบคุมใหม่เป็น 4 หมวด รวม 93 ข้อควบคุม Annex A
- ใช้แนวทาง Risk-Based คือประเมินความเสี่ยงแล้วเลือกมาตรการจัดการจาก Annex A ที่เหมาะสม
- เป็นที่นิยมในไทย โดยเฉพาะองค์กรที่ต้องการพิสูจน์ให้ลูกค้าและพาร์ทเนอร์เห็นว่าจริงจังเรื่อง Security
อ้างอิง: ISO/IEC 27001:2022 Information Security Management Systems
ใครต้องทำ Penetration Testing ตาม ISO 27001?
ขอ Certification ครั้งแรก
องค์กรที่กำลังเตรียมขอ ISO 27001 และต้องสร้างหลักฐาน A.8.8 ตั้งแต่ต้น
เตรียม Surveillance Audit
องค์กรที่ได้ Certification แล้ว ต้องอัปเดตหลักฐานการทดสอบสำหรับ Audit ประจำปี
ลูกค้ากำหนดให้ต้องมี
บริษัทที่ลูกค้าหรือพาร์ทเนอร์ต้องการให้ถือ ISO 27001
สถาบันการเงิน
ธนาคารและ Fintech ที่ใช้ ISO 27001 ควบคู่กับข้อกำหนดของ ธปท.
บริษัท Technology
ผู้ให้บริการ SaaS และบริษัท Tech ที่ต้องพิสูจน์ Security Maturity ให้ลูกค้า Enterprise
ยกระดับ Security
องค์กรที่ต้องการจัดการความเสี่ยงด้าน Information Security อย่างเป็นระบบ
ข้อควบคุม Annex A ที่การทดสอบความปลอดภัยช่วยสนับสนุน
แนวทางของ Reconix: ข้อควบคุม Annex A และ Clauses หลักเหล่านี้ใน ISO 27001:2022 เป็นจุดที่ Penetration Testing และการประเมินความปลอดภัยมักใช้เป็นหลักฐาน
Management of Technical Vulnerabilities
ต้องติดตามข้อมูลช่องโหว่ทางเทคนิคอย่างสม่ำเสมอ ประเมินความเสี่ยง แล้วดำเนินการแก้ไข เช่น Patch
การดำเนินการ: สแกนช่องโหว่เป็นระบบ จัดลำดับความรุนแรง กำหนดผู้รับผิดชอบและ Deadline การ Patch ติดตามจนปิดจบ
Security Testing in Development and Acceptance
ต้องมีกระบวนการ Security Testing ตลอด Development Lifecycle
การดำเนินการ: ทำ Penetration Testing และ Vulnerability Scanning ตลอด SDLC พร้อม Re-test หลังแก้ไข
Secure Coding
ต้องนำหลัก Secure Coding ไปใช้ในการพัฒนาซอฟต์แวร์ (ข้อควบคุมใหม่ในเวอร์ชัน 2022)
การดำเนินการ: วาง Secure Coding Guidelines ทำ Peer Code Review ใช้เครื่องมือ SAST และ SCA ใน CI/CD Pipeline
Threat Intelligence
ต้องรวบรวมและวิเคราะห์ข้อมูลภัยคุกคามด้าน Security (ข้อควบคุมใหม่ในเวอร์ชัน 2022)
การดำเนินการ: ทดสอบแบบ Intelligence-Led จำลอง TTP ของผู้โจมตี และวิเคราะห์ Threat Landscape
Secure Development Lifecycle
ต้องกำหนดกฎเกณฑ์สำหรับการพัฒนาซอฟต์แวร์และระบบอย่างปลอดภัย
การดำเนินการ: ทำ Secure Code Review ทดสอบ Security ก่อน Release และวาง Security Gates ตลอดขั้นตอนการพัฒนา
สนับสนุนการ Audit ทุกขั้นตอน
บริการทดสอบของเราจัดเตรียมหลักฐานสำหรับแต่ละขั้นตอนของวงจร Certification ISO 27001 ตาม Clause 9.1 (การติดตามและประเมินผล) และ Clause 7.5 (เอกสารสารสนเทศ)
ตรวจเอกสาร ISMS (Clause 7.5)
เราจัดเตรียมเอกสารกระบวนการจัดการช่องโหว่ วิธีทดสอบ ผลการค้นพบ การประเมินความเสี่ยง และแผน Risk Treatment ในรูปแบบที่ Auditor พร้อมตรวจได้ทันที
ตรวจประสิทธิผลมาตรการ (Clause 9.1)
Penetration Testing ให้หลักฐานว่ามาตรการ Security ขององค์กรทำงานอย่างไรในทางปฏิบัติ โดยผลที่พบจะเชื่อมโยงกลับไปยัง Risk Register
Surveillance และปรับปรุงต่อเนื่อง
การประเมินอย่างสม่ำเสมอแสดงให้เห็นการพัฒนาด้าน Security ตามวงจร PDCA ช่องโหว่ที่แก้ไขแล้วได้รับการทดสอบซ้ำ 1 ครั้งตามขอบเขตงาน และมีบริการทดสอบซ้ำจนกว่าการแก้ไขจะใช้ได้จริงเป็นบริการเสริม
Penetration Testing ช่วย ISO 27001 ได้อย่างไร
ระบุช่องโหว่
A.8.8 การจัดการช่องโหว่ทางเทคนิค
ทดสอบความปลอดภัยใน SDLC
A.8.29 การทดสอบในการพัฒนาและยอมรับ
ตรวจสอบโค้ด
A.8.28 Secure Coding & A.8.25 Secure SDLC
ตรวจสอบประสิทธิผลมาตรการ
Clause 9.1 การติดตามและประเมินผล
ข่าวกรองภัยคุกคาม
A.5.7 วิเคราะห์ภัยคุกคาม
จัดทำเอกสารและรายงาน
Clause 7.5 หลักฐานพร้อมตรวจสอบ
Checklist การทดสอบความปลอดภัยตาม ISO 27001
เอกสารอ้างอิง
ศึกษารายละเอียดเพิ่มเติมได้จากเอกสารมาตรฐานฉบับเต็ม
บริการและคู่มือที่เกี่ยวข้อง
คำถามที่พบบ่อยเรื่อง Pentest สำหรับ ISO 27001
คำตอบสำหรับคำถามที่องค์กรในไทยถามบ่อยเกี่ยวกับการทดสอบความปลอดภัยเพื่อรับรอง ISO 27001
พร้อมรับ Audit ISO 27001 หรือยัง?
รับบริการ Penetration Testing ที่สอดคล้องกับ Annex A รายงานของเราจัดทำพร้อมใช้ในการ Audit เพื่อให้ ISMS ขององค์กรมีหลักฐานครบถ้วน
Reconix คือผู้เชี่ยวชาญการทดสอบเจาะระบบเชิงรุกที่เน้นการพิสูจน์ในประเทศไทย ให้บริการธุรกิจดิจิทัลภายใต้การกำกับดูแลทุกขนาด