0
Get A Free Quote

ISO 27001:2022 คืออะไร? คู่มือฉบับสมบูรณ์ภาษาไทย[อัปเดต 2567]

  • Home
  • ISO 27001:2022 คืออะไร? คู่มือฉบับสมบูรณ์ภาษาไทย[อัปเดต 2567]
ISO 27001:2022 คืออะไร? คู่มือฉบับสมบูรณ์ภาษาไทย[อัปเดต 2567]
ISO 27001:2022 คืออะไร? คู่มือฉบับสมบูรณ์ภาษาไทย[อัปเดต 2567]
ISO 27001:2022 คืออะไร? คู่มือฉบับสมบูรณ์ภาษาไทย[อัปเดต 2567]
ISO 27001:2022 คืออะไร? คู่มือฉบับสมบูรณ์ภาษาไทย[อัปเดต 2567]
  • 21 July, 2026
  • No Comments


🛡️ ISO/IEC 27001:2022 — คู่มือภาษาไทยฉบับสมบูรณ์

ISO 27001:2022 คืออะไร?
คู่มือฉบับสมบูรณ์ภาษาไทย
[อัปเดต 2567]

อธิบายครบทุก Clause 4–10, Annex A 93 Controls, ขั้นตอนการขอ Certification, ค่าใช้จ่ายในประเทศไทย และ
Checklist เอกสารที่ต้องเตรียม — ฉบับที่ละเอียดและเป็นปัจจุบันที่สุดสำหรับองค์กรไทย

อัปเดต: ตุลาคม 2567
ระยะเวลาอ่าน: ~15 นาที
โดย: ทีมผู้เชี่ยวชาญ ISO
ภาษา: ไทย
7
Clause
หลัก

93
Annex A
Controls

11
Controls
ใหม่ 2022

4
Themes
Annex A

3
ปีอายุ
ใบรับรอง

Section 1

🔍 ISO 27001:2022 คืออะไร?

ทำความเข้าใจมาตรฐานความปลอดภัยสารสนเทศสากล

ISO/IEC 27001:2022 คือมาตรฐานสากลสำหรับ
ระบบบริหารจัดการความมั่นคงปลอดภัยสารสนเทศ (Information Security Management System — ISMS)
ที่ออกโดย International Organization for Standardization (ISO) ร่วมกับ International Electrotechnical
Commission (IEC) มาตรฐานนี้กำหนดข้อกำหนด (Requirements) สำหรับการจัดตั้ง ดำเนินการ ติดตาม ทบทวน
และปรับปรุง ISMS เพื่อปกป้องความ Confidentiality (การรักษาความลับ),
Integrity (ความถูกต้องสมบูรณ์) และ
Availability (ความพร้อมใช้งาน) ของข้อมูลสารสนเทศ

🎯 ทำไมองค์กรไทยต้องมี ISO 27001?

🏆
สร้างความน่าเชื่อถือแสดงให้ลูกค้า คู่ค้า
และผู้ถือหุ้นเห็นว่าองค์กรจริงจังกับความปลอดภัยของข้อมูล

⚖️
ปฏิบัติตามกฎหมายสอดคล้องกับ PDPA, พ.ร.บ.ว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์
และ GDPR

🛡️
ลดความเสี่ยงไซเบอร์ระบุ ประเมิน
และจัดการความเสี่ยงด้านสารสนเทศอย่างเป็นระบบและต่อเนื่อง

💼
เพิ่มโอกาสธุรกิจเป็นเงื่อนไขสำคัญสำหรับ Tender ภาครัฐ การส่งออก และการเป็น Vendor
ของบริษัทข้ามชาติ

💡
สร้างวัฒนธรรมองค์กรพนักงานตระหนักถึงความปลอดภัย ลดความเสี่ยงจากความผิดพลาดของมนุษย์

💰
ลดต้นทุนระยะยาวค่าเสียหายจาก Data Breach เฉลี่ย 4.45 ล้านดอลลาร์ต่อครั้ง (IBM 2023)
— ISO 27001 ช่วยป้องกัน

🏢 ใครควรขอ ISO 27001 Certification บ้าง?

ประเภทองค์กร เหตุผลหลัก ความเร่งด่วน
บริษัท IT / SaaS / Cloud ลูกค้าต้องการหลักฐานความปลอดภัย, เป็นเงื่อนไข Contract สูงมาก
ธนาคาร / FinTech / ประกันภัย กฎหมาย ธปท., สำนักงาน ก.ล.ต. กำหนด, ข้อมูลทางการเงิน สูงมาก
โรงพยาบาล / Healthcare ข้อมูลผู้ป่วยเป็น Sensitive Data ตาม PDPA, ผู้ตรวจประกันต้องการ สูงมาก
บริษัท Outsourcing / BPO ลูกค้าต่างชาติ (EU, US) มักกำหนดใน Master Service Agreement สูง
หน่วยงานภาครัฐ / รัฐวิสาหกิจ นโยบาย Digital Government, ข้อมูลความมั่นคงชาติ สูง
E-Commerce / Retail ออนไลน์ ข้อมูลบัตรเครดิต, ข้อมูลลูกค้า PDPA, PCI DSS สูง
SME / Startup ทั่วไป สร้างความแตกต่าง, เตรียมพร้อมเติบโต, ขาย B2B Enterprise ปานกลาง

Section 2

🆕 ความแตกต่าง ISO 27001:2022 vs 2013

สิ่งที่เปลี่ยนแปลงและ Deadline การ Transition สำคัญ

⏰ Deadline สำคัญ: ตุลาคม 2025
  • ใบรับรอง ISO 27001:2013 ทั้งหมดจะหมดอายุโดยอัตโนมัติในเดือนตุลาคม 2025
  • องค์กรที่มีใบรับรอง 2013 ต้องทำ Transition Audit เป็นเวอร์ชัน 2022 ก่อนกำหนด
  • หากยังไม่ได้เริ่มกระบวนการ Transition ควรดำเนินการโดยเร็ว

📊 ตารางเปรียบเทียบการเปลี่ยนแปลงหลัก

หัวข้อ ISO 27001:2013 ISO 27001:2022 ผลกระทบ
Annex A Controls 114 controls / 14 domains 93 controls / 4 themes ใหม่ ลดลง 21 controls รวม/ปรับโครงสร้างใหม่
Clause 6.3 ไม่มี Planning of Changes ใหม่ ต้องมี Change Management Process
Controls ใหม่ – 11 controls เพิ่มใหม่ ใหม่ Cloud, DLP, Threat Intel, Secure Coding
Attribute Tagging ไม่มี 5 Attribute Sets ใหม่ Filter/Map Controls ตาม NIST CSF ได้
Threat Intelligence ไม่มี A.5.7 เพิ่มใหม่ ใหม่ ต้องมี Process รวบรวม Threat Data
Cloud Security ไม่มี (ครอบคลุมโดยปริยาย) A.5.23 IS for Cloud Services ใหม่ ต้องมี Cloud Security Policy ชัดเจน
โครงสร้าง Clause Clause 4–10 เหมือนกัน เพิ่ม Clause 6.3 เท่านั้น การเปลี่ยนแปลงหลักอยู่ที่ Annex A

✨ 11 Controls ใหม่ที่เพิ่มใน ISO 27001:2022

Control ID ชื่อ Control (ภาษาไทย) Theme ทำไมสำคัญ
A.5.7 Threat Intelligence (ข่าวกรองภัยคุกคาม) Organizational รวบรวมและวิเคราะห์ภัยคุกคามเชิงรุก
A.5.23 IS for Use of Cloud Services (ความปลอดภัย Cloud) Organizational Cloud Security Policy สำหรับ AWS/Azure/GCP
A.5.30 ICT Readiness for Business Continuity Organizational เชื่อม ISMS กับ BCP/DRP
A.7.4 Physical Security Monitoring (CCTV/Sensors) Physical ตรวจจับการบุกรุกพื้นที่สำคัญ
A.8.9 Configuration Management (การจัดการ Config) Technological ระบบ Secure Configuration สม่ำเสมอ
A.8.10 Information Deletion (การลบข้อมูลปลอดภัย) Technological สอดคล้อง PDPA Right to Erasure
A.8.11 Data Masking (การปกปิดข้อมูล) Technological ปกป้อง PII ใน Non-production Environment
A.8.12 Data Leakage Prevention — DLP Technological ป้องกันข้อมูลรั่วไหลออกนอกองค์กร
A.8.16 Monitoring Activities (การติดตามกิจกรรม) Technological SIEM/SOAR ตรวจจับ Anomaly
A.8.23 Web Filtering (การกรองเว็บอันตราย) Technological ลดความเสี่ยง Malware/Phishing
A.8.28 Secure Coding (การเขียนโค้ดอย่างปลอดภัย) Technological ลดช่องโหว่ใน Application ตั้งแต่ต้น

Section 3

🏗️ โครงสร้าง ISO 27001:2022

Clause 4–10 และ Annex A 93 Controls ใน 4 Themes

📋 Clause 4–10: ข้อกำหนดหลักของ ISMS

Clause 4

🏢 Context of the Organization

ระบุบริบทองค์กร (SWOT/PESTLE), ผู้มีส่วนได้ส่วนเสีย และกำหนดขอบเขต ISMS อย่างชัดเจน

Clause 5

👔 Leadership

ผู้บริหารต้องแสดง Commitment, ออก IS Policy ที่ลงนาม และกำหนด RACI / CISO อย่างเป็นทางการ

Clause 6

🎯 Planning

Risk Assessment, Risk Treatment, Statement of Applicability (SoA), IS Objectives และ (ใหม่) Planning
of Changes

Clause 7

🛠️ Support

ทรัพยากร, Competency Matrix, Security Awareness Training, Communication Plan และ Document Control

Clause 8

⚙️ Operation

นำแผนไปปฏิบัติจริง: Vulnerability Assessment, Penetration Testing, Patch Management, Supplier
Control

Clause 9

📊 Performance Evaluation

KPI/KRI Monitoring, Internal Audit ตาม Risk-based Program และ Management Review ปีละ 1–2 ครั้ง

Clause 10

🔄 Improvement

Continual Improvement ด้วย PDCA Cycle, Corrective Action (Root Cause Analysis + 5 Whys) และ
Improvement Register

🗂️ Annex A: 93 Information Security Controls ใน 4 Themes

37

🏢 Organizational Controls (Theme 5)

นโยบาย กระบวนการ และการจัดการ เช่น Threat Intelligence, IS Supply Chain Security, Cloud Security
Policy, Acceptable Use Policy

8

👥 People Controls (Theme 6)

บุคลากร เช่น Screening ก่อนจ้างงาน, Terms of Employment, Security Awareness, Remote Working Policy,
Disciplinary Process

14

🏗️ Physical Controls (Theme 7)

กายภาพ เช่น Physical Security Perimeters, Clear Desk Policy, Equipment Security, Secure Disposal,
CCTV Monitoring

34

💻 Technological Controls (Theme 8)

เทคโนโลยี เช่น Access Control, Cryptography, SIEM, DLP, Data Masking, Vulnerability Management,
Secure Coding, Web Filtering

🏷️ Attribute Tagging — นวัตกรรมใหม่ใน Annex A 2022
  • Control Type: Preventive | Detective | Corrective — ช่วยวางแผน Defense in Depth
  • InfoSec Properties: Confidentiality | Integrity | Availability — Map กับ CIA Triad
  • Cybersecurity Concepts: Identify | Protect | Detect | Respond | Recover — สอดคล้อง
    NIST CSF
  • Operational Capabilities: Governance | Asset Management | Physical Security |
    Identity Management | etc.
  • Security Domains: Governance & Ecosystem | Protection | Defence | Resilience

Section 4

🛤️ 8 ขั้นตอนการขอ ISO 27001 Certification

เส้นทางสู่ใบรับรองมาตรฐานความปลอดภัยสารสนเทศสากล

1

📊 Gap Analysis — วิเคราะห์ช่องว่าง

⏱️ 2–4 สัปดาห์

ประเมินสถานะปัจจุบันขององค์กรเทียบกับข้อกำหนด ISO 27001:2022 ครบทุก Clause

  • ตรวจสอบ Policy, Procedure, Control ที่มีอยู่
  • วิเคราะห์ช่องว่าง (Gap) ที่ต้องแก้ไข
  • กำหนด Scope, Budget และ Timeline โครงการ

2

🏗️ ISMS Design & Documentation — ออกแบบระบบ

⏱️ 4–8 สัปดาห์

ออกแบบ ISMS Framework และจัดทำเอกสารที่จำเป็นตาม Clause 4–10

  • IS Policy, Scope Statement, RACI Matrix
  • Procedure, Work Instruction, Form Template
  • Document Control & Version Management

3

⚠️ Risk Assessment & Treatment — ประเมินและจัดการความเสี่ยง

⏱️ 4–6 สัปดาห์

ดำเนินการ Information Security Risk Assessment ครอบคลุมทุก Asset ใน Scope

  • ระบุ Information Assets และภัยคุกคาม
  • วิเคราะห์ Likelihood × Impact → Risk Score
  • จัดทำ Risk Treatment Plan และ Statement of Applicability (SoA)

4

⚙️ Implementation & Operation — ปฏิบัติตาม Controls

⏱️ 8–16 สัปดาห์

นำ Annex A Controls ที่กำหนดใน SoA ไปปฏิบัติจริงและสร้าง Evidence

  • Deploy Technical Controls: WAF, DLP, SIEM, MFA, Backup
  • จัด Security Awareness Training ทุกพนักงาน
  • เก็บ Evidence ทุกขั้นตอน (Log, Record, Report)

5

🔍 Internal Audit — ตรวจสอบภายใน

⏱️ 2–3 สัปดาห์

ทำ Internal Audit ครั้งแรก ครอบคลุม Clause 4–10 และ Annex A Controls ทั้งหมด

  • Auditor ต้องเป็นกลาง — ไม่ตรวจงานตนเอง
  • ปิด Nonconformity ที่พบก่อน Certification
  • จัด Management Review อย่างเป็นทางการ

6

🏅 Certification Stage 1 — ตรวจเอกสาร

⏱️ 2–3 วัน

Certification Body (CB) ตรวจสอบ Documented Information และ ISMS Design

  • CB Review: Scope, Risk Assessment, SoA, Policy
  • ยืนยันความพร้อมสำหรับ Stage 2
  • Minor Issues ต้องแก้ไขก่อน Stage 2

7

🏆 Certification Stage 2 — ตรวจการปฏิบัติจริง

⏱️ 3–5 วัน

CB ตรวจสอบว่า Controls ถูก Implement จริงและมี Evidence ครบถ้วน

  • Interview บุคลากรทุกระดับ ตั้งแต่ CEO ถึง Staff
  • ตรวจสอบ Technical Controls จริง (Demo ระบบ)
  • หากผ่าน → ได้รับ ISO 27001:2022 Certificate (อายุ 3 ปี)

8

♻️ Surveillance & Re-certification — รักษาใบรับรอง

⏱️ ปีที่ 1, 2 และ 3

รักษา ISMS อย่างต่อเนื่องและผ่าน Surveillance Audit ประจำปี

  • Surveillance Audit ปีที่ 1 และ 2 (ย่อย ครึ่งหนึ่งของ Initial)
  • Re-certification Audit ปีที่ 3 เพื่อต่ออายุ
  • Continual Improvement ต้องเห็นผลจริง ไม่ใช่แค่บนกระดาษ

Section 5

💰 ค่าใช้จ่าย ISO 27001 ในประเทศไทย

ข้อมูลค่าใช้จ่ายโดยประมาณสำหรับองค์กรขนาดต่าง ๆ

📊 ตาราง Breakdown ค่าใช้จ่าย

รายการ ขนาดเล็ก (≤50 คน) ขนาดกลาง (50–300 คน) ขนาดใหญ่ (300+ คน)
ที่ปรึกษา (Consultant) 150,000–400,000 บาท 400,000–900,000 บาท 900,000–2,500,000 บาท
Certification Body (CB)
Stage 1 + Stage 2 		80,000–150,000 บาท 150,000–350,000 บาท 350,000–800,000 บาท
Security Training / Awareness 20,000–60,000 บาท 60,000–150,000 บาท 150,000–400,000 บาท
Security Tools
SIEM, DLP, WAF, MDM ฯลฯ 		100,000–300,000 บาท 300,000–800,000 บาท 800,000–3,000,000 บาท
Penetration Testing 50,000–100,000 บาท 100,000–300,000 บาท 300,000–800,000 บาท
Internal Auditor Training 15,000–30,000 บาท/คน 30,000–60,000 บาท 60,000–150,000 บาท
รวมโดยประมาณ 400,000–1,000,000 บาท 1,000,000–2,500,000 บาท 2,500,000–7,000,000 บาท
🏠 ขนาดเล็ก
4–10
แสนบาท
≤50 คน, Scope แคบ
ใช้เวลา ~6–9 เดือน

🏢 ขนาดกลาง
1–2.5
ล้านบาท
50–300 คน, Multi-site
ใช้เวลา ~9–12 เดือน

🏙️ ขนาดใหญ่
2.5–7+
ล้านบาท
300+ คน, Enterprise
ใช้เวลา ~12–18 เดือน

💡 Tips ประหยัดค่าใช้จ่าย ISO 27001
  • เริ่มจาก Scope แคบ: กำหนด ISMS Scope
    ให้ครอบคลุมเฉพาะหน่วยงานหรือกระบวนการที่สำคัญก่อน ขยายทีหลัง
  • ใช้ Open Source Tools: เช่น Wazuh (SIEM), OpenVAS (Vulnerability Scanner) แทน
    Enterprise License ราคาแพง
  • Train Internal Auditor เอง: ส่งพนักงานอบรม ISO 27001 Internal Auditor Course
    (15,000–30,000 บาท/คน) แทนจ้างภายนอก
  • ใช้ Template สำเร็จรูป: ซื้อ ISMS Document Template มาปรับแทนเริ่มต้นเองทั้งหมด
    ประหยัดเวลาที่ปรึกษาได้มาก
  • ขอทุนสนับสนุน: ตรวจสอบโครงการ DEPA หรือ สสว. ที่อาจสนับสนุนค่าใช้จ่าย ISO สำหรับ
    SME ไทย
  • เลือก Scope ที่ใช้ Cloud: หาก Data Center อยู่ที่ Cloud Provider (AWS/Azure) สามารถ
    Exclude Physical DC Controls ได้

Section 6

✅ ISO 27001 Checklist — เอกสารที่ต้องเตรียม

รายการเอกสาร Documented Information ที่จำเป็นตาม Clause 4–10 และ Annex A

📘 Clause 4: Context of the Organization
ISMS Scope Statement — ระบุ Boundary, สถานที่, ระบบ, หน่วยงานที่อยู่ใน Scope
พร้อมเหตุผลสิ่งที่ไม่รวม

Interested Party Register — ระบุ Stakeholders, ความต้องการ, ข้อกำหนด
และวิธีตอบสนอง

Context Analysis (SWOT / PESTLE) — วิเคราะห์ปัจจัยภายในและภายนอกที่กระทบ ISMS

📙 Clause 5: Leadership
Information Security Policy (IS Policy) — ลงนามโดย CEO/MD มี Version และวันที่
Review

RACI Matrix — กำหนดบทบาท Responsible/Accountable/Consulted/Informed ทุก Process
ใน ISMS

Appointment Letter / Job Description — แต่งตั้ง CISO หรือ IS Manager
อย่างเป็นทางการ

📗 Clause 6: Planning
Risk Assessment Methodology & Report — วิธีการประเมิน Criteria, Risk Register
ครบทุก Asset

Risk Treatment Plan (RTP) — Action, Owner, Due Date, Budget สำหรับทุก Risk ≥
Threshold

Statement of Applicability (SoA) — ทุก 93 Controls พร้อม Justification
ที่อนุมัติโดยผู้บริหาร

IS Objectives & Measurement Plan — เป้าหมาย SMART พร้อม KPI, Owner และ
Timeline

Change Management Process (6.3) —
ใหม่ 2022 กระบวนการขอ Approve การเปลี่ยนแปลง ISMS

📒 Clause 7: Support
Competency Matrix — ความสามารถที่ต้องการสำหรับแต่ละ Role ที่เกี่ยวกับ ISMS

Training Records — รายชื่อ, วันที่, หลักสูตร, ผล Quiz ของผู้เข้าอบรมทุกคน

Security Awareness Evidence — Phishing Simulation Results, Poster, Newsletter

Communication Plan — Who communicates What, When, to Whom, via Which channel

Document Control Procedure — ID Format, Approval Matrix, Version Control,
Retention Period

📔 Clause 8: Operation
Operational Security Procedures — Incident Response, Backup, Patch Management,
Access Control

Vulnerability Assessment Report — ผลการสแกน Tenable/Nessus/OpenVAS พร้อม
Remediation Plan

Penetration Test Report — ผล External Pentest พร้อมหลักฐานการ Fix Critical/High
Issues

Supplier Assessment Records — Security Assessment และ SLA Review ของ Third-party
ทุกราย

Evidence of Control Effectiveness — Log, Screenshot, Report ยืนยันว่า Controls
ทำงานจริง

📘 Clause 9: Performance Evaluation
IS KPI / Metrics Report — Monthly/Quarterly Dashboard: MTTD, MTTR, Patch Rate,
Incident Count

Internal Audit Program & Report — Annual Plan, Audit Report พร้อม
NC/Observation และ Closure Evidence

Management Review Minutes — Meeting Minutes ลงนามผู้บริหาร ครอบคลุมทุก Input ตาม
Clause 9.3

📕 Clause 10: Improvement
Nonconformity Log — ทะเบียน NC ทั้งหมด พร้อม Status การแก้ไข

Corrective Action Reports (CAR) — Root Cause Analysis (5 Whys), Actions,
Verification Result

Improvement Register — รายการ Improvement Initiative พร้อม Priority, Owner, Due
Date, Status

⬛ Annex A: Controls Evidence
Statement of Applicability (SoA) — ทุก 93 Controls พร้อม Justification และหลักฐาน
Implementation

Sub-Policies — Password Policy, Access Control Policy, Acceptable Use Policy,
BYOD Policy, Remote Work Policy

New 2022 Control Evidence — ใหม่ Cloud
Security Policy (A.5.23), Threat Intelligence Feed (A.5.7), DLP Config (A.8.12), Secure Coding
Standard (A.8.28)

📥 ต้องการ Template เอกสาร ISO 27001:2022 ภาษาไทย?
  • Template ครบชุดช่วยประหยัดเวลาจัดทำเอกสารได้ 40–60%
  • ประกอบด้วย IS Policy, Risk Register, SoA, CAR, Training Record และ Management Review Template
  • ปรึกษาผู้เชี่ยวชาญ ISO 27001 ที่ได้รับการรับรอง เพื่อรับ Template ที่เหมาะกับองค์กรของคุณ

Section 7

❓ คำถามที่พบบ่อยเกี่ยวกับ ISO 27001

ตอบคำถามยอดนิยมครอบคลุม Long-tail Keywords ที่ค้นหาบ่อยในไทย

Q

ISO 27001 ใช้เวลาขอนานแค่ไหน?

โดยทั่วไปใช้เวลา 6–18 เดือน ขึ้นอยู่กับขนาดและความพร้อมขององค์กร องค์กรขนาดเล็ก
(≤50 คน) ที่มีความพร้อมและ Scope แคบ อาจทำได้ใน 6–9 เดือน องค์กรขนาดกลางใช้ประมาณ 9–12 เดือน
ส่วนองค์กรขนาดใหญ่หรือ Multi-site อาจใช้ 12–18 เดือน ปัจจัยที่ทำให้ช้า: ไม่มี Budget ที่ชัดเจน,
ไม่มีความมุ่งมั่นของผู้บริหาร และ Document ไม่พร้อม

Q

ISO 27001 กับ ISO 27002 ต่างกันอย่างไร?

ISO 27001 คือมาตรฐาน “ข้อกำหนด” (Requirements Standard) ที่กำหนดว่าองค์กรต้องทำ
“อะไร” — ใช้สำหรับขอ Certification ได้ ส่วน ISO 27002 คือ “แนวทางปฏิบัติ”
(Guidelines Standard) ที่อธิบายว่าต้องทำ Controls แต่ละข้อ “อย่างไร” ในรายละเอียด — ไม่สามารถขอ
Certification ได้ด้วย ISO 27002 ใช้ควบคู่กัน: ISO 27001 เป็น What, ISO 27002 เป็น How

Q

ISO 27001 Certification มีอายุกี่ปี?

ใบรับรอง ISO 27001 มีอายุ 3 ปี โดยมีโครงสร้างดังนี้: ปีที่ 1: Initial
Certification (Stage 1 + Stage 2 Audit) → ได้รับใบรับรอง ปีที่ 2: Surveillance Audit 1
(ตรวจย่อยประมาณครึ่งหนึ่งของ Initial) ปีที่ 3: Surveillance Audit 2 (ตรวจอีกครึ่งหนึ่ง) ปีที่ 4:
Re-certification Audit เพื่อต่ออายุ 3 ปีใหม่

Q

องค์กรเล็กขอ ISO 27001 ได้ไหม? มีข้อจำกัดด้านขนาดไหม?

ได้ครับ ISO 27001 ไม่มีข้อจำกัดด้านขนาดองค์กร — มีองค์กร 5 คนที่ได้รับ
Certification แล้ว กุญแจสำคัญสำหรับองค์กรเล็กคือการกำหนด Scope ให้เหมาะสมและ Realistic เช่น
ครอบคลุมเฉพาะทีม Dev หรือหน่วยงาน IT ก่อน ค่าใช้จ่ายและระยะเวลาก็น้อยกว่าองค์กรใหญ่มาก เพราะ Scope
แคบและซับซ้อนน้อยกว่า

Q

PDPA กับ ISO 27001 เกี่ยวข้องกันอย่างไร?

ISO 27001 และ PDPA มีความสอดคล้องกันสูงมาก การ Implement ISO 27001 ช่วยให้องค์กรปฏิบัติตาม PDPA
ได้ดีขึ้นอย่างมีนัยสำคัญ เช่น:
• A.8.10 Information Deletion สนับสนุน PDPA
Right to Erasure (สิทธิขอลบข้อมูล)
• A.8.11 Data Masking ปกป้อง Personal Data
ใน Dev/Test Environment
• A.5.34 Privacy Protection กำหนดแนวปฏิบัติ PII

• Risk Assessment ของ ISO 27001 ครอบคลุม Privacy Risk ที่ PDPA กำหนด
แม้ ISO 27001
ไม่ใช่ PDPA Compliance โดยตรง แต่ช่วยสร้าง Foundation ที่แข็งแกร่งสำหรับการปฏิบัติตาม PDPA

Q

ISO 27001 ต้องทำ Penetration Test ไหม?

ISO 27001 ไม่ได้บังคับ Penetration Test โดยตรง แต่ข้อกำหนด 8.2 (Risk Assessment)
กำหนดให้ต้องประเมินความเสี่ยงของ Information Assets ซึ่งรวมถึงความเสี่ยงจากช่องโหว่ด้านเทคนิค
Penetration Testing ถือเป็น Best Practice ที่แนะนำอย่างยิ่ง เพราะ: (1) ผู้ตรวจ Certification
มักถามหาหลักฐานว่าองค์กรทดสอบจริงหรือไม่ (2) ช่วยค้นหาช่องโหว่จริงที่อาจ Assessor ไม่ได้สังเกต (3)
Annex A.8.8 (Management of Technical Vulnerabilities) กำหนดให้จัดการช่องโหว่อย่างเป็นระบบ

Q

Annex A ต้อง Implement ทุก Control ไหม? มี 93 ข้อ ต้องทำหมดเลยหรือ?

ไม่จำเป็น ต้อง Implement ทุก Control นี่คือความเข้าใจผิดที่พบบ่อยที่สุด ISO 27001
กำหนดให้ทำ Statement of Applicability (SoA) ซึ่งระบุว่า Control ใดใช้ (Applicable)
หรือไม่ใช้ (Not Applicable) โดยต้องมี Justification ที่ชัดเจน ตัวอย่าง: หากองค์กรใช้ Cloud ทั้งหมด
ไม่มี Data Center ของตัวเอง → A.7.4 (Physical Security Monitoring for DC) = Not Applicable ได้
สิ่งสำคัญคือ Justification ต้องสมเหตุสมผลและสอดคล้องกับ Risk Assessment

Q

ค่า Recertification Audit แพงไหม เมื่อเทียบกับครั้งแรก?

Re-certification Audit
โดยทั่วไปถูกกว่า Initial Certification ประมาณ 20–30% เนื่องจาก: •
ระบบมีความพร้อมและ Maturity สูงกว่าครั้งแรก • ผู้ตรวจมีความคุ้นเคยกับองค์กรแล้ว • เอกสารและ Evidence
มีอยู่แล้ว ไม่ต้องสร้างใหม่ ค่า Re-certification อยู่ที่ประมาณ
80,000–200,000 บาท สำหรับ SME ขึ้นอยู่กับ Certification Body และขนาดองค์กร
Surveillance Audit (ปีที่ 1 และ 2) มีค่าใช้จ่ายน้อยกว่า Re-certification ประมาณ 40–50%

Section 8

🎯 สรุปและเริ่มต้นเส้นทาง ISO 27001

ประเด็นหลักและก้าวแรกสู่มาตรฐานความปลอดภัยสารสนเทศ

📌 สรุปประเด็นสำคัญที่ต้องจำ

ISO 27001:2022 คืออะไร
มาตรฐานสากลสำหรับ ISMS ที่ปกป้อง Confidentiality, Integrity, Availability ของข้อมูล ด้วย 7 Clause และ
93 Controls
11 Controls ใหม่ที่สำคัญ
Cloud Security (A.5.23), Threat Intel (A.5.7), DLP (A.8.12), Data Masking (A.8.11), Secure Coding
(A.8.28) — ต้องใส่ใจเป็นพิเศษ
Deadline ต.ค. 2025
ใบรับรอง 2013 หมดอายุ — ต้อง Transition เป็น 2022 ก่อนกำหนด ดำเนินการโดยเร็ว
ค่าใช้จ่ายโดยประมาณ
SME: 4–10 แสนบาท | Medium: 1–2.5 ล้าน | Large: 2.5 ล้านขึ้นไป — ลงทุนครั้งเดียว คุ้มค่าระยะยาว
SoA ไม่ต้อง Implement ทุก Control
กำหนด Applicable / Not Applicable ตาม Risk Assessment พร้อม Justification ที่สมเหตุสมผล
ใบรับรองมีอายุ 3 ปี
Surveillance Audit ปีที่ 1 และ 2 — Re-certification ปีที่ 3 — ต้อง Continual Improvement ตลอด

🚀 พร้อมเริ่มต้นเส้นทาง ISO 27001:2022?

การขอ ISO 27001:2022 Certification ไม่ใช่เรื่องยาก หากมีการวางแผนที่ดีและทีมที่มีความรู้ เริ่มต้นด้วย
3 ก้าวแรกที่ทำได้เลยวันนี้:

1
ทำ Gap Analysis
ประเมินสถานะปัจจุบัน
2
กำหนด Scope
ให้ชัดเจนและ Realistic
3
ปรึกษาผู้เชี่ยวชาญ
ISO 27001 ที่ได้รับรอง

📚 บทความนี้จัดทำขึ้นเพื่อการศึกษาและอ้างอิง อ้างอิงจาก ISO/IEC 27001:2022 และ
ISO/IEC 27002:2022

สำหรับการนำไปใช้จริง ควรปรึกษาผู้เชี่ยวชาญด้าน ISO 27001 และ Certification Body ที่ได้รับการรับรอง
(Accredited CB) เช่น BSI, SGS, LRQA, Bureau Veritas, TÜV

อัปเดตล่าสุด: ตุลาคม 2567 | Keywords: ISO 27001, ISO/IEC 27001:2022, ISMS, มาตรฐานความปลอดภัยสารสนเทศ, ขอ
ISO 27001 ไทย


Leave a Reply

Your email address will not be published. Required fields are marked *

error: Content is protected !!