Showing posts with label RTP. Show all posts
Showing posts with label RTP. Show all posts

Tuesday, September 30, 2014

การวิเคราะห์ผลกระทบทางธุรกิจ (BIA) แบบบ้านๆ


การวิเคราะห์ผลกระทบทางธุรกิจ (BIA) แบบบ้านๆ


ความสำเร็จในการบริหารความต่อเนื่องของธุรกิจ (Business Continuity Management) ส่วนหนึ่งต้องอาศัยกระบวนการสำคัญที่เรียกว่า “การวิเคราะห์ผลกระทบทางธุรกิจ หรือ Business Impact Analysis” (BIA) เพราะมันจะช่วยให้เราทราบรายละเอียดเกี่ยวกับสินค้าและบริการขององค์กรทั้งหมด รวมถึงมีการคำนวณหรือประเมินค่าระยะเวลาต่างๆ ที่เกี่ยวข้อง เช่น ระยะเวลาที่องค์กรยอมรับได้หากบริการต้องหยุดชะงัก ระยะเวลาที่เหมาะสมในการกู้คืนระบบ เป็นต้น ซึ่งผลของการวิเคราะห์ BIA จะช่วยให้เราสามารถกำหนดกลยุทธ์ สำรองทรัพยากร และเตรียมความพร้อมสำหรับการสร้างความต่อเนื่องในการดำเนินธุรกิจที่สามารถตอบโจทย์ทุกภาคส่วนที่เกี่ยวข้อง (Stakeholder) ได้



ขั้นตอนง่ายๆ ในการวิเคราะห์ผลกระทบทางธุรกิจ

รู้จักตนเอง : รู้ว่าองค์กรทำธุรกิจอย่างไร มีสินค้าและบริการอะไรบ้าง มีกระบวนการและทรัพยากรใดที่เกี่ยวข้องจำเป็นในการดำเนินธุรกิจ

รู้จักผู้อื่น : รู้จักความต้องการของลูกค้า ข้อกำหนดของกฎหมายต่างๆ รวมถึงความคาดหวังของผู้ที่เกี่ยวข้องทั้งหมด เช่น ผู้ถือหุ้น ซัพพลายเออร์ ชุมชนทางสังคมต่างๆ เป็นต้น

จัดลำดับความสำคัญ : ประเมินลำดับความสำคัญหรือความจำเป็นของสิ่งต่างๆ ข้างต้น เช่น สิ่งใดมีความเร่งด่วนมากที่สุด V.S. สิ่งใดสามารถรอได้, สิ่งใดที่ไม่สามารถละเลยได้เลย V.S. สิ่งใดที่พอจะเพิกเฉยได้ เป็นต้น

ประเมินค่าเป็นเวลา : คำนวณระยะเวลาที่องค์กรสามารถยอมรับได้หากต้องเกิดการหยุดชะงักของกระบวนการหรือสิ่งหนึ่งสิ่งใด บางอย่างอาจจะไม่สามารถปล่อยให้หยุดได้เลย ในขณะที่บางอย่างสามารถอนุโลมได้ โดยประเมินว่าหากสิ่งนั้นเกิดการหยุดชะงักจะสร้างความเสียหายให้กับองค์กรเป็นมูลค่าเท่าใด ต้องใช้เวลาและทรัพยากรเท่าใดในการกู้คืน เช่น ในกรณีที่พนักงานขายไม่สามารถเข้าถึงระบบข้อมูลคลังสินค้าได้ เป็นระยะเวลาเท่าใดที่ปัญหานั้นจะไม่ส่งผลต่อการทำงาน หากเกินไปกว่านั้นจะก่อความเสียหายอย่างไรบ้าง เป็นค่าเสียหายมูลค่าเท่าใด ต้องใช้มาตรการ ระยะเวลา หรือทรัพยากรใดบ้างในการกู้คืนระบบนั้น อาทิ อุปกรณ์สำรองข้อมูล เป็นต้น


ตัวอย่าง - การวิเคราะห์ผลกระทบทางธุรกิจของ “ปั๊มน้ำมัน”

>> ธุรกิจของเรามีบริการน้ำมัน แก๊ส สินค้าประดับยนต์ อาหารและเครื่องดื่ม

>> บุคคลอื่นที่เราต้องสำรวจความต้องการ ได้แก่ ลูกค้า ผู้ที่ขายน้ำมันให้เรา สัญญาให้บริการต่างๆ

>> ระยะเวลาที่เรายอมให้กระบวนการหรือระบบงานต่างๆ หยุดชะงักได้นั้นเป็นเวลาเท่าใด ข้อมูลใดบ้างที่สำคัญและไม่สามารถขาดได้ เรามีศักยภาพในการกู้คืนเท่าใด เช่น เรายอมให้หัวจ่ายน้ำมันใช้งานไม่ได้ไม่เกิน 1 วัน, ห้องน้ำปิดให้บริการได้ไม่เกิน 1 สัปดาห์ เป็นต้น

>> สรุปผลข้อมูลต่างๆ ข้างต้นในตาราง เพื่อใช้ประโยชน์เบื้องต้นในการวิเคราะห์ผลกระทบทางธุรกิจ




ผลกระทบทางธุรกิจที่ได้รับการวิเคราะห์อย่างรอบคอบจะช่วยให้เราสามารถวางแผนเตรียมความพร้อมได้อย่างมีประสิทธิภาพ โฟกัสในสิ่งที่สำคัญที่สุดเพื่อให้สามารถส่งมอบสินค้าและบริการได้ตามเป้าหมายที่กำหนด ส่งผลให้ธุรกิจมีความต่อเนื่อง ลดการสูญเสีย และอยู่รอดได้อย่างยั่งยืน

Content Cr: DestinationOne Counselor

Wednesday, September 17, 2014

การบริหารจัดการความเสี่ยงด้านความมั่นคงปลอดภัยของข้อมูลตามมาตรฐาน ISO 27001:2013

การบริหารจัดการความเสี่ยงด้านความมั่นคงปลอดภัยของข้อมูลตามมาตรฐาน ISO 27001:2013


ความเสี่ยง คือ โอกาสที่ภัยคุกคามหรือเหตุการณ์บางอย่างอาจจะเกิดขึ้นและส่งผลกระทบเชิงลบต่อเป้าหมายในการดำเนินธุรกิจขององค์กร


ความเสี่ยงมีอยู่ทั่วไปทุกหนแห่ง บางครั้งเราสามารถสังเกตเห็นมันได้อย่างชัดเจน แต่บ่อยครั้งที่ความเสี่ยงนั้นแอบแฝงอยู่อย่างเงียบเชียบจนเราเองก็ไม่สามารถคาดเดาได้ ดังนั้น องค์กรที่สามารถบริหารจัดการความเสี่ยงให้อยู่ในระดับที่องค์กรสามารถยอมรับได้ (Acceptable Level) จึงมีแนวโน้มที่จะประสบความสำเร็จในการดำเนินธุรกิจ และบรรลุวัตถุประสงค์ที่กำหนดไว้ได้มากกว่า

บทความในครั้งนี้จะกล่าวถึงกระบวนการบริหารจัดการความเสี่ยง โดยมุ่งเน้นไปยังความเสี่ยงที่มีต่อความมั่นคงปลอดภัยของข้อมูลขององค์กรเป็นหลัก ซึ่งจะพิจารณาผลกระทบของความเสี่ยงที่มีต่อความลับ (Confidentiality), ความถูกต้องครบถ้วน (Integrity), และ ความพร้อมใช้งาน (Availability) ซึ่งเป็นองค์ประกอบสำคัญของความมั่นคงปลอดภัยของข้อมูล




ขั้นตอนที่ 1 : การกำหนดขอบเขตและบริบท – องค์กรจะต้องกำหนดขอบเขต วัตถุประสงค์ เงื่อนไข และบริบทต่างๆ ที่เกี่ยวข้องในการบริหารจัดการความเสี่ยง
ขั้นตอนที่ 2 : การระบุทรัพย์สิน – ก่อนที่จะทำการประเมินความเสี่ยง องค์กรจะต้องรู้ว่ามีทรัพย์สินใดๆ ที่เกี่ยวข้องอยู่ในขอบเขตที่กำหนดไว้บ้าง เช่น มีข้อมูลอะไรบ้าง ถูกเก็บรักษาไว้ในสื่อรูปแบบใดบ้าง ถูกประมวลผลและส่งผ่านอุปกรณ์หรือเครือข่ายใดบ้าง อยู่ในความดูแลของบุคคลใดบ้าง เป็นต้น
ขั้นตอนที่ 3 : การระบุภัยคุกคาม – การพิจารณาว่ามีภัยคุกคามใดบ้าง ที่สามารถสร้างความเสียหายต่อทรัพย์สินในขอบเขตที่เรากำหนดไว้ 
ขั้นตอนที่ 4 : การระบุจุดอ่อนและมาตรการควบคุมที่มีอยู่ – การพิจารณาว่าองค์กรมีการใช้มาตรการใดอยู่แล้วบ้างในการป้องกันหรือรับมือกับภัยคุกคาม ในขณะเดียวกัน องค์กรยังขาดมาตรการใดหรือมีจุดอ่อนใดหลงเหลืออยู่
ขั้นตอนที่ 5 : การประเมินค่าผลกระทบและโอกาส – องค์กรจะต้องคำนวณหาค่าที่แสดงถึงผลกระทบและโอกาสที่ภัยคุกคามแต่ละอย่างจะเกิดขึ้น โดยอาศัยข้อมูลเชิงสถิติและข้อมูลแวดล้อมต่างๆ ประกอบการพิจารณา
ขั้นตอนที่ 6 : การประเมินระดับความเสี่ยง – องค์กรจะต้องใช้ค่าที่ได้จากการคำนวณข้างต้นมากำหนดเป็นระดับความเสี่ยง รวมถึงมีการหารือตกลงกันว่าองค์กรจะกำหนดเกณฑ์ในการยอมรับความเสี่ยงไว้ที่ระดับใด 
ขั้นตอนที่ 7 : การแก้ไขความเสี่ยง – หากระดับความเสี่ยงมีค่าสูงกว่าเกณฑ์ที่ได้กำหนดไว้ องค์กรจะต้องพิจารณาหามาตรการในการควบคุมหรือปรับปรุงความเสี่ยงมาใช้งาน เพื่อลดค่าของความเสี่ยงนั้นให้ได้ตามเกณฑ์
ขั้นตอนที่ 8 : การสื่อสารและทบทวนความเสี่ยง – องค์กรจะต้องสื่อสารให้ผู้ที่เกี่ยวข้องรับทราบถึงความเสี่ยง และหมั่นทบทวนทรัพย์สิน สภาพแวดล้อม ความเปลี่ยนแปลง และองค์ประกอบอื่นๆ อยู่เสมอ

Content Cr: DestinationOne Counselor