การวิเคราะห์ผลกระทบทางธุรกิจ (BIA) แบบบ้านๆ

การวิเคราะห์ผลกระทบทางธุรกิจ (BIA) แบบบ้านๆ

ความสำเร็จในการบริหารความต่อเนื่องของธุรกิจ (Business Continuity Management) ส่วนหนึ่งต้องอาศัยกระบวนการสำคัญที่เรียกว่า “การวิเคราะห์ผลกระทบทางธุรกิจ หรือ Business Impact Analysis” (BIA) เพราะมันจะช่วยให้เราทราบรายละเอียดเกี่ยวกับสินค้าและบริการขององค์กรทั้งหมด รวมถึงมีการคำนวณหรือประเมินค่าระยะเวลาต่างๆ ที่เกี่ยวข้อง เช่น ระยะเวลาที่องค์กรยอมรับได้หากบริการต้องหยุดชะงัก ระยะเวลาที่เหมาะสมในการกู้คืนระบบ เป็นต้น ซึ่งผลของการวิเคราะห์ BIA จะช่วยให้เราสามารถกำหนดกลยุทธ์ สำรองทรัพยากร และเตรียมความพร้อมสำหรับการสร้างความต่อเนื่องในการดำเนินธุรกิจที่สามารถตอบโจทย์ทุกภาคส่วนที่เกี่ยวข้อง (Stakeholder) ได้

ขั้นตอนง่ายๆ ในการวิเคราะห์ผลกระทบทางธุรกิจ

รู้จักตนเอง : รู้ว่าองค์กรทำธุรกิจอย่างไร มีสินค้าและบริการอะไรบ้าง มีกระบวนการและทรัพยากรใดที่เกี่ยวข้องจำเป็นในการดำเนินธุรกิจ

รู้จักผู้อื่น : รู้จักความต้องการของลูกค้า ข้อกำหนดของกฎหมายต่างๆ รวมถึงความคาดหวังของผู้ที่เกี่ยวข้องทั้งหมด เช่น ผู้ถือหุ้น ซัพพลายเออร์ ชุมชนทางสังคมต่างๆ เป็นต้น

จัดลำดับความสำคัญ : ประเมินลำดับความสำคัญหรือความจำเป็นของสิ่งต่างๆ ข้างต้น เช่น สิ่งใดมีความเร่งด่วนมากที่สุด V.S. สิ่งใดสามารถรอได้, สิ่งใดที่ไม่สามารถละเลยได้เลย V.S. สิ่งใดที่พอจะเพิกเฉยได้ เป็นต้น

ประเมินค่าเป็นเวลา : คำนวณระยะเวลาที่องค์กรสามารถยอมรับได้หากต้องเกิดการหยุดชะงักของกระบวนการหรือสิ่งหนึ่งสิ่งใด บางอย่างอาจจะไม่สามารถปล่อยให้หยุดได้เลย ในขณะที่บางอย่างสามารถอนุโลมได้ โดยประเมินว่าหากสิ่งนั้นเกิดการหยุดชะงักจะสร้างความเสียหายให้กับองค์กรเป็นมูลค่าเท่าใด ต้องใช้เวลาและทรัพยากรเท่าใดในการกู้คืน เช่น ในกรณีที่พนักงานขายไม่สามารถเข้าถึงระบบข้อมูลคลังสินค้าได้ เป็นระยะเวลาเท่าใดที่ปัญหานั้นจะไม่ส่งผลต่อการทำงาน หากเกินไปกว่านั้นจะก่อความเสียหายอย่างไรบ้าง เป็นค่าเสียหายมูลค่าเท่าใด ต้องใช้มาตรการ ระยะเวลา หรือทรัพยากรใดบ้างในการกู้คืนระบบนั้น อาทิ อุปกรณ์สำรองข้อมูล เป็นต้น

ตัวอย่าง - การวิเคราะห์ผลกระทบทางธุรกิจของ “ปั๊มน้ำมัน”

>> ธุรกิจของเรามีบริการน้ำมัน แก๊ส สินค้าประดับยนต์ อาหารและเครื่องดื่ม

>> บุคคลอื่นที่เราต้องสำรวจความต้องการ ได้แก่ ลูกค้า ผู้ที่ขายน้ำมันให้เรา สัญญาให้บริการต่างๆ

>> ระยะเวลาที่เรายอมให้กระบวนการหรือระบบงานต่างๆ หยุดชะงักได้นั้นเป็นเวลาเท่าใด ข้อมูลใดบ้างที่สำคัญและไม่สามารถขาดได้ เรามีศักยภาพในการกู้คืนเท่าใด เช่น เรายอมให้หัวจ่ายน้ำมันใช้งานไม่ได้ไม่เกิน 1 วัน, ห้องน้ำปิดให้บริการได้ไม่เกิน 1 สัปดาห์ เป็นต้น

>> สรุปผลข้อมูลต่างๆ ข้างต้นในตาราง เพื่อใช้ประโยชน์เบื้องต้นในการวิเคราะห์ผลกระทบทางธุรกิจ

ผลกระทบทางธุรกิจที่ได้รับการวิเคราะห์อย่างรอบคอบจะช่วยให้เราสามารถวางแผนเตรียมความพร้อมได้อย่างมีประสิทธิภาพ โฟกัสในสิ่งที่สำคัญที่สุดเพื่อให้สามารถส่งมอบสินค้าและบริการได้ตามเป้าหมายที่กำหนด ส่งผลให้ธุรกิจมีความต่อเนื่อง ลดการสูญเสีย และอยู่รอดได้อย่างยั่งยืน

Content Cr: DestinationOne Counselor

บทวิเคราะห์ความมั่นคงปลอดภัยของสนามบิน

บทวิเคราะห์ความมั่นคงปลอดภัยของสนามบิน

หนึ่งในบรรดาข่าวฮือฮาบนสื่อต่างๆ เมื่อไม่นานมานี้ ย่อมหนีไม่พ้นเรื่องของ “การลักลอบนำอุปกรณ์เทียบเคียงอาวุธปืนและการแอบแฝงตัวของบุคคลแปลกปลอมขึ้นเครื่องบินโดยสาร” คำถามที่ผู้อ่านทุกคนย่อมนึกสงสัยก็คือ แล้วมันเกิดขึ้นได้ยังไง??

เมื่อวิเคราะห์ถึงความเป็นไปได้ของสาเหตุปัญหา ในมุมมองของผมนั้นขอแบ่งออกเป็น 4 แง่มุม.. เริ่มต้นกันที่เรื่องแรกก็คือ (1) Process ซึ่งผมคิดว่าโดยทั่วไปแล้วมาตรการรักษาความปลอดภัยและขั้นตอนการปฏิบัติงานต่างๆ ย่อมต้องมีการเขียนขึ้นอย่างรอบคอบชัดเจน สอดคล้องตามมาตรฐานสากลการบินพลเรือนที่มีการบังคับใช้อยู่ ผมจึงค่อนข้างมั่นใจว่าปัญหาไม่ได้เกิดขึ้นจากความบกพร่องของกระบวนการ แต่จากนี้ไปการทบทวนและปรับปรุงกระบวนการให้มีประสิทธิภาพมากขึ้นถือเป็นเรื่องจำเป็น

มุมมองที่สองต้องดูกันที่ (2) People ซึ่งก็คือเจ้าหน้าที่ที่ปฏิบัติงานต่างๆ ตามความรับผิดชอบของตนตามที่กระบวนการได้กำหนดไว้ อาทิ การควบคุมการเข้าออกพื้นที่ การตรวจสอบสัมภาระ ผมคิดว่ามีความเป็นได้สูงที่ปัญหาอาจจะเกิดจากความผิดพลาดในการปฏิบัติหน้าที่ของบุคลากร ลองคิดถึงสัมภาระจำนวนมากที่พวกเขาต้องตรวจสอบจนไม่สามารถรักษาความเคร่งครัดได้ในเวลาเร่งด่วน ความเหนื่อยล้าเจ็บป่วยของร่างกาย ความประมาทชะล่าใจ หรืออาจจะถูกล่อหลอกด้วยเทคนิคใดๆ จนปล่อยให้บุคคลแปลกปลอมหรือสิ่งเทียมอาวุธผ่านขึ้นเครื่องบินไปได้ ที่สำคัญที่สุดก็คือหลายครั้งที่ผมพบว่าเจ้าหน้าที่ให้บริการตามสนามบินยังขาดความตระหนักรู้ถึงความมั่นคงปลอดภัย (Security Awareness)

ถัดมาในมุมมองด้าน (3) Technology ซึ่งได้แก่เครื่องมือทันสมัยต่างๆ ที่ติดตั้งอยู่ในสนามบินเพื่อใช้ในการรักษาความมั่นคงปลอดภัย ควบคุมการเข้าออก ตรวจสอบสัมภาระ ฯลฯ อุปกรณ์เหล่านี้อาจจะไม่ใช่สาเหตุหลักของปัญหา แต่ในอีกทางหนึ่งมันอาจจะมีจุดอ่อนหรือช่องโหว่ที่ผู้ก่อการร้ายหัวใสสามารถอาศัยใช้ประโยชน์ได้ เช่น การลักลอบผ่านเข้าพื้นที่ควบคุมผ่านทางมุมอับซึ่งรัศมีของกล้องวงจรปิดไม่สามารถจับภาพได้ เป็นต้น

สุดท้ายผมอยากเสนอให้ลองมองในมุมของ (4) ISO 27001:2013 ตามข้อกำหนดและมาตรการควบคุมภายใต้หัวข้อ A.11ความมั่นคงปลอดภัยทางกายภาพ (Physical and Environmental Security) อาทิ A.11.1.1 Physical Security Perimeter และ A.11.12 Physical Entry Control เป็นต้น จะเห็นได้ว่าการละเลยไม่ปฏิบัติตามข้อกำหนดเหล่านั้น ทำให้เกิดจุดอ่อนหรือช่องโหว่ที่เอื้อให้ผู้ประสงค์ร้ายสามารถลักลอบนำตนเองและสิ่งเทียมอาวุธขึ้นเครื่องบินได้อย่างง่ายดาย

จากผลการวิเคราะห์ข้างต้น ผมจึงอยากเสนอแนะแนวทางปรับปรุงเพื่อป้องกันและแก้ไขปัญหา ดังนี้

     >> ควรมีการพิจารณาหาจุดอ่อนและช่องโหว่อย่างรอบคอบ เพื่อนำมาปรับปรุงแก้ไขให้ถูกต้องรัดกุมขึ้น โดยมองหาจุดสมดุลย์ระหว่างการรักษาความมั่นคงปลอดภัยและการให้บริการลูกค้า ถึงแม้ว่าการมุ่งหวังให้ลูกค้าได้รับความสะดวกสบายสูงสุดจะเป็นเรื่องสำคัญของสายการบิน แต่ก็ไม่ควรผ่อนปรนจนต้องลดประสิทธิภาพของมาตรการรักษาความมั่นคงปลอดภัยลงโดยเด็ดขาด

     >> ในส่วนของกระบวนการนั้น ควรมีการตรวจประเมินภายใน (Internal Audit) หรือมีการทำ Control Self Assessment บ่อยขึ้นอย่างสม่ำเสมอ

     >> การปรับปรุงคุณภาพของบุคลากรก็เป็นเรื่องสำคัญ เช่น การเพิ่มจำนวนเจ้าหน้าที่ให้เหมาะสมกับภาระงาน, การอบรมให้ความรู้เกี่ยวกับเรื่องความมั่นคงปลอดภัย, การตรวจสุขภาพและสมรรถภาพของพนักงาน เป็นต้น

     >> สำหรับเทคโนโลยีนั้น ควรจะมีการทบทวนมาตรการด้านความมั่นคงปลอดภัยทางกายภาพ โครงสร้างพื้นฐานของสนามบิน เพื่อปรับปรุงการใช้งานเครื่องมือและเทคโนโลยีต่างๆ ให้ได้ประสิทธิภาพสูงสุด และแก้ไขจุดอ่อนที่มีอยู่เดิม

ในการปฏิบัติงานต่างๆ หากต้องเกี่ยวข้องกับสวัสดิภาพของประชาชนมากเท่าใด องค์กรและหน่วยงานที่รับผิดชอบก็ยิ่งต้องมุ่งเน้นการรักษาความมั่นคงปลอดภัยมากขึ้นเท่านั้น จุดอ่อนหรือช่องโหว่แม้เพียงเล็กน้อยก็ไม่สามารถปล่อยปละละเลยได้ เพราะความผิดพลาดเพียงนิดอาจนำมาซึ่งความเสียหายใหญ่หลวงจากน้ำมือผู้มุ่งร้ายที่คอยจังหวะโจมตีอยู่แล้วก็เป็นได้

Content Cr: DestinationOne Counselor

Photo Cr: ABC News / MorgueFile.Com

การบริหารจัดการความเสี่ยงด้านความมั่นคงปลอดภัยของข้อมูลตามมาตรฐาน ISO 27001:2013

การบริหารจัดการความเสี่ยงด้านความมั่นคงปลอดภัยของข้อมูลตามมาตรฐาน ISO 27001:2013

ความเสี่ยง คือ โอกาสที่ภัยคุกคามหรือเหตุการณ์บางอย่างอาจจะเกิดขึ้นและส่งผลกระทบเชิงลบต่อเป้าหมายในการดำเนินธุรกิจขององค์กร

ความเสี่ยงมีอยู่ทั่วไปทุกหนแห่ง บางครั้งเราสามารถสังเกตเห็นมันได้อย่างชัดเจน แต่บ่อยครั้งที่ความเสี่ยงนั้นแอบแฝงอยู่อย่างเงียบเชียบจนเราเองก็ไม่สามารถคาดเดาได้ ดังนั้น องค์กรที่สามารถบริหารจัดการความเสี่ยงให้อยู่ในระดับที่องค์กรสามารถยอมรับได้ (Acceptable Level) จึงมีแนวโน้มที่จะประสบความสำเร็จในการดำเนินธุรกิจ และบรรลุวัตถุประสงค์ที่กำหนดไว้ได้มากกว่า

บทความในครั้งนี้จะกล่าวถึงกระบวนการบริหารจัดการความเสี่ยง โดยมุ่งเน้นไปยังความเสี่ยงที่มีต่อความมั่นคงปลอดภัยของข้อมูลขององค์กรเป็นหลัก ซึ่งจะพิจารณาผลกระทบของความเสี่ยงที่มีต่อความลับ (Confidentiality), ความถูกต้องครบถ้วน (Integrity), และ ความพร้อมใช้งาน (Availability) ซึ่งเป็นองค์ประกอบสำคัญของความมั่นคงปลอดภัยของข้อมูล

ขั้นตอนที่ 1 : การกำหนดขอบเขตและบริบท – องค์กรจะต้องกำหนดขอบเขต วัตถุประสงค์ เงื่อนไข และบริบทต่างๆ ที่เกี่ยวข้องในการบริหารจัดการความเสี่ยง

ขั้นตอนที่ 2 : การระบุทรัพย์สิน – ก่อนที่จะทำการประเมินความเสี่ยง องค์กรจะต้องรู้ว่ามีทรัพย์สินใดๆ ที่เกี่ยวข้องอยู่ในขอบเขตที่กำหนดไว้บ้าง เช่น มีข้อมูลอะไรบ้าง ถูกเก็บรักษาไว้ในสื่อรูปแบบใดบ้าง ถูกประมวลผลและส่งผ่านอุปกรณ์หรือเครือข่ายใดบ้าง อยู่ในความดูแลของบุคคลใดบ้าง เป็นต้น

ขั้นตอนที่ 3 : การระบุภัยคุกคาม – การพิจารณาว่ามีภัยคุกคามใดบ้าง ที่สามารถสร้างความเสียหายต่อทรัพย์สินในขอบเขตที่เรากำหนดไว้ 
ขั้นตอนที่ 4 : การระบุจุดอ่อนและมาตรการควบคุมที่มีอยู่ – การพิจารณาว่าองค์กรมีการใช้มาตรการใดอยู่แล้วบ้างในการป้องกันหรือรับมือกับภัยคุกคาม ในขณะเดียวกัน องค์กรยังขาดมาตรการใดหรือมีจุดอ่อนใดหลงเหลืออยู่
ขั้นตอนที่ 5 : การประเมินค่าผลกระทบและโอกาส – องค์กรจะต้องคำนวณหาค่าที่แสดงถึงผลกระทบและโอกาสที่ภัยคุกคามแต่ละอย่างจะเกิดขึ้น โดยอาศัยข้อมูลเชิงสถิติและข้อมูลแวดล้อมต่างๆ ประกอบการพิจารณา
ขั้นตอนที่ 6 : การประเมินระดับความเสี่ยง – องค์กรจะต้องใช้ค่าที่ได้จากการคำนวณข้างต้นมากำหนดเป็นระดับความเสี่ยง รวมถึงมีการหารือตกลงกันว่าองค์กรจะกำหนดเกณฑ์ในการยอมรับความเสี่ยงไว้ที่ระดับใด 
ขั้นตอนที่ 7 : การแก้ไขความเสี่ยง – หากระดับความเสี่ยงมีค่าสูงกว่าเกณฑ์ที่ได้กำหนดไว้ องค์กรจะต้องพิจารณาหามาตรการในการควบคุมหรือปรับปรุงความเสี่ยงมาใช้งาน เพื่อลดค่าของความเสี่ยงนั้นให้ได้ตามเกณฑ์
ขั้นตอนที่ 8 : การสื่อสารและทบทวนความเสี่ยง – องค์กรจะต้องสื่อสารให้ผู้ที่เกี่ยวข้องรับทราบถึงความเสี่ยง และหมั่นทบทวนทรัพย์สิน สภาพแวดล้อม ความเปลี่ยนแปลง และองค์ประกอบอื่นๆ อยู่เสมอ

Content Cr: DestinationOne Counselor

ทำความรู้จัก Security Control ใหม่!! ตามมาตรฐาน ISO 27001 เวอร์ชั่นปี 2013

ทำความรู้จัก Security Control ใหม่!! ตามมาตรฐาน ISO 27001 เวอร์ชั่นปี 2013

                ท่านที่ติดตามข่าวสาร หรือกำลังจัดทำมาตรฐานด้านการบริหารความมั่นคงของสารสนเทศ ISO 27001 อยู่นั้น คงทราบกันดีว่าเมื่อช่วงปลายปีที่ผ่านมา มาตรฐาน ISO 27001 ได้รับการปรับปรุงใหม่ จากเดิมเวอร์ชั่นปี 2005 เป็นเวอร์ชั่นปี 2013 โดยมีการเปลี่ยนแปลงทั้งโครงสร้างของรูปแบบข้อกำหนดหลัก จากเดิม 5 ข้อ เป็น 7 ข้อ เพื่อให้มาตรฐาน ISO ทุกฉบับมีโครงสร้างที่สอดคล้องกัน รวมถึงได้ทำการเพิ่มเติมมาตรการควบคุมความมั่นคง (Security Control) จากเดิมที่มีจำนวน 11 กลุ่ม 133 มาตรการ เป็นจำนวน 14 กลุ่ม 114 มาตรการ ทั้งนี้ ก็เพื่อให้มาตรฐานมีความทันสมัย และเพิ่มศักยภาพในการปกป้องข้อมูลสารสนเทศขององค์กรให้คงไว้ซึ่งความมั่นคงปลอดภัยยิ่งขึ้น

                อย่างไรก็ตาม ท่านอย่าเพิ่งกังวลใจไป เพราะอันที่จริงแล้วต้องกล่าวว่ามาตรการควบคุมของเวอร์ชั่นเดิมนั้น ได้รับการจัดระเบียบใหม่โดยรวบเอามาตรการที่มีความซ้ำซ้อนเข้าด้วยกัน เพื่อให้ง่ายต่อความเข้าใจและการใช้งานมากกว่า โดยมีมาตรการควบคุมความมั่นคงที่องค์กรจะต้องจัดทำเพิ่มเติมขึ้นมาใหม่จริงๆ เพียง 8 มาตรการเท่านั้น ดังต่อไปนี้

A.6.1.5 Information Security in Project Management

                ในการบริหารจัดการโครงการต่างๆ ขององค์กร จะต้องมีการกำหนดวัตถุประสงค์และกระบวนการบริหารความเสี่ยง เพื่อปกป้องความมั่นคงปลอดภัยของสารสนเทศเสมอ

A.14.2.1 Secure Develop Policy

                ต้องมีการกำหนดกฏระเบียบในการพัฒนาระบบ ซอฟต์แวร์ และแอพพลิเคชั่นขององค์กร โดยเนื้อหาของนโยบายประกอบไปด้วยการกำหนดความมั่นคงปลอดภัยของวงจรการพัฒนา ความต้องการ การทดสอบ และกฏหมายทรัพย์สินทางปัญญา

A.14.2.5 Secure System Engineering Principal

                ต้องมีการนำหลักการวิศวกรรมระบบที่มีความมั่นคงปลอภัยมาใช้งาน โดยประยุกต์เข้ากับระบบทั้งหมดที่มีอยู่ขององค์กร พิจารณาในโครงสร้างทุกลำดับขั้น เพื่อให้มั่นใจได้ว่าทุกระบบมีความมั่นคงปลอดภัยตรงตามความต้องการ

A.14.2.6 Secure Development Environment

                องค์กรจะต้องจัดให้มีสภาพแวดล้อมที่มั่นคงปลอดภัย เพื่อใช้สำหรับการพัฒนาระบบ ซอฟต์แวร์ และแอพพลิเคชั่นต่างๆ ซึ่งครอบคลุมถึงการจัดการบุคลากร กระบวนการ และเทคโนโลยีที่เกี่ยวข้องทั้งหมดด้วย

A.14.2.8 System Security Testing

                กระบวนการที่ใช้ในการพัฒนาระบบใหม่ และ/หรือ ปรับปรุงระบบเดิม ต้องได้รับการทดสอบด้านความมั่นคงปลอดภัย ตั้งแต่ขั้นตอนการนำเข้าข้อมูล การประมวลผล การนำออกข้อมูล และฟังก์ชั่นด้านความมั่นคงปลอดภัยอื่นๆ

A.15.1.3 Information and Communication Technology Supply Chain

                ในการทำเอกสารสัญญาหรือข้อตกลง ระหว่างองค์กรกับผู้ให้บริการภายนอก ผู้ผลิตสินค้า ฯลฯ จะต้องมีการระบุให้ครอบคลุมความเสี่ยงด้านความมั่นคงปลอดภัยของบริการและสินค้าตลอดห่วงโซ่อุปทาน อาทิ การกำหนดความต้องการ การติดตั้ง การตรวจรับ และการรับประกันสินค้า เป็นต้น

A.16.1.4 Assessment of and Decision on Information Security Events

                เมื่อมีเหตุการณ์ที่เกี่ยวข้องกับความมั่นคงปลอดภัยเกิดขึ้น เหตุการณ์เหล่านั้นจะต้องได้รับการประเมินทุกครั้ง เพื่อระบุว่าเป็นเหตุละเมิดความมั่นคงปลอดภัยหรือไม่ ซึ่งจะช่วยให้สามารถกำหนดแนวทางบริหารจัดการได้อย่างถูกต้องเหมาะสม และลดผลกระทบหรือความเสี่ยงที่อาจจะเกิดขึ้นกับองค์กรได้

A.17.2.1 Availability of Information Processing Facilities

                ต้องกำหนดความต้องการด้านความพร้อมใช้งานของระบบสารสนเทศต่างๆ ขององค์กร โดยพิจารณาจากความต้องการใช้งานระบบในเชิงธุรกิจ รวมถึงต้องมีการทดสอบระบบสำรองอย่างสม่ำเสมอ เพื่อให้เกิดความต่อเนื่องในการให้บริการ

                ทั้ง 8 มาตรการที่ถูกเพิ่มเติมขึ้นมานี้ จะช่วยให้คุณมั่นใจในความมั่นคงปลอดภัยของสารสนเทศภายในองค์กรของท่านมากยิ่งขึ้น และขอฝากข้อคิดกับทุกท่านก่อนจบบทความในครั้งนี้ว่า >> “ภัยคุกคามเปลี่ยนแปลงไปทุกวัน ระบบป้องกันจึงต้องได้รับการพัฒนาทุกวันเช่นกัน”

Content Cr: DestinationOne Counselor

ความรู้เบื้องต้นเกี่ยวกับการจัดการกระบวนการ (Process Management) ตอนที่ 1

คำว่า “กระบวนการ” หมายถึงอะไร?

          กระบวนการ หมายถึง การกระทำหรือกิจกรรมต่างๆ ที่ถูกเชื่อมโยงเข้าด้วยกัน โดยมีวัตถุประสงค์เพื่อให้เกิดเป็นสินค้าหรือบริการสำหรับลูกค้า เปรียเทียบให้เห็นภาพง่ายๆ เช่น การนำรถเข้าไปรับบริการในศูนย์คาร์แคร์..


          เมื่อคุณขับรถฝุ่นเขรอะเข้าไปในศูนย์แล้วส่งกุญแจให้พนักงานรับรถ พนักงานจะสอบถามความต้องการของคุณ จากนั้นก็จะนำรถเข้าสู่ขั้นตอนการล้าง ก่อนทำการเช็ดและเป่าแห้ง ดูดฝุ่นภายใน ลงน้ำยาขัดเบาะ สุดท้ายจึงทำการตรวจเช็คความเรียบร้อย ก่อนส่งมอบรถที่สะอาดเอี่ยมคืนให้กับคุณ

          จากตัวอย่างข้างต้น คุณจะเห็นถึงความสัมพันธ์ของแต่ละกิจกรรม/กระบวนการที่ประกอบเข้าด้วยกันจนเกิดเป็นกระบวนการของบริการล้างรถ หากขาดกิจกรรม/กระบวนการใดไป การให้บริการนี้ก็ไม่สามารถเสร็จสมบูรณ์ได้ เพราะผลลัพธ์ของกิจกรรมหนึ่ง (Output) คือปัจจัยป้อนเข้าของอีกกิจกรรมหนึ่ง (Input) หรือของอีกหลายๆ กระบวนการดำเนินธุรกิจ

          ทุกองค์กรจึงล้วนแต่มีกระบวนการทำงานมากมาย เพื่อให้ธุรกิจสามารถดำเนินไปได้ตามวัตถุประสงค์ที่กำหนด ดังนั้น องค์กรที่แข็งแกร่งจึงเป็นต้องมีกระบวนการที่มีประสิทธิภาพ สอดคล้องไปในทิศทางเดียวกัน อีกทั้งยังต้องมีมาตรฐานและได้รับการพัฒนาปรับปรุงอยู่เสมอ เพื่อสร้างความได้เปรียบ และความสามารถในรการอยู่รอดในโลกธุรกิจมีการแข่งขันรุนแรงขึ้นทุกวัน

          การจัดการกระบวนการ (Process Management) จึงเป็นสิ่งจำเป็นที่ทุกองค์กรต้องมีอย่างหลีกเลี่ยงไม่ได้ โดยเป้าหมายขององค์กรแต่ละแห่งอาจจะแตกต่างกัน อาทิ จัดการให้กระบวนการมีมาตรฐาน, จัดการให้กระบวรการมีประสิทธิภาพในการทำงานเพิ่มขึ้น, จัดการกระบวนการเพื่อระบุและแก้ไขปัญหาต่างๆ เป็นต้น

          ในตอนต่อไป ทีมที่ปรึกษาจะเล่าถึงหลักการสำคัญในการจัดการกระบวนการ ซึ่งมีอยู่ด้วยกัน 3 ประเด็นหลัก ได้แก่

          1. การออกแบบ (Design Phase)          
          2. การควบคุม (Control Phase) 
          3. การปรับปรุง (Improvement Phase)

<< To be Continued >>

Content Cr : DestinationOne Counsrlor

10 จุดอ่อนความมั่นคงที่ยังคงมาแรงในปี 2014

นอกเหนือจากการติดตามอัพเดทภัยคุกคามจากภายนอก ทั้งที่มีอยู่เดิมและที่เกิดขึ้นใหม่อยู่ตลอดเวลา ซึ่งคอยจ้องโจมตีข้อมูลและกระบวนการดำเนินธุรกิจขององค์กรแล้ว อีกสิ่งหนึ่งที่เราควรจะย้อนกลับมาทบทวนอยู่อย่างสม่ำเสมอก็คือ “จุดอ่อน” หรือ “ช่องโหว่” ขององค์กรเอง ที่อาจจะก่อให้เกิดปัญหา เอื้ออำนวยให้ภัยคุกคามเข้ามาโจมตีระบบหรือขัดขวางธุรกิจขององค์กรให้เกิดการหยุดชะงัก ดังนั้น DestinationOne จึงขอนำเสนอ 10 จุดอ่อนที่โดดเด่น ซึ่งองค์กรส่วนใหญ่มักจะประสบอยู่มาให้ลองพิจารณากัน ดังนี้

1. Lack of Policy Enforcement “นโยบาย” เป็นเครื่องมือสำคัญในการกำหนดแนวทางหรือกรอบวิธีการปฏิบัติงานสำหรับผู้ใช้งาน ซึ่งเมื่อประกาศบังคับใช้แล้วก็ควรที่จะได้รับการปฏิบัติตามอย่างเคร่งครัด ดังนั้น องค์กรจึงจำเป็นที่จะต้องมีการกำหนดกระบวนการในการตรวจสอบและบทลงโทษอย่างเหมาะสม เพื่อให้นโยบายได้รับการเคารพและไม่ถูกละเลย

2. Lack of Security Awareness ผู้ใช้งานขององค์กรหลายแห่งยังขาดการตระหนักรู้ถึงภัยคุกคามและแนวทางในการปกป้องความมั่นคงปลอดภัย ทั้งภัยที่คุกคามธุรกิจขององค์กรและที่คุกคามชีวิตส่วนตัวของผู้ใช้งานเอง องค์กรจึงควรมีการให้ข้อมูลความรู้แก่ผู้ใช้งานอยู่เสมอ

3. Lack of Management Support/Leadership องค์กรคงจะไร้ทิศทางหรือยากที่จะเอาตัวรอดจากภัยคุกคามที่มีอยู่มหาศาลในปัจจุบันถ้าหากขาดการสนับสนุนที่พอเพียง รวมถึงขาดภาวะผู้นำที่ดีจากผู้บริหาร

4. Lack of BCP/DRP Practice แผนการรักษาความต่อเนื่องในการดำเนินธุรกิจและแผนกู้คืนฉุกเฉินเป็นสิ่งจำเป็นที่จะช่วยให้องค์กรอยู่รอดในภาวะวิกฤต ซึ่งในปัจจุบันมีองค์กรจำนวนหนึ่งที่ได้จัดทำแผนเหล่านี้ไว้แล้ว แต่ยังคงมีเพียงส่วนน้อยเท่านั้นที่มีการซักซ้อมและทดสอบความสามารถในการนำแผนนั้นมาใช้งานจริง รวมถึงขาดการทบทวนประสิทธิภาพของแผนให้มีความทันสมัยอยู่เสมอ

5. Lack of Separate of Duties องค์กรหลายแห่งยังไม่มีการแบ่งหน้าที่การทำงานออกจากกันอย่างชัดเจน ทั้งที่การแบ่งหน้าที่นี้เป็นการจัดโครงสร้างการทำงานให้มีความโปร่งใส ป้องกันการทุจริต และทำให้แต่ละฝ่ายสามารถตรวจสอบการทำงานระหว่างกันได้

6. Lack of Log Management เนื่องจากทุกวันนี้ระบบไอทีถูกใช้เป็นองค์ประกอบพื้นฐานของการทำงานและการให้บริการ จึงจำเป็นที่จะต้องมีการเก็บรวบรวมข้อมูลหรือกิจกรรมการใช้งานต่างๆ เพื่อเป็นหลักฐานหรือใช้เพื่อประกอบการตรวจสอบ ทั้งนี้ องค์กรส่วนใหญ่มีการจัดเก็บบันทึกการใช้งานระบบไอทีอยู่แล้ว เนื่องจากเป็นข้อบังคับทางกฎหมาย แต่มักจะมีจุดอ่อนอยู่ที่ขาดการทบทวนหรือตรวจสอบการใช้งานไอทีที่ไม่เหมาะสมจากบันทึกเหล่านั้น

7. Lack of Information Classification and Handling การจำแนกชั้นความลับของข้อมูลและการดูแลรักษาข้อมูลแต่ละประเภทอย่างเหมาะสมเป็นเรื่องที่สำคัญมาก อย่างไรก็ตาม องค์กรส่วนใหญ่มักจะเน้นให้การปกป้องเฉพาะข้อมูลลับที่สุด แต่ละเลยการดูแลข้อมูลในระดับชั้นความลับที่รองลงมา หรือข้อมูลที่ถือครองโดยพนักงานทั่วไป ซึ่งเป็นการเปิดช่องโหว่ให้กับความเสี่ยง

8. Internet is Free อินเตอร์เน็ทก้าวเข้ามามีบทบาทสำคัญในชีวิตประจำวันมากขึ้น อีกทั้งยังสามารถเข้าถึงได้ง่ายและมีให้ใช้งานได้ฟรีอยู่ทั่วไป ผู้ใช้งานส่วนใหญ่ก็มักจะรู้สึกยินดีและเชื่อมต่อกับอินเตอร์เน็ทฟรีเหล่านั้น โดยลืมคำนึงภัยคุกคามต่างๆ ที่มากับของฟรี ทั้งนี้ ควรจะระลึกไว้เสมอว่าของดีและฟรีด้วยนั้นไม่มีอยู่ในโลก

9. Security Risk Management โดยทั่วไปองค์กรมักจะมีการประเมินความเสี่ยงในการดำเนินธุรกิจอยู่แล้ว แต่ส่วนใหญ่ยังขาดการให้ความสำคัญในการประเมินความเสี่ยงในด้านที่เกี่ยวข้องกับความมั่นคงปลอดภัยควบคู่กันไปด้วย

10. Critical Infrastructure โครงสร้างสาธารณูปโภคพื้นฐานบางอย่างของประเทศ ยังไม่รองรับการบริหารความมั่นคงปลอดภัยของระบบสารสนเทศอย่างเหมาะสม องค์กรจึงควรตระหนักถึงจุดอ่อนในประเด็นนี้ด้วยเช่นกัน

Content Cr: DestinationOne Counselor

Photo Cr: Office.Microsoft.com