สรุปข้อกำหนด ISO 22301 แบบเข้าใจง่าย

สรุปข้อกำหนด ISO 22301 แบบเข้าใจง่าย

มาตรฐาน ISO 22301:2012 การบริหารความต่อเนื่องของธุรกิจ (Business Continuity Management) กำลังอยู่ในความสนใจของผู้ประกอบการธุรกิจทุกขนาด ตั้งแต่ SME ท้องถิ่นไปจนถึงบริษัทยักษ์ข้ามชาติ ซึ่งทุกองค์กรสามารถเลือกนำเอาคำแนะนำของมาตรฐานมาประยุกต์ใช้ได้ตามความเหมาะสม แต่สำหรับองค์กรที่ต้องการจะผ่านการตรวจประเมินเพื่อขอประกาศนีบัตรรับรองมาตรฐานดังกล่าว จำเป็นต้องปฏิบัติตนให้สอดคล้องตามข้อกำหนดหลักทั้งหมดของเอกสารมาตรฐาน ISO 22301:2012 (ข้อกำหนดที่ 4-10) ดังนั้น ในบทความนี้ผมจึงอยากจะเล่าถึงข้อกำหนดหลักเหล่านั้นให้ท่านฟังแบบง่ายๆ ครับ

ข้อกำหนดที่ 4 : Context of the Organization (การระบุบริบทขององค์กร)

>> คุณต้องทำความเข้าใจบริบททั้งหมดขององค์กร โดยระบุประเด็นหรือปัจจัยทั้งภายในและภายนอกที่เกี่ยวข้องและมีผลกระทบต่อเป้าหมายทางธุรกิจ

>> คุณต้องทำความเข้าใจกับความต้องการและความคาดหวังของผู้มีส่วนเกี่ยวข้องทุกภาคส่วน (Stakeholder) ที่มีต่อการบริหารความต่อเนื่องของธุรกิจ

>> คุณจะต้องระบุขอบเขต (Scope) ของระบบบริหารความต่อเนื่องของธุรกิจ รวมถึงชี้แจงข้อยกเว้นต่างๆ (ถ้ามี) พร้อมเหตุผลกำกับอย่างชัดเจน

>> คุณจะต้องกำหนดกลยุทธ์ แผนงานดำเนินการ การบำรุงรักษา และการปรับปรุงระบบบริหารความต่อเนื่องของธุรกิจ

ข้อกำหนดที่ 5 : Leadership (ภาวะความเป็นผู้นำ)

>> ผู้บริหารระดับสูงจะต้องแสดงออกถึงความเป็นผู้นำ (Leadership) และคำมั่นสัญญา (Commitment) ในกระบวนการบริหารความต่อเนื่องของธุรกิจ

>> สิ่งหนึ่งที่แสดงถึงคำมั่นสัญญา (Commitment) คือการกำหนดนโยบายการบริหารความต่อเนื่องของธุรกิจให้สอดคล้องกับวัตถุประสงค์ในการดำเนินธุรกิจขององค์กร และมีการจัดหาทรัพยากรสนับสนุนที่จำเป็นอย่างพอเพียง

>> คุณจะต้องมีการประกาศ บังคับใช้ และสื่อสารการใช้งานนโยบายการบริหารความต่อเนื่องของธุรกิจอย่างทั่วถึงทั้งองค์กร

>> คุณจะต้องมีการกำหนดบทบาท อำนาจ หน้าที่ และความรับผิดชอบของบุคลากรที่เกี่ยวข้องกับระบบการบริหารความต่อเนื่องของธุรกิจอย่างชัดเจน

ข้อกำหนดที่ 6 : Planning (การวางแผน)

>> คุณจะต้องกำหนดแผนงานในการจัดการกับความเสี่ยงในการบริหารความต่อเนื่องทางธุรกิจ และต้องกำหนดมาตรการเพื่อบริหารระดับความเสี่ยงให้อยู่ในระดับที่องค์กรสามารถยอมรับได้

>> คุณจะต้องมั่นใจว่าวัตถุประสงค์และแผนการดำเนินงานได้ถูกสื่อสารออกไปยังหน่วยงานต่างๆ ที่เกี่ยวข้อง

ข้อกำหนดที่ 7 : Support (การสนับสนุน)

>> คุณจะต้องจัดหาทรัพยากรที่พอเพียงและให้การสนับสนุนการดำเนินงานอย่างเหมาะสม

>> คุณจะต้องกำหนดทักษะความสามารถที่จำเป็นสำหรับแต่ละตำแหน่งงานที่เกี่ยวข้อง (Competency) และให้การอบรมเพื่อให้พนักงานเหล่านั้นสามารถปฏิบัติหน้าที่ได้อย่างมีประสิทธิภาพ

>> ผู้ที่เกี่ยวข้องทั้งหมดภายใต้ขอบเขตของระบบบริหารความต่อเนื่องของธุรกิจจะต้องมีความตระหนักรู้ (Awareness) เกี่ยวกับวัตถุประสงค์ นโยบาย และแผนการดำเนินงาน

>> คุณจะต้องจัดให้มีการสื่อสารข้อมูลเกี่ยวกับการบริหารความต่อเนื่องของธุรกิจให้ผู้ที่เกี่ยวข้องทั้งหมดรับทราบอย่างเหมาะสม ทั้งบุคคลภายในและภายนอกองค์กร

>> คุณจะต้องมีการบริหารจัดการเอกสารต่างๆ ที่เกี่ยวข้อง โดยให้คงไว้ซึ่งความถูกต้องครบถ้วนและความพร้อมใช้งานอยู่เสมอ

ข้อกำหนดที่ 8 : Operation (การปฏิบัติงาน)

>> คุณจะต้องมีการบริหารจัดการความเปลี่ยนแปลงต่างๆ (Change Management) ที่เกิดขึ้นในระหว่างการดำเนินงาน รวมถึงต้องมีการควบคุมการทำงานของผู้ให้บริการจากภายนอกด้วย

>> คุณจะต้องมีการวิเคราะห์ผลกระทบทางธุรกิจ (Business Impact Analysis) และการประเมินความเสี่ยง (Risk Assessment) เพื่อให้ทราบถึงลำดับความสำคัญของแต่ละกระบวนการทางธุรกิจ ความเสี่ยง ระยะเวลา และเงื่อนไขต่างๆ ที่เกี่ยวข้อง

>> คุณจะต้องกำหนดกลยุทธ์ในการสร้างความต่อเนื่องในการบริหารธุรกิจ (Business Continuity Strategy) พิจารณาใช้ทรัพยากรที่มีอยู่ให้เกิดประโยชน์สูงสุดและตอบโจทย์ทางธุรกิจเมื่อตกอยู่ในภาวะอันไม่พึงประสงค์และเหตุหยุดชะงักต่างๆ ที่ส่งผลให้ธุรกิจขาดความต่อเนื่อง

>> คุณจะต้องจัดให้มีขั้นตอนการปฏิงาน (Business Continuity Procedure) ที่สอดคล้องตามผลการวิเคราะห์ผลกระทบทางธุรกิจและผลการประเมินความเสี่ยง รวมถึงแผนการรับมือเหตุล่วงละเมิดต่างๆ แผนการเฝ้าระวัง และแผนการติดต่อสื่อสาร ที่สำคัญก็คือจะต้องจัดเตรียมแผนการกู้คืนระบบหรือกระบวนการที่สำคัญต่างๆ ขององค์กรเมื่อเกิดการหยุดชะงัก

>> คุณจะต้องจัดให้มีการฝึกซ้อมและทดสอบ (Exercising and Testing) แผนความต่อเนื่องทางธุรกิจ เพื่อให้แน่ใจว่ามีความสอดคล้องตามวัตถุประสงค์และเป้าหมายที่ได้กำหนดไว้

ข้อกำหนดที่ 9 : Performance Evaluation (การประเมินผล)

>> คุณต้องมีการตรวจสอบ ประเมิน และวิเคราะห์ผลการบริหารความต่อเนื่องของธุรกิจ โดยกำหนดตัวชี้วัดที่ชัดเจน เพื่อให้สะท้อนถึงประสิทธิภาพและประสิทธิผลของการดำเนินงาน

>> คุณจะต้องมีการตรวจประเมินภายใน (Internal Audit) ระบบบริหารความต่อเนื่องในการดำเนินธุรกิจตามรอบระยะเวลาที่กำหนดไว้อย่างเหมาะสม ครอบคลุมถึงปัจจัยทั้งหมดที่อยู่ภายใต้ขอบเขตที่ได้ระบุไว้

>> ผู้บริหารระดับสูงและผู้บริหารที่เกี่ยวข้องจะต้องทบทวนรายละเอียดต่างๆ (Management Reviews) ที่เกี่ยวข้องกับระบบบริหารความต่อเนื่องทางธุรกิจตามรอบระยะเวลาที่กำหนดไว้อย่างเหมาะสม

ข้อกำหนดที่ 10 : Improvement (การพัฒนาและปรับปรุง)

>> คุณจะต้องระบุว่าในปัจจุบันมีสิ่งใดบ้างที่ยังไม่เป็นไปตามข้อกำหนดของมาตรฐาน (Non-Conformity) และจัดทำแผนการแก้ไขให้ครบถ้วน (Corrective Action) รวมถึงกำหนดตัวชี้วัดผลการแก้ไขอีกด้วย

>> คุณจะต้องมีการปรับปรุงและพัฒนาระบบบริหารความต่อเนื่องทางธุรกิจอย่างสม่ำเสมอ เพื่อให้มีความทันสมัยและสอดคล้องกับวัตถุประสงค์ทางธุรกิจ และปัจจัยต่างๆ ที่มีการเปลี่ยนแปลงอย่างไม่หยุดนิ่ง

การปฏิบัติตามข้อกำหนดทั้งหมดข้างต้นนี้ จะช่วยให้ท่านประสบความสำเร็จในการขอรับการรับรองมาตรฐาน ISO 22301:2012 อีกทั้งยังเป็นการแสดงออกถึงความมุ่งมั่นในการสร้างความต่อเนื่องให้กับธุรกิจ เพื่อให้ความมั่นใจกับทั้งบุคลากรภายในและสาธารณชนโดยทั่วกัน

Content Cr : DestinationOne Counselor

Photo Cr : FreeImages.com

การวิเคราะห์ผลกระทบทางธุรกิจ (BIA) แบบบ้านๆ

การวิเคราะห์ผลกระทบทางธุรกิจ (BIA) แบบบ้านๆ

ความสำเร็จในการบริหารความต่อเนื่องของธุรกิจ (Business Continuity Management) ส่วนหนึ่งต้องอาศัยกระบวนการสำคัญที่เรียกว่า “การวิเคราะห์ผลกระทบทางธุรกิจ หรือ Business Impact Analysis” (BIA) เพราะมันจะช่วยให้เราทราบรายละเอียดเกี่ยวกับสินค้าและบริการขององค์กรทั้งหมด รวมถึงมีการคำนวณหรือประเมินค่าระยะเวลาต่างๆ ที่เกี่ยวข้อง เช่น ระยะเวลาที่องค์กรยอมรับได้หากบริการต้องหยุดชะงัก ระยะเวลาที่เหมาะสมในการกู้คืนระบบ เป็นต้น ซึ่งผลของการวิเคราะห์ BIA จะช่วยให้เราสามารถกำหนดกลยุทธ์ สำรองทรัพยากร และเตรียมความพร้อมสำหรับการสร้างความต่อเนื่องในการดำเนินธุรกิจที่สามารถตอบโจทย์ทุกภาคส่วนที่เกี่ยวข้อง (Stakeholder) ได้

ขั้นตอนง่ายๆ ในการวิเคราะห์ผลกระทบทางธุรกิจ

รู้จักตนเอง : รู้ว่าองค์กรทำธุรกิจอย่างไร มีสินค้าและบริการอะไรบ้าง มีกระบวนการและทรัพยากรใดที่เกี่ยวข้องจำเป็นในการดำเนินธุรกิจ

รู้จักผู้อื่น : รู้จักความต้องการของลูกค้า ข้อกำหนดของกฎหมายต่างๆ รวมถึงความคาดหวังของผู้ที่เกี่ยวข้องทั้งหมด เช่น ผู้ถือหุ้น ซัพพลายเออร์ ชุมชนทางสังคมต่างๆ เป็นต้น

จัดลำดับความสำคัญ : ประเมินลำดับความสำคัญหรือความจำเป็นของสิ่งต่างๆ ข้างต้น เช่น สิ่งใดมีความเร่งด่วนมากที่สุด V.S. สิ่งใดสามารถรอได้, สิ่งใดที่ไม่สามารถละเลยได้เลย V.S. สิ่งใดที่พอจะเพิกเฉยได้ เป็นต้น

ประเมินค่าเป็นเวลา : คำนวณระยะเวลาที่องค์กรสามารถยอมรับได้หากต้องเกิดการหยุดชะงักของกระบวนการหรือสิ่งหนึ่งสิ่งใด บางอย่างอาจจะไม่สามารถปล่อยให้หยุดได้เลย ในขณะที่บางอย่างสามารถอนุโลมได้ โดยประเมินว่าหากสิ่งนั้นเกิดการหยุดชะงักจะสร้างความเสียหายให้กับองค์กรเป็นมูลค่าเท่าใด ต้องใช้เวลาและทรัพยากรเท่าใดในการกู้คืน เช่น ในกรณีที่พนักงานขายไม่สามารถเข้าถึงระบบข้อมูลคลังสินค้าได้ เป็นระยะเวลาเท่าใดที่ปัญหานั้นจะไม่ส่งผลต่อการทำงาน หากเกินไปกว่านั้นจะก่อความเสียหายอย่างไรบ้าง เป็นค่าเสียหายมูลค่าเท่าใด ต้องใช้มาตรการ ระยะเวลา หรือทรัพยากรใดบ้างในการกู้คืนระบบนั้น อาทิ อุปกรณ์สำรองข้อมูล เป็นต้น

ตัวอย่าง - การวิเคราะห์ผลกระทบทางธุรกิจของ “ปั๊มน้ำมัน”

>> ธุรกิจของเรามีบริการน้ำมัน แก๊ส สินค้าประดับยนต์ อาหารและเครื่องดื่ม

>> บุคคลอื่นที่เราต้องสำรวจความต้องการ ได้แก่ ลูกค้า ผู้ที่ขายน้ำมันให้เรา สัญญาให้บริการต่างๆ

>> ระยะเวลาที่เรายอมให้กระบวนการหรือระบบงานต่างๆ หยุดชะงักได้นั้นเป็นเวลาเท่าใด ข้อมูลใดบ้างที่สำคัญและไม่สามารถขาดได้ เรามีศักยภาพในการกู้คืนเท่าใด เช่น เรายอมให้หัวจ่ายน้ำมันใช้งานไม่ได้ไม่เกิน 1 วัน, ห้องน้ำปิดให้บริการได้ไม่เกิน 1 สัปดาห์ เป็นต้น

>> สรุปผลข้อมูลต่างๆ ข้างต้นในตาราง เพื่อใช้ประโยชน์เบื้องต้นในการวิเคราะห์ผลกระทบทางธุรกิจ

ผลกระทบทางธุรกิจที่ได้รับการวิเคราะห์อย่างรอบคอบจะช่วยให้เราสามารถวางแผนเตรียมความพร้อมได้อย่างมีประสิทธิภาพ โฟกัสในสิ่งที่สำคัญที่สุดเพื่อให้สามารถส่งมอบสินค้าและบริการได้ตามเป้าหมายที่กำหนด ส่งผลให้ธุรกิจมีความต่อเนื่อง ลดการสูญเสีย และอยู่รอดได้อย่างยั่งยืน

Content Cr: DestinationOne Counselor

บทวิเคราะห์ความมั่นคงปลอดภัยของสนามบิน

บทวิเคราะห์ความมั่นคงปลอดภัยของสนามบิน

หนึ่งในบรรดาข่าวฮือฮาบนสื่อต่างๆ เมื่อไม่นานมานี้ ย่อมหนีไม่พ้นเรื่องของ “การลักลอบนำอุปกรณ์เทียบเคียงอาวุธปืนและการแอบแฝงตัวของบุคคลแปลกปลอมขึ้นเครื่องบินโดยสาร” คำถามที่ผู้อ่านทุกคนย่อมนึกสงสัยก็คือ แล้วมันเกิดขึ้นได้ยังไง??

เมื่อวิเคราะห์ถึงความเป็นไปได้ของสาเหตุปัญหา ในมุมมองของผมนั้นขอแบ่งออกเป็น 4 แง่มุม.. เริ่มต้นกันที่เรื่องแรกก็คือ (1) Process ซึ่งผมคิดว่าโดยทั่วไปแล้วมาตรการรักษาความปลอดภัยและขั้นตอนการปฏิบัติงานต่างๆ ย่อมต้องมีการเขียนขึ้นอย่างรอบคอบชัดเจน สอดคล้องตามมาตรฐานสากลการบินพลเรือนที่มีการบังคับใช้อยู่ ผมจึงค่อนข้างมั่นใจว่าปัญหาไม่ได้เกิดขึ้นจากความบกพร่องของกระบวนการ แต่จากนี้ไปการทบทวนและปรับปรุงกระบวนการให้มีประสิทธิภาพมากขึ้นถือเป็นเรื่องจำเป็น

มุมมองที่สองต้องดูกันที่ (2) People ซึ่งก็คือเจ้าหน้าที่ที่ปฏิบัติงานต่างๆ ตามความรับผิดชอบของตนตามที่กระบวนการได้กำหนดไว้ อาทิ การควบคุมการเข้าออกพื้นที่ การตรวจสอบสัมภาระ ผมคิดว่ามีความเป็นได้สูงที่ปัญหาอาจจะเกิดจากความผิดพลาดในการปฏิบัติหน้าที่ของบุคลากร ลองคิดถึงสัมภาระจำนวนมากที่พวกเขาต้องตรวจสอบจนไม่สามารถรักษาความเคร่งครัดได้ในเวลาเร่งด่วน ความเหนื่อยล้าเจ็บป่วยของร่างกาย ความประมาทชะล่าใจ หรืออาจจะถูกล่อหลอกด้วยเทคนิคใดๆ จนปล่อยให้บุคคลแปลกปลอมหรือสิ่งเทียมอาวุธผ่านขึ้นเครื่องบินไปได้ ที่สำคัญที่สุดก็คือหลายครั้งที่ผมพบว่าเจ้าหน้าที่ให้บริการตามสนามบินยังขาดความตระหนักรู้ถึงความมั่นคงปลอดภัย (Security Awareness)

ถัดมาในมุมมองด้าน (3) Technology ซึ่งได้แก่เครื่องมือทันสมัยต่างๆ ที่ติดตั้งอยู่ในสนามบินเพื่อใช้ในการรักษาความมั่นคงปลอดภัย ควบคุมการเข้าออก ตรวจสอบสัมภาระ ฯลฯ อุปกรณ์เหล่านี้อาจจะไม่ใช่สาเหตุหลักของปัญหา แต่ในอีกทางหนึ่งมันอาจจะมีจุดอ่อนหรือช่องโหว่ที่ผู้ก่อการร้ายหัวใสสามารถอาศัยใช้ประโยชน์ได้ เช่น การลักลอบผ่านเข้าพื้นที่ควบคุมผ่านทางมุมอับซึ่งรัศมีของกล้องวงจรปิดไม่สามารถจับภาพได้ เป็นต้น

สุดท้ายผมอยากเสนอให้ลองมองในมุมของ (4) ISO 27001:2013 ตามข้อกำหนดและมาตรการควบคุมภายใต้หัวข้อ A.11ความมั่นคงปลอดภัยทางกายภาพ (Physical and Environmental Security) อาทิ A.11.1.1 Physical Security Perimeter และ A.11.12 Physical Entry Control เป็นต้น จะเห็นได้ว่าการละเลยไม่ปฏิบัติตามข้อกำหนดเหล่านั้น ทำให้เกิดจุดอ่อนหรือช่องโหว่ที่เอื้อให้ผู้ประสงค์ร้ายสามารถลักลอบนำตนเองและสิ่งเทียมอาวุธขึ้นเครื่องบินได้อย่างง่ายดาย

จากผลการวิเคราะห์ข้างต้น ผมจึงอยากเสนอแนะแนวทางปรับปรุงเพื่อป้องกันและแก้ไขปัญหา ดังนี้

     >> ควรมีการพิจารณาหาจุดอ่อนและช่องโหว่อย่างรอบคอบ เพื่อนำมาปรับปรุงแก้ไขให้ถูกต้องรัดกุมขึ้น โดยมองหาจุดสมดุลย์ระหว่างการรักษาความมั่นคงปลอดภัยและการให้บริการลูกค้า ถึงแม้ว่าการมุ่งหวังให้ลูกค้าได้รับความสะดวกสบายสูงสุดจะเป็นเรื่องสำคัญของสายการบิน แต่ก็ไม่ควรผ่อนปรนจนต้องลดประสิทธิภาพของมาตรการรักษาความมั่นคงปลอดภัยลงโดยเด็ดขาด

     >> ในส่วนของกระบวนการนั้น ควรมีการตรวจประเมินภายใน (Internal Audit) หรือมีการทำ Control Self Assessment บ่อยขึ้นอย่างสม่ำเสมอ

     >> การปรับปรุงคุณภาพของบุคลากรก็เป็นเรื่องสำคัญ เช่น การเพิ่มจำนวนเจ้าหน้าที่ให้เหมาะสมกับภาระงาน, การอบรมให้ความรู้เกี่ยวกับเรื่องความมั่นคงปลอดภัย, การตรวจสุขภาพและสมรรถภาพของพนักงาน เป็นต้น

     >> สำหรับเทคโนโลยีนั้น ควรจะมีการทบทวนมาตรการด้านความมั่นคงปลอดภัยทางกายภาพ โครงสร้างพื้นฐานของสนามบิน เพื่อปรับปรุงการใช้งานเครื่องมือและเทคโนโลยีต่างๆ ให้ได้ประสิทธิภาพสูงสุด และแก้ไขจุดอ่อนที่มีอยู่เดิม

ในการปฏิบัติงานต่างๆ หากต้องเกี่ยวข้องกับสวัสดิภาพของประชาชนมากเท่าใด องค์กรและหน่วยงานที่รับผิดชอบก็ยิ่งต้องมุ่งเน้นการรักษาความมั่นคงปลอดภัยมากขึ้นเท่านั้น จุดอ่อนหรือช่องโหว่แม้เพียงเล็กน้อยก็ไม่สามารถปล่อยปละละเลยได้ เพราะความผิดพลาดเพียงนิดอาจนำมาซึ่งความเสียหายใหญ่หลวงจากน้ำมือผู้มุ่งร้ายที่คอยจังหวะโจมตีอยู่แล้วก็เป็นได้

Content Cr: DestinationOne Counselor

Photo Cr: ABC News / MorgueFile.Com

การบริหารจัดการความเสี่ยงด้านความมั่นคงปลอดภัยของข้อมูลตามมาตรฐาน ISO 27001:2013

การบริหารจัดการความเสี่ยงด้านความมั่นคงปลอดภัยของข้อมูลตามมาตรฐาน ISO 27001:2013

ความเสี่ยง คือ โอกาสที่ภัยคุกคามหรือเหตุการณ์บางอย่างอาจจะเกิดขึ้นและส่งผลกระทบเชิงลบต่อเป้าหมายในการดำเนินธุรกิจขององค์กร

ความเสี่ยงมีอยู่ทั่วไปทุกหนแห่ง บางครั้งเราสามารถสังเกตเห็นมันได้อย่างชัดเจน แต่บ่อยครั้งที่ความเสี่ยงนั้นแอบแฝงอยู่อย่างเงียบเชียบจนเราเองก็ไม่สามารถคาดเดาได้ ดังนั้น องค์กรที่สามารถบริหารจัดการความเสี่ยงให้อยู่ในระดับที่องค์กรสามารถยอมรับได้ (Acceptable Level) จึงมีแนวโน้มที่จะประสบความสำเร็จในการดำเนินธุรกิจ และบรรลุวัตถุประสงค์ที่กำหนดไว้ได้มากกว่า

บทความในครั้งนี้จะกล่าวถึงกระบวนการบริหารจัดการความเสี่ยง โดยมุ่งเน้นไปยังความเสี่ยงที่มีต่อความมั่นคงปลอดภัยของข้อมูลขององค์กรเป็นหลัก ซึ่งจะพิจารณาผลกระทบของความเสี่ยงที่มีต่อความลับ (Confidentiality), ความถูกต้องครบถ้วน (Integrity), และ ความพร้อมใช้งาน (Availability) ซึ่งเป็นองค์ประกอบสำคัญของความมั่นคงปลอดภัยของข้อมูล

ขั้นตอนที่ 1 : การกำหนดขอบเขตและบริบท – องค์กรจะต้องกำหนดขอบเขต วัตถุประสงค์ เงื่อนไข และบริบทต่างๆ ที่เกี่ยวข้องในการบริหารจัดการความเสี่ยง

ขั้นตอนที่ 2 : การระบุทรัพย์สิน – ก่อนที่จะทำการประเมินความเสี่ยง องค์กรจะต้องรู้ว่ามีทรัพย์สินใดๆ ที่เกี่ยวข้องอยู่ในขอบเขตที่กำหนดไว้บ้าง เช่น มีข้อมูลอะไรบ้าง ถูกเก็บรักษาไว้ในสื่อรูปแบบใดบ้าง ถูกประมวลผลและส่งผ่านอุปกรณ์หรือเครือข่ายใดบ้าง อยู่ในความดูแลของบุคคลใดบ้าง เป็นต้น

ขั้นตอนที่ 3 : การระบุภัยคุกคาม – การพิจารณาว่ามีภัยคุกคามใดบ้าง ที่สามารถสร้างความเสียหายต่อทรัพย์สินในขอบเขตที่เรากำหนดไว้ 
ขั้นตอนที่ 4 : การระบุจุดอ่อนและมาตรการควบคุมที่มีอยู่ – การพิจารณาว่าองค์กรมีการใช้มาตรการใดอยู่แล้วบ้างในการป้องกันหรือรับมือกับภัยคุกคาม ในขณะเดียวกัน องค์กรยังขาดมาตรการใดหรือมีจุดอ่อนใดหลงเหลืออยู่
ขั้นตอนที่ 5 : การประเมินค่าผลกระทบและโอกาส – องค์กรจะต้องคำนวณหาค่าที่แสดงถึงผลกระทบและโอกาสที่ภัยคุกคามแต่ละอย่างจะเกิดขึ้น โดยอาศัยข้อมูลเชิงสถิติและข้อมูลแวดล้อมต่างๆ ประกอบการพิจารณา
ขั้นตอนที่ 6 : การประเมินระดับความเสี่ยง – องค์กรจะต้องใช้ค่าที่ได้จากการคำนวณข้างต้นมากำหนดเป็นระดับความเสี่ยง รวมถึงมีการหารือตกลงกันว่าองค์กรจะกำหนดเกณฑ์ในการยอมรับความเสี่ยงไว้ที่ระดับใด 
ขั้นตอนที่ 7 : การแก้ไขความเสี่ยง – หากระดับความเสี่ยงมีค่าสูงกว่าเกณฑ์ที่ได้กำหนดไว้ องค์กรจะต้องพิจารณาหามาตรการในการควบคุมหรือปรับปรุงความเสี่ยงมาใช้งาน เพื่อลดค่าของความเสี่ยงนั้นให้ได้ตามเกณฑ์
ขั้นตอนที่ 8 : การสื่อสารและทบทวนความเสี่ยง – องค์กรจะต้องสื่อสารให้ผู้ที่เกี่ยวข้องรับทราบถึงความเสี่ยง และหมั่นทบทวนทรัพย์สิน สภาพแวดล้อม ความเปลี่ยนแปลง และองค์ประกอบอื่นๆ อยู่เสมอ

Content Cr: DestinationOne Counselor