Wednesday, May 6, 2015

กลยุทธ์ความต่อเนื่องในการดำเนินธุรกิจตามมาตรฐาน ISO 22301:2012



กลยุทธ์ความต่อเนื่องในการดำเนินธุรกิจตามมาตรฐาน ISO 22301:2012

Business Continuity หรือ “ความต่อเนื่องในการดำเนินธุรกิจ” เป็นเรื่องที่ได้รับการพูดถึงอย่างกว้างขวางในปัจจุบัน เพราะขั้นตอนการทำงาน การบริหารจัดการต่างๆ มีความหลากหลายและซับซ้อนมากขึ้น เทคโนโลยีและสภาวะแวดล้อมที่เปลี่ยนแปลงไป ทำให้ลูกค้า คู่ค้า ตลอดจนผู้ที่มีส่วนเกี่ยวข้องทุกภาคส่วนมีความคาดหวังกับธุรกิจขององค์กรเพิ่มสูงขึ้น ซึ่งในขณะเดียวกันก็ผลักดันให้ระดับความเสียง ภัยคุกคาม ความท้าทาย และอุปสรรคต่างๆ เพิ่มสูงขึ้นด้วยเช่นกัน

ผมเชื่อว่าทุกองค์กรตระหนักกันเป็นอย่างดี ว่าการบริหารความต่อเนื่องทางธุรกิจมีความสำคัญเป็นลำดับต้นๆ ที่ต้องเร่งรัดดำเนินการ แต่หลายท่านก็อาจจะยังไม่มั่นใจว่าควรจะเริ่มต้นอย่างไรดี ผมจึงอยากแนะนำตัวช่วยให้กับทุกท่าน นั้นก็คือมาตรฐานสากล ISO 22301:2012 ซึ่งมีเนื้อหาและข้อกำหนดที่ดีเลิศเปรียบเสมือนแผนที่ชี้นำแนวทาง ช่วยให้ท่านไม่จำเป็นต้องเสียเวลาลองผิดลองถูก และสามารถบริหารจัดการความต่อเนื่องของธุรกิจได้อย่างมืออาชีพ

สำหรับการกำหนดกลยุทธ์สร้างความต่อเนื่องในการดำเนินธุรกิจนั้น ท่านสามารถเปิดดูแนวทางได้จากข้อกำหนด 8.3 ของมาตรฐาน ซึ่งกระบวนการวางแผนกำหนดกลยุทธ์นี้จัดเป็นเรื่องที่จำเป็น เพราะจะช่วยให้การบริหารจัดการเป็นเป็นไปในทิศทางที่สอดคล้องกับความต้องการขององค์กร ซึ่งผมได้ทำสรุปมาให้ทุกท่านได้ศึกษากันเบื้องต้นแล้วครับ ดังนี้


9 สิ่งสำคัญในกระบวนการกำหนดกลยุทธ์สร้างความต่อเนื่องของธุรกิจการตามมาตรฐาน ISO 22301:2012
  • องค์กรต้องประเมินและคัดเลือกกลยุทธ์ โดยอาศัยผลจากการวิเคราะห์ผลกระทบทางธุรกิจ (Business Impact Analysis) มาเป็นข้อมูลเบื้องต้นในการพิจารณา
  • องค์กรต้องกำหนดกลยุทธ์ โดยพิจารณาตามความสำคัญของสินค้าและบริการ รวมถึงกระบวนการทำงานหรือกิจกรรมต่างๆ ที่เกี่ยวข้อง
  • กลยุทธ์ที่เลือกใช้ต้องสามารถลดโอกาสที่ธุรกิจจะหยุดชะงัก ต้องลดระยะเวลาการหยุดชะงักให้สั้นลง และต้องจำกัดผลกระทบที่อาจเกิดขึ้น
  • กลยุทธ์ความต่อเนื่องทางธุรกิจต้องมีความสอดคล้องกับความต้องการทางด้านความพร้อมใช้งาน (Availability Requirement) ขององค์กร
  • องค์กรต้องประเมินและจัดเตรียมทรัพยากรที่จำเป็นในการสร้างความต่อเนื่องทางธุรกิจให้พร้อมอยู่เสมอ  อาทิ บุคลากร, ข้อมูล, ระบบเทคโนโลยีสารสนเทศ, ระบบสาธารณูปโภค, อาคารสถานที่ และผู้ให้บริการภายนอก เป็นต้น
  • องค์กรต้องประเมินความสามารถในการบริหารจัดการความต่อเนื่องของผู้ให้บริการภายนอก และผู้ที่เกี่ยวข้องทั้งหมด ให้สอดคล้องตามความต้องการด้านการสร้างความต่อเนื่องทางธุรกิจขององค์กร
  • กลยุทธ์ที่เลือกใช้ต้องทำให้ความเสี่ยงต่างๆ ขององค์กรลดลงมาอยู่ในระดับที่องค์กรยอมรับได้
  • กลยุทธ์ในการสร้างความต่อเนื่องทางธุรกิจต้องได้รับการทดสอบ ทบทวน และปรับปรุงอย่างสม่ำเสมอ
  • กลยุทธ์ในการสร้างความต่อเนื่องทางธุรกิจต้องสามารถนำมาใช้ปฏิบัติงานได้จริง





Content Cr : DestinationOne Counselor
Photo Cr : Expert Images

Thursday, April 23, 2015

วัฒนธรรมความมั่นคงปลอดภัยที่ทุกองค์กรต้องสร้างให้สำเร็จ



วัฒนธรรมความมั่นคงปลอดภัยที่ทุกองค์กรต้องสร้างให้สำเร็จ

วัฒนธรรมองค์กร คือ แนวทางหรือความเชื่อที่สมาชิกขององค์กรร่วมกันยึดถือปฏิบัติ เพื่อความเป็นระเบียบ สร้างความเจริญก้าวหน้า และช่วยให้สามารถฝันฝ่าปัญหาและอุปสรรคต่างๆ ไปได้พร้อมกัน ดังนั้น เมื่อพิจารณาแล้วทุกท่านคงจะเห็นตรงกันว่าวัฒนธรรมองค์กรนี้มีความสำคัญต่อความอยู่รอดขององค์กรมากเพียงใด

ในบทความนี้ ผมอยากจะพูดเจาะจงถึงการสร้างวัฒนธรรมองค์กรในด้านที่เกี่ยวกับความมั่นคงปลอดภัย ซึ่งจำเป็นอย่างยิ่งที่จะต้องให้ความรู้กับบุคลากรในทุกระดับชั้น เพื่อให้มีความเข้าใจถึงประโยชน์และมองเห็นคุณค่า จนเกิดเป็นจิตสำนึกในการปฏิบัติภารกิจการงานทุกชนิดโดยคำนึงถึงความมั่นคงปลอดภัยเป็นหลักอยู่ตลอดเวลา ซึ่งจะส่งผลให้ข้อมูล ระบบ บริการ และทรัพย์สินต่างๆ ขององค์กรคงไว้ซึ่ง ความลับ (Confidentiality), ความถูกต้อง (Integrity) และความพร้อมใช้งาน (Availability) อยู่เสมอ ธุรกิจขององค์กรจึงจะสามารถดำเนินไปได้อย่างราบรื่นและมีภาพลักษณ์ที่น่าเชื่อถือ



โดยผมและทีมงาน DestinationOne ได้ช่วยกันรวบรวมและสรุปมาตรการความมั่นคงปลอดภัยพื้นฐาน ที่ท่านผู้บริหารจะต้องมุ่งมั่นสนับสนุนผลักดัน และบุคลากรทั้งหมดจะต้องร่วมมือปฏิบัติและร่วมใจยึดถือ เพื่อสร้างวัฒนธรรมองค์กรด้านความมั่นคงปลอดภัยให้สำเร็จเกิดขึ้นจนได้ครับ

12 วัฒนธรรมความมั่นคงปลอดภัยที่ทุกองค์กรต้องมี

  1. ทำอะไรก็ตาม ต้องคำนึงถึง “ความเสี่ยง” ด้านความมั่นคงปลอดภัย
  2. ต้อง “ป้องกัน” ก่อนแก้ไขเสมอ
  3. จำไว้ว่าข้อมูล กระบวนการทำงาน และทรัพย์สินทุกอย่างมีมูลค่าทางด้านความมั่นคงปลอดภัย
  4. ต้องมี “การควบคุมการเข้าถึง” กับทรัพย์สิน ระบบ และสถานที่ทุกประเภท
  5. หนึ่งคน “หนึ่งผู้ใช้งาน”
  6.  “รหัสผ่าน” ต้องยาก หลากหลาย แต่จดจำง่าย (สำหรับเจ้าของ)
  7. การเปลี่ยนแปลงต่างๆ ต้องผ่าน “กระบวนการควบคุมการเปลี่ยนแปลง” เสมอ
  8. หากสังเกตพบสิ่งผิดปกติต้องรายงานผ่าน ”กระบวนการบริหารจัดการเหตุอุบัติการณ์” ทางด้านความมั่นคงปลอดภัย
  9. การจัดซื้อ จัดจ้าง จัดพัฒนา และจัดบำรุงรักษาอะไรก็ตาม ต้องคำนึงถึง “ความมั่นคงปลอดภัย” เสมอ
  10. มัลแวร์  หรือ ไวรัส  พร้อมโจมตีอยู่เสมอและตลอดเวลา โปรดระมัดระวัง
  11. ทุกอย่างของความมั่นคงปลอดภัย เริ่มต้นที่ “คน”
  12. กฎหมาย และนโยบายองค์กรต้อง “ปฎิบัติ” อย่างสม่ำเสมอ

การสร้างวัฒนธรรมองค์กรให้ได้ผลดี ต้องเริ่มจากผู้บริหารที่มีความเข้าใจ ให้การสนับสนุน และประพฤติตนเป็นแบบอย่าง โดยกำหนดนโยบายและแนวทางการปฏิบัติงานที่ชัดเจนแล้วสื่อสารออกไปอย่างทั่วถึงทั้งองค์กร เมื่อบุคลากรมองเห็นและยอมรับก็จะเกิดเป็นการปฏิบัติโดยกิจวัตร นั่นคือรู้สึกว่าการทำงานต่างๆ อย่างมั่นคงปลอดภัยนั้นเป็นเรื่องปกติ ไม่ใช่ภาระส่วนเกินแต่อย่างใด รวมถึงมีการเรียนรู้และพัฒนาอย่างต่อเนื่อง เมื่อนั้นองค์กรก็จะมีความมั่นคงปลอดภัยอย่างยั่งยืน และเจริญเติบโตต่อไปได้อย่างมั่นใจ



Content Cr : DestinationOne Counselor
Photo Cr : MS Cliparts 

Wednesday, April 22, 2015

12 แนวทางการบริหารจัดการเอกสารและข้อมูลตามมาตรฐาน ISO 27001:2013



12 แนวทางการบริหารจัดการเอกสารและข้อมูลตามมาตรฐาน ISO 27001:2013

การดำเนินธุรกิจในปัจจุบันนี้ ต้องการความมั่นคงปลอดภัยในระดับที่สูงมากขึ้น เนื่องจากบริการทางธุรกิจและข้อมูลที่สำคัญต่างๆ ส่วนใหญ่ขององค์กรมักจะถูกใช้งานและเก็บรักษาไว้บนระบบเทคโนโลยีสารสนเทศ โดยมีรูปแบบของการใช้งาน เครื่องมือ และสื่อบันทึกข้อมูลที่หลากหลายแตกต่างกันไป

ดังนั้น ทุกองค์กรจึงจำเป็นต้องใส่ใจและให้ความสำคัญในการปกป้องข้อมูล เอกสาร และระบบ
เทคโนโลยีสารสนเทศเป็นภารกิจลำดับต้นๆ  โดยควรจะวางแผนกระบวนการต่างๆ ให้สอดคล้องตามมาตรฐานสากลด้านการบริหารความมั่นคงปลอดภัยของสารสนเทศ ISO 27001:2013 โดยเฉพาะอย่างยิ่งตามข้อกำหนดที่ 7.5 การบริหารจัดการเอกสารข้อมูล ซึ่งในบทความนี้ทีมงาน DestinationOne ได้สรุปแนวทางดังกล่าวมาให้ท่านผู้อ่านได้ทำความเข้าใจเบื้องต้นอย่างง่ายๆ ดังนี้



12 แนวทางการบริหารจัดการเอกสารและข้อมูลตามมาตรฐาน ISO 27001:2013 

  1. องค์กรต้องจัดทำเอกสารข้อมูลต่างๆ ตามที่ข้อกำหนดของมาตรฐาน ISO 27001 ได้กำหนดไว้
  2. องค์กรต้องจัดทำเอกสารข้อมูลต่างๆ ตามที่กฎหมายได้กำหนดไว้
  3. องค์กรต้องมีการระบุและกำหนดรายละเอียดต่างๆ ของเอกสารข้อมูลอย่างเป็นระบบระเบียบ
  4. องค์กรต้องมีการกำหนดรูปแบบของเอกสารข้อมูลให้เป็นมาตรฐาน รวมถึงสื่อบันทึกข้อมูลที่จะนำมาใช้
  5. องค์กรต้องมีการทบทวนและกำหนดขั้นตอนการพิจารณาอนุมัติการใช้งานเอกสารเสมอ และต้องสื่อสารให้ผู้ที่เกี่ยวข้องทั้งหมดรับทราบ
  6. องค์กรต้องมีความพร้อมใช้งานเอกสารข้อมูล (Availability) เสมอ เมื่อมีความต้องการใช้งานหรือต้องการเข้าถึง
  7. องค์กรต้องมีการควบคุมความมั่นคงปลอดภัยของเอกสารข้อมูลเสมอ
  8. องค์กรต้องมีการควบคุมการแจกจ่าย การเข้าถึง การใช้งาน และการยกเลิกเอกสารข้อมูลเสมอ
  9. องค์กรต้องมีการควบคุมการจัดเก็บเอกสารข้อมูลให้มีความมั่นคงปลอดภัยและเป็นไปตามที่กฎหมายกำหนด
  10. องค์กรต้องมีการควบคุมการเปลี่ยนแปลงของเอกสารข้อมูลต่างๆ อย่างเป็นระบบและมีมาตรฐาน
  11. องค์กรต้องมีการกำหนดระยะเวลาการจัดเก็บ และกำหนดรูปแบบการทำลายข้อมูลอย่างเหมาะสมและมั่นคงปลอดภัย
  12. องค์กรต้องมีการระบุและมีการบริหารจัดการเอกสารที่นำเข้ามาจากภายนอกอย่างมั่นคงปลอดภัย

ลองนำแนวทางเหล่านี้ไปลองแระยุกต์ใช้ในองค์กรของท่านดูนะครับ แล้วท่านจะพบว่านอกจากเอกสารข้อมูลต่างๆ จะมีความมั่นคงปลอดภัยมากขึ้นแล้ว ยังช่วยให้การทำงานต่างๆ ของท่านง่ายขึ้นและเป็นระเบียบมากขึ้นอีกด้วยครับ


Content Cr: DestinationOne Counselor
Photo Cr: MS Clipart