Clause 10 – Improvement (การปรับปรุง)

10.1 การปรับปรุงอย่างต่อเนื่อง

องค์กรต้องทำการปรับปรุงความเหมาะสม ความเพียงพอ และประสิทธิผลของระบบบริหารจัดการความมั่นคงปลอดภัยสารสนเทศอย่างต่อเนื่อง

10.2 ความไม่สอดคล้องและการปรับปรุงแก้ไข

เมื่อความไม่สอดคล้องเกิดขึ้น องค์กรต้อง:

• a) ตอบสนองต่อความไม่สอดคล้อง และตามความเหมาะสม

1. ดำเนินการเพื่อควบคุมและแก้ไข;
2. รับมือกับผลกระทบที่ตามมา

• b) ประเมินความจำเป็นสำหรับดำเนินการการขจัดสาเหตุของความไม่สอดคล้อง เพื่อไม่ให้ความไม่สอดคล้องเกิดขึ้นซ้ำ หรือไม่เกิดขึ้นที่อื่น ๆ โดย

1. ทบทวนความไม่สอดคล้อง
2. ระบุสาเหตุของความไม่สอดคล้อง และ
3. ระบุ ถ้าความไม่สอดคล้องที่คล้ายกันมีอยู่ หรือสามารถมีโอกาสเกิดขึ้นได้

• c) ดำเนินการปฏิบัติที่จำเป็น
• d) ทบทวนประสิทธิผลของการปฏิบัติการแก่ไข และ
• e) ทำการเปลี่ยนแปลงระบบบริหารจัดการความมันคงปลอดภัยสารสนเทศ ถ้าจำเป็นการปฏิบัติการแก้ไขต้องเหมาะสมต่อผลกระทบของความไม่สอดคล้องที่พบ

เอกสารสารสนเทศจะต้องจัดทำเพื่อเป็นหลักฐานแสดง

• f) ลักษณะของความไม่สอดคล้อง และการปฏิบัติใดๆ ที่ได้ดำเนินการ และ
• g) ผลลัพธ์ของการปฏิบัติการแก้ไข

>>> ISO/IEC 27001:2022 มาตรฐานระบบบริหารความมั่นคงปลอดภัยสารสนเทศ ความมั่นคงปลอดภัยไซเบอร์ และการปกป้องความเป็นส่วนตัว

 --- 

International Organization for Standardization. (2022). Information security, cybersecurity, and privacy protection – Information security management systems – Requirements (ISO/IEC 27001:2022). https://www.iso.org/standard/82875.html