รายการเตรียมความพร้อมก่อนนำ N2SF มาใช้
สำรวจ 15 ประเด็นใน 5 ด้าน พร้อมเอกสารที่ควรเตรียมสำหรับแต่ละด้าน
เปิดดูด้านที่เกี่ยวข้องกับหน่วยงาน เริ่มจัดระเบียบเอกสารที่มีอยู่เพื่อใช้หารือและกำหนดขอบเขตการเปลี่ยนผ่าน
ขอบเขตและการมองเห็นทรัพย์สิน
- แยกส่วนที่ต้องคงการแยกเครือข่ายออกจากส่วนที่พิจารณาเปลี่ยนผ่านแล้วหรือไม่
- มีรายการทรัพย์สิน บริการ และพอร์ตที่เปิดเผยภายนอก และตรวจสอบเป็นระยะหรือไม่
- แผนผังเครือข่ายและรายการระบบสารสนเทศเป็นปัจจุบันหรือไม่
เอกสารที่ควรเตรียม
- แผนผังเครือข่ายและรายการระบบสารสนเทศล่าสุด
- รายการทรัพย์สิน บริการ และพอร์ตที่เปิดเผยภายนอก
- ส่วนที่ต้องคงการแยกเครือข่ายและส่วนที่พิจารณาเปลี่ยนผ่าน
ความพร้อมในการจัดชั้นข้อมูล
- มีโครงสร้างภารกิจที่แบ่งถึงระดับงานย่อยหรือไม่
- จัดทำรายการกฎหมายและเหตุผลในการเปิดเผยหรือไม่เปิดเผยข้อมูลแยกตามงานแล้วหรือไม่
- ตรวจสอบทะเบียนข้อมูลลับ ข้อมูลจำกัดการเข้าถึง และรายการข้อมูลสาธารณะได้หรือไม่
เอกสารที่ควรเตรียม
- โครงสร้างภารกิจและรายการข้อมูลที่ใช้งาน
- เหตุผลประกอบการเปิดเผยหรือจำกัดการเข้าถึงข้อมูล
- กฎหมายและระเบียบภายในที่เกี่ยวข้องกับแต่ละงาน
การกำกับดูแลและนโยบาย
- กำหนดขั้นตอนอนุมัติชั้นข้อมูลและรายงานต่อผู้บริหารหน่วยงานแล้วหรือไม่
- แยกบทบาทผู้จัดชั้นข้อมูลกับผู้ตรวจสอบแล้วหรือไม่
- เชื่อมโยงข้อกำหนด N2SF, ISMS-P และการประเมินอื่นไว้ในรายการควบคุมร่วมกันหรือไม่
เอกสารที่ควรเตรียม
- ผังองค์กรและบทบาทด้านความปลอดภัย
- ขั้นตอนจัดชั้นข้อมูล ตรวจสอบ และอนุมัติ
- รายการมาตรการควบคุมและเกณฑ์การประเมินที่ใช้อยู่
ความพร้อมในการใช้ AI
- ทราบการใช้ Generative AI ของบุคลากร รวมถึงบัญชีส่วนตัวหรือไม่
- แจ้งเกณฑ์ข้อมูลที่ป้อนเข้าสู่บริการ AI ภายนอกได้ให้บุคลากรทราบแล้วหรือไม่
- ระบุงานที่ใช้ AI และส่งผลต่อการตัดสินสิทธิหรือคุณสมบัติของประชาชนแล้วหรือไม่
เอกสารที่ควรเตรียม
- การใช้ Generative AI และงานที่กำลังพิจารณานำมาใช้
- เกณฑ์ป้อนข้อมูลสู่ AI ภายนอกและขั้นตอนอนุมัติภายใน
- เกณฑ์ทบทวนงานที่ส่งผลต่อสิทธิหรือคุณสมบัติ
Zero Trust และการดำเนินงาน
- ทยอยใช้มาตรการยืนยันผู้ใช้และอุปกรณ์ เช่น การยืนยันตัวตนหลายปัจจัยหรือไม่
- วัดเวลาตั้งแต่ตรวจพบเหตุการณ์ความปลอดภัยจนถึงการจัดการได้หรือไม่
- ข้อยกเว้นชั่วคราวช่วงเปลี่ยนผ่านมีกำหนดหมดอายุและขั้นตอนเพิกถอนหรือไม่
เอกสารที่ควรเตรียม
- สถานะการควบคุมการเข้าถึงของผู้ใช้และอุปกรณ์
- ขั้นตอนตอบสนองเหตุการณ์และบันทึกการดำเนินงาน
- บันทึกอนุมัติ วันหมดอายุ และการเพิกถอนข้อยกเว้นชั่วคราว
หารือตามสถานะการเตรียมงานของหน่วยงาน
แจ้งด้านที่ต้องการความชัดเจนทางอีเมล เพื่อร่วมกันพิจารณาขอบเขตการเปลี่ยนผ่านและเอกสารที่เหมาะกับสภาพแวดล้อมของหน่วยงาน