ในยุคที่มหาวิทยาลัยปรับตัวสู่การเป็น Digital University หน่วยตรวจสอบภายในมีแนวทางประเมินความเสี่ยงด้านความปลอดภัยของข้อมูลและระบบสารสนเทศอย่างไร?
21 ก.ค. 2569
เมื่อมหาวิทยาลัยปรับตัวสู่การเป็น Digital University อย่างเต็มรูปแบบ ความซับซ้อนของระบบสารสนเทศและปริมาณข้อมูลที่เพิ่มขึ้น ทำให้หน่วยตรวจสอบภายในต้องปรับกระบวนทัศน์การประเมินความเสี่ยง โดยอาศัยหลักการที่ยืดหยุ่นและบูรณาการการตรวจสอบเข้ากับโครงสร้างการกำกับดูแลขององค์กร
แนวทางสำคัญที่หน่วยตรวจสอบภายในสามารถนำมาประยุกต์ใช้เพื่อประเมินความเสี่ยงด้านความปลอดภัย มีดังนี้
- การประเมินโครงสร้างตามโมเดลสามสายงาน (Three Lines Model)
การบริหารความเสี่ยงด้านสารสนเทศที่มีประสิทธิภาพต้องอาศัยการประสานงานที่ชัดเจนของบทบาทต่าง ๆ
- สายงานที่หนึ่ง (ฝ่ายจัดการหรือหน่วยงานเจ้าของระบบ): ตรวจสอบว่าบุคลากรหน้างานเป็นเจ้าของและบริหารจัดการความเสี่ยงโดยตรง รวมถึงมีการออกแบบและดำเนินกระบวนการควบคุมระบบงานของตนเองอย่างรัดกุมหรือไม่
- สายงานที่สอง (หน่วยงานเฉพาะทางด้านความปลอดภัย IT): ประเมินว่าฝ่าย IT ส่วนกลางหรือผู้เชี่ยวชาญ ได้ให้ความเชี่ยวชาญ สนับสนุน ติดตามผล และท้าทาย เพื่อยกระดับการบริหารความเสี่ยงของสายงานที่หนึ่งอย่างเพียงพอหรือไม่
- สายงานที่สาม (ตรวจสอบภายใน): มีบทบาทให้ความเชื่อมั่นที่เป็นอิสระและเป็นกลางเกี่ยวกับประสิทธิผลของระบบความปลอดภัยโดยรวม นอกจากนี้ยังสามารถให้คำปรึกษาเชิงลึกโดยไม่ก้าวล่วงหน้าที่การตัดสินใจของฝ่ายจัดการ
- การประเมินธรรมาภิบาลข้อมูลและการจัดการสิทธิ์ (Data Governance & Access Control)
การปกป้องข้อมูลส่วนบุคคลของนักศึกษาและบุคลากรเป็นความเสี่ยงระดับสูง
- เมทริกซ์การควบคุมการเข้าถึง (Access Control Matrix): ประเมินว่าระบบหลักมีการกำหนดสิทธิการเข้าถึงข้อมูลอย่างรัดกุมตามหลักความจำเป็น (Need-to-Know Basis) และมีการทบทวนสิทธิ์ของบุคลากรอย่างสม่ำเสมอ โดยเฉพาะเมื่อมีการโยกย้ายตำแหน่ง
- การจัดชั้นความลับของข้อมูล (Data Classification): ตรวจสอบว่ามหาวิทยาลัยมีมาตรฐานในการแยกประเภทข้อมูล เพื่อกำหนดมาตรการเข้ารหัส (Encryption) หรือการป้องกันที่เข้มงวดแตกต่างกัน
- การสอบทานความปลอดภัยของเว็บไซต์และแพลตฟอร์ม
เว็บไซต์ของคณะหรือส่วนงานย่อยมักเป็นจุดเสี่ยงที่อาจถูกโจมตีทางไซเบอร์
- การจัดการระบบบริหารจัดการเนื้อหา (CMS): ในกรณีที่ส่วนงานใช้แพลตฟอร์มอย่าง WordPress ต้องประเมินว่ามีนโยบายบังคับใช้อัปเดตเวอร์ชันของระบบหลัก ธีม และปลั๊กอิน (Plugins) ให้เป็นปัจจุบันอยู่เสมอ เพื่อปิดช่องโหว่ด้านความปลอดภัย
- ความต่อเนื่องของระบบ (Business Continuity): ตรวจสอบแผนการสำรองข้อมูล (Backup) และการทดสอบกู้คืนระบบ ว่าสามารถทำให้บริการดิจิทัลของมหาวิทยาลัยกลับมาทำงานได้ตามระยะเวลาที่กำหนด (RTO) หรือไม่
- การประเมินแผนส่งเสริมความตระหนักรู้ด้านไซเบอร์ (Cybersecurity Awareness)
เทคโนโลยีที่ดีต้องควบคู่กับพฤติกรรมที่ปลอดภัยของผู้ใช้งาน
- การสร้างวัฒนธรรมองค์กรอย่างสร้างสรรค์: ประเมินว่าองค์กรมีแนวทางสนับสนุนให้บุคลากรตระหนักรู้ถึงภัยคุกคามทางไซเบอร์ (เช่น อีเมลหลอกลวงหรือ Phishing) ด้วยภาษาที่สุภาพและให้กำลังใจ เพื่อให้เกิดความร่วมมืออย่างแท้จริง มากกว่าการบังคับใช้เชิงลงโทษ
ข้อสังเกตเพิ่มเติม: เพื่อลดความซ้ำซ้อนของการทำงาน หน่วยตรวจสอบภายในควรทำหน้าที่เป็น “ผู้ประสานการให้ความเชื่อมั่น” (Integrator of Assurance) โดยอาจใช้แผนผังการให้ความเชื่อมั่น (Assurance Map) เพื่อระบุว่าความเสี่ยงด้าน IT จุดใดบ้างที่ได้รับการดูแลจากผู้ตรวจสอบภายนอกหรือสายงานที่สองไปแล้ว