ประกาศคณะกรรมการการมาตรฐานแห่งชาติประกาศคณะกรรมการการมาตรฐานแห่งชาติฉบับที่ ๓ (พ.ศ. ๒๕๕๙)เรื่อง หลักเกณฑ์ วิธีการและเงื่อนไขการกำหนดสาขาและขอบข่าย และการสุ่มตัวอย่างเพื่อการรับรองระบบงานหน่วยรับรองระบบการจัดการความปลอดภัยด้านสารสนเทศ[๑] อาศัยอำนาจตามความในมาตรา๒๐ วรรคสาม และมาตรา ๒๘ วรรคสอง แห่งพระราชบัญญัติการมาตรฐานแห่งชาติ พ.ศ. ๒๕๕๑และมติคณะอนุกรรมการพิจารณาหลักเกณฑ์ วิธีการ และเงื่อนไข ในการประชุมครั้งที่ ๑๓ -๑/๒๕๕๙ เมื่อวันที่ ๒๐ เมษายน ๒๕๕๙ คณะกรรมการการมาตรฐานแห่งชาติ ออกประกาศกำหนดหลักเกณฑ์วิธีการ และเงื่อนไขการกำหนดสาขาและขอบข่ายและการสุ่มตัวอย่างเพื่อการรับรองระบบงานหน่วยรับรองระบบการจัดการความปลอดภัยด้านสารสนเทศดังมีรายละเอียดต่อท้ายประกาศนี้ทั้งนี้ตั้งแต่บัดนี้เป็นต้นไปประกาศ ณ วันที่ ๗กรกฎาคม พ.ศ. ๒๕๕๙สมคิด จาตุศรีพิทักษ์รองนายกรัฐมนตรีประธานกรรมการการมาตรฐานแห่งชาติหลักเกณฑ์ วิธีการและเงื่อนไขการกำหนดสาขาและขอบข่ายและการสุ่มตัวอย่างเพื่อการรับรองระบบงานหน่วยรับรองระบบการจัดการความปลอดภัยด้านสารสนเทศ๑. ขอบข่ายเอกสารนี้กำหนดหลักเกณฑ์ วิธีการ และเงื่อนไขในการกำหนดสาขาและขอบข่ายและจำนวนตัวอย่างที่จะตรวจประเมินความสามารถผู้ประเมินของหน่วยรับรองขณะตรวจประเมินผู้ประกอบกิจการที่ขอรับรองระบบการจัดการความปลอดภัยด้านสารสนเทศ๒. เอกสารอ้างอิง๒.๑ หลักเกณฑ์วิธีการ และเงื่อนไขการรับรองระบบงานหน่วยรับรอง๒.๒ หลักเกณฑ์วิธีการ และเงื่อนไขการตรวจประเมินหน่วยรับรอง๒.๓ประกาศกำหนดสาขาการตรวจสอบและรับรองสำหรับหน่วยรับรองและหน่วยตรวจ๒.๔ มอก. 2000การจัดประเภทอุตสาหกรรมตามกิจกรรมทางเศรษฐกิจทุกประเภทตามมาตรฐานสากล๒.๕ ISO/IEC 27006 Information technology Security techniques Requirements for bodies providing audit and certification of information security management systems๓. นิยามความหมายของคำที่ใช้ในเอกสารนี้ให้เป็นไปตามนิยามที่กำหนดไว้ในหลักเกณฑ์วิธีการ และเงื่อนไขการรับรองระบบงานหน่วยรับรอง และนิยามดังต่อไปนี้๓.๑ สาขาและขอบข่ายทั่วไป หมายถึง กิจกรรมที่มีกระบวนการในการดำเนินงานไม่ซับซ้อนหรือใช้เทคโนโลยีพื้นฐาน และไม่ต้องใช้ความรู้ความชำนาญเฉพาะด้าน และ/หรือกิจกรรมที่มีผลกระทบ และ/หรือ ความเสี่ยงต่อเศรษฐกิจ สังคมและความมั่นคงปลอดภัยด้านสารสนเทศไม่มาก๓.๒ สาขาและขอบข่ายเฉพาะ หมายถึงกิจกรรมที่มีกระบวนการในการดำเนินงานซับซ้อน หรือใช้เทคโนโลยีขั้นสูงและต้องใช้ความรู้ความชำนาญเฉพาะด้านสูง และ/หรือ กิจกรรมที่มีผลกระทบและ/หรือความเสี่ยงต่อเศรษฐกิจ สังคม และความมั่นคงปลอดภัยด้านสารสนเทศมาก๔. การกำหนดสาขาและขอบข่ายการกำหนดสาขาและขอบข่ายในการรับรองระบบงานหน่วยรับรองระบบการจัดการความปลอดภัยด้านสารสนเทศจะอ้างอิงตามการแบ่งประเภทอุตสาหกรรมตามกิจกรรมทางเศรษฐกิจ(หมวด A-Q) ตามมาตรฐาน มอก. 2000 และ Annex A ของ ISO/IEC 27006 โดยจำแนกสาขาและขอบข่ายเป็น ๒ กลุ่ม คือ สาขาและขอบข่ายทั่วไป และสาขาและขอบข่ายเฉพาะ รายละเอียดดังตารางที่๑ และ ๒ ตามลำดับตารางที่ ๑สาขาและขอบข่ายทั่วไปหมวดกิจกรรมทางเศรษฐกิจAเกษตรกรรม การล่าสัตว์ และการป่าไม้BการประมงCการทำเหมืองแร่และเหมืองหินDการผลิต ยกเว้น- การพิมพ์สิ่งพิมพ์ป้องกันการปลอมแปลง (Security Printing)- การผลิตถ่านหิน ผลิตภัณฑ์ปิโตรเลียมที่ผ่านการกลั่น และเชื้อเพลิงนิวเคลียร์- การผลิตอาวุธและกระสุน- การผลิตอากาศยานและยานอวกาศFการก่อสร้างGการขายส่ง การขายปลีก การซ่อมแซมยานยนต์ รถจักรยานยนต์ ของใช้ส่วนบุคคลและของใช้ภายในบ้านHโรงแรมและภัตตาคารIกิจกรรมสนับสนุนและช่วยเหลือเกี่ยวกับการขนส่ง กิจกรรมของตัวแทนการท่องเที่ยวยกเว้น สถานที่เก็บสินค้าประเภทก๊าซและน้ำมัน สารเคมีKการค้าอสังหาริมทรัพย์ การให้เช่า และกิจกรรมทางธุรกิจยกเว้น คอมพิวเตอร์และกิจกรรมที่เกี่ยวข้องOการบริการชุมชน สังคม และการบริการส่วนบุคคลอื่น ๆยกเว้น การกระจายเสียงทางวิทยุ และแพร่ภาพทางโทรทัศน์Pบ้านส่วนบุคคลพร้อมลูกจ้างตารางที่ ๒สาขาและขอบข่ายเฉพาะหมวดกิจกรรมทางเศรษฐกิจDการพิมพ์สิ่งพิมพ์ป้องกันการปลอมแปลง (Security Printing)Dการผลิตถ่านหิน ผลิตภัณฑ์ปิโตรเลียมที่ผ่านการกลั่น และเชื้อเพลิงนิวเคลียร์DการผลิตอาวุธและกระสุนDการผลิตอากาศยานและยานอวกาศEการไฟฟ้า ก๊าซ และน้ำIการขนส่งทางบก การขนส่งทางท่อIการขนส่งทางน้ำIการขนส่งทางอากาศIการไปรษณีย์และการโทรคมนาคมIสถานที่เก็บสินค้าประเภทก๊าซและน้ำมัน สารเคมีJการเป็นตัวกลางทางการเงินKกิจกรรมด้านคอมพิวเตอร์และกิจกรรมที่เกี่ยวข้องLการบริหารราชการและการป้องกันประเทศ การประกันสังคมแบบบังคับMการศึกษาNการบริการเกี่ยวกับสุขภาพและสังคมสงเคราะห์Oการกระจายเสียงทางวิทยุ และแพร่ภาพทางโทรทัศน์หมายเหตุ มอก. 2000แบ่งประเภทอุตสาหกรรมตามกิจกรรมทางเศรษฐกิจของผลิตภัณฑ์และการบริการโดยแบ่งเป็นหมวด A หมวด Q ทั้งนี้ หมวด Q กิจกรรมองค์การระหว่างประเทศและองค์การต่างประเทศอื่นๆ และสมาชิก เป็นสาขาและขอบข่ายที่ไม่ให้การรับรองระบบงาน๕. การสุ่มตัวอย่าง๕.๑ สำนักงานจะพิจารณาตรวจประเมินความสามารถผู้ประเมินของหน่วยรับรองขณะตรวจประเมินผู้ประกอบกิจการ (Witnessing) ชนิดเต็มรูปแบบ (หน่วยรับรองประเมินเพื่อให้การรับรองครั้งแรก หรือประเมินใหม่)เป็นลำดับแรกผู้ประเมินของหน่วยรับรองครอบคลุมทั้งผู้ประเมินที่เป็นบุคลากรประจำ(Full-time staff) และผู้ประเมินที่ไม่ใช่บุคลากรประจำ (Part-timestaff)๕.๒สำนักงานสามารถเลือกสาขาและขอบข่ายและผู้ประเมินที่จะตรวจประเมินความสามารถได้ตามความเหมาะสมรวมถึงสำนักงานสงวนสิทธิ์ในการพิจารณาเลือกตัวอย่างที่มีนัยสำคัญต่อผลกระทบและ/หรือความเสี่ยงต่อความมั่นคงปลอดภัยด้านสารสนเทศเพื่อใช้เป็นตัวแทนสาขาและขอบข่ายที่ขอรับการรับรองระบบงาน๕.๓ การสุ่มตัวอย่างการ Witnessing ในแต่ละกรณีให้เป็นดังนี้๕.๓.๑การรับรองระบบงานครั้งแรก๑)สาขาและขอบข่ายทั่วไปสุ่มตัวอย่างอย่างน้อย๑ ตัวอย่าง โดยพิจารณาจากจำนวนผู้ประกอบกิจการที่ได้รับการรับรองจากหน่วยรับรองจำนวนผู้ประเมินของหน่วยรับรอง ผลการดำเนินงานของหน่วยรับรองและข้อมูลที่เกี่ยวข้องกับผลการดำเนินงานของผู้ประกอบกิจการที่ได้รับการรับรอง๒)สาขาและขอบข่ายเฉพาะสุ่มตัวอย่างอย่างน้อยร้อยละ๒๐ ของจำนวนสาขาและขอบข่ายเฉพาะที่ขอการรับรองระบบงานเศษที่เหลือให้ปัดขึ้นเป็นจำนวนเต็ม๕.๓.๒ การขอขยายสาขาและขอบข่ายการรับรองระบบงานการสุ่มตัวอย่างให้ใช้หลักเกณฑ์ตามข้อ ๕.๓.๑ โดยอนุโลม๕.๓.๓การตรวจติดตามผลสุ่มตัวอย่างอย่างน้อย๑ ตัวอย่าง โดยพิจารณาจากจำนวนผู้ประกอบกิจการที่ได้รับการรับรองจากหน่วยรับรองจำนวนผู้ประเมินของหน่วยรับรอง ผลการดำเนินงานของหน่วยรับรองและข้อมูลที่เกี่ยวข้องกับผลการดำเนินงานของผู้ประกอบกิจการที่ได้รับการรับรอง๕.๓.๔การต่ออายุการรับรองระบบงานสุ่มตัวอย่างตามจำนวนที่ระบุในตารางที่๓ โดยพิจารณาจากจำนวนผู้ประกอบกิจการที่ได้รับการรับรองกิจกรรมจากหน่วยรับรองตารางที่ ๓ จำนวนตัวอย่างกรณีการต่ออายุการรับรองระบบงานจำนวนผู้ประกอบกิจการที่ได้รับการรับรองกิจกรรมจากหน่วยรับรองจำนวนตัวอย่าง๑ ๕๐อย่างน้อย ๑๕๑ ๑๐๐อย่างน้อย ๒มากกว่า ๑๐๐อย่างน้อย ๓๕.๔หากหน่วยรับรองไม่สามารถจัดสรรการประเมินชนิดเต็มรูปแบบตามข้างต้นได้สำนักงานอาจพิจารณา Witnessing การตรวจติดตามผล (Surveillance) โดยจำนวนตัวอย่างจะเป็น๒ เท่าของชนิดเต็มรูปแบบและการตรวจติดตามผลในแต่ละครั้งต้องครอบคลุมกระบวนการหลักของผู้ประกอบกิจการ วริญา/ปริยานุช/จัดทำ๒๖ สิงหาคม๒๕๕๙นุสรา/ตรวจ๒๔ พฤศจิกายน๒๕๕๙[๑] ราชกิจจานุเบกษาเล่ม ๑๓๓/ตอนพิเศษ ๑๘๗ ง/หน้า ๑๖/๒๔ สิงหาคม ๒๕๕๙