สำหรับหน่วยงานผู้ใช้บริการคลาวด์ (Cloud Service Customer) ที่ต้องการรับรองความมั่นคงปลอดภัยในการใช้งานคลาวด์
ผู้ใช้บริการคลาวด์ (Cloud Service Customer: CSC) คือ หน่วยงานของรัฐ หน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ และหน่วยงานควบคุมหรือกำกับดูแลที่มีข้อตกลงทางสัญญาอย่างเป็นทางการในการใช้บริการคลาวด์ที่ให้บริการโดยผู้ให้บริการคลาวด์
ก่อนขอรับรอง ผู้ใช้บริการคลาวด์ต้องจำแนกประเภทข้อมูลหรือระบบสารสนเทศตามระดับผลกระทบ (ต่ำ / กลาง / สูง) โดยพิจารณาจากผลกระทบต่อความลับ (Confidentiality) ความถูกต้อง (Integrity) และความพร้อมใช้งาน (Availability) เพื่อกำหนดชุดมาตรการควบคุมที่ต้องปฏิบัติตาม
การสูญเสียความลับ ความถูกต้อง หรือความพร้อมใช้งานของข้อมูล ส่งผลกระทบจำกัดต่อการดำเนินงาน ทรัพย์สิน หรือบุคคล และองค์กรสามารถฟื้นคืนการทำงานได้โดยง่าย
ตัวอย่าง: ข้อมูลประชาสัมพันธ์ เว็บไซต์ข้อมูลทั่วไป ระบบทดสอบภายในที่ไม่มีข้อมูลส่วนบุคคล
การสูญเสียคุณสมบัติด้านความมั่นคงปลอดภัย ส่งผลกระทบร้ายแรงต่อการดำเนินงาน ทรัพย์สิน หรือบุคคล อาจทำให้บริการหยุดชะงักหรือเกิดความเสียหายทางการเงิน
ตัวอย่าง: ระบบให้บริการประชาชน ข้อมูลส่วนบุคคลทั่วไป ระบบสนับสนุนการปฏิบัติงานหลัก
การสูญเสียคุณสมบัติด้านความมั่นคงปลอดภัย ส่งผลกระทบร้ายแรงอย่างยิ่งหรือถึงขั้นวิกฤตต่อภารกิจ ความมั่นคง หรือความปลอดภัยของชีวิตและทรัพย์สิน
ตัวอย่าง: โครงสร้างพื้นฐานสำคัญทางสารสนเทศ (CII) ข้อมูลอ่อนไหวสูง ระบบด้านความมั่นคงของประเทศ
ระบุขอบเขตระบบที่จะขอรับรอง และจำแนกระดับผลกระทบ (ต่ำ/กลาง/สูง) ของข้อมูลและระบบสารสนเทศ
ประเมินความเสี่ยงและกำหนดมาตรการควบคุมให้สอดคล้องกับระดับผลกระทบที่จำแนกไว้
เลือกหน่วยรับรองที่ขึ้นทะเบียน และยื่นคำขอพร้อมเอกสารประกอบ
หน่วยรับรองตรวจประเมินเอกสารและการปฏิบัติจริง ทั้งการควบคุมด้านการบริหารจัดการและด้านเทคนิค
ดำเนินการแก้ไขข้อสังเกตหรือข้อบกพร่อง (Nonconformity) ภายในระยะเวลาที่กำหนด
เมื่อผ่านการตรวจประเมิน หน่วยงานจะได้รับใบรับรองและถูกบันทึกในทะเบียนผู้ใช้บริการคลาวด์
ค่าธรรมเนียมการขอรับรองผู้ใช้บริการคลาวด์ ขึ้นกับระดับผลกระทบและขอบเขตของระบบ (อัตราตัวอย่างเพื่อการออกแบบ)
| รายการ | ค่าธรรมเนียม |
|---|---|
| ระบบระดับผลกระทบต่ำ (Low) | ตามประกาศ |
| ระบบระดับผลกระทบกลาง (Moderate) | ตามประกาศ |
| ระบบระดับผลกระทบสูง (High)ขอบเขตกว้างและควบคุมเข้มข้นกว่า | ตามประกาศ |
| ค่าธรรมเนียมการตรวจติดตามรายปี | ตามรอบ |
* ค่าธรรมเนียมการตรวจประเมินเรียกเก็บโดยหน่วยรับรอง (CB) และอาจแตกต่างกันตามขอบเขตงาน
เริ่มจากการจำแนกประเภทข้อมูลและกำหนดขอบเขตระบบให้ชัดเจนที่สุด
จัดทำทะเบียนทรัพย์สินสารสนเทศและแผนผังการไหลของข้อมูล
ทบทวนสัญญาและ SLA กับผู้ให้บริการคลาวด์ให้ครอบคลุมความรับผิดชอบร่วม
ประเมินตนเอง (Self-assessment) เทียบกับมาตรการควบคุมก่อนยื่นคำขอ
อบรมสร้างความตระหนักด้านความมั่นคงปลอดภัยให้บุคลากรที่เกี่ยวข้อง