สำหรับผู้ให้บริการคลาวด์ (Cloud Service Provider) ที่ต้องการรับรองมาตรฐานความมั่นคงปลอดภัยของบริการ
ผู้ให้บริการคลาวด์ (Cloud Service Provider: CSP) คือ หน่วยงานของรัฐหรือเอกชนที่ทำให้บริการคลาวด์สามารถใช้ได้กับผู้ใช้บริการคลาวด์ รวมถึงจัดการทรัพยากรเหล่านี้เพื่อให้มั่นใจว่ามีความพร้อมใช้งาน ความมั่นคงปลอดภัย และความสามารถในการขยายตัวสำหรับผู้ใช้บริการคลาวด์ของตน
ผู้ให้บริการคลาวด์ต้องจำแนกประเภทบริการและระบบสารสนเทศตามระดับผลกระทบ (ต่ำ / กลาง / สูง) เพื่อกำหนดชุดมาตรการควบคุมขั้นต่ำที่บริการต้องปฏิบัติตาม โดยพิจารณาจากประเภทข้อมูลของลูกค้าและความสำคัญของบริการ
การสูญเสียความลับ ความถูกต้อง หรือความพร้อมใช้งานของข้อมูล ส่งผลกระทบจำกัดต่อการดำเนินงาน ทรัพย์สิน หรือบุคคล และองค์กรสามารถฟื้นคืนการทำงานได้โดยง่าย
ตัวอย่าง: ข้อมูลประชาสัมพันธ์ เว็บไซต์ข้อมูลทั่วไป ระบบทดสอบภายในที่ไม่มีข้อมูลส่วนบุคคล
การสูญเสียคุณสมบัติด้านความมั่นคงปลอดภัย ส่งผลกระทบร้ายแรงต่อการดำเนินงาน ทรัพย์สิน หรือบุคคล อาจทำให้บริการหยุดชะงักหรือเกิดความเสียหายทางการเงิน
ตัวอย่าง: ระบบให้บริการประชาชน ข้อมูลส่วนบุคคลทั่วไป ระบบสนับสนุนการปฏิบัติงานหลัก
การสูญเสียคุณสมบัติด้านความมั่นคงปลอดภัย ส่งผลกระทบร้ายแรงอย่างยิ่งหรือถึงขั้นวิกฤตต่อภารกิจ ความมั่นคง หรือความปลอดภัยของชีวิตและทรัพย์สิน
ตัวอย่าง: โครงสร้างพื้นฐานสำคัญทางสารสนเทศ (CII) ข้อมูลอ่อนไหวสูง ระบบด้านความมั่นคงของประเทศ
ระบุบริการที่จะขอรับรอง และจำแนกระดับผลกระทบ (ต่ำ/กลาง/สูง) ตามประเภทข้อมูลและความสำคัญของบริการ
จัดให้มีมาตรการควบคุมด้านเทคนิคและการบริหารจัดการให้ครบตามระดับผลกระทบที่จำแนกไว้
เลือกหน่วยรับรองที่ขึ้นทะเบียน และยื่นคำขอพร้อมเอกสารขอบเขตบริการ
หน่วยรับรองตรวจประเมินสถาปัตยกรรม ศูนย์ข้อมูล และการปฏิบัติงานจริงตามขอบเขตบริการ
ดำเนินการแก้ไขข้อบกพร่องที่พบและส่งหลักฐานการแก้ไขภายในระยะเวลาที่กำหนด
เมื่อผ่านการตรวจประเมิน บริการจะได้รับใบรับรองและถูกบันทึกในทะเบียนผู้ให้บริการคลาวด์
ค่าธรรมเนียมการขอรับรองผู้ให้บริการคลาวด์ ขึ้นกับระดับผลกระทบและขอบเขตบริการ (อัตราตัวอย่างเพื่อการออกแบบ)
| รายการ | ค่าธรรมเนียม |
|---|---|
| บริการระดับผลกระทบต่ำ (Low) | ตามประกาศ |
| บริการระดับผลกระทบกลาง (Moderate) | ตามประกาศ |
| บริการระดับผลกระทบสูง (High)รวมการตรวจประเมิน ณ ศูนย์ข้อมูล | ตามประกาศ |
| ค่าธรรมเนียมการตรวจติดตามรายปี | ตามรอบ |
* ค่าธรรมเนียมการตรวจประเมินเรียกเก็บโดยหน่วยรับรอง (CB) ตามจำนวนวันและขอบเขตงาน
กำหนดขอบเขตบริการ (Scope) และจำแนกระดับผลกระทบให้ชัดเจนตั้งแต่ต้น
จัดทำเอกสารสถาปัตยกรรมระบบและ Statement of Applicability ให้เป็นปัจจุบัน
ทดสอบแผนความต่อเนื่องทางธุรกิจและการกู้คืนระบบ (BCP/DR) ก่อนตรวจประเมิน
ทบทวนเงื่อนไขความรับผิดชอบร่วม (Shared Responsibility) กับลูกค้า
ประเมินความพร้อมภายในและปิดช่องว่าง (Gap Assessment) ก่อนยื่นคำขอ