ISO 27001 อัตโนมัติทำได้แค่ไหน? 6 งานที่เครื่องมือแทนคนไม่ได้

โดย Nokka (นก-กา) | 3 พ.ย. 2026

ลิงก์ที่ผมได้รับมาเป็นหน้าโฆษณาของบริษัททำซอฟต์แวร์รับรองความปลอดภัยรายหนึ่ง โฆษณาว่าจะพาองค์กรไปถึงใบรับรอง ISO 27001 ได้ในไม่กี่สัปดาห์ ด้วยระบบอัตโนมัติที่ช่วยเก็บหลักฐานและติดตามงานแทนคน

คำถามที่ควรถามกลับคือ ระบบอัตโนมัติทำอะไรได้จริง และอะไรที่ยังต้องเป็นคนทำ

ผมเปิดต้นทางตั้งแต่หน้าของ ISO เอง ตารางเวลาตรวจของหน่วยรับรอง ไปจนถึงเอกสารกฎหมายไทยที่เกี่ยวข้องกับเรื่องนี้

ข้อสรุปสั้น ๆ คือ เครื่องมือช่วยลดงานเอกสารได้มากและช่วยให้พร้อมรับตรวจเร็วขึ้น แต่ไม่ได้ทำให้การตรวจสั้นลง และไม่ได้แทนการตัดสินใจเรื่องความเสี่ยงซึ่งเป็นหัวใจของมาตรฐานนี้

โฆษณาพูดอะไรไว้บ้าง

หน้าที่ผมเปิดมาระบุข้อความหลักสามข้อ

• "Get ISO 27001 compliant in weeks"
• "audit-ready in days"
• "Achieve certification 70% faster than the industry standard"

พร้อมอธิบายสี่ขั้นตอน คือเชื่อมระบบและทรัพย์สินเข้ากับแพลตฟอร์ม เปิดใช้ controls ของ Annex A และประกาศนโยบาย จ่ายงานให้ทีมแล้วติดตามความคืบหน้า และปิดท้ายด้วยการผ่านการตรวจ [1]

ทั้งหมดนี้เป็นถ้อยของฝ่ายขาย ไม่ใช่ผลวิจัยอิสระ ตัวเลข 70% ไม่ได้บอกว่าเทียบกับฐานใด และไม่ได้บอกว่าวัดจากการเตรียมตัวหรือจากระยะเวลาตรวจ

ISO 27001 จริง ๆ แล้วคืออะไร

ISO/IEC 27001:2022 คือมาตรฐานระบบบริหารจัดการความมั่นคงสารสนเทศ หรือ ISMS [2]

คำว่า "ระบบบริหาร" คือหัวใจ ไม่ใช่รายการควบคุม แต่เป็นวงจรที่องค์กรต้องกำหนดขอบเขต ประเมินความเสี่ยง เลือกมาตรการ จัดคนรับผิดชอบ วัดผล และปรับปรุงอย่างต่อเนื่อง [2]

ในภาคผนวก A ของมาตรฐานมีมาตรการควบคุม 93 ข้อ แบ่งเป็นสี่กลุ่ม คือองค์กร 37 ข้อ คน 8 ข้อ กายภาพ 14 ข้อ และเทคโนโลยี 34 ข้อ [3]

ตัวเลข 93 ข้อนี้คือสิ่งที่เครื่องมืออัตโนมัติมักอ้างว่าช่วยจัดการได้ ซึ่งจริงเพียงบางส่วน เพราะงานจำนวนหนึ่งยังต้องมีคนตัดสินใจประกอบ

ระบบตรวจไม่ใช่ระบบทำ

การได้ใบรับรองต้องผ่านหน่วยรับรองที่ได้รับการรับรองตาม ISO/IEC 17021-1 ซึ่งกำหนดรอบการตรวจไว้เป็นมาตรฐานเดียวกันสำหรับทุกองค์กร [4]

รอบแรกคือการตรวจรับรอง (initial audit) แบ่งเป็นระยะที่หนึ่งตรวจความพร้อมของเอกสาร ระยะที่สองตรวจการใช้งานจริง [4][5]

หลังจากนั้นทุกปีจะมีการตรวจเฝ้าระวัง (surveillance audit) และเมื่อครบสามปีต้องตรวจรับรองใหม่ทั้งระบบ (recertification) [4]

ปัจจัยที่ทำให้กรอบเวลาต่างกันคือขนาดองค์กร จำนวนสถานที่ และความซับซ้อนของระบบ ไม่ใช่ยี่ห้อซอฟต์แวร์ [8]

จำนวนวันตรวจไม่ได้ขึ้นกับว่าเครื่องมือดีแค่ไหน แต่ขึ้นกับจำนวนคนในขอบเขต การวิเคราะห์อ้างตารางเวลาของ ISO/IEC 27006 ว่าองค์กรที่มีคน 46 ถึง 65 คนใช้เวลาตรวจรับรองราว 10 วัน [3]

ส่วนการตรวจเฝ้าระวังมักกำหนดไว้ราวหนึ่งในสามของเวลาตรวจรับรอง ซึ่งเป็นแนวปฏิบัติที่ใช้กันทั่วไป ไม่ใช่ค่าที่ตีพิมพ์ในตาราง [3][8]

นี่คือเหตุผลที่เครื่องมือช่วยให้ "พร้อม" เร็วขึ้นได้ แต่ทำให้ "การตรวจ" สั้นลงไม่ได้ เพราะคนกำหนดเวลาคือหน่วยรับรอง ไม่ใช่ผู้ขายซอฟต์แวร์

อะไรที่ระบบอัตโนมัติทำได้จริง

จากบทวิเคราะห์ของผู้ให้บริการแพลตฟอร์มเอง งานที่ระบบทำแทนได้คือส่วนที่ทำซ้ำและมีหลักฐานอยู่ในระบบอยู่แล้ว [3]

• เก็บหลักฐานอัตโนมัติผ่านการเชื่อมต่อ API กับระบบคลาวด์และเครื่องมือทำงาน
• เฝ้าระวังค่าคอนฟิกูเรชันและแจ้งเตือนเมื่อมีการเบี่ยงเบนจากนโยบาย
• แจกจ่ายนโยบายและตามเก็บการรับทราบจากพนักงาน
• รวบรวมรายการสิทธิ์การเข้าถึงเพื่อให้ตรวจทานเป็นรอบ
• เตรียมชุดเอกสารและหลักฐานสำหรับการตรวจ
• แปลงผลการควบคุมหนึ่งชุดให้ใช้ตอบได้หลายมาตรฐาน เช่น ISO 27001 กับ SOC 2

งานเหล่านี้เคยใช้คนนั่งทำ spreadsheet หลายสัปดาห์ และเป็นส่วนที่คนทำงานด้าน compliance เบื่อที่สุด

ตลาดเครื่องมือกลุ่มนี้มีผู้เล่นหลักอย่าง Vanta, Wiz, Sprinto, Drata และ Scrut ตามการจัดอันดับของ G2 ในเดือนสิงหาคม 2026 [7] แต่ละตัวเชื่อมระบบได้ต่างกัน และจุดขายก็ต่างกัน

อะไรที่ยังต้องเป็นคนทำ

มาตรฐานนี้ต้องการการตัดสินใจ ไม่ใช่แค่เอกสารครบ

• การกำหนดขอบเขต ISMS ว่าอะไรอยู่ในระบบและอะไรอยู่นอก
• การประเมินความเสี่ยงและเลือกแนวทางรับมือ ซึ่งต้องใช้บริบทของธุรกิจ
• การทบทวนของฝ่ายบริหาร (management review) ที่ต้องมีผู้บริหารตัดสินใจจริง
• การตรวจภายใน ซึ่งต้องเป็นคนที่ไม่ใช่เจ้าของงานนั้น
• การประเมินว่าการฝึกอบรมได้ผลจริง ไม่ใช่แค่เก็บหลักฐานว่าเข้าอบรมแล้ว
• การตรวจสภาพกายภาพ เช่น ห้องเซิร์ฟเวอร์ การควบคุมการเข้าออก และระบบดับเพลิง

รายการสุดท้ายคือจุดที่เครื่องมือคลาวด์ช่วยไม่ได้เลย เพราะไม่มี API ให้เชื่อมห้องเซิร์ฟเวอร์

ผู้ให้บริการรายเดิมยอมรับตรง ๆ ว่า มนุษย์ยังเป็นเจ้าของการประเมินความเสี่ยงและการตัดสินของผู้ตรวจ [3]

แล้วคำว่าเร็วขึ้น 70% หมายถึงอะไร

ถ้อยนี้ไม่ได้บอกว่าวัดจากอะไร แต่เมื่อดูว่าอะไรสั้นลงจริงตาม [3] ตัวที่ลดคือการเตรียมตัว ไม่ใช่การตรวจ

ฝั่งที่ลดลงจริงคือเวลาที่ทีมใช้ตามเก็บหลักฐานและไล่ถามเจ้าของระบบ ซึ่งเป็นงานที่ก่อนหน้านี้กินเวลาหลายสัปดาห์

แต่ต้นทุนหลักของการรับรองยังอยู่ครบ คือค่าตรวจของหน่วยรับรอง ค่าที่ปรึกษาในบางเส้นทาง และเวลาของคนในองค์กรที่ต้องเข้าห้องตรวจ

บทวิเคราะห์เดียวกันประเมินว่า เส้นทางแบบที่ปรึกษาเดิมสำหรับองค์กรต่ำกว่า 50 คนมีค่าใช้จ่ายปีแรกราว 23,000 ถึง 49,000 ยูโร และสำหรับองค์กร 50 ถึง 200 คนอยู่ที่ราว 37,000 ถึง 80,000 ยูโร โดยการตรวจเฝ้าระวังตั้งแต่ปีที่สองเพิ่มอีกราว 4,000 ถึง 10,000 ยูโร ตัวเลขนี้เป็นค่าประมาณสำหรับตลาดยุโรป [3]

ตัวเลขนี้เป็นค่าประมาณจากผู้ขายรายหนึ่ง ไม่ใช่ราคากลางระดับสากล และตลาดไทยอาจต่างออกไป แต่ทำให้เห็นสัดส่วนว่า ส่วนที่เครื่องมือประหยัดได้คือเวลาคน ไม่ใช่ค่าตรวจ

มุมของธุรกิจไทย

ในประเทศไทย กฎหมายหลักสองฉบับคือ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ซึ่งมีผลบังคับเต็มเมื่อ 1 มิถุนายน 2022 และ พ.ร.บ.ความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 ที่ดูแลโครงสร้างพื้นฐานสำคัญ [5]

กฎหมายทั้งสองฉบับไม่ได้บังคับให้องค์กรต้องมีใบรับรอง ISO 27001 [5]

แต่ PDPA กำหนดให้ผู้ควบคุมข้อมูลมีมาตรการรักษาความปลอดภัยที่เหมาะสม [5] และต้องแจ้งเหตุละเมิดต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลโดยไม่ชักช้า และภายใน 72 ชั่วโมงเมื่อทำได้ [6] ทั้งนี้ ไม่ต้องแจ้งหากประเมินแล้วเห็นว่าเหตุนั้นไม่มีความเสี่ยงต่อสิทธิและเสรีภาพของบุคคล [6]

ในทางปฏิบัติ ใบรับรอง ISO 27001 จึงถูกใช้เป็นหลักฐานว่าองค์กรมีระบบจัดการความเสี่ยงอยู่จริง เวลาลูกค้าองค์กรใหญ่ขอเอกสารประกอบการจัดซื้อ หรือเวลาต้องตอบคำถามหลังเกิดเหตุ [5]

แปลว่าคุณค่าของใบรับรองในไทยมาจากข้อกำหนดของคู่ค้ามากกว่าจากตัวกฎหมายเอง

ถ้าจะเลือกใช้เครื่องมือ ต้องถามอะไรก่อน

ผมสรุปเป็นหกข้อที่ควรถามก่อนเซ็นสัญญา พร้อมตัวอย่างคำตอบที่ควรได้ในแต่ละข้อ

1. เครื่องมือเชื่อมระบบที่เราใช้จริงได้กี่ระบบ และระบบไหนต้องทำมือ
2. หลักฐานที่เก็บอัตโนมัติ ครอบ controls ข้อไหนได้จริงกี่ข้อจาก 93 ข้อ
3. ใครเป็นคนเซ็นรับรองการประเมินความเสี่ยง และเครื่องมือช่วยตรงไหน
4. การตรวจภายในและ management review มีคนของเรารองรับหรือยัง
5. ค่าตรวจของหน่วยรับรองแยกจากค่าซอฟต์แวร์หรือไม่ และใครจ่าย
6. เมื่อเลิกใช้เครื่องมือ หลักฐานและเอกสารยังอยู่ในมือเราหรือหายไปกับระบบ

ข้อ 6 มักถูกลืม แต่สำคัญเพราะการตรวจเฝ้าระวังเกิดทุกปี ถ้าข้อมูลอยู่ในระบบที่เราเช่าใช้อย่างเดียว การต่อสัญญาจะกลายเป็นการบังคับโดยปริยาย

สิ่งที่ยังไม่รู้

• ไม่มีงานวิจัยอิสระที่วัดว่าเครื่องมือประเภทนี้ลดเวลารับรองได้กี่เปอร์เซ็นต์จริง
• ตัวเลข 70% มาจากผู้ขายเอง และไม่เปิดวิธีวัด
• ราคาจริงในตลาดไทยแตกต่างจากตัวเลขสกุลยูโรในบทวิเคราะห์ข้างต้นพอสมควร
• หน่วยรับรองแต่ละแห่งอาจประเมินจำนวนวันตรวจต่างกันตามความซับซ้อนของระบบ

ทั้งหมดนี้ทำให้ข้อสรุปที่ตรงที่สุดคือ ระบบอัตโนมัติช่วยให้งานเอกสารเบาลงอย่างชัดเจน และช่วยให้ทีมเห็นช่องว่างเร็วขึ้น แต่หัวใจของ ISO 27001 ยังเป็นการตัดสินใจของคนในองค์กร และการตัดสินของผู้ตรวจ

เครื่องมือที่ดีที่สุดจึงไม่ใช่ตัวที่อ้างว่าเร็วที่สุด แต่เป็นตัวที่ทำให้คุณเห็นว่าอะไรยังขาด ก่อนที่ผู้ตรวจจะเห็น

แหล่งอ้างอิง

[1] Sprinto · หน้าโฆษณา ISO 27001 (APAC, เข้าถึง พ.ย. 2026) · https://go.sprinto.com/lp-apac-iso-pmax-mobile
[2] ISO · ISO/IEC 27001:2022 Information security management systems (2022) · https://www.iso.org/standard/27001
[3] Kertos · Compliance Automation: What It Automates, What It Costs, and What It Cannot Do (อัปเดต 28 ต.ค. 2026) · https://kertos.io/en/blog/compliance-automation
[4] Normwijzer · Surveillance audit and recertification audit explained (2026) · https://normwijzer.nl/en/knowledge-base/surveillance-audit-and-recertification
[5] Secure60 · ISO 27001 in Thailand: PDPA and the CII regime (20 ก.ค. 2026) · https://www.secure60.io/compliance/iso-27001-thailand
[6] IAPP · Thailand PDPC clarifies data breach notification requirements (16 ธ.ค. 2024 · ปรับปรุง พ.ค. 2026) · https://iapp.org/news/a/thailand-s-pdpc-clarifies-data-breach-notification-requirements
[7] G2 · Best Cloud Compliance Software for 2026 (6 ส.ค. 2026) · https://learn.g2.com/best-cloud-compliance-software
[8] Schellman · Factors that affect the ISO 27001 certification process (22 มี.ค. 2022 · ปรับปรุง 5 ก.พ. 2025) · https://www.schellman.com/blog/iso-certifications/factors-that-affect-iso-27001-certification-process

บทความนี้เขียนโดย AI (deepseek-v4.1-flash · ผู้ให้บริการโมเดล: ollama-cloud) ผ่าน Hermes Agent ภายใต้การควบคุมและตรวจสอบคุณภาพโดยมนุษย์ - Nokka (นก-กา)