ที่ปรึกษา Cyber Security

คำแนะนำด้านความปลอดภัยที่ดีตั้งอยู่บนวิธีที่ผู้โจมตีทำงานจริง ไม่ใช่ checklist compliance ที่กรอกจากระยะไกล เพราะที่ปรึกษาของเรามาจากทีมเดียวกับที่ทำ penetration test และงาน red team roadmap ที่เราวางจึงหล่อหลอมมาจากสิ่งที่เราเห็นว่าพังจริงในสนาม เราช่วยองค์กรหาช่องว่างด้านความปลอดภัย จัดการจุดที่เป็นปัญหา วางแนวปฏิบัติที่ใช่ และขับเคลื่อน security transformation ให้เกิดจริง เปลี่ยนกอง finding ให้เป็นแผนจัดลำดับที่ทีมลงมือทำได้ เรายืนเป็นที่ปรึกษาที่เป็นกลางต่อเวนเดอร์ อยู่เคียงข้างทีมภายในของคุณ ไม่ใช่เครื่องปั๊มรายงานที่ส่งเอกสารแล้วหายไป

มาตรฐานและกรอบงานที่รองรับ

เราช่วยองค์กรไปให้ถึงและรักษามาตรฐานที่ลูกค้า หน่วยงานกำกับ และพาร์ทเนอร์คาดหวัง ตั้งแต่ gap assessment วางระบบ ไปจนถึงเตรียมพร้อมก่อนตรวจรับรอง ตัวใบรับรองออกโดยหน่วยรับรองที่ได้รับการรับรอง หน้าที่ของเราคือให้คำปรึกษาและวางระบบให้คุณพร้อมผ่าน ตัวเราเองก็ถือ ISO/IEC 27001 โดยได้รับการรับรองครอบคลุมงาน consulting, testing และ training ของบริษัท คำแนะนำที่คุณได้จึงมาจากทีมที่เคยยืนอยู่ฝั่งผู้ถูกตรวจมาแล้วจริง

ความมั่นคงสารสนเทศและ governance

• ISO/IEC 27001 — มาตรฐานที่ขอรับรองได้สำหรับ Information Security Management System (ISMS) เราช่วยวาง จัดทำเอกสาร และดูแล ISMS ที่เป็นฐานให้มาตรฐานอื่นในลิสต์นี้ต่อยอดขึ้นไป

บริการ IT และความต่อเนื่องทางธุรกิจ

• ISO/IEC 20000-1 — มาตรฐาน IT Service Management System (SMS) สอดคล้องกับแนวปฏิบัติ ITIL เหมาะกับทีมที่ต้องการให้การส่งมอบบริการเป็นระบบ วัดได้ และตรวจสอบได้
• ISO 22301 — มาตรฐาน Business Continuity Management System (BCMS) เราช่วยทำ business impact analysis และวางแผนที่ทำให้ธุรกิจเดินต่อได้แม้เจอเหตุขัดข้อง แบบที่แผ่นดินไหวปี 2025 ทำให้หลายธุรกิจไทยเห็นภาพชัด

ความเป็นส่วนตัว

• ISO/IEC 27701 — Privacy Information Management System (PIMS) ต่อยอดจาก ISO 27001 (ต้องมี 27001 ก่อน) ครอบคลุมทั้งบทบาท controller และ processor
• ISO/IEC 27018 — code of practice สำหรับคุ้มครองข้อมูลส่วนบุคคลเมื่อคุณเป็น processor บน public cloud

Cloud

• ISO/IEC 27017 — code of practice สำหรับ security control เฉพาะบน cloud นำมาใช้ภายใน ISMS ตาม ISO 27001 ไม่ได้ขอรับรองแยกเดี่ยว
• CSA STAR — โปรแกรม assurance ของ Cloud Security Alliance บน Cloud Controls Matrix (CCM) Level 1 เป็น self-assessment ส่วน Level 2 เป็นการรับรองโดยบุคคลที่สามที่อิง ISO 27001

AI

• ISO/IEC 42001 — มาตรฐาน AI Management System (AIMS) ระดับสากลตัวแรกของโลก ออกปี 2023 สำหรับองค์กรที่พัฒนาหรือใช้ AI แล้วต้องการ governance การจัดการความเสี่ยง และการดูแลตลอด lifecycle

Control framework

• CIS Critical Security Controls — ชุดปฏิบัติการป้องกันที่ทั่วโลกยอมรับ จัดลำดับความสำคัญมาให้ สกัดการโจมตีที่พบบ่อยและสร้างความเสียหายมากที่สุดก่อน
• NIST CSF — กรอบงานเชิงความเสี่ยงสำหรับจัดระเบียบและยกระดับโปรแกรมความปลอดภัย ครอบคลุม identify, protect, detect, respond และ recover

หมายเหตุ: ISO/IEC 27017 และ ISO/IEC 27018 เป็น code of practice ที่นำมาใช้ภายใน ISMS ตาม ISO 27001 ไม่ใช่ใบรับรองที่ออกแยกเดี่ยว

การปฏิบัติตามข้อกำหนดของหน่วยงานกำกับ (ประเทศไทย)

องค์กรไทยต้องตอบโจทย์หน่วยงานกำกับรายอุตสาหกรรมควบคู่ไปกับมาตรฐานสากล และหน่วยงานเหล่านี้ส่วนใหญ่ก็บังคับให้ทำการทดสอบและวาง governance แบบเดียวกับที่ทีมเราทำอยู่แล้ว เราแมปภาระที่คุณต้องทำให้กลายเป็นแผนที่จับต้องได้ และตรงจุดที่หน่วยงานกำกับกำหนดให้ทำ penetration test, vulnerability assessment หรือ source code review ทีมทดสอบของเราลงมือทำเอง แล้วออกหลักฐานในรูปแบบที่หน่วยงานกำกับและผู้ตรวจสอบของคุณต้องการ เราให้คำปรึกษาและเตรียมความพร้อมให้ ไม่ได้เป็นตัวหน่วยงานกำกับ และไม่ได้เป็นผู้ตรวจสอบของคุณเอง

• ธนาคารแห่งประเทศไทย (BOT) — สำหรับสถาบันการเงิน ข้อกำหนดด้าน IT risk และ cyber resilience ของ ธปท. กำหนดให้มี secure development lifecycle ทั้งทำ vulnerability assessment ก่อนระบบขึ้นใช้งานจริงและหลังมีการเปลี่ยนแปลงอย่างมีนัยสำคัญ ทำ penetration test กับระบบที่เชื่อมต่อกับเครือข่ายภายนอก และทำ source code review กับระบบสำคัญ รวมถึง Internet Banking และ Mobile Banking เราลงมือทดสอบให้และช่วยคุณจัดทำหลักฐาน
• สำนักงาน ก.ล.ต. (SEC) — ประกาศด้าน IT governance ของ ก.ล.ต. กำหนดให้ทำ penetration test โดยผู้ที่เป็นอิสระ กับระบบสำคัญที่เชื่อมต่อกับเครือข่ายที่ไม่น่าเชื่อถือ อย่างน้อยทุกสามปีสำหรับระบบที่สำคัญสูงสุด และรอบยาวกว่านั้นสำหรับระบบอื่น พร้อมทำ vulnerability assessment กับระบบสำคัญอย่างน้อยปีละครั้ง เราทำการทดสอบแบบอิสระให้ และจัดเตรียมรายงานที่คุณต้องยื่น
• สำนักงาน คปภ. (OIC) — เราช่วยบริษัทประกันให้เป็นไปตามข้อกำหนดด้านความปลอดภัย IT และ governance ของ คปภ. โดยจัดวาง control และหลักฐานการทดสอบให้ตรงกับที่ภาคธุรกิจต้องการ
• ตลาดหลักทรัพย์ฯ (SET) — สำหรับบริษัทจดทะเบียน เราจัดโปรแกรมความปลอดภัยและรอบการทดสอบให้สอดคล้องกับแนวทาง IT governance ของตลาดหลักทรัพย์ฯ
• สกมช. และ พ.ร.บ. ไซเบอร์ — สำหรับองค์กรที่จัดอยู่ในกลุ่มโครงสร้างพื้นฐานสำคัญทางสารสนเทศ (CII) ตาม พ.ร.บ. การรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 เราช่วยเรื่องการประเมินความเสี่ยง การทดสอบ และการเตรียมพร้อมรับมือเหตุ ตามที่สำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติกำกับดูแล
• PDPA — พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เป็นทั้งภาระด้าน governance และข้อกฎหมาย เราจัดวาง control ด้านความเป็นส่วนตัวให้สอดคล้อง และจับคู่กับ ISO/IEC 27701 เมื่อคุณอยากได้ระบบจัดการความเป็นส่วนตัวที่ขอรับรองได้

ข้อไหนบังคับใช้กับคุณจริงขึ้นอยู่กับภาคธุรกิจและวิธีที่หน่วยงานกำกับจัดประเภทองค์กรของคุณ เรายืนยันข้อที่ใช้จริงตอน scoping เพื่อให้ roadmap เล็งไปที่ภาระที่บังคับใช้จริง ไม่ใช่ checklist กว้าง ๆ

Managed Security Services

ดึงผู้เชี่ยวชาญด้านความปลอดภัยของเราเข้ามาช่วยเลือกและบริหารโปรเจกต์ด้วยจุดยืนที่เป็นกลางต่อเวนเดอร์:

• ปรับปรุง infrastructure
• ติดตั้ง security solution
• ยกระดับงาน IT operation
• ดูแล IT support

เราทำงานเคียงข้างทีมภายในของคุณในฐานะที่ปรึกษาที่ไว้ใจได้ นำความรู้ที่สั่งสมจากการทำงานกับลูกค้าจำนวนมากและพาร์ทเนอร์ด้าน IS ที่เชื่อถือได้มาใช้จริง

ขั้นตอนการทำงาน

ทุกงานที่ปรึกษาเดินตามกระบวนการห้าขั้นเหมือนกัน คำแนะนำจึงกลายเป็นการลงมือ ไม่ใช่นอนนิ่งอยู่ในเอกสาร

1. Scoping — ตกลงกันว่างานนี้ต้องบรรลุอะไร ใบรับรองเฉพาะตัว การยกระดับ maturity ในภาพกว้าง หรือช่วยแก้จุดที่เป็นปัญหาจุดหนึ่ง proposal ระบุเป้าหมาย สิ่งที่ส่งมอบ และไทม์ไลน์ ไม่มี retainer ปลายเปิดที่ไม่จบสักที
2. Gap assessment — เราวัดสถานะปัจจุบันของคุณเทียบกับกรอบงานที่เกี่ยวข้อง ทั้ง ISO 27001, CIS Controls หรือทั้งคู่ ผ่านการรีวิวเอกสาร สัมภาษณ์ และตรวจจริงด้วยมือ ผลที่ได้คือภาพตรงไปตรงมาว่าคุณยืนอยู่ตรงไหนวันนี้ ไม่ใช่คะแนน maturity กว้าง ๆ
3. Roadmap — เราแปลช่องว่างเป็น roadmap จัดลำดับ อะไรต้องแก้ก่อน อะไรรอได้ และแต่ละขั้นใช้แรงเท่าไหร่ ลำดับความสำคัญถ่วงน้ำหนักด้วยความเสี่ยงจริง อิงจากสิ่งที่ทีมทดสอบของเราเห็นว่าผู้โจมตีใช้ประโยชน์ ทั้ง quick win และการเปลี่ยนเชิงโครงสร้างจึงอยู่ในแผนครบ
4. Execution support — เราทำงานเคียงข้างทีมภายในเพื่อส่ง roadmap ให้ถึงจริง ทั้งขัดเกลานโยบาย เลือกและติดตั้ง solution ด้วยสายตาที่เป็นกลางต่อเวนเดอร์ และยกระดับงาน IT operation คุณได้ที่ปรึกษาที่อยู่ในห้องด้วยกัน ไม่ใช่เอกสารที่ส่งให้ตรงประตูแล้วจบ
5. Review & advisory cadence — เราประเมินความคืบหน้าเทียบ roadmap ตามรอบที่ตกลงไว้ ปรับลำดับความสำคัญเมื่อสภาพแวดล้อมและภัยเปลี่ยน และทำให้โปรแกรมเดินหน้าต่อ งานนี้คือความสัมพันธ์แบบทำงานด้วยกัน ไม่ใช่ของส่งมอบครั้งเดียวจบ

สิ่งที่คุณได้รับ

การให้คำปรึกษาส่งมอบเป็นโปรแกรมที่ลงมือได้จริง ไม่ใช่แฟ้มขึ้นหิ้ง

• รายงาน gap assessment — ภาพตรงไปตรงมาที่แมปกับกรอบงานว่าความปลอดภัยของคุณยืนอยู่ตรงไหนวันนี้ เขียนให้ทั้งผู้บริหารและคนลงมือใช้ได้
• Roadmap จัดลำดับ — แผนเรียงลำดับว่าจะแก้อะไรเมื่อไหร่ แต่ละข้อถ่วงน้ำหนักด้วยความเสี่ยงจริงและประเมินแรงที่ต้องใช้ ทีมคุณจึงรู้ชัดว่าเริ่มตรงไหน
• สนับสนุนนโยบายและเอกสาร — ช่วยจริงในการสร้างนโยบาย มาตรฐาน และหลักฐานที่ ISMS หรือกรอบ control ต้องการ ปั้นให้เข้ากับองค์กรของคุณ ไม่ใช่ก๊อปจาก template
• Advisory cadence — นัดตามรอบเพื่อติดตามความคืบหน้า ปรับลำดับความสำคัญ และรักษาโมเมนตัม โปรแกรมจึงไม่หยุดชะงักหลังส่งรายงาน
• คำแนะนำที่เป็นกลางต่อเวนเดอร์ — ข้อเสนอเรื่อง solution และการปรับปรุงที่ทำเพื่อประโยชน์ของคุณ อิงจากงานกับลูกค้าจำนวนมากและพาร์ทเนอร์ด้าน IS ที่เชื่อถือได้ โดยไม่มีสินค้าจะขายคุณ

ทีมและใบรับรอง

ทีมภายในของเราเป็นคนให้คำปรึกษาเอง ถือใบรับรองในวงการอย่าง OSCP, OSCE, CREST CRT, CREST CPSA และ GIAC GREM ใบรับรองเหล่านี้ได้มาจากการสอบภาคปฏิบัติที่เข้มข้น ทีมเดียวกันนี้ขึ้นนำเสนองานวิจัยในเวทีระดับนานาชาติ และดูแลลูกค้ามาแล้วกว่า 180 รายทั้งสายการเงิน องค์กรขนาดใหญ่ และภาคส่วนสำคัญ พื้นฐานสายบุกนี่แหละที่ทำให้คำปรึกษาของเราติดดิน เราแนะนำ control เพราะเห็นมากับตาว่าเกิดอะไรขึ้นเมื่อมันขาดไป ไม่ใช่เพราะกรอบงานสั่งให้มี ดูใบรับรองทั้งหมดที่ทีมถือ

มาตรฐานที่ใช้

งานที่ปรึกษาของเรายึดมาตรฐานที่ทั่วโลกยอมรับเป็นแกน ทั้ง ISO/IEC 27001 ด้านความมั่นคงสารสนเทศ ISO/IEC 20000-1 ด้านการจัดการบริการ IT ISO 22301 ด้านความต่อเนื่องทางธุรกิจ ISO/IEC 27701, 27017 และ 27018 ด้านความเป็นส่วนตัวและ cloud ISO/IEC 42001 ด้าน governance ของ AI และ control framework อย่าง CIS Critical Security Controls กับ NIST CSF เราแมปสถานะปัจจุบันและ roadmap ของคุณกับมาตรฐานที่สำคัญต่อคุณ ความคืบหน้าจึงวัดได้และตรวจสอบได้ และคุณแสดงต่อผู้ตรวจสอบและพาร์ทเนอร์ได้ชัดว่ายืนอยู่ตรงไหน ตัวใบรับรองออกโดยหน่วยรับรองที่ได้รับการรับรอง เราทำให้คุณพร้อมก่อนตรวจ ถ้าโปรแกรมต้องการหลักฐานในรูปแบบเฉพาะ บอกเราตอน scoping เลย จัดสิ่งที่ส่งมอบให้ตรงตอนนั้นไม่มีค่าใช้จ่ายเพิ่ม

การให้คำปรึกษาได้ผลดีที่สุดเมื่อจับคู่กับการทดสอบภาคปฏิบัติ penetration test ยืนยันว่า control ใน roadmap ของคุณรับมือได้จริง และงาน red team ทดสอบว่าคนและกระบวนการของคุณรับมือตามที่แผนคาดไว้ไหม