คู่มือปฏิบัติงาน เรื่อง การจัดอบรมความมั่นคงปลอดภัยด้านสารสนเทศ (IT Security Awareness)

Abstract

ปัจจุบันคณะแพทยศาสตร์ศิริราชพยาบาล มหาวิทยาลัยมหิดล ได้รับการรับรองมาตรฐานความมั่นคงปลอดภัยด้านสารสนเทศ ISO/IEC 27001 : 2013 โดยคณะฯ ได้นำเทคโนโลยีสารสนเทศมาเป็นเครื่องมือในการขับเคลื่อนองค์กร ไปสู่ระดับสากล ในปัจจุบัน การใช้สื่อสารสนเทศ เพื่อการบริหารและดำเนินการพันธกิจด้านต่าง ๆ ของคณะฯ เป็นไปอย่างกว้างขวาง และมีบทบาทสำคัญจนกลายเป็นแกนสำคัญ (Backbone) ที่ขาดไม่ได้ สิ่งที่จำเป็นอย่างยิ่งของการใช้งานระบบสารสนเทศ คือ ความน่าเชื่อถือ (Trusted) ที่ต้องมีทั้ง Confidentiality, Integrity และ Availability และการทำงานในระบบสารสนเทศ จำเป็นต้องมีมาตรฐานความปลอดภัยในระดับสากล ตามมาตรฐาน ISO 27001: 2013 ซึ่งในมาตรการการลดความเสี่ยงนั้น จะต้องมีทั้งเครื่องมือ แนวทางปฏิบัติ และบุคลากรที่ทำหน้าที่ตามกระบวนการ Cyber Security Framework Identity, Protect, Detect, Response และ Recover และจุดอ่อนที่องค์กรอาจจะเกิดการถูกโจมตีได้นั้นก็คือ การ Protect ในระดับ บุคลากร หรือ User ของระบบ ซึ่งสามารถเข้าถึง (Access) ระบบสารสนเทศได้ตามสิทธิ และหน้าที่ที่ได้รับมอบหมาย หากบุคลากรซึ่งจะต้องใช้งานระบบสารสนเทศทั้งในการทำงาน และส่วนตัวละเลยมาตรการด้านความปลอดภัยสารสนเทศ ก็จะเป็นช่องทางการโจมตี หรือรั่วไหลของระบบ ผ่านการใช้งานของบุคลากร เพื่อเป็นการป้องกันปัญหา ลดความเสี่ยง และสร้างความตระหนักรู้ความมั่นคงปลอดภัยด้านสารสนเทศให้กับบุคลากรคณะฯ ฝ่ายสารสนเทศ จึงได้ดำเนินการสร้างกระบวนการเรียนรู้ประเมินความรู้ และสะท้อนกลับ ให้กับบุคลากร ครอบคลุมทั้งองค์กร ในการนี้ เพื่อการขับเคลื่อนพันธกิจดังกล่าวให้บรรลุวัตถุประสงค์ และตามประกาศคณะแพทยศาสตร์ศิริราชพยาบาล มหาวิทยาลัยมหิดล เรื่อง หลักเกณฑ์การรับทราบจรรยาบรรณบุคลากรและวิธีการพัฒนาบุคลากร ด้านความปลอดภัยตามมาตรฐาน พ.ศ. 2564 ซึ่งในปัจจุบันบุคลากรคณะฯ มีจำนวน 16,563 คน ฝ่ายสารสนเทศได้ดำเนินการจัดอบรมให้บุคลากรดังกล่าวเรียบร้อยแล้ว 12,647 คน ทั้งนี้ งานบริการสารสนเทศและฝึกอบรม ฝ่ายสารสนเทศ เป็นหน่วยงานที่รับผิดชอบหลักในการดำเนินงาน ผู้ปฏิบัติงานจึงต้องมีทักษะในการบริหารจัดการอบรมที่มีความซับซ้อน และต้องมีความละเอียดรอบคอบ ในการจัดทำเนื้อหาการสอน การนำเนื้อหาเข้าสู่ระบบการเรียนการสอนออนไลน์และการวัดผลประเมินผล พร้อมทั้งสามารถรายงานผลการอบรมให้กับบุคลากรรับทราบทั้งระดับตนเอง หน่วยงานและระดับคณะฯ ผู้จัดจึงจัดทำคู่มือปฏิบัติงานเรื่อง การจัดอบรมความมั่นคงปลอดภัยด้านสารสนเทศ (IT Security Awareness) เพื่อใช้เป็นแนวทางปฏิบัติงานของหน่วยงาน ซึ่งได้รวบรวม ระเบียบ ประกาศ ขั้นตอนต่าง ๆ ที่เกี่ยวข้อง