RE:stเอกสาร · ข้อกำหนด · หลักฐาน2026

สำหรับองค์กรที่ทำ ISO 27001

เห็นทั้ง 93 มาตรการของ ISO 27001 ในหน้าเดียว ข้อไหนครบ ข้อไหนยังขาด

เอกสาร ISO 27001 ของคุณมีอยู่แล้วในไดรฟ์กลาง ส่งชุดนั้นมา เราช่วยตั้งต้นใน RE:st และจับคู่กับข้อกำหนดให้ แล้วทีมของคุณดูแลต่อ คุณจะเห็นว่าข้อไหนมีเอกสารและหลักฐานครบ ข้อไหนยังไม่มีอะไรรองรับ

ขอแผนที่ ISO 27001 ขององค์กรคุณดูว่าทำงานอย่างไร

ตอนนี้รับองค์กรจำนวนจำกัด

ข้อมูลตัวอย่าง: องค์กรที่เพิ่งตั้งต้นเสร็จ

กดช่องไหนก็ได้ เพื่อดูว่าข้อนั้นมีอะไรรองรับ

ISO 27001 · พิสูจน์ได้ 12 จาก 91 มาตรการใน Annex A · ไม่ใช้ 2

ข้อหลัก 1 จาก 4

A.5องค์กร37 ข้อ

A.5.1Policies for information securityอนุมัติแล้ว 2ต้องมีเอกสารพิสูจน์ได้
A.5.2Information security roles and responsibilitiesอนุมัติแล้ว 1ไม่บังคับพิสูจน์ได้
A.5.3Segregation of duties—ไม่บังคับยังไม่ครบ
A.5.4Management responsibilities—ไม่บังคับยังไม่ครบ
A.5.5Contact with authorities—ไม่บังคับยังไม่มีอะไรรองรับ
A.5.6Contact with special interest groups—ไม่บังคับยังไม่มีอะไรรองรับ
A.5.7Threat intelligence—ไม่บังคับยังไม่มีอะไรรองรับ
A.5.8Information security in project management—ไม่บังคับยังไม่มีอะไรรองรับ
A.5.9Inventory of information and other associated assetsอนุมัติแล้ว 1ไม่บังคับพิสูจน์ได้
A.5.10Acceptable use of information and other associated assets—ต้องมีเอกสารยังไม่ครบ
A.5.11Return of assets—ไม่บังคับยังไม่ครบ
A.5.12Classification of information—ไม่บังคับยังไม่ครบ
A.5.13Labelling of information—ไม่บังคับยังไม่ครบ
A.5.14Information transfer—ไม่บังคับยังไม่ครบ
A.5.15Access controlอนุมัติ 2 · รอ 1ไม่บังคับพิสูจน์ได้มีหลักฐานที่อนุมัติแล้ว 2 ชิ้นผู้รับผิดชอบ: ธนพล วงศ์ดี
A.5.16Identity managementอนุมัติแล้ว 1ไม่บังคับพิสูจน์ได้
A.5.17Authentication information—ไม่บังคับยังไม่ครบ
A.5.18Access rightsรออนุมัติ 1ไม่บังคับรออนุมัติ
A.5.19Information security in supplier relationships—ไม่บังคับยังไม่ครบ
A.5.20Addressing information security within supplier agreements—ไม่บังคับยังไม่ครบ
A.5.21Managing information security in the ICT supply chain—ไม่บังคับยังไม่มีอะไรรองรับ
A.5.22Monitoring, review and change management of supplier services—ไม่บังคับยังไม่มีอะไรรองรับ
A.5.23Information security for use of cloud services—ไม่บังคับยังไม่ครบ
A.5.24Information security incident management planning and preparationอนุมัติแล้ว 1ไม่บังคับพิสูจน์ได้
A.5.25Assessment and decision on information security events—ไม่บังคับยังไม่ครบ
A.5.26Response to information security incidentsอนุมัติแล้ว 1ต้องมีเอกสารเลยกำหนด
A.5.27Learning from information security incidents—ไม่บังคับยังไม่ครบ
A.5.28Collection of evidence—ไม่บังคับยังไม่มีอะไรรองรับ
A.5.29Information security during disruption—ไม่บังคับยังไม่ครบ
A.5.30ICT readiness for business continuity—ไม่บังคับยังไม่ครบ
A.5.31Legal, statutory, regulatory and contractual requirementsอนุมัติแล้ว 1ต้องมีเอกสารใกล้ถึงรอบทบทวน
A.5.32Intellectual property rights—ไม่บังคับยังไม่มีอะไรรองรับ
A.5.33Protection of records—ไม่บังคับยังไม่มีอะไรรองรับ
A.5.34Privacy and protection of PII—ไม่บังคับยังไม่ครบ
A.5.35Independent review of information security—ไม่บังคับยังไม่มีอะไรรองรับ
A.5.36Compliance with policies, rules and standards for information security—ไม่บังคับยังไม่ครบ
A.5.37Documented operating procedures—ต้องมีเอกสารยังไม่ครบ

A.6บุคลากร8 ข้อ

A.6.1Screening—ไม่บังคับยังไม่ครบ
A.6.2Terms and conditions of employment—ไม่บังคับยังไม่ครบ
A.6.3Information security awareness, education and trainingอนุมัติแล้ว 1ไม่บังคับพิสูจน์ได้
A.6.4Disciplinary process—ไม่บังคับยังไม่ครบ
A.6.5Responsibilities after termination or change of employment—ไม่บังคับยังไม่ครบ
A.6.6Confidentiality or non-disclosure agreementsอนุมัติแล้ว 1ไม่บังคับพิสูจน์ได้
A.6.7Remote working—ไม่บังคับยังไม่ครบ
A.6.8Information security event reporting—ไม่บังคับยังไม่มีอะไรรองรับ

A.7กายภาพ13 ข้อ

A.7.1Physical security perimeters—ไม่บังคับยังไม่ครบ
A.7.2Physical entry—ไม่บังคับยังไม่ครบ
A.7.3Securing offices, rooms and facilities—ไม่บังคับยังไม่มีอะไรรองรับ
A.7.4Physical security monitoring—ไม่บังคับยังไม่มีอะไรรองรับ
A.7.5Protecting against physical and environmental threats—ไม่บังคับยังไม่มีอะไรรองรับ
A.7.7Clear desk and clear screen—ไม่บังคับยังไม่ครบ
A.7.8Equipment siting and protection—ไม่บังคับยังไม่มีอะไรรองรับ
A.7.9Security of assets off-premises—ไม่บังคับยังไม่ครบ
A.7.10Storage media—ไม่บังคับยังไม่ครบ
A.7.11Supporting utilities—ไม่บังคับยังไม่มีอะไรรองรับ
A.7.12Cabling security—ไม่บังคับยังไม่มีอะไรรองรับ
A.7.13Equipment maintenance—ไม่บังคับยังไม่มีอะไรรองรับ
A.7.14Secure disposal or re-use of equipment—ไม่บังคับยังไม่ครบ

A.8เทคโนโลยี33 ข้อ

A.8.1User endpoint devices—ไม่บังคับยังไม่ครบ
A.8.2Privileged access rightsอนุมัติแล้ว 1ไม่บังคับพิสูจน์ได้
A.8.3Information access restrictionอนุมัติแล้ว 1ไม่บังคับพิสูจน์ได้
A.8.4Access to source code—ไม่บังคับยังไม่มีอะไรรองรับ
A.8.5Secure authentication—ไม่บังคับยังไม่ครบ
A.8.6Capacity management—ไม่บังคับยังไม่มีอะไรรองรับ
A.8.7Protection against malwareอนุมัติแล้ว 1ไม่บังคับพิสูจน์ได้
A.8.8Management of technical vulnerabilitiesรออนุมัติ 1ไม่บังคับรออนุมัติ
A.8.9Configuration managementอนุมัติแล้ว 1ยังไม่มีเอกสารยังไม่ครบ
A.8.10Information deletion—ไม่บังคับยังไม่ครบ
A.8.11Data masking—ไม่บังคับยังไม่มีอะไรรองรับ
A.8.12Data leakage prevention—ไม่บังคับยังไม่ครบ
A.8.13Information backupอนุมัติแล้ว 1ไม่บังคับพิสูจน์ได้
A.8.14Redundancy of information processing facilities—ไม่บังคับยังไม่มีอะไรรองรับ
A.8.15Loggingรออนุมัติ 1ไม่บังคับรออนุมัติ
A.8.16Monitoring activities—ไม่บังคับยังไม่ครบ
A.8.17Clock synchronization—ไม่บังคับยังไม่มีอะไรรองรับ
A.8.18Use of privileged utility programs—ไม่บังคับยังไม่มีอะไรรองรับ
A.8.19Installation of software on operational systems—ไม่บังคับยังไม่มีอะไรรองรับ
A.8.20Networks security—ไม่บังคับยังไม่ครบ
A.8.21Security of network services—ไม่บังคับยังไม่มีอะไรรองรับ
A.8.22Segregation of networks—ไม่บังคับยังไม่มีอะไรรองรับ
A.8.23Web filtering—ไม่บังคับยังไม่มีอะไรรองรับ
A.8.24Use of cryptography—ไม่บังคับยังไม่ครบ
A.8.25Secure development life cycle—ไม่บังคับยังไม่มีอะไรรองรับ
A.8.26Application security requirements—ไม่บังคับยังไม่มีอะไรรองรับ
A.8.27Secure system architecture and engineering principles—ไม่บังคับยังไม่มีอะไรรองรับ
A.8.28Secure coding—ไม่บังคับยังไม่มีอะไรรองรับ
A.8.29Security testing in development and acceptance—ไม่บังคับยังไม่มีอะไรรองรับ
A.8.31Separation of development, test and production environments—ไม่บังคับยังไม่มีอะไรรองรับ
A.8.32Change management—ไม่บังคับยังไม่ครบ
A.8.33Test information—ไม่บังคับยังไม่มีอะไรรองรับ
A.8.34Protection of information systems during audit testing—ไม่บังคับยังไม่มีอะไรรองรับ

ไม่ใช้กับองค์กร2 ข้อ

A.7.6Working in secure areasเหตุผล: ไม่มีพื้นที่ปลอดภัยเฉพาะ ระบบทั้งหมดอยู่บนคลาวด์ไม่ใช้กับองค์กร
A.8.30Outsourced developmentเหตุผล: ไม่ได้จ้างภายนอกพัฒนาระบบไม่ใช้กับองค์กร

A.5.15

Access control

พิสูจน์ได้

มีหลักฐานที่อนุมัติแล้ว 2 ชิ้น

ผู้รับผิดชอบ
ธนพล วงศ์ดี
เอกสาร
ไม่บังคับ

ทำอย่างไร

ใช้ระบบยืนยันตัวตนกลาง ให้สิทธิ์ตามบทบาท และทบทวนสิทธิ์ทุกไตรมาส

หลักฐาน3

  • XLSX

    รายงานทบทวนสิทธิ์ผู้ใช้ ไตรมาส 3

    อนุมัติแล้วโดย มาลี ศรีสุข

  • PNG

    ภาพหน้าจอการตั้งสิทธิ์ตามบทบาท

    อนุมัติแล้วโดย มาลี ศรีสุข

  • DOCX

    แบบฟอร์มขอสิทธิ์เข้าถึงระบบ

    รออนุมัติส่งโดย ธนพล วงศ์ดี

เอกสารที่เชื่อมไว้

นโยบายการควบคุมการเข้าถึง v1.3

ประกาศใช้แล้วทบทวนทุก 12 เดือนครบรอบในอีก 7 เดือน

ความเคลื่อนไหวล่าสุด

  • ธนพล วงศ์ดี ส่งหลักฐาน “แบบฟอร์มขอสิทธิ์เข้าถึงระบบ”เมื่อวาน
  • มาลี ศรีสุข อนุมัติ “รายงานทบทวนสิทธิ์ผู้ใช้ ไตรมาส 3”2 วันก่อน
  • ธนพล วงศ์ดี ส่งหลักฐาน “รายงานทบทวนสิทธิ์ผู้ใช้ ไตรมาส 3”4 วันก่อน

ตัวอย่างนี้ดูได้อย่างเดียว

แสดง 91 ข้อ: ทั้งหมด
  • 93มาตรการควบคุมใน Annex A อยู่ในแผนที่ครบทุกข้อ
  • 4ข้อหลักของมาตรฐาน ติดตามแยกให้เห็นชัด
  • 6สถานะที่บอกว่าแต่ละข้ออยู่ตรงไหน
  • 1คนในองค์กรที่ต้องมี เพื่อดูแลต่อ

01ปัญหาที่เจอ

ใกล้วันตรวจ ISO 27001 ทีไร ก็ต้องเริ่มไล่ใหม่

หาฉบับที่ใช้จริงไม่เจอ

เอกสารกระจายอยู่หลายโฟลเดอร์ในไดรฟ์กลาง หาฉบับที่ใช้จริงไม่เจอ หรือต้องใช้เวลานาน

  1. เรื่องเดียวกัน 4 ไฟล์ อยู่ใน 4 โฟลเดอร์
  2. ไฟล์ที่แก้ล่าสุด ไม่ได้แปลว่าเป็นฉบับที่ใช้อยู่

ไม่เห็นภาพรวม

ไม่เห็นภาพรวมว่าข้อกำหนดไหนครบแล้ว ข้อไหนยังขาด ข้อไหนถึงรอบทบทวน

  1. พิมพ์ว่ามีแล้ว ทั้งที่เลยวันทบทวนไปแล้ว
  2. ช่องว่าง แปลว่ายังไม่ได้ทำ หรือแค่ยังไม่ได้กรอก

ไม่รู้ว่าอนุมัติหรือยัง

หลักฐานของแต่ละข้ออยู่กับคนละคน และไม่รู้ว่าอนุมัติแล้วหรือยัง

  1. ส่งมาแล้ว แต่ไม่มีที่ไหนบอกว่าอนุมัติหรือยัง
  2. อีกชิ้นอยู่ในไดรฟ์ส่วนตัวของอีกคน

02เริ่มต้นอย่างไร

คุณส่งเอกสาร เราตั้งต้นให้ ทีมของคุณดูแลต่อ

  1. ส่งชุดเอกสาร ISO 27001 ที่มีอยู่

    นโยบายและขั้นตอนที่เป็นไฟล์ Word และ Markdown พร้อมแจ้งชื่อผู้ดูแลในองค์กร 1 คน ไฟล์สแกนหรือ PDF ใช้แนบเป็นหลักฐานได้

  2. เราจัดเข้าระบบและจับคู่ให้

    เรานำเอกสารเข้า RE:st แยกประเภท และจับคู่กับข้อกำหนดของ ISO 27001 (93 มาตรการควบคุมใน Annex A และ 4 ข้อหลัก)

  3. ทีมของคุณดูแลต่อ

    ผู้ดูแลของคุณเพิ่มหลักฐาน ส่งให้อนุมัติ และปรับเอกสารต่อในระบบ แผนที่เปลี่ยนตามสิ่งที่ทีมทำ

03แผนที่ข้อกำหนด

รู้สถานะของทุกข้อกำหนด ก่อนผู้ตรวจจะถาม

ทุกข้อของ ISO 27001 มีสถานะของตัวเอง ดูได้ในหน้าเดียวว่าข้อไหนพิสูจน์ได้แล้ว ข้อไหนยังต้องทำต่อ

  • กรองดูเฉพาะข้อที่ยังขาด หรือดูทีละหมวด
  • ข้อที่ไม่เกี่ยวกับองค์กร ทำเครื่องหมายไม่ใช้ได้ และต้องใส่เหตุผลทุกครั้ง
  • กำหนดผู้รับผิดชอบทีละข้อ หรือหลายข้อพร้อมกัน
  • ตัวเลขนับจากสิ่งที่อยู่ในระบบจริง ไม่ได้กรอกเอง

สถานะของแต่ละข้อ

พิสูจน์ได้
มีหลักฐานที่ผ่านการอนุมัติ และมีเอกสารครบในข้อที่บังคับต้องมีเอกสาร
รออนุมัติ
ส่งหลักฐานแล้ว รอคนอนุมัติ
ยังไม่ครบ
มีบางอย่างรองรับแล้ว แต่ยังไม่พอจะนับว่าพิสูจน์ได้
ยังไม่มีอะไรรองรับ
ยังไม่มีเอกสารหรือหลักฐานผูกไว้
ใกล้ถึงรอบทบทวน
เอกสารที่ข้อนี้บังคับต้องมี ใกล้ถึงรอบทบทวน
เลยกำหนด
เอกสารเลยรอบทบทวน หรือหลักฐานหมดอายุ
ไม่ใช้กับองค์กร
ไม่นับรวมในตัวเลข และมีเหตุผลกำกับทุกครั้ง

04เบื้องหลังแต่ละข้อ

เอกสารและหลักฐาน ที่อยู่เบื้องหลังทุกข้อ

ทุกฉบับอยู่ที่เดียว และรู้ว่าฉบับไหนใช้อยู่

  • เอกสารทุกฉบับอยู่ในรายการเดียว พร้อมเจ้าของ เวอร์ชัน และวันครบรอบทบทวน
  • ทุกการเปลี่ยนสถานะบันทึกชื่อคนที่เปลี่ยนและหมายเหตุ ย้อนดูได้ว่าในวันใดวันหนึ่ง ฉบับไหนที่ใช้อยู่
  • ค้นได้จากชื่อและเนื้อหาเอกสาร
  • อีเมลเตือนเมื่อเอกสารใกล้ถึงรอบทบทวน

หลักฐานต้องผ่านคนอนุมัติ ที่ไม่ใช่คนส่งเอง

  • แนบหลักฐานกับข้อกำหนดได้ ทั้ง PDF รูปภาพ Word และ Excel ไฟล์ละไม่เกิน 10 MB
  • คนที่ส่งหลักฐาน อนุมัติของตัวเองไม่ได้ ถ้าในองค์กรมีผู้อนุมัติคนอื่น
  • ถ้าไม่มีใครอื่น ระบบติดป้าย "รับรองตัวเอง" ไว้ให้เห็น

นโยบายเชื่อมถึงบันทึกที่ทำจริง

  • ตามจากนโยบาย ไปถึงขั้นตอน และบันทึกที่พิสูจน์ว่าทำจริง พร้อมบอกว่าสายไหนยังขาด

เมื่อผู้ตรวจขอไฟล์

  • ส่งออกเอกสารเป็น PDF หรือ Word
  • ทะเบียนรายการเอกสารที่ประกาศใช้ เป็น PDF
  • ดาวน์โหลดเอกสารทั้งหมดเป็นไฟล์เดียว

05ขอบเขต

RE:st ทำอะไร และยังไม่ทำอะไร

สิ่งที่ทำ

  • เก็บและจัดการเอกสารกับหลักฐานของ ISO 27001
  • แผนที่สถานะของทุกข้อ ทะเบียนเอกสาร และไฟล์สำหรับผู้ตรวจ
  • ตั้งต้นให้จากเอกสารที่คุณมีอยู่แล้ว

สิ่งที่ยังไม่ทำ

  • มาตรฐานอื่นนอกจาก ISO 27001
  • การประชุมทบทวนโดยผู้บริหาร

สิ่งที่ต้องมีจากฝั่งคุณ

  • ผู้ดูแลในองค์กร 1 คน ที่ดูแลระบบต่อหลังตั้งต้น
  • งาน ISO ยังเป็นของทีมคุณ เราช่วยตั้งต้น แต่ไม่ได้ทำแทน
  • เราไม่รับประกันผลการตรวจประเมิน

06คำถาม

คำถามที่พบบ่อย

ยังมีคำถามอื่น? ติดต่อเรา

ต้องย้ายเอกสารทั้งหมดไหม

ไม่ต้อง ย้ายเฉพาะชุดเอกสารที่ใช้กับ ISO 27001 เราช่วยตั้งต้นชุดนั้นให้ ส่วนเอกสารอื่นทีมของคุณเพิ่มต่อเองได้ทีหลัง

ใช้ไฟล์แบบไหนได้บ้าง

นโยบายและขั้นตอนนำเข้าจากไฟล์ Word และ Markdown แล้วแก้ไขต่อในระบบได้ ไฟล์สแกนและ PDF แนบเป็นหลักฐานได้ แต่ไม่ได้แปลงเป็นเอกสารที่แก้ไขได้ หลักฐานแนบได้ทั้ง PDF รูปภาพ Word และ Excel ไฟล์ละไม่เกิน 10 MB

ต้องมีคนดูแลไหม

ต้องมี 1 คนในองค์กร เช่น จากฝ่ายไอที ฝ่ายความมั่นคงปลอดภัยสารสนเทศ หรือฝ่ายกำกับดูแล ที่ดูแลระบบต่อหลังตั้งต้น

ข้อมูลเก็บที่ไหน

บนคลาวด์ที่สิงคโปร์ (ผู้ให้บริการ Supabase)

ราคาเท่าไร

ปีแรกจ่ายครั้งเดียว รวมการตั้งต้นและการใช้งานทั้งปี ปีต่อไปจ่ายเฉพาะค่าระบบ ติดต่อเราเพื่อขอใบเสนอราคา

ใช้กับมาตรฐานอื่นได้ไหม

ตอนนี้ใช้กับ ISO 27001 เท่านั้น

เริ่มต้น

ขอแผนที่ ISO 27001 ขององค์กรคุณ

ฝากอีเมลและชื่อองค์กรไว้ เราจะติดต่อกลับเพื่อคุยเรื่องการตั้งต้นจากเอกสารที่คุณมี

ตอนนี้รับองค์กรจำนวนจำกัด