3 เม.ย.54 มีโอกาสฟังบรรยาย และอ่านหนังสือเกี่ยวกับแนวคิด GRC (Governance, Risk and Compliance) ของ อ.ปริญญา หอมเอนก ผู้ทรงคุณวุฒิด้านความปลอดภัยสารสนเทศ พบว่าบุคลากรที่ควรเข้าใจเรื่องความปลอดภัยเป็นอันดับแรกคือผู้บริหาร ซึ่งประเด็นที่ควรให้ความสำคัญมี 3 เสาหลัก คือ การกำกับดูแล การจัดการความเสี่ยง และการปฏิบัติตามกฎระเบียบ โดยเฉพาะการให้ความสำคัญกับกฎหมายด้านความปลอดภัยที่เกี่ยวกับเทคโนโลยีเริ่มมีผลบังคับใช้
แนวคิด GRC ต้องเริ่มจากผู้บริหารระดับสูงสุดเป็นคนแรก และเป็นความรับผิดชอบหลักของคณะกรรมการบริหาร (Board of Director) ที่มีหน้าที่ดำเนินการ 3 องค์ประกอบนี้ให้สัมพันธ์ สอดคล้อง แบ่งปันข้อมูล ทำงานเป็นทีม มีส่วนร่วมจากทุกระดับ และสนับสนุนทรัพยากรอย่างเพียงพอ โดยนิยามได้ดังนี้ 1) Governance หมายถึง การกำกับดูแลนโยบาย วัฒนธรรมองค์กร กระบวนการขั้นตอนการปฏิบัติงานที่ถูกกำหนดออกมาอย่างชัดเจนในการบริหารจัดการ และกำกับดูแลองค์กรโดยผู้บริหารระดับสูง 2) Risk Management หมายถึง การบริหารจัดการความเสี่ยงที่มีเป้าหมายในการลดผลกระทบจากความเสี่ยงที่อาจมีโอกาสเกิดขึ้นได้ในองค์กร 3) Compliance หมายถึง การปฏิบัติตามกฎระเบียบข้อบังคับ และกฎหมาย ตลอดจนการปฏิบัติตามนโยบายด้านสารสนเทศและความปลอดภัยขององค์กรอย่างถูกต้องได้ตามมาตรฐาน
กฎหมายด้านเทคโนโลยีที่เริ่มประกาศใช้แล้วนั้น เป็นความจำเป็นที่ผู้บริหารต้องเข้าใจ และให้ความสำคัญ ดังนั้นแนวคิด GRC จึงมีองค์ประกอบให้องค์กรใช้พิจารณา และปฏิบัติตามกฎหมายได้อย่างถูกต้อง มีตัวอย่างกฎหมายด้านเทคโนโลยี ได้แก่ 1) พระราชบัญญัติว่าด้วยธุรกรรมทางอิเล็กทรอนิกส์ พ.ศ.๒๕๔๔ ประกาศ ๒ ธันวาคม ๒๕๔๔ 2) พระราชกฤษฎีกากำหนดหลักเกณฑ์และวิธีการในการทำธุรกรรมทางอิเล็กทรอนิกส์ภาครัฐ พ.ศ.๒๕๔๙ ประกาศ ๒๖ พฤศจิกายน ๒๕๔๙ 3) พระราชบัญญัติว่าด้วยการกระทําความผิดเกี่ยวกับคอมพิวเตอร์ พ.ศ. ๒๕๕๐ ประกาศ ๑๘ มิถุนายน ๒๕๕๐ 4) หลักเกณฑ์การเก็บรักษาข้อมูลจราจรทางคอมพิวเตอร์ของผู้ให้บริการ พ.ศ. ๒๕๕๐ ประกาศ ๒๑ สิงหาคม ๒๕๕๐ การเป็นคนไทยต้องปฏิบัติตามกฎหมายของประเทศไทย มีข้อพึงระวังคือ ความไม่รู้กฎหมายไม่เป็นข้อแก้ตัวให้พ้นผิด
http://en.wikipedia.org/wiki/Governance,_risk_management,_and_compliance
