# ISO 27018 คืออะไร? คู่มือมาตรฐานความเป็นส่วนตัวบน Cloud สำหรับธุรกิจไทย 2026
ในยุคที่องค์กรส่วนใหญ่ย้ายระบบขึ้น Cloud เพื่อความคล่องตัวและประหยัดต้นทุน คำถามสำคัญที่ผู้บริหารและ DPO (Data Protection Officer) ต้องตอบให้ได้คือ "ข้อมูลส่วนบุคคลของลูกค้าที่ฝากไว้บน Cloud ปลอดภัยแค่ไหน?" เมื่อ PDPA ของประเทศไทยมีผลบังคับใช้เต็มรูปแบบ และ GDPR ในยุโรปเข้มงวดขึ้นทุกปี การเลือกผู้ให้บริการ Cloud ที่ได้รับการรับรอง ISO 27018 จึงกลายเป็นหลักประกันความน่าเชื่อถือที่สำคัญ
ISO/IEC 27018 คือมาตรฐานสากลที่พัฒนาขึ้นเพื่อวางแนวทางป้องกันข้อมูลส่วนบุคคล (Personally Identifiable Information - PII) บนระบบ Public Cloud โดยเฉพาะ มาตรฐานนี้ไม่ใช่มาตรฐานเดี่ยวแต่เป็นส่วนขยายของ ISO 27001/27002 ที่มุ่งเน้นบทบาทของผู้ให้บริการ Cloud ในฐานะ "PII Processor"
บทความนี้จะอธิบายองค์ประกอบของ ISO 27018 ทั้ง 7 หลักการพื้นฐาน ความแตกต่างจาก ISO 27001 และ ISO 27017 ขั้นตอน Implement จริง และวิธีใช้มาตรฐานนี้สนับสนุนการทำ PDPA ในบริบทไทย
ISO 27018 คืออะไร? ทำไมสำคัญกับธุรกิจที่ใช้ Cloud
ISO/IEC 27018:2019 (ฉบับแก้ไขครั้งล่าสุด) คือประมวลปฏิบัติ (Code of Practice) สำหรับการปกป้อง PII ที่ถูกประมวลผลโดย Public Cloud Service Provider (CSP) ซึ่งทำหน้าที่เป็น PII Processor พูดง่ายๆ คือ หากคุณฝากข้อมูลลูกค้าไว้กับ AWS, Microsoft Azure, Google Cloud หรือ CSP ไทย มาตรฐานนี้คือกฎที่ CSP ต้องปฏิบัติเพื่อให้มั่นใจว่าข้อมูลของคุณจะไม่ถูกนำไปใช้ผิดวัตถุประสงค์
| ประเด็น | ISO 27001 | ISO 27017 | ISO 27018 |
|---------|-----------|-----------|-----------|
| จุดประสงค์หลัก | ระบบบริหารความมั่นคงข้อมูล (ISMS) | ความปลอดภัยบน Cloud | ความเป็นส่วนตัว (PII) บน Cloud |
| ขอบเขต | ทุกประเภทข้อมูล | ข้อมูลทั่วไปบน Cloud | ข้อมูลส่วนบุคคลบน Cloud |
| กลุ่มเป้าหมาย | ทุกองค์กร | ผู้ใช้และผู้ให้บริการ Cloud | ผู้ให้บริการ Cloud (CSP) |
| การใช้ร่วมกัน | เป็นฐาน | ต่อยอดจาก 27001 | ต่อยอดจาก 27001/27002 |
สิ่งที่ทำให้ ISO 27018 แตกต่างคือมันไม่ได้พูดถึงแค่เรื่อง "ความปลอดภัย" แต่เน้น "ความเป็นส่วนตัว" โดยเฉพาะ เช่น การห้ามนำข้อมูลลูกค้าไปทำ Marketing โดยไม่ได้รับความยินยอม การแจ้งสถานที่จัดเก็บข้อมูล และสิทธิ์ของเจ้าของข้อมูลในการลบ/แก้ไขข้อมูล
7 หลักการพื้นฐาน (Principles) ของ ISO 27018
นอกจาก 7 หลักการหลักแล้ว ISO 27018 ยังมี 14 Control เพิ่มเติมเฉพาะด้าน Privacy ใน Annex A ที่ CSP ต้องปฏิบัติตาม เช่น Encryption of PII in transit, การจัดการ Subcontractor, สิทธิ์ในการ Audit และการลบข้อมูลเมื่อยุติบริการ
ขั้นตอนการ Implement ISO 27018 ในองค์กร
การได้รับการรับรอง ISO 27018 ไม่ใช่เรื่องง่าย แต่มีขั้นตอนชัดเจน องค์กรส่วนใหญ่ใช้เวลา 6-12 เดือนในการเตรียมตัว
การประยุกต์ ISO 27018 กับ PDPA ประเทศไทย
สำหรับองค์กรไทย ISO 27018 เป็นเครื่องมือสำคัญในการแสดงความรับผิดชอบ (Accountability) ภายใต้ PDPA มาตรา 37 และ 40 ที่กำหนดให้ Data Controller และ Data Processor ต้องมีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม
| ข้อกำหนด PDPA | ISO 27018 Control ที่สอดคล้อง |
|---------------|-------------------------------|
| มาตรา 37 - Security Measures | Annex A.10 Cryptography, A.13 Communications |
| มาตรา 39 - Data Breach Notification | A.16 Information Security Incident |
| มาตรา 40 - Data Processor Obligations | Principles ทั้ง 7 + DPA |
| มาตรา 30 - Consent Management | A.11 Consent and Choice |
| มาตรา 33 - Data Subject Rights | A.12 Individual Rights |
ทิปที่สำคัญสำหรับ DPO ไทย คือเลือก CSP ที่ได้รับ ISO 27018 และขอ DPA ที่ระบุชัดเจนเรื่อง Cross-border Data Transfer หากข้อมูลถูกเก็บนอกประเทศไทย ต้องปฏิบัติตาม PDPA มาตรา 28 ด้วย
เปรียบเทียบ CSP ที่ได้ ISO 27018 ในปี 2026
| CSP | ได้รับการรับรอง | สถานที่เก็บข้อมูล | ระดับความเหมาะกับ SME ไทย |
|-----|----------------|------------------|--------------------------|
| AWS | ใช่ (ทุก Region) | Singapore, Jakarta | สูง - มี Local Zone กรุงเทพ |
| Microsoft Azure | ใช่ | Singapore, Malaysia | สูง - มี Thailand Region ปี 2025 |
| Google Cloud | ใช่ | Singapore, Taiwan | กลาง - ราคาสูง |
| Alibaba Cloud | ใช่บางบริการ | Singapore, Hong Kong | กลาง - เหมาะกับตลาดจีน |
| True IDC / NT Cloud | บางส่วน | ประเทศไทย | สูง - Data Residency ในไทย |
สรุปและ Call to Action
ISO 27018 ไม่ใช่แค่ "ใบรับรอง" แต่คือ framework ที่ช่วยให้องค์กรและ CSP มั่นใจว่า PII ที่อยู่บน Cloud ได้รับการปกป้องตามมาตรฐานสากล สำหรับธุรกิจไทยที่ต้องปฏิบัติตาม PDPA มาตรฐานนี้คือทางลัดที่แสดงความพร้อมและสร้างความเชื่อมั่นให้ลูกค้า
Key Takeaways:
หากองค์กรของคุณกำลังวางแผน Implement ISO 27018 หรือต้องการปรับปรุงระบบ Cloud ให้สอดคล้องกับ PDPA ติดต่อทีม ADS FIT เพื่อรับคำปรึกษา และอ่านบทความเพิ่มเติมเกี่ยวกับ ISO 27017 Cloud Security และ PDPA Guide for SME