กรอบธรรมาภิบาล ความน่าเชื่อถือ ข้อมูล และความมั่นคงปลอดภัยของ Univerza

1. วัตถุประสงค์

กำหนดข้อกำหนดและแนวทางของ Univerza สำหรับเรื่อง กรอบธรรมาภิบาล ความน่าเชื่อถือ ข้อมูล และความมั่นคงปลอดภัยของ Univerza ให้มีเจ้าของ การอนุมัติ การปฏิบัติ และหลักฐานที่ตรวจสอบย้อนหลังได้อย่างสม่ำเสมอ

2. ขอบเขต

ใช้กับหน่วยงาน บุคลากร ผู้รับจ้าง ผลิตภัณฑ์ ระบบ ข้อมูล และผู้ให้บริการทั้งหมดที่ Univerza ควบคุมหรือว่าจ้าง เว้นแต่มีข้อยกเว้นที่ได้รับอนุมัติเป็นลายลักษณ์อักษร

3. หลักการและข้อกำหนด

1. กำหนดกรอบกลาง 5 เสาหลัก: Governance, Privacy, Security, Data Governance และ Legal/Compliance/Assurance
2. ใช้กับทุกบริษัท หน่วยงาน บุคลากร ระบบ แอป ผู้รับจ้าง และผู้ประมวลผลข้อมูลในเครือ Univerza
3. กำหนดลำดับชั้น Framework → Policy → Standard → Procedure → Guideline → Record & Evidence
4. กำหนด Shared Responsibility ระหว่าง Univerza เจ้าของผลิตภัณฑ์ ลูกค้า/สถาบัน ผู้ให้บริการ และผู้ใช้งาน
5. กำหนดให้ทุกผลิตภัณฑ์มี Product Annex, Data Flow, ROPA, Risk Register และ Control Mapping ของตนเอง

4. บทบาทและความรับผิดชอบ

• Document Owner — Executive Owner: ดูแลเนื้อหา การนำไปใช้ การวัดผล และการทบทวน
• Approver — Board / CEO: อนุมัติฉบับใช้งานและยอมรับความเสี่ยงที่เหลืออยู่
• Product/System/Data Owners: นำข้อกำหนดไปใช้ในขอบเขตของตนและจัดเก็บหลักฐาน
• Risk, Privacy, Security และ Legal: ให้คำปรึกษา ตรวจสอบ และยกระดับข้อบกพร่องตามหน้าที่
• บุคลากรและผู้รับจ้าง: ปฏิบัติตาม รายงานเหตุ และไม่หลีกเลี่ยง Control

5. หลักฐานขั้นต่ำ

• บันทึกการอนุมัติและประวัติการเปลี่ยนแปลง
• รายการข้อยกเว้น ความเสี่ยง และการแก้ไขที่เกี่ยวข้อง
• หลักฐานการสื่อสาร การอบรม หรือการรับทราบตามขอบเขต
• Log, Register, Report หรือผลทดสอบที่พิสูจน์ว่าข้อกำหนดถูกนำไปใช้จริง

6. การยกเว้นและการไม่ปฏิบัติตาม

ข้อยกเว้นต้องดำเนินการตาม UNI-GOV-007 ระบุเหตุผล ความเสี่ยง Compensating Controls ผู้อนุมัติ และวันหมดอายุ การไม่ปฏิบัติตามต้องถูกบันทึก ประเมินผลกระทบ และติดตามการแก้ไข

7. เกณฑ์ก่อนนำขึ้น Production

• ☐ Document Owner ตรวจความถูกต้องและความสอดคล้องกับการปฏิบัติงานจริง
• ☐ Privacy, Security, Legal หรือ Risk Review ตามหัวข้อที่เกี่ยวข้อง
• ☐ ผู้อนุมัติตาม metadata อนุมัติและกำหนด Effective Date
• ☐ เปลี่ยน approval_status เป็น approved, target_environment เป็น production และ production_eligible เป็น true
• ☐ สื่อสาร/อบรมผู้เกี่ยวข้องและเชื่อมหลักฐานในระบบปลายทาง

8. การทบทวน

ทบทวนอย่างน้อยปีละครั้ง และเมื่อมีกฎหมาย สัญญา โครงสร้างองค์กร ผลิตภัณฑ์ ระบบ Vendor หรือความเสี่ยงเปลี่ยนแปลงอย่างมีนัยสำคัญ