มาตรฐาน สกมช. 2567 สำหรับการย้ายระบบขึ้นคลาวด์ คือประกาศ กมช. ว่าด้วยความมั่นคงปลอดภัยไซเบอร์ระบบคลาวด์ มีผลตั้งแต่ 11 กันยายน 2569 ใช้กับหน่วยงานรัฐ หน่วยงานกำกับดูแล โครงสร้างพื้นฐานสำคัญ และผู้ให้บริการคลาวด์ของหน่วยงานเหล่านี้ เหมาะกับฝ่ายไอทีและ DPO
- ใช้กับหน่วยงานของรัฐ หน่วยงานควบคุมหรือกำกับดูแล หน่วยงาน CII และผู้ให้บริการคลาวด์ที่มีสัญญากับหน่วยงานเหล่านี้
- ข้อมูลส่วนบุคคลต้องจัดระดับผลกระทบด้านความลับอย่างน้อยระดับกลาง (ประกาศคลาวด์ ข้อ 5)
- ศูนย์ข้อมูลหลักต้องอยู่ในไทยเฉพาะระบบผลกระทบสูง และยกเว้นได้ถ้าด้านความมั่นคงของรัฐอยู่ระดับต่ำหรือกลาง
- ทำตามมาตรฐานเสร็จแล้ว ต้องส่งผลสรุปรายงานให้ สกมช. ภายใน 30 วัน (ข้อ 6)
- สัญญาคลาวด์ต้องแบ่งหน้าที่ 12 เรื่องให้ชัด เช่น สำรองข้อมูล เข้ารหัส และการคืนข้อมูลเมื่อเลิกสัญญา (แนบท้าย 5.2.9.2)
หลายหน่วยงานย้ายระบบขึ้นคลาวด์สาธารณะไปตั้งแต่ช่วงนโยบาย Cloud First แต่กติกาด้านความปลอดภัยที่ใช้กับคลาวด์โดยตรงเพิ่งมีผลบังคับเมื่อเดือนที่แล้ว คือ ประกาศคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ เรื่อง มาตรฐานด้านการรักษาความมั่นคงปลอดภัยไซเบอร์ระบบคลาวด์ พ.ศ. 2567 ซึ่งออกตามมาตรา 9 (4) แห่ง พ.ร.บ.การรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562
ประกาศฉบับนี้ลงราชกิจจานุเบกษาเมื่อ 10 กันยายน 2567 และให้เวลาเตรียมตัวสองปี จึงเริ่มมีผลวันที่ 11 กันยายน 2569 ใครที่ยังคิดว่าเป็นเรื่องอนาคต ตอนนี้ไม่ใช่แล้ว
ประกาศนี้ให้ใช้บังคับเมื่อพ้นกำหนดสองปีนับแต่วันประกาศในราชกิจจานุเบกษาเป็นต้นไป
บทความนี้อ่านประกาศคลาวด์ 2567 คู่กับ ประกาศสำนักงาน กมช. เรื่อง แนวทางการใช้บริการคลาวด์สาธารณะที่มีศูนย์ข้อมูลหลักในประเทศไทย พ.ศ. 2567 ซึ่งตอบคำถามที่ฝ่ายไอทีถามกันมากที่สุด ว่าต้องใช้ศูนย์ข้อมูลในไทยหรือไม่ แล้วปิดท้ายด้วยเช็กลิสต์ที่ควรมีในสัญญาคลาวด์
มาตรฐานคลาวด์ สกมช. 2567 ใช้บังคับกับใครบ้าง?
ใช้กับสามกลุ่มตาม พ.ร.บ.ไซเบอร์ฯ คือ หน่วยงานของรัฐ หน่วยงานควบคุมหรือกำกับดูแล และหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ (CII) รวมทั้งผู้ให้บริการคลาวด์ที่ให้บริการหน่วยงานเหล่านี้ ข้อ 3 ของประกาศเรียกรวมทั้งสามกลุ่มว่า “หน่วยงาน”
มาตรฐานฉบับนี้ ใช้บังคับกับหน่วยงานของรัฐ หน่วยงานควบคุมหรือกำกับดูแล และหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ ตามพระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 รวมถึงผู้ให้บริการคลาวด์กับหน่วยงานดังกล่าวข้างต้นด้วย
ฝั่งผู้ให้บริการคลาวด์ ขอบเขตแคบกว่าที่หลายคนคิด แนบท้ายข้อ 2 เขียนว่าใช้กับผู้ให้บริการคลาวด์สาธารณะ เฉพาะที่ต้องให้บริการ กับหน่วยงานสามกลุ่มข้างต้น และอาศัยสัญญาระหว่างกันเป็นฐาน ผู้ให้บริการที่ขายให้ลูกค้าเอกชนอย่างเดียวจึงไม่ถูกมาตรฐานนี้บังคับโดยตรง
เป็นหน่วยงานของรัฐตาม พ.ร.บ.ไซเบอร์ฯ ต้องทำตามข้อกำหนดขั้นต่ำท้ายประกาศตามระดับผลกระทบ (ข้อ 4)
ประกาศนับรวมเป็น “หน่วยงาน” ตามข้อ 3 แม้จะเป็นนิติบุคคลเอกชน
แนบท้ายข้อ 1.7 ให้ผู้ให้บริการมีหน้าที่ดำเนินการตามที่หน่วยงานร้องขอ และต้องมีใบรับรองตามระดับผลกระทบ
แต่ยังต้องมีมาตรการรักษาความมั่นคงปลอดภัยและข้อตกลงกับผู้ประมวลผลตาม พ.ร.บ.คุ้มครองข้อมูลฯ อยู่เหมือนเดิม
ข้อมูลส่วนบุคคลบนคลาวด์ต้องจัดระดับผลกระทบอย่างน้อยแค่ไหน?
อย่างน้อยระดับกลางในด้านการรักษาความลับ ข้อ 5 ของประกาศคลาวด์เขียนไว้ตรง ๆ และผูกกับประกาศ กมช. เรื่องมาตรฐานการกำหนดคุณลักษณะความมั่นคงปลอดภัยไซเบอร์ฯ พ.ศ. 2566 ซึ่งแบ่งผลกระทบเป็นสามระดับ คือ ต่ำ กลาง และสูง
การดำเนินการตามข้อ 4 กรณีเป็นข้อมูลส่วนบุคคล ให้จัดระดับผลกระทบด้านการรักษาความลับระดับกลางเป็นอย่างน้อย
ผลในทางปฏิบัติคือ ระบบที่มีข้อมูลลูกค้า ข้อมูลผู้ป่วย หรือข้อมูลบุคลากร จะจัดเป็นระดับต่ำไม่ได้แล้ว และเมื่อระบบเดียวมีข้อมูลหลายประเภท ประกาศ 2566 ให้ใช้ระดับของประเภทข้อมูลที่สูงที่สุดในแต่ละด้าน
พิจารณากำหนดคุณลักษณะความมั่นคงปลอดภัยไซเบอร์ของระบบสารสนเทศ โดยใช้ระดับผลกระทบของประเภทข้อมูลตามวัตถุประสงค์ด้านความมั่นคงปลอดภัยไซเบอร์ตามข้อ 4 ในแต่ละเรื่องที่มีระดับผลกระทบมากที่สุด
ระดับที่ได้จะกำหนดว่าต้องทำข้อกำหนดข้อไหนบ้าง และต้องตรวจรับรองแบบใด ตารางข้างล่างสรุปจากตารางข้อ 4 ในแนบท้ายประกาศ ช่องสุดท้ายมาจากประกาศสำนักงานเรื่องศูนย์ข้อมูลหลักในไทย
| ระดับ | ข้อกำหนดขั้นต่ำ | ผู้ใช้บริการตรวจรับรองอย่างไร | ผู้ให้บริการต้องมีใบรับรองอย่างน้อย | ศูนย์ข้อมูลหลักต้องอยู่ในไทย? |
|---|---|---|---|---|
| ต่ำ | ส่วนที่ 1 เฉพาะ 5.1.1, 5.1.2 · ส่วนที่ 2 เฉพาะ 5.2.1–5.2.4, 5.2.8, 5.2.9 | ประเมินตนเอง แนบหลักฐาน ให้ผู้บริหารสูงสุดอนุมัติ เก็บไว้และส่ง สกมช. | Certify Body รอบ 3 ปี + ISO/IEC 27001 และ CSA STAR Level 1/CCM Lite | ไม่บังคับ จะเลือกใช้ก็ได้ |
| กลาง (ขั้นต่ำของข้อมูลส่วนบุคคล) | ส่วนที่ 1 ทุกข้อ · ส่วนที่ 2 เฉพาะ 5.2.1–5.2.4, 5.2.7–5.2.10 | รับรองโดยหน่วยงานควบคุมหรือกำกับดูแล (Attestation) หรือ Certify Body รอบ 3 ปี | Certify Body รอบ 3 ปี + CSA STAR Level 2/CCM และ ISO/IEC 27701 | ไม่บังคับ จะเลือกใช้ก็ได้ |
| สูง | ส่วนที่ 1 และส่วนที่ 2 ทุกข้อ | Certify Body รอบ 3 ปี | Certify Body รอบ 3 ปี + ISO/IEC 27017 หรือ CSA STAR Level 2/CCM และ ISO/IEC 27018 และ ISO/IEC 27701 (ตามถ้อยคำในตาราง) | ต้อง เว้นแต่ด้านความมั่นคงของรัฐฯ อยู่ระดับต่ำหรือกลาง |
ความรับผิดชอบร่วมระหว่างผู้ใช้บริการกับผู้ให้บริการคลาวด์ แบ่งกันอย่างไร?
มาตรฐานนี้แบ่งข้อกำหนดออกเป็นสองคอลัมน์ทุกข้อ คอลัมน์ซ้ายเป็นหน้าที่ของผู้ใช้บริการคลาวด์ (CSC) คอลัมน์ขวาเป็นหน้าที่ของผู้ให้บริการคลาวด์ (CSP) เหตุผลเขียนไว้ในแนบท้ายข้อ 1.7 ว่าความเสี่ยงมาจากทั้งสองฝั่ง
มาตรฐานฉบับนี้จึงอาศัยหลักการเรื่องความร่วมรับผิดชอบ (Share Responsibilities) ให้กับทั้งผู้ใช้บริการคลาวด์ (CSC) และผู้ให้บริการคลาวด์ (CSP)
เส้นแบ่งหน้าที่ขยับไปตามประเภทบริการ เช่าเครื่องเปล่าแบบ IaaS หน่วยงานต้องดูแลระบบปฏิบัติการและแอปพลิเคชันเอง ใช้ซอฟต์แวร์สำเร็จรูปแบบ SaaS งานส่วนใหญ่อยู่กับผู้ให้บริการ ข้อ 5.1.1 ง) จึงกำหนดให้สัญญาเขียนเส้นแบ่งนี้ให้ชัดตามประเภทบริการ
ข้อตกลงทางสัญญาต้องกำหนดความรับผิดชอบระหว่างผู้ประมวลผลข้อมูลส่วนบุคคลบนคลาวด์ ผู้รับจ้างช่วง (Sub-contractors) และผู้ใช้บริการคลาวด์อย่างชัดเจน โดยพิจารณาจากประเภทของบริการคลาวด์ (เช่น บริการประเภท IaaS, PaaS หรือ SaaS)
สังเกตว่าข้อนี้พูดถึงผู้รับจ้างช่วงด้วย ผู้ให้บริการ SaaS หลายรายตั้งระบบอยู่บนคลาวด์ของอีกบริษัทหนึ่ง สัญญาที่ดีควรบอกได้ว่าข้อมูลของหน่วยงานผ่านมือใครบ้าง และใครรับผิดชอบส่วนไหน
ต้องใช้คลาวด์ที่มีศูนย์ข้อมูลในประเทศไทยหรือไม่?
ต้องใช้เมื่อผลการประเมินอยู่ในระดับสูง ประกาศสำนักงาน กมช. เรื่องคลาวด์สาธารณะที่มีศูนย์ข้อมูลหลักในไทย (มีผลตั้งแต่ 26 ธันวาคม 2567) เขียนเงื่อนไขไว้ในข้อ 4 วรรคหนึ่ง
จำต้องใช้บริการคลาวด์ที่ผู้ให้บริการคลาวด์ได้มีการจัดตั้งศูนย์ข้อมูลหลักในประเทศไทย (Data Localization) รวมทั้งต้องมีการจัดตั้งศูนย์ข้อมูลสำรองในประเทศไทยหรืออยู่ในภูมิภาคเอเชียตะวันออกเฉียงใต้ที่ใกล้กับการใช้งานหลักของผู้ใช้บริการคลาวด์ให้มากที่สุด รวมถึงสิงคโปร์และเขตปกครองพิเศษฮ่องกง
คำว่า “รวมถึงสิงคโปร์และเขตปกครองพิเศษฮ่องกง” ขยายพื้นที่ที่ตั้งศูนย์สำรองได้ ไม่ได้จำกัดว่าต้องเป็นสองที่นี้เท่านั้น ฮ่องกงเองก็ไม่ได้อยู่ในเอเชียตะวันออกเฉียงใต้ ตัวบทจึงต้องเติมเข้ามาให้ชัด
ข้อยกเว้นที่ใช้ได้จริงอยู่ในวรรคสอง ระบบที่ผลรวมออกมาเป็นระดับสูงเพราะด้านการเงินหรือชื่อเสียง แต่ด้านความมั่นคงของรัฐอยู่ระดับต่ำหรือกลาง ไม่จำเป็นต้องย้ายศูนย์ข้อมูลหลักมาไทย
แต่ผลการประเมินและจัดระดับผลกระทบในด้านความมั่นคงของรัฐและความสงบเรียบร้อยภายในประเทศอยู่ในระดับต่ำหรือระดับกลาง หน่วยงานของรัฐ หน่วยงานควบคุมหรือกำกับดูแล หรือหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ ไม่จำต้องใช้บริการคลาวด์ที่มีการจัดตั้งศูนย์ข้อมูลหลักในประเทศไทยก็ได้
สัญญาคลาวด์ควรเขียนอะไรให้ชัด?
แนบท้ายข้อ 5.2.9.2 ให้ผู้ใช้บริการยืนยันบทบาทและความรับผิดชอบด้านความปลอดภัยตามที่เขียนในข้อตกลงการให้บริการ และฝั่งผู้ให้บริการต้องระบุมาตรการของตนไว้ในข้อตกลงเพื่อกันความเข้าใจผิด สัญญาจึงเป็นหลักฐานชิ้นแรกที่ผู้ตรวจรับรองจะขอดู
ผู้ใช้บริการคลาวด์ ต้องยืนยันบทบาทและความรับผิดชอบด้านความมั่นคงปลอดภัยสารสนเทศที่เกี่ยวข้องกับบริการคลาวด์ ดังที่อธิบายไว้ในข้อตกลงการให้บริการ
ประกาศยกตัวอย่างกระบวนการไว้ 12 เรื่อง เราจัดเป็นคำถามที่ควรหาคำตอบให้เจอในสัญญาหรือเอกสารแนบ ถ้าหาไม่เจอ ให้ถามผู้ให้บริการเป็นลายลักษณ์อักษรก่อนเซ็น
- การป้องกันมัลแวร์และการจัดการช่องโหว่ ใครสแกน ใครแพตช์ ระดับไหนของระบบ
- การสำรองข้อมูล สำรองที่ไหน บ่อยแค่ไหน ใครทดสอบการกู้คืน
- มาตรการควบคุมการเข้ารหัส ข้อมูลเข้ารหัสทั้งตอนเก็บและตอนส่งหรือไม่ และใครถือกุญแจ
- การจัดการเหตุการณ์ ผู้ให้บริการจะแจ้งเหตุแบบไหน ภายในกรอบเวลาเท่าไร ผ่านช่องทางใด (ดูข้อ 5.2.10.1 ข) ประกอบ)
- การตรวจสอบและการทดสอบความปลอดภัย หน่วยงานขอดูรายงานตรวจหรือขอทดสอบเองได้หรือไม่
- หลักฐานและบันทึก log และเส้นทางการตรวจสอบเก็บไว้นานเท่าไร ขอสำเนาได้อย่างไร
- การปกป้องข้อมูลเมื่อสิ้นสุดข้อตกลง คืนข้อมูลในรูปแบบไหน ลบเมื่อไร และยืนยันการลบอย่างไร
- การยืนยันตัวตน การควบคุมการเข้าถึง และการจัดการข้อมูลประจำตัว บัญชีผู้ดูแลของใครเข้าถึงข้อมูลได้บ้าง
อีกเรื่องที่มักลืมคือกฎหมายของประเทศผู้ให้บริการ ข้อ 5.1.3.1 ให้ผู้ใช้บริการคิดเผื่อว่ากฎหมายที่ใช้กับบริการอาจเป็นของเขตอำนาจที่ควบคุมผู้ให้บริการ และฝั่งผู้ให้บริการก็ต้องแจ้งเขตอำนาจศาลที่ควบคุมบริการให้ทราบ
ผู้ใช้บริการคลาวด์ต้องพิจารณาประเด็นที่ว่ากฎหมายและข้อบังคับที่เกี่ยวข้องอาจเป็นกฎหมายของเขตอำนาจศาลที่ควบคุมผู้ให้บริการคลาวด์ นอกเหนือจากกฎหมายที่ควบคุมผู้ใช้บริการคลาวด์
ทำอะไรก่อนหลัง ตั้งแต่จัดระดับข้อมูลจนส่งรายงาน?
ลำดับข้างล่างเรียงจากตัวประกาศทั้งสามฉบับ ขั้นที่ 1 ต้องเสร็จก่อน เพราะทุกขั้นถัดไปขึ้นกับระดับผลกระทบที่ได้
- ขั้นที่ 1จัดระดับผลกระทบรายประเภทข้อมูลและรายด้าน (ความลับ ความถูกต้องครบถ้วน ความพร้อมใช้) ข้อมูลส่วนบุคคลด้านความลับไม่ต่ำกว่ากลางประกาศคลาวด์ ข้อ 5 · ประกาศ 2566 ข้อ 10
- ขั้นที่ 2เทียบระดับกับตารางข้อกำหนดขั้นต่ำ เพื่อรู้ว่าต้องทำข้อใดในส่วนที่ 1 และส่วนที่ 2แนบท้าย ข้อ 4
- ขั้นที่ 3เลือกผู้ให้บริการ ขอดูใบรับรองตามระดับ และตรวจที่ตั้งศูนย์ข้อมูลหลักกับศูนย์สำรองถ้าระบบอยู่ระดับสูงแนบท้าย ข้อ 1.8.2 · ประกาศสำนักงานฯ ข้อ 4
- ขั้นที่ 4เขียนสัญญาให้แบ่งหน้าที่ตามประเภทบริการ ครอบคลุมกระบวนการในข้อ 5.2.9.2 และกลไกแจ้งเหตุแนบท้าย ข้อ 5.1.1 ง) · 5.2.9.2 · 5.2.10
- ขั้นที่ 5ประเมินตนเองหรือรับการตรวจรับรองตามระดับ (ระดับกลางและสูงใช้วงรอบ 3 ปี)แนบท้าย ข้อ 1.8
- ภายใน 30 วันหลังทำเสร็จส่งผลสรุปรายงานการดำเนินการให้ สกมช. ถ้าทำตามมาตรฐานไม่ได้ ให้แจ้งเป็นหนังสือเพื่อเสนอคณะกรรมการพิจารณาประกาศคลาวด์ ข้อ 6 · ประกาศสำนักงานฯ ข้อ 6
ให้หน่วยงานจัดส่งผลสรุปรายงานการดำเนินการต่อสำนักงานภายในสามสิบวันนับแต่วันที่ดำเนินการแล้วเสร็จ
บริษัทเอกชนที่ไม่ใช่ CII ควรสนใจมาตรฐานนี้หรือไม่?
มาตรฐานคลาวด์ 2567 ไม่ได้บังคับบริษัทเอกชนทั่วไป แต่ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ยังใช้กับทุกบริษัทที่เก็บข้อมูลส่วนบุคคล ผู้ให้บริการคลาวด์ที่เก็บข้อมูลแทนเรามักมีฐานะเป็นผู้ประมวลผลข้อมูลส่วนบุคคล และมาตรา 40 วรรคสามบังคับให้ต้องมีข้อตกลงระหว่างกัน
ผู้ควบคุมข้อมูลส่วนบุคคลต้องจัดให้มีข้อตกลงระหว่างกัน เพื่อควบคุมการดำเนินงานตามหน้าที่ของผู้ประมวลผลข้อมูลส่วนบุคคลให้เป็นไปตามพระราชบัญญัตินี้
PDPA ไม่ได้บอกว่าข้อตกลงต้องมีหัวข้ออะไรบ้าง เช็กลิสต์ 12 เรื่องจากข้อ 5.2.9.2 จึงเป็นแนวทางที่ดีสำหรับบริษัทเอกชนด้วย ไม่ใช่ข้อบังคับ แต่ช่วยให้สัญญาตอบคำถามได้ครบเมื่อเกิดเหตุ ดูวิธีเขียนข้อตกลงได้ที่ คู่มือข้อตกลงผู้ประมวลผล
ถ้าศูนย์ข้อมูลของผู้ให้บริการอยู่นอกประเทศ ยังมีอีกคำถามหนึ่งที่มาตรฐานไซเบอร์ไม่ได้ตอบ คือเป็นการส่งข้อมูลไปต่างประเทศตาม PDPA มาตรา 28 หรือไม่ คำตอบขึ้นกับว่าใครเข้าถึงข้อมูลได้ อ่านต่อได้ที่ ส่งข้อมูลออกนอกไทยตามมาตรา 28 และถ้าปลายทางเป็นบริษัทในเครือ ดู BCR กับข้อสัญญามาตรฐาน
สำหรับหน่วยงานที่ต้องทำตามมาตรฐานนี้ ระบบ AIPDPA มีชุดมาตรการความมั่นคงปลอดภัยที่โยงกับมาตรฐานของ สคส. สพธอ. และ สกมช. และทะเบียนกิจกรรมการประมวลผลที่บันทึกได้ว่าระบบไหนอยู่บนคลาวด์ใด ดูภาพรวมเรื่องคลาวด์ได้ที่ คู่มือคลาวด์สาธารณะในไทย
คำถามที่พบบ่อย
มาตรฐานคลาวด์ สกมช. 2567 มีผลบังคับเมื่อไร?
ข้อ 2 ให้มีผลเมื่อพ้นสองปีนับแต่วันประกาศในราชกิจจานุเบกษา ประกาศลงวันที่ 10 กันยายน 2567 จึงมีผลตั้งแต่ 11 กันยายน 2569
บริษัทเอกชนทั่วไปต้องทำตามมาตรฐานคลาวด์ 2567 หรือไม่?
ไม่ต้อง ถ้าไม่ใช่หน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ และไม่ได้เป็นผู้ให้บริการคลาวด์ให้หน่วยงานรัฐหรือ CII แต่ยังต้องทำตาม พ.ร.บ.คุ้มครองข้อมูลฯ เช่น ต้องมีข้อตกลงกับผู้ประมวลผลตามมาตรา 40
ข้อมูลส่วนบุคคลต้องเก็บในคลาวด์ที่มีศูนย์ข้อมูลในไทยหรือไม่?
มาตรฐานนี้บังคับเฉพาะระบบที่ผลกระทบระดับสูง ข้อมูลส่วนบุคคลทั่วไปที่จัดไว้ระดับกลางยังไม่ถูกบังคับ และแม้เป็นระดับสูง ถ้าด้านความมั่นคงของรัฐและความสงบเรียบร้อยอยู่ระดับต่ำหรือกลาง ก็ไม่จำต้องใช้ศูนย์ข้อมูลหลักในไทย
ศูนย์ข้อมูลสำรองต้องอยู่ที่สิงคโปร์หรือฮ่องกงเท่านั้นหรือ?
ไม่ใช่ ตัวบทให้อยู่ในไทยหรือในเอเชียตะวันออกเฉียงใต้ที่ใกล้การใช้งานหลักที่สุด และเขียนว่า “รวมถึง” สิงคโปร์และฮ่องกง ซึ่งเป็นการเพิ่มพื้นที่ ไม่ใช่รายการปิด
ถ้าหน่วยงานทำตามมาตรฐานคลาวด์ไม่ได้ ต้องทำอย่างไร?
ประกาศสำนักงาน กมช. เรื่องคลาวด์สาธารณะที่มีศูนย์ข้อมูลหลักในไทย ข้อ 6 ให้แจ้งเป็นหนังสือมายัง สกมช. แล้วสำนักงานจะเสนอเรื่องต่อคณะกรรมการพิจารณา
ตัวบทและแหล่งอ้างอิง
- ประกาศคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ เรื่อง มาตรฐานด้านการรักษาความมั่นคงปลอดภัยไซเบอร์ระบบคลาวด์ พ.ศ. 2567 — ข้อ 2 · ข้อ 4 · ข้อ 5 · ข้อ 6 · แนบท้าย 1.7 · 1.8 · 2 · 4 · 5.1.1 · 5.1.3.1 · 5.2.5.1 · 5.2.9.2
- ประกาศสำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ เรื่อง แนวทางการใช้บริการคลาวด์สาธารณะที่มีศูนย์ข้อมูลหลักในประเทศไทย พ.ศ. 2567 — ข้อ 3 · ข้อ 4 · ข้อ 5 · ข้อ 6
- ประกาศคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ เรื่อง มาตรฐานการกำหนดคุณลักษณะความมั่นคงปลอดภัยไซเบอร์ให้แก่ข้อมูลหรือระบบสารสนเทศ พ.ศ. 2566 — ข้อ 5 · ข้อ 10
- พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — มาตรา 40
ตัวบทที่ยกมาในกรอบ "ตัวบท" คัดคำต่อคำจากคลังกฎหมายของ AIPDPA ซึ่งถอดจากราชกิจจานุเบกษาและเอกสารของหน่วยงานรัฐ แล้วระบบตรวจทุกครั้งที่แก้บทความว่าตรงกับคลังทุกตัวอักษร · บทความนี้เป็นความรู้ทั่วไป ไม่ใช่คำปรึกษากฎหมายสำหรับกรณีใดกรณีหนึ่ง
ลงมือในระบบได้ที่
ใครรับผิดชอบเนื้อหานี้?
เรียบเรียงโดยทีมกฎหมาย AIPDPA · ผู้รับผิดชอบเนื้อหา ภูวรา ครอบตะคุ ทนายความ · เนติบัณฑิตไทย · ที่ปรึกษากฎหมายเทคโนโลยีและทรัพย์สินทางปัญญา
ใบอนุญาตทนายความ 477/2558 · เนติบัณฑิตไทย · นิติศาสตรมหาบัณฑิต กฎหมายทรัพย์สินทางปัญญาและสารสนเทศ (เหรียญทอง)