หน่วยงาน CII คือหน่วยงานรัฐหรือเอกชนที่ให้บริการในด้านที่ กมช. ประกาศตามมาตรา 49 ของ พ.ร.บ.ไซเบอร์ เช่น การเงิน โทรคมนาคม พลังงาน และสาธารณสุข บทความนี้เหมาะกับผู้บริหาร ฝ่ายไอที และผู้รับจ้างไอทีของ CII ได้เกณฑ์ตรวจว่าบริษัทเข้าข่ายหรือไม่ และหน้าที่ที่ต้องทำเมื่อเป็น CII
- กมช. เป็นผู้ประกาศลักษณะหน่วยงาน CII ตามมาตรา 49 ใน 7 ด้าน และถ้าสงสัยว่าเข้าข่ายหรือไม่ กมช. วินิจฉัยชี้ขาดตามมาตรา 51
- ต้องแจ้งรายชื่อเจ้าของกรรมสิทธิ์ ผู้ครอบครองคอมพิวเตอร์ และผู้ดูแลระบบ ภายใน 30 วันนับแต่ประกาศหรือคำวินิจฉัย (มาตรา 52)
- ประเมินความเสี่ยงและตรวจสอบด้านไซเบอร์อย่างน้อยปีละครั้ง แล้วส่งผลสรุปต่อสำนักงานภายใน 30 วันหลังเสร็จ (มาตรา 54)
- ภัยคุกคามที่มีนัยสำคัญต้องรายงานสำนักงานและหน่วยงานกำกับ ไม่รายงานโดยไม่มีเหตุอันสมควรปรับไม่เกิน 200,000 บาท (มาตรา 57, 73)
- ผู้รับจ้างไอทีของ CII จะเจอข้อกำหนดด้านไซเบอร์ในสัญญา รวมถึงสิทธิของ CII ที่จะเข้าตรวจ (ประมวลแนวทางปฏิบัติ ข้อ 21.4)
ผู้บริหารฝ่ายไอทีหลายคนได้ยินคำว่า CII ครั้งแรกจากลูกค้า ไม่ใช่จากกฎหมาย เช่น ธนาคารที่จ้างบริษัทพัฒนาระบบส่งร่างสัญญาฉบับใหม่มา มีข้อกำหนดเรื่องการตรวจสอบความปลอดภัยเพิ่มเข้ามาหลายหน้า พร้อมหมายเหตุว่าเป็นไปตามประมวลแนวทางปฏิบัติของ พ.ร.บ.ไซเบอร์
คำถามแรกที่ตามมาคือ บริษัทเราเป็น CII ด้วยหรือเปล่า คำถามที่สองคือ ถ้าไม่ใช่ ทำไมหน้าที่ถึงมาถึงเรา บทความนี้ตอบทั้งสองข้อจากพระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 และประกาศที่ออกตามกฎหมายนี้
หน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศคือใคร?
คือหน่วยงานของรัฐหรือเอกชนที่มีภารกิจหรือให้บริการโครงสร้างพื้นฐานสำคัญทางสารสนเทศ ตามนิยามในมาตรา 3 ของ พ.ร.บ.การรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 ส่วนตัวโครงสร้างพื้นฐานนั้น กฎหมายนิยามไว้ว่า
"โครงสร้างพื้นฐานสำคัญทางสารสนเทศ" หมายความว่า คอมพิวเตอร์หรือระบบคอมพิวเตอร์ซึ่งหน่วยงานของรัฐหรือหน่วยงานเอกชนใช้ในกิจการของตนที่เกี่ยวข้องกับการรักษาความมั่นคงปลอดภัยของรัฐ ความปลอดภัยสาธารณะ ความมั่นคงทางเศรษฐกิจของประเทศ หรือโครงสร้างพื้นฐานอันเป็นประโยชน์สาธารณะ
นิยามนี้กว้างมาก ถ้าอ่านลำพังแทบทุกบริษัทใหญ่จะดูเข้าข่าย กฎหมายจึงไม่ให้แต่ละองค์กรตัดสินเอง มาตรา 49 ให้อำนาจคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (กมช.) เป็นผู้ประกาศลักษณะหน่วยงานที่เป็น CII
ให้คณะกรรมการมีอำนาจประกาศกำหนดลักษณะหน่วยงานที่มีภารกิจหรือให้บริการในด้านดังต่อไปนี้ เป็นหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ (1) ด้านความมั่นคงของรัฐ (2) ด้านบริการภาครัฐที่สำคัญ (3) ด้านการเงินการธนาคาร (4) ด้านเทคโนโลยีสารสนเทศและโทรคมนาคม (5) ด้านการขนส่งและโลจิสติกส์ (6) ด้านพลังงานและสาธารณูปโภค (7) ด้านสาธารณสุข (8) ด้านอื่นตามที่คณะกรรมการประกาศกำหนดเพิ่มเติม
มาตรา 49 วรรคสองให้การประกาศเป็นไปตามหลักเกณฑ์ที่ กมช. กำหนดและลงราชกิจจานุเบกษา และให้ทบทวนเป็นคราว ๆ ไป ส่วนมาตรา 51 กำหนดว่าถ้ามีข้อสงสัยหรือข้อโต้แย้งเรื่องลักษณะหน่วยงาน ให้ กมช. วินิจฉัยชี้ขาด
เช็กอย่างไรว่าองค์กรเราอาจเป็น CII?
ใช้คำถามห้าข้อนี้คัดกรองก่อนคุยกับหน่วยงานที่กำกับดูแล คำตอบสุดท้ายยังอยู่ที่ประกาศของ กมช. และหน่วยงานกำกับ
| คำถาม | ถ้าตอบว่าใช่ | อ้างอิง |
|---|---|---|
| ภารกิจหรือบริการหลักอยู่ในด้านใดด้านหนึ่งของมาตรา 49 หรือไม่ | ไปข้อถัดไป | มาตรา 49 วรรคหนึ่ง |
| ระบบคอมพิวเตอร์ที่ให้บริการนั้นเกี่ยวกับความมั่นคงของรัฐ ความปลอดภัยสาธารณะ ความมั่นคงทางเศรษฐกิจ หรือโครงสร้างพื้นฐานอันเป็นประโยชน์สาธารณะหรือไม่ | เข้านิยามโครงสร้างพื้นฐานสำคัญทางสารสนเทศ | มาตรา 3 |
| มีหน่วยงานที่กฎหมายให้อำนาจควบคุมหรือกำกับดูแลกิจการของเราหรือไม่ | หน่วยงานนั้นคือผู้ตรวจมาตรฐานขั้นต่ำของเราถ้าเป็น CII | มาตรา 3 · มาตรา 53 |
| ลักษณะหน่วยงานของเราตรงกับประกาศของ กมช. หรือได้รับแจ้งจากหน่วยงานกำกับหรือไม่ | ถือว่าเป็น CII นับ 30 วันตามมาตรา 52 | มาตรา 49 วรรคสอง · มาตรา 52 |
| ยังไม่แน่ใจหรือเห็นต่าง | ขอให้ กมช. วินิจฉัยชี้ขาด | มาตรา 51 |
ถ้าองค์กรเป็นหน่วยงานของรัฐ ต้องอ่านต่ออีกชั้น เพราะหลายมาตราในหมวด 3 เช่น มาตรา 44 มาตรา 45 มาตรา 46 และมาตรา 58 ใช้กับหน่วยงานของรัฐด้วย ไม่ได้ใช้เฉพาะ CII
เมื่อเป็น CII แล้ว ต้องทำอะไรเมื่อไร?
หน้าที่ของ CII แบ่งได้สามกลุ่ม คือ แจ้งตัวผู้รับผิดชอบ วางระบบและตรวจสอบเป็นรอบปี และรายงานเมื่อเกิดเหตุ ไล่ตามลำดับเวลาได้ดังนี้
- วันที่ กมช. ประกาศ หรือวินิจฉัยเริ่มนับกำหนดเวลาของหน้าที่แจ้งรายชื่อมาตรา 49 วรรคสอง · มาตรา 51
- ภายใน 30 วันแจ้งรายชื่อและข้อมูลติดต่อของเจ้าของกรรมสิทธิ์ ผู้ครอบครองคอมพิวเตอร์ และผู้ดูแลระบบ ไปยังสำนักงาน หน่วยงานกำกับ และหน่วยงานตามมาตรา 50มาตรา 52 วรรคหนึ่ง
- โดยเร็วจัดทำประมวลแนวทางปฏิบัติและกรอบมาตรฐานของตัวเอง และแจ้งรายชื่อเจ้าหน้าที่ระดับบริหารและระดับปฏิบัติการไปยังสำนักงานมาตรา 44 · มาตรา 46
- อย่างน้อยปีละครั้งประเมินความเสี่ยงโดยผู้ตรวจประเมิน และตรวจสอบด้านไซเบอร์โดยผู้ตรวจสอบภายในหรือผู้ตรวจสอบอิสระภายนอกมาตรา 54 วรรคหนึ่ง · ประมวลฯ ข้อ 17.1 และ 18
- ภายใน 30 วันหลังตรวจเสร็จส่งผลสรุปรายงานต่อสำนักงาน พร้อมสำเนาให้หน่วยงานกำกับมาตรา 54 วรรคสอง · ประมวลฯ ข้อ 17.2
- ภายใน 30 วันนับแต่ได้รับรายงานที่พบการไม่ปฏิบัติตามส่งแผนการดำเนินการแก้ไขพร้อมกรอบเวลา เว้นแต่ กกม. ระบุเป็นอย่างอื่นประมวลฯ ข้อ 17.3
- อย่างน้อยปีละครั้ง และเมื่อมีการเปลี่ยนแปลงสำคัญทบทวนแผนการรับมือภัยคุกคามทางไซเบอร์ประมวลฯ ข้อ 19.3 · 19.4
- ก่อนเปลี่ยนตัวผู้รับผิดชอบอย่างน้อย 7 วันแจ้งการเปลี่ยนแปลงล่วงหน้า เว้นแต่มีเหตุจำเป็นที่ทำให้ต้องแจ้งโดยเร็วมาตรา 52 วรรคสอง
- เมื่อเกิดภัยคุกคามที่มีนัยสำคัญรายงานสำนักงานและหน่วยงานกำกับ แล้วรับมือตามส่วนที่ 4 ของหมวด 3มาตรา 57 · มาตรา 58
แจ้งตัวผู้รับผิดชอบภายใน 30 วัน
เพื่อประโยชน์ในการติดต่อประสานงาน ให้หน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศแจ้งรายชื่อและข้อมูลการติดต่อของเจ้าของกรรมสิทธิ์ ผู้ครอบครองคอมพิวเตอร์ และผู้ดูแลระบบคอมพิวเตอร์ไปยังสำนักงาน หน่วยงานควบคุมหรือกำกับดูแลของตน และหน่วยงานตามมาตรา 50 ภายในสามสิบวันนับแต่วันที่คณะกรรมการประกาศตามมาตรา 49 วรรคสอง และมาตรา 50 วรรคสอง หรือนับแต่วันที่คณะกรรมการมีคำวินิจฉัยตามมาตรา 51 แล้วแต่กรณี
ท้ายมาตรา 52 วรรคหนึ่งยังกำหนดว่าคนที่แจ้งต้องเป็นผู้รับผิดชอบในการบริหารงานของหน่วยงาน ชื่อที่ส่งไปจึงควรเป็นคนที่มีอำนาจตัดสินใจจริง ไม่ใช่แค่ช่องอีเมลกลางของฝ่ายไอที
ประมวลแนวทางปฏิบัติ ประเมินความเสี่ยง และตรวจสอบรายปี
มาตรา 44 ให้ CII จัดทำประมวลแนวทางปฏิบัติและกรอบมาตรฐานด้านไซเบอร์ของตัวเอง และกำหนดเนื้อหาขั้นต่ำไว้สองเรื่อง
ประมวลแนวทางปฏิบัติด้านการรักษาความมั่นคงปลอดภัยไซเบอร์ตามวรรคหนึ่ง อย่างน้อยต้องประกอบด้วยเรื่อง ดังต่อไปนี้ (1) แผนการตรวจสอบและประเมินความเสี่ยงด้านการรักษาความมั่นคงปลอดภัยไซเบอร์โดยผู้ตรวจประเมิน ผู้ตรวจสอบภายใน หรือผู้ตรวจสอบอิสระจากภายนอก อย่างน้อยปีละหนึ่งครั้ง (2) แผนการรับมือภัยคุกคามทางไซเบอร์
ถ้า CII ยังไม่มีประมวลของตัวเอง หรือมีแต่ไม่ครบ มาตรา 44 วรรคสามให้ใช้ประมวลแนวทางปฏิบัติที่สำนักงานจัดทำแทน ฉบับที่ใช้อยู่คือประกาศคณะกรรมการกำกับดูแลด้านความมั่นคงปลอดภัยไซเบอร์ (กกม.) เรื่อง ประมวลแนวทางปฏิบัติและกรอบมาตรฐานฯ พ.ศ. 2564 ซึ่งมีผลเมื่อพ้นหนึ่งปีนับแต่ลงราชกิจจานุเบกษา
หน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ ต้องจัดให้มีการประเมินความเสี่ยงด้านการรักษาความมั่นคงปลอดภัยไซเบอร์โดยมีผู้ตรวจประเมิน รวมทั้งต้องจัดให้มีการตรวจสอบด้านความมั่นคงปลอดภัยไซเบอร์โดยผู้ตรวจสอบด้านความมั่นคงปลอดภัยสารสนเทศ ทั้งโดยผู้ตรวจสอบภายในหรือโดยผู้ตรวจสอบอิสระภายนอก อย่างน้อยปีละหนึ่งครั้ง ให้หน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศจัดส่งผลสรุปรายงานการดำเนินการต่อสำนักงานภายในสามสิบวันนับแต่วันที่ดำเนินการแล้วเสร็จ
ข้อ 17.1 ของประมวลฯ ปี 2564 กำหนดขอบเขตการตรวจไว้สามเรื่อง คือ กระบวนการและผลการวิเคราะห์ผลกระทบทางธุรกิจ (BIA) บริการที่สำคัญตามผล BIA และการปฏิบัติตามกฎหมาย ประมวลแนวทางปฏิบัติ และมาตรฐานที่เกี่ยวข้อง ข้อ 18 ยังให้กำหนดระดับความเสี่ยงที่ยอมรับได้ ตัวชี้วัดความเสี่ยงที่สำคัญ (KRI) และรายงานผลต่อคณะกรรมการของหน่วยงานเป็นประจำ
17.3 ในกรณีที่การตรวจสอบดำเนินการภายใต้มาตรา 54 ระบุการไม่ปฏิบัติตามข้อ 17.1 เว้นแต่ กกม. จะระบุเป็นลายลักษณ์อักษรเป็นอย่างอื่น ให้หน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศส่งแผนการดำเนินการแก้ไขไปยังสำนักงานภายในกำหนด 30 (สามสิบ) วันนับแต่จากวันที่ได้รับรายงานการตรวจสอบ
ถ้ายังไม่ได้มาตรฐาน กฎหมายใช้วิธีไล่ขึ้นไปหาผู้บริหาร ไม่ได้เริ่มที่ค่าปรับ ตามมาตรา 53 และมาตรา 55 หน่วยงานกำกับแจ้งให้แก้ก่อน ถ้ายังเพิกเฉยจะส่งเรื่องให้ กกม. ซึ่งสำหรับหน่วยงานเอกชนจะแจ้งไปยังผู้บริหารระดับสูงสุด ผู้ครอบครองคอมพิวเตอร์ และผู้ดูแลระบบให้แก้ไขโดยเร็ว และเลขาธิการต้องติดตามผล
เกิดเหตุแล้วต้องรายงานใคร และมีโทษอะไร?
ต้องรายงานทั้งสำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (สกมช.) และหน่วยงานกำกับของตัวเอง เมื่อภัยคุกคามเกิดขึ้นอย่างมีนัยสำคัญต่อระบบของ CII
เมื่อมีเหตุภัยคุกคามทางไซเบอร์เกิดขึ้นอย่างมีนัยสำคัญต่อระบบของหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ ให้หน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ รายงานต่อสำนักงานและหน่วยงานควบคุมหรือกำกับดูแล และปฏิบัติการรับมือกับภัยคุกคามทางไซเบอร์ตามที่กำหนดในส่วนที่ 4 ทั้งนี้ กกม. อาจกำหนดหลักเกณฑ์และวิธีการการรายงานด้วยก็ได้
มาตรา 57 ไม่ได้เขียนจำนวนชั่วโมงไว้ในตัวบท แต่เปิดให้ กกม. กำหนดหลักเกณฑ์และวิธีการรายงาน ส่วนมาตรา 58 ซึ่งใช้กับทั้งหน่วยงานของรัฐและ CII ให้ตรวจสอบข้อมูลและระบบเมื่อเกิดหรือคาดว่าจะเกิดภัยคุกคาม แล้วแจ้งสำนักงานและหน่วยงานกำกับโดยเร็ว
หน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศใดไม่รายงานเหตุภัยคุกคามทางไซเบอร์ตามมาตรา 57 โดยไม่มีเหตุอันสมควร ต้องระวางโทษปรับไม่เกินสองแสนบาท
โทษนี้ไม่ได้หยุดที่ตัวนิติบุคคล มาตรา 77 ให้กรรมการ ผู้จัดการ หรือผู้รับผิดชอบการดำเนินงานที่สั่งการ หรือมีหน้าที่ต้องสั่งการแต่ละเว้นจนนิติบุคคลกระทำผิด ต้องรับโทษสำหรับความผิดนั้นด้วย
ไม่ได้เป็น CII แต่เป็นผู้รับจ้างของ CII จะเจออะไรบ้าง?
เจอผ่านสัญญาเป็นหลัก พ.ร.บ.ไซเบอร์ไม่ได้ตั้งหน้าที่ตามมาตรา 52 ถึง 57 ให้ผู้รับจ้างโดยตรง แต่ประมวลแนวทางปฏิบัติปี 2564 ให้ CII รับผิดชอบงานที่จ้างคนนอกทำ และต้องเขียนข้อกำหนดลงในสัญญา
ข้อ 10 ของเอกสารแนบท้ายนิยาม “ผู้ให้บริการภายนอก” ไว้กว้าง ครอบคลุมผู้ให้บริการด้านไอที ผู้ที่เชื่อมต่อกับระบบของ CII และผู้ที่เข้าถึงข้อมูลสำคัญหรือข้อมูลผู้ใช้บริการที่ CII ดูแลได้ บริษัทซอฟต์แวร์ ผู้ให้บริการคลาวด์ และทีมซัพพอร์ตที่รีโมตเข้าระบบ จึงอยู่ในความหมายนี้ทั้งหมด
21.4.1 ต้องรับผิดชอบ (Responsible) และมีภาระรับผิดชอบ (Accountable) ต่อการดูแลรักษาความมั่นคงปลอดภัยไซเบอร์ของโครงสร้างพื้นฐานสำคัญทางสารสนเทศ แม้ว่าผู้ให้บริการภายนอกจะดำเนินงานใด ๆ ก็ตามในส่วนของบริการที่สำคัญหน่วยงานของรัฐ และหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ
เพราะ CII โอนความรับผิดชอบให้ใครไม่ได้ ข้อ 21.4.2 จึงให้ใส่ข้อกำหนดด้านไซเบอร์ไว้ในข้อตกลงระดับการให้บริการ (SLA) หรือเงื่อนไขของสัญญา โดยอย่างน้อยต้องคำนึงถึงสี่เรื่อง
(ง) สิทธิ์ของหน่วยงานของรัฐ และหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศในการตรวจสอบความมั่นคงปลอดภัยไซเบอร์ของผู้ให้บริการภายนอก
| สิ่งที่จะเจอในสัญญาหรือการทำงาน | ที่มา | สิ่งที่ผู้รับจ้างควรเตรียม |
|---|---|---|
| ประเภทผู้ให้บริการที่เข้าถึงทรัพย์สินของบริการสำคัญ ตามความต้องการทางธุรกิจและโปรไฟล์ความเสี่ยง | ข้อ 21.4.2 (ก) | รายชื่อระบบ บัญชีผู้ใช้ และช่องทางที่ทีมของเราเข้าถึงได้ |
| ภาระหน้าที่ปกป้องบริการสำคัญจากภัยคุกคาม | ข้อ 21.4.2 (ข) | นโยบายความปลอดภัยของบริษัท และหลักฐานว่าทำตามจริง |
| ความเสี่ยงของบริการและห่วงโซ่อุปทานผลิตภัณฑ์ | ข้อ 21.4.2 (ค) | รายชื่อซอฟต์แวร์หรือบริการต่อที่เราใช้ส่งมอบงาน |
| สิทธิของ CII ในการตรวจสอบความปลอดภัยของเรา | ข้อ 21.4.2 (ง) | พร้อมรับการตรวจ หรือมีรายงานการตรวจจากบุคคลที่สาม |
| การตรวจโดยบุคคลที่สามหรือการตรวจผลิตภัณฑ์ | ข้อ 21.4.3 (ควรพิจารณา) | ผลทดสอบหรือใบรับรองที่มีอยู่ |
| การอบรมความตระหนักรู้สำหรับผู้รับเหมาและผู้ให้บริการภายนอกที่เข้าถึง CII | ข้อ 22.5.1 | ส่งทีมเข้าอบรม และเก็บหลักฐานการอบรม |
| ช่องทางติดต่อผู้ขายบริการนิติวิทยาศาสตร์หรือกู้คืนในแผนรับมือเหตุ | ข้อ 19.1 (ซ) | ผู้ติดต่อฉุกเฉินที่ตอบได้นอกเวลาทำการ |
ประกาศ กมช. เรื่องมาตรฐานขั้นต่ำของข้อมูลหรือระบบสารสนเทศ พ.ศ. 2566 ทำให้เรื่องนี้หนักขึ้นสำหรับระบบระดับสูง ข้อ 4 (3) กำหนดให้ระบบที่มีคุณลักษณะความมั่นคงปลอดภัยไซเบอร์ระดับสูง ต้องมีการจัดการผู้ให้บริการภายนอก การประเมินช่องโหว่และทดสอบเจาะระบบ การแบ่งปันข้อมูล และการรักษาและฟื้นฟูความเสียหายเพิ่มจากระดับกลาง
(3) ในกรณีที่ข้อมูลหรือระบบสารสนเทศมีคุณลักษณะความมั่นคงปลอดภัยไซเบอร์อยู่ในระดับสูง ให้กำหนดมาตรการควบคุมความมั่นคงปลอดภัยไซเบอร์ขั้นต่ำสำหรับข้อมูลหรือระบบสารสนเทศ ตามหัวข้อ ต่อไปนี้ (ก) ให้ดำเนินการตามข้อ (2) (ข) การประเมินช่องโหว่และการทดสอบเจาะระบบ (Vulnerability Assessment and Penetration Testing) (ค) การจัดการผู้ให้บริการภายนอก (Third Party Management)
ถ้างานที่รับจ้างเกี่ยวกับข้อมูลส่วนบุคคล ผู้รับจ้างยังมีหน้าที่ของตัวเองตาม PDPA มาตรา 40 (2) ในฐานะผู้ประมวลผลข้อมูล คือต้องมีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม และแจ้งผู้ควบคุมข้อมูลเมื่อเกิดเหตุละเมิด วิธีเขียนข้อตกลงฝั่งนี้ดูได้ที่คู่มือสัญญาผู้ประมวลผลข้อมูล
บริษัทเอกชนทั่วไปต้องสนใจ พ.ร.บ.ไซเบอร์แค่ไหน?
ถ้าไม่ได้เป็น CII ไม่ได้เป็นหน่วยงานรัฐ และไม่ได้รับจ้าง CII หน้าที่ตามส่วนที่ 3 ของหมวด 3 ไม่ได้ใช้กับบริษัทโดยตรง ประกาศมาตรฐานขั้นต่ำปี 2566 ก็นิยาม “หน่วยงาน” ไว้เฉพาะหน่วยงานของรัฐ หน่วยงานควบคุมหรือกำกับดูแล และ CII
แต่มีสองเรื่องที่ยังเกี่ยว เรื่องแรก มาตรา 58 วรรคสองให้หน่วยงานหรือบุคคลที่เจออุปสรรคในการรับมือภัยคุกคาม ร้องขอความช่วยเหลือจากสำนักงานได้ เรื่องที่สอง หน้าที่ด้านความปลอดภัยตาม PDPA ใช้กับทุกผู้ควบคุมข้อมูลอยู่แล้ว และกรอบของ สกมช. เป็นโครงที่ใช้ต่อได้ทันที รายละเอียดอยู่ในเช็กลิสต์มาตรฐานขั้นต่ำ เทียบ สกมช. กับ สคส.
ในระบบ AIPDPA มาตรการควบคุมความปลอดภัยถูกจับคู่ไว้กับมาตรฐานของ สคส. สพธอ. และ สกมช. แล้ว ทีมไอทีจึงเห็นในหน้าเดียวว่าแต่ละมาตรการตอบข้อไหนของกฎหมายไหน และเมื่อเกิดเหตุ ทะเบียนเหตุละเมิดจะนับ 72 ชั่วโมงฝั่ง PDPA ให้ เริ่มจากสแกนเว็บไซต์ฟรี เพื่อดูจุดที่คนนอกมองเห็นก่อน
ข้อผิดพลาดที่พบบ่อยเรื่อง CII
สถานะเกิดจากประกาศของ กมช. ตามมาตรา 49 หรือคำวินิจฉัยตามมาตรา 51 ไม่ได้เกิดจากการอยู่ในด้านใดด้านหนึ่งเท่านั้น
มาตรา 52 ให้แจ้งรายชื่อเจ้าของกรรมสิทธิ์ ผู้ครอบครองคอมพิวเตอร์ และผู้ดูแลระบบ ซึ่งอย่างน้อยต้องเป็นผู้รับผิดชอบในการบริหารงานของหน่วยงาน
มาตรา 54 วรรคสองและข้อ 17.2 ให้ส่งผลสรุปต่อสำนักงานภายใน 30 วัน พร้อมสำเนาให้หน่วยงานกำกับ
มาตรา 58 ให้แจ้งโดยเร็ว และมาตรา 73 ลงโทษ CII ที่ไม่รายงานตามมาตรา 57 โดยไม่มีเหตุอันสมควร
ข้อ 21.4.1 ให้ CII รับผิดชอบและมีภาระรับผิดชอบ แม้ผู้ให้บริการภายนอกเป็นผู้ดำเนินงาน
ตรงกับสิ่งที่ข้อ 21.4.2 (ก) และ (ง) ให้ CII ใส่ไว้ในสัญญา
คำถามที่พบบ่อย
CII คืออะไร?
หน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ (CII) คือหน่วยงานของรัฐหรือเอกชนที่มีภารกิจหรือให้บริการโครงสร้างพื้นฐานสำคัญทางสารสนเทศ ตามมาตรา 3 ของ พ.ร.บ.การรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 โดย กมช. เป็นผู้ประกาศลักษณะหน่วยงานตามมาตรา 49
CII มีกี่ด้าน?
มาตรา 49 ระบุเจ็ดด้าน คือ ความมั่นคงของรัฐ บริการภาครัฐที่สำคัญ การเงินการธนาคาร เทคโนโลยีสารสนเทศและโทรคมนาคม การขนส่งและโลจิสติกส์ พลังงานและสาธารณูปโภค และสาธารณสุข และ กมช. ประกาศด้านอื่นเพิ่มได้
ถ้าไม่แน่ใจว่าองค์กรเป็น CII หรือไม่ ต้องทำอย่างไร?
มาตรา 51 กำหนดว่าถ้ามีข้อสงสัยหรือข้อโต้แย้งเกี่ยวกับลักษณะหน่วยงานตามมาตรา 49 หรือ 50 ให้ กมช. วินิจฉัยชี้ขาด และกำหนด 30 วันตามมาตรา 52 จะนับจากวันที่มีคำวินิจฉัย
CII ต้องตรวจสอบด้านไซเบอร์บ่อยแค่ไหน?
อย่างน้อยปีละครั้ง ทั้งการประเมินความเสี่ยงโดยผู้ตรวจประเมิน และการตรวจสอบโดยผู้ตรวจสอบภายในหรือผู้ตรวจสอบอิสระภายนอก ตามมาตรา 54 แล้วส่งผลสรุปต่อสำนักงานภายใน 30 วันหลังดำเนินการเสร็จ
CII ไม่รายงานเหตุภัยคุกคาม มีโทษอะไร?
มาตรา 73 กำหนดโทษปรับไม่เกิน 200,000 บาท ถ้าไม่รายงานตามมาตรา 57 โดยไม่มีเหตุอันสมควร และมาตรา 77 ให้กรรมการหรือผู้จัดการที่สั่งการหรือละเว้นจนเกิดความผิดรับโทษด้วย
ผู้รับจ้างไอทีของ CII มีหน้าที่ตาม พ.ร.บ.ไซเบอร์โดยตรงไหม?
หน้าที่ตามมาตรา 52 ถึง 57 เป็นของ CII แต่ประมวลแนวทางปฏิบัติปี 2564 ข้อ 21.4 ให้ CII ใส่ข้อกำหนดด้านไซเบอร์ในสัญญากับผู้ให้บริการภายนอก รวมถึงสิทธิเข้าตรวจ ผู้รับจ้างจึงได้รับหน้าที่ผ่านสัญญา
ตัวบทและแหล่งอ้างอิง
- พระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 — มาตรา 3 · มาตรา 44 · มาตรา 49 – มาตรา 58 · มาตรา 73 · มาตรา 77
- ประกาศคณะกรรมการกำกับดูแลด้านความมั่นคงปลอดภัยไซเบอร์ เรื่อง ประมวลแนวทางปฏิบัติและกรอบมาตรฐานด้านการรักษาความมั่นคงปลอดภัยไซเบอร์ สำหรับหน่วยงานของรัฐและหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ พ.ศ. 2564 — เอกสารแนบท้าย ข้อ 10 · ข้อ 17 · ข้อ 18 · ข้อ 19 · ข้อ 21.4 · ข้อ 22.5.1
- ประกาศคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ เรื่อง มาตรฐานขั้นต่ำของข้อมูลหรือระบบสารสนเทศ พ.ศ. 2566 — ข้อ 3 · ข้อ 4 (3)
ตัวบทที่ยกมาในกรอบ "ตัวบท" คัดคำต่อคำจากคลังกฎหมายของ AIPDPA ซึ่งถอดจากราชกิจจานุเบกษาและเอกสารของหน่วยงานรัฐ แล้วระบบตรวจทุกครั้งที่แก้บทความว่าตรงกับคลังทุกตัวอักษร · บทความนี้เป็นความรู้ทั่วไป ไม่ใช่คำปรึกษากฎหมายสำหรับกรณีใดกรณีหนึ่ง
ลงมือในระบบได้ที่
ใครรับผิดชอบเนื้อหานี้?
เรียบเรียงโดยทีมกฎหมาย AIPDPA · ผู้รับผิดชอบเนื้อหา ภูวรา ครอบตะคุ ทนายความ · เนติบัณฑิตไทย · ที่ปรึกษากฎหมายเทคโนโลยีและทรัพย์สินทางปัญญา
ใบอนุญาตทนายความ 477/2558 · เนติบัณฑิตไทย · นิติศาสตรมหาบัณฑิต กฎหมายทรัพย์สินทางปัญญาและสารสนเทศ (เหรียญทอง)