เช็กลิสต์ความปลอดภัยฉบับเดียวคือการรวมประกาศ สคส. 2565 ที่ใช้กับผู้ควบคุมข้อมูลทุกราย กับประกาศ กมช. 2566 ที่ใช้กับหน่วยงานรัฐ หน่วยงานกำกับ และ CII ซึ่งใช้หลักความลับ ความถูกต้อง และความพร้อมใช้งานเหมือนกัน เหมาะกับ DPO และฝ่ายไอที ได้ข้อที่ซ้อนกันและต่างกัน
- ประกาศ สคส. 2565 ใช้กับผู้ควบคุมข้อมูลทุกราย ประกาศ กมช. 2566 ใช้กับหน่วยงานรัฐ หน่วยงานกำกับ และ CII
- ทั้งสองฉบับใช้หลัก CIA และไล่งานห้าขั้นเหมือนกัน: ระบุความเสี่ยง ป้องกัน เฝ้าระวัง เผชิญเหตุ ฟื้นฟู
- สกมช. ให้จัดระดับ C/I/A เป็นต่ำ กลาง สูง ระบบที่มีข้อมูลหลายประเภทใช้ระดับสูงสุด และทบทวนอย่างน้อยทุก 3 ปี
- สคส. ระบุชัดกว่าในเรื่องเอกสารกระดาษ บันทึกตรวจสอบย้อนหลัง และการทบทวนมาตรการเมื่อเกิดเหตุละเมิด
- ข้อ 7 ของประกาศ สคส. ให้ผู้ที่ทำตามกฎหมายอื่นอยู่แล้ว ยังต้องไม่ต่ำกว่ามาตรฐานขั้นต่ำของ สคส.
ทีมไอทีของบริษัทที่รับงานจากหน่วยงานรัฐมักได้รับคำขอสองชุดในเดือนเดียวกัน ชุดแรกจาก DPO ขอหลักฐานว่าทำตามประกาศของ สคส. เรื่องมาตรการรักษาความมั่นคงปลอดภัย ชุดที่สองจากลูกค้าขอให้กรอกแบบประเมินตามมาตรฐานขั้นต่ำของ สกมช.
ถ้าทำแยกกันจะได้เอกสารสองกองที่ซ้ำกันเกินครึ่ง บทความนี้วางประกาศสามฉบับไว้ข้างกัน ชี้ว่าตรงไหนขอเรื่องเดียวกัน ตรงไหนต่าง แล้วรวมเป็นเช็กลิสต์เดียวที่ใช้ตอบได้ทั้งสองฝั่ง
"หน่วยงาน" หมายความว่า หน่วยงานของรัฐ หน่วยงานควบคุมหรือกำกับดูแลและหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ
บริษัทเอกชนที่ไม่ได้เป็นหน่วยงานโครงสร้างพื้นฐานสำคัญ จึงไม่ได้ผูกพันตามประกาศ กมช. โดยตรง แต่ข้อ 4 (4) ของประกาศ สคส. ให้คำนึงถึงมาตรฐานที่เป็นที่ยอมรับสำหรับกิจการประเภทเดียวกันหรือใกล้เคียงกัน การหยิบโครงของ สกมช. มาใช้จึงเป็นทางที่สมเหตุสมผล โดยเฉพาะบริษัทที่รับงานจากภาครัฐหรือ CII อยู่แล้ว
สองหน่วยงานนิยามคำว่าความปลอดภัยเหมือนกันไหม?
เหมือนกันในสาระ ทั้งสองฝั่งยืนบนสามหลักเดียวกัน คือ ความลับ ความถูกต้องครบถ้วน และสภาพพร้อมใช้งาน หรือที่ฝ่ายไอทีเรียกว่า CIA ประกาศ สคส. ปี 2565 นิยามไว้ว่า
"ความมั่นคงปลอดภัย" หมายความว่า การธำรงไว้ซึ่งความลับ (confidentiality) ความถูกต้องครบถ้วน (integrity) และสภาพพร้อมใช้งาน (availability) ของข้อมูลส่วนบุคคล ทั้งนี้ เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ
"มาตรการควบคุมความมั่นคงปลอดภัยไซเบอร์" หมายความว่า มาตรการที่กำหนดขึ้นเพื่อดำเนินการรักษาความลับ (Confidentiality) การรักษาความถูกต้องครบถ้วน (Integrity) และการรักษาสภาพพร้อมใช้งาน (Availability) สำหรับข้อมูลหรือระบบสารสนเทศ
ความต่างอยู่ที่ขอบเขต ฝั่ง สคส. ดูเฉพาะข้อมูลส่วนบุคคล ฝั่ง สกมช. ดูข้อมูลหรือระบบสารสนเทศทั้งหมดของหน่วยงาน ระบบที่ไม่มีข้อมูลส่วนบุคคลเลย เช่น ระบบควบคุมการผลิต จึงอยู่นอกประกาศ สคส. แต่ยังอยู่ในสายตาของ สกมช. ถ้าเจ้าของระบบเป็นหน่วยงานตามนิยาม
ระบบของเราอยู่ระดับไหน ต่ำ กลาง หรือสูง?
ฝั่ง สกมช. เริ่มจากการจัดระดับก่อนเสมอ ประกาศ กมช. เรื่อง มาตรฐานการกำหนดคุณลักษณะความมั่นคงปลอดภัยไซเบอร์ให้แก่ข้อมูลหรือระบบสารสนเทศ พ.ศ. 2566 ให้ประเมินผลกระทบแยกทีละหลัก แล้วจัดเป็นสามระดับ
| หลัก | เหตุที่ใช้วัด | ต่ำ | กลาง | สูง |
|---|---|---|---|---|
| ความลับ (ข้อ 7) | ข้อมูลถูกเปิดเผยโดยไม่ได้รับอนุญาต ทั้งหมดหรือบางส่วน | กระทบเพียงเล็กน้อยหรืออย่างจำกัด | กระทบอย่างร้ายแรง | กระทบอย่างร้ายแรงมาก |
| ความถูกต้องครบถ้วน (ข้อ 8) | ข้อมูลถูกแก้ไขหรือทำลายโดยไม่ได้รับอนุญาต | กระทบเพียงเล็กน้อยหรืออย่างจำกัด | กระทบอย่างร้ายแรง | กระทบอย่างร้ายแรงมาก |
| สภาพพร้อมใช้งาน (ข้อ 9) | เข้าถึงหรือใช้งานข้อมูลหรือระบบไม่ได้ | กระทบเพียงเล็กน้อยหรืออย่างจำกัด | กระทบอย่างร้ายแรง | กระทบอย่างร้ายแรงมาก |
คำว่า “กระทบ” ต้องชั่งสี่ด้านตามข้อ 6 คือ ความเสียหายทางการเงิน ทรัพย์สิน หรือชื่อเสียง จำนวนคนที่อาจได้รับอันตราย ความสามารถในการทำหน้าที่ของหน่วยงาน และความมั่นคงของรัฐ สำหรับ CII หน่วยงานกำกับจะเป็นผู้วางแนวการประเมินให้ ข้อ 4 วรรคสองยังบอกว่าข้อมูลที่เผยแพร่ต่อสาธารณะแล้ว ไม่ต้องประเมินด้านความลับ
กติกาที่ทีมไอทีพลาดบ่อยที่สุดอยู่ในข้อ 10 ระบบหนึ่งระบบมักมีข้อมูลหลายประเภท และต้องใช้ระดับที่สูงที่สุดของแต่ละหลัก
(2) พิจารณากำหนดคุณลักษณะความมั่นคงปลอดภัยไซเบอร์ของระบบสารสนเทศ โดยใช้ระดับผลกระทบของประเภทข้อมูลตามวัตถุประสงค์ด้านความมั่นคงปลอดภัยไซเบอร์ตามข้อ 4 ในแต่ละเรื่องที่มีระดับผลกระทบมากที่สุด
สมมติว่าระบบ CRM เก็บทั้งรายชื่อลูกค้าทั่วไปและผลตรวจสุขภาพของลูกค้าบางกลุ่ม ถ้าผลตรวจสุขภาพรั่วแล้วกระทบอย่างร้ายแรงมาก ด้านความลับของทั้งระบบก็เป็นระดับสูง แม้ข้อมูลส่วนใหญ่ในระบบจะเป็นแค่ชื่อและเบอร์โทร ทางออกที่ทำได้คือแยกข้อมูลอ่อนไหวไปไว้อีกระบบ แทนที่จะยกระดับมาตรการทั้งก้อน
ให้หน่วยงานพิจารณาทบทวนการกำหนดคุณลักษณะความมั่นคงปลอดภัยไซเบอร์ให้แก่ข้อมูลหรือระบบสารสนเทศทุก 3 ปีเป็นอย่างน้อย หรือทบทวนเมื่อข้อมูล ระบบสารสนเทศ หรือหน้าที่ของหน่วยงานมีการเปลี่ยนแปลงอย่างมีนัยสำคัญ และบันทึกผลการพิจารณาทบทวนพร้อมเหตุผลในการคงไว้ หรือแก้ไขเปลี่ยนแปลงระดับผลกระทบที่อาจเกิดขึ้นของวัตถุประสงค์ด้านความมั่นคงปลอดภัยไซเบอร์ ตามข้อ 4 ในแต่ละเรื่องด้วย
แต่ละระดับต้องมีมาตรการอะไรบ้าง?
ประกาศมาตรฐานขั้นต่ำปี 2566 ข้อ 4 ตอบเรื่องนี้แบบสะสม ระดับต่ำมีสิบหัวข้อ ระดับกลางเพิ่มอีกสาม และระดับสูงเพิ่มอีกสี่ หัวข้อทั้งหมดชี้กลับไปที่ประมวลแนวทางปฏิบัติและกรอบมาตรฐานของ กกม. ปี 2564
(2) ในกรณีที่ข้อมูลหรือระบบสารสนเทศมีคุณลักษณะความมั่นคงปลอดภัยไซเบอร์อยู่ในระดับกลาง ให้กำหนดมาตรการควบคุมความมั่นคงปลอดภัยไซเบอร์ขั้นต่ำสำหรับข้อมูลหรือระบบสารสนเทศ ตามหัวข้อ ต่อไปนี้ (ก) ให้ดำเนินการตามข้อ (1) (ข) แผนการตรวจสอบด้านการรักษาความมั่นคงปลอดภัยไซเบอร์ (Cybersecurity Audit Plan) (ค) การเชื่อมต่อระยะไกล (Remote Connection) (ง) สื่อเก็บข้อมูลแบบถอดได้ (Removable Storage Media)
- ระดับต่ำ (ข้อ 4 (1)): ประเมินความเสี่ยง แผนรับมือภัยคุกคาม การจัดการทรัพย์สิน การประเมินความเสี่ยงและกลยุทธ์จัดการความเสี่ยง การควบคุมการเข้าถึง การทำให้ระบบแข็งแกร่ง การสร้างความตระหนักรู้ การตรวจสอบและเฝ้าระวังภัยคุกคาม แผนสื่อสารในภาวะวิกฤต และการฝึกซ้อม
- ระดับกลาง (ข้อ 4 (2)): ทุกอย่างของระดับต่ำ บวกแผนการตรวจสอบ การเชื่อมต่อระยะไกล และสื่อเก็บข้อมูลแบบถอดได้
- ระดับสูง (ข้อ 4 (3)): ทุกอย่างของระดับกลาง บวกการประเมินช่องโหว่และทดสอบเจาะระบบ การจัดการผู้ให้บริการภายนอก การแบ่งปันข้อมูล และการรักษาและฟื้นฟูความเสียหาย
สคส. กับ สกมช. ขอเรื่องเดียวกันตรงไหน?
ตรงกันตั้งแต่โครงใหญ่ ข้อ 4 (3) ของประกาศ สคส. ไล่งานความปลอดภัยไว้ห้าขั้น ซึ่งเรียงเหมือนห้าหมวดของกรอบมาตรฐาน สกมช. คือ ระบุความเสี่ยง ป้องกัน ตรวจสอบและเฝ้าระวัง เผชิญเหตุ และฟื้นฟู
(3) มาตรการรักษาความมั่นคงปลอดภัยดังกล่าว จะต้องคำนึงถึงการดำเนินการเกี่ยวกับการรักษาความมั่นคงปลอดภัย ตั้งแต่การระบุความเสี่ยงที่สำคัญที่อาจจะเกิดขึ้นกับทรัพย์สินสารสนเทศ (information assets) ที่สำคัญ การป้องกันความเสี่ยงที่สำคัญที่อาจจะเกิดขึ้น การตรวจสอบและเฝ้าระวังภัยคุกคามและเหตุการละเมิดข้อมูลส่วนบุคคล การเผชิญเหตุเมื่อมีการตรวจพบภัยคุกคามและเหตุการละเมิดข้อมูลส่วนบุคคล และการรักษาและฟื้นฟูความเสียหายที่เกิดจากภัยคุกคามหรือเหตุการละเมิดข้อมูลส่วนบุคคลด้วย
| เรื่อง | ประกาศ สคส. 2565 | มาตรฐานขั้นต่ำ สกมช. 2566 |
|---|---|---|
| หลักความลับ ความถูกต้อง สภาพพร้อมใช้งาน | ข้อ 3 และข้อ 4 (4) | ข้อ 3 และประกาศการกำหนดคุณลักษณะฯ ข้อ 4 |
| ไล่งานห้าขั้นจากระบุความเสี่ยงถึงฟื้นฟู | ข้อ 4 (3) | ห้าหมวดในตารางท้ายประกาศ |
| ควบคุมการเข้าถึง ยืนยันตัวตน ให้สิทธิเท่าที่จำเป็น | ข้อ 4 (6) (ก) และ (ข) | หัวข้อ 2.1 ทุกระดับ |
| สร้างความตระหนักรู้ให้พนักงาน | ข้อ 4 (7) | หัวข้อ 2.5 ทุกระดับ |
| ทำมาตรการตามระดับความเสี่ยงหรือผลกระทบ | ข้อ 4 (2) (4) (5) (6) “อย่างเหมาะสมตามระดับความเสี่ยง” | ระดับต่ำ กลาง สูง ตามข้อ 4 |
| คุมคู่สัญญาที่เข้าถึงข้อมูล | ข้อ 6 ข้อตกลงกับผู้ประมวลผลข้อมูล | หัวข้อ 1.4 การจัดการผู้ให้บริการภายนอก (ระดับสูง) |
ต่างกันตรงไหน และต้องระวังอะไร?
ต่างกันที่วิธีเขียน สกมช. ให้รายการหัวข้อตายตัวตามระดับ ส่วน สคส. วางหลักให้ทำ “อย่างเหมาะสมตามระดับความเสี่ยง” แต่ในบางเรื่อง สคส. กลับระบุชัดกว่า และเป็นเรื่องที่ทีมไอทีที่ทำตาม สกมช. อย่างเดียวมักตกหล่น
สิ่งที่ สคส. ระบุ แต่ตารางของ สกมช. ไม่มีหัวข้อแยก
- เอกสารกระดาษ ข้อ 4 (1) ให้มาตรการครอบคลุมข้อมูลส่วนบุคคลไม่ว่าจะอยู่ในรูปเอกสาร อิเล็กทรอนิกส์ หรือรูปแบบอื่น แฟ้มใบสมัครงานในตู้ก็ต้องมีมาตรการ
- มาตรการทางกายภาพ ข้อ 4 (2) ระบุว่าอาจรวมถึงมาตรการทางกายภาพที่จำเป็น
- ป้องกันหลายชั้น (defense in depth) ข้อ 4 (5) ให้ครอบคลุมที่เก็บข้อมูล เครื่องแม่ข่าย เครื่องลูกข่าย เครือข่าย ซอฟต์แวร์ และแอปพลิเคชัน
- หน้าที่ของผู้ใช้งาน ข้อ 4 (6) (ค) รวมถึงการกันลักลอบทำสำเนาข้อมูลและการขโมยอุปกรณ์
- บันทึกตรวจสอบย้อนหลัง (audit trails) ข้อ 4 (6) (ง) ตามข้อความด้านล่าง
(ง) การจัดให้มีวิธีการเพื่อให้สามารถตรวจสอบย้อนหลังเกี่ยวกับการเข้าถึง เปลี่ยนแปลง แก้ไข หรือลบข้อมูลส่วนบุคคล (audit trails) ที่เหมาะสมกับวิธีการและสื่อที่ใช้ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล
สิ่งที่ สกมช. ระบุ แต่ประกาศ สคส. ไม่ได้ตั้งชื่อไว้
ตารางท้ายประกาศมาตรฐานขั้นต่ำมีหัวข้อที่ประกาศ สคส. ไม่ได้เรียกชื่อตรง ๆ ได้แก่ การทำให้ระบบแข็งแกร่ง แผนสื่อสารในภาวะวิกฤต การฝึกซ้อม การเชื่อมต่อระยะไกล สื่อเก็บข้อมูลแบบถอดได้ แผนการตรวจสอบ การประเมินช่องโหว่และทดสอบเจาะระบบ และการแบ่งปันข้อมูล หัวข้อเหล่านี้ช่วยให้ผู้ควบคุมข้อมูลเอกชนอธิบายได้เป็นรูปธรรมว่ามาตรการของตน “เหมาะสม” อย่างไร
จังหวะการทบทวนไม่เหมือนกัน
ฝั่ง สกมช. ทบทวนการจัดระดับอย่างน้อยทุก 3 ปีตามข้อ 11 ฝั่ง สคส. ข้อ 5 วรรคหนึ่งให้ทบทวนเมื่อจำเป็นหรือเมื่อเทคโนโลยีเปลี่ยน และวรรคสองเพิ่มตัวกระตุ้นที่ชัดมาก
เมื่อมีเหตุการละเมิดข้อมูลส่วนบุคคล ให้ถือว่าผู้ควบคุมข้อมูลส่วนบุคคลมีความจำเป็นต้องทบทวนมาตรการรักษาความมั่นคงปลอดภัยตามวรรคหนึ่ง เว้นแต่การละเมิดดังกล่าวไม่มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของบุคคล
ในทางปฏิบัติ ทุกเหตุละเมิดที่มีความเสี่ยงควรปิดเคสด้วยบันทึกการทบทวนมาตรการ ไม่ใช่แค่รายงานแจ้ง สคส. กรณีศึกษาเรื่องการเข้ารหัสในคู่มือเหตุละเมิด 10 กรณีของ สคส. ช่วยให้เห็นว่ามาตรการแบบไหนลดความเสี่ยงได้จริง
ในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่ตามกฎหมายอื่นในการจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ ให้ผู้ควบคุมข้อมูลส่วนบุคคลดำเนินการตามกฎหมายนั้น แต่มาตรการรักษาความมั่นคงปลอดภัยดังกล่าวของผู้ควบคุมข้อมูลส่วนบุคคล จะต้องเป็นไปตามมาตรฐานขั้นต่ำที่กำหนดในประกาศนี้ด้วย
รากของเรื่องทั้งหมดอยู่ที่มาตรา 37 (1) ของ PDPA ซึ่งเป็นฐานที่ประกาศ สคส. ปี 2565 ออกมาขยายความ
(1) จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ และต้องทบทวนมาตรการดังกล่าวเมื่อมีความจำเป็นหรือเมื่อเทคโนโลยีเปลี่ยนแปลงไปเพื่อให้มีประสิทธิภาพในการรักษาความมั่นคงปลอดภัยที่เหมาะสม ทั้งนี้ ให้เป็นไปตามมาตรฐานขั้นต่ำที่คณะกรรมการประกาศกำหนด
เช็กลิสต์รวม: ใช้ตอบทั้ง สคส. และ สกมช.
ตารางนี้รวมสองฝั่งไว้ในแถวเดียวกัน คอลัมน์ สกมช. บอกว่าหัวข้อนั้นเริ่มบังคับที่ระดับไหน คอลัมน์สุดท้ายคือหลักฐานที่ควรเก็บไว้ ซึ่งเป็นข้อเสนอเชิงปฏิบัติ ไม่ใช่ข้อความในประกาศ
| หัวข้อ | ประกาศ สคส. 2565 | สกมช. 2566 (เริ่มบังคับที่ระดับ) | หลักฐานที่ควรมี |
|---|---|---|---|
| จัดระดับข้อมูลและระบบ | ข้อ 4 (4) คำนึงถึง CIA ตามระดับความเสี่ยง | ประกาศการกำหนดคุณลักษณะฯ ข้อ 4–10 (ทำก่อนทุกหัวข้อ) | ทะเบียนระบบพร้อมระดับ C/I/A เหตุผล และวันทบทวน |
| ทะเบียนทรัพย์สินสารสนเทศ | ข้อ 4 (3) ระบุความเสี่ยงต่อทรัพย์สินสารสนเทศที่สำคัญ | 1.1 การจัดการทรัพย์สิน (ต่ำ) | รายการระบบ อุปกรณ์ และที่เก็บข้อมูลส่วนบุคคล |
| ประเมินความเสี่ยง | ข้อ 4 (2) และ (3) | องค์ประกอบที่ 2 และ 1.2 (ต่ำ) | รายงานประเมินความเสี่ยงและแผนจัดการ |
| ควบคุมการเข้าถึงและยืนยันตัวตน | ข้อ 4 (6) (ก) | 2.1 การควบคุมการเข้าถึง (ต่ำ) | นโยบายสิทธิตามหลักให้สิทธิน้อยที่สุด |
| บริหารบัญชีผู้ใช้ ทบทวนและถอนสิทธิ | ข้อ 4 (6) (ข) | ไม่มีหัวข้อแยกในตาราง | บันทึกการทบทวนสิทธิรายรอบ และการปิดบัญชีคนลาออก |
| หน้าที่ผู้ใช้ กันลักลอบสำเนาและขโมยอุปกรณ์ | ข้อ 4 (6) (ค) | 2.4 สื่อเก็บข้อมูลแบบถอดได้ (กลาง) | ข้อตกลงการใช้งาน และนโยบายอุปกรณ์ถอดได้ |
| บันทึกตรวจสอบย้อนหลัง | ข้อ 4 (6) (ง) | ไม่มีหัวข้อแยกในตาราง | log การเข้าถึง แก้ไข และลบข้อมูลส่วนบุคคล |
| ทำให้ระบบแข็งแกร่งและป้องกันหลายชั้น | ข้อ 4 (5) | 2.2 การทำให้ระบบมีความแข็งแกร่ง (ต่ำ) | ค่าตั้งต้นที่ปลอดภัย รอบอัปเดตแพตช์ ผลสแกนเว็บไซต์ |
| การเชื่อมต่อระยะไกล | อยู่ในข้อ 4 (5) ส่วนระบบเครือข่าย | 2.3 การเชื่อมต่อระยะไกล (กลาง) | รายชื่อผู้ที่เข้าระบบจากภายนอกและวิธีเข้า |
| ความตระหนักรู้ของพนักงาน | ข้อ 4 (7) | 2.5 การสร้างความตระหนักรู้ (ต่ำ) | บันทึกการอบรมและการแจ้งนโยบายฉบับแก้ไข |
| เฝ้าระวังภัยคุกคาม | ข้อ 4 (3) ตรวจสอบและเฝ้าระวัง | 3.1 (ต่ำ) | ระบบแจ้งเตือนและผู้รับผิดชอบดูการแจ้งเตือน |
| แผนรับมือเหตุ | ข้อ 4 (3) เผชิญเหตุ | องค์ประกอบที่ 3 และ 4.1 (ต่ำ) | แผนรับมือที่มีช่องทางแจ้ง สคส. และ สกมช. |
| แผนสื่อสารในภาวะวิกฤต | ไม่ได้ตั้งชื่อหัวข้อ | 4.2 (ต่ำ) | ร่างข้อความแจ้งลูกค้าและสื่อที่เตรียมไว้ |
| ฝึกซ้อม | ไม่ได้ตั้งชื่อหัวข้อ | 4.3 (ต่ำ) | บันทึกการซ้อมและบทเรียนที่ได้ |
| แผนการตรวจสอบ | ข้อ 5 ทบทวนเมื่อจำเป็น | องค์ประกอบที่ 1 (กลาง) | แผนตรวจสอบประจำปีและผลตรวจ |
| ประเมินช่องโหว่และทดสอบเจาะระบบ | ไม่ได้ตั้งชื่อหัวข้อ | 1.3 (สูง) | รายงานผลทดสอบและการปิดช่องโหว่ |
| ผู้ให้บริการภายนอก | ข้อ 6 ข้อตกลงกับผู้ประมวลผลข้อมูล | 1.4 (สูง) | สัญญาหรือข้อตกลงที่มีข้อกำหนดความปลอดภัยและการแจ้งเหตุ |
| แบ่งปันข้อมูลภัยคุกคาม | ไม่ได้ตั้งชื่อหัวข้อ | 2.6 (สูง) | ช่องทางรับและส่งข้อมูลภัยคุกคาม |
| รักษาและฟื้นฟูความเสียหาย | ข้อ 4 (3) รักษาและฟื้นฟู | 5.1 (สูง) | ผลทดสอบกู้คืนข้อมูลสำรอง |
| เอกสารกระดาษและมาตรการกายภาพ | ข้อ 4 (1) และ (2) | ไม่มีหัวข้อแยกในตาราง | ตู้ล็อก ห้องเก็บเอกสาร และวิธีทำลายเอกสาร |
| ทบทวนมาตรการ | ข้อ 5 รวมถึงทุกครั้งที่เกิดเหตุละเมิดที่มีความเสี่ยง | ประกาศการกำหนดคุณลักษณะฯ ข้อ 11 ทุก 3 ปี | บันทึกการทบทวนพร้อมเหตุผล |
สำหรับผู้ควบคุมข้อมูลเอกชนที่ไม่ใช่หน่วยงานตามนิยามของ สกมช. ทางที่สมเหตุสมผลคือทำให้ครบทุกแถวที่มีข้อของ สคส. กำกับก่อน แล้วใช้คอลัมน์ระดับของ สกมช. เป็นตัวช่วยตัดสินว่าระบบไหนควรยกมาตรการขึ้น เช่น ระบบที่เก็บข้อมูลอ่อนไหวจำนวนมาก
เริ่มจากตรงไหนได้ภายในสัปดาห์นี้?
- ทำรายการระบบ ที่เก็บหรือใช้ข้อมูลส่วนบุคคล รวมถึงตู้เอกสารและไฟล์บนคลาวด์
- จัดระดับ C/I/A ของแต่ละระบบ ตามข้อ 7 ถึงข้อ 9 และใช้ระดับสูงสุดตามข้อ 10 ถ้าระบบมีข้อมูลหลายประเภท
- ตรวจแถวที่บังคับทุกระดับก่อน เช่น การควบคุมการเข้าถึง ความตระหนักรู้ แผนรับมือเหตุ และการฝึกซ้อม
- เปิด log การเข้าถึงและแก้ไขข้อมูลส่วนบุคคล เพราะเป็นข้อที่ประกาศ สคส. ระบุไว้ตรง ๆ
- ไล่สัญญากับผู้ประมวลผลข้อมูล ให้มีมาตรการขั้นต่ำและหน้าที่แจ้งเหตุละเมิดตามข้อ 6
- ตั้งวันทบทวน ทุกครั้งหลังเหตุละเมิด และอย่างน้อยทุก 3 ปีสำหรับการจัดระดับ
ด้านนอกของเว็บไซต์เป็นจุดที่ตรวจได้เร็วที่สุด สแกนเว็บไซต์ฟรี ตรวจ TLS ใบรับรอง HSTS security headers cookie flags และ DNSSEC ซึ่งเป็นส่วนหนึ่งของงานทำให้ระบบแข็งแกร่ง ส่วนแถวที่เหลือในตาราง ทะเบียนมาตรการควบคุมของ AIPDPA จับคู่ไว้กับข้อของ สคส. สพธอ. และ สกมช. แล้ว ทีมจึงติ๊กครั้งเดียวและเห็นว่าตอบได้กี่ฉบับ ถ้าองค์กรอาจเป็น CII อ่านต่อที่บริษัทเราเป็น CII ไหม
คำถามที่พบบ่อย
บริษัทเอกชนต้องทำตามมาตรฐานขั้นต่ำของ สกมช. ไหม?
ประกาศ กมช. เรื่องมาตรฐานขั้นต่ำของข้อมูลหรือระบบสารสนเทศ พ.ศ. 2566 นิยามผู้ที่ต้องทำไว้เฉพาะหน่วยงานของรัฐ หน่วยงานควบคุมหรือกำกับดูแล และหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ บริษัทเอกชนทั่วไปจึงไม่ผูกพันโดยตรง แต่ยังต้องทำตามประกาศ สคส. ปี 2565 ในฐานะผู้ควบคุมข้อมูลส่วนบุคคล
ระบบที่มีข้อมูลหลายประเภท จัดระดับอย่างไร?
ข้อ 10 ของประกาศ กมช. เรื่องการกำหนดคุณลักษณะความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2566 ให้ประเมินแต่ละประเภทข้อมูลก่อน แล้วใช้ระดับผลกระทบที่สูงที่สุดของแต่ละหลัก คือ ความลับ ความถูกต้องครบถ้วน และสภาพพร้อมใช้งาน เป็นระดับของทั้งระบบ
ระดับต่ำต้องมีมาตรการอะไรบ้าง?
ข้อ 4 (1) ของประกาศมาตรฐานขั้นต่ำกำหนดสิบหัวข้อ ได้แก่ ประเมินความเสี่ยง แผนรับมือภัยคุกคาม การจัดการทรัพย์สิน กลยุทธ์จัดการความเสี่ยง การควบคุมการเข้าถึง การทำให้ระบบแข็งแกร่ง ความตระหนักรู้ การเฝ้าระวังภัยคุกคาม แผนสื่อสารในภาวะวิกฤต และการฝึกซ้อม
ประกาศ สคส. ปี 2565 บังคับให้มี audit log ไหม?
ข้อ 4 (6) (ง) ให้จัดให้มีวิธีการตรวจสอบย้อนหลังเกี่ยวกับการเข้าถึง เปลี่ยนแปลง แก้ไข หรือลบข้อมูลส่วนบุคคล (audit trails) ที่เหมาะสมกับวิธีการและสื่อที่ใช้ อย่างเหมาะสมตามระดับความเสี่ยง
ทำตามมาตรฐานของหน่วยงานกำกับแล้ว ต้องทำตามประกาศ สคส. อีกไหม?
ต้อง ข้อ 7 ของประกาศ สคส. ปี 2565 ให้ผู้ควบคุมข้อมูลที่มีหน้าที่ตามกฎหมายอื่นทำตามกฎหมายนั้น แต่มาตรการต้องเป็นไปตามมาตรฐานขั้นต่ำของประกาศ สคส. ด้วย
ตัวบทและแหล่งอ้างอิง
- ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 — ข้อ 3 – ข้อ 7
- ประกาศคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ เรื่อง มาตรฐานขั้นต่ำของข้อมูลหรือระบบสารสนเทศ พ.ศ. 2566 — ข้อ 3 · ข้อ 4 และตารางท้ายประกาศ
- ประกาศคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ เรื่อง มาตรฐานการกำหนดคุณลักษณะความมั่นคงปลอดภัยไซเบอร์ให้แก่ข้อมูลหรือระบบสารสนเทศ พ.ศ. 2566 — ข้อ 4 – ข้อ 11
- พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — มาตรา 37 (1)
ตัวบทที่ยกมาในกรอบ "ตัวบท" คัดคำต่อคำจากคลังกฎหมายของ AIPDPA ซึ่งถอดจากราชกิจจานุเบกษาและเอกสารของหน่วยงานรัฐ แล้วระบบตรวจทุกครั้งที่แก้บทความว่าตรงกับคลังทุกตัวอักษร · บทความนี้เป็นความรู้ทั่วไป ไม่ใช่คำปรึกษากฎหมายสำหรับกรณีใดกรณีหนึ่ง
ลงมือในระบบได้ที่
ใครรับผิดชอบเนื้อหานี้?
เรียบเรียงโดยทีมกฎหมาย AIPDPA · ผู้รับผิดชอบเนื้อหา ภูวรา ครอบตะคุ ทนายความ · เนติบัณฑิตไทย · ที่ปรึกษากฎหมายเทคโนโลยีและทรัพย์สินทางปัญญา
ใบอนุญาตทนายความ 477/2558 · เนติบัณฑิตไทย · นิติศาสตรมหาบัณฑิต กฎหมายทรัพย์สินทางปัญญาและสารสนเทศ (เหรียญทอง)