จัดชั้นความมั่นคงปลอดภัยระบบ ทำทีละขั้นตามประกาศ 2566

ทีมไอทีของหน่วยงานรัฐหลายแห่งเจอคำถามเดียวกันเวลาจะทำตามมาตรฐานของ สกมช. ว่าระบบนี้ต้องมีมาตรการระดับไหน คำตอบอยู่ในประกาศสองฉบับที่ออกคู่กันในราชกิจจานุเบกษาตอนเดียวกัน ฉบับแรกบอกวิธีจัดระดับ ฉบับที่สองบอกว่าแต่ละระดับต้องมีมาตรการอะไร

บทความนี้ว่าด้วยฉบับแรก คือประกาศคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (กมช.) เรื่องมาตรฐานการกำหนดคุณลักษณะความมั่นคงปลอดภัยไซเบอร์ให้แก่ข้อมูลหรือระบบสารสนเทศ พ.ศ. 2566 ส่วนมาตรการรายระดับอยู่ในเช็กลิสต์มาตรฐานขั้นต่ำ

ประกาศจัดชั้นปี 2566 ใช้กับใคร และมีผลเมื่อไร?

ใช้กับ "หน่วยงาน" ตามนิยามในข้อ 3 ได้แก่ หน่วยงานของรัฐ หน่วยงานควบคุมหรือกำกับดูแล และหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ (CII) ประกาศลงราชกิจจานุเบกษาเมื่อ 18 มกราคม 2567 และข้อ 2 ให้มีผลเมื่อพ้นหนึ่งปี จึงมีผลตั้งแต่ 19 มกราคม 2568

บริษัทเอกชนที่ไม่ใช่ CII ไม่อยู่ในนิยามนี้ แต่ใช้วิธีเดียวกันเป็นกรอบคิดได้ โดยเฉพาะเมื่อรับงานให้หน่วยงานรัฐหรือ CII ซึ่งจะถามระดับของระบบอยู่แล้ว ดูมุมของผู้รับจ้างได้ที่รับงานไอทีให้ CII

คำว่า "คุณลักษณะความมั่นคงปลอดภัยไซเบอร์" ในประกาศ ก็คือระดับที่เรากำลังจะจัดนั่นเอง ข้อ 3 นิยามไว้โดยผูกกับผลกระทบเมื่อเกิดเหตุสามแบบ

ขั้นที่ 1 แยกระบบออกเป็นประเภทข้อมูลอย่างไร?

เริ่มจากรายชื่อระบบ แล้วดูว่าแต่ละระบบเก็บข้อมูลกี่ประเภท เพราะประกาศให้ประเมินรายประเภทข้อมูลก่อน แล้วจึงสรุปเป็นระดับของระบบ ข้อ 10 วรรคสองเปิดให้หน่วยงานแบ่งประเภทตามเกณฑ์ของตัวเอง หรือใช้แนวทางที่สำนักงาน กมช. ออกก็ได้

แบ่งให้หยาบพอที่ทีมจะทำเสร็จ แต่ละเอียดพอที่จะแยกข้อมูลอ่อนไหวออกจากข้อมูลทั่วไป เช่น ระบบบุคคลอาจแยกเป็นข้อมูลโครงสร้างองค์กร ข้อมูลเงินเดือน และข้อมูลสุขภาพพนักงาน ถ้ารวมเป็นก้อนเดียว จะประเมินผลกระทบได้ไม่ตรง

ขั้นที่ 2 ต้องประเมินกี่ด้าน และข้ามด้านไหนได้บ้าง?

ประเมินสามด้านตามข้อ 4 คือ การรักษาความลับ การรักษาความถูกต้องครบถ้วน และการรักษาสภาพพร้อมใช้งาน แต่ละด้านให้ผลแยกกัน ข้อมูลชุดเดียวจึงอาจได้ความลับระดับต่ำ แต่ความพร้อมใช้งานระดับสูงก็ได้

มีทางลัดเดียวที่ประกาศเขียนไว้ คือข้อมูลที่เผยแพร่ต่อสาธารณะแล้วไม่ต้องประเมินด้านความลับ แต่ยังต้องดูอีกสองด้าน เพราะหน้าเว็บประกาศที่ถูกแก้ข้อความ หรือเปิดไม่ได้ในวันสำคัญ ก็สร้างความเสียหายได้เหมือนกัน

ขั้นที่ 3 ชั่งผลกระทบจากอะไร?

ชั่งจากสี่มิติในข้อ 6 คือ เงินหรือทรัพย์สินหรือชื่อเสียง จำนวนคนที่อาจได้รับอันตราย ความสามารถในการทำหน้าที่ และความมั่นคงของรัฐ ทุกด้านในขั้นที่ 2 ให้ไล่ดูทั้งสี่มิตินี้ แล้วเลือกผลที่หนักที่สุด

สำหรับ CII มีเงื่อนไขเพิ่ม ข้อ 6 วรรคสองให้หน่วยงานควบคุมหรือกำกับดูแลของแต่ละภาคเป็นผู้ออกแนวทางประเมินผลกระทบให้ และอาจเพิ่มหรือตัดมิติได้เมื่อสถานการณ์เปลี่ยน CII จึงควรขอแนวทางจากหน่วยงานกำกับของตัวเองก่อนเริ่ม ไม่ใช่ตีความสี่มิตินี้เองทั้งหมด

ขั้นที่ 4 เส้นแบ่งต่ำ กลาง สูง อยู่ตรงไหน?

ประกาศใช้คำสามระดับเหมือนกันทุกด้าน คือผลกระทบ "เพียงเล็กน้อยหรืออย่างจำกัด" เป็นระดับต่ำ "อย่างร้ายแรง" เป็นระดับกลาง และ "อย่างร้ายแรงมาก" เป็นระดับสูง ข้อ 7 ใช้กับความลับ ข้อ 8 กับความถูกต้องครบถ้วน และข้อ 9 กับความพร้อมใช้งาน

ประกาศไม่ได้ให้ตัวเลขว่าความเสียหายกี่บาทหรือกี่คนถึงจะเรียกว่าร้ายแรง ช่องว่างนี้หน่วยงานต้องเติมเอง วิธีที่ใช้ได้ผลคือเขียนเกณฑ์ภายในเป็นตาราง เช่น ความเสียหายเป็นเงินช่วงไหน คนได้รับผลกระทบกี่ราย บริการหยุดได้นานเท่าไร แล้วให้ผู้บริหารรับรองเกณฑ์นั้นก่อนใช้

ด้านความลับยังมีเกณฑ์พิเศษสำหรับหน่วยงานที่ถือข้อมูลลับของทางราชการ ข้อ 7 วรรคสองกำหนดว่า ข้อมูลชั้นลับต้องได้ระดับต่ำเป็นอย่างน้อย ชั้นลับมากได้ระดับกลางเป็นอย่างน้อย และชั้นลับที่สุดได้ระดับสูง

ขั้นที่ 5 ระบบที่มีข้อมูลหลายประเภท สรุปเป็นระดับเดียวอย่างไร?

ใช้ระดับที่สูงที่สุดของแต่ละด้าน ข้อ 10 ให้ประเมินแต่ละประเภทข้อมูลก่อน แล้วนำระดับสูงสุดของแต่ละด้านมาเป็นระดับของระบบ ข้อมูลอ่อนไหวเพียงประเภทเดียวจึงดึงทั้งระบบขึ้นไปได้

ตารางด้านล่างเป็นตัวอย่างสมมติของหน่วยงานรัฐแห่งหนึ่ง ระดับที่ใส่ไว้เป็นการประเมินเพื่อสาธิตวิธีคิดเท่านั้น หน่วยงานจริงอาจได้ผลต่างไปตามเกณฑ์ภายในและแนวทางของหน่วยงานกำกับ

ข้อมูลส่วนบุคคลบนคลาวด์ ต้องได้ระดับไหนเป็นอย่างน้อย?

ด้านความลับต้องได้ระดับกลางเป็นอย่างน้อย ตามข้อ 5 ของประกาศ กมช. เรื่องมาตรฐานด้านการรักษาความมั่นคงปลอดภัยไซเบอร์ระบบคลาวด์ พ.ศ. 2567 ซึ่งอ้างกลับมาที่ประกาศจัดชั้นฉบับนี้โดยตรง

ข้อนี้อยู่ในประกาศคลาวด์ จึงผูกกับระบบที่ใช้บริการคลาวด์ แต่ถ้าหน่วยงานจะตั้งเกณฑ์ภายในให้ข้อมูลส่วนบุคคลทุกที่เริ่มที่ระดับกลาง ก็เป็นทางที่สอดคล้องกันและอธิบายง่าย รายละเอียดคลาวด์อยู่ในมาตรฐานคลาวด์ สกมช. 2567

ขั้นที่ 6 ได้ระดับแล้ว ต้องทำอะไรต่อ?

นำระดับไปเลือกชุดมาตรการตามประกาศ กมช. เรื่องมาตรฐานขั้นต่ำของข้อมูลหรือระบบสารสนเทศ พ.ศ. 2566 ข้อ 4 ซึ่งเริ่มต้นด้วยการอ้างถึงผลการจัดระดับจากประกาศฉบับนี้ ระดับต่ำมีสิบหัวข้อ ระดับกลางเพิ่มสามหัวข้อ และระดับสูงเพิ่มอีกสี่

ขั้นที่ 7 ต้องทบทวนบ่อยแค่ไหน และต้องเก็บหลักฐานอะไร?

อย่างน้อยทุก 3 ปี หรือเร็วกว่านั้นเมื่อข้อมูล ระบบ หรือหน้าที่ของหน่วยงานเปลี่ยนไปมาก และทุกครั้งต้องบันทึกผลพร้อมเหตุผล ไม่ว่าจะคงระดับเดิมหรือเปลี่ยนก็ตาม ข้อ 11 เขียนเรื่องนี้ไว้ชัด

เหตุที่ควรทบทวนก่อนครบรอบ เช่น ย้ายระบบขึ้นคลาวด์ เพิ่มข้อมูลประเภทใหม่เข้าระบบเดิม หรือเปิดบริการออนไลน์ที่เคยทำแต่หน้าเคาน์เตอร์ บันทึกเหตุผลไว้ทุกครั้ง เพราะเป็นหลักฐานชิ้นแรกที่ผู้ตรวจจะขอดู

พลาดตรงไหนบ่อยที่สุด?

1. จัดระดับทั้งระบบทีเดียวโดยไม่แยกประเภทข้อมูล ทำให้ข้ามขั้นที่ข้อ 10 (1) กำหนดไว้
2. ดูแต่ด้านความลับ ลืมว่าระบบที่ข้อมูลไม่ลับแต่ห้ามล่ม อาจได้ระดับสูงจากด้านความพร้อมใช้งาน
3. ข้ามด้านความลับของข้อมูลที่ยังไม่ได้เผยแพร่จริง เช่น ร่างประกาศที่ยังไม่ขึ้นเว็บ
4. ไม่มีเกณฑ์ภายในว่าคำว่าร้ายแรงหมายถึงอะไร แต่ละทีมจึงจัดระดับไม่ตรงกัน
5. จัดเสร็จแล้วไม่บันทึกเหตุผล ทำให้ตอบผู้ตรวจไม่ได้ว่าทำไมระบบนี้ได้ระดับนี้

ถ้าอยากเก็บผลจัดระดับ เหตุผล และรอบทบทวนไว้ที่เดียวกับมาตรการที่ต้องทำ AIPDPA มีชุดมาตรการความปลอดภัยที่โยงกับมาตรฐานของ สคส. ETDA และ สกมช. ไว้แล้ว ลองดูได้ที่บัญชีตัวอย่าง

ใครรับผิดชอบเนื้อหานี้?

เรียบเรียงโดยทีมกฎหมาย AIPDPA · ผู้รับผิดชอบเนื้อหา ภูวรา ครอบตะคุ ทนายความ · เนติบัณฑิตไทย · ที่ปรึกษากฎหมายเทคโนโลยีและทรัพย์สินทางปัญญา

ใบอนุญาตทนายความ 477/2558 · เนติบัณฑิตไทย · นิติศาสตรมหาบัณฑิต กฎหมายทรัพย์สินทางปัญญาและสารสนเทศ (เหรียญทอง)