ผู้รับงานไอทีให้ CII คือบริษัทที่ให้บริการไอที เชื่อมต่อระบบ หรือเข้าถึงข้อมูลสำคัญของ CII ซึ่งประมวลแนวทางปฏิบัติปี 2564 เรียกว่าผู้ให้บริการภายนอก บทความนี้ไล่ให้เจ้าของบริษัทไอทีเห็นว่าต้องเตรียมอะไรก่อนเซ็นสัญญาและระหว่างทำงาน
- ผู้ให้บริการภายนอกตามประมวลแนวทางปี 2564 ข้อ 10 รวมทั้งผู้ให้บริการไอที ผู้ที่เชื่อมต่อระบบ และผู้ที่เข้าถึงข้อมูลสำคัญของ CII
- มาตรฐานขั้นต่ำปี 2566 บังคับหัวข้อการจัดการผู้ให้บริการภายนอกกับระบบระดับสูง ส่วนการเชื่อมต่อระยะไกลเริ่มตั้งแต่ระดับกลาง
- CII อาจขอตรวจผู้ให้บริการภายนอกโดยบุคคลที่สาม และอาจขอแก้สัญญาเมื่อมีกฎหมายใหม่ (ข้อ 21.4.3 และ 21.4.4)
- แผนความต่อเนื่องของผู้รับจ้างต้องสอดคล้องกับ BCP ของ CII รวมถึงค่า RTO และ RPO (ข้อ 25.1.1)
- ถ้างานมีข้อมูลส่วนบุคคล ผู้รับจ้างมีหน้าที่ของผู้ประมวลผลข้อมูลตาม PDPA มาตรา 40 เพิ่มอีกชั้น
บริษัทไอทีหลายแห่งไม่เคยคิดว่าตัวเองเกี่ยวกับ พ.ร.บ.การรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 จนวันที่ลูกค้าเป็นโรงไฟฟ้า ธนาคาร โรงพยาบาล หรือผู้ให้บริการโทรคมนาคม แล้วร่างสัญญาที่ส่งมามีภาคผนวกด้านไซเบอร์ยาวหลายหน้า
ตัว พ.ร.บ. วางหน้าที่ไว้ที่หน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ (CII) แต่ CII โยนความรับผิดชอบให้ใครไม่ได้ จึงต้องส่งข้อกำหนดต่อมาถึงคนที่ทำงานให้ ส่วนว่า CII เป็นใครและมีหน้าที่อะไร อ่านได้ที่ บริษัทเราเป็น CII ไหม บทความนี้มองจากอีกฝั่ง คือฝั่งผู้รับงาน
ใครนับเป็นผู้ให้บริการภายนอกของ CII?
ใครก็ตามที่ให้บริการไอที ต่อระบบเข้ากับระบบของ CII หรือเข้าถึงข้อมูลสำคัญของ CII ได้ นับเป็นผู้ให้บริการภายนอกตามข้อ 10 ของเอกสารแนบท้ายประมวลแนวทางปฏิบัติปี 2564 นิยามนี้ไม่ได้ดูขนาดบริษัทหรือมูลค่าสัญญา ดูแค่ว่าคุณทำอะไรกับระบบหรือข้อมูลของเขา
ผู้ให้บริการภายนอก หมายถึง บุคคลหรือนิติบุคคลผู้ให้บริการภายนอก ซึ่งเป็นผู้ให้บริการด้านเทคโนโลยีสารสนเทศ หรือเป็นผู้ที่มีการเชื่อมต่อกับระบบเทคโนโลยีสารสนเทศของหน่วยงานของรัฐ และหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ หรือเป็นผู้ที่สามารถเข้าถึงข้อมูลสำคัญของหน่วยงานของรัฐและหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ
อ่านตามตัวอักษร ผู้ที่เข้าข่ายจึงมีตั้งแต่บริษัทพัฒนาระบบ ผู้ดูแลเครือข่าย ผู้ขายอุปกรณ์ที่ต้องรีโมตเข้าไปอัปเดตเฟิร์มแวร์ ไปจนถึงบริษัทรับทำศูนย์บริการลูกค้าที่เห็นข้อมูลผู้ใช้บริการของ CII ท้ายนิยามเดียวกันตัดลูกค้าทั่วไปที่แค่ใช้บริการของ CII ออก
ระบบที่ทีมเราแตะอยู่ระดับไหน ทำไมต้องถามตั้งแต่ก่อนเสนอราคา?
เพราะระดับของระบบเป็นตัวกำหนดว่า CII ต้องมีมาตรการขั้นต่ำอะไรบ้าง และมาตรการบางหัวข้อจะส่งต่อมาถึงผู้รับจ้างโดยตรง ประกาศคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (กมช.) เรื่องมาตรฐานขั้นต่ำของข้อมูลหรือระบบสารสนเทศ พ.ศ. 2566 ข้อ 4 แบ่งมาตรการตามระดับต่ำ กลาง และสูง
ระดับนี้ CII เป็นผู้จัดเองตามประกาศว่าด้วยการกำหนดคุณลักษณะความมั่นคงปลอดภัยไซเบอร์ปี 2566 วิธีจัดระดับทีละขั้นอยู่ในบทความจัดชั้นความมั่นคงปลอดภัย ผู้รับจ้างไม่ต้องจัดเอง แต่ควรขอให้ CII บอกว่าระบบที่จะทำงานด้วยอยู่ระดับไหน
(3) ในกรณีที่ข้อมูลหรือระบบสารสนเทศมีคุณลักษณะความมั่นคงปลอดภัยไซเบอร์อยู่ในระดับสูง ให้กำหนดมาตรการควบคุมความมั่นคงปลอดภัยไซเบอร์ขั้นต่ำสำหรับข้อมูลหรือระบบสารสนเทศ ตามหัวข้อ ต่อไปนี้
| หัวข้อ (ตารางท้ายประกาศ) | ต่ำ | กลาง | สูง | ผู้รับจ้างจะเจออะไร |
|---|---|---|---|---|
| 2.5 การสร้างความตระหนักรู้ด้านความมั่นคงปลอดภัยไซเบอร์ | ● | ● | ● | ถูกเชิญเข้าอบรม หรือต้องอบรมคนของตัวเองตามที่ CII กำหนด |
| 2.1 การควบคุมการเข้าถึง | ● | ● | ● | บัญชีผู้ใช้รายคน ไม่ใช้บัญชีกลาง และต้องคืนสิทธิเมื่อคนออก |
| 2.3 การเชื่อมต่อระยะไกล | ● | ● | รีโมตได้เฉพาะเมื่อจำเป็น เข้ารหัสทุกช่องทาง | |
| 1.4 การจัดการผู้ให้บริการภายนอก | ● | ข้อกำหนดไซเบอร์ในสัญญา และสิทธิตรวจสอบของ CII | ||
| 5.1 การรักษาและฟื้นฟูความเสียหาย | ● | ถูกขอดูแผนความต่อเนื่องและค่า RTO/RPO ของเรา |
ตารางนี้คัดเฉพาะหัวข้อที่เกี่ยวกับคนนอกองค์กร คอลัมน์สุดท้ายเป็นการประเมินของเราว่าข้อกำหนดจะออกมาในรูปไหน ไม่ใช่ถ้อยคำในประกาศ ส่วนรายการเต็มทุกหัวข้ออยู่ในเช็กลิสต์มาตรฐานขั้นต่ำ
ก่อนเซ็นสัญญา CII จะขอเขียนอะไรลงไป?
อย่างน้อยสี่เรื่องตามข้อ 21.4.2 คือ ประเภทผู้ให้บริการที่เข้าถึงทรัพย์สินของบริการสำคัญ หน้าที่ของผู้ให้บริการในการป้องกันภัยคุกคาม ความเสี่ยงของบริการและห่วงโซ่อุปทาน และสิทธิของ CII ในการตรวจสอบ เรื่องเหล่านี้จะไปอยู่ใน SLA หรือเงื่อนไขของสัญญา
ข้อที่ผู้รับจ้างมักมองข้ามคือวิธีพิสูจน์ ประมวลแนวทางไม่ได้หยุดแค่ให้เขียนลงสัญญา ข้อ 21.4.3 ยังแนะนำให้ CII มีกระบวนการตรวจว่าผู้ให้บริการทำตามสัญญาจริง
21.4.3 ควรพิจารณาสร้างกระบวนการตรวจสอบความถูกต้องของผู้ให้บริการภายนอกว่าสอดคล้องกับข้อกำหนดด้านความมั่นคงปลอดภัยไซเบอร์ในเงื่อนไขของสัญญา ตัวอย่างเช่น การตรวจสอบโดยบุคคลที่สาม และการตรวจสอบผลิตภัณฑ์
ข้อนี้ใช้คำว่า "ควรพิจารณา" จึงไม่ได้บังคับ CII ทุกแห่งให้ตรวจแบบเดียวกัน แต่ในทางปฏิบัติ ผู้รับจ้างที่มีรายงานตรวจจากบุคคลที่สามติดมือไว้ มักต่อรองเรื่องการเข้าตรวจหน้างานได้ง่ายกว่า
อีกข้อที่ควรอ่านให้ดีคือเงื่อนไขแก้สัญญา ข้อ 21.4.4 แนะนำให้ CII เจรจาแก้สัญญาเมื่อมีกฎหมายหรือข้อบังคับใหม่ ผู้รับจ้างจึงควรตกลงกันไว้ก่อนว่า ถ้าต้องทำเพิ่มเพราะกฎใหม่ ค่าใช้จ่ายและเวลาจะคิดกันอย่างไร
21.4.4 ควรพิจารณาดำเนินการเจรจาต่อรองเงื่อนไขของสัญญาจ้างให้สอดคล้องกับกรณีที่มีข้อกำหนดทางกฎหมายหรือข้อบังคับใหม่
เริ่มงานแล้ว ทีมเรารีโมตเข้าระบบได้แค่ไหน?
รีโมตได้เท่าที่จำเป็น ต้องเข้ารหัสทุกช่องทาง และห้ามสั่งคำสั่งระบบที่กระทบบริการสำคัญ เว้นแต่ CII อนุญาตไว้ชัดเจน เป็นแนวทางตามข้อ 22.3.2 ของประมวลแนวทางปฏิบัติ ซึ่งมีทั้งหมดห้าข้อย่อย
(ค) ใช้การเข้ารหัสสำหรับการเชื่อมต่อเครือข่ายทั้งหมด เช่น https, ssh, scp เป็นต้น (ง) ไม่อนุญาตให้เชื่อมต่อระยะไกลจากการใช้คำสั่งระบบ (Issuing System Commands) ที่จะส่งผลกระทบต่อการดำเนินการบริการที่สำคัญหน่วยงานของรัฐ และหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ เว้นแต่จะได้รับอนุญาตอย่างชัดเจนเนื่องจากความต้องการทางธุรกิจ
สำหรับทีมซัพพอร์ต หมายความว่าวิธีทำงานแบบเดิมที่เปิดโปรแกรมรีโมตค้างไว้ตลอด หรือใช้บัญชีผู้ดูแลระบบร่วมกันทั้งทีม จะไปต่อได้ยาก ข้อ (ก) ของข้อเดียวกันให้เปิดการเชื่อมต่อเมื่อจำเป็นเท่านั้น และข้อ (จ) ให้จำกัดข้อมูลที่ส่งผ่านไว้เท่าที่งานต้องใช้
- ขอให้ CII ระบุในสัญญาว่าคำสั่งระดับใดที่ทีมเราสั่งได้เอง และระดับใดต้องขออนุญาตทุกครั้ง
- ใช้บัญชีรายคนพร้อมการยืนยันตัวตนหลายปัจจัย เก็บบันทึกว่าใครเข้าเมื่อไร ทำอะไร
- เขียนขั้นตอนเปิดและปิดช่องทางรีโมตให้ชัด ใครเป็นคนเปิด เปิดได้นานเท่าไร
- ห้ามดึงข้อมูลจริงออกมาทดสอบบนเครื่องของทีม ถ้าจำเป็นให้ตกลงวิธีปิดบังข้อมูลไว้ก่อน
พนักงานของผู้รับจ้างต้องเข้าอบรมด้วยไหม?
ต้องเตรียมไว้ ข้อ 22.5.1 ให้ CII มีแผนสร้างความตระหนักรู้ที่ครอบคลุมผู้รับเหมาและผู้ให้บริการภายนอกที่เข้าถึงระบบได้ และในรายชื่อกลุ่มที่ต้องได้รับความรู้ ระบุ "ผู้ขาย ผู้รับเหมาและผู้ให้บริการ" ไว้ตรง ๆ
22.5.1 ต้องให้ความสำคัญกับแผนงานในการสร้างตระหนักรู้ด้านความมั่นคงปลอดภัยไซเบอร์ (Cybersecurity Awareness) สำหรับพนักงาน ผู้รับเหมา และผู้ให้บริการภายนอกบุคคลที่สามที่สามารถเข้าถึงโครงสร้างพื้นฐานสำคัญทางสารสนเทศได้
เนื้อหาที่ข้อนี้กำหนดรวมถึงการรู้กฎหมาย ระเบียบ และขั้นตอนการเข้าถึงระบบของ CII ด้วย ผู้รับจ้างที่หมุนเวียนคนเข้าโครงการบ่อย ควรวางแผนให้คนใหม่ผ่านการอบรมก่อนได้สิทธิเข้าระบบ ไม่ใช่ตามเก็บทีหลัง
CII ถูกตรวจปีละครั้ง ผู้รับจ้างเกี่ยวด้วยอย่างไร?
เกี่ยวเพราะงานที่จ้างออกไปยังเป็นความรับผิดชอบของ CII ตามข้อ 21.4.1 ของประมวลแนวทาง เมื่อมาตรา 54 ของ พ.ร.บ.ไซเบอร์ให้ CII ต้องประเมินความเสี่ยงและตรวจสอบด้านไซเบอร์อย่างน้อยปีละครั้ง ส่วนที่ผู้รับจ้างดูแลอยู่จึงมักถูกขอหลักฐานไปประกอบด้วย
หน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ ต้องจัดให้มีการประเมินความเสี่ยงด้านการรักษาความมั่นคงปลอดภัยไซเบอร์โดยมีผู้ตรวจประเมิน รวมทั้งต้องจัดให้มีการตรวจสอบด้านความมั่นคงปลอดภัยไซเบอร์โดยผู้ตรวจสอบด้านความมั่นคงปลอดภัยสารสนเทศ ทั้งโดยผู้ตรวจสอบภายในหรือโดยผู้ตรวจสอบอิสระภายนอก อย่างน้อยปีละหนึ่งครั้ง
สิ่งที่ผู้ตรวจมักขอจากฝั่งผู้รับจ้าง เช่น รายชื่อคนที่มีสิทธิเข้าระบบ บันทึกการเข้าใช้ หลักฐานการอบรม และผลการแก้ช่องโหว่ ถ้าเก็บไว้เป็นระบบตั้งแต่วันแรก ช่วงตรวจประจำปีก็ไม่ต้องรื้อหาเอกสารกันทั้งทีม
ระบบล่มหรือถูกโจมตี แผนของผู้รับจ้างต้องตรงกับแผนของ CII อย่างไร?
ต้องใช้นิยามและกรอบเวลาเดียวกัน ข้อ 25.1.1 ให้ CII ทำแผนความต่อเนื่องทางธุรกิจ (BCP) และสอบทานแผนของผู้ให้บริการภายนอกว่าสอดคล้องกันหรือไม่ โดยยกตัวอย่างค่าที่ต้องตรงกันไว้สามค่า
รวมถึงสอบทานแผนของผู้ให้บริการภายนอกเพื่อพิจารณาความสอดคล้องกับแผนของหน่วยงานของรัฐ และหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ เช่น ความสอดคล้องกันของขอบเขตคำนิยามและการกำหนดระยะเวลาที่สำคัญ : Maximum Tolerable Period of Disruption (MTPD), Recovery Time Objective (RTO) และ Recovery Point Objective (RPO) เป็นต้น
สมมติว่า CII กำหนดให้ระบบเรียกเก็บเงินกลับมาใช้ได้ภายใน 4 ชั่วโมง แต่สัญญาซัพพอร์ตของผู้รับจ้างเขียนว่าจะตอบรับเหตุภายในหนึ่งวันทำการ สองตัวเลขนี้ไปด้วยกันไม่ได้ และผู้สอบทานจะเห็นทันที ตัวเลขในตัวอย่างนี้สมมติขึ้น ประกาศไม่ได้กำหนดค่าใดไว้
ถ้างานมีข้อมูลส่วนบุคคล PDPA เพิ่มอะไรให้ผู้รับจ้าง?
เพิ่มหน้าที่ของผู้ประมวลผลข้อมูลส่วนบุคคลตามมาตรา 40 ของ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ซึ่งเป็นหน้าที่ของผู้รับจ้างเอง ไม่ได้ส่งผ่านสัญญาจาก CII เหมือนข้อกำหนดด้านไซเบอร์
(2) จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ รวมทั้งแจ้งให้ผู้ควบคุมข้อมูลส่วนบุคคลทราบถึงเหตุการละเมิดข้อมูลส่วนบุคคลที่เกิดขึ้น
ผลในทางปฏิบัติคือเหตุการณ์เดียวกันอาจต้องรายงานสองเส้นทาง เส้นหนึ่งตามข้อกำหนดไซเบอร์ในสัญญา อีกเส้นหนึ่งแจ้งผู้ควบคุมข้อมูลตาม PDPA ควรรวมสองเส้นนี้ไว้ในขั้นตอนเดียวของทีม ข้อตกลงฝั่ง PDPA ดูได้ที่คู่มือสัญญาผู้ประมวลผลข้อมูล
- ก่อนเสนอราคาถามระดับของระบบที่จะทำงานด้วย และประเมินต้นทุนของมาตรการที่จะตามมามาตรฐานขั้นต่ำ 2566 ข้อ 4
- เจรจาสัญญาตกลงข้อกำหนดสี่เรื่อง วิธีตรวจสอบ และเงื่อนไขเมื่อมีกฎใหม่ประมวลแนวทาง ข้อ 21.4.2–21.4.4
- ก่อนเริ่มงานอบรมทีม แยกบัญชีรายคน ตั้งขั้นตอนเปิดปิดรีโมตข้อ 22.5.1 และ 22.3.2
- ระหว่างสัญญาเก็บหลักฐานการเข้าใช้และการแก้ช่องโหว่ ไว้ให้ CII ใช้ตอนตรวจประจำปีพ.ร.บ.ไซเบอร์ มาตรา 54
- ทบทวนแผนประจำปีเทียบ RTO และ RPO ของเรากับ BCP ของ CIIข้อ 25.1.1
ผู้รับจ้างมักพลาดตรงไหน?
หน้าที่ตามกฎหมายอยู่ที่ CII ก็จริง แต่ข้อ 21.4.1 ทำให้ CII ต้องคุมงานที่จ้างออก ข้อกำหนดจึงมาถึงผ่านสัญญา
ระบบระดับสูงต้องมีหัวข้อเพิ่ม เช่นการจัดการผู้ให้บริการภายนอกและการฟื้นฟูความเสียหาย ต้นทุนต่างกันมาก
ข้อ 22.3.1 ให้การเชื่อมต่อระยะไกลมีมาตรการป้องกันและตรวจจับการเข้าถึงโดยไม่ได้รับอนุญาต บัญชีร่วมทำให้ระบุตัวคนไม่ได้
ตอบข้อ 21.4.3 ได้ตรง และช่วยลดการเข้าตรวจหน้างานซ้ำซ้อน
ถ้าบริษัทของคุณรับงานให้ CII หลายราย การทำทะเบียนมาตรการไว้ชุดเดียวแล้วอ้างอิงซ้ำจะประหยัดแรงที่สุด AIPDPA มีชุดมาตรการความปลอดภัยที่โยงกับมาตรฐานของ สคส. ETDA และ สกมช. ไว้ให้ ลองดูได้ที่บัญชีตัวอย่าง
คำถามที่พบบ่อย
บริษัทเล็กที่รับงานให้ CII ต้องขึ้นทะเบียนอะไรกับ สกมช. ไหม?
เอกสารในคลังของเราไม่มีบทบัญญัติให้ผู้ให้บริการภายนอกต้องขึ้นทะเบียนเอง ข้อกำหนดมาถึงผ่านสัญญากับ CII ตามประมวลแนวทางปฏิบัติปี 2564 ข้อ 21.4
CII เข้ามาตรวจบริษัทเราได้จริงหรือ?
ข้อ 21.4.2 (ง) ให้ CII เขียนสิทธิตรวจสอบผู้ให้บริการภายนอกไว้ในสัญญา ขอบเขตการตรวจจึงเป็นไปตามที่ตกลงกัน และข้อ 21.4.3 ยกตัวอย่างการตรวจโดยบุคคลที่สามไว้เป็นทางเลือก
ถ้าระบบที่เราดูแลอยู่ระดับต่ำ ต้องทำตามข้อ 21.4 ไหม?
มาตรฐานขั้นต่ำปี 2566 บังคับหัวข้อการจัดการผู้ให้บริการภายนอกกับระบบระดับสูง แต่ CII อาจกำหนดเข้มกว่าขั้นต่ำได้ ควรดูจากสัญญาที่ได้รับจริง
ทีมเราอยู่ต่างประเทศแล้วรีโมตเข้าระบบของ CII ต้องดูกฎหมายอะไรเพิ่ม?
ด้านไซเบอร์ใช้แนวทางข้อ 22.3.2 เหมือนกัน ถ้ามีข้อมูลส่วนบุคคล ต้องดูเรื่องการส่งหรือโอนข้อมูลไปต่างประเทศตาม PDPA มาตรา 28 และ 29 ด้วย อ่านต่อที่ ข้อมูลออกนอกไทยเมื่อไร
บทความนี้ใช้แทนการตรวจสัญญาได้ไหม?
ไม่ได้ บทความอธิบายตัวบทในคลังของเรา สัญญาแต่ละฉบับมีข้อเท็จจริงต่างกัน ควรให้ผู้เชี่ยวชาญอ่านภาคผนวกด้านไซเบอร์ก่อนเซ็น
ตัวบทและแหล่งอ้างอิง
- ประกาศคณะกรรมการกำกับดูแลด้านความมั่นคงปลอดภัยไซเบอร์ เรื่อง ประมวลแนวทางปฏิบัติและกรอบมาตรฐานด้านการรักษาความมั่นคงปลอดภัยไซเบอร์ฯ พ.ศ. 2564 — เอกสารแนบท้าย ข้อ 10 · 21.4 · 22.3 · 22.5 · 25.1
- ประกาศ กมช. เรื่อง มาตรฐานขั้นต่ำของข้อมูลหรือระบบสารสนเทศ พ.ศ. 2566 — ข้อ 4
- พระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 — มาตรา 54
- พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — มาตรา 40
ตัวบทที่ยกมาในกรอบ "ตัวบท" คัดคำต่อคำจากคลังกฎหมายของ AIPDPA ซึ่งถอดจากราชกิจจานุเบกษาและเอกสารของหน่วยงานรัฐ แล้วระบบตรวจทุกครั้งที่แก้บทความว่าตรงกับคลังทุกตัวอักษร · บทความนี้เป็นความรู้ทั่วไป ไม่ใช่คำปรึกษากฎหมายสำหรับกรณีใดกรณีหนึ่ง
ลงมือในระบบได้ที่
ใครรับผิดชอบเนื้อหานี้?
เรียบเรียงโดยทีมกฎหมาย AIPDPA · ผู้รับผิดชอบเนื้อหา ภูวรา ครอบตะคุ ทนายความ · เนติบัณฑิตไทย · ที่ปรึกษากฎหมายเทคโนโลยีและทรัพย์สินทางปัญญา
ใบอนุญาตทนายความ 477/2558 · เนติบัณฑิตไทย · นิติศาสตรมหาบัณฑิต กฎหมายทรัพย์สินทางปัญญาและสารสนเทศ (เหรียญทอง)