หน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ (CII) มีหน้าที่อะไรตาม พ.ร.บ.ไซเบอร์ หน้าที่ของหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ (CII) ตามมาตรา 44–46 แห่งพระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 คือ ต้องจัดทำประมวลแนวทางปฏิบัติของตน ซึ่งอย่างน้อยมีแผนตรวจสอบและประเมินความเสี่ยงปีละ 1 ครั้งและแผนรับมือภัยคุกคาม (มาตรา 44) ต้องป้องกัน รับมือ และลดความเสี่ยงตามประมวลนั้น (มาตรา 45) และต้องแจ้งรายชื่อผู้ประสานงานระดับบริหารและปฏิบัติการต่อสำนักงาน (มาตรา 46)
ผู้จัดการไอทีของบริษัทเอกชนที่ให้บริการระบบชำระเงินอิเล็กทรอนิกส์แห่งหนึ่งได้รับหนังสือขอดูประมวลแนวทางปฏิบัติด้านความมั่นคงปลอดภัยไซเบอร์ เขามีนโยบายความปลอดภัยไอทีอยู่แล้ว แต่ไม่แน่ใจว่าครบตามที่กฎหมายกำหนดหรือไม่ และไม่รู้ว่าระบบไหนต้องทำมาตรการระดับใด
สรุปสิ่งที่ต้องรู้
6 ประเด็นที่สำคัญที่สุดของเรื่องนี้ สรุปจากตัวบทและแนวปฏิบัติที่อ้างอิงไว้ท้ายคู่มือ อ่านแค่ส่วนนี้ก็ตัดสินใจขั้นต่อไปได้
- CII คือคอมพิวเตอร์หรือระบบคอมพิวเตอร์ที่หน่วยงานรัฐหรือเอกชนใช้ในกิจการเกี่ยวกับความมั่นคงของรัฐ ความปลอดภัยสาธารณะ ความมั่นคงทางเศรษฐกิจของประเทศ หรือโครงสร้างพื้นฐานอันเป็นประโยชน์สาธารณะ (มาตรา 3)
- ประมวลแนวทางปฏิบัติต้องมีอย่างน้อยแผนตรวจสอบและประเมินความเสี่ยงอย่างน้อยปีละ 1 ครั้ง และแผนรับมือภัยคุกคามทางไซเบอร์ (มาตรา 44)
- ถ้ายังไม่มีประมวลของตน หรือมีแต่ไม่ครบหรือไม่สอดคล้อง ให้ใช้ประมวลแนวทางปฏิบัติและกรอบมาตรฐานที่สำนักงานจัดทำบังคับแทน (มาตรา 44)
- ประกาศคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ เรื่อง มาตรฐานขั้นต่ำของข้อมูลหรือระบบสารสนเทศ พ.ศ. 2566 มีผลบังคับแล้วตั้งแต่ 19 มกราคม 2568
- มาตรการขั้นต่ำแบ่งตามระดับผลกระทบต่ำ กลาง และสูง ระบบระดับสูงต้องมีการประเมินช่องโหว่และทดสอบเจาะระบบ และการจัดการผู้ให้บริการภายนอก
- เมื่อเปลี่ยนตัวผู้ประสานงาน ต้องแจ้งสำนักงานโดยเร็ว (มาตรา 46 วรรคสอง)
ทำตามนี้ 7 ขั้นตอน
ทำตามลำดับ 7 ขั้นนี้ได้ทันที แต่ละขั้นเขียนให้ทีมในองค์กรไทยลงมือได้จริงโดยไม่ต้องรอที่ปรึกษา และเก็บหลักฐานไว้ให้ผู้ตรวจดูได้
- ตรวจว่าองค์กรเข้านิยาม CII หรือไม่เทียบระบบที่ใช้ในกิจการกับนิยามในมาตรา 3 ว่าเกี่ยวกับความมั่นคงของรัฐ ความปลอดภัยสาธารณะ ความมั่นคงทางเศรษฐกิจของประเทศ หรือโครงสร้างพื้นฐานอันเป็นประโยชน์สาธารณะหรือไม่ แนวปฏิบัติที่ดีคือยืนยันสถานะกับหน่วยงานควบคุมหรือกำกับดูแลของธุรกิจคุณ
- แจ้งรายชื่อผู้ประสานงานแจ้งรายชื่อเจ้าหน้าที่ระดับบริหารและระดับปฏิบัติการที่ประสานงานด้านความมั่นคงปลอดภัยไซเบอร์ไปยังสำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (NCSA) ตามมาตรา 46 และแจ้งใหม่ทุกครั้งที่เปลี่ยนตัว
- จำแนกระดับผลกระทบของข้อมูลและระบบกำหนดคุณลักษณะความมั่นคงปลอดภัยของข้อมูลหรือระบบสารสนเทศแต่ละระบบ ด้านการรักษาความลับ ความถูกต้องครบถ้วน และสภาพพร้อมใช้งาน ว่าผลกระทบอยู่ระดับต่ำ กลาง หรือสูง ตามประกาศว่าด้วยการกำหนดคุณลักษณะที่ข้อ 4 ของมาตรฐานขั้นต่ำอ้างถึง
- กำหนดมาตรการขั้นต่ำตามระดับใช้ตารางท้ายประกาศมาตรฐานขั้นต่ำ พ.ศ. 2566 เลือกมาตรการตามระดับของแต่ละระบบ ระดับกลางทำทุกข้อของระดับต่ำและเพิ่มอีก 3 หัวข้อ ระดับสูงทำทุกข้อของระดับกลางและเพิ่มอีก 4 หัวข้อ
- จัดทำประมวลแนวทางปฏิบัติของหน่วยงานเขียนประมวลแนวทางปฏิบัติและกรอบมาตรฐานของหน่วยงานให้สอดคล้องกับนโยบายและแผนว่าด้วยการรักษาความมั่นคงปลอดภัยไซเบอร์โดยเร็วตามมาตรา 44 และให้มีแผนตรวจสอบและประเมินความเสี่ยงกับแผนรับมือภัยคุกคามเป็นอย่างน้อย
- ตรวจสอบและประเมินความเสี่ยงอย่างน้อยปีละครั้งให้ผู้ตรวจประเมิน ผู้ตรวจสอบภายใน หรือผู้ตรวจสอบอิสระจากภายนอกตรวจสอบและประเมินความเสี่ยงด้านไซเบอร์อย่างน้อยปีละ 1 ครั้งตามมาตรา 44 (1) และเก็บรายงานกับแผนแก้ไขไว้เป็นหลักฐาน
- ซ้อมแผนรับมือและแผนสื่อสารในภาวะวิกฤตแผนการรับมือภัยคุกคาม แผนการสื่อสารในภาวะวิกฤต และการฝึกซ้อมความมั่นคงปลอดภัยไซเบอร์ เป็นมาตรการขั้นต่ำของทุกระดับตามมาตรฐานขั้นต่ำ พ.ศ. 2566 จึงควรกำหนดรอบซ้อมและบันทึกผลทุกครั้ง
หน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ (CII) คือใคร?
หน่วยงาน CII คือหน่วยงานของรัฐหรือหน่วยงานเอกชนที่มีภารกิจหรือให้บริการโครงสร้างพื้นฐานสำคัญทางสารสนเทศ ตามนิยามในมาตรา 3 แห่งพระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 บริษัทเอกชนจึงเป็นหน่วยงาน CII ได้ ไม่ได้จำกัดเฉพาะหน่วยงานรัฐ
คณะกรรมการกำกับดูแลด้านความมั่นคงปลอดภัยไซเบอร์ (กกม.) มีหน้าที่กำหนดหน้าที่ของหน่วยงาน CII และหน่วยงานควบคุมหรือกำกับดูแล โดยอย่างน้อยต้องให้หน่วยงานกำกับดูแลกำหนดมาตรฐานที่เหมาะสมเพื่อรับมือกับภัยคุกคามทางไซเบอร์ของแต่ละหน่วยงาน CII (มาตรา 13 (5))
- ระบบที่เกี่ยวกับการรักษาความมั่นคงปลอดภัยของรัฐ
- ระบบที่เกี่ยวกับความปลอดภัยสาธารณะ
- ระบบที่เกี่ยวกับความมั่นคงทางเศรษฐกิจของประเทศ
- ระบบที่เกี่ยวกับโครงสร้างพื้นฐานอันเป็นประโยชน์สาธารณะ
หน่วยงาน CII มีหน้าที่อะไรตาม พ.ร.บ.ไซเบอร์?
หน้าที่หลักอยู่ในมาตรา 43 ถึง 46 คือ ปฏิบัติตามนโยบายและแผนระดับชาติ จัดทำประมวลแนวทางปฏิบัติของตน ป้องกันและรับมือภัยคุกคามตามประมวลนั้น และแจ้งรายชื่อผู้ประสานงานต่อสำนักงาน
- มาตรา 43: เมื่อนโยบายและแผนว่าด้วยการรักษาความมั่นคงปลอดภัยไซเบอร์ประกาศในราชกิจจานุเบกษาแล้ว หน่วยงาน CII ตามที่แผนกำหนดต้องดำเนินการให้เป็นไปตามนโยบายและแผนนั้น
- มาตรา 44: จัดทำประมวลแนวทางปฏิบัติและกรอบมาตรฐานของตนโดยเร็ว อย่างน้อยต้องมีแผนตรวจสอบและประเมินความเสี่ยงอย่างน้อยปีละ 1 ครั้ง และแผนรับมือภัยคุกคามทางไซเบอร์
- มาตรา 45: ป้องกัน รับมือ และลดความเสี่ยงจากภัยคุกคามทางไซเบอร์ตามประมวลของตน และตามประมวลแนวทางปฏิบัติและกรอบมาตรฐานที่ กกม. กำหนดตามมาตรา 13 (4)
- มาตรา 46: แจ้งรายชื่อเจ้าหน้าที่ระดับบริหารและระดับปฏิบัติการเพื่อประสานงานต่อสำนักงาน และแจ้งโดยเร็วเมื่อมีการเปลี่ยนแปลง
มาตรฐานขั้นต่ำของข้อมูลหรือระบบสารสนเทศ พ.ศ. 2566 กำหนดอะไรบ้าง?
ประกาศนี้ใช้กับหน่วยงานของรัฐ หน่วยงานควบคุมหรือกำกับดูแล และหน่วยงาน CII ให้กำหนดมาตรการควบคุมขั้นต่ำตามระดับผลกระทบของข้อมูลหรือระบบแต่ละระบบ ประกาศในราชกิจจานุเบกษาเมื่อ 18 มกราคม 2567 และใช้บังคับเมื่อพ้นหนึ่งปี จึงมีผลแล้วตั้งแต่ 19 มกราคม 2568
- ระดับต่ำ 10 หัวข้อ: การประเมินความเสี่ยงด้านไซเบอร์ แผนการรับมือภัยคุกคาม การจัดการทรัพย์สิน การประเมินความเสี่ยงและกลยุทธ์จัดการความเสี่ยง การควบคุมการเข้าถึง การทำให้ระบบแข็งแกร่ง การสร้างความตระหนักรู้ การตรวจสอบและเฝ้าระวังภัยคุกคาม แผนการสื่อสารในภาวะวิกฤต และการฝึกซ้อม
- ระดับกลาง: ทุกข้อของระดับต่ำ บวกแผนการตรวจสอบด้านไซเบอร์ (Audit Plan) การเชื่อมต่อระยะไกล และสื่อเก็บข้อมูลแบบถอดได้
- ระดับสูง: ทุกข้อของระดับกลาง บวกการประเมินช่องโหว่และการทดสอบเจาะระบบ (VA/PT) การจัดการผู้ให้บริการภายนอก การแบ่งปันข้อมูล และการรักษาและฟื้นฟูความเสียหาย
ถ้ายังไม่มีประมวลแนวทางปฏิบัติของตัวเองจะเป็นอย่างไร?
มาตรา 44 วรรคท้ายกำหนดว่า ถ้าหน่วยงานยังไม่มีประมวลแนวทางปฏิบัติ หรือมีแต่ไม่ครบถ้วนหรือไม่สอดคล้อง ให้นำประมวลแนวทางปฏิบัติและกรอบมาตรฐานที่สำนักงานจัดทำโดยความเห็นชอบของคณะกรรมการมาใช้บังคับ
ถ้าหน่วยงานไม่อาจดำเนินการตามหน้าที่ได้ สำนักงานอาจให้ความช่วยเหลือด้านบุคลากรหรือเทคโนโลยีตามที่ร้องขอได้ตามมาตรา 45 วรรคสอง
ปัญหาที่พบบ่อยและวิธีแก้
องค์กรส่วนใหญ่พลาดเรื่องนี้ใน 3 จุดเดิม ๆ ตารางด้านล่างบอกทั้งวิธีแก้ด้วยตัวเอง และวิธีที่ AIPDPA ช่วยให้เสร็จเร็วกว่าพร้อมหลักฐานครบ
| ปัญหา | วิธีแก้ |
|---|---|
| ✗ มีนโยบายความปลอดภัยไอทีทั่วไป แต่ไม่มีแผนตรวจประเมินรายปีและแผนรับมือภัยคุกคามตามที่มาตรา 44 กำหนด | ✓ เพิ่มสองแผนนี้เป็นส่วนหนึ่งของประมวลแนวทางปฏิบัติ แล้วผูกแต่ละมาตรการกับผู้รับผิดชอบและหลักฐาน พื้นที่มาตรการควบคุมใน AIPDPA บันทึกสถานะและหลักฐานรายมาตรการ โดยจับคู่กับแนวทาง สคส. กรอบ ETDA มาตรฐานคลาวด์ และมาตรฐานความมั่นคงปลอดภัยเว็บไซต์ของ NCSA ช่วยให้เห็นช่องว่างก่อนผู้ตรวจประเมินมา |
| ✗ ใช้มาตรการชุดเดียวกับทุกระบบ ทั้งที่ระบบระดับสูงต้องมีมาตรการมากกว่า | ✓ จำแนกระดับผลกระทบรายระบบก่อน แล้วเพิ่มหัวข้อตามตารางท้ายประกาศ สำหรับเว็บไซต์สาธารณะ ระบบสแกนความปลอดภัยเว็บไซต์ของ AIPDPA ตรวจเทียบมาตรฐานความมั่นคงปลอดภัยเว็บไซต์ของ NCSA ได้ทันที แต่ไม่ได้ทดแทนการทดสอบเจาะระบบที่ระบบระดับสูงต้องมี |
| ✗ ผู้ให้บริการภายนอกที่ดูแลระบบสำคัญไม่อยู่ในแผนความเสี่ยงเลย | ✓ การจัดการผู้ให้บริการภายนอกเป็นมาตรการขั้นต่ำของระบบระดับสูง ทำรายชื่อผู้ให้บริการ ระบบที่เขาเข้าถึง และข้อตกลงด้านความปลอดภัย ทะเบียนคู่ค้าใน AIPDPA เก็บผู้ให้บริการพร้อมระดับความเสี่ยงไว้ที่เดียว |
เห็นทุกมาตรการความปลอดภัยพร้อมหลักฐาน ก่อนผู้ตรวจประเมินมา
พื้นที่มาตรการควบคุมของ AIPDPA จับคู่มาตรการกับแนวทาง สคส. กรอบ ETDA มาตรฐานคลาวด์ และมาตรฐานความมั่นคงปลอดภัยเว็บไซต์ของ NCSA พร้อมสแกนเว็บไซต์และทะเบียนคู่ค้า ดูบัญชีตัวอย่างได้ ไม่ต้องสมัคร
มีในแพ็กเกจ GROWTH · PRO · ENTERPRISE เริ่มต้น 4,900 บาท/ปี · ดูบัญชีตัวอย่างได้ ไม่ต้องสมัคร
คำถามที่พบบ่อย
คำถามที่คนค้นหาบ่อยที่สุดเรื่องนี้ แต่ละคำตอบสั้น ตรงประเด็น และอ่านแยกข้อได้
บริษัทเอกชนเป็นหน่วยงาน CII ได้ไหม?
ได้ มาตรา 3 นิยามหน่วยงาน CII ว่าเป็นหน่วยงานของรัฐหรือหน่วยงานเอกชนที่มีภารกิจหรือให้บริการโครงสร้างพื้นฐานสำคัญทางสารสนเทศ
หน่วยงาน CII ต้องตรวจประเมินความเสี่ยงไซเบอร์บ่อยแค่ไหน?
อย่างน้อยปีละ 1 ครั้ง โดยผู้ตรวจประเมิน ผู้ตรวจสอบภายใน หรือผู้ตรวจสอบอิสระจากภายนอก ตามมาตรา 44 (1)
มาตรฐานขั้นต่ำของข้อมูลหรือระบบสารสนเทศ พ.ศ. 2566 มีผลบังคับเมื่อไร?
มีผลแล้วตั้งแต่ 19 มกราคม 2568 เพราะประกาศในราชกิจจานุเบกษาเมื่อ 18 มกราคม 2567 และข้อ 2 ให้ใช้บังคับเมื่อพ้นกำหนดหนึ่งปีนับแต่วันประกาศ
ระบบระดับสูงต้องทำ Penetration Test ไหม?
ต้องทำ การประเมินช่องโหว่และการทดสอบเจาะระบบเป็นมาตรการขั้นต่ำของข้อมูลหรือระบบสารสนเทศที่มีคุณลักษณะความมั่นคงปลอดภัยระดับสูง ตามข้อ 4 (3) ของมาตรฐานขั้นต่ำ พ.ศ. 2566
หน่วยงาน CII ต้องแจ้งอะไรต่อ NCSA?
ต้องแจ้งรายชื่อเจ้าหน้าที่ระดับบริหารและระดับปฏิบัติการที่ประสานงานด้านความมั่นคงปลอดภัยไซเบอร์ และแจ้งโดยเร็วเมื่อมีการเปลี่ยนตัว ตามมาตรา 46
AIPDPA ช่วยงานของหน่วยงาน CII ได้แค่ไหน?
AIPDPA ช่วยติดตามสถานะและหลักฐานของมาตรการความปลอดภัย สแกนเว็บไซต์เทียบมาตรฐานของ NCSA และดูแลทะเบียนคู่ค้า แต่ไม่ได้ทำหน้าที่แทนผู้ตรวจประเมิน หรือแทนประมวลแนวทางปฏิบัติที่หน่วยงานต้องจัดทำเอง
แหล่งอ้างอิง
คู่มือนี้อ้างอิงเอกสาร 8 รายการ ตัวบทกฎหมายระบุมาตราหรือข้อไว้ชัดเจน ส่วนแนวปฏิบัติและมาตรฐานเป็นแนวทาง ไม่ใช่กฎหมาย
- พระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 มาตรา 3
- พระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 มาตรา 13
- พระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 มาตรา 43
- พระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 มาตรา 44
- พระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 มาตรา 45
- พระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 มาตรา 46
- ประกาศคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ เรื่อง มาตรฐานขั้นต่ำของข้อมูลหรือระบบสารสนเทศ พ.ศ. 2566 ข้อ 2
- ประกาศคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ เรื่อง มาตรฐานขั้นต่ำของข้อมูลหรือระบบสารสนเทศ พ.ศ. 2566 ข้อ 4 และตารางท้ายประกาศ
ตัวบทในบทความนี้อ้างอิงจากคลังกฎหมายของ AIPDPA ซึ่งถอดจากราชกิจจานุเบกษา · เนื้อหาเป็นความรู้ทั่วไป หากกรณีของคุณมีข้อเท็จจริงเฉพาะ ทีมทนายของเราช่วยดูให้ได้
เครื่องมือและบริการที่ช่วยได้ทันที
อยากทำเองให้เร็วขึ้น ใช้เครื่องมือใน AIPDPA · อยากให้ทนายดูแลให้ หรืออยากเรียนให้เป็น เลือกบริการในเครือที่ตรงกับคุณได้เลย
ข้อกำหนดจาก สคส. ETDA และ NCSA ในที่เดียว ทำหนึ่งครั้งได้หลักฐานหลายมาตรฐาน
ลงชื่อรอเปิดใช้งาน →สแกนเว็บเทียบมาตรฐานความมั่นคงปลอดภัยเว็บไซต์ของ NCSA และเตือนใบรับรองใกล้หมดอายุ
ลงชื่อรอเปิดใช้งาน →รู้ว่าใครประมวลผลข้อมูลแทนคุณ ความเสี่ยงระดับไหน และสัญญาครบหรือยัง
ลงชื่อรอเปิดใช้งาน →คอร์สเสริมทักษะ PDPA, DPO และธรรมาภิบาล AI พร้อม Digital Product ชุดเครื่องมือพร้อมใช้
ดูคอร์สและสินค้า →
ใครรับผิดชอบเนื้อหานี้?
เรียบเรียงโดยทีมกฎหมาย AIPDPA · ผู้รับผิดชอบเนื้อหา ภูวรา ครอบตะคุ ทนายความ · เนติบัณฑิตไทย · ที่ปรึกษากฎหมายเทคโนโลยีและทรัพย์สินทางปัญญา
ใบอนุญาตทนายความ 477/2558 · เนติบัณฑิตไทย · นิติศาสตรมหาบัณฑิต กฎหมายทรัพย์สินทางปัญญาและสารสนเทศ (เหรียญทอง)
อ่านต่อ
คู่มือที่มักต้องทำต่อจากเรื่องนี้ เลือกอ่านได้ตามลำดับงานขององค์กรคุณ