วิธีเลือกใช้คลาวด์สาธารณะให้สอดคล้องแนวทาง NCSA เมื่อไรต้องใช้ศูนย์ข้อมูลในไทย ตัวตัดสินว่าต้องใช้ศูนย์ข้อมูลในไทยหรือไม่คือผลประเมินผลกระทบ ตามประกาศ NCSA เรื่อง แนวทางการใช้บริการคลาวด์สาธารณะที่มีศูนย์ข้อมูลหลักในประเทศไทย พ.ศ. 2567 ข้อ 4 ถ้าข้อมูลหรือระบบมีผลประเมินผลกระทบ “ระดับสูง” หน่วยงานต้องใช้คลาวด์ที่มีศูนย์ข้อมูลหลักในไทย และมีศูนย์สำรองในไทยหรือในเอเชียตะวันออกเฉียงใต้ที่ใกล้การใช้งานหลักที่สุด รวมถึงสิงคโปร์และฮ่องกง เว้นแต่ผลกระทบด้านความมั่นคงของรัฐและความสงบเรียบร้อยภายในประเทศอยู่ระดับต่ำหรือกลาง ส่วนระดับต่ำหรือกลางจะใช้ศูนย์ข้อมูลในไทยหรือไม่ก็ได้
บริษัทซอฟต์แวร์ไทยแห่งหนึ่งกำลังจะปิดดีลระบบ SaaS กับหน่วยงานรัฐ แต่ฝ่ายไอทีของลูกค้าถามกลับมาว่า “ศูนย์ข้อมูลหลักของคุณอยู่ในไทยไหม แล้วศูนย์สำรองอยู่ที่ไหน” ทีมขายตอบไม่ได้และไม่มีเอกสารยืนยัน ดีลจึงค้างไปหลายสัปดาห์
สรุปสิ่งที่ต้องรู้
5 ประเด็นที่สำคัญที่สุดของเรื่องนี้ สรุปจากตัวบทและแนวปฏิบัติที่อ้างอิงไว้ท้ายคู่มือ อ่านแค่ส่วนนี้ก็ตัดสินใจขั้นต่อไปได้
- แนวทางนี้ใช้กับหน่วยงานของรัฐ หน่วยงานควบคุมหรือกำกับดูแล และหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ (CII) ไม่ได้บังคับบริษัทเอกชนทั่วไปโดยตรง
- ผลกระทบระดับสูงต้องใช้คลาวด์ที่มีศูนย์ข้อมูลหลักในไทย (Data Localization) พร้อมศูนย์สำรองในไทยหรือเอเชียตะวันออกเฉียงใต้ รวมถึงสิงคโปร์และฮ่องกง
- ถ้าผลกระทบรวมสูง แต่ด้านความมั่นคงของรัฐและความสงบเรียบร้อยอยู่ระดับต่ำหรือกลาง ไม่จำต้องใช้ศูนย์ข้อมูลหลักในไทย
- ข้อมูลส่วนบุคคลต้องจัดระดับผลกระทบด้านการรักษาความลับไม่ต่ำกว่าระดับกลาง
- มาตรฐานคลาวด์ พ.ศ. 2567 มีผลตั้งแต่ 11 กันยายน 2569 และต้องส่งผลสรุปรายงานให้ NCSA ภายใน 30 วันนับแต่ดำเนินการแล้วเสร็จ
ทำตามนี้ 7 ขั้นตอน
ทำตามลำดับ 7 ขั้นนี้ได้ทันที แต่ละขั้นเขียนให้ทีมในองค์กรไทยลงมือได้จริงโดยไม่ต้องรอที่ปรึกษา และเก็บหลักฐานไว้ให้ผู้ตรวจดูได้
- ตรวจว่าองค์กรอยู่ในขอบเขตหรือไม่ดูว่าองค์กรเป็นหน่วยงานของรัฐ หน่วยงานควบคุมหรือกำกับดูแล หรือหน่วยงาน CII ตาม พ.ร.บ.การรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 หรือไม่ ถ้าคุณเป็นผู้ขายระบบให้หน่วยงานเหล่านี้ ให้เตรียมข้อมูลศูนย์ข้อมูลของตนไว้ตอบลูกค้า
- ทำบัญชีข้อมูลและระบบที่จะขึ้นคลาวด์ระบุข้อมูลหรือระบบสารสนเทศทุกชุดที่จะใช้คลาวด์สาธารณะ แยกตามประเภทบริการ เช่น IaaS PaaS หรือ SaaS เพื่อให้ประเมินผลกระทบได้ทีละระบบ
- ประเมินและจัดระดับผลกระทบแยกรายด้านประเมินตามประกาศ กมช. เรื่อง มาตรฐานการกำหนดคุณลักษณะความมั่นคงปลอดภัยไซเบอร์ให้แก่ข้อมูลหรือระบบสารสนเทศ พ.ศ. 2566 ประกอบแนวทางของ NCSA พ.ศ. 2567 หรือแนวทางของหน่วยงานกำกับดูแล และเก็บผลแยกทุกด้าน โดยเฉพาะด้านความมั่นคงของรัฐและความสงบเรียบร้อยภายในประเทศ
- ตัดสินใจเรื่องที่ตั้งศูนย์ข้อมูลระดับสูงต้องใช้ศูนย์ข้อมูลหลักในไทยพร้อมศูนย์สำรอง ระดับสูงที่ด้านความมั่นคงของรัฐอยู่ระดับต่ำหรือกลางไม่จำต้องใช้ ส่วนระดับต่ำหรือกลางเลือกได้ตามความเหมาะสม
- ตั้งระดับขั้นต่ำให้ข้อมูลส่วนบุคคลถ้าระบบมีข้อมูลส่วนบุคคล ให้จัดระดับผลกระทบด้านการรักษาความลับอย่างน้อยระดับกลาง แล้วทำไม่น้อยกว่าข้อกำหนดขั้นต่ำท้ายมาตรฐานคลาวด์ พ.ศ. 2567
- ผูกที่ตั้งศูนย์ข้อมูลไว้ในสัญญาแนวปฏิบัติที่ดีคือให้ผู้ให้บริการคลาวด์ระบุที่ตั้งศูนย์ข้อมูลหลักและศูนย์สำรองเป็นลายลักษณ์อักษร และแจ้งล่วงหน้าก่อนย้ายที่ตั้ง
- รายงานหรือแจ้ง NCSA ให้ทันกำหนดส่งผลสรุปรายงานการดำเนินการต่อ NCSA ภายใน 30 วันนับแต่วันที่ดำเนินการแล้วเสร็จ ถ้าทำตามมาตรฐานคลาวด์ไม่ได้ ให้แจ้งเป็นหนังสือต่อ NCSA เพื่อเสนอ กมช. พิจารณา
ใครต้องทำตามแนวทางคลาวด์สาธารณะของ NCSA?
ผู้ที่ต้องทำตามคือหน่วยงานของรัฐ หน่วยงานควบคุมหรือกำกับดูแล และหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ (CII) ตาม พ.ร.บ.การรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 ซึ่งมาตรฐานคลาวด์ พ.ศ. 2567 ข้อ 3 เรียกรวมกันว่า “หน่วยงาน” บริษัทเอกชนทั่วไปที่ไม่อยู่ในกลุ่มนี้จึงไม่ได้ถูกบังคับโดยตรง
ผู้ให้บริการคลาวด์ (Cloud Service Provider) เป็นได้ทั้งหน่วยงานของรัฐและเอกชน บริษัทที่ขายบริการคลาวด์หรือ SaaS ให้หน่วยงานในกลุ่มนี้จึงควรเตรียมข้อมูลที่ตั้งศูนย์ข้อมูลไว้ เพราะลูกค้าต้องใช้เกณฑ์นี้เลือกผู้ให้บริการ
เมื่อไรต้องใช้คลาวด์ที่มีศูนย์ข้อมูลหลักในไทย?
ต้องใช้เมื่อผลประเมินผลกระทบของข้อมูลหรือระบบอยู่ในระดับสูง ตามข้อ 4 วรรคหนึ่งของประกาศ NCSA เรื่อง แนวทางการใช้บริการคลาวด์สาธารณะที่มีศูนย์ข้อมูลหลักในประเทศไทย พ.ศ. 2567 ซึ่งมีผลตั้งแต่วันประกาศ คือ 26 ธันวาคม 2567
- ระดับสูง: ต้องใช้ศูนย์ข้อมูลหลักในไทย และศูนย์สำรองในไทยหรือในเอเชียตะวันออกเฉียงใต้ที่ใกล้การใช้งานหลักที่สุด รวมถึงสิงคโปร์และฮ่องกง (ข้อ 4 วรรคหนึ่ง)
- ระดับสูง แต่ด้านความมั่นคงของรัฐและความสงบเรียบร้อยภายในประเทศอยู่ระดับต่ำหรือกลาง: ไม่จำต้องใช้ศูนย์ข้อมูลหลักในไทย (ข้อ 4 วรรคสอง)
- ระดับต่ำหรือกลาง: จะใช้ศูนย์ข้อมูลหลักในไทยหรือไม่ก็ได้ (ข้อ 5)
มาตรฐานคลาวด์ พ.ศ. 2567 มีผลเมื่อไรและต้องทำอะไรเพิ่ม?
ประกาศ กมช. เรื่อง มาตรฐานด้านการรักษาความมั่นคงปลอดภัยไซเบอร์ระบบคลาวด์ พ.ศ. 2567 ลงราชกิจจานุเบกษาเมื่อ 10 กันยายน 2567 และมีผลเมื่อพ้นกำหนดสองปี คือตั้งแต่ 11 กันยายน 2569 หน่วยงานที่ใช้คลาวด์สาธารณะต้องทำไม่น้อยกว่าข้อกำหนดขั้นต่ำท้ายประกาศ โดยคำนึงถึงระดับผลกระทบของข้อมูลหรือระบบ (ข้อ 4)
ถ้าเป็นข้อมูลส่วนบุคคล ต้องจัดระดับผลกระทบด้านการรักษาความลับอย่างน้อยระดับกลาง (ข้อ 5) และต้องส่งผลสรุปรายงานต่อ NCSA ภายใน 30 วันนับแต่วันที่ดำเนินการแล้วเสร็จ (ข้อ 6)
บริษัทเอกชนที่ไม่อยู่ในขอบเขตควรทำอย่างไร?
บริษัทเอกชนที่ไม่ใช่หน่วยงานในขอบเขตไม่ได้ถูกบังคับโดยประกาศสองฉบับนี้ แต่ใช้เป็นเกณฑ์อ้างอิงได้ดี แนวปฏิบัติที่ดีคือจัดลำดับความสำคัญของข้อมูลก่อนเลือกคลาวด์ และรู้ให้ได้ว่าศูนย์ข้อมูลหลักและศูนย์สำรองตั้งอยู่ที่ใด
ปัญหาที่พบบ่อยและวิธีแก้
องค์กรส่วนใหญ่พลาดเรื่องนี้ใน 4 จุดเดิม ๆ ตารางด้านล่างบอกทั้งวิธีแก้ด้วยตัวเอง และวิธีที่ AIPDPA ช่วยให้เสร็จเร็วกว่าพร้อมหลักฐานครบ
| ปัญหา | วิธีแก้ |
|---|---|
| ✗ เก็บแค่ระดับผลกระทบรวมสูงสุด ไม่เก็บผลรายด้าน | ✓ ข้อยกเว้นในข้อ 4 วรรคสองใช้ได้เมื่อรู้ผลด้านความมั่นคงของรัฐและความสงบเรียบร้อยแยกออกมาเท่านั้น ให้บันทึกผลประเมินทุกด้านแยกกัน แล้วใช้ทะเบียนมาตรการความปลอดภัยของ AIPDPA ไล่ดูข้อกำหนดตามมาตรฐานคลาวด์ของ NCSA ทีละข้อ |
| ✗ เข้าใจว่าศูนย์สำรองต้องอยู่ในไทยเท่านั้น หรือเลือกได้แค่สิงคโปร์กับฮ่องกง | ✓ ตัวบทให้ศูนย์สำรองอยู่ในไทย หรือในเอเชียตะวันออกเฉียงใต้ที่ใกล้การใช้งานหลักที่สุด และระบุว่ารวมถึงสิงคโปร์และฮ่องกง ให้ขอที่ตั้งจริงจากผู้ให้บริการเป็นลายลักษณ์อักษร แล้วบันทึกผู้ให้บริการคลาวด์ไว้ในทะเบียนคู่ค้าของ AIPDPA พร้อมผลประเมินความเสี่ยง |
| ✗ จัดข้อมูลส่วนบุคคลไว้ระดับต่ำเพื่อลดงาน | ✓ มาตรฐานคลาวด์ ข้อ 5 กำหนดให้ข้อมูลส่วนบุคคลมีระดับผลกระทบด้านการรักษาความลับอย่างน้อยระดับกลาง ให้ตั้งค่านี้ตั้งแต่ต้น แล้วใช้ AIPDPA ดูว่ามาตรการขั้นต่ำข้อใดยังขาด |
| ✗ ทำงานเสร็จแล้วลืมส่งรายงานให้ NCSA | ✓ ข้อ 6 ของมาตรฐานคลาวด์ให้ส่งผลสรุปรายงานภายใน 30 วันนับแต่ดำเนินการแล้วเสร็จ ให้จดวันเสร็จงานและวันครบกำหนดทันที และใช้ทะเบียนมาตรการของ AIPDPA สรุปสถานะทุกข้อไว้ในที่เดียวเพื่อประกอบรายงาน |
ดูว่ามาตรการคลาวด์ของคุณครบหรือยังในหน้าเดียว
AIPDPA เทียบมาตรการความปลอดภัยของคุณกับแนวทาง สคส. กรอบ ETDA มาตรฐานคลาวด์ และมาตรฐานความปลอดภัยเว็บไซต์ของ NCSA ดูบัญชีตัวอย่างได้ ไม่ต้องสมัคร แพ็กเกจเริ่ม 2,900 บาทต่อปี (ไม่มี VAT บวกเพิ่ม)
มีในแพ็กเกจ GROWTH · PRO · ENTERPRISE เริ่มต้น 4,900 บาท/ปี · ดูบัญชีตัวอย่างได้ ไม่ต้องสมัคร
คำถามที่พบบ่อย
คำถามที่คนค้นหาบ่อยที่สุดเรื่องนี้ แต่ละคำตอบสั้น ตรงประเด็น และอ่านแยกข้อได้
บริษัทเอกชนต้องใช้คลาวด์ที่มีศูนย์ข้อมูลในไทยไหม?
ประกาศสองฉบับนี้ไม่ได้บังคับบริษัทเอกชนทั่วไป เว้นแต่เป็นหน่วยงานควบคุมหรือกำกับดูแล หรือหน่วยงาน CII แต่ถ้าคุณขายคลาวด์หรือ SaaS ให้หน่วยงานรัฐหรือ CII ควรเตรียมคำตอบเรื่องที่ตั้งศูนย์ข้อมูลไว้
ศูนย์ข้อมูลสำรองต้องอยู่ในไทยเท่านั้นไหม?
ไม่จำเป็น สำหรับระบบผลกระทบระดับสูง ข้อ 4 ให้ศูนย์สำรองอยู่ในไทย หรือในเอเชียตะวันออกเฉียงใต้ที่ใกล้การใช้งานหลักที่สุด โดยระบุว่ารวมถึงสิงคโปร์และฮ่องกง
ข้อมูลส่วนบุคคลบนคลาวด์ต้องจัดระดับผลกระทบเท่าไร?
ด้านการรักษาความลับต้องอยู่ระดับกลางเป็นอย่างน้อย ตามข้อ 5 ของประกาศ กมช. เรื่อง มาตรฐานด้านการรักษาความมั่นคงปลอดภัยไซเบอร์ระบบคลาวด์ พ.ศ. 2567
มาตรฐานความมั่นคงปลอดภัยไซเบอร์ระบบคลาวด์มีผลบังคับเมื่อไร?
มีผลตั้งแต่ 11 กันยายน 2569 เพราะประกาศในราชกิจจานุเบกษาเมื่อ 10 กันยายน 2567 และกำหนดให้ใช้บังคับเมื่อพ้นสองปี
ถ้าหน่วยงานทำตามมาตรฐานคลาวด์ไม่ได้ต้องทำอย่างไร?
ต้องแจ้งเป็นหนังสือต่อ NCSA แล้ว NCSA จะเสนอเรื่องต่อ กมช. เพื่อพิจารณา ตามข้อ 6 ของประกาศ NCSA เรื่องคลาวด์สาธารณะ พ.ศ. 2567
ต้องส่งรายงานการใช้คลาวด์ให้ NCSA ภายในกี่วัน?
ภายใน 30 วันนับแต่วันที่ดำเนินการแล้วเสร็จ ตามข้อ 6 ของมาตรฐานคลาวด์ พ.ศ. 2567
แหล่งอ้างอิง
คู่มือนี้อ้างอิงเอกสาร 9 รายการ ตัวบทกฎหมายระบุมาตราหรือข้อไว้ชัดเจน ส่วนแนวปฏิบัติและมาตรฐานเป็นแนวทาง ไม่ใช่กฎหมาย
- ประกาศสำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ เรื่อง แนวทางการใช้บริการคลาวด์สาธารณะที่มีศูนย์ข้อมูลหลักในประเทศไทย พ.ศ. 2567 ข้อ 3
- ประกาศสำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ เรื่อง แนวทางการใช้บริการคลาวด์สาธารณะที่มีศูนย์ข้อมูลหลักในประเทศไทย พ.ศ. 2567 ข้อ 4
- ประกาศสำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ เรื่อง แนวทางการใช้บริการคลาวด์สาธารณะที่มีศูนย์ข้อมูลหลักในประเทศไทย พ.ศ. 2567 ข้อ 5
- ประกาศสำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ เรื่อง แนวทางการใช้บริการคลาวด์สาธารณะที่มีศูนย์ข้อมูลหลักในประเทศไทย พ.ศ. 2567 ข้อ 6
- ประกาศคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ เรื่อง มาตรฐานด้านการรักษาความมั่นคงปลอดภัยไซเบอร์ระบบคลาวด์ พ.ศ. 2567 ข้อ 2
- ประกาศคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ เรื่อง มาตรฐานด้านการรักษาความมั่นคงปลอดภัยไซเบอร์ระบบคลาวด์ พ.ศ. 2567 ข้อ 3
- ประกาศคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ เรื่อง มาตรฐานด้านการรักษาความมั่นคงปลอดภัยไซเบอร์ระบบคลาวด์ พ.ศ. 2567 ข้อ 4
- ประกาศคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ เรื่อง มาตรฐานด้านการรักษาความมั่นคงปลอดภัยไซเบอร์ระบบคลาวด์ พ.ศ. 2567 ข้อ 5
- ประกาศคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ เรื่อง มาตรฐานด้านการรักษาความมั่นคงปลอดภัยไซเบอร์ระบบคลาวด์ พ.ศ. 2567 ข้อ 6
ตัวบทในบทความนี้อ้างอิงจากคลังกฎหมายของ AIPDPA ซึ่งถอดจากราชกิจจานุเบกษา · เนื้อหาเป็นความรู้ทั่วไป หากกรณีของคุณมีข้อเท็จจริงเฉพาะ ทีมทนายของเราช่วยดูให้ได้
เครื่องมือและบริการที่ช่วยได้ทันที
อยากทำเองให้เร็วขึ้น ใช้เครื่องมือใน AIPDPA · อยากให้ทนายดูแลให้ หรืออยากเรียนให้เป็น เลือกบริการในเครือที่ตรงกับคุณได้เลย
ข้อกำหนดจาก สคส. ETDA และ NCSA ในที่เดียว ทำหนึ่งครั้งได้หลักฐานหลายมาตรฐาน
ลงชื่อรอเปิดใช้งาน →รู้ว่าใครประมวลผลข้อมูลแทนคุณ ความเสี่ยงระดับไหน และสัญญาครบหรือยัง
ลงชื่อรอเปิดใช้งาน →ข่าวและบทวิเคราะห์กฎหมายเทคโนโลยีทันกระแสโลก
อ่านข่าวล่าสุด →คอร์สเสริมทักษะ PDPA, DPO และธรรมาภิบาล AI พร้อม Digital Product ชุดเครื่องมือพร้อมใช้
ดูคอร์สและสินค้า →
ใครรับผิดชอบเนื้อหานี้?
เรียบเรียงโดยทีมกฎหมาย AIPDPA · ผู้รับผิดชอบเนื้อหา ภูวรา ครอบตะคุ ทนายความ · เนติบัณฑิตไทย · ที่ปรึกษากฎหมายเทคโนโลยีและทรัพย์สินทางปัญญา
ใบอนุญาตทนายความ 477/2558 · เนติบัณฑิตไทย · นิติศาสตรมหาบัณฑิต กฎหมายทรัพย์สินทางปัญญาและสารสนเทศ (เหรียญทอง)
อ่านต่อ
คู่มือที่มักต้องทำต่อจากเรื่องนี้ เลือกอ่านได้ตามลำดับงานขององค์กรคุณ