ความมั่นคงปลอดภัยทางไซเบอร์ไม่ได้เป็นเพียงประเด็นด้านไอทีอีกต่อไป สำหรับธุรกิจที่ดำเนินงานในประเทศไทย ความเสี่ยงทางไซเบอร์อาจส่งผลกระทบต่อความต่อเนื่องในการดำเนินธุรกิจ ความเชื่อมั่นของลูกค้า ภาระผูกพันตามสัญญา การปฏิบัติตามกฎระเบียบ และอาจรวมถึงความรับผิดทางกฎหมายของบริษัท
พระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 ได้กำหนดกรอบการดำเนินงานระดับประเทศสำหรับการป้องกัน การรับมือ และการลดความเสี่ยงจากภัยคุกคามทางไซเบอร์ กฎหมายฉบับนี้ได้จัดตั้งสำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (NCSA) และกำหนดกลไกด้านการกำกับดูแลความมั่นคงปลอดภัยไซเบอร์ การบริหารความเสี่ยง การรับมือเหตุการณ์ทางไซเบอร์ และการคุ้มครองโครงสร้างพื้นฐานสำคัญทางสารสนเทศ
สำหรับผู้ประกอบการ คำถามสำคัญไม่ได้มีเพียงว่าพระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์มีผลใช้บังคับกับบริษัทหรือไม่ แต่สิ่งที่สำคัญกว่าคือ กิจกรรม ระบบ ข้อมูล ผู้ให้บริการด้านเทคโนโลยี และประเภทธุรกิจของบริษัทอาจทำให้บริษัทอยู่ภายใต้กรอบการกำกับดูแลด้านความมั่นคงปลอดภัยไซเบอร์ของประเทศไทยในลักษณะใดบ้าง
พระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์ของไทยคืออะไร?
พระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 กำหนดกรอบทางกฎหมายสำหรับประเทศไทยในการคุ้มครองระบบสารสนเทศและโครงสร้างพื้นฐานดิจิทัลที่สำคัญจากภัยคุกคามทางไซเบอร์
กรอบดังกล่าวกำหนดให้สำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (NCSA) และหน่วยงานที่เกี่ยวข้องมีหน้าที่และความรับผิดชอบเกี่ยวกับนโยบายและมาตรฐานด้านความมั่นคงปลอดภัยไซเบอร์ การเฝ้าระวังภัยคุกคาม การป้องกัน การรับมือ และการประสานงาน
สาระสำคัญประการหนึ่งของกฎหมายคือเรื่องโครงสร้างพื้นฐานสำคัญทางสารสนเทศ (Critical Information Infrastructure หรือ CII) ซึ่งหมายถึงระบบและบริการที่มีความสำคัญต่อด้านต่าง ๆ เช่น ความมั่นคงของประเทศ บริการสาธารณะ การธนาคารและการเงิน โทรคมนาคมและเทคโนโลยีสารสนเทศ การขนส่งและโลจิสติกส์ พลังงานและสาธารณูปโภค รวมถึงสาธารณสุข
ดังนั้น ธุรกิจเอกชนทั่วไปทุกแห่งจึงไม่ได้มีภาระหน้าที่เช่นเดียวกับองค์กรที่เป็นโครงสร้างพื้นฐานสำคัญทางสารสนเทศ (CII) โดยอัตโนมัติ
อย่างไรก็ตาม ธุรกิจไม่ควรสรุปว่ากฎหมายดังกล่าวไม่เกี่ยวข้องกับตนเองเพียงเพราะเป็นบริษัทเอกชน
พระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์มีผลใช้บังคับกับทุกธุรกิจหรือไม่?
ไม่ได้มีผลในลักษณะเดียวกันกับทุกธุรกิจ
ประเด็นสำคัญประการหนึ่งสำหรับผู้ประกอบการคือการพิจารณาว่าบริษัทอยู่ในประเภทที่อยู่ภายใต้การกำกับดูแลโดยเฉพาะตามพระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์ หรือข้อกำหนดเฉพาะของแต่ละภาคธุรกิจหรือไม่
บริษัทอาจมีภาระหน้าที่ด้านความมั่นคงปลอดภัยทางไซเบอร์เพิ่มเติมเนื่องจากบริษัท:
- ดำเนินงานหรือให้การสนับสนุนโครงสร้างพื้นฐานสำคัญทางสารสนเทศ;
- ให้บริการในอุตสาหกรรมที่อยู่ภายใต้การกำกับดูแล;
- ดำเนินงานระบบที่มีความสำคัญต่อบริการที่จำเป็น;
- ทำหน้าที่เป็นผู้ให้บริการด้านเทคโนโลยีหรือโครงสร้างพื้นฐานแก่หน่วยงานหรือองค์กรที่อยู่ภายใต้การกำกับดูแล;
- ให้บริการด้านคลาวด์ บริการดิจิทัล โทรคมนาคม การเงิน หรือบริการอื่น ๆ ที่เกี่ยวข้องกับเทคโนโลยี;
- จัดเก็บหรือประมวลผลข้อมูลทางธุรกิจหรือข้อมูลของลูกค้าที่มีความสำคัญหรือมีความละเอียดอ่อน;
- มีข้อกำหนดด้านความมั่นคงปลอดภัยทางไซเบอร์ตามสัญญาที่กำหนดโดยลูกค้า คู่ค้า หรือกลุ่มบริษัทระหว่างประเทศ
สำหรับบริษัทข้ามชาติ การวิเคราะห์ประเด็นดังกล่าวมีความสำคัญมากยิ่งขึ้น เนื่องจากข้อกำหนดด้านความมั่นคงปลอดภัยทางไซเบอร์ในประเทศไทยอาจต้องดำเนินควบคู่ไปกับนโยบายความปลอดภัยภายในองค์กรระดับโลกและกฎระเบียบของเขตอำนาจศาลอื่น ๆ
โครงสร้างพื้นฐานสำคัญทางสารสนเทศคืออะไร?
โครงสร้างพื้นฐานสำคัญทางสารสนเทศ หรือ Critical Information Infrastructure (CII) เป็นแนวคิดสำคัญภายใต้กรอบการรักษาความมั่นคงปลอดภัยทางไซเบอร์ของประเทศไทย
วัตถุประสงค์คือการคุ้มครองระบบสารสนเทศและโครงสร้างพื้นฐานที่หากเกิดการหยุดชะงัก อาจก่อให้เกิดผลกระทบอย่างร้ายแรงต่อประเทศ บริการที่จำเป็น หรือประชาชน
กรอบดังกล่าวครอบคลุมภาคส่วนต่าง ๆ ได้แก่:
1. ความมั่นคงของประเทศ
ระบบสารสนเทศที่เกี่ยวข้องกับความมั่นคงของประเทศและภารกิจสำคัญที่เกี่ยวข้อง
2. บริการสาธารณะ
ระบบที่สนับสนุนบริการที่สำคัญของภาครัฐและบริการสาธารณะ
3. การธนาคารและการเงิน
สถาบันการเงินและโครงสร้างพื้นฐานที่สนับสนุนระบบการเงินอาจอยู่ภายใต้ข้อกำหนดด้านความมั่นคงปลอดภัยทางไซเบอร์ตามกรอบการกำกับดูแลที่เกี่ยวข้อง
4. เทคโนโลยีสารสนเทศและโทรคมนาคม
เครือข่ายโทรคมนาคม โครงสร้างพื้นฐานด้านเทคโนโลยีสารสนเทศ และระบบดิจิทัลที่มีความสำคัญที่เกี่ยวข้อง ถือเป็นส่วนที่มีความสำคัญอย่างยิ่งจากมุมมองด้านความมั่นคงปลอดภัยทางไซเบอร์
5. การขนส่งและโลจิสติกส์
ระบบที่สนับสนุนบริการด้านการขนส่งและโลจิสติกส์ที่มีความสำคัญอาจอยู่ภายใต้กรอบโครงสร้างพื้นฐานสำคัญทางสารสนเทศ (CII)
6. พลังงานและสาธารณูปโภค
ระบบไฟฟ้า พลังงาน สาธารณูปโภค และโครงสร้างพื้นฐานที่สำคัญอื่น ๆ จำเป็นต้องได้รับการคุ้มครองเป็นพิเศษ เนื่องจากเหตุการณ์ทางไซเบอร์อาจส่งผลกระทบอย่างมีนัยสำคัญต่อการดำเนินงาน
7. สาธารณสุข
โครงสร้างพื้นฐานด้านการดูแลสุขภาพและสาธารณสุขอาจเกี่ยวข้องกับระบบและข้อมูลที่มีความสำคัญอย่างยิ่ง จึงถือเป็นอีกหนึ่งภาคส่วนสำคัญ
สำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (NCSA) ให้ความสำคัญกับการพัฒนาโครงสร้างการกำกับดูแล กลไกการบริหารความเสี่ยง และมาตรฐานด้านความมั่นคงปลอดภัยทางไซเบอร์สำหรับองค์กรที่เกี่ยวข้องกับโครงสร้างพื้นฐานสำคัญทางสารสนเทศ (CII)
สิ่งนี้มีความหมายอย่างไรต่อผู้ประกอบการ?
สำหรับบริษัทจำนวนมาก ผลกระทบในทางปฏิบัติของพระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์เริ่มต้นจากการประเมินความเสี่ยงและการกำกับดูแล
ผู้ประกอบการควรทำความเข้าใจว่าบริษัทพึ่งพาเทคโนโลยีใดบ้าง ข้อมูลสำคัญถูกจัดเก็บไว้ที่ใด ใครสามารถเข้าถึงข้อมูลดังกล่าวได้ และจะเกิดอะไรขึ้นหากระบบที่มีความสำคัญไม่สามารถใช้งานได้
การตรวจสอบการปฏิบัติตามข้อกำหนดด้านความมั่นคงปลอดภัยทางไซเบอร์ในเบื้องต้นควรพิจารณาประเด็นต่อไปนี้:
- ระบบใดบ้างที่มีความจำเป็นต่อการดำเนินธุรกิจ?
- ข้อมูลของบริษัทและลูกค้าถูกจัดเก็บไว้ที่ใด?
- ระบบใดบ้างที่โฮสต์อยู่ในประเทศไทยหรือต่างประเทศ?
- ผู้ให้บริการภายนอกรายใดบ้างที่สามารถเข้าถึงระบบของบริษัท?
- บริษัทมีการใช้บริการคลาวด์สำหรับการดำเนินงานที่สำคัญหรือไม่?
- ใครเป็นผู้รับผิดชอบด้านความมั่นคงปลอดภัยทางไซเบอร์ภายในองค์กร?
- บริษัทมีแผนรับมือเหตุการณ์ทางไซเบอร์หรือไม่?
- บริษัทสามารถตรวจพบและรับมือกับเหตุการณ์ทางไซเบอร์ได้รวดเร็วเพียงใด?
- มีการกำหนดความรับผิดชอบด้านความมั่นคงปลอดภัยทางไซเบอร์ไว้อย่างชัดเจนในสัญญาหรือไม่?
- พนักงานได้รับการฝึกอบรมให้สามารถสังเกตและรับมือกับภัยคุกคามทางไซเบอร์ที่พบบ่อยหรือไม่?
คำถามเหล่านี้มีความสำคัญแม้ว่าบริษัทจะไม่ได้ถูกจัดประเภทโดยตรงให้เป็นองค์กรโครงสร้างพื้นฐานสำคัญทางสารสนเทศ (CII) ก็ตาม
การกำกับดูแลด้านความมั่นคงปลอดภัยทางไซเบอร์เป็นประเด็นของฝ่ายบริหาร
ความมั่นคงปลอดภัยทางไซเบอร์ไม่ควรถูกมอบหมายให้เป็นความรับผิดชอบของฝ่ายไอทีเพียงฝ่ายเดียว
สำหรับกรรมการ ผู้บริหาร และผู้ประกอบการ ความมั่นคงปลอดภัยทางไซเบอร์กำลังกลายเป็นประเด็นด้านการกำกับดูแลกิจการที่มีความสำคัญมากขึ้น
บริษัทอาจมีมาตรการรักษาความปลอดภัยทางเทคนิคที่ทันสมัย แต่ยังคงมีความเสี่ยงหากขาดองค์ประกอบต่อไปนี้:
- การกำหนดหน้าที่และความรับผิดชอบภายในองค์กรอย่างชัดเจน;
- นโยบายด้านความมั่นคงปลอดภัยทางไซเบอร์ที่จัดทำเป็นลายลักษณ์อักษร;
- ขั้นตอนการบริหารจัดการผู้ให้บริการและคู่ค้า;
- นโยบายการควบคุมสิทธิ์ในการเข้าถึงระบบ;
- ขั้นตอนการรับมือเหตุการณ์ทางไซเบอร์;
- แผนรองรับความต่อเนื่องทางธุรกิจ;
- การฝึกอบรมและสร้างความตระหนักด้านความปลอดภัยให้แก่พนักงาน;
- การประเมินความปลอดภัยอย่างสม่ำเสมอ;
- มาตรการคุ้มครองตามสัญญาที่เหมาะสม
กรอบการกำกับดูแลที่มีประสิทธิภาพช่วยแสดงให้เห็นว่าความเสี่ยงด้านความมั่นคงปลอดภัยทางไซเบอร์ได้รับการระบุ ประเมิน และบริหารจัดการอย่างจริงจัง แทนที่จะถูกละเลย
การรับมือเหตุการณ์และภัยคุกคามทางไซเบอร์
หนึ่งในประเด็นสำคัญในทางปฏิบัติคือสิ่งที่จะเกิดขึ้นภายหลังจากที่เกิดเหตุการณ์ทางไซเบอร์
บริษัทควรมีกระบวนการที่ชัดเจนสำหรับการระบุเหตุการณ์ การควบคุมและจำกัดผลกระทบ การตรวจสอบ และการรับมือกับเหตุการณ์ทางไซเบอร์
ขึ้นอยู่กับลักษณะขององค์กรและประเภทของเหตุการณ์ กระบวนการดังกล่าวอาจจำเป็นต้องมีการประสานงานกับฝ่ายบริหารภายใน ทีมไอทีและทีมรักษาความปลอดภัย ผู้เชี่ยวชาญด้านความมั่นคงปลอดภัยทางไซเบอร์ภายนอก ที่ปรึกษากฎหมาย บริษัทประกันภัย ลูกค้า หน่วยงานกำกับดูแล หรือหน่วยงานภาครัฐ
สำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (NCSA) ยังคงให้ความสำคัญกับขีดความสามารถในการรับมือเหตุการณ์ทางไซเบอร์ และจัดการฝึกซ้อมรับมือภัยคุกคามทางไซเบอร์ระดับประเทศ ซึ่งมีหน่วยงานภาครัฐ หน่วยงานกำกับดูแล องค์กรโครงสร้างพื้นฐานสำคัญทางสารสนเทศ (CII) และหน่วยงานที่เกี่ยวข้องอื่น ๆ เข้าร่วม
สำหรับภาคธุรกิจ ประเด็นดังกล่าวสะท้อนหลักการสำคัญประการหนึ่งว่า:
นโยบายด้านความมั่นคงปลอดภัยทางไซเบอร์จะมีประโยชน์ก็ต่อเมื่อองค์กรสามารถนำไปปฏิบัติได้จริงในช่วงที่เกิดวิกฤต
การประมวลผลบนระบบคลาวด์และการปฏิบัติตามข้อกำหนดด้านความมั่นคงปลอดภัยทางไซเบอร์
โครงสร้างพื้นฐานระบบคลาวด์ได้กลายเป็นส่วนสำคัญของการดำเนินธุรกิจสมัยใหม่
บริษัทต่าง ๆ พึ่งพาแพลตฟอร์มคลาวด์มากขึ้นสำหรับฐานข้อมูลลูกค้า ระบบบัญชี แอปพลิเคชันด้านทรัพยากรบุคคล การจัดการเอกสาร การพัฒนาซอฟต์แวร์ การสื่อสาร และการดำเนินงานที่สำคัญอื่น ๆ
ประเทศไทยกำลังพัฒนามาตรฐานด้านกฎระเบียบที่มีความเฉพาะเจาะจงมากขึ้นสำหรับการรักษาความมั่นคงปลอดภัยของระบบคลาวด์
มาตรฐานการรักษาความมั่นคงปลอดภัยระบบคลาวด์ของสำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ พ.ศ. 2567 กำหนดแนวทางและมาตรการขั้นต่ำที่เกี่ยวข้องกับการกำกับดูแลความมั่นคงปลอดภัยระบบคลาวด์ การควบคุมการเข้าถึง การบริหารจัดการทรัพย์สิน การเข้ารหัสข้อมูล การจัดการเหตุการณ์ และด้านอื่น ๆ โดยมาตรฐานดังกล่าวประกาศเมื่อวันที่ 10 กันยายน 2567 และมีกำหนดมีผลใช้บังคับในวันที่ 10 กันยายน 2569
สำหรับธุรกิจที่ใช้บริการคลาวด์ ประเด็นดังกล่าวจึงถือเป็นข้อพิจารณาด้านการปฏิบัติตามกฎระเบียบที่สำคัญในปี 2569
บริษัทควรตรวจสอบประเด็นต่อไปนี้:
- ข้อมูลบนระบบคลาวด์ถูกจัดเก็บไว้ที่ใด;
- บริษัทใช้บริการจากผู้ให้บริการระบบคลาวด์รายใด;
- ใครเป็นผู้ควบคุมสิทธิ์การเข้าถึงสภาพแวดล้อมระบบคลาวด์;
- บัญชีผู้ใช้งานที่มีสิทธิ์ระดับสูงได้รับการปกป้องอย่างไร;
- มีการใช้มาตรการเข้ารหัสข้อมูลที่เหมาะสมหรือไม่;
- เหตุการณ์ด้านความปลอดภัยมีการรายงานอย่างไร;
- มีระบบสำรองข้อมูลหรือไม่;
- จะเกิดอะไรขึ้นหากผู้ให้บริการระบบคลาวด์ประสบปัญหาระบบขัดข้อง;
- สัญญามีการกำหนดหน้าที่และความรับผิดชอบด้านความมั่นคงปลอดภัยทางไซเบอร์ไว้อย่างเพียงพอหรือไม่
ความมั่นคงปลอดภัยทางไซเบอร์และผู้ให้บริการภายนอก
ความมั่นคงปลอดภัยทางไซเบอร์ของบริษัทมักมีความแข็งแกร่งได้เพียงเท่ากับจุดเชื่อมต่อภายนอกที่มีความปลอดภัยต่ำที่สุด
ธุรกิจต่าง ๆ มักให้ซัพพลายเออร์ ผู้ให้บริการซอฟต์แวร์ ที่ปรึกษา ผู้ให้บริการระบบคลาวด์ นักบัญชี บริษัทการตลาด และบุคคลภายนอกอื่น ๆ เข้าถึงระบบหรือข้อมูลของบริษัท
สถานการณ์ดังกล่าวอาจก่อให้เกิดความเสี่ยงทั้งในด้านกฎหมายและการดำเนินงาน
ดังนั้น ธุรกิจควรพิจารณากำหนดข้อกำหนดด้านความมั่นคงปลอดภัยทางไซเบอร์ไว้ในสัญญาทางธุรกิจ โดยอาจครอบคลุมถึง:
- มาตรฐานด้านความปลอดภัย;
- ข้อกำหนดเกี่ยวกับการรักษาความลับ;
- มาตรการควบคุมการเข้าถึง;
- หน้าที่และความรับผิดชอบในการคุ้มครองข้อมูล;
- การแจ้งเหตุการณ์ด้านความปลอดภัย;
- การให้ความร่วมมือระหว่างการตรวจสอบเหตุการณ์;
- สิทธิในการตรวจสอบหรือประเมินมาตรการรักษาความปลอดภัย;
- ความต่อเนื่องทางธุรกิจ;
- การควบคุมผู้รับเหมาช่วงหรือผู้ให้บริการช่วง;
- ข้อกำหนดเกี่ยวกับการยุติสัญญาและการส่งคืนข้อมูล
สำหรับบริษัทที่ดำเนินธุรกิจในระดับนานาชาติ ข้อกำหนดตามสัญญาเหล่านี้ยังสามารถช่วยให้การดำเนินงานในประเทศไทยสอดคล้องกับข้อกำหนดด้านความมั่นคงปลอดภัยทางไซเบอร์ของกลุ่มบริษัทในระดับสากล
ความมั่นคงปลอดภัยทางไซเบอร์และ PDPA
พระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์ควรได้รับการพิจารณาควบคู่ไปกับพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคลของประเทศไทย (PDPA)
กฎหมายทั้งสองฉบับมีวัตถุประสงค์ด้านการกำกับดูแลที่แตกต่างกัน
พระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์มุ่งเน้นเป็นหลักไปที่ความมั่นคงปลอดภัยทางไซเบอร์ของประเทศ ภัยคุกคามทางไซเบอร์ และการคุ้มครองโครงสร้างพื้นฐานสำคัญทางสารสนเทศ
ส่วน PDPA มุ่งเน้นไปที่การเก็บรวบรวม ใช้ เปิดเผย และการคุ้มครองข้อมูลส่วนบุคคล
เหตุการณ์ทางไซเบอร์เพียงเหตุการณ์เดียวอาจก่อให้เกิดประเด็นที่ต้องพิจารณาภายใต้กรอบกฎหมายทั้งสองฉบับ
ตัวอย่างเช่น หากผู้โจมตีสามารถเข้าถึงฐานข้อมูลของบริษัทโดยไม่ได้รับอนุญาต และฐานข้อมูลดังกล่าวมีข้อมูลของลูกค้า บริษัทอาจจำเป็นต้องประเมินทั้งผลกระทบด้านความมั่นคงปลอดภัยทางไซเบอร์และหน้าที่ตามกฎหมายที่เกี่ยวข้องกับข้อมูลส่วนบุคคล
ด้วยเหตุนี้ การวางแผนด้านความมั่นคงปลอดภัยทางไซเบอร์จึงควรบูรณาการเข้ากับโครงการด้านการคุ้มครองข้อมูลและการปฏิบัติตามกฎหมายคุ้มครองความเป็นส่วนตัวของบริษัทในภาพรวม
ธุรกิจสตาร์ทอัพและ SMEs ควรดำเนินการอย่างไร?
ธุรกิจขนาดเล็กอาจเข้าใจว่าการปฏิบัติตามข้อกำหนดด้านความมั่นคงปลอดภัยทางไซเบอร์เป็นเรื่องที่เกี่ยวข้องเฉพาะกับธนาคาร บริษัทโทรคมนาคม บริษัทขนาดใหญ่ หรือองค์กรที่เกี่ยวข้องกับภาครัฐเท่านั้น
อย่างไรก็ตาม แนวทางดังกล่าวอาจก่อให้เกิดความเสี่ยงได้
แม้ว่าสตาร์ทอัพหรือ SMEs จะไม่ได้อยู่ภายใต้หน้าที่ตามกฎหมายเช่นเดียวกับองค์กรโครงสร้างพื้นฐานสำคัญทางสารสนเทศ (CII) โดยตรง แต่ลูกค้า นักลงทุน บริษัทประกันภัย คู่ค้าทางธุรกิจ และลูกค้าระหว่างประเทศอาจกำหนดให้บริษัทต้องแสดงหลักฐานว่ามีมาตรการควบคุมด้านความมั่นคงปลอดภัยทางไซเบอร์ที่เหมาะสม
จุดเริ่มต้นในทางปฏิบัติคือการจัดทำกรอบการกำกับดูแลด้านความมั่นคงปลอดภัยทางไซเบอร์ขั้นพื้นฐาน ซึ่งครอบคลุมถึง:
- ระบุระบบและข้อมูลที่มีความสำคัญต่อธุรกิจ
- ควบคุมการเข้าถึงระบบทางธุรกิจ
- ใช้ระบบยืนยันตัวตนที่มีความปลอดภัยสูงและควบคุมสิทธิ์การเข้าถึงระดับสูง
- จัดทำและดูแลระบบสำรองข้อมูลที่มีความปลอดภัย
- อัปเดตซอฟต์แวร์และระบบต่าง ๆ ให้เป็นปัจจุบันอย่างเหมาะสม
- ฝึกอบรมพนักงานเกี่ยวกับฟิชชิงและความเสี่ยงด้านความมั่นคงปลอดภัยทางไซเบอร์
- ประเมินผู้ให้บริการเทคโนโลยีจากภายนอก
- จัดทำแผนรับมือเหตุการณ์ทางไซเบอร์
- ตรวจสอบข้อกำหนดด้านความมั่นคงปลอดภัยทางไซเบอร์ในสัญญาทางธุรกิจ
- ประเมินข้อกำหนดทางกฎหมายและกฎระเบียบที่เกี่ยวข้องใหม่อย่างสม่ำเสมอ
สำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (NCSA) เองก็ให้ความสำคัญกับมาตรการรักษาความปลอดภัยในทางปฏิบัติ เช่น การกำหนดสิทธิ์การเข้าถึงเท่าที่จำเป็น (Least Privilege) การยืนยันตัวตนแบบหลายปัจจัย (Multi-Factor Authentication) การตรวจสอบบันทึกเหตุการณ์ (Log Monitoring) การแบ่งส่วนเครือข่าย (Network Segmentation) การสำรองข้อมูล และการวางแผนรับมือเหตุการณ์ทางไซเบอร์ในคำแนะนำด้านความมั่นคงปลอดภัยทางไซเบอร์
บริษัทข้ามชาติควรพิจารณาเรื่องใดบ้าง?
สำหรับบริษัทข้ามชาติ ความท้าทายมักมีความซับซ้อนมากยิ่งขึ้น
บริษัทระดับโลกอาจมีนโยบายด้านความมั่นคงปลอดภัยทางไซเบอร์ที่อ้างอิงมาตรฐานสากลหรือข้อกำหนดที่ใช้ร่วมกันทั่วทั้งกลุ่มบริษัทอยู่แล้ว อย่างไรก็ตาม ควรตรวจสอบนโยบายดังกล่าวให้สอดคล้องกับสภาพแวดล้อมทางกฎหมายและกฎระเบียบเฉพาะของประเทศไทย
ประเด็นที่ควรพิจารณา ได้แก่:
- ข้อกำหนดด้านกฎระเบียบของประเทศไทย;
- กฎเกณฑ์เฉพาะสำหรับแต่ละอุตสาหกรรม;
- มาตรฐานด้านความมั่นคงปลอดภัยทางไซเบอร์ในประเทศไทย;
- การไหลเวียนของข้อมูลข้ามพรมแดน;
- โครงสร้างพื้นฐานระบบคลาวด์;
- การจัดการผู้ให้บริการและการจ้างบริการจากภายนอก;
- ขั้นตอนการรายงานเหตุการณ์;
- นโยบายภายในของกลุ่มบริษัท;
- ภาระผูกพันตามสัญญา;
- ข้อกำหนดเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล
ดังนั้น บริษัทไม่ควรถือว่านโยบายด้านความมั่นคงปลอดภัยทางไซเบอร์ระดับโลกของตนเป็นหลักฐานยืนยันการปฏิบัติตามกฎหมายไทยโดยอัตโนมัติ
บริษัทควรประเมินว่าการดำเนินงานในประเทศไทยจำเป็นต้องมีมาตรการควบคุม ขั้นตอน สัญญา หรือเอกสารเพิ่มเติมในระดับท้องถิ่นหรือไม่
เช็กลิสต์การปฏิบัติตามกฎหมายสำหรับผู้ประกอบการ
ธุรกิจที่ดำเนินงานในประเทศไทยสามารถเริ่มต้นด้วยเช็กลิสต์ต่อไปนี้:
การกำกับดูแล
- ระบุผู้รับผิดชอบด้านความมั่นคงปลอดภัยทางไซเบอร์
- จัดทำนโยบายด้านความมั่นคงปลอดภัยทางไซเบอร์ภายในองค์กร
- กำหนดหน้าที่และความรับผิดชอบของฝ่ายบริหาร
เทคโนโลยี
- ระบุระบบสารสนเทศที่มีความสำคัญ
- ตรวจสอบสิทธิ์การเข้าถึงระบบ
- นำมาตรการควบคุมการยืนยันตัวตนที่เหมาะสมมาใช้
- จัดทำระบบสำรองข้อมูลและขั้นตอนการกู้คืนระบบ
- ตรวจสอบและเฝ้าระวังระบบที่มีความสำคัญ
ผู้ให้บริการและคู่ค้า
- ตรวจสอบความเสี่ยงด้านความมั่นคงปลอดภัยทางไซเบอร์ที่เกี่ยวข้องกับซัพพลายเออร์
- กำหนดหน้าที่ด้านความปลอดภัยที่เหมาะสมไว้ในสัญญา
- จัดทำขั้นตอนสำหรับการแจ้งเหตุการณ์ด้านความปลอดภัย
การรับมือเหตุการณ์
- จัดทำแผนรับมือเหตุการณ์ทางไซเบอร์
- กำหนดขั้นตอนการยกระดับและส่งต่อเหตุการณ์
- ระบุผู้ติดต่อทั้งภายในและภายนอกองค์กร
- ทดสอบกระบวนการรับมือเหตุการณ์เป็นระยะ
การปฏิบัติตามกฎหมายและกฎระเบียบ
- ตรวจสอบว่าบริษัทดำเนินธุรกิจในภาคส่วนที่อยู่ภายใต้การกำกับดูแลหรือไม่
- ประเมินว่าระบบหรือบริการใดอาจเข้าข่ายเกี่ยวข้องกับโครงสร้างพื้นฐานสำคัญทางสารสนเทศ (CII)
- ตรวจสอบมาตรฐานด้านความมั่นคงปลอดภัยทางไซเบอร์ที่เกี่ยวข้อง
- ประสานการปฏิบัติตามข้อกำหนดด้านความมั่นคงปลอดภัยทางไซเบอร์เข้ากับหน้าที่ตาม PDPA
- ตรวจสอบข้อกำหนดด้านความมั่นคงปลอดภัยของระบบคลาวด์เมื่อมีความเกี่ยวข้อง
เหตุใดคำแนะนำทางกฎหมายจึงมีความสำคัญ?
การปฏิบัติตามข้อกำหนดด้านความมั่นคงปลอดภัยทางไซเบอร์ไม่ได้หมายถึงเพียงการติดตั้งซอฟต์แวร์ป้องกันไวรัสหรือการซื้อไฟร์วอลล์เท่านั้น
การวิเคราะห์ด้านกฎหมายอาจเกี่ยวข้องกับโครงสร้างบริษัท ประเภทธุรกิจ โครงสร้างพื้นฐานด้านเทคโนโลยี สัญญา กิจกรรมการประมวลผลข้อมูล ผู้ให้บริการระบบคลาวด์ ลูกค้า ซัพพลายเออร์ และความสัมพันธ์กับหน่วยงานกำกับดูแล
การตรวจสอบทางกฎหมายสามารถช่วยระบุว่าหน้าที่และความรับผิดชอบด้านความมั่นคงปลอดภัยทางไซเบอร์เกิดขึ้นในส่วนใด และช่วยแปลงข้อกำหนดทางเทคนิคให้เป็นมาตรการด้านสัญญาและการกำกับดูแลที่สามารถนำไปปฏิบัติได้จริง
สำหรับธุรกิจที่ดำเนินงานในประเทศไทย การตรวจสอบดังกล่าวอาจครอบคลุมถึง:
- นโยบายด้านความมั่นคงปลอดภัยทางไซเบอร์;
- สัญญาด้านไอทีและระบบคลาวด์;
- สัญญากับผู้ให้บริการและคู่ค้า;
- ข้อตกลงและการจัดการเกี่ยวกับการประมวลผลข้อมูล;
- ขั้นตอนการรับมือเหตุการณ์ทางไซเบอร์;
- เอกสารด้านความเป็นส่วนตัวและ PDPA;
- กรอบการปฏิบัติตามกฎระเบียบภายในองค์กร;
- การจัดการด้านเทคโนโลยีข้ามพรมแดน;
- ภาระหน้าที่ตามกฎหมายและกฎระเบียบ
Pimlegal สามารถช่วยคุณได้อย่างไร?
ที่ Pimlegal เราเข้าใจว่าธุรกิจแต่ละแห่งมีความต้องการด้านเทคโนโลยี กฎระเบียบ และการดำเนินงานที่แตกต่างกัน
ไม่ว่าคุณจะเป็นสตาร์ทอัพ SMEs หรือบริษัทข้ามชาติที่มีสำนักงานอยู่ทั่วโลก เราให้บริการโซลูชันด้านกฎหมายที่ออกแบบให้เหมาะสมกับความต้องการทางธุรกิจของคุณในด้านกฎหมายดิจิทัลและการปฏิบัติตามกฎระเบียบ
แนวทางของเราสามารถช่วยให้ธุรกิจเข้าใจว่ากรอบการรักษาความมั่นคงปลอดภัยทางไซเบอร์ของประเทศไทยมีความเกี่ยวข้องกับการดำเนินงานของบริษัทอย่างไร พร้อมระบุมาตรการในทางปฏิบัติเพื่อลดความเสี่ยงด้านกฎหมายและการปฏิบัติตามกฎระเบียบ
ตั้งแต่การตรวจสอบสัญญาด้านเทคโนโลยีและระบบคลาวด์ ไปจนถึงการให้คำปรึกษาด้านการกำกับดูแลความมั่นคงปลอดภัยทางไซเบอร์ การคุ้มครองข้อมูล การปฏิบัติตามกฎหมายดิจิทัล และการรับมือเหตุการณ์ทางไซเบอร์ เป้าหมายของเราคือช่วยให้ธุรกิจสามารถดำเนินงานในสภาพแวดล้อมดิจิทัลของประเทศไทยที่มีการกำกับดูแลเพิ่มขึ้นได้อย่างมั่นใจ
บทสรุป
พระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์ของประเทศไทยถือเป็นส่วนสำคัญของกรอบการกำกับดูแลด้านดิจิทัลของประเทศที่กำลังพัฒนาอย่างต่อเนื่อง
ธุรกิจแต่ละแห่งไม่ได้อยู่ภายใต้หน้าที่ด้านความมั่นคงปลอดภัยทางไซเบอร์ที่เหมือนกันทั้งหมด และการพิจารณาข้อกำหนดที่เกี่ยวข้องจำเป็นต้องประเมินกิจกรรมของบริษัท ภาคธุรกิจ โครงสร้างพื้นฐาน และความสัมพันธ์กับหน่วยงานหรือองค์กรที่อยู่ภายใต้การกำกับดูแล
อย่างไรก็ตาม ความมั่นคงปลอดภัยทางไซเบอร์ควรถูกมองว่าเป็นประเด็นเชิงกลยุทธ์ทั้งในด้านธุรกิจและกฎหมาย ไม่ใช่เพียงความรับผิดชอบของฝ่ายไอทีเท่านั้น
สำหรับผู้ประกอบการ แนวทางที่ดีที่สุดคือการทำความเข้าใจสถานะด้านกฎหมายและกฎระเบียบของบริษัท ระบุระบบและความเสี่ยงที่มีความสำคัญ จัดทำกรอบการกำกับดูแลที่เหมาะสม ตรวจสอบการใช้บริการจากบุคคลภายนอกและระบบคลาวด์ และตรวจสอบให้แน่ใจว่ามาตรการด้านความมั่นคงปลอดภัยทางไซเบอร์ได้รับการสนับสนุนด้วยเอกสารทางกฎหมายที่เหมาะสม
ในขณะที่ประเทศไทยยังคงยกระดับมาตรฐานและโครงสร้างพื้นฐานด้านการกำกับดูแลความมั่นคงปลอดภัยทางไซเบอร์อย่างต่อเนื่อง การเตรียมความพร้อมและการปฏิบัติตามกฎระเบียบเชิงรุกสามารถช่วยให้ธุรกิจลดผลกระทบจากการหยุดชะงัก ปกป้องข้อมูลที่มีคุณค่า สร้างความเชื่อมั่นให้แก่ลูกค้า และเตรียมพร้อมสำหรับข้อกำหนดทางกฎหมายที่กำลังพัฒนา
Pimlegal ให้บริการโซลูชันที่ออกแบบเฉพาะสำหรับธุรกิจในด้านกฎหมายดิจิทัลและการปฏิบัติตามกฎระเบียบ สำหรับธุรกิจที่ดำเนินงานทั้งในประเทศไทยและในระดับนานาชาติ