04/09/2025
#สกมช #ความมั่นคงปลอดภัยไซเบอร์
กรอบแนวทางปฏิบัติเพื่อยกระดับความมั่นคงปลอดภัยไซเบอร์ของหน่วยงานรัฐ
https://m.facebook.com/story.php?story_fbid=1093974816257516&id=100069350223519
ครม. มีมติเห็นชอบกรอบแนวทางการดำเนินการสร้างความมั่นคงปลอดภัยไซเบอร์ให้กับหน่วยงานของรัฐ สำหรับการป้องกันข้อมูลส่วนบุคคลไม่ให้เกิดการรั่วไหล
วันที่ 2 กันยายน 2568 คณะรัฐมนตรีมีมติเห็นชอบกรอบแนวทางการดำเนินการสร้างความมั่นคงปลอดภัยไซเบอร์ให้กับหน่วยงานของรัฐ สำหรับการป้องกันข้อมูลส่วนบุคคลไม่ให้เกิดการรั่วไหล และอนุมัติให้ทุกหน่วยงานนำไปดำเนินการเพื่อเสริมสร้างความมั่นคงปลอดภัยไซเบอร์ให้กับระบบงานของหน่วยงานต่อไป ตามที่คณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (กมช.) เสนอ
สาระสำคัญของเรื่อง
1. เรื่องนี้เป็นการเสนอคณะรัฐมนตรีพิจารณาให้ความเห็นชอบกรอบแนวทางการดำเนินการสร้างความมั่นคงปลอดภัยไซเบอร์ให้แก่หน่วยงานของรัฐ สำหรับการป้องกันข้อมูลส่วนบุคคลไม่ให้เกิดการรั่วไหล เนื่องจากสำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (สกมช.) ตรวจพบการเข้าถึง ชื่อผู้ใช้งาน รหัสผ่าน และข้อมูลส่วนบุคคลของหน่วยงานราชการและภาคเอกชน จำนวน 166 ฐานข้อมูล จากบริษัทเอกชนรายหนึ่งที่รับพัฒนาระบบให้กับหน่วยงานภาครัฐ ซึ่งการรั่วไหลของข้อมูลมีสาเหตุ เช่น
(1) การจ้างเอกชนดำเนินการพัฒนาระบบสารสนเทศของหน่วยงานไม่มีการกำหนดขอบเขตของงานให้ครอบคลุมประเด็นการรักษาความปลอดภัยของข้อมูล
(2) การใช้ฐานข้อมูลจริงในการพัฒนาระบบ โดยไม่ได้ลบข้อมูลดังกล่าวหลังจากพัฒนาและทดสอบแล้วเสร็จ และ
(3) บริษัทเอกชนที่ไม่ได้เป็นหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศไม่ได้ปฏิบัติให้เป็นมาตรฐานตามพระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562
ดังนั้น เพื่อเป็นการเสริมสร้างความมั่นคงปลอดภัยให้แก่หน่วยงานของรัฐ สกมช. จึงได้เสนอแนวทางขับเคลื่อนการแก้ไขปัญหาเชิงระบบ สำหรับหน่วยงานของรัฐ หน่วยงานควบคุมหรือกำกับดูแล และหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ เพื่อเป็นกรอบแนวทางฯ โดยมีรายละเอียด ดังนี้
ขอบเขตการพัฒนาระบบงาน
(1) หน่วยงานของรัฐควรมีการใช้แนวทางมาตรฐาน ISO/IEC 27001 หรือ NIST Cybersecurity Framework ในการออกแบบ พัฒนาและบำรุงรักษาระบบ
(2) งดใช้ข้อมูลจริงในขั้นตอนการพัฒนาระบบ หรือกำหนดให้ใช้ข้อมูล เพื่อทดสอบให้แล้วเสร็จและลบออกภายในระยะเวลา 3 วัน
(3) กำหนดเกณฑ์การเลือกบริษัทพัฒนาซอฟต์แวร์ที่มีประสบการณ์และมาตรฐานที่ผ่านการรับรองทางความปลอดภัย
(4) กำหนดให้มีการกำกับดูแลติดตาม รวมทั้งการทดสอบความปลอดภัยระบบเป็นประจำ ทั้งในช่วงการพัฒนาและก่อนการใช้งานจริงเพื่อค้นหาช่องโหว่และแก้ไขทันที
การพัฒนาบุคลากร
(1) จัดอบรมสำหรับผู้พัฒนาและบุคลากรที่เกี่ยวข้องในเรื่องการออกแบบและพัฒนาระบบให้ปลอดภัย
(2) สร้างการรับรู้ในเรื่องภัยคุกคามไซเบอร์ที่อาจเกิดขึ้น
การติดตามและประเมินผล
(1) จัดให้มีการตรวจสอบและประเมินผลการทำงานของระบบอย่างสม่ำเสมอ
(2) ตรวจสอบความสอดคล้องกับมาตรฐานความปลอดภัยที่กำหนด
การดำเนินการในสัญญาจ้าง
กำหนดให้มีการระบุเงื่อนไขด้านความปลอดภัยในสัญญาว่าจ้างผู้พัฒนา โดยเน้นความรับผิดชอบต่อปัญหาด้านความปลอดภัยที่อาจเกิดขึ้นจากการพัฒนา
มาตรการด้านความปลอดภัย
(1) จัดให้มีกลไกการเฝ้าระวังเพื่อแจ้งเตือนและตอบสนองต่อการโจมตีหรือช่องโหว่ที่เกิดขึ้นอย่างรวดเร็ว
(2) มีแผนรับมือเมื่อเกิดเหตุการณ์ความปลอดภัยไซเบอร์
(3) สนับสนุนการปรับปรุงระบบให้ทันสมัยอยู่เสมอ โดยอัปเดตซอฟต์แวร์และแพตช์ด้านความปลอดภัยเมื่อมีช่องโหว่ถูกค้นพบ
(4) ปิดระบบที่ไม่ได้ใช้งาน เพื่อป้องกันการเข้าถึงข้อมูล
(5) ให้หน่วยงานของรัฐปฏิบัติตามประกาศคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ เรื่อง มาตรฐานด้านการรักษาความมั่นคงปลอดภัยไซเบอร์ระบบคลาวด์ พ.ศ. 2567 ซึ่งสอดคล้องกับนโยบาย Cloud First Policy เพื่อเสริมสร้างความมั่นคงปลอดภัยทางดิจิทัล
2. กมช. ในคราวประชุม ครั้งที่ 3/2567 เมื่อวันที่ 30 ตุลาคม 2567 [โดยมีรองนายกรัฐมนตรี (นายประเสริฐ จันทรรวงทอง) เป็นประธาน] ได้มีมติเห็นชอบแนวทางดังกล่าวแล้ว และมอบหมายให้ สกมช. เสนอกรอบแนวทางฯ ให้คณะรัฐมนตรีพิจารณาประกาศให้ทุกหน่วยงานถือปฏิบัติต่อไป
3. กมช. แจ้งว่า การดำเนินการตามกรอบแนวทางฯ จะช่วยยกระดับมาตรการป้องกันข้อมูลส่วนบุคคลและลดความเสี่ยงจากภัยคุกคามทางไซเบอร์ในภาครัฐอย่างเป็นระบบ ส่งผลให้ระบบดิจิทัลของรัฐมีความมั่นคงปลอดภัยมากยิ่งขึ้น เพิ่มความเชื่อมั่นให้แก่ประชาชน ภาคธุรกิจ และนักลงทุน อีกทั้งยังเป็นการสนับสนุนนโยบายดิจิทัลของประเทศ ทำให้ประเทศไทยมีมาตรฐานด้านความมั่นคงปลอดภัยไซเบอร์ที่ทัดเทียมกับระดับสากล อย่างไรก็ตาม มาตรการนี้จะเพิ่มภาระบางส่วนต่อประชาชนและหน่วยงานของรัฐแต่จะช่วยลดความเสี่ยงด้านไซเบอร์ในระยะยาว ทำให้บริการของภาครัฐปลอดภัยและน่าเชื่อถือยิ่งขึ้น
ที่มา: https://www.thaigov.go.th/news/contents/details/100344
