มาตรฐานการรักษาความมั่นคงปลอดภัยด5านสารสนเทศของระบบควบคุมการประชุม

เวอร&ชัน 1.1

สำนักงานพัฒนาธุรกรรมทางอิเล็กทรอนิกสEกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม

มาตรฐานการรักษาความมั่นคงปลอดภัยด=านสารสนเทศของระบบควบคุมการประชุม จัดทำขึ้นสำหรับผู=ให=บริการระบบควบคุมการประชุมใช=เปNนแนวปฏิบัติ เพื่อสร=างความนSาเชื่อถือให=กับระบบควบคุมการประชุม และสอดคล=องตามประกาศกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม เรื่อง มาตรฐานการรักษาความมั่นคงปลอดภัยของการ
ประชุมผSานสื่ออิเล็กทรอนิกส& พ.ศ. 2563 โดยมาตรฐานฯ ฉบับนี้ ได=พัฒนาตามแนวมาตรฐานของ
1) ISO/IEC 27001:2013, Information technology - Security techniques – Information security
management systems - Requirements, 2013.
2) ISO/IEC 27002:2013, Information technology - Security techniques – Code of practice for
information security controls, 2013.
3) ISO/IEC 27701:2019, Security techniques - Extension to ISO/IEC 27001 and ISO/IEC 27002
for privacy information management - Requirements and guidelines, 2019.
4) European Union, Agency for Network and Information Security (ENISA), Technical
Guidelines for the implementation of minimum security measures for Digital Service
Providers, December, 2016.
5) แนวทางการใช=ดิจิทัลไอดีสำหรับประเทศไทย – การลงทะเบียนและพิสูจน&ตัวตน เลขที่ ขมธอ. 19-2561
6) แนวทางการใช=ดิจิทัลไอดีสำหรับประเทศไทย – การยืนยันตัวตน เลขที่ ขมธอ. 20-2561
นอกจากนี้ ผู=เกี่ยวข=องอาจพิจารณามาตรฐานอื่นเพิ่มเติมตามความเหมาะสมของการให=บริการ เชSน ISO/IEC
27017:2015, Information technology - Security techniques - Code of practice for information security
controls based on ISO/IEC 2 7 0 0 2 for cloud services ISO/IEC 27018:2019 Information technology Security techniques - Code of practice for protection of personally identifiable information (PII) in
public clouds acting as PII processors ฯลฯมาตรฐานการรักษาความมั่นคงปลอดภัยด=านสารสนเทศของระบบควบคุมการประชุม จัดทำขึ้นโดยสำนักงาน
พัฒนาธุรกรรมทางอิเล็กทรอนิกส& กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม
สำนักงานพัฒนาธุรกรรมทางอิเล็กทรอนิกส&อาคารเดอะ ไนน& ทาวเวอร& แกรนด& พระรามเก=า (อาคารบี) ชั้น 21 เลขที่ 33/4 ถนนพระราม 9แขวงห=วยขวาง เขตห=วยขวาง กรุงเทพมหานคร 10310
โทรศัพท&: 0 2123 1234 โทรสาร: 0 2123 1200
Website: www.etda.or.th

(ii)

คำนำ
เนื่องด=วยป‘จจุบันได=เกิดสถานการณ&การระบาดของโรคติดเชื้อไวรัสโคโรนา 2019 ในหลายประเทศทั่วโลก
รวมทั้งประเทศไทย องค&การอนามัยโลกจึงได=ประกาศให=เปNนภาวะการแพรSระบาดใหญSทั่วโลก และขณะนี้ยังไมSมี
แนวทางการรักษาที่ชัดเจน ทำให=รัฐบาลต=องใช=มาตรการที่เข=มข=นเพื่อควบคุมการระบาดของโรคตามคำแนะนำของ
องค&การอนามัยโลก โดยเฉพาะอยSางยิ่ง การเว=นระยะหSางทางสังคม (social distancing) ทำให=การปฏิบัติงานของ
ภาครัฐและการประกอบกิจกรรมในทางเศรษฐกิจของเอกชนเกือบทุกภาคสSวน อันเกี่ยวข=องกับการประชุมเพื่อ
ปรึกษาหารือกันตามปกติ ต=องดำเนินการด=วยวิธีการทางอิเล็กทรอนิกส& จึงทำให=การประชุมผSานสื่ออิเล็กทรอนิกส&ได=กลายมาเปNนหนึ่งในแนวทางการประชุมในยุคป‘จจุบัน
หนS ว ยงานของรั ฐ และเอกชนตS า งเผชิ ญ กั บ ความท= า ทายในการเลื อ กระบบควบคุ ม การประชุ มที่เหมาะสมกับองค&กรของตน ไมSวSาจะเปNนเรื่องความสามารถของระบบ ฟ‘งก&ชันการทำงาน การรักษาความมั่นคง
ปลอดภัยด=านสารสนเทศ การรักษาความลับ การคุ=มครองข=อมูลสSวนบุคคล ตลอดจนการปฏิบัติตามระเบียบและ
กฎหมายที่เกี่ยวข=อง ทั้งนี้เพื่อตอบโจทย&ความต=องการทางธุรกิจ และลดความเสี่ยงในเรื่องตSาง ๆสำนักงานพัฒนาธุรกรรมทางอิเล็กทรอนิกส& กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม ได=ดำเนินการจัดทำ
มาตรฐานการรักษาความมั่นคงปลอดภัยด=านสารสนเทศของระบบควบคุมการประชุมตามความในข=อ 24 ของประกาศ
กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม เรื่อง มาตรฐานการรักษาความมั่นคงปลอดภัยของการประชุมผSานสื่อ
อิเล็กทรอนิกส& พ.ศ. 2563 เพื่อสร=างความมั่นใจให=กับหนSวยงานของรัฐและเอกชนในการใช=บริการระบบควบคุม
การประชุม ทั้งนี้มาตรฐานฯ ฉบับนี้ ได=ผSานการพัฒนาและปรับให=เข=ากับการให=บริการของระบบควบคุมการประชุม โดยยึดหลักจากแนวมาตรฐานการรักษาความมั่นคงปลอดภัยด=านสารสนเทศที่เปNนที่ยอมรับในระดับประเทศ และระดับ
สากล

(iii)

สารบัญ
ขอบข่าย

1บทนิยาม

2โครงสร้างมาตรฐานการรักษาความมันคงปลอดภั
7ยด้านสารสนเทศของระบบควบคุมการประชุม

3

3.1 แนวคิดของโครงสร้างมาตรฐานการรักษาความมันคงปลอดภั
7ยด้านสารสนเทศของระบบควบคุมการ
ประชุม
3
3.2 วัตถุประสงค์ของมาตรฐานการรักษาความมันคงปลอดภั
7ยด้านสารสนเทศของระบบควบคุมการประชุม 4มาตรฐานการรักษาความมันคงปลอดภั
7ยด้านสารสนเทศของระบบควบคุมการประชุม

5การประชุมผ่านสือ7 อิเล็กทรอนิกส์ในเรือ7 งทัวไป
7

5

4.1.1. วัตถุประสงค์ท7ี 1 นโยบายการรักษาความมันคงปลอดภั
7ยด้านสารสนเทศ และนโยบายการ
คุม้ ครองข้อมูลส่วนบุคคล

5

4.1.2. วัตถุประสงค์ท7ี 2 การบริหารจัดการสินทรัพย์

7

4.1.3. วัตถุประสงค์ท7ี 3 การควบคุมการเข้าถึง

9

4.1.4. วัตถุประสงค์ท7ี 4 การเข้ารหัสลับข้อมูล

12

4.1.5. วัตถุประสงค์ท7ี 5 การสร้างความมันคงปลอดภั
7ยทางกายภาพและสิง7 แวดล้อม

13

4.1.6. วัตถุประสงค์ท7ี 6 ความมันคงปลอดภั
7ยสําหรับการดําเนินงาน

14

4.1.7. วัตถุประสงค์ท7ี 7 ความมันคงปลอดภั
7ยสําหรับการสือ7 สารข้อมูล

19

4.1.8. วัตถุประสงค์ท7ี 8 การบริหารจัดการเหตุการณ์ทเ7ี กีย7 วข้องกับความมันคงปลอดภั
7
ย

21

4.1.9. วัตถุประสงค์ท7ี 9 ความมันคงปลอดภั
7ยด้านสารสนเทศของการบริหารจัดการเพือ7 สร้างความ
ต่อเนื7องทางธุรกิจ
23
4.1.10. วัตถุประสงค์ท7ี 10 การบริการจัดการความเสีย7 งสําหรับผูใ้ ห้บริการ

24การประชุมผ่านสือ7 อิเล็กทรอนิกส์ในเรือ7 งลับ25

4.2.1. วัตถุประสงค์ท7ี 2 การบริหารจัดการสินทรัพย์

25

4.2.2. วัตถุประสงค์ท7ี 3 การควบคุมการเข้าถึง

27

4.2.3. วัตถุประสงค์ท7ี 4 การเข้ารหัสลับข้อมูล

29

4.2.4. วัตถุประสงค์ท7ี 7 ความมันคงปลอดภั
7ยสําหรับการสือ7 สารข้อมูล

30

(iv)

4.2.5. วัตถุประสงค์ท7ี 8 การบริหารจัดการเหตุการณ์ทเ7ี กีย7 วข้องกับความมันคงปลอดภั
7ย

32เอกสารอ้างอิง

33ภาคผนวก

34(v)

สารบัญรูปภาพ
รูปที่1 แนวคิดของโครงสร=างมาตรฐานการรักษาความมั่นคงปลอดภัยด=านสารสนเทศของระบบควบคุมการประชุม 4(vi)สารบัญตาราง

การประชุมผSานสื่ออิเล็กทรอนิกส&ในเรื่องทั่วไป
ตารางที่ 1 วัตถุประสงค&ที่ 1 นโยบายการรักษาความมั่นคงปลอดภัยด=านสารสนเทศ และนโยบายการคุ=มครองข=อมูลสSวนบุคคล ....................................................................................................................................................... 5ตารางที่ 2 วัตถุประสงค&ที่ 2 การบริหารจัดการสินทรัพย& ................................................................................................. 7ตารางที่ 3 วัตถุประสงค&ที่ 3 การควบคุมการเข=าถึง .......................................................................................................... 9ตารางที่ 4 วัตถุประสงค&ที่ 4 การเข=ารหัสลับข=อมูล ......................................................................................................... 12ตารางที่ 5 วัตถุประสงค&ที่ 5 การสร=างความมั่นคงปลอดภัยทางกายภาพและสิ่งแวดล=อม ............................................. 13ตารางที่ 6 วัตถุประสงค&ที่ 6 ความมั่นคงปลอดภัยสำหรับการดำเนินงาน ...................................................................... 14ตารางที่ 7 วัตถุประสงค&ที่ 7 ความมั่นคงปลอดภัยสำหรับการสื่อสารข=อมูล ................................................................... 19ตารางที่ 8 วัตถุประสงค&ที่ 8 การบริหารจัดการเหตุการณ&ที่เกี่ยวข=องกับความมั่นคงปลอดภัย....................................... 21ตารางที่ 9 วัตถุประสงค&ที่ 9 ความมั่นคงปลอดภัยด=านสารสนเทศของการบริหารจัดการเพื่อสร=างความตSอเนื่องทางธุรกิจ
...................................................................................................................................................................... 23ตารางที่ 10 วัตถุประสงค&ที่ 10 การบริการจัดการความเสี่ยงสำหรับผู=ให=บริการ ............................................................ 24การประชุมผSานสื่ออิเล็กทรอนิกส&ในเรื่องลับ
ตารางที่ 11 วัตถุประสงค&ที่ 2 การบริหารจัดการสินทรัพย& ............................................................................................. 25ตารางที่ 12 วัตถุประสงค&ที่ 3 การควบคุมการเข=าถึง...................................................................................................... 27ตารางที่ 13 วัตถุประสงค&ที่ 4 การเข=ารหัสลับข=อมูล....................................................................................................... 29ตารางที่ 14 วัตถุประสงค&ที่ 7 ความมั่นคงปลอดภัยสำหรับการสื่อสารข=อมูล................................................................. 30ตารางที่ 15 วัตถุประสงค&ที่ 8 การบริหารจัดการเหตุการณ&ที่เกี่ยวข=องกับความมั่นคงปลอดภัย .................................... 32ภาคผนวก
ตารางที่ 16 เปรียบเทียบวัตถุประสงค&การรักษาความมั่นคงปลอดภัยด=านสารสนเทศ กับมาตรฐานตSาง ๆ ................... 34(vii)ขอบขKายมาตรฐานฯ ฉบับนี้ เปNนข=อกำหนดและแนวปฏิบัติการรักษาความมั่นคงปลอดภัยด=านสารสนเทศ สำหรับ
ระบบควบคุมการประชุม โดยครอบคลุมการประชุมผSานสื่ออิเล็กทรอนิกส&ในเรื่องทั่วไป และเรื่องลับ เพื่อให=ผู=ให=บริการมีแนวทางในการรักษาความมั่นคงปลอดภัยด=านสารสนเทศของระบบควบคุมการประชุมที่เปNนมาตรฐาน
เดียวกัน
มาตรฐานฯ ฉบับนี้ อ=างอิงข=อกำหนดและแนวปฏิบัติฯ จากมาตรฐานสากลและมาตรฐานอื่นที่เกี่ยวข=องโดยมีรูปแบบของคำที่ใช=แสดงออกถึงคุณลักษณะของเนื้อหาเชิงบรรทัดฐาน (normative) และเนื้อหาเชิงให=ข=อมูล
(informative) ดังตSอไปนี้
– “ต=อง” (shall) ใช=ระบุสิ่งที่เปNนข=อกำหนด (requirement) ซึ่งต=องปฏิบัติตาม
– “ควร” (should) ใช=ระบุสิ่งที่เปNนข=อแนะนำ (recommendation)– “อาจ” (may) ใช=ระบุสิ่งที่ยินยอมหรืออนุญาตให=ทำได= (permission)-1-บทนิยาม
1) “การประชุมผKานสื่ออิเล็กทรอนิกสE” หมายความวSา การประชุมที่กฎหมายบัญญัติให=ต=องมีการประชุมที่ได=กระทำผS า นสื ่ อ อิ เ ล็ ก ทรอนิ ก ส& โดยให= ผ ู = ร S ว มประชุ ม ที ่ ม ิ ไ ด= อ ยู S ใ นสถานที ่ เ ดี ย วกั น และสามารถประชุ มปรึกษาหารือและแสดงความคิดเห็นระหวSางกันได=ผSานสื่ออิเล็กทรอนิกส&2) “ผู 5 ร K ว มประชุ ม ” หมายความวS า ประธานกรรมการ รองประธานกรรมการ กรรมการ อนุ ก รรมการ
เลขานุการและผู=ชSวยเลขานุการของคณะกรรมการ คณะอนุกรรมการ หรือคณะบุคคลอื่นตามที่กฎหมาย
กำหนด และให=หมายความรวมถึงผู=ซึ่งต=องชี้แจง แสดงความคิดเห็นตSอคณะกรรมการ คณะอนุกรรมการ
หรือคณะบุคคลนั้นด=วย
3) "อิเล็กทรอนิกสE” หมายความวSา การประยุกต&ใช=วิธีการทางอิเล็กตรอน ไฟฟ™า คลื่นแมSเหล็กไฟฟ™า หรือวิธีอื่นใดในลักษณะคล=ายกัน และให=หมายความรวมถึงการประยุกต&ใช=วิธีการทางแสง วิธีการทางแมSเหล็ก
หรืออุปกรณ&ที่เกี่ยวข=องกับการประยุกต&ใช=วิธีตSาง ๆ เชSนวSานั้น
4) “ระบบควบคุ มการประชุ ม” หมายความวS า ระบบเครื อขS ายคอมพิ วเตอร& และ/หรื ออุ ปกรณ& สื ่ อสารอิเล็กทรอนิกส&ใด ๆ ทั้งฮาร&ดแวร&และซอฟต&แวร&ที่เชื่อมโยงกันเปNนเครือขSาย และมีการสื่อสารข=อมูลกันโดยใช=เทคโนโลยีสารสนเทศและการสื่อสาร และ/หรือการโทรคมนาคม เพื่อให=ผู=รSวมประชุมสามารถเข=าถึงและ
ใช=งานสำหรับการประชุมผSานสื่ออิเล็กทรอนิกส&ได=ไมSวSาจะเปNนการประชุมด=วยเสียงหรือทั้งเสียงและภาพ
5) “ผู5ให5บริการ” หมายความวSา ผู=ให=บริการระบบควบคุมการประชุม
6) “ผู5ควบคุมระบบ” หมายความวSา ผู=ทำหน=าที่ดูแลและบริหารจัดการระบบควบคุมการประชุม

-2-โครงสร5างมาตรฐานการรักษาความมั่นคงปลอดภัยด5านสารสนเทศของระบบควบคุมการประชุม
3.1 แนวคิดของโครงสร5างมาตรฐานการรักษาความมั่นคงปลอดภัยด5านสารสนเทศของระบบควบคุม
การประชุม

ประกาศกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม เรื่อง มาตรฐานการรักษาความมั่นคงปลอดภัยของการ
ประชุ ม ผS า นสื ่ อ อิ เ ล็ ก ทรอนิ ก ส& พ.ศ. 2563 ได= ก ำหนดนิ ย ามของระบบควบคุ ม การประชุ ม เอาไว=เปNน “ระบบเครือขSายคอมพิวเตอร& และ/หรืออุปกรณ&สื่อสารอิเล็กทรอนิกส&ใด ๆ ทั้งฮาร&ดแวร&และซอฟต&แวร&ที่เชื่อมโยง
กันเปNนเครือขSาย และมีการสื่อสารข=อมูลกันโดยใช=เทคโนโลยีสารสนเทศและการสื่อสาร และ/หรือการโทรคมนาคม
เพื่อให=ผู=รSวมประชุมสามารถเข=าถึงและใช=งานสำหรับการประชุมผSานสื่ออิเล็กทรอนิกส&ได=ไมSวSาจะเปNนการประชุมด=วยเสียงหรือทั้งเสียงและภาพ” ซึ่งประกาศเดียวกัน ในหมวด 1 บททั่วไป ข=อ 5 การจัดประชุมผSานสื่ออิเล็กทรอนิกส&อยSางน=อยต=องมีกระบวนการ ดังตSอไปนี้
(1) การแสดงตนของผู=รSวมประชุมผSานสื่ออิเล็กทรอนิกส&กSอนการประชุม
(2) การสื่อสารหรือมีปฏิสัมพันธ&กันได=ด=วยเสียง หรือทั้งเสียงและภาพ
(3) การเข=าถึงเอกสารประกอบการประชุมของผู=รSวมประชุม
(4) การลงคะแนนของผู=รSวมประชุม ทั้งการลงคะแนนโดยเป›ดเผยและการลงคะแนนลับ (หากมี)(5) การจั ด เก็ บ ข= อ มู ล หรื อ หลั ก ฐานที ่ เ กี ่ ย วข= อ งกั บ การประชุ ม ผS า นสื ่ อ อิ เ ล็ ก ทรอนิ ก ส& ซึ ่ ง รวมถึ งการบันทึกเสียง หรือทั้งเสียงและภาพ แล=วแตSกรณี ของผู=รSวมประชุมทุกคนตลอดระยะเวลาที่มีการประชุม เว=นแตSเปNนการประชุมลับ
(6) การจัดเก็บข=อมูลจราจรอิเล็กทรอนิกส&ของผู=รSวมประชุมทุกคนไว=เปNนหลักฐาน
(7) การแจ=งเหตุขัดข=องในระหวSางการประชุม
ทั้งนี้ ระบบควบคุมการประชุมจึงต=องมีคุณสมบัติตSาง ๆ เพื่อรองรับกระบวนการดังกลSาวของการจัดประชุม
ผSานสื่ออิเล็กทรอนิกส&ในสSวนที่เกี่ยวข=องด=วยดังนั้น มาตรฐานฯ ฉบับนี้ จึงมีเนื้อหาครอบคลุมทั้งในเรือ่ งการรักษาความมัน่ คงปลอดภัยด=านสารสนเทศของ
ระบบควบคุมการประชุม และตามกระบวนการการจัดประชุมผSานสื่ออิเล็กทรอนิกส& โดยอ=างอิงจากมาตรฐานสากล
และมาตรฐานอื่นที่เกี่ยวข=อง ทั้งนี้ได=จัดทำเปNนข=อกำหนดและแนวปฏิบัติโดยแยกตามการประชุมทั่วไป และการประชุม
ในเรื่องลับ รายละเอียดตามรูปที่ 1 แนวคิดของโครงสร=างมาตรฐานการรักษาความมั่นคงปลอดภัยด=านสารสนเทศของ
ระบบควบคุมการประชุม

-3-

LAW

STANDARDREQUIREMENT &RECOMMENDATION

รูปที่ 1 แนวคิดของโครงสร5างมาตรฐานการรักษาความมั่นคงปลอดภัย
ด5านสารสนเทศของระบบควบคุมการประชุม

3.2 วัตถุประสงคEของมาตรฐานการรักษาความมั่นคงปลอดภัยด5านสารสนเทศของระบบควบคุมการ
ประชุม

มาตรฐานการรักษาความมั่นคงปลอดภัยด=านสารสนเทศของระบบควบคุมการประชุมเปNนข=อกำหนดและ
แนวปฏิบัติในการรักษาความมั่นคงปลอดภัยด=านสารสนเทศสำหรับระบบควบคุมการประชุมของผู=ให=บริการ ซึ่งครอบคลุมการรักษาความลับ (Confidentiality) การรักษาความครบถ=วน (Integrity) การรักษาสภาพพร=อมใช=งาน
(Availability) ความถูกต=องแท=จริง (Authenticity) ความรับผิด (Accountability) การห=ามปฏิเสธความรับผิด (Nonrepudiation) ความนSาเชื่อถือ (Reliability) รวมถึงการรักษาความเปNนสSวนตัวและการคุ=มครองข=อมูลสSวนบุคคลของ
ข=อมูลอิเล็กทรอนิกส&ที่เกี่ยวข=อง หรือเกิดจากการประชุม โดยผูใ= ห=บริการต=องดำเนินการตามข=อกำหนดด=านความมัน่ คงปลอดภัยที่เกี่ยวข=องกับการประชุมผSานสื่ออิเล็กทรอนิกส& แบSงออกเปNน 10 วัตถุประสงค& ได=แกS
1. นโยบายการรักษาความมั่นคงปลอดภัยด=านสารสนเทศ และนโยบายการคุ=มครองข=อมูลสSวนบุคคล
2. การบริหารจัดการสินทรัพย&3. การควบคุมการเข=าถึง
4. การเข=ารหัสลับข=อมูล
5. การสร=างความมั่นคงปลอดภัยทางกายภาพและสิ่งแวดล=อม
6. ความมั่นคงปลอดภัยสำหรับการดำเนินงาน
7. ความมั่นคงปลอดภัยสำหรับการสื่อสารข=อมูล
8. การบริหารจัดการเหตุการณ&ที่เกี่ยวข=องกับความมั่นคงปลอดภัย
9. ความมั่นคงปลอดภัยด=านสารสนเทศของการบริหารจัดการเพื่อสร=างความตSอเนื่องทางธุรกิจ
10. การบริหารจัดการความเสี่ยง

-4-ซึ่งวัตถุประสงค&แตSละข=อจะประกอบด=วยข=อกำหนดการรักษาความมั่นคงปลอดภัยด=านสารสนเทศ (ข=อกำหนด)แนวปฏิบัติ และความสอดคล=องของข=อกำหนดตSอมาตรฐาน หรือกระบวนการจัดการประชุมผSานสื่ออิเล็กทรอนิกส&ที่เทียบเคียง ตามระบุในข=อ 4 “มาตรฐานการรักษาความมั่นคงปลอดภัยด=านสารสนเทศของระบบควบคุมการประชุม”มาตรฐานการรักษาความมั่นคงปลอดภัยด5านสารสนเทศของระบบควบคุมการประชุม
การประชุมผKานสื่ออิเล็กทรอนิกสEในเรื่องทั่วไป
4.1.1. วัตถุประสงคEที่ 1 นโยบายการรักษาความมัน่ คงปลอดภัยด5านสารสนเทศ และนโยบายการคุม5 ครองข5อมูลสKวนบุคคล
เพื่อกำหนดทิศทางและให=การสนับสนุนการดำเนินงานเกี่ยวกับการรักษาความมั่นคงปลอดภัยด=านสารสนเทศของระบบควบคุมการประชุมให=สอดคล=องกับวัตถุประสงค& กฎหมาย และระเบียบข=อบังคับที่เกี่ยวข=องตารางที่ 1 วัตถุประสงคEที่ 1 นโยบายการรักษาความมั่นคงปลอดภัยด5านสารสนเทศ
และนโยบายการคุ5มครองข5อมูลสKวนบุคคล
ข5อกำหนด

แนวปฏิบัติ

ความสอดคล5อง

1. ต=องกำหนดนโยบายการรักษา นโยบายการรักษาความมั่นคงปลอดภัยด=าน
ISO 27001,
ความมั่นคงปลอดภัยด=านสารสนเทศ และนโยบายการคุ=มครองข=อมูล
ISO 27701
สารสนเทศ และนโยบายการ สSวนบุคคล ควรมีการระบุให=ชัดเจนวSาครอบคลุม
คุ=มครองข=อมูลสSวนบุคคล
ระบบควบคุมการประชุม ทั้งนี้ควรมีรายละเอียด
ที่ครอบคลุมระบบควบคุม
ที่กำหนดตามหัวข=อดังนี้
การประชุม รวมถึงประกาศให= (1) การบริหารจัดการสินทรัพย&ผู=รSวมประชุมและผู=เกี่ยวข=อง (2) การควบคุมการเข=าถึงทราบ(3) การเข=ารหัสลับข=อมูล
(4) การสร=างความมั่นคงปลอดภัยทางกายภาพ
และสิ่งแวดล=อม
(5) ความมั่นคงปลอดภัยสำหรับการดำเนินงาน
(6) ความมั่นคงปลอดภัยสำหรับการสื่อสารข=อมูล
(7) การบริหารจัดการเหตุการณ&ที่เกี่ยวข=องกับ
ความมั่นคงปลอดภัย
(8) ความมั่นคงปลอดภัยด=านสารสนเทศของการ
บริหารจัดการเพื่อสร=างความตSอเนื่องทางธุรกิจ
(9) การบริหารจัดการความเสี่ยง
-5-ข5อกำหนด

แนวปฏิบัติ

ความสอดคล5อง

ผู=ให=บริการควรมีการประกาศนโยบายการรักษา
ความมั่นคงปลอดภัยด=านสารสนเทศ และนโยบายการคุ=มครองข=อมูลสSวนบุคคลให=ผู=รSวมประชุม และผู=เกี่ยวข=องทราบผSานชSองทางทีม่ ีความนSาเชื่อถือ เชSน เว็บไซต&ทางการของผู=ให=บริการ ฯลฯการทบทวนนโยบายการรั ก ษาความมั ่ น คง ISO 27001,
ปลอดภั ย ด= า นสารสนเทศ และนโยบายการ ISO 27701
สารสนเทศ และนโยบายการ คุ=มครองข=อมูลสSวนบุคคล ผู=ให=บริการควรจัดให=มีการทบทวนอยSางน=อย 1 ครั้งตSอปœ หรือเมื่อมีการ
คุ=มครองข=อมูลสSวนบุคคลตาม
เปลี่ยนแปลงที่สำคัญ เชSน การอัปเดตด=านความ
ระยะเวลาที่เหมาะสม หรือมั ่ น คงปลอดภั ย ของระบบควบคุ ม การประชุ มเมื่อมีการเปลี่ยนแปลงที่สำคัญ การเปลี่ยนแปลงกฎหมายหรือมาตรฐาน ฯลฯ

2. ต=องทบทวนนโยบายความ
มั่นคงปลอดภัยด=าน

-6-

4.1.2. วัตถุประสงคEที่ 2 การบริหารจัดการสินทรัพยEเพื่อระบุสินทรัพย&ที่เกี่ยวข=องกับระบบควบคุมการประชุมและกำหนดความรับผิดชอบในการป™องกัน
สินทรัพย&อยSางเหมาะสม
ตารางที่ 2 วัตถุประสงคEที่ 2 การบริหารจัดการสินทรัพยE
ข5อกำหนด

แนวปฏิบัติ

1. ต=องมีบัญชีทะเบียนสินทรัพย& ทะเบียนสินทรัพย&ควรครอบคลุมทั้งสินทรัพย&ที่แสดงให=เห็นสินทรัพย&ที่ใช=ใน ทางกายภาพ เครือขSาย โปรแกรมประยุกต& และการบันทึก หรือประมวลผล ข=อมูลที่เกี่ยวข=อง เพื่อแสดงให=เห็นสินทรัพย&ที่ใช=ในการบันทึกหรือประมวลผลข=อมูลทั้งหมดของ
ข=อมูลทั้งหมดของระบบ
ระบบควบคุมการประชุม
ควบคุมการประชุม
ผู=ให=บริการอาจระบุข=อมูลที่จำเปNนสำหรับการ
ทั้งนี้ หากเปNนการให=บริการ ประเมินแนวทางการดูแลด=านความมั่นคง
ปลอดภัยด=านสารสนเทศ เชSน ความสำคัญของ
รองรับการประชุมเรื่องที่มีชั้น
สินทรัพย&แตSละรายการในเชิงการรักษาความ
ความลับของหนSวยงานของรัฐ มั่นคงปลอดภัยด=านสารสนเทศ ผู=รับผิดชอบของ
ต=องมีบัญชีทะเบียนสินทรัพย& สินทรัพย&แตSละรายการ ฯลฯที่ใช=ในการบันทึกหรือ

ความสอดคล5องกระบวนการจัดการ
ประชุมผSานสื่อ
อิเล็กทรอนิกส&,ISO 27001

ประมวลผลข=อมูลอยูSใน
ราชอาณาจักรทั้งหมด และ
ต=องมีเอกสารรับรองหรือ
ประกาศอยSางเปNนทางการ
2. ต=องมีเงื่อนไขการเข=าใช=งานสำหรับระบบควบคุมการ
ประชุม ซึ่งเผยแพรSตSอผู=รSวมประชุมและผู=เกี่ยวข=องให=สามารถนำไปปฏิบัติ

เงื่อนไขการเข=าใช=งานควรครอบคลุมข=อกำหนด ISO 27001,
การรักษาความมั่นคงปลอดภัยด=านสารสนเทศ ISO 27701
และการคุ=มครองข=อมูลสSวนบุคคล ซึ่งเผยแพรSตSอ
ผู=รSวมประชุมและผู=เกี่ยวข=องให=สามารถนำไป
ปฏิบัติ ผSานชSองทางทีม่ ีความนSาเชื่อถือ เชSนเว็บไซต&ทางการของผู=ให=บริการ ฯลฯ-7-ข5อกำหนด

แนวปฏิบัติ

ความสอดคล5อง

3. ต=องมีมาตรการแสดงให=ผู=รSวมประชุมเห็นวSาเปNนการประชุม
ทั่วไป หรือการประชุมลับได=อยSางชัดเจน

ระบบควบคุมการประชุมควรมีชSองทางสำหรับ
การแสดงข=อมูลประเภทการประชุมวSาเปNนการประชุมทั่วไป หรือการประชุมลับ เพื่อให=ผู=รSวมประชุมทราบ โดยอาจมีชSองทางให=ผู=มีหน=าที่จัดการประชุมสามารถระบุได=ด=วยตนเอง เชSนกำหนดในหัวข=อการประชุม ฯลฯกระบวนการจัดการ
ประชุมผSานสื่อ
อิเล็กทรอนิกส&ผู=ให=บริการควรจัดทำคูSมือการแสดงข=อมูลประเภทการประชุมให=ผู=มีหน=าที่จัดการประชุม
สามารถปฏิบัติตามได=4. ต=องกำหนดรายการ "ข=อมูลสSวนบุคคล" ในบัญชีทะเบียน
สินทรัพย&สSวนที่เปNนข=อมูลพร=อมทั้งกำหนดลำดับชั้น
ความลับ และต=องมีมาตรการ
ในการควบคุมการจัดการ
ข=อมูลสSวนบุคคล

บัญชีทะเบียนสินทรัพย&ควรครอบคลุมข=อมูลประเภท "ข=อมูลสSวนบุคคล" และผู=ให=บริการควร
มีมาตรการในการควบคุมการจัดการข=อมูลสSวน
บุคคล เชSน การกำหนดผู=มีสิทธิเข=าถึงข=อมูลสSวน
บุคคล วันเวลาที่อนุญาตให=เข=าถึง ชSองทางการ
เข=าถึง ฯลฯ

5. ต=องมีขั้นตอนปฏิบัติสำหรับ ขั้นตอนปฏิบัติในการลบหรือทำลายข=อมูลการลบหรือทำลายข=อมูลเกีย่ วกับการประชุมควรครอบคลุมการลบหรือ
เกี่ยวกับการประชุม เมื่อมีเหตุ ทำลายข=อมูลสSวนบุคคล
ให=ต=องดำเนินการ
ผู=ให=บริการควรจัดให=มีชSองทางให=ผู=มีหน=าที่จัดการประชุมดำเนินการได=เอง หรือชSองทางให=ผู=มีหน=าที่จัดการประชุมร=องขอให=ผู=ให=บริการลบ
หรือทำลายข=อมูลดังกลSาวได=-8-กระบวนการจัดการ
ประชุมผSานสื่อ
อิเล็กทรอนิกส&,ISO 27701

ISO 27001

4.1.3. วัตถุประสงคEที่ 3 การควบคุมการเข5าถึงเพื่อจำกัดการเข=าถึงระบบควบคุมการประชุมและอุปกรณ&ประมวลผลข=อมูลตารางที่ 3 วัตถุประสงคEที่ 3 การควบคุมการเข5าถึงข5อกำหนด

แนวปฏิบัติ

1. ต=องกำหนดนโยบายด=านการ นโยบายด=านการควบคุมการเข=าถึงสินทรัพย&ควรควบคุมการเข=าถึงสินทรัพย&ที่ ครอบคลุมการเข=าถึงด=านเครือขSาย และโปรแกรม
เกี่ยวข=องกับการประชุมอยSาง ประยุกต& เปNนอยSางน=อยมั่นคงปลอดภัย

2. ต=องกำหนดวิธีการให=สิทธิ
และยกเลิกสิทธิ กSอนการเข=ารSวมประชุมของผู=รSวมประชุม
ได=ความสอดคล5อง
ISO 27001

ผู=ให=บริการควรประกาศนโยบายให=ผู=รSวมประชุม
และผู=เกี่ยวข=องทราบผSานชSองทางทีม่ ีความ
นSาเชื่อถือ เชSน เว็บไซต&ทางการของผู=ให=บริการ
ฯลฯระบบควบคุมการประชุมควรมีชSองทางการให=สิทธิ กระบวนการจัดการ
และยกเลิกสิทธิ กSอนการเข=ารSวมประชุมของผู=รSวม ประชุมผSานสื่อ
ประชุม เพื่อให=ประธานในที่ประชุมหรือผู=ควบคุม อิเล็กทรอนิกส&ระบบสามารถคัดกรองผู=รSวมประชุมกSอนการ
ประชุมได= ฯลฯระบบควบคุมการประชุมควรมีชSองทางให=ผู=รSวมกระบวนการจัดการ
ประชุมสามารถปฏิเสธ หรือยกเลิกสิทธิการเข=ารSวม ประชุมผSานสื่อ
อิเล็กทรอนิกส&สิทธิการเข=ารSวมประชุมได=ด=วย ประชุมได=ด=วยตนเอง ทั้งกSอนหรือระหวSางการ
ประชุมได=ตนเอง

3. ต=องสามารถให=ผู=รSวมประชุม
สามารถปฏิเสธ หรือยกเลิก

4. ต=องสามารถจำกัดและควบคุม ระบบควบคุมการประชุมควรมีมาตรการรองรับการ กระบวนการจัดการ
จำกัดสิทธิของผู=ให=บริการ เชSน สิทธิการเข=าถึงประชุมผSานสื่อ
การให=สิทธิของผู=ให=บริการ
ข=อมูลการประชุม สิทธิในการงดการถSายทอดเสียง อิเล็กทรอนิกส&หรือทั้งเสียงและภาพ ฯลฯ-9-ข5อกำหนด

แนวปฏิบัติ

ความสอดคล5อง

5. ต=องสามารถแสดงสิทธิของ
ผู=รSวมประชุมได=ระบบควบคุมการประชุมควรมีชSองทางให=ผู=มีหน=าที่ กระบวนการจัดการ
จัดประชุมหรือผู=รSวมประชุมสามารถเรียกดูรายชื่อ ประชุมผSานสื่อ
และจำนวนผู=รSวมประชุม เพื่อให=สามารถพิจารณา อิเล็กทรอนิกส&ผู=เข=ารSวมได=ตลอดระยะเวลาการประชุม

6. ต=องสามารถปรับและยกเลิก

ระบบควบคุมการประชุมควรมีชSองทางในการ
ปรับปรุง และยกเลิกสิทธิของผู=รSวมประชุม ในระหวSางการประชุม โดยรองรับให=ประธานหรือผู=ควบคุมการประชุม สามารถดำเนินการดังนี้เปNนอยSางน=อย
(1) งดการถSายทอดเสียง หรือทั้งเสียงและภาพ
(2) หยุดการสSงข=อมูลสิทธิของผู=รSวมประชุมได=กระบวนการจัดการ
ประชุมผSานสื่อ
อิเล็กทรอนิกส&กระบวนการจัดการ
7. ต=องสามารถจำกัดการเข=าถึง ระบบควบคุมการประชุมควรมีชSองทางในการ
ข=อมูลหรือหลักฐานที่เกี่ยวข=อง เข=าถึงข=อมูลหรือหลักฐานที่เกี่ยวข=องกับการประชุม ประชุมผSานสื่อ
โดยผู=ที่ได=รับอนุญาต และอาจกำหนดสิทธิในการ อิเล็กทรอนิกส&กับการประชุม
เข=าถึงจากผู=มีหน=าที่จัดการประชุมได=เองทั้งนี้หากเปNนการประชุมลับ
ต=องมีการเข=ารหัสลับข=อมูลที่
เกี่ยวข=องกับการประชุม
เพิ่มเติม
ระบบควบคุมการประชุมควรมีชSองทางสำหรับการ กระบวนการจัดการ
8. ต=องสามารถแสดงตนด=วยวิธีการพิสูจน&และยืนยันตัวตน แสดงตนด=วยวิธีการพิสูจน&และยืนยันตัวตนของผู= ประชุมผSานสื่อ
อิเล็กทรอนิกส&ของผู=รSวมประชุมอยSางมั่นคง รSวมประชุมแบบป‘จจัยเดียว (Single-factor
Authentication) เปNนอยSางน=อย เชSน รหัสผSาน
ปลอดภัย
ฯลฯ

-10-ข5อกำหนด
ทั้งนี้หากเปNนการประชุมลับ
ต=องมีการยืนยันตัวตนแบบ
หลายป‘จจัย

9. ต=องสามารถตั้งคSารหัสผSานที่
มั่นคงปลอดภัย
ทั้งนี้หากเปNนการประชุมลับ
ต=องมีการตรวจสอบรหัสผSาน

แนวปฏิบัติ

ความสอดคล5องโดยหากเปNนการจัดประชุมที่มีการใช=งานอุปกรณ&เพื่อเชื่อมตSอสถานที่มากกวSา 1 ที่ขึ้นไป เชSนMultipoint Control Unit (MCU) ฯลฯ อุปกรณ&ที่ติดตั้งควรมีการตั้งคSาเพื่อจำกัดการเข=าใช=งานเฉพาะอุปกรณ& และเครือขSายที่เกี่ยวข=อง เปNนอยSางน=อย ทั้งนี้ผู=รSวมประชุมสามารถพิสูจน&ยืนยันตัวตน
ของผู=รSวมประชุมด=วยการรับรองการแสดงตนของผู=รSวมประชุมด=วยกัน
ระบบควบคุมการประชุมควรมีการระบุถึงนโยบาย ISO 27001
การตั้งคSารหัสผSานที่มั่นคงปลอดภัย เชSน รหัสผSานที่
มั่นคงปลอดภัยประกอบไปด=วยตัวอักษร ตัวเลข
และอักขระพิเศษ ฯลฯที่กำหนดให=เปNนไปตาม
นโยบายที่กำหนดอยSางเครSงครัด

-11-

4.1.4. วัตถุประสงคEที่ 4 การเข5ารหัสลับข5อมูลเพื่อให=มั่นใจได=วSาการใช=งานการเข=ารหัสลับข=อมูลเปNนไปอยSางเหมาะสมและมีประสิทธิภาพ เพื่อป™องกัน
ไมSให=ความลับหรือข=อมูลสSวนบุคคลรั่วไหล และรักษาความถูกต=องครบถ=วนของข=อมูลตารางที่ 4 วัตถุประสงคEที่ 4 การเข5ารหัสลับข5อมูลข5อกำหนด

แนวปฏิบัติ

1. ต=องกำหนดนโยบายด=านการ นโยบายควรระบุให=ครอบคลุมถึงการเข=ารหัสลับ
เข=ารหัสลับข=อมูลที่ระบุถึงการ ของข=อมูลที่เกี่ยวข=องกับการประชุม และข=อมูลเข=ารหัสลับข=อมูลที่เกี่ยวข=อง สSวนบุคคล ด=วยวิธีการที่ได=รับการยอมรับตาม
มาตรฐานสากล และครอบคลุมกระบวนการ
กับข=อมูลบนระบบควบคุมการ
เข=ารหัสลับข=อมูลในรูปแบบดังตSอไปนี้เปNนอยSาง
ประชุม และข=อมูลสSวนบุคคล
น=อยที่เกี่ยวข=อง
(1) การเข=ารหัสลับของข=อมูลเมื่อมีการรับหรือสSงข=อมูลระหวSางเครือขSาย (data-in-transitทั้งนี้หากเปNนการประชุมลับ encryption)
ต=องกำหนดนโยบายที่ระบุถึง (2) การเข=ารหัสลับของข=อมูลที่จัดเก็บ (data-atการเข=ารหัสลับข=อมูลจากต=น rest encryption)ความสอดคล5องกระบวนการจัดการ
ประชุมผSานสื่อ
อิเล็กทรอนิกส&,ISO 27001

ทางถึงปลายทาง (End-toEnd Encryption (E2EE))
2. ต=องบริหารจัดการกุญแจ
สำหรับการเข=ารหัสลับข=อมูลอยSางมั่นคงปลอดภัย

ผู=ให=บริการควรกำหนดวิธีการบริหารจัดการกุญแจ
สำหรับการเข=ารหัสลับข=อมูล เพื่อการป™องกันการ
เข=าถึงกุญแจสำหรับเข=ารหัสลับข=อมูลทั้งแบบระบบ
รหัสแบบสมมาตร (Symmetric Key
Cryptography) และ ระบบรหัสแบบอสมมาตร
(Asymmetric Key Cryptography) อยSางน=อยกุญแจที่ใช=ในการเข=ารหัสลับข=อมูลในแตSละการ
ประชุมควรแตกตSางกัน และไมSมีการใช=ซ้ำ

-12-กระบวนการจัดการ
ประชุมผSานสื่อ
อิเล็กทรอนิกส&,ISO 27001

4.1.5. วัตถุประสงคEที่ 5 การสร5างความมั่นคงปลอดภัยทางกายภาพและสิ่งแวดล5อมเพื่อป™องกันความเสียหาย การเข=าถึงทางกายภาพโดยไมSได=รับอนุญาต การแทรกแซงระบบและอุปกรณ&ประมวลผลข=อมูลของระบบควบคุมการประชุม
ตารางที่ 5 วัตถุประสงคEที่ 5 การสร5างความมั่นคงปลอดภัยทางกายภาพและสิ่งแวดล5อม
ข5อกำหนด

แนวปฏิบัติ

1. ต=องมีขั้นตอนปฏิบัติสำหรับ
การเข=าถึงพื้นที่มั่นคง

ขั้นตอนสำหรับการปฏิบัติงานในพื้นที่มั่นคง
ปลอดภัยที่เกี่ยวข=องกับระบบควบคุมการประชุม
ควรครอบคลุมกระบวนการที่สำคัญ เชSน การลงชื่อ
เข=าและออกพื้นที่ การตรวจสอบความผิดปกติของ
การเข=าพื้นที่ ฯลฯปลอดภัย (Secure areas)-13-ความสอดคล5อง
ISO 27001

4.1.6. วัตถุประสงคEที่ 6 ความมั่นคงปลอดภัยสำหรับการดำเนินงาน
เพื่อให=มั่นใจวSาการดำเนินงานของระบบควบคุมการประชุมมีความถูกต=องและมั่นคงปลอดภัย
ตารางที่ 6 วัตถุประสงคEที่ 6 ความมั่นคงปลอดภัยสำหรับการดำเนินงาน
ข5อกำหนด

แนวปฏิบัติ

1. ต=องมีคูSมือการใช=งานของ
ผู=ให=บริการควรจัดทำเอกสารของขั้นตอนปฏิบัติที่
ระบบควบคุมการประชุม และ เกี่ยวข=องกับระบบควบคุมการประชุมอยSางชัดเจน
เผยแพรSให=ผู=เกี่ยวข=องสามารถ รวมถึงการบริหารจัดการเอกสาร เชSน การปรับปรุง
นำไปปฏิบัติได=เอกสาร การจัดเก็บเอกสาร ชSองทางการเข=าถึงและ
สิทธิที่เกี่ยวข=อง ฯลฯความสอดคล5องกระบวนการจัดการ
ประชุมผSานสื่อ
อิเล็กทรอนิกส&,ISO 27001

2. ต=องมีขั้นตอนปฏิบัติเรื่องการ
บริหารการเปลี่ยนแปลงของ
ระบบควบคุมการประชุม

ขั้นตอนปฏิบัติการบริหารจัดการควบคุมการ
ISO 27001
เปลี่ยนแปลงที่เกี่ยวข=องกับระบบควบคุมการ
ประชุมควรครอบคลุมการประเมินผลกระทบ การมอบหมายการปรับปรุง การอนุมัติจากผู=ที่มีอำนาจ
การวางแผนสำรอง และการทดสอบ เพื่อลดโอกาส
หรือผลกระทบของความเสียหายอันเกิดจากการ
เปลี่ยนแปลงนั้น และรักษาไว=ซึ่งความมั่นคง
ปลอดภัยของข=อมูล

3. ต=องมีขั้นตอนปฏิบัติเรื่องการ
บริหารจัดการทรัพยากรของ
ระบบควบคุมการประชุม

ขั้นตอนปฏิบัติการบริหารขีดความสามารถของ
ISO 27001
ระบบควบคุมการประชุมควรครอบคลุมการติดตาม
ปรับปรุง และคาดการณ&ความต=องการในการใช=ทรัพยากรของระบบ เพื่อให=สามารถวางแผนการใช=งานทรัพยากรให=รองรับการใช=งานได=อยSางตSอเนื่อง
และมีประสิทธิภาพ

4. ต=องควบคุมสภาพแวดล=อมของการพัฒนา การทดสอบ

ผู=ให=บริการควรจัดให=มีการแยกสภาพแวดล=อมสSวน ISO 27001
ของการพัฒนา การทดสอบ และการทำงานจริง
ของระบบควบคุมการประชุม ในแตSละสSวนออก
จากกัน เพื่อลดความเสี่ยงของการเข=าถึงหรือการ
เปลี่ยนแปลงสภาพแวดล=อมโดยไมSได=รับอนุญาต

และการใช=งานจริง
ซึ่งแบSงแยกออกจากกัน

-14-ข5อกำหนด

แนวปฏิบัติ

ความสอดคล5องและควรกำหนดสิทธิในการเข=าถึงข=อมูลของแตSละสSวนที่แตกตSางกัน
5. ต=องสามารถรับมือกับ
ภัยคุกคามประเภทมัลแวร&ผู=ให=บริการควรจัดให=มีวิธีการตรวจจับ การป™องกัน ISO 27001
และการกู=คืน ที่เกิดขึ้นจากภัยคุกคามจากโปรแกรม
ไมSพึงประสงค&ตSอระบบควบคุมการประชุม เชSนการติดตั้งโปรแกรมป™องกันไวรัส (Antivirus) การติดตั้งระบบตรวจจับภัยคุกคาม (Intrusion
Detection System) การสำรองข=อมูล ฯลฯขั้นตอนปฏิบัติเรื่องการสำรองข=อมูล และการกู=คืนข=อมูลของระบบควบคุมการประชุมควรครอบคลุม
รายการบัญชีทะเบียนสินทรัพย&ที่จำเปNนต=องมีการ
สำรองข=อมูล วิธีการสำรองข=อมูล พร=อมระบุ
การประชุม กรณีที่มีข=อมูลชSวงเวลาที่ต=องจัดเก็บข=อมูลที่สำรอง รวมถึง
สSวนบุคคลต=องมีการกำหนด
แนวทางการทดสอบการกู=คืนอยSางเหมาะสม โดย
ผู=ดำเนินการสำรองข=อมูล และ กรณีที่การสำรองนั้นมีข=อมูลสSวนบุคคลอยูSด=วย ควร
กู=คืนข=อมูลสSวนบุคคลด=วยมีการกำหนดรายละเอียดผู=เกี่ยวข=องในแตSละ
รวมถึงต=องมีการประกาศหรือ กิจกรรม เชSน ผู=ดำเนินการสำรองข=อมูล ผู=ทดสอบ
แจ=งข=อมูลเกี่ยวกับระยะเวลา การกู=คืนข=อมูล ฯลฯ

6. ต=องมีขั้นตอนปฏิบัติเรื่องการ
สำรองข=อมูลและการกู=คืนข=อมูลของระบบควบคุม

ในการจัดเก็บข=อมูลที่สำรอง
ให=ผู=เกี่ยวข=องทราบอยSาง
เหมาะสม

ทั้งนี้ ระบบควบคุมการประชุมควรถูกกำหนดให=มีการสำรองข=อมูลบันทึกประเภทเสียง หรือทั้งเสียง
และภาพ ข=อมูลจราจรอิเล็กทรอนิกส& รวมถึงข=อมูลอื่นที่เกี่ยวข=อง เชSน ข=อมูลการแจ=งเหตุขัดข=องระหวSางการประชุม ฯลฯ อยSางน=อยเปNนระยะเวลา
7 วันนับแตSวันสิ้นสุดการประชุมในแตSละครั้ง และควรประกาศระยะเวลาในการจัดเก็บข=อมูลที่สำรอง
ให=ผู=เกี่ยวข=องทราบอยSางชัดเจน

-15-กระบวนการจัดการ
ประชุมผSานสื่อ
อิเล็กทรอนิกส&,ISO 27001,
ISO 27701ข5อกำหนด

แนวปฏิบัติ

7. ต=องจัดเก็บข=อมูลจราจร
ระบบควบคุมการประชุมควรถูกตั้งคSาให=จัดเก็บ
อิเล็กทรอนิกส& และต=องมีการ ข=อมูลจราจรอิเล็กทรอนิกส&ที่เกี่ยวข=องกับการใช=ทบทวนอยSางเหมาะสม
งานของผู=รSวมประชุม โดยอยSางน=อยต=องประกอบด=วยข=อมูลที่สามารถระบุตัวบุคคล หรือชื่อผู=ใช=งาน (Username) วันและเวลาของการเข=ารSวมประชุม และเลิกประชุมเทียบเวลาอ=างอิงที่เปNนมาตรฐานสากล

ความสอดคล5องกระบวนการจัดการ
ประชุมผSานสื่อ
อิเล็กทรอนิกส&,ISO 27001

ผู=ให=บริการควรมีการกำหนดรอบของการทบทวน
ข=อมูลจราจรอิเล็กทรอนิกส&อยSางน=อย 1 ครั้ง ตSอปœ
8. ต=องมีการดูแลข=อมูลสSวน
บุคคลที่ถูกจัดเก็บในข=อมูลจราจรอิเล็กทรอนิกส& โดย
อยSางน=อยต=องสามารถระบุ
ผู=ที่ดำเนินการ วันเวลา และวัตถุประสงค&ในการใช= หรือประมวลผล

ผู=ให=บริการควรจัดเก็บข=อมูลการดำเนินการที่
เกี่ยวข=องกับข=อมูลจราจรอิเล็กทรอนิกส&ซึ่งมีข=อมูลสSวนบุคคลจัดเก็บอยูSภายใน โดยครอบคลุมข=อมูล
ผูท= ดี่ ำเนินการ วันเวลา และวัตถุประสงค&ในการ
ดำเนินการ เปNนอยSางน=อยกระบวนการจัดการ
ประชุมผSานสื่อ
อิเล็กทรอนิกส&,ISO 27701

9. ต=องป™องกันการเปลี่ยนแปลง
และการเข=าถึงที่ไมSได=รับอนุญาต ตSอข=อมูลจราจร
อิเล็กทรอนิกส&ผู=ให=บริการควรจัดเตรียมวิธีป™องกัน การเปลี่ยนแปลง การเข=าถึง การลบ โดยไมSได=รับอนุญาตตSอข=อมูลจราจรอิเล็กทรอนิกส& เชSน การจำกัดสิทธิการดำเนินการในแตSละฟ‘งก&ชันการทำงาน การเฝ™าระวังและแจ=งเตือนการเข=าใช=งานที่ผิดปกติ ฯลฯกระบวนการจัดการ
ประชุมผSานสื่อ
อิเล็กทรอนิกส&,ISO 27001

10. ต=องจำกัดการเข=าถึงข=อมูลสSวนบุคคลที่ถูกจัดเก็บใน
ข=อมูลจราจรอิเล็กทรอนิกส&รวมถึงกำหนดระยะเวลาใน
การลบหรือเปลี่ยนรูปข=อมูลผู=ให=บริการควรกำหนดวิธีการในการเข=าถึงข=อมูลสSวนบุคคลที่ถูกจัดเก็บในข=อมูลจราจร
อิเล็กทรอนิกส& โดยครอบคลุมการบันทึกกิจกรรม
ที่เกี่ยวข=อง เชSน การเข=าถึงข=อมูลสSวนบุคคล ฯลฯกระบวนการจัดการ
ประชุมผSานสื่อ
อิเล็กทรอนิกส&,ISO 27701-16-ข5อกำหนด

แนวปฏิบัติ

ความสอดคล5องสSวนบุคคลที่จัดเก็บให=ไมSสามารถระบุตัวบุคคลได= โดย ผู=ให=บริการควรกำหนดระยะเวลาที่เหมาะสมในการ
จัดเก็บข=อมูลสSวนบุคคลในระบบควบคุมการ
ต=องมีการประกาศหรือแจ=งประชุม และแจ=งเงื่อนไขดังกลSาวให=ผู=มีหน=าที่ข=อมูลเกี่ยวกับระยะเวลาใน
การจัดเก็บข=อมูลสSวนบุคคลให= จัดการประชุม หรือผู=รSวมประชุมทราบผSานชSองทาง
ที่มีความนSาเชื่อถือ เชSน เว็บไซต&ทางการของ
ผู=เกี่ยวข=องทราบอยSางผู=ให=บริการ ฯลฯ พร=อมกำหนดวิธีการลบ หรือการ
เหมาะสม
เปลี่ยนแปลงรูปแบบข=อมูลสSวนบุคคลที่จัดเก็บให=ไมSสามารถระบุตัวบุคคลได=รSวมด=วย
11. ต=องมีการจัดเก็บข=อมูลจราจร ผู=ให=บริการควรจัดเก็บข=อมูลการดำเนินการ
อิเล็กทรอนิกส&จากการใช=งาน ที่เกี่ยวข=องกับข=อมูลจราจรอิเล็กทรอนิกส&ของผู=ควบคุมระบบและ
ที่เกี่ยวข=องกับการใช=งานของผู=ควบคุมระบบ และ
ผู=ให=บริการ รวมถึงมีการ
ควรประกาศ หรือแจ=งข=อมูลเกี่ยวกับระยะเวลาใน
ทบทวนอยSางเหมาะสม โดย การจัดเก็บข=อมูลสSวนบุคคลให=ผู=เกี่ยวข=องทราบ
ต=องมีการประกาศหรือแจ=งผSานชSองทางทีม่ ีความนSาเชื่อถือ เชSน เว็บไซต&ข=อมูลเกี่ยวกับระยะเวลาใน ทางการของผู=ให=บริการ ฯลฯ โดยครอบคลุม
การจัดเก็บข=อมูลสSวนบุคคลให= กิจกรรมดังตSอไปนี้เปNนอยSางน=อยผู=เกี่ยวข=องทราบ
(1) บันทึกการทำงานของระบบ (system logs)(2) บันทึกการเข=าออกระบบ (login-logout logs)(3) บันทึกการพยายามเข=าสูSระบบ (login
attempts logs)(4) บันทึกป‘ญหาหรือความผิดพลาดตSาง ๆ (fault
logs)กระบวนการจัดการ
ประชุมผSานสื่อ
อิเล็กทรอนิกส&,ISO 27001

ผู=ให=บริการควรมีการกำหนดชSวงเวลาของการ
ทบทวนข=อมูลจราจรอิเล็กทรอนิกส&อยSางเหมาะสม
12. ต=องสามารถตั้งคSา Clocksynchronization ของระบบ
ควบคุมการประชุมให=ตรงกับ
แหลSงเทียบเวลาอ=างอิงที่เปNนมาตรฐานสากล และเปNนระบบควบคุมการประชุมควรถูกตั้งคSาเทียบเวลา
(clock synchronization) ให=ตรงกับแหลSงเทียบ
เวลาอ=างอิงที่เปNนมาตรฐานสากล เชSน สถาบัน
มาตรวิทยาแหSงชาติ ฯลฯ รวมถึงควรเปNนแหลSง
เทียบเวลาในระดับ (stratum) เดียวกันทั้งระบบ
-17-

ISO 27001

ข5อกำหนด

แนวปฏิบัติ

แหลSงเทียบเวลาในระดับ
(stratum) เดียวกันทั้งระบบ
ควบคุมการประชุม

ควบคุมการประชุม เชSน ตั้งคSาการใช=งานระดับ
stratum-1 ให=เหมือนกันทั้งระบบควบคุมการ
ประชุม

13. ต=องจัดการชSองโหวSทาง
เทคนิคของระบบควบคุมการ
ประชุม โดยต=องได=รับการ
แก=ไขอยSางมีประสิทธิภาพ

ผู=ให=บริการควรกำหนดชSองทางในการรับแจ=งชSองโหวS และดำเนินกิจกรรมการประเมินผลกระทบ
การจัดการชSองโหวS เมื่อมีผู=แจ=งเหตุอยSางทันทSวงทีพร=อมเผยแพรSรายละเอียดของชSองโหวSให=ผูเ= กี่ยวข=องทราบ

ความสอดคล5อง

ISO 27001

ผู=ให=บริการควรมีการตรวจสอบชSองโหวSทางเทคนิค
ของระบบควบคุมการประชุมอยSางน=อย 1 ครั้งตSอปœหรือเมื่อระบบควบคุมการประชุมมีการ
เปลี่ยนแปลงที่สำคัญ เพื่อให=แนSใจวSาระบบควบคุม
การประชุมไมSมีความเสี่ยงรุนแรงที่อาจสSงผลตSอ
การให=บริการ หรือกระทบตSอข=อมูลสSวนบุคคล
14. ต=องทบทวนความสอดคล=องด=านการรักษาความมั่นคง
ปลอดภัยของระบบควบคุม
การประชุมอยSางเหมาะสม

ผู=ให=บริการควรจัดให=มีการทบทวนความสอดคล=อง ISO 27001
ด=านการรักษาความมั่นคงปลอดภัยของระบบ
ควบคุมการประชุม เชSน การตรวจประเมินภายใน
(internal audit) อยSางน=อย 1 ครั้งตSอปœ ฯลฯ-18-

4.1.7. วัตถุประสงคEที่ 7 ความมั่นคงปลอดภัยสำหรับการสื่อสารข5อมูลเพื่อให=มั่นใจวSาการสื่อสารข=อมูลในระบบเครือขSายและอุปกรณ&ประมวลผลของระบบควบคุมการประชุม
มีความมั่นคงปลอดภัย
ตารางที่ 7 วัตถุประสงคEที่ 7 ความมั่นคงปลอดภัยสำหรับการสื่อสารข5อมูลข5อกำหนด

แนวปฏิบัติ

ความสอดคล5อง

1. ต=องบริหารจัดการเครือขSายอยSางมั่นคงปลอดภัย

ผู=ให=บริการควรจัดให=มีการบริหารจัดการเครือขSาย ISO 27001
โดยครอบคลุมมาตรการดังตSอไปนี้เปNนอยSางน=อย
(1) การป™องกันการเข=าถึงเครือขSายโดยไมSได=รับอนุญาต
(2) การป™องกันการดักรับข=อมูล
(3) การรักษาความถูกต=องของข=อมูลที่รับสSงบน
เครือขSาย(4) การบริหารจัดการบัญชีผู=ใช=งานที่สามารถใช=ระบบสารสนเทศระยะไกล
(5) การป™องกันการเชื่อมตSอกับระบบเครือขSาย
ภายนอก เชSน กำหนดให=ติดตั้งไฟร&วอลล& และติดตั้ง
ซอฟต&แวร&ป™องกันมัลแวร& ฯลฯ

2. ต=องกำหนดนโยบายด=านการ
รักษาความมั่นคงปลอดภัย

นโยบายและขั้นตอนปฏิบัติควรครอบคลุมเรื่องการ ISO 27001
เข=ารหัสลับข=อมูลระหวSางโอนย=ายข=อความ และ
ข=อมูลอื่น ๆ ที่เกี่ยวข=องกับการประชุมเปNนอยSางน=อยของเครือขSาย และขั้นตอน
ปฏิบัติเพื่อควบคุมและป™องกัน ขั้นตอนปฏิบัติเพื่อควบคุมและป™องกันการเข=าถึงการถSายโอนข=อมูลที่เกี่ยวข=อง ข=อมูลบนเครือขSายควรกำหนดวิธีการ และชSองทาง
กับระบบควบคุมการประชุม การดำเนินการอยSางชัดเจน โดยอาจกับการเชื่อมโยง
โดยกรณีที่มีข=อมูลสSวนบุคคล แผนภาพเครือขSาย เพื่อให=แนSใจวSาครอบคลุมการ
ดำเนินการของระบบควบคุมการประชุม รวมถึง
เกี่ยวข=อง ต=องมีมาตรการใน
กรณีที่มีข=อมูลสSวนบุคคลที่รับสSงอยูSบนเครือขSายควร
การติดตามการปฏิบัติให=มีการบันทึกกิจกรรมการดำเนินการ พร=อมสอดคล=องกับสิ่งที่กำหนดไว= ผู=รับผิดชอบให=ชัดเจน
-19-ข5อกำหนด

แนวปฏิบัติ

ทั้งนี้หากเปNนการประชุมลับ
ต=องกำหนดนโยบายที่ระบุถึง
การเข=ารหัสลับข=อมูลจาก
ต=นทางถึงปลายทาง (End-toEnd Encryption (E2EE))-20-ความสอดคล5อง4.1.8. วัตถุประสงคEที่ 8 การบริหารจัดการเหตุการณEที่เกี่ยวข5องกับความมั่นคงปลอดภัย
เพื่อให=มั่นใจวSาการบริหารจัดการเหตุขัดข=องของระบบควบคุมการประชุมและการสื่อสารเกี่ยวกับ
ข=อบกพรSองและสถานการณ&ด=านความมั่นคงปลอดภัย มีการควบคุมดูแลเปNนขั้นตอนและมีประสิทธิภาพ
ตารางที่ 8 วัตถุประสงคEที่ 8 การบริหารจัดการเหตุการณEที่เกี่ยวข5องกับความมั่นคงปลอดภัย
ข5อกำหนด

แนวปฏิบัติ

ความสอดคล5อง

ผู=ให=บริการควรจัดทำขั้นตอนการปฏิบัติเรื่องการรับมือ ISO 27001,
เหตุการณ&ด=านการรักษาความมั่นคงปลอดภัยของระบบ ISO 27701
ควบคุมการประชุมที่ครอบคลุมกระบวนการดังตSอไปนี้
การรักษาความมั่นคง
เปNนอยSางน=อยปลอดภัยของระบบควบคุม
(1) การรับแจ=งและยืนยันเหตุฯ
การประชุม โดยหากพบวSา(2) การจำแนกเหตุฯ และประเมินผลกระทบ
มีข=อมูลสSวนบุคคลรั่วไหล (3) การตอบสนองตSอเหตุฯ
ต=องมีมาตรการในการ
(4) การจัดเก็บพยานหลักฐาน
จัดการอยSางมั่นคง
ในกรณีที่มีข=อมูลสSวนบุคคลรั่วไหล ผู=ให=บริการควรมี
ปลอดภัย
การระบุเพิ่มเติมถึงความรับผิดชอบในแตSละ
กระบวนการ ข=อมูลที่รั่วไหล การรายงานเหตุฯ ไปยัง
ผู=เกี่ยวข=อง เปNนอยSางน=อย

1. ต=องมีขั้นตอนปฏิบัติเรื่อง
การรับมือเหตุการณ&ด=านผู=ให=บริการควรจัดให=มีชSองทางการรับแจ=งเหตุและ
รายงานด=านการรักษาความมั่นคงปลอดภัยของระบบ
รายงานด=านการรักษา
ความมั่นคงปลอดภัยของ ควบคุมการประชุม รวมถึงความขัดข=องที่สSงผลกระทบ
ตSอการประชุม โดยข=อมูลที่แจ=งควรคลอบคลุม
ระบบควบคุมการประชุม
รายละเอียดดังตSอไปนี้เปNนอยSางน=อยรวมถึงความขัดข=องที่สSงผล(1) รายละเอียดผู=แจ=งเหตุฯ
กระทบตSอการประชุม
(2) วันเวลาที่พบเหตุฯ
(3) รายละเอียดของเหตุฯ

2. ต=องมีการรับแจ=งเหตุและ

-21-กระบวนการจัดการ
ประชุมผSานสื่อ
อิเล็กทรอนิกส&,ISO 27001

ข5อกำหนด

แนวปฏิบัติ

3. ต=องมีมาตรการสำหรับการ ผู=ให=บริการควรกำหนดวิธีการตอบสนองตSอเหตุการณ&ด=านการรักษาความมั่นคงปลอดภัยที่อาจสSงผลกระทบ
ตอบสนองตSอเหตุการณ&ด=านการรักษาความมั่นคง ตSอระบบควบคุมการประชุม โดยพิจารณาถึง
องค&ประกอบดังตSอไปนี้เปNนอยSางน=อยปลอดภัยที่อาจสSงผล(1) การประเมินผลกระทบของเหตุฯ
กระทบตSอระบบควบคุม
(2) แนวทาง และชSองทางในการแจ=งเหตุฯ
การประชุม โดยกรณีที่มี (3) การบันทึกเหตุฯ โดยให=มีการระบุรายละเอียด
ข=อมูลสSวนบุคคลรั่วไหล
คำอธิบายเหตุการณ& ชSวงเวลา ผลกระทบ ชSวงเวลาที่
เกิดผลกระทบ
ต=องมีการสื่อสารกับ
เจ=าของข=อมูลและ
ในกรณีที่มีข=อมูลสSวนบุคคลรั่วไหล ผู=ให=บริการควรมี
ผู=เกี่ยวข=องการดำเนินการเพิ่มเติมอยSางน=อยในกระบวนการการ
สื่อสารไปยังเจ=าของข=อมูล และผู=เกี่ยวข=องทั้งนี้ หากเปNนการประชุมลับ ต=องดำเนินการแก=ไขความสอดคล5อง
ISO 27001

ป‘ญหาชSองโหวSทางเทคนิค
ในระดับรุนแรง (อ=างอิง
ตามข=อมูล CVSS ที่
severity ระดับ high ขึ้นไป) ให=ครบทุกรายการกSอนให=บริการ
ผู=ให=บริการควรจัดทำขั้นตอนปฏิบัติเรื่องการรวบรวม กระบวนการจัดการ
และจัดเก็บหลักฐานที่เกี่ยวข=องกับเหตุการณ&ด=านความ ประชุมผSานสื่อ
มั่นคงปลอดภัย
อิเล็กทรอนิกส&,หลักฐานที่เกี่ยวข=องกับ
ISO 27001
เหตุการณ&ด=านความมั่นคง ผู=ให=บริการควรรวบรวมบันทึกกิจกรรมที่ดำเนินการ
พร=อมระบุวันเวลา และวิธีการจัดเก็บอยSางชัดเจน
ปลอดภัยอยSางชัดเจน

4. ต=องมีขั้นตอนปฏิบัติเรือ่ งการรวบรวม และจัดเก็บ

-22-

4.1.9. วัตถุประสงคEที่ 9 ความมั่นคงปลอดภัยด5านสารสนเทศของการบริหารจัดการเพื่อสร5างความ
ตKอเนื่องทางธุรกิจ
เพื่อความตSอเนื่องในการให=บริการระบบควบคุมการประชุม
ตารางที่ 9 วัตถุประสงคEที่ 9 ความมั่นคงปลอดภัยด5านสารสนเทศของการบริหารจัดการเพื่อสร5างความตKอเนื่องทาง
ธุรกิจ
ข5อกำหนด

แนวปฏิบัติ

ผู=ให=บริการควรจัดทำแผนบริหารจัดการความตSอเนื่อง
ของการให=บริการระบบควบคุมการประชุม ภายใต=ความตSอเนื่องของการ
ให=บริการระบบควบคุมการ สถานการณ&ฉุกเฉิน เชSน เกิดเหตุภัยพิบัติ เกิดจากโจมตี
ทางไซเบอร& ฯลฯ และแผนฯ ควรครอบคลุม
ประชุม ภายใต=สถานการณ&รายละเอียดดังตSอไปนี้เปNนอยSางน=อยฉุกเฉิน
(1) ผู=เกี่ยวข=อง
(2) ขั้นตอนการรับมือ และกู=คืนเหตุฯ
(3) กำหนดการทดสอบแผนฯ

1. ต=องมีแผนบริหารจัดการ

ความสอดคล5องกระบวนการจัดการ
ประชุมผSานสื่อ
อิเล็กทรอนิกส&,ISO 27001

กระบวนการจัดการ
2. ต=องมีการซ=อมแผนบริหาร ผู=ให=บริการควรจัดให=มีการซ=อมและปรับปรุงแผน
ประชุมผSานสื่อ
จัดการความตSอเนื่องของ บริหารจัดการความตSอเนื่องของการให=บริการระบบ
การให=บริการระบบควบคุม ควบคุมการประชุม อยSางน=อย 1 ครั้งตSอปœ เพื่อให=มั่นใจ อิเล็กทรอนิกส&,วSาแผนดังกลSาวมีความครอบคลุมการรับมือความเสี่ยงที่ ISO 27001
การประชุมอยSางเหมาะสม
อาจเกิดขึ้นกับระบบควบคุมการประชุมอยSางมีประสิทธิภาพ
3. ต=องมีระบบสำรองที่พร=อม ระบบสำรองของระบบควบคุมการประชุมควรทำงาน กระบวนการจัดการ
ทดแทนระบบหลักได=อยSางปกติ และเพียงพอตSอการใช= ประชุมผSานสื่อ
ให=บริการอยSางตSอเนื่อง
งานตามที่มีการประเมินความพร=อมของทรัพยากรที่ใช= อิเล็กทรอนิกส&,และเพียงพอตSอการISO 27001
ให=บริการ
ผู=ให=บริการควรจัดให=มีการทดสอบระบบสำรองเปNนประจำอยSางน=อย 1 ครั้งตSอปœ ตามขั้นตอนปฏิบัติที่
กำหนดขึ้น

-23-

4.1.10. วัตถุประสงคEที่ 10 การบริการจัดการความเสี่ยงสำหรับผู5ให5บริการ
เพื่อกำหนดทิศทางและให=การสนับสนุนการดำเนินงานเกี่ยวกับการรักษาความมั่นคงปลอดภัยด=านสารสนเทศของระบบควบคุมการประชุม ให=สอดคล=องกับวัตถุประสงค&ของมาตรฐานการรักษาความมั่นคง
ปลอดภัยด=านสารสนเทศของระบบควบคุมการประชุม
ตารางที่ 10 วัตถุประสงคEที่ 10 การบริการจัดการความเสี่ยงสำหรับผู5ให5บริการ
ข5อกำหนด

แนวปฏิบัติ

ความสอดคล5อง

1. ต=องกำหนดวิธีการบริหาร ผู=ให=บริการควรกำหนดวิธีการบริหารจัดการความเสี่ยง ที่ ISO 27001
จัดการความเสี่ยงตาม
ประกอบด=วย หัวข=ออยSางน=อยดังนี้
มาตรฐานสากล หรือตาม
(1) วัตถุประสงค& บทบาทและหน=าที่ความเหมาะสม
(2) ขอบเขตของวิธีการบริหารจัดการความเสี่ยง
(3) ขั้นตอนการประเมินความเสี่ยง
(4) การประเมินผลกระทบ และโอกาสที่จะเกิดขึ้น
รวมถึง ผลกระทบที่อาจสSงผลตSอการให=บริการ
หมายเหตุ : ผู=ให=บริการอาจนำวิธีการบริหารจัดการ
ความเสี่ยงตามมาตรฐานสากลมาประยุกต&ใช= เชSนมาตรฐาน ISO 31000 หรือมาตรฐาน ISO/IEC 27005
ฯลฯ
2. ต=องทบทวนวิธีการ
ผู=ให=บริการควรกำหนดระยะเวลาทบทวนวิธีการบริหาร
บริหาร จัดการความเสี่ยง จัดการความเสี่ยง และวิธีการประเมินความเสี่ยงพร=อมอยSางสม่ำเสมอ
ดำเนินการทบทวนตามระยะเวลาที่กำหนด หรือเมื่อมี
การเปลี่ยนแปลงที่สำคัญ เชSน การอัปเดตการรักษา
ความมั่นคงปลอดภัยด=านสารสนเทศของระบบควบคุม
การประชุม การเปลี่ยนแปลงกฎหมายหรือมาตรฐาน
ฯลฯ
-24-

ISO 27001

การประชุมผKานสื่ออิเล็กทรอนิกสEในเรื่องลับ
การจัดประชุมผ่านสือ7 อิเล็กทรอนิกส์ในเรือ7 งลับ นอกจากต้องปฏิบตั ติ ามหัวข้อ 4.1 การประชุมผ่านสือ7อิเล็กทรอนิกส์ในเรือ7 งทัวไปแล้
7ว ให้ดาํ เนินการตามข้อ 4.2 การประชุมผ่านสือ7 อิเล็กทรอนิกส์ในเรือ7 งลับ เป็ นการเพิม7 เติมด้วย
4.2.1. วัตถุประสงคEที่ 2 การบริหารจัดการสินทรัพยEเพื่อระบุสินทรัพย&ที่เกี่ยวข=องกับระบบควบคุมการประชุมและกำหนดความรับผิดชอบในการป™องกัน
สินทรัพย&อยSางเหมาะสม
ตารางที่ 11 วัตถุประสงคEที่ 2 การบริหารจัดการสินทรัพยE
ข5อกำหนด
1. ต=องมีบัญชีทะเบียน
สินทรัพย&ที่แสดงให=เห็นสินทรัพย&ที่ใช=ในการบันทึก
หรือประมวลผลข=อมูลทั้งหมดของระบบควบคุม
การประชุม โดยครอบคลุม
ทั้งสินทรัพย&ทางกายภาพ
เครือขSาย โปรแกรมประยุกต&แนวปฏิบัติ

ความสอดคล5องในกรณีที่ระบบควบคุมการประชุมนั้นให=บริการรองรับ กระบวนการจัดการ
การประชุมเรื่องที่มีชั้นความลับของหนSวยงานของรัฐ
ประชุมผSานสื่อ
ผูใ= ห=บริการควรมีเอกสารรับรอง หรือประกาศอยSางเปNน อิเล็กทรอนิกส&ทางการ เพื่อรับรองวSาสินทรัพย&ที่ใช=ในการบันทึกหรือ
ประมวลผลข=อมูลทั้งหมดของระบบควบคุมการประชุม
ติดตั้งและให=บริการอยูSในราชอาณาจักร และไมSจัดเก็บ
ข=อมูลหรือหลักฐานสSวนหนึ่งสSวนใดไว=นอกราชอาณาจักร

และข=อมูลที่เกี่ยวข=องทั้งนี้ หากเปNนการให=บริการ
รองรับการประชุมเรื่องที่มี
ชั้นความลับของหนSวยงาน
ของรัฐ ต=องมีบัญชีทะเบียน
สินทรัพย&ที่ใช=ในการบันทึก
-25-ข5อกำหนด

แนวปฏิบัติ

หรือประมวลผลข=อมูลอยูSใน
ราชอาณาจักรทั้งหมด และ
ต=องมีเอกสารรับรองหรือ
ประกาศอยSางเปNนทางการ

-26-ความสอดคล5อง4.2.2. วัตถุประสงคEที่ 3 การควบคุมการเข5าถึงเพื่อจำกัดการเข=าถึงระบบควบคุมการประชุมและอุปกรณ&ประมวลผลข=อมูลตารางที่ 12 วัตถุประสงคEที่ 3 การควบคุมการเข5าถึงข5อกำหนด

แนวปฏิบัติ

ระบบควบคุมการประชุมควรมีวิธีการเข=ารหัสลับข=อมูล
1. ต=องสามารถจำกัดการ
เข=าถึงข=อมูลหรือหลักฐานที่ หรือหลักฐานที่เกี่ยวข=องกับการประชุมเปNนอยSางน=อยเกี่ยวข=องกับการประชุม

ความสอดคล5องกระบวนการ
จัดการประชุมผSาน
สื่ออิเล็กทรอนิกส&ทั้งนี้หากเปNนการประชุม
ลับต=องมีการเข=ารหัสลับ
ข=อมูลที่เกี่ยวข=องกับการ
ประชุมเพิ่มเติม
2. ต=องสามารถพิสูจน&และยืนยันตัวตนของผู=รSวมประชุมอยSางมั่นคง
ปลอดภัย
ทั้งนี้หากเปNนการประชุม
ลับต=องมีการยืนยันตัวตน

ระบบควบคุมการประชุมควรมีชSองทางพิสจู น&และยืนยัน
ตัวตนของผู=รSวมประชุมอยSางมั่นคงปลอดภัย ด=วยวิธีการ
ยืนยันตัวตนแบบหลายป‘จจัย (Multi-factor
Authentication) เปNนอยSางน=อย เชSน รหัสผSานและ
One-time Password (OTP) ในการเข=ารSวมประชุม
ฯลฯกระบวนการ
จัดการประชุมผSาน
สื่ออิเล็กทรอนิกส&แบบหลายป‘จจัยกระบวนการ
3. ต=องสามารถตั้งคSารหัสผSาน ระบบควบคุมการประชุมควรมีความสามารถในการ
ตรวจสอบ และป™องกันการตั้งรหัสผSานที่ไมSมั่นคง
จัดการประชุมผSาน
ที่มั่นคงปลอดภัย
ปลอดภัยของผู=รSวมประชุมตามนโยบายการตั้งคSารหัสผSาน สื่ออิเล็กทรอนิกส&ที่กำหนด
-27-ข5อกำหนด

แนวปฏิบัติ

ทั้งนี้หากเปNนการประชุม
ลับต=องมีการตรวจสอบ
รหัสผSานที่กำหนดให=เปNนไปตามนโยบายที่
กำหนดอยSางเครSงครัด

-28-ความสอดคล5อง4.2.3. วัตถุประสงคEที่ 4 การเข5ารหัสลับข5อมูลเพื่อให=มั่นใจได=วSาการใช=งานการเข=ารหัสลับข=อมูลเปNนไปอยSางเหมาะสมและมีประสิทธิภาพ เพื่อป™องกัน
ไมSให=ความลับหรือข=อมูลสSวนบุคคลรั่วไหล และรักษาความถูกต=องครบถ=วนของข=อมูลตารางที่ 13 วัตถุประสงคEที่ 4 การเข5ารหัสลับข5อมูลข5อกำหนด

แนวปฏิบัติ

1. ต=องกำหนดนโยบายด=าน นโยบายควรระบุให=ครอบคลุมวSาผู=ให=บริการไมSสามารถ
การเข=ารหัสลับข=อมูลที่ระบุ เรียกดูข=อมูลในระหวSางทางของการรับสSงข=อมูล โดยอาจ
ถึงการเข=ารหัสลับข=อมูลที่ เปรียบเทียบการใช=งานในลักษณะ End-to-End
Encryption (E2EE) ได= และควรระบุขอบเขต ข=อยกเว=นเกี่ยวข=องกับข=อมูลบน
ในความสามารถที่เกี่ยวข=องให=ชัดเจน
ระบบควบคุมการประชุม
และข=อมูลสSวนบุคคลที่
เกี่ยวข=องทั้งนี้หากเปNนการประชุม
ลับต=องกำหนดนโยบายที่
ระบุถึงการเข=ารหัสลับ
ข=อมูลจากต=นทางถึง
ปลายทาง หรือในลักษณะ
ที่ผู=ให=บริการไมSสามารถ
เข=าถึงข=อมูลที่รับสSงระหวSางการประชุมได=-29-ความสอดคล5องกระบวนการจัดการ
ประชุมผSานสื่อ
อิเล็กทรอนิกส&,ISO 27001,
ISO 27701

4.2.4. วัตถุประสงคEที่ 7 ความมั่นคงปลอดภัยสำหรับการสื่อสารข5อมูลเพื่อให=มั่นใจวSาข=อมูลในระบบเครือขSายและอุปกรณ&ประมวลผลของระบบควบคุมการประชุมมีความ
มั่นคงปลอดภัย
ตารางที่ 14 วัตถุประสงคEที่ 7 ความมั่นคงปลอดภัยสำหรับการสื่อสารข5อมูลข5อกำหนด
1. ต=องกำหนดนโยบายด=านการรักษาความมั่นคง
ปลอดภัยของเครือขSาย
และขั้นตอนปฏิบัติเพื่อ
ควบคุมและป™องกันการ
ถSายโอนข=อมูลที่เกี่ยวข=องแนวปฏิบัติ

ความสอดคล5องนโยบายและขั้นตอนปฏิบัติควรระบุให=ครอบคลุมวSา
ISO 27001,
ผู=ให=บริการไมSสามารถเรียกดูข=อมูลในระหวSางทางของ ISO 27701
การรับสSงข=อมูล โดยอาจเปรียบเทียบการใช=งานใน
ลักษณะ End-to-End Encryption (E2EE) ได= และควร
ระบุขอบเขต ข=อยกเว=นในความสามารถที่เกี่ยวข=องให=ชัดเจน

กับระบบควบคุมการ
ประชุม โดยกรณีที่มีข=อมูลสSวนบุคคลเกี่ยวข=อง ต=องมีมาตรการในการติดตาม
การปฏิบัติให=สอดคล=องกับ
สิ่งที่กำหนดไว=ทั้งนี้หากเปNนการประชุม
ลับต=องกำหนดนโยบายที่
ระบุถึงการเข=ารหัสลับ
ข=อมูลจากต=นทางถึง
ปลายทาง หรือในลักษณะ
ที่ผู=ให=บริการไมSสามารถ

-30-ข5อกำหนด

แนวปฏิบัติ

เข=าถึงข=อมูลที่รับสSงระหวSางการประชุมได=-31-ความสอดคล5อง4.2.5. วัตถุประสงคEที่ 8 การบริหารจัดการเหตุการณEที่เกี่ยวข5องกับความมั่นคงปลอดภัย
เพื่อมั่นใจวSาการบริหารจัดการเหตุขัดข=องของระบบควบคุมการประชุมและการสื่อสารเกี่ยวกับข=อบกพรSอง
และสถานการณ&ด=านความมั่นคงปลอดภัย มีการควบคุมดูแลเปNนขั้นตอนและมีประสิทธิภาพ
ตารางที่ 15 วัตถุประสงคEที่ 8 การบริหารจัดการเหตุการณEที่เกี่ยวข5องกับความมั่นคงปลอดภัย
ข5อกำหนด
1. ต=องมีมาตรการสำหรับการ
ตอบสนองตSอเหตุการณ&ด=านความมั่นคงปลอดภัยด=านสารสนเทศที่อาจสSงผล
กระทบตSอระบบควบคุมการ
ประชุม โดยกรณีที่มีข=อมูลสSวนบุคคลรั่วไหลต=องมีการ
สื่อสารกับเจ=าของข=อมูลและ
ผู=เกี่ยวข=องแนวปฏิบัติ

ความสอดคล5อง

ผู=ให=บริการควรดำเนินการแก=ไขเหตุการณ&ด=านความ
ISO 27001,
มั่นคงปลอดภัยด=านสารสนเทศ รวมถึงป‘ญหาชSองโหวS
ISO 27701
ทางเทคนิค อยSางน=อยชSองโหวSที่เผยแพรSตามรายการ
CVE (Common Vulnerabilities and Exposures )และชSองโหวSที่มีการตรวจประเมินจากผู=ให=บริการ ในระดับรุนแรงอ=างอิงตามข=อมูล CVSS ที่ severity ระดับ
high ขึ้นไป ให=ครบทุกรายการกSอนให=บริการ

ทั้งนี้ หากเปNนการประชุมลับ
ต=องดำเนินการแก=ไขป‘ญหา
ชSองโหวSทางเทคนิคในระดับ
รุนแรง (อ=างอิงตามข=อมูลCVSS ที่ severity ระดับ
high ขึ้นไป) ให=ครบทุก
รายการกSอนให=บริการ

-32-เอกสารอ5างอิง
1. “พระราชกำหนดวS า ด= ว ยเรื ่ อ งการประชุ ม ผS า นสื ่ อ อิ เ ล็ ก ทรอนิ ก ส& 2563” (19 เมษายน 2563)
ราชกิจจานุเบกษา เลSม 137 ตอนที่ 30 ก หน=า 20 - 23
2. “ประกาศคณะรักษาความสงบแหSงชาติ ฉบับที่ 74/2557 เรื่อง การประชุมผSานสื่ออิเล็กทรอนิกส&”(4 กรกฎาคม 2557) ราชกิจจานุเบกษา เลSม 131 ตอนพิเศษ 142 ง หน=า 11 - 12
3. “ระเบี ย บวS า ด= ว ยการรั ก ษาความลั บ ทางราชการ (ฉบั บ ที ่ 2) พ.ศ. 2561 (26 มิ ถ ุ น ายน 2561)
ราชกิจจานุเบกษา เลSม 135 ตอนพิเศษ 148 ง หน=า 1 - 3
4. “ประกาศกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม เรื่อง มาตรฐานการรักษาความมั่นคงปลอดภัยของการ
ประชุ ม ผS า นสื ่ อ อิ เ ล็ ก ทรอนิ ก ส& พ.ศ. 2563” (26 พ.ค. 2563) ราชกิ จ จานุ เ บกษา เลS ม 137 ตอนพิ เ ศษ 122 ง
หน=า 24 - 30
5. คูSมือมาตรฐานการรักษาความมั่นคงปลอดภัยของการประชุมผSานสื่ออิเล็กทรอนิกส& (มีนาคม 2563) กลุSม
งานกฎหมายและระเบียบ กองกฎหมาย สำนักงานปลัดกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม
6. European Union Agency for Network and Information Security (ENISA), Technical guidelines
for the implementation of minimum security measures for Digital Service Providers, December, 2016.
7. ISO/IEC 27001:2013, Information Technology - Security Techniques – Information Security
Management Systems - Requirements, 2013.
8. ISO/IEC 27002:2013, Information Technology - Security Techniques – Code of Practice forInformation Security Controls, 2013.
9. ISO/IEC 27005:2018, Information technology - Security techniques - Information security
risk management, 2018
10. ISO/IEC 27701:2019, Security techniques - Extension to ISO/IEC 27001 and ISO/IEC 27002
for privacy information management - Requirements and guidelines, 2019.
11. ISO 31000:2018, Risk management – Guidelines, 201812. แนวทางการใช=ดิจิทัลไอดีสำหรับประเทศไทย – การลงทะเบียนและพิสูจน&ตัวตน เลขที่ ขมธอ. 19-2561
13. แนวทางการใช=ดิจิทัลไอดีสำหรับประเทศไทย – การยืนยันตัวตน เลขที่ ขมธอ. 20-2561
14. Tom E., Mike F., Adam P. (2019). Magic Quadrant for Meeting Solutions. GARTNER Research.
ID G00350493.
-33-ภาคผนวก
ตารางที่ 16 เปรียบเทียบวัตถุประสงคEการรักษาความมั่นคงปลอดภัยด5านสารสนเทศ กับมาตรฐานตKาง ๆวัตถุประสงคEการรักษาความมั่นคงปลอดภัยด5านสารสนเทศ

ISO ENISA ISO ขมธอ. ขมธอ.
27001
27701 1920

1. นโยบายการรั ก ษาความมั ่ น คงปลอดภั ย ด= า นสารสนเทศ และนโยบายการคุ=มครองข=อมูลสSวนบุคคล







2. การบริหารจัดการสินทรัพย&







3. การควบคุมการเข=าถึง







4. การเข=ารหัสลับข=อมูล







5. การสร=างความมั่นคงปลอดภัยทางกายภาพและสิ่งแวดล=อม

6. ความมั่นคงปลอดภัยสำหรับการดำเนินงาน



7. ความมั่นคงปลอดภัยสำหรับการสื่อสารข=อมูล







8. การบริหารจัดการเหตุการณ&ที่เกี่ยวข=องกับความมั่นคงปลอดภัย







9. ความมั่นคงปลอดภัยด=านสารสนเทศของการบริหารจัดการ
เพื่อสร=างความตSอเนื่องทางธุรกิจ



10. การบริหารจัดการความเสี่ยงสำหรับผู=ให=บริการ





-34-





