ประกาศธนาคารแห่งประเทศไทย ที่ สนช. 11/2561 เรื่อง นโยบายและมาตรการการรักษาความมั่นคงปลอดภัยทางระบบสารสนเทศ

ประกาศธนาคารแห่งประเทศไทย
ที่ สนช. ๑๑/๒๕๖๑
เรื่อง
นโยบายและมาตรการการรักษาความมั่นคงปลอดภัยทางระบบสารสนเทศ[๑]

๑. เหตุผลในการออกประกาศ
เพื่อให้มีมาตรฐานในการกำหนดนโยบายและมาตรการการรักษาความมั่นคงปลอดภัยทางระบบสารสนเทศ
สำหรับการให้บริการระบบการชำระเงินที่มีความสำคัญ ระบบการชำระเงินภายใต้การกำกับ
และบริการการชำระเงินภายใต้การกำกับ
ตามกฎหมายว่าด้วยระบบการชำระเงินและเพื่อใช้เป็นแนวทางกำหนดวิธีปฏิบัติในการตรวจสอบและรักษาความมั่นคงปลอดภัยของระบบสารสนเทศที่เกี่ยวข้องกับระบบการชำระเงินที่มีความสำคัญ
ระบบการชำระเงินภายใต้การกำกับ และบริการการชำระเงินภายใต้การกำกับ
ให้มีความน่าเชื่อถือ มีความมั่นคงปลอดภัย และสามารถให้บริการได้อย่างต่อเนื่อง
ธนาคารแห่งประเทศไทยได้กำหนดกรอบนโยบายและมาตรการการรักษาความมั่นคงปลอดภัยทางระบบสารสนเทศ
ประกอบด้วย ๑) การควบคุมการเข้าถึง และการพิสูจน์ตัวตนผู้ใช้ ๒) การรักษาความลับของข้อมูล
และความถูกต้องเชื่อถือได้ของระบบสารสนเทศ 3)
การรักษาสภาพความพร้อมใช้งานของการให้บริการ ๔)
การตรวจสอบความมั่นคงปลอดภัยทางระบบสารสนเทศ
เพื่อใช้เป็นแนวทางในการกำหนดมาตรการการรักษาความมั่นคงปลอดภัยทางระบบสารสนเทศที่เกี่ยวข้องกับระบบการชำระเงินที่มีความสำคัญ
ระบบการชำระเงินภายใต้การกำกับ
และบริการการชำระเงินภายใต้การกำกับเพื่อให้ครอบคลุมและป้องกันความเสี่ยงทางระบบสารสนเทศได้อย่างมีประสิทธิภาพตามแนวทางที่เป็นมาตรฐานสากล
นอกจากนี้ ผู้ให้บริการระบบการชำระเงินที่มีความสำคัญ และผู้ประกอบธุรกิจระบบการชำระเงินและบริการการชำระเงินภายใต้การกำกับ
ต้องพิจารณาปรับใช้และกำหนดรายละเอียดของมาตรการการรักษาความมั่นคงปลอดภัยทางระบบสารสนเทศของผู้ให้บริการหรือผู้ประกอบธุรกิจให้เหมาะสมกับประเภทและความซับซ้อนของบริการตนเองด้วย

๒.  อำนาจตามกฎหมาย
อาศัยอำนาจตามความในมาตรา ๗ และมาตรา ๒๔
แห่งพระราชบัญญัติว่าด้วยระบบการชำระเงิน พ.ศ. ๒๕๖๐
ธนาคารแห่งประเทศไทยกำหนดนโยบายและมาตรการการรักษาความมั่นคงปลอดภัยทางระบบสารสนเทศให้ผู้ให้บริการระบบการชำระเงินที่มีความสำคัญ
ผู้ประกอบธุรกิจระบบการชำระเงินภายใต้การกำกับ และผู้ประกอบธุรกิจบริการการชำระเงินภายใต้การกำกับตามความในประกาศฉบับนี้

๓.  ขอบเขตการบังคับใช้
ประกาศฉบับนี้ให้ใช้บังคับกับผู้ให้บริการระบบการชำระเงินที่มีความสำคัญ
ผู้ประกอบธุรกิจระบบการชำระเงินภายใต้การกำกับ
และผู้ประกอบธุรกิจบริการการชำระเงินภายใต้การกำกับตามกฎหมายว่าด้วยระบบการชำระเงิน

๔.  เนื้อหา
๔.๑ นิยาม
ในประกาศฉบับนี้
ผู้ให้บริการ หมายความว่า
ผู้ให้บริการระบบการชำระเงินที่มีความสำคัญตามกฎหมายว่าด้วยระบบการชำระเงิน
ผู้ประกอบธุรกิจ หมายความว่า
ผู้ประกอบธุรกิจระบบการชำระเงินภายใต้การกำกับและผู้ประกอบธุรกิจบริการการชำระเงินภายใต้การกำกับ
ตามกฎหมายว่าด้วยระบบการชำระเงิน
สมาชิก หมายความว่า
ผู้ใช้บริการที่ยินยอมผูกพันตามหลักเกณฑ์ในการใช้บริการระบบการชำระเงินที่มีความสำคัญ
ผู้ใช้บริการ หมายความว่า ผู้ใช้บริการจากผู้ประกอบธุรกิจที่ได้รับอนุญาตหรือขึ้นทะเบียนตามกฎหมายว่าด้วยระบบการชำระเงิน
๔.๒ นโยบายและมาตรการการรักษาความมั่นคงปลอดภัยทางระบบสารสนเทศ
ผู้ให้บริการระบบการชำระเงินที่มีความสำคัญ
ผู้ประกอบธุรกิจระบบการชำระเงินภายใต้การกำกับ
และผู้ประกอบธุรกิจบริการการชำระเงินภายใต้การกำกับ ต้องถือปฏิบัติตามนโยบายและมาตรการการรักษาความมั่นคงปลอดภัยทางระบบสารสนเทศดังนี้
๔.๒.๑ นโยบายการรักษาความมั่นคงปลอดภัยทางระบบสารสนเทศ
(๑)
ผู้ให้บริการหรือผู้ประกอบธุรกิจจะต้องจัดทำนโยบายการรักษาความมั่นคงปลอดภัยทางระบบสารสนเทศเป็นลายลักษณ์อักษร
โดยได้รับการพิจารณาอนุมัติจากคณะกรรมการบริษัท  ทั้งนี้
ผู้ให้บริการหรือผู้ประกอบธุรกิจจะต้องเผยแพร่นโยบายดังกล่าว
และอบรมให้แก่บุคลากรที่เกี่ยวข้องเพื่อถือปฏิบัติ
รวมทั้งจัดให้มีการทบทวนหรือปรับปรุงนโยบายให้เหมาะสมกับสถานการณ์อย่างสม่ำเสมอ
(๒) นโยบายการรักษาความมั่นคงปลอดภัยทางระบบสารสนเทศที่เกี่ยวข้องกับระบบการชำระเงินที่มีความสำคัญ
การให้บริการระบบการชำระเงินภายใต้การกำกับ
และการให้บริการการชำระเงินภายใต้การกำกับ แล้วแต่กรณี
อย่างน้อยต้องครอบคลุมในเรื่องดังต่อไปนี้
(๒.๑) การควบคุมการเข้าถึง และการพิสูจน์ตัวตนผู้ใช้
(๒.๒) การรักษาความลับของข้อมูล
และความถูกต้องเชื่อถือได้ของระบบสารสนเทศ
(๒.๓) การรักษาสภาพความพร้อมใช้งานของการให้บริการ
(๒.๔) การตรวจสอบความมั่นคงปลอดภัยทางระบบสารสนเทศ
๔.๒.๒ มาตรการการรักษาความมั่นคงปลอดภัยทางระบบสารสนเทศ
ผู้ให้บริการหรือผู้ประกอบธุรกิจต้องจัดให้มีมาตรการการรักษาความมั่นคงปลอดภัยทางระบบสารสนเทศที่เกี่ยวข้องกับระบบการชำระเงินที่มีความสำคัญ
ระบบการชำระเงินภายใต้การกำกับ และบริการการชำระเงินภายใต้การกำกับ แล้วแต่กรณี
ให้สอดคล้องกับนโยบายที่ได้กำหนดขึ้น และมาตรการดังกล่าวจะต้องเหมาะสมกับลักษณะของการให้บริการ
โดยครอบคลุมถึงการควบคุมการเข้าถึงและการพิสูจน์ตัวตนผู้ใช้
การรักษาความลับของข้อมูล การรักษาความถูกต้องเชื่อถือได้ของระบบสารสนเทศ
การรักษาสภาพความพร้อมใช้งานของการให้บริการ มีการแก้ไขปัญหาและการรายงาน
รวมถึงจัดให้มีการตรวจสอบความมั่นคงปลอดภัยทางระบบสารสนเทศอย่างสม่ำเสมออย่างน้อยปีละ
๑ ครั้ง ตลอดจนจัดให้มีกระบวนการดูแลโดยคณะกรรมการบริษัทหรือผู้บริหารระดับสูง
เพื่อให้มีการปฏิบัติตามมาตรการที่กำหนด  ทั้งนี้
การตรวจสอบความมั่นคงปลอดภัยทางระบบสารสนเทศของผู้ให้บริการระบบการชำระเงินที่มีความสำคัญ
ผู้ประกอบธุรกิจระบบการชำระเงินภายใต้การกำกับ
และผู้ประกอบธุรกิจบริการการชำระเงินภายใต้การกำกับ
ให้ปฏิบัติตามประกาศธนาคารแห่งประเทศไทยที่เกี่ยวข้องกับหลักเกณฑ์การกำกับดูแลด้วย
นอกจากนี้ ผู้ให้บริการหรือผู้ประกอบธุรกิจต้องดำเนินการทบทวนหรือปรับปรุงมาตรการตามระยะเวลาที่กำหนดหรือเมื่อมีการเปลี่ยนแปลงที่ส่งผลกระทบกับนโยบายและมาตรการที่ได้กำหนดไว้
ตลอดจนจัดอบรมและให้ความรู้แก่บุคลากรที่เกี่ยวข้อง
ทั้งนี้ ธปท.
ได้จัดทำแนวปฏิบัติการรักษาความมั่นคงปลอดภัยทางระบบสารสนเทศเพื่อเป็นแนวทางในการกำหนดมาตรการการรักษาความมั่นคงปลอดภัยทางระบบสารสนเทศให้น่าเชื่อถือและให้เป็นที่ยอมรับของผู้ใช้บริการ
โดยการกำหนดมาตรการการรักษาความมั่นคงปลอดภัยของผู้ให้บริการหรือผู้ประกอบธุรกิจแต่ละรายอาจแตกต่างกันได้
เพื่อให้ครอบคลุมและป้องกันความเสี่ยงทางระบบสารสนเทศได้อย่างมีประสิทธิภาพตามแนวทางที่เป็นมาตรฐานสากล

๕.  บทเฉพาะกาล
ผู้ซึ่งให้บริการระบบการชำระเงินที่มีความสำคัญ
หรือผู้ซึ่งประกอบกิจการระบบการชำระเงินภายใต้การกำกับ
หรือผู้ซึ่งประกอบกิจการบริการการชำระเงินภายใต้การกำกับ
อยู่ก่อนวันที่ประกาศนี้มีผลใช้บังคับ หากไม่สามารถเสนอนโยบายการรักษาความมั่นคงปลอดภัยทางระบบสารสนเทศให้คณะกรรมการบริษัทพิจารณาอนุมัติ
ตามข้อ ๔.๒.๑ (๑) ให้ได้รับการยกเว้นการปฏิบัติตามหลักเกณฑ์ดังกล่าว แต่ทั้งนี้
ต้องดำเนินการให้เป็นไปตามหลักเกณฑ์ดังกล่าวภายใน ๙๐
วันนับแต่วันที่ได้รับอนุญาตหรือขึ้นทะเบียน แล้วแต่กรณี

๖.  วันเริ่มต้นบังคับใช้
ประกาศนี้ให้ใช้บังคับตั้งแต่วันที่ ๑๖ เมษายน ๒๕๖๑ เป็นต้นไป

ประกาศ ณ วันที่ ๑๖ เมษายน พ.ศ. ๒๕๖๑
ฤชุกร  สิริโยธิน
รองผู้ว่าการ ด้านเสถียรภาพสถาบันการเงิน
ผู้ว่าการแทน
ธนาคารแห่งประเทศไทย

[เอกสารแนบท้าย]

๑. แนวปฏิบัติการรักษาความมั่นคงปลอดภัยทางระบบสารสนเทศที่เกี่ยวข้องกับระบบการชำระเงิน

(ดูข้อมูลจากภาพกฎหมาย)

พรวิภา/จัดทำ
๒๐ เมษายน ๒๕๖๑

[๑] ราชกิจจานุเบกษา
เล่ม ๑๓๕/ตอนพิเศษ ๘๖ ง/หน้า ๗๙/๑๗ เมษายน ๒๕๖๑