ประกาศคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ

เรื่อง มาตรฐานการกำหนดคุณลักษณะความมั่นคงปลอดภัยไซเบอร์
ให้แก่ข้อมูลหรือระบบสารสนเทศ

พ.ศ. ๒๕๖๖

โดยที่พระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. ๒๕๖๒ กำหนดให้
คณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติตามหน้าที่และอำนาจสร้างมาตรฐานเกี่ยวกับ
การรักษาความมั่นคงปลอดภัยไซเบอร์ และกำหนดมาตรฐานชั้นต่างๆเกี่ยวข้องกับคอมพิวเตอร์
ระบบคอมพิวเตอร์ หรือโปรแกรมคอมพิวเตอร์ จึงสมควรมีมาตรฐานการกำหนดคุณลักษณะความมั่นคง
ปลอดภัยไซเบอร์ให้แก่ข้อมูลหรือระบบสารสนเทศ เพื่อประเมินและจัดระดับผลกระทบที่อาจเกิดขึ้นแก่
ข้อมูลหรือระบบสารสนเทศอันจะนำไปสู่การเลือกมาตรการในการควบคุมความมั่นคงปลอดภัยไซเบอร์
ที่เหมาะสม เพื่อให้การดำเนินงานเกี่ยวกับการรักษาความมั่นคงปลอดภัยไซเบอร์เป็นไปอย่างมีประสิทธิภาพ

อาศัยอำนาจตามความในมาตรา ๙ (๔) แห่งพระราชบัญญัติการรักษาความมั่นคงปลอดภัย
ไซเบอร์ พ.ศ. ๒๕๖๒ ประกอบกับบทที่ประชุมคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์
แห่งชาติ ในคราวการประชุมครั้งที่ ๔/๒๕๖๖ เมื่อวันที่ ๒๘ พฤศจิกายน ๒๕๖๖ คณะกรรมการ
การรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ จึงออกประกาศไว้ว่าดังต่อไปนี้

ข้อ ๑ ประกาศนี้เรียกว่า “ประกาศคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ” เรื่อง มาตรฐานการกำหนดคุณลักษณะความมั่นคงปลอดภัยไซเบอร์ให้แก่ข้อมูลหรือระบบสารสนเทศ พ.ศ. ๒๕bon"

ข้อ ๒ ประกาศนี้ให้ใช้บังคับเมื่อพ้นกำหนดหนึ่งปีนับแต่วันประกาศในราชกิจจานุเบกษาเป็นต้นไป

ข้อ ๓ ในประกาศนี้

“ประเภทข้อมูล” มายความว่า หมวดหมู่ข้อมูลที่ถูกกำหนดขึ้นโดยหน่วยงานตามแนวทาง
ที่สำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติประกาศกำหนด

“ระบบสารสนเทศ” มายความว่า ระบบที่ชุดทรัพยากรด้านสารสนเทศที่ถูกใช้สำหรับ การเก็บรวบรวม การประมวลผล การบำรุงรักษา การใช้ การเผยแพร่ หรือการทำลายข้อมูล

“คุณลักษณะความมั่นคงปลอดภัยไซเบอร์” (Security category) มายความว่า ลักษณะเฉพาะของข้อมูลหรือระบบสารสนเทศในด้านความมั่นคงปลอดภัยไซเบอร์ ตามการประเมินและจัดระดับผลกระทบท่องกรณีดำเนินงานของหน่วยงาน ทรัสต์สินของหน่วยงาน หรือความสามารถของผู้ใช้บริการของหน่วยงาน บุคลากรของหน่วยงาน หรือประชาชน ที่อาจเกิดขึ้นมามีข้อมูลลับของหน่วยงานรัวไหลข้อมูลของหน่วยงานถูกละหลุดเป็น เปิดเผยให้คนใดได้มองเห็นหรือเข้าถึงระบบสารสนเทศของหน่วยงานไม่อยู่ในสภาพพร้อมใช้งาน

“การรักษาความลับ” (Confidentiality) มายความว่า การรักษาหรือสงวนไว้ซึ่งการจำกัด การเข้าถึงหรือการเปิดเผยข้อมูลให้แก่มากคน คนอื่น ๆ โดยชุดคำสั่งที่ไม่ได้อนุญาต

“การรักษาความถูกต้องครบถ้วน” (Integrity) มายความว่า การรักษาหรือสงวนไว้ซึ่งความถูกต้องและความครบถ้วนของข้อมูล

"การรักษาสภาพพร้อมใช้งาน" (Availability) หมายความว่า การดำเนินการ เพื่อให้บุคคล
หน่วยงาน หรือชุดคำสั่งที่ได้รับอนุญาตสามารถเข้าถึงและใช้งานข้อมูลหรือระบบสารสนเทศได้
ตามต้องการและได้อย่างมีประสิทธิภาพ

"หน่วยงาน" หมายความว่า หน่วยงานของรัฐ หน่วยงานควบคุมหรือกำกับดูแล และหน่วยงาน
โครงสร้างพื้นฐานสำคัญทางสารสนเทศ

ข้อ ๔ ให้หน่วยงานกำหนดคุณลักษณะความมั่นคงปลอดภัยไซเบอร์ให้แก่ข้อมูลหรือระบบ
สารสนเทศ โดยพิจารณาวัตถุประสงค์ด้านความมั่นคงปลอดภัยไซเบอร์ (Security objectives) ในเรื่อง
ดังต่อไปนี้

(๑) การรักษาความลับ (Confidentiality)
(๒) การรักษาความถูกต้องครบถ้วน (Integrity)
(๓) การรักษาสภาพพร้อมใช้งาน (Availability)
ในกรณีที่ข้อมูลหรือระบบสารสนเทศได้เผยแพร่ต่อสาธารณะแล้ว หน่วยงานไม่ต้องพิจารณา
วัตถุประสงค์ตามวรรคหนึ่ง (๑)

ข้อ ๕ การพิจารณาวัตถุประสงค์ตามข้อ ๔ วรรคหนึ่ง (๑) (๒) และ (๓) ให้ประเมินและ
จัดระดับผลกระทบที่อาจเกิดขึ้นเป็นสามระดับ ได้แก่ ระดับต่ำ ระดับกลาง และระดับสูง

ข้อ ๖ การจัดระดับผลกระทบที่อาจเกิดขึ้นในแต่ละระดับตามข้อ ๕ ให้หน่วยงานพิจารณา
การประเมินผลกระทบในแต่ละด้าน ดังต่อไปนี้

(๑) ผลกระทบต่อมูลค่าความเสียหายทางการเงินหรือทรัพย์สิน หรือต่อชื่อเสียงของหน่วยงาน
(๒) ผลกระทบต่อจำนวนของผู้ใช้บริการของหน่วยงาน บุคลากรของหน่วยงาน
หรือประชาชนที่อาจได้รับอันตรายต่อชีวิต ร่างกาย อนามัย ทรัพย์สิน หรือความเสียหายอื่นใด
(๓) ผลกระทบต่อความสามารถในการดำเนินการตามหน้าที่ของหน่วยงาน
(๔) ผลกระทบต่อความมั่นคงของรัฐและความสงบเรียบร้อยภายในประเทศ
ในกรณีหน่วยงานที่จัดระดับผลกระทบที่อาจเกิดขึ้นเป็นหน่วยงานโครงสร้างพื้นฐานสำคัญ
ทางสารสนเทศ ให้หน่วยงานควบคุมหรือกำกับดูแลกำหนดแนวทางการประเมินผลกระทบ
ตามวรรคหนึ่งให้แก่หน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ ทั้งนี้ ในกรณีที่สถานการณ์
ด้านความมั่นคงปลอดภัยไซเบอร์เปลี่ยนแปลงไป หน่วยงานควบคุมหรือกำกับดูแลอาจกำหนดผลกระทำเพิ่มเติม หรือยกเว้นหรือยกเลิกผลกระทบน้อยใดข้อหนึ่งหรือหลายข้อก็ได้

ข้อ ๗ การประเมินและจัดระดับผลกระทบที่อาจเกิดขึ้นสำหรับการพิจารณาวัตถุประสงค์
ในการรักษาความลับตามข้อ ๔ (๑) ให้มีเกณฑ์การประเมินและจัดระดับ ดังต่อไปนี้

(๑) ในกรณีที่การเปิดเผยข้อมูลโดยไม่ได้รับอนุญาตไม่ว่าทั้งหมดหรือบางส่วน อาจส่ง
ผลกระทบต่อการดำเนินงาน ทรัพย์สิน หรือชื่อเสียงของหน่วยงานหรือนบุคคลเพียงเล็กน้อยหรืออย่างจำกัดให้จัดเป็นผลกระทบร้ายแรง ก็ได้

(๓) ในกรณีที่การเปิดเผยข้อมูลโดยไม่ได้รับอนุญาตไม่ว่าทั้งหมดหรือบางส่วน อาจส่งผลกระทบ
ต่อการดำเนินงาน ทรัพย์สิน หรือชื่อเสียงของหน่วยงานหรือบุคคลอย่างร้ายแรงมากให้จัดเป็น
ผลกระทบร้ายแรง

ในกรณีที่การดำเนินการของหน่วยงานอาจเปิดเผยข้อมูลที่ถูกกำหนดซึ่นความลับตามระเบียบ
ว่าด้วยการรักษาความลับของทางราชการและระเบียบสำนักนายกรัฐมนตรีว่าด้วยการรักษาความปลอดภัย
แห่งชาติ ให้มีเกณฑ์การประเมินและจัดระดับ ดังต่อไปนี้

(๑) กรณีที่อาจเปิดเผยข้อมูลลับที่ถูกกำหนดซึ่นความลับเป็นชั้นลับ ให้จัดเป็นผลกระทบร้าย
ระดับตำแหน่งอย่างน้อย

(๒) กรณีที่อาจเปิดเผยข้อมูลลับที่ถูกกำหนดซึ่นความลับเป็นชั้นลับมาก ให้จัดเป็นผลกระทบร้าย
ระดับกลางเป็นอย่างน้อย

(๓) กรณีที่อาจเปิดเผยข้อมูลลับที่ถูกกำหนดซึ่นความลับเป็นชั้นลับที่สุด ให้จัดเป็นผลกระทบร้าย
ระดับสูง

ข้อ ๘ การประเมินและจัดระดับผลกระทบที่อาจเกิดขึ้นสำหรับการพิจารณาวัตถุประสงค์
ในการรักษาความถูกต้องครบถ้วนตามข้อ ๔ (๒) ให้มีเกณฑ์การประเมินและจัดระดับ ดังต่อไปนี้

(๑) ในกรณีที่การแก้ไขหรือทำลายข้อมูลโดยไม่ได้รับอนุญาตอาจส่งผลกระทบต่อการดำเนินงาน
หรือทรัพย์สินของหน่วยงานหรือบุคคลเพียงเล็กน้อยหรืออย่างจำกัด ให้จัดเป็นผลกระทบร้ายระดับตำา

(๒) ในกรณีที่การแก้ไขหรือทำลายข้อมูลโดยไม่ได้รับอนุญาตอาจส่งผลกระทบต่อการดำเนินงาน
หรือทรัพย์สินของหน่วยงานหรือบุคคลอย่างร้ายแรง ให้จัดเป็นผลกระทบร้ายระดับกลาง

(๓) ในกรณีที่การแก้ไขหรือทำลายข้อมูลโดยไม่ได้รับอนุญาตอาจส่งผลกระทบต่อการดำเนินงาน
หรือทรัพย์สินของหน่วยงานหรือบุคคลอย่างร้ายแรงมาก ให้จัดเป็นผลกระทบร้ายระดับสูง

ข้อ ๙ การประเมินและจัดระดับผลกระทบที่อาจเกิดขึ้นสำหรับการพิจารณาวัตถุประสงค์
ในการรักษาสภาพพร้อมใช้งานตามข้อ ๔ (๓) ให้มีเกณฑ์การประเมินและจัดระดับ ดังต่อไปนี้

(๑) ในกรณีที่หน่วยงานไม่สามารถเข้าถึงและใช้งานข้อมูลหรือระบบสารสนเทศได้ อาจส่งผลกระทบ
ต่อการดำเนินงานหรือทรัพย์สินของหน่วยงานหรือบุคคลเพียงเล็กน้อยหรืออย่างจำกัด ให้จัดเป็น
ผลกระทบร้ายระดับตำา

(๒) ในกรณีที่หน่วยงานไม่สามารถเข้าถึงและใช้งานข้อมูลหรือระบบสารสนเทศได้ อาจส่งผลกระทบ
ต่อการดำเนินงานหรือทรัพย์สินของหน่วยงานหรือนายกฯ โดยระบบทวงถามผู้ใดผู้หน่วยว่าทำไมมันคงปลอดภัยไซเบอร์ของระบบสารสนเทศ ในกรณี
ที่ระบบทวงถามผู้ใดมันคงปลอดภัยไซเบอร์ของหน่วยงานมันคงปลอดภัยไซเบอร์ของระบบสารสนเทศ ในกรณี
ประมวลผลและวิเคราะห์สถานะความมั่นคงปลอดภัยไซเบอร์ของระบบสารสนเทศ

(๒) พิจารณากำหนดคุณลักษณะความมั่นคงปลอดภัยไซเบอร์ของระบบสารสนเทศ โดยใช้ระดับผลกระทบของประเภทข้อมูลตามวัตถุประสงค์ด้านความมั่นคงปลอดภัยไซเบอร์ตามข้อ ๔ ในแต่ละเรื่องที่มีระดับผลกระทบที่สุด

หน่วยงานอาจดำเนินการกำหนดประเภทข้อมูลตามหลักเกณฑ์ของหน่วยงาน หรือตามแนวทางในประกาศสำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ ว่าด้วยแนวทางการกำหนดคุณลักษณะความมั่นคงปลอดภัยไซเบอร์ให้แก่ข้อมูลหรือระบบสารสนเทศ

ข้อ ๑๑ ให้หน่วยงานพิจารณาทบทวนการกำหนดคุณลักษณะความมั่นคงปลอดภัยไซเบอร์ให้แก่ข้อมูลหรือระบบสารสนเทศทุก ๓ ปีเป็นอย่างน้อย หรือทบทวนเมื่อข้อมูล ระบบสารสนเทศหรือหน้าที่ของหน่วยงานมีการเปลี่ยนแปลงอย่างมีนัยสำคัญ และบันทึกผลการพิจารณาทบทวนพร้อมเหตุผลในการลงไว้ หรือแก้ไขเปลี่ยนแปลงระดับผลกระทบที่อาจเกิดขึ้นของวัตถุประสงค์ด้านความมั่นคงปลอดภัยไซเบอร์ ตามข้อ ๔ ในแต่ละเรื่องด้วย

ข้อ ๑๒ ให้เลขานิการคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ รักษาการตามประกาศนี้ และให้มีอำนาจออกประกาศ คำสั่ง หลักเกณฑ์และวิธีการเพื่อปฏิบัติตามประกาศนี้

ในกรณีที่มีปัญหาเกี่ยวกับการปฏิบัติตามประกาศนี้ หรือประกาศนี้ไม่ได้กำหนดเรื่องใดไว้ให้ประธานกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ เป็นผู้มีอำนาจตัดสินใจและความรู้ความสามารถในการทำให้เป็นไปตามกฎระเบียบนี้

ประกาศ ณ วันที่ ๑๘ ธันวาคม พ.ศ. ๒๕๖๖

ภูมิธรรม เวชชชัย
รองนายกรัฐมนตรี ปฏิบัติหน้าที่
ประธานกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ