ประกาศคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ

เรื่อง มาตรฐานขั้นต่ำของข้อมูลหรือระบบสารสนเทศ

พ.ศ. ๒๕๖๖

โดยที่พระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. ๒๕๖๒ กำหนดให้คณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติตามมาตรา ๙ (๔) แห่งพระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. ๒๕๖๒ ประกอบกับมาตราที่ระบุว่า หากคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ ในระหว่างการประชุมครั้งที่ ๔/๒๕๖๖ เมื่อวันที่ ๒๘ พฤศจิกายน ๒๕๖๖ คณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ มีออกประกาศไว้ ดังต่อไปนี้

ข้อ ๑ ประกาศนี้เรียกว่า “ประกาศคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ เรื่อง มาตรฐานขั้นต่ำของข้อมูลหรือระบบสารสนเทศ พ.ศ. ๒๕๖๖”

ข้อ ๒ ประกาศนี้ใช้บังคับเมื่อพ้นกำหนดหนึ่งปีนับแต่วันประกาศในราชกิจจานุเบกษาเป็นต้นไป

ข้อ ๓ ในประกาศนี้

“หน่วยงาน” มายความว่า หน่วยงานของรัฐ หน่วยงานควบคุมหรือกำกับดูแลและหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ

“มาตรการควบคุมความมั่นคงปลอดภัยไซเบอร์” มายความว่า มาตรการที่กำหนดขึ้น เพื่อดำเนินการรักษาความลับ (Confidentiality) การรักษาความถูกต้องครบถ้วน (Integrity) และการรักษาสภาพพร้อมใช้งาน (Availability) สำหรับข้อมูลหรือระบบสารสนเทศ

“ประกาศประมวลแนวทางปฏิบัติและกรอบมาตรฐาน” มายความว่า ประกาศคณะกรรมการกำกับดูแลและดำเนินความมั่นคงปลอดภัยไซเบอร์ เรื่อง ประมวลแนวทางปฏิบัติและกรอบมาตรฐานด้านการรักษาความมั่นคงปลอดภัยไซเบอร์สำหรับหน่วยงานของรัฐและหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ

ข้อ 4 ภายหลังจากหน่วยงานได้กำหนดคุณลักษณะความมั่นคงปลอดภัยไซเบอร์ให้แก่ข้อมูลหรือระบบสารสนเทศ ซึ่งพิจารณาจากวัตถุประสงค์ด้านความมั่นคงปลอดภัยไซเบอร์ในเรื่องการรักษาความลับ การรักษาความถูกต้องครบถ้วน และการรักษาสภาพพร้อมใช้งาน และได้ระดับผลกระทบที่อาจเกิดขึ้นตามวัตถุประสงค์แต่ละเรื่องเป็นระดับต่ำ ระดับกลาง หรือระดับสูง ตามประกาศคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ เรื่อง มาตรฐานการกำหนดคุณลักษณะความมั่นคงปลอดภัยไซเบอร์ให้แก่ข้อมูลหรือระบบสารสนเทศแล้ว ให้หน่วยงานกำหนดมาตรการควบคุมความมั่นคงปลอดภัยไซเบอร์ขั้นต่ำ สำหรับข้อมูลหรือระบบสารสนเทศนั้นในแต่ละระดับตามหัวข้อของประกาศประมวลแนวทางปฏิบัติและกรอบมาตรฐานที่กำหนดในตารางท้ายประกาศนี้

(๑) ในกรณีที่ข้อมูลหรือระบบสารสนเทศมีคุณลักษณะความมั่นคงปลอดภัยไซเบอร์อยู่ในระดับต่ำ
ให้กำหนดมาตรการควบคุมความมั่นคงปลอดภัยไซเบอร์ขั้นต่ำสำหรับข้อมูลหรือระบบสารสนเทศ
ตามหัวข้อต่อไปนี้

(ก) การประเมินความเสี่ยงด้านการรักษาความมั่นคงปลอดภัยไซเบอร์ (Cybersecurity Risk Assessment)

(ข) แผนการรับมือภัยคุกคามทางไซเบอร์ (Incident Response Plan) (ทั้งในส่วนของประมวลแนวทางปฏิบัติ และกรอบมาตรฐานด้านการรักษาความมั่นคงปลอดภัยไซเบอร์ ตามประกาศประมวลแนวทางปฏิบัติและกรอบมาตรฐาน)

(ค) การจัดการทรัพย์สิน (Asset Management)

(ง) การประเมินความเสี่ยงและกลยุทธ์ในการจัดการความเสี่ยง (Risk Assessment and Risk Management Strategy)

(จ) การควบคุมการเข้าถึง (Access Control)

(ฉ) การทำให้ระบบที่มีความแข็งแกร่ง (System Hardening)

(ช) การสร้างความตระหนักรู้ด้านความมั่นคงปลอดภัยไซเบอร์ (Cybersecurity Awareness)

(ซ) การตรวจสอบและเฝ้าระวังภัยคุกคามทางไซเบอร์ (Cyber Threat Detection and Monitoring)

(ฌ) แผนการสื่อสารในภาวะวิกฤต (Crisis Communication Plan)

(ญ) การฝึกซ้อมความมั่นคงปลอดภัยไซเบอร์ (Cybersecurity Exercise)

(๒) ในกรณีที่ข้อมูลหรือระบบสารสนเทศมีคุณลักษณะความมั่นคงปลอดภัยไซเบอร์อยู่ในระดับกลาง
ให้กำหนดมาตรการควบคุมความมั่นคงปลอดภัยไซเบอร์ขั้นต่ำสำหรับข้อมูลหรือระบบสารสนเทศตามหัวข้อ ต่อไปนี้

(ก) ให้ดำเนินการตามข้อ (๑)

(ข) แผนการตรวจสอบด้านการรักษาความมั่นคงปลอดภัยไซเบอร์ (Cybersecurity Audit Plan)

(ค) การเชื่อมต่อระยะไกล (Remote Connection)

(ง) สื่อเก็บข้อมูลแบบถอดได้ (Removable Storage Media)

(๓) ในกรณีที่ข้อมูลหรือระบบสารสนเทศมีคุณลักษณะความมั่นคงปลอดภัยไซเบอร์อยู่ในระดับสูง ให้กำหนดมาตรการควบคุมความมั่นคงปลอดภัยไซเบอร์ขั้นต่ำสำหรับข้อมูลหรือระบบสารสนเทศตามหัวข้อ ต่อไปนี้

(ก) ให้ดำเนินการตามข้อ (๒)

(ข) การประเมินช่องโหว่วและการทดสอบเจาะระบบ (Vulnerability Assessment and Penetration Testing)

(ค) การจัดการผู้ให้บริการภายนอก (Third Party Management)

(ง) การแบ่งปันข้อมูล (Information Sharing)

(จ) การรักษาและฟื้นฟูความเสียหายที่เกิดจากภัยคุกคามทางไซเบอร์ (Cybersecurity Resilience and Recovery)

ข้อ ๕ ให้เลขารักษาระบบการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ ทำการตามประกาศนี้ และให้มีอำนาจออกประกาศ คำสั่ง หลักเกณฑ์และวิธีการเพื่อปฏิบัติตามประกาศนี้ ในกรณีที่มีปัญหาเกี่ยวกับการปฏิบัติตามประกาศนี้ หรือประกาศนี้ไม่ได้กำหนดเรื่องใดไว้ ให้ประธานกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ เป็นผู้มีอำนาจตัดสินใจและความรับผิดชอบในการตัดสินใจของประธานกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ

ประกาศ ณ วันที่ ๑๘ ธันวาคม พ.ศ. ๒๕๖๖

ภูมิธรรม เวชชชัย
รองนายกรัฐมนตรี ปฏิบัติหน้าที่
ประธานกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ

ตารางข้อบังคับในการกำหนดมาตรฐานการควบคุมความมั่นคงปลอดภัยไซเบอร์ชั้นต่างสำหรับข้อมูลหรือระบบสารสนเทศ

## ท้ายประกาศคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ
เรื่อง มาตรฐานขั้นต่ำของข้อมูลหรือระบบสารสนเทศ พ.ศ. ๒๕๖๖

| หัวข้อในการกำหนด | ระดับคุณลักษณะ |
| --- | --- |
| มาตรการควบคุมความมั่นคงปลอดภัยไซเบอร์ชั้นต่าสำหรับข้อมูลหรือระบบสารสนเทศ | ความมั่นคงปลอดภัยไซเบอร์ของข้อมูลหรือระบบสารสนเทศ |
| ประเมินความเสี่ยงที่อาจเกิดขึ้นแก่คอมพิวเตอร์ ข้อมูลคอมพิวเตอร์ และระบบทั่วไป (Cybersecurity Audit Plan) | ต่ำ |
| การประเมินความเสี่ยงด้านการรักษาความมั่นคงปลอดภัยไซเบอร์ (Cybersecurity Risk Assessment) | กลาง |
| แผนการรับมือกับเหตุการณ์ทางไซเบอร์ (Incident Response Plan) | สูง |

### กรอบมาตรฐานด้านการรักษาความมั่นคงปลอดภัยไซเบอร์
#### ๑. การระบุความเสี่ยงที่อาจจะเกิดขึ้นแก่คอมพิวเตอร์ ข้อมูลคอมพิวเตอร์ และระบบทั่วไป (Identity)
##### ๑.๑ การจัดการทรัพย์สิน (Asset Management)
###### •
##### ๑.๒ การประเมินความเสี่ยงและกลยุทธ์ในการจัดการความเสี่ยง (Risk Assessment and Risk Management Strategy)
###### •
##### ๑.๓ การประเมินช่องโหว่วและการทดสอบเจาะระบบ (Vulnerability Assessment and Penetration Testing)
###### •
##### ๑.๔ การจัดการผู้ให้บริการภายนอก (Third Party Management)
###### •

#### ๒. มาตรการป้องกันความเสี่ยงที่อาจจะเกิดขึ้น (Protect)
##### ๒.๑ การควบคุมการเข้าถึง (Access Control)
###### •
##### ๒.๒ การทำให้ระบบมีความแข็งแกร่ง (System Hardening)
###### •
##### ๒.๓ การเชื่อมต่อระยะไกล (Remote Connection)
###### •
##### ๒.๔ สื่อเก็บข้อมูลแบบถอดได้ (Removable Storage Media)
###### •
##### ๒.๕ การสร้างความตระหนักรู้ด้านความมั่นคงปลอดภัยไซเบอร์ (Cybersecurity Awareness)
###### •
##### ๒.๖ การแบ่งปันข้อมูล (Information Sharing)
###### •

#### ๓. มาตรการตรวจสอบและเฝ้าระวังภัยคุกคามทางไซเบอร์ (Detect)
##### ๓.๑ การตรวจสอบและเฝ้าระวังภัยคุกคามทางไซเบอร์ (Cyber Threat Detection and Monitoring)

## ข้อบังคับ
### สำหรับข้อมูลที่เกิดจากภัยคุกคามทางไซเบอร์ (Respond)
| ตัวแปร | ระดับความร้ายแรง |
| --- | --- |
| แผนการรับมือภัยคุกคามทางไซเบอร์ (Cybersecurity Incident Response Plan) | มี |
| แผนการสื่อสารในภาวะวิกฤต (Crisis Communication Plan) | มี |
| การฝึกซ้อมความมั่นคงปลอดภัยไซเบอร์ (Cybersecurity Exercise) | มี |
### สำหรับมาตรการรักษาและฟื้นฟูความเสียหายที่เกิดจากภัยคุกคามทางไซเบอร์ (Recover)
| ตัวแปร | ระดับความร้ายแรง |
| --- | --- |
| การรักษาและฟื้นฟูความเสียหายที่เกิดจากภัยคุกคามทางไซเบอร์ (Cybersecurity Resilience and Recovery) | มี |