ประกาศแนวปฏิบัติที่ นป. 3/2559เรื่อง แนวปฏิบัติในการจัดให้มีระบบเทคโนโลยีสารสนเทศ\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_ตามที่ประกาศคณะกรรมการกํากับตลาดทุน ที่ ทธ. 35/2556 เรื่อง มาตรฐานการประกอบธุรกิจ โครงสร้างการบริหารงาน ระบบงาน และการให้บริการของผู้ประกอบธุรกิจหลักทรัพย์และผู้ประกอบธุรกิจสัญญาซื้อขายล่วงหน้า ลงวันที่ 6 กันยายน พ.ศ. 2556 (ประกาศที่ ทธ. 35/2556)และประกาศสํานักงานคณะกรรมการกํากับหลักทรัพย์และตลาดหลักทรัพย์ ที่ สธ. 37/2559 เรื่องข้อกําหนดในรายละเอียดเกี่ยวกับการจัดให้มีระบบเทคโนโลยีสารสนเทศ ลงวันที่ 12 กันยายน พ.ศ. 2559(ประกาศที่ สธ. 37/2559) กําหนดให้ผู้ประกอบธุรกิจต้องจัดให้มีนโยบาย มาตรการ และระบบงานในการกํากับดูแลและบริหารจัดการเทคโนโลยี และการรักษาความมั่นคงปลอดภัยของระบบสารสนเทศโดยต้องดําเนินการควบคุมดูแล ติดตาม และตรวจสอบให้มีการปฏิบัติตามนโยบาย มาตรการ และระบบงานดังกล่าว ตลอดจนมีการทบทวนความเหมาะสมของเรื่องดังกล่าวเป็นประจํา นั้น เพื่อประโยชน์ในการปฏิบัติตามข้อกําหนดข้างต้นของผู้ประกอบธุรกิจ สํานักงานโดยอาศัยอํานาจตามข้อ 5(3) ประกอบกับข้อ 12 วรรคหนึ่ง (11) และ (12) และข้อ 14 ของประกาศที่ทธ. 35/2556 จึงออกประกาศแนวปฏิบัติไว้ดังต่อไปนี้ข้อ 1 แนวปฏิบัตินี้เป็นแนวทางเกี่ยวกับเรื่องดังต่อไปนี้ (1) การจัดให้มีนโยบาย มาตรการ และระบบงานเกี่ยวกับการกํากับดูแลและบริหารจัดการเทคโนโลยีสารสนเทศระดับองค์กรที่ดี และระบบงานในการรักษาความมั่นคงปลอดภัยของระบบสารสนเทศ(2) การควบคุมดูแล ติดตาม และตรวจสอบให้มีการปฏิบัติตามนโยบาย มาตรการ และระบบงานตาม (1)(3) การทบทวนความเหมาะสมของ (1)ในกรณีที่ผู้ประกอบธุรกิจได้ปฏิบัติตามแนวทางตามวรรคหนึ่งจนครบถ้วน สํานักงานจะพิจารณาว่าผู้ประกอบธุรกิจได้ปฏิบัติตามประกาศที่ ทธ. 35/2556 และประกาศที่ สธ. 37/2559 แล้วทั้งนี้ หากผู้ประกอบธุรกิจดําเนินการต่างจากแนวปฏิบัตินี้ ผู้ประกอบธุรกิจมีภาระที่จะต้องพิสูจน์ให้เห็นได้ว่าการดําเนินการนั้นยังคงอยู่ภายใต้หลักการและข้อกําหนดของประกาศที่ ทธ. 35/2556 ในส่วนที่เกี่ยวกับระบบเทคโนโลยีสารสนเทศ และประกาศที่ สธ. 37/2559ข้อ 2 แนวทางปฏิบัติตามข้อ 1 วรรคหนึ่งมีรายละเอียดตามที่กําหนดในภาคผนวกที่แนบท้ายประกาศแนวปฏิบัตินี้ ทั้งนี้ รายละเอียดดังกล่าวได้แก่เรื่องดังต่อไปนี้(1) หมวดที่ 1 การกํากับดูแลและบริหารจัดการเทคโนโลยีสารสนเทศระดับองค์กรที่ดี (governance of enterprise IT)(2) หมวดที่ 2 การรักษาความมั่นคงปลอดภัยของระบบเทคโนโลยีสารสนเทศ (IT security)โดยมีรายละเอียดดังต่อไปนี้2.1 แนวทางปฏิบัติเพิ่มเติมเกี่ยวกับนโยบายและมาตรการรักษาความมั่นคงปลอดภัยของระบบสารสนเทศ (information security policy)2.2 การจัดโครงสร้างความมั่นคงปลอดภัยของระบบสารสนเทศ (organization of information security) 2.3 การสร้างความมั่นคงปลอดภัยของระบบสารสนเทศด้านบุคลากร(human resource security)2.4 การบริหารจัดการทรัพย์สินสารสนเทศ (asset management)2.5 การควบคุมการเข้าถึงข้อมูลและระบบสารสนเทศ (access control)2.6 การควบคุมการเข้ารหัสข้อมูล (cryptographic control)2.7 การสร้างความมั่นคงปลอดภัยด้านกายภาพและสภาพแวดล้อม(physical and environmental security)2.8 การรักษาความมั่นคงปลอดภัยในการปฏิบัติงานที่เกี่ยวข้องกับระบบสารสนเทศ (operations security)2.9 การรักษาความมั่นคงปลอดภัยด้านการสื่อสารข้อมูลสารสนเทศผ่านระบบเครือข่ายคอมพิวเตอร์ (communications security)2.10 การจัดหา พัฒนา และดูแลรักษาระบบสารสนเทศ (system acquisition, development and maintenance)2.11 การใช้บริการระบบสารสนเทศจากผู้รับดําเนินการ (IT outsourcing)2.12 การบริหารจัดการเหตุการณ์ที่อาจส่งผลกระทบต่อความมั่นคงปลอดภัยของระบบสารสนเทศ (information security incident management) 2.13 การบริหารความต่อเนื่องทางธุรกิจในด้านความมั่นคงปลอดภัยของระบบสารสนเทศ (information security aspects of business continuity management)ประกาศ ณ วันที่ 12 กันยายน พ.ศ. 2559(นายรพี สุจริตกุล)เลขาธิการสํานักงานคณะกรรมการกํากับหลักทรัพย์และตลาดหลักทรัพย์**ภาคผนวก****บทนิยาม**| "ทรัพย์สินสารสนเทศ" | หมายถึง | (1) ทรัพย์สินสารสนเทศประเภทระบบ ซึ่งได้แก่ ระบบเครือข่ายคอมพิวเตอร์ ระบบคอมพิวเตอร์ ระบบงานคอมพิวเตอร์ และระบบสารสนเทศ (2) ทรัพย์สินสารสนเทศประเภทอุปกรณ์ ซึ่งได้แก่ ตัวเครื่องคอมพิวเตอร์ อุปกรณ์คอมพิวเตอร์ เครื่องบันทึกข้อมูล และอุปกรณ์อื่นใด (3) ทรัพย์สินสารสนเทศประเภทข้อมูล ซึ่งได้แก่ ข้อมูลสารสนเทศ ข้อมูลอิเล็กทรอนิกส์ และข้อมูลคอมพิวเตอร์ || "ทรัพย์สินสารสนเทศที่มีความสําคัญ" | หมายถึง | ทรัพย์สินสารสนเทศที่เกี่ยวข้อง หรือจําเป็นต้องใช้ประกอบกับงานที่มีความสําคัญ || "ระบบสารสนเทศที่มีความสําคัญ" | หมายถึง | ระบบสารสนเทศที่รองรับการปฏิบัติงานที่สําคัญ เช่น ระบบซื้อขาย ระบบปฏิบัติการ back office และระบบจัดการลงทุน เป็นต้น || | | || "งานที่สําคัญ" | หมายถึง | งานที่เกี่ยวกับการให้บริการ การทําธุรกรรม หรืองานอื่น ๆ ของผู้ประกอบธุรกิจ ซึ่งหากมีการหยุดชะงัก อาจส่งผลกระทบต่อลูกค้า การดําเนินงาน ธุรกิจ ชื่อเสียง ฐานะ และผลการดําเนินงานของผู้ประกอบธุรกิจ อย่างมีนัยสําคัญ || | | || "การใช้งานอุปกรณ์เคลื่อนที่ (mobile device)" | หมายถึง | การปฏิบัติงานที่มีการใช้อุปกรณ์เคลื่อนที่เพื่อเข้าถึงระบบ สารสนเทศที่มีความสําคัญโดยผ่านการเชื่อมต่อกับระบบเครือข่ายคอมพิวเตอร์ภายในของผู้ประกอบธุรกิจโดยตรง || | | || "การปฏิบัติงานจากเครือข่ายภาย นอกบริษัท (teleworking)" | หมายถึง | การปฏิบัติงานที่มีการเข้าถึงระบบสารสนเทศที่มีความสําคัญโดยไม่ผ่านการเชื่อมต่อกับระบบเครือข่ายคอมพิวเตอร์ภายในของผู้ประกอบธุรกิจโดยตรง || | | || "cloud computing" | หมายถึง | รูปแบบการใช้งานระบบสารสนเทศร่วมกันบนระบบเครือข่ายคอมพิวเตอร์ เพื่อการประมวลผล ตามความต้องการของผู้ใช้งาน ทั้งนี้ ให้อ้างอิงจากนิยาม ที่กําหนดโดย National Institute of Standards and Technology (NIST) || | | || "ผู้รับดําเนินการ (outsourcee)" | หมายถึง | บุคคลจากภายนอกองค์กรซึ่งผู้ประกอบธุรกิจว่าจ้าง เพื่อให้ปฏิบัติงานอย่างต่อเนื่องและต้องใช้ดุลพินิจ หรือการตัดสินใจในการปฏิบัติงานดังกล่าว แทนผู้ประกอบธุรกิจ || | | || "ผู้ใช้งาน" | หมายถึง | พนักงานของผู้ประกอบธุรกิจและบุคลากรภายนอก ที่มีการปฏิบัติงานโดยมีการเข้าถึงข้อมูลลับหรือ ระบบงานสําคัญภายในองค์กรโดยไม่รวมถึงลูกค้า || | | || "สิ่งอํานวยความสะดวกในการประมวลผลข้อมูล (information processing facility)" | หมายถึง | อุปกรณ์ ระบบงาน หรือสภาพแวดล้อม ที่จําเป็นหรือ มีส่วนช่วยให้การประมวลผลข้อมูลเป็นไปอย่างครบถ้วน ถูกต้อง และมีประสิทธิภาพ เช่น อุปกรณ์หรือโปรแกรมประมวลผลข้อมูล ระบบเครือข่ายคอมพิวเตอร์ ขั้นตอนหรือสถานที่ประมวลผลข้อมูล เป็นต้น |**หมวดที่ 1 : การกํากับดูแลและบริหารจัดการเทคโนโลยีสารสนเทศระดับองค์กรที่ดี(governance of enterprise IT)**| วัตถุประสงค์ โดยที่ระบบเทคโนโลยีสารสนเทศเข้ามามีบทบาทสําคัญในการขับเคลื่อนธุรกิจ และถือเป็นหนึ่งใน ระบบงานหลักที่หากเกิดขัดข้องขึ้น จะส่งผลกระทบต่อการดําเนินงานของผู้ประกอบธุรกิจ ผู้ลงทุน และความเชื่อมั่นต่อตลาดทุนโดยรวมได้ ผู้บริหารระดับสูงจึงต้องมีบทบาทสําคัญในการบริหารจัดการ การนําเทคโนโลยีสารสนเทศมาใช้ในการประกอบธุรกิจ รวมถึงมีหน้าที่ในการส่งทอดเป้าหมายตาม ภารกิจ กลยุทธ์ นโยบาย และแผนงานระดับองค์กรสู่เป้าหมายที่เกี่ยวข้องกับเทคโนโลยีสารสนเทศ ภายใต้การกํากับดูแลของคณะกรรมการบริษัท เพื่อให้มั่นใจว่าการนําเทคโนโลยีสารสนเทศดังกล่าว มาใช้ในการประกอบธุรกิจ ช่วยให้ผู้ประกอบธุรกิจสามารถบรรลุเป้าหมายได้ตามที่กําหนดไว้ โดยมีการใช้ทรัพยากรอย่างเหมาะสม และมีการบริหารจัดการความเสี่ยงอย่างเหมาะสม สอดคล้องกับ การกํากับดูแลกิจการที่ดี (corporate governance) |**ข้อกําหนดในประกาศที่ สธ. 37/2559**===================================.**ข้อกําหนดในประกาศที่ สธ. 37/2559**===================================**แนวทางปฏิบัติเพิ่มเติมจากข้อกําหนด**=====================================1. นโยบายการบริหารและจัดการความเสี่ยงด้านเทคโนโลยีสารสนเทศตามข้อกําหนด 5(1)ควรสอดคล้องกับนโยบายและการบริหารความเสี่ยงองค์กร (enterprise risk) และควรมีเนื้อหาขั้นต่ํา ดังนี้(1) การระบุความเสี่ยงที่เกี่ยวข้องกับเทคโนโลยีสารสนเทศ (IT-related risk)(2) การประเมินความเสี่ยง ซึ่งครอบคลุมถึงโอกาสหรือความถี่ที่จะเกิดความเสี่ยง และความมีนัยสําคัญหรือผลกระทบที่จะเกิดขึ้น เพื่อจัดลําดับความสําคัญในการบริหารจัดการความเสี่ยง(3) การกําหนดเครื่องมือและมาตรการในการบริหารและจัดการความเสี่ยงให้อยู่ในระดับที่องค์กรยอมรับได้ (risk appetite)(4) การกําหนดตัวชี้วัดระดับความเสี่ยง (IT risk indicator) สําหรับความเสี่ยงสําคัญที่สอดคล้องกับความเสี่ยงที่ระบุตาม (1) รวมถึงจัดให้มีการติดตามและรายงานผลตัวชี้วัดดังกล่าว เพื่อให้สามารถบริหารและจัดการความเสี่ยงได้อย่างเหมาะสมและทันต่อเหตุการณ์(5) การกําหนดหน้าที่และความรับผิดชอบของผู้รับผิดชอบ (accountable person) และผู้ทําหน้าที่(responsible person) การบริหารและจัดการความเสี่ยงด้านเทคโนโลยีสารสนเทศตามข้อกําหนด 5(1)2. นโยบายการจัดสรรและบริหารทรัพยากรด้านเทคโนโลยีสารสนเทศตามข้อกําหนด 5(2) ควรสอดคล้องกับแผนกลยุทธ์องค์กร เพื่อให้บรรลุเป้าหมายตามภารกิจ กลยุทธ์ นโยบายและแผนการดําเนินงานที่กําหนดไว้และควรมีเนื้อหาขั้นต่ํา ดังนี้(1) การกําหนดหลักเกณฑ์และปัจจัยในการกําหนดลําดับความสําคัญของแผนงานด้านเทคโนโลยีสารสนเทศ (เช่น ความเหมาะสมสอดคล้องกับแผนกลยุทธ์ของบริษัท / ผลกระทบต่อการดําเนินธุรกิจ/ ความเร่งด่วนในการใช้งาน)(2) การจัดทําและอนุมัติงบประมาณด้านเทคโนโลยีสารสนเทศที่สอดคล้องกับแผนงบประมาณและแผนกลยุทธ์องค์กร(3) การจัดให้มีทรัพยากรบุคคลอย่างเพียงพอต่องานด้านเทคโนโลยีสารสนเทศ (เช่น การจัดให้มีหรือการพัฒนาทักษะของบุคลากร / การจัดจ้างบุคลากรด้าน IT จากภายนอก)(4) การจัดการความเสี่ยงสําคัญในกรณีที่ไม่สามารถจัดสรรทรัพยากรได้เพียงพอต่อการดําเนินงานด้านเทคโนโลยีสารสนเทศ (เช่น กรณีบุคลากรสําคัญด้าน IT ลาออก / งบประมาณไม่เพียงพอ / ความต้องการใช้งานเกินกว่าที่กําหนดไว้ใน capacity plan)(5) การกําหนดหน้าที่และความรับผิดชอบของผู้รับผิดชอบ (accountable person) และผู้ทําหน้าที่(responsible person) การจัดสรรและบริหารทรัพยากรด้านเทคโนโลยีสารสนเทศตามข้อกําหนด 5(2)3. นโยบายและมาตรการรักษาความมั่นคงปลอดภัยของระบบสารสนเทศตามข้อกําหนด 5(3) ควรมีเนื้อหาขั้นต่ําตามที่กําหนดในหมวดที่ 2 ข้อ 1 เรื่อง แนวทางปฏิบัติเพิ่มเติมเกี่ยวกับนโยบายและมาตรการรักษาความมั่นคงปลอดภัยของระบบสารสนเทศ (information security policy)4. ผู้ประกอบธุรกิจควรกําหนดให้ผู้บริหารระดับสูงเป็นผู้รับผิดชอบในการปฏิบัติให้เป็นไปตามข้อกําหนด 6(2)**ข้อกําหนดในประกาศที่ สธ. 37/2559**===================================**แนวทางปฏิบัติเพิ่มเติมจากข้อกําหนด**=====================================5. ในการปฏิบัติตามข้อกําหนด 6(4) ผู้ประกอบธุรกิจควรดําเนินการดังต่อไปนี้(1) จัดให้มีขั้นตอนการจัดทํา การติดตาม และการควบคุมดูแลการจัดทํารายงานเพื่อให้มั่นใจได้ว่าสามารถจัดทํารายงานได้อย่างครบถ้วน ถูกต้อง และทันเวลา(2) กําหนดให้จัดทํารายงานที่มีเนื้อหาครอบคลุมถึงเรื่องดังต่อไปนี้ ตามรอบระยะเวลาที่เหมาะสม(ก) กิจกรรมที่เกี่ยวข้องกับการปฏิบัติงานด้านการบริหารความเสี่ยง หรือการจัดสรรและบริหารทรัพยากรด้าน IT เช่น สรุปผลการบริหารจัดการด้านความเสี่ยง / การจัดสรรทรัพยากร IT ในรอบปี เป็นต้น(ข) ความคืบหน้าของงานโครงการ (ถ้ามี)(ค) การปฏิบัติตามกฎระเบียบ ข้อบังคับ หรือข้อตกลงที่จัดทํากับบุคคลภายนอกและภายในบริษัทเช่น การจัดส่ง incident report ต่อสํานักงานเมื่อเกิดเหตุการณ์ที่ส่งผลกระทบต่อระบบ IT / การติดตามให้ผู้ให้บริการดําเนินการตามข้อตกลงที่กําหนดไว้ใน service level agreement(ง) ความมีประสิทธิภาพของการนําเทคโนโลยีสารสนเทศมาใช้ เช่น การติดตามระยะเวลาในการปฏิบัติงานที่ลดลงภายหลังการนําเทคโนโลยีมาปรับปรุงกระบวนการทํางาน และความสอดคล้องกับวัตถุประสงค์ของการนําเทคโนโลยีสารสนเทศมาใช้งาน(จ) ประเด็นปัญหาและอุปสรรค6. ผู้ประกอบธุรกิจควรกําหนดให้ผู้บริหารระดับสูงเป็นผู้รับผิดชอบในการปฏิบัติให้เป็นไปตามข้อกําหนด 6(4)**ข้อกําหนดในประกาศที่ สธ. 37/2559**===================================**แนวทางปฏิบัติเพิ่มเติมจากข้อกําหนด**=====================================7. ในการปฏิบัติให้เป็นไปตามข้อกําหนด 6(5) ผู้ประกอบธุรกิจควรจัดให้มีการติดตาม ประเมิน และปรับปรุงแก้ไขข้อบกพร่องของระบบควบคุมภายใน ดังต่อไปนี้(1) จัดให้มีการติดตาม ตรวจสอบ และประเมินประสิทธิภาพของขั้นตอนการปฏิบัติงานของหน่วยงานที่ทําหน้าที่บริหารและจัดการในเรื่องดังต่อไปนี้ โดยผู้ตรวจสอบที่เป็นอิสระจากหน่วยงานดังกล่าว(ก) การปฏิบัติงานให้เป็นไปตามนโยบายในข้อกําหนด 5(1) (2) และ (3)(ข) การรายงานการปฏิบัติงานในข้อกําหนด 6(4)(2) จัดให้มีการประเมินตนเองในด้านประสิทธิภาพของขั้นตอนการปฏิบัติงาน (control self-assessment : CSA)(3) จัดให้ผู้ตรวจสอบที่เป็นอิสระเป็นผู้ประมวลและรายงานผลที่ได้จากการดําเนินการตาม (1) และ (2)พร้อมทั้งรายงานข้อบกพร่องที่ตรวจพบและผลการปรับปรุงแก้ไขให้คณะกรรมการบริษัทหรือคณะกรรมการตรวจสอบและผู้บริหารระดับสูงทราบตามรอบการประเมินและตามรอบการติดตามการปรับปรุงแก้ไขข้อบกพร่อง หรือโดยไม่ชักช้าเมื่อพบข้อบกพร่องที่มีนัยสําคัญ**หมวดที่ 2 : การรักษาความมั่นคงปลอดภัยของระบบเทคโนโลยีสารสนเทศ (IT security)****1. แนวทางปฏิบัติเพิ่มเติมเกี่ยวกับนโยบายและมาตรการรักษาความมั่นคงปลอดภัยของระบบสารสนเทศ (information security policy)****ข้อกําหนดในประกาศที่ สธ. 37/2559**===================================**แนวทางปฏิบัติเพิ่มเติมจากข้อกําหนด**=====================================1. นโยบายและมาตรการรักษาความมั่นคงปลอดภัยของระบบสารสนเทศตามข้อกําหนดในหมวดที่ 1ข้อ 5(3) ควรมีเนื้อหาขั้นต่ําครอบคลุมในเรื่องดังต่อไปนี้1. การรักษาความปลอดภัยต่อทรัพย์สินสารสนเทศ- การควบคุมการเข้าถึงข้อมูลและระบบสารสนเทศ (access control) [อ้างอิงจากข้อ 5]- การสร้างความมั่นคงปลอดภัยด้านกายภาพและสภาพแวดล้อม (physical and environmental security) [อ้างอิงจากข้อ 7]1. การจัดการข้อมูลสารสนเทศและการรักษาความลับ- การจําแนกประเภททรัพย์สินสารสนเทศ (asset classification) เพื่อกําหนดมาตรการรักษาความมั่นคงปลอดภัย [อ้างอิงจากข้อ 4.2]- การสํารองข้อมูล (backup) [อ้างอิงจากข้อ 8.3]- การควบคุมการเข้ารหัสข้อมูล (cryptographic control) [อ้างอิงจากข้อ 6]1. การควบคุมดูแลบุคลากรผู้ปฏิบัติงาน- การควบคุมการใช้งานของผู้ใช้งาน (end user) เช่น- มาตรการป้องกันทรัพย์สินสารสนเทศประเภทอุปกรณ์ระหว่างที่ไม่มีผู้ใช้งาน (protection of unattended user equipment) [อ้างอิงจากข้อ 7.2 แนวทางปฏิบัติข้อ 6]- การใช้งานอุปกรณ์เคลื่อนที่และการปฏิบัติงานจากเครือข่ายภายนอกบริษัท (mobile deviceand teleworking) [อ้างอิงจากข้อ 2.2]- การควบคุมการติดตั้งซอฟต์แวร์บนระบบงาน (installation of software on operational systems) [อ้างอิงจากข้อ 8.5]- การควบคุมดูแลผู้รับดําเนินการด้านระบบสารสนเทศ (IT outsourcing) [อ้างอิงจากข้อ 11]1. การจัดการระบบเครือข่ายคอมพิวเตอร์และการรับส่งข้อมูลสารสนเทศ- การรักษาความมั่นคงปลอดภัยด้านการสื่อสารข้อมูลสารสนเทศผ่านระบบเครือข่ายคอมพิวเตอร์ (communications security) [อ้างอิงจากข้อ 9]- การควบคุมการรับส่งข้อมูลสารสนเทศ (information transfer) [อ้างอิงจากข้อ 9.2]1. การป้องกันภัยคุกคามต่อระบบสารสนเทศ- การป้องกันภัยคุกคามจากโปรแกรมไม่ประสงค์ดี (protection from malware) [อ้างอิงจากข้อ 8.2]- การบริหารจัดการช่องโหว่ทางเทคนิค (technical vulnerability management) [อ้างอิงจากข้อ 8.6]1. การจัดหา พัฒนา และดูแลรักษาระบบสารสนเทศ (system acquisition, development and maintenance) [อ้างอิงจากข้อ 10]**2. การจัดโครงสร้างความมั่นคงปลอดภัยของระบบสารสนเทศ (organization of information security)****2.1 การจัดโครงสร้างภายในองค์กร (internal organization)**| วัตถุประสงค์ เพื่อกําหนดมาตรการควบคุมการปฏิบัติหน้าที่ด้านการรักษาความมั่นคงปลอดภัยของระบบสารสนเทศสําหรับส่วนงานต่าง ๆ ภายในองค์กร ให้เป็นไปตามนโยบายด้านการรักษาความมั่นคงปลอดภัยของ ระบบสารสนเทศ |**ข้อกําหนดในประกาศที่ สธ. 37/2559**===================================**แนวทางปฏิบัติเพิ่มเติมจากข้อกําหนด**=====================================1. ผู้ประกอบธุรกิจควรกําหนดให้ผู้บริหารระดับสูงเป็นผู้รับผิดชอบในการปฏิบัติให้เป็นไปตามข้อกําหนด 10(1) และ (2)1. ในการปฏิบัติให้เป็นไปตามข้อกําหนด 10(2) ผู้ประกอบธุรกิจควรจัดให้มีการแบ่งแยกหน้าที่ในการปฏิบัติงานด้านต่าง ๆ ที่เกี่ยวกับความมั่นคงปลอดภัยของระบบสารสนเทศอย่างชัดเจน เพื่อให้มีการสอบทานการปฏิบัติงานระหว่างกันเพื่อป้องกันความเสี่ยงที่อาจเกิดขึ้น เช่น การแบ่งแยกบุคลากรที่ปฏิบัติหน้าที่ในส่วนการพัฒนาระบบงาน (developer) ออกจากบุคลากรที่ทําหน้าที่บริหารระบบ (system administrator)ซึ่งปฏิบัติงานอยู่ในส่วนระบบคอมพิวเตอร์ที่ใช้งานจริง (production environment) ทั้งนี้ ในกรณีที่ไม่สามารถแบ่งแยกหน้าที่ความรับผิดชอบเนื่องจากข้อจํากัดทางด้านขนาดของการประกอบธุรกิจ ผู้ประกอบธุรกิจควรจัดให้มีกระบวนการติดตาม และตรวจสอบการปฏิบัติงานของบุคลากรที่เกี่ยวข้องอย่างใกล้ชิดและสม่ําเสมอเพื่อลดความเสี่ยงที่อาจเกิดขึ้น**2.2 การปฏิบัติงานที่มีการใช้อุปกรณ์เคลื่อนที่ (mobile device) เพื่อเข้าถึงระบบสารสนเทศภายในองค์กรและการปฏิบัติงานจากเครือข่ายภายนอกบริษัท (teleworking)**| วัตถุประสงค์ เพื่อกําหนดมาตรการรักษาความมั่นคงปลอดภัยสําหรับการปฏิบัติงานจากเครือข่ายภายนอกบริษัท รวมทั้งการใช้งานอุปกรณ์เคลื่อนที่เพื่อเข้าถึงระบบงานภายในองค์กร |**ข้อกําหนดในประกาศที่ สธ. 37/2559**===================================**แนวทางปฏิบัติเพิ่มเติมจากข้อกําหนด**=====================================1. ในการปฏิบัติงานที่มีการใช้อุปกรณ์เคลื่อนที่เพื่อเข้าถึงระบบงานภายในองค์กร (ไม่รวมถึงระบบ mail service) ผู้ประกอบธุรกิจควรจัดให้มีมาตรการป้องกันข้อมูลสารสนเทศที่สําคัญตามข้อกําหนด 9(1)โดยพิจารณาถึงแนวทางดังต่อไปนี้2. กําหนดให้มีการลงทะเบียนอุปกรณ์เคลื่อนที่ เช่น ยี่ห้อ รุ่น ระบบปฏิบัติการ รหัสประจําเครื่อง (serial number) และหมายเลขอ้างอิงอุปกรณ์เครือข่าย (MAC address) เป็นต้น ก่อนการใช้งานรวมถึงจัดให้มีการทบทวนทะเบียนดังกล่าวอย่างน้อยปีละ 1 ครั้งและเมื่อมีการเปลี่ยนอุปกรณ์พร้อมทั้งยกเลิกสิทธิการใช้งานของอุปกรณ์เดิม เพื่อให้มั่นใจได้ว่าการใช้งานอุปกรณ์ดังกล่าวมีความสอดคล้องเป็นไปตามนโยบายด้านการรักษาความมั่นคงปลอดภัยของระบบสารสนเทศทั้งนี้ ผู้ประกอบธุรกิจอาจใช้ระบบเทคโนโลยีการลงทะเบียนอื่นทดแทนได้ หากพิจารณาแล้วเห็นว่าเหมาะสม3. มีมาตรการป้องกันข้อมูลที่เป็นความลับหรือมีความสําคัญ (sensitive data) กรณีที่อุปกรณ์เคลื่อนที่สูญหาย เช่น การกําหนดให้ใส่รหัสผ่านก่อนใช้งานอุปกรณ์ (lock screen) หรือการลบข้อมูลจากระยะไกล (remote wipe-out) เป็นต้น4. กําหนดประเภทบริการการใช้งาน (application service) ที่อนุญาตให้ใช้งานผ่านอุปกรณ์เคลื่อนที่และกําหนดมาตรการควบคุมการเข้าถึงบริการการใช้งานดังกล่าวโดยคํานึงถึงความปลอดภัยของการเชื่อมต่อกับเครือข่าย เช่น จํากัดให้เข้าถึงบริการการใช้งานบางประเภทหากเป็นการเชื่อมต่อกับเครือข่ายภายนอก เป็นต้น5. จัดให้มีการเข้ารหัสข้อมูลสารสนเทศที่สําคัญทั้งที่จัดเก็บในอุปกรณ์เคลื่อนที่และที่รับส่งผ่านระบบเครือข่ายคอมพิวเตอร์6. จัดให้มีการสื่อสารให้ผู้ใช้งานพร้อมทั้งลงนามรับทราบ เพื่อสร้างความตระหนักและทราบถึงความเสี่ยงจากการใช้งาน และแนวทางการควบคุมความเสี่ยงดังกล่าว7. ควบคุมให้มีการติดตั้งเฉพาะซอฟต์แวร์ที่ถูกต้องตามลิขสิทธิ์ และโปรแกรมเพื่อปิดช่องโหว่ (patches) ที่เหมาะสม และกําหนดมาตรการป้องกันโปรแกรมไม่ประสงค์ดี (malware)ทั้งนี้ เพื่อป้องกันการบุกรุกหรือก่อให้เกิดความเสียหายต่อข้อมูลที่เป็นความลับและมีความสําคัญที่จัดเก็บในอุปกรณ์เคลื่อนที่1. จัดให้มีการดําเนินการเพื่อลดผลกระทบเมื่อเกิดเหตุการณ์ที่ส่งผลกระทบต่อความมั่นคงปลอดภัยของข้อมูลสารสนเทศ เช่น ตัดการเชื่อมต่อโดยทันทีที่ทราบเหตุ เป็นต้นทั้งนี้ หากอุปกรณ์เคลื่อนที่เป็นทรัพย์สินของพนักงาน ผู้ประกอบธุรกิจควรพิจารณาแนวทางในข้อ (1) - (5) เป็นขั้นต่ํา พร้อมทั้งจัดให้มีมาตรการควบคุมที่เทียบเคียงหรือทดแทนแนวทางในข้อ (6) - (7) ได้ เช่น กําหนดให้มีการตรวจสอบอุปกรณ์เคลื่อนที่อย่างสม่ําเสมอ กําหนดบทลงโทษหรือตัดสิทธิการใช้งาน application service ในกรณีที่พนักงานละเมิดข้อกําหนด เป็นต้น1. ในกรณีที่มีการปฏิบัติงานจากเครือข่ายภายนอกบริษัท (teleworking) ผู้ประกอบธุรกิจควรกําหนดมาตรการรักษาความมั่นคงปลอดภัยที่รัดกุมเพียงพอสําหรับข้อมูลสารสนเทศที่ถูกเข้าถึง ประมวลผลและจัดเก็บในพื้นที่ปฏิบัติงาน ตามข้อกําหนด 9(1) โดยพิจารณาถึง2. การกําหนดมาตรการรักษาความมั่นคงปลอดภัยด้านกายภาพที่เหมาะสม รัดกุมเพียงพอ กับขอบเขตการปฏิบัติงาน สําหรับพื้นที่ปฏิบัติงานนอกองค์กร3. การควบคุมสิทธิการใช้งานและการเข้าถึงข้อมูลสารสนเทศของผู้ใช้งานอย่างเหมาะสม4. การรักษาความมั่นคงปลอดภัยของระบบงานภายในองค์กรที่สําคัญและระบบเครือข่ายคอมพิวเตอร์กรณีมีการเชื่อมต่อหรือรับส่งข้อมูลที่เป็นความลับหรือมีความสําคัญจากระยะไกล (remote access) เช่น การติดตั้ง firewall การ update โปรแกรมป้องกัน malware การกําหนดสิทธิการเข้าถึงและการเข้ารหัสข้อมูล (data encryption) หรือเข้ารหัสระบบเครือข่าย (network encryption) เป็นต้น5. การป้องกันการรั่วไหลของข้อมูลสารสนเทศในกรณีใช้เทคโนโลยี virtual desktop6. การป้องกันการเข้าถึงข้อมูลสารสนเทศจากบุคคลที่ไม่มีสิทธิในการใช้งาน เช่น ญาติพี่น้องและเพื่อน เป็นต้น7. การตรวจสอบสิทธิการเข้าถึงของพนักงานที่ได้รับอนุญาตให้ปฏิบัติงานจากภายนอกบริษัท8. การป้องกันโปรแกรมไม่ประสงค์ดี**ข้อกําหนดในประกาศที่ สธ. 37/2559**===================================**แนวทางปฏิบัติเพิ่มเติมจากข้อกําหนด**=====================================3. ในกรณีที่ใช้บริการ cloud computing กับระบบสารสนเทศที่มีความสําคัญ ผู้ประกอบธุรกิจควรจัดให้มีข้อกําหนดเกี่ยวกับการใช้งาน โดยขั้นต่ําควรมีรายละเอียด ดังนี้3.1 กําหนดนโยบายการใช้งาน cloud computing ตามข้อกําหนด 8(1) โดยอย่างน้อยมีเนื้อหา ดังนี้1. ประเมินความเสี่ยงเกี่ยวกับการใช้บริการ2. กําหนดประเภทงานที่จะใช้บริการ3. กําหนดรูปแบบของการใช้บริการ เช่น software as a service (saas), platform as a service (paas) และ infrastructure as a service (iaas)4. กําหนดวิธีการคัดเลือกและประเมินผู้ให้บริการ (due diligence) โดยควรให้ความสําคัญในเรื่องการรักษาความปลอดภัยของข้อมูลสารสนเทศที่สําคัญ (confidentiality) ความถูกต้องเชื่อถือได้ของข้อมูลและระบบสารสนเทศ (integrity) และความพร้อมใช้งานของระบบสารสนเทศที่ใช้บริการ (availability)5. กําหนดการทบทวนคุณสมบัติของผู้ให้บริการอย่างสม่ําเสมอ เช่น ฐานะทางการเงิน ความเพียงพอของการให้บริการ (capacity planning) เพื่อให้มั่นใจว่าผู้ให้บริการยังคงมีความพร้อมในการให้บริการที่เพียงพอต่อความต้องการของผู้ประกอบธุรกิจอย่างต่อเนื่อง6. จัดให้มีการเผยแพร่นโยบายเกี่ยวกับการใช้บริการ และสื่อสารให้พนักงานที่เกี่ยวข้องพร้อมทั้งลงนามรับทราบ เพื่อให้ตระหนักถึงความมั่นคงปลอดภัยจากการใช้บริการ cloud computing7. กําหนดบทบาทหน้าที่ความรับผิดชอบของผู้ให้บริการอย่างชัดเจน เช่น การสํารองข้อมูลการรับเรื่องแก้ไขปัญหา ขั้นตอนและกระบวนการแก้ไขปัญหา รายชื่อและช่องทางสําหรับติดต่อ เป็นต้น1. กําหนดความปลอดภัยของข้อมูลแต่ละประเภทที่จะใช้ใน cloud โดยแบ่งชั้นความลับของข้อมูล และกําหนดวิธีปฏิบัติแต่ละระดับชั้นความลับของข้อมูล2. กําหนดมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสมตามการใช้งานแต่ละประเภท เพื่อป้องกันภัยคุกคามและการเข้าถึงข้อมูลสารสนเทศโดยไม่ได้รับอนุญาต3. กําหนดใช้วิธีพิสูจน์ตัวตนแบบ multi-factor authentication[1](