ประกาศสํานักงานคณะกรรมการกํากับหลักทรัพย์และตลาดหลักทรัพย์ที่ สธ. 38/2565 เรื่อง ข้อกําหนดในรายละเอียดเกี่ยวกับการจัดให้มี ระบบเทคโนโลยีสารสนเทศ\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_ อาศัยอํานาจตามความในข้อ 3(1) แห่งประกาศคณะกรรมการกํากับหลักทรัพย์และ ตลาดหลักทรัพย์ ที่ กจ. 16/2561 เรื่อง หลักเกณฑ์ เงื่อนไขและวิธีการให้ความเห็นชอบผู้ให้บริการ ระบบเสนอขายโทเคนดิจิทัล ลงวันที่ 3 กรกฎาคม พ.ศ. 2561 ประกอบกับข้อ 6(7) (ง) (ฉ) และ (ช) แห่งประกาศคณะกรรมการกํากับหลักทรัพย์และตลาดหลักทรัพย์ ที่ กจ. 16/2561 เรื่อง หลักเกณฑ์ เงื่อนไขและวิธีการให้ความเห็นชอบผู้ให้บริการระบบเสนอขายโทเคนดิจิทัล ลงวันที่ 3 กรกฎาคม พ.ศ. 2561 ซึ่งแก้ไขเพิ่มเติมโดยประกาศคณะกรรมการกํากับหลักทรัพย์และตลาดหลักทรัพย์ ที่ กจ. 7/2563 เรื่อง หลักเกณฑ์ เงื่อนไขและวิธีการให้ความเห็นชอบผู้ให้บริการระบบเสนอขายโทเคนดิจิทัล (ฉบับที่ 4) ลงวันที่ 24 มีนาคม พ.ศ. 2563 ข้อ 3(1) ประกอบกับข้อ 9(4) และ (8) ข้อ 11 ข้อ 17 ข้อ 18 และข้อ 19 แห่งประกาศคณะกรรมการกํากับหลักทรัพย์และตลาดหลักทรัพย์ ที่ กธ. 19/2561 เรื่อง หลักเกณฑ์ เงื่อนไข และวิธีการประกอบธุรกิจสินทรัพย์ดิจิทัล ลงวันที่ 3 กรกฎาคม พ.ศ. 2561 ข้อ 5(1) ประกอบกับข้อ 12 วรรคหนึ่ง (6) (11) และ (12) และข้อ 14 แห่งประกาศคณะกรรมการกํากับตลาดทุน ที่ ทธ. 35/2556 เรื่อง มาตรฐานการประกอบธุรกิจ โครงสร้างการบริหารงาน ระบบงาน และการให้บริการของผู้ประกอบธุรกิจหลักทรัพย์และผู้ประกอบธุรกิจสัญญาซื้อขายล่วงหน้า ลงวันที่ 6 กันยายน พ.ศ. 2556 ข้อ 4(1) ประกอบกับ ข้อ 26 และข้อ 32 แห่งประกาศคณะกรรมการกํากับตลาดทุน ที่ ทธ. 30/2559 เรื่อง หลักเกณฑ์ในการประกอบการเป็นศูนย์ซื้อขายสัญญาซื้อขายล่วงหน้า ลงวันที่ 3 สิงหาคม พ.ศ. 2559 ข้อ 5(1) ประกอบกับ ข้อ 21 ข้อ 27 วรรคหนึ่ง ข้อ 37 และข้อ 43 แห่งประกาศคณะกรรมการกํากับตลาดทุน ที่ ทธ. 31/2559 เรื่อง หลักเกณฑ์ในการประกอบการเป็นสํานักหักบัญชีสัญญาซื้อขายล่วงหน้า ลงวันที่ 3 สิงหาคม พ.ศ. 2559 ข้อ 5(1) ประกอบกับข้อ 11 ข้อ 17 วรรคหนึ่ง และข้อ 33 แห่งประกาศคณะกรรมการกํากับตลาดทุน ที่ ทธ. 32/2559 เรื่อง หลักเกณฑ์ เงื่อนไข และวิธีการในการประกอบการเป็นสํานักหักบัญชีหลักทรัพย์และ ศูนย์รับฝากหลักทรัพย์ ลงวันที่ 3 สิงหาคม พ.ศ. 2559 และข้อ 5(1) ประกอบกับข้อ 31(1) และ (4) วรรคหนึ่ง (ง) แห่งประกาศคณะกรรมการกํากับตลาดทุน ที่ ทจ. 21/2562 เรื่อง ข้อกําหนดเกี่ยวกับการเสนอขายหลักทรัพย์ผ่านระบบคราวด์ฟันดิง ลงวันที่ 12 เมษายน พ.ศ. 2562 และข้อ 31(4/1) แห่งประกาศคณะกรรมการ กํากับตลาดทุน ที่ ทจ. 21/2562 เรื่อง ข้อกําหนดเกี่ยวกับการเสนอขายหลักทรัพย์ผ่านระบบคราวด์ฟันดิง ลงวันที่ 12 เมษายน พ.ศ. 2562 ซึ่งแก้ไขเพิ่มเติมโดยประกาศคณะกรรมการกํากับตลาดทุน ที่ ทจ. 14/2563 เรื่อง ข้อกําหนดเกี่ยวกับการเสนอขายหลักทรัพย์ผ่านระบบคราวด์ฟันดิง (ฉบับที่ 2) ลงวันที่ 28 กุมภาพันธ์ พ.ศ. 2563 สํานักงานออกประกาศไว้ดังต่อไปนี้ข้อ 1 ให้ยกเลิกประกาศสํานักงานคณะกรรมการกํากับหลักทรัพย์และตลาดหลักทรัพย์ ที่ สธ. 37/2559 เรื่อง ข้อกําหนดในรายละเอียดเกี่ยวกับการจัดให้มีระบบเทคโนโลยีสารสนเทศ ลงวันที่ 12 กันยายน พ.ศ. 2559 ข้อ 2 ในประกาศนี้ "ผู้ประกอบธุรกิจ" หมายความว่า (1) ผู้ที่ได้รับใบอนุญาตประกอบธุรกิจหลักทรัพย์หรือธุรกิจสัญญาซื้อขายล่วงหน้า ประเภทดังต่อไปนี้ (ก) การเป็นนายหน้าซื้อขายหลักทรัพย์ (ข) การค้าหลักทรัพย์ (ค) การจัดจําหน่ายหลักทรัพย์ (ง) การเป็นที่ปรึกษาการลงทุนที่มีการวางแผนการลงทุนให้แก่ลูกค้า หรือใช้โปรแกรมสําเร็จรูปประกอบการให้บริการแก่ลูกค้า (จ) การจัดการกองทุนรวม แต่ไม่รวมถึงการจัดการกองทุนรวมเพื่อผู้ลงทุนซึ่งเป็นคนต่างด้าว (ฉ) การจัดการกองทุนส่วนบุคคล (ช) กิจการการยืมและให้ยืมหลักทรัพย์ (ซ) การให้สินเชื่อเพื่อธุรกิจหลักทรัพย์ (ฌ) การเป็นตัวแทนซื้อขายสัญญาซื้อขายล่วงหน้า (ญ) การเป็นที่ปรึกษาสัญญาซื้อขายล่วงหน้าที่มีการวางแผนการลงทุนให้แก่ลูกค้า หรือใช้โปรแกรมสําเร็จรูปประกอบการให้บริการแก่ลูกค้า (ฎ) การเป็นผู้จัดการเงินทุนสัญญาซื้อขายล่วงหน้า (2) ผู้ประกอบธุรกิจสินทรัพย์ดิจิทัล (3) สํานักหักบัญชีหลักทรัพย์ (4) ศูนย์รับฝากหลักทรัพย์ (5) ศูนย์ซื้อขายสัญญาซื้อขายล่วงหน้า (6) สํานักหักบัญชีสัญญาซื้อขายล่วงหน้า (7) ผู้ให้บริการระบบเสนอขายโทเคนดิจิทัล (8) ผู้ให้บริการระบบคราวด์ฟันดิง "เทคโนโลยีสารสนเทศ" (information technology : IT) หมายความว่า เทคโนโลยีสารสนเทศที่นํามาใช้ในการดําเนินธุรกิจ ซึ่งครอบคลุมถึงข้อมูลหรือสารสนเทศ (data/information) ระบบปฏิบัติการ (operating system) ระบบงาน (application system) ระบบฐานข้อมูล (database system) ฮาร์ดแวร์ (hardware) และระบบเครือข่ายสื่อสาร (communication system) เป็นต้น "ความเสี่ยงด้านเทคโนโลยีสารสนเทศ" (information technology risk) หมายความว่า ความเสี่ยงที่อาจเกิดขึ้นจากการใช้เทคโนโลยีสารสนเทศ โดยรวมถึงความเสี่ยงที่เกิดจากภัยคุกคามทาง ไซเบอร์ ซึ่งส่งผลอย่างหนึ่งอย่างใดดังต่อไปนี้ (1) ผลกระทบต่อระบบงานหรือการปฏิบัติงานของผู้ประกอบธุรกิจ (2) ผลกระทบต่อความมั่นคงปลอดภัยด้านเทคโนโลยีสารสนเทศและความเสี่ยงของข้อมูล (3) ผลกระทบต่อความเชื่อมั่นของตลาดทุน "ความมั่นคงปลอดภัยด้านเทคโนโลยีสารสนเทศ" (information technology security) หมายความว่า การธํารงไว้ซึ่งความลับ (confidentiality) ความถูกต้องครบถ้วน (integrity) สภาพพร้อมใช้งาน (availability) ของสารสนเทศ รวมทั้งคุณสมบัติอื่น ได้แก่ ความถูกต้องแท้จริง (authenticity) ความรับผิด (accountability) การห้ามปฏิเสธความรับผิด (non-repudiation) และความน่าเชื่อถือ (reliability) ข้อ 3 เพื่อประโยชน์ในการปฏิบัติตามหลักเกณฑ์ที่กําหนดในประกาศนี้ ให้ใช้คําศัพท์ ตามภาคผนวก 1 คําศัพท์ แนบท้ายประกาศนี้ ประกอบการพิจารณาการปฏิบัติตามหลักเกณฑ์ดังกล่าวด้วย ข้อ 4 เพื่อประโยชน์ในการปฏิบัติตามหลักเกณฑ์ที่กําหนดในประกาศนี้ ให้ผู้ประกอบธุรกิจประเมินระดับความเสี่ยงเกี่ยวกับระบบเทคโนโลยีสารสนเทศซึ่งส่งผลต่อการดําเนินธุรกิจของผู้ประกอบธุรกิจ ตามแบบ RLA (Risk Level Assessment) และจัดส่งผลการประเมินดังกล่าวต่อสํานักงาน ภายใน ไตรมาสที่ 4 ของทุกปี ทั้งนี้ ตามแบบและวิธีการที่กําหนดไว้บนเว็บไซต์ของสํานักงาน ผลการประเมินระดับความเสี่ยงตามวรรคหนึ่ง ต้องผ่านการพิจารณาจากคณะกรรมการ หรือผู้ที่ได้รับมอบหมายจากคณะกรรมการของผู้ประกอบธุรกิจให้รับผิดชอบในเรื่องดังกล่าว ข้อ 5 เว้นแต่จะมีการกําหนดไว้แล้วเป็นการเฉพาะในประกาศอื่น ในการดําเนินการ ด้านเทคโนโลยีสารสนเทศ ให้ผู้ประกอบธุรกิจดําเนินการดังต่อไปนี้ (1) กํากับดูแลและบริหารจัดการด้านเทคโนโลยีสารสนเทศ โดยให้ดําเนินการตามรายละเอียดในภาคผนวก 2 การกํากับดูแลและบริหารจัดการด้านเทคโนโลยีสารสนเทศ (Information Technology Governance) (2) รักษาความมั่นคงปลอดภัยด้านเทคโนโลยีสารสนเทศ โดยให้ดําเนินการตามรายละเอียดในภาคผนวก 3 การรักษาความมั่นคงปลอดภัยด้านเทคโนโลยีสารสนเทศ (Information Technology Security) (3) ตรวจสอบด้านเทคโนโลยีสารสนเทศ โดยให้ดําเนินการตามรายละเอียด ในภาคผนวก 4 การตรวจสอบด้านเทคโนโลยีสารสนเทศ (Information Technology Audit) คําว่า "ประกาศอื่น" ตามวรรคหนึ่ง หมายความว่า ประกาศคณะกรรมการ กํากับหลักทรัพย์และตลาดหลักทรัพย์ ประกาศคณะกรรมการกํากับตลาดทุน หรือประกาศสํานักงานคณะกรรมการกํากับหลักทรัพย์และตลาดหลักทรัพย์ ซึ่งออกโดยอาศัยอํานาจตามกฎหมายว่าด้วยหลักทรัพย์และตลาดหลักทรัพย์ กฎหมายว่าด้วยสัญญาซื้อขายล่วงหน้า หรือกฎหมายว่าด้วย การประกอบธุรกิจสินทรัพย์ดิจิทัล ข้อ 6 ในการประเมินระดับความเสี่ยงเกี่ยวกับระบบเทคโนโลยีสารสนเทศตามที่กําหนดในข้อ 4 สําหรับปี พ.ศ. 2566 ให้ผู้ประกอบธุรกิจดําเนินการดังต่อไปนี้ (1) ประเมินและจัดส่งผลการประเมินครั้งที่ 1 ต่อสํานักงาน ภายในวันที่ 31 กรกฎาคม พ.ศ. 2566 (2) ประเมินและจัดส่งผลการประเมินครั้งที่ 2 ต่อสํานักงาน ภายในวันที่ 31 ธันวาคม พ.ศ. 2566 ข้อ 7 ประกาศนี้ให้ใช้บังคับตั้งแต่วันที่ 1 กรกฎาคม พ.ศ. 2566 เป็นต้นไป ประกาศ ณ วันที่ 28 กันยายน พ.ศ. 2565 (นางสาวรื่นวดี สุวรรณมงคล) เลขาธิการ สํานักงานคณะกรรมการกํากับหลักทรัพย์และตลาดหลักทรัพย์