เมื่อวันที่ 10 กันยายน 2569 ประกาศคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ เรื่อง มาตรฐานด้านการรักษาความมั่นคงปลอดภัยไซเบอร์ระบบคลาวด์ พ.ศ. 2567 ได้มีผลใช้บังคับอย่างเป็นทางการ ประกาศฉบับนี้เผยแพร่ในราชกิจจานุเบกษาเมื่อวันที่ 10 กันยายน 2567 และกำหนดให้ใช้บังคับเมื่อพ้นกำหนดสองปีนับแต่วันประกาศ องค์กรที่อยู่ในขอบเขตจึงมีเวลาเตรียมความพร้อมมาแล้วสองปี และนับจากนี้คือช่วงของการปฏิบัติตามจริง
สำหรับองค์กรโครงสร้างพื้นฐานสำคัญทางสารสนเทศ การใช้คลาวด์สาธารณะไม่ใช่เพียงการตัดสินใจด้านเทคโนโลยีหรือต้นทุนอีกต่อไป แต่เป็นเรื่องของการปฏิบัติตามมาตรฐานระดับชาติ
ใครต้องปฏิบัติตาม
มาตรฐานนี้ใช้บังคับกับหน่วยงานของรัฐ หน่วยงานควบคุมหรือกำกับดูแล และหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ (Critical Information Infrastructure: CII) ตามพระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 ที่ใช้บริการคลาวด์สาธารณะ ตัวอย่างเช่น ธนาคารและสถาบันการเงิน บริษัทประกันภัย ผู้ให้บริการไฟฟ้าและพลังงาน การประปา หน่วยงานภาครัฐ ระบบขนส่ง และโรงพยาบาล
นอกจากนี้ยังครอบคลุมถึงผู้ให้บริการคลาวด์สาธารณะ (Cloud Service Provider: CSP) ที่ให้บริการแก่หน่วยงานเหล่านี้ โดยอาศัยหลักความร่วมรับผิดชอบ (Shared Responsibility) ระหว่างผู้ใช้บริการคลาวด์ (Cloud Service Customer: CSC) และผู้ให้บริการคลาวด์
หัวใจสำคัญ: จัดระดับข้อมูลก่อน แล้วระดับการรับรองจะตามมา
ประกาศกำหนดให้หน่วยงานที่ใช้คลาวด์สาธารณะต้องดำเนินการโดยคำนึงถึงระดับผลกระทบของข้อมูลหรือระบบสารสนเทศ ตามประกาศเรื่องมาตรฐานการกำหนดคุณลักษณะความมั่นคงปลอดภัยไซเบอร์ให้แก่ข้อมูลหรือระบบสารสนเทศ ข้อกำหนดขั้นต่ำ (Cybersecurity Baseline) แบ่งเป็น 3 ระดับ คือ ระดับต่ำ ระดับกลาง และระดับสูง กรณีเป็นข้อมูลส่วนบุคคล ต้องจัดระดับผลกระทบด้านการรักษาความลับไม่ต่ำกว่าระดับกลาง
ระดับผลกระทบที่จัดไว้จะเป็นตัวกำหนดรูปแบบการตรวจรับรองของผู้ใช้บริการคลาวด์
- ระดับต่ำ: ประเมินตนเอง (Self-assessment) พร้อมแนบหลักฐาน เสนอผู้บริหารสูงสุดของหน่วยงานอนุมัติ ส่งให้สำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (สกมช.) และทบทวนอย่างน้อยปีละ 1 ครั้ง
- ระดับกลาง: ได้รับการรับรองโดยหน่วยงานควบคุมหรือกำกับดูแล (Attestation) หรือโดยหน่วยงานให้บริการตรวจรับรอง (Certification Body) ตามวงรอบ 3 ปี
- ระดับสูง: ได้รับการรับรองโดยหน่วยงานให้บริการตรวจรับรอง (Certification Body) ตามวงรอบ 3 ปี ซึ่งประกอบด้วยการตรวจรับรองในปีที่ 1 และการตรวจติดตามในปีที่ 2 และ 3
ในฝั่งผู้ให้บริการคลาวด์ ระดับข้อมูลยังกำหนดใบรับรองขั้นต่ำที่ผู้ให้บริการต้องมี
- ระดับต่ำ: ISO/IEC 27001 และ CSA STAR Level 1/CCM Lite เป็นอย่างน้อย
- ระดับกลาง: CSA STAR Level 2/CCM และ ISO/IEC 27701 เป็นอย่างน้อย
- ระดับสูง: ISO/IEC 27017 หรือ CSA STAR Level 2/CCM ร่วมกับ ISO/IEC 27018 และ ISO/IEC 27701 เป็นอย่างน้อย
ดังนั้น การจัดระดับข้อมูลให้ถูกต้องตั้งแต่ต้นจึงเป็นสิ่งที่สำคัญที่สุด เพราะจะเป็นตัวกำหนดทั้งมาตรการที่องค์กรต้องทำ และผู้ให้บริการคลาวด์ที่องค์กรเลือกใช้ได้
ขอบเขตของข้อกำหนด
มาตรฐานแบ่งข้อกำหนดออกเป็น 2 ส่วน
- 01การกำกับดูแลด้านความมั่นคงปลอดภัยระบบคลาวด์ (Cloud Security Governance): นโยบายความมั่นคงปลอดภัยสารสนเทศ โครงสร้างองค์กรด้านความมั่นคงปลอดภัย และการปฏิบัติตามกฎระเบียบ
- 02การปฏิบัติการและการรักษาความมั่นคงปลอดภัยโครงสร้างพื้นฐานระบบคลาวด์ (Cloud Infrastructure Security and Operation): ทรัพยากรบุคคล การจัดการทรัพย์สิน การควบคุมการเข้าถึง การเข้ารหัส ความปลอดภัยทางกายภาพ การปฏิบัติการ ความปลอดภัยเครือข่าย การจัดหาและพัฒนาระบบ การจัดการผู้ให้บริการภายนอก และการจัดการเหตุภัยคุกคาม
เมื่อดำเนินการแล้วเสร็จ หน่วยงานต้องจัดส่งผลสรุปรายงานการดำเนินการต่อ สกมช. ภายใน 30 วัน
หากไม่ปฏิบัติตาม
ประกาศฉบับนี้ออกตามอำนาจของพระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 และมีผลใช้บังคับกับหน่วยงานในขอบเขต การไม่ปฏิบัติตามจึงเป็นการไม่ปฏิบัติตามมาตรฐานที่กฎหมายกำหนด ตัวประกาศเองไม่ได้ระบุบทลงโทษไว้ ผลทางกฎหมายจึงเป็นไปตามพระราชบัญญัติฯ องค์กรควรปรึกษาที่ปรึกษากฎหมายเพื่อประเมินความเสี่ยงของตนเอง
InfraLab ช่วยได้อย่างไร
InfraLab เข้าใจข้อกำหนดของมาตรฐานฉบับนี้ และพร้อมออกแบบระบบคลาวด์และไฮบริดคลาวด์ให้สอดคล้องตั้งแต่ต้น
- ประเมินและจัดระดับผลกระทบของข้อมูลและระบบสารสนเทศ
- วิเคราะห์ช่องว่าง (Gap Assessment) เทียบกับข้อกำหนดขั้นต่ำตามระดับที่จัดไว้
- ออกแบบสถาปัตยกรรมคลาวด์ การควบคุมการเข้าถึง การเข้ารหัส และการเฝ้าระวัง ให้ตรงตามข้อกำหนด
- ช่วยคัดเลือกผู้ให้บริการคลาวด์ที่มีใบรับรองตรงตามระดับข้อมูล
- เตรียมหลักฐานสำหรับการประเมินตนเองหรือการตรวจรับรอง
ดาวน์โหลดประกาศฉบับเต็มได้จากแบบฟอร์มด้านข้าง หรือติดต่อทีมงานของเราเพื่อหารือแนวทางสำหรับองค์กรของคุณ