ประกาศใช้แล้ว “มาตรฐานความปลอดภัยเว็บไซต์” ฉบับแรกของไทย
วันที่โพส 17 ก.ย. 2568
ผู้ชม 1029
แชร์ข่าวนี้ :
มาตรฐานความปลอดภัยทางไซเบอร์ภาครัฐ
มาตรฐานการรักษาความมั่นคงปลอดภัยสำหรับเว็บไซต์
แนวทางปฏิบัติและข้อกำหนดขั้นต่ำสำหรับหน่วยงานภาครัฐและโครงสร้างพื้นฐานสำคัญของประเทศ
ประกาศโดย: คณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (กมช.)สถานะ: มีผลบังคับใช้
ทำไมต้องมีมาตรฐานนี้
ปัจจุบัน เว็บไซต์ภาครัฐตกเป็นเป้าหมายการโจมตีทางไซเบอร์อย่างต่อเนื่อง ไม่ว่าจะเป็นการเจาะระบบ การแก้ไขหน้าเว็บเพื่อบิดเบือนข้อมูล (Defacement) การสร้างเว็บปลอมเพื่อหลอกประชาชน (Phishing) หรือการใช้เป็นช่องทางหลักในการแพร่กระจายมัลแวร์
"การมีมาตรฐานกลางจึงเป็นกลไกสำคัญในการกำหนดเกณฑ์ขั้นต่ำที่ทุกหน่วยงานต้องปฏิบัติตาม เพื่อยกระดับความปลอดภัยของระบบสารสนเทศและสร้างความมั่นใจให้กับประชาชน"
— สำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (สกมช. – NCSA)มาตรฐานนี้ถูกจัดทำและประกาศโดย คณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (กมช.) ซึ่งปฏิบัติหน้าที่ภายใต้ สกมช. ซึ่งเป็นองค์กรที่มีบทบาทสำคัญตาม พระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 ในการกำหนดมาตรการ มาตรฐาน และติดตามการบังคับใช้ในหน่วยงานที่เกี่ยวข้อง โดยเฉพาะหน่วยงานภาครัฐและโครงสร้างพื้นฐานสำคัญของประเทศ
ขอบเขต สิทธิ์-หน้าที่ & ระยะเวลาปรับตัว
หน้าที่ของหน่วยงานภาครัฐ
มีหน้าที่ต้องปรับเว็บไซต์ของตนให้สอดคล้องกับมาตรฐาน โดยเฉพาะอย่างยิ่งในข้อกำหนดเกี่ยวกับความมั่นคงปลอดภัย การสำรองข้อมูล การจัดการช่องโหว่ และการแสดงนโยบายที่ชัดเจนต่อผู้ใช้
ความเสี่ยงบริษัทเอกชน
มีความเสี่ยงสูงหากไม่ทำตาม เช่น อาจถูกฟ้องร้อง เสียชื่อเสียง หรือถูกลงโทษตามกฎหมายที่เกี่ยวข้อง เช่น กฎหมาย PDPA ที่มีบทลงโทษในกรณีละเมิดข้อมูลส่วนบุคคล
แผนการเตรียมตัวล่วงหน้าสำหรับหน่วยงาน: ควรสำรวจเว็บไซต์ทั้งหมดที่อยู่ในความดูแล, วิเคราะห์และประเมินช่องโหว่ความมั่นคงปลอดภัย, ตลอดจนจัดสรรทรัพยากรด้านบุคลากร เทคนิค และงบประมาณเพื่อการปรับปรุงระบบ
ความสัมพันธ์กับกฎหมายอื่น & มาตรฐานที่มีอยู่แล้ว
| กฎหมาย / มาตรฐาน | ความเชื่อมโยงและจุดประสงค์ |
|---|---|
| กฎหมาย PDPA | คุ้มครองข้อมูลส่วนบุคคล การแจ้งเตือนเมื่อเกิดเหตุข้อมูลรั่วไหล และรักษาสิทธิ์ของเจ้าของข้อมูล ซึ่งต้องสอดคล้องกับมาตรฐานความปลอดภัยของเว็บไซต์ |
| กฎหมายอาชญากรรมคอมพิวเตอร์ | พ.ร.บ. ว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ และกฎหมายไซเบอร์อื่นๆ ที่มีผลบังคับใช้อยู่แล้วในปัจจุบัน |
| มาตรฐานเว็บไซต์ภาครัฐ เดิม (v2.0) | มาตรฐานเดิมที่มีส่วนของความปลอดภัยอยู่แล้ว จะต้องได้รับการปรับปรุงยกระดับข้อกำหนดให้เข้ากับมาตรฐานใหม่ฉบับนี้ |
| มาตรฐานคลาวด์ (Cloud Security) 2567 | ควบคุมดูแลการใช้บริการ Cloud ของภาครัฐ / CII เช่น ผู้ให้บริการ CSP และ CSC ซึ่งต้องสอดคล้องประสานกันกับมาตรฐานเว็บไซต์ |
ผลกระทบ & โอกาสที่มาพร้อมกัน
ผลกระทบหากไม่ปรับตัว
เสี่ยงต่อการถูกตรวจสอบและลงโทษตามกฎหมาย รวมถึงเสียสิทธิ์การประกวดราคากับหน่วยงานรัฐ นอกจากนี้ยังต้องลงทุนด้านงบประมาณสำหรับระบบสำรอง เครื่องมือทดสอบ และจ้างบุคลากรที่มีความเชี่ยวชาญเฉพาะทาง
โอกาสในการพัฒนา
สร้างความน่าเชื่อถือ มั่นใจให้ผู้ใช้งาน ช่วยลดอัตราการโดนแฮกและต้นทุนในการกู้คืนข้อมูล สำหรับบริษัทเอกชนสามารถนำมาตรฐานนี้มาเป็น "จุดขายความปลอดภัย" เพื่อเพิ่มความได้เปรียบในการแข่งขันทางธุรกิจ
สิ่งที่ควรทำทันที & แผนระยะยาว
-
✓1. ประเมินสภาพปัจจุบันทันที
ตรวจสอบการใช้ HTTPS/TLS เวอร์ชันล่าสุด, ตรวจสอบปลั๊กอิน/CMS ว่าไม่มีช่องโหว่, และทบทวนสิทธิ์การเข้าถึง (User Permissions) ของระบบ
-
✓2. จัดทำนโยบายและเอกสารข้อตกลง
เผยแพร่นโยบายอย่างชัดเจน เช่น Website Security Policy, Privacy Policy, Cookie Policy และ Data Breach Policy บนหน้าเว็บ
-
✓3. ติดตั้งระบบเฝ้าระวังภัยคุกคาม
แต่งตั้งผู้ดูแลความมั่นคงปลอดภัยเว็บไซต์โดยตรง มีแผนและระบบการสำรองข้อมูล (Backup) ที่พร้อมกู้คืนได้จริง และทำการสแกนหาช่องโหว่/ทดสอบเจาะระบบเป็นระยะ
-
✓4. จัดอบรมสร้างความตระหนักรู้
อบรม IT Admin/Webmaster รวมถึงพนักงานทั่วไปให้รู้วิธีรับมือกับภัยคุกคาม เช่น อีเมลตกเบ็ด (Phishing) และมัลแวร์
-
✓5. วางแผนตรวจสอบความปลอดภัยต่อเนื่อง
ทำความดีความชอบโดยการ Audit ระบบความมั่นคงปลอดภัยเป็นประจำทุก 6 เดือน หรือ 1 ปี และติดตามข้อกฎหมายหรือประกาศอัปเดตใหม่ๆ จาก สกมช. เสมอ
