กฎหมายไซเบอร์ไทย — ภาพรวมขอบเขตหน้าที่ที่องค์กรควรตรวจ
ประเทศไทยมีกฎหมายที่เกี่ยวข้องกับความปลอดภัยไซเบอร์และข้อมูลส่วนบุคคลหลายฉบับ แต่หลายองค์กรยังสับสนว่า กฎหมายไหนบังคับใครบ้าง? โทษอะไร? และเกี่ยวกับ Pentest อย่างไร? บทความนี้สรุปกฎหมายบางฉบับที่องค์กรควรพิจารณา พร้อมตารางเปรียบเทียบเพื่อให้เข้าใจง่าย
1. พ.ร.บ. การรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562
บังคับกับใคร?
องค์กรที่เป็น หน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ (Critical Information Infrastructure — CII) ครอบคลุม 7 ด้าน: ความมั่นคงของรัฐ, บริการสาธารณะ, การเงินการธนาคาร, เทคโนโลยีสารสนเทศและโทรคมนาคม, การขนส่ง, พลังงาน และสาธารณสุข
สาระสำคัญ
- จัดตั้ง สำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (สกมช./NCSA) เป็นหน่วยงานกลาง [1]
- กำหนดให้หน่วยงาน CII ต้อง:
- จัดทำ แผนรับมือภัยคุกคามไซเบอร์ (Cyber Incident Response Plan)
- ประเมินความเสี่ยง (Risk Assessment) เป็นประจำ
- ปฏิบัติตาม มาตรฐานขั้นต่ำ ที่ สกมช. กำหนด
- รายงานเหตุการณ์ภัยคุกคาม ภายในเวลาที่กำหนด
- แบ่งระดับภัยคุกคามเป็น 3 ระดับ: ไม่ร้ายแรง / ร้ายแรง / วิกฤต
- มาตรา 54 กำหนดให้ CII ประเมินความเสี่ยงและตรวจสอบด้านความมั่นคงปลอดภัยไซเบอร์อย่างน้อยปีละครั้ง ไม่ใช่คำสั่ง Pentest ประจำปีโดยตรง
โทษ
บทลงโทษขึ้นกับฐานความผิดและเงื่อนไขคำสั่ง ไม่ควรนำโทษมาตราใดมาตราหนึ่งมาสรุปเป็นโทษของทุกหน้าที่ ให้ผู้เชี่ยวชาญกฎหมายตรวจกรณีจริง
เกี่ยวกับ Pentest อย่างไร?
ขอบเขตข้อกำหนด: มาตรา 54 กำหนดการประเมินความเสี่ยงและ Cybersecurity Audit โดยผู้ตรวจสอบภายในหรือผู้ตรวจสอบอิสระภายนอกอย่างน้อยปีละครั้ง และส่งผลสรุปรายงานภายใน 30 วันนับแต่ดำเนินการแล้วเสร็จ ตัวบทไม่ได้ระบุว่าต้องทำ Pentest ประจำปีโดยตรง ต้องแยกข้อกำหนดจากประกาศ/มาตรฐานเฉพาะที่ใช้กับหน่วยงานออกจากวิธีทดสอบที่แนะนำ ดู ตัวบทมาตรา 44 และ 54 ฉบับราชกิจจาฯ สำเนาบน DGA หน้า PDF 17–18 และ 21 และ คำชี้แจง สกมช. กันยายน 2566 ข้อ 9–10 (สำเนาที่ UBRU)
สรุปนี้เป็นข้อมูลทั่วไป ไม่ใช่คำปรึกษากฎหมายหรือการรับรอง compliance ขององค์กร
2. พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA)
บังคับกับใคร?
ผู้ควบคุมและผู้ประมวลผลข้อมูลส่วนบุคคลที่อยู่ในขอบเขตมาตรา 5 โดยพิจารณาข้อยกเว้นมาตรา 4 และบทบัญญัติที่เกี่ยวข้อง ไม่ใช่ทุกกิจกรรมโดยไม่มีข้อยกเว้น
สาระสำคัญ
- กำหนดสิทธิของเจ้าของข้อมูล: สิทธิเข้าถึง แก้ไข ลบ ระงับ คัดค้าน โอนย้าย
- หน้าที่ขึ้นกับบทบาท ผู้ควบคุมข้อมูลตามมาตรา 37 และผู้ประมวลผลตามมาตรา 40:
- จัดให้มี มาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม (มาตรา 37)
- ผู้ควบคุมข้อมูลแจ้ง สคส. โดยไม่ชักช้าภายใน 72 ชั่วโมงนับแต่ทราบเหตุเท่าที่จะสามารถกระทำได้ เว้นแต่ไม่มีความเสี่ยงต่อสิทธิและเสรีภาพ หากเสี่ยงสูงให้แจ้งเจ้าของข้อมูลพร้อมแนวทางเยียวยาโดยไม่ชักช้า (มาตรา 37(4)); ผู้ประมวลผลแจ้งผู้ควบคุมข้อมูลตามมาตรา 40
- จัดทำบันทึกกิจกรรม (Record of Processing Activities)
- แต่งตั้ง DPO (Data Protection Officer) ในกรณีที่กฎหมายกำหนด
โทษ
| ประเภท | โทษสูงสุด |
|---|---|
| โทษทางแพ่ง | ค่าเสียหายจริง + ค่าเสียหายเชิงลงโทษ (Punitive Damages) ไม่เกิน 2 เท่าของค่าเสียหายจริง |
| โทษทางปกครอง | ปรับสูงสุด 5,000,000 บาท |
| โทษทางอาญา | จำคุกสูงสุด 1 ปี และ/หรือปรับสูงสุด 1,000,000 บาท |
เกี่ยวกับ Pentest อย่างไร?
แม้ PDPA ไม่ได้ระบุคำว่า “Pentest” โดยตรง แต่ มาตรา 37 กำหนดให้จัดให้มี “มาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม” Pentest อาจเป็นหลักฐานประกอบการประเมิน technical controls ตาม scope แต่ไม่พิสูจน์ compliance ทั้งหมดและไม่รับประกันการยกเว้นความรับผิด ตัวบทไม่ได้กำหนดให้ทุกองค์กรทำ Pentest ปีละครั้ง ดู PDPA มาตรา 37
3. พ.ร.บ. ว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ พ.ศ. 2560
บังคับกับใคร?
ทุกคน — กฎหมายฉบับนี้เป็นกฎหมายอาญาที่บังคับใช้กับบุคคลทั่วไปและนิติบุคคลที่กระทำความผิดผ่านระบบคอมพิวเตอร์
สาระสำคัญ
กำหนดความผิดเกี่ยวกับ:
- การเข้าถึงระบบคอมพิวเตอร์โดยไม่ได้รับอนุญาต (มาตรา 5) — จำคุกสูงสุด 6 เดือน ปรับ 10,000 บาท
- การเปิดเผยมาตรการป้องกัน (มาตรา 6) — จำคุกสูงสุด 1 ปี ปรับ 20,000 บาท
- การดักข้อมูลคอมพิวเตอร์ (มาตรา 8) — จำคุกสูงสุด 3 ปี ปรับ 60,000 บาท
- การรบกวนข้อมูลหรือระบบ (มาตรา 9-10) — จำคุกสูงสุด 5 ปี ปรับ 100,000 บาท
- ความผิดเกี่ยวกับเนื้อหา — ต้องพิจารณาองค์ประกอบของแต่ละอนุมาตราในมาตรา 14 ฉบับแก้ไข ไม่ควรเหมารวมเนื้อหาผิดทุกประเภทหรือใช้แทนกฎหมายหมิ่นประมาท
- ผู้ให้บริการ (ISP) ต้องเก็บ Log อย่างน้อย 90 วัน [4]
เกี่ยวกับ Pentest อย่างไร?
สำคัญมาก: กฎหมายฉบับนี้กำหนดให้การเข้าถึงระบบคอมพิวเตอร์โดยไม่ได้รับอนุญาตเป็นความผิดอาญา ดังนั้น การทำ Pentest ต้องมีหนังสืออนุญาต (Authorization Letter/Rules of Engagement) จากเจ้าของระบบเสมอ มิฉะนั้นอาจถูกดำเนินคดีอาญาได้
4. พ.ร.บ. ว่าด้วยธุรกรรมทางอิเล็กทรอนิกส์ พ.ศ. 2544 (และฉบับแก้ไข)
บังคับกับใคร?
องค์กรที่ทำ ธุรกรรมทางอิเล็กทรอนิกส์ ทุกประเภท รวมถึง E-Commerce, E-Signature, E-Document
สาระสำคัญ
- รับรองความถูกต้องตามกฎหมายของ ลายมือชื่ออิเล็กทรอนิกส์ (E-Signature)
- รับรอง หนังสือและเอกสารอิเล็กทรอนิกส์ ให้มีผลทางกฎหมาย
- จัดตั้ง สำนักงานพัฒนาธุรกรรมทางอิเล็กทรอนิกส์ (ETDA) เป็นหน่วยงานกำกับ
- กำหนดมาตรฐานความปลอดภัยสำหรับ ผู้ให้บริการออกใบรับรองอิเล็กทรอนิกส์ (CA)
- ประกาศ ETDA ว่าด้วย มาตรฐานการรักษาความมั่นคงปลอดภัยของระบบสารสนเทศ ตามกฎหมายธุรกรรมทางอิเล็กทรอนิกส์
เกี่ยวกับ Pentest อย่างไร?
ควรตรวจว่าบริการขององค์กรอยู่ภายใต้ประกาศหรือมาตรฐาน ETDA ฉบับใดและมีข้อกำหนดทดสอบอะไร ไม่เหมารวมทุกบริการว่ามีหน้าที่เหมือนกัน
5. ประกาศหน่วยงานกำกับ (Regulator)
ธนาคารแห่งประเทศไทย (ธปท.)
- ประกาศ 4/2568 — Mobile Banking Security (บังคับใช้แล้ว)
- แนวปฏิบัติด้าน IT Risk Management (ปรับปรุง พ.ย. 2566)
- กำหนดให้ทำ Penetration Testing และ Vulnerability Assessment เป็นประจำ
- กำหนด i-Pentest (Intelligence-led Penetration Testing) สำหรับธนาคารพาณิชย์
สำนักงาน ก.ล.ต.
- ประกาศว่าด้วย การบริหารความเสี่ยงด้านเทคโนโลยีสารสนเทศ ของผู้ประกอบธุรกิจหลักทรัพย์
- กำหนดให้ทำ VA/PT เป็นระยะ
- ต้องมีระบบ Security Monitoring และ Incident Response
สำนักงาน คปภ.
- ประกาศว่าด้วย การบริหารความเสี่ยงด้าน IT ของบริษัทประกันภัย
- กำหนดมาตรฐานความปลอดภัยสำหรับ ระบบออนไลน์ของประกันภัย
- ต้องมีการ ประเมินช่องโหว่ เป็นประจำ
ตารางเปรียบเทียบ 5 กฎหมายหลัก
| หัวข้อ | พ.ร.บ. ไซเบอร์ 2562 | PDPA 2562 | พ.ร.บ. คอมพิวเตอร์ 2560 | พ.ร.บ. ธุรกรรมฯ 2544 | ประกาศ Regulator |
|---|---|---|---|---|---|
| บังคับกับ | หน่วยงาน CII 7 ด้าน | ผู้ควบคุม/ผู้ประมวลผลในขอบเขตกฎหมาย | ทุกคน (กฎหมายอาญา) | องค์กรที่ทำธุรกรรมอิเล็กทรอนิกส์ | สถาบันการเงิน หลักทรัพย์ ประกันภัย |
| หน่วยงานกำกับ | สกมช. (NCSA) | คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล | กระทรวง DES / ตำรวจ | ETDA | ธปท. / ก.ล.ต. / คปภ. |
| Pentest | ม.54 ระบุ Risk Assessment และ Audit; ตรวจประกาศเพิ่มเติม | ม.37 ระบุมาตรการที่เหมาะสม ไม่ใช่ annual Pentest โดยตรง | ต้องมีขอบเขตและสิทธิทดสอบ | ตรวจมาตรฐานที่ใช้กับบริการ | ตรวจประกาศ ขอบเขต และรอบทดสอบรายกลุ่ม |
| ต้อง Report เหตุ | ✅ ภายในเวลาที่กำหนด | ตาม ม.37(4) มีเงื่อนไขและข้อยกเว้น | — | — | ✅ ตามเงื่อนไข |
ตารางเป็นภาพรวม ไม่แทนการวิเคราะห์ applicability ของกฎหมายและประกาศแต่ละฉบับ
ผลกระทบต่อองค์กร: ต้องทำอะไรบ้าง?
1. สำรวจว่าองค์กรอยู่ภายใต้กฎหมายฉบับไหนบ้าง
- เป็น CII? → ต้องปฏิบัติตาม พ.ร.บ. ไซเบอร์ 2562
- เก็บข้อมูลส่วนบุคคล? → ต้องปฏิบัติตาม PDPA
- อยู่ภายใต้ ธปท./ก.ล.ต./คปภ.? → ต้องปฏิบัติตามประกาศ Regulator
- ส่วนใหญ่ → ต้องปฏิบัติตาม หลายฉบับพร้อมกัน
2. จัดทำมาตรการรักษาความปลอดภัย
- Risk Assessment ตามความเสี่ยงและรอบที่ข้อกำหนดขององค์กรกำหนด
- Penetration Testing ตามรอบที่กำหนด
- Security Monitoring ตามความเสี่ยงและความสำคัญของบริการ
- Incident Response Plan ที่พร้อมใช้งาน
3. เตรียมเอกสารพิสูจน์ Compliance
- ผลการทำ Pentest / VA Report
- Risk Assessment Report
- Security Policy และ Procedure
- Data Protection Impact Assessment (DPIA) สำหรับ PDPA
- บันทึกกิจกรรมการประมวลผล (ROPA)
สรุป
องค์กรไทยต้องปฏิบัติตามกฎหมายไซเบอร์หลายฉบับพร้อมกัน การทำ Pentest ไม่ใช่แค่ Best Practice แต่เป็น ข้อกำหนดทางกฎหมาย สำหรับหลายกลุ่มองค์กร การเตรียมตัวให้พร้อมจะช่วยลดทั้งความเสี่ยงด้านความปลอดภัยและความเสี่ยงทางกฎหมาย
แหล่งอ้างอิง
รายการประกาศรายภาคส่วนด้านล่างยังไม่ใช่การยืนยันทุกข้อกำหนด ต้องเปิดต้นฉบับที่ตรงประเภทกิจการก่อนใช้
- สำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ. “พ.ร.บ. การรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562.” ncsa.or.th
- The Legal 500. “Thailand: Data Protection & Cybersecurity.” legal500.com
- DLA Piper. “Data Protection Laws in Thailand.” dlapiperdataprotection.com
- Siam Legal International. “Thailand Computer Crime Act.” siam-legal.com
- ธนาคารแห่งประเทศไทย. “ประกาศ ธปท. ที่ 4/2568.” bot.or.th
- Hunton Andrews Kurth. “Thailand’s Personal Data Protection Act Enters into Force.” hunton.com