มาตรฐานเว็บไซต์ สกมช. 2568 บังคับใช้แล้ว — หน่วยงานต้องทำอะไรบ้าง
ประกาศคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ เรื่อง มาตรฐานการรักษาความมั่นคงปลอดภัยสำหรับเว็บไซต์ พ.ศ. 2568 เผยแพร่ในราชกิจจานุเบกษา เล่ม 142 ตอนพิเศษ 305 ง วันที่ 16 กันยายน 2568 หน้า 33–35 พร้อมมาตรฐานแนบท้าย โดยข้อ 2 ระบุว่าใช้บังคับเมื่อพ้นกำหนดหนึ่งปีนับแต่วันประกาศ และเว็บไซต์ สกมช. ระบุวันมีผลบังคับใช้ 16 กันยายน 2569 ดังนั้น ณ วันที่ปรับปรุงบทความนี้ มาตรฐานมีผลแล้ว ไม่ใช่ช่วงเตรียมตัวก่อนวันบังคับใช้.[1][2]
อ่านต้นฉบับ: ประกาศและมาตรฐานแนบท้ายในราชกิจจานุเบกษา (PDF) และ เว็บไซต์มาตรฐานของ สกมช. บทความนี้เป็นคำอธิบาย ไม่ใช่คำวินิจฉัยสถานะทางกฎหมายของหน่วยงาน
ใครต้องปฏิบัติตาม
ข้อ 3 ของประกาศและตาราง ค7 ในมาตรฐานแนบท้ายแยกกลุ่มดังนี้.[1]
| กลุ่ม | หน่วยงาน | ถ้อยคำในตาราง ค7 |
|---|---|---|
| กลุ่มที่ 1 | หน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ (CII), หน่วยงานควบคุมหรือกำกับดูแล, หน่วยงานของรัฐ | จะต้องปฏิบัติตาม |
| กลุ่มที่ 2 | หน่วยงานเอกชน | ส่งเสริมให้ปฏิบัติตาม |
ตรวจสอบได้ที่ ข้อ 3 หน้า PDF 1 และ ตาราง ค7 หน้า PDF 57 / หน้า 54 ของมาตรฐาน ไม่ควรตีความว่าเอกชนทุกแห่งถูกบังคับเหมือนกัน หรือเอกชนที่มีสถานะ CII เป็นกลุ่มส่งเสริมเพียงเพราะเป็นบริษัทเอกชน.[1]
ประเมินตนเองและรายงาน: แยกเลขข้อกับเลขแบบฟอร์ม
ข้อ 4 ของตัวประกาศระบุหน่วยงานควบคุมหรือกำกับดูแลและหน่วยงาน CII ให้กำหนดคุณลักษณะข้อมูล/ระบบเว็บไซต์ ประเมินและจัดระดับผลกระทบ ระบุข้อกำหนดขั้นต่ำ และประเมินตนเองตาม แบบฟอร์ม ค1 อย่างน้อยปีละ 1 ครั้ง ส่วนแนบท้ายข้อ 7.2.1.1 อธิบายการประเมินสำหรับกลุ่มที่ 1 ซึ่งยังไม่ได้รับ ISO/IEC 27001 หรือขอบเขตการรับรองไม่ครอบคลุมเว็บไซต์.[1]
ตาราง ค1–ค5 ไม่ใช่แบบฟอร์มแยกห้าฉบับ แต่เป็นตารางในส่วนที่ 2 ของแบบฟอร์ม ค1 ใช้ประเมินผลกระทบก่อนนำผลไปเทียบตาราง ค6 ตามข้อ 7.1.1–7.1.2 ส่วน แบบฟอร์ม ค2 ใช้รายงานรายการที่ยังต้องปรับปรุง.[1]
ข้อ 5 ของตัวประกาศแยกการรายงาน: ระดับต่ำ/กลางเสนอต่อผู้บริหารสูงสุดและเก็บหลักฐานไว้ให้ตรวจสอบ ส่วนระดับสูงเสนอต่อผู้บริหารสูงสุดและหน่วยงานควบคุมหรือกำกับดูแล พร้อมส่งสำเนาให้ สกมช. ไม่ใช่ทุกระดับต้องส่งรายงานไป สกมช. ในลักษณะเดียวกัน.[1]
อ่าน ข้อ 4–5 หน้า PDF 2 คู่กับ แนบท้ายข้อ 7.1–7.2 หน้า PDF 17–18 โดยเฉพาะกรณีมี ISO/IEC 27001 ไม่ควรสรุปภาระรายงานจากบทความย่อเพียงอย่างเดียว.[1]
ระดับผลกระทบ: ตาราง ค6 เป็นตัวกำหนดข้อยกเว้น
ตารางต่อไปนี้ถอดขอบเขตจาก ตาราง ค6 หน้า PDF 56 / หน้า 53 ของมาตรฐาน คำว่า “ทุกข้อ” ต้องอ่านตามถ้อยคำและเงื่อนไขของแต่ละข้อ ไม่ได้เปลี่ยนคำแนะนำ “ควรจะ” ให้เป็น “จะต้อง”.[1]
| ระดับผลกระทบ | ข้อกำหนดขั้นต่ำตามตาราง ค6 |
|---|---|
| สูง | ดำเนินการตามข้อกำหนดทุกข้อ |
| กลาง | หัวข้อ 5 ทุกข้อ; หัวข้อ 6 ยกเว้นข้อ 6.1.1 เฉพาะส่วน VA/Pentest และ Third Party Management, ข้อ 6.2.1, ข้อ 6.2.3 (5)–(7), ข้อ 6.2.4 เฉพาะ Information Sharing |
| ต่ำ | หัวข้อ 5 ทุกข้อ; หัวข้อ 6 ยกเว้นข้อ 6.1.1, 6.2.1, 6.2.3 (4)–(7), 6.2.4 เฉพาะ Remote Connection / Removable Storage Media / Information Sharing, 6.3.1, 6.4.1 และ 6.5.1 |
จุดที่ต้องระวัง: ระดับกลางได้รับยกเว้นส่วน VA/Pentest ของข้อ 6.1.1 ตามตารางนี้ จึงไม่ถูกต้องที่จะสรุปว่ามาตรฐานฉบับนี้บังคับ VA ทั้งระดับสูงและกลาง อย่างไรก็ตาม ข้อยกเว้นในตารางนี้ไม่ได้ตัดหน้าที่ที่อาจมีจากกฎหมาย สัญญา หรือข้อกำกับอื่น ต้องตรวจแยกเป็นรายกรณี.[1]
VA “จะต้อง” และ Pentest “ควรจะ”: อ่านให้ถึงแบบประเมิน
ข้อ 6.1.1 ในเนื้อหามาตรฐานกล่าวรวมถึง Asset Management, Risk Assessment, VA/Pentest และ Third Party Management โดยให้อ้างอิงประมวลแนวทางปฏิบัติและกรอบมาตรฐานฯ การแยกถ้อยคำและรอบทดสอบต้องอ่านประกอบ แบบฟอร์ม ค1 ส่วนที่ 3 หัวข้อ 7.1 ไม่ใช่อ้างเลข 6.1.1 อย่างเดียว.[1]
- VA: ช่องรายละเอียดในแบบฟอร์ม ค1 หน้า 59 ของมาตรฐาน (PDF 62) ใช้ “จะต้อง” และให้อ้างอิงหลักการบริหารความเสี่ยงโดยครอบคลุมบริการเว็บไซต์ แต่ไม่ได้ระบุ “VA ปีละครั้ง” ในข้อความนี้ จึงไม่ควรนำรอบประเมินตนเองหรือรอบประเมินความเสี่ยงมาสวมเป็นรอบ VA.[1]
- Pentest: แบบฟอร์ม ค1 หน้า 60 (PDF 63) ระบุ “หน่วยงานควรจะดำเนินการทดสอบเจาะระบบ (Penetration Testing) โดยพิจารณาดำเนินการอย่างน้อยปีละ 1 ครั้ง ตามความจำเป็น” จึงเป็นถ้อยคำแนะนำที่มีเงื่อนไข ไม่ใช่ข้อสรุปว่าทุกองค์กรต้องซื้อ Pentest รายปี.[1]
- ความถี่สแกนช่องโหว่: ภาคผนวก ข หน้า 27 (PDF 30) ซึ่งเป็นข้อเสนอแนะและคำอธิบายเพิ่มเติม ระบุว่าควรสแกนเป็นประจำตามระยะเวลาที่เหมาะสม “แต่ไม่ควรเกิน 90 วัน” ต้องแยกคำแนะนำนี้จากข้อบังคับและขอบเขตยกเว้นในตาราง ค6.[1]
ตรวจถ้อยคำที่ แบบฟอร์ม ค1 หน้า PDF 62–63 และ ภาคผนวก ข หน้า PDF 30 ก่อนกำหนดขอบเขตงานหรือรอบทดสอบ.[1]
ผู้ให้บริการและ ISO/IEC 27001
ข้อ 5.6.6 ใช้ถ้อยคำว่า “จะต้องพิจารณาเลือก” ผู้ให้บริการด้านความมั่นคงปลอดภัยไซเบอร์สำหรับเว็บไซต์ เช่น VA/Pentest ที่ได้รับการรับรองและได้รับประกาศนียบัตร (Accreditations and Certifications) ที่เป็นที่ยอมรับในอุตสาหกรรม ไม่ได้เขียนว่าทุกหน่วยงานต้องจ้างภายนอกเท่านั้น ดู หน้า PDF 13.[1]
ข้อ 7.2.2 ใช้กับหน่วยงานที่ได้รับ ISO/IEC 27001 และขอบเขตการรับรองครอบคลุมเว็บไซต์แล้ว โดยให้อาจพิจารณาดำเนินการเฉพาะส่วนที่ยังไม่ได้ดำเนินการตามมาตรฐานที่ได้รับรองนั้น ตามความจำเป็นและเหมาะสม ไม่ใช่ยกเว้นทั้งฉบับโดยอัตโนมัติ ดู หน้า PDF 18 และ บทความเทียบกับ ISO 27001.[1]
สิ่งที่ควรทำหลังวันมีผลบังคับใช้
ข้อเสนอแนะเชิงปฏิบัติของกองบรรณาธิการ: ยืนยันสถานะหน่วยงานและขอบเขตเว็บไซต์ เก็บผลประเมินและหลักฐานตามข้อที่ใช้กับตนเอง ตรวจข้อยกเว้นตาราง ค6 และ ISO ให้ชัดก่อนจัดซื้อบริการ แล้วจัดลำดับแก้ไขพร้อมผู้รับผิดชอบ การกำหนดว่าหน่วยงานใดปฏิบัติครบแล้วต้องตรวจหลักฐานจริง ไม่อาจตัดสินจาก checklist ย่อ
→ เครื่องมือประเมินเบื้องต้นของ ITSL — ใช้ช่วยทำงาน ไม่ใช่คำวินิจฉัยของหน่วยงานกำกับ
Sources
[1] https://ratchakitcha.soc.go.th/documents/86192.pdf — ราชกิจจานุเบกษา: ประกาศมาตรฐานเว็บไซต์ พ.ศ. 2568 และเอกสารแนบท้าย [2] https://websitesecurity.ncsa.or.th — สกมช.: Website Security Standard และวันมีผลบังคับใช้