Pentest สำหรับธนาคารและสถาบันการเงิน — ข้อกำหนด ธปท. ที่ต้องรู้

สถาบันการเงินไทยอยู่ภายใต้ข้อกำหนดด้านการทดสอบความปลอดภัยที่เข้มงวดที่สุดกลุ่มหนึ่ง ธนาคารแห่งประเทศไทย (ธปท.) กำหนดทั้งการทำ Vulnerability Assessment (VA) และ Penetration Testing (Pentest) ไว้ในหลายหลักเกณฑ์ บทความนี้สรุปสาระสำคัญและแนวทางปฏิบัติ

ข้อกำหนดหลัก: ประกาศ สกช. 5/2566

ประกาศธนาคารแห่งประเทศไทยที่ สกช. 5/2566 เรื่อง หลักเกณฑ์การกำกับดูแลความเสี่ยงด้านเทคโนโลยีสารสนเทศ (Information Technology Risk) ประกาศในราชกิจจานุเบกษา เล่ม 140 ตอนพิเศษ 269 ง เมื่อวันที่ 30 ตุลาคม 2566 มีผลบังคับใช้ตั้งแต่ 16 ตุลาคม 2566 [1]

ข้อ 6.6 — Vulnerability Assessment

สถาบันการเงินต้องจัดให้มีการประเมินช่องโหว่ (Vulnerability Assessment) สำหรับทุกระบบงานตามระดับความเสี่ยง โดยระบบงานสำคัญต้องดำเนินการ อย่างน้อยปีละ 1 ครั้ง และเมื่อมีการเปลี่ยนแปลงอย่างมีนัยสำคัญ [1]

ข้อ 6.7 — Penetration Testing

สถาบันการเงินต้องจัดให้มีการทดสอบเจาะระบบ (Penetration Test) โดยผู้เชี่ยวชาญที่มีความเป็นอิสระ ครอบคลุม [1]:

• ระบบงานและระบบเครือข่ายที่มีการเชื่อมต่อกับเครือข่ายสื่อสารสาธารณะ (Internet-facing)
• ดำเนินการสม่ำเสมอ อย่างน้อยปีละ 1 ครั้ง
• ต้องทำเพิ่มเติมเมื่อมีการเปลี่ยนแปลงอย่างมีนัยสำคัญ เช่น เปิดตัวระบบใหม่หรือเปลี่ยนแปลงโครงสร้างเครือข่าย

ข้อกำหนดด้านการรายงาน

• ต้องรายงานผลการทดสอบเจาะระบบไปยังผู้รับผิดชอบ
• ต้องมีการติดตามการดำเนินการปรับปรุงแก้ไข
• ต้องนำเสนอความคืบหน้าต่อคณะกรรมการหรือผู้บริหารที่ได้รับมอบหมาย
• ต้องรายงานผลการประเมิน IT risk self-assessment ให้ ธปท. ภายใน 30 วัน นับแต่วันสิ้นปีปฏิทิน [1]

ใครบ้างที่อยู่ภายใต้ประกาศนี้

i-Pentest คืออะไร

i-Pentest (Intelligence-led Penetration Testing) คือแนวปฏิบัติของ ธปท. ที่ปรับใช้จาก TIBER-EU (Threat Intelligence-Based Ethical Red-Teaming) ซึ่งเป็นกรอบการทดสอบ Cybersecurity ของธนาคารกลางยุโรป (ECB) [2]

ความแตกต่างระหว่าง Pentest ทั่วไปกับ i-Pentest

กระบวนการ i-Pentest

ตาม framework TIBER-EU ที่ ธปท. ปรับใช้ กระบวนการแบ่งเป็น 3 ระยะ [2]:

1. Preparation Phase — กำหนด scope, แต่งตั้ง Control Team, คัดเลือก Threat Intelligence (TI) Provider และ Red Team Provider
2. Testing Phase — TI Provider จัดทำรายงาน Targeted Threat Intelligence จากนั้น Red Team ออกแบบ attack scenario และดำเนินการทดสอบ
3. Closure Phase — Red Team, Blue Team และ Control Team ร่วมวิเคราะห์ผลลัพธ์ จัดทำ remediation plan และอาจรวมถึง Purple Teaming

i-Pentest ไม่ได้เป็นข้อกำหนดบังคับสำหรับสถาบันการเงินทุกแห่ง แต่ ธปท. อาจกำหนดให้สถาบันการเงินที่มีความสำคัญเชิงระบบ (Systemically Important) ดำเนินการ

ประเภทระบบที่ต้องทดสอบ

จากประกาศ สกช. 5/2566 และแนวปฏิบัติที่เกี่ยวข้อง ระบบที่ต้องอยู่ในขอบเขตการทดสอบ ได้แก่ [1][3]:

ระบบ Internet-facing (ข้อ 6.7 บังคับ)

• Internet Banking / Digital Banking — เว็บไซต์ธนาคารออนไลน์
• Mobile Banking Application — แอปพลิเคชัน iOS และ Android (ประกาศ 4/2568 กำหนดเพิ่มเติม)
• API Gateway — จุดเชื่อมต่อ API สำหรับ Open Banking, Third-party Integration
• Payment Gateway — ระบบรับชำระเงินออนไลน์
• Customer Portal — ระบบบริการลูกค้าออนไลน์

ระบบภายในที่ควรรวมในขอบเขต

• Core Banking System — ระบบแกนหลักที่ประมวลผลธุรกรรม
• ATM/CDM Network — เครือข่ายตู้ ATM และเครื่องรับฝากเงิน
• SWIFT Network — ระบบสื่อสารทางการเงินระหว่างประเทศ
• Internal Network Infrastructure — Active Directory, DNS, Email Gateway
• Cloud Infrastructure — ระบบที่ย้ายไปใช้ Cloud Service Provider

ตัวอย่าง Scope ที่ Regulator คาดหวัง

เมื่อจัดทำ scope สำหรับ Pentest ที่จะตอบข้อกำหนด ธปท. ควรครอบคลุม:

1. Web Application Testing

• ทดสอบตาม OWASP Top 10 2025 [4] — Broken Access Control, Security Misconfiguration, Injection ฯลฯ
• Authentication & Authorization — ทดสอบกลไกยืนยันตัวตน, Session Management, MFA bypass
• Business Logic — ทดสอบ logic ของธุรกรรมการเงิน เช่น การโอนเงิน, การเปลี่ยนวงเงิน

2. Mobile Application Testing

• Static Analysis — ตรวจสอบ hardcoded credentials, encryption keys, API endpoints
• Dynamic Analysis — ทดสอบการสื่อสารกับ backend, SSL Pinning, Certificate Validation
• Local Storage — ตรวจสอบข้อมูลที่เก็บในอุปกรณ์ (Keychain, SharedPreferences, SQLite)

3. Network Testing

• External — Port scanning, service enumeration, firewall bypass
• Internal — Lateral movement, privilege escalation, network segmentation verification
• Wireless — Wi-Fi security assessment ของเครือข่ายภายในสาขา

4. API Testing

• Authentication/Authorization — OAuth 2.0, API Key management, BOLA/BFLA
• Input Validation — Injection, parameter tampering
• Rate Limiting — ทดสอบการป้องกัน brute force และ abuse

คุณสมบัติผู้ทดสอบที่ ธปท. คาดหวัง

ประกาศ สกช. 5/2566 ข้อ 6.7 กำหนดว่าผู้ทดสอบต้องเป็นผู้เชี่ยวชาญที่มีความเป็นอิสระ [1] ในทางปฏิบัติ สถาบันการเงินควรพิจารณาคุณสมบัติเพิ่มเติม:

Certification ที่เป็นที่ยอมรับ

สิ่งที่ควรตรวจสอบเพิ่มเติม

• ความเป็นอิสระ — ผู้ทดสอบไม่ควรเป็นผู้พัฒนาหรือดูแลระบบเดียวกัน
• ประสบการณ์ในอุตสาหกรรมการเงิน — เข้าใจ business logic ของธุรกรรมการเงิน
• ประกันภัยวิชาชีพ (Professional Indemnity Insurance) — คุ้มครองความเสียหายที่อาจเกิดขึ้น
• กระบวนการจัดการข้อมูล — มีนโยบายการจัดการข้อมูลลับของลูกค้าที่ชัดเจน

สถิติที่เกี่ยวข้องกับสถาบันการเงิน

• IBM Cost of a Data Breach Report 2025 ระบุว่า Financial Services มีค่าใช้จ่ายเฉลี่ยจากเหตุการณ์ข้อมูลรั่วไหลอยู่ที่ 5.56 ล้านดอลลาร์สหรัฐ สูงเป็นอันดับ 2 รองจาก Healthcare [5]
• Verizon DBIR 2025 รายงานว่า Financial Services เป็นหนึ่งในอุตสาหกรรมที่ถูกโจมตีบ่อยที่สุด โดย System Intrusion, Social Engineering และ Basic Web Application Attacks เป็นรูปแบบหลัก [6]

Timeline การดำเนินการ

สำหรับสถาบันการเงินที่ต้องวางแผน Pentest ประจำปี:

ขั้นตอนถัดไป

1. ตรวจสอบข้อกำหนดเฉพาะสำหรับองค์กรที่ ข้อกำหนด ธปท. สำหรับ Pentest
2. ดูบริการ Web Application Pentest และ Red Team Assessment ของ ITSL
3. ดู Checklist เตรียมตัวก่อนจ้าง Pentest
4. ดู ข้อมูลเตรียมขอใบเสนอราคา เพื่อกำหนด scope และสิ่งส่งมอบให้ชัดเจน

แหล่งอ้างอิง

1. ประกาศ ธปท. สกช. 5/2566 เรื่องหลักเกณฑ์การกำกับดูแลความเสี่ยงด้านเทคโนโลยีสารสนเทศ ราชกิจจานุเบกษา เล่ม 140 ตอนพิเศษ 269 ง, 30 ตุลาคม 2566 — bot.or.th
2. European Central Bank, TIBER-EU Framework, 2018 — ecb.europa.eu
3. ประกาศ ธปท. 4/2568 เรื่อง Mobile Banking — bot.or.th
4. OWASP, OWASP Top 10:2025 — owasp.org
5. IBM Security, Cost of a Data Breach Report 2025 — ibm.com
6. Verizon, 2025 Data Breach Investigations Report — verizon.com/dbir