VA กับ Pentest ต่างกันอย่างไร — เปรียบเทียบให้ชัด เลือกให้ถูก
คำถามที่ได้ยินบ่อยที่สุดคือ “ควรทำ VA หรือ Pentest?” คำตอบสั้น ๆ คือ ทั้งสองอย่างมีวัตถุประสงค์ต่างกัน และองค์กรส่วนใหญ่ต้องทำทั้งคู่ บทความนี้เปรียบเทียบให้ชัดทุกมิติ พร้อมสรุปข้อกำหนดของ regulator ไทย
นิยามจากมาตรฐานสากล
Vulnerability Assessment (VA)
NIST SP 800-115 นิยาม Vulnerability Assessment ว่าเป็นกระบวนการระบุ จัดหมวดหมู่ และจัดลำดับความสำคัญของช่องโหว่ในระบบสารสนเทศ โดยใช้เครื่องมือสแกนอัตโนมัติเป็นหลัก ร่วมกับการตรวจสอบด้วยมือเพื่อยืนยันผลลัพธ์ [1]
VA มุ่งตอบคำถามว่า “ระบบมีช่องโหว่อะไรบ้าง” — เป็นการค้นหาในเชิงกว้าง
Penetration Testing (Pentest)
OWASP นิยาม Penetration Testing ว่าเป็นการทดสอบความปลอดภัยเชิงรุกที่ผู้ทดสอบพยายามใช้ประโยชน์จากช่องโหว่เพื่อพิสูจน์ผลกระทบจริงต่อระบบ โดยใช้เทคนิคและเครื่องมือเดียวกับผู้โจมตี [2]
Pentest มุ่งตอบคำถามว่า “ช่องโหว่เหล่านี้ใช้โจมตีจริงได้แค่ไหน และผลกระทบคืออะไร” — เป็นการพิสูจน์เชิงลึก
ตารางเปรียบเทียบ VA กับ Pentest
| มิติ | Vulnerability Assessment (VA) | Penetration Testing (Pentest) |
|---|---|---|
| วัตถุประสงค์ | ค้นหาและจัดอันดับช่องโหว่ให้ครบถ้วน | พิสูจน์ว่าช่องโหว่นำไปสู่การโจมตีจริงได้ |
| วิธีการ | สแกนอัตโนมัติ + ตรวจสอบ false positive | ผสมเครื่องมืออัตโนมัติกับเทคนิค manual |
| ความลึก | กว้างแต่ตื้น — หยุดที่การค้นพบ | แคบแต่ลึก — ไปถึง exploitation และ proof of concept |
| ระยะเวลา | 1–3 วันต่อ scope ขนาดกลาง | 5–15 วันต่อ scope ขนาดกลาง |
| ผลลัพธ์ | รายการช่องโหว่พร้อม CVSS score | รายงานพร้อม Proof of Concept, attack path, business impact |
| ราคาโดยประมาณ | ต่ำกว่า | สูงกว่า 3–5 เท่า |
| ความถี่ที่แนะนำ | รายไตรมาส หรือหลังเปลี่ยนแปลงสำคัญ | อย่างน้อยปีละ 1 ครั้ง |
| ใครทำ | ทีมภายในหรือผู้ให้บริการภายนอก | ผู้เชี่ยวชาญภายนอกที่เป็นอิสระ |
| เครื่องมือหลัก | Nessus, Qualys, OpenVAS, Rapid7 | Burp Suite, Metasploit, เครื่องมือ manual testing |
| False Positive | มีมาก ต้องกรองด้วยมือ | น้อย เพราะทุกรายการถูกพิสูจน์ด้วยการโจมตีจริง |
| Compliance ที่รองรับ | ISO 27001, PCI DSS (ASV scan) | PCI DSS (pentest), ธปท., ก.ล.ต., มาตรฐานเว็บไซต์ 2568 |
เมื่อไหร่ควรทำ VA — เมื่อไหร่ควรทำ Pentest
ทำ VA เมื่อ:
- ต้องการภาพรวมช่องโหว่ทั้งระบบ — สแกนให้ครบทุก asset
- ติดตั้งระบบใหม่หรืออัปเดตครั้งใหญ่ — ตรวจสอบว่าไม่มีช่องโหว่พื้นฐาน
- ต้องทำตาม Compliance ที่กำหนด VA เป็นรายไตรมาส เช่น PCI DSS ASV scan
- มีงบประมาณจำกัด — VA ให้ภาพกว้างในราคาที่ต่ำกว่า
ทำ Pentest เมื่อ:
- ต้องการพิสูจน์ว่าช่องโหว่มีผลกระทบจริง — ไม่ใช่แค่ทฤษฎี
- Regulator กำหนดให้ต้องทำ Pentest โดยเฉพาะ (ธปท., ก.ล.ต.)
- เตรียมเปิดตัวระบบสำคัญ — เช่น Internet Banking, Mobile App, Payment Gateway
- ต้องการทดสอบ Attack Chain ตั้งแต่ต้นจนจบ — ไม่ใช่แค่ช่องโหว่เดี่ยว ๆ
- ลูกค้าหรือพันธมิตรเรียกร้อง Pentest Report
ทำทั้งคู่เมื่อ:
ทำ VA เป็นประจำ (รายไตรมาส) เพื่อตรวจสอบช่องโหว่ใหม่ ๆ แล้วทำ Pentest อย่างน้อยปีละครั้งเพื่อทดสอบเชิงลึก — นี่คือแนวทางที่ Regulator ส่วนใหญ่คาดหวัง
ข้อกำหนดของ Regulator ไทย
ธนาคารแห่งประเทศไทย (ธปท.)
ประกาศ สกช. 5/2566 (มีผลบังคับใช้ 16 ตุลาคม 2566) กำหนดไว้ชัดเจน [3]:
- ข้อ 6.6 — ต้องมีการประเมินช่องโหว่ (Vulnerability Assessment) สำหรับทุกระบบงานตามระดับความเสี่ยง โดยระบบงานสำคัญต้องดำเนินการอย่างน้อยปีละ 1 ครั้ง
- ข้อ 6.7 — ต้องมีการทดสอบเจาะระบบ (Penetration Test) โดยผู้เชี่ยวชาญที่มีความเป็นอิสระ ครอบคลุมระบบงานและเครือข่ายที่เชื่อมต่อกับเครือข่ายสาธารณะ (Internet-facing) อย่างน้อยปีละ 1 ครั้ง
ธปท. กำหนดให้ต้องทำทั้ง VA และ Pentest — ทำอย่างใดอย่างหนึ่งไม่เพียงพอ อ่านรายละเอียดเพิ่มเติมที่ ข้อกำหนด ธปท. หรือ Pentest สำหรับสถาบันการเงิน
สำนักงานคณะกรรมการกำกับหลักทรัพย์และตลาดหลักทรัพย์ (ก.ล.ต.)
ก.ล.ต. กำหนดให้ผู้ประกอบธุรกิจหลักทรัพย์และสัญญาซื้อขายล่วงหน้าต้องมีการทดสอบความมั่นคงปลอดภัยของระบบสารสนเทศ รวมถึง Vulnerability Assessment และ Penetration Testing ตามความเสี่ยง [4]
พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล (PDPA)
PDPA มาตรา 37 กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลต้องจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม แม้ไม่ได้ระบุคำว่า “Pentest” โดยตรง แต่การทดสอบความปลอดภัยเชิงรุกเป็นวิธีที่เป็นที่ยอมรับในการแสดงว่าองค์กรมีมาตรการที่เหมาะสม [5]
มาตรฐานเว็บไซต์ สกมช. 2568
ประกาศมาตรฐานการรักษาความมั่นคงปลอดภัยสำหรับเว็บไซต์ พ.ศ. 2568 (มีผลบังคับ 16 กันยายน 2569) แบ่งข้อกำหนดเป็น [6]:
| ระดับ | VA | Pentest |
|---|---|---|
| หน่วยงานกลุ่ม 1 ที่ผลกระทบระดับสูง | จะต้องทำ | จะต้องทำ |
| หน่วยงานกลุ่ม 1 ที่ผลกระทบระดับกลาง | จะต้องทำ | ควรจะทำ |
| หน่วยงานกลุ่ม 1 ที่ผลกระทบระดับต่ำ | จะต้องทำ | ไม่กำหนด |
หมายเหตุ: “จะต้อง” หมายถึงข้อกำหนดบังคับ (mandatory) ส่วน “ควรจะ” หมายถึงข้อกำหนดแนะนำ (recommended) ตามนิยามในประกาศฯ
ข้อ 6.2.2 ของประกาศฯ ระบุให้อ้างอิง OWASP ในการทดสอบ ดูรายละเอียดเพิ่มเติมที่ มาตรฐานเว็บไซต์ สกมช. 2568
สรุป: ส่วนใหญ่ต้องทำทั้งคู่
VA และ Pentest ไม่ใช่ทางเลือก แต่เป็นส่วนเสริมกัน:
- VA = การตรวจสุขภาพประจำ — ค้นหาปัญหาในวงกว้าง ทำบ่อย ราคาถูก
- Pentest = การตรวจเฉพาะทางเชิงลึก — พิสูจน์ผลกระทบจริง ทำเป็นระยะ ราคาสูงกว่า
สำหรับองค์กรที่อยู่ภายใต้ข้อกำหนดของ ธปท. หรือมาตรฐานเว็บไซต์ 2568 ระดับผลกระทบสูง — ต้องทำทั้งสองอย่าง
ขั้นตอนถัดไป
- ประเมินว่าองค์กรอยู่ภายใต้ข้อกำหนดใดบ้างที่ Compliance Guide
- ใช้ เครื่องมือเตรียม scope ตามองค์กร แล้วขอใบเสนอราคาที่แยกขอบเขต VA กับ Pentest
- ดู บริการทั้งหมด ที่ครอบคลุมทั้ง VA และ Pentest
- เตรียมตัวก่อนจ้างด้วย Checklist 15 ข้อ
แหล่งอ้างอิง
- NIST SP 800-115, Technical Guide to Information Security Testing and Assessment, National Institute of Standards and Technology, September 2008 — csrc.nist.gov
- OWASP, OWASP Testing Guide v4.2 — owasp.org
- ประกาศ ธปท. สกช. 5/2566 เรื่องหลักเกณฑ์การกำกับดูแลความเสี่ยงด้านเทคโนโลยีสารสนเทศ ข้อ 6.6–6.7 — bot.or.th
- ประกาศ ก.ล.ต. เรื่องข้อกำหนดด้าน IT สำหรับผู้ประกอบธุรกิจหลักทรัพย์ — sec.or.th
- พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) มาตรา 37 — ratchakitcha.soc.go.th
- ประกาศ กมช. เรื่องมาตรฐานการรักษาความมั่นคงปลอดภัยสำหรับเว็บไซต์ พ.ศ. 2568 — ncsa.or.th