Virtual Bank กับ Cybersecurity — ข้อกำหนดที่ธนาคารเสมือนต้องรู้

ปี 2568–2569 เป็นจุดเปลี่ยนสำคัญของภาคการเงินไทย เมื่อธนาคารแห่งประเทศไทย (ธปท.) และกระทรวงการคลังประกาศอนุมัติ 3 ใบอนุญาต Virtual Bank (ธนาคารเสมือน) ในเดือนมิถุนายน 2568 โดยคาดว่าจะเริ่มให้บริการภายในกลางปี 2569 [1][2] ความท้าทายสำคัญที่สุดสำหรับ Virtual Bank คือ Cybersecurity — เพราะธนาคารที่ไม่มีสาขาต้องพึ่งพาเทคโนโลยี 100%

3 ผู้ได้รับใบอนุญาต Virtual Bank ในไทย

ธปท. อนุมัติผู้ขอใบอนุญาต 3 กลุ่ม ได้แก่ [1][2]:

1. ACM Holding (Ascend Bank) — กลุ่ม Ascend Money
2. กลุ่มกรุงไทย (Clix Bank) — ร่วมกับ AIS และ OR (PTT Oil and Retail Business)
3. กลุ่ม SCBX (Bank X) — ร่วมกับ WeTechnology Limited และ KakaoBank Corp.

ทั้ง 3 กลุ่มต้องจัดตั้งบริษัทมหาชนจำกัด ทุนจดทะเบียนชำระแล้วขั้นต่ำ 5,000 ล้านบาท และเพิ่มเป็น 10,000 ล้านบาท ในเฟส Full-Functioning [3] โดยต้องผ่านการประเมินความพร้อมจาก ธปท. และเริ่มดำเนินการภายใน 1 ปีนับจากวันอนุมัติ

ข้อกำหนด IT Risk สำหรับ Virtual Bank

Virtual Bank ต้องปฏิบัติตามข้อกำหนดเดียวกับธนาคารพาณิชย์ปกติ บวกข้อกำหนดเพิ่มเติม ที่เข้มงวดกว่า เนื่องจาก Virtual Bank พึ่งพาเทคโนโลยีเป็นหลักในการดำเนินการทุกด้าน

แนวปฏิบัติ IT Risk Management ของ ธปท.

ธปท. ปรับปรุง แนวปฏิบัติในการบริหารความเสี่ยงด้านเทคโนโลยีสารสนเทศ (IT Risk Management Guidelines) ในเดือนพฤศจิกายน 2566 ครอบคลุมข้อกำหนดหลักดังนี้ [4][5]:

ข้อกำหนดเพิ่มเติมสำหรับ Virtual Bank

ตามประกาศ ธปท. เรื่องการจัดตั้ง Virtual Bank ผู้ขอใบอนุญาตต้อง [3]:

• แสดงความพร้อมด้าน IT System ที่ต้องผ่านการทดสอบประสิทธิภาพ (Efficiency Test)
• มี แผนการดำเนินงานด้าน IT ที่ครอบคลุมตั้งแต่การเริ่มต้นจนถึง Full Operation
• มี แผนรองรับกรณีฉุกเฉิน (Business Continuity Plan) และ แผนถอนตัว (Exit Plan)

Cybersecurity Requirements ที่ Virtual Bank ต้องปฏิบัติตาม

1. Penetration Testing (การทดสอบเจาะระบบ)

Virtual Bank ต้องทำ Penetration Testing อย่างน้อยปีละครั้ง หรือเมื่อมีการเปลี่ยนแปลงสำคัญ ครอบคลุม:

• Web Application ทั้งหมดที่ลูกค้าใช้งาน
• Mobile Application (iOS และ Android)
• API Endpoints ที่เชื่อมต่อกับ Partner
• Internal Network Infrastructure

2. Vulnerability Assessment (การประเมินช่องโหว่)

ต้องทำ VA เป็นประจำ (อย่างน้อยรายไตรมาส) สำหรับระบบที่สำคัญ และมีกระบวนการ Patch Management ที่มีประสิทธิภาพ

3. Incident Response (การรับมือเหตุการณ์)

• ต้องมีทีม CERT/CSIRT (Computer Security Incident Response Team) ปฏิบัติงาน 24/7
• ต้องรายงานเหตุการณ์ที่มีนัยสำคัญต่อ สกมช. และ ธปท. โดยไม่ชักช้า ตามมาตรา 57 ของ พ.ร.บ. การรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 [6]
• ต้องมี Incident Response Plan ที่ทดสอบด้วย Tabletop Exercise อย่างน้อยปีละครั้ง

4. Business Continuity Plan (BCP)

• RTO (Recovery Time Objective) สำหรับระบบ Core Banking ต้องสั้นมาก เนื่องจากไม่มีสาขาให้บริการทดแทน
• ต้องมี DR Site (Disaster Recovery) ที่ทดสอบเป็นประจำ

5. Data Protection (การคุ้มครองข้อมูล)

• การแจ้งเหตุละเมิดข้อมูล: ตาม PDPA มาตรา 37(4) ผู้ควบคุมข้อมูลแจ้ง สคส. โดยไม่ชักช้าภายใน 72 ชั่วโมงนับแต่ทราบเหตุเท่าที่จะสามารถกระทำได้ เว้นแต่การละเมิดไม่มีความเสี่ยงต่อสิทธิและเสรีภาพ หากมีความเสี่ยงสูงให้แจ้งเจ้าของข้อมูลพร้อมแนวทางเยียวยาโดยไม่ชักช้าด้วย ผู้ประมวลผลข้อมูลแจ้งผู้ควบคุมข้อมูลตามมาตรา 40 โดยพิจารณาหน้าที่ของแต่ละฝ่ายแยกกัน
• Encryption ข้อมูลทั้ง At Rest และ In Transit
• Data Classification และ Access Control ตามหลัก Least Privilege

Cloud-First Architecture — ความท้าทายด้าน Cloud Security

Virtual Bank ส่วนใหญ่ใช้ Cloud-First Architecture ซึ่งหมายความว่าระบบ Core Banking ทำงานบน Cloud Platform (AWS, Azure, GCP) — สร้างความท้าทายด้าน Security ที่แตกต่างจากธนาคารแบบดั้งเดิม:

Shared Responsibility Model

Cloud Provider รับผิดชอบ Security of the Cloud (โครงสร้างพื้นฐาน) แต่ Virtual Bank ต้องรับผิดชอบ Security in the Cloud (ข้อมูล, Configuration, Access Management)

ข้อกำหนด ธปท. สำหรับ Cloud

ตามประกาศ ธปท. ว่าด้วยการใช้บริการจากบุคคลภายนอก [5]:

• ต้องทำ Risk Assessment เฉพาะสำหรับ Cloud
• ระบบที่สำคัญ (Significant Workloads) ต้อง แจ้ง ธปท. ล่วงหน้าอย่างน้อย 15 วัน ก่อนใช้งาน
• ต้องมี Exit Strategy กรณีที่ต้องย้ายออกจาก Cloud Provider

Cloud Security ที่ต้องทำ

• CSPM (Cloud Security Posture Management) — ตรวจสอบ Misconfiguration อย่างต่อเนื่อง
• IAM (Identity and Access Management) — ใช้ MFA, Role-Based Access Control
• Encryption Key Management — จัดการ Key ด้วย HSM หรือ Cloud KMS
• Network Segmentation — แยก VPC/Subnet ตาม Sensitivity
• Logging & Monitoring — เก็บ Log ครอบคลุมทุกระบบ ส่งเข้า SIEM

Open Banking และ API Security Challenges

Virtual Bank จะเปิดให้บริการผ่าน Open Banking API ที่เชื่อมต่อกับ Partner (FinTech, e-Commerce, Payment) — สร้างความท้าทายด้าน API Security:

ความเสี่ยงหลักของ Open Banking API

มาตรการ API Security ที่ต้องมี

• ใช้ OAuth 2.0 และ OpenID Connect สำหรับ Authentication
• ใช้ API Gateway ที่มี Rate Limiting, Throttling, WAF
• ทำ API Penetration Testing ทุกครั้งก่อน Go-Live
• ใช้ Mutual TLS (mTLS) สำหรับการเชื่อมต่อระหว่าง Service
• มี API Inventory ที่อัปเดตอยู่เสมอ ไม่ปล่อยให้มี Shadow API

สรุป — Cybersecurity Checklist สำหรับ Virtual Bank

หากคุณเป็น Virtual Bank หรือ FinTech ที่ต้องปฏิบัติตามข้อกำหนด ธปท. สามารถดูรายละเอียดบริการ Pentest สำหรับสถาบันการเงิน ของเรา อ่านเพิ่มเติมเรื่อง Cloud Security และบริการ API Penetration Testing ที่ออกแบบมาเพื่อ Open Banking โดยเฉพาะ

---

แหล่งอ้างอิง

1. Krungsri Research. (2025). Virtual Banks in the Thai Context: Trends, Constraints, and Banking Sector Adaptation. https://www.krungsri.com/en/research/research-intelligence/virtual-bank-2025
2. Capco. (2026). Thailand’s Virtual Banking Shift: From Vision to Execution. https://www.capco.com/intelligence/capco-intelligence/thailand-virtual-banking-shift
3. Rajah & Tann Asia. (2024). Thailand’s Virtual Banking Licences. https://www.rajahtannasia.com/wp-content/uploads/2024/09/2024_03_12-Virtual-Banks.pdf
4. Thales. (2024). Complying with the IT Risk Management Guidelines by BOT. https://cpl.thalesgroup.com/compliance/apac/bot-it-risk-management-guidelines-thailand
5. Google Cloud. (2025). Bank of Thailand — Security Compliance. https://cloud.google.com/security/compliance/bot-thailand
6. ThaiCERT. (2026). หน่วยงาน CII — มาตรา 56–58 พ.ร.บ. ไซเบอร์ 2562. https://www.thaicert.or.th/cii-organization
7. DLA Piper. (2025). Data Protection Laws in Thailand — PDPA Breach Notification. https://www.dlapiperdataprotection.com/index.html?t=law&c=TH