มาตรฐานเว็บไซต์ สกมช. 2568 vs ISO 27001 — gap อยู่ตรงไหน

มีใบรับรอง ISO/IEC 27001 ไม่ได้หมายความว่าได้รับยกเว้นมาตรฐานเว็บไซต์ สกมช. ทั้งฉบับโดยอัตโนมัติ จุดเริ่มต้นคือขอบเขตการรับรองต้องครอบคลุมเว็บไซต์ของหน่วยงาน แล้วจึงพิจารณาส่วนที่ยังไม่ได้ดำเนินการตามเงื่อนไขข้อ 7.2.2 ไม่ใช่ตัดสินจากชื่อใบรับรองเพียงอย่างเดียว.[1]

เว็บไซต์ สกมช. ระบุว่ามาตรฐานการรักษาความมั่นคงปลอดภัยสำหรับเว็บไซต์ พ.ศ. 2568 มีผลบังคับใช้ 16 กันยายน 2569 ณ วันที่ปรับปรุงบทความนี้จึงเป็นช่วงหลังวันมีผล ไม่ใช่ช่วงเตรียมตัวก่อนบังคับใช้.[2]

ขอบเขตบทความ: อธิบายเงื่อนไข ISO ตามประกาศไทยและมาตรฐานแนบท้าย ไม่ใช่การรับรองความเทียบเท่ารายข้อกับ ISO/IEC 27001 และไม่ใช่คำวินิจฉัยว่าหน่วยงานใดปฏิบัติครบแล้ว ตารางด้านล่างเป็นแนวทางตรวจหลักฐาน ไม่ใช่รายการข้อกำหนด ISO ที่ถูกประกาศยกเว้น

ข้อ 7.2.2 — ต้องครอบคลุมเว็บไซต์ ไม่ใช่ยกเว้นอัตโนมัติ

ข้อ 7.2.2 หน้า PDF 18 / หน้า 15 ของมาตรฐาน ระบุกรณีหน่วยงานได้รับ ISO/IEC 27001 ที่มีขอบเขตการรับรองครอบคลุมเว็บไซต์แล้ว ว่าหน่วยงาน อาจจะพิจารณา ดำเนินการตามมาตรฐานฉบับนี้เฉพาะส่วนที่ยังไม่ได้ดำเนินการตามมาตรฐาน ISO/IEC 27001 ที่ได้รับรอง โดยพิจารณาตามความจำเป็นและเหมาะสม.[1]

ในทางกลับกัน ข้อ 7.2.1 หน้า PDF 17 ใช้กับหน่วยงานที่ยังไม่ได้รับรอง หรือได้รับรองแล้วแต่ ขอบเขตการรับรองไม่ครอบคลุมเว็บไซต์ จึงไม่ควรนำใบรับรองที่ครอบคลุมระบบอื่นมาอ้างเงื่อนไขข้อ 7.2.2 แทนเว็บไซต์.[1]

ข้อเสนอแนะเชิงปฏิบัติของกองบรรณาธิการ: รวบรวมใบรับรอง ขอบเขตระบบและบริการเว็บไซต์ หลักฐานการดำเนินงาน และรายการที่ยังไม่ได้ดำเนินการ เพื่อให้ผู้รับผิดชอบตรวจเทียบเป็นรายข้อ ไม่ควรถือว่าการมีเอกสารชื่อคล้ายกันพิสูจน์ว่าปฏิบัติครบแล้ว

แบบฟอร์ม ค1 / ค2 — ไม่ใช่แบบฟอร์ม ค1–ค5 ห้าฉบับ

ข้อ 7.1.1–7.1.2 ระบุให้ใช้ ตาราง ค1–ค5 ในส่วนที่ 2 ของแบบฟอร์ม ค1 เพื่อกำหนดคุณลักษณะและประเมินผลกระทบ ก่อนนำผลไปกำหนดข้อกำหนดขั้นต่ำตามตาราง ค6 ส่วน แบบฟอร์ม ค2 เป็นรายงานรายการที่ยังต้องปรับปรุง ไม่ใช่ชุดแบบฟอร์ม ค1 ถึง ค5 แยกกันห้าฉบับ.[1]

เรื่องรอบประเมินต้องอ่านขอบเขตให้ครบ: ข้อ 4 ของตัวประกาศกล่าวถึงหน่วยงานควบคุมหรือกำกับดูแลและหน่วยงาน CII ให้ดำเนินการตามแบบฟอร์ม ค1 อย่างน้อยปีละ 1 ครั้ง ขณะที่ข้อ 7.2.1.1 ของแนบท้ายกำหนดการประเมินตนเองสำหรับกลุ่มที่ 1 ภายใต้กรณียังไม่ได้รับ ISO หรือขอบเขตไม่ครอบคลุมเว็บไซต์ จึงไม่ควรสรุปว่าองค์กรที่มี ISO ทุกแห่งต้องกรอกแบบชุดเดียวกันโดยไม่ตรวจข้อ 7.2.2.[1]

ข้อ 5 ของตัวประกาศแยกการรายงานตามผลกระทบ: ต่ำ/กลางเสนอต่อผู้บริหารสูงสุดและเก็บหลักฐานไว้ให้ตรวจสอบ ส่วนระดับสูงเสนอต่อผู้บริหารสูงสุดและหน่วยงานควบคุมหรือกำกับดูแล พร้อมส่งสำเนาให้ สกมช. ต้องอ่านร่วมกับขอบเขตหน่วยงานและเงื่อนไข ISO ไม่ใช่สรุปว่าการมี ISO ทำให้ไม่ต้องรายงานทุกกรณี.[1]

ตรวจต้นฉบับที่ ข้อ 4–5 หน้า PDF 2 และ ข้อ 7.1–7.2 หน้า PDF 17–18 เว็บไซต์ สกมช. ก็เรียกระบบช่วยประเมินว่า แบบฟอร์ม ค1 / ค2 และระบุให้ยึดประกาศในราชกิจจานุเบกษาเป็นสำคัญ.[1][2]

ระดับกลางได้รับยกเว้น VA/Pentest ตามตาราง ค6

ตาราง ค6 หน้า PDF 56 / หน้า 53 ของมาตรฐาน กำหนดให้ระดับสูงดำเนินการตามข้อกำหนดทุกข้อ ส่วน ระดับกลางยกเว้นข้อ 6.1.1 เฉพาะส่วน VA/Pentest และ Third Party Management รวมถึงข้อยกเว้นอื่นในตาราง ระดับต่ำยกเว้นข้อ 6.1.1 ทั้งข้อ จึงไม่ถูกต้องที่จะบอกว่าประกาศนี้บังคับทำ VA ทั้งระดับสูงและกลาง.[1]

การยกเว้นในตาราง ค6 กับเงื่อนไข ISO ในข้อ 7.2.2 เป็นคนละประเด็นที่ต้องตรวจประกอบกัน และคำว่า “ทุกข้อ” สำหรับระดับสูงต้องอ่านตามถ้อยคำของแต่ละข้อ ไม่ได้เปลี่ยน “ควรจะ” ให้เป็น “จะต้อง”.[1]

ข้อเสนอแนะเชิงปฏิบัติ: ก่อนกำหนดขอบเขตจัดซื้อ ให้ตรวจข้อกำกับ กฎหมาย หรือสัญญาอื่นที่อาจใช้กับหน่วยงานด้วย ไม่ควรใช้ข้อยกเว้นในบทความนี้เป็นข้อสรุปว่าไม่ต้องทดสอบในทุกบริบท

ไม่ควรแปลงรอบ Self-Assessment เป็น “VA ประจำปี”

ข้อ 6.1.1 ในเนื้อหามาตรฐานอ้างถึงการจัดการทรัพย์สิน การประเมินความเสี่ยง VA/Pentest และการจัดการผู้ให้บริการภายนอก โดยให้อ้างอิงประมวลแนวทางปฏิบัติและกรอบมาตรฐานฯ การอ่านถ้อยคำและรอบทดสอบจึงต้องดูรายละเอียดในแบบฟอร์ม ค1 ส่วนที่ 3 หัวข้อ 7.1 ประกอบ ไม่ใช่อ้างเลข 6.1.1 เพียงข้อเดียว.[1]

• VA: รายละเอียดหน้า PDF 62 / หน้า 59 ของมาตรฐานใช้ “จะต้อง” และอ้างหลักการบริหารความเสี่ยงโดยครอบคลุมบริการเว็บไซต์ แต่ข้อความส่วนนี้ไม่ได้กำหนดรอบ “VA ปีละครั้ง” ส่วนที่ระบุรอบอย่างน้อยปีละ 1 ครั้งในหน้าเดียวกันเป็นเรื่อง การประเมินความเสี่ยง จึงต้องแยกจาก VA และจากรอบประเมินตนเอง.[1]
• Pentest: หน้า PDF 63 / หน้า 60 ใช้ “หน่วยงานควรจะดำเนินการทดสอบเจาะระบบ (Penetration Testing)” โดยพิจารณาดำเนินการอย่างน้อยปีละ 1 ครั้ง ตามความจำเป็น เป็นคำแนะนำที่มีเงื่อนไข ไม่ใช่ข้อบังคับให้ทุกองค์กรซื้อบริการรายปี.[1]
• การสแกนช่องโหว่: ภาคผนวก ข หน้า PDF 30 / หน้า 27 เป็นข้อเสนอแนะและคำอธิบายเพิ่มเติม ระบุว่าควรสแกนเป็นประจำตามระยะเวลาที่เหมาะสม แต่ไม่ควรเกิน 90 วัน ต้องแยกคำแนะนำนี้จากข้อกำหนดที่ใช้กับหน่วยงานและข้อยกเว้นในตาราง ค6.[1]

อ่าน ข้อ 6.1.1 หน้า PDF 14, รายละเอียดแบบฟอร์ม ค1 หน้า PDF 62–63 และ คำแนะนำการสแกน หน้า PDF 30 ก่อนสรุปรอบงาน และตรวจข้อกำกับที่เอกสารอ้างถึงเพิ่มเติมตามบริบทของหน่วยงาน.[1]

ตารางตรวจ Gap — เทียบหลักฐาน ไม่ตัดสินจากชื่อ ISO

ตารางนี้เป็นข้อเสนอแนะของกองบรรณาธิการสำหรับทำรายการตรวจสอบ โดยคอลัมน์ข้อกำหนดอ้างจากประกาศไทย ไม่ใช่ตารางรับรองว่า ISO ครอบคลุมหรือไม่ครอบคลุมโดยอัตโนมัติ

ตรวจถ้อยคำ OWASP ที่ หน้า PDF 14 และคุณสมบัติผู้ให้บริการที่ หน้า PDF 13 ไม่ควรนำตารางนี้ไปแทนการตรวจเอกสาร ISO และหลักฐานการดำเนินงานจริงของหน่วยงาน.[1]

สรุป: เริ่มจากขอบเขต แล้วตรวจสิ่งที่ยังไม่ได้ดำเนินการ

ใจความของข้อ 7.2.2 ไม่ใช่ “มี ISO แล้วจบ” แต่เป็นการพิจารณาส่วนที่ยังไม่ได้ดำเนินการเมื่อขอบเขต ISO/IEC 27001 ครอบคลุมเว็บไซต์แล้ว ส่วนข้อกำหนดที่ต้องใช้ต้องอ่านร่วมกับผลกระทบ ตาราง ค6 และเงื่อนไขของแต่ละข้อ รวมถึงแบบฟอร์ม ค1 / ค2 ไม่ใช่แบบฟอร์มห้าฉบับหรือข้อสรุป VA รายปีสำหรับทุกหน่วยงาน.[1]

→ อ่านขอบเขตและรายละเอียดมาตรฐานเว็บไซต์ สกมช. 2568 → อ่านรายละเอียด ISO 27001

Sources

[1] https://ratchakitcha.soc.go.th/documents/86192.pdf — ราชกิจจานุเบกษา: ประกาศมาตรฐานเว็บไซต์ พ.ศ. 2568 และเอกสารแนบท้าย [2] https://websitesecurity.ncsa.or.th — สกมช.: Website Security Standard และวันมีผลบังคับใช้