หน้าหลัก › ข้อกำหนดและมาตรฐาน
กฎหมายและมาตรฐานไซเบอร์ที่องค์กรไทยต้องปฏิบัติตาม
รวมกฎหมาย ประกาศ และมาตรฐานด้านความมั่นคงปลอดภัยไซเบอร์ จาก สกมช. และหน่วยงานกำกับดูแล พร้อมสรุปข้อกำหนดสำคัญและไทม์ไลน์การบังคับใช้
ไทม์ไลน์ประกาศและมาตรฐาน สกมช.
เรียงตามวันบังคับใช้ ใกล้สุดก่อน · 2569 = มีผลบังคับใช้ปี 2569
| ประกาศ / มาตรฐาน | หน่วยงาน | ปีประกาศ | บังคับใช้ |
|---|---|---|---|
| มาตรฐานการรักษาความมั่นคงปลอดภัยสำหรับเว็บไซต์ พ.ศ. 2568 2569 | สกมช. | 2568 | 16 ก.ย. 2569 |
| แนวปฏิบัติด้านปัญญาประดิษฐ์ พ.ศ. 2568 | สกมช. | 2568 | 2568 |
| มาตรฐานการรักษาความมั่นคงปลอดภัยสำหรับระบบคลาวด์ พ.ศ. 2567 | สกมช. | 2567 | 2567 |
| ประกาศ 18 ม.ค. 2567 (3 ฉบับ) | สกมช. | 2567 | 2567 |
| มาตรฐานสำหรับผู้ให้บริการ พ.ศ. 2566 | สกมช. | 2566 | 2566 |
| ประมวลแนวทางปฏิบัติ (Code of Practice) พ.ศ. 2564 | สกมช. | 2564 | 2564 |
| เกณฑ์กำหนด CII พ.ศ. 2564 | สกมช. | 2564 | 2564 |
| ระดับภัยคุกคาม พ.ศ. 2564 | สกมช. | 2564 | 2564 |
| พ.ร.บ. การรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 | สกมช. | 2562 | 2562 |
สรุปข้อกำหนดตามหน่วยงานกำกับดูแล
คลิกเพื่อดูรายละเอียดแต่ละข้อกำหนด
มาตรฐานความมั่นคงปลอดภัยสำหรับเว็บไซต์ สกมช. 2568
สรุปมาตรฐานเว็บไซต์ สกมช. 2568 จากต้นฉบับ ข้อยกเว้น VA/Pentest ระดับกลาง แบบฟอร์ม ค1/ค2 และเงื่อนไข ISO 27001 พร้อม FAQ
i-Pentest และ IT Risk ของ ธปท.
อธิบายข้อกำหนดทดสอบเจาะระบบตามประกาศ ธปท. ว่าด้วย IT Risk และกรอบ i-Pentest สำหรับสถาบันการเงินที่ ธปท. กำหนด
PDPA กับการทดสอบเจาะระบบ
PDPA มาตรา 37 กำหนดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม การทดสอบเจาะระบบช่วยประเมินมาตรการทางเทคนิคตามขอบเขต แต่ไม่รับรอง compliance ทั้งหมด
ISO 27001 และ PCI DSS
ISO/IEC 27001:2022 A.8.8 และ PCI DSS v4.0 Requirement 11.4 กำหนดให้ทดสอบเจาะระบบเป็นหลักฐานการจัดการช่องโหว่ทางเทคนิค
ก.ล.ต. กับการทดสอบเจาะระบบ
สรุปข้อกำหนด ก.ล.ต. ประกาศ สธ. 38/2565 ที่เกี่ยวกับการทดสอบเจาะระบบสำหรับบริษัทหลักทรัพย์และสินทรัพย์ดิจิทัล
คปภ. กับการทดสอบเจาะระบบ
สรุปข้อกำหนด คปภ. ว่าด้วย IT Risk Management ที่เกี่ยวกับการทดสอบเจาะระบบสำหรับบริษัทประกันภัยและประกันชีวิต
พ.ร.บ. ไซเบอร์ กับการทดสอบเจาะระบบ (CII)
สรุปข้อกำหนดพ.ร.บ. การรักษาความมั่นคงปลอดภัยไซเบอร์ 2562 สำหรับหน่วยงาน CII ที่ต้องทดสอบเจาะระบบและประเมินความเสี่ยง
มาตรา 54 พ.ร.บ. ไซเบอร์ฯ — CII ต้องประเมินความเสี่ยงและตรวจสอบทุกปี
สรุป พ.ร.บ. การรักษาความมั่นคงปลอดภัยไซเบอร์ 2562 มาตรา 54 หน้าที่ CII ประเมินความเสี่ยง ตรวจสอบปีละครั้ง ส่งรายงาน 30 วัน ครอบคลุม 7 กลุ่ม CII
ชุดประกาศ 18 มกราคม 2567 — มาตรฐานการกำหนดคุณลักษณะและขั้นต่ำ
สรุป 3 ประกาศ กมช. เรื่องมาตรฐานการกำหนดคุณลักษณะ มาตรฐานขั้นต่ำ และมาตรฐานส่งเสริมพัฒนาระบบ 2566 มติ กมช. 4/2566
มาตรฐาน Cloud Security สกมช. 2567
สรุปประกาศ กมช. มาตรฐานด้านการรักษาความมั่นคงปลอดภัยไซเบอร์ระบบคลาวด์ 2567 ระดับผลกระทบ 3 ระดับ ISO 27017 CSA STAR
ประมวลแนวทางปฏิบัติและกรอบมาตรฐานด้านไซเบอร์ 2564
สรุปประมวลแนวทางปฏิบัติฯ 2564 กรอบ 5 หมวดตาม NIST CSF Identify Protect Detect Respond Recover สำหรับรัฐและ CII
ประกาศผู้ให้บริการด้านความมั่นคงปลอดภัยไซเบอร์ 2566
สรุปประกาศผู้ให้บริการด้านความมั่นคงปลอดภัยไซเบอร์ 2566 ระบบรับรอง 3 ระดับ สมัครใจ รวม Pentest VAPT ข้อ 4 ข้อ 5 ข้อ 6
แนวปฏิบัติการใช้ปัญญาประดิษฐ์อย่างมั่นคงปลอดภัย สกมช. 2568
สรุปแนวปฏิบัติการใช้ปัญญาประดิษฐ์อย่างมั่นคงปลอดภัย สกมช. 2568 ครอบคลุม Data Poisoning Model Evasion Prompt Injection อ้างอิง ISO/IEC และ OWASP