i-Pentest และ IT Risk ของ ธปท.

ข้อกำหนดหลัก

ประกาศ ธปท. ว่าด้วยการกำกับดูแลความเสี่ยงด้านเทคโนโลยีสารสนเทศ (IT Risk) กำหนดให้สถาบันการเงินทดสอบเจาะระบบ (penetration testing) ระบบงานสำคัญอย่างน้อยปีละ 1 ครั้ง และทุกครั้งที่มีการเปลี่ยนแปลงสำคัญ ผลการทดสอบเป็นเอกสารที่ผู้ตรวจของ ธปท. ขอดูเมื่อเข้าตรวจสอบ

i-Pentest คืออะไร

i-Pentest (Intelligence-led Penetration Testing) เป็นการทดสอบระดับสูงที่อ้างอิงกรอบ TIBER-EU ใช้ threat intelligence จริงมาออกแบบสถานการณ์ทดสอบ บังคับใช้เฉพาะสถาบันการเงินที่ ธปท. กำหนด (เช่น D-SIB) จุดสำคัญคือ

• ต้องแยกผู้ให้บริการ Threat Intelligence ออกจาก Red Team
• ต้องจัดตั้ง White Team ที่รักษาความลับจาก Blue Team
• ต้องรายงานผลต่อ ธปท. ตามรูปแบบและกรอบเวลาที่กำหนด

ประเมินความพร้อมองค์กร

องค์กรที่กำลังเตรียมทำ i-Pentest สามารถประเมินความพร้อม 15 ข้อใน 4 ขั้นตอน (Governance, Threat Intelligence, Red Team, Closure) ได้ฟรีที่เครื่องมือ i-Pentest Gap Assessment