ประมวลแนวทางปฏิบัติและกรอบมาตรฐานด้านไซเบอร์ 2564

สรุปสั้น: ประมวลแนวทางปฏิบัติและกรอบมาตรฐานด้านการรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2564 ออกโดยคณะกรรมการกำกับดูแลด้านความมั่นคงปลอดภัยไซเบอร์ (กกม.) ประกาศในราชกิจจานุเบกษา เล่ม 138 ตอนพิเศษ 208 เมื่อวันที่ 6 กันยายน 2564 มีผลบังคับใช้ 6 กันยายน 2565 กำหนดกรอบปฏิบัติ 5 หมวดตาม NIST Cybersecurity Framework (CSF): Identify, Protect, Detect, Respond, Recover

📎 ดูประกาศฉบับเต็ม (ราชกิจจานุเบกษา PDF)

ข้อมูลอ้างอิง

⚠️ ข้อสังเกต: ประกาศฉบับนี้ออกโดย กกม. (คณะกรรมการกำกับดูแลด้านความมั่นคงปลอดภัยไซเบอร์) ไม่ใช่ กมช. (คณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ) ทั้งสองเป็นคณะกรรมการคนละชุดภายใต้ พ.ร.บ. ไซเบอร์ฯ 2562

กรอบ 5 หมวดตาม NIST Cybersecurity Framework

ประกาศฉบับนี้จัดโครงสร้างตามกรอบ NIST Cybersecurity Framework (CSF) แบ่งเป็น 5 หมวดหลัก:

1. Identify — การระบุ

การทำความเข้าใจบริบทองค์กร ทรัพย์สินสารสนเทศ และความเสี่ยงด้านไซเบอร์

หน่วยงานจะต้องดำเนินการ:

• ระบุและจัดทำทะเบียนทรัพย์สินสารสนเทศ (Asset Management)
• ประเมินความเสี่ยง (Risk Assessment)
• ทำความเข้าใจสภาพแวดล้อมทางธุรกิจและกรอบการกำกับดูแล
• จัดทำกลยุทธ์การบริหารจัดการความเสี่ยง

2. Protect — การป้องกัน

การกำหนดและดำเนินมาตรการป้องกันเพื่อรักษาความมั่นคงปลอดภัยของระบบ

หน่วยงานจะต้องดำเนินการ:

• ควบคุมการเข้าถึง (Access Control)
• สร้างความตระหนัก (Awareness & Training)
• รักษาความมั่นคงปลอดภัยของข้อมูล (Data Security)
• กำหนดกระบวนการและขั้นตอนในการป้องกัน (Protective Processes)
• บำรุงรักษาระบบ (Maintenance)
• จัดการเทคโนโลยีป้องกัน (Protective Technology)

3. Detect — การตรวจจับ

การกำหนดกิจกรรมเพื่อตรวจจับภัยคุกคามทางไซเบอร์ได้อย่างทันท่วงที

หน่วยงานจะต้องดำเนินการ:

• ตรวจจับเหตุการณ์ผิดปกติ (Anomalies & Events)
• เฝ้าระวังอย่างต่อเนื่อง (Continuous Monitoring)
• จัดทำกระบวนการตรวจจับ (Detection Processes)

4. Respond — การรับมือ

การกำหนดกิจกรรมเพื่อรับมือกับเหตุภัยคุกคามทางไซเบอร์ที่ตรวจพบ

หน่วยงานจะต้องดำเนินการ:

• วางแผนรับมือ (Response Planning)
• สื่อสารกับผู้เกี่ยวข้อง (Communications)
• วิเคราะห์เหตุการณ์ (Analysis)
• บรรเทาผลกระทบ (Mitigation)
• ปรับปรุงกระบวนการ (Improvements)

5. Recover — การฟื้นฟู

การกำหนดกิจกรรมเพื่อฟื้นฟูระบบและบริการให้กลับสู่สภาพปกติ

หน่วยงานจะต้องดำเนินการ:

• วางแผนการฟื้นฟู (Recovery Planning)
• ปรับปรุงกระบวนการ (Improvements)
• สื่อสารกับผู้เกี่ยวข้อง (Communications)

สรุป 5 หมวดในตาราง

ความสำคัญในฐานะ “กรอบอ้างอิงหลัก”

ประมวลแนวทางปฏิบัติฯ 2564 เป็น กรอบอ้างอิงหลัก ที่ประกาศลำดับรองอื่น ๆ ภายใต้ พ.ร.บ. ไซเบอร์ฯ 2562 อ้างถึงซ้ำ ๆ ได้แก่:

• มาตรฐานเว็บไซต์ สกมช. 2568 — อ้างถึงประมวลแนวทางปฏิบัติฯ 2564 เป็นพื้นฐาน
• ชุดประกาศ 18 มกราคม 2567 — มาตรฐานการกำหนดคุณลักษณะและขั้นต่ำ
• มาตรฐาน Cloud Security สกมช. 2567 — ข้อกำหนดเฉพาะด้านคลาวด์

ดังนั้น การทำความเข้าใจกรอบ 5 หมวดของ NIST CSF ตามประกาศนี้เป็นพื้นฐานสำคัญก่อนที่จะดำเนินการตามประกาศลำดับรองอื่น ๆ

ความเชื่อมโยงกับ พ.ร.บ. ไซเบอร์ฯ 2562

---

คำถามที่พบบ่อย (FAQ)

1. ประกาศนี้ยังมีผลบังคับใช้อยู่หรือไม่?

มีผลบังคับใช้ ตั้งแต่ 6 กันยายน 2565 และยังคงเป็นกรอบอ้างอิงหลักที่ประกาศลำดับรองอื่น ๆ อ้างถึง

2. กกม. กับ กมช. ต่างกันอย่างไร?

• กมช. (คณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ) — คณะกรรมการระดับชาติ กำหนดนโยบายภาพรวม
• กกม. (คณะกรรมการกำกับดูแลด้านความมั่นคงปลอดภัยไซเบอร์) — คณะกรรมการกำกับดูแล ออกประกาศแนวทางปฏิบัติ

ประกาศฉบับนี้ออกโดย กกม. ไม่ใช่ กมช.

3. NIST CSF คืออะไร?

NIST Cybersecurity Framework (CSF) เป็นกรอบมาตรฐานด้านความมั่นคงปลอดภัยไซเบอร์ที่พัฒนาโดย National Institute of Standards and Technology (NIST) ของสหรัฐอเมริกา แบ่งเป็น 5 หมวดหลัก: Identify, Protect, Detect, Respond, Recover

4. หน่วยงานที่มี ISO 27001 แล้วต้องทำตามอีกหรือไม่?

ISO 27001 ครอบคลุมหลายส่วนของ NIST CSF แต่ไม่ทั้งหมด ประมวลแนวทางปฏิบัติฯ 2564 กำหนดกรอบเพิ่มเติมที่ ISO 27001 อาจไม่ครอบคลุม โดยเฉพาะด้าน Detect, Respond และ Recover หน่วยงานจะต้องตรวจสอบว่าปฏิบัติครบทั้ง 5 หมวด

5. เอกชนต้องทำตามหรือไม่?

เอกชนที่ถูกประกาศเป็น CII จะต้องปฏิบัติตาม ส่วนเอกชนทั่วไปอาจจะนำไปใช้เป็นแนวทางได้โดยสมัครใจ

---

บริการของ ITSL ที่ช่วยให้ปฏิบัติตามกรอบมาตรฐานนี้

IT Audit & Compliance Assessment

ประเมินสถานะของหน่วยงานเทียบกับกรอบ 5 หมวด NIST CSF ระบุส่วนที่ยังขาดและจัดลำดับความสำคัญ

→ ดูรายละเอียด IT Audit

Vulnerability Assessment & Penetration Testing

รองรับหมวด Identify (ประเมินความเสี่ยง) และหมวด Protect (ทดสอบมาตรการป้องกัน)

→ ดูรายละเอียด Web Pentest

IT Policy Development

จัดทำนโยบายครอบคลุมทั้ง 5 หมวด: การระบุทรัพย์สิน นโยบายป้องกัน แผนเฝ้าระวัง แผนรับมือเหตุ และแผนฟื้นฟู

→ ดูรายละเอียด IT Policy

---