ประกาศผู้ให้บริการด้านความมั่นคงปลอดภัยไซเบอร์ 2566

สรุปสั้น: ประกาศผู้ให้บริการด้านความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2566 มี 14 ข้อ ออกโดยอาศัยอำนาจตามมาตรา 9(4) แห่ง พ.ร.บ. การรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 กำหนดระบบการรับรองคุณภาพผู้ให้บริการด้านไซเบอร์ 3 ระดับ เป็นระบบสมัครใจ (Opt-in) ไม่มีบทลงโทษ แต่ในทางปฏิบัติ ข้อ 4 ของประกาศนี้ประกอบกับข้อ 5.6.6 ของมาตรฐานเว็บไซต์ สกมช. 2568 สร้างเงื่อนไขการคัดกรองผู้ให้บริการโดยพฤตินัย

ข้อมูลอ้างอิง

ข้อกำหนดสำคัญ

ข้อ 3 — นิยามผู้ให้บริการ

ข้อ 3 กำหนดนิยาม “ผู้ให้บริการด้านความมั่นคงปลอดภัยไซเบอร์” ให้ครอบคลุมผู้ประกอบการที่ให้บริการด้านไซเบอร์ รวมถึง:

• Penetration Testing (Pentest) — การทดสอบเจาะระบบ
• Vulnerability Assessment & Penetration Testing (VAPT) — การประเมินช่องโหว่และทดสอบเจาะระบบ
• บริการด้านความมั่นคงปลอดภัยไซเบอร์ประเภทอื่น ๆ

ข้อ 4 — ต้องได้รับการรับรองคุณภาพ

ผู้ให้บริการที่ประสงค์จะเข้าสู่ระบบจะต้องได้รับการรับรองคุณภาพตามหลักเกณฑ์ที่กำหนด (ข้อ 4)

⚠️ ข้อสังเกตสำคัญ: แม้ข้อ 6 ระบุว่าการเข้าสู่ระบบเป็นสมัครใจ แต่ข้อ 5.6.6 ของมาตรฐานความมั่นคงปลอดภัยสำหรับเว็บไซต์ สกมช. 2568 กำหนดว่าหน่วยงานจะต้องเลือกผู้ให้บริการ VA/Pentest ที่มีการรับรอง (Accreditation) ดังนั้นในทางปฏิบัติ การได้รับการรับรองตามข้อ 4 ของประกาศนี้กลายเป็นเงื่อนไขที่จำเป็นสำหรับผู้ให้บริการที่ต้องการรับงานจากหน่วยงานรัฐและ CII

ข้อ 5 — 3 ระดับการรับรอง

ข้อ 5 กำหนดการรับรองคุณภาพเป็น 3 ระดับ:

ข้อ 6 — สมัครใจ ไม่มีบทลงโทษ

ข้อ 6 ระบุชัดเจนว่าการเข้าสู่ระบบการรับรองเป็นสมัครใจ (Opt-in) ไม่มีบทลงโทษสำหรับผู้ให้บริการที่ไม่เข้าร่วม

ไม่มีบทลงโทษ — ประกาศฉบับนี้ไม่มีบทกำหนดโทษสำหรับผู้ให้บริการที่ไม่เข้าสู่ระบบรับรอง

ข้อ 7 — ประเภทบริการกำหนดแยก

ประเภทบริการด้านความมั่นคงปลอดภัยไซเบอร์ที่เข้าข่ายจะต้องเป็นไปตามที่กำหนดในประกาศสำนักงานต่างหาก (ข้อ 7)

ข้อ 12 — การสุ่มตรวจ

สกมช. อาจจะสุ่มตรวจผู้ให้บริการที่ได้รับการรับรองเพื่อตรวจสอบว่ายังคงเป็นไปตามเกณฑ์ที่กำหนด (ข้อ 12)

ข้อ 13 — การต่ออายุ

ผู้ให้บริการที่ได้รับการรับรองจะต้องยื่นขอต่ออายุก่อนวันหมดอายุอย่างน้อย 120 วัน (ข้อ 13)

ข้อ 14 — เลขาธิการรักษาการ

เลขาธิการ สกมช. เป็นผู้รักษาการตามประกาศนี้ (ข้อ 14)

สมัครใจ แต่จำเป็นในทางปฏิบัติ

ประกาศผู้ให้บริการฯ 2566                มาตรฐานเว็บไซต์ สกมช. 2568
┌──────────────────────┐           ┌──────────────────────────────┐
│ ข้อ 6: สมัครใจ       │           │ ข้อ 5.6.6: หน่วยงานจะต้อง   │
│ ไม่มีบทลงโทษ        │     +     │ เลือกผู้ให้บริการที่มี       │
│                      │           │ การรับรอง (Accreditation)    │
└──────────┬───────────┘           └──────────────┬───────────────┘
           │                                      │
           ▼                                      ▼
    ┌──────────────────────────────────────────────────┐
    │ ผลในทางปฏิบัติ: ผู้ให้บริการที่ต้องการรับงานจาก  │
    │ หน่วยงานรัฐ/CII จำเป็นต้องเข้าสู่ระบบรับรอง     │
    └──────────────────────────────────────────────────┘

แม้ว่าประกาศฉบับนี้เป็นระบบสมัครใจ แต่เมื่อมาตรฐานเว็บไซต์ สกมช. 2568 (ข้อ 5.6.6) กำหนดให้หน่วยงานรัฐและ CII จะต้องเลือกผู้ให้บริการที่ได้รับการรับรอง ผู้ให้บริการที่ไม่เข้าสู่ระบบจะไม่สามารถรับงานจากหน่วยงานเหล่านั้นได้ในทางปฏิบัติ

สถานะปัจจุบัน

ช่องทางติดต่อ

---

คำถามที่พบบ่อย (FAQ)

1. ผู้ให้บริการ Pentest ต้องขอรับรองหรือไม่?

ตามข้อ 6 ของประกาศนี้ การขอรับรองเป็นสมัครใจ ไม่มีบทลงโทษ อย่างไรก็ตาม หากต้องการรับงานจากหน่วยงานรัฐหรือ CII ข้อ 5.6.6 ของมาตรฐานเว็บไซต์ สกมช. 2568 กำหนดว่าหน่วยงานจะต้องเลือกผู้ให้บริการที่มีการรับรอง ดังนั้นในทางปฏิบัติการขอรับรองเป็นสิ่งจำเป็น

2. มี 3 ระดับการรับรอง ต่างกันอย่างไร?

ข้อ 5 กำหนดการรับรองเป็น 3 ระดับ โดยแต่ละระดับมีเกณฑ์ที่ต่างกัน

3. ต่ออายุอย่างไร?

จะต้องยื่นขอต่ออายุก่อนวันหมดอายุอย่างน้อย 120 วัน (ข้อ 13) หากไม่ยื่นภายในกำหนด การรับรองจะสิ้นสุดลง

4. สกมช. สุ่มตรวจอย่างไร?

ตามข้อ 12 สกมช. อาจจะสุ่มตรวจผู้ให้บริการที่ได้รับการรับรอง เพื่อตรวจสอบว่ายังคงเป็นไปตามเกณฑ์ที่กำหนด

5. มีทะเบียนสาธารณะให้ตรวจสอบหรือไม่?

ปัจจุบันยังไม่มีทะเบียนสาธารณะ (Public Registry) สำหรับผู้ให้บริการที่ได้รับการรับรอง สามารถสอบถามข้อมูลเพิ่มเติมได้ที่ สกมช. โทร 0 2502 7825 หรืออีเมล Research@ncsa.or.th

6. ประเภทบริการที่เข้าข่ายมีอะไรบ้าง?

ข้อ 7 กำหนดว่าประเภทบริการจะระบุในประกาศสำนักงานแยกต่างหาก

---

บริการของ ITSL ที่เกี่ยวข้อง

Vulnerability Assessment & Penetration Testing

ITSL ให้บริการ VA/Pentest โดยทีมงานที่มีใบรับรองวิชาชีพ ได้แก่ OSCP, OSWE, GPEN

→ ดูรายละเอียด Web Pentest

IT Audit & Compliance Assessment

ช่วยหน่วยงานตรวจสอบว่าผู้ให้บริการด้านไซเบอร์ที่ใช้อยู่ผ่านเกณฑ์ตามข้อ 4 ของประกาศนี้

→ ดูรายละเอียด IT Audit

---