หน้าหลัก › ข้อกำหนด › ISO 27001 และ PCI DSS
ISO 27001 และ PCI DSS
- หน่วยงาน
- ISO / PCI SSC
- ใช้กับ
- องค์กรที่ทำ ISO 27001 certification หรืออยู่ใน PCI DSS scope
- ความถี่
- ISO อย่างน้อยปีละครั้ง / PCI ปีละครั้ง + ASV scan รายไตรมาส
ISO/IEC 27001:2022 A.8.8
Annex A Control 8.8 (Technical Vulnerability Management) กำหนดให้จัดการช่องโหว่ทางเทคนิคอย่างเป็นระบบ auditor คาดหวังผลการทดสอบเจาะระบบเป็นหลักฐาน หลายองค์กรที่ไม่มีผล pentest ถูกออก nonconformity ในการ audit
PCI DSS v4.0
สำหรับองค์กรที่รับชำระด้วยบัตร
- Requirement 11.4 — ทดสอบเจาะระบบ Cardholder Data Environment (CDE) อย่างน้อยปีละครั้งและทุกครั้งที่มี significant change PCI DSS 4.0 เพิ่ม authenticated internal pentest (11.4.3) และ segmentation test ทุก 12 เดือน (11.4.5) หรือ 6 เดือนสำหรับ service provider (11.4.6)
- Requirement 11.3.2 — external ASV scan ทุกไตรมาส โดย Approved Scanning Vendor
- Requirement 6.4 — บังคับมี WAF หรือ automated technical solution ตั้งแต่ 31 มี.ค. 2568
รวบรวมข้อมูลระบบได้ที่ เครื่องมือเตรียม scope ตามองค์กร โดยให้ทีมทบทวนข้อกำกับและขอบเขตก่อนเสนอราคา
ดูข้อกำหนดอื่น: มาตรฐานความมั่นคงปลอดภัยสำหรับเว็บไซต์ สกมช. 2568i-Pentest และ IT Risk ของ ธปท.PDPA กับการทดสอบเจาะระบบก.ล.ต. กับการทดสอบเจาะระบบคปภ. กับการทดสอบเจาะระบบพ.ร.บ. ไซเบอร์ กับการทดสอบเจาะระบบ (CII)มาตรา 54 พ.ร.บ. ไซเบอร์ฯ — CII ต้องประเมินความเสี่ยงและตรวจสอบทุกปีชุดประกาศ 18 มกราคม 2567 — มาตรฐานการกำหนดคุณลักษณะและขั้นต่ำมาตรฐาน Cloud Security สกมช. 2567ประมวลแนวทางปฏิบัติและกรอบมาตรฐานด้านไซเบอร์ 2564ประกาศผู้ให้บริการด้านความมั่นคงปลอดภัยไซเบอร์ 2566แนวปฏิบัติการใช้ปัญญาประดิษฐ์อย่างมั่นคงปลอดภัย สกมช. 2568
ไม่แน่ใจว่าองค์กรต้องทำอะไรบ้าง?
ใช้เครื่องมือวางแผนเบื้องต้น หรือหารือขอบเขตงานและข้อกำหนดที่ใช้กับองค์กรก่อนขอใบเสนอราคา