มาตรฐาน Cloud Security สกมช. 2567

สรุปสั้น: ประกาศคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ เรื่อง มาตรฐานด้านการรักษาความมั่นคงปลอดภัยไซเบอร์ระบบคลาวด์ พ.ศ. 2567 ประกาศในราชกิจจานุเบกษา เล่ม 141 ตอนพิเศษ 248 ง หน้า 16–18 เมื่อวันที่ 10 กันยายน 2567 มีผลบังคับใช้ 10 กันยายน 2569 กำหนดให้หน่วยงานรัฐ หน่วยงาน CII และผู้ให้บริการคลาวด์ที่ให้บริการกับหน่วยงานเหล่านั้น จะต้องปฏิบัติตาม

📎 ดูประกาศฉบับเต็ม (ราชกิจจานุเบกษา PDF)

ใครต้องปฏิบัติตาม

ประกาศฉบับนี้กำหนดหน้าที่ของ 3 บทบาท (Roles):

• หน่วยงานของรัฐ ที่ใช้คลาวด์ จะต้องปฏิบัติตามในฐานะ CSC
• หน่วยงาน CII ที่ใช้คลาวด์ จะต้องปฏิบัติตามในฐานะ CSC
• ผู้ให้บริการคลาวด์ ที่ให้บริการกับหน่วยงานรัฐหรือ CII จะต้องปฏิบัติตามในฐานะ CSP

3 ระดับผลกระทบ (Impact Levels)

ประกาศแบ่งระดับผลกระทบเป็น 3 ระดับ โดยแต่ละระดับอ้างอิงมาตรฐานสากลที่ต่างกัน:

สรุปมาตรฐานที่อ้างอิง

เส้นทางการรับรอง (Certification Path)

ประกาศกำหนดขั้นตอนการรับรองดังนี้:

ขั้นตอนที่ 1    Self-Assessment
                 หน่วยงาน (CSC/CSP) ประเมินตนเอง
    │
    ▼
ขั้นตอนที่ 2    หน่วยงานกำกับดูแลตรวจสอบ
                 หน่วยงานกำกับตรวจสอบผลการประเมิน
    │
    ▼
ขั้นตอนที่ 3    Certification Body (CB) รับรอง
                 CB ตรวจสอบและออกใบรับรอง

ทะเบียนผู้ให้บริการคลาวด์ (Cloud Security Registry)

สกมช. จัดทำระบบทะเบียนผู้ให้บริการคลาวด์ที่ผ่านการรับรอง:

• URL: https://cloudsecurity.ncsa.or.th/
• หน่วยงานรับรองแห่งแรก (First CB): NECTEC — มีกำหนดเริ่มรับรองเดือนกันยายน 2569

Timeline สำคัญ

ความเชื่อมโยงกับกฎหมายและมาตรฐานอื่น

ประกาศฉบับนี้เป็นประกาศลำดับรองภายใต้ พ.ร.บ. การรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 โดยเชื่อมโยงกับ:

• มาตรา 54 พ.ร.บ. ไซเบอร์ฯ — CII ต้องประเมินความเสี่ยงและตรวจสอบทุกปี (รวมถึงระบบคลาวด์)
• ชุดประกาศ 18 มกราคม 2567 — มาตรฐานการกำหนดคุณลักษณะและขั้นต่ำ
• ประมวลแนวทางปฏิบัติฯ 2564 — กรอบ NIST CSF ที่ใช้เป็นพื้นฐาน

---

คำถามที่พบบ่อย (FAQ)

1. บังคับใช้เมื่อไร?

ประกาศมีผลบังคับใช้ 10 กันยายน 2569 หน่วยงานควรจะเริ่มเตรียมความพร้อมตั้งแต่ตอนนี้

2. ผู้ให้บริการคลาวด์เอกชนต้องทำอย่างไร?

หากให้บริการกับหน่วยงานรัฐหรือ CII ผู้ให้บริการคลาวด์จะต้องปฏิบัติตามในฐานะ CSP ตามระดับผลกระทบของหน่วยงานลูกค้า

3. ถ้ามี ISO 27001 อยู่แล้วต้องทำอะไรเพิ่ม?

ISO 27001 ครอบคลุมเฉพาะระดับผลกระทบ ต่ำ บางส่วน สำหรับระดับกลางและสูงจะต้องมี ISO 27017, ISO 27018 (กลาง+สูง) และ ISO 27701 + CSA STAR + CSA CCM (สูง) เพิ่มเติม

4. Self-Assessment ทำอย่างไร?

หน่วยงานจะต้องประเมินตนเองตามเกณฑ์ที่ประกาศกำหนดสำหรับแต่ละระดับผลกระทบ จากนั้นส่งผลให้หน่วยงานกำกับดูแลตรวจสอบ ก่อนที่ CB จะเข้ามารับรอง

5. NECTEC คืออะไร ทำไมเป็น CB แห่งแรก?

NECTEC (ศูนย์เทคโนโลยีอิเล็กทรอนิกส์และคอมพิวเตอร์แห่งชาติ) ได้รับคัดเลือกให้เป็น Certification Body แห่งแรกสำหรับการรับรองมาตรฐานคลาวด์ตามประกาศนี้ โดยมีกำหนดเริ่มให้บริการรับรองในเดือนกันยายน 2569

---

บริการของ ITSL ที่ช่วยให้ปฏิบัติตามมาตรฐานนี้

Cloud Security Assessment

ประเมินระบบคลาวด์ตามเกณฑ์ 3 ระดับผลกระทบ ตรวจสอบ Gap เทียบกับ ISO 27001/27017/27018 และ CSA CCM

→ ดูรายละเอียด IT Audit

Vulnerability Assessment & Penetration Testing

ทดสอบช่องโหว่ระบบคลาวด์ ครอบคลุมทั้ง Infrastructure และ Application Layer

→ ดูรายละเอียด Web Pentest

IT Policy Development

จัดทำนโยบายด้านการใช้บริการคลาวด์ (Cloud Usage Policy) และแนวปฏิบัติการบริหารจัดการผู้ให้บริการคลาวด์

→ ดูรายละเอียด IT Policy

---