หน้าหลัก › ข้อกำหนด › มาตรฐานความมั่นคงปลอดภัยสำหรับเว็บไซต์ สกมช. 2568
มาตรฐานความมั่นคงปลอดภัยสำหรับเว็บไซต์ สกมช. 2568
- หน่วยงาน
- สำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (สกมช./NCSA)
- ใช้กับ
- หน่วยงานของรัฐ หน่วยงานควบคุมหรือกำกับดูแล และ CII · เอกชนทั่วไป = ส่งเสริม
- ความถี่
- ประเมินตนเองอย่างน้อยปีละ 1 ครั้งตามขอบเขตข้อ 4 และ 7.2.1.1; ตรวจเงื่อนไข ISO ข้อ 7.2.2
สรุปสั้น: ประกาศคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ เรื่อง มาตรฐานการรักษาความมั่นคงปลอดภัยสำหรับเว็บไซต์ พ.ศ. 2568 เผยแพร่ในราชกิจจานุเบกษา เล่ม 142 ตอนพิเศษ 305 ง หน้า 33–35 เมื่อวันที่ 16 กันยายน 2568 ข้อ 2 ให้ใช้บังคับเมื่อพ้นหนึ่งปีนับแต่วันประกาศ โดย เว็บไซต์มาตรฐานของ สกมช. ระบุวันมีผล 16 กันยายน 2569 ต้องตรวจประเภทหน่วยงาน ระดับผลกระทบ และขอบเขต ISO ก่อนสรุปหน้าที่ของแต่ละเว็บไซต์
ใครต้องปฏิบัติตาม
ข้อ 3 ของประกาศ หน้า PDF 1 และ ตาราง ค7 หน้า PDF 57 / หน้า 54 ของมาตรฐาน แบ่งเป็นสองกลุ่ม:
| กลุ่ม | หน่วยงาน | ถ้อยคำในตาราง ค7 |
|---|---|---|
| กลุ่มที่ 1 | หน่วยงานของรัฐ หน่วยงานควบคุมหรือกำกับดูแล และหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ (CII) | จะต้องปฏิบัติตาม |
| กลุ่มที่ 2 | หน่วยงานเอกชน | ส่งเสริมให้ปฏิบัติตาม |
เอกชนที่มีสถานะ CII ไม่ได้เป็นกลุ่มส่งเสริมเพียงเพราะเป็นบริษัทเอกชน และข้อกำกับหรือสัญญาอื่นอาจกำหนดหน้าที่เพิ่มเติมได้
การประเมินตนเอง แบบฟอร์ม และการรายงาน
ข้อ 4–5 ของตัวประกาศ หน้า PDF 2 ระบุหน่วยงานควบคุมหรือกำกับดูแลและหน่วยงาน CII ให้กำหนดคุณลักษณะข้อมูล/ระบบเว็บไซต์ จัดระดับผลกระทบ ระบุข้อกำหนดขั้นต่ำ และประเมินตนเองตาม แบบฟอร์ม ค1 อย่างน้อยปีละ 1 ครั้ง ส่วนแนบท้ายข้อ 7.2.1.1 ระบุการประเมินสำหรับกลุ่มที่ 1 ที่ยังไม่ได้รับ ISO/IEC 27001 หรือขอบเขตการรับรองยังไม่ครอบคลุมเว็บไซต์
- แบบฟอร์ม ค1: แบบตรวจรายการเพื่อตรวจสอบสถานะความมั่นคงปลอดภัยสำหรับเว็บไซต์
- ตาราง ค1–ค5: ตารางในส่วนที่ 2 ของแบบฟอร์ม ค1 สำหรับประเมินผลกระทบและสรุปผล ไม่ใช่แบบฟอร์มแยกห้าฉบับ นำผลไปเทียบข้อกำหนดขั้นต่ำในตาราง ค6
- แบบฟอร์ม ค2: แบบรายงานรายการที่ยังต้องปรับปรุง ใช้บันทึกและรายงานผลการแก้ไขตามแนวทางข้อ 7.2.1
- ระดับต่ำ/กลาง: เสนอรายงานและหลักฐานต่อผู้บริหารสูงสุด เก็บไว้ที่หน่วยงานให้ตรวจสอบ
- ระดับสูง: เสนอต่อผู้บริหารสูงสุดและหน่วยงานควบคุมหรือกำกับดูแล พร้อมส่งสำเนาให้ สกมช.
อ่าน ข้อ 7.1–7.2 หน้า PDF 17 คู่กับ ข้อ 7.2.2 หน้า PDF 18 สำหรับกรณี ISO ไม่ควรใช้บทสรุปนี้ตัดสินภาระรายงานโดยไม่ตรวจขอบเขตจริง
ระดับผลกระทบกับข้อกำหนดขั้นต่ำ (ตาราง ค6)
ตารางนี้สรุปจาก ตาราง ค6 หน้า PDF 56 / หน้า 53 ของมาตรฐาน คำว่า “ทุกข้อ” ยังต้องอ่านถ้อยคำและเงื่อนไขภายในแต่ละข้อ ไม่ได้เปลี่ยน “ควรจะ” หรือ “อาจจะ” เป็นข้อบังคับทั้งหมด
| ระดับ | หัวข้อ 5 (การกำกับดูแล) | หัวข้อ 6 (การดำเนินการและการรักษาความมั่นคงปลอดภัย) |
|---|---|---|
| สูง | ทุกข้อ | ทุกข้อ |
| กลาง | ทุกข้อ | ยกเว้น 6.1.1 เฉพาะ VA/Pentest และ Third Party Management; 6.2.1; 6.2.3(5)–(7); 6.2.4 เฉพาะ Information Sharing |
| ต่ำ | ทุกข้อ | ยกเว้น 6.1.1; 6.2.1; 6.2.3(4)–(7); 6.2.4 เฉพาะ Remote Connection / Removable Storage Media / Information Sharing; 6.3.1; 6.4.1; 6.5.1 |
ระดับกลางได้รับยกเว้นส่วน VA/Pentest ของข้อ 6.1.1 จึงไม่ควรสรุปว่ามาตรฐานฉบับนี้บังคับ VA ทั้งระดับสูงและกลาง ข้อยกเว้นนี้ไม่ได้ยกเว้นหน้าที่ตามกฎหมาย ข้อกำกับ หรือสัญญาอื่นโดยอัตโนมัติ
ข้อกำหนดทางเทคนิค — หัวข้อ 6
6.1 การระบุความเสี่ยงที่จะเกิดขึ้นกับเว็บไซต์ (Website Security Identification)
ข้อ 6.1.1 หน้า PDF 14 รวม Asset Management, Risk Assessment, VA/Pentest และ Third Party Management ระดับกลางยังอยู่ในขอบเขต Asset Management และ Risk Assessment แต่ยกเว้นส่วน VA/Pentest และ Third Party Management; ระดับต่ำยกเว้นข้อ 6.1.1 ทั้งข้อ
เมื่ออ่านรายละเอียดประกอบ แบบฟอร์ม ค1 ส่วนที่ 3 หัวข้อ 7.1:
- VA: ใช้คำว่า “จะต้อง” โดยอ้างอิงหลักการบริหารความเสี่ยงและครอบคลุมบริการเว็บไซต์ ไม่ได้กำหนด “VA ปีละครั้ง” ในข้อความนี้ ดู หน้า PDF 62 / หน้า 59
- Pentest: ใช้คำว่า “ควรจะ” โดยพิจารณาดำเนินการ อย่างน้อยปีละ 1 ครั้ง ตามความจำเป็น ไม่ใช่ข้อบังคับซื้อ Pentest รายปีสำหรับทุกองค์กร ดู หน้า PDF 63 / หน้า 60
6.2 การป้องกันความเสี่ยงที่อาจจะเกิดขึ้นกับเว็บไซต์ (Website Security Protection)
สรุปหัวข้อจาก หน้า PDF 14–16 โดยต้องอ่านข้อยกเว้นตาราง ค6 ประกอบ:
| ข้อ | สาระของข้อกำหนด |
|---|---|
| 6.2.1 | กำหนดแนวทางพัฒนา Web Application อย่างมั่นคงปลอดภัย เช่น พิจารณาหลัก DevSecOps; ระดับกลางและต่ำได้รับยกเว้น |
| 6.2.2 | จะต้องพิจารณาปัจจัยเสี่ยงของเว็บไซต์ที่พบบ่อยตาม OWASP; ใช้กับทุกระดับ |
| 6.2.3 | จะต้องพิจารณาการออกแบบสถาปัตยกรรมอย่างมั่นคงปลอดภัย; มีตัวอย่าง Firewall, IDS/IPS, Antivirus/EDR, WAF และผลิตภัณฑ์เพิ่มเติม SIEM, XDR, SOAR ซึ่งมีเงื่อนไขด้านทรัพยากร ไม่ใช่สั่งซื้อทุกผลิตภัณฑ์ |
| 6.2.4 | Access Control, System Hardening, Remote Connection, Removable Storage Media, Information Sharing และ Website Security Awareness; ระดับต่ำ/กลางยกเว้นเฉพาะส่วนตามตาราง ค6 ไม่ใช่ยกเว้นทั้งข้อ |
| 6.2.5 | จะต้องพิจารณา MFA หรือ Digital ID ตามข้อเสนอแนะที่อ้างถึง; ใช้กับทุกระดับ ไม่ได้แปลว่าทุกระบบต้องติดตั้ง MFA แบบเดียวกัน |
| 6.2.6 | ตั้งค่าความมั่นคงปลอดภัยพื้นฐานของ Web Server, Web Application, CMS, OS และฐานข้อมูล |
| 6.2.7 | กำหนดแนวทางเลือกบริการ Web Server, CMS, โดเมน และ Cipher Suite ของ TLS Certificate |
| 6.2.8 | ตั้งค่าไฟร์วอลล์เพื่อควบคุมและป้องกันการบุกรุก โดยมีหลักการตั้งค่าที่ควรพิจารณา |
6.3 มาตรการตรวจสอบและเฝ้าระวังภัยคุกคามทางไซเบอร์สำหรับเว็บไซต์ (Website Security Detection)
ข้อ 6.3.1 ให้ตรวจสอบและเฝ้าระวังภัยคุกคามตามกรอบมาตรฐานที่อ้างถึง ระดับต่ำได้รับยกเว้นข้อนี้ตามตาราง ค6
6.4 การเผชิญเหตุเมื่อตรวจพบภัยคุกคามทางไซเบอร์สำหรับเว็บไซต์ (Website Incident Response)
ข้อ 6.4.1 ให้จัดทำ สื่อสาร ฝึกซ้อม ทบทวน และปรับปรุงแผนรับมือ รวมถึงแผนสื่อสารในภาวะวิกฤต ระดับต่ำได้รับยกเว้นข้อนี้ตามตาราง ค6
6.5 การรักษาและฟื้นฟูความเสียหายจากภัยคุกคามทางไซเบอร์สำหรับเว็บไซต์ (Website Recovery)
ข้อ 6.5.1 ให้มีการรักษาและฟื้นฟู จัดทำแผนความต่อเนื่องทางธุรกิจ (BCP) และฝึกซ้อมตามกรอบมาตรฐานที่อ้างถึง ระดับต่ำได้รับยกเว้นข้อนี้ตามตาราง ค6
รายละเอียดข้อ 6.3–6.5 อยู่ที่ หน้า PDF 16 / หน้า 13 ของมาตรฐาน
ข้อกำหนดเรื่องผู้ให้บริการ VA/Pentest
ข้อ 5.6.6 หน้า PDF 13 ใช้คำว่า “จะต้องพิจารณาเลือก” ผู้ให้บริการด้านความมั่นคงปลอดภัยไซเบอร์สำหรับเว็บไซต์ เช่น VA/Pentest ที่ได้รับการรับรองและได้รับประกาศนียบัตร (Accreditations and Certifications) ที่เป็นที่ยอมรับในอุตสาหกรรม ไม่ได้ระบุว่าทุกหน่วยงานต้องจ้างภายนอกเท่านั้น และไม่ได้ให้รายชื่อใบรับรองเฉพาะในข้อนี้
ความเชื่อมโยงกับ พ.ร.บ. ไซเบอร์ 2562
มาตรฐานนี้ต้องอ่านร่วมกับ พ.ร.บ. การรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 และข้อกำกับที่ใช้กับหน่วยงาน อย่านำรอบประเมินความเสี่ยง ตรวจสอบ หรือประเมินตนเองมาใช้แทนรอบ Pentest โดยไม่ตรวจตัวบทและขอบเขต ดู คำอธิบายหน้าที่ด้านการตรวจสอบของ CII
คำถามที่พบบ่อย (FAQ)
1. มี ISO 27001 อยู่แล้ว ต้องทำตามมาตรฐานนี้อีกหรือไม่?
ต้องตรวจว่า ขอบเขตการรับรองครอบคลุมเว็บไซต์ หรือไม่ ข้อ 7.2.2 หน้า PDF 18 ระบุว่าเมื่อครอบคลุมแล้ว หน่วยงาน อาจจะพิจารณา ดำเนินการเฉพาะส่วนที่ยังไม่ได้ดำเนินการตามมาตรฐาน ISO/IEC 27001 ที่ได้รับรองนั้น ตามความจำเป็นและเหมาะสม ไม่ใช่การยกเว้นอัตโนมัติ เพียงมีใบรับรอง หากไม่ครอบคลุมเว็บไซต์ ให้อ่านข้อ 7.2.1
2. VA กับ Pentest ต่างกันอย่างไร?
VA เป็นการประเมินช่องโหว่ซึ่งอาจใช้เครื่องมือร่วมกับการตรวจสอบโดยผู้เชี่ยวชาญ ส่วน Pentest ทดสอบเพื่อประเมินผลกระทบภายใต้ขอบเขตที่ได้รับอนุญาต สำหรับมาตรฐานนี้ต้องอ่านถ้อยคำ “จะต้อง” ของ VA และ “ควรจะ…ตามความจำเป็น” ของ Pentest ในแบบฟอร์ม ค1 พร้อมข้อยกเว้นตาราง ค6 ไม่ใช่ข้อบังคับเหมือนกันทุกระดับ
3. หน่วยงานทำ VA/Pentest เองได้หรือไม่?
ข้อ 5.6.6 ไม่ได้ระบุว่าห้ามดำเนินการภายใน หรือว่าถ้าไม่มี Accreditation ต้องซื้อบริการภายนอกเสมอ การเลือกวิธีดำเนินการต้องพิจารณาความสามารถ ความเป็นอิสระ ขอบเขตงาน และข้อกำกับอื่นที่ใช้กับหน่วยงาน ไม่ควรอนุมานหน้าที่จ้างงานจากข้อความนี้เพียงข้อเดียว
4. เอกชนต้องทำตามมาตรฐานนี้ด้วยหรือไม่?
เอกชนทั่วไปอยู่ในกลุ่มส่งเสริมตามตาราง ค7 แต่หากมีสถานะ CII ต้องพิจารณาในกลุ่มที่ 1 และยังต้องตรวจข้อกำกับหรือสัญญาอื่น ไม่ใช่ข้อยกเว้นจากกฎหมายความมั่นคงปลอดภัยทั้งหมด
บริการของ ITSL ที่ช่วยเตรียมความพร้อม
- Web Pentest และ VA — กำหนดขอบเขตทดสอบตามความเสี่ยงและข้อที่ใช้กับหน่วยงาน ไม่เหมารวมว่าเป็นภาระรายปีของทุกองค์กร
- IT Audit — ทบทวนหลักฐานและช่องว่าง รวมถึงขอบเขตการรับรอง ISO/IEC 27001
- IT Policy Development — จัดทำนโยบายและแนวปฏิบัติให้สอดคล้องกับบริบทหน่วยงาน
เครื่องมือ ประเมินระดับผลกระทบ และ Website Security Checklist ช่วยเตรียมและติดตามงานเท่านั้น ไม่ใช่แบบฟอร์มราชการหรือใบรับรองว่าปฏิบัติครบ การสรุปสถานะต้องอาศัยหลักฐานจริงและข้อกำกับที่เกี่ยวข้อง
ดูข้อกำหนดอื่น: i-Pentest และ IT Risk ของ ธปท.PDPA กับการทดสอบเจาะระบบISO 27001 และ PCI DSSก.ล.ต. กับการทดสอบเจาะระบบคปภ. กับการทดสอบเจาะระบบพ.ร.บ. ไซเบอร์ กับการทดสอบเจาะระบบ (CII)มาตรา 54 พ.ร.บ. ไซเบอร์ฯ — CII ต้องประเมินความเสี่ยงและตรวจสอบทุกปีชุดประกาศ 18 มกราคม 2567 — มาตรฐานการกำหนดคุณลักษณะและขั้นต่ำมาตรฐาน Cloud Security สกมช. 2567ประมวลแนวทางปฏิบัติและกรอบมาตรฐานด้านไซเบอร์ 2564ประกาศผู้ให้บริการด้านความมั่นคงปลอดภัยไซเบอร์ 2566แนวปฏิบัติการใช้ปัญญาประดิษฐ์อย่างมั่นคงปลอดภัย สกมช. 2568
ไม่แน่ใจว่าองค์กรต้องทำอะไรบ้าง?
ใช้เครื่องมือวางแผนเบื้องต้น หรือหารือขอบเขตงานและข้อกำหนดที่ใช้กับองค์กรก่อนขอใบเสนอราคา