คปภ. กับการทดสอบเจาะระบบ

ประกาศที่เกี่ยวข้อง

ประกาศ คปภ. พ.ศ. 2563 เรื่อง หลักเกณฑ์การกำกับดูแลและบริหารจัดการความเสี่ยงด้านเทคโนโลยีสารสนเทศ (IT Risk Management) — หมวด 3

📎 ดูกฎหมายที่เกี่ยวข้อง (คปภ.)

ข้อกำหนดสำคัญ

Penetration Testing

• ทดสอบเจาะระบบที่ให้บริการลูกค้า อย่างน้อยปีละ 1 ครั้ง
• ครอบคลุมระบบ online, ระบบสำคัญ, ระบบ internet-facing
• รายงานผลต่อคณะกรรมการบริษัท

Vulnerability Assessment

• ตรวจหาช่องโหว่อย่างน้อยปีละ 1 ครั้ง (แนะนำ 2 ครั้ง)
• ครอบคลุมระบบ internet-facing

ข้อมูลอ่อนไหวที่ต้องระวัง

บริษัทประกันเก็บข้อมูลสุขภาพซึ่งเป็นข้อมูลอ่อนไหวตาม PDPA มาตรา 26 — มีโทษหนักกว่าข้อมูลทั่วไป ระบบที่ประมวลผลข้อมูลสุขภาพจึงต้องได้รับการทดสอบอย่างเข้มงวด

ใครต้องปฏิบัติตาม

• บริษัทประกันวินาศภัย
• บริษัทประกันชีวิต
• นายหน้าประกันภัยที่มีระบบ IT ให้บริการลูกค้า

โทษถ้าไม่ทำ

• คปภ. สั่งปรับปรุงแก้ไข
• ระงับบริการ
• ลดเรทติ้งของบริษัท

ดูข้อกำหนดครบทุก regulator ได้ที่ Compliance Matrix