ชุดประกาศ 18 มกราคม 2567 — มาตรฐานการกำหนดคุณลักษณะและขั้นต่ำ

สรุปสั้น: ชุดประกาศ 3 ฉบับของคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (กมช.) ประกาศในราชกิจจานุเบกษา เล่ม 141 ตอนพิเศษ 18 ง ลงนามโดย ภูมิธรรม เวชยชัย เมื่อวันที่ 18 ธันวาคม 2566 ตามมติ กมช. ครั้งที่ 4/2566 (28 พฤศจิกายน 2566) กำหนดมาตรฐานด้านการกำหนดคุณลักษณะ มาตรฐานขั้นต่ำ และมาตรฐานส่งเสริมพัฒนาระบบด้านไซเบอร์

ภาพรวม 3 ประกาศ

ชุดประกาศนี้ประกอบด้วย 3 ฉบับที่ออกพร้อมกัน แต่มีวันบังคับใช้ต่างกัน:

⚠️ ข้อสังเกตสำคัญ: ฉบับที่ 1 และฉบับที่ 2 มีผลบังคับใช้ 18 มกราคม 2568 เพราะประกาศระบุว่า “เมื่อพ้นกำหนดหนึ่งปีนับแต่วันประกาศในราชกิจจานุเบกษา” ขณะที่ฉบับที่ 3 มีผลบังคับใช้ 19 มกราคม 2567 เพราะระบุว่า “ตั้งแต่วันถัดจากวันประกาศในราชกิจจานุเบกษาเป็นต้นไป”

ข้อมูลอ้างอิง

ฉบับที่ 1 — มาตรฐานการกำหนดคุณลักษณะฯ 2566

ประกาศฉบับนี้กำหนดมาตรฐานด้านการกำหนดคุณลักษณะด้านการรักษาความมั่นคงปลอดภัยไซเบอร์ หน่วยงานของรัฐและหน่วยงาน CII จะต้องใช้เป็นแนวทางในการกำหนดคุณลักษณะระบบสารสนเทศให้มีความมั่นคงปลอดภัย

มีผลบังคับใช้: 18 มกราคม 2568 (พ้นกำหนด 1 ปีนับจากวันประกาศในราชกิจจานุเบกษา)

ฉบับที่ 2 — มาตรฐานขั้นต่ำฯ 2566

ประกาศฉบับนี้กำหนดมาตรฐานขั้นต่ำด้านการรักษาความมั่นคงปลอดภัยไซเบอร์ที่หน่วยงานจะต้องปฏิบัติตาม เป็น Baseline ที่ทุกหน่วยงานต้องดำเนินการเป็นอย่างน้อย

มีผลบังคับใช้: 18 มกราคม 2568 (พ้นกำหนด 1 ปีนับจากวันประกาศในราชกิจจานุเบกษา)

ฉบับที่ 3 — มาตรฐานส่งเสริมพัฒนาระบบฯ 2566

ประกาศฉบับนี้กำหนดมาตรฐานการส่งเสริมพัฒนาระบบด้านการรักษาความมั่นคงปลอดภัยไซเบอร์ มีเนื้อหามากที่สุด (หน้า 12–18) และมีผลบังคับใช้เร็วกว่าอีก 2 ฉบับ

มีผลบังคับใช้: 19 มกราคม 2567 (วันถัดจากวันประกาศในราชกิจจานุเบกษา)

เปรียบเทียบวันบังคับใช้

18 ม.ค. 2567    ประกาศในราชกิจจานุเบกษา (ทั้ง 3 ฉบับ)
    │
19 ม.ค. 2567    ฉบับที่ 3 (ส่งเสริมพัฒนาระบบฯ) มีผลบังคับใช้
    │               "ตั้งแต่วันถัดจากวันประกาศ"
    │
    ▼
18 ม.ค. 2568    ฉบับที่ 1 (กำหนดคุณลักษณะฯ) + ฉบับที่ 2 (ขั้นต่ำฯ) มีผลบังคับใช้
                    "เมื่อพ้นกำหนดหนึ่งปี"

ความเชื่อมโยงกับกฎหมายและมาตรฐานอื่น

ชุดประกาศ 3 ฉบับนี้เป็นประกาศลำดับรองภายใต้ พ.ร.บ. การรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 โดยทำงานร่วมกับประกาศลำดับรองอื่น ๆ ดังนี้:

• ประมวลแนวทางปฏิบัติและกรอบมาตรฐานด้านไซเบอร์ พ.ศ. 2564 — กรอบปฏิบัติตาม NIST CSF
• มาตรฐาน Cloud Security สกมช. 2567 — ข้อกำหนดเฉพาะสำหรับระบบคลาวด์
• มาตรฐานเว็บไซต์ สกมช. 2568 — ข้อกำหนดเฉพาะสำหรับเว็บไซต์

---

คำถามที่พบบ่อย (FAQ)

1. ทำไมวันบังคับใช้ไม่เหมือนกันทั้ง 3 ฉบับ?

เพราะถ้อยคำในประกาศต่างกัน — ฉบับที่ 1 และ 2 ระบุว่า “เมื่อพ้นกำหนดหนึ่งปีนับแต่วันประกาศในราชกิจจานุเบกษา” จึงมีผลบังคับใช้ 18 มกราคม 2568 ส่วนฉบับที่ 3 ระบุว่า “ตั้งแต่วันถัดจากวันประกาศในราชกิจจานุเบกษาเป็นต้นไป” จึงมีผลบังคับใช้ 19 มกราคม 2567

2. หน่วยงานใดบ้างที่ต้องปฏิบัติตาม?

หน่วยงานของรัฐและหน่วยงาน CII ทั้ง 7 กลุ่มตาม พ.ร.บ. ไซเบอร์ฯ 2562 จะต้องปฏิบัติตามประกาศทั้ง 3 ฉบับ

3. ฉบับที่ 3 มีผลบังคับใช้แล้วตั้งแต่ 19 มกราคม 2567 ต้องทำอะไร?

ฉบับที่ 3 เรื่องมาตรฐานการส่งเสริมพัฒนาระบบฯ มีผลบังคับใช้แล้วตั้งแต่ 19 มกราคม 2567 หน่วยงานจะต้องดำเนินการตามข้อกำหนดในประกาศฉบับนี้

4. ฉบับที่ 1 และ 2 ยังไม่ต้องทำใช่ไหม?

ฉบับที่ 1 (กำหนดคุณลักษณะฯ) และฉบับที่ 2 (ขั้นต่ำฯ) มีผลบังคับใช้ 18 มกราคม 2568 หน่วยงานควรจะเริ่มเตรียมความพร้อมตั้งแต่ตอนนี้ แม้ยังไม่ถึงวันบังคับใช้

---

บริการของ ITSL ที่ช่วยให้ปฏิบัติตามมาตรฐานนี้

IT Audit & Compliance Assessment

ประเมินสถานะปัจจุบันของหน่วยงานเทียบกับมาตรฐานขั้นต่ำและคุณลักษณะที่กำหนด ช่วยระบุ Gap ที่ต้องดำเนินการ

→ ดูรายละเอียด IT Audit

IT Policy Development

จัดทำนโยบายและแนวปฏิบัติด้านความมั่นคงปลอดภัยไซเบอร์ให้สอดคล้องกับมาตรฐานการกำหนดคุณลักษณะฯ

→ ดูรายละเอียด IT Policy

Vulnerability Assessment & Penetration Testing

ทดสอบระบบเพื่อตรวจสอบว่าเป็นไปตามมาตรฐานขั้นต่ำที่กำหนด

→ ดูรายละเอียด Web Pentest

---