-
PDPA §37 — หน้าที่ของ Data Controller
องค์กรมีการปฏิบัติตามหน้าที่ของ Data Controller และมี DPO ที่ทำหน้าที่จริงหรือไม่
ใครเข้าข่าย: ทุกองค์กรที่เก็บ/ใช้ข้อมูลส่วนบุคคลของบุคคลในไทย
Evidence ที่แนะนำ: คำสั่งแต่งตั้ง DPO, log การรายงานตรง CEO/Board, quarterly review
Source: พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ.2562 มาตรา 37
-
PDPA §37 วรรคสี่ — การแจ้งเหตุ breach ภายใน 72 ชม.
มี process แจ้ง breach ต่อ PDPC ภายใน 72 ชม. และแจ้ง data subject เมื่อมีความเสี่ยงสูงหรือไม่
ใครเข้าข่าย: ทุกองค์กรที่เข้าข่ายมาตรา 37 (data controller)
Evidence ที่แนะนำ: flowchart การตัดสินใจ, template แจ้งเหตุ, tabletop record
Source: PDPA มาตรา 37 วรรคสี่ (มาตรา 72 = คณะกรรมการผู้เชี่ยวชาญ ไม่ใช่ breach 72 ชม.)
-
PDPA §84 — ความรับผิดทางปกครอง
มีการทบทวนความเสี่ยงต่อบทลงโทษทางปกครอง (สูงสุด 5 ล้านบาท) และมี compensating control หรือไม่
ใครเข้าข่าย: ทุกองค์กรที่เข้าข่าย PDPA
Evidence ที่แนะนำ: risk register หมวด privacy, mitigation plan
Source: PDPA มาตรา 83-90
-
พ.ร.บ.ไซเบอร์ §48 — การเป็นหน่วยงาน CII
องค์กรจัดอยู่ในหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ (CII) หรือไม่ และปฏิบัติตามข้อกำหนดของ สกช. หรือไม่
ใครเข้าข่าย: 8 sector: national security, public services, banking/finance, ICT, transport/logistics, energy/utilities, public health, other CII per สกช.
Evidence ที่แนะนำ: หนังสือตอบรับ/ปฏิเสธจาก สกช., รายการ CII asset
Source: พ.ร.บ.การรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ.2562 มาตรา 48
-
พ.ร.บ.ไซเบอร์ §75 — การแจ้งเหตุภัยคุกคามระดับร้ายแรง
มี process แจ้ง สกช. เมื่อพบภัยคุกคามระดับร้ายแรง (severe cyber threat) หรือไม่
ใครเข้าข่าย: หน่วยงาน CII และหน่วยงานที่กำหนด
Evidence ที่แนะนำ: runbook แจ้ง สกช., contact list ตรวจสอบทุก 6 เดือน
Source: พ.ร.บ.ไซเบอร์ มาตรา 75 (โทษสูงสุด 300,000 บาท)
-
ธปท. สกช. 5/2566 — การบริหารความเสี่ยงเทคโนโลยีสารสนเทศของสถาบันการเงิน
สถาบันการเงินมีการกำกับดูแล IT risk ตามประกาศ ธปท. หรือไม่ (ผู้บริหารระดับสูง / คณะกรรมการ)
ใครเข้าข่าย: ธนาคารพาณิชย์, non-bank ที่อยู่ภายใต้ ธปท.
Evidence ที่แนะนำ: board minutes, IT risk committee charter, quarterly report
Source: ประกาศ ธปท. ที่ สกช. 5/2566
-
ก.ล.ต. สธ. 38/2565 — การรักษาความมั่นคงปลอดภัยระบบสารสนเทศของผู้ประกอบธุรกิจ
ผู้ประกอบธุรกิจภายใต้ ก.ล.ต. มีการปฏิบัติตามประกาศ สธ. 38/2565 หรือไม่
ใครเข้าข่าย: บริษัทหลักทรัพย์, บลจ., และผู้ประกอบธุรกิจอื่นภายใต้ ก.ล.ต.
Evidence ที่แนะนำ: policy, procedure, incident report ประจำปี
Source: ประกาศ ก.ล.ต. ที่ สธ. 38/2565
-
ISO 27001:2022 A.5 — Organizational controls
องค์กรมี policy set ตามข้อ A.5 ของ ISO 27001:2022 (37 control) หรือไม่
ใครเข้าข่าย: องค์กรที่ตั้งเป้า ISO 27001 หรือ SOC 2 หรือใช้ ISO framework
Evidence ที่แนะนำ: policy library, review evidence, approval trail
Source: ISO/IEC 27001:2022 Annex A.5
