Executive Duties & Escalation Guide
หน้าที่ผู้บริหารด้าน cybersecurity ตามกฎหมายไทย + เกณฑ์ escalation พร้อม source
ข้อควรทราบ / Disclaimers
ไม่ใช่คำแนะนำทางกฎหมาย: เนื้อหาสรุปเพื่อการเรียนรู้ ต้องยืนยันกับที่ปรึกษาทางกฎหมายก่อนใช้ในสถานการณ์จริง
ไม่ใช่การพยากรณ์ (not a forecast): ไม่ใช่ live feed ไม่ทำนายเหตุการณ์ในอนาคต
Regulatory citation ณ วันที่ทบทวน: การอ้างมาตราและประกาศเป็นการอ้างอิง ณ 2026-09-21 ผู้ใช้ต้องตรวจฉบับล่าสุดกับต้นทาง (pdpc.or.th, bot.or.th, sec.or.th) เสมอ
-
CEO / กรรมการผู้จัดการ
หน้าที่หลัก
ตรวจสอบว่าองค์กรมีมาตรการรักษาความมั่นคงปลอดภัยระบบสารสนเทศตามที่กฎหมายกำหนด และมีการทบทวนโดยผู้บริหารระดับสูงเป็นระยะ
เมื่อไหร่ต้อง escalate
escalate ให้ Board เมื่อ (1) เกิด incident ที่กระทบข้อมูลส่วนบุคคลจำนวนมาก (2) ระบบ CII หยุดต่อเนื่องเกินระยะที่องค์กรกำหนด (3) พบการฝ่าฝืน law/regulation ที่ Legal ประเมินว่าจะโดนปรับสูง — ตัวเลข threshold ทั้งหมดเป็นเกณฑ์ที่องค์กรกำหนดเอง ไม่ได้อยู่ในตัวบทกฎหมาย ควรกำหนดร่วมกับที่ปรึกษาทางกฎหมายและ Board
กฎหมายและประกาศที่เกี่ยวข้อง
PDPA พ.ศ.2562 มาตรา 37 (มาตรการปกป้อง + วรรคสี่: แจ้งเหตุ breach ต่อ PDPC ภายใน 72 ชม.), มาตรา 83 (โทษปรับ ≤3 ล้านบาท สำหรับการฝ่าฝืน §37); พ.ร.บ.การรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ.2562 มาตรา 48-55 (หน้าที่ CII), มาตรา 75 (ค่าปรับไม่เกิน 300,000 บาท)
สิ่งที่ควรทำ (defensive action)
แต่งตั้ง DPO/CISO + กำหนด reporting cadence + review incident metrics ทุก quarter + agree threshold escalation ร่วมกับ Board+Legal ล่วงหน้า
Source: สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (publish 2019-05-24) · ITSL reviewed 2026-09-21
-
DPO (Data Protection Officer)
หน้าที่หลัก
ตรวจสอบการปฏิบัติตาม PDPA, เป็น contact point กับ regulator, แจ้งเหตุ breach ที่มีความเสี่ยงสูงต่อ data subject ภายในกำหนด
เมื่อไหร่ต้อง escalate
แจ้ง PDPC ภายใน 72 ชม. เมื่อพบ breach ที่มีความเสี่ยงต่อสิทธิของ data subject (มาตรา 37 วรรคสี่); แจ้ง data subject เพิ่มเติมเมื่อความเสี่ยงสูง (มาตรา 37 วรรคสี่ ประโยคท้าย)
กฎหมายและประกาศที่เกี่ยวข้อง
PDPA พ.ศ.2562 มาตรา 37 วรรคสี่ (หน้าที่แจ้งเหตุภายใน 72 ชม.), มาตรา 42 (หน้าที่ DPO), มาตรา 83 (โทษปรับ ≤3 ล้านบาท กรณีฝ่าฝืน §37)
สิ่งที่ควรทำ (defensive action)
เตรียม template แจ้งเหตุ + decision log + verify contact PDPC ทุก 6 เดือน + ปรึกษาที่ปรึกษาทางกฎหมายก่อนตัดสินใจสำคัญ
Source: PDPC (publish 2019-05-24) · ITSL reviewed 2026-09-21
-
CISO / ผู้บริหารด้านความมั่นคงปลอดภัย
หน้าที่หลัก
รับผิดชอบ security program, incident response, และ vendor risk — ต้องรายงานสถานะ security ให้ CEO/Board สม่ำเสมอ
เมื่อไหร่ต้อง escalate
escalate CEO เมื่อ (1) พบ compromise ระบบ crown-jewel (2) ต้อง initiate crisis PR/legal (3) budget ไม่พอครอบคลุม critical risk ที่ระบุ
กฎหมายและประกาศที่เกี่ยวข้อง
ประกาศธนาคารแห่งประเทศไทย ที่ สกช. 5/2566 หลักเกณฑ์การกำกับดูแลความเสี่ยงด้านเทคโนโลยีสารสนเทศ (มีผลบังคับใช้ 16 ตุลาคม 2566); ประกาศสำนักงาน ก.ล.ต. ที่ สธ. 38/2565 ข้อกำหนดในรายละเอียดเกี่ยวกับการจัดให้มีระบบเทคโนโลยีสารสนเทศ
สิ่งที่ควรทำ (defensive action)
จัดทำ incident response plan + tabletop ประจำปี + evidence pack พร้อมส่งภายในระยะที่ regulator กำหนด
Source: ธนาคารแห่งประเทศไทย (publish 2023-10-16) · ITSL reviewed 2026-09-21
-
Board of Directors
หน้าที่หลัก
review cybersecurity risk อย่างน้อยปีละครั้ง, อนุมัติงบ security, และตรวจสอบให้ management report incident สำคัญ
เมื่อไหร่ต้อง escalate
board ควร request emergency meeting เมื่อ (1) incident กระทบ business continuity ในระดับที่ Board+CEO เห็นตรงกันล่วงหน้าว่าเป็น trigger (2) มี legal exposure ที่ Legal ประเมินสำคัญ (3) media exposure ระดับ national — ไม่มี bright-line ตัวเลขในกฎหมาย ต้องกำหนดใน board committee charter
กฎหมายและประกาศที่เกี่ยวข้อง
หลักการกำกับดูแลกิจการที่ดี (Corporate Governance Code) ของ ก.ล.ต.; ข้อบังคับตลาดหลักทรัพย์ฯ ว่าด้วยการเปิดเผยสารสนเทศของบริษัทจดทะเบียน
สิ่งที่ควรทำ (defensive action)
เพิ่ม cybersecurity ใน board committee charter + จัด training ให้ board อย่างน้อยปีละ 4 ชม. + กำหนด emergency-meeting trigger ร่วมกับ CEO+Legal
Source: ก.ล.ต. (publish 2017-03-01) · ITSL reviewed 2026-09-21