Reconix LogoReconix
Regulatory Compliance

รวมทุกเกณฑ์ Cybersecurity Compliance ที่ธุรกิจไทยต้องรู้

PDPA, ธปท., ก.ล.ต., คปภ., PCI DSS, ISO 27001 แต่ละเกณฑ์กำหนดเรื่องการทดสอบความปลอดภัยต่างกัน และบางเกณฑ์ไม่ได้กำหนดไว้เลย เราช่วยด้วย Penetration Testing จากผู้เชี่ยวชาญ รายงานที่เชื่อมโยงผลการตรวจพบกับข้อกำหนดที่เกี่ยวข้อง และแผนแก้ไขที่ชัดเจน

ขอรับการประเมิน Compliance

ทำไม Compliance ต้องใช้ผู้เชี่ยวชาญเฉพาะทาง

สถาบันการเงิน ธุรกิจสินทรัพย์ดิจิทัล บริษัทประกันภัย และองค์กรที่ดูแลข้อมูลส่วนบุคคล ต้องปฏิบัติตามเกณฑ์ด้านความมั่นคงปลอดภัยไซเบอร์ที่แตกต่างกันทั้งขอบเขต ความถี่ในการทดสอบ คุณสมบัติผู้ทดสอบ และการรายงาน

ขอบเขต ความถี่ และคุณสมบัติผู้ทดสอบแตกต่างกันตามหน่วยงานกำกับ และสำหรับผู้ประกอบธุรกิจภายใต้ ก.ล.ต. ยังแตกต่างตามระดับผลการประเมินความเสี่ยง
Reconix เชื่อมโยงผลการตรวจพบแต่ละรายการกับข้อกำหนดที่เกี่ยวข้อง เพื่อให้ผู้ตรวจสอบตรวจสอบย้อนกลับได้
เกณฑ์ ธปท. และ ก.ล.ต. กำหนดให้ทดสอบเจาะระบบตามรอบและเมื่อมีการเปลี่ยนแปลงที่มีนัยสำคัญ ส่วน คปภ. กำหนดให้ทดสอบอย่างสม่ำเสมอหรือเมื่อเปลี่ยนแปลงระบบอย่างมีนัยสำคัญ
หลายเกณฑ์กำหนดให้รายงานผลต่อคณะกรรมการ เช่น รายงานการตรวจสอบด้าน IT และผลการซ้อมรับมือเหตุการณ์ผิดปกติตามเกณฑ์ ก.ล.ต.

เกณฑ์และมาตรฐานความมั่นคงปลอดภัยไซเบอร์หลักในไทย

เลือกดูรายละเอียดแต่ละเกณฑ์ ทั้งข้อกำหนด บทลงโทษ และการทดสอบ

PDPA มาตรา 37

พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล (PDPA)

กฎหมายคุ้มครองข้อมูลส่วนบุคคลของไทยใช้บังคับในวงกว้างกับองค์กรที่ดูแลข้อมูลส่วนบุคคล โดยมีข้อยกเว้นตามมาตรา 4 มาตรา 37(1) กำหนดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม และทบทวนเมื่อจำเป็นหรือเมื่อเทคโนโลยีเปลี่ยนแปลงไป

ตามที่ PDPA กำหนดทบทวนเมื่อเปลี่ยนแปลง ไม่กำหนดรอบทดสอบ
ดูข้อกำหนด
ธนาคารแห่งประเทศไทย

เกณฑ์การทดสอบเจาะระบบของ ธปท.

สถาบันการเงินตามกฎหมายว่าด้วยธุรกิจสถาบันการเงินทุกแห่ง รวมถึงธนาคารพาณิชย์และสาขาของธนาคารพาณิชย์ต่างประเทศ และสถาบันการเงินเฉพาะกิจทุกแห่ง ต้องทดสอบเจาะระบบอย่างน้อยครอบคลุมระบบที่เชื่อมต่อกับเครือข่ายสาธารณะ ปีละ 1 ครั้งและเมื่อมีการเปลี่ยนแปลงอย่างมีนัยสำคัญ (สกช. 5/2566) ธนาคารพาณิชย์ที่มีนัยสำคัญต่อความเสี่ยงเชิงระบบในประเทศ (D-SIBs) หรือมีความเสี่ยงตั้งต้นทางไซเบอร์ระดับสูงต้องปฏิบัติตามแนวปฏิบัติ iPentest ด้วย ซึ่งไม่ได้กำหนดความถี่ตายตัว ส่วนผู้ให้บริการระบบการชำระเงินที่ไม่ใช่ธนาคารต้องทดสอบเจาะระบบที่เชื่อมต่อกับเครือข่ายสาธารณะทุกปีตาม สนช. 1/2564

บังคับใช้โดย ธปท.ทุกปี + เมื่อเปลี่ยนแปลงอย่างมีนัยสำคัญ
ดูข้อกำหนด
ประกาศ ธปท. 4/2568

เกณฑ์ความปลอดภัย Mobile Banking ของ ธปท.

มาตรการควบคุมที่แอป Mobile Banking ของสถาบันการเงินตาม พ.ร.บ. ธุรกิจสถาบันการเงินต้องมี ได้แก่ Certificate Pinning การป้องกันการดัดแปลงแอป การทำ Obfuscation การบล็อกอุปกรณ์ที่ถูก Root หรือ Jailbreak และการบล็อกแอปที่ใช้ Accessibility หรือควบคุมเครื่องจากระยะไกลที่มีความเสี่ยง ช่องโหว่ใหม่ต้องปิดภายในกรอบเวลาที่เหมาะสมหรือตามที่ ธปท. กำหนด ประกาศฉบับนี้ไม่มีข้อกำหนดเรื่องการทดสอบ

บังคับใช้โดย ธปท.ควบคุมต่อเนื่อง ไม่กำหนดรอบทดสอบ
ดูข้อกำหนด
ก.ล.ต.

เกณฑ์ความมั่นคงปลอดภัยไซเบอร์ ตลาดทุนและสินทรัพย์ดิจิทัล (ก.ล.ต.)

ผู้ประกอบธุรกิจภายใต้การกำกับของ ก.ล.ต. รวมถึงธุรกิจสินทรัพย์ดิจิทัล ต้องทดสอบเจาะระบบที่เชื่อมต่อกับเครือข่ายสาธารณะอย่างน้อยปีละ 1 ครั้งและทุกครั้งที่เปลี่ยนแปลงอย่างมีนัยสำคัญ (ผู้ประกอบธุรกิจขนาดเล็กอย่างน้อยทุก 3 ปี) และประเมินช่องโหว่ระบบ IT ที่มีนัยสำคัญและระบบที่เชื่อมต่อกับเครือข่ายสาธารณะทุกปี หน้าที่แตกต่างกันตามระดับผลการประเมินความเสี่ยง (RLA)

บังคับใช้โดย ก.ล.ต.ทุกปี (ขนาดเล็ก: ทุก 3 ปี)
ดูข้อกำหนด
คปภ.

เกณฑ์ความมั่นคงปลอดภัยไซเบอร์ของ คปภ.

ประกาศ คปภ. พ.ศ. 2563 กำหนดให้บริษัทประกันภัยจัดให้มีผู้เชี่ยวชาญจากภายนอกทดสอบเจาะระบบ โดยเฉพาะระบบที่เชื่อมต่อกับเครือข่ายสาธารณะ อย่างสม่ำเสมอหรือทุกครั้งที่เปลี่ยนแปลงระบบอย่างมีนัยสำคัญ แนวปฏิบัติ คปภ. พ.ศ. 2564 กำหนดอย่างน้อยปีละ 1 ครั้ง และการปฏิบัติตามแนวปฏิบัติครบถ้วนถือว่าปฏิบัติตามประกาศแล้ว

บังคับใช้โดย คปภ.สม่ำเสมอหรือเมื่อเปลี่ยนแปลง (แนวปฏิบัติ: ทุกปี)
ดูข้อกำหนด
ISO 27001:2022

การประเมินตามมาตรฐาน ISO 27001

ข้อควบคุม A.8.8 ว่าด้วยการบริหารจัดการช่องโหว่ทางเทคนิค แนวทางของ Reconix: การทดสอบเจาะระบบเป็นวิธีที่นิยมใช้แสดงหลักฐาน และมาตรฐานไม่ได้กำหนดรอบการทดสอบเจาะระบบตายตัว

ข้อบกพร่องจากการตรวจรับรองไม่กำหนดรอบ Pentest ตายตัว
ดูข้อกำหนด
PCI DSS v4.0.1

มาตรฐาน PCI DSS สำหรับข้อมูลบัตรชำระเงิน

Req. 11.4.2 และ 11.4.3 กำหนดให้ทดสอบเจาะระบบทั้งภายในและภายนอกอย่างน้อยทุก 12 เดือนและหลังการเปลี่ยนแปลงที่มีนัยสำคัญ Req. 11.3 กำหนดให้สแกนช่องโหว่อย่างน้อยทุกสามเดือน โดยการสแกนภายนอกต้องทำโดย ASV PCI DSS เป็นมาตรฐานของอุตสาหกรรม และแบรนด์บัตรชำระเงินดำเนินการบังคับใช้เอง

บังคับใช้โดยแบรนด์บัตรทุก 12 เดือน + ASV ทุก 3 เดือน
ดูข้อกำหนด
สกมช. พ.ศ. 2568

มาตรฐานความปลอดภัยเว็บไซต์ของ สกมช.

ตั้งแต่ 17 กันยายน 2569 หน่วยงานของรัฐ หน่วยงานควบคุมหรือกำกับดูแล และหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ ต้องดำเนินการให้เว็บไซต์ของตนเป็นไปตามมาตรฐานการรักษาความมั่นคงปลอดภัยสำหรับเว็บไซต์ พ.ศ. 2568 ได้แก่ ประเมินตนเองอย่างน้อยปีละ 1 ครั้ง รายงานตามระดับผลกระทบ และประเมินช่องโหว่กับทดสอบเจาะระบบสำหรับเว็บไซต์ที่มีผลกระทบสูง

มีผลตั้งแต่ 17 ก.ย. 2569ประเมินตนเองทุกปี
ดูข้อกำหนด

องค์กรคุณต้องทำอะไรบ้าง?

จับคู่แต่ละเกณฑ์กับบริการที่เกี่ยวข้อง

กฎระเบียบข้อกำหนดหลักบริการที่เกี่ยวข้องรอบการทดสอบการบังคับใช้
PDPA มาตรา 37มาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม
Web/Mobile App PentestCloud Security Audit
ทบทวนเมื่อเปลี่ยนแปลง ไม่กำหนดรอบทดสอบตามที่ PDPA กำหนด
ธปท.Pentest ระบบที่เชื่อมต่อเครือข่ายสาธารณะ / iPentest สำหรับ D-SIBs และธนาคารความเสี่ยงสูง
Mobile Banking PentestAPI & Network Security
ทุกปี + เมื่อเปลี่ยนแปลงอย่างมีนัยสำคัญบังคับใช้โดย ธปท.
ประกาศ ธปท. 4/2568มาตรการควบคุมแอป Mobile Banking
Mobile App PentestAPI Security Testing
ควบคุมต่อเนื่อง ไม่กำหนดรอบทดสอบบังคับใช้โดย ธปท.
ก.ล.ต.Pentest และ VA ตามระดับ RLA
Exchange PentestingVulnerability Assessment
ทุกปี (ขนาดเล็ก: ทุก 3 ปี)บังคับใช้โดย ก.ล.ต.
คปภ.Pentest โดยผู้เชี่ยวชาญภายนอก
Vulnerability AssessmentNetwork Pentest
สม่ำเสมอหรือเมื่อเปลี่ยนแปลง (แนวปฏิบัติ: ทุกปี)บังคับใช้โดย คปภ.
ISO 27001:2022จัดการช่องโหว่ทางเทคนิค (A.8.8)
Penetration TestingVulnerability Assessment
ไม่กำหนดรอบ Pentest ตายตัวข้อบกพร่องจากการตรวจรับรอง
PCI DSS v4.0.1ทดสอบระบบที่เก็บข้อมูลบัตรชำระเงิน
Penetration TestingVulnerability Scanning
ทุก 12 เดือน + ASV ทุก 3 เดือนบังคับใช้โดยแบรนด์บัตร
สกมช. พ.ศ. 2568มาตรฐานความปลอดภัยเว็บไซต์
Web App PentestVulnerability Assessment
ประเมินตนเองทุกปี; VA + PT สำหรับเว็บไซต์ผลกระทบสูงมีผลตั้งแต่ 17 ก.ย. 2569

เราช่วยให้คุณพร้อมรับ Audit ได้อย่างไร

ทุกโครงการส่งมอบเอกสารที่อ้างอิงข้อกำหนดของหน่วยงานกำกับดูแลของคุณ ให้คุณมุ่งเน้นธุรกิจหลักได้เต็มที่

ทดสอบและเชื่อมโยงผลกับเกณฑ์

ผลการตรวจพบทุกรายการเชื่อมโยงกับข้อกำหนดที่เกี่ยวข้อง ให้ผู้ตรวจสอบตรวจสอบย้อนกลับได้

รายงานพร้อมนำเสนอบอร์ด

สรุปภาพรวมสำหรับผู้บริหารพร้อมวิเคราะห์ผลกระทบทางธุรกิจ ควบคู่กับรายละเอียดทางเทคนิคตามมาตรฐาน CVSS 4.0

ทดสอบซ้ำยืนยันการแก้ไข

หลังแก้ไข เราทดสอบซ้ำ 1 ครั้งตามขอบเขตงานพร้อมบันทึกผลรายข้อ และมีบริการทดสอบซ้ำจนกว่าการแก้ไขจะใช้ได้จริงเป็นบริการเสริม

ครอบคลุมหลายมาตรฐานในครั้งเดียว

การประเมินครั้งเดียวที่วางขอบเขตอย่างดีใช้เป็นหลักฐานสำหรับข้อกำหนดที่ทับซ้อนกันของ PDPA, ธปท., ก.ล.ต., คปภ. และ ISO 27001 ได้พร้อมกัน ประหยัดทั้งเวลาและงบประมาณ

คำถามที่พบบ่อยเกี่ยวกับ Compliance

รวมคำตอบเรื่อง Cybersecurity Compliance ที่ธุรกิจไทยสงสัยมากที่สุด

เครื่องมือฟรี

งานด้านความมั่นคงปลอดภัยขององค์กรคุณพร้อมแค่ไหน

ตอบ 14 คำถาม แล้วดู Tier ตาม NIST CSF 2.0 และช่องว่าง 3 อันดับแรกบนหน้าจอได้ทันที ไม่ต้องลงทะเบียน

ทดสอบตามเกณฑ์ที่ใช้กับองค์กรของคุณ

รับการประเมินความปลอดภัยที่เชื่อมโยงกับเกณฑ์ของไทยตามใบอนุญาตที่องค์กรของคุณถือ

Reconix คือผู้เชี่ยวชาญการทดสอบเจาะระบบเชิงรุกที่เน้นการพิสูจน์ในประเทศไทย ให้บริการธุรกิจดิจิทัลภายใต้การกำกับดูแลทุกขนาด