Bank of Thailand

Penetration Testing และ iPentest ตามเกณฑ์ ธปท.

เกณฑ์ของ ธปท. กำหนดให้ธนาคารพาณิชย์ สถาบันการเงินเฉพาะกิจ และผู้ให้บริการระบบการชำระเงินและผู้ให้บริการการชำระเงินที่ไม่ใช่ธนาคาร ทดสอบเจาะระบบที่เชื่อมต่อกับเครือข่ายสาธารณะอย่างน้อยปีละ 1 ครั้ง และเมื่อมีการเปลี่ยนแปลงอย่างมีนัยสำคัญ ส่วนธนาคารพาณิชย์ที่มีนัยสำคัญต่อความเสี่ยงเชิงระบบในประเทศ (D-SIBs) และธนาคารที่มีความเสี่ยงตั้งต้นทางไซเบอร์ระดับสูงต้องดำเนินการตามแนวปฏิบัติ iPentest ด้วย เราดำเนินการทดสอบ จัดทำรายงานสำหรับคณะกรรมการ และทดสอบซ้ำ 1 ครั้งหลังการแก้ไข

ปีละ 1 ครั้ง

ความถี่ขั้นต่ำ

D-SIBs และธนาคารความเสี่ยงสูง

iPentest สำหรับ

ระบบที่เชื่อมต่ออินเทอร์เน็ต

ขอบเขตขั้นต่ำ

ระดับคณะกรรมการ

รายงานของเรา

ขอรับการประเมินตามเกณฑ์ ธปท.

เอกสารแนบ 2 ข้อ 6.6 และ 6.7

รากฐาน: ประกาศ ธปท. ที่ สกช. 5/2566 เรื่อง หลักเกณฑ์การกำกับดูแลความเสี่ยงด้านเทคโนโลยีสารสนเทศ

ประกาศ สกช. 5/2566 กำหนดหลักเกณฑ์การกำกับดูแลความเสี่ยงด้านเทคโนโลยีสารสนเทศสำหรับสถาบันการเงินตามกฎหมายว่าด้วยธุรกิจสถาบันการเงินทุกแห่ง รวมถึงธนาคารพาณิชย์และสาขาของธนาคารพาณิชย์ต่างประเทศ และสถาบันการเงินเฉพาะกิจทุกแห่ง (ข้อ 4) โดยหน้าที่ด้านการทดสอบอยู่ในเอกสารแนบ 2 ส่วนผู้ให้บริการระบบการชำระเงินและผู้ให้บริการการชำระเงินที่ไม่ใช่ธนาคารอยู่ภายใต้ประกาศ สนช. 1/2564 ซึ่งวางหลักในทำนองเดียวกัน

ทดสอบเจาะระบบโดยผู้เชี่ยวชาญภายในหรือภายนอกที่มีความเป็นอิสระ อย่างน้อยครอบคลุมระบบงานและระบบเครือข่ายที่เชื่อมต่อกับเครือข่ายสื่อสารสาธารณะ (Internet facing) อย่างน้อยปีละ 1 ครั้ง และเมื่อมีการเปลี่ยนแปลงอย่างมีนัยสำคัญ (เอกสารแนบ 2 ข้อ 6.7)
ประเมินช่องโหว่ของทุกระบบงานตามระดับความเสี่ยง โดยระบบงานสำคัญต้องประเมินอย่างน้อยปีละ 1 ครั้ง และเมื่อมีการเปลี่ยนแปลงอย่างมีนัยสำคัญ (เอกสารแนบ 2 ข้อ 6.6)
คำถาม-คำตอบแนบท้ายประกาศของ ธปท. ระบุว่าการทดสอบประจำปีต้องครอบคลุมระบบงานที่เชื่อมต่อกับเครือข่ายสาธารณะ เช่น เว็บไซต์ของธนาคาร ระบบ Mobile Banking และระบบ Internet Banking (คำถาม-คำตอบข้อ 3)
ทดสอบความปลอดภัยของระบบ (security test) ก่อนเริ่มใช้งานจริง ตามกระบวนการรักษาความมั่นคงปลอดภัยที่กำหนดในเอกสารรายละเอียดคุณสมบัติทางเทคนิค (เอกสารแนบ 2 ข้อ 7.2)
ส่งผลการประเมินการปฏิบัติตามหลักเกณฑ์ (IT risk self-assessment) ให้ ธปท. ภายใน 30 วันนับแต่วันสิ้นปีปฏิทิน ซึ่งเป็นรายงานการปฏิบัติตามเกณฑ์ แยกจากการทดสอบ (ข้อ 10.5)

แนวปฏิบัติ iPentest

iPentest: การทดสอบเจาะระบบแบบ Intelligence-led สำหรับธนาคารกลุ่มสำคัญ

iPentest คือแนวปฏิบัติการทดสอบเจาะระบบแบบ Intelligence-led ที่ ธปท. จัดทำร่วมกับ TB-CERT โดยหนังสือเวียน ว. 1252/2562 กำหนดว่าธนาคารกลุ่มใดต้องนำไปปฏิบัติ

ธปท. กำหนดให้ธนาคารพาณิชย์ที่มีนัยสำคัญต่อความเสี่ยงเชิงระบบในประเทศ (D-SIBs) หรือมีความเสี่ยงตั้งต้นทางไซเบอร์ (Cyber Inherent Risk) ระดับสูง ดำเนินการตามแนวปฏิบัติ iPentest ภายในสิ้นปี 2563 (ว. 1252/2562)
ธนาคารพาณิชย์อื่นให้พิจารณาตามระดับความเสี่ยงและความพร้อมของธนาคาร ส่วนธนาคารและสถาบันการเงินเฉพาะกิจทุกแห่งนำไปใช้เป็นแนวทางยกระดับเพิ่มเติมได้ภายใต้ สกช. 5/2566
แนวปฏิบัติไม่ได้กำหนดความถี่ในการทดสอบไว้ตายตัว
ผู้ทดสอบเป็นทีมภายในหรือภายนอกก็ได้ หากมีคุณสมบัติตามเกณฑ์ที่ธนาคารกำหนดเอง (แนวปฏิบัติข้อ 1.6)
วิธีการของเรา ซึ่งเกินกว่าที่ ธปท. กำหนด: สร้างสถานการณ์จำลองจากข้อมูลข่าวกรองภัยคุกคามล่าสุด และวัดผลการตรวจจับและการตอบสนองของทีมคุณ

ใครอยู่ในขอบเขตบ้าง?

ขอบเขตขึ้นอยู่กับประเภทใบอนุญาต แต่ละกลุ่มด้านล่างระบุเกณฑ์ ธปท. ที่ใช้บังคับ

ธนาคารพาณิชย์

มีหน้าที่ทดสอบเจาะระบบและประเมินช่องโหว่ตาม สกช. 5/2566 ส่วน D-SIBs และธนาคารที่มีความเสี่ยงตั้งต้นทางไซเบอร์ระดับสูงต้องดำเนินการตามแนวปฏิบัติ iPentest ตาม ว. 1252/2562 ด้วย

สถาบันการเงินเฉพาะกิจ

อยู่ภายใต้ สกช. 5/2566 (ข้อ 4) แต่ไม่อยู่ในขอบเขตของประกาศ ธปท. 4/2568 เรื่อง Mobile Banking

สาขาของธนาคารพาณิชย์ต่างประเทศและธนาคารพาณิชย์ที่เป็นบริษัทลูก

แนวทางของ ธปท. อนุญาตให้ใช้ผลการทดสอบเจาะระบบของธนาคารแม่ได้ หากครอบคลุมระบบงานสำคัญทุกระบบที่สาขาหรือบริษัทลูกใช้งาน (สกช. 5/2566 คำถาม-คำตอบข้อ 2)

ผู้ให้บริการระบบการชำระเงินที่ไม่ใช่ธนาคาร

ระบบการชำระเงินที่มีความสำคัญต่อระบบหรือที่อยู่ภายใต้การกำกับตาม พ.ร.บ.ระบบการชำระเงิน โดยหน้าที่ด้านการทดสอบอยู่ใน สนช. 1/2564 ซึ่งใช้กับผู้ประกอบการที่ไม่ใช่ธนาคารเท่านั้น

ผู้ให้บริการการชำระเงินและเงินอิเล็กทรอนิกส์

ผู้ประกอบการทุกรายต้องทดสอบเจาะระบบและประเมินช่องโหว่ตามเกณฑ์ Cyber Hygiene ใน สนช. 1/2564 ข้อ 5.1.6 ส่วนแอป e-Money ที่โอนเงินไปยังบัญชีของผู้ให้บริการรายอื่นได้ต้องมีมาตรการควบคุมตามประกาศ ธปท. 18/2568 เพิ่มเติม

ธนาคารที่ให้บริการ Mobile Banking

สถาบันการเงินตาม พ.ร.บ.ธุรกิจสถาบันการเงินต้องมีมาตรการควบคุมแอปตามประกาศ ธปท. 4/2568 ซึ่งกำหนดเฉพาะมาตรการควบคุม ไม่มีข้อกำหนดเรื่องการทดสอบ

ข้อกำหนด

ธปท. คาดหวังอะไร

ข้อกำหนดด้านล่างมาจากประกาศและหนังสือเวียนของ ธปท. โดยทุกข้อระบุแหล่งที่มา

ทดสอบเจาะระบบที่เชื่อมต่อเครือข่ายสาธารณะทุกปี

ธนาคารและสถาบันการเงินเฉพาะกิจ: อย่างน้อยปีละ 1 ครั้ง และเมื่อมีการเปลี่ยนแปลงอย่างมีนัยสำคัญ โดยผู้เชี่ยวชาญภายในหรือภายนอกที่มีความเป็นอิสระ (สกช. 5/2566 เอกสารแนบ 2 ข้อ 6.7) ส่วนผู้ให้บริการชำระเงินที่ไม่ใช่ธนาคารมีหน้าที่ทดสอบรายปีเช่นเดียวกันตาม สนช. 1/2564 ข้อ 5.1.6

ประเมินช่องโหว่ตามระดับความเสี่ยง

ครอบคลุมทุกระบบงานตามระดับความเสี่ยง โดยระบบงานสำคัญต้องประเมินอย่างน้อยปีละ 1 ครั้ง และเมื่อมีการเปลี่ยนแปลงอย่างมีนัยสำคัญ (เอกสารแนบ 2 ข้อ 6.6) ส่วนผู้ให้บริการชำระเงินต้องประเมินทุกระบบงานอย่างน้อยปีละ 1 ครั้ง (สนช. 1/2564 ข้อ 5.1.6)

iPentest สำหรับ D-SIBs และธนาคารความเสี่ยงสูง

ใช้กับ D-SIBs และธนาคารพาณิชย์ที่มีความเสี่ยงตั้งต้นทางไซเบอร์ระดับสูง (ว. 1252/2562) แนวปฏิบัติไม่ได้กำหนดความถี่ตายตัว และผู้ทดสอบเป็นทีมภายในหรือภายนอกก็ได้ หากมีคุณสมบัติตามเกณฑ์ของธนาคารเอง

ทดสอบความปลอดภัยก่อนเริ่มใช้งานจริง

ระบบใหม่ต้องผ่านการทดสอบความปลอดภัยก่อนเปิดให้บริการ (สกช. 5/2566 เอกสารแนบ 2 ข้อ 7.2) ผู้ให้บริการชำระเงินที่อยู่ภายใต้เกณฑ์การบริหารความเสี่ยงด้าน IT ของ สนช. 1/2564 มีหน้าที่เดียวกัน (เอกสารแนบ 2 ข้อ 7.2)

ตรวจสอบด้าน IT ประจำปี

เป็นงานตรวจสอบ (audit) ที่แยกจากการทดสอบเจาะระบบ งานด้าน IT ที่มีนัยสำคัญต้องตรวจสอบอย่างน้อยปีละ 1 ครั้ง (สกช. 5/2566 เอกสารแนบ 5) ส่วนผู้ให้บริการชำระเงินต้องตรวจสอบความมั่นคงปลอดภัยของระบบสารสนเทศอย่างน้อยปีละ 1 ครั้ง (สนช. 11/2561 ข้อ 4.2.2)

กำหนดส่งรายงาน

ธนาคารส่ง IT risk self-assessment ให้ ธปท. ภายใน 30 วันนับแต่วันสิ้นปีปฏิทิน (ข้อ 10.5) ผู้ให้บริการชำระเงินส่งผลการประเมินภายใน 30 วันนับแต่วันสิ้นปีปฏิทินเช่นกัน (สนช. 1/2564 ข้อ 7.3) ผู้ให้บริการการชำระเงินต้องประเมินความมีนัยสำคัญทุกปี และแจ้ง ธปท. ภายใน 30 วันหากเข้าเกณฑ์ครบทั้ง 3 ข้อตามข้อ 3.2 ผู้ให้บริการชำระเงินที่อยู่ภายใต้เกณฑ์การบริหารความเสี่ยงด้าน IT ของ สนช. 1/2564 ต้องส่งสำเนาผลการตรวจสอบด้าน IT ให้ ธปท. ภายใน 45 วันนับแต่ตรวจสอบแล้วเสร็จ (เอกสารแนบ 4) ส่วนผู้ให้บริการรายอื่น แนวปฏิบัติตาม สนช. 11/2561 ขอให้ดำเนินการในทำนองเดียวกัน

ขอบเขตการทดสอบ

สามรายการแรกคือขอบเขตขั้นต่ำตามเกณฑ์ ธปท. ได้แก่ระบบที่เชื่อมต่อกับเครือข่ายสาธารณะ ซึ่งคำถาม-คำตอบของ ธปท. ยกตัวอย่างเว็บไซต์ของธนาคาร Mobile Banking และ Internet Banking ส่วนรายการที่เหลือ เราแนะนำให้กำหนดขอบเขตตามระดับความเสี่ยง

แอปพลิเคชัน Mobile Banking (iOS และ Android)
เว็บไซต์ของธนาคารและระบบ Internet Banking
ระบบงานและเครือข่ายอื่นที่เชื่อมต่อกับเครือข่ายสาธารณะ
API และระบบงานหลักของธนาคาร
เครือข่ายภายในและการแบ่งส่วนเครือข่าย
สภาพแวดล้อมคลาวด์
โครงสร้างพื้นฐาน Payment Gateway
การเชื่อมต่อกับผู้ให้บริการภายนอก

วิธีการ

มาตรฐานการทดสอบที่เราใช้

สกช. 5/2566 และ สนช. 1/2564 กำหนดว่าต้องทดสอบอะไรและบ่อยเพียงใด โดยไม่ได้กำหนดวิธีการ ส่วนแนวปฏิบัติ iPentest กำหนดวิธีการสำหรับธนาคารที่ต้องนำไปปฏิบัติ สำหรับผู้ให้บริการชำระเงิน คำถาม-คำตอบของ ธปท. ยกตัวอย่างวิธีการ เช่น OWASP (สนช. 1/2564 คำถาม-คำตอบข้อ 2)

OWASP WSTG / MASTG

คู่มือทดสอบความปลอดภัยของเว็บแอปพลิเคชันและแอปพลิเคชันบนมือถือ ที่เราใช้ทดสอบเว็บไซต์ธนาคารและแอป Mobile Banking

NIST SP 800-115

คู่มือทดสอบและประเมินความมั่นคงปลอดภัยสารสนเทศ ซึ่งเป็นกรอบของขั้นตอนการทดสอบของเรา

Secure Code Review

แนวปฏิบัติการบริหารความเสี่ยงด้าน IT ของ ธปท. แนะนำให้ทบทวน source code โดยผู้ทบทวนที่เป็นอิสระทุกครั้งที่พัฒนาหรือเปลี่ยนแปลงระบบที่เกี่ยวข้องกับธุรกรรมสำคัญ (ข้อ 2.7.2)

คำสั่งของ ธปท.

สิ่งที่ ธปท. สั่งการได้

นอกจากการทดสอบตามรอบแล้ว ธปท. ยังมีอำนาจสั่งการเพิ่มเติมได้

ทดสอบเจาะระบบเพิ่มเติมโดยผู้เชี่ยวชาญภายนอก

ธปท. อาจสั่งให้ธนาคารหรือผู้ให้บริการชำระเงินแต่งตั้งผู้เชี่ยวชาญภายนอกที่มีความเป็นอิสระดำเนินการทดสอบเจาะระบบเพิ่มเติม (สกช. 5/2566 เอกสารแนบ 2 ข้อ 6.7 และ สนช. 1/2564 ข้อ 5.1.6)

ตรวจสอบด้าน IT โดยผู้ตรวจสอบภายนอก

ธปท. อาจสั่งให้ตรวจสอบด้าน IT โดยผู้ตรวจสอบภายนอก (สกช. 5/2566 เอกสารแนบ 5 และ สนช. 1/2564 เอกสารแนบ 4 สำหรับผู้ให้บริการชำระเงินที่อยู่ภายใต้เกณฑ์การบริหารความเสี่ยงด้าน IT)

กรอบเวลาปิดช่องโหว่ Mobile Banking

ตามประกาศ ธปท. 4/2568 เมื่อพบช่องโหว่ใหม่ สถาบันการเงินต้องเร่งปิดช่องโหว่ภายในกรอบเวลาที่เหมาะสม หรือภายในกำหนดเวลาที่ ธปท. กำหนด

กรอบกฎหมาย

กฎหมายที่เกี่ยวข้อง

กฎหมาย 3 ฉบับเกี่ยวข้องกับเกณฑ์ของ ธปท. โดยแต่ละฉบับมีขอบเขตการบังคับใช้ของตนเอง

พ.ร.บ.การรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562

ใช้บังคับกับหน่วยงานที่ได้รับการกำหนดเป็นหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ (CII) สถาบันการเงินจะเป็น CII ก็ต่อเมื่อได้รับการกำหนดแล้วเท่านั้น ตามหลักเกณฑ์ปี 2568 หน่วยงานควบคุมหรือกำกับดูแลเป็นผู้เสนอรายชื่อ และ กมช. เป็นผู้กำหนด บริการสำคัญด้านการเงินที่ ธปท. ระบุ ได้แก่ การรับฝากและถอนเงินรายย่อย BAHTNET ระบบการหักบัญชีเช็คด้วยภาพเช็ค (ICS) PromptPay และ Single Payment System หน่วยงาน CII ต้องประเมินความเสี่ยงและตรวจสอบด้านความมั่นคงปลอดภัยไซเบอร์อย่างน้อยปีละ 1 ครั้ง และรายงานภัยคุกคามที่มีนัยสำคัญต่อ สกมช. ภายใน 24 ชั่วโมง

พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล (PDPA) พ.ศ. 2562

กำหนดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสมสำหรับข้อมูลส่วนบุคคล และทบทวนเมื่อมีความจำเป็นหรือเมื่อเทคโนโลยีเปลี่ยนแปลงไป (มาตรา 37(1)) กฎหมายไม่ได้ระบุเรื่องการทดสอบไว้ ในมุมมองของเรา การทดสอบเป็นวิธีที่นิยมใช้แสดงว่ามาตรการเหล่านั้นได้ผลจริง

พ.ร.บ.ระบบการชำระเงิน พ.ศ. 2560

เป็นกฎหมายที่ ธปท. ใช้กำกับดูแลผู้ให้บริการระบบการชำระเงินและผู้ให้บริการการชำระเงิน เกณฑ์ของ ธปท. ภายใต้กฎหมายนี้กำหนดให้ผู้ประกอบการที่ไม่ใช่ธนาคารทดสอบเจาะระบบที่เชื่อมต่อกับเครือข่ายสาธารณะอย่างน้อยปีละ 1 ครั้ง (สนช. 1/2564 ข้อ 5.1.6) และตรวจสอบความมั่นคงปลอดภัยของระบบสารสนเทศอย่างน้อยปีละ 1 ครั้ง ซึ่งเป็นงานตรวจสอบที่แยกจากการทดสอบเจาะระบบ (สนช. 11/2561 ข้อ 4.2.2)

การเทียบข้อกำหนด

บริการของเราสอดคล้องกับเกณฑ์ ธปท. อย่างไร

แต่ละบริการของเราเชื่อมโยงกับข้อกำหนดของ ธปท. ที่ช่วยให้คุณปฏิบัติตามได้

การประเมิน	ข้อกำหนด ธปท.	ขอบเขต
การทดสอบความปลอดภัย Mobile App	มาตรการควบคุมแอปตามประกาศ ธปท. 4/2568	Certificate Pinning การป้องกันการดัดแปลงแอป Obfuscation การบล็อกอุปกรณ์ที่ Root หรือ Jailbreak และการบล็อกแอปควบคุมระยะไกลที่มีความเสี่ยง (ทดสอบด้วย OWASP MASTG ตามวิธีการของเรา)
การประเมินความปลอดภัย API	ทดสอบเจาะระบบที่เชื่อมต่อเครือข่ายสาธารณะ (ข้อ 6.7)	Authentication, Authorization, Data Validation, Rate Limiting
Network Penetration Testing	เครือข่ายที่เชื่อมต่อเครือข่ายสาธารณะ (ข้อ 6.7)	Firewall Rules, VLAN Segmentation, Lateral Movement Testing
Intelligence-Led Testing (iPentest)	แนวปฏิบัติ iPentest (ว. 1252/2562)	จำลองสถานการณ์โจมตีจริง, TTP Emulation, Social Engineering, Detection Testing (วิธีการของ Reconix)
Web Application Testing	เว็บไซต์ธนาคารและ Internet Banking (คำถาม-คำตอบข้อ 3)	OWASP WSTG, Business Logic, Authentication Flows
การทดสอบความปลอดภัยก่อนเปิดใช้งาน	Security Test ก่อนเริ่มใช้งานจริง (ข้อ 7.2)	ระบบใหม่และการเปลี่ยนแปลงสำคัญ ทดสอบตามกระบวนการรักษาความมั่นคงปลอดภัยในเอกสารรายละเอียดคุณสมบัติทางเทคนิค

Checklist ความพร้อม

Checklist ความพร้อมตามเกณฑ์ ธปท.

ตรวจสอบความพร้อมขององค์กรกับเกณฑ์ ธปท. ข้างต้นก่อนถึงรอบตรวจสอบถัดไป รายการที่ระบุว่า "ข้อแนะนำ" เป็นคำแนะนำของเรา ไม่ใช่เกณฑ์ของ ธปท.

มีแผนทดสอบเจาะระบบที่เชื่อมต่อเครือข่ายสาธารณะประจำปี และทดสอบทุกครั้งที่มีการเปลี่ยนแปลงอย่างมีนัยสำคัญ (สกช. 5/2566 ข้อ 6.7 หรือ สนช. 1/2564 ข้อ 5.1.6)
ผู้ทดสอบมีความเป็นอิสระจากระบบที่ทดสอบ ไม่ว่าจะเป็นทีมภายในหรือภายนอก
ประเมินช่องโหว่ทุกระบบงานตามระดับความเสี่ยง และประเมินระบบงานสำคัญอย่างน้อยปีละ 1 ครั้ง (ข้อ 6.6)
ขอบเขตการทดสอบครอบคลุมเว็บไซต์ของธนาคาร Mobile Banking และ Internet Banking (คำถาม-คำตอบข้อ 3)
ทดสอบความปลอดภัยก่อนเริ่มใช้งานจริงทุกครั้ง (ข้อ 7.2)
D-SIBs หรือธนาคารที่มีความเสี่ยงตั้งต้นทางไซเบอร์ระดับสูง: ดำเนินการตามแนวปฏิบัติ iPentest ตาม ว. 1252/2562 แล้ว
แอป Mobile Banking มีมาตรการควบคุมตามประกาศ ธปท. 4/2568 ครบถ้วน ได้แก่ Certificate Pinning การป้องกันการดัดแปลงแอป Obfuscation และการบล็อกอุปกรณ์ที่ Root หรือ Jailbreak
ทบทวนและทดสอบแผนฉุกเฉินด้านเทคโนโลยีสารสนเทศอย่างน้อยปีละ 1 ครั้ง (สกช. 5/2566 เอกสารแนบ 2 ข้อ 9.5)
ส่ง IT risk self-assessment ให้ ธปท. ภายใน 30 วันนับแต่วันสิ้นปีปฏิทิน
ผู้ให้บริการชำระเงินที่อยู่ภายใต้เกณฑ์การบริหารความเสี่ยงด้าน IT ของ สนช. 1/2564: ส่งสำเนาผลการตรวจสอบด้าน IT ให้ ธปท. ภายใน 45 วันนับแต่ตรวจสอบแล้วเสร็จ (เอกสารแนบ 4) ผู้ให้บริการรายอื่น: ดำเนินการในทำนองเดียวกันตามแนวปฏิบัติ สนช. 11/2561
แก้ไขช่องโหว่ระดับ Critical และ High พร้อมหลักฐานการทดสอบซ้ำ (ข้อแนะนำ)
นำเสนอสรุปผลการทดสอบต่อคณะกรรมการ (ข้อแนะนำ)

เอกสารส่งมอบ

สิ่งที่คุณได้รับ: เอกสาร BOT-Ready

ทุก Engagement จัดทำเอกสารที่ทีมของคุณต้องการสำหรับรอบ IT Examination ของ ธปท.

สรุปผลระดับคณะกรรมการ

รายงานความเสี่ยงแบบไม่เทคนิคสำหรับนำเสนอต่อคณะกรรมการ

รายงานทางเทคนิคพร้อมคะแนน CVSS

รายงานช่องโหว่โดยละเอียดพร้อมคะแนนความรุนแรงตามมาตรฐานสากล

แผนการแก้ไขตามลำดับความสำคัญ

แผนดำเนินการแก้ไขจัดลำดับตามความรุนแรงและผลกระทบทางธุรกิจ

หลักฐานการตรวจสอบซ้ำ (Retesting)

ผลการทดสอบซ้ำที่รวมอยู่ในงาน สำหรับแต่ละช่องโหว่ที่แก้ไขแล้ว

รายงานการประเมินที่เชื่อมโยงกับข้อกำหนด ธปท.

รายงานฉบับสมบูรณ์ที่ระบุว่าแต่ละประเด็นที่พบเกี่ยวข้องกับข้อใดของ สกช. 5/2566 หรือ สนช. 1/2564

เอกสารอ้างอิงอย่างเป็นทางการ

ศึกษาเอกสารกฎระเบียบต้นฉบับสำหรับข้อกำหนดฉบับเต็ม

ประกาศ ธปท. ที่ สกช. 5/2566 เรื่อง หลักเกณฑ์การกำกับดูแลความเสี่ยงด้านเทคโนโลยีสารสนเทศ พร้อมแนวปฏิบัติ (PDF)หนังสือเวียน ธปท. ว. 1252/2562 เรื่อง iPentest (PDF)ประกาศ ธปท. ที่ สนช. 11/2561 ความมั่นคงปลอดภัยของระบบสารสนเทศสำหรับระบบการชำระเงิน (ฉบับแปลภาษาอังกฤษ, PDF)เว็บไซต์ สกมช. (พ.ร.บ.การรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562)ข้อมูลระบบการชำระเงินของ ธปท. (ภาษาอังกฤษ)

บริการที่เกี่ยวข้อง

บริการด้านความปลอดภัยที่รองรับหน้าที่ตามเกณฑ์ ธปท.