มาตรฐานการรักษาความมั่นคงปลอดภัยสำหรับเว็บไซต์ พ.ศ. 2568 กำหนดอะไรบ้าง
มาตรฐานการรักษาความมั่นคงปลอดภัยสำหรับเว็บไซต์ พ.ศ. 2568 ใช้บังคับกับหน่วยงานของรัฐ หน่วยงานควบคุมหรือกำกับดูแล และหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ ตั้งแต่ 17 กันยายน 2569 ส่วนภาคเอกชน สกมช. ส่งเสริมให้นำไปปรับใช้
มาตรฐานความปลอดภัยเว็บไซต์ สกมช. คืออะไร?
มาตรฐานฉบับนี้ออกโดย กมช. อาศัยอำนาจตาม พ.ร.บ. การรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 วางข้อกำหนดขั้นต่ำด้านความมั่นคงปลอดภัยสำหรับเว็บไซต์ของหน่วยงานของรัฐ หน่วยงานควบคุมหรือกำกับดูแล และหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ มีผลบังคับใช้ตั้งแต่วันที่ 17 กันยายน 2569 และ สกมช. ส่งเสริมให้ภาคเอกชนนำไปปรับใช้
- ออกโดย กมช. ตาม พ.ร.บ. การรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562
- มีผลบังคับใช้ตั้งแต่ 17 กันยายน 2569 (ข้อ 2)
- ครอบคลุมเว็บไซต์ที่เชื่อมต่ออินเทอร์เน็ต เก็บข้อมูลสำคัญ ให้บริการประชาชน ให้บริการโครงสร้างพื้นฐานสำคัญทางสารสนเทศ หรือรองรับธุรกรรมทางอิเล็กทรอนิกส์
- ต้องประเมินและจัดระดับผลกระทบของแต่ละเว็บไซต์ (ต่ำ กลาง สูง) ในด้านการรักษาความลับ ความถูกต้อง และสภาพพร้อมใช้งาน
- ต้องประเมินตนเองตามแบบฟอร์ม ค1 อย่างน้อยปีละ 1 ครั้ง บันทึกข้อบกพร่องในแบบฟอร์ม ค2 และปรับปรุงแก้ไข
- บังคับกับหน่วยงานของรัฐ หน่วยงานควบคุมหรือกำกับดูแล และหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ ส่วนภาคเอกชน สกมช. ส่งเสริมให้นำไปใช้
อ้างอิง: มาตรฐานการรักษาความมั่นคงปลอดภัยสำหรับเว็บไซต์ พ.ศ. 2568, กมช.
ใครต้องทำตาม?
มาตรฐานนี้บังคับกับหน่วยงานของรัฐ หน่วยงานควบคุมหรือกำกับดูแล และหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ ตั้งแต่ 17 กันยายน 2569 ส่วนภาคเอกชน สกมช. ส่งเสริมให้นำไปปรับใช้
หน่วยงานของรัฐ
ต้องดำเนินการให้เว็บไซต์ของตนเป็นไปตามมาตรฐาน และประเมินตนเองตามแบบฟอร์ม ค1 อย่างน้อยปีละ 1 ครั้ง (ข้อ 3 และข้อ 4)
หน่วยงานควบคุมหรือกำกับดูแล
ต้องดำเนินการให้เว็บไซต์ของตนเป็นไปตามมาตรฐาน และประเมินตนเองตามแบบฟอร์ม ค1 อย่างน้อยปีละ 1 ครั้ง (ข้อ 3 และข้อ 4)
หน่วยงาน CII ที่ได้รับการประกาศ
สถานะ CII มาจากการประกาศกำหนด ตามหลักเกณฑ์ พ.ศ. 2568 หน่วยงานควบคุมหรือกำกับดูแลเป็นผู้เสนอรายชื่อหน่วยงานที่เข้าเกณฑ์ และ กมช. เป็นผู้ประกาศกำหนด (ข้อ 8)
หน่วยงาน CII ตามหลักเกณฑ์ พ.ศ. 2564
หน่วยงานที่ได้รับการกำหนดตามหลักเกณฑ์ พ.ศ. 2564 ยังคงเป็น CII จนกว่า กมช. จะประกาศกำหนดตามหลักเกณฑ์ พ.ศ. 2568 แล้วเสร็จ (ข้อ 5)
บริการที่สำคัญด้านการเงิน
ด้านการเงิน (ธปท.): บริการฝากถอนเงินรายย่อย BAHTNET บริการระบบการหักบัญชีเช็คด้วยภาพเช็ค (ICS) PromptPay และระบบ Single Payment System ด้านตลาดทุน (ก.ล.ต.): ระบบจับคู่คำสั่งซื้อขาย ระบบชำระราคาและส่งมอบหลักทรัพย์ และศูนย์รับฝากหลักทรัพย์ สอบถามหน่วยงานควบคุมหรือกำกับดูแลว่าได้เสนอชื่อองค์กรของคุณหรือไม่
ภาคเอกชน
สกมช. ส่งเสริมและสนับสนุนให้ภาคเอกชนนำมาตรฐานไปปรับใช้เป็นแนวทางรักษาความมั่นคงปลอดภัยเว็บไซต์ของตน โดยมาตรฐานไม่ได้บังคับภาคเอกชน
ข้อกำหนดหลักที่ต้องทำ
6 ข้อกำหนดจากมาตรฐานเว็บไซต์และกฎสำหรับ CII ที่เกี่ยวข้องกับงานทดสอบความปลอดภัย
Vulnerability Assessment
หน่วยงาน CII ต้องประเมินช่องโหว่ของบริการที่สำคัญตามความเสี่ยง (host, network และการทบทวนสถาปัตยกรรม) และก่อนเชื่อมต่อระบบใหม่หรือเปลี่ยนแปลงครั้งใหญ่ (ประมวลแนวทางปฏิบัติ พ.ศ. 2564 ข้อ 21.3.1 ถึง 21.3.3) เว็บไซต์ผลกระทบระดับสูงต้องทำ VA และ Pentest ตามประมวลแนวทางปฏิบัติ
Penetration Testing
ประมวลแนวทางปฏิบัติระบุว่าหน่วยงาน CII ควรพิจารณาทดสอบเจาะระบบของบริการที่สำคัญ โดยเฉพาะระบบที่เชื่อมต่ออินเทอร์เน็ต ตามความเสี่ยง อย่างน้อยปีละ 1 ครั้งตามความจำเป็น และก่อนเปิดใช้ระบบใหม่หรือเปลี่ยนแปลงครั้งใหญ่ (ข้อ 21.3.4 และ 21.3.6) เว็บไซต์ผลกระทบระดับสูงต้องทำ VA และ Pentest ส่วนระดับกลางและต่ำได้รับยกเว้น (ตาราง ค6)
คุณสมบัติผู้ทดสอบ
CII: เมื่อทดสอบเจาะระบบ ต้องครอบคลุม host, network และ application โดยเฉพาะระบบที่เชื่อมต่ออินเทอร์เน็ตทั้งหมด ใช้ผู้ทดสอบที่ได้รับการรับรองและเป็นอิสระจากระบบที่ทดสอบ มีคุณสมบัติตามที่หน่วยงานควบคุมหรือกำกับดูแลกำหนด กำกับดูแลการทดสอบของผู้ให้บริการ และส่งสรุปผลให้ สกมช. ภายใน 30 วันนับแต่ได้รับการร้องขอ (ข้อ 21.3.5, 21.3.7, 21.3.8 และ 21.3.10)
ติดตามและยืนยันการแก้ไข
ติดตามและแก้ไขช่องโหว่ที่พบจาก VA และ Pentest พร้อมตรวจยืนยันผลการแก้ไข (ข้อ 21.3.9) และบันทึกข้อบกพร่องของเว็บไซต์ในแบบฟอร์ม ค2 แล้วปรับปรุงแก้ไข
การตั้งค่าและการควบคุมการเข้าถึง
ภาคผนวกของมาตรฐานกำหนดมาตรการด้านการตั้งค่าและการควบคุมการเข้าถึงสำหรับเว็บไซต์ในขอบเขต โปรดดูรายการทั้งหมดในมาตรฐาน
รายงานภัยคุกคาม (CII)
เมื่อเกิดหรือคาดว่าจะเกิดภัยคุกคาม ต้องตรวจสอบ เมื่อยืนยันแล้วต้องรับมือและแจ้ง สกมช. โดยเร็ว ภัยคุกคามที่มีนัยสำคัญต้องรายงาน สกมช. ตามแบบ ก2 ภายใน 24 ชั่วโมงหลังตรวจพบหรือเกิดเหตุ และรายงานหน่วยงานควบคุมหรือกำกับดูแลภายในกำหนดเวลาของหน่วยงานนั้น
กำหนดเวลารายงานที่ต้องทำให้ทัน
พ.ร.บ. การรักษาความมั่นคงปลอดภัยไซเบอร์ มีผลบังคับใช้แล้ว และมาตรฐานเว็บไซต์ใช้บังคับตั้งแต่ 17 กันยายน 2569 ด้านล่างคือหน้าที่รายงานตามกฎที่หน้านี้อ้างถึง
หน่วยงาน CII ต้องรายงานภัยคุกคามที่มีนัยสำคัญต่อ สกมช. ตามแบบ ก2 ภายใน 24 ชั่วโมงหลังตรวจพบหรือเกิดเหตุ และรายงานหน่วยงานควบคุมหรือกำกับดูแลภายในกำหนดเวลาของหน่วยงานนั้น
หน่วยงาน CII ต้องประเมินความเสี่ยงและตรวจสอบด้านความมั่นคงปลอดภัยไซเบอร์อย่างน้อยปีละ 1 ครั้ง ส่งสรุปผลให้ สกมช. ภายใน 30 วันนับแต่ดำเนินการเสร็จและไม่เกิน 31 มกราคม พร้อมสำเนาให้หน่วยงานควบคุมหรือกำกับดูแล และรายงานผลการฝึกซ้อมแผนความต่อเนื่องทางธุรกิจ แผนการสื่อสารในภาวะวิกฤต และแผนรับมือเหตุการณ์ประจำปีภายใน 31 มกราคม
เว็บไซต์ผลกระทบระดับต่ำหรือกลาง: เสนอผลตามแบบฟอร์ม ค1 ต่อผู้บริหารสูงสุดของหน่วยงาน เว็บไซต์ผลกระทบระดับสูง: เสนอต่อผู้บริหารสูงสุดและหน่วยงานควบคุมหรือกำกับดูแล พร้อมสำเนาให้ สกมช. และบันทึกข้อบกพร่องในแบบฟอร์ม ค2 แล้วปรับปรุงแก้ไข
Security Testing ตอบโจทย์มาตรฐาน สกมช. อย่างไร
แต่ละแถวระบุกฎที่รองรับ ส่วนแถวที่ระบุว่าเป็นข้อแนะนำจาก Reconix เป็นคำแนะนำของเรา
Checklist เตรียมตัวตามมาตรฐาน สกมช.
สิ่งที่ต้องมีตามมาตรฐานซึ่งใช้บังคับตั้งแต่ 17 กันยายน 2569 รายการที่ขึ้นต้นด้วย CII ใช้กับหน่วยงานที่ได้รับการประกาศกำหนดเท่านั้น
เอกสารอ้างอิง
อ่านเอกสารกฎระเบียบฉบับเต็มจากแหล่งทางการ
บริการที่เกี่ยวข้องกับเกณฑ์
บริการทดสอบและที่ปรึกษาที่สอดคล้องกับหน้าที่ด้านการทดสอบในมาตรฐานเว็บไซต์และประมวลแนวทางปฏิบัติ
คำถามที่พบบ่อย
รวมคำถามเกี่ยวกับมาตรฐานความปลอดภัยเว็บไซต์ สกมช. และสิ่งที่มาตรฐานกำหนด
ตรวจเว็บไซต์ของคุณเทียบกับมาตรฐาน
มาตรฐานใช้บังคับตั้งแต่ 17 กันยายน 2569 การประเมินของเราระบุข้อกำหนดที่เกี่ยวข้องกับช่องโหว่แต่ละรายการ พร้อมทดสอบซ้ำหลังแก้ไข
Reconix คือผู้เชี่ยวชาญการทดสอบเจาะระบบเชิงรุกที่เน้นการพิสูจน์ในประเทศไทย ให้บริการธุรกิจดิจิทัลภายใต้การกำกับดูแลทุกขนาด