Cybersecurity ตามเกณฑ์ คปภ. สำหรับธุรกิจประกันภัย
บริษัทประกันชีวิตและบริษัทประกันวินาศภัยที่ได้รับใบอนุญาต รวมถึงสาขาในประเทศไทยของบริษัทประกันภัยต่างประเทศ ต้องปฏิบัติตามประกาศ คปภ. ด้านความเสี่ยงเทคโนโลยีสารสนเทศ พ.ศ. 2563 วางแผนทดสอบเจาะระบบ ประเมินช่องโหว่ และทดสอบความปลอดภัยก่อนใช้งานจริงให้ตรงกับข้อที่ประกาศกำหนด
เกณฑ์ Cybersecurity ของ คปภ. คืออะไร?
คปภ. (สำนักงานคณะกรรมการกำกับและส่งเสริมการประกอบธุรกิจประกันภัย) กำกับดูแลธุรกิจประกันภัยในไทย หลักเกณฑ์ด้านความมั่นคงปลอดภัยไซเบอร์มาจากประกาศคณะกรรมการกำกับและส่งเสริมการประกอบธุรกิจประกันภัย เรื่อง หลักเกณฑ์การกำกับดูแลและบริหารจัดการความเสี่ยงด้านเทคโนโลยีสารสนเทศของบริษัทประกันชีวิต พ.ศ. 2563 และฉบับของบริษัทประกันวินาศภัย พ.ศ. 2563
ฉบับแปลของ คปภ. ของประกาศทั้งสองฉบับมีข้อความตรงกันในทุกข้อที่หน้านี้อ้างถึง โดยกำหนดให้ทดสอบเจาะระบบโดยผู้เชี่ยวชาญจากภายนอก บริหารจัดการช่องโหว่ตามความเสี่ยง ทดสอบความปลอดภัยก่อนใช้งานจริง ทดสอบแผนกู้คืนระบบ จัดทำแผนรับมือภัยคุกคามทางไซเบอร์ รายงานเหตุการณ์ต่อ คปภ. และตรวจสอบด้านเทคโนโลยีสารสนเทศ ทั้งนี้ให้ยึดฉบับภาษาไทยเป็นหลัก เพราะฉบับแปลภาษาอังกฤษของ คปภ. ใช้คำว่า "independent experts" ในข้อ 21(6) ขณะที่ฉบับภาษาไทยระบุว่า "ผู้เชี่ยวชาญจากภายนอก"
แนวปฏิบัติของ คปภ. พ.ศ. 2564 ขยายรายละเอียดวิธีปฏิบัติตามประกาศ และตามข้อ 4 ของประกาศ บริษัทที่ปฏิบัติตามแนวปฏิบัติครบถ้วนให้ถือว่าได้ปฏิบัติตามประกาศแล้ว
ร่างประกาศ พ.ศ. 2569 เปิดรับฟังความคิดเห็นถึงวันที่ 21 ตุลาคม 2569 และยังไม่มีผลบังคับใช้ หากออกประกาศตามร่าง จะยกเลิกประกาศ พ.ศ. 2563 ตั้งแต่วันที่ 1 ธันวาคม 2569 กำหนดให้ผู้เชี่ยวชาญจากภายนอกทดสอบเจาะระบบที่เชื่อมต่ออินเทอร์เน็ตอย่างน้อยปีละ 1 ครั้งหรือเมื่อมีการเปลี่ยนแปลงอย่างมีนัยสำคัญ และตัดข้อที่ให้ถือว่าการปฏิบัติตามแนวปฏิบัติเป็นการปฏิบัติตามประกาศออก ร่างนี้ยังเสนอให้ทดสอบ Mobile App ตาม MASTG ก่อนเปิดให้บริการ ทดสอบ API และส่งรายงานการตรวจสอบด้าน IT โดยผู้ตรวจสอบภายนอกที่เป็นอิสระต่อ คปภ. ทุกปี
ใครต้องทำตาม?
ประกาศ พ.ศ. 2563 ใช้บังคับกับบริษัทประกันภัยที่ได้รับใบอนุญาต หน้านี้ไม่ครอบคลุมนายหน้า ตัวแทน หรือบริษัท Insurtech ที่ไม่ได้ถือใบอนุญาตประกอบธุรกิจประกันภัย
ข้อกำหนดหลักด้าน Cybersecurity ของ คปภ.
6 ข้อกำหนดในประกาศ พ.ศ. 2563 ที่เกี่ยวข้องกับงานทดสอบความปลอดภัยและการตรวจสอบ
ทดสอบเจาะระบบโดยผู้เชี่ยวชาญจากภายนอก
จัดให้มีผู้เชี่ยวชาญจากภายนอกทดสอบเจาะระบบ โดยเฉพาะระบบงานและระบบเครือข่ายที่เชื่อมต่ออินเทอร์เน็ต อย่างสม่ำเสมอ หรือทุกครั้งที่มีการเปลี่ยนแปลงระบบอย่างมีนัยสำคัญ (ข้อ 21(6)) แนวปฏิบัติ พ.ศ. 2564 ข้อ 10 กำหนดอย่างน้อยปีละ 1 ครั้ง และทุกครั้งที่มีการเปลี่ยนแปลงอย่างมีนัยสำคัญ
การบริหารจัดการช่องโหว่
บริหารจัดการช่องโหว่ตามระดับความเสี่ยง โดยกำหนดแนวทางในการค้นหา ทดสอบ และบริหารจัดการช่องโหว่ทางด้านเทคโนโลยีสารสนเทศ (ข้อ 21(6) และข้อ 39(2)) แนวปฏิบัติข้อ 9 เพิ่มการประเมินช่องโหว่ของระบบงานสำคัญอย่างน้อยปีละ 1 ครั้ง หรือเมื่อมีการเปลี่ยนแปลงอย่างมีนัยสำคัญ
ทดสอบความปลอดภัยก่อนใช้งานจริง
ทดสอบความปลอดภัยของระบบที่พัฒนา (security test) ก่อนนำขึ้นใช้งานจริง ตามกระบวนการรักษาความมั่นคงปลอดภัยที่กำหนดไว้ในข้อกำหนดทางเทคนิค และปกป้องข้อมูลสำคัญที่ใช้ทดสอบ (ข้อ 22(2)(จ))
ทดสอบแผนกู้คืนระบบสารสนเทศ
ทดสอบแผนการกู้คืนระบบสารสนเทศอย่างน้อยปีละ 1 ครั้ง รายงานผลต่อผู้บริหาร และทดสอบการกู้คืนข้อมูลสำรอง (ข้อ 25)
แผนรับมือภัยคุกคามทางไซเบอร์
จัดทำ ซักซ้อม หรือทดสอบแผนรับมือภัยคุกคามทางไซเบอร์และแผนฉุกเฉิน แล้วรายงานต่อคณะกรรมการบริษัทหรือคณะกรรมการที่ได้รับมอบหมาย (ข้อ 40(2)) ข้อนี้ไม่ได้กำหนดความถี่
การตรวจสอบด้านเทคโนโลยีสารสนเทศ
ตรวจสอบด้านเทคโนโลยีสารสนเทศตามแผนงานและขอบเขตที่กำหนด และเมื่อมีเหตุการณ์ผิดปกติด้านเทคโนโลยีสารสนเทศที่มีนัยสำคัญ ใช้ผู้เชี่ยวชาญภายนอกที่เป็นอิสระเมื่อระบบมีความซับซ้อนหรือใช้เทคโนโลยีใหม่ และทบทวนแผนการตรวจสอบอย่างน้อยปีละ 1 ครั้ง (ข้อ 33(2) และข้อ 34)
คุ้มครองข้อมูลผู้เอาประกัน
บริษัทประกันภัยเก็บข้อมูลสุขภาพ ข้อมูลการเงิน และข้อมูลการเคลมของผู้เอาประกัน
ประเภทข้อมูลที่มีความอ่อนไหวของบริษัทประกันภัย
- ข้อมูลระบุตัวตนบุคคล
- ประวัติสุขภาพและเวชระเบียน
- ข้อมูลการเงินและการชำระเงิน
- ประวัติเคลม และรายละเอียดการชดใช้
- ข้อมูลผู้รับผลประโยชน์และครอบครัว
ข้อกำหนดคู่กับ PDPA มาตรา 37
บริษัทประกันภัยต้องปฏิบัติตาม PDPA ด้วย มาตรา 37(1) กำหนดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม และทบทวนเมื่อมีความจำเป็นหรือเมื่อเทคโนโลยีเปลี่ยนแปลงไป ประกาศเรื่องมาตรการรักษาความมั่นคงปลอดภัย พ.ศ. 2565 กำหนดให้ทบทวนหลังเกิดเหตุละเมิดที่มีความเสี่ยงด้วย โดยกฎหมายไม่ได้ระบุวิธีการทดสอบ
กำหนดเวลารายงานเหตุการณ์
- รายงาน คปภ. ทันทีเมื่อเกิดหรือรับรู้ปัญหาหรือเหตุการณ์ด้าน IT ที่มีนัยสำคัญ ซึ่งกระทบต่อบริการ ระบบ ข้อมูลผู้เอาประกันภัย หรือชื่อเสียง (รวมถึงการโจมตีหรือความพยายามโจมตีระบบ IT ที่สำคัญ) และต้องรายงานต่อผู้บริหารสูงสุด โดยระบุรายละเอียด สาเหตุ ผลกระทบ การแก้ไข และการป้องกัน (ข้อ 43(1))
- ส่งรายงานความคืบหน้าภายใน 3 วันทำการ และรายงานสรุปภายใน 15 วันหลังปิดเหตุการณ์ ไปที่ [email protected] (แบบรายงานตามแนวปฏิบัติ พ.ศ. 2564)
- หากการโจมตีทางไซเบอร์เกี่ยวข้องกับบริการโครงสร้างพื้นฐานสำคัญทางสารสนเทศของบริษัท ต้องแจ้ง คปภ. หรือหน่วยงานที่กฎหมายกำหนดโดยไม่ชักช้าภายใน 72 ชั่วโมง (ข้อ 43(2))
- หากองค์กรได้รับการกำหนดเป็นหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศตาม พ.ร.บ. การรักษาความมั่นคงปลอดภัยไซเบอร์ ต้องรายงานภัยคุกคามที่มีนัยสำคัญต่อ สกมช. ตามแบบ ก2 ภายใน 24 ชั่วโมงด้วย
- เหตุละเมิดข้อมูลส่วนบุคคลต้องแจ้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลโดยไม่ชักช้าภายใน 72 ชั่วโมงนับแต่ทราบเหตุเท่าที่จะสามารถกระทำได้ เว้นแต่เหตุนั้นไม่มีความเสี่ยง (PDPA มาตรา 37(4))
Security Testing ตอบโจทย์เกณฑ์ คปภ. อย่างไร
แต่ละแถวอ้างอิงข้อของประกาศ พ.ศ. 2563 หรือแนวปฏิบัติ พ.ศ. 2564 ส่วนแถวที่ระบุว่าเป็นข้อแนะนำจาก Reconix เป็นคำแนะนำของเรา ซึ่ง คปภ. ไม่ได้บังคับ
Checklist Compliance คปภ.
รายการที่ต้องตรวจสอบตามประกาศ พ.ศ. 2563 และแนวปฏิบัติ พ.ศ. 2564
- ทดสอบเจาะระบบโดยผู้เชี่ยวชาญจากภายนอก โดยเฉพาะระบบงานและระบบเครือข่ายที่เชื่อมต่ออินเทอร์เน็ต อย่างสม่ำเสมอหรือทุกครั้งที่เปลี่ยนแปลงระบบอย่างมีนัยสำคัญ (ข้อ 21(6)) หากใช้ผู้ทดสอบภายในที่เป็นอิสระ ต้องทำตามแนวปฏิบัติข้อ 10 ครบถ้วน คืออย่างน้อยปีละ 1 ครั้งและทุกครั้งที่เปลี่ยนแปลงอย่างมีนัยสำคัญ
- บริหารจัดการช่องโหว่ตามความเสี่ยง พร้อมแนวทางค้นหา ทดสอบ และจัดการช่องโหว่ (ข้อ 21(6) และข้อ 39(2)) และประเมินช่องโหว่ระบบงานสำคัญอย่างน้อยปีละ 1 ครั้งหรือเมื่อเปลี่ยนแปลงอย่างมีนัยสำคัญ (แนวปฏิบัติข้อ 9)
- ทดสอบความปลอดภัยของระบบที่พัฒนาก่อนใช้งานจริง และปกป้องข้อมูลสำคัญที่ใช้ทดสอบ (ข้อ 22(2)(จ))
- ทดสอบแผนกู้คืนระบบสารสนเทศอย่างน้อยปีละ 1 ครั้งและรายงานผู้บริหาร พร้อมทดสอบการกู้คืนข้อมูลสำรอง (ข้อ 25)
- จัดทำ ซักซ้อม หรือทดสอบแผนรับมือภัยคุกคามทางไซเบอร์และแผนฉุกเฉิน แล้วรายงานคณะกรรมการบริษัทหรือคณะกรรมการที่ได้รับมอบหมาย (ข้อ 40(2))
- เตรียมช่องทางรายงานเหตุการณ์ต่อ คปภ.: รายงานทันที รายงานความคืบหน้าภายใน 3 วันทำการ รายงานสรุปภายใน 15 วัน และภายใน 72 ชั่วโมงหากการโจมตีเกี่ยวข้องกับบริการโครงสร้างพื้นฐานสำคัญทางสารสนเทศของบริษัท (ข้อ 43 และแบบรายงานตามแนวปฏิบัติ)
- ตรวจสอบด้าน IT ตามแผนงานและขอบเขต และเมื่อมีเหตุการณ์ผิดปกติที่มีนัยสำคัญ ใช้ผู้เชี่ยวชาญภายนอกที่เป็นอิสระเมื่อระบบซับซ้อนหรือใช้เทคโนโลยีใหม่ และทบทวนแผนการตรวจสอบอย่างน้อยปีละ 1 ครั้ง (ข้อ 33(2) และข้อ 34)
- ติดตามร่างประกาศ พ.ศ. 2569: รับฟังความคิดเห็นถึง 21 ตุลาคม 2569 หากออกประกาศตามร่าง จะมีผล 1 ธันวาคม 2569 และกำหนดให้ผู้เชี่ยวชาญจากภายนอกทดสอบเจาะระบบที่เชื่อมต่ออินเทอร์เน็ตอย่างน้อยปีละ 1 ครั้งหรือเมื่อเปลี่ยนแปลงอย่างมีนัยสำคัญ
เอกสารอ้างอิง
ประกาศฉบับภาษาไทยมีผลบังคับ ลิงก์ด้านล่างเป็นฉบับแปลภาษาอังกฤษของ คปภ.
คำถามที่พบบ่อย
รวมคำถามเกี่ยวกับเกณฑ์ Cybersecurity ของ คปภ. สำหรับธุรกิจประกันภัย
ยกระดับ Security ธุรกิจประกันภัย
วางแผนทดสอบเจาะระบบ ประเมินช่องโหว่ และทดสอบความปลอดภัยก่อนใช้งานจริงให้ตรงกับข้อของประกาศ คปภ. พร้อมหลักฐานที่ผู้ตรวจสอบตรวจย้อนกลับไปยังแต่ละข้อได้
Reconix คือผู้เชี่ยวชาญการทดสอบเจาะระบบเชิงรุกที่เน้นการพิสูจน์ในประเทศไทย ให้บริการธุรกิจดิจิทัลภายใต้การกำกับดูแลทุกขนาด