Cybersecurity Compliance ตามเกณฑ์ ก.ล.ต. สำหรับตลาดทุนและ Digital Asset
ประกาศที่ สธ. 38/2565 ซึ่งแก้ไขเพิ่มเติมโดย สธ. 33/2567 กำหนดหน้าที่ด้านการทดสอบเจาะระบบ การประเมินช่องโหว่ และการพัฒนาระบบอย่างปลอดภัย สำหรับผู้ประกอบธุรกิจตลาดทุนและสินทรัพย์ดิจิทัล ความถี่ในการทดสอบขึ้นอยู่กับระดับที่ได้จากการประเมินระดับความเสี่ยง (Risk Level Assessment: RLA)
เกณฑ์ Cybersecurity ของ ก.ล.ต. เป็นอย่างไร?
ก.ล.ต. กำหนดหน้าที่ด้านความมั่นคงปลอดภัยของระบบ IT สำหรับผู้ประกอบธุรกิจตลาดทุนและสินทรัพย์ดิจิทัลไว้ในประกาศที่ สธ. 38/2565 ซึ่งแก้ไขเพิ่มเติมโดย สธ. 33/2567 ภาคผนวก 3 กำหนดหน้าที่ด้านการทดสอบ ส่วนภาคผนวก 4 กำหนดเรื่องการตรวจสอบด้าน IT โดยระดับความเสี่ยงจากผล RLA เป็นตัวกำหนดความถี่ในการทดสอบ
- หน้าที่ด้านการทดสอบที่มีผลบังคับอยู่ในภาคผนวก 3 ของ สธ. 38/2565 ความถี่และขอบเขตขึ้นอยู่กับระดับของผู้ประกอบธุรกิจ (ขนาดเล็ก ระดับต่ำ ระดับปานกลาง หรือระดับสูง)
- นป. 6/2567 เป็นแนวปฏิบัติของ ก.ล.ต. หากปฏิบัติตามครบถ้วนจะถือว่าปฏิบัติตามเกณฑ์แล้ว หากเลือกแนวทางอื่นต้องพิสูจน์ได้ว่ายังเป็นไปตาม สธ. 38/2565
- ผู้ทดสอบเจาะระบบต้องเป็นอิสระจากเจ้าของระบบ โดยเป็นผู้เชี่ยวชาญภายในหรือภายนอกองค์กรก็ได้
- ผู้ประกอบธุรกิจสินทรัพย์ดิจิทัลที่เก็บรักษาทรัพย์สินของลูกค้าต้องปฏิบัติตาม สธ. 44/2565 ด้วย ซึ่งกำหนดให้ทดสอบขั้นตอนรับมือเหตุการณ์ด้านกระเป๋าสินทรัพย์ดิจิทัลทุกปี และกำหนดหน้าที่เมื่อเกิดเหตุการณ์กับระบบเก็บรักษาสินทรัพย์ดิจิทัล
- เกณฑ์ IT ของ ก.ล.ต. ไม่ได้กำหนดให้ทำ Smart Contract Audit ก่อนเปิดตัว และไม่ได้กำหนดให้ทำ Red Teaming
ใครบ้างที่ต้องทำตามเกณฑ์ ก.ล.ต.?
สธ. 38/2565 ข้อ 2 ซึ่งแก้ไขเพิ่มเติมโดย สธ. 33/2567 ครอบคลุมผู้ประกอบธุรกิจที่ได้รับอนุญาตหรือได้รับความเห็นชอบจาก ก.ล.ต. ดังต่อไปนี้ รวมถึงธนาคารและบริษัทประกันชีวิตที่ได้รับใบอนุญาตจาก ก.ล.ต.
บริษัทหลักทรัพย์และผู้ประกอบธุรกิจสัญญาซื้อขายล่วงหน้า
ผู้ประกอบธุรกิจหลักทรัพย์และสัญญาซื้อขายล่วงหน้าที่ได้รับใบอนุญาต หน้าที่ขึ้นอยู่กับระดับความเสี่ยงจากผล RLA ที่ยื่นทุกปี
ผู้จัดการกองทุนและที่ปรึกษา
ผู้จัดการกองทุน และที่ปรึกษาการลงทุนหรือที่ปรึกษาสัญญาซื้อขายล่วงหน้าที่ใช้เทคโนโลยีในการให้บริการลูกค้า
ศูนย์ซื้อขายสินทรัพย์ดิจิทัล
ศูนย์ซื้อขายสินทรัพย์ดิจิทัลที่ได้รับใบอนุญาต หากเก็บรักษาทรัพย์สินของลูกค้าต้องปฏิบัติตาม สธ. 44/2565 ด้วย
นายหน้าและผู้ค้าสินทรัพย์ดิจิทัล
ผู้ประกอบธุรกิจสินทรัพย์ดิจิทัลที่ทำธุรกรรมแทนลูกค้า เกณฑ์การเก็บรักษาตาม สธ. 44/2565 ใช้บังคับเมื่อถือทรัพย์สินของลูกค้า
ICO Portal และ Crowdfunding Portal
ผู้ให้บริการระบบเสนอขายโทเคนดิจิทัล (ICO Portal) และผู้ให้บริการระบบคราวด์ฟันดิงที่ได้รับความเห็นชอบจาก ก.ล.ต.
โครงสร้างพื้นฐานตลาดทุน
สำนักหักบัญชี ศูนย์รับฝากหลักทรัพย์ และศูนย์ซื้อขายสัญญาซื้อขายล่วงหน้า
หน้าที่ด้านการทดสอบตามเกณฑ์ ก.ล.ต.
หน้าที่ที่มีผลบังคับมาจาก สธ. 38/2565 ภาคผนวก 3 และ 4 ส่วนรายการที่มาจาก นป. 6/2567 ระบุว่าเป็นแนวปฏิบัติ ควรตรวจสอบระดับของท่านก่อน เพราะผู้ประกอบธุรกิจขนาดเล็กมีหน้าที่น้อยกว่า
Vulnerability Assessment (VA)
บังคับทุกระดับ รวมถึงผู้ประกอบธุรกิจขนาดเล็ก ต้องประเมินช่องโหว่ของระบบ IT ที่มีนัยสำคัญและระบบที่เชื่อมต่อกับเครือข่ายสาธารณะทุกระบบ อย่างน้อยปีละ 1 ครั้ง และทุกครั้งที่มีการเปลี่ยนแปลงอย่างมีนัยสำคัญ (ภาคผนวก 3 ข้อ 8.9)
Penetration Testing (PT)
บังคับ ต้องทดสอบเจาะระบบแอปพลิเคชันและเครือข่ายที่เชื่อมต่อกับเครือข่ายสาธารณะ อย่างน้อยปีละ 1 ครั้ง และทุกครั้งที่เปลี่ยนแปลงระบบอย่างมีนัยสำคัญ ผู้ประกอบธุรกิจขนาดเล็กอย่างน้อยทุก 3 ปี ส่วนระบบอื่นต้องประเมินความเสี่ยงจากการบุกรุกผ่านเครือข่ายภายใน กำหนดขอบเขต และทดสอบเจาะระบบตามความเหมาะสม (ภาคผนวก 3 ข้อ 8.10.1)
ผู้ทดสอบอิสระและการเก็บรายงาน
ผู้ทดสอบต้องเป็นอิสระจากเจ้าของระบบ โดยเป็นผู้เชี่ยวชาญภายในหรือภายนอกก็ได้ ต้องแก้ไขช่องโหว่โดยเร็ว เก็บรายงานผลการทดสอบไว้อย่างน้อย 2 ปี และนำส่งรายงานต่อ ก.ล.ต. โดยไม่ชักช้าเมื่อ ก.ล.ต. ร้องขอ แนวปฏิบัติแนะนำให้ประเมินความเสี่ยงของช่องโหว่แต่ละรายการและกำหนดระยะเวลาแก้ไขให้เหมาะสมกับความเสี่ยง (ภาคผนวก 3 ข้อ 8.10.2 ถึง 8.10.5; นป. 6/2567)
การพัฒนาระบบอย่างปลอดภัย
บังคับสำหรับผู้ประกอบธุรกิจที่ไม่ใช่ขนาดเล็ก ต้องมีกระบวนการหรือเครื่องมือควบคุมการพัฒนาชุดคำสั่งคอมพิวเตอร์ให้ปลอดภัย และทดสอบระบบก่อนนำขึ้นระบบงานจริง แนวปฏิบัติแนะนำให้สอบทาน Source Code ด้วยเครื่องมืออัตโนมัติหรือโดยผู้ที่ไม่ใช่ผู้พัฒนา เมื่อพัฒนาหรือเปลี่ยนแปลงระบบงานสำคัญ ผู้ประกอบธุรกิจระดับสูงควรให้ผู้เชี่ยวชาญที่เป็นอิสระจากทีมพัฒนาเป็นผู้สอบทานแบบ Manual (ภาคผนวก 3 ข้อ 10.3(4), 10.3(5); นป. 6/2567)
การทดสอบแผนรับมือเหตุการณ์และแผนฉุกเฉิน
บังคับสำหรับผู้ประกอบธุรกิจที่ไม่ใช่ขนาดเล็ก ต้องทดสอบแผนบริหารจัดการเหตุการณ์ผิดปกติด้าน IT อย่างน้อยปีละ 1 ครั้ง โดยครอบคลุม Cyber Security Drill รวมถึงทดสอบการสำรองและกู้คืนข้อมูล และทดสอบแผนฉุกเฉินด้าน IT ปีละ 1 ครั้ง ผู้ที่เก็บรักษาสินทรัพย์ดิจิทัลของลูกค้าไม่ว่าอยู่ในระดับใดต้องทดสอบขั้นตอนรับมือเหตุการณ์ด้านกระเป๋าสินทรัพย์ดิจิทัลปีละครั้งด้วย (ภาคผนวก 3 ข้อ 8.6, 11.6, 12.5; สธ. 44/2565 ข้อ 7)
การตรวจสอบด้าน IT และการประเมินระดับความเสี่ยง
ยื่นผลการประเมินระดับความเสี่ยง (RLA) ต่อ ก.ล.ต. ภายในไตรมาสที่ 1 ของทุกปี ผลการประเมินเป็นตัวกำหนดระดับของท่าน การตรวจสอบด้าน IT ต้องทำโดยผู้ตรวจสอบที่เป็นอิสระและมีใบรับรองที่ ก.ล.ต. ยอมรับ ตรวจเต็มขอบเขตทุกปีสำหรับระดับปานกลางและระดับสูง และอย่างน้อยทุก 3 ปีสำหรับขนาดเล็กและระดับต่ำ (สธ. 38/2565 ข้อ 4; ภาคผนวก 4)
Reconix ทดสอบอะไรบ้าง
ขอบเขตบริการของ Reconix ใช้เทียบกับหน้าที่ของท่านตามเกณฑ์ ก.ล.ต. ด้านบน
IT Infrastructure ทั้งหมด
VA: สแกนหา CVE และ Misconfiguration อย่างเป็นระบบทั่วทุกระบบ
แพลตฟอร์มซื้อขาย & API
Pentest: พิสูจน์ว่าช่องโหว่ในเว็บแอป แอปมือถือ และ API โดนโจมตีจริงได้หรือไม่
Source Code
Code Review: จับ Logic Flaw และ OWASP Top 10 ตั้งแต่ตอนพัฒนา ก่อนถึงมือ User
คน กระบวนการ และเทคโนโลยี
Red Teaming (บริการของ Reconix ไม่ใช่ข้อกำหนดของ ก.ล.ต.): ทดสอบ Incident Response, SOC Detection และ Cyber Resilience แบบ End-to-End
Web3 Token & ICO
Smart Contract Audit (บริการของ Reconix ไม่ใช่ข้อกำหนดของ ก.ล.ต.): ค้นหาช่องโหว่ใน On-chain Code ก่อนที่เงินนักลงทุนจะเข้ามา
ระบบ e-KYC & Onboarding
ทดสอบความปลอดภัยของการยืนยันตัวตน ตรวจเอกสาร และกระบวนการเปิดบัญชี
รายงานและเอกสารที่ต้องยื่นหรือเก็บไว้ให้ ก.ล.ต.
หน้านี้ไม่ครอบคลุมบทลงโทษของ ก.ล.ต. รายการด้านล่างคือหน้าที่ด้านการยื่นและเก็บเอกสารตามเกณฑ์
- นำส่งรายงานผลการทดสอบเจาะระบบต่อ ก.ล.ต. โดยไม่ชักช้าเมื่อ ก.ล.ต. ร้องขอ (ภาคผนวก 3 ข้อ 8.10.3 ถึง 8.10.5)
- เก็บรายงานผลการทดสอบเจาะระบบไว้อย่างน้อย 2 ปีนับแต่วันที่จัดทำ (ภาคผนวก 3 ข้อ 8.10.3 ถึง 8.10.5)
- ยื่นผลการประเมินระดับความเสี่ยง (RLA) ภายในไตรมาสที่ 1 ของทุกปีปฏิทิน หลังคณะกรรมการหรือผู้ได้รับมอบหมายพิจารณาแล้ว (สธ. 38/2565 ข้อ 4)
- ยื่นรายงานผลการตรวจสอบด้าน IT ที่คณะกรรมการพิจารณาแล้ว พร้อมแผนแก้ไข ภายใน 3 เดือนนับแต่วันสิ้นปีปฏิทินของปีที่ตรวจสอบ ผู้ประกอบธุรกิจสินทรัพย์ดิจิทัลยื่นตาม กธ. 19/2561 (ภาคผนวก 4)
- หลักฐานว่ายังเป็นไปตาม สธ. 38/2565 ในทุกเรื่องที่เลือกปฏิบัติต่างจาก นป. 6/2567 (นป. 6/2567 ข้อ 4)
บริการของเราตอบโจทย์เกณฑ์ ก.ล.ต. อย่างไร
บริการแต่ละรายการของ Reconix ตอบหน้าที่ข้อใดตามเกณฑ์ข้างต้น
Checklist สำหรับ Compliance ก.ล.ต.
หน้าที่หลักตาม สธ. 38/2565 ภาคผนวก 3 ตรวจสอบระดับของท่านก่อน
- ยื่นผล RLA ต่อ ก.ล.ต. ภายในไตรมาสที่ 1 และมีผลการจัดระดับไว้เป็นหลักฐาน
- ทดสอบเจาะระบบที่เชื่อมต่อกับเครือข่ายสาธารณะตามรอบของระดับตน (ปีละ 1 ครั้ง หรือทุก 3 ปีสำหรับขนาดเล็ก) และหลังการเปลี่ยนแปลงอย่างมีนัยสำคัญทุกครั้ง
- ผู้ทดสอบเป็นอิสระจากเจ้าของระบบ ไม่ว่าจะเป็นผู้เชี่ยวชาญภายในหรือภายนอก
- ประเมินช่องโหว่ระบบ IT ที่มีนัยสำคัญและระบบที่เชื่อมต่อกับเครือข่ายสาธารณะอย่างน้อยปีละ 1 ครั้ง
- แก้ไขช่องโหว่โดยเร็ว และเก็บรายงานผลการทดสอบเจาะระบบไว้อย่างน้อย 2 ปี
- มีกระบวนการหรือเครื่องมือควบคุมการพัฒนาอย่างปลอดภัย และทดสอบระบบก่อนขึ้นระบบงานจริง (ไม่บังคับผู้ประกอบธุรกิจขนาดเล็ก)
เอกสารอ้างอิง
หน้าข้อมูลประกอบจาก ก.ล.ต. ส่วนเกณฑ์ที่อ้างถึงในหน้านี้ (สธ. 38/2565, สธ. 33/2567, นป. 6/2567, สธ. 44/2565) เผยแพร่บน sec.or.th
บริการที่เกี่ยวข้อง
บริการเฉพาะทางที่รองรับหน้าที่ตามเกณฑ์ ก.ล.ต.
Vulnerability Assessment
สแกนหาช่องโหว่และจัดลำดับความเสี่ยงทั่วทั้ง IT Infrastructure และ Application
เรียนรู้เพิ่มเติมWeb Application Penetration Testing
ทดสอบเชิงลึกสำหรับแพลตฟอร์มซื้อขาย Portal และเว็บแอปที่ให้บริการลูกค้า
เรียนรู้เพิ่มเติมSmart Contract Audit
ตรวจสอบความปลอดภัย Smart Contract สำหรับ DeFi, Token และ ICO อย่างเข้มงวด
เรียนรู้เพิ่มเติมคำถามที่พบบ่อยเรื่อง Compliance ก.ล.ต.
รวมคำตอบเรื่อง Cybersecurity ตามเกณฑ์ ก.ล.ต. สำหรับตลาดทุนและธุรกิจ Digital Asset
พร้อมผ่านเกณฑ์ ก.ล.ต. แล้วหรือยัง?
ปกป้องใบอนุญาตและความเชื่อมั่นของนักลงทุน ด้วย Security Assessment ที่ออกแบบตามเกณฑ์ ก.ล.ต.
Reconix คือผู้เชี่ยวชาญการทดสอบเจาะระบบเชิงรุกที่เน้นการพิสูจน์ในประเทศไทย ให้บริการธุรกิจดิจิทัลภายใต้การกำกับดูแลทุกขนาด