ติดต่อเรา

กรณีที่หน่วยงานประเมินระบบงานแล้วอยู่ในระดับผลกระทบระดับกลาง จำเป็นต้องขอใบรับรอง อ้างอิงตาม ข้อ 1.8.2 และ ข้อ 4 กรณีหน่วยงานอยู่ในฐานะผู้ใช้บริการคลาวด์ (CSC) ต้องได้รับการรับรองโดยหน่วยงานควบคุมหรือกำกับดูแล (Attestation) หรือ ได้รับการรับรองโดยหน่วยงานให้บริการตรวจรับรอง (Certify Body) ทั้งนี้ หากหน่วยงานฯ มีสถานะเป็นหน่วยงานของรัฐ ที่มิใช่หน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ จึงไม่มีหน่วยงานควบคุมหรือกำกับดูแล ตามพระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 ดังนั้น ไม่ว่าข้อมูลหรือระบบสารสนเทศจะอยู่ใน “ผลกระทบระดับกลาง” หรือ “ผลกระทบระดับสูง” จึงจำเป็นต้องได้รับการตรวจรับรองโดยหน่วยงานให้บริการตรวจรับรองเท่านั้น

สกมช. ขอชี้แจงหลักการเบื้องต้นดังนี้ ขอให้หน่วยงานพิจารณาประเมินความสำคัญ “เป็นรายระบบงาน” โดยไม่จำเป็นต้องพิจารณาเหมารวมทั้งหน่วยงาน หากประเมินแล้วพบว่าระบบงานใดมีระดับความเสี่ยงตกอยู่ใน “ผลกระทบระดับกลาง” เป็นต้นไป และมีการนำระบบงานนั้นไปใช้งานบนบริการคลาวด์สาธารณะ (Public Cloud) ระบบงานดังกล่าวก็จะเข้าเกณฑ์ที่จำเป็นต้องขอรับการตรวจรับรองมาตรฐานตามประกาศฯ กรณีที่หน่วยงานประเมินระบบงานแล้วอยู่ในระดับผลกระทบระดับกลาง จำเป็นต้องขอใบรับรอง อ้างอิงตาม ข้อ 1.8.2 และ ข้อ 4 “ตารางข้อกำหนดขั้นต่ำและการตรวจรับรองสำหรับผู้ใช้บริการคลาวด์และผู้ให้บริการคลาวด์” ของมาตรฐานฯ ได้กำหนดรูปแบบการรับรองสำหรับระบบที่มีผลกระทบระดับกลางแยกตามบทบาท ดังนี้ กรณีหน่วยงานอยู่ในฐานะผู้ใช้บริการคลาวด์ (CSC) ต้องได้รับการรับรองโดยหน่วยงานควบคุมหรือกำกับดูแล (Attestation) หรือ ได้รับการรับรองโดยหน่วยงานให้บริการตรวจรับรอง (Certify Body) ทั้งนี้ เนื่องจากหน่วยงานฯ อาจมีสถานะเป็นหน่วยงานของรัฐ ที่มิใช่หน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ จึงไม่มีหน่วยงานควบคุมหรือกำกับดูแล ตามพระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 ดังนั้น ไม่ว่าข้อมูลหรือระบบสารสนเทศจะอยู่ใน “ผลกระทบระดับกลาง” หรือ “ผลกระทบระดับสูง” จึงจำเป็นต้องได้รับการตรวจรับรองโดยหน่วยงานให้บริการตรวจรับรองเท่านั้น กรณีหน่วยงานอยู่ในฐานะผู้ให้บริการคลาวด์ (CSP) ต้องได้รับการรับรองโดยหน่วยงานให้บริการตรวจรับรอง (Certify Body) และต้องได้รับการรับรองตามมาตรฐานสากล CSA STAR Level 2/CCM และ ISO/IEC 27701 Certification เป็นอย่างน้อย

การตรวจโดยการประเมินตนเอง (Self-assessment) กรณีข้อมูลหรือระบบสารสนเทศอยู่ใน “ผลกระทบระดับต่ำ” ยังมิได้มีหลักเกณฑ์หรือวิธีการที่กำหนดโดย สกมช. ว่าจะดำเนินการโดยผู้ดำเนินการในระดับชั้นใด เพื่อให้มีการถ่วงดุลตามหลักการควบคุม กำกับ และตรวจสอบ (Three Lines of Defense) ดังนั้น จึงยังไม่สามารถระบุได้ว่าทางหน่วยงานจะสามารถใช้ผลการตรวจสอบจากผู้ตรวจสอบภายในมาใช้เป็นเอกสารอ้างอิง หากเป็นข้อมูลหรือระบบสารสนเทศอยู่ใน “ผลกระทบระดับกลาง” จะไม่สามารถใช้ผลการตรวจจากหน่วยงานตรวจสอบภายในของหน่วยงานเองได้ จำเป็นต้องใช้การตรวจรับรองโดยหน่วยงานควบคุมหรือกำกับดูแล หรือ Certify Body (CB) แต่หากเป็นข้อมูลหรือระบบสารสนเทศอยู่ใน “ผลกระทบระดับสูง” จำเป็นต้องได้รับการตรวจรับรองโดยหน่วยงานให้บริการตรวจรับรอง (Certify Body) เท่านั้น

สำหรับข้อมูลหรือระบบสารสนเทศที่มีผลการประเมินอยู่ใน “ผลกระทบระดับกลาง” จำเป็นต้องใช้การตรวจรับรองโดยหน่วยงานควบคุมหรือกำกับดูแล (Attestation) หรือหน่วยงานให้บริการตรวจรับรอง (Certify Body) แต่หากเป็นข้อมูลหรือระบบสารสนเทศอยู่ใน “ผลกระทบระดับสูง” จำเป็นต้องได้รับการตรวจรับรองโดยหน่วยงานให้บริการตรวจรับรอง (Certify Body) เท่านั้น ทั้งนี้ หากหน่วยงานฯ มีสถานะเป็นหน่วยงานของรัฐ ที่มิใช่หน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ จึงจะไม่มีหน่วยงานควบคุมหรือกำกับดูแล ตามพระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 ดังนั้น ไม่ว่าข้อมูลหรือระบบสารสนเทศจะอยู่ใน “ผลกระทบระดับกลาง” หรือ “ผลกระทบระดับสูง” จำเป็นต้องได้รับการตรวจรับรองโดยหน่วยงานให้บริการตรวจรับรองเท่านั้น

สำหรับเทมเพลตและแบบฟอร์มการประเมินตนเอง (Self-Assessment) นั้น ขณะนี้ สกมช. อยู่ระหว่างดำเนินการจัดทำและพัฒนาเกณฑ์การประเมินที่เป็นมาตรฐาน เพื่อให้หน่วยงานต่าง ๆ สามารถนำไปปรับใช้ได้อย่างถูกต้องและมีประสิทธิภาพในทิศทางเดียวกัน สกมช. จะประกาศผ่านเว็บไซต์ของสำนักงานในลำดับถัดไป (https://www.ncsa.or.th)

สำหรับแนวทางและกระบวนการขอรับรองโดยหน่วยงานควบคุมหรือกำกับดูแล (Attestation) สกมช. กำลังบูรณาการความร่วมมือกับหน่วยงานควบคุมหรือกำกับดูแล (Regulator) ในแต่ละภาคส่วน เพื่อร่วมกันพัฒนาหลักเกณฑ์ ระเบียบปฏิบัติ และเกณฑ์การประเมินให้มีความชัดเจนและสอดคล้องกัน

สามารถประเมินในระดับนี้ได้ ทั้งนี้ในการจัดระดับต้องพิจารณาจากผลกระทบทั้ง 3 ด้าน คือ ด้านความลับ (Confidentiality) ความถูกต้อง (Integrity) และสภาพพร้อมใช้งาน (Availability) และเนื่องจากระบบงานมีการประมวลผลข้อมูลส่วนบุคคล แม้จะไม่มีข้อมูลอ่อนไหว หากอ้างอิงตาม “ประกาศ กมช. เรื่อง มาตรฐานด้านการรักษาความมั่นคงปลอดภัยไซเบอร์ระบบคลาวด์ พ.ศ. 2567” ข้อ 5 “กรณีเป็นข้อมูลส่วนบุคคล ให้จัดระดับผลกระทบด้านการรักษาความลับระดับกลางเป็นอย่างน้อย ตามที่กำหนดไว้ในประกาศ เรื่อง มาตรฐานการกำหนดคุณลักษณะความมั่นคงปลอดภัยไซเบอร์ให้แก่ข้อมูลหรือระบบสารสนเทศ พ.ศ. 2566 และดำเนินการไม่น้อยกว่าข้อกำหนดขั้นต่ำท้ายประกาศ” ผลกระทบด้านความลับ (Confidentiality) จะต้องถูกจัดอยู่ในระดับกลางเป็นอย่างน้อย และผลลัพธ์สุดท้ายของการประเมินผลกระทบของระบบนี้ จะใช้ระดับผลกระทบในแต่ละด้าน (ทั้ง C, I และ A) ที่มีระดับผลกระทบมากที่สุด อ้างอิง ข้อ 10 (2) “พิจารณากำหนดคุณลักษณะความมั่นคงปลอดภัยไซเบอร์ของระบบสารสนเทศ โดยใช้ระดับผลกระทบของประเภทข้อมูลตามวัตถุประสงค์ด้านความมั่นคงปลอดภัยไซเบอร์ ในแต่ละเรื่องที่มีระดับผลกระทบมากที่สุด” ใน มาตรฐานฯ เดียวกัน ซึ่งอาจทำให้ผลการประเมินอาจจะอยู่ในระดับกลาง หรือระดับสูงได้ หากผลการประเมินในด้านอื่นมีระดับสูงกว่า

การตรวจรับรองจะเป็นไปตามขอบเขตของระบบงาน เนื่องจากการจัดระดับผลกระทบ (ต่ำ/กลาง/สูง) จะถูกประเมินแยกตามความสำคัญของข้อมูลและระบบสารสนเทศแต่ละระบบ ดังนั้น การตรวจรับรองตามมาตรฐานคลาวด์ฯ จึงประเมินจากขอบเขตของระบบงานนั้น ๆ ที่นำไปใชงานบนระบบคลาวด รวมถึงกระบวนการบริหารจัดการคลาวด์ที่หน่วยงานฯ นำมาประยุกต์ใช้กับระบบงานนั้น

สกมช. ขอเรียนชี้แจงรายละเอียดและขั้นตอนการปฏิบัติ ดังต่อไปนี้ 1. ก่อนที่จะมีการพิจารณาข้อกำหนดในมาตรฐานคลาวด์ หน่วยงานจะต้องเริ่มต้นจากการประเมินและจัดระดับผลกระทบของข้อมูลหรือระบบสารสนเทศที่นำไปเก็บและใช้งานบน SaaS ตาม “ประกาศ กมช. เรื่อง มาตรฐานการกำหนดคุณลักษณะความมั่นคงปลอดภัยไซเบอร์ให้แก่ข้อมูลหรือระบบสารสนเทศ พ.ศ. 2566” ก่อน เนื่องจากการประเมินผลกระทบ (ระดับต่ำ, กลาง, หรือสูง) จะเป็นตัวกำหนด “จำนวนข้อกำหนด” ที่หน่วยงานจะต้องปฏิบัติตาม รวมถึงรูปแบบการขอรับรอง 2. เนื่องจากธนาคารรัฐถือเป็นหน่วยงานของรัฐ และอาจจะเป็นหน่วยงานโครงสร้างพื้นฐานสำคัญ ทางสารสนเทศ ซึ่งอยู่ในขอบเขตการบังคับใช้ และตามนิยามของกฎหมาย “การใช้งานบริการซอฟต์แวร์ (Software as a Service : SaaS)” ถือเป็นรูปแบบหนึ่งของบริการคลาวด์สาธารณะ (Public Cloud) ส่งผลให้หน่วยงานมีสถานะเป็น “ผู้ใช้บริการคลาวด์” (Cloud Service Customer: CSC) ที่จำเป็นต้องปฏิบัติตามมาตรฐานฯ แม้ว่าในการใช้งานรูปแบบ SaaS ภาระการดูแลระบบโครงสร้างพื้นฐานส่วนใหญ่จะเป็นของผู้ให้บริการคลาวด์ (Cloud Service Provider : CSP) แต่มาตรฐานฉบับนี้ยึดหลักการ “ความร่วมรับผิดชอบ (Share Responsibilities)” ซึ่งหมายความว่า ในฐานะผู้ใช้บริการคลาวด์ หน่วยงานผู้ใช้บริการคลาวด์ยังคงมีหน้าที่ต้องปฏิบัติตามข้อกำหนดเฉพาะในส่วนที่อยู่ในความรับผิดชอบของตนอย่างเคร่งครัด อย่างไรก็ตาม ในความเป็นจริงผู้ให้บริการ SaaS มักมีการใช้บริการโครงสร้างพื้นฐานจากผู้ให้บริการคลาวด์รายอื่นอีกทอดหนึ่ง ซึ่งอาจส่งผลให้การแบ่งขอบเขตความรับผิดชอบระหว่างผู้ให้บริการและผู้ใช้บริการยังไม่มีความชัดเจนเท่าที่ควร ด้วยเหตุนี้ สกมช. จะดำเนินการจัดทำและประกาศเอกสารลำดับรอง หรือแนวทางปฏิบัติที่เกี่ยวข้องกับการแบ่งความรับผิดชอบ สำหรับกรณีการใช้บริการรูปแบบ SaaS เพิ่มเติมในระยะต่อไป เพื่อเป็นแนวทางให้หน่วยงานสามารถนำไปปฏิบัติได้อย่างถูกต้องและชัดเจนยิ่งขึ้น 3. หลังจากที่ทราบ “ระดับผลกระทบ” และ “จำนวนข้อกำหนด” แล้ว หน่วยงานควรนำข้อกำหนดในส่วนของ “ผู้ใช้บริการคลาวด์ (CSC)” มาทำ Gap Analysis เพื่อประเมินความสอดคล้อง ซึ่งการประยุกต์ใช้หลักการทำ Cloud SPA ถือเป็นแนวทางที่เหมาะสมในการระบุช่องว่าง เนื่องจากทั้งมาตรฐาน Cloud Security ที่ สกมช. กำหนด และแนวทางของโครงการ Cloud SPA ต่างมีพื้นฐานอ้างอิงมาจากแนวปฏิบัติ (Best Practice) ในระดับสากลเช่นเดียวกัน ดังนั้น การนำผลลัพธ์หรือแนวทางจากการทำ Gap Analysis ของ Cloud SPA มาประยุกต์ใช้ จึงถือเป็นส่วนหนึ่งที่ช่วยส่งเสริมการดำเนินงานให้สอดคล้องกับมาตรฐาน Cloud Security นี้ด้วย โดยมีประเด็นสำคัญตามมาตรฐานที่องค์กรต้องประเมินตนเอง เช่น การควบคุมการเข้าถึง การกำกับดูแลและตรวจสอบผู้ให้บริการ การบันทึกเหตุการณ์และการสำรองข้อมูล เป็นต้น ซึ่งการดำเนินการทำ Gap Analysis ในประเด็นเหล่านี้ จะช่วยให้หน่วยงานฯ ทราบถึงความเสี่ยงหรือช่องว่างที่ต้องปรับปรุง เพื่อให้การบริหารจัดการบริการ SaaS สอดคล้องตามมาตรฐานฯ และพร้อมรับการตรวจประเมินได้อย่างมีประสิทธิภาพ

สกมช. ขอเรียนชี้แจงหลักการเบื้องต้นว่า หากบริการเหล่านี้ทำให้หน่วยงานถือเป็น หน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ หน่วยงานจะมีสถานะเป็น “ผู้ใช้บริการคลาวด์ (Cloud Service Customer: CSC)” ซึ่งอยู่ในขอบเขตการบังคับใช้ที่ต้องปฏิบัติตามมาตรฐานฉบับนี้อย่างเคร่งครัด 1) บริการที่มีข้อคำถามนี้ ถือเป็น Public Cloud และต้องปฏิบัติตามมาตรฐานฉบับนี้ อ้างอิงตามนิยามในมาตรฐานฯ ข้อ 3 “คลาวด์สาธารณะ (Public Cloud) หมายถึง รูปแบบการใช้คลาวด์ที่บริการคลาวด์สามารถใช้ได้กับผู้ใช้บริการคลาวด์ใด ๆ และทรัพยากรถูกควบคุมโดยผู้ให้บริการคลาวด์” ส่วนการที่ผู้ใช้งานระบบฯ ต้องทำการพิสูจน์และยืนยันตัวตน (Authentication) เพื่อเข้าถึงระบบ Hosting นั้น ถือเป็น “มาตรการควบคุมการเข้าถึง (Access Control)” ซึ่งเป็นข้อกำหนดด้านความมั่นคงปลอดภัยตามปกติของข้อมูลหรือระบบสารสนเทศ มิได้ทำให้สภาพของการเป็นบริการสาธารณะ (Public Cloud) หรือการเป็นบริการประเภท SaaS เปลี่ยนแปลงไป ดังนั้น การใช้บริการดังกล่าวจึงอยู่ในขอบเขตที่ต้องปฏิบัติตามมาตรฐานนี้ 2) ระบบ hosting ที่มีระดับ Security Level สูง ที่ใช้บริการ Cloud Provider ต่างประเทศ หากต้องทำตามมาตรฐานนี้ Cloud Data Center จำเป็นต้องมีศูนย์ข้อมูลหลักในประเทศไทย อ้างอิงตามหัวข้อที่ 4 “ตารางข้อกำหนดขั้นต่ำและการตรวจรับรองฯ” ระบุว่า หากข้อมูลหรือระบบสารสนเทศได้รับการประเมินให้อยู่ในกลุ่ม “ผลกระทบระดับสูง (High Impact)” ตามประกาศ กมช. เรื่อง มาตรฐานการกำหนดคุณลักษณะความมั่นคงปลอดภัยไซเบอร์ให้แก่ข้อมูลหรือระบบสารสนเทศ พ.ศ. 2566 ผู้ใช้บริการและผู้ให้บริการจะต้องปฏิบัติตามข้อกำหนดส่วนที่ 1 และส่วนที่ 2 “ทุกข้อ” ซึ่งเมื่อพิจารณาข้อกำหนดที่ 5.2.5.1 ตำแหน่งของศูนย์ข้อมูล (Data Center Location) ได้ระบุข้อบังคับสำหรับผู้ให้บริการคลาวด์ไว้อย่างชัดเจนว่า ก) ต้องจัดตั้งศูนย์ข้อมูลหลักในประเทศไทย (Data Localization) ข) ต้องจัดตั้งศูนย์ข้อมูลสำรองในประเทศไทย หรืออยู่ในภูมิภาคเอเชียตะวันออกเฉียงใต้ที่ใกล้กับการใช้งานหลักของผู้ใช้บริการคลาวด์ให้มากที่สุด รวมถึงสิงคโปร์และเขตปกครองพิเศษฮ่องกง ประกอบกับ ประกาศ สกมช. เรื่อง แนวทางการใช้บริการคลาวด์สาธารณะที่มีศูนย์ข้อมูลหลักในประเทศไทย พ.ศ. 2567” ข้อ 4 ได้ย้ำว่าระบบที่มีผลกระทบระดับสูงจะต้องใช้บริการคลาวด์ที่มีการจัดตั้งศูนย์ข้อมูลหลัก ในประเทศไทย อย่างไรก็ตาม หากบริษัทฯ ตรวจสอบแล้วพบว่าผู้ให้บริการระบบไม่มี Region หรือ Data Center ในประเทศไทย อ้างอิงตามประกาศฯ ศูนย์ข้อมูลหลักฯ ข้อ 6 ระบุว่า ในกรณีที่ไม่สามารถดำเนินการตามประกาศฯ ได้ ให้หน่วยงานแจ้งเป็นหนังสือมายังสำนักงานฯ เพื่อนำเรื่องดังกล่าวเสนอต่อคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติเพื่อพิจารณาอนุมัติข้อยกเว้นต่อไป 3) สำหรับผู้ให้บริการคลาวด์จากต่างประเทศ ซึ่งให้บริการกับหน่วยงานของรัฐ หน่วยงานควบคุมหรือกำกับดูแล และหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ จำเป็นต้องปฏิบัติตามมาตรฐานฉบับนี้ อ้างอิงตามหัวข้อที่ 2 ขอบเขต (Scope) ระบุว่า “มาตรฐานฉบับนี้กำหนดมาตรการด้านการรักษาความมั่นคงปลอดภัยไซเบอร์ระบบคลาวด์สำหรับผู้ใช้บริการคลาวด์ รวมถึงผู้ให้บริการคลาวด์สาธารณะ (Public Cloud Service Provider) เฉพาะที่ต้องให้บริการกับผู้ใช้บริการคลาวด์ที่เป็นหน่วยงานของรัฐ หน่วยงานควบคุมหรือกำกับดูแล และหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ ตาม พ.ร.บ. การรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 โดยใช้ฐานสัญญาระหว่างผู้ใช้บริการคลาวด์ดังกล่าวข้างต้น กับผู้ให้บริการคลาวด์” ดังนั้น แม้ว่า Cloud Service Provider จะเป็นบริษัทจากต่างประเทศ หน่วยงานในฐานะ “ผู้ใช้บริการคลาวด์” จะต้องใช้กลไกทางสัญญาเพื่อตรวจสอบ และบังคับให้ผู้ให้บริการปฏิบัติตามมาตรฐานฉบับนี้

ปัจจุบัน สกมช. ยังไม่มีการกำหนด “ตัวเลขระยะห่างขั้นต่ำ” เป็นจำนวนกิโลเมตร (เช่น 100 กม.) ไว้ในประกาศ กมช. เรื่อง มาตรฐานด้านการรักษาความมั่นคงปลอดภัยไซเบอร์ระบบคลาวด์ พ.ศ. 2567 อย่างไรก็ตาม สกมช. อยู่ระหว่างดำเนินการจัดทำข้อกำหนดในกฎหมายลำดับรองที่เกี่ยวข้อง ขอให้หน่วยงานติดตามรายละเอียดที่ สกมช. จะประกาศเพิ่มเติมในลำดับถัดไป ในการกำหนดระยะห่างของ Data Center หน่วยงาน สามารถอ้างอิงมาตรฐานและแนวปฏิบัติ (Best Practice) ตามตัวอย่างต่อไปนี้ NIST 800-34 (Contingency Planning Guide for Federal Information Systems) NIST ไม่ได้ระบุเป็นตัวเลขแบบตายตัว แต่ใช้วิธีตรวจสอบว่า Data Center ทั้งสองแห่งตั้งอยู่ใน “พื้นที่เขตอันตรายเดียวกัน” หรือไม่ เช่น ใช้แผนที่เขตน้ำท่วม, แผนที่โครงข่ายไฟฟ้า หรือแผนที่รอยเลื่อนของแผ่นดินไหว มาซ้อนทับกัน เช่น หาก Data Center หลักอยู่ในเขตกรุงเทพฯ ศูนย์ข้อมูลสำรองจะต้องอยู่นอกเขตลุ่มน้ำเดียวกัน หรือใช้สถานีจ่ายไฟฟ้าหลัก คนละสถานี เป็นต้น MAS (Monetary Authority of Singapore) TRM (Technology Risk Management) guidelines มาตรฐานนี้เน้นประเมินความเปราะบางเชิงพื้นที่ตามความเสี่ยง โดยประเมินว่าการเกิดเหตุการณ์เดียว สามารถทำให้ทั้งสองศูนย์ข้อมูลประสบปัญหาหรือล่มพร้อมกันได้หรือไม่ ระยะห่างที่ MAR ยอมรับได้มักเป็นระยะที่โครงสร้างพื้นฐานแยกออกจากกันอย่างเด็ดขาด SS 507 (Singapore Standard for Information and Communications Technology Disaster Recovery Services) เน้นการวัดจากระยะเวลาการเดินทางของเจ้าหน้าที่เทคนิค โดยจะเป็นการประเมินความยากง่ายในการเข้าถึงพื้นที่ศูนย์สำรองในช่วงเกิดวิกฤต เช่น สามารถเข้าถึงศูนย์ข้อมูลได้ภายในระยะเวลา RTO ที่กำหนดไว้ได้หรือไม่ เป็นต้น

สำหรับกรณีที่หน่วยงานได้มีการทำสัญญาและใช้บริการผู้ให้บริการคลาวด์ต่างประเทศอยู่ก่อนแล้ว สกมช. ขอเรียนให้ทราบว่า ตามที่ประกาศมาตรฐานคลาวด์ฯ จะมีผลบังคับใช้อย่างเป็นทางการ ในวันที่ 10 กันยายน พ.ศ. 2569 นั้น หน่วยงาน “ต้องดำเนินการทบทวน” การใช้งานผู้ให้บริการคลาวด์ต่างประเทศรายดังกล่าว ว่าผู้ให้บริการมีคุณสมบัติและมาตรการควบคุมด้านความมั่นคงปลอดภัยไซเบอร์ที่สอดคล้องและครบถ้วนตามที่กำหนดไว้ในมาตรฐานคลาวด์ฯ ฉบับนี้หรือไม่ ทั้งนี้ กระบวนการทบทวนดังกล่าวจะมีความเชื่อมโยงและต้องพิจารณาอ้างอิงจาก “ผลการประเมินระดับผลกระทบ” ของข้อมูลหรือระบบงานเป็นสำคัญ กล่าวคือ หน่วยงานจะต้องเริ่มต้นจากการประเมินระดับผลกระทบของข้อมูลหรือระบบสารสนเทศที่กำลังใช้งานอยู่บนคลาวด์ต่างประเทศนั้น (ตามประกาศ กมช. เรื่อง มาตรฐานการกำหนดคุณลักษณะความมั่นคงปลอดภัยไซเบอร์ให้แก่ข้อมูลหรือระบบสารสนเทศ พ.ศ. 2566) เพื่อให้ทราบแน่ชัดว่าข้อมูลหรือระบบงานดังกล่าวตกอยู่ในระดับผลกระทบระดับใด (ต่ำ กลาง หรือสูง) เมื่อทราบระดับผลกระทบแล้ว หน่วยงานจึงจะสามารถนำผลลัพธ์ดังกล่าวมาใช้เป็นเกณฑ์ในการปฏิบัติตามข้อกำหนดขั้นต่ำ สำหรับการทบทวนคุณสมบัติของผู้ให้บริการคลาวด์ได้อย่างถูกต้อง ว่าผู้ให้บริการคลาวด์ต่างประเทศดังกล่าว มีการประยุกต์ใช้มาตรการควบคุมความมั่นคงปลอดภัยขั้นต่ำ รวมถึงมีหลักฐานการรับรองมาตรฐานระดับสากล (เช่น ISO/IEC 27001, 27017, 27018, 27701 และ CSA STAR) ที่สอดคล้อง ดำเนินการครบถ้วน และเพียงพอต่อการรองรับความเสี่ยงตามระดับผลกระทบของธนาคารฯ ตามที่มาตรฐานคลาวด์ฯ กำหนดไว้หรือไม่ ในส่วนของกรอบระยะเวลาการเปลี่ยนผ่านนั้น ขณะนี้ สกมช. อยู่ระหว่างการพิจารณาจัดทำประกาศและแนวทางปฏิบัติที่เกี่ยวข้องเพื่อรองรับการดำเนินการดังกล่าว ทั้งนี้ สกมช. จะประกาศผ่านเว็บไซต์ของสำนักงานในลำดับถัดไป (https://www.ncsa.or.th)

หน่วยงานสามารถพิจารณาใช้บริการคลาวด์ต่างประเทศได้ แต่จะต้องปฏิบัติตาม “ประกาศ สกมช. เรื่อง แนวทางการใช้บริการคลาวด์สาธารณะที่มีศูนย์ข้อมูลหลักในประเทศไทย พ.ศ. 2567” โดยธนาคารฯ จะต้องประเมินระดับผลกระทบของข้อมูลหรือระบบสารสนเทศตาม “ประกาศ กมช. เรื่อง มาตรฐาน การกำหนดคุณลักษณะความมั่นคงปลอดภัยไซเบอร์ให้แก่ข้อมูลหรือระบบสารสนเทศ พ.ศ. 2566” เสียก่อน ซึ่งมีเงื่อนไขในการปฏิบัติตามมาตรฐานคลาวด์ฯ ข้อ 5.2.5.1 ตำแหน่งของศูนย์ข้อมูล (Data Center Location) โดยมีลำดับขั้นตอนการพิจารณาดังนี้ ขั้นตอนที่ 1 : การประเมินระดับผลกระทบ หน่วยงานต้องทำการประเมินระดับผลกระทบของข้อมูลและระบบสารสนเทศที่จะนำไปใช้งานบนคลาวด์สาธารณะ ตาม มาตรฐานการกำหนดคุณลักษณะฯ พ.ศ. 2566 (หากประเมินแล้วพบว่าอยู่ในระดับผลกระทบต่ำหรือกลาง หน่วยงานสามารถพิจารณาใช้ศูนย์ข้อมูลต่างประเทศได้ แต่ต้องดำเนินการตามแนวทางที่หน่วยงานของรัฐ หรือหน่วยงานควบคุมหรือกำกับดูแลกำหนด โดยต้องคำนึงถึงความมั่นคงของรัฐและความสงบเรียบร้อยภายในประเทศเป็นสำคัญ) ขั้นตอนที่ 2 : กรณีพบว่าอยู่ใน “ระดับผลกระทบสูง” และกระบวนการ “ประเมินซ้ำ (Reassessment)” หากผลการประเมินพบว่าระบบงานนั้นอยู่ใน “ระดับผลกระทบสูง” หน่วยงานจะต้องอ้างอิงและปฏิบัติตามข้อ 4 ของประกาศ สกมช. เรื่อง แนวทางการใช้บริการคลาวด์สาธารณะที่มีศูนย์ข้อมูลหลักในประเทศไทย ซึ่งได้กำหนดเงื่อนไขบังคับไว้ว่า หน่วยงานในฐานะผู้ใช้บริการคลาวด์ ต้องใช้บริการคลาวด์ที่ผู้ให้บริการคลาวด์ได้มีการจัดตั้งศูนย์ข้อมูลหลักในประเทศไทย (Data Localization) รวมทั้งต้องมีการจัดตั้งศูนย์ข้อมูลสำรอง ในประเทศไทย หรืออยู่ในภูมิภาคเอเชียตะวันออกเฉียงใต้ที่ใกล้กับการใช้งานหลักให้มากที่สุด รวมถึงสิงคโปร์และเขตปกครองพิเศษฮ่องกง อย่างไรก็ตาม ก่อนที่จะดำเนินการตัดสินใจเลือกใช้ผู้ให้บริการคลาวด์ที่มีศูนย์ข้อมูลตามข้อบังคับดังกล่าว ธนาคารฯ อาจพิจารณา “ประเมินซ้ำ (Reassessment)” ตามหลักเกณฑ์ที่ระบุไว้ในประกาศ สกมช. ฉบับเดียวกัน เพื่อพิจารณาผลกระทบที่มีต่อความมั่นคงอย่างละเอียดอีกครั้ง อาทิ การพิจารณาว่าระบบงานที่มีผลกระทบระดับสูงนั้น เป็นประเภทที่ส่งผลกระทบด้านความมั่นคงของรัฐและความสงบเรียบร้อยภายในประเทศในผลกระทบระดับสูงด้วยหรือไม่ หากผลการประเมินซ้ำยืนยันว่าระบบนั้นตกอยู่ในผลกระทบระดับสูงจริง แต่ “ผลกระทบในด้านความมั่นคงของรัฐและความสงบเรียบร้อยภายในประเทศอยู่ในระดับต่ำหรือระดับกลาง” หน่วยงานอาจพิจารณาขอรับการยกเว้นเฉพาะข้อกำหนดข้อ 5.2.5.1 เรื่อง “ตำแหน่งของศูนย์ข้อมูล (Data Center Location)” (การต้องใช้ผู้ให้บริการที่มีศูนย์ข้อมูลหลัก ในประเทศไทย) เพียงข้อเดียวเท่านั้น ซึ่งการประเมินและจัดระดับผลกระทบข้อมูลหรือระบบสารสนเทศดังกล่าว จะต้องเป็นไปตามแนวทางที่หน่วยงานของรัฐหรือหน่วยงานควบคุมหรือกำกับดูแลกำหนด ซึ่งจะต้องเป็นไปตามเกณฑ์ที่ สกมช. ประกาศกำหนดต่อไป ทั้งนี้ หน่วยงานยังคงต้องปฏิบัติตามมาตรฐานด้านความมั่นคงปลอดภัยไซเบอร์ข้ออื่น ๆ อย่างเคร่งครัด สกมช. ขอเน้นย้ำให้ทราบอย่างชัดเจนว่า แม้หน่วยงานจะได้รับการยกเว้นข้อกำหนดเรื่องตำแหน่งของศูนย์ข้อมูลไปแล้ว แต่ ข้อกำหนดและมาตรการด้านความมั่นคงปลอดภัยข้ออื่น ๆ ทั้งหมด ที่ระบุไว้ใน “มาตรฐานด้านการรักษาความมั่นคงปลอดภัยไซเบอร์ระบบคลาวด์ พ.ศ. 2567” (เช่น ข้อกำหนดขั้นต่ำ การตรวจรับรอง การเข้ารหัสข้อมูล หรือการจัดการสิทธิเข้าถึง) หน่วยงานยังคงมีหน้าที่ต้องปฏิบัติตามอย่างครบถ้วนและเคร่งครัดทุกประการ โดยไม่มีข้อยกเว้นใด ๆ ทั้งสิ้น

ข้อชี้แจง ประกาศคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติเรื่อง มาตรฐานด้านการรักษาความมั่นคงปลอดภัยระบบคลาวด์ไซเบอร์ระบบคลาวด์ พ.ศ. 2567 ข้อ 3 กำหนดว่า หน่วยงาน หมายความว่า หน่วยงานของรัฐ หน่วยงานควบคุมหรือกำกับดูแลและหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ ตามพระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 ผู้ใช้บริการคลาวด์ (Cloud Service Customer : CSC) หมายความว่า หน่วยงานที่มีข้อตกลงทางสัญญาอย่างเป็นทางการในการใช้บริการคลาวด์ที่ให้บริการโดยผู้ให้บริการคลาวด์ ผู้ให้บริการคลาวด์ (Cloud Service Provider : CSP) หมายความว่า หน่วยงานของรัฐหรือเอกชนที่ทำให้บริการคลาวด์สามารถใช้ได้กับผู้ใช้บริการคลาวด์ รวมถึงจัดการทรัพยากรเหล่านี้ เพื่อให้มันใจว่ามีความพร้อมใช้งานความมั่นคงปลอดภัย และความสามารถในการขยายตัวสำหรับผู้ใช้บริการคลาวด์ของตน ดังนั้น หากเป็นหน่วยงานรัฐ ต้องปฏิบัติตาม ประกาศฯ ดังกล่าว ประกอบกับ ประกาศ สกมช. เรื่อง แนวทางการใช้บริการคลาวด์สาธารณะที่มีศูนย์ข้อมูลในไทย พ.ศ. 2567 ข้อ 4 กำหนดว่า กรณีที่ผลการประเมินและจัดระดับผลกระทบข้อมูลหรือระบบสารสนเทศตามข้อ ๓ อยู่ในระดับสูง ให้หน่วยงานของรัฐ หน่วยงานควบคุมหรือกำกับดูแล หรือหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ ซึ่งเป็นผู้ใช้บริการคลาวด์ จำต้องใช้บริการคลาวด์ที่ผู้ให้บริการคลาวด์ได้มีการจัดตั้งศูนย์ข้อมูลหลักในประเทศไทย (Data Localization) รวมทั้งต้องมีการจัดตั้งศูนย์ข้อมูลสำรองในประเทศไทยหรืออยู่ในภูมิภาคเอเชียตะวันออกเฉียงใต้ที่ไกล้กับการใช้งานหลักของผู้ใช้บริการคลาวดให้มากที่สุด รวมถึงสิงคโปร์และเขตปกครองพิเศษฮ่องกง เมื่อพิจารณาจาก ประกาศ กมช. ฯ และประกาศ สกมช.ฯ การใช้ศูนย์ข้อมูลหลักในประเทศไทย (Data Localization) ข้อ 5.2.5.1 จะถือเป็น ข้อกำหนดขั้นต่ำสำหรับ ประเภทของข้อมูลหรือระบบสารสนเทศ ที่ได้รับการประเมินและจัดระดับผลกระทบให้อยู่ใน ระดับสูง ในด้านความมั่นคงของรัฐและความสงบเรียบร้อยภายในประเทศ

หน่วยงานสามารถดำเนินการก่อนหรือหลังที่ประกาศนี้มีผลบังคับใช้ก็ได้ ขึ้นอยู่กับความพร้อมของหน่วยงาน ทั้งนี้ หากหน่วยงานผ่านการตรวจรับรอง ตาม ประกาศฯ จะสร้างความเชื่อมั่นและภาพลักษณ์ที่ดี พร้อมทั้งสร้างความมั่นใจให้กับผู้รับบริการ

สกมช. อยู่ระหว่างดำเนินการกำหนดหลักเกณฑ์ที่เกี่ยวข้องกับหน่วยงานให้บริการตรวจรับรอง (Certify Body) ดังนั้น จึงยังไม่มีการกำหนดระยะเวลาในการดำเนินการแก้ไขของหน่วยงาน หากกรณีมีข้อเสนอแนะให้ปรับปรุงจากหน่วยงานให้บริการตรวจรับรอง

เพื่อให้สอดคล้องกับมาตรฐานและระเบียบที่เกี่ยวข้อง สกมช. ขอเรียนชี้แจงและให้คำแนะนำเพื่อเป็นแนวทางประกอบการดำเนินงาน โดยแบ่งขอบเขตเนื้อหาออกเป็น 2 ส่วนหลัก ดังนี้ 1) คุณสมบัติพื้นฐาน และการให้บริการ (ไม่เกี่ยวข้องกับด้านความมั่นคงปลอดภัยไซเบอร์) เพื่อให้มั่นใจถึงคุณภาพและความต่อเนื่องของการให้บริการ ขอบเขตของงานควรครอบคลุมมิติที่สำคัญ เช่น คุณสมบัติของผู้ให้บริการ, ข้อตกลงระดับการให้บริการ (Service Level Agreement: SLA) และมาตรฐานการให้บริการภาครัฐที่เกี่ยวข้อง เช่น สำนักงานพัฒนารัฐบาลดิจิทัล (องค์การมหาชน) มาตรฐานและแนวทางสำหรับการใช้งานระบบคลาวด์ภาครัฐ เพื่อนำมาเป็นเกณฑ์ในการกำหนดคุณสมบัติ แนวทางการใช้คลาวด์ตามนโยบายการใช้คลาวด์เป็นหลัก (Government Cloud Usage Guidelines) : เน้นเกณฑ์การเลือกรูปแบบคลาวด์ (Public, Private, Hybrid) ตามความเหมาะสมของข้อมูล แนวทางการกำหนดมาตรฐานผู้ให้บริการคลาวด์ (Cloud Service Provider Standard) : ข้อกำหนดสำหรับผู้ให้บริการที่จะเข้ามาให้บริการภาครัฐ สำนักงานคณะกรรมการดิจิทัลเพื่อเศรษฐกิจและสังคมแห่งชาติ ข้อเสนอแนะเชิงนโยบาย กฎระเบียบ มาตรการ มาตรฐานที่เกี่ยวข้องกับการใช้บริการคลาวด์ ที่เหมาะสมสำหรับหน่วยงานภาครัฐ 2) คุณสมบัติที่เกี่ยวข้องกับความมั่นคงปลอดภัยไซเบอร์ เพื่อให้ TOR มีความรัดกุม และสอดคล้องกับมาตรฐานด้านความมั่นคงปลอดภัยไซเบอร์ ระบบคลาวด์ ขอแนะนำแนวทางในการกำหนดรายละเอียด ดังต่อไปนี้ ขอแนะนำให้ท่านศึกษา รูปแบบ TOR ของหน่วยงานที่มีการจัดจ้างที่ปรึกษาเพื่อตรวจประเมินหรือจัดทำมาตรฐาน ISO/IEC 27001 เนื่องจาก TOR ในลักษณะดังกล่าวจะมีการระบุกระบวนการบริหารจัดการ (Management System) และมาตรการควบคุม (Controls) ด้านความมั่นคงปลอดภัยสารสนเทศไว้อย่างเป็นระบบและครบถ้วน ซึ่งท่านสามารถนำหัวข้อเหล่านั้นมาปรับใช้เป็น “ข้อกำหนดที่ผู้ให้บริการคลาวด์ต้องปฏิบัติตาม” ได้ หัวข้อขอบเขตงานที่ควรระบุใน TOR เช่น การให้คำปรึกษาในการนำกระบวนการบริหารจัดการ (Management System) และมาตรการควบคุม (Controls) ด้านความมั่นคงปลอดภัยสารสนเทศ ตามมาตรฐานที่หน่วยงานของท่านมีความประสงค์จะขอรับการรับรองคุณภาพ การปรับปรุงกระบวนการทำงานให้สอดคล้องกับข้อกำหนดขั้นต่ำตามมาตรฐานฯ เช่น การบริหารจัดการและการรับรองมาตรฐาน การควบคุมการเข้าถึง (Access Control) การเข้ารหัสข้อมูล (Cryptography) การจัดการเหตุภัยคุกคาม (Incident Management) เป็นต้น การตรวจรับรองคุณภาพโดยหน่วยงานให้บริการตรวจรับรอง (Certify Body) ทั้งในปีที่มีความประสงค์จะตรวจเพื่อรับรองคุณภาพ และการตรวจสำรวจในปีถัด ๆ ไป

จากการพิจารณาเบื้องต้น บริการ Cloud Platform ของบริษัทฯ มีคุณสมบัติบางส่วนที่มีความสอดคล้องกับข้อกำหนดขั้นต่ำสำหรับผู้ให้บริการคลาวด์ของมาตรฐานฯ โดยเฉพาะในด้านมาตรฐานสากล ได้แก่ การบริหารจัดการความมั่นคงปลอดภัยสารสนเทศ (ISO/IEC 27001) และการคุ้มครองข้อมูลส่วนบุคคล (ISO/IEC 27701 และ ISO/IEC 27018) อย่างไรก็ตาม บริษัทฯ ยังขาดข้อกำหนดขั้นต่ำ (ตามข้อ 4. ข้อกำหนดขั้นต่ำและการตรวจรับรองสำหรับผู้ใช้บริการคลาวด์และผู้ให้บริการคลาวด์ ตามประกาศ กมช. เรื่อง มาตรฐานด้านการรักษาความมั่นคงปลอดภัยไซเบอร์ระบบคลาวด์ พ.ศ. 2567) ในอีกหลายส่วนที่จะเป็นผู้ให้บริการคลาวด์สำหรับระบบที่มี “ผลกระทบระดับสูง” ตามประกาศ กมช. เรื่อง มาตรฐานด้านการรักษาความมั่นคงปลอดภัยไซเบอร์ระบบคลาวด์ พ.ศ. 2567 โดยมีรายละเอียดส่วนที่ต้องดำเนินการเพิ่มเติมให้ครบถ้วน ดังนี้ ข้อกำหนดส่วนที่ 1 ทุกข้อ และข้อกำหนดส่วนที่ 2 ทุกข้อ มาตรฐานฯ กำหนดให้ผู้ให้บริการคลาวด์ต้องได้รับการรับรองตามมาตรฐาน ISO/IEC 27017 หรือ CSA STAR Level 2 (CCM) ทั้งนี้ มาตรฐานฯ นี้ เป็นเกณฑ์มาตรฐานขั้นต่ำระดับประเทศ ในการให้บริการแก่หน่วยงานรัฐหรือหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ บริษัทฯ จำเป็นต้องปฏิบัติตามกฎหมาย กฎระเบียบ หลักเกณฑ์ หรือประกาศข้อกำหนดเฉพาะที่อาจกำหนดโดยหน่วยงานกำหนดนโยบายการใช้คลาวด์เป็นหลักในระดับชาติ รวมถึงที่อาจกำหนดโดยหน่วยงานควบคุมหรือกำกับดูแลในระดับภาคส่วนนั้น ๆ เพิ่มเติมด้วย สำหรับคำแนะนำเรื่องการขอรับการตรวจประเมินโดย สกมช. ตามกระบวนการที่ระบุในมาตรฐานและกรอบการทำงานของ สกมช. นั้น ตามมาตรฐานฯ ที่กำหนดไว้ สกมช. ไม่ได้ทำหน้าที่เป็นผู้ตรวจรับรองมาตรฐาน แต่ได้กำหนดกระบวนการตรวจรับรองมาตรฐานสำหรับผู้ให้บริการคลาวด์ โดยหน่วยงานให้บริการตรวจรับรอง (Certify Body) ดังนั้น บริษัทฯ ในฐานะผู้ให้บริการคลาวด์ จำเป็นต้องดำเนินการขอรับการตรวจรับรองจาก หน่วยงานให้บริการตรวจรับรอง (Certify Body) ตามหลักเกณฑ์การขึ้นทะเบียนหน่วยตรวจรับรองและการรับรองทางไซเบอร์ (อยู่ระหว่างการจัดทำ) หรือหน่วยงานให้บริการตรวจรับรองตามมาตรฐานสากลที่สำนักงานประกาศกำหนด (อยู่ระหว่างการจัดทำ)