ความมั่นคงปลอดภัยไซเบอร์ และความมั่นคงปลอดภัยข้อมูลของข้อมูลภาครัฐ เป็นสิ่งสำคัญที่ช่วยสร้างความเชื่อมั่นให้กับประชาชน ในยุคที่เทคโนโลยีดิจิทัลเข้ามามีบทบาทสำคัญในการขับเคลื่อนภาครัฐและเศรษฐกิจ ข้อมูลส่วนบุคคลของประชาชนได้กลายเป็นสินทรัพย์ที่มีค่ามหาศาล คณะรัฐมนตรีจึงได้มีมติเห็นชอบเมื่อวันที่ 2 กันยายน 2568 ให้ใช้ “กรอบแนวทางการดำเนินการสร้างความมั่นคงปลอดภัยไซเบอร์ให้กับหน่วยงานของรัฐ สำหรับการป้องกันข้อมูลส่วนบุคคลไม่ให้เกิดการรั่วไหล” ซึ่งเป็นแนวทางปฏิบัติที่ชัดเจนเพื่อเสริมสร้างความปลอดภัยทางไซเบอร์ให้แก่หน่วยงานภาครัฐ บทความนี้จะเจาะลึกถึงสาระสำคัญของกรอบแนวทางดังกล่าว โดยเฉพาะอย่างยิ่งการนำมาตรฐานสากลอย่าง ISO/IEC 27001:2022 และ NIST CSF v2.0 มาปรับใช้เพื่อปกป้องข้อมูลส่วนบุคคลอย่างเป็นระบบและมีประสิทธิภาพ
หลักการพื้นฐานและมาตรฐานสากลของกรอบแนวทางการดำเนินการสร้างความมั่นคงปลอดภัยไซเบอร์
กรอบแนวทางการดำเนินการสร้างความมั่นคงปลอดภัยไซเบอร์ที่คณะรัฐมนตรีให้ความเห็นชอบได้เน้นย้ำถึงหลักการสำคัญคือ การนำมาตรฐานสากลที่เป็นที่ยอมรับอย่างกว้างขวางมาเป็นแกนหลักในการดำเนินงาน โดยเฉพาะอย่างยิ่งมาตรฐาน ISO/IEC 27001:2022 และ NIST Cybersecurity Framework (CSF) v2.0 มาตรฐานทั้งสองนี้เป็นที่รู้จักกันดีในวงการความมั่นคงปลอดภัยสารสนเทศว่ามีโครงสร้างที่ครอบคลุมและเป็นระบบ การนำมาใช้ร่วมกันจะช่วยให้หน่วยงานภาครัฐสามารถบริหารจัดการความเสี่ยงด้านความมั่นคงปลอดภัยได้อย่างเป็นระบบและครอบคลุมในทุกมิติ
- ISO/IEC 27001:2022: เน้นการจัดทำระบบการจัดการความมั่นคงปลอดภัยสารสนเทศ (ISMS) ที่เป็นไปตามมาตรฐานสากล โดยมีมาตรการควบคุมที่ชัดเจนถึง 93 รายการใน Annex A ครอบคลุมทั้งด้านนโยบาย การจัดการทรัพยากรบุคคล การควบคุมทางกายภาพ และการควบคุมทางเทคนิคความมั่นคงปลอดภัยไซเบอร์
- NIST CSF v2.0: เป็นกรอบการทำงานที่ยืดหยุ่นและใช้งานง่าย โดยแบ่งการดำเนินงานออกเป็น 6 หน้าที่หลัก (Functions) ได้แก่ Govern, Identify, Protect, Detect, Respond และ Recover ซึ่งช่วยให้องค์กรสามารถจัดการวงจรชีวิตของการโจมตีทางไซเบอร์ได้อย่างครบถ้วนตั้งแต่การป้องกันไปจนถึงการกู้คืน
การผสมผสานแนวทางของทั้งสองมาตรฐานจะช่วยให้หน่วยงานภาครัฐมีเครื่องมือที่แข็งแกร่งในการประเมินความเสี่ยง กำหนดมาตรการป้องกัน และเตรียมความพร้อมในการรับมือกับภัยคุกคามได้อย่างเป็นระบบและต่อเนื่อง
สาระสำคัญตามแนวทางหลักของกรอบแนวทางการดำเนินการสร้าง “ความมั่นคงปลอดภัยไซเบอร์”
กรอบแนวทางการดำเนินการสร้างความมั่นคงปลอดภัยไซเบอร์นี้ได้แบ่งการดำเนินงานออกเป็น 5 แนวทางหลักที่มีความเชื่อมโยงกันอย่างเป็นระบบ เพื่อให้การปกป้องข้อมูลส่วนบุคคลมีประสิทธิภาพสูงสุด
ขอบเขตการพัฒนาระบบงาน
แนวทางนี้มุ่งเน้นที่การสร้างระบบให้ปลอดภัยตั้งแต่ต้นทาง (Security by Design & by Default) สาระสำคัญประกอบด้วย
1.1 การใช้แนวทางมาตรฐาน: ในการออกแบบ พัฒนา และบำรุงรักษาระบบ ซึ่งสอดคล้องกับมาตรการควบคุมตามมาตรฐาน ISO/IEC 27001 และ กรอบ NIST Cybersecurity Framework อาทิเช่น
1.2 การใช้ข้อมูลในการทดสอบ: งดใช้ข้อมูลจริงในการทดสอบระบบหากมีความจำเป็นในการทดสอบให้ลบข้อมูลออกภายใน 3 วัน ซึ่งสอดคล้องกับมาตรการควบคุมตามมาตรฐาน ISO/IEC 27001 และ กรอบ NIST Cybersecurity Framework อาทิเช่น
1.3 เกณฑ์การเลือกบริษัทพัฒนา: ต้องกำหนดเกณฑ์การเลือกบริษัทพัฒนาซอฟต์แวร์ที่มีประสบการณ์และผ่านมาตรฐานการรับรอง ซึ่งสอดคล้องกับมาตรการควบคุมตามมาตรฐาน ISO/IEC 27001 และ กรอบ NIST Cybersecurity Framework อาทิเช่น
1.4 การกำกับดูแลและการทดสอบความปลอดภัย: ควรกำหนดให้มีติดตามการให้บริการและทำการทดสอบความปลอดภัยเป็นประจำ ทั้งในช่วงการพัฒนาและก่อนการใช้งานจริง ซึ่งสอดคล้องกับมาตรการควบคุมตามมาตรฐาน ISO/IEC 27001 และ กรอบ NIST Cybersecurity Framework อาทิเช่น
- การพัฒนาบุคลากร
บุคลากรเป็นปัจจัยสำคัญที่สุดในห่วงโซ่ความมั่นคงปลอดภัยไซเบอร์ แนวทางนี้ให้ความสำคัญกับการอบรมและสร้างความตระหนักรู้ด้านความปลอดภัย: โดยจัดอบรมสำหรับผู้พัฒนาและบุคลากรที่เกี่ยวข้องในเรื่องการออกแบบและพัฒนาระบบให้ปลอดภัย และสร้างการรับรู้: ควรสร้างการรับรู้ในเรื่องภัยคุกคามไซเบอร์ที่อาจเกิดขึ้น ซึ่งสอดคล้องกับมาตรการควบคุมตามมาตรฐาน ISO/IEC 27001 และ กรอบ NIST Cybersecurity Framework อาทิเช่น
- การติดตามและประเมินผล
การรักษาความมั่นคงปลอดภัยไซเบอร์ เป็นกระบวนการที่ต้องทำอย่างต่อเนื่อง แนวทางนี้เน้นการตรวจสอบและประเมินผลอย่างสม่ำเสมอ โดยให้มีการตรวจสอบและประเมินผลการทำงานของระบบอย่างสม่ำเสมอ และควรตรวจสอบความปลอดภัยให้เป็นไปตามมาตรฐานที่กำหนด ซึ่งสอดคล้องกับมาตรการควบคุมตามมาตรฐาน ISO/IEC 27001 และ กรอบ NIST Cybersecurity Framework อาทิเช่น
- การดำเนินการในสัญญาจ้าง
การจัดจ้างผู้พัฒนาระบบภายนอกมีความเสี่ยงที่สำคัญหากไม่มีการกำกับดูแลที่รัดกุม ความรับผิดชอบในสัญญากำหนดให้ผู้รับจ้างเข้าใจและรับผิดชอบด้านความปลอดภัยที่อาจเกิดขึ้นจากการพัฒนา ซึ่งสอดคล้องกับมาตรการควบคุมตามมาตรฐาน ISO/IEC 27001 และ กรอบ NIST Cybersecurity Framework อาทิเช่น
- มาตรการด้านความปลอดภัย
5.1 กลไกเฝ้าระวังเฝ้าระวังเพื่อแจ้งเตือนและตอบสนองต่อการโจมตีหรือช่องโหว่อย่างรวดเร็ว และ จัดทำแผนรับมือเมื่อเกิดเหตุการณ์ความปลอดภัยไซเบอร์ ซึ่งสอดคล้องกับมาตรการควบคุมตามมาตรฐาน ISO/IEC 27001 และ กรอบ NIST Cybersecurity Framework อาทิเช่น
5.2 การอัปเดตระบบและการปิดระบบที่ไม่ได้ใช้งาน: ควรสนับสนุนการปรับปรุงระบบและซอฟต์แวร์ให้ทันสมัยอยู่เสมอ และควรกำหนดให้มีระบบที่ไม่ได้ใช้งานเพื่อป้องกันการเข้าถึงข้อมูล ซึ่งสอดคล้องกับมาตรการควบคุมตามมาตรฐาน ISO/IEC 27001 และ กรอบ NIST Cybersecurity Framework อาทิเช่น
5.3 การปฏิบัติตามประกาศฯ: ด้านการรักษาความมั่นคงปลอดภัยไซเบอร์ระบบคลาวด์ ซึ่งสอดคล้องกับมาตรการควบคุมตามมาตรฐาน ISO/IEC 27001 อาทิเช่น
