Cybersecurity Act. 2562 คืออะไร?
- พ.ร.บ. ไซเบอร์ 2562 มีผลบังคับใช้ 28 พฤษภาคม 2562
- องค์กรที่เกี่ยวข้อง : สกมช. (สำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ)
- วัตถุประสงค์ :
- ป้องกัน/รับมือภัยคุกคามไซเบอร์
- กำหนดมาตรการด้านการกำกับดูแล
- กำหนดบทบาทของ CII / GOV / REG
องค์กร CII คือใครบ้าง?
- หมวดหมู่ที่เข้าข่าย CII ได้แก่
- ด้านความมั่นคงของรัฐ (Security)
- ด้านบริการภาครัฐที่สำคัญ (Government Services)
- ด้านการเงินการธนาคาร (Finance & Banking)
- ด้านเทคโนโลยีสารสนเทศและโทรคมนาคม (ICT & Telecom)
- ด้านพลังงานและสาธารณูปโภค (Energy and Utilities )
- ด้านการขนส่งและโลจิสติกส์ (Transportation)
- ด้านสาธารณสุข (Healthcare)
- คุณลักษณะ: เป็นระบบ/โครงสร้างพื้นฐานที่หากถูกโจมตี จะส่งผลกระทบรุนแรงต่อประเทศ
ข้อกำหนดหลักของ CII
- แต่งตั้งผู้รับผิดชอบ (CISO และทีมงาน)
- จัดทำ Risk Assessment และ Risk Register (Risk Strategy)
- มี Incident Response Plan
- เตรียมพร้อม Business Continuity (BCP/DRP)
- จัดทำการทดสอบและซ้อม (Cybersecurity Exercise)
- ส่งรายงาน/แจ้งเหตุให้ สกมช. ภายในเวลาที่กำหนด
- รองรับการตรวจสอบ/ Audit จาก หน่วยงานกำกับดูแลและสกมช.
บทลงโทษหากไม่ปฏิบัติตาม
- การไม่ปฏิบัติตาม → โทษปรับ/ทางแพ่ง/อาญา (ขึ้นกับกรณี)
- ตัวอย่าง: หากไม่แจ้งเหตุภัยคุกคามไซเบอร์ อาจมีโทษทางปกครอง
- ความเสียหายทางชื่อเสียง + ความเชื่อมั่นของลูกค้า
การเชื่อมโยง พ.ร.บ. ไซเบอร์ 2562 กับ ISO และมาตรฐานสากลอื่นๆ
- ISO/IEC 27001: ISMS → Framework หลักที่สอดคล้องกับข้อกำหนด พ.ร.บ. ไซเบอร์ เช่น ประมวลแนวทางปฏิบัติ
- ISO/IEC 22301: BCP → Cybersecurity Resilience and Recovery
- NIST CSF 2.0: Cybersecurity Framework → กรอบมาตรฐาน
Roadmap สำหรับองค์กร CII/GOV/REG
- Gap Analysis – ตรวจความพร้อมกับข้อกำหนด พ.ร.บ. ไซเบอร์ 2562
- กำหนด CISO และทีมงาน
- จัดทำ Risk Assessment และ Risk Register (Risk Strategy)
- จัดทำ Incident Response Plan + BCP
- Training + Awareness
- ทดสอบ (Pen Test)
- Internal Audit + เตรียมรับตรวจจากหน่วยงานกำกับดูแล หรือ สกมช.
ประโยชน์ของการปฏิบัติตาม พรบ ไซเบอร์ 2562
- ลดความเสี่ยงด้านไซเบอร์ที่อาจส่งผลต่อหน่วยงาน ส่งต่อถึงประเทศ
- สร้างความเชื่อมั่นแก่คู่ค้าและลูกค้า
- เตรียมพร้อมเข้าสู่มาตรฐานสากล เช่น ISO 27001, NIST, ฯลฯ
- ลดความเสี่ยงด้านกฎหมายและชื่อเสียง
Conclusion (สรุป)
- พ.ร.บ. ไซเบอร์ 2562 เป็นกฎหมายสำคัญที่องค์กร CII/GOV/REG ต้องปฏิบัติตาม
- การเตรียมตัวล่วงหน้าจะช่วยลดความเสี่ยงและเพิ่มความมั่นใจในการทำงาน
“Secura Cybertech (Thailand) พร้อมเป็นพันธมิตรในการอบรมและให้คำปรึกษา เพื่อช่วยองค์กร CII / GOV / REG ปฏิบัติตาม พ.ร.บ. ไซเบอร์ 2562 อย่างมั่นใจ”
