# บล็อกและงานวิจัยความปลอดภัย Locale: `th` Source: `/th/blog/` STH Security Blog and Insights # บล็อกและงานวิจัยความปลอดภัย ศูนย์รวมบทวิเคราะห์เชิงเทคนิค สรุปมาตรฐานกำกับดูแล และแนวปฏิบัติการทดสอบเจาะระบบ เพื่อสนับสนุนนักพัฒนา ผู้ดูแลระบบ และผู้บริหารในการยกระดับความมั่นคงปลอดภัยขององค์กร ![CyberSecurity Research ภาพประกอบนักวิจัยความปลอดภัยแมวดำกำลังศึกษาและวิเคราะห์ข้อมูลความปลอดภัยบนอุปกรณ์โฮโลแกรม](/assets/generated/blog/sth-blog-hero.webp) หมวดหมู่: - Security Frameworks 6 ตุลาคม 2569 8 นาที [วิศวกรรมความมั่นคงปลอดภัย AI-Native SDLC: ควบคุม AI Coding Agent ป้องกัน Context Poisoning และ Sandbox Evasion](/th/compliance/ai-native-sdlc/) ข้อเสนอความปลอดภัย AI Coding Agent จาก Anthropic Playbook และเอกสารผู้ผลิต ครอบคลุม Permission, Hook, Sandbox และ Review ตามความเสี่ยง โดยระบุข้อจำกัดของแต่ละมาตรการ AI-Native SDLC Agent Security Anthropic Sandboxing CI/CD Gate [อ่านบทความฉบับเต็ม ](/th/compliance/ai-native-sdlc/) - AI Security และ Governance 6 ตุลาคม 2569 7 นาที [กรอบธรรมาภิบาล AI ของไทย: ธปท. ว. 5994/2568, ETDA และ สกมช. สู่ AI Pentest และ Red Teaming](/th/compliance/thai-ai-governance/) แยกขอบเขตแนวนโยบาย AI ของ ธปท. ว. 5994/2568 แนวทาง GenAI และ EIA ฉบับร่างของ ETDA และแนวทาง สกมช. พร้อมข้อเสนอการทดสอบตามความเสี่ยง AI Governance ธปท. ETDA สกมช. AI Red Teaming [อ่านบทความฉบับเต็ม ](/th/compliance/thai-ai-governance/) - Banking และ Compliance 6 ตุลาคม 2569 7 นาที [คู่มือมาตรฐาน Digital ID ของไทย: มธอ. 11-2566, IAL, AAL และ พ.ร.ฎ. DPS สู่การทดสอบระบบ](/th/compliance/thailand-digital-id/) ตาราง IAL, AAL และผลกระทบ 6 ด้านตาม มธอ. 11-2566 พร้อมเงื่อนไข DOPA FVS สำหรับ IAL 2.3 กรณีไม่มีเครื่องอ่านบัตร และแยกขอบเขต DGA กับ พ.ร.ฎ. DPS ETDA Digital ID DGA DPS e-Signature [อ่านบทความฉบับเต็ม ](/th/compliance/thailand-digital-id/) - Banking และ Compliance 3 ตุลาคม 2569 6 นาที [แนวปฏิบัติป้องกันความเสี่ยง ATM จาก Malware ของ ธปท. กับสิ่งที่สถาบันการเงินต้องทำ](/th/compliance/bot-atm-malware-guideline/) สรุปหนังสือเวียน ธปท. ที่ รปท.ฝตส.(03) ว.1180/2559 มาตรการระยะสั้นและระยะยาว ตั้งแต่การคุมกายภาพ Core PC และ Endpoint การแยกเครือข่าย การเติมเงินและการกระทบยอดยอดเงิน จนถึงการเฝ้าระวังผ่านระบบ SDMS ธปท. ATM Security Malware Defense [อ่านบทความฉบับเต็ม ](/th/compliance/bot-atm-malware-guideline/) - AI Security และ Governance 3 ตุลาคม 2569 7 นาที [แนวปฏิบัติ AI Security Guidelines ของ สกมช. ตั้งแต่ Governance จนถึง AI Red Teaming](/th/compliance/ncsa-ai-security-guidelines/) สรุปแนวปฏิบัติการใช้ AI อย่างมั่นคงปลอดภัยของ สกมช. ตามวงจรชีวิตระบบ ตั้งแต่การกำกับดูแลและการบริหารความเสี่ยง การพัฒนาและ Deploy อย่างปลอดภัย จนถึงการทดสอบเจาะระบบ AI สกมช. AI Security AI Governance [อ่านบทความฉบับเต็ม ](/th/compliance/ncsa-ai-security-guidelines/) - Banking และ Compliance 3 ตุลาคม 2569 6 นาที [สมาชิก NDID ต้องทำ Penetration Testing และ Security Assessment อะไรบ้าง](/th/compliance/ndid/) สรุปเกณฑ์การประเมินความมั่นคงปลอดภัยสำหรับสมาชิก NDID ตั้งแต่การยืนยันตัวตนผ่าน Identity Provider การเชื่อมต่อ Requesting Party และ Authoritative Source จนถึงการทดสอบเจาะระบบตามบทบาท NDID Digital Identity Member Assessment [อ่านบทความฉบับเต็ม ](/th/compliance/ndid/) - Banking และ Compliance 3 ตุลาคม 2569 6 นาที [ประกาศ คปภ. ด้าน IT กับ Penetration Testing สำหรับธุรกิจประกันภัย](/th/compliance/oic/) สรุปประกาศ คปภ. ด้านการบริหารความเสี่ยง IT สำหรับบริษัทประกันชีวิตและวินาศภัย ตั้งแต่การจัดทำบัญชีทรัพย์สินและการจัดระดับความสำคัญ ข้อ 21(6) เรื่องการทดสอบเจาะระบบโดยผู้เชี่ยวชาญภายนอก จนถึงการเชื่อมผลทดสอบเข้ากับ Risk Treatment Plan คปภ. Insurance IT Risk Penetration Testing [อ่านบทความฉบับเต็ม ](/th/compliance/oic/) - OWASP และ Application Security 3 ตุลาคม 2569 5 นาที [OWASP Top 10 ฉบับรวม: เว็บ มือถือ API LLM และ Agentic เริ่มตรงไหน](/th/compliance/owasp-top-10/) แผนที่ภาพรวม OWASP Top 10 ทั้ง 5 สาย ทั้ง Web ปี 2025, Mobile ปี 2024, API ปี 2023, LLM และ Agentic ปี 2026 พร้อมวิธีเลือกกรอบที่ตรงกับขอบเขตระบบขององค์กร OWASP Top 10 Web Security API Security Mobile Security LLM Security [อ่านบทความฉบับเต็ม ](/th/compliance/owasp-top-10/) - Security Frameworks 1 ตุลาคม 2569 8 นาที [แนวปฏิบัติการรักษาความมั่นคงปลอดภัยระบบ CCTV และ AI CCTV สกมช. พ.ศ. 2569](/th/compliance/ncsa-cctv-security-guidelines/) สรุปแนวปฏิบัติ TCSG และ TCSG AI สำหรับประเมินความเสี่ยง เลือกระดับมาตรการ B, E และ H และตรวจรับระบบ CCTV พร้อมหลักฐานที่เหมาะสมกับบริบทการใช้งาน สกมช. CCTV Security AI CCTV TCSG Penetration Testing [อ่านบทความฉบับเต็ม ](/th/compliance/ncsa-cctv-security-guidelines/) - OWASP และ Application Security 28 กันยายน 2569 9 นาที [OWASP ASVS 5.0: คู่มือเกณฑ์มาตรฐานการตรวจสอบความมั่นคงปลอดภัยแอปพลิเคชัน](/th/compliance/owasp-asvs/) เจาะลึกมาตรฐาน OWASP Application Security Verification Standard (ASVS) 5.0 โครงสร้างการตรวจสอบระดับ L1 ถึง L3 ทั้ง 17 หมวด และการนำไปใช้ตรวจรับรองซอฟต์แวร์ OWASP ASVS ASVS 5.0 Application Security Secure SDLC Pentest [อ่านบทความฉบับเต็ม ](/th/compliance/owasp-asvs/) - Banking และ Compliance 24 กันยายน 2569 8 นาที [PCI DSS v4.0.1: ข้อกำหนด VA, ASV Scan, Pentest และ Segmentation Testing](/th/compliance/pci-dss/) เจาะลึก Requirement 11.3 และ 11.4 ตามมาตรฐาน PCI DSS v4.0.1 ครอบคลุมการสแกนช่องโหว่ภายในแบบ Authenticated, ASV Scan ภายนอกทุกไตรมาส, Pentest ประจำปี และการทดสอบ CDE Segmentation PCI DSS v4.0.1 ASV Scan Vulnerability Assessment Penetration Testing Segmentation [อ่านบทความฉบับเต็ม ](/th/compliance/pci-dss/) - AI Security และ Governance 23 กันยายน 2569 6 นาที [Google SAIF กับ 6 เสาหลักความปลอดภัยของระบบ AI และ AI Agent](/th/compliance/google-saif/) สรุปกรอบ Secure AI Framework ของ Google และแนวทางการประเมินความปลอดภัยตลอดวงจรชีวิตของระบบ Generative AI Google SAIF Secure AI Framework Agent Security [อ่านบทความฉบับเต็ม ](/th/compliance/google-saif/) - Security Frameworks 23 กันยายน 2569 8 นาที [ISA/IEC 62443 OT Cybersecurity: สถาปัตยกรรม Purdue Model และแนวทาง OT Pentest](/th/compliance/iec-62443/) คู่มือความมั่นคงปลอดภัยระบบควบคุมอุตสาหกรรม การแบ่งโซนและท่อทางผ่าน Zones and Conduits การป้องกัน Industrial DMZ 3.5 และวิธีทดสอบเจาะระบบแบบไม่รบกวนกระบวนการผลิต IEC 62443 OT Security SCADA Purdue Model [อ่านบทความฉบับเต็ม ](/th/compliance/iec-62443/) - Security Frameworks 23 กันยายน 2569 7 นาที [ISO/IEC 27001:2022 กำหนดให้ทำ Penetration Testing หรือไม่](/th/compliance/iso-27001/) เจาะลึก Control A.8.8 การจัดการช่องโหว่ทางเทคนิค นิยามความเสี่ยงที่ไม่ใช่ความผิดบุคคล การจัดลำดับด้วย CISA KEV ร่วมกับ EPSS และการใช้ผล Pentest สนับสนุนกระบวนการ ISMS ISO/IEC 27001:2022 Annex A.8.8 Vulnerability Management ISMS [อ่านบทความฉบับเต็ม ](/th/compliance/iso-27001/) - AI Security และ Governance 23 กันยายน 2569 7 นาที [ISO/IEC 42001:2023 คืออะไร และใช้ Pentest พิสูจน์ความพร้อมของ AIMS อย่างไร](/th/compliance/iso-42001-ai-management/) สรุปมาตรฐานระบบบริหารจัดการปัญญาประดิษฐ์ ISO/IEC 42001:2023 พร้อมวิธีใช้ AI Pentest และ Red Teaming พิสูจน์ Control ทางเทคนิคเพื่อส่งมอบหลักฐานให้ผู้ตรวจประเมิน ISO 42001 AI Pentest AIMS AI Red Teaming [อ่านบทความฉบับเต็ม ](/th/compliance/iso-42001-ai-management/) - AI Security และ Governance 23 กันยายน 2569 8 นาที [MITRE ATLAS คืออะไร และใช้วางแผน AI Red Teaming อย่างไร](/th/compliance/mitre-atlas/) อ่าน MITRE ATLAS รุ่นข้อมูล 2026.09 พร้อม 16 Tactic, 120 Technique และ 88 Sub-technique เพื่อเลือกสถานการณ์ทดสอบ Generative AI, RAG และ Agent ตามขอบเขตและความเสี่ยง MITRE ATLAS Adversarial AI Prompt Injection AI Red Team [อ่านบทความฉบับเต็ม ](/th/compliance/mitre-atlas/) - Security Frameworks 23 กันยายน 2569 6 นาที [มาตรฐานความปลอดภัยคลาวด์ภาครัฐ สกมช. กับการทดสอบเจาะระบบ Cloud](/th/compliance/ncsa-cloud-security-standard/) สรุปมาตรฐานการรักษาความมั่นคงปลอดภัยระบบคลาวด์และแนวทางการทดสอบ Shared Responsibility และ Cloud Configuration สกมช. Cloud Cloud Security Shared Responsibility [อ่านบทความฉบับเต็ม ](/th/compliance/ncsa-cloud-security-standard/) - Security Frameworks 23 กันยายน 2569 7 นาที [แนวทางการเตรียมความพร้อมสำหรับยุคควอนตัม สกมช. พ.ศ. 2568 และแนวปฏิบัติ PQC](/th/compliance/ncsa-post-quantum-readiness/) สรุปแนวทางการเตรียมความพร้อมสำหรับยุคควอนตัมของ สกมช. ความเสี่ยง Shor และ Grover โมเดล Mosca บัญชีสินทรัพย์รหัสลับ สถาปัตยกรรม Hybrid PQC และบริบทการใช้งาน QKD ตามเอกสาร สกมช. PQC Post-Quantum Crypto Agility NIST PQC [อ่านบทความฉบับเต็ม ](/th/compliance/ncsa-post-quantum-readiness/) - Security Frameworks 23 กันยายน 2569 7 นาที [Zero Trust: จากการตัดสินใจสู่การบังคับใช้นโยบาย](/th/compliance/ncsa-zero-trust-guidelines/) ดูบทบาทของ PE, PA และ PEP ในแผนภาพ แล้วเชื่อมการตรวจสอบคำขอกับเส้นทางเข้าถึงทรัพยากรจริง Zero Trust Policy Engine Access Control [อ่านบทความฉบับเต็ม ](/th/compliance/ncsa-zero-trust-guidelines/) - AI Security และ Governance 23 กันยายน 2569 6 นาที [NIST AI RMF คืออะไร และใช้ร่วมกับ AI Pentest เพื่อบริหารความเสี่ยงอย่างไร](/th/compliance/nist-ai-rmf/) ใช้กรอบสมัครใจ NIST AI RMF 1.0 และ GenAI Profile AI 600-1 เชื่อม 4 ฟังก์ชันหลัก ความเสี่ยง 12 หมวด และ Suggested Action สำหรับการทดสอบตามบริบท NIST AI RMF Govern-Map-Measure-Manage AI Trustworthiness [อ่านบทความฉบับเต็ม ](/th/compliance/nist-ai-rmf/) - Banking และ Compliance 23 กันยายน 2569 7 นาที [ธุรกิจภายใต้ ก.ล.ต. และสินทรัพย์ดิจิทัล ต้องทำ Penetration Testing อย่างไร](/th/compliance/sec/) สรุปหลักเกณฑ์การประเมินช่องโหว่และทดสอบเจาะระบบตามประกาศ ก.ล.ต. ฉบับล่าสุด ครอบคลุมธุรกิจหลักทรัพย์ สินทรัพย์ดิจิทัล กระเป๋าเงิน และ Smart Contract ก.ล.ต. Digital Asset Securities IT Risk [อ่านบทความฉบับเต็ม ](/th/compliance/sec/) - Security Frameworks 23 กันยายน 2569 8 นาที [SOC 2 Type II Pentest Guide: ข้อกำหนด CC7.1 และรายงานสำหรับผู้ตรวจประเมิน](/th/compliance/soc-2/) สรุปบทบาทของการทดสอบเจาะระบบในรายงาน SOC 2 Type II เกณฑ์ Trust Services Criteria CC7.1 การจัดการช่องโหว่ และการออก Attestation Letter สำหรับลูกค้าองค์กร SOC 2 Type II Trust Services Criteria CC7.1 Pentest [อ่านบทความฉบับเต็ม ](/th/compliance/soc-2/) - Banking และ Compliance 23 กันยายน 2569 7 นาที [SWIFT CSP CSCF v2025/v2026 กับการทดสอบเจาะระบบและตรวจประเมินอิสระ](/th/compliance/swift-csp/) เจาะลึกข้อกำหนด SWIFT Customer Security Programme การแบ่งแยก Secure Zone ตาม Control 1.1 และการเตรียมตัวรับ Independent Assessment ประจำปี SWIFT CSP CSCF v2025 Banking Segmentation Test [อ่านบทความฉบับเต็ม ](/th/compliance/swift-csp/) - Security Frameworks 3 กันยายน 2569 7 นาที [MPA Content Security v5.3.1 และข้อกำหนด Penetration Testing สำหรับอุตสาหกรรมบันเทิง](/th/compliance/mpa-content-security/) สรุปแนวปฏิบัติความปลอดภัย MPA v5.3.1 ระบบ TPN 4-Tier Shield ใหม่ และข้อกำหนดการทดสอบเจาะระบบตาม Control TS-4.1 สำหรับสตูดิโอและ Vendor ในสายการผลิตสื่อ MPA v5.3.1 TPN Shield Content Security Penetration Testing [อ่านบทความฉบับเต็ม ](/th/compliance/mpa-content-security/) - Banking และ Compliance 22 สิงหาคม 2569 6 นาที [สถาบันการเงินต้องทำ Pentest อะไรบ้างตามหลักเกณฑ์ธนาคารแห่งประเทศไทย](/th/compliance/bank-of-thailand/) สรุปหลักเกณฑ์ VA/Pentest, iPentest, Mobile Banking และ e-Money พร้อมแนวนโยบาย AI ว. 5994/2568 โดยแยกข้อบังคับจากแนวทางตามขอบเขตองค์กร ธปท. iPentest Mobile Banking Financial Security [อ่านบทความฉบับเต็ม ](/th/compliance/bank-of-thailand/) - Banking และ Compliance 22 สิงหาคม 2569 5 นาที [พ.ร.บ.การรักษาความมั่นคงปลอดภัยไซเบอร์ 2562 กับหน้าที่ของหน่วยงาน CII](/th/compliance/cybersecurity-act/) สรุประดับความเสี่ยงและหน้าที่ในการประเมินความปลอดภัยสำหรับหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศของประเทศ พ.ร.บ.ไซเบอร์ฯ CII Critical Infrastructure [อ่านบทความฉบับเต็ม ](/th/compliance/cybersecurity-act/) - Security Frameworks 22 สิงหาคม 2569 8 นาที [Enterprise ATT&CK v19.2 กับการทดสอบเจาะระบบและการจำลองการโจมตี](/th/compliance/mitre-attack/) คู่มือสรุป Tactic และ Technique สำคัญของกรอบ MITRE ATT&CK สำหรับ Enterprise พร้อมวิธีนำไปใช้วัดผลความสามารถในการตรวจจับของทีมป้องกัน MITRE ATT&CK v19.2 Enterprise Matrix Adversary Emulation [อ่านบทความฉบับเต็ม ](/th/compliance/mitre-attack/) - Banking และ Compliance 22 สิงหาคม 2569 6 นาที [มาตรฐานการรักษาความมั่นคงปลอดภัยสำหรับเว็บไซต์ พ.ศ. 2568 กับการทดสอบเจาะระบบ](/th/compliance/ncsa-website-standard/) สรุปข้อกำหนดมาตรฐานเว็บไซต์ภาครัฐและหน่วยงานโครงสร้างพื้นฐานสำคัญ พร้อมวิธีเตรียมหลักฐานการทดสอบและเอกสาร C1 และ C2 สกมช. Website Standard 2568 Government Security [อ่านบทความฉบับเต็ม ](/th/compliance/ncsa-website-standard/) - OWASP และ Application Security 22 สิงหาคม 2569 8 นาที [OWASP Top 10 for Agentic Applications:2026 กับความปลอดภัยของ AI Agent](/th/compliance/owasp-top-10/agent/) วิเคราะห์ความเสี่ยงเมื่อ AI มีสิทธิ์เรียก Tool, อ่านไฟล์, เชื่อมต่อ API และดำเนินการอัตโนมัติ พร้อมแนวทางกำหนด Guardrail และ Least Privilege OWASP Agentic:2026 AI Agents Tool Calling MCP Security [อ่านบทความฉบับเต็ม ](/th/compliance/owasp-top-10/agent/) - OWASP และ Application Security 22 สิงหาคม 2569 7 นาที [OWASP API Security Top 10:2023 สรุปช่องโหว่ API และวิธีป้องกัน BOLA และ BFLA](/th/compliance/owasp-top-10/api/) สรุป 10 ช่องโหว่สำคัญของ REST และ GraphQL API พร้อมวิธีตรวจจับ Broken Object Level Authorization และการกำกับดูแล Inventory OWASP API:2023 BOLA BFLA API Security [อ่านบทความฉบับเต็ม ](/th/compliance/owasp-top-10/api/) - OWASP และ Application Security 22 สิงหาคม 2569 8 นาที [OWASP Top 10 for LLM Applications:2026 สรุปความเสี่ยงและการป้องกัน](/th/compliance/owasp-top-10/llm/) แนวทางรับมือความเสี่ยงอันดับ 1 ถึง 10 สำหรับแอปพลิเคชันที่ผสาน Large Language Model รวมถึงเทคนิคการทดสอบ Prompt Injection และ Guardrail Bypass OWASP LLM:2026 Generative AI Prompt Injection Data Poisoning [อ่านบทความฉบับเต็ม ](/th/compliance/owasp-top-10/llm/) - OWASP และ Application Security 22 สิงหาคม 2569 7 นาที [OWASP Mobile Top 10:2024 สรุปความปลอดภัยแอปพลิเคชัน iOS และ Android](/th/compliance/owasp-top-10/mobile/) แนวทางการประเมินความปลอดภัยแอปพลิเคชันบนมือถือ การป้องกัน Insecure Data Storage และการวิเคราะห์ Root และ Jailbreak Detection OWASP Mobile:2024 iOS Security Android Security App Hardening [อ่านบทความฉบับเต็ม ](/th/compliance/owasp-top-10/mobile/) - OWASP และ Application Security 22 สิงหาคม 2569 9 นาที [สรุป OWASP Top 10:2025 สำหรับ Web Application และแนวทางทดสอบเจาะระบบ](/th/compliance/owasp-top-10/web/) เจาะลึก 10 อันดับความเสี่ยงความปลอดภัยเว็บแอปพลิเคชันฉบับปี 2025 พร้อมแผนภาพ Attack Path และตัวอย่างโค้ดการแก้ไข OWASP Top 10:2025 Web Security Broken Access Control Injection [อ่านบทความฉบับเต็ม ](/th/compliance/owasp-top-10/web/) - Banking และ Compliance 22 สิงหาคม 2569 5 นาที [PDPA กำหนดให้ทำ Penetration Testing หรือไม่ และควรเตรียมพร้อมอย่างไร](/th/compliance/pdpa/) เข้าใจมาตรการความปลอดภัยตามความเสี่ยง การแจ้งเหตุละเมิด การโอนข้อมูลต่างประเทศ และเกณฑ์ DPO โดยแยกหน้าที่ตามกฎหมายจากหลักฐานที่ Pentest ช่วยประเมิน PDPA Data Protection Security Measures [อ่านบทความฉบับเต็ม ](/th/compliance/pdpa/) ## ต้องการทำ Pentest ให้สอดคล้องกับข้อกำหนดและมาตรฐานสากล? เล่าขอบเขตระบบและมาตรฐานที่องค์กรต้องปฏิบัติตาม ทีม STH จะช่วยวางแนวทางทดสอบและจัดทำใบเสนอราคาให้ [ขอใบเสนอราคา Pentest](/th/#contact)