มาตรฐานและข้อกำหนดที่เกี่ยวข้องกับ Penetration Testing

สรุปข้อกำหนดของหน่วยงานกำกับดูแลไทย มาตรฐานสากล และกรอบ AI Governance ที่เกี่ยวข้องกับการทดสอบเจาะระบบ โดยอ้างอิงจากเอกสารต้นทางของแต่ละหน่วยงาน

กลุ่มสถาบันการเงิน ธนาคาร และประกันภัย

มาตรฐานและข้อกำหนดบังคับทดสอบความปลอดภัยสำหรับธนาคารพาณิชย์ บริษัทหลักทรัพย์ สินทรัพย์ดิจิทัล และประกันภัย

Penetration Testing ตามหลักเกณฑ์ธนาคารแห่งประเทศไทย

ธนาคารแห่งประเทศไทยกำหนดการทดสอบความมั่นคงปลอดภัยไว้ในหลายหลักเกณฑ์ ตั้งแต่แนวปฏิบัติการทดสอบเจาะระบบ iPentest ไปจนถึงข้อกำหนดเฉพาะของ Mobile Banking และ e-Money หน้านี้สรุปแต่ละฉบับพร้อมลิงก์ไปยังเอกสารต้นทาง
Penetration Testing ตามข้อกำหนดของสำนักงาน ก.ล.ต.

สำนักงาน ก.ล.ต. กำหนดการทดสอบเจาะระบบไว้ทั้งสำหรับผู้ประกอบธุรกิจหลักทรัพย์และผู้ประกอบธุรกิจสินทรัพย์ดิจิทัล หน้านี้สรุปข้อกำหนดทั้งสองกลุ่มพร้อมลิงก์ไปยังประกาศต้นทาง
แนวปฏิบัติการป้องกันความเสี่ยงของระบบ ATM จากโปรแกรม Malware ของ ธปท.

สรุปหนังสือ ธปท. ที่ รปท.ฝตส.(03) ว. 1180/2559 ลงวันที่ 26 กันยายน 2559 เรื่องแนวปฏิบัติในการป้องกันความเสี่ยงของระบบ ATM จากโปรแกรม Malware ซึ่งส่งถึงธนาคารพาณิชย์และสถาบันการเงินเฉพาะกิจ เนื้อหาครอบคลุมการคุมกายภาพ Cor
ข้อกำหนด Penetration Testing สำหรับสมาชิก NDID

NDID คือโครงสร้างพื้นฐานสำหรับพิสูจน์และยืนยันตัวตนดิจิทัลที่เชื่อมผู้ให้บริการในบทบาทต่าง ๆ เข้าด้วยกัน
สำนักงานคณะกรรมการกำกับและส่งเสริมการประกอบธุรกิจประกันภัย

IT Risk พ.ศ. 2563 กำหนดหลักเกณฑ์การกำกับดูแลและบริหารจัดการความเสี่ยงด้านเทคโนโลยีสารสนเทศสำหรับบริษัทประกันชีวิตและบริษัทประกันวินาศภัย
PCI DSS v4.0.1: การประเมินช่องโหว่, ASV Scan, Pentest และ Segmentation Testing

มาตรฐานความมั่นคงปลอดภัยสำหรับองค์กรที่จัดเก็บ ประมวลผล ส่งผ่าน หรืออาจส่งผลต่อความปลอดภัยของข้อมูลบัตรชำระเงิน
SWIFT CSP / CSCF v2025/v2026: การตรวจประเมิน KYC-SA และการทดสอบเจาะระบบ

เจาะลึกมาตรฐานความปลอดภัย SWIFT Customer Security Controls Framework (CSCF v2025/v2026) ทั้ง 32 ข้อกำหนด เกณฑ์การตรวจประเมินอิสระประจำปี และแนวทางการทดสอบ Scope Segmentation ตาม Control 1.1 สำหรับสถาบันการเงิน

กลุ่มมาตรฐานภาครัฐ สกมช. และกฎหมายไทย

มาตรฐานการรักษาความมั่นคงปลอดภัยไซเบอร์ เว็บไซต์ คลาวด์ AI ซีโร่ทรัสต์ และการคุ้มครองข้อมูลส่วนบุคคล

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และ Penetration Testing

มาตรา 37 กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม โดย Penetration Testing เป็นวิธีหนึ่งในการตรวจสอบประสิทธิผลของการควบคุมทางเทคนิค
พระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 และ Penetration Testing

กฎหมายกำหนดหน้าที่ด้านการประเมินความเสี่ยงและการตรวจสอบด้านความมั่นคงปลอดภัยไซเบอร์ ส่วน Penetration Testing เป็นวิธีและหลักฐานทางเทคนิคที่อาจใช้สนับสนุน ไม่ใช่การตรวจสอบทั้งหมด
มาตรฐานการรักษาความมั่นคงปลอดภัยสำหรับเว็บไซต์ พ.ศ. 2568

มาตรฐานการรักษาความมั่นคงปลอดภัยสำหรับเว็บไซต์ ครอบคลุม Governance และ Security Operation ของเว็บไซต์ทุกสถาปัตยกรรม
มาตรฐานความมั่นคงปลอดภัยไซเบอร์ระบบคลาวด์ของ สกมช. พ.ศ. 2567

สรุปประกาศคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ เรื่อง มาตรฐานด้านการรักษาความมั่นคงปลอดภัยไซเบอร์ระบบคลาวด์ พ.ศ. 2567 (Thailand National Cloud Security Framework) โดยแยกขอบเขตการบังคับใช้ หน้าที่ร่วมของผู้ใ
แนวปฏิบัติ AI Security Guidelines ของ สกมช.

สรุปแนวปฏิบัติการใช้ปัญญาประดิษฐ์อย่างมั่นคงปลอดภัยของ สกมช. สำหรับผู้บริหาร ทีมพัฒนาและปฏิบัติการ AI ฝ่ายกฎหมายและ DPO และฝ่ายความมั่นคงปลอดภัย โดยเรียงตามวงจรชีวิตของระบบและหลักธรรมาภิบาลความเสี่ยง
แนวปฏิบัติ Zero Trust ของ สกมช.

สรุปแนวปฏิบัติ Zero Trust (Zero Trust Guidelines) ฉบับเผยแพร่ v1.0 ของ สกมช. สำหรับผู้บริหาร ผู้กำหนดนโยบาย ทีมเทคนิค ผู้ดูแลระบบ และวิศวกรความมั่นคงปลอดภัย เพื่อวางแผนเปลี่ยนผ่านจากการป้องกันแบบอาศัยขอบเขตเครือข่ายสู่กา
แนวทางเตรียมความพร้อมสำหรับยุคควอนตัมของ สกมช.

สรุปคำแนะนำเรื่องแนวทางการปฏิบัติการเตรียมความพร้อมสำหรับยุคควอนตัม (Guidelines for Post-Quantum Readiness) ของ สกมช. สำหรับหน่วยงานของรัฐและหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศที่ประมวลผลข้อมูลความลับ โดยเน้นการประเ
แนวปฏิบัติการรักษาความมั่นคงปลอดภัยระบบ CCTV และ AI CCTV ของ สกมช. พ.ศ. 2569

แนวปฏิบัติ TCSG และ TCSG AI ของ สกมช. ร่วมกับ iCA ครอบคลุมสถาปัตยกรรมป้องกันเชิงลึก 4 ชั้น การกำหนดระดับมาตรการ B, E และ H ตามผลกระทบและความเสี่ยง การตรวจรับทางเทคนิค และหลักฐานการสร้างความเชื่อมั่นที่เลือกใช้ตามบริบท
มาตรฐานการพิสูจน์และยืนยันตัวตนดิจิทัลของไทย: ETDA, DGA, IAL, AAL และเกณฑ์ความปลอดภัยแพลตฟอร์ม

มาตรฐานปัจจุบัน มธอ. 11-2566 เล่ม 1 ว่าด้วยกรอบการทำงาน เล่ม 2 ว่าด้วยการพิสูจน์ตัวตน และเล่ม 3 ว่าด้วยการยืนยันตัวตน ส่วน ขมธอ. 18, 19 และ 20-2566 ถูกยกเลิกเมื่อ 4 กุมภาพันธ์ 2569 ให้เลือกความน่าเชื่อถือตามผลกระทบของบริ

กลุ่ม AI Governance และความมั่นคงปลอดภัย AI

กรอบกำกับดูแลการพัฒนาและใช้งาน AI ในองค์กร ครอบคลุมระบบบริหารความเสี่ยง Threat Model, AI Red Teaming และ Control สำหรับ AI Agent

ISO/IEC 42001:2023 คืออะไร และใช้ Pentest พิสูจน์ความพร้อมของ AIMS อย่างไร

หากองค์กรใช้ AI ใน Production นโยบายเพียงอย่างเดียวไม่พอ หน้านี้สรุป ISO/IEC 42001:2023 และ ISO/IEC 23894:2023 พร้อมวิธีเปลี่ยนความเสี่ยงให้เป็นหลักฐานจาก AI Pentest และ Red Teaming ที่ผู้บริหารและผู้ตรวจประเมินใช้ตัดสิน
NIST AI Risk Management Framework (AI RMF 1.0) คืออะไร และเปลี่ยนความเสี่ยง GenAI ให้เป็นแผนทดสอบอย่างไร

NIST AI RMF ช่วยตอบคำถามที่ผู้บริหารถามก่อนใช้ AI ว่าระบบเสี่ยงอะไร วัดอย่างไร และใครต้องตัดสินใจ หน้านี้สรุป AI RMF 1.0, NIST AI 600-1 และวิธีใช้ AI Red Teaming สร้างหลักฐานแทนความมั่นใจจาก Demo
MITRE ATLAS คืออะไร และใช้วางแผน AI Red Teaming อย่างไร

ผู้โจมตีระบบ AI ไม่ได้หยุดที่ Prompt Injection แต่โจมตีตั้งแต่ Dataset, Model, RAG, Agent Tool ไปจนถึง Cloud Infrastructure หน้านี้เปลี่ยน MITRE ATLAS จาก Matrix ขนาดใหญ่ให้เป็นแผนทดสอบและหลักฐานการตรวจจับที่นำไปใช้ได้จร
Google Secure AI Framework (SAIF 2.0) คืออะไร และใช้ป้องกัน AI Agent อย่างไร

SAIF เปลี่ยนคำว่า AI Security ให้เป็นแผนที่ของ Risk, Component และ Control ตั้งแต่ Data ไปจนถึง Agent หน้านี้สรุป 6 Core Element, SAIF Risk Map, แนวทางใหม่ของ SAIF 2.0 และจุดที่ AI Red Teaming ต้องพิสูจน์ก่อนระบบสร้างผลก
กรอบธรรมาภิบาลและการกำกับดูแล AI ของไทย: ธปท., ETDA, สกมช. และการทดสอบ AI ทางเทคนิค

เอกสาร 25680178 เป็นแนวนโยบายให้ผู้ให้บริการทางการเงินนำไปอ้างอิงและประยุกต์ใช้ตามลักษณะการใช้งาน AI ไม่ใช่ข้อบังคับ Pentest ต่อเนื่องสำหรับทุกองค์กร
วิศวกรรมความมั่นคงปลอดภัยใน AI-Native SDLC: ควบคุม AI Coding Agent ป้องกัน Context Poisoning และ Sandbox Evasion

คู่มือนี้อ้าง Anthropic AI-Native SDLC Playbook และเอกสารความปลอดภัยของเครื่องมือ AI Coding Agent เพื่อเสนอการควบคุมตามความเสี่ยง ไม่ใช่กฎหมายหรือการรับรองมาตรฐาน

กลุ่มมาตรฐานสากล และ Technical Framework

กรอบการทำงานและมาตรฐานสากลสำหรับการประเมินความเสี่ยง การทดสอบเจาะระบบ และสถาปัตยกรรมความปลอดภัย

OWASP Top 10: เว็บ มือถือ API LLM และ Agentic

สำรวจกรอบความปลอดภัย OWASP Top 10 ฉบับล่าสุดแยกตามประเภทเทคโนโลยี โดยสรุป 10 หมวดความเสี่ยงสำคัญ แนวทางการทดสอบ ภาพแผนผังอธิบาย และลิงก์ไปยังเอกสารทางการของ OWASP
OWASP ASVS 5.0: คู่มือเกณฑ์มาตรฐานการตรวจสอบความมั่นคงปลอดภัยแอปพลิเคชัน

คู่มือเชิงเทคนิคฉบับสมบูรณ์สำหรับ OWASP Application Security Verification Standard (ASVS) 5.0 โครงสร้างการตรวจสอบระดับ L1 ถึง L3 ทั้ง 17 หมวดความปลอดภัย และการบูรณาการเข้ากับวงจร Secure SDLC และการทดสอบเจาะระบบ
ISO/IEC 27001:2022 และการทดสอบเจาะระบบ

มาตรฐาน ISO/IEC 27001:2022 กำหนดกรอบระบบบริหารจัดการความมั่นคงปลอดภัยสารสนเทศ (ISMS) โดยการประเมินช่องโหว่และการทดสอบเจาะระบบเป็นมาตรการสำคัญในการยืนยันประสิทธิผลของการควบคุมทางเทคนิคตาม Annex A.8.8 และสนับสนุนข้อกำหนดหล
MITRE ATT&CK v19.2: ทุก Enterprise Tactic สำหรับ Pentest และ Red Team

หน้านี้รวบรวมกรอบความรู้ Enterprise ATT&CK v19.2 สำหรับเชื่อมโยงพฤติกรรมของภัยคุกคามจริงเข้ากับการประเมินความมั่นคงปลอดภัย การทดสอบเจาะระบบ และ Red Team ตามขอบเขตที่ได้รับอนุญาต สินทรัพย์สำคัญ และระดับความเสี่ยงขององค์กร
MPA Content Security v5.3.1 และข้อกำหนด Penetration Testing สำหรับอุตสาหกรรมบันเทิง

เจาะลึกมาตรฐาน Motion Picture Association (MPA) Content Security Best Practices v5.3.1 ระบบ TPN Shield สี่ระดับ และข้อกำหนด Penetration Testing (Control TS-4.1) สำหรับสตูดิโอ ผู้ให้บริการงานตัดต่อ VFX และห่วงโซ่อุปทานสื่
SOC 2 Type II: ข้อกำหนด Penetration Testing และการตรวจประเมินสำหรับ SaaS

คู่มือเจาะลึกมาตรฐาน AICPA SOC 2 Type II เกณฑ์ Trust Services Criteria CC4.1 และ CC7.1 สำหรับการประเมินช่องโหว่และการทดสอบเจาะระบบประจำปี พร้อมแนวทางการเตรียมหลักฐานสำหรับผู้สอบบัญชี CPA
IEC 62443: ความมั่นคงปลอดภัยไซเบอร์อุตสาหกรรม (OT/ICS) และการทำ Pentest โดยไม่กระทบการผลิต

เจาะลึกมาตรฐาน ISA/IEC 62443 สถาปัตยกรรม Purdue Model และระเบียบวิธีการทดสอบเจาะระบบโรงงานและระบบควบคุมอัตโนมัติ (OT / ICS / SCADA) โดยยึดหลักความปลอดภัยทางกายภาพและไม่รบกวนกระบวนการผลิต