# Penetration Testing ตามหลักเกณฑ์ธนาคารแห่งประเทศไทย

Locale: `th`

Source: `/th/compliance/bank-of-thailand/`

Summary: หลักเกณฑ์ ธปท. ด้านการทดสอบความปลอดภัย ตั้งแต่ iPentest จนถึง Mobile Banking และ e-Money พร้อมลิงก์เอกสารต้นทาง

สารบัญ

1. [ภาพรวม](/th/compliance/bank-of-thailand/#topic-overview)
2. [สิ่งที่ต้องพิจารณาเมื่อกำหนดแผนทดสอบตามหลักเกณฑ์ ธปท.](/th/compliance/bank-of-thailand/#compliance-control-summary)
3. [e-Money และการทดสอบความปลอดภัย](/th/compliance/bank-of-thailand/#bot-emoney-security)
4. [Mobile Banking Security - ประกาศ ธปท. ที่ 4/2568](/th/compliance/bank-of-thailand/#bot-mobile-banking-security)
5. [iPentest - หนังสือเวียน 1252/2562](/th/compliance/bank-of-thailand/#bot-ipentest)
6. [VA และ Penetration Testing - สนช. 1/2564](/th/compliance/bank-of-thailand/#bot-va-pentest)
7. [พ.ร.ก. มาตรการป้องกันและปราบปรามอาชญากรรมทางเทคโนโลยี](/th/compliance/bank-of-thailand/#bot-tech-crime-decree-2566)
8. [ธนาคารแห่งประเทศไทย: การบริหารความเสี่ยงระบบปัญญาประดิษฐ์ (AI) - ว. 5994/2568](/th/compliance/bank-of-thailand/#ai-risk)
9. [ตารางเปรียบเทียบข้อกำหนด](/th/compliance/bank-of-thailand/#compliance-matrix)
10. [ประเมินความพร้อม](/th/compliance/bank-of-thailand/#compliance-readiness-checklist)
11. [คำถามที่พบบ่อย](/th/compliance/bank-of-thailand/#compliance-faq)
12. [หัวข้อที่เกี่ยวข้อง](/th/compliance/bank-of-thailand/#related-compliance-frameworks)

# Penetration Testing ตามหลักเกณฑ์ธนาคารแห่งประเทศไทย

ธนาคารแห่งประเทศไทยกำหนดการทดสอบความมั่นคงปลอดภัยไว้ในหลายหลักเกณฑ์ ตั้งแต่แนวปฏิบัติการทดสอบเจาะระบบ iPentest ไปจนถึงข้อกำหนดเฉพาะของ Mobile Banking และ e-Money หน้านี้สรุปแต่ละฉบับพร้อมลิงก์ไปยังเอกสารต้นทาง

สรุปภาพรวมข้อกำหนด

กลุ่มเป้าหมายที่บังคับใช้

ผู้ให้บริการและผู้ประกอบธุรกิจระบบการชำระเงินที่อยู่ในขอบเขต สนช. 1/2564 และสถาบันการเงินตามประกาศ สกช. 5/2566

ความถี่ในการทดสอบ

สำหรับ สกช. 5/2566 เอกสารแนบ 2 ข้อ 6.6 ให้ทำ VA ทุกระบบตามความเสี่ยง โดยระบบงานสำคัญอย่างน้อยปีละ 1 ครั้งและเมื่อเปลี่ยนแปลงสำคัญ ส่วนข้อ 6.7 ให้ทำ Pentest ระบบ Internet-facing อย่างน้อยปีละ 1 ครั้งและเมื่อเปลี่ยนแปลงสำคัญ ผู้ประกอบธุรกิจระบบการชำระเงินต้องตรวจหน้าที่ตาม สนช. 1/2564 แยกต่างหาก

ขอบเขตการทดสอบ

ระบบงานและเครือข่าย Internet-facing ตาม สนช. 1/2564 หรือ สกช. 5/2566 รวมถึงบริการ Mobile Banking ตามประกาศ 4/2568

ความเสี่ยงหากไม่ปฏิบัติตาม

ข้อทักท้วงจากการกำกับดูแลของ ธปท. และคำสั่งให้ปรับปรุงระบบตามประกาศที่ใช้บังคับ

## สิ่งที่ต้องพิจารณาเมื่อกำหนดแผนทดสอบตามหลักเกณฑ์ ธปท.

เริ่มจากยืนยันประเภทใบอนุญาตและประกาศที่ใช้บังคับกับองค์กร แล้วเชื่อมแผน VA และ Penetration Testing เข้ากับความเสี่ยง การเปลี่ยนแปลง และหลักฐานการแก้ไข

[![เลือกหลักเกณฑ์ ธปท. ให้ตรงบริการและขอบเขต: ประเภทสถาบันและใบอนุญาต → บริการจริง → ประกาศที่ใช้บังคับ → ขอบเขตการทดสอบ → การแก้ไขและ Retest](/assets/compliance/guide-bank-of-thailand-compliance-control-summary-th-v1.webp)](/assets/compliance/guide-bank-of-thailand-compliance-control-summary-th-v1.webp)

**เลือกหลักเกณฑ์ ธปท. ให้ตรงบริการและขอบเขต**

รอบและขอบเขตการทดสอบต้องมาจากประกาศที่ใช้กับองค์กรและบริการจริง

1. **ประเภทสถาบันและใบอนุญาต** — ยืนยันสถานะขององค์กรก่อนเลือกเกณฑ์
2. **บริการจริง** — แยก Payment, Mobile Banking, e-Money และบริการอื่น
3. **ประกาศที่ใช้บังคับ** — ใช้ข้อกำหนดของบริการและประเภทองค์กรนั้น
4. **ขอบเขตการทดสอบ** — เชื่อมระบบ ความเสี่ยง และการเปิดรับภายนอก
5. **การแก้ไขและ Retest** — เก็บเจ้าของงาน แผนแก้ไข และผลยืนยัน

- สำหรับผู้ประกอบธุรกิจที่อยู่ในขอบเขต สนช. 1/2564 ข้อ 5.1.6 ระบุการประเมินช่องโหว่ตามระดับความเสี่ยงอย่างน้อยปีละ 1 ครั้ง และเมื่อมีการเปลี่ยนแปลงอย่างมีนัยสำคัญ
- การทดสอบเจาะระบบของระบบงานและเครือข่ายที่เชื่อมต่อเครือข่ายสาธารณะควรดำเนินการโดยผู้เชี่ยวชาญที่มีความเป็นอิสระ ตามเงื่อนไขของประกาศที่ใช้กับองค์กร
- Mobile Banking, iPentest และ e-Money มีบริบทควบคุมต่างกัน จึงต้องกำหนด scope จากบริการจริง ไม่ใช้รอบการทดสอบเดียวแทนทุกระบบ
- เก็บรายงาน แผนแก้ไข และผล Retest ให้เชื่อมโยงกับ risk owner และการอนุมัติเปลี่ยนแปลง เพื่อให้ตรวจสอบย้อนหลังได้
- แนวนโยบาย ธปท. ว. 5994/2568 ใช้เป็นแนวทางอ้างอิงสำหรับผู้ให้บริการทางการเงินในขอบเขต ครอบคลุมความเสี่ยงด้านข้อมูล การพัฒนาโมเดล และภัยคุกคามไซเบอร์ โดยแนะนำ Content Filtering ขาเข้าและขาออก การติดตามประสิทธิภาพก่อนและหลังใช้งาน และการทดสอบรูปแบบการโจมตีอย่างต่อเนื่อง

BANK OF THAILAND / ELECTRONIC MONEY

## ธนาคารแห่งประเทศไทย: ความมั่นคงปลอดภัย e-Money Mobile Application — ประกาศ 18/2568

ประกาศ 18/2568 ใช้กับผู้ประกอบธุรกิจ e-Money ภายใต้การกำกับที่ให้บริการ Mobile Application ซึ่งโอนเงินไปยังบัญชีของบุคคลอื่นกับผู้ให้บริการทางการเงินรายอื่นได้ โดยแยกการป้องกัน Fraud ออกจากความมั่นคงปลอดภัยของบริการ e-Money บนมือถือ

[![e-Money Mobile Application: ป้องกัน Fraud และรักษาความมั่นคงปลอดภัย: การสื่อสารและแอปปลอม, ผูกบัญชีกับอุปกรณ์, ยืนยันตัวตนและวงเงิน, ความมั่นคงปลอดภัยของข้อมูล, ความมั่นคงปลอดภัยของแอป, ความมั่นคงปลอดภัยของอุปกรณ์](/assets/compliance/guide-bank-of-thailand-bot-emoney-security-th-v1.webp)](/assets/compliance/guide-bank-of-thailand-bot-emoney-security-th-v1.webp)

**e-Money Mobile Application: ป้องกัน Fraud และรักษาความมั่นคงปลอดภัย**

ประกาศ 18/2568 แยกการป้องกันการสวมรอยออกจากความมั่นคงปลอดภัยของข้อมูล แอป และอุปกรณ์ โดยใช้เสริมหลักเกณฑ์ e-Money ทั่วไปตาม สนช. 7/2561

- **การสื่อสารและแอปปลอม** — ลดการหลอกขอข้อมูลสำคัญและรับมือแอปที่ปลอมแปลงหรือแอบอ้าง
- **ผูกบัญชีกับอุปกรณ์** — จำกัดการใช้งานบัญชีบนอุปกรณ์เคลื่อนที่หนึ่งเครื่อง ณ ขณะหนึ่ง
- **ยืนยันตัวตนและวงเงิน** — ใช้การยืนยันตัวตนเพิ่มและวงเงินตามระดับความเสี่ยง
- **ความมั่นคงปลอดภัยของข้อมูล** — ปกป้องข้อมูลสำคัญขณะจัดเก็บ แสดงผล และรับส่ง
- **ความมั่นคงปลอดภัยของแอป** — จำกัด Permission ป้องกันการดัดแปลง และรักษา Session
- **ความมั่นคงปลอดภัยของอุปกรณ์** — ตรวจสภาพแวดล้อมและควบคุมความเสี่ยงจากอุปกรณ์หรือแอปอันตราย

- ป้องกันการสวมรอยทำธุรกรรมครอบคลุมการสื่อสารที่ปลอดภัย การรับมือแอปปลอม การผูกบัญชีกับอุปกรณ์ การยืนยันตัวตนเพิ่ม และวงเงินตามระดับความเสี่ยง
- ความมั่นคงปลอดภัยของบริการครอบคลุมการควบคุมข้อมูล แอป และอุปกรณ์ รวมถึง encryption, permissions, anti-tampering, session protection และความเสี่ยงของสภาพแวดล้อมอุปกรณ์
- สนช. 7/2561 ยังเป็นหลักเกณฑ์ทั่วไปของธุรกิจ e-Money ส่วนประกาศ 18/2568 เพิ่มมาตรการเฉพาะสำหรับ e-Money Mobile Application
- ประกาศทั้งสองฉบับไม่ใช่รอบ Penetration Testing กลางสำหรับผู้ประกอบการทุกประเภท ต้องใช้ร่วมกับข้อกำหนด IT Risk ที่ใช้กับองค์กรจริง

**กำหนดขอบเขตให้ถูกฉบับ**

ยืนยันก่อนว่าบริการอยู่ในนิยาม e-Money Mobile Application ตามประกาศ 18/2568 และตรวจประกาศ ธปท. ที่ใช้กับใบอนุญาตและบริการจริง

BANK OF THAILAND - MOBILE BANKING

## ธนาคารแห่งประเทศไทย: Mobile Banking Security - ประกาศ ธปท. ที่ 4/2568

ประกาศกำหนดมาตรการขั้นต่ำสำหรับสถาบันการเงินที่ให้บริการ Mobile Banking โดยแยกการป้องกันการสวมรอยทำธุรกรรมออกจากการรักษาความมั่นคงปลอดภัยของบริการ Mobile Banking

[![Mobile Banking: จากผู้ใช้ถึงระบบธนาคาร: ผู้ใช้และอุปกรณ์, Mobile Application, API และ Session, ธุรกรรม, Fraud Response](/assets/compliance/guide-bank-of-thailand-bot-mobile-banking-security-th-v1.webp)](/assets/compliance/guide-bank-of-thailand-bot-mobile-banking-security-th-v1.webp)

**Mobile Banking: จากผู้ใช้ถึงระบบธนาคาร**

ต้องทดสอบอุปกรณ์ แอป API ตัวตน และธุรกรรมเป็นเส้นทางเดียวกัน

- **ผู้ใช้และอุปกรณ์** — ตรวจตัวตน สถานะอุปกรณ์ และความเสี่ยง
- **Mobile Application** — ป้องกันการดัดแปลงและขอสิทธิเท่าที่จำเป็น
- **API และ Session** — ปกป้องการยืนยันตัวตนและการเชื่อมต่อ
- **ธุรกรรม** — ใช้ Step-up Authentication และ Control ตามความเสี่ยง
- **Fraud Response** — ตรวจจับ รับมือ และเก็บหลักฐาน

- ประกาศใช้กับสถาบันการเงินตามกฎหมายว่าด้วยธุรกิจสถาบันการเงินทุกแห่ง และนิยาม Mobile Banking ครอบคลุมบริการผ่านแอปบนอุปกรณ์เคลื่อนที่ที่มีการถอน โอน หรือชำระเงิน
- ทดสอบการป้องกันการสวมรอยควบคู่กับการยืนยันตัวตนเพิ่มสำหรับธุรกรรมเสี่ยง การควบคุมวงเงิน และการรับมือแอปปลอมหรือ Malware
- ทดสอบความปลอดภัยของข้อมูล แอป และอุปกรณ์ร่วมกัน เช่น การเข้ารหัส การป้องกันการดัดแปลง Session Security สิทธิ์แอปที่จำเป็น และการจัดการอุปกรณ์ Rooted, Jailbroken หรือ Remote-control

**กำหนดขอบเขตให้ถูกฉบับ**

ประกาศนี้เป็น Control Baseline ของบริการ Mobile Banking ไม่ได้กำหนดรอบ Penetration Testing แยกต่างหาก จึงต้องใช้ร่วมกับกรอบ IT Risk ที่มีผลต่อองค์กร

BANK OF THAILAND - INTELLIGENCE-LED TESTING

## ธนาคารแห่งประเทศไทย: iPentest - หนังสือเวียน 1252/2562

iPentest เป็นแนวทางให้ใช้ Threat Intelligence สร้างสถานการณ์ที่สมจริงเพื่อดูว่ากระบวนการป้องกัน ตรวจจับ และตอบสนองของธนาคารทำงานต่อเนื่องหรือไม่

[![จาก Threat Intelligence สู่หลักฐาน Protect–Detect–Respond: การกำกับดูแล → Threat Intelligence → สถานการณ์ทดสอบ → สังเกตการตอบสนอง → แก้ไขและรายงาน](/assets/compliance/guide-bank-of-thailand-bot-ipentest-th-v1.webp)](/assets/compliance/guide-bank-of-thailand-bot-ipentest-th-v1.webp)

**จาก Threat Intelligence สู่หลักฐาน Protect–Detect–Respond**

iPentest วัดการทำงานร่วมกันของบุคลากร กระบวนการ และเทคโนโลยี

1. **การกำกับดูแล** — กำหนดขอบเขต บทบาท และ Control Group
2. **Threat Intelligence** — เลือกภัยและ TTP ที่ตรงกับสถาบัน
3. **สถานการณ์ทดสอบ** — จำลองเส้นทางโจมตีภายใต้ขอบเขตควบคุม
4. **สังเกตการตอบสนอง** — วัด Protect, Detect และ Respond
5. **แก้ไขและรายงาน** — สรุปช่องว่าง เจ้าของงาน และแผนปรับปรุง

- จัด Governance ผู้รับผิดชอบ และเกณฑ์คัดเลือกผู้ทดสอบก่อนกำหนดสถานการณ์ เพื่อให้การทดสอบมีเจ้าของความเสี่ยงและช่องทางตัดสินใจที่ชัดเจน
- ใช้ Threat Intelligence กำหนด Scenario ที่ครอบคลุม Critical Function, บุคลากร และความสามารถในการป้องกัน ตรวจจับ และรับมือ แทนการตรวจเพียงรายการช่องโหว่
- การทดสอบอาจเน้น Production เพื่อความสมจริง แต่ขั้นตอนที่เสี่ยงสามารถย้ายไป UAT หรือ Pre-production ได้เมื่อระบุเหตุผล ขอบเขต และผลกระทบไว้ในรายงาน

**กำหนดขอบเขตให้ถูกฉบับ**

หนังสือเวียนปี 2562 ส่งถึงธนาคารพาณิชย์ การนำไปใช้ต้องยืนยันสถานะและความเหมาะสมตามความเสี่ยงกับ Compliance และผู้กำกับดูแลก่อนเริ่มงาน

BANK OF THAILAND - CYBER HYGIENE

## ธนาคารแห่งประเทศไทย: VA และ Penetration Testing - สนช. 1/2564

สนช. 1/2564 ระบุข้อกำหนดโดยตรงสำหรับการบริหารจัดการช่องโหว่และการทดสอบเจาะระบบของผู้ให้บริการและผู้ประกอบธุรกิจระบบการชำระเงินที่อยู่ในขอบเขต

[![จากความเสี่ยงสู่การปิดช่องโหว่: สินทรัพย์และความเสี่ยง → Vulnerability Assessment → Independent Pentest → การแก้ไข → Retest และรายงาน](/assets/compliance/guide-bank-of-thailand-bot-va-pentest-th-v1.webp)](/assets/compliance/guide-bank-of-thailand-bot-va-pentest-th-v1.webp)

**จากความเสี่ยงสู่การปิดช่องโหว่**

VA, Pentest, การแก้ไข และ Retest ต้องเชื่อมเป็นวงจรเดียวกัน

1. **สินทรัพย์และความเสี่ยง** — ระบุระบบและจัดลำดับตามความเสี่ยง
2. **Vulnerability Assessment** — ค้นหาและประเมินช่องโหว่
3. **Independent Pentest** — ทดสอบ Internet-facing Application และ Network
4. **การแก้ไข** — มอบหมายเจ้าของและติดตามแผน
5. **Retest และรายงาน** — ยืนยันการปิดและเก็บหลักฐาน

- สำหรับผู้ที่อยู่ในขอบเขต ต้องประเมินช่องโหว่ของทุกระบบตามระดับความเสี่ยงอย่างน้อยปีละ 1 ครั้ง และเมื่อมีการเปลี่ยนแปลงอย่างมีนัยสำคัญ
- Penetration Testing ต้องดำเนินการโดยผู้เชี่ยวชาญที่มีความเป็นอิสระ ครอบคลุมระบบงานและเครือข่ายที่เชื่อมต่อเครือข่ายสื่อสารสาธารณะอย่างน้อยปีละ 1 ครั้งและเมื่อมีการเปลี่ยนแปลงอย่างมีนัยสำคัญ
- ผลการทดสอบต้องไปถึงผู้รับผิดชอบ แผนแก้ไข และหลักฐาน Retest เพื่อแสดงว่าความเสี่ยงที่พบถูกจัดการ ไม่ใช่เพียงมีรายงานฉบับหนึ่ง

**กำหนดขอบเขตให้ถูกฉบับ**

ขอบเขตของประกาศครอบคลุมผู้ให้บริการระบบการชำระเงินที่มีความสำคัญ และผู้ประกอบธุรกิจระบบหรือบริการการชำระเงินภายใต้การกำกับที่ไม่ใช่สถาบันการเงินหรือสถาบันการเงินเฉพาะกิจ จึงต้องยืนยันสถานะขององค์กรก่อนนำรอบการทดสอบไปใช้

TECHNOLOGY CRIME EMERGENCY DECREE - B.E. 2566 AND (NO. 2) B.E. 2568

## พระราชกำหนดมาตรการป้องกันและปราบปรามอาชญากรรมทางเทคโนโลยี พ.ศ. 2566 และที่แก้ไขเพิ่มเติมโดย (ฉบับที่ 2) พ.ศ. 2568

พระราชกำหนดฉบับนี้กำหนดหน้าที่ของสถาบันการเงินและผู้ประกอบธุรกิจในการแลกเปลี่ยนข้อมูลบัญชีและธุรกรรมที่ต้องสงสัยและระงับธุรกรรมชั่วคราว ฉบับที่ 2 พ.ศ. 2568 มีผลใช้บังคับตั้งแต่วันที่ 13 เมษายน 2568 และรัฐสภาอนุมัติแล้วตามประกาศในราชกิจจานุเบกษาวันที่ 30 พฤษภาคม 2568 โดยขยายนิยามผู้ประกอบธุรกิจให้รวมผู้ประกอบธุรกิจสินทรัพย์ดิจิทัล เพิ่มหน้าที่ตามรายชื่อที่ ศปอท. แจ้ง และกำหนดความรับผิดร่วมในความเสียหาย

[![พ.ร.ก. มาตรการป้องกันและปราบปรามอาชญากรรมทางเทคโนโลยี: แลกเปลี่ยนข้อมูล (มาตรา 4) → ระงับธุรกรรม (มาตรา 6 และ 7) → ร้องทุกข์ 72 ชม. และพิจารณาใน 7 วัน → ฉบับที่ 2 พ.ศ. 2568](/assets/compliance/guide-bank-of-thailand-bot-tech-crime-decree-2566-th-v2.webp)](/assets/compliance/guide-bank-of-thailand-bot-tech-crime-decree-2566-th-v2.webp)

**พ.ร.ก. มาตรการป้องกันและปราบปรามอาชญากรรมทางเทคโนโลยี**

พ.ศ. 2566 และที่แก้ไขเพิ่มเติม (ฉบับที่ 2) พ.ศ. 2568

1. **แลกเปลี่ยนข้อมูล (มาตรา 4)**
  - แลกเปลี่ยนข้อมูลบัญชี ธุรกรรม และเลขที่กระเป๋าสินทรัพย์ดิจิทัลผ่านระบบที่หน่วยงานเห็นชอบร่วมกัน
2. **ระงับธุรกรรม (มาตรา 6 และ 7)**
  - ระงับธุรกรรมชั่วคราวไม่เกิน 7 วัน และแจ้งผู้รับโอนทุกทอดผ่านระบบตามมาตรา 4
3. **ร้องทุกข์ 72 ชม. และพิจารณาใน 7 วัน**
  - ผู้เสียหายร้องทุกข์ภายใน 72 ชั่วโมง และพนักงานสอบสวนพิจารณาภายใน 7 วันนับแต่ได้รับแจ้งความ
4. **ฉบับที่ 2 พ.ศ. 2568**
  - ระงับบริการตามรายชื่อที่ ศปอท. แจ้ง (มาตรา 4/2) และรับผิดร่วมในความเสียหาย (มาตรา 8/10)

- มาตรา 4 ตามที่แก้ไขในปี 2568 ให้สถาบันการเงินและผู้ประกอบธุรกิจเปิดเผยหรือแลกเปลี่ยนข้อมูลบัญชีและธุรกรรมของลูกค้าที่เกี่ยวข้อง และเลขที่กระเป๋าสินทรัพย์ดิจิทัล ผ่านระบบหรือกระบวนการที่กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม สำนักงานตำรวจแห่งชาติ กรมสอบสวนคดีพิเศษ สำนักงาน ปปง. ธนาคารแห่งประเทศไทย และสำนักงาน ก.ล.ต. เห็นชอบร่วมกัน
- มาตรา 6 กำหนดว่าเมื่อพบเหตุอันควรสงสัยเองหรือได้รับข้อมูลจากระบบตามมาตรา 4 ให้ระงับการทำธุรกรรม แจ้งผู้รับโอนถัดไป และนำข้อมูลเข้าระบบเพื่อให้ผู้รับโอนทุกทอดระงับธุรกรรมไว้ทันทีเป็นการชั่วคราวไม่เกิน 7 วัน กรณีได้รับแจ้งจากเจ้าพนักงานผู้มีอำนาจดำเนินคดีอาญาหรือเลขาธิการ ปปง. ให้ระงับธุรกรรมและนำข้อมูลเข้าระบบเช่นกัน และหากพ้นกำหนดเวลาโดยไม่มีการแจ้งผลการดำเนินการ ให้ยกเลิกการระงับ
- มาตรา 7 กำหนดว่าเมื่อผู้เสียหายซึ่งเป็นผู้ถือบัญชีแจ้งเหตุ ให้ระงับธุรกรรมไว้ชั่วคราว นำข้อมูลเข้าระบบเพื่อให้ผู้รับโอนทุกทอดระงับทันที และแจ้งให้ผู้เสียหายไปร้องทุกข์ภายใน 72 ชั่วโมง โดยพนักงานสอบสวนพิจารณาดำเนินการภายใน 7 วันนับแต่วันที่ได้รับแจ้งความร้องทุกข์ ส่วนมาตรา 8 ให้แจ้งข้อมูลหรือหลักฐานทางโทรศัพท์หรือวิธีการทางอิเล็กทรอนิกส์ได้ และให้ร้องทุกข์ ณ สถานีตำรวจแห่งใดในราชอาณาจักร กองบัญชาการตำรวจสืบสวนสอบสวนอาชญากรรมทางเทคโนโลยี หรือทางอิเล็กทรอนิกส์ก็ได้
- ฉบับที่ 2 เพิ่มมาตรา 4/1 ให้ ธปท. สำนักงาน ก.ล.ต. กสทช. สำนักงาน กสทช. และคณะกรรมการธุรกรรมทางอิเล็กทรอนิกส์ กำหนดมาตรฐานหรือมาตรการป้องกันอาชญากรรมทางเทคโนโลยี และเพิ่มมาตรา 4/2 ให้สถาบันการเงินหรือผู้ประกอบธุรกิจปฏิเสธการเปิดบัญชี ระงับการให้บริการหรือการทำธุรกรรม หรือปิดบัญชีกับบุคคลหรือเลขที่กระเป๋าสินทรัพย์ดิจิทัลที่ ศปอท. แจ้งจนกว่าจะมีการเพิกถอน โดยการไม่ปฏิบัติตามมาตรา 4/2 มีโทษปรับไม่เกิน 500,000 บาทตามมาตรา 8/11
- มาตรา 8/10 ให้สถาบันการเงิน ผู้ประกอบธุรกิจ ผู้ให้บริการโทรคมนาคม และผู้ให้บริการสื่อสังคมออนไลน์มีส่วนร่วมรับผิดชอบในความเสียหายจากอาชญากรรมทางเทคโนโลยี เว้นแต่จะพิสูจน์ได้ว่าได้ปฏิบัติตามมาตรฐานหรือมาตรการที่หน่วยงานตามมาตรา 4/1 กำหนด มาตรา 8/1 ถึง 8/4 วางกลไกคืนเงินแก่ผู้เสียหายผ่านสำนักงาน ปปง. และมาตรา 8/5 จัดตั้ง ศปอท. ในสำนักงานปลัดกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม
- มาตรา 9 ถึง 11 กำหนดโทษผู้เปิดหรือยินยอมให้บุคคลอื่นใช้บัญชีเงินฝาก บัตรอิเล็กทรอนิกส์ บัญชีเงินอิเล็กทรอนิกส์ หรือเลขหมายโทรศัพท์เคลื่อนที่ของตน จำคุกไม่เกิน 3 ปี หรือปรับไม่เกิน 300,000 บาท หรือทั้งจำทั้งปรับ และผู้เป็นธุระจัดหา โฆษณา หรือไขข่าวเพื่อซื้อขายบัญชีหรือเลขหมายดังกล่าว จำคุก 2 ถึง 5 ปี หรือปรับ 200,000 ถึง 500,000 บาท หรือทั้งจำทั้งปรับ ฉบับที่ 2 เพิ่มมาตรา 11/1 สำหรับการลงทะเบียนเลขหมายไม่ถูกต้องครบถ้วน และมาตรา 11/2 สำหรับการใช้ข้อมูลเกี่ยวกับบุคคลเพื่อกระทำความผิด ซึ่งมีโทษสูงสุดจำคุกไม่เกิน 5 ปี หรือปรับไม่เกิน 500,000 บาท เมื่อมีการซื้อขายข้อมูล

**กำหนดขอบเขตให้ถูกฉบับ**

พระราชกำหนดฉบับนี้กำหนดหน้าที่ด้านการแลกเปลี่ยนข้อมูล การระงับธุรกรรม และความรับผิด แต่ไม่ได้กำหนดรอบ VA หรือ Penetration Testing จึงต้องใช้รอบตามประกาศที่องค์กรอยู่ภายใต้กำกับ เช่น สนช. 1/2564 หรือ สกช. 5/2566 และควรรวม API เชื่อมต่อระบบแลกเปลี่ยนข้อมูล การควบคุมสิทธิ์คำสั่งระงับธุรกรรม และการป้องกันคำสั่งระงับที่ปลอมแปลงไว้ในขอบเขตการทดสอบ

## ธนาคารแห่งประเทศไทย: การบริหารความเสี่ยงระบบปัญญาประดิษฐ์ (AI) - ว. 5994/2568

BANK OF THAILAND / AI RISK MANAGEMENT

แนวนโยบาย ธปท. (รหัสเอกสาร 25680178) เสนอหลักการและแนวทางให้ผู้ให้บริการทางการเงินในขอบเขตนำไปอ้างอิงและประยุกต์ใช้ตามลักษณะการใช้งาน AI

### ขอบเขตและลักษณะความเสี่ยง 3 ด้าน (ข้อ 4.2)

- ใช้กับสถาบันการเงิน สถาบันการเงินเฉพาะกิจ (SFIs) ผู้ประกอบธุรกิจระบบการชำระเงินและบริการการชำระเงินภายใต้การกำกับ
- ความเสี่ยงด้านข้อมูล: คุณภาพข้อมูล ความเป็นปัจจุบัน ความเป็นส่วนตัว และความมั่นคงปลอดภัยเพื่อป้องกันข้อมูลสำคัญหรือข้อมูลส่วนบุคคลรั่วไหล
- ความเสี่ยงด้านการพัฒนาโมเดล: ความสามารถในการอธิบายที่มาของผลลัพธ์ (Explainability) และผลลัพธ์ที่ไม่น่าเชื่อถือ เชิงลบ โน้มเอียง หรือเป็นเท็จ
- ความเสี่ยงด้านภัยคุกคามทางไซเบอร์: รูปแบบการโจมตีเจาะจงกับ AI ได้แก่ Prompt Injection, Model Inversion, Data Poisoning และ Adversarial Attack

### การควบคุมทางเทคนิคและการทดสอบ (ข้อ 4.4)

- แนะนำการป้องกันไม่ให้ระบบ AI แสดงข้อมูลสำคัญที่ไม่พึงเปิดเผยหรือข้อมูลเชิงลบ เช่น ใช้ Content Filtering กับคำสั่งขาเข้าและผลลัพธ์ขาออก
- แนะนำการติดตามประสิทธิภาพและความน่าเชื่อถือก่อนและหลังใช้งานอย่างต่อเนื่อง โดยอาจใช้ Unseen Data, Noise และ Edge Cases; แยกจากการทดสอบรูปแบบการโจมตีอย่างต่อเนื่อง เช่น Data Poisoning หรือ Adversarial Attack
- สำหรับงานตัดสินใจเชิงกลยุทธ์หรืองานที่กระทบลูกค้าโดยตรง อาจพิจารณา Human in the Loop หรือ Human over the Loop ตามความเสี่ยงและผลกระทบ

**การผสานร่วมกับเกณฑ์ IT Risk อื่น**

แนวนโยบายนี้เพิ่มเติมจากหลักเกณฑ์และแนวทาง ธปท. ที่เกี่ยวข้อง เช่น IT Risk, Third Party Risk, Data Governance และ Market Conduct โดยยก FEAT เป็นตัวอย่างหลักการ Responsible AI ที่ยอมรับทั่วไป

## ตารางเปรียบเทียบข้อกำหนดและการทดสอบความปลอดภัย

สรุปรายละเอียดประกาศ บทบัญญัติ และขอบเขตการทดสอบความปลอดภัยที่จำเป็น

| ประกาศ และข้อกำหนด | สาระสำคัญ | ขอบเขตการทดสอบ | รอบเวลาทดสอบ |
| --- | --- | --- | --- |
| **สนช. 1/2564 ข้อ 5.1.6** | VA และ Penetration Testing ของผู้ประกอบธุรกิจระบบการชำระเงิน | VA ทุกระบบตามระดับความเสี่ยง และ Pentest ระบบงานและเครือข่าย Internet-facing | อย่างน้อยปีละ 1 ครั้ง และเมื่อมีการเปลี่ยนแปลงอย่างมีนัยสำคัญ |
| **สกช. 5/2566 เอกสารแนบ 2 ข้อ 6.6 และ 6.7** | VA และ Penetration Testing ของสถาบันการเงินและสถาบันการเงินเฉพาะกิจ | VA ทุกระบบตามระดับความเสี่ยง โดยระบบงานสำคัญอย่างน้อยปีละ 1 ครั้ง และ Pentest ระบบงานและเครือข่าย Internet-facing | อย่างน้อยปีละ 1 ครั้ง และเมื่อมีการเปลี่ยนแปลงอย่างมีนัยสำคัญ |
| **หนังสือเวียน 1252/2562** | แนวทางการทำ iPentest (Threat Intelligence-Led) | ธนาคารพาณิชย์ตามหนังสือเวียน โดยเฉพาะ D-SIB และสถาบันที่มี Cyber Inherent Risk สูง | ตามรอบที่ ธปท. กำหนด ไม่ใช่ข้อบังคับรายปีของทุกสถาบันการเงิน |
| **ประกาศ ธปท. ที่ 4/2568** | Control Baseline ของบริการ Mobile Banking | แอป Mobile Banking การยืนยันตัวตนเพิ่ม และมาตรการกันสวมรอย | เป็นมาตรการควบคุมบริการ ไม่ใช่รอบ Penetration Testing |
| **พ.ร.ก. มาตรการป้องกันและปราบปรามอาชญากรรมทางเทคโนโลยี พ.ศ. 2566 และ (ฉบับที่ 2) พ.ศ. 2568** | การแลกเปลี่ยนข้อมูล การระงับธุรกรรม และความรับผิดร่วมในความเสียหาย | สถาบันการเงิน ผู้ประกอบธุรกิจระบบการชำระเงิน และผู้ประกอบธุรกิจสินทรัพย์ดิจิทัล ระงับธุรกรรมชั่วคราวไม่เกิน 7 วันตามมาตรา 6 แจ้งผู้เสียหายร้องทุกข์ภายใน 72 ชั่วโมงตามมาตรา 7 และปฏิเสธหรือระงับบริการตามรายชื่อที่ ศปอท. แจ้งตามมาตรา 4/2 | ไม่ได้กำหนดรอบ VA หรือ Penetration Testing ให้ใช้รอบตามประกาศที่องค์กรอยู่ภายใต้กำกับ |
| **ว. 5994/2568 (รหัส 25680178)** | แนวนโยบายการบริหารจัดการความเสี่ยงระบบปัญญาประดิษฐ์ (AI) | การใช้งาน AI ของผู้ให้บริการทางการเงินในขอบเขต โดยประยุกต์ส่วนที่เกี่ยวข้องตาม Use Case ทั้งระบบที่พัฒนาเองและของบุคคลภายนอก | ไม่มีรอบตายตัว; แนวนโยบายแนะนำการติดตามความเสี่ยงและประสิทธิภาพ รวมถึงการทดสอบรูปแบบการโจมตีอย่างต่อเนื่องตามการใช้งาน |

### เครื่องมือประเมินความพร้อม

คลิกเลือกรายการที่องค์กรของท่านได้ดำเนินการแล้ว เพื่อคำนวณระดับความพร้อมเบื้องต้น

0%

ยืนยันแล้วว่าองค์กรอยู่ในขอบเขต สนช. 1/2564 หรือประกาศ สกช. 5/2566 ก่อนกำหนดรอบทดสอบ
          
          
            
            ประเมินช่องโหว่ตามระดับความเสี่ยงอย่างน้อยปีละ 1 ครั้ง และเมื่อมีการเปลี่ยนแปลงอย่างมีนัยสำคัญ
          
          
            
            ทดสอบเจาะระบบงานและเครือข่าย Internet-facing โดยผู้เชี่ยวชาญอิสระอย่างน้อยปีละ 1 ครั้งตามประกาศที่ใช้บังคับ
          
          
            
            มีรายงานผลทดสอบและแผนแก้ไขที่ผู้บริหารรับทราบ และบริการ Mobile Banking มีมาตรการตามประกาศ 4/2568 หากอยู่ในขอบเขต

ประเมินความพร้อม

เลือกรายการด้านบนเพื่อประเมินผล

[ปรึกษาผู้เชี่ยวชาญ และขอใบเสนอราคา](/th/#contact)

## คำถามที่พบบ่อย (FAQ)

คำถามและข้อสงสัยสำคัญเกี่ยวกับข้อกำหนดและการตรวจประเมินตามมาตรฐาน

### ธนาคารแห่งประเทศไทย (ธปท.) กำหนดให้ต้องทำ Penetration Testing บ่อยแค่ไหน?

สนช. 1/2564 ข้อ 5.1.6 กำหนดให้ประเมินช่องโหว่ทุกระบบตามระดับความเสี่ยงอย่างน้อยปีละ 1 ครั้ง และทดสอบเจาะระบบ internet-facing โดยผู้เชี่ยวชาญอิสระอย่างน้อยปีละ 1 ครั้ง และเมื่อมีการเปลี่ยนแปลงอย่างมีนัยสำคัญ ส่วนแนวปฏิบัติ iPentest (หนังสือเวียน 1252/2562) เป็นการทดสอบแบบ intelligence-led สำหรับ D-SIB หรือธนาคารที่มี Cyber Inherent Risk สูงภายในปี 2563 ไม่ใช่ข้อกำหนดรายปีสำหรับทุกสถาบันการเงิน

### ระบบใดบ้างที่อยู่ในขอบเขตการทดสอบความปลอดภัยตามเกณฑ์ ธปท.?

ต้องเริ่มจากประกาศที่ใช้บังคับกับองค์กร ผู้ประกอบธุรกิจระบบการชำระเงินตรวจ สนช. 1/2564 ข้อ 5.1.6 ส่วนสถาบันการเงินและสถาบันการเงินเฉพาะกิจตรวจ สกช. 5/2566 เอกสารแนบ 2 ข้อ 6.6 และ 6.7 ซึ่งแยก VA ทุกระบบตามความเสี่ยง โดยระบบงานสำคัญอย่างน้อยปีละ 1 ครั้งและเมื่อเปลี่ยนแปลงสำคัญ ออกจาก Pentest ที่ต้องครอบคลุมอย่างน้อยระบบงานและเครือข่าย Internet-facing ปีละ 1 ครั้งและเมื่อเปลี่ยนแปลงสำคัญ ผู้ทดสอบอาจเป็นผู้เชี่ยวชาญภายในหรือภายนอกที่มีความเป็นอิสระ ไม่ได้กำหนดว่าต้องจ้างภายนอกทุกกรณี ส่วนประกาศ 4/2568 เป็น Control Baseline ของ Mobile Banking ไม่ได้กำหนดรอบ Pentest แยกต่างหาก

## หัวข้อและกฎหมายกำกับดูแลที่เกี่ยวข้อง

- [
                PCI DSS v4.0.1: VA, ASV Scan, Pentest และ Segmentation
                
              ](/th/compliance/pci-dss/)
- [
                แนวปฏิบัติการป้องกันความเสี่ยง ATM จาก Malware ของ ธปท.
                
              ](/th/compliance/bot-atm-malware-guideline/)
- [
                พ.ร.บ.ไซเบอร์ฯ 2562 กับการทดสอบเจาะระบบ
                
              ](/th/compliance/cybersecurity-act/)
- [
                สมาชิก NDID ต้องทำ Penetration Testing อะไรบ้าง
                
              ](/th/compliance/ndid/)

เปิดภาพขนาดเต็มเพื่อซูม

## เอกสารต้นทางฉบับทางการ

ไฟล์ต้นฉบับจากหน่วยงานราชการ โฮสต์ไว้บน sth.sh เพื่อความสะดวก โปรดยึดฉบับล่าสุดจากลิงก์ต้นทางเป็นสำคัญ

[
            
              
              
              ![ตัวอย่างหน้าแรกของประกาศธนาคารแห่งประเทศไทย ที่ สกช. 5/2566 เรื่อง หลักเกณฑ์การกำกับดูแลความเสี่ยงด้านเทคโนโลยีสารสนเทศ](/assets/process/compliance-sources/sth-source-bot-it-risk-skch-5-2566.webp)
            
          ](/assets/documents/sth-source-bot-it-risk-skch-5-2566.pdf)

### ประกาศธนาคารแห่งประเทศไทย ที่ สกช. 5/2566 เรื่อง หลักเกณฑ์การกำกับดูแลความเสี่ยงด้านเทคโนโลยีสารสนเทศ

โดย ธนาคารแห่งประเทศไทย

[เปิดเอกสาร (PDF) ](/assets/documents/sth-source-bot-it-risk-skch-5-2566.pdf)
              [ดาวน์โหลด ](/assets/documents/sth-source-bot-it-risk-skch-5-2566.pdf)
              
              [แหล่งต้นทาง ](https://www.bot.or.th/content/dam/bot/fipcs/documents/FOG/2566/ThaiPDF/25660202.pdf)

[
            
              
              
              ![ตัวอย่างหน้าแรกของหลักเกณฑ์การกำกับดูแลความเสี่ยงด้านเทคโนโลยีสารสนเทศ (สนช. 1/2564)](/assets/process/compliance-sources/sth-source-bot-va-pentest-snch-1-2564.webp)
            
          ](/assets/documents/sth-source-bot-va-pentest-snch-1-2564.pdf)

### หลักเกณฑ์การกำกับดูแลความเสี่ยงด้านเทคโนโลยีสารสนเทศ (สนช. 1/2564)

โดย ธนาคารแห่งประเทศไทย

[เปิดเอกสาร (PDF) ](/assets/documents/sth-source-bot-va-pentest-snch-1-2564.pdf)
              [ดาวน์โหลด ](/assets/documents/sth-source-bot-va-pentest-snch-1-2564.pdf)
              
              [แหล่งต้นทาง ](https://www.bot.or.th/content/dam/bot/fipcs/documents/FOG/2564/ThaiPDF/25640024.pdf)

[
            
              
              
              ![ตัวอย่างหน้าแรกของประกาศธนาคารแห่งประเทศไทย ที่ 4/2568 เรื่อง การรักษาความมั่นคงปลอดภัยของการให้บริการทางการเงินและการชำระเงินบนอุปกรณ์เคลื่อนที่สำหรับสถาบันการเงิน](/assets/process/compliance-sources/sth-source-bot-mobile-banking-1218-2568.webp)
            
          ](/assets/documents/sth-source-bot-mobile-banking-1218-2568.pdf)

### ประกาศธนาคารแห่งประเทศไทย ที่ 4/2568 เรื่อง การรักษาความมั่นคงปลอดภัยของการให้บริการทางการเงินและการชำระเงินบนอุปกรณ์เคลื่อนที่สำหรับสถาบันการเงิน

โดย ธนาคารแห่งประเทศไทย

[เปิดเอกสาร (PDF) ](/assets/documents/sth-source-bot-mobile-banking-1218-2568.pdf)
              [ดาวน์โหลด ](/assets/documents/sth-source-bot-mobile-banking-1218-2568.pdf)
              
              [แหล่งต้นทาง ](https://www.bot.or.th/content/dam/bot/fipcs/documents/FOG/2568/ThaiPDF/25680027.pdf)

[
            
              
              
              ![ตัวอย่างหน้าแรกของแนวปฏิบัติการทดสอบเจาะระบบแบบ Intelligence-led (iPentest หนังสือเวียน 1252/2562)](/assets/process/compliance-sources/sth-source-bot-ipentest-1252-2562.webp)
            
          ](/assets/documents/sth-source-bot-ipentest-1252-2562.pdf)

### แนวปฏิบัติการทดสอบเจาะระบบแบบ Intelligence-led (iPentest หนังสือเวียน 1252/2562)

โดย ธนาคารแห่งประเทศไทย

[เปิดเอกสาร (PDF) ](/assets/documents/sth-source-bot-ipentest-1252-2562.pdf)
              [ดาวน์โหลด ](/assets/documents/sth-source-bot-ipentest-1252-2562.pdf)
              
              [แหล่งต้นทาง ](https://www.bot.or.th/content/dam/bot/fipcs/documents/FOG/2562/ThaiPDF/25620192.pdf)

[
            
              
              
              ![ตัวอย่างหน้าแรกของแนวปฏิบัติการใช้เทคโนโลยีชีวมิติ (Biometric) พ.ศ. 2566](/assets/process/compliance-sources/sth-source-bot-biometric-2566.webp)
            
          ](/assets/documents/sth-source-bot-biometric-2566.pdf)

### แนวปฏิบัติการใช้เทคโนโลยีชีวมิติ (Biometric) พ.ศ. 2566

โดย ธนาคารแห่งประเทศไทย

[เปิดเอกสาร (PDF) ](/assets/documents/sth-source-bot-biometric-2566.pdf)
              [ดาวน์โหลด ](/assets/documents/sth-source-bot-biometric-2566.pdf)
              
              [แหล่งต้นทาง ](https://www.bot.or.th/content/dam/bot/fipcs/documents/FPG/2566/ThaiPDF/25660181.pdf)

[
            
              
              
              ![ตัวอย่างหน้าแรกของแนวนโยบายการบริหารจัดการความเสี่ยงของการใช้งานระบบปัญญาประดิษฐ์ (ธปท. ว. 5994/2568)](/assets/process/compliance-sources/sth-source-bot-ai-risk-management-25680178.webp)
            
          ](/assets/documents/sth-source-bot-ai-risk-management-25680178.pdf)

### แนวนโยบายการบริหารจัดการความเสี่ยงของการใช้งานระบบปัญญาประดิษฐ์ (ธปท. ว. 5994/2568)

โดย ธนาคารแห่งประเทศไทย

[เปิดเอกสาร (PDF) ](/assets/documents/sth-source-bot-ai-risk-management-25680178.pdf)
              [ดาวน์โหลด ](/assets/documents/sth-source-bot-ai-risk-management-25680178.pdf)
              
              [แหล่งต้นทาง ](https://www.bot.or.th/content/dam/bot/fipcs/documents/FOG/2568/ThaiPDF/25680178.pdf)

## ต้องการทำ Pentest ให้สอดคล้องกับข้อกำหนดเหล่านี้?

เล่าขอบเขตระบบและข้อกำหนดที่ต้องปฏิบัติตามให้เราฟัง ทีม STH จะช่วยประเมินแนวทางและจัดทำใบเสนอราคาให้

[ขอใบเสนอราคา Pentest](/th/#contact)

## เอกสาร PDF

[เปิดในแท็บใหม่ ](/th/compliance/bank-of-thailand/)
              [ดาวน์โหลด](/th/compliance/bank-of-thailand/)

อัปเดตล่าสุด 16 ตุลาคม 2569