พระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 และ Penetration Testing
กฎหมายกำหนดหน้าที่ด้านการประเมินความเสี่ยงและการตรวจสอบด้านความมั่นคงปลอดภัยไซเบอร์ ส่วน Penetration Testing เป็นวิธีและหลักฐานทางเทคนิคที่อาจใช้สนับสนุน ไม่ใช่การตรวจสอบทั้งหมด
การใช้การทดสอบในวงจรประเมินความเสี่ยงไซเบอร์
กฎหมายกำหนดกรอบการประเมินและตรวจสอบสำหรับหน่วยงานในขอบเขต Penetration Testing ช่วยพิสูจน์ความเสี่ยงทางเทคนิค แต่ไม่แทนกระบวนการกำกับดูแลทั้งหมด.
- ระบุบริการสำคัญ ระบบสนับสนุน และความเชื่อมโยงกับโครงสร้างพื้นฐานก่อนกำหนดขอบเขตการประเมิน.
- มาตรา 54 ระบุให้หน่วยงาน CII จัดการประเมินความเสี่ยงและการตรวจสอบด้านความมั่นคงปลอดภัยไซเบอร์อย่างน้อยปีละ 1 ครั้งตามเงื่อนไขของกฎหมาย.
- เอกสารประเมินควรเชื่อม threat, vulnerability, impact, control owner และแผนแก้ไข ไม่ยกผล scan หรือ Pentest ออกมาพิจารณาโดยลำพัง.
- ยืนยันกรอบรายงานและกำหนดเวลา 30 วันตามการใช้บังคับจริงกับหน่วยงานกำกับหรือสำนักงานที่เกี่ยวข้อง.
NATIONAL CYBERSECURITY / RISK & AUDIT
กฎหมายกำหนดหน้าที่ด้านการประเมินความเสี่ยงและการตรวจสอบด้านความมั่นคงปลอดภัยไซเบอร์ ส่วน Penetration Testing เป็นวิธีและหลักฐานทางเทคนิคที่อาจใช้สนับสนุน ไม่ใช่การตรวจสอบทั้งหมด
หน้าที่ตามพระราชบัญญัติ
- มาตรา 44 กำหนดให้หน่วยงานของรัฐ หน่วยงานควบคุมหรือกำกับดูแล และหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ (CII) จัดทำประมวลแนวทางปฏิบัติและกรอบมาตรฐาน โดยอย่างน้อยต้องมีแผนการตรวจสอบและประเมินความเสี่ยงด้านการรักษาความมั่นคงปลอดภัยไซเบอร์ประจำปี
- มาตรา 54 กำหนดให้หน่วยงาน CII จัดให้มีการประเมินความเสี่ยงและการตรวจสอบด้านความมั่นคงปลอดภัยไซเบอร์อย่างน้อยปีละหนึ่งครั้ง และส่งผลสรุปให้สำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติภายในสามสิบวันนับแต่วันที่ดำเนินการแล้วเสร็จ
บทบาทของ Penetration Testing
- Penetration Testing เป็นหลักฐานทางเทคนิคที่ช่วยสนับสนุนการประเมินความเสี่ยงและการตรวจสอบ แต่ไม่ใช่การตรวจสอบด้านความมั่นคงปลอดภัยไซเบอร์ทั้งหมด
- ประมวลแนวทางปฏิบัติและกรอบมาตรฐาน พ.ศ. 2564 ข้อ 21.3.4 และ 21.3.6 ใช้ถ้อยคำเชิงแนะนำให้พิจารณา Penetration Testing ตามความเสี่ยงและความจำเป็น โดยเน้นบริการสำคัญและระบบที่เชื่อมต่ออินเทอร์เน็ต
- หากดำเนินการ ขอบเขตควรครอบคลุม Host, Network และ Application ที่เกี่ยวข้อง และผู้ทดสอบควรมีความเป็นอิสระจากระบบและกระบวนการที่ถูกทดสอบ
พระราชบัญญัติไม่ได้กำหนดให้ทุกองค์กรต้องทำ Penetration Testing ทุกปี ต้องแยกหน้าที่ตรวจสอบและประเมินความเสี่ยงตามกฎหมายออกจากวิธีทดสอบทางเทคนิคที่เลือกใช้
ตารางเปรียบเทียบข้อกำหนดและการทดสอบความปลอดภัย
สรุปรายละเอียดประกาศ บทบัญญัติ และขอบเขตการทดสอบความปลอดภัยที่จำเป็น
| ประกาศ และข้อกำหนด | สาระสำคัญ | ขอบเขตการทดสอบ | รอบเวลาทดสอบ |
|---|---|---|---|
| มาตรา 49 ถึง 54 | การกำหนดมาตรฐานขั้นต่ำและการประเมินความเสี่ยง CII | ระบบสารสนเทศโครงสร้างพื้นฐานสำคัญ 7 ด้านหลัก, ระบบควบคุม (OT และ SCADA) | อย่างน้อยปีละ 1 ครั้ง |
| ประกาศ สกมช. 2565 | แนวทางการทดสอบความมั่นคงปลอดภัยไซเบอร์และการแจ้งเหตุภัยคุกคาม | Core Network, Critical Application, Industrial Control Systems | ตามรอบประเมิน สกมช. |
เครื่องมือประเมินความพร้อม
คลิกเลือกรายการที่องค์กรของท่านได้ดำเนินการแล้ว เพื่อคำนวณระดับความพร้อมเบื้องต้น
