# พระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 และ Penetration Testing

Locale: `th`

Source: `/th/compliance/cybersecurity-act/`

Summary: พ.ร.บ.ไซเบอร์ฯ 2562 กำหนดหน้าที่ประเมินความเสี่ยงและตรวจสอบแก่หน่วยงาน CII โดยใช้ Pentest เป็นมาตรการทางเทคนิค

สารบัญ

1. [ภาพรวม](/th/compliance/cybersecurity-act/#topic-overview)
2. [การใช้การทดสอบในวงจรประเมินความเสี่ยงไซเบอร์](/th/compliance/cybersecurity-act/#compliance-control-summary)
3. [ตารางเปรียบเทียบข้อกำหนด](/th/compliance/cybersecurity-act/#compliance-matrix)
4. [ประเมินความพร้อม](/th/compliance/cybersecurity-act/#compliance-readiness-checklist)
5. [คำถามที่พบบ่อย](/th/compliance/cybersecurity-act/#compliance-faq)
6. [หัวข้อที่เกี่ยวข้อง](/th/compliance/cybersecurity-act/#related-compliance-frameworks)

# พระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 และ Penetration Testing

กฎหมายกำหนดหน้าที่ด้านการประเมินความเสี่ยงและการตรวจสอบด้านความมั่นคงปลอดภัยไซเบอร์ ส่วน Penetration Testing เป็นวิธีและหลักฐานทางเทคนิคที่อาจใช้สนับสนุน ไม่ใช่การตรวจสอบทั้งหมด

สรุปภาพรวมข้อกำหนด

กลุ่มเป้าหมายที่บังคับใช้

หน่วยงานของรัฐ หน่วยงานควบคุมหรือกำกับดูแล และหน่วยงาน CII ตามมาตรา 49

ความถี่ในการทดสอบ

ประเมินความเสี่ยงและตรวจสอบด้านไซเบอร์อย่างน้อยปีละ 1 ครั้ง (มาตรา 54) ไม่ใช่ข้อบังคับ pentest โดยชื่อ

ขอบเขตการทดสอบ

ระบบสารสนเทศของหน่วยงาน CII ตาม 7 ด้านที่มีชื่อในมาตรา 49 และด้านอื่นที่คณะกรรมการประกาศกำหนดเพิ่มเติม

ความเสี่ยงหากไม่ปฏิบัติตาม

คำสั่งของ กกม. ตามมาตรา 55 และโทษปรับสูงสุด 300,000 บาทพร้อมปรับรายวันตามมาตรา 75 หากไม่ปฏิบัติตามคำสั่ง

## การใช้การทดสอบในวงจรประเมินความเสี่ยงไซเบอร์

กฎหมายกำหนดกรอบการประเมินและตรวจสอบสำหรับหน่วยงานในขอบเขต Penetration Testing ช่วยพิสูจน์ความเสี่ยงทางเทคนิค แต่ไม่แทนกระบวนการกำกับดูแลทั้งหมด

[![วงจรประเมินและตรวจสอบสำหรับหน่วยงาน CII: ระบุบริการและระบบ CII → ประเมินความเสี่ยง → ตรวจสอบความมั่นคงปลอดภัย → ดำเนินการอย่างน้อยปีละครั้ง → ส่งผลสรุป → แก้ไขข้อบกพร่อง](/assets/compliance/guide-cybersecurity-act-compliance-control-summary-th-v1.webp)](/assets/compliance/guide-cybersecurity-act-compliance-control-summary-th-v1.webp)

**วงจรประเมินและตรวจสอบสำหรับหน่วยงาน CII**

มาตรา 54 กำหนดวงจรประเมิน ตรวจสอบ รายงาน และแก้ไขสำหรับหน่วยงาน CII

1. **ระบุบริการและระบบ CII** — กำหนดขอบเขตและระบบสนับสนุน
2. **ประเมินความเสี่ยง** — เชื่อมภัย ช่องโหว่ และผลกระทบ
3. **ตรวจสอบความมั่นคงปลอดภัย** — ใช้ผู้ตรวจสอบภายในหรืออิสระภายนอก
4. **ดำเนินการอย่างน้อยปีละครั้ง** — ใช้รอบตามมาตรา 54
5. **ส่งผลสรุป** — ส่งสำนักงานภายใน 30 วันหลังดำเนินการเสร็จ
6. **แก้ไขข้อบกพร่อง** — ดำเนินการใหม่เมื่อผลไม่เป็นไปตามมาตรฐาน

- ระบุบริการสำคัญ ระบบสนับสนุน และความเชื่อมโยงกับโครงสร้างพื้นฐานก่อนกำหนดขอบเขตการประเมิน
- มาตรา 54 ระบุให้หน่วยงาน CII จัดการประเมินความเสี่ยงและการตรวจสอบด้านความมั่นคงปลอดภัยไซเบอร์อย่างน้อยปีละ 1 ครั้งตามเงื่อนไขของกฎหมาย
- เอกสารประเมินควรเชื่อม threat, vulnerability, impact, control owner และแผนแก้ไข ไม่ยกผล scan หรือ Pentest ออกมาพิจารณาโดยลำพัง
- ยืนยันกรอบรายงานและกำหนดเวลา 30 วันตามการใช้บังคับจริงกับหน่วยงานกำกับหรือสำนักงานที่เกี่ยวข้อง

NATIONAL CYBERSECURITY / RISK & AUDIT

### หน้าที่ตามพระราชบัญญัติ

- มาตรา 44 กำหนดให้หน่วยงานของรัฐ หน่วยงานควบคุมหรือกำกับดูแล และหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ (CII) จัดทำประมวลแนวทางปฏิบัติและกรอบมาตรฐาน โดยอย่างน้อยต้องมีแผนการตรวจสอบและประเมินความเสี่ยงด้านการรักษาความมั่นคงปลอดภัยไซเบอร์ประจำปี
- มาตรา 54 กำหนดให้หน่วยงาน CII จัดให้มีการประเมินความเสี่ยงและการตรวจสอบด้านความมั่นคงปลอดภัยไซเบอร์อย่างน้อยปีละหนึ่งครั้ง และส่งผลสรุปให้สำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติภายในสามสิบวันนับแต่วันที่ดำเนินการแล้วเสร็จ

### บทบาทของ Penetration Testing

- Penetration Testing เป็นหลักฐานทางเทคนิคที่ช่วยสนับสนุนการประเมินความเสี่ยงและการตรวจสอบ แต่ไม่ใช่การตรวจสอบด้านความมั่นคงปลอดภัยไซเบอร์ทั้งหมด
- ประมวลแนวทางปฏิบัติและกรอบมาตรฐาน พ.ศ. 2564 ข้อ 21.3.4 และ 21.3.6 ใช้ถ้อยคำเชิงแนะนำให้พิจารณา Penetration Testing ตามความเสี่ยงและความจำเป็น โดยเน้นบริการสำคัญและระบบที่เชื่อมต่ออินเทอร์เน็ต
- หากดำเนินการ ขอบเขตควรครอบคลุม Host, Network และ Application ที่เกี่ยวข้อง และผู้ทดสอบควรมีความเป็นอิสระจากระบบและกระบวนการที่ถูกทดสอบ

**ขอบเขตข้อกำหนด**

พระราชบัญญัติไม่ได้กำหนดให้ทุกองค์กรต้องทำ Penetration Testing ทุกปี ต้องแยกหน้าที่ตรวจสอบและประเมินความเสี่ยงตามกฎหมายออกจากวิธีทดสอบทางเทคนิคที่เลือกใช้

## ตารางเปรียบเทียบข้อกำหนดและการทดสอบความปลอดภัย

สรุปรายละเอียดประกาศ บทบัญญัติ และขอบเขตการทดสอบความปลอดภัยที่จำเป็น

| ประกาศ และข้อกำหนด | สาระสำคัญ | ขอบเขตการทดสอบ | รอบเวลาทดสอบ |
| --- | --- | --- | --- |
| **มาตรา 49 ถึง 54** | การกำหนดลักษณะหน่วยงาน CII และการประเมินความเสี่ยง | หน่วยงาน CII ตาม 7 ด้านที่มีชื่อในมาตรา 49 และด้านอื่นที่คณะกรรมการประกาศกำหนดเพิ่มเติม | ประเมินความเสี่ยงและตรวจสอบด้านไซเบอร์อย่างน้อยปีละ 1 ครั้ง |
| **ประกาศ กกม. พ.ศ. 2564** | ประมวลแนวทางปฏิบัติและกรอบมาตรฐานด้านการรักษาความมั่นคงปลอดภัยไซเบอร์ | หน่วยงานของรัฐและหน่วยงาน CII ตามกรอบมาตรฐานขั้นต่ำ | ตามรอบประเมินความเสี่ยงและตรวจสอบตามมาตรา 54 |

### เครื่องมือประเมินความพร้อม

คลิกเลือกรายการที่องค์กรของท่านได้ดำเนินการแล้ว เพื่อคำนวณระดับความพร้อมเบื้องต้น

0%

ระบุสินทรัพย์สารสนเทศและจัดทำบัญชีระบบโครงสร้างพื้นฐานสำคัญ (CII) ครบถ้วน
          
          
            
            จัดให้มีการประเมินความเสี่ยงและตรวจสอบด้านไซเบอร์อย่างน้อยปีละ 1 ครั้งตามมาตรา 54
          
          
            
            มีแผนรับมือเหตุภัยคุกคามไซเบอร์ (Incident Response Plan) และซ้อมแผนเป็นประจำ
          
          
            
            จัดส่งผลสรุปรายงานการดำเนินการต่อสำนักงานภายใน 30 วันนับแต่วันที่ดำเนินการแล้วเสร็จตามมาตรา 54

ประเมินความพร้อม

เลือกรายการด้านบนเพื่อประเมินผล

[ปรึกษาผู้เชี่ยวชาญ และขอใบเสนอราคา](/th/#contact)

## คำถามที่พบบ่อย (FAQ)

คำถามและข้อสงสัยสำคัญเกี่ยวกับข้อกำหนดและการตรวจประเมินตามมาตรฐาน

### พ.ร.บ.การรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 บังคับใช้กับหน่วยงานใดบ้าง?

บังคับใช้กับหน่วยงานภาครัฐ หน่วยงานควบคุมหรือกำกับดูแล และหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ (CII) ตามมาตรา 49 ได้แก่ ความมั่นคงของรัฐ บริการภาครัฐที่สำคัญ การเงินการธนาคาร เทคโนโลยีสารสนเทศและโทรคมนาคม การขนส่งและโลจิสติกส์ พลังงานและสาธารณูปโภค สาธารณสุข และด้านอื่นตามที่คณะกรรมการประกาศกำหนดเพิ่มเติม

### หากหน่วยงาน CII ไม่ประเมินความเสี่ยงตามมาตรา 54 หรือไม่ปฏิบัติตามคำสั่งของ กกม. มีบทลงโทษอย่างไร?

มาตรา 54 กำหนดให้ CII ประเมินความเสี่ยงและตรวจสอบด้านความมั่นคงปลอดภัยไซเบอร์อย่างน้อยปีละหนึ่งครั้ง ไม่ใช่ข้อบังคับ pentest โดยชื่อ หากไม่ปฏิบัติตามคำสั่งของ กกม. ตามมาตรา 75 อาจถูกปรับไม่เกิน 300,000 บาท และปรับรายวันไม่เกินวันละ 10,000 บาทจนกว่าจะปฏิบัติให้ถูกต้อง

## หัวข้อและกฎหมายกำกับดูแลที่เกี่ยวข้อง

- [
                มาตรฐานการรักษาความมั่นคงปลอดภัยสำหรับเว็บไซต์ พ.ศ. 2568
                
              ](/th/compliance/ncsa-website-standard/)
- [
                มาตรฐานความมั่นคงปลอดภัยไซเบอร์ระบบคลาวด์ สกมช. พ.ศ. 2567
                
              ](/th/compliance/ncsa-cloud-security-standard/)
- [
                แนวปฏิบัติ Zero Trust ของ สกมช.
                
              ](/th/compliance/ncsa-zero-trust-guidelines/)
- [
                สถาบันการเงินต้องทำ Pentest อะไรบ้างตามหลักเกณฑ์ ธปท.
                
              ](/th/compliance/bank-of-thailand/)

เปิดภาพขนาดเต็มเพื่อซูม

## เอกสารต้นทางฉบับทางการ

ไฟล์ต้นฉบับจากหน่วยงานราชการ โฮสต์ไว้บน sth.sh เพื่อความสะดวก โปรดยึดฉบับล่าสุดจากลิงก์ต้นทางเป็นสำคัญ

[
            
              
              
              ![ตัวอย่างหน้าแรกของประมวลแนวปฏิบัติและกรอบมาตรฐานด้านการรักษาความมั่นคงปลอดภัยไซเบอร์สำหรับหน่วยงาน CII ด้านเทคโนโลยีสารสนเทศและโทรคมนาคม ฉบับวันที่ 7 ธันวาคม 2565](/assets/process/compliance-sources/sth-source-ncsa-cii-code-of-practice-2564.webp)
            
          ](/assets/documents/sth-source-ncsa-cii-code-of-practice-2564.pdf)

### ประมวลแนวปฏิบัติและกรอบมาตรฐานด้านการรักษาความมั่นคงปลอดภัยไซเบอร์สำหรับหน่วยงาน CII ด้านเทคโนโลยีสารสนเทศและโทรคมนาคม ฉบับวันที่ 7 ธันวาคม 2565

โดย สำนักงาน กสทช.

[เปิดเอกสาร (PDF) ](/assets/documents/sth-source-ncsa-cii-code-of-practice-2564.pdf)
              [ดาวน์โหลด ](/assets/documents/sth-source-ncsa-cii-code-of-practice-2564.pdf)
              
              [แหล่งต้นทาง ](https://www.nbtc.go.th/getattachment/law/%E0%B8%9B%E0%B8%A3%E0%B8%B0%E0%B8%A1%E0%B8%A7%E0%B8%A5%E0%B9%81%E0%B8%99%E0%B8%A7%E0%B8%97%E0%B8%B2%E0%B8%87%E0%B8%9B%E0%B8%8E%E0%B8%B4%E0%B8%9A%E0%B8%B1%E0%B8%95%E0%B8%B4%E0%B9%81%E0%B8%A5%E0%B8%B0%E0%B8%81%E0%B8%A3%E0%B8%AD%E0%B8%9A%E0%B8%A1%E0%B8%B2%E0%B8%95%E0%B8%A3%E0%B8%90%E0%B8%B2%E0%B8%99%E0%B8%94%E0%B9%89%E0%B8%B2%E0%B8%99%E0%B8%A3%E0%B8%B1%E0%B8%81%E0%B8%A9%E0%B8%B2%E0%B8%84%E0%B8%A7%E0%B8%B2%E0%B8%A1%E0%B8%9B%E0%B8%A5%E0%B8%AD%E0%B8%94/%E0%B8%9B%E0%B8%A3%E0%B8%B0%E0%B8%A1%E0%B8%A7%E0%B8%A5%E0%B9%81%E0%B8%99%E0%B8%A7%E0%B8%97%E0%B8%B2%E0%B8%87%E0%B8%9B%E0%B8%8E%E0%B8%B4%E0%B8%9A%E0%B8%B1%E0%B8%95%E0%B8%B4%E0%B9%81%E0%B8%A5%E0%B8%B0%E0%B8%81%E0%B8%A3%E0%B8%AD%E0%B8%9A%E0%B8%A1%E0%B8%B2%E0%B8%95%E0%B8%A3%E0%B8%90%E0%B8%B2%E0%B8%99%E0%B8%94%E0%B9%89%E0%B8%B2%E0%B8%99%E0%B8%A3%E0%B8%B1%E0%B8%81%E0%B8%A9%E0%B8%B2%E0%B8%84%E0%B8%A7%E0%B8%B2%E0%B8%A1%E0%B8%9B%E0%B8%A5%E0%B8%AD%E0%B8%94/%E0%B9%80%E0%B8%AD%E0%B8%81%E0%B8%AA%E0%B8%B2%E0%B8%A3%E0%B9%81%E0%B8%99%E0%B8%9A.pdf?lang=th-TH)

[
            
              
              
              ![ตัวอย่างหน้าแรกของพระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562](/assets/process/compliance-sources/sth-source-cybersecurity-act-2562.webp)
            
          ](/assets/documents/sth-source-cybersecurity-act-2562.pdf)

### พระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562

โดย ราชกิจจานุเบกษา

[เปิดเอกสาร (PDF) ](/assets/documents/sth-source-cybersecurity-act-2562.pdf)
              [ดาวน์โหลด ](/assets/documents/sth-source-cybersecurity-act-2562.pdf)
              
              [แหล่งต้นทาง ](https://ratchakitcha.soc.go.th/documents/17082306.pdf)

## ต้องการทำ Pentest ให้สอดคล้องกับข้อกำหนดเหล่านี้?

เล่าขอบเขตระบบและข้อกำหนดที่ต้องปฏิบัติตามให้เราฟัง ทีม STH จะช่วยประเมินแนวทางและจัดทำใบเสนอราคาให้

[ขอใบเสนอราคา Pentest](/th/#contact)

## เอกสาร PDF

[เปิดในแท็บใหม่ ](/th/compliance/cybersecurity-act/)
              [ดาวน์โหลด](/th/compliance/cybersecurity-act/)

อัปเดตล่าสุด 16 ตุลาคม 2569