# มาตรฐานและข้อกำหนดที่เกี่ยวข้องกับ Penetration Testing

Locale: `th`

Source: `/th/compliance/`

Summary: สรุปข้อกำหนดของหน่วยงานกำกับดูแลไทย มาตรฐานสากล และกรอบ AI Governance ที่เกี่ยวข้องกับการทดสอบเจาะระบบ โดยอ้างอิงจากเอกสารต้นทางของแต่ละหน่วยงาน

สารบัญ

1. [ภาพรวม](/th/compliance/#topic-overview)
2. [กลุ่มสถาบันการเงิน ธนาคาร และประกันภัย](/th/compliance/#finance-group)
3. [กลุ่มมาตรฐานภาครัฐ สกมช. และกฎหมายไทย](/th/compliance/#ncsa-group)
4. [กลุ่ม AI Governance และความมั่นคงปลอดภัย AI](/th/compliance/#ai-governance-group)
5. [กลุ่มมาตรฐานสากล และ Technical Framework](/th/compliance/#framework-group)

# มาตรฐานและข้อกำหนดที่เกี่ยวข้องกับ Penetration Testing

สรุปข้อกำหนดของหน่วยงานกำกับดูแลไทย มาตรฐานสากล และกรอบ AI Governance ที่เกี่ยวข้องกับการทดสอบเจาะระบบ โดยอ้างอิงจากเอกสารต้นทางของแต่ละหน่วยงาน

เลือกกลุ่มมาตรฐาน:
          [กลุ่มสถาบันการเงิน ธนาคาร และประกันภัย (7)](/th/compliance/#finance-group)
          [กลุ่มมาตรฐานภาครัฐ สกมช. และกฎหมายไทย (9)](/th/compliance/#ncsa-group)
          [กลุ่ม AI Governance และความมั่นคงปลอดภัย AI (6)](/th/compliance/#ai-governance-group)
          [กลุ่มมาตรฐานสากล และ Technical Framework (7)](/th/compliance/#framework-group)

## กลุ่มสถาบันการเงิน ธนาคาร และประกันภัย

มาตรฐานและข้อกำหนดบังคับทดสอบความปลอดภัยสำหรับธนาคารพาณิชย์ บริษัทหลักทรัพย์ สินทรัพย์ดิจิทัล และประกันภัย

- [Penetration Testing ตามหลักเกณฑ์ธนาคารแห่งประเทศไทย](/th/compliance/bank-of-thailand/)
            ธนาคารแห่งประเทศไทยกำหนดการทดสอบความมั่นคงปลอดภัยไว้ในหลายหลักเกณฑ์ ตั้งแต่แนวปฏิบัติการทดสอบเจาะระบบ iPentest ไปจนถึงข้อกำหนดเฉพาะของ Mobile Banking และ e-Money หน้านี้สรุปแต่ละฉบับพร้อมลิงก์ไปยังเอกสารต้นทาง
- [Penetration Testing ตามข้อกำหนดของสำนักงาน ก.ล.ต.](/th/compliance/sec/)
            สำนักงาน ก.ล.ต. กำหนดการทดสอบเจาะระบบไว้ทั้งสำหรับผู้ประกอบธุรกิจหลักทรัพย์และผู้ประกอบธุรกิจสินทรัพย์ดิจิทัล หน้านี้สรุปข้อกำหนดทั้งสองกลุ่มพร้อมลิงก์ไปยังประกาศต้นทาง
- [แนวปฏิบัติการป้องกันความเสี่ยงของระบบ ATM จากโปรแกรม Malware ของ ธปท.](/th/compliance/bot-atm-malware-guideline/)
            สรุปหนังสือ ธปท. ที่ รปท.ฝตส.(03) ว. 1180/2559 ลงวันที่ 26 กันยายน 2559 เรื่องแนวปฏิบัติในการป้องกันความเสี่ยงของระบบ ATM จากโปรแกรม Malware ซึ่งส่งถึงธนาคารพาณิชย์และสถาบันการเงินเฉพาะกิจ เนื้อหาครอบคลุมการคุมกายภาพ Cor
- [ข้อกำหนด Penetration Testing สำหรับสมาชิก NDID](/th/compliance/ndid/)
            NDID คือโครงสร้างพื้นฐานสำหรับพิสูจน์และยืนยันตัวตนดิจิทัลที่เชื่อมผู้ให้บริการในบทบาทต่าง ๆ เข้าด้วยกัน
- [สำนักงานคณะกรรมการกำกับและส่งเสริมการประกอบธุรกิจประกันภัย](/th/compliance/oic/)
            IT Risk พ.ศ. 2563 กำหนดหลักเกณฑ์การกำกับดูแลและบริหารจัดการความเสี่ยงด้านเทคโนโลยีสารสนเทศสำหรับบริษัทประกันชีวิตและบริษัทประกันวินาศภัย
- [PCI DSS v4.0.1: การประเมินช่องโหว่, ASV Scan, Pentest และ Segmentation Testing](/th/compliance/pci-dss/)
            มาตรฐานความมั่นคงปลอดภัยสำหรับองค์กรที่จัดเก็บ ประมวลผล ส่งผ่าน หรืออาจส่งผลต่อความปลอดภัยของข้อมูลบัตรชำระเงิน
- [SWIFT CSP / CSCF v2025/v2026: การตรวจประเมิน KYC-SA และการทดสอบเจาะระบบ](/th/compliance/swift-csp/)
            เจาะลึกมาตรฐานความปลอดภัย SWIFT Customer Security Controls Framework (CSCF v2025/v2026) ทั้ง 32 ข้อกำหนด เกณฑ์การตรวจประเมินอิสระประจำปี และแนวทางการทดสอบ Scope Segmentation ตาม Control 1.1 สำหรับสถาบันการเงิน

## กลุ่มมาตรฐานภาครัฐ สกมช. และกฎหมายไทย

มาตรฐานการรักษาความมั่นคงปลอดภัยไซเบอร์ เว็บไซต์ คลาวด์ AI ซีโร่ทรัสต์ และการคุ้มครองข้อมูลส่วนบุคคล

- [พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และ Penetration Testing](/th/compliance/pdpa/)
            มาตรา 37 กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม โดย Penetration Testing เป็นวิธีหนึ่งในการตรวจสอบประสิทธิผลของการควบคุมทางเทคนิค
- [พระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 และ Penetration Testing](/th/compliance/cybersecurity-act/)
            กฎหมายกำหนดหน้าที่ด้านการประเมินความเสี่ยงและการตรวจสอบด้านความมั่นคงปลอดภัยไซเบอร์ ส่วน Penetration Testing เป็นวิธีและหลักฐานทางเทคนิคที่อาจใช้สนับสนุน ไม่ใช่การตรวจสอบทั้งหมด
- [มาตรฐานการรักษาความมั่นคงปลอดภัยสำหรับเว็บไซต์ พ.ศ. 2568](/th/compliance/ncsa-website-standard/)
            มาตรฐานการรักษาความมั่นคงปลอดภัยสำหรับเว็บไซต์ ครอบคลุม Governance และ Security Operation ของเว็บไซต์ทุกสถาปัตยกรรม
- [มาตรฐานความมั่นคงปลอดภัยไซเบอร์ระบบคลาวด์ของ สกมช. พ.ศ. 2567](/th/compliance/ncsa-cloud-security-standard/)
            สรุปประกาศคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ เรื่อง มาตรฐานด้านการรักษาความมั่นคงปลอดภัยไซเบอร์ระบบคลาวด์ พ.ศ. 2567 (Thailand National Cloud Security Framework) โดยแยกขอบเขตการบังคับใช้ หน้าที่ร่วมของผู้ใ
- [แนวปฏิบัติ AI Security Guidelines ของ สกมช.](/th/compliance/ncsa-ai-security-guidelines/)
            สรุปแนวปฏิบัติการใช้ปัญญาประดิษฐ์อย่างมั่นคงปลอดภัยของ สกมช. สำหรับผู้บริหาร ทีมพัฒนาและปฏิบัติการ AI ฝ่ายกฎหมายและ DPO และฝ่ายความมั่นคงปลอดภัย โดยเรียงตามวงจรชีวิตของระบบและหลักธรรมาภิบาลความเสี่ยง
- [แนวปฏิบัติ Zero Trust ของ สกมช.](/th/compliance/ncsa-zero-trust-guidelines/)
            สรุปแนวปฏิบัติ Zero Trust (Zero Trust Guidelines) ฉบับเผยแพร่ v1.0 ของ สกมช. สำหรับผู้บริหาร ผู้กำหนดนโยบาย ทีมเทคนิค ผู้ดูแลระบบ และวิศวกรความมั่นคงปลอดภัย เพื่อวางแผนเปลี่ยนผ่านจากการป้องกันแบบอาศัยขอบเขตเครือข่ายสู่กา
- [แนวทางเตรียมความพร้อมสำหรับยุคควอนตัมของ สกมช.](/th/compliance/ncsa-post-quantum-readiness/)
            สรุปคำแนะนำเรื่องแนวทางการปฏิบัติการเตรียมความพร้อมสำหรับยุคควอนตัม (Guidelines for Post-Quantum Readiness) ของ สกมช. สำหรับหน่วยงานของรัฐและหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศที่ประมวลผลข้อมูลความลับ โดยเน้นการประเ
- [แนวปฏิบัติการรักษาความมั่นคงปลอดภัยระบบ CCTV และ AI CCTV ของ สกมช. พ.ศ. 2569](/th/compliance/ncsa-cctv-security-guidelines/)
            แนวปฏิบัติ TCSG และ TCSG AI ของ สกมช. ร่วมกับ iCA ครอบคลุมสถาปัตยกรรมป้องกันเชิงลึก 4 ชั้น การกำหนดระดับมาตรการ B, E และ H ตามผลกระทบและความเสี่ยง การตรวจรับทางเทคนิค และหลักฐานการสร้างความเชื่อมั่นที่เลือกใช้ตามบริบท
- [มาตรฐานการพิสูจน์และยืนยันตัวตนดิจิทัลของไทย: ETDA, DGA, IAL, AAL และเกณฑ์ความปลอดภัยแพลตฟอร์ม](/th/compliance/thailand-digital-id/)
            มาตรฐานปัจจุบัน มธอ. 11-2566 เล่ม 1 ว่าด้วยกรอบการทำงาน เล่ม 2 ว่าด้วยการพิสูจน์ตัวตน และเล่ม 3 ว่าด้วยการยืนยันตัวตน ส่วน ขมธอ. 18, 19 และ 20-2566 ถูกยกเลิกเมื่อ 4 กุมภาพันธ์ 2569 ให้เลือกความน่าเชื่อถือตามผลกระทบของบริ

## กลุ่ม AI Governance และความมั่นคงปลอดภัย AI

กรอบกำกับดูแลการพัฒนาและใช้งาน AI ในองค์กร ครอบคลุมระบบบริหารความเสี่ยง Threat Model, AI Red Teaming และ Control สำหรับ AI Agent

- [ISO/IEC 42001:2023 คืออะไร และใช้ Pentest พิสูจน์ความพร้อมของ AIMS อย่างไร](/th/compliance/iso-42001-ai-management/)
            หากองค์กรใช้ AI ใน Production นโยบายเพียงอย่างเดียวไม่พอ หน้านี้สรุป ISO/IEC 42001:2023 และ ISO/IEC 23894:2023 พร้อมวิธีเปลี่ยนความเสี่ยงให้เป็นหลักฐานจาก AI Pentest และ Red Teaming ที่ผู้บริหารและผู้ตรวจประเมินใช้ตัดสิน
- [NIST AI Risk Management Framework (AI RMF 1.0) คืออะไร และเปลี่ยนความเสี่ยง GenAI ให้เป็นแผนทดสอบอย่างไร](/th/compliance/nist-ai-rmf/)
            NIST AI RMF ช่วยตอบคำถามที่ผู้บริหารถามก่อนใช้ AI ว่าระบบเสี่ยงอะไร วัดอย่างไร และใครต้องตัดสินใจ หน้านี้สรุป AI RMF 1.0, NIST AI 600-1 และวิธีใช้ AI Red Teaming สร้างหลักฐานแทนความมั่นใจจาก Demo
- [MITRE ATLAS คืออะไร และใช้วางแผน AI Red Teaming อย่างไร](/th/compliance/mitre-atlas/)
            ผู้โจมตีระบบ AI ไม่ได้หยุดที่ Prompt Injection แต่โจมตีตั้งแต่ Dataset, Model, RAG, Agent Tool ไปจนถึง Cloud Infrastructure หน้านี้เปลี่ยน MITRE ATLAS จาก Matrix ขนาดใหญ่ให้เป็นแผนทดสอบและหลักฐานการตรวจจับที่นำไปใช้ได้จร
- [Google Secure AI Framework (SAIF 2.0) คืออะไร และใช้ป้องกัน AI Agent อย่างไร](/th/compliance/google-saif/)
            SAIF เปลี่ยนคำว่า AI Security ให้เป็นแผนที่ของ Risk, Component และ Control ตั้งแต่ Data ไปจนถึง Agent หน้านี้สรุป 6 Core Element, SAIF Risk Map, แนวทางใหม่ของ SAIF 2.0 และจุดที่ AI Red Teaming ต้องพิสูจน์ก่อนระบบสร้างผลก
- [กรอบธรรมาภิบาลและการกำกับดูแล AI ของไทย: ธปท., ETDA, สกมช. และการทดสอบ AI ทางเทคนิค](/th/compliance/thai-ai-governance/)
            เอกสาร 25680178 เป็นแนวนโยบายให้ผู้ให้บริการทางการเงินนำไปอ้างอิงและประยุกต์ใช้ตามลักษณะการใช้งาน AI ไม่ใช่ข้อบังคับ Pentest ต่อเนื่องสำหรับทุกองค์กร
- [วิศวกรรมความมั่นคงปลอดภัยใน AI-Native SDLC: ควบคุม AI Coding Agent ป้องกัน Context Poisoning และ Sandbox Evasion](/th/compliance/ai-native-sdlc/)
            คู่มือนี้อ้าง Anthropic AI-Native SDLC Playbook และเอกสารความปลอดภัยของเครื่องมือ AI Coding Agent เพื่อเสนอการควบคุมตามความเสี่ยง ไม่ใช่กฎหมายหรือการรับรองมาตรฐาน

## กลุ่มมาตรฐานสากล และ Technical Framework

กรอบการทำงานและมาตรฐานสากลสำหรับการประเมินความเสี่ยง การทดสอบเจาะระบบ และสถาปัตยกรรมความปลอดภัย

- [OWASP Top 10: เว็บ มือถือ API LLM และ Agentic](/th/compliance/owasp-top-10/)
            สำรวจกรอบความปลอดภัย OWASP Top 10 ฉบับล่าสุดแยกตามประเภทเทคโนโลยี โดยสรุป 10 หมวดความเสี่ยงสำคัญ แนวทางการทดสอบ ภาพแผนผังอธิบาย และลิงก์ไปยังเอกสารทางการของ OWASP
- [OWASP ASVS 5.0: คู่มือเกณฑ์มาตรฐานการตรวจสอบความมั่นคงปลอดภัยแอปพลิเคชัน](/th/compliance/owasp-asvs/)
            คู่มือเชิงเทคนิคฉบับสมบูรณ์สำหรับ OWASP Application Security Verification Standard (ASVS) 5.0 โครงสร้างการตรวจสอบระดับ L1 ถึง L3 ทั้ง 17 หมวดความปลอดภัย และการบูรณาการเข้ากับวงจร Secure SDLC และการทดสอบเจาะระบบ
- [ISO/IEC 27001:2022 และการทดสอบเจาะระบบ](/th/compliance/iso-27001/)
            มาตรฐาน ISO/IEC 27001:2022 กำหนดกรอบระบบบริหารจัดการความมั่นคงปลอดภัยสารสนเทศ (ISMS) โดยการประเมินช่องโหว่และการทดสอบเจาะระบบเป็นมาตรการสำคัญในการยืนยันประสิทธิผลของการควบคุมทางเทคนิคตาม Annex A.8.8 และสนับสนุนข้อกำหนดหล
- [MITRE ATT&CK v19.2: ทุก Enterprise Tactic สำหรับ Pentest และ Red Team](/th/compliance/mitre-attack/)
            หน้านี้รวบรวมกรอบความรู้ Enterprise ATT&CK v19.2 สำหรับเชื่อมโยงพฤติกรรมของภัยคุกคามจริงเข้ากับการประเมินความมั่นคงปลอดภัย การทดสอบเจาะระบบ และ Red Team ตามขอบเขตที่ได้รับอนุญาต สินทรัพย์สำคัญ และระดับความเสี่ยงขององค์กร
- [MPA Content Security v5.3.1 และข้อกำหนด Penetration Testing สำหรับอุตสาหกรรมบันเทิง](/th/compliance/mpa-content-security/)
            เจาะลึกมาตรฐาน Motion Picture Association (MPA) Content Security Best Practices v5.3.1 ระบบ TPN Shield สี่ระดับ และข้อกำหนด Penetration Testing (Control TS-4.1) สำหรับสตูดิโอ ผู้ให้บริการงานตัดต่อ VFX และห่วงโซ่อุปทานสื่
- [SOC 2 Type II: ข้อกำหนด Penetration Testing และการตรวจประเมินสำหรับ SaaS](/th/compliance/soc-2/)
            คู่มือเจาะลึกมาตรฐาน AICPA SOC 2 Type II เกณฑ์ Trust Services Criteria CC4.1 และ CC7.1 สำหรับการประเมินช่องโหว่และการทดสอบเจาะระบบประจำปี พร้อมแนวทางการเตรียมหลักฐานสำหรับผู้สอบบัญชี CPA
- [IEC 62443: ความมั่นคงปลอดภัยไซเบอร์อุตสาหกรรม (OT/ICS) และการทำ Pentest โดยไม่กระทบการผลิต](/th/compliance/iec-62443/)
            เจาะลึกมาตรฐาน ISA/IEC 62443 สถาปัตยกรรม Purdue Model และระเบียบวิธีการทดสอบเจาะระบบโรงงานและระบบควบคุมอัตโนมัติ (OT / ICS / SCADA) โดยยึดหลักความปลอดภัยทางกายภาพและไม่รบกวนกระบวนการผลิต

## ต้องการทำ Pentest ให้สอดคล้องกับข้อกำหนดเหล่านี้?

เล่าขอบเขตระบบและข้อกำหนดที่ต้องปฏิบัติตามให้เราฟัง ทีม STH จะช่วยประเมินแนวทางและจัดทำใบเสนอราคาให้

[ขอใบเสนอราคา Pentest](/th/#contact)

อัปเดตล่าสุด 16 ตุลาคม 2569