# สำนักงานคณะกรรมการกำกับและส่งเสริมการประกอบธุรกิจประกันภัย

Locale: `th`

Source: `/th/compliance/oic/`

Summary: IT Risk พ.ศ. 2563 กำหนดหลักเกณฑ์การกำกับดูแลและบริหารจัดการความเสี่ยงด้านเทคโนโลยีสารสนเทศสำหรับบริษัทประกันชีวิตและบริษัทประกันวินาศภัย

สารบัญ

1. [ภาพรวม](/th/compliance/oic/#topic-overview)
2. [การทดสอบเจาะระบบและการบริหารความเสี่ยง IT ตามประกาศ คปภ.](/th/compliance/oic/#compliance-control-summary)
3. [ตารางเปรียบเทียบข้อกำหนด](/th/compliance/oic/#compliance-matrix)
4. [ประเมินความพร้อม](/th/compliance/oic/#compliance-readiness-checklist)
5. [คำถามที่พบบ่อย](/th/compliance/oic/#compliance-faq)
6. [หัวข้อที่เกี่ยวข้อง](/th/compliance/oic/#related-compliance-frameworks)

# สำนักงานคณะกรรมการกำกับและส่งเสริมการประกอบธุรกิจประกันภัย

IT Risk พ.ศ. 2563 กำหนดหลักเกณฑ์การกำกับดูแลและบริหารจัดการความเสี่ยงด้านเทคโนโลยีสารสนเทศสำหรับบริษัทประกันชีวิตและบริษัทประกันวินาศภัย

สรุปภาพรวมข้อกำหนด

กลุ่มเป้าหมายที่บังคับใช้

บริษัทประกันชีวิตและบริษัทประกันวินาศภัยตามประกาศด้าน IT พ.ศ. 2563 ของแต่ละประเภท นายหน้าประกันภัยและผู้ให้บริการ InsurTech ต้องตรวจข้อกำหนดที่ใช้กับบทบาทของตนแยกต่างหาก

ความถี่ในการทดสอบ

ทดสอบเจาะระบบ Internet-facing โดยผู้เชี่ยวชาญภายนอกอย่างสม่ำเสมอ หรือทุกครั้งที่มีการเปลี่ยนแปลงระบบอย่างมีนัยสำคัญ (ข้อ 21(6))

ขอบเขตการทดสอบ

ระบบออกกรมธรรม์ออนไลน์, แอปพลิเคชันรับแจ้งเคลม, Web Portal ลูกค้าและตัวแทน, Insurance API, Core Database

ความเสี่ยงหากไม่ปฏิบัติตาม

การเข้าตรวจสอบพิเศษจาก คปภ., คำสั่งปรับปรุงระบบเร่งด่วน และความเสี่ยงถูกสั่งระงับการให้บริการ

## การทดสอบเจาะระบบและการบริหารความเสี่ยง IT ตามประกาศ คปภ.

ประกาศ คปภ. กำหนดให้บริษัทประกันภัยต้องจัดให้มีผู้เชี่ยวชาญภายนอกทดสอบเจาะระบบ Internet-facing ควบคู่กับการบริหารจัดการช่องโหว่และแผนจัดการความเสี่ยง (Risk Treatment Plan)

[![การทดสอบและการจัดการความเสี่ยง IT ตามเกณฑ์ คปภ.: สินทรัพย์และความสำคัญ → บริหารช่องโหว่ → Pentest โดยผู้เชี่ยวชาญภายนอก → จัดการความเสี่ยง → ติดตามและรายงาน](/assets/compliance/guide-oic-compliance-control-summary-th-v1.webp)](/assets/compliance/guide-oic-compliance-control-summary-th-v1.webp)

**การทดสอบและการจัดการความเสี่ยง IT ตามเกณฑ์ คปภ.**

ผลทดสอบต้องเข้าสู่ Risk Treatment การติดตาม และการรายงานของบริษัท

1. **สินทรัพย์และความสำคัญ** — ระบุระบบงาน ข้อมูล และโครงสร้างพื้นฐาน
2. **บริหารช่องโหว่** — ดำเนินการตามระดับความเสี่ยง
3. **Pentest โดยผู้เชี่ยวชาญภายนอก** — ทดสอบ Application และ Network ที่เป็น Internet-facing
4. **จัดการความเสี่ยง** — กำหนดเจ้าของ แผน และความเสี่ยงที่เหลือ
5. **ติดตามและรายงาน** — ส่งผลให้ผู้บริหารและกระบวนการตรวจสอบ

- จัดทำบัญชีทรัพย์สินสารสนเทศและการจัดระดับความสำคัญของ Core Insurance System, Customer และ Agent Portal, Mobile Application, Insurance API ตลอดจนโครงสร้างพื้นฐานสำคัญ
- ข้อ 21(6) กำหนดให้จัดให้มีผู้เชี่ยวชาญจากภายนอกทดสอบเจาะระบบ (Penetration Testing) บน Application และ Network ที่เป็น Internet-facing อย่างสม่ำเสมอ หรือทุกครั้งที่มีการเปลี่ยนแปลงระบบอย่างมีนัยสำคัญ
- เชื่อมโยงผลการทดสอบเข้าสู่กระบวนการประเมินความเสี่ยง (Risk Assessment) โดยส่งต่อข้อค้นพบไปยังผู้รับผิดชอบมาตรการควบคุม (Control Owner), แผนจัดการความเสี่ยง (Risk Treatment), กำหนดเวลาแล้วเสร็จ และหลักฐาน Retest เพื่อยืนยันประสิทธิผลของ Control
- นำผลการประเมินความเสี่ยงและหลักฐานการทดสอบความปลอดภัยเสนอต่อคณะกรรมการบริหารความเสี่ยงและคณะกรรมการบริษัท เพื่อรองรับการตรวจสอบด้าน IT ประจำปี (IT Audit ตามข้อ 34 และ 35)

OFFICE OF INSURANCE COMMISSION / IT RISK

### ข้อกำหนดการทดสอบเจาะระบบและการบริหารความเสี่ยง IT ของ คปภ.

- ใช้บังคับกับบริษัทประกันชีวิตและบริษัทประกันวินาศภัยภายใต้การกำกับของสำนักงาน คปภ. เพื่อวางกรอบ IT Governance, Information Asset Management, IT Risk Management และ Cybersecurity Control ที่เหมาะสม
- ข้อ 21(6) กำหนดชัดเจนให้จัดให้มีผู้เชี่ยวชาญจากภายนอกทำหน้าที่ทดสอบเจาะระบบ (Penetration Testing) โดยเฉพาะระบบงาน (Application) และระบบเครือข่าย (Network) ที่มีการเชื่อมต่อกับระบบเครือข่ายสื่อสารสาธารณะ (Internet-facing) อย่างสม่ำเสมอ หรือทุกครั้งที่มีการเปลี่ยนแปลงระบบอย่างมีนัยสำคัญ
- ต้องดำเนินการควบคู่กับการบริหารจัดการช่องโหว่ (Vulnerability Management) และการติดตามเฝ้าระวังภัยคุกคาม (Security Monitoring) ตามระดับความเสี่ยง โดยเลือกขอบเขตจาก Information Asset Inventory และผลการประเมินความเสี่ยง (Risk Assessment)
- ระบบสำคัญที่ต้องครอบคลุม ได้แก่ ระบบออกกรมธรรม์ออนไลน์, แอปพลิเคชันรับแจ้งเคลม, Customer และ Agent Portal, Mobile Application, Insurance API, External-facing System ตลอดจน Core Insurance System และฐานข้อมูลผู้เอาประกันภัย
- ผลการทดสอบต้องเชื่อมโยงเข้าสู่แผนจัดการความเสี่ยง (Risk Treatment Plan) กำหนดผู้รับผิดชอบมาตรการควบคุม (Control Owner) และจัดเก็บหลักฐานการทดสอบซ้ำ (Retest) เพื่อรายงานต่อคณะกรรมการบริษัทและรองรับการตรวจสอบ IT Audit ประจำปี

**สาระสำคัญตามประกาศ คปภ.**

ประกาศ คปภ. กำหนดให้ทดสอบเจาะระบบ Internet-facing โดยผู้เชี่ยวชาญภายนอกอย่างสม่ำเสมอหรือเมื่อมี Significant Change โดยผลการทดสอบเชิงเทคนิคจะทำหน้าที่เป็นหลักฐานยืนยันประสิทธิผลของมาตรการควบคุม เพื่อประกอบการบริหารความเสี่ยงด้าน IT และการตรวจสอบระบบสารสนเทศประจำปี

## ตารางเปรียบเทียบข้อกำหนดและการทดสอบความปลอดภัย

สรุปรายละเอียดประกาศ บทบัญญัติ และขอบเขตการทดสอบความปลอดภัยที่จำเป็น

| ประกาศ และข้อกำหนด | สาระสำคัญ | ขอบเขตการทดสอบ | รอบเวลาทดสอบ |
| --- | --- | --- | --- |
| **ประกาศ คปภ. พ.ศ. 2563 ข้อ 21(6)** | การทดสอบเจาะระบบงานและเครือข่าย Internet-facing โดยผู้เชี่ยวชาญภายนอก | ระบบออกกรมธรรม์ออนไลน์, แอปพลิเคชันรับแจ้งเคลม, Web Portal, Insurance API, Core Database | อย่างสม่ำเสมอ หรือเมื่อมีการเปลี่ยนแปลงมีนัยสำคัญ |
| **หมวด 4 และหมวด 6 (ข้อ 28, 29 และ 34)** | การประเมินความเสี่ยง การจัดทำ Risk Treatment Plan และการตรวจสอบด้าน IT ประจำปี | การประเมินความเสี่ยง IT, การทดสอบระบบที่ Outsource (ข้อ 23), การส่งผลทดสอบให้คณะกรรมการและผู้ตรวจสอบอิสระ | ตรวจสอบด้าน IT อย่างน้อยปีละ 1 ครั้ง |

### เครื่องมือประเมินความพร้อม

คลิกเลือกรายการที่องค์กรของท่านได้ดำเนินการแล้ว เพื่อคำนวณระดับความพร้อมเบื้องต้น

0%

จัดให้มีผู้เชี่ยวชาญจากภายนอกทดสอบเจาะระบบ (External Penetration Testing) บน Application และ Network ที่เป็น Internet-facing อย่างสม่ำเสมอ หรือเมื่อมี Significant Change (ข้อ 21(6))
          
          
            
            มีกระบวนการและเครื่องมือบริหารจัดการช่องโหว่ (Vulnerability Management) รวมถึงการติดตามเฝ้าระวังภัยคุกคาม (Security Monitoring) และการสอบทาน Log สม่ำเสมอ (ข้อ 21(5) และ 21(6))
          
          
            
            จัดทำบัญชีทรัพย์สินสารสนเทศ การจำแนก Network Zone การควบคุม Remote Access และการเข้ารหัสข้อมูลสำคัญตามชั้นความลับ (ข้อ 17, 19 และ 20)
          
          
            
            เชื่อมโยงผลการทดสอบสู่แผนจัดการความเสี่ยง (Risk Treatment Plan) โดยกำหนด Control Owner ชัดเจน และรายงานผลต่อคณะกรรมการเพื่อรองรับการตรวจ IT Audit ประจำปี (ข้อ 29 และ 34)

ประเมินความพร้อม

เลือกรายการด้านบนเพื่อประเมินผล

[ปรึกษาผู้เชี่ยวชาญ และขอใบเสนอราคา](/th/#contact)

## คำถามที่พบบ่อย (FAQ)

คำถามและข้อสงสัยสำคัญเกี่ยวกับข้อกำหนดและการตรวจประเมินตามมาตรฐาน

### ประกาศ คปภ. กำหนดให้บริษัทประกันภัยต้องทดสอบ Penetration Testing อย่างไร?

ประกาศ คปภ. พ.ศ. 2563 ข้อ 21(6) (ทั้งฉบับประกันชีวิตและประกันวินาศภัย) กำหนดให้บริษัทต้องจัดให้มีผู้เชี่ยวชาญจากภายนอกทำหน้าที่ทดสอบเจาะระบบ (Penetration Testing) โดยเฉพาะระบบงาน (Application) และระบบเครือข่าย (Network) ที่มีการเชื่อมต่อกับระบบเครือข่ายสื่อสารสาธารณะ (Internet-facing) อย่างสม่ำเสมอ หรือทุกครั้งที่มีการเปลี่ยนแปลงระบบอย่างมีนัยสำคัญ พร้อมทั้งต้องมีการบริหารจัดการช่องโหว่ (Vulnerability Management) ตามระดับความเสี่ยง

### หากเกิดเหตุระบบประกันภัยขัดข้องหรือถูกโจมตีทางไซเบอร์โดยไม่ได้ทดสอบความปลอดภัย มีผลกระทบอย่างไร?

คปภ. มีอำนาจสั่งการให้หยุดปรับปรุงระบบฉุกเฉิน ออกหนังสือเตือนทางกฎหมาย เข้าตรวจสอบกิจการเป็นกรณีพิเศษ และอาจสั่งระงับการให้บริการระบบที่พบปัญหาจนกว่าจะแก้ไขและมีรายงานผลการทดสอบยืนยันความปลอดภัย

## หัวข้อและกฎหมายกำกับดูแลที่เกี่ยวข้อง

- [
                สถาบันการเงินต้องทำ Pentest อะไรบ้างตามหลักเกณฑ์ ธปท.
                
              ](/th/compliance/bank-of-thailand/)
- [
                PDPA กำหนดให้ทำ Penetration Testing หรือไม่
                
              ](/th/compliance/pdpa/)
- [
                มาตรฐานความมั่นคงปลอดภัยไซเบอร์ระบบคลาวด์ สกมช. พ.ศ. 2567
                
              ](/th/compliance/ncsa-cloud-security-standard/)
- [
                PCI DSS v4.0.1: VA, ASV Scan, Pentest และ Segmentation
                
              ](/th/compliance/pci-dss/)

เปิดภาพขนาดเต็มเพื่อซูม

## เอกสารต้นทางฉบับทางการ

ไฟล์ต้นฉบับจากหน่วยงานราชการ โฮสต์ไว้บน sth.sh เพื่อความสะดวก โปรดยึดฉบับล่าสุดจากลิงก์ต้นทางเป็นสำคัญ

[
            
              
              
              ![ตัวอย่างหน้าแรกของประกาศ คปภ. ด้านการบริหารความเสี่ยงเทคโนโลยีสารสนเทศ (ประกันชีวิต)](/assets/process/compliance-sources/sth-source-oic-it-risk-1.webp)
            
          ](/assets/documents/sth-source-oic-it-risk-1.pdf)

### ประกาศ คปภ. ด้านการบริหารความเสี่ยงเทคโนโลยีสารสนเทศ (ประกันชีวิต)

โดย สำนักงาน คปภ.

[เปิดเอกสาร (PDF) ](/assets/documents/sth-source-oic-it-risk-1.pdf)
              [ดาวน์โหลด ](/assets/documents/sth-source-oic-it-risk-1.pdf)
              
              [แหล่งต้นทาง ](https://oiceservice.oic.or.th/document/Law/file/11389/11389_3956dee0c06add1ae53b1e3ce8a3e3c4.pdf)

[
            
              
              
              ![ตัวอย่างหน้าแรกของประกาศ คปภ. ด้านการบริหารความเสี่ยงเทคโนโลยีสารสนเทศ (ประกันวินาศภัย)](/assets/process/compliance-sources/sth-source-oic-it-risk-2.webp)
            
          ](/assets/documents/sth-source-oic-it-risk-2.pdf)

### ประกาศ คปภ. ด้านการบริหารความเสี่ยงเทคโนโลยีสารสนเทศ (ประกันวินาศภัย)

โดย สำนักงาน คปภ.

[เปิดเอกสาร (PDF) ](/assets/documents/sth-source-oic-it-risk-2.pdf)
              [ดาวน์โหลด ](/assets/documents/sth-source-oic-it-risk-2.pdf)
              
              [แหล่งต้นทาง ](https://oiceservice.oic.or.th/document/Law/file/11390/11390_1ac51c44586c17267e2c56dde4914c39.pdf)

## ต้องการทำ Pentest ให้สอดคล้องกับข้อกำหนดเหล่านี้?

เล่าขอบเขตระบบและข้อกำหนดที่ต้องปฏิบัติตามให้เราฟัง ทีม STH จะช่วยประเมินแนวทางและจัดทำใบเสนอราคาให้

[ขอใบเสนอราคา Pentest](/th/#contact)

## เอกสาร PDF

[เปิดในแท็บใหม่ ](/th/compliance/oic/)
              [ดาวน์โหลด](/th/compliance/oic/)

อัปเดตล่าสุด 16 ตุลาคม 2569