# Penetration Testing ตามข้อกำหนดของสำนักงาน ก.ล.ต.

Locale: `th`

Source: `/th/compliance/sec/`

Summary: ข้อกำหนดทดสอบเจาะระบบ ก.ล.ต. สำหรับธุรกิจหลักทรัพย์และสินทรัพย์ดิจิทัล พร้อมลิงก์ประกาศต้นทาง

สารบัญ

1. [ภาพรวม](/th/compliance/sec/#topic-overview)
2. [สิ่งที่ต้องยืนยันกับหลักเกณฑ์ ก.ล.ต. ที่ใช้บังคับ](/th/compliance/sec/#compliance-control-summary)
3. [โครงสร้างประกาศและธุรกิจภายใต้การกำกับ ก.ล.ต.](/th/compliance/sec/#sec-regulatory-framework)
4. [ข้อกำหนด Vulnerability Assessment (ข้อ 8.9)](/th/compliance/sec/#sec-va-requirements)
5. [การทดสอบเจาะระบบ (Penetration Testing) และข้อยกเว้น (ข้อ 8.10)](/th/compliance/sec/#requirements)
6. [ข้อกำหนดธุรกิจสินทรัพย์ดิจิทัลและกรอบเวลารายงาน (ข้อ 18)](/th/compliance/sec/#digital-asset)
7. [ความปลอดภัยกระเป๋าเงินดิจิทัลและ Smart Contract](/th/compliance/sec/#sec-custody-wallets-smart-contracts)
8. [แนวทางปฏิบัติและข้อชี้แจงตาม SEC IT Q&A](/th/compliance/sec/#sec-practical-guidance)
9. [ตารางเปรียบเทียบข้อกำหนด](/th/compliance/sec/#compliance-matrix)
10. [ประเมินความพร้อม](/th/compliance/sec/#compliance-readiness-checklist)
11. [คำถามที่พบบ่อย](/th/compliance/sec/#compliance-faq)
12. [หัวข้อที่เกี่ยวข้อง](/th/compliance/sec/#related-compliance-frameworks)

# Penetration Testing ตามข้อกำหนดของสำนักงาน ก.ล.ต.

สำนักงาน ก.ล.ต. กำหนดการทดสอบเจาะระบบไว้ทั้งสำหรับผู้ประกอบธุรกิจหลักทรัพย์และผู้ประกอบธุรกิจสินทรัพย์ดิจิทัล หน้านี้สรุปข้อกำหนดทั้งสองกลุ่มพร้อมลิงก์ไปยังประกาศต้นทาง

สรุปภาพรวมข้อกำหนด

กลุ่มเป้าหมายที่บังคับใช้

ผู้ประกอบธุรกิจหลักทรัพย์, บริษัทหลักทรัพย์จัดการกองทุน, ตัวแทนซื้อขายสัญญาซื้อขายล่วงหน้า, ศูนย์ซื้อขายสินทรัพย์ดิจิทัล (Crypto Exchange), โบรกเกอร์, ดีลเลอร์, ผู้ให้บริการรับฝากสินทรัพย์ดิจิทัล (Custodial Wallet) และ ICO Portal

ความถี่ในการทดสอบ

แยกรอบ VA ออกจาก Pentest และแยกตามประเภทใบอนุญาต ข้อยกเว้นรอบ Pentest ทุก 3 ปีต้องตรวจคุณสมบัติผู้ประกอบธุรกิจขนาดเล็กตามเกณฑ์ RLA ไม่ใช่สิทธิของ SME ทุกแห่งหรือข้อยกเว้น VA โดยอัตโนมัติ ตรวจเงื่อนไขก่อนเปิดบริการและเมื่อเปลี่ยนแปลงระบบจากประกาศที่ใช้บังคับ

ขอบเขตการทดสอบ

ระบบตามกิจกรรมที่ได้รับอนุญาตและระบบที่ใช้งานจริง เช่น ระบบซื้อขาย Mobile App และ API ส่วน Wallet, HSM/KMS และ Smart Contract ใช้เป็นตัวอย่างเฉพาะธุรกิจที่มีหน้าที่หรือระบบดังกล่าว ไม่ใช่ขอบเขตบังคับเดียวกันสำหรับผู้ประกอบธุรกิจทุกประเภท

ความเสี่ยงหากไม่ปฏิบัติตาม

การถูกสั่งปรับปรุงระบบ การดำเนินการทางปกครอง และการใช้มาตรการตามกฎหมายของสำนักงาน ก.ล.ต.

## สิ่งที่ต้องยืนยันกับหลักเกณฑ์ ก.ล.ต. ที่ใช้บังคับ

กำหนดขอบเขตระบบสำคัญจากประเภทใบอนุญาตและบริการจริง แล้ววางหลักฐานการประเมินช่องโหว่ การทดสอบเจาะระบบ และกรอบเวลารายงานให้สอดคล้องกับประกาศ ก.ล.ต. ฉบับล่าสุด

[![จากประเภทธุรกิจสู่ VA, Pentest และหลักฐาน: ประเภทธุรกิจและระบบสำคัญ, ประเมินช่องโหว่ (VA), ทดสอบเจาะระบบ (Pentest), ผู้ทดสอบเป็นอิสระ, แก้ไขและเก็บหลักฐาน](/assets/compliance/guide-sec-compliance-control-summary-th-v1.webp)](/assets/compliance/guide-sec-compliance-control-summary-th-v1.webp)

**จากประเภทธุรกิจสู่ VA, Pentest และหลักฐาน**

แยก VA จาก Pentest และผูกผลกับเจ้าของ การแก้ไข และหลักฐาน

- **ประเภทธุรกิจและระบบสำคัญ** — กำหนดข้อกำหนดและขอบเขตที่ใช้
- **ประเมินช่องโหว่ (VA)** — ประเมินระบบสำคัญและ Internet-facing
- **ทดสอบเจาะระบบ (Pentest)** — ทดสอบ Application และ Network ตามขอบเขต
- **ผู้ทดสอบเป็นอิสระ** — แยกจากเจ้าของและผู้พัฒนาระบบ
- **แก้ไขและเก็บหลักฐาน** — รายงาน ติดตาม และพร้อมให้ตรวจสอบ

- ภาคผนวก 3 แนบท้ายประกาศ สธ. 38/2565 (แก้ไขโดย สธ. 33/2567) และแนวปฏิบัติ นป. 6/2567 แยกการประเมินช่องโหว่ (VA: ข้อ 8.9) ออกจากการทดสอบเจาะระบบ (Pentest: ข้อ 8.10)
- การประเมินช่องโหว่ต้องครอบคลุมระบบ IT ที่มีนัยสำคัญและระบบ Internet-facing อย่างน้อยปีละ 1 ครั้ง โดยไม่มีข้อผ่อนปรนรอบ 3 ปี รวมถึงองค์กรขนาดเล็ก
- ธุรกิจสินทรัพย์ดิจิทัลตามประกาศ กธ. 19/2561 ข้อ 18 ต้องทำ Pentest ระบบงานสำคัญก่อนเปิดบริการและอย่างน้อยปีละ 1 ครั้ง โดยไม่ได้รับสิทธิผ่อนปรนรอบ 3 ปี
- กรอบเวลาส่งรายงานผล Pentest ของธุรกิจสินทรัพย์ดิจิทัลต้องยื่นต่อ ก.ล.ต. ภายใน 30 วันนับจากวันที่ได้รับรายงานเป็นทางการ และไม่เกิน 90 วันนับจากวันสิ้นสุดการทดสอบ
- ผู้ทดสอบต้องเป็นอิสระจากเจ้าของระบบตามข้อ 8.10.2 ส่วนใบรับรอง เช่น CREST, OSCP หรือ GPEN เป็นคุณสมบัติที่แนวปฏิบัติ นป. 6/2567 แนะนำสำหรับระบบ IT ที่มีนัยสำคัญ

THAI SEC / REGULATORY TAXONOMY

## โครงสร้างประกาศ ก.ล.ต. และการจำแนกประเภทธุรกิจภายใต้การกำกับ

สำนักงาน ก.ล.ต. กำกับดูแลความมั่นคงปลอดภัยด้าน IT ผ่านกฎหมายแม่บทและประกาศหลักเกณฑ์เฉพาะกลุ่มธุรกิจ เพื่อให้ทุกระบบงานที่มีผลต่อทรัพย์สินของลูกค้าและเสถียรภาพตลาดทุนได้รับการปกป้องอย่างเข้มงวด

- ผู้ประกอบธุรกิจหลักทรัพย์ (Securities Companies): บริษัทหลักทรัพย์ (บล.) บริษัทหลักทรัพย์จัดการกองทุน (บลจ.) และที่ปรึกษาการลงทุน อยู่ภายใต้ประกาศ สธ. 38/2565 (แก้ไขเพิ่มเติมโดย สธ. 33/2567 มีผล 1 มกราคม 2568) และแนวปฏิบัติ นป. 6/2567
- ผู้ประกอบธุรกิจสัญญาซื้อขายล่วงหน้า (Derivatives Businesses): ตัวแทนและผู้ค้าสัญญาซื้อขายล่วงหน้าตาม พ.ร.บ.สัญญาซื้อขายล่วงหน้า พ.ศ. 2546 อยู่ภายใต้กรอบการกำกับ IT ของสำนักงานตามประเภทใบอนุญาต
- ผู้ประกอบธุรกิจสินทรัพย์ดิจิทัล (Digital Asset Operators): ศูนย์ซื้อขาย (Exchange) นายหน้า (Broker) ผู้ค้า (Dealer) ผู้จัดการเงินทุน ที่ปรึกษา และผู้ให้บริการรับฝากสินทรัพย์ดิจิทัล (Custodial Wallet Provider) อยู่ภายใต้ พ.ร.ก.สินทรัพย์ดิจิทัลฯ พ.ศ. 2561 และประกาศ กธ. 19/2561
- ผู้ให้บริการระบบเสนอขายโทเคนดิจิทัล (ICO Portal): อยู่ภายใต้ประกาศ กจ. 16/2561 ต้องกลั่นกรองโครงการและสอบทาน Source Code ของ Smart Contract ให้สอดคล้องกับข้อมูลที่เปิดเผย
- ผู้ให้บริการระบบคราวด์ฟันดิง (Crowdfunding Portal): ต้องปฏิบัติตามเกณฑ์ IT ของสำนักงานตามประเภทใบอนุญาตที่ใช้บังคับกับระบบงานที่ให้บริการจริง
- ผู้ให้บริการโครงสร้างพื้นฐานตลาดทุน (Market Infrastructure Operators): ศูนย์รับฝากหลักทรัพย์ (TSD) สำนักหักบัญชี (Clearing House) และศูนย์ซื้อขายหลักทรัพย์ (SET/TFEX) อาจถูกกำหนดเป็นหน่วยงานโครงสร้างพื้นฐานสำคัญ (CII) ที่ต้องปฏิบัติตามทั้งเกณฑ์ ก.ล.ต. และ พ.ร.บ.การรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562

**ข้อกำหนดและแนวทางปฏิบัติ**

ขอบเขตและหน้าที่ทางกฎหมายขึ้นอยู่กับประเภทใบอนุญาตที่ได้รับจาก ก.ล.ต. ควรให้ฝ่าย Compliance และที่ปรึกษากฎหมายยืนยันข้อกำหนดเฉพาะก่อนเริ่มกระบวนการทดสอบ

THAI SEC / VULNERABILITY ASSESSMENT (CLAUSE 8.9)

## ข้อกำหนดการประเมินช่องโหว่ด้านเทคนิค (Vulnerability Assessment: ข้อ 8.9)

ข้อ 8.9 ของภาคผนวก 3 แนบท้ายประกาศ สธ. 38/2565 (แก้ไขโดย สธ. 33/2567) และแนวปฏิบัติ นป. 6/2567 ข้อ 2.8.9 กำหนดให้ประเมินช่องโหว่ทางเทคนิคตามระดับความเสี่ยง

- ขอบเขตบังคับ (Scope): ต้องครอบคลุมระบบ IT ที่มีนัยสำคัญ และระบบ IT ที่เชื่อมต่อเครือข่ายสาธารณะ (Internet-facing) ทุกระบบ
- ความถี่ในการตรวจประเมิน: อย่างน้อยปีละ 1 ครั้ง และทุกครั้งที่มีการเปลี่ยนแปลงอย่างมีนัยสำคัญ เช่น การเปลี่ยนโครงสร้างพื้นฐานของระบบ IT หรือการเพิ่มฟังก์ชันสำคัญ
- ไม่มีข้อยกเว้นรอบ 3 ปีสำหรับ VA: IT Q&A ข้อ 4.8.10.13 ยืนยันว่าองค์กรขนาดเล็กยังต้องประเมินช่องโหว่ของระบบ IT ที่มีนัยสำคัญและระบบ Internet-facing อย่างน้อยปีละ 1 ครั้ง
- ความแตกต่างระหว่าง VA และ Pentest: ตามตารางใน IT Q&A ข้อ 4.8.10.13 การประเมินช่องโหว่ใช้การสแกนเพื่อระบุและจัดระดับความเสี่ยง ส่วน Penetration Testing คือการจำลองการโจมตีเพื่อดูว่าสามารถเข้าถึงระบบได้จริงหรือไม่
- การแก้ไขและการติดตามผล: ประเมินความเสี่ยงของช่องโหว่ที่พบ กำหนดระยะเวลาแก้ไขที่เหมาะสม รายงานต่อผู้รับผิดชอบ และนำเสนอความคืบหน้าต่อคณะกรรมการหรือผู้บริหารที่ได้รับมอบหมาย

**ข้อกำหนดและแนวทางปฏิบัติ**

ผลการประเมินช่องโหว่ต้องนำเข้าสู่กระบวนการบริหารความเสี่ยงด้าน IT และเสนอต่อผู้รับผิดชอบระบบเพื่อติดตามการแก้ไขอย่างเป็นระบบ

THAI SEC / PENETRATION TESTING (CLAUSE 8.10)

## ข้อกำหนดการทดสอบเจาะระบบ (Penetration Testing: ข้อ 8.10) และมาตรฐานผู้ทดสอบ

ข้อ 8.10 ของภาคผนวก 3 แนบท้าย สธ. 38/2565 และแนวปฏิบัติ นป. 6/2567 ข้อ 2.8.10 วางกรอบการทดสอบเจาะระบบ Internet-facing การประเมินความเสี่ยงระบบภายใน ความเป็นอิสระของผู้ทดสอบ และการจัดเก็บรายงาน

- รอบการทดสอบระบบที่เชื่อมต่ออินเทอร์เน็ต (ข้อ 8.10.1): ระบบงานและเครือข่ายที่เชื่อมต่อกับเครือข่ายสาธารณะต้องทดสอบอย่างน้อยปีละ 1 ครั้ง และทุกครั้งที่มีการเปลี่ยนแปลงระบบอย่างมีนัยสำคัญ
- เกณฑ์สำหรับองค์กรขนาดเล็ก: ผู้ประกอบธุรกิจขนาดเล็กตามเกณฑ์ Risk-Level Assessment (RLA) ต้องทดสอบเจาะระบบงานและเครือข่าย Internet-facing อย่างน้อยทุก 3 ปี และทุกครั้งที่มีการเปลี่ยนแปลงอย่างมีนัยสำคัญ ตามแนวปฏิบัติ นป. 6/2567 และ IT Q&A ข้อ 4.8.10.13
- การประเมินระบบเครือข่ายภายใน (Internal Systems): ต้องประเมินความเสี่ยงจากการบุกรุกผ่านเครือข่ายภายใน เพื่อกำหนดขอบเขตการทดสอบเจาะระบบตามความเหมาะสม
- ความเป็นอิสระของผู้ทดสอบ (ข้อ 8.10.2 และ IT Q&A ข้อ 4.8.10.11): ผู้ทดสอบต้องเป็นอิสระจากเจ้าของระบบและทีมพัฒนา เช่น ต้องไม่ใช่ผู้พัฒนาโปรแกรมคนเดียวกัน และไม่อยู่ภายใต้ผู้บังคับบัญชาเดียวกัน
- ใบรับรองที่แนวปฏิบัติแนะนำสำหรับระบบ IT ที่มีนัยสำคัญ (นป. 6/2567 ข้อ 2.8.10): ควรใช้ผู้ทดสอบที่ได้รับประกาศนียบัตรที่เป็นที่ยอมรับ เช่น CREST Registered Penetration Tester, CREST Certified Web Application Tester, CREST Certified Infrastructure Tester, Offensive Security (OSCP, OSWP, OSCE, OSEE, OSWE) หรือ GIAC (GPEN, GWAPT, GXPN, GAWN, GMOB, GCIH) และอาจใช้ใบรับรองอื่นที่เทียบเคียงได้
- การจัดเก็บและนำส่งรายงาน (ข้อ 8.10.4 และ 8.10.5): ต้องเก็บรายงานผลการทดสอบไว้ไม่น้อยกว่า 2 ปี และนำส่งสำนักงาน ก.ล.ต. โดยไม่ชักช้าเมื่อได้รับการแจ้ง

**ข้อกำหนดและแนวทางปฏิบัติ**

รายงานต้องระบุรายชื่อผู้ทดสอบ วันที่ทดสอบ ขอบเขต เครื่องมือและเทคนิคที่ใช้ รายการช่องโหว่ ระดับความเสี่ยง และแผนการแก้ไขป้องกันอย่างครบถ้วน

THAI SEC / DIGITAL ASSET OPERATORS (KORTHOR 19/2561)

## ข้อกำหนดการทดสอบเจาะระบบสำหรับธุรกิจสินทรัพย์ดิจิทัล (ประกาศ กธ. 19/2561 ข้อ 18)

ผู้ประกอบธุรกิจสินทรัพย์ดิจิทัลอยู่ภายใต้เกณฑ์ความมั่นคงปลอดภัยระดับสูงของประกาศ กธ. 19/2561 โดยมีเงื่อนไขการทดสอบก่อนเริ่มให้บริการและกรอบเวลาการรายงานผลที่เคร่งครัด

- การทดสอบก่อนเปิดให้บริการและรอบรายปี (ข้อ 18): ต้องทดสอบเจาะระบบงานสำคัญก่อนเริ่มให้บริการ และภายหลังจากเริ่มให้บริการอย่างน้อยปีละ 1 ครั้ง โดยบุคคลที่เป็นอิสระจากหน่วยงานที่รับผิดชอบด้านเทคโนโลยีสารสนเทศ
- กรอบเวลาการนำส่งรายงานต่อ ก.ล.ต.: ต้องนำส่งรายงานผลการทดสอบต่อสำนักงาน ก.ล.ต. ภายใน 30 วันนับจากวันที่ได้รับผลการทดสอบอย่างเป็นทางการ และต้องไม่เกิน 90 วันนับจากวันที่สิ้นสุดกระบวนการทดสอบ
- ไม่มีสิทธิ์ผ่อนปรนรอบ 3 ปีสำหรับธุรกิจสินทรัพย์ดิจิทัล: เชิงอรรถใน IT Q&A ข้อ 4.8.10.13 ระบุว่าผู้ประกอบธุรกิจสินทรัพย์ดิจิทัลยังต้องทดสอบระบบงานสำคัญอย่างน้อยปีละ 1 ครั้ง แม้ผลการประเมินแบบ RLA จะเป็นองค์กรขนาดเล็ก
- ขอบเขตระบบงานสำคัญ: ให้กำหนดจากบริการจริงที่รองรับทรัพย์สินของลูกค้าและการให้บริการ เช่น ระบบซื้อขาย ระบบรับฝาก ระบบลูกค้า และช่องทางเชื่อมต่อที่เกี่ยวข้อง
- ผลของการไม่ปฏิบัติตาม: สำนักงาน ก.ล.ต. มีอำนาจดำเนินการตาม พ.ร.ก. สินทรัพย์ดิจิทัลฯ และประกาศที่เกี่ยวข้อง หากผู้ประกอบธุรกิจไม่จัดให้มีการทดสอบหรือไม่นำส่งรายงานตามกำหนด

**ข้อกำหนดและแนวทางปฏิบัติ**

ธุรกิจสินทรัพย์ดิจิทัลอยู่ภายใต้การกำกับดูแลของสำนักงาน ก.ล.ต. โดยตรง ไม่ใช่ตลาดหลักทรัพย์แห่งประเทศไทย (SET)

THAI SEC / WALLET CUSTODY AND SMART CONTRACTS

## มาตรฐานความปลอดภัยระบบกระเป๋าเงินดิจิทัล (Wallet Custody) และการสอบทาน Smart Contract

ประกาศ สธ. 44/2565 และแนวปฏิบัติ นป. 8/2565 กำหนดระบบบริหารจัดการกระเป๋าสินทรัพย์ดิจิทัล (Wallet Management) และการบริหารจัดการกุญแจ (Key Management)

- สถาปัตยกรรม Cold Wallet: ระบบเก็บรักษาสินทรัพย์ดิจิทัลที่เชื่อมต่อกับเครือข่ายเมื่อทำธุรกรรมเท่านั้น แยกจาก Hot Wallet ที่เชื่อมต่อเครือข่ายไม่เฉพาะเวลาทำธุรกรรม
- กลไกควบคุมหลายฝ่าย (Multi-Signature): แนวปฏิบัติ นป. 8/2565 ให้แบ่ง Seed หรือข้อมูลกู้คืนกุญแจอย่างน้อย 3 ส่วน โดยผู้เข้าถึงต้องไม่ใช่บุคคลเดียวกัน และทำธุรกรรมไม่ได้โดยบุคคลเดียว
- ความปลอดภัยของกุญแจและ HSM: ควรจำกัดการเข้าถึงกุญแจตามหลักเท่าที่จำเป็น และจัดเก็บกุญแจในอุปกรณ์ที่มีความมั่นคงปลอดภัยสูง เช่น Hardware Security Module (HSM)
- การสอบทาน Smart Contract (ประกาศ กจ. 16/2561): ผู้ให้บริการ ICO Portal ต้องกลั่นกรองโครงการและสอบทาน Source Code ของ Smart Contract ให้สอดคล้องกับข้อมูลที่เปิดเผยก่อนเสนอขายต่อประชาชน

**ข้อกำหนดและแนวทางปฏิบัติ**

ขอบเขตการสอบทาน Smart Contract ต้องสอดคล้องกับข้อมูลที่เปิดเผยในเอกสารเสนอขาย และครอบคลุมตรรกะการโอน ดูแลรักษาทรัพย์สิน และการให้สิทธิผู้ลงทุนตามที่ระบุไว้

THAI SEC / IT Q&A PRACTICAL INTERPRETATIONS

## แนวทางปฏิบัติและข้อชี้แจงตาม IT Q&A ของสำนักงาน ก.ล.ต. ฉบับทางการ

ประมวลข้อวินิจฉัยทางการของ ก.ล.ต. เพื่อไขข้อข้องใจในทางปฏิบัติเกี่ยวกับการทดสอบความปลอดภัยระบบสารสนเทศ

[![จากขอบเขตทดสอบสู่หลักฐาน: กำหนดขอบเขต → ประเมินและทดสอบ → จัดทำรายงาน → ทบทวนและติดตาม](/assets/compliance/sec-test-evidence-th-v1.webp)](/assets/compliance/sec-test-evidence-th-v1.webp)

**จากขอบเขตทดสอบสู่หลักฐาน**

รายงานควรทำให้ผู้รับผิดชอบตามงานต่อได้ ระบุว่าทดสอบอะไร พบอะไร ใครแก้ และจะยืนยันผลอย่างไร ส่วนรอบทดสอบต้องพิจารณาตามข้อกำหนดที่ใช้กับธุรกิจนั้น

1. **กำหนดขอบเขต** — จัดระบบตามความเสี่ยงและการเชื่อมต่อ
2. **ประเมินและทดสอบ** — แยก VA จาก Pentest ที่เป็นอิสระ
3. **จัดทำรายงาน** — ขอบเขต วิธีทดสอบ ผล และแผนแก้ไข
4. **ทบทวนและติดตาม** — มอบหมายเจ้าของงานและติดตามการแก้ไข

- Bug Bounty ไม่สามารถทดแทน Pentest ได้ (IT Q&A ข้อ 4.8.10.1): การเข้าร่วมโครงการ Bug Bounty ไม่ได้รับประกันว่าจะมีผู้ทดสอบหรือรายงานช่องโหว่ครบถ้วนตามขอบเขต จึงยังต้องจัดทำ Penetration Testing ตามรอบที่กำหนด
- เครื่องมือสแกนอัตโนมัติไม่ใช่ Pentest (IT Q&A ข้อ 4.8.10.3): การใช้เครื่องมือสแกน เช่น Web Application Scan ถือเป็นการประเมินช่องโหว่ทางเทคนิคขั้นต้นเท่านั้น ไม่สามารถทดแทนการทดสอบเจาะระบบโดยผู้เชี่ยวชาญได้
- ข้อยกเว้นสำหรับเว็บไซต์ให้ข้อมูลลูกค้า (IT Q&A ข้อ 4.8.10.7): เว็บไซต์ที่ให้ข้อมูลลูกค้า ไม่รองรับการอัปโหลดไฟล์ และไม่รองรับธุรกรรมอิเล็กทรอนิกส์ หากประเมินความเสี่ยงรวมถึงความเสี่ยงด้านชื่อเสียงแล้วยอมรับได้ สามารถขออนุมัติยกเว้นการทำ Pentest ประจำปีจากผู้มีอำนาจขององค์กรได้
- การใช้ผลทดสอบซอฟต์แวร์สำเร็จรูปจากผู้ขาย (IT Q&A ข้อ 4.8.10.4): ใช้ผลการทดสอบของผู้ขายได้เมื่อเป็นผลิตภัณฑ์สำเร็จรูปที่แก้ไขเองไม่ได้ และเมื่อนำมาเชื่อมต่อกับระบบของผู้ประกอบธุรกิจแล้วไม่เกิดช่องโหว่เพิ่มจากสภาพแวดล้อมจริง
- การทดสอบของบริษัทแม่ (IT Q&A ข้อ 4.8.10.12): ใช้ผลการทดสอบของบริษัทแม่ได้หากขอบเขตครอบคลุมระบบ IT ทั้งหมดที่ใช้ในธุรกิจภายใต้ประกาศ สธ. 38/2565 ที่มีการเชื่อมต่ออินเทอร์เน็ต

**ข้อกำหนดและแนวทางปฏิบัติ**

กรณีต้องการยกเว้นหรือปรับเปลี่ยนแนวทางการทดสอบตามข้อชี้แจง ต้องมีเอกสารบันทึกการประเมินความเสี่ยงและมติอนุมัติจากผู้บริหารหรือคณะกรรมการพร้อมให้เจ้าหน้าที่ ก.ล.ต. ตรวจสอบเสมอ

## ตารางเปรียบเทียบข้อกำหนดและการทดสอบความปลอดภัย

สรุปรายละเอียดประกาศ บทบัญญัติ และขอบเขตการทดสอบความปลอดภัยที่จำเป็น

| ประกาศ และข้อกำหนด | สาระสำคัญ | ขอบเขตการทดสอบ | รอบเวลาทดสอบ |
| --- | --- | --- | --- |
| **สธ. 38/2565 ข้อ 8.9** | การประเมินช่องโหว่ด้านเทคนิค (Technical Vulnerability Assessment) | ระบบ IT ที่มีนัยสำคัญ และระบบที่เชื่อมต่อเครือข่ายสาธารณะทุกระบบ | อย่างน้อยปีละ 1 ครั้ง และเมื่อมีการเปลี่ยนแปลงสำคัญ (ไม่มีข้อผ่อนปรน 3 ปี) |
| **สธ. 38/2565 ข้อ 8.10** | การทดสอบเจาะระบบ (Penetration Testing) ของธุรกิจหลักทรัพย์ | ระบบงานและเครือข่ายที่เชื่อมต่อเครือข่ายสาธารณะ (Internet-facing) | อย่างน้อยปีละ 1 ครั้ง (องค์กรขนาดเล็กทดสอบ Internet-facing อย่างน้อยทุก 3 ปี) |
| **กธ. 19/2561 ข้อ 18** | การทดสอบเจาะระบบงานสำคัญของผู้ประกอบธุรกิจสินทรัพย์ดิจิทัล | ระบบงานสำคัญก่อนเริ่มให้บริการและหลังเริ่มให้บริการ | ก่อนเปิดใช้งาน และอย่างน้อยปีละ 1 ครั้ง (รายงานผลภายใน 30 และ 90 วัน) |
| **สธ. 44/2565 และ นป. 8/2565** | การบริหารจัดการกระเป๋าสินทรัพย์ดิจิทัลและกุญแจ (Wallet Management และ Key Management) | Cold Wallet, Hot Wallet, การแบ่ง Seed, HSM, กระแสการกู้คืนกุญแจ | ก่อนเปิดใช้งาน และทบทวนอย่างสม่ำเสมออย่างน้อยปีละ 1 ครั้ง |
| **กจ. 16/2561** | การสอบทาน Source Code ของ Smart Contract สำหรับผู้ให้บริการ ICO Portal | Smart Contract ที่ใช้ในกระบวนการเสนอขาย และข้อมูลที่เปิดเผยต่อผู้ลงทุน | ก่อนเปิดเสนอขายโทเคนดิจิทัลต่อประชาชน |

### เครื่องมือประเมินความพร้อม

คลิกเลือกรายการที่องค์กรของท่านได้ดำเนินการแล้ว เพื่อคำนวณระดับความพร้อมเบื้องต้น

0%

ระบบส่งคำสั่งซื้อขาย (Trading Platform) Matching Engine และ API ได้รับการทดสอบเจาะระบบและประเมินช่องโหว่ครบถ้วน
          
          
            
            ระบบกระเป๋าเงินดิจิทัล (Hot และ Cold Wallet) ระบบบริหารจัดการกุญแจ (KMS/HSM) และกลไก Multi-Signature ได้รับการตรวจสอบความมั่นคงปลอดภัย
          
          
            
            Smart Contract และระบบเสนอขายโทเคนดิจิทัล (ICO Portal) ผ่านการสอบทาน Source Code ให้สอดคล้องกับข้อมูลที่เปิดเผยก่อนเปิดใช้งาน
          
          
            
            ผู้ทดสอบมีความเป็นอิสระและถือใบรับรองมาตรฐานสากลตามเกณฑ์ ก.ล.ต. เช่น CREST, Offensive Security หรือ GIAC
          
          
            
            จัดทำรายงานผลการทดสอบ แผนปรับปรุงแก้ไข (Remediation Plan) และจัดเก็บรายงานไม่น้อยกว่า 2 ปี พร้อมยื่นต่อสำนักงาน ก.ล.ต. ตามกรอบเวลาที่กำหนด

ประเมินความพร้อม

เลือกรายการด้านบนเพื่อประเมินผล

[ปรึกษาผู้เชี่ยวชาญ และขอใบเสนอราคา](/th/#contact)

## คำถามที่พบบ่อย (FAQ)

คำถามและข้อสงสัยสำคัญเกี่ยวกับข้อกำหนดและการตรวจประเมินตามมาตรฐาน

### สำนักงาน ก.ล.ต. กำหนดให้ธุรกิจหลักทรัพย์และสินทรัพย์ดิจิทัลทำ Pentest บ่อยแค่ไหน และมีข้อยกเว้นสำหรับองค์กรขนาดเล็กหรือไม่?

ตามประกาศ สธ. 38/2565 ข้อ 8.10 ผู้ประกอบธุรกิจหลักทรัพย์ต้องทดสอบเจาะระบบ Internet-facing อย่างน้อยปีละ 1 ครั้งและเมื่อมีการเปลี่ยนแปลงสำคัญ องค์กรขนาดเล็กตามเกณฑ์ RLA ทดสอบระบบงานและเครือข่าย Internet-facing อย่างน้อยทุก 3 ปี ตามแนวปฏิบัติ นป. 6/2567 และ IT Q&A ข้อ 4.8.10.13 ส่วนธุรกิจสินทรัพย์ดิจิทัลตามประกาศ กธ. 19/2561 ข้อ 18 ต้องทดสอบระบบงานสำคัญก่อนเปิดบริการและอย่างน้อยปีละ 1 ครั้ง โดยไม่มีสิทธิผ่อนปรนรอบ 3 ปี

### การรัน Vulnerability Scanner หรือการเปิดโครงการ Bug Bounty สามารถทดแทนการทำ Penetration Testing ตามเกณฑ์ ก.ล.ต. ได้หรือไม่?

ไม่สามารถทดแทนได้ ตามข้อชี้แจง IT Q&A ข้อ 4.8.10.1 และ 4.8.10.3 การรัน Scanner จัดเป็นการประเมินช่องโหว่ (VA) เท่านั้น ส่วน Bug Bounty เป็นการเปิดรับรายงานช่องโหว่แบบไม่มีระเบียบวิธีการทดสอบที่ครอบคลุม ทั้งสองวิธีจึงไม่สามารถนำมาใช้อ้างอิงแทนการทดสอบเจาะระบบตามมาตรฐานที่กำหนดได้

### เว็บไซต์ลักษณะใดที่สามารถขออนุมัติยกเว้นการทำ Penetration Testing ประจำปีได้?

ตามข้อชี้แจง IT Q&A ข้อ 4.8.10.7 เว็บไซต์ที่ให้ข้อมูลลูกค้า ไม่รองรับการอัปโหลดไฟล์ และไม่รองรับธุรกรรมอิเล็กทรอนิกส์ หากประเมินความเสี่ยงรวมถึงความเสี่ยงด้านชื่อเสียงแล้วยอมรับได้ ผู้ประกอบธุรกิจสามารถขออนุมัติยกเว้นการทำ Pentest ประจำปีจากผู้มีอำนาจขององค์กรได้ โดยต้องมีหลักฐานการประเมินความเสี่ยง

### ธุรกิจสินทรัพย์ดิจิทัลมีกรอบเวลาในการนำส่งรายงานผลการทดสอบเจาะระบบต่อ ก.ล.ต. อย่างไร?

ตามประกาศ กธ. 19/2561 ข้อ 18 ผู้ประกอบธุรกิจสินทรัพย์ดิจิทัลต้องนำส่งรายงานผลการทดสอบเจาะระบบต่อสำนักงาน ก.ล.ต. ภายใน 30 วันนับจากวันที่ได้รับรายงานผลอย่างเป็นทางการ และต้องไม่เกิน 90 วันนับจากวันที่สิ้นสุดกระบวนการทดสอบ หากไม่ปฏิบัติตามอาจถูกดำเนินการทางปกครองหรือสั่งระงับการให้บริการ

### สามารถใช้ผลการทดสอบเจาะระบบจากผู้พัฒนาซอฟต์แวร์สำเร็จรูป (COTS) หรือผลการทดสอบของกลุ่มบริษัทแม่ในต่างประเทศได้หรือไม่?

ตาม IT Q&A ข้อ 4.8.10.4 สามารถใช้ผลการทดสอบของผู้ขายได้เมื่อเป็นผลิตภัณฑ์สำเร็จรูปที่ผู้ประกอบธุรกิจแก้ไขเองไม่ได้ และเมื่อเชื่อมต่อกับระบบของตนเองแล้วไม่เกิดช่องโหว่เพิ่มจากสภาพแวดล้อมจริง ตามข้อ 4.8.10.12 สามารถใช้ผลของบริษัทแม่ได้หากขอบเขตครอบคลุมระบบ IT ทั้งหมดที่ใช้ในธุรกิจภายใต้ สธ. 38/2565 ที่มีการเชื่อมต่ออินเทอร์เน็ต

## หัวข้อและกฎหมายกำกับดูแลที่เกี่ยวข้อง

- [
                สถาบันการเงินต้องทำ Pentest อะไรบ้างตามหลักเกณฑ์ ธปท.
                
              ](/th/compliance/bank-of-thailand/)
- [
                มาตรฐานความมั่นคงปลอดภัยไซเบอร์ระบบคลาวด์ สกมช. พ.ศ. 2567
                
              ](/th/compliance/ncsa-cloud-security-standard/)
- [
                ISO/IEC 27001:2022 ต้องทำ Penetration Testing ไหม
                
              ](/th/compliance/iso-27001/)
- [
                สมาชิก NDID ต้องทำ Penetration Testing อะไรบ้าง
                
              ](/th/compliance/ndid/)

เปิดภาพขนาดเต็มเพื่อซูม

## เอกสารต้นทางฉบับทางการ

ไฟล์ต้นฉบับจากหน่วยงานราชการ โฮสต์ไว้บน sth.sh เพื่อความสะดวก โปรดยึดฉบับล่าสุดจากลิงก์ต้นทางเป็นสำคัญ

[
            
              
              
              ![ตัวอย่างหน้าแรกของแนวปฏิบัติการรักษาความมั่นคงปลอดภัยด้าน IT สำหรับธุรกิจหลักทรัพย์ (นป. 6/2567 / สธ. 38/2565 / สธ. 33/2567)](/assets/process/compliance-sources/sth-source-sec-pentest.webp)
            
          ](/assets/documents/sth-source-sec-pentest.pdf)

### แนวปฏิบัติการรักษาความมั่นคงปลอดภัยด้าน IT สำหรับธุรกิจหลักทรัพย์ (นป. 6/2567 / สธ. 38/2565 / สธ. 33/2567)

โดย สำนักงาน ก.ล.ต.

[เปิดเอกสาร (PDF) ](/assets/documents/sth-source-sec-pentest.pdf)
              [ดาวน์โหลด ](/assets/documents/sth-source-sec-pentest.pdf)
              
              [แหล่งต้นทาง ](https://publish.sec.or.th/nrs/10474s.pdf)
              [พอร์ทัล สำนักงาน ก.ล.ต. ](https://www.sec.or.th/)

[
            
              
              
              ![ตัวอย่างหน้าแรกของประมวลคำถามและคำตอบด้านเทคโนโลยีสารสนเทศ (SEC IT Q&A: การประเมินช่องโหว่และ Pentest)](/assets/process/compliance-sources/sth-source-sec-it-qa.webp)
            
          ](/assets/documents/sth-source-sec-it-qa.pdf)

### ประมวลคำถามและคำตอบด้านเทคโนโลยีสารสนเทศ (SEC IT Q&A: การประเมินช่องโหว่และ Pentest)

โดย สำนักงาน ก.ล.ต.

[เปิดเอกสาร (PDF) ](/assets/documents/sth-source-sec-it-qa.pdf)
              [ดาวน์โหลด ](/assets/documents/sth-source-sec-it-qa.pdf)
              
              [แหล่งต้นทาง ](https://publish.sec.or.th/nrs/9625p_r.pdf)
              [พอร์ทัล สำนักงาน ก.ล.ต. ](https://www.sec.or.th/)

[
            
              
              
              ![ตัวอย่างหน้าแรกของหลักเกณฑ์ด้านระบบเทคโนโลยีสารสนเทศสำหรับธุรกิจสินทรัพย์ดิจิทัล (ประกาศ กธ. 19/2561 ฉบับประมวล)](/assets/process/compliance-sources/sth-source-sec-digital-asset.webp)
            
          ](/assets/documents/sth-source-sec-digital-asset.pdf)

### หลักเกณฑ์ด้านระบบเทคโนโลยีสารสนเทศสำหรับธุรกิจสินทรัพย์ดิจิทัล (ประกาศ กธ. 19/2561 ฉบับประมวล)

โดย สำนักงาน ก.ล.ต.

[เปิดเอกสาร (PDF) ](/assets/documents/sth-source-sec-digital-asset.pdf)
              [ดาวน์โหลด ](/assets/documents/sth-source-sec-digital-asset.pdf)
              
              [แหล่งต้นทาง ](https://publish.sec.or.th/nrs/8138p_r.pdf)
              [พอร์ทัล สำนักงาน ก.ล.ต. ](https://www.sec.or.th/)

## ต้องการทำ Pentest ให้สอดคล้องกับข้อกำหนดเหล่านี้?

เล่าขอบเขตระบบและข้อกำหนดที่ต้องปฏิบัติตามให้เราฟัง ทีม STH จะช่วยประเมินแนวทางและจัดทำใบเสนอราคาให้

[ขอใบเสนอราคา Pentest](/th/#contact)

## เอกสาร PDF

[เปิดในแท็บใหม่ ](/th/compliance/sec/)
              [ดาวน์โหลด](/th/compliance/sec/)

อัปเดตล่าสุด 16 ตุลาคม 2569