- การจำแนกประเภทหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ (Critical Information Infrastructure: CII): ตามพระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 มาตรา 49 มาตรา 52 และมาตรา 53 ในเรื่องมาตรฐานขั้นต่ำและการแต่งตั้งผู้รับผิดชอบ บริษัทเป้าหมายที่เป็น CII มีหน้าที่ต้องปฏิบัติตามมาตรฐานความปลอดภัยขั้นต่ำ แจ้งรายชื่อและข้อมูลการติดต่อของเจ้าของกรรมสิทธิ์ ผู้ครอบครองคอมพิวเตอร์ และผู้ดูแลระบบคอมพิวเตอร์ซึ่งต้องเป็นผู้รับผิดชอบในการบริหารงานของหน่วยงาน (ตัวบทไม่ได้กำหนดตำแหน่ง CISO ไว้โดยตรง) และพร้อมรับมือภัยคุกคามไซเบอร์ 3 ระดับ คือ ไม่ร้ายแรง ร้ายแรง และวิกฤต โดยทั้งหน้าที่รายงานภัยคุกคามและโทษที่เกี่ยวข้องอยู่ในพระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 มาตรา 57 และมาตรา 73 ทั้งนี้ หน้าที่ใดเป็นบทบัญญัติของพระราชบัญญัติ และหน้าที่ใดมาจากประกาศหรือแนวปฏิบัติ ต้องตรวจจากตัวบทฉบับทางการ ผู้ซื้อต้องตรวจสอบว่าบริษัทเป้าหมายถูกประกาศเป็น CII หรือไม่
- หน้าที่รายงานเหตุละเมิดข้อมูลส่วนบุคคล (Data Breach Notification): ผู้ควบคุมข้อมูลส่วนบุคคลต้องแจ้งเหตุการละเมิดแก่สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) โดยไม่ชักช้าภายในเจ็ดสิบสองชั่วโมงนับแต่ทราบเหตุเท่าที่จะสามารถกระทำได้ เว้นแต่การละเมิดไม่มีความเสี่ยงที่จะกระทบสิทธิและเสรีภาพของบุคคล และต้องแจ้งเจ้าของข้อมูลพร้อมแนวทางเยียวยาด้วยหากมีความเสี่ยงสูง ตาม พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 37 (4) ทั้งนี้ ผู้ควบคุมข้อมูลส่วนบุคคลที่ไม่แจ้งเหตุการละเมิดตามมาตรา 37 (4) ต้องระวางโทษปรับทางปกครองไม่เกิน 3 ล้านบาท (มาตรา 83) ส่วนเพดาน 5 ล้านบาทใช้กับการฝ่าฝืนเกี่ยวกับข้อมูลส่วนบุคคลตามมาตรา 26 (มาตรา 84 และมาตรา 87) และคณะกรรมการผู้เชี่ยวชาญต้องคำนึงถึงความร้ายแรงของพฤติกรรมและขนาดกิจการก่อนสั่งปรับ (มาตรา 90) นอกจากนี้ ผู้ควบคุมข้อมูลส่วนบุคคลมีความรับผิดทางแพ่งตามมาตรา 77 โดยศาลมีอำนาจสั่งให้จ่ายค่าสินไหมทดแทนเพื่อการลงโทษเพิ่มขึ้นจากค่าสินไหมทดแทนที่แท้จริงได้ตามที่เห็นสมควร แต่ไม่เกินสองเท่าของค่าสินไหมทดแทนที่แท้จริงนั้น (มาตรา 78) ซึ่งเป็นส่วนที่เพิ่มขึ้นจากค่าสินไหมทดแทนที่แท้จริง ยอดรวมจึงอาจสูงถึงสามเท่า
- ความเสี่ยงการถูกฝัง Ransomware และ Shadow IT ที่ไม่เคยรายงาน: ผู้ซื้อควรตรวจสอบ Log การเข้าถึงระบบย้อนหลังอย่างน้อย 180 วัน (เป็นแนวปฏิบัติของ LAS มิใช่ข้อกำหนดตามกฎหมาย) เพื่อป้องกันการเข้าซื้อกิจการที่ถูกแทรกซึมระบบไว้รอการโจมตี (Compromised Entity) ซึ่งอาจส่งผลต่อมูลค่ากิจการอย่างรุนแรง ทั้งนี้ หากบริษัทเป้าหมายเป็นผู้ให้บริการตามมาตรา 3 แห่งพระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ พ.ศ. 2550 ต้องเก็บรักษาข้อมูลจราจรทางคอมพิวเตอร์ไว้ไม่น้อยกว่าเก้าสิบวันนับแต่วันที่ข้อมูลนั้นเข้าสู่ระบบคอมพิวเตอร์ และในกรณีจำเป็น พนักงานเจ้าหน้าที่อาจสั่งให้เก็บรักษาไว้เกินเก้าสิบวันแต่ไม่เกินสองปีเป็นกรณีพิเศษเฉพาะรายและเฉพาะคราว อนึ่ง หน้าที่ดังกล่าวจะใช้กับผู้ให้บริการประเภทใด อย่างไร และเมื่อใด ให้เป็นไปตามที่รัฐมนตรีประกาศในราชกิจจานุเบกษา (มาตรา 26)
สถานการณ์ที่ผู้ประกอบการมักพบจริง
- ในระหว่างการเจรจาเข้าซื้อกิจการเทคโนโลยีหรือบริษัทที่มีฐานข้อมูลลูกค้าขนาดใหญ่ ผู้ซื้อ (Buyer) มักให้ความสำคัญกับเพียงทรัพย์สินทางปัญญาและงบการเงิน ทว่าจุดพลิกผันที่พบบ่อยคือ "ระเบิดเวลา" ที่ซ่อนอยู่ในระบบ IT เช่น การที่บริษัทเป้าหมายเคยถูกโจมตีทางไซเบอร์แต่ฝ่าย IT เลือกที่จะ "ปกปิด" หรือจัดการภายในโดยไม่ได้รายงานต่อหน่วยงานกำกับดูแลตามกฎหมาย PDPA หรือกฎหมายว่าด้วยการรักษาความมั่นคงปลอดภัยไซเบอร์ บทความนี้จะช่วยให้ผู้ประกอบการเข้าใจถึงความเสี่ยงของการรับช่วงต่อความรับผิด (Liability Transfer) และวิธีการตรวจสอบสถานะเพื่อไม่ให้การลงทุนกลายเป็นภาระทางกฎหมายในภายหลัง
ภูมิทัศน์กฎหมายความมั่นคงปลอดภัยไซเบอร์และการคุ้มครองข้อมูลส่วนบุคคลของไทย
ปัจจุบันประเทศไทยใช้ระบบกฎหมายความมั่นคงไซเบอร์คู่ขนานกันระหว่าง พ.ร.บ.การรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 ซึ่งเน้นที่ความเสี่ยงต่อความมั่นคงของรัฐและโครงสร้างพื้นฐาน และ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) ซึ่งเน้นที่สิทธิและความปลอดภัยของข้อมูลรายบุคคล การทำ Due Diligence จึงต้องครอบคลุมทั้งสองมิติเพื่อประเมินความพร้อมของระบบและการปฏิบัติตามคำสั่งของหน่วยงานกำกับดูแล
ผลกระทบเชิงธุรกิจ Business Consequences
การละเลยการตรวจสอบด้านไซเบอร์นำไปสู่ผลกระทบที่รุนแรง ได้แก่:
- ค่าปรับทางปกครอง: การไม่แจ้งเหตุการละเมิดตามมาตรา 37 (4) แห่ง พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ต้องระวางโทษปรับทางปกครองไม่เกิน 3 ล้านบาท (มาตรา 83) ส่วนเพดาน 5 ล้านบาทใช้กับการฝ่าฝืนเกี่ยวกับข้อมูลส่วนบุคคลตามมาตรา 26 (มาตรา 84 และมาตรา 87) และคณะกรรมการผู้เชี่ยวชาญต้องคำนึงถึงความร้ายแรงของพฤติกรรมและขนาดกิจการก่อนสั่งปรับ (มาตรา 90)
- ผลต่อการประกอบกิจการของหน่วยงานโครงสร้างพื้นฐานสำคัญ: สำหรับหน่วยงาน CII หากไม่สามารถรักษามาตรฐานความปลอดภัย หน่วยงานควบคุมหรือกำกับดูแลต้องแจ้งให้แก้ไขให้ได้มาตรฐาน และหากยังเพิกเฉยต้องส่งเรื่องให้คณะกรรมการกำกับดูแลด้านความมั่นคงปลอดภัยไซเบอร์พิจารณาตามที่ พ.ร.บ.การรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 มาตรา 53 กำหนด
- คดีแบบกลุ่ม (Class Action): ความเสียหายต่อข้อมูลลูกค้าจำนวนมากอาจนำไปสู่การฟ้องร้องเรียกค่าเสียหายโดยผู้เสียหายรวมกลุ่มกัน โดยเจ้าของข้อมูลเรียกค่าสินไหมทดแทนได้ตามมาตรา 77 และมาตรา 78 แห่ง พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ส่วนการดำเนินคดีแบบกลุ่มเป็นไปตามประมวลกฎหมายวิธีพิจารณาความแพ่ง มาตรา 222/8 ซึ่งให้โจทก์ซึ่งเป็นสมาชิกกลุ่มในคดีละเมิด คดีผิดสัญญา หรือคดีเรียกร้องสิทธิตามกฎหมายต่าง ๆ ที่มีสมาชิกกลุ่มจำนวนมาก ร้องขอให้ดำเนินคดีแบบกลุ่มได้
กรอบกฎหมายและ Claim Ledger Legal Framework
| Claim ID | Legal Provision | Subject Matter | Key Liability |
|---|---|---|---|
| C-INVEST-07-01 | พระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 มาตรา 53 | หน้าที่ของหน่วยงาน CII | การไม่ปฏิบัติตามมาตรฐานขั้นต่ำ (ตามพระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 มาตรา 53 หน่วยงานควบคุมหรือกำกับดูแลแจ้งให้แก้ไขให้ได้มาตรฐาน และหากเพิกเฉยต้องส่งเรื่องให้คณะกรรมการกำกับดูแลด้านความมั่นคงปลอดภัยไซเบอร์พิจารณา ซึ่งมาตราดังกล่าวมิได้กำหนดโทษปรับไว้) |
| C-INVEST-07-02 | พระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 มาตรา 46 และมาตรา 52 | การแต่งตั้งผู้รับผิดชอบ | ต้องมี CISO และทีมตอบโต้เหตุการณ์ (พระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 มาตรา 46 กำหนดให้แจ้งรายชื่อเจ้าหน้าที่ระดับบริหารและระดับปฏิบัติการเพื่อประสานงานด้านการรักษาความมั่นคงปลอดภัยไซเบอร์ไปยังสำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ และมาตรา 52 กำหนดให้แจ้งรายชื่อเจ้าของกรรมสิทธิ์ ผู้ครอบครองคอมพิวเตอร์ และผู้ดูแลระบบคอมพิวเตอร์ แต่ตัวบทไม่ได้กำหนดตำแหน่ง CISO ไว้โดยตรง จึงต้องตรวจว่าตำแหน่งดังกล่าวมีฐานตามประกาศหรือไม่) |
| C-INVEST-07-03 | พระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 มาตรา 57 | การรายงานภัยคุกคาม | โทษปรับไม่เกินสองแสนบาทหากหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศไม่รายงานเหตุภัยคุกคามทางไซเบอร์ที่เกิดขึ้นอย่างมีนัยสำคัญต่อระบบของตนโดยไม่มีเหตุอันสมควร (พระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 มาตรา 73) |
| C-INVEST-07-04 | พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 37 (4) | หน้าที่รายงานเหตุละเมิด | ต้องแจ้ง สคส. โดยไม่ชักช้าภายใน 72 ชั่วโมงนับแต่ทราบเหตุเท่าที่จะสามารถกระทำได้ เว้นแต่การละเมิดไม่มีความเสี่ยงที่จะกระทบสิทธิและเสรีภาพของบุคคล (หากมีความเสี่ยงสูงต้องแจ้งเจ้าของข้อมูลพร้อมแนวทางเยียวยาด้วย) |
| C-INVEST-07-05 | พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 77 และมาตรา 78 | ความรับผิดทางแพ่งและค่าสินไหมทดแทนเพื่อการลงโทษ | ศาลมีอำนาจสั่งให้จ่ายค่าสินไหมทดแทนเพื่อการลงโทษเพิ่มขึ้นจากค่าสินไหมทดแทนที่แท้จริงได้ตามที่เห็นสมควร แต่ไม่เกินสองเท่าของค่าสินไหมทดแทนที่แท้จริงนั้น (มาตรา 78) |
การตรวจสถานะ CII Status
ผู้ซื้อต้องตรวจสอบว่าบริษัทเป้าหมายจัดอยู่ในด้านโครงสร้างพื้นฐานสำคัญทางสารสนเทศด้านใดด้านหนึ่งหรือไม่ ตามประกาศของคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (กมช.) ตามพระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 มาตรา 49 ซึ่งกำหนดด้านไว้เจ็ดด้าน ได้แก่ ด้านความมั่นคงของรัฐ ด้านบริการภาครัฐที่สำคัญ ด้านการเงินการธนาคาร ด้านเทคโนโลยีสารสนเทศและโทรคมนาคม ด้านการขนส่งและโลจิสติกส์ ด้านพลังงานและสาธารณูปโภค และด้านสาธารณสุข และให้คณะกรรมการประกาศกำหนดด้านอื่นเพิ่มเติมได้ ทั้งนี้ ด้านที่ประกาศเพิ่มเติมและลักษณะหน่วยงานในแต่ละด้านต้องตรวจจากประกาศฉบับที่ใช้บังคับ [ต้องยืนยันแหล่งที่มา] หากเข้าข่าย บริษัทจะต้องมีแผนรับมือภัยคุกคาม 3 ระดับ และผ่านการ Audit ประจำปี ทั้งนี้ ต้องตรวจว่าหน้าที่ดังกล่าวเป็นบทบัญญัติของพระราชบัญญัติหรือมาจากประกาศหรือแนวปฏิบัติ ส่วนการตรวจสอบด้านความมั่นคงปลอดภัยไซเบอร์อย่างน้อยปีละหนึ่งครั้ง ทั้งโดยผู้ตรวจสอบภายในหรือผู้ตรวจสอบอิสระภายนอก เป็นหน้าที่ตามพระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 มาตรา 54
การตรวจสอบประวัติเหตุการณ์ละเมิดข้อมูลส่วนบุคคล Data Breach History
การตรวจสอบต้องมุ่งเน้นไปที่บันทึกเหตุการณ์ (Incident Logs) และการปฏิบัติตามเงื่อนไข 72 ชั่วโมง หากพบว่าเคยมีการรั่วไหลแต่ไม่มีการแจ้ง สคส. (ซึ่งต้องแจ้งเมื่อการละเมิดมีความเสี่ยงที่จะกระทบสิทธิและเสรีภาพของบุคคล) หรือไม่ได้แจ้งเจ้าของข้อมูลส่วนบุคคลในกรณีที่การละเมิดมีความเสี่ยงสูง (มาตรา 37 (4)) ในการซื้อหุ้น ความรับผิดยังคงอยู่กับบริษัทเป้าหมายซึ่งเป็นผู้ควบคุมข้อมูล และผู้ซื้อรับผลกระทบทางเศรษฐกิจ ส่วนในการควบรวมบริษัท บริษัทที่ควบรวมย่อมรับความรับผิดของบริษัทเดิมทั้งหมด (ประมวลกฎหมายแพ่งและพาณิชย์ มาตรา 1243)
การตรวจประเมินสัญญาจ้าง Third-party Cloud/IT Vendors และสิทธิการตรวจสอบ Audit Rights
บริษัทเป้าหมายส่วนใหญ่ใช้บริการ Cloud หรือ Outsource IT การทำ Due Diligence ต้องตรวจสอบว่าสัญญาเหล่านั้นมีข้อความคุ้มครองเรื่องการรักษาความลับ และให้สิทธิแก่บริษัท (และผู้ซื้อในอนาคต) ในการเข้าตรวจสอบ (Right to Audit) ระบบรักษาความปลอดภัยของผู้ให้บริการหรือไม่ ทั้งนี้ ผู้ประมวลผลข้อมูลส่วนบุคคลมีหน้าที่แจ้งเหตุการละเมิดให้ผู้ควบคุมข้อมูลส่วนบุคคลทราบ (มาตรา 40 (2)) และผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่ดำเนินการเพื่อป้องกันมิให้ผู้รับข้อมูลใช้หรือเปิดเผยข้อมูลโดยปราศจากอำนาจหรือโดยมิชอบ (มาตรา 37 (2)) สัญญาจึงควรกำหนดระยะเวลาแจ้งเหตุที่สั้นพอให้ผู้ควบคุมแจ้งสำนักงานทันภายใน 72 ชั่วโมง
LAS Practice Note: การออกแบบข้อรับรองความถูกต้อง (Rep & Warranties) และข้อสัญญาชดใช้ความเสียหายเฉพาะเจาะจง (Specific Indemnity) เรื่องไซเบอร์ในสัญญา SPA
ในการร่างสัญญาซื้อขายหุ้น (SPA) ควรระบุ:
- Representations: รับรองว่าระบบ IT ปราศจาก Malware/Ransomware และไม่มีเหตุละเมิดข้อมูลที่ยังไม่ได้รายงานในรอบ 24 เดือนที่ผ่านมา
- Specific Indemnity: กำหนดให้ผู้ขายต้องชดใช้ค่าเสียหายและค่าปรับทั้งหมดที่เกิดจากเหตุการณ์ไซเบอร์ที่เกิดขึ้น "ก่อน" วันปิดรายการ แม้จะถูกตรวจพบในภายหลังก็ตาม
ข้อต่อสู้ของผู้ขายกับผู้ซื้อ Devil's Advocate
- มุมมองผู้ขาย: มักอ้างว่าระบบมีความปลอดภัยตามมาตรฐานสากล (ISO 27001) และความผิดพลาดส่วนบุคคลของพนักงานเป็นเหตุสุดวิสัยที่ไม่ควรนำมาลดราคาขาย
- มุมมองผู้ซื้อ: มาตรฐาน ISO เป็นเพียงกระบวนการ แต่ความรับผิดตามกฎหมายไทย (พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และ พ.ร.บ.การรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562) เป็นหน้าที่ตามพระราชบัญญัติซึ่งไม่สามารถละเว้นได้ ความเสี่ยงจาก "Shadow IT" ที่ฝ่ายบริหารไม่ทราบถือเป็นความบกพร่องของระบบควบคุมภายใน นอกจากนี้ ความผิดพลาดของพนักงานมิใช่เหตุสุดวิสัย และมาตรา 77 กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลต้องรับผิด ไม่ว่าการดำเนินการนั้นจะเกิดจากการกระทำโดยจงใจหรือประมาทเลินเล่อหรือไม่ก็ตาม เว้นแต่จะพิสูจน์ได้ว่าเข้าข้อยกเว้น ข้อยกเว้นมีเพียงเหตุสุดวิสัย การกระทำหรือละเว้นการกระทำของเจ้าของข้อมูลเอง และการปฏิบัติตามคำสั่งของเจ้าหน้าที่ตามกฎหมาย ส่วนการมีมาตรฐาน ISO 27001 มิใช่ข้อยกเว้น เพราะมาตรา 37 (1) กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสมตามมาตรฐานขั้นต่ำที่คณะกรรมการประกาศกำหนด
ตัวอย่างสถานการณ์จำลอง Worked Example
บริษัท A เข้าซื้อกิจการ Fintech แห่งหนึ่ง ในขั้นตอน Due Diligence พบว่ามีบุคคลภายนอกเข้าถึงฐานข้อมูลโดยไม่ได้รับอนุญาตได้สำเร็จเมื่อ 4 เดือนก่อน ซึ่งกระทบข้อมูลลูกค้า 50,000 รายการ (ข้อเท็จจริงสมมติ) แต่บริษัทเป้าหมายยังไม่ได้แจ้ง สคส. เนื่องจากประเมินว่า "ไม่มีความเสี่ยงสูง" ทั้งนี้ มาตรา 37 (4) ยกเว้นการแจ้งสำนักงานเฉพาะกรณีที่การละเมิดไม่มีความเสี่ยงที่จะกระทบสิทธิและเสรีภาพของบุคคลเท่านั้น ความเสี่ยงที่ไม่ถึงระดับสูงจึงยังต้องแจ้งสำนักงาน (เพียงแต่ไม่ต้องแจ้งเจ้าของข้อมูล) และกำหนดเจ็ดสิบสองชั่วโมงได้ล่วงเลยไปแล้ว การลดราคาหรือการกันเงินไว้ในบัญชีกลางจึงไม่ระงับหน้าที่แจ้งเหตุของบริษัทเป้าหมาย
- Action: ผู้ซื้อกำหนดให้บริษัทเป้าหมายประเมินความเสี่ยงและแจ้งสำนักงานตามมาตรา 37 (4) ก่อนปิดดีลเป็นเงื่อนไขบังคับก่อน พร้อมเจรจาลดราคา (Price Adjustment) กำหนดให้มี Escrow Holdback (กันเงินค่าซื้อขายส่วนหนึ่งไว้ในบัญชีกลาง) เป็นเวลา 1 ปี เพื่อรองรับค่าปรับหรือการฟ้องร้องที่อาจตามมา และกำหนดข้อสัญญาชดใช้ความเสียหายเฉพาะเจาะจง (Specific Indemnity)
Checklist 10 จุดตรวจ Cybersecurity & Data Breach Due Diligence
- ตรวจสอบว่าบริษัทได้รับการประกาศเป็นหน่วยงาน CII หรือไม่
- ขอดูผังองค์กรและการแต่งตั้ง CISO หรือเจ้าหน้าที่รับผิดชอบด้านไซเบอร์
- ตรวจสอบนโยบายการรักษาความมั่นคงปลอดภัยสารสนเทศ (ISMS)
- ตรวจสอบ Incident Log ย้อนหลังอย่างน้อย 180 วัน (แนวปฏิบัติของ LAS)
- ตรวจสอบประวัติการแจ้งเหตุละเมิดข้อมูลส่วนบุคคลต่อ สคส.
- ประเมินความพร้อมของแผนเผชิญเหตุ (Business Continuity Plan - BCP)
- ตรวจสอบการทำ Penetration Testing ครั้งล่าสุด
- ตรวจสอบรายการทรัพย์สินทางสารสนเทศ (IT Asset Inventory) เพื่อหา Shadow IT
- ตรวจสอบสัญญา Data Processing Agreement (DPA) กับ Outsource ว่ากำหนดให้ผู้ประมวลผลข้อมูลแจ้งเหตุละเมิดแก่ผู้ควบคุมข้อมูลภายในเวลาที่สั้นพอให้ทันกำหนด 72 ชั่วโมง (มาตรา 40 (2))
- ตรวจสอบกรมธรรม์ประกันภัยไซเบอร์ (Cyber Insurance)
คำถามที่พบบ่อย Frequently Asked Questions
อ้างอิง — References
- พระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 มาตรา 46 มาตรา 49 มาตรา 52 มาตรา 53 มาตรา 54 มาตรา 57 มาตรา 67 มาตรา 68 และมาตรา 73
- พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 26 มาตรา 37 มาตรา 40 มาตรา 77 มาตรา 78 มาตรา 83 มาตรา 84 มาตรา 87 และมาตรา 90
- ประกาศคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ เรื่อง หลักเกณฑ์การกำหนดลักษณะหน่วยงาน CII (ต้องระบุปี พ.ศ. และเลขราชกิจจานุเบกษา) [ต้องยืนยันแหล่งที่มา]
- ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์และวิธีการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล (ต้องระบุปี พ.ศ. และเลขราชกิจจานุเบกษา) [ต้องยืนยันแหล่งที่มา]
- ประมวลกฎหมายแพ่งและพาณิชย์ มาตรา 1243
- พระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ พ.ศ. 2550 มาตรา 3 และมาตรา 26 (หน้าที่ของผู้ให้บริการในการเก็บรักษาข้อมูลจราจรทางคอมพิวเตอร์)
- สำนักงานคณะกรรมการกฤษฎีกา — ระบบสืบค้นกฎหมาย (OCS)