พิมพ์เขียวและแม่แบบสัญญาบริการทดสอบและตรวจสอบความปลอดภัยของระบบสารสนเทศ (Penetration Testing & Red Teaming Master Services Agreement Template)
ขอบเขตงาน (Scope of Work) และหนังสือให้อำนาจทดสอบ (Authorization to Test) ซึ่งเป็นหลักฐานความยินยอมที่ทำให้การทดสอบภายในขอบเขตไม่เป็นการกระทำโดยมิชอบตาม พ.ร.บ.ว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ พ.ศ. 2550 เฉพาะระบบและข้อมูลที่ผู้ว่าจ้างมีอำนาจ กฎการปะทะ (Rules of Engagement: ROE) การยกเว้นความรับผิดระหว่างคู่สัญญากรณีระบบขัดข้องหรือข้อมูลเสียหาย (No-Harm Safe Harbor) และข้อกำหนดจัดการช่องโหว่วิกฤต (Zero-Day Vulnerability Disclosure Protocols) ✓

ภูมิทัศน์สัญญาบริการทดสอบความปลอดภัยทางไซเบอร์ (Ethical Hacking & Pen Testing) ในประเทศไทย

การทดสอบความปลอดภัยทางไซเบอร์ ไม่ว่าจะเป็น Penetration Testing หรือ Red Teaming มีความสุ่มเสี่ยงทางกฎหมายสูง เนื่องจากกริยาของการทดสอบ (เช่น การสแกนพอร์ต การยิง Payload การพยายามก้าวข้ามระบบยืนยันตัวตน การดักรับแพ็กเกจข้อมูล) อาจเข้าองค์ประกอบความผิดตาม พ.ร.บ.ว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ พ.ศ. 2550 (และที่แก้ไขเพิ่มเติม) หากกระทำโดยมิชอบ ได้แก่ การเข้าถึงโดยมิชอบซึ่งระบบหรือข้อมูลคอมพิวเตอร์ที่มีมาตรการป้องกันการเข้าถึงโดยเฉพาะและมาตรการนั้นมิได้มีไว้สำหรับตน (มาตรา 5 และมาตรา 7) การดักรับข้อมูลคอมพิวเตอร์ของผู้อื่นที่อยู่ระหว่างการส่งโดยมิชอบ (มาตรา 8) การทำให้เสียหาย ทำลาย หรือแก้ไขข้อมูลคอมพิวเตอร์ของผู้อื่นโดยมิชอบ (มาตรา 9) และการทำให้การทำงานของระบบคอมพิวเตอร์ของผู้อื่นถูกระงับ ชะลอ ขัดขวาง หรือรบกวนจนไม่สามารถทำงานตามปกติได้ (มาตรา 10) ส่วนการสแกนพอร์ตจะเป็นความผิดหรือไม่ขึ้นอยู่กับว่าการกระทำนั้นเข้าองค์ประกอบของมาตราใดมาตราหนึ่งข้างต้นหรือไม่ นอกจากนี้ยังต้องพิจารณามาตรา 11 (การส่งข้อมูลคอมพิวเตอร์หรือจดหมายอิเล็กทรอนิกส์โดยปกปิดหรือปลอมแปลงแหล่งที่มา ซึ่งเกี่ยวกับการทดสอบ Phishing) มาตรา 12 และมาตรา 12/1 (เหตุเพิ่มโทษ) และมาตรา 13 (การจำหน่ายหรือเผยแพร่ชุดคำสั่งที่จัดทำขึ้นโดยเฉพาะเพื่อนำไปใช้เป็นเครื่องมือในการกระทำความผิด) โดยโทษจำคุกตามมาตรา 5 ถึงมาตรา 10 มีอัตราสูงสุดตั้งแต่ไม่เกินหกเดือนถึงไม่เกินห้าปี และหากความผิดตามมาตรา 9 หรือมาตรา 10 กระทำต่อระบบหรือข้อมูลที่เกี่ยวกับความมั่นคงปลอดภัยของประเทศ ความปลอดภัยสาธารณะ ความมั่นคงในทางเศรษฐกิจของประเทศ หรือโครงสร้างพื้นฐานอันเป็นประโยชน์สาธารณะ โทษเพิ่มเป็นจำคุกตั้งแต่สามปีถึงสิบห้าปีตามมาตรา 12 (ซึ่งเพิ่มโทษความผิดตามมาตรา 5 ถึงมาตรา 8 และมาตรา 11 ในกรณีเดียวกันด้วย)

หากไม่มีโครงสร้างสัญญาและหนังสือให้อำนาจที่ชัดเจน การกระทำของ Ethical Hacker หรือ Red Team อาจถูกตีความว่าเป็นการเข้าถึงระบบหรือข้อมูลคอมพิวเตอร์โดยมิชอบ หรือเป็นการรบกวนแก้ไขข้อมูลคอมพิวเตอร์ ซึ่งมีโทษทางอาญา การจัดทำสัญญาตามมาตรฐาน LASLegal.tech Template for Knowledge (v1.0.0) จึงมุ่งเน้นการสร้างเขตรักษาความปลอดภัยทางกฎหมาย (Legal Safe Harbor) ควบคู่กับการควบคุมความเสี่ยงด้านปฏิบัติการ

ผลกระทบเชิงธุรกิจ Business Consequences

• ผู้ทดสอบถูกแจ้งความจับข้อหาแฮกระบบตาม พ.ร.บ.ว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ พ.ศ. 2550: หากผู้ทดสอบเริ่มดำเนินการโดยไม่มี Authorization Letter ที่สมบูรณ์ หรือสแกนข้ามไปโดน Target IP ของบุคคลภายนอก/บริษัทในเครือที่ไม่ได้ให้ความยินยอม อาจถูกดำเนินคดีอาญา เพราะการกระทำต่อระบบหรือข้อมูลที่เจ้าของหรือผู้มีสิทธิในระบบมิได้ให้ความยินยอมอาจเป็นการกระทำโดยมิชอบตามพระราชบัญญัติดังกล่าว และสัญญาไม่อาจกำหนดให้การกระทำใดไม่เป็นความผิดอาญาได้
• ระบบ Production ล่มระหว่างทดสอบจนเกิดความเสียหายหลายล้าน: การใช้สคริปต์ทดสอบอัตโนมัติหรือการยิง Payload ที่ไม่สอดคล้องกับสภาพแวดล้อมระบบ อาจทำให้ Database ล็อก หรือเซิร์ฟเวอร์หยุดทำงาน หากสัญญาไม่ได้กำหนดข้อจำกัดความรับผิด (Limitation of Liability) และ No-Harm Safe Harbor ไว้ชัดเจน ผู้ให้บริการอาจต้องรับภาระค่าเสียหายมหาศาล
• ช่องโหว่รั่วไหลสู่สาธารณะก่อนได้รับการแก้ไข: ข้อมูล Zero-Day Vulnerability ที่พบในระบบ หากไม่มี Zero-Day Disclosure Protocol บังคับใช้อย่างเข้มงวด อาจถูกผู้ทดสอบนำไปเปิดเผย หรือถูกแฮกเกอร์ภายนอกดักจับข้อมูลระหว่างการส่งรายงาน ทำให้องค์กรตกอยู่ในภาวะเสี่ยงสูง

กรอบกฎหมายและ Claim Ledger Legal Framework

องค์ประกอบสำคัญของหนังสือให้อำนาจทดสอบเจาะระบบ Authorization to Test Letter

หนังสือให้อำนาจทดสอบเจาะระบบ (Authorization to Test Letter ซึ่งในวงการมักเรียกว่า "Get Out of Jail Free Card" แต่มิได้ทำให้พ้นความรับผิดทางอาญาในทุกกรณี) เป็นเอกสารแสดงความยินยอมล่วงหน้าที่ต้องออกโดยผู้มีอำนาจลงนามผูกพันองค์กรผู้ว่าจ้าง โดยมีองค์ประกอบสำคัญดังนี้:

1. การยืนยันสิทธิและกรรมสิทธิ์ (Ownership & Authority Declaration): ผู้ว่าจ้างต้องรับรองว่าเป็นเจ้าของ หรือเป็นผู้มีสิทธิตามกฎหมายในการครอบครองและบริหารจัดการระบบคอมพิวเตอร์ เครือข่าย และข้อมูลที่เป็นเป้าหมายการทดสอบ
2. การให้อำนาจชัดแจ้ง (Explicit Consent & License): ระบุชัดเจนว่าอนุญาตให้ผู้ให้บริการทำการทดสอบเจาะระบบ รบกวน ดักรับ และประเมินความปลอดภัยตามขอบเขตที่กำหนด
3. ความยินยอมที่ทำให้การทดสอบไม่เป็นการกระทำโดยมิชอบ (Consent within the ROE): หนังสือให้อำนาจเป็นหลักฐานความยินยอมของเจ้าของหรือผู้มีสิทธิในระบบ ซึ่งทำให้การเข้าถึงภายในขอบเขต ROE ไม่เป็นการกระทำโดยมิชอบอันเป็นองค์ประกอบของความผิดตาม พ.ร.บ.ว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ พ.ศ. 2550 แต่สัญญาไม่อาจกำหนดว่าการกระทำใดไม่เป็นความผิดอาญา และความยินยอมใช้ได้เฉพาะระบบและข้อมูลที่ผู้ว่าจ้างมีอำนาจ ผู้ว่าจ้างจึงต้องรับรองว่ามีอำนาจให้ความยินยอมเฉพาะระบบและข้อมูลของตน และต้องได้รับความยินยอมจากเจ้าของระบบอื่น เช่น ผู้ให้บริการคลาวด์ บริษัทในเครือ หรือผู้ใช้บริการ ก่อนเริ่มทดสอบ
4. ช่องทางติดต่อฉุกเฉิน (Emergency Escalation Contacts): การระบุชื่อและเบอร์ติดต่อ 24/7 ของทีม SOC และบริหารจัดการวิกฤตของทั้งสองฝ่าย

การกำหนด Rules of Engagement ROE

Rules of Engagement (ROE) เป็นข้อกำหนดทางเทคนิคที่ควบคุมวิธีการและขอบเขตของการทดสอบ เพื่อป้องกันไม่ให้กระทบต่อการดำเนินธุรกิจปกติ:

• In-Scope and Out-of-Scope Systems: ต้องระบุ IP Addresses, Domain Names, URL Endpoints และ Cloud Workloads ที่อนุญาตให้ทดสอบอย่างชัดเจน ระบบที่ไม่ระบุให้ถือเป็น Out-of-Scope (เช่น ระบบ Core Banking, ระบบ SCADA, หรือ Third-Party SaaS)
• Testing Windows: กำหนดช่วงเวลาที่อนุญาตให้สแกนหรือโจมตี (เช่น นอกเวลาทำการ 22:00 น. - 05:00 น.) เพื่อลดผลกระทบต่อผู้ใช้งาน
• Social Engineering Limits: หากมีการทดสอบ Phishing หรือ Social Engineering ต้องกำหนดขอบเขตห้ามหลอกลวงเพื่อเอาข้อมูลส่วนตัวที่ไม่เกี่ยวข้อง หรือห้ามปลอมตัวเป็นผู้บริหารระดับสูงโดยไม่ได้รับอนุญาต
• DDoS Testing Restrictions: ห้ามใช้การโจมตีปฏิเสธการให้บริการแบบกระจาย (DDoS) หรือการยิง Traffic ปริมาณมหาศาลที่ทำให้ Network Bandwidth ล่ม เว้นแต่จะมีข้อตกลงและสภาพแวดล้อมจำลอง (Staging) แยกต่างหาก

การจัดสรรความรับผิดต่อ System Downtime และ Data Corruption

การทดสอบระบบอาจก่อให้เกิดเหตุไม่คาดคิด เช่น เซิร์ฟเวอร์หยุดตอบสนอง (Downtime) หรือข้อมูลบางส่วนเสียหาย การจัดสรรความรับผิดตามแนวทาง LAS Legal Standard มีหลักการดังนี้:

• No-Harm Safe Harbor: หากผู้ให้บริการปฏิบัติตาม ROE และใช้เทคนิคมาตรฐานผู้มีวิชาชีพแล้ว แต่เกิดเหตุระบบหน่วง ชะลอ หรือขัดข้องชั่วคราว ผู้ว่าจ้างสละสิทธิเรียกร้องค่าเสียหายที่เกิดขึ้นจาก Downtime ดังกล่าว
• Gross Negligence & Intentional Misconduct Exception: การยกเว้นความรับผิดตาม Safe Harbor จะไม่คุ้มครองหากความเสียหายเกิดจากการจงใจ หรือประมาทเลินเล่ออย่างร้ายแรงของผู้ให้บริการ (เช่น นำคำสั่งทดสอบไปยิงใส่ Out-of-Scope IP หรือใช้มัลแวร์ทำลายล้างข้อมูลจริง) ทั้งนี้ ประมวลกฎหมายแพ่งและพาณิชย์ มาตรา 373 บัญญัติว่าความตกลงที่ทำไว้ล่วงหน้าเป็นข้อความยกเว้นมิให้ลูกหนี้ต้องรับผิดเพื่อกลฉ้อฉลหรือความประมาทเลินเล่ออย่างร้ายแรงของตนเป็นโมฆะ ส่วนการจงใจให้เกิดความเสียหายก็ยกเว้นความรับผิดล่วงหน้าไม่ได้เช่นกัน [ต้องยืนยันมาตรา]
• Limitation of Liability Cap: กำหนดเพดานความรับผิดสูงสุดทางแพ่งของผู้ให้บริการไว้ไม่เกินจำนวนค่าบริการที่ได้รับตามสัญญา (หรือตามคูณจำนวนเท่าที่ตกลงกัน) โดยเพดานนี้ไม่ใช้กับความเสียหายที่เกิดจากกลฉ้อฉลหรือความประมาทเลินเล่ออย่างร้ายแรงของผู้ให้บริการ (ประมวลกฎหมายแพ่งและพาณิชย์ มาตรา 373)

LAS Practice Note: ข้อความสัญญาแม่แบบสำคัญ Model Clauses

1 เอกสารแนบ: หนังสือให้อำนาจและกฎการปะทะ (Authorization to Test & Rules of Engagement Template)

(ภาษาไทย)หนังสือให้อำนาจทดสอบความปลอดภัยของระบบ (Authorization to Test Letter)

เอกสารฉบับนี้ทำขึ้นเพื่อแสดงว่า [บริษัท ผู้ว่าจ้าง จำกัด] ("ผู้ว่าจ้าง") ยืนยันว่าตนเป็นเจ้าของ หรือมีสิทธิตามกฎหมายในการควบคุมดูแลระบบสารสนเทศ เครือข่าย และข้อมูลตามรายการที่ระบุใน Rules of Engagement (ROE) ผู้ว่าจ้างอนุมัติและอนุญาตให้ [บริษัท ผู้ให้บริการ จำกัด] ("ผู้ให้บริการ") และบุคลากรที่ได้รับมอบหมาย เข้าถึง ดำเนินการทดสอบเจาะระบบ ประเมินช่องโหว่ และทดสอบมาตรการป้องกันความปลอดภัยทางไซเบอร์ได้ ตามขอบเขต เงื่อนไข และระยะเวลาที่กำหนดในสัญญานี้ หนังสือฉบับนี้เป็นหลักฐานความยินยอมของผู้ว่าจ้างในฐานะเจ้าของหรือผู้มีสิทธิในระบบ ซึ่งทำให้การเข้าถึงและการทดสอบของผู้ให้บริการภายในขอบเขต ROE ไม่เป็นการกระทำโดยมิชอบ ผู้ว่าจ้างรับรองว่าตนมีอำนาจให้ความยินยอมเฉพาะระบบและข้อมูลของตนตามรายการใน ROE และสำหรับระบบหรือข้อมูลที่บุคคลอื่นเป็นเจ้าของหรือมีสิทธิ เช่น ผู้ให้บริการคลาวด์ บริษัทในเครือ หรือผู้ใช้บริการ ผู้ว่าจ้างจะจัดให้ได้รับความยินยอมเป็นหนังสือจากบุคคลนั้นก่อนเริ่มการทดสอบ

(English)AUTHORIZATION TO TEST LETTER

This Authorization Letter confirms that [Client Company Limited] ("Client") is the lawful owner or authorized operator of the systems, networks, and data specified in the Rules of Engagement (ROE).Client hereby grants [Service Provider Company Limited] ("Provider") and its authorized personnel explicit authorization to access, perform penetration testing, vulnerability assessments, and security control testing strictly within the scope, conditions, and timeframe set forth herein. This Letter evidences the consent of Client, as owner or authorized operator of the systems, by virtue of which access and testing by Provider within the scope of the ROE are not carried out without right. Client represents that it is authorized to give consent only for its own systems and data listed in the ROE and, for any system or data owned or controlled by another person, such as a cloud service provider, an affiliate or a user, Client shall obtain that person's written consent before testing begins.

2 ข้อสัญญาการยกเว้นความรับผิดและการจำกัดความรับผิด (No-Harm Safe Harbor & Limitation of Liability)

(ภาษาไทย)ข้อ 7.2 การยกเว้นความรับผิดกรณีระบบขัดข้อง (No-Harm Safe Harbor)

คู่สัญญาตกลงว่า หากผู้ให้บริการได้ดำเนินการทดสอบความปลอดภัยโดยปฏิบัติตามขอบเขตและข้อกำหนดใน Rules of Engagement (ROE) และใช้ความระมัดระวังตามมาตรฐานผู้มีวิชาชีพแล้ว ผู้ว่าจ้างตกลงสละสิทธิเรียกร้อง ค่าเสียหาย ค่าปรับ หรือค่าใช้จ่ายใด ๆ จากผู้ให้บริการ อันเกิดจากเหตุระบบชะลอตัว หยุดทำงานชั่วคราว (Downtime) หรือการสูญหายของข้อมูลที่เกิดจากการทดสอบตามปกติ ทั้งนี้ ข้อจำกัดความรับผิดนี้จะไม่คุ้มครองกรณีที่ความเสียหายเกิดจากการจงใจ การประมาทเลินเล่ออย่างร้ายแรง หรือการกระทำนอกขอบเขต ROE ของผู้ให้บริการ อนึ่ง ความรับผิดทั้งหมดของผู้ให้บริการตามสัญญานี้จำกัดไว้ไม่เกินจำนวนค่าบริการที่ผู้ว่าจ้างได้ชำระตามสัญญานี้ เว้นแต่ความเสียหายนั้นเกิดจากการจงใจ กลฉ้อฉล หรือความประมาทเลินเล่ออย่างร้ายแรงของผู้ให้บริการ

(English)Section 7.2 Operational Downtime Safe Harbor

Provided that Provider conducts the testing in strict compliance with the Rules of Engagement (ROE) and exercises the standard of care expected of a professional cybersecurity practitioner, Client hereby waives and releases Provider from any claims, damages, liabilities, or losses arising from temporary system unavailability, latency, downtime, or data impairment caused by standard testing activities.This safe harbor shall not apply to damages caused by Provider's willful misconduct, gross negligence, or activities executed outside the agreed ROE scope. Provider's aggregate liability under this Agreement shall not exceed the total fees paid by Client under this Agreement, except for loss or damage caused by Provider's willful misconduct, fraud or gross negligence.

3 ข้อกำหนดการเปิดเผยช่องโหว่วิกฤต (Zero-Day & Critical Vulnerability Disclosure Protocol)

(ภาษาไทย)ข้อ 7.3 โปรโตคอลการจัดการและเปิดเผยช่องโหว่วิกฤต

(ก) ในกรณีที่ผู้ให้บริการตรวจพบช่องโหว่ความปลอดภัยระดับวิกฤต (Critical Vulnerability) หรือช่องโหว่ที่ไม่เคยปรากฏมาก่อน (Zero-Day Vulnerability) ที่อาจก่อให้เกิดความเสี่ยงต่อการถูกบุกรุกระบบอย่างร้ายแรง ผู้ให้บริการต้องแจ้งให้เจ้าหน้าที่ผู้รับผิดชอบของผู้ว่าจ้างทราบทันทีทางโทรศัพท์และอีเมลลับเฉพาะภายในไม่เกิน 4 (สี่) ชั่วโมง นับแต่ตรวจพบ(ข) ผู้ให้บริการห้ามเปิดเผย เผยแพร่ หรือให้ข้อมูลเกี่ยวกับช่องโหว่ดังกล่าวแก่บุคคลภายนอก หรือต่อสาธารณชน ไม่ว่าทั้งหมดหรือบางส่วน เว้นแต่จะได้รับความยินยอมเป็นลายลักษณ์อักษรจากผู้ว่าจ้างก่อนเท่านั้น ทั้งนี้ การเปิดเผยตามคำสั่งของศาลหรือพนักงานเจ้าหน้าที่ซึ่งมีอำนาจตามกฎหมาย หรือที่กฎหมายบังคับให้ต้องเปิดเผย ไม่ถือเป็นการผิดข้อกำหนดนี้ โดยผู้ให้บริการจะแจ้งให้ผู้ว่าจ้างทราบล่วงหน้าเท่าที่กฎหมายอนุญาต และเปิดเผยเพียงเท่าที่จำเป็น

(English)Section 7.3 Critical & Zero-Day Vulnerability Disclosure Protocol

(a) Upon discovering any Critical Vulnerability or previously unknown Zero-Day Vulnerability that poses an imminent threat of severe compromise, Provider shall notify Client's designated emergency contacts via secure communication channels within four (4) hours of discovery.(b) Provider shall maintain strict confidentiality and shall not disclose, publish, or disseminate any information regarding discovered vulnerabilities to any third party or the public without Client's prior written consent, provided that disclosure required by an order of a court or of a competent official under applicable law, or otherwise required by law, shall not breach this clause, and Provider shall give Client prior notice to the extent permitted by law and disclose only what is necessary.

4 ข้อกำหนดผลสำเร็จของงาน (Deliverables Clause)

(ภาษาไทย)ข้อ 7.4 ผลสำเร็จของงาน

ผลสำเร็จของงานตามสัญญานี้ได้แก่รายงานผลการทดสอบตามขอบเขต ROE ซึ่งระบุวิธีการทดสอบ ผลการทดสอบ และช่องโหว่ที่ตรวจพบพร้อมข้อเสนอแนะในการแก้ไข ทั้งนี้ ผู้ให้บริการไม่รับรองว่าจะตรวจพบช่องโหว่ทุกรายการในระบบของผู้ว่าจ้าง

(English)Section 7.4 Deliverables

The deliverable under this Agreement is a test report covering the scope of the ROE, which sets out the testing methods, the test results and the vulnerabilities identified together with remediation recommendations. Provider does not warrant that every vulnerability in Client's systems will be identified.

5 ข้อกำหนดการเก็บรักษามาตรการเข้าถึง (Access Credentials Clause)

(ภาษาไทย)ข้อ 7.5 การเก็บรักษารหัสผ่านและมาตรการเข้าถึง

ผู้ให้บริการจะเก็บรักษารหัสผ่าน ข้อมูลยืนยันตัวตน และมาตรการป้องกันการเข้าถึงอื่นใดที่ได้รับหรือล่วงรู้ระหว่างการทดสอบไว้เป็นความลับ ไม่นำไปเปิดเผยหรือใช้เพื่อวัตถุประสงค์อื่นนอกจากการทดสอบตามสัญญานี้ และจะส่งคืนหรือทำลายเมื่อเสร็จสิ้นการทดสอบ ทั้งนี้ การนำมาตรการป้องกันการเข้าถึงระบบคอมพิวเตอร์ที่ผู้อื่นจัดทำขึ้นเป็นการเฉพาะซึ่งตนล่วงรู้มาไปเปิดเผยโดยมิชอบในประการที่น่าจะเกิดความเสียหายแก่ผู้อื่น เป็นความผิดตามมาตรา 6 แห่ง พ.ร.บ.ว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ พ.ศ. 2550

(English)Section 7.5 Access Credentials

Provider shall keep confidential all passwords, authentication data and other access-control measures obtained or learned during the testing, shall not disclose or use them for any purpose other than the testing under this Agreement, and shall return or destroy them upon completion of the testing.

6 ข้อกำหนดคุ้มครองข้อมูลส่วนบุคคล (Personal Data Protection Clause)

(ภาษาไทย)ข้อ 7.6 การคุ้มครองข้อมูลส่วนบุคคล

ในการทดสอบที่เกี่ยวข้องกับข้อมูลส่วนบุคคล รวมถึงการทดสอบ Phishing ผู้ว่าจ้างเป็นผู้ควบคุมข้อมูลส่วนบุคคล และผู้ให้บริการเป็นผู้ประมวลผลข้อมูลส่วนบุคคลตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ผู้ให้บริการจะเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำสั่งของผู้ว่าจ้างเท่านั้น จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม แจ้งเหตุการละเมิดข้อมูลส่วนบุคคลให้ผู้ว่าจ้างทราบโดยไม่ชักช้า และลบหรือทำลายข้อมูลส่วนบุคคลที่ได้รับระหว่างการทดสอบเมื่อเสร็จสิ้นการทดสอบ เว้นแต่กฎหมายกำหนดให้เก็บรักษาไว้ ข้อกำหนดนี้เป็นข้อตกลงระหว่างผู้ควบคุมข้อมูลส่วนบุคคลกับผู้ประมวลผลข้อมูลส่วนบุคคลตามมาตรา 40 แห่งพระราชบัญญัติดังกล่าว

(English)Section 7.6 Personal Data Protection

In any testing that involves personal data, including phishing tests, Client is the data controller and Provider is the data processor under the Personal Data Protection Act B.E. 2562. Provider shall collect, use or disclose personal data only on Client's instructions, maintain appropriate security measures, notify Client of any personal data breach without delay, and delete or destroy personal data obtained during the testing upon its completion unless the law requires retention. This clause constitutes the agreement between the data controller and the data processor required by Section 40 of that Act.

7 ข้อกำหนดการเรียกร้องของบุคคลภายนอกและการประกันภัย (Third-Party Claims & Insurance Clause)

(ภาษาไทย)ข้อ 7.7 การเรียกร้องของบุคคลภายนอกและการประกันภัย

ผู้ว่าจ้างจะรับผิดชอบและชดใช้ให้แก่ผู้ให้บริการสำหรับการเรียกร้องของบุคคลภายนอกอันเกิดจากการทดสอบที่ผู้ให้บริการได้กระทำภายในขอบเขต ROE และด้วยความระมัดระวังตามมาตรฐานผู้มีวิชาชีพ เว้นแต่การเรียกร้องนั้นเกิดจากกลฉ้อฉล ความประมาทเลินเล่ออย่างร้ายแรง หรือการกระทำนอกขอบเขต ROE ของผู้ให้บริการ และผู้ให้บริการจะจัดให้มีและคงไว้ซึ่งการประกันภัยความรับผิดทางวิชาชีพและการประกันภัยความเสี่ยงภัยไซเบอร์ในวงเงินที่คู่สัญญาตกลงกันตลอดระยะเวลาของสัญญา

(English)Section 7.7 Third-Party Claims and Insurance

Client shall be responsible for, and shall indemnify Provider against, any third-party claim arising from testing performed by Provider within the scope of the ROE and with the standard of care of a professional practitioner, except a claim arising from Provider's fraud, gross negligence or activities outside the ROE scope. Provider shall procure and maintain professional liability insurance and cyber liability insurance in the amounts agreed by the Parties throughout the term of this Agreement.

ข้อต่อสู้ของผู้ให้บริการ Pen Tester กับองค์กรผู้ว่าจ้าง Devil's Advocate

• มุมมองของผู้ให้บริการ (Pen Tester Perspective): ต้องการ Safe Harbor ที่ครอบคลุมกว้างที่สุด เพื่อป้องกันไม่ให้ถูกฟ้องร้องเมื่อเกิด Downtime จากคำสั่งทดสอบมาตรฐาน และต้องการจำกัดเพดานความรับผิด (Liability Cap) ไว้ไม่เกินมูลค่าสัญญา รวมทั้งต้องการข้อสัญญาที่คุ้มครองจากการกระทำของ Third-Party Vendor ของผู้ว่าจ้าง
• มุมมองขององค์กรผู้ว่าจ้าง (Client Perspective): ต้องการการการันตีว่าผู้ให้บริการจะไม่กระทบต่อระบบ Production หลัก (Out-of-Scope) ต้องการกำหนด SLA สำหรับการรายงานช่องโหว่วิกฤต ( Critical Finding Reporting) และต้องการตัดสิทธิ Safe Harbor หากผู้ให้บริการทำผิด ROE หรือใช้เครื่องมือสแกนที่ไม่เหมาะสม

ตัวอย่างสถานการณ์จำลอง Worked Example

• ข้อเท็จจริง: ธนาคารพาณิชย์ A จ้างบริษัท B ทำการ Red Team Testing ระบบ Mobile Banking ระหว่างทดสอบ ผู้ทดสอบของบริษัท B ได้ยิงสคริปต์สแกนคำสั่งที่มีพฤติกรรมก้าวร้าวเข้าสู่เซิร์ฟเวอร์ Database จนทำให้ระบบฐานข้อมูลเกิดอาการ Deadlock ส่งผลให้ลูกค้าไม่สามารถทำธุรกรรมผ่าน Mobile Banking ได้เป็นเวลา 3 ชั่วโมง คิดเป็นมูลค่าความเสียหายทางธุรกิจ 5 ล้านบาท
• การวิเคราะห์ทางกฎหมาย:

1. พิจารณาว่าการยิงสคริปต์ดังกล่าวอยู่ในขอบเขต In-Scope IP และอยู่ในช่วง Testing Window ตาม ROE หรือไม่
2. หากการกระทำอยู่ใน ROE และใช้เครื่องมือมาตรฐานผู้มีวิชาชีพ เหตุการณ์ Deadlock ถือเป็นความเสี่ยงทางเทคนิคที่ได้รับความคุ้มครองภายใต้ No-Harm Safe Harbor (ข้อ 7.2) ผู้ว่าจ้างจึงไม่อาจเรียกค่าเสียหาย 5 ล้านบาทจากบริษัท B ตามข้อ 7.2 แต่ข้อ 7.2 เป็นการสละสิทธิเรียกร้องของผู้ว่าจ้างเท่านั้น ไม่ผูกพันบุคคลภายนอก เช่น ลูกค้าของธนาคารที่ได้รับความเสียหาย ซึ่งอาจเรียกร้องในมูลละเมิดตามประมวลกฎหมายแพ่งและพาณิชย์ มาตรา 420 สัญญาจึงควรมีข้อกำหนดให้ผู้ว่าจ้างรับผิดต่อการเรียกร้องของบุคคลภายนอกที่เกิดจากการทดสอบตามขอบเขต และข้อกำหนดเรื่องประกันภัย (ข้อ 7.7)
3. แต่หากสืบสวนพบว่า บริษัท B ใช้สคริปต์ทดสอบผิดรุ่น หรือตั้งค่าคำสั่งรุนแรงเกินกว่าที่ระบุใน ROE ( Out-of-Scope / Violation of ROE) การกระทำนอกขอบเขต ROE หรือการไม่ใช้ความระมัดระวังตามมาตรฐานผู้มีวิชาชีพก็ทำให้ No-Harm Safe Harbor ตามข้อ 7.2 ไม่คุ้มครองแล้ว โดยไม่ต้องวินิจฉัยว่าเป็นความประมาทเลินเล่ออย่างร้ายแรงหรือไม่ เพราะเกณฑ์ความประมาทเลินเล่ออย่างร้ายแรงเกี่ยวกับความสมบูรณ์ของข้อยกเว้นความรับผิดตามประมวลกฎหมายแพ่งและพาณิชย์ มาตรา 373 มิใช่เงื่อนไขการหลุดจาก Safe Harbor บริษัท B จึงต้องรับผิดชอบค่าเสียหายตามกฎหมายและสัญญา

Checklist 10 จุดตรวจสัญญา Penetration Testing & Red Teaming Agreement

• มีหนังสือ Authorization to Test Letter ที่ลงนามโดยผู้มีอำนาจผูกพันองค์กรแนบท้ายสัญญาหรือไม่?
• หนังสือให้อำนาจระบุความยินยอมของเจ้าของระบบซึ่งทำให้การทดสอบภายในขอบเขต ROE ไม่เป็นการกระทำโดยมิชอบตาม พ.ร.บ.ว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ พ.ศ. 2550 และได้รับความยินยอมเป็นหนังสือจากเจ้าของระบบอื่นที่เกี่ยวข้อง (ผู้ให้บริการคลาวด์ บริษัทในเครือ ผู้ใช้บริการ) ก่อนเริ่มทดสอบหรือไม่?
• ROE กำหนด Target IPs, Domains, และ API Endpoints (In-Scope) ไว้ครบถ้วนหรือไม่?
• มีการระบุระบบห้ามแตะต้อง (Out-of-Scope Systems) ไว้อย่างชัดเจนหรือไม่?
• กำหนดช่วงเวลาทดสอบ (Testing Windows) และข้อจำกัดเทคนิค (เช่น ห้าม DDoS) หรือไม่?
• มีข้อสัญญา No-Harm Safe Harbor คุ้มครอง Downtime ชั่วคราวจากการทดสอบปกติหรือไม่?
• กำหนดช่องทางสื่อสารและ Emergency Escalation Contacts 24/7 ของทั้งสองฝ่ายหรือไม่?
• มีโปรโตคอลการแจ้งเตือนช่องโหว่วิกฤต (Zero-Day Notification) ภายใน 2-4 ชั่วโมงหรือไม่?
• มีข้อกำหนดการรักษาความลับ (Confidentiality) และการห้ามเปิดเผยช่องโหว่ต่อสาธารณะ พร้อมข้อยกเว้นการเปิดเผยตามคำสั่งของศาลหรือพนักงานเจ้าหน้าที่หรือตามที่กฎหมายบังคับหรือไม่?
• มีการกำหนดเพดานความรับผิดทางแพ่ง (Limitation of Liability Cap) ที่เหมาะสม และระบุว่าเพดานไม่ใช้กับความเสียหายที่เกิดจากกลฉ้อฉลหรือความประมาทเลินเล่ออย่างร้ายแรงของผู้ให้บริการ (ประมวลกฎหมายแพ่งและพาณิชย์ มาตรา 373) หรือไม่?

คำถามที่พบบ่อย Frequently Asked Questions