นโยบายความมั่นคงปลอดภัยสารสนเทศ

FORTSECURE GLOBAL CO., LTD. มุ่งมั่นที่จะรักษาความลับ (Confidentiality) ความถูกต้องครบถ้วน (Integrity) และความพร้อมใช้งาน (Availability) ของสารสนเทศขององค์กรและลูกค้า ตามมาตรฐานสากล โดยอ้างอิงกรอบงาน ISO/IEC 27001, NIST Cybersecurity Framework และกฎหมายที่เกี่ยวข้อง

1. ขอบเขตและวัตถุประสงค์

นโยบายนี้ครอบคลุมสินทรัพย์สารสนเทศทุกประเภท ทั้งในรูปแบบดิจิทัลและกายภาพ ของบริษัทและลูกค้า รวมถึงระบบเครือข่าย อุปกรณ์ปลายทาง เซิร์ฟเวอร์ บริการคลาวด์ ซอฟต์แวร์ รวมถึงบุคลากร ผู้รับเหมา และบุคคลที่เข้าถึงข้อมูลแทนบริษัท วัตถุประสงค์เพื่อสร้างความมั่นใจว่าสารสนเทศได้รับการปกป้องจากภัยคุกคามทั้งภายในและภายนอก

2. หลักการพื้นฐาน

• Confidentiality ปกป้องข้อมูลจากการเข้าถึงโดยไม่ได้รับอนุญาต
• Integrity รักษาความถูกต้องและความสมบูรณ์ของข้อมูล ป้องกันการเปลี่ยนแปลงโดยมิชอบ
• Availability ให้บริการและข้อมูลพร้อมใช้งานตามที่กำหนด
• Non-repudiation รับรองว่าการกระทำต่าง ๆ สามารถตรวจสอบย้อนกลับได้
• Least Privilege มอบสิทธิ์เข้าถึงเพียงเท่าที่จำเป็น

3. การกำกับดูแลและความรับผิดชอบ

• คณะกรรมการความมั่นคงปลอดภัยสารสนเทศ (Information Security Committee) เป็นผู้กำกับดูแลนโยบายและทิศทาง
• ผู้บริหารระดับสูงรับผิดชอบสนับสนุนและจัดสรรทรัพยากรให้เพียงพอ
• เจ้าหน้าที่ความมั่นคงปลอดภัยสารสนเทศ (ISO) รับผิดชอบดำเนินงานและประสานความร่วมมือข้ามหน่วยงาน
• ทุกบุคลากรมีหน้าที่ปฏิบัติตามนโยบายและรายงานเหตุการณ์ที่น่าสงสัย

4. การจัดประเภทสินทรัพย์และข้อมูล

บริษัทจัดประเภทข้อมูลตามระดับความอ่อนไหว เพื่อกำหนดมาตรการควบคุมที่เหมาะสม:

ระดับ	คำอธิบาย	มาตรการควบคุม
4 ลับ	ข้อมูลที่รั่วไหลทำให้เกิดความเสียหายร้ายแรง	เข้ารหัส + ควบคุมการเข้าถึงเข้มงวด + บันทึกการเข้าถึง
3 อ่อนไหว	ข้อมูลที่รั่วไหลทำให้เกิดความเสียหายระดับกลาง	จำกัดการเข้าถึง + เข้ารหัส
2 ภายใน	ข้อมูลใช้งานภายในองค์กร	ควบคุมการเข้าถึงตามหน้าที่
1 สาธารณะ	ข้อมูลเปิดเผยได้	ควบคุมความถูกต้องและความพร้อมใช้งาน

5. การควบคุมการเข้าถึง (Access Control)

• ใช้หลัก Least Privilege และ Role-Based Access Control (RBAC)
• การยืนยันตัวตนแบบ Multi-Factor Authentication (MFA) สำหรับระบบสำคัญและการเข้าถึงระยะไกล
• การตรวจสอบและทบทวนสิทธิ์การเข้าถึงเป็นรายไตรมาส และเมื่อมีการเปลี่ยนแปลงตำแหน่ง
• การเพิกถอนสิทธิ์ทันทีเมื่อพนักงานลาออกหรือเปลี่ยนบทบาท
• การบันทึกและตรวจสอบการเข้าถึง (Access Log) ระบบสำคัญ

6. การเข้ารหัสข้อมูล (Encryption)

• เข้ารหัสข้อมูลระหว่างการส่งผ่าน (TLS 1.2 ขึ้นไป) ทุกช่องทาง
• เข้ารหัสข้อมูลจัดเก็บ (AES-256) สำหรับข้อมูลระดับ 3 และ 4
• การจัดการกุญแและใบรับรอง (Key & Certificate Management) ตามมาตรฐาน
• การหมุนเวียนกุญแอย่างน้อยปีละครั้ง

7. ความมั่นคงปลอดภัยเครือข่าย (Network Security)

• แบ่งเขตเครือข่าย (Network Segmentation) แยกระบบสำคัญจากส่วนทั่วไป
• ติดตั้ง Firewall, IDS/IPS และตรวจสอบทราฟฟิกอย่างต่อเนื่อง
• ใช้ VPN สำหรับการเข้าถึงระบบภายในจากภายนอก
• บล็อกพอร์ตและบริการที่ไม่จำเป็น (Hardening)

8. ความมั่นคงปลอดภัยปลายทางและอุปกรณ์ (Endpoint Security)

• ติดตั้ง Endpoint Detection and Response (EDR) และป้อนกันมัลแวร์
• อัปเดตแพตช์ระบบปฏิบัติการและซอฟต์แวร์ภายในกรอบเวลาที่กำหนด
• ควบคุมการเชื่อมต่ออุปกรณ์ภายนอกและสื่อบันทึกข้อมูล
• ใช้นโยบายการเข้ารหัสฮาร์ดดิสก์ (Full Disk Encryption)

9. การจัดการความเสี่ยงและการประเมินช่องโหว่

• ประเมินความเสี่ยงสารสนเทศอย่างน้อยปีละครั้ง และเมื่อมีการเปลี่ยนแปลงสำคัญ
• สแกนช่องโหว่ (Vulnerability Assessment) เป็นประจำ
• ทดสอบเจาะระบบ (Penetration Test) อย่างน้อยปีละครั้ง
• ปรับปรุงการควบคุมตามผลการประเมินอย่างต่อเนื่อง

10. การตอบสนองเหตุการณ์ความมั่นคงปลอดภัย (Incident Response)

บริษัทมีแผนตอบสนองเหตุการณ์ครอบคลุม 6 ขั้นตอน ดังนี้

1. Preparation เตรียมความพร้อม บทบาท เครื่องมือ และช่องทางสื่อสาร
2. Identification ตรวจจับและยืนยันเหตุการณ์ ประเมินขอบเขตและความรุนแรง
3. Containment การกักกันเพื่อหยุดการลามและรักษาหลักฐาน
4. Eradication กำจัดสาเหตุและภัยคุกคาม
5. Recovery ฟื้นฟูระบบและยืนยันความปลอดภัยก่อนกลับสู่การใช้งาน
6. Lessons Learned สรุปบทเรียนและปรับปรุงการควบคุม

กรอบเวลาการรายงานเหตุการณ์: เหตุการณ์ระดับสูงต้องรายงานภายใน 1 ชั่วโมง และเริ่มตอบสนองภายใน 4 ชั่วโมง

11. ความต่อเนื่องทางธุรกิจและการสำรองข้อมูล (BCP & Backup)

• สำรองข้อมูลสำคัญตามกำหนดเวลาที่กำหนด และเก็บแยกหลายสำเนา (3-2-1)
• ทดสอบการกู้คืนข้อมูลเป็นประจำ
• มีแผนความต่อเนื่องทางธุรกิจและแผนกู้คืนภัยพิบัติ (DRP) และทดสอบเป็นประจำ
• กำหนด RTO/RPO ตามความสำคัญของระบบ

12. การจัดการบุคคลากร (Human Security)

• ตรวจสอบประวัติ (Background Check) บุคลากรตามความจำเป็น
• ให้การอบรมความมั่นคงปลอดภัยสารสนเทศปีละอย่างน้อย 1 ครั้ง
• ทดสอบสติและการตอบสนองต่อฟิชชิง (Phishing Simulation) เป็นประจำ
• มีข้อตกลงการรักษาความลับ (NDA) กับบุคลากรและผู้รับเหมา

13. การจัดการผู้รับเหมาและบุคคลที่สาม (Third-Party Risk)

• ประเมินความมั่นคงปลอดภัยของผู้ให้บริการก่อนเริ่มสัญญา
• กำหนดข้อกำหนดความมั่นคงปลอดภัยในสัญญา (SLA & Security Clauses)
• ติดตามและตรวจสอบการปฏิบัติตามข้อกำหนดอย่างต่อเนื่อง
• จำกัดการเข้าถึงข้อมูลเฉพาะที่จำเป็นสำหรับการปฏิบัติงาน

14. การปฏิบัติตามกฎหมายและมาตรฐาน (Compliance)

• ปฏิบัติตาม PDPA และกฎหมายที่เกี่ยวข้อง
• รองรับมาตรฐาน ISO/IEC 27001 และ NIST CSF
• รักษาหลักฐานการปฏิบัติตาม (Audit Trail) สำหรับการตรวจสอบ
• ให้ความร่วมมือกับหน่วยงานกำกับดูแลเมื่อได้รับคำขอ

15. การตรวจสอบและปรับปรุงอย่างต่อเนื่อง

• ตรวจสอบภายในด้านความมั่นคงปลอดภัยเป็นประจำทุกปี
• ทบทวนนโยบายและขั้นตอนการปฏิบัติอย่างน้อยปีละครั้ง
• ประเมินประสิทธิผลของการควบคุมและปรับปรุงอย่างต่อเนื่อง
• ส่งเสริมวัฒนธรรมความมั่นคงปลอดภัยในทุกระดับขององค์กร

16. การละเว้นและการดำเนินการทางวินัย

การไม่ปฏิบัติตามนโยบายนี้อาจนำไปสู่การดำเนินการทางวินัยตามระเบียบบริษัท รวมถึงการดำเนินคดีทางกฎหมายในกรณีที่ก่อให้เกิดความเสียหายร้ายแรง

---

นโยบายนี้มีผลบังคับใช้ตั้งแต่วันที่ประกาศ บริษัทขอสงวนสิทธิในการปรับปรุงและแก้ไขตามความเหมาะสม โดยจะแจ้งให้บุคลากรและผู้เกี่ยวข้องทราบ