ในยุคที่ภัยคุกคามทางไซเบอร์ทวีความรุนแรงขึ้น ล่าสุดคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (กมช.) และสำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (สกมช.) ได้ประกาศ “มาตรฐานการรักษาความมั่นคงปลอดภัยสำหรับเว็บไซต์ พ.ศ. 2568” ซึ่งถือเป็นมาตรฐานขั้นต่ำฉบับแรกของประเทศไทย ลงในราชกิจจานุเบกษาเมื่อวันที่ 16 กันยายน 2568
มาตรฐานนี้จะมีผลบังคับใช้อย่างเป็นทางการในอีก 1 ปีหลังประกาศ หรือช่วงกลางเดือนกันยายน 2569 องค์กรของคุณเข้าข่ายที่ต้องปฏิบัติตามหรือไม่? ต้องเตรียมตัวอย่างไร? บทความนี้มีสรุปมาให้แล้วครับ
🚨 ทำไมไทยถึงต้องมี “มาตรฐานความปลอดภัยเว็บไซต์” ?
จากสถิติที่น่าตกใจในช่วงปี 2566-2567 พบว่าภัยคุกคามไซเบอร์กว่า 44% พุ่งเป้าไปที่เว็บไซต์ โดยเฉพาะการเจาะระบบเพื่อเปลี่ยนหน้าเว็บ (Defacement) การฝังโฆษณาเว็บพนัน และการทำเว็บปลอม (Phishing)
สกมช. ระบุว่ามีรายงานเหตุการณ์ไซเบอร์เกิดขึ้นกว่า 3,172 ครั้ง โดยหน่วยงานรัฐตกเป็นเป้าหมายสูงสุดถึง 32% รองลงมาคือภาคการศึกษา 23% ปัญหาหลักเกิดจากโครงสร้างที่เรียกว่า หนี้ทางเทคนิค (Technical debt) คือหน่วยงานมีเว็บไซต์แต่ขาดเจ้าหน้าที่ดูแลเชิงเทคนิคอย่างต่อเนื่องเมื่อผู้พัฒนาย้ายออกหรือหมดสัญญาลง
🏢 ใครบ้างที่ต้องปฏิบัติตามกฎหมายนี้?
- กลุ่มที่ถูกบังคับใช้: หน่วยงานของรัฐ, หน่วยงานควบคุมหรือกำกับดูแล และหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ (CII) ทั้ง 7 กลุ่ม
- กลุ่มที่แนะนำให้ส่งเสริม: ภาคเอกชน (อย่างไรก็ตาม ภาคเอกชนที่รับงานภาครัฐ หรือเป็นผู้ให้บริการโฮสติ้ง จะถูกดึงเข้ามาเกี่ยวข้องผ่านเงื่อนไขการจัดซื้อจัดจ้าง หรือ TOR ด้วยเช่นกัน)
ขอบเขตจะครอบคลุมตั้งแต่เว็บไซต์ที่เชื่อมต่ออินเทอร์เน็ต, เว็บที่เก็บข้อมูลสำคัญ, เว็บบริการประชาชน ไปจนถึงเว็บที่มีธุรกรรมอิเล็กทรอนิกส์ ไม่ว่าจะใช้บริการโฮสต์รูปแบบใดก็ตาม
🛠️ สาระสำคัญของมาตรฐานมีอะไรบ้าง?
มาตรฐานฉบับนี้ถูกออกแบบบนพื้นฐานของกรอบการทำงานสากลอย่าง NIST CSF 2.0 และอ้างอิงมาตรฐานระดับโลกอย่าง OWASP และ ISO/IEC 27001 โดยมีข้อกำหนดที่สำคัญ ได้แก่:
- การประเมินระดับผลกระทบ (High Water Mark): องค์กรต้องประเมินระบบเว็บไซต์ใน 4 มิติ ได้แก่ การเงิน/ทรัพย์สิน, การดำเนินงาน, ประชาชน/ความปลอดภัยสาธารณะ และความมั่นคงของชาติ หากมีมิติใดมีความเสี่ยงระดับสูง จะถูกจัดเป็น “ผลกระทบระดับสูง” โดยอัตโนมัติ ซึ่งต้องใช้มาตรการที่เข้มงวดขึ้น
- มาตรการทางเทคนิคที่บังคับใช้ (Minimum baseline):
- ต้องเข้ารหัสความปลอดภัยการรับส่งข้อมูลด้วย HTTPS / TLS 1.2 ขึ้นไป และห้ามใช้ใบรับรองที่หมดอายุ
- บังคับใช้การยืนยันตัวตนแบบหลายปัจจัย (MFA) สำหรับผู้ดูแลระบบ ซึ่งทาง สกมช. เปรียบ MFA ว่าเป็น “ยาสามัญที่ควรต้องมีไว้ติดตัว” เพื่อเป็นเกราะป้องกันพื้นฐาน
- แยก Web Server ออกจาก Database Server ให้ชัดเจน
- มีการประเมินช่องโหว่และทดสอบการเจาะระบบ (VA & Pentest) เป็นประจำทุกปี
- จัดเก็บ Log ให้สอดคล้องกับ พ.ร.บ. คอมพิวเตอร์ฯ รวมถึงต้องมีแผนรับมือเหตุการณ์ (IR) และการสำรอง/กู้คืนข้อมูล
📋 หน้าที่ขององค์กร และบทลงโทษ
หน่วยงานที่เข้าข่าย จะต้องทำการประเมินตนเองอย่างน้อยปีละ 1 ครั้ง ด้วยแบบฟอร์ม ค๑ และหากพบช่องโหว่ ต้องจัดทำแผนแก้ไขด้วยแบบฟอร์ม ค๒ สำหรับเว็บไซต์ที่มีผลกระทบระดับสูง จะต้องส่งสำเนาให้ทาง สกมช. และหน่วยงานกำกับดูแลทราบด้วย
หน่วยงานที่มี ISO 27001 ครอบคลุมเว็บไซต์แล้ว สามารถทำเฉพาะส่วนที่ยังขาดได้ เป็นข้อยกเว้นสำคัญที่ช่วยลดภาระซ้ำซ้อน
หากฝ่าฝืนจะมีโทษตาม พ.ร.บ. การรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 ซึ่งมีโทษปรับทางปกครองสูงสุด 200,000 บาท (และปรับรายวันสูงสุดวันละ 10,000 บาท) รวมถึงในบางกรณีที่ละเมิดร้ายแรง เช่น ปกปิดหรือไม่ให้ความร่วมมือ อาจมีโทษทางอาญาจำคุกสูงสุด 1-2 ปี
🚀 ข้อเสนอแนะ: สิ่งที่องค์กรควรทำทันที (Quick Wins)
เพื่อเตรียมพร้อมก่อนที่กฎหมายจะบังคับใช้เต็มรูปแบบในช่วงกลางปี 2569 องค์กรควรเริ่มดำเนินการดังนี้:
- จัดทำบัญชีเว็บไซต์ทั้งหมดที่มีอยู่ และประเมินระดับผลกระทบ (ต่ำ/กลาง/สูง)
- ทำ Gap analysis เพื่อหาช่องโหว่เทียบกับแบบฟอร์ม ค๑
- ดำเนินการแก้ไขเบื้องต้น (Quick wins): ลบใบรับรองความปลอดภัยที่หมดอายุ, บังคับใช้ HTTPS, และเปิดใช้งาน MFA ในทุกการเข้าถึงระดับผู้ดูแลระบบ
- สำหรับหน่วยงานรัฐ ให้เริ่มเพิ่มข้อกำหนดตามมาตรฐานนี้ลงใน TOR การจัดซื้อจัดจ้างตั้งแต่ตอนนี้ เพื่อให้ผู้รับเหมาพัฒนาเว็บได้อย่างปลอดภัย (Security by Design)
ท่านเลขาธิการ สกมช. ได้กล่าวย้ำว่า มาตรฐานนี้ “ไม่เพียงเป็นเครื่องมือป้องกันภัยไซเบอร์ แต่ยังเป็นกลไกสำคัญในการสร้างความเชื่อมั่นแก่ประชาชนและผู้ใช้บริการออนไลน์” ดังนั้น ไม่ว่าคุณจะเป็นหน่วยงานรัฐ หรือบริษัทเอกชน การยกระดับความปลอดภัยของเว็บไซต์ตามมาตรฐานนี้ ย่อมเป็นประโยชน์และลดความเสี่ยงต่อองค์กรได้อย่างมหาศาล
