ธปท.ออกเกณ์คุมภัยไซเบอร์นอนแบงก์ ดีเดย์เม.ย.นี้

นางสาวสิริธิดา พนมวัน ณ อยุธยา ผู้ช่วยผู้ว่าการ สายนโยบายระบบการชำระเงินและเทคโนโลยีทางการเงิน ธนาคารแห่งประเทศไทย (ธปท.) เปิดเผยว่า ปัจจุบันผู้ประกอบธุรกิจทางการเงินได้นำเทคโนโลยีมาใช้เพิ่มประสิทธิภาพการให้บริการลูกค้าให้สะดวกรวดเร็วมากขึ้น ประกอบกับที่ผ่านมา มีจำนวนผู้ใช้บริการเพิ่มเป็น 2 เท่าเกือบ 200 ครั้งต่อคนต่อปีจากเดิมอยู่ที่ 80 ครั้งและปริมาณธุรกรรมด้านการชำระเงินอิเล็กทรอนิกส์เพิ่มสูงขึ้นอย่างมาก

รวมทั้งรูปแบบธุรกิจมีการเชื่อมโยงกับผู้เล่นที่หลากหลายและเชื่อมต่อกับผู้ให้บริการภายนอกมากขึ้น ทำให้ผู้ประกอบธุรกิจต้องเผชิญกับความเสี่ยงด้านไอที( IT)และภัยคุกคามทางไซเบอร์เพิ่มสูงขึ้น 

ธปท. จึงได้กำหนดหลักเกณฑ์การกำกับดูแลความเสี่ยงด้านเทคโนโลยีสารสนเทศ สำหรับผู้ประกอบธุรกิจด้านการชำระเงินที่ไม่ใช่สถาบันการเงิน(นอน-แบงก์) เพิ่มเติมจากหลักเกณฑ์ที่ใช้บังคับอยู่ในปัจจุบัน ซึ่งเป็นหลักเกณฑ์เดียวกันกับที่ธปท. ใช้ในการกำกับดูแลสถาบันการเงิน เพื่อยกระดับความมั่นคงปลอดภัยของระบบ IT ตลอดจนสร้างความเชื่อมั่นให้กับผู้ใช้บริการ

ทั้งนี้ หลักเกณฑ์กำกับดูแลประกอบด้วย 2 ส่วนสำคัญคือ

ส่วนที่ 1.การรักษาความมั่นคงปลอดภัยของระบบเทคโนโลยีสารสนเทศขั้นต้นที่จำเป็น (Cyber Hygiene) เป็นมาตรการขั้นต้นที่ผู้ประกอบธุรกิจทุกรายต้องดำเนินการ เพื่อยกระดับความมั่นคงปลอดภัยในการป้องกันและรับมือภัยคุกคามทางไซเบอร์ที่สำคัญ ซึ่งครอบคลุมหลักเกณฑ์6 ด้านตั้งแต่การตั้งค่าระบบให้มีความปลอดภัย การป้องกันระบบจากมัลแวร์ (Malware) การบริหารจัดการช่องโหว่ การจัดการสิทธิของระบบ การพิสูจน์ตัวตนอย่างปลอดภัย และการทดสอบหาช่องโหว่ โดยจะมีผลบังคับใช้ตั้งแต่วันที่ 29 เมษายน 2564

ส่วนที่ 2. การบริหารจัดการความเสี่ยงด้านเทคโนโลยีสารสนเทศ (IT Risk Management) ซึ่งมุ่งเน้นให้ผู้ประกอบธุรกิจที่มีนัยสำคัญตามคุณสมบัติที่ประกาศฉบับนี้กำหนด ต้องดำเนินการให้มีธรรมาภิบาลด้านเทคโนโลยีสารสนเทศที่ดี มีการบริหารความเสี่ยงด้าน IT ที่เหมาะสม มีรักษาความมั่นคงปลอดภัยด้าน IT อย่างรัดกุมตามกรอบหลักการ Confidentiality Integrity Availability รวมถึงมีบริหารจัดการความเสี่ยงของการดำเนินโครงการด้าน IT ที่มีนัยสำคัญอย่างมีประสิทธิภาพ โดยจะมีผลบังคับใช้ตั้งแต่วันที่ 29 มกราคม 2565
 

สำหรับผู้ใช้บริการและประชาชนทั่วไปสามารถดูแลความปลอดภัยเบื้องต้นในการทำธุรกรรมอิเล็กทรอนิกส์ได้ด้วยตนเองอย่างต่อเนื่อง เช่น ตั้งรหัสผ่านให้แข็งแรงและปลอดภัย รักษาความลับของชื่อผู้ใช้งานและรหัสผ่าน และหลีกเลี่ยงการให้ข้อมูลส่วนตัวและข้อมูลทางการเงินกับเว็บไซต์หรืออีเมลที่มีความเสี่ยงสูง ซึ่งจะช่วยป้องกันความเสี่ยงจากภัยคุกคามทางไซเบอร์ได้อีกทางหนึ่ง

"หลักเกณฑ์การกำกับล่าสุดที่ออกมาได้ประกาศลงในราชกิจจานุเบกษาเมื่อวันที่ 29 ม.ค. 2564 ซึ่งในส่วน Cyber Hygiene จะมีผลบังคับใช้กับผู้ประกอบธุรกิจทุกรายตั้งแต่วันที่ 29 เมษายนปีนี้  ส่วนด้าน IT Risk Managementment จะมีผลใช้บังคับวันที่ 29 มกราคม 2565"

สำหรับผู้ประกอบธุรกิจที่มีนัยยะสำคัญ ซึ่งครอบคลุมถึงธุรกิจที่มีการเชื่อมต่อกับระบบโครงสร้างพื้นฐานเชื่อมระบบอินเทอร์เน็ตมีผู้ใช้ 5 ล้านบัญชีหรือ 10 ล้านรายการ นอกจากนี้ตั้งแต่ปี 2565 เป็นต้นไปผู้ประกอบธุรกิจทุกรายต้องประเมินผลตัวเองทุกปี