มาตรฐาน Cloud สกมช. ไม่ได้เป็นแค่เรื่องของหน่วยงานรัฐอีกต่อไป ลองนึกภาพบริษัทซอฟต์แวร์ 30 คนที่ขายระบบนัดหมายบนคลาวด์ให้โรงพยาบาลเอกชน วันหนึ่งฝ่ายจัดซื้อของโรงพยาบาลส่งแบบสอบถามยาว 10 หน้ามาถามว่าระบบได้มาตรฐานความปลอดภัยไซเบอร์ของรัฐหรือยัง มาตรฐานนี้พ้นระยะผ่อนผันและบังคับใช้แล้วตั้งแต่ 10 กันยายน 2569 แบบสอบถามแบบนี้จึงกำลังจะมาถึงผู้ขายจำนวนมาก
สรุปสั้น: ประกาศมาตรฐานด้านการรักษาความมั่นคงปลอดภัยไซเบอร์ระบบคลาวด์ พ.ศ. 2567 ลงราชกิจจานุเบกษาเมื่อ 10 ก.ย. 2567 และมีผลเต็มตั้งแต่ 10 ก.ย. 2569 ใช้กับหน่วยงานรัฐ หน่วยงานควบคุมหรือกำกับดูแล และหน่วยงาน CII ที่ใช้คลาวด์ ครอบคลุมทั้งฝั่งผู้ใช้และผู้ให้บริการคลาวด์ ผู้ขาย SaaS และ MSP เอกชนที่ขายให้ลูกค้ากลุ่มนี้จะถูกผูกทางอ้อมผ่านสัญญา จึงควรเตรียมเอกสารพร้อมตรวจตั้งแต่ตอนนี้
มาตรฐาน Cloud สกมช. คืออะไร เกิดอะไรขึ้น
มาตรฐาน Cloud สกมช. คือประกาศคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ เรื่องมาตรฐานด้านการรักษาความมั่นคงปลอดภัยไซเบอร์ระบบคลาวด์ พ.ศ. 2567 ประกาศนี้ลงราชกิจจานุเบกษาเมื่อ 10 กันยายน 2567 และมีผลบังคับเมื่อ 10 กันยายน 2569 หลังระยะผ่อนผัน ตามที่ CTF Thailand และ ThaiPR.net รายงาน
มาตรฐานนี้ใช้กับหน่วยงานของรัฐ หน่วยงานควบคุมหรือกำกับดูแล และหน่วยงาน CII ที่ใช้คลาวด์ เนื้อหาครอบคลุมทั้งฝั่งผู้ใช้คลาวด์และฝั่งผู้ให้บริการคลาวด์ใน 6 เรื่อง คือ ธรรมาภิบาลความปลอดภัย การบริหารความเสี่ยง การคุ้มครองข้อมูล การควบคุมการเข้าถึง การบริหารโครงสร้างพื้นฐาน และเอกสารสำหรับการตรวจสอบ
| ประเด็น | ข้อเท็จจริง |
|---|---|
| ชื่อประกาศ | มาตรฐานด้านการรักษาความมั่นคงปลอดภัยไซเบอร์ระบบคลาวด์ พ.ศ. 2567 |
| ผู้ออก | คณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ |
| ลงราชกิจจานุเบกษา | 10 กันยายน 2567 |
| มีผลบังคับเต็ม | 10 กันยายน 2569 (พ้นระยะผ่อนผัน) |
| ใช้กับใคร | หน่วยงานรัฐ หน่วยงานควบคุมหรือกำกับดูแล และหน่วยงาน CII ที่ใช้คลาวด์ |
| ฝั่งที่ครอบคลุม | ทั้งผู้ใช้และผู้ให้บริการคลาวด์ |
| เนื้อหาหลัก | 6 เรื่อง ตั้งแต่ธรรมาภิบาลความปลอดภัยถึงเอกสารสำหรับการตรวจสอบ |
อ่านตัวประกาศฉบับเต็มได้จาก ราชกิจจานุเบกษา
มาตรฐาน Cloud สกมช. กระทบธุรกิจไทยอย่างไร
มาตรฐาน Cloud สกมช. กระทบธุรกิจเอกชนทางอ้อมมากกว่าทางตรง เพราะผู้ที่ต้องทำตามโดยตรงคือหน่วยงานรัฐและ CII แต่หน่วยงานเหล่านี้ต้องพิสูจน์ว่าผู้ให้บริการคลาวด์ของตัวเองได้มาตรฐานด้วย ภาระจึงไหลลงมาหาผู้ขายผ่านสัญญาและการจัดซื้อ ส่วนนี้เป็นการวิเคราะห์ของผู้เขียนจากข้อเท็จจริงในข่าว
ผู้ขาย SaaS และ MSP ที่ขายให้ CII
ผู้ขาย SaaS และ MSP ขนาดกลางที่ขายให้ธนาคาร โรงพยาบาล บริษัทพลังงาน หรือโทรคมนาคม เป็นกลุ่มที่รู้สึกผลเร็วที่สุด กฎหมายไม่ได้เรียกชื่อบริษัทเหล่านี้โดยตรง แต่ลูกค้าที่เป็น CII จะขอเอกสารพิสูจน์ ทั้งนโยบายความปลอดภัย ผลประเมินความเสี่ยง และบันทึกการควบคุมการเข้าถึง
พูดง่าย ๆ คือ บริษัทที่ไม่มีเอกสารพร้อมตรวจ อาจไม่ได้ต่อสัญญา หรือไม่ผ่านรอบจัดซื้อครั้งหน้า ต่อให้ระบบจริงปลอดภัยแค่ไหนก็ตาม เพราะหนึ่งใน 6 เรื่องของมาตรฐานคือ “เอกสารสำหรับการตรวจสอบ” โดยตรง
โรงพยาบาลเอกชนและองค์กรที่ใช้คลาวด์
โรงพยาบาลเอกชนและองค์กรใน CII ที่ใช้คลาวด์อยู่แล้ว ต้องทบทวนสัญญากับผู้ให้บริการทุกราย ตัวอย่างสมมติ: โรงพยาบาลที่เก็บภาพเอกซเรย์บนคลาวด์ต่างประเทศ และใช้ระบบบัญชีจาก SaaS ไทยอีกเจ้า ต้องรู้ว่าแต่ละเจ้าทำเรื่องการควบคุมการเข้าถึงและการคุ้มครองข้อมูลอย่างไร และมีเอกสารยืนยันหรือไม่
งานนี้ไม่ใช่งานของฝ่ายไอทีอย่างเดียว ฝ่ายกฎหมายต้องเข้ามาเขียนข้อสัญญาให้ผู้ให้บริการส่งเอกสาร ยอมให้ตรวจ และแจ้งเหตุเมื่อระบบมีปัญหา
ผู้พัฒนาระบบให้ภาครัฐ
ผู้พัฒนาระบบให้ภาครัฐที่วางระบบบนคลาวด์ ควรคาดว่า TOR รอบใหม่จะอ้างมาตรฐานนี้ ใครเตรียมเอกสารไว้ก่อนจะยื่นประมูลได้เร็วกว่า ใครไม่เตรียมต้องมาไล่ทำตอนใกล้ปิดรับซอง
มาตรฐานนี้ทับซ้อนกับ PDPA อย่างไร
มาตรฐานนี้ทับซ้อนกับ PDPA มาตรา 37(1) ที่ให้ผู้ควบคุมข้อมูลจัดมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เรื่องการคุ้มครองข้อมูลและการควบคุมการเข้าถึงในมาตรฐานคลาวด์ จึงใช้เป็นหลักฐานประกอบการทำตาม PDPA ได้ด้วย บริษัทที่มี ISO/IEC 27001 หรือ 27017 อยู่แล้ว ทำตารางเทียบทีเดียวใช้ได้หลายงาน อ่านเรื่อง PDPA เพิ่มได้ที่ หมวด PDPA & Privacy
ถ้าไม่ทำอะไรเลย จะเสี่ยงอะไร
ถ้าผู้ขาย SaaS หรือ MSP ไม่ทำอะไรเลย ความเสี่ยงที่ใกล้ที่สุดคือเสียลูกค้าหรือตกรอบจัดซื้อ เพราะลูกค้า CII ต้องพิสูจน์ว่าผู้ให้บริการของตัวเองได้มาตรฐาน ฝั่งหน่วยงาน CII ที่ไม่ทบทวนผู้ให้บริการ เสี่ยงถูกตรวจแล้วไม่มีเอกสารยืนยัน และถ้าเกิดข้อมูลรั่ว ก็จะอธิบายได้ยากว่าจัดมาตรการตาม PDPA มาตรา 37(1) แล้ว
ผู้ขายคลาวด์และหน่วยงาน CII ควรทำอะไรตอนนี้
ผู้ขายคลาวด์และหน่วยงาน CII ควรเริ่มจากการอ่านตัวประกาศและทำตารางเทียบ เพราะมาตรฐาน Cloud สกมช. มีผลแล้ว ไม่ใช่ร่างที่ยังรอความเห็น
- 1. ดาวน์โหลดประกาศฉบับเต็มจากราชกิจจานุเบกษา อ่านแยกว่าข้อไหนเป็นหน้าที่ฝั่งผู้ใช้ ข้อไหนเป็นหน้าที่ฝั่งผู้ให้บริการ
- 2. ทำตารางเทียบ (mapping table) เทียบข้อกำหนดในมาตรฐานกับ PDPA มาตรา 37(1) และ ISO/IEC 27017 ว่าข้อไหนมีแล้ว ข้อไหนยังขาด
- 3. รวมเอกสารสำหรับการตรวจสอบไว้ที่เดียว นโยบายความปลอดภัย ผลประเมินความเสี่ยง รายชื่อผู้มีสิทธิเข้าถึง และแผนรับมือเหตุ พร้อมส่งให้ลูกค้าได้ทันที
- 4. ทบทวนสัญญากับผู้ให้บริการหรือลูกค้า ใส่ข้อส่งเอกสาร สิทธิตรวจสอบ และหน้าที่แจ้งเหตุ ให้สอดคล้องกับมาตรฐาน
- 5. ตั้งเจ้าภาพเรื่องธรรมาภิบาลความปลอดภัย กำหนดคนรับผิดชอบที่ชัดเจน และรอบทบทวนความเสี่ยงอย่างน้อยปีละครั้ง
ถ้าต้องการคนช่วยทำตารางเทียบมาตรฐานคลาวด์กับ PDPA ดูรายละเอียดได้ที่ บริการ AI Governance และ PDPA ของ Kooru และติดตามกฎหมายเทคโนโลยีอื่นได้ที่ หมวด Tech Law & IP
มุมมองผู้เชี่ยวชาญ
ผมคิดว่าผู้ขาย SaaS ไทยหลายรายยังเข้าใจผิดว่ามาตรฐานนี้ไม่เกี่ยวกับตัวเอง เพราะกฎหมายเขียนถึงหน่วยงานรัฐและ CII แต่ในโลกจริง ภาระกฎหมายของลูกค้าจะกลายเป็นข้อสัญญาของคุณเสมอ ระบบที่ปลอดภัยแต่พิสูจน์ไม่ได้ ในสายตาฝ่ายจัดซื้อก็คือระบบที่ไม่ปลอดภัย ใครเตรียมเอกสารก่อน จะใช้มาตรฐานนี้เป็นจุดขายได้แทนที่จะเป็นภาระ
— Phuwara Krobtaku —
LL.M. (IP & IT) | M.S. (IT) | Thai Barrister & Attorney-at-Law
คำถามที่พบบ่อยเกี่ยวกับมาตรฐาน Cloud สกมช.
มาตรฐาน Cloud สกมช. มีผลบังคับเมื่อไร
มาตรฐานนี้ลงราชกิจจานุเบกษาเมื่อ 10 กันยายน 2567 และมีผลบังคับเต็มเมื่อ 10 กันยายน 2569 หลังพ้นระยะผ่อนผัน ตอนนี้จึงเป็นกติกาที่ใช้จริงแล้ว
บริษัทเอกชนที่ไม่ใช่ CII ต้องทำตามมาตรฐานนี้ไหม
มาตรฐานใช้กับหน่วยงานรัฐ หน่วยงานควบคุมหรือกำกับดูแล และหน่วยงาน CII ที่ใช้คลาวด์ บริษัทเอกชนที่ไม่ใช่ CII ไม่ได้ถูกบังคับโดยตรง แต่ถ้าขายบริการคลาวด์ให้ลูกค้ากลุ่มนี้ ก็มักถูกผูกผ่านสัญญาให้แสดงว่าได้มาตรฐาน
มาตรฐานนี้ครอบคลุมเรื่องอะไรบ้าง
มาตรฐานครอบคลุม 6 เรื่อง คือ ธรรมาภิบาลความปลอดภัย การบริหารความเสี่ยง การคุ้มครองข้อมูล การควบคุมการเข้าถึง การบริหารโครงสร้างพื้นฐาน และเอกสารสำหรับการตรวจสอบ ทั้งฝั่งผู้ใช้และผู้ให้บริการคลาวด์
มี ISO 27001 แล้ว ถือว่าผ่านมาตรฐานนี้เลยไหม
ไม่ควรถือว่าผ่านอัตโนมัติ ISO/IEC 27001 และ 27017 ช่วยให้เตรียมง่ายขึ้นมาก แต่ควรทำตารางเทียบกับข้อกำหนดในประกาศทีละข้อ เพื่อหาช่องว่างที่ยังขาด
แหล่งอ้างอิง
- ราชกิจจานุเบกษา — ประกาศคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ เรื่องมาตรฐานด้านการรักษาความมั่นคงปลอดภัยไซเบอร์ระบบคลาวด์ พ.ศ. 2567 — อ่านที่ราชกิจจานุเบกษา
- CTF Thailand — (อ่านต้นฉบับ) — อ่านที่ CTF Thailand
- ThaiPR.net — (อ่านต้นฉบับ) — อ่านที่ ThaiPR.net
อ่านหลักการคัดเลือกและตรวจสอบข่าวของเราได้ที่ นโยบายบรรณาธิการ
บทความนี้เป็นการสรุปข่าวและให้ข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย หากต้องการคำปรึกษาเฉพาะกรณีของธุรกิจคุณ ควรปรึกษาผู้เชี่ยวชาญ
