นโยบายกลุ่มการรักษาความมั่นคงปลอดภัยไซเบอร์ 
กลุ่มเอไอเอส

1. บทนำ
   กลุ่มบริษัท แอดวานซ์ อินโฟร์ เซอร์วิส จำกัด (มหาชน) ตามรายชื่อบริษัทในกลุ่ม AIS ที่ระบุไว้ในลิงก์นี้ (ซึ่งรวมเรียกว่า “บริษัท”) ตระหนักว่าความมั่นคงปลอดภัยไซเบอร์เป็นรากฐานสำคัญของการดำเนินธุรกิจโครงสร้างพื้นฐานด้านโทรคมนาคม การให้บริการดิจิทัล และการสร้างความเชื่อมั่นให้แก่ลูกค้า คู่ค้า ผู้ถือหุ้น และผู้มีส่วนได้เสียทุกภาคส่วน
   
   บริษัทมุ่งมั่นในการปกป้องข้อมูล ระบบสารสนเทศ ระบบคอมพิวเตอร์ เครือข่าย แอปพลิเคชัน โครงสร้างพื้นฐานด้านเทคโนโลยีสารสนเทศ บริการดิจิทัล และทรัพย์สินสารสนเทศของบริษัทจากภัยคุกคามทางไซเบอร์ โดยยึดหลักการรักษาความลับ ความถูกต้องครบถ้วน และความพร้อมใช้งานของข้อมูลและบริการ ตลอดจนเสริมสร้างขีดความสามารถในการป้องกัน ตรวจจับ ตอบสนอง ฟื้นฟู และยกระดับการดำเนินงานด้านความมั่นคงปลอดภัยไซเบอร์อย่างต่อเนื่อง
   
   นโยบายฉบับนี้จัดทำขึ้นเพื่อแสดงถึงแนวทางระดับองค์กรในการกำกับดูแลและบริหารจัดการความมั่นคงปลอดภัยไซเบอร์ของบริษัท โดยอ้างอิงจากนโยบายกลุ่มการรักษาความมั่นคงปลอดภัยไซเบอร์ของบริษัท และสอดคล้องกับแนวปฏิบัติ มาตรฐาน และข้อกำหนดที่เกี่ยวข้อง ทั้งในระดับสากลและระดับประเทศ อาทิ NIST Cybersecurity Framework (CSF) 2.0, ISO/IEC 27001:2022, พระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 รวมถึงกฎหมายลำดับรอง ข้อกำหนดของหน่วยงานกำกับดูแล และมาตรฐานที่เกี่ยวข้องกับการดำเนินธุรกิจของบริษัท
   
   1. วัตถุประสงค์
      นโยบายฉบับนี้มีวัตถุประสงค์เพื่อกำหนดหลักการ แนวทาง และกรอบการดำเนินงานระดับองค์กรในการบริหารจัดการความมั่นคงปลอดภัยไซเบอร์ของบริษัทให้มีความเหมาะสม มีประสิทธิภาพ และสอดคล้องกับการดำเนินธุรกิจ กฎหมาย ข้อกำหนดของหน่วยงานกำกับดูแล และมาตรฐานสากลที่เกี่ยวข้อง
      
      บริษัทมุ่งเน้นให้การดำเนินงานด้านความมั่นคงปลอดภัยไซเบอร์เป็นส่วนหนึ่งของการกำกับดูแลองค์กร การบริหารความเสี่ยง การออกแบบและพัฒนาบริการดิจิทัล การบริหารจัดการบุคลากร การบริหารจัดการบุคคลภายนอก ตลอดจนการดูแลระบบสารสนเทศ ข้อมูล และโครงสร้างพื้นฐานที่เกี่ยวข้องอย่างเหมาะสม 
   2. ขอบเขต
      นโยบายฉบับนี้ครอบคลุมการรักษาความมั่นคงปลอดภัยไซเบอร์ที่เกี่ยวข้องกับข้อมูล ระบบสารสนเทศ ระบบคอมพิวเตอร์ แอปพลิเคชัน เครือข่าย โครงสร้างพื้นฐานดิจิทัล บริการคลาวด์ และทรัพย์สินสารสนเทศของบริษัท ทั้งที่ดำเนินการภายในองค์กร และที่มีการใช้บริการ เชื่อมต่อ หรือเกี่ยวข้องกับบุคคลภายนอก
      
      นโยบายนี้ใช้เป็นแนวทางสำหรับกรรมการ ผู้บริหาร พนักงาน ผู้ปฏิบัติงาน ผู้ให้บริการ คู่ค้า ผู้รับจ้าง และบุคคลภายนอกที่มีการเชื่อมต่อ เข้าถึง ใช้งาน ประมวลผล หรือเกี่ยวข้องกับข้อมูล ระบบ หรือทรัพย์สินสารสนเทศของบริษัท ตามขอบเขตและเงื่อนไขที่บริษัทกำหนด
   3. หลักการปฏิบัติในการรักษาความมั่นคงปลอดภัย (Security Principles)
      บริษัทดำเนินงานด้านความมั่นคงปลอดภัยไซเบอร์ตามหลักการสำคัญ ดังนี้
      • ความลับ (Confidentiality)  –  การปกป้องความลับของข้อมูล รวมถึงข้อมูลส่วนบุคคล ข้อมูลของบริษัท และข้อมูลที่อยู่ภายใต้ความรับผิดชอบของบริษัท โดยป้องกันการเข้าถึง การใช้งาน หรือการเปิดเผยข้อมูลโดยไม่ได้รับอนุญาต 
      • ความสมบูรณ์ (Integrity) –  การรักษาความถูกต้อง ครบถ้วน และความน่าเชื่อถือของข้อมูล โดยป้องกันมิให้ข้อมูลถูกแก้ไข เปลี่ยนแปลง ดัดแปลง หรือทำลายโดยไม่ได้รับอนุญาต 
      • ความพร้อมใช้งาน (Availability) – การสนับสนุนให้ผู้ใช้งานที่ได้รับอนุญาตสามารถเข้าถึงข้อมูล ระบบ และบริการที่เกี่ยวข้องได้อย่างเหมาะสม ต่อเนื่อง และเชื่อถือได้ตามความจำเป็นในการใช้งาน 
   4. การทบทวนนโยบาย
      บริษัททบทวนนโยบายกลุ่มการรักษาความมั่นคงปลอดภัยไซเบอร์ และเอกสารที่เกี่ยวข้องอย่างน้อยปีละ 1 ครั้ง หรือเมื่อมีการเปลี่ยนแปลงอย่างมีนัยสำคัญของกฎหมาย กฎระเบียบ ข้อบังคับ ข้อกำหนดของหน่วยงานกำกับดูแล หรือมาตรฐานด้านความมั่นคงปลอดภัยไซเบอร์ที่มีผลกระทบต่อบริษัท
2. การกำกับดูแลด้านความมั่นคงปลอดภัยไซเบอร์ (Cyber Security Governance)
   บริษัทจัดให้มีโครงสร้างการกำกับดูแลด้านความมั่นคงปลอดภัยไซเบอร์ที่เหมาะสม เพื่อกำหนดทิศทาง นโยบาย บทบาทหน้าที่ ความรับผิดชอบ และกลไกการติดตามผลการดำเนินงานด้านความมั่นคงปลอดภัยไซเบอร์ทั่วทั้งองค์กร
   
   บริษัทกำหนดบทบาทและความรับผิดชอบของคณะกรรมการ หน่วยงานเจ้าของระบบ หน่วยงานเจ้าของข้อมูล หน่วยงานด้านเทคโนโลยีสารสนเทศ หน่วยงานด้านความมั่นคงปลอดภัยไซเบอร์ หน่วยงานด้านการคุ้มครองข้อมูล และผู้เกี่ยวข้องอื่น ๆ ตามความเหมาะสม เพื่อสนับสนุนการบริหารจัดการด้านความมั่นคงปลอดภัยไซเบอร์อย่างมีประสิทธิภาพและตรวจสอบได้
3. กฎหมายและข้อบังคับที่เกี่ยวข้อง (Regulatory and Compliance) 
   บริษัทมุ่งมั่นดำเนินงานด้านความมั่นคงปลอดภัยไซเบอร์ให้สอดคล้องกับกฎหมาย กฎระเบียบ ข้อบังคับ ข้อกำหนดของหน่วยงานกำกับดูแล ภาระผูกพันตามสัญญา และมาตรฐานที่เกี่ยวข้องกับการดำเนินธุรกิจของบริษัท ทั้งในระดับประเทศและระดับสากล
   
   บริษัทกำหนดแนวทางในการติดตาม ทบทวน และประเมินผลกระทบจากการเปลี่ยนแปลงของกฎหมาย ข้อกำหนด และมาตรฐานที่เกี่ยวข้อง เพื่อนำมาปรับปรุงนโยบาย มาตรฐาน กระบวนการ และมาตรการด้านความมั่นคงปลอดภัยไซเบอร์ให้เหมาะสมและเป็นปัจจุบัน
   
   บริษัทสนับสนุนให้มีการใช้ข้อมูล ระบบสารสนเทศ ระบบคอมพิวเตอร์ ทรัพย์สินสารสนเทศ และทรัพย์สินทางปัญญาอย่างถูกต้อง เหมาะสม และสอดคล้องกับกฎหมาย ข้อกำหนด และนโยบายที่บริษัทกำหนด
4. การบริหารจัดการทรัพยากรบุคคล (Human Resource Management)
   บริษัทให้ความสำคัญกับการบริหารจัดการด้านความมั่นคงปลอดภัยไซเบอร์ที่เกี่ยวข้องกับบุคลากรตลอดวงจรการปฏิบัติงาน ตั้งแต่ก่อนเริ่มปฏิบัติงาน ระหว่างการปฏิบัติงาน และเมื่อสิ้นสุดหรือมีการเปลี่ยนแปลงหน้าที่การปฏิบัติงาน เพื่อให้บุคลากรมีความรู้ ความเข้าใจ และตระหนักถึงบทบาทหน้าที่ด้านความมั่นคงปลอดภัยไซเบอร์
   
   พนักงาน ผู้ปฏิบัติงาน และผู้เกี่ยวข้องต้องปฏิบัติตามนโยบาย มาตรฐาน แนวปฏิบัติ และข้อกำหนดด้านความมั่นคงปลอดภัยไซเบอร์ของบริษัท รวมถึงใช้ข้อมูล ระบบสารสนเทศ ระบบคอมพิวเตอร์ และทรัพย์สินสารสนเทศของบริษัทอย่างเหมาะสม ปลอดภัย และสอดคล้องกับหน้าที่ความรับผิดชอบ
   
   บริษัทส่งเสริมการสื่อสาร การให้ความรู้ และการสร้างความตระหนักรู้ด้านความมั่นคงปลอดภัยไซเบอร์อย่างเหมาะสม เพื่อสนับสนุนให้บุคลากรมีส่วนร่วมในการปกป้องข้อมูล ระบบ บริการ และทรัพย์สินสารสนเทศของบริษัทจากภัยคุกคามทางไซเบอร์
5. การบริหารจัดการบุคคลภายนอก (Third Party Management)
   บริษัทกำหนดให้ผู้ให้บริการ คู่ค้า ผู้รับจ้าง และบุคคลภายนอกที่มีการเชื่อมต่อ เข้าถึง ใช้งาน ประมวลผล หรือเกี่ยวข้องกับข้อมูล ระบบสารสนเทศ ระบบคอมพิวเตอร์ หรือทรัพย์สินสารสนเทศของบริษัท ต้องปฏิบัติตามข้อกำหนดด้านความมั่นคงปลอดภัยไซเบอร์ที่เกี่ยวข้อง
   
   บริษัทบริหารจัดการความเสี่ยงด้านความมั่นคงปลอดภัยไซเบอร์ที่เกี่ยวข้องกับบุคคลภายนอกตลอดวงจรความสัมพันธ์ทางธุรกิจ ตั้งแต่ก่อนการจัดซื้อจัดจ้าง ระหว่างการให้บริการหรือปฏิบัติงาน และเมื่อสิ้นสุดหรือมีการเปลี่ยนแปลงการให้บริการ เพื่อให้การใช้บริการ การเชื่อมต่อ หรือการเข้าถึงข้อมูลและระบบของบริษัทเป็นไปอย่างเหมาะสมและปลอดภัย
   
   บริษัทติดตามและทบทวนการปฏิบัติตามข้อกำหนดที่เกี่ยวข้องตามความเหมาะสม เพื่อลดความเสี่ยงที่อาจส่งผลกระทบต่อข้อมูล ระบบ บริการ ลูกค้า และผู้มีส่วนได้เสียของบริษัท
6. การบริหารความเสี่ยงด้านความมั่นคงปลอดภัยไซเบอร์ (Cyber Security Risk Management)
   บริษัทกำหนดแนวทางในการระบุ ประเมิน จัดการ และติดตามความเสี่ยงด้านความมั่นคงปลอดภัยไซเบอร์อย่างต่อเนื่อง โดยพิจารณาจากบริบททางธุรกิจ ความสำคัญของข้อมูล ระบบสารสนเทศ ระบบคอมพิวเตอร์ แอปพลิเคชัน โครงสร้างพื้นฐาน บริการ และผลกระทบที่อาจเกิดขึ้นต่อบริษัท ลูกค้า และผู้มีส่วนได้เสีย
   
   บริษัทบริหารจัดการความเสี่ยงด้านความมั่นคงปลอดภัยไซเบอร์ให้อยู่ในระดับที่เหมาะสมและสอดคล้องกับระดับความเสี่ยงที่บริษัทยอมรับได้ โดยกำหนดมาตรการควบคุม การลดความเสี่ยง การติดตามผล และการทบทวนความเสี่ยงตามความเหมาะสม
   
   การบริหารความเสี่ยงด้านความมั่นคงปลอดภัยไซเบอร์เป็นส่วนหนึ่งของการกำกับดูแลและการบริหารความเสี่ยงองค์กร เพื่อสนับสนุนการตัดสินใจ การจัดลำดับความสำคัญของการดำเนินงาน และการยกระดับความมั่นคงปลอดภัยไซเบอร์ของบริษัทอย่างต่อเนื่อง
7. การบริหารจัดการทรัพย์สินสารสนเทศ (Asset Management)
   บริษัทกำหนดให้มีการบริหารจัดการทรัพย์สินสารสนเทศอย่างเหมาะสม ครอบคลุมการระบุ การจัดทำบัญชี การกำหนดเจ้าของหรือผู้รับผิดชอบ และการดูแลทรัพย์สินสารสนเทศตลอดวงจรชีวิตการใช้งาน
   
   การบริหารจัดการทรัพย์สินสารสนเทศต้องพิจารณาตามระดับความสำคัญ ความอ่อนไหว และความเสี่ยงของข้อมูล ระบบสารสนเทศ ระบบคอมพิวเตอร์ อุปกรณ์ โครงสร้างพื้นฐาน และทรัพยากรที่เกี่ยวข้อง เพื่อให้สามารถกำหนดมาตรการปกป้องได้อย่างเหมาะสม
   
   พนักงาน ผู้ปฏิบัติงาน และผู้เกี่ยวข้องต้องใช้งานทรัพย์สินสารสนเทศของบริษัทตามวัตถุประสงค์ทางธุรกิจ และปฏิบัติตามนโยบาย มาตรฐาน แนวปฏิบัติ และข้อกำหนดด้านความมั่นคงปลอดภัยไซเบอร์ที่บริษัทกำหนด
8. การบริหารจัดการช่องโหว่ทางเทคนิค (Management of Technical Vulnerabilities)
   บริษัทให้ความสำคัญกับการบริหารจัดการช่องโหว่ทางเทคนิคของระบบสารสนเทศ ระบบคอมพิวเตอร์ แอปพลิเคชัน โครงสร้างพื้นฐาน เครือข่าย และอุปกรณ์ที่เกี่ยวข้อง เพื่อลดความเสี่ยงจากภัยคุกคามทางไซเบอร์ และสนับสนุนให้ระบบและบริการของบริษัทมีความมั่นคงปลอดภัยอย่างเหมาะสม
   
   บริษัทกำหนดแนวทางในการตั้งค่าระบบให้มีความมั่นคงปลอดภัย (System Hardening) การประเมินช่องโหว่ (Vulnerability Assessment) การทดสอบเจาะระบบ (Penetration Testing) และการบริหารจัดการแพตช์ (Patch Management) โดยพิจารณาตามระดับความเสี่ยง ความสำคัญของระบบ และผลกระทบที่อาจเกิดขึ้นต่อการดำเนินธุรกิจ ลูกค้า และผู้มีส่วนได้เสีย
   
   บริษัทติดตาม จัดลำดับความสำคัญ และบริหารจัดการการแก้ไขช่องโหว่หรือข้อบกพร่องด้านความมั่นคงปลอดภัยตามกระบวนการที่บริษัทกำหนด เพื่อช่วยลดโอกาสเกิดเหตุการณ์ด้านความมั่นคงปลอดภัยไซเบอร์ และยกระดับความมั่นคงปลอดภัยของระบบอย่างต่อเนื่อง
9. การรักษาความมั่นคงปลอดภัยทางกายภาพและอุปกรณ์ (Physical and Equipment Security)
   บริษัทกำหนดมาตรการรักษาความมั่นคงปลอดภัยทางกายภาพและอุปกรณ์ที่เกี่ยวข้องกับข้อมูล ระบบสารสนเทศ ระบบคอมพิวเตอร์ โครงสร้างพื้นฐาน และบริการสำคัญของบริษัท เพื่อป้องกันการเข้าถึง การใช้งาน การเปลี่ยนแปลง ความเสียหาย การสูญหาย หรือการรบกวนการให้บริการโดยไม่ได้รับอนุญาต
   
   มาตรการดังกล่าวครอบคลุมการดูแลพื้นที่ปฏิบัติงาน พื้นที่ที่มีความสำคัญต่อการให้บริการ อุปกรณ์ ระบบสนับสนุน และสภาพแวดล้อมที่เกี่ยวข้อง โดยพิจารณาตามระดับความสำคัญของข้อมูล ระบบ และบริการ เพื่อสนับสนุนความมั่นคงปลอดภัย ความพร้อมใช้งาน และความต่อเนื่องของการดำเนินธุรกิจ
10. การบริหารจัดการการควบคุมการเข้าถึง (Access Control Management)
    บริษัทกำหนดให้การเข้าถึงข้อมูล ระบบสารสนเทศ ระบบคอมพิวเตอร์ แอปพลิเคชัน เครือข่าย และทรัพยากรด้านเทคโนโลยีสารสนเทศของบริษัทเป็นไปตามหลักความจำเป็นในการใช้งานและหลักสิทธิ์เท่าที่จำเป็น เพื่อป้องกันการเข้าถึงหรือการใช้งานโดยไม่ได้รับอนุญาต
    
    บริษัทกำหนดแนวทางในการบริหารจัดการอัตลักษณ์และสิทธิ์การเข้าถึง (Identity and Access Management) การบริหารจัดการรหัสผ่านและข้อมูลยืนยันตัวตน (Password Management) การปฏิบัติงานจากระยะไกล (Remote Access) การควบคุมการเข้าถึงเครือข่าย (Network Access Control) และการควบคุมการเข้าถึงซอร์สโค้ด (Access to Source Code) โดยพิจารณาตามหน้าที่ความรับผิดชอบ ความจำเป็นทางธุรกิจ และระดับความเสี่ยงของข้อมูลหรือระบบที่เกี่ยวข้อง
    
    บริษัทดำเนินการกำหนด อนุมัติ ทบทวน ปรับปรุง และยกเลิกสิทธิ์การเข้าถึงตามกระบวนการที่บริษัทกำหนด เพื่อให้สิทธิ์การเข้าถึงมีความเหมาะสมและเป็นปัจจุบัน
11. การบริหารจัดการอุปกรณ์ปลายทางอย่างปลอดภัย (Endpoint Security Management)
    บริษัทกำหนดมาตรการที่เหมาะสมในการปกป้องอุปกรณ์ปลายทาง และสภาพแวดล้อมการใช้งานระบบคอมพิวเตอร์ เพื่อสนับสนุนให้การเข้าถึงข้อมูล ระบบสารสนเทศ แอปพลิเคชัน และบริการดิจิทัลของบริษัทเป็นไปอย่างมั่นคงปลอดภัย
    
    แนวทางดังกล่าวครอบคลุมการใช้งานอุปกรณ์และพื้นที่ปฏิบัติงานอย่างปลอดภัย การป้องกันโปรแกรมไม่ประสงค์ดี (Protection Against Malicious Software) การใช้ซอฟต์แวร์ที่ถูกต้องตามกฎหมายและเหมาะสมต่อการปฏิบัติงาน (Software Licensing) รวมถึงการบริหารจัดการความเสี่ยงจากการใช้อุปกรณ์พกพา การปฏิบัติงานจากภายนอกบริษัท และการทำงานจากระยะไกล (Mobile Computing and Teleworking)
    
    พนักงานและผู้เกี่ยวข้องต้องใช้งานอุปกรณ์ ระบบ และทรัพย์สินสารสนเทศของบริษัทตามนโยบาย มาตรฐาน และข้อกำหนดด้านความมั่นคงปลอดภัยไซเบอร์ที่บริษัทกำหนด เพื่อช่วยลดความเสี่ยงต่อข้อมูล ระบบ และบริการของบริษัท
12. การบริหารจัดการการเปลี่ยนแปลง (Change Management)
    บริษัทกำหนดให้การเปลี่ยนแปลงที่เกี่ยวข้องกับระบบสารสนเทศ ระบบคอมพิวเตอร์ แอปพลิเคชัน เครือข่าย โครงสร้างพื้นฐาน และบริการดิจิทัลของบริษัท ต้องได้รับการประเมิน วางแผน อนุมัติ ดำเนินการ และติดตามผลอย่างเหมาะสม เพื่อควบคุมความเสี่ยงและลดผลกระทบที่อาจเกิดขึ้นต่อการดำเนินธุรกิจ ระบบ บริการ ลูกค้า และผู้มีส่วนได้เสีย
    
    การบริหารจัดการการเปลี่ยนแปลงต้องคำนึงถึงข้อกำหนดด้านความมั่นคงปลอดภัยไซเบอร์ ความพร้อมใช้งานของระบบ ความต่อเนื่องของบริการ และการป้องกันผลกระทบที่อาจเกิดจากการเปลี่ยนแปลง ทั้งนี้ ให้เป็นไปตามกระบวนการและเงื่อนไขที่บริษัทกำหนด
13. การบริหารจัดการแอปพลิเคชันอย่างปลอดภัย (Application Security Management)
    บริษัทกำหนดแนวทางในการพัฒนา ดูแล และใช้งานแอปพลิเคชันอย่างมั่นคงปลอดภัย โดยนำข้อกำหนดด้านความมั่นคงปลอดภัยไซเบอร์มาพิจารณาตลอดวงจรชีวิตของแอปพลิเคชัน ตั้งแต่การออกแบบ การพัฒนา การทดสอบ การนำไปใช้งาน และการบำรุงรักษาระบบ
    
    แนวทางดังกล่าวครอบคลุมการกำหนดข้อกำหนดด้านความมั่นคงปลอดภัยของแอปพลิเคชัน (Application Security Requirements) การพัฒนาชุดคำสั่งอย่างปลอดภัย (Secure Coding) การแยกสภาพแวดล้อมของการพัฒนา การทดสอบ และการใช้งานจริง (Separation of Development, Test and Production Environments) รวมถึงการบริหารจัดการความเสี่ยงจากการพัฒนาโดยบุคคลภายนอก Application Programming Interface (API) และส่วนประกอบจากบุคคลภายนอก
    
    บริษัทมุ่งเน้นให้แอปพลิเคชันและบริการดิจิทัลของบริษัทได้รับการออกแบบ พัฒนา และปรับปรุงโดยคำนึงถึงความมั่นคงปลอดภัย ความเป็นส่วนตัว ความน่าเชื่อถือ และความพร้อมใช้งานของบริการ ตามระดับความเสี่ยงและความสำคัญของระบบที่เกี่ยวข้อง
14. การบริหารจัดการความปลอดภัยของข้อมูล (Data Security Management)
    บริษัทให้ความสำคัญกับการคุ้มครองข้อมูลของบริษัท ลูกค้า คู่ค้า พนักงาน และผู้มีส่วนได้เสีย โดยกำหนดแนวทางในการบริหารจัดการความปลอดภัยของข้อมูลให้เหมาะสมตามระดับความสำคัญ ความอ่อนไหว ความเสี่ยง และข้อกำหนดที่เกี่ยวข้อง
    
    แนวทางดังกล่าวครอบคลุมการจัดชั้นความลับของข้อมูล (Data Classification and Handling) การเข้ารหัสข้อมูล (Data Encryption) การเก็บรักษาข้อมูล (Data at Rest) การถ่ายโอนข้อมูล (Data in Transit) การสำรองและกู้คืนข้อมูล (Data Backup and Restoration) การลบทำลายข้อมูล (Information Disposal) และการใช้งานข้อมูลสำหรับการทดสอบระบบ (Test Information) อย่างเหมาะสม เพื่อป้องกันการเข้าถึง การเปิดเผย การเปลี่ยนแปลง การสูญหาย หรือการทำลายข้อมูลโดยไม่ได้รับอนุญาต
    
    บริษัทดำเนินการบริหารจัดการความปลอดภัยของข้อมูลตลอดวงจรชีวิตของข้อมูล เพื่อรักษาความลับ ความถูกต้องครบถ้วน และความพร้อมใช้งานของข้อมูล รวมถึงสนับสนุนการปฏิบัติตามกฎหมาย ข้อกำหนดของหน่วยงานกำกับดูแล และมาตรฐานที่เกี่ยวข้องกับการดำเนินธุรกิจของบริษัท
15. การบริหารจัดการความมั่นคงปลอดภัยโครงสร้างพื้นฐาน (Infrastructure Security Management)
    บริษัทกำหนดแนวทางในการบริหารจัดการความมั่นคงปลอดภัยของโครงสร้างพื้นฐานด้านเทคโนโลยีสารสนเทศ เครือข่าย ระบบคลาวด์ ระบบสนับสนุน และสภาพแวดล้อมที่เกี่ยวข้องกับการให้บริการและการดำเนินธุรกิจของบริษัท เพื่อสนับสนุนให้ระบบและบริการมีความมั่นคงปลอดภัย เชื่อถือได้ และพร้อมใช้งานอย่างเหมาะสม
    
    แนวทางดังกล่าวครอบคลุมการบริหารความมั่นคงปลอดภัยของระบบคลาวด์ (Cloud Security Management) การบริหารความมั่นคงปลอดภัยของเครือข่าย (Network Security Management) รวมถึงการตรวจสอบ บันทึก และติดตามเหตุการณ์ที่เกี่ยวข้องกับระบบและบริการ (Logging and Monitoring) ตามระดับความเสี่ยง ความสำคัญของระบบ และข้อกำหนดที่บริษัทกำหนด
    
    บริษัทดำเนินการควบคุม ติดตาม และทบทวนมาตรการด้านความมั่นคงปลอดภัยของโครงสร้างพื้นฐานอย่างเหมาะสม เพื่อลดความเสี่ยงจากภัยคุกคามทางไซเบอร์ และสนับสนุนความต่อเนื่องของการให้บริการแก่ลูกค้าและผู้มีส่วนได้เสีย
16. การบริหารจัดการด้านความปลอดภัยการใช้งานปัญญาประดิษฐ์ (Artificial Intelligence Security Management)
    บริษัทกำหนดแนวทางในการใช้งาน พัฒนา และบริหารจัดการปัญญาประดิษฐ์อย่างมั่นคงปลอดภัย มีความรับผิดชอบ และสอดคล้องกับกฎหมาย ข้อกำหนดของหน่วยงานกำกับดูแล นโยบายด้านข้อมูล และมาตรฐานที่เกี่ยวข้อง
    
    แนวทางดังกล่าวครอบคลุมการบริหารความเสี่ยงที่เกี่ยวข้องกับการใช้งานปัญญาประดิษฐ์ การคุ้มครองข้อมูลที่ใช้กับระบบหรือบริการที่เกี่ยวข้องกับปัญญาประดิษฐ์ การควบคุมการเข้าถึง การใช้งานอย่างเหมาะสม และการป้องกันผลกระทบที่อาจเกิดขึ้นต่อบริษัท ลูกค้า และผู้มีส่วนได้เสีย
    
    บริษัทส่งเสริมให้มีการกำกับดูแลการใช้งานปัญญาประดิษฐ์ตามความเหมาะสม เพื่อสนับสนุนการนำเทคโนโลยีดังกล่าวมาใช้ในการดำเนินธุรกิจอย่างปลอดภัย โปร่งใส เชื่อถือได้ และสอดคล้องกับหลักการกำกับดูแลที่บริษัทกำหนด
17. การสร้างความตระหนักรู้และการอบรม (Awareness, Education and Training)
    บริษัทส่งเสริมการสร้างความตระหนักรู้ ความรู้ ความเข้าใจ และความรับผิดชอบด้านความมั่นคงปลอดภัยไซเบอร์ให้แก่พนักงาน ผู้ปฏิบัติงาน และผู้เกี่ยวข้องตามความเหมาะสม เพื่อให้สามารถปฏิบัติงาน ใช้งานข้อมูล ระบบสารสนเทศ ระบบคอมพิวเตอร์ และทรัพย์สินสารสนเทศของบริษัทได้อย่างมั่นคงปลอดภัย
    
    บริษัทจัดให้มีการสื่อสาร การให้ความรู้ และการอบรมด้านความมั่นคงปลอดภัยไซเบอร์อย่างเหมาะสม โดยคำนึงถึงบทบาทหน้าที่ ความรับผิดชอบ ลักษณะงาน และความเสี่ยงที่เกี่ยวข้อง เพื่อสนับสนุนให้บุคลากรสามารถป้องกัน ตรวจพบ รายงาน และตอบสนองต่อความเสี่ยงหรือเหตุการณ์ด้านความมั่นคงปลอดภัยไซเบอร์ได้อย่างเหมาะสม
    
    บริษัทมุ่งส่งเสริมวัฒนธรรมด้านความมั่นคงปลอดภัยไซเบอร์ทั่วทั้งองค์กร โดยถือว่าการรักษาความมั่นคงปลอดภัยไซเบอร์เป็นความรับผิดชอบร่วมกันของทุกคน และเป็นองค์ประกอบสำคัญในการปกป้องข้อมูล ระบบ บริการ ลูกค้า และผู้มีส่วนได้เสียของบริษัท
18. การบริหารจัดการเหตุการณ์ความมั่นคงปลอดภัยไซเบอร์ (Cyber Security Incident Management)
    บริษัทจัดให้มีกระบวนการในการเฝ้าระวัง ตรวจจับ รายงาน ประเมิน ตอบสนอง ควบคุมผลกระทบ และฟื้นฟูจากเหตุการณ์ด้านความมั่นคงปลอดภัยไซเบอร์อย่างเหมาะสม เพื่อลดผลกระทบที่อาจเกิดขึ้นต่อข้อมูล ระบบสารสนเทศ ระบบคอมพิวเตอร์ บริการ ลูกค้า และการดำเนินธุรกิจของบริษัท
    
    เหตุการณ์ด้านความมั่นคงปลอดภัยไซเบอร์ที่เกิดขึ้นหรือมีแนวโน้มจะเกิดขึ้นต้องได้รับการบริหารจัดการตามระดับความรุนแรง ผลกระทบ และกระบวนการที่บริษัทกำหนด รวมถึงมีการประสานงานกับหน่วยงานที่เกี่ยวข้องตามความเหมาะสม เพื่อให้การตอบสนองต่อเหตุการณ์เป็นไปอย่างมีประสิทธิภาพและสอดคล้องกับข้อกำหนดที่เกี่ยวข้อง
    
    บริษัทนำผลจากการบริหารจัดการเหตุการณ์ การทดสอบ และบทเรียนที่ได้รับมาใช้ในการปรับปรุงมาตรการควบคุม กระบวนการตอบสนอง และความพร้อมในการรับมือภัยคุกคามทางไซเบอร์อย่างต่อเนื่อง
19. การจัดการความต่อเนื่องทางธุรกิจ (Business Continuity Management)
    บริษัทให้ความสำคัญกับการรักษาความต่อเนื่องของการดำเนินธุรกิจ บริการที่สำคัญ ระบบสารสนเทศ ระบบคอมพิวเตอร์ โครงสร้างพื้นฐาน ข้อมูล และทรัพยากรที่จำเป็นต่อการให้บริการแก่ลูกค้าและผู้มีส่วนได้เสีย โดยกำหนดแนวทางในการเตรียมความพร้อม การตอบสนอง และการฟื้นฟูเมื่อเกิดเหตุการณ์ที่อาจส่งผลกระทบต่อการดำเนินงานของบริษัท
    
    บริษัทพิจารณาความเสี่ยงด้านความมั่นคงปลอดภัยไซเบอร์เป็นส่วนหนึ่งของการจัดการความต่อเนื่องทางธุรกิจ เพื่อสนับสนุนให้ระบบ ข้อมูล และบริการที่สำคัญมีความพร้อมใช้งาน สามารถฟื้นฟูได้อย่างเหมาะสม และลดผลกระทบที่อาจเกิดขึ้นต่อการดำเนินธุรกิจ ลูกค้า และผู้มีส่วนได้เสีย
    
    บริษัททบทวนและปรับปรุงแนวทางการจัดการความต่อเนื่องทางธุรกิจที่เกี่ยวข้องกับความมั่นคงปลอดภัยไซเบอร์ตามความเหมาะสม เพื่อให้สอดคล้องกับการเปลี่ยนแปลงของภัยคุกคาม เทคโนโลยี ธุรกิจ กฎหมาย ข้อกำหนดของหน่วยงานกำกับดูแล และมาตรฐานที่เกี่ยวข้อง

วันที่แก้ไขล่าสุด : วันที่ 31 กรกฎาคม 2569