ราชกิจจานุเบกษา เล่ม 142 ตอนพิเศษ 305 ง Website Security Standard v1.0
จัดทำโดย Incognito Lab — บริษัทที่ปรึกษาด้านความมั่นคงปลอดภัยไซเบอร์
ประกาศคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (สกมช.) กำหนดข้อกำหนดขั้นต่ำที่หน่วยงานของรัฐ หน่วยงานควบคุมหรือกำกับดูแล และหน่วยงาน CII ต้องปฏิบัติตามสำหรับเว็บไซต์ของตน หน้านี้ย่อสาระทั้ง 77 หน้าให้เป็นลำดับขั้นที่ลงมือทำได้จริง
เริ่มประเมินตนเอง· ประมาณ 20–30 นาที
ส่วนของข้อกำหนด — การกำกับดูแล (ข้อ 5) และการดำเนินการ (ข้อ 6)
หมวดในแบบตรวจรายการ (ฟอร์ม ค1)
ประเมินตนเองขั้นต่ำ — และเป็นจังหวะของ VA/Pentest, ฝึกซ้อม IR และ BCP
สแกนช่องโหว่ขั้นต่ำ — ทุก 90 วัน (แนะนำ: เดือนละครั้ง)
1
ประกาศแบ่งผู้เกี่ยวข้องเป็น 2 กลุ่ม (ตาราง ค7) กลุ่มหนึ่ง “จะต้องปฏิบัติตาม” อีกกลุ่มเป็นการ “ส่งเสริมให้ปฏิบัติตาม” เลือกประเภทหน่วยงานเพื่อดูผล
อยู่ในกลุ่มที่ 1 ตามตาราง ค7 ต้องดำเนินการให้เว็บไซต์เป็นไปตามมาตรฐานฉบับนี้ ประเมินตนเองด้วยแบบฟอร์ม ค1 และ ค2 (ถ้ามี) อย่างน้อยปีละ 1 ครั้ง และมีข้อกำหนดเฉพาะเพิ่มเติมคือ ข้อ 5.6.4 (มาตรฐานเว็บไซต์ภาครัฐ v3.0 หัวข้อ 7) และ ข้อ 5.6.7 (Website Security Guideline ของ สกมช.)
2
ข้อ 4 ของประกาศกำหนดกิจกรรมบังคับ 4 อย่าง โดยข้อ 5–6 กำหนดว่าเมื่อทำเสร็จแล้วต้องรายงานใคร และถ้าไม่ผ่านต้องทำอย่างไรต่อ
1 · ข้อ 4 (1)
ให้กับข้อมูลหรือระบบสารสนเทศของเว็บไซต์ ครบทั้ง 3 ด้าน — ความลับ (C) ความถูกต้องครบถ้วน (I) และสภาพพร้อมใช้ (A)
2 · ข้อ 4 (2)
ประเมิน 4 ด้านผลกระทบ (ตาราง ค1–ค4) แล้วสรุปใน ตาราง ค5 โดยยึดระดับที่สูงที่สุดเป็นระดับของเว็บไซต์
3 · ข้อ 4 (3)
นำระดับผลกระทบไปเทียบ ตาราง ค6 เพื่อรู้ว่าข้อไหนบังคับ ข้อไหนได้รับการยกเว้นสำหรับระดับของคุณ
4 · ข้อ 4 (4)
กรอกแบบฟอร์ม ค1 ทั้งฉบับ อย่างน้อยปีละ 1 ครั้ง พร้อมแนบหลักฐานประกอบทุกข้อที่ตอบว่าดำเนินการแล้ว
พบข้อที่ “ยังต้องปรับปรุง” ให้จัดทำแบบฟอร์ม ค2 แล้วแจ้งผู้บริหารระดับสูงสุดก่อนลงมือแก้ไข (ข้อ 6)
3
ประเมินผลกระทบ 4 ด้าน — มูลค่าความเสียหายทางการเงิน/ทรัพย์สิน/ชื่อเสียง · จำนวนผู้ได้รับอันตราย · ความสามารถในการดำเนินงานตามหน้าที่ · ความมั่นคงของรัฐและความสงบเรียบร้อย — แล้วเลือกระดับที่สูงที่สุด การเลือกด้านล่างจะปรับทั้งรายละเอียดข้อกำหนดและรายการตรวจสอบทั้งหน้าให้ตรงกับระดับของคุณ
ขอบเขตข้อกำหนดขั้นต่ำ (ตาราง ค6): ข้อ 5 ทุกข้อ · ข้อ 6 ยกเว้น 6.1.1 เฉพาะส่วนประเมินช่องโหว่/ทดสอบเจาะระบบ และ Third Party Management, 6.2.1, 6.2.3 (5)–(7) และ 6.2.4 เฉพาะส่วนการแบ่งปันข้อมูล
4
คลิกแต่ละหมวดเพื่อกางรายละเอียด ข้อที่ถูกยกเว้นในระดับผลกระทบที่คุณเลือกจะแสดงเป็นสีจาง
ข้อกำหนด (Requirement) — สิ่งที่จะต้องปฏิบัติตาม ไม่ทำถือว่าไม่เป็นไปตามมาตรฐาน และต้องกรอกลงแบบฟอร์ม ค2
ข้อเสนอแนะ (Recommendation) — สิ่งที่ควรจะปฏิบัติตาม หากไม่ทำควรมีเหตุผลรองรับที่อธิบายได้
สิ่งที่ยินยอมหรืออนุญาตให้ทำได้ (Permission) — สิ่งที่อาจจะปฏิบัติตาม เป็นทางเลือก ไม่ทำก็ไม่ถือว่าไม่ผ่าน
ป้ายสีเขียวคือข้อที่มีความถี่กำกับ ต้องทำซ้ำตามรอบ ไม่ใช่ทำครั้งเดียวจบ
5
ตัวเลขทั้งหมดในตารางนี้เป็นข้อมูลที่อ้างอิงโดยตรงจากประกาศหรือภาคผนวกที่เกี่ยวข้อง โดยใช้เป็นกรอบสำหรับปฏิทินการดำเนินงานประจำปีและเป็นเกณฑ์ในการกำหนดค่าระบบ
| กิจกรรม | ความถี่ขั้นต่ำ | ระดับ | อ้างอิง |
|---|---|---|---|
| ประเมินตนเองด้วยแบบฟอร์ม ค1 (Self-Assessment) | อย่างน้อยปีละ 1 ครั้ง | ทุกระดับ | ข้อ 4 วรรคสอง / 7.2.1.1 |
| ตรวจสอบทะเบียนทรัพย์สิน และปรับปรุงทุกครั้งที่มีการเปลี่ยนแปลง | อย่างน้อยปีละ 1 ครั้ง | กลางสูง | ฟอร์ม ค1 ข้อ 7.1 |
| ประเมินความเสี่ยง (หรือเมื่อมีการเปลี่ยนแปลงสำคัญ) | อย่างน้อยปีละ 1 ครั้ง | กลางสูง | ข้อ 6.1.1 / ภาคผนวก ข |
| สแกนช่องโหว่ (Vulnerability Scan) | ปีละ 4 ครั้ง รอบไม่เกิน 90 วัน · แนะนำเดือนละครั้ง | สูง | ภาคผนวก ข ข้อ 6.1.1 |
| ทดสอบเจาะระบบ (Penetration Test) | ควรจะอย่างน้อยปีละ 1 ครั้ง | สูง | ฟอร์ม ค1 ข้อ 7.1 |
| ทบทวนกลไกและกระบวนการตรวจจับภัยคุกคาม | อย่างน้อยปีละ 1 ครั้ง | กลางสูง | ข้อ 6.3.1 |
| ฝึกซ้อมแผนรับมือภัยคุกคาม (Website Security Exercise) | อย่างน้อยปีละ 1 ครั้ง | กลางสูง | ข้อ 6.4.1 |
| ฝึกซ้อมแผนความต่อเนื่องทางธุรกิจ (BCP) | อย่างน้อยปีละ 1 ครั้ง | กลางสูง | ข้อ 6.5.1 |
| สำรองข้อมูลโดยผู้ให้บริการเว็บโฮสติ้ง | อย่างน้อยวันละ 1 ครั้ง | ทุกระดับ | ภาคผนวก ข ข้อ 6.2.7 |
| ทดสอบการกู้คืนข้อมูลจริง | เป็นระยะ ตามเวลาที่เหมาะสม | ทุกระดับ | ข้อ 5.6.8 (4) |
| อัปเดตซอฟต์แวร์ไฟร์วอลล์และกฎการกรอง | เป็นประจำ (Regular Updates) | ทุกระดับ | ข้อ 6.2.8 (6) |
| ทบทวนและปรับปรุงนโยบายความมั่นคงปลอดภัยเว็บไซต์ | เมื่อความต้องการ ภัยคุกคาม เทคโนโลยี หรือภารกิจเปลี่ยน | ทุกระดับ | ข้อ 5.2.2 |
| รายการ | ค่า | บริบท |
|---|---|---|
| ความยาวรหัสผ่านสูงสุดที่ระบบต้องรองรับ | อย่างน้อย 64 ตัวอักษร | นโยบายรหัสผ่าน อ้างอิง NIST SP 800-63B |
| ห้ามใช้รหัสผ่านซ้ำย้อนหลัง | 5 ชุดล่าสุด | การตั้งรหัสผ่านใหม่ |
| Session Lock เมื่อไม่มีการใช้งาน | 15 นาที หรือน้อยกว่า | การควบคุมการเข้าถึง |
| ล็อกอินผิดติดต่อกันจนระงับบัญชีชั่วคราว | 5 ครั้ง → ระงับอย่างน้อย 15 นาที | ป้องกัน Brute Force + แจ้งเตือนผู้ดูแล |
| บัญชีที่ไม่ล็อกอินนานจนควรระงับอัตโนมัติ | 45 วัน | การควบคุมการเข้าถึง |
| ค่า keep-alive ของเครื่องบริการเว็บ | มากกว่า 0 และต่ำกว่า 10 วินาที | ตั้งค่าเครือข่ายกัน DoS |
| พอร์ตที่เปิดบนไฟร์วอลล์ | เปิดเฉพาะ 443 (HTTPS) ข้อ 6.2.8 ให้ปิด 80 · ข้อ 6.2.6 ให้ redirect HTTP→HTTPS | ดูหมายเหตุใต้ตาราง |
| Uptime ขั้นต่ำของผู้ให้บริการเว็บ | ไม่ต่ำกว่า 99.9% | การเลือกบริการเครื่องบริการเว็บ |
| ระดับผลกระทบที่ต้องประเมิน | 4 ด้าน × 3 ระดับ (ต่ำ/กลาง/สูง) | ตาราง ค1–ค5 ยึดระดับสูงสุด |
ข้อ 6.2.8 (2) การตั้งค่าไฟร์วอลล์ ระบุให้ “เปิดเฉพาะพอร์ต 443 หรือ HTTPS ให้ปิดการใช้งานพอร์ต 80” ขณะที่ ข้อ 6.2.6 (7) การตั้งค่าเครื่องบริการเว็บ ระบุว่า “จะต้องมีการส่งต่อการติดต่อจากโพรโทคอล HTTP ไปยังโพรโทคอล HTTPS” ซึ่งการ redirect ได้จำเป็นต้องเปิดพอร์ต 80 ไว้รับคำขอก่อน
ข้อเสนอแนะในทางปฏิบัติ: สำหรับเว็บไซต์สาธารณะ ควรเปิดพอร์ต 80 ไว้เฉพาะเพื่อตอบ 301 redirect ไป HTTPS แล้วเปิด HSTS (พร้อมพิจารณา preload) เพราะถ้าปิด 80 ทิ้งไปเลย ผู้ใช้ที่พิมพ์ที่อยู่เว็บโดยไม่ใส่ https:// จะเจอหน้า error แทนที่จะถูกพาไปหน้าที่ปลอดภัย และยังเปิดช่องให้ถูกดักกลางทางได้ง่ายกว่าเดิม · การปิดพอร์ต 80 ทั้งหมดเหมาะกับ เว็บไซต์ภายในหรือ API ที่ผู้ใช้ทุกรายเข้าผ่าน https:// อยู่แล้ว เท่านั้น
ทั้งสองแนวทางถือว่าสอดคล้องกับเจตนาของประกาศคือไม่ให้มีการรับส่งข้อมูลแบบไม่เข้ารหัส — สิ่งที่ต้องหลีกเลี่ยงคือการเปิดพอร์ต 80 ให้บริการเนื้อหาจริงโดยไม่ redirect · แนะนำให้บันทึกเหตุผลที่เลือกไว้เป็นหลักฐานประกอบข้อ 6.2.8
| ประเภทข้อมูล | ความถี่ | ประเภทการสำรอง |
|---|---|---|
| ฐานข้อมูลที่มีการเปลี่ยนแปลงสูง | ทุก ๆ 24 ชั่วโมง | Full Backup ประจำสัปดาห์ + Incremental ทุกวัน |
| ไฟล์เอกสารสำคัญ | ทุก ๆ 48 ชั่วโมง | Full Backup ประจำเดือน + Differential ทุกสัปดาห์ |
| ระบบไฟล์ทั่วไป | ทุกสัปดาห์ | Full Backup |
| ไฟล์สื่อ (วิดีโอ ภาพ) | ทุกเดือน | Full Backup |
| เอกสารที่ใช้งานไม่บ่อย | ทุก 3–6 เดือน | Full Backup |
6–8
แบบฟอร์ม ค1 และ ค2 ย้ายไปอยู่ในแบบประเมินแยกต่างหาก ทำทีละหน้าจอ ประเมินผลกระทบ 4 ด้านก่อน แล้วระบบจะตัดข้อที่ไม่บังคับใช้กับหน่วยงานของคุณออกให้
9
แบบฟอร์ม ค1 · ต้นฉบับ
3 ส่วน — (1) ข้อมูลเว็บไซต์และผู้รับผิดชอบ (2) กำหนดคุณลักษณะและประเมินระดับผลกระทบ ตาราง ค1–ค7 (3) แบบตรวจรายการ 11 หมวด ประเมินเป็น “ดำเนินการแล้ว / อยู่ระหว่างดำเนินการ / ยังไม่ได้ดำเนินการ” และสรุปแต่ละข้อกำหนดเป็น “ดำเนินการแล้ว” หรือ “ยังต้องปรับปรุง” พร้อมช่องหลักฐาน
แบบฟอร์ม ค2 · ต้นฉบับ
สำหรับทุกข้อที่ประเมินได้ว่า “ยังต้องปรับปรุง” ระบุ ข้อกำหนดที่ยังต้องปรับปรุง · สาเหตุ · การปรับปรุงแก้ไขในเบื้องต้น · รายการแก้ไข · ผู้รับผิดชอบดำเนินการ · กำหนดวันที่แล้วเสร็จ
หลักฐานประกอบ
เช่น นโยบายที่ประกาศใช้ ทะเบียนความเสี่ยง (Risk Register) ทะเบียนทรัพย์สิน รายงานผลสแกนช่องโหว่ รายงาน Pentest แผน IR/BCP และบันทึกการฝึกซ้อม — ต้องเก็บไว้ที่หน่วยงานเพื่อให้ สกมช. ตรวจสอบ
ทะเบียนอ้างอิง
กดเพื่อเปิดเอกสารต้นทาง — ทุกลิงก์มาจากบรรณานุกรมท้ายประกาศ
ประกาศฉบับนี้มีผลบังคับใช้ตั้งแต่วันที่ 16 กันยายน 2569 คือหนึ่งปีหลังวันประกาศในราชกิจจานุเบกษาตามข้อ 2 หน่วยงานของรัฐ หน่วยงานควบคุมหรือกำกับดูแล และหน่วยงาน CII อยู่ในกลุ่มที่ต้องปฏิบัติตามทั้งฉบับ ส่วนหน่วยงานเอกชนอยู่ในกลุ่มที่ สกมช. ส่งเสริมให้นำไปปรับใช้ แต่ยังต้องประเมินตนเองด้วยแบบ ค1 เช่นกัน
หน่วยงานที่อยู่ในข่ายบังคับต้องกรอกแบบประเมินตนเอง ค1 อย่างน้อยปีละ 1 ครั้ง และสำหรับข้อกำหนดใดที่ประเมินแล้วยังไม่ผ่าน ต้องจัดทำแบบฟอร์ม ค2 ระบุสาเหตุ แนวทางแก้ไข ผู้รับผิดชอบ และกำหนดวันแล้วเสร็จ ก่อนเสนอผู้บริหารระดับสูงสุดของหน่วยงาน
ขึ้นอยู่กับระดับผลกระทบของเว็บไซต์ ถ้าเว็บไซต์อยู่ในระดับผลกระทบสูง หน่วยงานต้องเสนอผลต่อผู้บริหารระดับสูงสุด เสนอต่อหน่วยงานควบคุมหรือกำกับดูแล (ถ้ามี) และส่งสำเนาแบบฟอร์ม ค1 และ ค2 ให้สำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (สกมช.) แต่ถ้าอยู่ในระดับต่ำหรือกลาง ให้เก็บรักษาเอกสารไว้ที่หน่วยงานเพื่อรอการตรวจสอบจาก สกมช. เท่านั้น ไม่ต้องส่งเอง
ถ้าใบรับรอง ISO/IEC 27001 มีขอบเขตครอบคลุมเว็บไซต์ที่ประเมิน หน่วยงานอาจพิจารณาดำเนินการเฉพาะส่วนที่ยังไม่ตรงตาม ISO/IEC 27001 ตามความจำเป็นและเหมาะสม แต่ถ้ายังไม่ได้รับรอง หรือขอบเขตการรับรองไม่ครอบคลุมเว็บไซต์ ต้องประเมินตามข้อกำหนดทั้งฉบับตามปกติ
ระดับผลกระทบมาจากการประเมิน 4 ด้านตามตาราง ค1–ค4 แล้วยึดระดับที่สูงที่สุดเป็นระดับของเว็บไซต์ (ตาราง ค5) เว็บไซต์ระดับต่ำได้รับยกเว้นข้อกำหนดหลายข้อในหมวดการดำเนินการ เช่น การสแกนช่องโหว่และการทดสอบเจาะระบบ ส่วนเว็บไซต์ระดับสูงต้องปฏิบัติตามทุกข้อโดยไม่มีข้อยกเว้น รวมถึงต้องสแกนช่องโหว่อย่างน้อยปีละ 4 ครั้ง (ไม่เกินทุก 90 วัน)
ไม่ถูกส่งไปที่ไหนทั้งสิ้น คำตอบ ข้อมูลหน่วยงาน และหลักฐานที่กรอกในแบบประเมินตนเอง ค1 ค2 บนหน้านี้ถูกบันทึกไว้ในเบราว์เซอร์ของผู้ใช้เท่านั้น เราเก็บเฉพาะสถิติการใช้งานแบบไม่ระบุตัวตน เช่น จำนวนผู้เริ่มทำและระดับผลกระทบที่เลือก เพื่อนำไปปรับปรุงเครื่องมือ ไม่มีเนื้อหาจากแบบฟอร์มปนอยู่
หน้านี้เป็นการสรุปเพื่อใช้งาน ไม่ใช่ตัวบทกฎหมาย เมื่อจะยื่นผลการประเมินจริงให้ยึดถ้อยคำในประกาศและแบบฟอร์มต้นฉบับเป็นหลัก
บริษัท อินค็อกนิโตแล็บ จำกัด
38 ซอยเพชรเกษม 30 แขวงปากคลองภาษีเจริญ เขตภาษีเจริญ กรุงเทพมหานคร 10160
