กรณีศึกษา #111: การบริหารจัดการช่องโหว่และทดสอบเจาะระบบ (Vulnerability Assessment & Pen Test ข้อ 5.1.6)
ประกาศ ธปท. ที่ สนช. 1/2564 (Cyber Hygiene & IT Risk e-Payment)
ดูรายละเอียดบริการ ประกาศ ธปท. ที่ สนช. 1/2564 (Cyber Hygiene) บนเว็บไซต์ Auctoris Trust
Executive Case Summary
กรณีศึกษาความสำเร็จของ ผู้ให้บริการกระเป๋าเงินอิเล็กทรอนิกส์ (e-Wallet Operator) (โครงการ #111) ในการยกระดับสถาปัตยกรรมระบบความมั่นคงปลอดภัยและการกำกับดูแลด้านเทคโนโลยี เพื่อปิดช่องว่างความเสี่ยง (Gaps) สำคัญตาม ประกาศ ธปท. ที่ สนช. 1/2564 (Cyber Hygiene & IT Risk e-Payment) ภายใต้การให้คำปรึกษาและดำเนินงานเชิงเทคนิคอย่างใกล้ชิดโดยทีมผู้เชี่ยวชาญจาก Auctoris Trust (auctoristrust.com)
ข้อสรุปกฎหมายและสาระสำคัญ
บังคับใช้กับผู้ให้บริการระบบและบริการชำระเงิน แบ่งเป็น: ข้อ 5.1 Cyber Hygiene ขั้นต้น 6 ประการ (Security Baseline & Hardening, Malware Protection, Patch Management, Privilege User Management, MFA, Vulnerability Assessment & Pen Testing) และ ข้อ 5.2 การยกระดับ IT Risk Management เมื่อเข้าเกณฑ์ (ต่อตรงระบบ ธปท./Internet Facing/เกิน 5 ล้านบัญชี หรือเกิน 10 ล้านรายการ) ครอบคลุม IT Governance, IT Security, IT Risk, Compliance, IT Audit และ IT Project Management
บทลงโทษหากไม่ปฏิบัติตาม
โทษปรับตาม พ.ร.บ. ระบบการชำระเงิน พ.ศ. 2560 มาตรา 65, 68 และ 72 ปรับสูงสุดไม่เกิน 2,000,000 บาท และปรับรายวันไม่เกิน 50,000 บาท รวมถึงการสั่งพักใช้หรือเพิกถอนใบอนุญาตประกอบธุรกิจระบบการชำระเงิน
ผู้ให้บริการระบบการชำระเงินที่มีความสำคัญ, ผู้ประกอบธุรกิจระบบการชำระเงิน และผู้ประกอบธุรกิจบริการการชำระเงินภายใต้การกำกับ (e-Payment / Payment Gateway / e-Money / e-Wallet)
Remediation Architecture Lifecycle
GAP AUDIT
ตรวจพบจุดบกพร่องตามประกาศฉบับเต็ม
BLUEPRINT
ออกแบบโซลูชันทางเทคนิคและนโยบาย
EXECUTION
ติดตั้งระบบความปลอดภัยและ Hardening
PASS AUDIT
ผ่านการตรวจประเมินจาก ธปท./ก.ล.ต. 100%
Exhibit: Auctoris Trust Gap Remediation Framework
ข้อสรุป Gaps & Implications ก่อนการปรับปรุง
จุดบกพร่องและช่องว่างความเสี่ยงที่ตรวจพบ (Identified Gaps):
1. ระบบ Payment API ขาดการทดสอบช่องโหว่ประจำปี และไม่มีกระบวนการ Patching ภายในกรอบเวลาที่ ธปท. กำหนด (ข้อ 5.1.3)
2. ขาดนโยบายและแนวปฏิบัติที่สอดคล้องกับประกาศฉบับเต็มของทางการ
3. เผชิญความเสี่ยงต่อการถูกตรวจสอบพบข้อบกพร่องและได้รับโทษปรับตามกฎหมาย
ผลกระทบและความเสี่ยงต่อธุรกิจ (Business Implications):
ความเสี่ยงถูกสั่งระงับการให้บริการระบบงานสำคัญ, ได้รับโทษปรับทางกฎหมายขั้นสูงสุด และกระทบต่อความเชื่อมั่นของลูกค้าและพันธมิตร
สิ่งที่ Auctoris Trust ได้ Implement เพิ่มเติมเพื่อปิด Gaps
1. ดำเนินการ Vulnerability Scanning รายไตรมาส, ทดสอบ Penetration Testing โดยผู้เชี่ยวชาญอิสระ และวางแผน Remediation Patch
2. จัดทำชุดนโยบายและ Standard Operating Procedures (SOP) สอดคล้องเกณฑ์กำกับดูแล 100%
3. ดำเนินการ Pre-Audit Readiness Assessment และจัดเตรียมเอกสารยื่นต่อหน่วยงานกำกับดูแล
– ผ่านการตรวจประเมินจากหน่วยงานกำกับดูแล 100% โดยไม่มีข้อสังเกตระดับรุนแรง (Zero Critical Findings)
– ลดความเสี่ยงด้านความมั่นคงปลอดภัยและภัยทุจริตลงกว่า 90%
– ลดระยะเวลาและงบประมาณในการปฏิบัติตามกฎหมายลง 40%
สนใจทำโครงการยกระดับ IT Compliance ปิดทุกความเสี่ยงกับ Auctoris Trust
พร้อมให้คำปรึกษา ออกแบบสถาปัตยกรรมความปลอดภัย และจัดเตรียมเอกสารรับการตรวจสอบจาก ธปท. และ ก.ล.ต. อย่างมืออาชีพ