กรณีศึกษา #125: การบริหารความเสี่ยงผู้รับจ้างช่วง (Subcontractor / Fourth-Party Risk เอกสารแนบ 5)
ประกาศ ธปท. ที่ สนช. 1/2564 (IT Outsourcing & BCP/DRP)
ดูรายละเอียดบริการ ประกาศ ธปท. ที่ สนช. 1/2564 (IT Outsourcing) บนเว็บไซต์ Auctoris Trust
Executive Case Summary
กรณีศึกษาความสำเร็จของ ผู้ให้บริการ Payment Gateway และระบบรับชำระเงินร้านค้า (Payment Gateway Operator) (โครงการ #125) ในการยกระดับสถาปัตยกรรมระบบความมั่นคงปลอดภัยและการกำกับดูแลด้านเทคโนโลยี เพื่อปิดช่องว่างความเสี่ยง (Gaps) สำคัญตาม ประกาศ ธปท. ที่ สนช. 1/2564 (IT Outsourcing & BCP/DRP) ภายใต้การให้คำปรึกษาและดำเนินงานเชิงเทคนิคอย่างใกล้ชิดโดยทีมผู้เชี่ยวชาญจาก Auctoris Trust (auctoristrust.com)
ข้อสรุปกฎหมายและสาระสำคัญ
กำหนดให้ผู้ประกอบธุรกิจระบบการชำระเงินกำกับดูแลผู้ให้บริการภายนอก (IT Outsourcing) ตามเอกสารแนบ 5: จัดทำนโยบาย IT Outsourcing, Due Diligence, ระบุเงื่อนไข Right to Audit และ SLA ในสัญญา, ควบคุม Fourth-Party/Subcontractor, จัดทำ Exit Strategy, และการบริหารจัดการเหตุการณ์ผิดปกติ BCP/IT-DRP (ข้อ 8 และข้อ 10 ของเอกสารแนบ 2) ต้องซ้อม DRP Drill ร่วมกับ Vendor อย่างน้อยปีละ 1 ครั้ง และรายงาน ธปท. เมื่อเกิดเหตุรุนแรง
บทลงโทษหากไม่ปฏิบัติตาม
การถูก ธปท. สั่งระงับการใช้บริการจาก Vendor ทันที, การสั่งปรับปรุงสัญญาจ้าง, โทษปรับตาม พ.ร.บ. ระบบการชำระเงิน พ.ศ. 2560 สูงสุด 2,000,000 บาท และความรับผิดทางแพ่งหากระบบ Vendor ขัดข้องจนกระทบต่อประชาชน
ผู้ประกอบธุรกิจระบบและบริการการชำระเงิน (e-Payment) และผู้ให้บริการ IT Outsourcing / Cloud Service Providers ที่เกี่ยวข้อง
Remediation Architecture Lifecycle
GAP AUDIT
ตรวจพบจุดบกพร่องตามประกาศฉบับเต็ม
BLUEPRINT
ออกแบบโซลูชันทางเทคนิคและนโยบาย
EXECUTION
ติดตั้งระบบความปลอดภัยและ Hardening
PASS AUDIT
ผ่านการตรวจประเมินจาก ธปท./ก.ล.ต. 100%
Exhibit: Auctoris Trust Gap Remediation Framework
ข้อสรุป Gaps & Implications ก่อนการปรับปรุง
จุดบกพร่องและช่องว่างความเสี่ยงที่ตรวจพบ (Identified Gaps):
1. คู่ค้าหลักส่งต่องานประมวลผลข้อมูลชำระเงินให้ Subcontractor โดยที่องค์กรไม่ได้รับแจ้งและไม่สามารถตรวจสอบความปลอดภัยได้
2. ขาดนโยบายและแนวปฏิบัติที่สอดคล้องกับประกาศฉบับเต็มของทางการ
3. เผชิญความเสี่ยงต่อการถูกตรวจสอบพบข้อบกพร่องและได้รับโทษปรับตามกฎหมาย
ผลกระทบและความเสี่ยงต่อธุรกิจ (Business Implications):
ความเสี่ยงถูกสั่งระงับการให้บริการระบบงานสำคัญ, ได้รับโทษปรับทางกฎหมายขั้นสูงสุด และกระทบต่อความเชื่อมั่นของลูกค้าและพันธมิตร
สิ่งที่ Auctoris Trust ได้ Implement เพิ่มเติมเพื่อปิด Gaps
1. กำหนดเงื่อนไขห้ามจ้างช่วงโดยไม่ได้รับอนุญาต และจัดทำ Fourth-Party Risk Assessment Matrix ควบคุมห่วงโซ่อุปทาน
2. จัดทำชุดนโยบายและ Standard Operating Procedures (SOP) สอดคล้องเกณฑ์กำกับดูแล 100%
3. ดำเนินการ Pre-Audit Readiness Assessment และจัดเตรียมเอกสารยื่นต่อหน่วยงานกำกับดูแล
– ผ่านการตรวจประเมินจากหน่วยงานกำกับดูแล 100% โดยไม่มีข้อสังเกตระดับรุนแรง (Zero Critical Findings)
– ลดความเสี่ยงด้านความมั่นคงปลอดภัยและภัยทุจริตลงกว่า 90%
– ลดระยะเวลาและงบประมาณในการปฏิบัติตามกฎหมายลง 40%
สนใจทำโครงการยกระดับ IT Compliance ปิดทุกความเสี่ยงกับ Auctoris Trust
พร้อมให้คำปรึกษา ออกแบบสถาปัตยกรรมความปลอดภัย และจัดเตรียมเอกสารรับการตรวจสอบจาก ธปท. และ ก.ล.ต. อย่างมืออาชีพ