นโยบายการรักษาความมั่นคงปลอดภัยเว็บไซต์ สำนักงานปลัดกระทรวงมหาดไทย

Website Security Policy · ฉบับปรับปรุง ตุลาคม พ.ศ. 2569 (แทนฉบับ พ.ศ. 2559)

1. วัตถุประสงค์

สำนักงานปลัดกระทรวงมหาดไทย (สป.มท.) กำหนดนโยบายฉบับนี้เพื่อให้เว็บไซต์ของ สป.มท. และหน่วยงานในสังกัดมีความมั่นคงปลอดภัย สามารถรักษาความลับ (Confidentiality) ความถูกต้องครบถ้วน (Integrity) และความพร้อมใช้งาน (Availability) ของข้อมูลและบริการ และเพื่อให้การดำเนินงานเป็นไปตามประกาศคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ เรื่อง มาตรฐานการรักษาความมั่นคงปลอดภัยสำหรับเว็บไซต์ พ.ศ. 2568

2. ขอบเขต

นโยบายนี้ใช้กับเว็บไซต์ของ สป.มท. และหน่วยงานในสังกัดที่ให้บริการบนระบบบริหารจัดการเนื้อหา (CMS) ของ สป.มท. รวมถึงระบบหลังบ้าน ระบบยืนยันตัวตน และระบบที่เกี่ยวข้อง และใช้บังคับกับผู้บริหาร บุคลากร ผู้ดูแลระบบ ผู้ดูแลเนื้อหา และผู้ให้บริการภายนอกที่เกี่ยวข้องกับเว็บไซต์

3. กฎหมายและมาตรฐานที่เกี่ยวข้อง

• พระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562

• พระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ พ.ศ. 2550 และที่แก้ไขเพิ่มเติม

• พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

• ประกาศคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ เรื่อง มาตรฐานการรักษาความมั่นคงปลอดภัยสำหรับเว็บไซต์ พ.ศ. 2568

• ประกาศคณะกรรมการธุรกรรมทางอิเล็กทรอนิกส์ เรื่อง มาตรฐานการรักษาความมั่นคงปลอดภัยของระบบสารสนเทศตามวิธีการแบบปลอดภัย พ.ศ. 2555

• มาตรฐานเว็บไซต์ภาครัฐ (Government Website Standard) และแนวปฏิบัติการรักษาความมั่นคงปลอดภัยเว็บไซต์ (Website Security Guideline) ของ สกมช.

4. บทบาทและความรับผิดชอบ

• ผู้บริหาร สป.มท. กำกับดูแล อนุมัตินโยบาย และจัดสรรทรัพยากรให้เพียงพอต่อการรักษาความมั่นคงปลอดภัยเว็บไซต์

• ศูนย์เทคโนโลยีสารสนเทศและการสื่อสาร สป.มท. เป็นผู้รับผิดชอบเว็บไซต์ บริหารจัดการและดูแลความมั่นคงปลอดภัย ติดตามการปฏิบัติตามนโยบาย และทบทวนนโยบายนี้

• ผู้ดูแลเนื้อหาของแต่ละหน่วยงาน ตรวจสอบความถูกต้องของเนื้อหาก่อนเผยแพร่ และใช้สิทธิ์เฉพาะเท่าที่ได้รับมอบหมาย

• ผู้ให้บริการภายนอกและผู้รับจ้าง ปฏิบัติตามนโยบายนี้และข้อกำหนดด้านความมั่นคงปลอดภัยในสัญญา

5. มาตรการรักษาความมั่นคงปลอดภัย

5.1 การบริหารความเสี่ยงและทรัพย์สิน

• จัดทำและปรับปรุงทะเบียนทรัพย์สินของระบบเว็บไซต์ และตรวจสอบอย่างน้อยปีละ 1 ครั้ง

• ประเมินความเสี่ยงด้านความมั่นคงปลอดภัยไซเบอร์ของเว็บไซต์อย่างน้อยปีละ 1 ครั้ง หรือเมื่อมีการเปลี่ยนแปลงที่สำคัญ และกำหนดมาตรการจัดการความเสี่ยงให้อยู่ในระดับที่ยอมรับได้

5.2 การควบคุมการเข้าถึง

• กำหนดสิทธิ์ผู้ใช้งานตามบทบาทหน้าที่ และให้สิทธิ์เท่าที่จำเป็นต่อการปฏิบัติงาน

• ทบทวนสิทธิ์ผู้ใช้งานอย่างสม่ำเสมอ และระงับบัญชีทันทีเมื่อผู้ใช้งานพ้นจากหน้าที่

• บัญชีผู้ใช้งานระบบหลังบ้านสร้างโดยผู้ดูแลระบบเท่านั้น ไม่เปิดให้สมัครด้วยตนเอง

• กำหนดรหัสผ่านที่มีความซับซ้อน ระงับบัญชีชั่วคราวเมื่อใส่รหัสผ่านผิดเกินจำนวนที่กำหนด และให้ระบบออกจากการใช้งานอัตโนมัติเมื่อไม่มีการใช้งานเกิน 30 นาที

• ส่งเสริมให้ผู้ดูแลระบบยืนยันตัวตนด้วยแอปพลิเคชัน ThaID หรือการยืนยันตัวตนแบบหลายปัจจัย

5.3 การพัฒนาและการตั้งค่าระบบอย่างปลอดภัย

• พัฒนาระบบโดยคำนึงถึงความเสี่ยงตาม OWASP Top 10 และตรวจสอบความปลอดภัยของโค้ดก่อนนำขึ้นระบบจริง

• ปรับปรุงซอฟต์แวร์ ระบบปฏิบัติการ และไลบรารีให้อยู่ในระยะที่ผู้ผลิตยังให้การสนับสนุน

• แยกระบบทดสอบออกจากระบบจริง และปิดฟังก์ชันหรือบริการที่ไม่จำเป็นบนระบบจริง

• ตั้งค่าความมั่นคงปลอดภัยพื้นฐานของเครื่องให้บริการ ระบบ CMS และฐานข้อมูลตามแนวทางที่เป็นที่ยอมรับ

5.4 การเข้ารหัสและการสื่อสารข้อมูล

• ให้บริการเว็บไซต์ผ่าน HTTPS ทุกหน้า ใช้ TLS ตั้งแต่รุ่น 1.2 ขึ้นไป และบังคับใช้ HSTS

• ใช้ใบรับรองดิจิทัลจากผู้ออกใบรับรองที่เชื่อถือได้ และต่ออายุก่อนหมดอายุ

5.5 การประเมินช่องโหว่และการทดสอบเจาะระบบ

• ประเมินช่องโหว่และทดสอบเจาะระบบอย่างน้อยปีละ 1 ครั้ง และทุกครั้งที่มีการเปลี่ยนแปลงที่สำคัญ

• แก้ไขช่องโหว่ระดับวิกฤตภายใน 15 วัน และระดับสูงภายใน 30 วัน นับจากวันที่ตรวจพบ

5.6 การบันทึกและจัดเก็บข้อมูลจราจรทางคอมพิวเตอร์

• จัดเก็บข้อมูลจราจรทางคอมพิวเตอร์ไม่น้อยกว่า 90 วัน ตามกฎหมายว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ และป้องกันไม่ให้ข้อมูลถูกแก้ไข

• บันทึกการเข้าใช้งานและการแก้ไขข้อมูลในระบบหลังบ้าน เพื่อใช้ตรวจสอบย้อนหลัง

5.7 การสำรองข้อมูลและการกู้คืน

• สำรองข้อมูลและเนื้อหาของเว็บไซต์อย่างสม่ำเสมอ และเก็บสำเนาไว้ในที่ปลอดภัยแยกจากระบบที่ให้บริการ

• ทดสอบการกู้คืนข้อมูลอย่างน้อยปีละ 1 ครั้ง

5.8 การเฝ้าระวังและการรับมือเหตุการณ์

• เฝ้าระวังสถานะและความผิดปกติของเว็บไซต์อย่างต่อเนื่อง

• มีแผนรับมือภัยคุกคามทางไซเบอร์และแผนความต่อเนื่องในการให้บริการ ฝึกซ้อมอย่างน้อยปีละ 1 ครั้ง และรายงานเหตุการณ์ต่อหน่วยงานที่เกี่ยวข้องตามที่กฎหมายกำหนด

5.9 การคุ้มครองข้อมูลส่วนบุคคล

ข้อมูลส่วนบุคคลที่เก็บรวบรวมผ่านเว็บไซต์จะได้รับการคุ้มครองตามนโยบายการคุ้มครองข้อมูลส่วนบุคคลของ สป.มท.

5.10 ผู้ให้บริการภายนอก

กำหนดข้อกำหนดด้านความมั่นคงปลอดภัยไว้ในสัญญาหรือข้อตกลงระดับการให้บริการ และติดตามให้ผู้ให้บริการภายนอกปฏิบัติตาม

5.11 การเลิกใช้งานเว็บไซต์

เมื่อเลิกใช้งานเว็บไซต์ จะปิดการให้บริการ ชื่อโดเมน และใบรับรองดิจิทัลที่เกี่ยวข้องอย่างเป็นระบบ และทำลายข้อมูลตามแนวทางที่เป็นที่ยอมรับ

5.12 การสร้างความตระหนักรู้

จัดให้บุคลากรที่เกี่ยวข้องได้รับการอบรมด้านความมั่นคงปลอดภัยไซเบอร์อย่างน้อยปีละ 1 ครั้ง

6. การแจ้งเหตุผิดปกติหรือช่องโหว่

ผู้ใช้งานหรือบุคคลทั่วไปที่พบความผิดปกติหรือช่องโหว่ของเว็บไซต์ โปรดแจ้งศูนย์เทคโนโลยีสารสนเทศและการสื่อสาร สำนักงานปลัดกระทรวงมหาดไทย ทางอีเมล saraban@moi.go.th หรือโทรศัพท์ 0 2222 1141-55

7. การทบทวนนโยบาย

สป.มท. จะทบทวนนโยบายนี้อย่างน้อยปีละ 1 ครั้ง หรือเมื่อมีการเปลี่ยนแปลงด้านกฎหมาย ภัยคุกคาม เทคโนโลยี หรือภารกิจที่สำคัญ และจะสื่อสารให้ผู้เกี่ยวข้องทราบทุกครั้งที่มีการปรับปรุง