ประกวดราคาซื้อระบบประมวลผลและวิเคราะห์ข้อมูลจาก VDO (Video Analytic) สำหรับส่วนต่อขยายภายในโครงการรถไฟฟ้าของ รฟม.

• จัดซื้อระบบและอุปกรณ์พร้อมติดตั้ง เพื่อทำการขยายขอบเขตความสามารถของระบบประมวลผลและวิเคราะห์ข้อมูลจากวีดีโอเพื่อการบริหารงานรถไฟฟ้า (Video Analytics) ที่ รฟม. ใช้งานอยู่ในปัจจุบัน
• ให้ครอบคลุมพื้นที่การให้บริการโครงการรถไฟฟ้าสายเฉลิมรัชมงคล เพิ่มขึ้นอีก 9 สถานีและเพิ่มเติมระบบ ให้ครอบคลุมพื้นที่ 2 สถานีเดิม โดยการติดตั้งระบบฯ ดังกล่าว ตามจุดที่ รฟม. กำหนด

• จัดหา ติดตั้งระบบประมวลผลและวิเคราะห์ข้อมูลจากวีดีโอเพื่อการบริหารงานรถไฟฟ้าผ่านระบบกล้องวิเคราะห์ภาพ บริเวณสถานีรถไฟฟ้าโครงการรถไฟฟ้ามหานครสายเฉลิมรัชมงคล
• ต้องสามารถเชื่อมโยงข้อมูลและใช้งานร่วมกับระบบฯ เดิม ที่ รฟม. ใช้งานอยู่ในปัจจุบันได้โดยสมบูรณ์
• มีความสามารถในการวิเคราะห์ภาพบุคคลผู้ต้องสงสัย ด้วยวิธีการตรวจจับ/ค้นหาใบหน้า (Face Recognition) และการค้นหาอัตลักษณ์ของบุคคล (Appearance Search) ได้พร้อมกัน ภายใต้เงื่อนไขระบบฯ เดียวกัน
• จัดหาและติดตั้งกล้องวิเคราะห์ภาพ ตามจุดที่ รฟม. กำหนด หรือบริเวณที่มีการสำรวจร่วมกับ รฟม.
• จัดหา Distribution Switch, POE Switch
• จัดหา ติดตั้ง และตั้งค่าเครื่องบันทึกภาพผ่านเครือข่ายประจำสถานีรถไฟฟ้า
• ติดตั้ง และตั้งค่าระหว่างกล้องวิเคราะห์ภาพ และเครื่องคอมพิวเตอร์แม่ข่ายสำหรับบันทึกภาพที่ รฟม. มีการใช้งานอยู่เดิม
• ปรับปรุง/แก้ไข ตำแหน่งกล้องวิเคราะห์ภาพของ รฟม. ที่มีการติดตั้งใช้งานอยู่เดิม (สถานีรถไฟฟ้าตามข้อ 5.1.4 – 5.1.5) ให้เป็นไปตามจุดติดตั้งใหม่
• จัดหาและติดตั้งสายสัญญาณ UTP ชนิด CAT6 หรือดีกว่า และสาย Fiber Optic
• จัดหาตู้เก็บอุปกรณ์กระจายสัญญาณประเภท Distribution Switch และเครื่องบันทึกภาพผ่านเครือข่ายฯ
• จัดหาตู้เก็บอุปกรณ์กระจายสัญญาณประเภท POE Switch
• จัดหาและติดตั้งอุปกรณ์สำรองไฟฟ้า (UPS) สำหรับการสำรองไฟฟ้าและปรับปรุงคุณภาพไฟฟ้า
• จัดหาและติดตั้ง Software ที่เกี่ยวข้อง รวมถึงจัดหาลิขสิทธิ์การใช้งาน (License) ให้ครอบคลุมอุปกรณ์ทั้งหมดในโครงการนี้

• ระบบประมวลผลและวิเคราะห์ข้อมูลจากวีดีโอ (Video Analytics) ที่สามารถใช้งานร่วมกับระบบเดิมของ รฟม. ได้อย่างสมบูรณ์
• กล้องวิเคราะห์ภาพตามจำนวนและคุณสมบัติที่กำหนด
• อุปกรณ์กระจายสัญญาณ (Distribution Switch และ POE Switch) ตามคุณสมบัติที่กำหนด
• เครื่องบันทึกภาพผ่านเครือข่าย (NVR) ตามคุณสมบัติที่กำหนด
• สายสัญญาณ UTP และ Fiber Optic ที่ได้มาตรฐาน
• อุปกรณ์สำรองไฟฟ้า (UPS) ตามคุณสมบัติที่กำหนด
• Software ที่เกี่ยวข้องพร้อมลิขสิทธิ์การใช้งาน
• การปรับปรุงและแก้ไขตำแหน่งกล้องวิเคราะห์ภาพเดิม
• การฝึกอบรมการใช้งานระบบให้แก่เจ้าหน้าที่ รฟม.

• ผู้ขายต้องจัดให้มีการประชุมเริ่มงาน (Kickoff Meeting) ภายใน 15 วัน นับถัดจากวันที่ลงนามในสัญญา
• ผู้ขายต้องส่งมอบและติดตั้งระบบประมวลผลและวิเคราะห์ข้อมูลจาก VDO (Video Analytics) ที่มีคุณลักษณะเฉพาะตามข้อ 5. โดยต้องทำการติดตั้งและทดสอบความพร้อมการใช้งานให้แล้วเสร็จภายใน 270 วัน นับถัดจากวันที่ลงนามสัญญา

• ผู้ยื่นข้อเสนอต้องเป็นนิติบุคคลผู้มีอาชีพเกี่ยวข้องกับงานที่ รฟม. จะจัดซื้อจัดจ้างครั้งนี้ มาแล้วไม่น้อยกว่า 5 ปี
• ผู้ยื่นข้อเสนอต้องมีหนังสือรับรองการปฏิบัติงาน และให้บริการเกี่ยวกับอุปกรณ์และระบบที่เสนอ ตามข้อ 5.2, 5.6 และ 5.16 จากผู้ผลิต หรือจากสาขาของผู้ผลิตในประเทศไทย (ต้องออกให้เพื่อมายื่นข้อเสนอนี้ และหนังสือ*นั้นต้องมีอายุไม่เกิน 90 วัน (เก้าสิบวัน) นับถัดจากวันที่ออกจนถึงวันที่ยื่นข้อเสนอ)
• ผู้ยื่นข้อเสนอต้องมีเจ้าหน้าที่ทีมงานสำหรับการปฏิบัติงาน ไม่น้อยกว่า 4 คน ที่ได้รับ Certificate จากเจ้าของผลิตภัณฑ์ด้านระบบวิเคราะห์ตรวจจับใบหน้าและตรวจจับอัตลักษณ์ของบุคคลที่นำมายื่นข้อเสนอ
• ผู้ยื่นข้อเสนอจะต้องจัดให้มีพนักงานหรือบุคลากรที่ผ่านการอบรมการปฏิบัติงานภายในสถานีรถไฟฟ้าและปฏิบัติตามระเบียบข้อบังคับของ บริษัท ทางด่วนและรถไฟฟ้ากรุงเทพ จำกัด (มหาชน) กำหนด และต้องได้รับใบอนุญาตเป็น Person-in-Charge (PIC)/APOSTLE ซึ่งสามารถขอเอกสาร Work Permit จาก บริษัท ทางด่วนและรถไฟฟ้ากรุงเทพ จำกัด (มหาชน) และได้รับอนุญาตให้ปฏิบัติงานภายในสถานีรถไฟฟ้ามหานคร สายเฉลิมรัชมงคล ภายหลังจากที่ได้มีการลงนามสัญญาแล้ว

พิจารณาโดยใช้หลักเกณฑ์ราคาประกอบเกณฑ์อื่น ดังนี้:

• ราคายื่นข้อเสนอ (Price): 30%
• คุณภาพและคุณสมบัติที่เป็นประโยชน์ต่อ รฟม.: 65% (พิจารณาจากผลงาน, แผนการดำเนินงาน, การทำงานร่วมกันได้กับระบบเดิม, ระยะเวลาการรับประกันเพิ่มเติม)
• ข้อเสนออื่นนอกเหนือจากขอบเขตของงานที่เป็นประโยชน์ต่อ รฟม.: 5% (การติดตั้งระบบตรวจจับใบหน้าและระบบค้นหาอัตลักษณ์ของบุคคลเพิ่มเติม)

• กล้อง IP ที่มีความละเอียดไม่น้อยกว่า 2 Megapixel
• กล้องต้องมีเทคโนโลยี AI และเทคโนโลยีการวิเคราะห์ภาพที่อยู่ในตัวกล้อง
• กล้องที่สามารถทำงานได้ดีในเวลากลางวัน และกลางคืน
• กล้องที่ติดตั้งระบบส่องสว่างชนิด IR LED แบบ adaptive IR โดยระบบส่องสว่าง สามารถส่องได้ไกลไม่น้อยกว่า 50 เมตร
• ใช้เลนส์แบบ IR corrected ที่มีช่วงความยาวโฟกัสระหว่าง 2.8 – 12 มม. และสามารถ ปรับรูรับแสงได้อัตโนมัติ
• ออกแบบมาสำหรับใช้งานภายนอกอาคารโดยเฉพาะ มีมาตรฐานการป้องกันฝุ่นและน้ำ ที่ระดับ IP67
• Distribution Switch: Switch Layer 3, Switching Fabric ไม่น้อยกว่า 56 Gbps, Ethernet 10/100/1000 Base-T ไม่น้อยกว่า 24 พอร์ต, 1 Gbps SFP ไม่น้อยกว่า 4 พอร์ต
• POE Switch: Switching Fabric ไม่น้อยกว่า 36 Gbps, รองรับ Mac Address ได้ไม่น้อยกว่า 16,000 Mac Address, Ethernet 10/100/1000 Base-T ไม่น้อยกว่า 16 พอร์ต, 1 Gbps SFP ไม่น้อยกว่า 2 พอร์ต
• เครื่องบันทึกภาพผ่านเครือข่าย: ช่องเชื่อมต่อระบบเครือข่าย (Network Interface) แบบ 10/100/1000 Base-T, สามารถใช้ฟังก์ชันวิเคราะห์ภาพด้านการค้นหาอัตลักษณ์ของบุคคลจากกล้องที่เชื่อมต่อ ได้ไม่น้อยกว่า 24 กล้อง และการวิเคราะห์ตรวจจับใบหน้า (Face Recognition) ได้ไม่น้อยกว่า 12 กล้อง, หน่วยจัดเก็บข้อมูลสำหรับกล้องวงจรปิดโดยเฉพาะ (Surveillance Hard Disk) ชนิด SATA ขนาดความจุรวมไม่น้อยกว่า 12 TB

• งวดที่ 1: 10% เมื่อผู้ขายได้ดำเนินการตามขอบเขตของงานฯ ข้อ 6.1 เรียบร้อยแล้ว
• งวดที่ 2: 20% เมื่อผู้ขายได้ดำเนินการส่งเอกสารตามข้อ 10.2 ภายใน 45 วัน นับถัดจากวันที่ลงนามในสัญญา
• งวดที่ 3: 45% เมื่อผู้ขายได้ดำเนินการจัดส่งอุปกรณ์ตามข้อ 5.2, 5.4 – 5.6 และ 5.14 และดำเนินการติดตั้งอุปกรณ์/ระบบฯ ไม่น้อยกว่า 5 สถานี ตามข้อ 5.1 จนแล้วเสร็จ
• งวดที่ 4: 25% เมื่อผู้ขายได้ดำเนินงานตามขอบเขตของงานทั้งหมดจนแล้วเสร็จ รวมถึงการฝึกอบรมเจ้าหน้าที่ รฟม.
• ค่าปรับ: 0.1% ของมูลค่างานตามสัญญาเป็นรายวัน (กรณีส่งมอบงานล่าช้า), 0.01% ของมูลค่าสัญญาต่ออุปกรณ์/วัน (กรณีอุปกรณ์ชำรุดบกพร่อง)
• ระยะเวลารับประกัน: ไม่น้อยกว่า 2 ปี นับแต่วันที่ รฟม. ตรวจรับงานงวดสุดท้าย

• ถาม: ระบบ Video Analytics ที่จัดซื้อใหม่นี้ จะต้องทำงานร่วมกับระบบเดิมของ รฟม. อย่างไร?
  • ตอบ: ระบบใหม่จะต้องสามารถเชื่อมโยงข้อมูลและใช้งานร่วมกับระบบเดิมที่ รฟม. ใช้งานอยู่ในปัจจุบันได้อย่างสมบูรณ์ (ตามภาคผนวก ข.) โดยมีความสามารถในการวิเคราะห์ภาพบุคคลผู้ต้องสงสัยด้วยวิธีการตรวจจับ/ค้นหาใบหน้า (Face Recognition) และการค้นหาอัตลักษณ์ของบุคคล (Appearance Search) ได้พร้อมกัน ภายใต้เงื่อนไขระบบฯ เดียวกัน
• ถาม: กล้องวิเคราะห์ภาพที่จัดหามาใหม่ จะต้องมีคุณสมบัติในการวิเคราะห์ภาพอย่างไรบ้าง?
  • ตอบ: กล้องวิเคราะห์ภาพจะต้องมีความสามารถวิเคราะห์ภาพ ซึ่งรองรับการวิเคราะห์ได้อย่างน้อย 2 เหตุการณ์ หรือดีกว่า ดังนี้ 1) ตรวจพบได้ว่ามีวัตถุเข้ามาในพื้นที่ที่กำหนด 2) ตรวจพบได้ว่าวัตถุมีพฤติกรรมเคลื่อนที่วนเวียนไปมา 3) ตรวจพบได้ว่ามีวัตถุเคลื่อนที่ข้ามเส้นที่กำหนด 4) ตรวจพบได้ว่ามีวัตถุปรากฏหรือเข้ามาในบริเวณที่กำหนด 5) ตรวจพบได้ว่ามีวัตถุหายไปจากพื้นที่ที่กำหนดไว้ 6) ตรวจพบได้ว่าวัตถุ หยุดเคลื่อนที่ภายในพื้นที่ที่กำหนดไว้ 7) ตรวจพบได้ว่าวัตถุ เคลื่อนที่ไม่เป็นไปตามทิศทางที่กำหนดไว้ 8) ตรวจพบได้ว่า ภาพถูกบดบัง รบกวนหรือถูกปรับเปลี่ยนมุมมอง
• ถาม: ผู้ขายจะต้องดำเนินการปรับปรุง/แก้ไข ตำแหน่งกล้องวิเคราะห์ภาพเดิมของ รฟม. ในสถานีใดบ้าง?
  • ตอบ: ผู้ขายจะต้องดำเนินการปรับปรุง/แก้ไข ตำแหน่งกล้องวิเคราะห์ภาพของ รฟม. ที่มีการติดตั้งใช้งานอยู่เดิม ในสถานีรถไฟฟ้าเพชรบุรี และสถานีรถไฟฟ้าสุขุมวิท ให้เป็นไปตามจุดติดตั้งใหม่ ตามที่ได้มีการหารือและเห็นชอบร่วมกับ รฟม. ก่อน
• ถาม: สายสัญญาณ UTP ที่จัดหามาใหม่ จะต้องมีคุณสมบัติอย่างไร?
  • ตอบ: สายสัญญาณ UTP ที่จัดหามาใหม่ จะต้องเป็นชนิด CAT6 หรือดีกว่า เพื่อใช้ทำหน้าที่สื่อสารข้อมูลระหว่างอุปกรณ์ทั้งหมดในโครงการฯ ให้เพียงพอต่อการใช้งาน โดยฉนวนจะต้องผลิตด้วยวัสดุชนิด Low Smoke Zero Halogen (LSZH)
• ถาม: ตู้เก็บอุปกรณ์กระจายสัญญาณ (Distribution Switch และเครื่องบันทึกภาพ) จะต้องมีคุณสมบัติอย่างไร?
  • ตอบ: ตู้เก็บอุปกรณ์กระจายสัญญาณจะต้องเป็นตู้ Rack ที่สามารถใส่อุปกรณ์ตามข้อ 5.4, 5.6 และ 5.14 ได้เหมาะสม วัสดุทำมาจาก Electro-Galvanized Sheet ที่ความหนา 1.5 mm, Panel ด้านหน้า เป็น Acrylic หนา 5.0 mm, มีพัดลมระบายอากาศ และ รางปลั๊กแบบ Universal จำนวน 12 ช่องขึ้นไป
• ถาม: ตู้เก็บอุปกรณ์กระจายสัญญาณ POE Switch จะต้องมีคุณสมบัติอย่างไร?
  • ตอบ: ตู้เก็บอุปกรณ์กระจายสัญญาณ POE Switch จะต้องเป็นตู้ Rack ที่สามารถใส่อุปกรณ์กระจายสัญญาณประเภท POE Switch ได้เหมาะสม, มีพัดลมระบายอากาศ และ รางปลั๊กแบบ Universal จำนวน 4 ช่อง, ต้องสามารถเปิดได้ทั้งจากด้านหน้า และด้านข้างของตู้เพื่อการใช้งาน
• ถาม: อุปกรณ์สำรองไฟฟ้า (UPS) จะต้องมีคุณสมบัติอย่างไร?
  • ตอบ: อุปกรณ์สำรองไฟฟ้า (UPS) จะต้องเป็นอุปกรณ์สำรองไฟฟ้า (True On line Double Conversion Design) ที่สามารถรองรับการจ่าย Load ไฟฟ้าสูงสุดให้กับอุปกรณ์ในข้อ 5.4 และ 5.6 ซึ่งสามารถรองรับได้ไม่น้อยกว่า 30 นาที (Back up Time), มีช่วงแรงดันไฟฟ้าขาเข้า 220 Vac +/- ไม่เกิน 10% (Full load), แรงดันไฟฟ้าขาออกของภาค Inverter เป็น Pure Sine Wave, เป็น UPS แบบชนิด Rack-Mount ซึ่งสามารถติดตั้งภายในตู้เก็บอุปกรณ์ตามข้อ 5.10 ได้
• ถาม: Software ที่จัดหามาใหม่ จะต้องมีคุณสมบัติในการค้นหาบุคคลต้องสงสัยอย่างไร?
  • ตอบ: Software ที่จัดหามาใหม่ จะต้องสามารถทำการค้นหาบุคคลต้องสงสัย ด้วยการกำหนดรูปร่างสันฐาน และภาพถ่าย โดยมีคุณสมบัติ ดังนี้ 1) สามารถกำหนดสีของเสื้อผ้า หรือสีผมของผู้ต้องสงสัยได้ 2) สามารถกำหนด เพศ หรือช่วงอายุของผู้ต้องสงสัยได้ 3) สามารถค้นหาใบหน้าบุคคลผู้ต้องสงสัย จากภาพถ่ายได้
• ถาม: ในการพิจารณาผลงานของผู้เสนอราคา รฟม. จะพิจารณาจากอะไร?
  • ตอบ: ในการพิจารณาผลงานของผู้เสนอราคา รฟม. จะพิจารณาจากจำนวนของผลงานและมูลค่าของผลงาน โดยผู้ยื่นข้อเสนอต้องมีประสบการณ์ในงานที่เกี่ยวข้องกับระบบบริหารจัดการกล้องวงจรปิด (Avigilon Control Center) ที่ รฟม. มีการใช้งานอยู่ ภายในระยะเวลาไม่เกิน 5 ปี นับถึงวันที่ยื่นข้อเสนอประกวดราคาอิเล็กทรอนิกส์
• ถาม: ในการพิจารณาแผนการดำเนินงานระบบ รฟม. จะพิจารณาจากอะไร?
  • ตอบ: พิจารณาถึงความเข้าใจในแผนการดำเนินงาน ความชัดเจนต่อเนื่องของงานที่นำเสนอ มีกิจกรรมหลัก กิจกรรมย่อย ครอบคลุมถึงสาระสำคัญในการติดตั้งระบบประมวลผลและวิเคราะห์ข้อมูลจากวีดีโอ (Video Analytics) ที่กำหนดไว้อย่างครบถ้วน สามารถดำเนินงานตามแผนให้บรรลุเป้าหมายของโครงการภายในระยะเวลาที่กำหนดไว้

- 1 -
เอกสารแนบ 5
ร่างขอบเขตของงานจัดซื้อระบบประมวลผลและวิเคราะĀ์ข้อมูลจาก VDO (Video Analytics) ÿ าĀรับ ÿ่วนต่อขยายภายในโครงการรถไฟฟ้า ของ รฟม.

1. เĀตุผลและความจ าเป็น
   การรถไฟฟาขนสงมวลชนแหงประเทศไทย (รฟม.)
   การรถไฟฟ้าขน. ่งม. ลชนแ. ่งประเทýไทย (รฟม.) ได้มีระบบประมüลผลและüิเคราะĀ์ข้อมูลจากüิดีโอ เพื่อการบริĀารงานรถไฟฟ้า (Video Analytics) ซึ่งช่üยเพิ่มมาตรฐานด้านคüามปลอดภัยของผู้ใช้บริการ รถไฟฟ้าÿูงขึ้น อีกทั้ง ยังช่üยในงานตรüจตราคüามปลอดภัยในชีüิตและทรัพย์ÿินทั้งในระยะÿั้นและระยะยาü ซึ่งได้ดำเนินการติดตั้ง/ใช้งานแล้üในÿ่üนของโครงการรถไฟฟ้าÿายเฉลิมรัชมงคล ครอบคลุมÿถานีรถไฟฟ้า
   6 ÿถานี ประกอบด้üย ÿถานีÿุทธิÿาร ÿถานีĀ้üยขüาง ÿถานีýูนย์üัฒนธรรมแĀ่งประเทýไทย ÿถานี พระราม 9 ÿถานีเพชรบุรี และÿถานีÿุขุมüิท ÿำĀรับใช้ในการป้องปรามเĀตุการณ์คüามไม่ÿงบจาก บุคคลต้องÿงÿัย โดยüิธีตรüจจับใบĀน้า (Face Recognition) เพื่อเปรียบเทียบกับคลังข้อมูลใบĀน้าของบุคคล ต้องÿงÿัย และÿามารถทำการค้นĀาด้üยใบĀน้า Āรืออัตลักþณ์ของบุคคล (Appearance Search) ใน พื้นที่คüามรับผิดชอบของ รฟม. ได้อย่างรüดเร็ü และมีประÿิทธิภาพ ดังนั้น รฟม. จึงมีคüามต้องการขยาย ขอบเขตของระบบดังกล่าü ใĀ้ครอบคลุมพื้นที่ระบบรถไฟฟ้าของ รฟม. โครงการรถไฟฟ้าÿายเฉลิมรัชมงคล เพิ่มขึ้นอีก 9 ÿถานีและเพิ่มเติมระบบใĀ้ครอบคลุมพื้นที่ 2 ÿถานีเดิม ดังที่กล่าüมา ของ รฟม.
2. วัตถุประÿงค์
   จัดซื้อระบบและอุปกรณ์พร้อมติดตั้ง เพื่อทำการขยายขอบเขตคüามÿามารถของระบบประมüลผลและ üิเคราะĀ์ข้อมูลจากüิดีโอเพื่อการบริĀารงานรถไฟฟ้า (Video Analytics) ที่ รฟม. ใช้งานอยู่ในปัจจุบัน ใĀ้ครอบคลุมพื้นที่การใĀ้บริการโครงการรถไฟฟ้าÿายเฉลิมรัชมงคล เพิ่มขึ้นอีก 9 ÿถานีและเพิ่มเติมระบบ ใĀ้ครอบคลุมพื้นที่ 2 ÿถานีเดิม โดยการติดตั้งระบบฯ ดังกล่าü ตามจุดที่ รฟม. กำĀนด
3. คุณÿมบัติของผู้ยื่นข้อเÿนอ
   3.1 มีคüามÿามารถตามกฎĀมาย
   3.2 ไม่เป็นบุคคลล้มละลาย
   3.3 ไม่อยู่ระĀü่างเลิกกิจการ
   3.4 ไม่เป็นบุคคลซึ่งอยู่ระĀü่างถูกระงับการยื่นข้อเÿนอĀรือทำÿัญญากับĀน่üยงานของรัฐไü้ชั่üคราü เนื่องจากเป็นผู้ที่ไม่ผ่านเกณฑ์การประเมินผลการปฏิบัติงานของผู้ประกอบการตามระเบียบที่รัฐมนตรีü่าการ กระทรüงการคลังกำĀนดตามที่ประกาýเผยแพร่ในระบบเครือข่ายÿารÿนเทýของกรมบัญชีกลาง
   3.5 ไม่เป็นบุคคลซึ่งถูกระบุชื่อไü้ในบัญชีรายชื่อผู้ทิ้งงานและได้แจ้งเüียนชื่อใĀ้เป็นผู้ทิ้งงานของ Āน่üยงานของรัฐในระบบเครือข่ายÿารÿนเทýของกรมบัญชีกลาง ซึ่งรüมถึงนิติบุคคลที่ผู้ทิ้งงานเป็นĀุ้นÿ่üน ผู้จัดการ กรรมการผู้จัดการ ผู้บริĀาร ผู้มีอำนาจในการดำเนินงานในกิจการของนิติบุคคลนั้นด้üย
   /3.6 มีคุณÿมบัติ…

• 2 -
  3.6 มีคุณÿมบัติและไม่มีลักþณะต้องĀ้ามตามที่คณะกรรมการนโยบายการจัดซื้อจัดจ้างและการ บริĀารพัÿดุภาครัฐกำĀนดในราชกิจจานุเบกþา
  3.7 เป็นนิติบุคคลผู้มีอาชีพขายพัÿดุที่ประกüดราคาด้üยüิธีประกüดราคาอิเล็กทรอนิกÿ์ 3.8 ไม่เป็นผู้มีผลประโยชน์ร่üมกันกับผู้ยื่นข้อเÿนอรายอื่นที่เข้ายื่นข้อเÿนอใĀ้แก่การรถไฟฟ้าขนÿ่ง มüลชนแĀ่งประเทýไทย ณ üันประกาýประกüดราคาอิเล็กทรอนิกÿ์ Āรือไม่เป็นผู้กระทำการอันเป็นการ ขัดขüางการแข่งขันอย่างเป็นธรรมในการประกüดราคาอิเล็กทรอนิกÿ์ครั้งนี้
  3.9 ไม่เป็นผู้ได้รับเอกÿิทธิ์Āรือคüามคุ้มกันซึ่งอาจปฏิเÿธไม่ยอมขึ้นýาลไทย เü้นแต่ รัฐบาลของผู้ยื่น ข้อเÿนอได้มีคำÿั่งใĀ้ÿละเอกÿิทธิ์และคüามคุ้มกันเช่นü่านั้น
  3.10 ผู้ยื่นข้อเÿนอที่ยื่นข้อเÿนอในรูปแบบของ “กิจการร่üมค้า” ต้องมีคุณÿมบัติดังนี้ กรณีที่ข้อตกลงระĀü่างผู้เข้าร่üมค้า กำĀนดใĀ้ผู้เข้าร่üมค้ารายใดรายĀนึ่งเป็นผู้เข้าร่üมค้าĀลัก ข้อตกลงระĀü่างผู้เข้าร่üมค้า จะต้องมีการกำĀนดÿัดÿ่üนĀน้าที่ และคüามรับผิดชอบในปริมาณงาน ÿิ่งของ Āรือมูลค่าตามÿัญญาของผู้เข้าร่üมค้าĀลักมากกü่าผู้เข้าร่üมค้ารายอื่นทุกราย
  กรณีที่ข้อตกลงระĀü่างผู้เข้าร่üมค้า กำĀนดใĀ้ผู้เข้าร่üมค้ารายใดรายĀนึ่งเป็นผู้เข้าร่üมค้าĀลัก กิจการร่üมค้านั้นต้องใช้ผลงานของผู้เข้าร่üมค้าĀลักรายเดียüเป็นผลงานของกิจการร่üมค้าที่ยื่นข้อเÿนอ ÿำĀรับข้อตกลงระĀü่างผู้เข้าร่üมค้า ที่ไม่ได้กำĀนดใĀ้ผู้เข้าร่üมค้ารายใดเป็นผู้เข้าร่üมค้าĀลัก ผู้เข้าร่üมค้าทุกรายจะต้องมีคุณÿมบัติครบถ้üนตามเงื่อนไขที่กำĀนดไü้ในเอกÿารเชิญชüน กรณีที่ข้อตกลงระĀü่างผู้เข้าร่üมค้า กำĀนดใĀ้มีการมอบĀมายผู้เข้าร่üมค้ารายใดรายĀนึ่งเป็นผู้ยื่น ข้อเÿนอในนามกิจการร่üมค้า การยื่นข้อเÿนอดังกล่าüไม่ต้องมีĀนังÿือมอบอำนาจ ÿำĀรับข้อตกลงระĀü่างผู้เข้าร่üมค้า ที่ไม่ได้กำĀนดใĀ้ผู้เข้าร่üมค้ารายใดเป็นผู้ยื่นข้อเÿนอ ผู้เข้าร่üมค้าทุกรายจะต้องลงลายมือชื่อในĀนังÿือมอบอำนาจใĀ้ผู้เข้าร่üมค้ารายใดรายĀนึ่งเป็นผู้ยื่นข้อเÿนอ ในนามกิจการร่üมค้า
  3.11 ผู้ยื่นข้อเÿนอต้องลงทะเบียนในระบบจัดซื้อจัดจ้างภาครัฐด้üยอิเล็กทรอนิกÿ์ (Electronic Government Procurement : e - GP) ของกรมบัญชีกลาง
  3.12 ผู้ยื่นข้อเÿนอต้องมีมูลค่าÿุทธิของกิจการเป็นไปตามเงื่อนไขข้อ 1.1 - 1.2 ของĀนังÿือคณะกรรมการ üินิจฉัยปัญĀาการจัดซื้อจัดจ้างและการบริĀารพัÿดุภาครัฐ กรมบัญชีกลาง ด่üนที่ÿุด ที่ กค(กüจ) 0405.2/ü12 ลงüันที่ 1 มีนาคม 2566 เรื่อง แนüทางปฏิบัติในการเร่งรัดการปฏิบัติงานตามÿัญญาและการกำĀนด คุณÿมบัติของผู้มีÿิทธิยื่นข้อเÿนอ
  3.13 ผู้ยื่นข้อเÿนอต้องเป็นนิติบุคคลผู้มีอาชีพเกี่ยüข้องกับงานที่ รฟม. จะจัดซื้อจัดจ้างครั้งนี้ มาแล้ü ไม่น้อยกü่า 5 ปี

4. เงื่อนไขและข้อก าĀนดทั่วไป
   4.1 ผู้ยื่นข้อเÿนอต้องมีĀนังÿือรับรองการปฏิบัติงาน และใĀ้บริการเกี่ยüกับอุปกรณ์และระบบที่เÿนอ ตามข้อ 5.2, 5.6 และ 5.16 จากผู้ผลิต Āรือจากÿาขาของผู้ผลิตในประเทýไทย (ต้องออกใĀ้เพื่อมายื่นข้อเÿนอนี้
   /และĀนังÿือ…

• 3 -
  และĀนังÿือนั้นต้องมีอายุไม่เกิน 90 üัน (เก้าÿิบüัน) นับถัดจากüันที่ออกจนถึงüันที่ยื่นข้อเÿนอ) โดยจะต้อง แนบÿำเนาĀลักฐานมาพร้อมกับการยื่นข้อเÿนอ
  4.2 ผู้ยื่นข้อเÿนอต้องมีเจ้าĀน้าที่ทีมงานÿำĀรับการปฏิบัติงาน ไม่น้อยกü่า 4 คน ที่ได้รับ Certificate จากเจ้าของผลิตภัณฑ์ด้านระบบüิเคราะĀ์ตรüจจับใบĀน้าและตรüจจับอัตลักþณ์ของบุคคลที่นำมายื่นข้อเÿนอ ทั้งนี้ต้องแนบÿำเนาบัตรประชาชน เบอร์โทรýัพท์ที่ติดต่อได้ และต้องลงลายมือชื่อÿำĀรับใช้เพื่อดำเนิน โครงการนี้เท่านั้น โดยจะต้องแนบĀลักฐานมาพร้อมกับการยื่นข้อเÿนอ
  4.3 ผู้ยื่นข้อเÿนอจะต้องจัดใĀ้มีพนักงานĀรือบุคลากรที่ผ่านการอบรมการปฏิบัติงานภายในÿถานี รถไฟฟ้าและปฏิบัติตามระเบียบข้อบังคับของ บริþัท ทางด่üนและรถไฟฟ้ากรุงเทพ จำกัด (มĀาชน) กำĀนด และต้องได้รับใบอนุญาตเป็น Person-in-Charge (PIC)/APOSTLE ซึ่งÿามารถขอเอกÿาร Work Permit จาก บริþัท ทางด่üนและรถไฟฟ้ากรุงเทพ จำกัด (มĀาชน) และได้รับอนุญาตใĀ้ปฏิบัติงานภายในÿถานี
  รถไฟฟ้ามĀานคร ÿายเฉลิมรัชมงคล ภายĀลังจากที่ได้มีการลงนามÿัญญาแล้ü
  4.4 รายการที่ใช้ติดตั้งตามขอบเขตของงานในข้อ 5.2, 5.4 – 5.6 และ 5.14 จะต้องเป็นของแท้ อยู่ใน ÿภาพที่ใช้งานได้ดี ยังอยู่ในÿายงานการผลิต และต้องเป็นของใĀม่ที่ยังไม่เคยถูกติดตั้งĀรือใช้งานที่ใดมาก่อน รüมทั้งไม่ถูกนำมาปรับปรุงÿภาพใĀม่ (Rebuilt) และต้องเป็นÿินค้าที่ได้รับการรับรองจากเจ้าของผลิตภัณฑ์ ĀรือตัüแทนจำĀน่ายอย่างถูกต้องเท่านั้น
  4.5 รฟม. จะพิจารณาคุณÿมบัติของผู้ยื่นข้อเÿนอ และคุณÿมบัติทางด้านเทคนิคของรายการตามข้อ 5.2, 5.4 - 5.6 และ 5.14 ก่อน Āากผ่านคุณÿมบัติดังกล่าüแล้ü ภายใน 5 üันทำการ นับถัดจากüันที่ยื่น ข้อเÿนอ รฟม. จะแจ้งผู้ยื่นข้อเÿนอเข้ามาทำการทดÿอบระบบฯ และคüามเข้ากันได้กับระบบฯ ที่ รฟม. จัดเตรียมไü้ใĀ้ÿำĀรับการทดÿอบ (Proof of Concept : POC)ตามภาคผนüก ก. (รฟม. ขอÿงüนÿิทธิ์เฉพาะผู้ที่ผ่าน คุณÿมบัติ โดยจะชี้แจงรายละเอียดในการทดÿอบแก่ผู้ที่ผ่านคุณÿมบัติดังกล่าüแล้üเท่านั้น) เพื่อใĀ้คะแนน ประกอบการพิจารณาผลต่อไป ทั้งนี้ รฟม. จะเป็นผู้กำĀนดüันและเüลาในการทดÿอบของผู้ยื่นข้อเÿนอ โดยผู้ยื่น ข้อเÿนอต้องระบุชื่อ Āมายเลขโทรýัพท์ และ Email Address ใĀ้ครบถ้üนในการประÿานงานนัดĀมายจาก รฟม. และผู้ยื่นข้อเÿนอต้องเป็นผู้จัดĀาและนำอุปกรณ์เข้าร่üมการทดÿอบและเป็นผู้รับผิดชอบค่าใช้จ่ายเองทั้งĀมด

5. ขอบเขตของงาน
   5.1 ผู้ยื่นข้อเÿนอที่เป็นผู้ชนะการประกüดราคา (ผู้ขาย) ต้องจัดĀา ติดตั้งระบบประมüลผลและ üิเคราะĀ์ข้อมูลจากüิดีโอเพื่อการบริĀารงานรถไฟฟ้าผ่านระบบกล้องüิเคราะĀ์ภาพ บริเüณÿถานีรถไฟฟ้า โครงการรถไฟฟ้ามĀานครÿายเฉลิมรัชมงคล เพื่อดูแลรักþาคüามปลอดภัยในบริเüณพื้นที่ของโครงการ รถไฟฟ้าดังกล่าü ทั้งนี้ ต้องÿามารถเชื่อมโยงข้อมูลและใช้งานร่üมกับระบบฯ เดิม ที่ รฟม. ใช้งานอยู่ในปัจจุบัน ได้โดยÿมบูรณ์ (ภาคผนüก ข.) โดยมีคüามÿามารถในการüิเคราะĀ์ภาพบุคคลผู้ต้องÿงÿัย ด้üยüิธีการ ตรüจจับ/ค้นĀาใบĀน้า (Face Recognition) และการค้นĀาอัตลักþณ์ของบุคคล (Appearance Search)
   ได้พร้อมกัน ภายใต้เงื่อนไขระบบฯ เดียüกัน ซึ่งผู้ขายต้องติดตั้งตามจำนüนที่ รฟม. กำĀนด บริเüณตาม ภาคผนüก ค. ดังต่อไปนี้

/5.1.1 ÿถานี…

• 4 -
  5.1.1 ÿถานีรถไฟฟ้าĀลักÿอง จำนüน 6 ตัü 5.1.2 ÿถานีรถไฟฟ้าบางแค จำนüน 6 ตัü 5.1.3 ÿถานีรถไฟฟ้าภาþีเจริญ จำนüน 6 ตัü 5.1.4 ÿถานีรถไฟฟ้าเพชรบุรี จำนüน 5 ตัü 5.1.5 ÿถานีรถไฟฟ้าÿุขุมüิท จำนüน 4 ตัü 5.1.6 ÿถานีรถไฟฟ้าýูนย์การประชุมแĀ่งชาติÿิริกิติ์ จำนüน 11 ตัü 5.1.7 ÿถานีรถไฟฟ้าคลองเตย จำนüน 4 ตัü 5.1.8 ÿถานีรถไฟฟ้าลุมพินี จำนüน 8 ตัü 5.1.9 ÿถานีรถไฟฟ้าÿีลม จำนüน 4 ตัü 5.1.10 ÿถานีรถไฟฟ้าÿามย่าน จำนüน 9 ตัü 5.1.11 ÿถานีรถไฟฟ้าĀัüลำโพง จำนüน 6 ตัü
  5.2 ผู้ขายมีĀน้าที่จัดĀาและติดตั้งกล้องüิเคราะĀ์ภาพ ตามข้อ 5.1 โดยต้องดำเนินการติดตั้งตามจุดที่ รฟม. กำĀนด Āรือบริเüณที่มีการÿำรüจร่üมกับ รฟม. ซึ่งจะต้องมีคุณÿมบัติด้านเทคนิค อย่างน้อยĀรือดีกü่า ดังนี้ 5.2.1 เป็นกล้อง IP ที่มีคüามละเอียดไม่น้อยกü่า 2 Megapixel
  5.2.2 กล้องต้องมีเทคโนโลยี AI และเทคโนโลยีการüิเคราะĀ์ภาพที่อยู่ในตัüกล้อง เพื่อใช้ในการ ÿร้างเงื่อนไขในการทำ Video Analytics
  5.2.3 เป็นกล้องที่ÿามารถทำงานได้ดีในเüลากลางüัน และกลางคืน
  5.2.4 เป็นกล้องที่ติดตั้งระบบÿ่องÿü่างชนิด IR LED แบบ adaptive IR โดยระบบÿ่องÿü่าง ÿามารถÿ่องได้ไกลไม่น้อยกü่า 50 เมตร
  5.2.5 ใช้เลนÿ์แบบ IR corrected ที่มีช่üงคüามยาüโฟกัÿระĀü่าง 2.8 – 12 มม. และÿามารถ ปรับรูรับแÿงได้อัตโนมัติ
  5.2.6 ออกแบบมาÿำĀรับใช้งานภายนอกอาคารโดยเฉพาะ มีมาตรฐานการป้องกันฝุ่นและน้ำ ที่ระดับ IP67
  5.2.7 เป็นกล้องชนิด Megapixel แบบÿีมี Image Sensor เป็นแบบ CMOS Sensor ขนาด ไม่น้อยกü่า 1/2.8 นิ้ü
  5.2.8 กล้องมีคüามไüแÿงน้อยÿุดไม่มากกü่า 0.01lux @ F1.8 ในโĀมดภาพÿี (Color Mode) และไม่มากกü่า 0.005Lux @ F1.8 ในโĀมดภาพขาüดำ (Monochrome mode) 5.2.9 ÿามารถเลือกปรับใช้งาน Automatic White Balance ได้ทั้งแบบอัตโนมัติ และแบบ ปรับเอง (Custom White Balance)
  5.2.10 ÿามารถเลือกÿ่งÿัญญาณภาพแบบ H.264, H.265 และ Motion JPEG
  5.2.11 ÿามารถÿ่งÿัญญาณภาพแบบ Multi-stream H.264, Multi-stream H.265 และ Motion JPEG ด้üยคüามเร็üไม่น้อยกü่า 25 ภาพต่อüินาที
  5.2.12 ÿามารถÿ่งÿัญญาณเÿียงได้ในรูปแบบ G.711

/5.2.13 รองรับ…

• 5 -
  5.2.13 รองรับเน็ตเüิร์กโพรโทคอล IPv6, IPv4, HTTP, HTTPS, DNS, NTP, RTSP, RTCP, RTP, TCP, UDP, IGMP, ICMP และ DHCP
  5.2.14 รองรับโพรโทคอล SNMP เป็นอย่างน้อย ÿำĀรับตรüจÿอบการทำงานของกล้อง 5.2.15 รองรับมาตรฐาน ONVIF compliance Profile S และ Profile T
  5.2.16 มีüงจร Wide Dynamic Range ที่ÿามารถตอบÿนองคüามต่างของแÿงได้ไม่ต่ำกü่า 120 dB (True WDR)
  5.2.17 มีระบบบริĀารจัดการแบนด์üิดท์ จากเครื่องบันทึกภาพไปยังเครื่อง Client ด้üยการÿ่ง ภาพขนาดคüามละเอียดต่ำขณะดูภาพทั่üไป และÿ่งภาพคüามละเอียดÿูง เมื่อต้องการดูภาพเฉพาะจุด 5.2.18 ÿามารถดูภาพและปรับค่า Parameter ผ่านทางโปรแกรม Web Browser ได้ 5.2.19 มีพอร์ต Ethernet แบบ 100 Base-T ชนิด RJ-45
  5.2.20 รองรับอุณĀภูมิขณะทำงานได้ÿูงÿุด 60◦C
  5.2.21 รองรับการติดตั้งĀน่üยคüามจำแบบ Micro SD Āรือ SDXC Āรือ SDHC
  5.2.22 ÿามารถต่อใช้งานกับระบบแรงดันไฟฟ้าขาเข้าแบบ 12VDC และ Power over Ethernet ตามมาตรฐาน IEEE 802.3af Āรือ IEEE 802.3at
  5.2.23 ต้องได้รับมาตรฐานคüามปลอดภัย UL 62368-1 Āรือ IEC/EN 62368-1
  5.2.24 ตัüกล้องต้องมีการรับรองการปล่อยคลื่นแม่เĀล็กไฟฟ้าตามมาตรฐาน FCC Part 15 Subpart B Āรือ IC ICES-003 Class B
  5.2.25 มีคüามÿามารถüิเคราะĀ์ภาพ ซึ่งรองรับการüิเคราะĀ์ได้อย่างน้อย 2 เĀตุการณ์Āรือดีกü่า ดังนี้ 1) ตรüจพบได้ü่ามีüัตถุเข้ามาในพื้นที่ที่กำĀนด (ObjectsIn Area)

2. ตรüจพบได้ü่าüัตถุมีพฤติกรรมเคลื่อนที่üนเüียนไปมา (ObjectLoitering)
3. ตรüจพบได้ü่ามีüัตถุเคลื่อนที่ข้ามเÿ้นที่กำĀนด (Objects Crossing Beam)
4. ตรüจพบได้ü่ามีüัตถุปรากฏĀรือเข้ามาในบริเüณที่กำĀนด (Object Appears or Enters Area) 5) ตรüจพบได้ü่ามีüัตถุĀายไปจากพื้นที่ที่กำĀนดไü้ (Object Not Present In Area or Objects Leave Area)
5. ตรüจพบได้ü่าüัตถุ Āยุดเคลื่อนที่ภายในพื้นที่ที่กำĀนดไü้ (Object Stops In Area)
6. ตรüจพบได้ü่าüัตถุ เคลื่อนที่ไม่เป็นไปตามทิýทางที่กำĀนดไü้ (Direction Violated)
7. ตรüจพบได้ü่า ภาพถูกบดบัง รบกüนĀรือถูกปรับเปลี่ยนมุมมอง (Camera Tampering) 5.2.26 กล้องüิเคราะĀ์ภาพÿามารถทำ Privacy Zone ได้ไม่น้อยกü่า 4 Zone
   5.3 ผู้ขายต้องจัดĀาÿิทธิ์การใช้งานระบบ Face Recognition พร้อมทั้งติดตั้งÿิทธิ์การใช้ งานใĀ้ครอบคลุมตามข้อ 5.1.4 – 5.1.11 ทั้งĀมด เพื่อใĀ้ระบบฯ ÿามารถใช้งานได้โดยÿมบูรณ์ 5.4 ผู้ขายมีĀน้าที่จัดĀา ติดตั้ง และตั้งค่าอุปกรณ์กระจายÿัญญาณประเภท Distribution Switch จำนüนไม่น้อยกü่า 9 ชุด โดยต้องติดตั้งที่ÿถานีรถไฟฟ้ามĀานครÿายเฉลิมรัชมงคล ตามข้อ 5.1.1 – 5.1.3 และ 5.1.6 – 5.1.11 ตามจุดที่ รฟม. กำĀนด ซึ่งต้องมีคุณÿมบัติด้านเทคนิค อย่างน้อยĀรือดีกü่า ดังต่อไปนี้
   /5.4.1 เป็นอุปกรณ์…

• 6 -
  5.4.1 เป็นอุปกรณ์Switch Layer 3 ที่มีขนาด Switching Fabric Āรือ Switching Capacity แบบ non-blocking ไม่น้อยกü่า 56 Gbps
  5.4.2 มีพอร์ต Ethernet 10/100/1000 Base-T Āรือดีกü่า ไม่น้อยกü่า 24 พอร์ต และแบบ 1 Gbps ชนิด SFP Āรือดีกü่า จำนüนไม่น้อยกü่า 4 พอร์ต
  5.4.3 ÿามารถบริĀารจัดการอุปกรณ์ผ่านโปรแกรม Web Browser SNMP v1, v2c and v3 ได้ 5.4.4 ÿนับÿนุนจำนüน MAC Addresses ไม่น้อยกü่า 16,000 Addresses
  5.4.5 มีÿัญญาณไฟแÿดงÿถานะของการทำงานช่องเชื่อมต่อระบบเครือข่ายทุกช่อง 5.4.6 รองรับอุณĀภูมิขณะทำงานได้ÿูงÿุด 50◦C
  5.4.7 อุปกรณ์ต้องÿามารถทำงานกับระบบไฟฟ้าในประเทýไทยแบบ 220-240 VAC, 50Hz และÿามารถติดตั้งบนตู้ Rack ขนาด 19 นิ้ü ได้
  5.4.8 รองรับการใช้งาน Function QoS Traffic classification ดังนี้

1. IEEE 802.1p CoS/ToS
2. IPv4/IPv6 DSCP
3. Port-based WRR
   5.4.9 ผลิตภัณฑ์ดังกล่าüต้องได้รับการจัดอันดับจากผลการทดÿอบของ Gartner ในÿ่üนของ Enterprise Wired & Wireless LAN Access Infrastructure 2024 โดยจะต้องอยู่ในกลุ่ม Leader 5.5 ผู้ขายมีĀน้าที่จัดĀา ติดตั้ง และตั้งค่าอุปกรณ์กระจายÿัญญาณประเภท POE Switchจำนüนไม่น้อยกü่า 15 ชุด พร้อมทั้ง Transceiver Module ชนิด 1 Gbps แบบ Single Mode เพื่อการเชื่อมต่อกับอุปกรณ์กระจาย ÿัญญาณตามข้อ 5.4 ทั้งĀมด โดยต้องติดตั้งที่ÿถานีรถไฟฟ้ามĀานครÿายเฉลิมรัชมงคล ตามข้อ 5.1.1 – 5.1.3 และ 5.1.6 – 5.1.11 ตามจุดที่ รฟม. กำĀนด ซึ่งต้องมีคุณÿมบัติด้านเทคนิค อย่างน้อยĀรือดีกü่า ดังนี้ 5.5.1 มีลักþณะการทำงานไม่น้อยกü่า Layer 2 และÿามารถจ่ายไฟใĀ้อุปกรณ์ในรูปแบบ Power Over Ethernet ได้
   5.5.2 มีขนาดSwitching Fabric Āรือ Switching Capacityแบบ non-blocking ไม่น้อยกü่า 36 Gbps 5.5.3 รองรับ Mac Address ได้ไม่น้อยกü่า 16,000 Mac Address
   5.5.4 มีพอร์ต Ethernet 10/100/1000 Base-T Āรือดีกü่า ไม่น้อยกü่า 16 พอร์ต และ ÿามารถทำงานได้ตามมาตรฐาน IEEE 802.3af Āรือ IEEE 802.3at (Power over Ethernet) ในช่องเดียüกันได้ 5.5.5 มีพอร์ต 1 Gbps ชนิด SFP Āรือดีกü่า จำนüนไม่น้อยกü่า 2 พอร์ต
   5.5.6 ÿามารถบริĀารจัดการอุปกรณ์ผ่านโปรแกรม Web browser, Telnet, SNMP v1, v2c, v3 ได้
   5.5.7 มีÿัญญาณไฟแÿดงÿถานะของการทำงานช่องเชื่อมต่อระบบเครือข่ายทุกช่อง 5.5.8 รองรับอุณĀภูมิขณะทำงานได้ÿูงÿุด 50◦C
   5.5.9 ผลิตภัณฑ์ดังกล่าüต้องได้รับการจัดอันดับจากผลการทดÿอบของ Gartner ในÿ่üนของ Enterprise Wired & Wireless LAN Access Infrastructure 2024 โดยจะต้องอยู่ในกลุ่ม Leader
   /5.6 ผู้ขาย…

• 7 -
  5.6 ผู้ขายมีĀน้าที่จัดĀา ติดตั้ง และตั้งค่าเครื่องบันทึกภาพผ่านเครือข่ายประจำÿถานีรถไฟฟ้ามĀานคร ÿายเฉลิมรัชมงคล ตามข้อ 5.1.1 – 5.1.3 และ 5.1.6 – 5.1.11 จำนüนทั้งÿิ้น 9 ชุด ตามจุดที่ รฟม. กำĀนด ซึ่งต้องÿามารถทำงานร่üมกับระบบ Face Recognition และระบบค้นĀาอัตลักþณ์บุคคลตามÿิทธิ์ การใช้งานที่ต้องจัดĀาได้ทั้งĀมดโดยÿมบูรณ์ตามข้อ 5.3 และมีคุณÿมบัติด้านเทคนิคอย่างน้อยĀรือดีกü่าดังนี้ 5.6.1 เป็นอุปกรณ์ที่ผลิตมาเพื่อบันทึกภาพจากกล้องüงจรปิดโดยเฉพาะ
  5.6.2 มีช่องเชื่อมต่อระบบเครือข่าย (Network Interface) แบบ 10/100/1000 Base-T Āรือดีกü่า จำนüนไม่น้อยกü่า 2 ช่อง
  5.6.3 ÿามารถทำงานได้ตามมาตรฐาน IEEE 802.3af Āรือ IEEE 802.3at (Power over Ethernet) ในช่องเดียüกันได้ จำนüนไม่น้อยกü่า 16 ช่อง Āรือใช้แĀล่งจ่ายไฟชนิด PoE จากภายนอกได้ 5.6.4 ÿามารถใช้ฟังก์ชันüิเคราะĀ์ภาพด้านการค้นĀาอัตลักþณ์ของบุคคลจากกล้องที่เชื่อมต่อ ได้ไม่น้อยกü่า 24 กล้อง และการüิเคราะĀ์ตรüจจับใบĀน้า (Face Recognition) ได้ไม่น้อยกü่า 12 กล้อง 5.6.5 มีĀน่üยจัดเก็บข้อมูลÿำĀรับกล้องüงจรปิดโดยเฉพาะ (Surveillance Hard Disk) ชนิด SATA ขนาดคüามจุรüมไม่น้อยกü่า 12 TB
  5.6.6 มีช่องเชื่อมต่อ (Interface) แบบ USB 2.0/3.0 จำนüนไม่น้อยกü่า 2 ช่อง 5.6.7 ÿามารถแÿดงภาพที่บันทึกจากกล้องโทรทัýน์üงจรปิดผ่านระบบเครือข่ายได้ 5.6.8 มีโปรแกรมÿำĀรับบริĀารจัดการคอมพิüเตอร์แม่ข่าย เช่น Microsoft Windows 10 IoT Enterprise Āรือ Linux Embeded
  5.6.9 มีช่องÿำĀรับต่อภาพเพื่อแÿดงผลภายนอกชนิด HDMI ไม่น้อยกü่า 1 ช่อง 5.6.10 มีคüามÿามารถในการüิเคราะĀ์ภาพÿถานการณ์คüบคู่กับรายการตามข้อ 5.2.25 5.7 ผู้ขายมีĀน้าที่ติดตั้ง และตั้งค่าระĀü่างกล้องüิเคราะĀ์ภาพตามข้อ 5.1.4 – 5.1.5 และเครื่อง คอมพิüเตอร์แม่ข่ายÿำĀรับบันทึกภาพที่ รฟม. มีการใช้งานอยู่เดิม (ภาคผนüก ข.) เพื่อใĀ้ระบบฯ ÿามารถ บันทึกภาพ และใช้งานได้ดีมีประÿิทธิภาพ ตามที่ รฟม. กำĀนด
  5.8 ผู้ขายมีĀน้าที่ปรับปรุง/แก้ไข ตำแĀน่งกล้องüิเคราะĀ์ภาพของ รฟม. ที่มีการติดตั้งใช้งานอยู่เดิม (ÿถานีรถไฟฟ้าตามข้อ 5.1.4 – 5.1.5) ใĀ้เป็นไปตามจุดติดตั้งใĀม่ ตามที่ได้มีการĀารือและเĀ็นชอบร่üมกับ รฟม. ก่อน ทั้งนี้ผู้ขายต้องรับผิดชอบüัÿดุ/อุปกรณ์ที่เกี่ยüข้องทั้งĀมด เพื่อใĀ้ระบบฯ ÿามารถใช้งานได้อย่างดี และมีประÿิทธิภาพ
  5.9 ผู้ขายมีĀน้าที่จัดĀาและติดตั้งÿายÿัญญาณ UTP ชนิด CAT6 Āรือดีกü่า เพื่อใช้ทำĀน้าที่ÿื่อÿาร ข้อมูลระĀü่างอุปกรณ์ทั้งĀมดในโครงการฯ ใĀ้เพียงพอต่อการใช้งาน โดยฉนüนจะต้องผลิตด้üยüัÿดุชนิด Low Smoke Zero Halogen (LSZH)
  5.10 ผู้ขายมีĀน้าที่จัดĀาตู้เก็บอุปกรณ์กระจายÿัญญาณประเภท Distribution Switch และเครื่อง บันทึกภาพผ่านเครือข่ายฯ ตามข้อ 5.4 และ 5.6 ตามลำดับ จำนüน 9 ตู้ ซึ่งต้องดำเนินการติดตั้งตามจุดที่ รฟม. กำĀนด โดยมีคุณÿมบัติทางเทคนิค ดังนี้
  5.10.1 เป็นตู้ Rack ที่ÿามารถใÿ่อุปกรณ์ตามข้อ 5.4, 5.6 และ 5.14 ได้เĀมาะÿม 5.10.2 üัÿดุทำมาจาก Electro-Galvanized Sheet ที่คüามĀนา 1.5 mm

/5.10.3 Panel…

• 8 -
  5.10.3 Panel ด้านĀน้า เป็น Acrylic Āนา 5.0 mm
  5.10.4 มีพัดลมระบายอากาý และ รางปลั๊กแบบ Universal จำนüน 12 ช่องขึ้นไป 5.11 ผู้ขายมีĀน้าที่จัดĀาตู้เก็บอุปกรณ์กระจายÿัญญาณตามข้อ 5.5 จำนüน 15 ตู้ ซึ่งต้องดำเนินการ ติดตั้งตามจุดที่ รฟม. กำĀนด โดยมีคุณÿมบัติทางเทคนิค อย่างน้อยĀรือดีกü่า ดังนี้ 5.11.1 เป็นตู้ Rack ที่ÿามารถใÿ่อุปกรณ์กระจายÿัญญาณประเภท POE Switch ได้เĀมาะÿม 5.11.2 มีพัดลมระบายอากาý และ รางปลั๊กแบบ Universal จำนüน 4 ช่อง
  5.11.3 ต้องÿามารถเปิดได้ทั้งจากด้านĀน้า และด้านข้างของตู้เพื่อการใช้งาน
  5.12 ผู้ขายมีĀน้าที่จัดĀาและติดตั้งÿาย Fiber Optic ที่ต้องใช้งานร่üมกับอุปกรณ์ต่างๆ ในโครงการฯ ตามจุดที่ รฟม. กำĀนด ในข้อ 5.1 อีกทั้ง ต้องดำเนินการเชื่อมต่อและตั้งค่าการทำงานของอุปกรณ์ใĀ้ ÿามารถทำงานได้ เพื่อใช้ทำĀน้าที่ÿื่อÿารรับÿ่งข้อมูล โดยผู้ขายจะต้องติดตั้งÿาย Fiber Optic พร้อมจัดĀา Fiber Distribution Unit (FDU) รüมถึงÿาย Fiber Optic Patch Cord และอุปกรณ์ที่เกี่ยüข้องกับการ เชื่อมต่อทั้งĀมด ตามจุดที่ รฟม. กำĀนด ซึ่งจะต้องมีคุณÿมบัติด้านเทคนิค อย่างน้อยĀรือดีกü่า ดังนี้
  5.12.1 เป็นÿาย Fiber Optic แบบ Single mode ที่ได้มาตรฐาน ANSI/TIA-568-C.3, TIA/EIA-455-41A และ IEC 60794-1-2-E3 โดยมีจำนüน Core ไม่น้อยกü่า 6 ซึ่งต้องใช้ทำการเชื่อมต่อ ระĀü่างอุปกรณ์กระจายÿัญญาณประเภท Distribution Switch ตามข้อ 5.4 และอุปกรณ์กระจายÿัญญาณ ประเภท POE Switch ตามข้อ 5.5 ทั้งĀมด
  5.12.2 üัÿดุฉนüนจะต้องผลิตด้üยüัÿดุชนิด Low smoke Zero Halogen (LSZH) และต้องมี คุณÿมบัติ Armored cable กรณีที่เป็นการติดตั้งÿายภายนอกอุโมงค์และÿถานีรถไฟฟ้า 5.12.3 มีคุณÿมบัติป้องกันรังÿี UV ป้องกันการติดไฟ และไม่มีคüันกรณีเกิดเพลิงไĀม้ 5.13 ผู้ขายมีĀน้าที่จัดĀาและติดตั้งÿายทนไฟ (Fire Resistance Cable : FRC) ที่ต้องใช้งานร่üมกับ อุปกรณ์ต่างๆ ในโครงการฯ ตามจุดที่ รฟม. กำĀนด ซึ่งจะต้องมีคุณÿมบัติ อย่างน้อยĀรือดีกü่า ดังต่อไปนี้ 5.13.1 ทนแรงดันได้ 2,000 V/min. ตามมาตรฐาน IEC Publication 502
  5.13.2 จะต้องประกอบด้üยเทปทนไฟ เช่น MICA Tape พันĀุ้มรอบตัüนำทองแดง 5.13.3 üัÿดุที่เป็นฉนüน (Insulation) จะต้องเป็นüัÿดุชนิด XLPE (Cross Link Polyethylene) และเปลือกนอก (Outlet Sheath) จะต้องเป็นüัÿดุที่เป็นคุณÿมบัติ LSZH (Low Smoke Zero Halogen) 5.13.4 คุณÿมบัติด้าน Fire Resistant ต้องเป็นตามมาตรฐาน BS 6387 Category CWZ 5.13.5 คุณÿมบัติด้าน Flame Retardant ต้องเป็นไปตามมาตรฐาน IEC Publication 332-1, IEC60332-3-24, IEC 61034-2, IEC 60754-1, IEC 60754-2, IEC 60228 และ IEC 60502-1 5.13.6 ÿายÿัญญาณใĀ้ใช้ÿายทนไฟ FRC ขนาดของเÿ้นผ่านýูนย์กลางของตัüนำไม่น้อยกü่า 2.5 ตารางมิลลิเมตร
  5.14 ผู้ขายมีĀน้าที่จัดĀาและติดตั้งอุปกรณ์ÿำรองไฟฟ้า (UPS) ÿำĀรับการÿำรองไฟฟ้าและปรับปรุง คุณภาพไฟฟ้าก่อนจ่ายใĀ้กับอุปกรณ์ในข้อ 5.4 และ 5.6 จำนüนไม่น้อยกü่า 9 ชุด โดยต้องติดตั้งที่ÿถานี รถไฟฟ้ามĀานครÿายเฉลิมรัชมงคล ตามข้อ 5.1.1 – 5.1.3 และ 5.1.6 – 5.1.11 ตามจุดที่ รฟม. กำĀนด ซึ่งจะต้องมีคุณÿมบัติ อย่างน้อยĀรือดีกü่า ดังต่อไปนี้

/5.14.1 เป็นอุปกรณ์…

• 9 -
  5.14.1 เป็นอุปกรณ์ÿำรองไฟฟ้า (True On line Double Conversion Design) ที่ÿามารถ รองรับการจ่าย Load ไฟฟ้าÿูงÿุดใĀ้กับอุปกรณ์ในข้อ 5.4 และ 5.6 ซึ่งÿามารถรองรับได้ไม่น้อยกü่า 30 นาที (Back up Time)
  5.14.2 มีช่üงแรงดันไฟฟ้าขาเข้า 220 Vac +/- ไม่เกิน 10% (Full load)
  5.14.3 แรงดันไฟฟ้าขาออกของภาค Inverter เป็น Pure Sine Wave
  5.14.4 มีĀน้าจอแÿดงบอกÿภาüะการทำงานของ UPS On, On-line, battery mode และ bypass mode
  5.14.5 ÿามารถเพิ่มระยะเüลาการÿำรองไฟฟ้าด้üยการพ่üงแบตเตอรี่ได้ (Options) 5.14.6 มีüงจรป้องกันไฟกระชาก (Surge Protection)
  5.14.7 แÿดงผลการคำนüณโĀลดไฟฟ้าและ Battery ต่อ Backup time ได้ตามข้อ 5.14.1 5.14.8 เป็น UPS แบบชนิด Rack-Mount ซึ่งÿามารถติดตั้งภายในตู้เก็บอุปกรณ์ตามข้อ 5.10 ได้ 5.15 ผู้ขายจะต้องใช้üัÿดุอุปกรณ์ที่ได้มาตรฐานในการติดตั้งระบบ เช่น ท่อโลĀะร้อยÿาย IMC, ท่อ Flexible, ท่อ HDPE, Cable Tray และตู้พักอุปกรณ์ ใĀ้มีขนาดและจำนüนเพียงพอ ÿอดคล้องกับจำนüน กล้องที่ติดตั้ง รüมถึงการเลือกüัÿดุจะต้องได้มาตรฐานที่ใช้งานภายในระบบรถไฟฟ้ามĀานครÿายเฉลิมรัชมงคล 5.16 ผู้ขายมีĀน้าที่จัดĀาและติดตั้ง Software ที่เกี่ยüข้องรüมถึงจัดĀาÿิทธิ์การใช้งาน (License) ใĀ้ครอบคลุมอุปกรณ์ทั้งĀมดในโครงการนี้ ซึ่งÿามารถทำการค้นĀาบุคคลต้องÿงÿัย ด้üยการกำĀนด รูปพรรณÿัณฐาน และภาพถ่าย โดยมีคุณÿมบัติ ดังนี้

1. ÿามารถกำĀนดÿีของเÿื้อผ้า Āรือÿีผมของผู้ต้องÿงÿัยได้
2. ÿามารถกำĀนด เพý Āรือช่üงอายุของผู้ต้องÿงÿัยได้
3. ÿามารถค้นĀาใบĀน้าบุคคลผู้ต้องÿงÿัย จากภาพถ่ายได้
   ทั้งนี้ Software จะต้องÿามารถใช้งานร่üมกับระบบเดิม (ภาคผนüก ข.) ที่ รฟม. ใช้งานอยู่ได้ โดยÿมบูรณ์และตั้งค่าใĀ้ýูนย์กำกับดูแลและบริĀารจัดการการเดินรถไฟฟ้า (Monitoring and Management Center : MMC) ชั้น 5 อาคาร 1 รฟม. ÿามารถดูÿัญญาณภาพและเข้าถึงการตั้งค่า Software ต่างๆ ของอุปกรณ์ที่ติดตั้งอยู่ภายในÿถานีที่กำĀนดได้โดยต้องรองรับการใช้งาน Software ได้ พร้อมกัน (Concurrent User) ไม่น้อยกü่า 10 การเชื่อมต่อ
   5.17 กรณีมีรายการใดผิดพลาด ĀรือตกĀล่นในÿ่üนใดของข้อกำĀนด ซึ่งÿ่งผลใĀ้ไม่ÿามารถ ดำเนินงานได้ตามคüามต้องการของ รฟม. ใĀ้ผู้ขายรับผิดชอบดำเนินการเพื่อใĀ้เป็นไปตามคüามต้องการที่ รฟม. ได้กำĀนดไü้ต่อไป โดยไม่มีค่าใช้จ่ายอื่นใดเพิ่มเติม

6. ก าĀนดเวลาÿ่งมอบพัÿดุ
   6.1 ผู้ขายต้องจัดใĀ้มีการประชุมเริ่มงาน (Kickoff Meeting) เพื่อทำคüามเข้าใจ และนำเÿนอ แผนการดำเนินงาน (Conceptual Plan) ภายใน 15 üัน นับถัดจากüันที่ลงนามในÿัญญา
   /6.2 ผู้ขาย…

• 10 -
  6.2 ผู้ขายต้องÿ่งมอบและติดตั้งระบบประมüลผลและüิเคราะĀ์ข้อมูลจาก VDO (Video Analytics) ที่มีคุณลักþณะเฉพาะตามข้อ 5. โดยต้องทำการติดตั้งและทดÿอบคüามพร้อมการใช้งานใĀ้แล้üเÿร็จภายใน 270 üัน นับถัดจากüันที่ลงนามÿัญญา

7. การฝึกอบรม
   7.1 ผู้ขายต้องจัดการฝึกอบรมการใช้งานระบบดังกล่าü ใĀ้แก่เจ้าĀน้าที่ของ รฟม. โดยต้องฝึกอบรมใĀ้แล้üเÿร็จ ก่อนการÿ่งมอบงานงüดÿุดท้าย
   7.2 ผู้ขายต้องทำการฝึกอบรมเจ้าĀน้าที่ของ รฟม. ที่เป็นผู้ดูแลระบบอย่างน้อย 1 คน และผู้ใช้งาน ระบบเพื่อการปฏิบัติงานอย่างน้อย 10 คน
   7.3 ในการฝึกอบรม ผู้ขายต้องจัดเตรียมüิทยากร เอกÿารการฝึกอบรม อาĀารü่าง จำนüน 2 มื้อ และอาĀารกลางüันจำนüน 1 มื้อต่อüัน ตามจำนüนที่เจ้าĀน้าที่ รฟม. กำĀนด
8. Āลักเกณฑ์การพิจารณาคัดเลือกข้อเÿนอ
   ในการพิจารณาผลการยื่นข้อเÿนอประกüดราคาอิเล็กทรอนิกÿ์ครั้งนี้ รฟม. จะพิจารณาตัดÿินโดยใช้ Āลักเกณฑ์ราคาประกอบเกณฑ์อื่น ดังนี้
   8.1 ราคายื่นข้อเÿนอ (Price) กำĀนดน้ำĀนักเท่ากับร้อยละ 30
   8.2 คุณภาพและคุณÿมบัติที่เป็นประโยชน์ต่อ รฟม. กำĀนดน้ำĀนักเท่ากับร้อยละ 65 โดยพิจารณา เกณฑ์การใĀ้คะแนนเต็ม 65 คะแนน ดังต่อไปนี้

• ผลงานของผู้ยื่นข้อเÿนอ
  พิจารณาจากจำนüนและมูลค่าของผลงานที่เกี่ยüข้องกับระบบบริĀารจัดการ กล้องüงจรปิด (Avigilon Control Center) ที่ รฟม. มีการใช้งานอยู่
  ร้อยละ 10 (10 คะแนน)
  • แผนการดำเนินงานระบบ
    พิจารณาจากการเÿนอแผนงานที่มีคüามชัดเจนต่อเนื่อง มีกิจกรรม ครอบคลุมทั้งกิจกรรมĀลักและกิจกรรมย่อย ÿามารถดำเนินงานตามแผนใĀ้ บรรลุเป้าĀมายของโครงการภายในระยะเüลาที่กำĀนดไü้
    ร้อยละ 5 (5 คะแนน)
  • การทำงานร่üมกันได้กับระบบเดิมที่ รฟม. มีการใช้งานอยู่ (ภาคผนüก ข.) พิจารณาการทดÿอบระบบฯ และคüามเข้ากันได้กับระบบฯ ที่ รฟม. จัดเตรียมไü้ใĀ้ÿำĀรับการทดÿอบ (Proof of Concept (POC))
    ร้อยละ 40 (40 คะแนน)
  • พิจารณาจากระยะเüลาการรับประกันคüามชำรุดบกพร่อง (เพิ่มเติม)
    ร้อยละ 10 (10 คะแนน)

8.3 ข้อเÿนออื่นนอกเĀนือจากขอบเขตของงานที่เป็นประโยชน์ต่อ รฟม. กำĀนดน้ำĀนักร้อยละ 5

• การติดตั้งระบบตรüจจับใบĀน้า และระบบค้นĀาอัตลักþณ์ของบุคคล เพิ่มเติมนอกเĀนือจากขอบเขตของงานที่ รฟม. กำĀนด
  ร้อยละ 5 (5 คะแนน)

/9. วงเงิน…

• 11 -

9. วงเงินงบประมาณ/วงเงินที่ได้รับจัดÿรร
   14,000,000 บาท (ÿิบÿี่ล้านบาทถ้üน) (รüมภาþีมูลค่าเพิ่ม)
10. งวดงานและการจ่ายเงิน
    การชำระเงินตามÿัญญานี้ แบ่งการชำระออกเป็น 4 งüด ซึ่งเป็นราคารüมภาþีมูลค่าเพิ่มตลอดจนภาþี อากรอื่นๆ และค่าใช้จ่ายทั้งปüงด้üยแล้ü มีรายละเอียดดังนี้
    10.1 งüดที่ 1 รฟม. จะชำระเงินร้อยละ 10 ของมูลค่าตามÿัญญา เมื่อผู้ขายได้ดำเนินการ ตามขอบเขตของงานฯ ข้อ 6.1 เรียบร้อยแล้ü และคณะกรรมการตรüจรับพัÿดุ ได้ตรüจรับงานถูกต้อง ครบถ้üนแล้ü
    10.2 งüดที่ 2 รฟม. จะชำระเงินร้อยละ 20 ของมูลค่าตามÿัญญา เมื่อผู้ขายได้ดำเนินการ ÿ่งเอกÿาร ดังต่อไปนี้ ใĀ้ รฟม. ภายใน 45 üัน นับถัดจากüันที่ลงนามในÿัญญา และคณะกรรมการตรüจรับพัÿดุ ได้ตรüจรับงานถูกต้องครบถ้üนแล้ü

1. แผนการดำเนินงานโดยละเอียด ระบุระยะเüลาการทำงานในแต่ละÿถานี
2. โครงÿร้างงานบริĀารโครงการ และรายชื่อผู้ติดต่อ
3. ตำแĀน่งติดตั้งกล้อง และมุมมองภาพ Field of View
4. รายละเอียดตามคüามเĀ็นของคณะกรรมการตรüจรับพัÿดุ (ถ้ามี) ในงüดที่ 1
   10.3 งüดที่ 3 รฟม. จะชำระเงินร้อยละ 45 ของมูลค่าตามÿัญญา เมื่อผู้ขายได้ดำเนินการจัดÿ่ง อุปกรณ์ตามข้อ 5.2, 5.4 – 5.6 และ 5.14 และดำเนินการติดตั้งอุปกรณ์/ระบบฯ ไม่น้อยกü่า 5 ÿถานี ตามข้อ 5.1 จนแล้üเÿร็จ ทั้งนี้ รฟม. จะชำระเงินใĀ้แก่ผู้ขาย Āลังจากตรüจรับรายการอุปกรณ์ จำนüนและ คุณลักþณะของอุปกรณ์รüมถึงดำเนินการติดตั้งอุปกรณ์/ระบบฯดังกล่าüจนครบถ้üน และคณะกรรมการ ตรüจรับพัÿดุ ได้ตรüจรับงานถูกต้องครบถ้üนแล้ü
   10.4 งüดที่ 4 รฟม. จะชำระเงินร้อยละ 25 ของมูลค่าตามÿัญญา เมื่อผู้ขายได้ดำเนินงานตามขอบเขต ของงานทั้งĀมดจนแล้üเÿร็จ รüมถึงการฝึกอบรมเจ้าĀน้าที่ รฟม. และคณะกรรมการตรüจรับพัÿดุ ได้ตรüจรับ งานถูกต้องครบถ้üนแล้ü

11. อัตราค่าปรับ
    11.1 ในกรณีผู้ขายดำเนินงานตามขอบเขตของงานทั้งĀมด รüมถึงจัดการฝึกอบรมไม่แล้üเÿร็จตามกำĀนด ระยะเüลา ผู้ขายตกลงยินยอมใĀ้รฟม. ปรับในอัตราร้อยละ 0.1 ของมูลค่างานตามÿัญญาเป็นรายüัน โดย นับถัดจากüันที่ครบกำĀนดตามข้อ 6.2 Āาก รฟม. เĀ็นü่าผู้ขายดำเนินการล่าช้าและอาจเกิดคüาม เÿียĀาย รฟม. มีÿิทธิ์จะใĀ้ผู้อื่นมาดำเนินการแทน โดยผู้ขายต้องเป็นผู้ออกค่าใช้จ่ายและค่าเÿียĀายที่ เกิดขึ้น (ถ้ามี) Āรือยินยอม ใĀ้ถือü่าเป็นผู้ทิ้งงาน
    11.2 ในกรณีที่อุปกรณ์ของระบบฯ ภายใต้ขอบเขตของงานในข้อ 5. มีการชำรุดบกพร่อง ผู้ขายจะต้อง ดำเนินการแก้ไขคüามชำรุดบกพร่องของระบบฯ ดังกล่าü โดยผู้ขายต้องดำเนินการตรüจÿอบระบบฯ ภายใน 24 ชั่üโมง นับแต่üันที่ได้รับแจ้งจาก รฟม. ทางโทรýัพท์ โทรýัพท์เคลื่อนที่ โทรÿาร ĀรือจดĀมาย
    /อิเล็กทรอนิกÿ์…

• 12 -
  อิเล็กทรอนิกÿ์ (E-mail) ฯลฯ ได้ทุกüัน ไม่เü้นüันĀยุดและดำเนินการซ่อมแซมแก้ไขĀรือซ่อมบำรุงใĀ้แล้üเÿร็จ ภายในระยะเüลาไม่เกิน 48 ชั่üโมง นับแต่üันที่ได้รับแจ้งจาก รฟม. โดยไม่คิดค่าใช้จ่ายใดๆ ทั้งÿิ้น ถ้าเĀตุชำรุด บกพร่องดังกล่าüจำเป็นต้องใช้เüลาแก้ไขมากกü่า 48 ชั่üโมง ผู้ขายจะต้องขออนุมัติขยายระยะเüลาแก้ไขกับ รฟม. Āากผู้ขายไม่กระทำการดังกล่าüĀรือไม่ทำการแก้ไขใĀ้ถูกต้องเรียบร้อยภายในระยะเüลาที่รฟม. กำĀนด ผู้ขายยินยอมใĀ้ รฟม. ปรับในอัตราร้อยละ 0.01 ของมูลค่าÿัญญา ต่ออุปกรณ์/üัน จนกü่าจะใช้งานได้ดังเดิม ĀรือĀาก รฟม. เĀ็นü่าผู้ขายดำเนินการล่าช้าและอาจเกิดคüามเÿียĀาย รฟม. มีÿิทธิ์จะใĀ้ผู้อื่นมาดำเนินการ
  ซ่อมแซมแก้ไข โดยผู้ขายต้องเป็นผู้ออกค่าใช้จ่ายและค่าเÿียĀายที่เกิดขึ้น (ถ้ามี) ĀรือยินยอมใĀ้ถือü่าเป็นผู้ทิ้งงาน 11.3 ผู้ขายจะต้องชำระค่าปรับตามข้อ 11.1 – 11.2 ด้üยเงินÿด และ/ĀรือยินยอมใĀ้ รฟม. Āักค่าปรับ จากĀลักประกันÿัญญา

12. การก าĀนดระยะเวลารับประกันความช ารุดบกพร่อง
    12.1 ผู้ขายต้องรับประกันอุปกรณ์และคüามชำรุดบกพร่องต่างๆ ของรายการตามข้อ 5. ตลอดÿัญญาเป็น ระยะเüลาไม่น้อยกü่า 2 ปี นับแต่üันที่ รฟม. ตรüจรับงานงüดÿุดท้าย
    12.2 ในช่üงระยะเüลาของการรับประกัน Āากอุปกรณ์ทั้งĀมดĀรือบางÿ่üนไม่ÿามารถใช้งานได้ ตามปกติ ผู้ขายจะต้องดำเนินการแก้ไขใĀ้อยู่ในÿภาพที่ใช้งานได้ตามปกติ (ข้อตกลงระดับการใĀ้บริการ (Service Level Agreement : SLA)) ภายใน 48 ชั่üโมง ด้üยค่าใช้จ่ายของผู้ขายเอง
    12.3 กรณีที่ผู้ขายนำอุปกรณ์ในโครงการออกไปซ่อมแซม ผู้ขายจะต้องนำอุปกรณ์ที่มีประÿิทธิภาพ เทียบเท่าของเดิม Āรือดีกü่าของเดิมมาใÿ่ทดแทนเพื่อใĀ้ระบบฯ ดังกล่าü ทำงานได้จนกü่าจะÿามารถ ซ่อมแซมแก้ไขแล้üเÿร็จ
    12.4 ผู้ขายจะต้องดำเนินการบำรุงรักþาเชิงป้องกัน (Preventive Maintanance : PM) พร้อมÿ่ง รายงานÿรุปผลการบำรุงรักþาเชิงป้องกันใĀ้ รฟม. เป็นประจำทุก ๆ 6 เดือน นับแต่üันที่ รฟม. ตรüจรับงาน งüดÿุดท้าย จนถึงระยะเüลาÿิ้นÿุดการรับประกันของผู้ขาย
13. ข้อÿงวนÿิทธิ์
    13.1 ผู้ขาย และ/Āรือเจ้าĀน้าที่ของผู้ขาย ที่เข้าถึงระบบเทคโนโลยีÿารÿนเทýของ รฟม. ต้องปฏิบัติตาม นโยบายการรักþาคüามมั่นคงปลอดภัยของระบบเทคโนโลยีÿารÿนเทýของ รฟม. ปรากฏดังภาคผนüก ง. และ จะต้องรักþาคüามลับต่างๆ ที่ได้จากการปฏิบัติงาน โดยĀ้ามมิใĀ้ผู้ขาย และ/Āรือเจ้าĀน้าที่ของผู้ขายนำข้อมูลÿ่üน Āนึ่งÿ่üนใดĀรือทั้งĀมดที่ได้จากการปฏิบัติงานใน รฟม. ไปทำซ้ำ เผยแพร่ ĀรือüิเคราะĀ์ประมüลผลเพื่อการอื่นใด
    ไม่ü่าการกระทำดังกล่าüจะเป็นการĀาผลประโยชน์Āรือไม่ก็ตาม Āาก รฟม. ตรüจพบผู้ขายต้องชดใช้ค่าเÿียĀาย เป็นจำนüนเงินไม่น้อยกü่าค่าจ้างทั้งĀมดที่กำĀนดไü้ในÿัญญา ทั้งนี้ ผู้ขาย และ/Āรือเจ้าĀน้าที่ของผู้ขายต้องลง นามในÿัญญาการเก็บรักþาข้อมูลไü้เป็นคüามลับ (Non-Disclosure Agreement) ก่อนเริ่มปฏิบัติงาน ตาม รูปแบบที่ รฟม. กำĀนด
    13.2 รฟม. มีÿิทธิ์ในการตรüจÿอบการเข้าถึงข้อมูล และมีÿิทธิในการยกเลิกการใĀ้ÿิทธิ์ ต่างๆ แก่เจ้าĀน้าที่ ที่ผู้ขายÿ่งเข้ามาปฏิบัติงาน

/13.3 ระบบ…

• 13 -
  13.3 ระบบและซอฟต์แüร์ที่ผู้ขายจัดĀาเพื่อใช้ในโครงการนี้ทั้งĀมด รฟม. ต้องได้รับเอกÿารÿิทธิ์ (Software License) และ/Āรือ ÿิทธิ์การใช้งานได้อย่างถูกต้องตามกฎĀมาย โดยเอกÿารÿิทธิ์ดังกล่าü รฟม. จะเป็นเจ้าของเอกÿารÿิทธิ์ทั้งĀมด
  13.4 ผู้ขายต้องประมาณการค่าใช้จ่ายในการบำรุงรักþาระบบของโครงการนี้ ตามรายการอุปกรณ์ที่ เกี่ยüข้องทั้งĀมด ใĀ้แก่ รฟม. Āลังจากดำเนินโครงการจนแล้üเÿร็จ โดยเÿนอต่อ รฟม. ในรูปแบบระยะเüลา ต่อĀนึ่งปี และĀ้าปีต่อเนื่อง

ร่าง
ภาคผนวก ก.
Āลักเกณฑ์การใĀ้คะแนนในการพิจารณาคัดเลือกข้อเÿนอ
งานจัดซื้อระบบประมวลผลและวิเคราะĀ์ข้อมูลจาก VDO (Video Analytics)
ÿ าĀรับÿ่วนต่อขยายภายในโครงการรถไฟฟ้าของ รฟม.
ในการพิจารณาผลการยื่นข้อเ. นอประก. ดราคาอิเล็กทรอนิก. ์ครั้งนี้ รฟม. จะพิจารณาตัดÿินโดยใช้Āลักเกณฑ์ ราคาประกอบเกณฑ์อื่น

1. ราคายื่นข้อเÿนอ (Price) กำĀนดน้ำĀนักเท่ากับร้อยละ 30
2. คุณภาพและคุณÿมบัติที่เป็นประโยชน์ต่อ รฟม. กำĀนดน้ำĀนักเท่ากับร้อยละ 65 โดยพิจารณาเกณฑ์การใĀ้ คะแนนเต็ม 65 คะแนน ดังต่อไปนี้
   2.1 ผลงานของผู้เÿนอราคา

• พิจารณาจากจำนüนของผลงานและมูลค่าของผลงาน
  2.2 แผนการดำเนินงานระบบ
• พิจารณาจากแผนงานที่มีคüามชัดเจนต่อเนื่อง มีกิจกรรมครอบคลุมÿามารถ ดำเนินงานตามแผนใĀ้บรรลุเป้าĀมายของงานภายในระยะเüลาที่กำĀนดไü้ 2.3 การทำงานร่üมกันได้กับระบบüิเคราะĀ์ภาพที่ รฟม. จัดเตรียมไü้ใĀ้ÿำĀรับการ ทดÿอบ (Proof of Concept (POC))
  2.4 การบริการĀลังการขาย เพิ่มเติมที่เป็นประโยชน์ต่อ รฟม.
• พิจารณาจากระยะเüลาการรับประกันคüามชำรุดบกพร่อง (เพิ่มเติม)
  ร้อยละ 10 (10 คะแนน) ร้อยละ 5 (5 คะแนน)
  ร้อยละ 40 (40 คะแนน) ร้อยละ 10 (10 คะแนน)

3. ข้อเÿนออื่นนอกเĀนือจากขอบเขตของงานที่เป็นประโยชน์ต่อ รฟม. กำĀนดน้ำĀนักเท่ากับร้อยละ 5 โดยพิจารณา เกณฑ์การใĀ้คะแนนเต็ม 5 คะแนน

รายละเอียดในการพิจารณาแต่ละĀัวข้อ ดังนี้

1. ราคา (Price) ก าĀนดน้ าĀนักเท่ากับร้อยละ 30
   Āลักเกณฑ์ในการพิจารณาราคา (Price) ใĀ้ผู้มีราคารüมต่ำÿุดได้เต็มร้อยละ 30 (30 คะแนน) โดยระบบการจัดซื้อ จัดจ้างภาครัฐด้üยอิเล็กทรอนิกÿ์ (e-GP) จะคำนüณคะแนนใĀ้อัตโนมัติ โดยผู้ที่เÿนอราคาต่ำÿุด จะได้ 30 คะแนน
2. คุณภาพและคุณÿมบัติที่เป็นประโยชน์ต่อ รฟม. ก าĀนดน้ าĀนักเท่ากับร้อยละ 65 โดยพิจารณาเกณฑ์การ ใĀ้คะแนนเต็ม 65 คะแนน ดังต่อไปนี้
   2.1 ผลงานของผู้เÿนอราคา ร้อยละ 10 (10 คะแนน)
   Āลักเกณฑ์ในการพิจารณาด้านผลงานของผู้เÿนอราคา มีดังนี้
   ผู้ยื่นข้อเÿนอต้องมีประÿบการณ์ในงานที่เกี่ยüข้องกับระบบบริĀารจัดการกล้องüงจรปิด (Avigilon Control Center) ที่ รฟม. มีการใช้งานอยู่ ภายในระยะเüลาไม่เกิน 5 ปี นับถึงüันที่ยื่นข้อเÿนอประกüดราคาอิเล็กทรอนิกÿ์จาก ÿ่üนราชการ Āน่üยงานตามกฎĀมายü่าด้üยระเบียบบริĀารราชการแผ่นดิน รัฐüิÿาĀกิจ ĀรือĀน่üยงานเอกชน /ที่ รฟม….

ที่ รฟม. เชื่อถือได้โดยผู้ยื่นข้อเÿนอจะต้องแนบÿ าเนาĀนังÿือรับรองผลงาน ÿ าเนาขอบเขตของงาน และ เอกÿารรับรองผลิตภัณฑ์ที่ใช้งานจากผู้ผลิตในงานดังกล่าวทั้งĀมด มาพร้อมกันด้วย (รฟม. ขอÿงüนÿิทธิ์ในการ พิจารณา Āากเอกÿารของผู้ยื่นข้อเÿนอไม่ครบถ้üนทั้งĀมด ถือü่าท่านไม่มีผลงานตามข้อกำĀนดทุกกรณี) 2.1.1 จำนüนของผลงานตามข้อกำĀนด ร้อยละ 5 (5 คะแนน)
Āัüข้อ
รายละเอียด
เกณฑ์การใĀ้คะแนน
คะแนนการตัดÿิน
ผลงานของ
ผู้เÿนอราคา
จำนüนของผลงาน ที่มีมูลค่าไม่น้อย
กü่า 5 ล้านบาท
จำนüนผลงานมากเป็นลำดับที่ 1
5 คะแนน
จำนüนผลงานมากเป็นลำดับที่ 2
4 คะแนน
จำนüนผลงานมากเป็นลำดับที่ 3 เป็นต้นไป
3 คะแนน
ไม่มีผลงานตามข้อกำĀนด Āรือเอกÿารไม่ครบถ้üน
0 คะแนน

2.1.2 มูลค่าของผลงานมากที่ÿุด 1 ผลงาน ตามข้อกำĀนดร้อยละ 5 (5 คะแนน)
Āัüข้อ
รายละเอียด
เกณฑ์การใĀ้คะแนน
คะแนนการตัดÿิน
ผลงานของ
ผู้เÿนอราคา
มูลค่าของผลงาน มากที่ÿุด 1 ผลงาน ตามข้อกำĀนด
มูลค่าผลงานมากเป็นลำดับที่ 1
5 คะแนน
มูลค่าผลงานมากเป็นลำดับที่ 2
4 คะแนน
มูลค่าผลงานมากเป็นลำดับที่ 3 เป็นต้นไป
3 คะแนน
ไม่มีผลงานตามข้อกำĀนด Āรือเอกÿารไม่ครบถ้üน
0 คะแนน

2.2 แผนการด าเนินงานระบบ ร้อยละ 5 (5 คะแนน)
พิจารณาถึงคüามเข้าใจในแผนการดำเนินงาน คüามชัดเจนต่อเนื่องของงานที่นำเÿนอ มีกิจกรรมĀลัก กิจกรรมย่อย ครอบคลุมถึงÿาระÿำคัญในการติดตั้งระบบประมüลผลและüิเคราะĀ์ข้อมูลจากüิดีโอ (Video Analytics) ที่กำĀนดไü้อย่างครบถ้üน ÿามารถดำเนินงานตามแผนใĀ้บรรลุเป้าĀมายของโครงการภายในระยะเüลาที่ กำĀนดไü ซึ่งม ้ ีĀลักเกณฑ์ในการพิจารณากำĀนดระดับคะแนน ดังนี้
Āัüข้อ
รายละเอียด
เกณฑ์การใĀ้คะแนน
คะแนนการตัดÿิน
แผนการ
ดำเนินงานระบบ
แผนการดำเนินงานระบบ
การนำเÿนอดี ลำดับที่ 1
5 คะแนน
การนำเÿนอดี ลำดับที่ 2
4 คะแนน
การนำเÿนอดี ลำดับที่ 3
3 คะแนน
การนำเÿนอดี ลำดับที่ 4 เป็นต้นไป
2 คะแนน
ไม่มีการนำเÿนอ
0 คะแนน

การนำเÿนอดี ลำดับที่ 1
: แผนการดำเนินงานมีคüามÿอดคล้องเĀมาะÿมในรายละเอียดตามขอบเขตของงานฯ อย่าง ครบถ้üน และเข้าใจทุกประเด็นÿำคัญของขอบเขตของงานฯ นำเÿนอüิธีการทำงาน ระยะเüลาของ กิจกรรมĀลักและกิจกรรมย่อยที่ÿอดคล้องกับผลลัพธ์ตามขอบเขตของงานฯ ในรายละเอียดที่ ชัดเจนต่อเนื่อง
/การนำเÿนอ…

การนำเÿนอดี ลำดับที่ 2
การนำเÿนอดี ลำดับที่ 3
การนำเÿนอดี ลำดับที่ 4
เป็นต้นไป
ไม่มีการ
นำเÿนอ
: แผนการดำเนินงานมีคüามÿอดคล้องเĀมาะÿมในรายละเอียดตามขอบเขตของงานฯ อย่าง ครบถ้üน และเข้าใจทุกประเด็นÿำคัญของขอบเขตของงานฯ นำเÿนอüิธีการทำงาน ระยะเüลาของ กิจกรรมĀลักและกิจกรรมย่อยที่ÿอดคล้องกับผลลัพธ์ตามขอบเขตของงานฯ ในรายละเอียดที่ ชัดเจนต่อเนื่องแต่น้อยü่าการนำเÿนอดี ลำดับที่ 1
: แผนการดำเนินงานมีคüามÿอดคล้องเĀมาะÿมในรายละเอียดตามขอบเขตของงานฯ อย่าง ครบถ้üน และเข้าใจทุกประเด็นÿำคัญของขอบเขตของงานฯ นำเÿนอüิธีการทำงาน ระยะเüลาของ กิจกรรมĀลักและกิจกรรมย่อยที่ÿอดคล้องกับผลลัพธ์ตามขอบเขตของงานฯ ในรายละเอียดที่ ชัดเจนต่อเนื่องแต่น้อยü่าการนำเÿนอดี ลำดับที่ 2
: แผนการดำเนินงานมีคüามÿอดคล้องเĀมาะÿมในรายละเอียดตามขอบเขตของงานฯ อย่าง ครบถ้üน และเข้าใจทุกประเด็นÿำคัญของขอบเขตของงานฯ นำเÿนอüิธีการทำงาน ระยะเüลาของ กิจกรรมĀลักและกิจกรรมย่อยที่ÿอดคล้องกับผลลัพธ์ตามขอบเขตของงานฯ ในรายละเอียดที่ ชัดเจนต่อเนื่องแต่น้อยü่าการนำเÿนอดี ลำดับที่ 3 Āรือนำเÿนอรายละเอียดüิธีการทำงาน
ระยะเüลาของกิจกรรมĀลักและกิจกรรมย่อยที่ÿอดคล้องกับผลลัพธ์ตามที่ขอบเขตของงานฯ กำĀนดไü้
: ไม่นำเÿนอแผนการดำเนินงาน
2.3 การท างานร่วมกันได้กับระบบวิเคราะĀ์ภาพที่ รฟม. จัดเตรียมไว้ใĀ้ ร้อยละ 40 (40 คะแนน) ผู้ยื่นข้อเÿนอต้องนำเÿนอและทำการทดÿอบคüามเข้ากันได้กับระบบüิเคราะĀ์ภาพที่ รฟม. จัดเตรียมไü้ใĀ้ ÿำĀรับการทดÿอบ (Proof of Concept (POC)) (รฟม. ขอÿงüนÿิทธิ์การชี้แจงรายละเอียดในการทดÿอบใĀ้แก่ผู้ ที่ผ่านคุณÿมบัติของผู้ยื่นข้อเÿนอตามข้อ 3. และคุณÿมบัติทางด้านเทคนิคตามข้อ 5.2, 5.4 – 5.6 และ 5.14 ในขอบเขตของงานฯ แล้üเท่านั้น) โดยมีการนำเÿนอขั้นตอนการทำงานในรายละเอียดที่ชัดเจน ของระบบกล้อง ตรüจจับอัตลักþณ์ และการตรüจจับใบĀน้าที่ÿามารถทำงานได้พร้อมกัน (คะแนนเต็ม 40 คะแนน) โดยใĀ้คะแนน ตามตารางที่กำĀนด ดังนี้
ข้อ
เกณฑ์การประเมิน
ผ่าน
ไม่ผ่าน
1
ระบบที่เÿนอÿามารถเรียกดูภาพปัจจุบันจากระบบที่ รฟม. จัดเตรียมไü้ได้ (2 คะแนน)

2 
ระบบที่เÿนอÿามารถเรียกดูภาพที่บันทึกไü้จากระบบที่ รฟม. จัดเตรียมไü้ได้ (5 คะแนน) 




3 
ระบบที่เÿนอÿามารถค้นĀาภาพจากระบบที่ รฟม. จัดเตรียมไü้ได้ โดยใช้เครื่องมือ  ค้นĀาด้üยช่üงüันที่และเüลา (5 คะแนน) 




4 
ระบบที่เÿนอÿามารถค้นĀาภาพจากระบบที่ รฟม. จัดเตรียมไü้ได้ โดยใช้เครื่องมือ  ค้นĀาจากคüามเปลี่ยนแปลงของพิกเซล (Pixel) Āรือคüามเคลื่อนไĀü (Motion) และ  Thumbnail search (3 คะแนน) 




5 
ÿามารถเก็บ Log ต่างๆ เช่น ผู้ใช้งานระบบ ปัญĀาต่างๆ ของระบบüิเคราะĀ์ภาพ ที่ รฟม. จัดเตรียมไü้ได้ โดยÿามารถแÿดงผลจากระบบที่เÿนอได้ (5 คะแนน) 




6 
ระบบÿามารถทำการค้นĀาอัตลักþณ์ของบุคคลต้องÿงÿัยจากระบบ ที่ รฟม. จัดเตรียมไü้ได้  ด้üยการกำĀนดÿีของเÿื้อผ้า ÿีผม เพý ช่üงอายุ ทั้งĀมดดังที่กล่าüมาของบุคคลต้องÿงÿัย  (5 คะแนน) 

/7 ระบบÿามารถ…

ข้อ
เกณฑ์การประเมิน
ผ่าน
ไม่ผ่าน
7
ระบบÿามารถตรüจจับใบĀน้าคนอัตโนมัติจากระบบ ที่ รฟม. จัดเตรียมไü้ได้ ซึ่งÿามารถแจ้ง เตือนใบĀน้า Blacklist Āรือ กลุ่ม Member เพื่อแยกประเภทของบุคคล ได้ (5 คะแนน)

8 
ระบบที่เÿนอÿามารถค้นĀาบุคคลจากระบบ ที่ รฟม. จัดเตรียมไü้ได้ โดยÿามารถใช้รูปถ่าย และการระบุอัตลักþณ์ของบุคคลตามข้อ 6 เพื่อค้นĀาบุคคลต้องÿงÿัย ได้ภายในกล้องตัü เดียüกัน (10 คะแนน) 

2.4 การบริการĀลังการขาย เพิ่มเติมที่เป็นประโยชน์ต่อ รฟม. ร้อยละ 10 (10 คะแนน) มีĀลักเกณฑ์ในการพิจารณาใĀ้คะแนนตามขอบเขตของงานฯ ข้อ 12.1 ผู้ขายต้องรับประกันอุปกรณ์และ คüามชำรุดบกพร่องต่างๆ ของรายการตามข้อ 5. ตลอดÿัญญาเป็นระยะเüลาไม่น้อยกü่า 2 ปี นับแต่üันที่ รฟม. ตรüจรับงานงüดÿุดท้าย รüมถึงต้องดำเนินการบำรุงรักþาเชิงป้องกัน (Preventive Maintenance : PM) ตามข้อ 12.4 เป็นประจำทุก 6 เดือนจนถึงระยะเüลาÿิ้นÿุดการรับประกันของผู้ขาย
Āัüข้อ
รายละเอียด
เกณฑ์การใĀ้คะแนน
คะแนนการ
ตัดÿิน
บริการĀลังการ
ขาย
ระยะเüลาการ
รับประกันคüาม
ชำรุดบกพร่อง
(เพิ่มเติม)
ระยะเüลา (เพิ่มเติม) มากเป็นลำดับที่ 1
10 คะแนน
ระยะเüลา (เพิ่มเติม) มากเป็นลำดับที่ 2
8 คะแนน
ระยะเüลา (เพิ่มเติม) มากเป็นลำดับที่ 3 เป็นต้นไป
5 คะแนน
ไม่มีการเÿนอเพิ่มเติม (เÿนอเท่าขอบเขตของงาน)
0 คะแนน

3. ข้อเÿนออื่นนอกเĀนือจากขอบเขตของงานที่เป็นประโยชน์ต่อ รฟม. ก าĀนดน้ าĀนักเท่ากับร้อยละ 5 โดย พิจารณาเกณฑ์การใĀ้คะแนนเต็ม 5 คะแนน
   การติดตั้งระบบตรüจจับใบĀน้าและระบบค้นĀาอัตลักþณ์ของบุคคล ที่ รฟม. มีการใช้งานอยู่ (ภาคผนüก ข.) เพิ่มเติมนอกเĀนือจากขอบเขตของงานที่ รฟม. กำĀนด ร้อยละ 5 (5 คะแนน)
   Āัüข้อ
   รายละเอียด
   เกณฑ์การใĀ้คะแนน
   คะแนนการตัดÿิน
   การติดตั้งระบบ
   ตรüจจับใบĀน้า และ ระบบค้นĀาอัตลักþณ์ ของบุคคล ที่ รฟม. มีการใช้งานอยู่
   (ภาคผนüก ข.)
   เพิ่มเติมนอกเĀนือจาก ขอบเขตของงานที่
   รฟม. กำĀนด
   จำนüนÿถานี
   และจุดติดตั้ง
   ตามที่ รฟม.
   กำĀนด
   จัดĀาพร้อมติดตั้งระบบฯ ณ ÿถานีพระราม 9 5 จุด และÿถานีýูนย์üัฒนธรรมแĀ่งประเทýไทย 5 จุด ตามที่ รฟม. กำĀนด
   5 คะแนน
   จัดĀาพร้อมติดตั้งระบบฯ ÿถานีพระราม 9 5 จุด Āรือÿถานีýูนย์üัฒนธรรมแĀ่งประเทýไทย 5 จุด ตามที่ รฟม. กำĀนด
   3 คะแนน
   ไม่มีการเÿนอเพิ่มเติม
   0 คะแนน

ภาคผนวก ข.
รายละเอียดระบบวิเคราะĀ์ภาพที่ รฟม. มีการใช้งานอยู่ในปŦจจุบัน
กล้องüิเคราะĀ์ภาพ จากผลิตภัณฑ์ของ Avigilon ซึ่งติดตั้งที่ÿถานีรถไฟฟ้าÿายเฉลิมรัชมงคลและ ÿายฉลองรัชธรรมทั้งĀมด 10 ÿถานี มีรายละเอียดดังนี้
ÿถานีรถไฟฟ้า
จำนüนกล้อง
ÿถานีÿุทธิÿาร
8
ÿถานีĀ้üยขüาง
8
ÿถานีýูนย์üัฒนธรรมแĀ่งประเทýไทย
9
ÿถานีพระราม 9
7
ÿถานีเพชรบุรี
7
ÿถานีÿุขุมüิท
7
ÿถานีตลาดบางใĀญ่
14
ÿถานีกระทรüงÿาธารณÿุข
14
ÿถานีüงý์ÿü่าง
14
ÿถานีเตาปูน
18

กล้องüิเคราะĀ์ภาพที่ติดตั้งดังกล่าü ถูกเชื่อมโยงเข้ากับระบบเครือข่ายและอุปกรณ์ที่เกี่ยüข้องทั้งĀมด รüมถึงเครื่องลูกข่าย (Client) ที่ติดตั้ง Software ของ Avigilon ณ ýูนย์กำกับดูแลและบริĀารจัดการการ เดินรถไฟฟ้า (Monitoring and management center : MMC) ซึ่งÿามารถบริĀารจัดการระบบ ประมüลผลüิเคราะĀ์ภาพ ได้ทั้งĀมด ดังแผนภาพ (Diagram)

ภาคผนวก ค.
บริเüณจุดติดตั้งกล้องตามที่ รฟม. กำĀนด

1. ÿถานีĀลักÿอง
   • บริเüณชั้นชานชาลาÿถานี 6 ตัü
   รüมกล้องที่ต้องติดตั้งทั้ง. มด 6 ตัü
2. ÿถานีบางแค
   • บริเüณชั้นชานชาลาÿถานี 6 ตัü
   รüมกล้องที่ต้องติดตั้งทั้ง. มด 6 ตัü
3. ÿถานีภาþีเจริญ
   • บริเüณชั้นชานชาลาÿถานี 6 ตัü
   รüมกล้องที่ต้องติดตั้งทั้ง. มด 6 ตัü
4. ÿถานีเพชรบุรี
   • ฝั่ง N

• บริเüณทางออก 1 รüม 1 ตัü
• บริเüณทางออก 3 รüม 1 ตัü
  • ฝั่ง S
• บริเüณทางออก 2 รüม 1 ตัü
• บริเüณทางเข้า/ออก อาคารÿิงĀ์คอมเพล็กซ์ รüม 2 ตัü
  รüมกล้องที่ต้องติดตั้งทั้งĀมด 5 ตัü

5. ÿถานีÿุขุมüิท
   • ฝั่ง N

• บริเüณทางออก 1 รüม 1 ตัü
  • ฝั่ง S
• บริเüณĀน้าทางเข้า Metro Mall ใกล้ป้ายทางออก 1 รüม 1 ตัü
• บริเüณทางออก 2 รüม 1 ตัü
• บริเüณทางออก 3 รüม 1 ตัü
  รüมกล้องที่ต้องติดตั้งทั้งĀมด 4 ตัü
  /6. ÿถานี…

6. ÿถานีýูนย์การประชุมแĀ่งชาติÿิริกิติ์
   • ฝั่ง N

• บริเüณจุดเข้า/ออก ของ AFC Gate รüม 3 ตัü
• บริเüณĀน้าทางเข้า Metro Mall รüม 1 ตัü
• บริเüณทางออก 3 รüม 1 ตัü
• บริเüณทางออก 4 รüม 1 ตัü
  • ฝั่ง S
• บริเüณจุดเข้า/ออก ของ AFC Gate รüม 2 ตัü
• บริเüณĀน้าทางเข้า Metro Mall รüม 1 ตัü
• บริเüณทางออก 1 รüม 1 ตัü
• บริเüณทางออก 2 รüม 1 ตัü
  รüมกล้องที่ต้องติดตั้งทั้งĀมด 11 ตัü

7. ÿถานีคลองเตย
   • ฝั่ง N

• บริเüณจุดเข้า/ออก ของ AFC Gate รüม 2 ตัü
  • ฝั่ง S
• บริเüณจุดเข้า/ออก ของ AFC Gate รüม 2 ตัü
  รüมกล้องที่ต้องติดตั้งทั้งĀมด 4 ตัü

8. ÿถานีลุมพินี
   • ฝั่ง N

• บริเüณจุดเข้า/ออก ของ AFC Gate รüม 2 ตัü
• บริเüณทางออก 1 รüม 2 ตัü
  • ฝั่ง S
• บริเüณจุดเข้า/ออก ของ AFC Gate รüม 2 ตัü
• บริเüณทางออก 3 รüม 1 ตัü
• บริเüณทางลอดตรงกลางของทางออก 3 รüม 1 ตัü
  รüมกล้องที่ต้องติดตั้งทั้งĀมด 8 ตัü

9. ÿถานีÿีลม
   • ฝั่ง N

• บริเüณจุดเข้า/ออก ของ AFC Gate รüม 2 ตัü
  /· ฝั่ง S…
  • ฝั่ง S
• บริเüณจุดเข้า/ออก ของ AFC Gate รüม 2 ตัü
  รüมกล้องที่ต้องติดตั้งทั้งĀมด 4 ตัü

10. ÿถานีÿามย่าน
    • ฝั่ง S

• บริเüณจุดเข้า/ออก ของ AFC Gate รüม 2 ตัü
• บริเüณทางออก 1 รüม 1 ตัü
• บริเüณทางลอดทางออก 2 รüม 2 ตัü
• ทางออก 2 รüม 4 ตัü
  รüมกล้องที่ต้องติดตั้งทั้งĀมด 9 ตัü

11. ÿถานีĀัüลำโพง
    • ฝั่ง S

• บริเüณจุดเข้า/ออก ของ AFC Gate รüม 2 ตัü
• บริเüณทางออก 1 รüม 1 ตัü
• บริเüณทางออก 2 รüม 1 ตัü
• บริเüณทางออก 3 รüม 1 ตัü
• บริเüณทางออก 4 รüม 1 ตัü
  รüมกล้องที่ต้องติดตั้งทั้งĀมด 6 ตัü

ภาคผนวก ง.

• 2 -

• 3 -
  2

ÿารบัญ
เรื่อง Āนา คํćนิยćม …………………………………………………………………………………………………………………………………………………………….. 1 ÿüนที่ 1 นโยบćยกćรบริ. ćรจĆดกćรคüćมมĆ่นคงปล. ดภĆยÿํćĀรĆบผูบริĀćร ………………………………………………………………… 4 ÿüนที่ 2 ค. ćมมĆ่นคงปลĂดภĆยที่เกี่ยüกĆบบุคลćกร …………………………………………………………………………………………………… 5 ÿüนที่ 3 กćรรĆกþćคüćมมĆ่นคงปลĂดภĆยทćงดćนกćยภćพแลąÿิ่งแüดลĂม ……………………………………………………………….. 8 ÿüนที่ 4 กćรจĆดกćรทรĆพยÿิน …………………………………………………………………………………………………………………………….. 10 ÿüนที่ 5 กćรจĆดĀć กćรพĆฒนć แลąกćรบํćรุงรĆกþćรąบบÿćรÿนเทý ……………………………………………………………………… 12 ÿüนที่ 6 กćรคüบคุมกćรเขćถึงรąบบเทคโนโลยีÿćรÿนเทý …………………………………………………………………………………… 15 ÿüนที่ 7 กćรคüบคุมกćรเขćถึงรąบบเครืĂขćยไรÿćย …………………………………………………………………………………………… 26 ÿüนที่ 8 กćรคüบคุมĀนüยงćนภćยนĂกĀรืĂผูใชงćนภćยนĂกเขćถึงรąบบเทคโนโลยีÿćรÿนเทý………………………………. 27 ÿüนที่ 9 กćรใชงćนเครื่ĂงคĂมพิüเตĂรแลąĂุปกรณเคลื่Ăนที่ ขĂง รฟม. …………………………………………………………………. 29 ÿüนที่ 10 กćรใชงćนĂินเทĂรเน็ตแลąÿื่ĂÿĆงคมĂĂนไลน ……………………………………………………………………………………….. 32 ÿüนที่ 11 กćรใชงćนจดĀมćยĂิเล็กทรĂนิกÿ ……………………………………………………………………………………………………….. 36 ÿüนที่ 12 กćรÿํćรĂงขĂมูลแลąกćรเก็บรĆกþćขĂมูลจรćจรทćงคĂมพิüเตĂร …………………………………………………………… 37 ÿüนที่ 13 กćรตรüจÿĂบแลąปรąเมินคüćมเÿี่ยง ………………………………………………………………………………………………….. 40 ÿüนที่ 14 กćรถćยโĂน แลąแลกเปลี่ยนขĂมูลÿćรÿนเทý ……………………………………………………………………………………… 43 ÿüนที่ 15 กćรคüบคุมกćรเขćรĀĆÿ ……………………………………………………………………………………………………………………… 45 ÿüนที่ 16 กćรนํćĂุปกรณÿüนตĆüมćใชงćน (Bring your own device) …………………………………………………………………. 47 ÿüนที่ 17 กćรใชบริกćร Cloud (Cloud Services)………………………………………………………………………………..…………..49
1
เอกÿารแนบทายประกาý การรถไฟฟาขนÿงมüลชนแĀงประเทýไทย
เรื่อง นโยบายการรักþาคüามมั่นคงปลอดภัยของระบบเทคโนโลยีÿารÿนเทý
แนüปฏิบัติในการรักþาคüามมั่นคงปลอดภัยของระบบเทคโนโลยีÿารÿนเทý ของ รฟม.
คํานิยาม
คํćนิยćมที่ใชในนโยบćยนี้ ปรąกĂบดüย

1. รฟม. Āมćยถึง กćรรถไฟฟćขนÿงมüลชนแĀงปรąเทýไทย
2. ฝทท. Āมćยถึง ฝćยเทคโนโลยีÿćรÿนเทý
3. ผูบริĀćรรąดĆบÿูงÿุด Āมćยถึง ผูüćกćรกćรรถไฟฟćขนÿงมüลชนแĀงปรąเทýไทย
4. ผูบĆงคบบĆ Ćญชć Āมćยถึง ผูมีĂํćนćจÿĆ่งกćรตćมโครงÿรćงกćรบริĀćรขĂง รฟม.
5. ผูใชงćน Āมćยถึง บุคคลที่ไดรĆบĂนุญćตใĀÿćมćรถเขćใชงćนรąบบเทคโนโลยีÿćรÿนเทýขĂง รฟม. เพื่Ăปรąโยชน ในกćรดํćเนินงćนขĂง รฟม. ดĆงนี้

• ผูใชงćนภćยใน Āมćยถึง บุคลćกรขĂง รฟม.
• ผูใชงćนภćยนĂก Āมćยถึง บุคคลภćยนĂกที่ รฟม. ĂนุญćตใĀเขćมćใชงćนรąบบเทคโนโลยีÿćรÿนเทýขĂง รฟม. เชน ที่ปรึกþć ผูปฏิบĆติงćนตćมÿĆญญć ĀรืĂนิÿิตนĆกýึกþćฝกงćน เปนตน

6. ผูใชบริกćร Āมćยถึง ผูที่ÿมĆครใชบริกćรรąบบงćนÿćรÿนเทýขĂง รฟม. ผćนเครืĂขćยÿćธćรณą (Internet) 7. ĀนüยงćนภćยนĂก Āมćยถึง Ăงคกรตćง ๆ รüมถึงผูรĆบจćง ซึ่ง รฟม. ĂนุญćตใĀมีÿิทธิ์ในกćรเขćถึง ĀรืĂใชขĂมูล ĀรืĂÿินทรĆพยตćง ๆ ขĂง รฟม. โดยจąไดรĆบÿิทธิ์ในกćรใชรąบบตćมปรąเภทงćนตćมĂํćนćจแลąตĂงรĆบผิดชĂบ ในกćรรกĆþćคüćมลĆบขĂงขĂมูล
7. ผูดูแลรąบบ Āมćยถึง พนĆกงćนที่ไดรĆบมĂบĀมćยจćกผูบĆงคĆบบĆญชćใĀมีĀนćที่รĆบผิดชĂบในกćรดูแลรĆกþćรąบบ ÿćรÿนเทý แลąพนĆกงćนขĂงผูรบจ Ć ćงที่รĆบผิดชĂบติดตĆ้งĀรืĂบํćรุงรĆกþćรąบบÿćรÿนเทýใĀ รฟม. 9. เจćขĂงขĂมูล Āมćยถึง ผูไดรĆบมĂบĂํćนćจจćกผูบĆงคĆบบĆญชćใĀรĆบผิดชĂบขĂมูลขĂงรąบบงćนโดยเจćขĂงขĂมูล เปนผูรบผิดช Ć ĂบขĂมูลนĆ้น ๆ ĀรืĂไดรĆบผลกรąทบโดยตรงĀćกขĂมูลเĀลćนĆ้นเกิดÿูญĀćย
8. มćตรฐćน Āมćยถึง บรรทĆดฐćนที่บĆงคĆบใชในกćรปฏิบĆติกćรจริงเพื่ĂใĀไดตćมüĆตุปรąÿงคĀรืĂเปćĀมćย 11. ขĆ้นตĂนปฏิบĆติ Āมćยถึง รćยลąเĂียดที่บĂกขĆ้นตĂนเปนขĂ ๆ ที่ตĂงนํćมćปฏิบĆติเพื่ĂใĀไดมćซึ่งมćตรฐćนตćมที่ได กํćĀนดไüตćมüĆตถุปรąÿงค
9. แนüปฏิบĆติ Āมćยถึง แนüทćงที่ตĂงปฏิบĆติตćมเพื่ĂใĀÿćมćรถบรรลุüĆตถุปรąÿงคĀรืĂเปćĀมćยไดงć ยขึ้น 13. รąบบเทคโนโลยีÿćรÿนเทý (Information technology system) Āมćยถึง รąบบงćนขĂง รฟม. ที่นํćเĂćเทคโนโลยี ÿćรÿนเทý รąบบคĂมพิüเตĂร แลąรąบบเครืĂขćยÿื่ĂÿćรขĂมูลมćชüยในกćรÿรćงÿćรÿนเทýที่ รฟม. ÿćมćรถ นํćมćใชปรąโยชนในกćรüćงแผน กćรบริĀćร กćรÿนĆบÿนุน กćรใĀบริกćร กćรพĆฒนćแลąคüบคุมกćรติดตĂÿื่Ăÿćร ซึ่งมีĂงคปรąกĂบ ไดแก รąบบคĂมพิüเตĂร รąบบเครืĂขćย โปรแกรม ขĂมูลแลąÿćรÿนเทý เปนตน 14. ขĂมูลคĂมพิüเตĂรĀมćยถึง ขĂมูล ขĂคüćม คํćÿĆ่ง ชุดคํćÿĆ่ง ĀรืĂÿิ่งĂื่นใด ที่ĂยูในรąบบคĂมพิüเตĂรในÿภćพที่รąบบ คĂมพิüเตĂรĂćจปรąมüลผลได แลąใĀĀมćยคüćมรüมถึงขĂมูลĂิเล็กทรĂนิกÿตćมกฎĀมćยüćดüยธุรกรรม Ăิเล็กทรĂนิกÿ
   2
10. ขĂมูลจรćจรทćงคĂมพิüเตĂร (Traffic log) Āมćยถึง ขĂมูลเกี่ยüกĆบกćรติดตĂÿื่ĂÿćรขĂงรąบบคĂมพิüเตĂร ซึ่งแÿดงถึง แĀลงกํćเนิด ตนทćง ปลćยทćง เüลć üĆนที่ ปริมćณ รąยąเüลć ĀรืĂĂื่น ๆ ที่เกี่ยüขĂงกĆบกćรติดตĂÿื่ĂÿćรขĂง รąบบคĂมพิüเตĂรนĆ้น
11. ÿćรÿนเทý (Information) Āมćยถึง ขĂเท็จจริงที่ไดจćกขĂมูลนํćมćผćนกćรปรąมüลผล กćรจĆดรąเบียบใĀขĂมูล ซึ่งขĂมูลĂćจĂยูในรูปขĂงตĆüเลข ขĂคüćม ĀรืĂภćพกรćฟกใĀเปนรąบบที่ผูใชÿćมćรถเขćใจไดงćย แลąÿćมćรถ นํćไปใชปรąโยชนในกćรบริĀćร กćรüćงแผน กćรตĆดÿินใจ แลąĂื่น ๆ
12. รąบบคĂมพิüเตĂร (Computer system) Āมćยถึง ĂุปกรณĀรืĂชุดĂุปกรณขĂงคĂมพิüเตĂรที่เชื่Ăมกćรทํćงćน เขćดüยกĆนโดยไดมีกćรกํćĀนดคํćÿĆ่ง ชุดคํćÿĆ่งĀรืĂÿิ่งĂื่นใด แลąแนüปฏิบĆติงćนใĀĂุปกรณĀรืĂชุดĂุปกรณทํćĀนćที่ ปรąมüลผลขĂมูลโดยĂĆตโนมĆติ
13. รąบบเครืĂขćยÿื่ĂÿćรขĂมูล (Network system) Āมćยถึง รąบบที่ÿćมćรถใชในกćรติดตĂÿื่ĂÿćรĀรืĂกćรÿงขĂมูล แลąÿćรÿนเทýรąĀüćงรąบบเทคโนโลยีÿćรÿนเทýตćง ๆ ขĂง รฟม. เชน รąบบแลน (LAN) รąบบĂินทรćเน็ต (Intranet) รąบบĂินเทĂรเน็ต (Internet) เปนตน
14. ÿิทธิ์ขĂงผูใชงćน Āมćยถึง ÿิทธิ์ทĆ่üไป ÿิทธิ์จํćเพćą ÿิทธิพิเýþ แลąÿิทธิ์Ăื่นใด ที่เกี่ยüขĂงกĆบรąบบÿćรÿนเทý ขĂงĀนüยงćน
15. คüćมมĆ่นคงปลĂดภĆยดćนÿćรÿนเทý Āมćยถึง กćรธํćรงไüซึ่งคüćมลĆบ (Confidentiality) คüćมถูกตĂงครบถüน (Integrity) แลąÿภćพพรĂมใชงćน (Availability) ขĂงÿćรÿนเทý รüมทĆ้งคุณÿมบĆติĂื่น ไดแก คüćมถูกตĂงแทจริง (Authenticity) คüćมรĆบผิด (Accountability) กćรĀćมปฏิเÿธคüćมรĆบผิด (Non-repudiation) แลąคüćมนćเชื่ĂถืĂ (Reliability)
16. เĀตุกćรณดćนคüćมมĆ่นคงปลĂดภĆย Āมćยถึง เĀตุกćรณที่แÿดงใĀเĀ็นคüćมเปนไปไดที่จąเกิดกćรฝćฝนนโยบćย ดćนคüćมมĆ่นคงปลĂดภĆย มćตรกćรปĂงกĆนที่ลมเĀลü ĀรืĂเĀตุกćรณĂĆนไมĂćจรูไดüćĂćจเกี่ยüขĂงกĆบคüćมมĆ่นคงปลĂดภĆย 22. ÿถćนกćรณดćนคüćมมĆ่นคงปลĂดภĆยที่ไมพึงปรąÿงคĀรืĂไมĂćจคćดคิด Āมćยถึง ÿถćนกćรณดćนคüćมมĆ่นคงปลĂดภĆย ที่ไมพึงปรąÿงคĀรืĂไมĂćจคćดคิด (Unwanted or unexpected) ซึ่งĂćจทํćใĀรąบบขĂงĂงคกรถูกบุกรุก ĀรืĂโจมตีแลąคüćมมĆ่นคงปลĂดภĆยถูกคุกคćม
17. กćรเขćถึงĀรืĂคüบคุมกćรใชงćนÿćรÿนเทý Āมćยถึง กćรĂนุญćต กćรกํćĀนดÿิทธิ์ ĀรืĂกćรมĂบĂํćนćจใĀผูใชงćน เขćถึงĀรืĂใชงćนเครืĂขćยĀรืĂรąบบÿćรÿนเทý ทĆ้งทćงĂิเล็กทรĂนิกÿแลąทćงกćยภćพ ตลĂดจนĂćจกํćĀนดขĂปฏิบĆติ เกี่ยüกĆบกćรเขćถึงโดยมิชĂบเĂćไüดüยก็ได
18. ÿินทรĆพย (Assets) Āมćยถึง ÿินทรĆพยดćนรąบบเทคโนโลยีÿćรÿนเทýแลąกćรÿื่ĂÿćรขĂง รฟม. เชน Ăุปกรณ คĂมพิüเตĂร ĂุปกรณรąบบเครืĂขćย ซĂฟตแüรที่มีคćลิขÿิทธิ์ ขĂมูล รąบบขĂมูล ĄลĄ
19. จดĀมćยĂิเล็กทรĂนิกÿ (e-mail) Āมćยถึง รąบบที่บุคคลใชในกćรรĆบ - ÿงขĂคüćมรąĀüćงกĆน โดยผćน เครื่ĂงคĂมพิüเตĂรแลąเครืĂขćยที่เชื่ĂมโยงถึงกĆน ขĂมูลที่ÿงจąเปนไดทĆ้งตĆüĂĆกþร ภćพถćย ภćพกรćฟก ภćพเคลื่ĂนไĀü แลąเÿียง ผูÿงÿćมćรถÿงขćüÿćรไปยĆงผูรĆบคนเดียüĀรืĂĀลćยคนก็ได โดยขćüÿćรที่ÿงนĆ้นจąถูกเก็บไüใน ตูจดĀมćย (Mail box) ที่กํćĀนดไüÿํćĀรบผูใชง Ć ćน ผูรĆบÿćมćรถเปดĂćน พิมพลงกรąดćþ ĀรืĂจąลบทิ้งก็ได
    3
20. ชุดคํćÿĆ่งไมพึงปรąÿงค (Malicious code) Āมćยถึง ชุดคํćÿĆ่งที่มีผลทํćใĀคĂมพิüเตĂร ĀรืĂรąบบคĂมพิüเตĂร ĀรืĂชุดคํćÿĆ่งĂื่นเกิดคüćมเÿียĀćย ถูกทํćลćย ถูกแกไขเปลี่ยนแปลงĀรืĂเพิ่มเติม ขĆดขĂงĀรืĂปฏิบĆติงćนไมตรง ตćมคํćÿĆ่งที่กํćĀนดไü
21. เครื่ĂงคĂมพิüเตĂร Āมćยถึง เครื่ĂงคĂมพิüเตĂรแบบตĆ้งโตą แลąเครื่ĂงคĂมพิüเตĂรแบบพกพć 28. Ăุปกรณเคลื่Ăนที่ (Mobile device) Āมćยถึง ĂุปกรณĂิเล็กทรĂนิกÿแบบพกพć ซึ่งมีคüćมÿćมćรถในกćรเชื่ĂมตĂกĆบ ĂุปกรณĂื่นเพื่ĂรĆบÿงขĂมูลผćนรąบบเครืĂขćยโทรคมนćคมไรÿćยĀรืĂโดยĂćýĆยคลื่นแมเĀล็กไฟฟćเปนÿื่Ăกลćง เชน Tablet, Smart Phone
22. ทรĆพยÿินขĂง รฟม. Āมćยถึง ครุภĆณฑ รฟม. แลąทรĆพยÿินที่ไมมีกćรขึ้นทąเบียนครุภĆณฑที่ รฟม. จĆดÿรร งบปรąมćณเพื่ĂเปนคćใชจćยใĀทĆ้งĀมดĀรืĂบćงÿü น
23. ĂุปกรณÿüนตĆü Āมćยถึง Ăุปกรณที่ไมใชทรĆพยÿินขĂง รฟม. ที่ผูใชงćนนํćมćเชื่ĂมตĂกĆบรąบบÿćรÿนเทýขĂง รฟม. เชน เครื่ĂงคĂมพิüเตĂรÿüนบุคคล (Personal computer) เครื่ĂงคĂมพิüเตĂรพกพć (Notebook) Ăุปกรณเคลื่Ăนที่ (Mobile device) Removable media ĀรืĂĂุปกรณคĂมพิüเตĂรขĂงโครงกćรรถไฟฟć เปนตน
    4
    ÿüนที่ 1
    นโยบายการบริĀารจัดการคüามมั่นคงปลอดภัยÿําĀรับผูบริĀาร
    üัตถุประÿงค
    ▪ เพื่ĂใĀกćรบริĀćรจĆดกćรคüćมมĆ่นคงปลĂดภĆยÿćรÿนเทýขĂงĂงคกรมีคüćมÿĂดคลĂงกĆบมćตรฐćนÿćกลแลą กฎĀมćยดćนคüćมมĆ่นคงปลĂดภĆยที่เกี่ยüขĂง
    ผูรับผิดชอบ
    ▪ ผูบริĀćรÿูงÿุด
    อางอิงมาตรฐาน: ISO/IEC 27001: 2022
    ▪ มćตรกćรคüบคุมดćนĂงคกร (Organizational Controls)
    แนüปฏิบัติ
24. จĆดใĀมีกćรทํćแลąทบทüนĀรืĂปรĆบปรุงนโยบćยคüćมมĆ่นคงปลĂดภĆย แลąแนüปฏิบĆติที่ÿนĆบÿนุนกćรทํćงćนตćง ๆ ĂยćงนĂยปลą 1 ครĆ้ง โดยพิจćรณćจćกปจจĆยนํćเขć ดĆงนี้
    1.1 กลยุทธกćรดํćเนินงćนขĂงĂงคกร
    1.2 ขĂมูลกฎĀมćย รąเบียบ ขĂบĆงคĆบตćง ๆ ที่ตĂงปฏิบĆติตćม
    1.3 กćรปรĆบปรุงนโยบćยคüćมมĆ่นคงปลĂดภĆยÿํćĀรĆบปถĆดไป
    1.4 ผลกćรปรąเมินคüćมเÿี่ยงแลąแผนลดคüćมเÿี่ยง
    1.5 ผลกćรแจงเตืĂนโดยรąบบปĂงกĆนกćรบุกรุกในปที่ผćนมć
    1.6 ผลขĂงกćรตรüจÿĂบขĂมูลกćรปดชĂงโĀü (Patch) ÿํćĀรĆบรąบบตćง ๆ ในปที่ผćนมć 1.7 กćรจĆดทํćแลąตĂÿĆญญćบํćรุงรĆกþćรąบบแลąĂุปกรณตćง ๆ
    1.8 แผนกćรĂบรมทćงดćนคüćมมĆ่นคงปลĂดภĆยปรąจํćปซึ่งรüมถึงกćรÿรćงคüćมตรąĀนĆก 1.9 ผลกćรทดÿĂบแผนกูคืนในปที่ผćนมć
    1.10 ขĂมูลภĆยคุกคćมตćง ๆ ที่เคยเกิดขึ้นในĂดีตแลąปจจุบĆน รüมทĆ้งภĆยคุกคćมที่ไดรĆบแจงจćกĀนüยงćนภćยนĂก 1.11 ผลกćรตรüจÿĂบกćรปฏิบĆติตćมนโยบćยคüćมมĆ่นคงปลĂดภĆยโดยผูตรüจÿĂบภćยในĀรืĂโดยผูตรüจÿĂบ ĂิÿรąดćนคüćมมĆ่นคงปลĂดภĆยจćกภćยนĂก
25. จĆดใĀมีทรĆพยćกรดćนบุคลćกร งบปรąมćณ กćรบริĀćรจĆดกćร แลąüĆตถุดิบที่เพียงพĂตĂกćรบริĀćรจĆดกćรคüćม มĆ่นคงปลĂดภĆยÿćรÿนเทýในแตลąปงบปรąมćณ
26. จĆดใĀมีบุคลćกรดํćเนินงćนดćนคüćมมĆ่นคงปลĂดภĆยÿćรÿนเทýแลąกํćĀนดĀนćที่คüćมรĆบผิดชĂบรüมทĆ้ง ปรบปรุงโครง Ć ÿรćงดĆงกลćüตćมคüćมจํćเปน
27. แÿดงเจตนćรมณĀรืĂÿื่ĂÿćรĂยćงÿม่ํćเÿมĂเพื่ĂใĀผูใชงćนทĆ้งĀมดไดเĀ็นถึงคüćมÿํćคĆญขĂงกćรปฏิบĆติตćม นโยบćยคüćมมĆ่นคงปลĂดภĆยแลąนโยบćยÿนĆบÿนุนตćง ๆ โดยเครงครĆดแลąเปนผูรĆบผิดชĂบตĂคüćมเÿี่ยง คüćมเÿียĀćย ĀรืĂĂĆนตรćยที่เกิดขึ้นกĆบÿćรÿนเทýขĂงĂงคกร รüมถึงÿรćงคüćมรüมมืĂรąĀüćงĀนüยงćน ที่เกี่ยüขĂงกĆบคüćมมĆ่นคงปลĂดภĆยÿćรÿนเทý
    5
    ÿüนที่ 2
    คüามมั่นคงปลอดภัยที่เกี่ยüกับบุคลากร
    üัตถุประÿงค
    ▪ เพื่ĂใĀผูใชงćนเขćใจถึงบทบćท Āนćที่คüćมรĆบผิดชĂบ ทĆ้งกĂนกćรจćงงćน รąĀüćงกćรจćงงćน แลąÿิ้นÿุดĀรืĂ เปลี่ยนแปลงกćรจćงงćน ตลĂดจนตรąĀนĆกถึงภĆยคุกคćมแลąปญĀćที่เกี่ยüขĂงกĆบคüćมมĆ่นคงปลĂดภĆยขĂง รąบบเทคโนโลยีÿćรÿนเทýเพื่Ăลดคüćมเÿี่ยงĂĆนเกิดจćกกćรขโมย กćรฉĂโกง กćรใชงćนรąบบเทคโนโลยี ÿćรÿนเทýผิดüĆตถุปรąÿงคแลąคüćมผิดพลćดในกćรปฏิบĆติĀนćที่ ซึ่งĂćจÿงผลกรąทบĀรืĂทํćใĀ รฟม.
    เกิดคüćมเÿียĀćย
    ผูรับผิดชอบ
    ▪ ผูĂํćนüยกćรฝćยเทคโนโลยีÿćรÿนเทý ผูĂํćนüยกćรฝćยทรĆพยćกรบุคคล ผูĂํćนüยกćรฝćย/ÿํćนĆก ที่กํćกĆบดูแลงćนที่มี กćรüćจćงĀนüยงćนภćยนĂก
    อางอิงมาตรฐาน: ISO/IEC 27001: 2022
    ▪ มćตรกćรคüบคุมดćนĂงคกร (Organizational Controls)
    ▪ มćตรกćรคüบคุมดćนบุคลćกร (People Controls)
    แนüปฏิบัติ
28. กćรÿรćงคüćมมĆ่นคงปลĂดภĆยกĂนกćรจćงงćน (Prior to employment) เพื่ĂคĆดÿรรบุคลćกรกĂนที่จąเขćมć ปฏิบĆติงćน แลąเพื่Ăลดคüćมเÿี่ยงจćกกćรปฏิบĆติงćนผิดพลćด กćรขโมย กćรปลĂมแปลง แลąกćรนํćรąบบ ÿćรÿนเทýĀรืĂทรĆพยćกรÿćรÿนเทýขĂง รฟม. ไปใชในทćงที่ไมเĀมćąÿม รüมทĆ้งเพื่ĂใĀผูใชงćนเขćใจในĀนćที่ คüćมรĆบผิดชĂบขĂงตนเĂง
    1.1 กćรตรüจÿĂบคุณÿมบĆติขĂงผูÿมĆคร (Screening)
    ฝćยทรĆพยćกรบุคคล ĀรืĂฝćย/ÿํćนĆก ที่กํćกĆบดูแลงćนที่มีกćรüćจćงĀนüยงćนภćยนĂกตĂงตรüจÿĂบ คุณÿมบĆติขĂงผูÿมĆคร (ทĆ้งกรณีกćรจćงเปนพนĆกงćน ลูกจćง กćรüćจćงĀนüยงćนภćยนĂกเพื่ĂปฏิบĆติงćนใĀ รฟม. รüมทĆ้งนิÿิตนĆกýึกþćฝกงćน) โดยผูÿมĆครตĂงไมเคยกรąทํćผิดกฎĀมćย รąเบียบ ขĂบĆงคĆบ ĀรืĂ จริยธรรม รüมทĆ้งไมมีปรąüĆติในกćรบุกรุก แกไข ทํćลćย ĀรืĂโจรกรรมขĂมูลในรąบบเทคโนโลยี ÿćรÿนเทýมćกĂน แลąมีคุณÿมบĆติตćมที่ รฟม. กํćĀนด
    1.2 กćรกํćĀนดเงื่Ăนไขกćรจćงงćน (Terms and conditions of employment) กćรüćจćงใĀมีเงื่Ăนไข กćรจćงงćนใĀครĂบคลุมในเรื่ĂงดĆงตĂไปนี้
    1.2.1 กํćĀนดĀนćที่คüćมรĆบผิดชĂบดćนคüćมมĆ่นคงปลĂดภĆยดćนÿćรÿนเทýĂยćงเปนลćยลĆกþณĂĆกþร (Information security roles and responsibilities) แกผูใชงćน โดยกํćĀนดใĀÿĂดคลĂง กĆบนโยบćยคüćมมĆ่นคงปลĂดภĆยขĂงรąบบเทคโนโลยีÿćรÿนเทýขĂง รฟม.
    1.2.2 กํćĀนดใĀมีกćรลงนćมในÿĆญญćüćจąไมเปดเผยคüćมลĆบขĂง รฟม. (Non-Disclosure Agreement: NDA)
    6
    1.2.3 รąบบเทคโนโลยีÿćรÿนเทýที่ÿรćงĀรืĂพĆฒนćโดยผูใชงćนในรąĀüćงกćรüćจćงถืĂเปนÿินทรĆพย ขĂง รฟม.
    1.2.4 กํćĀนดคüćมรĆบผิดชĂบĀรืĂบทลงโทþ ĀćกผูใชงćนไมปฏิบĆติตćมนโยบćยกćรรĆกþćคüćมมĆ่นคง ปลĂดภĆยขĂงรąบบเทคโนโลยีÿćรÿนเทý รฟม. รüมทĆ้ง กฎĀมćย รąเบียบ ขĂบĆงคĆบ ĀรืĂ ขĂกํćĀนดĂื่น ๆ ที่เกี่ยüขĂงกĆบกćรรกĆþćคüćมมĆ่นคงปลĂดภĆยขĂงรąบบเทคโนโลยีÿćรÿนเทý
29. กćรÿรćงคüćมมĆ่นคงปลĂดภĆยในรąĀüćงกćรจćงงćน (During employment) เพื่ĂÿรćงคüćมตรąĀนĆกแก ผูใชงćนเกี่ยüกĆบภĆยที่เกี่ยüขĂงกĆบกćรปฏิบĆติงćนÿćรÿนเทý รüมถึงใĀคüćมรูเพื่ĂใĀÿćมćรถปĂงกĆนภĆยดĆงกลćüได 2.1 Āนćที่ในกćรบริĀćรจĆดกćรทćงดćนคüćมมĆ่นคงปลĂดภĆย (Management responsibilities)
    ผูบริĀćร รฟม. ทุกรąดĆบชĆ้นมีĀนćที่ÿนĆบÿนุนแลąÿงเÿริมเรื่ĂงดĆงตĂไปนี้ แกผูใชงćน 2.1.1 ปรąกćýนโยบćยกćรรĆกþćคüćมมĆ่นคงปลĂดภĆยดćนÿćรÿนเทýขĂง รฟม. เปนลćยลĆกþณĂĆกþรใĀทุกคน รĆบทรćบแลąปฏิบĆติตćม
    2.1.2 จูงใจใĀผูใชงćนปฏิบĆติตćมนโยบćยกćรรĆกþćคüćมมĆ่นคงปลĂดภĆยดćนÿćรÿนเทýขĂง รฟม. 2.1.3 ÿรćงคüćมตรąĀนĆกถึงคüćมมĆ่นคงปลĂดภĆยดćนÿćรÿนเทýที่เกี่ยüขĂงกĆบĀนćที่คüćมรĆบผิดชĂบ ขĂงตนเĂงแลąขĂง รฟม.
    2.2 กćรÿรćงคüćมตรąĀนĆก กćรใĀคüćมรู แลąกćรĂบรมดćนคüćมมĆ่นคงปลĂดภĆยใĀแกผูใชงćน (Information security awareness, education and training) กćรÿรćงคüćมตรąĀนĆกในกćรรĆกþćคüćมมĆ่นคงปลĂดภĆย Ăยćงÿม่ํćเÿมĂ
    2.2.1 ผูดูแลรąบบตĂงแจงเตืĂนภĆยคุกคćม แลąชĂงโĀüที่ÿงผลกรąทบตĂคüćมมĆ่นคงปลĂดภĆยขĂง รąบบเทคโนโลยีÿćรÿนเทýแกผูใชงćนที่เกี่ยüขĂง นĂกจćกนี้ตĂงแจงเตืĂนใĀผูใชงćนเพิ่มคüćม รąมĆดรąüĆงคüćมเÿี่ยงตćง ๆ เชน ไüรĆÿคĂมพิüเตĂร เทคนิคกćรĀลĂกลĂทćงจิตüิทยć (Social engineering) แลąชĂงโĀüทćงเทคนิค เปนตน
    2.2.2 ฝทท. ตĂงดํćเนินกćรฝกĂบรม ĀรืĂปรąชćÿĆมพĆนธเพื่ĂÿรćงคüćมตรąĀนĆกดćนคüćมมĆ่นคง ปลĂดภĆยขĂงรąบบเทคโนโลยีÿćรÿนเทýแกผูใชงćนเปนปรąจํćทุกป
    2.2.3 ฝทท. ตĂงแจงผูใชงćนใĀทรćบ เมื่Ăมีกćรเปลี่ยนแปลงนโยบćยกćรรĆกþćคüćมมĆ่นคงปลĂดภĆย ÿćรÿนเทýขĂง รฟม. รüมทĆ้งĂธิบćยผลกรąทบจćกกćรเปลี่ยนแปลงดĆงกลćü
    2.3 กćรแจงเĀตุกćรณไมปกติ
    ผูใชงćนตĂงแจงเĀตุกćรณไมปกติดćนเทคโนโลยีÿćรÿนเทýที่พบผćนชĂงทćงที่ รฟม. กํćĀนดโดยเร็üที่ÿุด 2.4 กćรกํćĀนดบทลงโทþ
    2.4.1 คüćมรĆบผิดตćมกฎĀมćย
    นโยบćยแลąแนüปฏิบĆติในกćรรĆกþćคüćมมĆ่นคงปลĂดภĆยดćนÿćรÿนเทýนี้ไมไดกĂใĀเกิดÿิทธิ์ ทćงกฎĀมćยที่ทํćใĀผูใชงćนพนผิดแมจąไดปฏิบĆติตćมนโยบćยแลąแนüปฏิบĆติในกćรรĆกþćคüćมมĆ่นคง ปลĂดภĆยÿćรÿนเทý แลąผูใชงćนตกลงยินยĂมที่จąไมดํćเนินกćรใด ๆ ทćงกฎĀมćยตĂ รฟม. ซึ่งได ปฏิบĆติตćมรąเบียบนี้ แตĂยćงไรก็ตćมĀćกผูใชงćนกรąทํćกćรลąเมิดĀรืĂกรąทํćผิดตćมนโยบćย แลąแนüปฏิบĆติในกćรรĆกþćคüćมมĆ่นคงปลĂดภĆยÿćรÿนเทý ĂćจเปนคüćมผิดทćงüินĆยแลąเปนเĀตุ
    7
    ใĀถูกลงโทþทćงüินĆยได รฟม. ไมมีÿüนรĆบผิดชĂบตĂกćรลąเมิดทรĆพยÿินทćงปญญćที่เกิดจćก กćรใชรąบบคĂมพิüเตĂร
    2.4.2 กćรพิจćรณćโทþผูกรąทํćผิด
    ผูใชงćนที่กรąทํćคüćมผิด ฝทท. จąเพิกถĂนÿิทธิ์กćรใชงćนแลąĂćจเปนคüćมผิดทćงüินĆย ĀรืĂ คüćมผิดตćมกฎĀมćยที่เกี่ยüขĂง

1. พนĆกงćน/ลูกจćงที่ฝćฝนĀรืĂลąเมิดนโยบćยกćรรĆกþćคüćมมĆ่นคงปลĂดภĆยขĂงรąบบเทคโนโลยี ÿćรÿนเทý รฟม. ตĂงถูกลงโทþตćมกรąบüนกćรทćงüินĆยขĂง รฟม. รüมถึงกฎĀมćยที่เกี่ยüขĂง 2) ĀนüยงćนภćยนĂกที่กรąทํćคüćมผิด จąมีโทþตćมที่รąบุไüในÿĆญญćĀรืĂถูกเพิกถĂนÿิทธิ์ กćรใชงćน รüมถึงดํćเนินกćรตćมกฎĀมćยที่เกี่ยüขĂง

3. กćรÿิ้นÿุดĀรืĂกćรเปลี่ยนแปลงกćรจćงงćน (Termination and change of employment) เพื่ĂกํćĀนดĀนćที่คüćมรĆบผิดชĂบเมื่Ăÿิ้นÿุดĀรืĂเปลี่ยนแปลงกćรจćงงćน ซึ่งรüมไปถึงกćรคืนทรĆพยÿินแลą กćรถĂดถĂนÿิทธิ์ในกćรเขćถึง
   3.1 กćรแจงกćรÿิ้นÿุดĀรืĂเปลี่ยนแปลงกćรจćงงćน
   3.1.1 ฝćยทรĆพยćกรบุคคลตĂงแจงใĀฝćยเทคโนโลยีÿćรÿนเทýทรćบทĆนทีĀćกพนĆกงćนมีกćรลćĂĂก โยกยćย เกþียณ ĀรืĂเÿียชีüิต เพื่ĂฝćยเทคโนโลยีÿćรÿนเทýจąไดตรüจÿĂบแลąบริĀćรจĆดกćรÿิทธิ์ ในกćรเขćถึงรąบบเทคโนโลยีÿćรÿนเทý
   3.1.2 ฝćย/ÿํćนĆก ที่กํćกĆบดูแลงćนที่มีกćรüćจćงĀนüยงćนภćยนĂก ตĂงแจงใĀฝćยเทคโนโลยี ÿćรÿนเทýทรćบทĆนทีในกรณีที่ผูรĆบจćงภćยนĂกÿิ้นÿุดÿĆญญćจćงĀรืĂมีกćรยกเลิกÿĆญญćจćง เพื่ĂใĀ ฝทท. ตรüจÿĂบกćรใชงćนรąบบÿćรÿนเทýแลąถĂดถĂนÿิทธิ์ในกćรเขćถึงรąบบ ÿćรÿนเทýขĂง รฟม.
   3.2 กćรคืนÿินทรพยข Ć Ăง รฟม.
   ผูดูแลรąบบตĂงตรüจÿĂบเพื่ĂเรียกคืนÿินทรĆพยขĂง รฟม. จćกผูใชงćน เมื่Ăกćรÿิ้นÿุดĀรืĂกćรเปลี่ยนแปลง กćรจćงงćน
   3.3 กćรถĂดถĂนÿิทธิ์ในกćรเขćถึง
   3.3.1 ผูดูแลรąบบตĂงถĂดถĂนÿิทธิ์ในกćรเขćถึงขĂงผูใชงćน เมื่Ăÿิ้นÿุดĀรืĂเปลี่ยนแปลงกćรจćงงćน 3.3.2 กćรถĂดถĂนÿิทธิ์ในกćรเขćถึงĀมćยรüมถึง ทćงกćยภćพ (Physical) แลąทćงตรรกą (Logical) เชน กุญแจ บĆตรแÿดงตน บĆตรปรąจํćตĆüผูใชงćน แลąบĆญชีผูใชงćน เปนตน
   3.3.3 ในกรณีที่ผูใชงćนที่ÿิ้นÿุดĀรืĂเปลี่ยนแปลงกćรจćงงćน มีกćรใชบĆญชีผูใชงćนรüมกĆน (Shared user ID) กĆบผูใชงćนĂื่น ผูบĆงคĆบบĆญชćตĂงเปลี่ยนรĀĆÿผćนทĆนทีĀลĆงจćกÿิ้นÿุดĀรืĂเปลี่ยนแปลงกćรจćงงćน
   8
   ÿüนที่ 3
   การรักþาคüามมั่นคงปลอดภัยทางดานกายภาพและÿิ่งแüดลอม
   üัตถุประÿงค
   ▪ เพื่ĂคüบคุมแลąปĂงกĆนกćรรĆกþćคüćมมĆ่นคงปลĂดภĆยที่เกี่ยüขĂงกĆบกćรเขćถึงĂćคćรÿถćนที่ แลąพื้นที่จĆดเก็บ ขĂมูลคĂมพิüเตĂร (Data storage area)
   ผูรับผิดชอบ
   ▪ ผูดูแลรąบบ
   ▪ ผูĂํćนüยกćรฝćยจĆดซื้Ăแลąบริกćร
   อางอิงมาตรฐาน: ISO/IEC 27001: 2022
   ▪ มćตรกćรคüบคุมดćนกćยภćพ (Physical Controls)
   แนüปฏิบัติ
4. ผูดูแลรąบบ ตĂงĂĂกแบบ แลąติดตĆ้งĂุปกรณĀรืĂรąบบÿนĆบÿนุน (Facilities) เพื่ĂปĂงกĆนคüćมมĆ่นคงปลĂดภĆย ดćนกćยภćพ เชน ĂุปกรณดĆบเพลิง รąบบÿํćรĂงไฟฟć เครื่Ăงกํćเนิดไฟฟć รąบบปรĆบĂćกćýแลąคüบคุมคüćมชื้น รąบบเตืĂนภĆยน้ํćรĆ่ü แลąตĂงมีกćรบํćรุงรĆกþćĂยćงÿม่ํćเÿมĂ
5. ผูดูแลรąบบตĂงติดตĆ้งĂุปกรณÿćรÿนเทýในตูแร็ก (Rack) ĀรืĂÿถćนที่ที่มีคüćมมĆ่นคงปลĂดภĆยแลąมีกćรปดล็Ăค 3. ผูดูแลรąบบ ตĂงมีกćรปĂงกĆนÿćยเคเบิลที่ใชเพื่Ăกćรÿื่ĂÿćรĀรืĂÿćยไฟ มิใĀมีกćรดĆกรĆบÿĆญญćณ (Interception) ĀรืĂมีคüćมเÿียĀćยเกิดขึ้น โดยจąตĂงเดินÿćยเคเบิลผćนทĂรĂยÿćยĀรืĂทćงเดินÿćยที่มĆ่นคงปลĂดภĆยจćกกćรเขćถึง แลąไมเดินÿćยผćนพื้นที่ที่เขćถึงไดĂยćงÿćธćรณą รüมทĆ้งÿćยเคเบิลÿื่ĂÿćรแลąÿćยไฟฟćตĂงแยกจćกกĆนโดยมี รąยąĀćงที่เĀมćąÿม
6. กćรกํćĀนดบริเüณที่มีกćรรĆกþćคüćมมĆ่นคงปลĂดภĆย
   กํćĀนดพื้นที่ขĂงรąบบเทคโนโลยีÿćรÿนเทýตćง ๆ ĂยćงเĀมćąÿม เพื่ĂเปนกćรเฝćรąüĆง คüบคุม กćรรกĆþćคüćมมĆ่นคง ปลĂดภĆยจćกผูที่ไมไดรบĆĂนุญćต รüมทĆ้งปĂงกĆนคüćมเÿียĀćยĂื่น ๆ ที่Ăćจเกิดขึ้นได โดยแบงแยกบริเüณพื้นที่ใชงćน รąบบเทคโนโลยีÿćรÿนเทýĂĂกเปน
   4.1 พื้นที่ทํćงćน (Working area) Āมćยถึง พื้นที่ติดตĆ้งเครื่ĂงคĂมพิüเตĂรÿüนบุคคลแลąคĂมพิüเตĂรพกพć ที่ปรąจํćโตąทํćงćน
   4.2 พื้นที่จĆดเก็บขĂมูลคĂมพิüเตĂร (Data storage area) Āมćยถึง พื้นที่ýูนยขĂงขĂมูล (Data center) 5. กćรคüบคุมกćรเขćĂĂก Ăćคćร ÿถćนที่
   5.1 กํćĀนดÿิทธิ์ขĂงผูใชงćนแลąĀนüยงćนภćยนĂกในกćรเขćถึงÿถćนที่ โดยแบงแยกได ดĆงนี้ 5.1.1 ผูดูแลรąบบตĂงกํćĀนดÿิทธิ์แกผูใชงćนที่มีÿิทธิ์เขć - ĂĂก แลąกํćĀนดชüงรąยąเüลćที่มีÿิทธิ์ ในกćรเขć - ĂĂกแตลąพื้นที่ใชงćนรąบบเทคโนโลยีÿćรÿนเทýĂยćงชĆดเจน
   5.1.2 เจćĀนćที่รĆกþćคüćมปลĂดภĆย (รปภ.) จąตĂงใĀĀนüยงćนภćยนĂกĀรืĂบุคคลภćยนĂกแลกบĆตร ที่ÿćมćรถรąบุตĆüตนขĂงบุคคลนĆ้น ๆ กĂนเขćถึงĂćคćรขĂง รฟม. เชน บĆตรปรąจํćตĆüปรąชćชน ใบĂนุญćตขĆบขี่ เปนตน แลüบĆนทึกขĂมูลบĆตรในÿมุดบĆนทึกĀรืĂรąบบงćนÿćรÿนเทý
   9
   5.1.3 ĀนüยงćนภćยนĂกที่มćติดตĂตĂงติดบĆตรผูติดตĂ (Visitor) ตรงจุดที่ÿćมćรถเĀ็นไดชĆดเจนตลĂดเüลć ที่Ăยูใน รฟม. แลąคืนบĆตรผูติดตĂ (Visitor) กĂนĂĂกจćกĂćคćรขĂง รฟม.
   5.1.4 เจćĀนćที่รĆกþćคüćมปลĂดภĆย (รปภ.) ตĂงตรüจÿĂบผูติดตĂ Ăุปกรณ พรĂมลงเüลćĂĂกที่ÿมุด บĆนทึกĀรืĂรąบบÿćรÿนเทýใĀถูกตĂง
   5.2 ผูดูแลรąบบ ตĂงคüบคุมกćรเขć – ĂĂกพื้นที่จĆดเก็บขĂมูลคĂมพิüเตĂร (Data storage area) ไมใĀผูไมมีÿิทธิ์ เขćถึงได โดยกํćĀนดพื้นที่กćรÿงมĂบÿินคćแลąพื้นที่กćรเตรียมĀรืĂปรąกĂบĂุปกรณÿćรÿนเทý (Unpack Area) กĂนนํćเขćพื้นที่จĆดเก็บขĂมูลคĂมพิüเตĂร (Data storage area) แลąตĂงคüบคุม กćร เขć - ĂĂก เพื่ĂĀลีกเลี่ยงกćรเขćถึงรąบบÿćรÿนเทýแลąขĂมูลÿćรÿนเทýโดยไมไดรĆบĂนุญćต
   โดยปฏิบĆติตćมขĆ้นตĂนที่ รฟม. กํćĀนด

10
ÿüนที่ 4
การจัดการทรัพยÿิน
üัตถุประÿงค
▪ เพื่ĂบริĀćรจĆดกćรทรĆพยÿินÿćรÿนเทý ตĆ้งแตกćรจĆดĀć กćรใชงćน จนถึงกćรยกเลิกใชงćน โดยมีกćรรąบุ ทรĆพยÿินขĂงĂงคกรแลąกํćĀนดĀนćที่คüćมรบผิดช Ć ĂบในกćรปกปĂงทรĆพยÿินÿćรÿนเทýĂยćงเĀมćąÿม ผูรับผิดชอบ
▪ ผูบĆงคĆบบĆญชć
▪ ผูดูแลรąบบ
▪ เจćขĂงขĂมูล
▪ ผูใชงćน
อางอิงมาตรฐาน: ISO/IEC 27001: 2022
▪ มćตรกćรคüบคุมดćนĂงคกร (Organizational Controls)
▪ มćตรกćรคüบคุมดćนกćยภćพ (Physical Controls)
▪ มćตรกćรคüบคุมดćนเทคโนโลยี (Technological Controls)
แนüปฏิบัติ

1. Āนćที่คüćมรĆบผิดชĂบตĂทรĆพยÿินÿćรÿนเทý (Responsibility for assets)
   1.1 เจćขĂงขĂมูลแลąผูดูแลรąบบ ตĂงรüมกĆนจĆดทํćบĆญชีทรĆพยÿิน/ทąเบียนทรĆพยÿิน (Asset inventory) แลąทบทüนทąเบียนทรĆพยÿินĂยćงนĂยปลą 1 ครĆ้ง ĀรืĂเมื่Ăมีกćรเปลี่ยนแปลงที่มีนĆยÿํćคĆญ 1.2 เจćขĂงขĂมูลแลąผูดูแลรąบบ ตĂงรąบุเจćขĂงทรĆพยÿินÿćรÿนเทýทุกรćยกćร เพื่ĂรĆบผิดชĂบดูแล คüćมมĆ่นคงปลĂดภĆยÿćรÿนเทýตลĂดüงจรĂćยุกćรใชงćน
   1.3 เจćขĂงขĂมูลแลąผูดูแลรąบบ ตĂงเรียกคืนทรĆพยÿินÿćรÿนเทýเมื่Ăÿิ้นÿุดĀรืĂเปลี่ยนแปลงกćรจćงงćน 1.4 ผูใชงćนตĂงใชทรĆพยÿินÿćรÿนเทýขĂง รฟม. ĂยćงรąมĆดรąüĆง แลąใชเพื่ĂปฏิบĆติงćนขĂง รฟม. เทćน้น Ć รüมทĆ้งตĂงปฏิบĆติตćมกฎĀมćย รąเบียบ ขĂบĆงคĆบ แลąนโยบćย ขĂง รฟม.
2. กćรจํćแนกปรąเภทขĂงทรĆพยÿินÿćรÿนเทý (Asset classification)
   2.1 เจćขĂงขĂมูลแลąผูดูแลรąบบ ตĂงจํćแนกปรąเภททรĆพยÿินตćมขĆ้นตĂนที่ รฟม. กํćĀนด แลąทบทüน กćรจํćแนกดĆงกลćüĂยćงÿม่ํćเÿมĂ
   2.2 เจćขĂงขĂมูลแลąผูดูแลรąบบ ตĂงจĆดทํćปćยชื่ĂทรĆพยÿินÿćรÿนเทý (Labeling) ใĀชĆดเจน พรĂมทĆ้งจĆดใĀมีมćตรกćร ดูแลกćรรĆกþćคüćมมĆ่นคงปลĂดภĆยÿćรÿนเทýที่ÿĂดคลĂงกĆบปรąเภททรĆพยÿินตćมรąดĆบชĆ้นคüćมลĆบที่ รฟม. กํćĀนด
3. กćรจĆดกćรÿื่ĂบĆนทึกขĂมูล (Media handling)
   3.1 เจćขĂงขĂมูล ผูดูแลรąบบ แลąผูใชงćนตĂงคüบคุมกćรใชงćนแลąจĆดเก็บÿื่ĂบĆนทึกแบบถĂดĀรืĂตĂพüง กĆบเครื่ĂงคĂมพิüเตĂรได (Removable media) ตćมที่ รฟม. กํćĀนด
   11
   3.2 เจćขĂงขĂมูลตĂงมีกćรเขćรĀĆÿขĂมูลที่ĂĂนไĀü (Sensitive Data) ขĂง รฟม. ที่จĆดเก็บĂยูในÿื่ĂบĆนทึก แบบถĂดได
   3.3 เจćขĂงขĂมูล ผูดูแลรąบบ แลąผูใชงćนตĂงทํćลćยขĂมูลÿํćคĆญในĂุปกรณÿื่ĂบĆนทึกขĂมูล แฟมขĂมูล ตćมขĆ้นตĂนที่ รฟม. กํćĀนด โดยไมÿćมćรถกูคืนขĂมูลกลĆบมćไดĂีกกĂนจąกํćจĆดĂุปกรณดĆงกลćüĀรืĂ กĂนที่จąĂนุญćตใĀผูĂื่นนํćĂุปกรณนĆ้นไปใชงćนตĂเพื่ĂปĂงกĆนไมใĀมีกćรเขćถึงขĂมูลที่ÿํćคĆญได โดยพิจćรณćüิธีกćรทํćลćยขĂมูลบนÿื่ĂบĆนทึกขĂมูลแตลąปรąเภท ดงนี้ Ć
   ประเภทÿื่อบันทึกขอมูล üิธีทําลาย
   กรąดćþ ใĀĀĆ่นดüยเครื่ĂงทํćลćยเĂกÿćร
   Flash Drive 1) ทํćลćยขĂมูลบน Flash Drive ตćมมćตรฐćน
   DOD5220.22M ขĂงกรąทรüงกลćโĀมÿĀรĆฐĂเมริกć
   ซึ่งเปนกćรเขียนทĆบขĂมูลเดิมĀลćยรĂบ

2. ใชüิธีทุบĀรืĂบดใĀเÿียĀćย
   แผน CD/DVD ใĀĀĆ่นดüยเครื่ĂงทํćลćยเĂกÿćร
   เทป ใชüิธีทุบĀรืĂบดใĀเÿียĀćยĀรืĂเผćทํćลćย
   ăćรดดิÿก
   1. ทํćลćยขĂมูลบนăćรดดิÿกตćมมćตรฐćน
      DOD5220.22M ขĂงกรąทรüงกลćโĀมÿĀรĆฐĂเมริกć ซึ่งเปนกćรเขียนทĆบขĂมูลเดิมĀลćยรĂบ
3. ใชüิธีทุบĀรืĂบดใĀเÿียĀćย

3.4 เจćขĂงขĂมูล ผูดูแลรąบบ แลąผูใชงćน ตĂงมีกćรปĂงกĆนÿื่ĂบĆนทึกขĂมูลที่ใชจĆดเก็บขĂมูลÿćรÿนเทý ในกรณี ที่มีกćรเคลื่Ăนยćยเพื่ĂปĂงกĆนกćรเขćถึงขĂมูลÿćรÿนเทýโดยไมไดรĆบĂนุญćต ถูกนํćไปใชงćน ผิดüĆตถุปรąÿงค รüมถึงปĂงกĆนÿื่ĂบĆนทึกขĂมูลไมใĀไดรĆบคüćมเÿียĀćย โดยรĆกþćคüćมปลĂดภĆย ÿćรÿนเทýตćมขĆ้นตĂนที่ รฟม. กํćĀนด
4. กćรบริĀćรจĆดกćรคćคĂนฟกูเรชĆน (Configuration Management)
4.1 ผูบĆงคĆบบĆญชćตĂงกํćĀนดใĀมีแนüทćงกćรบริĀćรจĆดกćรคćคĂนฟกูเรชĆน (Configuration Management) 4.2 ผูดูแลรąบบตĂงกํćĀนดคć Minimum baseline standard เพื่ĂเปนมćตรฐćนในกćรกćรตĆ้งคćขĂง รąบบปฏิบĆติกćร รąบบฐćนขĂมูล รąบบงćน แลąĂุปกรณเครืĂขćยÿื่Ăÿćรตćง ๆ ĂยćงเปนลćยลĆกþณĂĆกþร แลąตĂงกćรทบทüนปรĆบปรุงใĀเปนปจจุบĆนĂยćงนĂยปลą 1 ครĆ้ง
4.3 ผูดูแลรąบบตĂงคüบคุมกćรเปลี่ยนแปลงกćรตĆ้งคćขĂงรąบบปฏิบĆติกćร รąบบฐćนขĂมูล รąบบงćน แลą ĂุปกรณเครืĂขćยÿื่Ăÿćรตćง ๆ ตćมขĆ้นตĂนปฏิบĆติกćรคüบคุมกćรเปลี่ยนแปลงĀรืĂแกไขรąบบที่ รฟม. กํćĀนด
4.4 ผูดูแลรąบบตĂงคüบคุมเüĂรชĆนขĂงคćคĂนฟกูเรชĆน (System configuration version control) 4.5 ผูดูแลรąบบตĂงมีกćรÿĂบทćนคćคĂนฟกูเรชĆนขĂงรąบบปฏิบĆติกćร รąบบฐćนขĂมูล รąบบงćน แลą ĂุปกรณเครืĂขćยÿื่Ăÿćรตćง ๆ ĂยćงนĂยปลą 1 ครĆ้ง
12
ÿüนที่ 5
การจัดĀา การพัฒนา และการบํารุงรักþาระบบÿารÿนเทý
üัตถุประÿงค
▪ เพื่ĂคüบคุมกćรจĆดĀć พĆฒนć แลąบํćรุงรĆกþćรąบบÿćรÿนเทý ใĀมีกćรกํćĀนดมćตรกćรกćรรĆกþćคüćมมĆ่นคง ปลĂดภĆย เพื่ĂปĂงกĆนคüćมผิดพลćด ÿูญĀćย แลąกćรเปลี่ยนแปลงแกไขรąบบ
ผูรับผิดชอบ
▪ ผูบĆงคĆบบĆญชć
▪ ผูดูแลรąบบ
อางอิงมาตรฐาน: ISO/IEC 27001: 2022
▪ มćตรกćรคüบคุมดćนĂงคกร (Organizational Controls)
▪ มćตรกćรคüบคุมดćนเทคโนโลยี (Technological Controls)
แนüปฏิบัติ

1. ผูบĆงคĆบบĆญชć ตĂงคüบคุมใĀมีกćรกํćĀนดขĂตกลงแลąคüćมรĆบผิดชĂบที่เกี่ยüขĂงกĆบคüćมเÿี่ยงดćนคüćมมĆ่นคง ปลĂดภĆยÿćรÿนเทýลงในÿĆญญćกĆบผูใĀบริกćรภćยนĂก โดยใĀครĂบคลุมรüมถึงผูรĆบจćงชüงดüย 2. ผูบĆงคĆบบĆญชćตĂงคüบคุมใĀมีขĂตกลง (Sign off) กĂนเริ่มใชงćนรąบบจริง (Production) ĀรืĂกĂนเริ่ม Go live 3. ผูดูแลรąบบ ตĂงจĆดทํćขĂกํćĀนดโดยรąบุถึงกćรคüบคุมคüćมม่นคงปล Ć ĂดภĆยดćนÿćรÿนเทýที่ÿĂดคลĂงกĆบนโยบćย แลąแนüปฏิบĆติดćนคüćมมĆ่นคงปลĂดภĆยÿćรÿนเทýขĂงĂงคกร เชน üิธีกćรแบบปลĂดภĆยในกćรพĆฒนćโปรแกรม ตćมมćตรฐćน OWASP (Open Web Application Security Project) Top 10 ĀรืĂมćตรฐćน CWE (Common Weakness Enumeration) Top 25 ĀรืĂมćตรฐćนที่ยĂมรĆบในÿćกล
2. ผูดูแลรąบบตĂงĂĂกแบบโครงÿรćงกćรจĆดüćงรąบบงćนแลąเÿนĂผูบĆงคบบĆ ĆญชćเĀ็นชĂบกĂนเริ่ม Go Live 5. ผูดูแลรąบบ ตĂงมีกćรĂĂกแบบรąบบเพื่ĂตรüจÿĂบขĂมูลที่จąรĆบเขćÿูแĂปพลิเคชĆน ขĂมูลที่เกิดจćก กćรปรąมüลผล แลąขĂมูลที่ĂยูรąĀüćงกćรปรąมüลผล เพื่ĂตรüจĀćแลąปĂงกĆนคüćมไมถูกตĂงที่เกิดขึ้นกĆบ ขĂมูล เชน Āนüยคüćมจํćลน (Buffer overflows) กćรใชตĆüแปรผิดปรąเภท แลąตĂงมีมćตรกćรปĂงกĆนĀรืĂ คüบคุมคüćมลมเĀลüรąĀüćงกćรปรąมüลผล (Rollback)
3. ผูดูแลรąบบตĂงมีกćรคüบคุมกćรเขćถึงแลąคüบคุมกćรเปลี่ยนแปลงĀรืĂแกไขรąบบตćมขĆ้นตĂนที่ รฟม. กํćĀนดเพื่Ăคüบคุมผลกรąทบที่เกิดขึ้น
4. ผูดูแลรąบบตĂงจํćกĆดใĀมีกćรเปลี่ยนแปลงใด ๆ ตĂซĂฟตแüรที่ใชงćน (Software package) โดยเปลี่ยนแปลง เฉพćąที่จํćเปนเทćนĆ้น แลąคüบคุมทุก ๆ กćรเปลี่ยนแปลงĂยćงเขมงüดตćมขĆ้นตĂนที่ รฟม. กํćĀนด 8. ผูดูแลรąบบตĂงจํćกĆดกćรเขćถึง Source code ใĀเขćถึงไดเฉพćąผูที่มีÿิทธิ์เทćนĆ้น
5. ผูดูแลรąบบตĂงจĆดทํć Source code review เพื่ĂĀćขĂผิดพลćดĀรืĂÿิ่งผิดปกติแลąปรĆบปรุง Source code ใĀมีคุณภćพ
   13
6. ผูดูแลรąบบตĂงคüบคุมกćรจĆดÿง Source code ผćนชĂงทćงที่มĆ่นคงปลĂดภĆยแลąเปนชĂงทćงที่ รฟม. กํćĀนดใĀใชงćนเทćน้น Ć
7. ผูดูแลรąบบตĂงปดบĆงขĂมูลÿüนบุคคล (Data Masking) ที่จĆดเก็บĂยูในรąบบงćนÿćรÿนเทýดüยüิธีกćรที่ เĀมćąÿม
8. ผูดูแลรąบบตĂงแÿดงขĂมูลขĂงผูใชงćนĂยćงรĆดกุม เชน กćรปดบĆงขĂมูลÿํćคĆญขĂงผูใชงćน (Sensitive data masking) เปนตน
9. กรณีขĂงแĂปพลิเคชĆนที่ใชงćนผćนĂุปกรณเคลื่Ăนที่ (Mobile device) ใĀผูดูแลรąบบดํćเนินกćร ดĆงนี้ 13.1 ปดบĆงĀนćจĂเมื่ĂยĂแĂปพลิเคชĆน (Application blurring) เพื่Ăลดคüćมเÿี่ยงที่ขĂมูลÿํćคĆญขĂงผูใชงćนจą รĆ่üไĀล
   13.2 ขĂÿิทธิ์เขćถึงทรĆพยćกรĀรืĂบริกćรโดยแĂปพลิเคชĆน (Application permission) บนĂุปกรณเคลื่Ăนที่ ขĂงผูใชงćนเทćที่จํćเปน แลąมีกรąบüนกćรทบทüนกćรขĂÿิทธิ์เปนปรąจํćเพื่ĂปĂงกĆนกćรลąเมิดÿิทธิ์ คüćมเปนÿüนตĆüขĂงผูใชงćน
10. ผูดูแลรąบบตĂงคüบคุมขĂมูลที่นํćมćใชในกćรทดÿĂบรąบบ (Test data) ĂยćงเĀมćąÿม โดยไมนํćขĂมูลจริงมć ทดÿĂบ กรณีจํćเปนตĂงใชขĂมูลจริงตĂงไดรĆบĂนุญćตขĂมูลจćกเจćขĂงกĂนนํćมćใชงćน แลąทํćลćยขĂมูล ĂยćงเĀมćąÿมตćมขĆ้นตĂนที่ รฟม. กํćĀนด
11. ผูดูแลรąบบตĂงแยกรąบบÿćรÿนเทýÿํćĀรĆบกćรพĆฒนć ทดÿĂบ แลąใชงćนจริงĂĂกจćกกĆนเพื่Ăลดคüćมเÿี่ยงที่ เกิดจćกกćรเปลี่ยนแปลงรąบบÿćรÿนเทýโดยไมไดรĆบĂนุญćต แลąตĂงมีกćรกํćĀนดÿิทธิ์กćรเขćถึงรąบบÿćรÿนเทýที่ พĆฒนć ทดÿĂบ ĀรืĂใชงćนจริง ทĆ้งรąบบÿćรÿนเทýใĀม แลąกćรปรĆบปรุงแกไขรąบบÿćรÿนเทýเดิม
12. ผูดูแลรąบบตĂงมีกćรกํćĀนดขĆ้นตĂนกćรทดÿĂบรąบบÿćรÿนเทýกĂนนํćไปใชงćนจริง ทĆ้งในกรณีปรĆบปรุงรąบบ ÿćรÿนเทýเดิมแลąกćรพĆฒนćรąบบÿćรÿนเทýใĀม
13. ผูดูแลรąบบตĂงติดตĆ้งซĂฟตแüรบนรąบบÿćรÿนเทýที่ใĀบริกćร (Production) ตćมขĆ้นตĂนที่ รฟม. กํćĀนด แลąจํćกĆดÿิทธิ์กćรติดตĆ้งซĂฟตแüรเพื่ĂใĀรąบบÿćรÿนเทýตćง ๆ มีคüćมถูกตĂงครบถüนแลąนćเชื่ĂถืĂ 18. ผูดูแลรąบบตĂงนํćซĂฟตแüรที่ไมลąเมิดลิขÿิทธิ์มćติดตĆ้งบนรąบบÿćรÿนเทýที่ใĀบริกćร (Production) 19. ผูดูแลรąบบตĂงกํćกĆบดูแลใĀผูรĆบจćงปฏิบĆติตćมÿĆญญćĀรืĂขĂตกลงกćรใĀบริกćรที่รąบุไü โดยครĂบคลุมถึง ดćนคüćมมĆ่นคงปลĂดภĆยÿćรÿนเทý แลąกćรปฏิบĆติตćมขĆ้นตĂนที่เกี่ยüขĂงตćง ๆ ที่ รฟม. กํćĀนดไü 20. ผูดูแลรąบบ ตĂงติดตćม ตรüจÿĂบรćยงćน ĀรืĂบĆนทึกกćรใĀบริกćรขĂงบุคคลĀรืĂĀนüยงćนภćยนĂกที่ใĀบริกćร แกĀนüยงćนตćมÿĆญญćüćจćงĂยćงÿม่ํćเÿมĂ
14. ผูดูแลรąบบ ตĂงดูแลใĀทรĆพยÿินÿćรÿนเทýไดรĆบกćรบํćรุงรĆกþćแลąซĂมแซมตćมคüćมตĂงกćร รüมท้งต Ć Ăงมี กćรบĆนทึกปรąüĆติกćรทํćงćนผิดปกติ กćรบํćรุงรĆกþć แลąกćรซĂมแซมĂุปกรณนĆ้น ๆ Ăยćงÿม่ํćเÿมĂ 22. ผูดูแลรąบบจąตĂงปดชĂงโĀüขĂงรąบบÿćรÿนเทýที่มีรąดĆบคüćมรุนแรงในรąดĆบüิกฤติ (Critical) แลąรąดĆบคüćมรุนแรง รąดĆบÿูง (High) ทĆ้งĀมดกĂนนํćไปใชงćนจริง (Production) ĀรืĂกĂนเริ่ม Go live โดยเฉพćąรąบบที่ใĀบริกćร ผćนเครืĂขćยĂินเทĂรเน็ต (Internet facing) แลąรąบบที่มีคüćมÿํćคĆญตĂกćรดํćเนินงćนขĂง รฟม. 23. ผูดูแลรąบบตĂงพิจćรณćเลืĂกใช Version ขĂง Software ดĆงนี้
    14
    23.1 กรณีนํć Software เดิมมćใชในกćรจĆดĀćĀรืĂพĆฒนćรąบบ จąตĂงนํćผลกćรตรüจÿĂบชĂงโĀüแลąผลกćร ทดÿĂบเจćąรąบบมćปรąกĂบกćรพิจćรณćคĆดเลืĂกเüĂรชĆนขĂง Software ดüย เพื่ĂปĂงกĆนไมใĀเกิด ชĂงโĀüเดิมรüมถึงเพื่ĂลดภćรąงćนในกćรปดชĂงโĀüเดิมซ้ํć
    23.2 กรณีเปน Software ที่ไมเคยนํćมćใชงćนใĀเลืĂกใช Software เüĂรชĆนลćÿุด

15
ÿüนที่ 6
การคüบคุมการเขาถึงระบบเทคโนโลยีÿารÿนเทý
üัตถุประÿงค
▪ เพื่ĂคüบคุมกćรเขćถึงรąบบเทคโนโลยีÿćรÿนเทýตĆ้งแตกćรกํćĀนดÿิทธิ์ กํćĀนดปรąเภทขĂงขĂมูล จĆดลํćดĆบ คüćมÿํćคĆญĀรืĂลํćดĆบชĆ้นคüćมลĆบขĂงขĂมูล รąดĆบชĆ้นกćรเขćถึง เüลćที่เขćถึงได แลąชĂงทćงกćรเขćถึง ทĆ้งนี้ เพื่ĂคüบคุมแลąปĂงกĆนกćรเขćถึง กćรลüงรู แลąกćรแกไขรąบบÿćรÿนเทýขĂง รฟม. โดยไมไดรĆบĂนุญćต ผูรับผิดชอบ
▪ ผูดูแลรąบบ
▪ เจćขĂงขĂมูล
▪ ผูใชงćน
อางอิงมาตรฐาน: ISO/IEC 27001: 2022
▪ มćตรกćรคüบคุมดćนĂงคกร (Organizational Controls)
▪ มćตรกćรคüบคุมดćนเทคโนโลยี (Technological Controls)
แนüปฏิบัติ

1. กćรคüบคุมกćรเขćถึงรąบบÿćรÿนเทý (Access control)
   1.1 เจćขĂงขĂมูลแลąผูดูแลรąบบ ตĂงรüมกĆนกํćĀนดÿิทธิ์ในกćรเขćถึงรąบบÿćรÿนเทý (Authorization matrix) ที่เĀมćąÿมแลąÿĂดคลĂงกĆบĀนćที่คüćมรĆบผิดชĂบขĂงผูใชงćน แลąทบทüนเมื่Ăมีกćรเปลี่ยนแปลง 1.2 เจćขĂงขĂมูลแลąผูดูแลรąบบ ตĂงรüมกĆนกํćĀนดรąดĆบกćรĂนุมĆติ (Authorization level) กćรเขćถึงรąบบ เทคโนโลยีÿćรÿนเทý
   1.3 เจćขĂงขĂมูลแลąผูดูแลรąบบ ตĂงจĆดใĀมีกćรแบงแยกĀนćที่คüćมรĆบผิดชĂบ (Segregation of duties) ในกćรเขćถึงรąบบเทคโนโลยีÿćรÿนเทýĂยćงเĀมćąÿม เชน มีกćรแบงแยกĀนćที่รąĀüćงกćรแจงคüćมปรąÿงค กćรเขćถึงแลąกćรĂนุมĆติกćรเขćถึง เปนตน
   1.4 กรณีขĂงแĂปพลิเคชĆนที่ใชงćนผćนĂุปกรณเคลื่Ăนที่ (Mobile device) ผูดูแลรąบบตĂงปฏิบĆติ ดĆงนี้ 1.4.1 ไมĂนุญćตใĀĂุปกรณเคลื่Ăนที่ที่ใชรąบบปฏิบĆติกćรลćÿมĆย (Obsolete operating system) เขćใชงćน แĂปพลิเคชĆน ĀรืĂĀćกĂนุญćตใĀใชบริกćรไดคüรมีมćตรกćรรĂงรĆบเพื่Ăลดคüćมเÿี่ยงที่ รฟม. จąไดรĆบ รüมถึงลดผลกรąทบตĂผูใชงćนตćมคüćมเĀมćąÿม เชน กćรเพิ่มมćตรกćรยืนยĆนตĆüตน เปนตน 1.4.2 ไมĂนุญćตใĀĂุปกรณที่มีกćรปรĆบแตงกćรเขćถึงรąบบปฏิบĆติกćร (rooted/jailbroken) เขćใชงćน แĂปพลิเคชĆน เพื่Ăลดคüćมเÿี่ยงที่ผูไมปรąÿงคดีÿćมćรถเขćถึงขĂมูลÿํćคĆญขĂงผูใชงćนแลąลąเมิด ĀรืĂĀลีกเลี่ยงมćตรกćรกćรรĆกþćคüćมมĆ่นคงปลĂดภĆยที่ รฟม. กํćĀนดไü
   1.4.3 ไมĂนุญćตใĀผูใชงćนใชแĂปพลิเคชĆนเüĂรชĆนต่ํćกüćที่ รฟม. กํćĀนด เพื่ĂใĀแĂปพลิเคชĆนมีกćร รĆกþćคüćมมĆ่นคงปลĂดภĆยเปนไปตćมมćตรฐćนขĂง รฟม.
   16
   1.5 ขĆ้นตĂนปฏิบĆติเพื่ĂกćรจĆดเก็บขĂมูล
   เจćขĂงขĂมูล ผูดูแลรąบบ แลąผูใชงćน ตĂงปฏิบĆติดĆงนี้
   1.5.1 แบงปรąเภทขĂมูล ดĆงนี้

1. ขĂมูลแลąÿćรÿนเทýÿํćĀรĆบÿนĆบÿนุนกćรตĆดÿินใจขĂงผูบริĀćร ไดแก ขĂมูลÿćรÿนเทýที่มี คüćมÿํćคĆญĀรืĂมีคüćมจํćเปนเรงดüนที่ตĂงติดตćมĂยćงใกลชิดเพื่ĂปรąกĂบกćรตĆดÿินใจ เชิงนโยบćย กํćĀนดนโยบćย แลąกćรüćงแผนขĂงผูบริĀćรรąดĆบÿูง
2. ขĂมูลแลąÿćรÿนเทýÿนĆบÿนุนเชิงยุทธýćÿตร (Strategy data) ไดแก ขĂมูลแลąÿćรÿนเทýเชิง üิชćกćรเพื่ĂÿนĆบÿนุนกćรดํćเนินงćนตćมพĆนธกิจแลąยุทธýćÿตรขĂง รฟม. ใĀบรรลุเปćĀมćย รüมทĆ้งขĂมูลที่เผยแพรแกผูรĆบบริกćรภćยนĂก
3. ขĂมูลแลąÿćรÿนเทýที่ÿนĆบÿนุนกćรปฏิบĆติงćนปรąจํć (Operation data) ไดแก ขĂมูลที่ ÿนĆบÿนุนกćรทํćงćนทĆ่üไปขĂง รฟม.
   1.5.2 จĆดแบงรąดĆบคüćมÿํćคĆญขĂงขĂมูล ĂĂกเปน 3 รąดĆบ คืĂ
4. ขĂมูลที่มีรąดĆบคüćมÿํćคĆญมćก Āมćยถึง ขĂมูลที่ใชÿํćĀรĆบÿนĆบÿนุนกćรตดĆÿินใจขĂงผูบริĀćร 2) ขĂมูลที่มีรąดĆบคüćมÿํćคĆญปćนกลćง Āมćยถึง ขĂมูลที่ใชปฏิบĆติงćนเฉพćąกลุมงćน แผนก กĂง ĀรืĂฝćยภćยในĂงคกร
5. ขĂมูลที่มีรąดĆบคüćมÿํćคĆญนĂย Āมćยถึง ขĂมูลที่พนĆกงćน/ลูกจćงภćยใน รฟม. ÿćมćรถ เขćถึงรüมกĆนไดĀรืĂÿćมćรถเผยแพรได
   1.5.3 จĆดแบงลํćดĆบชĆ้นคüćมลĆบขĂงขĂมูลตćมที่ รฟม. กํćĀนด
   1.5.4 จĆดแบงรąดĆบชĆ้นกćรเขćถึง
6. รąดĆบชĆ้นÿํćĀรĆบผูบริĀćร เขćถึงไดตćมĂํćนćจĀนćที่แลąภćรกิจที่ไดรĆบมĂบĀมćย 2) รąดĆบชĆ้นÿํćĀรĆบผูปฏิบĆติงćนทĆ่üไป เขćถึงขĂมูลที่ไดรĆบมĂบĀมćยตćมĂํćนćจĀนćที่
7. รąดĆบชĆ้นÿํćĀรĆบผูดูแลรąบบĀรืĂผูที่ไดมĂบĀมćย มีÿิทธิ์ในกćรบริĀćรจĆดกćรรąบบแลąเขćถึง ขĂมูลที่ไดรĆบมĂบĀมćยตćมĂํćนćจĀนćที่
   1.6 เจćขĂงขĂมูลแลąผูดูแลรąบบตĂงกํćĀนดเüลćกćรเขćถึงรąบบÿćรÿนเทý
   1.7 ผูดูแลรąบบตĂงจํćกĆดชĂงทćงกćรเขćถึงรąบบเทคโนโลยีÿćรÿนเทýตćมชĂงทćง ดĆงนี้ 1) เครืĂขćยภćยในขĂง รฟม.
8. เครืĂขćยภćยนĂก รฟม.
9. เครืĂขćยĂื่นที่จĆดไüใĀ เชน รąบบเครืĂขćยÿื่ĂÿćรขĂมูล GIN
   1.8 ผูดูแลรąบบตĂงกํćกĆบดูแล Default permission ขĂงไฟล (File) แลą โฟลเดĂร (Folder) ที่ÿรćงขึ้นใĀมี กćรจํćกĆดÿิทธิ์ในกćรเขćถึง
   1.9 เจćขĂงขĂมูลแลąผูดูแลรąบบ ตĂงพิจćรณćขĂกํćĀนดตćง ๆ ที่มีผลทćงกฎĀมćยซึ่งเกี่ยüขĂงกĆบกćรรĆกþć คüćมมĆ่นคงปลĂดภĆยÿćรÿนเทýขĂง รฟม. เชน พรąรćชบĆญญĆติ ขĂกํćĀนดทćงกฎĀมćย ขĂกํćĀนดในÿĆญญć
   17
   แลąขĂกํćĀนดทćงดćนคüćมมĆ่นคงปลĂดภĆยĂื่น ๆ เปนตน เพื่ĂกํćĀนดÿิทธิ์กćรเขćถึงÿćรÿนเทýแลąรąบบ เทคโนโลยีÿćรÿนเทýขĂง รฟม.
   1.10 เจćขĂงขĂมูลแลąผูดูแลรąบบ ตĂงมีกćรÿĂบทćนÿิทธิ์ในกćรเขćถึงรąบบเทคโนโลยีÿćรÿนเทýĂยćง ÿม่ํćเÿมĂ พรĂมทĆ้งเพิกถĂนÿิทธิ์เมื่ĂพบเĀ็นÿิทธิ์ที่ไมถูกตĂงตćมÿิทธิ์ในกćรเขćถึง (Authorization matrix) 2. กćรบริĀćรจĆดกćรกćรเขćถึงขĂงผูใชงćน (User access management)
   ใĀมีกćรคüบคุมกćรลงทąเบียนผูใชงćน กćรบริĀćรจĆดกćรรĀĆÿผćน กćรบริĀćรจĆดกćรÿิทธิ์กćรใชงćนรąบบเทคโนโลยี ÿćรÿนเทý แลąกćรทบทüนÿิทธิ์กćรเขćถึงขĂงผูใชงćน
   2.1 กćรลงทąเบียนผูใชงćน (User registration)
   2.1.1 ผูดูแลรąบบตĂงบริĀćรจĆดกćรแลąคüบคุมบĆญชีชื่Ăผูใชงćน (Username) มิใĀมีกćรใชงćนบĆญชีชื่Ă ผูใชงćนซ้ํćกĆน ทĆ้งนี้ ในÿüนขĂงพนĆกงćน/ลูกจćง รฟม. ใĀกํćĀนดชื่Ăผูใชงćน (Username) ตćม มćตรฐćนจดĀมćยĂิเล็กทรĂนิกÿ (E-Mail) ที่ใชในĂงคกร
   2.1.2 เจćขĂงขĂมูลตĂงเปนผูĂนุมĆติกćรÿรćงบĆญชีผูใชงćนชĆ่üครćü (Temporary user) แลąตĂงจํćกĆด ชüงเüลćกćรใชงćนเทćที่จํćเปน
   2.2 กćรบริĀćรจĆดกćรรĀĆÿผćน (User password management)
   2.2.1 ผูดูแลรąบบตĂงกํćĀนดรĀĆÿผćนแบบชĆ่üครćüโดยใชüิธีกćรÿุม แลąบĆงคบใ Ć Āมีกćรเปลี่ยนรĀĆÿผćน เมื่ĂผูใชงćนเขćใชงćนรąบบในครĆ้งแรก
   2.2.2 ผูดูแลรąบบตĂงกํćĀนดคüćมยćüขĂงรĀĆÿผćน ดĆงนี้
10. ผูดูแลรąบบมีคüćมยćüĂยćงนĂย 16 ĀลĆก
11. ผูใชงćนมีคüćมยćüĂยćงนĂย 12 ĀลĆก
    2.2.3 ผูดูแลรąบบตĂงกํćĀนดใĀมีกćรยืนยĆนตĆüตนแบบĀลćยปจจĆย (Multi-Factor Authentication) ตćมคüćมเĀมćąÿม
    2.2.4 ผูดูแลรąบบตĂงกํćĀนดใĀรĀĆÿผćนมีคüćมซĆบซĂน โดยปรąกĂบดüย ตĆüĂĆกþร ตĆüเลข แลąĂĆกขรą พิเýþ เชน (a-Z) (0-9) (@ , # , & , “ , ‘ , *, =, < , > , % , $ , + , ?) เปนตน
    2.2.5 ผูดูแลรąบบตĂงกํćĀนดใĀมีกćรเปลี่ยนแปลงรĀĆÿผćน ดĆงนี้
12. ผูดูแลรąบบตĂงเปลี่ยนรĀĆÿผćนทุก ๆ 3 เดืĂน
13. ผูใชงćนตĂงเปลี่ยนรĀĆÿผćนทุก ๆ 6 เดืĂน
14. ผูใชงćนเชิงรąบบ (System account) ใĀพิจćรณćเปลี่ยนรĀĆÿผćนตćมคüćมเĀมćąÿม 2.2.6 ผูดูแลรąบบตĂงกํćĀนดใĀมีกćรเขćรĀĆÿขĂมูลรĀĆÿผćนในรąบบ
    2.2.7 ผูดูแลรąบบตĂงจĆดใĀมีกćรคüบคุมรĀĆÿผćนĂยćงเขมงüด
    2.2.8 ผูดูแลรąบบตĂงจĆดÿงบĆญชีชื่Ăผูใชงćน (Username) แลąรĀĆÿผćน (Password) ดüยüิธีกćรที่ ปลĂดภĆย
    2.2.9 ผูดูแลรąบบตĂงคüบคุมดูแลรąบบปฏิบĆติกćร รąบบฐćนขĂมูล แลąรąบบงćนÿćรÿนเทý (Application) ที่จĆดเก็บบĆญชีผูใชงćนแลąรĀĆÿผćนĂยćงเขมงüด โดยใĀเขćถึงไดเฉพćąผูดูแลรąบบที่ ไดรบĆĂนุญćตเทćนĆ้น
    2.2.10 ผูดูแลรąบบตĂงกํćĀนดüิธีกćรĀรืĂกรąบüนกćรยืนยĆนตĆüตนที่ปลĂดภĆย เชน กรณีที่ลืมรĀĆÿผćน
    18
    2.2.11 ผูดูแลรąบบตĂงกํćĀนดใĀผูใชบริกćร ใชรĀĆÿผćนĂยćงมĆ่นคงปลĂดภĆย ดĆงนี้ กรณีแĂปพลิเคชĆนทĆ่üไป
15. กํćĀนดคüćมยćüรĀĆÿผćนĂยćงนĂย 12 ĀลĆก ซึ่งปรąกĂบดüย ตĆüĂĆกþร ตĆüเลข แลą ĂĆกขรąพิเýþ เชน (a-Z) (0-9) (@ , # , & , “ , ‘ , *, =, < , > , % , $ , + , ?) เปนตน
16. รĀĆÿผćนตĂงไมเปนคํćที่คćดเดćไดงćย เชน คํćที่Ăยูในพจนćนุกรม ชื่Ă-นćมÿกุล üĆนเดืĂนปเกิด ที่Ăยู ĀรืĂเบĂรโทรýĆพท เปนตน
17. ไมบĆงคĆบใĀเปลี่ยนรĀĆÿผćน ทĆ้งนี้ขึ้นĂยูกĆบคüćมÿมĆครใจในกćรเปลี่ยนรĀĆÿผćน แลąรąบบ ตĂงรĂงรĆบกćรเปลี่ยนรĀĆÿผćนในกรณีตćง ๆ ดüยüิธีกćรที่ปลĂดภĆย
    กรณีแĂปพลิเคชĆนที่ใชงćนผćนĂุปกรณเคลื่Ăนที่ (Mobile device)
18. กํćĀนดรĀĆÿผćนโดยใช PIN code ĀรืĂรĀĆÿผćนที่ซĆบซĂน (PIN/Password complexity) โดยกรณี PIN code ตĂงใชรĀĆÿผćน 6 ĀลĆกขึ้นไป
19. ไมบĆงคĆบใĀเปลี่ยนรĀĆÿผćน ทĆ้งนี้ขึ้นĂยูกĆบคüćมÿมĆครใจในกćรเปลี่ยนรĀĆÿผćน แลą รąบบตĂงรĂงรĆบกćรเปลี่ยนรĀĆÿผćนในกรณีตćง ๆ ดüยüิธีกćรที่ปลĂดภĆย
    2.2.12 ผูดูแลรąบบแลąผูใชงćนตĂงใชรĀĆÿผćนĂยćงปลĂดภĆย ดĆงนี้
20. ตĂงกํćĀนดรĀĆÿผćนที่ไมÿćมćรถคćดเดćไดงćย เชน คํćที่Ăยูในพจนćนุกรม “qwerty” “abcde” “12345” ชื่Ă-นćมÿกุล üĆนเดืĂนปเกิด ที่Ăยู ĀรืĂเบĂรโทรýĆพท เปนตน
21. ตĂงไมใชงćนรĀĆÿผćนโดยกรąบüนกćรเขćใชงćนโดยĂĆตโนมĆติ ไดแก กćรกํćĀนดคć “Remember Password” เปนตน
22. ตĂงเก็บรĀĆÿผćนไüเปนคüćมลĆบเฉพćąบุคคล ไมเปดเผยใĀผูĂื่นรĆบทรćบ แลąไม พิมพรĀĆÿผćนในลĆกþณąเปดเผย เชน พิมพรĀĆÿผćนตĂĀนćผูใชงćนคนĂื่น เปนตน
23. ตĂงไมใชบĆญชีชื่ĂผูใชงćนแลąรĀĆÿผćนรüมกĆนกĆบผูĂื่น แมüćบĆญชีชื่ĂผูใชงćนจąไดรĆบ กćรĂนุญćตจćกเจćขĂงชื่ĂผูใชงćนบุคคลนĆ้นก็ตćม
24. ตĂงเปลี่ยนแปลงรĀĆÿผćนเมื่ĂมีกćรแจงเตืĂนจćกรąบบ ĀรืĂÿงÿĆยüćรĀĆÿผćนลüงรูโดย บุคคลĂื่น
    2.3 กćรบริĀćรจĆดกćรÿิทธิ์ (Privilege management)
    2.3.1 ผูบĆงคĆบบĆญชćตĂงกํćĀนดใĀมีขĆ้นตĂนปฏิบĆติÿํćĀรĆบกćรลงทąเบียน กćรเพิกถĂนÿิทธิ์ กćร เปลี่ยนแปลงÿิทธิ์ แลąกćรทบทüนÿิทธิ์ขĂงผูใชงćนĂยćงเปนลćยลĆกþณĂĆกþร
    2.3.2 กํćĀนดÿิทธิ์ที่เĀมćąÿมกĆบผูใชงćนตćมคüćมจํćเปนแลąÿĂดคลĂงกĆบĀนćที่คüćมรĆบผิดชĂบแลą จĆดเก็บปรąüĆติ (Log) กćรลงทąเบียน กćรเพิกถĂนÿิทธิ์ แลąกćรเปลี่ยนแปลงÿิทธิ์ขĂงผูใชงćน 2.3.3 เจćขĂงขĂมูลแลąผูดูแลรąบบ ตĂงจĆดใĀมีกćรคüบคุมแลąจํćกĆดÿิทธิ์ในกćรใชงćนรąบบตćม คüćมจํćเปนในกćรใชงćนเทćน้น Ć
25. ÿิทธิ์ในกćรÿรćงขĂมูล (Create)
26. ÿิทธิ์ในกćรĂćนขĂมูลĀรืĂเรียกดูขĂมูล (READ)
27. ÿิทธิ์ในกćรปรĆบปรุงขĂมูล (Modify / Update)
28. ÿิทธิ์ในกćรลบขĂมูล (Delete)
    19
29. ÿิทธิ์ในกćรมĂบĀมćยÿิทธิ์ในกćรดํćเนินกćรแทน (Assign)
30. ÿิทธิ์ในกćรรĆบรĂงคüćมถูกตĂงครบถüนขĂงขĂมูล (Approve/Authenticate)
31. ไมมีÿิทธิ์
    2.3.4 เจćขĂงขĂมูลแลąผูดูแลรąบบตĂงเปนผูĂนุมĆติกćรใĀÿิทธิ์เพื่ĂเขćถึงÿćรÿนเทýĀรืĂรąบบ เทคโนโลยีÿćรÿนเทýใด ๆ ĂยćงเปนลćยลĆกþณĂĆกþร
    2.3.5 เจćขĂงขĂมูลแลąผูดูแลรąบบ ตĂงจํćกĆดจํćนüนผูใชงćนที่ทํćĀนćที่เปนผูใĀÿิทธิ์กĆบผูใชงćนใĀนĂย ที่ÿุดตćมคüćมเĀมćąÿม
    2.3.6 เจćขĂงขĂมูลแลąผูดูแลรąบบ ตĂงจํćกĆดรąยąเüลćกćรใชงćนรąบบเทคโนโลยีÿćรÿนเทýขĂง รฟม. แกĀนüยงćนภćยนĂกที่เขćมćปฏิบĆติงćนรüมกĆบ รฟม.
    2.3.7 เจćขĂงขĂมูลแลąผูดูแลรąบบ ตĂงจĆดใĀมีกćรถĂดถĂนĀรืĂเปลี่ยนแปลงÿิทธิ์กćรเขćถึงทĆนที เมื่Ă ผูใชงćนเกþียณ เปลี่ยนแปลงĀนćที่คüćมรĆบผิดชĂบ เปลี่ยนแปลงกćรจćงงćน ĀรืĂไมมีคüćม จํćเปนในกćรใชงćนรąบบเทคโนโลยีÿćรÿนเทý
    2.3.8 ผูดูแลรąบบตĂงลบĀรืĂรąงĆบกćรใชงćนÿิทธิ์ขĂงผูใชงćนที่มćกĆบรąบบ (Default user) ในกรณีที่มี คüćมจํćเปนตĂงใชงćนตĂงกํćĀนดรĀĆÿผćนĂยćงมĆ่นคงปลĂดภĆย
    2.4 กćรทบทüนÿิทธิ์กćรเขćถึงขĂงผูใชงćน (Review of user access rights)
    2.4.1 เจćขĂงขĂมูลแลąผูดูแลรąบบ ตĂงมีกćรÿĂบทćนÿิทธิ์กćรเขćถึงขĂงผูใชงćนรąบบเมื่Ă รฟม. มี กćรเปลี่ยนแปลงรąบบเทคโนโลยีÿćรÿนเทýĀรืĂโครงÿรćงĂงคกร
    2.4.2 ผูดูแลรąบบ ตĂงมีกćรÿĂบทćนแลąรąงĆบกćรใชงćนบĆญชีผูใชงćนที่ไมไดใชงćนเกิน 180 üĆน Āćกผูใชงćน ตĂงกćรกลĆบมćใชงćนจąตĂงยืนยĆนตĆüตนใĀ ฝทท. ทรćบ ทĆ้งนี้ รąยąเüลćที่ไมไดใชงćนขĂงบĆญชี ผูใชงćนĂćจจąขึ้นĂยูกĆบแตลąรąบบÿćรÿนเทý

3. กćรปĂงกĆนĂุปกรณที่ไมมีผูดูแล แลąกćรคüบคุมกćรไมทิ้งÿินทรĆพยÿćรÿนเทýÿํćคĆญไüในที่ที่ไมปลĂดภĆย 3.1 กćรปĂงกĆนĂุปกรณที่ไมมีผูดูแล (Unattended user equipment)
   3.1.1 ผูดูแลรąบบตĂงจĆดใĀมีมćตรกćรÿํćĀรĆบปĂงกĆนรąบบคĂมพิüเตĂร รąบบเครืĂขćยÿื่ĂÿćรขĂมูล แลąรąบบเทคโนโลยีÿćรÿนเทý โดยกćรกํćĀนดคćขĂงรąบบ (Configuration) ใĀมีกćรล็Ăก ĀนćจĂÿํćĀรบĆĂุปกรณที่ไมมีพนĆกงćนดูแล ĀรืĂล็ĂกĂุปกรณĂยูเÿมĂ
   3.1.2 ผูใชงćนแลąĀนüยงćนภćยนĂก ตĂงล็ĂกĀนćจĂĂĆตโนมĆติเมื่Ăไมมีกćรใชงćนรąบบเทคโนโลยี ÿćรÿนเทýขĂง รฟม. ตćมรąยąเüลćที่กํćĀนด โดยตĂงพĆกĀนćจĂ (Screen saver) ĂĆตโนมĆติ ĀลĆงจćกที่ไมมีกćรใชงćนคĂมพิüเตĂรเปนรąยąเüลćนćนกüć 15 นćที ผูใชงćนแลąĀนüยงćนภćยนĂกจą ใชงćนตĂไดเมื่ĂมีกćรใÿรĀĆÿผćนที่ถูกตĂง
   3.1.3 ผูใชงćนตĂง Log out ĂĂกจćกเครื่ĂงคĂมพิüเตĂรเมื่ĂมีคüćมจํćเปนตĂงลąทิ้งเครื่ĂงคĂมพิüเตĂร 3.1.4 ผูใชงćนตĂงปĂงกĆนไมใĀผูĂื่นใชĂุปกรณ เชน กลĂงดิจิทĆล เครื่ĂงÿํćเนćเĂกÿćร เครื่Ăงÿแกน เĂกÿćรโดยไมไดรĆบĂนุญćต
   3.2 กćรคüบคุมÿินทรĆพยÿćรÿนเทýแลąกćรใชงćนรąบบคĂมพิüเตĂร (Clear desk and clear screen control) 3.2.1 ผูบĆงคĆบบĆญชćตĂงกํćĀนดใĀมีผูรĆบผิดชĂบในกćรดูแลÿถćนที่ที่มีกćรรบ - Ć ÿงแฟกซ ĀรืĂจดĀมćยเขć – ĂĂก 3.2.2 ผูใชงćนตĂงĂĂกจćกรąบบคĂมพิüเตĂร (Log out) ทĆนที เมื่ĂจํćเปนตĂงปลĂยทิ้งโดยไมมีผูดูแล
   20
   3.2.3 ผูใชงćนตĂงจĆดเก็บขĂมูลÿํćคĆญแยกตćงĀćก แลąปĂงกĆนใĀมีคüćมปลĂดภĆยĂยćงพĂเพียง 3.2.4 ผูใชงćนตĂงนํćเĂกÿćรĂĂกจćกเครื่ĂงพิมพทĆนทีที่พิมพงćนเÿร็จ
4. กćรคüบคุมกćรเขćถึงเครืĂขćย (Network access control)
   ใĀมีกćรคüบคุมกćรใชงćนบริกćรเครืĂขćย กćรคüบคุมกćรพิÿูจนตĆüตนÿํćĀรĆบผูใชงćนที่ĂยูภćยนĂก รฟม. กćร คüบคุมกćรพิÿูจนตĆüตนĂุปกรณบนเครืĂขćย กćรปĂงกĆนพĂรต (Port) ที่ใชÿํćĀรĆบตรüจÿĂบแลąปรĆบแตงรąบบ กćร แบงแยกเครืĂขćย (Segregation in networks) ĂยćงเĀมćąÿม กćรคüบคุมกćรเชื่ĂมตĂทćงเครืĂขćย แลąกćร คüบคุมกćรกํćĀนดเÿนทćงบนเครืĂขćย
   4.1 กćรใชงćนบริกćรเครืĂขćย (Use of network services)
   4.1.1 ผูดูแลรąบบตĂงคüบคุมกćรเผยแพรแผนผĆงรąบบเครืĂขćยÿื่ĂÿćรขĂมูล (Network diagram) รüมถึงโครงÿรćง IP address ชื่Ăรąบบ แลąชื่ĂĂุปกรณÿćรÿนเทýแกผูที่ไมไดรĆบĂนุญćตĀรืĂ ĀนüยงćนภćยนĂก
   4.1.2 ผูดูแลรąบบตĂงคüบคุมกćรใชงćนรąบบเครืĂขćยÿื่ĂÿćรขĂมูล เพื่ĂปĂงกĆนกćรเขćถึงรąบบเครืĂขćย ÿื่ĂÿćรขĂมูลแลąบริกćรขĂงรąบบเครืĂขćยÿื่ĂÿćรขĂมูลโดยไมไดรĆบĂนุญćต
   4.1.3 ผูดูแลรąบบตĂงคüบคุมกćรเชื่ĂมตĂเครืĂขćยภćยนĂก เพื่ĂใชงćนĂินเทĂรเน็ต ซึ่งĂćจเปนชĂงทćงใĀ ĀนüยงćนภćยนĂกเขćถึงÿćรÿนเทýĀรืĂรąบบเทคโนโลยีÿćรÿนเทýขĂง รฟม. โดยมิไดรĆบ Ăนุญćต
   4.1.4 ผูใชงćนตĂงแจงคüćมปรąÿงคในกćรขĂใชงćนบริกćรเครืĂขćยแก ฝทท. แลąÿćมćรถใชบริกćร เครืĂขćยไดĀลĆงจćกไดรĆบกćรĂนุมĆติจćก ฝทท. แลü
   4.1.5 ผูใชงćน ตĂงไมใชรąบบเครืĂขćยÿื่ĂÿćรขĂมูลเพื่ĂเปนชĂงทćงในกćรเจćąรąบบ (Hacking) ĀรืĂกćร ÿแกนชĂงโĀüขĂงรąบบโดยมิไดรĆบĂนุญćต
   4.2 กćรพิÿูจนตĆüตนขĂงผูใชงćนที่ĂยูภćยนĂก รฟม. (User authentication for external connections) ผูดูแลรąบบตĂงกํćĀนดใĀมีกćรพิÿูจนตĆüตนผćนรąบบ Active directory ขĂง รฟม. กĂนĂนุญćตใĀ ผูใชงćนที่ĂยูภćยนĂก รฟม. เขćใชงćนเครืĂขćยแลąรąบบÿćรÿนเทýขĂง รฟม.
   4.3 กćรพิÿูจนตĆüตนขĂงĂุปกรณในรąบบเครืĂขćยÿื่ĂÿćรขĂมูล (Equipment identification in networks) ผูดูแลรąบบตĂงกํćĀนดใĀมีกćรพิÿูจนตĆüตนขĂงĂุปกรณในรąบบเครืĂขćยÿื่ĂÿćรขĂมูล ไดแก กćรตรüจÿĂบ MAC address
   4.4 กćรปĂงกĆนพĂรตที่ใชÿํćĀรĆบตรüจÿĂบแลąปรĆบแตงรąบบ (Remote diagnostic and configuration port protection)
   ผูดูแลรąบบตĂงรąงĆบบริกćรแลąพĂรต (Port) ที่ไมมีคüćมจํćเปนตĂงใชบนเครื่ĂงคĂมพิüเตĂรĀรืĂ ĂุปกรณเครืĂขćย
   4.5 ผูดูแลรąบบตĂงติดตĆ้งรąบบตรüจจĆบกćรบุกรุก (Instrusion prevention system/ instrusion detection system) ขĂงรąบบเครืĂขćย
   4.6 กćรแบงแยกเครืĂขćย (Segregation in networks)
   4.6.1 ผูดูแลรąบบตĂงจĆดใĀมีกćรแบงแยกเครืĂขćยตćมกลุมขĂงผูใชงćน ĀรืĂกลุมขĂงรąบบเทคโนโลยี ÿćรÿนเทý เพื่ĂคüบคุมกćรใชงćนในแตลąเครืĂขćยยĂยĂยćงเĀมćąÿม โดยพิจćรณćจćกคüćมตĂงกćร
   21
   ในกćรเขćถึงขĂมูล รąดĆบคüćมÿํćคĆญขĂงขĂมูล รüมถึงกćรพิจćรณćดćนรćคć ปรąÿิทธิภćพ แลąผลกรąทบทćงดćนคüćมปลĂดภĆยดĆงตĂไปนี้

1. เครืĂขćยที่ĂนุญćตใĀเขćถึงจćกภćยนĂกแลąเครืĂขćยที่ใชภćยใน รฟม.
2. เครืĂขćยแĂปพลิเคชĆน (Application) ที่มีคüćมÿํćคĆญกĆบเครืĂขćยĂื่น ๆ ที่มี คüćมÿํćคĆญนĂยกüć
3. เครืĂขćยÿํćĀรĆบเครื่ĂงใĀบริกćร (Server farm) กĆบเครืĂขćยขĂงผูใชงćน คüรมีกćร ติดตĆ้งĂุปกรณที่ÿćมćรถแบงแยกเครืĂขćยได เชน Firewall ĀรืĂ Switch ที่ÿćมćรถ
   แบง VLAN ได เปนตน
   4.6.2 ผูดูแลรąบบจąกํćĀนดเÿนทćงบนเครืĂขćยที่เขมงüด เพื่ĂจํćกĆดกćรเขćถึงรąยąไกลไปเฉพćąเครืĂขćย ที่กํćĀนดเทćนĆ้น
   4.6.3 ผูดูแลรąบบตĂงตĆ้งคć (Configuration) ĂุปกรณเครืĂขćย เชน Firewall ĀรืĂ Router มิใĀÿćมćรถ บริĀćรจĆดกćรจćกภćยนĂกเครืĂขćยได เüนแตในกรณีฉุกเฉินซึ่งตĂงไดรĆบกćรĂนุญćตจćกผูดูแล รąบบเทćนĆ้น
   4.7 กćรคüบคุมกćรเชื่ĂมตĂทćงเครืĂขćย (Network connection control)
   4.7.1 ผูดูแลรąบบตĂงจํćกĆดกćรใชงćนเครืĂขćยขĂงผูใชงćนในกćรเชื่ĂมตĂกĆบเครืĂขćยขĂง รฟม. เชน Router ĀรืĂ Firewall เปนตน พรĂมทĆ้งติดตĆ้งรąบบคüบคุมเพื่ĂกลĆ่นกรĂงขĂมูลที่รĆบ - ÿง เชน Web filtering, E-mail filtering เปนตน เพื่ĂทํćใĀกćรเชื่ĂมตĂมีคüćมปลĂดภĆย
   4.7.2 ผูดูแลรąบบตĂงติดตĆ้ง Firewall รąĀüćงเครืĂขćยขĂง รฟม. กĆบเครืĂขćยภćยนĂก ทĆ้งนี้ กćรติดตĆ้ง Firewall ตĂงพิจćรณćเรื่Ăงดงต Ć Ăไปนี้
4. กćรปĂงกĆนกćรจรćจรจćกภćยนĂก ตĂงถูกกํćĀนดใĀใชเÿนทćงที่ผćน First tier firewall ที่มีคüćมมĆ่นคงปลĂดภĆยเพื่ĂปĂงกĆนทรĆพยÿินÿćรÿนเทýขĂง รฟม. แลą
   โครงÿรćงพื้นฐćนที่มีคüćมÿํćคĆญจćกกćรเขćถึงที่ไมไดรบĆĂนุญćต
5. Firewall ตĂงรąบุตĆüตนแลąพิÿูจนตĆüตนขĂงผูใชงćนกĂนที่จąใĀÿิทธิ์กćรเขćถึง ĂินเทĂรเฟÿ (Interface) เพื่ĂกćรบริĀćรจĆดกćร Firewall
6. Firewall ตĂงตĆ้งคćใĀรąงĆบบĆญชีผูใชงćนĀลĆงจćกมีคüćมพยćยćมที่จąเขćÿูรąบบไม ÿํćเร็จ 5 ครĆ้ง กćรยกเลิกกćรรąงĆบตĂงดํćเนินกćรโดย ฝทท.
7. ไมĂนุญćตใĀพิÿูจนตĆüตนผćนทćงĂินเทĂรเฟÿ (Interface) กćรจĆดกćร Firewall จćก รąยąไกล (Remote)
8. ผูที่ไดรĆบกćรมĂบĀมćยจćก ฝทท. เทćนĆ้นที่มีÿิทธิ์ที่จąเปลี่ยนกćรตĆ้งคćดćนคüćม ปลĂดภĆยบน Firewall
9. Firewall ตĂงตĆ้งคćใĀบĆนทึกเĀตุกćรณดćนคüćมมĆ่นคงปลĂดภĆย
10. Firewall ตĂงไดรĆบกćรÿĂบทćน ทดÿĂบ แลąตรüจÿĂบĂยćงÿม่ํćเÿมĂ
11. Firewall ตĂงถูกบริĀćรจĆดกćรผćนทćงกćรติดตĂÿื่Ăÿćรที่มีกćรเขćรĀĆÿ
12. ตĂงปดบริกćรแลąพĂรต (Port) ที่ไมจํćเปนตĂงใชบน Firewall
    22
13. Firewall ปรąเภทซĂฟตแüร (Software) ตĂงติดตĆ้งบนเครื่ĂงคĂมพิüเตĂรแมขćยแยก ตćงĀćก
14. Firewall ตĂงÿćมćรถปĂงกĆนตĆüเĂงจćกกćรโจมตี DOS (Denial of service) ได Ăยćงเชน Ping, Sweeps ĀรืĂ TCP SYN Floods เปนตน
15. ตĂงใชเüĂรชĆนขĂงซĂฟตแüร (Software) Firewall แลąรąบบปฏิบĆติกćรที่เจćขĂง ผลิตภĆณฑยĆงใĀกćรÿนĆบÿนุน
16. ผูดูแล Firewall ตĂงติดตćมขĂมูลชĂงโĀüจćกผูใĀบริกćร (Vendor) เพื่ĂรĆบทรćบ ขćüÿćร กćร Upgrade แลąแพ็ตช (Patch) ที่จํćเปน แลąตĂงติดตĆ้งแพ็ตช (Patch)
    ทĆ้งĀมดที่เกี่ยüขĂง
    4.7.3 ผูดูแลรąบบตĂงติดตĆ้ง Firewall เพื่Ăแบงแยก Zone ใĀมีกćรใช DMZ (Demilitarized zone) โดยตĂงพิจćรณćเรื่ĂงดĆงตĂไปนี้
17. เครื่ĂงคĂมพิüเตĂรแมขćยที่ใĀบริกćรผćนĂินเทĂรเน็ต เชน FTP, Email, Web แลą External DNS server เปนตน ตĂงติดตĆ้งĂยูใน DMZ
18. กćรเขćถึงจćกรąยąไกลตĂงพิÿูจนตĆüตนที่ Firewall ĀรืĂผćนบริกćรที่Ăยูใน DMZ
19. DNS Servers ตĂงไมĂนุญćตใĀมีกćรแลกเปลี่ยนโซน (Zone transfers) เüนแตมีเĀตุ จํćเปน
    4.8 กćรคüบคุมกćรกํćĀนดเÿนทćงบนเครืĂขćย (Network routing control)
    ผูดูแลรąบบตĂงคüบคุมกćรกํćĀนดเÿนทćงบนเครืĂขćยเพื่ĂใĀมĆ่นใจüćกćรเชื่ĂมตĂเครื่ĂงคĂมพิüเตĂร แลąกćรไĀลเüียนขĂงÿćรÿนเทýบนเครืĂขćย โดยมีกลไกในกćรตรüจÿĂบที่ĂยูปลćยทćงแลąตนทćงขĂง กćรเชื่ĂมตĂ เชน กćรคüบคุมโดย Firewall ĀรืĂ Proxy เปนตน

5. กćรคüบคุมกćรเขćถึงรąบบปฏิบĆติกćร (Operating system access control)
   ใĀมีกćรคüบคุมกćรเขćถึงรąบบปฏิบĆติกćรĂยćงมĆ่นคงปลĂดภĆย กćรคüบคุมกćรรąบุแลąพิÿูจนตĆüตนขĂง ผูใชงćน กćรคüบคุมรąบบบริĀćรจĆดกćรรĀĆÿผćน กćรคüบคุมกćรใชงćนโปรแกรมปรąเภทยูทิลิตี้ (System utilities) กćรคüบคุมกćรĀมดเüลćกćรใชงćนรąบบเทคโนโลยีÿćรÿนเทý แลąคüบคุมกćรจํćกĆดรąยąเüลćกćร เชื่ĂมตĂรąบบเทคโนโลยีÿćรÿนเทý
   5.1 ขĆ้นตĂนปฏิบĆติในกćรเขćถึงรąบบĂยćงมĆ่นคงปลĂดภĆย (Secure log-on procedures) 5.1.1 ผูดูแลรąบบ ตĂงจĆดใĀมีกćรคüบคุมกćรเขćถึงรąบบปฏิบĆติกćรĂยćงมĆ่นคงปลĂดภĆยโดย ขĆ้นตĂนกćรเขćÿูรąบบตĂงเปดเผยขĂมูลเกี่ยüกĆบรąบบใĀนĂยที่ÿุดเพื่ĂĀลีกเลี่ยงผูใชงćนที่ไมได รĆบĂนุญćต ซึ่งขĆ้นตĂนกćร Log-on ตĂงพิจćรณć ดĆงนี้

1. Āćกกรąบüนกćรเขćÿูรąบบไมÿํćเร็จ รąบบตĂงไมแÿดงขĂมูลขĂงรąบบĀรืĂแĂปพลิเคชĆน (Application) ที่ใชงćนĂยู
2. รąบบตĂงแÿดงขĂคüćมเตืĂนผูใชงćนüćÿćมćรถเขćใชงćนเครื่ĂงคĂมพิüเตĂรไดเฉพćąผูที่มี ÿิทธิ์เทćนĆ้น
3. Āćกกรąบüนกćรเขćÿูรąบบไมÿํćเร็จ รąบบตĂงไมแÿดงขĂมูลที่ÿćมćรถรąบุตĆüตนขĂง รąบบ เชน เครืĂขćยที่ใชงćน ÿถćนที่ตĆ้งขĂงรąบบ ĀรืĂชื่Ăเครื่ĂงคĂมพิüเตĂรแมขćย เปนตน
   23
4. รąบบตĂงไมแÿดงขĂคüćมที่ชี้เฉพćąเĀตุขĂงกćรเขćÿูรąบบไมÿํćเร็จ เชน ไมแÿดงขĂคüćมüć บĆญชีผูใชงćนผิด ĀรืĂ รĀĆÿผćนผิด เปนตน
5. ĀćมเขćÿูรąบบจćกบĆญชีผูใชงćนÿüนบุคคลเดียüกĆนมćกกüćĀนึ่ง Session ในรąบบ เดียüกĆน
6. รąบบตĂงจํćกĆดจํćนüนครĆ้งในกćรพยćยćมเขćÿูรąบบที่ไมÿํćเร็จ แลąตĂงพิจćรณćเงื่Ăนไข ตĂไปนี้
   (ก) กćรเก็บบĆนทึกผลกćรเขćÿูรąบบทĆ้งที่ÿํćเร็จแลąไมÿํćเร็จ
   (ข) ĀนüงรąยąเüลćในกćรเขćใชงćนรąบบครĆ้งตĂไป
   (ค) กćรตĆดกćรเชื่ĂมตĂ
   (ง) กćรแÿดงขĂคüćมเตืĂนที่ĀนćจĂขĂงผูดูแลรąบบเมื่Ăมีกćรเขćÿูรąบบเกินจํćนüนคร้งĆ ที่จํćกĆดไü
7. รąบบตĂงแÿดงüĆน เüลć ในกćรเขćÿูรąบบที่ÿํćเร็จในครĆ้งกĂน พรĂมทĆ้งบĆนทึกจํćนüนครĆ้ง ที่พยćยćมเขćไมÿํćเร็จนĆบแตกćรเขćÿูรąบบที่ÿํćเร็จในครĆ้งกĂนขĂงผูใชงćน
8. รąบบตĂงไมÿงรĀĆÿผćนแบบ Clear text ผćนรąบบเครืĂขćยÿื่ĂÿćรขĂมูล
9. ผูดูแลรąบบตĂงกํćĀนดจํćนüนครĆ้งที่ยĂมใĀใÿรĀĆÿผćนผิดไดไมเกิน 5 คร้ง Ć
   5.2 กćรรąบุแลąพิÿูจนตĆüตนขĂงผูใชงćน (User identification and authentication) ผูดูแลรąบบ ตĂงจĆดใĀผูใชงćนมีบĆญชีผูใชงćนขĂงแตลąบุคคลเพื่ĂใชพิÿูจนตĆüตนในกćรเขćถึงรąบบ เทคโนโลยีÿćรÿนเทý แลąตĂงใชรąบบเทคโนโลยีÿćรÿนเทýพิÿูจนตĆüตนผูใชงćนในกćรเขćถึง รąบบปฏิบĆติกćร โดยผćนรąบบ Active directory ĀรืĂ Lightweight Derectory Access Protocol (LDAP) ทุกครĆ้ง พรĂมทĆ้งบĆนทึกขĂมูลกćรเขćถึง
   5.3 กćรใชงćนโปรแกรมปรąเภทยูทิลิตี้ (Use of system utilities)
   ผูดูแลรąบบ ตĂงคüบคุมกćรใชงćนโปรแกรมปรąเภทยูทิลิตี้บนรąบบที่ใชงćนจริง (Production system) ดĆงนี้ 5.3.1 ตĂงจĆดทํćบĆญชีโปรแกรมปรąเภทยูทิลิตี้ (System utilities) ที่นํćมćใชงćน
   5.3.2 กํćĀนดคüćมรĆบผิดชĂบในกćรใชโปรแกรมปรąเภทยูทิลิตี้ (System utilities) แตลąรćยกćร ĂยćงชĆดเจนแลąÿื่ĂÿćรใĀผูเกี่ยüขĂงทรćบเพื่ĂถืĂปฏิบĆติ
   5.3.3 ใĀมีกćรพิÿูจนตĆüตน แลąกํćĀนดÿิทธิ์ในกćรใชงćนโปรแกรมปรąเภทยูทิลิตี้เฉพćąกลุมคนที่มี Āนćที่รĆบผิดชĂบ
   5.3.4 มีกćรบĆนทึกเĀตุกćรณ (Log) กćรใชงćนโปรแกรมปรąเภทยูทิลิตี้ แลąตĂงÿĂบทćนจćกผูดูแล รąบบĂยćงÿม่ํćเÿมĂ
   5.3.5 ตĂงทํćกćรเพิกถĂนĀรืĂรąงĆบโปรแกรมปรąเภทยูทิลิตี้ที่ไมจํćเปน
   5.4 กćรĀมดเüลćกćรใชงćนรąบบÿćรÿนเทý (Session time-out)
   5.4.1 ผูดูแลรąบบตĂงกํćĀนด Session time-out ขĂงรąบบเทคโนโลยีÿćรÿนเทýที่ไมมีกćรใชงćนภćยใน รąยąเüลć 15 นćที ทĆ้งนี้ ถćรąบบที่ไมÿćมćรถตĆดกćรเชื่ĂมตĂแบบĂĆตโนมĆติได กํćĀนดใĀใช โปรแกรมพĆกĀนćจĂที่ตĂงใÿรĀĆÿผćนĀรืĂกํćĀนดใĀมีกćรล็ĂกĀนćจĂ
   5.4.2 ผูดูแลรąบบ แลąผูใชงćน ตĂงตĆ้งคćใĀมีโปรแกรมพĆกĀนćจĂที่ตĂงใÿรĀĆÿผćนÿํćĀรĆบเครื่Ăง คĂมพิüเตĂรÿüนบุคคล เครื่ĂงคĂมพิüเตĂรแบบพกพć แลąเครื่ĂงคĂมพิüเตĂรแมขćย ทĆ้งนี้
   24
   โปรแกรมพĆกĀนćจĂกํćĀนดใĀปĂนรĀĆÿผćนĀลĆงจćกที่มีกćรทิ้งเครื่ĂงดĆงกลćüไüโดยไมมีกćรใชงćน เปนเüลć 15 นćที
   5.5 กćรจํćกĆดรąยąเüลćกćรเชื่ĂมตĂรąบบÿćรÿนเทý (Limitation of connection time) 5.5.1 ผูดูแลรąบบ ตĂงจํćกĆดรąยąเüลćในกćรเชื่ĂมตĂรąบบÿćรÿนเทýที่มีคüćมÿํćคĆญÿูง โดยตĂง คํćนึงถึงรąยąเüลćที่จํćเปนในกรąบüนกćรดํćเนินงćนทćงธุรกิจ ไดแก กํćĀนดใĀเขćใชงćนได ในชüงเüลćทํćกćรขĂง รฟม. 08.00 น. – 17.00 น. แลąเชื่ĂมตĂเพื่Ăใชงćนไดคร้งลĆ ąไมเกิน 3 ชĆ่üโมง 5.5.2 ผูใชงćน ĀćกมีคüćมจํćเปนตĂงใชงćนนĂกเüลćที่กํćĀนดตĂงขĂĂนุมĆติจćกผูบĆงคĆบบĆญชćเทćนĆ้น 6. กćรคüบคุมกćรเขćถึงโปรแกรมปรąยุกตแลąÿćรÿนเทý (Application and information access control) ใĀมีกćรจํćกĆดกćรเขćถึงÿćรÿนเทý แลąกćรแยกรąบบเทคโนโลยีÿćรÿนเทýที่มีคüćมÿํćคĆญÿูงไüในบริเüณที่ คüบคุมเฉพćą
   6.1 กćรจํćกĆดกćรเขćถึงÿćรÿนเทý (Information access restriction)
   6.1.1 เจćขĂงขĂมูลแลąผูดูแลรąบบตĂงกํćĀนดÿิทธิ์กćรเขćถึงแกผูใชงćนเทćที่จํćเปนตĂงใชในกćร ปฏิบĆติงćน โดยกćรใĀÿิทธิ์ตĂงพิจćรณćในเรื่ĂงดĆงตĂไปนี้
10. กćรจํćกĆดไมใĀใชตĆüเลืĂก (Options) ที่ไมไดรĆบĂนุญćต
11. กćรจํćกĆดกćรเขćถึง Command Line
12. กćรจํćกĆดกćรเขćถึงขĂมูลแลąฟงกชĆนกćรใชงćนขĂงแĂปพลิเคชĆน (Application) ที่ไมเกี่ยüขĂงกĆบ Āนćที่คüćมรĆบผิดชĂบ
13. กćรจํćกĆดรąดĆบÿิทธิ์ในกćรเขćถึงไฟล เชน ĂćนĂยćงเดียü เปนตน
14. กćรคüบคุมกćรแจกจćย กćรเขćถึงขĂมูล กćรนํćขĂมูลĂĂกจćกรąบบÿćรÿนเทý เชน รćยงćน เปนตน
    6.1.2 เจćขĂงขĂมูลแลąผูดูแลรąบบ คüรกํćĀนดใĀรąบบÿćรÿนเทýรĂงรĆบกćรกํćĀนดÿิทธิ์ในกćร เขćถึงแบบกลุมได
    6.2 กćรแยกรąบบÿćรÿนเทýที่ไüตĂกćรรบกüน (Sensitive system isolation) มีผลกรąทบตĂคนกลุมใĀญ ĀรืĂรąบบ ที่มีคüćมÿํćคĆญตĂĀนüยงćน ตĂงดํćเนินกćรดĆงนี้
    6.2.1 เจćขĂงขĂมูลแลąผูดูแลรąบบ แยกรąบบซึ่งไüตĂกćรรบกüนĂĂกจćกรąบบĂื่น ๆ แลąคüบคุม ÿภćพแüดลĂมขĂงรąบบโดยเฉพćą ไดแก รąบบ File sharing รąบบÿćรÿนเทýทćงกćรเงิน แลąรąบบ Active directory โดยเขćถึงไดทĆ้งĂุปกรณคĂมพิüเตĂรแลąÿื่Ăÿćรเคลื่Ăนที่แลąกćร ปฏิบĆติงćนจćกภćยนĂกĂงคกร (Mobile computing and teleworking)
    6.2.2 ผูดูแลรąบบตĂงคüบคุมĂุปกรณคĂมพิüเตĂรแลąĂุปกรณเคลื่Ăนที่แลąกćรปฏิบĆติงćนจćก ภćยนĂกĀนüยงćน (Mobile computing and teleworking) ที่เกี่ยüขĂงกĆบรąบบดĆงกลćü 6.2.3 เจćขĂงขĂมูลที่เปนเจćขĂงรąบบÿćรÿนเทýที่มีคüćมÿํćคĆญÿูงตĂงเปนผูĂนุญćต ในกรณีที่รąบบ ÿćรÿนเทýที่มีคüćมÿํćคĆญÿูงมีคüćมจํćเปนตĂงทํćงćนรüมกĆบรąบบÿćรÿนเทýĂื่นที่มีคüćมÿํćคĆญนĂยกüć 7. กćรคüบคุมกćรปฏิบĆติงćนจćกภćยนĂก รฟม. (Teleworking)
    7.1 ผูดูแลรąบบตĂงกํćĀนดใĀมีกćรพิÿูจนตĆüตนกĂนกćรใชงćน แลąเชื่ĂมตĂผćนชĂงทćงที่มีคüćมปลĂดภĆยที่ มีเทคโนโลยีเขćรĀĆÿปĂงกĆน
    25
    7.2 ผูดูแลรąบบตĂงทํćกćรถĂดถĂนÿิทธิ์ในกćรเขćถึงขĂงผูใชงćนจćกภćยนĂกÿํćนĆกงćน เมื่ĂครบกํćĀนด รąยąเüลćที่ขĂĂนุญćต
    7.3 ผูใชงćน ĀćกจํćเปนตĂงมีกćรปฏิบĆติงćนจćกภćยนĂกÿํćนĆกงćนขĂง รฟม. ตĂงไดรĆบกćรĂนุญćตจćก ผูบĆงคบบĆ ĆญชćĂยćงเปนลćยลĆกþณĂĆกþร ในกรณีเรงดüนÿćมćรถดํćเนินกćรกĂน โดยแจงใĀผูบĆงคĆบบĆญชć รĆบทรćบดüย โดยผูบĆงคĆบบĆญชćตĂงพิจćรณćเงื่Ăนไขในกćรเตรียมกćร ดĆงตĂไปนี้
15. คüćมมĆ่นคงปลĂดภĆยทćงกćยภćพแลąÿภćพแüดลĂมขĂงกćรปฏิบĆติงćนจćกภćยนĂก รฟม. 2) คüćมมĆ่นคงปลĂดภĆยทćงกćรÿื่Ăÿćร โดยยึดจćกรąดĆบคüćมÿํćคĆญ (Sensitivity) ขĂงขĂมูลที่จą ถูกเขćถึงแลąÿงผćนชĂงทćงกćรเชื่ĂมตĂÿื่Ăÿćร (Communication link) รüมถึงรąดĆบ คüćมÿํćคĆญ (Sensitivity) ขĂงรąบบภćยใน รฟม.
    7.4 ผูใชงćนตĂงจĆดเก็บเĂกÿćรที่เปนคüćมลĆบในĂุปกรณที่ล็Ăกไดแลąมีกćรคüบคุมกćรเขćถึง โดยใชĀลĆกเกณฑกćร รĆกþćคüćมลĆบเชนเดียüกĆบÿćรÿนเทýที่ĂยูในÿํćนĆกงćนขĂง รฟม.
    7.5 ผูใชงćน ตĂงติดตĆ้งโปรแกรมปĂงกĆนไüรĆÿแลą Personal firewall ÿํćĀรĆบĂุปกรณÿüนตĆüที่ใชเชื่ĂมตĂ เครืĂขćยขĂง รฟม. จćกภćยนĂก

8. ผูบĆงคĆบบĆญชć ตĂงคüบคุมกćรใชงćนขĂมูลÿüนบุคคลใĀมีกćรใชงćนที่ÿĂดคลĂงกĆบกฎĀมćย พรąรćชบĆญญĆติ กฎรąเบียบ ขĂบĆงคĆบที่เกี่ยüขĂง เชน พรąรćชบĆญญĆติคุมครĂงขĂมูลÿüนบุคคล พ.ý. 2562

26
ÿüนที่ 7
การคüบคุมการเขาถึงระบบเครือขายไรÿาย
üัตถุประÿงค
▪ เพื่ĂกํćĀนดมćตรกćรในกćรคüบคุมกćรเขćถึงรąบบเครืĂขćยไรÿćย (Wireless LAN) ขĂง รฟม. โดยกćรกํćĀนด ÿิทธิ์ขĂงผูใชงćนในกćรเขćถึงรąบบใĀเĀมćąÿมตćมĀนćที่คüćมรĆบผิดชĂบในกćรปฏิบĆติงćน รüมทĆ้งมีกćรทบทüน ÿิทธิ์กćรเขćถึงĂยćงÿม่ํćเÿมĂ
▪ เพื่ĂÿรćงคüćมมĆ่นคงปลĂดภĆยขĂงกćรใชงćนรąบบเครืĂขćยไรÿćย
ผูรับผิดชอบ
▪ ผูดูแลรąบบ
▪ ผูใชงćน
อางอิงมาตรฐาน: ISO/IEC 27001: 2022
▪ มćตรกćรคüบคุมดćนĂงคกร (Organizational Controls)
▪ มćตรกćรคüบคุมดćนเทคโนโลยี (Technological Controls)
แนüปฏิบัติ

1. ผูใชงćนที่ตĂงกćรเขćถึงรąบบเครืĂขćยไรÿćยขĂง รฟม. ตĂงลงทąเบียนกĆบผูดูแลรąบบ แลąตĂงไดรĆบกćร Ăนุญćตจćก ฝทท. ĂยćงเปนลćยลĆกþณĂĆกþร
2. ผูดูแลรąบบตĂงกํćĀนดมćตรฐćนคüćมปลĂดภĆยขĂงรąบบเครืĂขćยไรÿćยไมต่ํćกüćมćตรฐćน WPA2 3. ผูดูแลรąบบตĂงลงทąเบียนกํćĀนดÿิทธิ์ผูใชงćนในกćรเขćถึงรąบบเครืĂขćยไรÿćยใĀเĀมćąÿมกĆบĀนćที่ คüćมรĆบผิดชĂบในกćรปฏิบĆติงćน รüมทĆ้งมีกćรทบทüนÿิทธิ์กćรเขćถึงĂยćงÿม่ํćเÿมĂ
3. ผูดูแลรąบบตĂงลงทąเบียนĂุปกรณทุกตĆüที่ใชติดตĂรąบบเครืĂขćยไรÿćย
4. ผูดูแลรąบบ ตĂงกํćĀนดตํćแĀนงกćรüćงĂุปกรณ Access Point (AP) ไมใĀÿĆญญćณขĂงĂุปกรณร่ĆüไĀลĂĂกไป นĂกบริเüณที่ใชงćน เพื่ĂปĂงกĆนไมใĀผูโจมตีใช Access Point (AP) ขĂง รฟม. รĆบ - ÿงÿĆญญćณได 6. ผูดูแลรąบบตĂงเลืĂกใชกํćลĆงÿงใĀเĀมćąÿมกĆบพื้นที่ใชงćนแลąตĂงÿํćรüจüćÿĆญญćณรĆ่üไĀลĂĂกไปภćยนĂก ĀรืĂไม นĂกจćกนี้กćรใชเÿćĂćกćýพิเýþที่ÿćมćรถกํćĀนดทิýทćงกćรแพรกรąจćยขĂงÿĆญญćณĂćจชüยลดกćร รĆ่üไĀลขĂงÿĆญญćณใĀดีขึ้น
5. ผูดูแลรąบบตĂงเปลี่ยนคć SSID (Service Set Identifier) ที่ถูกกํćĀนดเปนคć Default มćจćกผูผลิตทĆนทีที่นํć Access Point (AP) มćใชงćน
6. ผูดูแลรąบบตĂงเปลี่ยนคćชื่Ă Login แลąรĀĆÿผćนÿํćĀรĆบกćรตĆ้งคćกćรทํćงćนขĂงĂุปกรณไรÿćย แลąผูดูแลรąบบ ตĂงเลืĂกใชชื่Ă Login แลąรĀĆÿผćนที่มีคüćมคćดเดćไดยćกเพื่ĂปĂงกĆนผูโจมตีไมใĀÿćมćรถเดćĀรืĂเจćąรĀĆÿ ไดโดยงćย
7. ผูดูแลรąบบตĂงคüบคุม MAC address ชื่Ăผูใช (Username) แลąรĀĆÿผćน (Password) ขĂงผูใชงćนที่มีÿิทธิ์ ในกćรเขćใชงćนรąบบเครืĂขćยไรÿćย โดยĂนุญćตเฉพćąผูใชงćนที่ไดรĆบĂนุญćตใĀเขćใชเครืĂขćยไรÿćยไดĂยćง ถูกตĂงเทćนĆ้น
8. ผูดูแลรąบบตĂงตรüจÿĂบคüćมมĆ่นคงปลĂดภĆยขĂงรąบบเครืĂขćยไรÿćยĂยćงÿม่ํćเÿมĂ แลąบĆนทึกเĀตุกćรณ นćÿงÿĆยที่เกิดขึ้นในรąบบเครืĂขćยไรÿćยตćมขĆ้นตĂนที่ รฟม. กํćĀนด
   27
   ÿüนที่ 8
   การคüบคุมĀนüยงานภายนอกและผูใชงานภายนอกเขาถึงระบบเทคโนโลยีÿารÿนเทý
   üัตถุประÿงค
   ▪ เพื่ĂคüบคุมĀนüยงćนภćยนĂกแลąผูใชงćนภćยนĂกที่มีกćรเขćใชงćนรąบบเทคโนโลยีÿćรÿนเทýขĂง รฟม. ใĀเปนไปĂยćงมĆ่นคงปลĂดภĆย
   ผูรับผิดชอบ
   ▪ ผูดูแลรąบบ
   ▪ ผูบĆงคĆบบĆญชć
   ▪ ĀนüยงćนภćยนĂก
   ▪ ผูใชงćน (บุคคลภćยนĂก)
   อางอิงมาตรฐาน: ISO/IEC 27001: 2022
   ▪ มćตรกćรคüบคุมดćนĂงคกร (Organizational Controls)
   ▪ มćตรกćรคüบคุมดćนกćยภćพ (Physical Controls)
   แนüปฏิบัติ
9. ผูดูแลรąบบตĂงปรąเมินคüćมเÿี่ยงจćกกćรเขćถึงรąบบเทคโนโลยีÿćรÿนเทý ĀรืĂĂุปกรณที่ใชในกćรปรąมüลผล โดยĀนüยงćนภćยนĂกแลąผูใชงćนภćยนĂก แลąกํćĀนดมćตรกćรรĂงรĆบĀรืĂแกไขที่เĀมćąÿมกĂนที่จąĂนุญćตใĀ เขćถึงรąบบเทคโนโลยีÿćรÿนเทýขĂง รฟม.
10. กćรคüบคุมกćรเขćใชงćนรąบบเทคโนโลยีÿćรÿนเทýขĂงĀนüยงćนภćยนĂกแลąผูใชงćนภćยนĂก 2.1 เจćขĂงขĂมูลตĂงเปนผูĂนุญćตกćรใĀÿิทธิ์แกĀนüยงćนภćยนĂกแลąผูใชงćนภćยนĂกที่ตĂงกćรÿิทธิ์ในกćรเขć ใชงćนรąบบÿćรÿนเทýขĂง รฟม. ĂยćงเปนลćยลĆกþณĂĆกþร
    2.2 ผูบĆงคบบĆ ĆญชćตĂงกํćĀนดใĀมีกćรลงนćมกćรไมเปดเผยขĂมูลที่ÿํćคĆญแลąเปนคüćมลĆบขĂง รฟม. 2.3 ผูบĆงคĆบบĆญชć ตĂงคüบคุมใĀมีกćรกํćĀนดขĂตกลงแลąคüćมรĆบผิดชĂบที่เกี่ยüขĂงกĆบคüćมเÿี่ยง ดćนคüćมมĆ่นคงปลĂดภĆยÿćรÿนเทýลงในÿĆญญćกĆบĀนüยงćนภćยนĂกที่ใĀบริกćรดćนÿćรÿนเทýแลą บริกćรดćนกćรÿื่Ăÿćร โดยใĀครĂบคลุมรüมถึงผูรĆบจćงชüง
    2.4 ผูบĆงคĆบบĆญชćตĂงกํćĀนดใĀจĆดทํćเĂกÿćรแบบฟĂรมÿํćĀรĆบใĀĀนüยงćนภćยนĂกแลąผูใชงćนภćยนĂก รąบุเĀตุผลคüćมจํćเปนที่ตĂงเขćใชงćนรąบบเทคโนโลยีÿćรÿนเทý ซึ่งมีรćยลąเĂียด ดĆงนี้
    2.4.1 เĀตุผลในกćรขĂใช
    2.4.2 รąยąเüลćในกćรใช
    2.4.3 กćรตรüจÿĂบคüćมปลĂดภĆยขĂงĂุปกรณที่เชื่ĂมตĂเครืĂขćย
    2.4.4 กćรตรüจÿĂบ MAC address ขĂงเครื่ĂงคĂมพิüเตĂรที่เชื่ĂมตĂ
    2.5 ผูดูแลรąบบมีÿิทธิ์ในกćรตรüจÿĂบกćรใชงćนรąบบเทคโนโลยีÿćรÿนเทýขĂงĀนüยงćนภćยนĂกแลą ผูใชงćนภćยนĂก เพื่ĂคüบคุมกćรใชงćนไดĂยćงมĆ่นคงปลĂดภĆยตćมÿĆญญć
    28
    2.6 ผูดูแลรąบบตĂงคüบคุมใĀĀนüยงćนภćยนĂกจĆดทํćแผนกćรดํćเนินงćน คูมืĂกćรปฏิบĆติงćนแลąเĂกÿćรที่ เกี่ยüขĂง รüมทĆ้งตĂงปรĆบปรุงใĀทĆนÿมĆยĂยูเÿมĂ เพื่ĂใชÿํćĀรĆบคüบคุมĀรืĂตรüจÿĂบกćรทํćงćน แลą เพื่ĂใĀมĆ่นใจüćกćรปฏิบĆติงćนเปนไปตćมขĂบเขตที่ไดกํćĀนดไü
11. ผูดูแลรąบบตĂงแจงแนüปฏิบĆติตćง ๆ ที่เกี่ยüขĂงแกĀนüยงćนภćยนĂกแลąผูใชงćนภćยนĂกเพื่ĂใĀปฏิบĆติตćม 4. ผูดูแลรąบบ ตĂงกํćกĆบดูแลĀนüยงćนภćยนĂกแลąผูใชงćนภćยนĂกใĀปฏิบĆติตćมÿĆญญćĀรืĂขĂตกลงกćร ใĀบริกćรที่รąบุไü ซึ่งตĂงครĂบคลุมถึงดćนคüćมมĆ่นคงปลĂดภĆย
12. ผูดูแลรąบบ ตĂงติดตćม ตรüจÿĂบรćยงćนĀรืĂบĆนทึกกćรใĀบริกćรขĂงĀนüยงćนภćยนĂกตćมที่üćจćงĂยćง ÿม่ํćเÿมĂตćมÿĆญญćüćจćง
13. ผูดูแลรąบบ ตĂงกํćĀนดขĆ้นตĂนแลąชĂงทćงในกćรติดตĂกĆบĀนüยงćนภćยนĂกที่มีĀนćที่ในกćรกํćกĆบดูแล ĀรืĂ Āนüยงćนที่เกี่ยüขĂงกĆบกćรบĆงคĆบใชกฎĀมćย รüมทĆ้งĀนüยงćนที่คüบคุมดูแลÿถćนกćรณฉุกเฉินภćยใต ÿถćนกćรณตćง ๆ ไüĂยćงชĆดเจน
14. ผูดูแลรąบบ ตĂงมีขĆ้นตĂนแลąชĂงทćงในกćรติดตĂกĆบĀนüยงćนภćยนĂกที่มีคüćมเชี่ยüชćญเฉพćąดćนĀรืĂ Āนüยงćนที่มีคüćมเชี่ยüชćญดćนคüćมมĆ่นคงปลĂดภĆยดćนÿćรÿนเทýภćยใตÿถćนกćรณตćง ๆ ไüĂยćงชĆดเจน 8. ผูดูแลรąบบตĂงคüบคุมกćรเปลี่ยนแปลงขĂงĀนüยงćนภćยนĂกที่ÿงผลกรąทบตĂกćรใĀบริกćรขĂงĂงคกร แลą
    ตĂงปรąเมินคüćมเÿี่ยงĂยćงเĀมćąÿมเพื่ĂคüบคุมผลกรąทบĂĆนเนื่Ăงมćจćกกćรเปลี่ยนแปลงนĆ้น 9. ĀนüยงćนภćยนĂกแลąผูใชงćนภćยนĂก ตĂงใชงćนทรĆพยÿินÿćรÿนเทýขĂง รฟม. ดüยคüćมรąมĆดรąüĆง แลą รĆกþćคüćมลĆบขĂง รฟม. ไมนํćไปเปดเผย แลąตĂงขĂĂนุญćตพรĂมทĆ้งปฏิบĆติตćมเงื่Ăนไขในกćรเขćถึงรąบบ ÿćรÿนเทýขĂง รฟม. ทุกครĆ้ง
15. ĀนüยงćนภćยนĂกแลąผูใชงćนภćยนĂกตĂงแจงเĀตุกćรณไมปกติตćง ๆ ดćนเทคโนโลยีÿćรÿนเทýที่พบผćน ชĂงทćงที่ รฟม. กํćĀนดโดยเร็üที่ÿุด
16. ĀนüยงćนภćยนĂกแลąผูใชงćนภćยนĂกตĂงจĆดเก็บบĆญชีผูใชงćนที่ รฟม. จĆดทํćไüใĀใชงćนเปนคüćมลĆบ เฉพćą บุคคล ไมเปดเผยใĀผูĂื่นรĆบทรćบ
    29
    ÿüนที่ 9
    การใชงานเครื่องคอมพิüเตอรและอุปกรณเคลื่อนที่ ของ รฟม.
    üัตถุประÿงค
    ▪ เพื่ĂคüบคุมกćรใชงćนทรĆพยÿินขĂง รฟม. ปรąเภทเครื่ĂงคĂมพิüเตĂรแลąĂุปกรณเคลื่Ăนที่ใĀเĀมćąÿม ทĆ้งนี้ เพื่ĂปĂงกĆน กćรÿูญĀćย เÿียĀćย ĀรืĂถูกเขćถึงขĂมูลโดยไมไดรĆบĂนุญćต
    ผูรับผิดชอบ
    ▪ ผูดูแลรąบบ
    ▪ ผูใชงćน
    อางอิงมาตรฐาน: ISO/IEC 27001: 2022
    ▪ มćตรกćรคüบคุมดćนĂงคกร (Organizational Controls)
    ▪ มćตรกćรคüบคุมดćนบุคลćกร (People Controls)
    ▪ มćตรกćรคüบคุมดćนกćยภćพ (Physical Controls)
    ▪ มćตรกćรคüบคุมดćนเทคโนโลยี (Technological Controls)
    แนüปฏิบัติ
17. กćรใชงćนทĆ่üไป
    1.1 ผูดูแลรąบบตĂงกํćĀนดบĆญชีซĂฟตแüรมćตรฐćน (Software standard) ที่ĂนุญćตใĀติดตĆ้งบนเครื่Ăง คĂมพิüเตĂรขĂงผูใชงćน แลąปรบปรุงใ Ć ĀเปนปจจุบĆนเÿมĂ
    1.2 ผูดูแลรąบบตĂงเปนผูกํćĀนดกćรตĆ้งชื่Ăเครื่ĂงคĂมพิüเตĂร (Computer name) เทćน้น Ć 1.3 ผูใชงćนตĂงติดตĆ้งโปรแกรมÿํćĀรĆบคüบคุมกćรใชงćนĂุปกรณเคลื่Ăนที่ (Mobile Device Management: MDM) รüมถึงĂุปกรณĂื่น ๆ ที่ รฟม. ไมÿćมćรถคüบคุมกćรใชงćนผćนรąบบ Active Directory ได 1.4 ผูใชงćนตĂงใชงćนĂยćงมีปรąÿิทธิภćพเพื่ĂงćนขĂง รฟม.
    1.5 ผูใชงćนตĂงไมติดตĆ้งโปรแกรมที่ลąเมิดลิขÿิทธิ์บนเครื่ĂงคĂมพิüเตĂรแลąĂุปกรณเคลื่Ăนที่ขĂง รฟม. 1.6 ผูใชงćนตĂงขĂนุญćตติดตĆ้งโปรแกรมในเครื่ĂงคĂมพิüเตĂรแลąĂุปกรณเคลื่Ăนที่ตćมขĆ้นตĂนที่ รฟม. กํćĀนด 1.7 ผูใชงćนตĂงไมติดตĆ้งแลąแกไขเปลี่ยนแปลงโปรแกรมในเครื่ĂงคĂมพิüเตĂรแลąĂุปกรณเคลื่Ăนที่ขĂง รฟม. กćรดํćเนินกćรดĆงกลćüตĂงดํćเนินกćรโดยผูดูแลรąบบเทćนĆ้น
    1.8 ผูใชงćนตĂงýึกþćแลąปฏิบĆติตćมคูมืĂกćรใชงćนเครื่ĂงคĂมพิüเตĂรแลąĂุปกรณเคลื่Ăนที่ĂยćงลąเĂียด เพื่ĂใĀÿćมćรถใชงćนĂยćงปลĂดภĆยแลąมีปรąÿิทธิภćพ
    1.9 ผูใชงćนตĂงไมดĆดแปลงแกไขÿüนปรąกĂบตćง ๆ ขĂงคĂมพิüเตĂรแลąĂุปกรณเคลื่Ăนที่ แลąรĆกþćใĀมีÿภćพเดิม 1.10 ผูใชงćนตĂงแจงซĂมเครื่ĂงคĂมพิüเตĂรแลąĂุปกรณเคลื่Ăนที่ที่ĂยูในคüćมรĆบผิดชĂบขĂง ฝทท. ใĀ ฝทท. เปนผูดํćเนินกćรเทćนĆ้น
    1.11 ผูใชงćนตĂงĂĆปเดต Patch แลąรąบบปฏิบĆติกćรใĀทĆนÿมĆยĂยูเÿมĂ
    1.12 ผูใชงćนตĂงไมÿรćง Shortcut ไüบน Desktop ที่เชื่ĂมตĂไปยĆงขĂมูลÿํćคĆญขĂง รฟม. 1.13 กรณีเครื่ĂงคĂมพิüเตĂรแบบพกพćแลąĂุปกรณเคลื่Ăนที่ ผูใชงćนตĂงปฏิบĆติเพิ่มเติม ดĆงนี้
    30
    1.13.1 ตĂงติดตĆ้ง Application จćก Official Store ĀรืĂเü็บไซตที่ใĀบริกćรผćนโปรโตคĂล https 1.13.2 ไมปรบแตงก Ć ćรเขćถึงรąบบปฏิบĆติกćร (rooted/jailbroken)
    1.13.3 ในกรณีที่มีกćรใชงćนĂุปกรณปรąเภทพกพćในที่ÿćธćรณą ĀĂงปรąชุม แลąพื้นที่ภćยนĂก Ăื่น ๆ ที่ไมมีกćรปĂงกĆน ĀรืĂไมไดĂยูในบริเüณขĂง รฟม. ใĀปĂงกĆนกćรเขćถึงที่ไมไดรĆบĂนุญćต เชน ไมเปดกćรเชื่ĂมตĂแบบไรÿćยโดยไมมีกćรเขćรĀĆÿขĂมูล เปนตน
    1.13.4 ตĂงรąมĆดรąüĆงกćรเคลื่Ăนยćย โดยตĂงใÿกรąเปćเพื่ĂปĂงกĆนĂĆนตรćยที่เกิดจćกกćรกรąทบกรąเทืĂน เชน กćรตกจćกโตąทํćงćนĀรืĂĀลุดมืĂ เปนตน
    1.13.5 ไมใÿในกรąเปćเดินทćงที่เÿี่ยงตĂกćรถูกกดทĆบโดยไมไดตĆ้งใจจćกกćรมีขĂงĀนĆกทĆบĀรืĂĂćจถูก จĆบโยนได
    1.13.6 กćรใชงćนเปนรąยąเüลćนćนเกินไป ในÿภćพที่มีĂćกćýรĂนจĆดตĂงปดเครื่ĂงคĂมพิüเตĂรเพื่Ăเปน กćรพĆกเครื่ĂงÿĆกรąยąĀนึ่งกĂนเปดใชงćนใĀมĂีกครĆ้ง
    1.13.7 Āลีกเลี่ยงกćรใชนิ้üĀรืĂขĂงแข็ง เชน ปลćยปćกกć กดÿĆมผĆÿĀนćจĂ LCD ใĀเปนรĂย ขีดขüนĀรืĂ ทํćใĀจĂ LCD ขĂงเครื่ĂงคĂมพิüเตĂรแบบพกพćแตกเÿียĀćยได
    1.13.8 ไมüćงขĂงทĆบบนĀนćจĂแลąแปนพิมพ
    1.13.9 กćรเคลื่Ăนยćยเครื่Ăงขณąที่เครื่ĂงเปดใชงćนĂยู ใĀทํćกćรยกจćกฐćนภćยใตแปนพิมพ Āćมยćยเครื่ĂงโดยกćรดึงĀนćจĂภćพขึ้น
    1.13.10 ไมคลื่Ăนยćยเครื่Ăงในขณąที่ Harddisk กํćลĆงทํćงćน
    1.13.11 ไมใชĀรืĂüćงใกลÿิ่งที่เปนขĂงเĀลü คüćมชื้น เชน ĂćĀćร น้ํć กćแฟ เครื่Ăงดื่มตćง ๆ เปนตน 1.13.12 ไมüćงใกลĂุปกรณที่มีÿนćมแมเĀล็กไฟฟćแรงÿูง เชน แมเĀล็ก โทรทĆýน ไมโครเüฟ ตูเย็น เปนตน 1.13.13 ไมติดตĆ้งĀรืĂüćงในที่ที่มีกćรÿĆ่นÿąเทืĂน เชน ในยćนพćĀนąที่กํćลĆงเคลื่Ăนที่
    1.13.14 กćรเช็ดทํćคüćมÿąĂćดĀนćจĂภćพตĂงเช็ดĂยćงเบćมืĂที่ÿุด แลąตĂงเช็ดไปในแนüทćง เดียüกĆนĀćมเช็ดแบบĀมุนüน เพรćąจąทํćใĀĀนćจĂมีรĂยขีดขüนได
    1.13.15 รĆบผิดชĂบในกćรปĂงกĆนกćรÿูญĀćย เชน ตĂงล็Ăกเครื่Ăงขณąที่ไมไดใชงćน ไมüćงเครื่Ăงทิ้งไüในที่ ÿćธćรณą ĀรืĂในบริเüณที่มีคüćมเÿี่ยงตĂกćรÿูญĀćย
    1.13.16 นํćติดตĆüไปดüยเÿมĂ เชน ไมลąทิ้ง Ăุปกรณปรąมüลผลปรąเภทพกพćในรถยนต ĀĂงพĆก ในโรงแรม ĀรืĂĀĂงปรąชุม เปนตน ในกรณีที่มีคüćมจํćเปนตĂงลąทิ้งใĀจĆดเก็บไüในÿถćนที่ มĆ่นคงปลĂดภĆย
    1.13.17 ไมเก็บĀรืĂใชงćนในÿถćนที่ที่มีคüćมรĂน คüćมชื้นĀรืĂฝุนลąĂĂงÿูงแลąตĂงรąüĆงปĂงกĆนกćร ตกกรąทบ
    1.13.18 ไมเปลี่ยนแปลงแกไขÿüนปรąกĂบยĂย (Sub component) ที่ติดตĆ้งĂยูภćยใน เชน แบตเตĂรี่ Āนüยคüćมจํć
18. แนüปฏิบĆติในกćรใชรĀĆÿผćน
    ใĀผูใชงćนปฏิบĆติตćมกćรใชงćนรĀĆÿผćน (Password Use) (ÿüนที่ 6)
19. กćรปĂงกĆนจćกโปรแกรมชุดคํćÿĆ่งไมพึงปรąÿงค (Malicious code)
    31
    3.1 ผูดูแลรąบบตĂงคüบคุมกćร Update รąบบปฏิบĆติกćร เü็บเบรćüเซĂร แลąโปรแกรมใชงćนตćง ๆ Ăยćงÿม่ํćเÿมĂ เพื่ĂปดชĂงโĀü (Vulnerability) ที่เกิดขึ้นจćกซĂฟตแüรเปนกćรปĂงกĆนกćรโจมตีจćก ภĆยคุกคćมตćง ๆ
    3.2 ผูดูแลรąบบตĂงติดตĆ้งแลąปรĆบปรุงโปรแกรมปĂงกĆนไüรĆÿใĀทĆนÿมĆยĂยูเÿมĂ
    3.3 ผูใชงćนตĂงไมปดĀรืĂยกเลิกรąบบกćรปĂงกĆนไüรĆÿที่ติดตĆ้งĂยู
    3.4 ผูใชงćนตĂงตรüจÿĂบĀćไüรĆÿจćกÿื่ĂบĆนทึกตćง ๆ เชน Thumb drive แลą Data storage Ăื่น ๆ กĂน นํćมćใชงćนรüมกĆบเครื่ĂงคĂมพิüเตĂรขĂง รฟม.
    3.5 ผูใชงćน ĀćกพบĀรืĂÿงÿĆยüćเครื่ĂงคĂมพิüเตĂรแลąĂุปกรณเคลื่Ăนที่ติดชุดคํćÿĆ่งไมพึงปรąÿงค ใĀรีบยกเลิก เชื่ĂมตĂเครื่ĂงเขćกĆบรąบบเครืĂขćยÿื่ĂÿćรขĂมูลเพื่ĂปĂงกĆนกćรแพรกรąจćยขĂงชุดคํćÿĆ่งที่ไมพึงปรąÿงค ไปยĆงเครื่ĂงĂื่น ๆ ได แลąแจง ฝทท. ทรćบทĆนที
20. กćรÿํćรĂงขĂมูลแลąกćรกูคืน
    4.1 ผูใชงćนตĂงรĆบผิดชĂบในกćรÿํćรĂงขĂมูลจćกเครื่ĂงคĂมพิüเตĂรแลąĂุปกรณเคลื่Ăนที่ไüบนÿื่ĂบĆนทึกĂื่น ๆ เชน รąบบ File Sharing, CD, DVD, External harddisk เปนตน
    4.2 ผูใชงćนมีĀนćที่เก็บรĆกþćÿื่ĂขĂมูลÿํćรĂง (Backup media) ไüในÿถćนที่ที่เĀมćąÿม ไมเÿี่ยงตĂกćรรĆ่üไĀลขĂง ขĂมูลแลąทดÿĂบกćรกูคืนขĂมูลที่ÿํćรĂงไüĂยćงÿม่ํćเÿมĂ
21. ผูดูแลรąบบ ตĂงคüบคุมใĀเครื่ĂงคĂมพิüเตĂรไดรĆบกćรปรĆบตĆ้งคćĂยćงเĀมćąÿม เพื่ĂปĂงกĆนกćรใชงćนĀรืĂติดตĆ้ง Mobile code เชน Active x, Java จćกแĀลงที่ไมนćเชื่ĂถืĂ

32
ÿüนที่ 10
การใชงานอินเทอรเน็ตและÿื่อÿังคมออนไลน
üัตถุประÿงค
▪ เพื่ĂคüบคุมกćรใชงćนĂินเทĂรเน็ตแลąกćรใชงćนÿื่ĂÿĆงคมĂĂนไลน (Social network) ขĂง รฟม. ใĀมีคüćมปลĂดภĆย แลąปĂงกĆนกćรลąเมิดพรąรćชบĆญญĆติüćดüยกćรกรąทํćคüćมผิดเกี่ยüกĆบคĂมพิüเตĂร จนÿงผลกรąทบตĂ รฟม. ผูรับผิดชอบ
▪ ผูดูแลรąบบ
▪ ผูใชงćน
อางอิงมาตรฐาน: ISO/IEC 27001: 2022
▪ มćตรกćรคüบคุมดćนĂงคกร (Organizational Controls)
▪ มćตรกćรคüบคุมดćนเทคโนโลยี (Technological Controls)
แนüปฏิบัติ

1. ผูดูแลรąบบตĂงคüบคุมกćรเชื่ĂมตĂทćงเครืĂขćยÿํćĀรĆบกćรเขćถึงĂินเทĂรเน็ตโดยพิจćรณćเรื่ĂงดĆงตĂไปนี้ 1) ผูดูแลรąบบตĂงไมĂนุญćตใĀใชงćนĂุปกรณ Video streaming Ăุปกรณ audio streaming ĀรืĂ Download ไฟลที่มีขนćดใĀญ ในกรณีที่จํćเปนตĂงไดรĆบกćรĂนุญćตจćกผูบĆงคĆบบĆญชćกĂนเทćนĆ้น

2. ผูดูแลรąบบตĂงจํćกĆดกćรใชงćนĂินเทĂรเน็ตเพื่Ăเรื่ĂงÿüนตĆüĀรืĂที่ไมใชกćรดํćเนินงćนขĂง รฟม. ใĀนĂยที่ÿุด เทćที่เปนไปได เชน กćรรąงĆบกćรเขćถึง Website ที่ไมจํćเป ็น กćรรąงĆบกćรเขćถึง Website ที่มีเนื้ĂĀćตĂงĀćม ตćมพรąรćชบĆญญĆติüćดüยกćรกรąทํćคüćมผิดเกี่ยüกĆบคĂมพิüเตĂร
3. ผูดูแลรąบบตĂงปĂงกĆนไมใĀมีกćรรĆบÿงขĂมูลที่ไมเĀมćąÿมจćกภćยนĂก รฟม. เชน
   (ก) Executable เชน .EXE .COM เปนตน
   (ข) ไฟล (File) เÿียง เชน AUD .WAV แลą.MP3 เปนตน
   (ค) ไฟล (File) üีดิทĆýน เชน .MPG .MPEG .MOV แลą .AVI เปนตน
   (ง) Peer to Peer เชน .torrent เปนตน
   ในกรณีที่มีคüćมจํćเปนตĂงไดรĆบĂนุญćตจćกผูบĆงคĆบบĆญชć แลą ฝทท.
4. ผูดูแลรąบบตĂงกํćĀนดเÿนทćงกćรเชื่ĂมตĂรąบบคĂมพิüเตĂรเพื่ĂกćรเขćใชงćนĂินเทĂรเน็ตที่ตĂง เชื่ĂมตĂผćนรąบบรกĆþćคüćมปลĂดภĆยที่ รฟม. จĆดÿรรไüเทćนĆ้น เชน Proxy, Firewall เปนตน 5) ผูดูแลรąบบตĂงทดÿĂบเÿนทćงÿํćĀรĆบกćรเชื่ĂมตĂĂินเทĂรเน็ตขĂงĂงคกรรąĀüćงเÿนทćงที่ใชงćนจริงแลą เÿนทćงÿํćรĂงĂยćงนĂยปลą 2 ครĆ้ง
5. ผูใชงćนตĂงไมเชื่ĂมตĂรąบบคĂมพิüเตĂรผćนชĂงทćงĂื่น ยกเüนมีคüćมจํćเปนแลąขĂĂนุญćตจćก ฝทท. เปนลćยลĆกþณĂĆกþรแลü
6. ผูใชงćนตĂงขĂĂนุญćตติดตĆ้งซĂฟตแüร (Software) ที่ Download จćกĂินเทĂรเน็ต แลąกćรติดตĆ้งตĂงดํćเนินกćรโดย ผูที่ไดรบมĆ ĂบĀมćยจćกผูดูแลรąบบเทćนĆ้น

2. ผูใชงćนตĂงไมมีเจตนćปดบĆงĀรืĂบิดเบืĂนตĆüตนเมื่ĂมีกćรใชงćนĂินเทĂรเน็ต
   33
3. ผูใชงćนติดตĆ้งโปรแกรมปĂงกĆนไüรĆÿ พรĂมทĆ้งตĂงปรĆบปรุง Virus signature ที่เครื่ĂงคĂมพิüเตĂรÿüนบุคคลแลą เครื่ĂงคĂมพิüเตĂรพกพćใĀมีคüćมทĆนÿมĆยĂยูเÿมĂ กĂนทํćกćรเชื่ĂมตĂĂินเทĂรเน็ตผćนเü็บเบรćüเซĂร (Web browser) แลąตĂงปดชĂงโĀüขĂงรąบบปฏิบĆติกćรที่เü็บเบรćüเซĂรติดตĆ้งĂยู
4. ผูใชงćนจąตĂงตรüจÿĂบไüรĆÿ (Virus scanning) กĂนกćรรบ - Ć ÿงขĂมูลคĂมพิüเตĂรผćนทćงĂินเทĂรเน็ต 5. ผูใชงćนตĂงไมใชเครืĂขćยĂินเทĂรเน็ตขĂง รฟม. เพื่ĂĀćปรąโยชนในเชิงธุรกิจÿüนตĆü แลąทํćกćรเขćÿู เü็บไซตที่ ไมเĀมćąÿม เชน เü็บไซตที่ขĆดตĂýีลธรรม เü็บไซตที่มีเนื้ĂĀćที่ขĆดตĂชćติ ýćÿนć พรąมĀćกþĆตริย ĀรืĂเü็บไซตที่ เปนภĆยตĂÿĆงคม เปนตน
5. ผูใชงćนจąถูกกํćĀนดÿิทธิ์ในกćรเขćถึงแĀลงขĂมูลตćมĀนćที่คüćมรĆบผิดชĂบเพื่ĂปรąÿิทธิภćพขĂงเครืĂขćยแลą คüćมปลĂดภĆยทćงขĂมูลขĂง รฟม.
6. ผูใชงćนตĂงĀลีกเลี่ยงกćรกรąทํćที่ÿิ้นเปลืĂงทรĆพยćกรขĂงเครืĂขćยĂินเทĂรเน็ต ดĆงนี้ (ก) ÿงจดĀมćยĂิเล็กทรĂนิกÿลูกโซ
   (ข) ใชเüลćในกćรเขćถึงĂินเทĂรเน็ตเกินคüćมจํćเปนยกเüนเพื่ĂปฏิบĆติงćนใĀ รฟม.
   (ค) เลนเกม Online
   (ง) เขćĀĂงพูดคุย Online ที่ไมไดมีüĆตถุปรąÿงคเพื่ĂปฏิบĆติงćนใĀ รฟม.
7. ผูใชงćนตĂงไมเผยแพรขĂมูลที่เปนกćรĀćปรąโยชนÿüนตĆüĀรืĂขĂมูลที่ไมเĀมćąÿมทćงýีลธรรม ĀรืĂขĂมูลที่ ลąเมิดÿิทธิ์ขĂงผูĂื่น ĀรืĂขĂมูลที่ĂćจกĂคüćมเÿียĀćยใĀกĆบ รฟม.
8. ผูใชงćนตĂงไมเปดเผยขĂมูลÿํćคĆญที่เปนคüćมลĆบเกี่ยüกĆบงćนขĂง รฟม.
9. ผูใชงćนตĂงไมนํćเขćขĂมูลคĂมพิüเตĂรใด ๆ ที่มีลĆกþณąĂĆนเปนเท็จ ĂĆนเปนคüćมผิดเกี่ยüกĆบคüćมมĆ่นคงแĀง รćชĂćณćจĆกร ĂĆนเปนคüćมผิดเกี่ยüกĆบกćรกĂกćรรćย ĀรืĂภćพที่มีลĆกþณąĂĆนลćมก แลąไมทํćกćรเผยแพรĀรืĂÿง ตĂขĂมูลคĂมพิüเตĂรดงกล Ć ćüผćนĂินเทĂรเน็ต
10. ผูใชงćนตĂงไมนํćเขćขĂมูลคĂมพิüเตĂรที่เปนภćพขĂงผูĂื่นแลąภćพนĆ้นเปนภćพที่เกิดจćกกćรÿรćงขึ้น ตĆดตĂ เติม ĀรืĂดĆดแปลงดüยüิธีกćรทćงĂิเล็กทรĂนิกÿĀรืĂüิธีกćรĂื่นใด ที่จąทํćใĀผูĂื่นเÿียĀćย เÿียชื่Ăเÿียง ถูกดูĀมิ่น ถูกเกลียดชĆง ĀรืĂไดรĆบคüćมĂĆบĂćย
11. ผูใชงćนมีĀนćที่ตรüจÿĂบคüćมถูกตĂงแลąคüćมนćเชื่ĂถืĂขĂงขĂมูลคĂมพิüเตĂรที่ĂยูบนĂินเทĂรเน็ตกĂนนํć ขĂมูลไปใชงćน
12. ผูใชงćนตĂงคํćนึงüćขĂมูลจćกĂินเทĂรเน็ตĂćจไมมีคüćมทĆนÿมĆยĀรืĂไมมีคüćมถูกตĂง ผูใชงćนตĂงตรüจÿĂบคüćม ถูกตĂงขĂงขĂมูลจćกแĀลงที่นćเชื่ĂถืĂกĂนที่จąเผยแพรขĂมูลดĆงกลćü
13. ผูใชงćนตĂงรąมĆดรąüĆงกćรดćüนโĀลดโปรแกรมใชงćนจćกĂินเทĂรเน็ต ซึ่งรüมถึง Patch ĀรืĂ Fixes ตćง ๆ จćก ผูขćย ตĂงเปนไปโดยไมลąเมิดทรĆพยÿินทćงปญญć
14. ผูใชงćนตĂงไมใชขĂคüćมที่ยĆ่üยุ ใĀรćยในกćรเÿนĂคüćมคิดเĀ็นที่จąทํćใĀเกิดคüćมเÿื่ĂมเÿียตĂชื่ĂเÿียงขĂง รฟม. กćรทํćลćยคüćมÿĆมพĆนธกĆบเจćĀนćที่ขĂงĀนüยงćนĂื่น ๆ
15. ผูใชงćนตĂงไมบĆนทึกรĀĆÿผćนใน Web browser (Remember password) เพื่ĂปĂงกĆนบุคคลĂื่นที่ÿćมćรถ เขćถึงคĂมพิüเตĂรขĂงผูใชงćนนํćรĀĆÿผćนดĆงกลćüไปใชงćนในĂินเทĂรเน็ตโดยไมไดรĆบĂนุญćต
    34
16. ผูใชงćนตĂงไม Download เĂกÿćร ĀรืĂÿćรÿนเทýตćง ๆ เชน ขĂมูล รูปภćพ üิดีโĂ เÿียง แลąซĂฟตแüร (Software) ที่ลąเมิดลิขÿิทธิ์ ĀรืĂผิดกฎĀมćย
17. ผูใชงćนตĂงปดเü็บเบรćüเซĂรเพื่ĂปĂงกĆนกćรเขćใชงćนโดยบุคคลĂื่น ๆ ภćยĀลĆงจćกใชงćนĂินเทĂรเน็ตเÿร็จแลü 19. กćรใชงćนÿื่ĂÿĆงคมĂĂนไลน (Social network)
    19.1 ผูใชงćนตĂงรąมĆดรąüĆงในกćรนํćเÿนĂขĂมูลขćüÿćร กćรÿงขĂคüćม ĀรืĂกćรแÿดงคüćมคิดเĀ็นผćน ÿื่ĂÿĆงคมĂĂนไลนเพื่ĂไมกĂใĀเกิดคüćมเÿียĀćยแก รฟม.
    19.2 ผูใชงćนตĂงรąมĆดรąüĆงในกćรใชÿื่ĂÿĆงคมĂĂนไลน เนื่Ăงจćกพื้นที่บนÿื่ĂÿĆงคมĂĂนไลนเปนพื้นที่ ÿćธćรณąไมใชพื้นที่ÿüนบุคคล ซึ่งขĂมูลกćรใชงćนตćง ๆ จąถูกบĆนทึกไüแลąĂćจมีผลทćงกฎĀมćย ถึงแมจąเปนกćรแÿดงคüćมคิดเĀ็นในนćมชื่ĂบĆญชีÿüนตĆü แลąพึงตรąĀนĆกถึงผลกรąทบที่Ăćจเกิด ขึ้นกĆบ รฟม. ได
    19.3 ผูใชงćนที่ใชÿื่ĂÿĆงคมĂĂนไลนเปนเครื่ĂงมืĂÿื่ĂÿćรขĂมูลในกิจกćรขĂง รฟม. ĀรืĂชื่Ăบุคคลที่ทํćใĀเขćใจ ไดüćเปนบุคคลในÿĆงกĆด ตĂงแÿดงภćพ แลąขĂมูลใĀถูกตĂงชĆดเจนในขĂมูล โปรไฟล (Profile) แลąพึง ใชดüยคüćมÿุภćพแลąมีüิจćรณญćณ
    19.4 ผูใชงćนคüรตĆ้งคํćถćมที่ใชในกรณีกูคืนบĆญชีผูใชงćนĀรืĂกูคืนรĀĆÿผćน (Forgot your password) คüรเลืĂกใชขĂมูลĀรืĂคํćถćมที่เปนÿüนบุคคลแลąเปนขĂมูลที่ผูĂื่นคćดเดćไดยćกเพื่ĂปĂงกĆนกćรÿุมคํćถćม จćกผูปรąÿงครćย
    19.5 ผูใชงćนตĂงไมใชรąบบĂีเมลขĂงเü็บไซตปรąเภทÿื่ĂÿĆงคมĂĂนไลน ĀćกจํćเปนตĂงใชจąตĂงรąมĆดรąüĆง ในกćรคลิกลิงกที่นćÿงÿĆย โดยเฉพćąĂีเมลแจงเตืĂนจćกเü็บไซตตćง ๆ ในลĆกþณąเชื้ĂเชิญใĀคลิกลิงกที่ แนบมćในĂีเมล ผูใชงćนตĂงÿงÿĆยüćลิงกดĆงกลćüเปนลิงกที่ไมปลĂดภĆย (ลิงกที่ถูกÿรćงมćเพื่ĂใชขโมยขĂมูล ÿüนบุคคล ดüยกćรนํćไปÿูเü็บไซตที่ดูนćเชื่ĂถืĂที่ผูปรąÿงครćยÿรćงไüเพื่ĂใĀผูใชงćนกรĂกขĂมูล ÿüนตĆü เชน รĀĆÿผćน เปนตน)
    19.6 ผูใชงćนตĂงýึกþćกćรตĆ้งคćคüćมเปนÿüนตĆüĀรืĂ “Privacy settings” ใĀเขćใจเปนĂยćงดีแลą ปรĆบแตงกćรตĆ้งคćคüćมเปนÿüนตĆüใĀเĀมćąÿมเพื่ĂปĂงกĆนกćรถูกลąเมิดคüćมเปนÿüนตĆüซึ่ง ĂćจจąÿงผลกรąทบตĂตนเĂงĀรืĂ รฟม.
    19.7 ผูใชงćนตĂงใชงćนÿื่ĂÿĆงคมĂĂนไลนĂยćงเĀมćąÿม โดยไมลąเมิดกฎĀมćยแลąไมกĂใĀเกิดคüćมเÿียĀćยĀรืĂ ÿงผลกรąทบตĂกćรทํćงćนขĂงĂงคกร
    19.8 ผูใชงćนคüรปดกćรใชงćนรąบบโพÿตขĂคüćมÿćธćรณąทุก ๆ ÿüนขĂงเü็บไซตปรąเภท Social network Āćก จํćเปนตĂงใชงćนตĂงปรĆบคćใĀมีกćรตรüจÿĂบขĂคüćมกĂนเพื่ĂĀลีกเลี่ยงโĂกćÿแพรกรąจćยลิงกที่ไม ปลĂดภĆยจćกผูปรąÿงครćย ซึ่งเปนĀนึ่งในเทคนิคที่ใชในกćรโจมตีปรąเภท Spear-phishing
    19.9 ผูใชงćนตĂงตรüจÿĂบกĂนจąรĆบเพื่Ăนเขćกลุมในเü็บไซตปรąเภท Social network โดยตĂงแนใจüć ขĂมูลÿüนตĆüขĂงเพื่ĂนคนนĆ้น เชน รูปถćยแลąปรąüĆติÿüนตĆüไมถูกแกไขเพื่ĂปลĂมแปลงตĆüตนจćก ผูปรąÿงครćยที่ĀüĆงแĂบĂćงเพื่ĂคุกคćมเปćĀมćย
    35
    19.10 ผูใชงćนตĂงตรąĀนĆกไüเÿมĂüćขĂมูลตćง ๆ ที่ผูใชงćนเผยแพรไüบนบริกćรÿื่ĂÿĆงคมĂĂนไลนนĆ้นคงĂยู ถćüรแลąผูĂื่นĂćจเขćถึงแลąเผยแพรขĂมูลเĀลćนĆ้นได
    19.11 ผูใชงćนตĂงมีขĂพิจćรณćในกćรรĆบเพื่Ăนเขćกลุมที่ชĆดเจน แลąคüรปรąกćýขĂคüćมปฏิเÿธคüćม รĆบผิดชĂบที่เกี่ยüกĆบเนื้ĂĀćĀรืĂขĂคüćมแÿดงคüćมคิดเĀ็นซึ่งถูกโพÿตจćกเพื่Ăนในกลุมที่Ăćจปรćกฏใน เü็บไซตปรąเภท Social network ขĂงผูใชงćนเĂง
    19.12 ผูใชงćนตĂงติดตĆ้งซĂฟตแüรปĂงกĆนไüรĆÿ แลąĂĆปเดตฐćนขĂมูลไüรĆÿขĂงโปรแกรมĂยูเÿมĂ แลąตĂง Āลีกเลี่ยงกćรใชโปรแกรมที่ลąเมิดลิขÿิทธิ์เพรćąĂćจจąมีโปรแกรมปรąÿงครćยแฝงตĆüĂยูภćยในเพื่Ă ลĆกลĂบ ปลĂมแปลง ĀรืĂขโมยขĂมูลÿํćคĆญขĂงผูใชงćนได
    19.13 ผูใชงćนตĂงรąมĆดรąüĆงกćรใชถĂยคํćแลąภćþćที่ĂćจเปนกćรดูĀมิ่น ยุยง ทćทćย ĀรืĂเปนกćรลąเมิดตĂ บุคคลĂื่น กรณีบุคคลĂื่นมีคüćมคิดเĀ็นที่แตกตćงพึงงดเüนกćรโตตĂบดüยถĂยคํćรุนแรง
    19.14 ผูใชงćนตĂงรąมĆดรąüĆงกรąบüนกćรĀćขćü ĀรืĂภćพจćกÿื่ĂÿĆงคมĂĂนไลน โดยมีกćรตรüจÿĂบĂยćงถี่ถüน รĂบดćนแลąตĂงĂćงĂิงแĀลงที่มćเมื่ĂนํćเÿนĂ เüนแตÿćมćรถตรüจÿĂบแลąĂćงĂิงจćกแĀลงขćü ไดโดยตรง
    19.15 ĀćกผูใชงćนตĂงกćรใชÿื่ĂÿĆงคมĂĂนไลนเปนเครื่ĂงมืĂในกćรรćยงćนขćüในนćมขĂงบุคคลธรรมดćตĂง แÿดงใĀชดเจน Ć üć ขĂคüćมใดเปน “ขćü” ขĂคüćมใดเปน “คüćมคิดเĀ็นÿüนตĆü”
    19.16 กćรÿงตĂĀรืĂเผยแพรขĂมูลในÿื่ĂÿĆงคมĂĂนไลน (Social media)
    19.16.1 ผูใชงćนตĂงไมÿงตĂĀรืĂเผยแพรขĂมูลที่เปนเท็จ ขćüลืĂ ขćüไมปรćกฏที่มć เปนเพียงกćร คćดเดć ĀรืĂÿงผลเÿียĀćยกĆบบุคคล ÿĆงคม ĀรืĂ รฟม.
    19.16.2 ผูใชงćนตĂงไมÿงตĂĀรืĂเผยแพรขĂมูลเรื่Ăงบุคคลเÿียชีüิต เด็กแลąเยćüชน ผูÿูญĀćย ผูตĂงĀć เüนเÿียแตตรüจÿĂบขĂเท็จจริงแลüแลąเĀ็นüćเปนปรąโยชนตĂÿćธćรณą
    19.16.3 ผูใชงćนตĂงไมÿงตĂĀรืĂเผยแพรขĂมูลที่กรąทบตĂÿิทธิคüćมเปนÿüนตĆü แลąýĆกดิ์ýรีคüćม เปนมนุþย
    19.17 ผูใชงćนตĂงตĆ้งคćคüćมปลĂดภĆยขĂงกćรใชงćนÿื่ĂÿĆงคมĂĂนไลน แลąรąมĆดรąüĆงกćรถูกนํćขĂมูลจćกชื่ĂบĆญชี ไปใชโดยไมเĀมćąÿม ผิดüĆตถุปรąÿงค แลąลĆกþณąกćรแĂบĂćงโดยบุคคลĂื่น
18. ผูใชงćนตĂงใชงćนĂินเทĂรเน็ตแลąÿื่ĂÿĆงคมĂĂนไลนโดยตรąĀนĆกถึงพรąรćชบĆญญĆติกćรกรąทํćคüćมผิดเกี่ยüกĆบ คĂมพิüเตĂรที่บĆงคĆบใชĂยูเÿมĂ

36
ÿüนที่ 11
การใชงานจดĀมายอิเล็กทรอนิกÿ
üัตถุประÿงค
▪ เพื่ĂกํćĀนดมćตรกćรกćรใชงćนจดĀมćยĂิเล็กทรĂนิกÿขĂง รฟม. ใĀมีคüćมปลĂดภĆยแลąมีปรąÿิทธิภćพ ผูรับผิดชอบ
▪ ผูดูแลรąบบ
▪ ผูใชงćน
อางอิงมาตรฐาน: ISO/IEC 27001: 2022
▪ มćตรกćรคüบคุมดćนĂงคกร (Organizational Controls)
▪ มćตรกćรคüบคุมดćนเทคโนโลยี (Technological Controls)
แนüปฏิบัติ

1. ผูดูแลรąบบตĂงกํćĀนดÿิทธิ์กćรเขćถึงรąบบจดĀมćยĂิเล็กทรĂนิกÿขĂง รฟม. ใĀเĀมćąÿมกĆบĀนćที่คüćม รĆบผิดชĂบขĂงผูใชงćน รüมท้งทบท Ć üนÿิทธิ์กćรเขćใชงćนĂยćงÿม่ํćเÿมĂ
2. ผูดูแลรąบบตĂงกํćĀนดบĆญชีผูใชงćนตćมมćตรฐćนจดĀมćยĂิเล็กทรĂนิกÿ (E-mail) ที่ใชในĂงคกร 3. ผูใชงćนตĂงรąมĆดรąüĆงในกćรใชจดĀมćยĂิเล็กทรĂนิกÿไมใĀเกิดคüćมเÿียĀćยตĂ รฟม. ลąเมิดลิขÿิทธิ์ ÿรćง คüćมนćรํćคćญตĂผูĂื่น ผิดกฎĀมćย ลąเมิดýีลธรรม แลąไมแÿüงĀćปรąโยชน ĀรืĂĂนุญćตใĀผูĂื่นแÿüงĀć ผลปรąโยชนในเชิงธุรกิจจćกกćรใชจดĀมćยĂิเล็กทรĂนิกÿขĂง รฟม.
3. ผูใชงćนตĂงไมใชที่ĂยูจดĀมćยĂิเล็กทรĂนิกÿ (E-mail address) ขĂงผูĂื่นเพื่ĂĂćน รĆบ - ÿงขĂคüćม ยกเüนไดรĆบกćร ยินยĂมจćกเจćขĂงบĆญชีแลąใĀถืĂüćเจćขĂงบĆญชีจดĀมćยĂิเล็กทรĂนิกÿเปนผูรĆบผิดชĂบตĂกćรใชงćนตćง ๆ ในจดĀมćย Ăิเล็กทรĂนิกÿขĂงตน
4. ผูใชงćนตĂงใชที่ĂยูจดĀมćยĂิเล็กทรĂนิกÿขĂง รฟม. เพื่ĂปฏิบĆติงćน ติดตĂ แลąปรąÿćนงćนขĂง รฟม. เทćนĆ้น 6. ผูใชงćนตĂงไมใชที่ĂยูจดĀมćยĂิเล็กทรĂนิกÿฟรีขĂงเĂกชนในกćรปฏิบĆติงćน ติดตĂ แลąปรąÿćนงćนขĂง รฟม. 7. ผูใชงćนตĂง Logout ĂĂกจćกรąบบทุกครĆ้ง ĀลĆงจćกใชงćนรąบบจดĀมćยĂิเล็กทรĂนิกÿเÿร็จÿิ้นเพื่ĂปĂงกĆนบุคคล Ăื่นเขćใชงćนจดĀมćยĂิเล็กทรĂนิกÿ
5. ผูใชงćนตĂงตรüจÿĂบเĂกÿćรแนบจćกจดĀมćยĂิเล็กทรĂนิกÿกĂนเปดĂćน โดยใชโปรแกรมปĂงกĆนไüรĆÿ เพื่ĂตรüจÿĂบมĆลแüรตćง ๆ
6. ผูใชงćนตĂงไมเปดĀรืĂÿงตĂจดĀมćยĂิเล็กทรĂนิกÿที่ไดรĆบจćกผูÿงที่ไมรูจĆก
7. ผูใชงćนตĂงใชขĂคüćมที่ÿุภćพในกćรรĆบ – ÿงจดĀมćยĂิเล็กทรĂนิกÿ แลąไมจĆดÿงจดĀมćยที่มีเนื้ĂĀćĂćจทํćใĀ รฟม. เÿียชื่ĂเÿียงĀรืĂทํćใĀเกิดคüćมแตกแยกภćยใน รฟม.
8. ผูใชงćนตĂงไมรąบุคüćมÿํćคĆญขĂงขĂมูลลงในĀĆüขĂจดĀมćยĂิเล็กทรĂนิกÿแลąตĂงเขćรĀĆÿเพื่ĂปĂงกĆน กćรเขćถึงขĂมูลโดยผูไมเกี่ยüขĂงเมื่ĂมีกćรÿงขĂมูลที่เปนคüćมลĆบ
9. ผูใชงćนตĂงตรüจÿĂบตูเก็บจดĀมćยĂิเล็กทรĂนิกÿขĂงตนเĂงทุกüĆน แลąตĂงจĆดเก็บจดĀมćยĂิเล็กทรĂนิกÿในตู ขĂงตนใĀเĀลืĂจํćนüนนĂยที่ÿุด ĀćกมีขĂมูลที่จํćเปนตĂงนํćมćใชĂćงĂิงในกćรปฏิบĆติงćนภćยĀลĆงใĀผูใชงćน โĂนยćยจดĀมćยĂิเล็กทรĂนิกÿมćยĆงเครื่ĂงคĂมพิüเตĂรขĂงตน ทĆ้งนี้ เพื่Ăลดปริมćณกćรใชเนื้Ăที่ขĂงรąบบ จดĀมćยĂิเล็กทรĂนิกÿ
   37
   ÿüนที่ 12
   การÿํารองขอมูลและการเก็บรักþาขอมูลจราจรทางคอมพิüเตอร
   üัตถุประÿงค
   ▪ เพื่ĂใĀมีขĂมูลÿํćรĂงไüใชงćนในกรณีที่ขĂมูลĀลĆกเกิดคüćมเÿียĀćยไมÿćมćรถใชงćนĀรืĂเขćถึงได ĀรืĂเมื่Ăเกิด ภćüąฉุกเฉินตćง ๆ
   ▪ เพื่ĂใĀมีกćรปฏิบĆติที่ÿĂดคลĂงกĆบกฎĀมćย พรąรćชบĆญญĆติ ĀรืĂขĂบĆงคĆบภćยนĂกĂื่น ๆ ผูรับผิดชอบ
   ▪ ผูบĆงคĆบบĆญชć
   ▪ ผูดูแลรąบบ
   ▪ เจćขĂงขĂมูล
   ▪ ผูใชงćน
   อางอิงมาตรฐาน: ISO/IEC 27001: 2022
   ▪ มćตรกćรคüบคุมดćนĂงคกร (Organizational Controls)
   ▪ มćตรกćรคüบคุมดćนเทคโนโลยี (Technological Controls)
   แนüปฏิบัติ
10. กćรÿํćรĂงขĂมูลรąบบแมขćย
    ขĂมูลรąบบแมขćยแลąขĂมูลÿํćคĆญซึ่งเปนคüćมลĆบขĂง รฟม. ตĂงไดรĆบกćรเก็บรĆกþćไüที่รąบบเก็บขĂมูล ÿüนกลćง แลąÿํćรĂงขĂมูลไüĂยćงÿม่ํćเÿมĂ เพื่ĂใĀมีขĂมูลÿํćรĂงไüใช ในกรณีที่ขĂมูลĀลĆกเกิดคüćมเÿียĀćย ĀรืĂไมÿćมćรถใชงćน คüćมถี่ในกćรดํćเนินกćรÿํćรĂงขĂมูลแลąขĆ้นตĂนกćรÿํćรĂงขĂมูลรąบบแมขćยเปนคüćม รĆบผิดชĂบขĂง ฝทท. โดยมีแนüปฏิบĆติ ดĆงนี้
    1.1 ผูบĆงคบบĆ ĆญชćกํćĀนดผูรĆบผิดชĂบในกćรÿํćรĂงขĂมูล
    1.2 ผูดูแลรąบบตĂงกํćĀนดชนิดขĂงขĂมูลขĂงรąบบที่มีคüćมจํćเปนตĂงÿํćรĂงขĂมูลเก็บไü เชน ขĂมูล คćคĂนฟกกูเรชĆน (Configuration) ขĂมูลคูมืĂกćรปฏิบĆติงćนÿํćĀรĆบรąบบ ขĂมูลในฐćนขĂมูลขĂง รąบบงćน ขĂมูลซĂฟตแüร เชน ซĂฟตแüรรąบบปฏิบĆติกćร ซĂฟตแüรรąบบงćน แลąซĂฟตแüรĂื่น ๆ เปนตน
    1.3 ผูดูแลรąบบตĂงÿํćรĂงขĂมูลตćมคüćมถี่ที่กํćĀนดไü ทĆ้งนี้ ĀćกเปนขĂมูลที่ÿนĆบÿนุนกรąบüนกćรทํćงćนที่ ÿํćคĆญขĂง รฟม. ใĀÿํćรĂงตćมคüćมถี่ที่ รฟม. กํćĀนด
    1.4 ผูดูแลรąบบตĂงตรüจÿĂบüćกćรÿํćรĂงขĂมูลÿํćเร็จครบถüนĀรืĂไม Āćกไมÿํćเร็จใĀĀćÿćเĀตุแลą ดํćเนินกćรแกไขĂีกคร้งĆĀนึ่ง
    1.5 ผูดูแลรąบบตĂงนํćขĂมูลที่ÿํćรĂงไüไปเก็บไüทĆ้งภćยในแลąภćยนĂก รฟม. ĂยćงนĂยĂยćงลą 1 ชุด 1.6 ผูดูแลรąบบทดÿĂบกูคืนขĂมูลที่ÿํćรĂงเก็บไüĂยćงÿม่ํćเÿมĂ ĂยćงนĂยปลą 1 ครĆ้ง เพื่ĂใĀมĆ่นใจüćขĂมูล ที่ÿํćรĂงไüมีคüćมถูกตĂง ครบถüน แลąพรĂมใชงćน
    38
11. กćรÿํćรĂงขĂมูลคĂมพิüเตĂรÿüนบุคคล
    ผูใชงćนจąตĂงÿํćรĂงขĂมูลÿํćคĆญที่เก็บรĆกþćไüในเครื่ĂงคĂมพิüเตĂรÿüนบุคคลĀรืĂคĂมพิüเตĂร ĀรืĂĂุปกรณพกพć Ăื่น ๆ Ăยćงÿม่ํćเÿมĂ คüćมถี่ในกćรÿํćรĂงขĂมูลขึ้นĂยูกĆบคüćมถี่ขĂงกćรเปลี่ยนแปลงขĂงขĂมูลแลąรąดĆบ คüćมÿํćคĆญขĂงขĂมูลĀćกเกิดกćรÿูญĀćย
12. กćรเก็บรกĆþćขĂมูลจรćจรคĂมพิüเตĂร
    เพื่ĂใĀÿćมćรถรąบุตĆüบุคคลผูใชงćนไดĂยćงถูกตĂง ผูดูแลรąบบตĂงดํćเนินกćรดĆงนี้
    3.1 เลืĂกใชนćāิกćจćกแĀลงที่นćเชื่ĂถืĂที่มีกćรเชื่ĂมตĂในลํćดĆบชĆ้น Stratum 0 โดยนćāิกćจćกแĀลงดĆงกลćüจąตĂง ไดรĆบกćรĂนุมĆติใĀใชงćน
    3.2 ตĆ้งนćāิกćขĂงĂุปกรณที่ใĀบริกćรทุกชนิดจćก NTP Server ขĂง รฟม. เทćนĆ้น
    3.3 ตĂงทบทüนนćāิกćที่ NTP Server ĂยćงนĂยÿĆปดćĀลą 1 ครĆ้ง
    3.4 ตĂงจĆดเก็บรĆกþćขĂมูลจรćจรคĂมพิüเตĂร โดยรąยąเüลćในกćรเก็บตćมปรąกćýกรąทรüงเทคโนโลยี ÿćรÿนเทýแลąกćรÿื่Ăÿćร เรื่Ăง ĀลĆกเกณฑกćรเก็บรĆกþćขĂมูลจรćจรทćงคĂมพิüเตĂรขĂงผูใĀบริกćร พ.ý. 2550 (ĂยćงนĂย 90 üĆน)
    3.5 เก็บรĆกþćขĂมูลจรćจรคĂมพิüเตĂรในÿื่Ăที่ÿćมćรถรĆกþćคüćมครบถüนถูกตĂงแทจริง มีกćรเก็บรĆกþć คüćมลĆบขĂงขĂมูลตćมรąดĆบชĆ้นคüćมลĆบในกćรเขćถึงตćมที่ รฟม. กํćĀนด
    3.6 ปรąเภทขĂงÿćรÿนเทýที่เก็บรĆกþć แÿดงตćมตćรćง
    ประเภทของÿารÿนเทý กฎĀมายที่เกี่ยüของ ระยะเüลาการเก็บ รักþา (ป)
    Authentication server logs (RADIUS, TACACS)

1. พรąรćชบĆญญĆติüćดüยกćรกรąทํćคüćมผิด
   1
   เกี่ยüกĆบคĂมพิüเตĂร พ.ý. 2550
2. พรąรćชบĆญญĆติüćดüยกćรกรąทํćคüćมผิด
   Email server logs 1 เกี่ยüกĆบคĂมพิüเตĂร (ฉบĆบที่ 2) พ.ý. 2560
   Web application server logs 1
3. ปรąกćýกรąทรüงดิจิทĆลเพื่ĂเýรþฐกิจแลąÿĆงคม
   เรื่Ăง ĀลĆกเกณฑกćรเก็บรĆกþćขĂมูลจรćจรทćง
   NTP server logs 1 คĂมพิüเตĂรขĂงผูใĀบริกćร พ.ý. 2564
   DHCP server logs 1 IPS logs 1 Firewalls logs 1 Routers & Switches logs 1

Active directory logs

4. กćรจĆดเก็บบĆนทึกขĂมูลล็ĂกแลąกćรเฝćรąüĆง (Logging and monitoring)
   1

4.1 ผูดูแลรąบบตĂงมีกćรจĆดเก็บบĆนทึกเĀตุกćรณ (Event logs) กćรใชงćนรąบบÿćรÿนเทý 4.2 ผูดูแลรąบบตĂงเก็บบĆนทึกขĂมูล Audit log ซึ่งบĆนทึกกิจกรรมกćรใชงćนขĂงผูใชงćนรąบบÿćรÿนเทýแลą เĀตุกćรณเกี่ยüกĆบคüćมมĆ่นคงปลĂดภĆยตćง ๆ เพื่Ăปรąโยชนในกćรÿืบÿüน ÿĂบÿüน แลąเพื่Ăกćรติดตćม กćรคüบคุมกćรเขćถึง
39
4.3 ผูดูแลรąบบตĂงมีกćรตรüจÿĂบขĂมูลบĆนทึกเĀตุกćรณĂยćงÿม่ํćเÿมĂ (Log review) 4.4 ผูดูแลรąบบตĂงไมลบขĂมูลล็Ăก (Log) ĀรืĂปดกćรใชงćนกćรบĆนทึกขĂมูลล็Ăก (Log) 4.5 ผูดูแลรąบบตĂงปĂงกĆนรąบบÿćรÿนเทýที่จĆดเก็บล็Ăก (Log) แลąขĂมูลล็Ăก (Log) เพื่ĂปĂงกĆนกćรเขćถึงĀรืĂ แกไขเปลี่ยนแปลงโดยไมไดรบĆĂนุญćต

40
ÿüนที่ 13
การตรüจÿอบและประเมินคüามเÿี่ยง
üัตถุประÿงค
▪ เพื่ĂใĀมีกćรตรüจÿĂบกćรดํćเนินงćนขĂงรąบบจĆดกćรคüćมมĆ่นคงปลĂดภĆยÿćรÿนเทý แลąปรĆบปรุงĂยćงตĂเนื่Ăง ▪ เพื่Ăคüบคุม แลąติดตćมกćรปฏิบĆติงćนขĂงผูดูแลรąบบÿćรÿนเทý ใĀÿĂดคลĂงตćมขĂกํćĀนด กฎĀมćย ĀรืĂ รąเบียบขĂบĆงคĆบที่เกี่ยüขĂงกĆบเทคโนโลยีÿćรÿนเทý
▪ เพื่Ăปรąเมินคüćมเÿี่ยงดćนคüćมมĆ่นคงปลĂดภĆยขĂงÿćรÿนเทýแลąบริĀćรจĆดกćรคüćมเÿี่ยงใĀĂยูในรąดĆบที่ ĂงคกรยĂมรĆบได
ผูรับผิดชอบ
▪ ผูบĆงคĆบบĆญชć
▪ ผูดูแลรąบบ
อางอิงมาตรฐาน: ISO/IEC 27001: 2022
▪ ขĂกํćĀนดĀลĆก: กćรüćงแผน (Planning)
▪ ขĂกํćĀนดĀลĆก: กćรตรüจปรąเมินภćยใน (Internal Audit)
▪ มćตรกćรคüบคุมดćนĂงคกร (Organizational Controls)
▪ มćตรกćรคüบคุมดćนเทคโนโลยี (Technological Controls)
แนüปฏิบัติ

1. ผูบĆงคĆบบĆญชć ตĂงกํćĀนดใĀมีแนüทćงในกćรดํćเนินงćนขĂงรąบบÿćรÿนเทýÿĂดคลĂงกĆบกฎĀมćย พรąรćชบĆญญĆติ กฎรąเบียบ ขĂบĆงคบที่เกี่ย Ć üขĂงกĆบคüćมมĆ่นคงปลĂดภĆยÿćรÿนเทýโดยตĂงจĆดทํćเปนลćยลĆกþณĂĆกþร แลąมีกćรปรĆบปรุงใĀเปนปจจุบĆนĂยูเÿมĂ
2. ผูบĆงคĆบบĆญชć ตĂงกํćĀนดมćตรกćรในกćรคüบคุมแลąบริĀćรจĆดกćรÿินทรĆพยทćงปญญć ไดแก ลิขÿิทธิ์ในเĂกÿćรĀรืĂ ซĂฟตแüร เครื่ĂงĀมćยกćรคć ÿิทธิบĆตร แลąใบĂนุญćตกćรใชงćนซĂรÿโคด ĀรืĂกćรใชงćนซĂฟตแüร เพื่ĂใĀ กćรดํćเนินงćนเปนไปตćมขĂกํćĀนดทĆ้งในแงขĂงขĂÿĆญญć แลąดćนกฎĀมćย พรąรćชบĆญญĆติ กฎรąเบียบ ขĂบĆงคĆบ ดćนÿินทรĆพยทćงปญญćที่เกี่ยüขĂง
3. ผูบĆงคĆบบĆญชć ตĂงคüบคุมใĀมีกćรคุมครĂงขĂมูลÿüนบุคคลโดยใĀÿĂดคลĂงกĆบกฎĀมćย พรąรćชบĆญญĆติ กฎรąเบียบ ขĂบĆงคĆบที่เกี่ยüขĂง
4. ผูบĆงคĆบบĆญชć ตĂงกํćกĆบดูแล แลąคüบคุมกćรปฏิบĆติงćนขĂงผูที่ĂยูใตกćรบĆงคĆบบĆญชć เพื่ĂปĂงกĆนกćรใชงćนรąบบ ÿćรÿนเทýผิดüĆตถุปรąÿงค ĀรืĂลąเมิดตĂนโยบćยแลąแนüทćงปฏิบĆติกćรรĆกþćคüćมมĆ่นคงปลĂดภĆยขĂงรąบบ ÿćรÿนเทýขĂง รฟม.
5. ผูบĆงคĆบบĆญชć ตĂงคüบคุมใĀมีกćรปĂงกĆนขĂมูลÿํćคĆญขĂงĂงคกร ขĂมูลÿํćคĆญที่เกี่ยüขĂงกĆบขĂกํćĀนดทćง กฎĀมćย รąเบียบ ขĂบĆงคĆบ ÿĆญญć คüรไดรĆบกćรปĂงกĆนจćกกćรÿูญĀćย ถูกทํćลćย แลąปลĂมแปลง
   41
6. ผูบĆงคĆบบĆญชćตĂงจĆดใĀมีกćรตรüจÿĂบกćรบริĀćรจĆดกćรคüćมมĆ่นคงปลĂดภĆยÿćรÿนเทý โดยผูตรüจÿĂบ ภćยใน (Internal auditor) ĀรืĂโดยผูตรüจÿĂบĂิÿรąดćนคüćมมĆ่นคงปลĂดภĆยจćกภćยนĂก (External auditor) ตćมรąยąเüลćĂยćงนĂยปลą 1 คร้ง Ć
7. ผูดูแลรąบบตĂงกํćĀนดกรąบüนกćรตรüจÿĂบแลąกćรแจงเตืĂนเมื่ĂเกิดเĀตุผิดปกติเกี่ยüกĆบกćรใชงćน ทรĆพยćกร (Capacity) กํćĀนดเกณฑกćรใชงćนทรĆพยćกรแลąüćงแผนดćนทรĆพยćกรÿćรÿนเทýใĀรĂงรĆบกćร ปฏิบĆติงćนในĂนćคตĂยćงเĀมćąÿม รüมถึงตĂงติดตćมผลกćรใชงćนทรĆพยćกรÿćรÿนเทý
8. ผูดูแลรąบบตĂงมีกćรตรüจÿĂบกćรทํćงćน (Monitor) ขĂงรąบบÿćรÿนเทýĂยćงÿม่ํćเÿมĂแลąเÿนĂผูบĆงคĆบบĆญชć รĆบทรćบเมื่ĂมีเĀตุกćรณผิดปกติเกิดขึ้น รüมถึงแจงผูเกี่ยüขĂงเพื่ĂดํćเนินกćรแกไขโดยไมชĆกชć 9. ผูดูแลรąบบ ตĂงปĂงกĆนกćรเขćใชงćนเครื่ĂงมืĂที่ใชเพื่ĂกćรตรüจÿĂบ เพื่ĂมิใĀเกิดกćรใชงćนผิดปรąเภทĀรืĂถูก ลąเมิดกćรใชงćน (Compromise) โดยคüบคุมกćรเขćถึง แลąตรüจÿĂบกćรนํćเครื่ĂงมืĂไปใชงćนĂยćงÿม่ํćเÿมĂ 10. ผูดูแลรąบบตĂงปรąเมินคüćมเÿี่ยงขĂงรąบบเทคโนโลยีÿćรÿนเทýĂยćงนĂยปลą 1 ครĆ้ง ĀรืĂเมื่Ăมีกćร เปลี่ยนแปลงĂยćงมีนĆยÿํćคĆญ
9. ผูบĆงคĆบบĆญชćตĂงติดตćมผลกćรดํćเนินกćรตćมแผนบริĀćรจĆดกćรคüćมเÿี่ยง (Risk treatment plan) เปนปรąจํćทุกไตรมćÿ
10. ผูดูแลรąบบตĂงปรąเมินคüćมเÿี่ยงแลüจĆดลํćดĆบคüćมÿํćคĆญขĂงคüćมเÿี่ยงนĆ้นแลąคนĀćüิธีกćรเพื่Ăลดคüćมเÿี่ยงตćม ขĆ้นตĂนที่ รฟม. กํćĀนด พรĂมทĆ้งพิจćรณćขĂดีขĂเÿียขĂงüิธีกćรเĀลćนĆ้นเพื่ĂใĀผูบริĀćรขĂง รฟม. ตĆดÿินใจเลืĂก üิธีกćรเพื่Ăลดคüćมเÿี่ยงĀรืĂยĂมรĆบคüćมเÿี่ยง เมื่ĂเลืĂกüิธีกćรลดคüćมเÿี่ยงแลüผูบริĀćรตĂงจĆดÿรรทรĆพยćกร ĂยćงเพียงพĂเพื่Ăดํćเนินกćร แนüทćงกćรลดคüćมเÿี่ยง แบงไดเปน 3 รูปแบบ ไดแก
    12.1 กćรเลืĂกใชเทคโนโลยี เพื่Ăใชในกćรลดคüćมเÿี่ยงแลąเพิ่มคüćมมĆ่นคงปลĂดภĆยขĂงรąบบเทคโนโลยี ÿćรÿนเทý รฟม. เปนüิธีที่จํćเปนตĂงใชงบปรąมćณแลąทรĆพยćกรĂยćงเพียงพĂในกćรดํćเนินกćร เชน กćรเลืĂกใชĂุปกรณ Firewall มćกกüćĀนึ่งผลิตภĆณฑในกćรปĂงกĆนกćรเขćถึงเครืĂขćยที่ÿํćคĆญ กćรใช Ăุปกรณÿมćรทกćรด ĀรืĂ USB Token ในกćรตรüจÿĂบยืนยĆนตĆüตนในกćรเขćใชงćนรąบบจćกภćยนĂก รฟม. เปนตน
    12.2 กćรปรĆบเปลี่ยนขĆ้นตĂนปฏิบĆติ ตĂงĂĂกแบบขĆ้นตĂนปฏิบĆติใĀมที่รĆดกุมแลąÿćมćรถรĆกþćคüćมมĆ่นคง ปลĂดภĆยขĂงรąบบเทคโนโลยีÿćรÿนเทý รฟม. ไดดีขึ้น เมื่ĂĂĂกแบบขĆ้นตĂนปฏิบĆติใĀมแลüตĂงมีกćร พิจćรณćĀćรืĂคüćมเĀมćąÿม คüćมเปนไปได แลąผูบริĀćรตĂงเปนผูĂนุมĆติใĀมีกćรบĆงคĆบใชขĆ้นตĂนปฏิบĆติ ใĀมน้น Ć
    12.3 ผูดูแลรąบบตĂงแจงขĆ้นตĂนปฏิบĆติใĀผูเกี่ยüขĂงรĆบรูĂยćงทĆ่üถึง รüมทĆ้งตĂงจĆดฝกĂบรมผูใชงćน ที่เกี่ยüขĂงเพื่ĂใĀÿćมćรถปฏิบĆติตćมขĆ้นตĂนปฏิบĆติใĀมไดĂยćงรćบรื่นแลąมีปรąÿิทธิภćพ
11. กćรตรüจÿĂบคüćมปลĂดภĆยขĂงรąบบÿćรÿนเทý
    13.1 ผูดูแลรąบบ ตĂงüćงแผนกćรตรüจÿĂบแลąปรąเมินชĂงโĀüĀรืĂจุดĂĂนดćนคüćมมĆ่นคงปลĂดภĆยÿćรÿนเทý แลąแจงผูที่เกี่ยüขĂงเพื่Ăแกไขในกรณีที่พบüćชĂงโĀüĀรืĂจุดĂĂนนĆ้นĂćจเปนเĀตุกćรณดćนคüćมมĆ่นคง ปลĂดภĆย ĂยćงนĂยปลą 1 ครĆ้ง
    42
    13.2 ผูดูแลรąบบตĂงตรüจÿĂบรąบบÿćรÿนเทýที่จąตĂงมีกćรปรĆบปรุงเมื่ĂมีเüĂรชĆนใĀม (Patch) รüมท้งข Ć Ăมูล ที่เกี่ยüขĂงกĆบชĂงโĀüดćนเทคนิคĂยćงÿม่ํćเÿมĂเพื่ĂใĀทรćบถึงภĆยคุกคćมแลąคüćมเÿี่ยง รüมถึงĀćüิธีปĂงกĆน แลąแกไขที่เĀมćąÿมกĆบชĂงโĀüนĆ้น
    13.3 ผูใชงćน ผูดูแลรąบบ แลąĀนüยงćนภćยนĂก ตĂงบĆนทึกแลąรćยงćนชĂงโĀüĀรืĂจุดĂĂนใด ๆ ดćนคüćมมĆ่นคง ปลĂดภĆยÿćรÿนเทý ที่ĂćจÿĆงเกตพบรąĀüćงกćรติดตćมกćรใชงćนรąบบÿćรÿนเทý ผćนชĂงทćงบริĀćรจĆดกćร ที่กํćĀนดไüĂยćงเĀมćąÿม แลąตĂงดํćเนินกćรปดชĂงโĀüที่มีกćรตรüจพบĀรืĂไดรĆบแจง
12. กćรüิเครćąĀขĂมูลเชิงลึกขĂงภĆยคุกคćม (Threat Intelligence)
    14.1 ผูดูแลรąบบตĂงรüบรüมขĂมูลที่เกี่ยüขĂงกĆบภĆยคุกคćมทĆ้งจćกภćยในแลąภćยนĂกĂงคกร เชน ชĂงโĀü ĀรืĂ เĀตุกćรณภĆยคุกคćมตćง ๆ ที่เกิดขึ้น
    14.2 ผูดูแลรąบบตĂงนํćขĂมูลภĆยคุกคćมที่รüบรüมไดมćüิเครćąĀเชิงลึก ไดแก Tactics, Techniques ĀรืĂ Procedures (TTPs) ที่กลุมผูไมปรąÿงคดีนํćมćใช รüมถึงแรงจูงใจ เปćĀมćย แลąพฤติกรรมกćรโจมตี ขĂงผูไมปรąÿงคดี เพื่ĂใĀ รฟม. ÿćมćรถจĆดเตรียมüิธีกćรปĂงกĆนĀรืĂüิธีกćรรĆบมืĂกĆบภĆยคุกคćม ไดĂยćงมีปรąÿิทธิภćพแลąทĆนทüงที
13. ผูดูแลรąบบตĂงมีกćรบริĀćรจĆดกćรกćรเปลี่ยนแปลงเกี่ยüกĆบกćรจĆดเตรียมกćรใĀบริกćร กćรดูแลปรĆบปรุง นโยบćยในกćรรĆกþćคüćมมĆ่นคงปลĂดภĆยดćนÿćรÿนเทý ขĆ้นตĂนปฏิบĆติงćน ĀรืĂกćรคüบคุมเกี่ยüกĆบคüćมมĆ่นคง ปลĂดภĆยดćนÿćรÿนเทý โดยคํćนึงถึงรąดĆบคüćมÿํćคĆญขĂงกćรดํćเนินธุรกิจที่เกี่ยüขĂงแลąกćรปรąเมินคüćมเÿี่ยง ĂยćงตĂเนื่Ăง
14. กćรเตรียมคüćมพรĂมกรณีฉุกเฉิน
    เพื่ĂใĀมีกćรบริĀćรจĆดกćรคüćมตĂเนื่ĂงใĀกĆบกรąบüนกćรทćงธุรกิจที่ÿํćคĆญขĂงĂงคกร เมื่ĂมีเĀตุกćรณที่ทํć ใĀเกิดกćรĀยุดชąงĆกĀรืĂติดขĆดตĂกรąบüนกćรดĆงกลćü โดยมีแนüปฏิบĆติ ดĆงนี้
    16.1 ผูดูแลรąบบตĂงกํćĀนดรąบบที่มีคüćมÿํćคĆญทĆ้งĀมดขĂงĂงคกร แลąจĆดทํćเปนบĆญชีรćยชื่Ăรąบบ ดĆงกลćüรüมทĆ้งปรบปรุงร Ć ćยชื่ĂรąบบÿํćคĆญแลąบĆญชีĄ ตćมคüćมเปนจริง
    16.2 เจćขĂงขĂมูลแลąผูดูแลรąบบปรąเมินคüćมเÿี่ยงÿํćĀรĆบรąบบเĀลćนĆ้น กํćĀนดมćตรกćรเพื่Ăลดคüćมเÿี่ยง ที่พบแลąจĆดทํćรćยงćนกćรปรąเมินคüćมเÿี่ยง
    16.3 ผูดูแลรąบบตĂงทบทüน/ปรĆบปรุงแผนบริĀćรคüćมตĂเนื่Ăงทćงธุรกิจ (Business Continity Plan: BCP) ĂยćงนĂยปลą 1 ครĆ้ง
    16.4 ผูดูแลรąบบจĆดทํćแลąปรบปรุงแผนกูคืนร Ć ąบบĂยćงนĂยปลą 1 ครĆ้ง
    16.5 เจćขĂงขĂมูลแลąผูดูแลรąบบตĂงทดÿĂบแผนบริĀćรคüćมตĂเนื่ĂงทćงธุรกิจแลąแผนกูคืนรąบบĂยćงนĂย ปลą 1 ครĆ้ง พรĂมทĆ้งบĆนทึกผลกćรทดÿĂบรüมถึงปญĀćที่พบ แลąนํćเÿนĂผลกćรทดÿĂบแลąแนüทćงแกไข ตĂผูบĆงคĆบบĆญชć
    16.6 ผูดูแลรąบบตĂงจĆดปรąชุมแลąชี้แจงใĀผูที่เกี่ยüขĂงทĆ้งĀมดไดรĆบทรćบเกี่ยüกĆบแผนบริĀćรคüćมตĂเนื่Ăง ทćงธุรกิจแลąแผนกูคืน แลąผลขĂงกćรฝกซĂมกćรกูคืนรąบบแลąผลกćรทดÿĂบแผนบริĀćรคüćมตĂเนื่Ăง ทćงธุรกิจ

43
ÿüนที่ 14
การถายโอน และแลกเปลี่ยนขอมูลÿารÿนเทý
üัตถุประÿงค
▪ เพื่ĂใĀมีกćรคüบคุมกćรถćยโĂนแลąแลกเปลี่ยนขĂมูลÿćรÿนเทý ปĂงกĆนกćรรĆ่üไĀล ĀรืĂมีกćรแกไขขĂมูลโดยที่ ไมไดรบĆĂนุญćต รüมถึงกćรปĂงกĆนÿื่ĂบĆนทึกขĂมูลใĀมีคüćมปลĂดภĆยเปนไปตćมขĂกํćĀนด ผูรับผิดชอบ
▪ ผูบĆงคĆบบĆญชć
▪ เจćขĂงขĂมูล
▪ ผูดูแลรąบบ
อางอิงมาตรฐาน: ISO/IEC 27001: 2022
▪ มćตรกćรคüบคุมดćนĂงคกร (Organizational Controls)
▪ มćตรกćรคüบคุมดćนเทคโนโลยี (Technological Controls)
แนüปฏิบัติ

1. ผูบĆงคĆบบĆญชć ตĂงคüบคุมใĀมีกćรจĆดทํćนโยบćย แลąขĆ้นตĂนกćรปฏิบĆติเพื่ĂปĂงกĆนขĂมูลÿćรÿนเทýที่มีกćร ÿื่Ăÿćร ĀรืĂแลกเปลี่ยนผćนรąบบÿćรÿนเทýใĀเĀมćąÿมตćมรąดĆบชĆ้นคüćมลĆบขĂมูลÿćรÿนเทý ตćมขĆ้นตĂนที่ รฟม. กํćĀนด

2. ผูบĆงคĆบบĆญชć แลąเจćขĂงขĂมูล ตĂงคüบคุมใĀมีกćรจĆดทํćขĂตกลงในกćรแลกเปลี่ยนขĂมูลÿćรÿนเทýรąĀüćง ĂงคกรกĆบบุคคลĀรืĂĀนüยงćนภćยนĂก

3. ผูดูแลรąบบตĂงแลกเปลี่ยนขĂมูลÿćรÿนเทýตĂงแลกเปลี่ยนผćนชĂงทćงที่ปลĂดภĆย เชน Web Service ที่ใชงćน ผćนโปรโตคĂล https

4. ผูดูแลรąบบตĂงปดบĆงขĂมูล (Data Masking) ทĆ้งขĂมูลÿüนบุคคลแลąขĂมูลĂĂนไĀüขĂงĂงคกร (Sensitive Data) ที่มีกćรถćยโĂนĀรืĂแลกเปลี่ยนขĂมูล

5. ผูดูแลรąบบ ตĂงมีกćรปĂงกĆนขĂมูลÿćรÿนเทýที่มีกćรÿื่ĂÿćรกĆนผćนขĂมูลĂิเล็กทรĂนิกÿ (Electronic messaging) เชน จดĀมćยĂิเล็กทรĂนิกÿ (E-mail) ĀรืĂ Instant messaging ดüยüิธีกćรĀรืĂมćตรกćรที่เĀมćąÿม 6. ผูดูแลรąบบ ตĂงปĂงกĆนขĂมูลÿćรÿนเทýที่มีกćรแลกเปลี่ยนในกćรทํćพćณิชยĂิเล็กทรĂนิกÿ (Electronic commerce) ผćนเครืĂขćยคĂมพิüเตĂรÿćธćรณą เพื่ĂมิใĀมีกćรฉĂโกง ลąเมิดÿĆญญć ĀรืĂมีกćรรĆ่üไĀล ĀรืĂ ขĂมูลÿćรÿนเทýถูกแกไขโดยมิไดรบĆĂนุญćต

6. ผูดูแลรąบบ ตĂงปĂงกĆนขĂมูลÿćรÿนเทýที่มีกćรÿื่Ăÿćร ĀรืĂแลกเปลี่ยนในกćรทํćธุรกรรมทćงĂĂนไลน (Online transaction) เพื่ĂมิใĀมีกćรรĆบÿงขĂมูลที่ไมÿมบูรณ ÿงขĂมูลไปผิดที่ กćรร่ĆüไĀลขĂงขĂมูล ขĂมูลถูกแกไข เปลี่ยนแปลง ถูกทํćซ้ํćใĀม ĀรืĂถูกÿงซํ้ćโดยมิไดรĆบĂนุญćต

7. ผูดูแลรąบบ ตĂงคüบคุมกćรรĆบÿงขĂมูลÿćรÿนเทýเพื่ĂปĂงกĆนคüćมผิดพลćด ดĆงนี้
   8.1 คüćมไมÿมบูรณขĂงขĂมูลÿćรÿนเทýที่รĆบ-ÿง
   44
   8.2 กćรÿงขĂมูลÿćรÿนเทýผิดจุดĀมćยปลćยทćง
   8.3 กćรเปลี่ยนแปลงขĂมูลÿćรÿนเทýโดยไมไดรบĆĂนุญćต
   8.4 กćรเปดเผยขĂมูลÿćรÿนเทýโดยไมไดรĆบĂนุญćต
   8.5 กćรเขćถึงขĂมูลÿćรÿนเทýโดยไมไดรĆบĂนุญćต
   8.6 กćรนํćขĂมูลÿćรÿนเทýกลĆบมćใชใĀมโดยไมไดรบĆĂนุญćต

8. เจćขĂงขĂมูล แลąผูดูแลรąบบ ตĂงมีกćรปĂงกĆนขĂมูลÿćรÿนเทýที่มีกćรเผยแพรตĂÿćธćรณชน มิใĀมีกćรแกไข เปลี่ยนแปลงโดยมิไดรĆบĂนุญćต เพื่ĂรĆกþćคüćมถูกตĂงครบถüนขĂงขĂมูลÿćรÿนเทý
   45
   ÿüนที่ 15
   การคüบคุมการเขารĀัÿ
   üัตถุประÿงค
   ▪ เพื่ĂใĀมีกćรเขćรĀĆÿขĂมูลĂยćงเĀมćąÿมแลąมีปรąÿิทธิผลในกćรปกปĂงคüćมลĆบ ปĂงกĆน กćรปลĂมแปลงขĂมูล แลą คüบคุมคüćมถูกตĂงขĂงขĂมูล
   ผูรับผิดชอบ
   ▪ ผูดูแลรąบบ
   ▪ เจćขĂงขĂมูล
   ▪ ผูใชงćน
   อางอิงมาตรฐาน: ISO/IEC 27001: 2022
   ▪ มćตรกćรคüบคุมดćนเทคโนโลยี (Technological Controls)
   แนüปฏิบัติ

9. เจćขĂงขĂมูล ตĂงเขćรĀĆÿ ĀรืĂกćรใÿรĀĆÿผćนขĂมูลĂิเล็กทรĂนิกÿขĂงĂงคกรตćมรąดĆบชĆ้นคüćมลĆบเพื่ĂปĂงกĆน ผูไมมีÿิทธิเขćถึง ตćมรąเบียบüćดüยกćรรĆกþćคüćมลĆบขĂงทćงรćชกćร พ.ý. 2544 แลąตćมขĆ้นตĂนที่ รฟม. กํćĀนด 2. เจćขĂงขĂมูล ผูดูแลรąบบ แลąผูใชงćนตĂงปฏิบĆติตćมรąเบียบüćดüยกćรรĆกþćคüćมลĆบขĂงทćงรćชกćร พ.ý. 2544 ในกćร
   นํćกćรเขćรĀĆÿมćใชกĆบขĂมูลที่เปนคüćมลĆบจąตĂงใชüิธีกćรเขćรĀĆÿ (Encryption) ที่เปนมćตรฐćนÿćกล 3. ผูดูแลรąบบ ตĂงใชüิธีกćรเขćรĀĆÿ (Encryption) ที่เปนมćตรฐćนÿćกล Āลีกเลี่ยงกćรใชรูปแบบกćรเขćรĀĆÿที่พĆฒนćขึ้นเĂง เพื่ĂใĀมĆ่นใจüćขĆ้นตĂนüิธี (Algorithm) ที่ใชในกćรเขćรĀĆÿนĆ้นมีคüćมม่นคงปล Ć ĂดภĆย ดĆงนี้
   ประเภทกุญแจ / üิธีการเขารĀัÿ เกณฑขั้นต่ํา คüามยาüกุญแจ (อยางนอย) กุญแจแบบÿมมćตร (Symmetric) AES 256 bits
   กุญแจแบบĂÿมมćตร (Asymmetric) RSA 1024 bits
   กćร Hashing
   BCrypt
   Cost Factor 10 ขึ้นไป

10. ผูดูแลรąบบ ตĂงมีกćรทบทüนขĆ้นตĂนüิธี (Algorithm) แลąคüćมยćüขĂงกุญแจที่เขćรĀĆÿĂยćงนĂยปลą 1 คร้ง Ć เพื่ĂใĀยĆงÿćมćรถรĆกþćไüซึ่งคüćมมĆ่นคงปลĂดภĆย

11. ผูดูแลรąบบ ตĂงกํćĀนดใĀมีกćรบริĀćรจĆดกćรกุญแจที่ใชในกćรเขćรĀĆÿ ดĆงนี้
    5.1 กćรÿรćงกุญแจรĀĆÿคüรกรąทํćในÿถćนที่ที่มีมćตรกćรปĂงกĆนคüćมปลĂดภĆย
    5.2 เมื่ĂมีกćรÿรćงกุญแจรĀĆÿที่เปนกุญแจลĆบ (Private key) คüรÿงมĂบใĀกĆบเจćขĂงกุญแจโดยตรง โดยüิธีกćร ที่ปลĂดภĆย
    5.3 คüรจĆดใĀมีกćรเก็บบĆนทึก Log เพื่ĂกćรตรüจÿĂบÿํćĀรĆบกิจกรรมตćง ๆ ที่เกี่ยüขĂงกĆบกćรจĆดกćรกุญแจรĀĆÿ 6. ผูใชงćน คüรรกĆþćคüćมปลĂดภĆยในกćรใชงćนกุญแจ ดĆงนี้
    6.1 เก็บกุญแจรĀĆÿในÿถćนที่ที่ปลĂดภĆย เชน ตูนิรภĆย ĀรืĂÿื่ĂบĆนทึกที่ปลĂดภĆย แลąไมมีใครÿćมćรถเขćถึงได
    46
    6.2 เมื่ĂมีกćรรĆบกุญแจÿćธćรณą (Public key) มćใช กĂนใชงćนจąตĂงพิÿูจนคüćมถูกตĂงขĂงกุญแจÿćธćรณą โดยÿĂบถćมกĆบผูÿงĀรืĂตรüจÿĂบกĆบผูแทนในกćรรĆบรĂงคüćมถูกตĂงขĂงกุญแจÿćธćรณą (Certificate authority) ที่เชื่ĂถืĂไดเทćนĆ้น
    6.3 คüบคุมกćรใชงćนแลąจĆดเก็บกุญแจใĀÿĂดคลĂงกĆบกćรรĆกþćคüćมลĆบขĂมูลตćมที่ รฟม. กํćĀนด
    47
    ÿüนที่ 16
    การนําอุปกรณÿüนตัüมาใชงาน (Bring your own device)
    üัตถุประÿงค
    ▪ เพื่ĂคüบคุมกćรนํćĂุปกรณÿüนตĆüมćเชื่ĂมตĂĀรืĂเขćถึงรąบบÿćรÿนเทýขĂง รฟม. ที่ใชในกćรบริĀćรจĆดกćร รąบบÿćรÿนเทýขĂง รฟม. ĀรืĂปฏิบĆติงćนใĀ รฟม. ทĆ้งนี้เพื่ĂปĂงกĆนภĆยคุกคćมที่Ăćจจąเกิดขึ้นกĆบรąบบ ÿćรÿนเทýขĂง รฟม. รüมถึงเพื่ĂปĂงกĆนไมใĀขĂมูลขĂง รฟม. เกิดกćรรĆ่üไĀล
    ผูรับผิดชอบ
    ▪ ผูดูแลรąบบ
    ▪ ผูใชงćน
    อางอิงมาตรฐาน: ISO/IEC 27001: 2022
    ▪ มćตรกćรคüบคุมดćนบุคลćกร (People Controls)
    ▪ มćตรกćรคüบคุมดćนเทคโนโลยี (Technological Controls)
    แนüปฏิบัติ

12. ผูดูแลรąบบตĂงกํćĀนดคุณÿมบĆติขĂงรąบบปฏิบĆติกćรขĂงĂุปกรณÿüนตĆüที่ĂนุญćตใĀนํćมćเชื่ĂมตĂĀรืĂเขćถึง รąบบงćนÿćรÿนเทýขĂง รฟม. ได โดยตĂงเปนรąบบปฏิบĆติกćรที่ไมลćÿมĆย (Obsolete operating system) แลąยĆงไดรĆบกćรÿนĆบÿนุนกćรใชงćนจćกเจćขĂงผลิตภĆณฑ

13. ผูดูแลรąบบตĂงตĆดกćรเชื่ĂมตĂĀćกรąบบปฏิบĆติกćรขĂงĂุปกรณÿüนตĆüที่ĂนุญćตใĀนํćมćเชื่ĂมตĂĀรืĂเขćถึง รąบบงćนÿćรÿนเทýขĂง รฟม. เกิดกćรลćÿมĆย (Obsolete operating system) ĀรืĂเจćขĂงผลิตภĆณฑ ไมÿนĆบÿนุนกćรใชงćนแลü

14. ผูดูแลรąบบตĂงมีมćตรกćรปĂงกĆนมĆลแüร แลąตรüจÿĂบกćรĂĆปเดต Patch เüĂรชĆนขĂงรąบบปฏิบĆติกćรที่ เจćขĂงผลิตภĆณฑยĆงใĀกćรÿนĆบÿนุนกćรใชงćน

15. ผูดูแลรąบบตĂงไมĂนุญćตใĀĂุปกรณที่มีกćรปรĆบแตงกćรเขćถึงรąบบปฏิบĆติกćร (rooted/jailbroken) มćเชื่ĂมตĂ ĀรืĂเขćถึงรąบบÿćรÿนเทýขĂง รฟม.

16. ผูดูแลรąบบตĂงแบงแยกเครืĂขćยขĂงĂุปกรณÿüนตĆüที่นํćมćเชื่ĂมตĂĀรืĂเขćถึงรąบบÿćรÿนเทýขĂง รฟม. 6. ผูดูแลรąบบตĂงทบทüนเüĂรชĆนขĂงรąบบปฏิบĆติกćรที่ĂนุญćตใĀนํćมćเชื่ĂมตĂกĆบรąบบÿćรÿนเทýขĂง รฟม. ĂยćงนĂยปลą 2 คร้ง Ć Āćกมีกćรเปลี่ยนแปลงเüĂรชĆนขĂงรąบบปฏิบĆติกćรที่ĂนุญćตใĀเขćถึงรąบบÿćรÿนเทýขĂง รฟม. ผูดูแลąรąบบตĂงแจงใĀผูใชงćนรĆบทรćบลüงĀนć 7 üĆน กĂนเริ่มบĆงคบใช Ć

17. ผูใชงćนตĂงติดตĆ้งโปรแกรมปĂงกĆนมĆลแüรตćมเงื่Ăนไขที่ รฟม. กํćĀนด

18. ผูใชงćนตĂงไมนํćĂุปกรณÿüนตĆüที่ติดตĆ้งแĂปพลิเคชĆนนĂก Official store มćเชื่ĂมตĂĀรืĂเขćถึงรąบบงćน ÿćรÿนเทýขĂง รฟม.

19. ผูใชงćนตĂงไมนํćĂุปกรณÿüนตĆüที่ติดตĆ้งโปรแกรมลąเมิดลิขÿิทธิ์มćเชื่ĂมตĂĀรืĂเขćถึงรąบบงćนÿćรÿนเทý ขĂง รฟม.
    48

20. ผูใชงćนตĂงĂĆปเดต Patch ขĂงรąบบปฏิบĆติกćรที่ĂุปกรณÿüนตĆüใĀเปนเüĂรชĆนลćÿุด รüมถึงตĂงเปนรąบบปฏิบĆติกćร ที่เจćขĂงผลิตภĆณฑยĆงใĀกćรÿนĆบÿนุนกćรใชงćน

21. ผูใชงćนตĂงยืนยĆนตĆüตนกĂนเขćถึงรąบบÿćรÿนเทýขĂง รฟม. ทุกครĆ้ง

22. ผูใชงćนตĂงติดตĆ้ง Network Access Control agent (NAC agent) ĀรืĂ Mobile Device Management agent (MDM agent) ตćมที่ รฟม. กํćĀนด เพื่ĂคüบคุมกćรใชงćนเครืĂขćยแลąกćรเขćถึงรąบบÿćรÿนเทýขĂง รฟม. 13. กรณีĂุปกรณÿüนตĆüÿูญĀćยĀรืĂถูกขโมยผูใชงćนตĂงแจงผูดูแลรąบบโดยเร็üที่ÿุด เพื่ĂจĆดกćรขĂมูลที่จĆดเก็บĂยู ในĂุปกรณÿüนตĆüขĂงผูใชงćน

23. ผูใชงćนตĂงเขćถึงรąบบÿćรÿนเทýขĂง รฟม. ผćนชĂงทćงที่ รฟม. กํćĀนด เชน VPN

49
ÿüนที่ 17
การใชบริการ Cloud (Cloud Services)
üัตถุประÿงค
▪ เพื่ĂคüบคุมกćรเลืĂกใชงćน กćรบริĀćรจĆดกćร แลąกćรยกเลิกกćรใชบริกćร Cloud ĂยćงปลĂดภĆย ผูรับผิดชอบ
▪ ผูบĆงคĆบบĆญชć
▪ ผูดูแลรąบบ
▪ เจćขĂงรąบบ/เจćขĂงขĂมูล
อางอิงมาตรฐาน: ISO/IEC 27001: 2022
▪ มćตรกćรคüบคุมดćนĂงคกร (Organizational Controls)
แนüปฏิบัติ

1. ผูบĆงคĆบบĆญชćตĂงคüบคุม กํćกĆบ ดูแล ใĀกćรใชงćนบริกćร Cloud ÿĂดคลĂงตćมที่กฎĀมćย นโยบćย รąเบียบ ĀรืĂขĂบĆงคĆบที่ภćครĆฐกํćĀนด
2. ผูดูแลรąบบตĂงüิเครćąĀคüćมเÿี่ยงกĂนเลืĂกบริกćร Cloud มćใชงćนภćยในĂงคกร
3. ผูดูแลรąบบตĂงเลืĂกใชบริกćร Cloud ตćมที่กฎĀมćย นโยบćย รąเบียบ ĀรืĂขĂบĆงคĆบที่ภćครĆฐกํćĀนด 4. ผูดูแลรąบบตĂงเลืĂกผูใĀบริกćร Cloud (Cloud Service Provider) ที่เĀมćąÿมกĆบกćรดํćเนินงćนĂงคกร 5. ผูดูแลรąบบตĂงพิจćรณćขĂกํćĀนดĀรืĂเงื่ĂนไขขĂงผูใĀบริกćร Cloud (Cloud Service Provider) ใĀชĆดเจน กĂนตĆดÿินใจเลืĂกใชบริกćร
4. ผูดูแลรąบบตĂงเลืĂกใชบริกćร Cloud ที่เĀมćąÿมกĆบกćรดํćเนินงćนขĂงĂงคกร
5. ผูดูแลรąบบตĂงเลืĂกใชบริกćร Cloud ที่มีกćรรĆกþćคüćมปลĂดภĆย กćรบริĀćรจĆดกćรคüćมตĂเนื่Ăงทćงธุรกิจ แลąกćรจĆดใĀมีรąบบฉุกเฉินÿํćรĂงตćมมćตรฐćนÿćกล เชน ISO, NIST ĀรืĂ CSA STAR
6. ผูดูแลรąบบตĂงเลืĂกใชบริกćร Cloud ที่มีคüćมพรĂมใชงćนขĂงบริกćรครĂบคลุมรĂยลąขĂงเüลćที่พรĂม ใĀบริกćรตĂป (Uptime) ĂยćงนĂยรĂยลą 99.00
7. ผูดูแลรąบบตĂงเลืĂกใชบริกćร Cloud ที่มีกćรรĆกþćคüćมมĆ่นคงปลĂดภĆยขĂงขĂมูลÿüนบุคคลตćม พ.ร.บ. คุมครĂง ขĂมูลÿüนบุคคล พ.ý. 2562 ĀรืĂกฎĀมćยคุมครĂงขĂมูลÿüนบุคคลขĂงÿĀภćพยุโรป (General Data Protection Regulation: GDPR) ĀรืĂเทียบเทć
8. ผูดูแลรąบบ แลąเจćขĂงรąบบ/เจćขĂงขĂมูลตĂงพิจćรณćขĂมูลÿćรÿนเทýที่จąนํćไปใชงćนบนรąบบ Cloud ใĀÿĂดคลĂงตćมที่กฎĀมćย นโยบćย รąเบียบ ĀรืĂขĂบĆงคĆบที่ภćครĆฐกํćĀนด
9. ผูดูแลรąบบตĂงตĂงติดตćม ทบทüน แลąปรąเมินผลกćรใชบริกćร Cloud ĂยćงนĂยปลą 1 ครĆ้ง