ประกวดราคาจ้างบำรุงรักษาและซ่อมแซมแก้ไขเครื่องคอมพิวเตอร์แม่ข่ายอุปกรณ์จัดเก็บข้อมูลและระบบการบริหารจัดการที่เกี่ยวข้อง (MADC System) ประจำปีงบประมาณ 2570

• เพื่อบำรุงรักษา ปรับปรุงประสิทธิภาพ และซ่อมแซมแก้ไขเครื่องคอมพิวเตอร์แม่ข่าย อุปกรณ์จัดเก็บข้อมูล และระบบที่เกี่ยวข้องให้พร้อมใช้งานอย่างต่อเนื่อง
• เพื่อต่ออายุสิทธิ์การใช้งาน (License) และสิทธิ์การรับประกันระบบและอุปกรณ์ต่างๆ (เช่น VMware, Workspace One, SIEM, Trend Micro)
• เพื่อลดความเสี่ยงและความเสียหายที่อาจเกิดขึ้นกับระบบสารสนเทศของ รฟม.
• เพื่อรักษาความมั่นคงปลอดภัยของระบบเทคโนโลยีสารสนเทศให้เป็นไปตามมาตรฐาน ISO 27001 และนโยบายของ รฟม.

• การบำรุงรักษาอุปกรณ์ฮาร์ดแวร์และระบบที่เกี่ยวข้อง: ครอบคลุมเครื่องคอมพิวเตอร์แม่ข่าย Rack Server (DELL, HP, Lenovo) อุปกรณ์จัดเก็บข้อมูลภายนอก (HP, DELL, HITACHI) และระบบบริหารจัดการต่างๆ เช่น Active Directory, DNS, DHCP, ADFS, NTP, Workspace One, SIEM, Help Desk, Kaspersky และ Antivirus
• การจัดหาซอฟต์แวร์และต่ออายุสิทธิ์การใช้งาน (License): ต่อสิทธิ์การใช้งานและสิทธิ์การรับประกันอุปกรณ์เป็นเวลาไม่น้อยกว่า 1 ปี เช่น VMware Workspace One (500 ชุด), SIEM ArcSight Logger (1,000 EPS), VMware Cloud Foundation (24 Cores), VMware vSphere Foundation (124 Cores), Line Official Account (Package Pro), และ Trend Micro Endpoint Security
• การบำรุงรักษาเชิงป้องกัน (Preventive Maintenance - PM): ดำเนินการตรวจสอบ ทำความสะอาด สำรองข้อมูล และปรับปรุงซอฟต์แวร์ระบบจำนวน 4 ครั้ง (รายไตรมาส) พร้อมจัดทำรายงานสรุปผล
• การรวมศูนย์ระบบ VMware vCenter (Centralized vCenter Management): ออกแบบ ติดตั้ง และกำหนดค่าเพื่อรวมระบบ vCenter จากหลายแหล่งให้เป็นศูนย์กลางการบริหารจัดการเดียว พร้อมนำเครื่อง Big Data (Lenovo SR650) เข้าสู่ระบบ
• การปรับปรุงระบบบริหารจัดการ Log (SIEM): ติดตั้ง กำหนดค่า และนำเข้าข้อมูล Log จากเซิร์ฟเวอร์ทุกระบบของ รฟม. อย่างน้อย 100 เครื่องเข้าสู่ระบบ SIEM
• การบำรุงรักษาแบบแก้ไขซ่อมแซม (Corrective Maintenance - CM): ให้บริการรับแจ้งปัญหาตลอด 24 ชั่วโมง (Call Center/Website) และเข้าแก้ไขปัญหาแบบ Onsite Support ภายใน 4 ชั่วโมง (24x7x4) สำหรับอุปกรณ์หลัก และแก้ไขภายในวันทำการถัดไปสำหรับระบบทั่วไป
• การบริหารจัดการความมั่นคงปลอดภัยสารสนเทศ: ปรับปรุง Security Patch และปิดช่องโหว่ (Hardening) ตามระดับความรุนแรง (Critical ภายใน 30 วัน, High ภายใน 45 วัน, Medium ภายใน 60 วัน, Low ภายใน 120 วัน)
• การจัดทำเอกสารระบบ: สำรวจและปรับปรุงเอกสาร Role Matrix, Configuration Baseline, และ Asset Inventory

• รายงานการประชุมเริ่มงาน (Kickoff Meeting Report) และแผนการดำเนินงาน (ส่งมอบภายใน 10 วันทำการหลังประชุม)
• เอกสารสิทธิ์การใช้งานซอฟต์แวร์และสิทธิ์การรับประกันระบบ (License & Warranty Certificates) ที่ต่ออายุไม่น้อยกว่า 1 ปี (ส่งมอบในงวดที่ 1)
• รายงานสรุปผลการตรวจสอบและบำรุงรักษาเชิงป้องกัน (PM Report) รายไตรมาส จำนวน 4 ครั้ง พร้อมไฟล์ดิจิทัล (.docx, .xlsx) และข้อมูลสำรองระบบ (System & Configuration Backup) บน Cloud Storage ของ รฟม.
• รายงานผลการรวมศูนย์ระบบ VMware vCenter (Centralized vCenter Management) (ส่งมอบในงวดที่ 1)
• รายงานผลการปรับปรุงระบบ SIEM และการนำเข้า Log จากเซิร์ฟเวอร์อย่างน้อย 100 เครื่อง (ส่งมอบในงวดที่ 2)
• รายงานผลการวิเคราะห์ระบบคอมพิวเตอร์ เครือข่าย และระบบสนับสนุน พร้อมข้อเสนอแนะเพื่อรองรับการใช้งานในอนาคต (ส่งมอบในงวดที่ 2)
• เอกสาร Role Matrix แสดงสิทธิ์การเข้าถึงระบบทั้งหมด (ส่งมอบในงวดที่ 2)
• เอกสาร Configuration Baseline และ Asset Inventory ที่ปรับปรุงล่าสุด (ส่งมอบในงวดที่ 2)
• รายงานการแก้ไขปัญหา (CM Report) และรายงานการปิดช่องโหว่ความปลอดภัย (Hardening Report) (ถ้ามี)

ระยะเวลาดำเนินงานตั้งแต่วันที่ 1 ตุลาคม 2569 ถึงวันที่ 30 กันยายน 2570 (รวมระยะเวลา 1 ปี หรือ 12 เดือน)

ขอบเขตของงานจ้างบำรุงรักษาและซ่อมแซมแก้ไขเครื่องคอมพิวเตอร์แม่ข่ายอุปกรณ์จัดเก็บข้อมูล และระบบการบริหารจัดการที่เกี่ยวข้อง (MADC System) ประจำปีงบประมาณ 2570

1. ความเป็นมา
   รฟม. ได้จัดหาเครื่องคอมพิวเตอร์แม่ข่ายและอุปกรณ์จัดเก็บข้อมูล เพื่อให้บริการระบบสารสนเทศแก่ ผู้ใช้งานจำนวนมากตลอด 24 ชั่วโมง เนื่องจากอุปกรณ์ดังกล่าวได้ใช้งานมาอย่างต่อเนื่องเป็นระยะเวลานาน จึงจำเป็นต้องมีการบำรุงรักษาและปรับปรุงให้มีความทันสมัย มีความปลอดภัยอย่างสม่ำเสมอ เพื่อลดความ เสี่ยง ความเสียหายที่อาจเกิดขึ้น และเพื่อให้มีความพร้อมในการให้บริการได้อย่างต่อเนื่อง มีประสิทธิภาพ และปลอดภัย รวมทั้งเพื่อเป็นการลดค่าใช้จ่ายในการบำรุงรักษา
2. วัตถุประสงค์
   เพื่อจ้างบำรุงรักษา ปรับปรุงประสิทธิภาพ ซ่อมแซมแก้ไข และต่อสิทธิการใช้งานเครื่องคอมพิวเตอร์แม่ข่าย อุปกรณ์จัดเก็บข้อมูล ระบบเครื่องคอมพิวเตอร์แม่ข่ายเสมือน (VMware) ระบบยืนยันตัวตน (Microsoft Active Directory) ระบบให้บริการข้อมูล (File Server) ระบบบริหารจัดการอุปกรณ์ BYOD (Workspace One) ระบบบริหารจัดการ Log (SIEM) ตลอดจนอุปกรณ์และระบบอื่นๆ ที่เกี่ยวข้อง ให้มีความพร้อม
   ให้บริการได้อย่างต่อเนื่อง มีประสิทธิภาพ มีความปลอดภัย
3. คุณสมบัติของผู้ยื่นข้อเสนอ
   3.1 มีความสามารถตามกฎหมาย
   3.2 ไม่เป็นบุคคลล้มละลาย
   3.3 ไม่อยู่ระหว่างเลิกกิจการ
   3.4 ไม่เป็นบุคคลซึ่งอยู่ระหว่างถูกระงับการยื่นข้อเสนอหรือทำสัญญากับหน่วยงานของรัฐไว้ชั่วคราว เนื่องจากเป็นผู้ที่ไม่ผ่านเกณฑ์การประเมินผลการปฏิบัติงานของผู้ประกอบการตามระเบียบที่รัฐมนตรีว่าการ กระทรวงการคลังกำหนดตามที่ประกาศเผยแพร่ในระบบเครือข่ายสารสนเทศของกรมบัญชีกลาง
   3.5 ไม่เป็นบุคคลซึ่งถูกระบุชื่อไว้ในบัญชีรายชื่อผู้ทิ้งงานและได้แจ้งเวียนชื่อให้เป็นผู้ทิ้งงานของ หน่วยงานของรัฐในระบบเครือข่ายสารสนเทศของกรมบัญชีกลาง ซึ่งรวมถึงนิติบุคคลที่ผู้ทิ้งงานเป็นหุ้นส่วน ผู้จัดการ กรรมการผู้จัดการ ผู้บริหาร ผู้มีอำนาจในการดำเนินงานในกิจการของนิติบุคคลนั้นด้วย
   3.6 มีคุณสมบัติและไม่มีลักษณะต้องห้ามตามที่คณะกรรมการนโยบายการจัดซื้อจัดจ้างและการ บริหารพัสดุภาครัฐกำหนดในราชกิจจานุเบกษา
   3.7 เป็นนิติบุคคลผู้มีอาชีพรับจ้างงานที่ประกวดราคาด้วยวิธีประกวดราคาอิเล็กทรอนิกส์ดังกล่าว 3.8 ไม่เป็นผู้มีผลประโยชน์ร่วมกันกับผู้ยื่นข้อเสนอรายอื่นที่เข้ายื่นข้อเสนอให้แก่การรถไฟฟ้าขนส่งมวลชน แห่งประเทศไทย หรือไม่เป็นผู้กระทำการอันเป็นการขัดขวางการแข่งขันอย่างเป็นธรรมในการประกวดราคาครั้งนี้ 3.9 หรือความคุ้มกันซึ่งอาจปฏิเสธไม่ยอมขึ้นศาลไทย เว้นแต่ รัฐบาลของผู้ยื่น
   ไม่เป็นผู้ได้รับเอกสิทธิ์
   ข้อเสนอได้มีคำสั่งให้สละเอกสิทธิ์
   และความคุ้มกันเช่นว่านั้น
   3.10 ผู้ยื่นข้อเสนอที่ยื่นข้อเสนอในรูปแบบของ “กิจการร่วมค้า” ต้องมีคุณสมบัติดังนี้ (1) การกำหนดสัดส่วนในการเข้าร่วมค้าของคู่สัญญา
   กรณีที่ข้อตกลงฯ กำหนดให้ผู้เข้าร่วมค้ารายใดรายหนึ่งเป็นผู้เข้าร่วมค้าหลัก ข้อตกลงฯ จะต้องมี การกำหนดสัดส่วนหน้าที่และความรับผิดชอบในปริมาณงาน สิ่งของหรือมูลค่าตามสัญญาของผู้เข้าร่วมค้า หลักมากกว่าผู้เข้าร่วมค้ารายอื่นทุกราย
   /(2) กรณี…

• 2 -
  (2) กรณีที่ข้อตกลงฯ กำหนดให้ผู้เข้าร่วมค้ารายใดรายหนึ่งเป็นผู้เข้าร่วมค้าหลัก กิจการร่วมค้า นั้นต้องใช้ผลงานของผู้เข้าร่วมค้าหลักรายเดียวเป็นผลงานของกิจการร่วมค้าที่ยื่นข้อเสนอ สำหรับข้อตกลงฯ ที่ไม่ได้กำหนดให้ผู้เข้าร่วมค้ารายใดเป็นผู้เข้าร่วมค้าหลัก ผู้เข้าร่วมค้าทุก รายจะต้องมีคุณสมบัติครบถ้วนตามเงื่อนไขที่กำหนดไว้ในเอกสารเชิญชวน
  (3) การยื่นข้อเสนอของกิจการร่วมค้า
  (3.1) กรณีที่ข้อตกลงฯ กำหนดให้มีการมอบหมายผู้เข้าร่วมค้ารายใดรายหนึ่งเป็นผู้ยื่นข้อเสนอ ในนามกิจการร่วมค้า การยื่นข้อเสนอดังกล่าวไม่ต้องมีหนังสือมอบอำนาจ
  สำหรับข้อตกลงฯ ที่ไม่ได้กำหนดให้ผู้เข้าร่วมค้ารายใดเป็นผู้ยื่นข้อเสนอ ผู้เข้าร่วมค้าทุกราย จะต้องลงลายมือชื่อในหนังสือมอบอำนาจให้ผู้เข้าร่วมค้ารายใดรายหนึ่งเป็นผู้ยื่นข้อเสนอในนามกิจการร่วมค้า (3.2) การยื่นข้อเสนอด้วยวิธีประกวดราคาอิเล็กทรอนิกส์ (e - bidding) ให้ผู้เข้าร่วมค้าที่ ได้รับมอบหมายหรือมอบอำนาจตามข้อ (3.1) ดำเนินการซื้อเอกสารประกวดราคาอิเล็กทรอนิกส์ กรณีที่มี การจำหน่ายเอกสารซื้อหรือจ้าง
  3.11 ผู้ยื่นข้อเสนอต้องลงทะเบียนในระบบจัดซื้อจัดจ้างภาครัฐด้วยอิเล็กทรอนิกส์ (Electronic Government Procurement : e - GP) ของกรมบัญชีกลาง
  3.12 ผู้ยื่นข้อเสนอต้องมีมูลค่าสุทธิของกิจการเป็นไปตามหนังสือคณะกรรมการวินิจฉัยปัญหาการ จัดซื้อจัดจ้างและการบริหารพัสดุภาครัฐ ตามหนังสือด่วนที่สุด ที่ กค (กวจ) 0405.2/ว124 ลงวันที่ 1 มีนาคม 2566 หนังสือด่วนที่สุด ที่ กค (กวจ) 0405.2/ว814 ลงวันที่ 26 ธันวาคม 2567 และหนังสือด่วน ที่สุด ที่ กค (กวจ) 0405.2/ว48 ลงวันที่ 20 มกราคม 2568

4. เงื่อนไขและข้อกำหนดทั่วไป
   4.1 ผู้ยื่นข้อเสนอต้องมีศูนย์บริการรับแจ้งปัญหา (Call Center) หรือเว็บไซต์(Website) ของตนเอง ซึ่งใช้เป็นช่องทางในการรับแจ้งปัญหาต่างฯ หรือการขอรับบริการจากผู้ใช้งาน โดยต้องสามารถใช้งานได้จริง มีการระบุช่องทางการติดต่อที่ชัดเจน และสามารถให้บริการตอบรับได้ภายในระยะเวลาที่เหมาะสม
   4.2 ผู้ยื่นข้อเสนอต้องมีเจ้าหน้าที่ที่มีความรู้ด้านระบบคอมพิวเตอร์แม่ข่าย ระบบเครือข่าย ระบบ คอมพิวเตอร์แม่ข่ายเสมือน ระบบปฏิบัติการ (Windows/Linux) และมาตรฐาน ISO27001 เพื่อทำหน้าที่ดูแล บำรุงรักษา ตรวจสอบ และวิเคราะห์สาเหตุ ความเสี่ยงที่ทำให้ระบบหรืออุปกรณ์ต่างๆ ขัดข้อง โดยเจ้าหน้าที่ต้องได้รับใบรับรอง (Certificate) ดังนี้
   4.2.1 Microsoft Certified: Windows Server Hybrid Administrator Associate อย่างน้อย 2คน 4.2.2 Microsoft Certified: Identity and Access Administrator Associate อย่างน้อย 2คน 4.2.3 Cisco Certified Network Professional (CCNP) อย่างน้อย 1 คน
   4.2.4 Cisco Certified Network Associate (CCNA) อย่างน้อย 1 คน
   โดยรายการ 4.2.1 – 4.2.4 สามารถเป็นบุคคลเดียวกันได้ โดยใบรับรองทั้งหมดต้องยังไม่หมดอายุ ณ วันที่ยื่นข้อเสนอ และจะต้องแนบสำเนาใบรับรอง (Certificate) ดังกล่าวในวันที่ยื่นข้อเสนอ 4.3 ผู้ยื่นข้อเสนอจะต้องได้รับการแต่งตั้งเป็นตัวแทนจำหน่ายและให้บริการ และมีหนังสือรับรองการ ได้รับการสนับสนุนทางด้านเทคนิคที่ระบุเฉพาะสำหรับโครงการนี้เท่านั้น เพื่อสร้างความมั่นใจให้กับ หน่วยงานว่าจะได้รับการสนับสนุนด้านการบำรุงรักษาและด้านเทคนิค จากผู้ผลิตหรือสาขาของผู้ผลิตใน ประเทศไทย โดยจะต้องแนบสำเนาเอกสารดังกล่าวในวันที่ยื่นข้อเสนอ มีรายการผู้ผลิตและอุปกรณ์ดังนี้ 4.3.1 อุปกรณ์ยี่ห้อ DELL ตามข้อ 5.1.1.1, 5.1.1.3, 5.1.1.5, 5.1.2.2, 5.1.2.3, 5.1.2.4 4.3.2 อุปกรณ์ยี่ห้อ HP ตามข้อ 5.1.1.2
   4.3.3 อุปกรณ์ยี่ห้อ Lenovo ตามข้อ 5.1.1.4
   /4.4 กรณี…

• 3 -
  4.4 กรณีมีรายการใดอยู่นอกเหนือข้อกำหนดที่ระบุไว้ในขอบเขตของงาน แต่ส่งผลให้ระบบหรือ อุปกรณ์ในงานจ้างบำรุงรักษาและซ่อมแซมแก้ไขเครื่องคอมพิวเตอร์แม่ข่าย อุปกรณ์จัดเก็บข้อมูล และระบบ บริหารจัดการที่เกี่ยวข้อง ประจำปีงบประมาณ 2570 ไม่สามารถทำงานได้ตามความต้องการของ รฟม. ให้ ถือเป็นความรับผิดชอบของผู้รับจ้างที่ต้องดำเนินการเพื่อให้ตรงตามความต้องการที่ รฟม. ได้กำหนดไว้ โดย ไม่คิดค่าใช้จ่ายอื่นใดเพิ่มเติม

5. ขอบเขตของงานจ้าง
   5.1 บำรุงรักษาเครื่องคอมพิวเตอร์แม่ข่าย อุปกรณ์ระบบจัดเก็บข้อมูลแบบภายนอก ระบบ อุปกรณ์ ระบบเครือข่ายสื่อสารข้อมูลและอุปกรณ์ต่อควบ ดังนี้
   5.1.1 เครื่องคอมพิวเตอร์แม่ข่ายพร้อมอุปกรณ์ต่อควบ
   5.1.1.1 Rack Server ยี่ห้อ DELL รุ่น PowerEdge R740 จำนวน 2 ชุด (ระบบ VMware - ศูนย์ข้อมูลสำรอง)
   5.1.1.2 Rack Server ยี่ห้อ HP รุ่น DL380 (G10) จำนวน 2 ชุด (ระบบ VMware - ศูนย์ข้อมูลสำรอง)
   5.1.1.3 Rack Server ยี่ห้อ Dell vSAN Ready Node รุ่น R640 จำนวน 3 ชุด (ระบบ ERP – ศูนย์คอมพิวเตอร์หลัก)
   5.1.1.4 Rack Server ยี่ห้อ Lenovo รุ่น ThinkSystem SR650 จำนวน 3 ชุด (ระบบ Big Data)
   5.1.1.5 Rack Server ยี่ห้อ Dell รุ่น R740 จำนวน 1 ชุด (ระบบ EIS – ศูนย์คอมพิวเตอร์หลัก)
   5.1.2 อุปกรณ์ระบบจัดเก็บข้อมูลแบบภายนอกพร้อมอุปกรณ์ต่อควบ
   5.1.2.1 ยี่ห้อ HP รุ่น 3PAR8400 จำนวน 1 ชุด (ศูนย์ข้อมูลหลัก)
   5.1.2.2 ยี่ห้อ DELL รุ่น SC5020 จำนวน 1 ชุด (ศูนย์ข้อมูลสำรอง)
   5.1.2.3 ยี่ห้อ DELL รุ่น SCv3020 จำนวน 1 ชุด (ศูนย์ข้อมูลหลัก)
   5.1.2.4 ยี่ห้อ Dell EMC ME4012 จำนวน 1 ชุด (ระบบ Enterprise Resource Planning (ERP))
   5.1.3 อุปกรณ์ระบบจัดเก็บข้อมูลแบบภายนอกยี่ห้อ HITACHI รุ่น G10 จำนวน 2 ชุด (ระบบจัดเก็บเอกสารอิเล็กทรอนิกส์ผ่านเครือข่าย)
   5.1.4 อุปกรณ์ Monitor ยี่ห้อ HP รุ่น S340C จำนวน 2 ชุด 5.1.5 ระบบ Active Directory/DNS/DHCP/ADFS
   5.1.6 ระบบ NTP
   5.1.7 ระบบบริหารจัดการอุปกรณ์ BYOD VMware Workspace One
   5.1.8 ระบบจัดเก็บเอกสารอิเล็กทรอนิกส์ผ่านเครือข่าย (HCP Anywhere)
   5.1.9 ระบบบริหารจัดการ Log (SIEM)
   5.1.10 ระบบแจ้งปัญหาการใช้งานเทคโนโลยีสารสนเทศ (Help Desk)
   5.1.11 ระบบบริหารจัดการซอฟต์แวร์ Antivirus (Kaspersky Security Center)
   /5.1.12 ระบบ…

• 4 -
  5.1.12 ระบบบริหารจัดการของอุปกรณ์ External Storage ตามข้อ 5.1.2
  5.2 จัดหาซอฟต์แวร์ ต่อสิทธิการใช้และสิทธิการรับประกันระบบและอุปกรณ์ภายในรอบบำรุงรักษา ระบบและอุปกรณ์งวดที่ 1 โดยมีอายุการใช้งานไม่น้อยกว่า 1 ปีมีรายการ ดังนี้
  5.2.1 การรับประกันอุปกรณ์และสิทธิการใช้งานซอฟต์แวร์ควบคุมอุปกรณ์ตามข้อ 5.1.1 – 5.1.2 จากผู้ผลิต ยกเว้น ข้อ 5.1.2.1 (ยี่ห้อ HP รุ่น 3PAR8400)
  5.2.2 การรับประกันอุปกรณ์ตามข้อ 5.1.2.1 (ยี่ห้อ HP รุ่น 3PAR8400) และ 5.1.3 (HITACHI รุ่น G10) ให้ต่อกับบริษัทที่ให้บริการรับประกันที่น่าเชื่อถือ
  รายการต่อไปนี้ให้ต่อสิทธิการใช้งาน สิทธิการแจ้งปัญหา และสิทธิการปรับปรุงระบบ 5.2.3 ซอฟต์แวร์บริหารจัดการอุปกรณ์ จำนวน 500 ชุด BYOD VMware Workspace One (Cloud Subscription) จากผู้ผลิต
  5.2.4 ซอฟต์แวร์บริหารจัดการ Log (SIEM) จำนวน 1,000ชุด(EPS) (ArcSight Logger Standard) จากผู้ผลิต
  5.2.5 ระบบบริหารทรัพยากรองค์กร (ERP) ซอฟต์แวร์ VMware Cloud Foundation จำนวน 1 แกนประมวลผลรวมแล้วจำนวน 24 แกน (3x8)
  5.2.6 ระบบเครื่องคอมพิวเตอร์แม่ข่ายเสมือนของศูนย์คอมพิวเตอร์สำรอง (DR) VMware vSphere Foundation ดังนี้
  5.2.6.1 ซอฟต์แวร์ VMware vCenter Server จำนวน 1 ชุด
  5.2.6.2 ซอฟต์แวร์ VMware vSphere ESX จำนวน 4 ชุด
  ระบบเครื่องคอมพิวเตอร์แม่ข่ายเสมือนของศูนย์คอมพิวเตอร์สำรอง (DR) มีแกนประมวลผลรวม แล้วจำนวน 124 แกน
  5.2.7 ต่อสิทธิการใช้งาน Line Official Account Manager แบบรายเดือน (Package Pro + Premium ID + แชทแพ็กเกจแบบ Paid) เพื่อสนับสนุนการปฏิบัติงานตลอดอายุสัญญา 5.2.8 ต่อสิทธิการใช้งาน Trend Micro ดังนี้
  5.2.8.1Endpoint Security – Pro 25 Unit
  5.2.8.2Endpoint Security – Essentials 200 Unit
  5.3 ข้อกำหนดการบำรุงรักษาแบบ Preventive Maintenance (PM) ต้องบำรุงรักษาระบบและ อุปกรณ์ต่างๆ อย่างน้อย ดังนี้
  5.3.1 เครื่องคอมพิวเตอร์แม่ข่ายและอุปกรณ์ระบบจัดเก็บข้อมูลแบบภายนอกพร้อมอุปกรณ์ต่อ ควบ ตามข้อ 5.1.1 – 5.1.3
  5.3.1.1 ทำการดูดฝุ่นและเช็ดทำความสะอาดตัวเครื่อง
  5.3.1.2 ทำการ Backup ตรวจสอบความถูกต้องของ Configuration
  5.3.1.3 ตรวจสอบการเชื่อมต่อสายไฟ สายสัญญาณต่างๆ
  5.3.1.4 ตรวจสอบการทำงานของ OS, Memory, CPU, Hard disk, Interfaces, Power Supply เป็นต้น
  5.3.1.5 ตรวจสอบการกำหนด Policy ควบคุมการใช้งาน
  5.3.1.6 ตรวจสอบ แก้ไข ติดตั้ง ปรับปรุง Software ต่างๆ ของอุปกรณ์ให้เป็นปัจจุบัน 5.3.1.7 ตรวจสอบการจัดส่ง Syslog ไปเก็บบนอุปกรณ์จัดเก็บ Log ให้เป็นไปอย่างต่อเนื่อง (ถ้ามี) 5.3.1.8 ตรวจสอบและแก้ไขการแจ้งเตือนต่างๆ
  5.3.2 ซอฟต์แวร์ ระบบสารสนเทศ ระบบงานต่างๆ ตามข้อ 5.1.5 – 5.1.12
  /5.3.2.1 ตรวจสอบ…
• 5 -
  5.3.2.1 ตรวจสอบความถูกต้องของ Configuration (ถ้ามี)
  5.3.2.2 ตรวจสอบฟังก์ชันการทำงานของระบบที่ รฟม. จำเป็นต้องใช้งาน
  5.3.2.3 ตรวจสอบการทำงานของ OS, Memory, CPU, Hard Disk, Interfaces
  5.3.2.4 ตรวจสอบการกำหนด Policy ควบคุมการใช้งานต่างๆ
  5.3.2.5 ตรวจสอบเวอร์ชันของซอฟต์แวร์ ระบบสารสนเทศ ระบบงานต่างๆ หากพบว่ามี เวอร์ชันใหม่ ให้ตรวจสอบความเข้ากันของระบบ และ/หรือ อุปกรณ์ก่อนดำเนินการปรับปรุงเวอร์ชันดังกล่าว 5.3.3 ผู้รับจ้างต้องจัดส่งเจ้าหน้าที่ที่มีความรู้ความสามารถเข้ามาดำเนินการตรวจสอบ บำรุงรักษาในวันและเวลาทำการของ รฟม. (วันจันทร์ถึงวันศุกร์ เวลาทำการ 08.00 – 17.00 น.) หรือตาม วันและเวลาที่ รฟม. กำหนด (ในกรณีที่ไม่สามารถดำเนินการในวันและเวลาทำการได้) 5.3.4 หลังจากที่ผู้รับจ้างได้ทำการตรวจสอบและบำรุงรักษาตามแต่ละงวดจนแล้วเสร็จผู้รับจ้าง ต้องจัดทำรายงานเอกสารสรุปผลการตรวจสอบและบำรุงรักษาระบบ รวมถึงอุปกรณ์ต่างๆ ทั้งหมด พร้อม ทั้งให้ข้อเสนอแนะ วิธีแก้ไขปัญหา และต้องจัดให้มีทีมงานที่มีความรู้และมีประสบการณ์ในการดูแลระบบ คอมพิวเตอร์แม่ข่าย ระบบเครือข่ายสื่อสารข้อมูล ระบบสนับสนุนการทำงานต่างๆ ของศูนย์คอมพิวเตอร์ ประชุมเพื่อนำเสนอรายงานสรุปผลการตรวจสอบและบำรุงรักษาให้ รฟม. รับทราบทุกครั้ง ภายใน 10 วัน ทำการ หรือตามวันเวลาที่ รฟม. กำหนด รวมถึงต้องจัดทำใบลงชื่อผู้เข้าร่วมฟังรายงานสรุปฯ ดังกล่าวด้วย ทั้งนี้ผู้รับจ้างต้องส่งเอกสารรายงานในรูปแบบไฟล์ดิจิทัลที่สมบูรณ์ซึ่งได้รับการยอมรับหรือปรับแก้ไขแล้ว จาก รฟม. ภายใน 20 วันทำการ นับถัดจากวันที่ประชุมเพื่อนำเสนอรายงานสรุปผลการตรวจสอบและ บำรุงรักษาในแต่ละงวด โดยจัดเก็บข้อมูลดังกล่าว ลงบนพื้นที่ Cloud Storage ตามที่ รฟม. กำหนด 5.3.5 ตามข้อ 5.3.3 – 5.3.4 ผู้รับจ้างต้องมีหนังสือแจ้งให้ รฟม. ทราบเป็นลายลักษณ์อักษร ล่วงหน้าไม่น้อยกว่า 3 วันทำการ โดยให้เสนอต่อคณะกรรมการตรวจรับพัสดุ
  5.3.6 ผู้รับจ้างต้องดำเนินการสำรองข้อมูลทั้งในส่วนของ System และ Configuration ที่ จำเป็นและมีความสำคัญของอุปกรณ์และระบบทั้งหมด (ถ้ามี) โดยต้องจัดเก็บข้อมูลดังกล่าว ลงบนพื้นที่ Cloud Storage ตามที่ รฟม. กำหนด ต่อรอบการบำรุงรักษา ทั้งนี้ให้จัดส่งพร้อมกับรายงานสรุปผลการ ตรวจสอบและบำรุงรักษาระบบ รวมถึงอุปกรณ์ต่างๆ ทั้งหมด ตามข้อ 5.3.4 ในการประชุมแต่ละครั้งด้วย
  5.3.7 การบำรุงรักษาระบบและอุปกรณ์ตามข้อ 5.1 มีรอบเวลาการให้บริการบำรุงรักษาจำนวน รวม 4 ครั้ง หากในระหว่างดำเนินโครงการมีความจำเป็นต้องเปลี่ยนแปลงวันและเวลาจากแผนงานที่ได้ เสนอให้ รฟม. ผู้รับจ้างต้องมีหนังสือแจ้งให้ทราบล่วงหน้าเป็นลายลักษณ์อักษร ก่อนถึงวันที่กำหนดอย่าง น้อย 5 วันทำการ โดยให้เสนอต่อคณะกรรมการตรวจรับพัสดุ
  5.3.8 ผู้รับจ้างต้องดำเนินการออกแบบ ติดตั้ง และกำหนดค่า พร้อมทั้งดำเนินการรวมระบบ VMware vCenter จากหลาย vCenter (Multi-vCenter) ให้เป็นศูนย์กลางการบริหารจัดการเดียว (Centralized vCenter Management) พร้อมนำเครื่องคอมพิวเตอร์แม่ข่ายยี่ห้อ Lenovo รุ่น ThinkSystem SR650 (ระบบ Big Data) (ข้อ 5.1.1.4) เข้าสู่ระบบ VMware vCenter เพื่อให้สามารถ บริหารจัดการทรัพยากรเสมือนทั้งหมดได้จาก vCenter เดียว
  5.3.9 ผู้รับจ้างต้องดำเนินการปรับปรุงระบบบริหารจัดการ Log (SIEM) และต้องดำเนินการ ติดตั้ง กำหนดค่า และนำเข้าข้อมูล Log จากเครื่องคอมพิวเตอร์แม่ข่าย (Server) ทุกระบบของ รฟม. เข้าสู่ ระบบ SIEM อย่างน้อย 100 เครื่อง จนสามารถใช้งานได้อย่างสมบูรณ์
  5.4 ข้อกำหนดการบำรุงรักษาแบบ Corrective Maintenance (CM)
  5.4.1 ภายในระยะเวลาที่กำหนดไว้ตามข้อกำหนดนี้ ผู้รับจ้างตกลงยอมรับประกันความชำรุด บกพร่องหรือขัดข้องของอุปกรณ์/ระบบดังนี้
  /1) ระบบ…
• 6 -

1. ระบบและอุปกรณ์ (Hardware) ตามข้อ 5.1.1 - 5.1.2 ยกเว้น ข้อ 5.1.2.1 (ยี่ห้อ HP รุ่น 3PAR8400) ต้องรับประกันโดยบริษัทผู้ผลิต แบบตลอด 24 ชั่วโมง 7 วัน และ Onsite Support ภายใน 4 ชั่วโมง (24x7x4)
2. ระบบและอุปกรณ์ (Hardware) ตามข้อ 5.1.2.1 (ยี่ห้อ HP รุ่น 3PAR8400), 5.1.3 - 5.1.4 ต้องรับประกันโดยบริษัทที่น่าเชื่อถือ แบบตลอด 24 ชั่วโมง 7 วัน และ Onsite Support ภายใน 4 ชั่วโมง (24x7x4)
3. ระบบตามข้อ 5.1.6 - 5.1.10 ให้มีการรับประกันความพร้อมใช้งานโดยผู้รับจ้างแบบ ตลอด 24 ชั่วโมง 7 วัน และ Onsite Support ภายใน 4 ชั่วโมง (24x7x4)
4. ระบบตามข้อ 5.1.5, 5.1.11-5.1.12 ให้มีการรับประกันความพร้อมใช้งานโดยผู้รับจ้าง แบบตลอด 8 ชั่วโมง 5 วัน และเข้ามาแก้ไขในวันทำการถัดไป (Next Business Day) (8x5x(NBD)) หากอุปกรณ์/ระบบชำรุดบกพร่อง หรือมีการแสดงผลไม่ถูกต้องหรือไม่สามารถใช้งานได้ ทั้งหมดหรือแต่บางส่วน รฟม. จะแจ้งให้ผู้รับจ้างทำการแก้ไข ปรับปรุง ซ่อมแซมหรือเปลี่ยนอุปกรณ์ที่ชำรุด บกพร่องนั้นได้ตลอด 24 ชั่วโมง การที่จะแก้ไขซ่อมแซมหรือเปลี่ยนอุปกรณ์ดังกล่าวให้อยู่ในดุลยพินิจและ การตัดสินใจของ รฟม. แต่เพียงผู้เดียว
   5.4.2 ผู้รับจ้างจะต้องจัดให้มีเจ้าหน้าที่ที่มีความเชี่ยวชาญและมีประสบการณ์ไว้รับแจ้งปัญหา และแจ้งแนวทางในการแก้ไขปัญหาเบื้องต้นภายใน 2 ชั่วโมง ทางจดหมายอิเล็กทรอนิกส์และทางโทรศัพท์ นับตั้งแต่เวลาที่ รฟม. ได้แจ้งความชำรุดบกพร่องให้ผู้รับจ้างทราบทางโทรศัพท์ โทรศัพท์เคลื่อนที่ หรือ จดหมายอิเล็กทรอนิกส์ (E-mail) ได้ทุกวัน ไม่เว้นวันหยุด
   5.4.3 ผู้รับจ้างต้องดำเนินการแก้ไข ซ่อมแซม หรือเปลี่ยนอุปกรณ์ให้แล้วเสร็จสามารถใช้งานได้ เป็นปกติดีดังเดิมภายใน 24 ชั่วโมง (ยกเว้นข้อ 5.1.5, 5.1.11-5.1.12 จะต้องซ่อมแซมและแก้ไขให้แล้วเสร็จ ในวันทำการวันถัดไป) นับแต่เวลาที่ รฟม. ได้แจ้งความชำรุดบกพร่องดังกล่าว ทั้งนี้ ในระหว่างเวลาแก้ไข ซ่อมแซม ผู้รับจ้างจะต้องจัดหาอุปกรณ์ที่เหมาะสมมาใช้ทดแทนเพื่อให้ รฟม. สามารถปฏิบัติงานได้อย่าง ต่อเนื่อง โดยอะไหล่หรือวัสดุอุปกรณ์ที่นำมาใช้ในการซ่อมแซมแก้ไข หรือให้ใช้เป็นการชั่วคราว หรือที่นำมา เปลี่ยนให้ใหม่นั้น จะต้องมีคุณสมบัติไม่ต่ำกว่าของเดิม กรณีการเปลี่ยนวัสดุอุปกรณ์ให้ใหม่ วัสดุอุปกรณ์นั้น จะต้องเป็นของใหม่ที่ไม่เคยถูกใช้งานมาก่อน และไม่เป็นของเก่าเก็บ
   5.4.4 หากผู้รับจ้างไม่สามารถแก้ไข ซ่อมแซม หรือเปลี่ยนอุปกรณ์ภายในระยะเวลาที่กำหนดไว้ ข้างต้นได้ รฟม. มีสิทธิจ้างผู้รับจ้างรายอื่นให้ดำเนินการแทนจนกว่าการซ่อมแซมแก้ไข หรือเปลี่ยนอุปกรณ์ เสร็จสิ้น โดยไม่ทำให้ระยะเวลาการรับประกันสิ้นสุดลง และผู้รับจ้างต้องเป็นผู้ออกค่าใช้จ่ายเพื่อการนี้ทั้งสิ้น โดยค่าใช้จ่ายที่เกิดขึ้น รฟม. จะหักออกจากค่าจ้างหรือเงินอื่นๆ ที่ค้างจ่าย
   5.4.5 ผู้รับจ้างต้องจัดเตรียมพาหนะ หรือบริการรับ - ส่งเจ้าหน้าที่ รฟม. ในการปฏิบัติงานนอก สถานที่ เพื่อการซ่อมแซมแก้ไขหรือเปลี่ยนแปลงอุปกรณ์นอกสถานที่ทุกครั้ง ตามที่เจ้าหน้าที่ รฟม. ร้องขอ ทั้งนี้ผู้รับจ้างต้องรับผิดชอบค่าใช้จ่ายทั้งหมดที่เกิดขึ้นจริงจากการเดินทางดังกล่าว
   5.4.6 กรณีที่จำเป็นต้องดำเนินการแก้ไขซ่อมแซมนอกช่วงวันและเวลาทำการของ รฟม. ผู้รับจ้าง ต้องสามารถบำรุงรักษาแก้ไขซ่อมแซมจนกว่างานจะแล้วเสร็จ หรือเข้ามาบำรุงรักษา แก้ไขซ่อมแซมตามวัน และเวลาที่ รฟม. กำหนดได้
   5.5 ผู้รับจ้างต้องจัดให้มีการประชุมเริ่มงาน (Kickoff Meeting) ภายใน 15 วันทำการนับถัดจากวันที่ ลงนามในสัญญา เพื่อทำความเข้าใจขอบเขตของงานและนำเสนอแผนการดำเนินงาน รายชื่อผู้ติดต่อหลัก ผู้ติดต่อสำรอง และเจ้าหน้าที่ผู้ปฏิบัติงานพร้อมหมายเลขโทรศัพท์ โทรศัพท์เคลื่อนที่ E-mail Address และ ช่องทางการแจ้งปัญหา ทั้งนี้หากมีการเปลี่ยนแปลงในระหว่างดำเนินโครงการ ผู้รับจ้างต้องมีหนังสือแจ้งให้ /รฟม. ทราบ…

• 7 -
  รฟม. ทราบเป็นลายลักษณ์อักษรโดยเร็วที่สุด โดยให้เสนอต่อคณะกรรมการตรวจรับพัสดุ ภายหลังการ ประชุมผู้รับจ้างต้องจัดส่งรายงานการประชุมและแผนการดำเนินงานให้ รฟม. ภายใน 10 วันทำการนับถัด จากประชุมเริ่มงาน (Kickoff Meeting)
  5.6 ในกรณีที่ รฟม. มีการปรับปรุง เปลี่ยนแปลง หรือโยกย้ายอุปกรณ์ รวมถึงการปรับแต่ง Configuration ต่างๆ ของระบบและอุปกรณ์ ตามข้อ 5.1 ทั้งในส่วนของ Hardware และ Software เพื่อให้ อุปกรณ์ดังกล่าวสามารถทำงานร่วมกับระบบอื่นๆ ที่เกี่ยวข้องหรืออุปกรณ์ที่ รฟม. จัดหามาใหม่ ในอนาคต ได้นั้น รฟม. สามารถร้องขอให้ผู้รับจ้างจัดส่งทีมงานหรือเจ้าหน้าที่ที่มีความรู้ ความสามารถเข้ามาดำเนินการ ณ สถานที่ติดตั้งได้ โดยแจ้งผ่านทางโทรศัพท์ โทรศัพท์เคลื่อนที่ หรือ E-mail ได้ทุกวันทำการของ รฟม. และผู้รับจ้างต้องจัดส่งทีมงานหรือเจ้าหน้าที่เข้ามาดำเนินการภายใน 15 วัน โดยนับจากวันที่ รฟม. แจ้งให้ ผู้รับจ้างทราบ หรือตามวันและเวลาที่ รฟม. กำหนด พร้อมทั้งจัดทำแผนการดำเนินงานที่ชัดเจนการประเมิน ความเสี่ยงที่อาจเกิดขึ้น ผลกระทบที่อาจเกิดขึ้น และแนวทางการรับมือกรณีเกิดข้อผิดพลาดต่างๆ รวมถึง แผนทดสอบก่อนเข้ามาดำเนินการ ทั้งนี้เพื่อให้การดำเนินงานสำเร็จลุล่วงไปได้ด้วยดี ผู้รับจ้างต้อง ประสานงานและติดตามกับผู้รับจ้างรายอื่นที่เกี่ยวข้องด้วย
  5.7 ในกรณีที่ รฟม. มีความจำเป็นต้อง ปิด/เปิด ระบบและอุปกรณ์ที่อยู่ในข้อ 5.1 รวมถึงการทดสอบ แผนการกู้คืนระบบ ผู้รับจ้างต้องจัดทีมงานหรือเจ้าหน้าที่เข้ามาดำเนินการด้วยทุกครั้ง ตามที่ รฟม. กำหนด 5.8 ผู้รับจ้างต้องจัดให้มีทีมงานหรือเจ้าหน้าที่ที่มีความเชี่ยวชาญ ดูแล ให้คำปรึกษาและแก้ไขปัญหา ทางด้านเทคนิคกับเจ้าหน้าที่ที่ดูแลระบบของ รฟม. ผ่านทางโทรศัพท์ โทรศัพท์เคลื่อนที่ E-mail และหาก ปัญหาข้างต้นไม่สามารถแก้ไขได้ รฟม. สามารถร้องขอให้ผู้รับจ้างจัดส่งทีมงานหรือเจ้าหน้าที่ที่มีความ เชี่ยวชาญ เข้ามาดำเนินการที่ รฟม. ภายในวันทำการถัดไป หรือวันและเวลาตามที่ รฟม. กำหนดได้ 5.9 หลังจากที่ผู้รับจ้างได้เข้าทำการตรวจสอบและบำรุงรักษาตามรอบเวลาที่กำหนด ผู้รับจ้างต้อง จัดส่งรายงานผลการตรวจสอบ บำรุงรักษา ซ่อมแซมแก้ไขระบบคอมพิวเตอร์แม่ข่าย ระบบสนับสนุนการ ทำงานต่างๆ และเอกสารอื่นๆ ที่เกี่ยวข้อง ในรูปแบบไฟล์ดิจิทัลที่สามารถแก้ไขปรับปรุงได้เช่น .docx, .xlsx เป็นต้น โดยต้องจัดเก็บข้อมูลดังกล่าว ลงบนพื้นที่ Cloud Storage ตามที่ รฟม. กำหนด เสนอต่อ คณะกรรมการตรวจรับพัสดุ โดยรายงานต้องมีรายละเอียดครอบคลุมดังนี้
  5.9.1 สรุปผลการตรวจสอบและบำรุงรักษาระบบคอมพิวเตอร์ ระบบสนับสนุนการทำงานต่างๆ ที่เป็นไปตามเงื่อนไขข้อ 5.3
  5.9.2 ข้อมูลการ Backup System & Configuration ที่จำเป็นและสำคัญของระบบและอุปกรณ์ 5.9.3 รายงานการแก้ไขปัญหาต่างๆ ที่เกิดขึ้นพร้อมแนวทางและวิธีการแก้ไขปัญหาดังกล่าว 5.10 ภายในรอบบำรุงรักษาระบบและอุปกรณ์งวดที่ 2 ผู้รับจ้างต้องจัดให้มีทีมงานที่มีความรู้และมี ประสบการณ์เพื่อทำการวิเคราะห์ระบบคอมพิวเตอร์ ระบบเครือข่ายสื่อสารข้อมูล และระบบสนับสนุนการ ทำงานของศูนย์คอมพิวเตอร์หลัก รฟม. ที่ใช้งานในปัจจุบัน โดยต้องสรุปผลการวิเคราะห์พร้อมทั้งให้ ข้อเสนอแนะเพื่อใช้เป็นแนวทางในการปรับปรุงระบบให้ดียิ่งขึ้น และรองรับการใช้งานในอนาคตได้อย่างมี ประสิทธิภาพ โดยต้องจัดทำผลการวิเคราะห์และข้อเสนอแนะต่างๆ เป็น Digital File ที่สามารถแก้ไข ปรับปรุงได้เช่น .docx, .xlsx, .vsdx เป็นต้น โดยต้องจัดเก็บข้อมูลดังกล่าว ลงบนพื้นที่ Cloud Storage ตามที่ รฟม. กำหนด เพื่อเสนอต่อคณะกรรมการตรวจรับพัสดุ พร้อมทั้งต้องจัดให้มีการประชุมเพื่อสรุปผล และให้ข้อเสนอแนะแก่เจ้าหน้าที่ผู้ดูแลระบบตามวันและเวลาที่ รฟม. กำหนด
  5.11 ผู้รับจ้างจะต้องส่งบุคลากรเป็นตัวแทนเข้าร่วมการฝึกอบรมด้านความมั่นคงปลอดภัยสารสนเทศ (Information Security Awareness) อย่างน้อย 1 คน เพื่อสร้างความตระหนักที่เหมาะสม ทบทวน นโยบายการรักษาความมั่นคงปลอดภัยของระบบเทคโนโลยีสารสนเทศ และขั้นตอนปฏิบัติของ รฟม. /5.12 การปรับค่า…
• 8 -
  5.12 การปรับค่า (Configuration) หรือการเปลี่ยนแปลงค่าใดๆ ที่เกี่ยวกับอุปกรณ์หรือระบบตามข้อ 5.1 อันเนื่องมาจากความผิดปกติหรือความต้องการของ รฟม. ผู้รับจ้างต้องแจ้งก่อนดำเนินการปรับค่า (Configuration) หรือการเปลี่ยนแปลงค่าใดๆ อย่างน้อย 10 วันทำการ และผู้รับจ้างต้องจัดทำสรุป รายละเอียดของการดำเนินงานในแต่ละครั้ง โดยให้แสดงข้อมูลที่เกี่ยวข้องกับการดำเนินงาน เช่น สาเหตุ หรือปัจจัย สถานะก่อนและหลังการปรับค่าหรือเปลี่ยนแปลงค่า วัน/เวลาที่ดำเนินการ รวมถึงผู้ดำเนินการ เป็นอย่างน้อย
  5.13 ผู้รับจ้างต้องดำเนินการเกี่ยวกับความมั่นคงปลอดภัยด้านเทคโนโลยีสารสนเทศ โดยปรับปรุง Security Patch หรือช่องโหว่ ของระบบและ/หรืออุปกรณ์ทั้งหมด ตามที่ รฟม. ร้องขอ 5.14 กรณีที่ รฟม. ตรวจพบช่องโหว่ หรือมีการประกาศช่องโหว่อย่างเป็นทางการ ผู้รับจ้างต้องปิดช่อง โหว่ (Hardening) และรายงานผลการปิดช่องโหว่ให้คณะกรรมการตรวจรับพัสดุทราบ โดยต้องดำเนินการ ตามรายละเอียด ดังนี้
  5.14.1 กรณีช่องโหว่ระดับวิกฤติ (Critical) ภายใน 30 วัน
  5.14.2 กรณีช่องโหว่ระดับสูง (High) ภายใน 45 วัน
  5.14.3 กรณีช่องโหว่ระดับปานกลาง (Medium) ภายใน 60 วัน
  5.14.4 กรณีช่องโหว่ระดับต่ำ (Low) ภายใน 120 วัน
  นับแต่วันที่คณะกรรมการตรวจรับพัสดุหรือผู้ควบคุมงานแจ้งผู้รับจ้างรับทราบ หากผู้รับจ้างไม่สามารถ ปิดช่องโหว่ดังกล่าวได้ผู้รับจ้างจะต้องจัดทำแผนลดความเสี่ยงหรือกำหนดมาตรการควบคุมที่เหมาะสมเพื่อ ป้องกันภัยคุกคามที่อาจจะเกิดขึ้น พร้อมระบุเหตุผลที่ไม่สามารถปิดช่องโหว่ให้คณะกรรมการตรวจรับพัสดุ ทราบภายในระยะเวลา 30 วัน นับแต่วันที่คณะกรรมการตรวจรับพัสดุหรือผู้ควบคุมงาน แจ้งผู้รับจ้าง รับทราบ
  5.15 ผู้รับจ้างต้องสำรวจอุปกรณ์และระบบทั้งหมด พร้อมจัดทำและปรับปรุงเอกสาร Role Matrix แสดงสิทธิการเข้าถึงระบบโดยครอบคลุมถึง Module ย่อยทั้งหมด รวมถึง User กลุ่มต่างๆ ด้วย เช่น System User ตามรูปแบบที่ รฟม. กำหนด
  5.16 ผู้รับจ้างต้องสำรวจอุปกรณ์และระบบทั้งหมด พร้อมจัดทำและปรับปรุงเอกสาร Configuration Baseline และ Asset Inventory รูปแบบที่ รฟม. กำหนด
  5.17 กรณี รฟม. มีความจำเป็นต้องทำลายข้อมูลของอุปกรณ์ในสัญญานี้หรืออุปกรณ์ที่ รฟม. ต้องการ ทำลายข้อมูล ผู้รับจ้างต้องเสนอวิธีทำลายข้อมูล (Data Destruction) วิธีการลบข้อมูลการตั้งค่า (Configuration) และวิธีการทำลายอื่นๆ ทั้งหมดที่อยู่บนอุปกรณ์ให้ ฝทท. พิจารณา โดยการทำลายข้อมูลนี้ ให้ถือเป็นค่าใช้จ่ายของผู้รับจ้างเอง

6. กำหนดการส่งมอบพัสดุ
   ระยะเวลาดำเนินงานตั้งแต่วันที่ 1 ตุลาคม 2569 – 30 กันยายน 2570
7. หลักเกณฑ์ในการพิจารณาคัดเลือกข้อเสนอ
   ในการพิจารณาผลการยื่นข้อเสนอ รฟม. จะพิจารณาตัดสินโดยใช้หลักเกณฑ์ราคา
8. วงเงินงบประมาณ/วงเงินที่ได้รับจัดสรร
   20,000,000.00 (ยี่สิบล้านบาทถ้วน) รวมภาษีมูลค่าเพิ่ม
   /9. งวดงาน…

• 9 -

9. งวดงานและการจ่ายเงิน
   การชำระเงินตามสัญญา แบ่งออกเป็น 4 งวด ซึ่งได้รวมภาษีมูลค่าเพิ่มแล้ว มีรายละเอียดดังนี้ 9.1 งวดที่ 1 ชำระเงินจำนวนร้อยละ 25 ของมูลค่าตามสัญญา เมื่อผู้รับจ้างได้ดำเนินการบำรุงรักษา และซ่อมแซมแก้ไขครั้งที่ 1 เป็นเวลา 3 เดือน นับตั้งแต่วันที่ 1 ตุลาคม 2569 - 31 ธันวาคม 2569 และ คณะกรรมการตรวจรับพัสดุ ได้ตรวจรับงานถูกต้องครบถ้วนแล้ว ตามข้อ 5.2, 5.3.8, 5.5, 5.9 9.2 งวดที่ 2 ชำระเงินจำนวนร้อยละ 25 ของมูลค่าตามสัญญา เมื่อผู้รับจ้างได้ดำเนินการบำรุงรักษา และซ่อมแซมแก้ไขครั้งที่ 2 เป็นเวลา 3 เดือน นับตั้งแต่วันที่ 1 มกราคม 2570 - 31 มีนาคม 2570 และ คณะกรรมการตรวจรับพัสดุ ได้ตรวจรับงานถูกต้องครบถ้วนแล้ว ตามข้อ 5.3.9, 5.9-5.10, 5.15-5.16 9.3 งวดที่ 3 ชำระเงินจำนวนร้อยละ 25 ของมูลค่าตามสัญญา เมื่อผู้รับจ้างได้ดำเนินการบำรุงรักษา และซ่อมแซมแก้ไขครั้งที่ 3 เป็นเวลา 3 เดือน นับตั้งแต่วันที่ 1 เมษายน 2570 - 30 มิถุนายน 2570 และ คณะกรรมการตรวจรับพัสดุ ได้ตรวจรับงานถูกต้องครบถ้วนแล้ว ตามข้อ 5.9
   9.4 งวดที่ 4 ชำระเงินจำนวนร้อยละ 25 ของมูลค่าตามสัญญา เมื่อผู้รับจ้างได้ดำเนินการบำรุงรักษา และซ่อมแซมแก้ไขครั้งที่ 4 เป็นเวลา 3 เดือน นับตั้งแต่วันที่ 1 กรกฎาคม 2570 - 30 กันยายน 2570 และ คณะกรรมการตรวจรับพัสดุ ได้ตรวจรับงานถูกต้องครบถ้วนแล้ว ตามข้อ 5.9
   ทั้งนี้กรณีที่ รฟม. ไม่สามารถทำสัญญาจ้างได้เต็มจำนวน 12 เดือน (1 ตุลาคม 2569 - 30 กันยายน 2570) ในการกำหนดค่าจ้างในเดือนแรกหรือเดือนอื่นๆ ที่มีการจ้างไม่ครบเดือน ให้กำหนดค่าจ้างเป็นรายวัน ซึ่งรวมภาษีมูลค่าเพิ่มแล้ว หารด้วยจำนวน 30 วัน
10. อัตราค่าปรับ
    10.1 จากข้อกำหนดการบำรุงรักษาแบบ Corrective Maintenance (CM) ตามข้อ 5.4.2 ในกรณี ที่ผู้รับจ้างไม่มีเจ้าหน้าที่ที่มีความเชี่ยวชาญและมีประสบการณ์รับทราบการแจ้งปัญหาภายในเวลา 2 ชั่วโมง นับแต่เวลาที่ รฟม. ได้แจ้งความชำรุดบกพร่องดังกล่าว ผู้รับจ้างยินยอมให้ รฟม. ปรับเป็นรายชั่วโมง ในอัตราร้อยละ 0.01 (ศูนย์จุดศูนย์หนึ่ง) ของมูลค่าสัญญาจ้าง โดยเศษของชั่วโมงให้คิดเป็นหนึ่งชั่วโมง นับตั้งแต่ครบกำหนดเวลาดังกล่าวจนกว่าผู้รับจ้างจะเริ่มดำเนินการซ่อมแซมแก้ไขแล้วเสร็จ โดยค่าปรับ
    ข้างต้นผู้รับจ้างยินยอมให้ รฟม. หักออกจากค่าจ้างหรือเงินอื่นๆ ที่ค้างจ่าย
    10.2 จากข้อกำหนดการบำรุงรักษาแบบ Corrective Maintenance (CM) ตามข้อ 5.4.3 ถ้าปรากฏ ว่าผู้รับจ้างไม่สามารถซ่อมแซมแก้ไขหรือเปลี่ยนอุปกรณ์ให้แล้วเสร็จเป็นปกติดีดังเดิมภายใน 24 ชั่วโมง นับตั้งแต่เวลาที่ รฟม. ได้แจ้งความชำรุดบกพร่องดังกล่าว ผู้รับจ้างยินยอมให้รฟม. ปรับเป็นรายวัน ในอัตรา ร้อยละ 0.2 (ศูนย์จุดสอง) ของมูลค่าสัญญาจ้าง โดยเศษของวันให้คิดเป็นหนึ่งวันซึ่งนับตั้งแต่ครบ กำหนดเวลาที่ผู้รับจ้างไม่สามารถซ่อมแซมแก้ไขหรือเปลี่ยนอุปกรณ์ให้แก่ รฟม. จนถึงวันที่ผู้รับจ้างได้ทำการ ซ่อมแซมแก้ไขหรือเปลี่ยนอุปกรณ์ให้แล้วเสร็จ และสามารถใช้งานได้ดีดังเดิมเรียบร้อยแล้ว ค่าปรับข้างต้น ผู้รับจ้างยินยอมให้ รฟม. หักออกจากค่าจ้างหรือเงินอื่นๆ ที่ค้างจ่าย
    10.3 กรณีที่ผู้รับจ้างไม่จัดส่งผลการดำเนินการตามข้อ 5.3 (Preventive Maintenance (PM)) หรือไม่ สามารถดำเนินการตามข้อ 5.6 - 5.17 ภายในเวลาที่ รฟม. กำหนด ผู้รับจ้างยินยอมให้ รฟม. ปรับเป็น รายวัน ในอัตราร้อยละ 0.01 (ศูนย์จุดศูนย์หนึ่ง) ของมูลค่าสัญญาจ้าง โดยเศษของวันให้คิดเป็นหนึ่งวัน นับตั้งแต่ครบกำหนดวันดังกล่าวจนกว่าจะจัดส่งผลการดำเนินการ โดยค่าปรับข้างต้นผู้รับจ้างยินยอมให้ รฟม. หักออกจากค่าจ้างหรือเงินอื่นๆ ที่ค้างจ่าย
    /11. การกำหนด…

• 10 -

11. การกำหนดระยะเวลารับประกันความชำรุดบกพร่อง
    ระยะเวลาการรับประกันความชำรุดบกพร่อง ตั้งแต่วันที่ 1 ตุลาคม 2569 – 30 กันยายน 2570
    ข้อสงวนสิทธิ์

12.1 ผู้รับจ้าง และ/หรือ เจ้าหน้าที่ของผู้รับจ้างที่เข้าถึงระบบเทคโนโลยีสารสนเทศของ รฟม. ต้อง
รับทราบและปฏิบัติตามนโยบายการรักษาความมั่นคงปลอดภัยของระบบเทคโนโลยีสารสนเทศของ รฟม. ที่ ปรากฏดังภาคผนวก และจะต้องรักษาความลับต่างๆ ที่ได้จากการปฏิบัติงาน โดยห้ามมิให้ผู้รับจ้าง และ/ หรือ เจ้าหน้าที่ของผู้รับจ้างนำข้อมูลส่วนหนึ่งส่วนใดหรือทั้งหมดที่ได้จากการปฏิบัติงานใน รฟม. ไปทำซ้ำ เผยแพร่ หรือวิเคราะห์ประมวลผลเพื่อการอื่นใด ไม่ว่าการกระทำดังกล่าวจะเป็นการหาผลประโยชน์หรือไม่ ก็ตามหาก รฟม. ตรวจพบ ผู้รับจ้างต้องชดใช้ค่าเสียหายเป็นจำนวนเงินไม่น้อยกว่าค่าจ้างทั้งหมดที่กำหนดไว้ ในสัญญา ทั้งนี้ ผู้รับจ้าง และ/หรือ เจ้าหน้าที่ของผู้รับจ้างต้องลงนามในสัญญาการเก็บรักษาข้อมูลไว้เป็น
ความลับ (Non-Disclosure Agreement) ก่อนเริ่มปฏิบัติงานตามรูปแบบที่ รฟม. กำหนด 12.2 ผู้รับจ้างต้องใช้กระดาษที่ได้รับเครื่องหมายฉลากเขียว หรือได้รับการรับรองมาตรฐาน เลขที่ มอก.1054 : มาตรฐานผลิตภัณฑ์อุตสาหกรรม กระดาษถ่ายเอกสาร หรือผ่านการทดสอบตามเกณฑ์ คุณลักษณะที่ต้องการที่กําหนดในมาตรฐานผลิตภัณฑ์อุตสาหกรรมดังกล่าว หรือมาตรฐานระดับประเทศที่ เทียบเท่าหรือสูงกว่ามาตรฐานผลิตภัณฑ์อุตสาหกรรมหรือมาตรฐานระหว่างประเทศที่เป็นที่ยอมรับ เช่น ISO ในการจัดทํารายงาน
12.3 ผู้รับจ้างต้องใช้น้ำยาทำความสะอาดที่ได้รับมาตรฐานฉลากเขียว หรือเทียบเท่า ทั้งนี้ ผู้รับจ้าง จะต้องเสนอรายละเอียดคุณสมบัติ ยี่ห้อ และแค็ตตาล็อกของน้ำยาเคมีที่จะนำมาใช้งานให้พิจารณาก่อนเริ่ม ปฏิบัติงาน
13. ผู้ประสานงานของ รฟม.
13.1 นายจิรายุทธ จิตรังษีพนักงานบริหารระบบคอมพิวเตอร์ระดับ 7 แผนกปฏิบัติการคอมพิวเตอร์ กองปฏิบัติการคอมพิวเตอร์และเครือข่าย ฝ่ายเทคโนโลยีสารสนเทศ โทรศัพท์ 0 2716 4000 ต่อ 2579 13.2 นายสมเจตน เวชปัญญาดำรง พนักงานบริหารระบบคอมพิวเตอร์ระดับ 7 แผนกปฏิบัติการคอมพิวเตอร์ กองปฏิบัติการคอมพิวเตอร์และเครือข่าย ฝ่ายเทคโนโลยีสารสนเทศ โทรศัพท์0 2716 4000 ต่อ 2551

• 11 -
  ภาคผนวก

การรถไฟฟ้าขนส่งมวลชนแห่งประเทศไทย
MASS RAPID TRANSIT AUTHORITY OF THAILAND
รัฐวิสาหกิจภายใตกํากับของรัฐมนตรีวาการกระทรวงคมนาคม
A STATE ENTERPRISE UNDER SUPERVISION OF MINISTER OF TRANSPORT
ประกาศการรถไฟฟาขนสงมวลชนแหงประเทศไทย
เรื่อง นโยบายการรักษาความมั่นคงปลอดภัยของระบบเทคโนโลยีสารสนเทศ (ฉบับปรับปรุงครั้งที่ 14)
ดวยพระราชกฤษฎีกากําหนดหลักเกณฑและวิธีการในการทําธุรกรรมทางอิเล็กทรอนิกสภาครัฐ พ.ศ. 2549 มาตรา 5 กําหนดใหหนวยงานของรัฐตองจัดทําแนวนโยบายและแนวปฏิบัติในการรักษาความมั่นคงปลอดภัย ดานสารสนเทศ เพื่อใหการดําเนินการใด ๆ ดวยวิธีการทางอิเล็กทรอนิกสกับหนวยงานของรัฐหรือโดยหนวยงานของรัฐ มีความมั่นคงปลอดภัยและเชื่อถือได จึงสงผลใหระบบเทคโนโลยีสารสนเทศของการรถไฟฟาขนสงมวลชนแหงประเทศไทย (รฟม.) ตองมีการรักษาความมั่นคงปลอดภัยของระบบเทคโนโลยีสารสนเทศอยางครบถวนเพื่อธํารงไวซึ่งความลับ
(Confidentiality) ความถูกตองครบถวน (Integrity) และสภาพพรอมใชงาน (Availability) ของสารสนเทศ รวมทั้ง คุณสมบัติอื่น ไดแก ความถูกตองแทจริง (Authenticity) ความรับผิด (Accountability) การหามปฏิเสธความรับผิดชอบ (Non-repudiation) และความนาเชื่อถือ (Reliability)
ประกาศคณะกรรมการธุรกรรมทางอิเล็กทรอนิกส เรื่องแนวนโยบายและแนวปฏิบัติในการรักษาความมั่นคง ปลอดภัยดานสารสนเทศของหนวยงานของรัฐ (ฉบับที่ 2) พ.ศ. 2556 ขอ 14 กําหนดใหหนวยงานของรัฐตองกําหนด ความรับผิดชอบที่ชัดเจน กรณีระบบคอมพิวเตอรหรือขอมูลสารสนเทศเกิดความเสียหายหรืออันตรายใด ๆ แกองคกรหรือ ผูหนึ่งผูใด อันเนื่องมาจากความบกพรอง ละเลย หรือฝาฝนการปฏิบัติตามนโยบายและแนวปฏิบัติในการรักษาความมั่นคง ปลอดภัยดานสารสนเทศ ทั้งนี้ ใหผูบริหารระดับสูงสุดของหนวยงาน (Chief Executive Officer: CEO) เปนผูรับผิดชอบ ตอความเสี่ยง ความเสียหาย หรืออันตรายที่เกิดขึ้น
อาศัยอํานาจตามความในมาตรา 25 แหงพระราชบัญญัติการรถไฟฟาขนสงมวลชนแหงประเทศไทย พ.ศ. 2543 ผูวาการการรถไฟฟาขนสงมวลชนแหงประเทศไทย จึงออกประกาศการรถไฟฟาขนสงมวลชนแหงประเทศไทย เรื่อง นโยบายการรักษาความมั่นคงปลอดภัยของระบบเทคโนโลยีสารสนเทศ ดังตอไปนี้

1. วัตถุประสงคและขอบเขต
   เพื่อใหการใชงานระบบเทคโนโลยีสารสนเทศของ รฟม. เปนไปอยางเหมาะสม มีประสิทธิภาพ มีความมั่นคงปลอดภัย และสามารถดําเนินงานไดอยางตอเนื่อง รวมทั้งปองกันปญหาและลดผลกระทบจากการใชงานระบบเทคโนโลยีสารสนเทศ ในลักษณะที่ไมถูกตองหรือจากการถูกคุกคามจากภัยตาง ๆ จึงไดกําหนดนโยบายเพื่อควบคุมการรักษาความมั่นคงปลอดภัย ของระบบเทคโนโลยีสารสนเทศ ดังนี้
   1.1 การเขาถึงหรือควบคุมการใชงานสารสนเทศครอบคลุม 4 ดาน คือ
   1.1.1 การเขาถึงระบบสารสนเทศ (Access control) ตองตรวจสอบการอนุมัติสิทธิ์การเขาถึงระบบและ กําหนดรหัสผาน การลงทะเบียนผูใชงานเพื่อใหผูใชที่มีสิทธิ์(User authentication) เทานั้นที่สามารถ เขาถึงระบบไดรวมถึงมีการเก็บบันทึกขอมูลการเขาถึงระบบ (Access log)และขอมูลจราจรทางคอมพิวเตอร ทั้งนี้ การใหสิทธิ์การใชงานระบบสารสนเทศนั้นตองใหสิทธิ์อยางเหมาะสมและเพียงพอ (Need to know and Need to use)
   /1.1.2 การเขาถึง…
   175 ถนนพระราม 9 แขว งห้วยขวาง เขตห้วยขวา ง กร ุงเท พมหา น คร 103 10 โทร ศัพท 0 271
   ์ 6 40 00 โทร สา ร 0 271 6 40 19
   175 Rama IX Ro ad, Hu ai Khwang, Bangkok 10310, Thailand, Tel .66 27 16 40 00 Fax. 66 27 16 40 19 http://www.mrta.co.th

• 2 – 2 -
  1.1.2 การเขาถึงระบบเครือขาย(Networkaccesscontrol)ตองกําหนดเสนทางการเชื่อมตอระบบคอมพิวเตอร การรับ - สง หรือการไหลเวียนขอมูลหรือสารสนเทศจะตองผานระบบการรักษาความปลอดภัยที่องคกร จัดสรรไวเชน Firewall IDS/IPS Proxy หรือการตรวจสอบไวรัสคอมพิวเตอรเปนตน เพื่อควบคุมและ ปองกันภัยคุกคามอยางเปนระบบ
  1.1.3 การเขาถึงระบบปฏิบัติการ (Operating system access control) เพื่อปองกันการเขาถึงระบบปฏิบัติการ โดยไมไดรับอนุญาต โดยกําหนดใหมีการยืนยันตัวตนเพื่อระบุถึงตัวตนของผูใชงาน รวมทั้งกําหนดใหมี การจํากัดระยะเวลาในการเชื่อมตอเพื่อใหมีความมั่นคงปลอดภัยมากยิ่งขึ้น
  1.1.4 การเขาถึงโปรแกรมประยุกตหรือแอปพลิเคชันและสารสนเทศ (Applicationand Information access control)ตองกําหนดสิทธิ์การเขาถึงระบบเทคโนโลยีสารสนเทศโดยใหสิทธิ์เฉพาะระบบงานสารสนเทศ ที่ตองปฏิบัติตามหนาที่เทานั้น รวมทั้งมีการทบทวนสิทธิ์การเขาใชงานระบบสารสนเทศอยางสม่ําเสมอ
  1.2 มีระบบสารสนเทศและระบบสํารองที่อยูในสภาพพรอมใชงาน รวมทั้งมีแผนเตรียมพรอมในกรณีฉุกเฉินหรือ กรณีที่ไมสามารถดําเนินการตามวิธีการทางอิเล็กทรอนิกสไดเพื่อใหสามารถใชงานสารสนเทศไดตามปกติ อยางตอเนื่อง
  1.3 ตรวจสอบและประเมินความเสี่ยงของระบบสารสนเทศอยางสม่ําเสมอ

2. แนวปฏิบัติในการรักษาความมั่นคงปลอดภัยของระบบเทคโนโลยีสารสนเทศ รฟม.
   แนวปฏิบัติในการรักษาความมั่นคงปลอดภัยของระบบเทคโนโลยีสารสนเทศ รฟม. ใชแนวทางและกระบวนการ อางอิงตาม 1) ประกาศคณะกรรมการธุรกรรมทางอิเล็กทรอนิกส เรื่องแนวนโยบายและแนวปฏิบัติในการรักษาความมั่นคง ปลอดภัยดานสารสนเทศของหนวยงานรัฐ พ.ศ. 2553 2) ประกาศคณะกรรมการธุรกรรมทางอิเล็กทรอนิกส เรื่อง มาตรฐาน การรักษาความมั่นคงปลอดภัยของระบบสารสนเทศตามวิธีการแบบปลอดภัย พ.ศ. 2555 และ 3) มาตรฐาน ISO/IEC 27001:2022 โดยแบงแนวปฏิบัติออกเปน 17 สวน ตามเอกสารแนบทายประกาศ ดังตอไปนี้
   2.1 นโยบายการบริหารจัดการความมั่นคงปลอดภัยสําหรับผูบริหาร (สวนที่ 1)
   2.2 ความมั่นคงปลอดภัยที่เกี่ยวกับบุคลากร (สวนที่ 2)
   2.3 การรักษาความมั่นคงปลอดภัยทางกายภาพและสิ่งแวดลอม (สวนที่ 3)
   2.4 การจัดการทรัพยสิน (สวนที่ 4)
   2.5 การจัดหา การพัฒนา และการบํารุงรักษาระบบสารสนเทศ (สวนที่ 5)
   2.6 การควบคุมการเขาถึงระบบเทคโนโลยีสารสนเทศ (สวนที่ 6)
   2.7 การควบคุมการเขาถึงระบบเครือขายไรสาย (สวนที่ 7)
   2.8 การควบคุมหนวยงานภายนอกและผูใชงาน (บุคคลภายนอก) เขาถึงระบบเทคโนโลยีสารสนเทศ (สวนที่ 8) 2.9 การใชงานเครื่องคอมพิวเตอรและอุปกรณเคลื่อนที่ของ รฟม. (สวนที่ 9)
   2.10 การใชงานอินเทอรเน็ตและสื่อสังคมออนไลน(สวนที่ 10)
   2.11 การใชงานจดหมายอิเล็กทรอนิกส(สวนที่ 11)
   2.12 การสํารองขอมูลและการเก็บรักษาขอมูลจราจรทางคอมพิวเตอร (สวนที่ 12)
   2.13 การตรวจสอบและประเมินความเสี่ยง (สวนที่ 13)
   2.14 การถายโอน และการแลกเปลี่ยนขอมูลสารสนเทศ (สวนที่ 14)
   2.15 การควบคุมการเขารหัส (สวนที่ 15)
   2.16 การนําอุปกรณสวนตัวมาใชงาน (Bring your own device) (สวนที่ 16)
   2.17 การใชบริการ Cloud (Cloud Services) (สวนที่ 17)
   /แนวปฏิบัติ …

• 3 – 3 -
  แนวปฏิบัติในการรักษาความมั่นคงปลอดภัยระบบเทคโนโลยีสารสนเทศตามขอ 2. จัดเปนมาตรฐานดานความมั่นคง ปลอดภัยในการใชงานระบบเทคโนโลยีสารสนเทศของ รฟม. ซึ่งบุคลากรของ รฟม. หนวยงานภายนอก รวมถึงผูใชบริการ ระบบสารสนเทศของ รฟม. ที่เกี่ยวของจะตองปฏิบัติตามอยางเครงครัด

3. กรณีระบบคอมพิวเตอรหรือขอมูลสารสนเทศเกิดความเสียหาย หรืออันตรายใด ๆ แกองคกรหรือผูหนึ่งผูใด อันเนื่องมาจากความบกพรอง ละเลย หรือฝาฝนการปฏิบัติตามแนวนโยบายและแนวปฏิบัติในการรักษาความมั่นคง ปลอดภัยดานสารสนเทศผูวาการการรถไฟฟาขนสงมวลชนแหงประเทศไทย(ChiefExecutive Officer: CEO) เปนผูรับผิดชอบ ตอความเสี่ยง ความเสียหาย หรืออันตรายที่เกิดขึ้น และดําเนินการตรวจสอบขอเท็จจริงกรณีที่ระบบคอมพิวเตอรหรือ ขอมูลสารสนเทศเกิดความเสียหายหรืออันตรายใด ๆ แกหนวยงานหรือผูหนึ่งผูใด รวมทั้งใหพิจารณาลงโทษตามเหตุอันควร
   นโยบายนี้ใหใชบังคับเมื่อพนกําหนด 7 วัน นับแตวันที่ผูมีอํานาจลงนาม
   15
   ประกาศ ณ วันที่ กันยายน พ.ศ. 2568
   (นายกาจผจญ อุดมธรรมภักดี)
   ผูวาการการรถไฟฟาขนสงมวลชนแหงประเทศไทย

สารบัญ
เรื่อง หนา คํานิยาม……………………………………………………………………………………………………………………………………………………….1 สวนที่ 1 นโยบายการบริหารจัดการความมั่นคงปลอดภัยสําหรับผูบริหาร……………………………………………………………….3 สวนที่ 2 ความมั่นคงปลอดภัยที่เกี่ยวกับบุคลากร………………………………………………………………………………………………..4 สวนที่ 3 การรักษาความมั่นคงปลอดภัยทางดานกายภาพและสิ่งแวดลอม………………………………………………………………7 สวนที่ 4 การจัดการทรัพยสิน ………………………………………………………………………………………………………………………….8 สวนที่ 5 การจัดหา การพัฒนา และการบํารุงรักษาระบบสารสนเทศ…………………………………………………………………..10 สวนที่ 6 การควบคุมการเขาถึงระบบเทคโนโลยีสารสนเทศ……………………………………………………………………………….12 สวนที่ 7 การควบคุมการเขาถึงระบบเครือขายไรสาย……………………………………………………………………………………….22 สวนที่ 8 การควบคุมหนวยงานภายนอกหรือผูใชงานภายนอกเขาถึงระบบเทคโนโลยีสารสนเทศ……………………………..23 สวนที่ 9 การใชงานเครื่องคอมพิวเตอรและอุปกรณเคลื่อนที่ ของ รฟม. ………………………………………………………………25 สวนที่ 10 การใชงานอินเทอรเน็ตและสื่อสังคมออนไลน……………………………………………………………………………………28 สวนที่ 11 การใชงานจดหมายอิเล็กทรอนิกส…………………………………………………………………………………………………..32 สวนที่ 12 การสํารองขอมูลและการเก็บรักษาขอมูลจราจรทางคอมพิวเตอร…………………………………………………………33 สวนที่ 13 การตรวจสอบและประเมินความเสี่ยง………………………………………………………………………………………………35 สวนที่ 14 การถายโอน และแลกเปลี่ยนขอมูลสารสนเทศ………………………………………………………………………………….38 สวนที่ 15 การควบคุมการเขารหัส…………………………………………………………………………………………………………………39 สวนที่ 16 การนําอุปกรณสวนตัวมาใชงาน (Bring your own device)……………………………………………………………….40 สวนที่ 17 การใชบริการ Cloud (Cloud Services)………………………………………………………………………………..…………..49
1
เอกสารแนบทายประกาศ การรถไฟฟาขนสงมวลชนแหงประเทศไทย
เรื่อง นโยบายการรักษาความมั่นคงปลอดภัยของระบบเทคโนโลยีสารสนเทศ
แนวปฏิบัติในการรักษาความมั่นคงปลอดภัยของระบบเทคโนโลยีสารสนเทศ ของ รฟม.
คํานิยาม
คํานิยามที่ใชในนโยบายนี้ ประกอบดวย

1. รฟม. หมายถึง การรถไฟฟาขนสงมวลชนแหงประเทศไทย
2. ฝทท. หมายถึง ฝายเทคโนโลยีสารสนเทศ
3. ฝทบ. หมายถึง ฝายทรัพยากรบุคคล
4. ผูบริหารระดับสูงสุด หมายถึงผูวาการการรถไฟฟาขนสงมวลชนแหงประเทศไทย
5. ผูบังคับบัญชา หมายถึง ผูมีอํานาจสั่งการตามโครงสรางการบริหารของ รฟม.
6. ผูใชงาน หมายถึง บุคคลที่ไดรับอนุญาตใหสามารถเขาใชงานระบบเทคโนโลยีสารสนเทศของ รฟม. เพื่อประโยชน ในการดําเนินงานของ รฟม. ดังนี้

• ผูใชงานภายใน หมายถึง บุคลากรของ รฟม.
• ผูใชงานภายนอก หมายถึง บุคคลภายนอกที่ รฟม. อนุญาตใหเขามาใชงานระบบเทคโนโลยีสารสนเทศของ รฟม. เชน ที่ปรึกษา ผูปฏิบัติงานตามสัญญา หรือนิสิตนักศึกษาฝกงาน เปนตน

7. ผูใชบริการ หมายถึงผูที่สมัครใชบริการระบบงานสารสนเทศของ รฟม. ผานเครือขายสาธารณะ (Internet) 8. หนวยงานภายนอก หมายถึง องคกรตาง ๆ รวมถึงผูรับจาง ซึ่ง รฟม. อนุญาตใหมีสิทธิ์ในการเขาถึง หรือใชขอมูล หรือสินทรัพยตาง ๆ ของ รฟม. โดยจะไดรับสิทธิ์ในการใชระบบตามประเภทงานตามอํานาจและตองรับผิดชอบ ในการรักษาความลับของขอมูล
8. ผูดูแลระบบ หมายถึง พนักงานที่ไดรับมอบหมายจากผูบังคับบัญชาใหมีหนาที่รับผิดชอบในการดูแลรักษาระบบ สารสนเทศ และพนักงานของผูรับจางที่รับผิดชอบติดตั้งหรือบํารุงรักษาระบบสารสนเทศให รฟม. 10. เจาของขอมูล หมายถึง ผูไดรับมอบอํานาจจากผูบังคับบัญชาใหรับผิดชอบขอมูลของระบบงานโดยเจาของขอมูล เปนผูรับผิดชอบขอมูลนั้น ๆ หรือไดรับผลกระทบโดยตรงหากขอมูลเหลานั้นเกิดสูญหาย
9. มาตรฐาน หมายถึง บรรทัดฐานที่บังคับใชในการปฏิบัติการจริงเพื่อใหไดตามวัตุประสงคหรือเปาหมาย 12. ขั้นตอนปฏิบัติ หมายถึง รายละเอียดที่บอกขั้นตอนเปนขอ ๆ ที่ตองนํามาปฏิบัติเพื่อใหไดมาซึ่งมาตรฐานตามที่ได กําหนดไวตามวัตถุประสงค
10. แนวปฏิบัติ หมายถึง แนวทางที่ตองปฏิบัติตามเพื่อใหสามารถบรรลุวัตถุประสงคหรือเปาหมายไดงายขึ้น 14. ระบบเทคโนโลยีสารสนเทศ (Information technology system) หมายถึง ระบบงานของ รฟม. ที่นําเอาเทคโนโลยี สารสนเทศ ระบบคอมพิวเตอร และระบบเครือขายสื่อสารขอมูลมาชวยในการสรางสารสนเทศที่ รฟม. สามารถ นํามาใชประโยชนในการวางแผน การบริหาร การสนับสนุน การใหบริการ การพัฒนาและควบคุมการติดตอสื่อสาร ซึ่งมีองคประกอบ ไดแก ระบบคอมพิวเตอร ระบบเครือขาย โปรแกรม ขอมูลและสารสนเทศ เปนตน 15. ขอมูลคอมพิวเตอรหมายถึง ขอมูล ขอความ คําสั่ง ชุดคําสั่ง หรือสิ่งอื่นใด ที่อยูในระบบคอมพิวเตอรในสภาพที่ระบบ คอมพิวเตอรอาจประมวลผลได และใหหมายความรวมถึงขอมูลอิเล็กทรอนิกสตามกฎหมายวาดวยธุรกรรม อิเล็กทรอนิกส
11. ขอมูลจราจรทางคอมพิวเตอร (Trafficlog) หมายถึง ขอมูลเกี่ยวกับการติดตอสื่อสารของระบบคอมพิวเตอร ซึ่งแสดงถึง แหลงกําเนิด ตนทาง ปลายทาง เวลา วันที่ ปริมาณ ระยะเวลา หรืออื่น ๆ ที่เกี่ยวของกับการติดตอสื่อสารของ ระบบคอมพิวเตอรนั้น
12. สารสนเทศ (Information) หมายถึง ขอเท็จจริงที่ไดจากขอมูลนํามาผานการประมวลผล การจัดระเบียบใหขอมูล ซึ่งขอมูลอาจอยูในรูปของตัวเลข ขอความ หรือภาพกราฟกใหเปนระบบที่ผูใชสามารถเขาใจไดงาย และสามารถ นําไปใชประโยชนในการบริหาร การวางแผน การตัดสินใจ และอื่น ๆ
    2
13. ระบบคอมพิวเตอร (Computer system) หมายถึง อุปกรณหรือชุดอุปกรณของคอมพิวเตอรที่เชื่อมการทํางาน เขาดวยกันโดยไดมีการกําหนดคําสั่ง ชุดคําสั่งหรือสิ่งอื่นใด และแนวปฏิบัติงานใหอุปกรณหรือชุดอุปกรณทําหนาที่ ประมวลผลขอมูลโดยอัตโนมัติ
14. ระบบเครือขายสื่อสารขอมูล (Network system) หมายถึง ระบบที่สามารถใชในการติดตอสื่อสารหรือการสงขอมูล และสารสนเทศระหวางระบบเทคโนโลยีสารสนเทศตาง ๆ ของ รฟม. เชน ระบบแลน (LAN) ระบบอินทราเน็ต (Intranet) ระบบอินเทอรเน็ต (Internet) เปนตน
15. สิทธิ์ของผูใชงาน หมายถึง สิทธิ์ทั่วไป สิทธิ์จําเพาะ สิทธิพิเศษ และสิทธิ์อื่นใด ที่เกี่ยวของกับระบบสารสนเทศ ของหนวยงาน
16. ความมั่นคงปลอดภัยดานสารสนเทศ หมายถึง การธํารงไวซึ่งความลับ (Confidentiality) ความถูกตองครบถวน (Integrity) และสภาพพรอมใชงาน (Availability) ของสารสนเทศ รวมทั้งคุณสมบัติอื่น ไดแก ความถูกตองแทจริง (Authenticity) ความรับผิด (Accountability) การหามปฏิเสธความรับผิด (Non-repudiation) และความนาเชื่อถือ (Reliability)
17. เหตุการณดานความมั่นคงปลอดภัย หมายถึง เหตุการณที่แสดงใหเห็นความเปนไปไดที่จะเกิดการฝาฝนนโยบาย ดานความมั่นคงปลอดภัย มาตรการปองกันที่ลมเหลว หรือเหตุการณอันไมอาจรูไดวาอาจเกี่ยวของกับความมั่นคงปลอดภัย 23. สถานการณดานความมั่นคงปลอดภัยที่ไมพึงประสงคหรือไมอาจคาดคิด หมายถึง สถานการณดานความมั่นคงปลอดภัย ที่ไมพึงประสงคหรือไมอาจคาดคิด (Unwanted or unexpected) ซึ่งอาจทําใหระบบขององคกรถูกบุกรุก หรือโจมตีและความมั่นคงปลอดภัยถูกคุกคาม
18. การเขาถึงหรือควบคุมการใชงานสารสนเทศ หมายถึง การอนุญาต การกําหนดสิทธิ์หรือการมอบอํานาจใหผูใชงาน เขาถึงหรือใชงานเครือขายหรือระบบสารสนเทศ ทั้งทางอิเล็กทรอนิกสและทางกายภาพ ตลอดจนอาจกําหนดขอปฏิบัติ เกี่ยวกับการเขาถึงโดยมิชอบเอาไวดวยก็ได
19. สินทรัพย (Assets) หมายถึง สินทรัพยดานระบบเทคโนโลยีสารสนเทศและการสื่อสารของ รฟม. เชน อุปกรณ คอมพิวเตอร อุปกรณระบบเครือขาย ซอฟตแวรที่มีคาลิขสิทธิ์ขอมูล ระบบขอมูล ฯลฯ
20. จดหมายอิเล็กทรอนิกส (Email) หมายถึง ระบบที่บุคคลใชในการรับ - สงขอความระหวางกัน โดยผานเครื่อง คอมพิวเตอรและเครือขายที่เชื่อมโยงถึงกัน ขอมูลที่สงจะเปนไดทั้งตัวอักษร ภาพถาย ภาพกราฟก ภาพเคลื่อนไหว และเสียง ผูสงสามารถสงขาวสารไปยังผูรับคนเดียวหรือหลายคนก็ได โดยขาวสารที่สงนั้นจะถูกเก็บไวในตูจดหมาย (Mail box) ที่กําหนดไวสําหรับผูใชงาน ผูรับสามารถเปดอาน พิมพลงกระดาษ หรือจะลบทิ้งก็ได
21. ชุดคําสั่งไมพึงประสงค (Malicious code) หมายถึง ชุดคําสั่งที่มีผลทําใหคอมพิวเตอร หรือระบบคอมพิวเตอร หรือชุดคําสั่งอื่นเกิดความเสียหาย ถูกทําลาย ถูกแกไขเปลี่ยนแปลงหรือเพิ่มเติม ขัดของหรือปฏิบัติงานไมตรง ตามคําสั่งที่กําหนดไว
22. เครื่องคอมพิวเตอรหมายถึง เครื่องคอมพิวเตอรแบบตั้งโตะ และเครื่องคอมพิวเตอรแบบพกพา 29. อุปกรณเคลื่อนที่ (Mobile device) หมายถึง อุปกรณอิเล็กทรอนิกสแบบพกพา ซึ่งมีความสามารถในการเชื่อมตอกับ อุปกรณอื่นเพื่อรับสงขอมูลผานระบบเครือขายโทรคมนาคมไรสายหรือโดยอาศัยคลื่นแมเหล็กไฟฟาเปนสื่อกลาง เชน Tablet, Smart Phone
23. ทรัพยสินของ รฟม. หมายถึง ครุภัณฑ รฟม. และทรัพยสินที่ไมมีการขึ้นทะเบียนครุภัณฑที่ รฟม. จัดสรร งบประมาณเพื่อเปนคาใชจายใหทั้งหมดหรือบางสวน
24. อุปกรณสวนตัว หมายถึง อุปกรณที่ไมใชทรัพยสินของ รฟม. ที่ผูใชงานนํามาเชื่อมตอกับระบบสารสนเทศของ รฟม. เชน เครื่องคอมพิวเตอรสวนบุคคล (Personal computer) เครื่องคอมพิวเตอรพกพา (Notebook) อุปกรณเคลื่อนที่ (Mobile device) Removable media หรืออุปกรณคอมพิวเตอรของโครงการรถไฟฟา เปนตน
    3
    สวนที่ 1
    นโยบายการบริหารจัดการความมั่นคงปลอดภัยสําหรับผูบริหาร
    วัตถุประสงค
    ▪ เพื่อใหการบริหารจัดการความมั่นคงปลอดภัยสารสนเทศขององคกรมีความสอดคลองกับมาตรฐานสากลและ กฎหมายดานความมั่นคงปลอดภัยที่เกี่ยวของ
    ผูรับผิดชอบ
    ▪ ผูบริหารสูงสุด
    อางอิงมาตรฐาน: ISO/IEC 27001:2022
    ▪ มาตรการควบคุมดานองคกร (Organizational Controls)
    แนวปฏิบัติ
25. จัดใหมีการทําและทบทวนหรือปรับปรุงนโยบายความมั่นคงปลอดภัย และแนวปฏิบัติที่สนับสนุนการทํางานตาง ๆ อยางนอยปละ 1 ครั้ง โดยพิจารณาจากปจจัยนําเขา ดังนี้
    1.1 กลยุทธการดําเนินงานขององคกร
    1.2 ขอมูลกฎหมาย ระเบียบ ขอบังคับตาง ๆ ที่ตองปฏิบัติตาม
    1.3 การปรับปรุงนโยบายความมั่นคงปลอดภัยสําหรับปถัดไป
    1.4 ผลการประเมินความเสี่ยงและแผนลดความเสี่ยง
    1.5 ผลการแจงเตือนโดยระบบปองกันการบุกรุกในปที่ผานมา
    1.6 ผลของการตรวจสอบขอมูลการปดชองโหว (Patch) สําหรับระบบตาง ๆ ในปที่ผานมา 1.7 การจัดทําและตอสัญญาบํารุงรักษาระบบและอุปกรณตาง ๆ
    1.8 แผนการอบรมทางดานความมั่นคงปลอดภัยประจําปซึ่งรวมถึงการสรางความตระหนัก 1.9 ผลการทดสอบแผนกูคืนในปที่ผานมา
    1.10 ขอมูลภัยคุกคามตาง ๆ ที่เคยเกิดขึ้นในอดีตและปจจุบัน รวมทั้งภัยคุกคามที่ไดรับแจงจากหนวยงานภายนอก 1.11 ผลการตรวจสอบการปฏิบัติตามนโยบายความมั่นคงปลอดภัยโดยผูตรวจสอบภายในหรือโดยผูตรวจสอบ อิสระดานความมั่นคงปลอดภัยจากภายนอก
26. จัดใหมีทรัพยากรดานบุคลากร งบประมาณ การบริหารจัดการ และวัตถุดิบที่เพียงพอตอการบริหารจัดการความ มั่นคงปลอดภัยสารสนเทศในแตละปงบประมาณ
27. จัดใหมีบุคลากรดําเนินงานดานความมั่นคงปลอดภัยสารสนเทศและกําหนดหนาที่ความรับผิดชอบรวมทั้ง ปรับปรุงโครงสรางดังกลาวตามความจําเปน
28. แสดงเจตนารมณหรือสื่อสารอยางสม่ําเสมอเพื่อใหผูใชงานทั้งหมดไดเห็นถึงความสําคัญของการปฏิบัติตาม นโยบายความมั่นคงปลอดภัยและนโยบายสนับสนุนตาง ๆ โดยเครงครัดและเปนผูรับผิดชอบตอความเสี่ยง ความเสียหาย หรืออันตรายที่เกิดขึ้นกับสารสนเทศขององคกร รวมถึงสรางความรวมมือระหวางหนวยงาน ที่เกี่ยวของกับความมั่นคงปลอดภัยสารสนเทศ
    4
    สวนที่ 2
    ความมั่นคงปลอดภัยที่เกี่ยวกับบุคลากร
    วัตถุประสงค
    ▪ เพื่อใหผูใชงานเขาใจถึงบทบาท หนาที่ความรับผิดชอบ ทั้งกอนการจางงาน ระหวางการจางงาน และสิ้นสุดหรือ เปลี่ยนแปลงการจางงาน ตลอดจนตระหนักถึงภัยคุกคามและปญหาที่เกี่ยวของกับความมั่นคงปลอดภัยของ ระบบเทคโนโลยีสารสนเทศเพื่อลดความเสี่ยงอันเกิดจากการขโมย การฉอโกง การใชงานระบบเทคโนโลยี สารสนเทศผิดวัตถุประสงคและความผิดพลาดในการปฏิบัติหนาที่ ซึ่งอาจสงผลกระทบหรือทําให รฟม.
    เกิดความเสียหาย
    ผูรับผิดชอบ
    ▪ ผูอํานวยการฝายเทคโนโลยีสารสนเทศ ผูอํานวยการฝายทรัพยากรบุคคล ผูอํานวยการฝาย/สํานัก/สํานักงาน ที่กํากับดูแลงานที่มีการวาจางหนวยงานภายนอก
    อางอิงมาตรฐาน: ISO/IEC 27001:2022
    ▪ มาตรการควบคุมดานองคกร (Organizational Controls)
    ▪ มาตรการควบคุมดานบุคลากร (People Controls)
    แนวปฏิบัติ
29. การสรางความมั่นคงปลอดภัยกอนการจางงาน (Prior to Employment) เพื่อคัดสรรบุคลากรกอนที่จะเขามา ปฏิบัติงาน และเพื่อลดความเสี่ยงจากการปฏิบัติงานผิดพลาด การขโมย การปลอมแปลง และการนําระบบ สารสนเทศหรือทรัพยากรสารสนเทศของ รฟม. ไปใชในทางที่ไมเหมาะสม รวมทั้งเพื่อใหผูใชงานเขาใจในหนาที่ ความรับผิดชอบของตนเอง
    1.1 การตรวจสอบคุณสมบัติของผูสมัคร (Screening)
    ฝทบ. หรือฝาย/สํานัก/สํานักงาน ที่กํากับดูแลงานที่มีการวาจางหนวยงานภายนอก/บุคคลภายนอกตองตรวจสอบ คุณสมบัติของผูสมัคร (ทั้งกรณีการจางเปนพนักงาน ลูกจาง การวาจางหนวยงานภายนอก/บุคคลภายนอก เพื่อปฏิบัติงานให รฟม. รวมทั้งนิสิตนักศึกษาฝกงาน) โดยผูสมัครตองไมเคยกระทําผิดกฎหมาย ระเบียบ ขอบังคับ หรือจริยธรรม รวมทั้งไมมีประวัติในการบุกรุก แกไข ทําลาย หรือโจรกรรมขอมูลในระบบเทคโนโลยี สารสนเทศมากอน และมีคุณสมบัติตามที่ รฟม. กําหนด
    1.2 การกําหนดเงื่อนไขการจางงาน (Terms and Conditions of Employment) การวาจางใหมีเงื่อนไข การจางงานใหครอบคลุมในเรื่องดังตอไปนี้
    1.2.1 กําหนดหนาที่ความรับผิดชอบดานความมั่นคงปลอดภัยดานสารสนเทศอยางเปนลายลักษณอักษร (Information Security Roles and Responsibilities) แกผูใชงาน โดยกําหนดใหสอดคลองกับ นโยบายความมั่นคงปลอดภัยของระบบเทคโนโลยีสารสนเทศของ รฟม.
    1.2.2 กําหนดใหมีการลงนามในสัญญาวาจะไมเปดเผยความลับของ รฟม. (Non-Disclosure Agreement: NDA)
    1.2.3 ระบบเทคโนโลยีสารสนเทศที่สรางหรือพัฒนาโดยผูใชงานในระหวางการวาจางถือเปนสินทรัพย ของ รฟม.
    1.2.4 กําหนดความรับผิดชอบหรือบทลงโทษ หากผูใชงานไมปฏิบัติตามนโยบายการรักษาความมั่นคงปลอดภัย ของระบบเทคโนโลยีสารสนเทศ รฟม. รวมทั้ง กฎหมาย ระเบียบ ขอบังคับ หรือขอกําหนดอื่น ๆ ที่เกี่ยวของกับการรักษาความมั่นคงปลอดภัยของระบบเทคโนโลยีสารสนเทศ
    5
30. การสรางความมั่นคงปลอดภัยในระหวางการจางงาน (During Employment) เพื่อสรางความตระหนักแกผูใชงาน เกี่ยวกับภัยที่เกี่ยวของกับการปฏิบัติงานสารสนเทศ รวมถึงใหความรูเพื่อใหสามารถปองกันภัยดังกลาวได 2.1 หนาที่ในการบริหารจัดการทางดานความมั่นคงปลอดภัย (Management Responsibilities) ผูบริหาร รฟม. ทุกระดับชั้นมีหนาที่สนับสนุนและสงเสริมเรื่องดังตอไปนี้แกผูใชงาน
    2.1.1 ประกาศนโยบายการรักษาความมั่นคงปลอดภัยดานสารสนเทศของ รฟม. เปนลายลักษณอักษรใหทุกคน รับทราบและปฏิบัติตาม
    2.1.2 จูงใจใหผูใชงานปฏิบัติตามนโยบายการรักษาความมั่นคงปลอดภัยดานสารสนเทศของ รฟม. 2.1.3 สรางความตระหนักถึงความมั่นคงปลอดภัยดานสารสนเทศที่เกี่ยวของกับหนาที่ความรับผิดชอบ ของตนเองและของ รฟม.
    2.2 การสรางความตระหนัก การใหความรู และการอบรมดานความมั่นคงปลอดภัยใหแกผูใชงาน (Information Security Awareness, Education and Training) การสรางความตระหนักในการรักษาความมั่นคงปลอดภัย อยางสม่ําเสมอ
    2.2.1 ผูดูแลระบบตองแจงเตือนภัยคุกคาม และชองโหวที่สงผลกระทบตอความมั่นคงปลอดภัยของระบบ เทคโนโลยีสารสนเทศแกผูใชงานที่เกี่ยวของ นอกจากนี้ตองแจงเตือนใหผูใชงานเพิ่มความระมัดระวัง ความเสี่ยงตาง ๆ เชน ไวรัสคอมพิวเตอร เทคนิคการหลอกลอทางจิตวิทยา (Social Engineering) และชองโหวทางเทคนิค เปนตน
    2.2.2 ฝทท. ตองดําเนินการฝกอบรม หรือประชาสัมพันธเพื่อสรางความตระหนักดานความมั่นคงปลอดภัย ของระบบเทคโนโลยีสารสนเทศแกผูใชงานเปนประจําทุกป
    2.2.3 ฝทท. ตองแจงผูใชงานใหทราบ เมื่อมีการเปลี่ยนแปลงนโยบายการรักษาความมั่นคงปลอดภัย สารสนเทศของ รฟม. รวมทั้งอธิบายผลกระทบจากการเปลี่ยนแปลงดังกลาว
    2.3 การแจงเหตุการณไมปกติ
    ผูใชงานตองแจงเหตุการณไมปกติดานเทคโนโลยีสารสนเทศที่พบผานชองทางที่ รฟม. กําหนดโดยเร็วที่สุด 2.4 การกําหนดบทลงโทษ
    2.4.1 ความรับผิดตามกฎหมาย
    นโยบายและแนวปฏิบัติในการรักษาความมั่นคงปลอดภัยดานสารสนเทศนี้ไมไดกอใหเกิดสิทธิ์ ทางกฎหมายที่ทําใหผูใชงานพนผิดแมจะไดปฏิบัติตามนโยบายและแนวปฏิบัติในการรักษาความมั่นคง ปลอดภัยสารสนเทศและผูใชงานตกลงยินยอมที่จะไมดําเนินการใด ๆ ทางกฎหมายตอ รฟม. ซึ่งได ปฏิบัติตามระเบียบนี้ แตอยางไรก็ตามหากผูใชงานกระทําการละเมิดหรือกระทําผิดตามนโยบาย และแนวปฏิบัติในการรักษาความมั่นคงปลอดภัยสารสนเทศ อาจเปนความผิดทางวินัยและเปนเหตุ ใหถูกลงโทษทางวินัยได รฟม. ไมมีสวนรับผิดชอบตอการละเมิดทรัพยสินทางปญญาที่เกิดจาก การใชระบบคอมพิวเตอร
    2.4.2 การพิจารณาโทษผูกระทําผิด
    ผูใชงานที่กระทําความผิด ฝทท. จะเพิกถอนสิทธิ์การใชงานและอาจเปนความผิดทางวินัย หรือ ความผิดตามกฎหมายที่เกี่ยวของ

1. พนักงาน/ลูกจางที่ฝาฝนหรือละเมิดนโยบายการรักษาความมั่นคงปลอดภัยของระบบเทคโนโลยี สารสนเทศ รฟม. ตองถูกลงโทษตามกระบวนการทางวินัยของ รฟม. รวมถึงกฎหมายที่เกี่ยวของ 2) หนวยงานภายนอก/บุคคลภายนอกที่กระทําความผิด จะมีโทษตามที่ระบุไวในสัญญาหรือ ถูกเพิกถอนสิทธิ์การใชงาน รวมถึงดําเนินการตามกฎหมายที่เกี่ยวของ
   6

3. การสิ้นสุดหรือการเปลี่ยนแปลงการจางงาน (Termination and Change of Employment) เพื่อกําหนดหนาที่ความรับผิดชอบเมื่อสิ้นสุดหรือเปลี่ยนแปลงการจางงาน ซึ่งรวมไปถึงการคืนทรัพยสินและ การถอดถอนสิทธิ์ในการเขาถึง
   3.1 การแจงการสิ้นสุดหรือเปลี่ยนแปลงการจางงาน
   3.1.1 ฝทบ. ตองแจงใหฝทท. ทราบทันทีหากพนักงานมีการลาออก โยกยาย เกษียณ หรือเสียชีวิตเพื่อ ฝทท. จะไดตรวจสอบและบริหารจัดการสิทธิ์ในการเขาถึงระบบเทคโนโลยีสารสนเทศ
   3.1.2 ฝาย/สํานัก/สํานักงาน ที่กํากับดูแลงานที่มีการวาจางหนวยงานภายนอก/บุคคลภายนอก ตองแจงให ฝทท. ทราบทันทีในกรณีที่ผูรับจางภายนอกสิ้นสุดสัญญาจางหรือมีการยกเลิกสัญญาจาง เพื่อให ฝทท. ตรวจสอบการใชงานระบบสารสนเทศและถอดถอนสิทธิ์ในการเขาถึงระบบสารสนเทศของ รฟม.
   3.2 การคืนสินทรัพยของ รฟม.
   ผูดูแลระบบตองตรวจสอบเพื่อเรียกคืนสินทรัพยของ รฟม. จากผูใชงาน เมื่อการสิ้นสุดหรือการเปลี่ยนแปลง การจางงาน
   3.3 การถอดถอนสิทธิ์ในการเขาถึง
   3.3.1 ผูดูแลระบบตองถอดถอนสิทธิ์ในการเขาถึงของผูใชงาน เมื่อสิ้นสุดหรือเปลี่ยนแปลงการจางงาน 3.3.2 การถอดถอนสิทธิ์ในการเขาถึงหมายรวมถึง ทางกายภาพ (Physical) และทางตรรกะ (Logical) เชน กุญแจ บัตรแสดงตน บัตรประจําตัวผูใชงาน และบัญชีผูใชงาน เปนตน
   3.3.3 ในกรณีที่ผูใชงานที่สิ้นสุดหรือเปลี่ยนแปลงการจางงาน มีการใชบัญชีผูใชงานรวมกัน (Shared User ID) กับผูใชงานอื่น ผูบังคับบัญชาตองเปลี่ยนรหัสผานทันทีหลังจากสิ้นสุดหรือเปลี่ยนแปลงการจางงาน
   7
   สวนที่ 3
   การรักษาความมั่นคงปลอดภัยทางดานกายภาพและสิ่งแวดลอม
   วัตถุประสงค
   ▪ เพื่อควบคุมและปองกันการรักษาความมั่นคงปลอดภัยที่เกี่ยวของกับการเขาถึงอาคารสถานที่ และพื้นที่จัดเก็บ ขอมูลคอมพิวเตอร (Data Storage Area)
   ผูรับผิดชอบ
   ▪ ผูดูแลระบบ
   ▪ ผูอํานวยการฝายจัดซื้อและบริการ
   อางอิงมาตรฐาน: ISO/IEC 27001:2022
   ▪ มาตรการควบคุมดานกายภาพ (Physical Controls)
   แนวปฏิบัติ
4. ผูดูแลระบบ ตองออกแบบ และติดตั้งอุปกรณหรือระบบสนับสนุน (Facilities) เพื่อปองกันความมั่นคงปลอดภัย ดานกายภาพ เชน อุปกรณดับเพลิง ระบบสํารองไฟฟา เครื่องกําเนิดไฟฟา ระบบปรับอากาศและควบคุมความชื้น ระบบเตือนภัยน้ํารั่ว และตองมีการบํารุงรักษาอยางสม่ําเสมอ
5. ผูดูแลระบบตองติดตั้งอุปกรณสารสนเทศในตูแร็ก (Rack) หรือสถานที่ที่มีความมั่นคงปลอดภัยและมีการปดล็อค 3. ผูดูแลระบบ ตองมีการปองกันสายเคเบิลที่ใชเพื่อการสื่อสารหรือสายไฟ มิใหมีการดักรับสัญญาณ (Interception) หรือมีความเสียหายเกิดขึ้น โดยจะตองเดินสายเคเบิลผานทอรอยสายหรือทางเดินสายที่มั่นคงปลอดภัยจากการเขาถึง และไมเดินสายผานพื้นที่ที่เขาถึงไดอยางสาธารณะ รวมทั้งสายเคเบิลสื่อสารและสายไฟฟาตองแยกจากกันโดยมี ระยะหางที่เหมาะสม
6. การกําหนดบริเวณที่มีการรักษาความมั่นคงปลอดภัย
   กําหนดพื้นที่ของระบบเทคโนโลยีสารสนเทศตาง ๆ อยางเหมาะสม เพื่อเปนการเฝาระวัง ควบคุม การรักษาความมั่นคง ปลอดภัยจากผูที่ไมไดรับอนุญาต รวมทั้งปองกันความเสียหายอื่น ๆ ที่อาจเกิดขึ้นไดโดยแบงแยกบริเวณพื้นที่ใชงาน ระบบเทคโนโลยีสารสนเทศออกเปน
   4.1 พื้นที่ทํางาน (Working area) หมายถึง พื้นที่ติดตั้งเครื่องคอมพิวเตอรสวนบุคคลและคอมพิวเตอรพกพา ที่ประจําโตะทํางาน
   4.2 พื้นที่จัดเก็บขอมูลคอมพิวเตอร (Data storage area) หมายถึง พื้นที่ศูนยของขอมูล (Data center) 5. การควบคุมการเขาออก อาคาร สถานที่
   5.1 กําหนดสิทธิ์ของผูใชงานและหนวยงานภายนอกในการเขาถึงสถานที่ โดยแบงแยกได ดังนี้ 5.1.1 ผูดูแลระบบตองกําหนดสิทธิ์แกผูใชงานที่มีสิทธิ์เขา - ออก และกําหนดชวงระยะเวลาที่มีสิทธิ์ ในการเขา - ออกแตละพื้นที่ใชงานระบบเทคโนโลยีสารสนเทศอยางชัดเจน
   5.1.2 เจาหนาที่รักษาความปลอดภัย (รปภ.) จะตองใหหนวยงานภายนอก/บุคคลภายนอกแลกบัตรที่สามารถ ระบุตัวตนของบุคคลนั้น ๆ กอนเขาถึงอาคารของ รฟม. เชน บัตรประจําตัวประชาชน ใบอนุญาตขับขี่ เปนตน แลวบันทึกขอมูลบัตรในสมุดบันทึกหรือระบบงานสารสนเทศ
   5.1.3 หนวยงานภายนอก/บุคคลภายนอกที่มาติดตอตองติดบัตรผูติดตอ (Visitor) ตรงจุดที่สามารถเห็นได ชัดเจนตลอดเวลาที่อยูใน รฟม.และคืนบัตรผูติดตอ (Visitor) กอนออกจากอาคารของ รฟม.
   5.1.4 เจาหนาที่รักษาความปลอดภัย (รปภ.) ตองตรวจสอบผูติดตอ อุปกรณ พรอมลงเวลาออกที่สมุด บันทึกหรือระบบสารสนเทศใหถูกตอง
   5.2 ผูดูแลระบบ ตองควบคุมการเขา –ออกพื้นที่จัดเก็บขอมูลคอมพิวเตอร (Data Storage Area) ไมใหผูไมมีสิทธิ์ เขาถึงได โดยกําหนดพื้นที่การสงมอบสินคาและพื้นที่การเตรียมหรือประกอบอุปกรณสารสนเทศ (Unpack Area) กอนนําเขาพื้นที่จัดเก็บขอมูลคอมพิวเตอร (Data storage area) และตองควบคุม การ เขา - ออก เพื่อหลีกเลี่ยงการเขาถึงระบบสารสนเทศและขอมูลสารสนเทศโดยไมไดรับอนุญาต โดยปฏิบัติตามขั้นตอนที่ รฟม. กําหนด
   8
   สวนที่ 4
   การจัดการทรัพยสิน
   วัตถุประสงค
   ▪ เพื่อบริหารจัดการทรัพยสินสารสนเทศ ตั้งแตการจัดหา การใชงาน จนถึงการยกเลิกใชงาน โดยมีการระบุ ทรัพยสินขององคกรและกําหนดหนาที่ความรับผิดชอบในการปกปองทรัพยสินสารสนเทศอยางเหมาะสม ผูรับผิดชอบ
   ▪ ผูบังคับบัญชา
   ▪ ผูดูแลระบบ
   ▪ เจาของขอมูล
   ▪ ผูใชงาน
   อางอิงมาตรฐาน: ISO/IEC 27001:2022
   ▪ มาตรการควบคุมดานองคกร (Organizational Controls)
   ▪ มาตรการควบคุมดานกายภาพ (Physical Controls)
   ▪ มาตรการควบคุมดานเทคโนโลยี (Technological Controls)
   แนวปฏิบัติ
7. หนาที่ความรับผิดชอบตอทรัพยสินสารสนเทศ (Responsibility for Assets)
   1.1 เจาของขอมูลและผูดูแลระบบ ตองรวมกันจัดทําบัญชีทรัพยสิน/ทะเบียนทรัพยสิน (Asset Inventory) และทบทวนทะเบียนทรัพยสินอยางนอยปละ 1 ครั้ง หรือเมื่อมีการเปลี่ยนแปลงที่มีนัยสําคัญ 1.2 เจาของขอมูลและผูดูแลระบบ ตองระบุเจาของทรัพยสินสารสนเทศทุกรายการ เพื่อรับผิดชอบดูแล ความมั่นคงปลอดภัยสารสนเทศตลอดวงจรอายุการใชงาน
   1.3 เจาของขอมูลและผูดูแลระบบ ตองเรียกคืนทรัพยสินสารสนเทศเมื่อสิ้นสุดหรือเปลี่ยนแปลงการจางงาน 1.4 ผูใชงานตองใชทรัพยสินสารสนเทศของ รฟม. อยางระมัดระวัง และใชเพื่อปฏิบัติงานของ รฟม. เทานั้น รวมทั้งตองปฏิบัติตามกฎหมาย ระเบียบ ขอบังคับ และนโยบาย ของ รฟม.
8. การจําแนกประเภทของทรัพยสินสารสนเทศ (Asset Classification)
   2.1 เจาของขอมูลและผูดูแลระบบ ตองจําแนกประเภททรัพยสินตามขั้นตอนที่ รฟม. กําหนด และทบทวน การจําแนกดังกลาวอยางสม่ําเสมอ
   2.2 เจาของขอมูลและผูดูแลระบบ ตองจัดทําปายชื่อทรัพยสินสารสนเทศ (Labeling) ใหชัดเจน พรอมทั้งจัดใหมี มาตรการดูแลการรักษาความมั่นคงปลอดภัยสารสนเทศที่สอดคลองกับประเภททรัพยสินตามระดับชั้นความลับ ที่ รฟม. กําหนด
9. การจัดการสื่อบันทึกขอมูล (Media Handling)
   3.1 เจาของขอมูล ผูดูแลระบบ และผูใชงานตองควบคุมการใชงานและจัดเก็บสื่อบันทึกแบบถอดหรือตอพวง กับเครื่องคอมพิวเตอรได (Removable Media) ตามที่ รฟม. กําหนด
   3.2 เจาของขอมูลตองมีการเขารหัสขอมูลที่ออนไหว (Sensitive Data) ของ รฟม. ที่จัดเก็บอยูในสื่อบันทึก แบบถอดได
   3.3 เจาของขอมูล ผูดูแลระบบ และผูใชงานตองทําลายขอมูลสําคัญในอุปกรณสื่อบันทึกขอมูล แฟมขอมูล ตามขั้นตอนที่ รฟม. กําหนด โดยไมสามารถกูคืนขอมูลกลับมาไดอีกกอนจะกําจัดอุปกรณดังกลาวหรือ กอนที่จะอนุญาตใหผูอื่นนําอุปกรณนั้นไปใชงานตอเพื่อปองกันไมใหมีการเขาถึงขอมูลที่สําคัญได โดยพิจารณาวิธีการทําลายขอมูลบนสื่อบันทึกขอมูลแตละประเภท ดังนี้
   9
   ประเภทสื่อบันทึกขอมูล
   วิธีทําลาย
   กระดาษ
   ใหหั่นดวยเครื่องทําลายเอกสาร
   Flash Drive
   1. ทําลายขอมูลบน Flash Drive ตามมาตรฐาน DOD5220.22M ของกระทรวงกลาโหมสหรัฐอเมริกา ซึ่งเปนการเขียนทับขอมูลเดิมหลายรอบ

2. ใชวิธีทุบหรือบดใหเสียหาย
   แผน CD/DVD
   ใหหั่นดวยเครื่องทําลายเอกสาร
   เทป
   ใชวิธีทุบหรือบดใหเสียหายหรือเผาทําลาย
   ฮารดดิสก
   1. ทําลายขอมูลบนฮารดดิสกตามมาตรฐาน
      DOD5220.22M ของกระทรวงกลาโหมสหรัฐอเมริกา ซึ่งเปนการเขียนทับขอมูลเดิมหลายรอบ
3. ใชวิธีทุบหรือบดใหเสียหาย

3.4 เจาของขอมูล ผูดูแลระบบ และผูใชงาน ตองมีการปองกันสื่อบันทึกขอมูลที่ใชจัดเก็บขอมูลสารสนเทศ ในกรณี ที่มีการเคลื่อนยายเพื่อปองกันการเขาถึงขอมูลสารสนเทศโดยไมไดรับอนุญาต ถูกนําไปใชงานผิดวัตถุประสงค รวมถึงปองกันสื่อบันทึกขอมูลไมใหไดรับความเสียหาย โดยรักษาความปลอดภัยสารสนเทศตามขั้นตอนที่ รฟม. กําหนด
4. การบริหารจัดการคาคอนฟกูเรชัน (Configuration Management)
4.1 ผูบังคับบัญชาตองกําหนดใหมีแนวทางการบริหารจัดการคาคอนฟกูเรชัน (Configuration Management) 4.2 ผูดูแลระบบตองกําหนดคา Minimum Baseline Standard เพื่อเปนมาตรฐานในการการตั้งคาของ ระบบปฏิบัติการ ระบบฐานขอมูล ระบบงาน และอุปกรณเครือขายสื่อสารตาง ๆอยางเปนลายลักษณอักษร และตองการทบทวนปรับปรุงใหเปนปจจุบันอยางนอยปละ 1 ครั้ง
4.3 ผูดูแลระบบตองควบคุมการเปลี่ยนแปลงการตั้งคาของระบบปฏิบัติการ ระบบฐานขอมูล ระบบงาน และ อุปกรณเครือขายสื่อสารตาง ๆ ตามขั้นตอนปฏิบัติการควบคุมการเปลี่ยนแปลงหรือแกไขระบบที่ รฟม. กําหนด
4.4 ผูดูแลระบบตองควบคุมเวอรชันของคาคอนฟกูเรชัน (System Configuration Version Control) 4.5 ผูดูแลระบบตองมีการสอบทานคาคอนฟกูเรชันของระบบปฏิบัติการ ระบบฐานขอมูล ระบบงาน และ อุปกรณเครือขายสื่อสารตาง ๆ อยางนอยปละ 1 ครั้ง
10
สวนที่ 5
การจัดหา การพัฒนา และการบํารุงรักษาระบบสารสนเทศ
วัตถุประสงค
▪ เพื่อควบคุมการจัดหา พัฒนา และบํารุงรักษาระบบสารสนเทศ ใหมีการกําหนดมาตรการการรักษาความมั่นคง ปลอดภัย เพื่อปองกันความผิดพลาด สูญหาย และการเปลี่ยนแปลงแกไขระบบ
ผูรับผิดชอบ
▪ ผูบังคับบัญชา
▪ ผูดูแลระบบ
อางอิงมาตรฐาน: ISO/IEC 27001:2022
▪ มาตรการควบคุมดานองคกร (Organizational Controls)
▪ มาตรการควบคุมดานเทคโนโลยี (Technological Controls)
แนวปฏิบัติ

1. ผูบังคับบัญชา ตองควบคุมใหมีการกําหนดขอตกลงและความรับผิดชอบที่เกี่ยวของกับความเสี่ยงดานความมั่นคง ปลอดภัยสารสนเทศลงในสัญญากับผูใหบริการภายนอก โดยใหครอบคลุมรวมถึงผูรับจางชวงดวย 2. ผูบังคับบัญชาตองควบคุมใหมีขอตกลง (Sign Off) กอนเริ่มใชงานระบบจริง (Production) หรือกอนเริ่ม Go Live 3. ผูดูแลระบบ ตองจัดทําขอกําหนดโดยระบุถึงการควบคุมความมั่นคงปลอดภัยดานสารสนเทศที่สอดคลองกับ นโยบายและแนวปฏิบัติดานความมั่นคงปลอดภัยสารสนเทศขององคกร เชน วิธีการแบบปลอดภัยในการพัฒนา โปรแกรมตามมาตรฐาน OWASP (Open Web Application Security Project) Top 10 หรือมาตรฐาน CWE (Common Weakness Enumeration) Top 25 หรือมาตรฐานที่ยอมรับในสากล
2. ผูดูแลระบบตองออกแบบโครงสรางการจัดวางระบบงานและเสนอผูบังคับบัญชาเห็นชอบกอนเริ่ม Go Live 5. ผูดูแลระบบ ตองมีการออกแบบระบบเพื่อตรวจสอบขอมูลที่จะรับเขาสูแอปพลิเคชัน ขอมูลที่เกิดจากการ ประมวลผล และขอมูลที่อยูระหวางการประมวลผล เพื่อตรวจหาและปองกันความไมถูกตองที่เกิดขึ้นกับขอมูล เชน หนวยความจําลน (Buffer Overflows) การใชตัวแปรผิดประเภท และตองมีมาตรการปองกันหรือควบคุม ความลมเหลวระหวางการประมวลผล (Rollback)
3. ผูดูแลระบบตองมีการควบคุมการเขาถึงและควบคุมการเปลี่ยนแปลงหรือแกไขระบบตามขั้นตอนที่ รฟม. กําหนด เพื่อควบคุมผลกระทบที่เกิดขึ้น
4. ผูดูแลระบบตองจํากัดใหมีการเปลี่ยนแปลงใด ๆ ตอซอฟตแวรที่ใชงาน (Software Package) โดยเปลี่ยนแปลง เฉพาะที่จําเปนเทานั้น และควบคุมทุก ๆ การเปลี่ยนแปลงอยางเขมงวดตามขั้นตอนที่ รฟม. กําหนด 8. ผูดูแลระบบตองจํากัดการเขาถึง Source Code ใหเขาถึงไดเฉพาะผูที่มีสิทธิ์เทานั้น
5. ผูดูแลระบบตองจัดทํา Source Code Review เพื่อหาขอผิดพลาดหรือสิ่งผิดปกติและปรับปรุง Source Code ใหมีคุณภาพ
6. ผูดูแลระบบตองควบคุมการจัดสง Source Code ผานชองทางที่มั่นคงปลอดภัยและเปนชองทางที่ รฟม. กําหนดใหใชงานเทานั้น
7. ผูดูแลระบบตองปดบังขอมูลสวนบุคคล (Data Masking) ที่จัดเก็บอยูในระบบงานสารสนเทศดวยวิธีการที่ เหมาะสม
8. ผูดูแลระบบตองแสดงขอมูลของผูใชงานอยางรัดกุม เชน การปดบังขอมูลสําคัญของผูใชงาน (Sensitive Data Masking) เปนตน
   11
9. กรณีของแอปพลิเคชันที่ใชงานผานอุปกรณเคลื่อนที่ (Mobile device) ใหผูดูแลระบบดําเนินการ ดังนี้ 13.1 ปดบังหนาจอเมื่อยอแอปพลิเคชัน (Application Blurring) เพื่อลดความเสี่ยงที่ขอมูลสําคัญของผูใชงาน จะรั่วไหล
   13.2 ขอสิทธิ์เขาถึงทรัพยากรหรือบริการโดยแอปพลิเคชัน (Application Permission) บนอุปกรณเคลื่อนที่ ของผูใชงานเทาที่จําเปน และมีกระบวนการทบทวนการขอสิทธิ์เปนประจําเพื่อปองกันการละเมิดสิทธิ์ ความเปนสวนตัวของผูใชงาน
10. ผูดูแลระบบตองควบคุมขอมูลที่นํามาใชในการทดสอบระบบ (Test Data) อยางเหมาะสม โดยไมนําขอมูลจริง มาทดสอบ กรณีจําเปนตองใชขอมูลจริงตองไดรับอนุญาตขอมูลจากเจาของกอนนํามาใชงาน และทําลายขอมูล อยางเหมาะสมตามขั้นตอนที่ รฟม. กําหนด
11. ผูดูแลระบบตองแยกระบบสารสนเทศสําหรับการพัฒนา ทดสอบ และใชงานจริงออกจากกันเพื่อลดความเสี่ยง ที่เกิดจากการเปลี่ยนแปลงระบบสารสนเทศโดยไมไดรับอนุญาต และตองมีการกําหนดสิทธิ์การเขาถึงระบบ สารสนเทศที่พัฒนา ทดสอบ หรือใชงานจริง ทั้งระบบสารสนเทศใหม และการปรับปรุงแกไขระบบสารสนเทศเดิม
12. ผูดูแลระบบตองมีการกําหนดขั้นตอนการทดสอบระบบสารสนเทศกอนนําไปใชงานจริง ทั้งในกรณีปรับปรุงระบบ สารสนเทศเดิมและการพัฒนาระบบสารสนเทศใหม
13. ผูดูแลระบบตองติดตั้งซอฟตแวรบนระบบสารสนเทศที่ใหบริการ (Production) ตามขั้นตอนที่ รฟม. กําหนด และจํากัดสิทธิ์การติดตั้งซอฟตแวรเพื่อใหระบบสารสนเทศตาง ๆ มีความถูกตองครบถวนและนาเชื่อถือ 18. ผูดูแลระบบตองนําซอฟตแวรที่ไมละเมิดลิขสิทธิ์มาติดตั้งบนระบบสารสนเทศที่ใหบริการ (Production) 19. ผูดูแลระบบตองกํากับดูแลใหผูรับจางปฏิบัติตามสัญญาหรือขอตกลงการใหบริการที่ระบุไว โดยครอบคลุมถึง ดานความมั่นคงปลอดภัยสารสนเทศ และการปฏิบัติตามขั้นตอนที่เกี่ยวของตาง ๆ ที่ รฟม. กําหนดไว 20. ผูดูแลระบบ ตองติดตาม ตรวจสอบรายงาน หรือบันทึกการใหบริการของบุคคล/หนวยงานภายนอกที่ใหบริการแก หนวยงานตามสัญญาวาจางอยางสม่ําเสมอ
14. ผูดูแลระบบ ตองดูแลใหทรัพยสินสารสนเทศไดรับการบํารุงรักษาและซอมแซมตามความตองการ รวมทั้งตอง มีการบันทึกประวัติการทํางานผิดปกติ การบํารุงรักษา และการซอมแซมอุปกรณนั้น ๆ อยางสม่ําเสมอ 22. ผูดูแลระบบจะตองปดชองโหวของระบบสารสนเทศที่มีระดับความรุนแรงในระดับวิกฤติ (Critical) และระดับสูง (High) ทั้งหมดกอนนําไปใชงานจริง (Production) หรือกอนเริ่ม Go Live โดยเฉพาะระบบที่ใหบริการผานเครือขาย อินเทอรเน็ต (Internet Facing) และระบบที่มีความสําคัญตอการดําเนินงานของ รฟม.
15. ผูดูแลระบบตองพิจารณาเลือกใช Version ของ Software ดังนี้
    23.1 กรณีนํา Softwareเดิมมาใชในการจัดหาหรือพัฒนาระบบ จะตองนําผลการตรวจสอบชองโหวและผลการทดสอบ เจาะระบบมาประกอบการพิจารณาคัดเลือกเวอรชันของ Software ดวย เพื่อปองกันไมใหเกิดชองโหวเดิม รวมถึงเพื่อลดภาระงานในการปดชองโหวเดิมซ้ํา
    23.2 กรณีเปน Software ที่ไมเคยนํามาใชงานใหเลือกใชSoftware เวอรชันลาสุด
    12
    สวนที่ 6
    การควบคุมการเขาถึงระบบเทคโนโลยีสารสนเทศ
    วัตถุประสงค
    ▪ เพื่อควบคุมการเขาถึงระบบเทคโนโลยีสารสนเทศตั้งแตการกําหนดสิทธิ์ กําหนดประเภทของขอมูล จัดลําดับ ความสําคัญหรือลําดับชั้นความลับของขอมูล ระดับชั้นการเขาถึง เวลาที่เขาถึงได และชองทางการเขาถึง ทั้งนี้ เพื่อควบคุมและปองกันการเขาถึง การลวงรู และการแกไขระบบสารสนเทศของ รฟม. โดยไมไดรับอนุญาต ผูรับผิดชอบ
    ▪ ผูดูแลระบบ
    ▪ เจาของขอมูล
    ▪ ผูใชงาน
    อางอิงมาตรฐาน: ISO/IEC 27001:2022
    ▪ มาตรการควบคุมดานองคกร (Organizational Controls)
    ▪ มาตรการควบคุมดานเทคโนโลยี (Technological Controls)
    แนวปฏิบัติ
16. การควบคุมการเขาถึงระบบสารสนเทศ (Access Control)
    1.1 เจาของขอมูลและผูดูแลระบบ ตองรวมกันกําหนดสิทธิ์ในการเขาถึงระบบสารสนเทศ (Authorization Matrix) ที่เหมาะสมและสอดคลองกับหนาที่ความรับผิดชอบของผูใชงาน และทบทวนเมื่อมีการเปลี่ยนแปลง 1.2 เจาของขอมูลและผูดูแลระบบ ตองรวมกันกําหนดระดับการอนุมัติ (Authorization Level) การเขาถึงระบบ เทคโนโลยีสารสนเทศ
    1.3 เจาของขอมูลและผูดูแลระบบ ตองจัดใหมีการแบงแยกหนาที่ความรับผิดชอบ (Segregation of duties) ในการเขาถึงระบบเทคโนโลยีสารสนเทศอยางเหมาะสม เชน มีการแบงแยกหนาที่ระหวางการแจงความประสงค การเขาถึงและการอนุมัติการเขาถึง เปนตน
    1.4 กรณีของแอปพลิเคชันที่ใชงานผานอุปกรณเคลื่อนที่ (Mobile device) ผูดูแลระบบตองปฏิบัติ ดังนี้ 1.4.1 ไมอนุญาตใหอุปกรณเคลื่อนที่ที่ใชระบบปฏิบัติการลาสมัย (Obsolete Operating System) เขาใชงาน แอปพลิเคชัน หรือหากอนุญาตใหใชบริการไดควรมีมาตรการรองรับเพื่อลดความเสี่ยงที่ รฟม. จะไดรับ รวมถึงลดผลกระทบตอผูใชงานตามความเหมาะสม เชน การเพิ่มมาตรการยืนยันตัวตน เปนตน 1.4.2 ไมอนุญาตใหอุปกรณที่มีการปรับแตงการเขาถึงระบบปฏิบัติการ (Rooted/Jailbroken) เขาใชงาน แอปพลิเคชัน เพื่อลดความเสี่ยงที่ผูไมประสงคดีสามารถเขาถึงขอมูลสําคัญของผูใชงานและละเมิด หรือหลีกเลี่ยงมาตรการการรักษาความมั่นคงปลอดภัยที่ รฟม. กําหนดไว
    1.4.3 ไมอนุญาตใหผูใชงานใชแอปพลิเคชันเวอรชันต่ํากวาที่ รฟม. กําหนด เพื่อใหแอปพลิเคชันมีการ รักษาความมั่นคงปลอดภัยเปนไปตามมาตรฐานของ รฟม.
    1.5 ขั้นตอนปฏิบัติเพื่อการจัดเก็บขอมูล
    เจาของขอมูล ผูดูแลระบบ และผูใชงาน ตองปฏิบัติดังนี้
    1.5.1 แบงประเภทขอมูล ดังนี้

1. ขอมูลและสารสนเทศสําหรับสนับสนุนการตัดสินใจของผูบริหาร ไดแก ขอมูลสารสนเทศที่มี ความสําคัญหรือมีความจําเปนเรงดวนที่ตองติดตามอยางใกลชิดเพื่อประกอบการตัดสินใจ
   เชิงนโยบาย กําหนดนโยบาย และการวางแผนของผูบริหารระดับสูง
   13
2. ขอมูลและสารสนเทศสนับสนุนเชิงยุทธศาสตร (Strategy Data) ไดแก ขอมูลและสารสนเทศ เชิงวิชาการเพื่อสนับสนุนการดําเนินงานตามพันธกิจและยุทธศาสตรของ รฟม. ใหบรรลุเปาหมาย รวมทั้งขอมูลที่เผยแพรแกผูรับบริการภายนอก
3. ขอมูลและสารสนเทศที่สนับสนุนการปฏิบัติงานประจํา (Operation Data) ไดแก ขอมูลที่ สนับสนุนการทํางานทั่วไปของ รฟม.
   1.5.2 จัดแบงระดับความสําคัญของขอมูล ออกเปน 3 ระดับ คือ
4. ขอมูลที่มีระดับความสําคัญมาก หมายถึง ขอมูลที่ใชสําหรับสนับสนุนการตัดสินใจของผูบริหาร 2) ขอมูลที่มีระดับความสําคัญปานกลาง หมายถึง ขอมูลที่ใชปฏิบัติงานเฉพาะกลุมงาน แผนก กอง หรือฝาย/สํานัก/สํานักงาน ภายในองคกร
5. ขอมูลที่มีระดับความสําคัญนอย หมายถึง ขอมูลที่พนักงาน/ลูกจางภายใน รฟม. สามารถ เขาถึงรวมกันไดหรือสามารถเผยแพรได
   1.5.3 จัดแบงลําดับชั้นความลับของขอมูลตามที่ รฟม. กําหนด
   1.5.4 จัดแบงระดับชั้นการเขาถึง
6. ระดับชั้นสําหรับผูบริหาร เขาถึงไดตามอํานาจหนาที่และภารกิจที่ไดรับมอบหมาย
7. ระดับชั้นสําหรับผูปฏิบัติงานทั่วไป เขาถึงขอมูลที่ไดรับมอบหมายตามอํานาจหนาที่
8. ระดับชั้นสําหรับผูดูแลระบบหรือผูที่ไดมอบหมาย มีสิทธิ์ในการบริหารจัดการระบบและเขาถึง ขอมูลที่ไดรับมอบหมายตามอํานาจหนาที่
   1.6 เจาของขอมูลและผูดูแลระบบตองกําหนดเวลาการเขาถึงระบบสารสนเทศ
   1.7 ผูดูแลระบบตองจํากัดชองทางการเขาถึงระบบเทคโนโลยีสารสนเทศตามชองทาง ดังนี้ 1) เครือขายภายในของ รฟม.
9. เครือขายภายนอก รฟม.
10. เครือขายอื่นที่จัดไวให เชน ระบบเครือขายสื่อสารขอมูล GIN
    1.8 ผูดูแลระบบตองกํากับดูแล Default Permission ของไฟล (File) และ โฟลเดอร (Folder) ที่สรางขึ้นใหมี การจํากัดสิทธิ์ในการเขาถึง
    1.9 เจาของขอมูลและผูดูแลระบบ ตองพิจารณาขอกําหนดตาง ๆ ที่มีผลทางกฎหมายซึ่งเกี่ยวของกับการรักษา ความมั่นคงปลอดภัยสารสนเทศของ รฟม. เชน พระราชบัญญัติ ขอกําหนดทางกฎหมาย ขอกําหนดในสัญญา และขอกําหนดทางดานความมั่นคงปลอดภัยอื่น ๆ เปนตน เพื่อกําหนดสิทธิ์การเขาถึงสารสนเทศและระบบ เทคโนโลยีสารสนเทศของ รฟม.
    1.10 เจาของขอมูลและผูดูแลระบบ ตองมีการสอบทานสิทธิ์ในการเขาถึงระบบเทคโนโลยีสารสนเทศอยางสม่ําเสมอ พรอมทั้งเพิกถอนสิทธิ์เมื่อพบเห็นสิทธิ์ที่ไมถูกตองตามสิทธิ์ในการเขาถึง (Authorization Matrix) 2. การบริหารจัดการการเขาถึงของผูใชงาน (User Access Management)
    ใหมีการควบคุมการลงทะเบียนผูใชงาน การบริหารจัดการรหัสผาน การบริหารจัดการสิทธิ์การใชงานระบบเทคโนโลยี สารสนเทศ และการทบทวนสิทธิ์การเขาถึงของผูใชงาน
    2.1 การลงทะเบียนผูใชงาน (User Registration)
    2.1.1 ผูดูแลระบบตองบริหารจัดการและควบคุมบัญชีชื่อผูใชงาน (Username) มิใหมีการใชงานบัญชี ชื่อผูใชงานซ้ํากัน ทั้งนี้ ในสวนของพนักงาน/ลูกจาง รฟม. ใหกําหนดชื่อผูใชงาน (Username) ตามมาตรฐานจดหมายอิเล็กทรอนิกส (Email) ที่ใชในองคกร
    2.1.2 เจาของขอมูลตองเปนผูอนุมัติการสรางบัญชีผูใชงานชั่วคราว (Temporary User) และตองจํากัด ชวงเวลาการใชงานเทาที่จําเปน
    14
    2.2 การบริหารจัดการรหัสผาน (User Password Management)
    2.2.1 ผูดูแลระบบตองกําหนดรหัสผานแบบชั่วคราวโดยใชวิธีการสุม และบังคับใหมีการเปลี่ยนรหัสผาน เมื่อผูใชงานเขาใชงานระบบในครั้งแรก
    2.2.2 ผูดูแลระบบตองกําหนดความยาวของรหัสผาน ดังนี้
11. ผูดูแลระบบมีความยาวอยางนอย 16 หลัก
12. ผูใชงานมีความยาวอยางนอย 12 หลัก
    2.2.3 ผูดูแลระบบตองกําหนดใหมีการยืนยันตัวตนแบบหลายปจจัย (Multi-Factor Authentication) ตามความเหมาะสม
    2.2.4 ผูดูแลระบบตองกําหนดใหรหัสผานมีความซับซอน โดยประกอบดวย ตัวอักษร ตัวเลข และอักขระ พิเศษ เชน (a-Z) (0-9) (@ , # , & , “ , ‘ , *, =, < , > , % , $ , + , ?) เปนตน
    2.2.5 ผูดูแลระบบตองกําหนดใหมีการเปลี่ยนแปลงรหัสผาน ดังนี้
13. ผูดูแลระบบตองเปลี่ยนรหัสผานทุก ๆ 3 เดือน และไมซ้ํากับรหัสผานเดิม 3 ครั้งกอนหนา 2) ผูใชงานตองเปลี่ยนรหัสผานทุก ๆ 6 เดือน และไมซ้ํากับรหัสผานเดิม 3 ครั้งกอนหนา 3) ผูใชงานเชิงระบบ (System account) ใหพิจารณาเปลี่ยนรหัสผานตามความเหมาะสม 2.2.6 ผูดูแลระบบตองกําหนดใหมีการเขารหัสขอมูลรหัสผานในระบบ
    2.2.7 ผูดูแลระบบตองจัดใหมีการควบคุมรหัสผานอยางเขมงวด
    2.2.8 ผูดูแลระบบตองจัดสงบัญชีชื่อผูใชงาน (Username) และรหัสผาน (Password) ดวยวิธีการที่ปลอดภัย 2.2.9 ผูดูแลระบบตองควบคุมดูแลระบบปฏิบัติการ ระบบฐานขอมูล และระบบงานสารสนเทศ (Application) ที่จัดเก็บบัญชีผูใชงานและรหัสผานอยางเขมงวด โดยใหเขาถึงไดเฉพาะผูดูแลระบบที่ไดรับอนุญาต เทานั้น
    2.2.10 ผูดูแลระบบตองกําหนดวิธีการหรือกระบวนการยืนยันตัวตนที่ปลอดภัย เชน กรณีที่ลืมรหัสผาน 2.2.11 ผูดูแลระบบตองกําหนดใหผูใชบริการ ใชรหัสผานอยางมั่นคงปลอดภัย ดังนี้
    กรณีแอปพลิเคชันทั่วไป
14. กําหนดความยาวรหัสผานอยางนอย 12 หลัก ซึ่งประกอบดวย ตัวอักษร ตัวเลข และ อักขระพิเศษ เชน (a-Z) (0-9) (@ , # , & , “ , ‘ , *, =, < , > , % , $ , + , ?) เปนตน
15. รหัสผานตองไมเปนคําที่คาดเดาไดงาย เชน คําที่อยูในพจนานุกรม ชื่อ-นามสกุล วันเดือนปเกิด ที่อยู หรือเบอรโทรศัพท เปนตน
16. ไมบังคับใหเปลี่ยนรหัสผาน ทั้งนี้ขึ้นอยูกับความสมัครใจในการเปลี่ยนรหัสผาน และระบบ ตองรองรับการเปลี่ยนรหัสผานในกรณีตาง ๆ ดวยวิธีการที่ปลอดภัย
    กรณีแอปพลิเคชันที่ใชงานผานอุปกรณเคลื่อนที่ (Mobile device)
17. กําหนดรหัสผานโดยใช PIN code หรือรหัสผานที่ซับซอน (PIN/Password Complexity) โดยกรณี PIN Code ตองใชรหัสผาน 6 หลักขึ้นไป
18. ไมบังคับใหเปลี่ยนรหัสผาน ทั้งนี้ขึ้นอยูกับความสมัครใจในการเปลี่ยนรหัสผาน และ ระบบตองรองรับการเปลี่ยนรหัสผานในกรณีตาง ๆ ดวยวิธีการที่ปลอดภัย
    2.2.12 ผูดูแลระบบและผูใชงานตองใชรหัสผานอยางปลอดภัย ดังนี้
19. ตองกําหนดรหัสผานที่ไมสามารถคาดเดาไดงาย เชน คําที่อยูในพจนานุกรม “qwerty” “abcde” “12345” ชื่อ-นามสกุล วันเดือนปเกิด ที่อยู หรือเบอรโทรศัพท เปนตน
20. ตองไมใชงานรหัสผานโดยการเขาใชงานโดยอัตโนมัติ ไดแก การกําหนดคา “Remember Password” เปนตน
    15
21. ตองเก็บรหัสผานไวเปนความลับเฉพาะบุคคล ไมเปดเผยใหผูอื่นรับทราบ และไมพิมพ รหัสผานในลักษณะเปดเผย เชน พิมพรหัสผานตอหนาผูใชงานคนอื่น เปนตน
22. ตองไมใชบัญชีชื่อผูใชงานและรหัสผานรวมกันกับผูอื่น แมวาบัญชีชื่อผูใชงานจะไดรับการ อนุญาตจากเจาของชื่อผูใชงานบุคคลนั้นก็ตาม
23. ตองเปลี่ยนแปลงรหัสผานเมื่อมีการแจงเตือนจากระบบ หรือสงสัยวารหัสผานลวงรู โดยบุคคลอื่น
    2.3 การบริหารจัดการสิทธิ์ (Privilege Management)
    2.3.1 ผูบังคับบัญชาตองกําหนดใหมีขั้นตอนปฏิบัติสําหรับการลงทะเบียน การเพิ่มสิทธิ์การเพิกถอนสิทธิ์ การเปลี่ยนแปลงสิทธิ์ และการทบทวนสิทธิ์ของผูใชงานอยางเปนลายลักษณอักษร
    2.3.2 กําหนดสิทธิ์ที่เหมาะสมกับผูใชงานตามความจําเปนและสอดคลองกับหนาที่ความรับผิดชอบและ จัดเก็บประวัติ (Log) การลงทะเบียน การเพิ่มสิทธิ์การเพิกถอนสิทธิ์ และการเปลี่ยนแปลงสิทธิ์ ของผูใชงาน
    2.3.3 เจาของขอมูลและผูดูแลระบบ ตองจัดใหมีการควบคุมและจํากัดสิทธิ์ในการใชงานระบบตาม ความจําเปนในการใชงานเทานั้น
24. สิทธิ์ในการสรางขอมูล (Create)
25. สิทธิ์ในการอานขอมูลหรือเรียกดูขอมูล (Read)
26. สิทธิ์ในการปรับปรุงขอมูล (Modify / Update)
27. สิทธิ์ในการลบขอมูล (Delete)
28. สิทธิ์ในการมอบหมายสิทธิ์ในการดําเนินการแทน (Assign)
29. สิทธิ์ในการรับรองความถูกตองครบถวนของขอมูล (Approve/Authenticate)
30. ไมมีสิทธิ์
    2.3.4 เจาของขอมูลและผูดูแลระบบตองเปนผูอนุมัติการใหสิทธิ์เพื่อเขาถึงสารสนเทศหรือระบบ เทคโนโลยีสารสนเทศใด ๆ อยางเปนลายลักษณอักษร
    2.3.5 เจาของขอมูลและผูดูแลระบบ ตองจํากัดจํานวนผูใชงานที่ทําหนาที่เปนผูใหสิทธิ์กับผูใชงาน ใหนอยที่สุดตามความเหมาะสม
    2.3.6 เจาของขอมูลและผูดูแลระบบ ตองจํากัดระยะเวลาการใชงานระบบเทคโนโลยีสารสนเทศของ รฟม. แกหนวยงานภายนอกที่เขามาปฏิบัติงานรวมกับ รฟม.
    2.3.7 เจาของขอมูลและผูดูแลระบบ ตองจัดใหมีการถอดถอนสิทธิ์หรือเปลี่ยนแปลงสิทธิ์การเขาถึงทันที เมื่อผูใชงานเกษียณ เปลี่ยนแปลงหนาที่ความรับผิดชอบ เปลี่ยนแปลงการจางงาน หรือไมมีความจําเปน ในการใชงานระบบเทคโนโลยีสารสนเทศ
    2.3.8 ผูดูแลระบบตองลบหรือระงับการใชงานสิทธิ์ของผูใชงานที่มากับระบบ (Default User) ในกรณีที่มี ความจําเปนตองใชงานตองกําหนดรหัสผานอยางมั่นคงปลอดภัย
    2.4 การทบทวนสิทธิ์การเขาถึงของผูใชงาน (Review of User Access Rights)
    2.4.1 เจาของขอมูลและผูดูแลระบบ ตองมีการสอบทานสิทธิ์การเขาถึงของผูใชงานระบบเมื่อ รฟม. มีการ เปลี่ยนแปลงระบบเทคโนโลยีสารสนเทศหรือโครงสรางองคกร
    2.4.2 ผูดูแลระบบ ตองมีการสอบทานและระงับการใชงานบัญชีผูใชงานที่ไมไดใชงานนานเกิน 180 วัน หากผูใชงานตองการกลับมาใชงานจะตองยืนยันตัวตนให ฝทท. ทราบ ทั้งนี้ ระยะเวลาที่ไมไดใชงาน ของบัญชีผูใชงานอาจจะขึ้นอยูกับแตละระบบสารสนเทศ
    16

3. การปองกันอุปกรณที่ไมมีผูดูแล และการควบคุมการไมทิ้งสินทรัพยสารสนเทศสําคัญไวในที่ที่ไมปลอดภัย 3.1 การปองกันอุปกรณที่ไมมีผูดูแล (Unattended User Equipment)
   3.1.1 ผูดูแลระบบตองจัดใหมีมาตรการสําหรับปองกันระบบคอมพิวเตอร ระบบเครือขายสื่อสารขอมูล และระบบเทคโนโลยีสารสนเทศ โดยการกําหนดคาของระบบ (Configuration) ใหมีการล็อกหนาจอ สําหรับอุปกรณที่ไมมีพนักงานดูแล หรือล็อกอุปกรณอยูเสมอ
   3.1.2 ผูใชงานและหนวยงานภายนอก/บุคคลภายนอก ตองล็อกหนาจออัตโนมัติเมื่อไมมีการใชงานระบบ เทคโนโลยีสารสนเทศของ รฟม. ตามระยะเวลาที่กําหนด โดยตองพักหนาจอ(ScreenSaver)อัตโนมัติ หลังจากที่ไมมีการใชงานคอมพิวเตอรเปนระยะเวลานานกวา15 นาทีผูใชงานและหนวยงานภายนอก/ บุคคลภายนอกจะใชงานตอไดเมื่อมีการใสรหัสผานที่ถูกตอง
   3.1.3 ผูใชงานตอง Logout ออกจากเครื่องคอมพิวเตอรเมื่อมีความจําเปนตองละทิ้งเครื่องคอมพิวเตอร 3.1.4 ผูใชงานตองปองกันไมใหผูอื่นใชอุปกรณ เชน กลองดิจิทัล เครื่องสําเนาเอกสาร เครื่องสแกน เอกสารโดยไมไดรับอนุญาต
   3.2 การควบคุมสินทรัพยสารสนเทศและการใชงานระบบคอมพิวเตอร(Clear Desk and Clear Screen Control) 3.2.1 ผูบังคับบัญชาตองกําหนดใหมีผูรับผิดชอบในการดูแลสถานที่ที่มีการรับ - สงแฟกซหรือจดหมาย เขา – ออก
   3.2.2 ผูใชงานตองออกจากระบบคอมพิวเตอร (Logout) ทันที เมื่อจําเปนตองปลอยทิ้งโดยไมมีผูดูแล 3.2.3 ผูใชงานตองจัดเก็บขอมูลสําคัญแยกตางหาก และปองกันใหมีความปลอดภัยอยางพอเพียง 3.2.4 ผูใชงานตองนําเอกสารออกจากเครื่องพิมพทันทีที่พิมพงานเสร็จ
4. การควบคุมการเขาถึงเครือขาย (Network Access Control)
   ใหมีการควบคุมการใชงานบริการเครือขาย การควบคุมการพิสูจนตัวตนสําหรับผูใชงานที่อยูภายนอก รฟม. การควบคุม การพิสูจนตัวตนอุปกรณบนเครือขาย การปองกันพอรต (Port) ที่ใชสําหรับตรวจสอบและปรับแตงระบบ การแบงแยก เครือขาย (Segregation in networks) อยางเหมาะสม การควบคุมการเชื่อมตอทางเครือขาย และการควบคุม การกําหนดเสนทางบนเครือขาย
   4.1 การใชงานบริการเครือขาย (Use of Network Services)
   4.1.1 ผูดูแลระบบตองควบคุมการเผยแพรแผนผังระบบเครือขายสื่อสารขอมูล (Network Diagram) รวมถึงโครงสราง IP Address ชื่อระบบ และชื่ออุปกรณสารสนเทศแกผูที่ไมไดรับอนุญาตหรือ หนวยงานภายนอก/บุคคลภายนอก
   4.1.2 ผูดูแลระบบตองควบคุมการใชงานระบบเครือขายสื่อสารขอมูลเพื่อปองกันการเขาถึงระบบเครือขาย สื่อสารขอมูลและบริการของระบบเครือขายสื่อสารขอมูลโดยไมไดรับอนุญาต
   4.1.3 ผูดูแลระบบตองควบคุมการเชื่อมตอเครือขายภายนอก เพื่อใชงานอินเทอรเน็ต ซึ่งอาจเปนชองทางให หนวยงานภายนอก/บุคคลภายนอกเขาถึงสารสนเทศหรือระบบเทคโนโลยีสารสนเทศของ รฟม. โดยมิไดรับอนุญาต
   4.1.4 ผูใชงานตองแจงความประสงคในการขอใชงานบริการเครือขายแก ฝทท. และสามารถใชบริการ เครือขายไดหลังจากไดรับการอนุมัติจาก ฝทท. แลว
   4.1.5 ผูใชงาน ตองไมใชระบบเครือขายสื่อสารขอมูลเพื่อเปนชองทางในการเจาะระบบ (Hacking) หรือ การสแกนชองโหวของระบบโดยมิไดรับอนุญาต
   4.2 การพิสูจนตัวตนของผูใชงานที่อยูภายนอก รฟม. (User Authentication for External Connections) ผูดูแลระบบตองกําหนดใหมีการพิสูจนตัวตนผานระบบ Active Directory ของ รฟม. กอนอนุญาตให ผูใชงานที่อยูภายนอก รฟม. เขาใชงานเครือขายและระบบสารสนเทศของ รฟม.
   17
   4.3 การพิสูจนตัวตนของอุปกรณในระบบเครือขายสื่อสารขอมูล (Equipment Identification in Networks) ผูดูแลระบบตองกําหนดใหมีการพิสูจนตัวตนของอุปกรณในระบบเครือขายสื่อสารขอมูล ไดแก การตรวจสอบ MAC Address
   4.4 การปองกันพอรตที่ใชสําหรับตรวจสอบและปรับแตงระบบ (Remote Diagnostic and Configuration Port Protection)
   ผูดูแลระบบตองระงับบริการและพอรต (Port) ที่ไมมีความจําเปนตองใชบนเครื่องคอมพิวเตอรหรือ อุปกรณเครือขาย
   4.5 ผูดูแลระบบตองติดตั้งระบบตรวจจับการบุกรุก (Instrusion Prevention System/ Instrusion Detection System) ของระบบเครือขาย
   4.6 การแบงแยกเครือขาย (Segregation in Networks)
   4.6.1 ผูดูแลระบบตองจัดใหมีการแบงแยกเครือขายตามกลุมของผูใชงาน หรือกลุมของระบบเทคโนโลยี สารสนเทศ เพื่อควบคุมการใชงานในแตละเครือขายยอยอยางเหมาะสม โดยพิจารณาจากความตองการ ในการเขาถึงขอมูล ระดับความสําคัญของขอมูล รวมถึงการพิจารณาดานราคา ประสิทธิภาพ และ ผลกระทบทางดานความปลอดภัยดังตอไปนี้

1. เครือขายที่อนุญาตใหเขาถึงจากภายนอกและเครือขายที่ใชภายใน รฟม.
2. เครือขายแอปพลิเคชัน (Application) ที่มีความสําคัญกับเครือขายอื่น ๆ ที่มีความสําคัญ นอยกวา
3. เครือขายสําหรับเครื่องใหบริการ (Server Farm) กับเครือขายของผูใชงาน ควรมีการ ติดตั้งอุปกรณที่สามารถแบงแยกเครือขายไดเชน Firewall หรือ Switch ที่สามารถ
   แบง VLAN ไดเปนตน
   4.6.2 ผูดูแลระบบจะกําหนดเสนทางบนเครือขายที่เขมงวด เพื่อจํากัดการเขาถึงระยะไกลไปเฉพาะเครือขาย ที่กําหนดเทานั้น
   4.6.3 ผูดูแลระบบตองตั้งคา (Configuration) อุปกรณเครือขายเชน Firewall หรือ Router มิใหสามารถ บริหารจัดการจากภายนอกเครือขายไดเวนแตในกรณีฉุกเฉินซึ่งตองไดรับการอนุญาตจากผูดูแลระบบ เทานั้น
   4.7 การควบคุมการเชื่อมตอทางเครือขาย (Network Connection Control)
   4.7.1 ผูดูแลระบบตองจํากัดการใชงานเครือขายของผูใชงานในการเชื่อมตอกับเครือขายของ รฟม. เชน Router หรือFirewall เปนตน พรอมทั้งติดตั้งระบบควบคุมเพื่อกลั่นกรองขอมูลที่รับ -สง เชน Web Filtering, Email Filtering เปนตน เพื่อทําใหการเชื่อมตอมีความปลอดภัย
   4.7.2 ผูดูแลระบบตองติดตั้ง Firewall ระหวางเครือขายของ รฟม. กับเครือขายภายนอก ทั้งนี้ การติดตั้ง Firewall ตองพิจารณาเรื่องดังตอไปนี้
4. การปองกันการจราจรจากภายนอก ตองถูกกําหนดใหใชเสนทางที่ผาน First Tier Firewall ที่มีความมั่นคงปลอดภัยเพื่อปองกันทรัพยสินสารสนเทศของ รฟม. และ
   โครงสรางพื้นฐานที่มีความสําคัญจากการเขาถึงที่ไมไดรับอนุญาต
5. Firewall ตองระบุตัวตนและพิสูจนตัวตนของผูใชงานกอนที่จะใหสิทธิ์การเขาถึง อินเทอรเฟส (Interface) เพื่อการบริหารจัดการ Firewall
6. Firewall ตองตั้งคาใหระงับบัญชีผูใชงานหลังจากมีความพยายามที่จะเขาสูระบบ ไมสําเร็จ 5 ครั้ง การยกเลิกการระงับตองดําเนินการโดย ฝทท.
7. ไมอนุญาตใหพิสูจนตัวตนผานทางอินเทอรเฟส (Interface) การจัดการ Firewall จากระยะไกล (Remote)
   18
8. ผูที่ไดรับการมอบหมายจาก ฝทท. เทานั้นที่มีสิทธิ์ที่จะเปลี่ยนการตั้งคาดานความปลอดภัย บน Firewall
9. Firewall ตองตั้งคาใหบันทึกเหตุการณดานความมั่นคงปลอดภัย
10. Firewall ตองไดรับการสอบทาน ทดสอบ และตรวจสอบอยางสม่ําเสมอ
11. Firewall ตองถูกบริหารจัดการผานทางการติดตอสื่อสารที่มีการเขารหัส
12. ตองปดบริการและพอรต (Port) ที่ไมจําเปนตองใชบน Firewall
13. Firewall ประเภทซอฟตแวร(Software) ตองติดตั้งบนเครื่องคอมพิวเตอรแมขาย แยกตางหาก
14. Firewall ตองสามารถปองกันตัวเองจากการโจมตีDOS (Denial of service) ได อยางเชน Ping, Sweeps หรือ TCP SYN Floods เปนตน
15. ตองใชเวอรชันของซอฟตแวร (Software) Firewall และระบบปฏิบัติการที่เจาของ ผลิตภัณฑยังใหการสนับสนุน
16. ผูดูแล Firewallตองติดตามขอมูลชองโหวจากผูใหบริการ (Vendor) เพื่อรับทราบขาวสาร การ Upgrade และแพ็ตช (Patch) ที่จําเปน และตองติดตั้งแพ็ตช(Patch) ทั้งหมด
    ที่เกี่ยวของ
    4.7.3 ผูดูแลระบบตองติดตั้ง Firewall เพื่อแบงแยก Zone ใหมีการใช DMZ (Demilitarized zone) โดยตองพิจารณาเรื่องดังตอไปนี้
17. เครื่องคอมพิวเตอรแมขายที่ใหบริการผานอินเทอรเน็ต เชน FTP, Email, Web และ External DNS server เปนตน ตองติดตั้งอยูใน DMZ
18. การเขาถึงจากระยะไกลตองพิสูจนตัวตนที่ Firewall หรือผานบริการที่อยูใน DMZ
19. DNS Servers ตองไมอนุญาตใหมีการแลกเปลี่ยนโซน (Zone Transfers) เวนแต มีเหตุจําเปน
    4.8 การควบคุมการกําหนดเสนทางบนเครือขาย (Network Routing Control)
    ผูดูแลระบบตองควบคุมการกําหนดเสนทางบนเครือขายเพื่อใหมั่นใจวาการเชื่อมตอเครื่องคอมพิวเตอร และการไหลเวียนของสารสนเทศบนเครือขาย โดยมีกลไกในการตรวจสอบที่อยูปลายทางและตนทางของ การเชื่อมตอ เชน การควบคุมโดย Firewall หรือ Proxy เปนตน

5. การควบคุมการเขาถึงระบบปฏิบัติการ (Operating system Access Control)
   ใหมีการควบคุมการเขาถึงระบบปฏิบัติการอยางมั่นคงปลอดภัย การควบคุมการระบุและพิสูจนตัวตนของผูใชงาน การควบคุมระบบบริหารจัดการรหัสผาน การควบคุมการใชงานโปรแกรมประเภทยูทิลิตี้ (System Utilities) การควบคุมการหมดเวลาการใชงานระบบเทคโนโลยีสารสนเทศ และควบคุมการจํากัดระยะเวลาการเชื่อมตอ ระบบเทคโนโลยีสารสนเทศ
   5.1 ขั้นตอนปฏิบัติในการเขาถึงระบบอยางมั่นคงปลอดภัย (Secure Logon Procedures) 5.1.1 ผูดูแลระบบ ตองจัดใหมีการควบคุมการเขาถึงระบบปฏิบัติการอยางมั่นคงปลอดภัย โดยขั้นตอน การเขาสูระบบตองเปดเผยขอมูลเกี่ยวกับระบบใหนอยที่สุดเพื่อหลีกเลี่ยงผูใชงานที่ไมไดรับอนุญาต ซึ่งขั้นตอนการ Logon ตองพิจารณา ดังนี้

1. หากกระบวนการเขาสูระบบไมสําเร็จ ระบบตองไมแสดงขอมูลของระบบหรือแอปพลิเคชัน (Application) ที่ใชงานอยู
2. ระบบตองแสดงขอความเตือนผูใชงานวาสามารถเขาใชงานเครื่องคอมพิวเตอรไดเฉพาะ ผูที่มีสิทธิ์เทานั้น
3. หากกระบวนการเขาสูระบบไมสําเร็จ ระบบตองไมแสดงขอมูลที่สามารถระบุตัวตนของระบบ เชน เครือขายที่ใชงาน สถานที่ตั้งของระบบ หรือชื่อเครื่องคอมพิวเตอรแมขาย เปนตน
   19
4. ระบบตองไมแสดงขอความที่ชี้เฉพาะเหตุของการเขาสูระบบไมสําเร็จ เชน ไมแสดงขอความวา บัญชีผูใชงานผิด หรือ รหัสผานผิด เปนตน
5. หามเขาสูระบบจากบัญชีผูใชงานสวนบุคคลเดียวกันมากกวาหนึ่ง Session ในระบบเดียวกัน 6) ระบบตองจํากัดจํานวนครั้งในการพยายามเขาสูระบบที่ไมสําเร็จ และตองพิจารณาเงื่อนไข ตอไปนี้
   (ก) การเก็บบันทึกผลการเขาสูระบบทั้งที่สําเร็จและไมสําเร็จ
   (ข) หนวงระยะเวลาในการเขาใชงานระบบครั้งตอไป
   (ค) การตัดการเชื่อมตอ
   (ง) การแสดงขอความเตือนที่หนาจอของผูดูแลระบบเมื่อมีการเขาสูระบบเกินจํานวนครั้ง ที่จํากัดไว
6. ระบบตองแสดงวัน เวลา ในการเขาสูระบบที่สําเร็จในครั้งกอน พรอมทั้งบันทึกจํานวนครั้ง ที่พยายามเขาไมสําเร็จนับแตการเขาสูระบบที่สําเร็จในครั้งกอนของผูใชงาน
7. ระบบตองไมสงรหัสผานแบบ Clear Text ผานระบบเครือขายสื่อสารขอมูล
8. ผูดูแลระบบตองกําหนดจํานวนครั้งที่ยอมใหใสรหัสผานผิดไดไมเกิน 5 ครั้ง
   5.2 การระบุและพิสูจนตัวตนของผูใชงาน (User Identification and Authentication) ผูดูแลระบบ ตองจัดใหผูใชงานมีบัญชีผูใชงานของแตละบุคคลเพื่อใชพิสูจนตัวตนในการเขาถึงระบบเทคโนโลยี สารสนเทศ และตองใชระบบเทคโนโลยีสารสนเทศพิสูจนตัวตนผูใชงานในการเขาถึงระบบปฏิบัติการผานระบบ Active Directory (AD) หรือ Lightweight Directory Access Protocol (LDAP) ทุกครั้ง พรอมทั้งบันทึก ขอมูลการเขาถึง
   5.3 การใชงานโปรแกรมประเภทยูทิลิตี้(Use of System Utilities)
   ผูดูแลระบบ ตองควบคุมการใชงานโปรแกรมประเภทยูทิลิตี้บนระบบที่ใชงานจริง (Production System)ดังนี้ 5.3.1 ตองจัดทําบัญชีโปรแกรมประเภทยูทิลิตี้ (System Utilities) ที่นํามาใชงาน
   5.3.2 กําหนดความรับผิดชอบในการใชโปรแกรมประเภทยูทิลิตี้ (System Utilities) แตละรายการ อยางชัดเจนและสื่อสารใหผูเกี่ยวของทราบเพื่อถือปฏิบัติ
   5.3.3 ใหมีการพิสูจนตัวตน และกําหนดสิทธิ์ในการใชงานโปรแกรมประเภทยูทิลิตี้เฉพาะกลุมคนที่มี หนาที่รับผิดชอบ
   5.3.4 มีการบันทึกเหตุการณ (Log) การใชงานโปรแกรมประเภทยูทิลิตี้ และตองสอบทานจากผูดูแลระบบ อยางสม่ําเสมอ
   5.3.5 ตองทําการเพิกถอนหรือระงับโปรแกรมประเภทยูทิลิตี้ที่ไมจําเปน
   5.4 การหมดเวลาการใชงานระบบสารสนเทศ (Session Timeout)
   5.4.1 ผูดูแลระบบตองกําหนด Session Timeout ของระบบเทคโนโลยีสารสนเทศที่ไมมีการใชงานภายใน ระยะเวลา 15 นาทีหากระบบใดที่ไมสามารถกําหนด Session Timeout ภายในระยะเวลา 15 นาทีได ใหกําหนดเปนระยะเวลานอยที่สุดที่จะสามารถกําหนดไดทั้งนี้ ถาระบบที่ไมสามารถตัดการเชื่อมตอ แบบอัตโนมัติไดกําหนดใหใชโปรแกรมพักหนาจอที่ตองใสรหัสผานหรือกําหนดใหมีการล็อกหนาจอ
   5.4.2 ผูดูแลระบบ และผูใชงาน ตองตั้งคาใหมีโปรแกรมพักหนาจอที่ตองใสรหัสผานสําหรับเครื่อง คอมพิวเตอรสวนบุคคล เครื่องคอมพิวเตอรแบบพกพา และเครื่องคอมพิวเตอรแมขาย ทั้งนี้ โปรแกรมพักหนาจอกําหนดใหปอนรหัสผานหลังจากที่มีการทิ้งเครื่องดังกลาวไวโดยไมมีการใชงาน เปนระยะเวลา 15 นาที
   20
   5.5 การจํากัดระยะเวลาการเชื่อมตอระบบสารสนเทศ (Limitation of Connection Time) 5.5.1 ผูดูแลระบบ ตองจํากัดระยะเวลาในการเชื่อมตอระบบสารสนเทศที่มีความสําคัญสูง โดยตอง คํานึงถึงระยะเวลาที่จําเปนในกระบวนการดําเนินงานทางธุรกิจ ไดแก กําหนดใหเขาใชงานได ในชวงเวลาทําการของ รฟม. 08.00 น. –17.00 น.และเชื่อมตอเพื่อใชงานไดครั้งละไมเกิน 3 ชั่วโมง 5.5.2 ผูใชงาน หากมีความจําเปนตองใชงานนอกเวลาที่กําหนดตองขออนุมัติจากผูบังคับบัญชาเทานั้น 6. การควบคุมการเขาถึงโปรแกรมประยุกตและสารสนเทศ (Application and Information Access Control) ใหมีการจํากัดการเขาถึงสารสนเทศ และการแยกระบบเทคโนโลยีสารสนเทศที่มีความสําคัญสูงไวในบริเวณที่ ควบคุมเฉพาะ
   6.1 การจํากัดการเขาถึงสารสนเทศ (Information Access Restriction)
   6.1.1 เจาของขอมูลและผูดูแลระบบตองกําหนดสิทธิ์การเขาถึงแกผูใชงานเทาที่จําเปนตองใชในการ ปฏิบัติงาน โดยการใหสิทธิ์ตองพิจารณาในเรื่องดังตอไปนี้
9. การจํากัดไมใหใชตัวเลือก (Options) ที่ไมไดรับอนุญาต
10. การจํากัดการเขาถึง Command Line
11. การจํากัดการเขาถึงขอมูลและฟงกชันการใชงานของแอปพลิเคชัน (Application) ที่ไมเกี่ยวของ กับหนาที่ความรับผิดชอบ
12. การจํากัดระดับสิทธิ์ในการเขาถึงไฟลเชน อานอยางเดียว เปนตน
13. การควบคุมการแจกจาย การเขาถึงขอมูล การนําขอมูลออกจากระบบสารสนเทศ เชน รายงาน เปนตน
    6.1.2 เจาของขอมูลและผูดูแลระบบ ควรกําหนดใหระบบสารสนเทศรองรับการกําหนดสิทธิ์ในการเขาถึง แบบกลุมได
    6.2 การแยกระบบสารสนเทศที่ไวตอการรบกวน (Sensitive System Isolation) มีผลกระทบตอคนกลุมใหญ หรือระบบที่มีความสําคัญตอหนวยงาน ตองดําเนินการดังนี้
    6.2.1 เจาของขอมูลและผูดูแลระบบ แยกระบบซึ่งไวตอการรบกวนออกจากระบบอื่น ๆ และควบคุม สภาพแวดลอมของระบบโดยเฉพาะ ไดแก ระบบ File Sharing ระบบสารสนเทศทางการเงิน และระบบ Active Directory (AD) โดยเขาถึงไดทั้งอุปกรณคอมพิวเตอรและสื่อสารเคลื่อนที่และ การปฏิบัติงานจากภายนอกองคกร (Mobile Computing and Teleworking)
    6.2.2 ผูดูแลระบบตองควบคุมอุปกรณคอมพิวเตอรและอุปกรณเคลื่อนที่และการปฏิบัติงานจาก ภายนอกหนวยงาน (Mobile Computing and Teleworking) ที่เกี่ยวของกับระบบดังกลาว 6.2.3 เจาของขอมูลที่เปนเจาของระบบสารสนเทศที่มีความสําคัญสูงตองเปนผูอนุญาต ในกรณีที่ระบบ สารสนเทศที่มีความสําคัญสูงมีความจําเปนตองทํางานรวมกับระบบสารสนเทศอื่นที่มีความสําคัญ นอยกวา

7. การควบคุมการปฏิบัติงานจากภายนอก รฟม. (Teleworking)
   7.1 ผูดูแลระบบตองกําหนดใหมีการพิสูจนตัวตนกอนการใชงาน และเชื่อมตอผานชองทางที่มีความปลอดภัย ที่มีเทคโนโลยีเขารหัสปองกัน
   7.2 ผูดูแลระบบตองทําการถอดถอนสิทธิ์ในการเขาถึงของผูใชงานจากภายนอกสํานักงาน เมื่อครบกําหนด ระยะเวลาที่ขออนุญาต
   7.3 ผูใชงาน หากจําเปนตองมีการปฏิบัติงานจากภายนอกสํานักงานของ รฟม. ตองไดรับการอนุญาตจาก ผูบังคับบัญชาอยางเปนลายลักษณอักษร ในกรณีเรงดวนสามารถดําเนินการกอน โดยแจงใหผูบังคับบัญชา รับทราบดวย โดยผูบังคับบัญชาตองพิจารณาเงื่อนไขในการเตรียมการ ดังตอไปนี้
   21

1. ความมั่นคงปลอดภัยทางกายภาพและสภาพแวดลอมของการปฏิบัติงานจากภายนอก รฟม. 2) ความมั่นคงปลอดภัยทางการสื่อสาร โดยยึดจากระดับความสําคัญ (Sensitivity) ของขอมูล ที่จะถูกเขาถึงและสงผานชองทางการเชื่อมตอสื่อสาร (Communication Link) รวมถึงระดับ ความสําคัญ (Sensitivity) ของระบบภายใน รฟม.
   7.4 ผูใชงานตองจัดเก็บเอกสารที่เปนความลับในอุปกรณที่ล็อกไดและมีการควบคุมการเขาถึง โดยใชหลักเกณฑ การรักษาความลับเชนเดียวกับสารสนเทศที่อยูในสํานักงานของ รฟม.
   7.5 ผูใชงาน ตองติดตั้งโปรแกรมปองกันไวรัสและ Personal Firewall สําหรับอุปกรณสวนตัวที่ใชเชื่อมตอ เครือขายของ รฟม. จากภายนอก

8. ผูบังคับบัญชา ตองควบคุมการใชงานขอมูลสวนบุคคลใหมีการใชงานที่สอดคลองกับกฎหมาย พระราชบัญญัติ กฎระเบียบ ขอบังคับที่เกี่ยวของ เชน พระราชบัญญัติคุมครองขอมูลสวนบุคคล พ.ศ. 2562
   22
   สวนที่ 7
   การควบคุมการเขาถึงระบบเครือขายไรสาย
   วัตถุประสงค
   ▪ เพื่อกําหนดมาตรการในการควบคุมการเขาถึงระบบเครือขายไรสาย (Wireless LAN) ของ รฟม. โดยการกําหนด สิทธิ์ของผูใชงานในการเขาถึงระบบใหเหมาะสมตามหนาที่ความรับผิดชอบในการปฏิบัติงาน รวมทั้งมีการทบทวน สิทธิ์การเขาถึงอยางสม่ําเสมอ
   ▪ เพื่อสรางความมั่นคงปลอดภัยของการใชงานระบบเครือขายไรสาย
   ผูรับผิดชอบ
   ▪ ผูดูแลระบบ
   ▪ ผูใชงาน
   อางอิงมาตรฐาน: ISO/IEC 27001:2022
   ▪ มาตรการควบคุมดานองคกร (Organizational Controls)
   ▪ มาตรการควบคุมดานเทคโนโลยี (Technological Controls)
   แนวปฏิบัติ
9. ผูใชงานที่ตองการเขาถึงระบบเครือขายไรสายของ รฟม. ตองลงทะเบียนกับผูดูแลระบบ และตองไดรับการ อนุญาตจาก ฝทท. อยางเปนลายลักษณอักษร
10. ผูดูแลระบบตองกําหนดมาตรฐานความปลอดภัยของระบบเครือขายไรสายไมต่ํากวามาตรฐาน WPA2 3. ผูดูแลระบบตองลงทะเบียนกําหนดสิทธิ์ผูใชงานในการเขาถึงระบบเครือขายไรสายใหเหมาะสมกับหนาที่ ความรับผิดชอบในการปฏิบัติงาน รวมทั้งมีการทบทวนสิทธิ์การเขาถึงอยางสม่ําเสมอ
11. ผูดูแลระบบตองลงทะเบียนอุปกรณทุกตัวที่ใชติดตอระบบเครือขายไรสาย
12. ผูดูแลระบบ ตองกําหนดตําแหนงการวางอุปกรณ Access Point (AP) ไมใหสัญญาณของอุปกรณรั่วไหลออกไป นอกบริเวณที่ใชงาน เพื่อปองกันไมใหผูโจมตีใช Access Point (AP) ของ รฟม. รับ - สงสัญญาณได 6. ผูดูแลระบบตองเลือกใชกําลังสงใหเหมาะสมกับพื้นที่ใชงานและตองสํารวจวาสัญญาณรั่วไหลออกไปภายนอก หรือไม นอกจากนี้การใชเสาอากาศพิเศษที่สามารถกําหนดทิศทางการแพรกระจายของสัญญาณอาจชวยลดการ รั่วไหลของสัญญาณใหดีขึ้น
13. ผูดูแลระบบตองเปลี่ยนคา SSID (Service Set Identifier) ที่ถูกกําหนดเปนคา Default มาจากผูผลิตทันทีที่นํา Access Point (AP) มาใชงาน
14. ผูดูแลระบบตองเปลี่ยนคาชื่อ Login และรหัสผานสําหรับการตั้งคาการทํางานของอุปกรณไรสาย และผูดูแลระบบ ตองเลือกใชชื่อ Login และรหัสผานที่มีความคาดเดาไดยากเพื่อปองกันผูโจมตีไมใหสามารถเดาหรือเจาะรหัส ไดโดยงาย
15. ผูดูแลระบบตองควบคุม MAC address ชื่อผูใช (Username) และรหัสผาน (Password) ของผูใชงานที่มีสิทธิ์ ในการเขาใชงานระบบเครือขายไรสาย โดยอนุญาตเฉพาะผูใชงานที่ไดรับอนุญาตใหเขาใชเครือขายไรสายไดอยาง ถูกตองเทานั้น
16. ผูดูแลระบบตองตรวจสอบความมั่นคงปลอดภัยของระบบเครือขายไรสายอยางสม่ําเสมอ และบันทึกเหตุการณ นาสงสัยที่เกิดขึ้นในระบบเครือขายไรสายตามขั้นตอนที่ รฟม. กําหนด
    23
    สวนที่8
    การควบคุมหนวยงานภายนอกและผูใชงานภายนอกเขาถึงระบบเทคโนโลยีสารสนเทศ
    วัตถุประสงค
    ▪ เพื่อควบคุมหนวยงานภายนอกและผูใชงานภายนอกที่มีการเขาใชงานระบบเทคโนโลยีสารสนเทศของ รฟม. ใหเปนไปอยางมั่นคงปลอดภัย
    ผูรับผิดชอบ
    ▪ ผูดูแลระบบ
    ▪ ผูบังคับบัญชา
    ▪ หนวยงานภายนอก
    ▪ ผูใชงาน (บุคคลภายนอก)
    อางอิงมาตรฐาน: ISO/IEC 27001:2022
    ▪ มาตรการควบคุมดานองคกร (Organizational Controls)
    ▪ มาตรการควบคุมดานกายภาพ (Physical Controls)
    แนวปฏิบัติ
17. ผูดูแลระบบตองประเมินความเสี่ยงจากการเขาถึงระบบเทคโนโลยีสารสนเทศ หรืออุปกรณที่ใชในการประมวลผล โดยหนวยงานภายนอกและผูใชงานภายนอก และกําหนดมาตรการรองรับหรือแกไขที่เหมาะสมกอนที่จะอนุญาตให เขาถึงระบบเทคโนโลยีสารสนเทศของ รฟม.
18. การควบคุมการเขาใชงานระบบเทคโนโลยีสารสนเทศของหนวยงานภายนอกและผูใชงานภายนอก 2.1 เจาของขอมูลตองเปนผูอนุญาตการใหสิทธิ์แกหนวยงานภายนอกและผูใชงานภายนอกที่ตองการสิทธิ์ในการ เขาใชงานระบบสารสนเทศของ รฟม. อยางเปนลายลักษณอักษร
    2.2 ผูบังคับบัญชาตองกําหนดใหมีการลงนามการไมเปดเผยขอมูลที่สําคัญและเปนความลับของ รฟม. 2.3 ผูบังคับบัญชา ตองควบคุมใหมีการกําหนดขอตกลงและความรับผิดชอบที่เกี่ยวของกับความเสี่ยง ดานความมั่นคงปลอดภัยสารสนเทศลงในสัญญากับหนวยงานภายนอกที่ใหบริการดานสารสนเทศและ บริการดานการสื่อสาร โดยใหครอบคลุมรวมถึงผูรับจางชวง
    2.4 ผูบังคับบัญชาตองกําหนดใหจัดทําเอกสารแบบฟอรมสําหรับใหหนวยงานภายนอกและผูใชงานภายนอก ระบุเหตุผลความจําเปนที่ตองเขาใชงานระบบเทคโนโลยีสารสนเทศ ซึ่งมีรายละเอียด ดังนี้
    2.4.1 เหตุผลในการขอใช
    2.4.2 ระยะเวลาในการใช
    2.4.3 การตรวจสอบความปลอดภัยของอุปกรณที่เชื่อมตอเครือขาย
    2.4.4 การตรวจสอบ MAC address ของเครื่องคอมพิวเตอรที่เชื่อมตอ
    2.5 ผูดูแลระบบมีสิทธิ์ในการตรวจสอบการใชงานระบบเทคโนโลยีสารสนเทศของหนวยงานภายนอกและ ผูใชงานภายนอก เพื่อควบคุมการใชงานไดอยางมั่นคงปลอดภัยตามสัญญา
    2.6 ผูดูแลระบบตองควบคุมใหหนวยงานภายนอกจัดทําแผนการดําเนินงาน คูมือการปฏิบัติงานและเอกสารที่ เกี่ยวของ รวมทั้งตองปรับปรุงใหทันสมัยอยูเสมอ เพื่อใชสําหรับควบคุมหรือตรวจสอบการทํางาน และ เพื่อใหมั่นใจวาการปฏิบัติงานเปนไปตามขอบเขตที่ไดกําหนดไว
19. ผูดูแลระบบตองแจงแนวปฏิบัติตาง ๆ ที่เกี่ยวของแกหนวยงานภายนอกและผูใชงานภายนอกเพื่อใหปฏิบัติตาม
    24
20. ผูดูแลระบบ ตองกํากับดูแลหนวยงานภายนอกและผูใชงานภายนอกใหปฏิบัติตามสัญญาหรือขอตกลงการ ใหบริการที่ระบุไว ซึ่งตองครอบคลุมถึงดานความมั่นคงปลอดภัย
21. ผูดูแลระบบ ตองติดตาม ตรวจสอบรายงานหรือบันทึกการใหบริการของหนวยงานภายนอกตามที่วาจางอยาง สม่ําเสมอตามสัญญาวาจาง
22. ผูดูแลระบบ ตองกําหนดขั้นตอนและชองทางในการติดตอกับหนวยงานภายนอกที่มีหนาที่ในการกํากับดูแล หรือ หนวยงานที่เกี่ยวของกับการบังคับใชกฎหมาย รวมทั้งหนวยงานที่ควบคุมดูแลสถานการณฉุกเฉินภายใต สถานการณตาง ๆ ไวอยางชัดเจน
23. ผูดูแลระบบ ตองมีขั้นตอนและชองทางในการติดตอกับหนวยงานภายนอกที่มีความเชี่ยวชาญเฉพาะดานหรือ หนวยงานที่มีความเชี่ยวชาญดานความมั่นคงปลอดภัยดานสารสนเทศภายใตสถานการณตาง ๆ ไวอยางชัดเจน 8. ผูดูแลระบบตองควบคุมการเปลี่ยนแปลงของหนวยงานภายนอกที่สงผลกระทบตอการใหบริการขององคกร และ ตองประเมินความเสี่ยงอยางเหมาะสมเพื่อควบคุมผลกระทบอันเนื่องมาจากการเปลี่ยนแปลงนั้น 9. หนวยงานภายนอกและผูใชงานภายนอก ตองใชงานทรัพยสินสารสนเทศของ รฟม. ดวยความระมัดระวัง และ รักษาความลับของ รฟม. ไมนําไปเปดเผย และตองขออนุญาตพรอมทั้งปฏิบัติตามเงื่อนไขในการเขาถึงระบบ สารสนเทศของ รฟม. ทุกครั้ง
24. หนวยงานภายนอกและผูใชงานภายนอกตองแจงเหตุการณไมปกติตาง ๆ ดานเทคโนโลยีสารสนเทศที่พบผาน ชองทางที่ รฟม. กําหนดโดยเร็วที่สุด
25. หนวยงานภายนอกและผูใชงานภายนอกตองจัดเก็บบัญชีผูใชงานที่ รฟม. จัดทําไวใหใชงานเปนความลับ เฉพาะ บุคคล ไมเปดเผยใหผูอื่นรับทราบ
    25
    สวนที่ 9
    การใชงานเครื่องคอมพิวเตอรและอุปกรณเคลื่อนที่ ของ รฟม.
    วัตถุประสงค
    ▪ เพื่อควบคุมการใชงานทรัพยสินของ รฟม. ประเภทเครื่องคอมพิวเตอรและอุปกรณเคลื่อนที่ใหเหมาะสม ทั้งนี้ เพื่อปองกัน การสูญหาย เสียหาย หรือถูกเขาถึงขอมูลโดยไมไดรับอนุญาต
    ผูรับผิดชอบ
    ▪ ผูดูแลระบบ
    ▪ ผูใชงาน
    อางอิงมาตรฐาน: ISO/IEC 27001:2022
    ▪ มาตรการควบคุมดานองคกร (Organizational Controls)
    ▪ มาตรการควบคุมดานบุคลากร (People Controls)
    ▪ มาตรการควบคุมดานกายภาพ (Physical Controls)
    ▪ มาตรการควบคุมดานเทคโนโลยี (Technological Controls)
    แนวปฏิบัติ
26. การใชงานทั่วไป
    1.1 ผูดูแลระบบตองกําหนดบัญชีซอฟตแวรมาตรฐาน (Software Standard) ที่อนุญาตใหติดตั้งบนเครื่อง คอมพิวเตอรของผูใชงาน และปรับปรุงใหเปนปจจุบันเสมอ
    1.2 ผูดูแลระบบตองเปนผูกําหนดการตั้งชื่อเครื่องคอมพิวเตอร (Computer Name) เทานั้น 1.3 ผูใชงานตองติดตั้งโปรแกรมสําหรับควบคุมการใชงานอุปกรณเคลื่อนที่ (Mobile Device Management: MDM) รวมถึงอุปกรณอื่น ๆ ที่ รฟม. ไมสามารถควบคุมการใชงานผานระบบ Active Directory (AD) ได 1.4 ผูใชงานตองใชงานอยางมีประสิทธิภาพเพื่องานของ รฟม.
    1.5 ผูใชงานตองไมติดตั้งโปรแกรมที่ละเมิดลิขสิทธิ์บนเครื่องคอมพิวเตอรและอุปกรณเคลื่อนที่ของ รฟม. 1.6 ผูใชงานตองขอนุญาตติดตั้งโปรแกรมในเครื่องคอมพิวเตอรและอุปกรณเคลื่อนที่ตามขั้นตอนที่ รฟม. กําหนด 1.7 ผูใชงานตองไมติดตั้งและแกไขเปลี่ยนแปลงโปรแกรมในเครื่องคอมพิวเตอรและอุปกรณเคลื่อนที่ของ รฟม. การดําเนินการดังกลาวตองดําเนินการโดยผูดูแลระบบเทานั้น
    1.8 ผูใชงานตองศึกษาและปฏิบัติตามคูมือการใชงานเครื่องคอมพิวเตอรและอุปกรณเคลื่อนที่อยางละเอียด เพื่อใหสามารถใชงานอยางปลอดภัยและมีประสิทธิภาพ
    1.9 ผูใชงานตองไมดัดแปลงแกไขสวนประกอบตาง ๆ ของคอมพิวเตอรและอุปกรณเคลื่อนที่ และรักษาใหมีสภาพเดิม 1.10 ผูใชงานตองแจงซอมเครื่องคอมพิวเตอรและอุปกรณเคลื่อนที่ที่อยูในความรับผิดชอบของ ฝทท. ใหฝทท. เปนผูดําเนินการเทานั้น
    1.11 ผูใชงานตองอัปเดต Patch และระบบปฏิบัติการใหทันสมัยอยูเสมอ
    1.12 ผูใชงานตองไมสราง Shortcut ไวบน Desktop ที่เชื่อมตอไปยังขอมูลสําคัญของ รฟม. 1.13 กรณีเครื่องคอมพิวเตอรแบบพกพาและอุปกรณเคลื่อนที่ผูใชงานตองปฏิบัติเพิ่มเติม ดังนี้ 1.13.1 ตองติดตั้ง Application จาก Official Store หรือเว็บไซตที่ใหบริการผานโปรโตคอล HTTPS 1.13.2 ไมปรับแตงการเขาถึงระบบปฏิบัติการ (Rooted/Jailbroken)
    1.13.3 ในกรณีที่มีการใชงานอุปกรณประเภทพกพาในที่สาธารณะ หองประชุม และพื้นที่ภายนอก อื่น ๆ ที่ไมมีการปองกัน หรือไมไดอยูในบริเวณของ รฟม. ใหปองกันการเขาถึงที่ไมไดรับอนุญาต เชน ไมเปดการเชื่อมตอแบบไรสายโดยไมมีการเขารหัสขอมูล เปนตน
    26
    1.13.4 ตองระมัดระวังการเคลื่อนยาย โดยตองใสกระเปาเพื่อปองกันอันตรายที่เกิดจากการกระทบกระเทือน เชน การตกจากโตะทํางานหรือหลุดมือ เปนตน
    1.13.5 ไมใสในกระเปาเดินทางที่เสี่ยงตอการถูกกดทับโดยไมไดตั้งใจจากการมีของหนักทับหรืออาจถูก จับโยนได
    1.13.6 การใชงานเปนระยะเวลานานเกินไป ในสภาพที่มีอากาศรอนจัดตองปดเครื่องคอมพิวเตอรเพื่อเปน การพักเครื่องสักระยะหนึ่งกอนเปดใชงานใหมอีกครั้ง
    1.13.7 หลีกเลี่ยงการใชนิ้วหรือของแข็ง เชน ปลายปากกา กดสัมผัสหนาจอ LCD ใหเปนรอย ขีดขวนหรือ ทําใหจอ LCD ของเครื่องคอมพิวเตอรแบบพกพาแตกเสียหายได
    1.13.8 ไมวางของทับบนหนาจอและแปนพิมพ
    1.13.9 การเคลื่อนยายเครื่องขณะที่เครื่องเปดใชงานอยู ใหทําการยกจากฐานภายใตแปนพิมพ หามยายเครื่องโดยการดึงหนาจอภาพขึ้น
    1.13.10 ไมคลื่อนยายเครื่องในขณะที่ Harddisk กําลังทํางาน
    1.13.11 ไมใชหรือวางใกลสิ่งที่เปนของเหลว ความชื้น เชน อาหาร น้ํา กาแฟ เครื่องดื่มตาง ๆ เปนตน 1.13.12 ไมวางใกลอุปกรณที่มีสนามแมเหล็กไฟฟาแรงสูง เชน แมเหล็ก โทรทัศน ไมโครเวฟ ตูเย็น เปนตน 1.13.13 ไมติดตั้งหรือวางในที่ที่มีการสั่นสะเทือน เชน ในยานพาหนะที่กําลังเคลื่อนที่
    1.13.14 การเช็ดทําความสะอาดหนาจอภาพตองเช็ดอยางเบามือที่สุด และตองเช็ดไปในแนวทาง เดียวกันหามเช็ดแบบหมุนวน เพราะจะทําใหหนาจอมีรอยขีดขวนได
    1.13.15 รับผิดชอบในการปองกันการสูญหาย เชน ตองล็อกเครื่องขณะที่ไมไดใชงาน ไมวางเครื่องทิ้งไวในที่ สาธารณะ หรือในบริเวณที่มีความเสี่ยงตอการสูญหาย
    1.13.16 นําติดตัวไปดวยเสมอ เชน ไมละทิ้ง อุปกรณประมวลผลประเภทพกพาในรถยนตหองพัก ในโรงแรม หรือหองประชุม เปนตน ในกรณีที่มีความจําเปนตองละทิ้งใหจัดเก็บไวในสถานที่ มั่นคงปลอดภัย
    1.13.17 ไมเก็บหรือใชงานในสถานที่ที่มีความรอน ความชื้นหรือฝุนละอองสูงและตองระวังปองกันการ ตกกระทบ
    1.13.18 ไมเปลี่ยนแปลงแกไขสวนประกอบยอย (Sub Component) ที่ติดตั้งอยูภายใน เชน แบตเตอรี่ หนวยความจํา
27. แนวปฏิบัติในการใชรหัสผาน
    ใหผูใชงานปฏิบัติตามการใชงานรหัสผาน (Password Use) (สวนที่ 6)
28. การปองกันจากโปรแกรมชุดคําสั่งไมพึงประสงค (Malicious Code)
    3.1 ผูดูแลระบบตองควบคุมการ Update ระบบปฏิบัติการ เว็บเบราวเซอรและโปรแกรมใชงานตาง ๆ อยางสม่ําเสมอ เพื่อปดชองโหว (Vulnerability) ที่เกิดขึ้นจากซอฟตแวรเปนการปองกันการโจมตีจาก ภัยคุกคามตาง ๆ
    3.2 ผูดูแลระบบตองติดตั้งและปรับปรุงโปรแกรมปองกันไวรัสใหทันสมัยอยูเสมอ
    3.3 ผูใชงานตองไมปดหรือยกเลิกระบบการปองกันไวรัสที่ติดตั้งอยู
    3.4 ผูใชงานตองตรวจสอบหาไวรัสจากสื่อบันทึกตาง ๆ เชน Thumb drive และ Data storage อื่น ๆ กอน นํามาใชงานรวมกับเครื่องคอมพิวเตอรของ รฟม.
    3.5 ผูใชงาน หากพบหรือสงสัยวาเครื่องคอมพิวเตอรและอุปกรณเคลื่อนที่ติดชุดคําสั่งไมพึงประสงค ใหรีบยกเลิก เชื่อมตอเครื่องเขากับระบบเครือขายสื่อสารขอมูลเพื่อปองกันการแพรกระจายของชุดคําสั่งที่ไมพึงประสงค ไปยังเครื่องอื่น ๆ ไดและแจง ฝทท. ทราบทันที
    27
29. การสํารองขอมูลและการกูคืน
    4.1 ผูใชงานตองรับผิดชอบในการสํารองขอมูลจากเครื่องคอมพิวเตอรและอุปกรณเคลื่อนที่ไวบนสื่อบันทึกอื่น ๆเชน ระบบ File Sharing, CD, DVD, External harddisk เปนตน
    4.2 ผูใชงานมีหนาที่เก็บรักษาสื่อขอมูลสํารอง (Backup Media) ไวในสถานที่ที่เหมาะสม ไมเสี่ยงตอการรั่วไหลของ ขอมูลและทดสอบการกูคืนขอมูลที่สํารองไวอยางสม่ําเสมอ
30. ผูดูแลระบบ ตองควบคุมใหเครื่องคอมพิวเตอรไดรับการปรับตั้งคาอยางเหมาะสม เพื่อปองกันการใชงานหรือ ติดตั้ง Mobile Code เชน Active X, Java จากแหลงที่ไมนาเชื่อถือ
    28
    สวนที่ 10
    การใชงานอินเทอรเน็ตและสื่อสังคมออนไลน
    วัตถุประสงค
    ▪ เพื่อควบคุมการใชงานอินเทอรเน็ตและการใชงานสื่อสังคมออนไลน (Social Network) ของ รฟม. ใหมีความปลอดภัย และปองกันการละเมิดพระราชบัญญัติวาดวยการกระทําความผิดเกี่ยวกับคอมพิวเตอร จนสงผลกระทบตอ รฟม. ผูรับผิดชอบ
    ▪ ผูดูแลระบบ
    ▪ ผูใชงาน
    อางอิงมาตรฐาน: ISO/IEC 27001:2022
    ▪ มาตรการควบคุมดานองคกร (Organizational Controls)
    ▪ มาตรการควบคุมดานเทคโนโลยี (Technological Controls)
    แนวปฏิบัติ
31. ผูดูแลระบบตองควบคุมการเชื่อมตอทางเครือขายสําหรับการเขาถึงอินเทอรเน็ตโดยพิจารณาเรื่องดังตอไปนี้ 1) ผูดูแลระบบตองไมอนุญาตใหใชงานอุปกรณ VideoStreaming อุปกรณ Audio streaming หรือ Download ไฟลที่มีขนาดใหญ ในกรณีที่จําเปนตองไดรับการอนุญาตจากผูบังคับบัญชากอนเทานั้น

2. ผูดูแลระบบตองจํากัดการใชงานอินเทอรเน็ตเพื่อเรื่องสวนตัวหรือที่ไมใชการดําเนินงานของ รฟม. ใหนอยที่สุด เทาที่เปนไปได เชน การระงับการเขาถึง Website ที่ไมจําเป ็น การระงับการเขาถึง Website ที่มีเนื้อหาตองหาม ตามพระราชบัญญัติวาดวยการกระทําความผิดเกี่ยวกับคอมพิวเตอร
3. ผูดูแลระบบตองปองกันไมใหมีการรับสงขอมูลที่ไมเหมาะสมจากภายนอก รฟม. เชน
   (ก) Executable เชน .EXE .COM เปนตน
   (ข) ไฟล(File) เสียง เชน AUD .WAV และ .MP3 เปนตน
   (ค) ไฟล(File) วีดิทัศนเชน .MPG .MPEG .MOV และ .AVI เปนตน
   (ง) Peer to Peer เชน .torrent เปนตน
   ในกรณีที่มีความจําเปนตองไดรับอนุญาตจากผูบังคับบัญชา และ ฝทท.
4. ผูดูแลระบบตองกําหนดเสนทางการเชื่อมตอระบบคอมพิวเตอรเพื่อการเขาใชงานอินเทอรเน็ตที่ตองเชื่อมตอ ผานระบบรักษาความปลอดภัยที่ รฟม. จัดสรรไวเทานั้น เชน Proxy,Firewall เปนตน
5. ผูดูแลระบบตองทดสอบเสนทางสําหรับการเชื่อมตออินเทอรเน็ตขององคกรระหวางเสนทางที่ใชงานจริงและ เสนทางสํารองอยางนอยปละ 2 ครั้ง
6. ผูใชงานตองไมเชื่อมตอระบบคอมพิวเตอรผานชองทางอื่น ยกเวนมีความจําเปนและขออนุญาตจาก ฝทท. เปนลายลักษณอักษรแลว
7. ผูใชงานตองขออนุญาตติดตั้งซอฟตแวร (Software) ที่ Download จากอินเทอรเน็ต และการติดตั้งตองดําเนินการ โดยผูที่ไดรับมอบหมายจากผูดูแลระบบเทานั้น

2. ผูใชงานตองไมมีเจตนาปดบังหรือบิดเบือนตัวตนเมื่อมีการใชงานอินเทอรเน็ต
3. ผูใชงานติดตั้งโปรแกรมปองกันไวรัส พรอมทั้งตองปรับปรุง Virus Signature ที่เครื่องคอมพิวเตอรสวนบุคคลและ เครื่องคอมพิวเตอรพกพาใหมีความทันสมัยอยูเสมอ กอนทําการเชื่อมตออินเทอรเน็ตผานเว็บเบราวเซอร (Web Browser) และตองปดชองโหวของระบบปฏิบัติการที่เว็บเบราวเซอรติดตั้งอยู
4. ผูใชงานจะตองตรวจสอบไวรัส (Virus Scanning) กอนการรับ - สงขอมูลคอมพิวเตอรผานทางอินเทอรเน็ต
   29
5. ผูใชงานตองไมใชเครือขายอินเทอรเน็ตของ รฟม. เพื่อหาประโยชนในเชิงธุรกิจสวนตัว และทําการเขาสู เว็บไซตที่ ไมเหมาะสม เชน เว็บไซตที่ขัดตอศีลธรรม เว็บไซตที่มีเนื้อหาที่ขัดตอชาติ ศาสนา พระมหากษัตริย หรือเว็บไซตที่ เปนภัยตอสังคม เปนตน
6. ผูใชงานจะถูกกําหนดสิทธิ์ในการเขาถึงแหลงขอมูลตามหนาที่ความรับผิดชอบเพื่อประสิทธิภาพของเครือขายและ ความปลอดภัยทางขอมูลของ รฟม.
7. ผูใชงานตองหลีกเลี่ยงการกระทําที่สิ้นเปลืองทรัพยากรของเครือขายอินเทอรเน็ต ดังนี้ (ก) สงจดหมายอิเล็กทรอนิกสลูกโซ
   (ข) ใชเวลาในการเขาถึงอินเทอรเน็ตเกินความจําเปนยกเวนเพื่อปฏิบัติงานให รฟม.
   (ค) เลนเกม Online
   (ง) เขาหองพูดคุย Online ที่ไมไดมีวัตถุประสงคเพื่อปฏิบัติงานให รฟม.
8. ผูใชงานตองไมเผยแพรขอมูลที่เปนการหาประโยชนสวนตัวหรือขอมูลที่ไมเหมาะสมทางศีลธรรม หรือขอมูลที่ ละเมิดสิทธิ์ของผูอื่น หรือขอมูลที่อาจกอความเสียหายใหกับ รฟม.
9. ผูใชงานตองไมเปดเผยขอมูลสําคัญที่เปนความลับเกี่ยวกับงานของ รฟม.
10. ผูใชงานตองไมนําเขาขอมูลคอมพิวเตอรใด ๆ ที่มีลักษณะอันเปนเท็จ อันเปนความผิดเกี่ยวกับความมั่นคง แหงราชอาณาจักร อันเปนความผิดเกี่ยวกับการกอการราย หรือภาพที่มีลักษณะอันลามก และไมทําการเผยแพร หรือสงตอขอมูลคอมพิวเตอรดังกลาวผานอินเทอรเน็ต
11. ผูใชงานตองไมนําเขาขอมูลคอมพิวเตอรที่เปนภาพของผูอื่นและภาพนั้นเปนภาพที่เกิดจากการสรางขึ้น ตัดตอ เติมหรือดัดแปลงดวยวิธีการทางอิเล็กทรอนิกส หรือวิธีการอื่นใด ที่จะทําใหผูอื่นเสียหาย เสียชื่อเสียง ถูกดูหมิ่น ถูกเกลียดชัง หรือไดรับความอับอาย
12. ผูใชงานมีหนาที่ตรวจสอบความถูกตองและความนาเชื่อถือของขอมูลคอมพิวเตอรที่อยูบนอินเทอรเน็ตกอนนํา ขอมูลไปใชงาน
13. ผูใชงานตองคํานึงวาขอมูลจากอินเทอรเน็ตอาจไมมีความทันสมัยหรือไมมีความถูกตอง ผูใชงานตองตรวจสอบ ความถูกตองของขอมูลจากแหลงที่นาเชื่อถือกอนที่จะเผยแพรขอมูลดังกลาว
14. ผูใชงานตองระมัดระวังการดาวนโหลดโปรแกรมใชงานจากอินเทอรเน็ต ซึ่งรวมถึง Patch หรือ Fixesตาง ๆ จากผูขาย ตองเปนไปโดยไมละเมิดทรัพยสินทางปญญา
15. ผูใชงานตองไมใชขอความที่ยั่วยุ ใหรายในการเสนอความคิดเห็นที่จะทําใหเกิดความเสื่อมเสียตอชื่อเสียงของ รฟม. การทําลายความสัมพันธกับเจาหนาที่ของหนวยงานอื่น ๆ
16. ผูใชงานตองไมบันทึกรหัสผานใน Web Browser (Remember Password) เพื่อปองกันบุคคลอื่นที่สามารถ เขาถึงคอมพิวเตอรของผูใชงานนํารหัสผานดังกลาวไปใชงานในอินเทอรเน็ตโดยไมไดรับอนุญาต 17. ผูใชงานตองไม Download เอกสาร หรือสารสนเทศตาง ๆ เชน ขอมูล รูปภาพ วิดีโอ เสียง และซอฟตแวร (Software) ที่ละเมิดลิขสิทธิ์ หรือผิดกฎหมาย
17. ผูใชงานตองปดเว็บเบราวเซอรเพื่อปองกันการเขาใชงานโดยบุคคลอื่น ๆ ภายหลังจากใชงานอินเทอรเน็ตเสร็จแลว 19. การใชงานสื่อสังคมออนไลน (Social Network)
    19.1 ผูใชงานตองระมัดระวังในการนําเสนอขอมูลขาวสาร การสงขอความ หรือการแสดงความคิดเห็นผาน สื่อสังคมออนไลนเพื่อไมกอใหเกิดความเสียหายแก รฟม.
    19.2 ผูใชงานตองระมัดระวังในการใชสื่อสังคมออนไลน เนื่องจากพื้นที่บนสื่อสังคมออนไลนเปนพื้นที่ สาธารณะไมใชพื้นที่สวนบุคคล ซึ่งขอมูลการใชงานตาง ๆ จะถูกบันทึกไวและอาจมีผลทางกฎหมาย ถึงแมจะเปนการแสดงความคิดเห็นในนามชื่อบัญชีสวนตัว และพึงตระหนักถึงผลกระทบที่อาจเกิดขึ้น กับ รฟม. ได
    30
    19.3 ผูใชงานที่ใชสื่อสังคมออนไลนเปนเครื่องมือสื่อสารขอมูลในกิจการของ รฟม. หรือชื่อบุคคลที่ทําใหเขาใจ ไดวาเปนบุคคลในสังกัด ตองแสดงภาพ และขอมูลใหถูกตองชัดเจนในขอมูล โปรไฟล (Profile) และ พึงใชดวยความสุภาพและมีวิจารณญาณ
    19.4 ผูใชงานควรตั้งคําถามที่ใชในกรณีกูคืนบัญชีผูใชงานหรือกูคืนรหัสผาน (Forgot Your Password) ควรเลือกใชขอมูลหรือคําถามที่เปนสวนบุคคลและเปนขอมูลที่ผูอื่นคาดเดาไดยากเพื่อปองกันการสุมคําถาม จากผูประสงคราย
    19.5 ผูใชงานตองไมใชระบบอีเมลของเว็บไซตประเภทสื่อสังคมออนไลน หากจําเปนตองใชจะตองระมัดระวัง ในการคลิกลิงกที่นาสงสัย โดยเฉพาะอีเมลแจงเตือนจากเว็บไซตตาง ๆ ในลักษณะเชื้อเชิญใหคลิกลิงก ที่แนบมาในอีเมล ผูใชงานตองสงสัยวาลิงกดังกลาวเปนลิงกที่ไมปลอดภัย (ลิงกที่ถูกสรางมาเพื่อใชขโมย ขอมูลสวนบุคคล ดวยการนําไปสูเว็บไซตที่ดูนาเชื่อถือที่ผูประสงครายสรางไวเพื่อใหผูใชงานกรอกขอมูล สวนบุคคล เชน รหัสผาน เปนตน)
    19.6 ผูใชงานตองศึกษาการตั้งคาความเปนสวนตัวหรือ “Privacy Settings” ใหเขาใจเปนอยางดีและ ปรับแตงการตั้งคาความเปนสวนตัวใหเหมาะสมเพื่อปองกันการถูกละเมิดความเปนสวนตัวซึ่ง อาจจะสงผลกระทบตอตนเองหรือ รฟม.
    19.7 ผูใชงานตองใชงานสื่อสังคมออนไลนอยางเหมาะสม โดยไมละเมิดกฎหมายและไมกอใหเกิดความเสียหายหรือ สงผลกระทบตอการทํางานขององคกร
    19.8 ผูใชงานควรปดการใชงานระบบโพสตขอความสาธารณะทุก ๆ สวนของเว็บไซตประเภท Social Network หากจําเปนตองใชงานตองปรับคาใหมีการตรวจสอบขอความกอนเพื่อหลีกเลี่ยงโอกาสแพรกระจายลิงก ที่ไมปลอดภัยจากผูประสงคราย ซึ่งเปนหนึ่งในเทคนิคที่ใชในการโจมตีประเภท Spear Phishing
    19.9 ผูใชงานตองตรวจสอบกอนจะรับเพื่อนเขากลุมในเว็บไซตประเภท Social Network โดยตองแนใจวา ขอมูลสวนตัวของเพื่อนคนนั้น เชน รูปถายและประวัติสวนตัวไมถูกแกไขเพื่อปลอมแปลงตัวตนจาก ผูประสงครายที่หวังแอบอางเพื่อคุกคามเปาหมาย
    19.10 ผูใชงานตองตระหนักไวเสมอวาขอมูลตาง ๆ ที่ผูใชงานเผยแพรไวบนบริการสื่อสังคมออนไลนนั้นคงอยู ถาวรและผูอื่นอาจเขาถึงและเผยแพรขอมูลเหลานั้นได
    19.11 ผูใชงานตองมีขอพิจารณาในการรับเพื่อนเขากลุมที่ชัดเจน และควรประกาศขอความปฏิเสธความ รับผิดชอบที่เกี่ยวกับเนื้อหาหรือขอความแสดงความคิดเห็นซึ่งถูกโพสตจากเพื่อนในกลุมที่อาจปรากฏใน เว็บไซตประเภท Social Network ของผูใชงานเอง
    19.12 ผูใชงานตองติดตั้งซอฟตแวรปองกันไวรัส และอัปเดตฐานขอมูลไวรัสของโปรแกรมอยูเสมอ และตอง หลีกเลี่ยงการใชโปรแกรมที่ละเมิดลิขสิทธิ์เพราะอาจจะมีโปรแกรมประสงครายแฝงตัวอยูภายในเพื่อ ลักลอบ ปลอมแปลง หรือขโมยขอมูลสําคัญของผูใชงานได
    19.13 ผูใชงานตองระมัดระวังการใชถอยคําและภาษาที่อาจเปนการดูหมิ่น ยุยง ทาทาย หรือเปนการละเมิดตอ บุคคลอื่น กรณีบุคคลอื่นมีความคิดเห็นที่แตกตางพึงงดเวนการโตตอบดวยถอยคํารุนแรง 19.14 ผูใชงานตองระมัดระวังกระบวนการหาขาว หรือภาพจากสื่อสังคมออนไลน โดยมีการตรวจสอบอยางถี่ถวน รอบดานและตองอางอิงแหลงที่มาเมื่อนําเสนอ เวนแตสามารถตรวจสอบและอางอิงจากแหลงขาว ไดโดยตรง
    19.15 หากผูใชงานตองการใชสื่อสังคมออนไลนเปนเครื่องมือในการรายงานขาวในนามของบุคคลธรรมดาตอง แสดงใหชัดเจนวา ขอความใดเปน “ขาว” ขอความใดเปน “ความคิดเห็นสวนตัว”
    19.16 การสงตอหรือเผยแพรขอมูลในสื่อสังคมออนไลน (Social Media)
    31
    19.16.1 ผูใชงานตองไมสงตอหรือเผยแพรขอมูลที่เปนเท็จ ขาวลือ ขาวไมปรากฏที่มา เปนเพียงการ คาดเดา หรือสงผลเสียหายกับบุคคล สังคม หรือ รฟม.
    19.16.2 ผูใชงานตองไมสงตอหรือเผยแพรขอมูลเรื่องบุคคลเสียชีวิต เด็กและเยาวชน ผูสูญหาย ผูตองหา เวนเสียแตตรวจสอบขอเท็จจริงแลวและเห็นวาเปนประโยชนตอสาธารณะ
    19.16.3 ผูใชงานตองไมสงตอหรือเผยแพรขอมูลที่กระทบตอสิทธิความเปนสวนตัว และศักดิ์ศรีความ เปนมนุษย
    19.17 ผูใชงานตองตั้งคาความปลอดภัยของการใชงานสื่อสังคมออนไลน และระมัดระวังการถูกนําขอมูลจากชื่อบัญชี ไปใชโดยไมเหมาะสม ผิดวัตถุประสงค และลักษณะการแอบอางโดยบุคคลอื่น
18. ผูใชงานตองใชงานอินเทอรเน็ตและสื่อสังคมออนไลนโดยตระหนักถึงพระราชบัญญัติการกระทําความผิดเกี่ยวกับ คอมพิวเตอรที่บังคับใชอยูเสมอ
    32
    สวนที่ 11
    การใชงานจดหมายอิเล็กทรอนิกส
    วัตถุประสงค
    ▪ เพื่อกําหนดมาตรการการใชงานจดหมายอิเล็กทรอนิกสของ รฟม. ใหมีความปลอดภัยและมีประสิทธิภาพ ผูรับผิดชอบ
    ▪ ผูดูแลระบบ
    ▪ ผูใชงาน
    อางอิงมาตรฐาน: ISO/IEC 27001:2022
    ▪ มาตรการควบคุมดานองคกร (Organizational Controls)
    ▪ มาตรการควบคุมดานเทคโนโลยี (Technological Controls)
    แนวปฏิบัติ
19. ผูดูแลระบบตองกําหนดสิทธิ์การเขาถึงระบบจดหมายอิเล็กทรอนิกสของ รฟม. ใหเหมาะสมกับหนาที่ความ รับผิดชอบของผูใชงาน รวมทั้งทบทวนสิทธิ์การเขาใชงานอยางสม่ําเสมอ
20. ผูดูแลระบบตองกําหนดบัญชีผูใชงานตามมาตรฐานจดหมายอิเล็กทรอนิกส (Email) ที่ใชในองคกร 3. ผูใชงานตองระมัดระวังในการใชจดหมายอิเล็กทรอนิกสไมใหเกิดความเสียหายตอ รฟม. ละเมิดลิขสิทธิ์สราง ความนารําคาญตอผูอื่น ผิดกฎหมาย ละเมิดศีลธรรม และไมแสวงหาประโยชน หรืออนุญาตใหผูอื่นแสวงหา ผลประโยชนในเชิงธุรกิจจากการใชจดหมายอิเล็กทรอนิกสของ รฟม.
21. ผูใชงานตองไมใชที่อยูจดหมายอิเล็กทรอนิกส (Email Address) ของผูอื่นเพื่ออาน รับ - สงขอความ ยกเวนไดรับการ ยินยอมจากเจาของบัญชีและใหถือวาเจาของบัญชีจดหมายอิเล็กทรอนิกสเปนผูรับผิดชอบตอการใชงานตาง ๆ ในจดหมายอิเล็กทรอนิกสของตน
22. ผูใชงานตองใชที่อยูจดหมายอิเล็กทรอนิกสของ รฟม. เพื่อปฏิบัติงาน ติดตอ และประสานงานของ รฟม. เทานั้น 6. ผูใชงานตองไมใชที่อยูจดหมายอิเล็กทรอนิกสฟรีของเอกชนในการปฏิบัติงาน ติดตอ และประสานงานของ รฟม. 7. ผูใชงานตอง Logout ออกจากระบบทุกครั้ง หลังจากใชงานระบบจดหมายอิเล็กทรอนิกสเสร็จสิ้นเพื่อปองกัน บุคคลอื่นเขาใชงานจดหมายอิเล็กทรอนิกส
23. ผูใชงานตองตรวจสอบเอกสารแนบจากจดหมายอิเล็กทรอนิกสกอนเปดอาน โดยใชโปรแกรมปองกันไวรัส เพื่อตรวจสอบมัลแวรตาง ๆ
24. ผูใชงานตองไมเปดหรือสงตอจดหมายอิเล็กทรอนิกสที่ไดรับจากผูสงที่ไมรูจัก
25. ผูใชงานตองใชขอความที่สุภาพในการรับ –สงจดหมายอิเล็กทรอนิกสและไมสงจดหมายที่มีเนื้อหาอาจทําใหรฟม. เสียชื่อเสียงหรือทําใหเกิดความแตกแยกภายใน รฟม.
26. ผูใชงานตองไมระบุความสําคัญของขอมูลลงในหัวขอจดหมายอิเล็กทรอนิกสและตองเขารหัสเพื่อปองกัน การเขาถึงขอมูลโดยผูไมเกี่ยวของเมื่อมีการสงขอมูลที่เปนความลับ
27. ผูใชงานตองตรวจสอบตูเก็บจดหมายอิเล็กทรอนิกสของตนเองทุกวัน และตองจัดเก็บจดหมายอิเล็กทรอนิกสในตูของตน ใหเหลือจํานวนนอยที่สุด หากมีขอมูลที่จําเปนตองนํามาใชอางอิงในการปฏิบัติงานภายหลังใหผูใชงานโอนยาย จดหมายอิเล็กทรอนิกสมายังเครื่องคอมพิวเตอรของตน ทั้งนี้ เพื่อลดปริมาณการใชเนื้อที่ของระบบจดหมาย อิเล็กทรอนิกส
    33
    สวนที่ 12
    การสํารองขอมูลและการเก็บรักษาขอมูลจราจรทางคอมพิวเตอร
    วัตถุประสงค
    ▪ เพื่อใหมีขอมูลสํารองไวใชงานในกรณีที่ขอมูลหลักเกิดความเสียหายไมสามารถใชงานหรือเขาถึงไดหรือเมื่อเกิด ภาวะฉุกเฉินตาง ๆ
    ▪ เพื่อใหมีการปฏิบัติที่สอดคลองกับกฎหมาย พระราชบัญญัติ หรือขอบังคับภายนอกอื่น ๆ ผูรับผิดชอบ
    ▪ ผูบังคับบัญชา
    ▪ ผูดูแลระบบ
    ▪ เจาของขอมูล
    ▪ ผูใชงาน
    อางอิงมาตรฐาน: ISO/IEC 27001:2022
    ▪ มาตรการควบคุมดานองคกร (Organizational Controls)
    ▪ มาตรการควบคุมดานเทคโนโลยี (Technological Controls)
    แนวปฏิบัติ
28. การสํารองขอมูลระบบแมขาย
    ขอมูลระบบแมขายและขอมูลสําคัญซึ่งเปนความลับของ รฟม. ตองไดรับการเก็บรักษาไวที่ระบบเก็บ ขอมูล สวนกลาง และสํารองขอมูลไวอยางสม่ําเสมอ เพื่อใหมีขอมูลสํารองไวใชในกรณีที่ขอมูลหลักเกิดความเสียหาย หรือไมสามารถใชงาน ความถี่ในการดําเนินการสํารองขอมูลและขั้นตอนการสํารองขอมูลระบบแมขายเปนความ รับผิดชอบของ ฝทท. โดยมีแนวปฏิบัติ ดังนี้
    1.1 ผูบังคับบัญชากําหนดผูรับผิดชอบในการสํารองขอมูล
    1.2 ผูดูแลระบบตองกําหนดชนิดของขอมูลของระบบที่มีความจําเปนตองสํารองขอมูลเก็บไว เชน ขอมูล คาคอนฟกกูเรชัน (Configuration) ขอมูลคูมือการปฏิบัติงานสําหรับระบบ ขอมูลในฐานขอมูลของ ระบบงาน ขอมูลซอฟตแวร เชน ซอฟตแวรระบบปฏิบัติการ ซอฟตแวรระบบงาน และซอฟตแวรอื่น ๆ เปนตน
    1.3 ผูดูแลระบบตองสํารองขอมูลตามความถี่ที่กําหนดไวทั้งนี้ หากเปนขอมูลที่สนับสนุนกระบวนการทํางานที่ สําคัญของ รฟม. ใหสํารองตามความถี่ที่ รฟม. กําหนด
    1.4 ผูดูแลระบบตองตรวจสอบวาการสํารองขอมูลสําเร็จครบถวนหรือไม หากไมสําเร็จใหหาสาเหตุและ ดําเนินการแกไขอีกครั้งหนึ่ง
    1.5 ผูดูแลระบบตองนําขอมูลที่สํารองไวไปเก็บไวทั้งภายในและภายนอก รฟม. อยางนอยอยางละ 1 ชุด 1.6 ผูดูแลระบบทดสอบกูคืนขอมูลที่สํารองเก็บไวอยางสม่ําเสมอ อยางนอยปละ 1 ครั้ง เพื่อใหมั่นใจวาขอมูล ที่สํารองไวมีความถูกตอง ครบถวน และพรอมใชงาน
29. การสํารองขอมูลคอมพิวเตอรสวนบุคคล
    ผูใชงานจะตองสํารองขอมูลสําคัญที่เก็บรักษาไวในเครื่องคอมพิวเตอรสวนบุคคลหรือคอมพิวเตอร หรืออุปกรณพกพา อื่น ๆ อยางสม่ําเสมอ ความถี่ในการสํารองขอมูลขึ้นอยูกับความถี่ของการเปลี่ยนแปลงของขอมูลและระดับ ความสําคัญของขอมูลหากเกิดการสูญหาย
30. การเก็บรักษาขอมูลจราจรคอมพิวเตอร
    เพื่อใหสามารถระบุตัวบุคคลผูใชงานไดอยางถูกตอง ผูดูแลระบบตองดําเนินการ ดังนี้
    3.1 เลือกใชนาฬิกาจากแหลงที่นาเชื่อถือที่มีการเชื่อมตอในลําดับชั้น Stratum 0โดยนาฬิกาจากแหลงดังกลาวจะตอง ไดรับการอนุมัติใหใชงาน
    3.2 ตั้งนาฬิกาของอุปกรณที่ใหบริการทุกชนิดจาก NTP Server ของ รฟม. เทานั้น
    34
    3.3 ตองทบทวนนาฬิกาที่ NTP Server อยางนอยสัปดาหละ 1 ครั้ง
    3.4 ตองจัดเก็บรักษาขอมูลจราจรคอมพิวเตอร โดยระยะเวลาในการเก็บตามประกาศกระทรวงเทคโนโลยี สารสนเทศและการสื่อสาร เรื่อง หลักเกณฑการเก็บรักษาขอมูลจราจรทางคอมพิวเตอรของผูใหบริการ พ.ศ. 2550 (อยางนอย 90 วัน)
    3.5 เก็บรักษาขอมูลจราจรคอมพิวเตอรในสื่อที่สามารถรักษาความครบถวนถูกตองแทจริง มีการเก็บรักษา ความลับของขอมูลตามระดับชั้นความลับในการเขาถึงตามที่ รฟม. กําหนด
    3.6 ประเภทของสารสนเทศที่เก็บรักษา แสดงตามตาราง
    ประเภทของสารสนเทศ
    กฎหมายที่เกี่ยวของ
    ระยะเวลาการเก็บ
    รักษา (ป)
    Authentication Server Logs (RADIUS, TACACS)
    1. พระราชบัญญัติวาดวยการกระทําความผิด เกี่ยวกับคอมพิวเตอรพ.ศ. 2550

2. พระราชบัญญัติวาดวยการกระทําความผิด เกี่ยวกับคอมพิวเตอร (ฉบับที่ 2) พ.ศ. 2560 3) ประกาศกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม เรื่อง หลักเกณฑการเก็บรักษาขอมูลจราจรทาง คอมพิวเตอรของผูใหบริการ พ.ศ. 2564
   1
   Email Server Logs
   1
   Web Application Server Logs
   1
   NTP Server Logs
   1
   DHCP Server Logs
   1
   IPS Logs
   1
   Firewalls Logs
   1
   Routers & Switches Logs
   1
   Active Directory Logs
   1

4. การจัดเก็บบันทึกขอมูลล็อกและการเฝาระวัง (Logging and Monitoring)
   4.1 ผูดูแลระบบตองมีการจัดเก็บบันทึกเหตุการณ (Event Logs) การใชงานระบบสารสนเทศ 4.2 ผูดูแลระบบตองเก็บบันทึกขอมูล Audit Logซึ่งบันทึกกิจกรรมการใชงานของผูใชงานระบบสารสนเทศและ เหตุการณเกี่ยวกับความมั่นคงปลอดภัยตาง ๆ เพื่อประโยชนในการสืบสวน สอบสวน และเพื่อการติดตาม การควบคุมการเขาถึง
   4.3 ผูดูแลระบบตองมีการตรวจสอบขอมูลบันทึกเหตุการณอยางสม่ําเสมอ (Log Review) 4.4 ผูดูแลระบบตองไมลบขอมูลล็อก (Log) หรือปดการใชงานการบันทึกขอมูลล็อก (Log) 4.5 ผูดูแลระบบตองปองกันระบบสารสนเทศที่จัดเก็บล็อก(Log)และขอมูลล็อก(Log) เพื่อปองกันการเขาถึงหรือ แกไขเปลี่ยนแปลงโดยไมไดรับอนุญาต
   35
   สวนที่ 13
   การตรวจสอบและประเมินความเสี่ยง
   วัตถุประสงค
   ▪ เพื่อใหมีการตรวจสอบการดําเนินงานของระบบจัดการความมั่นคงปลอดภัยสารสนเทศและปรับปรุงอยางตอเนื่อง ▪ เพื่อควบคุม และติดตามการปฏิบัติงานของผูดูแลระบบสารสนเทศ ใหสอดคลองตามขอกําหนด กฎหมาย หรือ ระเบียบขอบังคับที่เกี่ยวของกับเทคโนโลยีสารสนเทศ
   ▪ เพื่อประเมินความเสี่ยงดานความมั่นคงปลอดภัยของสารสนเทศและบริหารจัดการความเสี่ยงใหอยูในระดับที่ องคกรยอมรับได
   ผูรับผิดชอบ
   ▪ ผูบังคับบัญชา
   ▪ ผูดูแลระบบ
   อางอิงมาตรฐาน: ISO/IEC 27001:2022
   ▪ ขอกําหนดหลัก: การวางแผน (Planning)
   ▪ ขอกําหนดหลัก: การตรวจประเมินภายใน (Internal Audit)
   ▪ มาตรการควบคุมดานองคกร (Organizational Controls)
   ▪ มาตรการควบคุมดานเทคโนโลยี (Technological Controls)
   แนวปฏิบัติ

5. ผูบังคับบัญชา ตองกําหนดใหมีแนวทางในการดําเนินงานของระบบสารสนเทศสอดคลองกับกฎหมาย พระราชบัญญัติ กฎระเบียบ ขอบังคับที่เกี่ยวของกับความมั่นคงปลอดภัยสารสนเทศโดยตองจัดทําเปน ลายลักษณอักษร และมีการปรับปรุงใหเปนปจจุบันอยูเสมอ

6. ผูบังคับบัญชา ตองกําหนดมาตรการในการควบคุมและบริหารจัดการสินทรัพยทางปญญา ไดแก ลิขสิทธิ์ในเอกสาร หรือซอฟตแวร เครื่องหมายการคา สิทธิบัตร และใบอนุญาตการใชงานซอรสโคด หรือการใชงานซอฟตแวร เพื่อใหการดําเนินงานเปนไปตามขอกําหนดทั้งในแงของขอสัญญา และดานกฎหมาย พระราชบัญญัติ กฎระเบียบ ขอบังคับดานสินทรัพยทางปญญาที่เกี่ยวของ

7. ผูบังคับบัญชา ตองควบคุมใหมีการคุมครองขอมูลสวนบุคคลโดยใหสอดคลองกับกฎหมาย พระราชบัญญัติ กฎระเบียบ ขอบังคับที่เกี่ยวของ

8. ผูบังคับบัญชา ตองกํากับดูแล และควบคุมการปฏิบัติงานของผูที่อยูใตการบังคับบัญชา เพื่อปองกันการใชงานระบบ สารสนเทศผิดวัตถุประสงค หรือละเมิดตอนโยบายและแนวทางปฏิบัติการรักษาความมั่นคงปลอดภัยของระบบ สารสนเทศของ รฟม.

9. ผูบังคับบัญชา ตองควบคุมใหมีการปองกันขอมูลสําคัญขององคกร ขอมูลสําคัญที่เกี่ยวของกับขอกําหนดทาง กฎหมาย ระเบียบ ขอบังคับ สัญญา ควรไดรับการปองกันจากการสูญหาย ถูกทําลาย และปลอมแปลง 6. ผูบังคับบัญชาตองจัดใหมีการตรวจสอบการบริหารจัดการความมั่นคงปลอดภัยสารสนเทศ โดยผูตรวจสอบ ภายใน (Internal Auditor) หรือโดยผูตรวจสอบอิสระดานความมั่นคงปลอดภัยจากภายนอก (External Auditor) ตามระยะเวลาอยางนอยปละ 1 ครั้ง

10. ผูดูแลระบบตองกําหนดกระบวนการตรวจสอบและการแจงเตือนเมื่อเกิดเหตุผิดปกติเกี่ยวกับการใชงาน ทรัพยากร (Capacity) กําหนดเกณฑการใชงานทรัพยากรและวางแผนดานทรัพยากรสารสนเทศใหรองรับการ ปฏิบัติงานในอนาคตอยางเหมาะสม รวมถึงตองติดตามผลการใชงานทรัพยากรสารสนเทศ
    36

11. ผูดูแลระบบตองมีการตรวจสอบการทํางาน (Monitor) ของระบบสารสนเทศอยางสม่ําเสมอและเสนอผูบังคับบัญชา รับทราบเมื่อมีเหตุการณผิดปกติเกิดขึ้น รวมถึงแจงผูเกี่ยวของเพื่อดําเนินการแกไขโดยไมชักชา 9. ผูดูแลระบบ ตองปองกันการเขาใชงานเครื่องมือที่ใชเพื่อการตรวจสอบ เพื่อมิใหเกิดการใชงานผิดประเภทหรือถูก ละเมิดการใชงาน (Compromise) โดยควบคุมการเขาถึง และตรวจสอบการนําเครื่องมือไปใชงานอยางสม่ําเสมอ 10. ผูดูแลระบบตองประเมินความเสี่ยงของระบบเทคโนโลยีสารสนเทศอยางนอยปละ 1 ครั้ง หรือเมื่อมีการ เปลี่ยนแปลงอยางมีนัยสําคัญ

12. ผูบังคับบัญชาตองติดตามผลการดําเนินการตามแผนบริหารจัดการความเสี่ยง (Risk Treatment Plan) เปนประจําทุกไตรมาส

13. ผูดูแลระบบตองประเมินความเสี่ยงแลวจัดลําดับความสําคัญของความเสี่ยงนั้นและคนหาวิธีการเพื่อลดความเสี่ยง ตามขั้นตอนที่ รฟม. กําหนด พรอมทั้งพิจารณาขอดีขอเสียของวิธีการเหลานั้นเพื่อใหผูบริหารของ รฟม. ตัดสินใจ เลือกวิธีการเพื่อลดความเสี่ยงหรือยอมรับความเสี่ยง เมื่อเลือกวิธีการลดความเสี่ยงแลวผูบริหารตองจัดสรร ทรัพยากรอยางเพียงพอเพื่อดําเนินการ แนวทางการลดความเสี่ยง แบงไดเปน 3 รูปแบบ ไดแก
    12.1 การเลือกใชเทคโนโลยี เพื่อใชในการลดความเสี่ยงและเพิ่มความมั่นคงปลอดภัยของระบบเทคโนโลยี สารสนเทศ รฟม. เปนวิธีที่จําเปนตองใชงบประมาณและทรัพยากรอยางเพียงพอในการดําเนินการ เชน การเลือกใชอุปกรณ Firewall มากกวาหนึ่งผลิตภัณฑในการปองกันการเขาถึงเครือขายที่สําคัญ การใช อุปกรณสมารทการด หรือ USB Token ในการตรวจสอบยืนยันตัวตนในการเขาใชงานระบบจากภายนอก
    รฟม. เปนตน
    12.2 การปรับเปลี่ยนขั้นตอนปฏิบัติ ตองออกแบบขั้นตอนปฏิบัติใหมที่รัดกุมและสามารถรักษาความมั่นคง ปลอดภัยของระบบเทคโนโลยีสารสนเทศ รฟม. ไดดีขึ้น เมื่อออกแบบขั้นตอนปฏิบัติใหมแลวตองมีการ พิจารณาหารือความเหมาะสม ความเปนไปได และผูบริหารตองเปนผูอนุมัติใหมีการบังคับใชขั้นตอน ปฏิบัติใหมนั้น
    12.3 ผูดูแลระบบตองแจงขั้นตอนปฏิบัติใหผูเกี่ยวของรับรูอยางทั่วถึง รวมทั้งตองจัดฝกอบรมผูใชงาน ที่เกี่ยวของเพื่อใหสามารถปฏิบัติตามขั้นตอนปฏิบัติใหมไดอยางราบรื่นและมีประสิทธิภาพ 13. การตรวจสอบความปลอดภัยของระบบสารสนเทศ
    13.1 ผูดูแลระบบ ตองวางแผนการตรวจสอบและประเมินชองโหวหรือจุดออนดานความมั่น คงปลอดภัย สารสนเทศ และแจงผูที่เกี่ยวของเพื่อแกไขในกรณีที่พบวาชองโหวหรือจุดออนนั้นอาจเปนเหตุการณดาน ความมั่นคงปลอดภัย อยางนอยปละ 1 ครั้ง
    13.2 ผูดูแลระบบตองตรวจสอบระบบสารสนเทศที่จะตองมีการปรับปรุงเมื่อมีเวอรชันใหม (Patch) รวมทั้งขอมูล ที่เกี่ยวของกับชองโหวดานเทคนิคอยางสม่ําเสมอเพื่อใหทราบถึงภัยคุกคามและความเสี่ยง รวมถึงหาวิธีปองกัน และแกไขที่เหมาะสมกับชองโหวนั้น
    13.3 ผูใชงาน ผูดูแลระบบ และหนวยงานภายนอก ตองบันทึกและรายงานชองโหวหรือจุดออนใด ๆ ดานความมั่นคง ปลอดภัยสารสนเทศ ที่อาจสังเกตพบระหวางการติดตามการใชงานระบบสารสนเทศ ผานชองทางบริหาร จัดการที่กําหนดไวอยางเหมาะสม และตองดําเนินการปดชองโหวที่มีการตรวจพบหรือไดรับแจง 14. การวิเคราะหขอมูลเชิงลึกของภัยคุกคาม (Threat Intelligence)
    14.1 ผูดูแลระบบตองรวบรวมขอมูลที่เกี่ยวของกับภัยคุกคามทั้งจากภายในและภายนอกองคกร เชน ชองโหว หรือ เหตุการณภัยคุกคามตาง ๆ ที่เกิดขึ้น
    14.2 ผูดูแลระบบตองนําขอมูลภัยคุกคามที่รวบรวมไดมาวิเคราะหเชิงลึก ไดแก Tactics, Techniques หรือ Procedures (TTPs) ที่กลุมผูไมประสงคดีนํามาใชรวมถึงแรงจูงใจ เปาหมาย และพฤติกรรมการโจมตี ของผูไมประสงคดีเพื่อใหรฟม. สามารถจัดเตรียมวิธีการปองกันหรือวิธีการรับมือกับภัยคุกคาม ไดอยางมีประสิทธิภาพและทันทวงที
    37

14. ผูดูแลระบบตองมีการบริหารจัดการการเปลี่ยนแปลงเกี่ยวกับการจัดเตรียมการใหบริการ การดูแลปรับปรุง นโยบายในการรักษาความมั่นคงปลอดภัยดานสารสนเทศ ขั้นตอนปฏิบัติงาน หรือการควบคุมเกี่ยวกับความมั่นคง ปลอดภัยดานสารสนเทศ โดยคํานึงถึงระดับความสําคัญของการดําเนินธุรกิจที่เกี่ยวของและการประเมินความเสี่ยง อยางตอเนื่อง

15. การเตรียมความพรอมกรณีฉุกเฉิน
    เพื่อใหมีการบริหารจัดการความตอเนื่องใหกับกระบวนการทางธุรกิจที่สําคัญขององคกร เมื่อมีเหตุการณที่ทําให เกิดการหยุดชะงักหรือติดขัดตอกระบวนการดังกลาว โดยมีแนวปฏิบัติ ดังนี้
    16.1 ผูดูแลระบบตองกําหนดระบบที่มีความสําคัญทั้งหมดขององคกร และจัดทําเปนบัญชีรายชื่อระบบ ดังกลาวรวมทั้งปรับปรุงรายชื่อระบบสําคัญและบัญชีฯ ตามความเปนจริง
    16.2 เจาของขอมูลและผูดูแลระบบประเมินความเสี่ยงสําหรับระบบเหลานั้น กําหนดมาตรการเพื่อลดความเสี่ยง ที่พบและจัดทํารายงานการประเมินความเสี่ยง
    16.3 ผูดูแลระบบตองทบทวน/ปรับปรุงแผนบริหารความตอเนื่องทางธุรกิจ (Business Continity Plan: BCP) อยางนอยปละ 1 ครั้ง
    16.4 ผูดูแลระบบจัดทําและปรับปรุงแผนกูคืนระบบอยางนอยปละ 1 ครั้ง
    16.5 เจาของขอมูลและผูดูแลระบบตองทดสอบแผนบริหารความตอเนื่องทางธุรกิจและแผนกูคืนระบบอยางนอย ปละ 1 ครั้ง พรอมทั้งบันทึกผลการทดสอบรวมถึงปญหาที่พบ และนําเสนอผลการทดสอบและแนวทางแกไข ตอผูบังคับบัญชา
    16.6 ผูดูแลระบบตองจัดประชุมและชี้แจงใหผูที่เกี่ยวของทั้งหมดไดรับทราบเกี่ยวกับแผนบริหารความตอเนื่อง ทางธุรกิจและแผนกูคืน และผลของการฝกซอมการกูคืนระบบและผลการทดสอบแผนบริหารความตอเนื่อง ทางธุรกิจ
    38
    สวนที่ 14
    การถายโอน และแลกเปลี่ยนขอมูลสารสนเทศ
    วัตถุประสงค
    ▪ เพื่อใหมีการควบคุมการถายโอนและแลกเปลี่ยนขอมูลสารสนเทศ ปองกันการรั่วไหล หรือมีการแกไขขอมูลโดยที่ ไมไดรับอนุญาต รวมถึงการปองกันสื่อบันทึกขอมูลใหมีความปลอดภัยเปนไปตามขอกําหนด
    ผูรับผิดชอบ
    ▪ ผูบังคับบัญชา
    ▪ เจาของขอมูล
    ▪ ผูดูแลระบบ
    อางอิงมาตรฐาน: ISO/IEC 27001:2022
    ▪ มาตรการควบคุมดานองคกร (Organizational Controls)
    ▪ มาตรการควบคุมดานเทคโนโลยี (Technological Controls)
    แนวปฏิบัติ

16. ผูบังคับบัญชา ตองควบคุมใหมีการจัดทํานโยบาย และขั้นตอนการปฏิบัติเพื่อปองกันขอมูลสารสนเทศที่มีการ สื่อสาร หรือแลกเปลี่ยนผานระบบสารสนเทศใหเหมาะสมตามระดับชั้นความลับขอมูลสารสนเทศ ตามขั้นตอนที่ รฟม. กําหนด

17. ผูบังคับบัญชา และเจาของขอมูล ตองควบคุมใหมีการจัดทําขอตกลงในการแลกเปลี่ยนขอมูลสารสนเทศระหวาง องคกรกับบุคคลหรือหนวยงานภายนอก

18. ผูดูแลระบบตองแลกเปลี่ยนขอมูลสารสนเทศตองแลกเปลี่ยนผานชองทางที่ปลอดภัย เชน Web Service ที่ใชงาน ผานโปรโตคอล HTTPS

19. ผูดูแลระบบตองปดบังขอมูล (Data Masking) ทั้งขอมูลสวนบุคคลและขอมูลออนไหวขององคกร (Sensitive Data) ที่มีการถายโอนหรือแลกเปลี่ยนขอมูล

20. ผูดูแลระบบ ตองมีการปองกันขอมูลสารสนเทศที่มีการสื่อสารกันผานขอมูลอิเล็กทรอนิกส (Electronic Messaging) เชน จดหมายอิเล็กทรอนิกส (Email) หรือ Instant Messaging ดวยวิธีการหรือมาตรการที่เหมาะสม 6. ผูดูแลระบบ ตองปองกันขอมูลสารสนเทศที่มีการแลกเปลี่ยนในการทําพาณิชยอิเล็กทรอนิกส (Electronic
    Commerce) ผานเครือขายคอมพิวเตอรสาธารณะ เพื่อมิใหมีการฉอโกง ละเมิดสัญญา หรือมีการรั่วไหล หรือ ขอมูลสารสนเทศถูกแกไขโดยมิไดรับอนุญาต

21. ผูดูแลระบบ ตองปองกันขอมูลสารสนเทศที่มีการสื่อสาร หรือแลกเปลี่ยนในการทําธุรกรรมทางออนไลน (Online Transaction) เพื่อมิใหมีการรับสงขอมูลที่ไมสมบูรณ สงขอมูลไปผิดที่ การรั่วไหลของขอมูล ขอมูลถูกแกไข เปลี่ยนแปลง ถูกทําซ้ําใหม หรือถูกสงซํ้าโดยมิไดรับอนุญาต

22. ผูดูแลระบบ ตองควบคุมการรับสงขอมูลสารสนเทศเพื่อปองกันความผิดพลาด ดังนี้
    8.1 ความไมสมบูรณของขอมูลสารสนเทศที่รับ-สง
    8.2 การสงขอมูลสารสนเทศผิดจุดหมายปลายทาง
    8.3 การเปลี่ยนแปลงขอมูลสารสนเทศโดยไมไดรับอนุญาต
    8.4 การเปดเผยขอมูลสารสนเทศโดยไมไดรับอนุญาต
    8.5 การเขาถึงขอมูลสารสนเทศโดยไมไดรับอนุญาต
    8.6 การนําขอมูลสารสนเทศกลับมาใชใหมโดยไมไดรับอนุญาต

23. เจาของขอมูล และผูดูแลระบบ ตองมีการปองกันขอมูลสารสนเทศที่มีการเผยแพรตอสาธารณชน มิใหมีการแกไข เปลี่ยนแปลงโดยมิไดรับอนุญาต เพื่อรักษาความถูกตองครบถวนของขอมูลสารสนเทศ
    39
    สวนที่ 15
    การควบคุมการเขารหัส
    วัตถุประสงค
    ▪ เพื่อใหมีการเขารหัสขอมูลอยางเหมาะสมและมีประสิทธิผลในการปกปองความลับ ปองกัน การปลอมแปลงขอมูลและ ควบคุมความถูกตองของขอมูล
    ผูรับผิดชอบ
    ▪ ผูดูแลระบบ
    ▪ เจาของขอมูล
    ▪ ผูใชงาน
    อางอิงมาตรฐาน: ISO/IEC 27001:2022
    ▪ มาตรการควบคุมดานเทคโนโลยี (Technological Controls)
    แนวปฏิบัติ

24. เจาของขอมูล ตองเขารหัส หรือการใสรหัสผานขอมูลอิเล็กทรอนิกสขององคกรตามระดับชั้นความลับเพื่อปองกัน ผูไมมีสิทธิ์เขาถึง ตามระเบียบวาดวยการรักษาความลับของทางราชการ พ.ศ. 2544 และตามขั้นตอนที่ รฟม. กําหนด 2. เจาของขอมูล ผูดูแลระบบ และผูใชงานตองปฏิบัติตามระเบียบวาดวยการรักษาความลับของทางราชการ พ.ศ. 2544 ในการนําการเขารหัสมาใชกับขอมูลที่เปนความลับจะตองใชวิธีการเขารหัส (Encryption) ที่เปนมาตรฐานสากล 3. ผูดูแลระบบ ตองใชวิธีการเขารหัส (Encryption) ที่เปนมาตรฐานสากล หลีกเลี่ยงการใชรูปแบบการเขารหัส ที่พัฒนาขึ้นเอง เพื่อใหมั่นใจวาขั้นตอนวิธี (Algorithm) ที่ใชในการเขารหัสนั้นมีความมั่นคงปลอดภัย ดังนี้
    ประเภทกุญแจ / วิธีการเขารหัส
    เกณฑขั้นต่ํา
    ความยาวกุญแจ (อยางนอย)
    กุญแจแบบสมมาตร (Symmetric)
    AES
    256 bits
    กุญแจแบบอสมมาตร (Asymmetric)
    RSA
    1024 bits
    การ Hashing
    BCrypt
    Cost Factor 10 ขึ้นไป

25. ผูดูแลระบบ ตองมีการทบทวนขั้นตอนวิธี (Algorithm) และความยาวของกุญแจที่เขารหัสอยางนอยปละ 1 ครั้ง เพื่อใหยังสามารถรักษาไวซึ่งความมั่นคงปลอดภัย

26. ผูดูแลระบบ ตองกําหนดใหมีการบริหารจัดการกุญแจที่ใชในการเขารหัส ดังนี้
    5.1 การสรางกุญแจรหัสควรกระทําในสถานที่ที่มีมาตรการปองกันความปลอดภัย
    5.2 เมื่อมีการสรางกุญแจรหัสที่เปนกุญแจลับ (Private key) ควรสงมอบใหกับเจาของกุญแจโดยตรง โดยวิธีการ ที่ปลอดภัย
    5.3 ควรจัดใหมีการเก็บบันทึก Log เพื่อการตรวจสอบสําหรับกิจกรรมตาง ๆ ที่เกี่ยวของกับการจัดการกุญแจรหัส 6. ผูใชงาน ควรรักษาความปลอดภัยในการใชงานกุญแจ ดังนี้
    6.1 เก็บกุญแจรหัสในสถานที่ที่ปลอดภัย เชน ตูนิรภัย หรือสื่อบันทึกที่ปลอดภัย และไมมีใครสามารถเขาถึงได 6.2 เมื่อมีการรับกุญแจสาธารณะ (Public Key) มาใช กอนใชงานจะตองพิสูจนความถูกตองของกุญแจสาธารณะ โดยสอบถามกับผูสงหรือตรวจสอบกับผูแทนในการรับรองความถูกตองของกุญแจสาธารณะ (Certificate Authority) ที่เชื่อถือไดเทานั้น
    6.3 ควบคุมการใชงานและจัดเก็บกุญแจใหสอดคลองกับการรักษาความลับขอมูลตามที่ รฟม. กําหนด
    40
    สวนที่ 16
    การนําอุปกรณสวนตัวมาใชงาน (Bring your own device)
    วัตถุประสงค
    ▪ เพื่อควบคุมการนําอุปกรณสวนตัวมาเชื่อมตอหรือเขาถึงระบบสารสนเทศของ รฟม. ที่ใชในการบริหารจัดการ ระบบสารสนเทศของ รฟม. หรือปฏิบัติงานให รฟม. ทั้งนี้เพื่อปองกันภัยคุกคามที่อาจจะเกิดขึ้นกับระบบ สารสนเทศของ รฟม. รวมถึงเพื่อปองกันไมใหขอมูลของ รฟม. เกิดการรั่วไหล
    ผูรับผิดชอบ
    ▪ ผูดูแลระบบ
    ▪ ผูใชงาน
    อางอิงมาตรฐาน: ISO/IEC 27001:2022
    ▪ มาตรการควบคุมดานบุคลากร (People Controls)
    ▪ มาตรการควบคุมดานเทคโนโลยี (Technological Controls)
    แนวปฏิบัติ

27. ผูดูแลระบบตองกําหนดคุณสมบัติของระบบปฏิบัติการของอุปกรณสวนตัวที่อนุญาตใหนํามาเชื่อมตอหรือเขาถึง ระบบงานสารสนเทศของ รฟม. ได โดยตองเปนระบบปฏิบัติการที่ไมลาสมัย (Obsolete Operating System) และยังไดรับการสนับสนุนการใชงานจากเจาของผลิตภัณฑ

28. ผูดูแลระบบตองตัดการเชื่อมตอหากระบบปฏิบัติการของอุปกรณสวนตัวที่อนุญาตใหนํามาเชื่อมตอหรือเขาถึง ระบบงานสารสนเทศของ รฟม. เกิดการลาสมัย (Obsolete Operating System) หรือเจาของผลิตภัณฑ ไมสนับสนุนการใชงานแลว

29. ผูดูแลระบบตองมีมาตรการปองกันมัลแวร และตรวจสอบการอัปเดต Patch เวอรชันของระบบปฏิบัติการที่ เจาของผลิตภัณฑยังใหการสนับสนุนการใชงาน

30. ผูดูแลระบบตองไมอนุญาตใหอุปกรณที่มีการปรับแตงการเขาถึงระบบปฏิบัติการ (Rooted/Jailbroken) มาเชื่อมตอ หรือเขาถึงระบบสารสนเทศของ รฟม.

31. ผูดูแลระบบตองแบงแยกเครือขายของอุปกรณสวนตัวที่นํามาเชื่อมตอหรือเขาถึงระบบสารสนเทศของ รฟม. 6. ผูดูแลระบบตองทบทวนเวอรชันของระบบปฏิบัติการที่อนุญาตใหนํามาเชื่อมตอกับระบบสารสนเทศของ รฟม. อยางนอยปละ 2ครั้ง หากมีการเปลี่ยนแปลงเวอรชันของระบบปฏิบัติการที่อนุญาตใหเขาถึงระบบสารสนเทศของ รฟม. ผูดูและระบบตองแจงใหผูใชงานรับทราบลวงหนา 7 วัน กอนเริ่มบังคับใช

32. ผูใชงานตองติดตั้งโปรแกรมปองกันมัลแวรตามเงื่อนไขที่ รฟม. กําหนด

33. ผูใชงานตองไมนําอุปกรณสวนตัวที่ติดตั้งแอปพลิเคชันนอก Official Store มาเชื่อมตอหรือเขาถึงระบบงาน สารสนเทศของ รฟม.

34. ผูใชงานตองไมนําอุปกรณสวนตัวที่ติดตั้งโปรแกรมละเมิดลิขสิทธิ์มาเชื่อมตอหรือเขาถึงระบบงานสารสนเทศ ของ รฟม.

35. ผูใชงานตองอัปเดตPatch ของระบบปฏิบัติการที่อุปกรณสวนตัวใหเปนเวอรชันลาสุดรวมถึงตองเปนระบบปฏิบัติการ ที่เจาของผลิตภัณฑยังใหการสนับสนุนการใชงาน

36. ผูใชงานตองยืนยันตัวตนกอนเขาถึงระบบสารสนเทศของ รฟม. ทุกครั้ง

37. ผูใชงานตองติดตั้ง Network Access Control agent (NAC agent) หรือ Mobile Device Management Agent (MDM Agent) ตามที่ รฟม. กําหนด เพื่อควบคุมการใชงานเครือขายและการเขาถึงระบบสารสนเทศของ รฟม. 13. กรณีอุปกรณสวนตัวสูญหายหรือถูกขโมยผูใชงานตองแจงผูดูแลระบบโดยเร็วที่สุด เพื่อจัดการขอมูลที่จัดเก็บอยู ในอุปกรณสวนตัวของผูใชงาน

38. ผูใชงานตองเขาถึงระบบสารสนเทศของ รฟม. ผานชองทางที่ รฟม. กําหนด เชน VPN
    41
    สวนที่ 17
    การใชบริการ Cloud (Cloud Services)
    วัตถุประสงค
    ▪ เพื่อควบคุมการเลือกใชงาน การบริหารจัดการ และการยกเลิกการใชบริการ Cloud อยางปลอดภัย ผูรับผิดชอบ
    ▪ ผูบังคับบัญชา
    ▪ ผูดูแลระบบ
    ▪ เจาของระบบ/เจาของขอมูล
    อางอิงมาตรฐาน: ISO/IEC 27001:2022
    ▪ มาตรการควบคุมดานองคกร (Organizational Controls)
    แนวปฏิบัติ

39. ผูบังคับบัญชาตองควบคุม กํากับ ดูแล ใหการใชงานบริการ Cloud สอดคลองตามที่กฎหมาย นโยบาย ระเบียบ หรือขอบังคับที่ภาครัฐกําหนด

40. ผูดูแลระบบตองวิเคราะหความเสี่ยงกอนเลือกบริการ Cloud มาใชงานภายในองคกร

41. ผูดูแลระบบตองเลือกใชบริการ Cloud ตามที่กฎหมาย นโยบาย ระเบียบ หรือขอบังคับที่ภาครัฐกําหนด 4. ผูดูแลระบบตองเลือกผูใหบริการ Cloud (Cloud Service Provider) ที่เหมาะสมกับการดําเนินงานองคกร 5. ผูดูแลระบบตองพิจารณาขอกําหนดหรือเงื่อนไขของผูใหบริการ Cloud (Cloud Service Provider) ใหชัดเจน กอนตัดสินใจเลือกใชบริการ

42. ผูดูแลระบบตองเลือกใชบริการ Cloud ที่เหมาะสมกับการดําเนินงานขององคกร

43. ผูดูแลระบบตองเลือกใชบริการ Cloud ที่มีการรักษาความปลอดภัย การบริหารจัดการความตอเนื่องทางธุรกิจ และการจัดใหมีระบบฉุกเฉินสํารองตามมาตรฐานสากล เชน ISO, NIST หรือ CSA STAR

44. ผูดูแลระบบตองเลือกใชบริการ Cloud ที่มีความพรอมใชงานของบริการครอบคลุมรอยละของเวลาที่พรอม ใหบริการตอป (Uptime) อยางนอยรอยละ 99.00

45. ผูดูแลระบบตองเลือกใชบริการ Cloud ที่มีการรักษาความมั่นคงปลอดภัยของขอมูลสวนบุคคลตาม พ.ร.บ. คุมครอง ขอมูลสวนบุคคล พ.ศ. 2562 หรือกฎหมายคุมครองขอมูลสวนบุคคลของสหภาพยุโรป (General Data Protection Regulation: GDPR) หรือเทียบเทา

46. ผูดูแลระบบ และเจาของระบบ/เจาของขอมูลตองพิจารณาขอมูลสารสนเทศที่จะนําไปใชงานบนระบบ Cloud ใหสอดคลองตามที่กฎหมาย นโยบาย ระเบียบ หรือขอบังคับที่ภาครัฐกําหนด

47. ผูดูแลระบบตองติดตาม ทบทวน และประเมินผลการใชบริการ Cloud อยางนอยปละ 1 ครั้ง