ความปลอดภัยทางไซเบอร์: ไทย (2026)
ประเทศไทยมีระบบความปลอดภัยทางไซเบอร์ที่เฉพาะเจาะจงและมีผลบังคับใช้อยู่ตามพระราชบัญญัติความปลอดภัยทางไซเบอร์ พ.ศ. 2562 (2562 พ.ศ.) ซึ่งมีผลบังคับใช้อย่างเต็มรูปแบบเมื่อวันที่ 24 พฤษภาคม 2562 และจัดตั้งโครงสร้างการบริหารจัดการระดับชาติ (NCSC และ NCSA) ระบบการจัดประเภทภัยคุกคาม 3 ระดับ รวมถึงข้อผูกพันที่มีผลบังคับใช้ต่อผู้ดำเนินการโครงสร้างพื้นฐานข้อมูลสำคัญ (CII) ในภาคส่วนที่กำหนด ข้อบังคับทั่วไปเหล่านี้ถูกกำหนดเพิ่มเติมเหนือหน้าที่แจ้งการรั่วไหลข้อมูลส่วนบุคคลตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล (PDPA) (ต้องแจ้งให้คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) ทราบภายใน 72 ชั่วโมง) และกฎระเบียบเฉพาะภาค เช่น การแจ้งเตือนเกี่ยวกับความเสี่ยงด้านเทคโนโลยีสารสนเทศและความปลอดภัยของธนาคารแห่งประเทศไทยสำหรับสถาบันการเงิน กฎระเบียบระดับรองกำลังพัฒนาอย่างต่อเนื่อง รวมถึงประกาศในราชกิจจานุเบกษาเดือนกันยายน 2568 ที่แก้ไขรายชื่อภาคส่วน CII อย่างเป็นทางการ และกำหนดรายละเอียดเกี่ยวกับหน้าที่การรายงานเหตุการณ์ของผู้ดำเนินการ CII
โครงสร้างหลัก
พระราชบัญญัติความมั่นคงปลอดภัยทางไซเบอร์ พ.ศ. 2562 (2019) ซึ่งอยู่ภายใต้การบริหารจัดการของคณะกรรมการความมั่นคงปลอดภัยทางไซเบอร์แห่งชาติ (NCSC) และสำนักงานความมั่นคงปลอดภัยทางไซเบอร์แห่งชาติ (NCSA); พร้อมด้วยพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (2562 พ.ศ. / 2019) สำหรับหน้าที่ในการจัดการกรณีการรั่วไหลของข้อมูล และหน่วยงานกำกับดูแลตามภาคอุตสาหกรรม (เช่น ธนาคารแห่งประเทศไทย) สำหรับบริการทางการเงิน
ประเด็นสำคัญ
กฎหมายที่บังคับใช้อย่างครบถ้วน
พระราชบัญญัติความมั่นคงทางไซเบอร์ พ.ศ. 2562 (2019) ได้ประกาศในราชกิจจานุเบกษาและมีผลบังคับใช้อย่างเต็มรูปแบบเมื่อวันที่ 24 พฤษภาคม พ.ศ. 2562 โดยกำหนดกรอบการทำงานระดับชาติเพื่อคุ้มครองความมั่นคงแห่งชาติ ความสงบเรียบร้อยของประชาชน เศรษฐกิจ และโครงสร้างพื้นฐานสำคัญจากภัยคุกคามทางไซเบอร์
การบริหารจัดการ: NCSC และ NCSA
กฎหมายนี้จัดตั้งคณะกรรมการความมั่นคงทางไซเบอร์แห่งชาติ (NCSC) ซึ่งมีนายกรัฐมนตรีเป็นประธาน คณะกรรมการกำกับดูแลความมั่นคงทางไซเบอร์ (CSSC) และสำนักงานความมั่นคงทางไซเบอร์แห่งชาติ (NCSA) ในฐานะหน่วยงานปฏิบัติการที่รับผิดชอบในการกำกับดูแลมาตรฐาน การติดตามตรวจสอบ และการบังคับใช้
หน้าที่และภาระผูกพันเกี่ยวกับโครงสร้างพื้นฐานข้อมูลสำคัญ
องค์กร CII ในทุกภาคส่วนที่กำหนด (ความมั่นคงแห่งชาติ บริการสาธารณะ ธนาคาร/การเงิน เทคโนโลยีสารสนเทศและโทรคมนาคม ขนส่งและโลจิสติกส์ พลังงานและบริการสาธารณูปโภค สุขภาพสาธารณะ และภาคส่วนอื่น ๆ) ต้องนำมาตรการความปลอดภัยที่ NCSC อนุมัติมาใช้ ดำเนินการประเมินความเสี่ยง/ตรวจสอบอย่างสม่ำเสมอ และร่วมมือในการสอบสวน
การรายงานเหตุการณ์ CII (24 ชั่วโมง)
ประกาศของ NCSC เมื่อเดือนกันยายน 2568 (ราชกิจจานุเบกษา, 16 กันยายน 2025) ได้แก้ไขรายชื่อภาคอุตสาหกรรม CII และกำหนดให้ผู้ดำเนินการในภาค CII ต้องรายงานเหตุการณ์ความปลอดภัยทางไซเบอร์ที่สำคัญทั้งต่อ NCSA และหน่วยงานกำกับดูแลภาคอุตสาหกรรมภายใน 24 ชั่วโมง โดยผู้ที่ไม่รายงานโดยไม่มีเหตุผลอันสมควรจะถูกปรับสูงสุด 200,000 บาท
การแจ้งเตือนเกี่ยวกับการรั่วไหลของข้อมูลส่วนบุคคล (PDPA)
ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (2019) ผู้ควบคุมข้อมูลต้องแจ้งให้สำนักงานคุ้มครองข้อมูลส่วนบุคคล (PDPC) ทราบภายใน 72 ชั่วโมง นับตั้งแต่ทราบถึงการละเมิดข้อมูลส่วนบุคคล (เว้นแต่จะไม่มีแนวโน้มที่จะก่อให้เกิดความเสี่ยงต่อสิทธิของบุคคล); ในเดือนสิงหาคม 2565 PDPC ได้กำหนดค่าปรับรวม 21.5 ล้านบาท ส่วนหนึ่งเนื่องจากไม่รายงานการละเมิดข้อมูลส่วนบุคคล
กฎระเบียบด้านบริการทางการเงินตามภาค
ธนาคารแห่งประเทศไทยได้กำหนดข้อกำหนดเกี่ยวกับความเสี่ยงทางไซเบอร์/ไอทีสำหรับสถาบันการเงิน ซึ่งรวมถึงเกณฑ์การบริหารจัดการความเสี่ยงด้านไอที (SorNorSor 21/2562) มาตรการความปลอดภัยสำหรับบริการทางการเงินผ่านมือถือ (ประกาศเลขที่ 4/2568 มีผลบังคับใช้ตั้งแต่วันที่ 7 มีนาคม 2568), และแนวทางการจัดการความเสี่ยงด้าน AI ปี 2568
หน้านี้เป็นการแปลเพื่อความสะดวกเท่านั้น; เวอร์ชันภาษาอังกฤษเป็นเวอร์ชันที่มีผลบังคับใช้อย่างเป็นทางการ และไม่ใช่คำปรึกษาทางกฎหมาย