ธปท.งัดเกณฑ์ป้องกันภัยไซเบอร์ คุมธุรกิจอีเพย์เมนท์ บังคับใช้29เม.ย.นี้

    นางสาวสิริธิดา พนมวัน ณ อยุธยา ผู้ช่วยผู้ว่าการสายนโยบายระบบการชำระเงินและเทคโนโลยีทางการเงิน ธนาคารแห่งประเทศไทย (ธปท.) เปิดเผยว่า ปัจจุบันผู้ประกอบธุรกิจทางการเงินได้นำเทคโนโลยีมาใช้เพิ่มประสิทธิภาพการให้บริการลูกค้าให้สะดวกรวดเร็วมากขึ้น

     ประกอบกับที่ผ่านมามีจำนวนผู้ใช้บริการและปริมาณธุรกรรมด้านการชำระเงินอิเล็กทรอนิกส์เพิ่มสูงขึ้นอย่างมาก รวมทั้งรูปแบบธุรกิจมีการเชื่อมโยงกับผู้เล่นที่หลากหลายและเชื่อมต่อกับผู้ให้บริการภายนอกมากขึ้น ทำให้ผู้ประกอบธุรกิจต้องเผชิญกับความเสี่ยงด้านไอทีและภัยคุกคามทางไซเบอร์เพิ่มสูงขึ้น

     ธปท.จึงได้กำหนดหลักเกณฑ์การกำกับดูแลความเสี่ยงด้านเทคโนโลยีสารสนเทศสำหรับผู้ประกอบธุรกิจด้านการชำระเงินที่ไม่ใช่สถาบันการเงินเพิ่มเติมจากหลักเกณฑ์ที่ใช้บังคับอยู่ในปัจจุบัน

    ซึ่งเป็นหลักเกณฑ์เดียว กันกับที่ธปท.ใช้ในการกำกับดูแลสถาบันการเงิน เพื่อยกระดับความมั่นคงปลอดภัยของระบบไอที ตลอดจนสร้างความเชื่อมั่นให้กับผู้ใช้บริการ

     โดยหลักเกณฑ์กำกับดูแลผู้ประกอบประกอบธุรกิจด้านการชำระเงินที่ไม่ใช่สถาบันการเงิน 2 ส่วนสำคัญ ได้แก่ 1.การรักษาความมั่นคงปลอดภัยของระบบเทคโนโลยีสารสนเทศขั้นต้นที่จำเป็น (Cyber Hygiene) เป็นมาตรการขั้นต้นที่ผู้ประกอบธุรกิจทุกรายต้องดำเนินการ เพื่อยกระดับความมั่นคงปลอดภัยในการป้องกันและรับมือภัยคุกคามทางไซเบอร์ที่สำคัญ

     ซึ่งครอบคลุมตั้งแต่การตั้งค่าระบบให้มีความปลอดภัย การป้องกันระบบจากมัลแวร์ (Malware) การบริหารจัดการช่องโหว่ การจัดการสิทธิของระบบ การพิสูจน์ตัวตนอย่างปลอดภัย และการทดสอบหาช่องโหว่ โดยจะมีผลบังคับใช้ตั้งแต่วันที่ 29 เม.ย. 2564 นี้

     ส่วนที่ 2 การบริหารจัดการความเสี่ยงด้านเทคโนโลยีสารสนเทศ (IT Risk Management) ซึ่งมุ่งเน้นให้ผู้ประกอบธุรกิจที่มีนัยสำคัญตามคุณสมบัติที่ประกาศฉบับนี้กำหนด

     โดยต้องดำเนินการให้มีธรรมาภิบาลด้านเทคโนโลยีสารสนเทศที่ดี มีการบริหารความเสี่ยงด้านไอทีที่เหมาะสม มีรักษาความมั่นคงปลอดภัยด้านไอทีอย่างรัดกุม และบริหารความเสี่ยงอย่างมีประสิทธิภาพ

     โดยเกณฑ์นี้จะบังคับใช้สำหรับผู้ประกอบธุรกิจที่มีนัยสำคัญต่อระบบ เช่น เป็นผู้ประกอบธุรกิจที่มีระบบเชื่อมต่อกับโครงสร้างพื้นฐาน หรือมีผู้ใช้บริการผ่านระบบเกิน 5 ล้านบัญชี หรือ มีการทำธุรกรรมมากกว่า 10 ล้านรายการ ซึ่งเกณฑ์นี้จะมีผลบังคับใช้กับกลุ่มนี้ ตั้งแต่วันที่ 29 ม.ค. 2565 เพื่อให้ผู้ประกอบการได้มีเวลาเตรียมพร้อมระบบก่อนที่จะมีผลบังคับใช้

    นางสาวสิริธิดา กล่าวว่า เกณฑ์นี้จะมีส่วนช่วยผู้ประกอบการในการลดภัยด้านไซเบอร์ให้ลดลง หากมีการปฏิบัติตามเกณฑ์อย่างสม่ำเสมอ ทั้งนี้จากการศึกษาจากต่างประเทศ เช่นประเทศอังกฤษ พบว่า ผู้ประกอบการที่ปฏิบัติตามเกณฑ์การป้องกันภัยด้านไซเบอร์ สามารถลดความเสี่ยงด้านภัยไซเบอร์ลดลงมากถึงครึ่งหนึ่ง

   อย่างไรก็ตาม ปัจจุบัน ภัยไซเบอร์มีการพัฒนาตามเทคโนโลยีอย่างต่อเนื่อง ดังนั้นผู้ประกอบการควรปรับตัวให้ทันกับภัยไซเบอร์อย่างต่อเนื่องด้วย

    “เกณฑ์ที่เราออกมา หากผู้ประกอบการปฏิบัติตาม มีการประเมินความเสี่ยงต่อเนื่อง เราเชื่อว่าจะสามารถลดความเสี่ยงได้มาก จากที่เราศึกษาจากอังกฤษ เราพบว่าการนำเกณฑ์เหล่านี้มาปฏิบัติ สามารถป้องกันภัยไซเบอร์ได้เกินครึ่ง ทั้งนี้การป้องกันภัยไซเบอร์ไม่ใช่เฉพาะผู้ประกอบการที่ป้องกัน และพัฒนาระบบให้ปลอดภัยมากขึ้น แต่ผู้ใช้บริการ ประชาชนสามารถดูแลและป้องกันภัยไซเบอร์ได้เช่นเดียวกัน เช่น การตั้งค่ารหัสผ่านให้ยากต่อการเลียนแบบได้ง่าย”