วันที่ 15 กุมภาพันธ์ 2564 นางสาวสิริธิดา พนมวัน ณ อยุธยา ผู้ช่วยผู้ว่าการ สายนโยบายระบบการชำระเงินและเทคโนโลยีทางการเงิน Media Briefing กับสื่อมวลชน หัวข้อ : ประกาศ หลักเกณฑ์การกำกับดูแลความเสี่ยงด้านเทคโนโลยีสารสนเทศ สำหรับผู้ประกอบธุรกิจ e-Payment

ธปท. ออกหลักเกณฑ์การกำกับดูแลความเสี่ยงด้านเทคโนโลยีสารสนเทศเพิ่มเติมจากเดิมที่เคยออก สำหรับผู้ประกอบธุรกิจ e-Payment ที่ไม่ใช่สถาบันการเงิน

ธปท. ออกหลักเกณฑ์การกำกับดูแลความเสี่ยงด้านเทคโนโลยีสารสนเทศเพิ่มเติมสำหรับผู้ประกอบธุรกิจ ด้านการชำระเงินที่ไม่ใช่สถาบันการเงิน เน้นการป้องกันภัยคุกคามทางไซเบอร์ที่สำคัญ และการบริหารความเสี่ยง ด้านเทคโนโลยีสารสนเทศที่เหมาะสม ตลอดจนกำกับดูแลให้สอดคล้องกับลักษณะการให้บริการ หรือดำเนินธุรกิจ

นางสาวสิริธิดา พนมวัน ณ อยุธยา ผู้ช่วยผู้ว่าการ สายนโยบายระบบการชำระเงินและเทคโนโลยีทางการเงิน ธนาคารแห่งประเทศไทย (ธปท.) เปิดเผยว่า ปัจจุบันผู้ประกอบธุรกิจทางการเงินได้ นำเทคโนโลยีมาใช้เพิ่มประสิทธิภาพการให้บริการลูกค้าให้สะดวกรวดเร็วมากขึ้น ประกอบกับที่ผ่านมามีจำนวนผู้ใช้บริการและปริมาณธุรกรรมด้านการชำระเงินอิเล็กทรอนิกส์เพิ่มสูงขึ้นอย่างมาก รวมทั้งรูปแบบธุรกิจมีการเชื่อมโยงกับผู้เล่นที่หลากหลายและเชื่อมต่อกับผู้ให้บริการภายนอกมากขึ้น ทำให้ผู้ประกอบธุรกิจต้องเผชิญกับความเสี่ยงด้าน IT และภัยคุกคามทางไซเบอร์เพิ่มสูงขึ้น ธปท. จึงได้กำหนดหลักเกณฑ์การกำกับดูแลความเสี่ยงด้านเทคโนโลยีสารสนเทศสำหรับผู้ประกอบธุรกิจด้านการชำระเงินที่ไม่ใช่สถาบันการเงิน เพิ่มเติมจากหลักเกณฑ์ที่ใช้บังคับอยู่ในปัจจุบัน ซึ่งเป็นหลักเกณฑ์เดียวกันกับที่ ธปท. ใช้ในการกำกับดูแลสถาบันการเงิน เพื่อยกระดับความมั่นคง ปลอดภัยของระบบ IT ตลอดจนสร้างความเชื่อมั่นให้กับผู้ใช้บริการ โดยหลักเกณฑ์กำกับดูแล ประกอบด้วย 2 ส่วนสำคัญ ได้แก่

ส่วนที่ 1 การรักษาความมั่นคงปลอดภัยของระบบเทคโนโลยีสารสนเทศขั้นต้นที่จำเป็น (Cyber Hygiene) เป็นมาตรการขั้นต้นที่ผู้ประกอบธุรกิจทุกรายต้องดำเนินการ เพื่อยกระดับความมั่นคงปลอดภัยในการป้องกัน และรับมือภัยคุกคามทางไซเบอร์ที่สำคัญ ซึ่งครอบคลุมตั้งแต่การตั้งค่าระบบให้มีความปลอดภัย การป้องกัน ระบบจากมัลแวร์ (Malware) การบริหารจัดการช่องโหว่ การจัดการสิทธิของระบบ การพิสูจน์ตัวตน อย่างปลอดภัย และการทดสอบหาช่องโหว่ โดยจะมีผลบังคับใช้ตั้งแต่วันที่ 29 เมษายน 2564

ส่วนที่ 2 การบริหารจัดการความเสี่ยงด้านเทคโนโลยีสารสนเทศ (IT Risk Management) ซึ่งมุ่งเน้นให้ผู้ประกอบธุรกิจที่มีนัยสำคัญตามคุณสมบัติที่ประกาศฉบับนี้กำหนด ต้องดำเนินการให้มีธรรมาภิบาล ด้านเทคโนโลยีสารสนเทศที่ดี มีการบริหารความเสี่ยงด้าน IT ที่เหมาะสม มีรักษาความมั่นคงปลอดภัยด้าน IT อย่างรัดกุมตามกรอบหลักการ Confidentiality Integrity Availability รวมถึงมีบริหารจัดการความเสี่ยง ของการดำเนินโครงการด้าน IT ที่มีนัยสำคัญอย่างมีประสิทธิภาพโดยจะมีผลบังคับใช้ตั้งแต่วันที่ 29 มกราคม 2565

ทั้งนี้ ผู้ใช้บริการและประชาชนทั่วไปสามารถดูแลความปลอดภัยเบื้องต้นในการทำธุรกรรมอิเล็กทรอนิกส์ ได้ด้วยตนเองอย่างต่อเนื่อง เช่น ตั้งรหัสผ่านให้แข็งแรงและปลอดภัย รักษาความลับของชื่อผู้ใช้งาน และรหัสผ่าน และหลีกเลี่ยงการให้ข้อมูลส่วนตัวและข้อมูลทางการเงินกับเว็บไซต์หรืออีเมลที่มีความเสี่ยงสูง ซึ่งจะช่วยป้องกันความเสี่ยงจากภัยคุกคามทางไซเบอร์ได้อีกทางหนึ่ง