การกำกับดูแลความเสี่ยงด้านเทคโนโลยีสารสนเทศ

การกำกับดูแลความเสี่ยงด้านเทคโนโลยีสารสนเทศ

ธนาคารแห่งประเทศไทย (ธปท.) ให้ความสำคัญกับการกำกับดูแลความเสี่ยงด้านเทคโนโลยีสารสนเทศ (IT Risk) ของผู้ให้บริการที่เกี่ยวข้องกับระบบชำระเงิน (ผู้ให้บริการระบบการชำระเงิน ผู้ประกอบธุรกิจระบบการชำระเงิน และผู้ประกอบธุรกิจบริการการชำระเงิน (e-Payment) เพื่อให้สามารถบริหารจัดการความเสี่ยงด้าน IT ได้อย่างรัดกุมเพียงพอ มีความมั่นคงปลอดภัย สามารถรับมือกับภัยคุกคามทางไซเบอร์ได้อย่างทันการณ์ ส่งผลให้ระบบการชำระเงินของประเทศมีเสถียรภาพ และยืดหยุ่น (Resiliency) เพียงพอต่อการรองรับการใช้บริการจากประชาชนได้อย่างต่อเนื่อง

เทคโนโลยีทางการเงินได้พัฒนาอย่างรวดเร็ว มีบริการทางการเงินที่หลากหลาย

รวมทั้งมีปริมาณและมูลค่าการทำธุรกรรมผ่าน mobile application ตลอดจนมีระบบการชำระเงินที่เติบโตขึ้นแบบก้าวกระโดดในช่วง 2-3 ปีที่ผ่านมา อีกทั้งในปัจจุบัน IT ได้เข้ามามีบทบาทสำคัญต่อการดำเนินธุรกิจ โดยนำมาใช้เป็นโครงสร้างพื้นฐานสำคัญที่ช่วยเพิ่มประสิทธิภาพ ลดต้นทุนในการดำเนินงาน รวมถึงอำนวยความสะดวกและช่วยให้สามารถเข้าถึงบริการทางการเงินได้มากยิ่งขึ้น ดังนั้นความเสี่ยงทางด้าน IT จึงเป็นสิ่งสำคัญที่ต้องมีการกำกับดูแลที่มีประสิทธิภาพและรัดกุม เพื่อสร้างความเชื่อมั่นต่อประชาชนผู้ใช้บริการให้ได้รับบริการการชำระเงินที่สะดวก ปลอดภัย และมีเสถียรภาพ

Financial Security in IT aspect

ธปท. จึงให้ความสำคัญกับการบริหารจัดการความเสี่ยงด้าน IT

รวมถึงยกระดับการควบคุมด้าน IT Security ของผู้ให้บริการที่เกี่ยวข้องกับระบบชำระเงินให้รัดกุม เท่าทันกับความเสี่ยงและรูปแบบการปฏิบัติงานที่เปลี่ยนไป ผ่านกระบวนการและเครื่องมือต่าง ๆ

ตลอดจนติดตามเหตุการณ์ผิดปกติที่มีนัยสำคัญที่อาจส่งผลกระทบต่อการให้บริการหรือดำเนินธุรกิจของผู้ให้บริการและผู้ประกอบธุรกิจในวงกว้าง (enterprise wide impact) และผลกระทบต่อระบบการชำระเงินในวงกว้าง (payment system wide impact) เพื่อให้มั่นใจว่าผู้ให้บริการที่เกี่ยวข้องกับระบบชำระเงิน (e-Payment) มีระดับมาตรฐานการบริหารจัดการความเสี่ยงด้านเทคโนโลยีสารสนเทศและไซเบอร์ (IT and cyber risk management) ที่ทัดเทียมมาตรฐานสากล รวมถึงมีความพร้อมเพื่อรองรับการขยายตัวของปริมาณธุรกรรมและบริการทางการเงินที่หลากหลายในอนาคตต่อไป

 

 

 

 

โดยการกำกับดูแลตั้งอยู่บนหลักการพื้นฐาน 3 ประการ

ทั้ง 3 หลักการนี้เป็นเป้าหมายเพื่อผลักดันให้ผู้ให้บริการที่เกี่ยวข้องกับระบบชำระเงินให้ความสำคัญกับการบริหารจัดการความเสี่ยงด้าน IT สามารถบริหารจัดการความเสี่ยงได้อย่างเหมาะสมสอดคล้องตามระดับความเสี่ยงขององค์กร

ดูแลและบริหารจัดการความเสี่ยงด้าน IT

ดูแลและบริหารจัดการความเสี่ยงด้าน IT

1. ดูแลและบริหารจัดการความเสี่ยงด้านเทคโนโลยีสารสนเทศของผู้ให้บริการที่เกี่ยวข้องกับระบบชำระเงิน และบุคคลภายนอกที่ใช้บริการ เชื่อมต่อระบบเทคโนโลยีสารสนเทศหรือเข้าถึงข้อมูลสำคัญ (Third party) ของผู้ให้บริการที่เกี่ยวข้องกับระบบชำระเงิน อย่างมีประสิทธิภาพและรัดกุม ภายใต้กรอบหลักการที่สำคัญ 3 ประการ คือ (1) การรักษาความลับของระบบและข้อมูล (confidentiality) (2) ความถูกต้องเชื่อถือได้ของระบบและข้อมูล (integrity) และ (3) ความพร้อมใช้งานของเทคโนโลยีสารสนเทศ (availability) โดยอยู่บนพื้นฐานของการคุ้มครองข้อมูลและรักษาผลประโยชน์ของประชาชนผู้ใช้บริการ

ที่ผ่านมาในปี 2564 ธปท. ยังได้ยกระดับมาตรฐานการบริหารจัดการความเสี่ยงด้าน IT และไซเบอร์ สำหรับผู้ให้บริการที่เกี่ยวข้องกับระบบชำระเงิน ให้ทัดเทียมมาตรฐานสากล

โดยออกเกณฑ์การบริหารจัดการความเสี่ยงด้านเทคโนโลยีสารสนเทศ (IT risk management) และแนวปฏิบัติการบริหารความเสี่ยงด้านไซเบอร์ขั้นต่ำ (cyber hygiene) สำหรับผู้ให้บริการที่เกี่ยวข้องกับระบบชำระเงินนำไปปฏิบัติอีกด้วย

Financial Security in IT aspect