นโยบายการรักษาความมั่นคงปลอดภัย
ขอบเขต
นโยบายนี้ครอบคลุมระบบสารสนเทศทั้งหมดที่ดำเนินการภายใต้โดเมนเว็บไซต์ รวมถึงเซิร์ฟเวอร์ แอปพลิเคชัน ฐานข้อมูล และระบบสำรองข้อมูล
หลักการสำคัญ
- การควบคุมการเข้าถึงตามบทบาท (Role-based Access Control) และการใช้หลักการสิทธิ์ต่ำสุด
- การเข้ารหัสข้อมูลทั้งขณะส่งและขณะพักเก็บ โดยใช้มาตรฐานปัจจุบัน
- การบำรุงรักษาและแพตช์ระบบอย่างสม่ำเสมอ
- การตรวจสอบและบันทึกการใช้งาน (logging) เพื่อการวิเคราะห์เหตุการณ์ด้านความมั่นคง
- การฝึกอบรมความตระหนักด้านความมั่นคงสำหรับพนักงานและผู้ดูแลระบบ
มาตรการเชิงเทคนิค
- ใช้ HTTPS/TLS สำหรับการสื่อสารทั้งหมด
- จัดการรหัสผ่านให้เป็นไปตามนโยบายความซับซ้อนและบังคับใช้การยืนยันตัวตนแบบสองขั้นตอนสำหรับผู้ดูแลระบบ
- สำรองข้อมูลเป็นประจำและทดสอบการกู้คืนข้อมูลอย่างน้อยรายไตรมาส
- ติดตั้งระบบตรวจจับการบุกรุก (IDS/IPS) และระบบป้องกันเว็บแอปพลิเคชัน (WAF) ตามความเหมาะสม
การบริหารความเสี่ยง
จัดทำการประเมินความเสี่ยงอย่างน้อยปีละครั้ง ระบุช่องโหว่และจัดลำดับความสำคัญของการแก้ไขตามผลกระทบและความน่าจะเป็น