Website Security Standard 2568 — สรุปครบจบในที่เดียว Website Security Standard 2568 — A complete summary

มาตรฐานนี้คืออะไร What is this standard?

Website Security Standard 2568 (มาตรฐานการรักษาความมั่นคงปลอดภัยสำหรับเว็บไซต์) คือมาตรฐานที่ประกาศโดยคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (กมช.) ในปี พ.ศ. 2568 โดยมี NCSA (สำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ — "สกมช.") เป็นผู้จัดทำและกำกับการใช้ The Website Security Standard 2568 is a cybersecurity standard issued in 2568 (2025) by the National Cyber Security Committee (NCSC), with NCSA (National Cyber Security Agency of Thailand) as the office that prepared it and oversees its use.

เป้าหมายคือยกระดับความมั่นคงปลอดภัยของเว็บไซต์ในไทย โดยเฉพาะหน่วยงานรัฐและโครงสร้างพื้นฐานสำคัญทางสารสนเทศ (Critical Information Infrastructure — CII) ให้สอดคล้องกับ NIST Cybersecurity Framework Its goal: raise the security posture of websites in Thailand — particularly government agencies and Critical Information Infrastructure (CII) — aligned with the NIST Cybersecurity Framework.

มาตรฐานมีผลใช้บังคับเมื่อพ้นหนึ่งปีนับแต่วันประกาศในราชกิจจานุเบกษา (ประกาศในราชกิจจานุเบกษาวันที่ 16 กันยายน 2568) จึงมีผลใช้บังคับแล้วตั้งแต่ราวเดือนกันยายน 2569 The standard took effect one year after it was published in the Royal Gazette on 16 September 2568 (2025), so it has been in force since about September 2569 (2026).

ใครต้องปฏิบัติตาม Who must comply?

มาตรฐานแบ่งกลุ่มเป้าหมายเป็น 2 กลุ่ม: The standard categorizes organizations into 2 groups:

กลุ่มที่ 1 — บังคับ "จะต้องปฏิบัติ" Group 1 — Mandatory ("shall comply"):

• หน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ (CII) Critical Information Infrastructure (CII)
• หน่วยงานควบคุมหรือกำกับดูแล (Regulator) Regulators
• หน่วยงานของรัฐ Government agencies

กลุ่มที่ 2 — "ส่งเสริมให้ปฏิบัติ" Group 2 — Recommended ("encouraged to comply"):

• หน่วยงานเอกชน (ที่ไม่ใช่ CII) Private organizations (non-CII)

เอกชนทั่วไปไม่ถูกบังคับ ยกเว้นเอกชนที่ได้รับการกำหนดเป็นหน่วยงาน CII (เช่น ภาคการเงินการธนาคาร โทรคมนาคม พลังงาน หรือสาธารณสุข) ซึ่งอยู่ในกลุ่มที่ 1 ส่วนเอกชนอื่นที่ดูแลข้อมูลส่วนบุคคล (PDPA) สามารถนำมาตรฐานไปใช้เพื่อแสดงความรอบคอบ (due diligence) Private companies in general are not bound, except those designated as CII (for example in banking and finance, telecom, energy or public health), which fall in Group 1. Other private organizations handling personal data under PDPA can adopt the standard to show due diligence.

บริษัทเอกชนที่รับจ้างหน่วยงานรัฐไม่ได้ถูกมาตรฐานนี้บังคับโดยตรง แต่อาจต้องปฏิบัติตามหากสัญญาจ้างหรือ TOR ของหน่วยงานกำหนดไว้ Private companies that supply government agencies are not bound by the standard directly, but may have to follow it when the agency's contract or TOR requires it.

โครงสร้างมาตรฐาน Standard structure

มาตรฐานแบ่งเป็น 2 ส่วนหลัก สอดคล้องกับ NIST CSF: The standard has 2 main sections aligned with NIST CSF:

หัวข้อ 5 — Governance (การกำกับดูแล) Section 5 — Governance:

• 5.1 — บริบทขององค์กรOrganizational context
• 5.2 — นโยบายความมั่นคงปลอดภัยSecurity policies
• 5.3 — กลยุทธ์การจัดการความเสี่ยงRisk management strategy
• 5.4 — บทบาทและความรับผิดชอบ (Three Lines of Defense)Roles & responsibilities (Three Lines of Defense)
• 5.5 — การวางแผนความต้องการRequirements planning
• 5.6 — แนวทางด้านความมั่นคงปลอดภัย (CIA Triad, ระบบคลาวด์, การสำรองข้อมูล, Log Management)Security guidelines (CIA Triad, cloud, backup, log management)

หัวข้อ 6 — Operational Security (การดำเนินการ) Section 6 — Operational Security:

• 6.1 Identify — Asset Management, Risk Assessment, VA, Pen Test, Third-PartyAsset Management, Risk Assessment, VA, Pen Test, Third-Party
• 6.2 Protect — DevSecOps, OWASP Top 10, Secure Architecture, MFA, SSL/TLSDevSecOps, OWASP Top 10, Secure Architecture, MFA, SSL/TLS
• 6.3 Detect — Cyber Threat Detection (SIEM, IDS)Cyber Threat Detection (SIEM, IDS)
• 6.4 Respond — Incident ResponseIncident Response
• 6.5 Recover — Recovery + BackupRecovery + Backup

3 ระดับผลกระทบ (Impact Levels) 3 Impact Levels

ข้อกำหนดที่ต้องทำขึ้นอยู่กับ "ระดับผลกระทบ" จากการประเมิน 4 ด้าน: Requirements depend on "impact level" based on 4-dimension assessment:

1. มูลค่าความเสียหายทางการเงิน / ทรัพย์สิน / ชื่อเสียงFinancial / asset / reputational damage value
2. จำนวนผู้ใช้บริการที่อาจได้รับอันตรายNumber of affected service users
3. ความสามารถในการดำเนินการตามหน้าที่Operational capacity impact
4. ความมั่นคงของรัฐและความสงบเรียบร้อยภายในประเทศNational security and public order impact

ข้อกำหนดสำคัญที่หลายคนพลาด Commonly missed requirements

ข้อกำหนดที่หน่วยงานมักพลาดหรือมองข้าม: Requirements that organizations commonly miss or overlook:

วิธีเริ่ม Self-Assessment How to start a Self-Assessment

NCSA จัดเตรียม 2 ฟอร์มให้: NCSA provides 2 forms:

TechFinder ช่วยอะไรได้? How TechFinder can help

TechFinder ช่วยเป็นหลักฐานอ้างอิงบางส่วนของมาตรฐานนี้ (ไม่ใช่การรับรองหรือตรวจประเมินว่าผ่านมาตรฐาน): TechFinder can provide supporting evidence for parts of this standard (this is not certification or an assessment of compliance):

• L2-L3 ช่วยเป็นหลักฐานของข้อ 6.1.1 เฉพาะส่วน Vulnerability Assessment (VA) ตามรอบ พร้อมการติดตามผล ส่วน Pen Test เป็นบริการที่เราไม่ได้ให้ ต้องใช้ผู้ให้บริการแยกต่างหาก และผู้ใช้งานเป็นผู้รับรองเอง provides evidence for clause 6.1.1 only for the recurring Vulnerability Assessment (VA) part, with remediation tracking. We do not offer penetration testing; that part needs a separate provider and is attested by the customer
• L3 มีการตรวจสอบ SSL/TLS ที่เกี่ยวข้องกับข้อ 6.2.7 includes SSL/TLS checks relevant to clause 6.2.7
• Compliance Mapping — แสดง finding ที่เกี่ยวข้องกับมาตรฐานนี้ พร้อมระบุ control ID เป็นข้อมูลอ้างอิงช่องว่าง (gap reference) ไม่ใช่การรับรอง — Findings linked to relevant control IDs as a gap reference, not certification