Website Security Standard (NCSA) — สรุปมาตรฐานสำหรับองค์กร

มาตรฐานนี้คืออะไร What is this standard?

Website Security Standard (มาตรฐานการรักษาความมั่นคงปลอดภัยสำหรับเว็บไซต์) คือมาตรฐานที่ออกโดย NCSA (สำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ — "สกมช.") ในปี พ.ศ. 2568 The Website Security Standard is a cybersecurity standard issued by NCSA (National Cyber Security Agency of Thailand) in 2568 (2025).

เป้าหมายคือยกระดับความมั่นคงปลอดภัยของเว็บไซต์ในไทย โดยเฉพาะหน่วยงานรัฐและโครงสร้างพื้นฐานสำคัญทางสารสนเทศ (Critical Information Infrastructure — CII) ให้สอดคล้องกับ NIST Cybersecurity Framework Its goal: raise the security posture of websites in Thailand — particularly government agencies and Critical Information Infrastructure (CII) — aligned with the NIST Cybersecurity Framework.

ใครต้องปฏิบัติตาม Who must comply?

มาตรฐานแบ่งกลุ่มเป้าหมายเป็น 2 กลุ่ม: The standard categorizes organizations into 2 groups:

กลุ่มที่ 1 — บังคับ "จะต้องปฏิบัติ" Group 1 — Mandatory ("shall comply"):

หน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ (CII) Critical Information Infrastructure (CII)
หน่วยงานควบคุมหรือกำกับดูแล (Regulator) Regulators
หน่วยงานของรัฐ Government agencies

กลุ่มที่ 2 — "ส่งเสริมให้ปฏิบัติ" Group 2 — Recommended ("encouraged to comply"):

หน่วยงานเอกชน Private sector organizations

แม้เอกชนจะไม่บังคับ แต่ภาคการเงิน, การแพทย์, e-commerce ที่ดูแลข้อมูลส่วนบุคคล (PDPA) ควรปฏิบัติเพื่อแสดง due diligence While private companies aren't required, financial, healthcare, and e-commerce sectors handling personal data under PDPA should comply to demonstrate due diligence.

โครงสร้างมาตรฐาน Standard structure

มาตรฐานแบ่งเป็น 2 ส่วนหลัก สอดคล้องกับ NIST CSF: The standard has 2 main sections aligned with NIST CSF:

หัวข้อ 5 — Governance (การกำกับดูแล) Section 5 — Governance:

5.1 — บริบทขององค์กรOrganizational context
5.2 — นโยบายความมั่นคงปลอดภัยSecurity policies
5.3 — กลยุทธ์การจัดการความเสี่ยงRisk management strategy
5.4 — บทบาทและความรับผิดชอบ (Three Lines of Defense)Roles & responsibilities (Three Lines of Defense)
5.5 — การวางแผนความต้องการRequirements planning
5.6 — แนวทางด้านความมั่นคงปลอดภัย (CIA Triad, ระบบคลาวด์, การสำรองข้อมูล, Log Management)Security guidelines (CIA Triad, cloud, backup, log management)

หัวข้อ 6 — Operational Security (การดำเนินการ) Section 6 — Operational Security:

6.1 Identify — Asset Management, Risk Assessment, VA, Pen Test, Third-PartyAsset Management, Risk Assessment, VA, Pen Test, Third-Party
6.2 Protect — DevSecOps, OWASP Top 10, Secure Architecture, MFA, SSL/TLSDevSecOps, OWASP Top 10, Secure Architecture, MFA, SSL/TLS
6.3 Detect — Cyber Threat Detection (SIEM, IDS)Cyber Threat Detection (SIEM, IDS)
6.4 Respond — Incident ResponseIncident Response
6.5 Recover — Recovery + BackupRecovery + Backup

3 ระดับผลกระทบ (Impact Levels) 3 Impact Levels

ข้อกำหนดที่ต้องทำขึ้นอยู่กับ "ระดับผลกระทบ" จากการประเมิน 4 ด้าน: Requirements depend on "impact level" based on 4-dimension assessment:

มูลค่าความเสียหายทางการเงิน / ทรัพย์สิน / ชื่อเสียงFinancial / asset / reputational damage value
จำนวนผู้ใช้บริการที่อาจได้รับอันตรายNumber of affected service users
ความสามารถในการดำเนินการตามหน้าที่Operational capacity impact
ความมั่นคงของรัฐและความสงบเรียบร้อยภายในประเทศNational security and public order impact

ระดับ Level	ต้องทำอะไร Required scope
สูง High	ทำทุกข้อในมาตรฐาน All requirements
กลาง Medium	ทำเกือบทุกข้อ ยกเว้นบางส่วน (VA + PT, Third-Party, etc.) Most requirements, except some (VA+PT, Third-Party, etc.)
ต่ำ Low	ทำพื้นฐาน — Section 5 ทุกข้อ + Section 6 บางส่วน Baseline — All Section 5 + selected Section 6

ข้อกำหนดสำคัญที่หลายคนพลาด Commonly missed requirements

จากประสบการณ์ของทีม TechFinder ในการช่วยลูกค้าตรวจสอบมาตรฐานนี้ ข้อกำหนดที่พบว่าหน่วยงานพลาดบ่อย: From TechFinder's experience helping clients audit this standard, here are the most-commonly-missed requirements:

6.1.1 Asset Management + VA + Pen Test

ต้องมี Asset Register และตรวจสอบทุกปีMust maintain Asset Register, reviewed annually
VA ครอบคลุม web app + เครื่องบริการเว็บ + networkVA must cover web apps + servers + network
Pen Test อย่างน้อย 1 ครั้ง/ปี — หลายหน่วยงาน "ลืม" ข้อนี้Pen Test at least 1x/year — often forgotten

6.2.1 DevSecOps

ต้องมีกระบวนการความมั่นคงปลอดภัยตั้งแต่ขั้น developmentSecurity must be built into development from start
ใช้แนวคิด OWASP DSOMMAligned with OWASP DSOMM

6.2.2 OWASP Top 10

ต้องมีแนวทางป้องกัน OWASP Top 10 ทั้งหมดMust address all OWASP Top 10 risks
ไม่ใช่แค่รู้จัก — ต้องมี evidence ว่าทำBeyond knowing — must have evidence

5.6.9 Log Management

ต้องเก็บ log ตาม พ.ร.บ.คอมพิวเตอร์ (90 วัน ขั้นต่ำ)Must retain logs per Computer Crime Act (minimum 90 days)
หลายหน่วยงานเก็บแต่ไม่ centralizedMany organizations retain but don't centralize

5.6.10 Secure Disposal

เมื่อเลิกใช้เว็บไซต์ ต้องทำลายข้อมูลตาม NIST SP 800-88When decommissioning websites, must destroy data per NIST SP 800-88
ลืมข้อนี้บ่อยมากFrequently overlooked

หน่วยงานรัฐที่ไม่ปฏิบัติตามมาตรฐาน อาจถูก NCSA ตรวจสอบและออกหนังสือเตือน — กระทบ KPI ของหน่วยงานโดยตรง Government agencies that fail to comply may be audited by NCSA and issued formal warnings — directly affecting agency KPIs.

วิธีเริ่ม Self-Assessment How to start a Self-Assessment

NCSA จัดเตรียม 2 ฟอร์มให้: NCSA provides 2 forms:

ฟอร์ม ค1 — Self-Assessment Checklist Form ค1 — Self-Assessment Checklist

กรอกข้อมูลเว็บไซต์ของหน่วยงานFill in website information
ประเมินคุณลักษณะ CIA Triad (ระดับ ต่ำ/กลาง/สูง)Assess CIA Triad characteristics (Low/Medium/High)
ตรวจสอบทีละข้อ — ดำเนินการแล้ว / อยู่ระหว่างดำเนินการ / ยังไม่ได้ดำเนินการCheck each requirement — Completed / In progress / Not started
แนบหลักฐาน (Evidence)Attach evidence

ฟอร์ม ค2 — แบบรายงานการแก้ไข Form ค2 — Remediation Report

ระบุข้อที่ยังต้องปรับปรุงList items needing improvement
กำหนด timeline + ผู้รับผิดชอบDefine timeline + responsible party

TechFinder ช่วยอะไรได้? How TechFinder can help

ทีม TechFinder ออกแบบบริการให้ตอบโจทย์มาตรฐานนี้โดยตรง: TechFinder's services are designed to address this standard directly:

L2-L3 ตอบโจทย์ข้อ 6.1.1 — VA + Pen Test เป็นประจำ addresses clause 6.1.1 — Regular VA + Pen Test
L3 ตอบโจทย์ข้อ 6.2.5 (MFA), 6.2.7 (SSL/TLS) — รวม authenticated scanning addresses 6.2.5 (MFA) and 6.2.7 (SSL/TLS) — including authenticated scanning
L4 ตอบโจทย์ข้อ 6.1.1 ครบ — รวม internal network assessment fully addresses 6.1.1 — including internal network assessment
Auto Compliance Mapping — แสดงทุก finding ที่กระทบมาตรฐานนี้ พร้อมระบุ control ID — Every finding linked to affected control IDs

Website Security Standard 2568 — สรุปครบจบในที่เดียว Website Security Standard 2568 — A complete summary