นโยบายความปลอดภัยทางไซเบอร์

1. ขอบเขตและฐานอ้างอิง

นโยบายนี้ใช้กับเว็บไซต์และองค์ประกอบของระบบ VBS ที่เกี่ยวข้องกับการให้บริการจองยานพาหนะ เช่น Web Application, Web Server, Database, ระบบยืนยันตัวตน, ไฟล์อัปโหลด, API/บริการภายนอก, ระบบแจ้งเตือน, Log และบัญชีผู้ดูแลระบบ

การกำหนดมาตรการให้พิจารณาจากประกาศคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ เรื่อง มาตรฐานการรักษาความมั่นคงปลอดภัยสำหรับเว็บไซต์ พ.ศ. 2568 เป็นฐานขั้นต่ำ และสามารถเสริมมาตรการที่เข้มงวดกว่าได้ตามความเสี่ยงของมหาวิทยาลัย

2. การกำหนดคุณลักษณะ ประเมินผลกระทบ และจัดระดับความเสี่ยง

ก่อนกำหนดมาตรการควบคุม ผู้รับผิดชอบระบบควรดำเนินการอย่างเป็นระบบ โดยกำหนดคุณลักษณะความมั่นคงปลอดภัยของข้อมูลหรือระบบสารสนเทศ ประเมินและจัดระดับผลกระทบ ระบุข้อกำหนดขั้นต่ำที่ต้องปฏิบัติ และประเมินตนเองเพื่อทวนสอบการดำเนินการ

การจัดระดับผลกระทบและมาตรการที่เลือกใช้ต้องมีหลักฐานรองรับ เช่น รายการทรัพย์สินสารสนเทศ บทบาทผู้ใช้ ประเภทข้อมูล จุดเชื่อมต่อภายนอก ประวัติช่องโหว่ และผลการทดสอบความปลอดภัย

3. การพัฒนาเว็บแอปพลิเคชันอย่างมั่นคงปลอดภัย

• ทำ Threat Modeling สำหรับฟังก์ชันและข้อมูลสำคัญก่อนพัฒนาหรือเปลี่ยนแปลงระบบที่มีผลต่อความเสี่ยง
• ใช้ Secure Coding Practices เพื่อลดความเสี่ยงจาก SQL Injection, XSS, CSRF และช่องโหว่เว็บที่พบบ่อย
• ตรวจสอบและทำความสะอาดข้อมูลนำเข้า (Input Validation and Sanitization) ทั้งฝั่ง Client และ Server โดยถือฝั่ง Server เป็นตัวตัดสิน
• ควบคุมการเข้าถึงตามบทบาทและสิทธิ์ของผู้ใช้ (RBAC/Access Control) และตรวจสอบสิทธิ์ทุก Action ที่มีผลต่อข้อมูลหรือสถานะคำขอ
• บริหาร Session อย่างปลอดภัย ป้องกัน Session Fixation/Session Hijacking และไม่เปิดเผย Session ID หรือ Secret ผ่าน URL หรือ Log
• กำหนด HTTP Security Headers ที่เหมาะสม และอัปเดต Library/Dependency เมื่อพบช่องโหว่ที่เกี่ยวข้อง
• ทดสอบความมั่นคงปลอดภัยอย่างเป็นระบบ รวมถึง Vulnerability Assessment และ Penetration Testing ตามระดับความเสี่ยงและอำนาจอนุญาต

4. การยืนยันตัวตน การควบคุมสิทธิ์ และ MFA

• บัญชีผู้ใช้ต้องเป็นบัญชีที่ได้รับอนุมัติและใช้งานตามบทบาทที่กำหนด โดยใช้หลัก Least Privilege และ Separation of Duties กับบทบาทสำคัญ
• สิทธิ์ระดับ Super Admin, Admin, ผู้อนุมัติ และเจ้าหน้าที่จัดรถต้องทบทวนเป็นระยะ และเพิกถอนทันทีเมื่อหมดความจำเป็น
• การเปลี่ยนข้อมูลสำคัญ การอนุมัติ และการจัดรถต้องตรวจสอบสิทธิ์ฝั่งเซิร์ฟเวอร์ทุกครั้ง
• บัญชีที่มีสิทธิ์สูงหรือเข้าถึงข้อมูลสำคัญควรใช้การพิสูจน์ตัวตนหลายปัจจัย (MFA) หรือ Digital ID ที่เหมาะสม เพื่อเพิ่มความมั่นคงปลอดภัย
• ห้ามแชร์บัญชี รหัสผ่าน OTP, Token, Recovery Code หรือ Session ให้บุคคลอื่น

5. HTTPS การเข้ารหัส และการปกป้องข้อมูล

• การรับส่งข้อมูลของระบบต้องใช้ HTTPS/TLS เพื่อป้องกันการดักฟังและการแก้ไขข้อมูลระหว่างทาง
• Secret, Token, API Key, Password และ Credential ต้องไม่ฝังใน Source Code หรือเปิดเผยใน Repository, Client-side JavaScript และ Log
• จำกัดการแสดงข้อมูลส่วนบุคคลตามความจำเป็นและสิทธิ์ของผู้ใช้งาน พร้อมใช้มาตรการ Masking/Redaction เมื่อเหมาะสม
• ข้อมูลสำรองต้องควบคุมสิทธิ์ ป้องกันการเข้าถึงโดยไม่ได้รับอนุญาต และทดสอบการกู้คืนเป็นระยะ
• ไฟล์อัปโหลดต้องตรวจ MIME Type, Extension, ขนาด, ชื่อไฟล์ และตำแหน่งจัดเก็บ พร้อมป้องกันไม่ให้ไฟล์อัปโหลดถูกประมวลผลเป็นสคริปต์บนเซิร์ฟเวอร์

6. System Hardening และโครงสร้างพื้นฐาน

Web Server, Web Application, ระบบปฏิบัติการ และฐานข้อมูลต้องตั้งค่าความปลอดภัยพื้นฐาน ลดบริการที่ไม่จำเป็น อัปเดตแพตช์ และจำกัด Remote Access ตามความจำเป็น โดยอาจพิจารณามาตรการป้องกันเพิ่มเติมตามระดับความเสี่ยงและทรัพยากรของหน่วยงาน เช่น Firewall, IDS/IPS, Antivirus/EDR และ Web Application Firewall (WAF)

ระบบควรควบคุมการใช้ Removable Storage Media การแบ่งปันข้อมูล และการเชื่อมต่อระยะไกล รวมถึงมีการสร้างความตระหนักด้าน Website Security ให้แก่ผู้ดูแลระบบและผู้เกี่ยวข้อง

7. Logging, Monitoring และการตรวจสอบย้อนหลัง

ระบบควรบันทึกเหตุการณ์สำคัญอย่างเพียงพอสำหรับการตรวจสอบย้อนหลัง เช่น การเข้าสู่ระบบ การเปลี่ยนสิทธิ์ การยื่นคำขอ การอนุมัติ การจัดรถ การเปลี่ยนสถานะ การแก้ไขข้อมูลสำคัญ ข้อผิดพลาด และ Request ID โดยหลีกเลี่ยงการบันทึกรหัสผ่าน Token หรือข้อมูลอ่อนไหวที่ไม่จำเป็น

หากระดับความเสี่ยงและทรัพยากรเหมาะสม อาจเชื่อม Log และ Alert เข้ากับระบบส่วนกลาง เช่น SIEM, XDR หรือ SOAR เพื่อเพิ่มประสิทธิภาพการตรวจจับและตอบสนองเหตุการณ์

8. การตอบสนองต่อเหตุการณ์ด้านความมั่นคงปลอดภัย

1. ตรวจพบและประเมินความรุนแรงของเหตุการณ์ พร้อมระบุระบบ บัญชี และข้อมูลที่อาจได้รับผลกระทบ
2. จำกัดผลกระทบ เช่น ระงับบัญชี Token หรือฟังก์ชันที่เกี่ยวข้อง และแยกทรัพยากรที่มีความเสี่ยงเมื่อจำเป็น
3. เก็บรักษาหลักฐานและ Log ที่จำเป็นโดยคงความถูกต้องของข้อมูลสำหรับการตรวจสอบ
4. กำจัดสาเหตุ แก้ไขช่องโหว่ เปลี่ยน Secret ที่เกี่ยวข้อง และทดสอบก่อนเปิดบริการกลับ
5. แจ้งผู้รับผิดชอบ IT/Cybersecurity, ผู้บริหาร และผู้เกี่ยวข้องตามระดับผลกระทบ รวมถึงดำเนินการตามกฎหมายหรือระเบียบอื่นที่เกี่ยวข้องหากเข้าข่าย
6. จัดทำ Post-Incident Review เพื่อป้องกันการเกิดซ้ำและปรับปรุงมาตรการควบคุม

9. หน้าที่ของผู้ใช้งาน

• ตรวจสอบ URL และสถานะ HTTPS ก่อนเข้าสู่ระบบ และไม่ป้อนข้อมูลรับรองบัญชีลงในเว็บไซต์ที่ไม่น่าเชื่อถือ
• ไม่เปิดไฟล์หรือลิงก์ต้องสงสัยจากข้อความที่อ้างว่าเป็นระบบโดยไม่ตรวจสอบแหล่งที่มา
• รายงานทันทีเมื่อพบข้อมูลผิดปกติ การเข้าถึงที่ไม่ได้รับอนุญาต บัญชีถูกยึด หรือพฤติกรรมที่อาจเป็นการโจมตี
• ไม่สแกน ทดสอบช่องโหว่ หรือพยายามข้ามมาตรการรักษาความปลอดภัยโดยไม่ได้รับอนุญาตจากผู้มีอำนาจอย่างชัดเจน

10. การทบทวนและประเมินตนเอง

ผู้รับผิดชอบระบบควรจัดทำ Self-Assessment ตามแบบตรวจรายการของมาตรฐานเว็บไซต์ภาครัฐอย่างน้อยปีละ 1 ครั้ง และทบทวนเพิ่มเติมเมื่อมีการเปลี่ยนแปลงระบบอย่างมีนัยสำคัญ พบช่องโหว่ระดับสูง หรือเกิดเหตุการณ์ด้านความมั่นคงปลอดภัย

ผลการประเมิน ค่าความเสี่ยง หลักฐานการทดสอบ ช่องโหว่ที่ตรวจพบ และแผนแก้ไขควรจัดเก็บในลักษณะที่ตรวจสอบย้อนหลังได้ และเสนอผู้มีอำนาจตามระดับผลกระทบที่กำหนด