ความปลอดภัยทางไซเบอร์และข้อมูล

แนวทางการบริหารจัดการ

1. กำหนดนโยบาย ขั้นตอน และแนวทางปฏิบัติด้านความมั่นคงปลอดภัยสารสนเทศและความเป็นส่วนตัวของข้อมูล โดยให้สอดคล้องกับมาตรฐานในระดับสากล เพื่อใช้เป็นกรอบการดำเนินภายในขององค์กร
2. แต่งตั้งคณะทำงานด้านระบบบริหารความมั่นคงปลอดภัยสารสนเทศ เพื่อปฏิบัติหน้าที่ในการขับเคลื่อนระบบบริหารความมั่นคงปลอดภัยสารสนเทศขององค์กรให้มีเสถียรภาพ มั่นคง ปลอดภัย สอดคล้องตามหลักมาตรฐานในระดับสากล
3. ประเมินความเสี่ยงด้านความมั่นคงปลอดภัยสารสนเทศและความเป็นส่วนตัวของข้อมูล พร้อมกำหนดมาตรการรักษาความปลอดภัยจากภัยคุกคามทางไซเบอร์ เพื่อป้องกันความเสี่ยงกรณีการรั่วไหลของข้อมูลส่วนบุคคลและข้อมูลองค์กรที่สำคัญ
4. สร้างความตระหนักรู้ด้านความมั่นคงปลอดภัยสารสนเทศให้กับบุคลากรในองค์กรทุกระดับ มีการสื่อสารและประชาสัมพันธ์ให้ทราบถึงข้อมูลข่าวสารที่สำคัญ รวมถึงการแจ้งเตือนภัยอย่างสม่ำเสมอ

การดำเนินงานและผลการดำเนินงาน

นโยบายระบบบริหารความมั่นคงปลอดภัยสารสนเทศ

บริษัทฯ ได้จัดทำนโยบายระบบบริหารความมั่นคงปลอดภัยสารสนเทศ (Information Security Management System Policy Statement) เพื่อกำหนดทิศทาง หลักการ และกรอบการทำงานด้านการบริหารจัดการความปลอดภัยของสารสนเทศ รวมถึงสร้างความรู้ความเข้าใจในเชิงรุก เพื่อส่งเสริมให้พนักงานปฏิบัติตามนโยบาย ขั้นตอนการปฏิบัติงาน รวมถึงกฎหมายที่เกี่ยวข้องกับความปลอดภัยสารสนเทศ

โครงสร้างระบบบริหารความมั่นคงปลอดภัยสารสนเทศ

ดูภาพขนาดใหญ่

บริษัทฯ ให้ความสำคัญต่อประเด็นความปลอดภัยของข้อมูลและความเป็นส่วนตัว จึงมีมติจากคณะกรรมการบริหาร โดยกรรมการผู้อำนวยการ (CEO) ให้มีการแต่งตั้งคณะทำงานด้านระบบบริหารความมั่นคงปลอดภัยสารสนเทศ เพื่อปฏิบัติหน้าที่ในการขับเคลื่อนระบบบริหารความมั่นคงปลอดภัยสารสนเทศขององค์กรให้มีเสถียรภาพ มั่นคง ปลอดภัย สอดคล้องตามหลักมาตรฐานในระดับสากล โดยการประเมินและควบคุมความเสี่ยงด้านความปลอดภัยสารสนเทศทั่วทั้งองค์กรอย่างสม่ำเสมอ พัฒนาและปรับปรุงแนวปฏิบัติและมาตรการรับมือเพื่อให้บุคลากรในองค์กรได้รับทราบและยึดถือนำไปปฏิบัติ พร้อมทั้งติดตามและรายงานผลการดำเนินงานด้านการบริหารความมั่นคงปลอดภัยสารสนเทศต่อคณะกรรมการบริหารเพื่อให้ได้รับทราบอย่างต่อเนื่อง ตลอดจนการเสริมสร้างความรู้ความเข้าใจและเผยแพร่ข้อมูลข่าวสารที่สำคัญในด้านการรักษาความมั่นคงปลอดภัยสารสนเทศให้กับบุคลากรในองค์กรทุกระดับ เพื่อยกระดับวัฒนธรรมองค์กรให้ตระหนักถึงความเสี่ยงดังกล่าว

การประเมินความเสี่ยงด้านความมั่นคงปลอดภัยสารสนเทศ

ปัจจุบันภัยคุกคามทางไซเบอร์มีหลากหลายประเภท ซับซ้อน และมีความถี่ของการโจมตีสูงขึ้นเรื่อยๆ บริษัทฯ จึงต้องดำเนินการประเมินความเสี่ยงดังกล่าวอย่างเข้มข้นและสม่ำเสมอ โดยแบ่งประเภทของความเสี่ยงออกเป็น 2 ด้าน ประกอบด้วย 1) ความเสี่ยงด้านระบบเทคโนโลยีสารสนเทศ และ 2) ความเสี่ยงด้านความเชี่ยวชาญของหน่วยงานและบุคลากร

ทั้งนี้ บริษัทฯ มีการซ้อมแผนรองรับความเสี่ยงและทดสอบระบบ เพื่อป้องกันการหยุดชะงักของระบบและการรั่วไหลของข้อมูลกับหน่วยงานที่มีโอกาสได้รับผลกระทบจากภัยคุกคามทางไซเบอร์ ครอบคลุมทั้งในส่วนโรงงานและสำนักงานใหญ่ โดยมีกระบวนการ ดังนี้

1. จัดทำแผนการซ้อมปฏิบัติการรองรับสถานการณ์ฉุกเฉินด้านไอทีโดยการจำลองสถานการณ์จริง
2. จำลองสถานการณ์จริงในระบบ Server ของสำนักงานใหญ่และโรงงาน เพื่อค้นหาช่องโหว่จากการถูกโจมตี
3. ทดสอบสแกนช่องโหว่ในระบบ เช่น ระบบอีเมล ระบบโปรแกรมบัญชี ระบบ Payroll และระบบ Ant- virus เป็นต้น
4. ดำเนินการวิเคราะห์ผลรายงานการสแกนช่องโหว่ ตรวจเช็ค และปิดช่องโหว่ที่อาจเกิดการถูกโจมตีจากทั้งภายในและภายนอก รวมทั้งทดสอบระบบอีกครั้งเพื่อลดความเสี่ยงและช่องโหว่ของการถูกโจมตี
5. รายงานผลการดำเนินงานต่อผู้บริหารระบบความมั่นคงปลอดภัยสารสนเทศ เพื่อนำเสนอต่อคณะกรรมการบริหารและคณะกรรมการบริหารความเสี่ยงต่อไป