การรักษาความปลอดภัยของข้อมูลสารสนเทศและข้อมูลส่วนบุคคล
ความสำคัญและพันธกิจ
ในยุคดิจิทัลที่ข้อมูลมีค่าสูง การรักษาความปลอดภัยของข้อมูลสารสนเทศและข้อมูลส่วนบุคคลจึงเป็นสิ่งสำคัญอย่างยิ่ง การที่บริษัทสามารถปกป้องข้อมูลเหล่านี้ได้ จะสร้างความน่าเชื่อถือและความไว้วางใจให้กับผู้มีส่วนได้ส่วนเสียทุกฝ่าย หากเกิดการรั่วไหลของข้อมูล อาจนำไปสู่ความเสียหายทางการเงิน ชื่อเสียง และความเชื่อมั่นของลูกค้า
บริษัทจึงให้ความสำคัญในการจัดการและปกป้องข้อมูลอย่างเหมาะสม เพื่อให้สอดคล้องกับกฎหมายและมาตรฐานสากล บริษัทมุ่งมั่นที่จะสร้างระบบที่ปลอดภัยและเชื่อถือได้ เพื่อให้ลูกค้าและผู้มีส่วนได้ส่วนเสียมั่นใจได้ว่าข้อมูลทั้งหมดได้รับการปกป้องอย่างดีที่สุด
การสนับสนุนเป้าหมายการพัฒนาที่ยั่งยืน
เป้าหมายที่ 9:
เป้าหมายและผลการดำเนินงาน
เป้าหมาย
ผลการดำเนินงาน
เป้าหมาย
ผลการดำเนินงาน
เป้าหมาย
ผลการดำเนินงาน
แนวทางการบริหารจัดการ
บริษัทตระหนักถึงการมีข้อมูลและสารสนเทศที่น่าเชื่อถือและนำมาเลือกใช้อย่างเหมาะสม เพื่อช่วยในการตัดสินใจและเพิ่มศักยภาพทางการแข่งขัน
โดยคณะกรรมการบริษัทกำหนดกรอบนโยบายการบริหารจัดการเทคโนโลยีสารสนเทศและมาตรการรักษาความมั่นคงปลอดภัยของระบบเทคโนโลยีสารสนเทศให้เป็นไปตามมาตรฐานที่ได้รับการยอมรับ และมีการติดตามทบทวนและปรับปรุงให้สอดคล้องและเหมาะสมกับความเสี่ยงด้านเทคโนโลยีสารสนเทศ รวมถึงอนุมัติแต่งตั้งให้รองกรรมการผู้จัดการ (บริหารทั่วไป) ทำหน้าที่เป็นผู้รับผิดชอบสูงสุดในด้านการปฏิบัติการในตำแหน่งประธานเจ้าหน้าที่บริหารด้านความปลอดภัยสารสนเทศ (Chief Security Officer: CSO) อีกตำแหน่งหนึ่งเพื่อดูแลด้านความมั่นคงปลอดภัยสารสนเทศอย่างใกล้ชิด รวมถึงมีการกำหนดนโยบายการรักษาความมั่นคงปลอดภัยไซเบอร์ เพื่อเป็นแนวทางปฏิบัติในการลดความเสี่ยงของการรั่วไหลของข้อมูลถูกทำลาย เปลี่ยนแปลง โดยบุคคลที่ไม่ได้รับอนุญาต และมีการพัฒนาระบบแจ้งเตือนเมื่อมีผู้บุกรุก โดยบริษัทมีผู้ดูแลระบบ รวมทั้งการกำหนดสิทธิ์เข้าใช้งานในระบบที่สำคัญต่าง ๆ มีการทบทวนสิทธิ์ทุกปี มีการสอบทานการเข้าถึงข้อมูลจาก Log File อย่างสม่ำเสมอและมีการพัฒนาเครื่องมือในการจัดการระบบ (Document Management Tools : DMT) โดยมีการดำเนินการดังนี้
จัดทำระบบสารสนเทศและรักษาความมั่นคงปลอดภัยทางไซเบอร์
เพื่อให้ข้อมูลของบริษัทสามารถรักษาความมั่นคงปลอดภัยที่เกี่ยวข้องกับการควบคุมการเข้าถึงและการใช้งานระบบสารสนเทศของบริษัทมีความน่าเชื่อถือและสามารถบริหารจัดการได้อย่างเหมาะสม บริษัทได้ดำเนินการตามนโยบายการใช้งานระบบสารสนเทศและระบบเครือข่ายสื่อสารข้อมูล และมีการปฏิบัติในภาพรวม ดังนี้
- ควบคุมการเข้าถึงและกำหนดสิทธิการเข้าใช้งานระบบสารสนเทศแบ่งตามหน้าที่รับผิดชอบในการใช้งาน
- กำหนดหน้าที่ความรับผิดชอบของผู้บริหาร ผู้ใช้งาน ผู้ดูแลระบบและมารยาทในการใช้งานระบบสารสนเทศของผู้ใช้งาน
- กำหนดให้อุปกรณ์เครือข่ายได้รับการตั้งค่าอย่างเหมาะสมกับพื้นที่ สภาพแวดล้อมที่เหมาะสมทางกายภาพและได้รับอนุญาตจากผู้ดูแลระบบ
- กำหนดวิธีการแลกเปลี่ยนข้อมูลที่เป็นความลับต้องทำการเข้ารหัสข้อมูลเพื่อความปลอดภัย
- ติดตั้งอุปกรณ์เซิร์ฟเวอร์อยู่ในพื้นที่ที่เหมาะสมและให้สิทธิเฉพาะผู้มีหน้าที่เกี่ยวข้อง
- จัดเตรียมอุปกรณ์ที่จำเป็นสำหรับการป้องกันการหยุดชะงักของระบบอย่างเหมาะสมและเพียงพอต่อการดำเนินงาน สามารถกู้คืนระบบได้ภายในระยะเวลาที่เหมาะสม
- จัดเตรียมระบบให้สามารถเก็บบันทึกประวัติการใช้งาน ระบบแจ้งเตือนสถานะการทำงาน และคู่มือการใช้งานเพื่อให้ผู้เกี่ยวข้องสามารถปฏิบัติและบำรุงรักษาอุปกรณ์ที่เกี่ยวข้องได้อย่างมีประสิทธิภาพ
นอกจากนี้ บริษัทจัดให้มีการทดสอบความรู้ความเข้าใจตามนโยบายการใช้งานระบบสารสนเทศและระบบเครือข่ายสื่อสารข้อมูล และระเบียบ ว่าด้วยวิธีปฏิบัติเกี่ยวกับการรักษาความมั่นคงปลอดภัยไซเบอร์ เพื่อให้พนักงานทุกคนตระหนักและเกิดความเข้าใจในการใช้งานผ่านระบบให้มากขึ้น และทุกครั้งที่มีการรับพนักงานเข้าใหม่ จะมีการอบรมปฐมนิเทศที่มีหัวข้อการใช้งานระบบสารสนเทศและความปลอดภัยไซเบอร์ด้วย
มาตรการป้องกันระบบเครือข่าย
- ผู้ดูแลระบบตรวจสอบความถูกต้องของการตั้งค่าความปลอดภัยของอุปกรณ์ป้องกันเครือข่าย (Firewall) หลังจากมีการปรับปรุงรุ่นของฐานข้อมูลความปลอดภัย (Firmware) ทุกครั้ง และบันทึกผลการตรวจสอบลงในทะเบียนคุมการปรับปรุงเวอร์ชันฐานข้อมูลความปลอดภัย (Firmware) ของอุปกรณ์ป้องกันเครือข่าย (Firewall)
- ผู้ดูแลระบบจัดทำรายงานบันทึกผลการทดสอบการติดตั้งแพตช์ (Patch) ของระบบที่สำคัญ เช่น ระบบปฏิบัติการ (Operation System) ระบบงาน (Application System) ระบบฐานข้อมูล (Database System) อุปกรณ์เครือข่าย (Network) อย่างเป็นลายลักษณ์อักษร ลงในทะเบียนคุมการปรับปรุงเวอร์ชันของระบบปฏิบัติการ ระบบงาน ระบบฐานข้อมูล เมื่อมีการปรับปรุงแพตช์ (Patch) ใหม่ทุกครั้ง
- ผู้ดูแลระบบตรวจสอบสถานะความพร้อมใช้งานของอุปกรณ์เครือข่ายและตรวจสอบพื้นที่ของทรัพยากรบนระบบเป็นประจำทุกวัน และจัดทำรายงานการตรวจสอบสถานะ Server เป็นประจำทุกเดือน
การรักษาความมั่นคงปลอดภัยของข้อมูลสารสนเทศ
- บริษัทกำหนดการใช้สื่อบันทึกข้อมูลให้มีการใช้อย่างถูกต้องเพื่อความปลอดภัยของข้อมูล หากมีการใช้งานกับเครื่องคอมพิวเตอร์ ให้ทำการสแกนอุปกรณ์ก่อนการใช้งานทุกครั้ง
- หากตรวจสอบพบสิ่งผิดปกติหรือตรวจสอบแล้วพบ Virus, Malware, Spamware, Ransomware ให้ทำการแจ้งประสานมายังฝ่ายสารสนเทศทันที
- ห้ามนำสื่อบันทึกข้อมูลไปเผยแพร่ หรือส่งผลให้ข้อมูลของบริษัทเกิดการรั่วไหล เพื่อควบคุมมิให้มีการนำไปใช้ภายนอกกิจการ
การทดสอบการเจาะระบบและแผนรองรับสถานการณ์ฉุกเฉิน
- บริษัทกำหนดให้มีการทดสอบการเจาะระบบ เพื่อประเมินและปรับปรุงคุณภาพของระบบการรักษาความปลอดภัย โดยการหาข้อผิดพลาดและปัญหาที่เกิดขึ้น และทำการแก้ไขปัญหา ทั้งนี้ การทดสอบมีความสำคัญต่อการป้องกันความปลอดภัย และมีความถูกต้องสมบูรณ์ มีประสิทธิภาพ พร้อมใช้งานจริง และช่วยให้เกิดความเชื่อมั่นในการใช้ต่อผู้ใช้งานระบบ
- บริษัทจัดทำแผนรองรับสถานการณ์ฉุกเฉินในกรณีที่เกี่ยวข้องกันกับภัยคุกคามทางไซเบอร์สำหรับระบบสำคัญของบริษัท เพื่อรองรับการดำเนินธุรกิจอย่างต่อเนื่อง กรณีที่ถูกโจมตีจากไวรัส และถูกก่อกวนจากภัยคุกคามทางไซเบอร์
- การทดสอบแผนรองรับสถานการณ์ฉุกเฉิน (TESTING THE PLAN) ด้วยการทดสอบแผนบางส่วนหรือทั้งหมดเป็นประจำทุกปี เพื่อให้มั่นใจว่าหน่วยงานมีการเตรียมตัวและมีความสามารถในการคืนธุรกิจสำคัญภายในระยะเวลาที่กำหนดไว้ สำหรับหน่วยงานซึ่งมีการปฏิบัติงานที่สำคัญ มีการทดสอบแผนโดยการสร้างสถานการณ์จำลอง (simulation exercises) เป็นประจำทุกปี โดยมีการปรับเปลี่ยนหมุนเวียนสถานการณ์จำลอง เพื่อให้แน่ใจว่าได้มีการทดสอบความสูญเสียเสียหายของปัจจัยหลักที่เกี่ยวข้อง ทุก ๆ 2 ปี ทั้งนี้ หากมีข้อบกพร่องใด ๆ (gap) ที่เกิดจากการทดสอบแผน จะมีการติดตามให้เสร็จสิ้นภายใน 3 เดือนนับตั้งแต่วันที่ทดสอบ ถ้าไม่สามารถดำเนินการติดตามได้ตามเวลาที่กำหนด ทีมงานตอบสนองแผนกู้คืนระบบ (DRP Response Team) จะร่วมกันพิจารณาแนวทางแก้ไขข้อบกพร่องให้หมดโปโดยเร็ว และมีการทบทวนแผนการทบทวนและปรับปรุงกระบวนการรับมือเหตุการณ์ผิดปกติทางไซเบอร์อย่างน้อยปีละ 1 ครั้ง
การกำหนดสิทธิในการเข้าใช้งานระบบสารสนเทศ
- บริษัทมีการกำหนดสิทธิในการเข้าถึงและการใช้งานของระบบสารสนเทศของบริษัทมีการกำหนดรหัสผ่านระดับผู้ปฏิบัติการ หรือผู้ใช้งานระบบของบริษัทฯ (Application System) และระดับผู้ดูแลระบบงานของบริษัทฯ (Administrator)
- บริษัทมีการกำหนดอายุของรหัสผ่าน เนื่องจากระบบปฏิบัติการพื้นฐานจะต้องมีการใช้งานร่วมกับ Application ที่มีการเชื่อมต่อกับฐานข้อมูลหลักอยู่ตลอดเวลา และมีผู้ที่มีสิทธิ์ในการเข้าถึงเพื่อบริหารจัดการและควบคุม เครื่องคอมพิวเตอร์แม่ข่ายให้สามารถใช้งานได้อย่างต่อเนื่อง ไม่หยุดชะงัก ทั้งนี้ ได้ประเมินแล้วว่าจะไม่เป็นความเสี่ยงต่อความปลอดภัยของการเข้าถึงระบบ
ผลการดำเนินงานด้านระบบสารสนเทศของบริษัทในปี 2567
มีการประเมินตนเองตามแนวทางของ Cobit Framework
100% ของโครงสร้างพื้นฐานด้านไอทีได้รับการรับรองโดยมาตรฐานด้านไอทีระดับสากล
ไม่มีข้อร้องเรียนที่เกี่ยวข้องกับความปลอดภัยของข้อมูลและการโจมตีทางไซเบอร์
ไม่ได้รับผลกระทบหรือความเสียหายจากการถูกเจาะระบบ
การคุ้มครองข้อมูลส่วนบุคคล
บริษัทให้ความสำคัญกับการรักษาความปลอดภัยของข้อมูลส่วนบุคคลผ่านมาตรการรักษาความมั่นคงปลอดภัยในการเข้าถึงข้อมูลส่วนบุคคลที่เข้มงวด และตระหนักถึงการรักษาความปลอดภัยของข้อมูลส่วนบุคคลตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 รวมถึงฉบับแก้ไขเพิ่มเติม จึงได้กำหนดนโยบายการคุ้มครองข้อมูลส่วนบุคคล ตามวัตถุประสงค์ในการรวบรวม จัดเก็บ ใช้ ข้อมูลส่วนบุคคลตามแหล่งที่มาของข้อมูล โดยจะแจ้งให้เจ้าของข้อมูลทราบถึงรายละเอียดดังกล่าวก่อนได้รับความยินยอมและ/หรือเปิดเผยข้อมูลส่วนบุคคลทุกครั้ง ทั้งนี้ จะบอกกล่าวถึงข้อยกเว้นในการขอความยินยอมจากเจ้าของข้อมูล มาตรการรักษาความปลอดภัย ข้อจำกัดในการนำข้อมูลไปใช้และคุณภาพของข้อมูล ระยะเวลาในการเก็บรักษาและการทำลายข้อมูล สิทธิเกี่ยวกับข้อมูล เจ้าหน้าที่คุ้มครองข้อมูล ความรับผิดชอบของบุคคลที่เกี่ยวข้องกับการรวบรวม จัดเก็บ ใช้ และเปิดเผยข้อมูลส่วนบุคคล
ในช่องทางเว็บไซต์ของบริษัทจะสื่อสารนโยบายการคุ้มครองข้อมูลส่วนบุคคลให้ผู้ใช้งานได้ทราบ รวมถึงนโยบายการใช้งานคุกกี้ (Cookies Notice) และประกาศความเป็นส่วนตัว (Privacy Notice) ตามสิทธิของผู้ใช้งานในฐานะเจ้าของข้อมูลส่วนบุคคลด้วย
มาตรการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล
บริษัทตระหนักถึงความสำคัญของการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล โดยกำหนดให้มีมาตรการในการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลอย่างเหมาะสมและสอดคล้องกับการรักษาความลับของข้อมูลส่วนบุคคลเพื่อป้องกันการสูญหาย การเข้าถึง ทำลาย ใช้ เปลี่ยนแปลง แก้ไขหรือเปิดเผยข้อมูลส่วนบุคคลโดยไม่มีสิทธิหรือโดยไม่ชอบด้วยกฎหมาย ตลอดจนการป้องกันไม่ให้มีการนำข้อมูลส่วนบุคคลไปใช้โดยมิได้รับอนุญาต สอดคล้องกับมาตรฐานความมั่นคงปลอดภัยสารสนเทศ ISO/IEC27001
งนี้ ข้อมูลส่วนบุคคลที่บริษัทได้รับมา เช่น ชื่อ อายุ ที่อยู่ หมายเลขโทรศัพท์ หมายเลขบัตรประชาชน ข้อมูลทางการเงิน บุคคลในครอบครัว เป็นต้น ซึ่งสามารถบ่งบอกตัวบุคคลของเจ้าของข้อมูลได้ และเป็นข้อมูลส่วนบุคคลที่มีความถูกต้องและเป็นปัจจุบัน จะถูกนำไปใช้ให้เป็นไปตามวัตถุประสงค์การดำเนินงานของบริษัท และภายใต้กฎหมายที่เกี่ยวข้องเท่านั้น และบริษัทจะดำเนินมาตรการที่เหมาะสมเพื่อคุ้มครองสิทธิของเจ้าของข้อมูลส่วนบุคคล
ระยะเวลาในการเก็บรักษาและการทำลายข้อมูลส่วนบุคคล
สิทธิเกี่ยวกับข้อมูลส่วนบุคคล
การบันทึกกิจกรรมการประมวลผลข้อมูลส่วนบุคคล (ROPA)
บริษัทดำเนินการประมวลผลข้อมูลส่วนบุคคลตามข้อกำหนดภายใต้กฎหมายคุ้มครองข้อมูลส่วนบุคคล (PDPA) ที่องค์กรต้องจัดทำเพื่อแสดงให้เห็นว่าได้ดำเนินการประมวลผลข้อมูลส่วนบุคคลอย่างถูกต้องและโปร่งใส โดยมีขั้นตอนการดำเนินการดังต่อไปนี้
- กำหนดข้อมูลที่ต้องบันทึก ตามประเภทของข้อมูลส่วนบุคคลที่เก็บรวบรวม วัตถุประสงค์ของการเก็บรวบรวมข้อมูล ประเภทของเจ้าของข้อมูลส่วนบุคคล ผู้รับข้อมูล (ทั้งภายในและภายนอกองค์กร) ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคล ระยะเวลาการเก็บรักษาข้อมูล สิทธิของเจ้าของข้อมูล และมาตรการรักษาความปลอดภัยของข้อมูล
- สำรวจและจัดทำเอกสาร ROPA ตามรูปแบบที่กฎหมายกำหนด บันทึกข้อมูลที่เกี่ยวข้องกับการประมวลผลข้อมูลส่วนบุคคลทั้งหมดจากฝ่ายงานต่างๆ
- ทบทวนเอกสารอย่างสม่ำเสมอ โดยตรวจสอบให้แน่ใจว่า ROPA มีความถูกต้องและเป็นปัจจุบัน แก้ไขหรือปรับปรุงเมื่อมีการเปลี่ยนแปลงกระบวนการประมวลผลข้อมูล
บริษัทจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (Data Protection Officer: DPO) และประกาศช่องทางในการติดต่อสื่อสาร ดังนี้
- เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) : นายพิธักษ์ ทาคำ
- สำนักงานใหญ่ : บริษัท ศักดิ์สยามลิสซิ่ง จำกัด (มหาชน) เลขที่ 49/47 ถนนเจษฎาบดินทร์ ตำบลท่าอิฐ อำเภอเมืองอุตรดิตถ์ จังหวัดอุตรดิตถ์ 53000
- โทรศัพท์ : 088-7764049 หรือ 065-4727093
- ไปรษณีย์อิเล็กทรอนิกส์ : dpo@saksiam.co.th
ผู้มีส่วนได้เสียที่เกี่ยวข้อง
ผู้ถือหุ้น
พนักงาน
ลูกค้า
คู่ค้า
เจ้าหนี้
ชุมชนและสังคม
หน่วยงานราชการ และองค์กรกำกับดูแล
