-------------------------------------------------------------------------- นโยบายและแนวปฏบตในการรกษาความมนคงปลอดภยดานสารสนเทศ กรมทดน โดยสานกเทคโนโลยสารสนเทศ

นโยบายและแนวปฏบตในการรกษาความมนคงปลอดภยดานสารสนเทศ กรมทดน ๑. คานา

ระบบเทคโนโลยสารสนเทศและการสอสารของกรมทดน เปนระบบทมความสาคญตอการใหบรการประชาชน หนวยงานภาครฐ และเอกชน รวมทงการใชงานภายในกรมทดนสวนกลาง และสานกงานทดน ทวประเทศ ดงนน เพอใหการดาเนนธรกรรมดวยวธการทางอเลกทรอนกส การปฏบตงานและบรหารราชการไดอยางเหมาะสม มประสทธภาพ มความมนคงปลอดภยเชอถอได และสามารถดาเนนงานไดอยางตอเนอง ประกอบกบพระราชกฤษฎกากาหนดหลกเกณฑและวธการในการทาธรกรรมทางอเลกทรอนกสภาครฐ พ.ศ. ๒๕๔๙ มาตรา ๕ มาตรา ๖ และมาตรา ๗ กาหนดใหหนวยงานของรฐตองจดทานโยบายและแนวปฏบต ในการรกษาความม นคงปลอดภยดานสารสนเทศ โดยใหผานความเหนชอบของคณะกรรมการธรกรรมอเลกทรอนกสกอน จงมผลบงคบใช กรมทดนจงไดจดทานโยบายและแนวปฏบตในการรกษาความมนคงปลอดภยดานสารสนเทศ กรมทดน

๒. วตถประสงค ๒.๑ เพอใหการดาเนนงานระบบเทคโนโลยสารสนเทศและการสอสารของกรมทดนมความมนคง

ปลอดภย สามารถใชงานไดอยางตอเนองและมประสทธภาพอนจะทาใหการดาเนนธรกรรมมความถกตองเชอถอไดตามมาตรฐานการรกษาความมนคงปลอดภยในการประกอบธรกรรมทางอเลกทรอนกส

๒.๒ เพอกาหนดแนวทางปฏบตใหผบรหาร ผดแลระบบ และเจาหนาทผใชงานระบบ ตระหนกถงความสาคญของการรกษาความมนคงปลอดภย ในการใชงานระบบเทคโนโลยสารสนเทศและการสอสาร ของกรมทดน

๒.๓ เพอปองกนเจาหนาทผใชงานและผเกยวของไมใหกระทาความผดตามพระราชบญญตวาดวยการกระทาความผดเกยวกบคอมพวเตอร พ.ศ. ๒๕๕๐

๓. กาหนดคานยาม คานยามทใชในนโยบายน ประกอบดวย “ผใชงาน” หมายถง บคคลทไดรบอนญาต ใหสามารถเขาใชงาน บรหาร หรอดแลรกษาระบบ

เทคโนโลยสารสนเทศและการสอสารของกรมทดน โดยมสทธและหนาทขนอยกบบทบาทซงกรมทดนกาหนดไดแกบคคล ดงน

- “ผบรหาร” หมายถง อธบดหรอผทอธบดมอบหมายใหดแลรบผดชอบดานเทคโนโลยสารสนเทศและการสอสารของกรมทดน

- “ผดแลระบบ” หมายถง ผอานวยการสานกเทคโนโลยสารสนเทศ หรอผไดรบมอบหมายใหควบคมดแลบรหารจดการระบบเทคโนโลยสารสนเทศและการสอสารของกรมทดน

- “เจาหนาท” หมายถง บคลากรในสงกดกรมทดน และรวมถงบคคลภายนอกซงไดรบอนญาตใหเขาใชงานระบบเทคโนโลยสารสนเทศและการสอสารของกรมทดน “สทธของผใชงาน” หมายถง อานาจอนชอบธรรมทผใชงานไดรบมอบหมายในการเขาสระบบเทคโนโลยสารสนเทศและการสอสารของกรมทดน

“สนทรพย” หมายถง ขอมลคอมพวเตอร ระบบคอมพวเตอร และทรพยสนดานเทคโนโลยสารสนเทศและการสอสารของกรมทดน เชน อปกรณระบบเครอขาย ซอฟตแวรทมลขสทธ

-------------------------------------------------------------------------- นโยบายและแนวปฏบตในการรกษาความมนคงปลอดภยดานสารสนเทศ กรมทดน โดยสานกเทคโนโลยสารสนเทศ

-๒-

“การเขาถงหรอควบคมการใชงานสารสนเทศ” หมายถง การควบคมและจากดสทธการใชระบบ

เทคโนโลยสารสนเทศและการสอสารของกรมทดน ทเกยวกบการใหบรการและขอมลตามความจาเปน ในการใชงาน มการปองกนการลกลอบการเขาถงระบบโดยผทไมมสทธทงจากภายในและภายนอกกรมทดน

“ความมนคงปลอดภยดานสารสนเทศ” หมายถง การคงไวซงความลบ ความถกตองสมบรณ และความพรอมใชงานของขอมลในระบบเทคโนโลยสารสนเทศและการสอสารของกรมทดน “เหตการณดานความมนคงปลอดภย” (Security incidents) หมายถง เหตการณทเกดขนกบระบบเทคโนโลยสารสนเทศและการสอสารของกรมทดนหรอเหตการณทสงสยวาจะเปนจดออนหรอสราง ความเสยหายไดในทสด ซงสงผลใหเปนการละเมดนโยบายในการรกษาความมนคงปลอดภยดานสารสนเทศ ของกรมทดน เชน การอนญาตใหผอนเขาใชงานระบบ การไมกาหนดรหสผานในการเขาใชงานระบบ การเปดเผยเอกสารสาคญใหบคคลภายนอกลวงร โปรแกรมไมพงประสงค ระบบถกบกรกทางเครอขาย หรอการเปดเผยขอมลสาคญโดยไมไดรบอนญาต

“สถานการณดานความมนคงปลอดภยทไมพงประสงคหรอไมอาจคาดคด” ไดแก สถานการณทผดแลระบบไมตองการใหเกดขนหรอสรางความเสยหายกบระบบเทคโนโลยสารสนเทศและการสอสาร ของกรมทดน โดยผดแลระบบไมไดคาดการณไววาจะเกดขน เชนโปรแกรมไมพงประสงค โปรแกรมทางานผดพลาดหรอไมถกตอง ระบบถกบกรกทางเครอขาย ขอมลสาคญถกเปลยนแปลงหรอสญหาย หนาเวบไซตถกเปลยนแปลง การเปดเผยขอมลสาคญโดยไมไดรบอนญาต ระบบถกโจมตจนไมสามารถใหบรการได การหยดชะงกของระบบคอมพวเตอรและเครอขาย หรอเหตการณอน ๆ ทเปนการละเมดนโยบายความมนคงปลอดภยของกรมทดน

“สานกเทคโนโลยสารสนเทศ” หมายถง หนวยงานท ดาเนนการเกยวกบระบบสารสนเทศ และระบบงานคอมพวเตอรและเปนศนยกลางเครอขายขอมลสารสนเทศของกรมทดน โดยมหนาทศกษา วเคราะหเพอพฒนาระบบสารสนเทศและระบบงานคอมพวเตอรของกรมทดน และปฏบตงานรวมกบหรอสนบสนนการปฏบตงานของหนวยงานอนทเกยวของ

“ขอมลคอมพวเตอร” หมายถง ขอมล ขอความ คาสง ชดคาสง หรอสงอนใด บรรดาทอยในระบบคอมพวเตอรในสภาพทระบบคอมพวเตอรอาจประมวลผลได และใหหมายความรวมถงขอมลอเลกทรอนกสตามกฎหมายวาดวยธรกรรมทางอเลกทรอนกส

“ระบบคอมพวเตอร” หมายถง อปกรณหรอชดอปกรณของคอมพวเตอรท เชอมการทางาน เขาดวยกนโดยไดมการกาหนดคาสง ชดคาสง หรอสงอนใด และแนวทางปฏบตงานใหอปกรณ หรอ ชดอปกรณทาหนาทประมวลผลขอมลโดยอตโนมต

“ระบบเครอขายสอสาร” หมายถง ระบบทสามารถใชในการตดตอสอสาร หรอการเชอมโยง หรอการสงขอมลสารสนเทศระหวางระบบเทคโนโลยสารสนเทศตาง ๆ ของกรมทดน ซงการเชอมโยงเปนได ทงในรปแบบใชสายและแบบไรสาย โดยระบบเครอขายสอสาร ไดแก ระบบเครอขายระยะใกล (Local Area Network: LAN) ระบบเครอขายระยะไกล (Wide Area Network: WAN) ระบบอนทราเนต (Intranet) และระบบอนเทอรเนต (Internet)

“ระบบเครอขายสอสารระยะใกล” หมายถง เครอขายทเชอมโยงกนในพนทใกลเคยงกน “ระบบเครอขายสอสารระยะไกล” หมายถง เครอขายเชอมโยงกนในระยะทางทหางไกล “ระบบอนทราเนต” หมายถง ระบบเครอขายสอสารภายในทเชอมตอระบบคอมพวเตอรตาง ๆ ภายในหนวยงานเขาดวยกน เปนเครอขายทมจดประสงคเพอการตดตอสอสารแลกเปลยนขอมล และสารสนเทศภายในกรมทดน

-------------------------------------------------------------------------- นโยบายและแนวปฏบตในการรกษาความมนคงปลอดภยดานสารสนเทศ กรมทดน โดยสานกเทคโนโลยสารสนเทศ

-๓-

“ระบบอนเทอรเนต” หมายถง ระบบเครอขายสอสารท เชอมตอระบบคอมพวเตอรตาง ๆ ของกรมท ดน

เขากบระบบเครอขายสอสารอนเทอรเนตทวโลก “สารสนเทศ” หมายถง ขอมลทผานการประมวลผล การจดระเบยบ ซงอาจอยในรปของตวเลข

ขอความ หรอภาพกราฟก ใหเปนระบบทผใชสามารถเขาใจไดงาย และนาไปใชประโยชนในการบรหาร การวางแผน การตดสนใจ และอน ๆ

“ระบบเทคโนโลยสารสนเทศและการสอสาร” หมายถง ระบบงานของกรมทดนทประกอบดวยระบบคอมพวเตอร ระบบฐานขอมล ระบบเครอขายสอสาร เจาหนาทผใชระบบ เจาหนาทผพฒนาระบบ เจาหนาทผจดการดแลระบบ และผบรหารของกรมทดน นามาทางานรวมกนเพอกาหนดวตถประสงค รวบรวมจดเกบขอมล ประมวลผลขอมล และสงผลลพธหรอสารสนเทศทไดใหผใชระบบและผบรหารของกรมทดนสามารถนามาใชประโยชนในการวางแผนเพอชวยสนบสนนการปฏบตงาน การตดสนใจ การบรหาร การวเคราะห และตดตามผลการดาเนนงานของหนวยงานระดบตาง ๆ ของกรมทดน

“พนทใชงานระบบเทคโนโลยสารสนเทศ” หมายถง พนททกรมทดนอนญาตใหมการใชงานระบบเทคโนโลยสารสนเทศและการสอสาร โดยแบงเปน (๑) พนททางานทวไป หมายถง พนทตดตงเครองคอมพวเตอรสวนบคคล และเครองคอมพวเตอรแบบพกพา ทใชงานประจาโตะทางาน

(๒) พนททางานของผดแลระบบ (๓) พนทตดตงอปกรณระบบเทคโนโลยสารสนเทศหรอระบบเครอขายสอสาร

(๔) พนทจดเกบขอมลคอมพวเตอร (๕) พนทใชงานระบบเครอขายไรสาย “รหสผาน (Password)” หมายถง ตวอกษรหรออกขระหรอตวเลข ทใชเปนเครองมอในการตรวจสอบยนยน

ตวบคคล เพอควบคมการเขาถงขอมลและระบบขอมลในการรกษาความมนคงปลอดภยของขอมล และระบบเทคโนโลยสารสนเทศและการสอสาร

“การรกษาความมนคงปลอดภยดานสารสนเทศ” หมายถง การดาเนนการรกษาความมนคงปลอดภยสาหรบระบบเทคโนโลยสารสนเทศและการสอสารของกรมทดน ประกอบดวยคณสมบตพนฐาน ๓ ประการ ดงน (๑) การรกษาความลบ (Confidentiality) คอ การเกบรกษาขอมลไวเปนความลบและจะม เพยงผมสทธเทานนทจะสามารถเขาถงขอมลเหลานนได (๒) บรณภาพ (Integrity) คอ การรบรองวาขอมลจะไมถกกระทาการใด ๆ อนมผลใหเกดการเปลยนแปลงหรอแกไขจากผซงไมมสทธ ไมวาการกระทานนจะมเจตนาหรอไมกตาม (๓) ความพรอมใชงาน (Availability) คอ การรบรองไดวาขอมลหรอระบบเทคโนโลยสารสนเทศและการสอสารทงหลายพรอมทจะใหบรการในเวลาทตองการใชงาน

“วธการปฏบต” หมายถง รายละเอยดทบอกขนตอนเปนขอ ๆ ทตองนามาปฏบตเพอใหไดมา ซงมาตรฐานทไดกาหนดไวตามวตถประสงค

“แนวปฏบต” หมายถง แนวทางทไมไดบงคบใหปฏบต แตแนะนาใหปฏบตตามเพอใหสามารถบรรลเปาหมายไดงายขน “ชดคาสงไมพงประสงค” (Malware) หมายถง ชดคาสงทมผลทาใหระบบเทคโนโลยสารสนเทศ และการสอสาร เกดความเสยหาย ถกทาลาย ถกแกไขเปลยนแปลงหรอเพมเตม ขดของหรอปฏบตงานไมตรงตามคาสงทกาหนดไว

-------------------------------------------------------------------------- นโยบายและแนวปฏบตในการรกษาความมนคงปลอดภยดานสารสนเทศ กรมทดน โดยสานกเทคโนโลยสารสนเทศ

-๔-

“จดหมายอเลกทรอนกส (e-mail)” หมายถง ระบบทบคคลใชในการรบสงขอความระหวางกน โดยผานเครองคอมพวเตอรและเครอขายสอสารทเชอมโยงถงกน ขอมลทสงจะเปนไดทงตวอกษร ภาพถาย ภาพกราฟฟก ภาพเคลอนไหว และเสยง ผสงสามารถสงขาวสารไปยงผรบคนเดยวหรอหลายคนกได มาตรฐานทใชในการรบสงขอมลชนดน เชน SMTP, POP3 หรอ IMAP ๔. นโยบายการรกษาความมนคงปลอดภยดานสารสนเทศ กรมทดน

ใหผบรหารเทคโนโลยสารสนเทศระดบสง (CIO) เปนผควบคม ดแล และรบผดชอบตอความเสยง ความเสยหาย หรออนตรายทอาจเกดขนกรณระบบเทคโนโลยสารสนเทศและการสอสารหรอขอมลสารสนเทศ เกดความเสยหายหรออนตรายใด ๆ แกกรมทดนหรอผหนงผใดอนเนองมาจากความบกพรอง ละเลยหรอฝาฝนการปฏบตตามนโยบายและแนวปฏบตในการรกษาความมนคงปลอดภยดานสารสนเทศ กรมท ด น และใหผ อานวยการสานกเทคโนโลยสารสนเทศ เป นผ ร บผ ดชอบในการควบคม ดแล ใหการปฏบตงานเปนไปตามนโยบายและแนวปฏบตฯ ๔.๑ การรกษาความมนคงปลอดภยของการเขาถงและการควบคมการใชงานสารสนเทศ และระบบเทคโนโลยสารสนเทศและการสอสาร เ ปนการกาหนดชอผ ใชงาน และรหสผานตามสทธในการเขาถงขอมล เครอขาย ระบบปฏบตการ รวมถงโปรแกรมประยกตหรอแอพลเคชน และสารสนเทศตาง ๆ และมการควบคม การเขาถงระบบเครอขายสอสารเพอปองกนการบกรกผานระบบเครอขายสอสารจากโปรแกรมชดคาสง ไม พงประสงค ทจะสรางความเสยหายแกขอมลหรอการทางานของระบบเทคโนโลยสารสนเทศ และการสอสารใหหยดชะงก รวมทงมการจดเกบขอมลจราจรทางคอมพวเตอรเพอใหสามารถตรวจสอบตดตามพสจนตวบคคลทเขาใชงานระบบเทคโนโลยสารสนเทศและการสอสารของกรมทดนได ๔.๒ การรกษาความมนคงปลอดภยการควบคมการเขาออกศนยสารสนเทศ เปนการควบคมการเขาออกศนยสารสนเทศทดน และควบคมความเปนระเบยบเรยบรอยของอปกรณและสถานทภายในศนยสารสนเทศทดน ๔.๓ การรกษาความมนคงปลอดภยการใชงานเครองคอมพวเตอร เปนการกาหนดแนวทางการใชงานของผใชงานระบบใหสามารถใชงานเครองคอมพวเตอรและอปกรณไดอยางปลอดภยและมประสทธภาพ ๔.๔ การรกษาความมนคงปลอดภยการใชงานอนเทอรเนตและจดหมายอเลกทรอนกส เปนการกาหนดแนวทางใหผใชงานสามารถใชงานอนเทอรเนต และจดหมายอเลกทรอนกส ไดอยางถกตอง ปลอดภยและไมขดตอพระราชบญญตวาดวยการกระทาความผดเกยวกบคอมพวเตอร พ.ศ. ๒๕๕๐ และกฎหมายอนทเกยวของ

๔.๕ การรกษาความมนคงปลอดภยการบรหารจดการสนทรพยและเครอขายสอสาร เปนการกาหนดการควบคมและบรหารจดการสนทรพยและเครอขายสอสาร ใหมความมนคงปลอดภยและพรอมใชงานอยเสมอ ๔.๖ การรกษาความมนคงปลอดภยการสารองและกคนขอมล เปนการกาหนดแนวทางการสารองและกคนขอมลทกระบบ และจดทาแผนฉกเฉนในกรณ ทระบบไมสามารถดาเนนการดวยวธทางอเลกทรอนกสได ๔.๗ การรกษาความมนคงปลอดภยดานการประเมนความเสยงของระบบเทคโนโลยสารสนเทศ

เปนการกาหนดแนวทางการจดทาแผนประเมนความเสยง และแผนฉกเฉนกรณเกดภยพบต ๔.๘ การสรางความตระหนกในเรองการรกษาความมนคงปลอดภยดานสารสนเทศ เปนการสงเสรมใหบคลากรของกรมทดนตระหนกถงเรองของการรกษาความมนคงปลอดภยของระบบสารสนเทศ กรมทดน ตามนโยบายและแนวทางปฏบตทกาหนด

-------------------------------------------------------------------------- นโยบายและแนวปฏบตในการรกษาความมนคงปลอดภยดานสารสนเทศ กรมทดน โดยสานกเทคโนโลยสารสนเทศ

-๕-

๕. แนวปฏบตในการรกษาความมนคงปลอดภยดานสารสนเทศกรมทดน

๕.๑ การรกษาความมนคงปลอดภยของการเขาถงและการควบคมการใชงานสารสนเทศ และระบบเทคโนโลยสารสนเทศและการสอสาร

๕.๑.๑ การควบคมการเขาถงสทธของผใชงาน (๑) มการกาหนดสทธของผใชงานในการเขาถงระบบ โดยพจารณาจากหนาท

ความรบผดชอบในขอมลของผใชงานแตละกลมงาน (๒) ผใชงานตองทาหนงสอขอมสทธเปนลายลกษณอกษร ใหกบสานกเทคโนโลย

สารสนเทศ หรอหนวยงานทไดรบมอบหมาย (๓) ผอานวยการสานกเทคโนโลยสารสนเทศ หรอผทไดรบมอบหมาย เปนผ

พจารณาอนญาต ๕.๑.๒ การบรหารจดการสทธผใชงาน

(๑) ผดแลระบบเทคโนโลยสารสนเทศ ไดกาหนดสทธการเขาถงระบบเทคโนโลยสารสนเทศและการสอสารนน ๆ ใหเหมาะสมกบการเขาใชบรการของผใชงาน และหนาทความรบผดชอบ ของผใชงานเปนไปตามระเบยบทกรมทดนกาหนด รวมทงมการทบทวนสทธการเขาใชงานเมอผใชมการยาย/เปลยนตาแหนงงานใหม/ลาออก/เกษยณ ภายในกรมทดนอยางสมาเสมอ หรออยางนอยปละ ๑ ครง

(๒) ผดแลระบบตองกาหนดสทธบญชรายชอผใชงานรายใหมและรหสผาน สาหรบการใชงานครงแรก เพอใชในการตรวจสอบตวตนจรงของผใชงานระบบเทคโนโลยสารสนเทศและการสอสาร

(๓) เมอเจาหนาทลาออก หรอเปลยนแปลงหนาทความรบผดชอบในระบบทขอสทธการใชงาน ใหสานก/กอง/สานกงานท ดน แจงสานกเทคโนโลยสารสนเทศทนท เพอถอดถอนสทธ ของผทลาออกหรอเปลยนสทธในระบบทนททไดรบแจง

(๔) กรณมความจาเปนตองใหสทธพเศษกบผใชงาน ตองมการพจารณาการควบคมผใชทมสทธพเศษนนอยางรดกมเพยงพอ โดยควบคมการใชงานอยางเขมงวด เชนกาหนดใหมการควบคม การใชงานเฉพาะกรณจาเปนเทานน กาหนดระยะเวลาการใชงานและระงบการใชงานทนทเมอพนระยะเวลาดงกลาว และมการเปลยนรหสผานอยางเครงครดทกครงหลงหมดความจาเปนในการใชงาน หรอในกรณทมความจาเปนตองใชงานเปนระยะเวลานานตองเปลยนรหสผานทก ๓ เดอน และตองไดรบความเหนชอบ และอนมตจากผอานวยการสานกเทคโนโลยสารสนเทศหรอผไดรบมอบหมาย

(๕) หามผใชงานซงไมไดรบสทธใหเขาใชงานบกรกเขาใชงานระบบเทคโนโลยสารสนเทศและการสอสาร ไมวาดวยวธการใด ๆ

๕.๑.๓ การบรหารจดการรหสผานสาหรบผใชงาน (๑) ผ ดแลระบบมการกาหนดรหสผานเรมตนใหกบผใชงาน หรอใชระบบ

การกาหนดรหสผานอตโนมต และระบบตองไมแสดงรหสผานใหเหนบนหนาจอ (๒) ระบบตองกาหนดใหผใชงานตองเปลยนรหสผานเมอเขาระบบครงแรก

(๓) ระบบมการกาหนดจานวนครงทยอมใหผใชงานใสรหสผานผด ไมเกน ๓ ครง (๔) ผดแลระบบมการกาหนดระยะเวลาการเปลยนรหสผาน โดยพจารณาจากลาดบชนความลบของขอมล หรอความสาคญตามภารกจ โดยกาหนดใหระบบมการบนทกประวตการเปลยนรหสผาน เพอปองกนการใชรหสซา เชน ระบบสารบรรณอเลกทรอนกสตองเปลยนรหสผานอยางนอยทก ๆ ๖ เดอน ระบบงานใหบรการในสานกงานทดนตองเปลยนรหสผานอยางนอยทก ๆ ๓ เดอน (๕) การแจงปญหาการใชงานชอผใชงานและรหสผาน ใหผใชงานตดตอผดแลระบบ เชน ลมชอผใชงานหรอรหสผาน

-------------------------------------------------------------------------- นโยบายและแนวปฏบตในการรกษาความมนคงปลอดภยดานสารสนเทศ กรมทดน โดยสานกเทคโนโลยสารสนเทศ

-๖-

(๖) การสงมอบรหสผานใหกบผใชงานตองเปนไปอยางปลอดภย โดยใสซองปดผนก

และประทบตรา “ลบ” และสงไปยงผใชงานพรอม “แนวปฏบตสาหรบการใชงานรหสผาน” รวมทงแจงใหผใชงานปฏบตตามแนวปฏบตโดยเครงครด (๗) ผใชงานตองตอบยนยนการไดรบรหสผใชงานและรหสผานเปนลายลกษณอกษรดวยตนเอง

๕.๑.๔ การใชงานรหสผานสาหรบผใชงาน (๑) ผใชตองใชชอผใชงาน และรหสผานของตนเองในการใชงานระบบ เพอปองกน

การปฎเสธความรบผดชอบ (๒) ผใชงานทไดรบรหสผานในครงแรกหรอไดรบรหสผานใหม ตองเปลยนรหสผาน

ทไดรบโดยทนท (๓) ผใชงานตองกาหนดรหสผาน และเปลยนรหสผานของตนเองในการใชงาน

อยางสมาเสมอ อยางนอยทก ๆ ๓ เดอน หรอตามหลกเกณฑซงผดแลระบบกาหนด และตองยนยอมใหผดแลระบบดาเนนการใด ๆ เพอใหเกดความมนคงปลอดภยของระบบเทคโนโลยสารสนเทศและการสอสาร

(๔) ผใชงานตองเกบรกษารหสผานใหเปนความลบ และระมดระวงปองกนรหสผานของตนเองในการใชงานไมใหรวไหลไปยงผอน และไมมอบใหผอนนาไปใชไมวาดวยเหตใด ๆ ทงสน เวนแต กรณผใชงานทมอานาจอนมตใด ๆ ในระบบเทคโนโลยสารสนเทศและการสอสารไมสามารถปฏบตราชการ อนจะเปนเหตใหระบบเทคโนโลยสารสนเทศและการสอสารไมสามารถดาเนนการตอไปได ใหแตงตงผปฏบตงานแทนในชวงเวลาดงกลาว เพอใชเปนหลกฐานในการตรวจสอบการใชสทธ และหลงจากผปฏบตงานแทนดาเนนการเรยบรอยแลว ใหผใชงานซงเปนเจาของรหสผานทาการเปลยนรหสผานโดยทนท

(๕) กาหนดใหรหสผานตองมมากกวาหรอเทากบ ๘ ตวอกษร โดยมการผสมกนระหวางตวอกษรทเปนตวพมพปกต ตวเลข และสญลกษณเขาดวยกน

(๖) ไมกาหนดรหสผานอยางเปนแบบแผน เชน “abcdef” “aaaaaa” “๑๒๓๔๕” (๗) ไมกาหนดรหสผานทเกยวของกบผใชงาน เชนชอสกล วน เดอน ปเกด ทอย (๘) ไมกาหนดรหสผานเปนคาศพททอยในพจนานกรม (๙) ไมใชรหสผานสวนบคคลสาหรบการใชแฟมขอมลรวมกบบคคลอน ผานเครอขาย

คอมพวเตอร (๑๐) ไมใชโปรแกรมคอมพวเตอรชวยในการจารหสผานสวนบคคลอตโนมต (๑๑) ไมจดหรอบนทกรหสผานสวนบคคลไวในสถานททงายตอการสงเกตเหน

ของบคคลอน (๑๒) ผใชงานตองไมใชรหสผานเดยวกนในกรณใชในการปฏบตงาน และในกรณ

ใชงานสวนตว (๑๓) ผใชงานตองออกจากระบบ (Log off) ทนท เมอไมใชงาน เพอปองกนผใชงานอน

ลกลอบใชสทธในการเขาถงระบบเทคโนโลยสารสนเทศและการสอสาร (๑๔) ผใชงานตองเปลยนรหสผานทนทหากสงสยวารหสผานเกดการรวไหล

๕.๑.๕ การบรหารจดการการเขาถงของผใชงาน (๑) ผใชงานตองไดรบอนญาตจากเจาหนาททรบผดชอบขอมลและระบบงาน (๒) เจาของขอมล และ/หรอ เจาของระบบงาน จะอนญาตใหผใชงานเขาสระบบ

เฉพาะในสวนทเหมาะสมกบหนาทและความรบผดชอบ

-------------------------------------------------------------------------- นโยบายและแนวปฏบตในการรกษาความมนคงปลอดภยดานสารสนเทศ กรมทดน โดยสานกเทคโนโลยสารสนเทศ

-๗-

(๓) ผดแลระบบ มหนาทในการตรวจสอบการอนมต และกาหนดสทธในการผาน

เขาสระบบใหแกผใชงาน ในการขออนญาตเขาระบบงานนน ตองทาบนทกและกรอกแบบฟอรมตามทสานกเทคโนโลยสารสนเทศกาหนด และใหมการลงนามอนมตเอกสารดงกลาวโดยผมอานาจทเปนเจาของขอมล และ/หรอเจาของระบบงาน เพอเกบไวเปนหลกฐาน

(๔) การลงทะเบยนเจาหนาท กาหนดใหมขนตอนปฏบตสาหรบการลงทะเบยนเจาหนาทใหม หรอเมอยาย/เปลยนตาแหนงงานใหม/ลาออก/เกษยณ ภายในกรมทดน หนวยงาน/ผใชงาน ตองทาบนทก และกรอกแบบฟอรมตามทสานกเทคโนโลยสารสนเทศกาหนด เพอใหมสทธหรอยกเลกสทธตาง ๆ ในการใชงาน

๑) ผใชงานรายใหม ตองทาการกรอกขอมลเพอขอลงทะเบยนในแบบ “คาขออนญาตเขาใชงานระบบเทคโนโลยสารสนเทศและการสอสาร”

๒) ผใชงานรายใหมลงนามในแบบคาขอเพอรบทราบแนวทางปฎบต และไดรบอนมตจากผบงคบบญชาของผขอ

๓) ยนคาขอตอสานกเทคโนโลยสารสนเทศ ๔) ผใชงานตอบยนยนการไดรบรหสผใชและรหสผานดวยตนเอง ๕) ผดแลระบบจะกาหนดสทธการเขาถงระบบเทคโนโลยสารสนเทศ

และการสอสารใหเหมาะสมกบการใชงานและหนาทความรบผดชอบของผใชงาน โดยไดรบความเหนชอบจากผมอานาจเปนลายลกษณอกษร และจะมการทบทวนสทธอยางสมาเสมอ หรออยางนอยปละ ๑ ครง หรอในกรณกองการเจาหนาทมคาสงยาย/เปลยนตาแหนงงานใหม/ลาออก/เกษยณ หรอในกรณทหนวยงานตนสงกด มบนทกถงผอานวยการสานกเทคโนโลยสารสนเทศ เพอใหมสทธหรอยกเลกสทธตาง ๆ ในการใชงาน

(๕) กรณผใชไมเปลยนรหสผานตามระยะเวลาทกาหนดของระบบ ผดแลระบบ ทกระบบ จะตองมกลไกยกเลกสทธเพอใหรหสผานของผใชหมดสทธการใชระบบทนทเมอครบกาหนดทระบไวในแตละระบบ

๕.๑.๖ การบรหารจดการการเขาถงขอมลตามระดบชนความลบ (๑) ผดแลระบบ มการกาหนดชนความลบของขอมล วธปฏบตในการจดเกบขอมล

และวธปฏบตในการควบคมการเขาถงขอมลแตละประเภทชนความลบรวมทงการเขาถงโดยตรง และการเขาถงผานระบบงาน รวมถงวธการทาลายขอมลแตละประเภทชนความลบ

(๒) เจาของขอมล จะตองมการทบทวนความเหมาะสมของสทธในการเขาถงขอมลของผใชงานเหลานอยางนอยปละ ๑ ครง เพอใหมนใจไดวาสทธตาง ๆ ทใหไวยงคงมความเหมาะสม

(๓) วธปฏบตในการควบคมการเขาถงขอมลแตละประเภทชนความลบ ทงการเขาถงโดยตรงและการเขาถงผานระบบงาน ผดแลระบบมการกาหนดรายชอผใชงาน (User Account) และรหสผาน (Password) เพอใชในการตรวจสอบตวตนจรงของผใชขอมลในแตละชนความลบขอมล

(๔) การรบสงขอมลระดบชนความลบ ตงแตชน “ลบ” ขนไปผานเครอขายสาธารณะ ตองไดรบการเขารหส (Encryption) ทเปนมาตรฐานสากล เชน SSL, VPN

(๕) มมาตรการรกษาความมนคงปลอดภยของขอมลในกรณทนาเครองคอมพวเตอรออกนอกพนทของสานกงาน หรอกรณสงเครองคอมพวเตอรไปตรวจซอมตองสารองขอมลไวในสอบนทกขอมล และลบขอมลสาคญทเกบอยในเครองคอมพวเตอรออกกอน

-------------------------------------------------------------------------- นโยบายและแนวปฏบตในการรกษาความมนคงปลอดภยดานสารสนเทศ กรมทดน โดยสานกเทคโนโลยสารสนเทศ

-๘-

๕.๑.๗ การควบคมการเขาถงระบบเครอขายสอสาร

เปนการควบคมบคคลทเขาสระบบเครอขายสอสาร รวมถงการควบคมปองกน การบกรกไดอยางเปนระบบ และใหสามารถเขาถงระบบสารสนเทศไดแตเพยงบรการทไดรบอนญาตใหเขาถงเทานน โดยผดแลระบบจะตองทาการออกแบบระบบเครอขายสอสารตามกลมของบรการระบบเทคโนโลยสารสนเทศและการสอสารทมการใชงาน กลมของผใชงาน และกลมของระบบสารสนเทศ ไดแก Internal Zone, External Zone และ DMZ Zone เปนตน จงตองมการกาหนดมาตรการรกษาความปลอดภย ดงน

(๑) ผใชงานสามารถเขาถงระบบสารสนเทศไดแตเพยงบรการทไดรบอนญาต ใหเขาถงเทานน

(๒) ผใชงานทตองการเขาถงระบบเครอขายสอสาร จะตองขอใชงานกบผดแลระบบ โดยกรอกขอมลลงใน “แบบคาขออนญาตเขาใชระบบเทคโนโลยสารสนเทศและการสอสาร” และตองไดรบพจารณาอนญาตจากผอานวยการสานกเทคโนโลยสารสนเทศหรอผไดรบมอบหมายเปนลายลกษณอกษร

(๓) ผดแลระบบตองทาการลงทะเบยนกาหนดสทธผใชงานในการเขาถงระบบเครอขายสอสารใหเหมาะสมกบหนาทความรบผดชอบในการปฏบตงานกอนเขาใชระบบเครอขายสอสาร รวมทงมการทบทวนสทธการเขาถงอยางนอยเดอนละครง

(๔) ผดแลระบบจะตองทาการลงทะเบยนอปกรณทกตวทใชตดตอระบบเครอขายสอสารจากแบบคาขอขนทะเบยนครภณฑคอมพวเตอรและเครอขายสอสาร

(๕) ผดแลระบบ จดใหมซอฟทแวรสาหรบบรหารจดการและควบคมระบบเครอขาย (Network Management System) ซงสามารถระบอปกรณบนเครอขาย (Equipment Identification) ถงระดบ IP address, Computer name, MAC address และสามารถสรางผงการเชอมโยงเครอขาย (Network Diagram)

(๖) มการจดทาผงการเชอมโยงเครอขาย และมการปรบปรงใหเปนปจจบนเสมอ (๗) ผดแลระบบ มการบรหารจดการเครอขายสอสาร ดงน

- มการแบงแยกเครอขายสอสารเปนเครอขายสอสารภายใน เครอขายสอสารภายนอก และเครอขายสอสารแบบไรสาย

- มการจดแบงแยกสวนเครอขายสอสาร /กลม เพอปองกนและควบคมการเขาถง ไดแก สวนทเปนสาธารณะ สวนทเชอมตอภายใน สวนทเกยวของกบสนทรพยสาคญหรอทเปนอนตราย กลมของบรการสารสนเทศ กลมผใชงาน และกลมของระบบสารสนเทศ

- มการใช VLAN ในแตละสวนเครอขายสอสาร /กลม เชน กลมของบรการสารสนเทศ กลมผใชงาน และกลมของระบบสารสนเทศ

- มการตดตงอปกรณ Gateway กนไวระหวางเครอขายสอสาร เพอเปนตวควบคมขอมลทสอสารกนระหวางเครอขายสอสาร

- อปกรณในเครอขายสอสารมการปรบแตงใหสามารถควบคมหรอกรองขอมล ทสอสารกนระหวางเครอขาย

(๘) มการควบคมและปองกนใหปลอดภย เชน การใชการตรวจสอบตวตน การเขารหสผาน การเลอกกาหนดความถชองสญญาณเอง

(๙) มการจดเกบขอมลจราจรทางคอมพวเตอรตามพระราชบญญตวาดวยการกระทาความผดเกยวกบคอมพวเตอร พ.ศ. ๒๕๕๐

(๑๐) มการตรวจสอบการทางานของระบบเครอขายสอสารและอปกรณเครอขาย สอสารอยางสมาเสมอเปนประจาทกวน

-------------------------------------------------------------------------- นโยบายและแนวปฏบตในการรกษาความมนคงปลอดภยดานสารสนเทศ กรมทดน โดยสานกเทคโนโลยสารสนเทศ

-๙-

(๑๑) มการตงคา และการปรบแตงคา (Configuration) ทถกตองเหมาะสม และ

เปนปจจบน (๑๒) มการเฝาระวงระบบเครอขายสอสาร (๑๓) มการสารองขอมลการตงคาของอปกรณเครอขายสอสาร (๑๔) มการ Update patch หรอ Release ของซอฟตแวรระบบหรอ Firmware (๑๕) มการตรวจสอบชองโหวของอปกรณและเครองคอมพวเตอรแมขาย

ทใหบรการในระบบเครอขายสอสารของกรมทดน (๑๖) มการทดสอบการบกรกเครอขายสอสาร ๕.๑.๗.๑ การควบคมการเขาถงระบบเครอขายสอสารจากภายใน

(๑) การควบคมการเชอมตอทางเครอขาย - การขอตดตงจดเพอเชอมตอเขาเครอขายของศนยสารสนเทศทดน

ตองทาเปนหนงสอและไดรบอนญาตจากผอานวยการสานกเทคโนโลยสารสนเทศหรอผไดรบมอบหมาย - ดแลและปรบปรงสทธการเขาถงและใชงานเครอขายของผใชงาน

อยเสมอ - มอปกรณในการกรองการรบสงขอมล เชน อเมล การรบสงแฟมขอมล

การเขาถงแบบโตตอบหรอการแชท การเขาถงโปรแกรมประยกต - จากดชวงวนหรอชวงเวลาในการอนญาตใหเชอมตอตาม

ความจาเปน - จากดระยะเวลาการใชงานเครอขายทเชอมตอ เชน ตดการเชอมตอเมอ

ใชงานไดระยะหนงซงไดกาหนดไวลวงหนา จากดการเชอมตอเครอขายใหเปนเฉพาะภายในระยะเวลาทาการ ใหตรวจสอบยนยนตวตนใหมทกชวงเวลาทกาหนด

- กาหนดการหมดเวลาการใชงานระบบเทคโนโลยสารสนเทศ โดยมกลไกในการยกเลกเมอไมไดใชงานตามระยะเวลาทกาหนด

(๒) การควบคมการกาหนดเสนทางบนเครอขาย - มการควบคมการกาหนดเสนทางบนเครอขายบนอปกรณเครอขาย

ไดแก Core switch, Edge Switch, Router เปนตน - มอปกรณ Gateway ในการตรวจสอบตนทางและปลายทาง ณ จดควบคม

ทอยระหวางเครอขายภายใน โดยการใช Proxy Server หรอ Network Access Controler (NAC) - มการกาหนดโปรโตคอล สทธ IP Address ในการเชอมโยงเครอขาย

ของอปกรณและผใชงานเครอขายใหเหมาะสม - มการกาหนดโปรโตคอล และพอรตการใชงานของแตละกลมผใชงาน

เชน HTTP, FTP, SMTP, TELNET - มการกาหนด VLAN เพอควบคมและกาหนดสทธการใชงาน

(๓) การระบและพสจนตวตนของผใชงาน - มการพสจนตวตนสาหรบผใชงาน โดยตองแสดงตวตนดวยชอผใชงาน

พสจนยนยนตวตนดวยการใชรหสผานในการเขาสเครอขาย - มการยนยนตวตนอยางเขมขนแทนการใชรหสผาน เชนวธการใช

การเขารหสเพอรกษาความลบ Smart Card หรอวธการทาง Bio Metric

-------------------------------------------------------------------------- นโยบายและแนวปฏบตในการรกษาความมนคงปลอดภยดานสารสนเทศ กรมทดน โดยสานกเทคโนโลยสารสนเทศ

-๑๐-

(๔) การตดตงอปกรณ Firewall เพอรกษาความปลอดภยของระบบเครอขาย

- ผดแลระบบมหนาทในการบรหารจดการ การตดตง และกาหนดคาของ Firewall ทงหมด การเปลยนแปลงคาตาง ๆ ของอปกรณ Firewall ในแตละครง ไดแก คาพารามเตอร การกาหนดคาใชบรการ และการกาหนดระบบเครอขายสอสารตาง ๆ ใหสามารถเชอมตอกบระบบเครอขายสอสารของกรมทดน โดยไดรบอนญาตจากผอานวยการสานกเทคโนโลยสารสนเทศหรอผไดรบมอบหมาย

- การกาหนดคาเรมตนพนฐานของทกระบบเครอขายสอสาร จะตองเปนการปฏเสธทงหมด

- การเชอมตอระบบอนเทอรเนตและบรการระบบอนเทอรเนตทไมไดรบการอนญาตตามนโยบาย ทกเสนทางจะตองถกบลอก (Block) โดย Firewall

- การเขาถงตวอปกรณ Firewall จะตองสามารถเขาถงไดเฉพาะผทไดรบมอบหมายใหดแลจดการเทานน

- ขอมลจราจรทางคอมพวเตอรทเขาออกอปกรณ Firewall จะตองจดเกบไวทอปกรณจดเกบขอมลจราจรทางคอมพวเตอรทนาเชอถอและมการเขารหสขอมลเพอปองกนการแกไขหรอเปลยนแปลง และตองจดเกบขอมลจราจรทางคอมพวเตอรไมนอยกวา ๙๐ วน

- ผดแลระบบตองตรวจสอบเหตการณ ขอมลจราจรทางคอมพวเตอร พฤตกรรมการใชงาน กจกรรม และบนทกปรมาณขอมลการเขาใชงานระบบเครอขายเปนประจาทกวน

- การกาหนดการใหบรการระบบอนเทอรเนตกบเครองคอมพวเตอรลกขายจะเปดพอรตใน Firewall สาหรบการเชอมตอพนฐานของโปรแกรมทวไปทอนญาตใหใชงาน ซงหากมความจาเปนทจะใชงานนอกเหนอจากทกาหนดไวจะตองมการเปดพอรตใหเปนกรณพเศษ ตองทาหนงสอ และไดรบอนญาตจากผอานวยการสานกเทคโนโลยสารสนเทศหรอผไดรบมอบหมาย

- การกาหนดคาการใหบรการของเครองคอมพวเตอรแมขายในแตละสวนของระบบเครอขายสอสาร จะตองกาหนดคาอนญาตใน Firewall เฉพาะพอรตการเชอมตอทจาเปนตอการใหบรการเทานน โดยจะตองถกระบใหกบเครองคอมพวเตอรแมขายเปนรายเครองทใหบรการจรง

- เครองคอมพวเตอรแมขายทใหบรการระบบงานสารสนเทศตาง ๆ จะตองไมอนญาตใหมการเชอมตอเพอใชงานระบบอนเทอรเนต เวนแตมความจาเปน โดยจะตองกาหนด เปนกรณไป

- การสารองขอมลการกาหนดคาตาง ๆ ของอปกรณ Firewall จะตองสารองขอมลเปนประจาทกสปดาห หรอทกครงทมการเปลยนแปลงการกาหนดคาในอปกรณ Firewall

- ผดแลระบบมสทธทจะระงบการใชงานของเครองคอมพวเตอรทมพฤตกรรมการใชงานทผดนโยบาย หรอเกดจากการทางานของโปรแกรมทมความเสยงตอความปลอดภย จนกวาจะไดรบการแกไข

- การเชอมตอในลกษณะของการ Remote Login จากภายนอกผานระบบเครอขายสอสารมายงเครองคอมพวเตอรแมขาย หรออปกรณระบบเครอขายสอสารภายใน จะตองบนทกรายการของการดาเนนการตามแบบคาขออนญาตเปดบรการใน Firewall และจะตองไดรบ ความเหนชอบจากผดแลระบบกอน

- ผละเมดนโยบายดานความปลอดภยของ Firewall จะถกระงบการใชงานระบบอนเทอรเนตหรอการเชอมตอระบบเครอขายสอสารภายในโดยทนท

-------------------------------------------------------------------------- นโยบายและแนวปฏบตในการรกษาความมนคงปลอดภยดานสารสนเทศ กรมทดน โดยสานกเทคโนโลยสารสนเทศ

-๑๑-

(๕) การตดตงอปกรณตรวจจบและปองกนการบกรก (IDS/IPS)

- การตดตงระบบ IDS/IPS เพอตรวจสอบหรอเฝาระวง หรอมอนเตอรเหตการณตาง ๆ ทเกดขนจากการใชงานของบคคลทเขาใชงานระบบคอมพวเตอรหรอระบบเครอขายสอสารของหนวยงานในลกษณะทผดปกต เชนการพยายามทจะทาลายความลบ (Confidentiality) ความคงสภาพ (Integrity) และความพรอมใชงาน (Availability) ของขอมล หรอการหลกเลยงระบบการรกษาความปลอดภยของระบบเทคโนโลยสารสนเทศและการสอสาร โดยการบกรกดงกลาวเกดจากการทผบกรกเขาถงระบบจากอนเทอรเนต หรอการทผใชภายในพยายามเขาถงหรอกระทาในสงทไมไดรบอนญาต หรอการทผใชพยายามใชสทธพเศษของตนในทางทผด

- การตดตงระบบ IDS/IPS ใหครอบคลมระบบคอมพวเตอรและระบบเครอขายสอสารของกรมทดนทงหมด รวมถงเสนทางขอมลจราจร ทงทเชอมตอสระบบเครอขายสอสารภายนอกและภายในทกเสนทาง

- ระบบคอมพวเตอรทงหมดทสามารถเขาถงไดจากระบบเครอขายสอสารภายนอกหรอเครอขายอนเทอรเนต จะตองผานการตรวจสอบจากระบบ IDS/IPS

- ระบบคอมพวเตอรทงหมดใน Demilitarized Zone (DMZ) จะตองไดรบการตรวจสอบรปแบบการใหบรการจากระบบ IDS/IPS กอนการตดตงและเปดใหบรการ

- ขอมลจราจรทางคอมพวเตอรทผานเขาออกระบบ IDS/IPS จะตองมการบนทกไมนอยกวา ๙๐ วน

- ผดแลระบบตองตรวจสอบ และ Update Patch / Signature ของระบบ IDS /IPS เปนประจาอยางนอยเดอนละหนงครง

- ผดแลระบบตองตรวจสอบเหตการณ ขอมลจราจรทางคอมพวเตอร พฤตกรรมการใชงาน กจกรรม และบนทกปรมาณขอมลการเขาใชงานระบบเครอขายเปนประจาทกวน

- ระบบ IDS/IPS ทางานภายใตกฎควบคมพนฐานของ Firewall ทใชในการเขาถงระบบเทคโนโลยสารสนเทศและการสอสาร

- พฤตกรรมการใชงาน กจกรรม หรอเหตการณทงหมด ทมความเสยงตอการบกรก การโจมตระบบ พฤตกรรมทนาสงสย หรอการพยายามเขาระบบ ทงทประสบความสาเรจ และไมประสบความสาเรจ ตองรายงานใหผบงคบบญชาทราบตามลาดบชนทนททตรวจพบ

- ผดแลระบบมสทธในการยตการเชอมตอระบบเครอขายสอสารของเครองคอมพวเตอรทมพฤตกรรมเสยงตอการบกรกระบบเทคโนโลยสารสนเทศและการสอสาร โดยไมตองมการแจง แกผใชงานลวงหนา และรายงานใหผบงคบบญชาทราบ

๕.๑.๗.๒ การควบคมการเขาถงระบบเครอขายสอสารจากภายนอก (๑) การอนญาตใหผใชงานเขาสระบบเทคโนโลยสารสนเทศและการ

สอสาร หรอระบบคอมพวเตอรระยะไกลจากภายนอก (Remote) ผานเครอขายสอสาร ตองอยบนพนฐานของความจาเปนเทานน และไมเปดพอรตใน Firewall หรอโมเดมหรออปกรณสอสารทใชตลอดเวลา โดยไมจาเปน และตดชองทางการเชอมตอเขาสระบบเทคโนโลยสารสนเทศและการสอสารจากภายนอกทนท เมอไมไดใชงานแลว

-------------------------------------------------------------------------- นโยบายและแนวปฏบตในการรกษาความมนคงปลอดภยดานสารสนเทศ กรมทดน โดยสานกเทคโนโลยสารสนเทศ

-๑๒-

(๒) วธการใด ๆ กตามทสามารถเขาสระบบเทคโนโลยสารสนเทศและการ

สอสารหรอระบบคอมพวเตอรระยะไกลจากภายนอก ตองไดรบการอนญาตจากผอานวยการสานกเทคโนโลยสารสนเทศหรอผทไดรบมอบหมายกอน ตามแบบคาขออนญาตเปดบรการใน Firewall และมการควบคมอยางเขมงวดกอนนามาใช และผใชงานตองปฏบตตามขอกาหนดของการเขาสระบบ และขอมลอยางเครงครด

(๓) การใหสทธในการเขาสระบบเทคโนโลยสารสนเทศและการสอสารหรอระบบคอมพวเตอรระยะไกลจากภายนอก ผใชงานตองแสดงหลกฐานระบเหตผลหรอความจาเปนในการปฏบตงาน และตองไดรบอนมตจากผอานวยการสานกเทคโนโลยสารสนเทศหรอผทไดรบมอบหมาย

(๔) การเขาถงระบบเทคโนโลยสารสนเทศและการสอสารหรอระบบคอมพวเตอรระยะไกลจากภายนอก โดยเครองคอมพวเตอร เครองคอมพวเตอรแบบพกพา อปกรณคอมพวเตอรแบบพกพา รวมถงอปกรณสอสารเคลอนท ตองมการควบคมพอรตใน Firewall ทใชในการเขาสระบบอยางรดกม และมการแบงชองสญญาณอยางชดเจน

(๕) มการพสจนตวตนสาหรบผใชงานทอยภายนอก โดยตองแสดงตวตนดวยชอผใช การพสจนยนยนตวตนดวยการใชรหสผาน และการเขาสระบบเทคโนโลยสารสนเทศและการสอสารหรอระบบคอมพวเตอรจากอนเทอรเนตนน จะมการตรวจสอบเพอพสจนตวตนของผใชงานดวย

(๖) มการใชอปกรณพเศษเพอยนยนตวตนอยางเขมขนในการเขาสระบบสารสนเทศทเกยวกบขอมลทเปนชนขอมลทใชภายในกรมทดน และชนขอมลตงแตชน “ลบ” แทนการใชรหสผาน เชนการใชอปกรณ Token เมอตองปฏบตงานภายนอกองคกร

๕.๑.๗.๓ การควบคมการเขาถงระบบเครอขายสอสารแบบไรสาย (๑) ผดแลระบบตองกาหนดตาแหนงการวางอปกรณกระจายสญญาณ

ใหเหมาะสมเปนการควบคมไมใหสญญาณของอปกรณรวไหลออกไปนอกบรเวณทใชงาน เพอปองกนไมให ผโจมตสามารถรบสงสญญาณจากภายนอกอาคารหรอบรเวณขอบเขตทควบคมได

(๒) ผ ดแลระบบตองเลอกใช กาลงสงให เหมาะสมกบพนท ใชงาน และทาการสารวจวาสญญาณรวไหลออกไปภายนอกหรอไม

(๓) ผดแลระบบตองทาการเปลยนคา SSID (Service Set Identifier) ชอผใชงานและรหสผาน ทถกกาหนดเปนคาตงตนจากผผลตทนททนา Access Point มาใชงาน

(๔) ผดแลระบบตองกาหนดคา WEP (Wired Equivalent Privacy) หรอ WPA (Wi-Fi Protected Access) ในการเขารหสขอมลระหวางอปกรณรบและอปกรณกระจายสญญาณเพอใหยากตอการดกจบและปลอดภย

(๕) ผดแลระบบตองเลอกใชวธการควบคม MAC Address หรอชอผใชและรหสผานของผใชงานทมสทธในการเขาใชงานระบบเครอขายสอสารแบบไรสาย โดยจะอนญาตเฉพาะอปกรณทม MAC Address ชอผใช และรหสผานตามทกาหนดไวเทานน

(๖) ผดแลระบบตองมการตดตง Firewall ระหวางระบบเครอขายสอสารแบบไรสาย กบเครอขายสอสารภายในองคกร

(๗) ผดแลระบบตองกาหนดใหผใชในระบบเครอขายสอสารแบบไรสายตดตอสอสารไดเฉพาะกบระบบ VPN (Virtual Private Network) เพอชวยปองกนการโจมต

(๘) ผดแลระบบตองใชซอฟตแวรหรอฮารดแวรตรวจสอบการทางาน ของเครองคอมพวเตอร / อปกรณทอนญาตใหเชอมตอเครอขายสอสารแบบไรสายได และบนทกขอมลจราจรทางคอมพวเตอรทใชงานระบบเครอขายไรสายไวไมนอยกวา ๙๐ วน

-------------------------------------------------------------------------- นโยบายและแนวปฏบตในการรกษาความมนคงปลอดภยดานสารสนเทศ กรมทดน โดยสานกเทคโนโลยสารสนเทศ

-๑๓-

๕.๑.๘ การควบคมการเขาถงระบบปฏบตการ เปนการควบคมบคคลเขาสระบบปฏบตการทอยภายใตระบบเครอขายสอสาร

ของกรมทดน เพอรกษาความปลอดภยของขอมล และทรพยากร จงตองมการกาหนดมาตรการรกษาความปลอดภย (๑) มการพสจนตวตนสาหรบผใชงาน

- โดยตองแสดงตวตนดวยชอผใชงาน - พสจนยนยนตวตนดวยการใชรหสผาน - การเขาสระบบปฏบตการจะมการตรวจสอบเพอพสจนตวตนของผใชงาน

โดยอตโนมตจากระบบ Active Directory (AD) หรอ Radius Server (๒) การตดตงโปรแกรมอรรถประโยชนเพอใชงานรวมกบระบบปฏบตการ

- ตองไมตดตงโปรแกรมซอฟแวรทละเมดลขสทธ - ตองตดตงโปรแกรมตามภารกจและไมตดตงโปรแกรมทไมเกยวของกบ

การปฏบตงาน (๓) สานกเทคโนโลยสารสนเทศ กาหนดมาตรการการควบคมการหมดเวลาใชงานระบบ

เทคโนโลยสารสนเทศและการสอสาร (Session time-out) เมอมการวางเวนจากการใชงานในระยะเวลาหนง เพอยตการใชงานระบบเทคโนโลยสารสนเทศและการสอสารนน ดงน

- กาหนดใหระบบเทคโนโลยสารสนเทศและการสอสาร มการยตการใชงาน รวมถงปดการใชงานในกรณทไมมกจกรรมการใชงานภายในชวงระยะเวลา ๑๐ นาท เพอปองกนการเขาถงขอมลโดยไมไดรบอนญาต

- มกลไกในการยกเลกการใชโปรแกรมประยกต และการเชอมตอเขาสระบบโดยอตโนมต เมอไมมการใชงานตามระยะเวลาทกาหนด

(๔) สานกเทคโนโลยสารสนเทศ กาหนดมาตรการจากดระยะเวลาการเชอมตอระบบเทคโนโลยสารสนเทศและการสอสาร (Limitation of connection time) สาหรบระบบเทคโนโลยสารสนเทศและการสอสาร หรอแอพพลเคชนทมความเสยง หรอมความสาคญสง เพอใหมความมนคงปลอดภย ดงน

- กาหนดระยะเวลาการเชอมตอระบบเทคโนโลยสารสนเทศและการสอสาร สาหรบระบบเทคโนโลยสารสนเทศและการสอสาร หรอแอพพลเคชนทมความเสยง หรอมความสาคญสง เพอใหผใชงาน สามารถใชงานไดนานทสด ภายในระยะเวลาทกาหนดเทานน โดยกาหนดใหใชได ๑ ชวโมง ตอการเชอมตอ ๑ ครง เฉพาะในชวงเวลาทาการของหนวยงานเทานน

- กาหนดระยะเวลาในการเชอมตอระบบเทคโนโลยสารสนเทศและการสอสารทใชในการปฏบตงานตาง ๆ เมอผใชงานไมมการใชงานระบบเทคโนโลยสารสนเทศและการสอสารเกนกวา ๑๐ นาท กาหนดใหระบบยตการใชงานของผใชงาน

- กาหนดใหระบบเทคโนโลยสารสนเทศและการสอสารมการจากดชวงระยะเวลาการใชงาน มการระบและพสจนตวตน เพอเขาใชงานใหมตามชวงระยะเวลาทกาหนดไวทก ๆ ๑ ชวโมง

-------------------------------------------------------------------------- นโยบายและแนวปฏบตในการรกษาความมนคงปลอดภยดานสารสนเทศ กรมทดน โดยสานกเทคโนโลยสารสนเทศ

-๑๔-

๕.๑.๙ การควบคมการเขาถงระบบเทคโนโลยสารสนเทศ โปรแกรมประยกตและ

แอพพลเคชน เปนการเขาสระบบเทคโนโลยสารสนเทศ โปรแกรมประยกต และแอพพลเคชน

ของกรมทดน เพอความปลอดภยของขอมล จงตองมการกาหนดมาตรการรกษาความปลอดภย (๑) มการแบงแยกสภาพแวดลอมการใชงานโดยกาหนดให เครองคอมพวเตอรแมขาย

ทตดตงระบบงานทสาคญกาหนดใหอยใน Server Zone สวนเครองแมขายระบบงานทใหบรการบคคลทวไป ซงมความไวตอการถกรบกวนและมความเสยงสง จาเปนตองเฝาระวงเปนพเศษ กาหนดใหอย ใน Demilitarized Zone (DMZ)

(๒) มการพสจนตวตนสาหรบผใชงานกอนเขาใชงานระบบ เปนไปตาม “แนวปฏบตการบรหารจดการรหสผานสาหรบผใชงาน” และ “แนวปฏบตการบรหารจดการสทธผใชงาน”

(๓) การปอนรหสผาน ระบบตองทาการเขารหสเพอปองกนมใหผอน ทราบรหสผาน (๔) มการตดการใชงานออกจากระบบอตโนมต เมอผใชงานไมตอบสนองกบระบบ

เปนเวลาเกน ๑๐ นาท (๕) มการจากดระยะเวลาใชงานระบบเทคโนโลยสารสนเทศ ตามประเภทภารกจ

เชน ระบบจดทะเบยนสทธและนตกรรมเปดใหบรการตามวนและเวลาราชการ ระบบจดหมายอเลกทรอนกสเปดใหบรการตลอด ๒๔ ชวโมง

(๖) มการเขารหสขอมลทอยในชนความลบในระบบฐานขอมล

๕.๒ แนวปฏบตการบรหารจดการศนยสารสนเทศทดน กรมทดน ๕.๒.๑. การจดการบรเวณพนทโดยรอบ (Physical security management)

(๑) พนททมระบบเทคโนโลยสารสนเทศและการสอสารอยภายใน (Data Center) ไดตดตงสญญาณเตอนภย เพอแจงเตอนเมอมการบกรกเกดขน โดยมการแบงพนทสาคญเปนสวน ๆ ดงน

- หองเครองแมขาย (Server Room) - หองสารองขอมล (Backup Room) - หองควบคม (Control Room) - หองเครอขาย (Network Room) - สวนระบบปรบอากาศ

(๒) ดาเนนการทดสอบระบบปองกนการบกรกทางกายภาพเพอตรวจสอบการ ใชงานไดตามปกต

๕.๒.๒ การควบคมการเขา-ออก (Physical entry controls) ศนยสารสนเทศทดน (๑) มขนตอนการขออนญาต การกาหนดสทธ และควบคมการเขาศนยฯ และพนท

สาคญภายในศนยฯ (๒) มระบบการบนทกวนและเวลาการเขา-ออกพนทในศนยสารสนเทศทดนโดยอตโนมต

เกยวกบตวบคคลและเวลาทผานเขา-ออก เพอใชในการตรวจสอบในภายหลงเมอมความจาเปน (๓) มการควบคมการเขาออกศนยฯ และพนทสาคญภายในศนยฯ ดวยการใชบตร

ประจาตวและลายนวมอ หรอใชบตรประจาตวและรหสผาน เพอพสจนตวตนของผมสทธ (๔) มการดแลและเฝาระวงการปฏบตงานของบคคลภายนอกในขณะทปฏบตงาน

ในศนยฯ จนกระทงเสรจสนภารกจ เพอปองกนการสญหายของทรพยสน หรอปองกนการเขาถงทางกายภาพโดยไมไดรบอนญาต

-------------------------------------------------------------------------- นโยบายและแนวปฏบตในการรกษาความมนคงปลอดภยดานสารสนเทศ กรมทดน โดยสานกเทคโนโลยสารสนเทศ

-๑๕-

(๕) บคคลภายนอกตองตดบตรใหเหนเดนชดตลอดระยะเวลาทอยภายในศนยฯ (๖) ไมอนญาตใหผไมมกจเขาไปในพนทหรอบรเวณทมความสาคญในศนยฯ (๗) สรางความเขาใจและตระหนกในกฎเกณฑหรอขอกาหนดตาง ๆ ทตองปฏบต

ระหวางทอยในศนยฯ (๘) จดใหมการทบทวนสทธอยางสมาเสมอ และยกเลกสทธการเขาศนยฯ ทนท

ในกรณทมการเปลยนแปลงสทธ

๕.๒.๓ การจดวางและการปองกนอปกรณ (Equipment sitting and protection) ในศนยสารสนเทศทดน

(๑) จดวางอปกรณแตละประเภทตามพนททกาหนด (๒) หามนาอาหาร เครองดม เขาไปในบรเวณศนยฯ (๓) ดาเนนการตรวจสอบ สอดสอง และดแลสภาพแวดลอมภายในศนยฯ เพอปองกน

ความเสยหายตออปกรณทอยในบรเวณดงกลาว เชน การตรวจสอบระดบอณหภม ความชนใหอยในระดบปกต

๕.๒.๔ ระบบและอปกรณสนบสนนการทางาน (Supporting Utilities) ในศนยสารสนเทศทดน (๑) มระบบสนบสนนการทางานของระบบเทคโนโลยสารสนเทศและการสอสารของกรมทดน

ทเพยงพอตอความตองการใชงานโดยมระบบดงตอไปน ระบบไฟฟาและเครองกาเนดไฟฟา ระบบสารองไฟฟา ระบบปรบอากาศแบบควบคมความชน ระบบตรวจจบและแจงเตอนการรวซมของนา ระบบควบคมการเขา-ออกประตอตโนมต ระบบดบเพลงอตโนมต ระบบเฝาดและแจงเตอนความผดปกตของสภาวะแวดลอมอตโนมต ระบบกลองโทรทศนวงจรปด ระบบสายสญญาณและอปกรณเครอขายคอมพวเตอร อปกรณในการสลบ ใชงานแปนพมพ จอภาพและเมาสของเครองคอมพวเตอรแมขาย (KVM: Keyboard Video Mouse) และระบบไฟฟาฉกเฉน

(๒) มการตรวจสอบหรอทดสอบระบบสนบสนนอยางสมาเสมอ เพอใหระบบทางานตามปกต และลดความเสยงจากการลมเหลวในการทางาน

๕.๒.๕ การเดนสายไฟ สายสอสาร และสายเคเบลอน ๆ ในศนยสารสนเทศทดน (๑) มการรอยทอสายสญญาณตาง ๆ เพอปองกนการดกจบสญญาณ หรอการ

ตดสายสญญาณเพอทาใหเกดความเสยหาย (๒) มการเดนสายสญญาณสอสาร และสายไฟฟาแยกออกจากกน เพอปองกนการ

แทรกแซง รบกวนของสญญาณซงกนและกน (๓) มปายชอสาหรบสายสญญาณบนอปกรณ เพอปองกนการตดตอสญญาณผดเสน (๔) มการจดทาผงสายสญญาณสอสารตาง ๆ ครบถวนถกตองและเปนปจจบน (๕) ต Rack ทมสายสญญาณสอสารตาง ๆ ปดใสสลกใหสนท เพอปองกนการเขาถง

ของบคคลภายนอก

๕.๒.๖ การบารงรกษาอปกรณ (Equipment maintenance) ในศนยสารสนเทศทดน (๑) มกาหนดการบารงรกษาอปกรณตามรอบระยะเวลาทกาหนดทก ๑ เดอน (๒) ปฏบตตามคาแนะนาในการบารงรกษาตามทผผลตแนะนา (๓) มการจดเกบบนทกกจกรรมการบารงรกษาอปกรณสาหรบการใหบรการทกครง

เพอใชในการตรวจสอบหรอประเมนผลในภายหลง (๔) จดเกบบนทกปญหาและขอบกพรองของอปกรณทพบ เพอใชในการประเมน

และปรบปรงอปกรณดงกลาว

-------------------------------------------------------------------------- นโยบายและแนวปฏบตในการรกษาความมนคงปลอดภยดานสารสนเทศ กรมทดน โดยสานกเทคโนโลยสารสนเทศ

-๑๖-

(๕) มการควบคมและดแลการปฏบตงานของบรษทผรบจางบารงรกษาระบบ

คอมพวเตอรทมาทาการบารงรกษาอปกรณ ควบคมการสงอปกรณออกไปซอมแซมนอกสถานทเพอปองกนการสญหายหรอการเขาถงขอมลโดยไมไดรบอนญาต

(๖) มการอนม ตสทธการเขาถงอปกรณทมขอมลสาคญของบรษทผรบจาง ทมาทาการบารงรกษาอปกรณ เพอปองกนการเขาถงขอมลโดยไมไดรบอนญาต

๕.๓ การรกษาความมนคงปลอดภยการใชงานเครองคอมพวเตอร ๕.๓.๑ การใชงานของผใชงาน

(๑) ใหมการกาหนดรหสผาน เปลยนรหสผานและเกบรกษารหสผาน เปนไปตาม ขอ ๕.๑.๔ การใชงานรหสผานสาหรบผใชงาน

(๒) ใหผใชงานออกจากระบบ (Log off) ทนทในกรณทไมใชระบบเทคโนโลยสารสนเทศ เพอปองกนบคคลอนมาใชระบบตอเนอง และหากสงสยวารหสผานเกดการรวไหล ผใชงานตองเปลยนรหสผานทนท

(๓) ผไมไดรบสทธใหเขาใชงาน หามบกรกเขาใชงานระบบเทคโนโลยสารสนเทศ ไมวาดวยวธการใด ๆ

(๔) หามตดตงซอฟตแวร หรอ โปรแกรมอนใดลงบนเครองคอมพวเตอร ทใชปฏบตงาน หรอตดตงอปกรณเชอมโยงเครอขายเพมเตม หรอเชอมโยงเครอขายคอมพวเตอรทใชปฏบตงานกบเครอขายอนนอกจากเครอขายของกรมทดน หรอนาเครองคอมพวเตอรสวนตวมาใชงานกบระบบเทคโนโลยสารสนเทศ เวนแตไดรบอนญาตจากผดแลระบบ

(๕) ไมเปดใหมการแชรไฟลในเครองคอมพวเตอรทใชปฏบตงาน เวนแตในกรณ ทเปนระบบงานทกรมทดนกาหนดไว หากมความจาเปนใหกาหนดระยะเวลาเทาทใชงานและยกเลก การแชรไฟลทนททใชงานเสรจเพอปองกนความเสยหายทอาจเกดขนกบระบบคอมพวเตอรและขอมล

(๖) ไมดาวนโหลด (Download) ขอมลหรอโปรแกรมทไมเกยวของกบการปฏบตงาน หรอ จากเวบไซตซงไมนาเชอถอ หรอไมมนใจวาจะปลอดภย

๕.๓.๒ การใชงานเครองคอมพวเตอรสวนบคคล (๑) เครองคอมพวเตอรสวนบคคลทอนญาตใหใช เปนทรพยสนของกรมทดน จงตอง

ใชงานอยางระมดระวง และใหมประสทธภาพ (๒) โปรแกรมทไดถกตดตงลงบนเครองคอมพวเตอรสวนบคคล ตองเปนโปรแกรมท

กรมทดนเหนชอบใหใชงาน หรอไดลขสทธมาอยางถกตองตามกฎหมาย ดงนน หามผใชงานคดลอก ตดตงหรอแกไขเปลยนแปลงโปรแกรมตาง ๆ และนาไปตดตงบนเครองคอมพวเตอรสวนบคคลทมใชทรพยสนของกรมทดน หรอนาไปใหผอนใชงานโดยผดกฎหมาย

(๓) ไมนาสอขอมล เชน แผนซด ดวด แฟลชไดรฟ ทใชงานจากเครองคอมพวเตอรสวนบคคลอน ๆ นอกระบบเทคโนโลยสารสนเทศ หรอมาจากแหลงขอมลทนาสงสย มาใชงานกบเครองคอมพวเตอร สวนบคคลทใชปฏบตงานในระบบเทคโนโลยสารสนเทศ โดยไมไดตรวจสอบและกาจดไวรสคอมพวเตอรกอน

(๔ ) ผ ใ ช ง านม หน าท แ ละร บผ ดชอบต อการด แลร กษาความปลอดภ ย ของเครองคอมพวเตอรสวนบคคลทใชปฏบตงานในระบบเทคโนโลยสารสนเทศ

(๕ ) ให ตดตงโปรแกรมปองกนไวรสและปรบปรงฐานขอมลไวรสในเครองคอมพวเตอรสวนบคคลใหเปนปจจบน อยางสมาเสมอ

-------------------------------------------------------------------------- นโยบายและแนวปฏบตในการรกษาความมนคงปลอดภยดานสารสนเทศ กรมทดน โดยสานกเทคโนโลยสารสนเทศ

-๑๗-

(๖) ผใชงานตองตงคา Screen Saver ของเครองคอมพวเตอรสวนบคคลทตนเองรบผดชอบ ใหลอคหนาจอหลงจากทไมไดใชงานเกนกวา ๑๕ นาท เพอปองกนบคคลอนมาใชงานทเครองคอมพวเตอรสวนบคคล

(๗) ผใชงานตองปดเครองคอมพวเตอรสวนบคคลทตนเองใชงาน เมอปฏบตงานเสรจสน หรอเมอมการยตการใชงานเกนกวา ๑ ชวโมง

(๘) ผใชงานตองไมนาเครองคอมพวเตอรสวนบคคลทไมใชทรพยสนของกรมทดน

มาใชกบระบบเครอขายสอสาร ของกรมทดน ยกเวนไดรบการอนญาตจากผดแลระบบกอนการใชงาน (๙) ผใชงานตองตรวจสอบไฟลทแนบมากบจดหมายอเลกทรอนกส หรอไฟล

ทดาวนโหลดมาจากอนเทอรเนตดวยโปรแกรมปองกนไวรส กอนใชงาน (๑๐) ผใชงานตองตรวจสอบขอมลใด ๆ ทมชดคาสงไมพงประสงครวมอยดวย

ซงมผลทาใหขอมล หรอระบบคอมพวเตอรหรอชดคาสงอนเกดความเสยหาย ถกทาลาย ถกแกไขเปลยนแปลง หรอปฏบตงานไมตรงตามคาสงทกาหนดไว

(๑๑) ผ ใชงานตองทาการสารองขอมลจากเครองคอมพวเตอรสวนบคคลไว บนสอบนทกอน ๆ เชน CD, DVD, External Hard Disk เปนตน

(๑๒) เกบรกษาสอขอมลสารอง (Backup Media) ไวในสถานททเหมาะสม ไมเสยงตอการรวไหลของขอมล และทดสอบการกคนขอมลทสารองไวอยางสมาเสมอ และสอสารองขอมลทไมใชงานแลว ตองทาลายขอมลทสารองไว ไมใหสามารถนาไปใชงานไดอก

๕.๓.๓ การใชงานเครองคอมพวเตอรแบบพกพา (๑) เครองคอมพวเตอรแบบพกพาทอนญาตใหใชเปนทรพยสนของกรมทดน จงตอง

ใชงานอยางระมดระวง และใหมประสทธภาพ (๒) โปรแกรมทไดถกตดตงลงบนเครองคอมพวเตอรแบบพกพา ตองเปนโปรแกรม

ทกรมทดนเหนชอบใหใชงาน หรอไดลขสทธมาอยางถกตองตามกฎหมาย ดงนน หามผใชคดลอก ตดตง หรอแกไขเปลยนแปลงโปรแกรมตาง ๆ และนาไปตดตงบนเครองคอมพวเตอรแบบพกพาทไมใชทรพยสนของกรมทดน หรอนาไปใหผอนใชงานโดยผดกฎหมาย

(๓) ผใชควรศกษาและปฏบตตามคมอการใชงานอยางละเอยด เพอการใชงาน อยางปลอดภยและมประสทธภาพ

(๔) ไมดดแปลงแกไขสวนประกอบตาง ๆ ของเครองคอมพวเตอรแบบพกพา และรกษาสภาพของเครองคอมพวเตอรพกพาใหมสภาพเดมและพรอมใชงาน

(๕) ในกรณทตองการเคลอนยายเครองคอมพวเตอรแบบพกพา ควรใสกระเปาสาหรบเครองคอมพวเตอรแบบพกพา เพอปองกนอนตรายท เกดจากการกระทบกระเทอน เชน การตกจากโตะทางาน หรอหลดมอ เปนตน

(๖) กรณทหนาจอคอมพวเตอรไมใชแบบ Touch Screen ใหหลกเลยงการใชนวหรอของแขง เชน ปากกากดสมผสหนาจอ เพราะอาจทาใหเปนรอยขดขวน หรอแตกเสยหายได

(๗) ไมวางของทบบนหนาจอและแปนพมพ (๘) การเชดทาความสะอาดหนาจอภาพควรเชดอยางเบามอทสด และควรเชด

ไปในแนวทางเดยวกนหามเชดแบบหมนวน เพราะจะทาใหหนาจอมรอยขดขวนได (๙) ผใชงานมหนาทรบผดชอบในการปองกนการสญหาย เชน ควรลอคเครอง

ขณะทไมไดใชงาน ไมวางเครองทงไวในทสาธารณะ หรอในบรเวณทมความเสยงตอการสญหาย

-------------------------------------------------------------------------- นโยบายและแนวปฏบตในการรกษาความมนคงปลอดภยดานสารสนเทศ กรมทดน โดยสานกเทคโนโลยสารสนเทศ

-๑๘-

(๑๐) ไมเกบหรอใชงานเครองคอมพวเตอรแบบพกพาในสถานททมความรอน/

ความชน/ฝนละอองสง และตองระวงปองกนการตกกระทบ (๑๑) ตองกาหนดชอผใชงาน (User name) และรหสผาน (Password) ในการเขา

ใชงานระบบปฏบตการของเครองคอมพวเตอรแบบพกพา (๑๒) ผใชงานตองกาหนดรหสผานใหมคณภาพดอยางนอยตามทระบไวใน “แนว

ปฏบตการใชงานรหสผาน” (๑๓) ผใชงานตองตงคา Screen Saver ของเครองคอมพวเตอรแบบพกพาทตนเอง

รบผดชอบ ใหลอคหนาจอหลงจากทไมไดใชงานเกนกวา ๑๕ นาท เพอปองกนบคคลอนมาใชงาน (๑๔) ปดเครองคอมพวเตอรแบบพกพาทตนเองใชงาน เมอปฏบตงานเสรจสน หรอ

เมอมการยตการใชงานเกนกวา ๑ ชวโมง (๑๕) ใหผใชงานปฏบตตามแนวทางการบรหารจดการรหสผานทระบไวใน “การใชงาน

รหสผาน” (๑๖) ทาการสารองขอมลจากเครองคอมพวเตอรแบบพกพาไวบนสอบนทกอน ๆ

เชน CD, DVD, External Hard Disk (๑๗) เกบรกษาสอขอมลสารอง (Backup Media) ไวในสถานททเหมาะสม ไมเสยง

ตอการรวไหลของขอมล และทดสอบการกคนขอมลทสารองไวอยางสมาเสมอ และสอสารองขอมลทไมใชงานแลว ควรทาลายขอมลทสารองไว ไมใหสามารถนาไปใชงานไดอก

๕.๓.๔ การใชงานอปกรณคอมพวเตอรแบบพกพา

(๑) อปกรณคอมพวเตอรแบบพกพา ทกรมทดนอนญาตใหใชงาน เปนสนทรพย ของกรมทดน จงตองใชงานอยางระมดระวงและมประสทธภาพ

(๒) โปรแกรมทไดถกตดตงลงบนอปกรณคอมพวเตอรแบบพกพา ตองเปนโปรแกรมทกรมทดนเหนชอบใหใชงาน หรอไดลขสทธมาอยางถกตองตามกฎหมาย ดงนน หามผใชงานคดลอก ตดตงหรอแกไขเปลยนแปลงโปรแกรมตาง ๆ และนาไปตดตงบนอปกรณคอมพวเตอรแบบพกพาทมใชสนทรพย ของกรมทดน หรอนาไปใหผอนใชงานโดยผดกฎหมาย

(๓) ผใชงานตองศกษาและปฏบตตามคมอการใชงานอยางละเอยด เพอการใชงานอยางปลอดภยและมประสทธภาพ

(๔) ตองไมดดแปลงแกไขสวนประกอบตาง ๆ ของอปกรณคอมพวเตอรและรกษาสภาพของอปกรณคอมพวเตอรใหมสภาพเดมและพรอมใชงาน

(๕) ในกรณทตองการเคลอนยายอปกรณคอมพวเตอรแบบพกพา ควรใสกระเปาสาหรบอปกรณคอมพวเตอรแบบพกพา เพอปองกนอนตรายทเกดจากการกระทบกระเทอน เชน การตกจากโตะทางาน หรอหลดมอ เปนตน

(๖) กรณทหนาจอคอมพวเตอรไมใชแบบ Touch Screen ใหหลกเลยงการใชของแขง เชน ปากกากดสมผสหนาจอ เพราะอาจทาใหเปนรอยขดขวนหรอ แตกเสยหายได

(๗) ไมวางของทบบนอปกรณคอมพวเตอรแบบพกพา (๘) การเชดทาความสะอาดหนาจอภาพควรเชดอยางเบามอทสด และควรเชดไปใน

แนวทางเดยวกนหามเชดแบบหมนวน เพราะจะทาใหหนาจอมรอยขดขวนได (๙) ผใชงานมหนาทรบผดชอบในการปองกนการสญหาย เชน ควรลอคเครอง

ขณะทไมไดใชงาน ไมวางเครองทงไวในทสาธารณะ หรอในบรเวณทมความเสยงตอการสญหาย

-------------------------------------------------------------------------- นโยบายและแนวปฏบตในการรกษาความมนคงปลอดภยดานสารสนเทศ กรมทดน โดยสานกเทคโนโลยสารสนเทศ

-๑๙-

(๑๐) ไมเกบหรอใชงานอปกรณคอมพวเตอรแบบพกพาในสถานททมความรอน/

ความชน/ฝนละอองสง และตองระวงปองกนการตกกระทบ (๑๑) ตองกาหนดรหสผาน (Password) ในการเขาใชงานระบบปฏบตการของ

อปกรณคอมพวเตอรแบบพกพา (๑๒) ผใชงานตองลอคหนาจอหลงจากทไมไดใชงานเกนกวา ๑ นาท เพอปองกน

บคคลอนมาใชงานทอปกรณคอมพวเตอรแบบพกพา

๕.๔ การรกษาความมนคงปลอดภยการใชงานอนเทอรเนตและจดหมายอเลกทรอนกส ๕.๔.๑ การใชงานอนเทอรเนต

(๑) ผดแลระบบตองลงทะเบยนเครองคอมพวเตอรทเชอมตอกบระบบอนเทอรเนตของกรมทดน ซงทาใหสามารถพสจนทราบไดวาเปนเครองคอมพวเตอรทใชปฏบตงานทตงอยทหนวยงานใด ของกรมทดน

(๒) ผใชงานตองลงทะเบยนเปนผไดรบสทธการใช และรหสผาน เพอเปนเครองมอในการตรวจสอบยนยนตวบคคลในการเขาถงระบบอนเทอรเนตของกรมทดน ซงผใชงานแตละคนจะตองดแลรกษาสทธการใชงานและรหสผานของตนเองไมใหผอนนาไปใชงานได หากมการกระทาใดซงเปนความผด ตามพระราชบญญตวาดวยการกระทาความผดเกยวกบคอมพวเตอร เจาของสทธตองรบผดชอบผลจาก ความเสยหายทเกดขนโดยไมอาจปฏเสธได

(๓) ผใชงานตองไมใชระบบอนเทอรเนตในการใชงานขอมลมลตมเดย หรอ ดาวนโหลดขอมลทไมเกยวกบการปฏบตงานและยดครองชองสญญาณการสอสารขอมล

(๔) ใหผดแลระบบ กาหนดเสนทางการเชอมตอระบบคอมพวเตอรเพอการเขา ใชงานอนเทอรเนต ทตองเชอมตอผานระบบรกษาความปลอดภย เชน Proxy, Firewall, IPS, IDS

(๕) เครองคอมพวเตอรสวนบคคล เครองคอมพวเตอรแบบพกพา และอปกรณคอมพวเตอรแบบพกพา กอนทาการเชอมตอระบบอนเทอรเนตผานเวบบราวเซอร (Web Browser) ตองมการตดตงโปรแกรมปองกนไวรส และทาการอดชองโหวของระบบปฏบตการทเวบบราวเซอรตดตงอย

(๖) ผใชงานตองไมใชงานอนเทอรเนตของกรมทดน เพอหาประโยชนในเชงธรกจสวนตว และทาการเขาสเวบไซตทไมเหมาะสม เชน เวบไซตทขดตอศลธรรม เวบไซตทมเนอหาทขดตอชาต ศาสนา พระมหากษตรย หรอเวบไซตทเปนภยตอสงคม

(๗) ผใชงานจะถกกาหนดสทธในการเขาถงแหลงขอมลตามหนาทความรบผดชอบ เพอประสทธภาพของเครอขายและความปลอดภยทางขอมลของกรมทดน โดยผานความเหนชอบจากผดแลระบบ

(๘) หามผใชงานเปดเผยขอมลสาคญทเปนความลบเกยวกบงานของกรมทดน ทยงไมไดประกาศอยางเปนทางการผานระบบอนเทอรเนต

(๙) ผใชงานตองระมดระวงการดาวนโหลดโปรแกรมใชงานจากอนเทอรเนต ตองเปนไปโดยไมละเมดทรพยสนทางปญญา

(๑๐) ใหออกจากระบบอนเทอรเนตทนทหลงจากเลกใชงาน เพอปองกนการเขา ใชงานโดยบคคลอน

(๑๑) ผใชงานตองปฏบตตาม พระราชบญญตวาดวยการกระทาความผดเกยวกบคอมพวเตอร อยางเครงครด

-------------------------------------------------------------------------- นโยบายและแนวปฏบตในการรกษาความมนคงปลอดภยดานสารสนเทศ กรมทดน โดยสานกเทคโนโลยสารสนเทศ

-๒๐-

๕.๔.๒ การใชงานจดหมายอเลกทรอนกส

(๑) ผใชงานตองลงทะเบยนเปนผไดรบสทธการใช และรหสผาน เพอเปนเครองมอในการตรวจสอบยนยนตวบคคลในการเขาถงระบบจดหมายอเลกทรอนกสของกรมทดน ซงผใชงานแตละคนจะตองดแลรกษาสทธการใชงานและรหสผานของตนเองไมใหผอนนาไปใชงานได หากมการกระทาใดซงเปนความผดตามพระราชบญญตวาดวยการกระทาความผดเกยวกบคอมพวเตอร เจาของสทธตองรบผดชอบ ผลจากความเสยหายทเกดขนโดยไมอาจปฏเสธได

(๒) ผใชงานตองใชระบบจดหมายอเลกทรอนกสของกรมทดนในการรบ-สงจดหมายอเลกทรอนกสซงเกยวกบการปฏบตราชการ

(๓) ผ ใชงานตองระมดระวงในการใชจดหมายอเลกทรอนกส เพอไมให เกด

ความเสยหายตอกรมทดน สรางความนาราคาญตอผอน หรอขดตอศลธรรม และไมแสวงหาประโยชน จากการใชจดหมายอเลกทรอนกสของกรมทดน

(๔) ผใชงานตองออกจากระบบจดหมายอเลกทรอนกสทนทหลงจากการเลกใชงาน เพอปองกนการเขาใชงานโดยบคคลอน

(๕) กอนเปดเอกสารแนบจากจดหมายอเลกทรอนกส ผใชงานตองใชโปรแกรมปองกนไวรส ตรวจสอบเอกสารแนบเสมอ

(๖) ผใชงานไมเปดหรอสงตอจดหมายอเลกทรอนกสหรอขอความทไดรบจากผสง ทไมรจก

(๗) ผ ใชงานตองตรวจสอบต เกบจดหมายอเลกทรอนกสของตนเองทกวน และควรจดเกบแฟมขอมล และจดหมายอเลกทรอนกสของตนใหเหลอจานวนนอยทสด

(๘ ) ผ ใช งานตองสารองขอมลทมความสาคญในจดหมายอ เลกทรอนกส อยางสมาเสมอ

๕.๕ การรกษาความมนคงปลอดภยการบรหารจดการสนทรพยและเครอขาย

๕.๕.๑ การบรหารจดการขอมลคอมพวเตอร (๑) กาหนดประเภทของขอมล

- ขอมลทเปนตวอกขระ คอขอมลทประกอบดวยตวอกษร และตวเลขทไมใช ในการคานวณ เชนขอมลทางทะเบยนทดน เจาของผถอกรรมสทธ ทตงทดน

- ขอมลทเปนตวเลข คอขอมลทประกอบดวยตวเลข ๐-๙ ทใชในการคานวณได เชน เลขทเอกสารสทธ จานวนเนอทในเอกสารสทธ

- ขอมลทเปนรปภาพ คอขอมลทเปนภาพนง ภาพเคลอนไหว ภาพลายเสน ภาพถาย ภาพจากวดทศน เชนภาพสแกนโฉนดทดน ภาพสแกนสารบบ

- ขอมลทเปนเสยง คอขอมลทประสาทสมผสทางหรบรได เชน การใหนโยบายของอธบดเนองในโอกาสตาง ๆ

(๒) กาหนดชนความลบขอมล ชนท ๑ ขอมลเปดเผยได

- ขอมลทบคคลทวไปสามารถทราบไดโดยไมตองมการปดกน เปนขอมลทไมมผลตอการปฏบตงานของกรมทดน สามารถนาเสนอตอสาธารณชน หรอเปนขอมลทกฎหมายระบวาตองเปดเผย

-------------------------------------------------------------------------- นโยบายและแนวปฏบตในการรกษาความมนคงปลอดภยดานสารสนเทศ กรมทดน โดยสานกเทคโนโลยสารสนเทศ

-๒๑-

- การเปดเผยขอมลทงหมดหรอบางสวน จะไมเกดผลเสยหายตอกรมทดน เชน ขอมลทเผยแพรบนเวบไซตกรมทดน

ชนท ๒ ขอมลใชภายในกรมทดน - ขอมลทเจาของขอมลพจารณาแลววา สามารถเปดเผยใหผใชงานภายใน

กรมทดนรบทราบได แตไมสมควรเปดเผยตอบคคลภายนอก เพราะอาจจะสรางความเสยหายใหกบกรมทดนได - การเปดเผยขอมล เจาของขอมลตองใชดลยพนจในการอนญาตหรอไดรบ

ความเหนชอบจากคณะทางานเพอดาเนนการตาม พรบ. ขอมลขาวสารของราชการ พ.ศ. ๒๕๔๐ หรอการบงคบตามกฎหมาย เชน ขอมลระบบบคลากรกรมทดน ขอมลระบบจดทะเบยนสทธและนตกรรม ขอมลระบบสารบรรณอเลกทรอนกส

ชนท ๓ ขอมลลบ - ขอมลทกรมทดนพจารณาแลววาไมสามารถเปดเผยใหผใชงานทกคนทราบได

กาหนดใหเฉพาะผทเกยวของ และจาเปนตองใชในการปฎบตงานทราบเทานน และเปนการใชงานตามสทธความจาเปนทควรทราบเพอใหเพยงพอตอการปฎบตงาน ขอมลมความสาคญตอการดาเนนการของกรมทดน เปนขอมลภายใน และไมสามารถเปดเผยตอบคคลภายนอกกรมทดนทไมเกยวของตามกฎหมายได เนองจากขอมลนจะสรางความเสยหายใหกบกรมทดนได

- การเปดเผยขอมลจะตองไดรบความเหนชอบจากเจาของขอมล หรอจากคณะทางานเพอดาเนนการตามพระราชบญญตขอมลขาวสารของกรมทดน พ.ศ. ๒๕๔๐ หรอการบงคบตามกฎหมาย เชนขอมลเงนเดอน ขอมลการลงโทษทางวนย

ชนท ๔ ขอมลลบมาก - ขอมลทใชภายในกรมทดนแตเปนขอมลลบ ใชงานโดยผใชงานบางกลม

ของกรมทดน ซงมรหสพเศษในการเขาใชงานและไมสามารถเปดเผยตอบคคลภายนอกได เนองจากขอมล มความจาเปนตอการปฏบตงานของกรมทดน จะทาใหเกดผลเสยหายรายแรงตอกรมทดน

- การเปดเผยขอมล จะตองไดรบการเหนชอบจากเจาของขอมล หรอคณะทางาน เพอดาเนนการตาม พรบ. ขอมลขาวสารของราชการ พ.ศ. ๒๕๔๐ หรอการบงคบตามกฎหมาย เชน ขอมลการจราจรทางคอมพวเตอร ขอมลจดหมายอเลกทรอนกส

ชนท ๕ ขอมลลบทสด - ขอมลทใชภายในกรมทดนแตเปนขอมลลบ ใชงานโดยผบรหารระดบสง

ของกรมทดนเทานน ซงมรหสพเศษในการเขาใชงาน และเปนการใชเพอการวนจฉย และตดสนใจทสาคญ ของกรมทดน ไมสามารถเปดเผยตอบคคลภายนอกกรมทดนได เนองจากขอมลมความจาเปนตอการปฏบตงานของกรมทดน ทาใหเกดผลเสยหายรายแรงตอกรมทดน

- การเปดเผยขอมล ไมสามารถทาได เวนแตการบงคบตามกฎหมาย เชน ขอมลขอสอบคดเลอก

(๓) การควบคมการขอขอมล ขอใช ขอตรวจสอบ หรอขอเขาดขอมล - เจาหนาทของสานกเทคโนโลยสารสนเทศไมมสทธทจะใหขอมลแกผขอขอมล

ใด ๆ โดยทไมไดรบอนญาตจากผอานวยการสานกเทคโนโลยสารสนเทศหรอผทไดรบมอบหมาย เวนแตในการพฒนาระบบ ซงเจาหนาทของสานกเทคโนโลยสารสนเทศและบรษทผรบจางรบผดชอบในการถายโอนขอมลเขาสระบบใหม

- กรณหนวยงานภายในกรมทดนเปนผขอขอมลซงหนวยงานภายในกรมทดนอน ๆ เปนเจาของขอมล ใหหนวยงานผขอทาบนทกขออนญาตจากหนวยงานเจาของขอมล โดยเจาหนาท ของสานกเทคโนโลยสารสนเทศจะใหบรการเกยวกบขอมลเมอไดรบทราบการไดรบอนญาตนนแลวเทานน

-------------------------------------------------------------------------- นโยบายและแนวปฏบตในการรกษาความมนคงปลอดภยดานสารสนเทศ กรมทดน โดยสานกเทคโนโลยสารสนเทศ

-๒๒-

- กรณหนวยงานภายนอกกรมทดน ไมวาจะเปนหนวยงานราชการ หรอหนวยงานเอกชนเปนผขอ โดยไมมการทาบนทกขอตกลงระหวางหนวยงานกนไวกอน ตองทาหนงสอขออนญาตจากอธบด กรมทดนทกครงทขอ หากมการทาบนทกขอตกลงกนไว ตองควบคมดแลใหขอบเขตของขอมลทขอเปนไปตามบนทกขอตกลง

- กรณบคคลหรอนตบคคลเปนผขอขอมลกบกรมทดน ซงมแนวทางหรอระเบยบปฏบตทกรมทดนไดกาหนดไวแลว ใหดาเนนการตามแนวทางหรอระเบยบปฏบตทกาหนด

(๔) การกาหนดเวลาและชองทางเขาถงขอมล - การกาหนดเวลาเขาถงขอมล ขอมลทเปนระบบปฏบตงาน สามารถเขาถงไดใน

วนและเวลาราชการ หรอเปนไปตามบนทกขอตกลงของหนวยงานนน ๆ สวนขอมลทเผยแพรดวยชองทางอนเทอรเนต สามารถเขาถงไดตลอด ๒๔ ชวโมง

- การกาหนดชองทางการเขาถงขอมล ผใชงานภายในกรมทดน ใชผานชองทางอนทราเนตและอนเทอรเนต สาหรบผใชงานภายนอกกรมทดนใชผานชองทางอนเทอรเนตและตามบนทกขอตกลงระหวางหนวยงาน

๕.๕.๒ การบรหารจดการระบบคอมพวเตอร (๑) จดทาทะเบยนคมสนทรพยในระบบคอมพวเตอร (๒) การรกษาความปลอดภยระบบคอมพวเตอร โดย

- กาหนดชอและ IP Address ในระบบคอมพวเตอร - กาหนดบคคลรบผดชอบในการกาหนด แกไข หรอเปลยนแปลงคา Parameter ตาง ๆ

ของโปรแกรมระบบอยางชดเจน - มขนตอนหรอวธปฏบตในการตรวจสอบการรกษาความปลอดภยระบบ

คอมพวเตอร - ในกรณทพบวามการใชงานหรอเปลยนแปลงคา Parameter ในลกษณะ

ทผดปกต จะตองดาเนนการแกไข รวมทงมการรายงานผดแลรบผดชอบโดยทนท - เปดใชบรการ (Service) เทาทจาเปน ทงน หากบรการทจาเปนตองใชมความ

เสยงตอระบบการรกษาความปลอดภย ตองมมาตรการเพมเตม - มการตดตง Patch ทจาเปนของระบบงานสาคญ เพออดชองโหวตาง ๆ

ของโปรแกรมระบบ (System Software) เชน ระบบปฏบตการ DBMS และ Web server อยางสมาเสมอ - ทดสอบ System Software เกยวกบการรกษาความปลอดภย และ

ประสทธภาพการใชงานโดยทวไปกอนตดตง และหลงจากการแกไขหรอบารงรกษา (๓) บารงรกษาอปกรณ ในระบบคอมพวเตอรใหสามารถทางานไดอยางม

ประสทธภาพ โดยควบคมดแลใหมการบารงรกษาอปกรณในระบบคอมพวเตอรตามระยะเวลาทกาหนดในสญญาจางบารงรกษาฯ

๕.๕.๓ การบรหารจดการโปรแกรม (๑) จดทาทะเบยนคมโปรแกรม (๒) ลงทะเบยนขอใชโปรแกรมจากเจาของลขสทธ (๓) ปรบปรงโปรแกรมเมอมการเปลยนแปลงรนของโปรแกรม (๔) มการควบคมเวอรชนของโปรแกรมประยกต (Application) (๕) มการตดตงโปรแกรมทถกตองตามลขสทธหรอโปรแกรมสาหรบใชงานฟร

(Freeware, Open Source) และตดตงเทาทจาเปนตอการใชงาน

-------------------------------------------------------------------------- นโยบายและแนวปฏบตในการรกษาความมนคงปลอดภยดานสารสนเทศ กรมทดน โดยสานกเทคโนโลยสารสนเทศ

-๒๓-

๕.๕.๔ การบรหารจดการเครอขายสอสาร

(๑) มการจดแบงแยกสวนเครอขาย/กลม (VLAN / Zone) (๒) จดทาทะเบยนคมการใชงานเครอขายสอสาร (๓) จดทาแผนผงและขอบเขตของระบบเครอขายสอสาร (๔) ตรวจสอบการใชงานเครอขายสอสารใหสามารถใชงานไดอยางมประสทธภาพ (๕) ควบคมการจดเสนทางบนเครอขายสอสารและกาหนดวธการเขาถงเครอขายสอสาร

กรมทดน (๖) จดทาระบบปองกนการบกรกและการใชงานทผดปกตผานระบบเครอขายสอสาร (๗) ทดสอบการบกรกโจมตเครอขายสอสาร และจดทารายงานการโจมต (๘) กาหนดผรบผดชอบในการกาหนด แกไข หรอเปลยนแปลงคา Parameter ของ

ระบบเครอขายสอสารและอปกรณทเชอมตอ (๙) ทบทวนการกาหนดคา Parameter อยางนอยปละ ๑ ครง (๑๐) ทาการบารงรกษาระบบเครอขายสอสารเพอใหสามารถใชงานไดอยางมประสทธภาพ

โดยควบคมดแลใหมการบารงรกษาระบบเครอขายตามระยะเวลาทกาหนดในสญญาจางบารงรกษาฯ

๕.๕.๕ การบรหารจดการสนทรพย (๑) จดทาทะเบยนคมสนทรพย

- กาหนดผรบผดชอบตอสนทรพย - จดหมวดหมสนทรพย

(๒) การเบกใชครภณฑคอมพวเตอรและเครอขาย - ผใชทตองการขอเบกใชครภณฑตองกรอกขอมลคาขอลงใน “แบบฟอรมการ

ขอเบกใชครภณฑคอมพวเตอรและเครอขาย” โดยระบรายการครภณฑทตองการเบกใชรวมถงสถานทจดเกบหรอตดตง และยนเรองใหเจาหนาทผรบผดชอบดาเนนการพจารณาอนมต

- เจาหนาทผรบผดชอบพจารณาตามขนตอนและความเหมาะสมในการขอเบกใชงานครภณฑดงกลาวโดยขอความเหนชอบจากผบรหารหนวยงานเจาของสนทรพย หรอผทไดรบมอบหมาย

- เมอมการอนมตใหเบกใชครภณฑ เจาหนาทผรบผดชอบตองบนทกขอมลสถานทจดเกบหรอตดตงใหมของครภณฑดงกลาวลงในแบบคาขอลงทะเบยนครภณฑคอมพวเตอรและเครอขายสอสารเพอจดเกบเปนประวตครภณฑ

(๓) การแจงซอมบารงครภณฑคอมพวเตอรและเครอขาย - เมอผใชงานพบการทางานทผดไปจากปกตของครภณฑ หรอไมสามารถใชงาน

ครภณฑในการดาเนนงานได ผใชงานตองแจง ใหดาเนนการซอมบารง โดยกรอกขอมลครภณฑทตองการแจงลงใน “แบบฟอรมการแจงซอมบารงครภณฑคอมพวเตอรและเครอขาย” และยนเรองใหเจาหนาทผรบผดชอบดาเนนการสงซอม

- เจาหนาทผรบผดชอบวเคราะหอาการเสยหายของครภณฑ จากขอมลใน “แบบฟอรมการแจงซอมบารงครภณฑคอมพวเตอรและเครอขาย” และจากการทดสอบการทางานดวยตนเอง รวมถงพจารณาขอมลประกอบโดยเฉพาะในสวนของระยะเวลาประกนของครภณฑดงกลาว ซงหากอยในระยะเวลาประกนเจาหนาทสามารถสงครภณฑเขารบการซอมบารงทศนยบรการของบรษทผผลตครภณฑได โดยไมเสยคาใชจายในสวนทระบในประกน หากครภณฑดงกลาวไมอยในระยะเวลาประกน เจาหนาทผรบผดชอบตองพจารณาจากความเสยหายของครภณฑ หากเสยหายมากอาจจาเปนจะตองจาหนายครภณฑดงกลาว หรอหากความเสยหาย ของครภณฑสามารถแกไขไดใหดาเนนการแกไข

-------------------------------------------------------------------------- นโยบายและแนวปฏบตในการรกษาความมนคงปลอดภยดานสารสนเทศ กรมทดน โดยสานกเทคโนโลยสารสนเทศ

-๒๔-

- ในระหวางทเจาหนาทผรบผดชอบสงครภณฑเขารบการซอมบารงนน หากมครภณฑอนทสามารถใชงานทดแทนครภณฑดงกลาวได ใหเจาหนาทดาเนนการแจงแกผใช โดยใหผใชทาเรองเบกใชงานครภณฑ โดยกรอกขอมลลงใน‘แบบฟอรมการขอเบกใชครภณฑคอมพวเตอรและเครอขาย โดยระบรายการครภณฑท ตองการเบกใชรวมถงสถานทจดเกบหรอตดตง และยนเรองใหเจาหนาทผรบผดชอบดาเนนการพจารณาอนมต และเจาหนาทผดแลทะเบยนครภณฑทาการบนทกขอมลครภณฑใหมลงใน “แบบฟอรมทะเบยนครภณฑคอมพวเตอรและเครอขาย” เพอจดเกบเปนประวตครภณฑของกรมทดน

- หลงจากทเจาหนาทผรบผดชอบสงครภณฑทพบความเสยหายเขารบการแกไขเรยบรอยแลว ตองดาเนนการทดสอบในสวนทพบความเสยหายอกครง กอนจดสงครภณฑคนผ ใช โดยเจาหนาทผรบผดชอบกรอกขอมลรายละเอยดการซอมบารง และการทดสอบครภณฑลงใน “แบบฟอรมการแจงซอมบารงครภณฑคอมพวเตอรและเครอขาย” และสงคนครภณฑพรอมเอกสารดงกลาวใหกบผใช

- ผใชทาการตรวจสอบครภณฑ หากสามารถใชดาเนนงานไดตามปกต ใหลงลายมอชอ เพอรบครภณฑกลบไปใชงาน แตหากยงพบวามความเสยหายในสวนเดมหรอสวนอน ใหรบแจงเจาหนาทผรบผดชอบ เพอดาเนนการแกไขตามขนตอนตอไป

(๔) การนาสนทรพยของกรมทดนออกนอกสถานท - ใหมการบนทกขออนญาตกอนนาอปกรณหรอสนทรพยออกนอกสถานท

เพอเอาไวเปนหลกฐานปองกนการสญหาย รวมทงบนทกขอมลเพมเตมเมอนาอปกรณสงคน - ใหเจาหนาทมความรบผดชอบดแลอปกรณหรอสนทรพยเสมอนเปนสนทรพย

ของตนเอง (๕) การจาหนายครภณฑคอมพวเตอรและเครอขาย

- กรณทครภณฑเสยหายเกนกวาทจะแกไขได รวมถงไมอยในระยะเวลาประกน ประกอบกบเมอพจารณาถงมลคาของครภณฑกบคาใชจายในการซอมบารงแลว จาเปนตองดาเนนการจาหนายครภณฑดงกลาว ใหเจาหนาทผรบผดชอบกรอกรายละเอยดครภณฑลงใน “แบบฟอรมการสงคนครภณฑคอมพวเตอรและเครอขาย” ใหเจาหนาทผเปนเจาของงาน/โครงการ ซงเปนผใชหรอผจดหาครภณฑรบทราบและพจารณาเหนชอบ

- เจาหนาทผเปนเจาของงาน/โครงการ พจารณาเรองการสงคนครภณฑ หากเหนชอบ ใหลงลายมอชอใน “แบบฟอรมการสงคนครภณฑคอมพวเตอรและเครอขาย” หากไมเหนชอบใหระบเหตผลและสงเรองคนเจาหนาทผรบผดชอบ

- สงเรองใหหนวยงานทมอานาจอนมตการจาหนายครภณฑพจารณาดาเนนการตอไป (๖) การควบคมเอกสาร (Print out) ทพมพออกจากระบบเทคโนโลยสารสนเทศ

และการสอสาร - มการกาหนดสทธการพมพเอกสาร - กาหนดใหมเจาหนาทควบคมการเขาถงเอกสาร (Print out) - จดเกบเอกสารทเกยวของกบระบบไวในสถานทมนคงปลอดภย โดยจดเกบตาม

ระเบยบสานกนายกรฐมนตร วาดวยงานสารบรรณ พ.ศ. ๒๕๒๖ หรอระเบยบอน ๆ ทเกยวของ - เอกสารทไมใชงานหรอมความผดพลาดจากการพมพ ใหทาลาย - มการบนทกขออนญาตกอนนาเอกสารออกนอกสถานทเพอเปนหลกฐาน

ปองกนการสญหาย

-------------------------------------------------------------------------- นโยบายและแนวปฏบตในการรกษาความมนคงปลอดภยดานสารสนเทศ กรมทดน โดยสานกเทคโนโลยสารสนเทศ

-๒๕-

๕.๖ การรกษาความมนคงปลอดภยการสารองขอมลและกคนขอมล ๕.๖.๑ มระบบจดเกบและสารองขอมล ตามประเภทของขอมล ไดแก โปรแกรมระบบปฏบตการ

โปรแกรมประยกตหรอแอพลเคชน ชดคาสง และขอมล อยางนอยหนงชดแยกสถานทจากกน เพอความมนคงปลอดภยและใชงานไดอยางตอเนอง

๕.๖.๒ กาหนดผรบผดชอบในการสารองขอมล ตรวจสอบความมอยอยางถกตอง ครบถวนของขอมล อยางนอยปละหนงครง และมการบนทกรายละเอยดการตรวจสอบ ในกรณตรวจพบขอมลสญหายไมถกตองครบถวน ใหดาเนนการปรบปรง แกไขขอมลใหมความสมบรณครบถวนในทนท

๕.๖.๓ กาหนดความถในการสารองขอมลของระบบงาน และทาการสารองขอมลตามความถทกาหนดไว (ระบบงานทมการเปลยนแปลงบอย ควรจะมความถในการสารองขอมลมากขน) และมการนาขอมลทสารองไปเกบไวนอกสถานทอยางนอย ๑ ชด

(๑) กาหนดขนตอนการจดทาสารองขอมล และการกคนขอมลอยางถกตอง รวมทงซอฟตแวร (๒) ทาการตรวจสอบวาการสารองทเกดขนนน สาเรจครบถวน หรอไม (๓) ทาการทดสอบกคนขอมลทสารองไว อยางนอยปละ ๑ ครง รวมทงดาเนนการ

ทดสอบวาระบบงานทงหมดสามารถใชงานได หรอไม ๕.๖.๔ จดทาแผนเตรยมความพรอมกรณเกดเหตฉกเฉนใหสามารถกคนระบบกลบคนได

ภายในระยะเวลาทกาหนด โดยมแนวทางปฏบตสาหรบการกคนขอมลจากภยพบต โดย (๑) มการกาหนดระบบงานทมความสาคญทงหมดของกรมทดน และจดทาเปนบญช

รายชอของระบบงาน ดงกลาว รวมทงปรบปรงบญชรายชอนใหมความทนสมยอยเสมอตามระบบงานทมความสาคญทเกดขนใหม

(๒) ประเมนความเสยงสาหรบระบบงานทมความสาคญเหลานน และกาหนดมาตรการเพอลดความเสยงทพบใหปรบปรงรายงานการประเมนความเสยงอยางนอยปละ ๑ ครง

(๓) กาหนดชนดของขอมล เชน ซอฟตแวรตาง ๆ ทเกยวของกบระบบงาน หรอขอมลในฐานขอมล

(๔) กาหนดความถในการสารองขอมล และวธการสารอง เชน แบบ Full Backup หรอ Incremental Backup ของระบบงานทมความสาคญเหลานน

(๕) จดทาแผนกคนเพอรบมอกบภยพบตทอาจเกดขนได แผนกคนตองมรายละเอยดดงตอไปน

- การกาหนดหนาท และความรบผดชอบตอผทเกยวของทงหมด - การประเมนความเสยงสาหรบระบบงานทมความสาคญเหลานน และกาหนด

มาตรการ เพอลดความเสยงเหลานน เชน ไฟดบเปนระยะเวลานาน ไฟไหม แผนดนไหว การชมนมประทวงทาใหไมสามารถเขามาใชระบบงานได

- การกาหนดขนตอนปฏบตในการกคนระบบงาน - การกาหนดขนตอนปฏบตในการสารองขอมลและทดสอบกคนขอมลทสารองไว - การทดสอบตามแผนเตรยมความพรอมฯ อยางนอยปละ ๑ ครง - การกาหนดชองทางในการตดตอกบผใหบรการภายนอก เชน ผใหบรการ

เครอขาย ฮารดแวร ซอฟตแวร - การสรางความตระหนก หรอใหความรแกเจาหนาทผทเกยวของกบขนตอนการ

ปฏบต หรอสงทตองทาเมอเกดเหตเรงดวน (๖) ใหทาการปรบปรงแผนกคนอยางนอยปละ ๑ ครง

-------------------------------------------------------------------------- นโยบายและแนวปฏบตในการรกษาความมนคงปลอดภยดานสารสนเทศ กรมทดน โดยสานกเทคโนโลยสารสนเทศ

-๒๖-

(๗) ใหทาการสารองขอมลตามชนด ความถ และวธการสารองทไดกาหนดไว และ ใหตรวจสอบอยางสมาเสมอวาขอมลทสารองไปนนมความครบถวน

(๘) ใหทาการทดสอบกคนขอมลทสารองไวนน วาสามารถกคนไดอยางครบถวนหรอไม อยางนอยปละ ๑ ครง ถาพบวามปญหาเกดขนในระหวางการทดสอบกคน ใหดาเนนการแกไข และ บนทกขอมลปญหานนไว พรอมทงวธการแกไขอยางเปนลายลกษณอกษร

(๙) ใหจดประชมและแจงใหผทเกยวของทงหมดไดรบทราบรายละเอยดของแผนกคน รวมทงเมอมการปรบปรงแผนกคนใหมจะตองจดประชมใหม และแจงใหผทเกยวของทราบเชนเดยวกน

๕.๖.๕ จดทาแผนเตรยมความพรอมกรณเกดเหตฉกเฉนทไมสามารถดาเนนการดวยวธทางอเลกทรอนกส เพอใหการปฏบตงานเปนไปอยางตอเนอง

(๑) ใหเตรยมแบบฟอรม / แบบพมพทสามารถใชทดแทนแบบฟอรม / แบบพมพทพมพไดจากระบบเทคโนโลยสารสนเทศและการสอสาร

(๒) ใหปฏบตงานตามกระบวนงานเดมกอนทจะนาระบบเทคโนโลยสารสนเทศและการสอสารปจจบนมาใช เชน การใชระบบมอ (Manual System)

(๓) เมอระบบเทคโนโลยสารสนเทศและการสอสารสามารถใชงานไดตามปกต ใหนาขอมลทเกดขนระหวางทเกดเหตฉกเฉนฯ เขาระบบ

๕.๗ การรกษาความมนคงปลอดภยดานการประเมนความเสยงของระบบเทคโนโลยสารสนเทศและการสอสาร

๕.๗.๑ มการแตงตงคณะทางานบรหารความเสยงของสานกเทคโนโลยสารสนเทศ เพอดาเนนการ (๑) จดลาดบความสาคญของความเสยง (๒) จดทาแผนบรหารความเสยง (๓) ดาเนนการตามแผนบรหารความเสยง

๕.๗.๒ มการตรวจสอบและประเมนความเสยงในเรองความมนคงปลอดภยดานเทคโนโลยสารสนเทศและระบบคอมพวเตอรอยางนอยปละหนงครง

๕.๗.๓ มกลมตรวจสอบภายในกรมทดน เปนผตรวจสอบและประเมนความเสยง ๕.๗.๔ มการรายงานการตรวจสอบและประเมนความเสยงเสนอผรบผดชอบ และหนวยงาน

ทรบผดชอบ และจะดาเนนการปรบปรงตามคาแนะนาหนวยงานทรบผดชอบนนโดยทนท ๕.๗.๕ มการกาหนดความรบผดชอบของผใชงานหรอผบรหาร ใหผใชงานและผบรหาร

รบผดชอบในกรณเกดความเสยหายหรออนตรายอนเนองมาจากผใชงานหรอผบรหารบกพรองหรอไมปฏบตตามนโยบายและแนวปฏบตในการรกษาความมนคงปลอดภยดานสารสนเทศ แลวแตกรณ

๕.๘ การสรางความตระหนกในเรองการรกษาความมนคงปลอดภยดานเทคโนโลยสารสนเทศ ๕.๘.๑ มการเผยแพรประชาสมพนธและฝกอบรม ใหเจาหนาทกรมทดนรบทราบ เขาใจ

และไมกระทาความผดตามพระราชบญญตวาดวยการกระทาความผดเกยวกบคอมพวเตอร พ.ศ.๒๕๕๐ และกฎหมายอน ๆ ทเกยวของกบเทคโนโลยสารสนเทศ รวมถงมความรบผดชอบในการใชทรพยากรทางดานเทคโนโลยสารสนเทศของกรมทดนอยางเหมาะสม

๕.๘.๒ ใหผมหนาทรบผดชอบในการนาขอมลขนเผยแพรสสาธารณะ ทางเวบไซดกรมทดนจะตองดาเนนการดวยตนเอง โดยหามมใหผอนดาเนนการแทน

๕.๘.๓ มการทบทวนปรบปรงนโยบายและแนวปฏบตในการรกษาความมนคงปลอดภย ดานเทคโนโลยสารสนเทศใหมความทนสมย และเปนมาตรฐานทยอมรบอยางนอยปละหนงครง

-------------------------------------------------------------------------- นโยบายและแนวปฏบตในการรกษาความมนคงปลอดภยดานสารสนเทศ กรมทดน โดยสานกเทคโนโลยสารสนเทศ

-๒๗-

๖. บทลงโทษและการบงคบใช ๖.๑ ผใชงานทมเจตนาฝาฝนนโยบายและแนวปฏบตในการรกษาความมนคงปลอดภยดานสารสนเทศ กรมทดน ตามเอกสารฉบบน แมวาการฝาฝนนนจะกระทาไมบรรลผลโดยสมบรณ ใหถอวามความผด โดยสมบรณ ๖ .๒ หากผ ใชงานไมปฏบ ตตามนโยบายและแนวปฏ บ ตในการรกษาความมนคงปลอดภย ดานสารสนเทศ กรมทดน กอใหเกดความเสยหายตอบคคลอน หรอตอทรพยสนของทางราชการ จะตอง รบโทษตามบทลงโทษตอไปน

(๑) โทษขนตน ระงบสทธการใชเครองคอมพวเตอรและเครอขายสอสาร เปนเวลา ๗ วน (๒) โทษขนกลาง ระงบสทธการใชเครองคอมพวเตอรและเครอขายสอสาร เปนเวลา ๓๐ วน (๓) โทษขนสง ระงบสทธการใชเครองคอมพวเตอรและเครอขายสอสาร เปนเวลา ๓ เดอน (๔) โทษขนรายแรง ระงบสทธการใชเครองคอมพวเตอรและเครอขายสอสาร เปนเวลา ๑ ป และ

หากการละเมดฝาฝนใหเกดความเสยหายตอผอน หรอตอทรพยสนของทางราชการอยางรายแรง ใหลงโทษผกระทาความผดตามระเบยบกฎหมายทเกยวของนน ๆ

......................................................