การรักษาความปลอดภัยของระบบเทคโนโลยีสารสนเทศ
ระบบเทคโนโลยีสารสนเทศมีบทบาทสำคัญต่อการดำเนินธุรกิจและการเติบโตของบริษัทฯ บริษัทฯ จึงกำหนดแนวทางการรักษาความมั่นคงปลอดภัยของข้อมูลและระบบสารสนเทศอย่างเป็นระบบ ครอบคลุมนโยบาย แผนดำเนินงาน และกระบวนการปฏิบัติงานที่ชัดเจน พร้อมสื่อสารให้หน่วยงานที่เกี่ยวข้องทั้งภายในและภายนอกรับทราบ เพื่อให้การดำเนินงานสอดคล้องกับกฎหมาย ข้อกำหนดที่เกี่ยวข้อง และมาตรฐานสากล อันนำไปสู่การปกป้องข้อมูลของบริษัทฯ และเสริมสร้างความเชื่อมั่นแก่ผู้มีส่วนได้เสียทุกฝ่าย
บริษัทฯ ได้จัดตั้งคณะทำงานด้านความปลอดภัยของระบบเทคโนโลยีสารสนเทศ ซึ่งประกอบด้วยประธานกรรมการบริหารและผู้บริหารจากหน่วยงานที่เกี่ยวข้อง โดยมีโครงสร้างดังนี้
บทบาทหน้าที่ของคณะทำงาน
- คณะกรรมการบริษัทฯ มีหน้าที่อนุมัตินโยบายและมาตรการรักษาความมั่นคงปลอดภัยของระบบเทคโนโลยีสารสนเทศ และให้ความสำคัญในการป้องกันปัญหาที่อาจจะเกิดขึ้นจากการใช้งานเครือข่ายระบบเทคโนโลยีสารสนเทศในลักษณะที่ไม่ถูกต้องจากผู้ใช้งานและภัยคุกคามต่าง ๆ
- คณะทำงาน นำโดยประธานกรรมการบริหาร มีหน้าที่กำกับดูแลการปฏิบัติงานให้ถูกต้องตามกฎหมาย และกฎเกณฑ์ทางการอื่น ๆ โดยมีการประเมินความเสี่ยงด้านสารสนเทศภายใต้การบริหารความเสี่ยง
- พนักงานมีหน้าที่ต้องปฏิบัติตามนโยบาย ระเบียบปฏิบัติ คำสั่ง และคู่มือปฏิบัติงานเกี่ยวกับมาตรการรักษาความมั่นคงปลอดภัยทางระบบสารสนเทศ
- โดยคณะทำงานดังกล่าวมีหน้าที่กำกับดูแลการปฏิบัติงานให้สอดคล้องกับมาตรฐานและกฎหมายที่เกี่ยวข้อง รวมถึงกำหนดมาตรการแก้ไขป้องกันควบคู่ไปกับการเพิ่มประสิทธิภาพของกระบวนการปฏิบัติงาน ทั้งนี้ จัดให้มีการรายงานผลการดำเนินงานต่อคณะกรรมการตรวจสอบและคณะกรรมการบริหารความเสี่ยง อย่างน้อยปีละ 1 ครั้ง
แนวทางการรักษาความมั่นคงปลอดภัยทางระบบสารสนเทศ
- จัดให้มีการติดตั้งระบบป้องกันการรั่วไหลของข้อมูล จากการโจมตีจากภายนอกหรือภัยจากไวรัสคอมพิวเตอร์ ด้วยการติดตั้งซอฟแวร์รักษาความปลอดภัยเน็ตเวิร์ค (Firewall)
- กำหนดให้มีการปรับปรุงอำนาจการเข้าถึงข้อมูลเพื่อป้องกันการรั่วไหลของข้อมูล
- กำหนดให้มีแผนการสำรองข้อมูล พร้อมทั้งมีการตรวจสอบการสำรองข้อมูลให้ถูกต้องตามนโยบายและมาตการรักษาความปลอดภัยทางระบบสารสนเทศ (Information Security Policy)
- จัดให้มีการสื่อสารภายในเพื่อสร้างความตระหนักรู้และปลูกฝังจิตสำนึกในเรื่องการใช้เทคโนโลยีให้ถูกวิธีและถูกวิธีและถูกต้องให้แก่พนักงาน อาทิ ไม่ดาวน์โหลดโปรแกรมที่ไม่ได้รับอนุญาต ไม่เปิดอีเมลที่ไม่ทราบที่มา
- การจัดทำคู่มือการปกป้องข้อมูลส่วนบุคคล และความมั่นคงปลอดภัยสารสนเทศ รวมถึงกำหนดแผนบริหารความต่อเนื่องทางธุรกิจ (BCP) เพื่อป้องกันและรับมือกับการหยุดชะงักของการดำเนินธุรกิจอันมีเหตุมาจากภัยคุกคามต่อการทำงานของระบบเทคโนโลยีสารสนเทศ
- การว่าจ้างผู้เชี่ยวชาญจากภายนอกมาเป็นผู้ตรวจสอบระบบเทคโนโลยีสารสนเทศ (IT Auditor) ซึ่งมีหน้าที่รับผิดชอบในการประเมินความเพียงพอของการควบคุมภายในและการจัดการความเสี่ยงด้านระบบเทคโนโลยีสารสนเทศ โดยจัดให้มีการรายงานผลการตรวจสอบโดยตรงต่อคณะกรรมการตรวจสอบ และคณะกรรมการบริหารความเสี่ยง
การดำเนินงานในรอบปี 2568
บริษัทฯ ทำการซ้อมแผนการกอบกู้ระบบงานด้านสารสนเทศ 2 ครั้ง เพื่อเป็นการทดสอบแผนรองรับเหตุการณ์ฉุกเฉิน มีสอบทานการควบคุมด้านระบบเทคโนโลยีสารสนเทศโดยหน่วยงานภายนอก ซึ่งภายหลังจากการทวนสอบ ได้นำผลการสอบทานและข้อเสนอแนะหารือต่อผู้บริหาร โดยมีการทบทวนนโยบายถึงขั้นตอนการบริหารจัดการสิทธิ์การเข้าถึงต่าง ๆ เพื่อปรับปรุงกระบวนการทำงานของบริษัทฯ ให้มีความรัดกุมและมีประสิทธิภาพยิ่งขึ้น นอกจากนี้ ยังส่งเสริมให้พนักงานมีความรู้ด้าน Cyber security ผ่านการอบรมโดยหน่วยงานภายนอก สนับสนุนให้พนักงานศึกษาและติดตามข่าวสารด้านเทคโนโลยี ภัยคุกคามทางไซเบอร์ ตลอดจนสื่อสารผ่านระบบอินทราเน็ตภายในองค์กร เพื่อให้รู้เท่าทันและเตรียมรับมือได้ ในปี 2568 บริษัทฯ ไม่พบเหตุการณ์ด้านความไม่ปลอดภัยของเทคโนโลยีสารสนเทศ