การรักษาความปลอดภัยของระบบเทคโนโลยีสารสนเทศ

การรักษาความปลอดภัยของระบบเทคโนโลยีสารสนเทศ

ระบบเทคโนโลยีสารสนเทศมีบทบาทสำคัญต่อการดำเนินธุรกิจและการเติบโตของบริษัทฯ บริษัทฯ จึงกำหนดแนวทางการรักษาความมั่นคงปลอดภัยของข้อมูลและระบบสารสนเทศอย่างเป็นระบบ ครอบคลุมนโยบาย แผนดำเนินงาน และกระบวนการปฏิบัติงานที่ชัดเจน พร้อมสื่อสารให้หน่วยงานที่เกี่ยวข้องทั้งภายในและภายนอกรับทราบ เพื่อให้การดำเนินงานสอดคล้องกับกฎหมาย ข้อกำหนดที่เกี่ยวข้อง และมาตรฐานสากล อันนำไปสู่การปกป้องข้อมูลของบริษัทฯ และเสริมสร้างความเชื่อมั่นแก่ผู้มีส่วนได้เสียทุกฝ่าย

บริษัทฯ ได้จัดตั้งคณะทำงานด้านความปลอดภัยของระบบเทคโนโลยีสารสนเทศ ซึ่งประกอบด้วยประธานกรรมการบริหารและผู้บริหารจากหน่วยงานที่เกี่ยวข้อง โดยมีโครงสร้างดังนี้

บทบาทหน้าที่ของคณะทำงาน

  1. คณะกรรมการบริษัทฯ มีหน้าที่อนุมัตินโยบายและมาตรการรักษาความมั่นคงปลอดภัยของระบบเทคโนโลยีสารสนเทศ และให้ความสำคัญในการป้องกันปัญหาที่อาจจะเกิดขึ้นจากการใช้งานเครือข่ายระบบเทคโนโลยีสารสนเทศในลักษณะที่ไม่ถูกต้องจากผู้ใช้งานและภัยคุกคามต่าง ๆ
  2. คณะทำงาน นำโดยประธานกรรมการบริหาร มีหน้าที่กำกับดูแลการปฏิบัติงานให้ถูกต้องตามกฎหมาย และกฎเกณฑ์ทางการอื่น ๆ โดยมีการประเมินความเสี่ยงด้านสารสนเทศภายใต้การบริหารความเสี่ยง
  3. พนักงานมีหน้าที่ต้องปฏิบัติตามนโยบาย ระเบียบปฏิบัติ คำสั่ง และคู่มือปฏิบัติงานเกี่ยวกับมาตรการรักษาความมั่นคงปลอดภัยทางระบบสารสนเทศ
  4. โดยคณะทำงานดังกล่าวมีหน้าที่กำกับดูแลการปฏิบัติงานให้สอดคล้องกับมาตรฐานและกฎหมายที่เกี่ยวข้อง รวมถึงกำหนดมาตรการแก้ไขป้องกันควบคู่ไปกับการเพิ่มประสิทธิภาพของกระบวนการปฏิบัติงาน ทั้งนี้ จัดให้มีการรายงานผลการดำเนินงานต่อคณะกรรมการตรวจสอบและคณะกรรมการบริหารความเสี่ยง อย่างน้อยปีละ 1 ครั้ง

แนวทางการรักษาความมั่นคงปลอดภัยทางระบบสารสนเทศ

  1. จัดให้มีการติดตั้งระบบป้องกันการรั่วไหลของข้อมูล จากการโจมตีจากภายนอกหรือภัยจากไวรัสคอมพิวเตอร์ ด้วยการติดตั้งซอฟแวร์รักษาความปลอดภัยเน็ตเวิร์ค (Firewall)
  2. กำหนดให้มีการปรับปรุงอำนาจการเข้าถึงข้อมูลเพื่อป้องกันการรั่วไหลของข้อมูล
  3. กำหนดให้มีแผนการสำรองข้อมูล พร้อมทั้งมีการตรวจสอบการสำรองข้อมูลให้ถูกต้องตามนโยบายและมาตการรักษาความปลอดภัยทางระบบสารสนเทศ (Information Security Policy)
  4. จัดให้มีการสื่อสารภายในเพื่อสร้างความตระหนักรู้และปลูกฝังจิตสำนึกในเรื่องการใช้เทคโนโลยีให้ถูกวิธีและถูกวิธีและถูกต้องให้แก่พนักงาน อาทิ ไม่ดาวน์โหลดโปรแกรมที่ไม่ได้รับอนุญาต ไม่เปิดอีเมลที่ไม่ทราบที่มา
  5. การจัดทำคู่มือการปกป้องข้อมูลส่วนบุคคล และความมั่นคงปลอดภัยสารสนเทศ รวมถึงกำหนดแผนบริหารความต่อเนื่องทางธุรกิจ (BCP) เพื่อป้องกันและรับมือกับการหยุดชะงักของการดำเนินธุรกิจอันมีเหตุมาจากภัยคุกคามต่อการทำงานของระบบเทคโนโลยีสารสนเทศ
  6. การว่าจ้างผู้เชี่ยวชาญจากภายนอกมาเป็นผู้ตรวจสอบระบบเทคโนโลยีสารสนเทศ (IT Auditor) ซึ่งมีหน้าที่รับผิดชอบในการประเมินความเพียงพอของการควบคุมภายในและการจัดการความเสี่ยงด้านระบบเทคโนโลยีสารสนเทศ โดยจัดให้มีการรายงานผลการตรวจสอบโดยตรงต่อคณะกรรมการตรวจสอบ และคณะกรรมการบริหารความเสี่ยง

การดำเนินงานในรอบปี 2568

บริษัทฯ ทำการซ้อมแผนการกอบกู้ระบบงานด้านสารสนเทศ 2 ครั้ง เพื่อเป็นการทดสอบแผนรองรับเหตุการณ์ฉุกเฉิน มีสอบทานการควบคุมด้านระบบเทคโนโลยีสารสนเทศโดยหน่วยงานภายนอก ซึ่งภายหลังจากการทวนสอบ ได้นำผลการสอบทานและข้อเสนอแนะหารือต่อผู้บริหาร โดยมีการทบทวนนโยบายถึงขั้นตอนการบริหารจัดการสิทธิ์การเข้าถึงต่าง ๆ เพื่อปรับปรุงกระบวนการทำงานของบริษัทฯ ให้มีความรัดกุมและมีประสิทธิภาพยิ่งขึ้น นอกจากนี้ ยังส่งเสริมให้พนักงานมีความรู้ด้าน Cyber security ผ่านการอบรมโดยหน่วยงานภายนอก สนับสนุนให้พนักงานศึกษาและติดตามข่าวสารด้านเทคโนโลยี ภัยคุกคามทางไซเบอร์ ตลอดจนสื่อสารผ่านระบบอินทราเน็ตภายในองค์กร เพื่อให้รู้เท่าทันและเตรียมรับมือได้ ในปี 2568 บริษัทฯ ไม่พบเหตุการณ์ด้านความไม่ปลอดภัยของเทคโนโลยีสารสนเทศ