มาตรฐานความมั่นคงปลอดภัยด้านสารสนเทศ ฉบับที่ 2 (ปรับปรุง พ.ศ. 2554)

öćêøåćîÙüćööĆîę ÙÜðúĂéõĆ÷éšćîÿćøÿîđìý
ÞïĆïìĊę 2
( ðøĆïðøčÜ ó.ý. 2554 )
ÖćøĕôôŜćòść÷ñúĉêĒĀŠÜðøąđìýĕì÷
ÙĞćîĞć
ÖćøĕôôŜćòść÷ñúĉêĒĀŠÜðøąđìýĕì÷ (Öôñ.) ĕéšêøąĀîĆÖëċÜÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìýüŠćđðŨî
ðŦÝÝĆ÷ÿĞćÙĆâĔîÖćøéĞćđîĉîíčøÖĉÝĔĀšðøąÿïÙüćöÿĞćđøĘÝõć÷ĔêšÖćøïøĉĀćøÝĆéÖćøìĊęéĊ éĆÜîĆĚîđóČęĂđðŨî Öćø
ÖĞćĀîéìĉýìćÜ ĀúĆÖÖćøĒúąÖøĂï×ĂÜ×šĂÖĞćĀîéĔîÖćøðŜĂÜÖĆîìøĆó÷ŤÿĉîìĊęđÖĊę÷ü×šĂÜÖĆïøąïïÿćøÿîđìýĔĀš
ðúĂéõĆ÷ÝćÖõĆ÷ÙčÖÙćöìĊęÖŠĂĔĀšđÖĉé ÙüćöđÿĊ÷Āć÷êŠĂÖćøøĆÖþćÙüćöúĆï (Confidentiality) ÙüćöëĎÖêšĂÜ
Ùøïëšüî (Integrity) ĒúąÙüćöóøšĂöĔßš (Availability) ×ĂÜ×šĂöĎúĔîøąïïÿćøÿîđìý ĂĊÖìĆĚÜđóČęĂĔĀš
ñĎšðäĉïĆêĉÜćîĒúąïčÙÙúìĊęđÖĊę÷ü×šĂÜÖĆï Öôñ. êøąĀîĆÖëċÜÙüćöÿĞćÙĆâ×ĂÜ ÙüćööĆęîÙÜðúĂéõĆ÷éšćî
ÿćøÿîđìý Öôñ. ÝċÜĕéšöĊÖćøÖĞćĀîéöćêøåćîÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìýÞïĆïîĊĚ đóČęĂøĂÜøĆïîē÷ïć÷
ÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý ĒúąĔĀšĀîŠü÷ÜćîêŠćÜė ĔßšĔîÖćøéĞćđîĉîÜćîéšćîÿćøÿîđìýĂ÷ŠćÜ
đÙøŠÜÙøĆé
ÙèąÖøøöÖćøđìÙēîēú÷Ċÿćøÿîđìý Öôñ. (Ùìÿ.) ĕéšĔĀšÙüćöđĀĘîßĂïĔîöćêøåćîÙüćööĆęîÙÜ

ðúĂéõĆ÷éšćîÿćøÿîđìýÞïĆïîĊĚĒúąÝąĔßšđðŨîđÙøČęĂÜöČĂĔîÖćøïøĉĀćøÝĆéÖćøéšćîÿćøÿîđìý ĔĀšïøøúčñúÿĞćđøĘÝ
êćöđðŜćĀöć÷ìĊęÖĞćĀîéĕüšêŠĂĕð
(îć÷ÿĀĆÿ ðøąìĆÖþŤîčÖĎú)
øĂÜñĎšüŠćÖćøîē÷ïć÷ĒúąĒñî
ðøąíćîÙèąÖøøöÖćøđìÙēîēú÷Ċÿćøÿîđìý Öôñ.
öćêøåćîÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý ÞïĆïìĊę 2 ðøĆïðøčÜ ó.ý. 2554 2 / 174

ïĆîìċÖÖćøĒÖšĕ×
úĞćéĆïìĊę ßČęĂđĂÖÿćø üĆêëčðøąÿÜÙŤÖćøĒÖšĕ× üĆîìĊęöĊñúïĆÜÙĆïĔßš
1 ÙĎŠöČĂÖćøðäĉïĆêĉÜćîêćö đóČęĂĔĀšöĊÙüćöđĀöćąÿöÖĆïÖćøéĞćđîĉîÜćîĔîðŦÝÝčïĆî öÖøćÙö 2554

öćêøåćîÙüćööĆęîÙÜ öć Ö÷ĉę Ü ×ċĚ î øüöìĆĚ Ü đóČę Ă ĔĀš ÿ ĂéÙ úš Ă ÜÖĆ ï Öćø
ðúĂéõĆ÷éšćîÿćøÿîđìý đðúĊę ÷ îĒðúÜĒúąđóĉę ö đêĉ ö Ĕî×š Ă ÖãĀöć÷Ēúą
ÞïĆïìĊę 2 ×šĂÖĞćĀîéìĊęđÖĊę÷ü×šĂÜÖĆï Öôñ. éĆÜîĊĚ
x óøąøćßÖùþãĊÖć üŠćéšü÷üĉíĊÖćøĒïïðúĂéõĆ÷
ĔîÖćøìĞ ć íč ø ÖøøöìćÜĂĉ đ úĘ Ö ìøĂîĉ Ö ÿŤ ó.ý.
ģĦĦĤ
x ð ø ą Ö ć ý Ù è ą Ö ø ø ö Ö ć ø íč ø Ö ø ø ö ì ć Ü
Ăĉ đ úĘ Ö ìøĂîĉ Ö ÿŤ đøČę Ă Ü Ēîüîē÷ïć÷ĒúąĒîü
ðäĉïĆ êĉĔîÖćøøĆ Ö þćÙüćööĆę î ÙÜðúĂéõĆ÷ éšć î
ÿćøÿîđìý×ĂÜĀîŠü÷Üćî×ĂÜøĆå ó.ý. ģĦĦĤ
x øŠćÜóøąøćßïĆââĆêĉÙčšöÙøĂÜ×šĂöĎúÿŠüîïčÙÙú
x ð ø ą Ö ć ý Ù è ą Ö ø ø ö Ö ć ø íč ø Ö ø ø ö ì ć Ü
Ăĉ đ úĘ Ö ìøĂîĉ Ö ÿŤ đøČę Ă Ü Ēîüîē÷ïć÷ĒúąĒîü
ðäĉ ïĆ êĉ Ĕ îÖćøÙčš ö ÙøĂÜ×š Ă öĎ ú ÿŠ ü îïč Ù Ùú×ĂÜ
ĀîŠü÷Üćî×ĂÜøĆå ó.ý. ģĦĦĤ

ÿćøïĆâ Āîšć
ÙĞćîĉ÷ćö ........................................................................................................................................................................... 6
ST-01: ÖćøîĞćöćêøåćîÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìýĕððäĉïĆêĉ (Implement of Information security
standards) ................................................................................................................................................................... 12
ST-02: öćêøåćîēÙøÜÿøšćÜìćÜéšćîÙüćööĆęîÙÜðúĂéõĆ÷ÿĞćĀøĆï Öôñ. (Standard of Organization of
Information Security) ............................................................................................................................................... 23
2.1 ēÙøÜÿøšćÜìćÜéšćîÙüćööĆęîÙÜðúĂéõĆ÷õć÷ĔîĂÜÙŤÖø (Internal Organization) ............................................... 26
2.2 ēÙøÜÿøšćÜìćÜéšćîÙüćööĆęîÙÜðúĂéõĆ÷ìĊęđÖĊę÷ü×šĂÜÖĆïĀîŠü÷Üćîõć÷îĂÖ (External Parties) .......................... 31
ST-03: öćêøåćîÖćøïøĉĀćøÝĆéÖćøìøĆó÷Ťÿĉîéšćîÿćøÿîđìý (Standard of Asset Management) ......................... 34
3.1 ĀîšćìĊęÙüćöøĆïñĉéßĂïêŠĂìøĆó÷Ťÿĉî×ĂÜĂÜÙŤÖø (Responsibility for Assets) .................................................... 36
3.2 ÖćøÝĆéĀöüéĀöĎŠÿćøÿîđìý (Information Classification) ............................................................................... 37
ST-04: öćêøåćîÙüćööĆęîÙÜðúĂéõĆ÷ìĊęđÖĊę÷üÖĆïïčÙúćÖø (Standard of Human Resources Security) ................ 46
4.1 ÖćøÿøšćÜÙüćööĆęîÙÜðúĂéõĆ÷ÖŠĂîÖćøÝšćÜÜćî (Prior to Employment) ......................................................... 50
4.2 ÖćøÿøšćÜÙüćööĆęîÙÜðúĂéõĆ÷ĔîøąĀüŠćÜÖćøÝšćÜÜćî (During Employment).................................................. 52
4.3 ÖćøÿĉĚîÿčéĀøČĂÖćøđðúĊę÷îĒðúÜÖćøÝšćÜÜćî (Termination or Change of Employment) ............................ 54
ST-05: öćêøåćîÙüćööĆęîÙÜðúĂéõĆ÷ìćÜÖć÷õćóĒúąÿĉęÜĒüéúšĂö (Standard of Physical and Environmental
Security) ...................................................................................................................................................................... 55
5.1 ïøĉđüèìĊęêšĂÜöĊÖćøøĆÖþćÙüćööĆęîÙÜðúĂéõĆ÷ (Secure Areas) .......................................................................... 58
5.2 ÙüćööĆęîÙÜðúĂéõĆ÷×ĂÜĂčðÖøèŤ (Equipment Security) ................................................................................. 64
ST-06: öćêøåćîÖćøïøĉĀćøÝĆéÖćøéšćîÖćøÿČęĂÿćøĒúąÖćøðäĉïĆêĉÖćøÿćøÿîđìý×ĂÜ Öôñ. (Standard of
Communication and Operation Management) ................................................................................................. 68
6.1 ÖćøÖĞćĀîéĀîšćìĊęÙüćöøĆïñĉéßĂïĒúą×ĆĚîêĂîÖćøðäĉïĆêĉÜćî (Operational Procedures and
Responsibilities) ........................................................................................................................................... 71
6.2 ÖćøïøĉĀćøÝĆéÖćøÖćøĔĀšïøĉÖćø×ĂÜĀîŠü÷Üćîõć÷îĂÖ (External Party Service Delivery Management) . 75
6.3 ÖćøüćÜĒñîĒúąÖćøêøüÝøĆïìøĆó÷ćÖøÿćøÿîđìý (System Planning and Acceptance) ............................ 77
6.4 ÖćøðŜĂÜÖĆîēðøĒÖøöìĊęĕöŠðøąÿÜÙŤéĊ (Protection against Malicious and Mobile Code)............................. 78
6.5 ÖćøÿĞćøĂÜ×šĂöĎú (Back-up) ................................................................................................................................ 80
6.6 ÖćøïøĉĀćøÝĆéÖćøìćÜéšćîÙüćööĆęîÙÜðúĂéõĆ÷ÿĞćĀøĆïđÙøČĂ×Šć÷×ĂÜĂÜÙŤÖø (Network Security Management)
........................................................................................................................................................................ 81
6.7 ÖćøÝĆéÖćøÿČęĂìĊęĔßšĔîÖćøïĆîìċÖ×šĂöĎú (Media Handling) .................................................................................. 83
6.8 ÖćøĒúÖđðúĊę÷îÿćøÿîđìý (Exchange of Information) .................................................................................. 85
6.9 ÖćøÿøšćÜÙüćööĆęîÙÜðúĂéõĆ÷ÿĞćĀøĆïïøĉÖćøóćèĉß÷ŤĂĉđúĘÖìøĂîĉÖÿŤ (Electronic Commerce Services) ........ 91
6.10 ÖćøđòŜćøąüĆÜìćÜéšćîÙüćööĆęîÙÜðúĂéõĆ÷ (Monitoring) ................................................................................. 95
ST-07: öćêøåćîÖćøÙüïÙčöÖćøđ×šćëċÜ (Standard of Access Control) ................................................................. 98
7.1 ×šĂÖĞćĀîéìćÜíčøÖĉÝÿĞćĀøĆïÖćøÙüïÙčöÖćøđ×šćëċÜ (Business Requirements for Access Control) ............ 102

7.2 ÖćøïøĉĀćøÝĆéÖćøÖćøđ×šćëċÜ×ĂÜñĎšĔßš (User Access Management)............................................................... 103
7.3 ĀîšćìĊęÙüćöøĆïñĉéßĂï×ĂÜñĎšĔßšÜćî (User Responsibilities) ........................................................................... 106
7.4 ÖćøÙüïÙčöÖćøđ×šćëċÜđÙøČĂ×Šć÷ (Network Access Control) .......................................................................... 108
7.5 ÖćøÙüïÙčöÖćøđ×šćëċÜøąïïðäĉïĆêĉÖćø (Operating System Access Control) ............................................. 115
7.6 ÖćøÙüïÙčöÖćøđ×šćëċÜēðøĒÖøöðøą÷čÖêŤĒúąÿćøÿîđìý (Application and Information Access Control)118
7.7 ÖćøÙüïÙčöĂčðÖøèŤÿČęĂÿćøðøąđõìóÖóćĒúąÖćøðäĉïĆêĉÜćîÝćÖõć÷îĂÖĂÜÙŤÖø (Mobile Computing and
Teleworking) ............................................................................................................................................... 119
ST-08: öćêøåćîÖćøÝĆéĀć ÖćøóĆçîć ĒúąÖćøïĞćøčÜøĆÖþćøąïïÿćøÿîđìý (Standard of Information System
Acquisition, Development and Maintenance) ................................................................................................. 121
8.1 ×šĂÖĞćĀîééšćîÙüćööĆęîÙÜðúĂéõĆ÷ÿĞćĀøĆïøąïïÿćøÿîđìý (Security Requirements of Information
Systems) ...................................................................................................................................................... 123
8.2 ÖćøðøąöüúñúÿćøÿîđìýĔîĒĂóóúĉđÙßĆî (Correct Processing in Applications) ..................................... 125
8.3 öćêøÖćøÖćøđ×šćøĀĆÿ×šĂöĎú (Cryptographic Controls) ................................................................................. 128
8.4 ÖćøÿøšćÜÙüćööĆęîÙÜðúĂéõĆ÷ĔĀšÖĆïĕôúŤ×ĂÜøąïïìĊęĔĀšïøĉÖćø (Security of System Files) .......................... 133
8.5 ÖćøÿøšćÜÙüćööĆęîÙÜðúĂéõĆ÷ÿĞćĀøĆïÖøąïüîÖćøĔîÖćøóĆçîćøąïïĒúąÖøąïüîÖćøÿîĆïÿîčî (Security in
Development and Support Processes) ................................................................................................ 136
8.6 ÖćøïøĉĀćøÝĆéÖćøßŠĂÜēĀüŠĔîăćøŤéĒüøŤĒúąàĂôêŤĒüøŤ (Technical Vulnerability Management) ................ 140
ST-09: öćêøåćîÖćøïøĉĀćøÝĆéÖćøÿëćîÖćøèŤìĊęđÖĊę÷üÖĆïÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý (Standard of
Information Security Incident Management) ................................................................................................... 141
9.1 Öćøøć÷ÜćîđĀêčÖćøèŤĒúąÝčéĂŠĂîìĊęđÖĊę÷üÖĆïÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý (Reporting Information
Security Events and Weaknesses) ......................................................................................................... 144
9.2 ÖćøïøĉĀćøÝĆéÖćøĒúąÖćøðøĆïðøčÜĒÖšĕ×êŠĂÿëćîÖćøèŤìĊęđÖĊę÷üÖĆïÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý
(Management of Information Security Incidents and Improvements) .......................................... 146
ST-10: öćêøåćîÖćøïøĉĀćøÙüćöêŠĂđîČęĂÜĔîÖćøéĞćđîĉîÜćî×ĂÜ Öôñ. (Standard of Business Continuity
Management) ........................................................................................................................................................... 149
10.1 ĀĆü×šĂóČĚîåćîÿĞćĀøĆïÖćøïøĉĀćøÙüćöêŠĂđîČęĂÜĔîÖćøéĞćđîĉîÜćî×ĂÜĂÜÙŤÖø (Information Security Aspects
of Business Continuity Management) ................................................................................................... 152
ST-11: öćêøåćîÖćøðäĉïĆêĉêćö×šĂÖĞćĀîéĒúąÖãĀöć÷ìĊęđÖĊę÷üÖĆïÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý (Standard of
Compliance) ............................................................................................................................................................. 159
11.1 ÖćøðäĉïĆêĉêćö×šĂÖĞćĀîéìćÜÖãĀöć÷ (Compliance with Legal Requirements) ................................... 163
11.2 ÖćøðäĉïĆêĉêćöîē÷ïć÷ öćêøåćîÙüćööĆęîÙÜðúĂéõĆ÷Ēúą×šĂÖĞćĀîéìćÜđìÙîĉÙ (Compliance with
Security Policies and Standards, and Technical Compliance) ........................................................ 170
11.3 ÖćøêøüÝðøąđöĉîøąïïÿćøÿîđìý (Information Systems Audit Considerations) ................................ 172
đĂÖÿćøĂšćÜĂĉÜ .............................................................................................................................................................. 173

ÙĞćîĉ÷ćö
ÙĞćîĉ÷ćöĔîÿŠüîîĊĚđðŨîÖćøĔĀšÙĞćÝĞćÖĆéÙüćöÿĞćĀøĆïýĆóìŤìĊęĔßšÜćîĔîîē÷ïć÷ÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìýÞïĆïîĊĚ đóČęĂĔĀšöĊ
ÙüćöĀöć÷ìĊęßĆéđÝîĒúšüđ×šćĔÝêøÜÖĆî
ýĆóìŤ ÙüćöĀöć÷
ÙüćööĆęîÙÜ Āöć÷ÙüćöüŠćÖćøðŜĂÜÖĆîìøĆó÷ŤÿĉîÿćøÿîđìýÝćÖÖćøđ×šćëċÜ Ĕßš đðŗéđñ÷ ×Ćé×üćÜ đðúĊę÷îĒðúÜĒÖšĕ× ìĞćĔĀšÿĎâĀć÷
ðúĂéõĆ÷éšćî ìĞćĔĀšđÿĊ÷Āć÷ ëĎÖìĞćúć÷ ĀøČĂúŠüÜøĎšēé÷öĉßĂï (ĂšćÜĂĉÜÝćÖ óøąøćßÖùþãĊÖć üŠćéšü÷üĉíĊÖćøĒïïðúĂéõĆ÷ĔîÖćøìĞć
ÿćøÿîđìý íčøÖøøöìćÜĂĉđúĘÖìøĂîĉÖÿŤ ó.ý. 2553)
Öôñ. ÖćøĕôôŜćòść÷ñúĉêĒĀŠÜðøąđìýĕì÷
ñĎšüŠćÖćø ñĎšüŠćÖćø Öôñ.
ñĎšĂĞćîü÷Öćøòść÷ ñĎšĂĞćîü÷Öćøòść÷ ĀøČĂñĎšìĊęìĞćĀîšćìĊęĒìîñĎšĂĞćîü÷Öćøòść÷ ĀøČĂđìĊ÷ïđìŠć đßŠî ñĎšĂĞćîü÷Öćøđ×ČęĂî ñĎšĂĞćîü÷Öćø
ēøÜĕôôŜćóúĆÜîĚĞć ñĎšĂĞćîü÷ÖćøēøÜĕôôŜćñĎšĂĞćîü÷ÖćøÿĞćîĆÖ ñĎšĂĞćîü÷ÖćøēÙøÜÖćø ñĎšĂĞćîü÷ÖćøÿŠüî ĀĆüĀîšćēÙøÜÖćø
(øąéĆïÿŠüî) đðŨîêšî
ĀĆüĀîšćÜćî ĀĆüĀîšćÖĂÜ ñĎšÝĆéÖćøÖĂÜ ĀĆüĀîšćēÙøÜÖćø (øąéĆïÖĂÜ) ñĎšÝĆéÖćøēÙøÜÖćø (øąéĆïÖĂÜ) ĀĆüĀîšćĀîŠü÷ ñĎšÝĆéÖćøĀîŠü÷
ÿćøÿîđìý ×ċĚîĕðìĊęøĆïñĉéßĂïÜćîÿćøÿîđìý ĀøČĂñĎšðäĉïĆêĉÜćîìĊęñĎšĂĞćîü÷Öćøòść÷×ċĚîĕðöĂïĀöć÷ĔĀšøĆïñĉéßĂïÜćîÿćøÿîđìý
ĀĆüĀîšćýĎî÷Ť ĀĆüĀîšćÜćî×ĂÜýĎî÷ŤÙĂöóĉüđêĂøŤ ĀøČĂñĎšøĆÖþćïøĉđüè ĔîÖøèĊìĊęĕöŠöĊĀĆüĀîšćÜćîýĎî÷ŤÙĂöóĉüđêĂøŤ
ÙĂöóĉüđêĂøŤ
ñĎšéĎĒúĀšĂÜ ñĎšìĊęĕéšøĆïöĂïĀöć÷ĔĀšöĊĀîšćìĊęéĎĒúøĆïñĉéßĂïĀšĂÜÙĂöóĉüđêĂøŤ
ñĎšðäĉïĆêĉÜćî ñĎšìéúĂÜÜćî óîĆÖÜćî ĒúąúĎÖÝšćÜ×ĂÜ Öôñ.
ñĎšĔßšÜćî ñĎšìéúĂÜÜćî óîĆÖÜćî ĒúąúĎÖÝšćÜ×ĂÜ Öôñ. øüöëċÜĀîŠü÷Üćîõć÷îĂÖ ïčÙúćÖø×ĂÜĀîŠü÷Üćîõć÷îĂÖìĊę
ðäĉïĆêĉÜćîĔĀš Öôñ. ìĊęĕéšøĆïÿĉìíĉđ×šćëċÜÿćøÿîđìýĒúąĂčðÖøèŤðøąöüúñúÿćøÿîđìý×ĂÜÖôñ.
ĀîŠü÷Üćîõć÷îĂÖ ĀîŠü÷ÜćîĀøČĂïčÙÙúõć÷îĂÖìĊęéĞćđîĉîíčøÖĉÝĀøČĂĔĀšïøĉÖćøìĊęĂćÝĕéšøĆïÿĉìíĉđ×šćëċÜìøĆó÷ŤÿĉîéšćîđìÙēîēú÷Ċÿćøÿîđìý
×ĂÜ Öôñ. àċęÜÙúĂïÙúčöëċÜ
- ïøĉþĆìĔîđÙøČĂ×ĂÜ Öôñ. đßŠî ïøĉþĆìñúĉêĕôôŜćøą÷ĂÜ ÝĞćÖĆé (ïôø.) ïøĉþĆìñúĉêĕôôŜć×îĂö ÝĞćÖĆé (ïô×.)
ïøĉþĆì ĂĊĒÖĘê ĂĉîđêĂøŤđîßĆîĒîú ÝĞćÖĆé đðŨîêšî
- ñĎšøĆïÝšćÜðäĉïĆêĉÜćîĔĀšÖĆï Öôñ. (Outsource) đßŠî ñĎšøĆïÝšćÜêĉéêĆĚÜøąïïÜćî ERP đðŨîêšî
- ñĎšøĆïÝšćÜóĆçîćøąïïÜćîĀøČĂÝĆéĀćüĆÿéčĂčðÖøèŤêŠćÜė (Supplier) đßŠî ñĎšóĆçîćøąïïÜćîÙüïÙčöÖćøñúĉê
ñĎšÝĞćĀîŠć÷ĂčðÖøèŤÙĂöóĉüđêĂøŤ đðŨîêšî
- ñĎšĔĀšïøĉÖćøêŠćÜė (Service Provider) đßŠî ñĎšêĉéêĆĚÜĒúąïĞćøčÜøĆÖþćìøĆó÷ŤÿĉîêŠćÜė ñĎšĔĀšïøĉÖćøēÙøÜ×Šć÷
ÿČęĂÿćø ñĎšĔĀšïøĉÖćøĂĉîđêĂøŤđîĘê đðŨîêšî
- ìĊę ð øċ Ö þć (Consultant) đßŠ î ìĊę ð øċ Ö þćøąïïÜćîÖćøüćÜĒñîÙüćööĆę î ÙÜðúĂéõĆ ÷ éš ć îđìÙēîēú÷Ċ
ÿćøÿîđìý đðŨîêšî
- đÝšćĀîšćìĊę×ĂÜĀîŠü÷ÜćîêŠćÜė đßŠî ÖøąìøüÜóúĆÜÜćî ÖøąìøüÜđìÙēîēú÷ĊÿćøÿîđìýĒúąÖćøÿČęĂÿćø

ýĎî÷ŤđìÙēîēú÷ĊĂĉđúĘÖìøĂîĉÖÿŤĒúąÙĂöóĉüđêĂøŤĒĀŠÜßćêĉ (NECTEC) ĒúąÿĞćîĆÖÜćîêĞćøüÝĒĀŠÜßćêĉ đðŨîêšî
- úĎÖÙšćìĊęĔßšïøĉÖćø (Customer) đßŠî ÖćøĕôôŜćîÙøĀúüÜ ÖćøĕôôŜćÿŠüîõĎöĉõćÙ đðŨîêšî
ñĎšêøüÝÿĂïĂĉÿøą ĀîŠü÷Üćîõć÷ĔîĀøČĂõć÷îĂÖìĊęìĞćĀîšćìĊęĔîÖćøêøüÝÿĂïÖćøÙüïÙčöõć÷Ĕî ìĊęđÖĊę÷ü×šĂÜÖĆïÖćøøĆÖþćÙüćööĆęîÙÜ
ðúĂéõĆ÷éšćîÿćøÿîđìý àċęÜđðŨîĂĉÿøąÝćÖñĎšøĆïêøüÝ
ĀîŠü÷ÜćîìĊęÿćö ĀîŠü÷Üćîõć÷îĂÖ÷Öđüšî úĎÖÙšćìĊęĔßšïøĉÖćø (Customer)
ìøĆó÷Ťÿĉî ÿĉęÜìĊęöĊöĎúÙŠćêŠĂ Öôñ. ĒúąđÖĊę÷ü×šĂÜÖĆïÿćøÿîđìýĒúąĂčðÖøèŤðøąöüúñúÿćøÿîđìýìĊę Öôñ. đðŨîđÝšć×ĂÜÝĆéàČĚĂ đßŠć
üŠćÝšćÜ ĀøČĂóĆçîć ìĆĚÜîĊĚìøĆó÷ŤÿĉîÿćøÿîđìýéĆÜÖúŠćüÿćöćøëĒïŠÜêćöðøąđõìĕéšéĆÜîĊĚ
1. ÿćøÿîđìý (Information) đßŠî åćî×šĂöĎúĕôúŤ×šĂöĎú ÿĆââć đĂÖÿćø/ÙĎŠöČĂøąïï ×šĂöĎúÖćøüĉÝĆ÷ ÙĎŠöČĂ
ñĎšĔßšÜćî ìøĆó÷ćÖøĔîÖćøòřÖĂïøö ×ĆĚîêĂîÖćøðäĉïĆêĉÜćîĀøČĂÿîĆïÿîčî ĒñîÿøšćÜÙüćöêŠĂđîČęĂÜĔĀšÖĆï
íčøÖĉÝĒñîÖćøÖĎšÙČîÿõćó ðøąüĆêĉÖćøêøüÝÿĂïĒúąÿćøÿîđìýìĊęÿĞćÙĆâĂČęîė đðŨîêšî
2. ìøĆó÷ŤÿĉîìćÜàĂôêŤĒüøŤ (Software Assets) đßŠî ēðøĒÖøöðøą÷čÖêŤ ēðøĒÖøöøąïïđÙøČęĂÜöČĂÿĞćĀøĆï
óĆçîć Ēúą ēðøĒÖøöðøąđõì÷ĎìĉúĉêĊĚ đðŨîêšî
3. ìøĆó÷ŤÿĉîìćÜÖć÷õćó (Physical Assets) đßŠî ĂčðÖøèŤðøąöüúñúÿćøÿîđìý ĂčðÖøèŤêĉéêŠĂÿČęĂÿćø Ēúą
ÿČęĂïĆîìċÖ×šĂöĎúìĊęÿćöćøëđÙúČęĂî÷šć÷ĕéš đðŨîêšî
4. ÖćøïøĉÖćøéšćîÖćøðøąöüúñú ÖćøêĉéêŠĂÿČęĂÿćø ĒúąÿćíćøèĎðēõÙĂČęîė
(Services) đßŠî ïøĉÖćøĂĉîđêĂøŤđîĘê ïøĉÖćøÙüïÙčöÖćøđ×šćëċÜĂćÙćø ïøĉÖćøøąïï
ÙüïÙčöÙüćöøšĂî ïøĉÖćøĒÿÜÿüŠćÜ ïøĉÖćøĕôôŜćĒúąóúĆÜÜćî Ēúą ïøĉÖćøÙüïÙčö
ÙüćößČĚî đðŨîêšî
àĂôêŤĒüøŤ ēðøĒÖøöÙĂöóĉüđêĂøŤðøąđõìĔéėÖĘĕéš êĆĚÜĒêŠøąïïðäĉïĆêĉÖćøđßŠî éĂÿ (Dos) ēðøĒÖøöĂĞćîü÷ðøąē÷ßîŤ
(Software) øąïïÜćî ÝîÖøąìĆĚÜēðøĒÖøöìĊęđÖĘïĂ÷ĎŠĔîøĂö (Rom) (ĂšćÜĂĉÜÝćÖ óÝîćîčÖøöÙĂöóĉüđêĂøŤĒúąĂĉîđìĂøŤđîĘê ðŘó.ý.
2545)
ēðøĒÖøö ÙĞćÿĆęÜ ßčéÙĞćÿĆęÜ ĀøČĂÿĉęÜĂČęîĔéìĊęìĞćĕðĔßšÖĆïđÙøČęĂÜÙĂöóĉüđêĂøŤ đóČęĂĔĀšđÙøČęĂÜÙĂöóĉüđêĂøŤìĞćÜćîĀøČĂđóČęĂĔĀšĕéšøĆïñú
ÙĂöóĉüđêĂøŤ Ă÷ŠćÜĀîċęÜĂ÷ŠćÜĔé ìĆĚÜîĊĚĕöŠüŠćÝąđðŨîõćþćēðøĒÖøöÙĂöóĉüđêĂøŤĔîúĆÖþèąĔé (ĂšćÜĂĉÜÝćÖ ×šĂÖĞćĀîé Öôñ. ìĊę
33/2548)
ēðøĒÖøöĕöŠ ēðøĒÖøöĀøČĂßčéēðøĒÖøöìĊęìĞćĔĀšÿćøÿîđìý ĀøČĂøąïïÿćøÿîđìýđÖĉéÙüćöđÿĊ÷Āć÷ēé÷êĆĚÜĔÝ đßŠî ĕüøĆÿ (Virus)
ðøąÿÜÙŤéĊ đüĉøŤö (Worm) ēìøÝĆî (Trojan) ĒĂéĒüøŤ (Adware) ĀøČĂÿðć÷ĒüøŤ (Spyware) đðŨîêšî
(Malicious
Software)
ēðøĒÖøößîĉé ßčéÙĞćÿĆęÜàċęÜđÙúČęĂî÷šć÷ÝćÖÙĂöóĉüđêĂøŤđÙøČęĂÜĀîċęÜĕð÷ĆÜĂĊÖđÙøČęĂÜĀîċęÜēé÷ìĊęÿćöćøëìĞćÜćîĕéšĂ÷ŠćÜĂĆêēîöĆêĉĒúą
đÙúČęĂîìĊę éĞćđîĉîÖćøĂ÷ŠćÜĔéĂ÷ŠćÜĀîċęÜēé÷ìĊęñĎšĔßšĂćÝĕöŠĕéšêøąĀîĆÖëċÜÖćøéĞćđîĉîÖćøéĆÜÖúŠćü đßŠî ēðøĒÖøöðøąđõì Java
(Mobile code) Applet ĀøČĂ ActiveX đðŨîêšî
øąïïÙĂöóĉüđêĂøŤ ĂčðÖøèŤÙĂöóĉüđêĂøŤĀøČĂßčéĂčðÖøèŤ×ĂÜÙĂöóĉüđêĂøŤìĊęđßČęĂöÖćøìĞćÜćîđ×šćéšü÷ÖĆî ēé÷ĕéšöĊÖćøÖĞćĀîéÙĞćÿĆęÜ
ßčéÙĞćÿĆęÜ ĀøČĂÿĉęÜĂČęîĔé ĒúąĒîüìćÜðäĉïĆêĉÜćîĔĀšĂčðÖøèŤĀøČĂßčéĂčðÖøèŤìĞćĀîšćìĊęðøąöüúñú×šĂöĎúēé÷ĂĆêēîöĆêĉ
(ĂšćÜĂĉÜÝćÖ óøąøćßïĆââĆêĉüŠćéšü÷ÖćøÖøąìĞćÙüćöñĉéđÖĊę÷üÖĆïÙĂöóĉüđêĂøŤ ó.ý. 2550)
×šĂöĎúÙĂöóĉüđêĂøŤ ×šĂöĎú ×šĂÙüćö ÙĞćÿĆęÜ ßčéÙĞćÿĆęÜ ĀøČĂÿĉęÜĂČęîĔéïøøéćìĊęĂ÷ĎŠĔîøąïïÙĂöóĉüđêĂøŤĔîÿõćóìĊęøąïïÙĂöóĉüđêĂøŤĂćÝ

ðøąöüúñúĕéš ĒúąĔĀšĀöć÷ÙüćöøüöëċÜ×šĂöĎúĂĉđúĘÖìøĂîĉÖÿŤ (ĂšćÜĂĉÜÝćÖ óøąøćßïĆââĆêĉüŠćéšü÷ÖćøÖøąìĞć
ÙüćöñĉéđÖĊę÷üÖĆïÙĂöóĉüđêĂøŤ ó.ý. 2550)
ÿćøÿîđìý ×šĂöĎúÙĂöóĉüđêĂøŤĀøČĂ×šĂÙüćöìĊęĕéšöĊÖćøðøąöüúñú đßŠî ìøĆó÷Ťÿĉîðøąđõìåćî×šĂöĎú (Database) ĒúąĕôúŤ×šĂöĎú
(Data file) ÿĆââć (Contract) Ēúą×šĂêÖúÜ (Agreement) đĂÖÿćøĒúąÙĎŠöČĂøąïïÜćî (System Document)
×šĂöĎúüĉÝĆ÷ (Research Document) ÙĎŠöČĂñĎšĔßšÜćî (User Manual) đĂÖÿćøÖćøòřÖĂïøö (Training Document)
×ĆĚîêĂîÖćøðäĉïĆêĉÜćî (Operational or Support Procedure) ĒñîøĂÜøĆïÙüćöêŠĂđîČęĂÜìćÜíčøÖĉÝ (Business
Continuity Plan) đĂÖÿćø Ēúą×šĂöĎúÝĆéđÖĘïÿĞćøĂÜ (Archived Information) đðŨîêšî (ĂšćÜĂĉÜÝćÖ óøã.ÖĞćĀîé
üĉíĊÖćøĒïï(öĆęîÙÜ)ðúĂéõĆ÷ĔîÖćøðøąÖĂïíčøÖøøöìćÜĂĉđúĘÖìøĂîĉÖÿŤ Ēúą ISO/IEC 27001)
øąïïÿćøÿîđìý øąïïÙĂöóĉüđêĂøŤĒúąÖćøđÖĘïïĆîìċÖ×šĂöĎúàċęÜöĊÖćøðøąöüúñúéšü÷øąïïÙĂöóĉüđêĂøŤ (ðøĆïðøčÜÝćÖ (øŠćÜ) óøą
øćßÖùþãĊÖć ÖĞćĀîéüĉíĊÖćøĒïï (öĆęîÙÜ) ðúĂéõĆ÷ĔîÖćøðøąÖĂïíčøÖøøöìćÜĂĉđúĘÖìøĂîĉÖÿŤ)
ĂčðÖøèŤðøąöüúñú øąïïÿćøÿîđìý øąïïđÙøČĂ×Šć÷ ÿëćîìĊę êĆĚÜìćÜÖć÷õć÷×ĂÜøąïïÿćøÿîđìýĒúąøąïïđÙøČĂ×Šć÷ êúĂéÝî
ÿćøÿîđìý ĂčðÖøèŤĒúąøąïïÿîĆïÿîčîêŠćÜėđßŠî øąïïĕôôŜć øąïïðøĆïĂćÖćý øąïïÙüïÙčöĂčèĀõĎöĉĒúąÙüćößČĚî đðŨîêšî
(ðøĆïðøčÜÝćÖ ISO/IEC 27002)
ĒĂóóúĉđÙßĆî ēðøĒÖøöÙĂöóĉüđêĂøŤĀøČĂÖúčŠö×ĂÜēðøĒÖøöàċęÜìĞćĀîšćìĊęđóČęĂÝčéðøąÿÜÙŤĂ÷ŠćÜĔéĂ÷ŠćÜĀîċęÜ đßŠî đüĉøŤéēðøđàÿđàĂøŤ
(Application) ÿđðøéßĊêåćî×šĂöĎú đðŨîêšî (ðøĆïðøčÜÝćÖ CISA Review Manual 2010 Ēúą óÝîćîčÖøöÙĂöóĉüđêĂøŤĒúą
ĂĉîđìĂøŤđîĘê ðŘó.ý. 2545)
ēðøĒÖøöðøąđõì ēðøĒÖøöđÞóćąđóČę Ă Ĕßš ÿĞ ć ĀøĆ ï ÜćîïĞ ć øč Ü øĆ Ö þćĒúąđóĉę ö ðøąÿĉ ì íĉ õ ćóÖćøìĞ ć Üćî×ĂÜøąïïÙĂöóĉ ü đêĂøŤ đßŠ î
÷Ď ìĉ úĉ êĊĚ (System ēðøĒÖøöÖćøÝĆéÖćøĕôúŤ (File manager) ēðøĒÖøöìĊęĔßšëĂîēðøĒÖøö (Uninstaller) ēðøĒÖøöÿĒÖîéĉÿÖŤ (Disk
Utilities) Scanner) ĒúąēðøĒÖøöÝĆéóČĚîìĊęđÖĘï×šĂöĎú (Disk Defragmenter) đðŨîêšî (ðøĆïðøčÜÝćÖ ÝćÖ CISA Review
Manual 2010 Ēúą Wikipedia)
đ Ù øČę Ă Ü öČ Ă ê ø ü Ý ēðøĒÖøöĀøČĂßčéēðøĒÖøöđÞóćąìĊęĔßšĔîÖćøêøüÝðøąđöĉîÙüćöðúĂéõĆ÷×ĂÜøąïïÿćøÿîđìý đßŠî Scanning
øąïïÿćøÿîđìý Tools Ēúą Password Cracking Utilities đðŨîêšî
đÙøČĂ×Šć÷ øąïïìĊęđÖĉéÝćÖÖćøîĞćđÙøČęĂÜÙĂöóĉüđêĂøŤêĆĚÜĒêŠ 2 đÙøČęĂÜ×ċĚîĕðöćêŠĂđßČęĂöē÷Üđ×šćéšü÷ÖĆî đóČęĂĒúÖđðúĊę÷î×šĂöĎú
×Šćüÿćø ĀøČĂĔßšìøĆó÷ćÖøêŠćÜė (ðøĆïðøčÜÝćÖ ×šĂÖĞćĀîé Öôñ. ìĊę 33/2548)
íčøÖøøö ÖćøÖøąìĞćĔéė ìĊęđÖĊę÷üÖĆïÖĉÝÖøøöĔîìćÜĒóŠÜĒúąóćèĉß÷Ť ĀøČĂĔîÖćøéĞćđîĉîÜćî×ĂÜøĆå ĂĆîðøąÖĂïĕðéšü÷ ÙĞć×Ă
ÖćøĂîčâćê ÖćøÝéìąđïĊ÷î ÙĞćÿĆęÜìćÜðÖÙøĂÜ ÖćøßĞćøąđÜĉî ÖćøðøąÖćý ĀøČĂÖćøéĞćđîĉîÖćøĔéė êćö
ÖãĀöć÷ÖĆ ï ĀîŠ ü ÷Üćî×ĂÜøĆ å ĀøČ Ă ēé÷ĀîŠ ü ÷Üćî×ĂÜøĆ å (Ăš ć ÜĂĉ Ü ÝćÖ óøąøćßïĆ â âĆ êĉ üŠ ć éš ü ÷íč ø ÖøøöìćÜ
ĂĉđúĘÖìøĂîĉÖÿŤ ó.ý. 2544)
ĂĉđúĘÖìøĂîĉÖÿŤ Öćøðøą÷čÖêŤĔßšüĉíĊÖćøìćÜĂĉđúĘÖêøĂî ĕôôŜć ÙúČęîĒöŠđĀúĘÖĕôôŜć ĀøČĂüĉíĊĂČęîĔéĔîúĆÖþèąÙúšć÷ÖĆîĒúąĔĀšĀöć÷Ùüćö
øüöëċÜÖćøðøą÷čÖêŤĔßšüĉíĊÖćøìćÜĒÿÜ üĉíĊÖćøìćÜĒöŠđĀúĘÖĀøČĂĂčðÖøèŤìĊęđÖĊę÷ü×šĂÜÖĆïÖćøðøą÷čÖêŤĔßšüĉíĊêŠćÜė đßŠîüŠć
îĆĚî (ĂšćÜĂĉÜÝćÖ óøąøćßïĆââĆêĉüŠćéšü÷íčøÖøøöìćÜĂĉđúĘÖìøĂîĉÖÿŤ ó.ý. 2544)
×šĂöĎú ×šĂÙüćöìĊęĕéšÿøšćÜ ÿŠÜ øĆï đÖĘïøĆÖþć ĀøČĂðøąöüúñúéšü÷üĉíĊÖćøìćÜĂĉđúĘÖìøĂîĉÖÿŤ đßŠî üĉíĊÖćøĒúÖđðúĊę÷î×šĂöĎú
ĂĉđúĘÖìøĂîĉÖÿŤ ìćÜĂĉđúĘÖìøĂîĉÖÿŤ ÝéĀöć÷ĂĉđúĘÖìøĂîĉÖÿŤ ēìøđú×ēìøóĉöóŤ ĀøČĂēìøÿćø đðŨîêšî (ĂšćÜĂĉÜÝćÖ óøąøćßïĆââĆêĉüŠć
éšü÷íčøÖøøöìćÜĂĉđúĘÖìøĂîĉÖÿŤ ó.ý. 2544)
íčøÖøøöìćÜ íčøÖøøöìĊęÖøąìĞć×ċĚîēé÷ĔßšüĉíĊÖćøìćÜĂĉđúĘÖìøĂîĉÖÿŤìĆĚÜĀöéĀøČĂĒêŠïćÜÿŠüî (ĂšćÜĂĉÜÝćÖ óøąøćßïĆââĆêĉüŠćéšü÷

ĂĉđúĘÖìøĂîĉÖÿŤ íčøÖøøöìćÜĂĉđúĘÖìøĂîĉÖÿŤ ó.ý. 2544)
Öćøđ×šćëċÜ ÙüćöÿćöćøëĔîÖćøđ×šćĕð ĂĆîĂćÝìĞćĔĀšÿćöćøëÝąĂŠćî ìĞć ÿøšćÜ ĒÖšĕ× ðøĆïðøčÜđðúĊę÷îĒðúÜ úŠüÜøĎšéšü÷ðøąÖćø
Ĕéė ĀøČĂĕéšĂŠćî ìĞć ÿøšćÜ ĒÖšĕ× ðøĆïðøčÜđðúĊę÷îĒðúÜ úŠüÜøĎšéšü÷ðøąÖćøĔéė ÿĞćĀøĆï×šĂöĎúÙĂöóĉüđêĂøŤ ×šĂöĎú
ĂĉđúĘÖìøĂîĉÖÿŤ ÿćøÿîđìý øąïïÙĂöóĉüđêĂøŤ øąïïÿćøÿîđìý ìĆĚÜēé÷Öćøđ×šćëċÜéšü÷üĉíĊÖćøìćÜĂĉđúĘÖìøĂîĉÖÿŤĒúą
üĉíĊÖćøìćÜÖć÷õćó
ïøĉđüè Öôñ. ïøĉđüèìĊęìĞćÖćø×ĂÜ Öôñ. ìčÖĒĀŠÜĒúąĔĀšĀöć÷ÙüćöøüöëċÜïøĉđüèĂČęîė ×ĂÜ Öôñ. ìĊęĂ÷ĎŠĔîÙüćöøĆïñĉéßĂï×ĂÜ
đÝšćĀîšćìĊęÙüïÙčöÖćøøĆÖþćÙüćöðúĂéõĆ÷ (ĂšćÜĂĉÜÝćÖ ÙĞćÿĆęÜ Öôñ. ìĊę Ù. 21/2534 đøČęĂÜ ÖćøîĞćÿĉęÜ×ĂÜđ×šć-ĂĂÖ
ïøĉđüè Öôñ.)
ÖćøÿĞćøĂÜ×šĂöĎú ÖćøđÖĘïøĆÖþć×šĂöĎúÙĂöóĉüđêĂøŤúÜĔîÿČęĂìĊęĕéšđêøĊ÷öÖćøĕüšĒúšü ĒúąÝąëĎÖîĞćöćĔßšÜćîĒìîĔîÖøèĊìĊę×šĂöĎúĀúĆÖìĊę
ÖĞćúĆÜëĎÖĔßšĔîÖćøðäĉïĆêĉÜćîĂ÷ĎŠđÖĉéÙüćöđÿĊ÷Āć÷ (ðøĆïðøčÜÝćÖ ×šĂÖĞćĀîé Öôñ. ìĊę 33/2548)
ÖćøÖĎšÙČî ÖćøîĞć×šĂöĎúÙĂöóĉüđêĂøŤ øąïïÙĂöóĉüđêĂøŤ ĒúąøąïïÿćøÿîđìýìĊęđÖĉéÙüćöđÿĊ÷Āć÷ÖúĆïöćĔßšÜćîĕéšĂ÷ŠćÜ
ëĎÖêšĂÜÙøïëšüî (ðøĆïðøčÜÝćÖ ×šĂÖĞćĀîé Öôñ. ìĊę 33/2548)
ÖćøÝšćÜÜćî ÖćøüŠćÝšćÜñĎšðäĉïĆêĉÜćî ĀøČĂĀîŠü÷Üćîõć÷îĂÖ đóČęĂðäĉïĆêĉÜćî ĀøČĂĔĀšïøĉÖćøĒÖŠ Öôñ.
đðúĊę ÷ îĒðúÜÖćø ÖćøđðúĊę÷îĒðúÜĀîšćìĊęøĆïñĉéßĂï×ĂÜñĎšðäĉïĆêĉÜćîĔîĀîŠü÷ÜćîêšîÿĆÜÖĆé ĀøČĂđÜČęĂîĕ× ÖćøüŠćÝšćÜ×ĂÜĀîŠü÷Üćî
ÝšćÜÜćî õć÷îĂÖ
Ăč ð Ö ø èŤ ÿČę Ă ÿ ć ø ĂčðÖøèŤÙĂöóĉüđêĂøŤ ĀøČĂĂčðÖøèŤÿČęĂÿćøìĊęÿąéüÖĔîÖćøóÖóć đßŠî ÙĂöóĉüđêĂøŤēîšêïčŢÙ(Laptop) ĂčðÖøèŤóĊéĊđĂ(PDA)
ðøąđõìóÖóć ÿöćøŤìÖćøŤé(Smartcard) ĒúąēìøýĆóìŤöČĂëČĂ(Mobile phone) đðŨîêšî
ÿČęĂïĆîìċÖ×šĂöĎú đĂÖÿćøìĊęđðŨîÖøąéćþ ĀøČĂĂčðÖøèŤìĊęĔßšĔîÖćøïĆîìċÖ×šĂöĎúĂĉđúĘÖìøĂîĉÖÿŤ đßŠî đìð éĉÿÖŤ CD ĀøČĂ DVD đðŨîêšî
ÖćøðäĉïĆêĉÜćîÝćÖ ÖćøìĞćÜćîìĊęïšćîĀøČĂìĊęÿëćîìĊęêĆĚÜõć÷îĂÖĂÜÙŤÖøĂČęîė ìĊęöĊÖćøđßČęĂöêŠĂìćÜĂĉđúĘÖìøĂîĉÖÿŤēé÷ñŠćîìćÜ đÙøČęĂÜ
õć÷îĂÖÿĞćîĆÖÜćî ÙĂöóĉüđêĂøŤ ĀøČĂđÙøČęĂÜēìøÿćø đðŨîêšî ĕð÷ĆÜ Öôñ. ĀøČĂÿëćîìĊęìĊęĀúĆÖĂČęîĂĆîđðŨîÿëćîìĊęìĞćÜćîĀúĆÖ
×š Ă ÖĞ ć ĀîéìĊę öĊ ñ ú óøąøćßïĆââĆêĉ ×šĂÖĞćĀîéìćÜÖãĀöć÷ øąđïĊ÷ïðäĉïĆêĉ ×šĂÖĞćĀîéĔîÿĆââć Ēúą×šĂÖĞćĀîéìćÜéšćîÙüćööĆęîÙÜ
ìćÜÖãĀöć÷ ðúĂéõĆ÷ĂČęîė ìĊę Öôñ. êšĂÜðäĉïĆêĉêćö
ÿĉìíĉ×ĂÜñĎšĔßšÜćî ÿĉìíĉìĆęüĕð ÿĉìíĉÝĞćđóćą ÿĉìíĉóĉđýþ ĒúąÿĉìíĉĂČęîĔé ìĊęđÖĊę÷ü×šĂÜÖĆïøąïïÿćøÿîđìý×ĂÜĀîŠü÷Üćî (ĂšćÜĂĉÜÝćÖ
ðøąÖćýÙèąÖøøöÖćøíčøÖøøöìćÜĂĉđúĘÖìøĂîĉÖÿŤ đøČęĂÜ Ēîüîē÷ïć÷ĒúąĒîüðäĉïĆêĉĔîÖćøøĆÖþćÙüćööĆęîÙÜ
ðúĂéõĆ÷éšćîÿćøÿîđìý ×ĂÜĀîŠü÷Üćî×ĂÜøĆå ó.ý. 2553)
ÿĉìíĉóĉđýþ ÿĉìíĉÿĎÜÿčé×ĂÜøąïï ĀøČĂÿĉìíĉÿĞćĀøĆïñĎšéĎĒúøąïïĀøČĂđìĊ÷ïđìŠć đßŠî ïĆâßĊñĎšĔßš Administrators (Windows), Root
(Unix), QSECOFR (AS400), SAPSTAR (SAP), SYS ĀøČĂ SYSTEM (Oracle) đðŨîêšî
úĉ×ÿĉìíĉĝ ÿĉìíĉĒêŠñĎšđéĊ÷üìĊęÝąìĞćÖćøĔéė êćöóøąøćßïĆââĆêĉîĊĚ (óøąøćßïĆââĆêĉ úĉ×ÿĉìíĉĝ ó.ý. 2537) đÖĊę÷üÖĆïÜćîìĊęñšĎ
ÿøšćÜÿøøÙŤĕéšìĞć×ċĚî (ĂšćÜĂĉÜÝćÖ óøąøćßïĆââĆêĉ úĉ×ÿĉìíĉĝ ó.ý. 2537)
ìĞćàĚĞć ÙĆéúĂÖĕöŠüŠćēé÷üĉíĊĔéė đúĊ÷ïĒïï ìĞćÿĞćđîć ìĞćĒöŠóĉöóŤ ïĆîìċÖđÿĊ÷Ü ïĆîìċÖõćó ĀøČĂ ïĆîìċÖđÿĊ÷ÜĒúąõćó ÝćÖ
êšîÞïĆï ĀøČĂÝćÖćøēÛþèćĔîÿŠüîĂĆîđðŨîÿćøąÿĞćÙĆâ ìĆĚÜîĊĚ ĕöŠüŠćìĆĚÜĀöéĀøČĂïćÜÿŠüî ÿĞćĀøĆïĔîÿŠüîìĊęđÖĊę÷üÖĆï
ēðøĒÖøöÙĂöóĉüđêĂøŤ ĔĀšĀöć÷ÙüćöëċÜ ÙĆéúĂÖĀøČĂìĞćÿĞćđîćēðøĒÖøöÙĂöóĉüđêĂøŤÝćÖÿČęĂïĆîìċÖĔéė ĕöŠüŠćéšü÷üĉíĊ
Ĕéė ĔîÿŠüîĂĆîđðŨîÿćøąÿĞćÙĆâ ēé÷ĕöŠöĊúĆÖþèąđðŨîÖćøÝĆéìĞćÜćî×ċĚîĔĀöŠ ìĆĚÜîĊĚ ĕöŠüŠćìĆĚÜĀöéĀøČĂïćÜÿŠüî (ĂšćÜĂĉÜ
ÝćÖ óøąøćßïĆââĆêĉ úĉ×ÿĉìíĉĝ ó.ý. 2537)
éĆéĒðúÜ ìĞćàĚĞćēé÷đðúĊę÷îøĎðĔĀöŠ ðøĆïðøčÜĒÖšĕ×đóĉęöđêĉö ĀøČĂÝĞćúĂÜÜćîêšîÞïĆïĔîÿŠüîĂĆîđðŨîÿćøąÿĞćÙĆâēé÷ĕöŠöĊúĆÖþèą

đðŨîÖćøÝĆéìĞćÜćî×ċĚîĔĀöŠ ìĆĚÜîĊĚ ĕöŠüŠćìĆĚÜĀöéĀøČĂïćÜÿŠüî ĔîÿŠüîìĊęđÖĊę÷üÖĆïēðøĒÖøöÙĂöóĉüđêĂøŤ ĔĀšĀöć÷Ùüćö
øüöëċÜ ìĞćàĚĞćēé÷đðúĊę÷îøĎðĔĀöŠ ðøĆïðøčÜ ĒÖšĕ×đóĉęöđêĉöēðøĒÖøöÙĂöóĉüđêĂøŤĔîÿŠüîĂĆîđðŨîÿćøąÿĞćÙĆâ ēé÷ĕöŠöĊ
úĆÖþèąđðŨîÖćøÝĆéìĞć×ċĚîĔĀöŠ (ĂšćÜĂĉÜÝćÖ óøąøćßïĆââĆêĉ úĉ×ÿĉìíĉĝ ó.ý. 2537)
×šĂöĎúÿŠüîïčÙÙú ×šĂöĎúđÖĊę÷üÖĆïÿĉęÜđÞóćąêĆü×ĂÜïčÙÙú đßŠî ÖćøýċÖþć åćîąÖćøđÜĉî ðøąüĆêĉÿč×õćó ðøąüĆêĉĂćßâćÖøøö ðøąüĆêĉÖćø
ìĞćÜćî ĀøČĂðøąüĆêĉÖĉÝÖøøöïøøéćìĊęöĊßČęĂ×ĂÜïčÙÙúîĆĚîĀøČĂöĊđú×Āöć÷ øĀĆÿ ĀøČĂÿĉęÜïĂÖúĆÖþèąìĊęìĞćĔĀšøĎšêĆüïčÙÙú
îĆĚîĕéš đßŠî úć÷óĉöóŤîĉĚüöČĂ ĒñŠîïĆîìċÖúĆÖþèąđÿĊ÷Ü×ĂÜÙî ĀøČĂøĎðëŠć÷ ĒúąĔĀšĀöć÷ÙüćöøüöëċÜ×šĂöĎúđÖĊę÷üÖĆïÿĉęÜ
đÞóćąêĆü×ĂÜñĎšìĊęëċÜĒÖŠÖøøöĒúšüéšü÷ (ĂšćÜĂĉÜÝćÖ øŠćÜóøąøćßïĆââĆêĉÙčšöÙøĂÜ×šĂöĎúÿŠüîïčÙÙú)
ñĎšÙüïÙčö×šĂöĎúÿŠüî ñĎšàċęÜöĊĀîšćìĊęøĆïñĉéßĂïĔîÖćøđÖĘïøüïøüö ÙüïÙčöÖćøĔßšĒúąÖćøđðŗéđñ÷×šĂöĎúÿŠüîïčÙÙú
ïčÙÙú (ĂšćÜĂĉÜÝćÖ øŠćÜóøąøćßïĆââĆêĉÙčšöÙøĂÜ×šĂöĎúÿŠüîïčÙÙú)
đÝšć×ĂÜ×šĂöĎúÿŠüî đÝšć×ĂÜ×šĂöĎúđÖĊę÷üÖĆïÿĉęÜđÞóćąêĆü×ĂÜïčÙÙú ĒúąĔĀšĀöć÷ÙüćöøüöëċÜ
ïčÙÙú 1) ìć÷ćìĀøČĂÙĎŠÿöøÿ×ĂÜđÝšć×ĂÜ×šĂöĎúÿŠüîïčÙÙúĔîÖøèĊìĊęđÝšć×ĂÜ×šĂöĎúÿŠüîïčÙÙúîĆĚîëċÜĒÖŠÙüćöêć÷
2) ñĎšàċęÜöĊĀîšćìĊęđÖĊę÷ü×šĂÜÖĆï×šĂöĎúÿŠüîïčÙÙú×ĂÜđÝšć×ĂÜ×šĂöĎúÿŠüîïčÙÙúêćöìĊęÖĞćĀîéĔîÖãÖøąìøüÜ
(ĂšćÜĂĉÜÝćÖ øŠćÜóøąøćßïĆââĆêĉÙčšöÙøĂÜ×šĂöĎúÿŠüîïčÙÙú)
đĀêčÖćøèŤìĊę đĀêčÖćøèŤ ĀøČĂÿõćó×ĂÜïøĉÖćøĀøČĂđÙøČĂ×Šć÷ìĊęĒÿéÜĔĀšđĀĘîëċÜÙüćöđðŨîĕðĕéšìĊęÝąđÖĉé ÖćøòśćòŚîîē÷ïć÷éšćîÙüćö
đÖĊę÷üÖĆïÙüćööĆęîÙÜ öĆęîÙÜðúĂéõĆ÷ĀøČĂöćêøÖćøðŜĂÜÖĆîìĊęúšöđĀúü ĀøČĂđĀêčÖćøèŤĂĆîĕöŠĂćÝøĎšĕéšüŠćĂćÝđÖĊę÷ü×šĂÜÖĆïÙüćööĆęîÙÜðúĂéõĆ÷
ðúĂéõĆ÷éšćî (ðøĆïðøčÜÝćÖ ðøąÖćýÙèąÖøøöÖćøíčøÖøøöìćÜĂĉđúĘÖìøĂîĉÖÿŤ đøČęĂÜ Ēîüîē÷ïć÷ĒúąĒîüðäĉïĆêĉĔîÖćøøĆÖþć
ÿćøÿîđìý ÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý ×ĂÜĀîŠü÷Üćî×ĂÜøĆå ó.ý.2553 )
(Information
Security Event)
ÿëćîÖćøèŤìĊę ÿëćîÖćøèŤŤéšćîÙüćööĆęîÙÜðúĂéõĆ÷ìĊĕę öŠŠóċÜðøąÿÜÙŤŤĀøČĂĕöŠĂćÝÙćéÙĉé (unwanted or unexpected) àċęÜĂćÝ
đÖĊę÷üÖĆïÙüćööĆęîÙÜ ìĞćĔĀšøąïïÿćøÿîđìý×ĂÜĂÜÙŤÖøëĎÖïčÖøčÖĀøČĂēÝöêĊĒúąÙüćööĆęîÙÜðúĂéõĆ÷ëĎÖÙčÖÙćö (ðøĆïðøčÜÝćÖ ðøąÖćý
ðúĂéõĆ÷éšćî ÙèąÖøøöÖćøíčøÖøøöìćÜĂĉđúĘÖìøĂîĉÖÿŤ đøČęĂÜ Ēîüîē÷ïć÷ĒúąĒîüðäĉïĆêĉĔîÖćøøĆÖþćÙüćööĆęîÙÜðúĂéõĆ÷éšćî
ÿćøÿîđìý ÿćøÿîđìý ×ĂÜĀîŠü÷Üćî×ĂÜøĆå ó.ý.2553 )
(Information
Security Incident
ÝčéĂŠĂîìĊęđÖĊę÷üÖĆï ÝčéïÖóøŠĂÜ ĀøČĂÙüćöĂŠĂîĒĂàċęÜõĆ÷ÙčÖÙćöĀøČĂñĎšĕöŠðøąÿÜÙŤéĊĂćÝĔßšðøąē÷ßîŤđóČęĂÖøąìĞćÖćøĔéėêŠĂìøĆó÷Ťÿĉî
ÙüćööĆęîÙÜ ÿćøÿîđìý ĂĆîĂćÝÝąîĞćĕðÿĎŠñúđÿĊ÷êŠĂÖćøéĞćđîĉîíčøÖĉÝ ĒúąÖćøøĆÖþćÙüćöðúĂéõĆ÷éšćîÿćøÿîđìý đßŠî
ðúĂéõĆ÷éšćî • ×šĂïÖóøŠĂÜĔîĒĂóóúĉđÙßĆî
ÿćøÿîđìý • ßŠĂÜēĀüŠìćÜđìÙîĉÙĔîøąïïðäĉïĆêĉÖćø
• Öćøđðŗé Network protocol Ēúą IP service port ìĊęĕöŠĕéšĔßšÜćîìćÜíčøÖĉÝ
• ÖćøĕöŠ Lock ĀîšćÝĂ ĀøČĂ ÖćøĕöŠ Log Off ĂĂÖÝćÖøąïï đöČęĂĕöŠĕéšĔßšÜćîđðŨîøą÷ąđüúćîćî
ÖćøÝĆ é ĀöüéĀöĎŠ Āöć÷ëċÜÖćøÝĆéøąéĆïÙüćööĆęîÙÜðúĂéõĆ÷×ĂÜÿćøÿîđìý ēé÷ÙĞćîċÜëċÜøąéĆïÙüćöúĆï (Sensitivity) ĒúąøąéĆï
ÿćøÿîđìý ÙüćöÿĞćÙĆâ (Criticality) ×ĂÜÿćøÿîđìý
ýĎî÷ŤÙĂöóĉüđêĂøŤ ÿëćîìĊęìĊęĔßšĔîÖćøÝĆéüćÜĂčðÖøèŤðøąöüúñúÿćøÿîđìý ìĊęðøąöüúñúĀøČĂÝĆéđÖĘïÿćøÿîđìýìĊęöĊøąéĆïÙüćööĆęîÙÜ
ðúĂéõĆ÷×ĂÜÿćøÿîđìý “ÿĎÜÿčé” ĀøČĂ “ÿĎÜ”

ĀšĂÜÙĂöóĉüđêĂøŤ ÿëćîìĊęìĊęĔßšĔîÖćøÝĆéüćÜĂčðÖøèŤðøąöüúñúÿćøÿîđìý ìĊęðøąöüúñúĀøČĂÝĆéđÖĘïÿćøÿîđìýìĊęöĊøąéĆïÙüćööĆęîÙÜ
ðúĂéõĆ÷×ĂÜÿćøÿîđìý “ðćîÖúćÜ” ĀøČĂ “êęĞć”

ST-01: ÖćøîĞćöćêøåćîÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìýĕððäĉïêĆ ĉ (Implement of
Information security standards)
üĆêëčðøąÿÜÙŤ
đóČęĂđðŨîĒîüìćÜĔîÖćøîĞćöćêøåćîÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìýĕððäĉïĆêĉ
ēÙøÜÿøšćÜöćêøåćîÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý
ĂÜÙŤðøąÖĂï×ĂÜöćêøåćîéšćîÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý ĒïŠÜđðŨî 11 ĀĆü×šĂ éĆÜêŠĂĕðîĊĚ
øĀĆÿ ßČęĂöćêøåćî
ST-01 ÖćøîĞćöćêøåćîÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìýĕððäĉïĆêĉ (Implement of
Information security policy and standards)
ST-02 öćêøåćîēÙøÜÿøšćÜìćÜéšćîÙüćööĆęîÙÜðúĂéõĆ÷ÿĞćĀøĆï Öôñ. (Standard of
Organization of Information Security)
ST-03 öćêøåćîÖćøïøĉĀćøÝĆéÖćøìøĆó÷Ťÿĉîéšćîÿćøÿîđìý (Standard of Asset
Management)
ST-04 öćêøåćîÙüćööĆęîÙÜðúĂéõĆ÷ìĊęđÖĊę÷üÖĆïïčÙúćÖø (Standard of Human
Resources Security)
ST-05 öćêøåćîÙüćööĆęîÙÜðúĂéõĆ÷ìćÜÖć÷õćóĒúąÿĉęÜĒüéúšĂö (Standard of
Physical and Environmental Security)
ST-06 öćêøåćîÖćøïøĉĀćøÝĆéÖćøéšćîÖćøÿČęĂÿćøĒúąÖćøðäĉïĆêĉÖćøÿćøÿîđìý×ĂÜ
Öôñ. (Standard of Communication and Operation Management)
ST-07 öćêøåćîÖćøÙüïÙčöÖćøđ×šćëċÜ (Standard of Access Control)
ST-08 öćêøåćîÖćøÝĆéĀć ÖćøóĆçîć ĒúąÖćøïĞćøčÜøĆÖþćøąïïÿćøÿîđìý (Standard

of Information System Acquisition, Development and Maintenance)
ST-09 öćêøåćîÖćøïøĉ Ā ćøÝĆ é ÖćøÿëćîÖćøèŤ ìĊę đ ÖĊę ÷ üÖĆ ï ÙüćööĆę î ÙÜðúĂéõĆ ÷ éš ć î
ÿćøÿîđìý (Standard of Information Security Incident Management)
ST-10 öćêøåćîÖćøïøĉĀćøÙüćöêŠĂđîČęĂÜĔîÖćøéĞćđîĉîÜćî×ĂÜ Öôñ. (Standard of
Business Continuity Management)
ST-11 öćêøåćîÖćøðäĉïĆêĉêćö×šĂÖĞćĀîéĒúąÖãĀöć÷ìĊęđÖĊę÷üÖĆïÙüćööĆęîÙÜðúĂéõĆ÷

øĀĆÿ ßČęĂöćêøåćî
éšćîÿćøÿîđìý (Standard of Compliance)
×šĂêÖúÜÖćøðäĉïĆêĉêćööćêøåćîÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý
ĀîŠü÷Üćîõć÷Ĕî Öôñ. ÿćöćøëĒïŠÜĕéš 2 ðøąđõìÙČĂ
1. òść÷ìĊęöĊúĆÖþèąÜćîđðŨîñĎšĔßšÜćî ĒúąöĊÖćøóĆçîćøąïïÿćøÿîđìý (òść÷ÖúčŠöìĊę 1) ÙČĂ òść÷Ĕéė ìĊę
öĊúĆÖþèąđðŨîñĎšĔßšÜćîøąïïÿćøÿîđìý ĒúąöĊÖćøóĆçîćøąïïÿćøÿîđìýõć÷Ĕîòść÷ êšĂÜöĊÖćø
ĒêŠÜêĆĚÜĀĆüĀîšćÜćîÿćøÿîđìý ĒúąÝĆéĔĀšöĊÖćøöĂïĀöć÷ĀîšćìĊę ñĎšéĎĒúÿćøÿîđìý ĒúąñĎšéĎĒú
øąïïÿćøÿîđìý ēÙøÜÿøšćÜĔîÖćøÖĞćÖĆïéĎĒúÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý éĆÜêŠĂĕðîĊĚ
2. òść÷ìĊęöĊúĆÖþèąÜćîđðŨîñĎšĔßšÜćî öĊÖćøóĆçîćøąïïÿćøÿîđìý ĒúąýĎî÷ŤÙĂöóĉüđêĂøŤĀøČĂĀšĂÜ

ÙĂöóĉüđêĂøŤĔîÙüćöéĎĒú (òść÷ÖúčŠöìĊę 2) ÙČĂ òść÷Ĕéė ìĊęöĊúĆÖþèąđðŨîñĎšĔßšÜćîøąïïÿćøÿîđìý
öĊÖćøóĆçîćøąïïÿćøÿîđìý ĒúąöĊđÙøČęĂÜĒöŠ×Šć÷ (Server) ĒúąýĎî÷ŤÙĂöóĉüđêĂøŤĔîÙüćöéĎĒú
ēé÷êšĂÜöĊÖćøĒêŠÜêĆĚÜĀĆüĀîšćÜćîÿćøÿîđìý ĒúąÝĆéĔĀšöĊÖćøöĂïĀöć÷ĀîšćìĊę ñĎšéĎĒúÿćøÿîđìý
ñĎš éĎ Ē úøąïïÿćøÿîđìý ĀĆ ü Āîš ć ýĎ î ÷Ť Ù Ăöóĉ ü đêĂøŤ ñĎš éĎ Ē úýĎ î ÷Ť Ù Ăöóĉ ü đêĂøŤ ĀøČ Ă ñĎš éĎ Ē úĀš Ă Ü
ÙĂöóĉüđêĂøŤ ēÙøÜÿøšćÜĔîÖćøÖĞćÖĆïéĎĒúÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý éĆÜêŠĂĕðîĊĚ

ĒêŠúąĀîŠü÷ÜćîêšĂÜìĞćÖćøðøąđöĉîÙüćöÿćöćøëĒúą×šĂÝĞćÖĆéêŠćÜėĔîÖćøðäĉïĆêĉêćööćêøåćîÙüćö
öĆęîÙÜðúĂéõĆ÷éšćî ĒúąÝĆéìĞć×šĂêÖúÜÖćøðäĉïĆêĉêćööćêøåćîÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý ēé÷
ÖøĂÖ “Ùìÿ. öð. 01 ĒïïôĂøŤöÖćøðøąđöĉîĒúąÖćøêøüÝÿĂï ÖćøðäĉïĆêĉêćöîē÷ïć÷ ĒúąöćêøåćîÙüćö
öĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý” ĔîÿŠüî ”ÖćøðøąđöĉîêîđĂÜĔîÖćøðäĉïĆêĉêćöîē÷ïć÷ ĒúąöćêøåćîÙüćö
öĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý” óøšĂöìĆĚÜîĞćđÿîĂ ÙèąÖøøöÖćøđìÙēîēú÷Ċÿćøÿîđìý×ĂÜòść÷ (Ùìÿ. òść÷)
ĀøČĂñĎšìĊęĕéšøĆïöĂïĀöć÷ ÙèąÖøøöÖćøđìÙēîēú÷Ċÿćøÿîđìý×ĂÜÿć÷øĂÜñĎšüŠćÖćø (Ùìÿ. ÿć÷øĂÜñĎšüŠćÖćø)
ĒúąÙèąÖøøöÖćøđìÙēîēú÷Ċÿćøÿîđìý Öôñ. (Ùìÿ.) êćöúĞćéĆïßĆĚî đðŨîðøąÝĞćìčÖðŘ ēé÷ĔĀšĒúšüđÿøĘÝõć÷Ĕî
ĕêøöćÿĒøÖ×ĂÜðŘÜïðøąöćè
×ĆĚîêĂîÖćøðäĉïĆêĉĂšćÜĂĉÜ
1) PD-01 ×ĆĚîêĂîÖćøðäĉïĆêĉÜćîđøČęĂÜ ÖćøïøĉĀćøÝĆéÖćøîē÷ïć÷ öćêøåćî Ēúą×ĆĚîêĂîÖćøðäĉïĆêĉÜćî
ÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý (Information Security Policy, Standard and Procedure
Management)

ÖøąïüîÖćøÙüïÙčöĒúąêøüÝÿĂïÖćøðäĉïĆêĉêćööćêøåćîÙüćööĆîę ÙÜðúĂéõĆ÷éšćîÿćøÿîđìý
ìčÖĀîŠü÷ÜćîĔî Öôñ. êšĂÜðäĉïĆêĉêćöÖãĀöć÷ÖćøÙüïÙčöõć÷Ĕî ēé÷öĊïčÙÙúĀøČĂÙèąìĞćÜćîìĊęìĞć
ĀîšćìĊęêøüÝðøąđöĉîÖćøÙüïÙčöõć÷Ĕî Ēúąøć÷ÜćîĔĀšñĎšĂĞćîü÷Öćøòść÷ĀøČĂđìĊ÷ïđìŠć×ċĚîĕðđðŨîðøąÝĞćìčÖðŘ
đðŨîðøąÝĞćìčÖðŘĔĀš ēé÷ĒúšüđÿøĘÝõć÷ĔîĕêøöćÿìĊę 4 ×ĂÜðŘÜïðøąöćè éĆÜîĆĚîñĎšĂĞćîü÷Öćøòść÷ĀøČĂđìĊ÷ïđìŠć
×ċĚîĕðÿćöćøëÖĞćĀîéĔĀš ïčÙÙúĀøČĂÙèąìĞćÜćîéĆÜÖúŠćüöĊĀîšćìĊęêøüÝðøąđöĉîÖćøðäĉïĆêĉêćööćêøåćîÙüćö
ðúĂéõĆ÷éšćîÿćøÿîđìý êćö “Ùìÿ. öð. 01 ĒïïôĂøŤöÖćøðøąđöĉîĒúąÖćøêøüÝÿĂï ÖćøðäĉïĆêĉêćö
îē÷ïć÷ ĒúąöćêøåćîÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý” ĔîÿŠüî “ÖćøêøüÝÿĂïÖćøðäĉïĆêĉêćöîē÷ïć÷
ĒúąöćêøåćîÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý” Ēúąøć÷ÜćîñĎšĂĞćîü÷Öćøòść÷ĀøČĂđìĊ÷ïđìŠć×ċĚîĕðóøšĂö
ÖĆïøć÷ÜćîÖćøÙüïÙčöõć÷Ĕî
1) PD-01 ×ĆĚîêĂîÖćøðäĉïĆêĉÜćîđøČęĂÜ ÖćøïøĉĀćøÝĆéÖćøîē÷ïć÷ öćêøåćî Ēúą×ĆĚîêĂîÖćø
ðäĉïĆêĉÜćîÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý (Information Security Policy, Standard and
Procedure Management)

êćøćÜĒÿéÜĀîšćìĊęÙüćöøĆïñĉéßĂï×ĂÜñĎšðäĉïĆêĉÜćîêćööćêøåćîÙüćööĆęÜÙÜðúĂéõĆ÷éšćîÿćøÿîđìý
ïìïćì ĀîšćìĊęÙüćöøĆïñĉéßĂïêćööćêøåćîÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý
ST02 ST03 ST04 ST05 ST06 ST07 ST08 ST09 ST10 ST11
ñĎšïøĉĀćø Öôñ. ìčÖ 4.2.1
øąéĆïßĆĚî
ÙèąÖøøöÖćø 2.1.1, 2.1.8 11.1.1,
đìÙēîēú÷Ċÿćøÿîđìý 11.2.1, 11.2.2
Öôñ. (Ùìÿ.)
ÙèąÖøøöÖćøïøĉĀćø 10.1.1,
ÝĆéÖćøéšćî 10.1.3,
÷čìíýćÿêøŤ Öćø 10.1.4
ïøĉĀćøÙüćöđÿĊę÷ÜĒúą
ÖćøÙüïÙčöõć÷Ĕî
Öôñ. (Ù÷ÿ.)/
ÙèąĂîčÖøøöÖćø
ïøĉĀćøÙüćöêŠĂđîČęĂÜ
ĔîÖćøéĞćđîĉîÜćî
ÙèąìĞćÜćîÖćø 10.1.2,
ïøĉĀćøÙüćöêŠĂđîČęĂÜ 10.1.3,
ĔîÖćøóĆçîćÖćø

éĞćđîĉîÜćî
ÙèąìĞćÜćîÖćø 10.1.3,
ïøĉĀćøÙüćöêŠĂđîČęĂÜ 10.1.5
ĔîÖćøðäĉïĆêĉÖćø
éĞćđîĉîÜćî
øĂÜñĎšüŠćÖćøĀøČĂñĎšìĊę 2.1.2
ĕéšøĆïöĂïĀöć÷
ÿć÷ÜćîêŠćÜė 10.1.1,
10.1.2,
10.1.3,
10.1.4,
10.1.5
ñĎšĂĞćîü÷Öćøòść÷ĀøČĂ 2.1.3, 2.1.4 3.1.1, 3.1.3, 4.2.2 6.1.1, 6.7.1 7.2.1, 7.3.2, 11.1.2, 11.1.4
đìĊ÷ïđìŠć×ċĚîĕð 3.2.1 7.4.1, 7.5.2
ÙèąìĞćÜćî EGAT 9.1.1, 9.1.2,
Computer 9.2.1, 9.2.2,
Emergency 9.2.3
Response Team
(EGAT CERT)
ñĎšđðŨîđÝšć×ĂÜ 2.1.4, 2.2.1, 3.1.1, 3.1.2, 6.1.1, 6.1.2, 7.1.1, 7.2.1, 8.1.1, 8.2.1, 11.1.2,

ÿćøÿîđìý 2.2.2 3.1.3, 3.2.1, 6.1.3, 6.5.1, 7.2.2, 7.2.4, 8.4.2, 8.5.1, 11.1.3,
3.2.2 6.7.4, 6.8.2, 7.6.1, 7.6.2 8.5.2, 8.5.3, 11.1.4, 11.2.1
6.8.5, 6.9.1 8.5.5
ĀĆüĀîšćÜćî 4.3.2 7.5.6 11.1.2
ĀĆüĀîšćÜćî 2.1.6, 2.1.7, 3.1.1 4.2.2, 4.3.3 5.1.3, 5.2.3, 6.1.1, 6.1.2, 7.1.1, 7.2.1, 8.1.1, 8.2.1, 9.1.1, 9.1.2, 11.1.2,
ÿćøÿîđìý 2.2.1, 2.2.2 5.2.4, 5.2.6, 6.1.4, 6.2.1, 7.2.2, 7.2.3, 8.2.2, 8.2.3, 9.2.1 11.1.3,
5.2.7 6.2.2, 6.2.3, 7.2.4, 7.3.3, 8.2.4, 8.3.1, 11.1.4,
6.3.1, 6.3.2, 7.4.6, 7.5.1, 8.3.2, 8.4.1, 11.1.5,
6.4.1, 6.4.2, 7.5.2, 7.5.3, 8.4.2, 8.4.3, 11.1.6,
6.5.1, 6.7.1, 7.5.4, 7.5.5, 8.5.1, 8.5.2, 11.2.1,
6.7.2, 6.7.3, 7.5.6, 7.6.2, 8.5.3, 8.5.4, 11.3.1, 11.3.2
6.7.4, 6.8.1, 7.7.1, 7.7.2 8.5.5, 8.6.1
6.8.2, 6.8.3,
6.8.4, 6.8.5,
6.9.1, 6.9.2,
6.9.3, 6.10.1,
6.10.2,

6.10.3,
6.10.4,
6.10.5,
6.10.6
ñĎšéĎĒúÿćøÿîđìý 2.1.4 3.1.1, 3.1.2, 8.3.2 11.1.3, 11.2.1

3.1.3, 3.2.1,
3,2,2
ñĎšéĎĒúøąïï 2.1.4 3.1.1, 3.1.2, 7.2.1, 7.2.2, 8.4.1, 8.3.2 11.1.3, 11.2.1
ÿćøÿîđìý 3.1.3, 3.2.1, 7.2.3, 7.6.1
3,2,2
ĀĆüĀîšćýĎî÷Ť 5.1.1, 5.1.2,
ÙĂöóĉüđêĂøŤ 5.1.3, 5.1.4,
5.1.5, 5.1.6,
5.2.2, 5.2.4
ñĎšéĎĒúĀšĂÜ 5.1.1, 5.1.2,
ÙĂöóĉüđêĂøŤ 5.1.3, 5.1.4,
5.1.5, 5.2.2,
5.2.4

ñĎšéĎĒúýĎî÷Ť 4.3.3 5.1.1, 5.1.2
ÙĂöóĉüđêĂøŤĀøČĂ
ñĎšøĆïñĉéßĂïÿëćîìĊę
òść÷øĆÖþćÙüćö 4.3.1 5.1.1, 5.1.2,
ðúĂéõĆ÷ 5.2.7
òść÷üćÜĒñî 3.1.2 4.2.2 8.3.1 11.3.2
đìÙēîēú÷Ċÿćøÿîđìý
òść÷ðäĉïĆêĉÖćø 6.6.1, 6.6.2, 7.4.1, 7.4.2, 11.3.2
đìÙēîēú÷Ċÿćøÿîđìý 6.8.4 7.4.3, 7.4.4,
7.4.5, 7.4.6,
7.4.7
òść÷øąïïÿČęĂÿćø 7.4.6
òść÷ìøĆó÷ćÖøïčÙÙú 2.1.5 4.1.2, 4.1.3, 11.1.4, 11.1.5
4.2.2, 4.2.3,
4.3.1
òść÷óĆçîćïčÙÙúÖø 4.2.2
òść÷ÖãĀöć÷ 4.2.3 11.1.6

òść÷ïĆâßĊĒúąÖćøđÜĉî 4.3.2
ĀîŠü÷ÜćîïøĉĀćø 11.1.1
ÿĆââć
ñĎšêøüÝÿĂïĂĉÿøą 2.1.8 11.2.1,11.2.2,
11.3.1, 11.3.2
ñĎšðäĉïĆêĉÜćî 2.1.3, 2.1.4, 4.1.1, 4.1.3, 5.1.2, 5.1.5, 6.4.1 7.2.1, 7.3.1, 9.1.1, 9.1.2 11.1.2,
2.1.5 4.3.1 5.2.4, 5.2.5, 7.3.2, 7.3.3, 11.1.4, 11.1.5
5.2.7 7.4.1, 7.4.6,
7.5.5, 7.7.1,
7.7.2
ñĎšöćêĉéêŠĂýĎî÷Ť 5.1.1, 5.1.2,
ÙĂöóĉüđêĂøŤĀøČĂ ĀšĂÜ 5.1.5
ĀîŠü÷Üćîõć÷ĔîìĊę 4.1.2, 4.1.3, 6.2.1, 6.2.2,
êšĂÜÖćøüŠćÝšćÜ 4.2.2, 4.3.1, 6.2.3, 6.3.2
ĀîŠü÷Üćîõć÷îĂÖ 4.3.2
ñĎšÙüïÙčö×šĂöĎúÿŠüî 11.1.4
ïčÙÙú

đÝšć×ĂÜ×šĂöĎúÿŠüî 11.1.4
ïčÙÙú
ĀîŠü÷Üćîõć÷îĂÖ 2.2.1, 2.2.2 4.1.1, 4.1.3, 7.2.1, 7.3.1, 9.1.1, 9.1.2

4.3.1 7.3.2, 7.4.1

ēé÷ĒêŠ ú ąĀîŠ ü ÷ÜćîĀøČ Ă ĒêŠ ú ąïč Ù ÙúĂćÝÝąöĊ Ā úć÷ïìïćìĀîš ć ìĊę ìĊę đ ÖĊę ÷ ü×š Ă Üĕéš ö ćÖÖüŠ ć Āîċę Ü ïìïćì
êĆüĂ÷ŠćÜđßŠî
òść÷ìĊęđðŨîñĎšĔßšÜćîÿćøÿîđìýĂ÷ŠćÜđéĊ÷ü ïìïćìÙČĂ “ñĎšðäĉïĆêĉÜćî” ĒêŠđöČęĂòść÷éĆÜÖúŠćüöĊ
ÙüćöêšĂÜÖćøÝšćÜĀîŠü÷Üćîõć÷îĂÖ ÖĘÝąöĊïìïćì “ĀîŠü÷Üćîõć÷ĔîìĊęêšĂÜÖćøüŠćÝšćÜ
ĀîŠü÷Üćîõć÷îĂÖ” đóĉęö×ċĚîöć đðŨîêšî
òś ć ÷ìĊę öĊ Ö ćøóĆ ç îćøąïïÿćøÿîđìý ïìïćìÙČ Ă “ñĎš ð äĉ ïĆ êĉ Ü ćî” Ēúą “ĀĆ ü Āîš ć Üćî
ÿćøÿîđìý” ĒêŠ đöČę Ăòś ć÷éĆÜÖúŠćüöĊÙüćöêšĂÜÖćøêĉéêŠĂýĎî÷ŤÙ ĂöóĉüđêĂøŤĀøČĂĀš ĂÜ
ÙĂöóĉüđêĂøŤ ÖĘÝąöĊïìïćì “ñĎšöćêĉéêŠĂýĎî÷ŤÙĂöóĉüđêĂøŤ/ĀšĂÜÙĂöóĉüđêĂøŤ” đóĉęö×ċĚîöć
đðŨîêšî
òść÷ìĊęöĊÖćøóĆçîćøąïïÿćøÿîđìýĒúąöĊĀšĂÜđÙøČęĂÜÙĂöóĉüđêĂøŤĒöŠ×Šć÷ (Server) ïìïćì
ÙČĂ “ñĎšðäĉïĆêĉÜćî” “ĀĆüĀîšćÜćîÿćøÿîđìý” Ēúą “ĀĆüĀîšćýĎî÷ŤÙĂöóĉüđêĂøŤ” đðŨîêšî
ïčÙúìĊęĕéšøĆïïìïćì “ĀĆüĀîšćÜćîÿćøÿîđìý” ĀøČĂ “ĀĆüĀîšćýĎî÷ŤÙĂöóĉüđêĂøŤ” ÷ŠĂööĊ
ïìïćì “ñĎšðäĉïĆêĉÜćî” éšü÷đßŠîÖĆî
ST-02: öćêøåćîēÙøÜÿøšćÜìćÜéšćîÙüćööĆęîÙÜðúĂéõĆ÷ÿĞćĀøĆï Öôñ. (Standard of

Organization of Information Security)
đóČęĂïøĉĀćøÝĆéÖćøÙüćööĆęîÙÜðúĂéõĆ÷×ĂÜÿćøÿîđìýĒúąøąïïÿćøÿîđìýõć÷Ĕî Öôñ. øüöìĆĚÜÿćøÿîđìý
ĒúąøąïïÿćøÿîđìýìĊęëĎÖđ×šćëċÜ ëĎÖðøąöüúñú ĀøČĂëĎÖĔßšĔîÖćøêĉéêŠĂÿČęĂÿćøÖĆïĀîŠü÷Üćîõć÷îĂÖ Öôñ.
ēé÷ÖĞćĀîéĔĀšöĊöćêøåćîēÙøÜÿøšćÜìćÜéšćîÙüćööĆęîÙÜðúĂéõĆ÷ÿĞćĀøĆïĂÜÙŤÖø àċęÜðøąÖĂïéšü÷ 2 đøČęĂÜ
éĆÜêŠĂĕðîĊĚ
1) ēÙøÜÿøšćÜìćÜéšćîÙüćööĆęîÙÜðúĂéõĆ÷õć÷ĔîĂÜÙŤÖø (Internal Organization)
2) ēÙøÜÿøšćÜìćÜéšćîÙüćööĆęîÙÜðúĂéõĆ÷ìĊęđÖĊę÷ü×šĂÜÖĆïĀîŠü÷Üćîõć÷îĂÖ (External Parties)
ïìïćìĀîšćìĊę
ÙèąÖøøöÖćøđìÙēîēú÷Ċÿćøÿîđìý Öôñ. (Ùìÿ.)
ÖĞćĀîéìĉýìćÜéšćîÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý ĔîĒñîĒöŠïìđìÙēîēú÷ĊÿćøÿîđìýĒúąÖćø
ÿČęĂÿćø
ðøĆïðøčÜĒúąĂîčöĆêĉĒñîĒöŠïìđìÙēîēú÷ĊÿćøÿîđìýĒúąÖćøÿČęĂÿćø

óĉÝćøèćĒúąìïìüîîē÷ïć÷ öćêøåćî Ēúą×ĆĚîêĂîÖćøðäĉïĆêĉÜćîéšćîÙüćööĆęîÙÜðúĂéõĆ÷éšćî
ÿćøÿîđìý
ÿĂïìćîĒúąóĉÝćøèćĔĀšÙüćöđĀĘîßĂïĔîÖćøÝĆéĀćĂčðÖøèŤðøąöüúñúÿćøÿîđìýìĊęđÖĊę÷ü×šĂÜÖĆï
ÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý
ÙüïÙč ö ÖćøïĆ Ü ÙĆ ï Ĕßš î ē÷ïć÷ öćêøåćî Ēúą×ĆĚ î êĂîðäĉ ïĆ êĉ Ü ćîéš ć îÙüćööĆę î ÙÜðúĂéõĆ ÷ éš ć î
ÿćøÿîđìý ĔĀšìĆęüëċÜìĆĚÜ Öôñ.
ĔĀšÙćĞ ðøċÖþć ÿŠÜđÿøĉöĒúąÿîĆïÿîčîÙüćöêøąĀîĆÖëċÜéšćîÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý
ÿŠ Ü đÿøĉ ö ĒúąÿîĆ ï ÿîč î ĔĀš öĊ Ö ćøøĆ ï ÙĞ ć ðøċ Ö þćÝćÖñĎš đ ßĊę ÷ üßćâĔîđøČę Ă ÜÙüćööĆę î ÙÜðúĂéõĆ ÷ éš ć î
ÿćøÿîđìý
ðøąđöĉ î ðøąÿĉ ì íĉ ñ úĔîÖćøîĞ ć îē÷ïć÷ öćêøåćî Ēúą×ĆĚî êĂîÖćøðäĉ ïĆ êĉ Ü ćî éš ć îÙüćööĆę î ÙÜ
ðúĂéõĆ÷éšćîÿćøÿîđìýĕððäĉïĆêĉ
ÝĆéĔĀšöĊÖćøêøüÝÿĂïÙüïÙčöìćÜéšćîÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìýÝćÖñĎšêøüÝÿĂïõć÷îĂÖ
êćöÙüćöÝĞćđðŨî
øĂÜñĎšüŠćÖćøĀøČĂñĎšìĊęĕéšøĆïöĂïĀöć÷
ðøąÿćîÜćîÖĆïÙèąÖøøöÖćøđìÙēîēú÷Ċÿćøÿîđìý Öôñ. (Ùìÿ.) đóČęĂÿøšćÜÙüćööĆęîÙÜðúĂéõĆ÷éšćî
ÿćøÿîđìý õć÷Ĕîÿć÷Üćî
ñĎšĂĞćîü÷Öćøòść÷ĀøČĂđìĊ÷ïđìŠć×ċĚîĕð
ÖĞćĀîéÙüćöøĆïñĉéßĂïĔîÖćøðÖðŜĂÜìøĆó÷ŤÿĉîĒúąÙüćöøĆïñĉéßĂïĔîÖćøéĞćđîĉîÖćøéšćîÙüćööĆęîÙÜ
ðúĂéõĆ÷×ĂÜñĎšðäĉïĆêĉÜćî
óĉÝćøèćÖćøĔßšĂčðÖøèŤðøąöüúñúÿćøÿîđìýĒúąĂčðÖøèŤÿČęĂÿćøðøąđõìóÖóćìĊęđðŨî×ĂÜÿŠüîêĆü
×ĂÜñĎšĔêšïĆÜÙĆïïĆâßć
ñĎšđðŨîđÝšć×ĂÜÿćøÿîđìý
ðøąÿćîÜćîÖĆïĀĆüĀîšćÜćîÿćøÿîđìýìĊęđÖĊę÷ü×šĂÜĔîÖćøÖĞćĀîéĔĀšöĊÖøąïüîÖćøÖćøðøąđöĉîÙüćö
đÿĊę÷Ü ×ĂÜĀîŠü÷Üćîõć÷îĂÖìĊęêšĂÜÖćøđ×šćëċÜ
ðøąÿćîÜćîÖĆïĀĆüĀîšćÜćîÿćøÿîđìýìĊęđÖĊę÷ü×šĂÜĔîÖćøÝĆéìĞć×šĂêÖúÜĀøČĂÿĆââćøąĀüŠćÜ Öôñ. ÖĆï
ĀîŠü÷Üćîõć÷îĂÖ
ìïìüîïĆâßĊøć÷ßČęĂñĎšĔßšÜćî×ĂÜĀîŠü÷Üćîõć÷îĂÖìĊęĕéšøĆïÿĉìíĉĔîÖćøđ×šćëċÜ ÿćøÿîđìý ĒúąĂčðÖøèŤ
ðøąöüúñúÿćøÿîđìý×ĂÜ Öôñ.

óĉÝćøèćÖćøĒÝšÜÙüćöðøąÿÜÙŤđóČęĂđ×šćëċÜÿćøÿîđìýÝćÖñĎšĔßšÜćî
ĀĆüĀîšćÜćîÿćøÿîđìý
ïøĉĀćøÝĆéÖćøøć÷ßČęĂĒúą×šĂöĎúÿĞćĀøĆïÖćøêĉéêŠĂÖĆïĀîŠü÷ÜćîĂČęîìĊęđÖĊę÷ü×šĂÜÖĆïÙüćööĆęîÙÜðúĂéõĆ÷
éšćîÿćøÿîđìý×ĂÜ Öôñ.
ïøĉĀćøÝĆéÖćøøć÷ßČęĂĒúą×šĂöĎúÿĞćĀøĆïÖćøêĉéêŠĂÖĆïÖúčŠöìĊęöĊÙüćöÿîĔÝđðŨîóĉđýþĔîđøČęĂÜđéĊ÷üÖĆî
ðøąÿćîÜćîÖĆïñĎšđðŨîđÝšć×ĂÜÿćøÿîđìýĔîÖćøÖĞćĀîéĔĀšöĊÖøąïüîÖćøÖćøðøąđöĉîÙüćöđÿĊę÷Ü ×ĂÜ
ĀîŠü÷Üćîõć÷îĂÖìĊęêšĂÜÖćøđ×šćëċÜ
ÝĆéĔĀšöĊÖćøìĞć×šĂêÖúÜĀøČĂÿĆââćøąĀüŠćÜ Öôñ. ÖĆï ĀîŠü÷Üćîõć÷îĂÖìĊęêšĂÜÖćøđ×šćëċÜ
ïøĉĀćøÝĆéÖćøÿĉìíĉĔîÖćøđ×šćëċÜøąïïÿćøÿîđìý×ĂÜĀîŠü÷Üćîõć÷îĂÖ
ñĎšïĆÜÙĆïïĆâßć
óĉÝćøèćÙüćöðøąÿÜÙŤĔîÖćøđ×šćëċÜøąïïðøąöüúñúÿćøÿîđìý×ĂÜñĎšĔêšïĆÜÙĆïïĆâßć
ñĎšéĎĒúÿćøÿîđìýĒúąñĎšéĎĒúøąïïÿćøÿîđìý
øąïčñĎšĔßšÜćîÿćøÿîđìý ÖćøóĉÿĎÝîŤêĆüêîĒúąöĂïÿĉìíĉĔîøąïïðøąöüúñúÿćøÿîđìý
òść÷ìøĆó÷ćÖøïčÙÙú
ÝĆéĔĀšñĎšðäĉïĆêĉÜćîöĊÖćøúÜîćöĔî×šĂêÖúÜöĉĔĀšđðŗéđñ÷ÙüćöúĆï×ĂÜ Öôñ.
ÿĂïìćî×šĂêÖúÜöĉĔĀšđðŗéđñ÷ÙüćöúĆï×ĂÜ Öôñ.
ñĎšêøüÝÿĂïĂĉÿøą
êøüÝÿĂïÖćøÙüïÙčöìćÜéšćîÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý
øć÷ÜćîñúÖćøêøüÝÿĂïéšćîÙüćööĆę îÙÜðúĂéõĆ ÷éšćîÿćøÿîđìýêŠĂÙèąÖøøöÖćøđìÙēîēú÷Ċ
ÿćøÿîđìý Öôñ. (Ùìÿ.) ĒúąÙèąÖøøöÖćøêøüÝÿĂï (Audit Committee)
ñĎšðäĉïĆêĉÜćî
ðäĉïĆêĉêćöîē÷ïć÷ öćêøåćî Ēúą×ĆĚîêĂîðäĉïĆêĉÜćîéšćîÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý×ĂÜ
Öôñ.
ĒÝšÜÙüćöðøąÿÜÙŤĔîÖćøđ×šćëċÜøąïïðøąöüúñúÿćøÿîđìýêŠĂñĎšĂĞćîü÷Öćøòść÷ĀøČĂđìĊ÷ïđìŠć×ċĚîĕð
ĒúąñĎšđðŨîđÝšć×ĂÜÿćøÿîđìý

úÜîćöĔî×šĂêÖúÜöĉĔĀšđðŗéđñ÷ÙüćöúĆï×ĂÜ Öôñ.
Öôñ.
ĒÝšÜÙüćöðøąÿÜÙŤĔîÖćøđ×šćëċÜêŠĂñĎšđðŨîđÝšć×ĂÜÿćøÿîđìýĒúąĀĆüĀîšćÜćîÿćøÿîđìýìĊęøĆïñĉéßĂï
2.1 ēÙøÜÿøšćÜìćÜéšćîÙüćööĆęîÙÜðúĂéõĆ÷õć÷ĔîĂÜÙŤÖø (Internal Organization)
ëšĂ÷ĒëúÜîē÷ïć÷
ĔĀšöĊÖćøïøĉĀćøÝĆéÖćøéšćîÙüćööĆęîÙÜðúĂéõĆ÷ ÖćøðøąÿćîÜćîÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìýõć÷Ĕî
Öôñ. ÖćøÖĞćĀîéĀîšćìĊęÙüćöøĆïñĉéßĂïéšćîÙüćööĆęîÙÜðúĂéõĆ÷ ÖøąïüîÖćøĂîčöĆêĉÖćøĔßšÜćîĂčðÖøèŤ
ðøąöüúñúÿćøÿîđìý ÖćøúÜîćööĉĔĀšđðŗéđñ÷ÿćøÿîđìýìĊęđðŨîÙüćöúĆï×ĂÜ Öôñ. ÖćøöĊøć÷ßČęĂĒúą×šĂöĎú
ÿĞćĀøĆïÖćøêĉéêŠĂÖĆïĀîŠü÷ÜćîĂČęîĒúąÖúčŠöìĊęöĊÙüćöøĎšÙüćöÿîĔÝđøČęĂÜÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý
ĒúąÖćøìïìüîÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý
öćêøåćî
2.1.1 ÖćøĔĀšÙüćöÿĞćÙĆâ×ĂÜñĎšïøĉĀćøĒúąÖćøÖĞćĀîéĔĀšöĊÖćøïøĉĀćøÝĆéÖćøìćÜéšćîÙüćööĆęîÙÜðúĂéõĆ÷
éšćîÿćøÿîđìý (Management Commitment to Information Security)
1) ÙèąÖøøöÖćøđìÙēîēú÷Ċÿćøÿîđìý Öôñ. (Ùìÿ.) êšĂÜïøĉĀćøÝĆéÖćøÙüćööĆęîÙÜðúĂéõĆ÷éšćî
ÿćøÿîđìý ĔîđøČęĂÜéĆÜêŠĂĕðîĊĚ
1. ÖćøÖĞćĀîéđðŜćĀöć÷ÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìýĒúąìĉýìćÜĔîÖćøÿîĆïÿîčîÖćø
øĉđøĉęöÖćøÝĆéÖćøìćÜéšćîÙüćööĆęîÙÜðúĂéõĆ÷ĔîĒñîĒöŠïìđìÙēîēú÷ĊÿćøÿîđìýĒúąÖćø
ÿČęĂÿćøĕüšĂ÷ŠćÜßĆéđÝî ēé÷êšĂÜêøÜÖĆïÙüćöêšĂÜÖćøìćÜéšćîíčøÖĉÝ ĒúąêšĂÜÙøĂïÙúčöÖĆï
ÖøąïüîÖćøìĊęđÖĊę÷ü×šĂÜÖĆïÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý
2. ÖćøðøĆïðøčÜĒúąĂîčöĆêĉĒñîĒöŠïìđìÙēîēú÷ĊÿćøÿîđìýĒúąÖćøÿČęĂÿćø
3. ÖćøóĉÝćøèćĒúąìïìüîîē÷ïć÷ öćêøåćî Ēúą×ĆĚîêĂîÖćøðäĉïĆêĉÜćîéšćîÙüćööĆęîÙÜ
ðúĂéõĆ÷éšćîÿćøÿîđìý
4. ÖćøÿĂïìćîĒúąóĉÝćøèćĔĀšÙüćöđĀĘîßĂïĔîÖćøÝĆéĀćĂčðÖøèŤðøąöüúñúÿćøÿîđìýìĊę
đÖĊę÷ü×šĂÜÖĆïÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý

5. ÖćøÙüïÙč ö ÖćøïĆ Ü ÙĆ ï Ĕßš î ē÷ïć÷ öćêøåćî Ēúą×ĆĚ î êĂîðäĉ ïĆ êĉ Ü ćîéš ć îÙüćööĆę î ÙÜ
ðúĂéõĆ÷éšćîÿćøÿîđìý ĔĀšìĆęüëċÜìĆĚÜ Öôñ.
6. ÖćøÿŠÜđÿøĉöĒúąÿîĆïÿîčîÙüćöêøąĀîĆÖëċÜéšćîÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìýĂ÷ŠćÜ
êŠĂđîČęĂÜ
7. ÖćøÿŠ Ü đÿøĉ ö ĒúąÿîĆ ï ÿîč î ĔĀš öĊ Ö ćøøĆ ï ÙĞ ć ðøċ Ö þćÝćÖñĎš đ ßĊę ÷ üßćâĔîđøČę Ă ÜÙüćööĆę î ÙÜ
8. ÖćøðøąđöĉîðøąÿĉìíĉñúĔîÖćøîĞćîē÷ïć÷ öćêøåćî Ēúą×ĆĚîêĂîÖćøðäĉïĆêĉÜćîéšćîÙüćö
öĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìýĕððäĉïĆêĉ
2) ÙèąÖøøöÖćøđìÙēîēú÷Ċÿćøÿîđìý Öôñ. (Ùìÿ.) êšĂÜöĊÖćøðøąßčöĂ÷ŠćÜîšĂ÷ĕêøöćÿúąĀîċęÜÙøĆĚÜ
2.1.2 ÖćøðøąÿćîÜćîÙüćööĆęîÙÜðúĂéõĆ÷õć÷Ĕî Öôñ. (Information Security Coordination)

1) øĂÜñĎšüŠćÖćøĀøČĂñĎšìĊęĕéšøĆïöĂïĀöć÷ êšĂÜðøąÿćîÜćîÖĆïÙèąÖøøöÖćøđìÙēîēú÷Ċÿćøÿîđìý Öôñ.
(Ùìÿ.) đóČęĂÿøšćÜÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý ĔîđøČęĂÜéĆÜêŠĂĕðîĊĚ
1. ÿĂïìćîÖćøðäĉïĆêĉÜćî×ĂÜñĎšðäĉïĆêĉÜćîĔîĀîŠü÷ÜćîĔĀšÿĂéÙúšĂÜÖĆïîē÷ïć÷ÙüćööĆęîÙÜ
ðúĂéõĆ÷éšćîÿćøÿîđìý×ĂÜ Öôñ.
2. ÖĞćĀîéĒîüìćÜĔîÖćøïøĉĀćøÝĆéÖćøđöČęĂöĊÖćøðäĉïĆêĉìĊęĕöŠÿĂéÙúšĂÜÖĆïîē÷ïć÷ÙüćööĆęîÙÜ
ðúĂéõĆ÷éšćîÿćøÿîđìý×ĂÜ Öôñ.
3. ĂîčöĆêĉüĉíĊÖćøĒúąÖøąïüîÖćøìĊęđÖĊę÷ü×šĂÜÖĆïÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý đßŠî
ÖćøðøąđöĉîÙüćöđÿĊę÷ÜĒúąÖćøÖĞćĀîéßĆĚîÙüćöúĆï×šĂöĎú đðŨîêšî
4. øąïčÖćøđðúĊę÷îĒðúÜ×ĂÜõĆ÷ÙčÖÙćöĒúąßŠĂÜēĀüŠìĊęÿĞćÙĆâĒúąĒúąÙüćöđðŨîĕðĕéšìĊęõĆ÷
ÙčÖÙćöêŠćÜėÝąÖŠĂĔĀšđÖĉéÙüćöđÿĊ÷Āć÷êŠĂÿćøÿîđìýĒúąĂčðÖøèŤðøąöüúñúÿćøÿîđìý
×ĂÜ Öôñ.
5. ÖćøÿøšćÜÙüćöêøąĀîĆÖ ĔĀšÙüćöøĎšĒúąÖćøòřÖĂïøö ìĊęđÖĊę÷ü×šĂÜÖĆïÙüćööĆęîÙÜðúĂéõĆ÷
éšćîÿćøÿîđìý ĔĀšìĆęüëċÜìĆĚÜ Öôñ.
6. ðøąđöĉîÙüćöëĎÖêš ĂÜĒúąđĀöćąÿö×ĂÜÖćøîĞćîē÷ïć÷éšćîÙüćööĆęîÙÜðúĂéõĆ÷éšćî
ÿćøÿîđìý×ĂÜÖćøïĆÜÙĆïĔßš
7. ðøąđöĉîøć÷ÜćîñúÖćøđòŜćøąüĆÜĒúąÿĂïìćîÿëćîÖćøèŤìĊęđÖĊę÷üÖĆïÙüćööĆęîÙÜðúĂéõĆ÷
éšćîÿćøÿîđìý ĒúąĔĀšÙĞćĒîąîĞćìĊęđĀöćąÿöĔîÖćøøĆïöČĂÖĆïÿëćîÖćøèŤéĆÜÖúŠćü
2.1.3 ÖćøÖĞćĀîéĀîšćìĊęÙüćöøĆïñĉéßĂïìćÜéšćîÙüćööĆęîÙÜðúĂéõĆ÷ÿćøÿîđìý (Allocation of

Information Security Responsibilities)

1) îē÷ïć÷ ĒúąöćêøåćîÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìýĕéšöĊÖćøøąïčĀîšćìĊęÙüćöøĆïñĉéßĂïĕüš
Ēúšü ìĆĚ ÜîĊĚĀîšć ìĊęÙ üćöøĆïñĉ éßĂï éĆÜ ÖúŠćüêš ĂÜĕéšøĆ ï ÖćøðøĆï ĔßšĒ úąđóĉęö đêĉ ö Ĕîøć÷úąđĂĊ ÷éĔĀš
đĀöćąÿöêŠĂÿćøÿîđìýĒúąøąïïÿćøÿîđìýĒêŠúąðøąđõì
2) ñĎšðäĉïĆêĉÜćîìĊęĕéšøĆïöĂïĀöć÷ĔĀšøĆïñĉéßĂïĂćÝöĊÖćøöĂïĀöć÷ÜćîìĊęĕéšøĆïĕð÷ĆÜñĎšĂČęîĕéš Ă÷ŠćÜĕøÖĘ
êćöñĎšðäĉïĆêĉÜćîîĆĚî÷ĆÜÙÜêšĂÜÙüćöøĆïñĉéßĂïêŠĂÜćîéĆÜÖúŠćü øüöìĆĚÜêšĂÜöĆęîĔÝüŠćÜćîìĊęöĂïĀöć÷
ĕð÷ĆÜñĎšĂČęîîĆĚîĕéšøĆïÖćøéĞćđîĉîÜćîĂ÷ŠćÜëĎÖêšĂÜ
3) ñĎšĂĞćîü÷Öćøòść÷ĀøČĂđìĊ÷ïđìŠć×ċĚîĕð öĊĀîšćìĊęÖĞćĀîéÙüćöøĆïñĉéßĂïĔîÖćøðÖðŜĂÜìøĆó÷Ťÿĉî Ēúą
ÙüćöøĆïñĉéßĂïĔîÖćøéĞćđîĉîÜćîéšćîÙüćööĆęîÙÜðúĂéõĆ÷×ĂÜñĎšðäĉïĆêĉÜćîĕüšĂ÷ŠćÜßĆéđÝî ĔîđøČęĂÜ
1. êš Ă Üøąïč ì øĆ ó ÷Ť ÿĉ î ĒúąÖøąïüîÖćøéš ć îÙüćööĆę î ÙÜðúĂéõĆ ÷ ìĊę đ ÖĊę ÷ ü×š Ă ÜÖĆ ï øąïï
ÿćøÿîđìý
2. êšĂÜÖĞćĀîéĀîšćìĊęÙüćöøĆïñĉéßĂï×ĂÜñĎšðäĉïĆêĉÜćîêŠĂìøĆó÷ŤÿĉîĒúąÖøąïüîÖćøìćÜéšćî
ÙüćööĆęîÙÜðúĂéõĆ÷Ă÷ŠćÜđðŨîúć÷úĆÖþèŤĂĆÖþø
3. êšĂÜÖĞćĀîéøąéĆï×ĂÜÿĉìíĉÖćøđ×šćëċÜ (Authorization Level) ĕüšĂ÷ŠćÜßĆéđÝîĒúąđðŨîúć÷
úĆÖþèŤĂĆÖþø
4) ñĎšßŠü÷ñĎšüŠćÖćøđìÙēîēú÷Ċÿćøÿîđìý öĊĀîšćìĊęéĎĒúøĆïñĉéßĂïÖćøøĆÖþćÙüćööĆęîÙÜðúĂéõĆ÷éšćî
ÿćøÿîđìýĔĀšđðŨîĕðêćöîē÷ïć÷Ēúąöćêøåćî×ĂÜ Öôñ. ēé÷ĔĀšöĊÖćøïøĉĀćøÙüćöđÿĊę÷ÜìĊę
đĀöćąÿö đóČęĂðŜĂÜÖĆîÙüćöđÿĊ÷Āć÷ĀøČĂñúÖøąìïìĊęĂćÝđÖĉé×ċĚî
2.1.4 ÖøąïüîÖćøĔîÖćøĂîčöĆêĉÖćøĔßšÜćîĂčðÖøèŤðøąöüúñúÿćøÿîđìý (Authorization Process for

Information Processing Facilities)
1) ñĎšðäĉïĆêĉÜćîêšĂÜĒÝšÜÙüćöðøąÿÜÙŤĔîÖćøđ×šćëċÜøąïïðøąöüúñúÿćøÿîđìýêŠĂñĎšïĆÜÙĆïïĆâßć Ēúą
ñĎšđðŨîđÝšć×ĂÜÿćøÿîđìý ēé÷ñĎšĔßšÜćîÿćøÿîđìýÿćöćøëĔßšÜćîĕéšĀúĆÜĕéšøĆï ÖćøĂîčöĆêĉ
2) ÖćøĒÝšÜÙüćöðøąÿÜÙŤđóČęĂđ×šćëċÜÿćøÿîđìýêšĂÜðäĉïĆêĉêćöÖøąïüîÖćøĔîÖćøøšĂÜ×ĂéĆÜîĊĚ
ÖćøøšĂÜ×Ă: ñĎšĔßšÜćîÿćøÿîđìýöĊĀîšćìĊęĔîÖćøøšĂÜ×ĂÖćøđ×šćëċÜ
ÖćøĂîčöĆê:ĉ ñĎšĂĞćîü÷Öćøòść÷ĀøČĂđìĊ÷ïđìŠć×ċĚîĕð×ĂÜñĎšøšĂÜ×ĂöĊĀîšćìĊęĔîÖćøóĉÝćøèćÖćøøšĂÜ
×Ă
ÖćøöĂïÿĉìíĉ: ñĎšđðŨîđÝšć×ĂÜÿćøÿîđìýöĊĀîšćìĊęĔîÖćøóĉÝćøèćÖćøøšĂÜ×Ă
ÖćøîĞ ć ĕðĔßš : ñĎš éĎ Ē úÿćøÿîđìýĒúąñĎš éĎ Ē úøąïïÿćøÿîđìýöĊ Ā îš ć ìĊę Ĕ îÖćøøąïč ñĎš Ĕ ßš Ü ćî
ÿćøÿîđìý ÖćøóĉÿĎÝîŤêĆüêîĒúąöĂïÿĉìíĉ Ĕîøąïïðøąöüúñúÿćøÿîđìý×ĂÜñĎš
đðŨîđÝšć×ĂÜÿćøÿîđìýîĆĚî

3) ÖćøîĞćöćĔßšàċęÜĂčðÖøèŤðøąöüúñúÿćøÿîđìýĒúąĂčðÖøèŤÿČęĂÿćøðøąđõìóÖóćìĊęđðŨî×ĂÜÿŠüîêĆü
êšĂÜĕéšøĆïÖćøĂîčöĆêĉÝćÖñĎšĂĞćîü÷Öćøòść÷ĀøČĂđìĊ÷ïđìŠć×ċĚîĕð
2.1.5 ÖćøúÜîćööĉĔĀšđðŗéđñ÷ÙüćöúĆï×ĂÜĂÜÙŤÖø (Confidentiality Agreements)

1) òść÷ìøĆó÷ćÖøïčÙÙúêšĂÜÖĞćĀîéĔĀšñĎšðäĉïĆêĉÜćîúÜîćöĔî×šĂêÖúÜöĉĔĀšđðŗéđñ÷ÙüćöúĆï×ĂÜ Öôñ.
ēé÷ëČĂđðŨîÿŠüîĀîċęÜ×ĂÜÖćøüŠćÝšćÜ ìĆĚÜîĊĚ×šĂêÖúÜéĆÜÖúŠćüêšĂÜöĊÖćøøąïčëċÜ×šĂÖĞćĀîéđóČęĂðÖðŜĂÜ
×šĂöĎúìĊęđðŨîÙüćöúĆï ĒúąöĊ×šĂÙüćöìĊęÿćöćøëîĞćĕðïĆÜÙĆïĔßšĕéšêćöÖãĀöć÷
2) ×šĂêÖúÜöĉĔĀšđðŗéđñ÷ÙüćöúĆï×ĂÜ Öôñ. êšĂÜøąïčđøČęĂÜéĆÜêŠĂĕðîĊĚ
1. ×šĂöĎúìĊęêšĂÜĕéšøĆïÖćøðÖðŜĂÜ
2. øą÷ąđüúćïĆÜÙĆïĔßš×ĂÜ×šĂêÖúÜ
3. ×šĂðäĉïĆêĉđöČęĂÿĉĚîÿčé×šĂêÖúÜ
4. ĀîšćìĊęÙüćöøĆïñĉéßĂïĒúą×šĂðäĉïĆêĉ×ĂÜñĎšúÜîćö đóČęĂĀúĊÖđúĊę÷ÜÖćøđðŗéđñ÷×šĂöĎúēé÷ĕöŠĕéš
øĆïĂîčâćê
5. ÿĉìíĉÙüćöđðŨîđÝšć×ĂÜÿćøÿîđìý ÿĉìíĉéšćîÙüćöúĆïìćÜÖćøÙšć ĒúąìøĆó÷ŤÿĉîìćÜðŦââć
6. ÖćøĂîčâćêĔĀšĔßš×šĂöĎúìĊęđðŨîÙüćöúĆïĒúąÿĉìíĉ×ĂÜñĎšúÜîćöđóČęĂĔßš×šĂöĎú
7. ÿĉìíĉĔîÖćøêøüÝÿĂïĒúąđòŜćøąüĆÜÖćøðäĉïĆêĉÜćîìĊęđÖĊę÷ü×šĂÜÖĆï×šĂöĎúìĊęđðŨîÙüćöúĆï
8. ÖøąïüîÖćøĒÝšÜđĀêčÖćøèŤÖćøđðŗéđñ÷×šĂöĎúēé÷ĕöŠĕéšøĆïĂîčâćêĀøČĂÖćøøĆęüĕĀú×ĂÜ×šĂöĎú
ìĊęđðŨîÙüćöúĆï
9. đÜČęĂîĕ×ĔîÖćøÿŠÜÙČîĀøČĂìĞćúć÷×šĂöĎú đöČęĂöĊÖćøøąÜĆï×šĂêÖúÜ
10. ×šĂðäĉïĆêĉĔîÖøèĊìĊęöĊÖćøúąđöĉéÿĆââć
3) đÜČęĂîĕ×Ēúą×šĂ ÙüćöĂČęîėîĂÖđĀîČĂÝćÖ×š ćÜêšîĂćÝëĎÖ øąïčúÜĕðĔîÖćøìĞ ć ÿĆâ âćöĉĔ Āšđðŗéđñ÷
ÙüćöúĆï×ĂÜ Öôñ. ìĆĚÜîĊĚ×ċĚîĂ÷ĎŠÖĆïøąéĆïÙüćöêšĂÜÖćøìćÜéšćîÙüćööĆęîÙÜðúĂéõĆ÷×ĂÜ Öôñ.
4) òść÷ìøĆó÷ćÖøïčÙÙú êšĂÜÿĂïìćî×šĂêÖúÜöĉĔĀšđðŗéđñ÷ÙüćöúĆï Ă÷ŠćÜîšĂ÷ðŘúąĀîċęÜÙøĆĚÜ ĀøČĂđöČęĂöĊ
ÖćøđðúĊę÷îĒðúÜìĊęÿĞćÙĆâ×ĂÜÖãĀöć÷Ēúą×šĂÖĞćĀîéĂČęîėìĊęđÖĊę÷ü×šĂÜ
2.1.6 ÖćøöĊøć÷ßČęĂĒúą×šĂöĎúÿĞćĀøĆïÖćøêĉéêŠĂÖĆïĀîŠü÷ÜćîĂČęî (Contact with Authorities)

1) ĀĆ ü Āîš ć ÜćîÿćøÿîđìýöĊ Ā îš ć ìĊę Ĕ îÝĆ é ìĞ ć ĒúąðøĆ ï ðøč Ü øć÷ßČę Ă Ēúą×š Ă öĎ ú ÿĞ ć ĀøĆ ï Öćøêĉ é êŠ Ă ÖĆ ï
ĀîŠü÷ÜćîĂČęî àċęÜøüöìĆĚÜĀîŠü÷Üćîõć÷ĔîĒúąĀîŠü÷Üćîõć÷îĂÖ Öôñ. ìĊęđÖĊę÷ü×šĂÜÖĆïÙüćööĆęîÙÜ
ðúĂéõĆ÷éšćîÿćøÿîđìý ēé÷öĊêĆüĂ÷ŠćÜéĆÜêŠĂĕðîĊĚ
1. ĀîŠü÷ÜćîìćÜéšćîÖãĀöć÷
x ÿĞćîĆÖÜćîêĞćøüÝĒĀŠÜßćêĉ

x ÖøąìøüÜđìÙēîēú÷ĊÿćøÿîđìýĒúąÖćøÿČęĂÿćø (ICT)
x ýĎî÷ŤđìÙēîēú÷ĊĂĉđúĘÖìøĂîĉÖÿŤĒúąÙĂöóĉüđêĂøŤĒĀŠÜßćêĉ (NECTEC)
2. ĀîŠü÷ÜćîÖĞćÖĆïéĎĒú
x ÿĞćîĆÖÜćîÙèąÖøøöÖćøîē÷ïć÷øĆåüĉÿćĀÖĉÝ (ÿÙø.)
x ïøĉþĆì ĕì÷đøìêĉĚÜĒĂîéŤĂĉîôĂøŤđößĆęîđàĂøŤüĉÿ ÝĞćÖĆé (TRIS)
3. ñĎšĔĀšïøĉÖćøéšćîÖćøÿČęĂÿćøĒúąēìøÙöîćÙö
x ïøĉþĆì ìĊēĂìĊ ÝĞćÖĆé (öĀćßî)
x ïøĉþĆì ìøĎ ÙĂøŤðĂđøßĆęî ÝĞćÖĆé (öĀćßî)
x ïøĉþĆì ìĊìĊĒĂîéŤìĊ ÝĞćÖĆé (öĀćßî)
x ïøĉþĆì Öÿì ēìøÙöîćÙö ÝĞćÖĆé (öĀćßî)
4. ñĎšĔĀšïøĉÖćøđÙøČĂ×Šć÷ĂĉîđêĂøŤđîĘê
x ïøĉþĆì đÙ đĂÿ àĊ ÙĂöđöĂøŤđßĊ÷ú ĂĉîđêĂøŤđîê ÝĞćÖĆé
x ïøĉþĆì Öÿì ēìøÙöîćÙö ÝĞćÖĆé (öĀćßî)
x ïøĉþĆì ìøĎ ÙĂøŤðĂđøßĆęî ÝĞćÖĆé (öĀćßî)
x ïøĉþĆì ĂĉîđìĂøŤđîĘêðøąđìýĕì÷ ÝĞćÖĆé (öĀćßî)
x ïøĉþĆì ÿćöćøë Ăĉîēôđîê ÝĞćÖĆé
x ïøĉþĆì àĊđĂÿ úĘĂÖàĂĉîēô ÝĞćÖĆé (öĀćßî)
5. ĀîŠü÷Üćîõć÷Ĕî
x EGAT CERT
x Help Desk
x òść÷üćÜĒñîđìÙēîēú÷Ċÿćøÿîđìý (Ăüì.)
x òść÷ðäĉïĆêĉÖćøđìÙēîēú÷Ċÿćøÿîđìý (Ăðì.)
2) ĀĆüĀîšćÜćîÿćøÿîđìýöĊĀîšćìĊęĔîÖćøìïìüîøć÷ßČęĂĒúą×šĂöĎúÿĞćĀøĆïÖćøêĉéêŠĂÖĆïĀîŠü÷ÜćîĂČęî
Ă÷ŠćÜîšĂ÷ðŘúąĀîċęÜÙøĆĚÜ ĀøČĂđöČęĂöĊÖćøđðúĊę÷îĒðúÜøć÷ßČęĂĒúą×šĂöĎúéĆÜÖúŠćü
2.1.7 ÖćøöĊøć÷ßČęĂĒúą×šĂöĎúÿĞćĀøĆïÖćøêĉéêŠĂÖĆïÖúčŠöìĊęöĊÙüćöÿîĔÝđðŨîóĉđýþĔîđøČęĂÜđéĊ÷üÖĆî (Contact

with Special Interest Groups)
1) ĀĆüĀîšćÜćîÿćøÿîđìýöĊĀîšćìĊęĔîÝĆéìĞć ĒúąðøĆïðøčÜøć÷ßČęĂĒúą×šĂöĎúÿĞćĀøĆïÖćøêĉéêŠĂÖĆïÖúčŠöìĊęöĊ
ÙüćöÿîĔÝđðŨîóĉđýþĔîđøČęĂÜđéĊ÷üÖĆî Ă÷ŠćÜîšĂ÷éĆÜêŠĂĕðîĊĚ
1. ßöøöđìÙēîēú÷ĊÿćøÿîđìýøĆåüĉÿćĀÖĉÝĒĀŠÜðøąđìýĕì÷ (ICTSEC)

2. ßöøöøĆÖþćÙüćööĆęîÙÜðúĂéõĆ÷ (ISA)
3. ýĎî÷ŤðøąÿćîÜćîÖćøøĆÖþćÙüćöðúĂéõĆ÷ÙĂöóĉüđêĂøŤ ðøąđìýĕì÷ (ThaiCERT)
2) ĀĆüĀîšćÜćîÿćøÿîđìýöĊĀîšćìĊęĔîÖćøìïìüîøć÷ßČęĂĒúą×šĂöĎúÿĞćĀøĆïÖćøêĉéêŠĂÖĆïÖúčŠöìĊęöĊÙüćö
ÿîĔÝđðŨîóĉđýþĔîđøČęĂÜđéĊ÷üÖĆîĂ÷ŠćÜîšĂ÷ðŘúąĀîċęÜÙøĆĚÜ ĀøČĂđöČęĂöĊÖćøđðúĊę÷îĒðúÜøć÷ßČęĂĒúą×šĂöĎú
Ēúą×šĂöĎúéĆÜÖúŠćü
2.1.8 ÖćøìïìüîéšćîÙüćööĆęîÙÜðúĂéõĆ÷ÿĞćĀøĆïÿćøÿîđìýēé÷ñĎšêøüÝÿĂïĂĉÿøą (Independent

Review of Information Security)
1) ñĎšêøüÝÿĂïĂĉÿøą êšĂÜìĞćÖćøêøüÝÿĂïÖćøÙüïÙčöìćÜéšćîÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý
Ă÷ŠćÜîšĂ÷ðŘúąĀîċęÜÙøĆĚÜ
2) ÙèąÖøøöÖćøđìÙēîēú÷Ċÿćøÿîđìý Öôñ. (Ùìÿ.) êšĂÜÝĆéĔĀšöĊÖćøêøüÝÿĂïÙüïÙčöìćÜéšćîÙüćö
öĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìýÝćÖñĎšêøüÝÿĂïõć÷îĂÖêćöÙüćöÝĞćđðŨî
3) ñú×ĂÜÖćøêøüÝÿĂïêšĂÜĕéšøĆïÖćøïĆîìċÖĒúąøć÷ÜćîêŠĂÙèąÖøøöÖćøđìÙēîēú÷Ċÿćøÿîđìý Öôñ.
(Ùìÿ.) ĒúąÙèąÖøøöÖćøêøüÝÿĂï (Audit Committee)
4) ñú×ĂÜÖćøêøüÝÿĂïàċęÜïŠÜßĊĚ×šĂïÖóøŠĂÜ×ĂÜÖćøÙüïÙčöéšćîÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý
ĀøČĂÖćøĕöŠðäĉïĆêĉêćöîē÷ïć÷ÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý êšĂÜĕéšøĆï ÖćøóĉÝćøèć
ĒÖš ĕ ×ēé÷ÙèąÖøøöÖćøđìÙēîēú÷Ċ ÿ ćøÿîđìý Öôñ. (Ùìÿ.) ĀøČ Ă ñĎš ìĊę ĕ éš øĆ ï öĂïĀöć÷ēé÷
5) ×Ăïđ×ê×ĂÜÖćøêøüÝÿĂïÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìýêšĂÜÙøĂïÙúčöÖćøêĉéêćöñú Öćø
êøüÝÿĂïĔîÙøĆĚÜìĊęñŠćîöć
2.2 ēÙøÜÿøšćÜìćÜéšćîÙüćööĆęîÙÜðúĂéõĆ÷ìĊęđÖĊę÷ü×šĂÜÖĆïĀîŠü÷Üćîõć÷îĂÖ (External

Parties)
ĔĀšöĊÖćøðøąđöĉîÙüćöđÿĊę÷Ü×ĂÜÖćøđ×šćëċÜÿćøÿîđìýēé÷ĀîŠü÷Üćîõć÷îĂÖ Öćøøąïč×šĂÖĞćĀîéìĊęđÖĊę÷ü×šĂÜÖĆï
ÙüćööĆęîÙÜðúĂéõĆ÷ ĒúąÖćøøąïčĒúąÝĆéìĞć×šĂÖĞćĀîéÿĞćĀøĆïĀîŠü÷Üćîõć÷îĂÖìĊęđÖĊę÷ü×šĂÜÖĆï Ùüćö
öĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý×ĂÜ Öôñ.
öćêøåćî
2.2.1 ÖćøðøąđöĉîÙüćöđÿĊę÷Ü×ĂÜÖćøđ×šćëċÜÿćøÿîđìýēé÷ĀîŠü÷Üćîõć÷îĂÖ (Identification of Risks
Related to External Parties)
1) đöČęĂöĊÙüćöÝĞćđðŨîêšĂÜĔĀšĀîŠü÷Üćîõć÷îĂÖđ×šćëċÜÿćøÿîđìý ĒúąĂčðÖøèŤðøąöüúñúÿćøÿîđìý
ñĎšđðŨîđÝšć×ĂÜÿćøÿîđìýĒúąĀĆüĀîšćÜćîÿćøÿîđìýìĊęøĆïñĉéßĂïêšĂÜÝĆéĔĀšöĊÖćøìĞć×šĂêÖúÜĀøČĂ
ÿĆââćøąĀüŠćÜ Öôñ. ÖĆï ĀîŠü÷Üćîõć÷îĂÖ ēé÷×šĂêÖúÜĀøČĂÿĆââćêšĂÜöĊÙčèÿöïĆêĉ éĆÜêŠĂĕðîĊĚ
1. öĊÖćøÖĞćĀîéøąéĆïĔîÖćøĔĀšïøĉÖćøøąĀüŠćÜÖĆîĂ÷ŠćÜßĆéđÝî
2. öĊÖćøøąïčĀîšćìĊęÙüćöøĆïñĉéßĂï×ĂÜìĆĚÜ Öôñ. ĒúąĀîŠü÷Üćîõć÷îĂÖ
3. ÿćöćøëúéÙüćöđÿĊę÷Ü×ĂÜĀîŠü÷Üćîõć÷îĂÖìĊęöĊêŠĂ Öôñ.
4. öĊÖćøøąïčĔĀšĀîŠü÷Üćîõć÷îĂÖêšĂÜðäĉïĆêĉêćöîē÷ïć÷éšćîÙüćööĆęîÙÜðúĂéõĆ÷éšćî
ÿćøÿîđìý êúĂéÝî×šĂÖĞćĀîéìĊęđÖĊę÷ü×šĂÜ
2) ÖŠĂîÖćøìĞć×šĂêÖúÜĀøČĂÿĆââćÖĆïĀîŠü÷Üćîõć÷îĂÖ ñĎšđðŨîđÝšć×ĂÜÿćøÿîđìýĒúąĀĆüĀîšć×ĂÜ
ĀîŠ ü ÷ÜćîÿćøÿîđìýìĊę øĆ ï ñĉ é ßĂïêš Ă ÜÖĞ ć ĀîéĔĀš öĊ Ö øąïüîÖćøÖćøðøąđöĉ î ÙüćöđÿĊę ÷ Üēé÷
ðøąÿćîÜćîÖĆïĀîŠü÷ÜćîÿćøÿîđìýìĊęđÖĊę÷ü×šĂÜ
3) ÖćøøąïčÙüćöđÿĊę÷Ü×ĂÜÖćøđ×šćëċÜøąïïÿćøÿîđìýÝćÖĀîŠü÷Üćîõć÷îĂÖêšĂÜóĉÝćøèćðøąđéĘî
1. ÿćøÿîđìýĒúąĂčðÖøèŤðøąöüúñúÿćøÿîđìýìĊęĀîŠü÷Üćîõć÷îĂÖêšĂÜÖćøđ×šćëċÜ
2. ðøąđõì×ĂÜÖćøđ×šćëċÜÿćøÿîđìýĒúąĂčðÖøèŤðøąöüúñúÿćøÿîđìý đßŠî
x Öćøđ×š ć ëċ Ü ìćÜÖć÷õćó (Physical Access) đßŠî Öćøđ×šć ÿĞ ć îĆÖ Üćî ĀšĂ Ü
ÙĂöóĉüđêĂøŤ ĒúąêĎšđÖĘïđĂÖÿćø đðŨîêšî
x Öćøđ×šćëċÜìćÜêøøÖą (Logical Access) đßŠî Öćøđ×šćëċÜåćî×šĂöĎúĒúąøąïï×šĂöĎú
đðŨîêšî
x ÖćøđßČęĂöêŠĂđÙøČĂ×Šć÷øąĀüŠćÜ Öôñ. ÖĆïĀîŠü÷Üćîõć÷îĂÖ Ă÷ŠćÜđßŠî
i ÖćøđßČęĂöêŠĂñŠćîđÙøČĂ×Šć÷ÿćíćøèą (Public network) đßŠî Internet đðŨî
êšî
i ÖćøđßČęĂöêŠĂñŠćîđÙøČĂ×Šć÷ÿŠüîêĆü (Private Network) đßŠî Local Network
đðŨîêšî
i ÖćøđßČęĂöêŠĂĒïïëćüø (Permanent Connection ) đßŠî Leased line đðŨî
êšî
i ÖćøđßČęĂöêŠĂđöČęĂêšĂÜÖćøđìŠćîĆĚî (Per-request Connection ) đßŠî Dialup
Modem đðŨîêšî
x Öćøđ×šćëċÜîĆĚîđÖĉé×ċĚîìĊęõć÷ĔîĀøČĂõć÷îĂÖÿĞćîĆÖÜćî×ĂÜ Öôñ.
3. öĎúÙŠćĒúąÙüćöÿĞćÙĆâ×ĂÜÿćøÿîđìýÿĞćĀøĆïÖćøéĞćđîĉîíčøÖĉÝ
4. ÖćøÙüïÙčöìĊęÝĞćđðŨîđóČęĂĔßšĔîÖćøðÖðŜĂÜÿćøÿîđìýÝćÖÖćøđ×šćëċÜēé÷ĀîŠü÷Üćîõć÷îĂÖ

5. ïčÙÙúćÖøÝćÖĀîŠü÷Üćîõć÷îĂÖìĊęđÖĊę÷ü×šĂÜÖĆïÖćøÝĆéÖćøÿćøÿîđìý×ĂÜĂÜÙŤÖø
6. ÖøąïüîÖćøĔîÖćøóĉÿĎÝîŤêĆüêîĒúąÿĉìíĉìĊęĔĀšĒÖŠĀîŠü÷Üćîõć÷îĂÖ øüöëċÜÙüćöëĊęĔîÖćø
ÿĂïìćîÿĉìíĉìĊęĕéšøĆï
7. ñúÖøąìïìĊę đ Öĉ é ×ċĚ î ĀćÖĀîŠ ü ÷Üćîõć÷îĂÖĕöŠ ÿ ćöćøëđ×š ć ëċ Ü ÿćøÿîđìýĒúąøąïï
ÿćøÿîđìýĕéšđöČęĂêšĂÜÖćø ĒúąñúÖøąìïĀćÖĀîŠü÷Üćîõć÷îĂÖîĞćđ×šćÿćøÿîđìýĀøČĂ
ĕéšøĆïÿćøÿîđìýìĊęĕöŠëĎÖêšĂÜ
8. ×šĂÖĞćĀîéĒúąđÜČęĂîĕ×ĔîÖćøđ×šćëċÜÝćÖĀîŠü÷Üćîõć÷îĂÖĔîÖøèĊìĊęđÖĉéÿëćîÖćøèŤìĊę
đÖĊę÷üÖĆïÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý
9. ÖãĀöć÷ ×šĂÖĞćĀîé ĒúąÿĆââć×šĂïĆÜÙĆïĂČęîėìĊęđÖĊę÷ü×šĂÜÖĆïĀîŠü÷Üćîõć÷îĂÖ
10. ñúÖøąìïêŠĂñĎšìĊęöĊÿŠüîĕéšÿŠüîđÿĊ÷ (Stakeholders) ÝćÖ×šĂêÖúÜĀøČĂÿĆââćÖĆïĀîŠü÷Üćî
õć÷îĂÖ
4) ĀîŠü÷Üćîõć÷îĂÖìĊęêšĂÜÖćøđ×šćëċÜÿćøÿîđìý ĒúąĂčðÖøèŤðøąöüúñúÿćøÿîđìýêšĂÜĒÝšÜÙüćö
ðøąÿÜÙŤĔîÖćøđ×šćëċÜêŠĂñĎšđðŨîđÝšć×ĂÜÿćøÿîđìýĒúąĀĆüĀîšćÜćîÿćøÿîđìýìĊęøĆïñĉéßĂï ēé÷
ĀîŠü÷Üćîõć÷îĂÖìĊęĒÝšÜÙüćöðøąÿÜÙŤÝąÿćöćøëĔßšÜćîĕéšĀúĆÜÝćÖĕéšøĆïÖćøĂîčöĆêĉ
2.2.2 Öćøøąïč×šĂÖĞćĀîéÿĞćĀøĆïĀîŠü÷Üćîõć÷îĂÖìĊęđÖĊę÷ü×šĂÜÖĆïÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý
×ĂÜ Öôñ. (Addressing Security When Dealing with External Party)
1) ĀîŠü÷Üćîõć÷îĂÖàċęÜÿćöćøëđ×šćëċÜÿćøÿîđìýĒúąĂčðÖøèŤðøąöüúñúÿćøÿîđìý×ĂÜ Öôñ. êšĂÜ
Öôñ.
2) Öćøđ×šćëċÜÿćøÿîđìýĒúąĂčðÖøèŤðøąöüúñúÿćøÿîđìý×ĂÜ Öôñ. ēé÷ĀîŠü÷Üćîõć÷îĂÖêšĂÜ
ĕéšøĆïÖćøÝĞćÖĆéđÞóćąìĊęÝĞćđðŨîĔîÖćøìĞćÜćîđìŠćîĆĚî
3) ĀîŠü÷Üćîõć÷îĂÖìĊęêšĂÜÖćøđ×šćëċÜÿćøÿîđìýĒúąĂčðÖøèŤðøąöüúñúÿćøÿîđìýêšĂÜĒÝšÜÙüćö
ðøąÿÜÙŤĔîÖćøđ×šćëċÜêŠĂñĎšđðŨîđÝšć×ĂÜÿćøÿîđìýĒúąĀĆüĀîšćÜćîÿćøÿîđìýìĊęøĆïñĉéßĂï ēé÷
ĀîŠü÷Üćîõć÷îĂÖìĊę ĒÝšÜÙüćöðøąÿÜÙŤÝąÿćöćøëĔßšÜćîĕéšĀúĆÜÝćÖĕéšøĆïÖćøĂîčöĆêĉ
4) ñĎšđðŨîđÝšć×ĂÜÿćøÿîđìýĒúąĀĆüĀîšćÜćîÿćøÿîđìýìĊęøĆïñĉéßĂïêšĂÜÖĞćĀîéĔĀšĀîŠü÷Üćîõć÷îĂÖ
úÜîćöĔî×šĂêÖúÜöĉĔĀšđðŗéđñ÷ÙüćöúĆï×ĂÜ Öôñ. ēé÷ëČĂđðŨîÿŠüîĀîċęÜ×ĂÜÖćøüŠćÝšćÜìĆĚÜîĊĚ×šĂêÖúÜ
éĆÜÖúŠćüêšĂÜöĊÖćøøąïčëċÜ×šĂÖĞćĀîéđóČęĂðÖðŜĂÜ×šĂöĎúìĊęđðŨîÙüćöúĆïĒúąöĊ×šĂÙüćöìĊęÿćöćøëîĞćĕð
ïĆÜÙĆïĔßšĕéšêćöÖãĀöć÷ îĂÖÝćÖîĊĚ×šĂêÖúÜéĆÜÖúŠćüêšĂÜĕéšøĆïÖćøÿĂïìćîēé÷òść÷ÖãĀöć÷

5) ñĎšđðŨîđÝšć×ĂÜÿćøÿîđìýĒúąĀĆüĀîšćÜćîÿćøÿîđìýìĊęøĆïñĉéßĂïêšĂÜÝĆéĔĀšöĊöćêøÖćøđóČęĂÖćøøĆÖþć
ÙüćöúĆï (Confidentiality) ĒúąÙüćöëĎÖêšĂÜÙøïëšüî (Integrity) ×ĂÜÿćøÿîđìýìĊęÿŠÜñŠćî
øąĀüŠćÜ Öôñ. ĒúąĀîŠü÷Üćîõć÷îĂÖ đßŠî Öćøđ×šćøĀĆÿ×šĂöĎú (Data Encryption) đðŨîêšî
6) ĀĆüĀîšćÜćîÿćøÿîđìýêšĂÜëĂéëĂîÿĉìíĉĔîÖćøđ×šćëċÜøąïïÿćøÿîđìý×ĂÜĀîŠü÷Üćîõć÷îĂÖìĊę
ÿĉĚîÿčéÿĆââćĀøČĂđöČęĂĕöŠöĊÙüćöÝĞćđðŨîêšĂÜđ×šćëċÜ
7) ñĎšđðŨîđÝšć×ĂÜÿćøÿîđìýêšĂÜìïìüîïĆâßĊøć÷ßČęĂñĎšĔßšÜćî×ĂÜĀîŠü÷Üćîõć÷îĂÖìĊęĕéšøĆïÿĉìíĉĔîÖćø
đ×šćëċÜ ÿćøÿîđìýĒúąĂčðÖøèŤðøąöüúñúÿćøÿîđìý×ĂÜ Öôñ. đðŨîðøąÝĞćìčÖ 3 đéČĂî đóČęĂ÷Čî÷Ćî
ÙüćöÝĞćđðŨîĔîÖćøĔßšÜćî
8) ĀĆüĀîšćÜćîÿćøÿîđìýìĊęøĆïñĉéßĂïêšĂÜÖĞćĀîéĔĀšöĊÖúĕÖÖćøêøüÝÿĂï Ă÷ŠćÜđßŠî ĀúĆÖåćîÖćø
êøüÝÿĂï (Audit Trail) đóČęĂßŠü÷ĔîÖćøøąïčĒúąÿČïĀćßŠĂÜēĀüŠéšćîÙüćööĆęîÙÜðúĂéõĆ÷éšćî
ÿćøÿîđìýÝćÖñĎšĔßšÜćî×ĂÜĀîŠü÷Üćîõć÷îĂÖ
9) ĀîŠü÷Üćîõć÷îĂÖêšĂÜĕéšøĆïÖćøĂîčâćêÝćÖĀĆüĀîšćÜćîÿćøÿîđìýìĊęøĆïñĉéßĂï ÖŠĂîÖćøđßČęĂöêŠĂ
ĂčðÖøèŤÿćøÿîđìýÿŠüîêĆü đ×šćÖĆïĂčðÖøèŤÿćøÿîđìý×ĂÜ Öôñ. đßŠî ÙĂöóĉüđêĂøŤēîšêïčšÙ Ēúą
đÙøČęĂÜÙĂöóĉüđêĂøŤĒöŠ×Šć÷ đðŨîêšî
1) PD-33 ×ĆĚîêĂîÖćøðäĉïĆêĉÜćîđøČęĂÜ ÖćøïøĉĀćøÝĆéÖćøđöČęĂđÖĉéÿëćîÖćøèŤìĊęđÖĊę÷ü×šĂÜÖĆïÙüćööĆęîÙÜ
ðúĂéõĆ÷éšćîÿćøÿîđìý (Information Security Incident Management Procedure)
ST-03: öćêøåćîÖćøïøĉĀćøÝĆéÖćøìøĆó÷Ťÿĉîéšćîÿćøÿîđìý (Standard of Asset

Management)
đóČęĂðŜĂÜÖĆîìøĆó÷ŤÿĉîÝćÖÙüćöđÿĊ÷Āć÷ìĊęĂćÝđÖĉé×ċĚî ĒúąÖĞćĀîéøąéĆï×ĂÜÖćøðŜĂÜÖĆîÿćøÿîđìý×ĂÜ Öôñ.
Ă÷ŠćÜđĀöćąÿö Öôñ. ĕéšÖĞćĀîéĔĀšöĊöćêøåćîÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý àċęÜðøąÖĂïéšü÷ 2 đøČęĂÜ
1) ĀîšćìĊęÙüćöøĆïñĉéßĂïêŠĂìøĆó÷Ťÿĉî×ĂÜĂÜÙŤÖø (Responsibility of Assets)
2) ÖćøÝĆéĀöüéĀöĎŠÿćøÿîđìý ( Information Classification)

òść÷üćÜĒñîđìÙēîēú÷Ċÿćøÿîđìý (Ăüì.)
ĔĀš ÙĞ ć ðøċ Ö þćĒúąĒîąîĞ ć ñĎš ĂĞ ć îü÷Öćøòś ć ÷ĀøČ Ă đìĊ ÷ ïđìŠ ć ×ċĚ î ĕð ñĎš đ ðŨ î đÝš ć ×ĂÜÿćøÿîđìý ñĎš éĎ Ē ú
ÿćøÿîđìýĒúąñĎšéĎĒúøąïïÿćøÿîđìý ĔîÖćøïĞćøčÜøĆÖþćÿćøÿîđìýĂ÷ŠćÜðúĂéõĆ÷ĒúąÝĆéìĞć
ìąđïĊ÷îìøĆó÷Ťÿĉî óøšĂöìĆĚÜĒïŠÜøąéĆïĀöüéĀöĎŠÿćøÿîđìý
ðøąÿćîÜćîòść÷óĆçîćïčÙúćÖøĔîÖćøòřÖĂïøöìćÜéšćîÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý
ÝĆéìĞćìąđïĊ÷îìøĆó÷ŤÿĉîĒúąĒïŠÜøąéĆïĀöüéĀöĎŠÿćøÿîđìý×ĂÜ Öôñ. ìĊęĂ÷ĎŠĔîÙüćöøĆïñĉéßĂï Ă÷ŠćÜ
đðŨîúć÷úĆÖþèŤĂĆÖþøĒúąðøĆïðøčÜĔĀšđðŨîðŦÝÝčïĆî
ÝĆé ìĞ ć Öã øąđïĊ ÷ï ĀøČ Ă ĀúĆ Ö đÖèæŤ Ă ÷Š ć ÜđðŨ î úć÷úĆ Ö þèŤ ĂĆÖ þøÿĞć ĀøĆï ÖćøĔßš Ü ćîÿćøÿîđìýĒúą
ìøĆó÷ŤÿĉîìĊęđÖĊę÷ü×šĂÜÖĆïÖćøðøąöüúñúÿćøÿîđìý đóČęĂðŜĂÜÖĆîÙüćöđÿĊ÷Āć÷êŠĂìøĆó÷Ťÿĉî
ÝĆéìĞćìąđïĊ÷îìøĆó÷ŤÿĉîĒúąĒïŠÜøąéĆïĀöüéĀöĎŠÿćøÿîđìý×ĂÜ Öôñ. ìĊęĂ÷ĎŠĔîÙüćöøĆïñĉéßĂï Ă÷ŠćÜ
đðŨîúć÷úĆÖþèŤĂĆÖþøĒúąðøĆïðøčÜĔĀšđðŨîðŦÝÝčïĆî óøšĂöìĆĚÜêøüÝÿĂïìąđïĊ÷îìøĆó÷Ťÿĉîêćöøą÷ąđüúć
ìĊęÖĞćĀîéĂ÷ŠćÜÿöęĞćđÿöĂ
ÖĞć Āîéøą÷ąđüúćĔîÖćøìïìüîÖćøÝĆéĀöüéĀöĎŠ ÿĉ ì íĉĔ îÖćøđ×š ćëċ Ü ìøĆ ó÷Ťÿĉ î óøš ĂöìĆĚ ÜðøĆïðøč Ü
ĀöüéĀöĎŠĔĀšìĆîÿöĆ÷Ă÷ĎŠđÿöĂ
ÝĆéìĞćðŜć÷ßČęĂêćöĀöüéĀöĎŠìøĆó÷ŤÿĉîìĊęĕéšÝĆéĒïŠÜĕüš
öĂïÿĉìíĉìĊęëĎÖêšĂÜđĀöćąÿöÿĞćĀøĆïñĎšéĎĒúÿćøÿîđìýĒúąñĎšéĎĒúøąïïÿćøÿîđìý
ÝĆéìĞćìąđïĊ÷îìøĆó÷Ťÿĉî øąïčđÝšć×ĂÜìøĆó÷Ťÿĉî ĒúąĒïŠÜøąéĆïĀöüéĀöĎŠÿćøÿîđìý×ĂÜ Öôñ. ìĊęĂ÷ĎŠĔî
ÙüćöøĆïñĉéßĂï Ă÷ŠćÜđðŨîúć÷úĆÖþèŤĂĆÖþøĒúąðøĆïðøčÜĔĀšđðŨîðŦÝÝčïĆî
êšĂÜðøĆïðøčÜĒÖšĕ×ĒúąïĞćøčÜøĆÖþćìąđïĊ÷îìøĆó÷Ť ÿĉî×ĂÜ Öôñ. õć÷ĔêšÖćøéĎĒú×ĂÜñĎšđðŨîđÝšć×ĂÜ
ÿćøÿîđìýĔĀšđðŨîðŦÝÝčïĆî

ðøąÿćîÜćîÖĆïñĎšìĊęđÖĊę÷ü×šĂÜĔîÖćøÝĆéìĞćĒúąðøĆïðøčÜìąđïĊ÷îìøĆó÷Ťÿĉîÿćøÿîđìý×ĂÜ Öôñ. ìĊęĂ÷ĎŠĔî
ÙüćöøĆïñĉéßĂï
ïøĉĀćøÝĆéÖćøÿćøÿîđìýĔîøąéĆïÙüćööĆęîÙÜðúĂéõĆ÷ìĊęđĀöćąÿöÖĆïøąéĆïÖćøĒïŠÜĒ÷Öÿćøÿîđìý
ĀøČĂêćöÝčéðøąÿÜÙŤêćöĒêŠñĎšđðŨîđÝšć×ĂÜÿćøÿîđìý
ÖĞćĀîé×Ăïđ×ê×ĂÜÿćøÿîđìýìĊęêšĂÜÖćøđ×šćëċÜĂ÷ŠćÜßĆéđÝî
3.1 ĀîšćìĊęÙüćöøĆïñĉéßĂïêŠĂìøĆó÷Ťÿĉî×ĂÜĂÜÙŤÖø (Responsibility for Assets)
ĔĀšöĊÖćøÝĆéìĞćìąđïĊ÷îìøĆó÷Ťÿĉî ÖćøøąïčñĎšđðŨîđÝšć×ĂÜìøĆó÷Ťÿĉî ĒúąÖćøĔßšÜćîìøĆó÷ŤÿĉîĂ÷ŠćÜđĀöćąÿö
öćêøåćî
3.1.1 ÖćøÝĆéìĞćìąđïĊ÷îìøĆó÷Ťÿĉî (Inventory of Assets)
1) ñĎšĂĞćîü÷Öćøòść÷ĀøČĂđìĊ÷ïđìŠć×ċĚîĕð ñĎšđðŨîđÝšć×ĂÜÿćøÿîđìý ñĎšéĎĒúÿćøÿîđìýĒúąñĎšéĎĒúøąïï
ÿćøÿîđìýêšĂÜÝĆéìĞćìąđïĊ÷îìøĆó÷ŤÿĉîìĊęöĊÙüćöÿĞćÙĆâ×ĂÜ Öôñ. ìĊęĂ÷ĎŠĔîÙüćöøĆïñĉéßĂï Ă÷ŠćÜ
đðŨîúć÷úĆÖþèŤĂĆÖþøĔĀšëĎÖêšĂÜÙøïëšüî ēé÷ĀĆüĀîšćÜćîÿćøÿîđìýöĊĀîšćìĊęĔîÖćøðøąÿćîÜćîĔî
ÖćøÝĆéìĞćìąđïĊ÷îéĆÜÖúŠćü
2) ìąđïĊ÷îìøĆó÷ŤÿĉîìĊęĕéšöĊÖćøÝĆéìĞćîĆĚî êšĂÜöĊÖćøîĞćđÿîĂñĎšĂĞćîü÷Öćøòść÷ĀøČĂđìĊ÷ïđìŠć×ċĚîĕðđóČęĂ
óĉÝćøèćđðŨîðøąÝĞćìčÖðŘ
3) ìąđïĊ÷îìøĆó÷ŤÿĉîêšĂÜðøąÖĂïĕðéšü÷ ÿćøÿîđìýĒúąĂčðÖøèŤðøąöüúñúÿćøÿîđìý àċęÜĕéšÝĆéĒïŠÜ
êćöðøąđõìéĆÜîĊĚ
1. ÿćøÿîđìý (Information) đßŠî åćî×šĂöĎú ĕôúŤ×šĂöĎú ÿĆââć đĂÖÿćø/ÙĎŠöČĂøąïï ×šĂöĎú
ÖćøüĉÝĆ÷ ÙĎŠöČĂñĎšĔßšÜćî ìøĆó÷ćÖøĔîÖćøòřÖĂïøö ×ĆĚîêĂîÖćøðäĉïĆêĉÜćîĀøČĂÿîĆïÿîčî
ĒñîÿøšćÜÙüćöêŠĂđîČęĂÜĔĀšÖĆïíčøÖĉÝ ĒñîÖćøÖĎšÙČîÿõćó ðøąüĆêĉÖćøêøüÝÿĂï Ēúą
ÿćøÿîđìýìĊęÿĞćÙĆâĂČęîė đðŨîêšî
2. ìøĆó÷ŤÿĉîìćÜàĂôêŤĒüøŤ (Software Assets) đßŠî ēðøĒÖøöðøą÷čÖêŤ ēðøĒÖøöøąïï
đÙøČęĂÜöČĂÿĞćĀøĆïóĆçîć Ēúą ēðøĒÖøöðøąđõì÷ĎìĉúĉêĊĚ (System Utilities) đðŨîêšî

3. ìøĆó÷ŤÿĉîìćÜÖć÷õćó (Physical Assets) đßŠî ĂčðÖøèŤðøąöüúñúÿćøÿîđìý ĂčðÖøèŤ
êĉéêŠĂÿČęĂÿćø ĒúąÿČęĂïĆîìċÖ×šĂöĎúìĊęÿćöćøëđÙúČęĂî÷šć÷ĕéš đðŨîêšî
4. ÖćøïøĉÖćøéšćîÖćøðøąöüúñú ÖćøêĉéêŠĂÿČęĂÿćø ĒúąÿćíćøèĎðēõÙĂČęîė(Services) đßŠî
ïøĉÖćøĂĉîđêĂøŤđîĘê ïøĉÖćøÙüïÙčöÖćøđ×šćëċÜĂćÙćø ïøĉÖćøøąïïÙüïÙčöÙüćöøšĂî
ïøĉÖćøĒÿÜÿüŠćÜ ïøĉÖćøĕôôŜćĒúąóúĆÜÜćî ĒúąïøĉÖćøÙüïÙčöÙüćößČĚî đðŨîêšî
4) ñĎšĂĞćîü÷Öćøòść÷ĀøČĂđìĊ÷ïđìŠć×ċĚîĕð ñĎšđðŨîđÝšć×ĂÜÿćøÿîđìý ñĎšéĎĒúÿćøÿîđìýĒúąñĎšéĎĒúøąïï
ÿćøÿîđìý êšĂÜöĊÖćøìïìüîìąđïĊ÷îìøĆó÷Ťÿĉî×ĂÜ Öôñ. ìĊęĂ÷ĎŠĔîÙüćöøĆïñĉéßĂï Ă÷ŠćÜîšĂ÷ðŘúą
1 ÙøĆĚÜ ĒúąðøĆïðøčÜĔĀšìĆîÿöĆ÷Ă÷ĎŠđÿöĂ ēé÷ĀĆüĀîšćÜćîÿćøÿîđìýöĊĀîšćìĊęĔîÖćøðøąÿćîÜćîĔî
ÖćøðøĆïðøčÜĒÖšĕ×ìąđïĊ÷îìøĆó÷ŤÿĉîéĆÜÖúŠćü
3.1.2 ÖćøøąïčñĎšđðŨîđÝšć×ĂÜìøĆó÷Ťÿĉî (Ownership of Assets)

1) ìąđïĊ÷îìøĆó÷ŤÿĉîêšĂÜöĊÖćøøąïčđÝšć×ĂÜ àċęÜöĊĀîšćìĊęøĆïñĉéßĂïĔîÖćøøĆÖþćÙüćööĆęîÙÜðúĂéõĆ÷×ĂÜ
ìøĆó÷Ťÿĉîõć÷ĔêšÖćøéĎĒú ìĆĚÜîĊĚĀîšćìĊęøĆïñĉéßĂïéĆÜÖúŠćüĂćÝÝąöĂïĀöć÷ĔĀšĒÖŠñĎšéĎĒúÿćøÿîđìý
ĒúąñĎšéĎĒúøąïïÿćøÿîđìý ĀøČĂòść÷üćÜĒñîđìÙēîēú÷Ċÿ ćøÿîđìýĕéš ĒêŠĂ÷Š ćÜĕøÖĘêćöÙüćö
øĆïñĉéßĂïĔîìøĆó÷Ťÿĉî÷ĆÜÙÜđðŨî×ĂÜđÝšć×ĂÜìøĆó÷Ťÿĉî
2) ñĎšđðŨîđÝšć×ĂÜÿćøÿîđìý öĊĀîšćìĊęÖĞćĀîéøą÷ąđüúćĔîÖćøìïìüîÿĉìíĉĔîÖćøđ×šćëċÜ ēé÷ÙĞćîċÜëċÜ
öćêøåćîÖćøÙüïÙčöÖćøđ×šćëċÜ
3.1.3 ÖćøĔßšÜćîìøĆó÷ŤÿĉîìĊęđĀöćąÿö (Acceptable Use of Assets)

1) ñĎšĂĞćîü÷Öćøòść÷ĀøČĂđìĊ÷ïđìŠć×ċĚîĕð ñĎšđðŨîđÝšć×ĂÜÿćøÿîđìý ĒúąñĎšéĎĒúÿćøÿîđìýĒúąñĎšéĎĒú
øąïïÿćøÿîđìý êšĂÜÝĆéìĞćÖã øąđïĊ÷ï ĀøČĂĀúĆÖđÖèæŤĂ÷ŠćÜđðŨîúć÷úĆÖþèŤĂĆÖþøÿĞćĀøĆïÖćøĔßš
ÜćîÿćøÿîđìýĒúąìøĆó÷ŤÿĉîìĊęđÖĊę÷ü×šĂÜÖĆïÖćøðøąöüúñúÿćøÿîđìý đóČęĂðŜĂÜÖĆîÙüćöđÿĊ÷Āć÷êŠĂ
ìøĆó÷Ťÿĉî
3.2 ÖćøÝĆéĀöüéĀöĎŠÿćøÿîđìý (Information Classification)
ĔĀšöĊÖćøÝĆéĀöüéĀöĎŠÿćøÿîđìý×ĂÜ Öôñ. ÖćøÝĆéìĞćðŜć÷ßČęĂĒúąÖćøÝĆéÖćøÿćøÿîđìýêćöìĊęĕéšÝĆéĀöüéĀöĎŠĕüš
öćêøåćî
3.2.1 ÖćøÝĆéĀöüéĀöĎŠÿćøÿîđìý (Classification Guidelines)

1) ñĎšĂĞćîü÷Öćøòść÷ĀøČĂđìĊ÷ïđìŠć×ċĚîĕð ñĎšđðŨîđÝšć×ĂÜÿćøÿîđìý ĒúąñĎšéĎĒúÿćøÿîđìýĒúąñĎšéĎĒú
øąïïÿćøÿîđìýêšĂÜéĞćđîĉîÖćøÝĆéĀöüéĀöĎŠÿćøÿîđìýēé÷ÙĞćîċÜëċÜðŦÝÝĆ÷éĆÜêŠĂĕðîĊĚ
1. øąéĆïÙüćöúĆï (Sensitivity) Āöć÷ëċÜ ìøĆó÷ŤÿĉîìĊęöĊÙüćöÿĞćÙĆâĂćÝöĊñúÖøąìïìĞćĔĀš
Öôñ. ĕéšøĆïÙüćöđÿĊ÷Āć÷ëšćĕéšøĆïÖćøđðŗéđñ÷ àċęÜđðŨîøąéĆïìĊęêšĂÜÖćøđÖèæŤÙüćöúĆï×ĂÜ
ìøĆó÷Ťÿĉî (Confidentiality Aspect) ìĆĚÜîĊĚĂšćÜëċÜøąéĆïßĆĚîÙüćöúĆï×ĂÜøąđïĊ÷ïüŠćéšü÷Öćø
øĆÖþćÙüćöúĆï×ĂÜìćÜøćßÖćø ó.ý. 2544 ĒúąÙŠćñúÖøąìïÝćÖđÖèæŤÖćøüĆéøąéĆïÙüćö
đÿĊę÷Ü ×ĂÜ Öôñ. éĆÜêŠĂĕðîĊĚ
øąéĆïÙüćöúĆï ÙüćöĀöć÷êćöøąđïĊ÷ïüŠćéšü÷ ÙüćöĀöć÷êćöÙŠćñúÖøąìïÝćÖ

(Sensitivity) ÖćøøĆÖþćÙüćöúĆï×ĂÜìćÜøćßÖćø đÖèæŤÖćøüĆéøąéĆïÙüćöđÿĊę÷Ü ×ĂÜ
ó.ý. 2544 Öôñ.
×šĂöĎú×ŠćüÿćøúĆï àċęÜĀćÖđðŗéđñ÷ ìøĆó÷Ťÿĉî àċęÜĀćÖđðŗéđñ÷ìĆĚÜĀöé
ìĆĚ Ü Āöé ĀøČ Ă đóĊ ÷ ÜïćÜÿŠ ü î Ýą ĀøČ Ă đóĊ ÷ ÜïćÜÿŠ ü î ÝąÖŠ Ă ĔĀš đ Öĉ é
úĆïìĊęÿčé
ÖŠ Ă Ĕ Āš đ Öĉ é Ù ü ć ö đ ÿĊ ÷ Ā ć ÷ Ē ÖŠ ÙüćöđÿĊ÷Āć÷ĒÖŠ Öôñ. ēé÷
ðøąē÷ßîŤĒĀŠÜøĆåĂ÷ŠćÜøšć÷ĒøÜìĊęÿčé ÙąĒîîñúÖøąìïĂ÷ĎŠĔîøąéĆï 4
×šĂöĎú×ŠćüÿćøúĆï àċęÜĀćÖđðŗéđñ÷ ìøĆó÷Ťÿĉî àċę ÜĀćÖđðŗéđñ÷ìĆĚ ÜĀöé
úĆïöćÖ
ðøąē÷ßîŤĒĀŠÜøĆåĂ÷ŠćÜøšć÷ĒøÜ ÙąĒîîñúÖøąìïĂ÷ĎŠĔîøąéĆï 3
×šĂöĎú×ŠćüÿćøúĆï àċęÜĀćÖđðŗéđñ÷ ìøĆ ó÷Ť ÿĉî àċę ÜĀćÖđðŗéđñ÷ìĆĚÜĀöé
úĆï
ðøąē÷ßîŤĒĀŠÜøĆå ÙąĒîîñúÖøąìïĂ÷ĎŠĔîøąéĆï 2
ìøĆó÷ŤÿĉîìĊęöĊøąéĆïÙüćöúĆïìĊęĕöŠđ×šć ìøĆó÷Ť ÿĉî àċę ÜĀćÖđðŗéđñ÷ìĆĚÜĀöé
×Šć÷ 3 øąéĆï×šćÜêšî ĀøČ Ă đóĊ ÷ ÜïćÜÿŠ ü î ÝąÖŠ Ă ĔĀš đ Öĉ é
ĂČęîė
ÙüćöđÿĊ÷Āć÷ĒÖŠ Öôñ. ēé÷
ÙąĒîîñúÖøąìïĂ÷ĎŠĔîøąéĆï 1
2. øąéĆïÙüćöÿĞćÙĆâ (Criticality) Āöć÷ëċÜ ìøĆó÷ŤÿĉîìĊęöĊÙüćöÿĞćÙĆâĂćÝöĊñúÖøąìïìĞćĔĀš

Öôñ. ĕéšøĆïÙüćöđÿĊ÷Āć÷ëšćĕéšøĆïÖćøđðúĊę÷îĒðúÜĀøČĂĕöŠóøšĂöĔßšÜćî àċęÜđðŨîøąéĆïìĊę

êšĂÜÖćøđÖèæŤÙüćöëĎÖêšĂÜÙøïëšüîĒúąÙüćöóøšĂöĔßš×ĂÜìøĆó÷Ťÿĉî (Integrity and
Availability Aspect) ēé÷ĂšćÜĂĉÜÝćÖÙŠćñúÖøąìïÝćÖđÖèæŤÖćøüĆéøąéĆïÙüćöđÿĊę÷Ü ×ĂÜ
Öôñ.
øąéĆïÙüćöÿĞćÙĆâ ÙüćöĀöć÷êćöÙŠćñúÖøąìïÝćÖđÖèæŤÖćøüĆéøąéĆïÙüćöđÿĊę÷Ü ×ĂÜ

(Criticality) Öôñ.
ìøĆó÷Ťÿĉî àċęÜĀćÖĕéšøĆïÖćøđðúĊę÷îĒðúÜĀøČĂĕöŠóøšĂöĔßšÜćî Ýą
ÿĎÜÿčé (4)
ÖŠĂĔĀšđÖĉéÙüćöđÿĊ÷Āć÷ĒÖŠ Öôñ. ēé÷ÙąĒîîñúÖøąìïĂ÷ĎŠĔîøąéĆï 4
ÿĎÜ (3)
ðćîÖúćÜ (2)
êęĞć (1)
2) ĀöüéĀöĎŠÿćøÿîđìýÝąĕéšøĆïÖćøÝĆéĒïŠÜđðŨîøąéĆïÙüćööĆęîÙÜðúĂéõĆ÷ 4 øąéĆï éĆÜîĊĚ
øąéĆïÙüćöúĆï øąéĆïÙüćöÿĞćÙĆâ (Criticality)

(Sensitivity) ÿĎÜÿčé (4) ÿĎÜ (3) ðćîÖúćÜ (2) êęĞć (1)
úĆïìĊęÿčé ÿĎÜÿčé ÿĎÜÿčé ÿĎÜÿčé ÿĎÜÿčé
úĆïöćÖ ÿĎÜÿčé ÿĎÜ ÿĎÜ ÿĎÜ
úĆï ÿĎÜÿčé ÿĎÜ ðćîÖúćÜ ðćîÖúćÜ
ĂČęîė ÿĎÜÿčé ÿĎÜ ðćîÖúćÜ êęĞć
1. øąéĆïÙüćööĆęîÙÜðúĂéõĆ÷ “ÿĎÜÿčé” Āöć÷ëċÜ

x ÿćøÿîđìýìĊęöĊøąéĆïÙüćöúĆï (Sensitivity) “úĆïìĊęÿčé” Ēúą øąéĆïÙüćöÿĞćÙĆâ
(Criticality) “ÿĎÜÿčé” “ÿĎÜ” “ðćîÖúćÜ” ĀøČĂ “êęĞć”
x ÿćøÿîđìýìĊę öĊ øąéĆ ïÙüćöÿĞ ćÙĆ â (Criticality) “ÿĎÜÿčé” Ēúą øąéĆïÙüćöúĆï
(Sensitivity) “úĆïìĊęÿčé” “úĆïöćÖ” “úĆï” ĀøČĂ “ĂČęîė”
2. øąéĆïÙüćööĆęîÙÜðúĂéõĆ÷ “ÿĎÜ” Āöć÷ëċÜ

x ÿćøÿîđìýìĊęöĊøąéĆïÙüćöúĆï (Sensitivity) “úĆïöćÖ” Ēúą øąéĆïÙüćöÿĞćÙĆâ
(Criticality) “ÿĎÜ” “ðćîÖúćÜ” ĀøČĂ “êęĞć”
x ÿćøÿîđìýìĊę öĊ øąéĆ ïÙüćöÿĞćÙĆ â (Criticality) “ÿĎÜ” Ēúą øąéĆ ïÙüćöúĆ ï
(Sensitivity) “úĆïöćÖ” “úĆï” ĀøČĂ “ĂČęîė”
3. øąéĆïÙüćööĆęîÙÜðúĂéõĆ÷ “ðćîÖúćÜ” Āöć÷ëċÜ

x ÿćøÿîđìýìĊę öĊ ø ąéĆ ï ÙüćöúĆ ï (Sensitivity) “úĆï” Ēúą øąéĆïÙüćöÿĞćÙĆâ
(Criticality) “ðćîÖúćÜ” ĀøČĂ “êęĞć”
x ÿćøÿîđìýìĊęöĊøąéĆïÙüćöÿĞćÙĆâ (Criticality) “ðćîÖúćÜ” Ēúą øąéĆïÙüćöúĆï
(Sensitivity) “úĆï” ĀøČĂ “ĂČęîė”
4. øąéĆïÙüćööĆęîÙÜðúĂéõĆ÷ “êęĞć” Āöć÷ëċÜ

x ÿćøÿîđìýìĊę öĊ ø ąéĆ ï ÙüćöÿĞ ć ÙĆ â (Criticality) “êęĞć” ĒúąøąéĆ ïÙüćöúĆï
(Sensitivity) “ĂČęîė”
3) ñĎšđðŨîđÝšć×ĂÜÿćøÿîđìý öĊĀîšćìĊęĔîÖćøÖĞćĀîéøą÷ąđüúćĔîÖćøìïìüîÖćøÝĆéĀöüéĀöĎŠ óøšĂöìĆĚÜ
ðøĆïðøčÜĀöüéĀöĎŠĔĀšìĆîÿöĆ÷Ă÷ĎŠđÿöĂ
4) ñúĉêõĆèæŤìĊęĕéšøĆïÖćøÿŠÜöĂï êšĂÜĕéšøĆïÖćøúÜìąđïĊ÷îĔîìąđïĊ÷îìøĆó÷Ťÿĉî×ĂÜĀîŠü÷ÜćîÖŠĂî
đÙúČęĂî÷šć÷ĕð÷ĆÜÝčéìĊęêĉéêĆĚÜĔßšÜćîÝøĉÜ
3.2.2 ÖćøÝĆéìĞćðŜć÷ßČęĂ ĒúąÖćøÝĆéÖćøìøĆó÷Ťÿĉîÿćøÿîđìý (Information Labeling and Handling)

1) ñĎšđðŨîđÝšć×ĂÜÿćøÿîđìýöĊĀîšćìĊęøĆïñĉéßĂïĔîÖćøÝĆéìĞćðŜć÷ßČęĂêćöĀöüéĀöĎŠìøĆó÷ŤÿĉîìĊęĕéšÝĆéĕüš
ìĆĚÜîĊĚ ñĎšđðŨîđÝšć×ĂÜÿćøÿîđìýĂćÝÝąöĂïĀöć÷ĀîšćìĊęøĆïñĉéßĂïéĆÜÖúŠćüĔĀšĒÖŠ ñĎšéĎĒúÿćøÿîđìý
ĒúąñĎšéĎĒúøąïïÿćøÿîđìý ĀøČĂĀîŠü÷Üćîéšćîÿćøÿîđìýĕéš ĒêŠĂ÷ŠćÜĕøÖĘêćöÙüćöøĆïñĉéßĂïĔî
ÖćøÝĆéìĞćðŜć÷ßČęĂ÷ĆÜÙÜđðŨî×ĂÜđÝšć×ĂÜÿćøÿîđìý
2) øĎ ð Ēïï×ĂÜðŜ ć ÷ßČę Ă Ýą×ċĚ î Ă÷ĎŠ ÖĆ ï ðøąđõìñúúĆ ó íŤ ÖćøĒÿéÜñú ĒúąÖćøđÖĘ ï ïĆ î ìċ Ö ×ĂÜøąïï
ÿćøÿîđìý đßŠî ÿĉęÜóĉö óŤ ÖćøĒÿéÜñúìćÜĀîšćÝĂ ÿČę ĂĔîÖćøđÖĘïïĆîìċÖ (đìð éĉÿÖŤ àĊéĊ) Ēúą
×šĂÙüćöìćÜĂĉđúĘÖìøĂîĉÖÿŤ đðŨîêšî
3) ÿćøÿîđìýìĊęöĊøąéĆïÙüćööĆęîÙÜðúĂéõĆ÷ “ÿĎÜÿčé” “ÿĎÜ” Ēúą “ðćîÖúćÜ” ìĊęêšĂÜĕéšøĆïÖćøÝĆéìĞć
ðŜć÷ßČęĂ ēé÷ðŜć÷ßČęĂîĆĚîêšĂÜÿČęĂëċÜøąéĆïÙüćööĆęîÙÜðúĂéõĆ÷
4) ÿćøÿîđìýĔîøĎðĒïïÿĉęÜóĉöóŤìĊęöĊøąéĆïÙüćööĆęîÙÜðúĂéõĆ÷ “ÿĎÜÿčé” “ÿĎÜ” Ēúą “ðćîÖúćÜ” êšĂÜ
öĊÖćøøąïčĀîšćðŦÝÝčïĆî×ĂÜÝĞćîüîĀîšćìĆĚÜĀöéĔîĒêŠúąĀîšćĂ÷ŠćÜđßŠî “Āîšć 1 ÝćÖ 10” ĔîìčÖĀîšć
ēé÷ìĊęÝąĂ÷ĎŠÿŠüîĀĆüÖøąéćþĀøČĂìšć÷ÖøąéćþÖĘĕéš
5) ÿĞćĀøĆïÖćøÝĆéÖćøÿćøÿîđìýĔîøĎðĒïïĂĉđúĘÖìøĂîĉÖÿŤ ĔĀšéĞćđîĉîÖćøĂ÷ŠćÜîšĂ÷éĆÜêŠĂĕðîĊĚ
1. ÖćøÝĆéüćÜ
ÖćøÙüïÙčöÖćøÝĆéüćÜĂčðÖøèŤðøąöüúñúÿćøÿîđìýêćöøąéĆïÙüćööĆęîÙÜðúĂéõĆ÷×ĂÜÿćøÿîđìý
ĂčðÖøèŤðøąöüúñú øąéĆïÙüćööĆęîÙÜðúĂéõĆ÷×ĂÜÿćøÿîđìý
ÿćøÿîđìý ÿĎÜÿčé ÿĎÜ ðćîÖúćÜ êęĞć
đÙøČęĂÜÙĂöóĉüđêĂøŤĒöŠ×Šć÷ ÝĆéüćÜĔîýĎî÷Ť ÝĆéüćÜĔîýĎî÷Ť ÝĆéüćÜĔîĀšĂÜ ÝĆéüćÜĔîĀšĂÜ
1 1 1
(Computer Server) ÙĂöóĉüđêĂøŤ ÙĂöóĉüđêĂøŤ ÙĂöóĉüđêĂøŤ ÙĂöóĉüđêĂøŤ1
øąïïđÖĘ ï ×š Ă öĎ ú (Storage ÝĆéüćÜĔîýĎî÷Ť ÝĆéüćÜĔîýĎî÷Ť ÝĆéüćÜĔîĀšĂÜ ÝĆéüćÜĔîĀšĂÜ
1 1 1
system) ÙĂöóĉüđêĂøŤ ÙĂöóĉüđêĂøŤ ÙĂöóĉüđêĂøŤ ÙĂöóĉüđêĂøŤ 1
ĂčðÖøèŤđÙøČĂ×Šć÷ĀúĆÖ đßŠî ÝĆéüćÜĔîýĎî÷Ť ÝĆéüćÜĔîýĎî÷Ť ÝĆéüćÜĔîĀšĂÜ ÝĆéüćÜĔîĀšĂÜ
1 1 1
Core router, Core ÙĂöóĉüđêĂøŤ ÙĂöóĉüđêĂøŤ ÙĂöóĉüđêĂøŤ ÙĂöóĉüđêĂøŤ 1
switch, Core firewall
Ēúą Core IPS/IDS đðŨîêšî
ĂčðÖøèŤđÙøČĂ×Šć÷ĕøšÿć÷ đßŠî öĊÖćøÝĆéüćÜĒúą öĊÖćøÝĆéüćÜĒúą öĊÖćøÝĆéüćÜĒúą öĊÖćøÝĆéüćÜĒúą
3 3
wireless access point ðŜĂÜÖĆîìĊę ðŜĂÜÖĆîìĊęđĀöćąÿö ðŜĂÜÖĆîìĊęđĀöćąÿö ðŜĂÜÖĆîìĊę
3
đĀöćąÿö đĀöćąÿö3
ĂčðÖøèŤđÙøČĂ×Šć÷ĂČęîė đßŠî öĊÖćøÝĆéüćÜĒúą öĊÖćøÝĆéüćÜĒúą öĊÖćøÝĆéüćÜĒúą öĊÖćøÝĆéüćÜĒúą
3 3
Edge router, Edge ðŜĂÜÖĆîìĊę ðŜĂÜÖĆîìĊęđĀöćąÿö ðŜĂÜÖĆîìĊęđĀöćąÿö ðŜĂÜÖĆîìĊę
3
switch Ēúą edge firewall đĀöćąÿö đĀöćąÿö3
đðŨîêšî
ÿČęĂïĆîìċÖ×šĂöĎú öĊÖćøðŜĂÜÖĆîéšćî öĊÖćøðŜĂÜÖĆîéšćî öĊÖćøðŜĂÜÖĆîéšćî öĊÖćøðŜĂÜÖĆîéšćî
Öć÷õćó Öć÷õćó (Physical) Öć÷õćó (Physical) Öć÷õćó
(Physical) Ēúą ĒúąÿõćóĒüéúšĂöìĊę ĒúąÿõćóĒüéúšĂöìĊę (Physical) Ēúą
2 2
ÿõćóĒüéúšĂöìĊę đĀöćąÿö đĀöćąÿö ÿõćóĒüéúšĂöìĊę
2
đĀöćąÿö ÝĆéđÖĘïĂ÷ŠćÜðúĂéõĆ÷ đĀöćąÿö2
ÝĆéđÖĘïĂ÷ŠćÜ đóČęĂðŜĂÜÖĆîÖćøđ×šćëċÜ
ðúĂéõĆ÷đóČęĂ ēé÷öĉĕéšøĆïĂîčâćê4
ðŜĂÜÖĆîÖćøđ×šćëċÜ
ēé÷öĉĕéšøĆï
Ăîčâćê4
ĂčðÖøèŤÙĂöóĉüđêĂøŤĒúą öĊÖćøÝĆéüćÜĒúą öĊÖćøÝĆéüćÜĒúą öĊÖćøÝĆéüćÜĒúą öĊÖćøÝĆéüćÜĒúą
3 3
ĂčðÖøèŤÿĞćîĆÖÜćîĂČęîė ðŜĂÜÖĆîìĊę ðŜĂÜÖĆîìĊęđĀöćąÿö ðŜĂÜÖĆîìĊęđĀöćąÿö ðŜĂÜÖĆîìĊę
3
đĀöćąÿö đĀöćąÿö3
Āöć÷đĀêč 1ĂšćÜëċÜ ST-05: öćêøåćîÙüćööĆęîÙÜðúĂéõĆ÷ìćÜÖć÷õćóĒúąÿĉęÜĒüéúšĂö (Standard of Physical and

Environmental Security)
2
ĂšćÜëċÜ 6.7.1 ÖćøïøĉĀćøÝĆéÖćøÿČęĂïĆîìċÖ×šĂöĎúìĊęÿćöćøëđÙúČęĂî÷šć÷ĕéš (Management of Removable Media) Ĕî
ST-06: öćêøåćîÖćøïøĉ ĀćøÝĆéÖćøéš ćîÖćøÿČę ĂÿćøĒúąÖćøðäĉïĆêĉÖćøÿćøÿîđìý×ĂÜ Öôñ. (Standard of
Communication and Operation Management)

3
ĂšćÜëċÜ 5.2.1 ÖćøÝĆéüćÜĒúąÖćøðŜĂÜÖĆîĂčðÖøèŤ (Equipment Siting and Protection) Ĕî ST-05: öćêøåćîÙüćö
öĆęîÙÜðúĂéõĆ÷ìćÜÖć÷õćóĒúąÿĉęÜĒüéúšĂö (Standard of Physical and Environmental Security)
4
ĂšćÜëċÜ 7.3.3 ÖćøÙüïÙčöÖćøĕöŠìĉĚÜìøĆó÷ŤÿĉîÿćøÿîđìýÿĞćÙĆâĕüšĔîìĊęìĊęĕöŠðúĂéõĆ÷ (Clear Desk and Clear Screen
Control) Ĕî ST-07: öćêøåćîÖćøÙüïÙčöÖćøđ×šćëċÜ (Standard of Access Control)
2. Öćøđ×šćøĀĆÿ×šĂöĎú
ÖćøÙüïÙčöÖćøđ×šćøĀĆÿ×šĂöĎúêćöøąéĆïÙüćöúĆï×ĂÜÿćøÿîđìý
ÿëćîą×ĂÜ×šĂöĎú øąéĆïÙüćöúĆï×ĂÜÿćøÿîđìý
úĆïìĊęÿčé úĆïöćÖ úĆï ĂČęîė
1 1
ÝĆéđÖĘï öĊÖćøđ×šćøĀĆÿ×šĂöĎú öĊÖćøđ×šćøĀĆÿ×šĂöĎú - -
1 1 1
ÿŠÜñŠćî öĊÖćøđ×šćøĀĆÿ×šĂöĎú öĊÖćøđ×šćøĀĆÿ×šĂöĎú öĊÖćøđ×šćøĀĆÿ×šĂöĎú -
1
Āöć÷đĀêč ĂšćÜëċÜ 8.3.1 îē÷ïć÷ÖćøĔßšÜćîÖćøđ×šćøĀĆÿ×šĂöĎú (Policy on The Use of Cryptographic Controls) Ĕî ST-08:
öćêøåćîÖćøÝĆéĀć ÖćøóĆçîć ĒúąÖćøïĞćøčÜøĆÖþćøąïïÿćøÿîđìý (Standard of Information System Acquisition,
Development and Maintenance)
3. ÖćøóĉÿĎÝîŤêĆüêî×ĂÜñĎšĔßšÜćî
ÖćøÙüïÙčöÖćøóĉÿĎÝîŤêĆüêî×ĂÜñĎšĔßšÜćîêćöøąéĆïÙüćööĆęîÙÜðúĂéõĆ÷×ĂÜÿćøÿîđìý
øąïïÿćøÿîđìý øąéĆïÙüćööĆęîÙÜðúĂéõĆ÷×ĂÜÿćøÿîđìý
ÿĎÜÿčé ÿĎÜ ðćîÖúćÜ êęĞć
1 1 1 1
đÙøČĂ×Šć÷ (ĔîÖøèĊìĊę öĊÖćøóĉÿĎÝîŤêĆüêî öĊÖćøóĉÿĎÝîŤêĆüêî öĊÖćøóĉÿĎÝîŤêĆüêî öĊÖćøóĉÿĎÝîŤêĆüêî
ñĎš Ĕ ßš Ü ćîĂ÷ĎŠ õ ć÷îĂÖ öĊÖćøđ×šćøĀĆÿ×šĂöĎú öĊÖćøđ×šćøĀĆÿ×šĂöĎú öĊÖćøđ×šćøĀĆÿ×šĂöĎú öĊÖćøđ×šćøĀĆÿ×šĂöĎú
Öôñ.) ÿĞćĀøĆïóĉÿĎÝîŤ êĆüêî1 ÿĞćĀøĆïóĉÿĎÝîŤ êĆüêî1 ÿĞćĀøĆïóĉÿĎÝîŤ êĆüêî1 ÿĞćĀøĆïóĉÿĎÝîŤ êĆüêî1
đÙøČĂ×Šć÷ (ĔîÖøèĊìĊęĔßš öĊÖćøóĉÿĎÝîŤêĆüêî 7 öĊÖćøóĉÿĎÝîŤêĆüêî 7 öĊÖćøóĉÿĎÝîŤêĆüêî 7 öĊÖćøóĉÿĎÝîŤêĆüêî 7
ÜćîđÙøČĂ×Šć÷ĕøšÿć÷) öĊÖćøđ×šćøĀĆÿ×šĂöĎú öĊÖćøđ×šćøĀĆÿ×šĂöĎú öĊÖćøđ×šćøĀĆÿ×šĂöĎú öĊÖćøđ×šćøĀĆÿ×šĂöĎú
7 7 7
ÿĞćĀøĆïóĉÿĎÝîŤ êĆüêî ÿĞćĀøĆïóĉÿĎÝîŤ êĆüêî ÿĞćĀøĆïóĉÿĎÝîŤ êĆüêî ÿĞćĀøĆïóĉÿĎÝîŤ êĆüêî7
2 2 2 2
øąïïðäĉïĆêĉÖćø öĊÖćøóĉÿĎÝîŤêĆüêî öĊÖćøóĉÿĎÝîŤêĆüêî öĊÖćøóĉÿĎÝîŤêĆüêî öĊÖćøóĉÿĎÝîŤêĆüêî
öĊÖćøÙüïÙčöøąïï öĊÖćøÙüïÙčöøąïï öĊÖćøÙüïÙčöøąïï öĊÖćøÙüïÙčöøąïï
ïøĉĀćøÝĆéÖćø ïøĉĀćøÝĆéÖćø ïøĉĀćøÝĆéÖćø ïøĉĀćøÝĆéÖćø
3 3 3
øĀĆÿñŠćî øĀĆÿñŠćî øĀĆÿñŠćî øĀĆÿñŠćî3
öĊÖćøÖĞćĀîé öĊÖćøÖĞćĀîé
4
Session Time-Out Session Time-Out4
ÖćøÖĞćĀîéßŠüÜđüúć ÖćøÖĞćĀîéßŠüÜđüúć
Ēúąøą÷ąđüúćÖćø Ēúąøą÷ąđüúćÖćø
5
đßČęĂöêŠĂ đßČęĂöêŠĂ5
6 6 6 6
ĒĂóóúĉđÙßĆî öĊÖćøóĉÿĎÝîŤêĆüêî öĊ öĊÖćøóĉÿĎÝîŤêĆüêî öĊ öĊÖćøóĉÿĎÝîŤêĆüêî öĊÖćøóĉÿĎÝîŤêĆüêî

ÖćøÙüïÙčöÖćøóĉÿĎÝîŤêĆüêî×ĂÜñĎšĔßšÜćîêćöøąéĆïÙüćööĆęîÙÜðúĂéõĆ÷×ĂÜÿćøÿîđìý
ÖćøÙüïÙčöøąïï ÖćøÙüïÙčöøąïï
ïøĉĀćøÝĆéÖćø ïøĉĀćøÝĆéÖćø
6
øĀĆÿñŠćî øĀĆÿñŠćî6
öĊÖćøÖĞćĀîé öĊÖćøÖĞćĀîé
6
Session Time-Out Session Time-Out6
ÖćøÖĞćĀîéßŠüÜđüúć ÖćøÖĞćĀîéßŠüÜđüúć
Ēúąøą÷ąđüúćÖćø Ēúąøą÷ąđüúćÖćø
6
đßČęĂöêŠĂ đßČęĂöêŠĂ6
Āöć÷đĀêč 1ĂšćÜëċÜ 7.4.2 ÖćøóĉÿĎÝîŤêĆüêî×ĂÜñĎšĔßšÜćîìĊęĂ÷ĎŠõć÷îĂÖĂÜÙŤÖø (User Authentication for External Connections) Ĕî
ST-07: öćêøåćîÖćøÙüïÙčöÖćøđ×šćëċÜ (Standard of Access Control)
2
ĂšćÜëċÜ 7.5.2 ÖćøøąïčĒúąóĉÿĎÝîŤêĆüêî×ĂÜñĎšĔßšÜćî (User Identification and Authentication) Ĕî ST-07: öćêøåćî
ÖćøÙüïÙčöÖćøđ×šćëċÜ (Standard of Access Control)
3
ĂšćÜëċÜ 7.5.3 øąïïïøĉĀćøÝĆéÖćøøĀĆÿñŠćî (Password Management System) Ĕî ST-07: öćêøåćîÖćøÙüïÙčöÖćø
đ×šćëċÜ (Standard of Access Control)
4
ĂšćÜëċÜ 7.5.5 ÖćøĀöéđüúćÖćøĔßšÜćîøąïïÿćøÿîđìý (Session Time-Out) Ĕî ST-07: öćêøåćîÖćøÙüïÙčöÖćøđ×šćëċÜ
(Standard of Access Control)
5
ĂšćÜëċÜ 7.5.6 ÖćøÝĞćÖĆéøą÷ąđüúćÖćøđßČęĂöêŠĂøąïïÿćøÿîđìý (Limitation of Connection Time) Ĕî ST-07:
öćêøåćîÖćøÙüïÙčöÖćøđ×šćëċÜ (Standard of Access Control)
6
ĂšćÜëċÜ 7.6.1 ÖćøÝĞćÖĆéÖćøđ×šćëċÜÿćøÿîđìý (Information Access Restriction) Ĕî ST-07: öćêøåćîÖćøÙüïÙčöÖćø
đ×šćëċÜ (Standard of Access Control)
7
ĂšćÜëċÜ 7.4.6 ÖćøÙüïÙčöÖćøđßČęĂöêŠĂìćÜđÙøČĂ×Šć÷ (Network Connection Control) Ĕî ST-07: öćêøåćîÖćøÙüïÙčö
Öćøđ×šćëċÜ (Standard of Access Control)
4. Öćøðøąöüúñú
ÖćøÙüïÙčöÖćøðøąöüúñúêćöøąéĆïÙüćööĆęîÙÜðúĂéõĆ÷×ĂÜÿćøÿîđìý
ĒĂóóúĉđÙßĆî öĊÖćøêøüÝÿĂïÖćø öĊÖćøêøüÝÿĂïÖćø öĊÖćøêøüÝÿĂïÖćø -
1 1
îĞćđ×šć×šĂöĎú îĞćđ×šć×šĂöĎú îĞćđ×šć×šĂöĎú1
öĊÖćøêøüÝÿĂï öĊÖćøêøüÝÿĂï öĊÖćøêøüÝÿĂï
×šĂöĎúìĊęĂ÷ĎŠĔîøąĀüŠćÜ ×šĂöĎúìĊęĂ÷ĎŠĔîøąĀüŠćÜ ×šĂöĎúìĊęĂ÷ĎŠĔîøąĀüŠćÜ
2 2
Öćøðøąöüúñú Öćøðøąöüúñú Öćøðøąöüúñú2
öĊÖćøêøüÝÿĂï öĊÖćøêøüÝÿĂï öĊÖćøêøüÝÿĂï
3 3
×šĂöĎúîĞćĂĂÖ ×šĂöĎúîĞćĂĂÖ ×šĂöĎúîĞćĂĂÖ3
Āöć÷đĀêč 1ĂšćÜëċÜ 8.2.1 ÖćøêøüÝÿĂï×šĂöĎúîĞćđ×šć (Input Data Validation) Ĕî ST-08: öćêøåćîÖćøÝĆéĀć ÖćøóĆçîć ĒúąÖćø
ïĞćøčÜøĆÖþćøąïïÿćøÿîđìý (Standard of Information System Acquisition, Development and Maintenance)

2
ĂšćÜëċÜ 8.2.2 ÖćøêøüÝÿĂï×šĂöĎúìĊęĂ÷ĎŠĔîøąĀüŠćÜÖćøðøąöüúñú (Control of Internal Processing) Ĕî ST-08:
öćêøåćîÖćøÝĆéĀć ÖćøóĆçîć ĒúąÖćøïĞćøčÜøĆÖþćøąïïÿćøÿîđìý (Standard of Information System Acquisition,
Development and Maintenance)
3
ĂšćÜëċÜ 8.2.4 ÖćøêøüÝÿĂï×šĂöĎúîĞćĂĂÖ (Output Data Validation) Ĕî ST-08: öćêøåćîÖćøÝĆéĀć ÖćøóĆçîć Ēúą
ÖćøïĞćøčÜøĆÖþćøąïïÿćøÿîđìý (Standard of Information System Acquisition, Development and
Maintenance)
5. ÿŠÜñŠćî ĀøČĂĒúÖđðúĊę÷î
ÖćøÙüïÙčöÖćøÿŠÜñŠćî ĀøČĂĒúÖđðúĊ÷ę îÿćøÿîđìýêćöøąéĆïÙüćööĆęîÙÜðúĂéõĆ÷×ĂÜÿćøÿîđìý

ÖøèĊ øąéĆïÙüćööĆęîÙÜðúĂéõĆ÷×ĂÜÿćøÿîđìý
ÖćøøĆ ï ÿŠ Ü ÿČę Ă ïĆ î ìċ Ö ×š Ă öĎ ú öĊÖćøðŜĂÜÖĆîÿČęĂ öĊÖćøðŜĂÜÖĆîÿČęĂ öĊÖćøðŜĂÜÖĆîÿČęĂ öĊÖćøðŜĂÜÖĆîÿČęĂ
(ÿČę Ă ïĆ î ìċ Ö ×š Ă öĎ ú àċę Ü ÿŠ Ü ĂĂÖ ïĆîìċÖ×šĂöĎúìĊę ïĆîìċÖ×šĂöĎúìĊę ïĆîìċÖ×šĂöĎúìĊę ïĆîìċÖ×šĂöĎúìĊę
ĕðîĂÖïøĉ đ üè Öôñ. ĀøČ Ă đĀöćąÿö1 đĀöćąÿö1 đĀöćąÿö1 đĀöćąÿö1
ĕéšøĆïÝćÖîĂÖïøĉđüè Öôñ.) öĊÖøąïüîÖćøđóČęĂĔĀš öĊÖøąïüîÖćø
öĆęîĔÝüŠćñĎšøĆïĕéšøĆï đóČęĂĔĀšöĆęîĔÝüŠćñĎšøĆï
1
×ĂÜëĎÖêšĂÜÙøïëšüî ĕéšøĆï×ĂÜëĎÖêšĂÜ
Ùøïëšüî1
Ö ć ø øĆ ï ÿŠ Ü ×š Ă Ù ü ć ö ì ć Ü öĊÖćøÙüïÙčöÖćø öĊÖćøÙüïÙčöÖćø öĊÖćøÙüïÙčöÖćø öĊÖćøÙüïÙčöÖćø

ĂĉđúĘÖìøĂîĉÖÿŤ øĆïÿŠÜ×šĂÙüćöìćÜ
øĆïÿŠÜ×šĂÙüćöìćÜ øĆïÿŠÜ×šĂÙüćöìćÜ øĆïÿŠÜ×šĂÙüćöìćÜ
ĂĉđúĘÖìøĂîĉÖÿŤĔĀšöĊ
ĂĉđúĘÖìøĂîĉÖÿŤĔĀšöĊ ĂĉđúĘÖìøĂîĉÖÿŤĔĀšöĊ ĂĉđúĘÖìøĂîĉÖÿŤĔĀšöĊ
ÙüćööĆęîÙÜðúĂéõĆ÷
ÙüćööĆęîÙÜ ÙüćööĆęîÙÜ ÙüćööĆęîÙÜ
2 2 2
ðúĂéõĆ÷ ðúĂéõĆ÷ ðúĂéõĆ÷2
öĊÖćø÷Čî÷ĆîĒúą öĊÖćø÷Čî÷ĆîĒúą
óĉÿĎÝîŤĒĀúŠÜìĊęöć×ĂÜ óĉÿĎÝîŤĒĀúŠÜìĊęöć
2
×šĂÙüćö ×ĂÜ×šĂÙüćö2
öĊÖøąïüîÖćøđóČęĂĔĀš öĊÖøąïüîÖćø
öĆęîĔÝüŠćñĎšøĆïĕéšøĆï đóČęĂĔĀšöĆęîĔÝüŠćñĎšøĆï
2
×šĂÙüćö ĕéšøĆï×šĂÙüćö2
öĊÖćøóĉÿĎÝîŤÙüćö öĊÖćøóĉÿĎÝîŤÙüćö
ëĎÖêšĂÜÙøïëšüî×ĂÜ ëĎÖêšĂÜÙøïëšüî×ĂÜ
2
×šĂÙüćö ×šĂÙüćö2
ÖćøĒúÖđðúĊę÷îÿćøÿîđìý öĊÖćøÙüïÙčöÖćø öĊÖćøÙüïÙčöÖćø öĊÖćøÙüïÙčöÖćø öĊÖćøÙüïÙčöÖćø
ñŠ ć îøąïïÿćøÿîđìýìćÜ ĒúÖđðúĊę÷î ĒúÖđðúĊę÷î ĒúÖđðúĊę÷î ĒúÖđðúĊę÷î
íčøÖĉÝìĊęđßČęĂöē÷ÜÖĆî ÿćøÿîđìýñŠćîøąïï ÿćøÿîđìýñŠćî ÿćøÿîđìýñŠćî ÿćøÿîđìýñŠćî
ÿćøÿîđìýìćÜíčøÖĉÝ øąïïÿćøÿîđìý øąïïÿćøÿîđìý øąïïÿćøÿîđìý
3
ìĊęđßČęĂöē÷ÜÖĆî ìćÜíčøÖĉÝìĊęđßČęĂöē÷Ü ìćÜíčøÖĉÝìĊę ìćÜíčøÖĉÝìĊę
3 3
öĊÖćø÷Čî÷ĆîĒúą ÖĆî đßČęĂöē÷ÜÖĆî đßČęĂöē÷ÜÖĆî3
óĉÿĎÝîŤĒĀúŠÜìĊęöć×ĂÜ öĊÖćø÷Čî÷ĆîĒúą

ÖćøÙüïÙčöÖćøÿŠÜñŠćî ĀøČĂĒúÖđðúĊ÷ę îÿćøÿîđìýêćöøąéĆïÙüćööĆęîÙÜðúĂéõĆ÷×ĂÜÿćøÿîđìý
ÖøèĊ øąéĆïÙüćööĆęîÙÜðúĂéõĆ÷×ĂÜÿćøÿîđìý
3
ÿćøÿîđìý óĉÿĎÝîŤĒĀúŠÜìĊęöć
öĊÖćøóĉÿĎÝîŤÙüćö ×ĂÜÿćøÿîđìý3
ëĎÖêšĂÜÙøïëšüî×ĂÜ öĊÖćøóĉÿĎÝîŤÙüćö
ÿćøÿîđìý3 ëĎÖêšĂÜÙøïëšüî×ĂÜ
ÿćøÿîđìý3
ÖćøĒúÖđðúĊę÷îÿćøÿîđìý öĊÖćøøĆÖþćÙüćö öĊÖćøøĆÖþćÙüćö öĊÖćøøĆÖþćÙüćö öĊÖćøøĆÖþćÙüćö
ñŠ ć î ø ą ï ï ó ć èĉ ß ÷Ť öĆęîÙÜðúĂéõĆ÷ öĆęîÙÜðúĂéõĆ÷ öĆęîÙÜðúĂéõĆ÷ öĆęîÙÜðúĂéõĆ÷
ĂĉđúĘÖìøĂîĉÖÿŤìĊęöĊÖćøÿŠÜñŠćî ÿĞćĀøĆïÖćøóćèĉß÷Ť ÿĞćĀøĆïÖćøóćèĉß÷Ť ÿĞćĀøĆïÖćø ÿĞćĀøĆïÖćø
4 4
ìćÜđÙøČĂ×Šć÷ÿćíćøèą ĂĉđúĘÖìøĂîĉÖÿŤ ĂĉđúĘÖìøĂîĉÖÿŤ óćèĉß÷Ť óćèĉß÷Ť
4
ĂĉđúĘÖìøĂîĉÖÿŤ ĂĉđúĘÖìøĂîĉÖÿŤ4
ÖćøĒúÖđðúĊę÷î×šĂöĎúĔîÖćø öĊÖćøÙüïÙčöÖćøìĞć öĊÖćøÙüïÙčöÖćøìĞć öĊÖćøÙüïÙčöÖćø öĊÖćøÙüïÙčöÖćø

ìĞ ć íč ø ÖøøöĂĂîĕúîŤ × ĂÜ íčøÖøøöĂĂîĕúîŤ5 íčøÖøøöĂĂîĕúîŤ 5
ìĞćíčøÖøøö ìĞćíčøÖøøö
øąïïóćèĉß÷ŤĂĉđúĘÖìøĂîĉÖÿŤ ĂĂîĕúîŤ5 ĂĂîĕúîŤ5
Öćøđñ÷ĒóøŠÿćøÿîđìýĂĂÖ öĊÖćøÙüïÙčöÖćø öĊÖćøÙüïÙčöÖćø öĊÖćøÙüïÙčöÖćø öĊÖćøÙüïÙčöÖćø

ÿĎŠÿćíćøèą đñ÷ĒóøŠÿćøÿîđìýÿĎŠ đñ÷ĒóøŠÿćøÿîđìý đñ÷ĒóøŠ đñ÷ĒóøŠ
ÿćíćøèą6 ÿĎŠÿćíćøèą6 ÿćøÿîđìýÿĎŠ ÿćøÿîđìýÿĎŠ
ÿćíćøèą6 ÿćíćøèą6
1
Āöć÷đĀêč ĂšćÜëċÜ 6.8.3 ÖćøÿŠÜÿČęĂïĆîìċÖ×šĂöĎúĂĂÖĕðîĂÖĂÜÙŤÖø (Physical Media in Transit) Ĕî ST-06: öćêøåćîÖćøïøĉĀćø
ÝĆéÖćøéšćîÖćøÿČęĂÿćøĒúąÖćøðäĉïĆêĉÖćøÿćøÿîđìý×ĂÜ Öôñ. (Standard of Communication and Operation
Management)
2
ĂšćÜëċÜ 6.8.4 ÖćøÿŠÜÝéĀöć÷ĂĉđúĘÖìøĂîĉÖÿŤ (Electronic Mail) Ĕî ST-06: öćêøåćîÖćøïøĉĀćøÝĆéÖćøéšćîÖćøÿČęĂÿćø
ĒúąÖćøðäĉïĆêĉÖćøÿćøÿîđìý×ĂÜ Öôñ. (Standard of Communication and Operation Management)
3
ĂšćÜëċÜ 6.8.5 øąïïÿćøÿîđìýìćÜíčøÖĉÝìĊęđßČęĂöē÷ÜÖĆî (Business Information Systems) Ĕî ST-06: öćêøåćîÖćø
ïøĉĀćøÝĆéÖćøéšćîÖćøÿČęĂÿćøĒúąÖćøðäĉïĆêĉÖćøÿćøÿîđìý×ĂÜ Öôñ. (Standard of Communication and
Operation Management)
4
ĂšćÜëċÜ 6.9.1 Öćøóćèĉß÷ŤĂĉđúĘÖìøĂîĉÖÿŤ (Electronic Commerce) Ĕî ST-06: öćêøåćîÖćøïøĉĀćøÝĆéÖćøéšćîÖćø
ÿČęĂÿćøĒúąÖćøðäĉïĆêĉÖćøÿćøÿîđìý×ĂÜ Öôñ. (Standard of Communication and Operation Management)
5
ĂšćÜëċÜ 6.9.2 ÖćøìĞćíčøÖøøöĂĂîĕúîŤ (On-line Transactions) Ĕî ST-06: öćêøåćîÖćøïøĉĀćøÝĆéÖćøéšćîÖćøÿČęĂÿćø
ĒúąÖćøðäĉïĆêĉÖćøÿćøÿîđìý×ĂÜ Öôñ. (Standard of Communication and Operation Management)
6
ĂšćÜëċÜ 6.9.3 ÿćøÿîđìýìĊęöĊÖćøđñ÷ĒóøŠĂĂÖÿĎŠÿćíćøèą (Publicly Available Information) Ĕî ST-06: öćêøåćîÖćø
ïøĉĀćøÝĆéÖćøéšćîÖćøÿČęĂÿćøĒúąÖćøðäĉïĆêĉÖćøÿćøÿîđìý×ĂÜ Öôñ. (Standard of Communication and
Operation Management)

6. ÖćøìĞćúć÷
ÖćøÙüïÙčöÖćøìĞćúć÷×šĂöĎúĔîÿČęĂïĆîìċÖ×šĂöĎúêćöøąéĆïÙüćöúĆï×ĂÜÿćøÿîđìý
ÖøèĊ øąéĆïÙüćöúĆï×ĂÜÿćøÿîđìý
úĆïìĊęÿčé úĆïöćÖ úĆï ĂČęîė
ÖćøÿŠ Ü ÿČę Ă ïĆ î ìċ Ö ×š Ă öĎ ú ĕðîĂÖ ìĞćúć÷×šĂöĎúđóČęĂĔĀš ìĞćúć÷×šĂöĎú ìĞćúć÷×šĂöĎú -
ĀîŠü÷ÜćîđóČęĂàŠĂöïĞćøčÜ öĆęîĔÝĕéšüŠćÝąĕöŠ đóČęĂĔĀšöĆęîĔÝĕéšüŠć đóČęĂĔĀšöĆęîĔÝĕéšüŠć
ÿćöćøëîĞćÖúĆïöć ÝąĕöŠÿćöćøëîĞć ÝąĕöŠÿćöćøëîĞć
ĕéš (Non- ÖúĆïöćĕéš (Non- ÖúĆïöćĕéš (Non-
1 1
Retrievable) Retrievable) Retrievable) 1
ÖćøēĂî÷šć÷ÿČęĂïĆîìċÖ×šĂöĎúĀøČĂ ìĞćúć÷×šĂöĎúđóČęĂĔĀš ìĞćúć÷×šĂöĎú ìĞćúć÷×šĂöĎú -
ìøĆ ó ÷Ť ÿĉî ÿćøÿîđìýĔéėìĊę öĊ ÿČę Ă öĆęîĔÝĕéšüŠćÝąĕöŠ đóČęĂĔĀšöĆęîĔÝĕéšüŠć đóČęĂĔĀšöĆęîĔÝĕéšüŠć
ïĆîìċÖ×šĂöĎúõć÷Ĕî Öôñ. ÿćöćøëîĞćÖúĆïöć ÝąĕöŠÿćöćøëîĞć ÝąĕöŠÿćöćøëîĞć
ĕéš (Non- ÖúĆïöćĕéš (Non- ÖúĆïöćĕéš (Non-
1 1
Retrievable) Retrievable) Retrievable) 1
ÖćøÝĞćĀîŠć÷ÿČęĂïĆîìċÖ×šĂöĎúĀøČĂ ìĞćúć÷×šĂöĎú Ēúą ìĞćúć÷×šĂöĎú Ēúą ìĞćúć÷×šĂöĎú Ēúą -
ìøĆ ó ÷Ť ÿĉî ÿćøÿîđìýĔéėìĊę öĊ ÿČę Ă àĂôêŤĒüøŤđóČęĂĔĀš àĂôêŤĒüøŤđóČęĂĔĀš àĂôêŤĒüøŤđóČęĂĔĀš
ïĆîìċÖ×šĂöĎúĂĂÖîĂÖ Öôñ. öĆęîĔÝĕéšüŠćÝąĕöŠ öĆęîĔÝĕéšüŠćÝąĕöŠ öĆęîĔÝĕéšüŠćÝąĕöŠ
ÿćöćøëîĞćÖúĆïöć ÿćöćøëîĞćÖúĆïöć ÿćöćøëîĞćÖúĆïöć
ĕéš (Non- ĕéš (Non- ĕéš (Non-
1 1
Retrievable) Retrievable) Retrievable)1
Āöć÷đĀêč 1ĂšćÜëċÜ 6.7.2 ÖćøÖĞćÝĆéÿČęĂïĆîìċÖ×šĂöĎú (Disposal of Media) Ĕî ST-06: öćêøåćîÖćøïøĉĀćøÝĆéÖćøéšćîÖćøÿČęĂÿćøĒúą

ÖćøðäĉïĆêĉÖćøÿćøÿîđìý×ĂÜ Öôñ. (Standard of Communication and Operation Management)
1) PD-02 ×ĆĚ î êĂîÖćøðäĉ ïĆ êĉ Ü ćîđøČę Ă Ü ÖćøÝĆ é ĀöüéĀöĎŠ ì øĆ ó ÷Ť ÿĉ î ÿćøÿîđìý (Information
Classification Procedure)
2) PD-03 ×ĆĚîêĂîÖćøðäĉ ïĆêĉÜćîđøČęĂÜ ÖćøÝĆ éìĞćðŜ ć÷ßČęĂĒúąÖćøÝĆéÖćøìøĆ ó÷Ťÿĉ îÿćøÿîđìý
(Information Labeling and Handling Procedure)
ST-04: öćêøåćîÙüćööĆęîÙÜðúĂéõĆ÷ìĊęđÖĊę÷üÖĆïïčÙúćÖø (Standard of Human

Resources Security)

đóČęĂĔĀšñĎšðäĉïĆêĉÜćîĒúąĀîŠü÷Üćîõć÷îĂÖđ×šćĔÝëċÜïìïćìĀîšćìĊęÙüćöøĆïñĉéßĂï ìĆĚÜÖŠĂî øąĀüŠćÜ ÿĉĚîÿčé
ĀøČĂđðúĊę÷îĒðúÜÖćøÝšćÜÜćî êúĂéÝîêøąĀîĆÖëċÜõĆ÷ÙčÖÙćöĒúąðŦâĀćìĊęđÖĊę÷ü×šĂÜÖĆïÙüćööĆęîÙÜðúĂéõĆ÷
éšćîÿćøÿîđìý đóČęĂúéÙüćöđÿĊę÷ÜĂĆîđÖĉéÝćÖÖćø×ēö÷ ÖćøÞšĂēÖÜ ÖćøĔßšÜćîøąïïÿćøÿîđìýñĉéüĆêëčðøąÿÜÙŤ
ĒúąÙüćöñĉ é óúćéĔîÖćøðäĉïĆêĉĀîš ćìĊę ìĆĚ Ü îĊĚ ĕéšÖĞć ĀîéĔĀšöĊ ö ćêøåćîÖćøēÙøÜÿøšćÜìćÜéš ćîÙüćööĆęî ÙÜ
ðúĂéõĆ÷ìĊęđÖĊę÷ü×šĂÜÖĆïïčÙúćÖø àċęÜðøąÖĂïéšü÷ 3 đøČęĂÜéĆÜêŠĂĕðîĊĚ
1) ÖćøÿøšćÜÙüćööĆęîÙÜðúĂéõĆ÷ÖŠĂîÖćøÝšćÜÜćî (Prior to Employment)
2) ÖćøÿøšćÜÙüćööĆęîÙÜðúĂéõĆ÷ĔîøąĀüŠćÜÖćøÝšćÜÜćî (During Employment)
3) ÖćøÿĉĚîÿčéĀøČĂÖćøđðúĊę÷îÖćøÝšćÜÜćî (Termination or Change of Employment)
ñĎšïøĉĀćø Öôñ. ìčÖøąéĆïßĆĚî
ÿîĆïÿîčîĒúąÿŠÜđÿøĉöéšćîÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý ĒÖŠñĎšðäĉïĆêĉÜćîĒúąĀîŠü÷Üćî
õć÷îĂÖ
ĒÝš Ü ñĎš ð äĉ ïĆ êĉ Ü ćîĔîĀîŠ ü ÷ÜćîĔĀš ì øćï đöČę Ă öĊ Ö ćøđðúĊę ÷ îĒðúÜîē÷ïć÷ öćêøåćîĒúą×ĆĚ î êĂî
ðäĉïĆêĉÜćîéšćîÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìýìĊęđÖĊę÷ü×šĂÜ
ĀĆüĀîšćÜćî
êøüÝÿĂïđóČęĂđøĊ÷ÖÙČîìøĆó÷Ťÿĉî×ĂÜ Öôñ. ÝćÖñĎšðäĉïĆêĉÜćîĒúąĀîŠü÷Üćîõć÷îĂÖ đöČęĂÖćøÿĉĚîÿčé
ĀøČĂÖćøđðúĊę÷îĒðúÜÖćøÝšćÜÜćî
ÖĞćĀîéĔĀšñĎšðäĉïĆêĉÜćîöĊÖćøëŠć÷ìĂéÙüćöøĎšìĊęöĊÙüćöÿĞćÙĆâêŠĂÖćøéĞćđîĉîíčøÖĉÝ×ĂÜ Öôñ. ÖŠĂîÿĉĚîÿčé
ÖćøÝšćÜÜćî
đòŜćøąüĆÜõĆ÷ÙčÖÙćöĒúąßŠĂÜēĀüŠìĊęĂćÝöĊñúÖøąìïêŠĂÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý óøšĂöìĆĚÜ
ĒÝšÜðøąđéĘîéĆÜÖúŠćüĔĀšĒÖŠñĎšðäĉïĆêĉÜćîìĊęđÖĊę÷ü×šĂÜ
êøüÝÿĂïĒúąìĞćúć÷ÿćøÿîđìýìĊęÝĆéđÖĘïĔîĂčðÖøèŤðøąöüúñúÿćøÿîđìýÿŠüîêĆü×ĂÜñĎšðäĉïĆêĉÜćî
ĒúąĀîŠü÷Üćîõć÷îĂÖ ÖŠĂîÿŠÜöĂïÙČîĂčðÖøèŤĀøČĂÿĉĚîÿčéÖćøÝšćÜÜćî

ëĂéëĂîÿĉ ì íĉ Ĕ îÖćøđ×š ć ëċ Ü ×ĂÜñĎš ð äĉ ïĆ êĉ Ü ćîĒúąĀîŠ ü ÷Üćîõć÷îĂÖ đöČę Ă ÖćøÿĉĚ î ÿč é ĀøČ Ă
ÖćøđðúĊę÷îĒðúÜÖćøÝšćÜÜćî
òść÷üćÜĒñîđìÙēîēú÷Ċÿćøÿîđìý
òřÖĂïøöĀøČĂðøąßćÿĆöóĆîíŤđóČęĂÿøšćÜÙüćöêøąĀîĆÖéšćîÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý ĒÖŠ
ñĎšéĎĒúýĎî÷ŤÙĂöóĉüđêĂøŤĒúąñĎšøĆïñĉéßĂïÿëćîìĊę
ëĂéëĂîÿĉìíĉĔîÖćøđ×šćëċÜĂćÙćøĒúąïøĉđüè×ĂÜ Öôñ. ÝćÖñĎšðäĉïĆêĉÜćî ĒúąĀîŠü÷Üćîõć÷îĂÖ đöČęĂ
ÖćøÿĉĚîÿčéĀøČĂÖćøđðúĊę÷îĒðúÜÖćøÝšćÜÜćî
øąïčĀîšćìĊęÙüćöøĆïñĉéßĂïìćÜÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìýìĊęöĊÙüćöÿĞćÙĆâĔîđĂÖÿćøïøø÷ć÷
úĆÖþèąÜćî (Job Description)
êøüÝÿĂïÙčèÿöïĆêĉ×ĂÜñĎšðäĉïĆêĉÜćî ÖŠĂîìĊęĕéšøĆïÖćøðøĆïêĞćĒĀîŠÜĀøČĂ÷šć÷ĀîŠü÷Üćî
êøüÝÿĂïÙčèÿöïĆêĉ×ĂÜñĎšÿöĆÙø
ÖĞćĀîéđÜČęĂîĕ×ÖćøÝšćÜÜćî
ðøąÿćîÜćîÖĆïòść÷ÖãĀöć÷ đóČęĂÖĞćĀîéĔĀšöĊÖøąïüîÖćøúÜēìþìćÜüĉîĆ÷ìĊęđðŨîíøøöĒÖŠñĎšðäĉïĆêĉÜćî
ĒúąĀîŠü÷Üćîõć÷îĂÖìĊęĕöŠðäĉïĆêĉêćöîē÷ïć÷ öćêøåćî Ēúą×ĆĚîêĂîðäĉïĆêĉÜćîéšćîÙüćööĆęîÙÜ
ĒÝš Ü øć÷ßČę Ă ×ĂÜñĎš ð äĉ ïĆ êĉ Ü ćî ĒúąĀîŠ ü ÷Üćîõć÷îĂÖìĊę ÿĉĚ î ÿč é ĀøČ Ă ÖćøđðúĊę ÷ îÖćøÝš ć ÜÜćîĒÖŠ ñĎš ìĊę
đÖĊę÷ü×šĂÜ Ă÷ŠćÜđßŠî ĀĆüĀîšćÜćîÿćøÿîđìý ñĎšéĎĒúýĎî÷ŤÙĂöóĉüđêĂøŤĒúąñĎšøĆïñĉéßĂïÿëćîìĊę
òść÷óĆçîćïčÙÙúćÖø
ÝĆéðåöîĉđìýñĎšðäĉïĆêĉÜćîĔĀöŠ
òść÷øĆÖþćÙüćöðúĂéõĆ÷
êšĂÜêøüÝÿĂïÙčèÿöïĆêĉ×ĂÜñĎšðäĉïĆêĉÜćîĂĊÖÙøĆĚÜ ÖŠĂîìĊęĕéšøĆïÖćøðøĆïêĞćĒĀîŠÜĀøČĂ÷šć÷ĀîŠü÷Üćî

òść÷ÖãĀöć÷
ðøąÿćîÜćîÖĆïòść÷ìøĆó÷ćÖøïčÙÙú đóČęĂÖĞćĀîéĔĀšöĊÖøąïüîÖćøúÜēìþìćÜüĉîĆ÷ìĊęđðŨîíøøöĒÖŠ
ñĎšðäĉïĆêĉÜćî ĒúąĀîŠü÷Üćîõć÷îĂÖìĊęĕöŠðäĉïĆêĉêćöîē÷ïć÷ öćêøåćî Ēúą×ĆĚîêĂîðäĉïĆêĉÜćîéšćî
òść÷ïĆâßĊĒúąÖćøđÜĉî
êøüÝÿĂïđóČęĂđøĊ÷ÖÙČîìøĆó÷Ťÿĉî×ĂÜ Öôñ. ÝćÖñĎšðäĉïĆêĉÜćî ĒúąĀîŠü÷Üćîõć÷îĂÖ đöČęĂÖćøÿĉĚîÿčé
ĀøČĂÖćøđðúĊę÷îĒðúÜÖćøÝšćÜÜćî
ĀîŠü÷Üćîõć÷ĔîìĊęêšĂÜÖćøüŠćÝšćÜĀîŠü÷Üćîõć÷îĂÖ
ĒÝšÜđÜČęĂîĕ×ÖćøðäĉïĆêĉÜćî×ĂÜĀîŠü÷Üćîõć÷îĂÖ
ÖĞćĀîéđÜČęĂîĕ×ÖćøÝšćÜÜćîĀîŠü÷Üćîõć÷îĂÖ
ÖĞćĀîéĔĀšĀîŠü÷Üćîõć÷îĂÖ öĊÖćøëŠć÷ìĂéÙüćöøĎšìĊęöĊÙüćöÿĞćÙĆâêŠĂÖćøéĞćđîĉîíčøÖĉÝ×ĂÜ Öôñ.
ÖŠĂîÿĉĚîÿčéÖćøÝšćÜÜćî
ĒÝšÜøć÷ßČęĂ×ĂÜĀîŠü÷Üćîõć÷îĂÖìĊęÿĉĚîÿčéĀøČĂÖćøđðúĊę÷îÖćøÝšćÜÜćîĒÖŠñĎšìĊęđÖĊę÷ü×šĂÜ
Öôñ.
Ĕßš ïĆ â ßĊñĎš Ĕ ßš Ē úąøĀĆ ÿ ñŠ ć îĂ÷Š ć ÜøąöĆ é øąüĆ Ü ĒúąđÖĘ ï øĆ Ö þćøĀĆ ÿ ñŠ ć îđðŨ î ÙüćöúĆ ï ēé÷ðäĉ ïĆ êĉ ê ćö
öćêøåćîÖćøĔßšÜćîøĀĆÿñŠćîĂ÷ŠćÜđÙøŠÜÙøĆé
ĔßšÝéĀöć÷ĂĉđúĘÖìøĂîĉÖÿŤĂ÷ŠćÜðúĂéõĆ÷ēé÷ðäĉïĆêĉêćööćêøåćîÖćøÿŠÜÝéĀöć÷ĂĉđúĘÖìøĂîĉÖÿŤ (ST-
05: öćêøåćîÖćøïøĉĀćøÝĆéÖćøéšćîÖćøÿČęĂÿćøĒúąÖćøðäĉïĆêĉÖćøÿćøÿîđìý×ĂÜ Öôñ. 5.8.4 Öćø
ÿŠÜÝéĀöć÷ĂĉđúĘÖìøĂîĉÖÿŤ)
øć÷ÜćîđĀêčÖćøèŤìĊęđÖĊę÷üÖĆïÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìýìĊęóïĔîÖćøðäĉïĆêĉÜćîðøąÝĞćüĆî
ĔßšìøĆó÷Ťÿĉîÿćøÿîđìý×ĂÜ Öôñ. Ă÷ŠćÜöĆęîÙÜðúĂéõĆ÷
øĆïñĉéßĂïêŠĂÿćøÿîđìýìĊęïĆîìċÖĂ÷ĎŠõć÷ĔîÿČęĂÿćøðøąđõìóÖóćêćööćêøåćîÖćøðŜĂÜÖĆîĂčðÖøèŤ
ÿČęĂÿćøðøąđõìóÖóć Ă÷ŠćÜđÙøŠÜÙøĆé (ST-06: öćêøåćîÖćøÙüïÙčöÖćøđ×šćëċÜ 6.7.1 ÖćøðŜĂÜÖĆî
ĂčðÖøèŤÿČęĂÿćøðøąđõìóÖóć)

Öôñ.
4.1 ÖćøÿøšćÜÙüćööĆęîÙÜðúĂéõĆ÷ÖŠĂîÖćøÝšćÜÜćî (Prior to Employment)
ĔĀšöĊÖćøêøüÝÿĂïÙčèÿöïĆêĉ×ĂÜñĎšÿöĆÙø ĒúąÖćøÖĞćĀîéĀîšćìĊęÙüćöøĆïñĉéßĂïéšćîÙüćööĆęîÙÜðúĂéõĆ÷Ēúą
øąïčĀîšćìĊęøĆïñĉéßĂïéĆÜÖúŠćüĔîđÜČęĂîĕ×ÖćøÝšćÜÜćî
öćêøåćî
4.1.1 ÖćøÖĞćĀîéĀîšćìĊęÙüćöøĆïñĉéßĂïéšćîÙüćööĆęîÙÜðúĂéõĆ÷ (Roles and Responsibilities)
1) ñĎšðäĉïĆêĉÜćîĒúąĀîŠü÷Üćîõć÷îĂÖìĊęđ×šćëċÜÿćøÿîđìýĒúąĂčðÖøèŤðøąöüúñúÿćøÿîđìý×ĂÜ
Öôñ. êšĂÜðäĉïĆêĉêćöîē÷ïć÷ öćêøåćî Ēúą×ĆĚîêĂîðäĉïĆêĉÜćîéšćîÙüćööĆęîÙÜðúĂéõĆ÷éšćî
ÿćøÿîđìý×ĂÜ Öôñ.
2) ñĎšðäĉïĆêĉÜćîìčÖÙîöĊĀîšćìĊęéĆÜêŠĂĕðîĊĚ
1. ĔßšïĆâßĊñĎšĔßšĒúąøĀĆÿñŠćîĂ÷ŠćÜøąöĆéøąüĆÜ ĒúąđÖĘïøĆÖþćøĀĆÿñŠćîđðŨîÙüćöúĆïēé÷ðäĉïĆêĉêćö
öćêøåćîÖćøĔßšÜćîøĀĆÿñŠćî Ă÷ŠćÜđÙøŠÜÙøĆé (ST-06: öćêøåćîÖćøÙüïÙčöÖćøđ×šćëċÜ 6.3.1
ÖćøĔßšÜćîøĀĆÿñŠćî)
2. Ĕßš Ý éĀöć÷Ăĉ đ úĘ Ö ìøĂîĉ Ö ÿŤ Ă ÷Š ć ÜðúĂéõĆ ÷ ēé÷ðäĉ ïĆ êĉ ê ćööćêøåćîÖćøÿŠ Ü ÝéĀöć÷
ĂĉđúĘÖìøĂîĉ ÖÿŤ (ST-05: öćêøåćîÖćøïøĉĀ ćøÝĆéÖćøéšćîÖćøÿČęĂÿćøĒúąÖćøðäĉïĆêĉÖćø
ÿćøÿîđìý×ĂÜ Öôñ. 5.8.4 ÖćøÿŠÜÝéĀöć÷ĂĉđúĘÖìøĂîĉÖÿŤ)
3. øć÷ÜćîđĀêčÖćøèŤìĊęđÖĊę÷üÖĆïÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìýìĊęóïĔîÖćøðäĉïĆêĉÜćî
ðøąÝĞćüĆî ēé÷ðäĉïĆêĉêćööćêøåćîÖćøïøĉĀćøÝĆéÖćøÿëćîÖćøèŤìĊęđÖĊę÷üÖĆïÙüćööĆęîÙÜ
4. êšĂÜĔßšìøĆó÷Ťÿĉîÿćøÿîđìý×ĂÜ Öôñ. Ă÷ŠćÜðúĂéõĆ÷ êĆüĂ÷ŠćÜđßŠî
x ĀšćöêĉéêĆĚÜēðøĒÖøöĀøČĂđóĉęöăćøŤéĒüøŤ (Hardware) ïîđÙøČęĂÜÙĂöóĉüđêĂøŤ Ēúą
ĀšćöđðúĊę÷îĒðúÜ ÖćøêĆĚÜÙŠć×ĂÜàĂôêŤĒüøŤ (Software) ĒúąăćøŤéĒüøŤ (Hardware)
ÖŠĂîĕéšøĆïĂîčâćê
x ĀšćöéćüîŤēĀúéēðøĒÖøöĔéėÝćÖĒĀúŠÜìĊęĕöŠîŠćđßČęĂëČĂìćÜĂĉîđêĂøŤđîĘê

x ĔßšÿČęĂïĆîìċÖ×šĂöĎúìĊęÿćöćøëđÙúČęĂî÷šć÷ĕéšĂ÷ŠćÜøąöĆéøąüĆÜ
5. ñĎšðäĉïĆêĉÜćîêšĂÜúÜîćöĔî×šĂêÖúÜöĉĔĀšđðŗéđñ÷ÙüćöúĆï×ĂÜ Öôñ.
6. ñĎšðäĉïĆêĉÜćîìĊęöĊÿĉìíĉĔîÖćøđßČęĂöêŠĂđ×šćëċÜđÙøČĂ×Šć÷×ĂÜ Öôñ. ÝćÖõć÷îĂÖÿĞćîĆÖÜćîêšĂÜ
ðäĉïĆêĉêćööćêøåćîÖćøðäĉïĆêĉÜćîÝćÖõć÷îĂÖÿĞćîĆÖÜćî Ă÷ŠćÜđÙøŠÜÙøĆé
7. ñĎšðäĉïĆêĉÜćîìĊęÙøĂïÙøĂÜĂčðÖøèŤÿČęĂÿćøðøąđõìóÖóćêšĂÜøĆïñĉéßĂïêŠĂÿćøÿîđìýìĊęïĆîìċÖ
Ă÷ĎŠõć÷ĔîĂčðÖøèŤéĆÜÖúŠćüêćööćêøåćîÖćøðŜĂÜÖĆîĂčðÖøèŤÿČęĂÿćøðøąđõìóÖóć Ă÷ŠćÜ
đÙøŠÜÙøĆé (ST-06: öćêøåćîÖćøÙüïÙčöÖćøđ×šćëċÜ 6.7.1 ÖćøðŜĂÜÖĆîĂčðÖøèŤÿČęĂÿćø
ðøąđõìóÖóć)
3) ñĎšðäĉïĆêĉÜćîìčÖÙîêšĂÜðäĉïĆêĉêćöÙüćöøĆïñĉéßĂïéšćîÖćøđ×šćëċÜìćÜÖć÷õćó (Physical Control)
éĆÜîĊĚ
1. êĉéïĆêøñĎšðäĉïĆêĉÜćîĔîìĊęìĊęđĀĘîĕéšßĆéêúĂéđüúćìĊęĂ÷ĎŠĔîïøĉđüè×ĂÜ Öôñ.
2. ĀšćöïĂÖĀøČĂĒÿéÜøĀĆÿñŠćîìĊęĔßšđ×šćđ×êĀüÜĀšćöĒÖŠñĎšĂČęî
3. ĀšćööĂïïĆêøðøąÝĞćêĆü ĀøČĂïĆêøĒÿéÜêîñĎšðäĉïĆêĉÜćîĔĀšĒÖŠñĎšĂČęî
4. ĒÝšÜđêČĂîđÝšćĀîšćìĊęøĆÖþćÙüćöðúĂéõĆ÷×ĂÜĂćÙćøĀćÖöĊïčÙÙúĒðúÖĀîšćĀøČĂîŠćÿÜÿĆ÷đ×šć
öćĔîïøĉđüèÿëćîìĊęìĞćÜćî
4.1.2 ÖćøêøüÝÿĂïÙčèÿöïĆêĉ×ĂÜñĎšÿöĆÙøÜćî (Screening)

1) òść÷ìøĆó÷ćÖøïčÙÙúêšĂÜøąïčĀîšćìĊęÙüćöøĆïñĉéßĂïìćÜÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìýìĊęöĊ
ÙüćöÿĞćÙĆâĔîđĂÖÿćøïøø÷ć÷úĆÖþèąÜćî (Job Description) ēé÷ĒïŠÜøąéĆïĕéšéĆÜêŠĂĕðîĊĚ
1. ĀîšćìĊęìĊęöĊÙüćöÿĞćÙĆâ (Sensitive Role) ÙČĂêĞćĒĀîŠÜìĊęöĊÙüćöđðŨîĕðĕéšüŠćĂćÝÖŠĂĔĀšđÖĉé
ñúÖøąìïĂ÷ŠćÜøčîĒøÜêŠĂÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý×ĂÜ Öôñ. êĆüĂ÷ŠćÜđßŠî
x êĞ ć ĒĀîŠ Ü ìĊę đ ÖĊę ÷ üÖĆ ï ÖćøüćÜĒñî ÖćøÖĞ ć Āîéìĉ ý ìćÜĒúąÖćøîĞ ć ĕðĔßš × ĂÜøąïï
ìćÜéšćîÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý
x êĞ ć ĒĀîŠ Ü ìĊę öĊ Ù üćöøĆ ï ñĉ é ßĂïĀúĆ Ö ĔîÖćøÖĞ ć Āîéìĉ ý ìćÜ üćÜĒñî ĒúąĂĂÖĒïï
øąïïÙĂöóĉüđêĂøŤ øüöëċÜăćøŤéĒüøŤ (Hardware) ĒúąàĂôêŤĒüøŤ (Software)
x êĞćĒĀîŠÜìĊęÿćöćøëđ×šćëċÜøąïïĔîøąĀüŠćÜÖćøðäĉïĆêĉÜćîĀøČĂøąĀüŠćÜÖćøàŠĂöïĞćøčÜ
ēé÷öĊÙüćöđÿĊę÷ÜìĊęđðŨîĕðĕéšÿĎÜìĊęĂćÝÖŠĂĔĀšđÖĉéÙüćöđÿĊ÷Āć÷øčîĒøÜĀøČĂÿŠÜñúÖøąìï
êŠĂ Öôñ.
2. ĀîšćìĊęðÖêĉ (Regular Role) ÙČĂêĞćĒĀîŠÜìĊęöĊÙüćöđðŨîĕðĕéšüŠćĂćÝÖŠĂĔĀšđÖĉéñúÖøąìïêŠĂ
ÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý×ĂÜ Öôñ.ĔîøąéĆïìĊęÝĞćÖĆé Āöć÷øüöëċÜìčÖêĞćĒĀîŠÜìĊę
ĕöŠëĎÖÝĆéĂ÷ĎŠĔîÖúčŠö×ĂÜĀîšćìĊęìĊęöĊÙüćöÿĞćÙĆâ (Sensitive Role)

2) ñĎšìéúĂÜÜćî úĎÖÝšćÜĀøČĂĀîŠü÷Üćîõć÷îĂÖ êšĂÜĕöŠĕéšøĆïĀîšćìĊęìĊęöĊÙüćöÿĞćÙĆâ (Sensitive Role)
ÖŠĂîĕéšøĆïÖćøĂîčöĆêĉÝćÖñĎšĂĞćîü÷Öćøòść÷ĀøČĂđìĊ÷ïđìŠć×ċĚîĕðĒúąĀĆüĀîšćÿćøÿîđìýìĊęđÖĊę÷ü×šĂÜ
3) òść÷ìøĆó÷ćÖøïčÙÙúĀøČĂĀîŠü÷Üćîõć÷ĔîìĊęêšĂÜÖćøüŠćÝšćÜêšĂÜêøüÝÿĂïÙčèÿöïĆêĉ×ĂÜñĎšÿöĆÙø ēé÷
êšĂÜóĉÝćøèćëċÜ×šĂöĎúÿŠüîêĆü ĒúąÖãĀöć÷ìĊęđÖĊę÷ü×šĂÜÖĆïÖćøÝšćÜÜćî ēé÷êšĂÜÙĞćîċÜëċÜðøąđéĘî
êŠćÜėêŠĂĕðîĊĚ
1. ÝĞćîüîïčÙÙúìĊęĂšćÜĂĉÜ
2. ĔïĒÿéÜüčçĉÖćøýċÖþć
3. ĔïĂîčâćêðøąÖĂïüĉßćßĊó ðøąÖćýîĊ÷ïĆêø
4. đĂÖÿćøĒÿéÜêĆüïčÙ Ùú đßŠ î ïĆêøðøąÝĞ ćêĆüðøąßćßî ïĆ êøðøąÝĞćêĆ ü×šćøćßÖćø ïĆ êø
ðøąÝĞćêĆüđÝšćĀîšćìĊę×ĂÜøĆå ĀøČĂĀîĆÜÿČĂđéĉîìćÜ đðŨîêšî
5. ÖćøêøüÝÿĂïĂČęîė đßŠî ÿëćîąÙüćöîŠćđßČęĂëČĂìćÜéšćîÖćøđÜĉî ðøąüĆêĉĂćßâćÖøøö đðŨî
êšî
4.1.3 ÖćøÖĞćĀîéđÜČęĂîĕ×ÖćøÝšćÜÜćî (Terms and Conditions of Employment)

1) ñĎšðäĉïĆêĉÜćî ĒúąĀîŠü÷Üćîõć÷îĂÖìĊęĕéšøĆïÿĉìíĉĔîÖćøđ×šćëċÜÿćøÿîđìýêšĂÜúÜîćöĔî×šĂêÖúÜöĉĔĀš
đðŗéđñ÷ÙüćöúĆï×ĂÜ Öôñ.
2) òść÷ìøĆó÷ćÖøïčÙÙú ĀøČĂĀîŠü÷Üćîõć÷ĔîìĊęêšĂÜÖćøüŠćÝšćÜêšĂÜÖĞćĀîéđÜČęĂîĕ×ÖćøÝšćÜÜćîĔĀš
ÙøĂïÙúčöĔîđøČęĂÜéĆÜêŠĂĕðîĊĚ
1. ĀîšćìĊęÙüćöøĆïñĉéßĂïéšćîÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý
2. ÖøèĊìĊęöĊÖćøÿĆîîĉþåćîüŠćñĎšðäĉïĆêĉÜćîĔßšÝéĀöć÷ĂĉđúĘÖìøĂîĉÖÿŤĀøČĂ×šĂÙüćöđÿĊ÷ÜĕðĔîìćÜìĊę
öĉßĂï Öôñ. öĊÿĉìíĉĔîÖćøÿčŠöêøüÝÝéĀöć÷ĂĉđúĘÖìøĂîĉÖÿŤĀøČĂ×šĂÙüćöđÿĊ÷ÜéĆÜÖúŠćüēé÷ĕöŠ
êšĂÜĕéšøĆï Öćø÷ĉî÷ĂöĀøČĂöĊÖćøĒÝšÜĒÖŠñĎšðäĉïĆêĉÜćîÖŠĂîéĞćđîĉîÖćø
3. ÿćøÿîđìýĀøČĂøąïïÿćøÿîđìýìĊęÿøšćÜĀøČĂóĆçîćēé÷ñĎšðäĉïĆêĉÜćîĔîøąĀüŠćÜÖćøüŠćÝšćÜ ëČĂ
đðŨîìøĆó÷Ťÿĉî×ĂÜ Öôñ.
4.2 ÖćøÿøšćÜÙüćööĆęîÙÜðúĂéõĆ÷ĔîøąĀüŠćÜÖćøÝšćÜÜćî (During Employment)
ĔĀšöĊÖćøÖĞćĀîéĀîšćìĊęĔîÖćøïøĉĀćøÝĆéÖćøéšćîÙüćööĆęîÙÜðúĂéõĆ÷ ÖćøÿøšćÜÙüćöêøąĀîĆÖ ĔĀšÙüćöøĎš Ēúą
ÖćøòřÖĂïøöéšćîÙüćööĆęîÙÜðúĂéõĆ÷ĔĀšĒÖŠñĎšðäĉïĆêĉÜćî êúĂéÝîÖøąïüîÖćøúÜēìþìćÜüĉîĆ÷

öćêøåćî
4.2.1 ĀîšćìĊęĔîÖćøïøĉĀćøÝĆéÖćøìćÜéšćîÙüćööĆęîÙÜðúĂéõĆ÷ (Management Responsibilities)
1) ñĎšïøĉĀćø Öôñ. ìčÖøąéĆïßĆĚîöĊĀîšćìĊęÿîĆïÿîčîĒúąÿŠÜđÿøĉöđøČęĂÜéĆÜêŠĂĕðîĊĚ ĒÖŠñĎšðäĉïĆêĉÜćîĒúą
1. ĒÝšÜĀîšćìĊęĒúąÙüćöøĆïñĉéßĂïéšćîÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý ÖŠĂîìĊęÝąĕéšøĆï
ĂîčâćêĔĀšđ×šćëċÜÿćøÿîđìýĀøČĂĂčðÖøèŤðøąöüúñúÿćøÿîđìý
2. ÝĎÜĔÝĔĀšðäĉïĆêĉêćöîē÷ïć÷ öćêøåćî Ēúą×ĆĚîêĂîÖćøðäĉïĆêĉÿĞćĀøĆïÙüćööĆęîÙÜðúĂéõĆ÷
éšćîÿćøÿîđìý
3. ÿøšćÜÙüćöêøąĀîĆÖëċÜÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìýìĊęđÖĊę÷ü×šĂÜÖĆïĀîšćìĊę Ùüćö
øĆïñĉéßĂï×ĂÜêîđĂÜĒúą×ĂÜ Öôñ.
4. ðäĉïĆêĉêćöđÜČęĂîĕ×ÖćøÝšćÜÜćî àċęÜøüöëċÜîē÷ïć÷ öćêøåćî Ēúą×ĆĚîêĂîÖćøðäĉïĆêĉÜćîéšćî
ÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý×ĂÜ Öôñ.
4.2.2 ÖćøÿøšćÜÙüćöêøąĀîĆÖ ÖćøĔĀšÙüćöøĎš ĒúąÖćøĂïøöéšćîÙüćööĆęîÙÜðúĂéõĆ÷ĔĀšĒÖŠñĎšðäĉïĆêĉÜćî

(Information Security Awareness, Education, and Training)
1) ÖćøðåöîĉđìýñĎšðäĉïĆêĉÜćîĔĀöŠ
1. òś ć ÷óĆ ç îćïč Ù ÙúćÖøêš Ă ÜéĞ ć đîĉ î Öćøòř Ö Ăïøö ĔĀš Ē ÖŠ ñĎš ð äĉ ïĆ êĉ Ü ćîĔĀöŠ đóČę Ă ÿøš ć Ü
ÙüćöêøąĀîĆÖéšćîÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý ēé÷Ăíĉïć÷ëċÜîē÷ïć÷Ēúąöćêøåćî
éšćîÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý
2. òść÷ìøĆó÷ćÖøïčÙÙúêšĂÜìĞćÿĞćđîćđĂÖÿćøÿøšćÜÙüćöêøąĀîĆÖéšćîÙüćööĆęîÙÜðúĂéõĆ÷éšćî
ÿćøÿîđìýĔĀšĒÖŠñĎšðäĉïĆêĉÜćîĔĀöŠìčÖÙî óøšĂöìĆĚÜêšĂÜĔĀšñĎšðäĉïĆêĉÜćîĔĀöŠúÜîćöøĆïìøćï
2) ÖćøĒÝšÜđÜČęĂîĕ×ÖćøðäĉïĆêĉÜćî×ĂÜĀîŠü÷Üćîõć÷îĂÖ
1. òść÷ìøĆó÷ćÖøïčÙÙú ĀøČĂĀîŠü÷Üćîõć÷ĔîìĊęêšĂÜÖćøüŠ ćÝšćÜêšĂÜĂíĉïć÷ëċÜđÜČęĂîĕ×
ÖćøðäĉïĆêĉÜćîéšćîÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý ĔĀšĒÖŠĀîŠü÷Üćîõć÷îĂÖìĊęëĎÖüŠćÝšćÜ
3) ÖćøÿøšćÜÙüćöêøąĀîĆÖĔîÖćøøĆÖþćÙüćööĆęîÙÜðúĂéõĆ÷Ă÷ŠćÜÿöęĞćđÿöĂ
1. ĀĆüĀîšćÜćîÿćøÿîđìý öĊĀîšćìĊęøĆïñĉéßĂïĔîÖćøđòŜćøąüĆÜõĆ÷ÙčÖÙćö ĒúąßŠĂÜēĀüŠìĊęĂćÝöĊ
ñúÖøąìïêŠ ĂÙüćööĆę îÙÜðúĂéõĆ ÷éšćîÿćøÿîđìý óøšĂöìĆĚÜĒÝš ÜðøąđéĘîéĆ ÜÖúŠćüĔĀšĒ ÖŠ
ñĎšðäĉïĆêĉÜćîìĊęđÖĊę÷ü×šĂÜ îĂÖÝćÖîĊĚêšĂÜđêČĂîĔĀšñĎšðäĉïĆêĉÜćîđóĉęöÙüćöøąöĆéøąüĆÜÙüćöđÿĊę÷ÜĔî
đøČęĂÜêŠćÜė đßŠî ĕüøĆÿÙĂöóĉüđêĂøŤ đìÙîĉÙÖćøĀúĂÖúŠĂìćÜÝĉêüĉì÷ć (Social Engineering)
ĒúąßŠĂÜēĀüŠĔĀöŠėìćÜéšćîđìÙîĉÙ đðŨîêšî

2. òść÷üćÜĒñîđìÙēîēú÷ĊÿćøÿîđìýêšĂÜéĞćđîĉîÖćøòřÖĂïøöĀøČĂðøąßćÿĆöóĆîíŤđóČęĂÿøšćÜ
ÙüćöêøąĀîĆÖéšćîÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý ĒÖŠñĎšðäĉïĆêĉÜćîđðŨîðøąÝĞćìčÖðŘ
3. ñĎšĂĞćîü÷Öćøòść÷ĀøČĂđìĊ÷ïđìŠć×ċĚîĕðêšĂÜĒÝšÜñĎšðäĉïĆêĉÜćîĔîĀîŠü÷ÜćîĔĀšìøćï đöČęĂöĊÖćø
đðúĊę ÷ îĒðúÜîē÷ïć÷ öćêøåćî Ēúą×ĆĚ î êĂîðäĉ ïĆêĉ Ü ćîéš ć îÙüćööĆę î ÙÜðúĂéõĆ ÷ éš ć î
ÿćøÿîđìýìĊęđÖĊę÷ü×šĂÜ øüöìĆĚÜĂíĉïć÷ñúÖøąìïÝćÖÖćøđðúĊę÷îĒðúÜéĆÜÖúŠćü
4.2.3 ÖøąïüîÖćøìćÜüĉîĆ÷đóČęĂúÜēìþ (Disciplinary Process)

1) òść÷ìøĆó÷ćÖøïčÙÙúĒúąòść÷ÖãĀöć÷ êšĂÜÖĞćĀîéĔĀšöĊÖćøúÜēìþêćöÖøąïüîúÜēìþìćÜüĉîĆ÷×ĂÜ
Öôñ. ĒÖŠñĎšðäĉïĆêĉÜćî ĒúąĀîŠü÷Üćîõć÷îĂÖìĊęĕöŠðäĉïĆêĉêćöîē÷ïć÷ öćêøåćî Ēúą×ĆĚîêĂî
ðäĉïĆêĉÜćîéšćîÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý
2) ĔîÖøèĊ ìĊę ñĎš ð äĉ ïĆ êĉ Ü ćî ĒúąĀîŠ ü ÷Üćîõć÷îĂÖÖøąìĞ ć Ùüćöñĉ é éš ć îÙüćööĆę î ÙÜðúĂéõĆ ÷ éš ć î
ÿćøÿîđìýĂ÷ŠćÜøčîĒøÜ ñĎšđðŨîđÝšć×ĂÜÿćøÿîđìý ĒúąñĎšéĎĒúÿćøÿîđìýĒúąøąïïÿćøÿîđìýêšĂÜ
ĒÝš Ü ĀĆ ü Āîš ć Üćîÿćøÿîđìý đóČę Ă éĞ ć đîĉ î ÖćøëĂîÿĉ ì íĉ Ĕ îÖćøđ×š ć ëċ Ü ÿćøÿîđìýĒúąĀøČ Ă øąïï
ÿćøÿîđìý ēé÷ìĆîìĊ
4.3 ÖćøÿĉĚîÿčéĀøČĂÖćøđðúĊę÷îĒðúÜÖćøÝšćÜÜćî (Termination or Change of

Employment)
ĔĀšöĊÖćøÖĞćĀîéĀîšćìĊęÙüćöøĆïñĉéßĂïđöČęĂÿĉĚîÿčéĀøČĂÖćøđðúĊę÷îÖćøÝšćÜÜćî àċęÜøüöĕðëċÜÖćøÙČîìøĆó÷Ťÿĉî Ēúą
ÖćøëĂéëĂîÿĉìíĉĔîÖćøđ×šćëċÜ
öćêøåćî
4.3.1 ÖćøÿĉĚîÿčéĀøČĂÖćøđðúĊę÷îĒðúÜÖćøÝšćÜÜćî (Termination Responsibilities)
1) đöČęĂÖćøÿĉĚîÿčéĀøČĂÖćøđðúĊę÷îĒðúÜÖćøÝšćÜÜćî ñĎšðäĉïĆêĉÜćîĒúąĀîŠü÷Üćîõć÷îĂÖêšĂÜðäĉïĆêĉêćö
ĀîšćìĊęÙüćöøĆïñĉéßĂïêćö×šĂêÖúÜöĉĔĀšđðŗéđñ÷ÙüćöúĆï×ĂÜ Öôñ. Ă÷ŠćÜđÙøŠÜÙøĆé
2) òść÷ìøĆó÷ćÖøïčÙÙúĒúąòść÷øĆÖþćÙüćöðúĂéõĆ÷êšĂÜêøüÝÿĂïÙčèÿöïĆêĉ×ĂÜñĎšðäĉïĆêĉÜćîĂĊÖÙøĆĚÜ
ÖŠĂîìĊęĕéšøĆïÖćøðøĆïêĞćĒĀîŠÜĀøČĂ÷šć÷ĀîŠü÷Üćî
3) òść÷ìøĆó÷ćÖøïčÙÙú ĀøČĂĀîŠü÷Üćîõć÷ĔîìĊęêšĂÜÖćøüŠćÝšćÜêšĂÜöĊÖćøĒÝšÜøć÷ßČęĂ×ĂÜñĎšðäĉïĆêĉÜćî
ĒúąĀîŠ ü ÷Üćîõć÷îĂÖìĊęÿĉĚ î ÿčé ĀøČĂ ÖćøđðúĊę ÷ îÖćøÝš ć ÜÜćîĒÖŠ ñĎš ìĊęđ ÖĊę ÷ ü×š ĂÜ đßŠ î ĀĆ üĀîš ć Üćî
ÿćøÿîđìý ñĎšéĎĒúýĎî÷ŤÙĂöóĉüđêĂøŤĒúąñĎšøĆïñĉéßĂïÿëćîìĊę đðŨîðøąÝĞćìčÖđéČĂî

4.3.2 ÖćøÙČîìøĆó÷Ťÿĉî×ĂÜĂÜÙŤÖø (Return of Assets)
1) ĀĆüĀîšćÜćîĒúąòść÷ïĆâßĊĒúąÖćøđÜĉî êšĂÜéĞćđîĉîÖćøêøüÝÿĂïđóČęĂđøĊ÷ÖÙČîìøĆó÷Ťÿĉî×ĂÜ Öôñ.
ÝćÖñĎšðäĉïĆêĉÜćîĒúąĀîŠü÷Üćîõć÷îĂÖ đöČęĂÖćøÿĉĚîÿčéĀøČĂÖćøđðúĊę÷îĒðúÜÖćøÝšćÜÜćî ēé÷øüöëċÜ
ÿćøÿîđìý ĒúąĂčðÖøèŤðøąöüúñúÿćøÿîđìý ìĊęĕéšøĆïĔîøąĀüŠćÜÖćøðäĉïĆêĉÜćî
2) ĀĆ üĀîšćÜćîĒúąĀîŠ ü÷Üćîõć÷ĔîìĊęêšĂÜÖćøüŠ ćÝšćÜêšĂÜÖĞć ĀîéĔĀš ñĎš ðäĉïĆêĉÜćî ĒúąĀîŠ ü÷Üćî
õć÷îĂÖ ìĞćÖćøëŠć÷ìĂéÙüćöøĎšìĊęöĊÙüćöÿĞćÙĆâêŠĂÖćøéĞćđîĉîíčøÖĉÝ×ĂÜ Öôñ. ÖŠĂîÿĉĚîÿčéÖćøÝšćÜ
Üćî
4.3.3 ÖćøëĂéëĂîÿĉìíĉĔîÖćøđ×šćëċÜ (Removal of Access Rights)

1) ĀĆüĀîšćÜćîÿćøÿîđìý ñĎšéĎĒúýĎî÷ŤÙĂöóĉüđêĂøŤĒúąñĎšøĆïñĉéßĂïÿëćîìĊęêšĂÜéĞćđîĉîÖćøëĂéëĂî
ÿĉìíĉĔîÖćøđ×šćëċÜ×ĂÜñĎšðäĉïĆêĉÜćî ĒúąĀîŠü÷Üćîõć÷îĂÖ đöČęĂÖćøÿĉĚîÿčéĀøČĂÖćøđðúĊę÷îĒðúÜÖćø
ÝšćÜÜćî
2) ÖćøëĂéëĂîÿĉìíĉĔîÖćøđ×šćëċÜĀöć÷øüöëċÜ ìćÜÖć÷õćó (Physical) ĒúąìćÜêøøÖą (Logical)
đßŠî ÖčâĒÝ ïĆêøĒÿéÜêî ïĆêøðøąÝĞćêĆüñĎšðäĉïĆêĉÜćî ĒúąïĆâßĊñĎšĔßšÜćî đðŨîêšî
3) ĔîÖøèĊìĊęñĎšðäĉïĆêĉÜćî ĒúąĀîŠü÷Üćîõć÷îĂÖìĊęÿĉĚîÿčéĀøČĂđðúĊę÷îĒðúÜÖćøÝšćÜÜćî öĊÖćøĔßšïĆâßĊ
ñĎšĔßšÜćîøŠüöÖĆî (Shared User ID) ÖĆïñĎšðäĉïĆêĉÜćîĂČęî ñĎšïĆÜÙĆïïĆâßćìĊęđÖĊę÷ü×šĂÜêšĂÜéĞćđîĉîÖćø
đðúĊę÷îøĀĆÿñŠćîìĆîìĊĀúĆÜÝćÖÿĉĚîÿčéĀøČĂđðúĊę÷îĒðúÜÖćøÝšćÜÜćî
1) PD-04 ×ĆĚîêĂîÖćøðäĉïĆêĉÜćîđøČęĂÜ ÖćøÿŠÜÙČîìøĆó÷ŤÿĉîđöČęĂđúĉÖÝšćÜÜćîĀøČĂđðúĊę÷îĒðúÜúĆÖþèąÖćø
ÝšćÜÜćî (Return of Assets Procedure)
2) PD-05 ×ĆĚîêĂîÖćøðäĉïĆêĉÜćîđøČęĂÜ ÖćøëĂéëĂîÿĉìíĉ đöČęĂđúĉÖÝšćÜĀøČĂđðúĊę÷îĒðúÜúĆÖþèąÖćøÝšćÜ
Üćî (Removal of Access Right Procedure)
ST-05: öćêøåćîÙüćööĆęîÙÜðúĂéõĆ÷ìćÜÖć÷õćóĒúąÿĉęÜĒüéúšĂö (Standard of

Physical and Environmental Security)
đóČęĂðŜĂÜÖĆîÖćøđ×šćëċÜìćÜÖć÷õćóēé÷ĕöŠĕéšøĆïĂîčâćê ÖćøÖŠĂĔĀšđÖĉéÙüćöđÿĊ÷Āć÷ ĒúąÖćøÖŠĂÖüîĀøČĂ
ĒìøÖĒàÜêŠĂìøĆó÷Ťÿĉî×ĂÜ Öôñ. ĂĊÖìĆĚÜđóČęĂðŜĂÜÖĆîìøĆó÷Ťÿĉî×ĂÜ Öôñ. ÿĎâĀć÷ đÿĊ÷Āć÷ ëĎÖ×ēö÷ ĀøČĂ
ÿćøÿîđìýëĎÖđðŗéđñ÷ēé÷ĕöŠĕéšøĆïĂîčâćê ĒúąÖćøìĞćĔĀšÖĉÝÖøøöÖćøéĞćđîĉîÜćîêŠćÜė ×ĂÜ Öôñ. đÖĉé Öćø
êĉé×ĆéĀøČĂĀ÷čéßąÜĆÖ ēé÷ÖĞćĀîéĔĀšöĊöćêøåćîÙüćööĆęîÙÜðúĂéõĆ÷ìćÜÖć÷õćóĒúąÿĉęÜĒüéúšĂö àċęÜ
ðøąÖĂïéšü÷ 2 đøČęĂÜéĆÜêŠĂĕðîĊĚ
1) ïøĉđüèìĊęêšĂÜöĊÖćøøĆÖþćÙüćööĆęîÙÜðúĂéõĆ÷ (Secure Areas)
2) ÙüćööĆęîÙÜðúĂéõĆ÷×ĂÜĂčðÖøèŤ (Equipment Security)
òść÷ðäĉïĆêĉÖćøđìÙēîēú÷Ċÿćøÿîđìý (Ăðì.)
ĔĀšÙĞ ćðøċ Ö þćĒúąĒîąîĞ ćĒîüìćÜìĊę đÖĊę ÷ü×š Ă ÜÖĆ ï îē÷ïć÷ÙüćööĆę îÙÜðúĂéõĆ ÷ ìćÜÖć÷õćóĒúą
ÿĉęÜĒüéúšĂöĀøČĂðŦâĀćìĊęđÖĊę÷ü×šĂÜ
ÿČęĂÿćøÖĆïñĎšïøĉĀćø×ĂÜ Öôñ. êćöøąéĆï×ĂÜÙüćööĆęîÙÜðúĂéõĆ÷ÿĞćĀøĆïĂčðÖøèŤ ÿĂéÙúšĂÜÖĆï
ÙüćöÿĞćÙĆâ×ĂÜÿćøÿîđìýìĊęĕéšøĆïÖćøðøąöüúñú
êøüÝÿĂïÙüćööĆęîÙÜðúĂéõĆ÷ìćÜÖć÷õćó×ĂÜăćøŤéĒüøŤ (Hardware) àĂôêŤĒüøŤ (Software) Ēúą
ÿćøÿîđìý ìĊęĔßšÜćîĂ÷ĎŠĔî Öôñ.
ÙüïÙčöñĎšðäĉïĆêĉÜćîìĊęìĞćÜćîĔîóČĚîìĊęìĊęĂ÷ŠćÜđ×šöÜüé óøšĂöìĆĚÜĕéšøĆïÖćøòřÖòî Ăïøö éšćîÙüćööĆęîÙÜ
ðúĂéõĆ÷×ĂÜøąïïĂ÷ŠćÜđĀöćąÿöĂ÷ĎŠđÿöĂ
ÝĆéĔĀšöĊÖćøïĞćøčÜøĆÖþćĂčðÖøèŤðøąöüúñúÿćøÿîđìýđðŨîðøąÝĞćìčÖĕêøöćÿ ĀøČĂêćöìĊęĕéšøąïčĔîÙĎŠöČĂ
ÖćøĔßšÜćî×ĂÜĂčðÖøèŤðøąöüúñúÿćøÿîđìý
ÝĆéìĞćđĂÖÿćøøć÷ÖćøÖćøđ×šćÿć÷ (Patch List) đóČęĂðŜĂÜÖĆîÙüćöÿĆïÿî
ÙüïÙčöÖćøðäĉïĆêĉĀîšćìĊęĔîøąĀüŠćÜÖćøïĞćøčÜøĆÖþćĂčðÖøèŤðøąöüúñúÿćøÿîđìýĀøČĂøąïïÿîĆïÿîčî
êŠćÜė óøšĂöìĆĚÜïĆîìċÖðøąüĆêĉĂ÷ŠćÜđðŨîúć÷úĆÖþèŤĂĆÖþø
ìïìüîÿĆââćïĞćøčÜøĆÖþćĂčðÖøèŤðøąöüúñúÿćøÿîđìýĀøČĂøąïïÿîĆïÿîčîêŠćÜėđðŨîðøąÝĞćĂ÷ŠćÜ
îšĂ÷ðŘúąĀîċęÜÙøĆĚÜ
ÿøšćÜÙüćöêøąĀîĆÖĔĀšÖĆïñĎšïøĉĀćøĒúąñĎšðäĉïĆêĉÜćîĔîøąéĆïÖćøïøĉÖćøÙüćööĆęîÙÜðúĂéõĆ÷ÿĞćĀøĆï
ĂčðÖøèŤêŠćÜė
êøüÝÿĂïĂć÷č×ĂÜÿČęĂïĆîìċÖ×šĂöĎúÿćøÿîđìýĂ÷ŠćÜÿöęĞćđÿöĂ
ÖĞćĀîéøą÷ąđüúćÖćøÿŠÜÙČîìøĆó÷Ťÿĉî×ĂÜ Öôñ. óøšĂöìĆĚÜêøüÝÿĂïÿõćó×ĂÜìøĆó÷Ťÿĉî×ĂÜ Öôñ.
ĀúĆÜÝćÖĕéšøĆïÙČîÝćÖñĎšðäĉïĆêĉÜćî

ĀĆüĀîšćýĎî÷ŤÙĂöóĉüđêĂøŤ
ÝĆéĔĀšöĊÖćøÙüïÙčöõć÷ĔîýĎî÷ŤÙĂöóĉüđêĂøŤ
ÝĆéĔĀšöĊÖćøÙüïÙčöÖćøđ×šć-ĂĂÖýĎî÷ŤÙĂöóĉüđêĂøŤ
ÝĆéĔĀšöĊÖćøÙüïÙčöìĊęđĀöćąÿö đóČęĂðŜĂÜÖćøðäĉïĆêĉÜćîĂĆîÖŠĂĔĀšđÖĉéñúÖøąìïêŠĂÙüćööĆęîÙÜðúĂéõĆ÷
éšćîÿćøÿîđìý ĔîøąĀüŠćÜÖćøïĞćøčÜøĆÖþćĂčðÖøèŤðøąöüúñúÿćøÿîđìýĀøČĂøąïïÿîĆïÿîčîêŠćÜė
ÝĆéĔĀšöĊÖćøðŜĂÜÖĆîõĆ÷ÙčÖÙüćöÝćÖõć÷îĂÖĒúąÿĉęÜĒüéúšĂöêŠĂýĎî÷ŤÙĂöóĉüđêĂøŤ
ÝĆéĔĀšöĊÖćøïøĉĀćøÝĆéÖćøĂčðÖøèŤĒúąøąïïÿîĆïÿîčîÖćøìĞćÜćîøąïïÿćøÿîđìýÿćøÿîđìýÿĞćĀøĆï
ýĎî÷ŤÙĂöóĉüđêĂøŤ
ÝĆéĔĀšöĊÖćøïĞćøčÜøĆÖþćøąïïÿîĆïÿîčîÖćøìĞćÜćîêŠćÜė đðŨîðøąÝĞć
ñĎšéĎĒúĀšĂÜÙĂöóĉüđêĂøŤ
ÝĆéĔĀšöĊÖćøÙüïÙčöõć÷ĔîĀšĂÜÙĂöóĉüđêĂøŤ
ÝĆéĔĀšöĊÖćøÙüïÙčöÖćøđ×šć-ĂĂÖĀšĂÜÙĂöóĉüđêĂøŤ
ÝĆéĔĀšöĊÖćøÙüïÙčöìĊęđĀöćąÿö đóČęĂðŜĂÜÖćøðäĉïĆêĉÜćîĂĆîÖŠĂĔĀšđÖĉéñúÖøąìïêŠĂÙüćööĆęîÙÜðúĂéõĆ÷
éšćîÿćøÿîđìý ĔîøąĀüŠćÜÖćøïĞćøčÜøĆÖþćĂčðÖøèŤðøąöüúñúÿćøÿîđìýĀøČĂøąïïÿîĆïÿîčîêŠćÜė
ÝĆéĔĀšöĊÖćøðŜĂÜÖĆîõĆ÷ÙčÖÙüćöÝćÖõć÷îĂÖĒúąÿĉęÜĒüéúšĂöêŠĂĀšĂÜÙĂöóĉüđêĂøŤ
ÝĆéĔĀšöĊÖćøïøĉĀćøÝĆéÖćøĂčðÖøèŤĒúąøąïïÿîĆïÿîčîÖćøìĞćÜćîøąïïÿćøÿîđìýÿćøÿîđìýÿĞćĀøĆï
ĀšĂÜÙĂöóĉüđêĂøŤ
ÝĆéĔĀšöĊÖćøïĞćøčÜøĆÖþćøąïïÿîĆïÿîčîÖćøìĞćÜćîêŠćÜė đðŨîðøąÝĞć
đÝšćĀîšćìĊęøĆÖþćÙüćöðúĂéõĆ÷
êøüÝÿĂïúĆÖþèą×ĂÜìøĆó÷Ťÿĉî×ĂÜ Öôñ. ēé÷đðøĊ÷ïđìĊ÷ïÖĆïđĂÖÿćøÖćøĒÝšÜÙüćöðøąÿÜÙŤĔîÖćø
îĞćĂĂÖ×ĂÜìøĆó÷ŤÿĉîĂ÷ŠćÜúąđĂĊ÷éøĂïÙĂï
ïĆîìċÖÖćøîĞćìøĆó÷ŤÿĉîĂĂÖîĂÖĂćÙćø Öôñ. ìčÖÙøĆĚÜ óøšĂöìĆĚÜøć÷ÜćîÖćøîĞćìøĆó÷ŤÿĉîĂĂÖĕð÷ĆÜ
ñĎšïĆÜÙĆïïĆâßć×ĂÜñĎšĒÝšÜÙüćöðøąÿÜÙŤ
ñĎšéĎĒúýĎî÷ŤÙĂöóĉüđêĂøŤ ĀøČĂñĎšøĆïñĉéßĂïÿëćîìĊę
ÙüïÙčöÖćøđ×šćëċÜìćÜÖć÷õćó×ĂÜýĎî÷ŤÙĂöóĉüđêĂøŤ/ĀšĂÜÙĂöóĉüđêĂøŤĒúąĂčðÖøèŤìĆĚÜĀöéõć÷Ĕî
ýĎî÷ŤÙĂöóĉüđêĂøŤ/ĀšĂÜÙĂöóĉüđêĂøŤ ĂĊÖìĆĚÜñĎšðäĉïĆêĉÜćîĀøČĂñĎšöćêĉéêŠĂðäĉïĆêĉêćööćêøåćîÙüćööĆęîÙÜ
ðúĂéõĆ÷ìćÜÖć÷õćóĒúąÿĉęÜĒüéúšĂö×ĂÜ Öôñ.

ÙüïÙč ö ĔĀš öĊÖ ćøĒúÖïĆ êøìĊę Ĕ ßš ø ąïč êĆü êî×ĂÜïč Ù ÙúîĆĚî ė ĔîÖćøđ×šć -ĂĂÖýĎî ÷Ť Ù Ăöóĉü đêĂøŤ/Āš Ă Ü
ÙĂöóĉüđêĂøŤĒúąìĞćÖćøúÜïĆîìċÖ×šĂöĎúĔîïĆîìċÖñĎšêĉéêŠĂ (Visitor Log Book)
êĉ é ïĆ ê øĂîč â ćêĀøČ Ă ïĆ ê øñĎš êĉ é êŠ Ă êøÜÝč é ìĊę ÿ ćöćøëđĀĘ î ĕéš Ă ÷Š ć ÜßĆ é đÝîêúĂéđüúćìĊę Ă ÷ĎŠ Ĕ îýĎ î ÷Ť
ÙĂöóĉüđêĂøŤ/ĀšĂÜÙĂöóĉüđêĂøŤ
óïđĀĘîñĎšìĊęöĊóùêĉÖøøöîŠćÿÜÿĆ÷Ă÷ĎŠõć÷ĔîĂćÙćøìĊęöĊýĎî÷ŤÙĂöóĉüđêĂøŤ/ĀšĂÜÙĂöóĉüđêĂøŤêĆĚÜĂ÷ĎŠ êšĂÜĒÝšÜ
ĕð÷ĆÜđÝšćĀîšćìĊęøĆÖþćÙüćöðúĂéõĆ÷ēé÷ìĆîìĊ
ĒÝšÜÙüćöðøąÿÜÙŤĔîÖćø×ĂîĞćìøĆó÷Ťÿĉî×ĂÜ Öôñ. ĂĂÖîĂÖÿĞćîĆÖÜćîêŠĂñĎšïĆÜÙĆïïĆâßć óøšĂöìĆĚÜ
ðäĉïĆêĉêćööćêøåćîìĊę Öôñ. ÖĞćĀîéĔîÖćøĔßšĂčðÖøèŤĒïïóÖóćđöČęĂĔßšÜćîîĂÖÿĞćîĆÖÜćî
ñĎšöćêĉéêŠĂ
ĒúÖïĆêøĂîčâćêĀøČĂïĆêøñĎšöćêĉéêŠĂĒúąêšĂÜêĉéïĆêøêøÜÝčéìĊęÿćöćøëđĀĘîĕéšĂ÷ŠćÜßĆéđÝîêúĂéđüúćìĊę
Ă÷ĎŠĔîĂćÙćøìĊęöĊýĎî÷ŤÙĂöóĉüđêĂøŤ/ĀšĂÜÙĂöóĉüđêĂøŤ
êĉ é ïĆ ê øĂîč â ćêĀøČ Ă ïĆ ê øñĎš êĉ é êŠ Ă êøÜÝč é ìĊę ÿ ćöćøëđĀĘ î ĕéš Ă ÷Š ć ÜßĆ é đÝîêúĂéđüúćìĊę Ă ÷ĎŠ Ĕ îýĎ î ÷Ť
ÙĂöóĉüđêĂøŤ/ĀšĂÜÙĂöóĉüđêĂøŤ
5.1 ïøĉđüèìĊęêšĂÜöĊÖćøøĆÖþćÙüćööĆęîÙÜðúĂéõĆ÷ (Secure Areas)
ĔĀšöĊÖćøÝĆéìĞćïøĉđüèúšĂöøĂïóČĚîìĊęÙüïÙčö ÖćøÙüïÙčöÖćøđ×šć-ĂĂÖ ÖćøøĆÖþćÙüćööĆęîÙÜðúĂéõĆ÷ÿĞćĀøĆï
ÿĞćîĆÖÜćî ĀšĂÜìĞćÜćî Ēúą ìøĆó÷ŤÿĉîĂČęîė ÖćøðŜĂÜÖĆîõĆ÷ÙčÖÙćöÝćÖõć÷îĂÖĒúąÿĉęÜĒüéúšĂö ÖćøÙüïÙčö
ÖćøðäĉïĆêĉÜćîĔîóČĚîìĊęìĊęêšĂÜøĆÖþćÙüćööĆęîÙÜðúĂéõĆ÷ ĒúąÖćøÝĆéïøĉđüèÿĞćĀøĆïÖćøđ×šćëċÜĀøČĂÿĞćĀøĆï Öćø
ÿŠÜöĂïñúĉêõĆèæŤēé÷ïčÙÙúõć÷îĂÖ
öćêøåćî
5.1.1 ÖćøÝĆéìĞćïøĉđüèúšĂöøĂï (Physical Security Perimeter)
1) ÖøèĊýĎî÷ŤÙĂöóĉüđêĂøŤ ĀĆüĀîšćýĎî÷ŤÙĂöóĉüđêĂøŤ êšĂÜÝĆéĔĀšöĊÖćøÙüïÙčöýĎî÷ŤÙĂöóĉüđêĂøŤ Ă÷ŠćÜ
îšĂ÷éĆÜêŠĂĕðîĊĚ
x Ă÷ĎŠĔîĂćÙćøìĊęöĊÖćøÖĆĚîïøĉđüèĒúąÝĆéìĞćñîĆÜĀøČĂÖĞćĒóÜúšĂöøĂï

x ÖĞćĒóÜßĆĚîîĂÖ×ĂÜĂćÙćø êšĂÜöĊēÙøÜÿøšćÜìĊęĒ×ĘÜĒøÜ ðøąêĎßĆĚîîĂÖìĆĚÜĀöéêšĂÜöĊÖćøðŜĂÜÖĆî
Öćøđ×šćëċÜēé÷ĕöŠĕéšøĆïĂîčâćêĂ÷ŠćÜĒîŠîĀîćéšü÷ÖúĕÖÙüïÙčö êĆüĂ÷ŠćÜđßŠî ÿĆââćèđêČĂîñĎš
ïčÖøčÖ (Alarms) ĂĊÖìĆĚÜðøąêĎĒúąĀîšćêŠćÜìĊęĂ÷ĎŠßĆĚîúŠćÜêšĂÜĔÿŠÖčâĒÝ (Lock) Ă÷ĎŠêúĂéđüúć
x ïøĉđüèìćÜđ×šć - ĂĂÖ×ĂÜĂćÙćø êšĂÜÝĆéêĆĚÜēêŢąìĞćÖćø×ĂÜñĎšøĆÖþćÙüćöðúĂéõĆ÷ ēé÷
ÖĞćĀîéĔĀšđ×šćĂćÙćøĕéšđÞóćąïčÙÙúìĊęĕéšøĆïĂîčâćêđìŠćîĆĚî
x ñĎšöćêĉéêŠĂêšĂÜĒúÖïĆêøĂîčâćêĀøČĂïĆêøñĎšöćêĉéêŠĂĒúąêšĂÜêĉéïĆêøêøÜÝčéìĊęÿćöćøëđĀĘîĕéš
Ă÷ŠćÜßĆéđÝîêúĂéđüúćìĊęĂ÷ĎŠĔîĂćÙćø ìĆĚÜîĊĚëšćĕöŠðäĉïĆêĉêćöñĎšóïđĀĘîêšĂÜĒÝšÜĕð÷ĆÜòść÷øĆÖþć
ÙüćöðúĂéõĆ÷ĔĀšìøćïēé÷ìĆîìĊ
x ðøąêĎĀîĊĕô×ĂÜĂćÙćø êšĂÜĕöŠÿćöćøëđðŗéðøąêĎÝćÖõć÷îĂÖĂćÙćøĕéš ĀøČĂöĊøąïïĒÝšÜ
đêČĂîÖćøïčÖøčÖ óøšĂöìĆĚÜìéÿĂïøąïïĒÝšÜđêČĂîđðŨîðøąÝĞćìčÖĕêøöćÿ
x ýĎî÷ŤÙĂöóĉüđêĂøŤ êšĂÜĂ÷ĎŠĔîóČĚîìĊęđÞóćąàċęÜöĊñîĆÜúšĂöøĂïĒúąöĊðøąêĎìćÜđ×šć - ĂĂÖĂĊÖ
ßĆĚîĀîċęÜ ēé÷ðøąêĎìćÜđ×šć - ĂĂÖ×ĂÜýĎî÷ŤÙĂöóĉüđêĂøŤêšĂÜöĊÖćøðŜĂÜÖĆîÖćøđ×šćëċÜĂ÷ŠćÜĒîŠî
Āîćéšü÷ÖúĕÖÙüïÙčö êĆüĂ÷ŠćÜđßŠî ÿĆââćèđêČĂîñĎšïčÖøčÖ (Alarms)
x êšĂÜöĊÖćøÝĆéýĎî÷ŤÙĂöóĉüđêĂøŤĔĀšđðŨîÿĆéÿŠüî ēé÷ĒïŠÜđðŨîÿŠüîøąïïđÙøČęĂÜÙĂöóĉüđêĂøŤĒöŠ
×Šć÷ (Server zone) ÿŠüîøąïïđÙøČĂ×Šć÷ (Network zone) ĒúąÿŠüîóČĚîìĊęðäĉïĆêĉÜćîÿĞćĀøĆï
đÝšćĀîšćìĊęýĎî÷ŤÙĂöóĉüđêĂøŤ ìĆĚÜîĊĚêšĂÜöĊðøąêĎìćÜđ×šć - ĂĂÖ đÞóćąÿĞćĀøĆïÿŠüîøąïïđÙøČęĂÜ
ÙĂöóĉüđêĂøŤĒöŠ×Šć÷ (Server zone) ĒúąÿŠüîøąïïđÙøČĂ×Šć÷ (Network zone)
x õć÷ĔîýĎ î ÷Ť Ù Ăöóĉ ü đêĂøŤ êš Ă ÜĒïŠ Ü óČĚ î ìĊę Ĕ Āš đ ðŨ î ÿĆ é ÿŠ ü î ēé÷Ē÷ÖĂč ð ÖøèŤ ð øąöüúñú
ÿćøÿîđìýìĊęéĎĒúēé÷ Öôñ. ĂĂÖÝćÖĂčðÖøèŤðøąöüúñúÿćøÿîđìýìĊęéĎĒúēé÷ĀîŠü÷Üćî
õć÷îĂÖĂ÷ŠćÜßĆéđÝî
x õć÷ĔîýĎî÷ŤÙĂöóĉüđêĂøŤ êšĂÜöĊÖćøêĉéêĆĚÜÖúšĂÜüÜÝøðŗéĔĀšÙøĂïÙúčöóČĚîìĊęìĊęÿĞćÙĆâìĆĚÜĀöé
õć÷ĔîýĎî÷ŤÙĂöóĉüđêĂøŤ
2) ÖøèĊĀšĂÜÙĂöóĉüđêĂøŤ ñĎšéĎĒúĀšĂÜÙĂöóĉüđêĂøŤ êšĂÜÝĆéĔĀšöĊÖćøÙüïÙčöĀšĂÜÙĂöóĉüđêĂøŤ Ă÷ŠćÜîšĂ÷
x Ă÷ĎŠĔîĂćÙćøìĊęöĊÖćøÖĆĚîïøĉđüèĒúąÝĆéìĞćñîĆÜĀøČĂÖĞćĒóÜúšĂöøĂï ēé÷êšĂÜöĊÖćøðŜĂÜÖĆîÖćø
đ×šćëċÜēé÷ĕöŠĕéšøĆïĂîčâćê
x ðøąêĎĀîĊĕô×ĂÜĂćÙćø êšĂÜĕöŠÿćöćøëđðŗéðøąêĎÝćÖõć÷îĂÖĂćÙćøĕéš ĀøČĂöĊøąïïĒÝšÜ
đêČĂîÖćøïčÖøčÖ óøšĂöìĆĚÜìéÿĂïøąïïĒÝšÜđêČĂîđðŨîðøąÝĞćìčÖĕêøöćÿ
x óČĚîìĊęĀšĂÜÙĂöóĉüđêĂøŤ êšĂÜöĊñîĆÜúšĂöøĂïĒúąöĊðøąêĎìćÜđ×šć - ĂĂÖĂĊÖßĆĚîĀîċęÜ ēé÷ðøąêĎ
ìćÜđ×šć – ĂĂÖ×ĂÜĀšĂÜÙĂöóĉüđêĂøŤêšĂÜöĊÖćøðŜĂÜÖĆîÖćøđ×šćëċÜĂ÷ŠćÜĒîŠîĀîć
5.1.2 ÖćøÙüïÙčöÖćøđ×šć-ĂĂÖ (Physical Entry Controls)

1) ÖøèĊýĎî÷ŤÙĂöóĉüđêĂøŤ ĀĆüĀîšćýĎî÷ŤÙĂöóĉüđêĂøŤ êšĂÜÝĆéĔĀšöĊÖćøÙüïÙčöÖćøđ×šć-ĂĂÖýĎî÷Ť
ÙĂöóĉüđêĂøŤ Ă÷ŠćÜîšĂ÷éĆÜêŠĂĕðîĊĚ
x ïøĉđüèìćÜđ×šć - ĂĂÖ×ĂÜĂćÙćøýĎî÷ŤÙĂöóĉüđêĂøŤêšĂÜÝĆéêĆĚÜēêŢąìĞćÖćø×ĂÜñĎšøĆÖþćÙüćö
ðúĂéõĆ ÷ ĒúąöĊ ÖćøÖĞćĀîéĔĀšđ×šćýĎî÷ŤÙ ĂöóĉüđêĂøŤĕéš đÞóćąïčÙ ÙúìĊęĕéšøĆ ïĂîčâćêÝćÖ
ĀĆüĀîšćýĎî÷ŤÙĂöóĉüđêĂøŤđìŠćîĆĚî
x ĀĆüĀîšćýĎî÷ŤÙĂöóĉüđêĂøŤ êšĂÜÖĞćĀîéÿĉìíĉñĎšðäĉïĆêĉÜćîĀøČĂĀîŠü÷Üćîõć÷îĂÖìĊęöĊÿĉìíĉñŠćî
đ×šć - ĂĂÖýĎî÷ŤÙĂöóĉüđêĂøŤĒúąßŠüÜđüúćìĊęöĊÿĉìíĉñŠćîđ×šć - ĂĂÖýĎî÷ŤÙĂöóĉüđêĂøŤĂ÷ŠćÜđðŨî
úć÷úĆÖþèŤĂĆÖþø
x ĀĆüĀîšćýĎî÷ŤÙĂöóĉüđêĂøŤ êšĂÜìïìüîÿĉìíĉñŠćîđ×šć - ĂĂÖýĎî÷ŤÙĂöóĉüđêĂøŤđðŨîðøąÝĞćìčÖ
ĕêøöćÿ
x ðøąêĎïøĉđüèìćÜđ×šć - ĂĂÖ×ĂÜýĎî÷ŤÙĂöóĉüđêĂøŤêšĂÜöĊøąïïóĉÿĎÝîŤêĆüêîìĊęöĊÖćøøĆÖþćÙüćö
öĆęîÙÜðúĂéõĆ÷Ă÷ŠćÜĒîŠîĀîć đßŠî ÖćøĔßšïĆêøñŠćîđÞóćąïčÙÙú (Access Card) øŠüöÖĆï
øĀĆÿñŠćîđÞóćąïčÙÙú (PIN) ĀøČĂøąïïêøüÝÿĂïúć÷îĉĚüöČĂ øŠüöÖĆïøĀĆÿñŠćîđÞóćąïčÙÙú
(PIN) đðŨîêšî óøšĂöìĆĚÜêšĂÜöĊÖćøÝĆéđÖĘï éĎĒúøĆÖþćðøąüĆêĉÖćøđ×šćëċÜ×ĂÜøąïïóĉÿĎÝîŤêĆüêî
ĕüšĂ÷ŠćÜîšĂ÷ 6 đéČĂî
x Öćøđ×šćýĎî÷ŤÙĂöóĉüđêĂøŤēé÷ñĎšöćêĉéêŠĂ ñĎšéĎĒúýĎî÷ŤÙĂöóĉüđêĂøŤ êšĂÜĔĀšöĊÖćøĒúÖïĆêøìĊęĔßš
øąïčêĆüêî×ĂÜïčÙÙúîĆĚîė ĒúąìĞćÖćøúÜïĆîìċÖ×šĂöĎúĔîïĆîìċÖñĎšêĉéêŠĂ (Visitor Log Book)
ēé÷ĀĆüĀîšćýĎî÷ŤÙĂöóĉüđêĂøŤ êšĂÜÝĆéĔĀšöĊïĆîìċÖñĎšöćêĉéêŠĂ (Visitor Log Book) àċęÜïĆîìċÖ
×šĂöĎúøć÷úąđĂĊ÷é ÖćøêĉéêŠĂéĆÜêŠĂĕðîĊĚ
o ßČęĂĒúąîćöÿÖčúñĎšöćêĉéêŠĂ
o ßČęĂ×ĂÜĀîŠü÷ÜćîĀøČĂĂÜÙŤÖøñĎšöćêĉéêŠĂ
o ñĎšðäĉïĆêĉÜćîìĊęöĊĀîšćìĊęøĆïñĉéßĂïĔîøąĀüŠćÜÖćøêĉéêŠĂ
o ÝčéðøąÿÜÙŤĔîÖćøêĉéêŠĂ
o üĆîĒúąđüúćìĊęđ×šćöćêĉéêŠĂ
o üĆîĒúąđüúćìĊęđÿøĘÝÿĉĚîÖćøêĉéêŠĂ
o úć÷đàĘîñĎšêĉéêŠĂ
x ĀĆüĀîšćýĎî÷ŤÙĂöóĉüđêĂøŤ êšĂÜêøüÝÿĂïÙüćöëĎÖêšĂÜÙøïëšüî×ĂÜïĆîìċÖÖćøêĉéêŠĂ (Visitor
Log Book) đðŨîðøąÝĞćìčÖđéČĂî
x ĀĆüĀîšćýĎî÷ŤÙĂöóĉüđêĂøŤ êšĂÜÝĆéđÖĘïïĆîìċÖÖćøêĉéêŠĂ (Visitor Log Book) ĕüšĂ÷ŠćÜîšĂ÷ 6
đéČĂî

x ñĎšðäĉïĆêĉÜćîĒúąñĎšöćêĉéêŠĂ êšĂÜêĉéïĆêøĂîčâćêĀøČĂïĆêøñĎšêĉéêŠĂêøÜÝčéìĊęÿćöćøëđĀĘîĕéšĂ÷ŠćÜ
ßĆéđÝîêúĂéđüúćìĊęĂ÷ĎŠĔîýĎî÷ŤÙĂöóĉüđêĂøŤ ìĆĚÜîĊĚëšćĕöŠðäĉïĆêĉêćöñĎš óïđĀĘ îêšĂÜĒÝšÜĕð÷ĆÜ
đÝšćĀîšćìĊęøĆÖþćÙüćöðúĂéõĆ÷ĔĀšìøćïēé÷ìĆîìĊ
2) ÖøèĊ Āš Ă ÜÙĂöóĉ ü đêĂøŤ ñĎš éĎ Ē úĀš Ă ÜÙĂöóĉ ü đêĂøŤ êš Ă ÜÝĆ é ĔĀš öĊ Ö ćøÙüïÙč ö Öćøđ×š ć -ĂĂÖĀš Ă Ü
x ñĎšéĎĒúĀšĂÜÙĂöóĉüđêĂøŤ êšĂÜÖĞćĀîéÿĉìíĉñĎšðäĉïĆêĉÜćîĀøČĂĀîŠü÷Üćîõć÷îĂÖìĊęöĊÿĉìíĉñŠćîđ×šć
- ĂĂÖĀšĂÜÙĂöóĉüđêĂøŤĒúąßŠüÜđüúćìĊęöĊÿĉìíĉñŠćîđ×šć - ĂĂÖĀšĂÜÙĂöóĉüđêĂøŤĂ÷ŠćÜđðŨîúć÷
úĆÖþèŤĂĆÖþø
x ñĎšéĎĒúĀšĂÜÙĂöóĉüđêĂøŤ êšĂÜìïìüîÿĉìíĉñŠćîđ×šć - ĂĂÖĀšĂÜÙĂöóĉüđêĂøŤđðŨîðøąÝĞćìčÖĕêø
öćÿ
x ĀšĂÜÙĂöóĉüđêĂøŤêšĂÜöĊÖćøÙüïÙčöÖćøđ×šćĂĂÖ đßŠî öĊÖčâĒÝúĘĂÙ ĀøČĂĔßšïĆêøñŠćîđÞóćą
ïčÙÙú (Access Card) đðŨîêšî
x Öćøđ×šćĀšĂÜÙĂöóĉüđêĂøŤēé÷ñĎšöćêĉéêŠĂ ñĎšéĎĒúĀšĂÜÙĂöóĉüđêĂøŤ êšĂÜĔĀšöĊÖćøĒúÖïĆêøìĊęĔßš
øąïčêĆüêî×ĂÜïčÙÙúîĆĚîė ĒúąìĞćÖćøúÜïĆîìċÖ×šĂöĎúĔîïĆîìċÖñĎšêĉéêŠĂ (Visitor Log Book)
ēé÷ñĎšéĎĒúĀšĂÜÙĂöóĉüđêĂøŤ êšĂÜÝĆéĔĀšöĊïĆîìċÖñĎšöćêĉéêŠĂ (Visitor Log Book) àċęÜïĆîìċÖ
×šĂöĎúøć÷úąđĂĊ÷é ÖćøêĉéêŠĂéĆÜêŠĂĕðîĊĚ
o ßČęĂĒúąîćöÿÖčúñĎšöćêĉéêŠĂ
o ßČęĂ×ĂÜĀîŠü÷ÜćîĀøČĂĂÜÙŤÖøñĎšöćêĉéêŠĂ
o ñĎšðäĉïĆêĉÜćîìĊęöĊĀîšćìĊęøĆïñĉéßĂïĔîøąĀüŠćÜÖćøêĉéêŠĂ
o ÝčéðøąÿÜÙŤĔîÖćøêĉéêŠĂ
o üĆîĒúąđüúćìĊęđ×šćöćêĉéêŠĂ
o üĆîĒúąđüúćìĊęđÿøĘÝÿĉĚîÖćøêĉéêŠĂ
o úć÷đàĘîñĎšêĉéêŠĂ
x ñĎšéĎĒúĀšĂÜÙĂöóĉüđêĂøŤ êšĂÜêøüÝÿĂïÙüćöëĎÖêšĂÜÙøïëšüî×ĂÜïĆîìċÖÖćøêĉéêŠĂ (Visitor
Log Book) đðŨîðøąÝĞćìčÖđéČĂî
x ñĎšéĎĒúĀšĂÜÙĂöóĉüđêĂøŤ êšĂÜÝĆéđÖĘïïĆîìċÖÖćøêĉéêŠĂ (Visitor Log Book) ĕüšĂ÷ŠćÜîšĂ÷ 6
đéČĂî
5.1.3 ÖćøøĆ Ö þćÙüćööĆę î ÙÜðúĂéõĆ ÷ ÿĞ ć ĀøĆ ï ÿĞ ć îĆ Ö Üćî Āš Ă ÜìĞ ć Üćî ĒúąìøĆ ó ÷Ť ÿĉ î ĂČę î ė (Securing
Offices, Rooms, and Facilities)
1) ĂčðÖøèŤðøąöüúñúÿćøÿîđìý ĒúąÿČęĂïĆîìċÖ×šĂöĎúĒïïĂĉđúĘÖìøĂîĉÖÿŤ Ă÷ŠćÜđßŠî àĊéĊ đìð
ĒñŠîéĉÿÖŤ êšĂÜĕöŠĒÿéÜðŜć÷àċęÜïŠÜïĂÖëċÜüĆêëčðøąÿÜÙŤ×ĂÜĂčðÖøèŤéĆÜÖúŠćüĂ÷ŠćÜßĆéĒÝšÜ
2) ĀšĂÜìĞćÜćîÿŠüîêĆü ÿĞćĀøĆïøąéĆïĀĆüĀîšćÖĂÜ×ċĚîĕð êšĂÜöĊÖćøðŗéĔÿŠÖčâĒÝ (Lock) đöČęĂĕöŠĂ÷ĎŠõć÷Ĕî
ĀšĂÜìĞćÜćî
3) ĂčðÖøèŤðøąöüúñúÿćøÿîđìýÿĞćîĆÖÜćîêšĂÜÝĆéüćÜĂ÷ĎŠĔîóČĚîìĊęêćöĀîŠü÷ÜćîìĊęĕéšøĆïÖćøÝĆéÿøøēé÷
ĂîčâćêĔĀšđ×šćëċÜĕéšđÞóćąñĎšìĊęĕéšøĆïĂîčâćêđìŠćîĆĚî
4) ĔîøąĀüŠćÜÖćøïĞćøčÜøĆÖþćĂčðÖøèŤðøąöüúñúÿćøÿîđìýĀøČĂøąïïÿîĆïÿîčîêŠćÜė ĀĆüĀîšćÜćî
ÿćøÿîđìý ĀĆüĀîšćýĎî÷ŤÙĂöóĉüđêĂøŤĀøČĂñĎšéĎĒúĀšĂÜÙĂöóĉüđêĂøŤ êšĂÜÝĆéĔĀšöĊÖćøÙüïÙčöìĊę
đĀöćąÿö đóČęĂðŜĂÜÖćøðäĉïĆêĉÜćîĂĆîÖŠĂĔĀšđÖĉéñúÖøąìïêŠĂÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý
5.1.4 ÖćøðŜĂÜÖĆîõĆ÷ÙčÖÙüćöÝćÖõć÷îĂÖĒúąÿĉęÜĒüéúšĂö (Protecting Against External and

Environmental Threats)
1) ÖøèĊýĎî÷ŤÙĂöóĉüđêĂøŤ ĀĆüĀîšćýĎî÷ŤÙĂöóĉüđêĂøŤ êšĂÜÝĆéĔĀšöĊÖćøðŜĂÜÖĆîõĆ÷ÙčÖÙüćöÝćÖõć÷îĂÖ
ĒúąÿĉęÜĒüéúšĂöêŠĂýĎî÷ŤÙĂöóĉüđêĂøŤ Ă÷ŠćÜîšĂ÷éĆÜêŠĂĕðîĊĚ
x êšĂÜÝĆéĔĀšöĊÖćøðŜĂÜÖĆîĕôĕĀöš đßŠî đÙøČęĂÜêøüÝÝĆïÙüćöøšĂî ĒúąđÙøČęĂÜêøüÝÝĆïÙüĆî đðŨî
êšî
x öĊĂčðÖøèŤéĆïđóúĉÜĂ÷ŠćÜóĂđóĊ÷ÜĒúąêĉéêĆĚÜĂ÷ĎŠĔîÝčéìĊęÿąéüÖĒÖŠÖćøĔßšÜćîĒúąóøšĂöĔßšÜćî
x öĊøąïïéĆïđóúĉÜĂĆêēîöĆêĉ đßŠî øąïïéĆïđóúĉÜĒïï FM - 200 ĀøČĂøąïïéĆïđóúĉÜéšü÷îĚĞćßîĉé
Dry Pipe đðŨîêšî
x öĊøąïïðŜĂÜÖĆîĕôôŜć×Ćé×šĂÜ đßŠî øąïïÿĞćøĂÜĕôôŜć (UPS) ĒúąĀøČĂøąïïÖĞćđîĉéĕôôŜć
(Generator) đðŨîêšî
x öĊøąïïÙüïÙčöĂčèĀõĎöĉĒúąÙüćößČĚî ēé÷ĂčèĀõĎöĉĒúąÙüćößČĚîêšĂÜĂ÷ĎŠĔîøąéĆïìĊęđĀöćąÿö
ÖĆïĂčðÖøèŤðøąöüúñúÿćøÿîđìýìĊęÝĆéĂ÷ĎŠĔîýĎî÷ŤÙĂöóĉüđêĂøŤ
x öĊøąïïêøüÝÝĆïîĚĞćøĆęüĒúąöĊÖćø÷ÖøąéĆïóČĚî×ĂÜýĎî÷ŤÙĂöóĉüđêĂøŤ
x öĊÖćøìéÿĂïøąïïéĆïđóúĉÜĂĆêēîöĆêĉ øąïïðŜĂÜÖĆîĕôôŜć×Ćé×šĂÜ øąïïÙüïÙčöĂčèĀõĎöĉĒúą
ÙüćößČĚî ĒúąøąïïêøüÝÝĆïîĚĞćøĆęü đðŨîðøąÝĞćìčÖĕêøöćÿ
x öĊøąïïĀøČĂÖøąïüîÖćø ĔîÖćøðŗéÖćøìĞćÜćîÞčÖđÞĉîÿĞćĀøĆïĂčðÖøèŤðøąöüúñúÿćøÿîđìý
đöČęĂøąïïĕôôŜćÿĞćøĂÜöĊÖøąĒÿĕôôŜćđĀúČĂĂ÷ĎŠĔîÝĞćîüîÝĞćÖĆéđóČęĂðŜĂÜÖĆîÙüćöđÿĊ÷Āć÷ĂĆî
đÖĉéÝćÖĂčðÖøèŤðøąöüúñúÿćøÿîđìýĕöŠĕéšøĆïÖćøðŗéÖćøìĞćÜćîĕéšìĆîìŠüÜìĊ
x êšĂÜöĊÖćøøąöĆéøąüĆÜöĉĔĀšöĊüĆêëčìĊęđðŨîĂĆîêøć÷ĂĆîĂćÝÝąÖŠĂĔĀšđÖĉéđóúĉÜĕĀöšĒúąüĆÿéčìĊęêĉéĕô
ĕéšÜŠć÷ êĆĚÜĂ÷ĎŠĔîýĎî÷ŤÙĂöóĉüđêĂøŤ
2) ÖøèĊĀšĂÜÙĂöóĉüđêĂøŤ ñĎšéĎĒúĀšĂÜÙĂöóĉüđêĂøŤ êšĂÜÝĆéĔĀšöĊÖćøðŜĂÜÖĆîõĆ÷ÙčÖÙüćöÝćÖõć÷îĂÖ
ĒúąÿĉęÜĒüéúšĂöêŠĂĀšĂÜÙĂöóĉüđêĂøŤ Ă÷ŠćÜîšĂ÷éĆÜêŠĂĕðîĊĚ

x êšĂÜÝĆéĔĀšöĊÖćøðŜĂÜÖĆîĕôĕĀöš đßŠî đÙøČęĂÜêøüÝÝĆïÙüćöøšĂî ĒúąđÙøČęĂÜêøüÝÝĆïÙüĆî đðŨî
êšî
x öĊĂčðÖøèŤéĆïđóúĉÜĂ÷ŠćÜóĂđóĊ÷ÜĒúąêĉéêĆĚÜĂ÷ĎŠĔîÝčéìĊęÿąéüÖĒÖŠÖćøĔßšÜćîĒúąóøšĂöĔßšÜćî
x êšĂÜöĊÖćøøąöĆéøąüĆÜöĉĔĀšöĊüĆêëčìĊęđðŨîĂĆîêøć÷ĂĆîĂćÝÝąÖŠĂĔĀšđÖĉéđóúĉÜĕĀöšĒúąüĆÿéčìĊęêĉéĕô
ĕéšÜŠć÷ êĆĚÜĂ÷ĎŠĔîĀšĂÜÙĂöóĉüđêĂøŤ
5.1.5 ÖćøðäĉïĆêĉÜćîĔîóČĚîìĊęìĊęêšĂÜøĆÖþćÙüćööĆęîÙÜðúĂéõĆ÷ (Working in Secure Areas)

1) ñĎš ð äĉ ïĆ êĉ Ü ćîìĊę ó ïđĀĘ î ñĎš ìĊę öĊ ó ùêĉ Ö øøöîŠ ć ÿÜÿĆ ÷ Ă÷ĎŠ õ ć÷ĔîĂćÙćøìĊę öĊ ýĎ î ÷Ť Ù Ăöóĉ ü đêĂøŤ Ē úąĀš Ă Ü
ÙĂöóĉüđêĂøŤ êĆĚÜĂ÷ĎŠêšĂÜĒÝšÜĕð÷ĆÜđÝšćĀîšćìĊęøĆÖþćÙüćöðúĂéõĆ÷ēé÷ìĆîìĊ
2) ĀšćöÿĎïïčĀøĊę øĆïðøąìćîĂćĀćøĒúąéČęöîĚĞćõć÷ĔîýĎî÷ŤÙĂöóĉüđêĂøŤĒúąĀšĂÜÙĂöóĉüđêĂøŤ
3) ĀšćöîĞćĂčðÖøèŤìĊęïĆîìċÖøĎðõćó üĊéĊìĆýîŤ ĀøČĂđÿĊ÷Ü ĒúąÿČęĂïĆîìċÖßîĉéđÙúČęĂîìĊę đ×šćĕðõć÷ĔîýĎî÷Ť
ÙĂöóĉüđêĂøŤĒúąĀšĂÜÙĂöóĉüđêĂøŤ ÷ÖđüšîđöČęĂøĆïĂîčâćêĂ÷ŠćÜđðŨîúć÷úĆÖþèŤĂĆÖþøÝćÖĀĆüĀîšć
ýĎî÷ŤÙĂöóĉüđêĂøŤĀøČĂñĎšéĎĒúĀšĂÜÙĂöóĉüđêĂøŤ đìŠćîĆĚî
5.1.6 ÖćøÝĆéïøĉđüèÿĞćĀøĆïÖćøđ×šćëċÜ ĀøČĂÖćøÿŠÜöĂïñúĉêõĆèæŤēé÷ïčÙÙúõć÷îĂÖ (Public Access,

Delivery, and Loading Areas)
1) ýĎî÷ŤÙĂöóĉüđêĂøŤ êšĂÜöĊïøĉđüèÿĞćĀøĆïÖćøđ×šćëċÜĀøČĂÖćøÿŠÜöĂïñúĉêõĆèæŤēé÷ïčÙÙúõć÷îĂÖ
đóČęĂĔĀšĀîŠü÷ÜćîìĊęÿŠÜöĂï (Supplier) ÿćöćøëÿŠÜöĂïñúĉêõĆèæŤēé÷ĕöŠÝĞćđðŨîêšĂÜđ×šćëċÜĔîïøĉđüè
ĂČęîė×ĂÜýĎî÷ŤÙĂöóĉüđêĂøŤ
2) ÖŠĂîÝąđÙúČęĂî÷šć÷ñúĉêõĆèæŤÝćÖïøĉđüèÿĞćĀøĆïÖćøđ×šćëċÜĀøČĂÖćøÿŠÜöĂïĕð÷ĆÜÝčéìĊęêĉéêĆĚÜĔßšÜćîÝøĉÜ
ĀĆüĀîšćýĎî÷ŤÙĂöóĉüđêĂøŤ êšĂÜêøüÝÿĂïñúĉêõĆèæŤüŠćñúĉêõĆèæŤéĆÜÖúŠćüĂćÝÝąÖŠĂĔĀšđÖĉéÙüćö
đÿĊ÷Āć÷êŠĂýĎî÷ŤÙĂöóĉüđêĂøŤĀøČĂĕöŠ
1) PD-06 ×ĆĚîêĂîÖćøðäĉïĆêĉÜćîđøČęĂÜ Öćø×ĂĂîčâćêđ×šć – ĂĂÖýĎî÷ŤÙĂöóĉüđêĂøŤ (Data Center
Access Request Procedure)
2) PD-07 ×ĆĚîêĂîÖćøðäĉïĆêĉÜćîđøČęĂÜ ÖćøÿĂïìćîÖćøđ×šć – ĂĂÖýĎî÷ŤÙĂöóĉüđêĂøŤ/ĀšĂÜÙĂöóĉüđêĂøŤ
(Data Center Access Review Procedure)

5.2 ÙüćööĆęîÙÜðúĂéõĆ÷×ĂÜĂčðÖøèŤ (Equipment Security)
ëšĂ÷ĒëúÜîē÷ïć÷ (Policy Statement)

ĔĀšöĊÖćøÙüïÙčöÖćøÝĆéüćÜĒúąðŜĂÜÖĆîĂčðÖøèŤ ÖćøÝĆéÖćøøąïïÿćøÿîđìýĒúąĂčðÖøèŤÿîĆïÿîčîÖćøìĞćÜćî
ÖćøÙüïÙčöÖćøđéĉîÿć÷ĕôĒúąÿćøÿČęĂÿćø ÖćøïĞćøčÜøĆÖþćĂčðÖøèŤ ÖćøðŜĂÜÖĆîĂčðÖøèŤìĊęĔßšÜćîÝćÖõć÷îĂÖ
Öôñ. ÖćøÙüïÙčöÖćøÖĞćÝĆéĂčðÖøèŤĒúąÖćøîĞćÖúĆïöćĔßšÜćî ĒúąÖćøÙüïÙčöÖćøîĞćìøĆó÷ŤÿĉîĂĂÖîĂÖ
ÿĞćîĆÖÜćî
öćêøåćî
5.2.1 ÖćøÝĆéüćÜĒúąÖćøðŜĂÜÖĆîĂčðÖøèŤ (Equipment Siting and Protection)
1) ĂčðÖøèŤðøąöüúñúÿćøÿîđìýÿĞćîĆÖÜćî êšĂÜÝĆéüćÜĂ÷ĎŠĔîóČĚîìĊęêćöĀîŠü÷ÜćîìĊęĕéšøĆïÖćøÝĆéÿøø
ēé÷ĂîčâćêĔĀšđ×šćëċÜĕéšđÞóćąñĎšìĊęĕéšøĆïĂîčâćêđìŠćîĆĚî
2) ĂčðÖøèŤðøąöüúñúÿćøÿîđìýÿĞćîĆÖÜćî êšĂÜÝĆéüćÜĂ÷ĎŠĔîóČĚîìĊęĒúąÿõćóĒüéúšĂöìĊęđĀöćąÿöêćö
ÙĎŠöČĂÖćøĔßšÜćî×ĂÜđÝšć×ĂÜñúĉêõĆèæŤ
3) ĂčðÖøèŤĒÿéÜñúÿćøÿîđìý Ă÷ŠćÜđßŠî ÝĂÙĂöóĉüđêĂøŤĒúąđÙøČęĂÜóĉöóŤ êšĂÜÝĆéüćÜĂ÷ŠćÜđĀöćąÿö
đóČęĂúéÙüćöđÿĊę÷ÜÝćÖÖćøđ×šćëċÜÿćøÿîđìýēé÷ĕöŠĕéšøĆïĂîčâćê
4) ĂčðÖøèŤÙĂöóĉüđêĂøŤĒúąĂčðÖøèŤÿĞćîĆÖÜćî êšĂÜĕéšøĆïÖćøðŜĂÜÖĆîÖćøÿĎâĀć÷Ă÷ŠćÜđĀöćąÿö đßŠî
ÖćøĔßšÿć÷úŢĂÙĂčðÖøèŤ đðŨîêšî
5) ĂćÙćøìĊęöĊĂčðÖøèŤ ðøąöüúñúÿćøÿîđìýêĉ éêĆĚ ÜĂ÷ĎŠ êš ĂÜöĊøąïïÖøĂÜÖøąĒÿĕôôŜć (Stabilizer
System) đóČęĂðŜĂÜÖĆîÙüćöđÿĊ÷Āć÷ĂĆîđÖĉéÝćÖøąïïĕôôŜć
5.2.2 ĂčðÖøèŤĒúąøąïïÿîĆïÿîčîÖćøìĞćÜćî (Supporting Utilities)

1) ĀĆüĀîšćýĎî÷ŤÙĂöóĉüđêĂøŤ ĒúąñĎšéĎĒúĀšĂÜÙĂöóĉüđêĂøŤ êšĂÜÝĆéĔĀšöĊÖćøïøĉĀćøÝĆéÖćøĂčðÖøèŤĒúą
øąïïÿîĆ ï ÿîč î ÖćøìĞ ć ÜćîøąïïÿćøÿîđìýÿćøÿîđìýÿĞ ć ĀøĆ ï ýĎ î ÷Ť Ù Ăöóĉ ü đêĂøŤ Ē úąĀš Ă Ü
x ÝĆéĔĀšöĊĂčðÖøèŤĒúąøąïïÿîĆïÿîčîÖćøìĞćÜćîêŠćÜė đßŠî øąïïĕôôŜć øąïïĕôôŜćÿĞćøĂÜ
øąïïîĚĞć øąïïðøĆïĂćÖćý øąïïøąïć÷ĂćÖćý Ēúąøąïïÿć÷ÿČęĂÿćøÿĞćøĂÜ Ă÷ŠćÜđóĊ÷ÜóĂ
đóČęĂÿîĆïÿîčîÖćøìĞćÜćî×ĂÜĂčðÖøèŤðøąöüúñúÿćøÿîđìý
x ÝĆéĔĀšöĊÖćøìéÿĂïÙüćöóøšĂöĔßš×ĂÜĂčðÖøèŤĒúąøąïïÿîĆïÿîčî ÖćøìĞćÜćîêŠćÜė đßŠî
øąïïĕôôŜć øąïïĕôôŜćÿĞćøĂÜ øąïïîĚĞć øąïïðøĆïĂćÖćý øąïïøąïć÷ĂćÖćý Ēúąøąïï
ÿć÷ÿČęĂÿćøÿĞćøĂÜ đðŨîðøąÝĞćìčÖĕêøöćÿ

x ÝĆéĔĀšöĊßŠĂÜìćÜÿČęĂÿćøĀúĆÖĂ÷ŠćÜîšĂ÷ 2 ßŠĂÜìćÜ đóČęĂĔßšìéĒìî đöČęĂßŠĂÜìćÜÿČęĂÿćø
ßŠĂÜìćÜĔéßŠĂÜìćÜĀîċęÜĕöŠÿćöćøëĔßšÜćîĕéšêćöðÖêĉ
5.2.3 ÖćøÙüïÙčöÖćøđéĉîÿć÷ĕô ÿć÷ÿČęĂÿćø Ēúąÿć÷đÙđïĉĚúĂČęîė (Cabling Security)

1) ÿć÷ĕôôŜćĒúąÿć÷ÿČęĂÿćøÿĞćĀøĆïĂčðÖøèŤðøąöüúñúÿćøÿîđìýêšĂÜüćÜÿć÷õć÷ĔîìŠĂ øćÜøšĂ÷
ÿć÷ ĀøČĂĕéšøĆïÖćøðŜĂÜÖĆîēé÷üĉíĊĂČęîìĊęđĀöćąÿö đóČęĂĀúĊÖđúĊę÷ÜÝćÖÖćøđÖĉéÙüćöđÿĊ÷Āć÷ ĀøČĂÖćø
đ×šćëċÜēé÷ñĎšìĊęĕöŠĕéšøĆïĂîčâćê
2) ĔîÖøèĊìĊęöĊÙüćöÝĞćđðŨîêšĂÜüćÜÿć÷ĕôôŜćĒúąÿć÷ÿČęĂÿćøÿĞćĀøĆïĂčðÖøèŤðøąöüúñúÿćøÿîđìýĂ÷ĎŠ
ĔêšéĉîêšĂÜöĊðŜć÷ïŠÜßĊĚëċÜĒîüÿć÷ đóČęĂðŜĂÜÖĆïÙüćöđÿĊ÷Āć÷ìĊęđÖĉéÝćÖÖćø×čéđÝćą
3) ÿć÷ĕôêšĂÜĒ÷ÖÝćÖÿć÷ÿČęĂÿćøĔîøą÷ąìĊęđĀöćąÿöđóČęĂðŜĂÜÖĆîÖćøøïÖüî×ĂÜÿĆââćè
4) ÿć÷ĕô ÿć÷ÿČęĂÿćø Ēúąÿć÷đÙđïĉĚúĂČęîėêšĂÜĕéšøĆïÖćøìĞćÿĆâúĆÖþèŤĂ÷ŠćÜßĆéđÝîđóČęĂðŜĂÜÖĆî Ùüćö
ÿĆïÿî
5) ĀĆüĀîšćÜćîÿćøÿîđìý êšĂÜÝĆéìĞćđĂÖÿćøøć÷ÖćøÖćøđ×šćÿć÷ (Patch List) đóČęĂðŜĂÜÖĆî
ÙüćöÿĆïÿî
6) ÿĞćĀøĆïøąïïìĊęöĊÙüćöÿĞćÙĆâ ĀĆüĀîšćÜćîÿćøÿîđìýêšĂÜóĉÝćøèćĔĀšöĊÖćøÙüïÙčö éĆÜîĊĚ
1. êĉéêĆĚÜìŠĂĀčšöÿć÷ßîĉéóĉđýþ (Armored Conduit)
2. öĊđÿšîìćÜÿĞćøĂÜĀøČĂøąïïÿČęĂÿćøÿĞćøĂÜ
3. Ĕßšÿć÷Ĕ÷ĒÖšüîĞćĒÿÜ (Fiber Optic)
4. ĔßšĂčðÖøèŤĀŠĂĀčšöÿć÷đóČęĂðŜĂÜÖĆîÙúČęîĒöŠđĀúĘÖĕôôŜć
5. êøüÝÿĂïøąïïÿć÷đóČęĂêøüÝÝĆïĂčðÖøèŤĒðúÖðúĂö
6. ÙüïÙčöÖćøđ×šćëċÜĒñÜóĆÖðúć÷ÿć÷ (Patch Panel) ĒúąĀšĂÜóĆÖÿć÷ (Cable Room)
5.2.4 ÖćøïĞćøčÜøĆÖþćĂčðÖøèŤ (Equipment Maintenance)

1) ĀĆüĀîšćÜćîÿćøÿîđìý êšĂÜÝĆ éĔĀšöĊÖćøïĞćøčÜøĆÖþćĂčðÖøèŤðøąöüúñúÿćøÿîđìýđðŨîðøąÝĞć
ìčÖ ĕêøöćÿ ĀøČĂêćöìĊęĕéšøąïčĔîÙĎŠöČĂÖćøĔßšÜćî×ĂÜĂčðÖøèŤðøąöüúñúÿćøÿîđìý
2) ĀĆüĀîšćýĎî÷ŤÙĂöóĉüđêĂøŤĒúąñĎšéĎĒúĀšĂÜÙĂöóĉüđêĂøŤ êšĂÜÝĆéĔĀšöĊÖćøïĞćøčÜøĆÖþćøąïïÿîĆïÿîčî
ÖćøìĞćÜćîêŠćÜė đðŨîðøąÝĞćìčÖė ĕêøöćÿ ĀøČĂêćöìĊęĕéšøąïčĔîÙĎŠöČĂÖćøĔßšÜćî×ĂÜĂčðÖøèŤ
ðøąöüúñúÿćøÿîđìý
3) ëš ć öĊ Ö ćøüŠ ć Ýš ć ÜĀîŠ ü ÷Üćîõć÷îĂÖđóČę Ă ïĞ ć øč Ü øĆ Ö þćĂč ð ÖøèŤ ð øąöüúñúÿćøÿîđìýĒúąøąïï
ÿîĆïÿîčîÖćøìĞćÜćîêŠćÜė ĀĆüĀîšćÜćîÿćøÿîđìý êšĂÜÝĆéĔĀšöĊÿĆââćÖćøüŠćÝšćÜĂ÷ŠćÜđðŨîìćÜÖćø

ēé÷êšĂÜÖĞćĀîéøą÷ąđüúć ×Ăïđ×ê ĒúąøąéĆïÖćøĔĀšïøĉÖćø (Service Level Agreement) Ă÷ŠćÜ
ßĆéđÝî
4) ĀĆüĀîšćÜćîÿćøÿîđìýĒúąĀøČĂñĎšìĊęđÖĊę÷ü×šĂÜ êšĂÜÝĆéĔĀšöĊÖćøïĆîìċÖðøąüĆêĉÖćøïĞćøčÜøĆÖþćĂčðÖøèŤ
ðøąöüúñúÿćøÿîđìýĒúąøąïïÿîĆïÿîčîÖćøìĞćÜćîêŠćÜė Ă÷ŠćÜđðŨîúć÷úĆÖþèŤĂĆÖþø ìĆĚÜîĊĚïĆîìċÖ
éĆÜÖúŠćüêšĂÜöĊøć÷úąđĂĊ÷éĂ÷ŠćÜîšĂ÷éĆÜêŠĂĕðîĊĚ
1. üĆîìĊęĔîÖćøïĞćøčÜøĆÖþć
2. ñĎšéĞćđîĉîÖćøïĞćøčÜøĆÖþć
3. øć÷úąđĂĊ÷éÖćøïĞćøčÜøĆÖþć
4. ÿõćîą×ĂÜĂčðÖøèŤ
5. ðŦâĀćìĊęóïĒúąÖćøĒÖšĕ×
6. úć÷öČĂßČęĂñĎšïĞćøčÜøĆÖþć
5) ĀĆüĀîšćÜćîÿćøÿîđìý êšĂÜìïìüîÿĆââćïĞćøčÜøĆÖþćĂčðÖøèŤðøąöüúñúÿćøÿîđìýĀøČĂøąïï
ÿîĆïÿîčîêŠćÜėđðŨîðøąÝĞćĂ÷ŠćÜîšĂ÷ðŘúąĀîċęÜÙøĆĚÜ
6) ĀĆüĀîšćÜćîÿćøÿîđìý êšĂÜøąöĆéøąüĆÜöĉĔĀšÖćøðäĉïĆêĉÜćîĔîÖćøïĞćøčÜøĆÖþćĂčðÖøèŤðøąöüúñú
ÿćøÿîđìýìĊęÿŠÜñúêŠĂÖćøÿĉĚîÿčéÖćøðøąÖĆîÿĉîÙšć
5.2.5 ÖćøðŜĂÜÖĆîĂčðÖøèŤìĊęĔßšÜćîĂ÷ĎŠîĂÖÿĞćîĆÖÜćî (Security of Equipment Off-Premises)

1) ñĎšðäĉïĆêĉÜćîìĊęĕéšøĆïĂîčâćêĔĀšĔßšĂčðÖøèŤĒïïóÖóć êšĂÜðäĉïĆêĉéĆÜêŠĂĕðîĊĚ
1. ×èąđÙúČęĂî÷šć÷ĀøČĂđéĉîìćÜ êšĂÜöĊÿĆöõćøąìĊęðÖðŗéöĉéßĉéĒúąĀŠĂĀčšöĔî×èąđéĉîìćÜ
đóČęĂðŜĂÜÖĆîÙüćöđÿĊ÷Āć÷êŠĂĂčðÖøèŤ
2. ðäĉïĆêĉêćöÙĞćĒîąîĞćÝćÖēøÜÜćîÖćøñúĉê×ĂÜĂčðÖøèŤĂ÷ŠćÜđÙøŠÜÙøĆé đóĊęĂðŜĂÜÖĆîĕöŠĔĀš
đÖĉ é ÙüćöđÿĊ ÷ Āć÷×ĂÜĂč ð ÖøèŤ đßŠ î ĕöŠ ü ćÜĂč ð ÖøèŤ ĕ üš Ĕ Öúš ÖĆ ï Ăč ð ÖøèŤ ĂČę î ė ìĊę öĊ
ÿîćöĒöŠđĀúĘÖĕôôŜćĒøÜÿĎÜ ĕöŠđÖĘïĂčðÖøèŤĕüšĔîìĊęìĊęöĊĂčèĀõĎöĉÿĎÜ đðŨîêšî
3. ìĞćÖćøÿĞćøĂÜ×šĂöĎúĔîĂčðÖøèŤĂ÷ŠćÜÿöęĞćđÿöĂ
4. ĕöŠüćÜĂčðÖøèŤĒïïóÖóćìĉĚÜĕüšĔîìĊęÿćíćøèą
5. ĔîÖøèĊìĊęêšĂÜöĊÙüćöÝĞćđðŨîêšĂÜüćÜĂčðÖøèŤĒïïóÖóćĔîìĊęÿćíćøèą ĒúąĂčðÖøèŤ
éĆÜÖúŠćüêšĂÜÿćöćøĔßšÿć÷đ×šćÖčâĒÝúĘĂÙÖĆïĂčðÖøèŤÿĞćîĆÖÜćîĀøČĂĂčðÖøèŤĂČęîė ìĊęĕöŠ
ÿćöćøëđÙúČęĂî÷šć÷ĕéš đóČęĂðŜĂÜÖĆîÖćø×ēö÷ ĀøČĂÿĎâĀć÷
2) ÖćøðøąÖĆîĂčðÖøèŤìĊęĔßšÜćîĂ÷ĎŠîĂÖÿĞćîĆÖÜćîêšĂÜÙøĂïÙúčöđóĊ÷ÜóĂ êćöÙüćöđĀöćąÿöĒúą
đĀĘîÿöÙüø

5.2.6 ÖćøÖĞćÝĆéĂčðÖøèŤĀøČĂÖćøîĞćĂčðÖøèŤÖúĆïöćĔßšÜćîĂĊÖÙøĆĚÜ (Secure Disposal or Re-use of
Equipment)
1) ÖćøìĞćúć÷ÿČęĂïĆîìċÖ×šĂöĎúĂĉđúĘÖìøĂîĉÖÿŤìĊęöĊøąéĆïÙüćööĆęîÙÜðúĂéõĆ÷ “ÿĎÜÿčé” “ÿĎÜ” Ēúą “ðćî
ÖúćÜ” êšĂÜöĊÖćøĒÝšÜÙüćöðøąÿÜÙŤêŠĂñĎšïĆÜÙĆïïĆâßć ĒúąñĎšđðŨîđÝšć×ĂÜÿćøÿîđìýēé÷ÿćöćøë
ìĞćúć÷ĕéšĀúĆÜĕéšøĆïÖćøĂîčâćêđìŠćîĆĚî
2) ĀĆüĀîšćÜćîÿćøÿîđìý êšĂÜöĊÖćøêøüÝÿĂïĂć÷č×ĂÜÿČęĂïĆîìċÖ×šĂöĎúÿćøÿîđìýĂ÷ŠćÜÿöęĞćđÿöĂ
3) ĔîÖøèĊìĊę Öôñ. êšĂÜÿŠÜÙČîĂčðÖøèŤðøąöüúñúÿćøÿîđìýđöČęĂÿĉĚîÿčéøą÷ąđüúćđßŠć ĀĆüĀîšćÜćî
ÿćøÿîđìý êšĂÜêøüÝÿĂïÖćøëĂéëĂîĀøČĂìĞćúć÷ÿćøÿîđìý×ĂÜ Öôñ. ĂĂÖÝćÖĂčðÖøèŤéĆÜÖúŠćü
ÖŠĂîÿŠÜÙČî
4) ÿČęĂïĆîìċÖ×šĂöĎúĂĉđúĘÖìøĂîĉÖÿŤìĊęĔßšïĆîìċÖÿćøÿîđìýìĊęöĊøąéĆïÙüćööĆęîÙÜðúĂéõĆ÷ “ÿĎÜÿčé” “ÿĎÜ”
Ēúą “ðćîÖúćÜ” àċęÜĀöéĂć÷čÖćøĔßšÜćîĒúšüêšĂÜĕéšøĆïÖćøìĞćúć÷ìćÜÖć÷õćó ĀøČĂìĞćúć÷ úï
đ×Ċ÷îìĆï×šĂöĎúēé÷ĔßšĀúĆÖÖćøìćÜđìÙîĉÙìĊęöĆęîĔÝĕéšüŠćÝąĕöŠÿćöćøëîĞćÿćøÿîđìýđéĉöÖúĆïöćĕéš
(Non-Retrievable)
5) ÿČęĂïĆîìċÖ×šĂöĎúĂĉđúĘÖìøĂîĉÖÿŤìĊęĔßšïĆîìċÖÿćøÿîđìý àċęÜêšĂÜÖćøîĞćÖúĆïöćĔßšĔĀöŠêšĂÜĕéšøĆïÖćøúï
đ×Ċ÷îìĆï×šĂöĎúēé÷ĔßšĀúĆÖÖćøìćÜđìÙîĉÙìĊęöĆęîĔÝĕéšüŠćÝąĕöŠÿćöćøëîĞćÿćøÿîđìýđéĉöÖúĆïöćĕéš
(Non-Retrievable) ēé÷óĉÝćøèćêćöøąéĆïÙüćööĆęîÙÜðúĂéõĆ÷×ĂÜÿćøÿîđìý (ĂšćÜĂĉÜ ST-03:
öćêøåćîÖćøïøĉĀćøÝĆéÖćøìøĆó÷Ťÿĉîéšćîÿćøÿîđìý (Standard of Asset Management))
6) đĂÖÿćøìĊęđðŨîÖøąéćþìĊęĔßšïĆîìċÖÿćøÿîđìýìĊęöĊøąéĆïÙüćööĆęîÙÜðúĂéõĆ÷ “ÿĎÜÿčé” “ÿĎÜ” Ēúą
“ðćîÖúćÜ” àċęÜĕöŠöĊÙüćöÝĞćđðŨîêšĂÜĔßšÜćîĒúšüêšĂÜĕéšøĆïÖćøìĞćúć÷ìćÜÖć÷õćó ñŠćîìćÜđÙøČęĂÜ
ìĞćúć÷Öøąéćþ
5.2.7 ÖćøîĞćìøĆó÷Ťÿĉî×ĂÜĂÜÙŤÖøĂĂÖîĂÖÿĞćîĆÖÜćî (Removal of Property)

1) ñĎš ð äĉ ïĆ êĉ Ü ćî êš Ă ÜĒÝš Ü ÙüćöðøąÿÜÙŤ Ĕ îÖćø×ĂîĞ ć ìøĆ ó ÷Ť ÿĉ î ×ĂÜ Öôñ. ĂĂÖîĂÖÿĞ ć îĆ Ö ÜćîêŠ Ă
ñĎšïĆÜÙĆïïĆâßć ēé÷ñĎšðäĉïĆêĉÜćîÿćöćøëîĞćìøĆó÷ŤÿĉîĂĂÖîĂÖÿĞćîĆÖÜćîĕéšĀúĆÜĕéšøĆïÖćøĂîčâćê
đìŠćîĆĚî
2) đÝšćĀîšćìĊęøĆÖþćÙüćöðúĂéõĆ÷ êšĂÜêøüÝÿĂïúĆÖþèą×ĂÜìøĆó÷Ťÿĉî×ĂÜ Öôñ. ēé÷đðøĊ÷ïđìĊ÷ïÖĆï
đĂÖÿćøÖćøĒÝšÜÙüćöðøąÿÜÙŤĔîÖćøîĞćĂĂÖ×ĂÜìøĆó÷ŤÿĉîĂ÷ŠćÜúąđĂĊ÷éøĂïÙĂï
3) đÝšćĀîšćìĊęøĆÖþćÙüćöðúĂéõĆ÷ êšĂÜïĆîìċÖÖćøîĞćìøĆó÷ŤÿĉîĂĂÖîĂÖĂćÙćø Öôñ. ìčÖÙøĆĚÜĔîÿöčé
ìąđïĊ÷îÖćøîĞćÿĉęÜ×ĂÜñŠćîđ×šć - ĂĂÖ ïøĉđüè Öôñ. ĒúąêšĂÜøć÷ÜćîÖćøîĞćìøĆó÷ŤÿĉîĂĂÖĕð÷ĆÜ
ñĎšïĆÜÙĆïïĆâßć×ĂÜñĎšĒÝšÜÙüćöðøąÿÜÙŤ đóČęĂêøüÝÿĂïĒúą÷Čî÷ĆîÙüćöëĎÖêšĂÜêćöøą÷ąđüúćìĊę
đĀĘîÿöÙüø

4) ĀĆ ü Āîš ć Üćîÿćøÿîđìý êš Ă ÜÖĞ ć Āîéøą÷ąđüúćÖćøÿŠ Ü ÙČ î ìøĆ ó ÷Ť ÿĉ î ×ĂÜ Öôñ. Ēúąêš Ă ÜöĊ Ö ćø
êøüÝÿĂïÿõćó×ĂÜìøĆó÷Ťÿĉî×ĂÜ Öôñ. ĀúĆÜÝćÖĕéšøĆïÙČî
1) PD-08 ×ĆĚîêĂîÖćøðäĉïĆêĉÜćîđøČęĂÜ ÖćøÿĂïìćîÖćøóøšĂöĔßš×ĂÜĂčðÖøèŤÙüćööĆęîÙÜðúĂéõĆ÷éšćî
ÿĉęÜĒüéúšĂö (Environmental Security Equipment Maintenance Review Procedure)
2) PD-09 ×ĆĚîêĂîÖćøðäĉïĆêĉÜćîđøČęĂÜ Öćø×ĂîĞćìøĆó÷Ťÿĉî×ĂÜĂÜÙŤÖøĂĂÖîĂÖÿĞćîĆÖÜćî (Removal of
Property Request Procedure)
ST-06: öćêøåćîÖćøïøĉĀćøÝĆéÖćøéšćîÖćøÿČęĂÿćøĒúąÖćøðäĉïĆêĉÖćøÿćøÿîđìý×ĂÜ Öôñ.

(Standard of Communication and Operation Management)
đóČęĂĔĀšÖćøéĞćđîĉîÜćîìĊęđÖĊę÷ü×šĂÜÖĆïĂčðÖøèŤðøąöüúñúÿćøÿîđìýđðŨîĕðĂ÷ŠćÜëĎÖêšĂÜĒúąøĆÖþćĕüšàċęÜ Ùüćö
öĆęîÙÜðúĂéõĆ÷×ĂÜÿćøÿîđìýĒúąĂčðÖøèŤÿćøÿîđìý×ĂÜ Öôñ. ĕéšÖĞćĀîéĔĀšöĊöćêøåćîÖćøïøĉĀćøÝĆéÖćø
éšćîÖćøÿČęĂÿćøĒúąÖćøéĞćđîĉîÜćî×ĂÜđÙøČĂ×Šć÷ÿćøÿîđìý×ĂÜĂÜÙŤÖø àċęÜðøąÖĂïéšü÷ 10 đøČęĂÜéĆÜêŠĂĕðîĊĚ
1) ÖćøÖĞćĀîéĀîšćìĊęÙüćöøĆïñĉéßĂïĒúą×ĆĚîêĂîÖćøðäĉïĆêĉÜćî (Operational Procedures and
Responsibilities)
2) ÖćøïøĉĀćøÝĆéÖćøÖćøĔĀšïøĉÖćø×ĂÜĀîŠü÷Üćîõć÷îĂÖ (Third-party Service Delivery
Management)
3) ÖćøüćÜĒñîĒúąÖćøêøüÝøĆïìøĆó÷ćÖøÿćøÿîđìý (System Planning and Acceptance)
4) ðŜĂÜÖĆîēðøĒÖøöìĊęĕöŠðøąÿÜÙŤéĊ (Protection Against Malicious and Mobile Code)
5) ÖćøÿĞćøĂÜ×šĂöĎú (Back-up)
6) ÖćøïøĉĀćøÝĆéÖćøìćÜéšćîÙüćööĆęîÙÜðúĂéõĆ÷ÿĞćĀøĆïđÙøČĂ×Šć÷×ĂÜĂÜÙŤÖø (Network Security
Management)
7) ÖćøÝĆéÖćøÿČęĂìĊęĔßšĔîÖćøïĆîìċÖ×šĂöĎú (Media Handling)
8) ÖćøĒúÖđðúĊę÷îÿćøÿîđìý (Exchange of Information)
9) ÖćøÿøšćÜÙüćööĆęîÙÜðúĂéõĆ÷ÿĞćĀøĆïïøĉÖćøóćèĉß÷ŤĂĉđúĘÖìøĂîĉÖÿŤ (Electronic Commerce
Services)
10) ÖćøđòŜćøąüĆÜìćÜéšćîÙüćööĆęîÙÜðúĂéõĆ÷ (Monitoring)
Ăîč öĆ êĉ Ö ćøĔßš Ü ćî ÙĎŠ öČ Ă ðäĉ ïĆ êĉ Ü ćî đöČę Ă öĊ Ö ćøÝĆ é ìĞ ć ĀøČ Ă đðúĊę ÷ îĒðúÜÙĎŠ öČ Ă ðäĉ ïĆ êĉ Ü ćî êćö
ÙüćöđĀöćąÿö
óĉÝćøèćÖćøđÙúČęĂî÷šć÷ÿČęĂïĆîìċÖ×šĂöĎúĂĂÖîĂÖ Öôñ.
ðøąÿćîÜćîÖĆïñĎšđðŨîđÝšć×ĂÜÿćøÿîđìýĔîÖćøïøĉĀćøÝĆéÖćøÙĎŠöČĂÖćøðäĉïĆêĉÜćî
ðøąÿćîÜćîÖĆ ï ñĎš đ ðŨ î đÝš ć ×ĂÜÿćøÿîđìý ĔîÖćøïøĉ Ā ćøÝĆ é ÖćøÖćøđðúĊę ÷ îĒðúÜàĂôêŤ Ē üøŤ
(Software) ĒĂóóúĉ đ ÙßĆ î (Application) ×š Ă öĎ ú Ĕîøąïïðøąöüúñúÿćøÿîđìý ĒúąĂč ð ÖøèŤ
ðøąöüúñúÿćøÿîđìý
ÙüïÙčöĔĀšöĊÖćøĒ÷ÖøąïïÿĞćĀøĆïÖćøóĆçîćĒúąøąïïÿĞćĀøĆïÖćøìéÿĂï ĂĂÖÝćÖøąïïìĊęĔßšÜćîÝøĉÜ
ïøĉĀćøÝĆéÖćøÖćøðäĉïĆêĉÜćî×ĂÜĀîŠü÷Üćîõć÷îĂÖ
ÝĆ é ĔĀš öĊ Ö ćøêøüÝêøćĒúąðøąöćèÖćøĒîüēîš ö ĒúąøąéĆ ï ÖćøĔßš Ü ćî×ĂÜĂč ð ÖøèŤ ð øąöüúñú
ÿćøÿîđìý
óĉÝ ćøèćìïìüîñúÖøąìïìĊęđÖĉ é ×ċĚî đöČę ĂöĊ ÖćøđðúĊę ÷îĒðúÜìĊęđÖĊę ÷ü×š ĂÜÖĆï ÖćøĔĀšïøĉÖ ćøÝćÖ
ÖĞćĀîéđÖèæŤĔîÖćøêøüÝøĆïøąïïÿćøÿîđìýĔĀöŠ
óĉÝćøèćÖćøîĞćøąïïÿćøÿîđìýĔĀöŠĀøČĂøąïïÿćøÿîđìýìĊęöĊÖćøðøĆïðøčÜĕðĔßšÜćîÝøĉÜ
ïøĉĀćøÝĆéÖćøĔîÖćøðŜĂÜÖĆîēðøĒÖøöìĊęĕöŠðøąÿÜÙŤéĊĒúąēðøĒÖøöìĊęĕöŠðøąÿÜÙŤéĊßîĉéđÙúČęĂîìĊę
ÖĞćĀîéĔĀšöĊÖćøÿĞćøĂÜ×šĂöĎú
óĉÝćøèćÖćøđ×šćëċÜøą÷ąĕÖú (Remote) ÝćÖõć÷îĂÖđÙøČĂ×Šć÷×ĂÜ Öôñ. ĒúąÖćø×ĂĔßšïøĉÖćøéšćî
đÙøČĂ×Šć÷ (Network Services) ×ĂÜ Öôñ.
ïøĉĀćøÝĆéÖćøÿČęĂïĆîìċÖ×šĂöĎúÿćøÿîđìý ĔĀšđðŨîĕðêćööćêøåćîÖćøïøĉĀćøÝĆéÖćøìøĆó÷Ťÿĉîéšćî
ÿćøÿîđìý
ðøąÿćîÜćîÖĆïñĎšđðŨîđÝšć×ĂÜÿćøÿîđìý đóČęĂÝĆéĔĀšöĊÖćøÿøšćÜÙüćööĆęîÙÜðúĂéõĆ÷ÿĞćĀøĆïđĂÖÿćø
øąïï
ÝĆéìĞć×ĆĚîêĂîÖćøðäĉïĆêĉÜćî ĀøČĂĒîüìćÜÖćøðäĉïĆêĉÿĞćĀøĆïÖćøĒúÖđðúĊę÷îÿćøÿîđìý
ïøĉĀćøÝĆéÖćøÖćøĒúÖđðúĊę÷îÿćøÿîđìý×ĂÜ Öôñ. ÖĆïĀîŠü÷Üćîõć÷îĂÖ
ÝĆéĔĀšöĊÖćøÙüïÙčöÖćøÿŠÜÝéĀöć÷ĂĉđúĘÖìøĂîĉÖÿŤĔĀšöĊÙüćööĆęîÙÜðúĂéõĆ÷

ðøąÿćîÜćîÖĆïñĎšđðŨîđÝšć×ĂÜÿćøÿîđìý đóČęĂÝĆéĔĀšöĊÖćøÙüïÙčöÿćøÿîđìý×ĂÜøąïïÿćøÿîđìýìćÜ
íčøÖĉÝìĊęđßČęĂöē÷ÜÖĆî
ðøąÿćîÜćîÖĆïñĎšđðŨîđÝšć×ĂÜÿćøÿîđìý đóČęĂÝĆéĔĀšöĊÖćøøĆÖþćÙüćööĆęîÙÜðúĂéõĆ÷ÿĞćĀøĆï Öćø
óćèĉß÷ŤĂĉđúĘÖìøĂîĉÖÿŤ
ÙüïÙčöÙüćööĆęîÙÜðúĂéõĆ÷ĔîÖćøìĞćíčøÖøøöĂĂîĕúîŤ
ÙüïÙčöÿćøÿîđìýìĊęöĊøąéĆïÙüćöÿĞćÙĆâ (Criticality) ÿĎÜ ìĊęöĊÖćøđñ÷ĒóøŠĂĂÖÿĎŠÿćíćøèą
ïøĉĀćøÝĆéÖćøÖćøïĆîìċÖđĀêčÖćøèŤìĊęđÖĊę÷ü×šĂÜÖĆïÖćøĔßšÜćîÿćøÿîđìý
ÙüïÙčöĔĀšöĊÖćøêĆĚÜđüúć×ĂÜĂčðÖøèŤðøąöüúñúÿćøÿîđìýêŠćÜė ĔĀšêøÜÖĆïđÙøČęĂÜĒöŠ×Šć÷×ĂÜòść÷
ðäĉïĆêĉÖćøđìÙēîēú÷Ċÿćøÿîđìý (NTP Server)
òść÷ðäĉïĆêĉÖćøđìÙēîēú÷Ċÿćøÿîđìý
ÝĆéĔĀšöĊÖćøÙüïÙčöÖćøĔßšÜćîđÙøČĂ×Šć÷ĒúąðŜĂÜÖĆîÖćøđßČęĂöêŠĂÝćÖñĎšìĊęĕöŠĕéšøĆïĂîčâćêĔî Öćø
đ×šćëċÜđÙøČĂ×Šć÷
óĉÝćøèćÖćøđ×šćëċÜøą÷ąĕÖú (Remote) ÝćÖõć÷îĂÖđÙøČĂ×Šć÷×ĂÜ Öôñ.
óĉÝćøèćÖćø×ĂĔßšïøĉÖćøéšćîđÙøČĂ×Šć÷ (Network Services)
ÖĞćÖĆïéĎĒúĒúąêøüÝÿĂïÖćøĔĀšïøĉÖćø×ĂÜñĎšĔĀšïøĉÖćøéšćîđÙøČĂ×Šć÷
ïøĉĀćøÝĆéÖćøÖćøđñ÷ĒóøŠ×šĂöĎúïî Web Site ×ĂÜ Öôñ.
ðøąÿćîÜćîÖĆïĀĆüĀîšćÜćîÿćøÿîđìý đóČęĂïøĉĀćøÝĆéÖćøÙĎŠöČĂÖćøðäĉïĆêĉÜćî
ðøąÿćîÜćîÖĆïĀĆüĀîšćÜćîÿćøÿîđìý ĔîÖćøïøĉĀćøÝĆéÖćøÖćøđðúĊę÷îĒðúÜàĂôêŤĒüøŤ (Software)
ĒĂóóúĉ đ ÙßĆ î (Application) ×š Ă öĎ ú Ĕîøąïïðøąöüúñúÿćøÿîđìý ĒúąĂč ð ÖøèŤ ð øąöüúñú
ÿćøÿîđìý
ÝĆéĔĀšöĊÖćøĒïŠÜĀîšćìĊęÙüćöøĆïñĉéßĂïĔîÖćøĔßšìøĆó÷Ťÿĉîÿćøÿîđìý×ĂÜ Öôñ. Ă÷ŠćÜđĀöćąÿö
óĉÝćøèćÖćøîĞćøąïïÿćøÿîđìýĔĀöŠĀøČĂøąïïÿćøÿîđìýìĊęöĊÖćøðøĆïðøčÜĕðĔßšÜćîÝøĉÜ
ðøąÿćîÜćîÖĆïĀĆüĀîšćÜćîÿćøÿîđìý đóČęĂĔĀšöĆęîĔÝüŠćöĊÖøąïüîÖćøÿĞćøĂÜ×šĂöĎúĒúąÖćøÖĎšÙČî×šĂöĎú
ìĊęđóĊ÷ÜóĂêŠĂÙüćöêšĂÜÖćøìćÜíčøÖĉÝ
óĉÝćøèćÖćøìĞćúć÷ÿČęĂĔîøĎðĂĉđúĘÖìøĂîĉÖÿŤìĊęđÖĘï×šĂöĎúìĊęđðŨîÙüćöúĆïĀøČĂöĊÙüćöÿĞćÙĆâ
ðøąÿćîÜćîÖĆïĀĆüĀîšćÜćîÿćøÿîđìý đóČęĂÝĆéĔĀšöĊÖćøÿøšćÜÙüćööĆęîÙÜðúĂéõĆ÷ÿĞćĀøĆïđĂÖÿćø
øąïï
óĉÝćøèćÖćøĒúÖđðúĊę÷îÿćøÿîđìý×ĂÜ Öôñ. ÖĆïĀîŠü÷Üćîõć÷îĂÖ

ðøąÿćîÜćîÖĆïĀĆüĀîšćÜćîÿćøÿîđìý đóČęĂÝĆéĔĀšöĊÖćøÙüïÙčöÿćøÿîđìý×ĂÜøąïïÿćøÿîđìýìćÜ
ðøąÿćîÜćîÖĆïĀĆüĀîšćÜćîÿćøÿîđìý đóČęĂÝĆéĔĀšöĊÖćøøĆÖþćÙüćööĆęîÙÜðúĂéõĆ÷ÿĞćĀøĆï Öćø
óćèĉß÷ŤĂĉđúĘÖìøĂîĉÖÿŤ
ïøĉĀćøÝĆéÖćø×šĂöĎúìĊęêšĂÜÖćøđñ÷ĒóøŠ êćööćêøåćîÖćøđñ÷ĒóøŠĂĂÖÿĎŠÿćíćøèą
ĀîŠü÷Üćîõć÷ĔîìĊęêšĂÜÖćøüŠćÝšćÜĀîŠü÷Üćîõć÷îĂÖ
ÖĞćĀîéđÖèæŤĔîÖćøêøüÝøĆïøąïïÿćøÿîđìýĔĀöŠ
óĉÝćøèćìïìüîñúÖøąìïìĊęđÖĉé×ċĚî đöČęĂöĊÖćøđðúĊę÷îĒðúÜìĊęđÖĊę÷ü×šĂÜÖĆïÖćøĔĀšïøĉÖćøÝćÖĀîŠü÷Üćî
õć÷îĂÖ
êøüÝÿĂïĒúąêĉéêĆĚÜēðøĒÖøöìĊęêøüÝÝĆïĒúąĒÖšĕ× ēðøĒÖøöìĊęĕöŠðøąÿÜÙŤéĊ ïîĂčðÖøèŤðøąöüúñú
ÿćøÿîđìýìĊęøĆïñĉéßĂï ĒúąöĊÖćøðøĆïðøčÜēðøĒÖøöéĆÜÖúŠćüĔĀšìĆîÿöĆ÷Ă÷ĎŠđÿöĂ
6.1 ÖćøÖĞćĀîéĀîšćìĊęÙüćöøĆïñĉéßĂïĒúą×ĆĚîêĂîÖćøðäĉïĆêĉÜćî (Operational

Procedures and Responsibilities)
ĔĀšöĊÖćøÝĆéìĞćÙĎŠöČĂÖćøðäĉïĆêĉÜćîìĊęđðŨîúć÷úĆÖþèŤĂĆÖþø ÖćøÙüïÙčöÖćøđðúĊę÷îĒðúÜ ðøĆïðøčÜ ĀøČĂĒÖšĕ×
øąïïĀøČĂĂčðÖøèŤðøąöüúñúÿćøÿîđìý ÖćøĒïŠÜĀîšćìĊęÙüćöøĆïñĉéßĂïĂ÷ŠćÜđĀöćąÿö ĒúąÖćøĒ÷Öøąïï
ÿĞćĀøĆïóĆçîć ìéÿĂï ĒúąĔĀšïøĉÖćøĂĂÖÝćÖÖĆî
öćêøåćî
6.1.1 ×ĆĚîêĂîÖćøðäĉïĆêĉÜćîìĊęđðŨîúć÷úĆÖþèŤĂĆÖþø (Documented Operating Procedures)
1) ñĎš đ ðŨ î đÝš ć ×ĂÜÿćøÿîđìýĒúąĀĆ ü Āîš ć Üćîÿćøÿîđìý êš Ă ÜÝĆ é ìĞ ć ÙĎŠ öČ Ă ÿĞ ć ĀøĆ ï Öćøðäĉ ïĆ êĉ Ü ćîìĊę
đÖĊę÷ü×šĂÜÖĆïĂčðÖøèŤðøąöüúñúÿćøÿîđìý (Computer Operation Manual) ìĊęĔßšđðŨîĒîüìćÜ
ĔîÖćøðäĉïĆêĉÜćî ēé÷ÙĎŠöČĂéĆÜÖúŠćüêšĂÜðøąÖĂïĕðéšü÷đøČęĂÜéĆÜêŠĂĕðîĊĚ
1. ×ĆĚîêĂîĀøČĂúĞćéĆïĔîÖćøðäĉïĆêĉÜćîðøąÝĞćüĆî
2. ÖćøÿĞćøĂÜ×šĂöĎúÿĞćĀøĆïøąïïêŠćÜė
3. êćøćÜÖćøÝĆéÖćøÖćøìĞćÜćî (Job Scheduling)

4. ÖøąïüîÖćøĔîÖćøĒÖšĕ×ðŦâĀćìĊęĂćÝÝąđÖĉé×ċĚîĔî×èąðäĉïĆêĉÜćî
5. øć÷ßČęĂïčÙÙúìĊęÿćöćøëêĉéêŠĂĕéšĔîÖøèĊìĊęđÖĉéđĀêčÖćøèŤÞčÖđÞĉîđÖĉé×ċĚî
6. ÖøąïüîÖćøĔîÖćøÝĆéÖćøđĂÖÿćøøć÷Üćî×ĂÜ×šĂöĎú (Printing Report) ìĊęöĊÙüćöÿĞćÙĆâ
ĒúąÖćøÝĆ é ÖćøÿČę Ă ìĊę Ĕ ßš Ĕ îÖćøïĆ î ìċ Ö ×š Ă öĎ ú àċę Ü øüöëċ Ü ÖøąïüîÖćøĔîÖćøìĞ ć úć÷
đĂÖÿćøøć÷ÜćîĀøČĂÿČęĂìĊęĔßšĔîÖćøïĆîìċÖ×šĂöĎú
7. ÖøąïüîÖćøĔîÖćøÖĎšÙČîÿõćó ĔîÖøèĊìĊęøąïïđÖĉéÖćøñĉéóúćé (System Restart and
Recovery)
8. ÖćøÝĆéÖćøĀúĆÖåćîÖćøêøüÝÿĂï (Audit Trail) Ēúą×šĂöĎúïĆîìċÖđĀêčÖćøèŤ×ĂÜøąïï
(System Log)
2) đöČęĂöĊÖćøÝĆéìĞćĀøČĂđðúĊę÷îĒðúÜÙĎŠöČĂÖćøðäĉïĆêĉÜćî êšĂÜĕéšøĆïÖćøĂîčöĆêĉÝćÖñĎšĂĞćîü÷Öćøòść÷ĀøČĂ
đìĊ÷ïđìŠć×ċĚîĕðĀøČĂñĎšìĊęĕéšøĆïöĂïĀöć÷
3) ĔîÖøèĊìĊęöĊÖćøêĉéêĆĚÜøąïïĔĀöŠ ĀøČĂðøĆïðøčÜøąïïđéĉö ñĎšđðŨîđÝšć×ĂÜÿćøÿîđìýĒúąĀĆüĀîšćÜćî
ÿćøÿîđìý êšĂÜÝĆéìĞćĀøČĂðøĆïðøčÜÙĎŠöČĂÖćøðäĉïĆêĉÜćîìĊęđÖĊę÷ü×šĂÜĔĀšđÿøĘÝÿĉĚîÖŠĂîÝąîĞćøąïïĕðĔßš
ÜćîÝøĉÜ
4) ĀĆüĀîšćÜćîÿćøÿîđìý êšĂÜÖĞćĀîéĔĀšöĊÖćøÙüïÙčöÖćøđ×šćëċÜÙĎŠöČĂÖćøðäĉïĆêĉÜćîàċęÜđðŨîÿćøÿîđìý
ìĊęöĊøąéĆïÙüćööĆęîÙÜðúĂéõĆ÷ “ÿĎÜÿčé” Ēúą “ÿĎÜ” đóČęĂðŜĂÜÖĆîÖćøđ×šćëċÜĀøČĂ Öćøđðŗéđñ÷
×šĂöĎúēé÷ĕöŠĕéšøĆïĂîčâćê ēé÷ÙĎŠöČĂÖćøðäĉïĆêĉÜćîéĆÜÖúŠćüÝąĂîčâćêĔĀšđ×šćëċÜĕéšđÞóćąñĎšðäĉïĆêĉÜćî
ìĊęđÖĊę÷ü×šĂÜđìŠćîĆĚî
5) ĀĆüĀîšćÜćîÿćøÿîđìý êšĂÜÝĆéìĞć “ìąđïĊ÷îÙĎŠöČĂÖćøðäĉïĆêĉÜćî” đóČęĂÙüćöđðŨîøąđïĊ÷ïĔî
ÖćøÝĆéđÖĘïÙĎŠöČĂÖćøðäĉïĆêĉÜćîêŠćÜė ēé÷öĊøć÷úąđĂĊ÷ééĆÜêŠĂĕðîĊĚ
1. Āöć÷đú×ĂšćÜĂĉÜ
2. ÙĞćĂíĉïć÷
3. ßČęĂñĎšđðŨîđÝšć×ĂÜÿćøÿîđìý
4. ĀöüéĀöĎŠÿćøÿîđìý
5. ïĆîìċÖÖćøđðúĊę÷îĒðúÜ (Version Control) ēé÷øüöëċÜ üĆîìĊęÝĆéìĞćĒúąüĆîìĊęĒÖšĕ×ÙĎŠöČĂ
ÖćøðäĉïĆêĉÜćî
6. ÿëćîìĊęÝĆéđÖĘïđĂÖÿćøêšîÞïĆï
7. ÝĞćîüîĒúąÿëćîìĊęÝĆéđÖĘïÿĞćđîćđĂÖÿćø
6) ĀĆüĀîšćÜćîÿćøÿîđìý êšĂÜìïìüî “ìąđïĊ÷îÙĎŠöČĂÖćøðäĉïĆêĉÜćî” Ă÷ŠćÜîšĂ÷ìčÖ 6 đéČĂî đóČęĂĔĀš
öĆęîĔÝüŠć “ìąđïĊ÷îÙĎŠöČĂÖćøðäĉïĆêĉÜćî” öĊÙüćöđðŨîðŦÝÝčïĆîĒúąÙĎŠöČĂÖćøðäĉïĆêĉÜćîêŠćÜė ÿćöćøë
ÙšîĀćĒúąøąïčñĎšđðŨîđÝšć×ĂÜĕéš

6.1.2 ÖćøÙüïÙčöÖćøđðúĊę÷îĒðúÜ ðøĆïðøčÜ ĀøČĂĒÖšĕ×øąïïĀøČĂĂčðÖøèŤðøąöüúñúÿćøÿîđìý
(Change Management)
1) ĀĆüĀîšćÜćîÿćøÿîđìý êšĂÜÝĆéĔĀšöĊÖćøÙüïÙčöÖćøđðúĊę÷îĒðúÜàĂôêŤĒüøŤ (Software) ĒĂóóúĉđÙ
ßĆî (Application) ×šĂöĎúĔîøąïïðøąöüúñúÿćøÿîđìý ĒúąĂčðÖøèŤðøąöüúñúÿćøÿîđìýĂ÷ŠćÜ
đÙøŠÜÙøĆé ēé÷×ĆĚîêĂîĔîÖćøĒÝšÜÙüćöðøąÿÜÙŤêšĂÜöĊÖćøøąïčøć÷úąđĂĊ÷ééĆÜêŠĂĕðîĊĚ
1. üĆêëčðøąÿÜÙŤĔîÖćøđðúĊę÷îĒðúÜ
2. øć÷úąđĂĊ÷éÖćøđðúĊę÷îĒðúÜ
3. ðøąđöĉ î ñúÖøąìïìĊę Ă ćÝÝąđÖĉ é ×ċĚ î øüöìĆĚ Ü ñúÖøąìïÙüćööĆę î ÙÜðúĂéõĆ ÷ ×ĂÜ
ÖćøđðúĊę÷îĒðúÜîĆĚîė
4. ÖøąïüîÖćøĔîÖćøĂîčöĆêĉÖćøđðúĊę÷îĒðúÜ
5. ÖćøÿČęĂÿćøÖćøđðúĊę÷îĒðúÜĔĀšñĎšìĊęđÖĊę÷ü×šĂÜøĆïìøćï
6. ×ĆĚîêĂîĔîÖćøëĂ÷ÖúĆï (Fallback Procedures) øüöìĆĚÜĀîšćìĊęÙüćöøĆïñĉéßĂï×ĂÜ
ñĎšðäĉïĆêĉÜćîìĊęđÖĊę÷ü×šĂÜĔîÖćøÖĎšÙČîøąïïĔîÖøèĊìĊęÖćøđðúĊę÷îĒðúÜĕöŠđðŨîĕðêćöĒñî
2) ñĎš đ ðŨ î đÝš ć ×ĂÜÿćøÿîđìýĒúąĀĆ ü Āîš ć Üćîÿćøÿîđìý êš Ă ÜÖĞ ć ÖĆ ï éĎ Ē úđóČę Ă ĔĀš öĆę î ĔÝüŠ ć
ÖćøđðúĊę÷îĒðúÜ öĊÖøąïüîÖćøĔîÖćøÙüïÙčöĂ÷ŠćÜđĀöćąÿö ēé÷ÖĞćĀîéĔĀšöĊÖćøÝĆéđÖĘï×šĂöĎú
ïĆîìċÖđĀêčÖćøèŤ (Log) đöČęĂàĂôêŤĒüøŤ (Software) ĒĂóóúĉđÙßĆî (Application) ×šĂöĎúĔîøąïï
ðøąöüúñúÿćøÿîđìý ĒúąĂčðÖøèŤðøąöüúñúÿćøÿîđìýöĊÖćøđðúĊę÷îĒðúÜ
3) ñĎšđðŨîđÝšć×ĂÜÿćøÿîđìýĒúąĀĆüĀîšćÜćîÿćøÿîđìý êšĂÜÝĆéìĞć×ĆĚîêĂîÖćøðäĉïĆêĉÜćîĔî Öćø
ïøĉĀćøÝĆéÖćøÖćøđðúĊę÷îĒðúÜÖøèĊÞčÖđÞĉî (Emergency Change) Ă÷ŠćÜđðŨîúć÷úĆÖþèŤĂĆÖþø
ēé÷êšĂÜÖĞćĀîéĔĀšöĊÖćøÙüïÙčö éĆÜêŠĂĕðîĊĚ
1. ñĎšìĊęĕéšøĆïöĂïĀöć÷đìŠćîĆĚîÿćöćøëìĊęÝąìĞćÖćøđðúĊę÷îĒðúÜÖøèĊÞčÖđÞĉî (Emergency
Change) ĕéš ĒúąÖćøđðúĊę÷îĒðúÜÖøèĊÞčÖđÞĉî (Emergency Change) ÝąêšĂÜ
éĞćđîĉîÖćøêćö×ĆĚîêĂî ÖćøðäĉïĆêĉÜćîĔîÖćøđðúĊę÷îĒðúÜÖøèĊðÖêĉõć÷Ĕî 3 üĆîìĞćÖćø
ĀúĆÜÝćÖìĊęðŦâĀćĕéšëĎÖĒÖšĕ×Ă÷ŠćÜđÿøĘÝÿĉĚî
2. ÖćøđðúĊę÷îĒðúÜÖøèĊÞčÖđÞĉî (Emergency Change) ìčÖøć÷Öćø êšĂÜöĊÖćøÝéïĆîìċÖĔî
“ìąđïĊ÷îÖćøđðúĊę÷îĒðúÜÿćøÿîđìýÖøèĊÞčÖđÞĉî (Emergency Change Logbook)”
6.1.3 ÖćøĒïŠÜĀîšćìĊęÙüćöøĆïñĉéßĂï (Segregation of Duties)

1) ñĎšđðŨîđÝšć×ĂÜÿćøÿîđìý êšĂÜÝĆéĔĀšöĊÖćøĒïŠÜĀîšćìĊęÙüćöøĆïñĉéßĂïĂ÷ŠćÜđĀöćąÿö đóČęĂúéÙüćö
đÿĊę÷ÜĔîÖćøĔßšìøĆó÷Ťÿĉîÿćøÿîđìý×ĂÜ Öôñ. ĔîìćÜìĊęĕöŠđĀöćąÿöìĆĚÜēé÷đÝêîćĒúąĕöŠđÝêîć ìĆĚÜîĊĚ
ÖćøĒïŠÜĀîšćìĊęÙüćöøĆïñĉéßĂïêšĂÜÙĞćîċÜüŠć êšĂÜĕöŠöĊñĎšðäĉïĆêĉÜćîđóĊ÷ÜÙîđéĊ÷üìĊęÿćöćøëđ×šćëċÜ
ĒÖšĕ× ĀøČĂĔßšìøĆó÷Ťÿĉîÿćøÿîđìýēé÷ĕöŠĕéšøĆïĂîčâćê ĒúąĀøČĂĕöŠöĊÖćøêøüÝÝĆï (Detection) ĒêŠ
ĔîÖøèĊìĊęĕöŠÿćöćøëĒïŠÜĀîšćìĊęÙüćöøĆïñĉéßĂïĕéš êšĂÜöĊÖćøóĉÝćøèćÖćøÙüïÙčöĔîéšćîĂČęîė đßŠî
ÖćøđòŜćøąüĆÜÖćøðäĉïĆêĉÜćî ĒúąĀúĆÖåćîÖćøêøüÝÿĂï (Audit Trail) ēé÷ĀĆüĀîšćÜćîÿćøÿîđìý
ĀøČĂñĎšðäĉïĆêĉÜćîĂČęîàċęÜĕöŠöĊÙüćöđÖĊę÷ü×šĂÜēé÷êøÜÖĆïÖćøðäĉïĆêĉÜćîîĆĚîė đðŨîêšî
2) ñĎšóĆçîćøąïïÿćøÿîđìýêšĂÜĕöŠöĊÿĉìíĉĔîÖćøđ×šćëċÜøąïïìĊęĔßšÜćîÝøĉÜ ĒúąêšĂÜĕöŠöĊÿĉìíĉĔîÖćø
đÙúČęĂî÷šć÷àĂôêŤĒüøŤ (Software) ĒúąĒĂóóúĉđÙßĆî (Application) ÝćÖøąïïÿĞćĀøĆïÖćøóĆçîć
ĒúąøąïïÿĞćĀøĆïìéÿĂï ĕð÷ĆÜøąïïìĊęĔßšÜćîÝøĉÜ ĔîÖøèĊìĊęĕöŠÿćöćøëĒïŠÜĀîšćìĊęÙüćöøĆïñĉéßĂï
ĕéš êšĂÜöĊÖćøóĉÝćøèć ÖćøÙüïÙčöĔîéšćîĂČęîė đßŠî ÖćøđòŜćøąüĆÜÖćøðäĉïĆêĉÜćî ĒúąĀúĆÖåćîÖćø
êøüÝÿĂï (Audit Trail) ēé÷ĀĆüĀîšćÜćîÿćøÿîđìý ĀøČĂñĎšðäĉïĆêĉÜćîĂČęîàċęÜĕöŠöĊÙüćöđÖĊę÷ü×šĂÜ
ēé÷êøÜÖĆïÖćøðäĉïĆêĉÜćîîĆĚîė đðŨîêšî
6.1.4 ÖćøĒ÷ÖøąïïÿĞćĀøĆïÖćøóĆçîć ÖćøìéÿĂï ĒúąÖćøĔĀšïøĉÖćøĂĂÖÝćÖÖĆî (Separation of

Development, Test, and Operational Facilities)
1) ĀĆüĀîšćÜćîÿćøÿîđìý êšĂÜÙüïÙčöĔĀšöĊÖćøĒ÷ÖøąïïÿĞćĀøĆïÖćøóĆçîć ĒúąøąïïÿĞćĀøĆï Öćø
ìéÿĂï ĂĂÖÝćÖøąïïìĊęĔßšÜćîÝøĉÜ đóČęĂðŜĂÜÖĆîðŦâĀćìĊęĂćÝöĊñúÖøąìïÖĆï×šĂöĎú ĀøČĂ Öćø
ðøąöüúñú×ĂÜøąïïìĊęĔßšÜćîÝøĉÜēé÷êšĂÜÝĆéĔĀšöĊÖćøÙüïÙčö éĆÜêŠĂĕðîĊĚ
1. ÝĆéìĞć×ĆĚîêĂîÖćøðäĉïĆêĉÜćîìĊęđðŨîúć÷úĆÖþèŤĂĆÖþøĔîÖćø÷šć÷ēðøĒÖøöÙĂöóĉüđêĂøŤ
ÝćÖøąïïÿĞćĀøĆïÖćøóĆçîć ĀøČĂøąïïÿĞćĀøĆïÖćøìéÿĂï ĕð÷ĆÜøąïïìĊęĔßšÜćîÝøĉÜ
2. ĔîÖćøĒ÷ÖøąïïĂĂÖÝćÖÖĆî êšĂÜöĊÖćøĒ÷ÖÖćøìĞćÜćîĒïïÖć÷õćó (Physical) đßŠî
ÖćøĒ÷ÖđÙøČęĂÜÙĂöóĉüđêĂøŤĒöŠ×Šć÷ øąïïÿĞćĀøĆïÖćøóĆçîćĀøČĂøąïïÿĞćĀøĆï
ÖćøìéÿĂïĂĂÖÝćÖđÙøČęĂÜÙĂöóĉüđêĂøŤĒöŠ×Šć÷øąïïìĊęĔßšÜćîÝøĉÜ ìĆĚÜîĊĚĔîÖøèĊìĊęĕöŠ
ÿćöćøëìĞć ĕéš đîČęĂ ÜÝćÖ×šĂÝĞ ćÖĆ éìćÜíč ø Öĉ Ý êš Ă ÜìĞć ÖćøĒ÷ÖÖćøìĞć ÜćîĒïïêøøÖą
(Logical) đßŠî Ē÷Ö Directories ĀøČĂ Logical Partition ĂĂÖÝćÖÖĆî đðŨîêšî
3. øąïïÿĞćĀøĆïÖćøìéÿĂï êšĂÜÝĞćúĂÜöćÝćÖøąïïìĊęĔßšÜćîÝøĉÜ ēé÷êšĂÜĔĀšöĊ Ùüćö
Ùúšć÷ÙúċÜÖĆîöćÖìĊęÿčé
4. ĔîÖćøđ×šćëċÜøąïïÿĞćĀøĆïÖćøìéÿĂï ñĎšðäĉïĆêĉÜćîêšĂÜĔßšïĆâßĊñĎšĔßšÜćîìĊęĒêÖêŠćÜÝćÖ
øąïïìĊęĔßšÜćîÝøĉÜ ĒúąêšĂÜöĊ×šĂÙüćöĀøČĂÿĆâúĆÖþèŤìĊęĒÿéÜðøąđõì×ĂÜøąïïĂ÷ŠćÜ
ßĆéđÝî đóČęĂúéÙüćöđÿĊę÷ÜÝćÖÖćøñĉéóúćéĔîÖćøđ×šćëċÜøąïï
5. àĂøŤÿēÙšé (Source Code) ×ĂÜøąïïÜćîÿćøÿîđìý êšĂÜĕöŠđÖĘïĂ÷ĎŠĔîøąïïìĊęĔßšÜćî
ÝøĉÜ ĔîÖøèĊìĊęöĊÙüćöÝĞćđðŨîêšĂÜđÖĘï àĂøŤÿēÙšé (Source Code) ĔîøąïïìĊęĔßšÜćîÝøĉÜ
đîČęĂÜÝćÖ×šĂÝĞćÖĆé×ĂÜõćþćìĊęĔßšĔîÖćøóĆçîćøąïï ĔĀšöĊÖćøÖĞćĀîéÿĉìíĉĔîÖćøđ×šćëċÜ
àĂøŤÿēÙšéđÞóćąñĎšìĊęĕéšøĆïĂîčâćêđìŠćîĆĚî
6. Compilers đÙøČęĂÜöČĂĔîÖćøĒÖšĕ× (Editor Tools) ĒúąđÙøČęĂÜöČĂìĊęĔßšĔîÖćøóĆçîćĂČęîė
øüöìĆĚÜēðøĒÖøöðøąđõì÷ĎìĉúĉêĊĚ (System Utilities) êšĂÜĕöŠêĉéêĆĚÜĔîøąïïìĊęĔßšÜćîÝøĉÜ
ĔîÖøèĊìĊęĕöŠÿćöćøëìĞćĕéšêšĂÜöĊ ÖćøÙüïÙčöìĊęđĀöćąÿö đßŠî ÝĞćÖĆéÖćøđ×šćëċÜÿĞćĀøĆïñĎšìĊę
ĕéšøĆïĂîčâćêÝćÖĀĆüĀîšćÿćøÿîđìý đìŠćîĆĚî
7. đöČęĂñĎšóĆçîćøąïïÿćøÿîđìý öĊÙüćöÝĞćđðŨîĔîÖćøđ×šćëċÜøąïïìĊęĔßšÜćîÝøĉÜ ñĎšéĎĒú
ÿćøÿîđìýøąïïĒúąøąïïÿćøÿîđìý êš Ă ÜöĊ Ö ćøÖĞ ć ĀîéïĆ â ßĊ ñĎš Ĕ ßš ßĆę ü Ùøćü
(Temporary User ID) ēé÷ñŠćî×ĆĚîêĂîÖćø×ĂúÜìąđïĊ÷îñĎšĔßšÜćî ĂĊÖìĆĚÜêšĂÜöĊÖćø
ÝĆéđÖĘïðøąüĆêĉÖćøðäĉïĆêĉÜćîĔîøąïï (Activities Log) øüöëċÜÖćø÷ÖđúĉÖïĆâßĊñĎšĔßšđöČęĂ
ĕöŠöĊÙüćöÝĞćđðŨîêšĂÜĔßšÜćî
8. ÿćøÿîđìýìĊęöĊøąéĆïÙüćööĆęîÙÜðúĂéõĆ÷ “ÿĎÜÿčé” Ēúą “ÿĎÜ” êšĂÜĕöŠîĞćöćĔßšđðŨî×šĂöĎú
ìéÿĂïĒúąïĆîìċÖĂ÷ĎŠĔîøąïïÿĞćĀøĆïÖćøìéÿĂï
1) PD-10 ×ĆĚîêĂîÖćøðäĉïĆêĉÜćîđøČęĂÜ ÖćøïøĉĀćøÝĆéÖćøÖćøđðúĊę÷îĒðúÜÿćøÿîđìý (Change
Management Procedure)
2) PD-11 ×ĆĚîêĂîÖćøðäĉïĆêĉÜćî ÖćøóĆçîćøąïïÿćøÿîđìý (System Development Procedure)
3) PD-12 ×ĆĚîêĂîÖćøðäĉïĆêĉÜćîđøČęĂÜ ÖćøïøĉĀćøÝĆéÖćøÖćøđðúĊę÷îĒðúÜÖøèĊÞčÖđÞĉîÿćøÿîđìý
(Emergency Change Management Procedure)
6.2 ÖćøïøĉĀćøÝĆéÖćøÖćøĔĀšïøĉÖćø×ĂÜĀîŠü÷Üćîõć÷îĂÖ (External Party Service
Delivery Management)
ĔĀš öĊÖćøÙüïÙčöÖćøĔĀšïøĉÖćø ÖćøêøüÝÿĂï ĒúąÖćøïøĉ ĀćøÝĆéÖćøÖćøđðúĊę÷îĒðúÜÖćøĔĀšïøĉÖćøēé÷
öćêøåćî
6.2.1 ÖćøĔĀšïøĉÖćøēé÷ĀîŠü÷Üćîõć÷îĂÖ (Service Delivery)
1) ĀĆüĀîšćÜćîÿćøÿîđìý ĒúąĀîŠü÷Üćîõć÷ĔîìĊęêšĂÜÖćøüŠćÝšćÜĀîŠü÷Üćîõć÷îĂÖ öĊĀîšćìĊęÖĞćÖĆï
éĎĒúĔĀšĀîŠü÷Üćîõć÷îĂÖðäĉïĆêĉêćöîē÷ïć÷ĒúąöćêøåćîÖćøøĆÖþćÙüćööĆęîÙÜðúĂéõĆ÷éšćî
ÿćøÿîđìý×ĂÜ Öôñ. øüöëċÜÖćøÙüïÙčöøąéĆïÖćøĔĀšïøĉÖćøĒúąúĆÖþèą×ĂÜÖćøĔĀšïøĉÖćøĔĀš
đðŨîĕðêćö×šĂêÖúÜ ĒúąĀøČĂ ÿĆââćÖćøĔĀšïøĉÖćø

2) ĀĆüĀîšćÜćîÿćøÿîđìý ĒúąĀîŠü÷Üćîõć÷ĔîìĊęêšĂÜÖćøüŠćÝšćÜĀîŠü÷Üćîõć÷îĂÖ êšĂÜÖĞćÖĆïéĎĒúĔĀš
ĀîŠü÷Üćîõć÷îĂÖöĊĒñîÜćîĔîÖćøøĂÜøĆïđĀêčÖćøèŤÞčÖđÞĉî đóČęĂøĆÖþćøąéĆïÖćøĔĀšïøĉÖćøĕéšĂ÷ŠćÜ
êŠĂđîČęĂÜ
6.2.2 ÖćøêøüÝÿĂïÖćøĔĀšïøĉÖćøēé÷ĀîŠü÷Üćîõć÷îĂÖ (Monitoring and Review of External

Party services)
1) ĀĆüĀîšćÜćîÿćøÿîđìý ĒúąĀîŠü÷Üćîõć÷ĔîìĊęêšĂÜÖćøüŠćÝšćÜĀîŠü÷Üćîõć÷îĂÖ öĊĀîšćìĊę
øĆïñĉ é ßĂïĔîÖćøïøĉ Ā ćøÝĆ é ÖćøÙüćöÿĆö óĆ î íŤÖĆï ĀîŠ ü ÷Üćîõć÷îĂÖĒúąÖĞć ĀîéĔĀš ĀîŠ ü ÷Üćî
õć÷îĂÖöĊÖćøÿĂïìćîÖćøðäĉïĆêĉÜćîĔĀšđðŨîĕðêćö×šĂêÖúÜ ĒúąĀøČĂÿĆââćÖćøĔĀšïøĉÖćø
2) ĀĆüĀîšćÜćîÿćøÿîđìý ĒúąĀîŠü÷Üćîõć÷ĔîìĊęêšĂÜÖćøüŠćÝšćÜĀîŠü÷Üćîõć÷îĂÖ êšĂÜđòŜćøąüĆÜĒúą
êøüÝÿĂïÖćøĔĀšïøĉÖćø×ĂÜĀîŠü÷Üćîõć÷îĂÖ ĔîđøČęĂÜéĆÜêŠĂĕðîĊĚ
1. êøüÝÿĂïøąéĆïÖćøĔĀšïøĉÖćøÖĆï×šĂêÖúÜ ĒúąĀøČĂÿĆââćÖćøĔĀšïøĉÖćø ìĊęĕéšÝĆéìĞćĕüš
2. ÿøčðøć÷ÜćîÖćøĔĀšïøĉÖćø (Service Reports) ×ĂÜĀîŠü÷Üćîõć÷îĂÖ đóČęĂÿøčð
ÖćøéĞćđîĉîÜćîêćöđÜČęĂîĕ××ĂÜ×šĂêÖúÜ ĒúąĀøČĂ ÿĆââćÖćøĔĀšïøĉÖćø
3. ÿĂïìćîÖćøïĆîìċÖđĀêčÖćøèŤđÖĊę÷üÖĆïÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìýìĊęđÖĉéÝćÖ
×šĂêÖúÜ ĒúąĀøČĂÿĆââćÖćøĔĀšïøĉÖćø ēé÷ÙøĂïÙúčöđøČęĂÜéĆÜêŠĂĕðîĊĚ
x ĀúĆÖåćîÖćøêøüÝÿĂï (Audit Trail)
x ïĆîìċÖđĀêčÖćøèŤìĊęđÖĊę÷ü×šĂÜÖĆïÙüćööĆęîÙÜðúĂéõĆ÷×ĂÜĀîŠü÷Üćîõć÷îĂÖ
x ðŦâĀćÝćÖÖćøéĞćđîĉîÜćî
x Öćøêĉéêćö×šĂñĉéóúćé×ĂÜÖćøĔĀšïøĉÖćø
x ÖćøĒÖšðŦâĀćĒúąÖćøÝĆéÖćøðŦâĀćìĊęóï
4. øć÷ÜćîđĀêčÖćøèŤđÖĊę÷üÖĆïÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìýìĊęđÖĉéÖĆïĀîŠü÷ÜćîìĊę
øĆïñĉéßĂï×ĂÜ Öôñ.
6.2.3 ÖćøïøĉĀćøÝĆéÖćøÖćøđðúĊę÷îĒðúÜĔîÖćøĔĀšïøĉÖćø (Managing Changes to External Party

Services)
1) ĀĆüĀîšćÜćîÿćøÿîđìý ĒúąĀîŠü÷Üćîõć÷ĔîìĊęêšĂÜÖćøüŠćÝšćÜĀîŠü÷Üćîõć÷îĂÖ êšĂÜóĉÝćøèć
ìïìüîñúÖøąìïìĊęđÖĉé×ċĚî đöČę ĂöĊÖćøđðúĊę÷îĒðúÜìĊęđÖĊę÷ü×šĂÜÖĆïÖćøĔĀšïøĉÖćøÝćÖĀîŠü÷Üćî
õć÷îĂÖĔîđøČęĂÜéĆÜêŠĂĕðîĊĚ
1. ÖćøđðúĊę÷îĒðúÜēé÷ Öôñ.
x öĊÖćøðøĆïðøčÜÖćøĔĀšïøĉÖćøìĊęéĊ×ċĚî
x öĊÖćøóĆçîćĒĂóóúĉđÙßĆî (Application) ĒúąĀøČĂ øąïïĔĀöŠė

x öĊ Ö ćøðøĆ ï ðøč Ü ĒúąĒÖš ĕ ×îē÷ïć÷ öćêøåćîĒúą×ĆĚ î êĂîðäĉ ïĆ êĉ Ü ćîéš ć î
x öĊÖćøđóĉęöÖćøÙüïÙčö đóČęĂĒÖšðŦâĀćđĀêčÖćøèŤìĊęđÖĊę÷üÖĆïÙüćööĆęîÙÜðúĂéõĆ÷
2. ÖćøđðúĊę÷îĒðúÜēé÷ĀîŠü÷Üćîõć÷îĂÖ
x öĊÖćøđðúĊę÷îĒðúÜĒúąðøĆïðøčÜđÙøČĂ×Šć÷
x öĊÖćøĔßšđìÙēîēú÷ĊĔĀöŠ
x öĊÖćøĔßšÜćîñúĉêõĆèæŤĔĀöŠ ĀøČĂðøĆïðøčÜđüĂøŤßĆîĔĀöŠ
x öĊÖćøĔßšđÙøČęĂÜöČĂĔîÖćøóĆçîćĔĀöŠ ĒúąĀøČĂöĊÖćøêĉéêĆĚÜÿõćóĒüéúšĂöĔĀöŠ
x öĊÖćøđðúĊę÷îĒðúÜÿëćîìĊę×ĂÜĂčðÖøèŤðøąöüúñúÿćøÿîđìý
x öĊÖćøđðúĊę÷îñĎšÙšć (Vendors)
1) PD-13 ×ĆĚîêĂîÖćøðäĉïĆêĉÜćîđøČęĂÜ ÖćøðøąđöĉîÖćøĔĀšïøĉÖćø×ĂÜĀîŠü÷Üćîõć÷îĂÖ (Third-party
Service Delivery Evaluation Procedure)
6.3 ÖćøüćÜĒñîĒúąÖćøêøüÝøĆïìøĆó÷ćÖøÿćøÿîđìý (System Planning and

Acceptance)
ĔĀšöĊÖćøüćÜĒñîÙüćöêšĂÜÖćøøąïïÿćøÿîđìý ĒúąđÖèæŤĔîÖćøêøüÝøĆïøąïïÿćøÿîđìý
öćêøåćî
6.3.1 ÖćøüćÜĒñîÙüćöêšĂÜÖćøìøĆó÷ćÖøÿćøÿîđìý (Capacity Management)
1) ĀĆüĀîšćÜćîÿćøÿîđìý êšĂÜÝĆéĔĀšöĊÖćøêøüÝêøćĒúąðøąđöĉîĒîüēîšöøąéĆïÖćøĔßšÜćî×ĂÜĂčðÖøèŤ
ðøąöüúñúÿćøÿîđìý (Capacity) đóČęĂìĊęÝąÿćöćøëðøĆïðøčÜðøąÿĉìíĉõćóĒúą Ùüćö
đóĊ ÷ ÜóĂ×ĂÜĂč ð ÖøèŤ ð øąöüúñúÿćøÿîđìý ĔĀš ê ĂïÿîĂÜÙüćöêš Ă ÜÖćø×ĂÜñĎš đ ðŨ î đÝš ć ×ĂÜ
ÿćøÿîđìýìĆĚÜĔîðŦÝÝčïĆîĒúąĔîĂîćÙê ìĆĚÜîĊĚÖćøêøüÝêøćĒúąÖćøðøąđöĉîêšĂÜóĉÝćøèćĔîđøČęĂÜ
1. ÙüćöÿćöćøëĔîÖćøðøąöüúñú (Processing Power)
2. ÙüćöêšĂÜÖćøĀîŠü÷ÙüćöÝĞć (Memory Requirement)
3. ×îćéĒúąÖćøĔßšÜćî×ĂÜĀîŠü÷đÖĘï×šĂöĎú (Disk Usage and Size)
4. ðøĉöćè×šĂöĎúĔîøąïïđÙøČĂ×Šć÷ìĊęÿćöćøëøĂÜøĆïĕéš (Network Traffic Load)
6.3.2 ÖćøêøüÝøĆïøąïï (System Acceptance)

1) ĀĆüĀîšćÜćîÿćøÿîđìý ĒúąĀîŠü÷Üćîõć÷ĔîìĊęêšĂÜÖćøüŠćÝšćÜĀîŠü÷Üćîõć÷îĂÖ êšĂÜÖĞćĀîé
đÖèæŤĔîÖćøêøüÝøĆïøąïïÿćøÿîđìýĔĀöŠĂ÷ŠćÜđðŨîúć÷úĆÖþèŤĂĆÖþø
2) ĀĆ ü Āîš ć Üćîÿćøÿîđìý ĒúąĀîŠ ü ÷Üćîõć÷ĔîìĊę êš Ă ÜÖćøüŠ ć Ýš ć ÜĀîŠ ü ÷Üćîõć÷îĂÖ êš Ă ÜöĊ
ÖćøðøąßčöĀćøČĂøŠüöÖĆîĂ÷ŠćÜÿöęĞćđÿöĂêúĂéßŠüÜÖćøóĆçîćøąïï óøšĂöìĆĚÜÝĆéĔĀšöĊÖćøìéÿĂï
đóČęĂĔĀšöĆęîĔÝüŠćøąïïÜćîĕéšøĆïÖćøĂĂÖĒïïêćöÙüćöêšĂÜÖćø×ĂÜñĎšĔßšÜćî
3) ÖćøîĞ ć øąïïÿćøÿîđìýĔĀöŠ Ā øČ Ă øąïïÿćøÿîđìýìĊę öĊ Ö ćøðøĆ ï ðøč Ü ĕðĔßš Ü ćîÝøĉ Ü êš Ă Üĕéš øĆ ï
ÖćøĂîčöĆêĉÝćÖñĎšđðŨîđÝšć×ĂÜÿćøÿîđìýĒúąĀĆüĀîšćÜćîÿćøÿîđìý ēé÷êšĂÜóĉÝćøèćđøČęĂÜéĆÜêŠĂĕðîĊĚ
1. ÙüćöêšĂÜÖćøéšćîìøĆó÷ćÖøĒúąðøąÿĉìíĉõćó×ĂÜøąïïÿćøÿîđìý
2. ÖćøÝĆéÖćøÙüćöêŠĂđîČęĂÜìćÜíčøÖĉÝ
3. ÖćøÖĎšÙČîøąïïĒúąÖćøüćÜĒñîÖćøïøĉĀćøÙüćöêŠĂđîČęĂÜ
4. ÖćøÖĞćĀîéöćêøåćîĔîÖćøđêøĊ÷öÖćøĒúąÖćøìéÿĂïÖøąïüîÖćøðäĉïĆêĉÜćîðøąÝĞćüĆî
5. ×šĂêÖúÜĔîÖćøÙüïÙčöÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý
6. ÙüćöëĎÖêšĂÜÙøïëšüî×ĂÜÙĎŠöČĂÖćøðäĉïĆêĉÜćî
7. đĂÖÿćøĂšćÜĂĉÜĀøČĂñúÖćøìéÿĂïìĊęÿîĆïÿîčîüŠćÖćøîĞćøąïïĔĀöŠöćĔßšÝąĕöŠöĊñúÖøąìï
êŠĂøąïïðŦÝÝčïĆî ēé÷đÞóćąĔîßŠüÜđüúćìĊęöĊÖćøĔßšÜćîÿĎÜ
8. đĂÖÿćøĂšćÜĂĉÜĀøČĂñúÖćøìéÿĂïìĊęÿîĆïÿîčîüŠćĕéšöĊÖćøóĉÝćøèćñúÖøąìï×ĂÜøąïï
ĔĀöŠìĊęöĊñúêŠĂÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý×ĂÜ Öôñ.
9. ÖćøĂïøöÖćøðäĉïĆêĉÜćîÿĞćĀøĆïøąïïĔĀöŠ
10. ÙüćöÿąéüÖĔîÖćøĔßšÜćî
6.4 ÖćøðŜĂÜÖĆîēðøĒÖøöìĊęĕöŠðøąÿÜÙŤéĊ (Protection against Malicious and Mobile

Code)
ĔĀšöĊÖćøðŜĂÜÖĆîēðøĒÖøöìĊęĕöŠðøąÿÜÙŤéĊ ĒúąÖćøðŜĂÜÖĆîēðøĒÖøößîĉéđÙúČęĂîìĊę

öćêøåćî
6.4.1 ÖćøðŜĂÜÖĆîēðøĒÖøöìĊęĕöŠðøąÿÜÙŤéĊ (Controls Against Malicious Code)
1) ñĎšðäĉïĆêĉÜćîöĊĀîšćìĊęêøüÝÿĂïĒúąêĉéêĆĚÜēðøĒÖøöìĊęêøüÝÝĆïĒúąĒÖšĕ× ēðøĒÖøöìĊęĕöŠðøąÿÜÙŤéĊ ïî
ĂčðÖøèŤðøąöüúñúÿćøÿîđìýìĊęøĆïñĉéßĂï ĒúąöĊÖćøðøĆïðøčÜēðøĒÖøöéĆÜÖúŠćüĔĀšìĆîÿöĆ÷Ă÷ĎŠ
đÿöĂ
1. êøüÝÿĂï ĕôúŤ (File) ìĊęĂ÷ĎŠĔîĂčðÖøèŤðøąöüúñúÿćøÿîđìý ĒúąĕôúŤ (File) ìĊęĕéšøĆï
ÝćÖđÙøČĂ×Šć÷ĂČęîė đóČęĂêøüÝĀćēðøĒÖøöìĊęĕöŠðøąÿÜÙŤéĊÖŠĂîđðŗéĔßšÜćî
2. êøüÝÿĂïÿćøÿîđìýìĊę ÿŠÜ öćÖĆ ï ÝéĀöć÷Ăĉ đúĘ Ö ìøĂîĉÖ ÿŤđ óČę Ă êøüÝĀćēðøĒÖøöìĊę ĕ öŠ
ðøąÿÜÙŤéĊÖŠĂîđðŗéĔßš
3. êøüÝÿĂï Web Page ìĊęđ×šćëċÜđóČęĂðŜĂÜÖĆîēðøĒÖøöìĊęĕöŠðøąÿÜÙŤéĊ
2) ĀĆüĀîšćÜćîÿćøÿîđìý öĊĀîšćìĊęĔîÖćøïøĉĀćøÝĆéÖćø ÙüïÙčö ĒúąüćÜĒñîĔîÖćøðŜĂÜÖĆîēðøĒÖøö
ìĊęĕöŠðøąÿÜÙŤéĊ ìĊęĂćÝÿøšćÜÙüćöđÿĊ÷Āć÷ĔĀšÖĆïøąïïÿćøÿîđìý×ĂÜ Öôñ. ēé÷êšĂÜéĞćđîĉîÖćø
1. ðŜĂÜÖĆîÖćøêĉéêĆĚÜàĂôêŤĒüøŤ (Software) ìĊęĕöŠĕéšøĆïĂîčâćê ĒúąÿĂïìćîàĂôêŤĒüøŤ
(Software) ĒúąĕôúŤ (File) ×šĂöĎúìĊęöĊÙüćöÿĞćÙĆâêŠĂ Öôñ. Ă÷ŠćÜÿöęĞćđÿöĂ
2. đêøĊ÷öĒñîÙüćöêŠĂđîČęĂÜìćÜíčøÖĉÝìĊęđĀöćąÿö đóČęĂøĆïöČĂÖĆïÖćøëĎÖēÝöêĊēé÷ēðøĒÖøö
ĕöŠðøąÿÜÙŤéĊ ìĆĚÜîĊĚøüöëċÜÖøąïüîÖćøĔîÖćøÿĞćøĂÜĒúąÖĎšÙČî×šĂöĎú
3. ÝĆ é ìĞ ć ×š Ă ðäĉ ïĆ êĉ ÿĞ ć ĀøĆ ï ñĎš Ĕ ßš Ü ćîđöČę Ă êøüÝóïēðøĒÖøöìĊę ĕ öŠ ð øąÿÜÙŤ éĊ àċę Ü øüöëċ Ü
Öćøøć÷Üćî ĒúąÖćøÖĎš×šĂöĎúÝćÖÖćøëĎÖēÝöêĊēé÷ēðøĒÖøöìĊęĕöŠðøąÿÜÙŤéĊ
4. êĉéêćö×šĂöĎú×ŠćüÿćøđÖĊę÷üÖĆïēðøĒÖøöìĊęĕöŠðøąÿÜÙŤéĊĂ÷ŠćÜÿöęĞćđÿöĂ đßŠî ÖćøđðŨî
ÿöćßĉÖĀøČĂđ×šć Web Site ìĊęĔĀš×šĂöĎúđÖĊę÷üÖĆïēðøĒÖøöìĊęĕöŠðøąÿÜÙŤéĊ đðŨîêšî
5. êøüÝÿĂïÖćøìĞćÜćî×ĂÜēðøĒÖøöìĊęêøüÝÝĆïēðøĒÖøöìĊęĕöŠðøąÿÜÙŤéĊ đóČęĂĔĀšöĆęîĔÝüŠć
ÖćøĒÝšÜđêČĂîĒúąÖćøĔĀš×šĂöĎúîĆĚîëĎÖêšĂÜ
6. ðŜĂÜÖĆîĕöŠĔĀšñĎšĔßšÜćîĀ÷čéĀøČĂëĂéëĂîēðøĒÖøöìĊęêøüÝÝĆïĒúąĒÖšĕ×ēðøĒÖøöìĊęĕöŠ
ðøąÿÜÙŤéĊ
7. ÝĆéìĞć×šĂêÖúÜ ĒúąĀøČĂ ÿĆââćÖćøĔĀšïøĉÖćøĀúĆÜÖćø×ć÷ÖĆïñĎšïøĉþĆìÙĎŠÙšć ĒúąĀøČĂ
đÝšć×ĂÜñúĉêõĆèæŤđóČęĂðøĆïðøčÜĔĀšēðøĒÖøöìĊęêøüÝÝĆïĒúąĒÖšĕ×ēðøĒÖøöìĊęĕöŠðøąÿÜÙŤéĊ
öĊÙüćöìĆîÿöĆ÷Ă÷ĎŠđÿöĂ
8. ðøąÿćîÜćîÖĆ ïñĎšøĆïñĉ éßĂïÖćøÙüïÙčöõć÷Ĕî ĔĀšöĊÖćøÙüïÙčöĒúąêøüÝÿĂïÖćø
ðŜĂÜÖĆîēðøĒÖøöìĊęĕöŠðøąÿÜÙŤéĊ Ă÷ŠćÜîšĂ÷ðŘúą 2 ÙøĆĚÜ
6.4.2 ÖćøðŜĂÜÖĆîēðøĒÖøößîĉéđÙúČęĂîìĊę (Controls Against Mobile Code)

1) ĀĆüĀîšćÜćîÿćøÿîđìý öĊĀîšćìĊęĔîÖćøïøĉĀćøÝĆéÖćø ÙüïÙčö ĒúąüćÜĒñîÖćøðŜĂÜÖĆîēðøĒÖøöìĊęĕöŠ
ðøąÿÜÙŤéĊßîĉéđÙúČęĂîìĊę ìĊęĂćÝÿøšćÜÙüćöđÿĊ÷Āć÷ĔĀšÖĆïøąïïÿćøÿîđìý×ĂÜ Öôñ. ēé÷êšĂÜ
éĞćđîĉîÖćøéĆÜêŠĂĕðîĊĚ
1. ĔĀšöĊÖćøêøüÝÿĂïÙüćöëĎÖêšĂÜ×ĂÜĒĀúŠÜìĊęöć×ĂÜēðøĒÖøößîĉéđÙúČęĂîìĊę (đßŠî Java
Applet Ēúą ActiveX đðŨîêšî) ÖŠĂîÖćøĔßšÜćî
2. ĔĀšĔßšēðøĒÖøößîĉéđÙúČęĂîìĊęìĊęĕéšøĆïĂîčâćêÝćÖĀĆüĀîšćÜćîÿćøÿîđìýđìŠćîĆĚî
3. ĔĀšĔßšēðøĒÖøößîĉéđÙúČęĂîìĊęđÞóćąĔîÿõćóĒüéúšĂöìćÜêøøÖą (Logical) Ēïïðŗé
đìŠćîĆĚî
4. øąÜĆïÖćøĔßšĀøČĂøĆïēðøĒÖøößîĉéđÙúČęĂîìĊę đöČęĂêøüÝóïüŠćēðøĒÖøößîĉéđÙúČęĂîìĊęĂćÝ
ÿøšćÜÙüćöđÿĊ÷Āć÷
1) PD-14 ×ĆĚîêĂîÖćøðäĉïĆêĉÜćîđøČęĂÜ ÖćøÙüïÙčöðŜĂÜÖĆîēðøĒÖøöìĊęĕöŠðøąÿÜÙŤéĊ (Controls Against
Malicious Code Procedure)
2) PD-16 ×ĆĚîêĂîÖćøðäĉïĆêĉÜćîđøČęĂÜ ÖćøÖĎšÙČîÿõćó (Restoration Procedure)
6.5 ÖćøÿĞćøĂÜ×šĂöĎú (Back-up)
ĔĀšöĊÖćøÿĞćøĂÜ×šĂöĎú ĒúąìéÿĂï×šĂöĎúìĊęÿĞćøĂÜĕüšĂ÷ŠćÜÿöęĞćđÿöĂ
öćêøåćî
6.5.1 ÖćøÿĞćøĂÜ×šĂöĎú (Information Back-up)
1) ñĎšđðŨîđÝšć×ĂÜÿćøÿîđìýêšĂÜðøąÿćîÜćîÖĆïĀĆüĀîšćÜćîÿćøÿîđìýđóČęĂĔĀšöĆęîĔÝüŠćöĊÖøąïüîÖćø
ÿĞćøĂÜ×šĂöĎúĒúąÖćøÖĎšÙČî×šĂöĎúìĊęđóĊ÷ÜóĂêŠĂÙüćöêšĂÜÖćøìćÜíčøÖĉÝ×ĂÜ Öôñ.
2) ñĎšđðŨîđÝšć×ĂÜÿćøÿîđìýêšĂÜðøąÿćîÜćîÖĆïĀĆüĀîšćÜćîÿćøÿîđìýđóČęĂÖĞćĀîéÙüćöëĊęĒúąßŠüÜđüúć
Ĕî ÖćøÿĞćøĂÜ×šĂöĎúÿćøÿîđìýĔĀšÿĂéÙúšĂÜÖĆïÙüćöêšĂÜÖćø×ĂÜ Öôñ. Ēúąêćö×šĂïĆÜÙĆïìćÜ
ÖãĀöć÷
3) ĀĆüĀîšćÜćîÿćøÿîđìýêšĂÜÖĞćĀîéĔĀšöĊÖćøÿĞćøĂÜ×šĂöĎú ēé÷ÙüøóĉÝćøèćđøČęĂÜéĆÜêŠĂĕðîĊĚ
1. øąéĆïÙüćöÝĞćđðŨî×ĂÜÖćøÿĞćøĂÜ×šĂöĎú
2. ðøąđõì×ĂÜ×šĂöĎúìĊęÙüøÿĞćøĂÜĂ÷ŠćÜîšĂ÷éĆÜêŠĂĕðîĊĚ
x øąïïðäĉïĆêĉÖćø
x ïĆîìċÖđĀêčÖćøèŤ×ĂÜøąïïðäĉïĆêĉÖćø (Event Logs)

x øąïïåćî×šĂöĎú
x Archive Log ×ĂÜøąïïåćî×šĂöĎú
x øąïïĒĂóúĉđÙßĆî
x ÖćøÖĞćĀîéÙŠć (Configuration) ×ĂÜĂčðÖøèŤđÙøČĂ×Šć÷ đßŠî Routers,
Switches đðŨîêšî
x ÖćøÖĞćĀîéÙŠć (Configuration) ×ĂÜøąïïøĆÖþćÙüćöðúĂéõĆ÷ đßŠî Firewall,
IDS đðŨîêšî
3. ðøąđõì×ĂÜÖćøÿĞćøĂÜ×šĂöĎú đßŠî ÖćøÿĞćøĂÜ×šĂöĎúìĆĚÜĀöéĀøČĂïćÜÿŠüî ĒúąÙüćöëĊę
×ĂÜÖćøÿĞćøĂÜ×šĂöĎú đðŨîêšî
4. ÿëćîìĊęÝĆéđÖĘïÿČęĂïĆîìċÖ×šĂöĎúÿĞćøĂÜĒúą×šĂöĎúìĊęëĎÖÿĞćøĂÜ êš ĂÜöĊøąéĆïÖćøðŜĂÜÖĆ î
éšćîÖć÷õćó (Physical) ĒúąÿõćóĒüéúšĂöìĊęđĀöćąÿö
5. êšĂÜìéÿĂïÿČęĂïĆîìċÖ×šĂöĎúÿĞćøĂÜĂ÷ŠćÜÿöęĞćđÿöĂ đóČęĂĔĀšöĆęîĔÝüŠćÿćöćøëîĞćÖúĆïöć
ĔßšĕéšĔîßŠüÜÞčÖđÞĉî
6. êšĂÜöĊÖćøđ×šćøĀĆÿÿČęĂïĆîìċÖ×šĂöĎúÿĞćøĂÜìĊęöĊøąéĆïÙüćööĆęîÙÜðúĂéõĆ÷ “ÿĎÜÿčé” Ēúą
“ÿĎÜ”
4) ÿČęĂïĆîìċÖ×šĂöĎúÿĞćøĂÜêšĂÜöĊðŜć÷ßČęĂàċęÜÿćöćøëøąïč×šĂöĎúéĆÜêŠĂĕðîĊĚ
1. ßČęĂ×ĂÜøąïïÿćøÿîđìý
2. ðøąđõì×ĂÜÖćøÿĞćøĂÜ×šĂöĎú
3. üĆîìĊęđøĉęöĔßšÿČęĂĔîÖćøÿĞćøĂÜ×šĂöĎú
4. ĀöüéĀöĎŠÿćøÿîđìý
5) êšĂÜöĊÖćøìéÿĂïÿČęĂïĆîìċÖ×šĂöĎúÿĞćøĂÜĔîĒêŠúąøąïïĂ÷ŠćÜîšĂ÷ðŘúą 1 ÙøĆĚÜ
1) PD-15 ×ĆĚîêĂîÖćøðäĉïĆêĉÜćîđøČęĂÜ ÖćøÿĞćøĂÜ×šĂöĎú (Backup Procedure)
2) PD-16 ×ĆĚîêĂîÖćøðäĉïĆêĉÜćîđøČęĂÜ ÖćøÖĎšÙČîÿõćó (Restoration Procedure)
6.6 ÖćøïøĉĀćøÝĆéÖćøìćÜéšćîÙüćööĆęîÙÜðúĂéõĆ÷ÿĞćĀøĆïđÙøČĂ×Šć÷×ĂÜĂÜÙŤÖø (Network

Security Management)
ĔĀšöĊÖćøðŜĂÜÖĆîõĆ÷ÙčÖÙćöìćÜđÙøČĂ×Šć÷ ĒúąÖćøøĆÖþćÙüćööĆęîÙÜðúĂéõĆ÷ÿĞćĀøĆïïøĉÖćøđÙøČĂ×Šć÷
öćêøåćî
6.6.1öćêøÖćøìćÜđÙøČĂ×Šć÷ (Network Controls)
1) òść÷ðäĉ ïĆêĉÖćøđìÙēîēú÷Ċÿ ćøÿîđìý êš ĂÜÝĆéĔĀšöĊÖćøÙüïÙčö ÖćøĔßš ÜćîđÙøČ Ă×Š ć÷ĒúąðŜĂÜÖĆ î
ÖćøđßČęĂöêŠĂÝćÖñĎšìĊęĕöŠĕéšøĆïĂîčâćêĔîÖćøđ×šćëċÜđÙøČĂ×Šć÷ éĆÜêŠĂĕðîĊĚ
1. Āîš ć ìĊę Ù üćöøĆ ï ñĉ é ßĂïĔîÖćøðäĉ ïĆ êĉ Ü ćîéš ć îđÙøČ Ă ×Š ć ÷êš Ă ÜĒ÷ÖÝćÖĀîš ć ìĊę
ÙüćöøĆïñĉéßĂïĔîÖćøðäĉïĆêĉÜćîéšćîÙĂöóĉüđêĂøŤ
2. ÝĆéìĞćĒñîñĆÜđÙøČĂ×Šć÷ÿćøÿîđìý×ĂÜ Öôñ. ìĆĚÜìćÜÖć÷õćó (Physical) ĒúąìćÜ
êøøÖą (Logical) øüöëċÜÖĞćĀîéĔĀšöĊÖćøðøĆïðøčÜĒñîñĆÜđöČęĂöĊÖćøđðúĊę÷îĒðúÜđÙøČĂ×Šć÷
3. ĔîÖćøđ×šćëċÜøą÷ąĕÖú (Remote) ÝćÖõć÷îĂÖđÙøČĂ×Šć÷×ĂÜ Öôñ. êšĂÜĕéšøĆïÖćøĂîčöĆêĉ
ÝćÖòść÷ðäĉïĆêĉÖćøđìÙēîēú÷Ċÿćøÿîđìý ĒúąĀĆüĀîšćÜćîÿćøÿîđìýìĊęđÖĊę÷ü×šĂÜĂ÷ŠćÜ
đðŨîúć÷úĆÖþèŤĂĆÖþø ìĆĚÜîĊĚÖćøđ×šćëċÜøą÷ąĕÖú (Remote) ÙüøöĊÖćøÙüïÙčÙüćööĆęîÙÜ
ðúĂéõĆ÷ìćÜđìÙîĉÙĂČęîė đßŠî VPN, Token-Based Authentication Devices Ēúą
Digital Certificate đðŨîêšî
4. ÝĆé ĔĀšöĊ Öćøđ×šćøĀĆÿ×š ĂöĎú ìĊęöĊÙüćöÿĞ ćÙĆâ ÿĞćĀøĆïÿćøÿîđìýìĊęìĊęöĊ ø ąéĆïÙüćööĆęîÙÜ
ðúĂéõĆ÷ “ÿĎÜÿčé” Ēúą “ÿĎÜ” ìĊęÿŠÜñŠćîđÙøČĂ×Šć÷ÿćíćøèąĀøČĂđÙøČĂ×Šć÷ĕøšÿć÷
5. êšĂÜöĊÖćøøąÜĆïÖćøĔĀšïøĉÖćøéšćîđÙøČĂ×Šć÷ (Network Services) ìĊęĕöŠĕéšĔßšÜćîĒúąĀøČĂ
ĕöŠĕéšöĊÖćøđ×šćøĀĆÿ đßŠî FTP Ēúą Telnet đðŨîêšî ìĆĚÜîĊĚĔîÖøèĊìĊęñĎšðäĉïĆêĉÜćîöĊÙüćö
ÝĞćđðŨîêšĂÜĔßš ÖćøïøĉÖćøéšćîđÙøČĂ×Šć÷ (Network Services) éĆÜÖúŠćüêšĂÜĒÝšÜÙüćö
ðøąÿÜÙŤ Ē úą×ĂĂîč öĆ êĉ Ý ćÖòś ć ÷ðäĉ ïĆ êĉ Ö ćøđìÙēîēú÷Ċ ÿ ćøÿîđìý ĒúąĀĆ ü Āîš ć Üćî
ÿćøÿîđìýìĊęđÖĊę÷ü×šĂÜ Ă÷ŠćÜđðŨîúć÷úĆÖþèŤĂĆÖþø
6. ĀšćöđßČęĂöêŠĂĂč ðÖøèŤðøąöüúñúÿćøÿîđìý×ĂÜ Öôñ. ÖĆ ïđÙøČĂ×Šć÷ÿćíćøèąñŠćî
ĂčðÖøèŤđßČęĂöêŠĂ đßŠî Modem, AirCard Ēúą Access Point đðŨîêšî ìĆĚÜîĊĚĔîÖøèĊìĊęöĊ
ÙüćöÝĞćđðŨîêšĂÜĔßšĂčðÖøèŤđóČęĂđßČęĂöêŠĂÖĆïđÙøČĂ×Šć÷ÿćíćøèą êšĂÜĕéšøĆïÖćøĂîčöĆêĉÝćÖ
òść÷ðäĉïĆêĉÖćøđìÙēîēú÷ĊÿćøÿîđìýĒúąĀĆüĀîšćÜćîÿćøÿîđìýìĊęđÖĊę÷ü×šĂÜ Ă÷ŠćÜđðŨî
7. êšĂÜöĊÖćøïĆîìċÖđĀêčÖćøèŤ ĒúąÖćøđòŜćøąüĆÜ Ă÷ŠćÜÿöęĞćđÿöĂ đóČęĂĔĀšÿćöćøëêøüÝóï
đĀêčúąđöĉéìĊęđÖĊę÷ü×šĂÜÖĆïÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý

6.6.2ÙüćööĆęîÙÜðúĂéõĆ÷ÿĞćĀøĆïïøĉÖćøđÙøČĂ×Šć÷ (Security of Network Services)
1) òść÷ðäĉïĆêĉÖćøđìÙēîēú÷Ċÿćøÿîđìý êšĂÜÖĞćÖĆïéĎĒúĒúąêøüÝÿĂïÖćøĔĀšïøĉÖćø×ĂÜñĎšĔĀšïøĉÖćø
éš ćîđÙøČĂ×Šć ÷ đóČę Ă ĔĀšöĊ øąéĆ ïÖćøĔĀšïøĉÖćø úĆ Ö þèą×ĂÜÖćøĔĀšïøĉÖ ćø ĒúąøąéĆ ïÙüćööĆęî ÙÜ
ðúĂéõĆ÷đðŨîĕðêćö×šĂêÖúÜ ĒúąĀøČĂ ÿĆââćÖćøĔĀšïøĉÖćø
6.7 ÖćøÝĆéÖćøÿČęĂìĊęĔßšĔîÖćøïĆîìċÖ×šĂöĎú (Media Handling)
ĔĀšöĊÖćøïøĉĀćøÝĆéÖćøÿČęĂïĆîìċÖ×šĂöĎúìĊęÿćöćøëđÙúČęĂî÷šć÷ĕéš ÖćøÖĞćÝĆéÿČęĂïĆîìċÖ×šĂöĎú óøšĂöìĆĚÜÖćøÿøšćÜ
ÙüćööĆęîÙÜðúĂéõĆ÷ÿĞćĀøĆïđĂÖÿćøøąïï Ēúą×ĆĚîêĂîðäĉïĆêĉÿĞćĀøĆïÖćøÝĆéÖćøÿćøÿîđìý
öćêøåćî
6.7.1 ÖćøïøĉĀćøÝĆéÖćøÿČęĂïĆîìċÖ×šĂöĎúìĊęÿćöćøëđÙúČęĂî÷šć÷ĕéš (Management of Removable
Media)
1) ĀĆüĀîšćÜćîÿćøÿîđìý êšĂÜöĊÖćøïøĉĀćøÝĆéÖćøÿČęĂïĆîìċÖ×šĂöĎúìĊęÿćöćøëđÙúČęĂî÷šć÷ĕéš ēé÷ÝĆéĔĀšöĊ
ÖćøÙüïÙčö éĆÜêŠĂĕðîĊĚ
1. ÿČęĂìĊęïĆîìċÖ×šĂöĎú ìĊęĕöŠöĊÙüćöÝĞćđðŨîêšĂÜĔßšÜćî êšĂÜìĞćúć÷×šĂöĎúéĆÜÖúŠćüĔĀšĕöŠÿćöćøëÖĎš
ÖúĆïÙČîĕéš ÖŠĂîîĞćÿČęĂéĆÜÖúŠćüĕðĔßšÜćîĂĊÖÙøĆĚÜ ēé÷óĉÝćøèćêćöøąéĆïÙüćööĆęîÙÜ
ðúĂéõĆ÷×ĂÜÿćøÿîđìý (ĂšćÜĂĉÜ ST-03: öćêøåćîÖćøïøĉĀćøÝĆéÖćøìøĆó÷Ťÿĉîéšćî
ÿćøÿîđìý (Standard of Asset Management))
2. ÿČęĂïĆîìċÖ×šĂöĎúêšĂÜÝĆéđÖĘïĔîÿõćóĒüéúšĂöìćÜÖć÷õćó (Physical) ìĊęöĊÙüćööĆęîÙÜ
ðúĂéõĆ÷ ĒúąĀøČĂêćöìĊęìćÜñĎšñúĉêĕéšøąïč
3. ĔîÖøèĊìĊęĂć÷čÖćøÝĆéđÖĘïÿćøÿîđìýîćîÖüŠćĂć÷č×ĂÜÿČęĂïĆîìċÖ×šĂöĎú (êćöÙĞćĒîąîĞć×ĂÜ
ñĎšñúĉê) êšĂÜëŠć÷ēĂîÿćøÿîđìýĕð÷ĆÜÿČęĂĂČęî đóČęĂðŜĂÜÖĆîÖćøÿĎâĀć÷×ĂÜÿćøÿîđìýÝćÖ
ÖćøđÿČęĂöÿõćó×ĂÜÿČęĂïĆîìċÖ×šĂöĎúîĆĚî
2) ĔîÖøèĊìĊęöĊÙüćöÝĞćđðŨîĔîÖćøđÙúČęĂî÷šć÷ÿČęĂïĆîìċÖ×šĂöĎúĂĂÖîĂÖ Öôñ. êšĂÜĕéšøĆïÖćøĂîčöĆêĉÝćÖ
ñĎšĂĞćîü÷Öćøòść÷ĀøČĂđìĊ÷ïđìŠć×ċĚîĕð Ă÷ŠćÜđðŨîúć÷úĆÖþèŤĂĆÖþø ĒúąêšĂÜöĊÖćøïĆîìċÖøć÷úąđĂĊ÷é
ÖćøđÙúČęĂî÷šć÷éĆÜÖúŠćüđóČęĂđðŨîĀúĆÖåćîÖćøêøüÝÿĂïĔîõć÷ĀúĆÜ
6.7.2 ÖćøÖĞćÝĆéÿČęĂïĆîìċÖ×šĂöĎú (Disposal of Media)

1) ĀĆüĀîšćÜćîÿćøÿîđìý êšĂÜÖĞćĀîé×ĆĚîêĂîðäĉïĆêĉÿĞćĀøĆïÖćøìĞćúć÷ÿČęĂïĆîìċÖ×šĂöĎú đóČęĂúéÙüćö
đÿĊę÷ÜĔîÖćøøĆęüĕĀú×ĂÜÿćøÿîđìýĀøČĂÖćøđ×šćëċÜēé÷ñĎšìĊęĕöŠĕéšøĆïĂîčâćê
2) ÿČęĂìĊęïĆîìċÖ×šĂöĎúìĊęÿĞćÙĆâêšĂÜöĊÖćøìĞćúć÷Ă÷ŠćÜđĀöćąÿö đßŠî Öćøđñć ÖćøêĆéđîČĚĂđìð ĀøČĂÖćøĔßš
ēðøĒÖøöĂČęîė×ĂÜ Öôñ. ìĊęđĀöćąÿöĔîÖćøúï×šĂöĎú ìĆĚÜîĊĚ üĉíĊÖćøìĞćúć÷ÿČęĂ ĔîĒêŠúąðøąđõì
ÝĞćĒîÖĕéšéĆÜêŠĂĕðîĊĚ
1. đĂÖÿćøìĊęđðŨîÖøąéćþ
x ĔîÖøèĊìĊęĕöŠöĊÙüćöÝĞćđðŨîìĊęÝąĔßšÜćîđĂÖÿćøìĊęđðŨîÙüćöúĆïĀøČĂöĊÙüćöÿĞćÙĆâ
ÝąêšĂÜĕéšøĆïÖćøĂîčöĆêĉÝćÖñĎšđðŨîđÝšć×ĂÜÿćøÿîđìýÖŠĂîîĞćĕðìĞćúć÷éšü÷üĉíĊìĊę
ĕöŠÿćöćøëîĞćêšîÞïĆïÖúĆïöćĔßšÜćîĕéš đßŠî Öćøđñć ĀøČĂ ÖćøìĞćúć÷ìćÜ
Öć÷õćó (Physical) ñŠćîìćÜđÙøČęĂÜìĞćúć÷Öøąéćþ đðŨîêšî
x êšĂÜĕöŠîĞćđĂÖÿćøìĊęöĊøąéĆïÙüćööĆęîÙÜðúĂéõĆ÷ “ÿĎÜÿčé” Ēúą “ÿĎÜ” öćĔßšÜćî
ĔĀöŠ (Recycled)
2. ÿČęĂĔîøĎðĂĉđúĘÖìøĂîĉÖÿŤ
x ĔîÖøèĊìĊęĕöŠöĊÙüćöÝĞćđðŨîìĊęÝąĔßšÜćîÿČęĂĔîøĎðĂĉđúĘÖìøĂîĉÖÿŤìĊęđÖĘï×šĂöĎúìĊęđðŨî
ÙüćöúĆïĀøČĂöĊÙüćöÿĞćÙĆâ ÝąêšĂÜĕéšøĆïÖćøĂîčöĆêĉÝćÖñĎšđðŨîđÝšć×ĂÜÿćøÿîđìý
ÖŠĂîîĞćĕðìĞćúć÷éšü÷üĉíĊìĊęĕöŠÿćöćøëîĞćêšîÞïĆïÖúĆïöćĔßšÜćîĕéš đßŠî Öćøđñć
Öćøúï ĀøČĂđ×Ċ÷îìĆï×šĂöĎúēé÷ĔßšĀúĆÖÖćøìćÜđìÙîĉÙìĊęöĆęîĔÝĕéšüŠćÝąĕöŠÿćöćøë
îĞćÿćøÿîđìýđéĉöÖúĆïöćĕéš (Non-Retrievable) đðŨîêšî
3. ĔîÖøèĊìĊęöĊÖćøĔßšïøĉÖćøĀîŠü÷Üćîõć÷îĂÖĔîÖćøìĞćúć÷ đĂÖÿćø ĂčðÖøèŤ ĒúąÿČęĂ
ïĆîìċÖ×šĂöĎú ñĎšøšĂÜ×ĂĔîÖćøìĞćúć÷ÿČęĂ öĊĀîšćìĊęÖĞćÖĆïéĎĒúĔĀšĀîŠü÷Üćîõć÷îĂÖðäĉïĆêĉ
êćöîē÷ïć÷ĒúąöćêøåćîÖćøÖĞćÝĆéÿČęĂïĆîìċÖ×šĂöĎú×ĂÜ Öôñ. øüöëċÜÖćøÙüïÙčöøąéĆï
ÖćøĔĀšïøĉÖćøĒúąúĆÖþèą×ĂÜÖćøĔĀšïøĉÖćøĔĀšđðŨîĕðêćö×šĂêÖúÜ ĒúąĀøČĂ ÿĆââćÖćø
ĔĀšïøĉÖćø
4. ñĎšéĞćđîĉîÖćøìĞćúć÷ÿČęĂ êšĂÜÝĆéìĞć “ìąđïĊ÷îÖćøìĞćúć÷ÿČęĂïĆîìċÖ×šĂöĎú” đóČęĂđÖĘïïĆîìċÖ
đĀêč Ö ćøèŤ Ö ćøìĞ ć úć÷ÿČę Ă ìĊę ïĆ î ìċ Ö ×š Ă öĎ ú ĒúąĔßš đ ðŨ î ĀúĆ Ö åćîĂš ć ÜĂĉ Ü ÿĞ ć ĀøĆ ï
ÖćøêøüÝÿĂïĔîõć÷ĀúĆÜ
6.7.3 ×ĆĚîêĂîðäĉïĆêĉÿĞćĀøĆïÖćøÝĆéÖćøÿćøÿîđìý (Information Handling Procedures)

1) ñĎšđðŨîđÝšć×ĂÜÿćøÿîđìý êšĂÜÝĆéĔĀšöĊÖćøïøĉĀćøÝĆéÖćøÿČęĂïĆîìċÖ×šĂöĎú ĔĀšÿĂéÙúšĂÜÖĆïøąéĆïÙüćö
öĆęîÙÜðúĂéõĆ÷×ĂÜÿćøÿîđìý àċęÜÙøĂïÙúčöĂ÷ŠćÜîšĂ÷ĔîđøČęĂÜéĆÜêŠĂĕðîĊĚ
1. ÖćøÝĆéÖćøĒúąÝĆéìĞćðŜć÷ßČęĂ×ĂÜÿČęĂïĆîìċÖ×šĂöĎúêćöÖćøÝĆéßĆĚîÿćøÿîđìý
2. ÖćøÝĞćÖĆéÖćøđ×šćëċÜđóČęĂðŜĂÜÖĆîÖćøđ×šćëċÜÿČęĂïĆîìċÖ×šĂöĎúēé÷ñĎšìĊęĕöŠĕéšøĆïĂîčâćê
3. ÖćøÝĆéìĞćìąđïĊ÷îñĎšìĊęĕéšøĆïĂîčâćêĔîÖćøĕéšøĆïÿČęĂïĆîìċÖ×šĂöĎú

4. ÖćøêøüÝÿĂïÙüćöÙøïëš ü î×ĂÜ×š Ă öĎ ú îĞ ć đ×š ć ÖćøêøüÝÿĂïÙüćöÿĞ ć đøĘ Ý ×ĂÜÖćø
ðøąöüúñú ĒúąÖćøêøüÝÿĂïĒúą÷Čî÷ĆîÙüćöëĎÖêšĂÜ×ĂÜ×šĂöĎúîĞćĂĂÖ
5. ÖćøðŜĂÜÖĆî×šĂöĎúìĊęĂ÷ĎŠøąĀüŠćÜÖćøðøąöüúñúĒúąÖćøîĞćĂĂÖĕð÷ĆÜÿČę ĂïĆîìċÖ×šĂöĎú
(Spooled data) đßŠî ×šĂöĎúđĂÖÿćøìĊęĂ÷ĎŠĔîøąĀüŠćÜÖćøÝĆéóĉöóŤĔî Print Server Ēúą
đÙøČęĂÜóĉöóŤ đðŨîêšî
6. ÖćøÝĆéđÖĘïÿČęĂïĆîìċÖ×šĂöĎúêćöìĊęøąïčĕüšēé÷ñĎšñúĉê
7. Öćøđñ÷ĒóøŠ×šĂöĎúĔĀšîšĂ÷ìĊęÿčéđìŠćìĊęÝĞćđðŨî
8. ÖćøìĞćđÙøČęĂÜĀöć÷ìĊęÿČęĂïĆîìċÖ×šĂöĎúĔĀšßĆéđÝîđóČęĂĔĀšñĎšøĆïÿČęĂïĆîìċÖ×šĂöĎúìĊęĕéšøĆïĂîčâćê
ÿĆÜđÖêđĀĘî
9. ÖćøÿĂïìćîøć÷ßČęĂñĎšìĊęöĊÿĉìíČìĞćÖćøđñ÷ĒóøŠÿČęĂïĆîìċÖ×šĂöĎúĒúąøć÷ßČęĂñĎšìĊęĕéšøĆïĂîčâćê
ĔîÖćøĕéšøĆïÿČęĂïĆîìċÖ×šĂöĎúĂ÷ŠćÜÿöęĞćđÿöĂ
6.7.4 ÖćøÿøšćÜÙüćööĆęîÙÜðúĂéõĆ÷ÿĞćĀøĆïđĂÖÿćøøąïï (Security of System Documentation)

1) ĀĆüĀîšćÜćîÿćøÿîđìýĒúąñĎšđðŨîđÝšć×ĂÜÿćøÿîđìý êšĂÜÝĆéĔĀšöĊÖćøÿøšćÜÙüćööĆęîÙÜðúĂéõĆ÷
ÿĞćĀøĆïđĂÖÿćøøąïï đßŠî àĂøŤÿēÙšé (Source Code) ×ĂÜēðøĒÖøö Ēúąøć÷úąđĂĊ÷é
ÖćøÖĞćĀîéÙŠć×ĂÜøąïï (System Configuration Details) đðŨîêšî ēé÷ÝĆéĔĀšöĊÖćøÙüïÙčö
1. đĂÖÿćøøąïïêšĂÜđÖĘïøĆÖþćĂ÷ŠćÜðúĂéõĆ÷
2. đĂÖÿćøøąïïêšĂÜðøĆïðøčÜĔĀšìĆîÿöĆ÷Ă÷ĎŠđÿöĂ
3. øć÷îćöÖćøđ×šćëċÜđĂÖÿćøøąïïêšĂÜÖĞćĀîéĔĀšöĊñĎšđ×šćëċÜêćöÙüćöđĀöćąÿöĒúąĕéšøĆï
ĂîčâćêÝćÖñĎšđðŨîđÝšć×ĂÜÿćøÿîđìýđìŠćîĆĚî
1) PD-17 ×ĆĚîêĂîÖćøðäĉïĆêĉÜćîđøČęĂÜ Öćø×ĂĔßšÿČęĂïĆîìċÖ×šĂöĎúìĊęÿćöćøëđÙúČęĂî÷šć÷ĕéš (Request of
Removable Media Procedure)
2) PD-18 ×ĆĚîêĂîÖćøðäĉïĆêĉÜćîđøČęĂÜ ÖćøìĞćúć÷ÿČęĂïĆîìċÖ×šĂöĎú (Disposal of Media Procedure)
6.8 ÖćøĒúÖđðúĊę÷îÿćøÿîđìý (Exchange of Information)

ĔĀšöĊ×ĆĚîêĂîðäĉïĆêĉĒúą×šĂêÖúÜÿĞćĀøĆïÖćøĒúÖđðúĊę÷îÿćøÿîđìý óøšĂöìĆĚÜÖćøÙüïÙčöÖćøÿŠÜÿČęĂïĆîìċÖ×šĂöĎú
ĂĂÖĕðõć÷îĂÖ Öôñ. ÖćøÙüïÙčöÖćøÿŠÜ×šĂÙüćöìćÜĂĉđúĘÖìøĂîĉÖÿŤ ĒúąÖćøðŜĂÜÖĆîøąïïÿćøÿîđìýìćÜ
öćêøåćî
6.8.1îē÷ïć÷Ēúą×ĆĚîêĂîðäĉïĆêĉÿĞćĀøĆïÖćøĒúÖđðúĊę÷îÿćøÿîđìý (Information Exchange Policies
and Procedures)
1) ĀĆüĀîšćÜćîÿćøÿîđìý êšĂÜÝĆéìĞć×ĆĚîêĂîÖćøðäĉïĆêĉÜćî ĀøČĂĒîüìćÜÖćøðäĉïĆêĉÿĞćĀøĆï Öćø
ĒúÖđðúĊę÷îÿćøÿîđìýđóČęĂÙüïÙčöÖćøĒúÖđðúĊę÷îÿćøÿîđìý ēé÷ÙüøóĉÝćøèćđøČęĂÜéĆÜêŠĂĕðîĊĚ
1. ÖćøðŜĂÜÖĆîÖćøéĆÖÝĆï×šĂöĎúìĊęĒúÖđðúĊę÷î ÖćøìĞćÿĞćđîć ÖćøđðúĊę÷îĒðúÜĒÖšĕ× ÖćøÿŠÜ
ñĉéđÿšîìćÜ (Mis-Routing) ĒúąÖćøëĎÖìĞćúć÷
2. ÖćøêøüÝÝĆïĒúąðŜĂÜÖĆîēðøĒÖøöìĊęĕöŠðøąÿÜÙŤéĊàċęÜĂćÝëĎÖÿŠÜñŠćîìćÜÖćøĔßšĂčðÖøèŤ
ÿČęĂÿćøĂĉđúĘÖìøĂîĉÖÿŤ
3. ÖćøðŜĂÜÖĆî×šĂöĎúìĊęÿĞćÙĆâĔîøĎðÿČęĂĂĉđúĘÖìøĂîĉÖÿŤìĊęÿŠÜñŠćîĔîøĎðĒïï×ĂÜđĂÖÿćøĒîï
4. ÖćøÿČęĂÿćøĒïïĕøšÿć÷ ēé÷êšĂÜÙĞćîċÜëċÜÙüćöđÿĊę÷ÜđÞóćąéšćîìĊęđÖĊę÷ü×šĂÜ
5. ïìïćìĀîš ć ìĊę Ĕ îÖćøĒÝš Ü đêČ Ă î×ĂÜñĎš ð äĉ ïĆ êĉ Ü ćîĒúąĀîŠ ü ÷Üćîõć÷îĂÖìĊę đ ÖĊę ÷ üÖĆ ï
ÖćøĔßšÜćîøąïïđìÙēîēú÷ĊÿćøÿîđìýìĊęĕöŠđÖĊę÷ü×šĂÜÖĆï Öôñ. àċęÜĂćÝÿŠÜñúêŠĂßČęĂđÿĊ÷Ü
ĒúąõćóóÝîŤ×ĂÜ Öôñ. ĔîđßĉÜúï đßŠî Öćøÿïðøąöćì Öćø×Šö×ĎŠ ÖćøĒĂïĂšćÜ ÖćøÿŠÜ
ÝéĀöć÷úĎÖēàŠ ĒúąÖćøÿĆęÜàČĚĂēé÷ĕöŠĕéšøĆïĂîčâćê đðŨîêšî
6. ÖćøĔßšđìÙîĉÙÖćøđ×šćøĀĆÿ đßŠî đóČęĂðÖðŜĂÜÿćøÿîđìýìĊęđðŨîÙüćöúĆï đóČęĂĔĀšÿćøÿîđìý
öĊ ÙüćöëĎÖêšĂÜĒúąøąïčêĆüêîĕéš
7. ÖćøđÖĘïøĆÖþćĒúąÖćøìĞćúć÷ đĂÖÿćø ÝéĀöć÷ ĒúąïĆîìċÖēêšêĂïìćÜíčøÖĉÝ øüöëċÜ
×šĂÙüćöàċęÜđÖĊę÷ü×šĂÜÖĆïÖãĀöć÷ĀøČĂ×šĂïĆÜÙĆï×ĂÜðøąđìýĕì÷
8. ÖćøĕöŠìĉĚÜ×šĂöĎúìĊęöĊÙüćöÿĞćÙĆâĕüšìĊęĂčðÖøèŤÖćøóĉöóŤ đßŠî đÙøČęĂÜìĞćÿĞćđîć đÙøČęĂÜóĉöóŤ
ĒúąđÙøČęĂÜÿŠÜĒôÖàŤ đðŨîêšî àċęÜĂćÝëĎÖđ×šćëċÜēé÷ñĎšìĊęĕöŠĕéšøĆïĂîčâćê
9. ÖćøÙüïÙč ö ĒúąÝĞ ć ÖĆ é ÖćøÿŠ Ü êŠ Ă ÿćøÿîđìýēé÷Ăč ð ÖøèŤ Ö ćøÿČę Ă ÿćø đßŠ î ÖćøÿŠ Ü êŠ Ă
ÝéĀöć÷ĂĉđúĘÖìøĂîĉÖÿŤõć÷Ĕî Öôñ. ĕð ÝéĀöć÷ĂĉđúĘÖìøĂîĉÖÿŤõć÷îĂÖēé÷ĂĆêēîöĆêĉ
10. ÖćøĒÝšÜđêČĂîñĎšðäĉïĆêĉÜćîĔĀšöĊÙüćöøąöĆéøąüĆÜìĊęđĀöćąÿö đßŠî Āšćöđðŗéđñ÷×šĂöĎúìĊęđðŨî
ÙüćöúĆï đóČęĂĀúĊÖđúĊę÷ÜÖćøĂćÝĕéš÷ĉîĀøČĂëĎÖéĆÖôŦÜĔî×èąÙč÷ēìøýĆóìŤ đßŠî
x ÖćøøĆïìøćï×šĂöĎúēé÷ÖúčŠöÙîìĊęĂ÷ĎŠøĂïė×šćÜĔî×èąìĊęÙč÷ēìøýĆóìŤ
x ÖćøéĆ Ö ôŦ Ü ñŠ ć îÖćøđ×š ć ëċ Ü ĒïïÖć÷õćó (Physical) đßŠ î đÙøČę Ă ÜēìøýĆ ó ìŤ
ÿć÷ēìøýĆóìŤ ĀøČĂĔßšĂčðÖøèŤÿĒÖî
x ÖćøøĆïìøćï×šĂöĎúēé÷ÖúčŠöÙîìĊęĂ÷ĎŠÖĆïñĎšøĆïēìøýĆóìŤðúć÷ìćÜ
11. ÖćøĕöŠìĉĚÜ×šĂÙüćöìĊęöĊđîČĚĂĀćÿĞćÙĆâĕüšĔîđÙøČęĂÜêĂïøĆï đîČęĂÜÝćÖĂćÝëĎÖôŦÜēé÷ñĎšìĊęĕöŠ
đÖĊę÷ü×šĂÜĕéš ĀøČ Ă×šĂÙüćöîĆĚîĂćÝëĎÖđÖĘïĔîøąïïÿćíćøèą ĀøČĂĂćÝëĎÖđÖĘ ïĕüšñĉéìĊę
đîČęĂÜÝćÖēìøñĉéĀöć÷đú×
12. ĒÝšÜđêČĂîñĎšðäĉïĆêĉÜćîđÖĊę÷üÖĆïðŦâĀćĔîÖćøĔßšđÙøČęĂÜÿŠÜĒôÖàŤ Ă÷ŠćÜđßŠî
x Öćøđ×šćëċÜēé÷ĕöŠĕéšøĆïĂîčâćêđóČęĂÖćøđÖĘï×šĂöĎúĕüš ĒúšüöćéċÜ×šĂöĎúĕð
x ÖćøêĆĚÜÙŠćđÙøČęĂÜ ēé÷êĆĚÜĔÝĀøČĂĕöŠêĆĚÜĔÝ đóČęĂĔĀšÿŠÜ×šĂÙüćöĕð÷ĆÜĀöć÷đú×đÞóćą
x ÖćøÿŠÜđĂÖÿćøĒúą×šĂÙüćöĕðñĉéđú×Āöć÷ĕöŠ üŠćÝąēé÷Öćøēìøñĉéđú×Āöć÷
ĀøČĂĔßšđú×Āöć÷ìĊęïĆîìċÖĕüšĒêŠïĆîìċÖñĉéóúćé
13. ĒÝšÜđêČĂîñĎšðäĉïĆêĉÜćîĕöŠĔĀšúÜìąđïĊ÷îđ×šć×šĂöĎúéšćîðøąßćÖøýćÿêøŤ (Demographic
Data) Ă÷Š ć ÜđßŠ î ìĊę Ă ÷ĎŠ × ĂÜÝéĀöć÷Ăĉ đ úĘ Ö ìøĂîĉ Ö ÿŤ ĀøČ Ă ÿćøÿîđìýÿŠ ü îêĆ ü ĂČę î ė Ĕî
àĂôêŤĒüøŤ (Software) đóČęĂĀúĊÖđúĊę÷ÜÖćøîĞć×šĂöĎúéĆÜÖúŠćüĕðĔßšēé÷ĕöŠĕéšøĆïĂîčâćê
14. ĒÝšÜđêČĂîñĎšðäĉïĆêĉÜćîüŠćđÙøČęĂÜÿŠÜĒôÖàŤĒúąđÙøČęĂÜëŠć÷đĂÖÿćøìĊęìĆîÿöĆ÷ÿćöćøëđÖĘï
×šĂöĎúđĂÖÿćøìĊęìĞćÿĞćđîćĀøČĂÿŠÜĒôÖàŤđóČęĂĔßšĔîÖøèĊöĊĂčðÖøèŤöĊðŦâĀćĔîÖćøÿŠÜ ēé÷
ÿĞćđîćÝąóĉöóŤđöČęĂðŦâĀćĕéšøĆïÖćøĒÖšĕ×
15. ĒÝšÜđêČĂîñĎšðäĉïĆêĉÜćîĕöŠÙüøóĎéÙč÷đøČęĂÜìĊęđðŨîÙüćöúĆï×ĂÜ Öôñ. ĔîìĊęÿćíćøèąĀøČĂ
ÿëćîìĊęĒïïđðŗéēé÷ĕöŠöĊÖĞćĒóÜìĊęÖĆîđÿĊ÷Üĕéš
6.8.2 ×šĂêÖúÜĔîÖćøĒúÖđðúĊę÷îÿćøÿîđìý (Exchange Agreements)

1) ĔîÖćøĒúÖđðúĊę÷îÿćøÿîđìý×ĂÜ Öôñ. ÖĆïĀîŠü÷Üćîõć÷îĂÖ êšĂÜĕéšøĆïÖćøĂîčöĆêĉÝćÖñĎšđðŨî
đÝšć×ĂÜÿćøÿîđìýĒúąĀĆüĀîšćÜćîÿćøÿîđìýìĊęđÖĊę÷ü×šĂÜĂ÷ŠćÜđðŨîúć÷úĆÖþèŤĂĆÖþøÖŠĂîđìŠćîĆĚî
2) ñĎšđðŨîđÝšć×ĂÜÿćøÿîđìýĒúąĀĆüĀîšćÜćîÿćøÿîđìýìĊęđÖĊę÷ü×šĂÜ êšĂÜÝĆéĔĀšöĊÖćøìĞć×šĂêÖúÜ Ēúą
ĀøČĂ ÿĆââćÖĆïĀîŠü÷Üćîõć÷îĂÖđöČęĂöĊÖćøĒúÖđðúĊę÷îÿćøÿîđìý ēé÷óĉÝćøèćĔĀšöĊÖćøÙüïÙčö
1. ÖćøøĆÖþćÙüćöúĆï×ĂÜ×šĂêÖúÜ ĒúąĀøČĂÿĆââćÖĆïĀîŠü÷Üć÷õć÷îĂÖĀøČĂñĎšðäĉïĆêĉÜćîìĊę
đÖĊę÷ü×šĂÜ
2. ×šĂêÖúÜĔîÖćøòćÖ×šĂöĎúĀøČĂ àĂøŤÿēÙšé (Source Code) ĕüšìĊęĀîŠü÷Üćîõć÷îĂÖàċęÜ
ĕöŠĔßŠÙĎŠÿĆââć đóČęĂĔĀšĂÜÙŤÖøÿćöćøëìĊęÝąđ×šćëċÜ×šĂöĎúéĆÜÖúŠćüĕéšĔîÖøèĊìĊęïøĉþĆìÙĎŠÿĆââć
ĀøČĂïøĉþĆììĊęĕéšøĆïÖćøüŠćÝšćÜĔĀšóĆçîćàĂôêŤĒüøŤ (Software) ĕöŠÿćöćøëĔĀšïøĉÖćøĕéš
(Escrow Agreement)

3. ĀîšćìĊęÙüćöøĆïñĉéßĂï×ĂÜïøĉþĆìĄ ĒúąÙĎŠÿĆââćĔîÖćøÙüïÙčöÿćøÿîđìý øąĀüŠćÜÖćø
ÿŠÜñŠćî (Transmission) ÖćøÖøąÝć÷êŠĂ (Dispatch) ĒúąÖćøĕéšøĆï (Receipt)
ÿćøÿîđìý
4. ÙüćöøĆïñĉéßĂï ĒúąÖćøßéĔßš đöČęĂÿćøÿîđìýÿĎâĀć÷ ëĎÖĒÖšĕ× ĀøČĂëĎÖđðŗéđñ÷ēé÷öĉ
ßĂï
5. Öøøöÿĉìíĉĝ ÖćøðŜĂÜÖĆîÿĉìíĉĒúąìøĆó÷ŤÿĉîìćÜðŦââć×ĂÜÿćøÿîđìý
6. øĎðĒïïĔîÖćøÝĆéìĞćðŜć÷ßČęĂÿćøÿîđìýìĊęöĊÖćøĒúÖđðúĊę÷î
7. ×šĂÖĞćĀîéìćÜđìÙîĉÙĂČęîėÿĞćĀøĆïÖćøÝĆéđÖĘï Öćøðøąöüúñú ĒúąÖćøÿŠÜÿćøÿîđìýìĊęöĊ
ÖćøĒúÖđðúĊę÷î đßŠî ÖčâĒÝÖćøđ×šćøĀĆÿ đðŨîêšî
8. öćêøåćîĒúą×ĆĚîêĂîÖćøðäĉïĆêĉÜćîÿĞćĀøĆïÖćøĒúÖđðúĊę÷îÿćøÿîđìý
9. ÖøąïüîÖćøêĉéêćö ĒúąÖćøðŜĂÜÖĆîÖćøðäĉđÿíÙüćöøĆïñĉé (Non-Repudiation)
3) ĀĆüĀîšćÜćîÿćøÿîđìý êšĂÜöĊÖćøÙüïÙčöÿćøÿîđìýìĊęöĊÖćøĒúÖđðúĊę÷î ēé÷êšĂÜÙøĂïÙúčöðŦÝÝĆ÷
êŠ ć Üė đßŠ î ÖćøðŜ Ă ÜÖĆ î ÙüćöúĆ ï (Confidentiality) ×ĂÜÿćøÿîđìý ÙüćöëĎ Ö êš Ă ÜÙøïëš ü î
(Integrity) ×ĂÜÿćøÿîđìý ĒúąÖćøðŜĂÜÖĆîìøĆó÷ŤÿĉîìćÜðŦââć đðŨîêšî
4) ÿćøÿîđìýìĊęøĆïöćÝćÖĀîŠü÷Üć÷õć÷îĂÖ êšĂÜÿŠÜĕð÷ĆÜñĎšđðŨîđÝšć×ĂÜÿćøÿîđìýìĊęöĊĀîšćìĊęøĆïñĉéßĂï
ÿćøÿîđìýđìŠćîĆĚî
5) ĀĆüĀîšćÿćøÿîđìý êšĂÜóĉÝćøèćÙüćööĆęîÙÜðúĂéõĆ÷ìĊęđÖĊę÷ü×šĂÜÖĆïĀîŠü÷Üćîõć÷îĂÖ
6.8.3 ÖćøÿŠÜÿČęĂïĆîìċÖ×šĂöĎúĂĂÖĕðîĂÖĂÜÙŤÖø (Physical Media in Transit)

1) ĀĆüĀîšćÜćîÿćøÿîđìý êšĂÜÝĆéĔĀšöĊÖćøðŜĂÜÖĆî×šĂöĎúìĊęöĊÖćøÿŠÜëċÜÖĆîøąĀüŠćÜÿĞćîĆÖÜćî éĆÜêŠĂĕðîĊĚ
1. ĔßšñĎšÿŠÜìĊęîŠćđßČęĂëČĂàċęÜĕéšøĆïÖćøĂîčöĆêĉÝćÖĀĆüĀîšćÜćîÿćøÿîđìý
2. ÖĞćĀîéÖøąïüîÖćøĔîÖćøøąïčêĆüêî×ĂÜñĎš×îÿŠÜ đßŠî ĒÿéÜïĆêøðøąÝĞćêĆüñĎšðäĉïĆêĉÜćî
ĀøČĂïĆêøðøąÝĞćêĆüðøąßćßî đðŨîêšî
3. öĊÖćøïøøÝčĀĊïĀŠĂĂ÷ŠćÜđĀöćąÿöĒúąđðŨîĕðêćöÙĞćĒîąîĞć×ĂÜñĎšñúĉê đóČęĂðŜĂÜÖĆîÙüćö
đÿĊ÷Āć÷ìćÜÖć÷õćó (Physical) ìĊęĂćÝđÖĉé×ċĚîĔîßŠüÜ×îÿŠÜ đßŠî ÖćøëĎÖÙüćöøšĂî
ÙüćößČĚî ĀøČĂ ÙúČęîĒöŠđĀúĘÖĕôôŜć đðŨîêšî
4. öĊ Ö ćøðŜ Ă ÜÖĆ î Öćøđðŗ é đñ÷ĀøČ Ă éĆ é ĒðúÜÿćøÿîđìýìĊę öĊ ø ąéĆ ï ÙüćööĆę î ÙÜðúĂéõĆ ÷
“ÿĎÜÿčé” Ēúą “ÿĎÜ” ēé÷ĕöŠĕéšøĆïĂîčâćê đßŠî ÖćøĔßšïøøÝčõĆèæŤìĊęÿćöćøëúĘĂÙĕéš Ēúą
ÖćøÿŠÜöĂïēé÷ëċÜöČĂ (By Hand) đðŨîêšî

6.8.4ÖćøÿŠÜÝéĀöć÷ĂĉđúĘÖìøĂîĉÖÿŤ (Electronic Mail)
1) ĀĆüĀîšćÜćîÿćøÿîđìý êšĂÜÝĆéĔĀšöĊÖćøÙüïÙčöÖćøÿŠÜÝéĀöć÷ĂĉđúĘÖìøĂîĉÖÿŤĔĀšöĊÙüćööĆęîÙÜ
ðúĂéõĆ÷ éĆÜêŠĂĕðîĊĚ
1. êšĂÜöĊÖćøĒÝšÜÙüćöðøąÿÜÙŤÝćÖñĎšĔßšÜćîĂ÷ŠćÜđðŨîúć÷úĆÖþèŤĂĆÖþøĒúąÿćöćøëĔßšÜćîĕéš
đöČęĂĕéšøĆïÖćøĂîčöĆêĉÝćÖĀĆüĀîšćÜćîÿćøÿîđìýđìŠćîĆĚî
2. ÖĞćĀîéÿĉìíĉÖćøđ×šćëċÜøąïïÿŠÜÝéĀöć÷ĂĉđúĘÖìøĂîĉÖÿŤĔĀšđĀöćąÿöÖĆïÖćøĔßšïøĉÖćøĒúą
Āîš ć ìĊę Ù üćöøĆ ï ñĉ é ßĂï×ĂÜñĎš ð äĉ ïĆ êĉ Ü ćî øüöìĆĚ Ü öĊ Ö ćøìïìüîÿĉ ì íĉ Ö ćøđ×š ć ëċ Ü Ă÷Š ć Ü
ÿöęĞćđÿöĂ
3. ÖĞćĀîéĔĀšñĎšìĊęĕéšøĆïöĂïĀöć÷đìŠćîĆĚîìĊęÝąđ×šćĒÖšĕ×đðúĊę÷îĒðúÜÿĉìíĉÖćøđ×šćëċÜêŠćÜė ĕéš
4. ïĆîìċÖøć÷úąđĂĊ÷éÖćøđ×šćëċÜøąïïÿŠÜÝéĀöć÷ĂĉđúĘÖìøĂîĉÖÿŤ ÖćøĒÖšĕ×đðúĊę÷îĒðúÜÿĉìíĉ
êŠćÜė ĕüšđóČęĂđðŨîĀúĆÖåćîÖćøêøüÝÿĂïĔîÖøèĊđÖĉéðŦâĀć
5. ÝĆéĔĀšöĊüĉíĊÖćøêøüÝÿĂïêĆüêîĒúąÿĉìíĉĔîÖćøĔßšïøĉÖćø×ĂÜñĎšðäĉïĆêĉÜćîÖŠĂîĂîčâćêĔĀš
ĔßšïøĉÖćø
6. ÝĆéĔĀšöĊÖćøìéÿĂïøąïïÿŠÜÝéĀöć÷ĂĉđúĘÖìøĂîĉÖÿŤ đóČęĂĀćÝčéĂŠĂîĒúą×šĂñĉéóúćé
êĆüĂ÷ŠćÜđßŠî ÖćøðøąđöĉîßŠĂÜēĀüŠìćÜđìÙîĉÙ (Vulnerability Assessment) ĀøČĂÖćø
ìĞćĔĀšĔßšïøĉÖćøĕöŠĕéš (Denial of Service) đðŨîêšî Ă÷ŠćÜîšĂ÷ðŘúą 1 ÙøĆĚÜ
7. ĀšćööĉĔ ĀšĔ ßšïøĉ ÖćøÿćíćøèąÝćÖõć÷îĂÖ êĆüĂ÷ŠćÜđßŠ î ×šĂÙüćöĂĆêēîöĆêĉ (Instant
Messaging), File Sharing ĒúąïøĉÖćøÝéĀöć÷ìćÜĂĉđúĘÖìøĂîĉÖÿŤôøĊ×ĂÜ×ĂÜđĂÖßî
ÿĞćĀøĆïÜćî×ĂÜ Öôñ. đßŠî Yahoo mail, Hotmail ĀøČĂ Gmail đðŨîêšî
8. ×šĂóĉÝćøèćìćÜéšćîÖãĀöć÷ êĆüĂ÷ŠćÜđßŠî ×šĂÖĞćĀîéÿĞćĀøĆïúć÷đàĘîìćÜĂĉđúĘÖìøĂîĉÖÿŤ
9. ÝĆéĔĀšöĊÖćøđÖĘï×šĂöĎúïĆîìċÖđĀêčÖćøèŤ×ĂÜøąïïÝéĀöć÷ĂĉđúĘÖìøĂîĉÖÿŤ ĕüšĂ÷ŠćÜîšĂ÷ 90
üĆî ìĆĚÜîĊĚïĆîìċÖđĀêčÖćøèŤ×ĂÜøąïïÝéĀöć÷ĂĉđúĘÖìøĂîĉÖÿŤìĊęÝĆéđÖĘïêšĂÜðøąÖĂïéšü÷
×šĂöĎúéĆÜêŠĂĕðîĊĚ
x ×š Ă öĎ ú ïĆ î ìċ Ö đĀêč Ö ćøèŤ ìĊę ïĆ î ìċ Ö ĕüš đ öČę Ă đ×š ć ëċ Ü đÙøČę Ă ÜĔĀš ï øĉ Ö ćøÝéĀöć÷
ĂĉđúĘÖìøĂîĉÖÿŤ (Electronic Mail Server) àċęÜðøąÖĂïéšü÷ ×šĂöĎúĀöć÷đú×
×ĂÜ×šĂÙüćöìĊęøąïčĔîÝéĀöć÷ĂĉđúĘÖìøĂîĉÖÿŤ (Message ID) ×šĂöĎúßČęĂìĊęĂ÷ĎŠ
ĂĉđúĘÖìøĂîĉÖÿŤ×ĂÜñĎšÿŠÜ (Sender) ×šĂöĎúßČęĂìĊęĂ÷ĎŠĂĉđúĘÖìøĂîĉÖÿŤ×ĂÜñĎšøĆï
(Receiver) ×šĂöĎúìĊęïĂÖëċÜÿëćîąĔîÖćøêøüÝÿĂï (Status Indicator) (àċęÜ
ĕéšĒÖŠ ÝéĀöć÷ĂĉđúĘÖìøĂîĉÖÿŤìĊęÿŠÜÿĞćđøĘÝ ÝéĀöć÷ĂĉđúĘÖìøĂîĉÖÿŤìĊęÿŠÜÙČî ĀøČĂ
ÝéĀöć÷ĂĉđúĘÖìøĂîĉÖÿŤìĊęöĊÖćøÿŠÜúŠćßšćđðŨîêšî)
x ×šĂöĎúĀöć÷đú×ßčéĂĉîđìĂøŤđîĘê×ĂÜđÙøČęĂÜÙĂöóĉüđêĂøŤñĎšĔßšïøĉÖćøìĊęđßČęĂöêŠĂĂ÷ĎŠ
×èąđ×šćöćĔßšïøĉÖćø
x ×šĂöĎúüĆîĒúąđüúćÖćøêĉéêŠĂ×ĂÜđÙøČęĂÜìĊęđ×šćöćĔßšïøĉÖćøĒúąđÙøČęĂÜĔĀšïøĉÖćø
x IP address ×ĂÜđÙøČęĂÜïøĉÖćøÝéĀöć÷ĂĉđúĘÖìøĂîĉÖÿŤ ìĊęëĎÖđßČęĂöêŠĂĂ÷ĎŠĔî
×èąîĆĚî
x ìĊęĂ÷ĎŠÝéĀöć÷ĂĉđúĘÖìøĂîĉÖÿŤ (Email-Address)
x ×š Ă öĎ ú ìĊę ïĆ î ìċ Ö Öćøđ×š ć ëċ Ü ÝéĀöć÷Ăĉ đ úĘ Ö ìøĂîĉ Ö ÿŤ ñŠ ć îēðøĒÖøöÝĆ é ÖćøÝćÖ
đÙøČę Ă Ü×ĂÜÿöćßĉ Ö ēé÷÷Ć Ü ÙÜÝĆ é đÖĘ ï ×š Ă öĎ ú ìĊę ïĆ î ìċ Ö Öćøđ×š ć ëċ Ü ÝéĀöć÷
ĂĉđúĘÖìøĂîĉÖÿŤìĊęéċÜĕðîĆĚîĕüšìĊęđÙøČęĂÜĔĀšïøĉÖćø đßŠî ×šĂöĎúïĆîìċÖđĀêčÖćøèŤ×ĂÜ
POP3 ĀøČĂ×šĂöĎúïĆîìċÖđĀêčÖćøèŤ×ĂÜ IMAP4 đðŨîêšî
2) ñĎšðäĉïĆêĉÜćîêšĂÜĕöŠÿŠÜÝéĀöć÷ĂĉđúĘÖìøĂîĉÖÿŤ ēé÷ĔßšìĊęĂ÷ĎŠÝéĀöć÷ĂĉđúĘÖìøĂîĉÖÿŤ (Email-Address)
ìĊęĕéšøĆïĂîčâćêÝćÖ Öôñ. ĕðéĞćđîĉîÖćøĔîìćÜìĊęìĞćĔĀš Öôñ. ĀøČĂñĎšĂČęîĕéšøĆï ÙüćöđÿĊ÷Āć÷
3) ñĎšðäĉïĆêĉÜćî Öôñ. ìĊęĕéšøĆïøĀĆÿñŠćî×ĂÜñĎšĔßšÜćî ĔîÖćøđ×šćĔßšÜćîøąïïÝéĀöć÷ĂĉđúĘÖìøĂîĉÖÿŤ ×ĂÜ
Öôñ. ĀćÖđÖĉéÖøèĊìĊęìĞćĔĀš Öôñ. ĀøČĂñĎšĂČęîĕéšøĆïÙüćöđÿĊ÷Āć÷ÝąêšĂÜđðŨîñĎšøĆïñĉé
6.8.5 øąïïÿćøÿîđìýìćÜíčøÖĉÝìĊęđßČęĂöē÷ÜÖĆî (Business Information Systems)

1) ñĎšđðŨîđÝšć×ĂÜÿćøÿîđìýĒúąĀĆüĀîšćÜćîÿćøÿîđìý êšĂÜÝĆéĔĀšöĊÖćøÙüïÙčöđóČęĂðŜĂÜÖĆîÿćøÿîđìý
×ĂÜøąïïÿćøÿîđìýìćÜíčøÖĉÝìĊęđßČęĂöē÷ÜÖĆî éĆÜêŠĂĕðîĊĚ
1. êšĂÜöĊÖćøĒÝšÜÙüćöðøąÿÜÙŤÝćÖñĎšĔßšÜćîĂ÷ŠćÜđðŨîúć÷úĆÖþèŤĂĆÖþøĒúąÿćöćøëĔßšÜćîĕéš
đöČęĂĕéšøĆïÖćøĂîčöĆêĉÝćÖñĎšđðŨîđÝšć×ĂÜÿćøÿîđìýĒúąĀĆüĀîšćÜćîÿćøÿîđìýđìŠćîĆĚî
2. êšĂÜÖĞćĀîéÿĉìíĉÖćøđ×šćëċÜøąïïÿćøÿîđìýìćÜíčøÖĉÝĔĀšđĀöćąÿöÖĆïÖćøĔßšïøĉÖćøĒúą
Āîš ć ìĊę Ù üćöøĆ ï ñĉ é ßĂï×ĂÜñĎš ð äĉ ïĆ êĉ Ü ćî øüöìĆĚ Ü öĊ Ö ćøìïìüîÿĉ ì íĉ Ö ćøđ×š ć ëċ Ü Ă÷Š ć Ü
ÿöęĞćđÿöĂ
4. ïĆîìċÖøć÷úąđĂĊ÷éÖćøđ×šćëċÜøąïïÿćøÿîđìýìćÜíčøÖĉÝ ÖćøĒÖšĕ×đðúĊę÷îĒðúÜÿĉìíĉ
5. ÝĆéĔĀšöĊüĉíĊÖćøêøüÝÿĂïêĆüêîĒúąÿĉìíĉĔîÖćøĔßšïøĉÖćø×ĂÜñĎšðäĉïĆêĉÜćîÖŠĂîĂîčâćêĔĀš
ĔßšïøĉÖćø
6. ÝĆ é ĔĀš öĊ Ö ćøìéÿĂïøąïïÿćøÿîđìýìćÜíč ø Öĉ Ý đóČę Ă ĀćÝč é ĂŠ Ă îĒúą×š Ă ñĉ é óúćé
êĆüĂ÷ŠćÜđßŠî ÖćøðøąđöĉîßŠĂÜēĀüŠìćÜđìÙîĉÙ (Vulnerability Assessment) Ă÷ŠćÜîšĂ÷
ðŘúą 1 ÙøĆĚÜ
7. ÝĆéĔĀšöĊÖćøÙüïÙčöÖćøđ×šćëċÜĒúąÖćøÙüïÙčöÖćøĒÖšĕ×đðúĊę÷îĒðúÜ ÿćøÿîđìý×ĂÜ
øąïïÿćøÿîđìýìćÜíčøÖĉÝ

8. ÝĆéĔĀšöĊÖćøïĆîìċÖøć÷úąđĂĊ÷éÖćøđ×šćìĞćíčøÖøøö×ĂÜñĎšĔßšĔîøąïï (Transaction Log)
ĕüš đóČęĂĔßšđðŨîĀúĆÖåćîÖćøêøüÝÿĂï
9. ÝĆéĔĀšöĊÖćøÿĞćøĂÜ×šĂöĎúĂ÷ŠćÜđóĊ÷ÜóĂĒúąđĀöćąÿö
1) PD-19 ×ĆĚîêĂîÖćøðäĉïĆêĉÜćîđøČęĂÜ ÖćøĒúÖđðúĊę÷îÿćøÿîđìý (Information Exchange
Procedure)
2) PD-20 ×ĆĚîêĂîÖćøðäĉïĆêĉÜćîđøČęĂÜ ÖćøÿŠÜñŠćîÿČęĂïĆîìċÖ×šĂöĎú (Physical Media in Transit
Procedure)
6.9 ÖćøÿøšćÜÙüćööĆęîÙÜðúĂéõĆ÷ÿĞćĀøĆïïøĉÖćøóćèĉß÷ŤĂĉđúĘÖìøĂîĉÖÿŤ (Electronic

Commerce Services)
ĔĀš öĊÖćøðŜ ĂÜÖĆîÿćøÿîđìý×ĂÜøąïïóćèĉß÷ŤĂĉđúĘÖìøĂîĉ ÖÿŤ ÖćøðŜ ĂÜÖĆîÿćøÿîđìý×ĂÜÖćøìĞćíčø Öøøö
ĂĂîĕúîŤ ĒúąÖćøðŜĂÜÖĆîÿćøÿîđìýìĊęöĊÖćøđñ÷ĒóøŠĂĂÖÿĎŠÿćíćøèą
öćêøåćî
6.9.1 Öćøóćèĉß÷ŤĂĉđúĘÖìøĂîĉÖÿŤ (Electronic Commerce)
1) ñĎšđðŨîđÝšć×ĂÜÿćøÿîđìýĒúąĀĆüĀîšćÜćîÿćøÿîđìý êšĂÜÝĆéĔĀšöĊÖćøøĆÖþćÙüćööĆęîÙÜðúĂéõĆ÷
ÿĞćĀøĆï Öćøóćèĉß÷ŤĂĉđúĘÖìøĂîĉÖÿŤ ēé÷ÝĆéĔĀšöĊÖćøÙüïÙčöéĆÜêŠĂĕðîĊĚ
1. ÖĞćĀîéÿĉìíĉÖćøđ×šćëċÜøąïïóćèĉß÷ŤĂĉđúĘÖìøĂîĉÖÿŤĔĀšđĀöćąÿöÖĆïÖćøđ×šćĔßšïøĉÖćø×ĂÜ
úĎÖÙšćĒúąĀîšćìĊęÙüćöøĆïñĉéßĂï×ĂÜñĎšðäĉïĆêĉÜćî øüöìĆĚÜöĊÖćøìïìüîÿĉìíĉ Öćø
đ×šćëċÜĂ÷ŠćÜÿöęĞćđÿöĂ
3. ïĆîìċÖøć÷úąđĂĊ÷éÖćøđ×šćëċÜøąïïóćèĉß÷ŤĂĉđúĘÖìøĂîĉÖÿŤ ÖćøĒÖšĕ×đðúĊę÷îĒðúÜÿĉìíĉ
4. ÝĆéĔĀšöĊüĉíĊÖćøêøüÝÿĂïêĆüêîĒúąÿĉìíĉĔîÖćøĔßšïøĉÖćø×ĂÜúĎÖÙšćÖŠĂîĂîčâćêĔĀšĔ ßš
ïøĉÖćø

5. ÝĆéĔĀšöĊüĉíĊÖćøêøüÝÿĂïêĆüêîĒúąðŜĂÜÖĆîÖćøðäĉđÿíÙüćöøĆïñĉé ĔĀšöĊÙüćöđĀöćąÿöÖĆï
øąéĆïÙüćöđÿĊę÷Ü øĎðĒïïĒúąöĎúÙŠć×ĂÜíčøÖøøöìĊęĔĀšïøĉÖćø êĆüĂ÷ŠćÜüĉíĊÖćøêøüÝÿĂï
êĆüêîĒúąðŜĂÜÖĆîÖćøðäĉđÿíÙüćöøĆïñĉé ĕéšĒÖŠ
x øĀĆÿñŠćî đú×ðøąÝĞćêĆü (PIN) ĂčðÖøèŤĀøČĂïĆêøìĊęĔßšđÖĘï×šĂöĎú ÿŠüîïčÙÙú
(Tokens ĀøČĂ Smart Card) úĆÖþèąìćÜßĊüõćóÿŠüîïčÙÙú (Biometric)
x đìÙēîēú÷ĊÖčâĒÝÿćíćøèą (Public Key Infrastructure: PKI) ìĊęĔßšÿøšćÜ
Digital Certificate Ēúą Digital Signature
x đìÙēîēú÷ĊÖćøđ×šćøĀĆÿúĆï ×šĂöĎúìĊęĔßšêøüÝÿĂï êĆüêîúĎÖÙšć
x ÖćøĔßšßŠĂÜìćÜìĊęöĊÙüćöðúĂéõĆ÷ÿĎÜĔîÖćøøĆïÿŠÜ×šĂöĎúÖćøêøüÝÿĂïêĆüêî đßŠî
Secure Sockets Layer (SSL) đðŨîêšî
6. ÝĆéĔĀšöĊÖćøÙüïÙčöÖćøđ×šćëċÜĒúąÖćøÙüïÙčöÖćøĒÖšĕ×đðúĊę÷îĒðúÜ ×šĂöĎúĔîåćî×šĂöĎú
ìĊęÝĆéđÖĘï×šĂöĎúìĊęĔßšĔîÖćøêøüÝÿĂïêĆüêî (Authentication Database)
7. ÝĆéĔĀšöĊÖćøïĆîìċÖøć÷úąđĂĊ÷éÖćøđ×šćìĞćíčøÖøøö×ĂÜúĎÖÙšć (Transaction Log) ĕüš đóČęĂ
ĔßšđðŨîĀúĆÖåćîÖćøêøüÝÿĂï
8. ÝĆéĔĀšöĊüĉíĊÖćøøĆïÿŠÜ ðøąöüúñú ĒúąÝĆéđÖĘïÿćøÿîđìýĔîúĆÖþèą ìĊęðúĂéõĆ ÷êćö
ĀöüéĀöĎŠÿćøÿîđìý ìĆĚÜîĊĚÿćøÿîđìýìĊęöĊøąéĆïÙüćööĆęîÙÜðúĂéõĆ÷ “ÿĎÜÿčé” Ēúą “ÿĎÜ”
êšĂÜöĊüĉíĊĔîÖćøøĆÖþćÙüćöëĎÖêšĂÜđßČęĂëČĂĕéšĒúąÖćøøĆÖþćÙüćöúĆï×ĂÜ×šĂöĎúĂ÷ŠćÜĀîċęÜ
Ă÷ŠćÜĔé éĆÜêŠĂĕðîĊĚ
x đìÙēîēú÷Ċ Ö ćøđ×š ć øĀĆ ÿ úĆ ï ÿĞ ćĀøĆ ï×š ĂöĎ ú úĆ ï đßŠ î Öćøđ×š ć øĀĆ ÿ úĆ ï ×š ĂöĎ ú ìĊę Ă ÷ĎŠ
øąĀüŠćÜÖćøøĆïÿŠÜ Öćøđ×šćøĀĆÿúĆï×šĂöĎúêĆĚÜĒêŠ êšîìćÜëċÜðúć÷ìćÜ (End-to-
End Encryption) Öćøđ×šćøĀĆÿúĆï×šĂöĎúĔîßŠüÜÝĆéđÖĘï đðŨîêšî
x ÖćøĔßš ßŠ Ă ÜìćÜìĊę öĊ Ù üćöðúĂéõĆ ÷ ÿĎ Ü ĔîÖćøøĆ ï ÿŠ Ü ×š Ă öĎ ú úĆ ï đßŠ î Secure
Sockets Layer (SSL) đðŨîêšî
Digital Certificate Ēúą Digital Signature đóČęĂĔßšêøüÝÿĂïêĆüêîÖŠĂî
Öćøđ×šćëċÜ×šĂöĎúúĆï
9. ÝĆéĔĀšöĊÖćøìéÿĂïøąïïÖćøóćèĉß÷ŤĂĉđúĘÖìøĂîĉÖÿŤ đóČęĂĀćÝčéĂŠĂîĒúą×šĂñĉéóúćé
êĆüĂ÷ŠćÜđßŠî ÖćøðøąđöĉîßŠĂÜēĀüŠìćÜđìÙîĉÙ (Vulnerability Assessment) ĒúąÖćø
ìéÿĂïÖćøđÝćąøąïï (Penetration Testing) đðŨîêšî Ă÷ŠćÜîšĂ÷ðŘúą 1 ÙøĆĚÜ
2) ÖćøÝĆéđêøĊ÷öóćèĉß÷ŤĂĉđúĘÖìøĂîĉÖÿŤøąĀüŠćÜÙĎŠÙšć (Trading Partners) êšĂÜöĊÿĆââćìĊęđðŨîúć÷
úĆÖþèŤĂĆÖþøàċęÜñĎÖöĆéìĆĚÜÿĂÜòść÷üŠćêÖúÜêćö×šĂÿĆââćÖćøÙšćîĆĚî øüöëċÜøć÷úąđĂĊ÷é×ĂÜÖćø
Ăîčâćê ×šĂêÖúÜéšćîïøĉÖćøÿćøÿîđìý
6.9.2 ÖćøìĞćíčøÖøøöĂĂîĕúîŤ (On-line Transactions)
1) ĀĆüĀîšćÜćîÿćøÿîđìý êšĂÜÝĆéĔĀšöĊÙüćööĆęîÙÜðúĂéõĆ÷ĔîÖćøìĞćíčøÖøøöĂĂîĕúîŤ ēé÷ÝĆéĔĀšöĊÖćø
ÙüïÙčö éĆÜêŠĂĕðîĊĚ
1. ÝĆéĔĀšöĊüĉíĊÖćøêøüÝÿĂïêĆüêîĒúąðŜĂÜÖĆîÖćøðäĉđÿíÙüćöøĆïñĉé ĔĀšöĊÙüćöđĀöćąÿöÖĆï
øąéĆïÙüćöđÿĊę÷Ü øĎðĒïïĒúąöĎúÙŠć×ĂÜíčøÖøøö êĆüĂ÷ŠćÜüĉíĊÖćøêøüÝÿĂïêĆüêîĒúą
ðŜĂÜÖĆî ÖćøðäĉđÿíÙüćöøĆïñĉéßĂï ĕéšĒÖŠ
x øĀĆÿñŠćî đú×ðøąÝĞćêĆü (PIN) ĂčðÖøèŤĀøČĂïĆêøìĊęĔßšđÖĘï×šĂöĎú ÿŠüîïčÙÙú
(Tokens or Smart Card) úĆÖþèąìćÜßĊüõćóÿŠüîïčÙÙú (Biometric)
Digital Certificate Ēúą Digital Signature
x đìÙēîēú÷ĊÖćøđ×šćøĀĆÿúĆï ×šĂöĎúìĊęĔßšêøüÝÿĂï êĆüêîúĎÖÙšć
x ÖćøĔßšßŠĂÜìćÜìĊęöĊÙüćöðúĂéõĆ÷ÿĎÜĔîÖćøøĆïÿŠÜ×šĂöĎúÖćøêøüÝÿĂïêĆüêî đßŠî
Secure Sockets Layer (SSL) đðŨîêšî
2. ÝĆéĔĀšöĊüĉíĊÖćøøĆïÿŠÜ ðøąöüúñú ĒúąÝĆéđÖĘïÿćøÿîđìýĔîúĆÖþèą ìĊęðúĂéõĆ ÷êćö
ĀöüéĀöĎŠÿćøÿîđìý ìĆĚÜîĊĚÿćøÿîđìýìĊęöĊøąéĆïÙüćööĆęîÙÜðúĂéõĆ÷ “ÿĎÜÿčé” Ēúą “ÿĎÜ”
êšĂÜöĊüĉíĊĔî ÖćøøĆÖþćÙüćöëĎÖêšĂÜđßČęĂëČĂĕéšĒúąÖćøøĆÖþćÙüćöúĆï×ĂÜ×šĂöĎúĂ÷ŠćÜ
ĀîċęÜĂ÷ŠćÜĔé éĆÜêŠĂĕðîĊĚ
x đìÙēîēú÷Ċ Ö ćøđ×š ć øĀĆ ÿ úĆ ï ÿĞ ćĀøĆ ï×š ĂöĎ ú úĆ ï đßŠ î Öćøđ×š ć øĀĆ ÿ úĆ ï ×š ĂöĎ ú ìĊę Ă ÷ĎŠ
øąĀüŠćÜÖćøøĆïÿŠÜ Öćøđ×šćøĀĆÿúĆï×šĂöĎúêĆĚÜĒêŠ êšîìćÜëċÜðúć÷ìćÜ (End-to-
End Encryption) Öćøđ×šćøĀĆÿúĆï×šĂöĎúĔîßŠüÜÝĆéđÖĘï đðŨîêšî
x ÖćøĔßš ßŠ Ă ÜìćÜìĊę öĊ Ù üćöðúĂéõĆ ÷ ÿĎ Ü ĔîÖćøøĆ ï ÿŠ Ü ×š Ă öĎ ú úĆ ï đßŠ î Secure
Sockets Layer (SSL) đðŨîêšî
Digital Certificate Ēúą Digital Signature đóČęĂĔßšêøüÝÿĂïêĆüêîÖŠĂîÖćø
đ×šćëċÜ×šĂöĎúúĆï
6.9.3 ÿćøÿîđìýìĊęöĊÖćøđñ÷ĒóøŠĂĂÖÿĎŠÿćíćøèą (Publicly Available Information)

1) ĀĆüĀîšćÜćîÿćøÿîđìý êšĂÜÖĞćĀîéĔĀšÿćøÿîđìý ìĊęöĊøąéĆïÙüćöÿĞćÙĆâ (Criticality) ÿĎÜ ìĊęöĊÖćø
đñ÷ĒóøŠĂĂÖÿĎŠÿćíćøèą öĊÖćøÙüïÙčöéĆÜêŠĂĕðîĊĚ
1. ÝĆéĔĀšöĊÖøąïüîÖćøĂîčöĆêĉìĊęđðŨîìćÜÖćøÖŠĂîÝąöĊÖćøđñ÷ĒóøŠÿćøÿîđìý ĔîÖćøøĆÖþć
ÙüćöëĎÖêšĂÜđßČęĂëČĂĕéš

2. öĊÖćøøĆÖþćÙüćöëĎÖêšĂÜđßČęĂëČĂĕéš×ĂÜÿćøÿîđìý ēé÷ÖúĕÖìĊęđĀöćąÿö đßŠî Digital
Signatures đðŨîêšî
3. ÖĞ ć Āîéÿĉ ì íĉ Ö ćøđ×š ć ëċ Ü ÿćøÿîđìýìĊę öĊ Ö ćøđñ÷ĒóøŠ Ă ĂÖÿĎŠ ÿ ćíćøèąĔĀš đ ĀöćąÿöÖĆ ï
Öćøđ×š ć Ĕßš ï øĉ Ö ćø×ĂÜúĎ Ö Ùš ć ĒúąĀîš ć ìĊę Ù üćöøĆ ï ñĉ é ßĂï×ĂÜñĎš ð äĉ ïĆ êĉ Ü ćî øüöìĆĚ Ü öĊ
ÖćøìïìüîÿĉìíĉÖćøđ×šćëċÜĂ÷ŠćÜÿöęĞćđÿöĂ
5. ëšćđðŨîÖćøđñ÷ĒóøŠñŠćî Web Site ×ĂÜ Öôñ. êšĂÜöĊÖćøìéÿĂïđóČęĂĀćÝčéĂŠĂîĒúą
×š Ă ñĉ é óúćé êĆ ü Ă÷Š ć ÜđßŠ î Öćøðøąđöĉ î ßŠ Ă ÜēĀüŠ ì ćÜđìÙîĉ Ù (Vulnerability
Assessment) ĒúąÖćøìéÿĂï ÖćøđÝćąøąïï (Penetration Testing) đðŨîêšî Ă÷ŠćÜ
îšĂ÷ðŘúą 1 ÙøĆĚÜ
6. ïĆîìċÖđĀêčÖćøèŤ (Log) Öćøđ×šćëċÜøąïïóćèĉß÷ŤĂĉđúĘÖìøĂîĉÖÿŤ ÖćøĒÖšĕ×đðúĊę÷îĒðúÜ
ÿĉìíĉêŠćÜė ĕüšđóČęĂđðŨîĀúĆÖåćîÖćøêøüÝÿĂïĔîÖøèĊđÖĉéðŦâĀć
2) ÖøèĊìĊęđðŨîÖćøđñ÷ĒóøŠñŠćî Web Site ×ĂÜ Öôñ. ñĎšđðŨîđÝšć×ĂÜÿćøÿîđìýĒúąòść÷ðäĉïĆêĉÖćø
đìÙēîēú÷Ċÿćøÿîđìý êšĂÜøĆïñĉéßĂïĔîđøČęĂÜêŠĂĕðîĊĚ
1. ñĎšđðŨîđÝšć×ĂÜÿćøÿîđìýêšĂÜêøüÝÿĂï×šĂöĎúÖŠĂîîĞć×ċĚîđñ÷ĒóøŠ đóČęĂúéÙüćöđÿĊę÷ÜÝćÖ
ÙüćöñĉéóúćéĔîÖćøîĞć×šĂöĎú×ċĚîðøąÖćýïî Web Site ×ĂÜ Öôñ.
2. ñĎšđðŨîđÝš ć×ĂÜÿćøÿîđìýêšĂÜöĊïĆîìċÖĒÝšÜòść÷ðäĉ ïĆêĉÖćøđìÙēîēú÷Ċÿćøÿîđìý đóČęĂ
ÖĞćĀîéÿĉì íĉđÞóćąøĀĆÿ ñŠćîĒúąđîČĚĂìĊęĔî www.egat.co.th Server ĀøČ Ă
www.egat.com Server ĔĀšñĎšđðŨîđÝšć×ĂÜÿćøÿîđìý ÿćöćøëîĞć×šĂöĎú×ċĚîðøąÖćýïî
ĂĉîđìĂøŤđîĘê Web Site ĕéš ĀøČĂ öĊïĆîìċÖĒÝšÜòść÷ðäĉïĆêĉÖćøđìÙēîēú÷Ċÿćøÿîđìý đóČęĂ
ìĞćÖćøđßČęĂöē÷ÜÝćÖĀîšć Homepage ĀúĆÖ ĕð÷ĆÜ Web Server ×ĂÜñĎšđðŨîÝšć×ĂÜ
ÿćøÿîđìýìĊęêšĂÜ Öćøđñ÷ĒóøŠ×šĂöĎúìćÜĂĉîđìĂøŤđîĘê×ĂÜĀîŠü÷ÜćîîĆĚî
3. ñĎšđðŨîđÝšć×ĂÜÿćøÿîđìýêšĂÜøąïč×šĂöĎúàċęÜðøąÖĂïéšü÷ ßČęĂñĎšøĆïñĉéßĂï ×šĂöĎú ÿĆÜÖĆé
Āöć÷đú×ēìøýĆóìŤ ìĊęĂ÷ĎŠÝéĀöć÷ĂĉđúĘÖìøĂîĉÖÿŤ (Email-Address) ĕüšéšćîúŠćÜ (Footer)
×ĂÜ Web Page ĀîšćĒøÖ×ĂÜĀîŠü÷ÜćîîĆĚî
4. ñĎšđðŨîđÝšć×ĂÜÿćøÿîđìýêšĂÜĒÝšÜßČęĂ ÿĆÜÖĆé Āöć÷đú×ēìøýĆóìŤ ìĊę Ă÷ĎŠÝéĀöć÷
ĂĉđúĘÖìøĂîĉÖÿŤ (Email-Address) ĔĀšòść÷ðäĉïĆêĉÖćøđìÙēîēú÷Ċÿćøÿîđìý đóČęĂÝĆéìĞć
ìąđïĊ÷î Web Site
5. òść÷ðäĉïĆêĉÖćøđìÙēîēú÷ĊÿćøÿîđìýøĆïñĉéßĂïĔîÖćøÝéìąđïĊ÷îßČęĂđÙøČęĂÜÙĂöóĉüđêĂøŤ
(Domain Name Server) ÖĆï IP address ×ĂÜđÙøČęĂÜ Web Server ìĊęĀîŠü÷Üćî
õć÷Ĕî×ĂÝéìąđïĊ ÷ î ĒúąìĞ ć ÖćøđßČę Ă öē÷ÜÝćÖ www.egat.co.th ĀøČ Ă
www.egat.com ĕð÷ĆÜ Web Server ×ĂÜĀîŠü÷ÜćîîĆĚî
6.10 ÖćøđòŜćøąüĆÜìćÜéšćîÙüćööĆęîÙÜðúĂéõĆ÷ (Monitoring)
ĔĀšöĊÖćøïĆîìċÖđĀêčÖćøèŤìĊęđÖĊę÷ü×šĂÜÖĆïÖćøĔßšÜćîÿćøÿîđìý ÖćøêøüÝÿĂïÖćøĔßšÜćîøąïïÿćøÿîđìý Öćø

ðŜĂÜÖĆî×šĂöĎúïĆîìċÖđĀêčÖćøèŤìĊęđÖĊę÷ü×šĂÜÖĆïÖćøĔßšÜćîÿćøÿîđìý ÖćøïĆîìċÖÖĉÝÖøøöÖćøéĞćđîĉîÜćî×ĂÜ
đÝšćĀîšćìĊęìĊęđÖĊę÷ü×šĂÜÖĆïøąïïÿćøÿîđìý ÖćøïĆîìċÖđĀêčÖćøèŤ×šĂñĉéóúćéìĊęđÖĊę÷ü×šĂÜÖĆïÖćøìĞćÜćî×ĂÜøąïï
ÿćøÿîđìý ĒúąÖćøêĆĚÜđüúć×ĂÜđÙøČęĂÜÙĂöóĉüđêĂøŤĔĀšêøÜÖĆî
öćêøåćî
6.10.1 ÖćøïĆîìċÖđĀêčÖćøèŤìĊęđÖĊę÷ü×šĂÜÖĆïÖćøĔßšÜćîÿćøÿîđìý (Audit Logging)
1) ĀĆüĀîšćÜćîÿćøÿîđìýêšĂÜÖĞćĀîéĔĀšöĊÖćøïĆîìċÖđĀêčÖćøèŤìĊęđÖĊę÷ü×šĂÜÖĆïÖćøĔßšÜćîÿćøÿîđìý àċęÜ
ðøąÖĂïéšü÷øć÷úąđĂĊ÷ééĆÜêŠĂĕðîĊĚ
1. ïĆâßĊñĎšĔßšÜćî
2. üĆîìĊę đüúć øć÷úąđĂĊ÷é×ĂÜđĀêčÖćøèŤÿĞćÙĆâ đßŠî Öćø Log-on Ēúą Öćø Log-off đðŨî
êšî
3. øąïčëċÜđÙøČęĂÜ (Terminal) ĀøČĂÿëćîìĊę (ëšćđðŨîĕðĕéš)
4. ÖćøïĆîìċÖÙüćöÿĞćđøĘÝĒúąúšöđĀúüĔîÖćøó÷ć÷ćöđ×šćëċÜøąïï
5. ÖćøïĆîìċÖÙüćöÿĞćđøĘÝĒúąúšöđĀúüĔîÖćøó÷ć÷ćöđ×šćëċÜ×šĂöĎúĒúąìøĆó÷ćÖøĂČęîė
6. ÖćøđðúĊę÷îĒðúÜÖćøÖĞćĀîéÙŠćĔîøąïï (Configuration)
7. ÖćøĔßšÿĉìíĉóĉđýþ (Privilege)
8. Öćøđ×šćëċÜĕôúŤ (File) Ēúąßîĉé×ĂÜÖćøđ×šćëċÜ
9. ìĊęĂ÷ĎŠ×ĂÜđÙøČĂ×Šć÷ đßŠî IP address Ēúą MAC address đðŨîêšî
10. Protocols ìĊęĔßšÜćî
11. ÿĆââćèïĂÖđĀêčìĊęđÖĉéÝćÖøąïïÖćøÙüïÙčöÖćøđ×šćëċÜ
12. ÖćøđðŗéÖćøĔßšÜćî (Activation) ĒúąÖćøøąÜĆïÖćøĔßšÜćî (De-Activation) ×ĂÜøąïï
ðŜĂÜÖĆî đßŠîøąïïðŜĂÜÖĆîĕüøĆÿ ĒúąøąïïêøüÝÝĆïÖćøïčÖøčÖ (Intrusion Detection
System)

6.10.2 ÖćøđòŜćøąüĆÜÖćøĔßšÜćîøąïï (Monitoring System Use)
1) ĀĆüĀîšćÜćîÿćøÿîđìý êšĂÜÝĆéĔĀšöĊÖćøđòŜćøąüĆÜÖćøĔßšÜćîĂčðÖøèŤðøąöüúÿćøÿîđìý ×ĂÜ Öôñ.
ĔîđøČęĂÜéĆÜêŠĂĕðîĊĚ
1. ÖćøĂîčâćêĔîÖćøđ×šćëċÜ øüöëċÜøć÷úąđĂĊ÷é đßŠî
x ïĆâßĊñĎšĔßšÜćî
x üĆîĒúąđüúć×ĂÜđĀêčÖćøèŤìĊęÿĞćÙĆâ
x ðøąđõì×ĂÜđĀêčÖćøèŤ
x Öćøđ×šćëċÜĕôúŤ (File)
x ēðøĒÖøö÷ĎìĉúĉêĊĚìĊęĔßš
2. ÖćøðäĉïĆêĉÜćîìĊęöĊÿĉìíĉóĉđýþìĆĚÜĀöé đßŠî
x ÖćøĔßšïĆâßĊñĎšĔßšìĊęöĊÿĉìíĉóĉđýþ đßŠî Supervisor, Root Ēúą Administrator
đðŨîêšî
x ÖćøđøĉęöêšîĀøČĂĀ÷čéøąïï
x ÖćøđßČęĂöêŠĂĂčðÖøèŤîĞćđ×šć îĞćĂĂÖ (I/O device)
3. Öćøó÷ć÷ćöđ×šćëċÜēé÷ñĎšìĊęĕöŠĕéšøĆïĂîčâćê đßŠî
x ÖćøñĉéóúćéĀøČĂÖćøðäĉđÿíÖćøÖøąìĞć×ĂÜñĎšĔßšÜćî
x ÖćøñĉéóúćéĀøČĂÖćøðäĉđÿíìĊęđÖĊę÷ü×šĂÜÖĆï×šĂöĎúĒúąìøĆó÷ćÖøĂČęîė
x Öćøúąđöĉ é îē÷ïć÷Öćøđ×š ć ëċ Ü ĒúąÖćøĒÝš Ü đêČ Ă îÝćÖĂč ð ÖøèŤ ìĊę Ĕ ßš đ ßČę Ă öêŠ Ă
đÙøČĂ×Šć÷ (Network Gateway) Ēúą Firewall
x ÖćøĒÝšÜđêČĂîÝćÖøąïïêøüÝÝĆïÖćøïčÖøčÖ (Intrusion Detection System)
ĒúąøąïïðŜĂÜÖĆîÖćøïčÖøčÖ (Intrusion Protection System)
4. ÖćøĒÝšÜđêČĂîĀøČĂ×šĂñĉéóúćéÝćÖøąïï đßŠî
x ÖćøĒÝšÜđêČĂîĀøČĂ×šĂÙüćöÝćÖ Console
x ïĆîìċÖđĀêčÖćøèŤÖćø÷ÖđüšîĔîøąïï (System Log Exceptions)
x øąïïĒÝš Ü đêČ Ă îÖćøïøĉ Ā ćøÝĆ é ÖćøđÙøČ Ă ×Š ć ÷ (Network Management
Alarms)
x ÖćøĒÝšÜđêČĂîÝćÖøąïïÙüïÙčöÖćøđ×šćëċÜ
5. ÖćøđðúĊę÷îĒðúÜ ĀøČĂÙüćöó÷ć÷ćöìĊę ÝąđðúĊę÷îĒðúÜÖćøÙüïÙčöĒúąÙŠćìĊęÖĞćĀîé
(Configuration) ĔîøąïïÙüćööĆęîÙÜðúĂéõĆ÷ đßŠî
x üĆî đüúćìĊęìĞćÖćøđðúĊę÷îĒðúÜ ĀøČĂÙüćöó÷ć÷ćöìĊęÝąđðúĊę÷îĒðúÜ
x ÿćøÿîđìýìĊę đÖĊę ÷üÖĆ ïÖćøđðúĊę ÷ îĒðúÜ ĀøČ ĂÙüćöó÷ć÷ćöìĊę ÝąđðúĊę ÷ îĒðúÜ
Ă÷ŠćÜđßŠî ÖćøÝĆéÖćøĕôúŤ (File) ĀøČĂ ×šĂñĉéóúćéĒúąöĊÖćøĒÖšĕ×ĔĀšëĎÖêšĂÜ
ïĆâßĊñĎšĔßš ñĎšéĎĒúøąïï (Administrator) ĀøČĂēĂđðĂđøđêĂøŤ (Operator) ìĊę
x
đÖĊę÷ü×šĂÜÖĆïÖćøđðúĊę÷îĒðúÜ ĀøČĂÙüćöó÷ć÷ćöìĊęÝąđðúĊę÷îĒðúÜ
x ÖćøðøąöüúñúÙĂöóĉ üđêĂøŤ (Computer Process) ìĊęđÖĊę÷ü×šĂÜÖĆï
ÖćøđðúĊę÷îĒðúÜ ĀøČĂÙüćöó÷ć÷ćöìĊęÝąđðúĊę÷îĒðúÜ
2) ĀĆüĀîšćÜćîÿćøÿîđìý êšĂÜÿĂïìćîñú×ĂÜÖĉÝÖøøöÖćøđòŜćøąüĆÜ×ċĚîĂ÷ĎŠÖĆïÙüćöđÿĊę÷ÜìĊęđÖĊę÷ü×šĂÜ
ēé÷ðŦÝÝĆ÷×ĂÜÙüćöđÿĊę÷ÜêšĂÜ óĉÝćøèćĔîđøČęĂÜéĆÜêŠĂĕðîĊĚ
1. øąéĆïÙüćöÿĞćÙĆâ (Criticality) ×ĂÜĒĂóóúĉđÙßĆî (Application)
2. øąéĆïÙüćöúĆï (Sensitivity) ĒúąøąéĆïÙüćöÿĞćÙĆâ (Criticality) ĒúąÖćøüĉđÙøćąĀŤ
ÿćøÿîđìýìĊęđÖĊę÷ü×šĂÜÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý
3. ðøąÿïÖćøèŤÖćøĒìøÖàċöĒúąÖćøĔßšñĉéüĆêëčðøąÿÜÙŤ×ĂÜøąïï ĒúąÙüćöëĊę×ĂÜßŠĂÜēĀüŠ
ìĊęëĎÖđÝćą ìĊęñŠćîöć
4. ×Ăïđ×ê×ĂÜøąïïìĊęđßČęĂöêŠĂÖĆî (ēé÷đÞóćąđÙøČĂ×Šć÷ÿćíćøèą)
5. ïĆîìċÖđĀêčÖćøèŤ (Log) ×ĂÜøąïïàċęÜëĎÖøąÜĆïÖćøĔßšÜćî (De-Activation)
6.10.3 ÖćøðŜĂÜÖĆî×šĂöĎúïĆîìċÖđĀêčÖćøèŤ (Protection of Log Information)

1) ĀĆüĀîšćÜćîÿćøÿîđìý êšĂÜÝĆéĔĀšöĊÖćøðŜĂÜÖĆîÖćøđðúĊę÷îĒðúÜ×šĂöĎúïĆîìċÖđĀêčÖćøèŤēé÷ĕöŠĕéšøĆï
ĂîčâćêĒúąðŜĂÜÖĆîðŦâĀćìĊęđÖĉéÖĆïÖćøïĆîìċÖđĀêčÖćøèŤ éĆÜêŠĂĕðîĊĚ
1. ÖćøđðúĊę÷îĒðúÜĒÖšĕ×ðøąđõì×ĂÜ×šĂÙüćö (Message Types) ìĊęĕéšøĆïÖćøïĆîìċÖ
2. ÖćøĒÖšĕ×ĀøČĂúïĕôúŤ (File) ×šĂöĎúïĆîìċÖđĀêčÖćøèŤ (Log)
3. ×šĂñĉéóúćé×ĂÜđĀêčÖćøèŤìĊęïĆîìċÖĀøČĂÖćøđ×Ċ÷îìĆïđĀêčÖćøèŤìĊęïĆîìċÖ ĂĆîđîČęĂÜöćÝćÖ
ÙüćöÝč×ĂÜÿČęĂìĊęđÖĘïĕôúŤ (File) ïĆîìċÖđĀêčÖćøèŤ (Log File )ĕöŠđóĊ÷ÜóĂ
6.10.4 ïĆîìċÖÖĉÝÖøøöÖćøéĞćđîĉîÜćî×ĂÜđÝšćĀîšćìĊęìĊęđÖĊę÷ü×šĂÜÖĆïøąïïÿćøÿîđìý (Administrator

and Operator Logs)
1) ĀĆüĀîšćÜćîÿćøÿîđìý êšĂÜÖĞćĀîéĔĀšöĊ øć÷úąđĂĊ÷éĔîÖćøïĆ îìċÖÖĉÝÖøøöÖćøéĞćđîĉîÜćî×ĂÜ
đÝšćĀîšćìĊęìĊęđÖĊę÷ü×šĂÜÖĆïøąïïÿćøÿîđìý Ă÷ŠćÜîšĂ÷éĆÜêŠĂĕðîĊĚ
1. đüúćìĊęđĀêčÖćøèŤĕéšđÖĉé×ċĚî
2. ÿćøÿîđìýìĊęđÖĊę÷üÖĆïđĀêčÖćøèŤ Ă÷ŠćÜđßŠî ÖćøÝĆéÖćøĕôúŤ (File) ĀøČĂ ×šĂñĉéóúćéĂĆî
đÖĉéÝćÖÙüćöñĉéóúćéĒúąöĊÖćøĒÖšĕ×ĔĀšëĎÖêšĂÜ
3. ïĆâßĊñĎšĔßš ñĎšéĎĒúøąïï (Administrator) ĀøČĂēĂđðĂđøđêĂøŤ (Operator) ìĊęđÖĊę÷ü×šĂÜ
4. ÖćøðøąöüúñúÙĂöóĉüđêĂøŤ (Processing) ìĊęđÖĊę÷ü×šĂÜ

2) ĀĆüĀîšćÜćîÿćøÿîđìý êšĂÜÿĂïìćîïĆîìċÖÖĉÝÖøøöÖćøéĞćđîĉîÜćî×ĂÜđÝšćĀîšćìĊęìĊęđÖĊę÷ü×šĂÜÖĆï
øąïïÿćøÿîđìý Ă÷ŠćÜîšĂ÷đðŨîðøąÝĞćìčÖüĆî
6.10.5 ÖćøïĆîìċÖđĀêčÖćøèŤ×šĂñĉéóúćé (Fault Logging)

1) ĀĆüĀîšćÜćîÿćøÿîđìý êšĂÜÝĆéĔĀšöĊÖćøïĆîìċÖđĀêčÖćøèŤ×šĂñĉéóúćéĂĆîđÖĉéÝćÖøąïïĀøČĂĕéšøĆïĒÝšÜ
ÝćÖñĎšĔßšÜćî ēé÷êšĂÜöĊĒîüìćÜĔîÖćøÝĆéÖćø×šĂñĉéóúćéìĊęĕéšøĆïøć÷Üćî éĆÜêŠĂĕðîĊĚ
1. ÖćøÿĂïìćîïĆîìċÖđĀêčÖćøèŤ×šĂñĉéóúćé (Fault Logging) đóČęĂĔĀšöĆęîĔÝüŠć×šĂñĉéóúćé
ĕéšøĆïÖćøĒÖšĕ×Ă÷ŠćÜđĀöćąÿö
2. ÖćøÿĂïìćîöćêøÖćøĔîÖćøĒÖšĕ× đóČęĂĔĀšöĆęîĔÝüŠćÖćøÙüïÙčöĕöŠĕéšøĆïÖćøúąđöĉé
6.10.6 ÖćøêĆĚÜđüúć×ĂÜđÙøČęĂÜÙĂöóĉüđêĂøŤĔĀšêøÜÖĆî (Clock Synchronization)

1) ĀĆüĀîšćÜćîÿćøÿîđìý êšĂÜêĆĚÜđüúć×ĂÜĂčðÖøèŤðøąöüúñúÿćøÿîđìýêŠćÜė ĔĀšêøÜÖĆïđÙøČęĂÜĒöŠ
×Šć÷×ĂÜòść÷ðäĉïĆêĉÖćøđìÙēîēú÷Ċÿćøÿîđìý (NTP Server) àċęÜĂšćÜĂĉÜÿćÖú (Stratum 0) ēé÷
ñĉéóúćéĕöŠđÖĉî 10 öĉúúĉüĉîćìĊ
1) PD-21 ×ĆĚîêĂîÖćøðäĉïĆêĉÜćîđøČęĂÜ ÖćøđòŜćøąüĆÜÖćøĔßšÜćîøąïï (System Usage Monitoring
Procedure)
ST-07: öćêøåćîÖćøÙüïÙčöÖćøđ×šćëċÜ (Standard of Access Control)
đóČęĂÙüïÙčöĒúąðŜĂÜÖĆîÖćøđ×šćëċÜ ÖćøúŠüÜøĎš ĒúąÖćøĒÖšĕ×ÿćøÿîđìýĒúąøąïïÿćøÿîđìý×ĂÜ Öôñ. ēé÷
ĕöŠĕéšøĆïĂîčâćê Öôñ. ĕéšÖĞćĀîéĔĀšöĊöćêøåćîÖćøÙüïÙčöÖćøđ×šćëċÜàċęÜðøąÖĂïéšü÷ 7 đøČęĂÜéĆÜêŠĂĕðîĊĚ
1) ×šĂÖĞćĀîéìćÜíčøÖĉÝÿĞćĀøĆïÖćøÙüïÙčöÖćøđ×šćëċÜ (Business Requirements for Access
Control)
2) ÖćøïøĉĀćøÝĆéÖćøÖćøđ×šćëċÜ×ĂÜñĎšĔßš (User Access Management)
3) ĀîšćìĊęÙüćöøĆïñĉéßĂï×ĂÜñĎšĔßšÜćî (User Responsibilities)
4) ÖćøÙüïÙčöÖćøđ×šćëċÜđÙøČĂ×Šć÷ (Network Access Control)
5) ÖćøÙüïÙčöÖćøđ×šćëċÜøąïïðäĉïĆêĉÖćø (Operating System Access Control)

6) ÖćøÙüïÙčöÖćøđ×šćëċÜēðøĒÖøöðøą÷čÖêŤĒúąÿćøÿîđìý (Application and Information
Access Control)
7) ÖćøÙüïÙčö Ăč ð ÖøèŤÿČę Ă ÿćøðøąđõìóÖóćĒúąÖćøðäĉ ïĆêĉ ÜćîÝćÖõć÷îĂÖĂÜÙŤÖø (Mobile
Computing and Teleworking)
òść÷ðäĉïĆêĉÖćøđìÙēîēú÷Ċÿćøÿîđìý (Ăðì.)
óĉÝćøèćÖćø×ĂĔßšÜćîïøĉÖćøđÙøČĂ×Šć÷×ĂÜñĎšðäĉïĆêĉÜćîĀøČĂĀîŠü÷Üć÷õć÷îĂÖ ĂĊÖìĆĚÜêšĂÜÙüïÙčöÖćø
ĔßšÜćîøąïïđÙøČĂ×Šć÷ đóČęĂðŜĂÜÖĆîÖćøđ×šćëċÜøąïïđÙøČĂ×Šć÷ĒúąïøĉÖćø×ĂÜøąïïđÙøČĂ×Šć÷ēé÷ĕöŠĕéš
øĆïĂîčâćê
ÝĆéĔĀšöĊÖćøĒïŠÜĒ÷ÖđÙøČĂ×Šć÷êćöÖúčŠö×ĂÜñĎšĔßš ĀøČĂÖúčŠö×ĂÜøąïïÿćøÿîđìý đóČęĂÙüïÙčöÖćøĔßšÜćî
ĔîĒêŠúąđÙøČĂ×Šć÷÷ŠĂ÷ĕéšĂ÷ŠćÜđĀöćąÿö ĒúąöĊÖćøóĉÿĎÝîŤêĆüêî×ĂÜĂčðÖøèŤĔîøąïïđÙøČĂ×Šć÷
øąÜĆïïøĉÖćøĒúąóĂøŤê (Port) ìĊęĕöŠöĊÙüćöÝĞćđðŨîêšĂÜĔßšïîđÙøČęĂÜÙĂöóĉüđêĂøŤĀøČĂĂčðÖøèŤđÙøČĂ×Šć÷
ĒúąêĉéêĆĚÜøąïïÙüïÙčöđóČęĂÖúĆęîÖøĂÜ×šĂöĎúìĊęøĆï - ÿŠÜ óøšĂöìĆĚÜðŜĂÜÖĆîĕöŠĔĀšöĊÖćøøĆïÿŠÜ×šĂöĎúìĊęĕöŠ
đĀöćąÿöÝćÖõć÷îĂÖ Öôñ.
êĉéêĆĚÜ Firewall øąĀüŠćÜđÙøČĂ×Šć÷×ĂÜ Öôñ. ÖĆï đÙøČĂ×Šć÷õć÷îĂÖ óøšĂÜìĆĚÜĒïŠÜĒ÷Ö Zone êćö
ÙüćöđĀöćąÿö ĒúąÙüïÙčöÖćøÖĞćĀîéđÿšîìćÜïîđÙøČĂ×Šć÷×ĂÜ Öôñ.
ÖĞćĀîéÙŠć×ĂÜøąïï (Configuration) ĂčðÖøèŤđÙøČĂ×Šć÷ öĉĔĀšÿćöćøëïøĉĀćøÝĆéÖćøÝćÖõć÷îĂÖ
đÙøČĂ×Šć÷ĕéš đüšîĒêŠĔîÖøèĊÞčÖđÞĉî àċęÜêšĂÜĕéšøĆïÖćøĂîčâćêÝćÖĀĆüĀîšćÜćîÿćøÿîđìý
ÙüïÙčöÖćøđßČęĂöêŠĂđÙøČĂ×Šć÷õć÷îĂÖ àċęÜĂćÝđðŨîßŠĂÜìćÜĔĀšïčÙÙúõć÷îĂÖđ×šćëċÜÿćøÿîđìýĀøČĂ
øąïïÿćøÿîđìý×ĂÜ Öôñ. ēé÷öĉĕéšøĆïĂîčâćê
ÝĆéĔĀšöĊÖćøóĉÿĎÝîŤêĆüêîÖŠĂîìĊęÝąĂîčâćêĔĀšñĎšĔßšÜćîìĊęĂ÷ĎŠõć÷îĂÖ Öôñ. ÿćöćøëđ×šćĔßšÜćîđÙøČĂ×Šć÷
Ēúąøąïïÿćøÿîđìý×ĂÜ Öôñ. ĕéš
òść÷øąïïÿČęĂÿćø
ÿĂïìćîÖćøđßČę Ă öêŠ Ă øąïïñŠ ć îìćÜÿć÷ēìøýĆ ó ìŤ Ă ÷Š ć ÜÿöęĞ ć đÿöĂ đóČę Ă êøüÝÿĂïÖćøđßČę Ă öêŠ Ă
ĂĉîđìĂøŤđîĘêēé÷Āöć÷đú×ēìøýĆóìŤìĊęĕöŠĕéšøĆïĂîčâćê
ĒÝšÜøć÷ßČęĂ×ĂÜñĎšðäĉïĆêĉÜćî ĀøČĂĀîŠü÷Üćîõć÷îĂÖìĊęÿĉĚîÿčéĀøČĂđðúĊę÷îĒðúÜÖćøÝšćÜÜćîĒÖŠñĎšđðŨî
đÝšć×ĂÜÿćøÿîđìýĒúąĀĆüĀîšćÜćîÿćøÿîđìý

ĀîŠü÷ÜćîìĊęüŠćÝšćÜĀîŠü÷Üćîõć÷îĂÖ
ĒÝšÜøć÷ßČęĂ×ĂÜñĎšðäĉïĆêĉÜćî ĀøČĂĀîŠü÷Üćîõć÷îĂÖìĊęÿĉĚîÿčéĀøČĂđðúĊę÷îĒðúÜÖćøÝšćÜÜćîĒÖŠñĎšđðŨî
đÝšć×ĂÜÿćøÿîđìýĒúąĀĆüĀîšćÜćîÿćøÿîđìý
ÝĆ é ĔĀš öĊ üĉ íĊ ðŜ Ă ÜÖĆ î ĕöŠ Ĕ Āš ñĎš ð äĉ ïĆ êĉ Ü ćîĀøČ Ă ĀîŠ ü ÷Üćîõć÷îĂÖ ìĊę ĕ öŠ öĊ ÿĉ ì íĉ ÿ ćöćøëđ×š ć ëċ Ü Ăč ð ÖøèŤ
ðøąöüúñúÿćøÿîđìýìĊęĕöŠöĊñĎšéĎĒú
óĉÝćøèć×ĆĚîêĂîðäĉïĆêĉÿĞćĀøĆïÖćøúÜìąđïĊ÷î đóĉÖëĂîÿĉìíĉ ĒúąđðúĊę÷îĒðúÜÿĉìíĉ×ĂÜñĎšĔßšÜćî
óĉÝćøèćĔĀšñĎšĔßšÜćîöĊÿĉìíĉđóČęĂÖćøđ×šćëċÜÿćøÿîđìýĀøČĂøąïïÿćøÿîđìýĔéė Ă÷ŠćÜđðŨîúć÷úĆÖþèŤ
ĂĆÖþøđìŠćîĆĚî ĂĊÖìĆĚÜĂîčöĆêĉÖćøÿøšćÜïĆâßĊñĎšĔßšßĆęüÙøćü (Temporary User)
êøüÝÿĂïÖćøĔßšÜćîïĆâßĊñĎšĔßšàĚĞćÖĆîĔîøąïï Ă÷ŠćÜÿöęĞćđÿöĂđðŨîðøąÝĞćìčÖ 3 đéČĂî
ÝĆéĔĀšöĊÖćøëĂéëĂîĀøČĂđðúĊę÷îĒðúÜÿĉìíĉÖćøđ×šćëċÜìĆîìĊ đöČęĂñĎšĔßšÜćî đÖþĊ÷è đðúĊę÷îĒðúÜĀîšćìĊę
ÙüćöøĆ ï ñĉ é ßĂï đðúĊę ÷ îĒðúÜÿĆ Ü ÖĆ é ĀøČ Ă ĕöŠ öĊ Ù üćöÝĞ ć đðŨ î ĔîÖćøĔßš Ü ćîÿćøÿîđìýĀøČ Ă øąïï
ÿćøÿîđìý
ÝĆé ĔĀš öĊÖćøÿĂïìćîÿĉ ì íĉÖćøđ×šćëċÜ×ĂÜñĎšĔ ßšÜćîøąïïđðŨîðøąÝĞćìčÖ 3 đéČĂî ĀøČ ĂđöČęĂ Öôñ. öĊ
ÖćøđðúĊę÷îĒðúÜøąïïÿćøÿîđìýĀøČĂēÙøÜÿøšćÜĂÜÙŤÖøìĊęÿĞćÙĆâ
ÝĆéĔĀšöĊÖćøĒïŠÜĒ÷Öøąïïÿćøÿîđìý ēé÷óĉÝćøèćÝćÖúĞćéĆïßĆĚî×ĂÜÿćøÿîđìýìĊę Öôñ. ÖĞćĀîéĕüš
ÖĞćĀîéøą÷ąđüúćÖćøĔßšÜćîĔîøąïïÿćøÿîđìý×ĂÜ Öôñ. ÿĞćĀøĆïĀîŠü÷Üćîõć÷îĂÖìĊęöĊÙüćö
ÝĞćđðŨîêšĂÜđ×šćëċÜĕéšÿĎÜÿčé 12 đéČĂî
óĉÝćøèćÖćøĔßšÜćîïĆâßĊñĎšĔßšÜćîøŠüöÖĆî (Shared User ID) ĔîÖøèĊìĊęöĊÙüćöÝĞćđðŨîđìŠćîĆĚî
ÝĆéĔĀšöĊïĆâßĊñĎšĔßšÜćîĒêŠúąïčÙÙú ĒúąÖćøÙüïÙčöÖćøđ×šćëċÜ ÿćøÿîđìý øąïïðäĉïĆêĉÖćøĒúąøąïï
ÿćøÿîđìý êćööćêøåćîÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìýìĊę Öôñ. ÖĞćĀîé óøšĂöìĆĚÜÝĆéđÖĘï
ïĆîìċÖđĀêčÖćøèŤ (Log) ĔĀšöĊÙüćööĆęîÙÜðúĂéõĆ÷
óĉÝćøèćĔĀšñĎšĔßšÜćîöĊÿĉìíĉđóČęĂÖćøđ×šćëċÜÿćøÿîđìýĀøČĂøąïïÿćøÿîđìýĔéė Ă÷ŠćÜđðŨîúć÷úĆÖþèŤ
ĂĆÖþøđìŠćîĆĚî óøšĂöìĆĚÜÿĂïìćîÿĉìíĉÖćøđ×šćëċÜ×ĂÜñĎšĔßšÜćîøąïïđðŨîðøąÝĞćìčÖ 3 đéČĂî ĀøČĂđöČęĂ
Öôñ. öĊÖćøđðúĊę÷îĒðúÜøąïïÿćøÿîđìýĀøČĂēÙøÜÿøšćÜĂÜÙŤÖøìĊęÿĞćÙĆâ

ÝĆéĔĀšöĊÖćøëĂéëĂîĀøČĂđðúĊę÷îĒðúÜÿĉìíĉÖćøđ×šćëċÜìĆîìĊ đöČęĂñĎšĔßšÜćî đÖþĊ÷è đðúĊę÷îĒðúÜĀîšćìĊę
ÙüćöøĆ ï ñĉ é ßĂï đðúĊę ÷ îĒðúÜÿĆ Ü ÖĆ é ĀøČ Ă ĕöŠ öĊ Ù üćöÝĞ ć đðŨ î ĔîÖćøĔßš Ü ćîÿćøÿîđìýĀøČ Ă øąïï
ÿćøÿîđìý
ÝĆéĔĀšöĊÖćøÖĞćĀîéÙŠć×ĂÜøąïï (Configuration) ĔîÖćøúĘĂÙĀîšćÝĂóøšĂöĔÿŠøĀĆÿñŠćî ÖćøÖĞćĀîé
Session Time-out
ÝĆéĔĀšĂčðÖøèŤðøąöüúñúÿćøÿîđìý öĊĂčðÖøèŤúĘĂÙĂ÷ĎŠđÿöĂ
ÝĆéĔĀšöĊÖćøĒïŠÜĒ÷Öøąïïÿćøÿîđìý ēé÷óĉÝćøèćÝćÖúĞćéĆïßĆĚî×ĂÜÿćøÿîđìýìĊę Öôñ. ÖĞćĀîéĕüš
ÝĆéĔĀšöĊÖćøÙüïÙčö ĒúąðŜĂÜÖĆîÖćøĔßšĂčðÖøèŤÿČęĂÿćøðøąđõìóÖóćĔîÖćøđßČęĂöêŠĂđÙøČĂ×Šć÷
ÝĆéĔĀšöĊÖćøÙüïÙčö ĒúąìéÿĂïÙüćöðúĂéõĆ÷×ĂÜøĀĆÿñŠćîêćööćêøåćîìĊę Öôñ. ÖĞćĀîéĂ÷ĎŠđÿöĂ
ÖĞćĀîéøą÷ąđüúćÖćøĔßšÜćîĔîøąïïÿćøÿîđìý×ĂÜ Öôñ. ÿĞćĀøĆïĀîŠü÷Üćîõć÷îĂÖìĊęöĊÙüćö
ÝĞćđðŨîêšĂÜđ×šćëċÜĕéšÿĎÜÿčé 12 đéČĂî
ñĎšéĎĒúøąïïÿćøÿîđìý
ÙüïÙčööĉĔĀšöĊÖćøĔßšÜćîïĆâßĊßČęĂñĎšĔßšàĚĞćÖĆî
ÖĞ ć ĀîéøĀĆ ÿ ñŠ ć î×ĂÜñĎš Ĕ ßš Ē ïïßĆę ü Ùøćüēé÷Ĕßš üĉ íĊ Ö ćøÿčŠ ö ĒúąÖĞ ć ĀîéĔĀš ø ąïïìĞ ć ÖćøïĆ Ü ÙĆ ï ĔĀš öĊ
ÖćøđðúĊę÷îøĀĆÿñŠćîñĎšĔßšĔĀöŠđöČęĂöĊÖćøĔßšÜćîøąïïĔîÙøĆĚÜĒøÖ
úïĀøČĂøąÜĆïÖćøĔßšÜćîÿĉìíĉ×ĂÜñĎšĔßšÜćîìĊęöćÖĆïøąïï (Default User)
ÝĆéĔĀšöĊÖćøÿĂïìćîĒúąøąÜĆïÖćøĔßšÜćîïĆâßĊñĎšĔßšÜćîìĊęĕöŠĕéšĔßšÜćîđÖĉî 90 üĆî ĒúąÝĆéÿŠÜøć÷ßČęĂ×ĂÜ
ñĎšĔßšÜćîìĊęëĎÖøąÜĆïĕð÷ĆÜñĎšđðŨîđÝšć×ĂÜÿćøÿîđìý đóČęĂ÷Čî÷ĆîÖćøĔßšÜćî
ÝĆéìĞćøć÷ÜćîïĆîìċÖđĀêčÖćøèŤ (Log) đóČęĂøć÷ÜćîĒÖŠĀĆüĀîšćÜćîÿćøÿîđìýđðŨîðøąÝĞćìčÖđéČĂî
ñĎšïĆÜÙĆïïĆâßć
óĉÝćøèć×ĆĚîêĂîðäĉïĆêĉÿĞćĀøĆïÖćøúÜìąđïĊ÷î đóĉÖëĂîÿĉìíĉ ĒúąđðúĊę÷îĒðúÜÿĉìíĉ×ĂÜñĎšĔßšÜćî
óĉÝćøèćÖćø×ĂĔßšÜćîïøĉÖćøđÙøČĂ×Šć÷×ĂÜñĎšðäĉïĆêĉÜćîĀøČĂĀîŠü÷Üć÷õć÷îĂÖ
ñĎšðäĉïĆêĉÜćî/ ñĎšĔßšÜćî
ĒÝšÜÙüćöðøąÿÜÙŤĔîÖćø×ĂĔßšÜćîïøĉÖćøđÙøČĂ×Šć÷êćö×ĆĚîêĂîÖćøðäĉïĆêĉĔîÖćø×ĂĔßšïøĉÖćøđÙøČĂ×Šć÷
êšĂÜðäĉïĆêĉêćööćêøÖćøÖćøĔßšÜćîøĀĆÿñŠćîìĊę Öôñ. ÖĞćĀîéĂ÷ŠćÜđÙøŠÜÙøĆé

ÖĞćĀîéÙŠ ćĔîÖćøúĘĂÙĀîšćÝĂĂĆê ēîöĆêĉđöČęĂĕöŠöĊÖ ćøĔßšÜćîøąïïÿćøÿîđìý ĂčðÖøèŤ ðøąöüúñú
ÿćøÿîđìý ĀøČĂ ĂčðÖøèŤðøąđõìóÖóć×ĂÜ Öôñ. êćöøą÷ąđüúćìĊęÖĞćĀîé
êĆĚÜÙŠćĔĀšöĊēðøĒÖøöóĆÖĀîšćÝĂìĊęêšĂÜĔÿŠøĀĆÿñŠćî ÿĞćĀøĆïđÙøČęĂÜÙĂöóĉüđêĂøŤÿŠüîïčÙÙú ĀøČĂđÙøČęĂÜ
ÙĂöóĉüđêĂøŤĒïïóÖóć ĒúąđÙøČęĂÜÙĂöóĉüđêĂøŤĒöŠ×Šć÷
ĀúĊÖđúĊę÷ÜÖćøÖøąìĞćìĊęÿĉĚîđðúČĂÜìøĆó÷ćÖø×ĂÜđÙøČĂ×Šć÷ ĒúąĕöŠĔßšøąïïđÙøČĂ×Šć÷ đóČęĂđðŨîßŠĂÜìćÜĔî
ÖćøđÝćąøąïï (Hacking) ĀøČĂÖćøÿĒÖîßŠĂÜēĀüŠ×ĂÜøąïïēé÷öĉĕéšøĆïĂîčâćê
ĔîÖćøĔßšÜćîĂĉîđìĂøŤđîĘêĔĀšĔßšēðøēêÙĂú×ĂÜ HTTP Ēúą HTTPS đìŠćîĆĚî îĂÖÝćÖĕéšøĆïÖćøĂîčâćê
ÝćÖòść÷ðäĉïĆêĉÖćøđìÙēîēú÷ĊÿćøÿîđìýĔĀšĔßšĂ÷ŠćÜĂČęî ĂĊÖìĆĚÜêšĂÜ Log Off Ēúąðŗé Web Browser
ĀúĆÜÝćÖÖćøĔßšÜćîìčÖÙøĆĚÜ ĒúąêšĂÜðäĉïĆêĉêćööćêøÖćøêŠćÜėìĊę Öôñ. ÖĞćĀîéĂ÷ŠćÜđÙøŠÜÙøĆé
ĕöŠêĉéêĆĚÜ Modem đóČęĂđ×šćëċÜĂĉîđìĂøŤđîĘê ĔîÖøèĊìĊęÝĞćđðŨîêšĂÜĕéšøĆïÖćøĂîčâćêÝćÖòść÷ðäĉïĆêĉÖćø
đìÙēîēú÷ĊÿćøÿîđìýÖŠĂîđìŠćîĆĚî
êĉéêĆĚÜēðøĒÖøöðŜĂÜÖĆîĕüøĆÿĒúą Personal Firewall ÿĞćĀøĆïĂčðÖøèŤÿŠüîêĆüìĊęĔßšđßČęĂöêŠĂđÙøČĂ×Šć÷
×ĂÜ Öôñ. ÝćÖõć÷îĂÖ
đĂÖÿćøìĊęöĊøąéĆïÙüćööĆęîÙÜðúĂéõĆ÷ “ÿĎÜÿčé” êšĂÜóĉöóŤÝćÖđÙøČęĂÜóĉöóŤđÞóćąđìŠćîĆĚî ĒúąêšĂÜîĞć
ĂĂÖÝćÖÝćÖđÙøČęĂÜóĉöóŤēé÷ìĆîìĊ
ÖĞćĀîéÙŠćĔîÖćøúĘĂÙĀîšćÝĂĂĆêēîöĆêĉđöČęĂĕöŠöĊÖćøĔßšÜćîøąïïÿćøÿîđìý ĀøČĂĂčðÖøèŤðøąöüúñú
ÿćøÿîđìý×ĂÜ Öôñ. êćöøą÷ąđüúćìĊęÖĞćĀîé
7.1 ×šĂÖĞćĀîéìćÜíčøÖĉÝÿĞćĀøĆïÖćøÙüïÙčöÖćøđ×šćëċÜ (Business Requirements for

Access Control)
ĔĀšöĊÖćøÙüïÙčöÖćøđ×šćëċÜĔĀšÿĂéÙúšĂÜÖĆïÙüćöêšĂÜÖćøìćÜíčøÖĉÝĒúąÙüćöêšĂÜÖćøéšćîÙüćööĆęîÙÜðúĂéõĆ÷
öćêøåćî
7.1.1×šĂÖĞćĀîéÖćøÙüïÙčöÖćøđ×šćëċÜ (Access Control Requirements)
1) ñĎšđðŨîđÝšć×ĂÜÿćøÿîđìý êšĂÜÝĆéìĞćêćøćÜĒÿéÜÿĉìíĉĔîÖćøđ×šćëċÜ (Authorization Matrix) ìĊę
đĀöćąÿöĔîĒêŠúąøąïïÿćøÿîđìýĂ÷ŠćÜđðŨîúć÷úĆÖþèŤĂĆÖþø ĒúąðøĆïðøčÜĂ÷ŠćÜÿöęĞćđÿöĂìčÖ 3

đéČĂî ĀøČĂöĊÖćøìïìüîđöČęĂöĊÖćøđðúĊę÷îĒðúÜøąïïÿćøÿîđìý ĂĊÖìĆĚÜÖćøđ×šćëċÜ×ĂÜñĎšĔßšÜćî
ìĆĚÜĀöéêšĂÜÿĂéÙúšĂÜÖĆï×šĂÖĞćĀîéìćÜíčøÖĉÝ×ĂÜ Öôñ. ĒúąĀîšćìĊęÙüćöøĆïñĉéßĂï×ĂÜñĎšĔßšÜćî
2) ñĎšđðŨîđÝšć×ĂÜÿćøÿîđìýĒúąĀĆüĀîšćÜćîÿćøÿîđìý êšĂÜÖĞćĀîéøąéĆïÖćøĂîčöĆêĉ (Authorization
Level) Öćøđ×šćëċÜøąïïÿćøÿîđìýĂ÷ŠćÜđðŨîúć÷úĆÖþèŤĂĆÖþø
3) ĀĆüĀîšćÜćîÿćøÿîđìý êšĂÜéĎĒúÖĞćÖĆïĔĀš Default Permission ÿĞćĀøĆï ĕôúŤ (File) Ēúą ēôúđéĂøŤ
(Folder) ìĊęÿøšćÜ×ċĚîêšĂÜĕéšøĆïÖćøÝĞćÖĆéÿĉìíĉĔîÖćøđ×šćëċÜēé÷ñĎšĔßšÜćîìĆęüĕð
4) ĔîÖćøÖĞćĀîéÖćøđ×šćëċÜÿćøÿîđìýĀøČĂøąïïÿćøÿîđìý×ĂÜ Öôñ. ñĎšđðŨîđÝšć×ĂÜÿćøÿîđìý êšĂÜ
óĉÝćøèć×šĂÖĞćĀîéêŠćÜėìĊęöĊñúìćÜÖãĀöć÷ ìĊęđÖĊę÷ü×šĂÜÖĆïÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý
×ĂÜ Öôñ. đßŠî óøąøćßïĆââĆêĉ ×šĂÖĞćĀîéìćÜÖãĀöć÷ ×šĂÖĞćĀîéĔîÿĆââć Ēúą×šĂÖĞćĀîé
ìćÜéšćîÙüćööĆęîÙÜðúĂéõĆ÷ĂČęîė đðŨîêšî
5) ñĎš đ ðŨ î đÝš ć ×ĂÜÿćøÿîđìýĒúąĀĆ ü Āîš ć Üćîÿćøÿîđìý êš Ă ÜÝĆ é ĔĀš öĊ Ö ćøĒïŠ Ü Ē÷ÖĀîš ć ìĊę
ÙüćöøĆïñĉéßĂï (Segregation of Duties)ĔîÖćøđ×šćëċÜøąïïÿćøÿîđìýĂ÷ŠćÜđĀöćąÿö đßŠî öĊ
ÖćøĒïŠÜĒ÷ÖĀîšćìĊęøąĀüŠćÜ ÖćøĒÝšÜÙüćöðøąÿÜÙŤÖćøđ×šćëċÜÖĆïÖćøĂîčöĆêĉÖćøđ×šćëċÜ đðŨîêšî
6) ñĎš đ ðŨ î đÝš ć ×ĂÜÿćøÿîđìýĒúąĀĆ ü Āîš ć Üćîÿćøÿîđìý êš Ă ÜÖĞ ć ĀîéĔĀš öĊ Ö ćøÿĂïìćîÿĉ ì íĉ Ĕ î
Öćøđ×šćëċÜøąïïÿćøÿîđìýĂ÷ŠćÜÿöęĞćđÿöĂìčÖ 3 đéČĂî óøšĂöìĆĚÜđóĉÖëĂîÿĉìíĉ đöČęĂóïđĀĘîÿĉìíĉìĊęĕöŠ
ëĎÖêšĂÜêćö êćøćÜĒÿéÜÿĉìíĉĔîÖćøđ×šćëċÜ (Authorization Matrix)
7.2 ÖćøïøĉĀćøÝĆéÖćøÖćøđ×šćëċÜ×ĂÜñĎšĔßš (User Access Management)
ĔĀšöĊÖćøÙüïÙčöÖćøúÜìąđïĊ÷îñĎšĔßš ÖćøïøĉĀćøÝĆéÖćøÿĉìíĉÖćøĔßšÜćîøąïïÿćøÿîđìý ÖćøïøĉĀćøÝĆéÖćø
øĀĆÿñŠćîĒúąÖćøìïìüîÿĉìíĉÖćøđ×šćëċÜ×ĂÜñĎšĔßš
öćêøåćî
7.2.1 ÖćøúÜìąđïĊ÷îñĎšĔßš (User Registration)
1) ĀĆüĀîšćÜćîÿćøÿîđìý êšĂÜÖĞćĀîéĔĀšöĊ×ĆĚîêĂîðäĉïĆêĉÿĞćĀøĆïÖćøúÜìąđïĊ÷î ÖćøđóĉÖëĂîÿĉìíĉ
ĒúąÖćøđðúĊę÷îĒðúÜÿĉìíĉ×ĂÜñĎšĔßšÜćîĂ÷ŠćÜđðŨîúć÷úĆÖþèŤĂĆÖþø đóČęĂÖĞćĀîéÿĉìíĉêŠćÜė Ĕî
ÖćøĔßšÜćîêćöÙüćöđĀöćąÿö
2) ×ĆĚîêĂîðäĉïĆêĉÿĞćĀøĆïÖćøúÜìąđïĊ÷î ÖćøđóĉÖëĂîÿĉìíĉ ĒúąÖćøđðúĊę÷îĒðúÜÿĉìíĉ êšĂÜĕéšøĆï Öćø
ĂîčöĆêĉÝćÖ ñĎšïĆÜÙĆïïĆâßćĒúąñĎšđðŨîđÝšć×ĂÜÿćøÿîđìý óøšĂöìĆĚÜöĊÖćøÙüïÙčö×ĆĚîêĂîðäĉïĆêĉĔîđøČęĂÜ

1. ÖćøÖĞćĀîéÿĉìíĉìĊęđĀöćąÿöÖĆïñĎšĔßšÜćîêćöÙüćöÝĞćđðŨîìćÜéšćîíčøÖĉÝ ĒúąÿĂéÙúšĂÜÖĆï
ĀîšćìĊęÙüćöøĆïñĉéßĂï
2. ÖćøĂîčöĆêĉĒúąÿĂïìćîÖćøđ×šćøąïïÿćøÿîđìýĔĀš đðŨîĕðêćö×ĆĚîêĂîðäĉïĆêĉÜćîìĊę
ÖĞćĀîé
3. ÖćøÝĆ éđÖĘ ïðøąüĆêĉÖćøúÜìąđïĊ÷î ÖćøđóĉÖëĂîÿĉì íĉ ĒúąÖćøđðúĊę÷îĒðúÜÿĉì íĉ×ĂÜ
ñĎšĔßšÜćî
3) ïĆâßĊßČęĂñĎšĔßš (Username) êšĂÜđðŨîßČęĂđÞóćąÿĞćĀøĆïñĎšĒÝšÜÙüćöðøąÿÜÙŤđìŠćîĆĚî ìĆĚÜîĊĚñĎšéĎĒúøąïï
ÿćøÿîđìý êšĂÜÙüïÙčööĉĔĀšöĊÖćøĔßšÜćîïĆâßĊßČęĂñĎšĔßšàĚĞćÖĆî ĒúąñĎšđðŨîđÝšć×ĂÜÿćøÿîđìý êšĂÜ
êøüÝÿĂïÖćøĔßšÜćîïĆâßĊñĎšĔßšàĚĞćÖĆîĔîøąïï Ă÷ŠćÜÿöęĞćđÿöĂđðŨîðøąÝĞćìčÖ 3 đéČĂî
4) ñĎšđðŨîđÝšć×ĂÜÿćøÿîđìýĒúąĀĆüĀîšćÜćîÿćøÿîđìý êšĂÜÝĆéĔĀšöĊÖćøëĂéëĂîĀøČĂđðúĊę÷îĒðúÜÿĉìíĉ
Öćøđ×šćëċÜìĆîìĊ đöČęĂñĎš Ĕ ßšÜćî đÖþĊ÷è đðúĊę÷îĒðúÜĀîšćìĊę ÙüćöøĆïñĉéßĂï đðúĊę÷îĒðúÜÿĆÜÖĆé
ĀøČĂĕöŠöĊÙüćöÝĞćđðŨîĔîÖćøĔßšÜćîÿćøÿîđìýĀøČĂøąïïÿćøÿîđìý ìĆĚÜîĊĚòść÷ìøĆó÷ćÖøïčÙÙúĀøČĂ
ĀîŠü÷ÜćîìĊęüŠćÝšćÜĀîŠü÷Üćîõć÷îĂÖ êšĂÜĒÝšÜøć÷ßČęĂ×ĂÜñĎšðäĉïĆêĉÜćî ĀøČĂĀîŠü÷Üćîõć÷îĂÖìĊę
ÿĉĚîÿčéĀøČĂđðúĊę÷îĒðúÜÖćøÝšćÜÜćîĒÖŠñĎšđðŨîđÝšć×ĂÜÿćøÿîđìýĒúąĀĆüĀîšćÜćîÿćøÿîđìý
5) ĀîŠü÷Üćîõć÷îĂÖ ìĊęđ×šćöćðäĉïĆêĉÜćîøŠüöÖĆï Öôñ. ĀĆüĀîšćÜćîÿćøÿîđìýĀøČĂ ñĎšđðŨîđÝšć×ĂÜ
ÿćøÿîđìý êšĂÜöĊÖćøÖĞćĀîéøą÷ąđüúćÖćøĔßšÜćîĔîøąïïÿćøÿîđìý×ĂÜ Öôñ. ÿĞćĀøĆïĀîŠü÷Üćî
õć÷îĂÖìĊęöĊÙüćöÝĞćđðŨîêšĂÜđ×šćëċÜĕéšÿĎÜÿčé 12 đéČĂî ëšćđÖĉîÖüŠćøą÷ąđüúćìĊęÖĞćĀîé ĀîŠü÷Üćî
ìĊęüŠćÝšćÜĀîŠü÷Üćîõć÷îĂÖ êšĂÜöĊÖćøĒÝšÜÙüćöðøąÿÜÙŤĔîÖćøĔßšÜćîđóĉęöđêĉö óøšĂöìĆĚÜöĊÖćø×Ă
ĂîčöĆêĉÖćøĔßšÜćîĔîøąïïÿćøÿîđìý×ĂÜ Öôñ. ÝćÖ ñĎšđðŨîđÝšć×ĂÜÿćøÿîđìýìĊęđÖĊę÷ü×šĂÜĂ÷ŠćÜđðŨî
6) ÖćøÿøšćÜïĆâßĊñĎšĔßšßĆęüÙøćü (Temporary User) êšĂÜĕéšøĆïÖćøĂîčöĆêĉÝćÖ ñĎšđðŨîđÝšć×ĂÜÿćøÿîđìý
đìŠćîĆĚî ĒúąêšĂÜöĊÖćøÝĞćÖĆéßŠüÜđüúćÖćøĔßšÜćîđìŠćìĊęÝĞćđðŨîđìŠćîĆĚî
7.2.2 ÖćøïøĉĀćøÝĆéÖćøÿĉìíĉ (Privilege Management)

1) ñĎšđðŨîđÝšć×ĂÜÿćøÿîđìýĒúąĀĆüĀîšćÜćîÿćøÿîđìý êšĂÜÝĆéĔĀšöĊÖćøÙüïÙčöĒúąÝĞćÖĆéÿĉìíĉĔîÖćøĔßš
Üćîøąïï êćöÙüćöÝĞćđðŨîĔîÖćøĔßšÜćîđìŠćîĆĚî
2) ÖćøĂîčâćêĔĀšöĊÿĉìíĉđóČęĂÖćøđ×šćëċÜÿćøÿîđìýĀøČĂøąïïÿćøÿîđìýĔéė êšĂÜĕéšøĆïÖćøĂîčöĆêĉÝćÖñĎš
đðŨîđÝšć×ĂÜÿćøÿîđìýĒúąĀĆüĀîšćÜćîÿćøÿîđìý Ă÷ŠćÜđðŨîúć÷úĆÖþèŤĂĆÖþøđìŠćîĆĚî
3) ĀĆüĀîšćÜćîÿćøÿîđìý êšĂÜöĊÖćøÝĞćÖĆéÝĞćîüîñĎšðäĉïĆêĉÜćîìĊęìĞćĀîšćìĊęđðŨî ñĎšĔĀšÿĉìíĉÖĆïñĎšĔßšÜćîĔĀš
îšĂ÷ìĊęÿčéêćöÙüćöđĀöćąÿö

4) ĀĆüĀîšćÜćîÿćøÿîđìý êšĂÜÝĆéĔĀšöĊÖćøÝĆéđÖĘïïĆîìċÖđĀêčÖćøèŤ (Log) ÿĞćĀøĆïÖćøĔĀšÿĉìíĉĔîøąïï
óøšĂöìĆĚÜĔĀšñĎšéĎĒúøąïïÿćøÿîđìý ÝĆéìĞćøć÷ÜćîïĆîìċÖđĀêčÖćøèŤ (Log) đóČęĂøć÷ÜćîĒÖŠĀĆüĀîšć
ÜćîÿćøÿîđìýđðŨîðøąÝĞćìčÖđéČĂî
5) ĀĆüĀîšćÜćîÿćøÿîđìý êšĂÜÝĆéĔĀšöĊÖćøÙüïÙčöĒúąÝĞćÖĆéÿĉìíĉóĉđýþ éĆÜêŠĂĕðîĊĚ
x ĔĀšĔßšÿĉìíĉóĉđýþĔîÜćî êćöÙüćöÝĞćđðŨîđìŠćîĆĚî
x ĔîÖøèĊĕöŠöĊÖćøĔßšÜćîÿĉìíĉóĉđýþđðŨîðøąÝĞć ÖćøĔĀšÿĉìíĉóĉđýþÙüøĔĀšđðŨîøć÷ÙøĆĚÜđöČęĂöĊ
ÙüćöÝĞćđðŨîđìŠćîĆĚî óøšĂöìĆĚÜêšĂÜÖĞćĀîéøą÷ąđüúćÖćøĔßšÜćî ĒúąøąÜĆï ÖćøĔßš
ÜćîìĆîìĊ đöČęĂóšîøą÷ąđüúćéĆÜÖúŠćü
x êš Ă ÜöĊ Ö ćøđðúĊę ÷ îøĀĆ ÿ ñŠ ć îĂ÷Š ć ÜđÙøŠ Ü ÙøĆ é đßŠ î đðúĊę ÷ îøĀĆ ÿ ñŠ ć îìč Ö ÙøĆĚ Ü ĀúĆ Ü Āöé
ÙüćöÝĞćđðŨîĔîÖćøĔßšÜćî ĀøČĂĔîÖøèĊìĊęöĊÙüćöÝĞćđðŨîêšĂÜĔßšÜćîđðŨîøą÷ąđüúćîćî
êšĂÜđðúĊę÷îøĀĆÿñŠćîđðŨîðøąÝĞćìčÖ 30 - 45 üĆî đðŨîêšî
x êšĂÜöĊÖćøĒïŠÜĒ÷ÖĀîšćìĊęìĊęĕöŠ×ĆéĒ÷šÜÖĆïĀîšćìĊęÖćøìĞćÜćî đßŠî ñĎšóĆçîćøąïïêšĂÜĕöŠĕéš
øĆïÿĉìíĉóĉđýþ (Root) đðŨîêšî
x êšĂÜöĊïĆâßĊñĎšĔßšÜćîÿŠüîêĆüÿĞćĀøĆïÖćøĔßšÜćîðÖêĉ àċęÜĒ÷ÖÝćÖïĆâßĊñĎšĔßšÜćîìĊęĕéšøĆïÿĉìíĉ
óĉđýþ đóČęĂÖćøĔßšÜćîìĊęĕöŠÝĞćđðŨîêšĂÜĔßšÿĉìíĉóĉđýþ
6) ñĎšéĎĒúøąïïÿćøÿîđìý êšĂÜúïĀøČĂøąÜĆïÖćøĔßšÜćîÿĉìíĉ×ĂÜñĎšĔßšÜćîìĊęöćÖĆïøąïï (Default User)
ĔîÖøèĊìĊęöĊÙüćöÝĞćđðŨîêšĂÜĔßšÜćî êšĂÜöĊÖćøÖĞćĀîéøĀĆÿñŠćîĂ÷ŠćÜöĆęîÙÜðúĂéõĆ÷ĒúąđðúĊę÷îĒðúÜ
øĀĆÿñŠćîđðŨîðøąÝĞćìčÖ 3 đéČĂî
7.2.3 ÖćøïøĉĀćøÝĆéÖćøøĀĆÿñĎšĔßš (User Password Management)

1) đöČęĂöĊÖćøÿøšćÜïĆâßĊñĎšĔßšÜćî ñĎšéĎĒúøąïïÿćøÿîđìý êšĂÜÖĞćĀîéøĀĆÿñŠćî×ĂÜñĎšĔßšĒïïßĆęüÙøćüēé÷
ĔßšüĉíĊÖćøÿčŠö ĒúąÖĞćĀîéĔĀšøąïïìĞćÖćøïĆÜÙĆïĔĀšöĊÖćøđðúĊę÷îøĀĆÿñŠćîñĎšĔßšĔĀöŠđöČęĂöĊÖćøĔßšÜćî
øąïïĔîÙøĆĚÜĒøÖ
2) ĀĆüĀîšćÜćîÿćøÿîđìý êšĂÜÝĆéĔĀšöĊÖćøÿŠÜöĂïøĀĆÿñŠćîÿĞćĀøĆïñĎšĔßšÜćîĂ÷ŠćÜöĆęîÙÜðúĂéõĆ÷ đßŠî
ÖćøÝĆéÿŠÜøĀĆÿñŠćîĔĀšÖĆïĀĆüĀîšćÜćîĔîÙøĆĚÜĒøÖĒúąøąïïêšĂÜïĆÜÙĆïĔĀšöĊÖćøđðúĊę÷îøĀĆÿñŠćîìĆîìĊ
đöČęĂöĊÖćøđ×šćøąïïĔîÙøĆĚÜĒøÖ đðŨîêšî
3) ĀĆüĀîšćÜćîÿćøÿîđìý êšĂÜÝĆéĔĀšöĊÖćøđ×šćøĀĆÿ×šĂöĎúøĀĆÿñŠćîĔîøąïï
7.2.4 ÖćøìïìüîÿĉìíĉÖćøđ×šćëċÜ×ĂÜñĎšĔßš (Review of User Access Rights)

1) ñĎšđðŨîđÝšć×ĂÜÿćøÿîđìý ĒúąĀĆüĀîšćÜćîÿćøÿîđìý êšĂÜÝĆéĔĀšöĊÖćøÿĂïìćîÿĉìíĉÖćøđ×šćëċÜ×ĂÜ
ñĎšĔßšÜćîøąïïđðŨîðøąÝĞćìčÖ 3 đéČĂî ĀøČĂđöČęĂ Öôñ. öĊÖćøđðúĊę÷îĒðúÜøąïïÿćøÿîđìýĀøČĂ
ēÙøÜÿøšćÜĂÜÙŤÖøìĊęÿĞćÙĆâ
2) ñĎšéĎĒúøąïïÿćøÿîđìý êšĂÜÝĆéĔĀšöĊÖćøÿĂïìćîĒúąøąÜĆïÖćøĔßšÜćîïĆâßĊñĎšĔßšÜćîìĊęĕöŠĕéšĔßšÜćîđÖĉî
90 üĆî ĂĊÖìĆĚÜêšĂÜÝĆéÿŠÜøć÷ßČęĂ×ĂÜñĎšĔßšÜćîìĊęëĎÖøąÜĆïĕð÷ĆÜñĎšđðŨîđÝšć×ĂÜÿćøÿîđìý đóČęĂ÷Čî÷ĆîÖćø
ĔßšÜćî ìĆĚÜîĊĚøą÷ąđüúćìĊęĕöŠĕéšĔßšÜćî×ĂÜïĆâßĊñĎšĔßšÜćî ĂćÝÝą×ċĚîĂ÷ĎŠĒêŠúąøąïïÜćî đßŠî øąïïìĊęöĊ
ÙüćöëĊęĔîÖćøĔßšÜćîîšĂ÷ ñĎšéĎĒúøąïïÿćøÿîđìýêšĂÜÝĆéĔĀšöĊÖćøÿĂïìćîĒúąøąÜĆïÖćøĔßšÜćîïĆâßĊ
ñĎšĔßšÜćîìĊęĕöŠĕéšĔßšÜćîđÖĉî 365 üĆî đðŨîêšî
1) PD-22 ×ĆĚîêĂîÖćøðäĉïĆêĉÜćîđøČęĂÜ Öćø×ĂúÜìąđïĊ÷îñĎšĔßšÜćî (User Registration Procedure)
2) PD-23 ×ĆĚîêĂîÖćøðäĉïĆêĉÜćîđøČęĂÜ ÖćøđðúĊę÷îĒðúÜÿĉìíĉñĎšĔßšÜćî (User Modification Procedure)
3) PD-24 ×ĆĚîêĂîÖćøðäĉïĆêĉÜćîđøČęĂÜ ÖćøđóĉÖëĂîÖćøúÜìąđïĊ÷îñĎšĔßšÜćî (User De-Registration
Procedure)
4) PD-25 ×ĆĚîêĂîÖćøðäĉïĆêĉÜćîđøČęĂÜ Öćø×ĂĔßšïĆâßĊñĎšĔßšÜćîìĊęöĊÿĉìíĉđìĊ÷ïđìŠćïĆâßĊñĎšĔßšÜćîìĊęöĊÿĉìíĉ
óĉđýþ ( Equivalent-Privilege User Account Request Procedure)
5) PD-26 ×ĆĚîêĂîÖćøðäĉïĆêĉÜćîđøČęĂÜ Öćø×ĂĔßšïĆâßĊñĎšĔßšÜćîìĊęöĊÿĉìíĉóĉđýþĔîÖøèĊÞčÖđÞĉî ( Emergency
Use of Privilege User Account Procedure)
6) PD-27 ×ĆĚîêĂîÖćøðäĉïĆêĉÜćîđøČęĂÜ ÖćøđðúĊę÷îĒðúÜøĀĆÿñŠćîïĆâßĊñĎšĔßšÜćîìĊęöĊÿĉìíĉóĉđýþ (Change of
Privilege User Accounts Password Procedure)
7) PD-28 ×ĆĚîêĂîÖćøðäĉïĆêĉÜćîđøČęĂÜ ÖćøìïìüîÿĉìíĉÖćøđ×šćëċÜ×ĂÜñĎšĔßšÜćî (Review of User
Access Rights Procedure)
7.3 ĀîšćìĊęÙüćöøĆïñĉéßĂï×ĂÜñĎšĔßšÜćî (User Responsibilities)
ĔĀšöĊÖćøÙüïÙčöÖćøĔßšÜćîøĀĆÿñŠćî ÖćøðŜĂÜÖĆîĂčðÖøèŤìĊęĕöŠ öĊñĎšéĎĒú ĒúąÖćøÙüïÙčöÖćøĕöŠìĉĚÜìøĆ ó÷Ťÿĉî
ÿćøÿîđìýÿĞćÙĆâĕüšĔîìĊęìĊęĕöŠðúĂéõĆ÷
öćêøåćî
7.3.1ÖćøĔßšÜćîøĀĆÿñŠćî (Password Use)
1) ñĎšĔßšÜćî êšĂÜđÖĘïøĀĆÿñŠćîĕüšđðŨîÙüćöúĆïđÞóćąïčÙÙú ĕöŠđðŗéđñ÷ĔĀšñĎšĂČęîøĆïìøćï ĒúąñĎšĔßšÜćîêšĂÜ
ĕöŠóĉöóŤøĀĆÿñŠćîĔîúĆÖþèąđðŗéđñ÷ đßŠî óĉöóŤøĀĆÿñŠćîêŠĂĀîšćñĎšðäĉïĆêĉÜćîÙîĂČęî đðŨîêšî
2) ñĎšĔßšÜćî êšĂÜĕöŠĔßšïĆâßĊßČęĂñĎšĔßšÜćîĒúąøĀĆÿñŠćîøŠüöÖĆîÖĆïñĎšĂČęî ĒöšüŠćïĆâßĊßČęĂñĎšĔßšÜćîÝąĕéšøĆïÖćø
ĂîčâćêÝćÖđÝšć×ĂÜßČęĂñĎšĔßšÜćîïčÙÙúîĆĚîÖĘêćö
3) ñĎšĔßšÜćî êšĂÜĕöŠđÖĘïøĀĆÿñŠćîĔîìĊęìĊęđðŗéđñ÷ đßŠî ïĆîìċÖøĀĆÿñŠćîïîÖøąéćþēîšêĔîìĊęìĞćÜćî ĀøČĂĔî
ĕôúŤ (File) ìĊęÿćöćøëĂŠćîĕéšēé÷ÜŠć÷ đðŨîêšî
4) ñĎšĔßšÜćî êšĂÜđðúĊę÷îĒðúÜøĀĆÿñŠćîĂ÷ŠćÜđðŨîðøąÝĞćìčÖ 3 đéČĂî
5) ñĎšĔßšÜćî êšĂÜđðúĊę÷îĒðúÜøĀĆÿñŠćî đöČęĂöĊÖćøĒÝšÜđêČĂîÝćÖøąïï ĀøČĂÿÜÿĆ÷üŠćøĀĆÿñŠćîúŠüÜøĎšēé÷
ïčÙÙúĂČęî
6) ñĎšĔßšÜćî êšĂÜđðúĊę÷îøĀĆÿñŠćîĔĀöŠđöČęĂöĊÖćøĔßšÜćîøąïïĔîÙøĆĚÜĒøÖ
7) ñĎšĔßšÜćî êšĂÜÖĞćĀîéøĀĆÿñŠćî êćöÙčèúĆÖþèąéĆÜêŠĂĕðîĊĚ
1. øĀĆÿñŠćîêšĂÜöĊÙüćö÷ćüĂ÷ŠćÜîšĂ÷ 8 ĀúĆÖ àċęÜðøąÖĂïéšü÷ êĆüĂĆÖþø êĆüđú× ĒúąĂĆÖ×øą
óĉđýþ ĀøČĂÿĆâúĆÖþèŤ đßŠî (a-Z) (0-9) (@ , # , & , “ , ‘ , *, =, < , > , % , $ , + , ?)
đðŨîêšî
2. ÖĞćĀîéøĀĆÿñŠćîìĊęÜŠć÷êŠĂÖćøÝéÝĞć ĒêŠêšĂÜĕöŠđðŨîÙĞćìĊęÿćöćøëÙćéđéćĕéšÜŠć÷ đßŠî ÙĞćìĊęĂ÷ĎŠ
ĔîóÝîćîčÖøö “qwerty” “abcde” “12345” ßČęĂ-îćöÿÖčú üĆîđéČĂîðŘđÖĉé ìĊęĂ÷ĎŠ đïĂøŤ
ēìøýĆóìŤ ĀøČĂĀöć÷đú×ðøąÝĞćêĆüñĎšðäĉïĆêĉÜćî đðŨîêšî
3. ĕöŠÖĞćĀîéøĀĆÿñŠćîĔĀöŠìĊęđĀöČĂîøĀĆÿñŠćîđéĉö Ă÷ŠćÜîšĂ÷ 5 ÙøĆĚÜÖŠĂîĀîšć
8) ñĎšĔßšÜćî êšĂÜĕöŠĔßš ÜćîøĀĆÿñŠćîēé÷ÖøąïüîÖćøđ×šćĔßšÜćîēé÷ĂĆêēîöĆêĉ đßŠî óĉö óŤøĀĆ ÿñŠćîĔî
úĆÖþèąĒïïöćēÙø ĀøČĂĒïï batch scripts ĀøČĂÖćøÖĞćĀîéÙŠć “Remember Password”
đðŨîêšî
9) ñĎšĔßšÜćî ÙüøÖĞćĀîéøĀĆÿñŠćîìĊęĔßšÿĞćĀøĆïøąïïÿćøÿîđìýõć÷Ĕî Öôñ. ĔĀšöĊÙüćöĒêÖêŠćÜÖĆïøąïï
õć÷îĂÖ Öôñ.
7.3.2ÖćøðŜĂÜÖĆîĂčðÖøèŤìĊęĕöŠöĊñĎšéĎĒú (Unattended User Equipment)

1) ñĎš ĂĞ ć îü÷Öćøòś ć ÷ĀøČ Ă đìĊ ÷ ïđìŠ ć ×ċĚ î ĕð êš Ă ÜÝĆ é ĔĀš öĊ üĉ íĊ ðŜ Ă ÜÖĆ î ĕöŠ Ĕ Āš ñĎš ð äĉ ïĆ êĉ Ü ćîĀøČ Ă ĀîŠ ü ÷Üćî
õć÷îĂÖ ìĊęĕöŠöĊÿĉìíĉÿćöćøëđ×šćëċÜĂčðÖøèŤðøąöüúñúÿćøÿîđìýìĊęĕöŠöĊñĎšéĎĒú
2) ñĎšðäĉïĆêĉÜćîĒúąĀîŠü÷Üćîõć÷îĂÖ êšĂÜÖĞćĀîéÙŠćĔîÖćøúĘĂÙĀîšćÝĂĂĆêēîöĆêĉđöČęĂĕöŠöĊÖćøĔßšÜćî
øąïïÿćøÿîđìý ĀøČĂĂčðÖøèŤðøąöüúñúÿćøÿîđìý×ĂÜ Öôñ. êćöøą÷ąđüúćìĊęÖĞćĀîé ēé÷
ēðøĒÖøöóĆÖĀîšćÝĂ (Screen Saver) êšĂÜìĞćÜćîēé÷ĂĆêēîöĆêĉĀúĆÜÝćÖìĊęĕöŠöĊÖćøĔßšÜćî
ÙĂöóĉüđêĂøŤđðŨîøą÷ąđüúćîćîÖüŠć 10 îćìĊ ĒúąñĎšðäĉïĆêĉÜćîĒúąĀîŠü÷Üćîõć÷îĂÖÝąĔßšÜćîêŠĂ
ĕéš đöČęĂöĊÖćøĔÿŠøĀĆÿñŠćîìĊęëĎÖêšĂÜ
3) ñĎšĔßšÜćî êšĂÜúĘĂÙĀîšćÝĂéšü÷ēðøĒÖøö Screen Saver ĀøČĂ Log Out ĂĂÖÝćÖđÙøČęĂÜÙĂöóĉüđêĂøŤ
đöČęĂöĊÙüćöÝĞćđðŨîêšĂÜúąìĉĚÜđÙøČęĂÜÙĂöóĉüđêĂøŤ

7.3.3ÖćøÙüïÙčöÖćøĕöŠìĉĚÜìøĆó÷ŤÿĉîÿćøÿîđìýÿĞćÙĆâĕüšĔîìĊęìĊęĕöŠðúĂéõĆ÷ (Clear Desk and Clear
Screen Control)
1) ĀĆüĀîšćÜćîÿćøÿîđìý êšĂÜÝĆéĔĀšöĊöćêøÖćøÿĞćĀøĆïðŜĂÜÖĆî øąïïÙĂöóĉüđêĂøŤ øąïïđÙøČĂ×Šć÷
Ēúąøąïïÿćøÿîđìý ēé÷ÖćøÖĞćĀîéÙŠć×ĂÜøąïï (Configuration) ĔĀšöĊÖćøúĘĂÙĀîšćÝĂÿĞćĀøĆï
ĂčðÖøèŤìĊęĕöŠöĊóîĆÖÜćîéĎĒú ĀøČĂöĊĂðč ÖøèŤúĘĂÙĂ÷ĎŠđÿöĂ
2) ñĎšðäĉïĆêĉÜćîêšĂÜóĉöóŤđĂÖÿćøìĊęöĊøąéĆïÙüćööĆęîÙÜðúĂéõĆ÷ “ÿĎÜÿčé” Ēúą “ÿĎÜ” ÝćÖđÙøČęĂÜóĉöóŤ
đÞóćąđìŠćîĆĚî ĒúąêšĂÜîĞćĂĂÖÝćÖÝćÖđÙøČęĂÜóĉöóŤēé÷ìĆîìĊ
3) ÿëćîìĊęìĊęöĊÖćøøĆï ÿŠÜ ĒôÖàŤ ĀøČĂÝéĀöć÷đ×šć - ĂĂÖ êšĂÜöĊÖćøéĎĒúēé÷ñĎšìĊęĕéšøĆïöĂïĀöć÷
7.4 ÖćøÙüïÙčöÖćøđ×šćëċÜđÙøČĂ×Šć÷ (Network Access Control)
ĔĀšöĊÖćøÙüïÙčöÖćøĔßšÜćîïøĉÖćøđÙøČĂ×Šć÷ ÖćøÙüïÙčöÖćøóĉÿĎÝîŤêĆüêîÿĞćĀøĆïñĎšĔßšìĊęĂ÷ĎŠõć÷îĂÖ Öôñ. Öćø
ÙüïÙčöÖćøóĉÿĎÝîŤêĆüêîĂčðÖøèŤïîđÙøČĂ×Šć÷ ÖćøðŜĂÜÖĆîóĂøŤê (Port) ìĊęĔßšÿĞćĀøĆïêøüÝÿĂïĒúąðøĆïĒêŠÜ
øąïï ÖćøĒïŠÜĒ÷ÖđÙøČĂ×Šć÷Ă÷ŠćÜđĀöćąÿö ÖćøÙüïÙčöÖćøđßČęĂöêŠĂìćÜđÙøČĂ×Šć÷ ĒúąÖćøÙüïÙčöÖćø
ÖĞćĀîéđÿšîìćÜïîđÙøČĂ×Šć÷
öćêøåćî
7.4.1 ÖćøĔßšÜćîïøĉÖćøđÙøČĂ×Šć÷ (Use of Network Services)
1) ñĎšðäĉïĆêĉÜćî êšĂÜĒÝšÜÙüćöðøąÿÜÙŤĔîÖćø×ĂĔßšÜćîïøĉÖćøđÙøČĂ×Šć÷êćö×ĆĚîêĂîÖćøðäĉïĆêĉĔîÖćø
×ĂĔßšïøĉÖćøđÙøČĂ×Šć÷ ēé÷ñĎšðäĉïĆêĉÜćîÿćöćøëĔßšïøĉÖćøđÙøČĂ×Šć÷ĕéšĀúĆÜÝćÖĕéšøĆïÖćøĂîčöĆêĉÝćÖ
ñĎšïĆÜÙĆïïĆâßć Ēúąòść÷ðäĉïĆêĉÖćøđìÙēîēú÷Ċÿćøÿîđìý
2) òś ć ÷ðäĉ ïĆ êĉ Ö ćøđìÙēîēú÷Ċ ÿ ćøÿîđìý êš Ă ÜÙüïÙč ö ÖćøĔßš Ü ćîøąïïđÙøČ Ă ×Š ć ÷ đóČę Ă ðŜ Ă ÜÖĆ î
Öćøđ×šćëċÜøąïïđÙøČĂ×Šć÷ĒúąïøĉÖćø×ĂÜøąïïđÙøČĂ×Šć÷ēé÷ĕöŠĕéšøĆïĂîčâćê
3) òść÷ðäĉïĆêĉÖćøđìÙēîēú÷Ċÿćøÿîđìý êšĂÜÙüïÙčöÖćøđßČęĂöêŠĂđÙøČĂ×Šć÷õć÷îĂÖ Ă÷ŠćÜđßŠî ÖćøĔßš
ÜćîñŠćî Dial-up đóČęĂĔßšÜćîĂĉîđêĂøŤđîĘê àċęÜĂćÝđðŨîßŠĂÜìćÜĔĀšïčÙÙúõć÷îĂÖđ×šćëċÜÿćøÿîđìý
ĀøČĂøąïïÿćøÿîđìý×ĂÜ Öôñ. ēé÷öĉĕéšøĆïĂîčâćê
4) ñĎšðäĉïĆêĉÜćî êšĂÜĕöŠĔßšøąïïđÙøČĂ×Šć÷ đóČęĂđðŨîßŠĂÜìćÜĔîÖćøđÝćąøąïï (Hacking) ĀøČĂ
ÖćøÿĒÖîßŠĂÜēĀüŠ×ĂÜøąïïēé÷öĉĕéšøĆïĂîčâćê
5) òść÷ðäĉïĆêĉÖćøđìÙēîēú÷Ċÿćøÿîđìý êšĂÜÙüïÙčöÖćøđñ÷ĒóøŠĒñîñĆÜøąïïđÙøČĂ×Šć÷ (Network
Diagram) àċęÜøüöĕðëċÜēÙøÜÿøšćÜ IP Address ßČęĂøąïï ĒúąßČęĂĂčðÖøèŤÿćøÿîđìý ĒÖŠñĎšìĊęĕöŠĕéšøĆï
ĂîčâćêĀøČĂïčÙÙúõć÷îĂÖ
7.4.2 ÖćøóĉÿĎÝîŤêĆüêî×ĂÜñĎšĔßšÜćîìĊęĂ÷ĎŠõć÷îĂÖĂÜÙŤÖø (User Authentication for External
Connections)
1) òść÷ðäĉïĆêĉÖćøđìÙēîēú÷Ċÿćøÿîđìý êšĂÜÝĆéĔĀšöĊÖćøóĉÿĎÝîŤêĆüêîÖŠĂîìĊęÝąĂîčâćêĔĀšñĎšĔßšÜćîìĊęĂ÷ĎŠ
õć÷îĂÖ Öôñ. ÿćöćøëđ×šćĔßšÜćîđÙøČĂ×Šć÷Ēúąøąïïÿćøÿîđìý×ĂÜ Öôñ. ĕéš ēé÷óĉÝćøèćêćö
øąéĆïÙüćööĆęîÙÜðúĂéõĆ÷×ĂÜÿćøÿîđìý (ĂšćÜĂĉÜ ST-03: öćêøåćîÖćøïøĉĀćøÝĆéÖćøìøĆó÷Ťÿĉî
éšćîÿćøÿîđìý (Standard of Asset Management)) đßŠî ÖćøĔßšøĀĆÿñŠćî(Password) đú×
ðøąÝĞćêĆü (PIN) Tokens, Smart Card, Dial-Back đðŨîêšî
7.4.3 ÖćøóĉÿĎÝîŤêĆüêî×ĂÜĂčðÖøèŤĔîøąïïđÙøČĂ×Šć÷ (Equipment Identification in Networks)

1) òść÷ðäĉïĆêĉÖćøđìÙēîēú÷Ċÿćøÿîđìý êšĂÜÝĆéĔĀšöĊÖćøóĉÿĎÝîŤêĆüêî×ĂÜĂčðÖøèŤĔîøąïïđÙøČĂ×Šć÷
đßŠî ÖćøêøüÝÿĂï MAC Address đðŨîêšî
7.4.4 ÖćøðŜĂÜÖĆîóĂøŤêìĊęĔßšÿĞćĀøĆïêøüÝÿĂïĒúąðøĆïĒêŠÜøąïï (Remote Diagnostic and

Configuration Port Protection)
1) òść÷ðäĉïĆêĉÖćøđìÙēîēú÷Ċÿćøÿîđìý êšĂÜøąÜĆïïøĉÖćøĒúąóĂøŤê (Port) ìĊęĕöŠöĊÙüćöÝĞćđðŨîêšĂÜĔßš
ïîđÙøČęĂÜÙĂöóĉüđêĂøŤĀøČĂĂčðÖøèŤđÙøČĂ×Šć÷
7.4.5 ÖćøĒïŠÜĒ÷ÖđÙøČĂ×Šć÷ (Segregation in Networks)

1) òść÷ðäĉïĆêĉÖćøđìÙēîēú÷Ċÿćøÿîđìý êšĂÜÝĆéĔĀšöĊÖćøĒïŠÜĒ÷ÖđÙøČĂ×Šć÷êćöÖúčŠö×ĂÜñĎšĔßš ĀøČĂÖúčŠö
×ĂÜøąïïÿćøÿîđìý đóČę Ă ÙüïÙč ö ÖćøĔßš Ü ćîĔîĒêŠ ú ąđÙøČ Ă ×Š ć ÷÷Š Ă ÷ĕéš Ă ÷Š ć ÜđĀöćąÿö ēé÷
ĀúĆ Ö đÖèæŤ Ö ćøĒïŠ Ü Ē÷ÖđÙøČ Ă ×Š ć ÷ êš Ă ÜÿĂéÙúš Ă ÜÖĆ ï öćêøåćîéš ć îÙüćööĆę î ÙÜðúĂéõĆ ÷ éš ć î
ÿćøÿîđìý×ĂÜ Öôñ. ĔîĀöüéĂČęîė ÙüćöêšĂÜÖćøĔîÖćøđ×šćëċÜ×šĂöĎú øąéĆïÙüćöÿĞćÙĆâ×ĂÜ×šĂöĎú
øüöëċÜÖćøóĉÝćøèćéšćîøćÙć ðøąÿĉìíĉõćó ĒúąñúÖøąìïìćÜéšćîÙüćöðúĂéõĆ÷ éĆÜêŠĂĕðîĊĚ
x đÙøČĂ×Šć÷ìĊęĂîčâćêĔĀšđ×šćëċÜÝćÖõć÷îĂÖÖĆïđÙøČĂ×Šć÷ìĊęĔßšõć÷Ĕî Öôñ. đìŠćîĆĚî
x đÙøČ Ă ×Š ć ÷ĒĂóóúĉ đ ÙßĆ î (Application) ìĊęöĊÙ üćöÿĞćÙĆâ ÖĆïđÙøČĂ×Šć÷ĂČęîė ìĊę öĊ
ÙüćöÿĞćÙĆâîšĂ÷ÖüŠć
x đÙøČĂ×Šć÷ÿĞćĀøĆïđÙøČęĂÜĔĀšïøĉÖćø (Server Farm) ÖĆïđÙøČĂ×Šć÷×ĂÜñĎšĔßšÜćî
ìĆĚÜîĊĚÖćøĒïŠÜĒ÷ÖđÙøČĂ×Šć÷ êšĂÜöĊÖćøêĉéêĆĚÜĂčðÖøèŤìĊęÿćöćøëĒïŠÜĒ÷ÖđÙøČĂ×Šć÷ĕéš đßŠî Firewall
ĀøČĂ Switch ìĊęÿćöćøëĒïŠÜ VLAN ĕéš đðŨîêšî
2) òść÷ðäĉïĆêĉÖćøđìÙēîēú÷Ċÿćøÿîđìý êšĂÜÖĞćĀîéđÿšîìćÜïîđÙøČĂ×Šć÷ìĊęđ×šöÜüé đóČęĂÝĞćÖĆéÖćø
đ×šćëċÜøą÷ąĕÖúĕðđÞóćąđÙøČĂ×Šć÷ìĊęÖĞćĀîéđìŠćîĆĚî
3) òść÷ðäĉïĆêĉÖćøđìÙēîēú÷Ċÿćøÿîđìý êšĂÜêĆĚÜÙŠć (Configuration) ĂčðÖøèŤđÙøČĂ×Šć÷ đßŠî Firewall
ĀøČĂ Router đðŨîêšî öĉĔĀšÿćöćøëïøĉĀćøÝĆéÖćøÝćÖõć÷îĂÖđÙøČĂ×Šć÷ĕéš đüšîĒêŠĔîÖøèĊÞčÖđÞĉî àċęÜ
êšĂÜĕéšøĆïÖćøĂîčâćê ÝćÖĀĆüĀîšćÜćîÿćøÿîđìý đìŠćîĆĚî
7.4.6 ÖćøÙüïÙčöÖćøđßČęĂöêŠĂìćÜđÙøČĂ×Šć÷ (Network Connection Control)

1) òść÷ðäĉïĆêĉÖćøđìÙēîēú÷Ċÿćøÿîđìý êšĂÜÝĞćÖĆéÖćøĔßšÜćîđÙøČĂ×Šć÷×ĂÜñĎšĔßšĔîÖćøđßČęĂöêŠĂđÙøČĂ×Šć÷
×ĂÜ Öôñ. đßŠî Router ĀøČĂ Firewall đðŨîêšî óøšĂöìĆĚÜêšĂÜêĉéêĆĚÜøąïïÙüïÙčöđóČęĂÖúĆęîÖøĂÜ
×šĂöĎúìĊęøĆï - ÿŠÜ đßŠî Web Filtering, E-mail Filtering ĀøČĂ Content Filtering đðŨîêšî đóČęĂìĞć
ĔĀšÖćøđßČęĂöêŠĂöĊÙüćöðúĂéõĆ÷ ÖćøéĞćđîĉîÖćøéĆÜÖúŠćüĂćÝóĉÝćøèćĔßš Firewall ĀîċęÜêĆüĀøČĂ
öćÖÖüŠć
2) òść÷ðäĉïĆêĉÖćøđìÙēîēú÷Ċÿćøÿîđìý êšĂÜêĉéêĆĚÜ Firewall øąĀüŠćÜđÙøČĂ×Šć÷×ĂÜ Öôñ. ÖĆï
đÙøČĂ×Šć÷õć÷îĂÖ ìĆĚÜîĊĚÖćøêĉéêĆĚÜ Firewall êšĂÜóĉÝćøèćđøČęĂÜéĆÜêŠĂĕðîĊĚ
1. ÖćøðŜĂÜÖĆîÖćøÝøćÝøÝćÖõć÷îĂÖ êšĂÜëĎÖÖĞćĀîéĔĀšĔßšđÿšîìćÜìĊęñŠćî First Tier
Firewall ìĊęöĊÙüćööĆęîÙÜðúĂéõĆ÷ đóČęĂðŜĂÜÖĆîìøĆó÷Ťÿĉîÿćøÿîđìý×ĂÜ Öôñ. Ēúą
ēÙøÜÿøšćÜóČĚîåćîìĊęöĊÙüćöÿĞćÙĆâÝćÖÖćøđ×šćëċÜìĊęĕöŠĕéšøĆïĂîčâćê
2. ÖãÖćøÙĆéÖøĂÜÖćøÝøćÝøïîđÙøČĂ×Šć÷ (Network Traffic Filtering Rules) êšĂÜöĊ
ÖćøðŜĂÜÖĆîđĀêčÖćøèŤ éĆÜêŠĂĕðîĊĚ
y ĒóĘÙđÖê (Packet) ×ćđ×šć ìĊęöĊðúć÷ìćÜđðŨî IP Address ×ĂÜ Firewall ĀøČĂ
đðŨî IP Address ìĊęĕöŠĔßŠ Range of IP Address ÿćíćøèą×ĂÜ Öôñ. ìĊęĕéšøĆï
ÖćøúÜìąđïĊ÷îĒïïÿćíćøèąĕüš
y ĒóĘÙđÖê (Packet) ×ćđ×šć ìĊęöĊêšîìćÜđĀöČĂîÖĆï IP Address ×ĂÜđÙøČĂ×Šć÷
õć÷Ĕî Öôñ.
y ĒóĘÙđÖê (Packet) ×ćĂĂÖ ìĊęöĊðúć÷ìćÜđĀöČĂîÖĆï IP Address ×ĂÜđÙøČĂ×Šć÷
õć÷Ĕî Öôñ.
y ĒóĘÙđÖê (Packet) ×ćđ×šć ìĊęđðŨî ICMP (Internet Control Message
Protocol) ĀøČĂ SNMP (Simple Network Management Protocol) ÝćÖ
êšîìćÜìĊęĕöŠĔßŠ IP Address ×ĂÜñĎšéĎĒú Firewall
y êšîìćÜĀøČĂðúć÷ìćÜ×ĂÜ ĒóĘÙđÖê (Packet) ×ćđ×šćĀøČĂ×ćĂĂÖìĊęđðŨî IP
Address Ēïï Private IP ĀøČĂĂ÷ĎŠĔîßŠüÜ×ĂÜ RFC 1918 ìĊęÿÜüîĕüš éĆÜêŠĂĕðîĊĚ
y 10.0.0.0 to 10.255.255.255 (Class A)
y 172.16.0.0 to 172.31.255.255 (Class B)

y 192.168.0.0 to 192.168.255.255 (Class C)
y ĒóĘÙđÖê (Packet) ×ćđ×šćĒúą×ćĂĂÖ ìĊęöĊ IP Address êšîìćÜĀøČĂðúć÷ìćÜ
đðŨî 127.0.0.1 (Local Host) ĀøČĂ (0.0.0.0)
y ĒóĘÙđÖê (Packet) ×ćđ×šćĒúą×ćĂĂÖ ìĊęöĊ IP Address êšîìćÜĀøČĂðúć÷ìćÜ
đðŨî X.X.X.255 (Broadcast)
3. Firewall êšĂ Üøąïč êĆ ü êîĒúąóĉÿĎ Ý îŤ êĆüêî×ĂÜñĎš Ĕ ßš ÖŠĂ îìĊęÝ ąĔĀš ÿĉ ì íĉ Ö ćøđ×š ćëċ Ü
ĂĉîđìĂøŤđôà (Interface) đóČęĂÖćøïøĉĀćøÝĆéÖćø Firewall
4. Firewall êšĂÜöĊÖćøêĆĚÜÙŠćĔĀšøąÜĆïïĆâßĊñĎšĔßšĀúĆÜÝćÖöĊÙüćöó÷ć÷ćöìĊęÝąđ×šćÿĎŠøąïïĕöŠ
ÿĞ ć đøĘ Ý 3 ÙøĆĚ Ü Öćø÷Öđúĉ Ö ÖćøøąÜĆ ï êš Ă ÜéĞ ć đîĉ î Öćøēé÷òś ć ÷ðäĉ ïĆ êĉ Ö ćøđìÙēîēú÷Ċ
ÿćøÿîđìý
5. ĕöŠĂîčâćêĔĀšóĉÿĎÝîŤêĆüêîñŠćîìćÜ ĂĉîđìĂøŤđôà (Interface) ÖćøÝĆéÖćø Firewall ÝćÖ
øą÷ąĕÖú (Remote)
6. ñĎšéĎĒú Firewall ìĊęĕéšøĆïÖćøöĂïĀöć÷ÝćÖòść÷ðäĉïĆêĉÖćøđìÙēîēú÷ĊÿćøÿîđìýđìŠćîĆĚîìĊę
öĊÿĉìíĉìĊęÝąđðúĊę÷îÖćøêĆĚÜÙŠćéšćîÙüćöðúĂéõĆ÷ïî Firewall
7. Firewall êšĂÜöĊÖćøêĆĚÜÙŠćĔĀšïĆîìċÖđĀêčÖćøèŤ (Log) éšćîÙüćööĆęÜÙÜðúĂéõĆ÷
8. Firewall êšĂÜĕéšøĆïÖćøÿĂïìćî ìéÿĂï ĒúąêøüÝÿĂïĂ÷ŠćÜÿöęĞćđÿöĂ
9. Firewall êšĂÜëĎÖïøĉĀćøÝĆéÖćøñŠćîìćÜÖćøêĉéêŠĂÿČęĂÿćøìĊęöĊÖćøđ×šćøĀĆÿ
10. êšĂÜðŗéïøĉÖćøĒúąóĂøŤê (Port) ìĊęĕöŠÝĞćđðŨîêšĂÜĔßšïî Firewall
11. ñĎšéĎĒú Firewall êšĂÜêĉéêćö×šĂöĎúßŠĂÜēĀüŠÝćÖñĎšĔĀšïøĉÖćø (Vendor) đóČęĂøĆïìøćï
×Šćüÿćø Öćø Upgrade Ēúą ĒóìßŤ (Patch) ìĊęÝĞćđðŨî ĒúąêšĂÜìĞćÖćøêĉéêĆĚÜ ĒóìßŤ
(Patch) ìćÜéšćîÙüćööĆęîÙÜðúĂéõĆ÷ìĆĚÜĀöéìĊęđÖĊę÷ü×šĂÜ
12. Firewall ðøąđõìàĂôêŤĒüøŤ (Software) êšĂÜêĉéêĆĚÜïîđÙøČęĂÜÙĂöóĉüđêĂøŤĒöŠ×Šć÷ Ē÷Ö
êŠćÜĀćÖ
13. Firewall êšĂÜÿćöćøëðŜĂÜÖĆîêĆüđĂÜÝćÖÖćøēÝöêĊ DOS (Denial of Service) ĕéš
Ă÷ŠćÜđßŠî Ping, Sweeps ĀøČĂ TCP SYN Floods đðŨîêšî
14. ñĎšéĎĒú Firewall êšĂÜĔßšđüĂøŤßĆî×ĂÜàĂôêŤĒüøŤ (Software) Firewall Ēúą
øąïïðäĉïĆêĉÖćøìĊęđÝšć×ĂÜñúĉêõĆèæŤ÷ĆÜĔĀšÖćøÿîĆïÿîčî
3) òść÷ðäĉïĆêĉÖćøđìÙēîēú÷Ċÿćøÿîđìý êšĂÜöĊÖćøêĉéêĆĚÜ Firewall đóČęĂĒïŠÜĒ÷Ö Zone ĔĀšöĊÖćøĔßš
DMZ (Demilitarized Zone) ēé÷êšĂÜóĉÝćøèćđøČęĂÜéĆÜêŠĂĕðîĊĚ
1. đÙøČęĂÜÙĂöóĉüđêĂøŤĒöŠ×Šć÷ìĊęĔĀšïøĉÖćøñŠćîĂĉîđìĂøŤđîĘêđßŠî FTP, Email, Web Ēúą
External DNS Server đðŨîêšî êšĂÜêĉéêĆĚÜĂ÷ĎŠĔî DMZ
2. Öćøđ×šćëċÜđÙøČĂ×Šć÷Ēïï Dial-In ĀøČĂÖćøđ×šćëċÜÝćÖøą÷ąĕÖúêšĂÜöĊÖćøóĉÿĎÝîŤêĆüêîìĊę
Firewall ĀøČĂñŠćîïøĉÖćøìĊęĂ÷ĎŠĔî DMZ
3. DNS Servers êšĂÜĕöŠĂîčâćêĔĀšöĊÖćøĒúÖđðúĊę÷îēàî (Zone Transfers) đüšîĒêŠöĊđĀêč
ÝĞćđðŨî
4) ĔîÖøèĊìĊę Öôñ. öĊÖćøĔßšÜćî IDS (Intrusion Detection System) ĀøČĂ IPS (Intrusion
Protection System) òść÷ðäĉïĆêĉÖćøđìÙēîēú÷Ċÿćøÿîđìý êšĂÜóĉÝćøèćĔĀšöĊÖćøÙüïÙčö
1. êšĂÜöĊÖćøîĞćÖúĕÖÖćøêøüÝÝĆïÖćøïčÖøčÖÖĆïđÙøČęĂÜÙĂöóĉüđêĂøŤĒöŠ×Šć÷ĒúąĂčðÖøèŤ
đÙøČĂ×Šć÷ìĊęöĊÙüćöÿĞćÙĆâÿĎÜ ìĊęìĞćĀîšćìĊęđðŨî Gateway àċęÜđßČęĂöêŠĂøąĀüŠćÜ WAN
Segment
2. ĀćÖöĊÖćøĔßš IDS/IPS Ēïï Network-Based êšĂÜêĉéêĆĚÜ IDS/IPS ĔĀšìĞćÜćîøŠüöÖĆï
Firewall đóČęĂđòŜćøąüĆÜ øąÜĆï Ēúąøć÷ÜćîÖĉÝÖøøöìĊęĕöŠĕéšøĆïĂîčâćê
3. ĀćÖöĊÖćøĔßš IDS/IPS Ēïï Host-Based êšĂÜêĉéêĆĚÜ IDS/IPS ïîđÙøČęĂÜÙĂöóĉüđêĂøŤĒöŠ
×Šć÷ìĊęöĊÙüćöÿĞ ćÙĆâ đóČęĂĔßšĔ îÖćøđòŜćøąüĆÜĒúąÿĂïìćîÖćøđðúĊę ÷îĒðúÜìĊęĕöŠĕéšøĆï
Ăîčâćê×ĂÜ ĕôúŤ (File) ĒúąĕôúŤøąïï (System File)
4. öĊÖćøĔßš IDS/IPS đóČęĂêøüÝÝĆïÖćøÝøćÝøïîđÙøČĂ×Šć÷ĔîøĎðĒïïÖćøēÝöêĊ Ēúą
óùêĉÖøøöìĊęîŠćÿÜÿĆ÷
5. öĊÖćøêĆĚÜÙŠćĔĀš IDS/IPS ĒÝšÜđêČĂîĕð÷ĆÜñĎšéĎĒúøąïï đöČęĂêøüÝóï ÖćøēÝöêĊ óùêĉÖøøö
ĀøČĂđĀêčÖćøèŤìĊęîŠćÿÜÿĆ÷
5) òść÷ðäĉïĆêĉÖćøđìÙēîēú÷Ċÿćøÿîđìý êšĂÜÙüïÙčöÖćøđßČę ĂöêŠĂìćÜđÙøČĂ×Šć÷ÿĞćĀøĆïÖćøđ×šćëċÜ
ĂĉîđìĂøŤđîĘêēé÷óĉÝćøèćđøČęĂÜéĆÜêŠĂĕðîĊĚ
1. ñĎšĔßšÜćî êšĂÜĕöŠĔßšÜćîĂčðÖøèŤ Video Streaming ĂčðÖøèŤ Audio Streaming ĀøČĂ
DownloadĕôúŤìĊęöĊ×îćéĔĀâŠ ĔîÖøèĊìĊęÝĞćđðŨîêšĂÜĕéšøĆïÖćøĂîčâćêÝćÖĀĆüĀîšćÜćî
ÿćøÿîđìý ÖŠĂîđìŠćîĆĚî
2. đöČęĂöĊÖćøĔßšÜćîøąïïÿćøÿîđìý ĀøČĂ ÖćøðäĉïĆêĉÜćîđÖĊę÷üÖĆïíčøÖĉÝ×ĂÜ Öôñ. ñĎšĔßšÜćî
êšĂÜĕöŠöĊđÝêîćðŗéïĆÜĀøČĂïĉéđïČĂîêĆüêî
3. ïøĉÖćøĂĉîđìĂøŤđîĘêöĊđÝêîćđóČęĂĔßšĔîÖćøéĞćđîĉîÜćîìćÜíčøÖĉÝ×ĂÜ Öôñ. đìŠćîĆĚî òść÷
ðäĉïĆêĉÖćøđìÙēîēú÷Ċÿćøÿîđìý êšĂÜÝĞćÖĆéÖćøĔßšÜćîĂĉîđìĂøŤđîĘêđóČęĂđøČęĂÜÿŠüîêĆüĀøČĂìĊę
ĕöŠĔßŠÖćøéĞćđîĉîÜćîìćÜíčøÖĉÝ×ĂÜ Öôñ. ĔĀšîšĂ÷ìĊęÿčéđìŠćìĊęđðŨîĕðĕéš ēé÷ñĎšéĎĒúøąïï
ÿćøÿîđìý đßŠî ÖćøøąÜĆïÖćøđ×šćëċÜ Website ìĊęĕöŠÝĞćđðŨî ÖćøøąÜĆïÖćøđ×šćëċÜ

Website ìĊęöĊđîČĚĂĀćêšĂÜĀšćöêćö óøąøćßïĆââĆêĉüŠćéšü÷ÖćøÖøąìĞćÙüćöñĉéđÖĊę÷üÖĆï
ÙĂöóĉüđêĂøŤ ó.ý. 2550
4. ÖćøđðúĊę÷îĒðúÜÙŠćêĉéêĆĚÜ Security Option Ĕî Web Browser ×ĂÜñĎšĔßšÜćîêšĂÜ
ÿĂéÙúšĂÜÖĆïöćêøåćîÖćøÙüïÙčöÖćøđ×šćëċÜ
5. đÙøČęĂÜÙĂöóĉüđêĂøŤìĊęĔßšđ×šćëċÜĂĉîđìĂøŤđîĘêêšĂÜêĉéêĆĚÜēðøĒÖøöðŜĂÜÖĆîĕüøĆÿ óøšĂöìĆĚÜêšĂÜ
öĊÖćøðøĆïðøčÜ Virus Signature ĔĀšöĊÙüćöìĆîÿöĆ÷Ă÷ĎŠđÿöĂ
6. ÿćøÿîđìýĒúąàĂôêŤĒüøŤ (Software) ìĊęĕéšøĆïìćÜĂĉîđìĂøŤđîĘêêšĂÜëĎÖÿĒÖîđóČęĂÙšîĀć
ēðøĒÖøöìĊęĕöŠðøąÿÜÙŤéĊÖŠĂîîĞćöćĔßšÜćî
7. ñĎšĔßšÜćî êšĂÜëĎÖÝĞćÖĆéĔĀšĔßšēðøēêÙĂú×ĂÜ HTTP Ēúą HTTPS đìŠćîĆĚî îĂÖÝćÖĕéšøĆï
ÖćøĂîčâćêÝćÖòść÷ðäĉïĆêĉÖćøđìÙēîēú÷ĊÿćøÿîđìýĔĀšĔßšĂ÷ŠćÜĂČęî
8. ñĎšĔßšÜćî êšĂÜĀúĊÖđúĊę÷ÜÖćøÖøąìĞćìĊęÿĉĚîđðúČĂÜìøĆó÷ćÖø×ĂÜđÙøČĂ×Šć÷ éĆÜêŠĂĕðîĊĚ
y ÿŠÜÝéĀöć÷ĂĉđúĘÖìøĂîĉÖÿŤìĊęöĊ×îćéĔĀâŠĀøČĂÝéĀöć÷ĂĉđúĘÖìøĂîĉÖÿŤúĎÖēàŠ
y ĔßšđüúćĔîÖćøđ×šćëċÜĂĉîđìĂøŤđîĘêđÖĉîÙüćöÝĞćđðŨî
y đúŠîđÖö Online
y đ×šćĀšĂÜóĎéÙč÷ Online
y Upload ĀøČĂ Download ĕôúŤ (File) ìĊęöĊ×îćéđÖĉî 3 MB
y đ×šćëċÜĕôúŤðøąđõì üĊéĊìĆýîŤ đÿĊ÷Ü ìĊęöĊ×îćéđÖĉî 3 MB
9. ñĎšĔßšÜćî êšĂÜÙĞćîċÜüŠć×šĂöĎúÝćÖĂĉîđìĂøŤđîĘêĂćÝĕöŠöĊÙüćöìĆîÿöĆ÷ĀøČĂĕöŠöĊ Ùüćö
ëĎÖêšĂÜ ñĎšĔßšÜćî êšĂÜêøüÝÿĂïÙüćöëĎÖêšĂÜ×ĂÜ×šĂöĎúÝćÖĒĀúŠÜìĊęîŠćđßČęĂëČĂÖŠĂîìĊęÝą
đñ÷ĒóøŠ×šĂöĎúéĆÜÖúŠćü
10.ñĎšĔßšÜćî êšĂÜĕöŠĔßšÜćîĂĉîđìĂøŤđîĘêđóČęĂđðŨîÖćøÖŠĂÖüî ìĞćĔĀšđÖĉéÙüćöĒêÖĒ÷Ö ĀøČĂìĞć
ĔĀšõćóúĆÖþèŤ×ĂÜ Öôñ. đÿČęĂöđÿĊ÷
11.ñĎšĔßšÜćî êšĂÜĕöŠïĆîìċÖøĀĆÿñŠćîĔî Web Browser (Remember Password) đóČęĂðŜĂÜÖĆî
ïčÙÙúĂČęîìĊęÿćöćøëđ×šćëċÜÙĂöóĉüđêĂøŤ×ĂÜñĎš Ĕßš ÜćîîĞćøĀĆÿ ñŠćîéĆ ÜÖúŠćüĕðĔßšÜćîĔî
ĂĉîđìĂøŤđîĘêēé÷ĕöŠĕéšøĆïĂîčâćê
12.ÿĞćĀøĆïàĂôêŤĒüøŤ (Software) ìĊęÿŠÜñúÖøąìïêŠĂÖćøéĞćđîĉîÖćø ×ĂÜ Öôñ. ñĎšĔßšÜćî êšĂÜ
ĕöŠ Download ĒóìßŤ (Patch) ×ĂÜàĂôêŤĒüøŤ (Software) ĀøČĂÖćøðøĆïðøčÜđüĂøŤßĆî
×ĂÜàĂôêŤĒüøŤ (Software) ÝćÖ website ×ĂÜñĎš×ć÷àĂôêŤĒüøŤ (Software) đóČęĂĔĀš
öĆęîĔÝüŠćàĂôêŤĒüøŤ (Software) éĆÜÖúŠćüöĊđüĂøŤßĆîĒúąöĊÖćøÖĞćĀîéÙŠćêćööćêøåćî×ĂÜ
Öôñ.

13.ñĎšĔßšÜćî êšĂÜĕöŠ Download đĂÖÿćø ĀøČĂÿćøÿîđìýêŠćÜė đßŠî ×šĂöĎú øĎðõćó üĊéĊēĂ
đÿĊ÷Ü ĒúąàĂôêŤĒüøŤ (Software) ìĊęúąđöĉéúĉ×ÿĉìíĉĝ ĀøČĂñĉéÖãĀöć÷
14.ñĎšĔßšÜćî êšĂÜĕöŠêĉéêĆĚÜàĂôêŤĒüøŤ (Software) ìĊę Download ÝćÖĂĉîđìĂøŤđîĘêîĂÖÝćÖ
ĕéšøĆïÖćøĂîčâćêÝćÖĀĆüĀîšćÜćîÿćøÿîđìý ēé÷ÖćøêĉéêĆĚÜêšĂÜÖøąìĞćēé÷ñĎšìĊęĕéšøĆï
öĂïĀöć÷ÝćÖĀĆüĀîšćÜćîÿćøÿîđìýđìŠćîĆĚî
15.òść÷ðäĉïĆêĉÖćøđìÙēîēú÷Ċÿćøÿîđìý êšĂÜðŜĂÜÖĆîĕöŠĔĀšöĊÖćøøĆïÿŠÜ×šĂöĎúìĊęĕöŠđĀöćąÿö
ÝćÖõć÷îĂÖ Öôñ. êĆüĂ÷ŠćÜđßŠî
y Executable đßŠî .EXE .COM đðŨîêšî
y ĕôúŤ (File) đÿĊ÷Ü đßŠî .AUD .WAV .MP3 Ēúą MP4 đðŨîêšî
y ĕôúŤ (File) üĊéĊìĆýîŤ đßŠî .MPG .MPEG .MOV Ēúą.AVI đðŨîêšî
y Peer to Peer đßŠî .torrent đðŨîêšî
ĔîÖøèĊìĊęöĊÙüćöÝĞćđðŨîêšĂÜĕéšøĆïĂîčâćêÝćÖĀĆüĀîšćÜćîĒúąòść÷ðäĉïĆêĉÖćøđìÙēîēú÷Ċ
ÿćøÿîđìý
16.ñĎšĔßšÜćî êšĂÜĕöŠêĉéêĆĚÜ Modem đóČęĂđ×šćëċÜĂĉîđìĂøŤđîĘêĔîÖøèĊìĊęÝĞćđðŨîêšĂÜĕéšøĆï
ÖćøĂîčâćêÝćÖòść÷ðäĉïĆêĉÖćøđìÙēîēú÷ĊÿćøÿîđìýÖŠĂîđìŠćîĆĚî
17.ñĎšĔßšÜćî êšĂÜĕöŠđñ÷ĒóøŠ×šĂöĎúìĊęđÖĊę÷ü×šĂÜÖĆïúĎÖÙšć×ĂÜ Öôñ. ĀøČĂ×šĂöĎú×ĂÜ Öôñ. ìĊę
ÿĞćÙĆâñŠćîìćÜĂĉîđìĂøŤđîĘê
18.ñĎšĔßšÜćîêšĂÜ Log-Off Ēúąðŗé Web Browser ĀúĆÜÝćÖÖćøĔßšÜćîìčÖÙøĆĚÜ ēé÷đÞóćą
Ă÷ŠćÜ÷ĉęÜ Web Sites ìĊęêšĂÜĔßšïĆâßĊñĎšĔßšĒúąøĀĆÿñŠćîĔîÖćøóĉÿĎÝîŤêĆüêî
6) òś ć ÷øąïïÿČę Ă ÿćøêš Ă ÜÿĂïìćîÖćøđßČę Ă öêŠ Ă øąïïñŠ ć îìćÜÿć÷ēìøýĆ ó ìŤ Ă ÷Š ć ÜÿöęĞ ć đÿöĂ đóČę Ă
êøüÝÿĂïÖćøđßČęĂöêŠĂĂĉîđìĂøŤđîĘêēé÷Āöć÷đú×ēìøýĆóìŤìĊęĕöŠĕéšøĆïĂîčâćê
7.4.7 ÖćøÙüïÙčöÖćøÖĞćĀîéđÿšîìćÜïîđÙøČĂ×Šć÷ (Network Routing Control)

1) òść÷ðäĉïĆêĉÖćøđìÙēîēú÷Ċÿćøÿîđìý êšĂÜÙüïÙčöÖćøÖĞćĀîéđÿšîìćÜïîđÙøČĂ×Šć÷ đóČęĂĔĀšöĆęîĔÝüŠć
ÖćøđßČęĂöêŠĂđÙøČęĂÜÙĂöóĉüđêĂøŤĒúąÖćøĕĀúđüĊ÷î×ĂÜÿćøÿîđìýïîđÙøČĂ×Šć÷ĕöŠđðŨîÖćøòśćòŚî
îē÷ïć÷ÖćøÙüïÙčöÖćøđ×šćëċÜĒĂóóúĉđÙßĆî (Application) ìćÜíčøÖĉÝ ēé÷êšĂÜöĊÖúĕÖĔî
ÖćøêøüÝÿĂïìĊęĂ÷ĎŠðúć÷ìćÜĒúąêšîìćÜ×ĂÜÖćøđßČęĂöêŠĂ đßŠî ÖćøÙüïÙčöēé÷ Firewall ĀøČĂ
Proxy đðŨîêšî

1) PD-29 ×ĆĚîêĂîÖćøðäĉïĆêĉÜćîđøČęĂÜ Öćø×ĂĔßšïøĉÖćøđÙøČĂ×Šć÷ (Network Services Request
Procedure)
7.5 ÖćøÙüïÙčöÖćøđ×šćëċÜøąïïðäĉïĆêĉÖćø (Operating System Access Control)
ĔĀšöĊÖćøÙüïÙčöÖćøđ×šćëċÜøąïïĂ÷ŠćÜöĆęîÙÜðúĂéõĆ÷ ÖćøÙüïÙčöÖćøøąïčĒúąóĉÿĎÝîŤêĆüêî×ĂÜñĎšĔßšÜćîøąïï
ÿćøÿîđìý ÖćøÙüïÙčöøąïïïøĉĀćøÝĆéÖćøøĀĆÿñŠćî ÖćøÙüïÙčöÖćøĔßšÜćîēðøĒÖøöðøąđõì÷ĎìĉúĉêĊĚ (System
Utilities) ÖćøÙüïÙčöÖćøĀöéđüúć ÖćøĔßšÜćîøąïïÿćøÿîđìý ĒúąÙüïÙčöÖćøÝĞćÖĆéøą÷ąđüúćÖćøđßČęĂöêŠĂ
øąïïÿćøÿîđìý
öćêøåćî
7.5.1 ×ĆĚîêĂîðäĉïĆêĉĔîÖćøđ×šćëċÜøąïïĂ÷ŠćÜöĆęîÙÜðúĂéõĆ÷ (Secure Log-on Procedures)
1) ĀĆüĀîšćÜćîÿćøÿîđìý êšĂÜÝĆéĔĀšöĊÖćøÙüïÙčöĔîÖćøđ×šćëċÜøąïïðäĉïĆêĉÖćøĂ÷ŠćÜöĆęîÙÜðúĂéõĆ÷
ēé÷×ĆĚîêĂîÖćøđ×šćÿĎŠøąïï êšĂÜöĊÖćøđðŗéđñ÷×šĂöĎúđÖĊę÷üÖĆïøąïïĔĀšîšĂ÷ìĊęÿčé đóČęĂÖćøĀúĊÖđúĊę÷Ü
ñĎšĔßšÜćîìĊęĕöŠĕéšøĆïĂîčâćê àċęÜ×ĆĚîêĂîÖćø Log-on øąïï êšĂÜóĉÝćøèćĔîđøČęĂÜêŠĂéĆÜîĊĚ
1. øąïïêšĂÜĕöŠĒÿéÜ×šĂöĎú×ĂÜøąïïĀøČĂĒĂóóúĉđÙßĆî (Application) ìĊęĔßšÜćîĂ÷ĎŠĔî
øąïï ĀćÖÖøąïüîÖćøđ×šćÿĎŠøąïïĕöŠÿĞćđøĘÝ
2. øąïïêšĂÜöĊ×šĂÙüćöĒÿéÜđêČĂîñĎšĔßšÜćîÖŠĂîÖćøđ×šćëċÜøąïïÿćøÿîđìýĔĀšìøćïüŠćÖćø
đ×šćëċÜøąïïéĆÜÖúŠćüêšĂÜĕéšøĆïĂîčöĆêĉđìŠćîĆĚî ìĆĚÜîĊĚđóČęĂðŜĂÜÖĆîÖćøđ×šćëċÜēé÷ĕöŠĕéšđÝêîć
ēé÷×šĂÙüćöđêČĂîêšĂÜéĆÜÖúŠćüÿćöćøëîĞćĕðĔßšĔîÖćøôŜĂÜøšĂÜìćÜÖãĀöć÷éĆÜêŠĂĕðîĊĚ
“øąïïîĊĚđðŨîøąïïìĊęđðŨîìøĆó÷Ťÿĉî×ĂÜ Öôñ. ÖćøĔßšÜćîêšĂÜĕéšøĆïÖćøĂîčöĆêĉÖŠĂîđìŠćîĆĚî
ÝċÜÝąÿćöćøëĔßšÜćîĕéš ñĎšìĊęĕöŠĕéšøĆïÿĉìíĉĒúąđ×šćöćĔßšøąïïÜćî ĀćÖöĊÖćøêøüÝóïĂćÝöĊ
ÖćøúÜēìþìćÜüĉîĆ÷ ĀøČĂéĞćđîĉîÖćøìćÜÖãĀöć÷êćöÙüćöđĀöćąÿö îĂÖÝćÖîĆĚî Öôñ.
öĊÿĉìíĉĔîÖćøêøüÝÿĂïóùêĉÖøøöÖćøĔßšÜćîĔîøąĀüŠćÜìĊęñĎšĔßšÜćîĔßšøąïïÜćîîĊ”Ě
“This system is an asset of EGAT and to be used by authorized Users by
continuing to use the system. The Users represent that he/she is an
authorized User of this system and constitutes consent to monitoring.”
3. ĀćÖÖøąïüîÖćøđ×šćÿĎŠøąïïĕöŠÿĞćđøĘÝ øąïïêšĂÜĕöŠĒÿéÜ×šĂöĎúìĊęÿćöćøëøąïčêĆüêî×ĂÜ
øąïï đßŠî đÙøČĂ×Šć÷ìĊęĔßšÜćî ÿëćîìĊęêĆĚÜ×ĂÜøąïï ĀøČĂßČęĂđÙøČęĂÜÙĂöóĉüđêĂøŤĒöŠ×Šć÷
đðŨîêšî

4. øąïïêšĂÜĕöŠĒÿéÜ×šĂÙüćöìĊęßĊĚđÞóćąđĀêč×ĂÜÖćøđ×šćÿĎŠøąïïĕöŠÿĞćđøĘÝ đßŠîĕöŠÙüøĒÿéÜ
×šĂÙüćöüŠć ïĆâßĊñĎšĔßšÜćîñĉé ĀøČĂ øĀĆÿñŠćîñĉé đðŨîêšî
5. Āšćöđ×šćÿĎŠøąïïÝćÖïĆâßĊñĎšĔßšÜćîÿŠüîïčÙÙúđéĊ÷üÖĆî öćÖÖüŠćĀîċęÜ Session Ĕîøąïï
đéĊ÷üÖĆî
6. øąïïêšĂÜÝĞćÖĆéÝĞćîüîÙøĆĚÜĔîÖćøó÷ć÷ćöđ×šćÿĎŠøąïïìĊę ĕöŠÿĞćđøĘÝ ĒúąêšĂÜóĉÝćøèć
đÜČęĂîĕ×êŠĂĕðîĊĚ
y ÖćøđÖĘïïĆîìċÖñúÖćøđ×šćÿĎŠøąïïìĆĚÜìĊęÿĞćđøĘÝĒúąĕöŠÿĞćđøĘÝ
y ÝĞćÖĆéßŠüÜđüúćĔîÖćøó÷ć÷ćöđ×šćÿĎŠøąïïĂ÷ŠćÜđĀöćąÿö
y ÖćøêĆéÖćøđßČęĂöêŠĂ
y ÖćøÿŠÜ×šĂÙüćöđêČĂîìĊęĀîšćÝĂ×ĂÜñĎšéĎĒú×ĂÜøąïïđöČęĂöĊÖćøđ×šćøąïïđÖĉîêćö
ÝĞćîüîÙøĆĚÜìĊęÝĞćÖĆéĕüš
7. øąïïêšĂÜĒÿéÜüĆî đüúć ĔîÖćøđ×šćÿĎŠøąïïìĊęÿĞćđøĘÝĔîÙøĆĚÜÖŠĂî óøšĂöìĆĚÜĒÿéÜÝĞćîüî
ÙøĆĚÜìĊęó÷ć÷ćöđ×šćøąïïĕöŠÿĞćđøĘÝîĆïêĆĚÜĒêŠÖćøđ×šćÿĎŠøąïïìĊęÿĞćđøĘÝĔîÙøĆĚÜÖŠĂîêŠĂñĎšĔßšÜćî
8. øąïïêšĂÜĕöŠÿŠÜøĀĆÿñŠćîĒïï Clear Text ñŠćîøąïïđÙøČĂ×Šć÷
7.5.2 ÖćøøąïčĒúąóĉÿĎÝîŤêĆüêî×ĂÜñĎšĔßšÜćî (User Identification and Authentication)

1) ĀĆüĀîšćÜćîÿćøÿîđìý êšĂÜÝĆéĔĀšñĎšĔßšÜćîöĊïĆâßĊñĎšĔßšÜćîĒêŠúąïčÙÙúđóČęĂĔßšĔîÖćøóĉÿĎÝîŤêĆüêîĔî
Öćøđ×šćëċÜøąïïÿćøÿîđìý
2) ĔîÖøèĊìĊęöĊÙüćöÝĞćđðŨîêšĂÜöĊÖćøïĆâßĊñĎšĔßšÜćîøŠüöÖĆî (Shared User ID) êšĂÜĕéšøĆïÖćøĂîčöĆêĉÝćÖ
ñĎš đ ðŨ î đÝš ć ×ĂÜÿćøÿîđìý ĀĆ ü Āîš ć ÜćîÿćøÿîđìýĒúąñĎš ïĆ Ü ÙĆ ï ïĆ â ßć îĂÖÝćÖîĊĚ ĀĆ ü Āîš ć Üćî
ÿćøÿîđìýĒúąñĎšïĆÜÙĆïïĆâßć êšĂÜóĉÝćøèćÖćøÙüïÙčöĂČęîė đßŠî êšĂÜÖĞćĀîéñĎšøĆïñĉéßĂï Öćø
éĞćđîĉîÖćøĔéėĂĆîđÖĉéÝćÖÖćøĔßšÜćîïĆâßĊñĎšĔßšÜćîîĆĚî ĒúąêšĂÜöĊÖćøêøüÝÿĂïÖćøĔßšÜćî×ĂÜïĆâßĊ
ñĎšĔßšÜćîéĆÜÖúŠćüĂ÷ŠćÜÿöęĞćđÿöĂ đðŨîêšî
3) đóČę Ă đóĉę ö ðøąÿĉ ì íĉ õ ćóĔîÖćøóĉ ÿĎ Ý îŤ êĆ ü êîĔîøąïïÿćøÿîđìýìĊę öĊ Ù üćöÿĞ ć ÙĆ â ÿĎ Ü ĀĆ ü Āîš ć Üćî
ÿćøÿîđìý êšĂÜóĉÝćøèćÖćøÙüïÙčöĂČęîė đßŠî üĉíĊÖćøđ×šćøĀĆÿĒúąëĂéøĀĆÿ×šĂöĎú Smart Card
Token ĀøČĂßĊüõćóÿŠüîïčÙÙú đðŨîêšî
7.5.3 øąïïïøĉĀćøÝĆéÖćøøĀĆÿñŠćî (Password Management System)

1) ĀĆüĀîšćÜćîÿćøÿîđìý êšĂÜÝĆéĔĀšöĊÖćøÙüïÙčöøĀĆÿñŠćî éĆÜêŠĂĕðîĊĚ

1. ïĆÜÙĆïĔĀšöĊÖćøđðúĊę÷îĒðúÜøĀĆÿñŠćîßĆęüÙøćü (Temporary Password) ĔîÙøĆĚÜĒøÖ×ĂÜ
Öćøđ×šćÿĎŠøąïï ĂĊÖìĆĚÜÝĆéĔĀšñĎšĔßšÜćîÿćöćøëđúČĂÖĒúąđðúĊę÷îĒðúÜøĀĆÿñŠćî×ĂÜêîđĂÜ
óøšĂöìĆĚÜöĊ×ĆĚîêĂîĔîÖćø÷Čî÷ĆîøĀĆÿñŠćî
2. ĀšćöñĎšĔßš ÖĞćĀîéøĀĆÿñŠćîĒïïĕöŠÖĞćĀîéÙŠć (Blank Password)
3. ĀšćöñĎšĔßš êĆĚÜøĀĆÿñŠćîđĀöČĂîÖĆïßČęĂñĎšĔßšÜćî
4. ĀšćöñĎšĔßš đðúĊę÷îĒðúÜøĀĆÿñŠćîöćÖÖüŠć 1 ÙøĆĚÜõć÷Ĕî 24 ßö.
5. ĀšćöñĎšĔßš ÖĞćĀîéøĀĆÿñŠćîĔĀöŠìĊęđĀöČĂîÖĆïøĀĆÿñŠćîđéĉö Ă÷ŠćÜîšĂ÷ 5 ÙøĆĚÜÖŠĂîĀîšć
6. øĀĆÿñŠćîÿĞćĀøĆïñĎšĔßšÜćîìĆęüĕð êšĂÜöĊÖćøïĆÜÙĆïĔĀšöĊÖćøđðúĊę÷îĒðúÜøĀĆÿñŠćîìčÖ 60 -
90 üĆî
7. øĀĆÿñŠćîñĎšĔßšÜćîÿĉìíĉóĉđýþ êšĂÜöĊÖćøïĆÜÙĆïĔĀšöĊÖćøđðúĊę÷îĒðúÜøĀĆÿñŠćîìčÖ 30 - 45
üĆî
8. øĀĆÿñŠćîêšĂÜöĊÙüćö÷ćüĂ÷ŠćÜîšĂ÷ 8 ĀúĆÖ àċęÜðøąÖĂïéšü÷ êĆüĂĆÖþø êĆüđú× ĒúąĂĆÖ×øą
óĉđýþ ĀøČĂÿĆâúĆÖþèŤ đßŠî (a-Z) (0-9) (@ , # , & , “ , ‘ , *, =, < , > , % , $ , + , ?)
đðŨîêšî
9. øąïïìĊęöĊÙüćöđÿĊę÷ÜÿĎÜ ĀøČĂđðŨîøąïïÿćøÿîđìýìĊęöĊøąéĆïÙüćööĆęîÙÜðúĂéõĆ÷ “ÿĎÜÿčé”
Ēúą “ÿĎÜ” êšĂÜöĊÖćøóĉÿĎÝîŤêĆüêîēé÷ÖćøĔßšüĉíĊÖćøóĉÿĎÝîŤêĆüêîĒïï 2 Factors
10. øąÜĆïÖćøĔßšÜćîïĆâßĊñĎšĔßš ĔîÖøèĊìĊęöĊÖćøðŜĂîøĀĆÿñŠćîñĉéêĆĚÜĒêŠ 3 ÙøĆĚÜ×ċĚîĕð
11. øąïïêšĂÜĕöŠĒÿéÜøĀĆÿñŠćîĒúąÝĞćîüîĂĆÖ×øąøĀĆÿñŠćîìĊęñĎšĔßšÜćîóĉöóŤĔî×èąđ×šćÿĎŠøąïï
ēé÷ĂćÝöĊÖćøĒÿéÜÿĆâúĆÖþèŤĒìîøĀĆÿñŠćîÝøĉÜĔî×èąìĊęñĎšĔßšÜćîóĉöóŤ
12. êšĂÜöĊøĎðĒïïìĊęðŜĂÜÖĆîĔîÖćøÝĆéđÖĘïĒúąÿŠÜøĀĆÿñŠćî đßŠî Öćøđ×šćøĀĆÿ ĀøČĂ Hashing
đðŨîêšî
ìĆĚÜîĊĚÖćøÙüïÙčöøĀĆÿñŠćîÝą×ċĚîĂ÷ĎŠÖĆïÙüćöÿćöćøë×ĂÜøąïïÜćîÿćøÿîđìýĒêŠúąøąïï
2) øąïïðäĉïĆêĉÖćø åćî×šĂöĎú ĒúąĒĂóóúĉđÙßĆî (Application) ìĊęđÖĘïïĆâßĊñĎšĔßšÜćîĒúąøĀĆÿñŠćî
êšĂÜöĊÖćøÙüïÙčöĂ÷ŠćÜđ×šöÜüé đóČęĂĔĀšđ×šćëċÜĕéšēé÷ñĎšéĎĒúøąïïìĊęĕéšøĆïĂîčâćêđìŠćîĆĚî
7.5.4 ÖćøĔßšÜćîēðøĒÖøöðøąđõì÷ĎìĉúĉêĊĚ (Use of System Utilities)

1) ĀĆ üĀîš ć Üćîÿćøÿîđìý êš Ă ÜÙüïÙčö ÖćøĔßšÜ ćîēðøĒÖøöðøąđõì÷Ď ìĊúĉ êĊĚï îøąïïìĊę Ĕ ßš Ü ćîÝøĉ Ü
(Production System) éĆÜêŠĂĕðîĊĚ
1. ÖĞćĀîéÙüćöøĆïñĉéßĂïĔîÖćøĔßšēðøĒÖøöðøąđõì÷ĎìĉúĉêĊĚ (System Utilities) Ă÷ŠćÜ
ßĆéđÝîĒúąÿČęĂÿćøĔĀšñĎšđÖĊę÷ü×šĂÜìøćïđóČęĂëČĂðäĉïĆêĉ
2. êšĂÜöĊÖćøóĉÿĎÝîŤêĆüêî ĒúąÖĞćĀîéÿĉìíĉ ĔîÖćøĔßšÜćîēðøĒÖøöðøąđõì÷ĎìĊúĉêĊĚ

3. ÝĞćÖĆéÖćøđ×šćëċÜēðøĒÖøöðøąđõì÷ĎìĉúĉêĊĚ (System Utilities) ĔĀšđÞóćąÖúčŠöÙîìĊęöĊĀîšćìĊę
øĆïñĉéßĂï
4. öĊÖćøïĆîìċÖđĀêčÖćøèŤ (Log) ÖćøĔßšÜćîēðøĒÖøöðøąđõì÷ĎìĊúĉêĊĚ ĒúąêšĂÜöĊÖćøÿĂï
ìćîÝćÖñĎšêøüÝÿĂïĂĉÿøąĒúąĀĆüĀîšćÜćîÿćøÿîđìýĂ÷ŠćÜÿöęĞćđÿöĂ
5. êšĂÜìĞćÖćøđóĉÖëĂîĀøČĂøąÜĆïēðøĒÖøöðøąđõì÷ĎìĊúĉêĊĚìĊęĕöŠÝĞćđðŨî
7.5.5 ÖćøĀöéđüúćÖćøĔßšÜćîøąïïÿćøÿîđìý (Session Time-Out)

1) ĀĆüĀîšćÜćîÿćøÿîđìý êšĂÜÖĞćĀîé Session Time-Out ×ĂÜøąïïÿćøÿîđìýìĊęĕöŠöĊÖćøĔßšÜćî
õć÷Ĕîøą÷ąđüúćìĊęÖĞćĀîé đßŠî ÖćøêĆéÖćøđßČęĂöêŠĂÖĆïĒĂóóúĉđÙßĆî (Application) ĀøČĂđÙøČĂ×Šć÷
ĀćÖĕöŠ öĊ Ö ćøĔßš Ü ćîđðŨ î đüúć 10 îćìĊ ē é÷ĂĆ ê ēîöĆ êĉ đðŨ î êš î ìĆĚ Ü îĊĚ ëš ć øąïïìĊę ĕ öŠ ÿ ćöćøëêĆ é
ÖćøđßČęĂöêŠĂĒïïĂĆêēîöĆêĉĕéš êšĂÜÖĞćĀîéĔĀšĔßšēðøĒÖøöóĆÖĀîšćÝĂìĊęêšĂÜĔÿŠøĀĆÿñŠćî ĀøČĂÖĞćĀîéĔĀš
öĊÖćøúĘĂÙĀîšćÝĂ
2) ĀĆü Āîšć ÜćîÿćøÿîđìýĒúąñĎšð äĉ ïĆ êĉÜ ćî êš Ă ÜêĆĚ Ü ÙŠć ĔĀšöĊ ē ðøĒÖøöóĆ Ö Āîš ć ÝĂìĊę êšĂ ÜĔÿŠ ø ĀĆ ÿ ñŠ ć î
ÿĞćĀøĆïđÙøČęĂÜÙĂöóĉüđêĂøŤÿŠüîïčÙÙú ĀøČĂđÙøČęĂÜÙĂöóĉüđêĂøŤĒïïóÖóć ĒúąđÙøČęĂÜÙĂöóĉüđêĂøŤ
ĒöŠ×Šć÷ ìĆĚÜîĊĚēðøĒÖøöóĆÖĀîšćÝĂ êšĂÜÖĞćĀîéĔĀšðŜĂîøĀĆÿñŠćîĀúĆÜÝćÖìĊęöĊÖćøìĉĚÜđÙøČęĂÜéĆÜÖúŠćüĕüš
ēé÷ĕöŠöĊÖćøĔßšÜćîđðŨîđüúć 10 îćìĊ
7.5.6 ÖćøÝĞćÖĆéøą÷ąđüúćÖćøđßČęĂöêŠĂøąïïÿćøÿîđìý (Limitation of Connection Time)

1) ĀĆüĀîšćÜćîÿćøÿîđìý êšĂÜÝĞćÖĆéøą÷ąđüúćĔîÖćøđßČęĂöêŠĂøąïïÿćøÿîđìýìĊęöĊÙüćöÿĞćÙĆâÿĎÜ ēé÷
êšĂÜÙĞćëċÜøą÷ąđüúćìĊęÝĞćđðŨîĔîÖøąïüîÖćøéĞćđîĉîÜćîìćÜíčøÖĉÝ đßŠî ÖĞćĀîéĔĀšđ×šćĔßšÜćîĕéšĔî
ßŠüÜđüúćìĞćÖćø×ĂÜ Öôñ. đðŨîêšî
2) ĀćÖöĊÙüćöÝĞćđðŨîêšĂÜĔßšÜćîîĂÖđüúćìĊęÖĞćĀîé êšĂÜ×ĂĂîčöĆêĉÝćÖĀĆüĀîšćÜćîĒúąĀĆüĀîšćÜćî
ÿćøÿîđìý đìŠćîĆĚî
1) PD-30 ×ĆĚîêĂîÖćøðäĉïĆêĉÜćîđøČęĂÜ Öćø×ĂĔßšēðøĒÖøö÷ĎìĉúĉêĊĚ (Use of System Utilities
Procedure)
7.6 ÖćøÙüïÙčöÖćøđ×šćëċÜēðøĒÖøöðøą÷čÖêŤĒúąÿćøÿîđìý (Application and

Information Access Control)

ĔĀšöĊÖćøÝĞćÖĆéÖćøđ×šćëċÜÿćøÿîđìý ĒúąÖćøĒ÷ÖøąïïÿćøÿîđìýìĊęöĊÙüćöÿĞćÙĆâÿĎÜĕüšĔîïøĉđüèìĊęÙüïÙčö
đÞóćą
öćêøåćî
7.6.1ÖćøÝĞćÖĆéÖćøđ×šćëċÜÿćøÿîđìý (Information Access Restriction)
1) ñĎšĔßšÜćî êšĂÜĕéšøĆïÿĉìíĉÖćøđ×šćëċÜđìŠćìĊęÝĞćđðŨîêŠĂÖćøðäĉïĆêĉÜćî ēé÷ÖćøĔĀšÿĉìíĉêšĂÜóĉÝćøèćĔîđøČęĂÜ
1. ÙüćööĆęîÙÜðúĂéõĆ÷ìćÜêøøÖą (Logical Security) õć÷ĔîĒĂóóúĉđÙßĆî
(Application)
2. ÖćøÝĞćÖĆéĕöŠĔĀšĔßšêĆüđúČĂÖ (Options) ìĊęĕöŠĕéšøĆïĂîčâćê
3. ÖćøÝĞćÖĆéÖćøđ×šćëċÜ Command Line
4. ÖćøÝĞćÖĆéÖćøđ×šćëċÜ×šĂöĎúĒúąôŦÜÖŤßĆęîÖćøĔßšÜćî×ĂÜĒĂóóúĉđÙßĆî (Application) ìĊęĕöŠ
đÖĊę÷ü×šĂÜÖĆïĀîšćìĊę ÙüćöøĆïñĉéßĂï
5. ÖćøÝĞćÖĆéøąéĆïÿĉìíĉĔîÖćøđ×šćëċÜĕôúŤ đßŠî ĂŠćîĂ÷ŠćÜđéĊ÷ü đðŨîêšî
6. ÖćøÙüïÙčöÖćøĒÝÖÝŠć÷ĀøČĂđ×šćëċÜ×šĂöĎúîĞćĂĂÖ ×ĂÜøąïïÿćøÿîđìý đßŠî øć÷Üćî
đðŨîêšî
2) ĔîÖøèĊìĊęđðŨîĕðĕéš øąïïÜćîÙüøøĂÜøĆïÖćøÖĞćĀîéÿĉìíĉĔîÖćøđ×šćëċÜĒïïÖúčŠöĕéš
7.6.2ÖćøĒ÷ÖøąïïÿćøÿîđìýìĊęöĊÙüćöÿĞćÙĆâÿĎÜ (Sensitive System Isolation)

1) ñĎšđðŨîđÝšć×ĂÜÿćøÿîđìýĒúąĀĆüĀîšćÜćîÿćøÿîđìý êšĂÜÝĆéĔĀšöĊÖćøĒïŠÜĒ÷Öøąïïÿćøÿîđìý ēé÷
óĉÝćøèćÝćÖúĞćéĆïßĆĚî×ĂÜÿćøÿîđìýìĊęĕéšöĊÖćøÖĞćĀîéĕüš ēé÷øąïïÿćøÿîđìýìĊęöĊÙüćöÿĞćÙĆâÿĎÜ
êšĂÜöĊÖćøĒïŠÜĒ÷Ö ìĆĚÜìćÜÖć÷õćóĒúąìćÜêøøÖą Ă÷ŠćÜĕøÖĘêćöĔîÖøèĊìĊęøąïïÿćøÿîđìýìĊęöĊ
ÙüćöÿĞćÙĆâÿĎÜöĊÙüćöÝĞćđðŨîêšĂÜĔßšÜćîøŠüöÖĆïøąïïÿćøÿîđìýĂČęîìĊęöĊÙüćöÿĞćÙĆâîšĂ÷ÖüŠć êšĂÜ
ĕéšøĆïÖćøĂîčâćêÝćÖ ñĎšđðŨîđÝšć×ĂÜÿćøÿîđìýìĊęöĊÙüćöÿĞćÙĆâÿĎÜÖüŠć
7.7 ÖćøÙüïÙčöĂčðÖøèŤÿČęĂÿćøðøąđõìóÖóćĒúąÖćøðäĉïĆêĉÜćîÝćÖõć÷îĂÖĂÜÙŤÖø
(Mobile Computing and Teleworking)
ĔĀšöĊÖćøÙüïÙčöðŜĂÜÖĆîĂčðÖøèŤÿČęĂÿćøðøąđõìóÖóćĒúąÖćøÙüïÙčöÖćøðäĉïĆêĉÜćîÝćÖõć÷îĂÖ Öôñ.

öćêøåćî
7.7.1ÖćøðŜĂÜÖĆîĂčðÖøèŤÿČęĂÿćøðøąđõìóÖóć (Mobile Computing and Communications)
1) ÖćøĔßš Ü ćîĂč ð ÖøèŤ ð øąđõìóÖóćĔîìĊę ÿ ćíćøèą Āš Ă Üðøąßč ö ĒúąóČĚ î ìĊę õ ć÷îĂÖĂČę î ėìĊę ĕ öŠ öĊ
ÖćøðŜĂÜÖĆî ĀøČĂĕöŠĕéšĂ÷ĎŠĔîïøĉđüè×ĂÜ Öôñ. ñĎšĔßšÜćî êšĂÜðŜĂÜÖĆîÖćøđ×šćëċÜìĊęĕöŠĕéšøĆïĂîčâćê đßŠî
ÖćøĕöŠđðŗé ÖćøđßČęĂöêŠĂĒïïĕøšÿć÷ēé÷ĕöŠöĊÖćøđ×šćøĀĆÿ×šĂöĎú đðŨîêšî
2) ñĎšĔ ßšÜ ćîĂč ð ÖøèŤ ðøąđõìóÖóć ßîĉ éìĊę øĂÜøĆ ï Öćøêĉ éêĆĚ Ü ēðøĒÖøöðŜ Ă ÜÖĆî ĕüøĆÿ ĕéš êšĂ ÜÝĆ éĔĀš öĊ
ēðøĒÖøöðŜĂÜÖĆîĕüøĆÿ ĒúąêšĂÜðøĆïðøčÜĔĀšēðøĒÖøöéĆÜÖúŠćüìĆîÿöĆ÷Ă÷ĎŠđÿöĂ
3) ĀĆüĀîšćÜćîÿćøÿîđìý êšĂÜÝĆéĔĀšöĊÖćøðŜĂÜÖĆîÖćøĔßšĂčðÖøèŤÿČęĂÿćøðøąđõìóÖóćĔî Öćø
đßČę Ă öêŠ Ă đÙøČ Ă ×Š ć ÷ ēé÷ÖćøĔßš Ăč ð ÖøèŤ ð øąöüúñúðøąđõìóÖóćđóČę Ă đßČę Ă öêŠ Ă ×š ć öđÙøČ Ă ×Š ć ÷
ÿćíćøèą đßŠî Öćøđ×šćëċÜøą÷ąĕÖú (Remote Access) đðŨîêšî êšĂÜĔßšÜćîĕéšĀúĆÜÝćÖìĊęñŠćî
ÖćøóĉÿĎÝîŤêĆüêî (Authentication) ĒúšüđìŠćîĆĚî
4) ÖćøéĎĒúĂčðÖøèŤðøąöüúñúðøąđõìóÖóć êšĂÜöĊÖćøðŜĂÜÖĆîĔîđøČęĂÜéĆÜêŠĂĕðîĊĚ
1. öĊÖćøÖĞćĀîéĒúąöĂïĀöć÷ÙüćöøĆïñĉéßĂïĔîÖćøéĎĒúĂčðÖøèŤðøąöüúñúðøąđõì
óÖóć
2. ñĎšĔßšÜćî êšĂÜîĞćĂčðÖøèŤðøąöüúñúðøąđõìóÖóćêĉéêĆüĕðéšü÷đÿöĂ đßŠî ĕöŠúąìĉĚÜ
ĂčðÖøèŤðøąöüúñúðøąđõìóÖóćĔîøë÷îêŤ ĀšĂÜóĆÖĔîēøÜĒøö ĀøČĂĀšĂÜðøąßčö đðŨîêšî
ĔîÖøèĊ ìĊę öĊ Ù üćöÝĞ ć đðŨ î êš Ă ÜìĉĚ Ü ĕüš Ĕ îøë÷îêŤ êš Ă ÜđÖĘ ï ĕüš Ĕ îìš ć ÷øë ĀøČ Ă úĘ Ă ÙĂč ð ÖøèŤ
ðøąöüúñúðøąđõìóÖóćĕüšĔîÿëćîìĊęöĆęîÙÜðúĂéõĆ÷
3. ñĎš Ĕ ßš Ü ćî êš Ă ÜÝĆ é đÖĘ ï Ăč ð ÖøèŤ ð øąöüúñúðøąđõìóÖóćĔîÖøąđðŞ ć ìĊę ð úĂéõĆ ÷ Ēúą
đĀöćąÿö đóČęĂðŜĂÜÖćøÖøąĒìÖ ÖĆîîĚĞć ĀøČĂÙüćößČĚî đðŨîêšî
4. ñĎšĔßšÜćî êšĂÜÿĞćøĂÜ×šĂöĎú×ĂÜĂčðÖøèŤðøąöüúñúðøąđõìóÖóćĂ÷ŠćÜÿöęĞćđÿöĂĒúąöĊ
Öćøđ×šćøĀĆÿ×šĂöĎúìĊęÿĞćøĂÜĂ÷ŠćÜđĀöćąÿö
5. Ĕî×èąìĊę Ăč ð ÖøèŤ ð øąöüúñúðøąđõìóÖóćöĊ Ö ćøđßČę Ă öêŠ Ă ÖĆ ï đÙøČ Ă ×Š ć ÷×ĂÜ Öôñ.
ñĎšĔßšÜćî êšĂÜĕöŠĔßšĂčðÖøèŤðøąöüúñúðøąđõìóÖóć đßČęĂöêŠĂĂĉîđìĂøŤđîĘêñŠćî ßŠĂÜìćÜ
ĂČęîîĂÖđĀîČĂÝćÖßŠĂÜìćÜìĊę Öôñ. ÝĆéĔĀš
5) ĀĆ ü Āîš ć Üćîÿćøÿîđìý êš Ă ÜÖĞ ć ĀîéÖćøĔÿŠ ø ĀĆ ÿ ñŠ ć îÖŠ Ă îđ×š ć ëċ Ü ×š Ă öĎ ú ĀøČ Ă ĒĂóóúĉ đ ÙßĆ î
(Application) ïîĂčðÖøèŤðøąöüúñúðøąđõìóÖóć ìĊęöĊ×šĂöĎú×ĂÜ Öôñ. ĂĊÖìĆĚÜêšĂÜÖĞćĀîéĔĀšöĊ
ÖćøúĘĂÙĀîšćÝĂĀćÖĕöŠöĊÖćøĔßšÜćîêćöøą÷ąđüúćìĊęÖĞćĀîé

7.7.2ÖćøðäĉïĆêĉÜćîÝćÖõć÷îĂÖÿĞćîĆÖÜćî (Teleworking)
1) ÖćøðäĉïĆêĉÜćîÝćÖõć÷îĂÖÿĞćîĆÖÜćî×ĂÜ Öôñ. êšĂÜĕéšøĆïÖćøĂîčâćêÝćÖñĎšïĆÜÙĆïïĆâßćĂ÷ŠćÜđðŨî
úć÷úĆÖþèŤĂĆÖþø ēé÷ñĎšïĆÜÙĆïïĆâßćêšĂÜóĉÝćøèćđÜČęĂîĕ×ĔîÖćøÝĆéđêøĊ÷öÖćø éĆÜêŠĂĕðîĊĚ
1. ÙüćööĆęîÙÜðúĂéõĆ÷ìćÜÖć÷õćóĒúąÿõćóĒüéúšĂö×ĂÜÖćøðäĉïĆêĉÜćîÝćÖõć÷îĂÖ
Öôñ.
2. ÙüćööĆęîÙÜðúĂéõĆ÷ìćÜÖćøÿČęĂÿćø ēé÷÷ċéÝćÖøąéĆïÙüćöÿĞćÙĆâ (Sensitivity) ×ĂÜ
×šĂöĎúìĊę ÝąëĎÖđ×šćëċÜĒúąÿŠÜñŠćîßŠĂÜìćÜÖćøđßČęĂöêŠĂÿČęĂÿćø (Communication Link)
øüöëċÜøąéĆïÙüćöÿĞćÙĆâ (Sensitivity) ×ĂÜøąïïõć÷Ĕî Öôñ.
2) đĂÖÿćøìĊęđðŨîÙüćöúĆï êšĂÜÝĆéđÖĘïĔîïøĉđüèÖćøìĞćÜćîĒúąÝĆéđÖĘïĔîĂčðÖøèŤïøøÝčõĆèæŤìĊęúĘĂÙĕéš
ēé÷ĔßšĀúĆÖđÖèæŤÖćøøĆÖþćÙüćöúĆïđßŠîđéĊ÷üÖĆïÿćøÿîđìýìĊęĂ÷ĎŠĔîÿĞćîĆÖÜćî×ĂÜ Öôñ.
3) ñĎšðäĉïĆêĉÜćî êšĂÜöĊÖćøêĉéêĆĚÜēðøĒÖøöðŜĂÜÖĆîĕüøĆÿĒúą Personal Firewall ÿĞćĀøĆïĂčðÖøèŤ
ÿŠüîêĆüìĊęĔßšđßČęĂöêŠĂđÙøČĂ×Šć÷×ĂÜ Öôñ. ÝćÖõć÷îĂÖ
4) ñĎšïĆÜÙĆïïĆâßć×ĂÜñĎšðäĉïĆêĉÜćîêšĂÜðøąÿćîÖĆïĀĆüĀîšćÜćîÿćøÿîđìý đóČęĂìĞćÖćøëĂéëĂîÿĉìíĉĔî
Öćøđ×šćëċÜ×ĂÜñĎšðäĉïĆêĉÜćîÝćÖõć÷îĂÖÿĞćîĆÖÜćî đöČęĂđÿøĘÝÿĉĚîÖćøðäĉïĆêĉÜćîìĊęĕéšøĆïöĂïĀöć÷
ST-08: öćêøåćîÖćøÝĆéĀć ÖćøóĆçîć ĒúąÖćøïĞćøčÜøĆÖþćøąïïÿćøÿîđìý (Standard of

Information System Acquisition, Development and Maintenance)
đóČęĂïøĉĀćøÝĆéÖćøÝĆéĀć óĆçîć ĒúąïĞćøčÜøĆÖþćøąïïÿćøÿîđìý×ĂÜ Öôñ. ĒúąÿøšćÜÙüćööĆęîÙÜðúĂéõĆ÷
ĔĀšÖĆïÿćøÿîđìýĒúąøąïïÿćøÿîđìýĔĀšöĊðøąÿĉìíĉõćó ĕéšÖĞćĀîéĔĀšöĊöćêøåćîÖćøÝĆéĀć ÖćøóĆçîć Ēúą
ÖćøïĞćøčÜøĆÖþćøąïïÿćøÿîđìý àċęÜðøąÖĂïéšü÷ 6 đøČęĂÜ éĆÜêŠĂĕðîĊĚ
1) ×šĂÖĞćĀîééšćîÙüćööĆęîÙÜðúĂéõĆ÷ÿĞćĀøĆïøąïïÿćøÿîđìý (Security Requirements of
Information Systems)
2) ÖćøðøąöüúñúÿćøÿîđìýĔîĒĂóóúĉđÙßĆî (Correct Processing in Applications)
3) öćêøÖćøÖćøđ×šćøĀĆÿ×šĂöĎú (Cryptographic Controls)
4) ÖćøÿøšćÜÙüćööĆęîÙÜðúĂéõĆ÷ĔĀšÖĆïĕôúŤ×ĂÜøąïïìĊęĔĀšïøĉÖćø (Security of System Files)
5) Öćøÿøš ć ÜÙüćööĆę î ÙÜðúĂéõĆ ÷ ÿĞ ć ĀøĆ ï ÖøąïüîÖćøĔîÖćøóĆ ç îćøąïïĒúąÖøąïüîÖćø
ÿîĆïÿîčî (Security in Development and Support Processes)
6) ÖćøïøĉĀćøÝĆéÖćøßŠĂÜēĀüŠĔîăćøŤéĒüøŤ (Hardware) ĒúąàĂôêŤĒüøŤ (Software) (Technical
Vulnerability Management)
òść÷üćÜĒñîđìÙēîēú÷Ċÿćøÿîđìý
ðøąÿćîÜćîÖĆïĀĆüĀîšćÜćîÿćøÿîđìý đóČęĂêøüÝÿĂïđÜČęĂîĕ×ìćÜÖãĀöć÷ìĊęđÖĊę÷ü×šĂÜÖĆïÖćøĔßš
ñúĉêõĆèæŤÖćøđ×šćøĀĆÿ
ðøąÿćîÜćîÖĆïñĎšđðŨîđÝšć×ĂÜÿćøÿîđìý đóČęĂÝĆéĔĀšöĊÖćøøąïčÙčèÿöïĆêĉ (Specification) ìćÜéšćî
ÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìýÿĞćĀøĆïøąïïÿćøÿîđìýìĊęöĊÖćøÝĆéàČĚĂĀøČĂöĊÖćøóĆçîć×ċĚî
ÙüïÙčöéĎĒúÖćøóĆçîćøąïïĔĀšöĊÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìýêćöÙčèÿöïĆêĉ (Specification)
ìćÜéšćîÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý
ðøąÿćîÜćîÖĆïñĎšđðŨîđÝšć×ĂÜÿćøÿîđìý đóČęĂïøĉĀćøÝĆéÖćøÖćøîĞćđ×šć×šĂöĎú
ÝĆéĔĀšöĊÖćøìĞćïĆâßĊ (Checklist) đóČęĂĔßšĔîÖćøêøüÝÿĂïïĆîìċÖÖćøìéÿĂïĒúąñúÖćøìéÿĂï×šĂöĎú
ìĊęĂ÷ĎŠĔîøąĀüŠćÜÖćøðøąöüúñú
ÝĆéĔĀšöĊÖćøêøüÝÿĂï×šĂöĎúîĞćĂĂÖ
ïøĉĀćøÝĆéÖćøÖćøđ×šćøĀĆÿ×šĂöĎú ĒúąÖčâĒÝđ×šćøĀĆÿ
ðøąÿćîÜćîÖĆïòść÷üćÜĒñîđìÙēîēú÷Ċÿćøÿîđìý đóČęĂêøüÝÿĂïđÜČęĂîĕ×ìćÜÖãĀöć÷ìĊęđÖĊę÷ü×šĂÜÖĆï
ÖćøĔßšñúĉêõĆèæŤÖćøđ×šćøĀĆÿ
ðøąÿćîÜćîÖĆïñĎšđðŨîđÝšć×ĂÜÿćøÿîđìý đóČęĂÙüïÙčö×šĂöĎúÝøĉÜìĊęëĎÖîĞćöćĔßšĔîÖćøìéÿĂï
ïøĉĀćøÝĆéÖćøøąïïðäĉïĆêĉÖćø àĂôêŤĒüøŤ (Software) àĂôêŤĒüøŤÿĞćđøĘÝøĎð (Software Packages)
àĂøŤÿēÙšé (Source Code) ĒúąđĂÖÿćøøąïï
ÝĆéĔĀšöĊĒñîÖćøëĂ÷ÖúĆï (Rollback Plan) ìĊęđĀöćąÿöÖŠĂîÝąéĞćđîĉîÖćøđðúĊę÷îĒðúÜĒÖšĕ×øąïï
ÿćøÿîđìý
ÖĞćĀîéĔĀšöĊÖćøðŜĂÜÖĆîÖćøøĆęüĕĀú×ĂÜÿćøÿîđìý
ÝĆéĔĀšöĊÖøąïüîÖćøÝĆéÖćøßŠĂÜēĀüŠìćÜđìÙîĉÙ
ðøąÿćîÜćîÖĆïĀĆüĀîšćÜćîÿćøÿîđìý đóČęĂÝĆéĔĀšöĊÖćøøąïčÙčèÿöïĆêĉ (Specification) ìćÜéšćîÙüćö
öĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìýÿĞćĀøĆïøąïïÿćøÿîđìýìĊęöĊÖćøÝĆéàČĚĂĀøČĂöĊÖćøóĆçîć×ċĚî
ðøąÿćîÜćîÖĆïĀĆüĀîšćÜćîÿćøÿîđìý đóČęĂïøĉĀćøÝĆéÖćøÖćøîĞćđ×šć×šĂöĎú
ðøąÿćîÜćîÖĆïĀĆüĀîšćÜćîÿćøÿîđìý đóČęĂÙüïÙčö×šĂöĎúÝøĉÜìĊęëĎÖîĞćöćĔßšĔîÖćøìéÿĂï

óĉÝćøèćÖćøđðúĊę÷îĒðúÜøąïïÿćøÿîđìý
ðøąÿćîÜćîÖĆïĀĆüĀîšćÜćîÿćøÿîđìý đóČęĂïøĉĀćøÝĆéÖćøøąéĆï×ĂÜÿĉìíĉ (Authorization Levels)
×ĂÜñĎšĔßšÜćî
ñĎšéĎĒúÿćøÿîđìý
ÙüïÙčöÖćøđÖĘïÖčâĒÝĀúĆÖ (Master Keys) ÖčâĒÝ×ĂÜñĎšéĎĒúøąïï (Administrators’ Keys) Ēúą
ÖčâĒÝÞčÖđÞĉî (Emergency Keys)
ñĎšéĎĒúøąïïÿćøÿîđìý
ÙüïÙčöÖćøđÖĘïÖčâĒÝĀúĆÖ (Master Keys) ÖčâĒÝ×ĂÜñĎšéĎĒúøąïï (Administrators’ Keys) Ēúą
ÖčâĒÝÞčÖđÞĉî (Emergency Keys)
ðøąÿćîÜćîÖĆ ï ñĎš đ ðŨ î đÝš ć ×ĂÜÿćøÿîđìýĔîÖćøÿĂïìćîàĂôêŤ Ē üøŤ ð äĉ ïĆ êĉ Ö ćø (Operational
Software)
ÝĆéđÖĘïïĆîìċÖđĀêčÖćøèŤđóČęĂĔßšĔîÖćøêøüÝÿĂï (Audit Log) đöČęĂöĊÖćøđðúĊę÷îĒðúÜ Program
Libraries
ñĎšĔßšÜćî
ĔßšÖčâĒÝđ×šćøĀĆÿĂ÷ŠćÜðúĂéõĆ÷
8.1 ×šĂÖĞćĀîééšćîÙüćööĆęîÙÜðúĂéõĆ÷ÿĞćĀøĆïøąïïÿćøÿîđìý (Security Requirements

of Information Systems)
ĔĀšöĊÖćøüĉđÙøćąĀŤĒúąÖćøøąïč×šĂÖĞćĀîéìćÜéšćîÙüćööĆęîÙÜðúĂéõĆ÷ÿĞćĀøĆïøąïïÿćøÿîđìýĔĀöŠ ĀøČĂ
ðøĆïðøčÜÝćÖøąïïÿćøÿîđìýđéĉöìĊęöĊĂ÷ĎŠĒúšü
öćêøåćî
8.1.1 ÖćøüĉđÙøćąĀŤĒúąÖćøøąïčÙčèÿöïĆêĉìćÜéšćîÙüćööĆęîÙÜðúĂéõĆ÷ (Security Requirements
Analysis and Specification)
1) ñĎšđðŨîđÝšć×ĂÜÿćøÿîđìýĒúąĀĆüĀîšćÜćîÿćøÿîđìýêšĂÜÝĆéĔĀšöĊÖćøøąïčÙčèÿöïĆêĉ (Specification)
ìćÜéš ćîÙüćööĆęîÙÜðúĂéõĆ÷éš ćîÿćøÿîđìýÿĞćĀøĆ ïøąïïÿćøÿîđìýìĊę öĊÖćøÝĆéàČĚ ĂĀøČĂöĊÖćø
óĆçîć×ċĚî ēé÷×šĂÖĞćĀîééĆÜÖúŠćüêšĂÜÙøĂïÙúčöêĆĚÜĒêŠ×ĆĚîêĂîÖćøĂĂÖĒïïÝîëċÜ×ĆĚîêĂîÖćøîĞć

øąïïĕðêĉéêĆĚÜ ĒúąêšĂÜĕéšøĆïĂîčöĆêĉÝćÖñĎšđðŨîđÝšć×ĂÜÿćøÿîđìýĒúąĀĆüĀîšćÜćîÿćøÿîđìýÖŠĂîìĊę
ÝąđøĉęöÖøąïüîÖćøÖćøÝĆéàČĚĂĀøČĂÖćøóĆçîćøąïïÿćøÿîđìý
2) ÙčèÿöïĆêĉ (Specification) ìćÜéšćîÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìýÿĞćĀøĆïøąïïÿćøÿîđìý
Ýą×ċĚîĂ÷ĎŠÖĆïøąéĆïÙüćöÿĞćÙĆâ×ĂÜøąïïÿćøÿîđìý õĆ÷ÙčÖÙćöìćÜéšćîÙüćööĆęîÙÜðúĂéõĆ÷éšćî
ÿćøÿîđìý ĒúąÖćøóĉÝćøèćðŦÝÝĆ÷ÙüćöđÿĊę÷ÜéĆÜêŠĂĕðîĊĚ
1. øąéĆïÙüćöÿĞćÙĆâ (Criticality) øüöĕðëċÜÙüćöëĎÖêšĂÜÙøïëšüîĒúąÙüćöóøšĂöĔßš
×ĂÜÖøąïüîÖćøĔîøąïïÿćøÿîđìý
2. ÙčèÙŠć (Value) øąéĆïÙüćöúĆï (Sensitivity) ĀøČĂøąéĆïÙüćöÿĞćÙĆâ (Criticality)
øüöĕðëċÜÙüćöëĎÖêšĂÜÙøïëšüîĒúąÙüćöóøšĂöĔßš ×ĂÜÿćøÿîđìýìĊęđÖĊę÷ü×šĂÜ
3. ðøąÿïÖćøèŤĔîĂéĊêđÖĊę÷üÖĆïÖćøĔßšøąïïÿćøÿîđìý ĀøČĂÖćøĔßšøąïïÿćøÿîđìý
ĕðĔîìćÜìĊęĕöŠëĎÖêšĂÜ
4. ×Ăïđ×êÿĞćĀøĆïÖćøđßČęĂöêŠĂøąïïÿćøÿîđìý
5. ñúÖøąìïìĊę Ă ćÝÝąđÖĉ é ×ċĚ î ÖĆ ï øąïïÿćøÿîđìýĂČę î ė Ēúąõćóøüö×ĂÜøąéĆ ï
3) ÙčèÿöïĆêĉ (Specification) ìćÜéšćîÙüćööĆęîÙÜðúĂéõĆ÷ÿĞćĀøĆ ïøąïïÿćøÿîđìýêšĂÜöĊ
ÙüćöÿĂéÙúšĂÜÖĆïÖãĀöć÷ĒúąøąđïĊ÷ï×šĂïĆÜÙĆïìĊęđÖĊę÷ü×šĂÜ ĂĊÖìĆĚÜêšĂÜóĉÝćøèćĔîđøČęĂÜêŠĂĕðîĊĚ
1. ēÙøÜÿøšćÜøąïïĒúąÖćøđßČęĂöêŠ ĂøąïïđÙøČ Ă×Š ć÷ đßŠ î øąïïĒïïÖøąÝć÷ýĎ î ÷Ť
(Distributed System) øąïïĒïïøüöýĎî÷Ť (Centralized System) ĀøČĂøąïï
Ēïïðŗé (Closed System)đðŨîêšî
2. Öćøđ×šćëċÜÝćÖÿëćîìĊęÖĞćĀîéĔĀšđÞóćą đßŠî Öćøđ×šćëċÜÝćÖõć÷ĔîĒúąõć÷îĂÖ
ÿĞćîĆÖÜćî đðŨîêšî
3. ñĎšĔßšÜćîìĊęĕéšøĆïĂîčâćêĔĀšđ×šćëċÜøąïï
4. üĉíĊÖćøóĉÿĎÝîŤêĆüêî
5. ÖćøÙüïÙčöÖćøđ×šćëċÜ
6. üĉíĊÖćøöĂïÿĉìíĉ (Authorization)
7. ÖćøĒïŠÜĒ÷ÖĀîšćìĊęĔîÖøąïüîÖćøìĊęÿĞćÙĆâ đßŠî ñĎšìĊęÿćöćøëÖĞćĀîéÙŠć×ĂÜøąïï
(Configuration) êšĂÜĕöŠÿćöćøëÿøšćÜøć÷ÖćøíčøÖøøö×ĂÜñĎšĔßšÜćîĕéš đðŨîêšî
8. üĉíĊÖćøêøüÝÿĂï×šĂöĎúîĞćđ×šć Öćøðøąöüúñú Ēúą×šĂöĎúîĞćĂĂÖ
9. ÖćøøĂÜøĆïĒúąÙüćöÿćöćøëÿĎÜÿčéĔîÖćøìĞćÜćî×ĂÜøąïïìĊęðøąöćèÖćø
10. ÙüćööĆęîÙÜðúĂéõĆ÷ĔîÖćøÿŠÜñŠćî×šĂöĎú

11. ÙüćöÝĞćđðŨî×ĂÜÖćøĔßšđÙøČęĂÜöČĂÖćøđ×šćøĀĆÿ (Cryptographic Tools) đóČęĂÖćø
øĆÖþćÙüćöúĆï (Confidentiality) ÙüćöëĎÖêšĂÜÙøïëšüî (Integrity) ×ĂÜ×šĂöĎú
ĀøČĂ ÖćøðŜĂÜÖĆîÖćøðäĉđÿíÙüćöøĆïñĉé (Non-Repudiation)
12. ×šĂÖĞćĀîéìćÜéšćîÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìýĔîøąéĆï ĒĂóóúĉđÙßĆ î
(Application) øąéĆïēÙøÜÿøšćÜ øąéĆïøąïïðäĉïĆêĉÖćø ĒúąøąéĆïåćî×šĂöĎú
13. üĉíĊÖćøêøüÝÿĂïĒúąÖćøÙüïÙčö
14. ÖćøÿĞćøĂÜĒúąÖćøÖĎšÙČîøąïï
15. ÖćøÙčšöÙøĂÜ×šĂöĎúÿŠüîïčÙÙú (ĂšćÜĂĉÜ 11.1.4 ÖćøÙčšöÙøĂÜ×šĂöĎúÿŠüîïčÙÙú (Data
Protection and Privacy of Personal Information))
4) ĀĆüĀîšćÜćîÿćøÿîđìýêšĂÜÙüïÙčöéĎĒúÖćøóĆçîćøąïïĔĀšöĊÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý
êćöÙčèÿöïĆêĉ (Specification) ìćÜéšćîÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý
5) ĀĆüĀîšćÜćîÿćøÿîđìýêšĂÜÝĆéĔĀšöĊÖćøìéÿĂïÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý×ĂÜĂčðÖøèŤ
ðøąöüúÿćøÿîđìýĀúĆÖ đßŠî ÖćøÙšîĀćßŠĂÜēĀüŠ×ĂÜøąïïðäĉïĆêĉÖćø Router, Firewall Ēúą
åćî×šĂöĎú đðŨîêšî ÖŠĂîîĞćøąïïĂĂÖĔßšÜćîÝøĉÜ ĔîÖøèĊìĊęøąïïÿćøÿîđìýìĊęöĊÙüćöđÿĊę÷ÜÿĎÜÙüø
óĉÝćøèćÝĆéĔĀšöĊÖćøìéÿĂïÖćøđÝćąøąïï (Penetration Test)
6) ĔîÖøèĊ ìĊę öĊ Ö ćøÝĆ é àČĚ Ă øąïïÿćøÿîđìý ĒúąøąïïÿćøÿîđìýéĆ Ü ÖúŠ ć üöĊ Ù üćöÿćöćøë
(Functionality) éš ć îÙüćööĆę î ÙÜðúĂéõĆ ÷ éš ć îÿćøÿîđìýìĊę đ ÿîĂĕöŠ ê øÜÖĆ ï Ùč è ÿöïĆ êĉ
(Specification) éš ćîÙüćööĆęîÙÜðúĂéõĆ÷ Ēúšü êš ĂÜöĊÖćøóĉ ÝćøèćÙüćöđÿĊę÷ÜĒúąÖćøÙüïÙč ö
ìéĒìî (Compensating Control) ĔîøąĀüŠćÜÖćøÝĆéàČĚĂÝĆéĀć
7) ĔîÖøèĊ ìĊę ø ąïïÿćøÿîđìýìĊę ÝĆ é àČĚ Ă öĊ Ö ćøđóĉę ö ×Ċ é Ùüćöÿćöćøë (Functionality) ĂČę î ėìĊę Ă ćÝöĊ
ÙüćöđÿĊę ÷ ÜêŠ Ă ÙüćööĆę î ÙÜðúĂéõĆ ÷ éš ć îÿćøÿîđìý ÙüøöĊ Ö ćøÿĂïìćîüŠ ć Ùüćöÿćöćøë
(Functionality) éĆÜÖúŠćüđðŨîðøąē÷ßîŤĒÖŠ Öôñ. ĀøČĂĕöŠ đóČęĂóĉÝćøèćÖćøøąÜĆï (Disabled) Öćø
ĔßšÜćîÙüćöÿćöćøë (Functionality) éĆÜÖúŠćü
8.2 ÖćøðøąöüúñúÿćøÿîđìýĔîĒĂóóúĉđÙßĆî (Correct Processing in Applications)
ĔĀšöĊÖćøêøüÝÿĂï×šĂöĎúîĞćđ×šć ÖćøêøüÝÿĂï×šĂöĎúìĊęĂ÷ĎŠĔîøąĀüŠćÜÖćøðøąöüúñú ÖćøêøüÝÿĂïÙüćö
ëĎÖêšĂÜ×ĂÜ×šĂÙüćö ĒúąÖćøêøüÝÿĂï×šĂöĎúîĞćĂĂÖ
öćêøåćî
8.2.1 ÖćøêøüÝÿĂï×šĂöĎúîĞćđ×šć (Input Data Validation)
1) ñĎš đ ðŨ î đÝš ć ×ĂÜÿćøÿîđìýĒúąĀĆ ü Āîš ć Üćîÿćøÿîđìýêš Ă ÜÙüïÙč ö ĔĀš ø ąïïìĊę óĆ ç îćöĊ
ÖćøêøüÝÿĂïÖćøîĞćđ×šć×šĂöĎú ēé÷óĉÝćøèćêćöøąéĆïÙüćööĆęîÙÜðúĂéõĆ÷×ĂÜÿćøÿîđìý (ĂšćÜĂĉÜ
ST-03: öćêøåćîÖćøïøĉĀćøÝĆéÖćøìøĆó÷Ťÿĉîéšćîÿćøÿîđìý (Standard of Asset
Management)) àċęÜêšĂÜóĉÝćøèćĔîđøČęĂÜêŠĂĕðîĊĚ
ÖćøêøüÝÿĂïÖćøîĞćđ×šć×šĂöĎú (Input Data Validation)
x Presence Check : ÖćøêøüÝÿĂïüŠć×šĂöĎúĀć÷ĕðĀøČĂĕöŠ
x Absence Check : ÖćøêøüÝÿĂïüŠćôŗúéŤ (Field) ĀøČĂđøÙĂøŤé (Record) ëĎÖđüšîüŠćÜ
êćöìĊęÖĞćĀîéĀøČĂĕöŠ
x Sequence Check : ÖćøêøüÝÿĂïÙüćöëĎÖêšĂÜ×ĂÜúĞćéĆï×šĂöĎú
x Range Check : ÖćøêøüÝÿĂï×šĂöĎúüŠćĂ÷ĎŠõć÷ĔîßŠüÜÙŠćìĊęÖĞćĀîéĀøČĂĕöŠ
x Limit Check : ÖćøêøüÝÿĂïÖćøÝĞćÖĆéøąéĆï×šĂöĎúìĊęÖĞćĀîé ēé÷đðøĊ÷ïđìĊ÷ïÖĆï
øąéĆïÿĎÜÿčéĒúąêęĞćÿčéìĊęÖĞćĀîé
x Reasonableness Check : ÖćøêøüÝÿĂïÙüćöÿöđĀêčÿöñú×ĂÜ×šĂöĎú đóČęĂÙšîĀć
×šĂöĎúìĊęöĊÙüćöñĉéðÖêĉ
x Consistency Check : ÖćøêøüÝÿĂïÙüćöÿĂéÙúšĂÜ×ĂÜ×šĂöĎúÿĂÜ×šĂöĎúĀøČĂ
öćÖÖüŠćîĆĚî
x Embedded-Blank Check : ÖćøêøüÝÿĂïüŠćöĊßŠĂÜüŠćÜĂ÷ĎŠõć÷ĔîôŗúéŤ (Field)
ĀøČĂĕöŠ
x Date Check : ÖćøêøüÝÿĂïÙüćöÿöđĀêčÿöñú (Validity) êćöüĆîìĊęðäĉìĉî
ÖćøĂĂÖĒïïôŗúéŤ (Field)
x ÖćøĂĂÖĒïïôŗúéŤ (Field) êšĂÜÿĂéÙúšĂÜÖĆïüĆêëčðøąÿÜÙŤÖćøĔßšÜćî đßŠî êĆüđú×
(Numeric Field) üĆîìĊę (Date Field) ĒúąÿÖčúđÜĉî (Currency Field) đðŨîêšî
x ÖćøÝĞćÖĆéÝĞćîüî×ĂÜêĆüĂĆÖþøĀøČĂêĆüđú×
x ÖćøÝĞćÖĆéÖćøĔÿŠêĆüĂĆÖ×øąóĉđýþ ĀøČĂÿĆâúĆÖþèŤ đßŠî “ , ‘ , *, =, < , > , % , $ , + ,
? đðŨîêšî
2) ĀĆüĀîšćÜćîÿćøÿîđìýêšĂÜÖĞćĀîéÖøąïüîÖćøĒÖšĕ××šĂñĉéóúćéìĊęóï×ĂÜÖćøîĞćđ×šć×šĂöĎú
3) ĀĆüĀîšćÜćîÿćøÿîđìýêšĂÜÖĞćĀîéÖćøïĆîìċÖđĀêčÖćøèŤ (Log) ×ĂÜÖĉÝÖøøöìĊęđÖĊę÷ü×šĂÜÖĆï
ÖøąïüîÖćøîĞćđ×šć×šĂöĎú óøšĂöìĆĚÜêšĂÜÖĞćĀîéĔĀšöĊÖćøÿĂïìćîïĆîìċÖđĀêčÖćøèŤ (Log) Ă÷ŠćÜ
ÿöęĞćđÿöĂ đóČęĂðŜĂÜÖĆîÖćøîĞćđ×šć×šĂöĎúìĊęñĉéóúćéĒúąðŜĂÜÖĆîÖćøîĞćđ×šć×šĂöĎúìĊęĕöŠðøąÿÜÙŤéĊ đßŠî
Buffer Overflow ĀøČĂ Code Injection đðŨîêšî

8.2.2 ÖćøêøüÝÿĂï×šĂöĎúìĊęĂ÷ĎŠĔîøąĀüŠćÜÖćøðøąöüúñú (Control of Internal Processing)
1) ĀĆüĀîšćÜćîÿćøÿîđìýêšĂÜÝĆéĔĀšöĊÖćøêøüÝÿĂï×šĂöĎúìĊęĂ÷ĎŠĔîøąĀüŠćÜÖćøðøąöüúñú đóČęĂÝĆéÖćø
ÙüćöđÿĊę÷ÜìĊęĂćÝìĞćĔĀšÖćøðøąöüúñúúšöđĀúü ĒúąÿŠÜñúêŠĂÙüćöÙøïëšüî×ĂÜÿćøÿîđìý ēé÷
óĉÝćøèćêćöøąéĆïÙüćööĆęîÙÜðúĂéõĆ÷×ĂÜÿćøÿîđìý (ĂšćÜĂĉÜ ST-03: öćêøåćîÖćøïøĉĀćø
ÝĆéÖćøìøĆó÷Ťÿĉîéšćîÿćøÿîđìý (Standard of Asset Management)) àċęÜêšĂÜóĉÝćøèćĔîđøČęĂÜ
êŠĂĕðîĊĚ
1. Öćøđóĉęö ĒÖšĕ× ĒúąêĆéÙüćöÿćöćøë (Functionality) đóČęĂĔßšĔîÖćøđðúĊę÷îĒðúÜ
×šĂöĎú
2. ÖøąïüîÖćøĔîÖćøðŜĂÜÖĆîÖćøðøąöüúñú×ĂÜēðøĒÖøöìĊęĕöŠđðŨîĕðêćöúĞćéĆï ĀøČĂ
ÖćøðøąöüúñúìĊęñĉéóúćé×ĂÜēðøĒÖøöÖŠĂîĀîšć
3. ÖćøĔßšēðøĒÖøöìĊęđĀöćąÿöĔîÖćøÖĎšÙČîøąïï đóČęĂĔĀšöĆęîĔÝüŠćÖćøðøąöüúñú×šĂöĎúöĊ
ÙüćöëĎÖêšĂÜ
4. ÖćøðŜĂÜÖĆîÝćÖÖćøēÝöêĊēé÷ÖćøĔßšüĉíĊ đßŠî Buffer Overflows đðŨîêšî
2) ĀĆüĀîšćÜćîÿćøÿîđìýêšĂÜÝĆéĔĀšöĊÖćøìĞćïĆâßĊ (Checklist) đóČęĂĔßšĔîÖćøêøüÝÿĂïïĆîìċÖ
ÖćøìéÿĂïĒúąñúÖćøìéÿĂï óøšĂöìĆĚÜđĂÖÿćøéĆÜÖúŠćüêšĂÜëĎÖđÖĘïøĆÖþćĂ÷ŠćÜöĆęîÙÜðúĂéõĆ÷ ēé÷
ïĆâßĊéĆÜÖúŠćüêšĂÜÙøĂïÙúčöđøČęĂÜéĆÜêŠĂĕðîĊĚ
1. ÖćøÙüïÙčöĒïìßŤ (Batch) ĒúąđàÿàĆęî (Session) đóČęĂĔßšÖøąìï÷Ăé (Reconcile)
ĕôúŤ×šĂöĎúĀúĆÜÝćÖÖćøðøĆïðøčÜøć÷Öćø
2. ÖćøÙüïÙčö÷Ăé (Balancing Controls) đóČęĂêøüÝÿĂï÷Ăééčú÷Ööć (Opening
Balances) ÖĆï÷Ăééčú÷Öĕð (Closing Balances) đßŠî
x ÖćøÙüïÙčöÖøąïüîÖćøðäĉïĆêĉÜćîĔîĒêŠúąßŠüÜ×ĂÜÖćøðøąöüúñú (Run-
to-Run Controls)
x ÷Ăéøüö×ĂÜñúúĆóíŤêŠćÜė ìĊęöĊÖćøðøĆïðøčÜ
x ÖćøÙüïÙčöÖøąïüîÖćøðäĉïĆêĉÜćîĔîĒêŠúąßŠüÜ×ĂÜēðøĒÖøö (Program-
to-Program Controls)
3. ÖćøêøüÝÿĂïÙüćöëĎÖêšĂÜ×ĂÜ×šĂöĎúîĞćđ×šćìĊęøąïïÿøšćÜ×ċĚî
4. ÖćøêøüÝÿĂïÙŠć Ēăß (Hash) ×ĂÜñúøüö×ĂÜ đøÙĂøŤé (Record) ĒúąĕôúŤ (File)
5. ÖćøêøüÝÿĂïēðøĒÖøöøąïïÜćîüŠćìĞćÜćîëĎÖêšĂÜêćöđüúćêćöđüúćìĊęÖĞćĀîé
6. ÖćøêøüÝÿĂïüŠćēðøĒÖøöìĞćÜćîêćöúĞćéĆïìĊęëĎÖêšĂÜĒúąĀ÷čéÖćøìĞćÜćîĔîÖøèĊìĊę
đÖĉé×šĂñĉéóúćé ĒúąóĆÖÖćøìĞćÜćîÝîÖüŠćÖćøĒÖšĕ×ðŦâĀćđÿøĘÝÿĉĚî
7. ÖćøïĆîìċÖđĀêčÖćøèŤ (Log) ×ĂÜÖĉÝÖøøöìĊęđÖĊę÷ü×šĂÜÖĆïÖćøðøąöüúñú
8.2.3 ÖćøêøüÝÿĂïÙüćöëĎÖêšĂÜ×ĂÜ×šĂÙüćö (Message Integrity)
1) ĀĆüĀîšćÜćîÿćøÿîđìýêšĂÜÙüïÙčöÖćøóĆçîćøąïïÿćøÿîđìýĔĀšöĊÖćø÷Čî÷ĆîĒúąóĉÿĎÝîŤêĆüêî×ĂÜ
ĒĀúŠÜìĊęöć×ĂÜ×šĂÙüćö (Message Authenticity) ĒúąóĉÿĎÝîŤÙüćöëĎÖêšĂÜ×ĂÜ×šĂÙüćö ēé÷ĂćÝ
óĉÝćøèćĔßšđìÙîĉÙêŠćÜė êćöêĆüĂ÷ŠćÜéĆÜêŠĂĕðîĊĚ
2)
Ùüćö÷ćü×ĆîĚ êęĞć×ĂÜÖčâĒÝ
ĂĆúÖĂøĉìċö
đ×šćøĀĆÿ ÖćøĔßšÜćî (Usage)
(Algorithm)
(Minimum Key Length )
Hashing (Message digests)
MD5 ĕöŠÿćöćøëøąïčĕéš ĒĂóóúĉđÙßĆęîìĊęöĊÙüćöÿĞćÙĆâ
SHA-1 ĕöŠÿćöćøëøąïčĕéš ĒĂóóúĉđÙßĆęîìĊęöĊÙüćöÿĞćÙĆâÿĎÜ
Keyed Hashing (Authenticating message digests)
HMAC-MD5 128 bits ĒĂóóúĉđÙßĆęîìĊęöĊÙüćöÿĞćÙĆâ
HMAC-SHA-1 160 bits ĒĂóóúĉđÙßĆęîìĊęöĊÙüćöÿĞćÙĆâÿĎÜ
8.2.4 ÖćøêøüÝÿĂï×šĂöĎúîĞćĂĂÖ (Output Data Validation)

1) ĀĆüĀîšćÜćîÿćøÿîđìýêšĂÜÝĆéĔĀšöĊÖćøêøüÝÿĂï×šĂöĎúîĞćĂĂÖ ēé÷óĉÝćøèćêćöøąéĆïÙüćööĆęîÙÜ
ðúĂéõĆ÷×ĂÜÿćøÿîđìý (ĂšćÜĂĉÜ ST-03: öćêøåćîÖćøïøĉĀćøÝĆéÖćøìøĆó÷Ťÿĉîéšćîÿćøÿîđìý
(Standard of Asset Management)) àċęÜêšĂÜóĉÝćøèćĔîđøČęĂÜéĆÜêŠĂĕðîĊĚ
1. ÖćøêøüÝÿĂï×šĂöĎúîĞćĂĂÖÖĆïÙŠćìĊęÙćéÖćøĕüš (Plausibility Checks)
2. ÖćøÖøąìï÷Ăé (Reconcile) đóČęĂĔĀšöĆęîĔÝüŠć×šĂöĎúìĆĚÜĀöéĕéšøĆïÖćøðøąöüúñú
3. ÖøąïüîÖćøĔîÖćøêĂïÿîĂÜĔîÖøèĊìĊęñúÖćøìéÿĂï×šĂöĎúîĞćĂĂÖĕöŠđðŨîĕðêćöìĊę
Ùćéĕüš
4. ÖćøïĆîìċÖđĀêčÖćøèŤ (Log) ×ĂÜÖĉÝÖøøöìĊęđÖĊę÷ü×šĂÜÖĆïÖćøêøüÝÿĂï×šĂöĎúîĞćĂĂÖ
8.3 öćêøÖćøÖćøđ×šćøĀĆÿ×šĂöĎú (Cryptographic Controls)
ĔĀšöĊÖćøÙüïÙčöÖćøĔßšÜćîÖćøđ×šćøĀĆÿ×šĂöĎú ĒúąÖćøïøĉĀćøÝĆéÖćøÖčâĒÝđ×šćøĀĆÿ×šĂöĎú
öćêøåćî
8.3.1 îē÷ïć÷ÖćøĔßšÜćîÖćøđ×šćøĀĆÿ×šĂöĎú (Policy on The Use of Cryptographic Controls)

1) ĀĆüĀîšćÜćîÿćøÿîđìýêšĂÜÝĆéĔĀšöĊÖćøđ×šćøĀĆÿÿćøÿîđìý ēé÷óĉÝćøèćêćöøąéĆïÙüćöúĆï×ĂÜ
ÿćøÿîđìý (ĂšćÜĂĉÜ ST-03: öćêøåćîÖćøïøĉĀćøÝĆéÖćøìøĆó÷Ťÿĉîéšćîÿćøÿîđìý (Standard of
Asset Management)) ìĆĚÜîĊĚêšĂÜóĉÝćøèćđúČĂÖĔßšđìÙîĉÙêŠćÜė ìĊęöĊøąéĆïÙüćööĆęîÙÜðúĂéõĆ÷ĕðêęĞć
ÖüŠćđìÙîĉÙéĆÜêŠĂĕðîĊĚ
Ùüćö÷ćü×ĆîĚ êęĞć×ĂÜÖčâĒÝ
ðøąđõì×ĂÜÖčâĒÝÿĞćĀøĆïĒðúøĀĆÿ ĂĆúÖĂøĉìċö
đ×šćøĀĆÿ (Minimum Key
(Key Cipher) (Algorithm)
Length )
Öč â ĒÝĒïïÿööćêø (Symmetric AES 256 bits
Key) Triple DES 168 bits
Triple DES 112 bits
DES* 56 bits
Öč â ĒÝĒïïĂÿööćêø (Asymmetric DSA 1024 bits
Key) RSA 1024 bits
ECDSA 192 bits
Āöć÷đĀêč: DES ĂîčâćêĔßšĕéšÿĞćĀøĆï Legacy System đìŠćîĆĚî
2) ĀĆüĀîšćÜćîÿćøÿîđìýêšĂÜóĉÝćøèćđøČęĂÜéĆÜêŠĂĕðîĊĚĔîÖćøđúČĂÖĔßšñúĉêõĆèæŤÖćøđ×šćøĀĆÿ
1. éšćîÙüćööĆęîÙÜðúĂéõĆ÷
x øąéĆïÙüćööĆęîÙÜðúĂéõĆ÷ìĊęêšĂÜÖćø
x ôŦ Ü ÖŤ ßĆ î Öćøđ×š ć øĀĆ ÿ ìĊę ÝĞ ć đðŨ î đßŠ î Öćøđ×š ć øĀĆ ÿ đóČę Ă ðŜ Ă ÜÖĆ î ÙüćöëĎ Ö êš Ă Ü
Ùøïëšüî ÖćøøąïčêĆüêîĕéš (Authentication) Ēúą ÖćøðŜĂÜÖĆîÖćøðäĉđÿí
ÙüćöøĆïñĉé (Non-Repudiation) đðŨîêšî
x ēĂÖćÿĔîÖćøïčÖøčÖ đßŠî ßŠüÜđüúćìĊęđðŨîĕðĕéš ìøĆó÷ćÖøìćÜéšćîÖćøđÜĉî
ĀøČĂìĆÖþąìćÜéšćîđìÙîĉÙ đðŨîêšî
2. éšćîđìÙîĉÙ
x ÿõćóĒüéúš Ă ö×ĂÜøąïïÿćøÿîđìýđßŠ î ēÙøÜÿøš ć ÜóČĚ î åćî×ĂÜøąïï
ēÙøÜÿøšćÜĂÜÙŤÖø ñĎšðäĉïĆêĉÜćî ÿĉęÜĂĞćîü÷ÙüćöÿąéüÖìćÜđìÙîĉÙĂČęîė đðŨî
êšî
x ÖćøðŜĂÜÖĆîìćÜÿõćóĒüéúšĂö
x ×îćé×ĂÜ×šĂöĎú
x ðøąÿĉìíĉõćóÖćøìĞćÜćî
x ÙüćöÿĂéÙúšĂÜÖĆïöćêøåćîìĊęöĊĂ÷ĎŠ
x ÙüćöîŠćđßČęĂëČĂ ĒúąÖćøøĆïøĂÜñúĉêõĆèæŤ
x ÙüćöÿćöćøëĔîÖćøêĉéêŠĂÖĆïñúĉêõĆèæŤĂČęî
x ÙüćöóøšĂöĔßšÜćî
x öćêøåćîÖćøđ×šćøĀĆÿìĊęøĂÜøĆï
3. éšćîñĎšðäĉïĆêĉÜćîĒúąĂÜÙŤÖø
x ÙüćöÙčšîđÙ÷×ĂÜñĎšĔßšÜćî
x ÙüćöÿöđĀêčÿöñúĔîÖćøĔßš đßŠî đðŨîõćøąĀøČĂđóĉęöõćøąĒÖŠñĎšĔßš đðŨîêšî
x ÙüćöêšĂÜÖćøéšćîÖćøòřÖĂïøö
x ÙüćöêšĂÜÖćøéšćîïčÙúćÖø đßŠî êšĂÜđóĉęöïčÙúćÖø
4. éšćîÖćøđÜĉî
x ÙŠćĔßšÝŠć÷ĔîÖćøúÜìčîìĊęđÖĉé×ċĚîđóĊ÷ÜÙøĆĚÜđéĊ÷ü
x ÙŠćĔßšÝŠć÷ĔîÖćøĔßšÜćî øüöëċÜÙŠćĔßšÝŠć÷ìćÜéšćîïčÙúćÖø
x ÙŠćíøøöđîĊ÷öđÖĊę÷üÖĆïúĉ×ÿĉìíĉĝ
x ðøąöćèÖćøÙŠćĔßšÝŠć÷ĔîÖćøéĎĒúĒúąÖćøïĞćøčÜøĆÖþćøąïï
3) êšĂÜöĊÖćøðøąđöĉîÙüćöđÿĊę÷ÜđóČęĂÖĞćĀîéøąéĆïĔîÖćøðŜĂÜÖĆî ēé÷øąéĆïĔîÖćøðÖðŜĂÜÿćøÿîđìý
êšĂÜđĀöćąÿöÖĆïðøąđõìĒúąÙčèõćó×ĂÜ ĂĆúÖĂøĉìċö (Algorithm) ĒúąÙüćö÷ćü×ĆĚîêęĞć×ĂÜ
ÖčâĒÝđ×šćøĀĆÿ
4) ÙüøĀúĊÖđúĊę÷ÜÖćøĔßš ĂĆúÖĂøĉìċö (Algorithm) ìĊęđðŨîĒïïìĊęĔßšđÞóćąêćöñĎšñúĉê (Proprietor) Ĕî
ÖøèĊìĊęöĊÙüćöÝĞćđðŨîêšĂÜĔßšÜćîêšĂÜĕéšøĆïÖćøĂîčöĆêĉÝćÖĀĆüĀîšćÜćîÿćøÿîđìýÖŠĂî ìĆĚÜîĊĚĀĆüĀîšć
Üćîÿćøÿîđìýêš Ă Üðøąđöĉ î ÙüćöđÿĊę ÷ ÜÝćÖÖćøĔßš ē é÷óĉ Ý ćøèćëċ Ü üĆ ê ëč ð øąÿÜÙŤ Ĕ îÖćøĔßš
ÙüćöîŠćđßČęĂëČĂ×ĂÜñĎšñúĉê ĒúąÖćøĔïøĆïøĂÜìćÜéšćîĂČęîė
5) ĀĆüĀîšćÜćîÿćøÿîđìýêš ĂÜðøąÿćîÜćîÖĆïòś ć÷üćÜĒñîđìÙēîēú÷Ċÿćøÿîđìý đóČęĂêøüÝÿĂï
đÜČęĂîĕ×ìćÜÖãĀöć÷ìĊęđÖĊę÷ü×šĂÜÖĆïÖćøĔßšñúĉêõĆèæŤÖćøđ×šćøĀĆÿ ÖŠĂîìĊęÝąîĞćÖćøđ×šćøĀĆÿéĆÜÖúŠćüĕð
ĔßšÜćî
6) ĀĆüĀîšćÜćîÿćøÿîđìýêšĂÜÝĆéìĞćïĆâßĊÖćøĔßšÜćîÖćøđ×šćøĀĆÿ đóČęĂìĊęĔßšĔîÖćøêĉéêćöÖćøĔßšÜćî
Öćøđ×šćøĀĆÿĔîøąïïÿćøÿîđìý×ĂÜ Öôñ.
7) ĀĆüĀîšćÜćîÿćøÿîđìýêšĂÜÿĂïìćîñúĉêõĆèæŤÖćøđ×šćøĀĆÿĔîïĆâßĊÖćøĔßšÖćøđ×šćøĀĆÿ đßŠî đóČęĂ
ÿĂïìćîøąéĆïÙüćööĆęîÙÜðúĂéõĆ÷×ĂÜĂĆúÖĂøĉìċö (Algorithm) ĒúąÙüćö÷ćü×ĆĚîêęĞć×ĂÜÖčâĒÝ
đ×šćøĀĆÿ (Key Length) ìĊęĔßšÜćî đðŨîêšî đóČęĂ÷ĆÜÙÜĕüšàċęÜøąéĆïĔîÖćøðŜĂÜÖĆîìĊęêšĂÜÖćø

8) ĀĆüĀîšćÜćîÿćøÿîđìýêšĂÜĒîąîĞćñĎšĔßšÜćîĔîÖćøĔßšđÙøČęĂÜöČĂĔîÖćøđ×šćøĀĆÿ đóČęĂĔĀšöĆęîĔÝüŠćñĎšĔßšÜćî
öĊÙüćöđ×šćĔÝÖŠĂîìĊęÝąĔßšÜćîÝøĉÜ ĒúąêšĂÜĒîąîĞćñĎšĔßšÜćîĔîÖćøđÖĘïøĆÖþćÖčâĒÝ Öćøđ×šćøĀĆÿ
×ĂÜñĎšĔßšÜćî ēé÷đÞóćąĂ÷ŠćÜ÷ĉęÜÖćøđÖĘïøĆÖþćÖčâĒÝÿŠüîêĆü (Private Key)
8.3.2 ÖćøïøĉĀćøÝĆéÖćøÖčâĒÝđ×šćøĀĆÿ×šĂöĎú (Key Management)

1) ÖčâĒÝĔîÖćøđ×šćøĀĆÿÝąêšĂÜëĎÖÿøšćÜēé÷ĀĆüĀîšćÜćîÿćøÿîđìý ēé÷ĂčðÖøèŤìĊęÖćøÿøšćÜÖčâĒÝêšĂÜöĊ
ÖćøÙüïÙčöìćÜÖć÷õćó (Physical) đóČęĂðŜĂÜÖĆîÖćøđ×šćëċÜēé÷ĕöŠĕéšøĆïĂîčâćê
2) ĀĆ ü Āîš ć Üćîÿćøÿîđìýêš Ă ÜÖĞ ć ĀîéĔĀš öĊ Ö øąïüîÖćøÙüïÙč ö ÖćøÿŠ Ü öĂïÖč â ĒÝđ×š ć øĀĆ ÿ Ă÷Š ć Ü
ðúĂéõĆ÷ đßŠî ÖčâĒÝÿŠüîïčÙÙú (Private Keys) ĀøČĂ ÖčâĒÝúĆï (Secret Keys) ĔîÖćøđ×šćøĀĆÿ
Ēïïÿööćêø (Symmetric Encryption) đðŨîêšî ēé÷ÿŠÜöĂïĔĀšëċÜöČĂđÝšć×ĂÜÖčâĒÝđìŠćîĆĚî ĀøČĂ
đÝšć×ĂÜÖčâĒÝÝąÿøšćÜÖčâĒÝÿŠüîïčÙÙú (Private Keys) ēé÷êøÜÝćÖàĂôêŤĒüøŤ (Software) ìĊę
đßČęĂëČĂĕéšàċęÜñŠćîÖćøĂîčöĆêĉÖćøĔßšÜćîÝćÖĀĆüĀîšćÜćîÿćøÿîđìý đðŨîêšî
3) ñĎšĔßšÜćîìĊęđÖĊę÷ü×šĂÜÖĆïøąïïÖćøđ×šćøĀĆÿ (Cryptographic) êšĂÜĕöŠÿŠÜÖčâĒÝÿŠüîïčÙÙú (Private
Keys) ĕð÷ĆÜñĎšĂČęî Ă÷ŠćÜĕøÖĘêćö ÖčâĒÝÿćíćøèą (Public Keys) ÿćöćøëÿŠÜĕð÷ĆÜñĎšĂČęîĀøČĂ
ĀîŠü÷Üćîõć÷îĂÖĕéš
4) ñĎšĔßšÜćîêšĂÜ÷Čî÷ĆîÙüćööĊêĆüêî×ĂÜđÝšć×ĂÜÖčâĒÝÿćíćøèą (Public Keys) ēé÷ĒïïÖćø÷Čî÷Ćî
ēé÷êøÜÝćÖñĎšÿŠÜ ĀøČĂ Öćø÷Čî÷ĆîĔîøĎðĒïï×ĂÜĔïøĆïøĂÜÖčâĒÝÝćÖ Certification Authority (CA)
ìĊęđßČęĂëČĂĕéš
5) ñĎšĔßšÜćîêšĂÜìéÿĂïÙüćöëĎÖêšĂÜ×ĂÜÖčâĒÝìĊęøĆïñĉéßĂïÖŠĂîìĊęÝąĔßšÜćîÝøĉÜ đßŠî ìéÿĂïÖćøÿŠÜ
×šĂÙüćöìĊęöĊÖćøđ×šćøĀĆÿ ĀøČĂìéÿĂïÖćøđ×šćøĀĆÿĒúąÖćøëĂéøĀĆÿĕôúŤ đðŨîêšî
6) ĀĆüĀîšćÜćîÿćøÿîđìýêšĂÜđøĊ÷ÖÙČîĀøČĂìĞćúć÷ÖčâĒÝÿŠüîïčÙÙú (Private Keys) ÖčâĒÝúĆï
(Secret Keys) ĔîÖøèĊêŠĂĕðîĊĚ
1. ñĎšĔßšÜćîóšîÿõćóÖćøđðŨîñĎšðäĉïĆêĉÜćî×ĂÜ Öôñ.
2. ñĎšĔßšÜćîĕöŠöĊÙüćöÝĞćđðŨîêšĂÜĔßšÖčâĒÝ
3. ÖčâĒÝëĎÖìĞćúć÷ĀøČĂúšćÿöĆ÷Ēúšü
4. ÖčâĒÝëĎÖúŠüÜøĎšēé÷ïčÙÙúĂČęî ĀøČĂÖčâĒÝÿĎâĀć÷
7) ĀĆüĀîšćÜćîÿćøÿîđìýêšĂÜÿøšćÜÖčâĒÝÿŠüîïčÙÙú (Private Keys) ĀøČĂÖčâĒÝúĆï (Secret Keys)
ĔĀöŠ ĔîÖøèĊêŠĂĕðîĊĚ
1. ÖčâĒÝëĎÖìĞćúć÷ĀøČĂúšćÿöĆ÷Ēúšü
2. ÖčâĒÝëĎÖúŠüÜøĎšēé÷ïčÙÙúĂČęî ĀøČĂÖčâĒÝÿĎâĀć÷
8) ĀĆüĀîšćÜćîÿćøÿîđìýêšĂÜÖĞćĀîéÖøąïüîÖćøĔîÖćøÖĎšÙČîÖčâĒÝ đóČęĂúéÙüćöđÿĊę÷ÜĔîÖćøÿĎâĀć÷
ĀøČĂđÿĊ÷Āć÷×ĂÜÖčâĒÝ
9) ĔîøąïïìĊęöĊÙüćöÿĞćÙĆâ ĀĆüĀîšćÜćîÿćøÿîđìýêšĂÜÝĆéđÖĘïÖčâĒÝÙĎŠ (Key Pair) ĔîÖćøđ×šćøĀĆÿĒïï
Ăÿööćêø (Asymmetric Encryption) ĀøČĂ ÖčâĒÝúĆï (Secret Keys) ĔîÖćøđ×šćøĀĆÿĒïï
ÿööćêø (Symmetric Encryption) éšü÷üĉíĊÖćøìĊęðúĂéõĆ÷ đßŠî đÖĘïĒ÷ÖĔîđÙøČęĂÜĂČęîĀøČĂĂčðÖøèŤ
ĂČęîìĊęöĊÖćøÙüïÙčöÖćøđ×šćëċÜìĊęĂ÷ŠćÜĒîŠîĀîć ĀøČĂđÖĘïĔîÿČęĂìĊęđÙúČęĂî÷šć÷ĕéšìĊęöĊÖćøúĘĂÙĂ÷ŠćÜ ĒîŠî
Āîć đðŨîêšî
10) ĀĆüĀîšćÜćîÿćøÿîđìýêšĂÜÖĞćĀîéĔĀšÖčâĒÝÿćíćøèą (Public Keys) ÝĆéđÖĘïĔîđÙøČĂ×Šć÷ÖúćÜ àċęÜ
đðŨîÿćöćøëđ×šćëċÜēé÷ñĎšìĊęĕéšøĆïĂîčâćêđìŠćîĆĚî
11) ñĎšĔßšÜćîêšĂÜđÖĘïÖčâĒÝÿŠüîïčÙÙú (Private Keys) ĔîÿëćîìĊęìĊęðúĂéõĆ÷ àċęÜÙüøÝąđÖĘïĔîĂčðÖøèŤìĊę
ÿćöćøëđÙúČęĂî÷šć÷ĕéš đßŠî Token ĀøČĂ Smart Card đðŨîêšî ēé÷ĀĆüĀîšćÜćîÿćøÿîđìýöĊĀîšćìĊę
ĔĀšÙĞćĒîąîĞćìĊęđĀöćąÿöĔîÖćøđÖĘïÖčâĒÝÿŠüîïčÙÙú (Private Keys) ĒÖŠñĎšĔßšÜćî
12) ñĎšéĎĒúÿćøÿîđìýĒúąñĎšéĎĒúøąïïÿćøÿîđìýêšĂÜđÖĘïÖčâĒÝĀúĆÖ (Master Keys) ÖčâĒÝ×ĂÜñĎšéĎĒú
øąïï (Administrators’ Keys) ĀøČĂÖčâĒÝÞčÖđÞĉî (Emergency Keys) ĔîÿČęĂìĊęĒ÷ÖÖĆîĒúąöĊ
ÖćøÙüïÙčöÖćøđ×šćëċÜìĊęđ×šöÜüé
13) ñĎšéĎĒúÿćøÿîđìýĒúąñĎšéĎĒúøąïïÿćøÿîđìýìĊęöĊĀîšćìĊęïøĉĀćøÝĆéÖćøÖčâĒÝđ×šćøĀĆÿ×šĂöĎú êšĂÜöĊÖćø
ĒïŠÜĒ÷ÖĀîšćìĊęéĆÜîĊĚ
1. ĔîÖćøđïĉÖĀøČĂĔßšÜćîÖčâĒÝĀúĆÖ (Master Keys) êšĂÜÖøąìĞćēé÷ïčÙÙúêĆĚÜĒêŠÿĂÜ
Ùî×ċĚîĕð
2. ïčÙÙúÙîđéĊ÷üÖĆî êšĂÜĕöŠÿćöćøëÿøšćÜĒúąđðŗéÖćøĔßšÜćî (Activate) ÖčâĒÝßčé
đéĊ÷üÖĆî
14) ĀĆ ü Āîš ć Üćîÿćøÿîđìýêš Ă ÜöĂïĀöć÷ĔĀš öĊ ñĎš øĆ ï ñĉ é ßĂï ĔîÖćøéĎ Ē úøąïïÖćøđ×š ć øĀĆ ÿ
(Cryptographic)
15) ĀîŠü÷ÜćîìĊęĕéšøĆïÖčâĒÝêšĂÜïøĉĀćøÝĆéÖćøÖčâĒÝìĊęĂ÷ĎŠõć÷ĔêšÙüćöøĆïñĉéßĂï êćöìĊęĕéšêÖúÜøŠüöÖĆî
ÖĆïĀĆüĀîšćÜćîÿćøÿîđìý ĔîÖøèĊìĊęóïüŠćÖčâĒÝëĎÖúŠüÜøĎšēé÷ïčÙÙúĂČęî ĀîŠü÷ÜćîìĊęøĆïñĉéßĂï
ÖčâĒÝêšĂÜĒÝšÜĀĆüĀîšćÜćîÿćøÿîđìýìĆîìĊ
16) ĀĆüĀîšćÜćîÿćøÿîđìýêšĂÜÖĞćĀîéĂć÷čÖćøĔßšÜćî×ĂÜÖčâĒÝ đóČęĂĔĀšÖčâĒÝîĆĚîëĎÖĔßšĔîßŠüÜđüúćìĊę
ÝĞćÖĆé êĆüĂ÷ŠćÜđßŠî
x ÖčâĒÝĀúĆÖ (Master Keys) ÙüøđðúĊę÷îĒðúÜìčÖė 1 ðŘ ĀøČĂđðŨîĕðêćöìĊęđÝšć×ĂÜ
ñúĉêõĆèæŤĒîąîĞć
x ÖčâĒÝìĊęĔßšđ×šćøĀĆÿÖčâĒÝ êĆüĂ÷ŠćÜđßŠî ÖćøĔßšÖčâĒÝÿŠüîïčÙÙú (Private Keys)
đ×šćøĀĆÿÖčâĒÝúĆï (Secret Keys) ÙüøđðúĊę÷îĒðúÜĂ÷ŠćÜîšĂ÷ìčÖė 6 đéČĂî ĀøČĂ
đðŨîĕðêćöìĊęđÝšć×ĂÜñúĉêõĆèæŤĒîąîĞć

1) PD-31 ×ĆĚîêĂîÖćøðäĉïĆêĉÜćîđøČęĂÜ Öćø×ĂĔßšÜćîÖčâĒÝđ×šćøĀĆÿ×šĂöĎú (Key Registration
Procedure)
8.4 ÖćøÿøšćÜÙüćööĆęîÙÜðúĂéõĆ÷ĔĀšÖĆïĕôúŤ×ĂÜøąïïìĊęĔĀšïøĉÖćø (Security of System

Files)
ĔĀšöĊÖćøÙüïÙčöÖćøêĉéêĆĚÜàĂôêŤĒüøŤ (Software) úÜĕð÷ĆÜøąïïÿćøÿîđìýìĊęĔĀšïøĉÖćø ÖćøðŜĂÜÖĆî×šĂöĎúìĊęĔßš
ÿĞćĀøĆïÖćøìéÿĂï ĒúąÖćøÙüïÙčöÖćøđ×šćëċÜ àĂøŤÿēÙšé (Source Code) ÿĞćĀøĆïøąïïÿćøÿîđìý
öćêøåćî
8.4.1 ÖćøÙüïÙčöÖćøêĉéêĆĚÜàĂôêŤĒüøŤúÜĕð÷ĆÜøąïïìĊęĔĀšïøĉÖćø (Control of Operational Software)
1) ÖćøðøĆïðøčÜĒÖšĕ×àĂôêŤĒüøŤðäĉïĆêĉÖćø (Operational Software) ēðøĒÖøöøąïïÜćî Ēúą
Program Libraries êšĂÜéĞćđîĉîÖćøēé÷ñĎšéĎĒúøąïïìĊęĕéšøĆïĂîčâćê
2) ÖćøðøĆïðøčÜĒÖšĕ×àĂôêŤĒüøŤðäĉïĆêĉÖćø (Operational Software) ēðøĒÖøöøąïïÜćî Ēúą
Program Libraries êšĂÜĕéšøĆïÖćøĂîčöĆêĉÝćÖñĎšđðŨîđÝšć×ĂÜÿćøÿîđìýĒúąĀĆüĀîšćÜćîÿćøÿîđìýìĊę
đÖĊę÷ü×šĂÜ
3) ĀĆüĀîšćÜćîÿćøÿîđìýêšĂÜïøĉĀćøÝĆéÖćøÖćøÖĞćĀîéÙŠć (Configuration Management) đóČęĂĔĀš
öĆęîĔÝüŠćÖćø÷šć÷ àĂøŤÿēÙšé (Source Code) ÝćÖøąïïÿĞćĀøĆïóĆçîćĕð÷ĆÜøąïïÿĞćĀøĆïìéÿĂï
ĒúąøąïïìĊęĔĀšïøĉÖćøÝøĉÜ öĊÖćøÙüïÙčöĒúąÖĞćĀîéÿĉìíĉĂ÷ŠćÜđĀöćąÿö
4) ñĎš éĎ Ē úøąïïÿćøÿîđìýêš Ă ÜðøąÿćîÜćîÖĆ ï ñĎš đ ðŨ î đÝš ć ×ĂÜÿćøÿîđìýĔîÖćøÿĂïìćîøąïï
ÿćøÿîđìý đóČęĂĔĀšöĆęîĔÝüŠćøąïïìĊęĔßšÜćîÝøĉÜöĊÖćøÝĆéđÖĘïđÞóćą Executable Codes đìŠćîĆĚî
5) ñĎšéĎĒúøąïïÿćøÿîđìýêšĂÜÝĆéđÖĘïïĆîìċÖđĀêčÖćøèŤđóČęĂĔßšĔîÖćøêøüÝÿĂï (Audit Log) đöČęĂöĊÖćø
đðúĊę÷îĒðúÜ Program Libraries đßŠî øć÷úąđĂĊ÷é×ĂÜÖćøđðúĊę÷îĒðúÜ ñĎšđðúĊę÷îĒðúÜ Ēúąđüúć
ìĊęđðúĊę÷îĒðúÜ đðŨîêšî
6) ñĎšéĎĒúøąïïÿćøÿîđìý êšĂÜìĞćÖćøÿĞćøĂÜĒúąÝĆéđÖĘïàĂôêŤĒüøŤ (Software) ÖŠĂîìĊęÝąöĊ
ÖćøđðúĊę÷îĒðúÜĒÖšĕ× đóČęĂĔĀšöĆęîĔÝüŠćøąïïÿćöćøëÖĎšÙČîĕéšĔîÖøèĊìĊęøąïïúŠöĀúĆÜÝćÖ Öćø
đðúĊę÷îĒðúÜĒÖšĕ×

7) ĔîÖøèĊìĊęñĎš×ć÷ĀøČĂñĎšđðŨîđÝšć×ĂÜñúĉêõĆèæŤöĊÙüćöÝĞćđðŨîêšĂÜĔĀšïøĉÖćøĀúĆÜÖćø×ć÷ĔîÖćøéĎĒúĒúą
ïĞćøčÜøĆÖþćàĂôêŤĒüøŤðäĉïĆêĉÖćø (Operational Software) ×ĂÜ Öôñ. ĀĆüĀîšćÜćîÿćøÿîđìýêšĂÜ
øĆïñĉéßĂïĔîÖćøéĎĒúĒúąÙüïÙčöÖćøđ×šćëċÜàĂôêŤĒüøŤðäĉïĆêĉÖćø (Operational Software) ìĆĚÜ
ìćÜÖć÷õćó (Physical) ĒúąìćÜêøøÖą (Logical) đóĊ÷ÜđìŠćìĊęÝĞćđðŨîêŠĂÖćøĔĀšïøĉÖćøĀúĆÜÖćø
×ć÷đìŠćîĆĚî óøšĂöìĆĚÜêšĂÜÝĆéđÖĘïïĆîìċÖđĀêčÖćøèŤ (Audit Log) đóČęĂĔßšĔîÖćøêøüÝÿĂï
8) ĔîÖøèĊìĊęñĎš×ć÷ĀøČĂñĎšđðŨîđÝšć×ĂÜñúĉêõĆèæŤöĊÙüćöÝĞćđðŨîêšĂÜĔĀšïøĉÖćøĀúĆÜÖćø×ć÷ĔîÖćøéĎĒúĒúą
ïĞ ć øč Ü øĆ Ö þćàĂôêŤ Ē üøŤ ð äĉ ïĆ êĉ Ö ćø (Operational Software) ÝćÖõć÷îĂÖ (Remote
Maintenance) ĀĆüĀîšćÜćîÿćøÿîđìýêšĂÜÖĞćĀîéĔĀšöĊÖćøÙüïÙčöéĆÜîĊĚ
x öĊÖćøøąïč×Ăïđ×ê üĆêëčðøąÿÜÙŤ ĒúąĒñîÜćîÖćøéĎĒúĒúąïĞćøčÜøĆÖþćøąïïÝćÖ
õć÷îĂÖ
x öĊ Ö ćøÝĞ ć ÖĆ é ÿĉ ì íĉ Ö ćøđ×š ć ëċ Ü đóĊ ÷ ÜđìŠ ć ìĊę ÝĞ ć đðŨ î êŠ Ă ÖćøĔĀš ï øĉ Ö ćøêćö×Ăïđ×ê Ēúą
üĆêëčðøąÿÜÙŤìĊęøąïč
x öĊÖćøëĂéëĂîÿĉìíĉĀøČĂđðúĊę÷îĒðúÜøĀĆÿñŠćîìĆîìĊ õć÷ĀúĆÜÖćøĔĀšïøĉÖćøĒúšüđÿøĘÝ
ĀøČĂõć÷ĀúĆÜìĊęÿĆââćÖćøĔĀšïøĉÖćøÿĉĚîÿčé
x öĊÝĆéđÖĘïïĆîìċÖđĀêčÖćøèŤđóČęĂĔßšĔîÖćøêøüÝÿĂï (Audit Log) ÖĉÝÖøøö×ĂÜñĎš×ć÷
9) ĀĆüĀîšćÜćîÿćøÿîđìýêšĂÜÝĆéĔĀšöĊĒñîÖćøëĂ÷ÖúĆï (Rollback Plan) ìĊęđĀöćąÿöÖŠĂîÝą
éĞćđîĉîÖćøÖćøđðúĊę÷îĒðúÜĒÖšĕ×
10) ÖŠĂîîĞćøąïïÿćøÿîđìýĕðĔßšÜćîÝøĉÜ ĀĆüĀîšćÜćîÿćøÿîđìýêšĂÜÝĆéĔĀšöĊÖćøìéÿĂïøąïïÜćîĒúą
ēðøĒÖøöøąïïðäĉïĆêĉÖćø ÖćøìéÿĂïÙüøøüöëċÜÖćøìéÿĂïÖćøĔßšÜćîÙüćööĆęîÙÜðúĂéõĆ÷ Öćø
ĔßšÜćîøŠüöÖĆïøąïïĂČęî (ëšćöĊ) ĒúąÙüćöÿąéüÖĔîÖćøĔßšÜćî ēé÷ÖćøìéÿĂïêšĂÜéĞćđîĉîÖćøïî
øąïïÿĞćĀøĆïÖćøìéÿĂï
8.4.2 ÖćøðŜĂÜÖĆî×šĂöĎúìĊęĔßšÿĞćĀøĆïÖćøìéÿĂï (Protection of System Test Data)

1) ñĎšđðŨîđÝšć×ĂÜÿćøÿîđìýĒúąĀĆüĀîšćÜćîÿćøÿîđìýêšĂÜÙüïÙčöĕöŠĔĀšöĊÖćøîĞć×šĂöĎúÝøĉÜ (Live
Data) ìĊęöĊÙüćöÿĞćÙĆâöćĔßšìéÿĂï ĔîÖøèĊÝĞćđðŨîêšĂÜĔßš×šĂöĎúÝøĉÜìĊęöĊÙüćöÿĞćÙĆâđóČęĂìéÿĂï ñĎš
đðŨîđÝšć×ĂÜÿćøÿîđìýêšĂÜðøĆïĀøČĂúï×šĂöĎúÿŠüîïčÙÙú ĀøČĂ×šĂöĎúÿĞćÙĆâÖŠĂîîĞćĕðĔßšìéÿĂï
2) ĀĆ üĀîš ćÜćîÿćøÿîđìýêšĂ ÜĒÝš Ü ÙüćöðøąÿÜÙŤÖĆ ïñĎšđ ðŨ î đÝšć×ĂÜÿćøÿîđìýìĊę đ ÖĊę÷ ü×š ĂÜ đóČę Ă×Ă
ĂîčâćêĔîÖćøìĞćÿĞćđîć×šĂöĎúÝćÖøąïïĔĀšïøĉÖćøÝøĉÜĕðĔßšìéÿĂï
3) ĀĆüĀîšćÜćîÿćøÿîđìýêšĂÜÙüïÙčöñĎšéĎĒúøąïïÿćøÿîđìý ĔĀšúï×šĂöĎúìĊęĔßšĔîÖćøìéÿĂïìĆîìĊ
õć÷ĀúĆÜÖćøìéÿĂïđÿøĘÝÿĉĚî
4) ĀĆüĀîšćÜćîÿćøÿîđìýêšĂÜÝĆéĔĀšöĊÖćøïĆîìċÖđĀêčÖćøèŤ×ĂÜÖćøÿĞćđîć×šĂöĎúÝćÖøąïïìĊęĔĀšïøĉÖćø
ÝøĉÜđóČęĂĔßšĔîÖćøìéÿĂï
5) ĀĆüĀîšćÜćîÿćøÿîđìý êšĂÜÖĞćĀîéĔĀšöĊÖćøÙüïÙčöÖćøđ×šćëċÜøąïïÿĞćĀøĆïÖćøìéÿĂïĔîøąéĆï
đéĊ÷üÖĆïøąïïĔßšïøĉÖćøÝøĉÜ
8.4.3 ÖćøÙüïÙčöÖćøđ×šćëċÜàĂøŤÿēÙšéÿĞćĀøĆïøąïï (Access Control to Program Source Code)

1) ĀĆüĀîšćÜćîÿćøÿîđìý êšĂÜÖĞćÖĆïéĎĒúĔĀšöĊÖćøÙüïÙčöìĊęđÙøŠÜÙøĆéĔîÖćøđ×šćëċÜ àĂøŤÿēÙšé (Source
Code) đóČęĂðŜĂÜÖĆîÖćøđ×šćëċÜÝćÖñĎšìĊęĕöŠĕéšøĆïĂîčâćêĒúąëĎÖđðúĊę÷îĒðúÜēé÷ĕöŠđÝêîć
2) ĀĆüĀîšćÜćîÿćøÿîđìý êšĂÜÖĞćĀîéĔĀšöĊñĎšéĎĒú àĂøŤÿēÙšé (Source Code) àċęÜöĊÿĉìíĉĔî
ÖćøðøĆïðøčÜđðúĊę÷îĒðúÜ Program Source Libraries ĕéš
3) ĔîÖøèĊìĊęöĊÙüćöÝĞćđðŨîĔîÖćøđ×šćëċÜ àĂøŤÿēÙšé (Source Code) ñĎšðäĉïĆêĉÜćîìĊęđÖĊę÷ü×šĂÜêšĂÜĒÝšÜ
ÙüćöðøąÿÜÙŤêŠĂĀĆüĀîšćÜćîÿćøÿîđìýđóČęĂĂîčöĆêĉĔĀšđ×šćëċÜ àĂøŤÿēÙšé (Source Code) êćö Ùüćö
ÝĞćđðŨî ìĆĚÜîĊĚÖćøìĞćÿĞćđîć×ĂÜ àĂøŤÿēÙšé (Source Code) ìĊęöĊÙüćöÿĞćÙĆâ êšĂÜÝĆéđÖĘïēé÷Ē÷ÖĂĂÖ
ÝćÖàĂøŤÿēÙšé (Source Code) êšîÞïĆï ĒúąÖĞćĀîéĔĀšöĊÖćøÙüïÙčöÖćøđ×šćëċÜ àĂøŤÿēÙšé (Source
Code) êšîÞïĆïĂ÷ŠćÜđÙøŠÜÙøĆéēé÷ñĎšéĎĒú àĂøŤÿēÙšé (Source Code) đßŠî ÿĉìíĉĔî ÖćøĂŠćîĂ÷ŠćÜ
đéĊ÷ü Ēúąÿćöćøëđ×šćëċÜĕéšēé÷ñĎšéĎĒú àĂøŤÿēÙšé (Source Code) đìŠćîĆĚî đðŨîêšî
4) ĀĆüĀîšćÜćîÿćøÿîđìý êšĂÜÙüïÙčöĔĀšöĊÖćøÝĆéđÖĘï Libraries ×ĂÜøąïïìĊęĔĀšïøĉÖćøÝøĉÜ Ēúą×ĂÜ
øąïïÿĞćĀøĆïóĆçîćĒ÷ÖĂĂÖÝćÖÖĆî
5) ĀĆüĀîšćÜćîÿćøÿîđìý êšĂÜÖĞćĀîéĔĀšñĎšéĎĒú àĂøŤÿēÙšé (Source Code) ÝĆéìĞć Archive àĂøŤÿēÙšé
(Source Code) ×ĂÜđüĂøŤßĆîÖŠĂîĀîšć ĒúąöĊÖćøÖĞćĀîéøą÷ąđüúćĔîÖćø Archive ìĊęßĆéđÝî
óøšĂöìĆĚÜìĞćÿĞćđîć Program Source Libraries êćö×ĆĚîêĂîðäĉïĆêĉÿĞćĀøĆïÙüïÙčöÖćø
đðúĊę÷îĒðúÜĀøČĂĒÖšĕ×øąïïÿćøÿîđìý
6) ĀĆüĀîšćÜćîÿćøÿîđìý êšĂÜÝĆéĔĀšöĊÖćøïĆîìċÖđĀêčÖćøèŤđóČęĂÖćøêøüÝÿĂï (Audit Log) ÖĉÝÖøøöìĊę
đÖĊę÷üÖĆï àĂøŤÿēÙšé (Source Code) đßŠî ÖćøđðúĊę÷îĒðúÜĒÖšĕ× ĒúąÖćøúï đðŨîêšî
1) PD- 10 ×ĆĚîêĂîÖćøðäĉïĆêĉÜćîđøČęĂÜ ÖćøïøĉĀćøÝĆéÖćøÖćøđðúĊę÷îĒðúÜÿćøÿîđìý (Change
2) PD- 32 ×ĆĚîêĂîÖćøðäĉïĆêĉÜćîđøČęĂÜ ÖćøïøĉĀćøÝĆéÖćøēðøĒÖøöàĂøŤÿēÙšé (Program Source Code

8.5 ÖćøÿøšćÜÙüćööĆęîÙÜðúĂéõĆ÷ÿĞćĀøĆïÖøąïüîÖćøĔîÖćøóĆçîćøąïïĒúąÖøąïüîÖćø
ÿîĆïÿîčî (Security in Development and Support Processes)
ĔĀšöĊÖćøÙüïÙčöÖćøđðúĊę÷îĒðúÜĀøČĂĒÖšĕ×øąïï ÖćøêøüÝÿĂïÖćøìĞćÜćî×ĂÜĒĂóóúĉđÙßĆî (Application)
õć÷ĀúĆÜÝćÖìĊęđðúĊę÷îĒðúÜøąïïðäĉïĆêĉÖćø ÖćøÝĞćÖĆéÖćøđðúĊę÷îĒðúÜĒÖšĕ×êŠĂàĂôêŤĒüøŤ (Software) ìĊęöć
ÝćÖñĎšñúĉê ÖćøðŜĂÜÖĆîÖćøøĆęüĕĀú×ĂÜÿćøÿîđìý ĒúąÖćøÙüïÙčöÖćøóĆçîćàĂôêŤĒüøŤ (Software) ēé÷
öćêøåćî
8.5.1 ×ĆĚîêĂîðäĉïĆêĉÿĞćĀøĆïÙüïÙčöÖćøđðúĊę÷îĒðúÜĀøČĂĒÖšĕ×øąïï (Change Control Procedures)
1) ñĎš đ ðŨ î đÝš ć ×ĂÜÿćøÿîđìý đðŨ îñĎš öĊ ĂĞ ć îćÝĔîÖćøĂîč öĆ êĉ Ö ćøđðúĊę ÷ îĒðúÜøąïïÿćøÿîđìýÖŠ Ă î
ÖćøéĞćđîĉîÖćøđðúĊę÷îĒðúÜĒúąĒÖšĕ× ēé÷ÖćøđðúĊę÷îĒðúÜĒúąĒÖšĕ×êšĂÜöĊÖćøïĆîìċÖøć÷úąđĂĊ÷é
ÖćøđðúĊę÷îĒðúÜĒúąĒÖšĕ×éĆÜêŠĂĕðîĊĚ
1. àĂôêŤĒüøŤ (Software) ÿćøÿîđìý åćî×šĂöĎú ĒúąăćøŤéĒüøŤ (Hardware) ìĊę
êšĂÜÖćøđðúĊę÷îĒðúÜĒúąĒÖšĕ×
2. đĀêčñú×ĂÜÖćøđðúĊę÷îĒðúÜĒúąĒÖšĕ×
3. ßČęĂñĎšêĉéêĆĚÜ (Implementer) ĒúąßČęĂñĎšĂîčöĆêĉ
4. üĆîĒúąđüúćìĊęÝąìĞćÖćøđðúĊę÷îĒðúÜ
5. øć÷úąđĂĊ÷é×ĂÜÖćøđðúĊę÷îĒðúÜ
2) ĀĆü Āîšć Üćîÿćøÿîđìý êš Ă ÜÖĞ ćĀîéĔĀš öĊÖ ćøðøąđöĉ î ÙüćöđÿĊę ÷Ü Öćøüĉ đ ÙøćąĀŤñ úÖøąìï×ĂÜ
ÖćøđðúĊę÷îĒðúÜĒúąĒÖšĕ× ĒúąÖĞćĀîéÙüćööĆęîÙÜðúĂéõĆ÷ìĊęÝĞćđðŨîÖŠĂîÖćøđðúĊę÷îĒðúÜĒúą
ĒÖšĕ×
3) ĀĆüĀîšćÜćîÿćøÿîđìý êšĂÜÖĞćĀîéĔĀšöĊÖćøðøĆïðøčÜđĂÖÿćøøąïïìĊęđðúĊę÷îĒðúÜĒúąĒÖšĕ× đßŠî
đĂÖÿćøÖćøĂĂÖĒïï ĀøČĂÙĎŠöČĂÖćøðäĉïĆêĉÜćî ĒúąÙĎŠöČĂÖćøĔßšÜćî×ĂÜñĎšĔßš đðŨîêšî
4) ĀĆ üĀîšćÜćîÿćøÿîđìý êšĂÜÙüïÙčöđóČę Ă ĔĀšöĆęî ĔÝüŠ ćđĂÖÿćøøąïïëĎ ÖÝĆéđÖĘïĔîìĊęðúĂéõĆ÷ êćö
ÙüćöđĀöćąÿö
5) ĀĆüĀîšćÜćîÿćøÿîđìý êšĂÜÙüïÙčöĔĀšñĎšðäĉïĆêĉÜćîìĊęđÖĊę÷ü×šĂÜéĞćđîĉîÖćøđðúĊę÷îĒðúÜĒúąĒÖšĕ× ēé÷
ĔĀšöĊñúÖøąìïîšĂ÷ìĊęÿčéêŠĂÖćøéĞćđîĉîíčøÖĉÝ×ĂÜ Öôñ. ìĆĚÜîĊĚêšĂÜĕöŠìĞćĔĀšÖøąïüîÖćøìćÜíčøÖĉÝ
Ā÷čéßąÜĆÖ

6) ĀĆüĀîšćÜćîÿćøÿîđìý êšĂÜÙüïÙčöĔĀšñĎšðäĉïĆêĉÜćîìĊęđÖĊę÷ü×šĂÜìĞćÖćøìéÿĂïÖćøđðúĊę÷îĒðúÜĒúą
ĒÖšĕ×ïîøąïïÿĞćĀøĆïÖćøìéÿĂï ēé÷îĞćÿĞćđîć×ĂÜ àĂøŤÿēÙšé (Source Code) úŠćÿčéìĊęĔßšĔî
øąïïìĊęĔĀšïøĉÖćøÝøĉÜöćÝĞćúĂÜïîøąïïÿĞćĀøĆïÖćøìéÿĂï ÖŠĂîìĞćÖćøđðúĊę÷îĒðúÜĒúąĒÖšĕ×ïî
øąïïìĊęĔĀšïøĉÖćøÝøĉÜ
7) ĔîÖøèĊìĊęöĊÙüćöÝĞćđðŨîêšĂÜìĞćÖćøđðúĊę÷îĒðúÜĒúąĒÖšĕ×øąïïÿćøÿîđìýìĊęöĊÙüćöÿĞćÙĆâ Ēúą
Öôñ. ĕöŠöĊøąïïÿĞćĀøĆïÖćøìéÿĂï ĀĆüĀîšćÜćîÿćøÿîđìý êšĂÜÝĆéĔĀšöĊÿõćóĒüéúšĂöÿĞćĀøĆïÖćø
ìéÿĂï
8) ĀĆüĀîšćÜćîÿćøÿîđìý êšĂÜÝĆéĔĀšöĊĒñîÖćøëĂ÷ÖúĆï (Rollback Plan) ìĊęđĀöćąÿöÖŠĂîÝą
éĞćđîĉîÖćøđðúĊę÷îĒðúÜĒÖšĕ× đóČęĂøĂÜøĆïÖćøìĞćÜćîĔîÖøèĊìĊęöĊ×šĂñĉéóúćéĔîÖćøđðúĊę÷îĒðúÜĒúą
ĒÖšĕ×
9) ĔîÖøèĊìĊęêšĂÜöĊÖćøđðúĊę÷îĒðúÜĒúąĒÖšĕ×ĒïïÞčÖđÞĉî ēé÷ñĎšðäĉïĆêĉÜćîêšĂÜđ×šćëċÜøąïïìĊęĔĀšïøĉÖćø
ÝøĉÜ đóČęĂéĞćđîĉîÖćøĒÖšĕ× ĀĆüĀîšćÿćøÿîđìý êšĂÜÖĞćĀîéïĆâßĊñĎšĔßšđÞóćąĔĀšÖĆïñĎšðäĉïĆêĉÜćîĒúąêšĂÜ
øąÜĆ ï ÖćøĔßš Ü ćîĀøČ Ă úïïĆ â ßĊ ñĎš Ĕ ßš đ ÞóćąéĆ Ü ÖúŠ ć üđöČę Ă éĞ ć đîĉ î ÖćøĒúš ü đÿøĘ Ý îĂÖÝćÖîĊĚ ĀĆ ü Āîš ć
ÿćøÿîđìý êšĂÜÿĂïìćîïĆîìċÖđĀêčÖćøèŤ×ĂÜøąïï (System Log) đóČęĂêøüÝÿĂïÖĉÝÖøøöìĊę
đÖĉé×ċĚîøąĀüŠćÜ ÖćøđðúĊę÷îĒðúÜÞčÖđÞĉîéĆÜÖúŠćü
10) ĀĆüĀîšćÜćîÿćøÿîđìýĒúąñĎšđðŨîđÝšć×ĂÜÿćøÿîđìý êšĂÜÙüïÙčöøąéĆï×ĂÜÿĉìíĉ (Authorization
Levels) ×ĂÜñĎšĔßšÜćî đöČęĂöĊÖćøđðúĊę÷îĒðúÜ×ĂÜēðøĒÖøöìĊęĔßšÜćîÝøĉÜ ĔĀšÿĂéÙúšĂÜÖĆïøąéĆïÿĉìíĉìĊę
ĕéšêÖúÜÖĆî
11) ĀĆüĀîšćÜćîÿćøÿîđìý êšĂÜÙüïÙčöĔĀšöĊÖćøĀúĆÖåćîÖćøêøüÝÿĂï (Audit Trail) ×ĂÜ
ÖćøđðúĊę÷îĒðúÜìĊęøšĂÜ×ĂìĆĚÜĀöé ēé÷ĀúĆÖåćîÖćøêøüÝÿĂï (Audit Trail) êšĂÜðøąÖĂïéšü÷
1. øąïčëċÜïčÙÙúìĊęìĞćÖćøđðúĊę÷îĒðúÜĒúąĒÖšĕ×
2. øąïčëċÜïčÙÙúìĊęĂîčöĆêĉÖćøđðúĊę÷îĒðúÜĒúąĒÖšĕ×
3. üĆîĒúąđüúćìĊęĕéšđðúĊę÷îĒðúÜ ĒÖšĕ×ĒúąĂîčöĆêĉ
4. øć÷úąđĂĊ÷éÖćøđðúĊę÷îĒðúÜĒúąĒÖšĕ×
12) ĀĆüĀîšćÜćîÿćøÿîđìý êšĂÜÖĞćĀîéĔĀšöĊÖćøÙüïÙčöđüĂøŤßĆî ÿĞćĀøĆïÖćøðøĆïðøčÜĒúąĒÖšĕ×àĂôĒüøŤ
ìĆĚÜĀöé
13) ĔîÖøèĊìĊęöĊÖćøóĆçîćøąïïóøšĂöėÖĆî ĀĆüĀîšćÜćîÿćøÿîđìý êšĂÜöĆęîĔÝĕéšüŠćÖćøóĆçîćĒúą
ÖćøøüïøüöĀøČĂñÿöñÿćîÖćøđðúĊę÷îĒðúÜöĊÖćøðøąÿćîÜćîĂ÷ŠćÜđĀöćąÿö
14) ĔîÖøèĊìĊęøąïïÜćîöĊÖćøđðúĊę÷îĒðúÜĒúąĒÖšĕ× ĀĆüĀîšćÜćîÿćøÿîđìý êšĂÜðøąđöĉîñúÖøąìïéšćî
15) õć÷ĀúĆÜÖćøđðúĊę ÷îĒðúÜĒúąĒÖšĕ× ĀĆüĀîšćÜćîÿćøÿîđìý êšĂÜÙüïÙčöđóČęĂĔĀšöĆęîĔÝüŠć
ðøąÿĉìíĉõćóĒúąÖćøøĂÜøĆï×ĂÜøąïï÷ĆÜđðŨîĕðÙüćöêšĂÜÖćø×ĂÜđÝšć×ĂÜÿćøÿîđìýĀøČĂĕöŠ
8.5.2 ÖćøêøüÝÿĂïÖćøìĞćÜćî×ĂÜĒĂóúĉđÙßĆîõć÷ĀúĆÜÝćÖìĊęđðúĊę÷îĒðúÜøąïïðäĉïĆêĉÖćø (Technical
Review of Applications After Operation System Changes)
1) ÖŠ Ă îìĊę Ý ąöĊ Ö ćøđðúĊę ÷ îĒðúÜøąïïðäĉ ïĆ êĉ Ö ćøêš Ă Üĕéš øĆ ï Ăîč öĆ êĉ Ý ćÖñĎš đ ðŨ î đÝš ć ×ĂÜÿćøÿîđìýìĊę
đÖĊę÷ü×šĂÜÖŠĂî
2) ĀĆüĀîšćÜćîÿćøÿîđìý êšĂÜÿĂïìćî×ĆĚîêĂîÖćøðäĉïĆêĉÜćîĔîÖćøÙüïÙčöÙüćöëĎÖêšĂÜÙøïëšüî
×ĂÜøąïïøąïïðäĉ ïĆ êĉ Ö ćø đóČę Ă ĔĀš öĆę î ĔÝüŠ ć ÖćøÙüïÙč ö îĆĚ î ĕöŠ ú éĀ÷Š Ă îõć÷ĀúĆ Ü ÝćÖ
ÖćøđðúĊę÷îĒðúÜĒúąĒÖšĕ×
3) ĀĆüĀîšćÜćîÿćøÿîđìý êšĂÜÖĞćĀîéĔĀšöĊÖćøìéÿĂïÖćøđðúĊę÷îĒðúÜøąïïðäĉïĆêĉÖćøĔîøąïï
ÿĞćĀøĆïìéÿĂï đóČęĂĔĀšöĆęîĔÝüŠćÖćøđðúĊę÷îĒðúÜéĆÜÖúŠćüÝąĕöŠöĊñúÖøąìïêŠĂøąïïìĊęĔĀšïøĉÖćøÝøĉÜ
ĀøČĂÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý
4) ĀĆ ü Āîš ć ÿćøÿîđìý êš Ă ÜöĆę î ĔÝüŠ ć öĊ Ö ćøÝĆ é ìĞ ć ĒñîÖćøđðúĊę ÷ îĒðúÜĒúąĒÖšĕ ×øąïïðäĉ ïĆ êĉ Ö ćø
úŠüÜĀîšć đóČęĂĔĀšñĎšðäĉïĆêĉÜćîìĊęđÖĊę÷ü×šĂÜöĊđüúćĔîÖćøìéÿĂïÖŠĂîÖćøđðúĊę÷îĒðúÜĒúąĒÖšĕ×
5) ĀĆüĀîšćÿćøÿîđìý êšĂÜÖĞćĀîéĔĀšöĊêĉéêćöĒóìßŤ (Patch) ×ĂÜøąïïøąïïðäĉïĆêĉÖćøìĊęđÖĊę÷ü×šĂÜ
ÖĆïÙüćööĆęîÙÜðúĂéõĆ÷Ă÷ĎŠđÿöĂ ĔîÖøèĊöĊÖćøóĉÝćøèćĔĀšêĉéêĆĚÜĒóìßŤ (Patch) ÖćøêĉéêĆĚÜéĆÜÖúŠćü
êšĂÜéĞćđîĉîÖćøêćö×ĆĚîêĂîðäĉïĆêĉÜćîđøČęĂÜÖćøÙüïÙčöÖćøđðúĊę÷îĒðúÜ
6) ĀĆüĀîšćÜćîÿćøÿîđìý êšĂÜÝĆéìĞćĒñîðäĉïĆêĉÖćøðøąÝĞćðŘĒúąÜïðøąöćè øĂÜøĆïÖćøÿĂïìćîĒúą
ÖćøìéÿĂïøąïïìĊęđðŨîñúöćÝćÖÖćøđðúĊę÷îĒðúÜĒúąĒÖšĕ×øąïïðäĉïĆêĉÖćø
8.5.3 ÖćøÝĞćÖĆéÖćøđðúĊę÷îĒðúÜĒÖšĕ×êŠĂàĂôêŤĒüøŤìĊęöćÝćÖñĎšñúĉê (Restrictions on Changes to

Software Packages)
1) ēé÷ìĆęüĕðàĂôêŤĒüøŤÿĞćđøĘÝøĎð (Software Packages) ÝćÖđÝšć×ĂÜñúĉêõĆèæŤ ÝąĔßšÜćîēé÷
ðøćýÝćÖÖćøĒÖšĕ× ĔîÖøèĊìĊęöĊÙüćöÝĞćđðŨîêšĂÜðøĆïðøčÜĒÖšĕ× êšĂÜĔĀšöĊÖćøóĉÝćøèćĔîđøČęĂÜêŠĂĕðîĊĚ
1. ÙüćöđÿĊę÷Üđóĉęö×ċĚîđîČęĂÜÝćÖ ÖćøÙüïÙčöìĊęòŦÜĕüšĔîøąïï (Built-In Controls) ĂćÝÝą
úéĀ÷ŠĂî
2. ÖćøĕéšøĆïÙüćö÷ĉî÷ĂöÝćÖđÝšć×ĂÜñúĉêõĆèæŤĔîÖćøĒÖšĕ×
3. ÙüćöđðŨîĕðĕéš×ĂÜÖćøđðúĊę÷îĒðúÜĒúąðøĆïðøčÜēðøĒÖøöĔĀšìĆîÿöĆ÷ÝćÖđÝšć×ĂÜ
ñúĉêõĆèæŤ
4. ñúÖøąìïĔîÖćøéĎĒúĒúąïĞćøčÜøĆÖþćēðøĒÖøöĔîĂîćÙê
2) ĔîÖøèĊìĊęöĊÙüćöÝĞćđðŨîêšĂÜðøĆïðøčÜĒÖšĕ×àĂôêŤĒüøŤÿĞćđøĘÝøĎð (Software Packages) ÝćÖđÝšć×ĂÜ
ñúĉ ê õĆ è æŤ êš Ă Üĕéš øĆ ï ÖćøĂîč öĆ êĉ Ý ćÖñĎš đ ðŨ î đÝš ć ×ĂÜÿćøÿîđìýĒúąĀĆ ü Āîš ć ÜćîÿćøÿîđìýÖŠ Ă î
éĞćđîĉîÖćøđðúĊę÷îĒðúÜĒúąĒÖšĕ×
3) ĀĆüĀîšćÜćîÿćøÿîđìýìĊęđÖĊę÷ü×šĂÜ êšĂÜÖĞćĀîéĔĀšöĊÖćøÝĆéìĞćđĂÖÿćøÖćøđðúĊę÷îĒðúÜĒúąĒÖšĕ×
àĂôêŤĒüøŤÿĞćđøĘÝøĎð (Software Packages) đóČęĂĔßšĔîÖćøéĎĒúĒúąïĞćøčÜøĆÖþćøąïïĔîĂîćÙê ìĆĚÜîĊĚ
ñĎšđðŨîđÝšć×ĂÜÿćøÿîđìýêšĂÜÝĆéđÖĘïĒúąøĆÖþćàĂôêŤĒüøŤÿĞćđøĘÝøĎð (Software Packages) Ēúą
đĂÖÿćøÖćøđðúĊę÷îĒðúÜêšîÞïĆï đóČęĂĔßšĔîÖćøĂšćÜĂĉÜ
8.5.4 ÖćøðŜĂÜÖĆîÖćøøĆęüĕĀú×ĂÜÿćøÿîđìý (Information Leakage)

1) ĀĆüĀîšćÜćîÿćøÿîđìý êšĂÜÖĞćĀîéĔĀšöĊÖćøðŜĂÜÖĆîÖćøøĆęüĕĀú×ĂÜÿćøÿîđìý đóČęĂÝĞćÖĆéÙüćöđÿĊę÷Ü
×ĂÜÖćøøĆęüĕĀú×ĂÜÿćøÿîđìý đßŠî ÖćøĔßšðøąē÷ßîŤßŠĂÜìćÜìĊęĒĂïĒòÜ đðŨîêšî ēé÷êšĂÜóĉÝćøèć
ĔîđøČęĂÜéĆÜêŠĂĕðîĊĚ
1. ÖćøÙšîĀć (Scan) ÿČęĂïĆîìċÖ×šĂöĎúĒúąÖćøÿČęĂÿćø×ćĂĂÖ (Outbound Media and
Communications) đóČęĂĀćÿćøÿîđìýìĊęĒĂïĒòÜ
2. ÖćøĂĞćóøćÜ (Masking) ĒúąÖćøñÿöÿĆââćè (Modulate) øąïïÿćøÿîđìýĒúą
ÖćøÿČęĂÿćø đóČęĂúéēĂÖćÿìĊęĀîŠü÷Üćîõć÷îĂÖÝąÿćöćøëđ×šćĕðĔßšøąïïÿćøÿîđìý
ĒúąÖćøÿČęĂÿćøéĆÜÖúŠćü
3. Ĕßšø ąïïĒúąàĂôêŤĒ üøŤ (Software) ìĊę óĉÝ ćøèćĒúšü üŠ ć đðŨî ìĊę÷ ĂöøĆï êćö
öćêøåćîÿćÖú (High Integrity)
4. öĊÖćøđòŜćøąüĆÜñĎšðäĉïĆêĉÜćîĒúąÖĉÝÖøøö×ĂÜøąïïĂ÷ŠćÜÿöęĞćđÿöĂ õć÷ĔêšÖãøąđïĊ÷ï
×šĂïĆÜÙĆï
5. öĊÖćøêøüÝêøćÖćøĔßšìøĆó÷ćÖø×ĂÜøąïïÿćøÿîđìý
6. öĊÖćøÿĂïìćîàĂøŤÿēÙšé (Source Code) ×ĂÜøąïïìĊęÿĞćÙĆâìĊęóĆçîćēé÷ĀîŠü÷Üćî
õć÷Ĕî Öôñ. ĒúąĀîŠü÷Üćîõć÷îĂÖ ÖŠĂîîĞćĕðĔßšÜćî
8.5.5 ÖćøóĆçîćàĂôêŤĒüøŤēé÷ĀîŠü÷Üćîõć÷îĂÖ (Outsourced Software Development)

1) ĔîÖøèĊìĊęàĂôêŤĒüøŤ (Software) ëĎÖóĆçîćēé÷ĀîŠü÷Üćîõć÷îĂÖ ĀĆüĀîšćÜćîÿćøÿîđìýĒúąñĎšđðŨî
đÝšć×ĂÜÿćøÿîđìýêšĂÜóĉÝćøèćĔîđøČęĂÜéĆÜêŠĂĕðîĊĚ
1. ĔĀšĀîŠü÷Üćîõć÷îĂÖúÜîćöĔî×šĂêÖúÜöĉĔĀšđðŗéđñ÷ÙüćöúĆï×ĂÜ Öôñ.
2. ĔĀšöĊÖćøïøĉĀćøÝĆéÖćøđøČęĂÜúĉ×ÿĉìíĉĝ ÙüćöđðŨîđÝšć×ĂÜàĂøŤÿēÙšé (Source Code) Ēúą
ìøĆó÷ŤÿĉîìćÜðŦââć
3. ĔĀšöĊÖćøøĆïøĂÜÙčèõćóĒúąÙüćöëĎÖêšĂÜ×ĂÜÜćîìĊęÿŠÜöĂï
4. ×šĂêÖúÜĔîÖćøéĎĒúñúðøąē÷ßîŤ×ĂÜìĆĚÜÿĂÜòść÷ (Escrow Arrangements) ĔîÖøèĊìĊę
ĀîŠü÷Üćîõć÷îĂÖĕöŠÿćöćøëĔĀšïøĉÖćøĕéš
5. ĔĀšÿĉìíĉ×ĂÜ Öôñ. ĔîÖćøđ×šćêøüÝÿĂïÙčèõćóĒúąÙüćöëĎÖêšĂÜ×ĂÜÜćîìĊęÿŠÜöĂï
6. ĔĀšöĊÖćøìéÿĂïàĂôêŤĒüøŤ (Software) ìĊęëĎÖóĆçîćēé÷ĀîŠü÷Üćîõć÷îĂÖ ÖŠĂîÖćø
êĉéêĆĚÜđóČęĂêøüÝĀćēðøĒÖøöìĊęĕöŠðøąÿÜÙŤéĊ
7. öĊÖćøÖĞćĀîéĔĀšĀîŠü÷Üćîõć÷îĂÖìĊęóĆçîćàĂôêŤĒüøŤ (Software) êšĂÜðäĉïĆêĉêćö
×šĂÖĞćĀîé ×ĆĚîêĂîÖćøðäĉïĆêĉÜćîĔîÖćøóĆçîćĀøČĂöćêøåćîéšćîÙčèõćó×ĂÜ Öôñ.
8. öĊÖćøÖĞćĀîéÙčèÿöïĆêĉéšćîÙüćöðúĂéõĆ÷ĔîÖćøÿŠÜñŠćî×šĂöĎúøąĀüŠćÜ Öôñ. Ēúą
ĀîŠü÷Üćîõć÷îĂÖìĊęóĆçîćàĂôêŤĒüøŤ (Software)
8.6 ÖćøïøĉĀćøÝĆéÖćøßŠĂÜēĀüŠĔîăćøŤéĒüøŤĒúąàĂôêŤĒüøŤ (Technical Vulnerability

Management)
ĔĀšöĊÖćøïøĉĀćøÝĆéÖćøßŠĂÜēĀüŠĔîăćøŤéĒüøŤ (Hardware) ĒúąàĂôêŤĒüøŤ (Software)
öćêøåćî
8.6.1 öćêøÖćøÙüïÙčößŠĂÜēĀüŠìćÜđìÙîĉÙ (Control of Technical Vulnerabilities)
1) ĀĆüĀîšćÜćîÿćøÿîđìý êšĂÜÝĆéĔĀšöĊÖøąïüîÖćøÝĆéÖćøßŠĂÜēĀüŠìćÜđìÙîĉÙìĊęđĀöćąÿöĒúąìĆîìŠüÜìĊ
ēé÷êšĂÜóĉÝćøèćđøČęĂÜéĆÜêŠĂĕðîĊĚ
1. ÖĞćĀîéĔĀšöĊñĎšøĆïñĉéßĂïĔîÖćøÝĆéÖćøßŠĂÜēĀüŠìćÜđìÙîĉÙ øüöëċÜÖćøđòŜćøąüĆÜĒúą
ÙüïÙč ö éĎ Ē úßŠ Ă ÜēĀüŠ Öćøðøąđöĉ î ÙüćöđÿĊę ÷ Ü×ĂÜßŠ Ă ÜēĀüŠ ÖćøĒóìßŤ (Patch)
ÖćøêĉéêćöìøĆó÷Ťÿĉî ĒúąÖćøðøąÿćîÜćîÖĆïĀîŠü÷ÜćîìĊęđÖĊę÷ü×šĂÜ
2. ĒĀúŠ Ü×š ĂöĎ ú ìĊęĔ ßšĔ îÖćøøąïč êĉ éêćöĒúąêøąĀîĆÖ ëċÜßŠĂÜēĀüŠ ì ćÜđìÙîĉÙ ÿĞćĀøĆ ï
àĂôêŤĒüøŤ (Software) ĒúąđìÙēîēú÷ĊĂČęîė êšĂÜĕéšøĆïÖćøðøĆïðøčÜĔĀšìĆîÿöĆ÷Ēúą
ÿĂéÙúš Ă ÜÖĆ ï ÖćøđðúĊę ÷ îĒðúÜ×ĂÜìąđïĊ ÷ îìøĆ ó ÷Ť ÿĉ î ÿćøÿîđìý ĀøČ Ă đöČę Ă öĊ
ÖćøÙšîóïßŠĂÜìćÜìĊęđðŨîðøąē÷ßîŤđóĉęöđêĉö
3. êšĂÜöĊÖćøÖĞćĀîéøą÷ąđüúćêĂïÿîĂÜĀøČĂøĆïöČĂ ÖćøĒÝšÜđêČĂîßŠĂÜēĀüŠìćÜđìÙîĉÙìĊę
ĂćÝđÖĉé×ċĚî

4. đöČę Ă öĊ Ē îüēîš ö ĔîÖćøđÖĉ é ßŠ Ă ÜēĀüŠ ì ćÜđìÙîĉ Ù ĀĆ ü Āîš ć Üćîÿćøÿîđìýêš Ă Üøąïč
ÙüćöđÿĊę÷ÜìĊęđÖĊę÷ü×šĂÜĒúąüĉíĊÖćøøĆïöČĂ đßŠî ÖćøĒóìßŤ (Patch) ßŠĂÜēĀüŠ×ĂÜøąïï
ĒúąĀøČĂ Öćøðøą÷čÖêŤ ÖćøÙüïÙčöĂČęîė đðŨîêšî ēé÷üĉíĊÖćøøĆïöČĂéĆÜÖúŠćüêšĂÜëČĂ
ðäĉïĆêĉêćö×ĆĚîêĂîÖćøðäĉïĆêĉÜćîđøČęĂÜ ÖćøïøĉĀćøÝĆéÖćøÖćøđðúĊę÷îĒðúÜÿćøÿîđìý
ĀøČ Ă ×ĆĚ î êĂîðäĉ ïĆ êĉ Ü ćîđøČę Ă ÜÖćøêĂïÿîĂÜêŠ Ă ÿëćîÖćøèŤ ìĊę đ ÖĊę ÷ üÖĆ ï ÙüćööĆę î ÙÜ
5. êšĂÜðøąđöĉîÙüćöđÿĊę÷ÜĒúąìéÿĂïĒóìßŤ (Patch) ÖŠĂîêĉéêĆĚÜ đóČęĂĔĀšöĆęîĔÝĕéšüŠć Öćø
êĉéêĆĚÜöĊðøąÿĉìíĉõćóĒúąĕöŠÿŠÜñúÖøąìï×šćÜđÙĊ÷ÜĂ÷ŠćÜøčîĒøÜ ĔîÖøèĊìĊęĕöŠöĊĒóìßŤ
(Patch) êšĂÜÝĆéĔĀšöĊÖćøÙüïÙčöĂČęîė đßŠî
x ÖćøðŗéïøĉÖćøìĊęđÖĊę÷ü×šĂÜÖĆïßŠĂÜēĀüŠìćÜđìÙîĉÙ
x ÖćøðøĆïđðúĊę÷îĀøČĂđóĉęöÖćøÙüïÙčöĔîÖćøđ×šćëċÜ đßŠî Firewalls đðŨîêšî
x ÖćøđóĉęöÖćøđòŜćøąüĆÜ đóČęĂêøüÝÝĆïĀøČĂðŜĂÜÖĆîÖćøÝĎŠēÝö
x ÖćøđóĉęöÙüćöêøąĀîĆÖëċÜßŠĂÜēĀüŠìćÜđìÙîĉÙ
6. êšĂÜöĊÖćøïĆîìċÖđĀêčÖćøèŤđóČęĂÖćøêøüÝÿĂï (Audit Log) ĔîìčÖė×ĆĚîêĂîðäĉïĆêĉÜćî
ìĊęéĞćđîĉîÖćø
7. êšĂÜöĊÖćøêøüÝÿĂïĒúąðøąđöĉîÖøąïüîÖćøĔîÖćøïøĉĀćøÝĆéÖćøßŠĂÜēĀüŠìćÜđìÙîĉÙ
Ă÷ŠćÜÿöęĞćđÿöĂ đóČęĂĔĀšöĆęîĔÝüŠćÖøąïüîÖćøéĆÜÖúŠćüöĊðøąÿĉìíĉõćóĒúąðøąÿĉìíĉñú
8. øąïïìĊęöĊÙüćöđÿĊę÷ÜÿĎÜêšĂÜéĞćđîĉîÖćøÝĆéÖćøßŠĂÜēĀüŠìćÜđìÙîĉÙÖŠĂî
2) ĀĆüĀîšćÜćîÿćøÿîđìý êšĂÜÝĆéüćÜĂčðÖøèŤðøąöüúñúÿćøÿîđìýÿĞćîĆÖÜćî ĔĀšĂ÷ĎŠĔîóČĚîìĊęĒúą
ÿõćóĒüéúšĂöìĊęđĀöćąÿöêćöÙĎŠöČĂÖćøĔßšÜćî×ĂÜđÝšć×ĂÜñúĉêõĆèæŤ
3) ĀĆüĀîšćÜćîÿćøÿîđìý êšĂÜÝĆéĔĀšöĊÖćøïĞćøčÜøĆÖþćĂčðÖøèŤðøąöüúñúÿćøÿîđìýĒúąøąïï
ÿîĆïÿîčîÖćøìĞćÜćîêŠćÜė Ă÷ŠćÜÿöęĞćđÿöĂ
ST-09: öćêøåćîÖćøïøĉĀćøÝĆéÖćøÿëćîÖćøèŤìĊęđÖĊę÷üÖĆïÙüćööĆęîÙÜðúĂéõĆ÷éšćî
ÿćøÿîđìý (Standard of Information Security Incident Management)

đóČę Ă ĔĀš đ Āêč Ö ćøèŤ Ē úąÝč é ĂŠ Ă îìĊę đ ÖĊę ÷ ü×š Ă ÜÖĆ ï ÙüćööĆę î ÙÜðúĂéõĆ ÷ êŠ Ă øąïïÿćøÿîđìý×ĂÜ Öôñ. ĕéš øĆ ï
ÖćøéĞćđîĉîÖćøĂ÷ŠćÜöĊðøąÿĉìíĉñúĔîßŠüÜøą÷ąđüúćìĊęđĀöćąÿö Öôñ. ÝċÜÖĞćĀîéĔĀšöĊöćêøåćîÖćøïøĉĀćø
ÝĆéÖćøÿëćîÖćøèŤìĊęđÖĊę÷üÖĆïÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý àċęÜðøąÖĂïéšü÷ 2 đøČęĂÜéĆÜêŠĂĕðîĊĚ
1) Öćøøć÷ÜćîđĀêčÖćøèŤĒúąÝčéĂŠĂîìĊęđÖĊę÷üÖĆïÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý (Reporting
information Security Events and Weaknesses)
2) ÖćøïøĉĀćøÝĆéÖćøĒúąÖćøðøĆïðøčÜĒÖšĕ×êŠĂÿëćîÖćøèŤìĊęđÖĊę÷üÖĆïÙüćööĆęîÙÜðúĂéõĆ÷éšćî
ÿćøÿîđìý (Management of Information Security Incidents and Improvement)
ñĎšïøĉĀćøđìÙēîēú÷ĊÿćøÿîđìýøąéĆïÿĎÜ
øĆïøć÷ÜćîÿëćîÖćøèŤìĊęđÖĊę÷üÖĆïÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìýĔîđïČĚĂÜêšîÝćÖÙèąìĞćÜćî
EGAT CERT ĔîÖøèĊđøŠÜéŠüîĀøČĂđĀêčÖćøèŤĄ ìĊęöĊÙüćöĂŠĂîĕĀüêŠĂÙüćööĆęîÙÜðúĂéõĆ÷éšćî
ÿćøÿîđìý
ÙèąìĞćÜćî EGAT Computer Emergency Response Team (EGAT CERT)

đñ÷ĒóøŠĒúąðøąßćÿĆöóĆîíŤĔĀšñĎšðäĉïĆêĉÜćîĒúąĀîŠü÷Üćîõć÷îĂÖøĆïìøćï×ĆĚîêĂîÖćøðäĉïĆêĉÜćî
ÿĞćĀøĆïÖćøøć÷ÜćîđĀêčÖćøèŤìĊęđÖĊę÷üÖĆïÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý
ÖĞćĀîéĒîüìćÜÖćøđòŜćøąüĆÜøąïïÿćøÿîđìý ĒúąßŠĂÜēĀüŠéšćîøąïïÿćøÿîđìý đóČęĂêĉéêćöĒúą
ðŜĂÜÖĆîđĀêčÖćøèŤìĊęđÖĊę÷üÖĆïÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý
ÖĞćĀîéĒîüìćÜĔîÖćøøĆïöČĂÖĆïđĀêčÖćøèŤìĊęđÖĊę÷üÖĆïÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý đóČęĂÿćöćøë
êĂïÿîĂÜÖĆïđĀêčÖćøèŤĂ÷ŠćÜđĀöćąÿöĒúąìĆîìŠüÜìĊ
ÝĆé ĔĀšöĊ ßŠĂÜìćÜÖćøøć÷ÜćîñúÖćøøĆï öČĂĀøČ ĂÖćøĒÖš ĕ ×đĀêč Ö ćøèŤĄ ÝćÖĀĆü Āîš ćÜćîÿćøÿîđìý
õć÷ĀúĆÜìĊęĕéšéĞćđîĉîÖćøĒÖšĕ×đÿøĘÝÿĉĚî
øüïøüö×šĂöĎúđĀêčÖćøèŤìĊęđÖĊę÷üÖĆïÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý øć÷ÜćîêŠĂÙèąÖøøöÖćø
đìÙēîēú÷Ċÿćøÿîđìý (Ùìÿ.) ĀøČĂñĎšïøĉĀćøđìÙēîēú÷ĊÿćøÿîđìýøąéĆïÿĎÜ (CIO) ĔîÖøèĊđøŠÜéŠüî
üĉđÙøćąĀŤøć÷ÜćîÿëćîÖćøèŤìĊęđÖĊę÷üÖĆïöĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý đóČęĂîĞćĕððøĆïðøčÜÖćøÙüïÙčö
éšćîÿćøÿîđìý óøšĂöìĆĚÜÝĆéìĞćøć÷ÜćîÿøčðĔĀšÙèąÖøøöÖćøđìÙēîēú÷Ċÿćøÿîđìý (Ùìÿ.)
óĉÝćøèćÙüćöđĀöćąÿöĔîÖćøđðŗéđñ÷ÿëćîÖćøèŤìĊęđÖĊę÷üÖĆïÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý
ðøąÿćîÜćîĀĆüĀîšćÜćîÿćøÿîđìý đóČęĂøüïøüöÖćøđøĊ÷îøĎšøĎðĒïï×ĂÜđĀêčÖćøèŤĄ óøšĂöìĆĚÜđñ÷ĒóøŠ
ÙüćöøĎšĔîÖćøĒÖšĕ×ĒúąđêøĊ÷öÖćøðŜĂÜÖĆîđĀêčÖćøèŤĄ ìĊęĂćÝđÖĉé×ċĚîĔîĂîćÙêĔĀšÖĆïñĎšðäĉïĆêĉÜćî

ÝĆéìĞćĒñîøĂÜøĆïÿëćîÖćøèŤìĊęđÖĊę÷üÖĆïÙüćööĆęîÙÜðúĂéõĆ÷ (Incident Response Plan) đóČęĂøĆïöČĂ
ÖĆïÿëćîÖćøèŤìĊęđÖĊę÷üÖĆïÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý
ðøąÿćîÜćîÖĆïĀĆüĀîšćÜćîÿćøÿîđìýĔîÖćøÝĆéÖćøĀúĆÖåćîÖćøêøüÝÿĂï (Audit Trail) Ēúą
ó÷ćîĀúĆÖåćîĂ÷ŠćÜđĀöćąÿö
ĂîčöĆêĉÿĞćĀøĆïÖćøóĉÿĎÝîŤ ĀøČĂìéÿĂïÝčéĂŠĂîéšćîÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý
ÖĞć ĀîéĀîš ć ìĊę Ù üćöøĆ ï ñĉ é ßĂï×ĂÜĀîŠ ü ÷ÜćîÿćøÿîđìýĔîÖćøđòŜ ć øąüĆ Ü øąïïÿćøÿîđìý Ēúą
ßŠĂÜēĀüŠ éšćîøąïïÿćøÿîđìý đóČęĂêĉéêćöĒúąðŜĂÜÖĆîđĀêčÖćøèŤìĊęđÖĊę÷üÖĆïÙüćööĆęîÙÜðúĂéõĆ÷
ÝĆéĔĀšöĊÖćøÙüïÙčöÖĉÝÖøøöÖćøĒÖšĕ×ĒúąÖĎšÙČîøąïïđöČęĂđÖĉéđĀêčÖćøèŤĄ
ÝĆéĔĀšöĊÖćøÝĆéÖćøĀúĆÖåćîÖćøêøüÝÿĂï (Audit Trail) Ēúąó÷ćîĀúĆÖåćîĂ÷ŠćÜđĀöćąÿö
éĞćđîĉîÜćîđøĊ÷îøĎšøĎðĒïï×ĂÜđĀêčÖćøèŤĄ đóČęĂøąïčĒúąìĞćÙüćöđ×šćĔÝ ÝčéĂŠĂî ßŠĂÜēĀüŠ ×ĂÜđĀêčÖćøèŤ
Ą
øć÷ÜćîñúÖćøøĆïöČĂĀøČĂÖćøĒÖšĕ×đĀêčÖćøèŤĄ õć÷ĀúĆÜìĊęĕéšéĞćđîĉîÖćøĒÖšĕ×đÿøĘÝÿĉĚî
ñĎšĒÝšÜđĀêčÖćøèŤ
øąïč×šĂöĎúìĊęÿĞćÙĆâÿĞćĀøĆïđĀêčÖćøèŤĄĔĀšöćÖìĊęÿčé è ßŠüÜđüúćìĊęđÖĉéđĀêčÖćøèŤ
øć÷ÜćîđĀêčÖćøèŤìĊęđÖĊę÷üÖĆïÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìýĔîìĆîìĊìĊęóïđĀêčÖćøèŤìĊęđÖĊę÷üÖĆï
ÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìýĀøČĂÿÜÿĆ÷üŠćĂćÝđðŨîđĀêčÖćøèŤìĊęđÖĊę÷üÖĆïÙüćööĆęîÙÜðúĂéõĆ÷
éĞćđîĉîÖćøêĉéêćöđĀêčÖćøèŤĄ Ă÷ŠćÜêŠĂđîČęĂÜÝîÖøąìĆęÜđĀêčÖćøèŤĄ ĕéšéĞćđîĉîÖćøĒÖšĕ×đÿøĘÝÿĉĚî
øć÷ÜćîÝčéĂŠĂîìĊęđÖĊę÷üÖĆïÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìýìĆîìĊ êćößŠĂÜìćÜìĊę EGAT CERT
ÖĞćĀîé
øć÷ÜćîđĀêčÖćøèŤìĊęđÖĊę÷üÖĆïÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìýĔîìĆîìĊìĊęóïđĀêčÖćøèŤìĊęđÖĊę÷üÖĆï
ÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìýĀøČĂÿÜÿĆ÷üŠćĂćÝđðŨîđĀêčÖćøèŤìĊęđÖĊę÷üÖĆïÙüćööĆęîÙÜðúĂéõĆ÷
øć÷ÜćîÝčéĂŠĂîìĊęđÖĊę÷üÖĆïÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìýìĆîìĊ êćößŠĂÜìćÜìĊę EGAT CERT
ÖĞćĀîé

9.1 Öćøøć÷ÜćîđĀêčÖćøèŤĒúąÝčéĂŠĂîìĊęđÖĊę÷üÖĆïÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý
(Reporting Information Security Events and Weaknesses)
ĔĀš öĊ Ö ćøøć÷ÜćîđĀêč Ö ćøèŤ Ē úąÝč é ĂŠ Ă îìĊę đ ÖĊę ÷ üÖĆ ï ÙüćööĆę î ÙÜðúĂéõĆ ÷ éš ć îÿćøÿîđìýñŠ ć îßŠ Ă ÜìćÜ
Öćøøć÷ÜćîìĊęÖĞćĀîéĕüš đóČęĂĔĀšöĆęîĔÝüŠćđĀêčÖćøèŤĒúąÝčéĂŠĂîéĆÜÖúŠćüĕéšøĆïÖćøêøüÝóïĒúąéĞćđîĉîÖćøĒÖšĕ×
Ă÷ŠćÜëĎÖêšĂÜõć÷ĔîđüúćìĊęđĀöćąÿö
öćêøåćî
9.1.1 Öćøøć÷ÜćîđĀêčÖćøèŤìĊęđÖĊę÷üÖĆïÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý (Reporting Information
Security Events)
1) Öôñ. êšĂÜÝĆéêĆĚÜÙèąìĞćÜćî EGAT Computer Emergency Response Team (EGAT CERT)
đóČęĂĔßšđðŨîßŠĂÜìćÜĔĀšñĎšðäĉïĆêĉÜćîĒúąĀîŠü÷Üćîõć÷îĂÖøć÷ÜćîđĀêčÖćøèŤìĊęđÖĊę÷üÖĆïÙüćööĆęîÙÜ
2) ÙèąìĞćÜćî EGAT CERT êšĂÜđñ÷ĒóøŠĒúąðøąßćÿĆöóĆîíŤĔĀšñĎšðäĉïĆêĉÜćîĒúąĀîŠü÷Üćîõć÷îĂÖ
øĆïìøćï×ĆĚîêĂîÖćøðäĉïĆêĉÜćîÿĞćĀøĆïÖćøøć÷ÜćîđĀêčÖćøèŤìĊęđÖĊę÷üÖĆïÙüćööĆęîÙÜðúĂéõĆ÷éšćî
ÿćøÿîđìý
3) ÙèąìĞćÜćî EGAT CERT ÖĞćĀîéĒîüìćÜĔîÖćøøĆïöČĂÖĆïđĀêčÖćøèŤìĊęđÖĊę÷üÖĆïÙüćööĆęîÙÜ
ðúĂéõĆ÷éšćîÿćøÿîđìý đóČęĂÿćöćøëêĂïÿîĂÜÖĆïđĀêčÖćøèŤĂ÷ŠćÜđĀöćąÿöĒúąìĆîìŠüÜìĊ
4) ñĎš ð äĉ ïĆ êĉ Ü ćîĒúąĀîŠ ü ÷Üćîõć÷îĂÖ öĊ Ā îš ć ìĊę Ĕ îÖćøøć÷ÜćîđĀêč Ö ćøèŤ ìĊę đ ÖĊę ÷ üÖĆ ï ÙüćööĆę î ÙÜ
ðúĂéõĆ÷éšćîÿćøÿîđìýĔîìĆîìĊìĊęóïđĀêčÖćøèŤìĊęđÖĊę÷üÖĆïÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìýĀøČĂ
ÿÜÿĆ÷üŠćĂćÝđðŨîđĀêčÖćøèŤìĊęđÖĊę÷üÖĆïÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý ìĆĚÜîĊĚ đĀêčÖćøèŤìĊęđÖĊę÷üÖĆï
ÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìýêšĂÜÙøĂïÙúčöđøČęĂÜéĆÜêŠĂĕðîĊĚ
1. ĂčðÖøèŤðøąöüúñúÿćøÿîđìýĀøČĂïøĉÖćøéšćîÿćøÿîđìý ĕöŠÿćöćøëĔĀšïøĉÖćøĕéš
2. øąïïìĞćÜćîñĉéóúćé (Malfunctions)
3. öĊÖćøđ×šćëċÜ×šĂöĎúÿĞćÙĆâĒúąîĞćĕðĔßšĔîÜćîēé÷ñĉéüĆêëčðøąÿÜÙŤĀøČĂēé÷ĕöŠĕéšøĆïĂîčâćê
4. öĊÖćøđðúĊę÷îĒðúÜĒÖšĕ× ÿćøÿîđìý ēðøĒÖøö ĀøČĂ ĂčðÖøèŤðøąöüúñúÿćøÿîđìý ēé÷
ĕöŠĕéšøĆïĂîčâćê
5. ×šĂöĎúìĊęÿĞćÙĆâ×ĂÜ Öôñ. ÿĎâĀć÷ đßŠî ×šĂöĎúÖćøđÜĉî ×šĂöĎúđÜĉîđéČĂî đðŨîêšî

6. õĆ ÷ íøøößćêĉ ìĊę ìĞ ć ĔĀš ÿ ćøÿîđìýĒúąøąïïÿćøÿîđìý×ĂÜ Öôñ. đÿĊ ÷ Āć÷ìĞ ć ĔĀš
ñĎšðäĉïĆêĉÜćîĕöŠÿćöćøëðäĉïĆêĉÜćîðøąÝĞćüĆîĕéš
7. ĂčðÖøèŤðøąöüúñúÿćøÿîđìý ÿćøÿîđìý Ēúąøąïïÿćøÿîđìý ëĎÖēÝöêĊĒúąĂćÝìĞć
ĔĀšĒóøŠÖøąÝć÷ēé÷ēðøĒÖøöìĊęĕöŠðøąÿÜÙŤéĊ
8. øąïïđÙøČĂ×Šć÷ĒúąÖćøÿČęĂÿćø×Ćé×šĂÜĕöŠÿćöćøëĔĀšïøĉÖćøĕéš
9. öĊÖćøđ×šćëċÜ×šĂöĎú×èąÿŠÜñŠćîđÙøČĂ×Šć÷ēé÷ĕöŠĕéšøĆïĂîčâćê
5) ĔîÖøèĊìĊęĂčðÖøèŤðøąöüúñúÿćøÿîđìýìĊęĂ÷ĎŠĔîÙüćöøĆïñĉéßĂï ëĎÖēÝöêĊĀøČĂĒóøŠÖøąÝć÷ēé÷
ēðøĒÖøöìĊę ĕ öŠ ð øąÿÜÙŤ éĊ ñĎš ð äĉ ïĆ êĉ Ü ćîĒúąĀîŠ ü ÷Üćîõć÷îĂÖ êš Ă ÜêĆ é ÖćøđßČę Ă öêŠ Ă Ăč ð ÖøèŤ
ðøąöüúñúÿćøÿîđìýìĊęĂ÷ĎŠĔî×Šć÷êšĂÜÿÜÿĆ÷ÝćÖđÙøČĂ×Šć÷×ĂÜ Öôñ. óøšĂöìĆĚÜøć÷ÜćîđĀêčÖćøèŤ
éĆÜÖúŠćüĔĀš EGAT CERT ìøćïēé÷ìĆîìĊ ĒúąĔĀšÙüćöøŠüööČĂÖĆïĀîŠü÷ÜćîÿćøÿîđìýĔîÖćøÖĞćÝĆé
ēðøĒÖøöìĊęĕöŠðøąÿÜÙŤéĊ ÖŠĂîîĞćĂčðÖøèŤðøąöüúñúÿćøÿîđìýđßČęĂöêŠĂÖĆïđÙøČĂ×Šć÷×ĂÜ Öôñ.
6) đĀêč Ö ćøèŤ ìĊę đ ÖĊę ÷ üÖĆ ï ÙüćööĆę î ÙÜðúĂéõĆ ÷ éš ć îÿćøÿîđìý êš Ă ÜëĎ Ö ïĆ î ìċ Ö Ĕî ĒïïôĂøŤ ö ĒÝš Ü
đĀêčÖćøèŤ×ĂÜ EGAT CERT ĂĊÖìĆĚÜ ñĎšĒÝšÜđĀêčÖćøèŤĄ êšĂÜøąïč×šĂöĎúìĊęÿĞćÙĆâÿĞćĀøĆïđĀêčÖćøèŤĄ ĔĀš
öćÖìĊęÿčé è ßŠüÜđüúćìĊęđÖĉéđĀêčÖćøèŤ ìĆĚÜîĊĚ×šĂöĎúïćÜÿŠüîĂćÝÝąðøĆïðøčÜĔîõć÷ĀúĆÜÝćÖìĊęöĊÖćø
ÿČïÙšîĒÖšĕ×đĀêčÖćøèŤĄ đÿøĘÝÿĉĚî ēé÷×šĂöĎúìĊęêšĂÜïĆîìċÖĔîĒïïôĂøŤöĒÝšÜđĀêčÖćøèŤ×ĂÜ EGAT
CERT ÙøĂïÙúčöđøČęĂÜéĆÜêŠĂĕðîĊĚ
1. ÿëćîìĊę üĆîĒúąđüúćìĊęóïĀøČĂđÖĉéđĀêčÖćøèŤĄ
2. ñĎšøć÷Üćî đßŠî ßČęĂ îćöÿÖčú Āöć÷đú×ðøąÝĞćêĆü êĞćĒĀîŠÜ ÿĆÜÖĆé ĒúąđïĂøŤēìøýĆóìŤ
đðŨîêšî
3. üĆîìĊęĒúąđüúćìĊęøć÷ÜćîđĀêčÖćøèŤĄ
4. øć÷úąđĂĊ÷é×ĂÜđĀêčÖćøèŤĄ đßŠî ïčÙÙúìĊęđÖĊę÷ü×šĂÜ øć÷úąđĂĊ÷é×ĂÜđĀêčÖćøèŤĔÙøìĞć
Ăąĕø ìĊęĕĀî Ă÷ŠćÜĕø đöČęĂĕø ĒúąìĞćĕö đðŨîêšî
5. ñĎšøĆïđøČęĂÜøć÷Üćî đßŠî ßČęĂ îćöÿÖčú Āöć÷đú×ðøąÝĞćêĆü êĞćĒĀîŠÜ ÿĆÜÖĆé ĒúąđïĂøŤ
ēìøýĆóìŤ đðŨîêšî
6. ñúÖøąìïêŠĂÖćøðäĉïĆêĉÜćîðøąÝĞćüĆî
7. ÖćøĒÖšĕ×ðŦâĀć
8. ðøąöćèÖćøöĎúÙŠćÙüćöđÿĊ÷Āć÷
9. ×šĂöĎúđóĉęöđêĉöĂČęîė ìĊęÝĞćđðŨî (ëšćöĊ)
7) ÙèąìĞćÜćî EGAT CERT ÝĆéĔĀšöĊßŠĂÜìćÜÖćøøć÷ÜćîñúÖćøøĆïöČĂĀøČĂÖćøĒÖšĕ×đĀêčÖćøèŤĄ ÝćÖ
ĀĆüĀîšćÜćîÿćøÿîđìý õć÷ĀúĆÜìĊęĕéšéĞćđîĉîÖćøĒÖšĕ×đÿøĘÝÿĉĚî
8) ÙèąìĞćÜćî EGAT CERT êšĂÜøüïøüö×šĂöĎúđĀêčÖćøèŤìĊęđÖĊę÷üÖĆïÙüćööĆęîÙÜðúĂéõĆ÷éšćî
ÿćøÿîđìý øć÷ÜćîêŠĂÙèąÖøøöÖćøđìÙēîēú÷Ċÿćøÿîđìý (Ùìÿ.) ÷ÖđüšîĔîÖøèĊđøŠÜéŠüîĀøČĂ
đĀêčÖćøèŤĄ ìĊęöĊÙüćöĂŠĂîĕĀüêŠĂÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý ĔîđïČĚĂÜêšîĂćÝøć÷ÜćîêøÜ
êŠĂñĎšïøĉĀćøđìÙēîēú÷ĊÿćøÿîđìýøąéĆïÿĎÜ (CIO) ēé÷êšĂÜéĞćđîĉîÖćøđðŨîÙüćöúĆïĒúąöĊÖćøÝĆéìĞć
đĂÖÿćøđóČęĂøć÷ÜćîĔîõć÷ĀúĆÜ ìĆĚÜîĊĚñĎšðäĉïĆêĉÜćîìĊęđÖĊę÷ü×šĂÜêšĂÜéĞćđîĉîÖćøêĉéêćöđĀêčÖćøèŤĄ
Ă÷ŠćÜêŠĂđîČęĂÜÝîÖøąìĆęÜđĀêčÖćøèŤĄ ĕéšéĞćđîĉîÖćøĒÖšĕ×đÿøĘÝÿĉĚî
9) ÙèąìĞćÜćî EGAT CERT êšĂÜóĉÝćøèćÙüćöđĀöćąÿöĔîÖćøđðŗéđñ÷đĀêčÖćøèŤìĊęđÖĊę÷üÖĆïÙüćö
öĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý Ēúąøć÷ÜćîêŠĂñĎšïøĉĀćøđìÙēîēú÷ĊÿćøÿîđìýøąéĆïÿĎÜ (CIO) Ĕî
ÖøèĊìĊęêšĂÜðøąÿćîÜćî đóČęĂéĞćđîĉîÖćøêćöÖãĀöć÷êšĂÜ×ĂÙüćöÙĉéđĀĘîÖĆïòść÷ÖãĀöć÷ÖŠĂî
éĞćđîĉîÖćø
9.1.2 Öćøøć÷ÜćîÝčéĂŠĂîìĊęđÖĊę÷üÖĆïÙüćööĆęîÙÜðúĂéõĆ÷×ĂÜĂÜÙŤÖø (Reporting Security

Weaknesses)
1) ĔîÖøèĊìĊęóïÝčéĂŠĂîìĊęđÖĊę÷üÖĆïÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìýĀøČĂÿÜÿĆ÷üŠćĂćÝđðŨîÝčéĂŠĂîìĊę
đÖĊę÷üÖĆïÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý ñĎšðäĉïĆêĉÜćîĒúąĀîŠü÷Üćîõć÷îĂÖ êšĂÜøć÷Üćî
ÝčéĂŠĂîìĊęđÖĊę÷üÖĆïÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìýìĆîìĊ êćößŠĂÜìćÜìĊę EGAT CERT ÖĞćĀîé
2) ÖćøóĉÿĎÝîŤ ĀøČĂ ìéÿĂïÝčéĂŠĂîéšćîÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý êšĂÜĕéšøĆïÖćøĂîčöĆêĉÝćÖ
ÙèąìĞćÜćî EGAT CERT ĒúąĀĆüĀîšćÜćîÿćøÿîđìýđìŠćîĆĚî
1) PD-33 ×ĆĚîêĂîÖćøðäĉïĆêĉÜćîđøČęĂÜ ÖćøïøĉĀćøÝĆéÖćøđöČęĂđÖĉéđĀêčÖćøèŤìĊęđÖĊę÷üÖĆïÙüćööĆęîÙÜ
ðúĂéõĆ÷éšćîÿćøÿîđìý (Information Security Incident Management Procedure)
9.2 ÖćøïøĉĀćøÝĆéÖćøĒúąÖćøðøĆïðøčÜĒÖšĕ×êŠĂÿëćîÖćøèŤìĊęđÖĊę÷üÖĆïÙüćööĆęîÙÜðúĂéõĆ÷
éšćîÿćøÿîđìý (Management of Information Security Incidents and
Improvements)
ĔĀšöĊÖøąïüîÖćø üĉíĊÖćøìĊę ÿĂéÙúšĂÜĒúąöĊðøąÿĉìíĉõćóĔîÖćøÝĆéÖćøÿëćîÖćøèŤìĊęđÖĊę÷üÖĆïÙüćööĆęîÙÜ
ðúĂéõĆ ÷éšćîÿćøÿîđìý×ĂÜ Öôñ. ÖćøđøĊ ÷îøĎšÝćÖÿëćîÖćøèŤìĊę đÖĊę÷ü×š ĂÜÖĆïÙüćööĆęîÙÜðúĂéõĆ÷éšćî
ÿćøÿîđìý ĒúąÖćøÙüïÙčöÖćøđÖĘïøüïøüöĀúĆÖåćî

öćêøåćî
9.2.1 ĀîšćìĊęÙüćöøĆïñĉéßĂïĒúą×ĆĚîêĂîðäĉïĆêĉ (Responsibilities and Procedures)
1) ÙèąìĞćÜćî EGAT CERT êšĂÜÖĞćĀîéĒîüìćÜĔîÖćøđòŜćøąüĆÜøąïïÿćøÿîđìý ĒúąßŠĂÜēĀüŠéšćî
øąïïÿćøÿîđìý
2) ĀĆüĀîšćÜćîÿćøÿîđìý êšĂÜÖĞćĀîéĀîšćìĊęÙüćöøĆïñĉéßĂï×ĂÜĀîŠü÷ÜćîÿćøÿîđìýĔîÖćøđòŜćøąüĆÜ
øąïïÿćøÿîđìý ĒúąßŠĂÜēĀüŠéšćîøąïïÿćøÿîđìý êćöĒîüìćÜĔîÖćøđòŜćøąüĆÜ đóČęĂêĉéêćöĒúą
ðŜĂÜÖĆîÿëćîÖćøèŤìĊęđÖĊę÷üÖĆïÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý
3) ÙèąìĞćÜćî EGAT CERT êšĂÜÝĆéìĞć ĒñîøĂÜøĆïÿëćîÖćøèŤìĊęđÖĊę÷üÖĆïÙüćööĆęîÙÜðúĂéõĆ÷
(Incident Response Plan) đóČęĂøĆïöČĂÖĆïÿëćîÖćøèŤìĊęđÖĊę÷üÖĆïÙüćööĆęîÙÜðúĂéõĆ÷éšćî
ÿćøÿîđìý éĆÜêŠĂĕðîĊĚ
1. ÙüćöúšöđĀúü ĀøČĂÖćøĀ÷čéÖćøĔĀšïøĉÖćø×ĂÜøąïïÿćøÿîđìý
2. ēðøĒÖøöìĊęĕöŠðøąÿÜÙŤéĊ
3. ÖćøēÝöêĊđóČęĂĔĀšđÖĉéÖćøĀ÷čéÖćøĔĀšïøĉÖćø (Denial of Service)
4. ÙüćöñĉéóúćéÝćÖ×šĂöĎúìćÜíčøÖĉÝìĊęĕöŠÿöïĎøèŤĀøČĂĕöŠëĎÖêšĂÜ
5. ÖćøÿĎâđÿĊ÷ÙüćöúĆïĒúąÙüćöëĎÖêšĂÜÙøïëšüî
6. ÖćøĔßšøąïïÿćøÿîđìýñĉéüĆêëčðøąÿÜÙŤ
îĂÖÝćÖîĊĚ ĒñîøĂÜøĆïÿëćîÖćøèŤìĊęđÖĊę÷üÖĆïÙüćööĆęîÙÜðúĂéõĆ÷ (Incident Response Plan)
êšĂÜÙøĂïÙúčöëċÜđøČęĂÜéĆÜêŠĂĕðîĊĚ
1. ÖćøüĉđÙøćąĀŤĒúąÖćøøąïčÿćđĀêč×ĂÜÖćøđÖĉé×ċĚî×ĂÜÿëćîÖćøèŤìĊęđÖĊę÷üÖĆïÙüćööĆęîÙÜ
2. ÖćøüćÜĒñîĒúąÖćøĒÖšĕ×ĒïïđßĉÜðŜĂÜÖĆîđóČęĂðŜĂÜÖĆîĕöŠĔĀšđÖĉéðŦâĀćĒïïđéĉöĔîĂîćÙê
3. ÖćøêĉéêŠĂÿČęĂÿćøÖĆïïčÙÙúĀøČĂĀîŠü÷ÜćîìĊęđÖĊę÷ü×šĂÜĔîÖćøÖĎšÙČîøąïï
4. Öćøøć÷ÜćîñúÖćøðäĉïĆêĉÜćî
4) ÙèąìĞćÜćî EGAT CERT êšĂÜìĞćĀîšćìĊęðøąÿćîÜćîÖĆïĀĆüĀîšćÜćîÿćøÿîđìý ĔîÖćøÝĆéÖćø
ĀúĆÖåćîÖćøêøüÝÿĂï (Audit Trail) Ēúąó÷ćîĀúĆÖåćîĂ÷ŠćÜđĀöćąÿö ēé÷ÖćøĔßšüĉíĊđÖĘïøüïøüö
ó÷ćîĀúĆÖåćîìćÜîĉêĉüĉì÷ćýćÿêøŤ (Forensic Evidence)
5) ĀĆüĀîšćÜćîÿćøÿîđìý êšĂÜÝĆéĔĀšöĊÖćøÙüïÙčöÖĉÝÖøøöÖćøĒÖšĕ×ĒúąÖĎšÙČîøąïïđöČęĂđÖĉéÿëćîÖćøèŤ
ìĊęđÖĊę÷üÖĆïÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý ēé÷ÖćøÙüïÙčöÖĉÝÖøøöêšĂÜÙøĂïÙúčöéĆÜêŠĂĕðîĊĚ
1. ñĎšìĊęìĞćÖćøĒÖšĕ×ĒúąÖĎšÙČîøąïïÜćîÝøĉÜ êšĂÜđðŨîñĎšìĊęĕéšøĆïĂîčâćêđìŠćîĆĚî
2. öĊÖćøÝĆéìĞćđĂÖÿćøĒÿéÜøć÷úąđĂĊ÷éÖćøéĞćđîĉîÖćøĒÖšĕ×ĒúąÖĎšÙČîøąïï
3. öĊÖćøøć÷ÜćîñúÖćøĒÖšĕ×ĒúąÖĎšÙČî

9.2.2 ÖćøđøĊ÷îøĎšÝćÖÿëćîÖćøèŤìĊęđÖĊę÷üÖĆïÙüćööĆęîÙÜðúĂéõĆ÷ (Learning From Security Incidents)
1) ÙèąìĞćÜćî EGAT CERT êšĂÜüĉđÙøćąĀŤ øć÷ÜćîđĀêčÖćøèŤìĊęđÖĊę÷üÖĆïöĆęîÙÜðúĂéõĆ÷éšćî
ÿćøÿîđìý đóČę Ă îĞ ć ĕððøĆ ï ðøč Ü ÖćøÙüïÙč ö éš ć îÿćøÿîđìý óøš Ă öìĆĚ Ü ÝĆ é ìĞ ć øć÷Üćîÿøč ð ĔĀš
ÙèąÖøøöÖćøđìÙēîēú÷Ċÿćøÿîđìý Öôñ. (Ùìÿ.) ìøćï
2) õć÷ĀúĆÜ ÝćÖìĊęÿ ëćîÖćøèŤ ìĊęđÖĊę ÷ üÖĆïéš ć îÙüćööĆę îÙÜðúĂéõĆ ÷ ĕéšëĎ Ö éĞć đîĉ î ÖćøĒÖš ĕ ×đÿøĘ Ý ÿĉĚ î
ĀĆüĀîšćÜćîÿćøÿîđìý êšĂÜéĞćđîĉîÖćøđøĊ÷îøĎšøĎðĒïï×ĂÜÿëćîÖćøèŤ đóČęĂøąïčĒúąìĞćÙüćöđ×šćĔÝ
ÝčéĂŠĂî ßŠĂÜēĀüŠ ×ĂÜÿëćîÖćøèŤ óøšĂöìĆĚÜÖĞćĀîéöćêøÖćøĔîÖćøðŜĂÜÖĆîđóČęĂĕöŠĔĀšÿëćîÖćøèŤ
đÖĉé×ċĚîĂĊÖĔîĂîćÙê ēé÷×šĂöĎúĔîÖćøýċÖþćĀøČĂđøĊ÷îøĎšÿëćîÖćøèŤÙüøóĉÝćøèćđøČęĂÜéĆÜêŠĂĕðîĊĚ
1. ÿĂïìćîüŠć ÿëćîÖćøèŤđÖĉé×ċĚîĕéšĂ÷ŠćÜĕø đßŠî đÖĉéÝćÖÝčéĂŠĂîĀøČĂßŠĂÜēĀüŠÝčéĕĀî
ÖćøïčÖøčÖđÖĉé×ċĚîĕéšĂ÷ŠćÜĕø đðŨîêšî
2. ÿĂïìćîüŠć ÙèąìĞćÜćî EGAT CERT ĕéšøĆïÖćøĒÝšÜÿëćîÖćøèŤĕéšĂ÷ŠćÜĕø
3. ÿĂïìćîüŠć ÿëćîÖćøèŤìĊęđÖĊę÷üÖĆïÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìýĕéšøĆïÖćøĒÖšĕ×
Ă÷ŠćÜĕø
4. ÿĂïìćîüŠć ×ĆĚîêĂîÖćøðäĉïĆêĉÜćîìĊęđÖĊę÷ü×šĂÜìĊęöĊĂ÷ĎŠĔîðŦÝÝčïĆî đóĊ÷ÜóĂĔîÖćøøĆïöČĂÖĆï
ÿëćîÖćøèŤĀøČĂêšĂÜéĞćđîĉîÖćøðøĆïðøčÜĒÖšĕ×ĀøČĂĕöŠ Ă÷ŠćÜĕø
5. ÿĂïìćîüŠć ÖćøÙüïÙčöÿĞćĀøĆïßŠĂÜēĀüŠ÷ĆÜöĊÙüćöÝĞćđðŨîĂ÷ĎŠĀøČĂĕöŠ
3) ÙèąìĞćÜćî EGAT CERT êšĂÜðøąÿćîÜćîÖĆïĀĆüĀîšćÜćîÿćøÿîđìý đóČęĂøüïøüöÖćøđøĊ÷îøĎš
øĎðĒïï×ĂÜÿëćîÖćøèŤĄ óøšĂöìĆĚÜ đñ÷ĒóøŠÙüćöøĎšĔĀšĒÖŠñĎšðäĉïĆêĉÜćîìĊęđÖĊę÷ü×šĂÜ ĔîÖćøđêøĊ÷öÖćø
ðŜĂÜÖĆîÿëćîÖćøèŤìĊęđÖĊę÷üÖĆïÙüćööĆęîÙÜðúĂéõĆ÷ ìĊęÝąđÖĉé×ċĚîĔîĂîćÙê
9.2.3 ÖćøđÖĘïøüïøüöĀúĆÖåćî (Collection of Evidence)

1) ÙèąìĞćÜćî EGAT CERT öĊĀîšćìĊęðøąÿćîÜćîĔîÖćøđÖĘïøüïøüöó÷ćîĀúĆÖåćî ĔîÖøèĊìĊęđÖĉé
đĀêčÖćøèŤìĊęđÖĊę÷üÖĆïÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý
2) ÖøąïüîÖćøĔîÖćøđÖĘïøüïøüöĀúĆÖåćî êšĂÜóĉÝćøèćđøČęĂÜéĆÜêŠĂĕðîĊĚ
1. Öćø÷ĂöøĆï×ĂÜĀúĆÖåćîìĊęÿćöćøëĔßšđðŨîĀúĆÖåćîĂšćÜĂĉÜĔîÖøąïüîÖćøìćÜýćú
2. îĚĞćĀîĆÖ×ĂÜĀúĆÖåćîìĊęÝĆéđÖĘï (ÙčèõćóĒúąÙüćöÙøïëšüîÿöïĎøèŤ×ĂÜĀúĆÖåćî)
3) ÖćøøüïøüöĒúąÝĆ é đÖĘ ï ĀúĆÖ åćî êš Ă ÜđðŨ î ĕðêćöĀúĆ Ö đÖèæŤ ìĊę Ö ãĀöć÷ÖĞ ć Āîé ĔîÖćøøĆ Ö þć
ÙüćöîŠćđßČęĂëČĂ×ĂÜó÷ćîĀúĆÖåćîđóČęĂĔßšĂšćÜĂĉÜĔîÖøąïüîÖćøìćÜýćú ìĆĚÜîĊĚÖćøđÖĘïøüïøüö
ĀúĆÖåćîêšĂÜöĊÖćøÙüïÙčöđøČęĂÜéĆÜêŠĂĕðîĊĚ
1. ĀúĆÖåćîðøąđõìđĂÖÿćøìĊęđðŨîÖøąéćþ
x êšîÞïĆï×ĂÜđĂÖÿćøìĊęđðŨîÖøąéćþ êšĂÜöĊÖćøđÖĘïøĆÖþćĂ÷ŠćÜöĆęîÙÜðúĂéõĆ÷êúĂé
øą÷ąđüúć×ĂÜÖćøÿČïÿüî ēé÷öĉĔĀšêšîÞïĆï×ĂÜđĂÖÿćøìĊęđðŨîÖøąéćþđðúĊę÷îĒðúÜ
ĕð óøšĂöìĆĚÜöĊÖćøÝéïĆîìċÖøć÷úąđĂĊ÷éÖćøÙšîóï đßŠî ßČęĂĒúąîćöÿÖčúñĎšÙšîóï
ÿëćîìĊęÙšîóï đüúćìĊęÙšîóï Ēúąó÷ćîìĊęÙšîóï
2. ĀúĆÖåćîðøąđõìÿČęĂĂĉđúĘÖìøĂîĉÖÿŤ
x ÝĆéìĞćÿĞćđîć×ĂÜÿČęĂĂĉđúĘÖìøĂîĉÖÿŤĒïïđÙúČęĂî÷šć÷ĕéš (Removable Media) ×šĂöĎú
ĔîĀîŠü÷đÖĘï×šĂöĎú (Hard disk) Ēúą ĀîŠü÷ÙüćöÝĞć (Memory) ĔîøĎðĒïï Mirror
ìĆĚÜîĊĚĔî×ĆĚîêĂîÖćøđÖĘïøüïøüöĀúĆÖåćîêšĂÜöĊÖćøïĆîìċÖøŠĂÜøĂ÷ óøšĂöìĆĚÜöĊó÷ćî
ïčÙÙúĔî×èąðäĉïĆêĉÜćî ĂĊÖìĆĚÜÖćøÿĞćđîćÿČęĂĂĉđúĘÖìøĂîĉÖÿŤĒúąïĆîìċÖøŠĂÜøĂ÷ êšĂÜ
ÝĆéđÖĘïĂ÷ŠćÜðúĂéõĆ÷ đóČęĂðŜĂÜÖĆîÖćøĒÖšĕ×ĀøČĂđ×šćëċÜēé÷ĕöŠĕéšøĆïĂîčâćê
ST-10: öćêøåćîÖćøïøĉĀćøÙüćöêŠĂđîČęĂÜĔîÖćøéĞćđîĉîÜćî×ĂÜ Öôñ. (Standard of

Business Continuity Management)
đóČęĂïøĉĀćøĒúąÝĆéÖćøÙüćöêŠĂđîČęĂÜĔîÖćøéĞćđîĉîÜćî×ĂÜĂÜÙŤÖø ĕéšÖĞćĀîéĔĀšöĊöćêøåćîÖćøïøĉĀćøÙüćö
êŠĂđîČęĂÜĔîÖćøéĞćđîĉîÜćî×ĂÜĂÜÙŤÖø đøČęĂÜĀĆü×šĂóČĚîåćîÿĞćĀøĆïÖćøïøĉĀćøÙüćöêŠĂđîČęĂÜĔîÖćøéĞćđîĉîÜćî×ĂÜ
ĂÜÙŤÖø (Information Security Aspects of Business Continuity Management)
ÙèąÖøøöÖćøïøĉĀćøÝĆéÖćøéšćî÷čìíýćÿêøŤ ÖćøïøĉĀćøÙüćöđÿĊę÷ÜĒúąÖćøÙüïÙčöõć÷Ĕî Öôñ. (Ù÷ÿ.)/
ÙèąĂîčÖøøöÖćøïøĉĀćøÙüćöêŠĂđîČęĂÜĔîÖćøéĞćđîĉîÜćî (Business Continuity Steering
Committee)
ĒêŠÜêĆĚÜÙèąìĞćÜćîõć÷ĔîÙèąìĞćÜćîÖćøïøĉĀćøÙüćöêŠĂđîČęĂÜĔîÖćøéĞćđîĉîÜćî
ĔĀšÙĞćðøċÖþćÙèąìĞćÜćîÖćøïøĉĀćøÙüćöêŠĂđîČęĂÜĔîÖćøéĞćđîĉîÜćî
óĉÝćøèćÖøĂïÿĞćĀøĆïĒñîđóČęĂÿøšćÜÙüćöêŠĂđîČęĂÜĔĀšÖĆïíčøÖĉÝ (BCP Framework)
óĉÝćøèćĒñîÿøšćÜÙüćöêŠĂđîČęĂÜĔĀšÖĆïíčøÖĉÝ (BCP)
ÝĆéÿøøìøĆó÷ćÖø ïčÙúćÖøĒúąÜïðøąöćèìĊęđóĊ÷ÜóĂ
ÙèąìĞćÜćîÖćøïøĉĀćøÙüćöêŠĂđîČęĂÜĔîÖćøóĆçîćÖćøéĞćđîĉîÜćî (BCP Development Team)

ÝĆéìĞćÖú÷čìíŤÖćøïøĉĀćøÙüćöêŠĂđîČęĂÜĔîÖćøéĞćđîĉîÜćî (BCP Strategy)
ÝĆéìĞćÖøĂïÿĞćĀøĆïĒñîđóČęĂÿøšćÜÙüćöêŠĂđîČęĂÜĔĀšÖĆïíčøÖĉÝ (BCP Framework)
ðøąÿćîÜćîÖĆïÿć÷ÜćîêŠćÜėĔîÖćøðøąđöĉîÙüćöđÿĊę÷ÜĒúąñúÖøąìïìćÜíčøÖĉÝ (Business
Impact Analysis)
ðøąÿćîÜćîÖĆïÿć÷ÜćîêŠćÜė ĔîÖćøÝĆéìĞć ìéÿĂï ĒúąðøĆïðøčÜĒÖšĕ× ĒñîÿøšćÜÙüćöêŠĂđîČęĂÜ
ĔĀšÖĆïíčøÖĉÝ (BCP)
ðøąÿćîÜćîÖĆïÿć÷ÜćîêŠćÜė ĔîÖćøÖĞćĀîéÖćøÙüïÙčöĒñîÙüćöêŠĂđîČęĂÜĔîÖćøéĞćđîĉîÜćî
ðøąÿćîÜćîÖĆïĀîŠü÷ÜćîìĊęđÖĊę÷ü×šĂÜĔîÖćøÝĆéìĞć ×ĆĚîêĂîðäĉïĆêĉÜćîĔîÖøèĊÞčÖđÞĉî
ðøąÿćîÜćîÖĆïÿć÷ÜćîêŠćÜė ĔîÖćøÖĞćĀîéêćøćÜÖćøìéÿĂï×ĂÜĒñîÿøšćÜÙüćöêŠĂđîČęĂÜĔĀšÖĆï
íčøÖĉÝ (BCP)
éĎĒúÝĆéÖćøĒñîÿøšćÜÙüćöêŠĂđîČęĂÜĔĀšÖĆïíčøÖĉÝ (BCP) ĒúąđĂÖÿćøêŠćÜė ìĊęđÖĊę÷ü×šĂÜ đßŠî ñúÖćø
ìéÿĂï đðŨîêšî
ïøĉĀćøÝĆéÖćøÖćøđðúĊę÷îĒðúÜĒñîÿøšćÜÙüćöêŠĂđîČęĂÜĔĀšÖĆïíčøÖĉÝ (BCP) ĒúąÖú÷čìíŤÖćøïøĉĀćø
ÙüćöêŠĂđîČęĂÜĔîÖćøéĞćđîĉîÜćî ĒúąđĂÖÿćøêŠćÜė ìĊęđÖĊę÷ü×šĂÜ
đðŨîýĎî÷ŤðøąÿćîÜćîĔîÖćøÖĎšÙČî Öćøøüöóú ĒúąÖćøÖøąÝć÷×Šćüÿćø
ÙèąìĞćÜćîÖćøïøĉĀćøÙüćöêŠĂđîČęĂÜĔîÖćøðäĉïĆêĉÖćøéĞćđîĉîÜćî(BCP Execution Team)

ÜćîéšćîïøĉĀćøüĉÖùêÖćøèŤ (Crisis Management)
êĆéÿĉîĔÝĔîÖćøðøąÖćýĔßšĒñîÿøšćÜÙüćöêŠĂđîČęĂÜĔĀšÖĆïíčøÖĉÝ (BCP) ĒúąĒÝšÜĔĀšÙèąìĞćÜćîÖĎšÙČî
ìøćï
ĒÝšÜđĀêčÖćøèŤĔîđïČĚĂÜêšîĔĀšĀîŠü÷Üćîõć÷îĂÖìøćï
ĔĀšÙĞćĒîąîĞćéšćîÖú÷čìíŤĔîÖøèĊđÖĉéđĀêčõĆ÷óĉïĆêĉ
ïĆîìċÖÖĉÝÖøøöêŠćÜė ìĊęéĞćđîĉîÖćøĔîßŠüÜđÖĉéđĀêčÖćøèŤõĆ÷óĉïĆêĉ
óĉÝćøèćüŠćÝąðøĆïðøčÜÿĞćîĆÖÜćîĀúĆÖìĊęĕéšøĆïÙüćöđÿĊ÷Āć÷ ĀøČĂÿøšćÜÿĞćîĆÖÜćîĔĀöŠ
ÿŠÜöĂïĀîšćìĊęÙüćöøĆïñĉéßĂïÖúĆïÙČîĒÖŠÿć÷ÜćîêŠćÜė đöČęĂđĀêčÖćøèŤÖúĆïÿĎŠõćüąðÖêĉ
ÜćîéšćîðøąđöĉîÿëćîÖćøèŤ (Assessment) ÙøĂïÙúčöÜćî éĆÜêŠĂĕðîĊĚ
ðøąđöĉîđüúćìĊęĕöŠÿćöćøëĔĀšïøĉÖćøĀøČĂéĞćđîĉîíčøÖĉÝĕéšĒúąĒÖšĕ×ðŦâĀć
ðøąÿćîÜćîÖĆ ï ĀîŠ ü ÷ÜćîìĊę đ ÖĊę ÷ ü×š Ă ÜđóČę Ă ÖĎš ÙČ î ÿĞ ć îĆ Ö ÜćîìĊę đ Öĉ é ÙüćöđÿĊ ÷ Āć÷ ĀøČ Ă ÝĆ é đêøĊ ÷ ö
ÿĞćîĆÖÜćîĔĀöŠ
ÝĆéêĆĚÜýĎî÷ŤïĆâßćÖćøÞčÖđÞĉîĔîÖćøÿĆęÜÖćøßŠüÜõćüąüĉÖùê
ÝĆéêĆĚÜÿëćîìĊęìĞćÜćîÿĞćøĂÜ
ÜćîéšćîÖĎšÙČîÖćøéĞćđîĉîíčøÖĉÝ (Business Recovery) ÙøĂïÙúčöÜćî éĆÜêŠĂĕðîĊĚ
ÝĆéđêøĊ÷öÙüćöóøšĂö×ĂÜïčÙÙúćÖøĒúąÿëćîìĊę
đÙúČęĂî÷šć÷ñĎšðäĉïĆêĉÜćîĀúĆÖĕð÷ĆÜýĎî÷ŤÿĞćøĂÜ
ĔĀšÙüćößŠü÷đĀúČĂĀîŠü÷ÜćîĂČęîė ĔîÖćøđÙúČęĂî÷šć÷
ÜćîéšćîÖĎšÙČîéšćîđìÙîĉÙ (Technical Recovery) ÙøĂïÙúčöÜćî éĆÜêŠĂĕðîĊĚ
ðøąÿćîÜćîÖĆïĀîŠü÷ÜćîÿćøÿîđìýđóČęĂÝĆéđêøĊ÷öÖøąïüîÖćøìćÜđìÙîĉÙĔîÖćøÖĎšÙČîøąïï
ÿćøÿîđìý øąïïđÙøČĂ×Šć÷ ĒĂóóúĉđÙßĆęî Ēúą×šĂöĎúÝćÖÿČęĂÿĞćøĂÜ
ðøąÿćîÜćîÖĆïĀîŠü÷ÜćîÿćøÿîđìýđóČęĂÝĆéđêøĊ÷öÙüćöóøšĂöĒúąÖćøïøĉĀćøÝĆéÖćøýĎî÷ŤÿĞćøĂÜ
đßŠî ĀšĂÜđÖĘïÿČęĂÿĞćøĂÜ×šĂöĎú øąïïđÙøČĂ×Šć÷ÿĞćøĂÜ ÖćøđðŗéĔßšÜćîđÙøČęĂÜÙĂöóĉüđêĂøŤĒöŠ×Šć÷
đðŨîêšî
ðøąÿćîÜćîÖĆïĀîŠü÷ÜćîÿćøÿîđìýđóČęĂêøüÝÿĂïÙüćöóøšĂö×ĂÜøąïïÿćøÿîđìýĒúąøąïï
đÙøČĂ×Šć÷ đóČęĂĔĀšöĆęîĔÝüŠćÿćöćøëĔĀšïøĉÖćøĒÖŠñĎšðäĉïĆêĉÜćîĕéš
ÿć÷ÜćîêŠćÜė
ðøąÿćîÜćîÖĆ ï ÙèąìĞ ć ÜćîÖćøïøĉ Ā ćøÙüćöêŠ Ă đîČę Ă ÜĔîÖćøóĆ ç îćÖćøéĞ ć đîĉ î Üćî (BCP
Development Team) ĔîÖćøøąïčÖøąïüîÖćøìćÜíčøÖĉÝìĊęöĊÙüćöÿĞćÙĆâ ĒúąøąïčñúÖøąïììĊęĂćÝ
đðŨîĕðĕéšđöČęĂøąïïĀ÷čéßąÜĆÖ
Development Team) ĔîÖćøðøąđöĉîÙüćöđÿĊę÷ÜìĊęöĊñúêŠĂÙüćöêŠĂđîČęĂÜÖćøéĞćđîĉîÜćî×ĂÜ Öôñ.
Development Team) ĔîÖćøÖĞćĀîéñúÖøąìï×ĂÜõĆ÷ÙčÖÙćöêŠćÜėìĊęîŠćÝąđÖĉé×ċĚî øüöìĆĚÜüĉđÙøćąĀŤ
ëċÜ ÙüćöđÿĊ÷Āć÷ĒúąúĞćéĆïÙüćöÿĞćÙĆâĔîÖćøÖĎšÙČî øą÷ąđüúćĔîÖćøÖĎšÙČî ĒúąìøĆó÷ćÖøóČĚîåćîìĊęĔßš
ĔîÖćøÖĎšÙČî
óĉÝćøèćüŠćĒñîÿøšćÜÙüćöêŠĂđîČęĂÜĔĀšÖĆïíčøÖĉÝ (BCP) êšĂÜÙøĂïÙúčöĒĂóóúĉđÙßĆîìĊęöĊÙüćöÿĞćÙĆâ
ìĆĚÜĀöé
Development Team) ĔîÖćøÝĆéìĞć ìéÿĂï ĒúąðøĆïðøčÜĒÖšĕ× ĒñîÿøšćÜÙüćöêŠĂđîČęĂÜĔĀšÖĆïíčøÖĉÝ
(BCP)
Development Team) ĔîÖćøÖĞćĀîéÖćøÙüïÙčöĒñîÙüćöêŠĂđîČęĂÜĔîÖćøéĞćđîĉîÜćî
ìĞćÿĞćđîćĒñîÿøšćÜÙüćöêŠĂđîČęĂÜĔĀšÖĆïíčøÖĉÝ ĒúąđĂÖÿćøĂČęîìĊęÝĞćđðŨîêšĂÜĔßšĔîÖćøÿîĆïÿîčîĒñîÜćî
Development Team) ĔîÖćøÖĞćĀîéêćøćÜÖćøìéÿĂï×ĂÜĒñîÿøšćÜÙüćöêŠĂđîČęĂÜĔĀšÖĆïíčøÖĉÝ
(BCP)
ðøąÿćîÜćîÖĆïÙèąìĞćÜćîÖćøïøĉĀćøÙüćöêŠĂđîČęĂÜĔîÖćøðäĉïĆêĉÖćøéĞćđîĉîÜćî(BCP Execution
Team) đóČęĂÝĆéĔĀšöĊÖćøïĆîìċÖñúÖćøìéÿĂïóøšĂöøć÷ÜćîêŠĂÙèąÖøøöÖćøïøĉĀćøÝĆéÖćøéšćî

÷čìíýćÿêøŤ ÖćøïøĉĀćøÙüćöđÿĊę÷ÜĒúąÖćøÙüïÙčöõć÷Ĕî Öôñ. (Ù÷ÿ.)/ÙèąĂîčÖøøöÖćøïøĉĀćø
ÙüćöêŠĂđîČęĂÜĔîÖćøéĞćđîĉîÜćî ĒúąñĎšïøĉĀćøìĊęđÖĊę÷ü×šĂÜøĆïìøćï
Development Team) ĔîÖćøðøĆïðøčÜĒñîÿøšćÜÙüćöêŠĂđîČęĂÜĔĀšÖĆïíčøÖĉÝ (BCP) ĔĀšđðŨîðŦÝÝčïĆî
10.1 ĀĆ ü ×š Ă óČĚ î åćîÿĞ ćĀøĆï ÖćøïøĉĀ ćøÙüćöêŠ Ă đîČęĂ ÜĔîÖćøéĞ ć đîĉ îÜćî×ĂÜĂÜÙŤ Ö ø
(Information Security Aspects of Business Continuity Management)
ĔĀšöĊÖøąïüîÖćøĔîÖćøïøĉĀćøÙüćöêŠĂđîČęĂÜĔĀšÖĆïíčøÖĉÝ ÖćøðøąđöĉîÙüćöđÿĊę÷ÜĔîÖćøÿøšćÜÙüćöêŠĂđîČęĂÜ
ĔĀšÖĆïíčøÖĉÝ ÖćøÝĆéìĞćĒúąĔßšÜćîĒñîÿøšćÜÙüćöêŠĂđîČęĂÜĔĀšÖĆïíčøÖĉÝ ÖćøÖĞćĀîéÖøĂïÿĞćĀøĆïÖćøüćÜĒñîđóČęĂ
ÿøšćÜÙüćöêŠĂđîČęĂÜĔĀšÖĆïíčøÖĉÝ êúĂéÝîÖćøìéÿĂïĒúąÖćøðøĆïðøčÜĒñîÿøšćÜÙüćöêŠĂđîČęĂÜĔĀšÖĆïíčøÖĉÝ
(BCP)
öćêøåćî
ēÙøÜÿøšćÜÖćøïøĉĀćøÙüćöêŠĂđîČęĂÜĔîÖćøéĞćđîĉîÜćî
Öôñ. êšĂÜÖĞćĀîéēÙøÜÿøšćÜÖćøïøĉĀćøÙüćöêŠĂđîČęĂÜĔîÖćøéĞćđîĉîÜćî ĒúąÝĆéêĆĚÜÙèąìĞćÜćîÖćøïøĉĀćøÙüćö
êŠĂđîČęĂÜĔîÖćøéĞćđîĉîÜćî éĆÜêŠĂĕðîĊĚ

øĎðìĊę 1: ēÙøÜÿøšćÜÖćøïøĉĀćøÙüćöêŠĂđîČęĂÜĔîÖćøéĞćđîĉîÜćî×ĂÜ Öôñ.
10.1.1. ÖćøîĞ ć ÙüćööĆę î ÙÜðúĂéõĆ ÷ öćĔßš ÖĆ ï ÖøąïüîÖćøïøĉ Ā ćøÙüćöêŠ Ă đîČę Ă ÜĔîÖćøéĞ ć đîĉ î Üćî
(Including Information Security in The Business Continuity Management Process)
1) ÙèąÖøøöÖćøïøĉĀćøÝĆéÖćøéšćî÷čìíýćÿêøŤ ÖćøïøĉĀćøÙüćöđÿĊę÷ÜĒúąÖćøÙüïÙčöõć÷Ĕî Öôñ.
(Ù÷ÿ.)/ÙèąĂîčÖøøöÖćøïøĉĀćøÙüćöêŠĂđîČęĂÜĔîÖćøéĞćđîĉîÜćî Ēúąÿć÷ÜćîêŠćÜėêšĂÜöĆęîĔÝüŠć
ĒñîÿøšćÜÙüćöêŠĂđîČęĂÜĔĀšÖĆïíčøÖĉÝ (BCP) ÙøĂïÙúčöĒĂóóúĉđÙßĆîìĊęöĊÙüćöÿĞćÙĆâìĆĚÜĀöé
2) ÙèąÖøøöÖćøïøĉĀćøÝĆéÖćøéšćî÷čìíýćÿêøŤ ÖćøïøĉĀćøÙüćöđÿĊę÷ÜĒúąÖćøÙüïÙčöõć÷Ĕî Öôñ.
(Ù÷ÿ.)/ÙèąĂîčÖøøöÖćøïøĉĀćøÙüćöêŠĂđîČęĂÜĔîÖćøéĞćđîĉîÜćî êšĂÜöĆęîĔÝüŠćÖøąïüîÖćøïøĉĀćø
ÙüćöêŠĂđîČęĂÜĔîÖćøéĞćđîĉîÜćîêšĂÜöĊĂÜÙŤðøąÖĂïĀúĆÖ éĆÜêŠĂĕðîĊĚ
1. ÖćøøąïčëċÜÖøąïüîÖćøìćÜíčøÖĉÝĒúąøąïïÿćøÿîđìýìĊęÿîĆïÿîčî
2. ÖćøðøąđöĉîñúÖøąìïìćÜíčøÖĉÝ (Business Impact Analysis)
x ÖćøøąïčõĆ÷óĉïĆêĉÙüćöñĉéóúćéìćÜÙüćööĆęîÙÜðúĂéõĆ÷ìĊęĂćÝđÖĉé×ċĚîĕéš àċęÜđðŨî
ÿćđĀêčĔĀšÖøąïüîÖćøìćÜíčøÖĉÝ×ĂÜ Öôñ. Ā÷čéßąÜĆÖ
x ÖćøðøąđöĉîñúÖøąìïÝćÖõĆ÷óĉïĆêĉÙüćöñĉéóúćéìćÜÙüćööĆęîÙÜðúĂéõĆ÷ìĊęöĊ
Öćøøąïč
3. ÖćøÝĆéìĞćÖú÷čìíŤÖćøïøĉĀćøÙüćöêŠĂđîČęĂÜĔîÖćøéĞćđîĉîÜćî (BCP Strategy) Ă÷ŠćÜ
đðŨîúć÷úĆÖþèŤĂĆÖþø

4. ÖćøÝĆéìĞćÖøĂïÿĞćĀøĆïĒñîđóČęĂÿøšćÜÙüćöêŠĂđîČęĂÜĔĀšÖĆïíčøÖĉÝ (BCP Framework)
5. ÖćøÝĆéìĞćĒñîÿøšćÜÙüćöêŠĂđîČęĂÜĔĀšÖĆïíčøÖĉÝ (BCP) Ă÷ŠćÜđðŨîúć÷úĆÖþèŤĂĆÖþø
6. ÖćøìéÿĂïĒñîÿøšćÜÙüćöêŠĂđîČęĂÜĔĀšÖĆïíčøÖĉÝ (BCP) Ă÷ŠćÜÿöęĞćđÿöĂ
7. ÖćøÿĂïìćîĒúąðøĆïðøčÜĒñîÿøšćÜÙüćöêŠĂđîČęĂÜĔĀšÖĆïíčøÖĉÝ (BCP)
10.1.2. ÖćøðøąđöĉîÙüćöđÿĊę÷ÜĔîÖćøÿøšćÜÙüćöêŠĂđîČęĂÜĔîÖćøéĞćđîĉîÜćî (Business Continuity and

Risk Assessment)
1) ÿć÷ÜćîêŠćÜėĒúąÙèąìĞćÜćîÙèąìĞćÜćîÖćøïøĉĀćøÙüćöêŠĂđîČęĂÜĔîÖćøóĆçîćÖćøéĞćđîĉîÜćî
(BCP Development Team) êšĂÜøŠüöÖĆîĔîÖćøøąïčÖøąïüîÖćøìćÜíčøÖĉÝìĊęöĊÙüćöÿĞćÙĆâ Ēúą
øąïčñúÖøąïììĊęĂćÝđðŨîĕðĕéšđöČęĂøąïïĀ÷čéßąÜĆÖ øüöìĆĚÜÖćøøąïčÙüćöêšĂÜÖćøóČĚîåćîđóČęĂÖćø
ïĞćøčÜøĆÖþćĒúą ÖćøôŚŪîôĎøąïïÿćøÿîđìýìćÜíčøÖĉÝìĊęöĊÙüćöÿĞćÙĆâ
2) ÿć÷ÜćîêŠć ÜėĒúąÙèąìĞ ć ÜćîÖćøïøĉ Ā ćøÙüćöêŠĂ đîČę Ă ÜĔîÖćøóĆ ç îćÖćøéĞ ć đîĉî Üćî (BCP
Development Team) êšĂÜøŠüöÖĆîðøąđöĉîÖćøðøąđöĉîÙüćöđÿĊę÷ÜĒúąñúÖøąìïìćÜíčøÖĉÝ
(Business Impact Analysis) ĔîÖćøéĞćđîĉîÜćî×ĂÜ Öôñ. ēé÷ÖćøðøąđöĉîÙüćöđÿĊę÷ÜéĆÜÖúŠćü
êšĂÜóĉÝćøèćĔîđøČęĂÜéĆÜêŠĂĕðîĊĚ
1. ÙøĂïÙúč ö ìč Ö ÖøąïüîÖćøìćÜíč ø Öĉ Ý êúĂéÝîøąïïÿćøÿîđìýĒúąĂč ð ÖøèŤ
ðøąöüúñúÿćøÿîđìýìĊęÿîĆïÿîčî
2. đĀêčÖćøèŤêŠćÜė àċęÜĂćÝÿŠÜñúÖøąìïêŠĂÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý Ēúą
ĂćÝìĞćĔĀšÖćøéĞćđîĉîíčøÖĉÝĀ÷čéßąÜĆÖđßŠî ÙüćöđÿĊ÷Āć÷×ĂÜĂčðÖøèŤ Ùüćöñĉéóúćé
ÝćÖÖćøðäĉ ïĆ êĉ Ü ćî ÖćøēÝøÖøøö ĂĆ Ù ÙĊ õĆ ÷ õĆ ÷ óĉ ïĆ êĉ ì ćÜíøøößćêĉ ĒúąÖćøÖŠ Ă
Öćøøšć÷ đðŨîêšî
3. ñúÖøąìï×ĂÜÙüćöđÿĊę÷ÜìĊęöĊñúêŠĂÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý
4. ÖćøÝĆéúĞćéĆïÙüćöÿĞćÙĆâ×ĂÜÙüćöđÿĊę÷Ü ēé÷êšĂÜóĉÝćøèćÝćÖðŦÝÝĆ÷ìĊęÿĞćÙĆâ đßŠî
ñúÖøąìï×ĂÜÖćøĀ÷čéßąÜĆÖ øą÷ąđüúćìĊę÷ĂöøĆïĕéš×ĂÜÖćøĀ÷čéßąÜĆÖ ĒúąúĞćéĆï
ÙüćöÿĞćÙĆâĔîÖćøÖĎšÙČîøąïï đðŨîêšî
3) ÿć÷ÜćîêŠ ć ÜėĒúąÙèąìĞ ć ÜćîÖćøïøĉ Ā ćøÙüćöêŠĂ đîČę Ă ÜĔîÖćøóĆ ç îćÖćøéĞ ć đîĉ î Üćî (BCP
Development Team) êšĂÜøŠüöÖĆîĔîÖćøÖĞćĀîéñúÖøąìï×ĂÜõĆ÷ÙčÖÙćöêŠćÜėìĊęîŠćÝąđÖĉé×ċĚî
øüöìĆĚÜüĉđÙøćąĀŤëċÜÙüćöđÿĊ÷Āć÷ĒúąúĞćéĆïÙüćöÿĞćÙĆâĔîÖćøÖĎšÙČî øą÷ąđüúćĔîÖćøÖĎšÙČî Ēúą
ìøĆó÷ćÖøóČĚîåćîìĊęĔßšĔîÖćøÖĎšÙČî ēé÷êšĂÜóĉÝćøèćëċÜõĆ÷ÙčÖÙćöĂ÷ŠćÜîšĂ÷ĔîđøČęĂÜéĆÜêŠĂĕðîĊĚ
1. õĆ÷íøøößćêĉ đßŠî ĂĆÙÙĊõĆ÷ ĀøČĂîĚĞćìŠüö đðŨîêšî
2. ÖćøÿĎâđÿĊ÷×ĂÜÖćøïøĉÖćøìĊęÿĞćÙĆâ đßŠî ĕôôŜć ÖćøÿČęĂÿćø ĀøČĂÖćøðøąðć đðŨîêšî
3. ÖćøÖøąìĞćēé÷êĆĚÜĔÝĒúąĕöŠĕéšêĆĚÜĔÝìĊęÖŠĂĔĀšđÖĉéÙüćöđÿĊ÷Āć÷êŠĂ ĂčðÖøèŤĀøČĂ×šĂöĎú
4. ÖćøðøąìšüÜ×ĂÜñĎšðäĉïĆêĉÜćî
5. ÖćøìĞćÜćîñĉéóúćé×ĂÜøąïï
6. ßŠĂÜēĀüŠéšćîÙüćööĆęîÙÜðúĂéõĆ÷
7. Öćøđðŗéđñ÷ÿćøÿîđìýìĊęđðŨîÙüćöúĆïēé÷êĆĚÜĔÝĒúąĕöŠĕéšêĆĚÜĔÝ
10.1.3. ÖćøÝĆéìĞćĒúąĔßšÜćîĒñîÿøšćÜÙüćöêŠĂđîČęĂÜĔîÖćøéĞćđîĉîÜćî (Developing and

Implementing Continuity Plans Including Information Security)
1) ÿć÷ÜćîêŠć ÜėĒúąÙèąìĞ ć ÜćîÖćøïøĉ Ā ćøÙüćöêŠĂ đîČę Ă ÜĔîÖćøóĆ ç îćÖćøéĞ ć đîĉ î Üćî (BCP
Development Team) êšĂÜÝĆéìĞć ìéÿĂï ĒúąðøĆïðøčÜĒÖšĕ× ĒñîÿøšćÜÙüćöêŠĂđîČęĂÜĔĀšÖĆï
íčøÖĉÝ (BCP) ēé÷ĒñîÿøšćÜÙüćöêŠĂđîČęĂÜĔĀšÖĆïíčøÖĉÝ êšĂÜøąïčøć÷úąđĂĊ÷éĔîÖćøÖĎšÙČîĒúąôŚŪîôĎ
ÖćøéĞćđîĉîÜćîíčøÖĉÝõć÷Ĕîøą÷ąđüúćìĊęÖĞćĀîé
2) ÖøąïüîÖćøĔîÖćøÿøšćÜĒñîÿøšćÜÙüćöêŠĂđîČęĂÜĔĀšÖĆïíčøÖĉÝ (BCP) êšĂÜøąïčĔîđøČęĂÜéĆÜêŠĂĕðîĊĚ
1. ĀîšćìĊęÙüćöøĆïñĉéßĂïĒúąÖøąïüîÖćøÿøšćÜÙüćöêŠĂđîČęĂÜĔîÖćøéĞćđîĉîÜćî
2. ÖćøøąïčøąéĆïÙüćöđÿĊ÷Āć÷ìĊę÷ĂöøĆïĕéš×ĂÜÿćøÿîđìýĒúąïøĉÖćø
3. ÖćøÖĞ ć ĀîéÖøąïüîÖćøĔîÖćøđêøĊ ÷ öÙüćöóøš Ă öÿĞ ć ĀøĆ ï ÖćøÖĎš ÙČ î ĒúąôŚŪ î ôĎ
ÖćøéĞćđîĉîÜćîíčøÖĉÝ
4. ÖćøÖĞćĀîéÖøąïüîÖćøÿĞćĀøĆïÖćøÖĎšÙČîĒúąôŚŪîôĎÖćøéĞćđîĉîÜćîíčøÖĉÝ
5. ÖćøìéÿĂïĒúąðøĆïðøčÜĒñîÿøšćÜÙüćöêŠĂđîČęĂÜĔĀšÖĆïíčøÖĉÝ ĔĀšìĆîÿöĆ÷Ă÷ĎŠđÿöĂ
3) ÿć÷ÜćîêŠć ÜėĒúąÙèąìĞ ć ÜćîÖćøïøĉ Ā ćøÙüćöêŠĂ đîČę Ă ÜĔîÖćøóĆ ç îćÖćøéĞ ć đîĉ î Üćî (BCP
Development Team) êšĂÜÖĞćĀîéÖćøÙüïÙčöĒñîÙüćöêŠĂđîČęĂÜĔîÖćøéĞćđîĉîÜćî ĒúąÝĆéìĞć
ĒñîÖćøÖĎšÙČîõćüąüĉÖùê (Disaster Recovery Plan) đóČęĂĔĀšöĆęîĔÝüŠćÖøąïüîÖćøìćÜíčøÖĉÝìĊę
ÿĞćÙĆâĒúąøąïïÿćøÿîđìýìĊęøĂÜøĆïÿćöćøëéĞćđîĉîÖćøĕéšĂ÷ŠćÜêŠĂđîČęĂÜ ìĆĚÜîĊĚÙüøóĉÝćøèćĔĀšöĊ
ÖćøÙüïÙčöĔîđøČęĂÜéĆÜêŠĂĕðîĊĚ
1. ÖćøđóĉęöÖćøðŜĂÜÖĆî×ĂÜøąïïÿćøÿîđìýìĊęÿĞćÙĆâ ēé÷ÖćøđóĉęöÖćøðŜĂÜÖĆîĔîìčÖ
øąéĆ ï đßŠ î ÖćøÙüïÙč ö ìćÜÖć÷õćó ÖćøÙüïÙč ö ìćÜêøøÖą ĒúąÖćøÙüïÙč ö
ÖćøÿČęĂÿćø đðŨîêšî
2. ÖćøöĊĂčðÖøèŤĀøČĂøąïïÿĞćøĂÜÿĞćĀøĆïøąïïÿćøÿîđìýìĊęÿĞćÙĆâ (Redundancy of
Critical Components) đßŠî ÖćøìĞć High Availability ĀøČĂ Load Balancing
đðŨîêšî
3. ÖćøĔßšÿëćðŦê÷ÖøøöĒïïÖøąÝć÷ (Distributed Architecture) ÿĞćĀøĆïøąïï
ÿćøÿîđìý ìĊęÿĞćÙĆâ

4. ÖćøÝĆéêĆĚÜýĎî÷ŤÿĞćøĂÜ àċęÜøüöëċÜÖćøÿĞćøĂÜ×šĂöĎú ĂčðÖøèŤðøąöüúñúÿćøÿîđìý
ÖćøÿČęĂÿćø ĒúąĂčðÖøèŤÿĞćîĆÖÜćîĂČęîė đðŨîêšî đóČęĂĔĀšđÝšćĀîšćìĊęìĊęđÖĊę÷ü×šĂÜÿćöćøë
ðäĉïĆêĉÜćîĕéšđöČęĂđÖĉéđĀêčõĆ÷óĉïĆêĉ
5. ÖćøìĞ ć ÿĆ â âćÖĆ ï ñĎš Ĕ Āš ï øĉ Ö ćøĀøČ Ă đÝš ć ×ĂÜñúĉ ê õĆ è æŤ đóČę Ă ÖĞ ć ĀîéïìïćìĀîš ć ìĊę
ÙüćöøĆïñĉéßĂïĒúą×šĂđÜČęĂîĕ×ĔîÿĆââćìĊęêšĂÜéĞćđîĉîÖćø
4) ĒñîÿøšćÜÙüćöêŠĂđîČęĂÜĔĀšÖĆïíčøÖĉÝ (BCP) êšĂÜøąïčøć÷ßČęĂñĎšðäĉïĆêĉÜćîìĊęđÖĊę÷ü×šĂÜ đóČęĂĒÝšÜđêČĂî
đöČęĂđÖĉéđĀêčõĆ÷óĉïĆêĉ ìĆĚÜîĊĚøć÷ßČęĂêšĂÜöĊÖćøøąïčëċÜ êĞćĒĀîŠÜ ßČęĂ đïĂøŤēìøýĆóìŤïšćî đïĂøŤēìøýĆóìŤ
ÿĞćîĆÖÜćî đïĂøŤöČĂëČĂ ĒúąÝéĀöć÷ĂĉđúĘÖìøĂîĉÖÿŤ đðŨîêšî
5) ĒñîÿøšćÜÙüćöêŠĂđîČęĂÜĔĀšÖĆïíčøÖĉÝ (BCP) êšĂÜĕéšøĆïÖćøĂîčöĆêĉēé÷ÙèąÖøøöÖćøïøĉĀćøÝĆéÖćø
éšćî÷čìíýćÿêøŤ ÖćøïøĉĀćøÙüćöđÿĊę÷ÜĒúąÖćøÙüïÙčöõć÷Ĕî Öôñ. (Ù÷ÿ.)/ÙèąĂîčÖøøöÖćø
ïøĉĀćøÙüćöêŠĂđîČęĂÜĔîÖćøéĞćđîĉîÜćî đóČęĂðøąÖćýĔßšÜćî
6) ÿć÷ÜćîêŠćÜė êšĂÜìĞćÿĞćđîćĒñîÿøšćÜÙüćöêŠĂđîČęĂÜĔĀšÖĆïíčøÖĉÝ ĒúąđĂÖÿćøĂČęîìĊęÝĞćđðŨîêšĂÜĔßšĔî
ÖćøÿîĆïÿîčîĒñîÜćî óøšĂöìĆĚÜÝĆéđÖĘïđĂÖÿćøéĆÜÖúŠćüĕüšĔîÿëćîìĊęìĊęĀŠćÜÝćÖÿĞćîĆÖÜćîĀúĆÖ
Ă÷ŠćÜđóĊ÷ÜóĂ đóČęĂĕöŠĔĀšđÖĉéÙüćöđÿĊ÷Āć÷đöČęĂđÖĉéõĆ÷óĉïĆêĉÖĆïÿĞćîĆÖÜćîĀúĆÖ
7) ÙèąìĞćÜćîÖćøïøĉĀćøÙüćöêŠĂđîČęĂÜĔîÖćøðäĉïĆêĉÖćøéĞćđîĉîÜćî(BCP Execution Team) êšĂÜ
ÖĞćÖĆïĒúąéĎĒú đóČęĂĔĀšöĆęîĔÝüŠćĒñîÿøšćÜÙüćöêŠĂđîČęĂÜĔĀšÖĆïíčøÖĉÝ (BCP) ÿćöćøëúéøą÷ąđüúć
×ĂÜÖćøĀ÷čéßąÜĆÖĔîÖćøéĞćđîĉîÜćî×ĂÜ Öôñ. ÝćÖđĀêčÖćøèŤõĆ÷óĉïĆêĉìćÜíøøößćêĉ ĒúąĀøČĂÖćø
ÖŠĂÖćøøšć÷ÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìýĔĀšĂ÷ĎŠĔîøąéĆïìĊę÷ĂöøĆïĕéš
10.1.4. ÖćøÖĞć ĀîéÖøĂïÿĞ ć ĀøĆ ï ÖćøüćÜĒñîđóČęĂÙüćöêŠĂ đîČęĂ ÜĔîÖćøéĞć đîĉ î Üćî (Business
Continuity Planning Framework)
1) ÙèąìĞćÜćîÖćøïøĉĀćøÙüćöêŠĂđîČęĂÜĔîÖćøóĆçîćÖćøéĞćđîĉîÜćî (BCP Development Team)
êšĂÜÖĞćĀîéĔĀšöĊÖøĂïÿĞćĀøĆïĒñîđóČęĂÿøšćÜÙüćöêŠĂđîČęĂÜĔĀšÖĆïíčøÖĉÝ (BCP Framework) đóČęĂĔĀš
ĒêŠúąĒñîöĊÙüćöÿĂéÙúšĂÜÖĆî ēé÷ÖøĂïÿĞćĀøĆïÖćøüćÜĒñî êšĂÜóĉÝćøèćđøČęĂÜ éĆÜêŠĂĕðîĊĚ
1. đÜČęĂîĕ×ĔîÖćøðøąÖćýĔßšĒñî ēé÷öĊÖćøĂíĉïć÷ÖøąïüîÖćøĔîÖćøðäĉïĆêĉÜćîÖŠĂî
ðøąÖćýĔßšĒñî đßŠî ðøąđöĉîÿëćîÖćøèŤĂ÷ŠćÜĕø öĊĔÙøìĊęđÖĊę÷ü×šĂÜïšćÜ đðŨîêšî
2. ×ĆĚîêĂîÖćøðäĉïĆêĉÜćîÞčÖđÞĉî ēé÷öĊÖćøĂíĉïć÷ÖøąïüîÖćøĔîÖćøðäĉïĆêĉÜćî đöČęĂ
đÖĉéđĀêčÖćøèŤìĊęÖøąìïêŠĂÖćøéĞćđîĉîíčøÖĉÝ ĀøČĂÙüćöðúĂéõĆ÷×ĂÜïčÙÙú àċęÜøüöĕð
ëċÜ ÖćøðøąßćÿĆöóĆîíŤ ĒúąÖćøðøąÿćîÜćîÖĆïđÝšćĀîšćìĊęøĆå đßŠî đÝšćĀîšćìĊęêĞćøüÝ
ĒúąĀøČĂ îĆÖéĆïđóúĉÜ đðŨîêšî

3. ÖøąïüîÖćøĔîÖćøëĂ÷ÖúĆï (Fallback Process) ēé÷öĊÖćøĂíĉïć÷ÖøąïüîÖćø
ðäĉïĆêĉÜćî đóČęĂđÙúČęĂî÷šć÷ñĎšðäĉïĆêĉÜćîĀøČĂøąïïÿîĆïÿîčîìĊęÿĞćÙĆâ×ĂÜíčøÖĉÝĕðýĎî÷Ť
ÿĞćøĂÜßĆęüÙøćü đóČęĂÙČîÿõćóÖćøéĞćđîĉîíčøÖĉÝÖúĆïöćõć÷Ĕîøą÷ąđüúćìĊęÖĞćĀîé
4. êćøćÜđüúćĔîÖćøïĞćøčÜøĆÖþćàċęÜøąïčüŠćĒñîÙüøöĊÖćøìéÿĂïĂ÷ŠćÜĕø đöČęĂĕø óøšĂö
ìĆĚÜÖøąïüîÖćøĔîÖćøïĞćøčÜøĆÖþćĒñî
5. ÖĉÝÖøøöđóČęĂÿøšćÜÙüćöêøąĀîĆÖ ÖćøĔĀšÙüćöøĎš ĒúąÖćøòřÖĂïøö đóČęĂÿøšćÜÙüćö
đ×šćĔÝĔîÖøąïüîÖćøÿøšćÜÙüćöêŠĂđîČęĂÜĔîÖćøéĞćđîĉîÜćî
6. ÖćøøąïčÙüćöøĆïñĉéßĂï×ĂÜĒêŠúąïčÙÙú ēé÷öĊÖćøĂíĉïć÷ëċÜÙüćöøĆïñĉéßĂïĔî
ÖćøéĞ ć đîĉ î ÜćîêćöĒñîÜćîĔîĒêŠ ú ąÿŠ ü î àċę Ü ÙüćöøĆ ïñĉ é ßĂïéĆ Ü ÖúŠ ć üÿćöćøë
öĂïĀöć÷ĔĀšñĎšðäĉïĆêĉÖćøĒìîĕéšđöČęĂöĊÙüćöÝĞćđðŨî
7. ÖćøÖĞ ć ĀîéÖøąïüîÖćøĔîÖćøÖĎš ÙČ î ĒúąôŚŪ î ôĎ Ö ćøéĞ ć đîĉ î Üćîíč ø Öĉ Ý Ēúą
ÙüćöóøšĂöĔßš×ĂÜÿćøÿîđìýĔĀšÖúĆïÿĎŠÿõćóðÖêĉ õć÷Ĕîøą÷ąđüúćìĊęÖĞćĀîé
8. ÖøąïüîÖćøĔîÖćøÖúĆïđ×šćÿĎŠõćüąðÖêĉ (Resumption Procedures) ēé÷öĊ
ÖćøĂíĉïć÷ÖøąïüîÖćøðäĉïĆêĉÜćîđóČęĂĔĀšÖúĆïđ×šćÿĎŠÖćøéĞćđîĉîÜćîðÖêĉ
2) ÖøĂïÿĞćĀøĆïĒñîđóČęĂÿøšćÜÙüćöêŠĂđîČęĂÜĔĀšÖĆïíčøÖĉÝ (BCP Framework) êšĂÜĕéšøĆïÖćøĂîčöĆêĉ
ÝćÖÙèąÖøøöÖćøïøĉĀćøÝĆéÖćøéšćî÷čìíýćÿêøŤ ÖćøïøĉĀćøÙüćöđÿĊę÷ÜĒúąÖćøÙüïÙčöõć÷Ĕî
Öôñ. (Ù÷ÿ.)/ÙèąĂîčÖøøöÖćøïøĉĀćøÙüćöêŠĂđîČęĂÜĔîÖćøéĞćđîĉîÜćî ÖŠĂîìĊęÝąÿČęĂÿćøĔĀšÿć÷
ÜćîêŠćÜėĒúąñĎšìĊęđÖĊę÷ü×šĂÜøĆïìøćï
10.1.5. ÖćøìéÿĂïĒúąÖćøðøĆïðøčÜĒñîÿøšćÜÙüćöêŠĂđîČęĂÜĔĀšÖĆïíčøÖĉÝ (Testing, Maintaining, and

Re-Assessing Business Continuity Plans)
1) ĔîÖćøìéÿĂïĒñîÿøšćÜÙüćöêŠĂđîČęĂÜĔĀšÖĆïíčøÖĉÝ ÿć÷ÜćîêŠćÜėĒúąÙèąìĞćÜćîÖćøïøĉĀćøÙüćö
êŠĂđîČęĂÜĔîÖćøóĆçîćÖćøéĞćđîĉîÜćî (BCP Development Team) êšĂÜöĆęîĔÝüŠćñĎšðäĉïĆêĉÜćîìĊę
đÖĊę÷ü×šĂÜöĊÙüćöêøąĀîĆÖëċÜĒñîÜćîĒúąĀîšćìĊęÙüćöøĆïñĉéßĂï×ĂÜêĆüđĂÜ
2) ÿć÷ÜćîêŠć ÜėĒúąÙèąìĞ ć ÜćîÖćøïøĉ Ā ćøÙüćöêŠ Ă đîČę Ă ÜĔîÖćøóĆ ç îćÖćøéĞ ć đîĉî Üćî (BCP
Development Team) êšĂÜÖĞćĀîéêćøćÜÖćøìéÿĂï×ĂÜĒñîÿøšćÜÙüćöêŠĂđîČęĂÜĔĀšÖĆïíčøÖĉÝ
(BCP) ēé÷öĊÖćøøąïčëċÜøć÷úąđĂĊ÷é đßŠî üĆî đüúć ĒúąüĉíĊÖćøìéÿĂï đðŨîêšî
3) ĔîÖćøìéÿĂïĒñîÿøšćÜÙüćöêŠĂđîČęĂÜĔĀšÖĆïíčøÖĉÝ đóČęĂĔĀšđÖĉéÙüćööĆęîĔÝüŠćĒñîÝąÿćöćøëĔßšĕéš
ÝøĉÜ ÙüøóĉÝćøèćðøąđéĘî éĆÜêŠĂĕðîĊĚ
1. ÖćøìéÿĂïÿëćîÖćøèŤĀúć÷ėøĎðĒïï ēé÷ìĞćÖćøðøąßčöøŠüöÖĆîëċÜÖćøđêøĊ÷öÖćø
đóČęĂÙüćöêŠĂđîČęĂÜĔîÖćøéĞćđîĉîÜćîēé÷ĔßšÖćø÷ÖêĆüĂ÷ŠćÜÿëćîÖćøèŤìĊęìĞćĔĀšđÖĉéÖćø
Ā÷čéßąÜĆÖ
2. ÖćøÝĞ ć úĂÜđĀêč Ö ćøèŤ đóČę Ă ĂïøöóîĆ Ö Üćîëċ Ü Āîš ć ìĊę đ öČę Ă đÖĉ é đĀêč Þč Ö đÞĉ î Ēúą
ÖćøÝĆéÖćøđĀêčÞčÖđÞĉî
3. ÖćøìéÿĂïÖćøÖĎšÙČîìćÜđìÙîĉÙ đóČęĂĔĀšöĆęîĔÝüŠćøąïïÿćøÿîđìýÿćöćøëÖĎšÙČîĕéš
Ă÷ŠćÜöĊðøąÿĉìíĉõćó
4. ÖćøìéÿĂïÖćøÖĎš ÙČ î ìĊę ýĎ î ÷Ť ÿĞ ć øĂÜ ēé÷öĊ Ö ćøéĞ ć đîĉ î íč ø Öĉ Ý ×îćîĕðÖĆ ï
ÖćøéĞćđîĉîÖćøÖĎšÙČî
5. ÖćøìéÿĂï×ĂÜñĎš Ĕ Āš ï øĉ Ö ćøĀøČ Ă đÝš ć ×ĂÜñúĉ ê õĆ è æŤ đóČę Ă ĔĀš öĆę î ĔÝüŠ ć Ĕî
ÖćøđêøĊ÷öÖćø×ĂÜñĎšĔĀšïøĉÖćøĀøČĂđÝšć×ĂÜñúĉêõĆèæŤ đðŨîĕðêćö×šĂÖĞćĀîéĔîÿĆââć
6. ÖćøàĆÖàšĂöđêĘöøĎðĒïï (Complete Rehearsals) ēé÷ÖćøìéÿĂïÙüćöóøšĂö×ĂÜ
ñĎšðäĉïĆêĉÜćî ĂčðÖøèŤ ÿĉę ÜĂĞćîü÷ÙüćöÿąéüÖ ĒúąÖøąïüîÖćøĔîÖćøøĆïöČĂÖĆï
ÖćøĀ÷čéßąÜĆÖ
4) ÿć÷ÜćîêŠ ć ÜėĒúąÙèąìĞ ć ÜćîÖćøïøĉ Ā ćøÙüćöêŠ Ă đîČę Ă ÜĔîÖćøðäĉ ïĆ êĉ Ö ćøéĞ ć đîĉ î Üćî(BCP
Execution Team) êšĂÜÝĆéĔĀšöĊÖćøïĆîìċÖñúÖćøìéÿĂïóøšĂöøć÷ÜćîêŠĂÙèąÖøøöÖćøïøĉĀćø
ÝĆ é Öćøéš ć î÷č ì íýćÿêøŤ Öćøïøĉ Ā ćøÙüćöđÿĊę ÷ ÜĒúąÖćøÙüïÙč ö õć÷Ĕî Öôñ. (Ù÷ÿ.)/
ÙèąĂîčÖøøöÖćøïøĉĀćøÙüćöêŠĂđîČęĂÜĔîÖćøéĞćđîĉîÜćî ĒúąñĎšïøĉĀćøìĊęđÖĊę ÷ü×šĂÜøĆïìøćï
øüöëċÜÖĞćĀîéĔĀšöĊÖćøîĞćñúÖćøìéÿĂïöćðøĆïðøčÜĒñîÿøšćÜÙüćöêŠĂđîČęĂÜĔĀšÖĆïíčøÖĉÝ (BCP) Ĕî
ÖøèĊìĊęÝĞćđðŨî
5) ÿć÷ÜćîêŠć ÜėĒúąÙèąìĞ ć ÜćîÖćøïøĉ Ā ćøÙüćöêŠĂ đîČę Ă ÜĔîÖćøóĆ ç îćÖćøéĞ ć đîĉî Üćî (BCP
Development Team) öĊĀîšćøĆïñĉéßĂïĔîÖćøðøĆïðøčÜĒñîÿøšćÜÙüćöêŠĂđîČęĂÜĔĀšÖĆïíčøÖĉÝ
(BCP) ĔĀšđðŨîðŦÝÝčïĆî ìĆĚÜîĊĚĒñîÿøšćÜÙüćöêŠĂđîČęĂÜĔĀšÖĆïíčøÖĉÝ (BCP) êšĂÜöĊÖćøÿĂïìćîĂ÷ŠćÜ
îšĂ÷ðŘúąÙøĆĚÜĀøČĂđöČęĂöĊÖćøđðúĊę÷îĒðúÜìćÜéšćîíčøÖĉÝ éĆÜêŠĂĕðîĊĚ
1. Öú÷čìíŤìćÜíčøÖĉÝ
2. ÖøąïüîÖćøìćÜíčøÖĉÝ
3. øąïïÿćøÿîđìý ĒúąēÙøÜÿøšćÜéšćîđìÙēîēú÷Ċÿćøÿîđìý
4. ÿëćîìĊęêĆĚÜ×ĂÜÿĉęÜĂĞćîü÷ÙüćöÿąéüÖ
5. ñĎšĔĀšïøĉÖćøĀøČĂđÝšć×ĂÜñúĉêõĆèæŤ
6. øć÷ßČęĂñĎšêĉéêŠĂĒúąđïĂøŤēìøýĆóìŤ
1) PD-34 ×ĆĚîêĂîÖćøðäĉïĆêĉÜćîđøČęĂÜ ÖćøÝĆéìĞćĒúąÖćøðøąÖćýĔßšĒñîÿøšćÜÙüćöêŠĂđîČęĂÜĔĀšÖĆïíčøÖĉÝ
(Business Continuity Plans Development and Execution Procedure)

ST-11: öćêøåćîÖćøðäĉïĆêêĉ ćö×šĂÖĞćĀîéĒúąÖãĀöć÷ìĊęđÖĊę÷üÖĆïÙüćööĆęîÙÜðúĂéõĆ÷éšćî
ÿćøÿîđìý (Standard of Compliance)
đóČęĂðŜĂÜÖĆîÖćøúąđöĉé×šĂÖĞćĀîéìćÜÖãĀöć÷ ×šĂÖĞćĀîéĔîÿĆââć Ēúą×šĂÖĞćĀîéìćÜéšćîÙüćööĆę îÙÜ
ðúĂéõĆ÷ĂČęîė ìĊęđÖĊę÷ü×šĂÜ ĒúąđóČęĂĔĀšÖćøðäĉïĆêĉ×ĂÜñĎšðäĉïĆêĉÜćîĒúąĀîŠü÷Üćîõć÷îĂÖđðŨîĕðêćöîē÷ïć÷
ÙüćööĆę î ÙÜðúĂéõĆ ÷ éš ć îÿćøÿîđìý×ĂÜ Öôñ. ĂĊ Ö ìĆĚ Ü đóČę Ă ĔĀš Ö ćøêøüÝðøąđöĉ î øąïïÿćøÿîđìýĕéš
ðøąÿĉìíĉõćóÿĎÜÿčéēé÷öĊÖćøĒìøÖĒàÜĀøČĂìĞćĔĀšĀ÷čéßąÜĆÖêŠĂÖøąïüîÖćøìćÜíčøÖĉÝîšĂ÷ìĊęÿčé ìĆĚÜîĊĚ Öôñ. ĕéš
ÖĞćĀîéĔĀšöĊöćêøåćîÖćøðäĉïĆêĉêćö×šĂÖĞćĀîéĒúąÖãĀöć÷ìĊęđÖĊę÷üÖĆïÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý
àċęÜðøąÖĂïéšü÷ 3 đøČęĂÜéĆÜêŠĂĕðîĊĚ
1) ÖćøðäĉïĆêĉêćö×šĂÖĞćĀîéìćÜÖãĀöć÷ (Compliance with Legal Requirements)
2) Öćøðäĉ ïĆ êĉ ê ćöîē÷ïć÷ öćêøåćîÙüćööĆę î ÙÜðúĂéõĆ ÷ Ēúą×š Ă ÖĞ ć ĀîéìćÜđìÙîĉ Ù
(Compliance with Security Policies and Standards, and Technical Compliance)
3) ÖćøêøüÝðøąđöĉîøąïïÿćøÿîđìý (Information Systems Audit Considerations)
ýċÖþćĒúąøüïøüö ×šĂÖĞćĀîéêŠćÜė ìĊęöĊñúìćÜÖãĀöć÷ ìĊęđÖĊę÷ü×šĂÜÖĆïÙüćööĆęîÙÜðúĂéõĆ÷éšćî
ÿćøÿîđìý×ĂÜ Öôñ.
ÝĆéđêøĊ÷öĒñîĒöŠïìđìÙēîēú÷ĊÿćøÿîđìýĒúąÖćøÿČęĂÿćø×ĂÜ Öôñ. (EGAT ICT Master Plan) ēé÷
óĉÝćøèćĔĀšÖćøéĞćđîĉîÜćîéšćîđìÙēîēú÷ĊÿćøÿîđìýÿĂéÙúšĂÜÖĆïîē÷ïć÷ ĒúąöćêøåćîéšćîÙüćö
öĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý
ÝĆéĔĀšöĊÖćøêøüÝÿĂïÖćøðäĉïĆêĉêćööćêøåćîìćÜđìÙîĉÙéšćîÙüćööĆęîÙÜÙüćöðúĂéõĆ÷ÖŠĂîîĞć
ĂčðÖøèŤðøąöüúñúÿćøÿîđìýĂĂÖĔßšÜćî
ÝĆéĔĀšöĊÖćøêøüÝÿĂïöćêøåćîìćÜđìÙîĉÙéšćîÙüćööĆęîÙÜÙüćöðúĂéõĆ÷
ÖĞćĀîéĒîüìćÜĔîÖćøéĞćđîĉîÜćîÿĞćĀøĆïîē÷ïć÷ÙčšöÙøĂÜ×šĂöĎúÿŠüîïčÙÙúĔĀšđðŨîĕðêćö÷čìíýćÿêøŤ
ĒúąĒñîüĉÿćĀÖĉÝ×ĂÜ Öôñ. ĒúąìĉýìćÜĒîüēîšöìćÜéšćîđìÙēîēú÷ĊÿćøÿîđìýĒúąÖćøđðúĊę÷îĒðúÜ
ĀøČĂđóĉęöđêĉöĔî×šĂÖãĀöć÷Ēúą×šĂÖĞćĀîéìĊęđÖĊę÷ü×šĂÜ
ÝĆéìĞćøŠćÜîē÷ïć÷ÙčšöÙøĂÜ×šĂöĎúÿŠüîïčÙÙúÿĂéÙúšĂÜêćö÷čìíýćÿêøŤĒúąĒñîüĉÿćĀÖĉÝ×ĂÜ Öôñ.
ìĉýìćÜ ĒîüēîšöìćÜéšćîđìÙēîēú÷Ċÿćøÿîđìý ĒúąđöČęĂöĊÖćøđðúĊę÷îĒðúÜĀøČĂđóĉęöđêĉöĔî×šĂÖãĀöć÷
Ēúą×šĂÖĞćĀîéìĊęđÖĊę÷ü×šĂÜ

éĞ ć đîĉ î Öćøìïìüîîē÷ïć÷Ùčš ö ÙøĂÜ×š Ă öĎ ú ÿŠ ü îïč Ù ÙúĂ÷Š ć Üîš Ă ÷ðŘ ú ąĀîċę Ü ÙøĆĚ Ü ĀøČ Ă đöČę Ă öĊ Ö ćø
đðúĊę÷îĒðúÜìĊęĂćÝÿŠÜñúÖøąìïêŠĂÖćøđÖĘïøüïøüö×šĂöĎúÿŠüîïčÙÙú ÖćøĔßšĒúąÖćøđðŗéđñ÷×šĂöĎú
ÿŠüîïčÙÙú øüöëċÜÖćøđÖĘïøĆÖþćĒúąÖćøĒÖšĕ×đðúĊę÷îĒðúÜ×šĂöĎúÿŠüîïčÙÙú×ĂÜ Öôñ. óøšĂöìĆĚÜ
ïĆîìċÖñúÖćøðøąßčö
óĉÝćøèćÖćø×ĂĒÖšĕ×ĒúąðøĆïðøčÜîē÷ïć÷ÙčšöÙøĂÜ×šĂöĎúÿŠüîïčÙÙú îĂÖđĀîČĂÝćÖÖćøìïìüîĔî
øĂïðÖêĉ
ÿŠ Ü đÿøĉ ö ĒúąÿîĆ ï ÿîč î ĔîÖćøðäĉ ïĆ êĉ ê ćöîē÷ïć÷Ùčš ö ÙøĂÜ×š Ă öĎ ú ÿŠ ü îïč Ù Ùú ĒÖŠ ñĎš ð äĉ ïĆ êĉ Ü ćîĒúą
ñĎšêøüÝÿĂïĂĉÿøą
ÿĂïìćîÖćøðäĉïĆêĉÜćîêćöîē÷ïć÷ĒúąöćêøåćîÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý×ĂÜ Öôñ.
đóČęĂüĆéøąéĆïÖćøðäĉïĆêĉêćöîē÷ïć÷ĒúąöćêøåćîÙüćööĆęîÙÜðúĂéõĆ÷ óøšĂöìĆĚÜöćêøåćîìćÜ
đìÙîĉÙéšćîÙüćööĆęîÙÜÙüćöðúĂéõĆ÷Ă÷ŠćÜÿöęĞćđÿöĂ
ðøąÿćîÜćîÖĆïĀĆüĀîšćÜćîÿćøÿîđìýĔîÖćøÿĂïìćîøąïïÿćøÿîđìý ĒúąĂčðÖøèŤðøąöüúñú
ÿćøÿîđìý üŠćöĊÖćøëČĂðäĉïĆêĉêćööćêøåćîìćÜđìÙîĉÙéšćîÙüćööĆęîÙÜÙüćöðúĂéõĆ÷×ĂÜ Öôñ.
ÝĆéìĞćĒîüÖćøêøüÝÿĂï ïìïćìĀîš ćìĊęĒúąìøĆó÷ćÖøéšćîđìÙēîēú÷ĊÿćøÿîđìýìĊę êšĂÜÖćøđóČęĂ
ÖćøêøüÝÿĂïĂ÷ŠćÜđðŨîúć÷úĆÖþèŤĂĆÖþø
ðäĉïĆêĉÜćîÖćøêøüÝÿĂï õć÷ĔêšÖćøÝĞćÖĆéÖćøđ×šćëċÜēðøĒÖøöÙĂöóĉüđêĂøŤĒúą×šĂöĎúĒïïĂŠćîĂ÷ŠćÜ
đéĊ÷ü (Read-Only) óøšĂöìĆĚÜúïÿĞćđîćĕôúŤìĊęĕéšøĆïÝćÖÖćøêøüÝÿĂïđöČęĂÖćøêøüÝÿĂïĕéšéĞćđîĉîÖćø
ĒúšüđÿøĘÝĒúąĕöŠöĊðøąđéĘîêšĂÜêĉéêćö
ĀîŠü÷ÜćîïøĉĀćøÿĆââć
ýċÖþćĒúąøüïøüö ×šĂÖĞćĀîéĔîÿĆââćìĊęđÖĊę÷ü×šĂÜÖĆïÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý×ĂÜ Öôñ.
ĒúąÝĆéìĞć×šĂðäĉïĆêĉ đóČęĂøĂÜøĆïÿĆââćéĆÜÖúŠćü óøšĂöìĆĚÜìąđïĊ÷îđĂÖÿćøĂ÷ŠćÜđðŨîúć÷úĆÖþèŤĂĆÖþø
ēé÷öĊÖćøðøĆïðøčÜĒúąÿĂïìćîđðŨîðøąÝĞćìčÖ 6 đéČĂî
ÝĆéĔĀšöĊ×šĂÖĞćĀîé ÙĞćÿĆęÜ ĀøČĂðøąÖćý ÖĆïñĎšðäĉïĆêĉÜćîõć÷Ĕî Öôñ. ĒúąĀîŠü÷Üćîõć÷îĂÖ đÖĊę÷üÖĆï
ÖćøðŜĂÜÖĆî×šĂöĎúÿŠüîïčÙÙú ĒúąÖćøĔĀšÙüćöÿĞćÙĆâ×ĂÜÖćøđÖĘïøĆÖþćÙüćöúĆï×ĂÜ×šĂöĎúìĊęĔßšĔîÖćø
éĞćđîĉîÜćî×ĂÜ Öôñ.

ĒÝšÜĒÖŠñĎšðäĉïĆêĉÜćîĔĀšìøćïüŠć Öôñ. öĊÿĉìíĉĔîÖćøêøüÝÿĂï ÝéĀöć÷ĂĉđúĘÖìøĂîĉÖÿŤ ĒôŜö×šĂöĎúÿŠüî
ïčÙÙú ĒôŜö×šĂöĎúĔîăćøŤééĉÿÖŤ ĀøČĂÿćøÿîđìýĂČęîė ìĊęÝĆéđÖĘïõć÷ĔîĀøČĂÿŠÜñŠćîēé÷øąïïÿćøÿîđìý
×ĂÜ Öôñ. ìčÖđöČęĂ
ïøĉĀćøÝĆéÖćøìøĆó÷ćÖøêŠćÜė đóČęĂĔĀšÖćøðäĉïĆêĉêćöîē÷ïć÷ÙčšöÙøĂÜ×šĂöĎúÿŠüîïčÙÙúđðŨîĕðĂ÷ŠćÜöĊ
ðøąÿĉìíĉõćó
ÿŠ Ü đÿøĉ ö ĒúąÿîĆ ï ÿîč î ĔîÖćøðäĉ ïĆ êĉ ê ćöîē÷ïć÷Ùčš ö ÙøĂÜ×š Ă öĎ ú ÿŠ ü îïč Ù Ùú ĒÖŠ ñĎš ð äĉ ïĆ êĉ Ü ćîĒúą
ÙüïÙčööĉĔĀšđðŗéđñ÷×šĂöĎúÿŠüîïčÙÙúìĊęĂ÷ĎŠĔîÙüćöÙüïÙčöéĎĒú×ĂÜêîêŠĂĀîŠü÷Üćî×ĂÜøĆåĒĀŠÜĂČęîĀøČĂ
ĀîŠü÷Üćîõć÷îĂÖēé÷ðøćýÝćÖÙüćö÷ĉî÷ĂöđðŨîĂ÷ŠćÜđðŨîúć÷úĆÖþèŤĂĆÖþø×ĂÜđÝšć×ĂÜ×šĂöĎú
óĉÝćøèćÖćøìĞćàĚĞćĀøČĂéĆéĒðúÜēðøĒÖøöÙĂöóĉüđêĂøŤìĊę Öôñ. đðŨîđÝšć×ĂÜ ĕð÷ĆÜÿČęĂïĆîìċÖ×šĂöĎú
óĉÝćøèćÖćøēĂî÷šć÷ēðøĒÖøöÙĂöóĉüđêĂøŤìĊę Öôñ. đðŨîđÝšć×ĂÜ ĕð÷ĆÜđÙøČęĂÜÙĂöóĉüđêĂøŤđÙøČęĂÜĂČęî
ĒúąóĉÝćøèćÖćøđðŗéđñ÷ēðøĒÖøöÙĂöóĉüđêĂøŤ
óĉÝćøèćÖćøĔßšēðøĒÖøöÙĂöóĉüđêĂøŤìĊęĕéšøĆïÝćÖĂĉîđìĂøŤđîĘê ëšćñĎšðäĉïĆêĉÜćîöĊÙüćöÝĞćđðŨîêšĂÜĔßš
Üćî
ÙüïÙčöĔĀšöĊÖćøĔßšēðøĒÖøöÙĂöóĉüđêĂøŤìĊęëĎÖêšĂÜêćöÖãĀöć÷ ĒúąÙüïÙčöÖćøĔßšÜćîĔĀšđðŨîĕðêćö
úĉ×ÿĉìíĉĝ

ÝĆéĔĀšöĊÖøąïüîÖćøÖćøđ×šćëċÜÿćøÿîđìýĒúąøąïïÿćøÿîđìýìĆĚÜìćÜÖć÷õćó (Physical) ĒúąìćÜ
êøøÖą (Logical) óøšĂöìĆĚÜÙüïÙčöïĆîìċÖđĀêčÖćøèŤ (Logs) ĔĀšđðŨîĕðêćööćêøåćî
×ĂÙĞćðøċÖþćÖĆïòść÷ÖãĀöć÷ đÖĊę÷üÖĆï×šĂñĎÖöĆéĔîÖćøĔßšÖćøđ×šćøĀĆÿìĊęöĊĒĀúŠÜÖĞćđîĉéêćöÖãĀöć÷
ĀøČĂÖã×šĂïĆÜÙĆï×ĂÜðøąđìýĂČęî
ðøąÿćîÜćîÖĆ ï ñĎš ê øüÝÿĂïĂĉ ÿ øąĔîÖćøÿĂïìćîøąïïÿćøÿîđìý ĒúąĂč ð ÖøèŤ ð øąöüúñú
ÿćøÿîđìý üŠćöĊÖćøëČĂðäĉïĆêĉêćööćêøåćîìćÜđìÙîĉÙéšćîÙüćööĆęîÙÜÙüćöðúĂéõĆ÷×ĂÜ Öôñ.
ÖćøÙüïÙčöĒúąêøüÝÿĂïÖćøĔßšđÙøČęĂÜöČĂêøüÝøąïïÿćøÿîđìý (System Audit Tools)

ÝĆéìĞćïĆâßĊ (Checklist) ÖćøđÖĘïøĆÖþćÿćøÿîđìý đóČęĂĔĀšđðŨîĕðêćöìĊęÖãĀöć÷ĒúąöćêøåćîÙüćö
öĆęîÙÜðúĂéõĆ÷ìĊę Öôñ. ÖĞćĀîé
ÝĆéđÖĘïĒúąéĎĒúøĆÖþćÿČęĂïĆîìċÖ×šĂöĎúĔĀšĂ÷ĎŠĔîÿõćóóøšĂöĔßšÜćî ēé÷ÖćøÝĆéđÖĘïĒúąéĎĒúøĆÖþćÿČęĂÙüø
ðäĉïĆêĉêćöÙĞćĒîąîĞć×ĂÜđÝšć×ĂÜñúĉêõĆèæŤ
ÝĆéđÖĘïÿćøÿîđìýêćöøą÷ąđüúćìĊęÖĞćĀîéĔîêćøćÜÖćøđÖĘïøĆÖþćÿćøÿîđìý
ĔĀšÙüćöøŠüööČĂĒúąÿîĆïÿîčîÖćøÿĂïìćîÖćøðäĉïĆêĉÜćîêćöîē÷ïć÷ĒúąöćêøåćîÙüćööĆęîÙÜ
ðúĂéõĆ÷
ðäĉïĆêĉêćöîē÷ïć÷ÙčšöÙøĂÜ×šĂöĎúÿŠüîïčÙÙú×ĂÜ Öôñ. Ă÷ŠćÜđÙøŠÜÙøĆé
ÝĆéđÖĘïĒúąéĎĒúøĆÖþćÿČęĂïĆîìċÖ×šĂöĎúĔĀšĂ÷ĎŠĔîÿõćóóøšĂöĔßšÜćî ēé÷ÖćøÝĆéđÖĘïĒúąéĎĒúøĆÖþćÿČęĂÙüø
ðäĉïĆêĉêćöÙĞćĒîąîĞć×ĂÜđÝšć×ĂÜñúĉêõĆèæŤ
ÝĆéđÖĘïÿćøÿîđìýêćöøą÷ąđüúćìĊęÖĞćĀîéĔîêćøćÜÖćøđÖĘïøĆÖþćÿćøÿîđìý
ĔĀšÙüćöøŠüööČĂĒúąÿîĆïÿîčîÖćøÿĂïìćîÖćøðäĉïĆêĉÜćîêćöîē÷ïć÷ĒúąöćêøåćîÙüćööĆęîÙÜ
ðúĂéõĆ÷
đòŜćøąüĆÜÖćøđ×šćëċÜ øąïïìĊęêøüÝÿĂï×ĂÜñĎšêøüÝÿĂï Ă÷ŠćÜÿöęĞćđÿöĂ
ÝĆéđêøĊ÷öìøĆó÷ćÖøìĊęñĎšêøüÝÿĂïøšĂÜ×Ă đóČęĂĔßšĔîÖøąïüîÖćøêøüÝÿĂïĔĀšóøšĂö
ĔßšøąïïÿćøÿîđìýĒúąøąïïÿČęĂÿćø×ĂÜ Öôñ. đóČęĂÖćøéĞćđîĉîÜćî×ĂÜ Öôñ. đìŠćîĆĚî
ĕöŠìĞćàĚĞćĀøČĂéĆéĒðúÜēðøĒÖøöÙĂöóĉüđêĂøŤìĊę Öôñ. đðŨîđÝšć×ĂÜ ĕð÷ĆÜÿČęĂïĆîìċÖ×šĂöĎú ĕöŠēĂî÷šć÷
ēðøĒÖøöÙĂöóĉ ü đêĂøŤ éĆ Ü ÖúŠ ć üĕð÷Ć Ü đÙøČę Ă ÜÙĂöóĉ ü đêĂøŤ đ ÙøČę Ă ÜĂČę î ĒúąĕöŠ đ ðŗ é đñ÷ēðøĒÖøö
ÙĂöóĉüđêĂøŤ ēé÷ĕöŠĕéšøĆïĂîčâćê
ĕöŠéĞćđîĉîÖćø ĀøČĂöĊÿŠüîøŠüöĔîÖćøìĞćàĚĞć éĆéĒðúÜ đñ÷ĒóøŠ ēĂî÷šć÷ ĀøČĂĒúÖđðúĊę÷î đĂÖÿćø
ÿćøÿîđìý ēðøĒÖøöÙĂöóĉüđêĂøŤ ĀøČĂđÙøČęĂÜöČĂĔéė ĂĆîđðŨîÖćøúąđöĉéúĉ×ÿĉìíĉĝĒúąìøĆó÷ŤÿĉîìćÜ
ðŦââć
ĕöŠêĉéêĆĚÜēðøĒÖøöÙĂöóĉüđêĂøŤ ēé÷ĕöŠĕéšøĆïĂîčâćê
ĕöŠ Ĕ ßš ă ćøŤ é ĒüøŤ (Hardware) ĀøČ Ă àĂôêŤ Ē üøŤ (Software) đóČę Ă ìéÿĂï ðøąđöĉ î ĒÖš ĕ × ĀøČ Ă
đðúĊę÷îĒðúÜøąïïÖćøøĆÖþćÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý

11.1 ÖćøðäĉïĆêĉêćö×šĂÖĞćĀîéìćÜÖãĀöć÷ (Compliance with Legal Requirements)
ĔĀšöĊÖćøøąïč×šĂÖĞćĀîéêŠćÜė ìĊęöĊñúìćÜÖãĀöć÷ ÖćøðŜĂÜÖĆîÿĉìíĉĒúąìøĆó÷ŤÿĉîìćÜðŦââć ÖćøðŜĂÜÖĆî×šĂöĎú
ÿĞćÙĆâìĊęđÖĊę÷ü×šĂÜÖĆï Öôñ. ÖćøðŜĂÜÖĆî×šĂöĎúÿŠüîêĆü ÖćøðŜĂÜÖĆîÖćøĔßšÜćîĂčðÖøèŤðøąöüúñúÿćøÿîđìýñĉé
üĆêëčðøąÿÜÙŤ ĒúąÖćøÙüïÙčöÖćøđ×šćøĀĆÿ×šĂöĎúêćö×šĂÖĞćĀîé
öćêøåćî
11.1.1 Öćøøąïč×šĂÖĞćĀîéêŠćÜė ìĊęöĊñúìćÜÖãĀöć÷ (Identification of Applicable Legislation)
1) ÙèąÖøøöÖćøđìÙēîēú÷Ċÿćøÿîđìý Öôñ. (Ùìÿ.) êšĂÜýċÖþćĒúąøüïøüö ×šĂÖĞćĀîéêŠćÜėìĊęöĊñú
ìćÜÖãĀöć÷ ìĊęđÖĊę÷ü×šĂÜÖĆïÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý×ĂÜ Öôñ. (đßŠî óøąøćßïĆââĆêĉ
×šĂÖĞćĀîéìćÜÖãĀöć÷ ×šĂÖĞćĀîéĔîÿĆââć Ēúą×šĂÖĞćĀîéìćÜéšćîÙüćööĆęîÙÜðúĂéõĆ÷ĂČęîė
đðŨîêšî) ĒúąÝĆéìĞćøąđïĊ÷ïðäĉïĆêĉđóČęĂøĂÜøĆï×šĂÖĞćĀîééĆÜÖúŠćü óøšĂöìĆĚÜìąđïĊ÷îđĂÖÿćø Ă÷ŠćÜ
đðŨîúć÷úĆÖþèŤĂĆÖþø đóČęĂĔĀšĀîŠü÷ÜćîìĊęđÖĊę÷ü×šĂÜîĞćĕððäĉïĆêĉĔßšēé÷ìĆęüÖĆî ēé÷öĊÖćøðøĆïðøčÜ
ĒúąÿĂïìćîđðŨîðøąÝĞćìčÖ 6 đéČĂî
2) ĀîŠü÷ÜćîïøĉĀćøÿĆââć êšĂÜýċÖþćĒúąøüïøüö ×šĂÖĞćĀîéĔîÿĆââćìĊęđÖĊę÷ü×šĂÜÖĆïÙüćööĆęîÙÜ
ðúĂéõĆ÷éšćîÿćøÿîđìý×ĂÜ Öôñ. ĒúąÝĆéìĞć×šĂðäĉïĆêĉ đóČęĂøĂÜøĆïÿĆââćéĆÜÖúŠćü óøšĂöìĆĚÜ
ìąđïĊ÷îđĂÖÿćø Ă÷ŠćÜđðŨîúć÷úĆÖþèŤĂĆÖþø ēé÷öĊÖćøðøĆïðøčÜĒúąÿĂïìćîđðŨîðøąÝĞćìčÖ 6
đéČĂî
11.1.2 ÖćøðŜĂÜÖĆîÿĉìíĉĒúąìøĆó÷ŤÿĉîìćÜðŦââć (Intellectual Property Rights (IRP))
1) ñĎšĂĞćîü÷Öćøòść÷ĀøČĂđìĊ÷ïđìŠć×ċĚîĕð êšĂÜÙüïÙčöĔĀšöĊÖćøĔßšēðøĒÖøöÙĂöóĉüđêĂøŤìĊęëĎÖêšĂÜêćö
ÖãĀöć÷ ĒúąÙüïÙčöÖćøĔßšÜćîĔĀšđðŨîĕðêćöúĉ×ÿĉìíĉĝ đßŠî øą÷ąđüúćÖćøĔßšÜćî ÝĞćîüîúĉ×ÿĉìíĉĝ
êćöÝĞćîüîñĎšĔßšÜćî ĒúąÝĞćîüîúĉ×ÿĉìíĉĝêćöÝĞćîüîĂčðÖøèŤðøąöüúñúÿćøÿîđìý đðŨîêšî
2) ēðøĒÖøöÙĂöóĉüđêĂøŤĒúąđĂÖÿćøìĊęđÖĊę÷üÖĆïēðøĒÖøöÙĂöóĉüđêĂøŤìĊę Öôñ. đðŨîđÝšć×ĂÜ êšĂÜöĊ
×šĂÙüćöìĊęĒÿéÜúĉ×ÿĉìíĉĝĂ÷ŠćÜßĆéđÝî éĆÜêŠĂĕðîĊĚ
x ÿÜüîúĉ×ÿĉìíĉĝ ó.ý. 2551 êćö ó.ø.ï. úĉ×ÿĉìíĉĝ ó.ý. 2537
ÖćøĕôôŜćòść÷ñúĉêĒĀŠÜðøąđìýĕì÷
x Copyright©2008 by: Electricity Generating Authority of Thailand
3) ñĎšðäĉïĆêĉÜćî êšĂÜĕöŠìĞćàĚĞćĀøČĂéĆéĒðúÜēðøĒÖøöÙĂöóĉüđêĂøŤìĊę Öôñ. đðŨîđÝšć×ĂÜ ĕð÷ĆÜÿČęĂïĆîìċÖ
×šĂöĎú ĕöŠ ēĂî÷šć÷ēðøĒÖøöÙĂöóĉüđêĂøŤ éĆÜÖúŠ ćüĕð÷Ć ÜđÙøČęĂÜÙĂöóĉüđêĂøŤ đÙøČęĂÜĂČęî ĒúąĕöŠ
đðŗéđñ÷ēðøĒÖøöÙĂöóĉüđêĂøŤ ēé÷ĕöŠĕéšøĆïĂîčâćêÝćÖ ñĎšĂĞćîü÷Öćøòść÷ĀøČĂđìĊ÷ïđìŠć×ċĚîĕðĀøČĂ
ñĎšìĊęĕéšøĆïöĂïĀöć÷ÝćÖñĎšĂĞćîü÷Öćøòść÷ĀøČĂđìĊ÷ïđìŠć×ċĚîĕð
4) ñĎšðäĉïĆêĉÜćî êšĂÜĕöŠéĞćđîĉîÖćø ĀøČĂöĊÿŠüîøŠüöĔîÖćøìĞćàĚĞć éĆéĒðúÜ đñ÷ĒóøŠ ēĂî÷šć÷ ĀøČĂ
ĒúÖđðúĊę÷î đĂÖÿćø ÿćøÿîđìý ēðøĒÖøöÙĂöóĉüđêĂøŤ ĀøČĂđÙøČęĂÜöČĂĔéė ĂĆîđðŨîÖćøúąđöĉé
úĉ×ÿĉìíĉĝĒúąìøĆó÷ŤÿĉîìćÜðŦââć
5) ñĎšðäĉïĆêĉÜćî êšĂÜĕöŠêĉéêĆĚÜēðøĒÖøöÙĂöóĉüđêĂøŤ ēé÷ĕöŠĕéšøĆïĂîčâćê ĔîÖøèĊìĊęÝĞćđðŨîêšĂÜĔßšÜćî
êšĂÜĒÝšÜÙüćöðøąÿÜÙŤĕð÷ĆÜ ñĎšĂĞćîü÷Öćøòść÷ĀøČĂđìĊ÷ïđìŠć×ċĚîĕð đóČęĂéĞćđîĉîÖćøêøüÝÿĂïúĉ×
ÿĉìǴĒúąìøĆ
íŤ ó÷ŤÿĉîìćÜðŦââć ÖŠĂîîĞćĕðĔßšÜćî
11.1.3 ÖćøðŜĂÜÖĆî×šĂöĎúÿĞćÙĆâìĊęđÖĊę÷ü×šĂÜÖĆïĂÜÙŤÖø (Protection of Organizational Records)

1) ñĎšđðŨîđÝšć×ĂÜÿćøÿîđìý êšĂÜÝĆéìĞćïĆâßĊ (Checklist) ÖćøđÖĘïøĆÖþćÿćøÿîđìý đóČęĂĔĀšđðŨîĕð
êćöìĊęÖãĀöć÷ÖĞćĀîé ēé÷ïĆâßĊÖćøđÖĘïøĆÖþćÿćøÿîđìý êšĂÜÙøĂïÙúčöđøČęĂÜéĆÜêŠĂĕðîĊĚ
1. ðøąđõì×ĂÜÿćøÿîđìý
2. ÖãĀöć÷ìĊęđÖĊę÷ü×šĂÜ
3. ÿëćîìĊęÝĆéđÖĘïÿćøÿîđìý
4. øą÷ąđüúćÖćøÝĆéđÖĘïøĆÖþć
5. ×šĂðäĉïĆêĉĔîÖćøÝĆéđÖĘïĒúąéĎĒúøĆÖþć
ēé÷öĊêĆüĂ÷ŠćÜøą÷ąđüúćÖćøÝĆéđÖĘïøĆÖþć éĆÜêŠĂĕðîĊĚ

øą÷ąđüúćÖćø
ÿëćîìĊÝę ĆéđÖĘï
ðøąđõì×ĂÜÿćøÿîđìý ÖãĀöć÷ìĊęđÖĊę÷ü×šĂÜ ÝĆéđÖĘïøĆÖþć - ×šĂðäĉïĆêĉĔîÖćøÝĆéđÖĘïĒúąéĎĒúøĆÖþć
ÿćøÿîđìý
ðŘ
×šĂöĎúÝøćÝøìćÜÙĂöóĉüđêĂøŤ (ĂšćÜĂĉÜÝćÖ óøï. ÖćøÖøąìĞćÙüćöñĉéđÖĊę÷üÖĆïÙĂöóĉüđêĂøŤ ó.ý. 2550)
Authentication Server óø ï . Ö ćø Ö ø ą ìĞ ć Ù ü ć ö ñĉ é đ ÖĊę ÷ ü ÖĆ ï ýĎî÷ŤÙĂöóĉüđêĂøŤ/ 1 ĂšćÜĂĉÜ ST-07 öćêøåćîÖćøÙüïÙčöÖćøđ×šćëċÜ
Logs (RADIUS, TACACS, ÙĂöóĉüđêĂøŤ ó.ý. 2550 ĀšĂÜÙĂöóĉüđêĂøŤ Ēúą ST-06 öćêøåćîÖćøÿĞćøĂÜ×šĂöĎú
DIAMETER)
Email Server Logs óø ï . Ö ćø Ö ø ą ìĞ ć Ù ü ć ö ñĉ é đ ÖĊę ÷ ü ÖĆ ï ýĎî÷ŤÙĂöóĉüđêĂøŤ/ 1 ĂšćÜĂĉÜ ST-07 öćêøåćîÖćøÙüïÙčöÖćøđ×šćëċÜ
ÙĂöóĉüđêĂøŤ ó.ý. 2550 ĀšĂÜÙĂöóĉüđêĂøŤ Ēúą ST-06 öćêøåćîÖćøÿĞćøĂÜ×šĂöĎú
FTP Server Logs óø ï . Ö ćø Ö ø ą ìĞ ć Ù ü ć ö ñĉ é đ ÖĊę ÷ ü ÖĆ ï ýĎî÷ŤÙĂöóĉüđêĂøŤ/ 1 ĂšćÜĂĉÜ ST-07 öćêøåćîÖćøÙüïÙčöÖćøđ×šćëċÜ
Web application Server óø ï . Ö ćø Ö ø ą ìĞ ć Ù ü ć ö ñĉ é đ ÖĊę ÷ ü ÖĆ ï ýĎî÷ŤÙĂöóĉüđêĂøŤ/ 1 ĂšćÜĂĉÜ ST-07 öćêøåćîÖćøÙüïÙčöÖćøđ×šćëċÜ
Logs ÙĂöóĉüđêĂøŤ ó.ý. 2550 ĀšĂÜÙĂöóĉüđêĂøŤ Ēúą ST-06 öćêøåćîÖćøÿĞćøĂÜ×šĂöĎú
NTP Server Logs óø ï . Ö ćø Ö ø ą ìĞ ć Ù ü ć ö ñĉ é đ ÖĊę ÷ ü ÖĆ ï ýĎî÷ŤÙĂöóĉüđêĂøŤ/ 1 ĂšćÜĂĉÜ ST-07 öćêøåćîÖćøÙüïÙčöÖćøđ×šćëċÜ
IM Server Logs óø ï . Ö ćø Ö ø ą ìĞ ć Ù ü ć ö ñĉ é đ ÖĊę ÷ ü ÖĆ ï ýĎî÷ŤÙĂöóĉüđêĂøŤ/ 1 ĂšćÜĂĉÜ ST-07 öćêøåćîÖćøÙüïÙčöÖćøđ×šćëċÜ
×šĂöĎúÝøćÝøìćÜÙĂöóĉüđêĂøŤ (đóĉęöđêĉö)
Proxy Logs óø ï . Ö ćø Ö ø ą ìĞ ć Ù ü ć ö ñĉ é đ ÖĊę ÷ ü ÖĆ ï ýĎî÷ŤÙĂöóĉüđêĂøŤ/ 1 ĂšćÜĂĉÜ ST-07 öćêøåćîÖćøÙüïÙčöÖćøđ×šćëċÜ
¤µ¦µªµ¤¤´ É¨°£´¥oµµ¦Á« ÞïĆïìĊę 2 ðøĆïðøčÜ ó.ý. 2554 165 / 174
øą÷ąđüúćÖćø
ÿëćîìĊÝę ĆéđÖĘï
ðøąđõì×ĂÜÿćøÿîđìý ÖãĀöć÷ìĊęđÖĊę÷ü×šĂÜ ÝĆéđÖĘïøĆÖþć - ×šĂðäĉïĆêĉĔîÖćøÝĆéđÖĘïĒúąéĎĒúøĆÖþć
ÿćøÿîđìý
ðŘ
IDS Logs óø ï . Ö ćø Ö ø ą ìĞ ć Ù ü ć ö ñĉ é đ ÖĊę ÷ ü ÖĆ ï
ýĎî÷ŤÙĂöóĉüđêĂøŤ/ 1 ĂšćÜĂĉÜ ST-07 öćêøåćîÖćøÙüïÙčöÖćøđ×šćëċÜ
Firewalls Logs óø ï . Ö ćø Ö ø ą ìĞ ć Ù ü ć ö ñĉ é đ ÖĊę ÷ ü ÖĆ ï
Routers & Switches Logs óø ï . Ö ćø Ö ø ą ìĞ ć Ù ü ć ö ñĉ é đ ÖĊę ÷ ü ÖĆ ï ýĎî÷ŤÙĂöóĉüđêĂøŤ/ 1 ĂšćÜĂĉÜ ST-07 öćêøåćîÖćøÙüïÙčöÖćøđ×šćëċÜ
Active Directory Logs óø ï . Ö ćø Ö ø ą ìĞ ć Ù ü ć ö ñĉ é đ ÖĊę ÷ ü ÖĆ ï
Operating System Logs óø ï . Ö ćø Ö ø ą ìĞ ć Ù ü ć ö ñĉ é đ ÖĊę ÷ ü ÖĆ ï ýĎî÷ŤÙĂöóĉüđêĂøŤ/ 1 ĂšćÜĂĉÜ ST-07 öćêøåćîÖćøÙüïÙčöÖćøđ×šćëċÜ
Remote Access Logs óø ï . Ö ćø Ö ø ą ìĞ ć Ù ü ć ö ñĉ é đ ÖĊę ÷ ü ÖĆ ï
ÖćøđÜĉî (Financial) (ĂšćÜĂĉÜÝćÖ óøï. ÖćøïĆâßĊ ó.ý. 2543)
ïĆâßĊĒúąđĂÖÿćøÖćøúÜïĆâßĊ óøï. ÖćøïĆâßĊ ó.ý. 2543 ĒñîÖïĆâßĊ 7 ĂšćÜĂĉÜ óøï. ÖćøïĆâßĊ ó.ý. 2543
¤µ¦µªµ¤¤´ É¨°£´¥oµµ¦Á« ÞïĆïìĊę 2 ðøĆïðøčÜ ó.ý. 2554 166 / 174

2) ñĎšéĎĒúÿćøÿîđìýĒúąñĎšéĎĒúøąïïÿćøÿîđìý ĀøČĂñĎšđðŨîđÝšć×ĂÜÿćøÿîđìý êšĂÜÝĆéđÖĘïĒúąéĎĒú
øĆÖþćÿČęĂïĆîìċÖ×šĂöĎúĔĀšĂ÷ĎŠĔîÿõćóóøšĂöĔßšÜćî ēé÷ÖćøÝĆéđÖĘïĒúąéĎĒúøĆÖþćÿČęĂÙüøðäĉïĆêĉêćö
ÙĞćĒîąîĞć×ĂÜđÝšć×ĂÜñúĉêõĆèæŤ
3) ñĎš éĎ Ē úÿćøÿîđìýĒúąñĎš éĎ Ē úøąïïÿćøÿîđìý ĀøČ Ă ñĎš đ ðŨ î đÝš ć ×ĂÜÿćøÿîđìý êš Ă ÜÝĆ é đÖĘ ï
ÿćøÿîđìýêćöøą÷ąđüúćìĊęÖĞćĀîéĔîêćøćÜÖćøđÖĘïøĆÖþćÿćøÿîđìý Ă÷ŠćÜĕøÖĘêćöøą÷ąđüúć
ÖćøÝĆéđÖĘïêšĂÜđóĊ÷ÜóĂêŠĂÖøąïüîÖćøÖćøêøüÝÿĂï ĀøČĂĂćÝêšĂÜÝĆéđÖĘïđÖĉîÖüŠćøą÷ąđüúćìĊę
ÖĞćĀîéĔîÖøèĊìĊęöĊÖćøôŜĂÜøšĂÜĔîßĆĚîýćúĒúąöĊđĀêčêšĂÜĔßšïĆîìċÖ×šĂöĎúéĆÜÖúŠćü
4) ĀĆüĀîšćÜćîÿćøÿîđìý êšĂÜÙüïÙčöĒúąđÖĘïøĆÖþćïĆîìċÖđĀêčÖćøèŤ (Log) ĔĀšöĊÙüćööĆęîÙÜ
ðúĂéõĆ÷ đßŠî đÖĘïïĆîìċÖđĀêčÖćøèŤ (Log) ĕüšĔîÿČęĂïĆîìċÖ×šĂöĎúĒïïĂŠćîĕéšĂ÷ŠćÜđéĊ÷ü đ×šćøĀĆÿ
ĀøČĂđÖĘïĕüšĔîìĊęìĊęöĊÖćøÙüïÙčöÖćøđ×šćëċÜìćÜÖć÷õćó (Physical) đðŨîêšî
5) ĀĆüĀîšćÜćîÿćøÿîđìý öĊĀîšćìĊęĔîÖćøéĎĒú×šĂöĎúïîĂčðÖøèŤðøąöüúñúÿćøÿîđìý×ĂÜ Öôñ.
Ēúąêš Ă ÜéĞ ć đîĉ î Öćøúï×š Ă öĎ ú ×ĂÜ Öôñ. ÖŠ Ă îÖćøēĂî÷š ć ÷Ăč ð ÖøèŤ ð øąöüúñúÿćøÿîđìý
îĂÖÝćÖîĊĚ ÿČęĂïĆîìċÖ×šĂöĎúìĊęÝĆéđÖĘï×šĂöĎúõć÷Ĕî×ĂÜ Öôñ. êšĂÜúï ĀøČĂìĞćúć÷ÖŠĂîìĉĚÜ
11.1.4 ÖćøÙčšöÙøĂÜ×šĂöĎúÿŠüîïčÙÙú (Data Protection and Privacy of Personal Information)

1) òść÷ìøĆó÷ćÖøïčÙÙú êšĂÜÝĆéĔĀšöĊ×šĂÖĞćĀîé ÙĞćÿĆęÜ ĀøČĂðøąÖćý ÖĆïñĎšðäĉïĆêĉÜćîõć÷Ĕî Öôñ.
ĒúąĀîŠü÷Üćîõć÷îĂÖ đÖĊę÷üÖĆïÖćøÙčšöÙøĂÜ×šĂöĎúÿŠüîïčÙÙú ĒúąÖćøĔĀšÙüćöÿĞćÙĆâ×ĂÜÖćø
đÖĘïøĆÖþćÙüćöúĆï×ĂÜ×šĂöĎúÿŠüîïčÙÙúìĊęĔßšĔîÖćøéĞćđîĉîÜćî×ĂÜ Öôñ.
2) ñĎšĂĞćîü÷Öćøòść÷ĀøČĂđìĊ÷ïđìŠ ć×ċĚîĕðêšĂÜÝĆéĔĀšöĊñĎšÙüïÙčö ×š ĂöĎú ÿŠ üîïčÙ Ùú đóČę ĂÙüïÙčöÖćø
øüïøüö ÝĆéđÖĘï Ĕßš đñ÷ĒóøŠ ĀøČĂéĞćđîĉîÖćøĂČęîĔéđÖĊę÷üÖĆï×šĂöĎúÿŠüîïčÙÙú
3) ÖćøđÖĘïøüïøüö×šĂöĎúÿŠüîïčÙÙú öĊĀúĆÖđÖèæŤĒúą×Ăïđ×êđîČĚĂĀćéĆÜêŠĂĕðîĊĚ
1. ĔîÖćøđÖĘïøüïøüö×šĂöĎú ÖúŠćüÙČĂ ĔîÖćøđÖĘïøüïøüö×šĂöĎúîĆĚî êšĂÜßĂïéšü÷ÖãĀöć÷
ĒúąêšĂÜĔßšüĉíĊÖćøìĊęđðŨîíøøöĒúąđĀöćąÿö ēé÷ĔîÖćøđÖĘïøüïøüö×šĂöĎúîĆĚî êšĂÜĔĀš
đÝšć×ĂÜ×šĂöĎúøĎšđĀĘî øĆïøĎš ĀøČĂĕéšøĆïÙüćö÷ĉî÷ĂöÝćÖđÝšć×ĂÜ×šĂöĎú
2. ĔîÖćøđÖĘïøüïøüöĔĀšñĎšÙüïÙčö×šĂöĎúÿŠüîïčÙÙú ĒÝšÜêŠĂđÝšć×ĂÜ×šĂöĎúÿŠüîïčÙÙúìøćï
ÖŠĂîĀøČĂĔî×èąìĊęÝąéĞćđîĉîÖćøëċÜøć÷úąđĂĊ÷é éĆÜêŠĂĕðîĊĚ
x ßČęĂ ĀîŠü÷Üćî×ĂÜñĎšÙüïÙčö×šĂöĎúÿŠüîïčÙÙú
x üĆêëčðøąÿÜÙŤ×ĂÜÖćøđÖĘïøüïøüö ĒúąüĉíĊÖćøĔîÖćøđÖĘïøüïøüö
x ÖĞćĀîéøą÷ąđüúćĔîÖćøđÖĘïøĆÖþć×šĂöĎúÿŠüîïčÙÙú
x ÿĉìíĉ×ĂÜđÝšć×ĂÜ×šĂöĎúÿŠüîïčÙÙú

4) ÖćøĔßšĒúąÖćøđðŗéđñ÷×šĂöĎúÿŠüîïčÙÙú öĊĀúĆÖđÖèæŤĒúą×Ăïđ×êđîČĚĂĀćéĆÜêŠĂĕðîĊĚ
1. ÖćøĔßš×š Ă öĎ ú ÿŠ ü îïč Ù ÙúÝąêš Ă ÜĔßš ê ćöÙüćöđĀöćąÿö ĒúąđóČę ĂüĆ ê ëč ð øąÿÜÙŤ Ĕ îÖćø
éĞćđîĉîÜćî×ĂÜ Öôñ. õć÷Ĕêš×Ăïđ×êìĊęÖãĀöć÷ÖĞćĀîé
2. ×šĂöĎúÿŠüîïčÙÙúîĆĚî ÝąêšĂÜĕöŠöĊÖćøđðŗéđñ÷ ìĞćĔĀšöĊĀøČĂðøćÖäĔîúĆÖþèąĂČęîĔé àċęÜ
ĕöŠĕéšÖĞćĀîéĕüšēé÷ßĆéĒÝšÜĔîüĆêëčðøąÿÜÙŤ×ĂÜÖćøđÖĘïøüïøüö×šĂöĎú đüšîĒêŠÝąĕéšøĆï
Ùüćö÷ĉ î ÷ĂöÝćÖđÝš ć ×ĂÜ×š Ă öĎ ú Ă÷Š ć ÜđðŨ î úć÷úĆ Ö þèŤ ĂĆ Ö þø ĀøČ Ă đðŨ î Öćøđðŗ é đñ÷
x đðŨîÖćøðäĉïĆêĉêćöÖãĀöć÷
x đðŨîĕðđóČęĂðøąē÷ßîŤ×ĂÜđÝšć×ĂÜ×šĂöĎúÿŠüîïčÙÙúĒúąÖćø×ĂÙüćö÷ĉî÷ĂöĕöŠ
ÿćöćøëéĞćđîĉîÖćøĕéšĔîđüúćîĆĚî
x đðŨîĕðđóČęĂðøąē÷ßîŤ ìĊęđÖĊę÷üÖĆïßĊüĉê ÿč ×õćó ĀøČ ĂÙüćöðúĂéõĆ ÷×ĂÜđÝšć×ĂÜ
×šĂöĎúÿŠüîïčÙÙú
x đðŗéđñ÷êŠĂĀîŠü÷Üćî×ĂÜ Öôñ. đóČęĂÖćøîĞćĕðĔßšêćöĂĞćîćÝĀîšćìĊę
x đðŨ î ÖćøĔßš ×š Ă öĎ ú êćöðÖêĉ õ ć÷ĔîüĆ ê ëč ð øąÿÜÙŤ × ĂÜÖćøÝĆ é ĔĀš öĊ ø ąïï×š Ă öĎ ú
×ŠćüÿćøÿŠüîïčÙÙúîĆĚî
x êŠĂĀîŠü÷Üćî×ĂÜøĆåìĊęìĞćÜćîéšü÷ÖćøüćÜĒñî ĀøČĂÖćøÿëĉêĉ ĀøČĂÿĞćöąēîêŠćÜė
àċęÜöĊĀîšćìĊęêšĂÜøĆÖþć×šĂöĎú×ŠćüÿćøÿŠüîïčÙÙúĕüšĕöŠĔĀšđðŗéđñ÷êŠĂĕð÷ĆÜñĎšĂČęî
x đðŨîÖćøĔĀšđóČęĂðøąē÷ßîŤĔîÖćøýċÖþćüĉÝĆ÷ĀøČĂÿëĉêĉĒúąĕéšđÖĘï×šĂöĎúÿŠüîïčÙÙú
đóČęĂÖćøîĆĚîĕüšđðŨîÙüćöúĆï ēé÷ĕöŠøąïčßČęĂĀøČĂÿŠüîìĊęìĞćĔĀšøĎšüŠćđðŨî×šĂöĎú×Šćüÿćø
ÿŠüîïčÙÙúìĊęđÖĊę÷üÖĆïïčÙÙúĔé
x êŠ Ă ĀĂÝéĀöć÷đĀêč Ē ĀŠ Ü ßćêĉ Öøöýĉ ú ðćÖø ĀøČ Ă ĀîŠ ü ÷ÜćîĂČę î ×ĂÜøĆ å đóČę Ă
ÖćøêøüÝéĎÙčèÙŠćĔîÖćøđÖĘïøĆÖþć
x êŠ Ă đÝš ć Āîš ć ìĊę × ĂÜøĆ å đóČę Ă ÖćøðŜ Ă ÜÖĆ î Öćøòś ć òŚ î ĀøČ Ă ĕöŠ ð äĉ ïĆ êĉ ê ćöÖãĀöć÷
ÖćøÿČïÿüî ÖćøÿĂïÿüî ĀøČĂÖćøôŜĂÜÙéĊ ĕöŠüŠćđðŨîÙéĊðøąđõìĔéÖĘêćö
x đðŨîÖćøĔĀšàċęÜÝĞćđðŨî đóČęĂÖćøðŜĂÜÖĆîĀøČĂøąÜĆïĂĆîêøć÷êŠĂßĊüĉêĀøČĂÿč×õćó×ĂÜ
ïčÙÙú
x êŠĂýćú ĒúąđÝš ćĀîšćìĊę ×ĂÜøĆå ĀøČĂĀîŠ ü÷Üćî×ĂÜøĆåĀøČĂïčÙÙúìĊęöĊĂĞćîćÝêćö
ÖãĀöć÷ìĊęÝą×Ă×šĂđìĘÝÝøĉÜéĆÜÖúŠćü
x ÖøèĊĂČęîêćöìĊęÖĞćĀîéĔîóøąøćßÖùþãĊÖćìĊęđÖĊę÷ü×šĂÜÖĆï óøï. ×šĂöĎú×Šćüÿćø
×ĂÜøćßÖćø ó.ý. 2540
x Öćøđðŗéđñ÷×šĂöĎú×ŠćüÿćøÿŠüîïčÙÙúĔî×šĂ (3) (4) (5) (6) (7) (8) Ēúą (9) êćö
đĂÖÿćøĒîïìšć÷×ĂÜÖãÖøąìøüÜ ó.ý. 2541 ĂĂÖêćöÙüćöĔî óøï. ×šĂöĎú
×ŠćüÿćøøćßÖćø ó.ý. 2540) ēé÷ĔĀšöĊÖćøÝĆéìĞćïĆâßĊĒÿéÜÖćøđðŗéđñ÷ÖĞćÖĆïĕüš
ÖĆï×šĂöĎú×ŠćüÿćøîĆĚî
3. ĔîÖøèĊìĊęĀ îŠ ü÷ÜćîĔéêš Ă ÜÖćøđðŗé đñ÷×šĂöĎ ú ÿŠü îïčÙ ÙúĔĀš Ē ÖŠ Ā îŠü ÷Üćîõć÷îĂÖ ñĎš
ÙüïÙčö×šĂöĎúÿŠüîïčÙÙú êšĂÜÝĆéìĞćÿĆââćàċęÜÙøĂïÙúčöëċÜÖćøÙčšöÙøĂÜĒúąÖćøđÖĘï
øĆÖþć×šĂöĎúÿŠüîïčÙÙú
5) ÖćøđÖĘ ïøĆÖþćĒúąÖćøĒÖšĕ×đðúĊę÷îĒðúÜ×šĂöĎ úÿŠüîïčÙ Ùú öĊĀúĆÖđÖèæŤĒúą×Ăïđ×êđîČĚ ĂĀć
1. ñĎšÙüïÙčö×šĂöĎúÿŠüîïčÙÙúöĊĀîšćìĊęéĎĒú×šĂöĎúÿŠüîïčÙÙúìĊęĂ÷ĎŠõć÷ĔêšÙüćöÙøĂïÙøĂÜ×ĂÜ
ĀîŠü÷Üćî ēé÷ÝĆéĔĀšöĊÖøąïüîÖćøđÖĘïøĆÖþć×šĂöĎú ÖćøðøĆïðøčÜ×šĂöĎúĔĀšđðŨîðŦÝÝčïĆî
ĒúąÖćøøĆÖþćÙüćööĆęîÙÜðúĂéõĆ÷×ĂÜ×šĂöĎú đóČęĂðŜĂÜÖĆîÖćøđ×šćëċÜ đðúĊę÷îĒðúÜ×šĂöĎú
ÿŠüîïčÙÙúēé÷ĕöŠĕéšøĆïĂîčâćê
2. ĔĀšđÖĘïøĆÖþć×šĂöĎúÿŠüîïčÙÙúêćöøą÷ąđüúćìĊęÖãĀöć÷ÖĞćĀîé ĀøČĂîćîÖüŠćđóČęĂĔĀš
đðŨîĕðêćöüĆêëčðøąÿÜÙŤĔîÖćøéĞćđîĉîíčøÖĉÝ×ĂÜ Öôñ. ēé÷đöČęĂóšîÖĞćĀîéøą÷ąđüúć
ĀøČĂĕöŠöĊÙüćöÝĞćđðŨîêšĂÜđÖĘï×šĂöĎúĂĊÖêŠĂĕð ĀøČĂđÝšć×ĂÜ×šĂöĎúđóĉÖëĂîÙüćö÷ĉî÷Ăö ĔĀš
ñĎšÙüïÙčö×šĂöĎúÿŠüîïčÙÙúÝĆéÖćøúïĀøČĂìĞćúć÷×šĂöĎúÿŠüîïčÙÙúîĆĚîéšü÷üĉíĊÖćøĔéė ĂĆî
ÝąìĞćĔĀšĕöŠðøćÖäĀøČĂïŠÜßĊĚ ×šĂöĎúÿŠüîïčÙÙúĂĊÖêŠĂĕð ĀøČĂìĞćĔĀš×šĂöĎúÿŠüîïčÙÙúĕöŠ
ðøćÖäßČęĂĀøČĂÿĉęÜïĂÖúĆÖþèąìĊęìĞćĔĀšøĎšêĆüđÝšć×ĂÜ×šĂöĎúÿŠüîïčÙÙú õć÷Ĕî 30 üĆî
6) ĀćÖöĊÖćøðøĆïðøčÜĒÖšĕ×îē÷ïć÷ öćêøåćî ĀøČĂ×ĆĚîêĂîÖćøðäĉïĆêĉÜćîéšćîÙüćööĆęîÙÜðúĂéõĆ÷
éšćîÿćøÿîđìýìĊęđÖĊę÷üÖĆï×šĂöĎúÿŠüîïčÙÙú êšĂÜìĞćÖćøđðŗéđñ÷ĀøČĂðøąÖćýĕüšĔĀšßĆéđÝî øüöìĆĚÜ
ĔĀš×šĂöĎúĔéė ÿćöćøëøąïčđÖĊę÷üÖĆïĀîŠü÷Üćî×ĂÜñĎšÙüïÙčö×šĂöĎúÿŠüîïčÙÙú øüöìĆĚÜìĊęĂ÷ĎŠ×ĂÜ
ĀîŠü÷ÜćîéĆÜÖúŠćü
7) ñĎšðäĉïĆêĉÜćî ìĊęĕéšøĆïĂîčâćêĔĀšđ×šćëċÜ×šĂöĎúÿŠüîïčÙÙú êšĂÜĕéšøĆïÖćøĂïøöđøČęĂÜÖćøđÖĘïøĆÖþć
ÿćøÿîđìýìĊęđðŨîÙüćöúĆï Ēúąîē÷ïć÷ĔîÖćøéĎĒúĒúąðŜĂÜÖĆîÿćøÿîđìý
8) òść÷ìøĆó÷ćÖøïčÙÙú êšĂÜĒÝšÜĒÖŠñĎšðäĉïĆêĉÜćîĔĀšìøćïüŠć Öôñ. öĊÿĉìíĉĔîÖćøêøüÝÿĂï ÝéĀöć÷
ĂĉđúĘÖìøĂîĉÖÿŤ ĒôŜö×šĂöĎúÿŠüîïčÙÙú ĒôŜö×šĂöĎúĔîăćøŤééĉÿÖŤ ĀøČĂÿćøÿîđìýĂČęîė ìĊęÝĆéđÖĘïĔî
øąïïÿćøÿîđìý×ĂÜ Öôñ. ìčÖđöČęĂ ēé÷ĕöŠÝĞćđðŨîêšĂÜĒÝšÜĔĀšìøćïúŠüÜĀîšć
11.1.5 ÖćøðŜĂÜÖĆîÖćøĔßšÜćîĂčðÖøèŤðøąöüúñúÿćøÿîđìýñĉéüĆêëčðøąÿÜÙŤ (Prevention of Misuse

of Information Processing Facilities)
1) ñĎšðäĉïĆêĉÜćî êšĂÜĔßšøąïïÿćøÿîđìýĒúąøąïïÿČęĂÿćø×ĂÜ Öôñ. đóČęĂÖćøéĞćđîĉîÜćî×ĂÜ Öôñ.
đìŠćîĆĚî

2) ñĎšðäĉïĆêĉÜćî êšĂÜĕöŠĔßšăćøŤéĒüøŤ (Hardware) ĀøČĂàĂôêŤĒüøŤ (Software) đóČęĂìéÿĂï ðøąđöĉî
ĒÖš ĕ × ĀøČ Ă đðúĊę ÷ îĒðúÜøąïïÖćøøĆ Ö þćÙüćööĆę î ÙÜðúĂéõĆ ÷ éš ć îÿćøÿîđìý đüš î ĒêŠ ĕ éš øĆ ï
öĂïĀöć÷Ă÷ŠćÜđðŨîúć÷úĆÖþèŤĂĆÖþø ÝćÖĀĆüĀîšćÜćîÿćøÿîđìý đìŠćîĆĚî
3) òś ć ÷ìøĆ ó ÷ćÖøïč Ù Ùú êš Ă ÜĒÝš Ü ĒÖŠ ñĎš ð äĉ ïĆ êĉ Ü ćîĔĀš ì øćïüŠ ć Öôñ. öĊ ÿĉ ì íĉ Ĕ îÖćøêøüÝÿĂï
ÿćøÿîđìý ìĊęÝĆéđÖĘïõć÷ĔîĀøČĂÿŠÜñŠćîēé÷øąïïÿćøÿîđìýĒúąøąïïÿČęĂÿćø×ĂÜ Öôñ. ìčÖđöČęĂ
ēé÷ĕöŠÝĞćđðŨîêšĂÜĒÝšÜĔĀšìøćïúŠüÜĀîšć
4) ĀĆ ü Āîš ć Üćîÿćøÿîđìý êš Ă ÜÝĆ é ĔĀš öĊ Ö ćøĒÿéÜ×š Ă ÙüćöđêČ Ă îïîĀîš ć ÝĂÙĂöóĉ ü đêĂøŤ ÖŠ Ă îìĊę
ñĎšðäĉïĆêĉÜćîđ×šćÿĎŠ (Log-In) øąïïÿćøÿîđìý đóČęĂĒÝšÜĔĀšìøćïüŠćøąïïéĆÜÖúŠćüÿćöćøëđ×šćëċÜĕéš
đÞóćąñĎšìĊęĕéšøĆïĂîčâćêđìŠćîĆĚî ēé÷ñĎšðäĉïĆêĉÜćîêšĂÜøĆïìøćïĒúąÿîĂÜêĂïÖĆï×šĂÙüćöđêČĂî
đóČęĂĔĀšÖøąïüîÖćøđ×šćÿĎŠøąïïéĞćđîĉîêŠĂĕð
11.1.6 ÖćøĔßšÜćîöćêøÖćøÖćøđ×šćøĀĆÿ×šĂöĎúêćö×šĂÖĞćĀîé (Regulation of Cryptographic

Controls)
1) ĀĆüĀîšćÜćîÿćøÿîđìý êšĂÜóĉÝćøèćÙüćöÿĂéÙúšĂÜĔî×šĂÖãĀöć÷ĀøČĂÖã×šĂïĆÜÙĆï×ĂÜðøąđìý
ĕì÷ đÖĊę÷üÖĆïÖćøĔßšđÙøČęĂÜöČĂĀøČĂđìÙîĉÙÖćøđ×šćøĀĆÿ (Cryptographic Tools and
Technologies)
2) ĔîÖøèĊ ìĊę öĊ Ö ćøĒúÖđðúĊę ÷ îÿćøÿîđìýøąĀüŠ ć ÜĂÜÙŤ Ö øõć÷îĂÖðøąđìýĕì÷ ĀĆ ü Āîš ć Üćî
ÿćøÿîđìý êšĂÜðøċÖþćòść÷ÖãĀöć÷ đÖĊę÷üÖĆï×šĂñĎÖöĆéĔîÖćøĔßšÖćøđ×šćøĀĆÿìĊęöĊĒĀúŠÜÖĞćđîĉéêćö
ÖãĀöć÷ĀøČĂ Öã×šĂïĆÜÙĆï×ĂÜðøąđìýĂČęî
1) PD-35 ×ĆĚîêĂîÖćøðäĉïĆêĉÜćîđøČęĂÜ ÖćøêøüÝÿĂïÖćøĔßšēðøĒÖøöÙĂöóĉüđêĂøŤìĊęúąđöĉéìøĆó÷ŤÿĉîìćÜ
ðŦââć (Monitoring of Illegal Software Usage Procedure)
2) PD-36 ×ĆĚîêĂîÖćøðäĉïĆêĉÜćîđøČęĂÜ ÖćøÙčšöÙøĂÜ×šĂöĎúÿŠüîïčÙÙú (Data Protection and Privacy
of Personal Information Procedure)
11.2 ÖćøðäĉïĆêĉêćöîē÷ïć÷ öćêøåćîÙüćööĆęîÙÜðúĂéõĆ÷Ēúą×šĂÖĞćĀîéìćÜđìÙîĉÙ

(Compliance with Security Policies and Standards, and Technical
Compliance)

ĔĀšöĊÖćøÙüïÙčöđóČęĂĔĀšÖćøðäĉïĆêĉđðŨîĕðêćöîē÷ïć÷ÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìýêúĂéÝîöćêøåćî
Ēúą×ĆĚîêĂîÖćøðäĉïĆêĉĂČęîėìĊęđÖĊę÷ü×šĂÜ ĒúąÝĆéĔĀšöĊÖćøêøüÝÿĂïÖćøðäĉïĆêĉêćööćêøåćîìćÜđìÙîĉÙ×ĂÜ
Öôñ.
öćêøåćî
11.2.1 ÖćøðäĉïĆêĉêćöîē÷ïć÷ ĒúąöćêøåćîÙüćööĆęîÙÜðúĂéõĆ÷ (Compliance with Security
Policies and Standards)
1) ñĎšêøüÝÿĂïĂĉÿøąöĊĀîšćìĊęøĆïñĉéßĂïĔîÖćøÿĂïìćîÖćøðäĉïĆêĉÜćîêćöîē÷ïć÷Ēúąöćêøåćî
ÙüćööĆęîÙÜðúĂéõĆ÷×ĂÜ Öôñ. đóČęĂüĆéøąéĆïÖćøðäĉïĆêĉêćöîē÷ïć÷Ēúąöćêøåćî Ùüćö
öĆęîÙÜðúĂéõĆ÷Ă÷ŠćÜÿöęĞćđÿöĂ ìĆĚÜîĊĚÙüćöÿĞćÙĆâ×ĂÜøąïïÝąđðŨîêĆüĒðøĔîÖćøÖĞćĀîéÙüćöëĊęĔî
ÖćøÿĂïìćî đßŠ î øąïïìĊę öĊ Ù üćöÿĞ ć ÙĆ â ÿĎ Ü ÝąöĊ Ù üćöëĊę Ĕ îÖćøÿĂïìćîÿĎ Ü ÖüŠ ć øąïïìĊę öĊ
ÙüćöÿĞćÙĆâêęĞćÖüŠć đðŨîêšî
2) ñĎšđðŨîđÝšć×ĂÜÿćøÿîđìý ñĎšéĎĒúÿćøÿîđìýĒúąñĎšéĎĒúøąïïÿćøÿîđìý êšĂÜĔĀšÙüćöøŠüööČĂĒúą
ÿîĆïÿîčîÖćøÿĂïìćîÖćøðäĉïĆêĉÜćîêćöîē÷ïć÷ĒúąöćêøåćîÙüćööĆęîÙÜðúĂéõĆ÷
3) ÙèąÖøøöÖćøđìÙēîēú÷Ċ ÿ ćøÿîđìý Öôñ. (Ùìÿ.) êš Ă ÜÝĆ é đêøĊ ÷ öĒñîĒöŠ ï ìđìÙēîēú÷Ċ
ÿćøÿîđìýĒúąÖćøÿČęĂÿćø×ĂÜ Öôñ. (EGAT ICT Master Plan) ēé÷óĉÝćøèćĔĀšÖćøéĞćđîĉîÜćî
éšćîđìÙēîēú÷ĊÿćøÿîđìýÿĂéÙúšĂÜÖĆïîē÷ïć÷ ĒúąöćêøåćîéšćîÙüćööĆęîÙÜðúĂéõĆ÷éšćî
ÿćøÿîđìý
4) ĀĆ ü Āîš ć Üćîÿćøÿîđìý öĊ Ā îš ć ìĊę Ĕ îÖćøÙüïÙč ö ĔĀš ñĎš ð äĉ ïĆ êĉ Ü ćîëČ Ă ðäĉ ïĆ êĉ ê ćö×ĆĚ î êĂî
ÖćøðäĉïĆêĉÜćîéšćîÙüćööĆęîÙÜðúĂéõĆ÷ Ă÷ŠćÜđÙøŠÜÙøĆé óøšĂöìĆĚÜêĉéêćööćêøåćîĒúą×ĆĚîêĂî
Öćøðäĉ ïĆ êĉ Ü ćîéš ć îÙüćööĆę î ÙÜðúĂéõĆ ÷ ìĊę đ ðŨ î ìĊę ÷ ĂöøĆ ï ēé÷ìĆę ü ĕð ÝćÖĒĀúŠ Ü êŠ ć Üė Ēúą
ÖĞćĀîéÖćøðäĉïĆêĉÖćøĒÖšĕ× (Corrective Actions) đïČĚĂÜêšî
11.2.2 ÖćøêøüÝÿĂïÖćøðäĉïĆêĉêćööćêøåćîìćÜđìÙîĉÙ×ĂÜĂÜÙŤÖø (Technical Compliance

Checking)
1) ÙèąÖøøöÖćøđìÙēîēú÷Ċÿćøÿîđìý Öôñ. (Ùìÿ.) êšĂÜÝĆéĔĀšöĊÖćøêøüÝÿĂïÖćøðäĉïĆêĉêćö
öćêøåćîìćÜđìÙîĉÙéšćîÙüćööĆęîÙÜÙüćöðúĂéõĆ÷ÖŠĂîîĞćĂčðÖøèŤðøąöüúñúÿćøÿîđìýĂĂÖ
ĔßšÜćî
2) ÙèąÖøøöÖćøđìÙēîēú÷Ċÿćøÿîđìý Öôñ. (Ùìÿ.) êšĂÜÝĆéĔĀšöĊÖćøêøüÝÿĂïöćêøåćîìćÜ
đìÙîĉÙéšćîÙüćööĆęîÙÜÙüćöðúĂéõĆ÷ ÙøĂïÙúčöëċÜđøČęĂÜéĆÜêŠĂĕðîĊĚ

1. ÖćøÿĂïìćîÙŠćÖćøÖĞćĀîéÙŠć×ĂÜøąïï (System Configuration) ēé÷đðøĊ÷ïđìĊ÷ï
ÖĆ ï öćêøåćîìćÜéš ć îđìÙîĉ Ù éš ć îÙüćööĆę î ÙÜðúĂéõĆ ÷ ×ĂÜ Öôñ. (Minimum
Baseline Standards) ĒîüìćÜéšćîÙüćööĆęîÙÜðúĂéõĆ÷×ĂÜñĎšñúĉê ĀøČĂ ĒîüìćÜ
éšćîÙüćööĆęîÙÜðúĂéõĆ÷ìĊęÖĞćĀîéÝćÖĂÜÙŤÖøàċęÜđðŨîìĊę÷ĂöøĆï (Security Guideline)
đßŠî National Institute of Standards and Technology đðŨîêšî
2. ÖćøÿĂïìćîßŠĂÜēĀüŠìćÜĂĉđúĘÖìøĂîĉÖÿŤ (Vulnerability Assessment) ÿĞćĀøĆï
Ăč ð ÖøèŤ ð øąöüúñúÿćøÿîđìý êš Ă ÜéĞ ć đîĉ î Öćøēé÷ñĎš đ ßĊę ÷ üßćâüĉ ý üÖøøąïïìĊę öĊ
ðøąÿïÖćøèŤ ĒúąĔßšđÙøČęĂÜöČĂßŠü÷ĔîÖćøêøüÝÿĂï
3. ÖćøìéÿĂïÖćøđÝćąøąïï (Penetration Test) êšĂÜéĞćđîĉîÖćøđóČęĂÙšîĀćßŠĂÜēĀüŠĔî
øąïï ēé÷ĔĀšÙøĂïÙúčöìčÖßŠĂÜìćÜĀøČĂÝčéìĊęĂćÝđÖĉéßŠĂÜēĀüŠ ĒúąéĞćđîĉîÖćøéšü÷
ÙüćöøąöĆéøąüĆÜđðŨîóĉđýþ
3) ñĎšêøüÝÿĂïĂĉÿøąêšĂÜÿĂïìćîÖøąïüîÖćøêøüÝÿĂïöćêøåćîìćÜđìÙîĉÙéšćîÙüćööĆęîÙÜ
ÙüćöðúĂéõĆ÷Ă÷ŠćÜÿöęĞćđÿöĂ đóČęĂóĉÝćøèćüŠćøąïïÿćøÿîđìýĕéšøĆï ÖćøêøüÝÿĂïĒúąöĊÖćø
éĞćđîĉîÖćøĒÖšĕ×õć÷ĀúĆÜÖćøêøüÝÿĂïĂ÷ŠćÜđĀöćąÿö
4) ñĎšêøüÝÿĂïĂĉÿøąêšĂÜðøąÿćîÜćîÖĆïĀĆüĀîšćÜćîÿćøÿîđìýĔîÖćøÿĂïìćîøąïïÿćøÿîđìý
ĒúąĂčðÖøèŤðøąöüúñúÿćøÿîđìý üŠćöĊÖćøëČĂðäĉïĆêĉêćööćêøåćîìćÜđìÙîĉÙéšćîÙüćö
öĆęîÙÜÙüćöðúĂéõĆ÷×ĂÜ Öôñ. ìĆĚÜîĊĚëšćêøüÝóïüŠćĕöŠöĊÖćøëČĂðäĉïĆêĉêćööćêøåćîìćÜđìÙîĉÙ
éš ć îÙüćööĆę î ÙÜÙüćöðúĂéõĆ ÷ êš Ă ÜöĊ Ö ćøÝĆ é ìĞ ć đĂÖÿćøßĊĚ Ē ÝÜĂ÷Š ć ÜßĆé đÝîĒúąöĊ Ö ćøđóĉę ö
öćêøÖćøßéđß÷đóČęĂïøøđìćÙüćöđÿĊę÷Ü
11.3 ÖćøêøüÝðøąđöĉîøąïïÿćøÿîđìý (Information Systems Audit Considerations)
ĔĀšöĊÖćøÙüïÙčöÖćøêøüÝðøąđöĉîøąïïÿćøÿîđìý ĒúąÖćøÙüïÙčöđÙøČęĂÜöČĂÿĞćĀøĆïÖćøêøüÝðøąđöĉîøąïï
ÿćøÿîđìýĂ÷ŠćÜđĀöćąÿö
öćêøåćî
11.3.1 öćêøÖćøÖćøêøüÝðøąđöĉîøąïïÿćøÿîđìý (Information Systems Audit Controls)
1) ñĎšêøüÝÿĂïĂĉÿøąêšĂÜĔßšÙüćöøąöĆéøąüĆÜđðŨîóĉđýþĔîÖćøéĞćđîĉîÖćøêøüÝÿĂïøąïïðäĉïĆêĉÖćø
đóČęĂĕöŠĔĀšÖøąìïÖćøéĞćđîĉîÜćî×ĂÜ Öôñ. ĀøČĂĔĀšđÖĉéÙüćöđÿĊę÷Ü×ĂÜ ÖćøĀ÷čéßąÜĆÖìćÜ
íčøÖĉÝĔĀšîšĂ÷ìĊęÿčé

2) ñĎšêøüÝÿĂïĂĉÿøąêšĂÜðäĉïĆêĉÜćîÖćøêøüÝÿĂïõć÷ĔêšÖćøÝĞćÖĆéÖćøđ×šćëċÜēðøĒÖøöÙĂöóĉüđêĂøŤ
Ēúą×šĂöĎúĒïïĂŠćîĂ÷ŠćÜđéĊ÷ü (Read-Only) ìĆĚÜîĊĚÖćøđ×šćëċÜĒïïĂČęîė êšĂÜÖøąìĞć Ĕî
ÿõćóĒüéúšĂöÝĞćúĂÜđìŠćîĆĚî
3) ñĎš ê øüÝÿĂïĂĉ ÿ øąêšĂ ÜìĞć ÖćøúïÿĞ ć đîćĕôúŤ ìĊę ĕéš øĆ ï ÝćÖÖćøêøüÝÿĂïđöČę Ă ÖćøêøüÝÿĂïĕéš
éĞćđîĉîÖćøĒúšüđÿøĘÝĒúąĕöŠöĊðøąđéĘîêšĂÜêĉéêćö
4) ĀĆüĀîšćÜćîÿćøÿîđìý êšĂÜÖĞćĀîéÖćøïĆîìċÖđĀêčÖćøèŤ (Log) ×ĂÜÖĉÝÖøøöìĊęđÖĊę÷ü×šĂÜÖĆïñĎšêøüÝ
ÿĂï ēé÷ñĎšéĎĒúøąïïÿćøÿîđìý êšĂÜđòŜćøąüĆÜÖćøđ×šćëċÜ øąïïìĊęêøüÝÿĂï×ĂÜñĎšêøüÝÿĂïĂ÷ŠćÜ
ÿöęĞćđÿöĂ
5) ñĎšêøüÝÿĂïĂĉÿøąêšĂÜÝĆéìĞćĒîüÖćøêøüÝÿĂï ïìïćìĀîšćìĊęĒúąìøĆó÷ćÖøéšćîđìÙēîēú÷Ċ
ÿćøÿîđìýìĊęêšĂÜÖćøđóČęĂÖćøêøüÝÿĂïĂ÷ŠćÜđðŨîúć÷úĆÖþèŤĂĆÖþø ēé÷ñĎšéĎĒúøąïïÿćøÿîđìýìĊę
ëĎÖêøüÝÿĂï êšĂÜÝĆéđêøĊ÷öìøĆó÷ćÖøìĊęñĎšêøüÝÿĂïøšĂÜ×Ă đóČęĂĔßšĔîÖøąïüîÖćøêøüÝÿĂïĔĀš
óøšĂö
11.3.2 ÖćøðŜĂÜÖĆîđÙøČęĂÜöČĂÿĞćĀøĆïÖćøêøüÝðøąđöĉîøąïïÿćøÿîđìý (Protection of Information

Systems Audit Tools)
1) ĀĆüĀîšćÜćîÿćøÿîđìý öĊĀîšćìĊęøĆïñĉéßĂïĔîÖćøĂîčöĆêĉ ÖćøĔßšđÙøČęĂÜöČĂêøüÝøąïïÿćøÿîđìý
(System Audit Tools) ìĊęĂćÝÿŠÜñúÖøąìïÖćøøĆÖþćÙüćööĆęîÙÜðúĂéõĆ÷×ĂÜ Öôñ. đßŠî
Scanning Tools ĀøČĂ Password Cracking Utilities đðŨîêšî ēé÷êšĂÜöĊÖćøÖĞćÝĆéøą÷ąđüúćĔî
ÖćøĔßšÜćî
2) ĀĆüĀîšćÜćîÿćøÿîđìý öĊĀîšćìĊęøĆïñĉéßĂïĔîÖćøÙüïÙčöÖćøĔßšđÙøČęĂÜöČĂêøüÝøąïïÿćøÿîđìý
(System Audit Tools) đßŠî ÝĆéđÖĘïĒ÷ÖêŠćÜĀćÖÝćÖđÙøČęĂÜöČĂĀøČĂēðøĒÖøöĂøøëðøąē÷ßîŤ ìĊę
ĔßšĔîøąïïĔĀšïøĉÖćøÝøĉÜ đðŨîêšî
3) ĀĆüĀîšćÜćîÿćøÿîđìýêšĂÜÖĞćĀîéÖćøđ×šćëċÜĂ÷ŠćÜđ×šöÜüé ìĆĚÜìćÜÖć÷õćó (Physical) ĒúąìćÜ
êøøÖą (Logical) ĔîÖćøđ×šćëċÜđÙøČęĂÜöČĂêøüÝøąïïÿćøÿîđìý đßŠî ēðøĒÖøöÙĂöóĉüđêĂøŤ ĀøČĂ
ĕôúŤ×šĂöĎú đðŨî êšî đóČęĂðŜ ĂÜÖĆî ÖćøîĞ ćĕðĔßšē é÷ñĉ éüĆ êëčðøąÿÜÙŤ ĀøČ ĂÖćøđðŗ éđñ÷×šĂöĎú Öćø
êøüÝÿĂïēé÷ĕöŠĕéšøĆïĂîčâćê
4) ĀĆüĀîšćÜćîÿćøÿîđìýêšĂÜêøüÝÿĂïÖćøĔßšÜćîđÙøČęĂÜöČĂêøüÝøąïïÿćøÿîđìý (System Audit
Tools)
đĂÖÿćøĂšćÜĂĉÜ
x ISO/IEC 27001:2005
x ISO/IEC 17799:2005
x öćêøåćîÖćøøĆÖþćÙüćööĆęîÙÜðúĂéõĆ÷ĔîÖćøðøąÖĂïíčøÖøøöìćÜĂĉđúĘÖìøĂîĉÖÿŤ (đüĂøŤßĆî 2.5)
ðøąÝĞćðŘ 2550, ýĎî÷ŤđìÙēîēú÷ĊĂĉđúĘÖìøĂîĉÖÿŤĒúąÙĂöóĉüđêĂøŤ ĒĀŠÜßćêĉ ÿĞćîĆÖÜćîóĆçîć
üĉì÷ćýćÿêøŤĒúąđìÙēîēú÷ĊĒĀŠÜßćêĉ ÖøąìøüÜüĉì÷ćýćÿêøŤ

มาตรฐานความมั่นคงปลอดภัยด้านสารสนเทศ ฉบับที่ 2 (ปรับปรุง พ.ศ. 2554)

Uploaded by

Document Information

Copyright

Available Formats

Share this document

Share or Embed Document

Sharing Options

Did you find this document useful?

Is this content inappropriate?

Copyright:

Available Formats

มาตรฐานความมั่นคงปลอดภัยด้านสารสนเทศ ฉบับที่ 2 (ปรับปรุง พ.ศ. 2554)

Uploaded by

Copyright:

Available Formats

öćêøåćîÙüćööĆîę ÙÜðúĂéõĆ÷éšćîÿćøÿîđìý

ÙèąÖøøöÖćøđìÙēîēú÷Ċÿćøÿîđìý Öôñ. (Ùìÿ.) ĕéšĔĀšÙüćöđĀĘîßĂïĔîöćêøåćîÙüćööĆęîÙÜ

öćêøåćîÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý ÞïĆïìĊę 2 ðøĆïðøčÜ ó.ý. 2554 2 / 174

1 ÙĎŠöČĂÖćøðäĉïĆêĉÜćîêćö đóČęĂĔĀšöĊÙüćöđĀöćąÿöÖĆïÖćøéĞćđîĉîÜćîĔîðŦÝÝčïĆî öÖøćÙö 2554

öćêøåćîÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý ÞïĆïìĊę 2 ðøĆïðøčÜ ó.ý. 2554 3 / 174

öćêøåćîÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý ÞïĆïìĊę 2 ðøĆïðøčÜ ó.ý. 2554 4 / 174

öćêøåćîÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý ÞïĆïìĊę 2 ðøĆïðøčÜ ó.ý. 2554 5 / 174

öćêøåćîÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý ÞïĆïìĊę 2 ðøĆïðøčÜ ó.ý. 2554 6 / 174

öćêøåćîÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý ÞïĆïìĊę 2 ðøĆïðøčÜ ó.ý. 2554 7 / 174

öćêøåćîÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý ÞïĆïìĊę 2 ðøĆïðøčÜ ó.ý. 2554 8 / 174

öćêøåćîÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý ÞïĆïìĊę 2 ðøĆïðøčÜ ó.ý. 2554 9 / 174

öćêøåćîÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý ÞïĆïìĊę 2 ðøĆïðøčÜ ó.ý. 2554 10 / 174

öćêøåćîÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý ÞïĆïìĊę 2 ðøĆïðøčÜ ó.ý. 2554 11 / 174

ST-08 öćêøåćîÖćøÝĆéĀć ÖćøóĆçîć ĒúąÖćøïĞćøčÜøĆÖþćøąïïÿćøÿîđìý (Standard

öćêøåćîÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý ÞïĆïìĊę 2 ðøĆïðøčÜ ó.ý. 2554 12 / 174

2. òść÷ìĊęöĊúĆÖþèąÜćîđðŨîñĎšĔßšÜćî öĊÖćøóĆçîćøąïïÿćøÿîđìý ĒúąýĎî÷ŤÙĂöóĉüđêĂøŤĀøČĂĀšĂÜ

öćêøåćîÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý ÞïĆïìĊę 2 ðøĆïðøčÜ ó.ý. 2554 13 / 174

öćêøåćîÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý ÞïĆïìĊę 2 ðøĆïðøčÜ ó.ý. 2554 14 / 174

öćêøåćîÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý ÞïĆïìĊę 2 ðøĆïðøčÜ ó.ý. 2554 15 / 174

öćêøåćîÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý ÞïĆïìĊę 2 ðøĆïðøčÜ ó.ý. 2554 16 / 174

öćêøåćîÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý ÞïĆïìĊę 2 ðøĆïðøčÜ ó.ý. 2554 17 / 174

ĀĆüĀîšćÜćî 4.3.2 7.5.6 11.1.2

öćêøåćîÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý ÞïĆïìĊę 2 ðøĆïðøčÜ ó.ý. 2554 18 / 174

ñĎšéĎĒúÿćøÿîđìý 2.1.4 3.1.1, 3.1.2, 8.3.2 11.1.3, 11.2.1

öćêøåćîÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý ÞïĆïìĊę 2 ðøĆïðøčÜ ó.ý. 2554 19 / 174

òść÷ÖãĀöć÷ 4.2.3 11.1.6

öćêøåćîÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý ÞïĆïìĊę 2 ðøĆïðøčÜ ó.ý. 2554 20 / 174

öćêøåćîÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý ÞïĆïìĊę 2 ðøĆïðøčÜ ó.ý. 2554 21 / 174

ĀîŠü÷Üćîõć÷îĂÖ 2.2.1, 2.2.2 4.1.1, 4.1.3, 7.2.1, 7.3.1, 9.1.1, 9.1.2

öćêøåćîÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý ÞïĆïìĊę 2 ðøĆïðøčÜ ó.ý. 2554 22 / 174

ST-02: öćêøåćîēÙøÜÿøšćÜìćÜéšćîÙüćööĆęîÙÜðúĂéõĆ÷ÿĞćĀøĆï Öôñ. (Standard of

öćêøåćîÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý ÞïĆïìĊę 2 ðøĆïðøčÜ ó.ý. 2554 23 / 174

öćêøåćîÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý ÞïĆïìĊę 2 ðøĆïðøčÜ ó.ý. 2554 24 / 174

öćêøåćîÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý ÞïĆïìĊę 2 ðøĆïðøčÜ ó.ý. 2554 25 / 174

2.1 ēÙøÜÿøšćÜìćÜéšćîÙüćööĆęîÙÜðúĂéõĆ÷õć÷ĔîĂÜÙŤÖø (Internal Organization)

öćêøåćîÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý ÞïĆïìĊę 2 ðøĆïðøčÜ ó.ý. 2554 26 / 174

2.1.2 ÖćøðøąÿćîÜćîÙüćööĆęîÙÜðúĂéõĆ÷õć÷Ĕî Öôñ. (Information Security Coordination)

2.1.3 ÖćøÖĞćĀîéĀîšćìĊęÙüćöøĆïñĉéßĂïìćÜéšćîÙüćööĆęîÙÜðúĂéõĆ÷ÿćøÿîđìý (Allocation of

öćêøåćîÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý ÞïĆïìĊę 2 ðøĆïðøčÜ ó.ý. 2554 27 / 174

2.1.4 ÖøąïüîÖćøĔîÖćøĂîčöĆêĉÖćøĔßšÜćîĂčðÖøèŤðøąöüúñúÿćøÿîđìý (Authorization Process for

öćêøåćîÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý ÞïĆïìĊę 2 ðøĆïðøčÜ ó.ý. 2554 28 / 174

2.1.5 ÖćøúÜîćööĉĔĀšđðŗéđñ÷ÙüćöúĆï×ĂÜĂÜÙŤÖø (Confidentiality Agreements)

2.1.6 ÖćøöĊøć÷ßČęĂĒúą×šĂöĎúÿĞćĀøĆïÖćøêĉéêŠĂÖĆïĀîŠü÷ÜćîĂČęî (Contact with Authorities)

öćêøåćîÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý ÞïĆïìĊę 2 ðøĆïðøčÜ ó.ý. 2554 29 / 174

2.1.7 ÖćøöĊøć÷ßČęĂĒúą×šĂöĎúÿĞćĀøĆïÖćøêĉéêŠĂÖĆïÖúčŠöìĊęöĊÙüćöÿîĔÝđðŨîóĉđýþĔîđøČęĂÜđéĊ÷üÖĆî (Contact

öćêøåćîÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý ÞïĆïìĊę 2 ðøĆïðøčÜ ó.ý. 2554 30 / 174

2.1.8 ÖćøìïìüîéšćîÙüćööĆęîÙÜðúĂéõĆ÷ÿĞćĀøĆïÿćøÿîđìýēé÷ñĎšêøüÝÿĂïĂĉÿøą (Independent

2.2 ēÙøÜÿøšćÜìćÜéšćîÙüćööĆęîÙÜðúĂéõĆ÷ìĊęđÖĊę÷ü×šĂÜÖĆïĀîŠü÷Üćîõć÷îĂÖ (External

öćêøåćîÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý ÞïĆïìĊę 2 ðøĆïðøčÜ ó.ý. 2554 32 / 174

öćêøåćîÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý ÞïĆïìĊę 2 ðøĆïðøčÜ ó.ý. 2554 33 / 174

ST-03: öćêøåćîÖćøïøĉĀćøÝĆéÖćøìøĆó÷Ťÿĉîéšćîÿćøÿîđìý (Standard of Asset

öćêøåćîÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý ÞïĆïìĊę 2 ðøĆïðøčÜ ó.ý. 2554 34 / 174

öćêøåćîÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý ÞïĆïìĊę 2 ðøĆïðøčÜ ó.ý. 2554 35 / 174

3.1 ĀîšćìĊęÙüćöøĆïñĉéßĂïêŠĂìøĆó÷Ťÿĉî×ĂÜĂÜÙŤÖø (Responsibility for Assets)

öćêøåćîÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý ÞïĆïìĊę 2 ðøĆïðøčÜ ó.ý. 2554 36 / 174

3.1.2 ÖćøøąïčñĎšđðŨîđÝšć×ĂÜìøĆó÷Ťÿĉî (Ownership of Assets)

3.1.3 ÖćøĔßšÜćîìøĆó÷ŤÿĉîìĊęđĀöćąÿö (Acceptable Use of Assets)

3.2 ÖćøÝĆéĀöüéĀöĎŠÿćøÿîđìý (Information Classification)

öćêøåćîÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý ÞïĆïìĊę 2 ðøĆïðøčÜ ó.ý. 2554 37 / 174

øąéĆïÙüćöúĆï ÙüćöĀöć÷êćöøąđïĊ÷ïüŠćéšü÷ ÙüćöĀöć÷êćöÙŠćñúÖøąìïÝćÖ

2. øąéĆïÙüćöÿĞćÙĆâ (Criticality) Āöć÷ëċÜ ìøĆó÷ŤÿĉîìĊęöĊÙüćöÿĞćÙĆâĂćÝöĊñúÖøąìïìĞćĔĀš

öćêøåćîÙüćööĆęîÙÜðúĂéõĆ÷éšćîÿćøÿîđìý ÞïĆïìĊę 2 ðøĆïðøčÜ ó.ý. 2554 38 / 174

øąéĆïÙüćöÿĞćÙĆâ ÙüćöĀöć÷êćöÙŠćñúÖøąìïÝćÖđÖèæŤÖćøüĆéøąéĆïÙüćöđÿĊę÷Ü ×ĂÜ

2) ĀöüéĀöĎŠÿćøÿîđìýÝąĕéšøĆïÖćøÝĆéĒïŠÜđðŨîøąéĆïÙüćööĆęîÙÜðúĂéõĆ÷ 4 øąéĆï éĆÜîĊĚ

Ö ć ø øĆ ï ÿŠ Ü ×š Ă Ù ü ć ö ì ć Ü öĊÖćøÙüïÙčöÖćø öĊÖćøÙüïÙčöÖćø öĊÖćøÙüïÙčöÖćø öĊÖćøÙüïÙčöÖćø

ÖćøĒúÖđðúĊę÷î×šĂöĎúĔîÖćø öĊÖćøÙüïÙčöÖćøìĞć öĊÖćøÙüïÙčöÖćøìĞć öĊÖćøÙüïÙčöÖćø öĊÖćøÙüïÙčöÖćø

Öćøđñ÷ĒóøŠÿćøÿîđìýĂĂÖ öĊÖćøÙüïÙčöÖćø öĊÖćøÙüïÙčöÖćø öĊÖćøÙüïÙčöÖćø öĊÖćøÙüïÙčöÖćø