ก.ล.ต. ปรับปรุงเกณฑ์เพื่อยกระดับมาตรฐานความปลอดภัยระบบ IT ของผู้ประกอบธุรกิจภายใต้การกำกับดูแล

สำนักงานคณะกรรมการกำกับหลักทรัพย์และตลาดหลักทรัพย์ (ก.ล.ต.) ออกประกาศปรับปรุงหลักเกณฑ์การจัดให้มีระบบเทคโนโลยีสารสนเทศ เพื่อให้ผู้ประกอบธุรกิจภายใต้การกำกับดูแล ของ ก.ล.ต. ทั้งในภาคตลาดทุนและตลาดสินทรัพย์ดิจิทัล เช่น ผู้ประกอบธุรกิจหลักทรัพย์ ผู้ประกอบธุรกิจสัญญาซื้อขายล่วงหน้า ศูนย์รับฝากหลักทรัพย์ผู้ประกอบธุรกิจสินทรัพย์ดิจิทัล ผู้ให้บริการระบบเสนอขายโทเคนดิจิทัล และผู้ให้บริการระบบคราวด์ฟันดิงมีระบบงานด้านเทคโนโลยีสารสนเทศที่มั่นคงปลอดภัยเพียงพอที่จะรองรับความเสี่ยงด้านเทคโนโลยีสารสนเทศที่เปลี่ยนแปลงไป และเท่าทันภัยคุกคามทางไซเบอร์ที่เพิ่มขึ้นในปัจจุบัน รวมทั้งสร้างความเชื่อมั่นให้กับประชาชนที่ใช้บริการ ซึ่งได้เปิดรับฟังความคิดเห็นจากผู้ที่เกี่ยวข้องเมื่อเดือนธันวาคม 2564 และพฤษภาคม 2565 พร้อมนำข้อเสนอแนะมาปรับปรุงหลักเกณฑ์ให้มีความเหมาะสมยิ่งขึ้น โดยมีสาระสำคัญดังนี้

(1) กำหนดเกณฑ์การจัดระดับความเสี่ยงที่เกี่ยวข้องกับระบบเทคโนโลยีสารสนเทศ และกำหนดมาตรฐานการควบคุมและการกำกับดูแลด้านเทคโนโลยีสารสนเทศของผู้ประกอบธุรกิจให้สอดคล้องกับระดับความเสี่ยง และลักษณะการประกอบธุรกิจที่มีความหลากหลาย เช่น โครงสร้าง ขนาด และความซับซ้อนของเทคโนโลยีที่ใช้งาน

(2) มุ่งเน้นบทบาทหน้าที่และการมีส่วนร่วมของคณะกรรมการของผู้ประกอบธุรกิจ และโครงสร้างการกำกับดูแลการใช้เทคโนโลยีในการประกอบธุรกิจให้มีความปลอดภัย และมีการตรวจสอบด้านความมั่นคงปลอดภัย โดยผู้ตรวจสอบที่มีความเป็นอิสระและมีคุณสมบัติที่เหมาะสม

(3) ปรับปรุงหลักเกณฑ์และแนวปฏิบัติให้สอดคล้องกับมาตรฐานสากล และหลักเกณฑ์การกำกับดูแลของหน่วยงานกำกับดูแลในภาคอุตสาหกรรมการเงิน

(4) จัดให้มีข้อกำหนดด้านการบริหารคุณภาพและบริการของระบบเทคโนโลยีสารสนเทศเพิ่มเติม เช่น การบริหารจัดการโครงการด้านเทคโนโลยีสารสนเทศ และการบริหารจัดการด้านทรัพยากรระบบงาน (Capacity Management)

(5) ยกระดับมาตรการรักษาความมั่นคงปลอดภัยด้านเทคโนโลยีสารสนเทศให้มีความเข้มแข็ง เพื่อป้องกันเหตุการณ์ภัยคุกคามทางไซเบอร์ และเพื่อให้สอดคล้องกับแนวทางกฎหมายไซเบอร์ เช่น การประเมินช่องโหว่ทางเทคนิค (Vulnerability Assessment) และการทดสอบการเจาะระบบ (Penetration Test)

(6) ปรับปรุงข้อกำหนดในการบริหารจัดการบุคคลภายนอก (Third Party Management) โดยขยายขอบเขตให้ครอบคลุมผู้ให้บริการด้านเทคโนโลยีสารสนเทศ ผู้ที่มีการเชื่อมต่อกับระบบสารสนเทศของผู้ประกอบธุรกิจ และผู้ที่สามารถเข้าถึงหรือแลกเปลี่ยนข้อมูลสำคัญของผู้ประกอบธุรกิจหรือข้อมูลของลูกค้าที่อยู่ภายใต้ความรับผิดชอบของผู้ประกอบธุรกิจได้

ทั้งนี้ ประกาศดังกล่าวจะมีผลใช้บังคับตั้งแต่วันที่ 1 กรกฎาคม 2566 สำหรับข้อกำหนดเกี่ยวกับคุณสมบัติผู้ตรวจสอบด้านเทคโนโลยีสารสนเทศกำหนดให้มีผลใช้บังคับตั้งแต่วันที่ 1 มกราคม 2567 เพื่อให้ผู้ประกอบธุรกิจมีเวลาเตรียมความพร้อมทั้งในด้านบุคลากรและระบบงาน

• ข่าวสำนักงานคณะกรรมการกำกับหลักทรัพย์และตลาดหลักทรัพย์
• ข่าวเทคโนโลยีสารสนเทศ
• ข่าวสินทรัพย์ดิจิทัล
• ข่าวตลาดหลักทรัพย์
• ข่าวความปลอดภัย