I. การบริหารบุคลากรและการฝึกอบรมด้านความมั่นคงปลอดภัยสารสนเทศ:
1. ประเมินความปลอดภัยสำหรับตำแหน่งและงานที่เกี่ยวข้องกับเทคโนโลยีสารสนเทศ และประเมินความเหมาะสมของบุคลากรอย่างรอบคอบในขั้นตอนการรับเข้าทำงาน การมอบหมายงานและหน้าที่ พร้อมดำเนินการประเมินที่จำเป็น
2. สื่อสารและให้ความรู้ด้านความมั่นคงปลอดภัยสารสนเทศให้เหมาะกับงานด้านบริหาร ธุรกิจ เทคโนโลยีสารสนเทศ และหน้าที่ประเภทต่าง ๆ เพื่อสร้างความตระหนักของพนักงานและยกระดับความปลอดภัยโดยรวม
II. การจัดการความปลอดภัยของระบบคอมพิวเตอร์:
1. ก่อนว่าจ้างผู้ให้บริการภายนอกสำหรับงานเทคโนโลยีสารสนเทศ ต้องกำหนดข้อกำหนดด้านความมั่นคงปลอดภัยสารสนเทศล่วงหน้า ระบุความรับผิดชอบด้านความปลอดภัยและข้อกำหนดการรักษาความลับของผู้ให้บริการไว้ในสัญญา และกำหนดให้ปฏิบัติตาม
2. คัดลอกและใช้ซอฟต์แวร์ตามกฎหมาย ข้อบังคับ หรือสัญญาที่เกี่ยวข้อง พร้อมจัดทำระบบบริหารการใช้ซอฟต์แวร์
3. ใช้มาตรการป้องกันและคุ้มครองที่จำเป็น เพื่อตรวจจับและป้องกันไวรัสคอมพิวเตอร์และมัลแวร์อื่น ๆ รวมทั้งรักษาการทำงานของระบบให้เป็นปกติ
III. การจัดการความปลอดภัยเครือข่าย:
1. สำหรับระบบสารสนเทศที่เปิดให้เชื่อมต่อจากภายนอก ให้เลือกใช้เทคโนโลยีและมาตรการรักษาความปลอดภัยตามความสำคัญและมูลค่าของข้อมูลและระบบ เช่น การเข้ารหัสข้อมูล การยืนยันตัวตน ลายมือชื่ออิเล็กทรอนิกส์ ไฟร์วอลล์ และการตรวจหาช่องโหว่ เพื่อป้องกันการบุกรุก ทำลาย แก้ไข ลบ หรือเข้าถึงโดยไม่ได้รับอนุญาต
2. ใช้ไฟร์วอลล์และอุปกรณ์รักษาความปลอดภัยที่จำเป็น ณ จุดเชื่อมต่อเครือข่ายภายนอก เพื่อควบคุมการส่งข้อมูลและการเข้าถึงทรัพยากรระหว่างเครือข่ายภายนอกกับภายใน ตรวจสอบการตั้งค่าและบันทึกการทำงานของไฟร์วอลล์เป็นประจำ และให้ผู้จัดการที่รับผิดชอบตรวจทาน
3. ประเมินระดับความปลอดภัยของข้อมูลก่อนเผยแพร่หรือส่งต่อข้อมูลผ่านอินเทอร์เน็ตหรือเวิลด์ไวด์เว็บ ห้ามเผยแพร่ข้อมูลลับ ข้อมูลอ่อนไหว หรือข้อมูลส่วนบุคคลและเอกสารที่เกี่ยวข้องกับความเป็นส่วนตัวโดยไม่ได้รับความยินยอมจากเจ้าของข้อมูล
4. อัปเดตซอฟต์แวร์ป้องกันไวรัสเป็นประจำ ตั้งเวลาตรวจหาไวรัสโดยอัตโนมัติ และฝึกอบรมบุคลากรทุกคนให้ใช้ซอฟต์แวร์ดังกล่าวเพื่อป้องกันไวรัสจากภายนอก
5. กำหนดระเบียบการใช้อีเมล ห้ามส่งข้อมูลหรือเอกสารที่เป็นความลับผ่านอีเมลหรือช่องทางอิเล็กทรอนิกส์อื่น
6. ปิดบริการเครือข่ายที่ไม่จำเป็น บริการเครือข่ายทุกประเภทต้องยื่นคำขอและได้รับอนุมัติจากผู้จัดการผู้มีอำนาจก่อนที่เจ้าหน้าที่ฝ่ายเทคโนโลยีสารสนเทศจะเปิดใช้งาน
IV. การควบคุมการเข้าถึงระบบ:
1. กำหนดนโยบายการเข้าถึงระบบและหลักเกณฑ์การให้สิทธิ์ พร้อมแจ้งสิทธิ์และความรับผิดชอบที่เกี่ยวข้องแก่พนักงานและผู้ใช้เป็นลายลักษณ์อักษร ทางอิเล็กทรอนิกส์ หรือวิธีอื่น
2. เพิกถอนสิทธิ์เข้าถึงทรัพยากรสารสนเทศทั้งหมดทันทีเมื่อพนักงานลาออกหรือพ้นหน้าที่ และรวมไว้ในขั้นตอนการพ้นสภาพการทำงานที่จำเป็น หากมีการเปลี่ยนตำแหน่งหรือย้ายงาน ต้องปรับสิทธิ์ภายในระยะเวลาที่กำหนดตามหลักเกณฑ์การอนุญาตเข้าถึงระบบ
3. จัดทำระบบลงทะเบียนและบริหารผู้ใช้ระบบ พร้อมเพิ่มความเข้มงวดในการจัดการรหัสผ่าน โดยหลักการควรเปลี่ยนรหัสผ่านทุกระยะไม่เกินสามเดือน
4. เพิ่มการควบคุมความปลอดภัยสำหรับผู้ให้บริการที่เข้าสู่ระบบจากระยะไกลเพื่อบำรุงรักษาระบบ จัดทำรายชื่อบุคลากร และกำหนดหน้าที่ด้านความปลอดภัยและการรักษาความลับ
5. จัดทำระบบตรวจสอบความมั่นคงปลอดภัยสารสนเทศ และดำเนินการตรวจสอบเป็นประจำหรือตามความจำเป็น
V. การจัดการความปลอดภัยในการพัฒนาและบำรุงรักษาระบบ:
1. สำหรับระบบที่พัฒนาภายในหรือว่าจ้างภายนอก ให้พิจารณาข้อกำหนดด้านความมั่นคงปลอดภัยสารสนเทศตั้งแต่ช่วงเริ่มต้นของวงจรชีวิตระบบ ควบคุมความปลอดภัยในการบำรุงรักษา อัปเดต นำระบบขึ้นใช้งานจริง และเปลี่ยนเวอร์ชัน เพื่อป้องกันซอฟต์แวร์ที่ไม่เหมาะสม แบ็กดอร์ ไวรัส และภัยคุกคามอื่น
2. กำหนดและจำกัดขอบเขตระบบและข้อมูลที่บุคลากรของผู้ให้บริการซึ่งติดตั้งหรือบำรุงรักษาระบบซอฟต์แวร์/ฮาร์ดแวร์สามารถเข้าถึงได้ ห้ามออก ID ระบบหรือรหัสผ่านที่ใช้ได้ระยะยาว หากจำเป็นตามการปฏิบัติงาน อาจออกข้อมูลรับรองชั่วคราวในช่วงเวลาจำกัด แต่ต้องเพิกถอนสิทธิ์ทันทีเมื่อใช้งานเสร็จ
3. การให้ผู้ให้บริการติดตั้งหรือบำรุงรักษาอุปกรณ์ซอฟต์แวร์และฮาร์ดแวร์ที่สำคัญ ต้องดำเนินการภายใต้การกำกับดูแลและมีบุคลากรของบริษัทที่เกี่ยวข้องร่วมปฏิบัติงาน
VI. การจัดการความปลอดภัยของสินทรัพย์สารสนเทศ:
1. จัดทำบัญชีสินทรัพย์สารสนเทศที่เกี่ยวข้องกับระบบสารสนเทศ โดยระบุประเภท เจ้าของ และระดับการจัดชั้นความปลอดภัย
2. จัดทำมาตรการคุ้มครองที่เหมาะสมตามข้อกำหนดเกี่ยวกับการรักษาความลับของบริษัท การคุ้มครองข้อมูลส่วนบุคคลที่ประมวลผลด้วยคอมพิวเตอร์ และการเปิดเผยข้อมูลของบริษัท
3. ติดป้ายระดับความปลอดภัยที่เหมาะสมบนข้อมูลส่งออกจากข้อมูลและระบบที่ได้รับการจัดชั้น เพื่อให้ผู้ใช้ปฏิบัติตามได้อย่างถูกต้อง
VII. การจัดการความปลอดภัยทางกายภาพและสภาพแวดล้อม:
กำหนดมาตรการด้านความปลอดภัยทางกายภาพและสภาพแวดล้อมเกี่ยวกับการจัดวางอุปกรณ์ สภาพแวดล้อมโดยรอบ และการควบคุมการเข้าออกของบุคลากร
VIII. การวางแผนและบริหารจัดการความต่อเนื่องทางธุรกิจ:
1. จัดทำแผนความต่อเนื่องทางธุรกิจ ประเมินผลกระทบจากภัยพิบัติที่เกิดจากมนุษย์และภัยธรรมชาติต่อการดำเนินงาน กำหนดขั้นตอนตอบสนองฉุกเฉินและกู้คืน รวมถึงหน้าที่ความรับผิดชอบของผู้เกี่ยวข้อง พร้อมซ้อมแผนและปรับปรุงแผนเป็นประจำ
2. จัดทำกลไกจัดการเหตุการณ์ด้านความมั่นคงปลอดภัยสารสนเทศในกรณีฉุกเฉิน เมื่อเกิดเหตุให้แจ้งหน่วยงานหรือผู้รับผิดชอบด้านเทคโนโลยีสารสนเทศทันทีตามขั้นตอนที่กำหนด ดำเนินมาตรการตอบสนอง และประสานหน่วยงานตำรวจหรือหน่วยงานสืบสวนที่เกี่ยวข้องเพื่อขอความช่วยเหลือเมื่อจำเป็น
3. กำหนดและจำแนกระดับความปลอดภัยของข้อมูลตามกฎหมายและข้อบังคับที่เกี่ยวข้อง และใช้มาตรการด้านความมั่นคงปลอดภัยสารสนเทศที่เหมาะสมและเพียงพอตามแต่ละระดับ