พระราชบัญญัติ การรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. ๒๕๖๒ พระบาทสมเด็จพระปรเมนทรรามาธิบดีศรีสินทรมหาวชิราลงกรณ พระวชิรเกล้าเจ้าอยู่หัว ให้ไว้ ณ วันที่ ๒๔ พฤษภาคม พ.ศ. ๒๕๖๒ เป็นปีที่ ๔ ในรัชกาลปัจจุบัน พระบาทสมเด็จพระปรเมนทรรามาธิบดีศรีสินทรมหาวชิราลงกรณ พระวชิรเกล้าเจ้าอยู่หัว มีพระบรมราชโองการโปรดเกล้า ฯ ให้ประกาศว่า โดยที่เป็นการสมควรมีกฎหมายว่าด้วยการรักษาความมั่นคงปลอดภัยไซเบอร์ พระราชบัญญัติฉบับนี้มีบทบัญญัติบางประการเกี่ยวกับการจำกัดสิทธิและเสรีภาพของบุคคล ซึ่งมาตรา ๒๖ ประกอบกับมาตรา ๓๒ มาตรา ๓๓ มาตรา ๓๖ และมาตรา ๓๗ ของรัฐธรรมนูญแห่งราชอาณาจักรไทย บัญญัติให้กระทำได้โดยอาศัยอำนาจตามบทบัญญัติแห่งกฎหมาย เหตุผลในการประกาศใช้พระราชบัญญัติฉบับนี้ คือ โดยที่ปัจจุบันภัยคุกคามทางไซเบอร์มีลักษณะรุนแรง ซับซ้อน และมีผลกระทบในวงกว้าง ดังนั้น เพื่อให้การรักษาความมั่นคงปลอดภัยไซเบอร์มีประสิทธิภาพ และเพื่อให้มีมาตรการป้องกัน รับมือ และลดความเสี่ยงจากภัยคุกคามทางไซเบอร์อันกระทบต่อความมั่นคงของรัฐและความสงบเรียบร้อยภายในประเทศ จึงทรงพระกรุณาโปรดเกล้า ฯ ให้ตราพระราชบัญญัตินี้ขึ้นโดยอาศัยอำนาจตามมาตรา ๒๖ ของรัฐธรรมนูญแห่งราชอาณาจักรไทยแล้ว จึงทรงพระกรุณาโปรดเกล้า ฯ ให้ตราพระราชบัญญัตินี้ไว้โดยคำแนะนำและยินยอมของสภานิติบัญญัติแห่งชาติที่ทำหน้าที่รัฐสภา ดังต่อไปนี้
"การรักษาความมั่นคงปลอดภัยไซเบอร์" หมายความว่า มาตรการหรือการดำเนินการที่กำหนดขึ้นเพื่อป้องกัน รับมือ และลดความเสียหายจากภัยคุกคามไซเบอร์ที่มีผลภายในและภายนอกประเทศต่อความมั่นคงของรัฐ ความมั่นคงทางเศรษฐกิจ ความมั่นคงทางทหาร และความสงบเรียบร้อยภายในประเทศ "ภัยคุกคามทางไซเบอร์" หมายความว่า การกระทำหรือการดำเนินการใด ๆ โดยเจตนาโดยใช้คอมพิวเตอร์ระบบคอมพิวเตอร์หรืออุปกรณ์ใด ๆ ที่เชื่อมต่อกับระบบคอมพิวเตอร์ต่อระบบคอมพิวเตอร์ ข้อมูลคอมพิวเตอร์ หรือข้อมูลที่เกี่ยวข้อง และเป็นภัยคุกคามไซเบอร์ที่อาจก่อให้เกิดความเสียหายหรือส่งผลกระทบต่อการทำงานของคอมพิวเตอร์ ระบบคอมพิวเตอร์ หรือข้อมูลอื่นที่เกี่ยวข้อง "ไซเบอร์" หมายความถึง ข้อมูลและการสื่อสารที่เกิดจากการให้บริการหรือการประยุกต์ใช้เครือข่ายคอมพิวเตอร์ ระบบอินเทอร์เน็ต หรือโครงข่ายโทรคมนาคม รวมทั้งการให้บริการโดยผ่านตัวกลางตามที่สมควรและระบบเครือข่ายใดก็ตามที่เกี่ยวข้องต่อกันเป็นการทั่วไป "หน่วยงานของรัฐ" หมายความว่า ราชการส่วนกลาง ราชการส่วนภูมิภาค ราชการส่วนท้องถิ่น รัฐวิสาหกิจ องค์การมหาชน องค์กรอิสระตามรัฐธรรมนูญ องค์กรอื่นตามที่กฎหมายกำหนด และหน่วยงานอื่นของรัฐ "ประธานแผนงานเชิงปฏิบัติ" หมายความว่า ระเบียบหรือแผนที่คณะกรรมการกำกับดูแลดำเนินการกำหนดขึ้น "เหตุการณ์ที่เกี่ยวกับความมั่นคงปลอดภัยไซเบอร์" หมายความว่า เหตุการณ์ที่เกิดจากการกระทำหรือการดำเนินการใด ๆ ที่ส่งผลซึ่งกระทบต่อการรักษาความมั่นคงปลอดภัยไซเบอร์และอาจก่อให้เกิดความเสียหายต่อความมั่นคงของรัฐ ความมั่นคงทางเศรษฐกิจ ความมั่นคงทางทหาร หรือความสงบเรียบร้อยภายในประเทศ รวมทั้งเหตุการณ์ที่เกี่ยวข้องกับระบบคอมพิวเตอร์ "มาตรการแก้ไขปัญหาเพื่อรักษาความมั่นคงปลอดภัยไซเบอร์" หมายความว่า การแก้ไขปัญหาความมั่นคงปลอดภัยไซเบอร์โดยในลักษณะ กระบวนการ และเทคโนโลยี โดยผ่านคอมพิวเตอร์ ระบบคอมพิวเตอร์ โปรแกรมคอมพิวเตอร์ หรือบริการที่เกี่ยวกับคอมพิวเตอร์อื่น ๆ เพื่อสร้างความมั่นคงและเสริมสร้างความมั่นคงปลอดภัยไซเบอร์ในระบบคอมพิวเตอร์ ระบบคอมพิวเตอร์ หรือข้อมูลอื่นที่เกี่ยวข้องกับระบบคอมพิวเตอร์ "โครงสร้างพื้นฐานสำคัญทางสารสนเทศ" หมายความว่า คอมพิวเตอร์หรือระบบคอมพิวเตอร์ที่หน่วยงานของรัฐหรือหน่วยงานเอกชนใช้ในการดำเนินกิจการที่กระทบต่อความมั่นคงปลอดภัยของรัฐ ความปลอดภัยสาธารณะ ความมั่นคงทางเศรษฐกิจของประเทศ หรือโครงสร้างพื้นฐานอื่นที่เป็นประโยชน์สาธารณะ "หน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ" หมายความว่า หน่วยงานของรัฐหรือบุคคลซึ่งมีฐานะนิติบุคคลที่ให้บริการหรือดำเนินการเกี่ยวกับโครงสร้างพื้นฐานสำคัญทางสารสนเทศของหน่วยงานของรัฐ หรือหน่วยงานเอกชนที่ให้บริการหรือดำเนินการเกี่ยวกับโครงสร้างพื้นฐานสำคัญทางสารสนเทศ "คณะกรรมการ" หมายความว่า คณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์ แผ่นที่ ๒ สำนักงานคณะกรรมการกฤษฎีกา - 3 - "พนักงานเจ้าหน้าที่" หมายความว่า ผู้ซึ่งรัฐมนตรีแต่งตั้งให้ปฏิบัติการตามพระราชบัญญัตินี้ "เลขาธิการ" หมายความว่า เลขาธิการคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ "สำนักงาน" หมายความว่า สำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ "รัฐมนตรี" หมายความว่า รัฐมนตรีผู้รักษาการตามพระราชบัญญัตินี้
ประกาศนั้น เมื่อได้ประกาศในราชกิจจานุเบกษาแล้วให้ใช้บังคับได้
คณะกรรมการ
คณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ
นายกรัฐมนตรี เป็นประธานกรรมการ
กรรมการโดยตำแหน่ง ได้แก่ รัฐมนตรีว่าการกระทรวงกลาโหม รัฐมนตรีว่าการกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม ปลัดกระทรวงการคลัง ปลัดกระทรวงยุติธรรม ผู้บัญชาการตำรวจแห่งชาติ และเลขาธิการสภาความมั่นคงแห่งชาติ
กรรมการผู้ทรงคุณวุฒิ จำนวนไม่เกินห้าคน ซึ่งนายกรัฐมนตรีแต่งตั้งจากผู้มีความรู้ ความเชี่ยวชาญ และประสบการณ์ในเรื่องที่เกี่ยวกับการรักษาความมั่นคงปลอดภัยไซเบอร์ ด้านเทคโนโลยีสารสนเทศและการสื่อสาร ด้านการวิเคราะห์ข้อมูลภาคคุกคาม ด้านวิทยาศาสตร์ ด้านวิศวกรรมศาสตร์ ด้านกฎหมาย ด้านการเงิน หรือด้านอื่นที่เกี่ยวข้อง และเป็นประโยชน์ต่อการรักษาความมั่นคงปลอดภัยไซเบอร์ ให้เลขาธิการเป็นกรรมการและเลขานุการ และให้เลขาธิการแต่งตั้งพนักงานของสำนักงานเป็นผู้ช่วยเลขานุการได้ไม่เกินสองคน หากมีเลขาธิการและวิธีการสรรหาบุคคลเพื่อเสนอคณะรัฐมนตรีแต่งตั้งเป็นกรรมการผู้ทรงคุณวุฒิ รวมทั้งการสรรหากรรมการผู้ทรงคุณวุฒิเมื่อมีตำแหน่งว่างลงก่อนวาระตามมาตรา ๙ วรรคสอง ให้เป็นไปตามระเบียบที่คณะรัฐมนตรีกำหนดโดยคำแนะนำของคณะกรรมการ
เป็นบุคคลล้มละลายหรือเคยเป็นบุคคลล้มละลายทุจริต
เป็นคนไร้ความสามารถหรือคนเสมือนไร้ความสามารถ
เคยต้องคำพิพากษาถึงที่สุดให้จำคุกและได้รับโทษจำคุกจริงหรือไม่ก็ตาม เว้นแต่เป็นโทษสำหรับความผิดที่ได้กระทำโดยประมาทหรือความผิดลหุโทษ
เคยถูกไล่ออก ปลดออก หรือให้ออกจากราชการ หรือออกจากงานจากหน่วยงานที่เคยปฏิบัติหน้าที่ เพราะทุจริตต่อหน้าที่หรือประพฤติชั่วอย่างร้ายแรง
เคยถูกถอดถอนออกจากตำแหน่งตามกฎหมาย
เป็นผู้ดำรงตำแหน่งทางการเมือง สมาชิกสภาท้องถิ่นหรือผู้บริหารท้องถิ่น กรรมการหรือผู้ดำรงตำแหน่งซึ่งมีอำนาจบริหารพรรคการเมือง ที่ปรึกษาพรรคการเมือง หรือเจ้าหน้าที่ของพรรคการเมือง
ในการนี้หากมีการแต่งตั้งกรรมการผู้ทรงคุณวุฒิเพิ่มเติมหรือกรรมการผู้ทรงคุณวุฒิพ้นจากตำแหน่งก่อนครบวาระ ให้ผู้ได้รับแต่งตั้งแทนอยู่ในตำแหน่งได้เท่ากับวาระที่เหลืออยู่ของกรรมการผู้ทรงคุณวุฒิที่ตนแทน เว้นแต่การพ้นตำแหน่งนั้นมิใช่เพราะมีลักษณะต้องห้ามตามมาตรา 6 เมื่อครบกำหนดวาระตามวรรคหนึ่ง หากยังมิได้แต่งตั้งกรรมการผู้ทรงคุณวุฒิขึ้นใหม่ ให้กรรมการผู้ทรงคุณวุฒิซึ่งพ้นจากตำแหน่งตามวาระนั้น ยังคงปฏิบัติหน้าที่ต่อไปจนกว่าจะได้มีการแต่งตั้งกรรมการผู้ทรงคุณวุฒิขึ้นใหม่
ตาย
ลาออก
คณะรัฐมนตรีให้ออก
ขาดคุณสมบัติหรือมีลักษณะต้องห้ามตามมาตรา 6
เสนอแนะนโยบายและแผนดำเนินการรักษาความมั่นคงปลอดภัยไซเบอร์ ส่งเสริมและสนับสนุนการดำเนินการรักษาความมั่นคงปลอดภัยไซเบอร์ตามมาตรา 4 และมาตรา 5 ต่อคณะรัฐมนตรีเพื่อให้ความเห็นชอบ ซึ่งต้องเป็นไปตามแนวทางที่กำหนดไว้ในมาตรา 4
กำหนดนโยบายการบริหารจัดการด้านการรักษาความมั่นคงปลอดภัยไซเบอร์สำหรับหน่วยงานของรัฐ และหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ ซึ่งกำหนดแนวปฏิบัติการบริหารจัดการด้านการรักษาความมั่นคงปลอดภัยไซเบอร์เสนอคณะรัฐมนตรี สำหรับเป็นแนวแนวทางในการรักษาความมั่นคงปลอดภัยไซเบอร์ในสถานการณ์ปกติ และในสถานการณ์ที่อาจจะเกิดภัยคุกคามทางไซเบอร์ โดยแต่งตั้งคณะทำงานซึ่งจะต้องสอดคล้องกับนโยบาย ยุทธศาสตร์และแผนระดับชาติ และกรอบนโยบายและแผนที่เกี่ยวกับการรักษาความมั่นคงของสภาความมั่นคงแห่งชาติ
กำหนดมาตรฐานและแนวทางส่งเสริมพัฒนาระบบการให้บริการเกี่ยวกับการรักษาความมั่นคงปลอดภัยไซเบอร์ สร้างมาตรฐานเกี่ยวกับการรักษาความมั่นคงปลอดภัยไซเบอร์ และกำหนดมาตรฐานขั้นต่ำที่เกี่ยวข้องกับหน่วยงานของรัฐ หน่วยงานควบคุมหรือกำกับดูแล รวมถึงส่งเสริมการรับรองมาตรฐานการรักษาความมั่นคงปลอดภัยไซเบอร์ให้กับหน่วยงานหรือองค์กรที่เกี่ยวข้องกับโครงสร้างพื้นฐานสำคัญทางสารสนเทศ หน่วยงานของรัฐ หน่วยงานควบคุมหรือกำกับดูแล และหน่วยงานเอกชนที่เกี่ยวข้องกับการรักษาความมั่นคงปลอดภัยไซเบอร์
กำหนดมาตรการและแนวทางในการยกระดับทักษะความรู้และความเชี่ยวชาญในด้านการรักษาความมั่นคงปลอดภัยไซเบอร์ของเจ้าหน้าที่ เจ้าหน้าที่ของหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ หน่วยงานของรัฐ หน่วยงานควบคุมหรือกำกับดูแล และหน่วยงานเอกชนที่เกี่ยวข้องกับการรักษาความมั่นคงปลอดภัยไซเบอร์
กำหนดกรอบการประสานงานระหว่างหน่วยงานอื่นทั้งในประเทศและต่างประเทศที่เกี่ยวข้องกับการรักษาความมั่นคงปลอดภัยไซเบอร์
แต่งตั้งและถอดถอนคณะอนุกรรมการ
มอบหมายการควบคุมและกำกับดูแล รวมถึงการออกข้อกำหนด วัตถุประสงค์ หน้าที่และอำนาจของหน่วยงานของรัฐ หน่วยงานควบคุมหรือกำกับดูแล หน่วยงานเอกชนที่เกี่ยวข้องกับความมั่นคงปลอดภัยไซเบอร์ หน่วยงานของรัฐ หรือหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ
ติดตามและประเมินผลการดำเนินงานของหน่วยงานที่เกี่ยวข้องกับการรักษาความมั่นคงปลอดภัยไซเบอร์ รวมถึงการกำหนดแนวทางการพัฒนาการดำเนินงานของหน่วยงานที่เกี่ยวข้องกับการรักษาความมั่นคงปลอดภัยไซเบอร์
เสนอแนะและให้ความเห็นต่อคณะกรรมการดิจิทัลเพื่อเศรษฐกิจและสังคมแห่งชาติหรือคณะรัฐมนตรีเกี่ยวกับการรักษาความมั่นคงปลอดภัยไซเบอร์
เสนอแนะต่อคณะรัฐมนตรีในการจัดให้มีหรือปรับปรุงกฎหมายที่เกี่ยวข้องกับการรักษาความมั่นคงปลอดภัยไซเบอร์
จัดทำรายงานสรุปผลการดำเนินงานของการรักษาความมั่นคงปลอดภัยไซเบอร์ที่มีผลกระทบต่อความมั่นคงสำคัญของประเทศและการพัฒนามาตรฐานการรักษาความมั่นคงปลอดภัยไซเบอร์ให้คณะรัฐมนตรีทราบ
ปฏิบัติการอื่นใดตามที่บัญญัติไว้ในพระราชบัญญัตินี้ หรือคณะรัฐมนตรีมอบหมาย
สำนักงานคณะกรรมการกฤษฎีกา คณะกรรมการกำกับดูแลด้านความมั่นคงปลอดภัยไซเบอร์
รัฐมนตรีว่าการกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม เป็นประธานกรรมการ
กรรมการโดยตำแหน่ง ได้แก่ ปลัดกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม ปลัดกระทรวงกลาโหม ปลัดกระทรวงการคลัง ปลัดกระทรวงยุติธรรม เลขาธิการสภาความมั่นคงแห่งชาติ เลขาธิการคณะกรรมการกำกับหลักทรัพย์และตลาดหลักทรัพย์ เลขาธิการคณะกรรมการกระจายเสียง กิจการโทรทัศน์ และกิจการโทรคมนาคมแห่งชาติ
กรรมการผู้ทรงคุณวุฒิ จำนวนไม่เกินสี่คน ซึ่งรัฐมนตรีแต่งตั้งจากผู้มีความรู้ ความเชี่ยวชาญ และประสบการณ์เป็นประจำในเรื่องเกี่ยวกับประโยชน์ของความมั่นคงปลอดภัยไซเบอร์ ให้เลขาธิการเป็นกรรมการและเลขานุการ และให้แต่งตั้งเจ้าหน้าที่ของสำนักงานเป็นผู้ช่วยเลขานุการจำนวนไม่เกินสองคน หลักเกณฑ์และวิธีการสรรหาบุคคลที่เหมาะสมเพื่อดำรงตำแหน่งกรรมการ ผู้ทรงคุณวุฒิให้เป็นไปตามระเบียบที่คณะกรรมการกำหนด
ติดตามการดำเนินการตามนโยบายและแผนตามมาตรา ๘ (๑) และมาตรา ๔๒
ดูแลและดำเนินการเพื่อรับมือกับภัยคุกคามทางไซเบอร์ในระดับร้ายแรง ตามมาตรา ๒๖ มาตรา ๒๗ มาตรา ๒๘ มาตรา ๒๙ มาตรา ๓๒ และมาตรา ๓๖
กำกับดูแลการดำเนินการตามมาตรฐานและวิธีการรักษาความมั่นคงปลอดภัย ระบบคอมพิวเตอร์แห่งชาติ และการเตรียมบุคลากรเพื่อการรักษาความมั่นคงปลอดภัยทางไซเบอร์
กำหนดประมวลแนวปฏิบัติและกรอบมาตรฐานการรักษาความมั่นคงปลอดภัยไซเบอร์อื่นในลักษณะเดียวกันกับในการดำเนินการตามมาตรฐานและวิธีการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ รวมทั้งกำหนดแนวทางการประเมินความเสี่ยง การตอบสนองและรับมือกับภัยคุกคามทางไซเบอร์ เมื่อมีภัยคุกคามทางไซเบอร์ หรือเหตุการณ์ที่ส่งผลกระทบหรืออาจก่อให้เกิดผลกระทบหรือความเสียหายอย่างมีนัยสำคัญ หรืออย่างร้ายแรงต่อระบบสารสนเทศของประเทศ หรือความมั่นคงปลอดภัยไซเบอร์
กำหนดหน้าที่ของหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ และหน้าที่ของหน่วยงานควบคุมหรือกำกับดูแล โดยต้องแจ้งต่อหน่วยงานที่กำกับดูแลด้านความมั่นคงปลอดภัยไซเบอร์แห่งชาติ รวมทั้งหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ และหน่วยงานของรัฐอื่น (b) กำหนดระดับของสัญญาความทางไซเบอร์ พร้อมทั้งรายละเอียดของมาตรการป้องกัน รับมือประเมิน บรรเทา และระงับภัยคุกคามทางไซเบอร์ในแต่ละระดับเสนอคณะกรรมการ
วิเคราะห์สถานการณ์ และประเมินผลกระทบจากภัยคุกคามทางไซเบอร์ เพื่อเสนอคณะกรรมการพิจารณาสั่งการ เมื่อมีหรือคาดว่าจะมีภัยคุกคามทางไซเบอร์ในระดับร้ายแรงขึ้น ในการกำหนดกรอบมาตรฐานความมั่นคง (๔) ให้ดำเนินการจัดทำมาตรการบริหาร ความเสี่ยง โดยอย่างน้อยต้องจัดให้มีระบบการแจ้งเตือนภัยล่วงหน้า
การระบุตามเสี่ยงที่อาจจะเกิดขึ้นในคอมพิวเตอร์ ข้อมูลคอมพิวเตอร์ ระบบคอมพิวเตอร์ ข้อมูลอื่นที่เกี่ยวข้องกับระบบคอมพิวเตอร์ หรือสิ่งและเครือข่ายที่เกี่ยวข้อง (ข) มาตรการป้องกันความเสียหายต่อข้อมูลคอมพิวเตอร์ (ค) มาตรการตรวจสอบและเฝ้าระวังภัยคุกคามทางไซเบอร์ (ง) มาตรการสืบค้นเหตุเมื่อมีการตรวจพบภัยคุกคามทางไซเบอร์ (จ) มาตรการรักษาและฟื้นฟูความเสียหายที่เกิดจากภัยคุกคามทางไซเบอร์
สำนักงานคณะกรรมการกฤษฎีกา บัตรประจำตัวพนักงานเจ้าหน้าที่ให้เป็นไปตามแบบที่ กมค. ประกาศกำหนด
สำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ
เสนอแนะและสนับสนุนในการจัดทำแผนและแนวทางการรักษาความมั่นคงปลอดภัยไซเบอร์ และให้คำปรึกษาแก่คณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติและคณะกรรมการอื่นที่เกี่ยวข้องตามกฎหมายนี้
จัดทำแผนและมาตรการการรักษาความมั่นคงปลอดภัยไซเบอร์ตามมาตรา ๑๓ วรรคหนึ่ง (๔) เสนอต่อ กมค. เพื่อให้ความเห็นชอบ
ประสานงานการดำเนินการเพื่อรักษาความมั่นคงปลอดภัยไซเบอร์ของหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศตามมาตรา ๔๓ และมาตรา ๔๕
ประสานงานและให้ความร่วมมือในการดำเนินการเพื่อการรักษาความมั่นคงปลอดภัยระบบคอมพิวเตอร์ในประเทศและต่างประเทศในส่วนที่เกี่ยวข้องกับการรักษาความมั่นคงปลอดภัยไซเบอร์ และดำเนินการกรณีการที่เกี่ยวกับการรักษาความมั่นคงปลอดภัยไซเบอร์
ดำเนินการแทนหน่วยงานของรัฐและเอกชนในการตอบสนองและรับมือกับภัยคุกคามไซเบอร์ที่มีผลกระทบต่อความมั่นคงปลอดภัยไซเบอร์ของประเทศ
เฝ้าระวังความเสี่ยงในการเกิดภัยคุกคามไซเบอร์ ติดตาม วิเคราะห์ และประเมินผลข้อมูลเกี่ยวกับภัยคุกคามไซเบอร์ และการแจ้งเตือนภัยคุกคามไซเบอร์
ปฏิบัติการ ประสานงาน และให้ความช่วยเหลือแก่หน่วยงานของรัฐและเอกชนในการปฏิบัติตามนโยบายและแผนการรักษาความมั่นคงปลอดภัยไซเบอร์ แผนปฏิบัติการเพื่อการรักษาความมั่นคงปลอดภัยไซเบอร์ และมาตรการป้องกัน รับมือ และลดความเสี่ยงจากภัยคุกคามไซเบอร์
ดำเนินการและให้ความร่วมมือหรือช่วยเหลือในการป้องกัน รับมือ และลดความเสี่ยงจากภัยคุกคามไซเบอร์ โดยเฉพาะภัยคุกคามไซเบอร์ที่กระทบหรือเกิดในโครงสร้างพื้นฐานสำคัญทางสารสนเทศ
เสริมสร้างความรู้ความเข้าใจเกี่ยวกับการรักษาความมั่นคงปลอดภัยไซเบอร์ รวมถึงการสร้างความตระหนักด้านสถานการณ์เกี่ยวกับลูกคามทางไซเบอร์ร่วมกันเพื่อให้มีการดำเนินการเชิงปฏิบัติการที่สอดคล้องตามระบอบการและเป็นปัจจุบัน
เป็นศูนย์กลางในการรวบรวมและวิเคราะห์ข้อมูลด้านการรักษาความมั่นคงปลอดภัยไซเบอร์ของประเทศ รวมทั้งเผยแพร่ข้อมูลที่เกี่ยวข้องกับผลเสียและเหตุผลของการดำเนินการรักษาความมั่นคงปลอดภัยไซเบอร์ให้แก่หน่วยงานของรัฐและเอกชนที่เกี่ยวข้อง
เป็นศูนย์กลางในการประสานความร่วมมือระหว่างหน่วยงานที่เกี่ยวข้องกับการรักษาความมั่นคงปลอดภัยไซเบอร์ของหน่วยงานของรัฐและหน่วยงานเอกชนทั้งในประเทศและต่างประเทศ
ที่ความตกลงและร่วมมือกับองค์กรภาครัฐของต่างประเทศในประเทศและต่างประเทศในกิจการที่เกี่ยวกับการดำเนินการตามหน้าที่และอำนาจของสำนักงาน เพื่อได้รับความเห็นชอบจากคณะกรรมการ
ศึกษาและวิจัยข้อมูลที่จำเป็นสำหรับการรักษาความมั่นคงปลอดภัยไซเบอร์ เพื่อจัดทำข้อเสนอแนะและคำปรึกษาเกี่ยวกับการรักษาความมั่นคงปลอดภัยไซเบอร์ รวมทั้งดำเนินการอบรมและพัฒนาศักยภาพของเจ้าหน้าที่ของรัฐและเอกชนที่เกี่ยวข้อง
ส่งเสริม สนับสนุน และดำเนินการในการเผยแพร่ความรู้เกี่ยวกับการรักษาความมั่นคงปลอดภัยไซเบอร์ ตลอดจนดำเนินการฝึกอบรมเพื่อยกระดับทักษะความเชี่ยวชาญในการปฏิบัติหน้าที่เกี่ยวกับการรักษาความมั่นคงปลอดภัยไซเบอร์
รายงานสถานะด้านนโยบายและการเตรียมการเพื่อจัดการกับภัยคุกคามไซเบอร์ รวมทั้งปัญหาและอุปสรรค เสนอข้อคิดเห็นและข้อเสนอแนะต่อรัฐบาลผ่านคณะกรรมการกำกับดูแล
ปฏิบัติหน้าที่อื่นใดตามที่กำหนดไว้ในพระราชบัญญัตินี้ หรือกฎหมายอื่น หรือที่คณะกรรมการหรือคณะรัฐมนตรีมอบหมาย เพื่อประโยชน์ในการดำเนินการตามหน้าที่และอำนาจตาม (๑) ให้สำนักงานจัดตั้งศูนย์ประสานการรักษาความมั่นคงปลอดภัยระบบคอมพิวเตอร์แห่งชาติขึ้นเป็นหน่วยงานภายในสำนักงาน และให้หน่วยอื่นของทางคณะกรรมการกำหนด
(ก) ถือกรรมสิทธิ์ มีสิทธิครอบครอง และมีทรัพย์สินสิทธิใด ๆ (ข) ทำนิติกรรม หรือทำกิจการทุกประเภทที่เกี่ยวกับทรัพย์สิน ตลอดจนทำนิติกรรมอื่นใดเพื่อประโยชน์ในการดำเนินกิจการของสำนักงาน (ค) จัดให้และให้เช่าเช่าซื้อทรัพย์สิน (ง) เรียกเก็บค่าธรรมเนียม ค่าบำรุง ค่าตอบแทน หรือค่าบริการในการดำเนินงาน ทั้งนี้ ตามหลักเกณฑ์และอัตราที่สำนักงานกำหนดโดยความเห็นชอบของคณะกรรมการ (จ) ปฏิบัติการอื่นใดที่กฎหมายกำหนดให้เป็นหน้าที่และอำนาจของสำนักงาน หรือของที่คณะกรรมการ หรือ ครม. มอบหมาย
ทุนประเดิมที่รัฐบาลจัดสรรให้ตามมาตรา ๑๘ วรรคหนึ่ง และเงินและทรัพย์สินที่ได้รับโอนมาตามมาตรา ๑๒
เงินอุดหนุนทั่วไปที่รัฐบาลจัดสรรให้ตามความเหมาะสมเป็นรายปี
เงินอุดหนุนจากหน่วยงานของรัฐทั้งในประเทศและต่างประเทศ หรือองค์กรระหว่างประเทศระดับรัฐบาล
ค่าธรรมเนียม ค่าบำรุง ค่าอนุญาต ค่าบริการ หรือรายได้อื่นใดที่เกิดจากการดำเนินการตามหน้าที่และอำนาจของสำนักงาน
ดอกผลของเงินหรือรายได้จากทรัพย์สินของสำนักงาน เงินและทรัพย์สินของสำนักงานตามวรรคหนึ่ง ต้องนำส่งคลังเป็นรายได้แผ่นดิน
ให้เลขาธิการเป็นกรรมการและเลขานุการ และให้แต่งตั้งเจ้าหน้าที่ของสำนักงานเป็นผู้ช่วยเลขานุการได้ไม่เกินสองคน กรรมการผู้ทรงคุณวุฒิตามวรรคหนึ่ง ให้รัฐมนตรีแต่งตั้งจากผู้มีความรู้ ความเชี่ยวชาญ และประสบการณ์ในด้านใดด้านหนึ่งหรือหลายด้าน เช่น ด้านกฎหมาย ด้านเทคโนโลยีสารสนเทศและการสื่อสาร ด้านการบริหารจัดการองค์กร ด้านการเงิน ด้านการบัญชี ด้านการบริหารทรัพยากรบุคคล หรือด้านอื่นที่เป็นประโยชน์ต่อการดำเนินงานของสำนักงาน และวิธีการที่คณะกรรมการกำหนด ให้มีความในมาตรา ๖ และมาตรา ๗ มาใช้บังคับกับกรรมการผู้ทรงคุณวุฒิโดยอนุโลม
เมื่อครบกำหนดวาระตามวรรคหนึ่ง หากยังมิได้แต่งตั้งกรรมการผู้ทรงคุณวุฒิใหม่ ให้กรรมการผู้ทรงคุณวุฒิพ้นจากตำแหน่งตามวาระนั้นอยู่ในตำแหน่งเพื่อปฏิบัติหน้าที่ต่อไปจนกว่าจะได้มีการแต่งตั้งกรรมการผู้ทรงคุณวุฒิใหม่
กำหนดนโยบายการบริหารงาน และให้ความเห็นชอบแผนการดำเนินงานของสำนักงาน
ออกข้อบังคับว่าด้วยการจัดองค์กร การเงิน การบริหารทรัพยากรบุคคล การบริหารงานทั่วไป การพัสดุ การตรวจสอบภายใน รวมตลอดถึงหลักเกณฑ์และอัตราค่าต่าง ๆ ของสำนักงาน ```
อนุมัติแผนการใช้จ่ายเงินและงบประมาณรายจ่ายประจำปีของสำนักงาน
ควบคุมการบริหารราชการและการดำเนินการของสำนักงานและเลขาธิการให้เป็นไปตามพระราชบัญญัตินี้และกฎหมายอื่นที่เกี่ยวข้อง
พิจารณาสั่งการหรือตามคำสั่งของเลขาธิการในส่วนที่เกี่ยวกับราชการบริหารของสำนักงาน
ประเมินผลการดำเนินงานของสำนักงานและการปฏิบัติงานของเลขาธิการ
ปฏิบัติหน้าที่อื่นตามที่พระราชบัญญัตินี้หรือกฎหมายอื่นกำหนดให้เป็นหน้าที่และอำนาจของ กกต. หรือตามที่คณะกรรมการหรือคณะรัฐมนตรีมอบหมาย ในการปฏิบัติงานตามอำนาจหน้าที่ กกต. อาจแต่งตั้งคณะอนุกรรมการเพื่อพิจารณาเสนอแนะ หรือกระทำการอย่างใดอย่างหนึ่งตามที่ กกต. มอบหมายได้ ทั้งนี้ การปฏิบัติหน้าที่ของคณะอนุกรรมการให้เป็นไปตามหลักเกณฑ์และวิธีการที่ กกต. กำหนด กกต. อาจแต่งตั้งผู้ทรงคุณวุฒิซึ่งมีความเชี่ยวชาญในด้านที่เป็นประโยชน์ต่อการดำเนินงานของสำนักงานเป็นที่ปรึกษา กกต. ทั้งนี้ ตามหลักเกณฑ์และวิธีการที่คณะกรรมการกำหนด
(ก) มีสัญชาติไทย (ข) มีอายุไม่ต่ำกว่าสามสิบห้าปี แต่ไม่เกินหกสิบปี (ค) เป็นผู้มีความรู้ ความสามารถ และประสบการณ์ในด้านที่เกี่ยวกับการกิจของสำนักงานและการบริหารจัดการ
(ก) เป็นบุคคลล้มละลายหรือเคยเป็นบุคคลล้มละลายทุจริต (ข) เป็นคนไร้ความสามารถหรือคนเสมือนไร้ความสามารถ (ค) เคยต้องคำพิพากษาถึงที่สุดให้จำคุกไม่ว่าจะได้รับโทษจำคุกจริงหรือไม่ เว้นแต่เป็นโทษสำหรับความผิดที่กระทำโดยประมาทหรือความผิดลหุโทษ (ง) เคยถูกสั่งให้พ้นจากตำแหน่ง "ผู้ตรวจการ" ของสาธารณรัฐหรือรัฐหรือหน่วยงานอื่นของรัฐ หรือองค์กรส่วนท้องถิ่น (จ) เป็นหรือเคยเป็นสมาชิกหรือผู้บริหารของพรรคการเมือง ผู้ดำรงตำแหน่งในสภาท้องถิ่น หรือผู้บริหารท้องถิ่น เว้นแต่จะได้พ้นจากตำแหน่งแล้วไม่น้อยกว่าห้าปี ``` (ซ) เคยถูกไล่ออก ปลดออก หรือให้ออกจากราชการ หรือออกจากงาน จากหน่วยงาน ที่เคยปฏิบัติหน้าที่ เพราะทุจริตต่อหน้าที่หรือประพฤติชั่วอย่างร้ายแรง หรือเคยถูกลงโทษทางวินัยถึง ให้ออกหรือปลดออกเพราะไม่สามารถประเมินผลการปฏิบัติงานตามมาตรา ๕๔ (๕)
บรรจุ แต่งตั้ง เลื่อน ลด ตัดเงินเดือนหรือค่าจ้าง ลงโทษทางวินัยข้าราชการ และลูกจ้างของสำนักงาน ตลอดจนให้พนักงานและลูกจ้างของสำนักงานออกจากตำแหน่ง ทั้งนี้ ตามข้อบังคับของ กนส. และระเบียบของสำนักงาน
ปฏิบัติการอื่นใดตามที่ระบุใน นโยบาย มติ หรือประกาศของ กนส. หรือ กทม. ในกิจการของสำนักงานที่เกี่ยวกับบุคคลภายนอก ให้เสนอการดำเนินการของ สำนักงานภายในเขตพื้นที่ของกรุงเทพมหานคร เลขาธิการอาจมอบอำนาจให้บุคคลใดในสำนักงานดำเนินการแทนได้ ทั้งนี้ ตามข้อบังคับที่ กนส. กำหนด ในกรณีที่ไม่มีเลขาธิการหรือเลขาธิการไม่อาจปฏิบัติหน้าที่ได้ ให้รองเลขาธิการที่มี อาวุโสสูงสุดดำรงตำแหน่งแทน ถ้าไม่มีรองเลขาธิการหรือรองเลขาธิการไม่อาจปฏิบัติหน้าที่ได้ ให้คณะกรรมการแต่งตั้งบุคคลที่เหมาะสมมารักษาการแทน
ให้สำนักงานจัดการตรวจเงินแผ่นดินหรือผู้สอบบัญชีที่สำนักงานตรวจเงิน แผ่นดินให้ความเห็นชอบเป็นผู้สอบบัญชีของสำนักงาน และเสนอผลการเงินและทรัพย์สิน ของสำนักงานทุกระมัดให้รายงานผลการสอบบัญชีเสนอต่อ กนส. เพื่อรับรอง
รายงานผลการดำเนินงานประจำปีตามวรรคหนึ่ง ให้แสดงรายละเอียดของการเงิน ที่ผู้สอบบัญชีให้ความเห็นไว้ด้วย พร้อมทั้งผลการดำเนินงานและรายงานการประเมินผลการดำเนินงาน ของสำนักงานในปีที่ล่วงมาแล้ว การประเมินผลการดำเนินงานของสำนักงานตามวรรคสอง จะต้องดำเนินการ โดยบุคคลภายนอกที่ กนส. ให้ความเห็นชอบ
ทั้งนี้ กฎกระทรวง ระเบียบ และประกาศดังกล่าว เมื่อประกาศในราชกิจจานุเบกษา แล้วให้ใช้บังคับได้
การรักษาความมั่นคงปลอดภัยไซเบอร์
นโยบายและแผน
การดำเนินการด้านการรักษาความมั่นคงปลอดภัยไซเบอร์ ต้องมุ่งหมายเพื่อสร้างศักยภาพในการป้องกัน รับมือ และลดความเสียหายที่อาจเกิดกับลูกค้าไซเบอร์ โดยเฉพาะอย่างยิ่งในการป้องกันหรือสร้างพื้นฐานสำคัญทางสารสนเทศของประเทศ
(ก) การบูรณาการจัดการในการรักษาความมั่นคงปลอดภัยไซเบอร์ของประเทศ (ข) การประสานความร่วมมือระหว่างหน่วยงานที่เกี่ยวข้องในการป้องกัน รับมือ และลดความเสี่ยงจากภัยคุกคามทางไซเบอร์ (ค) การสร้างมาตรการในการปกป้องโครงสร้างพื้นฐานสำคัญทางสารสนเทศของประเทศ (ง) การประสานความร่วมมือระหว่างภาครัฐ เอกชน และประชาสังคมร่วมมือระหว่างประเทศเพื่อรักษาความมั่นคงปลอดภัยไซเบอร์ (จ) การวิจัยและพัฒนาเทคโนโลยีและองค์ความรู้ที่เกี่ยวกับการรักษาความมั่นคงปลอดภัยไซเบอร์ (ฉ) การพัฒนาบุคลากรและผู้เชี่ยวชาญด้านการรักษาความมั่นคงปลอดภัยไซเบอร์ทั้งภาครัฐและเอกชน (ช) การสร้างความตระหนักและความรู้เกี่ยวกับการรักษาความมั่นคงปลอดภัยไซเบอร์ (ซ) การพัฒนา ระเบียบและกลไกเพื่อการรักษาความมั่นคงปลอดภัยไซเบอร์
ในการจัดทำนโยบายและแผนตามวรรคหนึ่ง ให้สำนักงานจัดให้มีการรับฟังความเห็นหรือประชุมร่วมกับหน่วยงานของรัฐ หน่วยงานควบคุมหรือกำกับดูแล และหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ
ประมวลแนวทางปฏิบัติด้านการรักษาความมั่นคงปลอดภัยไซเบอร์ตามวรรคหนึ่งอย่างน้อยต้องประกอบด้วยเรื่อง ดังต่อไปนี้
แผนการตรวจสอบและประเมินความเสี่ยงด้านการรักษาความมั่นคงปลอดภัยไซเบอร์โดยผู้ตรวจสอบภายใน หรือผู้ตรวจสอบอิสระจากภายนอก อย่างน้อยปีเว้นปีครั้ง
แผนการรับมือภัยคุกคามทางไซเบอร์
แผนการฝึกอบรมและทดสอบความพร้อมในการรักษาความมั่นคงปลอดภัยไซเบอร์ของหน่วยงาน ให้สำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติประมวลและจัดทำแนวทางปฏิบัติด้านการรักษาความมั่นคงปลอดภัยไซเบอร์ของหน่วยงานของรัฐ หน่วยงานควบคุมหรือกำกับดูแล และหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศให้สอดคล้องกับนโยบายและแผนการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ และให้หน่วยงานของรัฐ หน่วยงานควบคุมหรือกำกับดูแล และหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศนำแนวทางปฏิบัติดังกล่าวไปใช้เป็นแนวทางในการจัดทำแผนการรักษาความมั่นคงปลอดภัยไซเบอร์ของหน่วยงาน
การบริหารจัดการ
ในกรณีที่หน่วยงานของรัฐ หน่วยงานควบคุมหรือกำกับดูแล หรือหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศไม่อาจดำเนินการหรือปฏิบัติตามวรรคหนึ่งได้ สำนักงานอาจให้ความช่วยเหลือด้านบุคลากรหรือเทคโนโลยีที่เหมาะสมกับหน่วยงานนั้นๆ ที่ร้องขอได้
สำนักงานคณะกรรมการกฤษฎีกา - ๑๖ - รายชื่อเจ้าหน้าที่ระดับบริหารและระดับปฏิบัติการ เพื่อประสานงานด้านการรักษาความมั่นคงปลอดภัยไซเบอร์ในฝ่ายสำนักนายกฯ ในกรณีที่มีการเปลี่ยนแปลงเจ้าหน้าที่ตามวรรคหนึ่ง ให้หน่วยงานของรัฐ หน่วยงานควบคุมหรือกำกับดูแล และหน่วยงานในโครงสร้างพื้นฐานสำคัญทางสารสนเทศ แจ้งให้สำนักงานทราบโดยเร็ว
ผู้เชี่ยวชาญตามวรรคหนึ่งต้องมีคุณสมบัติหรือประสบการณ์ที่เหมาะสมตามที่คณะกรรมการประกาศกำหนด เลขานุการต้องออกบัตรประจำตัวให้แก่บุคคลที่ได้รับการแต่งตั้ง และในการปฏิบัติหน้าที่ผู้เชี่ยวชาญต้องแสดงบัตรประจำตัวในฐานะผู้เชี่ยวชาญ และเมื่อพ้นจากตำแหน่งแล้ว จะต้องคืนบัตรประจำตัวดังกล่าวแก่เลขานุการโดยเร็ว
โครงสร้างพื้นฐานสำคัญทางสารสนเทศ
ด้านความมั่นคงของรัฐ
ด้านบริการสาธารณสุขที่สำคัญ
ด้านการเงินการธนาคาร
ด้านเทคโนโลยีสารสนเทศและโทรคมนาคม
ด้านการขนส่งและโลจิสติกส์
ด้านพลังงานและสาธารณูปโภค
ด้านสาธารณสุข
ด้านอื่นตามที่คณะกรรมการประกาศกำหนดเพิ่มเติม การจัดการหรือกระทำที่เกี่ยวข้องกับโครงสร้างพื้นฐานสำคัญทางสารสนเทศ ให้เป็นไปตามหลักเกณฑ์ที่คณะกรรมการกำหนด โดยประสานในการดำเนินงานและการปฏิบัติงานกับหน่วยงานที่เกี่ยวข้อง
การพิจารณาประกาศกำหนดการจัดบริการของหน่วยงานควบคุมหรือกำกับดูแลหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศตามวรรคหนึ่ง ให้เป็นไปตามหลักเกณฑ์ที่คณะกรรมการกำหนดโดยประกาศในราชกิจจานุเบกษา ทั้งนี้ คณะกรรมการจะต้องพิจารณาทบทวนการประกาศกำหนดการครอบบริการดังกล่าวเป็นคราว ๆ ไปตามความเหมาะสม
ในกรณีที่มีการเปลี่ยนแปลงเจ้าของกรรมสิทธิ์ ผู้ครอบครองคอมพิวเตอร์ และผู้ดูแลระบบคอมพิวเตอร์ตามมาตรา ๔๘ ให้แจ้งการเปลี่ยนแปลงไปยังหน่วยงานที่เกี่ยวข้องตามวรรคหนึ่งก่อนการเปลี่ยนแปลงล่วงหน้าไม่น้อยกว่าสิบห้าวัน เว้นแต่มีเหตุจำเป็นซึ่งไม่อาจกระทำได้ทันโดยเร็ว
เมื่อได้รับคำร้องเรียนตามวรรคหนึ่ง หาก กกม. พิจารณาแล้วเห็นว่า มีเหตุผลอันควร และอาจทำให้เกิดภัยคุกคามไซเบอร์ ให้ กกม. ดำเนินการ ดังต่อไปนี้ สำนักงานคณะกรรมการกฤษฎีกา (ก) กรณีเป็นหน่วยงานของรัฐ ให้แจ้งต่อผู้บริหารระดับสูงของหน่วยงานเพื่อใช้อำนาจในทางบริหารสั่งการไปยังหน่วยงานของรัฐหรือหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศนั้น เพื่อให้ดำเนินการแก้ไขจนได้มาตรฐานโดยเร็ว (ข) กรณีเป็นหน่วยงานเอกชน ให้แจ้งไปยังผู้บริหารระดับสูงของหน่วยงาน ผู้ครอบครองคอมพิวเตอร์ และผู้ดูแลระบบคอมพิวเตอร์ของหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศนั้น เพื่อให้ดำเนินการแก้ไขจนได้มาตรฐานโดยเร็ว ให้เสนอวิธีการดำเนินการติดตามเพื่อให้เป็นไปตามความในวรรคสองด้วย
ในกรณีที่เห็นว่าการประเมินความเสี่ยงด้านการรักษาความมั่นคงปลอดภัยไซเบอร์หรือการตรวจสอบด้านความมั่นคงปลอดภัยไซเบอร์ที่เกี่ยวข้องกับโครงสร้างพื้นฐานสำคัญทางสารสนเทศแห่งชาติมีผลกระทบต่อความมั่นคงของรัฐ ให้ กกม. ดำเนินการ ดังต่อไปนี้ (ก) กรณีเป็นหน่วยงานของรัฐ ให้แจ้งต่อผู้บริหารระดับสูงของหน่วยงานเพื่อใช้อำนาจในทางบริหาร สั่งการไปยังหน่วยงานของรัฐ หรือหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศนั้น เพื่อให้ดำเนินการแก้ไขจนได้มาตรฐานโดยเร็ว (ข) กรณีเป็นหน่วยงานเอกชน ให้แจ้งไปยังผู้บริหารระดับสูงของหน่วยงาน ผู้ครอบครองคอมพิวเตอร์ และผู้ดูแลระบบคอมพิวเตอร์ของหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศนั้น เพื่อให้ดำเนินการแก้ไขจนได้มาตรฐานโดยเร็ว ให้เสนอวิธีการดำเนินการติดตามเพื่อให้เป็นไปตามความในวรรคสองด้วย
การรับมือกับภัยคุกคามทางไซเบอร์
ในกรณีที่หน่วยงานของรัฐหรือหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศไม่สามารถจัดกัน รับมือ และลดความเสียหายจากภัยคุกคามทางไซเบอร์ได้ ให้รายงานเหตุผลหรือข้อขัดข้องของการดำเนินการดังกล่าวไปยังสำนักงาน
สนับสนุนและให้ความช่วยเหลือแก่หน่วยงานของรัฐหรือหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศที่อยู่ในความดูแลรับผิดชอบในการรับมือและลดความเสียหายจากภัยคุกคามทางไซเบอร์ และให้คำแนะนำในการจัดกัน รับมือ และลดความเสียหายจากภัยคุกคามทางไซเบอร์
แจ้งเตือนหน่วยงานของรัฐและหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศที่อยู่ในการควบคุมหรือกำกับดูแล รวมถึงหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศหรือหน่วยงานของรัฐอื่นที่อาจได้รับผลกระทบจากภัยคุกคามทางไซเบอร์
ลักษณะและประเภทของภัยคุกคามทางไซเบอร์ที่มีความสำคัญต่อประเทศ รวมถึงภัยคุกคามที่มีความเสี่ยงอย่างสำคัญต่อโครงสร้างพื้นฐานสำคัญทางสารสนเทศที่อาจทำให้ระบบงานหรือบริการสำคัญหยุดชะงัก หรือการให้บริการล่าช้าหรือประสิทธิภาพลดลง
สัญญาความทางไซเบอร์ในระดับร้ายแรง หมายถึง สัญญาความที่มีลักษณะการเพิ่มขึ้นอย่างมีนัยสำคัญอันตรายโจมตีระบบคอมพิวเตอร์ คอมพิวเตอร์ หรือข้อมูลคอมพิวเตอร์ โดยผู้หมายเจตน์โจมตีที่มีการสร้างพื้นฐานสำคัญของประเทศ และการโจมตีดังกล่าวมีผลทำให้ระบบคอมพิวเตอร์ หรือโครงสร้างพื้นฐานสำคัญทางสารสนเทศที่เกี่ยวกับการให้บริการหรือโครงสร้างพื้นฐานสำคัญของประเทศ ความมั่นคงของรัฐ ความสัมพันธ์ระหว่างประเทศ การป้องกันประเทศ เศรษฐกิจ การสาธารณสุข หรือความปลอดภัยสาธารณะของประชาชนเสียหายอย่างร้ายแรงหรือไม่สามารถทำงานหรือให้บริการได้
สัญญาความทางไซเบอร์ในระดับวิกฤติ หมายถึง สัญญาความทางไซเบอร์ในระดับวิกฤติที่มีลักษณะ ดังต่อไปนี้ (ก) เป็นสัญญาความทางไซเบอร์ที่เกิดจากการโจมตีระบบคอมพิวเตอร์ คอมพิวเตอร์ ข้อมูลคอมพิวเตอร์ในระดับที่มีซึ่งสำคัญความทางไซเบอร์ในระดับร้ายแรง โดยส่งผลกระทบรุนแรงต่อโครงสร้างพื้นฐานสำคัญทางสารสนเทศของประเทศในลักษณะที่เป็นวงกว้าง จนทำให้การทำงานของหน่วยงานรัฐหรือการให้บริการของโครงสร้างพื้นฐานสำคัญของประเทศที่เกี่ยวกับประชาชนเสียหายหรือระบบเศรษฐกิจและความความมั่นคงของประเทศเสียหายอย่างร้ายแรง หรือการใช้มาตรการเยียวยาตามปกติในการแก้ไขปัญหาไม่สามารถแก้ไขปัญหาได้และมีความเสียหายที่จะลุกลามไปยังโครงสร้างพื้นฐานสำคัญอื่น ๆ ของประเทศ ซึ่งจำเป็นต้องให้หน่วยงานรัฐที่เกี่ยวข้องร่วมกันแก้ไขปัญหาโดยเร่งด่วน หรือการใช้มาตรการพิเศษเพื่อแก้ไขปัญหาในระดับประเทศ (ข) เป็นสัญญาความทางไซเบอร์ที่เกิดจากการโจมตีระบบคอมพิวเตอร์ คอมพิวเตอร์ ข้อมูลคอมพิวเตอร์ของประเทศจนเป็นภัยต่อความมั่นคงของรัฐหรือทำให้ประเทศเข้าสู่ภาวะสงครามหรือการพิจารณาสงคราม ซึ่งจำเป็นต้องมีมาตรการเร่งด่วนเพื่อรักษาระบบประเทศไว้โดยอันมีพระมหากษัตริย์ทรงเป็นประมุขของรัฐธรรมนูญแห่งราชอาณาจักรไทย เอกราชและบูรณภาพแห่งราชอาณาจักร ผลประโยชน์ของชาติ การปฏิบัติตามกฎหมาย ความปลอดภัยของประชาชน การดำรงชีวิตโดยปกติสุขของประชาชน การคุ้มครองสิทธิเสรีภาพของประชาชนหรือประโยชน์สาธารณะ หรือการป้องกันหรือแก้ไขเยียวยาความเสียหายกลับคืนสู่สภาพเดิมอย่างฉุกเฉินและร้ายแรง ทั้งนี้ รายละเอียดของลักษณะสัญญาความทางไซเบอร์ มาตรการป้องกัน รับมือ ประเมินปราบปราม และระงับสัญญาความทางไซเบอร์แต่ละระดับ ให้คณะกรรมการกำหนดไว้
ตรวจสอบข้อมูล สืบสวนและวิเคราะห์ หาสาเหตุ ตลอดจนพฤติการณ์ของผู้ที่เกี่ยวข้องกับสัญญาความทางไซเบอร์
สืบสวนผู้ ให้ความช่วยเหลือ และเกี่ยวข้องในการป้องกัน รับมือ และลดความเสียหายจากสัญญาความทางไซเบอร์ที่เกิดขึ้น
ดำเนินการป้องกันและรับมือกับเหตุการณ์ตามความมั่นคงปลอดภัยไซเบอร์ที่เกิดจากสัญญาความทางไซเบอร์ เสนอแนะหรือจัดการให้ได้รับการแก้ไขเยียวยาเพื่อรักษาความมั่นคงปลอดภัยไซเบอร์ รวมถึงการแนะนำหน่วยงานหรือวิธีการแก้ไขปัญหาที่เกิดจากความมั่นคงปลอดภัยไซเบอร์
สนับสนุน ให้สำนักงาน และหน่วยงานที่เกี่ยวข้องทั้งภาครัฐและเอกชน ให้ความช่วยเหลือและเข้าร่วมในการป้องกัน รับมือ และลดความเสี่ยงจากภัยคุกคามทางไซเบอร์ที่เกิดขึ้น
แจ้งเตือนภัยคุกคามทางไซเบอร์ให้ทราบโดยทั่วกัน ทั้งนี้ ตามความจำเป็นและเหมาะสมโดยคำนึงถึงสถานการณ์ ความร้ายแรง และผลกระทบจากภัยคุกคามทางไซเบอร์นั้น
ให้ความร่วมมือจากในกรณีประสานงานระหว่างหน่วยงานของรัฐที่เกี่ยวข้อง และหน่วยงานเอกชน เพื่อจัดการความเสี่ยงและเหตุการณ์ที่เกี่ยวกับภัยคุกคามทางไซเบอร์
มีหนังสือขอความร่วมมือจากบุคคลที่เกี่ยวข้องเพื่อขอให้ข้อมูลภายในระยะเวลาที่เหมาะสมและตามสถานที่ที่กำหนด หรือให้ข้อมูลเป็นหนังสือเกี่ยวกับภัยคุกคามทางไซเบอร์
มีหนังสือขอข้อมูล เอกสาร หรือสำเนาข้อมูลหรือเอกสารที่อยู่ในความครอบครองของผู้ซึ่งเป็นประโยชน์ในการป้องกัน รับมือ และลดความเสี่ยงจากภัยคุกคามทางไซเบอร์
สอบถามบุคคลผู้มีความรู้ความเข้าใจเกี่ยวกับเรื่องจริงและเหตุการณ์ที่มีความเกี่ยวพันกับภัยคุกคามทางไซเบอร์
เข้าไปในสถานที่ที่เกี่ยวข้องกับภัยคุกคามทางไซเบอร์ เพื่อรวบรวมข้อมูลหรือพยานหลักฐานส่วนที่เกี่ยวข้องกับภัยคุกคามทางไซเบอร์รวมทั้งตรวจสอบหรือทดสอบระบบคอมพิวเตอร์จากผู้ครอบครองสถานที่นั้น การดำเนินการตามวรรคหนึ่ง ซึ่งกระทำโดยสุจริตย่อมได้รับการคุ้มครอง และไม่ถือว่าเป็นการละเมิดต่อเจ้าของหรือผู้ครอบครอง
กกม. ต้องดูแลให้การใช้งบประมาณที่ได้มาจากพระราชบัญญัตินี้ไปใช้กับเรื่องที่ก่อให้เกิดความเสียหาย และให้ กกม. รับผิดชอบในค่าใช้จ่ายเหตุการณ์ ค่าป้องกัน หรือความเสียหายที่เกิดขึ้นจากการเกี่ยวข้องเรื่องมาตรการดังกล่าว ให้คำสั่งภายในการวรรคหนึ่งและวรรคสองไม่ใช่บังคับในกรณีร้องขอต่อเอกชนโดยความยินยอมของเอกชนนั้นด้วย
ในการดำเนินการตามมาตรานี้ ให้ กกม. มีคำสั่งให้หน่วยงานของรัฐที่เกี่ยวข้องกับการรักษาความมั่นคงปลอดภัยไซเบอร์ดำเนินการหรือร่วมดำเนินการในหน้าที่ เพื่อป้องกัน รับมือ และลดความเสี่ยงจากภัยคุกคามทางไซเบอร์ได้อย่างเหมาะสมและมีประสิทธิภาพตามแนวทางที่กำหนด กมค. กำหนด รวมทั้งร่วมกับบุคคลากรในการดำเนินการเพื่อควบคุม ระงับ หรือบรรเทาผลที่เกิดจากภัยคุกคามทางไซเบอร์นั้นได้อย่างทันท่วงที ให้เลขาธิการรายงานการดำเนินการตามมาตรานี้ต่อ กมค. อย่างต่อเนื่อง และเมื่อภัยคุกคามทางไซเบอร์ดังกล่าวสิ้นสุดลง ให้รายงานผลการดำเนินการต่อ กมค. โดยเร็ว
(ก) แก้ไขระบบคอมพิวเตอร์หรือระบบคอมพิวเตอร์ในระยะเวลาใดระยะเวลาหนึ่ง (ข) ตรวจสอบคอมพิวเตอร์หรือระบบคอมพิวเตอร์เพื่อหาข้อเท็จจริงที่กระทบต่อการรักษาความมั่นคงปลอดภัยไซเบอร์ วิเคราะห์สาเหตุการเกิด และประเมินผลกระทบจากภัยคุกคามทางไซเบอร์ (ค) ดำเนินมาตรการแก้ไขภัยคุกคามทางไซเบอร์เพื่อจัดการกับช่องโหว่หรือกำจัดชุดคำสั่งที่ไม่มีพรมแดน หรือระบบระบายน้ำภัยคุกคามทางไซเบอร์ที่ดำเนินการอยู่ (ง) ดำเนินการอื่นใดเกี่ยวกับคอมพิวเตอร์หรือระบบคอมพิวเตอร์หรือสิ่งอื่นใด ๆ เพื่อดำเนินการตามวัตถุประสงค์ของมาตรานี้ตามความเหมาะสม (จ) เข้าเก็บข้อมูลคอมพิวเตอร์หรือระบบคอมพิวเตอร์ หรือข้อมูลอื่นที่เกี่ยวข้องกับระบบคอมพิวเตอร์ที่เกี่ยวข้องกับภัยคุกคามทางไซเบอร์ เพื่อป้องกันภัยคุกคามทางไซเบอร์ ในกรณีที่มีคำสั่งตามวรรคหนึ่ง ผู้เป็นเจ้าของกรรมสิทธิ์ ผู้ครอบครอง ผู้ดูแลระบบคอมพิวเตอร์ หรือผู้ดูแลระบบคอมพิวเตอร์ตามวรรคหนึ่งที่ดำเนินการตามคำสั่ง ทั้งนี้ คำสั่งที่ยื่นต่อท้ายต้องระบุเหตุจำนวนระยะเวลาที่จำเป็นตามดุลพินิจของคณะกรรมการหรืออาจระบุคำท้ายอย่างหนึ่งต่อท้ายถึงภัยคุกคามทางไซเบอร์ในระดับร้ายแรง ในการพิจารณาเรื่องร้องเรียนคำร้องให้ตอบคำร้องจนสิ้น และให้ดำเนินการให้แล้วเสร็จ
(ก) เข้าตรวจสอบสถานที่ โดยมีหนังสือแจ้งถึงเหตุอันสมควรไปยังเจ้าของกรรมสิทธิ์ ผู้ครอบครองหรือผู้ดูแลระบบคอมพิวเตอร์ หรือระบบคอมพิวเตอร์ที่เกี่ยวข้องกับภัยคุกคามทางไซเบอร์ หรือได้รับผลกระทบจากภัยคุกคามทางไซเบอร์ (ข) เข้าเก็บข้อมูลคอมพิวเตอร์ ระบบคอมพิวเตอร์ หรือข้อมูลอื่นที่เกี่ยวข้องกับระบบคอมพิวเตอร์ ที่สำเนาหรือสกัดสำเนาข้อมูลสารสนเทศ หรือในระบบคอมพิวเตอร์ ซึ่งมีเหตุอันควรเชื่อได้ว่าเกี่ยวข้อง หรือได้รับผลกระทบจากภัยคุกคามทางไซเบอร์
ทดสอบการทำงานของคอมพิวเตอร์หรือระบบคอมพิวเตอร์ที่มีเหตุอันควรเชื่อได้ ว่าเกี่ยวข้อง หรือได้รับผลกระทบจากการก่อการทางไซเบอร์ หรือถูกใช้เพื่อก่อเหตุอันตรายใด ๆ ที่อยู่ภายใน หรือใช้ประโยชน์จากคอมพิวเตอร์หรือระบบคอมพิวเตอร์นั้น
ถ่ายหรือทำสำเนาคอมพิวเตอร์ ระบบคอมพิวเตอร์ หรือข้อมูลใด ๆ โดยวิธีการที่เหมาะสม ซึ่งมีเหตุอันควรเชื่อได้ว่าเกี่ยวข้องกับภัยคุกคามทางไซเบอร์ เพื่อการตรวจสอบหรือวิเคราะห์ ทั้งนี้ ไม่เกินความจำเป็น เสมียนหรือทำสำเนาข้อมูลดังกล่าวเพื่อการตรวจสอบหรือวิเคราะห์ โดยไม่ถือว่าเป็นการละเมิดสิทธิหรือข้อมูลส่วนตัวโดยที่เจ้าหน้าที่ซึ่งกระทำการตรวจสอบหรือวิเคราะห์ดังกล่าวต้อง เก็บรักษาข้อมูลดังกล่าวไว้เป็นความลับ ในการดำเนินการตาม (๒) (๓) และ (๔) ให้ ดำเนินการดังนี้ เพื่อให้สิทธิ์ให้เจ้าหน้าที่สามารถดำเนินการตามมาตรการดังกล่าวได้ เจ้าหน้าที่ต้องรายงานต่อหัวหน้า หน่วยงานที่เกี่ยวข้องเพื่อพิจารณาอนุมัติการดำเนินการดังกล่าวโดยเร็วที่สุด และต้องรายงานผลการดำเนินการ ในระดับชั้นแรก ในการพิจารณาคำร้องให้ยื่นเป็นคำร้องฉุกเฉิน และให้ศาลพิจารณา ให้เสร็จโดยเร็ว
ของสภาความมั่นคงแห่งชาติในการดำเนินการรักษาความมั่นคงปลอดภัยไซเบอร์ภายใต้กฎหมายว่าด้วย สภาความมั่นคงแห่งชาติและกฎหมายอื่นที่เกี่ยวข้อง
วิกฤติ คณะกรรมการอาจมอบหมายให้หน่วยงานด้านความมั่นคงแห่งชาติเป็นผู้รับผิดชอบดำเนินการ และเมื่อมีความสงบเรียบร้อยแล้วหน่วยงานดังกล่าวต้องส่งต่อข้อมูลหลักฐานที่เกี่ยวข้องกับภัยคุกคาม ดังกล่าว ให้แจ้งรายละเอียดการดำเนินการให้คณะกรรมการทราบโดยเร็ว ในกรณีที่จำเป็นเร่งหรือวิกฤติเพียงใด ระยะเวลาในการป้องกัน ประเมินผล รับมือ ปราบปราม ระงับ และลดความเสี่ยงจากภัยคุกคามทางไซเบอร์ ให้เสนอวิธีการโดยความเห็นชอบของ คณะกรรมการหรือ กกม. เมื่อทำงานของข้อมูลที่เป็นปัจจุบันและต่อเนื่องจากผู้ที่เกี่ยวข้องกับภัยคุกคาม ทางไซเบอร์ โดยมุ่งเน้นให้ความร่วมมือและให้ความสะดวกแก่คณะกรรมการหรือ กกม. โดยเร็ว
คำสั่งได้เฉพาะที่เป็นภัยคุกคามทางไซเบอร์ในระดับไม่ร้ายแรงเท่านั้น
บทกำหนดโทษ
ข้อมูลคอมพิวเตอร์ ข้อมูลตรวจการทางคอมพิวเตอร์ ข้อมูลอื่นที่เกี่ยวข้องกับระบบคอมพิวเตอร์ หรือข้อมูลส่วนบุคคลที่ได้จากการดำเนินการตามพระราชบัญญัตินี้แก่บุคคลใด ผู้ใดฝ่าฝืนต้องระวางโทษ จำคุกไม่เกินสามปี หรือปรับไม่เกินหกหมื่นบาท หรือทั้งจำทั้งปรับ สำนักงานคณะกรรมการกฤษฎีกา ความในวรรคหนึ่งมิให้ใช้บังคับกับการกระทำเพื่อประโยชน์ในการดำเนินคดีของผู้กระทำความผิดตามพระราชบัญญัตินี้ หรือผู้กระทำความผิดตามกฎหมายอื่น หรือเพื่อประโยชน์ในการดำเนินคดีกับพนักงานเจ้าหน้าที่เกี่ยวกับการใช้อำนาจหน้าที่โดยมิชอบ
ในการแต่งตั้งกรรมการผู้ทรงคุณวุฒิตามวรรคหนึ่ง รัฐมนตรียังอาจมอบหมายให้รัฐมนตรีว่าการกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคมเสนอรายชื่อบุคคลต่อคณะรัฐมนตรีเพื่อพิจารณาแต่งตั้งเป็นกรรมการผู้ทรงคุณวุฒิดังกล่าวด้วยก็ได้
ให้ดำเนินการแต่งตั้งเลขาธิการคณะกรรมการการกระจายเสียงและกิจการโทรทัศน์แห่งชาติ และเลขาธิการคณะกรรมการการกระจายเสียงและกิจการโทรทัศน์แห่งชาติ เพื่อปฏิบัติหน้าที่ตามที่กำหนดในพระราชบัญญัตินี้ให้แล้วเสร็จภายในกำหนดเวลาดังกล่าว
ให้รัฐมนตรีเสนอคณะรัฐมนตรีเพื่อพิจารณาให้ข้าราชการ พนักงาน เจ้าหน้าที่ หรือผู้ปฏิบัติงานอื่นในหน่วยงานของรัฐ ปฏิบัติหน้าที่ที่สำนักงานเป็นการชั่วคราวในระยะเวลาที่คณะรัฐมนตรีกำหนด ให้ข้าราชการ พนักงาน เจ้าหน้าที่ หรือผู้ปฏิบัติงานอื่นในหน่วยงานของรัฐที่ปฏิบัติงานในสำนักงานตามวรรคสองได้รับการสงวนตำแหน่งและสิทธิประโยชน์ต่าง ๆ เงินเดือนหรือค่าจ้าง แล้วแต่กรณี จากต้นสังกัดเดิม ทั้งนี้ คณะกรรมการอาจกำหนดตอบแทนพิเศษให้แก่ข้าราชการ พนักงาน เจ้าหน้าที่ หรือผู้ปฏิบัติงานอื่นในหน่วยงานของรัฐตามวรรคสอง ในระหว่างปฏิบัติงานในสำนักงานตามสมควร สำนักงานคณะกรรมการกฤษฎีกา - 26 - ภายในหนึ่งร้อยแปดสิบวันนับแต่วันที่พระราชบัญญัตินี้ใช้บังคับ ให้สำนักงานดำเนินการจัดสรรตำแหน่งข้าราชการ พนักงาน เจ้าหน้าที่ หรือผู้ปฏิบัติงานอื่นในหน่วยงานของรัฐตามวรรคสองเพื่อบรรจุเป็นพนักงานของสำนักงานต่อไป ข้าราชการ พนักงาน เจ้าหน้าที่ หรือผู้ปฏิบัติงานอื่นในหน่วยงานของรัฐผู้ใดได้รับการคัดเลือกและบรรจุตามวรรคแรก ให้สิทธินับระยะเวลาการทำงานที่เคยทำมาอยู่ในราชการหรือหน่วยงานของรัฐรวมเป็นระยะเวลาทำงานในสำนักงานตามพระราชบัญญัตินี้
ผู้รับสนองพระบรมราชโองการ พลเอก ประยุทธ์ จันทร์โอชา นายกรัฐมนตรี หมวดเหตุ :- เหตุผลในการประกาศใช้พระราชบัญญัติฉบับนี้ คือ โดยที่ในปัจจุบันการให้บริการหรือการประยุกต์ใช้สื่ออิเล็กทรอนิกส์ อินเทอร์เน็ต โครงข่ายโทรคมนาคม หรือการให้บริการโดยคนกลางของภาครัฐมีความเสี่ยงจากภัยคุกคามทางไซเบอร์ซึ่งอาจกระทบต่อความมั่นคงของรัฐ และความสงบเรียบร้อยภายในประเทศ ดังนั้น เพื่อให้สามารถป้องกัน หรือรับมือภัยคุกคามทางไซเบอร์ได้อย่างทันท่วงที สมควรกำหนดหลักเกณฑ์ของการจัดบริการที่มีคุณภาพหรือประสิทธิภาพ รวมทั้งการรักษาความมั่นคงปลอดภัยไซเบอร์ที่เหมาะสมกับภัยคุกคามในแต่ละประเภท และเพื่อให้การดำเนินการดังกล่าวเป็นไปอย่างมีประสิทธิภาพ จึงจำเป็นต้องตราพระราชบัญญัตินี้ สำนักงานคณะกรรมการกฤษฎีกา ธนบดี/วรรณชัย/จัดทำ ๒๐ มิถุนายน ๒๕๖๒ พยนต์/ตรวจ ๒๔ มิถุนายน ๒๕๖๒