น.ส.สิริธิดา พนมวัน ณ อยุธยา ผู้ช่วยผู้ว่าการ สายนโยบายระบบการชำระเงินและเทคโนโลยีทางการเงิน ธนาคารแห่งประเทศไทย (ธปท.) เปิดเผยว่า ปัจจุบันผู้ประกอบธุรกิจทางการเงิน ได้นำเทคโนโลยีมาใช้เพิ่มประสิทธิภาพการให้บริการลูกค้าให้สะดวกรวดเร็วมากขึ้น ประกอบกับที่ผ่านมามีจำนวนผู้ใช้บริการและปริมาณธุรกรรมด้านการชำระเงินอิเล็กทรอนิกส์เพิ่มสูงขึ้นอย่างมาก รวมทั้งรูปแบบธุรกิจมีการเชื่อมโยงกับผู้เล่นที่หลากหลาย และเชื่อมต่อกับผู้ให้บริการภายนอกมากขึ้น ทำให้ผู้ประกอบธุรกิจต้องเผชิญกับความเสี่ยงด้าน IT และภัยคุกคามทางไซเบอร์เพิ่มสูงขึ้น
ธปท. จึงได้กำหนดหลักเกณฑ์การกำกับดูแลความเสี่ยงด้านเทคโนโลยีสารสนเทศ สำหรับผู้ประกอบธุรกิจด้านการชำระเงินที่ไม่ใช่สถาบันการเงิน เพิ่มเติมจากหลักเกณฑ์ที่ใช้บังคับอยู่ในปัจจุบัน ซึ่งเป็นหลักเกณฑ์เดียวกันกับที่ ธปท. ใช้ในการกำกับดูแลสถาบันการเงิน เพื่อยกระดับความมั่นคงปลอดภัยของระบบ IT ตลอดจนสร้างความเชื่อมั่นให้กับผู้ใช้บริการ โดยหลักเกณฑ์กำกับดูแลประกอบด้วย 2 ส่วนสำคัญ ได้แก่
ส่วนที่ 1 การรักษาความมั่นคงปลอดภัยของระบบเทคโนโลยีสารสนเทศขั้นต้นที่จำเป็น (Cyber Hygiene) เป็นมาตรการขั้นต้นที่ผู้ประกอบธุรกิจทุกรายต้องดำเนินการ เพื่อยกระดับความมั่นคงปลอดภัยในการป้องกันและรับมือภัยคุกคามทางไซเบอร์ที่สำคัญ ซึ่งครอบคลุมตั้งแต่การตั้งค่าระบบให้มีความปลอดภัย การป้องกันระบบจากมัลแวร์ (Malware) การบริหารจัดการช่องโหว่ การจัดการสิทธิของระบบ การพิสูจน์ตัวตนอย่างปลอดภัย และการทดสอบหาช่องโหว่ โดยจะมีผลบังคับใช้ตั้งแต่วันที่ 29 เมษายน 2564
ส่วนที่ 2 การบริหารจัดการความเสี่ยงด้านเทคโนโลยีสารสนเทศ (IT Risk Management) ซึ่งมุ่งเน้นให้ผู้ประกอบธุรกิจที่มีนัยสำคัญตามคุณสมบัติที่ประกาศฉบับนี้กำหนด ต้องดำเนินการให้มีธรรมาภิบาลด้านเทคโนโลยีสารสนเทศที่ดี มีการบริหารความเสี่ยงด้าน IT ที่เหมาะสม มีรักษาความมั่นคงปลอดภัยด้าน IT อย่างรัดกุมตามกรอบหลักการ Confidentiality Integrity Availability รวมถึงมีบริหารจัดการความเสี่ยงของการดำเนินโครงการด้าน IT ที่มีนัยสำคัญอย่างมีประสิทธิภาพ โดยจะมีผลบังคับใช้ตั้งแต่วันที่ 29 มกราคม 2565
ทั้งนี้ ผู้ใช้บริการและประชาชนทั่วไป สามารถดูแลความปลอดภัยเบื้องต้นในการทำธุรกรรมอิเล็กทรอนิกส์ได้ด้วยตนเองอย่างต่อเนื่อง เช่น ตั้งรหัสผ่านให้แข็งแรงและปลอดภัย รักษาความลับของชื่อผู้ใช้งานและรหัสผ่าน และหลีกเลี่ยงการให้ข้อมูลส่วนตัวและข้อมูลทางการเงินกับเว็บไซต์หรืออีเมลที่มีความเสี่ยงสูง ซึ่งจะช่วยป้องกันความเสี่ยงจากภัยคุกคามทางไซเบอร์ได้อีกทางหนึ่ง