ความปลอดภัยด้านไซเบอร์และการคุ้มครองข้อมูลส่วนบุคคล

กลยุทธ์

บี. กริม เพาเวอร์ กำหนดนโยบาย ระเบียบปฏิบัติ วางโครงสร้างของระบบสารสนเทศ และกรอบการดำเนินงาน สอดคล้องกับมาตรฐานสากล ได้แก่ กรอบการบริหารจัดการด้านความมั่นคงปลอดภัยไซเบอร์ โดยสถาบันมาตรฐาน และเทคโนโลยีแห่งสหรัฐอเมริกา (the U.S. National Institute of Standards and Technology : NIST) และมาตรฐานระบบบริหารจัดการความมั่นคงปลอดภัยสารสนเทศ (ISO/IEC 27001: 2022) รวมถึงเป็นไปตามกฎหมายและข้อบังคับที่เกี่ยวข้อง รวมถึงกำหนดกระบวนการ และมีการเฝ้าระวัง และรับมือกับภัยคุกคามไซเบอร์แบบ 24/7 เพื่อให้สามารถตอบสนองต่อเหตุการณ์ได้อย่างเหมาะสม และทันท่วงที โดยจัดตั้งศูนย์ปฏิบัติการเฝ้าระวังความมั่นคงปลอดภัยไซเบอร์ (Cyber Security Operations Center: CSOC) รับเรื่องผ่านทางสายด่วน +66 (0) 2821 6900 หรืออีเมล csirt@bgrimmpower.com เมื่อศูนย์ปฏิบัติการเฝ้าระวังความมั่นคงปลอดภัย ไซเบอร์ ได้รับแจ้งหรือตรวจพบเหตุการณ์ผิดปกติเกี่ยวกับความปลอดภัยด้านไซเบอร์ จะดำเนินการสืบสวน ประเมินระดับความรุนแรง ควบคุมความเสียหาย เยียวยา ตลอดจนออกมาตรการป้องกันความเสียหาย (กรณีที่พบเหตุการณ์ในระดับความวิกฤติจะต้องรายงานต่อ B.GRIMM CSIRT Steering Committee เพื่อกำกับดูแลและตัดสินใจแนวทางแก้ไขปัญหา) จากนั้นฝ่ายสื่อสารองค์กรจึงดำเนินการชี้แจงเหตุการณ์ต่อพนักงานและผู้เกี่ยวข้อง)

กรอบการบริหารจัดการด้านความมั่นคงปลอดภัยไซเบอร์

แหล่งที่มา: The U.S. National Institute of Standards and Technology

นโยบายและความมุ่งมั่น

โครงสร้างการกำกับดูแล

แต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (Data Protection Officer : DPO) มีหน้าที่จัดทำนโยบาย และระเบียบปฏิบัติด้านการคุ้มครองข้อมูลส่วนบุคคลเพื่อให้สอดคล้องกับข้อกำหนด และกฎหมาย ดูแลการบริหารความเสี่ยงเกี่ยวกับข้อมูลส่วนบุคคล ร่วมมือกับหน่วยงานภายในต่าง ๆ เพื่อปกป้องความเป็นส่วนตัวของข้อมูล และการรับมือต่อเหตุการณ์ที่เกี่ยวข้องกับการละเมิดข้อมูลส่วนบุคคล รวมถึงกำหนดให้หน่วยงานตรวจสอบภายใน มีหน้าที่ตรวจสอบ และประเมินการดำเนินงานเพื่อให้เป็นไปตาม พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคลเป็นประจำทุกปี โดยมุ่งเน้นการตรวจสอบในกิจกรรมที่อาจมีความเสี่ยงจากการจัดการข้อมูลส่วนบุคคล ให้ความเห็นต่อกลยุทธ์ด้านการรักษาความเป็นส่วนตัวของข้อมูล และการดำเนินการส่งเสริมความตระหนักของพนักงานในข้อกฎหมายที่เกี่ยวข้อง

ด้านการส่งเสริมความมั่นคงปลอดภัยของโครงสร้างเทคโนโลยีสารสนเทศ และระบบคลาวด์

• ซักซ้อมแผนรับมือต่อภัยคุกคามด้านไซเบอร์ (cyber drill) รวม 2 ครั้ง ในปี 2566 โดยเน้นด้านการตอบสนองต่อการรั่วไหลของข้อมูลส่วนบุคคลต่อเนื่องจากปีก่อนหน้า ได้แก่ การตอบสนองต่อเหตุภัยคุกคามจากการที่ผู้ไม่ประสงค์ดีทำการโจมตีไปยังผู้ใช้งานผ่านระบบที่ไม่ได้มีการเปิดใช้งานการยืนยันตัวตนแบบหลายปัจจัย และการตอบสนองต่อภัยคุกคามทางไซเบอร์ในกรณีที่ข้อมูลที่ใช้รับรองตัวตน (credential) ของพนักงาน เช่น ชื่อผู้ใช้และรหัสผ่าน ถูกประกาศขายอยู่ใน Dark Web และ/หรือ Deep Web
• จัดประเมินความเสี่ยงด้วยการตรวจสอบช่องโหว่ (Vulnerability Assessment) และ Penetration test (Pentest) เป็นประจำทุกปี เพื่อค้นหาช่องโหว่ในการเข้าถึงระบบและปรับปรุงช่องโหว่ดังกล่าวเพื่อป้องกันการโจมตีได้อย่างรัดกุมยิ่งขึ้นรวม ทั้งจากทีมงานภายในและผู้เชี่ยวชาญภายนอก โดยในปี 2566 มีการทดสอบรวมกว่า 40 โครงการ
• การตรวจสอบช่องโหว่ (Vulnerability Assessment) เพื่อประเมินและระบุความเสี่ยงจากช่องโหว่ที่ค้นพบในระบบปฏิบัติการ ซอฟต์แวร์ หรืออุปกรณ์โครงข่าย อาทิ ระบบ Computerize Operation Monitoring systems (COMs) ระบบ Black/Gray Box Pentest ระบบ Server fault locator (SEFL) ระบบ Common Power Plant Information (PI) รวมถึงระบบ Oracle EBS on Cloud
• การทดสอบเจาะระบบ (Penetration test หรือ Pentest) ได้แก่ การทดสอบภาพรวมของโครงข่ายระบบสารสนเทศภายในองค์กร (Infrastructure Penetration Testing) และทดสอบเจาะระบบของโปรแกรม (Application Penetration Testing)
• ขยายการใช้ Multi-Factor Authentication (MFA) หรือการรับรองความถูกต้องโดยใช้หลายปัจจัย เพื่อตรวจสอบและยืนยันตัวบุคคล กำหนดการอนุญาตเข้าใช้งานระบบ ซอฟต์แวร์ หรือการเข้าถึงข้อมูลต่างๆ ให้ครอบคลุมถึงระบบที่ขึ้นใหม่ในปี 2566
• ตรวจสอบด้านความปลอดภัยไซเบอร์ (cyber security audit) ของผู้ให้บริการระบบคลาวด์เพื่อให้มั่นใจว่ามีความมั่นคงปลอดภัย ตลอดจนทดสอบด้านความปลอดภัยของการใช้ข้อมูลและแอปพลิเคชันที่ใช้อยู่บนคลาวด์อย่างสม่ำเสมอต่อเนื่องเป็นประจำทุกปี
• การประเมินความมั่นคงปลอดภัยของเว็บไซต์องค์กร จากมุมมองภายนอก โดย SecurityScorecard กระบวนการตรวจสอบครอบคลุมในหลากหลายด้าน เช่น ความปลอดภัยเครือข่าย การรั่วไหลของข้อมูล ความปลอดภัยของแอปพลิเคชัน ความสมบูรณ์ของระบบบริหารจัดการชื่อโดเมน (Domain Name Server: DNS) ซึ่งทำให้เห็นภาพรวมด้านความปลอดภัยและนำไปวางแผนปรับปรุงต่อไป
• บี.กริม เพาเวอร์ได้กำหนดระเบียบและแนวทางปฏิบัติเพื่อรองรับการปฏิบัติงานจากที่บ้าน (Work from home) และ Work from Anywhere เพื่อรักษาความปลอดภัยไซเบอร์และความปลอดภัยของข้อมูลส่วนบุคคลอย่างรัดกุม ขณะที่ส่งเสริมให้พนักงานมีความคล่องตัวและประสิทธิภาพในการทำงานจากนอกสำนักงาน ซึ่งรวมถึงการบริหารจัดการเครื่องคอมพิวเตอร์ภายในองค์กร (end point) เช่น ลงโปรแกรมป้องกันไวรัสบนคอมพิวเตอร์ทุกเครื่อง และกำหนดสิทธิ์การเข้าถึงระบบภายในองค์กร ในปี 2566 เรานำระบบ Endpoint Detection and Response (EDR) เป็นระบบตรวจจับความผิดปกติทางด้านไซเบอร์ ในระบบคอมพิวเตอร์ในองค์กร โดยมีการเก็บรวบรวม วิเคราะห์ข้อมูล และค้นหาภัยคุกคาม เพื่อทำการตรวจจับและป้องกันการละเมิดความปลอดภัยที่อาจเกิดขึ้นได้อย่างทันท่วงที และสามารถเข้าดำเนินการแก้ไขได้ทันท่วงที
• บี.กริม เพาเวอร์ ดำเนินงานตามมาตรฐานที่ได้กำหนดไว้ ทั้งในด้านการปฏิบัติการด้านโครงสร้างพื้นฐาน และการบริหารจัดการระบบความปลอดภัยของเทคโนโลยีสารสนเทศ สำหรับโรงไฟฟ้าที่สร้างใหม่หรือควบรวมกิจการ เช่น BGPAT2-3 ในปี 2566 จึงมั่นใจได้ว่ามีโครงสร้างระบบและกรอบการดำเนินงานทัดเทียมกับมาตรฐานเบื้องต้นของ บี.กริม เพาเวอร์

ด้านการตรวจสอบ

บี.กริม เพาเวอร์ จัดให้มีการสอบทานด้านความปลอดภัยไซเบอร์และการคุ้มครองข้อมูลส่วนบุคคลอย่างสม่ำเสมอ ในปี 2566 ได้รับการตรวจรับรองตามมาตรฐานสากลระบบการจัดการความมั่นคงปลอดภัยสารสนเทศ ISO/IEC27001:2022 ระบบบริหารจัดการความมั่นคงปลอดภัยสารสนเทศโดยผู้ตรวจสอบภายนอก นอกจากนี้ยังจัดประเมินความเสี่ยงตามกรอบการบริหารจัดการด้านความมั่นคงปลอดภัยไซเบอร์ โดยสถาบันมาตรฐานและเทคโนโลยีแห่งสหรัฐอเมริกา (US National Institute of Standards and Technology : NIST) โดยผู้เชี่ยวชาญภายนอก เพื่อให้แน่ใจว่าองค์กรสามารถรักษาความมั่นคงปลอดภัยไซเบอร์ได้อย่างรัดกุมและสามารถตอบสนองเหตุการณ์ได้อย่างทันท่วงที รวมถึงตรวจสอบนโยบายคุ้มครองข้อมูลส่วนบุคคลต่อเนื่องจากปีก่อนหน้า ที่มุ่งเน้นการสอบทานความครบถ้วนของข้อกำหนดในนโยบายให้เป็นไปตาม พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล โดยในปี 2566 ฝ่ายตรวจสอบภายในได้เน้นตรวจสอบด้านกระบวนการปฏิบัติงานให้เป็นไปตามนโยบายครอบคลุมการปฏิบัติงานของพนักงาน บี.กริม เพาเวอร์ และบริษัทในเครือ โดยรวม บี.กริม เพาเวอร์ ไม่พบข้อร้องเรียนที่เข้าข่ายการละเมิดข้อมูลส่วนบุคคล และไม่มีเหตุการณ์ภัยคุกคามต่อโครงสร้างระบบสารสนเทศหรือการละเมิดความปลอดภัยไซเบอร์ ซึ่งมีนัยสำคัญที่ก่อให้เกิดความเสียหาย ค่าปรับหรือการฟ้องร้องต่อองค์กร ในปี 2566

บี.กริม เพาเวอร์ ได้รับรางวัลจากโครงการวัดระดับความมั่นคงปลอดภัยไซเบอร์ (Cybersecurity Resilience Survey 2023) ปี 2566 สำหรับกลุ่มบริษัทจดทะเบียน จัดโดยตลาดหลักทรัพย์แห่งประเทศไทย โดยได้รับคะแนนประเมิน 4.81 จาก 5.00 สูงกว่าคะแนนเฉลี่ยน NIST Function Average Rating สำหรับกลุ่มทรัพยากร ที่ 2.40 คะแนน และสูงกว่าคะแนนเฉลี่ยของบริษัทที่เข้าร่วมโครงการที่ 2.11 คะแนน