ก.ล.ต. ปรับเกณฑ์ยกระดับความปลอดภัยระบบ IT "ตลาดหุ้น-คริปโท"มีผล1ก.ค.66

สำนักงานคณะกรรมการกำกับหลักทรัพย์และตลาดหลักทรัพย์ (ก.ล.ต.) ออกประกาศปรับปรุงหลักเกณฑ์การจัดให้มีระบบเทคโนโลยีสารสนเทศ เพื่อให้ผู้ประกอบธุรกิจภายใต้การกำกับดูแล ของ ก.ล.ต. ทั้งในภาคตลาดทุนและตลาดสินทรัพย์ดิจิทัล เช่น ผู้ประกอบธุรกิจหลักทรัพย์ ผู้ประกอบธุรกิจสัญญาซื้อขายล่วงหน้า ศูนย์รับฝากหลักทรัพย์ ผู้ประกอบธุรกิจสินทรัพย์ดิจิทัล

ผู้ให้บริการระบบเสนอขายโทเคนดิจิทัล และผู้ให้บริการระบบคราวด์ฟันดิง มีระบบงานด้านเทคโนโลยีสารสนเทศที่มั่นคงปลอดภัยเพียงพอที่จะรองรับความเสี่ยงด้านเทคโนโลยีสารสนเทศที่เปลี่ยนแปลงไป และเท่าทันภัยคุกคามทางไซเบอร์ที่เพิ่มขึ้นในปัจจุบัน

 

รวมทั้งสร้างความเชื่อมั่นให้กับประชาชนที่ใช้บริการ ซึ่งได้เปิดรับฟังความคิดเห็นจากผู้ที่เกี่ยวข้องเมื่อเดือนธ.ค. 2564 และพ.ค. 2565 พร้อมนำข้อเสนอแนะมาปรับปรุงหลักเกณฑ์ให้มีความเหมาะสมยิ่งขึ้น โดยมีสาระสำคัญดังนี้

(1) กำหนดเกณฑ์การจัดระดับความเสี่ยงที่เกี่ยวข้องกับระบบเทคโนโลยีสารสนเทศ และกำหนดมาตรฐานการควบคุมและการกำกับดูแลด้านเทคโนโลยีสารสนเทศของผู้ประกอบธุรกิจให้สอดคล้องกับระดับความเสี่ยง และลักษณะการประกอบธุรกิจที่มีความหลากหลาย เช่น โครงสร้าง ขนาด และความซับซ้อนของเทคโนโลยีที่ใช้งาน

 

 

 

 

 

 (2) มุ่งเน้นบทบาทหน้าที่และการมีส่วนร่วมของคณะกรรมการของผู้ประกอบธุรกิจ และโครงสร้างการกำกับดูแลการใช้เทคโนโลยีในการประกอบธุรกิจให้มีความปลอดภัย และมีการตรวจสอบด้านความมั่นคงปลอดภัย โดยผู้ตรวจสอบที่มีความเป็นอิสระและมีคุณสมบัติที่เหมาะสม 

(3) ปรับปรุงหลักเกณฑ์และแนวปฏิบัติให้สอดคล้องกับมาตรฐานสากล และหลักเกณฑ์การกำกับดูแลของหน่วยงานกำกับดูแลในภาคอุตสาหกรรมการเงิน 

(4) จัดให้มีข้อกำหนดด้านการบริหารคุณภาพและบริการของระบบเทคโนโลยีสารสนเทศเพิ่มเติม เช่น การบริหารจัดการโครงการด้านเทคโนโลยีสารสนเทศ และการบริหารจัดการด้านทรัพยากรระบบงาน (Capacity Management) 

(5) ยกระดับมาตรการรักษาความมั่นคงปลอดภัยด้านเทคโนโลยีสารสนเทศให้มีความเข้มแข็ง เพื่อป้องกันเหตุการณ์ภัยคุกคามทางไซเบอร์ และเพื่อให้สอดคล้องกับแนวทางกฎหมายไซเบอร์ เช่น การประเมินช่องโหว่ทางเทคนิค (Vulnerability Assessment) และการทดสอบการเจาะระบบ (Penetration Test) 

(6) ปรับปรุงข้อกำหนดในการบริหารจัดการบุคคลภายนอก (Third Party Management) โดยขยายขอบเขตให้ครอบคลุมผู้ให้บริการด้านเทคโนโลยีสารสนเทศ ผู้ที่มีการเชื่อมต่อกับระบบสารสนเทศของผู้ประกอบธุรกิจ และผู้ที่สามารถเข้าถึงหรือแลกเปลี่ยนข้อมูลสำคัญของผู้ประกอบธุรกิจหรือข้อมูลของลูกค้าที่อยู่ภายใต้ความรับผิดชอบของผู้ประกอบธุรกิจได้ 

ทั้งนี้ ประกาศดังกล่าวจะมีผลใช้บังคับตั้งแต่วันที่ 1 ก.ค. 2566 สำหรับข้อกำหนดเกี่ยวกับคุณสมบัติผู้ตรวจสอบด้านเทคโนโลยีสารสนเทศกำหนดให้มีผลใช้บังคับตั้งแต่วันที่ 1 ม.ค.2567 เพื่อให้ผู้ประกอบธุรกิจมีเวลาเตรียมความพร้อมทั้งในด้านบุคลากรและระบบงาน