การกำกับดูแลและเป้าหมายด้านความมั่นคงปลอดภัยสารสนเทศและไซเบอร์
ความท้าทายและความมุ่งมั่น
ในยุคที่เทคโนโลยีสารสนเทศก้าวหน้าอย่างรวดเร็วและมีบทบาทสำคัญต่อการดำเนินธุรกิจทั่วโลก ความเสี่ยงจากภัยคุกคามทางไซเบอร์จึงกลายเป็นประเด็นที่ทุกองค์กรต้องให้ความสำคัญ บริษัทฯ ตระหนักถึงความสำคัญของการปกป้องข้อมูลและระบบเทคโนโลยี ไม่ว่าจะเป็นภัยคุกคามจากภายนอก หรือการรั่วไหลของข้อมูลภายใน ซึ่งอาจส่งผลกระทบต่อการดำเนินงาน รวมถึงความปลอดภัยของข้อมูลพนักงาน ลูกค้า และคู่ค้า
เพื่อรับมือกับความเสี่ยงเหล่านี้ บริษัทฯ ได้เสริมสร้างโครงสร้างการกำกับดูแลระบบสารสนเทศให้แข็งแกร่งมากขึ้น ปฏิบัติตามกฎหมายคุ้มครองข้อมูลส่วนบุคคลอย่างเคร่งครัด พร้อมทั้งจัดการอบรมพนักงานอย่างต่อเนื่อง เพื่อเพิ่มพูนความรู้ ความเข้าใจ และสร้างความตระหนักในด้านความปลอดภัยทางไซเบอร์อย่างครบถ้วนและมีประสิทธิภาพ
ผู้มีส่วนได้เสียหลัก
พนักงาน
ลูกค้า
ภาครัฐ
คู่ค้า และคู่ค้าทางธุรกิจ
สำหรับการมีส่วนร่วมของผู้มีส่วนได้เสียเพิ่มเติม: Stakeholder Engagement
เป้าหมายการดำเนินงาน
ผลการดำเนินการที่สำคัญปี 2568
แนวทางการบริหารจัดการ
บริษัทฯ ได้จัดทำนโยบายความมั่นคงปลอดภัยด้านเทคโนโลยีสารสนเทศขึ้น เพื่อเป็นกรอบแนวทางในการพัฒนาระบบบริหารจัดการความปลอดภัยสารสนเทศอย่างเป็นระบบ โดยอิงตามมาตรฐานสากล เช่น ISO/IEC 27001 สำหรับการจัดการความมั่นคงปลอดภัยสารสนเทศ และแนวทางปฏิบัติจาก COBIT (Control Objectives for Information and Related Technologies ในการควบคุมและบริหารความเสี่ยงด้านเทคโนโลยีสารสนเทศ
นโยบายดังกล่าวยังครอบคลุมขั้นตอนการใช้งานระบบสารสนเทศผ่านกระบวนการปฏิบัติงาน (Procedure) ที่ชัดเจน เพื่อเพิ่มประสิทธิภาพในการบริหารความมั่นคงปลอดภัยทางไซเบอร์ ป้องกันเหตุการณ์ที่ไม่พึงประสงค์ และลดความเสี่ยงรวมถึงผลกระทบที่อาจส่งผลต่อองค์กรอย่างมีประสิทธิภาพ
นอกจากนี้ บริษัทฯ ได้กำหนดนโยบายปัญญาประดิษฐ์ (Artificial Intelligence Policy) ซึ่งมีผลบังคับใช้ตั้งแต่เดือนพฤษภาคม พ.ศ. 2568 เพื่อเป็นกรอบในการกำกับดูแลการใช้งานและการพัฒนาระบบปัญญาประดิษฐ์ขององค์กรให้เป็นไปอย่างมีความรับผิดชอบและสอดคล้องกับมาตรฐานสากล โดยนโยบายดังกล่าวครอบคลุมหลักการสำคัญ 6 ประการ ได้แก่
- การพัฒนาขีดความสามารถและความยั่งยืนทางธุรกิจ
- การปฏิบัติตามกฎหมาย จริยธรรม และมาตรฐานสากล
- ความโปร่งใสและความรับผิดชอบในการใช้งาน AI
- ความมั่นคงปลอดภัยและการคุ้มครองข้อมูลส่วนบุคคล
- ความเป็นธรรมและการปราศจากอคติ
- ความน่าเชื่อถือและความถูกต้องของผลลัพธ์
ทั้งนี้ นโยบายดังกล่าวมีผลบังคับใช้กับบุคลากรทุกระดับขององค์กร รวมถึงผู้รับเหมา ผู้รับเหมาช่วง คู่ค้า และผู้ร่วมดำเนินงานที่เกี่ยวข้องกับการใช้งานและการพัฒนาเครื่องมือปัญญาประดิษฐ์ของบริษัทฯ
บริษัทฯ ได้จัดตั้งโครงสร้างการกำกับดูแลความมั่นคงปลอดภัยสารสนเทศและไซเบอร์ ซึ่งถือเป็นกลไกสำคัญในการสร้างความมั่นคงปลอดภัยของข้อมูลและการป้องกันภัยคุกคามทางไซเบอร์ โดยโครงสร้างนี้แบ่งออกเป็น 3 ระดับหลัก ได้แก่ ระดับคณะกรรมการบริหาร ระดับผู้บริหาร และระดับคณะทำงาน ซึ่งแต่ละระดับมีบทบาทและหน้าที่เฉพาะในการดูแล ตรวจสอบ และบริหารจัดการความเสี่ยงด้านความมั่นคงปลอดภัยสารสนเทศอย่างเป็นระบบและมีประสิทธิภาพ
| ระดับการกำกับดูแล | หน้าที่ความรับผิดชอบ |
|---|---|
| คณะกรรมการตรวจสอบ |
|
| คณะกรรมการกำกับนโยบายด้านดิจิทัลและเทคโนโลยีสารสนเทศ กลุ่มบริษัทฯ |
|
| คณะกรรมการบริหารจัดการ ความมั่นคงและความปลอดภัย สารสนเทศ |
|
| คณะกรรมการบริหารจัดการ |
|
| ผู้บริหารความมั่นคงปลอดภัยสารสนเทศระดับสูง |
|
| ระดับผู้บริหาร |
|
| ระดับปฏิบัติการ |
|
การตรวจสอบโครงสร้างพื้นฐานไอทีและ/หรือระบบการจัดการความปลอดภัยสารสนเทศโดยอิสระจากภายนอก (Independent External Audit of the IT Infrastructure and/or information security management system inspections)
บริษัทฯ ร่วมมือกับ GC ในการดำเนินการประเมินตามมาตรฐาน ISO/IEC 27001:2022 เพื่อรับรองว่าระบบการจัดการความปลอดภัยสารสนเทศ (ISMS) ของบริษัทฯ ทำงานได้อย่างมีประสิทธิภาพและสอดคล้องกับมาตรฐานสากล ขอบเขตของการตรวจสอบภายนอกครอบคลุมถึงโครงสร้างพื้นฐานแบบบริการ (Infrastructure as a Service), โครงสร้างพื้นฐานแบบบริการบนคลาวด์ (Infrastructure as a Service on Cloud), การจัดการโซนเกตเวย์อินเทอร์เน็ต (Internet Gateway Zone Management) รวมถึงการบริหารจัดการแอปพลิเคชัน (Application Management) ซึ่งมีบทบาทสำคัญในการสนับสนุนกระบวนการสรรหาบุคลากรจากภายนอก
การจัดการความปลอดภัยสารสนเทศและไซเบอร์ (Information and Cyber Security Management Program)
บริษัทฯ ได้ดำเนินมาตรการเพื่อยกระดับความปลอดภัยสารสนเทศและความมั่นคงปลอดภัยไซเบอร์ ผ่านการพัฒนาแผนการตรวจสอบความปลอดภัยและการพัฒนาเทคโนโลยีความมั่นคงปลอดภัยสารสนเทศอย่างต่อเนื่อง เพื่อให้ก้าวทันภัยคุกคามทางไซเบอร์ที่เปลี่ยนแปลงไป ได้จัดทำแผนปฏิบัติการด้านไอที 5 ปี ครอบคลุมระยะเวลาตั้งแต่ปี พ.ศ. 2566 ถึง พ.ศ. 2570 โดยกำหนดให้ความมั่นคงปลอดภัยไซเบอร์เป็นประเด็นสำคัญที่มุ่งเน้น พร้อมกำหนดแนวทางปฏิบัติที่ชัดเจน
วัตถุประสงค์สำคัญของแผนนี้ คือการรับประกันว่าโปรแกรมด้านความมั่นคงปลอดภัยไซเบอร์จะได้รับการปรับปรุงและบำรุงรักษาอย่างสม่ำเสมอ ตามมาตรฐานสากลและแนวปฏิบัติที่ดีที่สุด เพื่อให้การดำเนินธุรกิจของบริษัทฯ เป็นไปอย่างปลอดภัยและมีประสิทธิภาพสูงสุด โดยประกอบด้วยกิจกรรมดังต่อไปนี้:
- การประเมินกระบวนการและโครงสร้างพื้นฐาน
- การปรับปรุงระบบเพื่อปิดช่องโหว่ การสแกนการประเมินความเสี่ยง
- การทดสอบ Phishing และโปรแกรมที่ออกแบบเฉพาะสำหรับฟังก์ชันเฉพาะ
- การกำกับดูแลข้อมูลสำหรับบริษัทฯ (การปกป้องข้อมูล การจำแนกประเภทข้อมูล)
กระบวนการและโครงสร้างพื้นฐานของสารสนเทศและไซเบอร์ (Process and Infrastructure)
บริษัทฯ ได้จัดตั้งระบบบริหารความมั่นคงปลอดภัยสารสนเทศตามมาตรฐานสากล และนำแนวปฏิบัติด้านความปลอดภัยของสินทรัพย์ที่สอดคล้องกับความมั่นคงปลอดภัยไซเบอร์มาใช้ โดยมีการตรวจสอบและสอบทานระบบโครงสร้างพื้นฐานสารสนเทศและไซเบอร์โดยหน่วยงานภายนอกอย่างสม่ำเสมอทุกปี ซึ่งจากการตรวจสอบในปีที่ผ่านมา พบว่ากระบวนการและโครงสร้างพื้นฐานเป็นไปตามมาตรฐานสากลอย่างครบถ้วนและไม่พบปัญหาหรือข้อบกพร่องใดๆ
ในฐานะบริษัทในเครือของ GC บริษัทฯ ได้นำขั้นตอนการฝึกซ้อมรับมือภัยคุกคามทางไซเบอร์ (Cyber Drill Procedure) ของ GC มาใช้เป็นแนวทางปฏิบัติหลักสำหรับบุคลากรฝ่ายไอทีทุกคน เพื่อให้มั่นใจว่าการตอบสนองต่อเหตุการณ์ที่อาจกระทบระบบไอทีหรือความมั่นคงปลอดภัยไซเบอร์เป็นไปอย่างมีประสิทธิภาพและปลอดภัย พร้อมทั้งลดความเสียหายที่อาจเกิดขึ้น โดยมีการจัดฝึกซ้อมรับมือภัยคุกคามทางไซเบอร์อย่างน้อยปีละ 2 ครั้ง คือในช่วงเดือนมกราคม-มิถุนายน และกรกฎาคม-ธันวาคม
นอกจากนี้ บริษัทฯ ยังได้จัดทำแผนกู้คืนภัยพิบัติด้านความปลอดภัยไอทีและความมั่นคงปลอดภัยไซเบอร์ (Disaster Recovery Plan) ซึ่งระบุขั้นตอนปฏิบัติเมื่อเกิดภัยพิบัติที่ส่งผลกระทบต่อศูนย์ข้อมูลหลัก โดยมีเป้าหมายเพื่อลดความเสียหายและการหยุดชะงักขององค์กร แผนดังกล่าวมีรายละเอียดขั้นตอนการทำงานสำหรับบุคลากรไอที รวมถึงระยะเวลาที่คาดว่าจะกู้คืนข้อมูลประเภทต่าง ๆ และขั้นตอนการกลับมาดำเนินธุรกิจตามปกติอย่างรวดเร็ว บริษัทฯ ยังดำเนินการฝึกซ้อมและทดสอบแผนกู้คืนภัยพิบัติอย่างน้อยปีละ 2 ครั้งในช่วงเวลาเดียวกับการฝึกซ้อมภัยคุกคามไซเบอร์ เพื่อเสริมสร้างความพร้อมและประสิทธิภาพในการรับมือเหตุการณ์ฉุกเฉินต่าง ๆ อย่างต่อเนื่อง
ระบบการจัดการความมั่นคงปลอดภัยสารสนเทศของ GGC ได้รับการตรวจสอบและรับรองโดยหน่วยงานอิสระภายนอก Bureau Veritas Certification ตามมาตรฐาน ISO/IEC 27001:2022 ซึ่งเป็นหน่วยงานรับรองที่ได้รับการรับรองภายใต้ UKAS โดยขอบเขตการรับรองครอบคลุมระบบการจัดการความมั่นคงปลอดภัยสารสนเทศที่เกี่ยวข้องกับ Infrastructure as a Service, Cloud Infrastructure, Cloud Platform, Cyber Zone/Internet Zone Network รวมถึงกระบวนการสรรหาบุคลากรจากภายนอกและกระบวนการว่าจ้าง
การประเมินช่องโหว่ (Vulnerability Assessment)
บริษัทฯ ดำเนินการตรวจสอบและวิเคราะห์ช่องโหว่จากผู้เชี่ยวชาญภายนอกอย่างน้อยปีละสองครั้ง เพื่อประเมินความเสี่ยงและหาช่องทางปรับปรุงระบบอย่างต่อเนื่อง นอกจากนี้ บริษัทได้นำแผนความต่อเนื่องทางธุรกิจมาใช้เพื่อรองรับการดำเนินงานในสถานการณ์ฉุกเฉิน ในปี 2568 บริษัทฯ ได้จัดการฝึกซ้อมแผนรับมือเหตุการณ์ทางไซเบอร์ประจำปี (Cyber Incident Response Tabletop Exercise) ซึ่งมีจุดมุ่งหมายเพื่อทดสอบความมั่นคงและประสิทธิภาพของระบบความปลอดภัยข้อมูลและเทคโนโลยีสารสนเทศ โดยจำลองสถานการณ์ที่มีการโจมตีทางไซเบอร์จากผู้บุกรุกภายนอกที่พยายามเจาะระบบความปลอดภัยไอทีของบริษัทฯ เพื่อเข้าถึงและรวบรวมข้อมูลสำคัญจนเกิดความเสี่ยงต่อการรั่วไหลของข้อมูล การประเมินช่องโหว่ (Vulnerability Assessment: VA) แต่ละครั้งจะครอบคลุมประเด็นสำคัญต่าง ๆ ที่ต้องตรวจสอบอย่างละเอียดเพื่อให้มั่นใจในความปลอดภัยของระบบ
- Clickjacking
- คุกกี้ไม่ได้ทำเครื่องหมายเป็น HTTP เท่านั้น
- คุกกี้ที่มีคุณสมบัติขาดหายไป ไม่สอดคล้อง หรือขัดแย้งกัน
- ข้อความแสดงข้อผิดพลาดในการเขียนโปรแกรม
- การเปิดเผยเวอร์ชัน
- การกำหนดค่านโยบายความปลอดภัยของเนื้อหาไม่ถูกต้อง
- ส่วนหัวของนโยบายสิทธิ์การใช้งานไม่ได้ถูกนำไปใช้งาน
อีกทั้ง บริษัทฯ ยังทำการตรวจสอบช่องโหว่ของระบบคอมพิวเตอร์ทั้งภายในและภายนอกทุก ๆ 6 เดือน เพื่อเตรียมแผนการป้องกันและแก้ไขจากภัยคุกคาม โดยบริษัทฯ ได้แบ่งระดับความรุนแรง (Vulnerability Severity Levels) ออกเป็น 3 ระดับ ได้แก่ ความรุนแรงระดับสูง (High) คามรุนแรงระดับกลาง (Medium) ความรุนแรงระดับต่ำ (Low)
การสร้างความพร้อมด้านความมั่นคงปลอดภัยสารสนเทศและไซเบอร์ (Information Security and Cybersecurity Awareness)
บริษัทฯ ได้เสริมสร้างความตระหนักรู้และเพิ่มความพร้อมด้านความปลอดภัยทางไซเบอร์ให้กับพนักงานทุกระดับ โดยจัดให้มีการเรียนรู้ผ่านสื่อออนไลน์ (E-Learning) ในหัวข้อ Cyber Security Online พร้อมทั้งมีการประเมินความรู้ความเข้าใจของพนักงานด้วยการทำแบบทดสอบท้ายบทเรียน เพื่อให้พนักงานสามารถนำความรู้ที่ได้รับไปประยุกต์ใช้ในงานได้อย่างมีประสิทธิภาพ
Training & Boost-Up Program
โครงการ Training & Boost-Up Program เป็นการอบรมผ่านแพลตฟอร์มออนไลน์ที่ออกแบบให้สอดคล้องกับบทบาทและหน้าที่ของพนักงานแต่ละคน รวมถึงขยายขอบเขตการอบรมไปยังคู่ค้าของบริษัทด้วย โดยการอบรมจะมีตัวชี้วัดประเมินผล หากผลประเมินต่ำกว่าเกณฑ์ที่กำหนด จะมีการจัดอบรมเพิ่มเติมเพื่อเสริมความเข้าใจและความพร้อมด้านความปลอดภัยทางไซเบอร์
ในปี 2568 มีการจัดทำ Phishing Test เพื่อประเมินการรับรู้และการตอบสนองของพนักงานต่อภัยคุกคามทางอีเมล หากพนักงานไม่สามารถระบุและรายงานอีเมล Phishing ได้ จะต้องเข้ารับการอบรมเพิ่มเติม เพื่อเพิ่มทักษะในการรับมือกับความเสี่ยงด้านความมั่นคงปลอดภัยสารสนเทศ
ผลลัพธ์และประโยชน์ที่ได้รับ
- พนักงานมีความพร้อมและตื่นตัวต่อภัยคุกคามทางไซเบอร์มากขึ้น
- ระบบความปลอดภัยขององค์กรมีความยืดหยุ่นและตอบสนองต่อความเสี่ยงได้ดีขึ้น
- ลดความเสียหายที่อาจเกิดจากการโจมตีทางไซเบอร์ในระยะยาว
Power BI Workshops
ในปี 2568 บริษัทฯ ได้จัดการอบรมการใช้ Power BI สำหรับพนักงานในกลุ่ม GC Group กว่า 2 ครั้งในเดือนสิงหาคม และเดือนกันยายน โดยมุ่งเน้นให้ผู้เข้าร่วมเข้าใจการเชื่อมต่อข้อมูล การสร้างแดชบอร์ดแบบโต้ตอบ และการออกแบบ Visualization ที่ช่วยสื่อสารข้อมูลเชิงธุรกิจอย่างมีประสิทธิภาพ ผ่านการเรียนรู้และลงมือปฏิบัติจริงตลอดทั้งวัน รวมถึงมีการอบรมต่อเนื่องในโครงการ Next-Level Insights with Power BI เพื่อยกระดับทักษะ Power BI ของพนักงานสู่ระดับกลาง เน้นการใช้ Power Query DAX ขั้นสูง, และเทคนิคการออกแบบรายงานเชิงโต้ตอบ พร้อมแนวทางเผยแพร่รายงานผ่าน Power BI Service
ผลลัพธ์และประโยชน์ที่ได้รับ
- ผู้เข้าร่วมสามารถสร้างและออกแบบแดชบอร์ด Power BI ได้ด้วยตนเอง
- เข้าใจหลักการ DAX และ Data Modelling เพื่อวิเคราะห์ข้อมูลเชิงลึก
- เสริมสร้างเครือข่ายการเรียนรู้และแลกเปลี่ยนประสบการณ์ด้าน Data Analytics
GGC AI Jump Start
โครงการ GGC AI Jump Start จัดขึ้นเมื่อวันที่ 13 มิถุนายน 2025 ผ่านระบบ Microsoft Teams โดยมีวัตถุประสงค์เพื่อส่งเสริมและเร่งการนำเทคโนโลยี Artificial Intelligence (AI) มาใช้ภายในองค์กร อย่างเป็นรูปธรรม ภายใต้กรอบแนวคิด AI Adoption Framework ซึ่งครอบคลุม 3 ด้าน ได้แก่
ภายในกิจกรรมมีการบรรยายเชิงลึกและสาธิตการใช้งาน Generative AI และ Microsoft Copilot พร้อมนำเสนอแนวทางการบริหารจัดการใบอนุญาต (License Management) และกรณีศึกษาการประยุกต์ใช้ AI ในกระบวนการทำงานจริง
ผลลัพธ์และประโยชน์ที่ได้รับ
- พนักงานและหน่วยงานที่เกี่ยวข้อง จำนวนกว่า 80 คน
- เสริมสร้างความรู้ความเข้าใจเกี่ยวกับการนำ AI มาใช้ภายในองค์กรอย่างมีระบบและปลอดภัย
- ผู้เข้าร่วมสามารถมองเห็นแนวทางการประยุกต์ใช้ Generative AI และ Copilot เพื่อเพิ่มประสิทธิภาพการทำงาน
Data Storytelling Workshop
การฝึกอบรม Data Storytelling Workshop จัดขึ้นโดยมีวัตถุประสงค์เพื่อเสริมสร้างและพัฒนาทักษะการนำเสนอข้อมูลเชิงธุรกิจในรูปแบบ “Data Storytelling” ให้แก่พนักงานในเครือ GC Group เพื่อเพิ่มขีดความสามารถในการสื่อสารเชิงข้อมูลอย่างมีประสิทธิภาพ ผู้เข้าร่วมได้รับการถ่ายทอดองค์ความรู้ด้านการวิเคราะห์และตีความข้อมูลตามกรอบแนวคิด Problem–Reason–Action Framework การออกแบบแดชบอร์ดที่สามารถถ่ายทอดสาระสำคัญของข้อมูลได้อย่างชัดเจน และการปรับรูปแบบการนำเสนอให้เหมาะสมกับกลุ่มผู้มีส่วนได้ส่วนเสีย อันนำไปสู่การสร้างคุณค่าทางธุรกิจและผลกระทบเชิงกลยุทธ์ต่อองค์กร
ผลลัพธ์และประโยชน์ที่ได้รับ
- ผู้เข้าร่วมสามารถแปลงข้อมูลเชิงเทคนิคให้เป็นเรื่องราวที่เข้าใจง่ายและมีผลต่อการตัดสินใจทางธุรกิจ
- เสริมทักษะด้าน Visual Communication และ Dashboard Design เพื่อการนำเสนอข้อมูลที่มีประสิทธิภาพ
- สนับสนุนการพัฒนาแนวคิดเชิงกลยุทธ์และนวัตกรรมผ่านการใช้ข้อมูล
IT/OT Convergent
โครงการ IT/OT Convergent มีวัตถุประสงค์เพื่อบูรณาการระบบเทคโนโลยีสารสนเทศ (Information Technology: IT) และระบบเทคโนโลยีการปฏิบัติงาน (Operational Technology: OT) ให้สามารถทำงานร่วมกันได้อย่างมีประสิทธิภาพ เพื่อเพิ่มความคล่องตัวในการดำเนินงาน ยกระดับคุณภาพการตัดสินใจด้วยข้อมูลแบบทันถ่วงที ลดต้นทุนผ่านการเพิ่มประสิทธิภาพและลดเวลาหยุดชะงักของระบบ เสริมสร้างความมั่นคงปลอดภัยด้วยแนวทางการบริหารจัดการแบบรวมศูนย์ และเปิดโอกาสให้องค์กรสามารถนำนวัตกรรมและเทคโนโลยีใหม่ ๆ มาใช้ได้อย่างมีประสิทธิผล โดยแผนดำเนินงานแบ่งออกเป็นหลายระยะ ได้แก่ การวางแผนและประเมินระบบในช่วงเดือนที่ 1–2 (รวมถึงการประเมิน Cisco Security และ Palo Alto Network) การออกแบบสถาปัตยกรรมระบบและวางแผนมาตรการความปลอดภัยในช่วงเดือนที่ 3–4 (โดยอ้างอิงแนวทางจาก Gartner และ Purdue Model) และตามด้วยการนำร่องใช้งาน ปรับใช้ระบบในวงกว้าง การฝึกอบรมบุคลากร การติดตามตรวจสอบอย่างต่อเนื่อง การรวบรวมข้อเสนอแนะ และการปรับปรุงเพื่อขยายผลในระยะยาว
ทั้งนี้ โครงการยังได้กำหนดมาตรการควบคุมความปลอดภัย OT แบบ Quick Win 4 ด้าน ได้แก่
- การสร้างวัฒนธรรมด้านความปลอดภัยไซเบอร์ ผ่านการกำหนดนโยบายด้านความปลอดภัย OT (OT Security Policy)
- การประเมินความปลอดภัยทางไซเบอร์ของระบบ OT (OT Cyber Assessment)
- การทดลองใช้เซนเซอร์ตรวจจับการสั่นสะเทือน (Smart Vibration PoC) เพื่อตรวจจับความผิดปกติของอุปกรณ์เชิงป้องกัน และ
- การพิจารณาโครงการ SAM GUARD PoC สำหรับตรวจสอบและติดตามความผิดปกติในระบบ ICS/SCADA เพื่อยกระดับความสามารถในการป้องกันและตอบสนองต่อภัยคุกคามทางไซเบอร์ได้อย่างรัดกุมและมีประสิทธิภาพ รองรับการเปลี่ยนผ่านสู่ระบบดิจิทัลอย่างมั่นคงและยั่งยืนในอนาคต
ผลลัพธ์และประโยชน์ที่ได้รับ
- เพิ่มประสิทธิภาพการดำเนินงานและลดเวลาหยุดชะงัก
- เสริมความปลอดภัยระบบ OT ตามมาตรฐานสากล
- รองรับนวัตกรรมและการเปลี่ยนผ่านสู่ดิจิทัล
Supplier risk explorer
Supplier Risk Explorer เป็นเครื่องมือบริหารความเสี่ยงเชิงกลยุทธ์ภายในกลุ่ม GC/GGC ที่ใช้ในการติดตาม ป้องกัน และลดความเสี่ยงจากคู่ค้าอย่างเป็นระบบ โดยมีการตรวจสอบตัวชี้วัดความเสี่ยงและการปฏิบัติตามข้อกำหนดอย่างต่อเนื่อง รวมถึงการบล็อกอีเมล/โดเมนที่มีความเสี่ยงสูง เพื่อยกระดับความปลอดภัยด้านการสื่อสาร และมีการเทียบเคียงสถานะความเสี่ยงกับกลุ่ม PTT/GC เพื่อยึดแนวปฏิบัติที่ดีที่สุด
ในส่วนของ การสำรวจความมั่นคงปลอดภัยไซเบอร์ประจำปี 2568 ตลาดหลักทรัพย์แห่งประเทศไทยประกาศเลื่อนการสำรวจอย่างเป็นทางการ เพื่อให้บริษัทจดทะเบียนมีเวลานำข้อเสนอแนะจากปี 2567 ไปดำเนินการอย่างรอบด้าน โดยหากจะมีการสำรวจอีกครั้งในปี 2569 จะมีประกาศแจ้งให้ทราบล่วงหน้า การสำรวจดังกล่าวเป็นส่วนหนึ่งของโครงการเสริมสร้างความมั่นคงปลอดภัยไซเบอร์ ซึ่งรวมถึงการนำกรอบ NIST มาใช้ การเข้าร่วมโครงการของกลุ่ม ปตท. และการรณรงค์สร้างความตระหนักรู้ด้านฟิชชิ่งภายในองค์กร.
ผลลัพธ์และประโยชน์ที่ได้รับ
- ลดความเสี่ยงจากคู่ค้าผ่านการติดตามและวิเคราะห์เชิงรุก
- ยกระดับความปลอดภัยด้านไซเบอร์และการสื่อสารในองค์กร
- สอดคล้องกับแนวปฏิบัติของกลุ่ม PTT/GC เพื่อเพิ่มความยืดหยุ่นและความมั่นคงของระบบ
กระบวนการรายงานพฤติกรรม หรือเหตุการณ์ที่บ่งชี้ถึงการโจมตีทางไซเบอร์ และเหตุการ์ที่ข้อมูลรั่วไหล
บริษัทฯ ได้กำหนดแนวทางการรายงานเหตุการณ์ ช่องโหว่ หรือกิจกรรมที่น่าสงสัย รวมถึงการแจ้งเตือนเกี่ยวกับอีเมลฟิชชิง (Phishing Email) โดยกระบวนการรายงานจะเริ่มต้นทันทีเมื่อผู้ใช้หรือพนักงานพบเห็นเหตุการณ์ดังกล่าว และการตอบสนองต่อเหตุการณ์เหล่านี้จะดำเนินไปตามขั้นตอนที่กำหนดไว้ด้านล่าง
รายงานพนักงานเกี่ยวกับ phishing email
- ผู้ใช้พบ phishing email และรายงานไปยังฝ่ายบริการ
ทีม SOC ตรวจสอบเหตุการณ์
- Service Desk ส่งต่อรายงานไปยังทีม SOC
- ทีม SOC พิจารณาระดับความรุนแรง: ความรุนแรงต่ำ และ ความรุนแรงสูง (ส่งต่อไปยังผู้จัดการ SOC และทีมรักษาความปลอดภัย TF-IT)
ทีม SOC ประสานงานการบรรเทาผลกระทบ
- ทีม SOC จัดทำแผนบรรเทาผลกระทบ
- ผู้จัดการ SOC แจ้งทีมสื่อสารว่าเกิดกิจกรรม Phishing
ผลลัพธ์การตรวจสอบความปลอดภัย TF-IT
- หลังจากการลดผลกระทบเสร็จสิ้น TF-IT จะประเมินผลลัพธ์และยืนยันความเสถียรของระบบ
รายงานสรุปขั้นสุดท้ายของ SOC + TF-IT
- เมื่อสถานการณ์กลับสู่ภาวะปกติ ทีมรักษาความปลอดภัย SOC และ TF-IT จะจัดทำรายงาน
- ทีมสื่อสารแจ้งองค์กรว่าปัญหาได้รับการแก้ไขแล้ว
ในปี 2568 มีพนักงานจำนวน 277 คนเข้าร่วมการทดสอบ โดยพบว่ามีพนักงานกดรายงาน Phishing ได้ถูกต้องจำนวน 107 คน คิดเป็นร้อยละ 40.3 ของผู้เข้าร่วมทั้งหมด มีพนักงานที่ตกเป็นเหยื่อของอีเมลฟิชชิง หรือคิดเป็น 4.9% ของพนักงานทั้งหมด
นโยบายปัญญาประดิษฐ์ (AI Policy)
บริษัทฯ กำหนดนโยบายปัญญาประดิษฐ์ (AI Policy) ขึ้นเพื่อวางกรอบการใช้และพัฒนาปัญญาประดิษฐ์ อย่างมีจริยธรรมและยั่งยืน ครอบคลุม 6 หลักการสำคัญ ได้แก่ ความสามารถในการแข่งขันและการพัฒนาอย่างยั่งยืน, ความสอดคล้องกับกฎหมาย จริยธรรม และมาตรฐานสากล, ความโปร่งใสและความรับผิดชอบ, ความมั่นคงปลอดภัยและความเป็นส่วนตัว, ความเป็นธรรม และความน่าเชื่อถือ นโยบายนี้มีผลบังคับใช้กับบุคลากรทุกคน รวมถึงผู้รับเหมา คู่ค้า และผู้ร่วมงานทุกราย โดยมีผลตั้งแต่เดือนพฤษภาคม 2568
แนวปฏิบัติการใช้ปัญญาประดิษฐ์ (Responsible AI Program)
บริษัทฯ มีแนวทางการดำเนินโครงการต่างๆเพื่อส่งเสริมการใช้ปัญญาประดิษฐ์หรือ AI ในการทำงานอย่างเป็นรูปธรรมผ่านหลายมิติ ทั้งด้านการฝึกอบรม การกำกับดูแลคุณภาพ ความเป็นธรรม และการลดผลกระทบต่อสิ่งแวดล้อม เพื่อให้พนักงานและผู้ที่เกี่ยวข้องสามารถใช้ AI ได้อย่างถูกต้อง ปลอดภัยและมีคุณภาพ
1. การจำกัดการเข้าถึงความสามารถ AI ที่มีความละเอียดอ่อน
2. การติดป้ายกำกับเนื้อหาที่สร้างโดย AI อย่างชัดเจน
3. การติดตามและปรับปรุงคุณภาพ AI อย่างต่อเนื่อง
4. การประเมินความเป็นธรรมของ AI
ทุกระบบปัญญาประดิษฐ์ที่บริษัทฯ นำมาใช้งานต้องผ่านกระบวนการ Proof of Concept (POC) ในสภาพแวดล้อมที่ไม่ใช่ Production ก่อน เพื่อทดสอบและตรวจสอบความถูกต้อง ความเป็นธรรม และความสอดคล้องกับนโยบายของบริษัทฯ โดยเริ่มจาก Use Case ขนาดเล็ก อาทิ Salesforce Q&A, ServiceNow Incident Approval และ HR Policy Assistant ก่อนขยายผลในวงกว้าง นอกจากนี้การใช้งานของปัญญาประดิษฐ์ ภายในกลุ่มบริษัทฯ มีการอ้างอิงฐานข้อมูลจากข้อมูลภายในองค์กร (Closed Knowledge Scope) และการใช้หลักการ retrieval-based approach (RAG-like concept) โดย Data Owner มีหน้าที่ความรับผิดชอบในการอัพเดทข้อมูล (Data Quality Control) และปรับปรุง knowledge source ให้ทันสมัยอย่างต่อเนื่อง
นอกจากนี้ Artemis ซึ่งเป็นระบบปัญญาประดิษฐ์ ของกลุ่ม GC ที่ GGC ใช้งานร่วมด้วย มีกลไกให้ผู้ใช้งานสามารถ Feedback ผลลัพธ์ของ AI ได้โดยตรงว่าคำตอบที่ได้รับมีความถูกต้องและเป็นประโยชน์เพียงใด ซึ่ง Feedback เหล่านี้จะถูกนำไปใช้ในการปรับปรุง และตรวจสอบความเป็นธรรมของผลลัพธ์จากปัญญาประดิษฐ์ อย่างต่อเนื่อง
5. การลดผลกระทบต่อสิ่งแวดล้อมจาก AI
บริษัทฯ ดำเนินงานโครงสร้างพื้นฐานของปัญญาประดิษฐ์ บน Microsoft Azure ซึ่งเป็นผู้ให้บริการ Cloud ที่มีนโยบายด้านความยั่งยืนและความรับผิดชอบต่อสิ่งแวดล้อมที่ชัดเจน สอดคล้องกับพันธสัญญาของ Microsoft ที่มุ่งสู่การเป็นองค์กรที่มีค่าคาร์บอนติดลบภายในปี 2573 ทำให้บริษัทฯ มั่นใจได้ว่า Ecological Footprint จากการใช้งาน AI อยู่ในระดับที่เหมาะสม
อ้างอิงข้อมูลจาก Microsoft
Microsoft Sustainable Desgin: Innovating for energy efficiency in AI Part I https://blogs.microsoft.com/blog/2024/04/02/sustainable-by-design-advancing-the-sustainability-of-ai/
6. ช่องทางการร้องเรียนและโต้แย้งผลลัพธ์จาก AIช่องทางการร้องเรียนและโต้แย้งผลลัพธ์จาก AI
7. Quantitative of the impact of การวัดผลกระทบของ AI ต่อเป้าหมายด้านความยั่งยืน
8. การฝึกอบรมและสร้างความตระหนักรู้ด้านปัญญาประดิษฐ์
บริษัทฯ ดำเนินโครงการสร้างความตระหนักรู้ด้านข้อมูลทางด้านไอที และปัญญาประดิษฐ์ แก่บุคลากรทุกระดับ ครอบคลุมความรู้ด้านการใช้ปัญญาประดิษฐ์อย่างมีจริยธรรม ข้อปฏิบัติภายใต้ PDPA และความเสี่ยงจากการใช้ Public AI Tools ในการทำงาน โดยสื่อสารแนวทางปฏิบัติที่ชัดเจนในรูปแบบ "Do Less / Do Now / Do More" เพื่อให้บุคลากรสามารถนำไปปฏิบัติได้ทันที โครงการนี้เป็นส่วนหนึ่งของแผนงาน Data Loss Prevention (DLP) Roadmap to Resilience ของบริษัทฯ นอกจากนี้การอบรมยังได้กล่าวถึงการใช้งานปัญญาประดิษฐ์อย่างมีความรับผิดชอบต่อสังคม คำนึงถึงความสามารถในการใช้งานปัญญาประดิษฐ์อย่างถูกต้อง และมีความเข้าอกเข้าใจ (Empathy) และเข้าใจบริบททางสังคม และไม่ใช้ปัญญาประดิษฐ์ในการเอาเปรียบผู้อื่น
Remark: แผนภาพเกิดจากการใช้ปัญญาประดิษฐ์