# NCSA Website Security Standard 2568 (WSS) - Quick Self-Assessment Tool by STH

> เครื่องมือประเมินความเสี่ยงและรายการตรวจสอบ (Self-Assessment Checklist) ตามประกาศคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (NCSA / สกมช.) เรื่อง **"มาตรฐานการรักษาความมั่นคงปลอดภัยสำหรับเว็บไซต์ พ.ศ. ๒๕๖๘"** โดย บริษัท สยามถนัดแฮก จำกัด (STH)

- **URL:** https://wss.sth.sh/
- **ผู้พัฒนาและเผยแพร่:** Siam Thanat Hack Co., Ltd. (STH) (https://sth.sh)
- **ติดต่อ:** pentest@sth.sh | LINE: @siamthanathack
- **เอกสารอ้างอิงราชกิจจานุเบกษา:** เล่ม 142 ตอนพิเศษ 305 ง ลงวันที่ 16 กันยายน 2568
- **ดาวน์โหลดเอกสารต้นฉบับ:** https://wss.sth.sh/assets/NCSA_Website_Security_Standard_2568.pdf

---

## 1. ข้อมูลสำคัญและผลบังคับใช้ (Key Highlights)

1. **หน่วยงานที่บังคับใช้:**
   - หน่วยงานของรัฐ (Government Agencies)
   - หน่วยงานควบคุมหรือกำกับดูแล (Regulators)
   - หน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ (Critical Information Infrastructure - CII)
   - *ส่งเสริมให้ใช้:* หน่วยงานภาคเอกชนทั่วไป
2. **ขอบเขตระบบ:**
   - ครอบคลุมเว็บไซต์ทุกรูปแบบ: ติดตั้งภายในองค์กร (On-Premises), บริการคลาวด์ (Cloud Service), หรือบริการเว็บโฮสติ้ง (Web Hosting)
3. **กำหนดการบังคับใช้:**
   - พ้นกำหนด 1 ปีนับแต่วันประกาศราชกิจจานุเบกษา (เริ่มมีผลบังคับใช้ 16 กันยายน 2569)
   - หน่วยงานภาครัฐจำเป็นต้องระบุข้อกำหนดนี้ในข้อกำหนดขอบเขตงาน (TOR) สำหรับการจัดซื้อจัดจ้างพัฒนาระบบเว็บไซต์
4. **รอบการประเมินและการรายงาน:**
   - ต้องดำเนินการประเมินตนเอง (Self-Assessment) อย่างน้อย **ปีละ 1 ครั้ง** โดยใช้แบบฟอร์ม **ค๑**
   - ประเมินระดับผลกระทบ (ต่ำ / ปานกลาง / สูง)
   - **ระดับผลกระทบต่ำ / ปานกลาง:** จัดทำแบบฟอร์ม ค๑ เสนอผู้บริหารสูงสุดของหน่วยงาน และจัดเก็บไว้พร้อมรับการตรวจสอบ
   - **ระดับผลกระทบสูง:** จัดทำแบบฟอร์ม ค๑ เสนอผู้บริหารสูงสุด ส่งหน่วยงานกำกับดูแล และส่งสำเนาให้ สกมช.
   - หากยังไม่สอดคล้องตามมาตรฐาน ต้องจัดทำแผนการปรับปรุงแก้ไขในแบบฟอร์ม **ค๒**

---

## 2. โครงสร้างมาตรฐาน 2 องค์ประกอบหลัก

### ส่วนที่ 1: การกำกับดูแลความมั่นคงปลอดภัยสำหรับเว็บไซต์ (Website Security Governance - ข้อ ๕)
อ้างอิง NIST CSF 2.0 (GV - Govern) และ CIS Controls v8.1

- **5.1 บริบทขององค์กร (Organizational Context):**
  - ข้อ 5.1.1 (จะต้อง): ทำความเข้าใจสถานการณ์และบริบทขององค์กร เพื่อประกอบการตัดสินใจจัดการความเสี่ยง
- **5.2 นโยบายความมั่นคงปลอดภัย (Security Policy):**
  - ข้อ 5.2.1 (จะต้อง): กำหนดนโยบายความมั่นคงปลอดภัยสำหรับเว็บไซต์ที่ได้รับการอนุมัติจากผู้บริหาร มีการสื่อสารและบังคับใช้อย่างเป็นทางการ
- **5.3 การบริหารความเสี่ยง (Risk Management):**
  - ข้อ 5.3.1 (จะต้อง): กำหนดวัตถุประสงค์และจัดทำกรอบการบริหารความเสี่ยง (Risk Management Framework) เป็นลายลักษณ์อักษร พร้อมจัดทำทะเบียนความเสี่ยง (Risk Register)
- **5.4 โครงสร้างบทบาทหน้าที่ (Roles & Responsibilities):**
  - ข้อ 5.4.1 (จะต้อง): จัดโครงสร้างองค์กรให้มีการถ่วงดุล กำหนดบทบาท หน้าที่ และการแบ่งแยกหน้าที่สำคัญ (Segregation of Duties - SoD)
- **5.5 การสำรองข้อมูล (Data Backup):**
  - ข้อ 5.6.8 (จะต้อง): กำหนดแนวทางในการสำรองข้อมูล (Backup) เพื่อลดผลกระทบจากภัยคุกคาม พร้อมทดสอบกู้คืน
- **5.6 การจัดการข้อมูลจราจร (Log Management):**
  - ข้อ 5.6.9 (จะต้อง): จัดการและจัดเก็บข้อมูลจราจรทางคอมพิวเตอร์ (Log Management) ให้สอดคล้องตาม พ.ร.บ. ว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ฯ (เก็บไม่น้อยกว่า 90 วัน มีการซิงค์เวลา NTP และป้องกันการแก้ไข)

---

### ส่วนที่ 2: การดำเนินการด้านความมั่นคงปลอดภัยสำหรับเว็บไซต์ (Website Security Operation - ข้อ ๖)
ครอบคลุม 5 ฟังก์ชัน: Identify, Protect, Detect, Respond, Recover

#### 2.1 การระบุ (Website Security Identification - ข้อ 6.1)
- **ข้อ 6.1.1 (ควรจะ):** การจัดการผู้ให้บริการภายนอก (Third-Party / Vendor Management) กำหนดข้อกำหนดความมั่นคงปลอดภัยในสัญญาและ SLA
- **ข้อ 6.1.1 (จะต้อง):** การประเมินช่องโหว่ (Vulnerability Assessment - VA) ครอบคลุมการให้บริการเว็บไซต์อย่างสม่ำเสมอ
- **ข้อ 6.1.1 (ควรจะ):** ดำเนินการทดสอบเจาะระบบ (Penetration Testing) โดยผู้เชี่ยวชาญอิสระอย่างน้อยปีละ 1 ครั้ง
- **ข้อ 6.1.1 (จะต้อง):** จัดทำทะเบียนทรัพย์สิน (Asset Inventory) ของระบบเว็บไซต์และเซิร์ฟเวอร์ และทบทวนอย่างน้อยปีละ 1 ครั้ง

#### 2.2 การป้องกัน (Website Security Protection - ข้อ 6.2)
- **ข้อ 6.2.1 (จะต้อง):** กำหนดแนวทางการพัฒนาเว็บแอปพลิเคชันอย่างมั่นคงปลอดภัย (Secure SDLC / DevSecOps)
- **ข้อ 6.2.2 (จะต้อง):** ป้องกันความเสี่ยงตามแนวทาง OWASP Top 10 (Injection, Broken Authentication, Sensitive Data Exposure, ฯลฯ)
- **ข้อ 6.2.4 (จะต้อง):** ควบคุมการเข้าถึงตามสิทธิ์ (Role-Based Access Control - RBAC) และยึดหลักสิทธิ์น้อยที่สุด (Least Privilege)
- **ข้อ 6.2.5 (จะต้อง):** บังคับใช้การพิสูจน์ตัวตนแบบหลายปัจจัย (Multi-Factor Authentication - MFA) หรือ Digital ID สำหรับผู้ดูแลระบบ
- **ข้อ 6.2.6 (จะต้อง):** ตั้งค่าความปลอดภัยพื้นฐานของระบบปฏิบัติการ เว็บเซิร์ฟเวอร์ และฐานข้อมูล (Hardening ตาม CIS Benchmark / NIST SP 800-123)
- **ข้อ 6.2.6 / 6.1.1 (จะต้อง):** บริหารจัดการและอัปเดตแพตช์ความปลอดภัย (Patch Management) อย่างสม่ำเสมอ
- **ข้อ 6.2.7 (จะต้อง):** ใช้การเข้ารหัส TLS Cipher Suite ที่ปลอดภัย ปิดโปรโตคอลเก่า (TLS 1.0/1.1) และจัดการ Secret/API Keys/Certificate อย่างปลอดภัย
- **ข้อ 6.2.8 / 6.2.3 (จะต้อง):** ตั้งค่าไฟร์วอลล์และพิจารณาติดตั้ง Web Application Firewall (WAF) หรือ Reverse Proxy

#### 2.3 การตรวจจับ (Website Security Detection - ข้อ 6.3)
- **ข้อ 6.3.1 (จะต้อง):** ตรวจสอบและเฝ้าระวังภัยคุกคาม (Security Monitoring) พร้อมตั้งค่าแจ้งเตือน Log และค่าสถิติผิดปกติ
- **ข้อ 6.3.1 (อาจจะ):** ติดตั้งระบบตรวจจับและป้องกันการบุกรุก (IDS / IPS)

#### 2.4 การตอบสนอง (Website Security Response - ข้อ 6.4)
- **ข้อ 6.4.1 (จะต้อง):** จัดทำแผนรับมือเหตุการณ์ภัยคุกคามไซเบอร์ (Incident Response Plan - IRP) มีการสื่อสาร ทบทวน และซักซ้อม
- **ข้อ 6.4.1 (ควรจะ):** จัดทำคู่มือปฏิบัติการรับมือภัยคุกคามเฉพาะกรณี (Incident Playbooks) เช่น เว็บไซต์ถูกเปลี่ยนแปลงข้อมูล (Defacement), ข้อมูลรั่วไหล หรือ Ransomware

#### 2.5 การฟื้นฟู (Website Recovery - ข้อ 6.5)
- **ข้อ 6.5.1 (จะต้อง):** จัดทำแผนความต่อเนื่องทางธุรกิจ (Business Continuity Plan - BCP / DRP) และฝึกซ้อมอย่างน้อยปีละ 1 ครั้ง
- **ข้อ 6.5.1 (ควรจะ):** จัดเตรียมสภาพแวดล้อมระบบสำรอง (Disaster Recovery Site) ที่พร้อมใช้งาน
- **ข้อ 6.5.1 (อาจจะ):** จัดเก็บข้อมูลสำรองแบบป้องกันการแก้ไข (Immutable / Offline Backup) เพื่อป้องกันมัลแวร์เรียกค่าไถ่

---

## 3. กรอบมาตรฐานสากลที่เทียบเคียง (International Alignment)
- **NIST CSF 2.0:** กรอบการทำงานด้านความปลอดภัยสารสนเทศ (GV, ID, PR, DE, RS, RC)
- **CIS Controls v8.1:** รายการตรวจสอบด้านเทคนิคและการตั้งค่าความมั่นคงปลอดภัย (Safeguards)
- **OWASP ASVS 5.0:** มาตรฐานการตรวจสอบความมั่นคงปลอดภัยของแอปพลิเคชันเว็บ (Application Security Verification Standard)

---

## 4. เครื่องมือและฟังก์ชันบน wss.sth.sh
1. **Interactive Checklist:** ระบบประเมิน 25 ข้อกำหนด กรองตามระดับ (จะต้อง, ควรจะ, อาจจะ) และบันทึกผลลง LocalStorage อัตโนมัติ
2. **Knowledge Quiz:** แบบทดสอบความรู้ 10 ข้อ พร้อมคำอธิบายเฉลยและเกณฑ์มาตรฐาน
3. **PDF Viewer:** ระบบเปิดอ่านและดาวน์โหลดเอกสารประกาศฉบับทางการ พร้อมปุ่มลัดไปยังหมวดสำคัญและฟอร์ม ค๑ / ค๒
4. **Report Generator:** ฟังก์ชันสรุปรายการที่ต้องปรับปรุงและสร้างรายงานสรุปผลการประเมิน (Print to PDF)