Western University · IT Policy · ร่างเพื่อพิจารณา · จัดทำ 27 ต.ค. 2569 · Word

นโยบายและแนวปฏิบัติในการรักษาความมั่นคงปลอดภัยด้านสารสนเทศและไซเบอร์ พ.ศ. 2569–2573

ฉบับปรับปรุงจากนโยบาย พ.ศ. 2555–2559 ของศูนย์คอมพิวเตอร์ — คงโครงสร้าง 9 ส่วนเดิม ปรับให้ตรงเครือข่ายสามวิทยาเขต และเพิ่ม 7 ส่วนใหม่

ISO/IEC 27001:2022NIST CSF 2.0PDPA 2562พ.ร.บ.ไซเบอร์ 2562ITGCร่าง

Next Step · ที่รักยืนยัน 3 ข้อก่อนส่งร่าง

ร่าง Word ส่งให้ที่รักแล้ว 27/10 — ดาวน์โหลดได้ที่การ์ด Source files ด้านล่าง

•กฎหมายใหม่มีผลแล้ว: พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และ พ.ร.บ.การรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562
•มหาวิทยาลัยพัฒนาแพลตฟอร์ม Helix 37 ระบบ รวมระบบคลินิกที่เก็บข้อมูลสุขภาพ
•ภัยเปลี่ยนไป — มัลแวร์เรียกค่าไถ่และการขโมยบัญชี ต้องป้องกันด้วย MFA, ข้อมูลสำรองที่แก้ไขไม่ได้, รวม Log ที่ศูนย์กลาง

อ้างอิง ISO/IEC 27001:2022 และ NIST CSF 2.0 · ใช้ประกอบการตรวจ IT General Controls ของผู้สอบบัญชี

เรื่อง	ฉบับ 2555	ฉบับ 2569
รหัสผ่าน	เปลี่ยนทุก 90 วัน	ยาว ≥ 12 ตัวอักษร + MFA เปลี่ยนเมื่อมีเหตุ
บันทึก Log	เก็บอย่างน้อย 3 เดือน	เก็บ 90 วันตามกฎหมาย รวมที่ SIEM พร้อมแจ้งเตือน
สำรองข้อมูล	Full / Incremental ซ้อมปีละครั้ง	หลัก 3-2-1 มีชุดที่แก้ไขไม่ได้ กำหนด RTO/RPO ทดสอบรายไตรมาส
อินเทอร์เน็ต	วงจรเช่า TOT 100/50 Mbps	2 ผู้ให้บริการที่ Data Center (UIH, CS LoxInfo)
ทบทวนสิทธิ์	ทุก 6 เดือน/ปี	ทุก 6 เดือน · บัญชีสิทธิ์สูงทุก 3 เดือน
ข้อมูลส่วนบุคคล	ไม่มี	ส่วนที่ 13 ตาม PDPA รวมข้อมูลสุขภาพมาตรา 26
เหตุการณ์ไซเบอร์	ไม่มี	ส่วนที่ 15 ทีม CSIRT ขั้นตอนและการรายงานตามกฎหมาย

•ส่วนที่ 1–9 (ปรับปรุงจากเดิม): ห้องควบคุมระบบ · การเข้าถึงระบบปฏิบัติการ · ระบบสารสนเทศและเครือข่าย · เครือข่ายไร้สาย · บริหารสิทธิ์ผู้ใช้ · หน้าที่ผู้ใช้ · อินเทอร์เน็ต · อีเมล · สำรองข้อมูลและกู้คืน
•ส่วนที่ 10–16 (ใหม่): มัลแวร์และอุปกรณ์ปลายทาง · การพัฒนาระบบและรหัสลับ · ช่องโหว่และแพตช์ · ข้อมูลส่วนบุคคล (PDPA รวมข้อมูลสุขภาพ ม.26) · ผู้ให้บริการภายนอก · เหตุการณ์ไซเบอร์ (CSIRT) · การอบรม

ขอบเขต: วิทยาเขตวัชรพล (Data Center หลัก) · กาญจนบุรี · บุรีรัมย์