เทียบกฎระเบียบไซเบอร์ ASEAN: BOT vs MAS vs BNM vs BSP

ฟินเทคที่ขยายธุรกิจข้ามเอเชียตะวันออกเฉียงใต้ต้องเผชิญกับเครือข่ายหน่วยงานกำกับดูแลที่หลากหลาย ซึ่งแต่ละแห่งต่างมีลำดับความสำคัญ กรอบเวลา และนิยามเฉพาะตัว สิ่งที่ผ่านการตรวจรับรองของธนาคารกลางสิงคโปร์ (MAS) อาจยังมีช่องโหว่ภายใต้การกำกับดูแลของธนาคารกลางฟิลิปปินส์ (BSP) หรือสภาพแวดล้อมการควบคุมที่ออกแบบมาเพื่อธนาคารกลางมาเลเซีย (BNM) อาจไม่ผ่านการประเมินของผู้ตรวจสอบธนาคารแห่งประเทศไทย (ธปท.) หากไม่มีการปรับแก้โครงสร้างอย่างมีนัยสำคัญ

ประเด็นนี้ไม่ใช่เรื่องทฤษฎี เราเคยเห็นองค์กรพบกลางกระบวนการตรวจสอบว่า ระยะเวลาการจัดเก็บ Log ที่ตนเองทำไว้นั้นผ่านเกณฑ์ของหน่วยงานแห่งหนึ่งแต่ไม่ผ่านเกณฑ์ของอีกแห่งหนึ่ง เราเคยเห็นทีมงานกำกับดูแลสร้างฝ่ายเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) ที่ตรงตามความคาดหวังของ MAS แต่กลับพบในภายหลังว่า BSP ต้องการคุณสมบัติที่แตกต่างกัน ความผิดพลาดเหล่านี้สร้างความเสียหายสูง และเกิดขึ้นจากการสันนิษฐานเอาเองว่า “กฎระเบียบของเอเชีย” สามารถใช้แทนกันได้

ซึ่งในความเป็นจริงแล้วไม่ใช่เลย

เปรียบเทียบสี่หน่วยงานกำกับดูแลหลัก #

จุดที่ข้อกำหนดมีความขัดแย้งกัน #

การเก็บรักษา Log: กับดักสามปี #

ข้อแตกต่างข้ามเขตอำนาจศาลที่พบบ่อยที่สุดคือระยะเวลาการเก็บรักษา Log องค์กรที่สร้างโครงสร้างพื้นฐานการจัดเก็บ Log ตามข้อกำหนด 1 ปีของ ธปท. จะไม่ผ่านการตรวจประเมินของ BSP ที่กำหนดให้เก็บ Security-Relevant Log นาน 3 ปี ผลกระทบด้านต้นทุนไม่ได้เพิ่มขึ้นแบบเส้นตรง: การดูแลระบบค้นหา Log ขนาดใหญ่ 3 ปีต้องการสถาปัตยกรรมที่แตกต่างอย่างสิ้นเชิงจากการเก็บถาวร 1 ปีแล้วลบทิ้ง

ในทำนองเดียวกัน องค์กรที่ออกแบบตามข้อกำหนด 3 ปีของ BSP อาจลงทุนเกินความจำเป็นสำหรับสิงคโปร์ ซึ่งเน้นการจัดเก็บ บันทึกธุรกรรม 5 ปี ภายใต้ MAS Notice 826 ขณะที่ System Log ให้ใช้แนวทางตามฐานความเสี่ยง (Risk-Based Approach) ไม่ใช่การกำหนดระยะเวลาคงที่

คำแนะนำเชิงปฏิบัติ: ออกแบบสถาปัตยกรรมการจัดเก็บ Log ตามระยะเวลาที่ยาวที่สุดในบรรดาประเทศที่คุณดำเนินธุรกิจ การทำให้สอดคล้องกับหน่วยงานที่เข้มงวดที่สุดตั้งแต่แรก ประหยัดกว่าการต้องมารื้อระบบแก้ภายหลังอย่างมาก

เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO): ใครเป็นผู้ปฏิบัติงาน #

กฎหมายคุ้มครองข้อมูลส่วนบุคคลของมาเลเซียระบุชัดเจนว่า DPO ต้องเป็นพลเมืองมาเลเซียหรือผู้มีถิ่นที่อยู่ถาวร (มาตรา 12, Personal Data Protection Act 2010) ขณะที่ PDPA ของไทยไม่ได้มีข้อกำหนดเรื่องสัญชาติไว้อย่างชัดเจน แต่ในทางปฏิบัติ การตรวจสอบของ ธปท. มักดำเนินการเป็นภาษาไทยและคาดหวังคำตอบที่แสดงความเข้าใจในบริบทกฎหมายท้องถิ่น ซึ่งสร้างความต้องการบุคลากรที่สื่อสารภาษาไทยได้ดีไปโดยปริยาย

สิงคโปร์ใช้แนวทางอิงหลักการ (Principles-Based): MAS TRM Guidelines กำหนดให้คณะกรรมการต้องรับผิดชอบต่อความเสี่ยงด้านเทคโนโลยี แต่ไม่ได้ระบุคุณสมบัติเฉพาะของ DPO ส่วนฟิลิปปินส์ BSP Circular 1105 กำหนดให้ต้องมี Chief Information Security Officer หรือเทียบเท่า แต่ไม่ได้จำกัดเรื่องสัญชาติ

สำหรับองค์กรระดับภูมิภาค นั่นหมายความว่า:

• DPO ระดับกลุ่มบริษัทที่ประจำอยู่ในสิงคโปร์อาจไม่ผ่านข้อกำหนดของมาเลเซีย
• DPO สัญชาติไทยอาจมีข้อจำกัดด้านการสื่อสารในการรายงานต่อ MAS
• ฟิลิปปินส์อาจยอมรับผู้บริหารระดับภูมิภาคที่มีการมอบอำนาจอย่างเป็นทางการแก่ทีมงานท้องถิ่น

คำแนะนำเชิงปฏิบัติ: จัดทำผังข้อกำหนด DPO ก่อนวางโครงสร้างทีมกำกับดูแลระดับภูมิภาค ในหลายกรณี การแต่งตั้งตัวแทนท้องถิ่นที่รายงานตรงต่อหัวหน้าฝ่ายภูมิภาคสามารถตอบโจทย์ได้ทั้งการกำกับดูแลจากศูนย์กลางและความคาดหวังของหน่วยงานท้องถิ่น

การแจ้งเตือนเหตุการณ์ข้อมูลรั่วไหล: ความเร็วที่ต่างกันอย่างมาก #

กรอบเวลาในการแจ้งเตือนมีตั้งแต่ 1 ชั่วโมง (เหตุการณ์ร้ายแรงตามเกณฑ์ของ MAS) ไปจนถึง 72 ชั่วโมง (ตาม PDPA ของไทยสำหรับบุคคลที่ได้รับผลกระทบ) นี่ไม่ใช่ความแตกต่างเล็กน้อย: กระบวนการตอบสนองที่ออกแบบไว้สำหรับ 24 ชั่วโมงของ ธปท. จะพลาดกำหนดเวลา 1 ชั่วโมงของ MAS ทันทีหากเกิดเหตุร้ายแรงนอกเวลาทำการ

ตารางข้างต้นแสดงให้เห็นว่าเหตุใดแผนการตอบสนองต่อเหตุการณ์ฉุกเฉินจึงต้องตระหนักถึงข้อบังคับเฉพาะของแต่ละประเทศ การเกิด Ransomware ในเหตุการณ์เดียวกันจะเริ่มนับเวลาแตกต่างกัน ขึ้นอยู่กับว่านิติบุคคลใดเป็นผู้ตรวจพบ และหน่วยงานกำกับดูแลแห่งใดเป็นผู้ดูแลระบบที่ได้รับผลกระทบ

จุดที่สามารถผสานให้สอดคล้องกันได้ #

แม้จะมีข้อแตกต่าง แต่ทั้งสี่หน่วยงานกำกับดูแลล้วนมีความคาดหวังร่วมกันในเรื่องต่อไปนี้:

• ความรับผิดชอบระดับคณะกรรมการ ต่อความเสี่ยงด้านเทคโนโลยี โดยมีโครงสร้างการกำกับดูแลที่จัดทำเป็นเอกสารชัดเจน
• การทดสอบเจาะระบบอย่างสม่ำเสมอ สำหรับระบบที่เปิดสู่สาธารณะและระบบภายในที่มีความสำคัญ
• โปรแกรมการบริหารจัดการช่องโหว่ พร้อมกรอบเวลาในการแก้ไขตามระดับความรุนแรง
• กรอบการควบคุมการเข้าถึงระบบ โดยใช้หลักการกำหนดสิทธิ์เท่าที่จำเป็น (Least Privilege) และการแบ่งแยกหน้าที่ (Segregation of Duties)
• แผนเผชิญเหตุด้านความมั่นคงปลอดภัย ที่ได้รับการบันทึกเป็นลายลักษณ์อักษร ผ่านการทดสอบ และมีการปรับปรุงให้ทันสมัยอยู่เสมอ
• การบริหารจัดการความเสี่ยงจากผู้ให้บริการภายนอก ครอบคลุมคู่ค้าที่สามารถเข้าถึงข้อมูลหรือระบบสำคัญ

สภาพแวดล้อมการควบคุมที่ออกแบบมาอย่างดีสามารถตอบสนองหลายหน่วยงานกำกับดูแลได้พร้อมกัน หัวใจสำคัญคือการออกแบบมาตรการควบคุมตามข้อกำหนดที่ เข้มงวดที่สุด แล้วบันทึกเอกสารแสดงให้เห็นว่ามาตรการนั้นตอบโจทย์เฉพาะของแต่ละหน่วยงานอย่างไร

ตัวอย่างเช่น โปรแกรมการจัดการช่องโหว่ที่มีขั้นตอนการแก้ไขช่องโหว่ระดับวิกฤตภายใน 72 ชั่วโมง จะครอบคลุมเกินความคาดหวังของทุกหน่วยงาน การจัดทำเอกสารกรอบเวลานี้เพียงครั้งเดียวจะสามารถใช้ตอบข้อกำหนดของทั้ง ธปท., MAS, BNM และ BSP ได้โดยไม่ต้องปรับเปลี่ยนเพิ่มเติม

แหล่งอ้างอิงและเอกสารสำคัญ #

• แนวปฏิบัติการบริหารความเสี่ยงด้าน IT ของธนาคารแห่งประเทศไทย
• ประกาศ ธปท. เรื่องการให้บริการทางการเงินผ่านช่องทางดิจิทัล
• MAS Technology Risk Management Guidelines
• MAS Notice on Cyber Hygiene
• MAS Notice 826: การป้องกันการฟอกเงินและการต่อต้านการสนับสนุนทางการเงินแก่การก่อการร้าย
• BNM Risk Management in Technology (RMiT)
• BSP Memorandum M-2020-022: Information Technology Risk Management Framework
• BSP Circular 1105: Enhanced Corporate Governance Guidelines
• พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA)
• Singapore Personal Data Protection Act
• Malaysia Personal Data Protection Act
• Philippines Data Privacy Act

ช่องว่างในการบังคับใช้กฎหมายจริง #

ข้อกำหนดตามกฎหมายเป็นเรื่องหนึ่ง แต่ความเข้มข้นในการบังคับใช้จริงเป็นอีกเรื่องหนึ่ง การเข้าใจช่องว่างนี้จะช่วยจัดลำดับความสำคัญในการลงทุนด้านการปฏิบัติตามมาตรฐานได้อย่างมีประสิทธิภาพ

MAS ได้รับการยอมรับว่าเป็นหน่วยงานที่มีความเชี่ยวชาญเชิงเทคนิคสูงสุดในภูมิภาค การตรวจสอบจะเจาะลึกถึงรายละเอียดการนำไปใช้จริง ไม่ใช่เพียงแค่การมีนโยบายบนกระดาษ MAS มีประวัติการบังคับใช้กฎหมายต่อสาธารณะอย่างต่อเนื่อง รวมถึงการปรับเงินและสั่งจำกัดการดำเนินธุรกิจเนื่องจากความล้มเหลวด้านการบริหารความเสี่ยงเทคโนโลยี

ธปท. (BOT) เพิ่มความเข้มงวดในการกำกับดูแลอย่างต่อเนื่องนับตั้งแต่การประกาศใช้แนวปฏิบัติธนาคารดิจิทัล การตรวจสอบในปัจจุบันมีการทดสอบเชิงเทคนิคในระบบจริงควบคู่กับการตรวจเอกสาร ทั้งนี้ ธปท. ยังให้คำแนะนำในการนำไปปฏิบัติจริงอย่างละเอียด ซึ่งช่วยลดความคลุมเครือในการตีความ

BNM มีการบังคับใช้กฎหมายอย่างเข้มงวดตามเกณฑ์ที่กำหนดไว้เฉพาะเจาะจง (Prescriptive) ของ RMiT ความชัดเจนของเกณฑ์ช่วยลดการตีความ แต่ก็ทำให้ความยืดหยุ่นในการใช้แนวทางอื่นลดลงตามไปด้วย

BSP กำลังยกระดับขีดความสามารถในการกำกับดูแลอย่างต่อเนื่อง ข้อริเริ่มล่าสุดชี้ชัดว่าความเข้มข้นในการบังคับใช้จะเพิ่มขึ้นเข้าสู่ระดับเดียวกับ MAS ทำให้ช่องว่างในการปฏิบัติตามกฎหมายในปัจจุบันอาจกลายเป็นข้อบกพร่องสำคัญในการตรวจสอบในอนาคต

คำแนะนำเชิงปฏิบัติสำหรับองค์กร #

1. ออกแบบระบบตามเกณฑ์ที่เข้มงวดที่สุด หากคุณดำเนินธุรกิจในฟิลิปปินส์ ให้สร้างระบบเก็บ Log นาน 3 ปี ซึ่งจะครอบคลุมเกณฑ์ของทุกประเทศโดยอัตโนมัติ
2. จัดทำเอกสารผังการควบคุมเทียบกับกฎระเบียบ (Control Mapping) บันทึกตารางที่แสดงชัดเจนว่ามาตรการควบคุมใดตอบสนองข้อกำหนดใด ซึ่งจะมีประโยชน์อย่างยิ่งในการตรวจสอบข้ามหลายเขตอำนาจศาล
3. อย่าทึกทักเอาเองเรื่องการยอมรับร่วมกัน (Reciprocity) หน่วยงานกำกับดูแลไม่ได้ยอมรับผลการรับรองของกันและกัน การผ่านการตรวจสอบของ MAS ไม่ได้แปลว่าจะได้รับการยกเว้นจากการตรวจของ ธปท.
4. ปรับแผนการตอบสนองต่อเหตุการณ์ให้เข้ากับท้องถิ่น จัดเตรียมเทมเพลตการแจ้งเตือน รายชื่อผู้ติดต่อ และเส้นทางการรายงานเฉพาะสำหรับแต่ละประเทศ ในช่วงวิกฤต คุณไม่ควรต้องมานั่งค้นหาเส้นตายในการแจ้งเตือน
5. เริ่มการปรึกษากับหน่วยงานกำกับดูแลแต่เนิ่นๆ เมื่อเข้าสู่ตลาดใหม่ ให้เริ่มการพูดคุยกับหน่วยงานกำกับดูแลท้องถิ่นตั้งแต่ก่อนเริ่มปรับใช้ระบบจริง การประสานงานล่วงหน้าจะช่วยให้ทราบถึงความคาดหวังที่อาจไม่ได้ระบุไว้ในเอกสารแนวทาง

บริการ การปฏิบัติตามกฎระเบียบและการปรับให้สอดคล้องกับกรอบมาตรฐาน ของเราช่วยจัดทำผังมาตรการควบคุมของคุณให้สอดคล้องกับข้อกำหนดเฉพาะของแต่ละหน่วยงาน ระบุช่องว่างและความซ้ำซ้อน พร้อมจัดเตรียมเอกสารหลักฐานที่ครบถ้วนสำหรับการตรวจสอบข้ามพรมแดน