นโยบายความมนคงปลอดภยระบบสารสนเทศ (Acceptable Use Policy)

การรกษาความมนคงปลอดภยระบบสารสนเทศ สำานกงานตำารวจแหงชาต เปนการจดทำาขนเพอกำาหนดแนวทางไวเปนกรอบและเปนแผนทนำาทางในระดบกลยทธ เพอยกระดบมาตรฐานการรกษาความมนคงปลอดภยดานเทคโนโลยสารสนเทศของสำานกงานตำารวจแหงชาต ใหอยระดบมาตรฐานสากล โดยอางองจากกรอบมาตรฐานสากล ISO/IEC 27001 อกทงตองการลดผลกระทบจากเหต ตลอดจนการกคนระบบอยางรวดเรวหลงจากการโจมตสนสดลงแลว เปนแนวทางปฏบตของผใชงานระบบสารสนเทศของสำานกงานตำารวจแหงชาต

นโยบายความมนคงปลอดภยระบบสารสนเทศ สำานกงานตำารวจแหงชาต ประกอบดวย ๘ หมวด โดยมรายละเอยดดงตอไปน

หมวด ๑ ว าด วยการพส จน ต วตน (Accountability, Identification and Authentication)

ขอ ๑ ผใชงานมหนาทในการปองกน ดแล รกษาขอมลบญชชอผใชงาน (Username) และรหสผาน (Password) โดยผใชงานแตละคนตองมบญชชอผใชงาน (Username) ของตนเอง หามใชรวมกบผอน รวมทงหามทำาการเผยแพร แจกจาย ทำาใหผอนลวงรรหสผาน (Password)

ขอ ๒ผใชงานตองรบผดชอบตอการกระทำาใดๆ ทเกดจากบญชของผใชงาน (Username) ไมวาการกระทำานนจะเกดจากผใชงานหรอไมกตาม

ขอ ๓ผใชงานตองตงรหสผานใหเกดความปลอดภย โดยรหสผานประกอบดวยตวอกษรไมนอยกวา ๘ ตวอกษร ซงตองประกอบดวยตวเลข (Numerical character) ตวอกษร (Alphabet)และตวอกษรพเศษ (Special character)

ขอ ๔ ผใชงานตองไมใชงานรหสผานซงเคยใชมาแลว อยางนอย ๕ รหสผาน

ขอ ๕ ผใชงานตองเปลยนรหสผาน (Password) ทกๆ ๖๐ วนหรอทกครงทมการแจงเตอนใหเปลยนรหสผาน

ขอ ๖ผใชงานตองทำาการพสจนตวตนทกครงกอนทจะใชทรพยสนหรอระบบสารสนเทศของสำานกงานตำารวจแหงชาต และหากการพสจนตวตนนนมปญหา ไมวาจะเกดจากรหสผาน การโดนลอคกด หรอเกดจากความผดพลาดใดๆ กด ผใชงานตองแจงใหผดแลระบบทราบทนท โดย

(๑) คอมพวเตอรโนตบค (Notebook) ตองทำาการพสจนตวตนในระดบไบออส (BIOS)กอนการใชงาน

(๒) คอมพวเตอรทกประเภท กอนการเขาถงระบบปฏบตการตองทำาการพสจนตวตนทกครง

(๓) การใชงานระบบคอมพวเตอรอนในเครอขายจะตองทำาการพสจนตวตนทกครง

-๒-(๔) การใชงานอนเทอรเนต (Internet) ตองทำาการพสจน

ตวตนและตองมการบนทกขอมล ซงสามารถบงบอกตวตนบคคลผใชงานได

(๕) เมอผใชงานไมอยทเครองคอมพวเตอร เครองคอมพวเตอรทกเครองตองทำาการลอค

หนาจอทกครง และตองทำาการพสจนตวตนกอนการใชงานทกครง

(๖) เครองคอมพวเตอรทกเครองตองทำาการตงเวลาพกหนาจอ (screen saver) โดยตงเวลาอยางนอย ๕ นาท

หมวด ๒ ว าด วยการบร หารจ ดการทรพย ส น (Assets Management)

ขอ ๗ ผใชงานตองไมเขาไปในหองคอมพวเตอรแมขาย (Server) สำานกงานตำารวจแหงชาตทเปนเขตหวงหามโดยเดดขาด เวนแตไดรบอนญาตจากผดแลระบบ

ขอ ๘ผใชงานตองไมนำาอปกรณหรอชนสวนใดออกจากหองคอมพวเตอรแมขาย (Server) เวนแตจะไดรบอนญาตจากผดแลระบบ

ขอ ๙ ผใชงานตองไมนำาเครองมอ หรออปกรณอนใด เชอมเขาเครอขายเพอการประกอบธรกจสวนบคคล

ขอ ๑๐ ผใชงานตองไมใช หรอลบแฟมขอมลของผอน ไมวากรณใดๆ

ขอ ๑๑ ผใชงานตองไมคดลอกหรอทำาสำาเนาแฟมขอมลทมลขสทธกำากบการใชงาน กอนไดรบอนญาต

ขอ ๑๒ ผใชงานมหนาทตองรบผดชอบตอทรพยสนทสำานกงานตำารวจแหงชาตมอบไวใหใชงานเสมอนหนงเปนทรพยสนของผใชงานเอง โดยบรรดารายการทรพยสน (Asset lists) ทผใชงานตองรบผด

ชอบจะอยแนบทายเอกสารขอบงคบนการรบหรอคนทรพยสนจะถกบนทกและตรวจสอบทกครงโดยเจาหนาท ทสำานกงานตำารวจแหงชาตมอบหมาย

ขอ ๑๓ กรณทำางานนอกสถานทผใชงานตองดแลและรบผดชอบทรพยสนของสำานกงานตำารวจแหงชาตทไดรบมอบหมาย

ขอ ๑๔ ผใชงานมหนาทตองชดใชคาเสยหายไมวาทรพยสนนนจะชำารด หรอสญหายตามมลคาทรพยสน หากความเสยหายนนเกดจากความประมาทของผใชงาน

ขอ ๑๕ ผใชงานตองไมใหผอนยม คอมพวเตอร หรอโนตบค ไมวาในกรณใดๆ เวนแตการยมนนไดรบการอนมตเปนลายลกษณอกษรจากผมอำานาจ

ขอ ๑๖ ทรพยสนและระบบสารสนเทศตางๆ ทสำานกงานตำารวจแหงชาต จดเตรยมไวใหใชงานมวตถประสงคเพอการใชงานของสำานกงานตำารวจแหงชาตเทานน หามมใหผใชงานนำาทรพยสนและระบบสารสนเทศตางๆ ไปใชในกจกรรมทสำานกงานตำารวจแหงชาตไมไดกำาหนด หรอทำาใหเกดความเสยหายตอสำานกงานตำารวจแหงชาต

-๓-

ขอ ๑๗ ความเสยหายใดๆ ทเกดจากการละเมดตามขอ ๑๖ ใหถอเปนความผดสวนบคคลโดยผใชงานตองรบผดชอบตอความเสยหายทเกดขน

หมวด ๓ ว าด วยการบร หารจ ดการขอม ลองคกร (Corporate Management)

ขอ ๑๘ ผใชงานตองตระหนกและระมดระวงตอการใชงานขอมล ไมวาขอมลนนจะเปนของสำานกงานตำารวจแหงชาต หรอเปนขอมลของบคคลภายนอก

ขอ ๑๙ ขอมลทงหลายทอยภายในทรพยสนของสำานกงานตำารวจแหงชาต ถอเปนทรพยสนของสำานกงานตำารวจแหงชาต หามไมใหทำาการเผยแพร เปลยนแปลง ทำาซำา หรอทำาลาย โดยไมไดรบอนญาตจากผบงคบบญชา

ขอ ๒๐ ผใชงานมสวนรวมในการดแลรกษาและรบผดชอบตอขอมลของสำานกงานตำารวจแหงชาต หรอขอมลของผรบบรการ หากเกดการสญหาย โดยนำาไปใชในทางทผด การเผยแพรโดยไมรบ

อนญาต ผใชงานตองมสวนรวมในการรบผดชอบตอความเสยหายนนดวย

ขอ ๒๑ ผใชงานตองปองกน ดแล รกษาไวซงความลบ ความถกตอง และความพรอมใชของขอมล

ขอ ๒๒ ผใชงานมสทธโดยชอบธรรมทจะเกบ รกษา ใชงานและปองกนขอมลสวนบคคลตามเหนสมควร สำานกงานตำารวจแหงชาต จะใหการสนบสนนและเคารพตอสทธสวนบคคล และไมอนญาตใหบคคลหนงบคคลใดทำาการละเมดตอขอมลสวนบคคลโดยไมไดรบอนญาตจากผใชงานทครอบครองขอมลนน ยกเวนในกรณทสำานกงานตำารวจแหงชาต ตองการตรวจสอบขอมลหรอ คาดวาขอมลนนเกยวของกบสำานกงานตำารวจแหงชาต ซงสำานกงานตำารวจแหงชาตอาจแตงตงใหผทำาหนาทตรวจสอบ ทำาการตรวจสอบขอมลเหลานนไดตลอดเวลา โดยไมตองแจงใหผใชงานทราบ

หมวด ๔ ว าด วยการบร หารจ ดการระบบสารสนเทศ (IT Infrastructure Management)

ขอ ๒๓ ผใชงานมสทธทจะพฒนาโปรแกรมหรอฮารดแวรใดๆ แตตองไมดำาเนนการดงน

(๑) พฒนาโปรแกรมหรอฮารดแวรใดๆ ทจะทำาลายกลไกรกษาความปลอดภยระบบ รวมทงการกระทำาในลกษณะเปนการแอบใชรหสผาน การลกลอบทำาสำาเนาขอมล บคคลอนหรอแกะรหสผานของบคคลอน

(๒) พฒนาโปรแกรมหรอฮารดแวรใดๆ ซงทำาใหผใชมสทธและลำาดบความสำาคญในการ ครอบครองทรพยากรระบบมากกวาผใชอน

(๓) พฒนาโปรแกรมใดทจะทำาซำาตวโปรแกรมหรอแฝงตวโปรแกรมไปกบโปรแกรมอนใน ลกษณะเชนเดยวกบหนอนหรอไวรสคอมพวเตอร

-๔-

(๔) พฒนาโปรแกรมหรอฮารดแวรใดๆ ทจะทำาลายระบบจำากดสทธการใช (License) ซอฟตแวร

(๕) นำาเสนอขอมลทผดกฎหมาย ละเมดลขสทธแสดงขอความรปภาพไมเหมาะสม หรอขดตอศลธรรมประเพณอนดงามของประเทศไทย กรณทผใชสรางเวบเพจบนเครอขายคอมพวเตอร

ขอ ๒๔ หามเปดหรอใชงาน (Run) โปรแกรมประเภท Peer-to-Peer หรอโปรแกรมทมความเสยงในระดบเดยวกน เชน บทเทอรเรนท(Bittorrent), อมล (emule) เปนตน เวนแตจะไดรบอนญาตจากผบงคบบญชา

ขอ ๒๕ หามเปดหรอใชงาน (Run) โปรแกรม ออนไลนทกประเภท เพอความบนเทง เชน การดหนง ฟงเพลง เกมส เปนตน ในระหวางเวลาปฏบตราชการ

ขอ ๒๖ หามใชทรพยากร ระบบสอสารทกประเภท รวมถงอปกรณอนใดของสำานกงานตำารวจแหงชาตทจดเตรยมให เพอการเผยแพร ขอมล ขอความ รปภาพ หรอสงอนใด ทมลกษณะขดตอศลธรรม ความมนคงของประเทศ กฎหมาย หรอกระทบตอภารกจของสำานกงานตำารวจแหงชาต

ขอ ๒๗ หามใชทรพยากร ระบบสอสารทกประเภท รวมถงอปกรณอนใดของสำานกงานตำารวจแหงชาต เพอการรบกวน กอใหเกดความเสยหาย หรอใชในการโจรกรรมขอมล หรอสงอนใดอนเปนการขดตอกฎหมายและศลธรรม หรอกระทบตอภารกจของสำานกงานตำารวจแหงชาต

ขอ ๒๘ หามใชทรพยากรทกประเภททเปนของสำานกงานตำารวจแหงชาตเพอประโยชนทางการคา

ขอ ๒๙ หามกระทำาการใดๆ เพอการดกขอมล ไมวาจะเปนขอความ ภาพ เสยง หรอสงอนใดในเครอขายระบบสารสนเทศของสำานกงานตำารวจแหงชาต โดยเดดขาด ไมวาจะดวยวธการใดๆ กตาม

ขอ ๓๐ หามกระทำาการรบกวน ทำาลาย หรอทำาใหระบบสารสนเทศของสำานกงานตำารวจแหงชาต ตองหยดชะงก

ขอ ๓๑ หามใชระบบสารสนเทศของสำานกงานตำารวจแหงชาต เพอการควบคมคอมพวเตอรหรอระบบสารสนเทศภายนอก โดยไมไดรบอนญาตจากผมอำานาจ

ขอ ๓๒ หามกระทำาการใดๆ อนมลกษณะเปนการลกลอบใชงานหรอรบรรหสสวนบคคลของผอนไมวาจะเปนกรณใดๆ เพอประโยชนในการเขาถงขอมล หรอเพอการใชทรพยากรกตาม

ขอ ๓๓ หามตดตงอปกรณหรอกระทำาการใดเพอใหสามารถเขาถงระบบสารสนเทศของสำานกงานตำารวจแหงชาต โดยไมไดรบอนญาตจากผมอำานาจหมวด ๕ ว าด วยการปฏบ ต ตามกฎหมายและขอบ งค บ (Law and Compliance)

ขอ ๓๔ บรรดากฎหมายใดๆ ทไดประกาศใชในประเทศไทยรวมทงกฎระเบยบ ของสำานกงานตำารวจแหงชาต ถอเปนสงสำาคญทผใช

งานตองตระหนกและปฏบตตามอยางเครงครด และไมกระทำาความผดนน ดงนน หากผใชงานกระทำาผดตามกฎหมายดงกลาว ถอวาความผดนนเปนความผดสวนบคคลซงผใชงานจะตองรบผดชอบตอความผดทเกดขนเอง

-๕-

หมวด ๖ ว าด วยซอฟตแวร และล ขส ทธ (Software Licensing and intellectual property)

ขอ ๓๕ สำานกงานตำารวจแหงชาต ไดใหความสำาคญตอเรองทรพยสนทางปญญา ดงนนซอฟตแวรทสำานกงานตำารวจแหงชาต อนญาตใหใชงานหรอทสำานกงานตำารวจแหงชาต มลขสทธ ผใชงานสามารถขอใชงานไดตามหนาทความจำาเปน และสำานกงานตำารวจแหงชาตหามไมใหผใชงานทำาการตดตงหรอใชงานซอฟตแวรอนใดทไมมลขสทธ หากมการตรวจสอบพบความผดฐานละเมดลขสทธ สำานกงานตำารวจแหงชาตถอวาเปนความผดสวนบคคล ผใชงานจะตองรบผดชอบแตเพยงผเดยว

ขอ ๓๖ ซอฟตแวร (Software) ทสำานกงานตำารวจแหงชาตไดจดเตรยมไวใหผใชงาน ถอเปนสงจำาเปนตอการทำางาน หามมใหผใชงานทำาการตดตง ถอดถอน เปลยนแปลง แกไข หรอทำาสำาเนาเพอนำาไปใชงานทอน

หมวด ๗ ว าด วยการปองก นโปรแกรมไมประสงคด (Preventing MalWare)

ขอ ๓๗ คอมพวเตอรของผใชงานตดตงโปรแกรมปองกนไวรสคอมพวเตอร (Anti virus) ตามทสำานกงานตำารวจแหงชาต ไดประกาศใหใช เวนแตคอมพวเตอรนนเปนเครองเพอการศกษา พฒนา ระบบปองกน โดยตองไดรบอนญาตจากผบงคบบญชา

ขอ ๓๘ บรรดาขอมล ไฟล ซอฟตแวร หรอสงอนใด ทไดรบจากผใชงานอนตองไดรบการตรวจสอบไวรสคอมพวเตอรและโปรแกรมไมประสงคดกอนนำามาใชงานหรอเกบบนทกทกครง

ขอ ๓๙ ผใชงานตองทำาการปรบปรงขอมล สำาหรบตรวจสอบและปรบปรงระบบปฏบตการ (Update patch) ใหใหมเสมอ เพอเปนการปองกนความเสยหายทอาจเกดขน

ขอ ๔๐ ผใชงานตองพงระวงไวรสและโปรแกรมไมประสงคดตลอดเวลา รวมทงเมอพบสงผดปกตผใชงานตองแจงเหตแกผดแลระบบ

ขอ ๔๑ เมอผใชงานพบวาเครองคอมพวเตอรตดไวรส ผใชงานตองไมเชอมตอเครองคอมพวเตอรเขาสเครอขาย และ ตองแจงแกผดแลระบบ

ขอ ๔๒ หามลกลอบทำาสำาเนา เปลยนแปลง ลบทง ซงขอมล ขอความ เอกสาร หรอสงใดๆทเปนทรพยสนของสำานกงานตำารวจแหงชาต หรอของผอน โดยไมไดรบอนญาตจากผมอำานาจ

ขอ ๔๓ หามทำาการเผยแพรไวรสคอมพวเตอร มลแวร หรอโปรแกรมอนตรายใดๆ ทอาจกอใหเกดความเสยหายมาสทรพยสนของสำานกงานตำารวจแหงชาต

หมวด ๘ ว าด วยการใชงานระบบจดหมายอเล กทรอนกส (Electronic mail)

ขอ ๔๔ ขอปฏบตหรอขอหามตามหมวดนใหเปนไปตามนโยบายความมนคงปลอดภยระบบสารสนเทศ วาดวยการใชงานระบบจดหมายอเลกทรอนกส (E-mail Policy)

- - - - - - - - - - - - - - - -

นโยบายความมนคงปลอดภยของ เคร อข ายไร สาย (Wireless Policy)

ขอ ๑ผดแลระบบ (System Administrator) ตองควบคมสญญาณของอปกรณกระจายสญญาณ (Access Point) ใหรวไหลออกนอกพนทใชงานระบบเครอขายไรสายนอยทสด

ขอ ๒ผดแลระบบ (System Administrator) ควรทำาการเปลยนคา SSID (Service Set Identifier) ทถกกำาหนดเปนคาโดยปรยาย (Default) มาจากผผลตทนททนำา อปกรณกระจายสญญาณ (Access Point) มาใชงาน

ขอ ๓ ผดแลระบบ (System Administrator) ตองกำาหนดคา WEP (Wired Equivalent Privacy) หรอ WPA (Wi-Fi Protected Access) ในการเขารหสขอมลระหวาง Wireless LAN Client และ อปกรณกระจายสญญาณ (Access Point) และควรกำาหนดคาใหไมแสดงชอระบบเครอขายไรสาย

ขอ ๔ผดแลระบบ (System Administrator) ควรเลอกใชวธการควบคม MAC Address (Media Access Control Address) และชอผใช (Username) รหสผาน (Password) ของผใชบรการทมสทธในการเขาใชงานระบบเครอขายไรสาย โดยจะอนญาตเฉพาะอปกรณทม MAC address (Media Access Control Address) และชอผใช (Username) และรหสผาน (Password) ตามทกำาหนดไวเทานนใหเขาใชระบบเครอขายไรสายไดอยางถกตอง

ขอ ๕ผดแลระบบ (System Administrator) ควรมการตดตงไฟรวอลล (Firewall) ระหวางระบบเครอขายไรสายกบระบบเครอขายภายในหนวยงาน

ขอ ๖ผดแลระบบ (System Administrator) ควรกำาหนดใหผใชบรการในระบบเครอขายไรสายตดตอสอสารไดเฉพาะกบ VPN (Virtual Private Network) เพอชวยปองกนการบกรกในระบบเครอขายไรสาย

ขอ ๗ ผดแลระบบ (System Administrator) ควรใชซอฟตแวรหรอฮารดแวรตรวจสอบความมนคงปลอดภยของระบบเครอขายไรสายเพอคอยตรวจสอบและบนทกเหตการณทนาสงสยเกดขนในระบบเครอขายไรสาย และจดสงรายงานผลการตรวจสอบทก ๓ เดอน และในกรณทตรวจสอบพบการใชงานระบบเครอขายไรสายทผดปกต ใหผดแลระบบ (System Administrator) รายงานตอผบญชาการสำานกงานตำารวจแหงชาตทราบทนท

ขอ ๘ผดแลระบบ (System Administrator) ตองควบคมดแลไมใหบคคลหรอหนวยงานภายนอกทไมไดรบอนญาต ใชงานระบบเครอขายไรสายในการเขาสระบบอนทราเนต (Intranet) และฐานขอมลภายในตางๆ ของหนวยงาน

- - - - - - - - - - - - - - - -

นโยบายความมนคงปลอดภยของไฟรวอลล (Firewall Policy)

ขอ ๑สำานกงานตำารวจแหงชาต มหนาทในการบรหารจดการ การตดตง และกำาหนดคาของไฟรวอลลทงหมด

ขอ ๒การกำาหนดคาเรมตนพนฐานของทกเครอขายจะตองเปนการปฏเสธทงหมด

ขอ ๓ทกเสนทางเชอมตออนเทอรเนตและบรการอนเทอรเนตทไมอนญาตตามนโยบาย จะตองถกบลอก (Block) โดยไฟรวอลล

ขอ ๔ผใชงานอนเทอรเนตจะตองมการ Login account กอนการใชงานทกครง

ขอ ๕ คาการเปลยนแปลงทงหมดในไฟรวอลล เชน คาพารามเตอร การกำาหนดคาใชบรการ และการเชอมตอทอนญาต จะตองมการบนทกการเปลยนแปลงทกครง

ขอ ๖การเขาถงตวอปกรณไฟรวอลล จะตองสามารถเขาถงไดเฉพาะผทไดรบมอบหมายใหดแลจดการเทานน

ขอ ๗ ขอมลจราจรทางคอมพวเตอรทเขาออกอปกรณไฟรวอลล จะตองสงคาไปจดเกบทอปกรณจดเกบขอมลจราจรทางคอมพวเตอร โดยจะตองจดเกบขอมลจราจรไมนอยกวา ๙๐ วน

ขอ ๘การกำาหนดนโยบายในการใหบรการอนเทอรเนตกบเครองคอมพวเตอรลกขายจะเปดพอรตการเชอมตอพนฐานของโปรแกรมทวไป ททางสำานกงานตำารวจแหงชาต อนญาตใหใชงาน ซงหากมความจำาเปนทจะใชงานพอรตการเชอมตอนอกเหนอทกำาหนด จะตองไดรบความความยนยอมจากสำานกงานตำารวจแหงชาต กอน

ขอ ๙ การกำาหนดคาการใหบรการของเครองคอมพวเตอรแมขายในแตละสวนของเครอขาย จะตองกำาหนดคาอนญาตเฉพาะพอรตการเชอมตอทจาเปนตอการใหบรการเทานน โดยขอนโยบายจะตองถกระบใหกบเครองคอมพวเตอรแมขายเปนรายเครองทใหบรการจรง

ขอ ๑๐ จะตองมการสำารองขอมลการกำาหนดคาตางๆ ของอปกรณไฟรวอลลเปนประจำาทกสปดาห หรอทกครงทมการเปลยนแปลงคา

ขอ ๑๑ เครองคอมพวเตอรแมขายทใหบรการระบบงานสารสนเทศตางๆ จะตองไมอนญาตใหมการเชอมตอเพอใชงานอนเทอรเนต เวนแตมความจำาเปน โดยจะตองกำาหนดเปนกรณไป

ขอ ๑๒ สำานกงานตำารวจแหงชาต มสทธทจะระงบหรอบลอกการใชงานของเครองคอมพวเตอรลกขายทมพฤตกรรมการใชงานทผดนโยบาย หรอเกดจากการทำางานของโปรแกรมทม ความเสยงตอความปลอดภย จนกวาจะไดรบการแกไข

ขอ ๑๓ การเชอมตอในลกษณะของการ Remote Login จากภายนอกมายงเครองแมขาย หรออปกรณเครอขายภายใน จะตองบนทกรายการของการดำาเนนการตามแบบการขออนญาตดำาเนนการเกยวกบเครองคอมพวเตอรแมขายและอปกรณเครอขาย และจะตองไดรบความเหนชอบจาก สำานกงานตำารวจแหงชาตกอน

ขอ ๑๔ ผละเมดนโยบายดานความปลอดภยของไฟรวอลล จะถกระงบการใชงานอนเทอรเนตทนท

- - - - - - - - - - - - - - - -นโยบายความมนคงปลอดภยของ อเมล (E-mail Policy )

ขอ ๑ในการลงทะเบยนบญชผใชบรการจดหมายอเลกทรอนกส (e-mail) ตองทำาการกรอกขอมลคำาขอเขาใชบรการจดหมายอเลกทรอนกส (e-mail) ของหนวยงานโดยยนคำาขอกบเจาหนาท สำานกงานตำารวจแหงชาต

ขอ ๒เมอไดรบรหสผาน (Password) ครงแรกในการเขาระบบจดหมายอเลกทรอนกส (e-mail) และเมอมการเขาสระบบในครงแรกนน ควรเปลยนรหสผาน (Password) โดยทนท

ขอ ๓ไมควรบนทกหรอเกบรหสผาน (Password) ไวในระบบคอมพวเตอร

ขอ ๔ควรเปลยนรหสผาน (Password) ทก ๓-๖ เดอนขอ ๕ไมควรใชทอยจดหมายอเลกทรอนกส (e-mail address)

ของผอนเพออานหรอรบหรอสงขอความ ยกเวนแตจะไดรบการยนยอมจากเจาของผใชบรการและใหถอวาเจาของจดหมายอเลกทรอนกส (e-mail) เปนผรบผดชอบตอการใชงานในจดหมายอเลกทรอนกส (e-mail) ของตน

ขอ ๖หลงจากการใชงานระบบจดหมายอเลกทรอนกส (e-mail) เสรจสนควรลงบนทกออก (Logout) ทกครง

ขอ ๗ การสงขอมลทเปนความลบ ไมควรระบความสำาคญของขอมลลงในหวขอจดหมายอเลกทรอนกส (e-mail)

- - - - - - - - - - - - - - - -

นโยบายความมนคงปลอดภยของ อนเตอร เน ต (Internet Security Policy)

ขอ ๑ไมใชระบบอนเทอรเนต (Internet) ของหนวยงาน เพอหาประโยชนในเชงพาณชยเปนการสวนบคคล และทำาการเขาสเวบไซตทไมเหมาะสม เชน เวบไซตทขดตอศลธรรม เวบไซตทมเนอหาอนอาจ

กระทบกระเทอนหรอเปนภยตอความมนคงตอชาต ศาสนา พระมหากษตรย หรอเวบไซตทเปนภยตอสงคม หรอละเมดสทธของผอน หรอขอมลทอาจกอใหเกดความเสยหายใหกบหนวยงาน

ขอ ๒หามเปดเผยขอมลสำาคญทเปนความลบเกยวกบงานของหนวยงานทยงไมไดประกาศอยางเปนทางการผานระบบอนเทอรเนต (Internet)

ขอ ๓ระมดระวงการดาวนโหลด โปรแกรมใชงานจากระบบอนเทอรเนต (Internet) การดาวนโหลดการอพเดท (Update) โปรแกรมตางๆ ตองเปนไปโดยไมละเมดลขสทธ

ขอ ๔ในการใชงานกระดานสนทนาอเลกทรอนกส ไมเปดเผยขอมลทสำาคญและเปนความลบของหนวยงาน

ขอ ๕ ในการใชงานกระดานสนทนาอเลกทรอนกส ไมเสนอความคดเหน หรอใชขอความทยวย ใหราย ทจะทำาใหเกดความเสอมเสยตอชอเสยงของหนวยงาน การทำาลายความสมพนธกบบคลากรของหนวยงานอนๆ

ขอ ๖หลงจากใชงานระบบอนเทอรเนต (Internet) เสรจแลว ใหปดเวบเบราเซอรเพอปองกนการเขาใชงานโดยบคคลอนๆ

- - - - - - - - - - - - - - - -

นโยบายความมนคงปลอดภยของ การควบคมการเข าถ ง ระบบ (Access control Policy )

หมวด ๑ การควบคมการเข าถ งระบบสารสนเทศ

ขอ ๑สำานกงานตำารวจแหงชาต กำาหนดมาตรการควบคมการเขาใชงาน ระบบสารสนเทศของหนวยงานเพอดแลรกษาความปลอดภย โดยทบคคลจากหนวยงานภายนอกทตองการสทธในการเขาใชงานระบบสารสนเทศของหนวยงานจะตองขออนญาตเปนลายลกษณอกษรตอผบญชาการสำานกงานสำานกงานตำารวจแหงชาต

ขอ ๒ผดแลระบบ (System Administrator) ตองกำาหนดสทธการเขาถงขอมลและระบบขอมลใหเหมาะสมกบการเขาใชงานของผใชงานระบบและหนาทความรบผดชอบของเจาหนาทในการปฏบตงานกอนเขาใชระบบสารสนเทศ รวมทงมการทบทวนสทธการเขาถงอยางสมำาเสมอ

ขอ ๓ผดแลระบบ (System Administrator) ควรจดใหมการตดตงระบบบนทกและตดตามการใชงานระบบสารสนเทศของหนวยงาน และตรวจตราการละเมดความปลอดภย ทมตอระบบขอมล

ขอ ๔ผดแลระบบ (System Administrator) ตองจดใหมการบนทกรายละเอยดการเขาถงระบบ การแกไขเปลยนแปลงสทธตางๆ และการผานเขา-ออกสถานทตงของระบบ ของทงผทไดรบอนญาตและไมไดรบอนญาตเพอเปนหลกฐานในการตรวจสอบ

หมวด ๒ การบร หารจ ดการการเข าถ งระบบสารสนเทศ

ขอ ๑ผดแลระบบ (System Administrator) ตองกำาหนดการลงทะเบยนบคลากรใหมของ สำานกงานตำารวจแหงชาต ควรกำาหนดใหมขนตอนปฏบตอยางเปนทางการเพอใหมสทธตางๆ ในการใชงานตามความจำาเปนรวมทงขนตอนปฏบตสำาหรบการยกเลกสทธการใชงาน เชน การลาออก หรอการเปลยนตำาแหนงงานภายในหนวยงาน เปนตน

ขอ ๒ผดแลระบบ (System Administrator) ตองกำาหนดการใชงานระบบเทคโนโลยสารสนเทศทสำาคญ เชน ระบบคอมพวเตอรโปรแกรมประยกต (Application) จดหมายอเลกทรอนกส (e-mail) ระบบเครอขายไรสาย (Wireless LAN) ระบบอนเทอรเนต (Internet) เปนตน โดยตองใหสทธเฉพาะการปฏบตงานในหนาทและตองไดรบความเหนชอบจากผบงคบบญชาเปนลายลกษณอกษร รวมทงตองทบทวนสทธดงกลาวอยางสมำาเสมอ

ขอ ๓ผดแลระบบ (System Administrator) ตองบรหารจดการสทธการใชงานระบบและรหสผานของบคลากรดงตอไปน

-๒-

(๑) กำาหนดการเปลยนแปลงและการยกเลกรหสผาน (Password) เมอผใชงานระบบลาออก หรอพนจากตำาแหนง หรอยกเลกการใชงาน

(๒) สงมอบรหสผาน (Password) ชวคราวใหกบผใชบรการดวยวธการทปลอดภย ควรหลกเลยงการใชบคคลอนหรอการสงจดหมายอเลกทรอนกส (e-mail) ทไมมการปองกนในการสงรหสผาน (Password)

(๓) ควรกำาหนดใหผใชบรการตอบยนยนการไดรบรหสผาน (Password)

(๔) ควรกำาหนดใหผใชงานไมบนทกหรอเกบรหสผาน (Password) ไวในระบบคอมพวเตอรในรปแบบทไมไดปองกนการเขาถง

(๕) กำาหนดชอผใชหรอรหสผใชงานตองไมซำากน (๖) ในกรณมความจำาเปนตองใหสทธพเศษกบผใชงานทม

สทธสงสด ผใชงานนนจะตองไดรบความเหนชอบและอนมตจากผบงคบบญชา โดยมการกำาหนดระยะเวลาการใชงานและระงบการใชงานทนทเมอพนระยะเวลาดงกลาวหรอพนจากตำาแหนง และมการกำาหนดสทธพเศษทไดรบวาเขาถงไดถงระดบใดไดบาง และตองกำาหนดใหรหสผใชงานตางจากรหสผใชงานตามปกต

ขอ ๔ผดแลระบบ (System Administrator) ตองบรหารจดการการเขาถงขอมลตามประเภทชนความลบ ในการควบคมการเขาถงขอมลแตละประเภทชนความลบทงการเขาถงโดยตรงและการเขาถงผานระบบงาน รวมถงวธการทำาลายขอมลแตละประเภทชนความลบ ดงตอไปน

(๑) ตองควบคมการเขาถงขอมลแตละประเภทชนความลบทงการเขาถงโดยตรงและการเขาถงผานระบบงาน

(๒) ตองกำาหนดรายชอผใช (Username) และรหสผาน (Password) เพอใชในการตรวจสอบตวตนจรงของผใชขอมลในแตละชนความลบของขอมล

(๓) ควรกำาหนดระยะเวลาการใชงานและระงบการใชงานทนทเมอพนระยะเวลาดงกลาว

(๔) การรบสงขอมลสำาคญผานระบบเครอขายสาธารณะ ควรไดรบการเขารหส (Encryption) ทเปนมาตรฐานสากล เชน SSL VPN หรอ XML Encryption เปนตน

(๕) ควรกำาหนดการเปลยนรหสผาน (Password) ตามระยะเวลาทกำาหนดของระดบความสำาคญของขอมล

(๖) ควรกำาหนดมาตรการรกษาความมนคงปลอดภยของขอมลในกรณทนำาเครองคอมพวเตอรออกนอกพนทของหนวยงาน เชน สงเครองคอมพวเตอรไปตรวจซอม ควรสำารองและลบขอมลทเกบอยในสอบนทกกอน เปนตน

- - - - - - - - - - - - - - - -

นโยบายความมนคงปลอดภยของ การตรวจจบการ บกร ก

(Intrusion Detection System / Intrusion Prevention System Policy : IDS/IPS Policy)

ขอ ๑IDS/IPS Policy เปนนโยบายการตดตงระบบตรวจสอบการบกรก และตรวจสอบความปลอดภยของเครอขาย เพอปองกนทรพยากร ระบบสารสนเทศ และขอมลบนเครอขายภายในสำานกงานตำารวจแหงชาต ใหมความมนคงปลอดภย เปนแนวทางการปฏบตเกยวกบการตรวจสอบการบกรกเครอขาย พรอมกบบทบาทและความรบผดชอบทเกยวของ

ขอ ๒IDS/IPS Policy ครอบคลมทกโฮสต (Host) ในเครอขายของสำานกงานตำารวจแหงชาตและเครอขายขอมลทงหมด รวมถงเสนทางทขอมลอาจเดนทาง ซงไมอยในเครอขายอนเทอรเนตทกเสนทาง

ขอ ๓ระบบทงหมดทสามารถเขาถงไดจากอนเทอรเนตหรอทสาธารณะจะตองผานการตรวจสอบจากระบบ IDS/IPS

ขอ ๔ระบบทงหมดใน DMZ จะตองไดรบการตรวจสอบรปแบบการใหบรการกอนการตดตงและเปดใหบรการ

ขอ ๕โฮสตและเครอขายทงหมดทมการสงผานขอมลผาน IDS/IPS จะตองมการบนทกผลการตรวจสอบ

ขอ ๖มการตรวจสอบและ Update Patch/Signature ของ IDS/IPS เปนประจำา

ขอ ๗ มการตรวจสอบเหตการณ ขอมลจราจร พฤตกรรมการใชงาน กจกรรม และบนทกปรมาณขอมลเขาใชงานเครอขายเปนประจำาทกวนโดยผดแลระบบ

ขอ ๘ IDS/IPS จะทำางานภายใตกฎควบคมพนฐานของไฟรวอลล ทใชในการเขาถงเครอขายของระบบสารสนเทศตามปกต

ขอ ๙ เครองแมขายทมการตดตง host-based IDS จะตองมการตรวจสอบขอมลประจำาวน

ขอ ๑๐ พฤตกรรมการใชงาน กจกรรม หรอเหตการณทงหมด ทมความเสยงตอการบกรก การโจมตระบบ พฤตกรรมทนาสงสย หรอการพยายามเขาระบบ ทงทประสบความสำาเรจและไมประสบความสำาเรจ จะตองมการรายงานใหผบงคบบญชาทราบทนททตรวจพบ

ขอ ๑๑ พฤตกรรม กจกรรมทนาสงสย หรอระบบการทำางานทผดปกต ทถกคนพบ จะตองมการรายงานใหผบงคบบญชาทราบ ภายใน ๑ ชวโมงทตรวจพบ

ขอ ๑๒ การตรวจสอบการบกรกทงหมดจะตองเกบบนทกขอมลไวไมนอยกวา ๙๐ วน

ขอ ๑๓ มรปแบบการตอบสนองตอเหตการณทเกดขน ไดแก รายงานผลการตรวจพบของเหตการณตางๆ ดำาเนนการตามขนตอนเพอลดความเสยหาย ลบซอฟตแวรมงรายทตรวจพบ ปองกนเหตการณทอาจเกดอกในอนาคต และดำาเนนการตามแผน

-๒-

ขอ ๑๔ สำานกงานตำารวจแหงชาต มสทธในการยตการเชอมตอเครอขายของเครองคอมพวเตอรทมพฤตกรรมเสยงตอการบกรกระบบ โดยไมตองมการแจงแกผใชงานลวงหนา

ขอ ๑๕ ผทถกตรวจสอบวาพยายามกระทำาการอนใดทเปนการละเมดนโยบายของสำานกงานตำารวจแหงชาต การพยายามเขาถงระบบโดยมชอบ การโจมตระบบ หรอมพฤตกรรมเสยงตอการทำางานของระบบสารสนเทศ จะถกระงบการใชเครอขายทนท หากการกระทำาดงกลาวเปนการกระทำาความผดทสอดคลองกบ พ.ร.บ.วาดวยการกระทาความผดเกยวกบคอมพวเตอร พ.ศ.๒๕๕๐ หรอเปนการกระทำาทสงผลใหเกดความเสยหายตอขอมล และทรพยากรระบบของสำานกงานตำารวจแหงชาต จะตองถกดาเนนคดตามขนตอนของกฎหมาย

- - - - - - - - - - - - - - - -

นโยบายความมนคงปลอดภยของ เคร อข ายและเคร อง คอมพวเตอร แม ข าย

(Network and Server Policy)

ขอ ๑สำานกงานตำารวจแหงชาต กำาหนดมาตรการควบคมการเขา-ออกหองควบคมเครองคอมพวเตอรแมขาย (Server)

ขอ ๒ผใชบรการจะนำาเครองคอมพวเตอรและอปกรณมาเชอมตอกบเครองคอมพวเตอรและระบบเครอขายของหนวยงาน ตองไดรบอนญาตจากผบญชาการสำานกงานตำารวจแหงชาต และตองปฏบตตามนโยบายนโดยเครงครด

ขอ ๓การขออนญาตใชงานพนท Web Server และชอโดเมนยอย (Sub Domain Name) ทหนวยงานรบผดชอบอย จะตองทำาหนงสอขออนญาตตอผบญชาการสำานกงานตำารวจแหงชาต และจะตองไมตดตงโปรแกรมใดๆ ทสงผลกระทบตอการกระทำาของระบบและผใชบรการอนๆ

ขอ ๔หามผใดกระทำาการเคลอนยาย ตดตงเพมเตมหรอทำาการใด ๆ ตออปกรณสวนกลาง ไดแก อปกรณจดเสนทาง (Router) อปกรณกระจายสญญาณขอมล (Switch) อปกรณทเชอมตอกบระบบเครอขายหลก โดยไมไดรบอนญาตจากผดแลระบบ (System Administrator)

ขอ ๕ผดแลระบบ (System Administrator) ตองควบคมการเขาถงระบบเครอขาย เพอบรหารจดการระบบเครอขายไดอยางมประสทธภาพ ดงตอไปน

(๑) ตองมวธการจำากดสทธการใชงานเพอควบคมผใชบรการใหสามารถใชงานเฉพาะระบบเครอขายทไดรบอนญาตเทานน

(๒) ตองมวธการจำากดเสนทางการเขาถงระบบเครอขายทมการใชงานรวมกน

(๓) ตองกำาหนดใหมวธเพอจำากดการใชเสนทางบนเครอขายจากเครองคอมพวเตอรไปยงเครองคอมพวเตอรแมขาย เพอไมใหผใชบรการสามารถใชเสนทางอนๆ ได

(๔) ระบบเครอขายทงหมดของหนวยงานทมการเชอมตอไปยงระบบเครอขายอนๆภายนอกหนวยงานควรเชอมตอผานอปกรณปองกนการบกรก รวมทงตองมความสามารถในการตรวจจบโปรแกรมประสงคราย (Malware) ดวย

(๕) ระบบเครอขายตองตดตงระบบตรวจจบการบกรก (Intrusion Prevention System/Intrusion Detection System) เพอตรวจสอบการใชงานของบคคลทเขาใชงานระบบเครอขายของหนวยงานในลกษณะทผดปกต

(๖) การเขาสระบบเครอขายภายในหนวยงาน โดยผานทางระบบอนเทอรเนตจำาเปนตองมการลงบนทกเขา (Login) และตองมการพสจนยนยนตวตน (Authentication) เพอตรวจสอบความถกตองของผใชบรการ

-๒-

(๗) เลขทอยไอพ (IP Address) ภายในของระบบเครอขายภายในของหนวยงาน จำาเปนตองมการปองกนมใหหนวยงานภายนอกทเชอมตอสามารถมองเหนได

(๘) ตองจดทำาแผนผงระบบเครอขาย (Network Diagram) ซงมรายละเอยดเกยวกบขอบเขตของระบบเครอขายภายในและเครอขายภายนอก และอปกรณตางๆ พรอมทงปรบปรงใหเปนปจจบนอยเสมอ

(๙) การใชเครองมอตางๆ เพอการตรวจสอบระบบเครอขาย ควรไดรบการอนมตจากผดแลระบบ (System Administrator) และจำากดการใชงานเฉพาะเทาทจำาเปน

ขอ ๖ผดแลระบบ (System Administrator) ตองบรหารควบคมเครองคอมพวเตอรแมขาย (Server) และรบผดชอบในการดแลระบบคอมพวเตอรแมขาย (Server) ในการกำาหนดแกไข หรอเปลยนแปลงคาตางๆ ของซอฟตแวรระบบ (Systems Software)

ขอ ๗ สำานกงานตำารวจแหงชาต กำาหนดมาตรการควบคมการจดเกบขอมลจราจรทางคอมพวเตอร (Log) เพอใหขอมลจราจรทางคอมพวเตอร (Log) มความถกตองและสามารถระบถงตวบคคลไดตามแนวทาง ดงตอไปน

(๑) ควรจดเกบขอมลจราจรทางคอมพวเตอร (Log) ไวในสอเกบขอมลทสามารถรกษาความครบถวน ถกตอง แทจรง และระบตว

บคคลทเขาถงสอดงกลาวไดและขอมลทใชในการจดเกบ ตองกำาหนดชนความลบในการเขาถงขอมลและผดแลระบบไมไดรบอนญาตในการแกไขขอมลทเกบรกษาไว ยกเวนผตรวจสอบระบบสารสนเทศของหนวยงาน (IT Auditor) หรอบคคลทหนวยงานมอบหมาย

(๒) ควรกำาหนดใหมการบนทกการทำางานของระบบบนทกการปฏบตงานของผใชงาน (Application Logs) และบนทกรายละเอยดของระบบปองกนการบกรกเชน บนทกการเขา-ออกระบบ บนทกการพยายามเขาสระบบ บนทกการใชงาน Command Line และ Firewall Log เปนตน เพอประโยชนในการใชตรวจสอบและตองเกบบนทกดงกลาวไวอยางนอย ๙๐ วน นบตงแตการใชบรการสนสดลง

(๓) ควรตรวจสอบบนทกการปฏบตงานของผใชงานระบบอยางสมำาเสมอ

(๔) ตองมวธการปองกนการแกไขเปลยนแปลงบนทกตางๆ และจำากดสทธการเขาถงบนทกเหลานนใหเฉพาะบคคลทเกยวของเทานน

ขอ ๘สำานกงานตำารวจแหงชาต กำาหนดมาตรการควบคมการใชงานระบบเครอขายและเครองคอมพวเตอรแมขาย (Server) เพอดแลรกษาความปลอดภยของระบบจากภายนอกตามแนวทาง ดงตอไปน

(๑) บคคลจากหนวยงานภายนอกทตองการสทธในการเขาใชงานระบบเครอขายและเครองคอมพวเตอรแมขาย (Server) ของหนวยงานจะตองทำาเรองขออนญาตเปนลายลกษณอกษร เพอขออนญาตจากผบญชาการสำานกงานตำารวจแหงชาต

(๒) มการควบคมชองทาง (Port) ทใชในการเขาสระบบอยางรดกม

-๓-

(๓) วธการใดๆ ทสามารถเขาสขอมลหรอระบบขอมลไดจากระยะไกลตองไดรบการอนญาตจากผบญชาการสำานกงานตำารวจแหงชาต

(๔) การเขาสระบบจากระยะไกล ผใชงานตองแสดงหลกฐาน ระบเหตผลหรอความจำาเปนในการดำาเนนงานกบหนวยงานอยางเพยงพอ

(๕) การเขาใชงานระบบตองผานการพสจนตวตนจากระบบของหนวยงาน

- - - - - - - - - - - - - - - -

นโยบายความมนคงปลอดภยของ การสำารองขอม ล (Backup Policy)

ขอ ๑ จดทำาสำาเนาขอมลและซอฟตแวรเกบไว โดยจดเรยงตามลำาดบความจำาเปนของการสำารองขอมลระบบสารสนเทศของหนวยงานจากจำาเปนมากไปหานอย

ขอ ๒มขนตอนการปฏบตการจดทำาสำารองขอมลและการกคนขอมลอยางถกตอง ทงระบบซอฟตแวร และขอมลในระบบสารสนเทศ โดยขนตอนปฏบตแยกตามระบบสารสนเทศแตละระบบ

ขอ ๓จดเกบขอมลทสำารองนนในสอเกบขอมล โดยมการพมพชอบนสอเกบขอมลนนใหสามารถแสดงถงระบบซอฟตแวร วนท เวลาทสำารองขอมลและผรบผดชอบในการสำารองขอมลไวอยางชดเจน ขอมล

ทสำารองควรจดเกบไวในสถานทเกบขอมลสำารองซงตดตงอยทสถานทอน และตองมการทดสอบสอเกบขอมลสำารองอยางสมำาเสมอ

ขอ ๔ตองมการจดทำาแผนเตรยมความพรอมกรณเกดเหตฉกเฉนใหสามารถกระบบกลบคนมาไดภายในระยะเวลาทเหมาะสม

- - - - - - - - - - - - - - - -

...........................รอง ผบก.ศทก. วนท..........พ.ย.๒๕๕๓พ.ต.ท.หญง................................................รอง ผกก.กลมงานฯ คอมพวเตอร วนย.๒๕๕๓