ข้ามไปยังเนื้อหาหลัก
FromNine
เมนู

ความเชื่อมั่นและการปฏิบัติตามกฎหมาย

ความเชื่อมั่นและการปฏิบัติตามกฎหมายสำหรับองค์กรที่มีการกำกับดูแล

FromNine ได้รับการรับรอง ISO/IEC 27001 หน้านี้อธิบายวิธีที่เราปกป้องระบบและข้อมูลของคุณในฐานะผู้ให้บริการ สิ่งที่เราช่วยได้ในหน้าที่ของคุณตาม PDPA, NIS2, DORA และกฎหมาย AI ของสหภาพยุโรป (EU AI Act) และวิธีขอเอกสารด้านความปลอดภัยของเรา

สำหรับองค์กรที่อยู่ภายใต้กฎของไทยและของสหภาพยุโรป โดยแต่ละประเทศมีหน่วยงานกำกับของตนเอง

ขอเอกสารด้านความปลอดภัยสิ่งที่เรายึดถือ

สิ่งที่เรายึดถือ

5 สิ่งที่เรายึดถือในทุกโครงการ

หน่วยงานภาครัฐและบริษัทในธุรกิจที่มีการกำกับดูแลในยุโรปไว้วางใจให้เราดูแลข้อมูลอ่อนไหวและระบบที่รองรับการตัดสินใจจริง นี่คือสิ่งที่องค์กรเหล่านั้นใช้ตรวจสอบเราได้

  • การบริหารจัดการความมั่นคงปลอดภัยสารสนเทศ

    ได้รับการรับรอง

    ระบบบริหารจัดการความมั่นคงปลอดภัยสารสนเทศของเราได้รับการรับรองตาม ISO/IEC 27001 ซึ่งเป็นมาตรฐานสากลด้านการบริหารจัดการความมั่นคงปลอดภัยสารสนเทศ มาตรการควบคุม การบริหารผู้ให้บริการภายนอก และการจัดการเหตุการณ์เป็นไปตามระบบนี้ในทุกโครงการ

    การเข้าถึงระบบและข้อมูลของคุณตกลงกันก่อนเริ่มงาน จำกัดเท่าที่งานต้องใช้ และทบทวนเมื่อทีมเปลี่ยน

    ได้รับการรับรอง ISO/IEC 27001

  • ข้อมูลส่วนบุคคล PDPA และ GDPR

    วิธีที่เราทำงาน

    เราตกลงวัตถุประสงค์ ขอบเขตการเข้าถึง และระยะเวลาการเก็บรักษาก่อนเริ่มสร้าง เมื่อเราประมวลผลข้อมูลส่วนบุคคลในนามของคุณ เราทำในฐานะผู้ประมวลผลข้อมูลส่วนบุคคลภายใต้ข้อตกลงการประมวลผลข้อมูลตามที่มาตรา 28 ของ GDPR กำหนด และเมื่อเป็นข้อมูลของผู้คนในประเทศไทย เราคำนึงถึงหน้าที่ตาม พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) ด้วย

    เมื่อการประมวลผลมีแนวโน้มก่อให้เกิดความเสี่ยงสูง เราจัดหาข้อมูลทางเทคนิคสำหรับการประเมินผลกระทบด้านการคุ้มครองข้อมูลของคุณ

  • การกำกับดูแล AI โดยมนุษย์

    วิธีที่เราทำงาน

    เราจัดระดับกรณีการใช้งาน AI แต่ละกรณีร่วมกับคุณในช่วงสำรวจ ขั้นตอนอนุมัติ การบันทึก และเอกสารทางเทคนิคสร้างไว้ในระบบตั้งแต่การเปิดใช้ครั้งแรก ไม่ใช่เพิ่มเข้ามาก่อนการตรวจสอบ เอเจนต์ทำงานภายในสิทธิ์ที่จำกัด และขออนุมัติก่อนขั้นตอนที่มีผลกระทบ

  • การเข้าถึงได้

    วิธีที่เราทำงาน

    เราออกแบบและทดสอบหน้าจอตาม EN 301 549 และ WCAG 2.2 ระดับ AA ด้วยการตรวจอัตโนมัติและการตรวจโดยคนที่ใช้เทคโนโลยีสิ่งอำนวยความสะดวก และส่งมอบรายงานความสอดคล้องที่ระบุปัญหาที่ทราบทั้งหมด

  • ข้อมูลจัดเก็บภายในสหภาพยุโรป

    ตกลงเป็นรายโครงการ

    ภูมิภาคที่ตั้งของระบบ การควบคุมกุญแจเข้ารหัส และตำแหน่งที่ทีมสนับสนุนเข้าถึงระบบ ตัดสินใจร่วมกับคุณก่อนเริ่มสร้างและระบุไว้ในสถาปัตยกรรม รวมถึงทางเลือกแบบ sovereign cloud เมื่อข้อกำหนดของคุณต้องการ

หน้านี้อธิบายวิธีที่เราทำงานในฐานะผู้ให้บริการ ไม่ใช่คำรับรองการปฏิบัติตามกฎหมายแทนองค์กรของคุณ หน้าที่ใดใช้กับคุณขึ้นอยู่กับองค์กรและกรณีการใช้งานของคุณ และการประเมินทางกฎหมายเป็นหน้าที่ของที่ปรึกษากฎหมายของคุณ

NIS2

NIS2: สนับสนุนความปลอดภัยของห่วงโซ่อุปทานของคุณ

คำสั่ง NIS2 หรือคำสั่ง (EU) 2022/2555 กำหนดให้หน่วยงานสำคัญยิ่ง (essential) และหน่วยงานสำคัญ (important) ในสหภาพยุโรปบริหารความเสี่ยงด้านความมั่นคงปลอดภัยไซเบอร์ของระบบเครือข่ายและสารสนเทศ ความปลอดภัยของห่วงโซ่อุปทานเป็นหนึ่งในมาตรการขั้นต่ำตามมาตรา 21(2) และมาตรา 21(3) กำหนดให้หน่วยงานพิจารณาแนวปฏิบัติด้านความปลอดภัยของผู้จัดหาและผู้ให้บริการโดยตรงของตน

ในฐานะผู้ให้บริการของคุณ เราช่วยให้หน้าที่ส่วนนี้มีหลักฐานชัดเจนขึ้น ข้อกำหนดด้านความปลอดภัย ช่องทางแจ้งเหตุ และการจัดการช่องโหว่ตกลงกันในแต่ละสัญญา และมาตรการควบคุมที่ใช้กับงานของคุณมีเอกสารให้กระบวนการประเมินความเสี่ยงผู้ให้บริการของคุณตรวจสอบได้ ผู้ให้บริการในประเทศไทยที่มีลูกค้าในยุโรปซึ่งอยู่ภายใต้ NIS2 มักได้รับข้อกำหนดเหล่านี้ผ่านสัญญา ส่วนในประเทศไทย พ.ร.บ.การรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 กำหนดหน้าที่ของหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ (CII) โดยมี สกมช. เป็นหน่วยงานรับผิดชอบ กฎเหล่านี้ใช้กับองค์กรของคุณหรือไม่และอย่างไร ยังเป็นการประเมินขององค์กรเอง

  • ข้อกำหนดด้านความปลอดภัยในสัญญา

    การเข้าถึง การจ้างช่วง การแจ้งเหตุ และความร่วมมือในการตรวจสอบตกลงกันเป็นลายลักษณ์อักษร ไม่ใช่การสันนิษฐาน

  • ช่องทางแจ้งเหตุที่ใช้งานได้จริง

    ผู้ติดต่อที่ระบุชื่อและกรอบเวลาที่ตกลงไว้ เพื่อให้เหตุการณ์ฝั่งเราถึงคุณทันการแจ้งเตือนเบื้องต้นที่ NIS2 กำหนดภายใน 24 ชั่วโมง (มาตรา 23(4))

  • การจัดการช่องโหว่

    การสแกนไลบรารีที่ใช้ร่วม โค้ด และโครงสร้างพื้นฐานทำงานในไปป์ไลน์การส่งมอบ และสิ่งที่พบจะได้รับการแก้ไขหรือรายงานผ่านช่องทางที่ตกลงไว้

  • หลักฐานเมื่อร้องขอ

    ใบรับรอง ISO/IEC 27001 ของเรา และคำอธิบายมาตรการควบคุมที่ใช้กับงานของคุณ

DORA

DORA: ความเสี่ยงจากผู้ให้บริการ ICT ภายนอกของสถาบันการเงิน

Digital Operational Resilience Act หรือระเบียบ (EU) 2022/2554 ใช้บังคับตั้งแต่ 17 มกราคม 2568 ธนาคาร บริษัทประกัน บริษัทหลักทรัพย์ สถาบันการชำระเงิน และหน่วยงานทางการเงินอื่นในสหภาพยุโรปต้องบริหารความเสี่ยงจากผู้ให้บริการ ICT ภายนอกภายในกรอบการบริหารความเสี่ยงด้าน ICT จัดทำทะเบียนข้อมูลของข้อตกลงตามสัญญาทั้งหมดสำหรับบริการ ICT (มาตรา 28) และกำหนดข้อสัญญาสำคัญไว้ในสัญญาเหล่านั้น (มาตรา 30)

เมื่อเราให้บริการ ICT แก่หน่วยงานทางการเงิน เราตกลงข้อสัญญาตามที่มาตรา 30 ระบุ ได้แก่ คำอธิบายบริการที่ครบถ้วน สถานที่ให้บริการและสถานที่ประมวลผลข้อมูล ความช่วยเหลือเมื่อเกิดเหตุการณ์ด้าน ICT ความร่วมมือกับหน่วยงานกำกับที่เกี่ยวข้องของคุณ และสิทธิในการเลิกสัญญา สำหรับบริการที่รองรับหน้าที่สำคัญยิ่งหรือสำคัญ สัญญายังครอบคลุมกลยุทธ์การออกจากสัญญา และการเข้าร่วมทดสอบความยืดหยุ่นของคุณด้วย

เราจัดหาข้อมูลที่ทะเบียนข้อมูลของคุณต้องใช้ และจัดทำแผนการออกจากสัญญาตั้งแต่ต้น เพื่อให้การเปลี่ยนผู้ให้บริการยังเป็นทางเลือกที่ทำได้จริง ผู้ให้บริการ ICT ในประเทศไทยที่ให้บริการแก่หน่วยงานทางการเงินในสหภาพยุโรปปฏิบัติตามข้อกำหนดเหล่านี้ผ่านสัญญากับลูกค้า

  • บริการทางการเงินAI ภายใต้การกำกับดูแล แพลตฟอร์มที่ยืดหยุ่น และการดำเนินงานที่ออกแบบโดยคำนึงถึง DORA

กฎหมาย AI ของสหภาพยุโรป

EU AI Act: การกำกับดูแลโดยมนุษย์และเอกสารตั้งแต่การออกแบบ

EU AI Act หรือระเบียบ (EU) 2024/1689 ใช้บังคับเป็นระยะ ข้อห้ามและหน้าที่ด้านความรู้ความเข้าใจเกี่ยวกับ AI ใช้บังคับตั้งแต่กุมภาพันธ์ 2568 และหน้าที่ด้านความโปร่งใสตามมาตรา 50 ใช้บังคับตั้งแต่สิงหาคม 2569 หลังการแก้ไขในปี 2569 โดยระเบียบ (EU) 2026/1744 ข้อกำหนดสำหรับระบบ AI ความเสี่ยงสูงตามภาคผนวก III ใช้บังคับตั้งแต่ 2 ธันวาคม 2570 กฎหมายนี้ใช้กับผู้ให้บริการและผู้ใช้งานระบบ AI นอกสหภาพยุโรปด้วย หากผลลัพธ์ของระบบถูกนำไปใช้ในสหภาพยุโรป

สำหรับระบบความเสี่ยงสูง กฎหมายกำหนดให้มีเอกสารทางเทคนิค (มาตรา 11) การบันทึกเหตุการณ์อัตโนมัติ (มาตรา 12) และการออกแบบที่คนกำกับดูแลได้อย่างมีประสิทธิผล (มาตรา 14) และผู้ใช้งานระบบต้องมอบหมายการกำกับดูแลให้คนที่มีความสามารถและอำนาจในการดำเนินการ (มาตรา 26) เราสร้างระบบรองรับเรื่องนี้ตั้งแต่การเปิดใช้ครั้งแรก ขั้นตอนอนุมัติและความสามารถในการยกเลิกผลของระบบอยู่ในจุดที่การตัดสินใจมีผลต่อผู้คน และเอกสารเขียนไปพร้อมกับโค้ด

องค์กรของคุณเป็นผู้ให้บริการหรือผู้ใช้งานระบบ ขึ้นอยู่กับวิธีนำระบบไปใช้งาน คำถามนี้เป็นส่วนหนึ่งของการประเมินทางกฎหมายซึ่งเป็นหน้าที่ของที่ปรึกษากฎหมายของคุณ และเราจัดหาข้อเท็จจริงทางเทคนิคที่การประเมินต้องใช้ ณ พฤศจิกายน 2569 ประเทศไทยยังไม่มีกฎหมายว่าด้วยปัญญาประดิษฐ์ที่มีผลใช้บังคับ

ระหว่างการส่งมอบ

ความปลอดภัยในทุกขั้นของการส่งมอบ

หลักฐานการปฏิบัติตามกฎหมายมาจากวิธีทำงาน ไม่ใช่เอกสารที่เขียนขึ้นตอนท้าย

  • ให้สิทธิ์เท่าที่จำเป็น

    การเข้าถึงสภาพแวดล้อมและข้อมูลของคุณจำกัดเท่าที่งานต้องใช้ ตกลงก่อนเริ่มงาน และทบทวนทุกครั้งที่ทีมเปลี่ยน

  • ทุกการเปลี่ยนแปลงผ่านการตรวจทานและสแกน

    ทุกการเปลี่ยนแปลงผ่านการตรวจทานจากเพื่อนร่วมทีมก่อนเปิดใช้ การสแกนไลบรารีที่ใช้ร่วม โค้ด และโครงสร้างพื้นฐานทำงานอัตโนมัติ และมีการวางแผนทดสอบความปลอดภัยในทุกการเปิดใช้

  • จัดการเหตุการณ์ตามกระบวนการที่ตกลงไว้

    การจัดระดับเหตุการณ์ ผู้ติดต่อสำหรับการแจ้งเหตุ และการเก็บหลักฐานตกลงกันตั้งแต่เริ่มต้น และสร้างไว้ในกระบวนการจัดการเหตุการณ์ในกรณีที่ NIS2 หรือ DORA ใช้กับคุณ

  • การส่งมอบและการออกจากสัญญาที่มีเอกสาร

    คู่มือปฏิบัติงาน การตัดสินใจด้านสถาปัตยกรรม และแบบจำลองข้อมูลส่งมอบไปพร้อมกับระบบ และแผนการออกจากสัญญาทำให้เห็นการคืนข้อมูลและต้นทุนการเปลี่ยนผู้ให้บริการตั้งแต่ต้น

การตรวจสอบผู้ให้บริการ

ขอเอกสารด้านความปลอดภัยของเรา

ทีมจัดซื้อ ทีมความปลอดภัย และทีมกฎหมายต้องการหลักฐานก่อนลงนามในสัญญา คุณขอใบรับรอง ISO/IEC 27001 และขอบเขตการรับรอง คำตอบสำหรับแบบสอบถามด้านความปลอดภัยของผู้ให้บริการ และเงื่อนไขการประมวลผลข้อมูลที่จะใช้กับงานของคุณได้

ส่งคำขอผ่านหน้าติดต่อ และระบุกรอบที่คุณใช้ประเมินผู้ให้บริการ เช่น NIS2, DORA, PDPA หรือเกณฑ์ความปลอดภัยของประเทศ ทีมที่เหมาะสมจะติดต่อกลับ

  • ติดต่อเราระบุในข้อความว่าต้องการเอกสารด้านความปลอดภัย
  • ประกาศทางกฎหมายข้อมูลบริษัทและเลขทะเบียนสำหรับทะเบียนผู้ให้บริการของคุณ

ประเทศไทย

กฎของไทยและเกณฑ์ของสหภาพยุโรป

ในประเทศไทย PDPA ใช้บังคับเต็มรูปแบบตั้งแต่ 1 มิถุนายน 2565 และกำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม และแจ้งเหตุการละเมิดข้อมูลส่วนบุคคลต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลโดยไม่ชักช้า และภายใน 72 ชั่วโมงเท่าที่จะทำได้ เว้นแต่การละเมิดนั้นไม่มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของบุคคล ส่วน พ.ร.บ.การรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 กำหนดหน้าที่ของหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ โดยมี สกมช. เป็นหน่วยงานรับผิดชอบ

ในสหภาพยุโรป GDPR, DORA และ EU AI Act เป็นระเบียบที่ใช้บังคับโดยตรงทั่วสหภาพ ส่วน NIS2 เป็นคำสั่งที่แต่ละประเทศสมาชิกนำไปออกเป็นกฎหมายภายใน รายละเอียดจึงแตกต่างกันตามประเทศ และการกำกับดูแลเป็นระดับประเทศในทุกกรณี สำหรับโครงการที่ครอบคลุมหลายประเทศ เราตกลงมาตรการควบคุมชุดเดียว และเชื่อมช่องทางแจ้งเหตุแต่ละช่องทางเข้ากับหน่วยงานที่องค์กรนั้นต้องรายงาน

คำถามจากทีมจัดซื้อและทีมความปลอดภัย

FromNine ได้รับการรับรอง ISO/IEC 27001 หรือไม่

ได้รับการรับรอง ระบบบริหารจัดการความมั่นคงปลอดภัยสารสนเทศของเราได้รับการรับรองตาม ISO/IEC 27001 เราให้ใบรับรองและขอบเขตการรับรองเมื่อร้องขอ เพื่อใช้ในขั้นตอนตรวจสอบผู้ให้บริการของคุณ

ในฐานะผู้ให้บริการ FromNine ช่วยองค์กรเรื่องหน้าที่ตาม NIS2 อย่างไร

เราตกลงข้อกำหนดด้านความปลอดภัย ช่องทางแจ้งเหตุ และการจัดการช่องโหว่ไว้ในสัญญา จัดทำเอกสารมาตรการควบคุมที่ใช้กับงานของคุณ และให้หลักฐานที่การประเมินความเสี่ยงผู้ให้บริการของคุณต้องใช้ NIS2 ใช้กับองค์กรของคุณหรือไม่และอย่างไร เป็นเรื่องที่คุณและที่ปรึกษากฎหมายต้องประเมิน

FromNine ตกลงข้อสัญญาที่ DORA กำหนดหรือไม่

ตกลง เราตกลงข้อสัญญาตามมาตรา 30 ของ DORA แจ้งเหตุการณ์ผ่านช่องทางที่ตกลงไว้ จัดทำแผนการออกจากสัญญา เข้าร่วมการทดสอบความยืดหยุ่น และจัดหาข้อมูลที่ทะเบียนข้อมูลของคุณต้องใช้

ใครรับผิดชอบการปฏิบัติตาม EU AI Act

ขึ้นอยู่กับบทบาทของคุณในฐานะผู้ให้บริการหรือผู้ใช้งานระบบ และระดับความเสี่ยงของกรณีการใช้งาน เราจัดระดับกรณีการใช้งานแต่ละกรณีร่วมกับคุณในช่วงสำรวจ สร้างการกำกับดูแล การบันทึก และเอกสารไว้ในระบบ และจัดหาข้อเท็จจริงทางเทคนิคที่ที่ปรึกษากฎหมายของคุณต้องใช้ในการประเมินทางกฎหมาย

ข้อมูลขององค์กรจะจัดเก็บและประมวลผลที่ใด

ในตำแหน่งที่ตกลงกับคุณก่อนเริ่มสร้าง ได้แก่ คลาวด์ขององค์กรเอง ภูมิภาคในสหภาพยุโรปของคลาวด์สาธารณะ หรือระบบภายในองค์กรสำหรับงานที่มีข้อมูลอ่อนไหว เราเลือกบริการโฮสติ้งและบริการ AI ให้สอดคล้องกัน และบันทึกทางเลือกนั้นพร้อมทางเลือกในการออกจากสัญญา หากมีการส่งข้อมูลส่วนบุคคลจากประเทศไทยไปยังต่างประเทศ การส่งนั้นต้องเป็นไปตามเงื่อนไขของ PDPA มาตรา 28 และมาตรา 29

ขอเอกสารด้านความปลอดภัยได้อย่างไร

ผ่านหน้าติดต่อ บอกเราว่าต้องการเอกสารใดและใช้กรอบใดประเมินผู้ให้บริการ แล้วทีมที่เหมาะสมจะติดต่อกลับ

ขอดูหลักฐาน

บอกเราว่าคุณใช้กรอบใดประเมินผู้ให้บริการและต้องการเอกสารใด เราจะแจ้งว่าเราให้อะไรได้บ้างและให้อย่างไร

ขอเอกสารด้านความปลอดภัยเกี่ยวกับ FromNine