รู้จักเรา

การกำกับดูแลกิจการที่ดี

​​

นโยบายความมั่นคงปลอดภัยด้านเทคโนโลยีสารสนเทศ
(Information Security Policy)

1. ข้อกําหนดทั่วไป

     บริษัท กรุงเทพประกันชีวิต จำกัด (มหาชน) “บริษัท” กำหนดให้มีนโยบายความมั่นคงปลอดภัยด้านเทคโนโลยีสารสนเทศ ที่ครอบคลุมทั้งด้านความมั่นคงปลอดภัยทางเทคโนโลยีสารสนเทศ และความมั่นคงปลอดภัยทางไซเบอร์ สอดคล้องกับการนำเทคโนโลยีสารสนเทศมาใช้ในการดำเนินธุรกิจ โดยรักษาไว้ซึ่งความลับ ความถูกต้อง และความพร้อมใช้งานของระบบและข้อมูลสารสนเทศของบริษัท

1.1 วัตถุประสงค์

     นโยบายฉบับนี้จัดทำขึ้นเพื่อให้ระบบสารสนเทศของบริษัท มีการประเมินและจัดการความเสี่ยงให้อยู่ในระดับที่ยอมรับได้ มีการควบคุมภายในที่ดี มีความมั่นคงปลอดภัย ถูกต้องและเชื่อถือได้ ตลอดจนข้อมูลและทรัพย์สินสารสนเทศของบริษัท ได้รับการดูแลรักษาอย่างเหมาะสม สอดคล้องตามข้อบังคับ กฎ ระเบียบ กฎหมายด้านความมั่นคงปลอดภัยสารสนเทศ มาตรฐานสากลที่เกี่ยวข้อง และประกาศคำสั่งของหน่วยงานกำกับธุรกิจ

1.2 ขอบเขตของนโยบาย

     บุคลากรของบริษัท กรุงเทพประกันชีวิต จำกัด (มหาชน) และบริษัทย่อย ต้องศึกษา ทำความเข้าใจ นโยบายความมั่นคงปลอดภัยด้านเทคโนโลยีสารสนเทศฉบับนี้ และถือปฏิบัติอย่างเคร่งครัด

1.3 วันที่มีผลบังคับใช้

     นโยบายฉบับนี้มีผลบังคับใช้ตั้งแต่วันที่คณะกรรมการบริษัทอนุมัติ

1.4 ความถี่ในการทบทวน และการแก้ไขปรับปรุงนโยบาย

     นโยบายฉบับนี้จะต้องได้รับการทบทวนทุกปี หรือเมื่อมีการเปลี่ยนแปลงที่มีนัยสําคัญแก่การแก้ไขทบทวนแก้ไข ปรับปรุง

     การแก้ไขปรับปรุงที่มีนัยสําคัญ การทบทวน หรือการต่ออายุนโยบายฉบับนี้ จะต้องได้รับการอนุมัติโดยคณะกรรมการบริษัท ทั้งนี้ การแก้ไขปรับปรุงที่ไม่มีนัยสําคัญจะต้องได้รับการอนุมัติโดยคณะกรรมการจัดการ (“Management Committee: MC”) และ/หรือคณะกรรมการชุดย่อยที่เกี่ยวเนื่อง ก่อนนำรายงานต่อคณะกรรมการบริษัทเพื่อทราบตามลำดับ

1.5 ผู้รับผิดชอบนโยบาย

     สายเทคโนโลยีสารสนเทศ เป็นผู้รับผิดชอบบริหารจัดการนโยบายฉบับนี้

2. ข้อกําหนดหลัก

2.1 คำนิยาม

2.1.1 “บริษัท” หมายถึง บริษัท กรุงเทพประกันชีวิต จำกัด (มหาชน)
2.1.2 “บริษัทย่อย” หมายถึง บริษัทที่บริษัทถือหุ้นไม่ว่าทางตรงหรือทางอ้อมเกินกว่าร้อยละ 50
2.1.3 “ระบบสารสนเทศ” (Information Technology) หมายถึง ระบบหรือกระบวนการประมวลผลข้อมูลโดยการใช้เทคโนโลยีคอมพิวเตอร์เข้ามาใช้จัดการข้อมูล (Data) อย่างเป็นระบบ เพื่อให้ได้สารสนเทศ (Information) ที่มีประสิทธิภาพ ในการสนับสนุนธุรกิจ.
2.1.4 “ความมั่นคงปลอดภัยระบบเทคโนโลยีสารสนเทศ” (Information Technology Security) หมายถึง การป้องกันด้านเทคโนโลยีสารสนเทศและทรัพย์สินสารสนเทศจากการเข้าถึง ใช้ เปิดเผย ขัดขวาง เปลี่ยนแปลง แก้ไข ทำให้สูญหาย ทำให้เสียหาย ถูกทำลาย หรือล่วงรู้โดยมิชอบ โดยการธํารงไว้ซึ่งความลับ (Confidentiality) ความถูกต้องครบถ้วน (Integrity) และสภาพพร้อมใช้งาน (Availability) ของเทคโนโลยีสารสนเทศและทรัพย์สินสารสนเทศ รวมทั้งคุณสมบัติอื่น ได้แก่ ความถูกต้องแท้จริง (Authenticity) ความรับผิดชอบ (Accountability) การห้ามปฏิเสธความรับผิดชอบ (Non-Repudiation) และความน่าเชื่อถือ (Reliability) รวมถึง การตอบสนองต่อภัยคุกคามและกู้คืนระบบสารสนเทศให้กลับมาเป็นปกติได้รวดเร็วไม่ทำให้ธุรกิจหยุดชะงัก (Resilience)
2.1.5 “การรักษาความมั่นคงปลอดภัยทางไซเบอร์” (Cyber Security) หมายถึง มาตรการหรือการดำเนินการที่กำหนดขึ้น เพื่อป้องกัน รับมือและลดความเสี่ยงจากภัยคุกคามทางไซเบอร์ทั้งจากภายในและภายนอก อันกระทบต่อความมั่นคงของระบบเทคโนโลยีสารสนเทศ
2.1.6 “ภัยคุกคามทางไซเบอร์” (Cyber Threat) หมายถึง การกระทำหรือการดำเนินการใด ๆ โดยมิชอบโดยใช้คอมพิวเตอร์หรือระบบคอมพิวเตอร์หรือโปรแกรมไม่พึงประสงค์ โดยมุ่งหมายให้เกิดการประทุษร้าย และ ส่งผลกระทบด้านการปฏิบัติงาน ต่อระบบคอมพิวเตอร์ ข้อมูลคอมพิวเตอร์ หรือข้อมูลอื่นที่เกี่ยวข้อง
2.1.7 “โปรแกรมไม่ประสงค์ดี” (Malicious Software) หมายถึง โปรแกรมที่สร้างขึ้น เพื่อให้เกิดผลลัพธ์ที่ไม่พึงประสงค์กับผู้ใช้งานหรือระบบ โดยทำงานในลักษณะที่เป็นการโจมตีระบบ การทำให้ระบบเสียหาย รวมไปถึงการโจรกรรมข้อมูล
2.1.8 “โปรแกรมป้องกันไวรัส” (Antivirus Software) หมายถึง โปรแกรมที่สร้างขึ้น เพื่อคอยตรวจจับ ป้องกัน และกำจัดโปรแกรมไม่ประสงค์ดีหรือโปรแกรมคุกคามทางคอมพิวเตอร์ ซึ่งหมายถึง ไวรัส เวิร์ม โทรจัน สปายแวร์ แอดแวร์ และซอฟต์แวร์คุกคามประเภทอื่น ๆ

2.2 หลักการทั่วไป

     นโยบายฉบับนี้จัดทำขึ้นเพื่อให้มั่นใจว่าการดำเนินงานด้านเทคโนโลยีสารสนเทศของบริษัทเป็นไปอย่างมีประสิทธิภาพและสอดคล้องกับเป้าหมายเชิงกลยุทธ์ของบริษัท รวมถึงเป็นไปตามกฎหมาย ระเบียบ ข้อบังคับ และกฏเกณฑ์ที่เกี่ยวข้อง เพื่อให้การบริหารจัดการด้านเทคโนโลยีสารสนเทศมีความมั่นคงปลอดภัย และสามารถรองรับการดำเนินธุรกิจได้อย่างต่อเนื่อง

2.3 บทบาท หน้าที่ และความรับผิดชอบ

     บุคลากรของบริษัทและบริษัทย่อย บุคคลที่มีความเกี่ยวข้องกับบริษัทและบริษัทย่อย รวมถึงผู้ให้บริการภายนอก มีหน้าที่และความรับผิดชอบในการนำนโยบายไปปฏิบัติ และมีบทบาทตามกรอบการปฏิบัติงานความมั่นคงปลอดภัยด้านเทคโนโลยีสารสนเทศ (Information Security Framework)

2.4 ข้อกำหนด

2.4.1 จัดให้มีกรอบการปฏิบัติงานความมั่นคงปลอดภัยด้านเทคโนโลยีสารสนเทศที่เหมาะสมและรัดกุม ครอบคลุมถึงผู้ให้บริการภายนอกที่มีการใช้บริการ
2.4.2 จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยด้านเทคโนโลยีสารสนเทศ เพื่อธำรงไว้ซึ่งความลับ (Confidentiality) ความถูกต้องครบถ้วน (Integrity) สภาพพร้อมใช้งาน (Availability) ของระบบสารสนเทศภายในบริษัท และความต่อเนื่องในการดำเนินธุรกิจ (Business Continuity)
2.4.3 จัดให้มีการบริหารจัดการทรัพย์สินสารสนเทศ มีการจำแนกประเภททรัพย์สินสารสนเทศและจัดระดับชั้นความลับ มีมาตรการป้องกันระบบและข้อมูลสารสนเทศของบริษัทจากการเข้าถึงโดยไม่ได้รับอนุญาต เพื่อไม่ให้เกิดข้อมูลรั่วไหล หรือการแสวงหาประโยชน์จากตำแหน่งหน้าที่โดยมิชอบ
2.4.4 จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยทางกายภาพและสภาพแวดล้อม มีมาตรการควบคุมการใช้งานของผู้ใช้งานและผู้ดูแลระบบ มีมาตรการป้องกันและรักษาความมั่นคงปลอดภัยในการปฏิบัติงานด้านเทคโนโลยีสารสนเทศ รวมทั้งมีแนวทางในการกำกับดูแลความเสี่ยงและความมั่นคงปลอดภัยทาง ไซเบอร์
2.4.5 จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยด้านการสื่อสารข้อมูลสารสนเทศ มีมาตรการการเข้ารหัสข้อมูล เพื่อควบคุมการรับส่งหรือแลกเปลี่ยนข้อมูลสารสนเทศ รวมถึงมีแนวปฏิบัติที่ดีในการจัดหา พัฒนา และดูแลรักษาระบบสารสนเทศ
2.4.6 จัดให้มีมาตรการป้องกันโปรแกรมไม่ประสงค์ดี ภัยคุกคามที่มีต่อระบบสารสนเทศ และภัยคุกคามทาง ไซเบอร์ รวมถึงมีการบริหารจัดการโปรแกรมป้องกันไวรัส การบริหารจัดการช่องโหว่ทางเทคนิค หรือการทดสอบความมั่นคงปลอดภัยของระบบสารสนเทศอย่างต่อเนื่อง หรืออย่างน้อยปีละ 1 ครั้ง
2.4.7 จัดให้มีมาตรการเฝ้าระวัง ติดตาม ตรวจจับ และบริหารจัดการเหตุการณ์ภัยคุกคามทางไซเบอร์ เพื่อสามารถระบุ วิเคราะห์ จัดการ และตอบสนองต่อเหตุการณ์ได้อย่างมีประสิทธิภาพ
2.4.8 จัดให้มีการบริหารโครงการด้านเทคโนโลยีสารสนเทศที่มีประสิทธิภาพ มีการจัดทำแผนบริหารความต่อเนื่องในการดำเนินธุรกิจ และแผนฉุกเฉินด้านเทคโนโลยีสารสนเทศ เพื่อเตรียมความพร้อมและสามารถรับมือภัยหรือเหตุการณ์ต่าง ๆ ที่อาจส่งผลกระทบต่อการดำเนินธุรกิจ และการปฏิบัติงานด้านเทคโนโลยีสารสนเทศได้อย่างทันท่วงที
2.4.9 จัดให้มีการสื่อสารและนำไปปฏิบัติให้เกิดประสิทธิผลทั่วทั้งบริษัท ส่งเสริมและพัฒนาให้เกิดความตระหนักรู้ด้านความมั่นคงปลอดภัยด้านเทคโนโลยีสารสนเทศให้กับบุคลากรอย่างสม่ำเสมอ

2.5 บทลงโทษ

     ผู้ที่ฝ่าฝืนการปฏิบัติตามนโยบายฉบับนี้อาจได้รับโทษตามระเบียบของบริษัท และอาจต้องรับโทษตามที่กฎหมายกำหนดไว้