Law_Book_2019_e-Book_update

๒๑ การประชุมของคณะกรรมการอาจกระทำโดยวิธีการทางอิเล็กทรอนิกสตามที่ คณะกรรมการกำหนดก็ได๓๕ มาตรา ๔๒ คณะกรรมการมีอำนาจแตงตั้งคณะอนุกรรมการเพื่อพิจารณาหรือ ปฏบิ ตั กิ ารอยางหนึง่ อยางใดแทนคณะกรรมการก็ได ใหนำความในมาตรา ๔๑ มาใชบ ังคบั แกการประชุมของคณะอนุกรรมการโดยอนุโลม มาตรา ๔๒/๑๓๖ ใหคณะกรรมการไดรับเบี้ยประชุมและประโยชนตอบแทนอื่นตาม หลกั เกณฑท่คี ณะรฐั มนตรกี ำหนด คณะอนุกรรมการที่คณะกรรมการแตงตั้งตามมาตรา ๔๒ ใหไดรับเบี้ยประชุมและ ประโยชนต อบแทนอ่ืนตามหลกั เกณฑท่คี ณะกรรมการกำหนด มาตรา ๔๓๓๗ ใหสำนกั งานทำหนาทเี่ ปนหนว ยงานธุรการของคณะกรรมการ ใหสำนักงานจัดทำแผนยุทธศาสตรเกี่ยวกับธุรกรรมทางอิเล็กทรอนิกส เพื่อเสนอ คณะกรรมการใหความเห็นชอบตามมาตรา ๓๗ (๑) และจัดสงใหหนวยงานที่เกี่ยวของ เพือ่ ดำเนนิ การตอ ไป มาตรา ๔๓/๑๓๘ แผนยุทธศาสตรที่สำนักงานตองจัดทำตามมาตรา ๔๓ วรรคสอง ตองสอดคลองกับนโยบายและแผนระดับชาติวาดวยการพัฒนาดิจิทัลเพื่อเศรษฐกิจและสังคม ตามกฎหมายวาดวยการพัฒนาดิจิทัลเพื่อเศรษฐกิจและสังคม โดยอยางนอยตองกำหนดเรื่อง ดังตอไปน้ี (๑) กลไกและมาตรการดานการพัฒนาโครงสรางพื้นฐานทางเทคโนโลยีดิจิทัล เพื่อรองรับการทำธุรกรรมทางอิเล็กทรอนิกส พาณิชยอิเล็กทรอนิกส และธุรกิจบริการเกี่ยวกับ ธุรกรรมทางอเิ ลก็ ทรอนิกสแ ละธุรกรรมทางอเิ ล็กทรอนิกสภ าครฐั (๒) มาตรการการสงเสริมและสนับสนุนการใหมีระบบการบริการในการทำธุรกรรม ทางอิเล็กทรอนิกส พาณิชยอิเล็กทรอนิกส และการใหบริการธุรกรรมทางอิเล็กทรอนิกส โดยใช เทคโนโลยีดจิ ทิ ัล เพื่อสนับสนนุ การพฒั นาประเทศในดานตาง ๆ (๓) กระบวนการสงเสริมใหเกิดการพัฒนามาตรฐานและกฎเกณฑการใชงาน ทางเทคโนโลยีดิจิทัล เพื่อใหการทำงานของระบบมีการเชื่อมโยงกันอยางมีความมั่นคงปลอดภัย พรอมใชง าน และมคี วามนาเชอ่ื ถือในการใหบรกิ าร (๔) แนวทางและมาตรการเกี่ยวกับการสงเสริมการผลิตและพฒั นาบุคลากรดา นธุรกรรม ทางอิเล็กทรอนิกส พาณิชยอิเล็กทรอนิกส และธุรกิจบริการเกี่ยวกับธุรกรรมทางอิเล็กทรอนิกส และธุรกรรมทางอเิ ลก็ ทรอนกิ สภาครฐั รวมทง้ั การประยกุ ตการใชงานเทคโนโลยีดิจทิ ัลทเ่ี กีย่ วขอ ง ๓๕ มาตรา ๔๑ วรรคส่ี เพ่มิ โดยพระราชบญั ญตั ิวา ดวยธรุ กรรมทางอิเลก็ ทรอนกิ ส (ฉบบั ที่ ๓) พ.ศ. ๒๕๖๒ 50 ๓๖ มาตรา ๔๒/๑ เพม่ิ โดยพระราชบญั ญตั วิ า ดวยธรุ กรรมทางอิเล็กทรอนกิ ส (ฉบบั ที่ ๒) พ.ศ. ๒๕๕๑ ๓๗ มาตรา ๔๓ แกไ ขเพมิ่ เตมิ โดยพระราชบญั ญัติวาดว ยธรุ กรรมทางอเิ ล็กทรอนกิ ส (ฉบับท่ี ๓) พ.ศ. ๒๕๖๒ ๓๘ มาตรา ๔๓/๑ เพ่มิ โดยพระราชบญั ญัตวิ าดวยธุรกรรมทางอิเลก็ ทรอนกิ ส (ฉบบั ท่ี ๓) พ.ศ. ๒๕๖๒ ส�ำ นักงานพัฒนาธรุ กรรมทางอิเลก็ ทรอนกิ ส์

๒๒ (๕) แนวทางการสงเสริมและสนับสนุนการศึกษา คนควา และวิจัยเทคโนโลยีดิจิทัล ดานธุรกรรมทางอิเล็กทรอนิกส พาณิชยอิเล็กทรอนิกส และการใหบริการธุรกรรม ทางอิเล็กทรอนิกส รวมทั้งสงเสริมใหมีการเผยแพรความรูใหแกประชาชนเพื่อใชประโยชนจาก เทคโนโลยีดังกลา ว หมวด ๖ บทกำหนดโทษ  มาตรา ๔๔๓๙ ผูใดประกอบธุรกิจบริการเกี่ยวกับธุรกรรมทางอิเล็กทรอนิกสโดยไมแจง ตอพนักงานเจาหนาที่ตามที่กำหนดในพระราชกฤษฎีกาตามมาตรา ๓๓ วรรคหนึ่ง โดยฝาฝน คำสั่งของพนักงานเจาหนาที่ใหหยุดการใหบริการหรือคำสั่งหามมิใหใหบริการในสวนที่เกี่ยวกับ ธุรกรรมทางอิเล็กทรอนิกสในการประกอบธุรกิจตามมาตรา ๓๓ วรรคสาม หรือตามมาตรา ๓๓ วรรคหา แลวแตกรณี หรือประกอบธุรกิจบริการเกี่ยวกับธุรกรรมทางอิเล็กทรอนิกส ภายหลังจากพนักงานเจาหนาที่ถอนการรับแจงตามมาตรา ๓๓ วรรคหก ตองระวางโทษจำคุก ไมเ กนิ หน่งึ ป หรอื ปรบั ไมเ กนิ หน่งึ แสนบาท หรือทง้ั จำทัง้ ปรับ มาตรา ๔๔/๑๔๐ ผใู ดประกอบธุรกจิ บรกิ ารเก่ยี วกับธรุ กรรมทางอิเล็กทรอนิกส โดยไมข ้นึ ทะเบียนตอพนักงานเจาหนาที่ตามที่กำหนดในพระราชกฤษฎีกาตามมาตรา ๓๓/๑ วรรคหน่ึง หรือประกอบธุรกจิ บริการเกย่ี วกับธรุ กรรมทางอเิ ล็กทรอนิกสภ ายหลังจากมีคำสั่งเพิกถอนการขึ้น ทะเบยี นตามมาตรา ๓๓/๑ วรรคสี่ หรอื วรรคแปด แลวแตกรณี ตอ งระวางโทษจำคุกไมเ กินสองป หรอื ปรบั ไมเกินสองแสนบาท หรือท้ังจำท้งั ปรับ มาตรา ๔๕๔๑ ผใู ดประกอบธุรกิจบริการเกย่ี วกบั ธรุ กรรมทางอิเล็กทรอนิกส โดยไมไดรับ ใบอนุญาตตามมาตรา ๓๔ หรือประกอบธุรกิจบริการเก่ียวกับธุรกรรมทางอิเล็กทรอนิกส ในระหวางท่มี คี ำส่ังพักใชใบอนุญาตหรือภายหลังจากมีคำส่งั เพิกถอนใบอนุญาตของคณะกรรมการ ตองระวางโทษจำคุกไมเกินสามป หรอื ปรบั ไมเ กินสามแสนบาท หรอื ทัง้ จำท้ังปรับ มาตรา ๔๕/๑๔๒ ผูใดประกอบธุรกิจบริการเกี่ยวกับระบบการพิสูจนและยืนยันตัวตน ทางดิจิทัลโดยไมไดรับใบอนุญาตตามมาตรา ๓๔/๔ หรือประกอบธุรกิจบริการเกี่ยวกับระบบ การพิสูจนและยืนยันตัวตนทางดิจิทัลในระหวางที่มีคำสั่งพักใชใบอนุญาตหรือภายหลังจากมี คำสั่งเพิกถอนใบอนุญาตของคณะกรรมการหรือคณะกรรมการตามมาตรา ๓๔/๔ วรรคสอง ตอ งระวางโทษจำคกุ ไมเ กินสามป หรอื ปรบั ไมเ กินสามแสนบาท หรอื ทัง้ จำท้งั ปรับ ๓๙ มาตรา ๔๔ แกไขเพิ่มเติมโดยพระราชบัญญตั ิวาดว ยธุรกรรมทางอเิ ล็กทรอนิกส (ฉบับที่ ๓) พ.ศ. ๒๕๖๒ 51 ๔๐ มาตรา ๔๔/๑ เพิม่ โดยพระราชบญั ญัตวิ า ดวยธรุ กรรมทางอิเล็กทรอนกิ ส (ฉบับท่ี ๓) พ.ศ. ๒๕๖๒ ๔๑ มาตรา ๔๕ แกไ ขเพิม่ เตมิ โดยพระราชบญั ญัตวิ าดว ยธรุ กรรมทางอิเล็กทรอนกิ ส (ฉบบั ที่ ๓) พ.ศ. ๒๕๖๒ ๔๒ มาตรา ๔๕/๑ เพิม่ โดยพระราชบญั ญัตวิ าดวยธรุ กรรมทางอเิ ลก็ ทรอนกิ ส (ฉบบั ท่ี ๔) พ.ศ. ๒๕๖๒ สำ�นกั งานพฒั นาธรุ กรรมทางอิเลก็ ทรอนิกส์

๒๓ มาตรา ๔๖๔๓ ในกรณีที่ผูกระทำความผิดเปนนิติบุคคล ถาการกระทำความผิดของ นิติบุคคลนั้นเกิดจากการสั่งการหรือการกระทำของกรรมการ หรือผูจัดการ หรือบุคคลใด ซึ่งรับผิดชอบในการดำเนินงานของนิตบิ ุคคลนั้น หรือในกรณีที่บุคคลดังกลาวมหี นาท่ีตองสัง่ การ หรอื กระทำการและละเวนไมส่ังการหรือไมก ระทำการจนเปนเหตุใหน ิตบิ ุคคลน้ันกระทำความผิด ผูนัน้ ตอ งรับโทษตามทบี่ ัญญัตไิ วสำหรบั ความผดิ นัน้ ๆ ดว ย ผูรบั สนองพระบรมราชโองการ พนั ตำรวจโท ทักษณิ ชินวตั ร นายกรัฐมนตรี ๔๓ มาตรา ๔๖ แกไขเพิ่มเติมโดยพระราชบัญญัติแกไขเพิ่มเติมบทบัญญัติแหงกฎหมายที่เกี่ยวกับความรับผิด ในทางอาญาของผูแทนนิตบิ ุคคล พ.ศ. ๒๕๖๐ สำ�นกั งานพัฒนาธรุ กรรมทางอิเลก็ ทรอนกิ ส์ 52

๒๔ หมายเหตุ : เหตุผลในการประกาศใชพระราชบัญญัติฉบับน้ี คอื โดยที่การทำธุรกรรมในปจจุบัน มีแนวโนมที่จะปรับเปลี่ยนวิธีการในการติดตอสื่อสารที่อาศัยการพัฒนาการเทคโนโลยี ทางอิเล็กทรอนิกสซึ่งมีความสะดวก รวดเร็วและมีประสิทธิภาพ แตเนื่องจากการทำธุรกรรม ทางอิเล็กทรอนิกสดังกลาวมีความแตกตางจากวิธีการทำธุรกรรมซึ่งมีกฎหมายรองรับอยูใน ปจจุบันเปนอยางมาก อันสงผลใหตองมีการรองรับสถานะทางกฎหมายของขอมูล ทางอิเล็กทรอนิกสใหเสมอกับการทำเปนหนังสอื หรือหลักฐานเปนหนังสือ การรับรองวิธีการสง และรับขอมูลอิเล็กทรอนิกส การใชลายมือชื่ออิเล็กทรอนิกส ตลอดจนการรับฟงพยานหลักฐาน ที่เปนขอมูลอิเล็กทรอนิกส เพื่อเปนการสงเสริมการทำธุรกรรมทางอิเล็กทรอนิกสใหนาเชื่อถือ และมีผลในทางกฎหมายเชนเดียวกับการทำธุรกรรมโดยวิธีการทั่วไปที่เคยปฏิบัติอยูเดิม ควรกำหนดใหมีคณะกรรมการธุรกรรมทางอิเล็กทรอนกิ สทำหนาที่วางนโยบายกำหนดหลักเกณฑ เพ่ือสงเสริมการทำธุรกรรมทางอิเล็กทรอนิกส ติดตามดูแลการประกอบธุรกิจเกี่ยวกับธุรกรรม ทางอิเล็กทรอนิกส รวมทั้งมีหนาที่ในการสงเสริมการพัฒนาการทางเทคโนโลยีเพื่อติดตาม ความกา วหนา ของเทคโนโลยี ซ่ึงมกี ารเปลยี่ นแปลงและพฒั นาศักยภาพตลอดเวลาใหมีมาตรฐาน นา เชอื่ ถอื ตลอดจนเสนอแนะแนวทางแกไ ขปญ หาและอุปสรรคท่ีเก่ยี วของ อนั จะเปนการสง เสริม การใชธุรกรรมทางอิเล็กทรอนิกสทั้งภายในประเทศและระหวางประเทศ ดวยการมีกฎหมาย รองรบั ในลักษณะทเี่ ปนเอกรูป และสอดคลอ งกบั มาตรฐานท่นี านาประเทศยอมรบั จงึ จำเปนตอง ตราพระราชบญั ญตั นิ ้ี *พระราชกฤษฎีกาแกไขบทบัญญัติใหสอดคลองกับการโอนอำนาจหนาที่ของสวนราชการ ใหเ ปนไปตามพระราชบญั ญตั ปิ รับปรุงกระทรวง ทบวง กรม พ.ศ. ๒๕๔๕ พ.ศ. ๒๕๔๕๔๔ มาตรา ๑๐๒ ในพระราชบญั ญตั วิ า ดว ยธุรกรรมทางอิเลก็ ทรอนิกส พ.ศ. ๒๕๔๔ ใหแ กไข คำวา “รัฐมนตรวี า การกระทรวงวทิ ยาศาสตร เทคโนโลยแี ละสง่ิ แวดลอม” เปน “รัฐมนตรีวาการ กระทรวงเทคโนโลยสี ารสนเทศและการสอ่ื สาร” หมายเหตุ : เหตผุ ลในการประกาศใชพระราชกฤษฎกี าฉบบั นี้ คือ โดยท่พี ระราชบัญญัตปิ รับปรุง กระทรวง ทบวง กรม พ.ศ. ๒๕๔๕ ไดบ ญั ญัตใิ หจดั ต้ังสวนราชการขึ้นใหมโ ดยมภี ารกจิ ใหม ซึ่งได มีการตราพระราชกฤษฎีกาโอนกิจการบริหารและอำนาจหนาที่ของสวนราชการใหเปนไปตาม พระราชบัญญัติปรับปรุงกระทรวง ทบวง กรม นั้นแลว และเนื่องจากพระราชบัญญัติดังกลา วได บัญญัติใหโอนอำนาจหนาที่ของสวนราชการ รัฐมนตรีผูดำรงตำแหนงหรือผูซึ่งปฏิบัติหนาที่ใน สวนราชการเดิมมาเปนของสว นราชการใหม โดยใหมกี ารแกไ ขบทบัญญัติตาง ๆ ใหส อดคลองกับ อำนาจหนาที่ที่โอนไปดวย ฉะนั้น เพื่ออนุวัติใหเปนไปตามหลักการที่ปรากฏในพระราชบัญญัติ และพระราชกฤษฎีกาดังกลาว จึงสมควรแกไขบทบัญญัติของกฎหมายใหสอดคลองกับการโอน สวนราชการ เพื่อใหผูเกี่ยวของมีความชัดเจนในการใชกฎหมายโดยไมตองไปคนหาในกฎหมาย ๔๔ ราชกิจจานเุ บกษา เลม ๑๑๙/ตอนที่ ๑๐๒ ก/หนา ๖๖/๘ ตุลาคม ๒๕๔๕ ส�ำ นกั งานพัฒนาธรุ กรรมทางอิเลก็ ทรอนิกส์ 53

๒๕ โอนอำนาจหนาที่วาตามกฎหมายใดไดมีการโอนภารกิจของสวนราชการหรือผูรับผิดชอบตาม กฎหมายนั้นไปเปนของหนวยงานใดหรือผูใดแลว โดยแกไขบทบัญญัติของกฎหมายใหมี การเปลีย่ นชือ่ สวนราชการ รัฐมนตรีผดู ำรงตำแหนงหรือผูซึง่ ปฏบิ ัติหนาที่ของสวนราชการใหตรง กับการโอนอำนาจหนาที่ และเพิ่มผูแทนสวนราชการในคณะกรรมการใหตรงตามภารกิจที่มี การตดั โอนจากสวนราชการเดิมมาเปนของสวนราชการใหมรวมทง้ั ตดั สวนราชการเดิมท่ีมีการยุบ เลิกแลว ซง่ึ เปนการแกไขใหต รงตามพระราชบัญญัติและพระราชกฤษฎกี าดังกลาว จึงจำเปนตอง ตราพระราชกฤษฎีกานี้ พระราชบญั ญตั วิ าดวยธุรกรรมทางอเิ ลก็ ทรอนกิ ส (ฉบับที่ ๒) พ.ศ. ๒๕๕๑๔๕ มาตรา ๒ พระราชบญั ญตั นิ ้ีใหใชบังคับต้ังแตวันถดั จากวนั ประกาศในราชกิจจานุเบกษา เปนตน ไป มาตรา ๑๑ ในระหวางที่จัดตั้งสำนักงานคณะกรรมการธุรกรรมทางอิเล็กทรอนิกส ตามมาตรา ๔๓ แหง พระราชบัญญัติวาดว ยธุรกรรมทางอิเล็กทรอนิกส พ.ศ. ๒๕๔๔ ซงึ่ แกไขเพ่ิมเติม โดยพระราชบัญญัตินี้ยังไมแลวเสร็จ ใหสำนักงานปลัดกระทรวงเทคโนโลยีสารสนเทศและ การสื่อสารรับผิดชอบทำหนาที่หนวยงานธุรการของคณะกรรมการธุรกรรมทางอิเล็กทรอนิกส ไปพลางกอน ใหป ลดั กระทรวงเทคโนโลยีสารสนเทศและการส่อื สารแตง ตั้งขาราชการซ่ึงดำรงตำแหนง ไมต่ำกวาระดับแปดหรือเทียบเทาในสังกัดสำนักงานปลัดกระทรวงเทคโนโลยีสารสนเทศและ การส่อื สาร ทำหนา ท่ีเปนหัวหนา สำนักงานคณะกรรมการธุรกรรมทางอเิ ล็กทรอนกิ สไปพลางกอน จนกวาการจดั ต้ังสำนักงานคณะกรรมการธุรกรรมทางอเิ ลก็ ทรอนิกสจะแลว เสร็จ เพื่อประโยชนในการปฏิบัติงานตามวรรคหนึ่ง รัฐมนตรีวาการกระทรวงเทคโนโลยี สารสนเทศและการสื่อสารจะสั่งใหขาราชการในสังกัดกระทรวงเทคโนโลยีสารสนเทศและ การสอ่ื สารมาปฏบิ ัติงานช่ัวคราวในสำนักงานปลัดกระทรวงเทคโนโลยสี ารสนเทศและการส่ือสาร ตามความจำเปนก็ได มาตรา ๑๒ ใหนายกรัฐมนตรีและรัฐมนตรีวาการกระทรวงเทคโนโลยีสารสนเทศและ การส่ือสารรกั ษาการตามพระราชบญั ญตั นิ ้ี หมายเหตุ : เหตุผลในการประกาศใชพระราชบัญญัติฉบับนี้ คือ เนื่องจากปจจุบันกฎหมาย วาดวยธุรกรรมทางอิเล็กทรอนิกสยังไมมีบทบัญญัติรองรับในเรื่องตราประทับอิเล็กทรอนิกส ซึ่งเปนสิ่งที่สามารถระบุถึงตัวผูทำธุรกรรมทางอิเล็กทรอนิกสไดเชนเดียวกับลายมือช่ือ อิเล็กทรอนิกส ทำใหเ ปนอุปสรรคตอการทำธุรกรรมทางอิเล็กทรอนิกสท่ีตองมีการประทับตราใน หนังสือเปนสำคัญ รวมทั้งยังไมมีบทบัญญัติที่กำหนดใหสามารถนำเอกสารซึ่งเปนสิ่งพิมพออก ๔๕ ราชกิจจานเุ บกษา เลม ๑๒๕/ตอนท่ี ๓๓ ก/หนา ๘๑/๑๓ กมุ ภาพนั ธ ๒๕๕๑ 54 สำ�นกั งานพัฒนาธรุ กรรมทางอิเลก็ ทรอนกิ ส์

๒๖ ของขอมูลอิเล็กทรอนิกสมาใชแทนตนฉบับหรือใหเปนพยานหลักฐานในศาลได และโดยที่ไดมี การปรับปรุงโครงสรางระบบราชการตามพระราชบัญญัติปรับปรุง กระทรวง ทบวง กรม พ.ศ. ๒๕๔๕ และกำหนดใหกระทรวงเทคโนโลยีสารสนเทศและการสื่อสารเปนหนวยงานที่มีอำนาจหนาที่ เกี่ยวกับการวางแผน สงเสริม พัฒนา และดำเนินกิจการเกี่ยวกับเทคโนโลยีสารสนเทศและ การสื่อสาร ประกอบกับปจจุบันธุรกรรมทางอิเล็กทรอนิกสไดมีการใชอยางแพรหลาย จำเปนที่ จะตองมีหนวยงานธุรการเพื่อทำหนาที่กำกับดูแลเพื่อใหเปนไปตามกฎหมายวาดวยธุรกรรม ทางอิเล็กทรอนิกสและเปนฝายเลขานุการของคณะกรรมการธุรกรรมทางอิเล็กทรอนิกส โดยสมควรจัดตั้งสำนักงานคณะกรรมการธุรกรรมทางอิเล็กทรอนิกส สังกัดกระทรวงเทคโนโลยี สารสนเทศและการสื่อสารขึ้นทำหนาท่ีแทนศูนยเทคโนโลยีอิเล็กทรอนิกสและคอมพิวเตอร แหงชาติ อันจะเปนการสงเสริมความเชื่อมั่นในการทำธุรกรรมทางอิเล็กทรอนิกส และเสริมสรา ง ศักยภาพการแขงขนั ในเวทีการคา ระหวางประเทศ สมควรแกไขเพ่ิมเติมกฎหมายวาดวยธรุ กรรม ทางอเิ ล็กทรอนิกสเพ่ือใหสอดคลองกบั หลักการดงั กลา ว จงึ จำเปน ตองตราพระราชบญั ญัตนิ ี้ พระราชบัญญัติแกไขเพิ่มเติมบทบัญญัติแหงกฎหมายที่เกี่ยวกับความรับผิดในทางอาญา ของผแู ทนนิตบิ คุ คล พ.ศ. ๒๕๖๐๔๖ มาตรา ๒ พระราชบัญญตั ิน้ีใหใชบ งั คับตั้งแตว ันถัดจากวันประกาศในราชกิจจานุเบกษา เปนตนไป หมายเหตุ : เหตุผลในการประกาศใชพระราชบัญญัติฉบับนี้ คือ โดยที่ศาลรัฐธรรมนูญไดมี คำวนิ จิ ฉยั วา พระราชบญั ญัตขิ ายตรงและตลาดแบบตรง พ.ศ. ๒๕๔๕ มาตรา ๕๔ เฉพาะในสวนที่ สันนิษฐานใหกรรมการผูจัดการ ผูจัดการ หรือบุคคลใดซึ่งรับผิดชอบในการดำเนินงานของ นิติบุคคลนั้น ตองรับโทษทางอาญารวมกับการกระทำความผิดของนิติบุคคล โดยไมปรากฏวา มีการกระทำหรือเจตนาประการใดอันเกี่ยวกับการกระทำความผิดของนิติบุคคลนั้น ขัดหรือแยง ตอรัฐธรรมนูญแหง ราชอาณาจกั รไทย พทุ ธศักราช ๒๕๕๐ มาตรา ๓๙ วรรคสอง เปนอันใชบ ังคบั ไมไดตามรัฐธรรมนูญแหงราชอาณาจักรไทย พุทธศักราช ๒๕๕๐ มาตรา ๖ และตอมา ศาลรัฐธรรมนูญไดมีคำวินิจฉัยในลักษณะดังกลาวทำนองเดียวกัน คือ พระราชบัญญัติลิขสิทธ์ิ พ.ศ. ๒๕๓๗ มาตรา ๗๔ พระราชบัญญัติการประกอบกิจการโทรคมนาคม พ.ศ. ๒๕๔๔ มาตรา ๗๘ พระราชบัญญัติสถานบริการ พ.ศ. ๒๕๐๙ มาตรา ๒๘/๔ และพระราชบัญญัติปุย พ.ศ. ๒๕๑๘ มาตรา ๗๒/๕ ขดั หรือแยงตอรัฐธรรมนูญแหง ราชอาณาจักรไทย พทุ ธศกั ราช ๒๕๕๐ มาตรา ๓๙ วรรคสอง เปนอันใชบังคับไมไดตามรัฐธรรมนูญแหงราชอาณาจักรไทย พุทธศักราช ๒๕๕๐ มาตรา ๖ ดังนั้น เพื่อแกไขบทบัญญัติของกฎหมายดังกลาวและกฎหมายอื่นที่มีบทบัญญัติ ในลักษณะเดียวกนั มใิ หข ัดหรอื แยงตอรฐั ธรรมนญู จงึ จำเปนตองตราพระราชบญั ญัติน้ี ๔๖ ราชกิจจานเุ บกษา เลม ๑๓๔/ตอนที่ ๑๘ ก/หนา ๑/๑๑ กมุ ภาพันธ ๒๕๖๐ 55 ส�ำ นกั งานพฒั นาธรุ กรรมทางอิเลก็ ทรอนิกส์

๒๗ พระราชบญั ญัตวิ าดว ยธรุ กรรมทางอเิ ล็กทรอนกิ ส (ฉบับท่ี ๓) พ.ศ. ๒๕๖๒๔๗ มาตรา ๒ พระราชบัญญัตนิ ี้ใหใ ชบงั คบั ต้ังแตวันถัดจากวันประกาศในราชกจิ จานุเบกษา เปน ตนไป มาตรา ๒๕ ใหคณะกรรมการธุรกรรมทางอิเลก็ ทรอนิกสซ ่ึงดำรงตำแหนงอยูในวันกอน วันที่พระราชบัญญัตินี้ใชบังคับ คงอยูในตำแหนงตอไป จนกวาจะมีการแตงตั้งคณะกรรมการ ธุรกรรมทางอิเล็กทรอนิกสตามพระราชบัญญัติวาดวยธุรกรรมทางอิเล็กทรอนิกส พ.ศ. ๒๕๔๔ ซึ่งแกไขเพ่ิมเตมิ โดยพระราชบัญญัตินี้ มาตรา ๒๖ บรรดาการใด ๆ ที่คณะกรรมการธุรกรรมทางอิเล็กทรอนิกสตาม พระราชบัญญัติวาดวยธุรกรรมทางอิเล็กทรอนิกส พ.ศ. ๒๕๔๔ ไดดำเนินการไวกอนวันท่ี พระราชบัญญัตินี้ใชบังคับและยังมีผลใชบังคับอยู ใหยังคงใชบังคับไดตอไป และเมื่อไดมี การแตงตั้งคณะกรรมการธุรกรรมทางอิเล็กทรอนิกสตามพระราชบัญญัติวาดวยธุรกรรม ทางอเิ ล็กทรอนิกส พ.ศ. ๒๕๔๔ ซงึ่ แกไ ขเพิม่ เติมโดยพระราชบญั ญัตนิ ี้ แลว การนั้นยังดำเนนิ การ ไมแลวเสร็จ ใหการดำเนินการตอไปเปนไปตามที่คณะกรรมการธุรกรรมทางอิเล็กทรอนิกสนั้น กำหนด มาตรา ๒๗ ใหน ายกรฐั มนตรีและรัฐมนตรวี า การกระทรวงดิจิทัลเพ่ือเศรษฐกิจและสังคม รักษาการตามพระราชบญั ญัตนิ ้ี หมายเหตุ : เหตุผลในการประกาศใชพระราชบัญญัติฉบับนี้ คือ โดยที่ปจจุบันกฎหมายวาดวย ธุรกรรมทางอิเล็กทรอนิกสมีขอจำกัดหรืออุปสรรคบางประการในการบังคับใชกฎหมาย ประกอบกับ การทำสัญญาในรูปแบบของธุรกรรมทางอิเล็กทรอนิกสมีแนวโนมที่จะเกิดขึ้นระหวางคูสัญญา ทอ่ี ยูคนละประเทศเปน จำนวนมาก เพือ่ ใหก ฎหมายวาดว ยธุรกรรมทางอเิ ล็กทรอนิกสเปนไปตาม มาตรฐานสากล รวมทงั้ ปรบั ปรงุ กลไกในการกำกบั ดูแลการประกอบธรุ กิจบริการเก่ยี วกบั ธุรกรรม ทางอิเล็กทรอนิกสใหชัดเจนและสอดคลองกับการพัฒนาดิจิทัลเพื่อเศรษฐกิจและสังคม จึงจำเปน ตอ งตราพระราชบญั ญตั ิน้ี พระราชบญั ญัติวา ดวยธุรกรรมทางอิเลก็ ทรอนกิ ส (ฉบบั ท่ี ๔) พ.ศ. ๒๕๖๒๔๘ มาตรา ๒ พระราชบญั ญัตนิ ี้ใหใชบ ังคบั ตง้ั แตวันถดั จากวนั ประกาศในราชกิจจานุเบกษา เปนตนไป มาตรา ๗ ผูประกอบธุรกิจบริการเกี่ยวกับระบบการพิสูจนและยืนยันตัวตนทางดิจิทัล ซึ่งประกอบธุรกิจอยูในวันกอนที่พระราชบัญญัตินี้ใชบังคับ ใหดำเนินกิจการตอไปได และเมื่อมีการตราพระราชกฤษฎีกาตามมาตรา ๓๔/๔ แหงพระราชบัญญัติวาดวยธุรกรรม ๔๗ ราชกจิ จานเุ บกษา เลม ๑๓๖/ตอนท่ี ๔๙ ก/หนา ๑๒/๑๔ เมษายน ๒๕๖๒ ๔๘ ราชกจิ จานเุ บกษา เลม ๑๓๖/ตอนท่ี ๖๗ ก/หนา ๒๐๓/๒๒ พฤษภาคม ๒๕๖๒ สำ�นักงานพัฒนาธรุ กรรมทางอิเล็กทรอนิกส์ 56

๒๘ ทางอิเล็กทรอนิกส พ.ศ. ๒๕๔๔ ซ่ึงแกไ ขเพ่ิมเตมิ โดยพระราชบัญญัตินี้ กำหนดใหเ ปนธุรกิจบริการ เกี่ยวกับธุรกรรมทางอิเล็กทรอนิกสที่ตองไดรับใบอนุญาต ใหผูประกอบธุรกิจบริการเกี่ยวกับ ระบบการพิสูจนและยืนยันตวั ตนทางดจิ ิทัลน้ันยน่ื คำขอรบั ใบอนุญาตภายในเกาสิบวันนับแตวันที่ พระราชกฤษฎีกามีผลใชบังคับ และเมื่อไดยื่นคำขอรับใบอนุญาตแลว ใหดำเนินกิจการตอไป จนกวา จะมคี ำส่งั ไมอ นญุ าต มาตรา ๘ บรรดาระเบียบที่ออกตามพระราชบัญญัติวาดวยธุรกรรมทางอิเล็กทรอนิกส พ.ศ. ๒๕๔๔ ที่ใชบังคับอยูใ นวันกอนวันที่พระราชบญั ญัตินีใ้ ชบังคบั ใหยังคงใชบังคับตอ ไปเพียง เทาทีไ่ มขัดหรือแยงกับพระราชบัญญัติน้ี จนกวาจะมรี ะเบียบตามพระราชบัญญัติวาดวยธุรกรรม ทางอิเลก็ ทรอนิกส พ.ศ. ๒๕๔๔ ซึง่ แกไ ขเพิ่มเตมิ โดยพระราชบญั ญัตนิ ใ้ี ชบ งั คับ มาตรา ๙ ใหรัฐมนตรีวาการกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคมรักษาการ ตามพระราชบัญญัตินี้ หมายเหตุ : เหตุผลในการประกาศใชพระราชบัญญัติฉบับนี้ คือ โดยที่การยืนยันตัวตนของ บุคคลเปนขั้นตอนสำคัญในการทำธุรกรรมในระบบเศรษฐกิจ แตที่ผานมาผูที่ประสงคจะ ขอรับบริการจากผูประกอบการหรือหนวยงานใด ๆ จะตองทำการพิสูจนและยืนยันตัวตนโดย การแสดงตนตอผูใหบริการพรอมกับตองสงเอกสารหลักฐาน ซึ่งเปนภาระตอผูใชบริการและ ผูใหบริการ สมควรกำหนดใหบุคคลสามารถพิสูจนและยืนยันตัวตนผานระบบการพิสูจนและ ยืนยันตัวตนทางดิจิทัลได โดยมีกลไกการควบคุมดูแลผูประกอบธุรกิจบริการที่เกี่ยวของ เพื่อให ระบบดังกลาวมคี วามนา เชือ่ ถอื และปลอดภัย จงึ จำเปนตอ งตราพระราชบัญญัติน้ี ส�ำ นักงานพฒั นาธรุ กรรมทางอิเล็กทรอนิกส์ 57

ส�ำ นกั งานพฒั นาธรุ กรรมทางอิเล็กทรอนิกส์ 58

ประกาศคณะกรรมการธุรกรรมทางอเิ ลก็ ทรอนิกส เร่อื ง แนวทางการจัดทาํ แนวนโยบาย (Certificate Policy) และแนวปฏิบตั ิ (Certification Practice Statement) ของผูใหบรกิ ารออกใบรับรองอเิ ล็กทรอนกิ ส (Certification Authority) พ.ศ. ๒๕๕๒ ส�ำ นักงานพัฒนาธรุ กรรมทางอิเล็กทรอนิกส์ 59

ชอ่ื กฎหมาย ประกาศคณะกรรมการธุรกรรมทางอิเล็กทรอนิกส เร่ือง แนวทางการจัดทําแนวนโยบาย (Certificate Policy) และแนวปฏิบัติ (Certification Practice Statement) ของผูใหบริการออกใบรับรองอิเล็กทรอนิกส (Certification Authority) พ.ศ. ๒๕๕๒ ประกาศในราชกจิ จานุเบกษา เลม ๑๒๖ / ตอนพเิ ศษ ๑๘๐ ง / หนา ๒๗ / วนั ท่ี ๑๖ ธนั วาคม ๒๕๕๒ เรมิ่ บงั คับใช วนั ที่ ๑๗ ธันวาคม ๒๕๕๒ สำ�นักงานพฒั นาธรุ กรรมทางอิเลก็ ทรอนกิ ส์ 60

เลม ๑๒๖ ตอนพเิ ศษ ๑๘๐ ง หนา ๒๗ ๑๖ ธนั วาคม ๒๕๕๒ ราชกิจจานุเบกษา ประกาศคณะกรรมการธรุ กรรมทางอเิ ลก็ ทรอนกิ ส เรอื่ ง แนวทางการจดั ทาํ แนวนโยบาย (Certificate Policy) และ แนวปฏบิ ัติ (Certification Practice Statement) ของผใู หบริการออกใบรบั รองอิเล็กทรอนิกส (Certification Authority) พ.ศ. ๒๕๕๒ เพื่อใหการใหบรกิ ารของผูใหบรกิ ารออกใบรบั รองอเิ ลก็ ทรอนกิ สมคี วามนาเชอื่ ถือ ตลอดจน มมี าตรฐานเปน ที่ยอมรับในระดบั สากล คณะกรรมการธรุ กรรมทางอิเลก็ ทรอนิกส จึงเห็นควรกําหนด แนวทางในการจัดทําแนวนโยบาย (Certificate Policy) และแนวปฏิบัติ (Certification Practice Statement) ของผูใ หบริการออกใบรับรองอิเล็กทรอนิกส (Certification Authority) อาศัยอํานาจตามความในมาตรา ๒๘ (๖) มาตรา ๒๙ (๗) และมาตรา ๓๗ (๔) แหงพระราชบัญญัติ วา ดวยธุรกรรมทางอิเล็กทรอนิกส พ.ศ. ๒๕๔๔ คณะกรรมการธุรกรรมทางอิเล็กทรอนิกสจึงออก ประกาศไว ดังตอ ไปน้ี ขอ ๑ ใหผูใหบริการออกใบรับรองอิเล็กทรอนิกส (Certification Authority) จัดทาํ แนวนโยบาย (Certificate Policy) และแนวปฏบิ ตั ิ (Certification Practice Statement) ตามแนวทาง การจัดทาํ แนวนโยบาย (Certificate Policy) และแนวปฏิบัติ (Certification Practice Statement) ของผูใ หบ ริการออกใบรับรองอิเลก็ ทรอนกิ ส (Certification Authority) ทายประกาศนี้ ขอ ๒ ประกาศนใี้ หใ ชบงั คบั ตงั้ แตว นั ถัดจากวนั ประกาศในราชกจิ จานเุ บกษาเปนตนไป ประกาศ ณ วนั ที่ ๘ ตลุ าคม พ.ศ. ๒๕๕๒ รอยตรีหญงิ ระนองรักษ สุวรรณฉวี รัฐมนตรวี า การกระทรวงเทคโนโลยสี ารสนเทศและการสือ่ สาร ประธานกรรมการธรุ กรรมทางอิเล็กทรอนกิ ส ส�ำ นกั งานพัฒนาธรุ กรรมทางอิเล็กทรอนิกส์ 61

แนวทางการจัดทําแนวนโยบาย (Certificate Policy) และ แนวปฏบิ ัติ (Certification Practice Statement) ของผใู หบริการออกใบรับรองอเิ ล็กทรอนิกส (Certification Authority) ๑. บทนํา ในการนําใบรับรองอิเล็กทรอนิกส (Electronic Certificate) ที่ออกโดยผูใหบริการ ออกใบรบั รองอเิ ล็กทรอนิกส (Certification Authority) เพ่ือใหผใู ชบริการสามารถนําไปใชในการรับรอง ตัวบุคคลผูถือใบรับรองสําหรับใชในการสรางลายมือช่ือดิจิทัล (Digital Signature) อันเปนลายมือช่ือ อเิ ล็กทรอนกิ สท เี่ ชอื่ ถือไดประเภทหนึ่ง หรือสําหรับการรับรองความมีตัวตนของนิติบุคคล หรือรับรอง เคร่ืองใหบริการหรือเซิรฟเวอร (Server) หรือเอนทิตี (Entity) อ่ืนใดก็ตาม ดวยการประยุกตใช เทคโนโลยีโครงสรางพื้นฐานกุญแจสาธารณะ (Public Key Infrastructure หรือเทคโนโลยี PKI) น้ัน ความนาเชือ่ ถอื ของผใู หบรกิ ารออกใบรับรองอิเล็กทรอนิกส นับวามีสวนสําคัญยิ่งตอการใชบริการและ กอใหเกิดผลผูกพันทางกฎหมายในธุรกรรมตางๆ ที่ทําข้ึนโดยมีการนําใบรับรองอิเล็กทรอนิกสไปใช ยืนยันหรือรับรองตัวบุคคล นิติบุคคล เคร่ืองใหบริการหรือเซิรฟเวอร หรือเอนทิตีใดก็ตาม ในการทํา ธุรกรรมแตล ะครั้ง เพ่ือใหการใหบริการของผูใหบริการออกใบรับรองอิเล็กทรอนิกส มีความนาเชื่อถือ หนวยงานท่ีช่ือวา Internet Engineering Task Force หรือ IETF ซ่ึงทําการพัฒนาสถาปตยกรรมทาง อินเทอรเน็ต (Internet Architecture) จึงไดกําหนดกรอบหรือแนวทางในการทําแนวนโยบายและ แนวปฏิบัติของผูใหบริการออกใบรับรองอิเล็กทรอนิกสขึ้น เรียกวา Internet X.509 Public Key Infrastructure Certificate Policy and Certification Practices Framework (RFC 3647) อันเปน มาตรฐานที่ไดรับการยอมรับในระดับสากล จึงไดนํามาใชเปนแนวทางในการจัดทําประกาศฉบับนี้ สําหรบั ใชปฏิบัติในการจัดทําแนวนโยบายและแนวปฏิบัติของผูใหบริการออกใบรับรองอิเล็กทรอนิกส ในประเทศไทย เพอ่ื ใหส อดคลองตามมาตรฐานสากล ๒. คาํ นิยาม (Definition) และคาํ ยอ (Acronym) ในสวนน้ีแสดงถึงคาํ นยิ ามและคํายอเพื่อใหค วามหมายกับคําที่ถูกใชในเอกสารนี้อยางเขาใจได ถูกตอ งตรงกัน คํา/คํายอ คาํ นิยาม RFC “The Internet Request For Comments” เปนชุดเอกสารที่เขียนเพ่ือนิยามหรือ บรรยายตามความเปนจริงปจจุบันและแนะนําแนวปฏิบัติเก่ียวกับเกณฑวิธี (Protocol) และนโยบายของอินเทอรเ นต็ เปน ตน สำ�นกั งานพฒั นาธรุ กรรมทางอิเลก็ ทรอนกิ ส์ 62

-๒- คํา/คาํ ยอ คํานิยาม บคุ คล บคุ คลธรรมดา หรอื นิติบุคคล เอนทติ ี บุคคลและรวมถึงเครื่องใหบริการ (Server) หรือเว็บไซต หรือหนวยปฏิบัติงาน (Operating Unit/Site) หรอื เครอ่ื งมืออ่นื ใด (Device) ทอ่ี ยภู ายใตการควบคุมของ Certificate บุคคล Revocation List รายการเพิกถอนใบรับรองอิเล็กทรอนิกส คือ รายการใบรับรองอิเล็กทรอนิกส (CRL) ทีถ่ กู เพิกถอนการใชง าน Online Certificate เกณฑวิธี (Protocol) สําหรับตรวจสอบสถานะของการเพิกถอนใบรับรอง หรือ Status Protocol วนั เวลาท่เี ร่มิ ตนและสน้ิ สดุ การใชใบรบั รอง (OCSP) Object Identifier คาสัมพันธซ่ึงบงบอกถึงขอมูลสารสนเทศของวัตถุ (Information Object) ใดๆ (OID) โดยเปน คาทีส่ ามารถบงชี้ไดถึงความเปน หน่งึ เดยี วของ Object น้นั ๆ กญุ แจสาธารณะ กญุ แจที่ใชใ นการตรวจสอบลายมอื ชอื่ ดิจทิ ัล และสามารถนําไปใชในการเขารหัส Public Key ลับขอมูลอิเล็กทรอนิกส เพ่ือมิใหสามารถเขาใจความหมายของขอมูล อิเลก็ ทรอนกิ สทม่ี กี ารเขารหัสลับนั้นได เพ่ือประโยชนในการรักษาความลับของ กุญแจสวนตัว ขอ มลู อเิ ล็กทรอนิกสน นั้ Private Key กุญแจที่ใชในการสรา งลายมือช่ือดิจิทัล และสามารถนําไปใชในการถอดรหัสลับ เมอื่ มกี ารเขา รหสั ลับขอมูลอิเล็กทรอนิกส เพื่อใหสามารถเขาใจความหมายของ คูกุญแจ ขอ มูลอเิ ล็กทรอนิกสท่ีมีการเขา รหัสลับนั้นได Key Pair กุญแจสวนตัวและกุญแจสาธารณะในระบบการเขารหัสลับแบบอสมมาตรที่ได สรางข้ึนโดยวิธีการที่ทําใหกุญแจสวนตัวมีความสัมพันธในทางคณิตศาสตรกับ กุญแจสาธารณะในลักษณะท่ีสามารถใชกุญแจสาธารณะตรวจสอบไดวา ลายมือช่ือดิจิทัลไดส รางขน้ึ โดยใชกุญแจสวนตัวน้นั หรอื ไม และสามารถนํากุญแจ สาธารณะไปใชในการเขารหัสลับขอมูลอิเล็กทรอนิกส ทําใหไมสามารถเขาใจ ความหมายของขอมูลอิเล็กทรอนิกสไดเพ่ือประโยชนในการรักษาความลับของ ขอมูลอเิ ล็กทรอนกิ ส เวน แตบุคคลทีถ่ ือกญุ แจสว นตวั ซง่ึ สามารถนาํ กุญแจสวนตัว ของตนใชในการถอดรหัสลับของขอมูลอิเล็กทรอนิกส เพ่ือใหเจาของกุญแจ สว นตวั สามารถอา นหรอื เขา ใจความหมายของขอมลู อเิ ลก็ ทรอนกิ สนั้นได สำ�นักงานพัฒนาธรุ กรรมทางอิเลก็ ทรอนกิ ส์ 63

-๓- คาํ /คาํ ยอ คาํ นยิ าม ผซู ง่ึ ทําหนา ท่ีรับลงทะเบียนเมื่อมีการย่ืนคําขอใชบริการ แจงเพิกถอนใบรับรอง เจาหนาท่รี บั อิเล็กทรอนิกส หรือตออายุใบรับรองอิเล็กทรอนิกส โดยทําการตรวจสอบและ ลงทะเบียน ยนื ยนั ความถกู ตองของขอมูลทผ่ี ูใ ชบ รกิ ารใหไว Registration Authority (RA) หมายถึง การท่ีขอมูลสูญหาย ถูกทําลาย ถูกแกไข ถูกเปดเผยโดยมิชอบ หรือ ถูกลวงรูโดยไมสอดคลองกับวัตถุประสงคของการเก็บรักษาขอมูลนั้น รวมท้ัง พฤติการณท ี่ กรณที ม่ี ีเหตุอนั ควรสงสยั วา จะมพี ฤติการณด งั กลา ว กระทบตอ ความ มนั่ คงปลอดภัย ของขอ มลู (Compromise) ๓. หัวขอ ที่ตอ งกําหนดไวใ นแนวนโยบาย และ แนวปฏบิ ตั ิ บทที่ ๑ บทนาํ (Introduction) บทที่ ๒ ความรบั ผดิ ชอบในการเผยแพรขอ มลู และการเกบ็ รักษาขอมูล (Publication and Repository Responsibilities) บทท่ี ๓ การระบุและการยืนยันตวั บุคคล (Identification and Authentication) บทท่ี ๔ ขอกาํ หนดเกย่ี วกับการดําเนนิ การตลอดอายุของใบรบั รองอิเลก็ ทรอนิกส (Certificate Life-Cycle Operation Requirements) บทที่ ๕ การควบคุมความมัน่ คงปลอดภัยของเคร่อื งมืออุปกรณ การบรหิ ารจดั การ และ การดําเนินงาน (Facility, Management, and Operational Controls) บทท่ี ๖ การควบคมุ ความมั่นคงปลอดภยั ดานเทคนคิ (Technical Security Controls) บทท่ี ๗ การกําหนดรูปแบบของใบรับรองอเิ ลก็ ทรอนิกส รายการเพิกถอน และสถานะของ ใบรับรองอเิ ลก็ ทรอนิกส (Certificate, CRL, and OCSP Profiles) บทท่ี ๘ การตรวจสอบการปฏิบตั ติ ามกฎขอ บังคับตา งๆ และการประเมินความเส่ยี งอน่ื ๆ (Compliance Audit and Other Assessment) บทที่ ๙ ขอ กําหนดอ่ืนๆ และประเดน็ กฎหมาย (Other Business and Legal Matters) สำ�นักงานพฒั นาธรุ กรรมทางอิเลก็ ทรอนิกส์ 64

-๔- ๔. เนื้อหาที่ตอ งกาํ หนดไวในแนวนโยบาย และแนวปฏบิ ัติ บทที่ ๑ บทนาํ (Introduction) เน้ือหาในบทนี้ จะกลาวถึงประเภทของบุคคลหรือเอนทิตีท่ีเก่ียวของและการนําแนวนโยบาย หรอื แนวปฏบิ ัตไิ ปใชง าน ๑. ขอ มลู เบอื้ งตน ทัว่ ไป (Overview) สาระสาํ คญั ของเนอื้ หาในขอ น้ี คือ การกลาวถึงแนวนโยบายและแนวปฏิบัติ โดยท่ัวๆ ไป และ การนําแนวนโยบายและแนวปฏิบัติที่จัดทําข้ึนไปปรับใชเม่ือมีการประยุกตใช PKI เชน กรณีท่ีมีการ กําหนดระดบั ความนา เชอ่ื ถอื ของใบรบั รองอิเลก็ ทรอนิกสทแี่ ตกตา งกัน ใบรบั รองซง่ึ แตกตา งกนั น้นั อาจมี ความซบั ซอ นหรอื อาจมกี ารกาํ หนดขอบเขตการใช PKI ท่ีแตกตางกัน ดังนั้น การแสดงขอมูลเกี่ยวกับ โครงสรา งของ PKI จึงมปี ระโยชนต อการทําความเขาใจเน้ือหาในสวนนี้ ๒. ชอ่ื เอกสาร (Document Name and Identification) เนื้อหาในสวนนจ้ี ะกําหนดเก่ยี วกับ “ชอื่ ” สําหรบั ใชเ รียกแนวนโยบายและแนวปฏิบัติ หรือเรียก สง่ิ หนง่ึ ส่ิงใด (Other Identifier) ทั้งน้ี รวมถึงการเรยี กชือ่ เอกสารหรือส่ิงทรี่ ะบถุ ึงเชนวานนั้ ในทางเทคนิค ดว ย กลาวคือ จาํ เปน ตอ งมีการจดทะเบียนเลข OID ซ่ึงมีช่ือเรียกอยางเปนทางการวา “ASN.1 Object Identifier ” ในทางปฏิบัติการกําหนดเลข OID ของแนวนโยบายและแนวปฏิบัติ หรือสิ่งหน่ึงส่ิงใดนั้น กเ็ พือ่ ใหส ามารถตรวจสอบไดวาแนวนโยบายและแนวปฏิบัติ หรือส่ิงอ่ืนท่ีถูกระบุถึงและกํากับดวยเลข OID น้ัน มีอยูจริง เน่ืองจากเลข OID จะเปนตัวเลขซ่ึงมีความสัมพันธหรือเช่ือมโยงถึง Information Object ใดๆ ลกั ษณะการกําหนดเลข OID จะมกี ารจัดเรียงลําดับตัวเลขกันและค่ันตัวเลขดวยจุด โดยมี หนวยงานรับจดทะเบียนเลข OID จํานวนหลายหนวยงานดวยกัน ไดแก American National Standard Institute (ANSI) สหรัฐอเมริกา, ISO เปน ตน ๓. บุคคลทเ่ี กย่ี วของ (PKI Participants) เน้ือหาในบทน้ีควรจะกําหนดลักษณะ (Identity) ประเภทของบุคคลหรือเอนทิตี (Entity) ทเ่ี กีย่ วขอ ง รวมทัง้ กาํ หนดบทบาทและหนา ทีข่ องบคุ คลหรอื เอนทติ ีเหลา น้นั ดว ย ๓.๑ ผใู หบ รกิ ารออกใบรับรองอเิ ล็กทรอนิกส (Certification Authority) คือ ผใู หบ รกิ ารออกใบรับรองอิเลก็ ทรอนกิ ส ซึง่ สรา งและออกใบรบั รองอิเล็กทรอนิกสเพื่อรบั รอง กญุ แจสาธารณะใหกบั ผูใชบ ริการ ๓.๒ เจาหนาทร่ี ับลงทะเบียน (Registration Authority) คือ บคุ คลหรอื เอนทติ ี ท่ีทําหนา ทใ่ี นการตรวจสอบตัวบคุ คลผูสมัครขอใชบริการ ทั้งในข้ันตอน ที่มกี าระบุตวั บุคคลผูสมัครขอใชบริการ (Identification) วาผูสมัครขอใชบริการเปนใคร หรือเอนทิตีใด และขัน้ ตอนการยืนยันหรือพิสูจนตัวบุคคล (Authentication) วา ผูสมัครขอใชบริการหรือเอนทีตีอื่นใด สำ�นักงานพฒั นาธรุ กรรมทางอิเล็กทรอนิกส์ 65

-๕- เปนบุคคลหรือเอนทิตีนั้นจริง นอกจากนั้นผูใหบริการออกใบรับรองอิเล็กทรอนิกส หรือเจาหนาท่ีรับ ลงทะเบียน จะทําหนาท่ีทํานองเดียวกันในการเพิกถอนใบรับรอง หรือตออายุใบรับรอง โดยทําการ ตรวจสอบและยืนยันความถูกตองของขอมูลท่ีผูสมัครขอใชบริการไดใหไวในข้ันตอนตางๆ หลังจาก ตรวจสอบความถกู ตอ งของขอมลู ผสู มัครขอใชบ รกิ ารเรียบรอยแลว จึงแจงใหผูใหบริการออกใบรับรอง อิเล็กทรอนิกส ออกใบรับรองใหกับผูสมัครขอใชบริการตอไป ทั้งนี้เจาหนาท่ีรับลงทะเบียน อาจเปน บคุ ลากรของผูใ หบรกิ ารออกใบรบั รองอเิ ลก็ ทรอนกิ ส หรืออาจเปน บคุ ลากรของผูส มคั รขอใชบริการ หรือ อาจเปนหนว ยงานหรอื เอนทติ ีอืน่ ที่ไดท ําขอ ตกลงกับเจา หนาท่รี บั ลงทะเบียน เพือ่ ทาํ หนา ที่ดงั กลาว ๓.๓ ผูใ ชบ รกิ าร (Subscriber) คือ บุคคล หรอื เอนทิตีใดๆ ท่ีไดรับใบรับรองจากผใู หบรกิ ารออกใบรับรองอเิ ลก็ ทรอนกิ ส ๓.๔ คกู รณที ่ีเกย่ี วขอ ง (Relying Party) คือ บคุ คล หรอื เอนทติ อี ่ืนใดทเ่ี ชื่อถอื ลายมือช่อื ดจิ ทิ ัล อนั เปน ลายมอื ชือ่ อเิ ลก็ ทรอนกิ สชนดิ หน่ึง หรือเช่ือถือใบรับรองอิเล็กทรอนิกส ดังน้ัน คูกรณีท่ีเก่ียวของอาจเปนผูใชบริการจากผูใหบริการออก ใบรับรองอิเล็กทรอนิกส หรืออาจไมใชผูใชบริการจากผูใหบริการออกใบรับรองอิเล็กทรอนิกสก็ได แตเ ปน ผซู ่งึ กระทาํ การหรืองดเวนกระทําการใดๆ เพราะเชื่อถือใบรับรองอิเล็กทรอนิกสหรือลายมือชื่อ ดิจทิ ัล โดยการใชกญุ แจสาธารณะทอี่ ยใู นใบรบั รองนน้ั ในการตรวจสอบตัวตนที่แทจ ริงของผูขอใชบ ริการ ซึง่ เปนเจาของลายมอื ช่อื ดจิ ทิ ัลและมชี อื่ ปรากฏอยใู นใบรับรองอิเล็กทรอนิกส ๓.๕ บคุ คลซงึ่ เกยี่ วของอน่ื ๆ (Other Participants) คือ บคุ คล หรอื เอนทิตีอื่น นอกจากที่กลาวถึงขางตน เชน ผูใหบริการในการเก็บรักษาขอมูล (Providers of Repository Services) หรือผูไดรับการวาจางโดยการ Outsource ใหเปนผูใหบริการ ออกใบรบั รองอเิ ล็กทรอนกิ ส เปนตน ๓.๖ การใชใ บรบั รองอเิ ล็กทรอนกิ ส (Certificate Usage) เน้อื หาในสวนนคี้ วรกําหนดเก่ียวกับลักษณะหรือประเภทของใบรับรองอิเล็กทรอนิกสท่ีมีการ นําไปใชในทางปฏิบัติ เชน ใบรับรองอิเล็กทรอนิกสเพื่อรับรองตัวบุคคล ใบรับรองอิเล็กทรอนิกสเพ่ือ รับรองตัวนิติบุคคล ใบรับรองอิเล็กทรอนิกสเพื่อรับรองเว็บไซต ใบรับรองอิเล็กทรอนิกสเพ่ือรับรอง เคร่ืองใหบริการหรือเซิรฟเวอร ใบรับรองอิเล็กทรอนิกสเพื่อใชกับจดหมายอิเล็กทรอนิกสหรืออีเมล ใบรับรองอเิ ลก็ ทรอนกิ สส าํ หรบั ใชกับสัญญาหรือการทําขอตกลง เปน ตน ทั้งนี้ ในกรณีที่มีขอจํากัดการใชงาน หรือกรณีที่มีการจัดระดับความนาเช่ือถือของใบรับรอง อิเล็กทรอนิกส ก็ควรระบุไวใหชัดเจนดวย และหากลักษณะการใชงานหรือชนิดของใบรับรอง อิเล็กทรอนิกสมีความแตกตางกันจนจําเปนตองจัดทําแนวนโยบายหรือแนวปฏิบัติสําหรับการใชงาน แตล ะลักษณะหรือตามชนดิ ของใบรบั รอง ก็จาํ เปน ตอ งใหข อมลู ในเร่อื งดงั กลาวเอาไวช ดั เจนดวยเชนกนั สำ�นกั งานพัฒนาธรุ กรรมทางอิเล็กทรอนิกส์ 66

-๖- ๓.๗ การบรหิ ารจดั การเก่ียวกบั แนวนโยบายและแนวปฏบิ ัติ (Policy Administration) เน้ือหาในสวนนี้ควรกลาวถึงชื่อ ท่ีอยูของหนวยงานที่ยกราง จดทะเบียน ดูแลและปรับปรุง เอกสารแนวนโยบายและแนวปฏิบัติ นอกจากน้ันยังรวมถึง ชื่อ ท่ีอยูของจดหมายอิเล็กทรอนิกส หมายเลขโทรศัพท หมายเลขโทรสารของผูที่สามารถติดตอได ทั้งน้ี โดยอาจกําหนดเปนตําแหนง ทร่ี ับผดิ ชอบในการตอบขอซกั ถามหรอื ตดิ ตอกบั ผูใ ชบ ริการของผูใหบรกิ ารออกใบรบั รองอิเลก็ ทรอนกิ ส กไ็ ด นอกจากนั้น เพื่อสรางความนาเชื่อถือใหกับการใหบริการของผูใหบริการออกใบรับรอง อิเล็กทรอนิกสเอง ในกรณีท่ีผูใหบริการออกใบรับรองอิเล็กทรอนิกส ไดจัดทําแนวนโยบายและ แนวปฏิบัติ ตามแนวทางที่คณะกรรมการธุรกรรมทางอิเล็กทรอนิกสประกาศกําหนดแลว ควรระบุถึง คณะกรรมการธรุ กรรมทางอิเล็กทรอนิกส และที่อยขู องหนวยงานธุรการของคณะกรรมการไวในขอน้ีดว ย ๓.๘ คํานิยามและคาํ ยอ (Definitions and Acronyms) โดยทใ่ี นการจดั ทําแนวนโยบายและแนวปฏิบัติ จําเปนตองมีการกลาวถึงคําศพั ท และคํายอ เปน จาํ นวนมาก ดงั น้นั ในบทน้จี งึ ควรมกี ารใหค วามหมายของคาํ ศัพทห รือคาํ ยอ เหลา น้ันไวดวย เชน การให ความหมายของคําวาผูใหบริการออกใบรับรองอิเล็กทรอนิกส เจาหนาท่ีรับลงทะเบียนผูใชบริการ แนวนโยบายและแนวปฏิบัติ ลายมือช่ือดิจิทัล ใบรับรองอิเล็กทรอนิกส คูกุญแจ กุญแจสวนตัว กุญแจ สาธารณะ เอนทิตี เปนตน เพ่ือเปนขอมลู ใหก บั ผใู ชบรกิ ารตอ ไป บทที่ ๒ ความรับผิดชอบในการเผยแพรขอมลู และการเกบ็ รกั ษาขอ มลู (Publication and Repository Responsibilities) สําหรับเน้ือหาในสวนนี้ ควรจะตองระบุเก่ียวกับบุคคลซ่ึงทําหนาที่ในการเก็บรักษาขอมูล (Repository) ในการใหบริการของผูใหบริการออกใบรับรองอิเล็กทรอนิกส ไมวาผูใหบริการออก ใบรับรองอิเล็กทรอนิกสจะทําหนาท่ีดังกลาวนั้นเอง หรือเปนการใชบริการจากผูใหบริการรายอื่น และความรับผดิ ชอบของบุคคลหรอื หนวยงานทท่ี าํ หนาท่ีในการเผยแพรขอมลู เกย่ี วกับแนวนโยบาย และ แนวปฏิบัติ รวมทั้งเน้ือหาที่จะมีการเผยแพร เชน การควบคุมมาตรการในการรักษาความม่ันคง ปลอดภัย (Security Controls) การรักษาความลับทางการคา (Trade Secret) สําหรับขอมูลสําคัญท่ีมี ความออ นไหว เปนตน นอกจากนั้น ควรใหขอมูลเกี่ยวกับความถ่ีหรือความบอยในการเผยแพรขอมูล การควบคุม การเขาถึงขอมูลที่มีการเผยแพรน้ัน (Access Control) รวมทั้งแนวนโยบายและแนวปฏิบัติใบรับรอง อเิ ล็กทรอนกิ ส หรือสถานะของใบรับรองอิเล็กทรอนกิ ส รวมทง้ั การเพกิ ถอนใบรับรองอิเลก็ ทรอนิกส บทท่ี ๓ การระบแุ ละการยนื ยันตัวบคุ คล ((Identification and Authentication (I&A)) สําหรับเนื้อหาในบทนี้ควรใหขอมูลเกี่ยวกับข้ันตอนในการยืนยันหรือพิสูจนตัวบุคคล หรือ เอนทิตีของผูสมคั รขอใชบ ริการกับผูใหบ ริการออกใบรบั รองอิเล็กทรอนิกส หรือเจาหนาท่ีรับลงทะเบียน กอนทจี่ ะมีการออกใบรับรองอิเล็กทรอนิกส รวมทั้งกําหนดขั้นตอนในการยืนยันหรือพิสูจนบุคคลของ สำ�นกั งานพัฒนาธรุ กรรมทางอิเลก็ ทรอนกิ ส์ 67

-๗- ผูใหบริการออกใบรับรองอิเล็กทรอนิกส หรือเจาหนาท่ีรับลงทะเบียน หรือเอนทิตีที่เก่ียวของกับการ ใหบริการหรือรวมใหบริการกับผูใหบริการออกใบรับรองอิเล็กทรอนิกส นอกจากน้ัน อาจใหขอมูล เก่ียวกับการออกใบรับรองอิเล็กทรอนิกสใหม การตออายุใบรับรองอิเล็กทรอนิกส หรือการเพิกถอน ใบรับรองอิเล็กทรอนิกสไปพรอมกันดวย อยางไรก็ตาม เนื้อหาที่พึงกําหนดไวในบทนี้นอกจาก ทกี่ ลา วถงึ ขางตน มดี ังตอไปน้ี ๑. การกําหนดรูปแบบของช่ือ (Naming) สําหรับการกําหนดรูปแบบของชื่อที่ใช (Naming Convention) เพื่อระบุถึงผูใชบริการน้ัน ควรกาํ หนด ดงั น้ี ๑.๑ รูปแบบของชือ่ เชน X.500 Distinguished Name หรอื RFC 822 Names สําหรบั จดหมาย อเิ ลก็ ทรอนกิ สหรืออีเมล (e-mail) และ X.400 สําหรับชอ่ื ๑.๒ ชือ่ นั้น จะมีความหมายหรอื ไมม กี ็ได ๑.๓ การกําหนดช่ือของผูใชบริการในกรณีที่มีการใชชื่อนิรนามหรือนามแฝงหรือปดบังช่ือ ท่แี ทจริง (Anonymous or Pseudonymous) ๑.๔ กฎในการแปลงช่ือในรูปแบบตางๆ เชน มาตรฐาน X.500 และ RFC 822 เปน ตน ๑.๕ ช่อื น้ันจะตองมลี ักษณะเฉพาะ (Unique Name) ๒. ความสมบรู ณในการระบุตัวบุคคล (Initial Identity Validation) ขอมูลในสวนน้ี ควรจะกําหนดเก่ียวกับวิธีการระบุตัวบุคคล (Identification) และยืนยันหรือ พิสูจนตัวบุคคล (Authentication) เม่ือแรกเริ่มลงทะเบียนกับผูใหบริการออกใบรับรองอิเล็กทรอนิกส เจา หนาทรี่ ับลงทะเบียน ผใู ชบริการ หรอื คูกรณที ่เี กี่ยวขอ งอน่ื ๆ ทงั้ น้ี โดย ๒.๑ การยืนยันหรือพิสูจนความสัมพันธของกุญแจสวนตัวกับกุญแจสาธารณะท่ีถือหรือ ครอบครองอยูโดยผูใชบริการ เชน การใชในการพิสูจนลายมือชื่อดิจิทัลท่ีปรากฏใน ใบรับรองอิเล็กทรอนิกสดวยการใชลายมือช่ือดิจิทัลในการสง Certificate Request Message มายังผูใหบรกิ ารออกใบรบั รองอิเล็กทรอนิกส เปน ตน ๒.๒ การยืนยันหรือพิสูจนเง่ือนไขสําหรับการตรวจสอบความมีอยูขององคกรหรือหนวยงาน เชน การตรวจสอบจากหนงั สอื รบั รองของบรษิ ทั หรือนิตบิ คุ คลทีอ่ อกโดยกรมพัฒนาธุรกิจ การคา กระทรวงพาณชิ ย เปน ตน ๒.๓ การยืนยนั หรอื พสิ จู นเง่อื นไขสําหรับการตรวจสอบขอมูลของบุคคลซึ่งกระทําการในนาม ขององคกรหรอื หนวยงาน เชน การตรวจสอบจากหนงั สอื มอบอาํ นาจ เปนตน ส�ำ นกั งานพัฒนาธรุ กรรมทางอิเล็กทรอนิกส์ 68

-๘- ๓. การระบแุ ละยนื ยันหรือพสิ จู นต ัวบคุ คลเมอ่ื มกี ารขอออกกญุ แจใหม (Identification and Authentication for Re-key Requests) สําหรับขน้ั ตอนนี้ จะครอบคลุมทงั้ ในข้ันตอนท่ใี บรับรองอิเลก็ ทรอนกิ สห มดอายลุ งและกรณมี ีการ เพิกถอนการใชใบรับรองอิเล็กทรอนิกส ดังน้ัน จึงควรจะเปนขั้นตอนที่มีรูปแบบการทํางานทํานอง เดยี วกนั กับการระบแุ ละยืนยันหรอื พิสูจนตวั บคุ คลเหมือนกับขั้นตอนแรกท่ีไดม ีการขอใชบรกิ าร ๔. การระบแุ ละยนื ยันหรือพสิ จู นต ัวบุคคลเม่อื มีการขอเพกิ ถอนใบรบั รองอิเลก็ ทรอนกิ ส (Identification and Authentication for Revocation Requests) เพ่อื ระบปุ ระเภทของบคุ คลทสี่ ามารถทําการรอ งขอเพิกถอนใบรบั รองอิเล็กทรอนกิ สและข้นั ตอน ในการยนื ยันหรือพิสจู นข อมลู ทแ่ี สดงตวั ตนของบคุ คลดงั กลาวรวมทัง้ สิทธิของบคุ คลนน้ั บทท่ี ๔ ขอ กําหนดเก่ยี วกับการดําเนินการตลอดอายุของใบรบั รองอเิ ล็กทรอนิกส (Certificate Life-Cycle Operation Requirements) ขอมูลในสวนนี้ใชในการระบุขอกําหนดในการดําเนินการเกี่ยวกับใบรับรองอิเล็กทรอนิกส สําหรับผูใหบริการออกใบรับรองอิเล็กทรอนิกส เจาหนาที่รับลงทะเบียน ผูใชบริการ และบุคคล ทเี่ ก่ยี วขอ งอืน่ ๆ ใหสอดคลองกับบทบาทและหนา ท่ขี องตน ๑. การยน่ื คําขอใบรบั รองอเิ ลก็ ทรอนกิ ส (Certificate Application) สว นนี้ควรระบุขอกําหนดเก่ยี วกับการสมัครขอใบรบั รองอิเลก็ ทรอนิกสด ังตอ ไปน้ี ๑.๑ บุคคลท่ีสามารถสมัครขอใบรับรองอิเล็กทรอนิกสได เชน ผูท่ีจะมีชื่อในใบรับรอง อิเล็กทรอนกิ ส (Certificate Subject) หรือ RA เปน ตน ๑.๒ กระบวนการยื่นคําขอใบรับรองอิเล็กทรอนิกส และภาระหนาท่ีท่ีเกี่ยวของ ตัวอยางของ กระบวนการยืน่ ขอใบรบั รองอิเลก็ ทรอนิกส อาจเปนดังตอไปนี้ (๑) ผูสงคาํ ขอใบรับรองสรางคูกุญแจและสงคําขอใบรับรองอิเล็กทรอนิกสใหเจาหนาที่รับ ลงทะเบยี น โดยผูสงคําขอใบรับรองตองใหขอมูลที่ครบถวนและถูกตองตามระเบียบ การขอใบรบั รองอิเลก็ ทรอนิกสของผใู หบ ริการออกใบรับรองอิเล็กทรอนิกส (๒) เจาหนาทร่ี บั ลงทะเบยี นตรวจคาํ ขอ และลงลายมอื ชอ่ื กํากับคําขอท่ีผานการตรวจสอบ แลวไปใหผูใหบริการออกใบรับรองอิเล็กทรอนิกส เจาหนาที่รับลงทะเบียน และ ผใู หบ ริการออกใบรบั รองอเิ ล็กทรอนิกส ตองกําหนดหลักการและวิธกี ารขอใบรับรอง อิเล็กทรอนิกส สำ�นักงานพฒั นาธรุ กรรมทางอิเล็กทรอนิกส์ 69

-๙- ๒. การพิจารณาคาํ ขอใบรับรองอเิ ลก็ ทรอนกิ ส (Certificate Application Processing) เนื้อหาสวนนคี้ วรใหข อมลู เก่ยี วกบั กระบวนการพิจารณาคําขอใบรับรองอิเล็กทรอนิกส ตัวอยาง กระบวนการ เชน ๒.๑ ผูใหบริการออกใบรบั รองอเิ ล็กทรอนกิ สและเจา หนา ที่รับลงทะเบียนจะดําเนินการตรวจสอบ ความถกู ตอ งของผสู มัคร เพือ่ การระบุและยืนยนั ตัวบคุ คล ๒.๒ ผใู หบ ริการออกใบรับรองอเิ ล็กทรอนกิ สแ ละเจาหนาท่ีรับลงทะเบียนจะพิจารณาวาจะอนุมัติ หรอื ไมอ นุมัตกิ ารสมัครขอใชบริการใบรบั รองอิเลก็ ทรอนกิ ส ๒.๓ การกาํ หนดระยะเวลาท่ีผใู หบ ริการออกใบรบั รองอเิ ล็กทรอนิกส และเจา หนาที่รับลงทะเบียน ใชในการพจิ ารณาการย่ืนคําขอใบรบั รองอเิ ล็กทรอนิกส ๓. การออกใบรับรองอิเล็กทรอนิกส (Certificate Issuance) เนื้อหาสวนนี้ควรใหข อ มลู เกย่ี วกบั กระบวนการออกใบรับรองอเิ ลก็ ทรอนิกสในประเด็นตางๆ ดงั ตอไปนี้ ๓.๑ ขอปฏิบัติของผูใหบริการออกใบรับรองอิเล็กทรอนิกส ในการออกใบรับรองอิเล็กทรอนิกส เชน การตรวจลายมือช่ือและอํานาจกระทําการของ เจาหนาท่ีรับลงทะเบียน ตลอดจน การสรางใบรบั รองอิเล็กทรอนิกส ๓.๒ วิธีการแจงผลการออกใบรับรองอิเล็กทรอนิกสแกผูใชบริการ เชน การแจงทางจดหมาย อิเลก็ ทรอนกิ ส ๔. การยอมรบั ใบรบั รองอเิ ล็กทรอนิกส (Certificate Acceptance) ๔.๑ ขอปฏบิ ัตขิ องผสู มัครขอใบรบั รองอิเล็กทรอนกิ สทถ่ี อื เปนการยอมรับใบรับรองอิเล็กทรอนิกส เชน ผูสมัครขอใบรับรองอิเล็กทรอนิกสยอมรับใบรับรองอิเล็กทรอนิกสที่ผูใหบริการออก ใบรบั รองอเิ ลก็ ทรอนิกส ออกใหในกรณีท่ี (๑) ผใู หบริการออกใบรับรองอิเลก็ ทรอนกิ ส มไิ ดร บั การแจง การใดๆ จากผสู มัครขอใบรับรอง อิเลก็ ทรอนกิ สภายในเวลาที่กําหนด (๒) ผูใชบริการลงลายมือช่ือกํากับขอความแจงการยอมรับหรือไมยอมรับใบรับรอง อเิ ล็กทรอนกิ ส ๔.๒ การเผยแพรใ บรบั รองอเิ ล็กทรอนิกสท ไ่ี ดย อมรับโดยผูสมัครขอใบรับรองอิเล็กทรอนิกสแลว ซงึ่ อาจเผยแพรโดยผา นทาง X.500 Directory หรือ LDAP repository ๔.๓ การแจงใหบุคคลอ่ืนทราบถึงใบรับรองอิเล็กทรอนิกสที่ไดออกใหผูสมัครขอใบรับรอง อิเลก็ ทรอนิกส เชน ผใู หบ รกิ ารออกใบรบั รองอิเล็กทรอนิกส อาจสงใบรับรองอิเล็กทรอนิกส ทีอ่ อกใหผ สู มัครขอใบรับรองอเิ ล็กทรอนิกส แกเ จา หนา ทร่ี ับลงทะเบียน เปน ตน สำ�นกั งานพฒั นาธรุ กรรมทางอิเล็กทรอนกิ ส์ 70

-๑๐- ๕. การใชค ูกญุ แจ และใบรับรองอเิ ล็กทรอนิกส (Key Pair and Certificate Usage) ๕.๑ ความรับผิดชอบของผูใชบริการในการใชคูกุญแจและใบรับรองอิเล็กทรอนิกส เชน ผใู ชบรกิ ารจะตอ งใชก ุญแจสว นตัว (Private Key) และใบรบั รองอเิ ล็กทรอนิกสตามนโยบาย ที่กําหนดในแนวนโยบาย และสัญญาระหวางผูใหบริการออกใบรับรองอิเล็กทรอนิกสกับ ผูใชบริการ โดยผูใชบริการสามารถใชกุญแจสวนตัวหลังจากท่ีผูใชบริการไดยอมรับ ใบรับรองอิเล็กทรอนิกสน้ันแลว และไมสามารถใชงานกุญแจสวนตัวและใบรับรอง อเิ ล็กทรอนิกสไ ดห ลังจากใบรบั รองอเิ ลก็ ทรอนิกสด ังกลา วหมดอายลุ งหรอื ถูกเพกิ ถอน ๕.๒ ความรับผิดชอบของคูกรณีที่เกี่ยวของในการใชกุญแจสาธารณะ หรือใบรับรอง อิเล็กทรอนิกสข องผูใชบ รกิ าร เชน คกู รณที ี่เกย่ี วขอ งจะตอ งใชใบรบั รองอิเล็กทรอนิกสตาม นโยบายที่กาํ หนดในแนวนโยบาย และตองตรวจสอบสถานะของใบรับรองอิเล็กทรอนิกส ตามวิธีท่ีระบุใน แนวนโยบายภายใตเงอื่ นไขเกยี่ วกบั คูกรณที ี่เกี่ยวขอ ง ๖. การตออายใุ บรับรองอเิ ลก็ ทรอนิกส (Certificate Renewal) การตอ อายุใบรับรองอิเล็กทรอนกิ ส หมายถงึ การออกใบรับรองอิเลก็ ทรอนิกสใหมใหผูใชบริการ โดยไมมีการเปลี่ยนแปลงกุญแจสาธารณะของผูใชบริการ หรือขอมูลอ่ืนใดท่ีปรากฏในใบรับรอง อิเลก็ ทรอนกิ ส การตออายใุ บรบั รองอเิ ลก็ ทรอนกิ สควรคาํ นงึ ถงึ ประเดน็ ตางๆ ดังตอไปน้ี ๖.๑ กรณตี า งๆ ที่อนุญาตใหมีการตออายุใบรับรองอิเล็กทรอนิกส เชน ใบรับรองอิเล็กทรอนิกส หมดอายุแตนโยบายอนุญาตใหใชคูกุญแจเดิมตอไปได ใหสามารถตออายุใบรับรอง อิเลก็ ทรอนกิ สได ๖.๒ บุคคลท่ีสามารถขอตออายุใบรับรองอิเล็กทรอนิกสได เชน ผูใหบริการออกใบรับรอง อิเล็กทรอนิกส อาจอนุญาตใหเจาหนาท่ีรับลงทะเบียน ขอตออายุแทนผูใชบริการได หรือ ผูใหบริการออกใบรับรองอิเล็กทรอนิกส อาจตออายุใบรับรองอิเล็กทรอนิกสใหผูใชบริการ โดยอัตโนมัติเม่ือใบรับรองดงั กลา วหมดอายลุ ง ๖.๓ ควรมีการระบุกระบวนการในการขอตออายุใบรับรองอิเล็กทรอนิกสท่ีชัดเจน เชน การใช รหัสผาน (Password) ในการยนื ยันตัวบคุ คลอีกครั้งกอนการตอ อายใุ บรับรองอิเลก็ ทรอนิกส ๖.๔ ควรมีวิธกี ารแจงวา ไดต ออายุใบรบั รองอเิ ลก็ ทรอนกิ สใ หผใู ชบริการแลว ๖.๕ ควรระบุวิธีการยอมรับใบรับรองอิเล็กทรอนิกสท่ีผูใหบริการออกใบรับรองอิเล็กทรอนิกส ตอ อายใุ หแกผใู ชบ ริการใบรับรองอเิ ลก็ ทรอนิกส ๖.๖ ควรอธบิ ายเกี่ยวกบั การเผยแพรใบรบั รองอเิ ล็กทรอนิกสต ลอดจนวธิ กี ารแจงบคุ คลทเ่ี ก่ยี วขอ ง ใหท ราบถึงการตออายใุ บรบั รองอเิ ลก็ ทรอนิกส สำ�นักงานพัฒนาธรุ กรรมทางอิเลก็ ทรอนิกส์ 71

-๑๑- ๗. การรบั รองคกู ุญแจใหม (Certificate Re-key) เนื้อหาสวนนคี้ วรใหขอมลู เกย่ี วกับการสรางคกู ุญแจใหม รวมถงึ การออกใบรับรองอิเล็กทรอนิกส ใหมเ พ่ือรองรับคูกญุ แจใหม โดยผูใ ชบ รกิ ารหรอื บคุ คลอืน่ ๗.๑ กรณตี างๆ ที่ผูใหบริการออกใบรับรองอิเล็กทรอนิกสสามารถหรือตองสรางคูกุญแจ และ ออกใบรบั รองอเิ ลก็ ทรอนิกสเพอื่ รองรบั คูกุญแจใหมนี้ เชน กรณขี องการเพิกถอนใบรับรอง อเิ ลก็ ทรอนกิ ส หรอื การหมดอายุการใชง านของคกู ุญแจ ๗.๒ การกําหนดใหบ คุ คลใดสามารถขอใบรบั รองอเิ ล็กทรอนกิ สเ พ่ือรองรบั คกู ญุ แจใหม ๗.๓ ควรมวี ิธีการแจง การออกใบรับรองอเิ ล็กทรอนกิ สใ หมใ หผ ูใชบ ริการทราบ ๗.๔ ควรระบุวิธกี ารยอมรบั ใบรับรองอิเลก็ ทรอนิกสท ผ่ี ใู หบ ริการออกใบรบั รองอิเล็กทรอนิกส เพือ่ รองรบั คกู ุญแจใหม ๗.๕ ควรอธบิ ายเกย่ี วกบั การเผยแพรใบรับรองอเิ ลก็ ทรอนิกสต ลอดจนวิธีการแจงบุคคล ท่ีเก่ียวขอ งใหท ราบถงึ การออกใบรบั รองอิเล็กทรอนกิ สเ พื่อรองรบั คกู ุญแจใหม ๘. การแกไขเปล่ียนแปลงใบรับรองอเิ ล็กทรอนิกส (Certificate Modification) เนือ้ หาสวนนี้ควรใหข อ มูลเกยี่ วกับการออกใบรับรองอเิ ล็กทรอนกิ สใ หมอ ันเนือ่ งมาจากการแกไข เปลี่ยนแปลงขอมูลในใบรับรองอิเล็กทรอนกิ สท ีไ่ มใ ชกุญแจสาธารณะของผใู ชบริการ เชน ๘.๑ กรณตี างๆ ทผี่ ใู หบ ริการออกใบรับรองอิเล็กทรอนิกสอนุญาตใหผูใชบริการสามารถแกไข เปลี่ยนแปลงขอมูลในใบรับรองอิเล็กทรอนิกสได เชน การเปล่ียนชื่อ การเปลี่ยนแปลง Distinguished Name และการเปล่ียนบทบาทภาระหนา ที่ในท่ีทาํ งาน ๘.๒ การกําหนดใหบุคคลใดสามารถขอแกไขเปล่ียนแปลงใบรับรองอิเล็กทรอนิกสได เชน ผูใชบรกิ าร เจา หนาท่ีฝายบคุ คล หรือเจา หนา ที่รับลงทะเบียน เปน ตน ๘.๓ ควรมวี ธิ กี ารแจง การออกใบรบั รองอเิ ลก็ ทรอนิกสใหมใ หผใู ชบรกิ ารทราบ ๘.๔ ควรระบุวธิ ีการยอมรบั ใบรบั รองอิเล็กทรอนิกสทผ่ี ใู หบริการออกใหใหม ๘.๕ ควรอธิบายเก่ียวกับการเผยแพรใบรับรองอิเล็กทรอนิกสตลอดจนวิธีการแจงบุคคล ทีเ่ กยี่ วของใหท ราบถงึ การออกใบรบั รองอเิ ล็กทรอนกิ สใหม ๙. การเพิกถอนและพกั ใชใบรับรองอิเลก็ ทรอนกิ ส (Certificate Revocation and Suspension) เนอ้ื หาสว นนค้ี วรใหขอ มูลเกีย่ วกบั การเพิกถอนและการพกั ใชใบรบั รองอเิ ลก็ ทรอนิกส ๙.๑ กรณีตางๆผูใหบริการออกใบรับรองอิเล็กทรอนิกส ใหมีการพักใชหรือเพิกถอนใบรับรอง อเิ ลก็ ทรอนิกส เชน การเลิกจางงานผูใชบริการ การสูญหายของอุปกรณเขารหัสลับ หรือ มีเหตุอันควรสงสัยวา มีการลวงรูกุญแจสว นตวั โดยมิชอบ เปนตน ส�ำ นกั งานพัฒนาธรุ กรรมทางอิเลก็ ทรอนิกส์ 72

-๑๒- ๙.๒ การกําหนดใหบุคคลใดสามารถขอเพิกถอนและพักใชใบรับรองอิเล็กทรอนิกสของ ผูใชบริการได เชน ผใู ชบ รกิ าร และเจาหนาทรี่ ับลงทะเบยี น เปน ตน ๙.๓ ควรมีการระบุกระบวนการขอเพิกถอนและพักใชใบรับรองอิเล็กทรอนิกส เชน การกําหนดใหเจา หนา ที่รบั ลงทะเบยี น หรือผูใ ชบ ริการตองลงลายมือชื่อกํากับคําขอเพิกถอน ใบรบั รองอเิ ลก็ ทรอนิกส เปน ตน ๙.๔ ควรมีการกําหนดระยะเวลาทผี่ ูใชบรกิ ารสามารถขอเพกิ ถอนใบรับรองอเิ ล็กทรอนิกสได ๙.๕ ควรมีการกําหนดวิธีการท่ีคูกรณีที่เก่ียวของสามารถตรวจสอบสถานะของใบรับรอง อิเลก็ ทรอนกิ สได ๙.๖ ในกรณีท่ีมีการใช Certificate Revocation List (CRL) ในการเผยแพรใบรับรอง อิเล็กทรอนิกสท่ีไดเพิกถอนและพักใช ควรมีการกําหนดความถี่ของการเผยแพรขอมูล ดังกลาว ระยะเวลาระหวางการสราง CRL และเวลาท่ีเผยแพร CRL ใหสาธารณะทราบ และถามีการใหบ รกิ ารตรวจสอบสถานะของใบรับรองอเิ ลก็ ทรอนกิ สแ บบออนไลน กค็ วรแจง ใหสาธารณะทราบถึงวิธีการใชง าน เงือ่ นไข และขอ กาํ หนดที่เกี่ยวขอ งดว ย ๙.๗ ควรกาํ หนดระยะเวลาการพักใชใบรับรองอิเล็กทรอนิกส ๑๐. บริการตรวจสอบสถานะของใบรับรองอเิ ลก็ ทรอนกิ ส (Certificate Status Services) ขอมูลสวนน้ีกลาวถึงบริการตรวจสอบสถานะของใบรับรองอิเล็กทรอนิกสสําหรับคูกรณี ท่ีเกยี่ วของ และควรมีประเดน็ ดงั ตอ ไปนี้ ๑๐.๑ ลักษณะของบริการตรวจสอบสถานะของใบรับรองอิเล็กทรอนิกส และสภาพพรอมใชงาน ของระบบบริการ รวมถึงนโยบายรองรบั กรณที ี่ระบบไมส ามารถใหบ รกิ ารได ๑๐.๒ ลกั ษณะของบรกิ ารอืน่ ที่เกีย่ วของ ๑๑. การเลกิ ใชบ รกิ ารใบรบั รองอเิ ล็กทรอนกิ ส (End of Subscription) ขอ มูลสว นนี้กลาวถงึ ข้ันตอนที่ผูใชบ ริการปฏิบัติในการเลิกใชใบรับรองอิเล็กทรอนิกสซ่ึงอาจมี สาเหตุมาจากการหมดอายุของใบรับรองอิเล็กทรอนิกส หรือการเลิกใหบริการโดยผูใหบริการ ออกใบรบั รองอิเล็กทรอนิกส ๑๒. การเก็บรกั ษาและการกคู ืนกุญแจ (Key Escrow and Recovery) ผใู หบ ริการออกใบรับรองอิเล็กทรอนิกสควรระบุนโยบายเกี่ยวกับการเก็บรักษาและการกูคืน กญุ แจสว นตวั และการปองกนั Session Key (Session Key Encapsulation) สำ�นักงานพฒั นาธรุ กรรมทางอิเลก็ ทรอนกิ ส์ 73

-๑๓- บทที่ ๕ การควบคุมความมั่นคงปลอดภัยของเคร่ืองมืออุปกรณ การบริหารจัดการ และ การดาํ เนินงาน (Facility, Management, and Operational Controls) สําหรับเนอื้ หาในบทน้จี ะครอบคลุมการควบคมุ และการรักษาความมั่นคงปลอดภัยทางกายภาพ สําหรับกรณีท่ีผูใหบริการออกใบรับรองอิเล็กทรอนิกสตองใชในการสรางกุญแจ (Key Generation) การยนื ยนั ตัวบุคคล (Subject Authentication) การออกใบรับรองอิเล็กทรอนิกส (Certificate Issuance) การเพกิ ถอนใบรบั รองอเิ ลก็ ทรอนิกส (Certificate Revocation) การตรวจสอบระบบและเก็บรักษาขอมูล (Auditing and Archiving) ใหม นั่ คงปลอดภัย ดังนั้น จึงควรมีการกําหนดวิธีการในการรักษาความมั่นคงปลอดภัยของบุคคลท่ีเก่ียวของ เพื่อสรางความเชื่อมนั่ ในการใชงานใบรบั รองอิเลก็ ทรอนกิ ส และปอ งกันมิใหมีการบกุ รกุ หรือเขา ถงึ ระบบ หรือลวงรูขอมูลในระบบการใหบริการของผูใหบริการออกใบรับรองอิเล็กทรอนิกส รวมทั้งปองกัน มิใหเกดิ ความผดิ พลาดในขอ มูลที่ใชในการสรา งใบรับรองอเิ ลก็ ทรอนกิ ส หรือรายการเพิกถอนใบรับรอง อิเล็กทรอนกิ สกรณีทมี่ ีการลวงรกู ญุ แจสว นตัวของผใู หบ รกิ ารออกใบรบั รองอิเลก็ ทรอนกิ สโดยมชิ อบ ทงั้ นี้ ความม่ันคงปลอดภัยทางกายภาพ (Physical Security Controls) นั้น ครอบคลุมในเร่ือง ดงั ตอ ไปนี้ ๑. สถานทต่ี ั้งหรอื การกอสรา งสาํ นักงานในการใหบรกิ าร (Site Location and Construction) เนื้อหาในสวนน้ีควรมีการกําหนดพื้นท่ีท่ีมีการรักษาความม่ันคงปลอดภัยเปนพิเศษ (High Security Zone) หรือการใชหองและตูนิรภัย การติดต้ังระบบโทรทัศนวงจรปด และระบบตรวจจับ การบกุ รุกทางกายภาพ เปน ตน ๒. การเขา ถึงทางกายภาพ (Physical Access) ควรกําหนดเกี่ยวกับการเขาออกระหวางพื้นท่ีสํานักงานกับพ้ืนท่ีท่ีมีการรักษาความม่ันคง ปลอดภัยเปนพิเศษ การเคล่ือนยายจากพ้ืนท่ีหนึ่งไปยังอีกพื้นที่หน่ึง ใหมีการปองกันการเขาถึงทาง กายภาพ เชน การพิสูจนต วั บุคคลกอนอนุญาตใหเ ขา ถงึ ระบบใหบ รกิ ารได อาจทาํ ไดโดยการใชบตั รแถบ แมเหล็ก และการตรวจสอบลายนวิ้ มือ เปนตน นอกจากนี้ ยงั ควรมีการคํานึงถึงการบริหารจัดการระบบ ไฟฟาและระบบปรับอากาศ การปอ งกันภัยจากนาํ้ การจดั เกบ็ Backup Media ไวในสถานท่อี ื่น ที่ไดรับ การปองกนั การเขาถึง ปอ งกนั ภยั จากไฟและน้ํา ๓. การควบคมุ ความมัน่ คงปลอดภยั ดานกายภาพ (Physical Security Controls) ผูใหบริการออกใบรับรองอิเล็กทรอนิกสควรบรรยายวิธีการควบคุมดานกายภาพของสถานที่ ประกอบการในหวั ขอ ดงั ตอ ไปนี้ ๓.๑ สถานท่ีตัง้ ของผใู หบ ริการออกใบรับรองอิเลก็ ทรอนกิ ส และการจัดแบงพื้นที่ตามระดับของ ความมั่นคงปลอดภัยทต่ี องการ ๓.๒ การควบคุมการเขาถงึ พื้นที่ทีต่ อ งการระดบั ความมนั่ คงปลอดภัยท่ีตา งกนั สำ�นักงานพัฒนาธรุ กรรมทางอิเลก็ ทรอนิกส์ 74

-๑๔- ๓.๓ การดแู ลเรือ่ งพลังงานไฟฟา การไหลเวียนของนํ้า การควบคุมสภาพอากาศ อุณหภูมิและ ความช้ืนสมั พทั ธ การปอ งกนั การเกดิ อัคคภี ัย เพอ่ื ปองกันการหยุดชะงักของการใหบริการ จากเหตเุ หลาน้ี ๓.๔ การเก็บรักษาส่ือที่ใชเก็บขอมูลของผูใหบริการออกใบรับรองอิเล็กทรอนิกสใหมั่นคง ปลอดภยั ตลอดจนการกําหนดใหมีการสํารองขอมูลนอกสถานที่ประกอบการเพ่ือปองกัน การสญู เสยี หรอื สญู หายของขอมลู ๔. การควบคุมกระบวนการตางๆ ในการดําเนินการ (Procedural Controls) ผูใหบ รกิ ารออกใบรับรองอิเล็กทรอนิกสควรมีการจัดบทบาทและหนาท่ีของบุคลากรในองคกร ใหเหมาะสม และกําหนดนโยบายเกีย่ วกับการทํางานของบคุ ลากรในแตละบทบาท เชน วิธีการระบุและ ยืนยันตัวบุคคล หรือวิธีการเขาถึงขอมูลสําคัญโดยบุคคลในบทบาทตางๆ โดยการแบงแยกหนาที่ ซ่ึงไมอนุญาตใหบคุ คลหนง่ึ รับหนาทใ่ี นหลายบทบาทดวยเหตุผลดา นความมนั่ คงปลอดภยั ของขอมูล ๕. การกูคืนระบบอันเกิดจากพฤติการณท่ีกระทบตอความมั่นคงปลอดภัยของขอมูลและ ภยั พิบตั อิ นั เกดิ แกร ะบบ (Compromise and Disaster Recovery) ผูใหบรกิ ารออกใบรับรองอิเล็กทรอนิกสควรมีนโยบายในการกูคืนระบบอันเกิดจากพฤติการณ ที่กระทบตอความม่ันคงปลอดภัยของขอมูลและภัยพิบัติอันเกิดแกระบบ เชน ขอมูลถูกทําลาย อนั เนือ่ งมาจากอบุ ัตเิ หตุหรอื สาเหตอุ ่นื ใด เพ่อื ใหการใหบ ริการไมห ยดุ ชะงัก ๖. การเลกิ กิจการของผูใหบรกิ ารออกใบรบั รองอิเลก็ ทรอนิกสและเจาหนาที่รบั ลงทะเบียน (CA or RA Termination) ในกรณีท่ีผูใหบริการออกใบรับรองอิเล็กทรอนิกสหรือเจาหนาที่รับลงทะเบียนเลิกกิจการ จะตองมีการแจงใหบุคคลที่เกี่ยวของทราบ รวมถึงผูที่รับผิดชอบขอมูลของผูใหบริการออกใบรับรอง อเิ ล็กทรอนิกสและเจา หนา ทร่ี บั ลงทะเบียนเพอื่ ใหเกดิ ผลกระทบตอผใู ชบริการนอยทีส่ ดุ บทท่ี ๖ การควบคุมความมนั่ คงปลอดภัยดา นเทคนคิ (Technical Security Controls) สาํ หรบั เนอ้ื หาในสว นนีเ้ ปน การกําหนดมาตรการดา นการรักษาความม่ันคงปลอดภัยของกุญแจ และขอ มลู สําหรับอนุญาตใหใชกญุ แจ เชน PIN และ Password และประเด็นตางๆ ที่เก่ียวกบั การบริหาร จัดการกุญแจ ๑. การสรา งและตดิ ตัง้ คูก ญุ แจ (Key Pair Generation and Installation) การสรางและการติดต้ังคกู ญุ แจมปี ระเดน็ ทตี่ อ งพจิ ารณาและกาํ หนดเปน นโยบาย ดังตอ ไปนี้ ๑.๑ ใครเปน ผสู รางคกู ญุ แจใหผ ใู ชบ รกิ าร และสรา งโดยซอฟตแวรห รือฮารด แวร ๑.๒ วิธกี ารท่ผี ูใ ชบ ริการจะไดรบั กญุ แจสว นตัวของตนแบบม่นั คงปลอดภัยเปนไปไดอ ยา งไรบาง สำ�นักงานพัฒนาธรุ กรรมทางอิเล็กทรอนิกส์ 75

-๑๕- ๑.๓ วิธีการท่ีผูใหบริการออกใบรับรองอิเล็กทรอนิกสจะไดรับกุญแจสาธารณะของผูใชบริการ แบบมัน่ คงปลอดภยั เปนไปไดอยางไรบาง ๑.๔ คกู รณที เี่ ก่ยี วขอ งจะไดรับกญุ แจสาธารณะของผใู หบ ริการออกใบรบั รองอิเลก็ ทรอนิกสแบบ มนั่ คงปลอดภัยเปนไปไดอ ยา งไรบา ง ๑.๕ ความยาวของคกู ุญแจเปน เทาใด เชน กญุ แจอาจมคี วามยาว 1,024 บติ RSA และ 1,024 บิต DSA ๑.๖ ใครเปนผูที่กําหนดพารามิเตอรของกุญแจสาธารณะ และมีการตรวจสอบคุณภาพของ พารามเิ ตอรระหวา งการสรางกญุ แจหรือไม ๑.๗ วตั ถปุ ระสงคท อี่ าจจะนําคกู ุญแจไปใช หรอื วัตถปุ ระสงคที่ควรจํากดั การใชคูกุญแจคืออะไร สาํ หรับใบรบั รองตาม X.509 นัน้ วัตถปุ ระสงคเหลานคี้ วรจะสอดคลองกับการใชงานกุญแจ ตามมาตรฐาน X.509 เวอรชนั่ 3 ๒. การปองกันกญุ แจสวนตวั (Private Key Protection) และการจดั การควบคมุ ชน้ิ สว น สําหรบั การเขารหสั ลับ (Cryptographic Module Engineering Control) ในสว นนี้ควรกําหนดวธิ กี ารปองกนั กุญแจสวนตัวและการใชงานชิ้นสวนสําหรับการเขารหัสลับ ของผูใหบริการออกใบรับรองอิเล็กทรอนิกส เจาหนาที่รับลงทะเบียน ผูใชบริการ และผูใหบริการเก็บ ขอมูล โดยคํานึงถึงความมั่นคงปลอดภัยและความเสียหายอันเกิดจากการเก็บรักษากุญแจสวนตัว การสาํ รองกญุ แจสวนตวั และการบันทกึ ถาวรกญุ แจสวนตัว ท้ังน้ี ใหพิจารณาคาํ ถาม ดังตอไปน้ี ๒.๑ ถามีการใชงานช้ินสวนสําหรับการเขารหัสลับ (อาจเปนซอฟตแวร ฮารดแวร และ หรือ เฟร ม แวร) ควรจะอา งองิ ตามมาตรฐานใด ๒.๒ จําเปนตองมีการควบคุมการเขาถึงกุญแจสวนตัว โดยผูมีสิทธิมากกวา ๑ คนหรือไม (แบบ m out of n) ๒.๓ มนี โยบายในการเก็บรักษากุญแจสว นตวั หรือไม (Key Escrow) ๒.๔ มีนโยบายในการสํารองกญุ แจสวนตวั หรือไม (Private Key Backup) ๒.๕ มีนโยบายในการบนั ทึกถาวรกญุ แจสวนตัวหรือไม (Private Key Archival) ๒.๖ ในกรณใี ดบา งทจ่ี ะมีการถายโอนกุญแจสวนตัวเขาไปในหรอื ออกจากชิ้นสว นสาํ หรบั เขา รหสั ลบั ๒.๗ การจัดเก็บกุญแจสวนตัวในช้ินสวนสําหรับเขารหัสลับ (Private Key Storage in Cryptographic Module) จะทําดวยวิธีใด เชน เก็บในรูปแบบขอมูลธรรมดาที่อานเขาใจได (Plaintext) รปู แบบของขอมูลท่มี ีการเขารหัสลับ (Encrypted) หรือการแยกกุญแจ (Split Key) เปนตน ๒.๘ ใครเปน ผทู มี่ ีสทิ ธิในการใชง านกุญแจสว นตวั ดวยวธิ อี ยางไร ๒.๙ ใครเปนผมู สี ิทธใิ นการยกเลกิ การใชง านกญุ แจสวนตวั ดวยวธิ อี ยางไร ๒.๑๐ ใครมีสิทธิทําลายกุญแจสว นตวั ดวยวิธีอยา งไร ส�ำ นักงานพัฒนาธรุ กรรมทางอิเลก็ ทรอนกิ ส์ 76

-๑๖- ๒.๑๑ รายละเอียดความสามารถของช้ินสวนสําหรับเขารหัสลับ เปนอยางไร (อาจอางถึง มาตรฐานทเ่ี กยี่ วของ เชน FIPS 140-1 ๓. รายละเอยี ดอน่ื เกย่ี วกบั การจดั การและบรหิ ารคกู ุญแจ (Other Aspects of Key Pair Management) ในสวนน้ีควรกําหนดวิธีการในการจัดการและบริหารคูกุญแจของผูใหบริการออกใบรับรอง อิเล็กทรอนิกส เจาหนาที่รับลงทะเบียน ผูใชบริการ และผูใหบริการเก็บขอมูล โดยพิจารณาคําถาม ดังตอ ไปนี้ ๓.๑ ควรมีการเก็บบันทึกถาวรของกุญแจสาธารณะ (Public Key Archival) หรือไม ถามีใคร จะเปนผูทําหนาที่เก็บบันทึกถาวร และการควบคุมความม่ันคงปลอดภัยของระบบเก็บ บนั ทกึ ถาวร ท้ังในเรอื่ งความจาํ เปนในการปกปองซอฟตแวร และฮารดแวรท่ีเก่ียวของกับ การใชงานกญุ แจสาธารณะอยตู ลอดเวลา ๓.๒ ระยะเวลาใชง านของใบรบั รองอิเลก็ ทรอนิกส และคูก ญุ แจของผูใชบ รกิ ารเปน เทาใด ๔. ขอมลู ท่ใี ชในการตดิ ต้ังใบรบั รองของผูใ ชบ รกิ าร (Activation Data) เนื้อหาในสวนนีค้ วรกําหนดวิธกี ารปอ งกันขอมูลที่จําเปนตองใชในการติดต้ังใบรับรองของผูใช บริการ (Activation Data) ซ่ึงอาจหมายถึง รหัสอางอิง (Reference Code) และรหัสติดต้ัง (Installation Code) เพอื่ ใชในการยืนยนั ตวั ผใู ชบ รกิ ารในข้ันตอนการตดิ ต้ังใบรับรอง ซึ่งเปน ขอมูลที่ผูใชบริการไดรับ จากผูใ หบรกิ ารออกใบรับรองอเิ ลก็ ทรอนิกสโ ดยตรงหรอื จากเจาหนา ที่รับลงทะเบียน ๕. การควบคุมความม่นั คงปลอดภยั ของระบบคอมพวิ เตอร (Computer Security Controls) เนื้อหาในสว นน้ีควรอธิบายการควบคุมความมั่นคงปลอดภัยของระบบคอมพิวเตอร เพ่ือใหเกิด ความนาเช่ือถอื ของระบบผูใ หบรกิ ารออกใบรบั รองอเิ ล็กทรอนิกส โดยมีการควบคุมการเขาถึง (Access Control) มีการตรวจสอบ (Audit) ระบบของผใู หบ ริการออกใบรบั รองอเิ ล็กทรอนิกส การยืนยันตัวบุคคล (Identification และ Authentication) การทดสอบระบบความม่ันคงปลอดภัย (Security testing) และ ทดสอบการบุกรุกระบบ (Penetration Testing) โดยที่ระบบการควบคุมความม่ันคงปลอดภัยนั้นตอง ไดรับการประเมินตามมาตรฐานสากล เชน The Trusted System Evaluation Criteria (TCSEC) ๖. การควบคุมทางเทคนคิ ของระบบใหบรกิ าร (Life Cycle Technical Controls) เนือ้ หาในสวนน้ีควรจะกลาวถึงการควบคุมการพัฒนาระบบและการควบคุมการบริหารจัดการ ดานความมั่นคงปลอดภัย การควบคุมการพัฒนาระบบนั้นรวมความถึงความมั่นคงปลอดภัยของ สภาพแวดลอมในการพัฒนาระบบ บคุ ลากรที่พฒั นาระบบ และการออกแบบระบบ เปนตน การควบคุมการบริหารจัดการดานความม่ันคงปลอดภัย หมายความถึง การใชเคร่ืองมือ อุปกรณ (Tools) และกระบวนการ (procedure) เพื่อใหเกิดความมั่นใจดานความม่ันคงปลอดภัยของ ระบบปฏิบตั ิการ (Operational Systems) และระบบเครือขา ย (Networks) สำ�นกั งานพัฒนาธรุ กรรมทางอิเล็กทรอนกิ ส์ 77

-๑๗- ๗. การควบคุมความมั่นคงปลอดภยั ทางเครือขาย (Network Security Controls) เนื้อหาในสวนน้ีระบุการควบคุมความมั่นคงปลอดภัยทางเครือขายของระบบผูใหบริการออก ใบรับรองอิเล็กทรอนิกส โดยปองกันมิใหเขาถึงระบบไดโดยมิชอบดวยกลไกของอุปกรณรักษาความ ม่นั คงปลอดภัยหลายสวนหลายลําดับชั้น ไดแก อุปกรณเลือกเสนทาง (Router) ตัวปองกันการบุกรุก (Firewall) ระบบตรวจสอบผบู กุ รุก (Intrusion Detection System: IDS) ๘. ขอกาํ หนดสาํ หรับการประทบั เวลาในบันทึกตา งๆ (Time-stamping) หากกําหนดใหมกี ารประทบั เวลาในบันทกึ ตา งๆ ควรระบุไวในสวนน้ี และกลาวถงึ แหลง ทม่ี าของ เวลาและความนาเชื่อถอื ประกอบดวย บทท่ี ๗ การกําหนดรปู แบบของใบรบั รองอิเลก็ ทรอนิกส รายการเพกิ ถอน และสถานะของ ใบรับรองอเิ ลก็ ทรอนิกส (Certificate, CRL, and OCSP Profiles) ๑. รูปแบบของใบรับรองอเิ ลก็ ทรอนกิ ส (Certificate Profile) เนื้อหาในสว นน้ีกาํ หนดรายละเอยี ดเกี่ยวกับประเด็นดงั ตอ ไปน้ี (อา งองิ ตาม IETF RFC 3280) ๑.๑ เวอรช่ันของใบรบั รองอิเล็กทรอนกิ สที่สนับสนุน ๑.๒ ขอมูลใน Certificate Extensions และความสําคัญ (Criticality) ของขอมูลดังกลาว OID ของข้ันตอนวิธกี ารเขารหสั ลับ (Cryptographic Algorithm Object Identifiers) ๑.๓ รูปแบบชื่อของผูใหบริการออกใบรับรองอิเล็กทรอนิกส เจาหนาท่ีรับลงทะเบียน และ ผูใชบ ริการ ๑.๔ OID ของแนวนโยบายที่เกี่ยวขอ ง ๒. รปู แบบรายการเพิกถอนใบรบั รอง (Certification Revocation List Profile) ๒.๑ เนอ้ื หาในสวนน้กี ําหนดรายละเอียดเก่ียวกับประเด็นดังตอ ไปน้ี (อางอิงตาม IETF RFC 3280) เวอรช ั่นของรายการเพิกถอนใบรบั รองที่สนบั สนนุ และ ๒.๒ รายการเพิกถอนใบรับรอง และขอมูลใน CRL Entry Extensions และความสําคัญของ ขอมูลดงั กลาว (Criticality) ๓. รูปแบบโปรโตคอล OCSP (OCSP Profile) ในสวนนี้แสดงถงึ เนื้อหาและรปู แบบของขอมลู ทใ่ี ชในการตรวจสอบสถานะของใบรบั รองโดย ใชโปรโตคอล OCSP (Online Certificate Status Protocol) รวมท้งั ขอ มลู อนื่ ๆ เชน เวอรชนั่ ของ OCSP และขอ มลู เพ่มิ เตมิ ทสี่ ามารถระบลุ งไปใน OCSP (อางองิ ตาม IETF RFC 2560) สำ�นกั งานพฒั นาธรุ กรรมทางอิเล็กทรอนกิ ส์ 78

-๑๘- บทที่ ๘ การตรวจสอบการปฏิบัติตามกฎขอบังคับตางๆ และการประเมินความเส่ียงอ่ืนๆ (Compliance Audit and Other Assessment) สําหรับเนื้อหาในสวนน้ีจะตองกําหนดเก่ียวกับรายการท่ีตองมีการประเมินความเสี่ยง หรือ ระเบียบวิธี (Methodology) ทใ่ี ชในการประเมนิ ความเสย่ี ง เชน การประเมินความเสีย่ งตามแนวทางของ WebTrust เปนตน นอกจากน้ัน ก็อาจกําหนดความถ่ีของการตรวจสอบหรือประเมินความเสี่ยง ท้ังนี้ ในการ ประเมินนนั้ กต็ อ งประเมนิ ตามแนวนโยบายและแนวปฏิบัติ และประเมินทั้งกอนมีการใหบริการ เม่ือมี การใหบริการ และการตรวจสอบกรณีมีความเปนไปไดที่จะมีการลวงรูโดยมิชอบอันเปนการกระทบ ถงึ ความม่นั คงปลอดภยั ท้ังน้ี จําเปนตองระบุคุณสมบัติของบุคลากรที่ทําหนาที่ตรวจสอบและประเมินความเส่ียง การดําเนนิ การเก่ียวกับผลการประเมิน เชน การระงับการดาํ เนินการชว่ั คราว หรอื การเพิกถอนใบรับรอง ท่ีออก เปน ตน บทท่ี ๙ ขอกาํ หนดอน่ื ๆ และประเด็นกฎหมาย (Other Business and Legal Matters) สําหรับเน้ือหาในสวนนี้ จะกําหนดเกี่ยวกับการจัดเก็บคาธรรมเนียม (Fees) ความรับผิดชอบ ทางการเงิน (Financial Responsibility) ทั้งในสวนท่ีเก่ียวกับการดําเนินการหรือกรณีมีการเรียกรอง คา เสยี หายจากการใหบริการเกดิ ขน้ึ รวมท้งั ประเดน็ ขอกฎหมายตางๆ อยางไรก็ตาม ในการจัดทําแนวนโยบายและแนวปฏิบัติ นั้น หากผูใหบริการออกใบรับรอง อิเล็กทรอนิกส ตองการใหเอกสารฉบับดังกลาวถือเปนสัญญาฉบับหนึ่งหรือเปนสวนหนึ่งของสัญญา ในการใหบริการ ก็อาจจําเปนตองพิจารณาเพิ่มเติมเน้ือหาเก่ียวกับขอจํากัดความรับผิด (Limitation of Liability) ไวในแนวนโยบายหรือแนวปฏิบัติ ดวย แตหากไมประสงคใหแนวนโยบายและแนวปฏิบัติ เปนสัญญาหรือสวนหนึ่งของสัญญาในการใหบ รกิ าร กอ็ าจจาํ เปน ตองมกี ารจัดทาํ สัญญาในการใหบ ริการ ผใู ชบรกิ าร หรอื คูกรณที ี่เก่ยี วขอ งซง่ึ มีขอ ความกาํ หนดเก่ียวกับขอจํากัดความรับผิดของบุคคลดังกลาว ในการใหบ ริการเอาไวดวย ๑. คาธรรมเนียม (Fees) สําหรับคา ธรรมเนียมในการใหบ รกิ ารนน้ั อาจกําหนดใหผใู หบริการออกใบรับรองอิเล็กทรอนิกส ซึ่งใหบ ริการออกใบรับรองอิเล็กทรอนิกส ผูใหบ ริการเก็บรกั ษาขอมลู หรือผูใหบริการในฐานะเจาหนาที่ รับลงทะเบียน จัดเก็บคาธรรมเนียมไดจากกรณีที่มีการออกใบรับรองอิเล็กทรอนิกส หรือตออายุ ใบรับรองดังกลาว (Certificate Issuance or Renewal Fees) คาธรรมเนียมในการเขาถึงใบรับรอง (Certificate Access Fees) การเขาถึงขอมูลเกี่ยวกับการเพิกถอนหรือสถานะลาสุดของใบรับรอง อิเล็กทรอนิกส คาธรรมเนียมสําหรับบริการอ่ืนๆ เชน การเขาถึงแนวนโยบายหรือแนวปฏิบัติ ท้ังนี้ ผูใหบ ริการออกใบรบั รองอเิ ลก็ ทรอนิกส อาจจดั ทํานโยบายในการคืนคา ธรรมเนียม (Refund Policy) ไวด ว ย ส�ำ นักงานพัฒนาธรุ กรรมทางอิเล็กทรอนกิ ส์ 79

-๑๙- ๒. ความรับผดิ ชอบทางการเงิน (Financial Responsibility) เน้อื หาในสว นนค้ี วรกําหนดขึน้ เกี่ยวกบั ความรบั ผิดในการดําเนินการทเี่ กดิ ขึ้น (Operational PKI Responsibilities) การรกั ษาสถานะของผใู หบริการใหส ามารถชาํ ระหน้ีและจายคาเสียหายในกรณีที่ตอง รับผิดได (to Remain Solvent and Pay Damages) ท้ังน้ี อาจมีการเพ่ิมเติมเนื้อหาท่ีเก่ียวกับวงเงิน ประกันความเสียหายที่คุมครองความรับผิดที่เกิดข้ึน (Insurance Coverage for Liabilities) และความ รับผิดในอนาคต (Contingencies) สินทรัพยท่ีปรากฏในงบดุล (Assets on The Balance Sheet) หนังสือค้ําประกัน (Surety Bond) เล็ตเตอร ออฟ เครดิต (Letter of Credit) คาสินไหมทดแทน (Indemnity) และอาจใหค วามคุมครองเพม่ิ เตมิ ดวยการกําหนดเกีย่ วกบั การประกันภัย (Insurance) หรือ การใหค าํ รบั รอง (Warranty) ๓. การรักษาความลับของขอมูลทางธรุ กจิ (Confidentiality of Business Information) ดว ยขอมูลบางประเภทเปนความลับทางธุรกิจที่จําเปนตองเก็บไวเปนความลับ เชน แผนทาง ธุรกิจ (Business Plan) ขอ มูลการขาย (Sales Information) ความลับทางการคา (Trade Secrets) และ ขอมูลที่ไดจากบุคคลที่สามภายใตขอตกลงไมเปดเผยความลับ (Nondisclosure Agreement) จงึ จําเปน ตองกาํ หนดขอบเขตในการรกั ษาความลับ ขอมูลทอี่ ยูนอกเหนือจากขอตกลงวาดวยการรักษา ความลับ และความรับผิดของบุคคลท่ีเกี่ยวของซ่ึงไดรับขอมูลลับน้ัน ทั้งน้ี อาจตองมีกลไกทําใหเกิด ความเช่ือม่ันวาจะมีการปกปองมิใหเกิดพฤติการณท่ีกระทบตอความมั่นคงปลอดภัยของขอมูล (Compromise) ๔. นโยบายในการรกั ษาความเปน สวนตวั หรือขอ มลู สว นบุคคล (Privacy of Personal Information) ในการใหบ รกิ ารของผใู หบ รกิ ารออกใบรับรองอิเลก็ ทรอนิกส เจาหนา ที่รับลงทะเบยี น หรอื บุคคล อ่ืนๆ ซ่งึ ใหบริการท่เี กี่ยวของน้นั จาํ เปน ตองใหความสําคัญสําหรับการรักษาความเปนสวนตัวหรือเก็บ ขอมูลสว นบคุ คลของผใู ชบ ริการไวเปนความลับ จะเปดเผยไดเพียงขอมูลบางอยางเทาน้ัน เชน ขอมูล ทตี่ อ งเผยแพรโดยการบนั ทึกไวในใบรบั รองอิเล็กทรอนิกส ไดแ ก ชอ่ื ช่ือสกุล ของผใู ชบริการ เปน ตน ดงั น้ัน การดําเนินการเก่ียวกับขอมูลสวนบุคคลจึงตองดําเนินการตามกฎหมายวาดวยการน้ัน หรือกรณีที่ยังไมมีการใชบังคับกฎหมายเชนวานั้น ก็อาจจําเปนตองดําเนินการตามหลักเกณฑในการ ใหค วามคมุ ครองในเรือ่ งดงั กลา วตามมาตรฐานสากล เชน ตามแนวทางของ OECD Guidelines ดวยเหตุน้ี ในการดําเนินการใดๆ เกี่ยวกับขอมูลสวนบุคคล จึงควรไดรับความยินยอมจาก ผูใชบริการ กอนจะมีการเปดเผยขอมูลสวนบุคคลดังกลาว ทั้งนี้ จะตองกําหนดขอยกเวนกรณี ที่จําเปนตองมีการเปดเผยขอมูลสวนบุคคลในกรณีที่ตองดําเนินการตามกฎหมายฉบับตางๆ หรือ เม่ือมคี ําส่งั ศาล หรือเมื่อมคี ําสง่ั ทางปกครอง เปน ตน ไวด ว ย ๕. ทรพั ยสนิ ทางปญญา (Intellectual Property Rights) ใหกําหนดเรื่องทรัพยสินทางปญญา อันไดแก ลิขสิทธิ์ สิทธิบัตร เครื่องหมายการคา หรือ ความลับทางการคาซึ่งบุคคลที่เกี่ยวของอาจมีหรือใชสิทธิเรียกรองตามที่กําหนดไวในแนวนโยบาย ส�ำ นักงานพฒั นาธรุ กรรมทางอิเลก็ ทรอนิกส์ 80

-๒๐- แนวปฏบิ ัติ ใบรับรองอิเลก็ ทรอนกิ ส ช่ือ กุญแจ หรือภายใตการอนญุ าตหรอื ท่ีกําหนดไวในขอตกลงใดๆ กับบคุ คลท่ีเก่ียวของ ๖. คาํ รับรอง (Representations and Warranties) ในสวนนจี้ ะกาํ หนดใหบ คุ คลท่ีเกี่ยวของทําคํารับรองในเร่ืองตางๆ ที่กําหนดไวในแนวนโยบาย หรือแนวปฏิบตั ิ เชน การกาํ หนดใหผูใหบ รกิ ารออกใบรับรองอเิ ล็กทรอนิกส ตองใหการรับรองวา ขอมูล หรือขอเทจ็ จริงทีบ่ นั ทกึ ไวในใบรบั รองอิเล็กทรอนิกสน นั้ ถูกตอ ง ตามที่ไดม กี ารกาํ หนดใหแนวปฏบิ ตั ิเปน ขอตกลงในการใหบริการ รวมทั้งกรณีมีการกําหนดใหมีการใหคํารับรองท่ีกําหนดไวในสัญญาหรือ ขอตกลงอ่ืนๆ เชน ขอตกลงในการใหบริการกับผูใชบริการ (Subscriber Agreement) และขอตกลง ในการใหบ รกิ ารกบั คูกรณีที่เก่ียวของ (Relying Party Agreement) ๗. การปฏเิ สธความรบั ผดิ ตามคํารบั รอง (Disclaimers of Warranties) ในเนอื้ หาของแนวนโยบายหรอื แนวปฏิบัติน้ัน ใหมีการกําหนดเกี่ยวกับการปฏิเสธความรับผิด ตามคาํ รบั รองหรอื กําหนดเนือ้ หาเกีย่ วกับเร่อื งดังกลา วไวใ นสญั ญาในการใหบริการฉบบั ตาง ๆ ๘. ขอจาํ กัดความรับผดิ (Limitations of Liability) ในการใหบรกิ ารนัน้ อาจมกี ารกาํ หนดเกี่ยวกบั ขอจาํ กดั ความรับผดิ ไวด ว ยก็ได โดยอาจพิจารณา จากลกั ษณะของการจํากัดความรับผิด และจํานวนเงินคาเสียหายท่ีจํากัดความรับผิด เชน คาเสียหาย อันเน่ืองมาจากการผิดสัญญา (Incidental Damages) คาเสียหายจากการสูญเสียกําไรในอนาคต (Consequential Damages) ๙. คาสนิ ไหมทดแทน (Indemnities) สําหรับการชดใชคาสินไหมทดแทนน้ัน อาจมีการกําหนดใหคูสัญญาฝายใดตองรับผิด ท้ังนี้ โดยอาจมีการกาํ หนดไวในแนวนโยบาย แนวปฏิบัติ หรือสัญญา หรอื ขอ ตกลงตา งๆ เชน การกําหนดให ผูใชบรกิ ารตอ งรับผดิ ในการชดใชคาสินไหมทดแทนกรณที ี่ผูใชบรกิ ารไดแ ถลงขอ มูลหรอื ขอเท็จจริงของ ตนที่ตองบันทึกไวในใบรับรองอิเล็กทรอนิกสเปนเท็จหรือไมตรงกับความจริง หรือกรณีที่คูกรณี ท่ีเก่ียวของตองรับผิดชดใชคาสินไหมทดแทนท่ีเกิดข้ึนกับผูใหบริการออกใบรับรองอิเล็กทรอนิกส ในกรณที ่ีไมตรวจสอบการเพกิ ถอนใบรบั รองอเิ ล็กทรอนิกส สําหรบั ในบทท่ี ๙ น้ี นอกจากหัวขอ ขางตน แลว อาจมีการกาํ หนดเนอ้ื หาเกย่ี วกับการเลิกสัญญา การติดตอสื่อสารระหวางผูใหบริการและผูใชบริการ การแกไขปรับปรุงแนวนโยบาย หรือแนวปฏิบัติ การระงับขอพพิ าท กฎหมายท่ีใชบังคับ รวมท้ังเน้ือหาอ่ืนๆ ท่ีผูใหบริการออกใบรับรองอิเล็กทรอนิกส ประสงคจ ะกําหนดเพ่มิ เตมิ ไดอ กี ดวย เอกสารอางองิ Internet X.509 Public Key Infrastructure Certificate Policy and Certification Practices Framework (RFC 3647) ส�ำ นักงานพัฒนาธรุ กรรมทางอิเลก็ ทรอนกิ ส์ 81

ส�ำ นกั งานพฒั นาธรุ กรรมทางอิเล็กทรอนิกส์ 82

ประกาศคณะกรรมการธุรกรรมทางอเิ ล็กทรอนิกส เรื่อง หลักเกณฑและวธิ ีการในการจัดทําหรอื แปลงเอกสาร และขอ ความใหอ ยใู นรปู ของขอมลู อเิ ลก็ ทรอนกิ ส พ.ศ. ๒๕๕๓ ส�ำ นักงานพัฒนาธรุ กรรมทางอิเลก็ ทรอนิกส์ 83

ชือ่ กฎหมาย ประกาศคณะกรรมการธุรกรรมทางอิเล็กทรอนิกส เร่ือง หลักเกณฑและวิธีการในการจัดทําหรือ แปลงเอกสารและขอความใหอ ยใู นรูปของขอมูลอเิ ล็กทรอนกิ ส พ.ศ. ๒๕๕๓ ประกาศในราชกิจจานุเบกษา เลม ๑๒๗ / ตอนพเิ ศษ ๑๒๔ ง / หนา ๔๗ / วนั ท่ี ๒๖ ตลุ าคม ๒๕๕๓ เร่ิมบงั คบั ใช วนั ท่ี ๒๗ ตลุ าคม ๒๕๕๓ สำ�นักงานพัฒนาธรุ กรรมทางอิเลก็ ทรอนกิ ส์ 84

เลม ๑๒๗ ตอนพิเศษ ๑๒๔ ง หนา ๔๗ ๒๖ ตลุ าคม ๒๕๕๓ ราชกิจจานเุ บกษา ประกาศคณะกรรมการธุรกรรมทางอิเล็กทรอนิกส เร่ือง หลักเกณฑแ ละวธิ ีการในการจัดทําหรอื แปลงเอกสารและขอความใหอยใู นรูปของ ขอมลู อิเลก็ ทรอนกิ ส พ.ศ. ๒๕๕๓ โดยที่พัฒนาการทางเทคโนโลยีในปจจุบันทําใหรูปแบบและวิธีการในการติดตอส่ือสาร การรับสงเอกสารและขอมูล ตลอดจนการทําธุรกรรมปรับเปลี่ยนไปเปนรูปแบบของธุรกรรม ทางอเิ ลก็ ทรอนกิ สม ากขน้ึ รวมถึงเอกสารหรือขอความทีไ่ ดมกี ารจัดทําหรือแปลงใหอยูในรูปของขอมูล อิเล็กทรอนิกสในภายหลัง และโดยท่ีกฎหมายวาดวยธุรกรรมทางอิเล็กทรอนิกสกําหนดใหการจัดทํา หรือแปลงเอกสารและขอความใหอยูในรูปของขอมูลอิเล็กทรอนิกสเปนไปตามหลักเกณฑและวิธีการ ทคี่ ณะกรรมการธุรกรรมทางอเิ ลก็ ทรอนิกสกําหนด อาศัยอํานาจตามความในมาตรา ๑๒/๑ วรรคสอง แหงพระราชบัญญัติวาดวยธุรกรรม ทางอเิ ลก็ ทรอนกิ ส พ.ศ. ๒๕๔๔ ซึ่งแกไ ขเพ่มิ เตมิ โดยพระราชบัญญัติวาดวยธรุ กรรมทางอเิ ล็กทรอนิกส (ฉบับที่ ๒) พ.ศ. ๒๕๕๑ คณะกรรมการธุรกรรมทางอเิ ล็กทรอนกิ สจ งึ ออกประกาศไว ดังตอ ไปน้ี ขอ ๑ ประกาศน้ีเรียกวา “ประกาศคณะกรรมการธุรกรรมทางอิเล็กทรอนิกส เรื่อง หลักเกณฑ และวิธกี ารในการจดั ทําหรอื แปลงเอกสารและขอความใหอ ยใู นรูปของขอมูลอิเล็กทรอนกิ ส พ.ศ. ๒๕๕๓” ขอ ๒ ในประกาศนี้ “การจดั ทําหรือแปลงเอกสารและขอ ความใหอ ยูในรูปของขอมลู อเิ ล็กทรอนิกส” หมายความวา การจดั ทาํ หรือแปลงเอกสารและขอ ความตามประกาศคณะกรรมการธุรกรรมทางอเิ ล็กทรอนิกสฉ บับน้ี “ผูจัดทาํ หรอื แปลง” หมายความวา บุคคลผจู ัดทําหรือแปลงเอกสารและขอความใหอยูในรูปของ ขอมูลอิเล็กทรอนิกส และใหหมายความรวมถึง บุคคลผูจัดทําหรือแปลงขอความเสียง หรือวีดิทัศน ใหอ ยูในรปู ของขอมูลอเิ ล็กทรอนิกส “เอกสาร” หมายความวา กระดาษหรอื วัตถุอนื่ ใดซ่ึงไดทําใหปรากฏความหมายดวยตัวอักษร ตัวเลข ผงั หรอื แผนแบบอยา งอื่นจะเปนโดยวธิ ีพมิ พ ถา ยภาพหรอื วิธอี ่นื อนั เปน หลักฐานแหงความหมายนน้ั “เมตาดาตา” (Metadata) หมายความวา ขอมลู ที่ใชก ํากบั และอธบิ ายขอมูลอ่ืน สำ�นกั งานพฒั นาธรุ กรรมทางอิเล็กทรอนกิ ส์ 85

เลม ๑๒๗ ตอนพิเศษ ๑๒๔ ง หนา ๔๘ ๒๖ ตลุ าคม ๒๕๕๓ ราชกิจจานุเบกษา ขอ ๓ การจัดทําหรือแปลงเอกสารและขอความใหอยูในรูปของขอมูลอิเล็กทรอนิกส ใหเปนไปตามหลกั เกณฑและวิธกี ารดงั ตอ ไปน้ี (๑) ขอมูลอิเล็กทรอนิกสท่ีจัดทําหรือแปลงตองมีความหมายหรือรูปแบบเหมือนกับเอกสาร และขอความเดิมซ่ึงนํามาจัดทําหรือแปลงใหอยูในรูปของขอมูลอิเล็กทรอนิกส โดยผูจัดทําหรือแปลง จะตองตรวจสอบและรับรองวาขอมูลอิเล็กทรอนิกสน้ัน มีความหมายหรือรูปแบบเหมือนกับเอกสาร และขอ ความเดมิ (๒) ขอมูลอิเล็กทรอนิกสตองจัดทําหรือแปลงข้ึนดวยวิธีการท่ีเช่ือถือไดในการระบุตัวตน ผูจัดทาํ หรือแปลงทร่ี บั ผดิ ชอบในการจัดทาํ หรือแปลงนัน้ (๓) ขอ มูลอเิ ลก็ ทรอนิกสตองจัดทาํ หรือแปลงโดยมีเทคโนโลยแี ละมาตรการปองกันมิใหมีการ เปลี่ยนแปลงหรือแกไขเกิดข้ึนกับขอมูลน้ัน เวนแตการรับรองหรือบันทึกเพิ่มเติม ซึ่งไมมีผลตอ ความหมายของขอ มลู อิเล็กทรอนกิ ส รายละเอียดของวิธีการในการจัดทําหรือแปลงเอกสารและขอความใหอยูในรูปของขอมูล อเิ ล็กทรอนกิ สใ หเ ปน ไปตามท่กี ําหนดไวในขอ ๔ ถึงขอ ๙ ขอ ๔ การจัดทําหรือแปลงเอกสารและขอความใหอยูในรูปของขอมูลอิเล็กทรอนิกส ใหมกี ระบวนการในการจดั ทาํ หรือแปลงเอกสารและขอความอยา งนอย ดงั น้ี (๑) กระบวนการจัดทําหรอื แปลงเอกสารและขอความใหเปนขอมูลอิเล็กทรอนิกสดวยวิธีการ ทางอเิ ลก็ ทรอนิกส (๒) กระบวนการตรวจสอบและรับรองวาขอมูลอิเล็กทรอนิกสท่ีจัดทําหรือแปลงนั้น มคี วามหมายเหมอื นกบั เอกสารและขอความเดิม (๓) กระบวนการบันทึกหลักฐานการดําเนินงานการจัดทําหรือแปลงเอกสารและขอความ ใหอยใู นรปู ของขอ มูลอิเลก็ ทรอนิกส (๔) กระบวนการบันทึกเมตาดาตาในรูปแบบอเิ ลก็ ทรอนกิ สทีเ่ ปนขอ ความบรรยายสาระสําคัญ ของเอกสารและขอ ความ ซ่ึงตองครอบคลมุ ใหสามารถสืบคนเอกสารและขอ ความนัน้ ไดถ ูกตอง สำ�นกั งานพัฒนาธรุ กรรมทางอิเลก็ ทรอนิกส์ 86

เลม ๑๒๗ ตอนพิเศษ ๑๒๔ ง หนา ๔๙ ๒๖ ตลุ าคม ๒๕๕๓ ราชกิจจานเุ บกษา ขอ ๕ การจัดทําหรือแปลงเอกสารและขอความดวยวิธีการทางอิเล็กทรอนิกส ใหมี ผรู ับผิดชอบดาํ เนินงานในการจดั ทําหรอื แปลงในเรอ่ื งของวธิ ีการดังกลา วอยางนอ ยดังตอไปนี้ (๑) จดั ทาํ หรอื แปลงเอกสารและขอ ความใหอ ยูใ นรูปของขอมูลอิเลก็ ทรอนิกส (๒) ตรวจสอบและรับรองความถูกตองและครบถวนของขอมูลอิเล็กทรอนิกสท่ีไดจากการ จัดทําหรือแปลงเอกสารและขอความใหอยูในรูปของขอมูลอิเล็กทรอนิกส วาขอมูลอิเล็กทรอนิกส มคี วามหมายหรือรูปแบบเหมือนกับเอกสารและขอความเดมิ (๓) ตรวจสอบกระบวนการจัดทําหรือแปลงเอกสารและขอความใหอยูในรูปของขอมูล อิเล็กทรอนกิ สใ หเ ปนไปตามท่กี ําหนดไว (๔) ตรวจสอบและรบั รองความถกู ตอ งและครบถวนของเมตาดาตา ตามขอ ๔ (๔) ขอ ๖ การจัดทําหรือแปลงเอกสารและขอความดวยวิธีการทางอิเล็กทรอนิกส ใหมีการ กาํ หนดมาตรการเกยี่ วกบั การรักษาความม่นั คงปลอดภยั ของขอมลู อเิ ล็กทรอนิกส ซ่ึงเปนวิธีการท่ีเช่ือถือได อยา งนอยตอ งครอบคลุมหัวขอตอไปน้ี (๑) การระบุตวั ตน (Identification) (๒) การยืนยันตัวตน (Authentication) (๓) อนญุ าตเฉพาะผูมีสทิ ธเิ ขา ถึง (Authorization) (๔) ความรบั ผดิ ชอบตอผลของการกระทาํ (Accountability) ทั้งน้ี เพ่ือใหสามารถยืนยันไดวา ขอมูลอิเล็กทรอนิกสท่ีมีการจัดทําหรือแปลงไดดําเนินการ โดยผูมีสิทธิในการเขาถึงเทาน้ัน ผูมีสิทธิในการเขาถึงดังกลาวใหหมายความรวมถึงผูรับผิดชอบ ดาํ เนินงานจัดทําหรอื แปลงและผทู ่ีมีสทิ ธติ รวจสอบตามขอ ๕ ดว ย ซึ่งจะเปน บุคคลเดียวกันหรือไมก็ได ขอ ๗ การจัดทําหรือแปลงเอกสารและขอความใหอยูในรูปของขอมูลอิเล็กทรอนิกสนั้น ใหขอ มลู อเิ ล็กทรอนกิ สมีความละเอียดและความชดั เจนของเอกสารและขอ ความเดิม ขอ ๘ ใหผูจัดทําหรือแปลง มีหนาท่ีรักษาและดํารงสภาพของระบบการจัดทําหรือแปลง เอกสารไวใ หส มบูรณเ พ่ือใหม กี ารกาํ กบั ดูแลหรือการตรวจสอบไดตลอดเวลาจากคณะกรรมการธุรกรรม ท า ง อิ เ ล็ ก ท ร อ นิ ก ส ห รื อ ห น ว ย ง า น อ่ื น ท่ี ค ณ ะ ก ร ร ม ก า ร ธุ ร ก ร ร ม ท า ง อิ เ ล็ ก ท ร อ นิ ก ส ม อ บ ห ม า ย หรือหนวยงานที่กาํ หนดไวเปนอยางอน่ื ในประกาศฉบบั นี้ ส�ำ นกั งานพฒั นาธรุ กรรมทางอิเล็กทรอนิกส์ 87

เลม ๑๒๗ ตอนพิเศษ ๑๒๔ ง หนา ๕๐ ๒๖ ตลุ าคม ๒๕๕๓ ราชกจิ จานเุ บกษา ขอ ๙ การดําเนินการตามขอ ๔ ถึง ขอ ๘ ใหผ จู ดั ทําหรือแปลง จัดทําวิธีปฏบิ ัติที่สอดคลองกับ ลักษณะงานองคกรและประเภทของการทําธุรกรรมอยา งเหมาะสม โดยใหใชขอกําหนดวิธีปฏิบัติท่ัวไป หรือตามขอกําหนดวิธีปฏิบัติเฉพาะธุรกรรมบางประเภท ในการจัดทําหรือแปลงเอกสารและขอความ ใหอยูในรูปของขอมูลอิเล็กทรอนิกสตามขอกําหนดแนบทายประกาศนี้เปนมาตรฐานข้ันตํ่าในการ ดาํ เนินงานแลว แตกรณี ขอ ๑๐ ประกาศน้ีใหใชบ งั คบั ต้ังแตวนั ถัดจากวนั ประกาศในราชกิจจานเุ บกษาเปนตน ไป ประกาศ ณ วนั ท่ี ๓๐ กนั ยายน พ.ศ. ๒๕๕๓ จตุ ิ ไกรฤกษ รัฐมนตรีวา การกระทรวงเทคโนโลยีสารสนเทศและการสื่อสาร ประธานกรรมการธรุ กรรมทางอิเล็กทรอนิกส ส�ำ นกั งานพัฒนาธรุ กรรมทางอิเล็กทรอนกิ ส์ 88

ขอ กาํ หนดแนบทายประกาศคณะกรรมการธุรกรรมทางอิเล็กทรอนิกส เรอื่ ง หลักเกณฑแ ละวธิ กี ารในการจดั ทําหรอื แปลงเอกสารและขอความ ใหอ ยใู นรปู ของขอมูลอเิ ล็กทรอนกิ ส พ.ศ. ๒๕๕๓ ฉบบั ท่ี ๑ วา ดว ยขอกําหนดวิธีปฏบิ ตั ิในการจดั ทําหรือแปลงเอกสารและขอความ ใหอ ยูใ นรูปของขอ มลู อิเล็กทรอนกิ ส ------------------------------- หมวด ๑ บทท่ัวไป ขอ ๑ ในการจัดทําหรือแปลงเอกสารและขอความใหอยูในรูปของขอมูลอิเล็กทรอนิกส ใหผูจัดทําหรือแปลงปฏิบัติตามขอกําหนดนี้เปนมาตรฐานข้ันต่ํา เวนแตมาตรฐานข้ันต่ําในบางเรื่องนั้น จะมิไดถกู นํามาใช หมวด ๒ วธิ ีจัดทาํ หรือแปลงเอกสารและขอความ ขอ ๒ ผูจัดทําหรือแปลงตองตรวจสอบเอกสารและขอความท่ีจะนําไปจัดทําหรือแปลงใหเปน ขอมูลอิเล็กทรอนิกส โดยพิจารณาความครบถวนของขอความทั้งหมด จํานวนหนา การจัดเรียงลําดับ เนอ้ื หา รูปแบบของการนําเสนอเอกสารและขอความ และตองบันทึกแหลงที่มาของเอกสารและขอความ นั้น ในกรณีท่ีเอกสารหรือขอความท่ีจัดทําหรือแปลงนั้นเปนเอกสารตนฉบับ หรือสําเนา ก็ใหบันทึกและ แสดงโดยชัดแจง ถงึ ลักษณะเอกสารหรือขอ ความนนั้ ดวยวาเปนตน ฉบับหรือสําเนา ขอ ๓ มาตรฐานขั้นต่ําสําหรบั ความละเอยี ดของภาพ (Resolution) คือ (๑) ภาพลายเสน หรอื ภาพขาวดาํ อยางนอ ย 150 จดุ ตอนว้ิ (dot per inch หรือ dpi) (๒) ภาพสเี ทา อยางนอย 200 จุดตอนิว้ (๓) ภาพสี อยา งนอ ย 300 จุดตอ นิ้ว (๔) ภาพสําหรบั งานเวบ็ อยางเดยี ว อยางนอ ย 72 จดุ ตอ น้ิว ขอ ๔ มาตรฐานขนั้ ตํ่าสําหรบั ความละเอียดของสี (Bit Depth) คือ (๑) ภาพขาว-ดาํ มีคา ความละเอยี ดของสเี ทา กบั 1 บติ (bit) (๒) ภาพสีเทา (grayscale) มีคาความละเอียดของสีเทา กับ 8 บติ (๓) ภาพสี มีคาความละเอียดของสเี ทา กับ 24 บิต ขอ ๕ มาตรฐานข้ันตํ่าสําหรับการแปลงสัญญาณอนาล็อกเปนสัญญานดิจิทัล ในกรณีที่ขอความ เปนเสียงตองมีอัตราสุมขอมูลสัญญาณเสียงข้ันตํ่าที่ 44.1 กิโลเฮิรตซ (kHz) และจํานวนของขอมูล สัญญาณเสยี งท่สี มุ ข้นั ต่าํ ที่ 16 บติ ขอ ๖ มาตรฐานขั้นต่ําสําหรับการแปลงสัญญาณอนาล็อกเปนสัญญานดิจิทัล ในกรณีที่ขอความ เปน วีดทิ ศั น ตอ งมีมาตรฐานข้นั ตา่ํ ดังน้ี ส�ำ นกั งานพฒั นาธรุ กรรมทางอิเลก็ ทรอนิกส์ 89

-๒- (๑) อัตราการสุมขอมูลตัวอยางความสวาง5ของแสง (Luminance) มีมาตรฐานข้ันตํ่าที่ 13.5 เมกกะเฮิรตซ (MHz) (๒) จํานวนขอมูลตัวอยางความสวางของแสง มีมาตรฐานข้ันต่ําที่ 8 บิตตอจุดภาพ (bits per pixel: bpp) (๓) จาํ นวนขอมูลตัวอยางความเขม ของสี (Chrominance) มีมาตรฐานข้ันตํ่าท่ี 4 บิตตอจุดภาพ (bits per pixel: bpp) (๔) คาความสวางของแสง (Luminance Resolution) เทากับ 720 จุดตอภาพ (pixel) x 485 เสน (active line) (๕) คาความละเอียดของสี (Chrominance Resolution) เทากับ 360 จุดตอภาพ (pixel) x 485 เสน (active line) ขอ ๗ ผูจัดทําหรือแปลงตองต้ังชื่อไฟลขอมูลอิเล็กทรอนิกสที่มีความหมายส่ือถึงเนื้อหาของ ขอมูลเพอ่ื สามารถสบื คน ได ชือ่ ไฟลดังกลา วจะตองไมซํา้ กัน ขอ ๘ เมื่อดําเนินการแลว ผูจัดทําหรือแปลงตองตรวจทานความถูกตอง ครบถวน ของขอมูล อิเลก็ ทรอนิกสท ่ไี ดจ ัดทําหรอื แปลงดว ย หมวด ๓ การตรวจสอบและรับรอง ขอ ๙ ผูจดั ทาํ หรอื แปลงตองจดั ใหมีการตรวจสอบและการรับรองคุณภาพกระบวนการจัดทําหรือ แปลงเอกสารและขอความใหอยูในรูปของขอมูลอิเล็กทรอนิกส และการตรวจสอบและรับรองคุณภาพ ขอมูลอเิ ลก็ ทรอนิกส และจัดใหม ีการรายงานการตรวจสอบและรบั รองคุณภาพ เพื่อใชในการยืนยันระบบ การจดั การของตน ขอ ๑๐ การตรวจสอบและรบั รองคุณภาพตองครอบคลมุ ถึงเรอ่ื ง ดังตอไปน้ี (๑) คณุ ภาพของเครือ่ งมอื และอุปกรณท ีใ่ ชในการดําเนนิ การ (๒) ขนั้ ตอนการดําเนนิ การ (๓) คุณภาพและความถกู ตองของขอมลู อเิ ลก็ ทรอนกิ สท ีผ่ า นการจดั ทาํ หรือแปลง (๔) คณุ ภาพและความถกู ตอ งของขอมูลอิเล็กทรอนิกสทใี่ ชใ นการระบุตวั ตนของผจู ัดทําหรอื แปลง ขอ ๑๑ ในกรณีการดําเนินการสําหรับขอมูลอิเล็กทรอนิกสท่ีมีปริมาณมาก หรือการรวมขอมูล จํานวนมากเปน ชุดเดียว การตรวจสอบและรบั รองอาจใชก ารสมุ ตวั อยา งในเชิงสถติ ิ เพื่อตรวจสอบได หมวด ๔ การบันทกึ ขอ ๑๒ ผูจัดทําหรือแปลงตองจัดใหมีการบันทึกการดําเนินการไวเปนหลักฐาน โดยตองบันทึก รายการ ดงั ตอไปนี้ (๑) ชือ่ หรอื รายการขอ มูลอิเล็กทรอนกิ สท ีจ่ ัดทําหรือแปลง (๒) ช่อื ผจู ดั ทําหรือแปลง ส�ำ นกั งานพฒั นาธรุ กรรมทางอิเลก็ ทรอนิกส์ 90

-๓- (๓) โปรแกรมและรปู แบบที่ใชในการจดั ทาํ หรือแปลง (๔) วนั เดือน ป และเวลาที่จดั ทาํ หรือแปลง (๕) หลักฐานการตรวจสอบและรับรองคุณภาพและความถูกตองของขอมูลอิเล็กทรอนิกส วามีความหมายเหมือนกบั เอกสารและขอ ความเดมิ ขอ ๑๓ ผูจัดทําหรือแปลงตองจัดใหมีการบันทึกเมตาดาตา (Metadata) ที่แสดงสาระสําคัญ อันเปนคุณลักษณะเฉพาะและรายละเอียดของขอมูลอิเล็กทรอนิกสน้ันๆ โดยจะตองประกอบดวย สวนประกอบสําคัญของขอมูลอิเล็กทรอนิกส ไดแก เนื้อหา (เชน ชื่อเรื่อง หัวเร่ือง ตนฉบับ/แหลงท่ีมา ขอบเขต) บริบท (เชน ทรัพยสินทางปญญาหรือสิทธิในงานนั้น ผูสรางสรรคผลงาน ผูมีสวนรวม ในผลงาน) และโครงสรา ง (เชน วนั เดือน ป ท่สี รา งผลงาน ประเภทของเน้ือหา รูปแบบของการนําเสนอ ผลงาน ตัวบงช้ีหรือตัวระบุถึงทรัพยากร) ซ่ึงจะชวยใหสามารถสืบคนเอกสารและขอความไดอยาง ถกู ตอ งและมปี ระสทิ ธิภาพ หมวด ๕ ผูร ับผิดชอบ ขอ ๑๔ ใหผ ูจดั ทาํ หรอื แปลงกาํ หนดตวั บุคคลผรู บั ผิดชอบในเรอ่ื งดงั ตอ ไปน้ี ใหชัดเจน (๑) ผูจดั ทําหรือแปลงเอกสารและขอ ความใหอยใู นรูปของขอมลู อเิ ล็กทรอนิกส (๒) ผตู รวจสอบคุณภาพของขอมลู อิเลก็ ทรอนิกสท ี่ผา นการจดั ทาํ หรอื แปลง (๓) ผูตรวจสอบและรับรองกระบวนการจัดทําหรือแปลงเอกสารและขอความใหอยูในรูปของ ขอมูลอเิ ล็กทรอนกิ ส ตามขอ ๙ (๔) ผูตรวจสอบและรับรองความถูกตองและครบถวนของเมตาดาตา ตามขอ ๑๓ หมวด ๖ ความมั่นคงปลอดภัย ขอ ๑๕ ใหผูจัดทําหรือแปลงตองกําหนดมาตรการรักษาความม่ันคงปลอดภัยของขอมูล อิเล็กทรอนิกส ดวยวิธีการท่ีเชื่อถือได โดยใหครอบคลุมมาตรการเก่ียวกับการรักษาความม่ันคง ปลอดภยั ของขอ มลู อเิ ลก็ ทรอนิกส อยา งนอ ยตองครอบคลมุ หัวขอ ตอ ไปน้ี (๑) การลงทะเบียนผูใชงาน (user registration) โดยตองกําหนดใหมีข้ันตอนการปฏิบัติ สําหรับการลงทะเบียนผูใชงานเพ่ือแสดงตัวตนเพื่อรับการอนุญาตใหเขาถึงขอมูลอิเล็กทรอนิกส และ การตัดออกจากทะเบยี นของผใู ชงานเมื่อมกี ารยกเลกิ เพิกถอนการอนญุ าตดังกลา ว (๒) การบริหารจัดการสิทธิของผูใชงาน (user management) โดยตองจัดใหมีการควบคุม และจาํ กดั สิทธิเพื่อเขา ถงึ และใชงานขอ มลู อเิ ล็กทรอนิกสแ ตล ะชนดิ ตามความเหมาะสม (๓) การบริหารจัดการรหัสผานสําหรับผูใชงาน (user password management) โดยตอง จดั ใหมกี ระบวนการบริหารจัดการรหัสผานสาํ หรบั ผูใชงานอยางรัดกมุ (๔) การทบทวนสิทธิการเขาถึงของผูใชงาน (review of user access rights) โดยตองจัดให มกี ระบวนการทบทวนสทิ ธิการเขา ถงึ ของผใู ชง านขอ มลู อเิ ล็กทรอนิกสตามระยะเวลาท่ีกาํ หนดไว ส�ำ นักงานพัฒนาธรุ กรรมทางอิเล็กทรอนกิ ส์ 91

-๔- (๕) การใชรหัสผาน (password use) โดยตองกําหนดแนวปฏิบัติท่ีดีสําหรับผูใชงานในการ กําหนดรหัสผาน การใชง านรหสั ผา น และการเปลีย่ นรหสั ผานทม่ี คี ุณภาพ (๖) การปองกันอุปกรณในขณะท่ีไมมีผูใชงานที่อุปกรณ ตองกําหนดขอปฏิบัติที่เหมาะสม เพือ่ ปองกันไมใ หผ ูไมมีสิทธิสามารถเขา ถงึ อุปกรณในขณะที่ไมม ผี ูดแู ล ส�ำ นักงานพัฒนาธรุ กรรมทางอิเลก็ ทรอนกิ ส์ 92

ขอ กําหนดแนบทายประกาศคณะกรรมการธรุ กรรมทางอิเลก็ ทรอนกิ ส เรอ่ื ง หลักเกณฑและวิธกี ารในการจดั ทําหรือแปลงเอกสารและขอ ความ ใหอ ยูในรูปของขอมลู อิเล็กทรอนกิ ส พ.ศ. ๒๕๕๓ ฉบับที่ ๒ วา ดว ยขอ กําหนดวธิ ปี ฏิบัตใิ นการจดั ทาํ หรอื แปลงเอกสารและขอความ ใหอ ยใู นรปู ของขอมลู อเิ ลก็ ทรอนิกส สาํ หรบั ระบบการหกั บัญชเี ช็คดวยภาพเชค็ และระบบการจดั เก็บภาพเช็ค --------------------------------------- หมวด ๑ การจดั ทําหรือแปลงเช็คตน ฉบับใหอยใู นรูปของขอมูลอิเลก็ ทรอนิกส ขอ ๑ ธนาคารผูจัดทําหรือแปลงตองตรวจสอบความสมบูรณของตัวเช็คตามกฎหมาย และ ตรวจสอบการปลอมแปลงตวั เชค็ โดยตรวจจากเนือ้ กระดาษ ขนาดของตวั เช็ค และลายนํ้ากลาง กอนที่จะ นาํ เขา ระบบการจดั ทําหรอื แปลงเช็คตน ฉบับใหอ ยูในรปู ของขอมูลอเิ ล็กทรอนกิ ส ขอ ๒ เชค็ ทจี่ ะนําเขา ระบบการจัดทําหรอื แปลงเช็คตนฉบับใหอยูในรูปของขอมูลอิเล็กทรอนิกส ตอ งเปนตนฉบับเทานนั้ ขอ ๓ ขอมูลอิเล็กทรอนิกสท่ีจะสงเขาระบบการหักบัญชีเช็คดวยภาพเช็คและระบบการจัดเก็บ ภาพเช็คใหประกอบดวยขอมูลเช็ค ภาพเช็ค และเมตาดาตา (Metadata) โดยตองมีโครงสรางและ สาระสาํ คัญของธุรกรรมครบถวนถูกตองตามระเบียบธนาคารแหงประเทศไทยวาดวยระบบการหักบัญชี เช็คดว ยภาพเช็คและระบบการจดั เกบ็ ภาพเช็ค ทั้งน้ี เมตาดาตา (Metadata) ตามวรรคหนึ่ง ตองสามารถแสดงสาระสําคัญที่เปนคุณลักษณะ และรายละเอียดตามลักษณะเฉพาะของขอมูลอิเล็กทรอนิกสนั้นๆ เชน คาแสดงผลการตรวจสอบ ความสมบูรณข องเช็คตน ฉบบั (Physical Condition Tag) คาแสดงผลการตรวจสอบภาพเชค็ (IQA Tag) ขอ ๔ ธนาคารผูจัดทําหรือแปลงตองจัดใหมีระบบการจัดทําหรือแปลงเช็คตนฉบับใหอยูในรูป ของขอมูลอิเล็กทรอนิกส เพื่อใหไดภาพเชค็ ตามมาตรฐานภาพเช็คตามระเบียบธนาคารแหงประเทศไทย วาดว ยระบบการหักบญั ชเี ช็คดวยภาพเช็คและระบบการจัดเก็บภาพเช็ค ซ่ึงอยางนอยมาตรฐานดังกลาว ตองมีรปู แบบ ระดับสี และความละเอียด ดงั นี้ ภาพที่ ๑ : ดา นหนา กาํ หนดเปน JPEG 8-bit Grayscale 100 dpi ภาพท่ี ๒ : ดานหนา กาํ หนดเปน TIFF Black & White 200 dpi ภาพที่ ๓ : ดานหลงั กาํ หนดเปน TIFF Black & White 200 dpi ขอ๕ ธนาคารผูจัดทําหรือแปลงตองบันทึกขอมูลอิเล็กทรอนิกสท่ีไดจากการจัดทําหรือแปลงไว เปนไฟลขอมูลอิเล็กทรอนิกสโดยตั้งช่ือไฟลขอมูลอิเล็กทรอนิกสใหมีความหมายสื่อถึงเนื้อหาของขอมูล มีรูปแบบและโครงสรางของช่ือท่ีชวยใหสามารถติดตามหรือสืบคนไดงาย และชื่อไฟลจะตองไมซํ้ากัน ท้ังน้ี ใหเปนไปตามระเบียบธนาคารแหงประเทศไทยวาดวยระบบการหักบัญชีเช็คดวยภาพเช็คและ ระบบการจัดเกบ็ ภาพเชค็ สำ�นกั งานพฒั นาธรุ กรรมทางอิเลก็ ทรอนิกส์ 93

-๒- หมวด ๒ การตรวจสอบและรบั รองกระบวนการจดั ทาํ หรือแปลงเช็คตนฉบบั ใหอยูใ นรูปของ ขอมูลอเิ ลก็ ทรอนิกส และการรบั รองคุณภาพขอมลู อเิ ล็กทรอนิกส ขอ ๖ ธนาคารผูจัดทําหรือแปลงตองจัดใหมีระบบการตรวจสอบและรับรองกระบวนการจัดทํา หรอื แปลงเชค็ ตนฉบบั ใหอ ยูในรูปของขอมูลอิเล็กทรอนิกส และการรบั รองคุณภาพขอมูลอเิ ลก็ ทรอนกิ ส ขอ ๗ ธนาคารผูจัดทําหรือแปลงตองตรวจสอบคุณภาพของเครื่องมือหรืออุปกรณท่ีใชใน กระบวนการจัดทําหรือแปลงเช็คตนฉบับใหอยูในรูปของขอมูลอิเล็กทรอนิกส เพื่อใหม่ันใจวาเคร่ืองมือ หรืออุปกรณดังกลาวสามารถจัดทําหรือแปลงเช็คตนฉบับใหอยูในรูปของขอมูลอิเล็กทรอนิกสไดอยางมี ประสทิ ธภิ าพสมาํ่ เสมอ ขอ ๘ ธนาคารผูจัดทําหรือแปลงตองตรวจสอบกระบวนการจัดทําหรือแปลงเช็คตนฉบับใหอยู ในรูปของขอมูลอิเล็กทรอนิกส ใหดําเนินการไปตามข้ันตอนและกระบวนการปฏิบัติท่ีไดกําหนดไวใน คูมือการทํางานที่ธนาคารผูจัดทําหรือแปลงจัดทําขึ้น โดยจัดใหมีผูตรวจสอบและรับรองอยางนอยปละ หนึ่งคร้ัง และรายงานผลการตรวจสอบและรับรองเสนอผูบริหารของธนาคารผูจัดทําหรือแปลงและ ธนาคารแหงประเทศไทย ขอ ๙ ธนาคารผูจัดทําหรือแปลงตองตรวจสอบคุณภาพเพ่ือดูวาขอมูลอิเล็กทรอนิกสที่ไดจาก การจัดทําหรือแปลงนั้น สามารถอานได และมีความคมชัด ความสวาง ขนาด รูปแบบ เปนไปตาม มาตรฐานภาพเช็คตามที่กําหนดในระเบียบธนาคารแหงประเทศไทยวาดวยระบบการหักบัญชีเช็คดวย ภาพเช็คและระบบการจดั เก็บภาพเช็ค ขอ ๑๐ ธนาคารผจู ดั ทําหรอื แปลงตองรับรองคณุ ภาพและความถกู ตอ งของขอมูลอิเล็กทรอนิกส ที่ไดจากการจัดทําหรือแปลง โดยลงลายมือชื่ออิเล็กทรอนิกสกอนสงขอมูลอิเล็กทรอนิกสที่ไดจากการ จัดทําหรือแปลงเขาระบบการหักบัญชีเช็คดวยภาพเช็คและระบบการจัดเก็บภาพเช็ค เพื่อใหสามารถ ยืนยันไดวา ขอมูลอิเล็กทรอนิกสท่ีไดจากการจัดทําหรือแปลงมีความหมายหรือรูปแบบเหมือนกับเช็ค ตนฉบับ หมวด ๓ การบันทึกหลกั ฐานการดําเนินงาน ขอ ๑๑ ธนาคารผูจัดทําหรือแปลงตองบันทึกหลักฐานการดําเนินงานจัดทําหรือแปลงเช็ค ตนฉบับใหอยูในรูปของขอมูลอิเล็กทรอนิกส เพ่ือใชอางอิงการดําเนินงานและสถานะการดําเนินงาน ที่เกิดข้ึน รวมทั้งเพื่อใชในการตรวจสอบประวัติการจัดทําหรือแปลงเช็คตนฉบับใหอยูในรูปของขอมูล อเิ ลก็ ทรอนิกส โดยอยา งนอยตอ งมกี ารบนั ทกึ หลักฐานการดาํ เนินงาน ดังตอไปนี้ (๑) ช่ือไฟลข อ มลู อิเลก็ ทรอนิกส (๒) ช่ือผูดําเนินงานในแตละขั้นตอนของระบบการจัดทําหรือแปลงเช็คตนฉบับใหอยูในรูปของ ขอมูลอิเลก็ ทรอนกิ ส (๓) วัน เดอื น ปแ ละเวลาทด่ี าํ เนนิ งานในแตละข้นั ตอนของระบบการจัดทําหรือแปลงเช็คตนฉบับ ใหอยใู นรปู ของขอมลู อิเลก็ ทรอนิกส ส�ำ นกั งานพฒั นาธรุ กรรมทางอิเล็กทรอนกิ ส์ 94

-๓- หมวด ๔ มาตรการเก่ียวกับการรกั ษาความม่ันคงปลอดภัยของขอมูลอเิ ล็กทรอนิกส ขอ ๑๒ ธนาคารผจู ัดทาํ หรือแปลงตองจัดใหมีมาตรการเก่ียวกับการรักษาความม่ันคงปลอดภัย ของขอ มลู อิเล็กทรอนิกสทีเ่ ชื่อถือได อยางนอยตองครอบคลุมเร่ืองดงั ตอ ไปนี้ (๑) การระบุตัวตนผูดําเนินงาน (Identification) ในแตละข้ันตอนของระบบการจัดทําหรือแปลง เชค็ ตนฉบับใหอยูในรูปของขอมูลอเิ ลก็ ทรอนกิ ส (๒) การยืนยันตัวตนผูดําเนินงาน (Authentication) ในแตละขั้นตอนของระบบการจัดทําหรือ แปลงเชค็ ตนฉบับใหอยใู นรปู ของขอมลู อเิ ลก็ ทรอนกิ ส (๓) การอนุญาตเฉพาะผูมีสิทธิเขาถึงระบบการจัดทําหรือแปลงเช็คตนฉบับใหอยูในรูปของ ขอมูลอิเล็กทรอนิกส (Authorization) รวมท้ังจัดใหมีระบบการรักษาความม่ันคงปลอดภัยทางกายภาพ เพื่อปองกันไมใหผูที่ไมมีหนาท่ีเกี่ยวของเขาถึงระบบการจัดทําหรือแปลงเช็คตนฉบับใหอยูในรูปของ ขอ มลู อิเลก็ ทรอนกิ ส (๔) ความรับผิดชอบตอผลของการกระทํา (Accountability) โดยมีการบันทึกหลักฐาน การดําเนินงานจัดทําหรือแปลงเช็คตนฉบับใหอยูในรูปของขอมูลอิเล็กทรอนิกส เพ่ือปองกันการปฏิเสธ ความรับผิด และใชในการตรวจสอบประวัติการจัดทําหรือแปลงเช็คตนฉบับใหอยูในรูปของขอมูล อเิ ล็กทรอนกิ ส ทัง้ น้ี เพือ่ ใหส ามารถยนื ยนั ไดวา ขอ มลู อิเลก็ ทรอนิกสสําหรบั ระบบการหักบัญชีเช็คดวยภาพเช็ค และระบบการจดั เก็บภาพเช็คไดม กี ารจดั ทาํ หรอื แปลงทดี่ าํ เนนิ การโดยผูม สี ทิ ธิในการเขา ถงึ เทา นัน้ หมวด ๕ เบด็ เตล็ด ขอ ๑๓ ใหธนาคารแหงประเทศไทยเปนผูดูแลการดําเนินการตามขอกําหนดวิธีปฏิบัติน้ี และ ใหจัดทาํ รายงานเสนอคณะกรรมการธรุ กรรมทางอิเล็กทรอนิกสทราบอยา งนอยปล ะหนงึ่ ครัง้ ส�ำ นกั งานพัฒนาธรุ กรรมทางอิเลก็ ทรอนกิ ส์ 95

ส�ำ นกั งานพฒั นาธรุ กรรมทางอิเล็กทรอนิกส์ 96

ประกาศคณะกรรมการธรุ กรรมทางอเิ ลก็ ทรอนกิ ส เรอื่ ง การรับรองส่ิงพิมพออก พ.ศ. ๒๕๕๕ ส�ำ นกั งานพฒั นาธรุ กรรมทางอิเลก็ ทรอนิกส์ 97

ชือ่ กฎหมาย ประกาศคณะกรรมการธุรกรรมทางอเิ ล็กทรอนกิ ส เรอ่ื ง การรบั รองส่งิ พมิ พอ อก พ.ศ. ๒๕๕๕ ประกาศในราชกจิ จานเุ บกษา เลม ๑๒๙ / ตอนพิเศษ ๑๘ ง / หนา ๙ / วันที่ ๑๘ มกราคม ๒๕๕๕ เริ่มบงั คบั ใช วนั ท่ี ๑๙ มกราคม ๒๕๕๕ สำ�นกั งานพัฒนาธรุ กรรมทางอิเล็กทรอนิกส์ 98

เล่ม ๑๒๙ ตอนพิเศษ ๑๘ ง หน้า ๙ ๑๘ มกราคม ๒๕๕๕ ราชกจิ จานเุ บกษา ประกาศคณะกรรมการธุรกรรมทางอิเล็กทรอนกิ ส์ เรอื่ ง การรบั รองสงิ่ พิมพ์ออก พ.ศ. ๒๕๕๕ โดยที่กฎหมายว่าด้วยธุรกรรมทางอเิ ล็กทรอนิกส์กําหนดให้มีหน่วยงานรับรองส่ิงพิมพ์ออกของ ข้อมูลอิเล็กทรอนิกส์ เพื่อให้ส่ิงพิมพ์ออกสามารถใช้อ้างอิงแทนข้อมูลอิเล็กทรอนิกส์ และมีผลใช้แทน ตน้ ฉบบั ได้ อาศยั อํานาจตามความในมาตรา ๑๐ วรรคสี่ แห่งพระราชบัญญตั วิ า่ ดว้ ยธรุ กรรมทางอิเล็กทรอนิกส์ พ.ศ. ๒๕๔๔ ซงึ่ แก้ไขเพมิ่ เติมโดยพระราชบัญญตั วิ ่าด้วยธุรกรรมทางอเิ ล็กทรอนิกส์ (ฉบับที่ ๒) พ.ศ. ๒๕๕๑ คณะกรรมการธุรกรรมทางอิเลก็ ทรอนกิ สจ์ งึ ออกประกาศไว้ ดังต่อไปน้ี ขอ้ ๑ ประกาศนี้เรยี กว่า “ประกาศคณะกรรมการธุรกรรมทางอิเล็กทรอนิกส์ เร่ือง การรับรอง สง่ิ พมิ พอ์ อก พ.ศ. ๒๕๕๕” ข้อ ๒ ประกาศนใ้ี หใ้ ชบ้ งั คับต้งั แต่วันถดั จากวนั ประกาศในราชกจิ จานุเบกษาเป็นตน้ ไป ขอ้ ๓ ในประกาศน้ี “สิ่งพมิ พ์ออก” หมายความว่า ส่ิงพมิ พ์ออกของข้อมูลอิเล็กทรอนิกส์ท่ีมีการนําเสนอหรือเก็บรักษา เป็นเอกสารตน้ ฉบบั “ระบบการพิมพ์ออก” หมายความว่า ระบบท่ีใช้ในการนาํ เข้าข้อมูลอิเล็กทรอนิกส์ท่ีเป็น ต้นฉบบั ของส่ิงพมิ พอ์ อก และการจัดทําส่ิงพมิ พอ์ อกสาํ หรบั ใชอ้ ้างอิงขอ้ ความของข้อมลู อเิ ลก็ ทรอนิกส์ “คณะกรรมการ” หมายความว่า คณะกรรมการธุรกรรมทางอเิ ล็กทรอนกิ ส์ “หน่วยงานรับรองสิ่งพิมพ์ออก” หมายความว่า คณะกรรมการหรือหน่วยงานที่มีอํานาจ รบั รองส่ิงพิมพอ์ อกตามทีค่ ณะกรรมการประกาศกําหนด ขอ้ ๔ การจัดทําส่ิงพิมพ์ออกในกรณีดังต่อไปนี้ ให้ถือว่าได้มีการรับรองสิ่งพิมพ์ออกโดย หนว่ ยงานรบั รองสิ่งพิมพอ์ อกและมีผลใชแ้ ทนต้นฉบับได้ (๑) เจ้าของขอ้ มลู อเิ ลก็ ทรอนกิ ส์ ผู้ควบคุมขอ้ มลู อิเล็กทรอนิกส์ หรือบุคคลภายใต้บังคับของ เจ้าของข้อมูลอิเล็กทรอนิกส์หรือผู้ควบคุมข้อมูลอิเล็กทรอนิกส์ เป็นผู้จัดทําส่ิงพิมพ์ออกจากระบบ การพมิ พอ์ อกที่อยูภ่ ายใต้การควบคุมดูแลของเจ้าของข้อมูลอิเลก็ ทรอนกิ สห์ รอื ผูค้ วบคุมข้อมลู อิเล็กทรอนิกส์ (๒) หนว่ ยงานของรฐั ที่มีอํานาจในการเก็บรักษาหรอื ควบคุมขอ้ มูลอเิ ล็กทรอนกิ ส์ของบุคคลอื่น หรือบุคคลภายใต้บังคับหน่วยงานของรัฐ เป็นผู้จัดทําส่ิงพิมพ์ออกจากระบบการพิมพ์ออกที่อยู่ภายใต้ การควบคุมดูแลของหน่วยงานของรัฐนั้น สำ�นักงานพัฒนาธรุ กรรมทางอิเลก็ ทรอนิกส์ 99