สำนักงานคณะกรรมการกำกับหลักทรัพย์และตลาดหลักทรัพย์ (ก.ล.ต.) ออกประกาศปรับปรุงหลักเกณฑ์การจัดให้มีระบบเทคโนโลยีสารสนเทศ เพื่อให้ผู้ประกอบธุรกิจภายใต้การกำกับดูแล ของ ก.ล.ต. ทั้งในภาคตลาดทุนและตลาดสินทรัพย์ดิจิทัล เช่น ผู้ประกอบธุรกิจหลักทรัพย์ ผู้ประกอบธุรกิจสัญญาซื้อขายล่วงหน้า ศูนย์รับฝากหลักทรัพย์ ผู้ประกอบธุรกิจสินทรัพย์ดิจิทัล ผู้ให้บริการระบบเสนอขายโทเคนดิจิทัล และผู้ให้บริการระบบคราวด์ฟันดิง มีระบบงานด้านเทคโนโลยีสารสนเทศที่มั่นคงปลอดภัยเพียงพอที่จะรองรับความเสี่ยงด้านเทคโนโลยีสารสนเทศที่เปลี่ยนแปลงไป และเท่าทันภัยคุกคามทางไซเบอร์ที่เพิ่มขึ้นในปัจจุบัน รวมทั้งสร้างความเชื่อมั่นให้กับประชาชนที่ใช้บริการ ซึ่งได้เปิดรับฟังความคิดเห็นจากผู้ที่เกี่ยวข้องเมื่อเดือนธันวาคม 2564 และพฤษภาคม 2565 พร้อมนำข้อเสนอแนะมาปรับปรุงหลักเกณฑ์ให้มีความเหมาะสมยิ่งขึ้น โดยมีสาระสำคัญดังนี้

     (1) กำหนดเกณฑ์การจัดระดับความเสี่ยงที่เกี่ยวข้องกับระบบเทคโนโลยีสารสนเทศ และกำหนดมาตรฐานการควบคุมและการกำกับดูแลด้านเทคโนโลยีสารสนเทศของผู้ประกอบธุรกิจให้สอดคล้องกับระดับความเสี่ยง และลักษณะการประกอบธุรกิจที่มีความหลากหลาย เช่น โครงสร้าง ขนาด และความซับซ้อนของเทคโนโลยีที่ใช้งาน 

     (2) มุ่งเน้นบทบาทหน้าที่และการมีส่วนร่วมของคณะกรรมการของผู้ประกอบธุรกิจ และโครงสร้างการกำกับดูแลการใช้เทคโนโลยีในการประกอบธุรกิจให้มีความปลอดภัย และมีการตรวจสอบด้านความมั่นคงปลอดภัย โดยผู้ตรวจสอบที่มีความเป็นอิสระและมีคุณสมบัติที่เหมาะสม

     (3) ปรับปรุงหลักเกณฑ์และแนวปฏิบัติให้สอดคล้องกับมาตรฐานสากล และหลักเกณฑ์การกำกับดูแลของหน่วยงานกำกับดูแลในภาคอุตสาหกรรมการเงิน

     (4) จัดให้มีข้อกำหนดด้านการบริหารคุณภาพและบริการของระบบเทคโนโลยีสารสนเทศเพิ่มเติม เช่น การบริหารจัดการโครงการด้านเทคโนโลยีสารสนเทศ และการบริหารจัดการด้านทรัพยากรระบบงาน (Capacity Management) 

     (5) ยกระดับมาตรการรักษาความมั่นคงปลอดภัยด้านเทคโนโลยีสารสนเทศให้มีความเข้มแข็ง เพื่อป้องกันเหตุการณ์ภัยคุกคามทางไซเบอร์ และเพื่อให้สอดคล้องกับแนวทางกฎหมายไซเบอร์ เช่น การประเมินช่องโหว่ทางเทคนิค (Vulnerability Assessment) และการทดสอบการเจาะระบบ (Penetration Test)

     (6) ปรับปรุงข้อกำหนดในการบริหารจัดการบุคคลภายนอก (Third Party Management) โดยขยายขอบเขตให้ครอบคลุมผู้ให้บริการด้านเทคโนโลยีสารสนเทศ ผู้ที่มีการเชื่อมต่อกับระบบสารสนเทศของผู้ประกอบธุรกิจ และผู้ที่สามารถเข้าถึงหรือแลกเปลี่ยนข้อมูลสำคัญของผู้ประกอบธุรกิจหรือข้อมูลของลูกค้าที่อยู่ภายใต้ความรับผิดชอบของผู้ประกอบธุรกิจได้

ทั้งนี้ ประกาศดังกล่าวจะมีผลใช้บังคับตั้งแต่วันที่ 1 กรกฎาคม 2566 สำหรับข้อกำหนดเกี่ยวกับคุณสมบัติผู้ตรวจสอบด้านเทคโนโลยีสารสนเทศกำหนดให้มีผลใช้บังคับตั้งแต่วันที่ 1 มกราคม 2567 เพื่อให้ผู้ประกอบธุรกิจมีเวลาเตรียมความพร้อมทั้งในด้านบุคลากรและระบบงาน

________________________