[{"data":1,"prerenderedAt":-1},["ShallowReactive",2],{"blog-faqs-ncsa-cloud-csp-certificate-what-it-tells-you-th":3,"blog-post-ncsa-cloud-csp-certificate-what-it-tells-you-th":28},[4,8,12,16,20,24],{"answer":5,"id":6,"question":7},"ในกรอบของ สกมช. คำถามที่พบบ่อยระบุว่าผู้ให้บริการ Cloud ต้องได้รับการรับรองตาม CSA STAR Level 2 และ ISO\u002FIEC 27701 เป็นอย่างน้อย และยังไม่ระบุว่าใบ ISO 27001 ใช้แทนการรับรองตามมาตรฐานคลาวด์ได้ จึงไม่ควรสรุปว่าใบเดียวพอ และควรตรวจกับเว็บไซต์ของ สกมช. อีกครั้งก่อนตัดสินใจ","peu16qp7qm7jlyn","ใบรับรอง ISO 27001 ของผู้ให้บริการ Cloud พอหรือไม่สำหรับหน่วยงานรัฐ",{"answer":9,"id":10,"question":11},"ไม่ครอบคลุมทั้งหมด ใบรับรองของผู้ให้บริการครอบคลุมเฉพาะบริการและระดับผลกระทบที่ระบุไว้ ส่วนระบบที่หน่วยงานสร้างบน Cloud ยังเป็นความรับผิดชอบของหน่วยงาน ผู้ใช้บริการต้องจำแนกระดับผลกระทบของระบบตนเอง และระบบระดับกลางจำเป็นต้องขอใบรับรองของตนเองตามสิ่งที่ สกมช. ระบุไว้","wqinutgsamb8zix","ใบรับรองของผู้ให้บริการครอบคลุมระบบของเราด้วยหรือไม่",{"answer":13,"id":14,"question":15},"จำแนกตามผลต่อความลับ ความถูกต้อง และความพร้อมใช้ของข้อมูลหรือระบบ ระดับต่ำคือผลกระทบจำกัดและกู้คืนง่าย ระดับกลางคือผลกระทบร้ายแรง เช่นบริการสาธารณะหรือข้อมูลส่วนบุคคลทั่วไป ระดับสูงคือผลกระทบร้ายแรงอย่างยิ่งหรือถึงขั้นวิกฤต เช่นโครงสร้างพื้นฐานสำคัญทางสารสนเทศและข้อมูลอ่อนไหวมาก แนวทางจากเว็บไซต์ทางการของ สกมช. รายละเอียดเกณฑ์รายระดับให้อ่านจากตัวประกาศ","yomb7ws5rdqx0q7","ระดับผลกระทบต่ำ กลาง สูง ต่างกันอย่างไร",{"answer":17,"id":18,"question":19},"สกมช. ระบุว่าหน่วยงานต้องทบทวนการใช้บริการนั้น โดยตรวจหลักฐานใบรับรองสากลว่าสอดคล้องและเพียงพอหรือไม่ แต่ยังไม่ระบุว่าใบเหล่านั้นใช้แทนการรับรองตามมาตรฐานได้หรือไม่ และยังอยู่ระหว่างพิจารณาช่วงเปลี่ยนผ่านของสัญญาเดิม","zj13zm2hyt8z1ni","หน่วยงานที่ใช้ผู้ให้บริการ Cloud ต่างประเทศ ต้องทำอย่างไร",{"answer":21,"id":22,"question":23},"กรอบนี้เขียนขึ้นสำหรับหน่วยงานรัฐ หน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ และหน่วยกำกับดูแลที่มีสัญญาใช้บริการ Cloud อย่างเป็นทางการ องค์กรเอกชนทั่วไปที่ไม่เข้าข่ายไม่ได้ถูกกำหนดให้ขอใบรับรองตามนิยามที่ สกมช. ใช้ ควรใช้กรอบนี้เป็นรายการอ้างอิงตอนอ่านข้อเสนอจากผู้ให้บริการ และให้ฝ่ายกฎหมายยืนยันว่าองค์กรเข้าข่ายหรือไม่","bhaji3t3uzr8z6q","องค์กรเอกชนทั่วไปต้องขอใบรับรองตามมาตรฐาน Cloud ของ สกมช. หรือไม่",{"answer":25,"id":26,"question":27},"หน่วยรับรอง (CB) ที่ขึ้นทะเบียนกับ สกมช. เป็นผู้ตรวจประเมินและออกใบรับรอง ไม่ใช่ผู้ให้บริการประเมินตัวเอง แต่ สกมช. ระบุว่ากำลังกำหนดหลักเกณฑ์ของหน่วยรับรอง จึงควรถาม สกมช. ว่าตอนนี้มีหน่วยรับรองที่ขึ้นทะเบียนแล้วหรือยัง","e6v39lvo0kbn8h7","ใครเป็นผู้ออกใบรับรองตามกรอบของ สกมช.",{"id":29,"parentId":30,"title":31,"excerpt":32,"content":33,"image":34,"date":35,"isoDate":36,"views":37,"tag":38,"categorySlug":39,"slug":40,"to":41,"readTime":42,"isHighlight":43,"sortOrder":44,"video":45,"video_id":45,"keywords":46},"xj777knvwp7jew6","va5t245t3sij4gl","ใบรับรองผู้ให้บริการ Cloud ตามกรอบของ สกมช. อ่านอย่างไร และสิ่งที่ใบรับรองไม่ได้บอก","ใบรับรองของผู้ให้บริการ Cloud แต่ละใบรับรองคนละเรื่อง และไม่มีใบไหนรับรองระบบของหน่วยงานคุณเอง บทความนี้อธิบายเส้นทางรับรองตามกรอบของ สกมช. สิ่งที่ใบรับรองบอกและไม่บอก และการเขียนสัญญาในช่วงที่เกณฑ์บางส่วนยังไม่ประกาศ","\u003Cp>ข้อเสนอจากผู้ให้บริการ Cloud รายหนึ่งมาถึงโต๊ะเจ้าหน้าที่จัดซื้อ หน้าที่สามของเอกสารแนบมีรูปใบรับรองเรียงกันเป็นแถว ISO 27001, ISO 27017, CSA STAR และใบรับรองอีกใบที่เพิ่งได้ ประธานคณะกรรมการจัดซื้อถามสั้น ๆ ว่า ใบเหล่านี้พอสำหรับระบบของเราหรือเปล่า\u003C\u002Fp>\u003Cp>คำถามนี้ตอบได้ยากกว่าที่คิด เพราะใบรับรองแต่ละใบรับรองคนละเรื่อง และไม่มีใบไหนรับรองระบบของหน่วยงานคุณเอง บทความนี้เขียนจากมุมของทีมที่ต้องช่วยหน่วยงานอ่านข้อเสนอแบบนี้ ไม่ใช่คำแนะนำทางกฎหมาย เราจะเล่าว่ากรอบความมั่นคงปลอดภัยไซเบอร์ระบบคลาวด์ของ สกมช. (NCSA) วางเส้นทางรับรองไว้อย่างไร ใบรับรองของผู้ให้บริการบอกอะไรคุณได้ บอกอะไรไม่ได้ และจะเขียนอะไรลงในสัญญาตอนที่เกณฑ์บางส่วนยังไม่ประกาศ ส่วนหน้าที่ตามกฎหมายของหน่วยงานคุณ ควรให้ฝ่ายกฎหมายหรือผู้รับผิดชอบด้านความมั่นคงปลอดภัยของหน่วยงานเป็นผู้ยืนยัน\u003C\u002Fp>\u003Ch2>เราอ่านจากแหล่งไหน และอ่านถึงไหน\u003C\u002Fh2>\u003Cp>แหล่งหลักของบทความนี้คือเว็บไซต์ทางการของ สกมช. ด้านกรอบความมั่นคงปลอดภัยไซเบอร์ระบบคลาวด์ ได้แก่ \u003Ca target=\"_blank\" rel=\"noopener noreferrer\" href=\"https:\u002F\u002Fcloudsecurity.ncsa.or.th\u002Fcertification\u002Fcsp\">หน้าขั้นตอนการรับรองของผู้ให้บริการ (CSP)\u003C\u002Fa> \u003Ca target=\"_blank\" rel=\"noopener noreferrer\" href=\"https:\u002F\u002Fcloudsecurity.ncsa.or.th\u002Fcertification\u002Fcsc\">หน้าของผู้ใช้บริการ (CSC)\u003C\u002Fa> และ\u003Ca target=\"_blank\" rel=\"noopener noreferrer\" href=\"https:\u002F\u002Fcloudsecurity.ncsa.or.th\u002Fcontact-page\">หน้าคำถามที่พบบ่อยเรื่องการรับรอง\u003C\u002Fa> ทั้งหมดเราเปิดอ่านเมื่อวันที่ 28 ตุลาคม 2026 และหน้าเหล่านี้ไม่ระบุวันที่ปรับปรุงล่าสุด เนื้อหาจึงเปลี่ยนได้\u003C\u002Fp>\u003Cp>สิ่งที่เรายังไม่ได้อ่านคือตัวประกาศ กมช. เรื่องมาตรฐานด้านการรักษาความมั่นคงปลอดภัยไซเบอร์ระบบคลาวด์ ฉบับเต็ม สำเนาที่เจอบนเว็บหน่วยงานอื่นเปิดไม่ได้ เพราะระบบกันบอทของเว็บนั้นเปลี่ยนเส้นทางวนไม่จบ และเราไม่หลบด่านนั้น ดังนั้นทุกข้อความเกี่ยวกับเนื้อหามาตรฐานในบทความนี้ มาจากสิ่งที่ สกมช. สรุปไว้บนเว็บไซต์ของตัวเอง ไม่ใช่จากตัวข้อกำหนดโดยตรง เราจึงไม่ใส่ค่าธรรมเนียม อายุใบรับรอง หรือกรอบเวลาใด ๆ เพราะหน้าเหล่านี้เองก็ระบุว่ายังไม่กำหนด\u003C\u002Fp>\u003Ch2>ใบรับรองของผู้ให้บริการ 3 ชั้น ที่มักถูกวางเรียงกัน\u003C\u002Fh2>\u003Cp>เมื่อผู้ให้บริการแสดงใบรับรองหลายใบ เรามองเป็นสามชั้นที่ตอบคำถามต่างกัน\u003C\u002Fp>\u003Cul>\u003Cli>\u003Cp>\u003Cstrong>ใบรับรองระบบบริหารของบริษัท\u003C\u002Fstrong> เช่น ISO\u002FIEC 27001 บอกว่าบริษัทมีระบบบริหารความมั่นคงปลอดภัยสารสนเทศตามมาตรฐานสากล ขอบเขตของใบรับรองแต่ละใบอาจครอบคลุมเพียงบางหน่วยงานหรือบางสถานที่ของบริษัท\u003C\u002Fp>\u003C\u002Fli>\u003Cli>\u003Cp>\u003Cstrong>ใบรับรองที่เจาะจง Cloud\u003C\u002Fstrong> เช่น ISO\u002FIEC 27017, ISO\u002FIEC 27018 และ CSA STAR ซึ่งพูดถึงการควบคุมเฉพาะบริการคลาวด์ หรือความปลอดภัยและความเป็นส่วนตัวของข้อมูลบน Cloud\u003C\u002Fp>\u003C\u002Fli>\u003Cli>\u003Cp>\u003Cstrong>การรับรองตามกรอบของ สกมช.\u003C\u002Fstrong> ซึ่งผู้ให้บริการยื่นผ่านหน่วยรับรอง (CB) ที่ขึ้นทะเบียนกับ สกมช. และเป็นการตรวจประเมินบริการที่ระบุไว้ในขอบเขตตามระดับผลกระทบของข้อมูลหรือระบบของผู้ใช้บริการ\u003C\u002Fp>\u003C\u002Fli>\u003C\u002Ful>\u003Cp>สองชั้นแรกผู้ให้บริการได้มาจากองค์กรรับรองสากลก่อนมีกรอบของ สกมช. สำหรับชั้นที่สาม สกมช. อธิบายขั้นตอนไว้ว่า ผู้ให้บริการต้องจำแนกบริการที่จะขอรับรองและระดับผลกระทบ จัดมาตรการด้านเทคนิคและการบริหารให้ตรงระดับนั้น ยื่นคำขอพร้อมเอกสารขอบเขตบริการต่อ CB จากนั้น CB ตรวจสถาปัตยกรรม ศูนย์ข้อมูล และการปฏิบัติงานจริงภายในขอบเขต แก้ข้อบกพร่องที่พบ แล้วจึงได้ใบรับรองและถูกบันทึกในทะเบียนผู้ให้บริการ หลังได้ใบรับรองยังต้องรักษามาตรฐานและรับการตรวจติดตามต่อเนื่องตลอดอายุใบรับรอง\u003C\u002Fp>\u003Cp>ในคำถามที่พบบ่อยของ สกมช. มีข้อความระบุว่าผู้ให้บริการ Cloud ต้องได้รับการรับรองตามมาตรฐานสากล CSA STAR Level 2 (CCM) และ ISO\u002FIEC 27701 เป็นอย่างน้อย หน้าเดียวกันไม่ได้ระบุ ISO\u002FIEC 27001 หรือ ISO\u002FIEC 27017 ในข้อนี้ จึงอย่าสรุปว่าใบ ISO 27001 ใบเดียวเพียงพอ\u003C\u002Fp>\u003Ch2>ใบรับรองของผู้ให้บริการไม่ได้รับรองระบบของคุณ\u003C\u002Fh2>\u003Cp>นี่คือจุดที่เราเห็นความเข้าใจคลาดเคลื่อนบ่อยที่สุด ต่อให้ผู้ให้บริการผ่านการรับรองครบทุกชั้น ระบบที่หน่วยงานคุณสร้างบน Cloud นั้นก็ยังเป็นความรับผิดชอบของหน่วยงาน สกมช. แยกหน้าสำหรับผู้ใช้บริการ (CSC) ไว้ต่างหาก ซึ่งระบุว่าก่อนขอรับรอง ผู้ใช้บริการต้องจำแนกข้อมูลหรือระบบตามระดับผลกระทบ ต่ำ กลาง สูง โดยดูผลต่อการรักษาความลับ ความถูกต้อง และความพร้อมใช้งาน และระดับสูงครอบคลุมโครงสร้างพื้นฐานสำคัญทางสารสนเทศและข้อมูลอ่อนไหวมาก\u003C\u002Fp>\u003Cp>ตามคำถามที่พบบ่อย ระบบงานที่ประเมินแล้วอยู่ระดับกลาง ผู้ใช้บริการจำเป็นต้องขอใบรับรองของตนเอง หน่วยงานรัฐที่ไม่ใช่โครงสร้างพื้นฐานสำคัญ ซึ่งไม่มีหน่วยงานกำกับดูแลตามกฎหมาย ต้องให้หน่วยรับรองตรวจ ส่วนระบบผลกระทบระดับต่ำใช้การประเมินตนเองได้ และผลตรวจของหน่วยตรวจสอบภายในของหน่วยงานเองใช้แทนการรับรองระบบระดับกลางหรือสูงไม่ได้ ขอบเขตการตรวจรับรองก็ดูเป็นรายระบบ รวมถึงกระบวนการบริหาร Cloud ที่หน่วยงานนำมาใช้กับระบบนั้น\u003C\u002Fp>\u003Cp>ข้อสรุปเชิงปฏิบัติของเราคือ ใบรับรองของผู้ให้บริการเป็นฐานที่ช่วยให้หน่วยงานไม่ต้องตรวจส่วนโครงสร้างพื้นฐานซ้ำ แต่ไม่ได้ลดงานของหน่วยงานเรื่องจำแนกระดับ จัดมาตรการของตนเอง และรับการตรวจ ถ้าเอกสารข้อเสนอเขียนเหมือนใบรับรองของผู้ให้บริการทำให้ระบบของคุณ \"ผ่านมาตรฐานแล้ว\" ให้ถามกลับว่าส่วนไหนเป็นของใคร\u003C\u002Fp>\u003Ch2>อ่านใบรับรองของผู้ให้บริการ ให้ดูอะไรบ้าง\u003C\u002Fh2>\u003Cp>เมื่อได้ใบรับรองมาหนึ่งใบ เรามีคำถามห้าข้อที่ใช้ตรวจ ไม่ว่าใบนั้นจะเป็นใบสากลหรือใบตามกรอบของ สกมช.\u003C\u002Fp>\u003Cul>\u003Cli>\u003Cp>\u003Cstrong>ขอบเขตครอบคลุมบริการที่คุณจะใช้หรือไม่\u003C\u002Fstrong> ใบที่ครอบคลุมศูนย์ข้อมูลแห่งหนึ่งหรือบริการหนึ่ง ไม่ได้ครอบคลุมทุกอย่างที่ผู้ให้บริการขาย\u003C\u002Fp>\u003C\u002Fli>\u003Cli>\u003Cp>\u003Cstrong>รับรองที่ระดับผลกระทบใด\u003C\u002Fstrong> ถ้าระบบของคุณอยู่ระดับกลางหรือสูง ใบที่ออกให้ระดับต่ำไม่เพียงพอ\u003C\u002Fp>\u003C\u002Fli>\u003Cli>\u003Cp>\u003Cstrong>ใครเป็นผู้ออกใบรับรอง\u003C\u002Fstrong> ในกรอบของ สกมช. ใบรับรองออกโดยหน่วยรับรองที่ขึ้นทะเบียนกับ สกมช. ไม่ใช่ผู้ให้บริการประเมินตนเอง\u003C\u002Fp>\u003C\u002Fli>\u003Cli>\u003Cp>\u003Cstrong>ใบรับรองยังมีผลอยู่หรือไม่\u003C\u002Fstrong> และมีการตรวจติดตามต่อเนื่องหรือไม่ หน้าของ สกมช. ระบุว่ามีการตรวจติดตามตลอดอายุใบรับรอง แต่ยังไม่ระบุว่านานเท่าใด\u003C\u002Fp>\u003C\u002Fli>\u003Cli>\u003Cp>\u003Cstrong>ตรวจกับทะเบียนได้หรือไม่\u003C\u002Fstrong> เว็บของ สกมช. กล่าวถึงทะเบียนผู้ให้บริการ แต่หน้ารายชื่อที่เราลองเปิดไม่พบ เราจึงไม่ทราบว่ารายชื่อเปิดให้ตรวจแบบสาธารณะแล้วหรือยัง\u003C\u002Fp>\u003C\u002Fli>\u003C\u002Ful>\u003Cp>ข้อสุดท้ายสำคัญกว่าที่ดู เพราะมีข้อมูลบนเว็บเองที่ชี้ว่าเส้นทางรับรองยังอยู่ระหว่างวางระบบ หน้าคำถามที่พบบ่อยระบุว่า สกมช. อยู่ระหว่างกำหนดหลักเกณฑ์ของหน่วยรับรอง เราจึงบอกไม่ได้ว่าตอนนี้มีหน่วยรับรองขึ้นทะเบียนแล้วกี่ราย หรือมีผู้ให้บริการรายใดผ่านการรับรองตามกรอบนี้แล้ว\u003C\u002Fp>\u003Ch2>สิ่งที่ สกมช. ยังไม่ประกาศ และจะเขียนสัญญาอย่างไรในช่วงนี้\u003C\u002Fh2>\u003Cp>จากหน้าคำถามที่พบบ่อย สกมช. ระบุว่าประกาศมาตรฐานคลาวด์มีผลบังคับใช้อย่างเป็นทางการเมื่อวันที่ 10 กันยายน 2569 (ตรงกับ 10 กันยายน 2026) แต่รายการที่ สกมช. ระบุว่ากำลังจัดทำหรือพิจารณาอยู่ ยังมีดังนี้\u003C\u002Fp>\u003Cul>\u003Cli>\u003Cp>หลักเกณฑ์เกี่ยวกับหน่วยรับรอง\u003C\u002Fp>\u003C\u002Fli>\u003Cli>\u003Cp>แนวทางการรับรองโดยหน่วยงานกำกับดูแล (attestation) ซึ่ง สกมช. กำลังบูรณาการกับหน่วยกำกับในแต่ละภาคส่วน\u003C\u002Fp>\u003C\u002Fli>\u003Cli>\u003Cp>เกณฑ์การประเมินตนเองมาตรฐานสำหรับระบบระดับต่ำ (ยังไม่มีเทมเพลต)\u003C\u002Fp>\u003C\u002Fli>\u003Cli>\u003Cp>ประกาศและแนวปฏิบัติรองรับการใช้ผู้ให้บริการต่างประเทศ ที่ทำสัญญาไว้ก่อนประกาศมีผล\u003C\u002Fp>\u003C\u002Fli>\u003Cli>\u003Cp>แนวทางการแบ่งความรับผิดชอบเมื่อใช้ SaaS\u003C\u002Fp>\u003C\u002Fli>\u003C\u002Ful>\u003Cp>นอกจากนี้คำตอบหลายข้อบนเว็บไม่ได้ระบุค่าธรรมเนียม อายุใบรับรอง หรือรอบการต่ออายุ เมื่อกติกายังไม่นิ่ง เรามองว่าสัญญากับผู้ให้บริการควรเขียนให้ยืดหยุ่นพอรับเกณฑ์ที่จะตามมา เรื่องนี้เป็นข้อเสนอของเรา ไม่ใช่ข้อกำหนดของ สกมช. ซึ่งมีหลายเรื่องที่เขียนได้ เช่น ให้ผู้ให้บริการระบุขอบเขตและระดับผลกระทบที่ตนได้รับรอง แจ้งหน่วยงานเมื่อใบรับรองหมดอายุหรือถูกเพิกถอน ให้ความร่วมมือเมื่อหน่วยรับรองต้องตรวจระบบของหน่วยงาน และระบุว่าใครรับค่าใช้จ่ายส่วนที่เกิดจากการเปลี่ยนเกณฑ์ภายหลัง แนวทางการเขียนเงื่อนไขทำนองนี้ เราเขียนไว้ใน\u003Ca target=\"_blank\" rel=\"noopener noreferrer\" href=\"https:\u002F\u002Fwww.superdev.tech\u002Fblogs\u002Ftor-conditions-for-a-maintainable-system\">บทความเรื่องเงื่อนไขใน TOR\u003C\u002Fa> และเรื่องสิทธิ์เข้าถึงบัญชีเมื่อทีมพัฒนาเปลี่ยนมืออยู่ใน\u003Ca target=\"_blank\" rel=\"noopener noreferrer\" href=\"https:\u002F\u002Fwww.superdev.tech\u002Fblogs\u002Fcloud-access-vendor-transition\">บทความเรื่องบัญชี Cloud\u003C\u002Fa>\u003C\u002Fp>\u003Ch2>ผู้ให้บริการต่างประเทศ ต้องทำอย่างไร\u003C\u002Fh2>\u003Cp>หลายหน่วยงานใช้ผู้ให้บริการรายใหญ่ที่ไม่ได้ตั้งในไทย สกมช. ตอบไว้ว่าหน่วยงานที่ใช้ผู้ให้บริการต่างประเทศก่อนประกาศมีผล ต้องทบทวนการใช้บริการนั้น โดยตรวจหลักฐานใบรับรองสากล เช่น ISO\u002FIEC 27001, 27017, 27018, 27701 และ CSA STAR ว่าสอดคล้องและเพียงพอหรือไม่ ข้อความนี้เป็นตัวอย่างของหลักฐานที่ใช้พิจารณา ไม่ได้ระบุว่าใบรับรองเหล่านี้ใช้แทนการรับรองตามมาตรฐานคลาวด์ของ สกมช. ได้ และ สกมช. ยังระบุว่ากำลังพิจารณาประกาศรองรับช่วงเปลี่ยนผ่านของสัญญาที่ทำไว้ก่อนหน้า\u003C\u002Fp>\u003Cp>เรื่องว่าผู้ให้บริการควรอยู่ที่ไหน กับการเลือก region ที่ตั้งของข้อมูล เป็นอีกคำถามหนึ่ง เราเขียนไว้ใน\u003Ca target=\"_blank\" rel=\"noopener noreferrer\" href=\"https:\u002F\u002Fwww.superdev.tech\u002Fblogs\u002Fcloud-region-data-residency-pdpa\">บทความเรื่อง region และที่ตั้งข้อมูล\u003C\u002Fa> และเรื่องการพึ่งพาผู้ให้บริการรายเดียวหรือหลายราย อยู่ใน\u003Ca target=\"_blank\" rel=\"noopener noreferrer\" href=\"https:\u002F\u002Fwww.superdev.tech\u002Fblogs\u002Fmulti-cloud-vs-vendor-lockin-decision\">บทความเรื่อง multi-cloud\u003C\u002Fa> บทความนี้ไม่ได้อ้างข้อกำหนดเรื่องที่ตั้งข้อมูลของมาตรฐานนี้ เพราะเราหาข้อความที่ยืนยันได้จากแหล่งทางการไม่เจอ\u003C\u002Fp>\u003Ch2>ข้อจำกัดที่ต้องบอกตรง ๆ\u003C\u002Fh2>\u003Cp>กรอบนี้เขียนขึ้นสำหรับหน่วยงานรัฐ หน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ และหน่วยงานกำกับดูแลที่มีสัญญาใช้บริการ Cloud อย่างเป็นทางการ ถ้าองค์กรของคุณเป็นเอกชนทั่วไปที่ไม่เข้าข่าย การไล่ขอใบรับรองเพราะกลัวตกขบวนอาจไม่คุ้มกับเวลา คำแนะนำของเราในกรณีนั้นคือใช้กรอบนี้เป็นรายการอ้างอิงตอนอ่านข้อเสนอ เช่น ถามเรื่องขอบเขตและระดับผลกระทบ แต่ไม่ต้องตั้งเป้าให้ระบบของคุณได้ใบรับรอง เพราะใบรับรองที่ไม่มีใครต้องการใช้ จะกลายเป็นต้นทุนการตรวจติดตามที่ต้องจ่ายต่อเนื่อง\u003C\u002Fp>\u003Cp>อีกข้อคือ ใบรับรองบอกว่าในวันที่ตรวจ ระบบเป็นอย่างไรตามขอบเขต ไม่ได้บอกว่าวันนี้มีการตั้งค่าผิดพลาดหรือไม่ ซึ่งการตั้งค่าผิดพลาดมักอยู่ฝั่งผู้ใช้บริการ การตรวจการตั้งค่าและสิทธิ์เข้าถึงของระบบคุณเองจึงยังต้องทำเป็นประจำ ไม่ว่าผู้ให้บริการจะผ่านการรับรองกี่ใบ\u003C\u002Fp>\u003Ch2>ข้อโต้แย้งที่ได้ยินบ่อย\u003C\u002Fh2>\u003Cp>ข้อโต้แย้งที่ได้ยินบ่อยที่สุดคือ ผู้ให้บริการมีใบรับรองสากลครบอยู่แล้ว ทำไมต้องคิดเรื่องนี้เพิ่ม คำถามนี้ถูกต้อง และใบรับรองสากลเหล่านั้นมีค่าจริงในฐานะหลักฐาน แต่ในกรอบของ สกมช. ใบเหล่านี้ยังไม่ถูกระบุว่าใช้แทนการรับรองตามมาตรฐานได้ และไม่ได้ครอบคลุมส่วนที่เป็นระบบของหน่วยงานคุณ\u003C\u002Fp>\u003Cp>อีกข้อคือ รอให้ สกมช. ประกาศเกณฑ์ครบก่อนค่อยเริ่ม คำตอบบนเว็บของ สกมช. ระบุว่าหน่วยงานดำเนินการตรวจรับรองก่อนหรือหลังประกาศมีผลก็ได้ ขึ้นอยู่กับความพร้อม สิ่งที่เริ่มได้ทันทีโดยไม่ต้องรอใคร คือการจำแนกระดับผลกระทบของระบบที่มีอยู่ เพราะเป็นขั้นแรกของทุกเส้นทาง\u003C\u002Fp>\u003Cdiv data-type=\"horizontalRule\">\u003Chr>\u003C\u002Fdiv>\u003Ch2>จะเริ่มตรงไหน\u003C\u002Fh2>\u003Col>\u003Cli>\u003Cp>\u003Cstrong>ไล่รายการระบบที่ทำงานบน Cloud\u003C\u002Fstrong> พร้อมบอกว่าใช้ผู้ให้บริการรายไหน และใช้ในรูปแบบใด เช่น โครงสร้างพื้นฐานหรือซอฟต์แวร์สำเร็จรูป\u003C\u002Fp>\u003C\u002Fli>\u003Cli>\u003Cp>\u003Cstrong>จำแนกระดับผลกระทบของแต่ละระบบ\u003C\u002Fstrong> เป็นต่ำ กลาง สูง ตามผลต่อความลับ ความถูกต้อง และความพร้อมใช้งาน แล้วให้ผู้บริหารที่รับผิดชอบระบบเซ็นรับ\u003C\u002Fp>\u003C\u002Fli>\u003Cli>\u003Cp>\u003Cstrong>ขอเอกสารใบรับรองจากผู้ให้บริการแต่ละราย\u003C\u002Fstrong> พร้อมขอบเขตและระดับผลกระทบที่รับรอง แล้วเทียบกับระดับของระบบคุณ\u003C\u002Fp>\u003C\u002Fli>\u003Cli>\u003Cp>\u003Cstrong>ทบทวนสัญญาและ SLA\u003C\u002Fstrong> ตามรายการในหัวข้อก่อนหน้า โดยเฉพาะเรื่องการแจ้งเมื่อใบรับรองเปลี่ยนสถานะ\u003C\u002Fp>\u003C\u002Fli>\u003Cli>\u003Cp>\u003Cstrong>ติดตามประกาศของ สกมช.\u003C\u002Fstrong> เรื่องหลักเกณฑ์หน่วยรับรอง แนวทางสำหรับ SaaS และช่วงเปลี่ยนผ่าน แล้วบันทึกวันที่ตรวจข้อมูลครั้งล่าสุดไว้ในเอกสารตัดสินใจ\u003C\u002Fp>\u003C\u002Fli>\u003C\u002Fol>\u003Ch2>สรุป\u003C\u002Fh2>\u003Cp>ถ้าจะหยิบไปใช้อย่างเดียวจากบทความนี้ ให้ถามผู้ให้บริการทุกรายว่า ใบรับรองนี้ครอบคลุมบริการไหน ที่ระดับผลกระทบใด และใครเป็นผู้ออก แล้วเทียบกับระดับผลกระทบของระบบที่คุณจำแนกไว้เอง ใบรับรองที่ตอบสามข้อนี้ไม่ได้ ยังพิสูจน์อะไรให้คุณไม่ได้\u003C\u002Fp>\u003Cp>หากต้องการคุยรายละเอียดของโครงการ ติดต่อเราได้ที่ 088-983-9386 หรืออีเมล contact@superdev.tech สำนักงานของเราอยู่ที่บางกะปิ กรุงเทพฯ สำหรับองค์กรที่ยังอยู่ระหว่างร่างขอบเขตงาน เรายินดีนัดคุยเพื่อทำความเข้าใจโจทย์ก่อน โดยยังไม่ต้องมีเอกสารครบ และหากคุยแล้วพบว่าโจทย์ยังไม่ถึงเวลาต้องพัฒนาระบบใหม่ เราจะบอกตรง ๆ เพราะการเริ่มโครงการผิดจังหวะ มีต้นทุนสูงกว่าการรออีกหนึ่งไตรมาส\u003C\u002Fp>","https:\u002F\u002Ftwsme-r2.tumwebsme.com\u002Fpbc_2128795511\u002Fxj777knvwp7jew6\u002Fcover_cover_m6hacvp0sx.webp","28 ตุลาคม 2569","2026-10-28 09:58:02.036Z",109,"Enterprise","enterprise","ncsa-cloud-csp-certificate-what-it-tells-you","\u002Fblogs\u002Fncsa-cloud-csp-certificate-what-it-tells-you",2,false,0,"",[47,48,49,50,51],"มาตรฐาน cloud สกมช","มาตรฐาน cloud security","CSA STAR Level 2","ใบรับรองผู้ให้บริการคลาวด์","Cloud Security Standard"]