ประเด็นความยั่งยืน
การกำกับดูแลความมั่นคงปลอดภัยสารสนเทศและไซเบอร์
ระดับผลกระทบ
ต่ำ
ผู้มีส่วนได้เสียที่เกี่ยวข้อง
พนักงาน
คู่ค้าและหุ้นส่วนทางธุรกิจ
ผู้ถือหุ้น

เป้าหมาย

  • ไม่มีผู้ตกเป็นเหยื่อในการโจมตีหรือการทดสอบการโจมตีหลังจากผ่านการอบรมความมั่นคงปลอดภัยสารสนเทศและไซเบอร์ (Cybersecurity)
  • ลดระยะเวลาในการตรวจจับการโจมตีให้ได้เร็วที่สุด*

*หมายเหตุ: ค่าเฉลี่ยของอุตสาหกรรมอยู่ที่ 24 วัน (ที่มา: FireEye Mandiant: M-Trends Report 2021)

ความท้าทายและโอกาส

ปัจจุบัน การดำเนินธุรกิจมีการประยุกต์ใช้เทคโนโลยีดิจิทัลมากขึ้น ทั้งระบบการผลิตและโครงข่ายปฏิบัติงานที่ต้องเชื่อมโยงกับโครงข่ายอินเทอร์เน็ต รวมถึงการปรับตัวในการทำงานของพนักงานในช่วงวิกฤตโควิด 19 ที่หันมาใช้เทคโนโลยีดิจิทัลมากขึ้น ซึ่งอาจนำมาสู่ปัจจัยความเสี่ยงด้านภัยคุกคามทางไซเบอร์ (Cyber Threat) อาทิ การถูกโจรกรรมข้อมูลสำคัญต่างๆ หรืออาจทำให้ระบบการผลิตเกิดการหยุดชะงักได้ ซึ่งจะกระทบต่อความต่อเนื่องในการดำเนินธุรกิจ ความน่าเชื่อถือ ภาพลักษณ์และชื่อเสียงของบริษัทฯ

บริษัทฯ จึงกำหนดกระบวนการบริหารจัดการความปลอดภัยของระบบเทคโนโลยีสารสนเทศ ที่สอดคล้องต่อนโยบายความมั่นคงปลอดภัยเทคโนโลยีสารสนเทศ และยังเสริมสร้างความรู้ ความเข้าใจ และความตระหนักให้แก่พนักงานทุกระดับ ผ่านการฝึกอบรมด้านความมั่นคงปลอดภัยสารสนเทศ เพื่อให้พนักงานสามารถปฏิบัติตนได้อย่างเหมาะสมเมื่อเผชิญเหตุภัยคุกคามทางด้านไซเบอร์

แนวทางการบริหารจัดการ (Management Approach) GRI 3-3 (2021)

การกำกับดูแลความมั่นคงปลอดภัยสารสนเทศและไซเบอร์ (Cybersecurity Governance)

เพื่อกำหนดทิศทางการทำงานให้ชัดเจน และสร้างความโปร่งใสแก่การบริหารงานเชิงนโยบายตลอดจนระดับปฎิบัติการ บริษัทฯ จึงได้กำกับและบริหารระบบความมั่นคงปลอดภัยด้านสารสนเทศ ที่สอดคล้องตามมาตรฐาน ISO/IEC 27001:2013 และกรอบความมั่นคงปลอดภัยด้านไซเบอร์ที่ถูกพัฒนาโดย สถาบันมาตรฐานและเทคโนโลยีแห่งชาติของประเทศสหรัฐอเมริกา (National Institute of Standards and Technology: NIST)

โดยสามารถแบ่งลำดับขั้นการบริหารได้ทั้งหมด 3 ขั้น อันประกอบด้วย (1) ระดับกำกับดูแล (2) ระดับบริหารจัดการ และ (3) ระดับปฏิบัติการ ทั้งนี้ในปี 2566 ได้มีการปรับโครงสร้างองค์กรโดยจัดตั้งหน่วยงาน Cybersecurity เพื่อเพิ่มประสิทธิภาพในการจัดการด้านความมั่นคงปลอดภัยสารสนเทศและไซเบอร์

บทบาท คณะกรรมการ / หน่วยงาน ที่เกี่ยวข้อง
ระดับกำกับดูแล
  • กำหนดทิศทางกลยุทธ์และเป้าหมาย (Develop and review of information security and cybersecurity strategies)
  • กำกับ ดูแล บริหารการดำเนินงาน
  • คณะกรรมการตรวจสอบ (Board Level Audit Committee)
  • คณะกรรมการกำกับดูแลงานด้านดิจิทัลและเทคโนโลยี สารสนเทศ
  • คณะกรรมการบริหารความเสี่ยงระดับองค์กร
  • คณะกรรมการบริหารความมั่นคงปลอดภัยสารสนเทศ
ระดับบริหารจัดการ
  • จัดการข้อมูลสารสนเทศตามมาตรฐาน ISO
  • ติดตามตรววจสอบความถูกต้องและแม่นยำ
  • คณะกรรมการบริหารความเสี่ยงระดับองค์กร
  • หน่วยงาน Cybersecurity
ระดับปฏิบัติการ
  • กำหนดระบบ วิธีปฏิบัติ และบริการ ให้แก่ผู้ใช้งานปฎิบัติตาม
  • ประเมินการติดตามผลงานและรายงานความเสี่ยงต่อคณะกรรมการบริหารความเสี่ยงระดับองค์กร
  • หน่วยงาน Cybersecurity

นอกจากนี้ การกำกับดูแลความมั่นคงปลอดภัยสารสนเทศและ ไซเบอร์ของบริษัทฯ จะครอบคลุมการบริหารจัดการทั้งหมด 5 ด้าน ดังนี้

แนวทางและกระบวนการบริหารจัดการด้านความมั่นคงปลอดภัยสารสนเทศและไซเบอร์ ตาม NIST Cyber Security Framework

นอกจากนี้ บริษัทฯ ได้แต่งตั้งผู้ช่วยกรรมการผู้จัดการใหญ่สายงานปฏิรูปธุรกิจสู่ความเป็นเลิศ ให้ดำรงตำแหน่งผู้บริหารความมั่นคงปลอดภัยสารสนเทศระดับสูง (Chief Information Security Officer: CISO) ซึ่งมีหน้าที่ดังต่อไปนี้