กระบวนการและโครงสร้างพื้นฐานของสารสนเทศและไซเบอร์

นอกจากนี้ บริษัทฯ ได้ดำเนินการตรวจสอบช่องโหว่ของระบบคอมพิวเตอร์ (Vulnerability Assessment: VA) และการจัดทำแผนความต่อเนื่องทางธุรกิจ (Business Continuity Plan) อย่างน้อยปีละ 2 ครั้ง เพื่อรับมือกับภัยคุกคามจากการโดนเจาะระบบ โดยในปี 2563 บริษัทฯ ทำการซ้อมแผนฉุกเฉินประจำปี (Cyber Incident Response Tabletop Exercise) และได้จำลองสถานการณ์ที่ส่งผลกระทบต่อการรักษาความมั่นคงความปลอดภัยของข้อมูลและระบบเทคโนโลยีสารสนเทศของบริษัทฯ (Cyber Attack) จากการรั่วไหลของข้อมูล การถูกเจาะเข้าระบบปฏิบัติการสารสนเทศของบริษัทฯ โดยบุคคลภายนอก ซึ่งอาจมีผลทำให้การดำเนินธุรกิจของบริษัทฯ หยุดชะงัก และส่งผลกระทบต่อชื่อเสียงขององค์กร

ในกรณีที่มีเหตุการณ์ภัยคุกคามดังกล่าวเกิดขึ้น ทีม CSIRT Commander ภายใต้ความร่วมมือระหว่างหน่วยงาน TF-IT หน่วยงาน IFM และหน่วยงาน Infrastructure Architecture จะได้รับมอบหมายในการสั่งการ กำกับดูแล ควบคุมและจัดการให้ความเสียหายให้ส่งผลกระทบน้อยที่สุด นอกจากนี้ ทีม Security Operation Center (SOC Team) CSIRT Commander ภายใต้ความร่วมมือกับทีม PTT Digital จะถูกจัดตั้งเพื่อวิเคราะห์ และตรวจสอบข้อเท็จจริงของเหตุการณ์ที่ก่อให้เกิดภัยคุกคามทางด้านไซเบอร์ และยังประสานงานกับผู้เกี่ยวข้องเพื่อเข้าสู่ระบบการจัดการเหตุขัดข้อง (Incident Management Process) ตลอดจนเตรียมรายงานให้แก่ผู้เกี่ยวข้องรับทราบ โดย SOC Manager จะทำหน้าที่ทวนสอบรายละเอียดของเหตุการณ์ที่เกิดขึ้นและแนวทางแก้ไขต่อไป

บริษัทฯ ได้ทำการตรวจสอบช่องโหว่ของระบบคอมพิวเตอร์ทั้งภายในและภายนอกทุก ๆ 6 เดือน (2 เฟส) เพื่อเตรียมแผนการป้องกันและแก้ไขจากภัยคุกคาม โดยบริษัทฯ ได้แบ่งระดับความรุนแรง (Vulnerability Severity Levels) ออกเป็น 3 ระดับ ได้แก่ ความรุนแรงระดับสูง (High) คามรุนแรงระดับกลาง (Medium) ความรุนแรงระดับต่ำ (Low)