Monday, February 16, 2015

รายการกฎหมายเกี่ยวข้อง IT ที่ผู้บริหารควรทราบ

รายการกฎหมายเกี่ยวข้องกับ IT ที่ผู้บริหารควรทราบ

ในฐานะของ "ผู้บริหารระดับสูง หรือ ผู้บริหารสายงาน IT" ย่อมจำเป็นที่จะต้องรับทราบทำความเข้าใจถึงกฎหมาย ระเบียบ ข้อบังคับต่างๆ ที่เกี่ยวข้องกับ IT เพราะเป็นหน้าที่ขององค์กรทุกแห่งที่จะต้องปฏิบัติตามกฎหมายโดยไม่มีข้อยกเว้น และไม่สามารถอ้างได้ว่าไม่เคยรับทราบข้อมูลเหล่านี้มาก่อน

ในบทความครั้งนี้ ทีมงานของ Destination One จึงได้รวบรวมรายชื่อกฎหมายที่เกี่ยวข้องกับ IT ที่มีอยู่ในปัจจุบันทั้งหมด รวมถึงร่างกฎหมายที่กำลังจะได้รับการประกาศใช้ในอนาคตอันใกล้ เพื่อให้ท่านได้ค้นคว้าและศึกษาต่อไป ดังนี้


รายการกฎหมายที่เกี่ยวข้องกับ IT

พระราชบัญญัติ

  • พระราชบัญญัติว่าด้วยธุรกรรมทางอิเล็กทรอนิกส์ พ.ศ. 2544 
  • พระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ พ.ศ. 2550
พระราชกฤษฎีกา


  • พระราชกฤษฎีกาว่าด้วยวิธีการแบบปลอดภัยในการทำธุรกรรมทางอิเล็กทรอนิกส์ พ.ศ. 2553 
  • พระราชกฤษฎีกาว่าด้วยการควบคุมดูแลธุรกิจบริการการชำระเงินทางอิเล็กทรอนิกส์ พ.ศ. 2551 
  • พระราชกฤษฎีกากำหนดหลักเกณฑ์และวิธีการในการทำธุรกรรมทางอิเล็กทรอนิกส์ภาครัฐ พ.ศ. 2549 
ประกาศคณะกรรมการธุรกรรมทางอิเล็กทรอนิกส์


  • ประกาศคณะกรรมการธุรกรรมทางอิเล็กทรอนิกส์ เรื่อง ประเภทของธุรกรรมทางอิเล็กทรอนิกส์ และหลักเกณฑ์การประเมินระดับผลกระทบของธุรกรรมทางอิเล็กทรอนิกส์ตามวิธีการแบบปลอดภัย พ.ศ. 2555 
  • ประกาศคณะกรรมการธุรกรรมทางอิเล็กทรอนิกส์ เรื่อง แนวนโยบายและแนวปฏิบัติในการคุ้มครองข้อมูลส่วนบุคคลของหน่วยงานของรัฐ พ.ศ. 2553 
  • ประกาศคณะกรรมการธุรกรรมทางอิเล็กทรอนิกส์ เรื่อง มาตรฐานการรักษาความมั่นคงปลอดภัยของระบบสารสนเทศตามวิธีการแบบปลอดภัย พ.ศ.  2555 
  • ประกาศคณะกรรมการธุรกรรมทางอิเล็กทรอนิกส์ เรื่อง แนวนโยบายและแนวปฏิบัติในการรักษาความมั่นคงปลอดภัยด้านสารสนเทศของหน่วยงานของรัฐ (ฉบับที่ 2) พ.ศ. 2556 
  • ประกาศคณะกรรมการธุรกรรมทางอิเล็กทรอนิกส์ เรื่อง แนวนโยบายและแนวปฏิบัติในการรักษาความมั่นคงปลอดภัยด้านสารสนเทศของหน่วยงานของรัฐ พ.ศ. 2553 
  • ประกาศคณะกรรมการธุรกรรมทางอิเล็กทรอนิกส์ เรื่อง หลักเกณฑ์ วิธีการ และเงื่อนไขในการประกอบธุรกิจบริการการชำระเงินทางอิเล็กทรอนิกส์ พ.ศ. 2552
ประกาศกระทรวงเทคโนโลยีสารสนเทศและการสื่อสาร

  • ประกาศกระทรวงเทคโนโลยีสารสนเทศและการสื่อสาร เรื่องหลักเกณฑ์การเก็บรักษาข้อมูลจราจรทางคอมพิวเตอร์ของผู้ให้บริการ พ.ศ. 2550

ประกาศธนาคารแห่งประเทศไทย  

  • ประกาศธนาคารแห่งประเทศไทย ที่ สรข. 3/2552 เรื่อง นโยบายและมาตรการการรักษาความมั่นคงปลอดภัยทางระบบสารสนเทศในการประกอบธุรกิจของผู้ให้บริการการชำระเงินทางอิเล็กทรอนิกส์

รายการ (ร่าง) กฎหมายที่เกี่ยวข้องกับ IT

พระราชบัญญัติ


  • (ร่าง) พระราชบัญญัติว่าด้วยธุรกรรมทางอิเล็กทรอนิกส์
  • (ร่าง) พระราชบัญญัติว่าด้วยการรักษาความมั่นคงปลอดภัยไซเบอร์
  • (ร่าง) พระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์  
  • (ร่าง) พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล   



Content Cr : DestinationOne Counselor
Photo Cr : HighwayPhoto

Monday, February 9, 2015

ลิขสิทธิ์และความคุ้มครอง

ลิขสิทธิ์และความคุ้มครอง

ช่วงนี้มีคำถามเข้ามาอยู่บ่อยๆ ว่า “หากมีคนนำซอฟต์แวร์/แอพพลิเคชั่นของเราไปใช้เพื่อประโยชน์ส่วนตัว ถือว่าบุคคลนั้นมีสิทธิ์ถูกดำเนินคดีตามกฎหมายจริงหรือไม่?”

ในการตอบคำถามประเด็นนี้ เราต้องมาคุยกันถึงเรื่องของลิขสิทธิ์ก่อน ความหมายตามนิยามของกรมทรัพย์สินทางปัญญานั้น คำว่า ลิขสิทธิ์ หมายถึง สิทธิแต่เพียงผู้เดียวที่จะกระทำการใด ๆ เกี่ยวกับงานที่ผู้สร้างสรรค์ได้ริเริ่มโดยการใช้สติปัญญาความรู้ ความสามารถ และความวิริยะอุตสาหะของตนเองในการสร้างสรรค์ โดยไม่ลอกเลียนงานของผู้อื่น โดยงานที่สร้างสรรค์ต้องเป็นงานตามประเภทที่กฎหมายลิขสิทธิ์ให้คุ้มครอง โดยผู้สร้างสรรค์จะได้รับความคุ้มครองทันทีที่สร้างสรรค์โดยไม่ต้องจดทะเบียน

ส่วนพระราชบัญญัติลิขสิทธิ์ พ.ศ. 2537 ได้ให้ความหมายว่า หมายถึง สิทธิแต่เพียงผู้เดียวที่จะทำการใดๆตามพระราชบัญญัตินี้" เกี่ยวกับงานที่ผู้สร้างสรรค์ได้ทำขึ้น นั่นก็หมายความ ว่า เจ้าของลิขสิทธิ์เพียงผู้เดียวเท่านั้นที่มีสิทธิจะทำอย่างไรก็ได้ กับงานอันมีลิขสิทธิ์ของตนเอง


นอกจากนี้ ยังมีคำอื่นๆ ที่เกี่ยวข้องอีก ได้แก่..

        งานอันมีลิขสิทธิ์ : งานสร้างสรรค์ที่จะได้รับความคุ้มครองตามพระราชบัญญัติลิขสิทธิ์ต้องเป็นงาน ในสาขา วรรณกรรม นาฏกรรม ศิลปกรรม ดนตรีกรรม โสตทัศนวัสดุ ภาพยนตร์ สิ่งบันทึกเสียง งานแพร่เสียงแพร่าภาพ รวมถึงงานอื่นๆ ในแผนกวรรณคดีวิทยาศาสตร์ หรือแผนกศิลปะ งานเหล่านี้ถือเป็นผลงานที่เกิดจากการใช้สติปัญญา ความรู้ความสามารถ และความวิริยะอุตสาหะ ในการสร้างสรรค์งานให้เกิดขึ้น ซึ่งถือเป็นทรัพย์สินทางปัญญาประเภทหนึ่งที่มีคุณค่าทางเศรษฐกิจ

        การได้มาซึ่งลิขสิทธิ์ : สิทธิในลิขสิทธิ์เกิดขึ้นทันที นับแต่ผู้สร้างสรรค์ได้สร้างสรรค์ผลงานออกมาโดยไม่ต้องจดทะเบียน หรือผ่านพิธีการใดๆ

        การคุ้มครองลิขสิทธิ์ : ผู้เป็นเจ้าของลิขสิทธิ์มีสิทธิแต่เพียงผู้เดียว ในการใช้ประโยชน์จากผลงานสร้างสรรค์ของตน ในการทำซ้ำ ดัดแปลง หรือเผยแพร่ต่อสาธารณชน รวมทั้งสิทธิในการให้เช่า โดยทั่วไปอายุการคุ้มครองสิทธิจะมีผลเกิดขึ้นทันทีที่มีการสร้างสรรค์ผลงาน โดยความคุ้มครองนี้จะมีตลอดอายุของผู้สร้างสรรค์และคุ้มครองต่อไปนี้อีก 50 ปีนับแต่ผู้สร้างสรรค์เสียชีวิต

        ประโยชน์ต่อผู้บริโภค : การคุ้มครองและพิทักษ์สิทธิในผลงานลิขสิทธิ์ มีผลให้เกิดแรงจูงใจแก่ผู้สร้างสรรค์ผลงานที่จะสร้างสรรค์ผลงานที่มีคุณค่า ทางวรรณกรรมและศิลปกรรมออกสู่ตลาดส่งผลให้ผู้บริโภคได้รับความรู้ ความบันเทิง และได้ใช้ผลงานที่มีคุณภาพ

กฎหมายลิขสิทธิ์ให้ความคุ้มครองแก่งานสร้างสรรค์ 9 ประเภทตามที่กฎหมายกำหนด ได้แก่..
     1. งานวรรณกรรม (หนังสือ, จุลสาร, สิ่งพิมพ์, คำปราศรัย, โปรแกรมคอมพิวเตอร์ ฯลฯ)
     2. งานนาฎกรรม (ท่ารำ, ท่าเต้น ฯลฯ)
     3. งานศิลปกรรม (จิตรกรรม, ประติมากรรม, ภาพพิมพ์, ภาพถ่าย, ศิลปะประยุกต์ ฯลฯ)
     4. งานดนตรีกรรม (ทำนอง, ทำนองและเนื้อร้อง ฯลฯ)
     5. งานสิ่งบันทึกเสียง (เทป, ซีดี)
     6. งานโสตทัศนวัสดุ (วีซีดี, ดีวีดี, ที่มีภาพหรือมีทั้งภาพและเสียง)
     7. งานภาพยนตร์
     8. งานแพร่เสียงแพร่ภาพ
     9. งานอื่นใดในแผนกวรรณคดี วิทยาศาสตร์ หรือศิลปะ


งานการเขียนโปรแกรมคอมพิวเตอร์ Source Code หรือซอฟต์แวร์นั้น ถูกจัดอยู่ในหมวดหมู่ “วรรณกรรม” ซึ่งจะได้รับความคุ้มครองทันที ดังนั้น จึงตอบได้ว่าผู้ที่ละเมิดลิขสิทธิ์สามารถถูกดำเนินคดีตามกฎหมายได้ครับ แต่ส่วน Algorithm, สูตรคณิตศาสตร์ และทฤษฎี จะไม่ได้รับความคุ้มครองใดๆ นะครับ

หากเลือกที่จะให้ Source Code อยู่ในความคุ้มครองภายใต้ลิขสิทธิ์แบบอื่นๆ เช่น GPL, AGPL, BSD, MIT, Apache หรือ Open Source อื่นๆ ก็สามารถทำได้เช่นกัน เพียงแต่ความคุ้มครองจะไม่เป็นไปตามที่พระราชบัญญัติลิขสิทธิ์ตราไว้ แต่จะเป็นไปตามบทบัญญัติของลิขสิทธิ์นั้นๆ

การละเมิดลิขสิทธิ์และบทกำหนดโทษ

การละเมิดลิขสิทธิ์โดยตรง
การละเมิดลิขสิทธิ์โดยอ้อม
คือ การทำซ้ำ ดัดแปลง เผยแพร่โปรแกรมคอมพิวเตอร์แก่สาธารณชน รวมทั้งการนำต้นฉบับหรือสำเนางานดังกล่าวออกให้เช่า โดยไม่ได้รับอนุญาตจากเจ้าของลิขสิทธิ์
คือ การกระทำทางการค้า หรือการกระทำที่มีส่วนสนับสนุนให้เกิดการละเมิดลิขสิทธิ์ดังกล่าวข้างต้นโดย ผู้กระทำรู้อยู่แล้ว ว่างานใดได้ทำขึ้นโดยละเมิดลิขสิทธิ์ของผู้อื่น แต่ก็ยังกระทำเพื่อหากำไรจากงานนั้น ได้แก่ การขาย มีไว้เพื่อขาย ให้เช่า เสนอให้เช่า ให้เช่าซื้อ เสนอให้เช่าซื้อ เผยแพร่ต่อสาธารณชน แจกจ่ายในลักษณะที่อาจก่อให้เกิดความเสียหายต่อเจ้าของลิขสิทธิ์และนำหรือ สั่งเข้ามาในราชอาณาจักร

มีโทษปรับตั้งแต่ 20,000 บาท ถึง 200,000 บาท หากเป็นการกระทำเพื่อการค้า มีโทษจำคุกตั้งแต่ 6 เดือน ถึง 4 ปี หรือปรับตั้งแต่ 100,000 บาท ถึง 800,000 บาท หรือทั้งจำทั้งปรับ
มีโทษปรับตั้งแต่ 10,000 บาท ถึง 100,000 บาท หากเป็นการกระทำเพื่อการค้า มีโทษจำคุกตั้งแต่ 3 เดือน ถึง 2 ปี หรือปรับตั้งแต่ 50,000 บาท ถึง 400,000 บาท หรือทั้งจำทั้งปรับ ◦ ผู้ใดกระทำความผิดต้องระวางโทษตามพระราชบัญญัติลิขสิทธิ์ฉบับนี้ เมื่อพ้นโทษแล้วยังไม่ครบกำหนดห้าปีกระทำความผิดต่อพระราชบัญญัตินี้อีก จะต้องระวางโทษเป็นสองเท่าของโทษที่กำหนดไว้สำหรับความผิดนั้น


◦ กรณีที่นิติบุคคลกระทำความผิดตามพระราชบัญญัตินี้ ให้ถือว่ากรรมการหรือผู้จัดการทุกคนของนิติบุคคลนั้นเป็นผู้ร่วมกระทำความผิดกับนิติบุคคลนั้น เว้นแต่จะพิสูจน์ได้ว่ามิได้รู้เห็นหรือยินยอมด้วย

◦ ค่าปรับที่ได้มีการชำระตามคำพิพากษานั้น ครึ่งหนึ่งจะตกเป็นของเจ้าของลิขสิทธิ์อย่างไรก็ดีการได้รับค่าปรับดังกล่าวไม่กระทบต่อสิทธิของเจ้าของลิขสิทธิ์ ที่จะฟ้องเรียกค่าเสียหายในทางแพ่งสำหรับส่วนที่เกินจำนวนเงินค่าปรับที่เจ้าของลิขสิทธิ์ได้รับไว้แล้วนั้น

และเมื่อไม่นานมานี้ เพิ่งจะมีการประกาศในพระราชกิจจานุเบกษาเพื่อบังคับใช้ พรบ.ลิขสิทธิ์ (ฉบับที่ 3) พ.ศ. 2558 ซึ่งคุณสามารถติดตามข่าวและเนื้อหาได้ตามลิงก์นี้เลยครับ >> http://www.bangkokbiznews.com/news/detail/633305


Content Cr : DestinationOne Counselor
Photo Cr : SDTimes.com, กรุงเทพธุรกิจ
อ้างอิง : http://www.ipthailand.go.th/index.php

Monday, February 2, 2015

16 การตั้งค่าพื้นฐาน สำหรับองค์กรที่ต้องการมาตรฐาน PCI DSS v.3.0

16 การตั้งค่าพื้นฐาน สำหรับองค์กรที่ต้องการมาตรฐาน PCI DSS v.3.0

PCI DSS (Payment Card Industrial Data Security Standard) เป็นมาตรฐานที่กำหนดกรอบขั้นพื้นฐานของความต้องการด้านเทคนิค และการปฏิบัติงานด้านความมั่นคงปลอดภัยเพื่อการปกป้องข้อมูลบัตรเครดิต ป้องกันการฉ้อโกง รวมถึงปิดช่องโหว่ต่างๆ ซึ่งค่ายบัตรเครดิตชั้นนำ อาทิ Visa, MasterCard, American Express, Discover และ JCB ก็ล้วนใช้งานมาตรฐานดังกล่าว โดยข้อกำหนดของมาตรฐาน PCI DSS นี้ ะถูกนำไปประยุกต์ใช้ในทุกกระบวนการ และทุกองค์ประกอบที่เกี่ยวข้องกับการชำระเงินด้วยระบบบัตรเครดิต ยกตัวอย่างเช่น ผู้ออกบัตร, เครื่องรูดบัตร, ผู้ให้บริการ, สถาบันการเงิน เป็นต้น

ในบทความครั้งนี้ ทีมงาน Destination One จึงได้ทำการสรุปข้อมูลทางเทคนิค ที่เป็นพื้นฐานในการปฏิบัติงานอย่างสอดคล้องตามข้อกำหนดของมาตรฐาน PCI DSS v.3.0 มาให้คุณผู้อ่านได้ทำความเข้าใจง่ายยิ่งขึ้น ดังต่อไปนี้


         1. ต้องดำเนินการทบทวน Firewall และ Router Rule อย่างน้อยทุก 6 เดือน
         2. ต้องลบหรือย้ายฟังก์ชั่นต่างๆ ที่ไม่จำเป็นออกจากระบบ เช่น Scripts, Drivers, Features เป็นต้น
         3. ต้องติดตั้งโปรแกรมป้องกันไวรัสบนระบบสารสนเทศ
         4. ต้องทบทวนการพัฒนาระบบหรือชุดคำสั่งให้มีความมั่นคงปลอดภัย
         5. ต้องปฏิบัติตามกระบวนการบริหารจัดการการเปลี่ยนแปลงระบบสารสนเทศ
         6. ต้องลบหรือห้ามใช้งาน Inactive User Accounts ทุก 90 วัน
         7. ต้องจำกัดการเข้าถึงระบบไม่เกิน 6 ครั้ง
         8. ต้องตั้งค่า Log out Time น้อยกว่า 30 นาที และค่า Session Idle Time น้อยกว่า 15 นาที
         9. ต้องเปลี่ยนรหัสผ่าน ทุก 90 วัน
         10. ต้องจัดเก็บบันทึกของ Video Camera และ Access Control ไว้อย่างน้อย 3 เดือน หรือตามกฏหมายกำหนด
         11. ต้องจัดเก็บ Physical Access Control Log ไว้อย่างน้อย 3 เดือน หรือตามกฏหมายกำหนด
         12. ต้องทบทวน Security Event ทั้งหมด และ Log ของ Critical System ทุกวัน และต้องจัดเก็บประวัติ Audit Trail ไว้อย่างน้อย 1 ปี 
         13. ต้องดำเนินการสแกนหาจุดอ่อนและช่องโหว่ของระบบสารสนเทศทั้งภายในและภายนอกทุกไตรมาส หรือเมื่อมีการเปลี่ยนแปลงสำคัญ ด้วยเครื่องมือที่ได้รับการอนุมัติตามมาตรฐาน PCI DSS
         14. ต้องดำเนินการทดสอบเจาะระบบสารสนเทศทั้งภายในและภายนอกอย่างน้อยปีละ 1 ครั้ง และเมื่อมีการเปลี่ยนแปลงสำคัญ
         15. ต้องทบทวนนโยบายความมั่นคงปลอดภัยอย่างน้อยปีละ 1 ครั้ง และเมื่อมีการเปลี่ยนแปลงสำคัญ
         16. ต้องประเมินความเสี่ยงอย่างน้อยปีละ 1 ครั้ง และเมื่อมีการเปลี่ยนแปลงสำคัญ

ทั้งนี้ หากองค์กรมีความประสงค์ในการให้บริการระบบบัตรเครดิตอย่างความมั่นคงปลอดภัยตลอดกระบวนการตามมาตรฐาน PCI DSS ผู้บริหารระดับสูงและทีมงานที่เกี่ยวข้องจำเป็นที่จะต้องดำเนินการตั้งค่าระบบสารสนเทศอย่างมั่นคงปลอดภัย ตามข้อมูลที่ได้ระบุข้างต้น และจะต้องผลักดันให้กลายเป็นพื้นฐานของระบบสารสนเทศทั้งหมดขององค์กรต่อไป


Content Cr : DestinationOne Counselor
Photo Cr : Paymetric.com