นโยบายความมั่นคงปลอดภัยสารสนเทศ

1. วัตถุประสงค์

เพื่อให้บริษัทจดทะเบียนที่ใช้ FoQusOne รวมถึงหน่วยงานกำกับดูแลและผู้ให้ข้อมูลซึ่งข้อมูลของตนอยู่ในระบบ มั่นใจได้ว่าบริการได้รับการบริหารจัดการอย่างมีประสิทธิภาพ ปลอดภัย และรับผิดชอบ โดยมุ่งรักษาคุณสมบัติสามประการ:

• การรักษาความลับ — ข้อมูลการทำงานของบริษัทเข้าถึงได้เฉพาะบุคคลที่บริษัทนั้นอนุญาต
• ความถูกต้องครบถ้วน — ตัวเลข ร่างเอกสาร และการอนุมัติต้องถูกต้องครบถ้วน และการอนุมัติทุกครั้งถูกบันทึกไว้อย่างถาวร
• ความพร้อมใช้งาน — ผู้ใช้ที่ได้รับอนุญาตเข้าใช้บริการได้เมื่อกำหนดยื่นเอกสารต้องการ

2. ระบบบริหารจัดการและการรับรอง

ควิดแลบดำเนินระบบบริหารจัดการความมั่นคงปลอดภัยสารสนเทศที่ได้รับการรับรองจากสำนักงานพัฒนาธุรกรรมทางอิเล็กทรอนิกส์ (สพธอ.) สำหรับระบบประชุมผ่านสื่ออิเล็กทรอนิกส์ FoQus ตามมาตรฐานการรักษาความมั่นคงปลอดภัยด้านสารสนเทศของระบบควบคุมการประชุม เวอร์ชัน 2.0 (หนังสือรับรองเลขที่ สพธอ.67-015) ตรวจสอบหนังสือรับรองได้ที่ quidlab.com/certificates.html

ผู้บริหารให้คำมั่นต่อนโยบายนี้ และมีผู้รับผิดชอบที่ระบุชื่อในการดูแลรักษาและให้คำแนะนำเกี่ยวกับนโยบาย ขั้นตอนใดที่ไม่ได้จัดทำเป็นลายลักษณ์อักษร จะสื่อสารผ่านการฝึกอบรมและเก็บบันทึกการฝึกอบรมไว้

3. ขอบเขต

นโยบายนี้ครอบคลุมทุกส่วนของ FoQusOne ได้แก่ ReportBuilder ระบบจัดทำรายงานประจำปี เว็บไซต์นักลงทุนสัมพันธ์ OneReport-S (การเปิดเผยข้อมูลความยั่งยืนและข้อมูลด้านสภาพภูมิอากาศตาม IFRS S2 รวมถึงการคำนวณก๊าซเรือนกระจก) การประเมิน ESG ผู้ช่วยวิจัย และคอนโซลผู้ดูแลระบบของควิดแลบ ตลอดจนโครงสร้างพื้นฐานคลาวด์ ที่จัดเก็บข้อมูล บริการอีเมล และคลังซอร์สโค้ดที่ระบบใช้ และข้อมูลของบุคคลภายนอกที่ FoQusOne ถือไว้ภายใต้สัญญาอนุญาต

4. การจัดชั้นข้อมูล

5. การแยกข้อมูลระหว่างลูกค้า

FoQusOne ให้บริการหลายบริษัทบนแพลตฟอร์มเดียว การแยกข้อมูลของแต่ละบริษัทจึงเป็นมาตรการแรก ไม่ใช่สิ่งที่เพิ่มภายหลัง การแยกนี้บังคับใช้ภายในเครื่องมือฐานข้อมูลเอง ด้วยการรักษาความปลอดภัยระดับแถว (row-level security) บนทุกตารางที่เก็บข้อมูลลูกค้า กฎนี้มีผลแม้กับบัญชีฐานข้อมูลของแอปพลิเคชันเอง ควบคุมทั้งการเขียนและการอ่าน และคำขอที่ไม่ระบุบริษัทจะไม่ได้รับข้อมูลใดเลย ความผิดพลาดในแอปพลิเคชันจึงไม่อาจแสดงข้อมูลของบริษัทหนึ่งให้อีกบริษัทหนึ่งเห็นได้

6. การควบคุมการเข้าถึง

• แต่ละบริษัทจัดการผู้ใช้ของตนเอง โดยมีบทบาทที่กำหนดไว้เก้าบทบาท และแต่ละบทบาทเห็นเฉพาะสิ่งที่จำเป็นต่องานของตน
• มีเพียงบริษัทเท่านั้นที่กำหนดผู้ดูแลระบบคนแรกได้ โดยระบบส่งรหัสใช้ครั้งเดียวไปยังอีเมลนักลงทุนสัมพันธ์ที่บริษัทลงทะเบียนไว้กับตลาดหลักทรัพย์ฯ และไม่ส่งไปยังที่อยู่อื่นใด สิทธิ์ที่ได้จากการยืนยันสิทธิ์เป็นสิทธิ์ชั่วคราวจนกว่าจะได้รับการยืนยัน และตรวจสอบข้อจำกัดนี้ในทุกคำขอ ไม่ใช่เฉพาะตอนเข้าสู่ระบบ
• สิทธิ์ของผู้สอบบัญชีภายนอกของบริษัทจำกัดไม่เกิน 90 วัน และสิ้นสุดโดยอัตโนมัติ
• เจ้าหน้าที่ควิดแลบใช้คอนโซลผู้ดูแลระบบที่แยกต่างหากและบัญชีแยกต่างหาก การยืนยันตัวตนสองขั้นตอนเป็นข้อบังคับสำหรับบัญชีเจ้าหน้าที่ทุกบัญชีโดยไม่มีข้อยกเว้น การเข้าถึงข้อมูลการทำงานของลูกค้าโดยเจ้าหน้าที่เป็นแบบอ่านอย่างเดียว และถูกบันทึกในบันทึกการตรวจสอบ
• ผู้ใช้ทุกคนดูรายการการเข้าสู่ระบบของตนและยุติรายการใดก็ได้ การเข้าสู่ระบบที่ถูกยุติจะใช้งานไม่ได้ตั้งแต่คำขอถัดไป
• บัญชีระบบและบัญชีบริการแยกกันในแต่ละสภาพแวดล้อม และมีสิทธิ์เพียงเท่าที่หน้าที่นั้นต้องใช้ ข้อมูลรับรองของระบบใช้งานจริงใช้ที่อื่นไม่ได้
• มีการทบทวนสิทธิ์การเข้าถึงของเจ้าหน้าที่เป็นระยะ และเพิกถอนเมื่อบุคคลเปลี่ยนบทบาทหรือพ้นจากงาน

7. รหัสผ่านและการยืนยันตัวตน

• รหัสผ่านต้องมีความยาวอย่างน้อย 8 ตัวอักษร และประกอบด้วยตัวพิมพ์ใหญ่ ตัวพิมพ์เล็ก ตัวเลข และอักขระพิเศษ โดยบังคับใช้ทุกครั้งที่สร้างหรือรีเซ็ตรหัสผ่าน
• รหัสผ่านถูกจัดเก็บเฉพาะในรูปแบบแฮชทางเดียว (bcrypt) และไม่เคยจัดเก็บในรูปแบบที่อ่านย้อนกลับได้
• ผู้ใช้พื้นที่ทำงานทุกคนใช้การยืนยันตัวตนสองขั้นตอนได้ และบริษัทกำหนดให้เป็นข้อบังคับสำหรับบทบาทใดก็ได้ รหัสยืนยันจำกัดจำนวนครั้งที่ลองได้
• เมื่อเข้าสู่ระบบไม่สำเร็จครบห้าครั้ง ไม่ว่าจากรหัสผ่านหรือรหัสยืนยันที่ไม่ถูกต้อง บัญชีจะถูกระงับการเข้าสู่ระบบเป็นเวลา 15 นาที และความพยายามที่ล้มเหลวซ้ำ ๆ จากที่อยู่เครือข่ายเดียวกันก็ถูกจำกัดในลักษณะเดียวกัน โดยมีผลกับบัญชีเจ้าหน้าที่ของควิดแลบด้วย
• รหัสใช้ครั้งเดียวหมดอายุภายใน 10 นาที และไม่ถูกส่งสำเนาให้ผู้ใดนอกจากผู้รับ

8. การเข้ารหัสข้อมูล

• การรับส่งข้อมูลทั้งหมดกับ FoQusOne เข้ารหัสด้วย TLS โดยใช้ใบรับรองที่ออกโดยผู้ให้บริการออกใบรับรองที่เชื่อถือได้และต่ออายุอัตโนมัติ ไม่ใช้ใบรับรองที่ลงนามด้วยตนเอง
• ข้อมูลในที่จัดเก็บบนคลาวด์และบนดิสก์ของเซิร์ฟเวอร์ถูกเข้ารหัสขณะจัดเก็บ

9. โครงสร้างพื้นฐานและเครือข่าย

• FoQusOne ทำงานบน Microsoft Azure ความมั่นคงปลอดภัยทางกายภาพและสภาพแวดล้อมของศูนย์ข้อมูลเป็นความรับผิดชอบของ Microsoft ภายใต้การรับรองของ Microsoft เอง ส่วนมาตรการของสำนักงานควิดแลบเป็นไปตามระบบบริหารจัดการของเรา (ข้อ 2)
• การรับส่งข้อมูลจากสาธารณะเข้าถึง FoQusOne ได้ผ่านบริการ edge ของ Azure เท่านั้น ฐานข้อมูลและบริการภายในเข้าถึงจากอินเทอร์เน็ตไม่ได้ และไม่เปิดบริการที่ไม่จำเป็น
• การดูแลเซิร์ฟเวอร์ทำผ่านการเชื่อมต่อที่เข้ารหัส โดยเจ้าหน้าที่ที่ระบุชื่อเท่านั้น

10. การปฏิบัติงานและการบริหารการเปลี่ยนแปลง

• ระบบใช้งานจริงและระบบทดสอบเป็นสภาพแวดล้อมที่แยกจากกัน แต่ละระบบมีเซิร์ฟเวอร์ ฐานข้อมูล ที่จัดเก็บข้อมูล ข้อมูลรับรอง และที่อยู่เว็บของตนเอง การพัฒนาและทดสอบไม่เคยทำบนระบบใช้งานจริง
• การเปลี่ยนแปลงทุกครั้งผ่านการทดสอบในสภาพแวดล้อมทดสอบก่อนขึ้นระบบใช้งานจริง และติดตั้งเมื่อเจ้าของผลิตภัณฑ์อนุมัติเท่านั้น และติดตั้งได้เฉพาะโค้ดที่ผ่านการตรวจทานและอยู่ในระบบควบคุมเวอร์ชัน
• ในสภาพแวดล้อมทดสอบ อีเมลขาออกส่งได้เฉพาะที่อยู่ของควิดแลบเอง การทดสอบจึงไม่อาจส่งข้อความถึงลูกค้าได้
• ขั้นตอนการปฏิบัติงานจัดทำเป็นเอกสาร และงานที่ตั้งเวลาไว้ได้รับการติดตามจากคอนโซลผู้ดูแลระบบ

11. การพัฒนาซอฟต์แวร์อย่างปลอดภัย

ซอฟต์แวร์พัฒนาตามแนวปฏิบัติการเขียนโค้ดอย่างปลอดภัยที่เป็นที่ยอมรับ รวมถึง OWASP Top 10:

• คำสั่งฐานข้อมูลใช้พารามิเตอร์ และตรวจสอบข้อมูลนำเข้าตามชนิดที่กำหนด
• ไม่ใส่ข้อมูลลับไว้ในซอร์สโค้ด
• รูปภาพที่อัปโหลดจำกัดเฉพาะรูปแบบภาพแรสเตอร์และไม่เกิน 5 MB ตั้งชื่อไฟล์โดยเซิร์ฟเวอร์ และปฏิเสธสคริปต์ในเนื้อหาที่อัปโหลด
• ส่วนประกอบซอฟต์แวร์ของบุคคลภายนอกต้องได้รับอนุมัติก่อนเพิ่ม และนำมาจากแหล่งที่เชื่อถือได้เท่านั้น
• การเปลี่ยนแปลงทุกครั้งผ่านการตรวจทานโดยบุคคลก่อนติดตั้ง หากใช้ผู้ช่วยเขียนโค้ดด้วยปัญญาประดิษฐ์ ผู้ช่วยนั้นทำงานภายใต้การกำกับของนักพัฒนาที่ระบุชื่อ ซึ่งตรวจทานและอนุมัติงานนั้น

12. ปัญญาประดิษฐ์

• ข้อความที่ร่างโดยปัญญาประดิษฐ์จะส่งออกหรือยื่นไม่ได้จนกว่าบุคคลจะอนุมัติ และการอนุมัตินั้นถูกบันทึกในบันทึกการตรวจสอบ
• การเรียกใช้แบบจำลองปัญญาประดิษฐ์ทุกครั้งถูกบันทึกและนับรวมในวงเงินค่าใช้จ่าย ซึ่งตรวจสอบก่อนการเรียกใช้
• เนื้อหาของลูกค้าที่ส่งไปยังผู้ให้บริการปัญญาประดิษฐ์และเงื่อนไขที่เกี่ยวข้อง อธิบายไว้ในข้อ 9 ของนโยบายความเป็นส่วนตัว

13. บันทึกและร่องรอยการตรวจสอบ

• การดำเนินการในพื้นที่ทำงานและคอนโซลผู้ดูแลระบบถูกบันทึกในบันทึกการตรวจสอบแบบเพิ่มได้อย่างเดียว ไม่มีการแก้ไขหรือลบ เพราะร่องรอยการตรวจสอบที่แก้ไขได้ย่อมไร้ค่าสำหรับผู้สอบบัญชีและหน่วยงานกำกับดูแลที่อาศัยข้อมูลนั้น
• บันทึกการเข้าถึงเซิร์ฟเวอร์เก็บไว้อย่างน้อย 90 วันตามพระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ พ.ศ. 2550 และลบบันทึกที่อาจระบุตัวบุคคลได้หลัง 90 วัน
• สถิติผู้เข้าชมเก็บโดยบริการที่เราติดตั้งเอง เฉพาะหน้าสาธารณะ ไม่มีการติดตามพื้นที่ทำงานและเว็บไซต์นักลงทุนสัมพันธ์ของลูกค้า

14. การสำรองข้อมูลและความต่อเนื่องทางธุรกิจ

• ฐานข้อมูลถูกสำรองทุกคืนโดยกระบวนการที่ไม่ขึ้นกับแอปพลิเคชัน เก็บไว้ 30 วัน และคัดลอกไปยังที่จัดเก็บแยกต่างหาก
• ข้อมูลสำรองกู้คืนและตรวจสอบได้ และมีการทดสอบการกู้คืนเป็นระยะ
• การสร้างบริการใหม่ทั้งหมดมีเอกสารกำกับ และสร้างฐานข้อมูลขึ้นใหม่ได้จากนิยามที่อยู่ในระบบควบคุมเวอร์ชันเพียงอย่างเดียว

15. ข้อมูลของบุคคลภายนอกและข้อมูลภายใต้สัญญาอนุญาต

ข้อมูลที่เราได้รับภายใต้สัญญาอนุญาต เช่น ข้อมูลของตลาดหลักทรัพย์ฯ และฐานข้อมูลค่าสัมประสิทธิ์การปล่อยก๊าซเรือนกระจก จะนำเข้าระบบเมื่อได้รับอนุญาตแล้วเท่านั้น ใช้เฉพาะตามวัตถุประสงค์ที่ได้รับอนุญาต และไม่เผยแพร่หรือส่งต่อเกินกว่าที่ได้รับอนุญาต และจะระบุชื่อผู้ให้ข้อมูลต่อสาธารณะเมื่อได้รับอนุญาตจากผู้ให้ข้อมูลเท่านั้น

16. ระยะเวลาการเก็บรักษาข้อมูล

ระยะเวลาการเก็บรักษาข้อมูลแต่ละประเภทกำหนดไว้ในข้อ 12 ของนโยบายความเป็นส่วนตัว และมีกระบวนการตามกำหนดเวลาที่ลบข้อมูลเมื่อครบระยะเวลา โดยสรุป เนื้อหาในพื้นที่ทำงานของบริษัทเก็บไว้ตลอดระยะเวลาการสมัครใช้บริการและอีก 90 วันหลังสิ้นสุด เว้นแต่บริษัทขอเป็นลายลักษณ์อักษรให้ใช้ระยะเวลาอื่น ส่วนบันทึกการตรวจสอบเก็บไว้อย่างถาวร

17. การบริหารจัดการช่องโหว่

ทีมความมั่นคงปลอดภัยสารสนเทศของควิดแลบประเมินช่องโหว่ของ FoQusOne อย่างน้อยปีละหนึ่งครั้ง และหลังการเปลี่ยนแปลงที่มีนัยสำคัญ ผลการประเมินจัดระดับด้วย Common Vulnerability Scoring System (CVSS) และแก้ไขตามลำดับความเสี่ยง ส่วนประกอบซอฟต์แวร์ได้รับการปรับปรุงให้เป็นปัจจุบัน

หากท่านพบช่องโหว่หรือข้อบกพร่องที่กระทบความมั่นคงปลอดภัย โปรดแจ้งเราที่ info@quidlab.com เราจะตอบรับและแจ้งความคืบหน้าให้ท่านทราบ

18. เหตุการณ์ด้านความมั่นคงปลอดภัย

ทุกคนแจ้งเหตุการณ์หรือจุดอ่อนด้านความมั่นคงปลอดภัยที่สงสัยได้ที่ info@quidlab.com ทุกรายงานได้รับการประเมิน ตอบสนอง และบันทึก และนำบทเรียนที่ได้มาป้องกันไม่ให้เกิดซ้ำ การละเมิดที่เกี่ยวข้องกับข้อมูลส่วนบุคคลจะแจ้งต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลและผู้ได้รับผลกระทบ ตามที่พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนด

19. การบริหารความเสี่ยงและการทบทวน

ความเสี่ยงด้านความมั่นคงปลอดภัยสารสนเทศได้รับการระบุ ประเมิน และจัดการ และบันทึกไว้ในทะเบียนความเสี่ยง นโยบายนี้และขั้นตอนที่เกี่ยวข้องได้รับการทบทวนอย่างน้อยปีละหนึ่งครั้ง และทุกครั้งที่กฎหมาย มาตรฐาน หรือบริการเปลี่ยนแปลงอย่างมีนัยสำคัญ หมายเลขเวอร์ชันและวันที่มีผลบังคับใช้ที่ด้านบนของหน้านี้แสดงฉบับปัจจุบันเสมอ

20. ติดต่อเรา

• แจ้งปัญหาความมั่นคงปลอดภัยและสอบถามทั่วไป — info@quidlab.com
• ข้อมูลส่วนบุคคลและคำร้องตาม PDPA — dpo@quidlab.com
• โทรศัพท์ — 02 013 4322
• บริษัท ควิดแลบ จำกัด 179/338 ซอยสุขุมวิท 39 (พร้อมพงษ์) ศุภาลัย เพลส อาคารบี แขวงคลองตันเหนือ เขตวัฒนา กรุงเทพมหานคร 10110