ความปลอดภัยของเทคโนโลยีสารสนเทศและความเป็นส่วนตัวของข้อมูล
เป้าหมายที่ 9:
เป้าหมายที่ 16:
แนวทางการจัดการและแนวปฏิบัติ
บริษัทได้แต่งตั้งคณะทำงานกำกับดูแลการรักษาความปลอดภัยด้านข้อมูลสารสนเทศ (Information Security Management Committee) เพื่อทำหน้าที่ดูแลและบริหารจัดการในด้านความปลอดภัยของเทคโนโลยีสารสนเทศ
โดยมีผู้บริหารในตำแหน่งผู้อำนวยการ ฝ่ายเทคโนโลยีสารสนเทศและพัฒนาระบบ ซึ่งเป็นผู้แทนฝ่ายบริหารด้านความปลอดภัยข้อมูลสารสนเทศ เป็นประธานคณะทำงานฯ คณะทำงานกำกับดูแลการรักษาความปลอดภัยด้านข้อมูลสารสนเทศ จะมีการนำเสนอผลการดำเนินงานผ่านผู้แทนฝ่ายบริหารด้านความปลอดภัยข้อมูลสารสนเทศไปยัง (1) คณะกรรมการระบบบริหารคุณภาพ ซึ่งมีผู้บริหารระดับสูงของบริษัท (C-Level) ประกอบด้วย กรรมการ ผู้จัดการและรองกรรมการผู้จัดการ ปฏิบัติการและวิศวกรรมระบบราง รองกรรมการผู้จัดการ พัฒนาธุรกิจและปฏิบัติการทางพิเศษ รองกรรมการผู้จัดการ บริหาร เป็นประธานคณะกรรมการและกรรมการ ตามลำดับ และ (2) คณะกรรมการด้านความปลอดภัย ซึ่งมีผู้บริหารในตำแหน่งผู้ช่วยกรรมการผู้จัดการที่เกี่ยวข้องเป็นสมาชิก ทั้งนี้ คณะกรรมการระบบบริหารคุณภาพจะมีการทบทวนและรายงานประเด็นสำคัญที่เกี่ยวข้องกับการรักษาความปลอดภัยด้านข้อมูลสารสนเทศไปยังคณะกรรมการบรรษัทภิบาล บริหารความเสี่ยง และการพัฒนาอย่างยั่งยืน เป็นประจำทุกปี
ผลกระทบต่อธุรกิจและผู้มีส่วนได้เสีย
เทคโนโลยีได้ถูกใช้ในการขับเคลื่อนธุรกิจเพิ่มมากขึ้น ซึ่งตามมาด้วยความเสี่ยงจากภัยคุกคามต่อระบบสารสนเทศที่สูงขึ้น ดังนั้น การโจมตีระบบสารสนเทศจากภายนอกอาจส่งผลให้ระบบการให้บริการของบริษัทหยุดชะงักจนสร้างความเสียหายต่อการดำเนินธุรกิจ ชื่อเสียงและความน่าเชื่อถือ นอกจากนี้ กรณีการรั่วไหลของข้อมูลสำคัญ หรือข้อมูลส่วนบุคคลของลูกค้า คู่ค้า และพนักงานอาจเป็นการละเมิดสิทธิขั้นพื้นฐานความเป็นส่วนตัว (Privacy Rights) จนทำลายความเชื่อมั่นของผู้มีส่วนได้เสีย รวมถึงอาจนำไปสู่การฟ้องร้องต่อหน่วยงานกำกับดูแล และอาจส่งผลกระทบต่อความเชื่อมั่นของนักลงทุนในระยะยาวอีกด้วย
ความมุ่งมั่น ความท้าทาย และโอกาส
บริษัทให้ความสำคัญกับการกำกับดูแลเทคโนโลยีสารสนเทศและความเป็นส่วนตัวของข้อมูลเพื่อสนับสนุนการปฏิบัติงานภายในบริษัทและการขยายบริการผ่านระบบดิจิทัล
โดยบริษัทได้พัฒนาระบบเทคโนโลยีสารสนเทศให้มีความปลอดภัยและสอดคล้องตามมาตรฐานสากล ISO/IEC 27001 และได้ลงทุนเพื่อพัฒนาโครงสร้างพื้นฐานของระบบให้มีประสิทธิภาพมากยิ่งขึ้น เพื่อรองรับการใช้งานระบบที่จะเพิ่มขึ้นในอนาคต อีกทั้งจัดทำแผนรับมือการถูกโจมตีทางไซเบอร์ (Cyber Attack) ด้วยการควบคุมการเข้ารหัสข้อมูล (Cryptographic Control) และการทดสอบระบบต่างๆ เพื่อยกระดับความปลอดภัยด้านเทคโนโลยีสารสนเทศ ระบบเทคโนโลยีสารสนเทศที่ปลอดภัยและมั่นคงยังช่วยคุ้มครองความเป็นส่วนตัวของผู้มีส่วนได้เสียจากการรั่วไหลของข้อมูลส่วนบุคคลอีกด้วย ที่สำคัญบริษัทได้กำหนดแนวปฏิบัติในการปฏิบัติงานที่เกี่ยวข้องกับข้อมูลส่วนบุคคลให้สอดคล้องตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
เป้าหมายและดัชนีชี้วัดผลการดำเนินงาน
บริษัทกำหนดเป้าหมายไม่ให้เกิดการละเมิดระบบความปลอดภัยของเทคโนโลยีสารสนเทศ โดยมุ่งเน้นไม่ให้เกิดเหตุการณ์ที่ส่งผลกระทบต่อลูกค้าและพนักงานหรือผู้มีส่วนได้เสีย รวมถึงกำหนดเป้าหมายไม่ให้เกิดกรณีการร้องเรียนเรื่องการละเมิดข้อมูลส่วนบุคคลของลูกค้าที่ได้รับการยืนยัน และไม่ให้เกิดกรณีการร้องเรียนจากองค์กรภายนอกและหน่วยงานภาครัฐ
การละเมิดระบบความปลอดภัยของเทคโนโลยีสารสนเทศ
เป้าหมาย
ผลการดำเนินงานปี 2568
ลูกค้า และพนักงาน หรือผู้มีส่วนได้เสียที่ได้รับผลกระทบ
เป้าหมาย
ผลการดำเนินงานปี 2568
การร้องเรียนโดยลูกค้าที่ได้รับการยืนยัน
เป้าหมาย
ผลการดำเนินงานปี 2568
การร้องเรียนโดยองค์กรภายนอก
เป้าหมาย
ผลการดำเนินงานปี 2568
การร้องเรียนโดยหน่วยงานภาครัฐ
เป้าหมาย
ผลการดำเนินงานปี 2568
หมายเหตุ: 1/ ตรวจพบการโจมตีทางไซเบอร์ 1 กรณีในปี 2568 แต่บริษัทสามารถควบคุมไว้ได้ และไม่ส่งผลกระทบต่อการให้บริการ หรือการรั่วไหลของข้อมูลส่วนบุคคล
นโยบายและแนวปฏิบัติ
ด้านความปลอดภัยของเทคโนโลยีสารสนเทศ
บริษัทประกาศนโยบายความมั่นคงปลอดภัยระบบสารสนเทศและจัดทำคู่มือการรักษาความปลอดภัยของเทคโนโลยีสารสนเทศเพื่อเป็นแนวทางปฏิบัติให้กับพนักงาน ผู้ดูแลระบบ และบุคคลภายนอก ที่่ปฏิบัติงานภายใต้การดำเนินงานของบริษัท ทั้งนี้ บริษัทจัดให้มีการดำเนินการตรวจสอบและทบทวนนโยบายอย่างน้อย 1 ครั้งต่อปี
บริษัทได้แต่งตั้งคณะกรรมการกำกับดูแลการรักษาความปลอดภัยด้านข้อมูลสารสนเทศ (Information Security Management Committee) เพื่อทำหน้าที่ดูแลและบริหารจัดการในด้านความปลอดภัยของเทคโนโลยีสารสนเทศ โดยมีผู้บริหารในตำแหน่งผู้ช่วยกรรมการผู้จัดการ งานเทคโนโลยีและสารสนเทศ เป็นผู้แทนฝ่ายบริหารด้านความปลอดภัยข้อมูลสารสนเทศ เป็นประธานคณะกรรมการฯ โดยจะมีการทบทวนและรายงานประเด็นสำคัญที่เกี่ยวข้องกับการรักษาความปลอดภัยด้านข้อมูลสารสนเทศต่อคณะกรรมการบรรษัทภิบาล บริหารความเสี่ยง และการพัฒนาอย่างยั่งยืน เป็นประจำทุกปี เพื่อให้มั่นใจว่ามาตรการด้านความปลอดภัยระบบสารสนเทศของบริษัทมีความทันสมัยและสอดคล้องกับมาตรฐานสากลอยู่เสมอ
ด้านการคุ้มครองข้อมูลส่วนบุคคล
บริษัทแต่งตั้งคณะทำงานด้านการคุ้มครองข้อมูลส่วนบุคคล (Personal Data Protection Committee) อยู่ภายใต้กำกับดูแลของรองกรรมการผู้จัดการ บริหาร ซึ่งได้รับการแต่งตั้งให้เป็นประธานคณะทำงานด้านการคุ้มครองข้อมูลส่วนบุคคล และเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (Data Protection Officer: DPO) เพื่อทำหน้าที่หลักในการกำหนดหรือทบทวนนโยบายและแนวปฏิบัติด้านการคุ้มครองข้อมูลส่วนบุคคล และติดตามผลการดำเนินงานอย่างต่อเนื่อง
บริษัทจัดทำนโยบายและแนวปฏิบัติด้านการคุ้มครองข้อมูลส่วนบุคคลเพื่อให้การดำเนินงานเป็นไปตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และได้สื่อสารนโยบายและแนวปฏิบัตินี้ให้กับพนักงานทุกคนเพื่อรับทราบและปฏิบัติตามอย่างเคร่งครัด อีกทั้งได้เผยแพร่สู่ผู้มีส่วนได้เสียภายนอกองค์กรผ่านศูนย์ข้อมูลส่วนบุคคล (Privacy Data Center) บนเว็บไซต์ของบริษัท ในกรณีที่พบการละเมิดนโยบายและแนวปฏิบัติดังกล่าวของพนักงาน นอกจากผู้ละเมิดจะได้รับโทษตามกฎหมายแล้ว บริษัทอาจดำเนินมาตรการทางวินัยตามระเบียบข้อบังคับของบริษัท อาทิ การเตือนด้วยวาจา หรือแบบเป็นลายลักษณ์อักษร จนถึงการไล่ออก การปลดออก หรือการเลิกจ้างโดยไม่ต้องจ่ายค่าชดเชยตามที่ระบุไว้ในข้อกฎหมาย
บทบาทของการบริหารจัดการความปลอดภัยของเทคโนโลยีสารสนเทศและการคุ้มครองข้อมูลส่วนบุคคลต่อกรอบการดำเนินงานด้าน ESG
ด้านสิ่งแวดล้อม
ลดการใช้ทรัพยากรและพลังงาน
บริษัทส่งเสริมการปรับปรุงโครงสร้างพื้นฐานโดยเปลี่ยนจากการใช้งานเซิร์ฟเวอร์ ที่เป็นระบบออนพรีมิส (On-premise) ภายในบริษัท ไปสู่ระบบคลาวด์ (Cloud Computing) เพื่อลดความซ้ำซ้อนของฮาร์ดแวร์ ช่วยลดปริมาณขยะอิเล็กทรอนิกส์ (E-waste) และลดภาระการใช้พลังงานของระบบระบายความร้อน ซึ่งเป็นการใช้ทรัพยากรอย่างคุ้มค่า
สนับสนุนการทำงานแบบดิจิทัลและการทำงานระยะไกล
บริษัทส่งเสริมการทำงานแบบดิจิทัล (Digital Workplace) โดยพัฒนาระบบเพื่อรองรับการเข้าถึงข้อมูลและแอปพลิเคชันจากระยะไกล (Remote Work) ผ่านระบบ Cloud เพื่อให้พนักงานสามารถปฏิบัติงานได้อย่างยืดหยุ่นไร้ข้อจำกัดเรื่องสถานที่ แต่ยังคงไว้ซึ่งความปลอดภัยของข้อมูลตามมาตรฐานสากล ลดความจำเป็นในการเดินทางและลดการปล่อยก๊าซเรือนกระจก
ลดการใช้ฮาร์ดแวร์ซ้ำซ้อน
บริษัทมุ่งเน้นการลดความซ้ำซ้อนของฮาร์ดแวร์ (Hardware Redundancy) โดยการย้ายฐานข้อมูลและระบบประมวลผลจากเซิร์ฟเวอร์ On-premise ไปสู่การบริหารจัดการทรัพยากรบนระบบคลาวด์แบบรวมศูนย์ (Centralized Cloud Management) ซึ่งช่วยให้การใช้ทรัพยากรประมวลผลและอุปกรณ์จัดเก็บข้อมูลเป็นไปอย่างมีประสิทธิภาพสูงสุด ลดภาระการดูแลรักษา และประหยัดงบประมาณในระยะยาว
ด้านสังคม
คุ้มครองข้อมูลส่วนบุคคลของพนักงานและลูกค้า
บริษัทส่งเสริมการพัฒนาและประยุกต์ใช้เทคโนโลยีด้านความปลอดภัยไซเบอร์ขั้นสูงบนอุปกรณ์ปลายทาง (Endpoint Detection and Response: EDR) เพื่อเฝ้าระวัง ตรวจจับ และตอบโต้ภัยคุกคามทางไซเบอร์ที่อาจส่งผลกระทบต่อระบบและข้อมูลสำคัญได้อย่างทันท่วงที
เสริมสร้างความมั่นใจในการใช้งานระบบ
บริษัทส่งเสริมการวางรากฐานระบบจัดการการเข้าถึงที่เข้มงวดควบคู่กับการใช้เทคโนโลยีที่ทันสมัย เพื่อสร้างสภาพแวดล้อมการทำงานที่ปลอดภัย (Safe Digital Space) และสนับสนุนให้เกิดวัฒนธรรมการใช้งานเทคโนโลยีอย่างรับผิดชอบและปลอดภัย
ส่งเสริมความเท่าเทียมในการเข้าถึงระบบ
บริษัทส่งเสริมการพัฒนาระบบการเข้าถึงที่ใช้งานง่ายและรองรับความหลากหลายของผู้ใช้งาน ช่วยให้มั่นใจได้ว่าผู้ใช้งานทุกกลุ่ม รวมถึงกลุ่มเปราะบางหรือผู้มีทักษะดิจิทัลที่แตกต่างกัน สามารถเข้าใช้งานระบบได้อย่างสะดวกและปลอดภัย ลดช่องว่างในการเข้าถึงเทคโนโลยีสารสนเทศภายในบริษัท ช่วยให้การเข้าถึงข้อมูลเป็นไปตามบทบาทหน้าที่ความรับผิดชอบของผู้ใช้งานอย่างเหมาะสม
ด้านบรรษัทภิบาล
เสริมสร้างความโปร่งใสและความสามารถในการตรวจสอบได้
บริษัทส่งเสริมความโปร่งใสและความสามารถในการตรวจสอบได้ (Transparency and Accountability) ตามหลักธรรมาภิบาลดิจิทัล โดยการประยุกต์ใช้ระบบจัดการสิทธิ์ตามบทบาทหน้าที่ (Role-Based Access Control: RBAC) และหลักการสิทธิ์ขั้นต่ำ (Least Privilege) ช่วยให้บริษัทสามารถระบุตัวตนและขอบเขตการเข้าถึงข้อมูลส่วนบุคคลของพนักงานและลูกค้าได้อย่างชัดเจน ซึ่งเมื่อทำงานร่วมกับระบบ EDR จะช่วยให้การบันทึกและติดตามพฤติกรรมการใช้งานระบบ (Audit Log) มีความละเอียดและแม่นยำสูง สามารถตรวจสอบย้อนหลังได้ทันทีหากเกิดเหตุผิดปกติ ส่งผลให้กระบวนการตัดสินใจและการดำเนินงานของบริษัทมีความน่าเชื่อถือและสอดคล้องกับมาตรฐานการกำกับดูแลที่ดีในระดับสากล
ลดความเสี่ยงด้านไซเบอร์
บริษัทมุ่งเน้นการลดความเสี่ยง เพื่อช่วยลดโอกาสและผลกระทบจากการโจมตีทางไซเบอร์ การรั่วไหลของข้อมูล และการหยุดชะงักของระบบที่อาจกระทบต่อการดำเนินธุรกิจ
สนับสนุนการปฏิบัติตามมาตรฐานสากลและกฎหมายที่เกี่ยวข้อง
บริษัทส่งเสริมการดำเนินงานให้สอดคล้องกับกฎหมายและมาตรฐานที่เกี่ยวข้อง เช่น พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล (PDPA) และ ISO/IEC 27001 ช่วยลดความเสี่ยงด้านกฎหมายและค่าปรับ เสริมสร้างความน่าเชื่อถือของบริษัท และยกระดับการกำกับดูแลข้อมูลให้เป็นไปตามแนวปฏิบัติสากล
การบริหารจัดการความปลอดภัยสารสนเทศและข้อมูลส่วนบุคคลจึงเป็นส่วนหนึ่งของการสนับสนุนการดำเนินงานด้านสิ่งแวดล้อม สังคมและบรรษัทภิบาลขององค์กร ควบคู่กับการเสริมสร้างประสิทธิภาพและความรับผิดชอบในการดำเนินงานอย่างต่อเนื่อง
การดำเนินงานด้านความปลอดภัยของเทคโนโลยีสารสนเทศและความเป็นส่วนตัวของข้อมูล
ในปี 2568 บริษัทดำเนินงานในการยกระดับความปลอดภัยด้านเทคโนโลยีสารสนเทศอย่างต่อเนื่อง อาทิ การประยุกต์ใช้เทคโนโลยีด้านความปลอดภัยไซเบอร์ขั้นสูงบนอุปกรณ์ปลายทาง (Endpoint Detection and Response: EDR) และการดำเนินมาตรการควบคุมที่เกี่ยวข้องกับระบบ อุปกรณ์ และการเชื่อมต่อเครือข่าย เพื่อบริหารจัดการความเสี่ยงจากภัยคุกคามทางไซเบอร์ สร้างความเชื่อมั่นในการดำเนินงานของบริษัทในยุคดิจิทัล และสนับสนุนความต่อเนื่องในการดำเนินงาน
การเฝ้าระวัง ติดตาม และตรวจสอบ โดยการใช้เทคโนโลยีด้านความปลอดภัยบนอุปกรณ์ปลายทาง (EDR)
มาตรการควบคุมการเข้าถึงข้อมูลและระบบ
-
มาตรการควบคุมการเข้าถึงในเชิงกายภาพ (Physical Security & Privacy Control) บริษัทดำเนินมาตรการควบคุมการเข้าถึงพื้นที่จัดเก็บอุปกรณ์สารสนเทศและศูนย์ข้อมูลอย่างเคร่งครัด เพื่อป้องกันการเข้าถึงข้อมูลโดยไม่ได้รับอนุญาตในการเข้าถึงพื้นที่ปฏิบัติงานผ่านระบบพิสูจน์ตัวตนที่เป็นมาตรฐานเดียวกันทั่วทั้งบริษัท โดยการปกป้องโครงสร้างพื้นฐานทางเทคโนโลยี เป็นการรักษาความปลอดภัยให้กับข้อมูลส่วนบุคคลที่จัดเก็บในรูปแบบเอกสารและอุปกรณ์อิเล็กทรอนิกส์ ซึ่งช่วยเสริมสร้างความมั่นใจในการใช้งานระบบให้แก่พนักงานและผู้มีส่วนได้เสีย
-
การบริหารจัดการสิทธิ์และเทคโนโลยีป้องกันภัยคุกคาม (Systemic Security & Data Privacy) บริษัทประยุกต์ใช้การจัดการสิทธิ์ตามบทบาทหน้าที่ (RBAC) ควบคู่กับหลักการสิทธิ์ขั้นต่ำ (Least Privilege) เพื่อให้มั่นใจว่าการเข้าถึงข้อมูลส่วนบุคคลของพนักงานและลูกค้าเป็นไปตามความจำเป็นเท่านั้น เพื่อช่วยลดความเสี่ยงจากการรั่วไหลของข้อมูลและสร้างความเชื่อมั่นในธรรมาภิบาลดิจิทัลของบริษัท
การบริหารจัดการโครงสร้างพื้นฐานด้านเครือข่าย
การวิเคราะห์ การประเมิน และทดสอบด้านความมั่นคงปลอดภัยสารสนเทศ
บริษัทให้ความสำคัญกับการวิเคราะห์ การประเมิน และทดสอบด้านความมั่นคงปลอดภัยสารสนเทศอย่างสม่ำเสมอ โดยครอบคลุมทั้งการประเมินช่องโหว่ (Vulnerability Assessment) และการทดสอบเจาะระบบ (Penetration Testing) ในระบบที่สำคัญ โดยแนวทางการวิเคราะห์เชิงรุก ช่วยเพิ่มความมั่นใจว่าระบบรักษาความปลอดภัยของบริษัทมีประสิทธิภาพอย่างสม่ำเสมอ
นอกจากนี้ บริษัทได้ดำเนินการทดสอบฝึกซ้อมรับมือการโจมตีแบบฟิชชิ่ง (Phishing Drill) โดยจำลองสถานการณ์การโจมตีการหลอกลวงทางอินเตอร์เน็ตผ่านอีเมลภายในบริษัท เพื่อเสริมสร้างความตระหนักรู้ด้านความมั่นคงปลอดภัยสารสนเทศ (Cyber Security Awareness) และประเมินความพร้อมของพนักงานในการรับมือกับการโจมตีจากอีเมลหลอกลวง ทั้งนี้ผลการดำเนินงานถูกนำไปใช้ในการปรับปรุงมาตรการ ลดความเสี่ยง และเพิ่มขีดความสามารถในการจัดการกับอีเมลหลอกลวงอย่างต่อเนื่อง
การฝึกซ้อมจัดการเหตุการณ์การโจมตีทางไซเบอร์
การรับรองมาตรฐาน
ในปี 2568 บริษัทดำเนินงานด้านความปลอดภัยของเทคโนโลยีสารสนเทศและความเป็นส่วนตัวของข้อมูลอย่างต่อเนื่อง โดยมีการรับรองมาตรฐาน ISO/IEC 27001:2022 ในระบบต่าง ๆ ของธุรกิจทางพิเศษและธุรกิจระบบราง อาทิ ระบบศูนย์ข้อมูล ระบบเซิร์ฟเวอร์ ระบบเครือข่าย ระบบเก็บค่าผ่านทางพิเศษ ระบบควบคุมจราจรอัจฉริยะ และระบบโครงสร้างพื้นฐานของสำนักงานหลังบ้าน (Infrastructure IT Back Office ’s IT) ทั้งนี้ระบบที่ได้รับการรับรองคิดเป็น 40% ของระบบทั้งหมด
ธุรกิจรถไฟฟ้า
ธุรกิจทางพิเศษ
