บริษัท ไออาร์พีซี จำกัด (มหาชน)
นโยบายการรักษาความมั่นคงปลอดภัยไซเบอร์ (Cyber Security Policy)
ฉบับปี พ.ศ. 2569

เพื่อให้ระบบสารสนเทศ การคุ้มครองข้อมูล สินทรัพย์ดิจิทัล เทคโนโลยีดิจิทัล และโครงสร้างพื้นฐานที่สำคัญด้านดิจิทัลของบริษัท ไออาร์พีซี จำกัด (มหาชน) มีการป้องกันภัยคุกคามทางไซเบอร์ และมีการบริหารจัดการความเสี่ยงด้านไซเบอร์อย่างมีประสิทธิภาพ เสริมสร้างความเชื่อมั่นของผู้มีส่วนได้ส่วนเสีย สนับสนุนความต่อเนื่องทางธุรกิจและเสริมสร้างศักยภาพในการแข่งขันอย่างยั่งยืน มีความสอดคล้องกับกรอบการดำเนินงานหรือแนวปฏิบัติที่เป็นมาตรฐานสากลด้านการรักษาความมั่นคงปลอดภัยด้านไซเบอร์ บริษัทฯ จึงกำหนดนโยบายการรักษาความมั่นคงปลอดภัยไซเบอร์นี้ขึ้น เพื่อใช้เป็นกรอบและแนวทางในการดำเนินงาน ดังต่อไปนี้

1. กำหนดโครงสร้างการกำกับดูแล บทบาท หน้าที่ และความรับผิดชอบด้านความมั่นคงปลอดภัยไซเบอร์อย่างชัดเจน พร้อมจัดสรรทรัพยากร กำหนดตัวชี้วัด และติดตามผลการดำเนินงานให้สอดคล้องกับเป้าหมายทางธุรกิจ และระดับความเสี่ยงขององค์กร

2. ปฏิบัติตามกฎหมาย ระเบียบ มาตรฐาน และข้อกำหนดด้านความมั่นคงปลอดภัยไซเบอร์ที่เกี่ยวข้อง พร้อมติดตามการเปลี่ยนแปลง และนำผลการประเมิน การตรวจสอบ และบทเรียนจากเหตุการณ์มาปรับปรุงมาตรการและการกำกับดูแลอย่างต่อเนื่อง

3. กำหนดให้มีการระบุ ประเมิน ติดตาม และบริหารจัดการความเสี่ยงด้านไซเบอร์อย่างเป็นระบบโดยใช้แนวทางที่สอดคล้องกับระดับความเสี่ยง (Risk-based Approach) เพื่อป้องกัน ลดผลกระทบ และเสริมสร้างความยืดหยุ่นในการดำเนินธุรกิจ

4. จัดให้มีการเฝ้าระวัง ตรวจจับ วิเคราะห์ รายงาน และตอบสนองต่อเหตุการณ์ด้านความมั่นคงปลอดภัยไซเบอร์อย่างทันท่วงที พร้อมดำเนินการควบคุม แก้ไข ฟื้นฟู และทบทวนบทเรียนจากเหตุการณ์ เพื่อยกระดับประสิทธิภาพในการรับมืออย่างต่อเนื่อง

5. จัดให้มีแผนความต่อเนื่องทางธุรกิจ แผนกู้คืนระบบสารสนเทศ และการบริหารภาวะวิกฤติด้านไซเบอร์ พร้อมทั้งทดสอบ ฝึกซ้อม ทบทวน และปรับปรุงแผนอย่างสม่ำเสมอ เพื่อให้สามารถรองรับเหตุการณ์ที่อาจส่งผลกระทบต่อการดำเนินธุรกิจได้อย่างมีประสิทธิภาพ

6. กำหนดมาตรการคุ้มครองข้อมูล ระบบสารสนเทศ และสินทรัพย์ดิจิทัล โดยให้มีการจำแนกข้อมูล การควบคุมสิทธิการเข้าถึงตามหลักความจำเป็นในการรับรู้ (Need-to-Know) และหลักสิทธิขั้นต่ำที่จำเป็น (Least Privilege) รวมถึงการยืนยันตัวตน และการใช้มาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อรักษาความลับ ความถูกต้องครบถ้วน และความพร้อมใช้งานของข้อมูล

7. บูรณาการข้อกำหนดด้านความมั่นคงปลอดภัยไซเบอร์ในทุกช่วงของการพัฒนา การจัดหา การปรับปรุง และการให้บริการระบบสารสนเทศ เทคโนโลยีดิจิทัล ระบบควบคุมอุตสาหกรรม (OT) ระบบคลาวด์ อุปกรณ์เชื่อมต่อ (IoT) และเทคโนโลยีเกิดใหม่ ตามหลัก Security by Design และ Secure by Default

8. ให้มีการติดตาม วิเคราะห์ และประยุกต์ใช้ข้อมูลข่าวกรองด้านภัยคุกคามไซเบอร์ (Cyber Threat Intelligence) เพื่อยกระดับขีดความสามารถในการป้องกัน ตรวจจับ และรับมือกับภัยคุกคามที่เปลี่ยนแปลงอย่างต่อเนื่อง

9. กำหนดให้มีการประเมิน ติดตาม และกำกับดูแลความมั่นคงปลอดภัยไซเบอร์ของผู้ให้บริการ คู่ค้า ผู้รับเหมา และบุคคลภายนอกที่เกี่ยวข้อง เพื่อให้มั่นใจว่ามีมาตรการควบคุมและการบริหารความเสี่ยงที่สอดคล้องกับข้อกำหนดขององค์กรตลอดห่วงโซ่อุปทาน

10. ส่งเสริมวัฒนธรรมความมั่นคงปลอดภัยไซเบอร์ โดยพัฒนาองค์ความรู้ ความตระหนัก และทักษะของกรรมการ ผู้บริหาร พนักงาน และผู้เกี่ยวข้อง ผ่านการสื่อสาร การฝึกอบรม และการพัฒนาศักยภาพอย่างต่อเนื่อง เพื่อให้ทุกคนมีส่วนร่วมในการบริหารจัดการความเสี่ยงด้านไซเบอร์อย่างมีความรับผิดชอบ

11. ให้มีการติดตาม ตรวจสอบ ประเมินผล และทบทวนประสิทธิผลของระบบการบริหารการรักษาความมั่นคงปลอดภัยไซเบอร์อย่างสม่ำเสมอ เพื่อยกระดับความสามารถในการป้องกันและรับมือกับภัยคุกคามที่เปลี่ยนแปลงไป และสนับสนุนการพัฒนาองค์กรอย่างยั่งยืน

นโยบายฉบับนี้ให้ใช้บังคับกับทุกหน่วยงานของบริษัท ไออาร์พีซี จำกัด (มหาชน) และบริษัทในกลุ่มไออาร์พีซี ตลอดจนผู้บริหาร พนักงาน คู่ค้า คู่ธุรกิจ ผู้รับเหมา ผู้ให้บริการ และผู้เกี่ยวข้องที่เข้าถึงข้อมูล ระบบสารสนเทศ หรือสินทรัพย์ดิจิทัลของบริษัทฯ ซึ่งต้องยึดถือ ปฏิบัติตาม และเป็นแบบอย่างที่ดี สอดคล้องกับหลักการกำกับดูแลกิจการที่ดี การบริหารความเสี่ยง และการพัฒนาองค์กรอย่างยั่งยืน

ประกาศและให้มีผลบังคับใช้ตั้งแต่วันที่ 15 กันยายน 2569

(ผศ.ดร.ชัยพร ภู่ประเสริฐ)
ประธานกรรมการ

หมายเหตุ: อนุมัติตามมติคณะกรรมการบริษัทฯ ครั้งที่ 10/2569 เมื่อวันที่ 21 กรกฎาคม 2569