นโยบายการประเมินและรับรองความรู้ด้านความมั่นคงปลอดภัยไซเบอร์ระดับองค์กร

FORTSECURE GLOBAL CO., LTD.

1. วัตถุประสงค์ (Purpose)

นโยบายฉบับนี้จัดทำขึ้นเพื่อกำหนดหลักเกณฑ์และแนวทางในการดำเนินโครงการประเมินและรับรองผลสัมฤทธิ์ด้านความรู้และความตระหนักรู้เกี่ยวกับความมั่นคงปลอดภัยไซเบอร์ระดับองค์กร (Organizational Cybersecurity Awareness Knowledge Assessment and Certification) ภายใต้การดำเนินงานของ FortSecure Global

โครงการมีวัตถุประสงค์ดังต่อไปนี้

1. ส่งเสริมให้องค์กรตระหนักถึงความสำคัญของความรู้พื้นฐานด้านความมั่นคงปลอดภัยไซเบอร์ของบุคลากร

2. จัดให้มีระบบการประเมินความรู้ด้าน Cybersecurity Awareness ที่มีหลักเกณฑ์และกระบวนการประเมินเป็นมาตรฐานเดียวกัน

3. ประเมินความรู้และความเข้าใจของบุคลากรผ่านการสอบวัดผลตามขอบข่ายที่กำหนด

4. ให้การรับรองผลสัมฤทธิ์ขององค์กรที่มีบุคลากรผ่านการประเมินตามเกณฑ์ที่กำหนด

5. สร้างหลักฐานการประเมินที่สามารถตรวจสอบย้อนกลับได้

6. สนับสนุนให้องค์กรนำผลการประเมินไปใช้ในการบริหารความเสี่ยงด้านบุคลากรและการสร้างวัฒนธรรมความมั่นคงปลอดภัยไซเบอร์

การรับรองภายใต้โครงการนี้เป็นการรับรองผลการประเมินความรู้ตามเกณฑ์ของ FortSecure Global เท่านั้น มิใช่การรับรองระบบบริหารจัดการความมั่นคงปลอดภัยสารสนเทศ หรือการรับรองความสอดคล้องตามมาตรฐาน ISO/IEC 27001

2. ขอบเขตและการบังคับใช้ (Scope and Applicability)

นโยบายฉบับนี้ใช้บังคับกับ

• FortSecure Global ในฐานะผู้บริหารโครงการ ผู้จัดสอบ ผู้ประเมินผล และผู้ออกใบรับรอง

• องค์กรภายนอกที่สมัครเข้าร่วมโครงการ

• บุคลากรขององค์กรที่สมัครเข้าร่วมการสอบวัดความรู้

• ผู้รับผิดชอบการบริหารการสอบ ผู้ทบทวนผลการประเมิน และผู้มีอำนาจอนุมัติการออกใบรับรอง

• กิจกรรมที่เกี่ยวข้องกับการออก การใช้ การตรวจสอบ การพักใช้ และการเพิกถอนใบรับรอง

• การรับรองครอบคลุมเฉพาะบุคลากรและหน่วยงานที่ระบุไว้ในขอบข่ายการประเมินเท่านั้น

3. หลักการดำเนินโครงการ (Program Principles)

FortSecure Global กำหนดหลักการดำเนินโครงการดังต่อไปนี้

3.1 Examination-Based Assessment

โครงการใช้การสอบวัดความรู้เป็นวิธีการประเมินหลัก โดยไม่กำหนดให้ผู้สมัครหรือบุคลากรต้องเข้ารับการอบรมก่อนเข้าสอบ

3.2 Objectivity and Fairness

การประเมินต้องเป็นไปอย่างเป็นธรรม โปร่งใส และใช้เกณฑ์การตัดสินที่กำหนดไว้ล่วงหน้า โดยไม่เลือกปฏิบัติต่อองค์กรหรือผู้เข้าสอบ

3.3 Assessment Integrity

FortSecure Global ต้องกำหนดมาตรการรักษาความถูกต้องและความน่าเชื่อถือของกระบวนการสอบ รวมถึงการป้องกันการทุจริต การเปิดเผยข้อสอบ และการแอบอ้างตัวตน

3.4 Evidence-Based Certification

การออกใบรับรองต้องอาศัยหลักฐานผลการสอบและผลการประเมินระดับองค์กรที่ตรวจสอบได้

3.5 Transparency

องค์กรที่สมัครต้องได้รับทราบขอบข่ายการสอบ เกณฑ์ผ่าน เงื่อนไขการออกใบรับรอง และข้อจำกัดของการรับรองก่อนสมัครเข้าร่วมโครงการ

3.6 Independence of Assessment Decisions

ผู้อนุมัติการออกใบรับรองต้องทบทวนผลการประเมินตามเกณฑ์ที่กำหนด และต้องไม่อนุมัติผลโดยอาศัยเหตุผลทางการค้าเพียงอย่างเดียว

4. คุณสมบัติขององค์กรที่สมัคร (Organizational Eligibility)

องค์กรที่ประสงค์ขอรับการประเมินต้องปฏิบัติตามข้อกำหนดดังต่อไปนี้

1. เป็นองค์กรที่มีตัวตนและสามารถตรวจสอบข้อมูลการดำเนินงานได้

2. แต่งตั้งผู้ประสานงานที่มีอำนาจดำเนินการแทนองค์กร

3. แจ้งจำนวนบุคลากรและกำหนดขอบข่ายการประเมินก่อนเริ่มดำเนินการสอบ

4. ยืนยันความถูกต้องของรายชื่อผู้เข้าสอบ

5. ยอมรับหลักเกณฑ์การสอบ การประเมินผล และเงื่อนไขการออกใบรับรองของ FortSecure Global

6. ให้ความร่วมมือในการตรวจสอบความถูกต้องของข้อมูลและผลการประเมิน

องค์กรสามารถสมัครเพื่อประเมินบุคลากรทั้งองค์กร หรือเฉพาะหน่วยงานที่กำหนดได้ โดยขอบข่ายดังกล่าวต้องได้รับการบันทึกและระบุอย่างชัดเจนในผลการรับรอง

5. ขอบข่ายความรู้ที่ประเมิน (Assessment Domains)

การประเมินประกอบด้วยขอบข่ายความรู้ 6 ด้าน ดังต่อไปนี้

Domain	Assessment Area	Weight
1	Cybersecurity Fundamentals and Cyber Threats	15%
2	Password Security and Authentication	15%
3	Phishing and Social Engineering	20%
4	Data Protection and Privacy Awareness	20%
5	Device, Network and Remote Work Security	15%
6	Security Incident Identification and Reporting	15%
	Total	100%

FortSecure Global อาจทบทวนขอบข่ายการสอบเมื่อมีการเปลี่ยนแปลงของเทคโนโลยี ภัยคุกคาม หรือแนวปฏิบัติที่เกี่ยวข้อง โดยต้องควบคุมเวอร์ชันของข้อกำหนดการสอบ

6. หลักเกณฑ์การสอบและการประเมินผล (Examination and Assessment Criteria)

6.1 รูปแบบการสอบ

Detail	Criteria
Examination Type	Multiple Choice Questions
Number of Questions	60
Examination Duration	60 Minutes
Passing Score	80%
Minimum Correct Answers	48 Questions
Examination Delivery	Online Examination
Mandatory Training	Not Required
Examination Language	English
Examination Retake	1 Retake Exam

6.2 การประเมินรายบุคคล

ผู้เข้าสอบต้องได้คะแนนไม่น้อยกว่าร้อยละ 80 ของคะแนนเต็ม จึงถือว่าผ่านการประเมินความรู้ด้าน Cybersecurity Awareness

ผู้ที่ไม่ผ่านการประเมินสามารถเข้าสอบใหม่ได้ตามเงื่อนไขที่ FortSecure Global กำหนด โดยต้องมีมาตรการรักษาความเที่ยงตรงของการสอบซ้ำ

6.3 การประเมินระดับองค์กร

องค์กรจะได้รับการรับรองผลสัมฤทธิ์เมื่อบุคลากรทุกคนในขอบข่ายการประเมินที่ได้รับอนุมัติผ่านการสอบตามเกณฑ์ที่กำหนด

เกณฑ์ขั้นต่ำประกอบด้วย

• Examination Participation Rate: 100% ของบุคลากรในขอบข่าย

• Individual Passing Score: ไม่น้อยกว่า 80%

• Organizational Passing Rate: 100% ของบุคลากรในขอบข่าย

• Verification of Examination Records: Complete

• Certification Decision: Approved

ไม่อนุญาตให้เปลี่ยนขอบข่ายการประเมินย้อนหลังเพื่อยกเว้นผู้ที่สอบไม่ผ่านหรือเพื่อทำให้องค์กรผ่านเกณฑ์โดยไม่มีเหตุผลและหลักฐานที่เหมาะสม

7. กระบวนการรับรอง (Certification Process)

FortSecure Global กำหนดกระบวนการดำเนินงานดังต่อไปนี้

Step 1 — Application

องค์กรสมัครเข้าร่วมโครงการและแจ้งขอบข่าย จำนวนบุคลากร และรายละเอียดผู้ประสานงาน

Step 2 — Application Review

FortSecure Global ตรวจสอบความครบถ้วนของข้อมูลและอนุมัติการเข้าสอบ

Step 3 — Examination Administration

ดำเนินการสอบออนไลน์ตามระเบียบการสอบและมาตรการรักษาความถูกต้องของการประเมิน

Step 4 — Examination Results Verification

ตรวจสอบคะแนน ผลสอบ ตัวตนผู้เข้าสอบ และความผิดปกติที่อาจมีผลต่อความน่าเชื่อถือของผลสอบ

Step 5 — Organizational Assessment

ประเมินผลระดับองค์กรโดยเปรียบเทียบกับเกณฑ์การรับรองที่กำหนด

Step 6 — Certification Decision

ผู้มีอำนาจพิจารณาและอนุมัติผลการรับรอง โดยอาศัยหลักฐานการประเมิน

Step 7 — Certificate Issuance

FortSecure Global ออก Organizational Certificate of Achievement และ Digital Badge ตามขอบข่ายที่ได้รับอนุมัติ

Step 8 — Verification and Monitoring

บันทึกข้อมูลในทะเบียนใบรับรอง และจัดให้มีระบบตรวจสอบสถานะใบรับรอง

8. การออกใบรับรอง (Certificate Issuance)

องค์กรที่ผ่านการประเมินจะได้รับเอกสารดังต่อไปนี้

1. Organizational Cybersecurity Awareness Certificate of Achievement

2. Digital Badge สำหรับแสดงผลสัมฤทธิ์ขององค์กร

3. Certificate Verification Number

4. ช่องทางตรวจสอบสถานะใบรับรอง

5. Organizational Assessment Summary

ใบรับรองต้องแสดงข้อมูลอย่างน้อยดังต่อไปนี้

• ชื่อองค์กรที่ได้รับการรับรอง

• ชื่อโครงการและขอบข่ายการประเมิน

• จำนวนบุคลากรในขอบข่าย

• เกณฑ์การผ่าน

• วันที่ประเมินผลและวันที่ออกใบรับรอง

• วันสิ้นสุดอายุผลการรับรอง

• หมายเลขใบรับรองที่ไม่ซ้ำกัน

• ชื่อหน่วยงานผู้ออกใบรับรอง

• ช่องทางตรวจสอบสถานะใบรับรอง

ใบรับรองมีอายุ 12 เดือนนับจากวันที่อนุมัติผล และไม่สามารถใช้เป็นหลักฐานรับรองการปฏิบัติตามข้อกำหนดของมาตรฐาน ISO/IEC 27001 หรือมาตรฐานอื่น เว้นแต่มีขอบข่ายการประเมินเพิ่มเติมที่ได้รับการรับรองอย่างถูกต้อง

9. การใช้ใบรับรองและ Digital Badge (Use of Certification Marks)

องค์กรที่ได้รับใบรับรองสามารถนำ Certificate และ Digital Badge ไปใช้เพื่อแสดงผลการผ่านโครงการตามขอบข่ายที่ได้รับอนุมัติ

การใช้งานต้องเป็นไปตามเงื่อนไขดังต่อไปนี้

1. ต้องไม่แสดงข้อความที่ทำให้เข้าใจว่าองค์กรได้รับ ISO/IEC 27001 Certification

2. ต้องไม่แสดงข้อความที่ทำให้เข้าใจว่า FortSecure Global ได้รับการรับรองโดย ISO, IEC หรือหน่วยงาน Accreditation ภายนอก หากไม่มีหลักฐานรองรับ

3. ต้องไม่แก้ไขข้อความ ขอบข่าย หมายเลข หรือระยะเวลาที่ระบุในใบรับรอง

4. ต้องไม่ใช้ใบรับรองที่หมดอายุ ถูกพักใช้ หรือถูกเพิกถอน

5. ต้องไม่กล่าวอ้างว่าครอบคลุมบุคลากรหรือหน่วยงานที่ไม่ได้เข้ารับการประเมิน

FortSecure Global สงวนสิทธิ์ในการกำหนดรูปแบบและเงื่อนไขการใช้เครื่องหมายโครงการ

10. การรักษาความลับและการคุ้มครองข้อมูล (Confidentiality and Data Protection)

FortSecure Global ต้องรักษาความลับของข้อสอบ เฉลย ผลสอบ และข้อมูลที่เกี่ยวข้องกับองค์กรและผู้เข้าสอบ

ข้อมูลส่วนบุคคลต้องได้รับการประมวลผลตามกฎหมายคุ้มครองข้อมูลส่วนบุคคลที่ใช้บังคับ รวมถึงพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เมื่อเกี่ยวข้อง

การเปิดเผยข้อมูลผลสอบรายบุคคลต่อบุคคลที่ไม่เกี่ยวข้องต้องมีฐานทางกฎหมายที่เหมาะสม

ระบบตรวจสอบใบรับรองสาธารณะต้องจำกัดการแสดงผลเฉพาะข้อมูลที่จำเป็นต่อการยืนยันสถานะและขอบข่ายของใบรับรอง

11. การร้องเรียนและอุทธรณ์ (Complaints and Appeals)

องค์กรหรือผู้เข้าสอบสามารถยื่นคำร้องเรียนหรืออุทธรณ์เกี่ยวกับการดำเนินการสอบ ผลคะแนน หรือการตัดสินผลการรับรองได้

FortSecure Global ต้องกำหนดกระบวนการรับเรื่อง ตรวจสอบข้อเท็จจริง และพิจารณาผลโดยบุคคลที่ไม่มีส่วนได้เสียโดยตรงกับประเด็นที่ถูกร้องเรียนเท่าที่สามารถดำเนินการได้

ผลการพิจารณาต้องมีการบันทึกและแจ้งให้ผู้ร้องทราบตามระยะเวลาที่กำหนดไว้ในระเบียบปฏิบัติ

12. การพักใช้และการเพิกถอนใบรับรอง (Suspension and Revocation)

FortSecure Global อาจพิจารณาพักใช้หรือเพิกถอนใบรับรองเมื่อพบกรณีดังต่อไปนี้

1. มีการใช้ข้อมูลหรือเอกสารเท็จในการสมัคร

2. มีหลักฐานการทุจริตการสอบที่กระทบต่อผลการรับรอง

3. มีการแอบอ้างหรือใช้ใบรับรองเกินขอบข่าย

4. มีการดัดแปลง Certificate หรือ Digital Badge โดยไม่ได้รับอนุญาต

5. มีการละเมิดเงื่อนไขการใช้ใบรับรองอย่างมีนัยสำคัญ

6. มีเหตุอื่นที่ทำให้ความน่าเชื่อถือของผลการประเมินสูญเสียไป

การพักใช้หรือเพิกถอนต้องมีการบันทึกเหตุผล และให้โอกาสองค์กรชี้แจงหรืออุทธรณ์ตามกระบวนการที่กำหนด

13. การต่ออายุการรับรอง (Renewal)

องค์กรที่ประสงค์ต่ออายุผลการรับรองต้องดำเนินการประเมินความรู้ของบุคลากรในขอบข่ายใหม่ตามเกณฑ์ที่ใช้บังคับในรอบการต่ออายุ

การต่ออายุไม่สามารถอาศัยผลการสอบจากรอบก่อนเพียงอย่างเดียว

FortSecure Global ต้องตรวจสอบรายชื่อบุคลากร ขอบข่ายการประเมิน และผลการสอบใหม่ก่อนอนุมัติการต่ออายุ

ค่าธรรมเนียมในการต่ออายุ 1,500 บาท

14. การจัดเก็บบันทึก (Record Retention)

FortSecure Global ต้องจัดเก็บหลักฐานที่เกี่ยวข้องกับการประเมินและการออกใบรับรอง ได้แก่

• Application Records

• Approved Assessment Scope

• Candidate Examination Register

• Examination Results

• Organizational Assessment Reports

• Certification Decision Records

• Certificate Register

• Complaints and Appeals Records

• Suspension and Revocation Records

กำหนดระยะเวลาจัดเก็บตามความจำเป็น วัตถุประสงค์การประมวลผล ข้อกำหนดตามกฎหมาย และนโยบายการเก็บรักษาข้อมูลของ FortSecure Global โดยกำหนดระยะเวลาเฉพาะในระเบียบการจัดเก็บบันทึกของโครงการ

15. การทบทวนนโยบาย (Policy Review)

FortSecure Global ต้องทบทวนนโยบายอย่างน้อยปีละหนึ่งครั้ง หรือเมื่อมีการเปลี่ยนแปลงที่สำคัญ เช่น

• การเปลี่ยนแปลงขอบข่ายหรือเกณฑ์การสอบ

• การเปลี่ยนแปลงของภัยคุกคามด้าน Cybersecurity

• การเปลี่ยนแปลงข้อกำหนดทางกฎหมาย

• ผลการร้องเรียนหรืออุทธรณ์ที่แสดงถึงความจำเป็นในการปรับปรุง

• การเปลี่ยนแปลงกระบวนการออกใบรับรอง

• การเปลี่ยนแปลงนโยบายต้องได้รับการอนุมัติจากผู้มีอำนาจก่อนประกาศใช้

16. การอนุมัติและการมีผลบังคับใช้ (Approval and Effective Date)

นโยบายฉบับนี้มีผลบังคับใช้ภายหลังได้รับการอนุมัติจากผู้มีอำนาจของ FortSecure Global และใช้เป็นกรอบหลักในการกำกับดูแลโครงการ FortSecure Organizational Cybersecurity Awareness Assessment Program

Policy Statement

FortSecure Global is committed to maintaining a fair, transparent, evidence-based, and verifiable organizational cybersecurity awareness assessment program. Certification decisions shall be based on documented examination results and established organizational assessment criteria.

Disclaimer: This programme provides an independent assessment service operated by FortSecure Global for participating organizations. It does not represent third-party accreditation of FortSecure Global or certification of compliance with ISO/IEC 27001, and it does not establish that every employee consistently demonstrates secure behavior in practice.