1. วัตถุประสงค์

เพื่อให้โรงเรียนลำปลายมาศมีมาตรฐานการบริหารจัดการ การควบคุมการเข้าถึง และการปกป้องข้อมูลสารสนเทศของโรงเรียนอย่างเหมาะสม ตามความสำคัญและผลกระทบหากข้อมูลถูกประนีประนอม (ทำลาย แก้ไข หรือรั่วไหล) โดยสอดคล้องกับประกาศคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ

2. ขอบเขต

นโยบายฉบับนี้บังคับใช้กับข้อมูลสารสนเทศทั้งหมดที่ประมวลผล จัดเก็บ และส่งผ่านระบบเครือข่ายของโรงเรียนลำปลายมาศ (เช่น เว็บไซต์หลัก www.lpm.ac.th, ระบบ SMIST, ระบบ Work From Home) รวมถึงบุคลากร ครู นักเรียน และผู้ดูแลระบบทุกคนที่มีสิทธิ์เข้าถึงข้อมูล

3. การจัดระดับชั้นข้อมูลสารสนเทศ (Data Classification Levels)

แบ่งออกเป็น 3 ระดับ ตามหลักการคุ้มครองความลับ (Confidentiality) ความถูกต้อง (Integrity) และความพร้อมใช้งาน (Availability) ดังนี้

ระดับที่ 1: ข้อมูลสาธารณะ (Public Data - Low Impact)

คำจำกัดความ: ข้อมูลที่สามารถเปิดเผยต่อสาธารณชนได้โดยไม่ก่อให้เกิดความเสียหายต่อโรงเรียนหรือบุคคล เน้นความพร้อมใช้งาน (Availability)
ตัวอย่างข้อมูล: ข่าวประชาสัมพันธ์หน้าเว็บไซต์, โครงสร้างการบริหาร, ประกาศรับสมัครนักเรียน/บุคลากร, เอกสารประเมิน ITA, แผนที่และข้อมูลติดต่อโรงเรียน

ระดับที่ 2: ข้อมูลใช้งานภายใน (Internal Data - Medium Impact)

คำจำกัดความ: ข้อมูลที่ใช้สำหรับการปฏิบัติงานภายในโรงเรียนเท่านั้น ไม่อนุญาตให้เปิดเผยต่อบุคคลภายนอกโดยไม่ได้รับอนุญาต เน้นความถูกต้องสมบูรณ์ (Integrity)
ตัวอย่างข้อมูล: บันทึกการลงเวลาในระบบ Work From Home, รายงานการประเมินตนเอง (SAR) ภายใน, แผนการสอนและเอกสารประกอบการสอน, สถิติ Log การใช้งานอินเทอร์เน็ตของบุคลากรและนักเรียน

ระดับที่ 3: ข้อมูลความลับและวิกฤต (Confidential & Critical Data - High Impact)

คำจำกัดความ: ข้อมูลส่วนบุคคลที่อ่อนไหว หรือข้อมูลระบบที่มีความสำคัญสูงสุด หากรั่วไหลหรือถูกแก้ไขจะก่อให้เกิดความเสียหายร้ายแรง เสี่ยงต่อการผิดกฎหมาย (PDPA) เน้นการรักษาความลับ (Confidentiality)
ตัวอย่างข้อมูล: ฐานข้อมูลผลการเรียนและข้อมูลส่วนบุคคลในระบบ SMIST (เช่น หมายเลขบัตรประชาชน), รหัสผ่าน (Passwords) ของระบบเครือข่าย (MikroTik, ซอฟต์แวร์จัดการเซิร์ฟเวอร์), โครงสร้างฐานข้อมูล MySQL, ข้อมูลการตั้งค่าระบบความปลอดภัย

4. มาตรการควบคุมและการจัดการข้อมูล (Data Handling & Control Measures)

การเข้าถึงข้อมูล (Access Control)

ข้อมูลสาธารณะ: บุคคลทั่วไปสามารถเข้าถึงได้ผ่านเว็บไซต์โดยไม่ต้องยืนยันตัวตน
ข้อมูลภายใน: จำกัดการเข้าถึงเฉพาะครูและบุคลากรที่มีบัญชีผู้ใช้งาน (User Account) และผ่านการยืนยันตัวตน (Authentication) บนระบบเครือข่ายของโรงเรียนเท่านั้น
ข้อมูลความลับ: จำกัดการเข้าถึงเฉพาะผู้ดูแลระบบ (System Administrator) หรืองานสารสนเทศที่ได้รับมอบหมายสิทธิ์ขั้นสูงสุด (Privileged Access) โดยต้องมีการบันทึกประวัติการเข้าถึง (Access Log) อย่างเข้มงวด

การรับส่งข้อมูล (Data Transmission)

ข้อมูลภายในและข้อมูลความลับ: ต้องดำเนินการผ่านช่องทางที่มีการเข้ารหัสข้อมูล (Encryption) เช่น โปรโตคอล HTTPS (SSL/TLS) สำหรับเว็บแอปพลิเคชัน หรือผ่าน VPN เมื่อมีการรีโมทเข้าจัดการอุปกรณ์เครือข่ายและเซิร์ฟเวอร์จากภายนอก

การจัดเก็บและสำรองข้อมูล (Storage & Backup)

ข้อมูลความลับ: ฐานข้อมูลหลัก (เช่น ระบบ SMIST) ต้องถูกเข้ารหัส (Data at Rest) และจัดทำสำรองข้อมูล (Backup) เก็บรักษาไว้นอกระบบเซิร์ฟเวอร์หลัก (Off-site หรือ ข้าม VLAN) โดยมีการจำกัดสิทธิ์การเข้าถึงไฟล์สำรองอย่างเด็ดขาด

การทำลายข้อมูล (Data Disposal)

ข้อมูลภายในและข้อมูลความลับ: เมื่อหมดความจำเป็นในการใช้งาน หรือพ้นระยะเวลาที่กฎหมายกำหนด อุปกรณ์จัดเก็บข้อมูลหรือไฟล์ข้อมูลดังกล่าวจะต้องถูกทำลายด้วยวิธีเขียนทับแบบปลอดภัย (Secure Erase) หรือทำลายทางกายภาพเพื่อไม่ให้สามารถกู้คืนได้

5. บทบาทและความรับผิดชอบ

ผู้อำนวยการโรงเรียน (Data Owner): อนุมัติและประกาศใช้นโยบาย รวมถึงตัดสินใจในกรณีที่มีการร้องขอเปิดเผยข้อมูลความลับ
งานสารสนเทศโรงเรียน (Data Custodian): รับผิดชอบการตั้งค่าสิทธิ์ผู้ใช้งาน ดูแลระบบเครือข่ายและฐานข้อมูลให้เป็นไปตามมาตรฐานการจัดชั้นข้อมูล และเฝ้าระวังการละเมิดสิทธิ์
บุคลากรและนักเรียน (Data Users): มีหน้าที่ใช้งานข้อมูลตามสิทธิ์ที่ได้รับ และไม่นำข้อมูลระดับภายในหรือความลับไปเผยแพร่โดยเด็ดขาด

6. การทบทวนคู่มือ

งานสารสนเทศโรงเรียนจะดำเนินการทบทวนคู่มือฉบับนี้เป็นประจำทุก 1 ปี หรือเมื่อมีการเปลี่ยนแปลงโครงสร้างระบบเครือข่ายและเว็บแอปพลิเคชันอย่างมีนัยสำคัญ