นโยบายความมั่นคงปลอดภัยเว็บไซต์ (Website Security Policy) 

โรงเรียนลำปลายมาศ (www.lpm.ac.th)

1. วัตถุประสงค์ (Objective) เพื่อกำหนดกรอบแนวทางและมาตรการในการรักษาความมั่นคงปลอดภัยสำหรับระบบเว็บไซต์ของโรงเรียนลำปลายมาศ ให้มีความพร้อมใช้งาน รักษาความลับ และความถูกต้องสมบูรณ์ของข้อมูล รวมถึงเพื่อให้สอดคล้องกับมาตรฐานการรักษาความมั่นคงปลอดภัยไซเบอร์ของหน่วยงานรัฐ (หัวข้อ 5.1.1 การสำรวจบริบทของหน่วยงาน)

2. ขอบเขต (Scope) นโยบายฉบับนี้ครอบคลุมโครงสร้างพื้นฐานระบบเว็บไซต์หลัก (www.lpm.ac.th) ระบบให้บริการย่อย (เช่น ระบบ SMIST, ระบบ Work From Home, ระบบรับสมัครนักเรียน) รวมถึงเซิร์ฟเวอร์ ฐานข้อมูล และบุคลากรที่มีส่วนเกี่ยวข้องกับการดูแลและใช้งานระบบสารสนเทศของโรงเรียน

3. การสำรวจบริบทของหน่วยงาน (Organization Context - ตามมาตรฐานหัวข้อ 5.1.1)

• หน้าที่และภารกิจหลัก: ให้บริการข้อมูลข่าวสารทางการศึกษา ประชาสัมพันธ์กิจกรรม และเป็นช่องทางเข้าถึงระบบสารสนเทศสนับสนุนการจัดการเรียนการสอนและการทำงาน สำหรับครู นักเรียน และบุคลากร

• ข้อมูลสำคัญที่ต้องคุ้มครอง: ข้อมูลส่วนบุคคล (รายชื่อ ผลการเรียน ข้อมูลตาม พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล) รหัสผ่านผู้ใช้งาน ข้อมูลการปฏิบัติงาน และข้อมูลสารสนเทศภายในโรงเรียน

• ภัยคุกคามทางไซเบอร์ที่อาจส่งผลกระทบ:

  • การโจมตีเพื่อเปลี่ยนแปลงหน้าเว็บไซต์ (Web Defacement)

  • การเจาะระบบเพื่อเข้าถึงหรือเปลี่ยนแปลงฐานข้อมูลโดยมิชอบ (Unauthorized Access / SQL Injection)

  • การทำให้ระบบไม่สามารถให้บริการได้ (Denial of Service)

  • การแพร่กระจายมัลแวร์ผ่านเซิร์ฟเวอร์ของโรงเรียน

4. มาตรการจัดการความมั่นคงปลอดภัย (Security Measures)

• การควบคุมการเข้าถึง (Access Control): จำกัดสิทธิการจัดการโครงสร้างพื้นฐาน ระบบฐานข้อมูล และระบบจัดการเนื้อหา (CMS) ให้เฉพาะบุคลากรงานสารสนเทศที่ได้รับมอบหมาย พร้อมบังคับใช้นโยบายรหัสผ่านที่รัดกุม

• การเข้ารหัสข้อมูล (Encryption): บังคับใช้โปรโตคอล HTTPS (SSL/TLS) สำหรับการรับส่งข้อมูลทั้งหมดบนเครือข่าย เพื่อป้องกันการดักจับข้อมูลระหว่างทาง

• การอัปเดตและอุดช่องโหว่ (Patch Management): ผู้ดูแลระบบต้องตรวจสอบและอัปเดตระบบปฏิบัติการ ซอฟต์แวร์ที่เกี่ยวข้อง (PHP, MySQL) และอุปกรณ์เครือข่ายให้เป็นเวอร์ชันที่ปลอดภัยอย่างสม่ำเสมอ

• การสำรองข้อมูล (Data Backup): กำหนดให้มีการสำรองข้อมูลเว็บไซต์และฐานข้อมูลสำคัญอย่างน้อยสัปดาห์ละ 1 ครั้ง และจัดเก็บไฟล์สำรองแยกจากเซิร์ฟเวอร์หลัก (Off-site หรือแยก VLAN)

• การจัดเก็บ Log (Monitoring & Logging): จัดเก็บ Log File การเข้าใช้งานระบบตาม พ.ร.บ. ว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ เพื่อให้สามารถตรวจสอบย้อนหลังได้เมื่อพบความผิดปกติ

5. บทบาทและความรับผิดชอบ (Roles & Responsibilities)

• ผู้บริหารสถานศึกษา: สนับสนุนทรัพยากรที่จำเป็นและกำกับดูแลให้เกิดการปฏิบัติตามนโยบายอย่างเป็นรูปธรรม

• งานสารสนเทศโรงเรียน (System Administrator): รับผิดชอบการบริหารจัดการเซิร์ฟเวอร์ การกำหนดค่าอุปกรณ์เครือข่าย การบังคับใช้มาตรการความปลอดภัย และการรับมือเหตุละเมิดความมั่นคงปลอดภัย (Incident Response)

• ผู้ใช้งาน (ครู นักเรียน เจ้าหน้าที่): ปฏิบัติตามข้อตกลงการใช้งานอย่างปลอดภัย รักษาความลับของบัญชีผู้ใช้ตนเอง และแจ้งผู้ดูแลระบบทันทีหากพบความผิดปกติ

6. การทบทวนและปรับปรุง (Review and Update) งานสารสนเทศโรงเรียนจะดำเนินการทบทวนและปรับปรุงนโยบายฉบับนี้อย่างน้อยปีละ 1 ครั้ง หรือเมื่อมีการเปลี่ยนแปลงทางเทคโนโลยี โครงสร้างระบบ หรือภัยคุกคามทางไซเบอร์ที่สำคัญ เพื่อให้สอดคล้องกับบริบทปัจจุบันเสมอ