ความปลอดภัยทางไซเบอร์และข้อมูล

กฟผ. ให้ความสำคัญกับการรักษาความมั่นคงปลอดภัยทางไซเบอร์และข้อมูล โดยมีมาตรการป้องกัน รับมือ และลดความเสี่ยงจากภัยคุกคามที่มีความซับซ้อนและเปลี่ยนแปลงอย่างรวดเร็ว อันอาจส่งกระทบต่อการดำเนินงานขององค์การ ผู้มีส่วนได้ส่วนเสีย และความมั่นคงของระบบไฟฟ้าของประเทศ

เป้าหมายปี 2568	ผลการดำเนินงาน
● ประสิทธิผลของการจัดการผลกระทบจากภัยคุกคามทางไซเบอร์ต่อภารกิจหลัก ระดับ 5 ซึ่งหมายถึง ระบบเทคโนโลยีที่จำเป็นสำหรับสินทรัพย์ ดำเนินงานได้ในระดับปกติ เนื่องจากสามารถป้องกันเหตุทางไซเบอร์ได้ทั้งหมดหรือสามารถจัดการเหตุทางไซเบอร์ ได้ในระดับที่ไม่ส่งผลต่อการดำเนินงานของระบบเทคโนโลยี	● ประสิทธิผลของการจัดการผลกระทบจากภัยคุกคามทางไซเบอร์ต่อภารกิจหลัก ระดับ 5 ซึ่งหมายถึง ระบบเทคโนโลยีที่จำเป็นสำหรับสินทรัพย์ ดำเนินงานได้ในระดับปกติ เนื่องจากสามารถป้องกันเหตุทางไซเบอร์ได้ทั้งหมดหรือสามารถจัดการเหตุทางไซเบอร์ ได้ในระดับที่ไม่ส่งผลต่อการดำเนินงานของระบบเทคโนโลยี

นโยบายและความมุ่งมั่น

กฟผ. มีนโยบายความมั่นคงปลอดภัยทางไซเบอร์และสารสนเทศ ซึ่งกำหนดให้หน่วยงานสำคัญที่ปฏิบัติภารกิจหลักของ กฟผ. และหน่วยงานโครงสร้างพื้นฐานด้านเทคโนโลยีทำหน้าที่ควบคุมและกำกับดูแลความมั่นคงปลอดภัยทางไซเบอร์และสารสนเทศโดยการระบุความเสี่ยง ป้องกันความเสี่ยง ตรวจสอบและเฝ้าระวังภัยคุกคาม เผชิญเหตุ รวมถึงรักษาและฟื้นฟูความเสียหายที่เกิดจากภัยคุกคามทางไซเบอร์และสารสนเทศ นอกจากนี้ ยังมีนโยบายและประกาศความเป็นส่วนตัวด้านการคุ้มครองข้อมูลส่วนบุคคล อาทิ นโยบายการคุ้มครองข้อมูลส่วนบุคคล มาตรการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล และประกาศความเป็นส่วนตัว (Privacy Notice) สำหรับกิจกรรมต่าง ๆ ที่เกี่ยวข้องกับข้อมูลส่วนบุคคล

โครงสร้างการดำเนินงาน

กฟผ. มีการแต่งตั้งผู้รับผิดชอบงานด้านความมั่นคงปลอดภัยทางไซเบอร์และสารสนเทศ ดังนี้

• คณะทำงานปฏิบัติการด้านความมั่นคงปลอดภัยทางไซเบอร์และสารสนเทศ ทำหน้าที่ระบุความเสี่ยง กำหนดมาตรการและดำเนินการป้องกันความเสี่ยง ตรวจสอบและเฝ้าระวัง รับมือ รักษาและฟื้นฟูความเสียหายที่เกิดจากภัยคุกคามทางไซเบอร์
• คณะทำงานบริหารความมั่นคงปลอดภัยทางไซเบอร์และสารสนเทศ ทำหน้าที่กำหนดนโยบาย มาตรฐาน และแนวทางการรักษาความมั่นคงปลอดภัยด้านเทคโนโลยีปฏิบัติการและเทคโนโลยีดิจิทัล และการรับมือภัยคุกคามทางไซเบอร์ รวมทั้งดูแลให้มีการปฏิบัติตามนโยบาย มาตรฐานและแนวทางที่กำหนด
• ผู้บริหารความมั่นคงปลอดภัยสารสนเทศระดับสูง ทำหน้าที่รายงานเหตุการณ์ที่มีนัยสำคัญด้านความมั่นคงปลอดภัยด้านเทคโนโลยีปฏิบัติการและเทคโนโลยีดิจิทัล และด้านภัยคุกคามทางไซเบอร์
  ต่อผู้ว่าการ และคณะกรรมการที่เกี่ยวข้องโดยตรง รวมถึงให้ความเห็นด้านภัยคุกคามทางไซเบอร์และการบริหารจัดการความเสี่ยงด้านความมั่นคงปลอดภัยด้านเทคโนโลยีปฏิบัติการและเทคโนโลยีดิจิทัลต่อคณะกรรมการที่เกี่ยวข้อง
• สำนักงานตรวจสอบภายใน ทำหน้าที่ตรวจสอบด้านความมั่นคงปลอดภัยทางไซเบอร์และสารสนเทศตามแผนการตรวจสอบด้านการรักษาความมั่นคงปลอดภัยทางไซเบอร์และสารเทศ ในหน่วยงานที่มีระบบคอมพิวเตอร์หรือโครงสร้างสำคัญทางสารสนเทศ ซึ่งเกี่ยวข้องกับบริการผลิตไฟฟ้า บริการสายส่งไฟฟ้า และบริการควบคุมไฟฟ้า ตามแผนการตรวจสอบประจำปี และรายงานผลการตรวจประเมินเสนอต่อคณะกรรมการตรวจสอบ กฟผ.

นอกจากนี้ กฟผ. ยังมีหน่วยงานที่รับผิดชอบการดำเนินงานเกี่ยวกับประเด็นความปลอดภัยทางไซเบอร์และสารสนเทศ อาทิ กองบริหารความเสี่ยงและกำกับการปฏิบัติตามกฎหมายดิจิทัล กองปฏิบัติการความมั่นคงปลอดภัยไซเบอร์ กองเทคโนโลยีศูนย์ควบคุม ฝ่ายระบบควบคุมและป้องกัน และแผนกความมั่นคงปลอดภัยโครงข่ายปฏิบัติการ

การบริหารจัดการ

กฟผ. มีการดำเนินงานด้านความมั่นคงปลอดภัยทางไซเบอร์และสารสนเทศที่สอดคล้องกับพระราชบัญญัติการรักษาความมั่นคงปลอดภัยทางไซเบอร์ พ.ศ. 2562 พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และมาตรฐาน ISO 27001 รวมถึงแนวปฏิบัติ NIST Cybersecurity Framework ซึ่งเป็นกรอบทำงานด้านความมั่นคงปลอดภัยไซเบอร์ระดับสากลด้านสาธารณูปโภคด้านการผลิต ส่ง และจำหน่ายไฟฟ้า และมาตรฐาน NERC CIP (Critical Infrastructure Protection) ซึ่งเป็นมาตรฐานการรักษาความปลอดภัยของระบบไฟฟ้าในงานปฏิบัติการระบบส่งไฟฟ้าและควบคุมระบบกำลังไฟฟ้า พร้อมทั้งมีการสอบทานการดำเนินงานโดยหน่วยงานภายในและภายนอก และการสำรวจและวิเคราะห์สถานภาพการดำเนินงานด้านการรักษาความมั่นคงปลอดภัยไซเบอร์ เพื่อดำเนินการปรับปรุงทั้งด้านบุคคลากร กระบวนการ และเทคโนโลยีอย่างต่อเนื่อง

นอกจากนี้ ยังมีการจัดทำเอกสารและบันทึกข้อตกลงในการดำเนินงานด้านความมั่นคงปลอดภัยทางไซเบอร์และการคุ้มครองข้อมูลส่วนบุคคลให้คู่ค้ารับทราบและปฏิบัติตามนโยบายและแนวปฏิบัติของ กฟผ. มีการประชุมหารือและ/หรือชี้แจงให้คู่ค้าได้รับทราบเกี่ยวกับการปรับปรุงการดำเนินงานของ กฟผ. ซึ่งอาจเกี่ยวข้องหรือกระทบกับกระบวนการดำเนินงานของคู่ค้า และจัดให้มีการสอบทานกระบวนการดำเนินงานอันนำไปสู่การปรับปรุงเทคโนโลยีในการตรวจสอบการดำเนินงานต่าง ๆ ที่คู่ค้าหรือผู้มีส่วนได้ส่วนเสียอื่นเกี่ยวข้อง เพื่อป้องกันมิให้เกิดเหตุละเมิดด้านความมั่นคงปลอดภัย ตลอดจน
มีการสร้างความร่วมมือและแบ่งปันข้อมูลภัยคุกคามทางไซเบอร์กับหน่วยงานอื่น ๆ อาทิ กระทรวงพลังงาน การไฟฟ้าส่วนภูมิภาค การไฟฟ้านครหลวง  และบริษัท ปตท. จำกัด (มหาชน) พร้อมเดินหน้าขยายเครือข่ายความร่วมมือกับพันธมิตรทั้งในและต่างประเทศ เพื่อยกระดับความปลอดภัยของโครงสร้างพื้นฐานสำคัญของชาติอย่างยั่งยืน

ในปี 2568 กฟผ. มีการดำเนินงานด้านความมั่นคงปลอดภัยทางไซเบอร์และสารสนเทศที่สำคัญ อาทิ

• การพัฒนาบุคลากร โดยการจัดอบรมหลักสูตรความตระหนักทางด้านความมั่นคงปลอดภัยไซเบอร์ในชีวิตประจำวัน ประจำปี 2568 แก่พนักงานทั่วไป และการสนับสนุนให้บุคลากรด้านความมั่นคงปลอดภัยทางไซเบอร์เข้ารับการอบรมเพื่อเพิ่มความรู้ความสามารถ ซึ่งรวมถึงการร่วมการอบรมเชิงปฏิบัติการสำหรับเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (Data Protection Officer: DPO) ภายใต้โครงการแพลตฟอร์มภาครัฐเพื่อรองรับการปฏิบัติตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล (Government Platform for PDPA Compliance: GPPC) ซึ่งเป็นโครงการความร่วมมือระหว่างสำนักงาน
  คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) และสำนักงานคณะกรรมการดิจิทัลเพื่อเศรษฐกิจและสังคมแห่งชาติ (สดช.) เพื่อส่งเสริมให้เกิดการขับเคลื่อนการดำเนินงานการตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
• การนำระบบดิจิทัลและนวัตกรรมมาใช้ในกระบวนการบริหารจัดการความมั่นคงปลอดภัยทางไซเบอร์และสารสนเทศ เพื่อยกระดับขีดความสามารถด้านการบริหารจัดการ การป้องกัน และการ
  ตอบสนองให้มีประสิทธิภาพมากขึ้น และนำผลลัพธ์ที่สำคัญของกระบวนการไปเป็นปัจจัยนำเข้าของการจัดทำแผน
• การจัดทำแผนงาน Endpoint Management ซึ่งเป็นการบริหารจัดการการใช้งานอุปกรณ์คอมพิวเตอร์และอุปกรณ์คอมพิวเตอร์พกพาขององค์การให้เป็นไปอย่างมีประสิทธิภาพ และแผนงานสิทธิ
  การเข้าใช้งานระบบตรวจจับและตอบสนองภัยคุกคามแบบขยาย (Extended Detection and Response: XDR)

การละเมิดความเป็นส่วนตัวและข้อมูลความเป็นส่วนตัวของลูกค้า

ประเภท	ปี 2568		ปี 2567		ปี 2566
	จากบุคคลภายนอก	จากหน่วยงานกำกับดูแล	จากบุคคลภายนอก	จากหน่วยงานกำกับดูแล	จากบุคคลภายนอก	จากหน่วยงานกำกับดูแล
จำนวนข้อร้องเรียนที่ได้รับการยืนยันเกี่ยวกับการละเมิดความเป็นส่วนตัวของลูกค้าหรือการทำข้อมูลลูกค้าสูญหาย	0	0	0	0	0	0
จำนวนครั้งที่มีการรั่วไหล การโจรกรรมข้อมูล หรือการทำข้อมูลลูกค้าสูญหาย	0	0	0	0	0	0
รวม	0	0	0	0	0	0