Security Audit
บริการ Security Audit ตรวจสอบความปลอดภัยระบบในไทย: รู้จุดอ่อนก่อนผู้โจมตีเจอ
คำว่า "Security Audit" หมายถึงงานสามแบบที่ต่างกันมาก ขึ้นอยู่กับว่าใครเป็นคนขอ: Penetration Testing, Vulnerability Assessment หรือการตรวจประเมินตามมาตรฐาน เราให้บริการทั้งสามแบบจากกรุงเทพฯ หน้านี้จะช่วยให้คุณเลือกได้ว่าองค์กรของคุณต้องการแบบไหน
หน่วยงานกำกับดูแล ผู้ตรวจสอบ หรือลูกค้าขอ "Security Audit" แต่ไม่มีใครนิยามขอบเขต
การตรวจสอบครั้งล่าสุดของคุณคือผลสแกนใส่ปกสวย
รับช่วงต่อระบบที่ไม่เคยผ่านการทดสอบเลย
เส้นตายการขอ Certification (ISO 27001, PCI DSS) ต้องใช้หลักฐานทางเทคนิค
ผู้บริหารต้องการความมั่นใจ แต่งบประมาณต้องมีขอบเขตที่อธิบายได้
ค่าเสียหายเฉลี่ยจาก Data Breach (IBM 2024)
โปรเจกต์ที่ส่งมอบตั้งแต่ปี 2022
แจ้งช่องโหว่ระดับ Critical
Web App ที่มีช่องโหว่ OWASP Top 10
นิยามให้ชัด
Security Audit คืออะไร?
Security Audit คือการตรวจสอบระบบอย่างเป็นระบบ ทั้งในมุมการโจมตีและมุมมาตรฐาน ในทางปฏิบัติครอบคลุมงานสามแบบ: Vulnerability Assessment ที่ค้นหาช่องโหว่ที่เป็นที่รู้จักทั่วทั้งระบบ, Penetration Testing ที่พิสูจน์ว่าผู้โจมตีทำอะไรได้จริง และการตรวจประเมินตามมาตรฐานที่เทียบมาตรการควบคุมของคุณกับกรอบอย่าง ธปท., PDPA, ISO 27001 และ PCI DSS
ผู้ให้บริการใช้คำเดียวกันกับงานที่ต่างกันมาก องค์กรจำนวนไม่น้อยจึงจ่ายราคา Penetration Testing แต่ได้ผลสแกนอัตโนมัติกลับมา ก่อนเซ็นสัญญาอะไร ตัดสินใจก่อนว่าคุณต้องการคำตอบของคำถามข้อไหน การ์ดสามใบด้านล่างจับคู่คำถามกับงานที่ใช่ให้แล้ว
เลือกการตรวจสอบของคุณ
คุณต้องการ Security Audit แบบไหน?
"ผู้โจมตีเข้าระบบเราได้จริงไหม และความเสียหายคือเท่าไร?"
Penetration Testing
การเจาะระบบแบบ Manual โดยผู้ทดสอบที่มี Certification เรา Chain ช่องโหว่ ทดสอบ Business Logic และบันทึก Attack Path จริงพร้อมหลักฐาน ธปท. กำหนดให้สถาบันการเงินทำเป็นประจำทุกปี และ PCI DSS กำหนดไว้ใน Requirement 11.4
ดูบริการ Penetration Testing"ตอนนี้ระบบเรามีช่องโหว่ที่เป็นที่รู้จักอะไรบ้าง?"
Vulnerability Assessment
สแกนครอบคลุมทั้งระบบ แล้วตรวจยืนยันโดยผู้เชี่ยวชาญ: คัด False Positive ออก จัดลำดับตามความเสี่ยงจริง ไม่ใช่แค่คะแนน CVSS รอบที่เหมาะสมคือรายไตรมาส และเป็นพื้นฐานที่กรอบ Compliance ส่วนใหญ่คาดหวัง
ดูบริการ Vulnerability Assessment"มาตรการของเราผ่านเกณฑ์มาตรฐานไหม และพิสูจน์ได้หรือเปล่า?"
การตรวจประเมินตามมาตรฐาน
Gap Assessment เทียบกับแนวทางกำกับดูแลความเสี่ยงด้าน IT ของ ธปท., PDPA มาตรา 37, ISO 27001 หรือ PCI DSS โดยผลตรวจอ้างอิงรหัส Control ที่ผู้ตรวจสอบของคุณจะใช้เช็กจริง
ดูบริการที่ปรึกษา Complianceเทียบงานสามแบบให้เห็นชัด
| Vulnerability Assessment | Penetration Testing | ตรวจประเมินตามมาตรฐาน | |
|---|---|---|---|
| ตอบคำถาม | มีช่องโหว่ที่รู้จักอะไรบ้าง? | ผู้โจมตีทำอะไรได้จริง? | ผ่านเกณฑ์มาตรฐานไหม? |
| ผลลัพธ์ | รายการช่องโหว่ที่ตรวจยืนยันและจัดลำดับแล้ว | หลักฐานการ Exploit และ Attack Narrative | รายงาน Gap แยกตามรายข้อ Control |
| ความถี่ | รายไตรมาส | รายปี + หลังเปลี่ยนแปลงระบบครั้งใหญ่ | ก่อนขอ Certification หรือก่อนการตรวจของหน่วยงานกำกับ |
| ราคาเริ่มต้น | เริ่มที่ ฿80,000 | เริ่มที่ ฿160,000 | ตามขอบเขตงาน |
ตัวเลขเป็นประมาณการเบื้องต้น ราคาจริงขึ้นอยู่กับขอบเขต ความซับซ้อน และข้อกำหนด Compliance องค์กรภายใต้การกำกับดูแลส่วนใหญ่ต้องทำสองแบบแรกตามรอบ และแบบที่สามก่อนเหตุการณ์สำคัญอย่างการขอ Certification หรือใบอนุญาต
ทีมงานในพื้นที่
ทีมกรุงเทพฯ ที่เข้าถึงหน้างานจริงของคุณ
- ตรวจสอบ On-site ทั่วประเทศ: กรุงเทพฯ ภาคตะวันออกรวมถึงชลบุรีและพัทยา และจังหวัดอื่นตามนัดหมาย
- รายงานทั้งภาษาไทยและอังกฤษ พร้อม Debrief ที่ทั้งทีม Developer และผู้บริหารใช้ได้จริง
- หลักฐานจัดรูปแบบตามหน่วยงานกำกับดูแลไทย: ผู้ตรวจการ ธปท., การไต่สวนของ สคส. และข้อกำหนดของ สกมช.
- แจ้งช่องโหว่ระดับ Critical ภายในวันเดียวกัน ไม่ใช่เซอร์ไพรส์ในวันส่งรายงาน
สอดคล้องกับกฎระเบียบ
ข้อกำหนดด้านการปฏิบัติตามกฎหมายที่บริการนี้รองรับ
วิธีการทดสอบของเราออกแบบมาเพื่อตอบสนองข้อกำหนดของกฎระเบียบด้านความปลอดภัยไซเบอร์ที่สำคัญของไทย
พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล
มาตรา 37 กำหนดให้ต้องมีมาตรการรักษาความปลอดภัยที่เหมาะสมในการประมวลผลข้อมูลส่วนบุคคล
ดูเพิ่มเติมการทดสอบเจาะระบบเชิงข่าวกรอง ธปท.
การทดสอบ iPentest ประจำปีสำหรับสถาบันการเงินภายใต้เกณฑ์ IT Examination
ดูเพิ่มเติมการประเมินความปลอดภัย ISO 27001:2022
A.8.8 การจัดการช่องโหว่ทางเทคนิคสนับสนุนการรับรอง ISMS
ดูเพิ่มเติมการปฏิบัติตาม PCI DSS v4.0.1
Requirement 11.4 กำหนดให้ต้องทดสอบเจาะระบบสำหรับสภาพแวดล้อมข้อมูลบัตรชำระเงิน
ดูเพิ่มเติมมาตรฐานความปลอดภัยเว็บไซต์ สกมช.
มาตรฐานการรักษาความมั่นคงปลอดภัยของเว็บไซต์ เวอร์ชัน 1.0 สำหรับหน่วยงาน CII
ดูเพิ่มเติมคำถามที่พบบ่อย
คำถามที่พบบ่อยเกี่ยวกับการตรวจสอบความปลอดภัยระบบในไทย
กำหนดขอบเขตให้ถูก ทดสอบให้จริง
บอกเราว่าอะไรทำให้คุณต้องตรวจสอบ: หน่วยงานกำกับดูแล ลูกค้า การขอ Certification หรือความไม่สบายใจของทีมเอง เราจะเสนอขอบเขตที่ตอบคำถามจริงของคุณ พร้อมหลักฐานที่ผู้ตรวจสอบยอมรับ
500+ โปรเจกต์ตั้งแต่ปี 2022
แจ้ง Critical ภายในวันเดียวกัน
รายงานตามแนวทาง ธปท. และ PDPA
ทีมประจำกรุงเทพฯ