คู่มือความเสี่ยงควอนตัมของ ก.ล.ต.: สรุป 5 ขั้นตอนเตรียม PQC สำหรับกรรมการบริษัทในตลาดทุน
สรุปคู่มือความเสี่ยงควอนตัมและ PQC ของ ก.ล.ต. (ก.ย. 2569) สำหรับกรรมการ: 5 ขั้นตอนหลัก ตัวอย่างผลลัพธ์ 12 เดือน แผนที่ 9 บท และสิ่งที่คู่มือไม่ได้บังคับ
คู่มือความเสี่ยงควอนตัมของ ก.ล.ต.: สรุป 5 ขั้นตอนเตรียม PQC สำหรับกรรมการบริษัทในตลาดทุน
เดือนกันยายน 2569 ฝ่ายกำกับและตรวจสอบความเสี่ยงด้านเทคโนโลยีสารสนเทศของ ก.ล.ต. เผยแพร่ "คู่มือการกำกับดูแลความเสี่ยงจากเทคโนโลยีควอนตัม (Quantum Risk Governance & PQC Transition) สำหรับกรรมการบริษัท" ยาว 45 หน้า มี 9 บท และเครื่องมือ 4 ชิ้นที่คณะกรรมการหยิบไปใช้ในห้องประชุมได้เลย
คำตอบสั้น: คู่มือนี้เป็นคำแนะนำ ไม่ใช่กฎหมาย ตัวคู่มือเขียนไว้เองว่า "คู่มือนี้เป็นแนวทางหรือข้อแนะนำในเบื้องต้น มิใช่ข้อกำหนดหรือข้อบังคับทางกฎหมาย" (PDF หน้า 2) สิ่งที่ขอจากคณะกรรมการคือให้รู้ว่าความเสี่ยงอยู่ตรงไหน จัดลำดับว่าอะไรควรทำก่อน และวาง Roadmap โดยธุรกิจไม่สะดุด ไม่ได้ให้เร่งซื้อเทคโนโลยีหรือเปลี่ยนการเข้ารหัสทั้งหมดทันที งานที่เริ่มได้เลยคือกำหนดผู้บริหารที่รับผิดชอบ และเริ่มทำบัญชีว่าองค์กรใช้รหัสลับ (cryptography) อยู่ที่ไหนบ้าง
คู่มือนี้คืออะไร เขียนให้ใครอ่าน
คู่มือระบุผู้อ่านไว้ว่าเป็น "คณะกรรมการ และผู้บริหารระดับสูงขององค์กรในตลาดทุน" (หน้า 4) ไม่ได้เจาะจงว่าเป็นบริษัทจดทะเบียน บล. หรือ บลจ. เหตุที่เป็นเรื่องของกรรมการ คือความเสี่ยงนี้กระทบข้อมูล ธุรกรรม และความเชื่อมั่นของผู้ลงทุนโดยตรง คู่มือจึงมองว่าเป็นงานกำกับดูแล ไม่ใช่โครงการของฝ่าย IT ลำพัง (หน้า 7) ทั้งเล่มไม่มีชื่ออัลกอริทึม PQC สักตัว และทุกบทปิดด้วยตาราง "ควรทำ / ไม่ควรทำ" กับ "คำถามเพื่อการกำกับดูแล" บทละ 5 ข้อ
ทำไมเรื่องนี้มาถึงโต๊ะกรรมการตอนนี้
ยังไม่มีใครบอกได้แน่ว่าคอมพิวเตอร์ควอนตัมที่ถอดรหัสแบบที่ใช้ทุกวันนี้ได้ (CRQC) จะมาเมื่อไร คู่มืออ้างรายงานของ Global Risk Institute ว่าความเสี่ยงอาจเริ่มมีนัยสำคัญในช่วงทศวรรษ 2030 (หน้า 1) Executive Summary ให้เหตุผลว่าทำไมควรเริ่มตั้งแต่วันนี้ (PDF หน้า 2)
- "ข้อมูลอาจเสี่ยงก่อนภัยมาถึง" ข้อมูลที่ถูกดักเก็บวันนี้ รอถอดรหัสในอนาคตได้ เรียกว่า Harvest Now, Decrypt Later (HNDL) ตัวอย่างในคู่มือคือประวัติการซื้อขายที่ต้องเก็บตามกฎหมาย และข้อมูลดีลควบรวมกิจการหรือคำสั่งซื้อขายขนาดใหญ่ที่ยังไม่เปิดเผย (หน้า 5–6)
- "ความน่าเชื่อถืออาจถูกโจมตี" ถ้าลายมือชื่อดิจิทัลหรือใบรับรองถูกปลอมได้ ระบบอาจรับคำสั่งปลอมว่าเป็นของจริง เรียกว่า Trust Now, Forge Later (TNFL) นึกถึงการเปิดบัญชีออนไลน์ ลายมือชื่อบนคำสั่งซื้อขาย และใบรับรองที่โบรกเกอร์ใช้เชื่อมกับโครงสร้างพื้นฐานของตลาด (หน้า 5–6)
- "การเปลี่ยนผ่านต้องใช้เวลา" ระบบเดิม ใบรับรอง อุปกรณ์บริหารกุญแจ และคู่ค้า อาจใช้เวลาเปลี่ยนเป็นปีไปจนถึงหลายปี (หน้า 1)
การเข้ารหัสไม่ได้เสี่ยงเท่ากันหมด รหัสกุญแจสาธารณะอย่าง RSA และ ECC คือส่วนที่เปราะบาง ส่วน AES ได้รับผลกระทบน้อยกว่ามาก (หน้า 5) มาตรฐานที่คู่มืออ้างคือ FIPS 203–205 ของ NIST ซึ่งประกาศใช้ในปี 2024 (หน้า 38)
ฝั่งไทย สกมช. จัดทำ (ร่าง) กรอบการเตรียมความพร้อมเข้าสู่ยุคควอนตัม พ.ศ. 2569–2578 ไว้ คู่มือของ ก.ล.ต. ใช้คำว่าองค์กรในตลาดทุน "อาจพิจารณา" ทำแผนให้สอดคล้องกับกรอบนี้ (หน้า 2) ตารางหน้า 3 แนะนำว่าระบบงานสำคัญและระบบที่มีความเสี่ยงสูง "ควร" ลดความเสี่ยงหรือเปลี่ยนผ่านส่วนที่เสี่ยงสูงให้แล้วเสร็จภายในปี 2030 ส่วนระบบงานทั่วไป "ควร" เปลี่ยนผ่านให้แล้วเสร็จหรือมีมาตรการรองรับที่เหมาะสมภายในปี 2035 พร้อมหมายเหตุว่า "มิใช่การคาดการณ์ปีที่ภัยจากคอมพิวเตอร์ควอนตัมจะเกิดขึ้น"
5 ขั้นตอนสำคัญที่คู่มือแนะนำ
Executive Summary แนะนำ 5 ขั้นตอนสำคัญสำหรับองค์กรไว้ดังนี้ (PDF หน้า 2)
ขั้นที่ 1: กำหนดความรับผิดชอบ
ให้มีผู้บริหารที่รับผิดชอบหลักหนึ่งคน มีอำนาจตัดสินใจ เข้าถึงงบประมาณ และเสนอเรื่องถึง CEO หรือคณะกรรมการได้โดยตรง (หน้า 15) แล้วแบ่งบทบาทตาม Three Lines Model ของ IIA (หน้า 14) คู่มือบอกว่าไม่จำเป็นต้องเขียนนโยบายใหม่แยก ให้รวมเข้ากับกรอบ Cybersecurity, Technology Risk หรือ ERM ที่มีอยู่ (หน้า 14) ตาราง "ไม่ควรทำ" ของบทที่ 1 เตือนไม่ให้ "รับรายงานว่า “อยู่ระหว่างดำเนินการ” โดยไม่มีขอบเขต ระบบเสี่ยงสูง กรอบเวลา หรือหลักฐานประกอบ" (หน้า 7)
ขั้นที่ 2: จัดทำบัญชีรายการการใช้รหัสลับ (CBOM)
CBOM คือทะเบียนที่บอกว่าระบบไหนใช้รหัสอะไร ใช้ทำอะไร ใครเป็นเจ้าของ และพึ่งพาใคร โดยนับรวมคลาวด์ ซอฟต์แวร์สำเร็จรูป API และผู้ให้บริการใบรับรองที่องค์กรไม่ได้คุมเองด้วย (หน้า 17) ยกตัวอย่างสมมติ โบรกเกอร์ที่ใช้ระบบส่งคำสั่งของผู้ขายและ API ของ e-KYC ภายนอก ควรนับบริการทั้งสองไว้ในขอบเขตการสำรวจ และขอข้อมูลการใช้รหัสลับจากผู้ให้บริการด้วย
คู่มือแนะนำให้เชื่อม CBOM กับทะเบียนสินทรัพย์ และไม่พึ่งเครื่องมือหรือแบบสอบถามแหล่งเดียว (หน้า 18) อ่านประกอบได้ในเรื่องทะเบียนสินทรัพย์ และระบบที่เปิดสู่อินเทอร์เน็ต ข้อมูลส่วนนี้ใช้ร่วมกับเอกสารของระบบและข้อมูลจากผู้ให้บริการตอนจัดทำ CBOM ได้ ถ้ายังไม่แน่ใจว่ารอบแรกควรสำรวจระบบไหน คุยกับทีมเรา ได้ ส่วนงานสำรวจในระบบจริงทำผ่านพาร์ทเนอร์ วิธีเริ่มทำอยู่ในบทความเรื่อง CBOM และ Crypto Agility
ขั้นที่ 3: จัดลำดับตามความเสี่ยงทางธุรกิจ
ให้ดูรูปแบบธุรกิจ ความสำคัญของระบบ อายุความลับของข้อมูล ข้อผูกพันตามกฎหมาย และการพึ่งพาผู้ให้บริการ (PDF หน้า 2) คู่มือบอกว่าไม่ควรตั้งเกณฑ์ตายตัวว่าข้อมูลที่เก็บเกิน 10 ปีเท่านั้นจึงเสี่ยงสูง (หน้า 18) ระบบลงนามคำสั่งซื้อขายอาจไม่ได้เก็บข้อมูลนาน แต่ถ้าถูกปลอมได้ ความเสียหายเกิดทันที ข้อมูลส่วนบุคคลยังผูกกับหน้าที่ตาม พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคลด้วย (หน้า 18) (PDPA กับสิ่งที่องค์กรต้องทำ)
บทที่ 3 เสริมด้วยกฎของมอสกา X + Y > Z โดย X คืออายุความลับของข้อมูล Y คือเวลาที่องค์กรต้องใช้เปลี่ยนระบบ และ Z คือเวลาที่คาดว่าเหลือก่อนคอมพิวเตอร์ควอนตัมจะทำลายรหัสปัจจุบันได้ ถ้า X + Y มากกว่า Z ข้อมูลอาจไม่ปลอดภัยตลอดช่วงที่ต้องรักษาความลับ คู่มือแนะนำให้ลองคิดอย่างน้อย 3 กรณี คือมาเร็ว ตามคาด และมาช้า (หน้า 12–13) อ่านต่อได้ในเรื่อง HNDL และกฎของมอสกา
ขั้นที่ 4: ทดสอบก่อนเปลี่ยนจริง
ให้ทดสอบก่อนใช้งานจริง อาจเริ่มจากโครงการนำร่องในขอบเขตที่ควบคุมได้ (PDF หน้า 2) PQC ไม่ได้จบที่การกดอัปเดต อาจต้องแก้โปรโตคอล แอปพลิเคชัน อุปกรณ์ และการเชื่อมต่อกับคู่ค้า (หน้า 9) กุญแจและลายมือชื่อแบบใหม่อาจกระทบเวลาเข้าสู่ระบบและความเร็วธุรกรรม (หน้า 20) สำหรับโบรกเกอร์ ผลทดสอบที่ควรเห็นคือช่วงที่คำสั่งเข้ามาหนาแน่นที่สุดของวัน ส่วนการใช้รหัสเดิมคู่กับ PQC (Hybrid) ก็ไม่ได้ทำให้ปลอดภัยขึ้นเองอัตโนมัติ (หน้า 9–10)
ขั้นที่ 5: สร้างความสามารถในการเปลี่ยนผ่านอย่างต่อเนื่อง
คือ Crypto Agility หรือความสามารถเปลี่ยนหรือยกเลิกอัลกอริทึมได้ทันการณ์ โดยไม่ทำให้บริการหยุดชะงัก และไม่จำเป็นต้องรื้อระบบครั้งใหญ่ทุกครั้ง (หน้า 20) แล้ว "ผนวกการดำเนินการเข้ากับวงจรการพัฒนาระบบ การจัดซื้อจัดจ้าง และการตรวจสอบ" (PDF หน้า 2) คู่มือแนะนำให้ใส่ความพร้อมด้าน PQC ในเกณฑ์จัดซื้อใหม่ทุกรายการ (หน้า 22) ให้ TOR หรือสัญญาของบริการสำคัญครอบคลุม "อย่างน้อย 6 ประการ" (หน้า 22–23) และไม่รับแค่คำยืนยันจากผู้ขายว่ารองรับ PQC แล้วโดยไม่มีหลักฐาน (หน้า 22) รายละเอียดอยู่ในเรื่องความพร้อม PQC ของคู่ค้า
ตัวอย่างสิ่งที่ควรมีใน 12 เดือนแรก
Executive Summary ยกเป็น "ตัวอย่างผลลัพธ์ที่คาดหวังใน 12 เดือนแรก" และขีดเส้นใต้คำว่า "ตัวอย่าง" ไว้ (PDF หน้า 2) องค์กรใช้ตัวอย่างเหล่านี้ประกอบการตั้งผลลัพธ์ของตัวเองได้ โดยคู่มือไม่ได้กำหนดให้ต้องส่งมอบ และไม่ได้ผูกกับปีปฏิทินใด
- "มีผู้บริหารที่รับผิดชอบหลักและบทบาทของแต่ละฝ่ายชัดเจน"
- "มีบัญชีรายการใช้รหัสลับของระบบสำคัญ พร้อมระบุส่วนที่ยังสำรวจไม่ครบ"
- "จัดลำดับความสำคัญ ระบุข้อมูล ระบบ และธุรกรรมที่ต้องดำเนินการก่อน พร้อมเหตุผล"
- "มีการบริหารความเสี่ยงในด้านคู่ค้าและผู้ให้บริการที่เกี่ยวข้อง"
- "มีการกำหนด Roadmap มีการจัดสรรงบประมาณเบื้องต้น"
- "มีโครงการนำร่อง ทดสอบก่อนการเปลี่ยนผ่านหรือการใช้งานจริง"
- "มีการรายงานความคืบหน้า ความเสี่ยงคงเหลือ ปัญหาอุปสรรค งบประมาณ และเรื่องที่ต้องตัดสินใจ ต่อคณะกรรมการ"
บทที่ 9 ไม่ได้กำหนดปีหรือระยะเวลาตายตัวให้แต่ละระยะ ผลลัพธ์ของระยะที่ 1 มี "แผนการดำเนินงาน 12 เดือนแรก" และหน้า 27 ระบุว่า "อาจพิจารณาใช้กรอบปี 2026–2035 ของ สกมช." แต่ไม่ได้จับปีเหล่านั้นใส่ให้ระยะใดระยะหนึ่ง
แผนที่ทั้งเล่ม: 9 บทและเครื่องมือ 4 ชิ้น
| ส่วน | หน้า | ได้อะไรจากส่วนนี้ |
|---|
| บทที่ 1 ความเสี่ยงเชิงยุทธศาสตร์ | 5–8 | HNDL และ TNFL ในงานตลาดทุน เหตุที่เป็นวาระของกรรมการ |
| บทที่ 2 ทางเลือกเทคโนโลยี | 9–11 | PQC เป็นฐาน QKD และ QRNG ใช้เฉพาะกรณี |
| บทที่ 3 กรอบเวลา | 12–13 | กฎของมอสกา และปี 2030–2035 ในฐานะกรอบวางแผน |
| บทที่ 4 บทบาทและความรับผิดชอบ | 14–16 | ผู้บริหารที่รับผิดชอบหลัก Three Lines และรายงานต่อกรรมการ |
| บทที่ 5 CBOM | 17–19 | ขอบเขตบัญชีรายการ และปัจจัยจัดลำดับอย่างน้อย 5 ข้อ |
| บทที่ 6 Crypto Agility | 20–21 | เปลี่ยนโดยบริการไม่หยุด ทดสอบกับงานจริง แผนถอยกลับ |
| บทที่ 7 ห่วงโซ่อุปทาน | 22–24 | จัดลำดับคู่ค้า ขอหลักฐาน เงื่อนไข TOR แผนสำรอง |
| บทที่ 8 บุคลากร | 25–26 | แผนทักษะตามบทบาทสำหรับ 12–24 เดือน |
| บทที่ 9 แผน 5 ระยะ | 27–28 | ตั้งต้น สำรวจ ทดลอง เปลี่ยนผ่าน ทำเป็นงานประจำ |
| เครื่องมือที่ 1 ชุดคำถามเพื่อการกำกับดูแล | 29–32 | คำถาม หลักฐาน และเรื่องที่อาจพิจารณา แยกตามระยะ |
| เครื่องมือที่ 2 ตารางกลั่นกรองความเสี่ยงและลำดับงาน | 33 | เรื่องที่คณะกรรมการควรติดตามก่อน |
| เครื่องมือที่ 3 Dashboard สำหรับคณะกรรมการ | 34–35 | ความเสี่ยงอยู่ที่ไหน เปลี่ยนไปอย่างไร ต้องตัดสินใจอะไร |
| เครื่องมือที่ 4 สรุปภาพรวมคู่ค้า / ผู้ให้บริการรายสำคัญ | 36 | คู่ค้ารายไหนอาจทำให้แผนสะดุด |
ตัวเลขใน Dashboard เป็นค่าสมมติ คู่มือเขียนกำกับว่า "เป็นเพียงตัวอย่างเพื่อการอธิบาย มิใช่ข้อกำหนดหรือแนวทางตามความคาดหวังของสำนักงาน ก.ล.ต." (หน้า 34) ถ้าจะใช้ซอฟต์แวร์ช่วยเก็บข้อมูลบางส่วนของขั้นที่ 2 ดูแพลนได้ที่หน้าราคา แล้วให้พาร์ทเนอร์ยืนยันขอบเขตก่อนตั้งงบ
คู่มือนี้ "ไม่ได้" บังคับอะไรบ้าง
ก.ล.ต. บังคับให้ทำตามไหม?
ไม่ คู่มือเขียนสถานะของตัวเองไว้สามแห่ง (PDF หน้า 2, หน้า 4, หน้า 42) หน้า 42 ระบุว่า "ไม่ใช่ข้อกำหนด หรือหลักเกณฑ์ของสำนักงาน ก.ล.ต." และทั้งเล่มไม่พูดถึงบทลงโทษ การตรวจ หรือการรายงานต่อ ก.ล.ต.
ต้องเสร็จภายในปี 2030 หรือ 2035 หรือเปล่า?
ปี 2569–2578 มาจากกรอบของ สกมช. ที่ยังเป็นฉบับร่าง และ ก.ล.ต. ใช้คำว่า "อาจพิจารณา" (หน้า 2, หน้า 27) เป้าในหน้า 3 ใช้คำว่า "ควร" และตาราง "ควรทำ" ของบทที่ 3 ให้ "ใช้ปี 2030–2035 เป็นกรอบเวลาสำหรับวางแผนและจัดลำดับการดำเนินงาน" ไม่ใช่วันที่คาดว่าภัยจะมา (หน้า 13) ส่วนผลลัพธ์ 12 เดือนเป็นตัวอย่างให้องค์กรใช้ตั้งเป้าของตัวเอง ไม่ใช่สิ่งที่คู่มือกำหนดให้ต้องส่งมอบ
ต้องซื้อ QKD เครื่องมือสแกน หรือตั้งคณะทำงานใหม่ไหม?
ไม่ PQC คือฐานสำหรับองค์กรส่วนใหญ่ ส่วน QKD และ QRNG เป็นทางเลือกเพิ่มเติม ไม่ได้ใช้แทน PQC (หน้า 9–10) หน้า 42 ระบุว่าการกล่าวถึงเทคโนโลยี ผลิตภัณฑ์ หรือบริการ ไม่ได้หมายถึงการรับรองหรือสนับสนุนโดย ก.ล.ต. และเนื้อหาเรื่อง CBOM ในหน้า 17–18 ก็ไม่ได้กำหนดรูปแบบไฟล์หรือมาตรฐาน CBOM ไว้ ส่วนโครงสร้าง คู่มือบอกว่าไม่จำเป็นต้องมีนโยบายใหม่แยก (หน้า 14) และแนะนำให้รายงานคณะกรรมการอย่างน้อยรายไตรมาส (หน้า 15)
ประชุมคณะกรรมการครั้งหน้า เริ่มถามจากตรงไหน
คณะกรรมการไม่จำเป็นต้องใช้คำถามทุกข้อในครั้งเดียว (หน้า 29) ถ้ายังไม่เคยคุยเรื่องนี้ ลองเริ่มจากสองข้อของบทที่ 1 (หน้า 8)
- "องค์กรได้นำความเสี่ยงจากเทคโนโลยีควอนตัมเข้าสู่ทะเบียนความเสี่ยงองค์กรแล้วหรือไม่ และผู้บริหารท่านใดเป็นผู้รับผิดชอบหลักต่อผลลัพธ์โดยรวม?"
- "ข้อมูลหรือธุรกรรมใดขององค์กรต้องได้รับการคุ้มครองเป็นเวลานาน และมีความเสี่ยงจากการถูกดักเก็บวันนี้เพื่อรอถอดรหัสในอนาคต?"
จากนั้นให้ถามว่าส่วนไหนยังไม่ได้สำรวจ ตรงกับที่ตัวอย่างผลลัพธ์ 12 เดือนขอให้ "ระบุส่วนที่ยังสำรวจไม่ครบ" ถ้าทีมใช้ zcrX จะเห็นรายการ certificate และ algorithm บนเครื่องและระบบ build ที่ติดตั้ง Agent ไว้ ให้คะแนนเป็น quantum-safe, ready หรือ not ready และเครื่องที่ไม่มี Agent จะขึ้นว่า "ไม่มีการวัด" แทนที่จะถูกนับว่าปลอดภัย zcrX ช่วยให้เห็นภาพส่วนนี้ ส่วนระบบของคู่ค้า การจัดลำดับ การวางแผน และการเปลี่ยนผ่าน ยังเป็นงานของทีมคุณและพาร์ทเนอร์ ดูขอบเขตการวัดของ zcrX ได้ที่หน้า PQC Readiness
อ่านต่อในซีรีส์นี้
ติดต่อทีมงาน
อยากคุยว่าบัญชีรายการรหัสลับรอบแรกควรเริ่มจากระบบไหน หรือควรเตรียมข้อมูลอะไรก่อนเข้าประชุมคณะกรรมการ คุยกับทีมเราได้ฟรี ไม่มีค่าใช้จ่าย zcr ให้ซอฟต์แวร์ ส่วนงานสำรวจ วางแผน และเปลี่ยนผ่านแบบลงมือจริงดำเนินการผ่านพาร์ทเนอร์
แหล่งข้อมูลอ้างอิง
- ก.ล.ต. — คู่มือการกำกับดูแลความเสี่ยงจากเทคโนโลยีควอนตัม (Quantum Risk Governance & PQC Transition) สำหรับกรรมการบริษัท (กันยายน 2569, PDF) — อ่านเมื่อ 27 ตุลาคม 2026 "หน้า N" คือเลขหน้าที่พิมพ์ในเอกสาร ส่วน "PDF หน้า 2" คือหน้า Executive Summary ซึ่งไม่มีเลขหน้าพิมพ์
