Imported from chiraleo2000/cicd-resource-planner (skills/gemini/SKILL.md). Install upstream with npx skills add chiraleo2000/cicd-resource-planner --skill gemini. Copyright stays with the author.

CI/CD Implementation Analysis — Gemini NotebookLM

Name: gemini
Author: chiraleo2000

Version: 3.0.0 | Platform: Google Gemini / NotebookLM Optimized For: Grounded sources, Audio Overview, FAQ, Briefing Doc

NotebookLM-specific behaviour

This file is a source. Answer only from sources. Cite the source name and section.
Add TOR / spec / the Excel registers as additional sources and cross-reference them.
Prefer NotebookLM native outputs: Study Guide, Briefing Doc, FAQ, Audio Overview, Timeline.
If a source is missing, say so and ask the user to add it — do not invent clauses.

DevSecOps CI/CD — shared methodology

Version: 3.0.0 | Language: Thai (primary) + English (technical terms) Use this file as grounded knowledge. Cite rule IDs and tool ids. Do not invent numbers.

Role

You are a CICD Implementation Analyst — analyse a software project and produce Resource, Cost, Compliance, and Pipeline Workflow recommendations.

Principles

ห้ามเหมารวม — ask before concluding. State assumptions explicitly.
Evidence-Based — every number must be traceable to catalog.json, vendor sizing notes, or a cited standard.
Dual-Audience — executives (cost / risk / timeline) and engineers (spec / config).
Minimum First — minimum viable, then recommended, then optimal.
Compliance-Driven — map every control to a capability and a tool.
Thai Context — Cybersecurity Act 2562, PDPA, NCSA standards, DGA MSPR, license bans (GPL/AGPL) on many government contracts.

Intake (ask before analyse)

Phase 1 — Project context

Project name and owning organisation?
Type? [ภาครัฐ/CII | เอกชน/Enterprise | Internal | Startup | AI/ML]
Environment? [Production | UAT/SIT | DR | Development]
Placement? [On-premise | Cloud | Hybrid | Air-gapped]
Existing infrastructure (VM, container, network)?
Team size and roles?
How many applications / services to deploy?
Build / deploy frequency per day?

Phase 2 — Requirements

TOR / spec path (workspace or upload)?
Mandatory standards (if unknown, derive from profile)?
License restriction (ban GPL/AGPL)?
Security level [พื้นฐาน | ปานกลาง | สูง | สูงสุด]
SLA (uptime, RTO/RPO)?
Budget range?
Delivery timeline?

Phase 3 — Current state

Tools already in use (Git, CI, monitoring)?
Pain points?
DevOps / Security skill level?
Vendors / partners?
Internet constraints (proxy, whitelist, air-gap)?

Analysis chain

Profile → mandatory frameworks → controls (by impact)
       → required capabilities → tools (greedy set-cover, license filter)
       → VM packing (conc_group) → MAX(A, B, C) + OS reserve → ladder

Six pipeline stages (Blueprint V0.2)

Stage	Name	What must happen	Typical tools
1	Source Code	Git, branch protection (≥2 approvers), webhook, audit	GitLab/Gitea, Jenkins/Argo, OPA/Conftest
2	Check & Scan	SAST, secret, SCA, license, quality gate	SonarQube, Semgrep, GitLeaks, Trivy, ScanCode
3	Build & Sign	Compile, image build (rootless), IaC scan, Cosign, SBOM	BuildKit/Kaniko, Checkov, Cosign, Syft
4	Test	Unit/integration, DAST, API, a11y, TLS, load	pytest/Jest, ZAP, Nuclei, Playwright+axe, Locust
5	Store & Version	Private OCI registry, Maven/npm/PyPI repo + proxy, object store, SBOM+sig verify, secrets, logs ≥90d	Harbor + Nexus Repository, Zot, MinIO, OpenSearch, OpenBao/Vault
6	Deploy & Operate	GitOps, orchestration, WAF, runtime, SIEM, backup/DR	Argo CD, K3s, Falco, Prometheus, Velero

Government / CII extras: on-prem or air-gap, no GPL/AGPL without a commercial license, SBOM + signature mandatory, DAST before prod, log retention ≥90 days, audit ≥7 years.

Resource model

A = Peak-Max          MAX(minimum of every tool on that VM)
B1 (strict)           Σ (minimum_i × w_i)
B2 (realistic)        Σ_resident(min×w) + MAX(ci_seq) + MAX(async) + MAX(load)
C = Resident Floor    MAX(idle) + w_max(n) × (Σ idle − MAX(idle))
REQUIRED              MAX(A, B1|B2, C) + OS reserve → round up Allocation Ladder

Planner source of truth (scripts/catalog_data.py):

Solo: w_solo = 0.20 + 0.40 × activity_index → 0.20–0.60
Shared host: w_max(n) = 60%, 54%, 48%, 42%, 36%, 30%, 24%, 20% for n = 1…8+ self-hosted tools on that VM (managed=true does not count)
Effective: w_i = 0.20 + (w_max(n) − 0.20) × activity_index (always 20–60%)
Default calculation mode: realistic (B2)
OS reserve = 1 vCPU, 2 GB RAM, 20 GB disk
Disk free ratio = 25%
Scale factor = 0.55×(builds/10) + 0.30×(apps/2) + 0.15×(team/10) (floor 0.3)

freq	activity	w_solo (n=1)
resident	1.00	0.60
per_commit	0.80	0.52
per_build	0.65	0.46
per_pr	0.55	0.42
nightly	0.35	0.34
weekly	0.15	0.26
on_demand	0.00	0.20

Managed cloud tools (managed=true, min vCPU/RAM = 0) do not consume local VM quota. Prefer self-hosted tools for gov / air-gapped; prefer SaaS only when profile grade_pref=saas (startup).

Storage

Disk_OS   = (OS_reserve + Σ install) / (1 − 0.25)
Data(h)   = GB/day × scale × (1+growth)^(h/12) × MIN(retention, h×30.44) × (1+index_oh)
Disk_Data = Data(h) / (1 − 0.25)

Horizons: 12 / 24 / 36 / 60 months.

Allocation ladder

vCPU: 2, 4, 6, 8, 12, 16, 24, 32, 48, 64
RAM GB: 2, 4, 8, 12, 16, 24, 32, 48, 64, 96, 128, 192, 256
Disk GB: 20, 40, 60, 80, 100, 150, 200, 300, 500, 750, 1000, 1500, 2000, 3000, 4000, 6000, 8000

Air-gapped: add 250 GB OS disk on any VM that hosts registry / SCA / container scan (vulnerability-DB + package mirror).

Project profiles

Profile	Impact	Security	Frameworks (starting set)	License	Log	Cost/yr (THB)
ภาครัฐ / CII	high	สูงสุด	Cyber 2562, PDPA, MIN 2566, MSPR 11, WEB 2568, OWASP 2025	ban GPL/AGPL	90d / audit 7y	5.25M–17.5M+
เอกชน / Enterprise	medium	สูง	PDPA, OWASP 2025, ISO 27001, Cloud 2567	flexible	90d	1.05M–5.25M
Internal / Startup	low	พื้นฐาน–ปานกลาง	OWASP 2025	none	14–30d	0–175k
AI/ML	medium	สูง (data+model)	PDPA, OWASP 2025, ISO 27001, ISO 42001	flexible	90d	1.75M–7M+

Agile delivery (12 sprints / ~6 months)

Phase	Sprints	Focus
1 Foundation	1–3	Git, basic pipeline, container, registry, secret hook, Dev/UAT deploy
2 Security	4–6	SAST+SCA gate, image sign+SBOM, DAST+API+compliance gate
3 Operate	7–9	Logging/SIEM, monitoring/IR, backup/DR, perf test
4 Optimise	10–12	Blue-green/canary, chaos, docs, handover

DORA targets: deploy ≥1/day, lead time <1 day, CFR <15%, MTTR <1h, pipeline success >90%, security gate >85%, coverage >80% (gov).

Definition of Done: peer review, tests ≥80%, SAST no Crit/High, no secrets, no Critical CVE, pipeline green, UAT deploy, rule IDs mapped, artifacts signed.

Cloud vs self-hosted

	Cloud managed	Self-hosted OSS	Self-hosted enterprise
Start cost	low	low	high
Long-term	medium–high	infra + people	license renewals
Air-gap	hybrid agent only	yes	yes
Data sovereignty	pick region	on-prem	on-prem
Lock-in	high	none	medium

Hybrid pattern for Thai government: cloud (or none) for orchestration; on-prem build agents + scanners + registry; production, DB, 90-day logs, and DR stay on-prem.

License classes (do not grep for "GPL")

Class	Examples	Meaning
permissive	MIT, Apache-2.0, BSD	always OK
weak-copyleft	LGPL, MPL, EPL	OK as a separate service
strong-copyleft	GPL	derivative must be open
network-copyleft	AGPL	network use must be open
source-available	BUSL, SSPL, Elastic, RSAL	not OSI
n/a	Proprietary SaaS, hardware	no local copyleft

When GPL/AGPL is banned: prefer ScanCode over FOSSology, OpenSearch over Elasticsearch/Kibana, OpenBao over Vault, avoid MinIO/Grafana/Zabbix/Wazuh/testssl.sh or buy a commercial license.

What the numbers do not cover

Network bandwidth, disk IOPS, license fees, and staff cost are out of scope of the planner. Compliance “pass” means a tool can address a control — it does not prove the control is configured or audited.

Pipeline design (planner IR → mermaid + YAML)

Use this when the user asks for CI/CD architecture, pipeline structure, or working YAML. Do not invent jobs for tools that were not selected. Cite tool ids and gate ids (G-01–G-12).

PipelineIR

Build an intermediate graph from the current plan, then render mermaid and YAML from that graph only.

selected tools + VM packing + profile + disabled jobs
        → PipelineIR
        → mermaid (flow / VMs / envs)
        → .gitlab-ci.yml | .github/workflows/cicd.yml | azure-pipelines.yml | Jenkinsfile

Source of truth in this repo: assets/pipeline.js and scripts/pipeline_gen.py (must stay identical).

IR fields:

orchestrator: gitlab if gitlab-ce; github if github-actions / github-actions-runner; jenkins if jenkins-master / jenkins-agent; azure if azure-devops; else generic (emit GitHub + GitLab)
envs: dev, uat, prod (+ dr when profile is gov)
jobs[]: {id, stage, tool_id, name, needs, when, env, gates, script, enabled}
A job is included only if at least one of its tools is selected
Last stage always includes deploy-dev (auto) → deploy-uat (DAST + quality gate) → deploy-prod (manual). deploy-dr for gov

Stage → job map (emit only when the tool is selected)

Stage	Job id	Tools (first match)	Gates
1 source	`policy`	`opa-conftest`	G-12
2 check	`secret-scan`	`gitleaks`	G-07
2 check	`sast-semgrep`	`semgrep`	G-01
2 check	`sast-sonar`	`sonarqube`	G-09
2 check	`lint`	`linters`
2 check	`sca-trivy`	`trivy`	G-01 G-05
2 check	`sca-owasp`	`dependency-check`	G-01
2 check	`license`	`scancode` then `fossology`	G-08
3 build	`compile`	`maven-gradle`
3 build	`image`	`docker-buildkit`
3 build	`iac`	`checkov`	G-02
3 build	`sbom`	`syft`	G-10
3 build	`sign`	`cosign`	G-11
4 test	`unit`	`unit-test-runner`	G-09
4 test	`integration`	`testcontainers`
4 test	`dast`	`owasp-zap` (UAT)	G-01 G-02
4 test	`api-dast`	`nuclei` (UAT)	G-01
4 test	`a11y`	`playwright-a11y`
4 test	`tls`	`testssl` then `cbomkit`
4 test	`load`	`locust`
5 store	`push-registry`	`harbor` / `nexus-repository` / `zot` / cloud registry	G-10 G-11
5 store	`push-packages`	`nexus-repository` / GAR / Azure Artifacts	G-10
5 store	`verify-sign`	`cosign`	G-11
6 deploy	`deploy-dev` / `deploy-uat` / `deploy-prod` / `deploy-dr`	`argocd` / `k3s-control` / cloud K8s	G-01 G-11
6 deploy	`waf-review` / `runtime` / `backup`	`modsecurity` / `falco` / `velero-restic`

needs are filtered to jobs that actually exist.

Mermaid

Always emit copyable mermaid (flowchart LR for stages, flowchart TB for VMs). In the planner UI the same IR is drawn as offline SVG — do not call a CDN.

YAML files

The planner tab 7. Pipeline และสคริปต์ติดตั้ง shows both artefacts on one page:

Pipeline YAML — env, selected tools (CICD_TOOLS), profile, and CI jobs
- GitHub Actions: .github/workflows/cicd.yml (download name cicd.yml)
- GitLab: .gitlab-ci.yml
- Azure: azure-pipelines.yml
- Jenkins: Jenkinsfile
Install .sh — one script per VM from the resource plan (install/<VM>.sh), plus install/00-common.sh and install/all.sh

ZIP download contains the YAML path above and every install/*.sh.

Working configs, not stubs. Match selected scanners, registry, and deploy tool. Set REGISTRY, NEXUS_URL, UAT_URL in the CI platform variables.

Planner pages

The web planner (schema 1.2.0+) has:

Resource plan (W% 20–60% + per-VM ladder)
Tool catalog
Compliance
Storage
Method
Architecture (mermaid + automation requirements)
Pipeline YAML (cicd.yml + GitLab/Azure/Jenkins) และสคริปต์ .sh ต่อ VM — สองช่องบนหน้าเดียวกัน

Compliance Standards Register (v4 — full dump)

Compiled from Compliance_Standards_Register_CICD_v4.xlsx. Cite rule IDs (TH-/TX-/S-/IN-/IX-/CN-/SC-/G-/W-) in every recommendation.

00_ภาพรวม

ทะเบียนมาตรฐาน กฎหมาย และกรอบปฏิบัติ (Compliance Register)

รวบรวมจากเอกสาร 5 ฉบับ: CICD Blueprint Service V0.2 / CICD Internal Service Proposal (V0.1 + ฉบับเดิม) / แนวปฏิบัติการพัฒนาซอฟต์แวร์ฯ V0.2 (2 ฉบับ)
ชีท	เนื้อหา
01_กฎหมายไทย	พ.ร.บ. / ประกาศ กมช. / มาตรฐาน DGA หลัก — 11 รายการ
01b_กฎหมายลำดับรอง_แนวปฏิบัติ	ประกาศ PDPC, แนวปฏิบัติ/คำแนะนำ สกมช. (Zero Trust/AI/PQC), ETDA, DGA — 24 รายการ
01c_กฎเกณฑ์รายภาคส่วน	ธปท. / ก.ล.ต. / คปภ. / กสทช. / สาธารณสุข / OT-ICS / จัดซื้อฯ / ลิขสิทธิ์ — 15 รายการ
02_มาตรฐานสากล	OWASP / NIST / ISO / PCI / CIS / CSA / W3C / MITRE — 26 รายการ
02b_มาตรฐานสากล_ชุดขยาย	ISO ชุดเสริม, NIST SP ชุดเต็ม, CIS Controls v8.1, CSA CCM, OpenSSF, CISA KEV, GDPR/CRA/NIS2 — 50 รายการ
03_CloudNative_SupplyChain	CNCF / SLSA / SBOM / K8s / DevSecOps / AI-ML — 29 รายการ
04_OWASP_Top10_Mapping	ช่องโหว่ ↔ กฎหมาย/มาตรฐาน ↔ แนวทางป้องกัน — 11 รายการ
05_CICD_Stage_Compliance	Stage 1-6 ↔ เครื่องมือ ↔ ข้อกำหนดที่ต้องปฏิบัติ — 6 รายการ
06_WASS_ขอบเขตบริการ	ข้อกำหนดบริการ WASS 25 หมวด ↔ มาตรฐานรองรับ ↔ หลักฐาน ↔ SLA — 28 รายการ
07_WASS_ประเภทการสแกน	SAST/SCA/Secret/DAST/IAST/API/Container/IaC/Config/TLS/Headers/Network/Malware/A11y/Privacy/Mobile/PenTest/EASM — 18 ประเภท
08_WASS_SeverityGate_SLA	Critical/High/Medium/Low + KEV + EPSS + เกณฑ์ Block ↔ SLA แก้ไข ↔ ผู้อนุมัติ — 12 เกณฑ์
09_WASS_แผนรอบการสแกน	Commit/Build/Release/รายวัน/สัปดาห์/เดือน/90 วัน/6 เดือน/รายปี/Ad-hoc — 10 รอบ
รวมทั้งหมด	155 มาตรฐาน/กฎหมาย/แนวปฏิบัติ + 28 ข้อกำหนด WASS + 18 ประเภทการสแกน + 11 ช่องโหว่
หมายเหตุ WASS	WASS = Web Application Security Scanning — ชีท 06-09 คือชุดเอกสารบริการสแกนความปลอดภัยเว็บแอปพลิเคชันแบบครบวงจร ผูกกับกฎหมายไทยที่บังคับใช้จริง (มาตรฐานเว็บไซต์ สกมช. พ.ศ. 2568, มาตรฐานขั้นต่ำฯ 2566, มสพร.11-2566, PDPA + ประกาศ PDPC 2565) และมาตรฐานสากล (OWASP/NIST/ISO/CIS) ใช้เป็น TOR, Service Catalog, Pipeline Policy และ Audit Checklist ได้ทันที

01_กฎหมายไทย

รหัส	ประเภท	ชื่อกฎหมาย/มาตรฐาน	หน่วยงาน	สถานะ/วันบังคับใช้	สาระสำคัญที่ต้องปฏิบัติ	อ้างอิงในเอกสาร	ลิงก์ทางการ
TH-01	กฎหมายไทย	พ.ร.บ. การรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562	สกมช. (NCSA)	บังคับใช้	CII 7 ภาคส่วน (ความมั่นคง, รัฐบาล, การเงิน, IT/โทรคมนาคม, ขนส่ง, พลังงาน, สาธารณสุข) ตาม ม.3; ประเมินความเสี่ยง/ตรวจสอบ (audit); รายงานเหตุ ม.54-57; 3 ระดับภัยคุกคาม (ไม่ร้ายแรง/ร้ายแรง/วิกฤติ); ThaiCERT	แนวปฏิบัติฯ หัวข้อ 2.1	https://www.ratchakitcha.soc.go.th/DATA/PDF/2562/A/069/T_0020.PDF
TH-02	กฎหมายไทย	พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA)	PDPC	บังคับใช้	ฐานทางกฎหมาย ม.19, 24-26; มาตรการความมั่นคงปลอดภัย ม.37; RoPA ม.39; แจ้งเหตุละเมิดภายใน 72 ชม. ม.37(4); สิทธิเจ้าของข้อมูล; ข้อมูลอ่อนไหว; Privacy by Design/Default; DPO	แนวปฏิบัติฯ 2.2 / OWASP A01,A04	https://ratchakitcha.soc.go.th/documents/17082307.pdf
TH-03	กฎหมายไทย	พ.ร.บ. ว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ 2550/2560	ETDA/DES	บังคับใช้	เก็บ Log จราจรคอมพิวเตอร์อย่างน้อย 90 วัน (อ้างอิงในมาตรฐานขั้นต่ำฯ)	แนวปฏิบัติฯ 2.3 (Log Management)	https://www.etda.or.th/th/Useful-Resource/laws-regulation.aspx
TH-04	กฎหมายไทย	พ.ร.บ. การบริหารงานและการให้บริการภาครัฐผ่านระบบดิจิทัล พ.ศ. 2562	DGA	บังคับใช้	Open Data / e-Service / ธรรมาภิบาลข้อมูลภาครัฐ	แนวปฏิบัติฯ 2.4 (มสพร.11-2566)	https://www.dga.or.th/policy-standard/law-and-regulation/
TH-05	ประกาศ กมช.	มาตรฐานขั้นต่ำของข้อมูลหรือระบบสารสนเทศ พ.ศ. 2566	สกมช. (NCSA)	ราชกิจจาฯ 18 ม.ค. 2567 / บังคับ 18 ม.ค. 2568	Security Categorization ต่ำ/กลาง/สูง (CIA); ระดับต่ำ=Risk Assessment+IR Plan; กลาง=Audit Plan, Remote Connection, Removable Media; สูง=VAPT, Third Party Mgmt, Info Sharing, Resilience & Recovery; Three Lines of Defense; Log 90 วัน; ทบทวนทุก 3 ปี + ซ้อมแผน BCP ทุกปี	แนวปฏิบัติฯ 2.3	https://www.ncsa.or.th/standards
TH-06	ประกาศ กมช.	มาตรฐานด้านการรักษาความมั่นคงปลอดภัยไซเบอร์ระบบคลาวด์ พ.ศ. 2567	สกมช. (NCSA)	บังคับใช้	นโยบาย Cloud First; Shared Responsibility (CSC/CSP); 2 ส่วน: Cloud Security Governance + Cloud Infrastructure Security & Operation; ข้อมูลส่วนบุคคลอย่างน้อย Medium Impact; Least Privilege, Encryption, Monitoring; CSP ควรได้ ISO 27001/27017/27018/27701, CSA STAR	แนวปฏิบัติฯ 2.5	https://www.ncsa.or.th/standards
TH-07	ประกาศ กมช.	มาตรฐานการรักษาความมั่นคงปลอดภัยสำหรับเว็บไซต์ พ.ศ. 2568	สกมช. (NCSA)	ราชกิจจาฯ 16 ก.ย. 2568	2 มิติ: Website Security Governance (แต่งตั้งผู้รับผิดชอบ, นโยบาย, ประเมินความเสี่ยง, IR Plan, BCP, Awareness) + Website Security Operation (MFA, TLS 1.2+, WAF, Logging & Monitoring, Penetration Testing, Secure Coding); Self-Assessment ปีละครั้ง; ระบุใน TOR	แนวปฏิบัติฯ 2.6	https://www.ncsa.or.th/standards
TH-08	แนวปฏิบัติ สกมช.	แนวปฏิบัติการรักษาความมั่นคงปลอดภัยเว็บไซต์ (Website Security Guideline)	สกมช. (NCSA)	แนวปฏิบัติ	คู่มือปฏิบัติประกอบมาตรฐานเว็บไซต์ พ.ศ. 2568	แนวปฏิบัติฯ 2.6	https://www.ncsa.or.th/standards
TH-09	มาตรฐาน DGA	มสพร. 11-2566 มาตรฐานเว็บไซต์ภาครัฐ เวอร์ชัน 3.0	DGA	บังคับ/แนะนำภาครัฐ	8 องค์ประกอบ (ชื่อ/โดเมน .go.th, ข้อมูลพื้นฐาน, Open Data, e-Service, การมีส่วนร่วม, คุณลักษณะที่ควรมี, ความมั่นคงปลอดภัย, ประกาศนโยบาย); WCAG 2.1/2.2 ระดับ AA; HTTPS TLS 1.2/1.3 ห้าม self-signed; Session Mgmt; Machine-readable (CSV/JSON/XML); Privacy & Cookies Policy + Consent Pop-up; Responsive; WAF; Layout Guidelines; ITA	แนวปฏิบัติฯ 2.4	https://standard.dga.or.th/
TH-10	หน่วยงาน	ThaiCERT - ศูนย์ประสานการรักษาความมั่นคงปลอดภัยระบบคอมพิวเตอร์	สกมช.	หน่วยงาน	ศูนย์ประสานเฝ้าระวังและแจ้งเตือนภัยคุกคามไซเบอร์	แนวปฏิบัติฯ 2.1	https://www.thaicert.or.th/
TH-11	การประเมิน	ITA - การประเมินคุณธรรมและความโปร่งใส (ป.ป.ช.)	ป.ป.ช.	ประเมินประจำปี	เชื่อมโยงกับการเปิดเผยข้อมูลภาครัฐบนเว็บไซต์	แนวปฏิบัติฯ 2.4	https://itas.nacc.go.th/

01b_กฎหมายลำดับรอง_แนวปฏิบัติ

รหัส	ประเภท	ชื่อประกาศ/แนวปฏิบัติ	หน่วยงาน	สถานะ	สาระสำคัญที่ต้องปฏิบัติ	ลิงก์ทางการ
TX-01	ประกาศ PDPC	ประกาศ คกก.คุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565	PDPC	บังคับใช้ (ราชกิจจาฯ 20 มิ.ย. 2565)	มาตรฐานขั้นต่ำตาม ม.37(1): มาตรการเชิงองค์กร+เทคนิค+กายภาพ; ครอบคลุม CIA; Defense in Depth หลายชั้น; Access Control + Identity Proofing/Authentication/Authorization; Least Privilege & Need-to-know; User Access Management (registration/de-registration/provisioning/review/removal); Audit Trails; Privacy & Security Awareness; ทบทวนเมื่อเทคโนโลยีเปลี่ยนหรือเกิดเหตุละเมิด; กำหนดให้ผู้ประมวลผลปฏิบัติตามผ่าน DPA	https://www.ratchakitcha.soc.go.th/DATA/PDF/2565/E/140/T_0028.PDF
TX-02	ประกาศ PDPC	ประกาศ PDPC เรื่อง หลักเกณฑ์และวิธีการในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล พ.ศ. 2565	PDPC	บังคับใช้	แจ้ง สคส. ภายใน 72 ชั่วโมงนับแต่ทราบเหตุ; ประเมินความเสี่ยงต่อสิทธิเสรีภาพ; แจ้งเจ้าของข้อมูลเมื่อความเสี่ยงสูง; บันทึกเหตุละเมิดทุกกรณี	https://www.dga.or.th/document/106115/
TX-03	ประกาศ PDPC	ประกาศ PDPC เรื่อง หลักเกณฑ์เกี่ยวกับบันทึกรายการกิจกรรมการประมวลผล (RoPA) ของผู้ประมวลผลข้อมูลส่วนบุคคล พ.ศ. 2565	PDPC	บังคับใช้	รายละเอียด RoPA ตาม ม.39/ม.40(3); ระบุวัตถุประสงค์ ประเภทข้อมูล ผู้รับข้อมูล ระยะเวลาเก็บ มาตรการความปลอดภัย	https://www.pdpc.or.th/
TX-04	ประกาศ PDPC	ประกาศ PDPC เรื่อง การยกเว้นการบันทึกรายการฯ สำหรับกิจการขนาดเล็ก พ.ศ. 2565	PDPC	บังคับใช้	เงื่อนไขยกเว้น RoPA สำหรับ SME (ยกเว้นไม่ครอบคลุมข้อมูลอ่อนไหว/ประมวลผลความเสี่ยงสูง)	https://www.pdpc.or.th/
TX-05	ประกาศ PDPC	ประกาศ PDPC เรื่อง มาตรการคุ้มครองสำหรับการส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศ พ.ศ. 2566/2567	PDPC	บังคับใช้	ม.28-29: Adequacy, BCRs, SCCs; สำคัญกรณีใช้ Cloud/SaaS ต่างประเทศ (เช่น Azure DevOps เก็บ data ที่ US ตามที่ระบุใน Proposal)	https://www.pdpc.or.th/
TX-06	ประกาศ PDPC	ประกาศ PDPC เรื่อง หลักเกณฑ์การพิจารณาออกคำสั่งลงโทษปรับทางปกครอง พ.ศ. 2565	PDPC	บังคับใช้	โทษปรับทางปกครองสูงสุด 5 ล้านบาท (ข้อมูลอ่อนไหว)	https://www.pdpc.or.th/
TX-07	แนวปฏิบัติ สกมช.	แนวปฏิบัติการใช้ซีโร่ทรัสต์ (Zero Trust Guidelines)	สกมช. (NCSA)	แนวปฏิบัติ (ใหม่)	แนวทางประยุกต์ Zero Trust ตาม NIST SP 800-207 สำหรับหน่วยงานรัฐ/CII ไทย	https://www.ncsa.or.th/standards
TX-08	แนวปฏิบัติ สกมช.	แนวปฏิบัติการใช้ปัญญาประดิษฐ์อย่างมั่นคงปลอดภัย (AI Security Guidelines)	สกมช. (NCSA)	แนวปฏิบัติ (ใหม่)	ความมั่นคงปลอดภัยของการนำ AI มาใช้ — เกี่ยวข้องกับ Pipeline AI/ML ใน Blueprint	https://www.ncsa.or.th/standards
TX-09	คำแนะนำ สกมช.	คำแนะนำ เรื่อง แนวทางการปฏิบัติการเตรียมความพร้อมสำหรับยุคควอนตัม (Guidelines for Post-Quantum Readiness)	สกมช. (NCSA)	คำแนะนำ	สอดคล้องหัวข้อ 3.11 Post-Quantum Threat & Crypto-Agility และ 6.2 PQC ในเอกสารแนวปฏิบัติฯ	https://www.ncsa.or.th/standards
TX-10	ประกาศ สกมช.	ประกาศ สกมช. เรื่อง แนวทางการกำหนดคุณลักษณะความมั่นคงปลอดภัยไซเบอร์ให้แก่ข้อมูลหรือระบบสารสนเทศ พ.ศ. 2567	สกมช. (NCSA)	บังคับใช้	แนวทางประกอบมาตรฐานขั้นต่ำฯ 2566 — วิธี Security Categorization (Low/Medium/High) ตาม CIA	https://www.ncsa.or.th/standards
TX-11	ประกาศ กมช.	ประมวลแนวทางปฏิบัติและกรอบมาตรฐานด้านการรักษาความมั่นคงปลอดภัยไซเบอร์ สำหรับหน่วยงานของรัฐและ CII พ.ศ. 2564 (Code of Practice)	กมช./สกมช.	บังคับใช้	กรอบ Identify-Protect-Detect-Respond-Recover; นโยบาย, โครงสร้างบุคลากร, การประเมินความเสี่ยง, แผนรับมือ; เป็นฐานของมาตรฐานลูกทั้งหมด	https://www.ncsa.or.th/standards
TX-12	แนวทาง สกมช.	แนวทางการแจ้งหรือรายงานเหตุการณ์ภัยคุกคามทางไซเบอร์ ตาม ม.57/58 พ.ร.บ.ไซเบอร์ฯ	สกมช. (NCSA)	แนวปฏิบัติ	ขั้นตอน/แบบฟอร์ม/ระยะเวลาการรายงานเหตุภัยคุกคามไปยัง สกมช./ThaiCERT	https://www.ncsa.or.th/standards
TX-13	แนวทาง สกมช.	คำแนะนำ แนวทางปฏิบัติในการประเมินความเสี่ยงและการตรวจสอบด้านความมั่นคงปลอดภัยไซเบอร์ สำหรับ CII	สกมช. (NCSA)	แนวปฏิบัติ	Risk Assessment + Cybersecurity Audit ตาม ม.44-45; แผนการตรวจสอบประจำปี	https://www.ncsa.or.th/standards
TX-14	แบบประเมิน สกมช.	แบบประเมินสถานภาพการดำเนินงานด้านการรักษาความมั่นคงปลอดภัยไซเบอร์ (หน่วยงานรัฐ/CII/หน่วยงานกำกับ)	สกมช. (NCSA)	แบบฟอร์ม	ใช้ประเมินตนเองประจำปี; คู่กับ แบบฟอร์ม ค. ของมาตรฐานเว็บไซต์ 2568	https://www.ncsa.or.th/standards
TX-15	แบบฟอร์ม สกมช.	แบบฟอร์ม ค สำหรับดำเนินการตามมาตรฐานความมั่นคงปลอดภัยสำหรับเว็บไซต์	สกมช. (NCSA)	แบบฟอร์ม	แบบ Self-Assessment ที่ต้องส่งปีละครั้งตามมาตรฐานเว็บไซต์ พ.ศ. 2568	https://www.ncsa.or.th/standards
TX-16	แนวทางชาติ	แนวทางการยกระดับดัชนี Global Cybersecurity Index (GCI) ของ ITU สำหรับประเทศไทย ระยะ 3 ปี (2568-2570)	สกมช. / ITU	แผนระดับชาติ	ตัวชี้วัดระดับชาติ 5 เสา (Legal, Technical, Organizational, Capacity, Cooperation)	https://www.ncsa.or.th/standards
TX-17	แผนชาติ	(ร่าง) แผนรับมือเหตุการณ์ทางไซเบอร์ / National Cyber Exercise	สกมช.	แผน/การฝึก	การซ้อมแผนรับมือประจำปี — สอดคล้องข้อกำหนดซ้อม BCP ปีละครั้งในมาตรฐานขั้นต่ำฯ	https://www.ncsa.or.th/standards
TX-18	มาตรฐาน ETDA	ขมธอ. (ข้อเสนอแนะมาตรฐานฯ) ชุดความมั่นคงปลอดภัยสารสนเทศและธุรกรรมอิเล็กทรอนิกส์	ETDA (สพธอ.)	ข้อเสนอแนะมาตรฐาน	ชุดมาตรฐานอ้างอิงสำหรับระบบธุรกรรมอิเล็กทรอนิกส์ (เช่น ขมธอ. 35-2567), Digital ID, e-Signature	https://www.etda.or.th/th/Our-Service/Recommendation.aspx
TX-19	กฎหมาย	พ.ร.ฎ. ว่าด้วยการควบคุมดูแลธุรกิจบริการแพลตฟอร์มดิจิทัล พ.ศ. 2565 (DPS)	ETDA	บังคับใช้	หน้าที่แจ้งข้อมูลและมาตรการดูแลผู้ใช้บริการแพลตฟอร์มดิจิทัล	https://www.etda.or.th/th/Useful-Resource/laws-regulation.aspx
TX-20	กฎหมาย	พ.ร.ก. มาตรการป้องกันและปราบปรามอาชญากรรมทางเทคโนโลยี พ.ศ. 2566	DES	บังคับใช้	การระงับธุรกรรม/บัญชีม้า และการแลกเปลี่ยนข้อมูลระหว่างหน่วยงาน	https://www.mdes.go.th/law
TX-21	มาตรฐาน DGA	มาตรฐานรัฐบาลดิจิทัล (มรด./มสพร.) ชุดธรรมาภิบาลข้อมูลภาครัฐ (Data Governance Framework)	DGA	มาตรฐานภาครัฐ	กรอบธรรมาภิบาลข้อมูล, Data Catalog, Metadata, การจำแนกชั้นความลับข้อมูล	https://standard.dga.or.th/
TX-22	มาตรฐาน DGA	มาตรฐาน DGA ชุดความมั่นคงปลอดภัยและการเชื่อมโยงข้อมูลภาครัฐ (GDX / API Standards)	DGA	มาตรฐานภาครัฐ	มาตรฐาน API ภาครัฐ, การเชื่อมโยงและแลกเปลี่ยนข้อมูล, Digital ID ภาครัฐ	https://standard.dga.or.th/
TX-23	นโยบายคลาวด์	นโยบาย Cloud First Policy ภาครัฐ / GDCC (Government Data Center and Cloud Service)	DES/DGA/NT	นโยบายภาครัฐ	ข้อกำหนดใช้คลาวด์ภาครัฐ; อ้างถึงใน มาตรฐานคลาวด์ สกมช. 2567	https://www.dga.or.th/policy-standard/
TX-24	คำแนะนำ สกมช.	คำแนะนำ แนวทางการดำเนินงานด้านความมั่นคงปลอดภัยไซเบอร์สำหรับโรงพยาบาลของรัฐ พ.ศ. 2567	สกมช.	คำแนะนำเฉพาะภาคส่วน	ตัวอย่างมาตรฐานเฉพาะ CII ภาคสาธารณสุข (1 ใน 7 ภาคส่วน)	https://www.ncsa.or.th/standards

01c_กฎเกณฑ์รายภาคส่วน

รหัส	ภาคส่วน	ชื่อกฎหมาย/ประกาศ	หน่วยงานกำกับ	สาระสำคัญ	ลิงก์ทางการ
S-01	การเงิน/ธนาคาร	ประกาศ ธปท. สนส. เรื่อง การกำกับดูแลความเสี่ยงด้านเทคโนโลยีสารสนเทศ (IT Risk Management)	ธนาคารแห่งประเทศไทย (ธปท./BOT)	IT Governance, IT Risk Management, IT Security, Cyber Resilience, Third Party Risk; บังคับสถาบันการเงินและ Non-bank; ครอบคลุม SDLC/Change Management และการทดสอบเจาะระบบ	https://www.bot.or.th/th/our-roles/payment-systems/information-technology-risk-supervision.html
S-02	การเงิน/ธนาคาร	แนวปฏิบัติ ธปท. เรื่อง การบริหารความเสี่ยงด้านเทคโนโลยีสารสนเทศ (2566)	ธปท. (BOT)	หนังสือเวียน 9 พ.ย. 2566 ถึงสถาบันการเงินทุกแห่ง; ยกระดับ Cyber Resilience และการรายงานเหตุการณ์	https://www.bot.or.th/content/dam/bot/fipcs/documents/FOG/2566/ThaiPDF/25660202.pdf
S-03	ตลาดทุน	ประกาศ ก.ล.ต. เรื่อง ข้อกำหนดในรายละเอียดเกี่ยวกับการจัดให้มีระบบเทคโนโลยีสารสนเทศ (IT Governance / Cyber Resilience)	สำนักงาน ก.ล.ต. (SEC)	บังคับผู้ประกอบธุรกิจในตลาดทุน (บล./บลจ./ผู้ประกอบธุรกิจสินทรัพย์ดิจิทัล); ต้องมี IT Governance, Cybersecurity, การทดสอบ VAPT, IT Audit และรายงานเหตุการณ์	https://www.sec.or.th/TH/Pages/CYBERRESILIENCE-REGULATIONS.aspx
S-04	ประกันภัย	ประกาศ คปภ. เรื่อง หลักเกณฑ์ วิธีการออกกรมธรรม์ฯ และกรอบการบริหารความเสี่ยงด้านเทคโนโลยีสารสนเทศ	สำนักงาน คปภ. (OIC)	บังคับบริษัทประกันชีวิต/วินาศภัย; IT Risk Framework, Cybersecurity Governance, IT Audit, ERM/ORSA	https://www.oic.or.th/th/industry/law
S-05	โทรคมนาคม	ประกาศ กสทช. ด้านความมั่นคงปลอดภัยไซเบอร์และการคุ้มครองข้อมูลผู้ใช้บริการโทรคมนาคม	กสทช. (NBTC)	ผู้ให้บริการโทรคมนาคมเป็น CII 1 ใน 7 ภาคส่วน; ต้องมี VAPT และมาตรการคุ้มครองข้อมูลผู้ใช้	https://www.nbtc.go.th/
S-06	สาธารณสุข	คำแนะนำ สกมช. แนวทางการดำเนินงานด้านความมั่นคงปลอดภัยไซเบอร์สำหรับโรงพยาบาลของรัฐ พ.ศ. 2567 + มาตรฐาน HA IT	สกมช. / สธ.	CII ภาคสาธารณสุข; ป้องกันข้อมูลสุขภาพซึ่งเป็นข้อมูลอ่อนไหวตาม PDPA ม.26	https://www.ncsa.or.th/standards
S-07	พลังงาน/ขนส่ง	ข้อกำหนด CII ภาคพลังงานและขนส่ง (OT/ICS Security)	สกมช. + หน่วยงานกำกับรายสาขา	ระบบควบคุมอุตสาหกรรม (SCADA/ICS); อ้างอิง IEC 62443 และ NIST SP 800-82	https://www.ncsa.or.th/standards
S-08	OT/ICS	IEC 62443 (Industrial Automation and Control Systems Security) / NIST SP 800-82r3	IEC / NIST	มาตรฐานสากลสำหรับ CII ภาคพลังงาน ขนส่ง และสาธารณูปโภค	https://csrc.nist.gov/pubs/sp/800/82/r3/final
S-09	การชำระเงิน	พ.ร.บ. ระบบการชำระเงิน พ.ศ. 2560 + ประกาศ ธปท. e-Payment Security	ธปท.	ผู้ให้บริการชำระเงินต้องมีมาตรฐานความมั่นคงปลอดภัย และสอดคล้อง PCI DSS	https://www.bot.or.th/th/our-roles/payment-systems.html
S-10	Digital ID	มาตรฐาน Digital ID / การพิสูจน์และยืนยันตัวตนทางดิจิทัล (ThaID, DGA Digital ID, ETDA Digital ID Framework)	DGA / ETDA / กรมการปกครอง	IAL/AAL Levels ตาม NIST SP 800-63; ใช้กับ e-Service ภาครัฐตาม มสพร.11-2566	https://www.dga.or.th/our-services/digital-platform-services/digitalid/
S-11	จัดซื้อจัดจ้าง	พ.ร.บ. การจัดซื้อจัดจ้างและการบริหารพัสดุภาครัฐ พ.ศ. 2560	กรมบัญชีกลาง	กรอบการเขียน TOR โครงการพัฒนาระบบ/เว็บ; ต้องระบุข้อกำหนดความมั่นคงปลอดภัยตามมาตรฐาน สกมช.	https://www.gprocurement.go.th/
S-12	ลิขสิทธิ์	พ.ร.บ. ลิขสิทธิ์ พ.ศ. 2537 (แก้ไข 2565)	กรมทรัพย์สินทางปัญญา	การใช้ Open Source License ให้ถูกต้อง — เชื่อมกับ License Compliance ใน Blueprint Stage 2 (ห้าม GPL/AGPL ภาครัฐ)	https://www.ipthailand.go.th/
S-13	ธุรกรรมอิเล็กทรอนิกส์	พ.ร.บ. ว่าด้วยธุรกรรมทางอิเล็กทรอนิกส์ พ.ศ. 2544 (แก้ไข 2562)	ETDA	ผลทางกฎหมายของเอกสาร/ลายมือชื่ออิเล็กทรอนิกส์; ฐานของ e-Signature และ Audit Trail	https://www.etda.or.th/th/Useful-Resource/laws-regulation.aspx
S-14	ข้อมูลข่าวสาร	พ.ร.บ. ข้อมูลข่าวสารของราชการ พ.ศ. 2540	สำนักงาน กพร./สขร.	การเปิดเผยข้อมูลบนเว็บไซต์ภาครัฐ; คู่กับ ITA และ Open Data	https://www.oic.go.th/
S-15	ความมั่นคง	พ.ร.บ. ความมั่นคงแห่งชาติ / ระเบียบว่าด้วยการรักษาความลับของทางราชการ พ.ศ. 2544	สมช. / สำนักนายกฯ	การจำแนกชั้นความลับข้อมูลราชการ (ลับ/ลับมาก/ลับที่สุด) — ประกอบ Data Classification	https://www.nsc.go.th/

02_มาตรฐานสากล

รหัส	กลุ่ม	ชื่อมาตรฐาน	ผู้ออก	สาระสำคัญ / ส่วนที่อ้างถึง	อ้างอิงในเอกสาร	ลิงก์ทางการ
IN-01	OWASP	OWASP Top 10 (2021 / 2025)	OWASP	A01-A10 + Post-Quantum ในเอกสาร	แนวปฏิบัติฯ บทที่ 3	https://owasp.org/Top10/
IN-02	OWASP	OWASP ASVS (Application Security Verification Standard)	OWASP	V1 Design, V4 Access Control, V5 Injection, V7 Error Handling	แนวปฏิบัติฯ 3.1,3.5,3.6,3.10	https://owasp.org/www-project-application-security-verification-standard/
IN-03	OWASP	OWASP ZAP (DAST)	OWASP	เครื่องมือ DAST/Pen Test ใน CI Pipeline	CICD Proposal Stage 4 / Blueprint Stage 4	https://www.zaproxy.org/
IN-04	OWASP	OWASP Dependency-Check (SCA)	OWASP	สแกน CVE ใน 3rd-party libraries	CICD Proposal / Blueprint Stage 2	https://owasp.org/www-project-dependency-check/
IN-05	OWASP	OWASP Top 10 CI/CD Security Risks	OWASP	ความเสี่ยงเฉพาะ CI/CD pipeline	Blueprint (Supply Chain)	https://owasp.org/www-project-top-10-ci-cd-security-risks/
IN-06	OWASP	OWASP SAMM / Cheat Sheet Series	OWASP	Secure Coding / Maturity Model	แนวปฏิบัติฯ DevSecOps	https://owaspsamm.org/
IN-07	NIST	NIST SP 800-218 SSDF v1.1	NIST	Secure Software Development Framework - อ้างใน A08 Integrity Failures	แนวปฏิบัติฯ 3.8	https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-218.pdf
IN-08	NIST	NIST SP 800-207 Zero Trust Architecture	NIST	Control Plane (PE/PA) + Data Plane (PEP); CDM, Threat Intel, PKI, ID Mgmt, SIEM	แนวปฏิบัติฯ 4.3	https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-207.pdf
IN-09	NIST	NIST SP 800-161r1 C-SCRM	NIST	Supply Chain Risk - อ้างใน A03 Software Supply Chain Failures	แนวปฏิบัติฯ 3.3	https://csrc.nist.gov/pubs/sp/800/161/r1/final
IN-10	NIST	NIST SP 800-63B Digital Identity Guidelines	NIST	Authentication - อ้างใน A07 Authentication Failures (MFA, password hashing)	แนวปฏิบัติฯ 3.7	https://pages.nist.gov/800-63-3/sp800-63b.html
IN-11	NIST	NIST CSF 2.0	NIST	Govern / Identify / Protect / Detect / Respond / Recover - โครง Roadmap บทที่ 5	แนวปฏิบัติฯ 5.1-5.4	https://www.nist.gov/cyberframework
IN-12	NIST	NIST Post-Quantum Cryptography (PQC) + CSWP 39 Crypto-Agility	NIST	CRYSTALS-Kyber, hybrid encryption, migration plan	แนวปฏิบัติฯ 3.11, 6.2	https://csrc.nist.gov/projects/post-quantum-cryptography
IN-13	NIST	NIST SP 800-53 Rev.5	NIST	Security & Privacy Controls (baseline อ้างอิงมาตรฐานขั้นต่ำฯ)	แนวปฏิบัติฯ 2.3	https://csrc.nist.gov/pubs/sp/800/53/r5/upd1/final
IN-14	ISO/IEC	ISO/IEC 27001:2022 (ISMS)	ISO	A.9 Access Control, A.10 Cryptography, A.12 Operations/Logging, A.14 Secure Development, A.15 Supplier Security	แนวปฏิบัติฯ บทที่ 3 ทุกข้อ	https://www.iso.org/standard/27001
IN-15	ISO/IEC	ISO/IEC 27002:2022	ISO	แนวปฏิบัติควบคุมประกอบ 27001	แนวปฏิบัติฯ บทที่ 3	https://www.iso.org/standard/75652.html
IN-16	ISO/IEC	ISO/IEC 27017 (Cloud Security)	ISO	CSP ภาครัฐควรได้รับการรับรอง	แนวปฏิบัติฯ 2.5	https://www.iso.org/standard/43757.html
IN-17	ISO/IEC	ISO/IEC 27018 (PII in Public Cloud)	ISO	CSP ภาครัฐควรได้รับการรับรอง	แนวปฏิบัติฯ 2.5	https://www.iso.org/standard/76559.html
IN-18	ISO/IEC	ISO/IEC 27701 (PIMS)	ISO	Privacy Information Management - เชื่อมกับ PDPA	แนวปฏิบัติฯ 2.5	https://www.iso.org/standard/85819.html
IN-19	PCI	PCI DSS v4.0	PCI SSC	Req 2 (config), Req 3-4 (crypto), Req 6.5 (injection), Req 10 (logging)	แนวปฏิบัติฯ 3.2,3.4,3.5,3.9	https://www.pcisecuritystandards.org/document_library/
IN-20	CIS	CIS Benchmarks	CIS	Hardening baseline - อ้างใน A02 Security Misconfiguration	แนวปฏิบัติฯ 3.2	https://www.cisecurity.org/cis-benchmarks
IN-21	CSA	CSA STAR Registry	Cloud Security Alliance	กรอบรับรอง CSP	แนวปฏิบัติฯ 2.5	https://cloudsecurityalliance.org/star/
IN-22	W3C	WCAG 2.1 / 2.2 ระดับ AA	W3C	Web Accessibility ตาม มสพร.11-2566	แนวปฏิบัติฯ 2.4	https://www.w3.org/TR/WCAG22/
IN-23	IETF	TLS 1.2 / TLS 1.3 (RFC 5246 / RFC 8446)	IETF	บังคับใช้ตามมาตรฐานเว็บไซต์ 2568 และ มสพร.11-2566	แนวปฏิบัติฯ 2.4, 2.6	https://datatracker.ietf.org/doc/html/rfc8446
IN-24	MITRE	MITRE ATT&CK	MITRE	Threat modeling / Detection mapping	แนวปฏิบัติฯ Threat Modeling	https://attack.mitre.org/
IN-25	MITRE	CWE Top 25 / CVE / CVSS	MITRE / FIRST	ฐานข้อมูลช่องโหว่ที่ SCA และ Container Scan ใช้เทียบ	Blueprint Stage 2-3	https://cwe.mitre.org/top25/
IN-26	Threat Model	STRIDE / PASTA	Microsoft / VerSprite	Threat Modeling - อ้างใน A06 Insecure Design	แนวปฏิบัติฯ 3.6	https://learn.microsoft.com/en-us/azure/security/develop/threat-modeling-tool-threats

02b_มาตรฐานสากล_ชุดขยาย

รหัส	กลุ่ม	ชื่อมาตรฐาน	ผู้ออก	สาระสำคัญ / การนำไปใช้	ลิงก์ทางการ
IX-01	ISO/IEC	ISO/IEC 27005 (Information Security Risk Management)	ISO	กระบวนการประเมินและจัดการความเสี่ยง — ใช้ตอบข้อกำหนด Risk Assessment ของ สกมช.	https://www.iso.org/standard/80585.html
IX-02	ISO/IEC	ISO/IEC 27035 (Incident Management)	ISO	แผนรับมือเหตุการณ์ (IR Plan) ตามมาตรฐานขั้นต่ำฯ และ ม.57/58	https://www.iso.org/standard/78973.html
IX-03	ISO/IEC	ISO/IEC 27031 / ISO 22301 (BCMS)	ISO	Business Continuity & IT Readiness — ข้อกำหนด BCP + ซ้อมแผนปีละครั้ง	https://www.iso.org/standard/75106.html
IX-04	ISO/IEC	ISO/IEC 27034 (Application Security)	ISO	ความมั่นคงปลอดภัยของแอปพลิเคชันตลอด SDLC	https://www.iso.org/standard/44378.html
IX-05	ISO/IEC	ISO/IEC 27036 (Supplier Relationships / ICT Supply Chain)	ISO	Third Party Management ตามมาตรฐานขั้นต่ำฯ ระดับสูง	https://www.iso.org/standard/59648.html
IX-06	ISO/IEC	ISO/IEC 29100 / 29134 (Privacy Framework / DPIA)	ISO	Privacy by Design และการประเมินผลกระทบด้านความเป็นส่วนตัว (DPIA) คู่กับ PDPA	https://www.iso.org/standard/85938.html
IX-07	ISO/IEC	ISO/IEC 5962:2021 (SPDX)	ISO	มาตรฐานสากลรูปแบบ SBOM	https://www.iso.org/standard/81870.html
IX-08	ISO/IEC	ISO/IEC 42001:2023 (AI Management System)	ISO	ระบบบริหารจัดการ AI — สำหรับ Pipeline AI/ML	https://www.iso.org/standard/42001
IX-09	ISO/IEC	ISO/IEC 20000-1 (ITSM) / ITIL 4	ISO / AXELOS	Change Management, Release Management ประกอบ CD Pipeline	https://www.iso.org/standard/70636.html
IX-10	ISO/IEC	ISO/IEC 25010 (SQuaRE - Software Quality Model)	ISO	แบบจำลองคุณภาพซอฟต์แวร์ — ประกอบ Code Quality Gate	https://www.iso.org/standard/78176.html
IX-11	ISO/IEC	ISO/IEC 12207 (Software Life Cycle Processes)	ISO	กระบวนการวงจรชีวิตซอฟต์แวร์ (SDLC)	https://www.iso.org/standard/63712.html
IX-12	NIST	NIST SP 800-190 Application Container Security Guide	NIST	ความมั่นคงปลอดภัยของ Container — Registry, Image, Orchestrator, Runtime	https://csrc.nist.gov/pubs/sp/800/190/final
IX-13	NIST	NIST SP 800-204 / 204A / 204B / 204C (Microservices & Service Mesh Security)	NIST	ความปลอดภัย Microservices, Service Mesh, DevSecOps สำหรับ cloud-native	https://csrc.nist.gov/pubs/sp/800/204/final
IX-14	NIST	NIST SP 800-171 / 800-172	NIST	การป้องกันข้อมูลควบคุมที่ไม่เป็นความลับ (CUI) ในระบบภายนอก	https://csrc.nist.gov/pubs/sp/800/171/r3/final
IX-15	NIST	NIST SP 800-61r2 Computer Security Incident Handling Guide	NIST	กระบวนการ IR 4 ระยะ — ประกอบแผนรับมือเหตุการณ์	https://csrc.nist.gov/pubs/sp/800/61/r2/final
IX-16	NIST	NIST SP 800-34 Contingency Planning Guide	NIST	BCP/DRP — Resilience & Recovery ตามมาตรฐานขั้นต่ำฯ ระดับสูง	https://csrc.nist.gov/pubs/sp/800/34/r1/upd1/final
IX-17	NIST	NIST SP 800-92 Guide to Computer Security Log Management	NIST	การบริหารจัดการ Log — เก็บ 90 วันตาม พ.ร.บ.คอมพิวเตอร์	https://csrc.nist.gov/pubs/sp/800/92/final
IX-18	NIST	NIST SP 800-115 Technical Guide to Security Testing and Assessment	NIST	แนวทาง VAPT / Penetration Testing	https://csrc.nist.gov/pubs/sp/800/115/final
IX-19	NIST	NIST SP 800-40 Guide to Enterprise Patch Management	NIST	Patch & Vulnerability Management	https://csrc.nist.gov/pubs/sp/800/40/r4/final
IX-20	NIST	NIST SP 800-88 Guidelines for Media Sanitization	NIST	การลบ/ทำลายข้อมูล — Removable Media ตามมาตรฐานขั้นต่ำฯ ระดับกลาง	https://csrc.nist.gov/pubs/sp/800/88/r1/final
IX-21	NIST	NIST SP 800-146 / 800-144 Cloud Computing Security	NIST	ความปลอดภัยคลาวด์ — ประกอบมาตรฐานคลาวด์ สกมช. 2567	https://csrc.nist.gov/pubs/sp/800/144/final
IX-22	NIST	NIST SP 800-137 Information Security Continuous Monitoring (ISCM)	NIST	Continuous Monitoring / CDM ใน Zero Trust	https://csrc.nist.gov/pubs/sp/800/137/final
IX-23	NIST	NIST SP 1800-35 Implementing a Zero Trust Architecture	NIST NCCoE	คู่มือปฏิบัติจริงการ implement ZTA	https://www.nccoe.nist.gov/projects/implementing-zero-trust-architecture
IX-24	NIST	NVD (National Vulnerability Database)	NIST	ฐานข้อมูลช่องโหว่ที่ SCA/Container Scan ใช้อ้างอิง	https://nvd.nist.gov/
IX-25	OWASP	OWASP MASVS / Mobile Top 10	OWASP	ความปลอดภัยแอปพลิเคชันมือถือ	https://mas.owasp.org/MASVS/
IX-26	OWASP	OWASP API Security Top 10 (2023)	OWASP	ความเสี่ยงเฉพาะ API — ประกอบ API Security Testing Stage 4	https://owasp.org/API-Security/editions/2023/en/0x11-t10/
IX-27	OWASP	OWASP Software Component Verification Standard (SCVS)	OWASP	การตรวจสอบ supply chain ของ component + SBOM	https://owasp.org/www-project-software-component-verification-standard/
IX-28	OWASP	OWASP DevSecOps Guideline / Proactive Controls	OWASP	แนวทางฝัง security ใน CI/CD และ Top 10 Proactive Controls	https://owasp.org/www-project-devsecops-guideline/
IX-29	OWASP	OWASP Threat Dragon / Threat Modeling Cheat Sheet	OWASP	เครื่องมือ Threat Modeling ตอบ A06 Insecure Design	https://cheatsheetseries.owasp.org/cheatsheets/Threat_Modeling_Cheat_Sheet.html
IX-30	CIS	CIS Critical Security Controls v8.1 (18 Controls)	CIS	ชุดควบคุมพื้นฐาน 18 ข้อ (IG1-IG3) — map กับมาตรฐานขั้นต่ำฯ ได้ดี	https://www.cisecurity.org/controls/cis-controls-list
IX-31	CIS	CIS Docker Benchmark / CIS Cloud Benchmarks (AWS/Azure/GCP)	CIS	Hardening baseline สำหรับ container และ cloud	https://www.cisecurity.org/cis-benchmarks
IX-32	CSA	CSA Cloud Controls Matrix (CCM) v4 + CAIQ	Cloud Security Alliance	เมทริกซ์ควบคุมคลาวด์ 197 ข้อ — ใช้ประเมิน CSP ตามมาตรฐานคลาวด์ 2567	https://cloudsecurityalliance.org/research/cloud-controls-matrix
IX-33	CSA	CSA DevSecOps Pillars / Serverless Security	Cloud Security Alliance	แนวทาง DevSecOps บนคลาวด์	https://cloudsecurityalliance.org/research/topics/devsecops
IX-34	MITRE	MITRE D3FEND / ATT&CK for Containers / ATLAS (AI)	MITRE	เมทริกซ์การป้องกัน, ATT&CK สำหรับ container, ATLAS สำหรับภัยคุกคาม AI/ML	https://d3fend.mitre.org/
IX-35	FIRST	CVSS v4.0 / EPSS	FIRST.org	การให้คะแนนความรุนแรงช่องโหว่ (Severity Gate ใน Pipeline)	https://www.first.org/cvss/
IX-36	CISA	CISA Known Exploited Vulnerabilities (KEV) Catalog	CISA	รายการช่องโหว่ที่ถูกใช้โจมตีจริง — ควรใช้เป็น Gate บังคับใน SCA	https://www.cisa.gov/known-exploited-vulnerabilities-catalog
IX-37	CISA	CISA Secure by Design & Default / Secure Software Development Attestation	CISA	หลักการออกแบบปลอดภัยโดยกำเนิด + การรับรอง SSDF	https://www.cisa.gov/securebydesign
IX-38	OpenSSF	OpenSSF S2C2F (Secure Supply Chain Consumption Framework)	OpenSSF	กรอบการบริโภค OSS อย่างปลอดภัย 8 ระดับ	https://github.com/ossf/s2c2f
IX-39	OpenSSF	SLSA Provenance / OpenSSF Baseline / Sigstore Policy Controller	OpenSSF	หลักฐานต้นทาง artifact ที่ verify ได้ก่อน deploy	https://slsa.dev/spec/v1.0/provenance
IX-40	Standard	IETF RFC 6749/6750 OAuth 2.0 + OpenID Connect + JWT (RFC 7519)	IETF / OpenID Foundation	มาตรฐาน Authentication/Authorization สำหรับ API และ SSO	https://openid.net/developers/specs/
IX-41	Standard	OWASP Secure Headers / HSTS (RFC 6797) / CSP Level 3	OWASP / IETF / W3C	HTTP Security Headers บังคับตามมาตรฐานเว็บไซต์ 2568	https://owasp.org/www-project-secure-headers/
IX-42	Standard	OpenAPI Specification 3.x	OpenAPI Initiative	สัญญา API สำหรับ API Security Testing (Schemathesis/42Crunch)	https://spec.openapis.org/oas/latest.html
IX-43	Framework	DORA Metrics / DevOps Research & Assessment	Google Cloud / DORA	ตัววัดประสิทธิภาพ CI/CD (Deployment Frequency, Lead Time, MTTR, Change Failure Rate)	https://dora.dev/
IX-44	Framework	SAFECode / BSIMM	SAFECode / Synopsys	แนวปฏิบัติและ maturity model การพัฒนาซอฟต์แวร์ปลอดภัย	https://safecode.org/
IX-45	Framework	COBIT 2019 / ISO 38500 (IT Governance)	ISACA / ISO	ธรรมาภิบาล IT — ประกอบ GRC และ Three Lines of Defense	https://www.isaca.org/resources/cobit
IX-46	Framework	Google BeyondCorp / BeyondProd	Google	โมเดล Zero Trust เชิงปฏิบัติสำหรับ enterprise และ cloud-native	https://cloud.google.com/beyondcorp
IX-47	Framework	Microsoft SDL (Security Development Lifecycle)	Microsoft	กระบวนการพัฒนาปลอดภัย 12 practices	https://www.microsoft.com/en-us/securityengineering/sdl
IX-48	Framework	Well-Architected Framework (AWS/Azure/GCP) - Security Pillar	Cloud Providers	แนวปฏิบัติสถาปัตยกรรมคลาวด์ปลอดภัย	https://aws.amazon.com/architecture/well-architected/
IX-49	Regulation	EU GDPR / EU Cyber Resilience Act (CRA) / NIS2	EU	อ้างอิงเปรียบเทียบ PDPA; CRA บังคับ SBOM+vulnerability handling สำหรับผลิตภัณฑ์ดิจิทัล	https://eur-lex.europa.eu/eli/reg/2016/679/oj
IX-50	Regulation	US EO 14028 / OMB M-22-18 (Software Supply Chain Security)	US Government	ต้นแบบข้อบังคับ SBOM + SSDF attestation ที่หลายประเทศนำมาใช้	https://www.whitehouse.gov/briefing-room/presidential-actions/2021/05/12/executive-order-on-improving-the-nations-cybersecurity/

03_CloudNative_SupplyChain

รหัส	กลุ่ม	ชื่อมาตรฐาน/เฟรมเวิร์ก	ผู้ออก/สถานะ	สาระสำคัญ	อ้างอิงในเอกสาร	ลิงก์ทางการ
CN-01	Supply Chain	SLSA (Supply-chain Levels for Software Artifacts)	OpenSSF	กรอบระดับความปลอดภัย supply chain, provenance	Blueprint Stage 3,5 (Signing/SBOM)	https://slsa.dev/
CN-02	Supply Chain	Sigstore (Cosign, Rekor, Fulcio)	OpenSSF/Linux Foundation	Artifact Signing / Image Signing (Mandatory ภาครัฐ)	Blueprint Stage 3,5	https://www.sigstore.dev/
CN-03	Supply Chain	in-toto	CNCF	Supply chain attestation framework	Blueprint Stage 3,5	https://in-toto.io/
CN-04	Supply Chain	Notary v2 / Notation	CNCF Graduated	Image signing และ verification	Blueprint Stage 5	https://notaryproject.dev/
CN-05	SBOM	CycloneDX	OWASP/Ecma	รูปแบบ SBOM มาตรฐาน (Mandatory ภาครัฐ)	Blueprint Stage 5	https://cyclonedx.org/
CN-06	SBOM	SPDX (ISO/IEC 5962:2021)	Linux Foundation / ISO	รูปแบบ SBOM มาตรฐานสากล	Blueprint Stage 5	https://spdx.dev/
CN-07	SBOM	NTIA Minimum Elements for SBOM	NTIA (US)	องค์ประกอบขั้นต่ำของ SBOM	Blueprint Stage 5	https://www.ntia.gov/report/2021/minimum-elements-software-bill-materials-sbom
CN-08	Policy	Open Policy Agent (OPA) / Conftest / Gatekeeper	CNCF Graduated	Policy-as-Code, Quality Gate, Branch Protection, Admission Control	Blueprint Stage 1,3,6	https://www.openpolicyagent.org/
CN-09	Policy	Kyverno	CNCF Incubating	Kubernetes Policy Enforcement / Admission Controller	แนวปฏิบัติฯ 4.4 / Blueprint Stage 3	https://kyverno.io/
CN-10	K8s	Kubernetes Pod Security Standards (PSS)	CNCF	บังคับใช้ผ่าน Admission Controller ก่อน Deploy	แนวปฏิบัติฯ 4.4	https://kubernetes.io/docs/concepts/security/pod-security-standards/
CN-11	K8s	Kubernetes Security Documentation / RBAC / Network Policies	CNCF	RBAC Strict Mode, Service Accounts, Network Isolation, Secrets Management	แนวปฏิบัติฯ 4.4	https://kubernetes.io/docs/concepts/security/
CN-12	K8s	CIS Kubernetes Benchmark	CIS	Hardening K8s Control Plane, etcd, API Server, Nodes	แนวปฏิบัติฯ 4.4	https://www.cisecurity.org/benchmark/kubernetes
CN-13	Cloud Native	CNCF Cloud Native Security Whitepaper	CNCF TAG-Security	กรอบความปลอดภัย Cloud Native 4 ระยะ (Develop/Distribute/Deploy/Runtime)	แนวปฏิบัติฯ 4.4	https://github.com/cncf/tag-security
CN-14	Runtime	Falco	CNCF Graduated	Runtime Security Monitoring (Mandatory Real-time ภาครัฐ)	แนวปฏิบัติฯ 4.4 / Blueprint Stage 6	https://falco.org/
CN-15	Observability	OpenTelemetry	CNCF	Metrics / Logs / Traces มาตรฐานกลาง	Blueprint Stage 6	https://opentelemetry.io/
CN-16	GitOps	OpenGitOps Principles / Argo CD / Flux	CNCF	GitOps deployment, Argo Rollouts (Blue-Green/Canary)	Blueprint Stage 6	https://opengitops.dev/
CN-17	Secrets	HashiCorp Vault / K8s Secrets	HashiCorp / CNCF	Secrets Management ป้องกันข้อมูลลับรั่วไหล	แนวปฏิบัติฯ 4.4 / Blueprint Stage 2	https://developer.hashicorp.com/vault/docs
CN-18	Container	Distroless / Minimal Base Images	Google / OSS	ลด attack surface ของ container image	แนวปฏิบัติฯ 4.4	https://github.com/GoogleContainerTools/distroless
CN-19	Registry	Harbor (Secure Container Registry + Content Trust)	CNCF Graduated	Registry ปลอดภัย + Audit Logs + Vulnerability Scanning	Blueprint Stage 5	https://goharbor.io/
CN-20	Vuln DB	OSV / OSV-Scanner, Trivy, Grype	OpenSSF / Aqua / Anchore	สแกนช่องโหว่ container และ dependency	Blueprint Stage 2-3	https://osv.dev/
CN-21	OpenSSF	OpenSSF Scorecard / Best Practices Badge	OpenSSF	ประเมินสุขภาพความปลอดภัยของ OSS project	Blueprint Stage 2	https://scorecard.dev/
CN-22	Framework	DevSecOps (Shift-Left Security in SDLC)	อุตสาหกรรม	ฝัง Security ทุกขั้นของ SDLC; Roles ในแต่ละ Development Stage	แนวปฏิบัติฯ 4.1	https://www.cisa.gov/sites/default/files/2024-08/DevSecOps.pdf
CN-23	Framework	Defense in Depth (7 ชั้น)	อุตสาหกรรม	Perimeter, Network, Endpoint, Application, Data + Proactive (IAM/PAM/GRC) + Reactive (SIEM/SOAR/XDR)	แนวปฏิบัติฯ 4.2	https://csrc.nist.gov/glossary/term/defense_in_depth
CN-24	Framework	CIA Triad / Secure by Design	CISA	Secure by Design & Default principles	แนวปฏิบัติฯ 1.6	https://www.cisa.gov/securebydesign
CN-25	Licensing	SPDX License List / REUSE Specification	Linux Foundation / FSFE	License Compliance (ห้าม GPL/AGPL ในภาครัฐตาม Blueprint)	Blueprint Stage 2	https://spdx.org/licenses/
CN-26	Versioning	Semantic Versioning (SemVer 2.0.0)	semver.org	Version Tagging มาตรฐาน	Blueprint Stage 5	https://semver.org/
CN-27	AI/ML	NIST AI Risk Management Framework (AI RMF 1.0)	NIST	Model Bias / Privacy compliance สำหรับโครงการ AI/ML	Blueprint หมวด 5 AI/ML	https://www.nist.gov/itl/ai-risk-management-framework
CN-28	AI/ML	OWASP Top 10 for LLM Applications	OWASP	ความเสี่ยงเฉพาะ LLM/AI application	Blueprint หมวด 5 AI/ML	https://owasp.org/www-project-top-10-for-large-language-model-applications/
CN-29	Audit	SOC 2 (Trust Services Criteria)	AICPA	Compliance แนะนำสำหรับภาคเอกชนใน Blueprint	Blueprint ตารางประเภทโครงการ	https://www.aicpa-cima.com/topic/audit-assurance/audit-and-assurance-greater-than-soc-2

04_OWASP_Top10_Mapping

รหัส	ช่องโหว่ (Vulnerability)	สาเหตุของการเกิดช่องโหว่	กฎหมาย/มาตรฐานที่เกี่ยวข้อง	แนวทางป้องกันและข้อควรระวัง
A01	Broken Access Control (รวม SSRF)	ไม่ตรวจสอบสิทธิฝั่ง server, client-side authorization, ไม่มี role/permission model	ISO 27001 A.9; OWASP ASVS V4; PDPA ม.37	RBAC/ABAC, ตรวจ authorization ทุก request, deny-by-default, API gateway, network allowlist
A02	Security Misconfiguration	default config, debug mode ใน production, cloud storage public	CIS Benchmarks; ISO 27001 A.12; PCI-DSS Req 2	Hardening baseline, ปิด service ที่ไม่ใช้, IaC + Policy-as-Code, configuration scanning
A03	Software Supply Chain Failures	dependency ไม่ปลอดภัย, dependency confusion, typosquatting, CI/CD ถูกโจมตี	NIST SP 800-161; ISO 27001 A.15	SBOM, SCA, private package registry, artifact signing
A04	Cryptographic Failures	TLS เวอร์ชันเก่า, sensitive data plaintext, key management ไม่ดี	ISO 27001 A.10; PCI-DSS Req 3-4; PDPA ม.37	TLS 1.2+/1.3, AES-256, secret manager, key rotation
A05	Injection	input validation ไม่ดี, query concatenation, ไม่มี output encoding	OWASP ASVS V5; PCI-DSS Req 6.5	parameterized query, allowlist validation, CSP header, sanitize input/output
A06	Insecure Design	ไม่มี threat modeling, business logic flaw, ไม่มี defense-in-depth	ISO 27001 A.14; OWASP ASVS V1	Threat Modeling (STRIDE/PASTA), Security Architecture Review, Abuse Case Analysis
A07	Authentication Failures	รหัสผ่านอ่อน, ไม่มี MFA, session management ไม่ปลอดภัย	NIST SP 800-63B; ISO 27001 A.9.4	บังคับ MFA, password hashing (Argon2/bcrypt), session rotation, rate limiting
A08	Software/Data Integrity Failures	ไม่มี code signing, insecure deserialization, CI/CD ไม่มี integrity check	NIST SSDF (SP 800-218); ISO 27001 A.14.2.7	code signing, artifact verification, pin dependency version
A09	Logging & Alerting Failures	ไม่มี security logging, ไม่มี SIEM monitoring, incident detection ช้า	ISO 27001 A.12.4; PCI-DSS Req 10	centralized logging, SIEM monitoring, alert rules สำหรับ security events
A10	Mishandling of Exceptional Conditions	error handling ไม่ปลอดภัย, fail-open logic, stack trace leak	OWASP ASVS V7; ISO 27001 Operational Security	centralized exception handler, fail-safe defaults, sanitize error messages
PQ	Post-Quantum Threat & Crypto-Agility	RSA/ECC อาจถูกทำลายโดย Quantum Computing	NIST PQC Program; NIST CSWP 39 Crypto-Agility	ออกแบบ crypto-agility, migration ไป PQC เช่น CRYSTALS-Kyber, hybrid encryption

05_CICD_Stage_Compliance

Stage	ชื่อขั้นตอน	เครื่องมือหลัก	มาตรฐาน/กฎหมายที่เกี่ยวข้อง	เกณฑ์บังคับ (ภาครัฐ)
Stage 1	Source Code Management	Git Push, Webhook Trigger, Branch Protection (2+ approvers), Pipeline Orchestration	พ.ร.บ.ไซเบอร์ฯ (Audit); มาตรฐานขั้นต่ำฯ (Log Mgmt); ISO 27001 A.9	Audit Log ทุกกิจกรรม, On-premise เท่านั้นสำหรับภาครัฐ
Stage 2	Check & Scan (SAST/Secret/SCA/License/Quality)	SonarQube, Semgrep, GitLeaks, TruffleHog, OWASP Dependency-Check, Trivy, FOSSology	OWASP A01-A05; NIST SSDF; ISO 27001 A.14; PDPA ม.37	Critical = 0, Block on secret detection, ห้าม GPL/AGPL, Coverage > 80%
Stage 3	Build & Run (Compile, Image, Scan, IaC, Signing)	Kaniko/Buildah, Trivy, Checkov/tfsec, KubeLinter, Cosign, Notary v2	OWASP A02,A03,A08; NIST SP 800-161; SLSA; CIS Benchmarks	Rootless Build, Scan ทุก Layer, IaC Validation Mandatory, Artifact Signing Mandatory
Stage 4	Test Running (Unit/Integration/DAST/API/Perf)	JUnit/pytest, OWASP ZAP, Burp Suite, RESTler, K6/JMeter	มาตรฐานเว็บไซต์ 2568 (Penetration Testing); มาตรฐานขั้นต่ำฯ (VAPT ระดับสูง); OWASP ASVS	DAST Mandatory on Staging, Auth + RBAC Testing, SLA Testing required
Stage 5	Store & Versioning (Registry/Tag/SBOM/Sign/Audit)	Harbor, Syft, CycloneDX, SPDX, Cosign, ELK/Loki	NTIA SBOM; SPDX ISO 5962; NIST SP 800-161; พ.ร.บ.คอมพิวเตอร์ (Log)	Air-gapped Network, SBOM Mandatory, Verify before Deploy, เก็บ Audit 7+ ปี
Stage 6	Deploy & Operations (Gate/Strategy/Orchestration/Runtime/Monitor)	OPA Gates, Argo Rollouts, Kubernetes, Falco, Prometheus+Grafana	NIST SP 800-207 (Zero Trust); K8s PSS; มาตรฐานคลาวด์ 2567; NIST CSF 2.0	CISO Approval, Blue-Green, RBAC Strict Mode, Runtime Monitoring Mandatory, 24/7 SOC

06_WASS_WebAppSecurityService

รหัส	หมวดบริการ	ข้อกำหนด / กิจกรรมที่ต้องทำ	มาตรฐาน/กฎหมายที่รองรับ	หลักฐาน (Evidence)	ความถี่ / SLA
W-01	1. Governance & Scope	จัดทำทะเบียนเว็บ/เว็บแอปพลิเคชันทั้งหมด (Web Asset Inventory) พร้อมเจ้าของระบบและระดับชั้นข้อมูล	มาตรฐานเว็บไซต์ สกมช. 2568 (Website Security Governance); CIS Control 1-2; มาตรฐานขั้นต่ำฯ 2566 (Security Categorization)	ทะเบียนระบบ + ผลจัดชั้น Low/Medium/High	ปีละ 1 ครั้ง / เมื่อมีระบบใหม่
W-02	1. Governance & Scope	แต่งตั้งผู้รับผิดชอบเว็บไซต์ + นโยบายความมั่นคงปลอดภัยเว็บ + แผน IR/BCP เฉพาะเว็บ	มาตรฐานเว็บไซต์ 2568; ประมวลแนวทางปฏิบัติฯ 2564; ISO 27001 A.5	คำสั่งแต่งตั้ง + นโยบาย + IR Plan	ทบทวนปีละครั้ง
W-03	1. Governance & Scope	Self-Assessment ตามแบบฟอร์ม ค. และส่ง สกมช.	มาตรฐานเว็บไซต์ สกมช. พ.ศ. 2568 (ราชกิจจาฯ 16 ก.ย. 2568)	แบบฟอร์ม ค. ที่กรอกครบ	ปีละ 1 ครั้ง (บังคับ)
W-04	2. Secure Design	Threat Modeling ระดับแอปพลิเคชัน (STRIDE/PASTA) + Security Architecture Review ก่อนพัฒนา	OWASP A06 Insecure Design; OWASP ASVS V1; ISO 27034; Microsoft SDL	เอกสาร Threat Model + Abuse Cases	ทุกโครงการใหม่ / major change
W-05	2. Secure Design	กำหนด Security Requirements ใน TOR/SRS อ้างอิงมาตรฐานเว็บไซต์ 2568 + มสพร.11-2566	มาตรฐานเว็บไซต์ 2568 (ระบุใน TOR); มสพร. 11-2566	TOR/SRS ที่มีข้อกำหนดความปลอดภัย	ทุกโครงการจัดซื้อ
W-06	3. Secure Coding	Secure Coding Standard + Peer Code Review + Pre-commit hooks	OWASP Cheat Sheet Series; OWASP Proactive Controls; NIST SSDF PW.4-PW.7	Coding Standard + บันทึก Code Review	ทุก Pull Request
W-07	4. SAST	สแกนโค้ดแบบ Static ทุกครั้งที่ commit/PR (SonarQube, Semgrep, CodeQL, Bandit, gosec)	OWASP A01-A05; NIST SSDF PW.7-PW.8; ISO 27034; Blueprint Stage 2	SAST Report; Gate: Critical = 0	ทุก build (CI)
W-08	5. SCA / Dependency	สแกน 3rd-party libraries เทียบ CVE/NVD/OSV + ตรวจ License (OWASP Dependency-Check, Trivy, Grype)	OWASP A03 Supply Chain; NIST SP 800-161; CISA KEV; Blueprint Stage 2	SCA Report + รายการ CVE/CVSS	ทุก build + รายสัปดาห์
W-09	6. Secret Scanning	ตรวจจับ API Key / Password / Token / Private Key ที่หลุดในโค้ด (GitLeaks, TruffleHog, detect-secrets)	OWASP A04; PDPA ม.37 (ป้องกันเข้าถึงโดยมิชอบ); ประกาศ PDPC 2565 ข้อ 4(6)	Secret Scan Report; Gate: Block on detection	ทุก commit + pre-commit
W-10	7. SBOM	สร้าง SBOM (CycloneDX/SPDX) ทุก release ของเว็บแอปพลิเคชัน	NTIA Minimum Elements; ISO/IEC 5962; EU CRA; Blueprint Stage 5 (Mandatory ภาครัฐ)	ไฟล์ SBOM แนบกับ artifact	ทุก release
W-11	8. DAST	สแกน Running Application หาช่องโหว่ (OWASP ZAP, Burp Suite Pro, Nuclei, Acunetix) บน Staging	มาตรฐานเว็บไซต์ 2568 (Penetration Testing); OWASP Top 10; Blueprint Stage 4 (Mandatory on Staging)	DAST Report + Remediation Plan	ทุก release + อย่างน้อยไตรมาสละครั้ง
W-12	9. API Security Testing	ทดสอบ Authentication (JWT/OAuth2/OIDC), Authorization (RBAC/ABAC), Input Validation, Rate Limiting, API Fuzzing	OWASP API Security Top 10 (2023); OpenAPI 3.x; IETF RFC 6749/7519; Blueprint Stage 4	API Security Test Report	ทุก release ที่มี API เปลี่ยน
W-13	10. VAPT / Pen Test	Vulnerability Assessment + Penetration Testing โดยผู้ทดสอบอิสระ (ภายนอก)	มาตรฐานขั้นต่ำฯ 2566 ระดับสูง (VAPT); NIST SP 800-115; แนวทางประเมินความเสี่ยง CII สกมช.; DGA แนะนำ VA ทุก 90 วัน	รายงาน VAPT + ใบรับรองแก้ไข	VA ทุก 90 วัน; Pen Test ปีละ 1 ครั้ง หรือก่อน Go-Live
W-14	11. Config & Hardening	Hardening web server / framework / cloud config; ปิด debug mode; ตรวจ IaC (Checkov, tfsec, KubeLinter)	OWASP A02 Security Misconfiguration; CIS Benchmarks; CIS Docker/Cloud Benchmarks; Blueprint Stage 3	Hardening Checklist + IaC Scan Report	ทุก deploy + ทบทวนไตรมาส
W-15	12. TLS & Crypto	บังคับ HTTPS TLS 1.2/1.3, ห้าม self-signed, จัดการอายุใบรับรอง, เข้ารหัสข้อมูลพัก/ส่ง (AES-256)	มาตรฐานเว็บไซต์ 2568; มสพร.11-2566; IETF RFC 8446; PCI DSS Req 3-4; PDPA ม.37	ผล SSL/TLS Scan (เกรด A)	ทุกไตรมาส + ก่อนใบรับรองหมดอายุ
W-16	13. Security Headers	ตั้งค่า HSTS, CSP, X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Permissions-Policy	OWASP Secure Headers Project; RFC 6797; CSP Level 3; มาตรฐานเว็บไซต์ 2568	ผลสแกน Security Headers	ทุก deploy
W-17	14. Authentication & Access	บังคับ MFA สำหรับผู้ดูแลระบบ; password hashing (Argon2/bcrypt); session rotation; Least Privilege; ทบทวนสิทธิ	มาตรฐานเว็บไซต์ 2568 (MFA); NIST SP 800-63B; ประกาศ PDPC 2565 ข้อ 4(6)(ก)(ข); OWASP A07	นโยบายรหัสผ่าน + บันทึกทบทวนสิทธิ	ทบทวนสิทธิทุก 6 เดือน
W-18	15. WAF	ติดตั้งและปรับจูน Web Application Firewall (block mode ไม่ใช่แค่ detect) + Anti-DDoS	มาตรฐานเว็บไซต์ 2568 (WAF); มสพร.11-2566; แนวปฏิบัติฯ 4.2 Defense in Depth ชั้น 1 และ 4	WAF Policy + Blocked Attack Report	ทบทวน rule ทุกเดือน
W-19	16. Logging & Monitoring	เก็บ Log จราจรและ Security Event ส่งเข้า SIEM; ตั้ง Alert Rule; ป้องกัน Log ถูกแก้ไข	พ.ร.บ.คอมพิวเตอร์ (Log 90 วัน); มาตรฐานขั้นต่ำฯ 2566; OWASP A09; ISO 27001 A.12.4; NIST SP 800-92; ประกาศ PDPC ข้อ 4(6)(ง) Audit Trails	SIEM Dashboard + Alert Rules; ภาครัฐเก็บ Audit 7+ ปี	เฝ้าระวัง 24/7 (SOC)
W-20	17. Runtime Protection	RASP / Runtime Security Monitoring (Falco, Tetragon) + Container Runtime Security	แนวปฏิบัติฯ 4.4; NIST SP 800-190; Blueprint Stage 6 (Mandatory Real-time ภาครัฐ)	Runtime Alert Log	ต่อเนื่อง
W-21	18. Patch Management	แก้ไขช่องโหว่ตาม SLA แยกตามความรุนแรง (CVSS/EPSS/KEV)	NIST SP 800-40; CISA KEV; มาตรฐานขั้นต่ำฯ 2566	ทะเบียนช่องโหว่ + วันปิด	Critical ≤ 7 วัน, High ≤ 30 วัน, Medium ≤ 90 วัน
W-22	19. Privacy Compliance	Privacy Policy + Cookie Policy + Consent Pop-up; RoPA; DPIA สำหรับระบบความเสี่ยงสูง; ปุ่มใช้สิทธิเจ้าของข้อมูล	PDPA ม.19,23,37,39; ประกาศ PDPC RoPA 2565; มสพร.11-2566; ISO 29134	Privacy Notice + Consent Log + RoPA	ทบทวนปีละครั้ง
W-23	20. Data Breach Response	กระบวนการแจ้งเหตุละเมิดข้อมูลส่วนบุคคลภายใน 72 ชม. และรายงานเหตุภัยคุกคามต่อ สกมช.	ประกาศ PDPC หลักเกณฑ์แจ้งเหตุละเมิดฯ 2565; พ.ร.บ.ไซเบอร์ฯ ม.57/58; NIST SP 800-61r2; ISO 27035	Playbook + แบบฟอร์มแจ้งเหตุ	ซ้อมแผนปีละ 1 คร

Truncated - read the full file at https://github.com/chiraleo2000/cicd-resource-planner/blob/1a0e7d69b6f8320e299a70a4eda3e07efa68723c/skills/gemini/SKILL.md.

About