การปรับตัวสู่ดิจิทัล

ความท้าทาย ความเสี่ยง และผลกระทบ

บริษัทฯ เล็งเห็นศักยภาพการนำเทคโนโลยีดิจิทัลมาใช้ในกิจกรรมทางธุรกิจต่างๆ ตลอดห่วงโซ่อุปทานของบริษัทฯ เพื่อเพิ่มขีดความสามารถในการแข่งขัน ตั้งแต่การซื้อน้ำมันดิบ กระบวนการผลิต การขายผลิตภัณฑ์ การติดต่อปฏิสัมพันธ์กับลูกค้า การพัฒนาบุคลากร ตลอดจนการรวบรวมข้อมูล มีการพัฒนาโครงการรูปแบบ Agile ในการทำโครงการที่ก่อให้เกิดประสบการณ์ของผู้ใช้ (User Experience) ใหม่ๆ ผ่านการสร้างสภาพแวดล้อมในการใช้เทคโนโลยี (Digital Ecosystem) รวมถึงการใช้เทคโนโลยีที่เหมาะสมและปลอดภัย ซึ่งจะส่งผลให้บริษัทฯ เกิดความยืดหยุ่น และสร้างการมีส่วนร่วมของบุคลากร

บริษัทฯ ได้เล็งเห็นมูลค่าและความสำคัญของข้อมูลที่มีจำนวนมากในอุตสาหกรรม โดยบริหารจัดการและกำกับการใช้ข้อมูลในองค์กร รวมถึงบูรณาการเรื่องการจัดทำแพลตฟอร์มเพื่อรวบรวมข้อมูลไว้ที่ส่วนกลาง (Centralized Data Platform) เพื่อนำมาวิเคราะห์และยกระดับการดำเนินงาน ซึ่งจะก่อให้เกิดผลประโยชน์สูงสุดต่อการดำเนินธุรกิจของกลุ่มไทยออยล์ทั้งในปัจจุบันและอนาคต อย่างไรก็ตาม เมื่อข้อมูลถูกนำเข้าสู่ระบบดิจิทัล ความเสี่ยงด้านการโจมตีและความปลอดภัยทางไซเบอร์จึงเป็นอีกสิ่งหนึ่งที่กลุ่มไทยออยล์ให้ความสำคัญ เพื่อให้มั่นใจได้ว่า ข้อมูลต่างๆ จะปลอดภัยและได้รับการคุ้มครองอย่างเหมาะสมและไม่กระทบต่อการดำเนินธุรกิจของกลุ่มไทยออยล์ รวมถึงความเชื่อมั่นของผู้มีส่วนได้เสียทุกภาคส่วนที่เกี่ยวข้อง

บริษัทฯ ให้ความสำคัญในเรื่องการจัดโครงสร้างองค์กรและการสรรหาบุคลากรที่มีศักยภาพ มีความรู้ความสามารถทางด้านดิจิทัล ควบคู่ไปกับการพัฒนาทักษะทางด้านดิจิทัล รวมถึงความเข้าใจวิธีการทำงานโครงการทางด้านดิจิทัลที่ถูกต้องให้กับพนักงานทั่วไป ซึ่งเป็นปัจจัยหลักสำคัญที่ช่วยขับเคลื่อนและผลักดันกลยุทธ์ทางด้านดิจิทัลให้เป็นไปตามเป้าหมายและแผนงานที่วางไว้ ส่งผลให้กลุ่มไทยออยล์สามารถดำเนินการทางธุรกิจในยุคดิจิทัลได้อย่างมีประสิทธิภาพและยั่งยืน

ความมุ่งมั่น และเป้าหมาย 

กลุ่มไทยออยล์มุ่งมั่นยกระดับการดำเนินงานด้านดิจิทัลในกิจกรรมทางธุรกิจตลอดห่วงโซ่คุณค่า เพื่อเสริมสร้างขีดความสามารถในการแข่งขันของธุรกิจ ควบคู่กับการดำเนินงานด้านดิจิทัลและความปลอดภัยทางไซเบอร์ โดยได้กำหนดกรอบกลยุทธ์ด้านดิจิทัลที่ครอบคลุม สอดคล้อง และสนับสนุนแนวทางและกลยุทธ์การดำเนินธุรกิจ ทั้งในส่วนของการทำ Digital Transformation การเป็นองค์กรที่ขับเคลื่อนและตัดสินใจด้วยข้อมูล การรักษาความปลอดภัยทางไซเบอร์ รวมไปถึงการสร้างสิ่งแวดล้อมในการทำงานที่ทันสมัยและการให้บริการทางด้าน IT ในองค์กรที่มีประสิทธิภาพ

เป้าหมาย

• หมายเหตุ
• (1) ระดับ Literate หมายถึง บริษัทฯ มีการกําหนดแผนแม่บทด้านดิจิทัลและมีการใช้เทคโนโลยีดิจิทัลในบางกระบวนการทํางาน
• (2) ระดับ Performer หมายถึง หน่วยงานของบริษัทฯ ใช้ความสามารถทางด้านดิจิทัล (Digital Capability) ได้อย่างมีประสิทธิผล

• แนวทางการบริหารจัดการ และผลการดำเนินงาน

•  
• แนวทางการบริหารจัดการ
•  
• คณะกรรมการและคณะทำงาน
• เพื่อขับเคลื่อนการดำเนินงานด้านดิจิทัลและความปลอดภัยทางไซเบอร์ที่มีประสิทธิภาพ บริษัทฯ ได้แต่งตั้ง คณะกรรมการดิจิทัลกลุ่มไทยออยล์ (Thaioil Group Digital Steering Committee: DGSC) พร้อมทั้งคณะทำงานด้านไซเบอร์ (Cyber Emergency Response Team: CERT) โดยกำหนดผู้รับผิดชอบในการบริหารจัดการไซเบอร์ที่มีความเชี่ยวชาญ ตั้งแต่ระดับผู้บริหารจนถึงระดับปฏิบัติการ ตลอดจนการรายงานผลการดำเนินงานให้แก่ผู้บริหารอย่างสม่ำเสมอ รวมทั้งรายงานการบริหารความเสี่ยงด้านการรักษาความมั่นคงทางข้อมูลและความปลอดภัยทางไซเบอร์ต่อคณะกรรมการบริหารความเสี่ยง

• 1. คณะกรรมการดิจิทัลกลุ่มไทยออยล์ (Thaioil Group Digital Steering Committee: DGSC)

  คณะกรรมการดิจิทัลกลุ่มไทยออยล์ จัดตั้งขึ้นเมื่อเดือนมีนาคม 2564 เพื่อส่งเสริมให้การจัดการด้านดิจิทัลเกิดประสิทธิภาพและประสิทธิผล

• โครงสร้างคณะกรรมการฯ ประกอบด้วย

• 1. ประธานเจ้าหน้าที่บริหารและกรรมการผู้จัดการใหญ่	(CEO) ประธานกรรมการ
  2. รองกรรมการผู้จัดการใหญ่อาวุโส - ด้านไฮโดรคาร์บอน	(SEVP) รองประธานกรรมการ
  3. รองกรรมการผู้จัดการใหญ่ - ด้านการพาณิชย์องค์กร	(EVPC) กรรมการ
  4. รองกรรมการผู้จัดการใหญ่ - ด้านประสิทธิภาพการผลิต	(EVPE) กรรมการ
  5. รองกรรมการผู้จัดการใหญ่ - ด้านการเงินและการบัญชี	(EVPF) กรรมการ
  6. รองกรรมการผู้จัดการใหญ่ - ด้านกำกับองค์กรและกิจการสัมพันธ์	(EVPG) กรรมการ
  7. รองกรรมการผู้จัดการใหญ่ - ด้านการผลิต	(EVPM) กรรมการ
  8. รองกรรมการผู้จัดการใหญ่ - ด้านธุรกิจไฟฟ้า ธุรกิจนวัตกรรมและดิจิทัล	(EVPN) กรรมการ
  9. รองกรรมการผู้จัดการใหญ่ - ด้านบริหารศักยภาพองค์กร	(EVPO) กรรมการ
  10. รองกรรมการผู้จัดการใหญ่ - ด้านกลยุทธ์องค์กร	(EVPS) กรรมการ
  11. ผู้จัดการฝ่ายดิจิทัล	(DGVP) เลขานุการ

  ขอบข่ายการกำกับดูแลของคณะกรรมการดิจิทัลกลุ่มไทยออยล์ ในการพัฒนาหรือนำเครื่องมือด้านดิจิทัลเข้ามาใช้เป็นพื้นฐาน ประกอบด้วย

• (i) กลุ่มดิจิทัล
• (ii) กลุ่มงานโทรคมนาคม
• (iii) กลุ่มงานกระบวนการควบคุมการผลิตและการกลั่น
• (iv) กลุ่มงานวิศวกรรมควบคุมอุปกรณ์เครื่องมือวัด

บทบาทและหน้าที่ของคณะกรรมการฯ มีดังนี้

• 1. กำหนดทิศทาง นโยบาย แผนกลยุทธ์ด้านดิจิทัลของกลุ่มไทยออยล์
• 2. กำกับดูแล บริหารความร่วมมือด้านดิจิทัล ให้เป็นไปในทิศทางที่สอดคล้องกับทิศทางนโยบาย แผนกลยุทธ์ดิจิทัลที่กำหนด และตัดสินใจประเด็นความร่วมมือที่สำคัญต่อกลยุทธ์
• 3. ผลักดัน นโยบาย มาตรฐาน กลไกการบริหารจัดการ เพื่อนำการใช้เทคโนโลยีดิจิทัลเพิ่มประสิทธิภาพในการทำงาน การสร้างความสามารถในการแข่งขันธุรกิจ
• 4. กำกับดูแลการบริหารความเสี่ยงด้านดิจิทัลและความมั่นคงปลอดภัยไซเบอร์เพื่อสร้างความมั่นใจต่อผู้มีส่วนได้เสีย และปฏิบัติตามกฎหมาย ระเบียบข้อบังคับที่เกี่ยวข้อง
• 5. ให้ความเห็นชอบแนวทางแผนแม่บท พร้อมกับการพิจารณางบประมาณด้านดิจิทัล
• 6. ให้คำปรึกษา และคำแนะนำ แก่หน่วยงานต่างๆ ภายใต้การกำกับดูแล
• 7. พิจารณา กลั่นกรอง ติดตามความคืบหน้า และผลการดำเนินงานด้านดิจิทัล และรายงานผลต่อคณะกรรมการบริษัทฯ ตามความเหมาะสม

คณะกรรมการดิจิทัลกลุ่มไทยออยล์มีการจัดประชุมพิจารณาเรื่องต่างๆ ที่เกี่ยวข้องกับบทบาทและหน้าที่ อย่างน้อยไตรมาสละ 1 ครั้ง หรือตามความจำเป็น และรายงานต่อคณะกรรมการบริษัทฯ อย่างน้อยปีละ 1 ครั้ง หรือตามความจำเป็น

2. คณะทำงานด้านไซเบอร์กลุ่มไทยออยล์ (Cyber Emergency Response Team: CERT)

คณะทำงานด้านไซเบอร์กลุ่มไทยออยล์ จัดตั้งขึ้นเมื่อเดือนมีนาคม 2564 เพื่อกำกับดูแลและปฏิบัติการในภาวะฉุกเฉินด้านดิจิทัล เพื่อกอบกู้ภาวะฉุกเฉินให้กลับเข้าสู่สภาวะปกติโดยเร็ว โดยคำนึงถึงความต่อเนื่องในการดำเนินธุรกิจและลดผลกระทบหรือความสูญเสียในทุกด้านของกลุ่มไทยออยล์

โครงสร้างคณะทำงานฯ ประกอบด้วย

• 1. รองกรรมการผู้จัดการใหญ่ - ด้านธุรกิจไฟฟ้า ธุรกิจนวัตกรรมและดิจิทัล (CERT Commander)
• 2. ผู้จัดการแผนกกฎหมาย (Lawyer Team)
• 3. ผู้จัดการฝ่ายบริหารความเสี่ยงกลยุทธ์องค์กร (Risk, BCM and Insurance Team)
• 4. ผู้จัดการแผนกการบริหารความต่อเนื่องทางธุรกิจ (Risk, BCM and Insurance Team)
• 5. ผู้จัดการแผนกการจัดการการประกันภัยองค์กร (Risk, BCM and Insurance Team)
• 6. ผู้จัดการแผนกความมั่นคง (Physical Security Team)
• 7. ผู้จัดการแผนกแรงงานสัมพันธ์ (Information Center Team)
• 8. ผู้จัดการแผนกสื่อสารองค์กร (Information Center Team)
• 9. ผู้จัดการแผนกประชาสัมพันธ์โรงกลั่นนำมัน (Information Center Team)
• 10. ผู้จัดการแผนกนักลงทุนสัมพันธ์ (Information Center Team)
• 11. ผู้จัดการแผนกการพาณิชย์ภายในประเทศ (Information Center Team)
• 12. ผู้จัดการฝ่ายดิจิทัล (Response Management Team)
• 13. ผู้จัดการฝ่ายวิศวกรรม (Response Management Team)
• 14. ผู้จัดการฝ่ายเทคโนโลยี (Response Management Team)
• 15. PTT Digital CISO (Response Team)

บทบาทและหน้าที่ของคณะทำงานฯ

รองกรรมการผู้จัดการใหญ่ด้านด้านธุรกิจไฟฟ้า ธุรกิจนวัตกรรมและดิจิทัล (EVPN) ปฏิบัติหน้าที่ผู้บริหารด้านความมั่นคงปลอดภัยไซเบอร์ (Chief Information Security Officer: CISO) หรือ CERT Commander ตามมาตรฐาน ISO 27001 ระบบการจัดการความมั่นคงปลอดภัยสารสนเทศ เพื่อกำกับดูแลด้านความมั่นคงทางไซเบอร์ของบริษัทฯ โดยคณะทำงานฯ มีบทบาทหน้าความรับผิดชอบ ดังนี้

• 1. กำหนดกลยุทธ์ในการบริหารจัดการภาวะฉุกเฉินด้านความมั่นคงปลอดภัยไซเบอร์

• 2. จัดทำแผนงานในการจัดการภาวะวิกฤต โดยมอบหมายผู้รับผิดชอบในแต่ละกิจกรรม พร้อมกำหนดบทบาทหน้าที่ให้ชัดเจน และต้องมั่นใจว่าผู้ที่เกี่ยวข้องทั้งหมดรู้และเข้าใจบทบาทหน้าที่ที่กำหนดไว้

• 3. ติดตามสถานการณ์ ประเมินสถานการณ์ และให้คำแนะนำในการควบคุมและกอบกู้สถานการณ์

• 4. รายงานสถานการณ์เหตุฉุกเฉินที่เกิดขึ้นให้ทางผู้เกี่ยวข้องทราบทั้งผู้บริหารและโรงกลั่น ทราบถึงสถานการณ์ที่เกิดขึ้น แผนปฏิบัติการ สถานการณ์ปัจจุบัน รวมถึงผลกระทบทางด้านการผลิตหรือการดำเนินธุรกิจของบริษัทฯ

นโยบายด้านดิจิทัล

กลุ่มไทยออยล์ประกาศนโยบายด้านดิจิทัล ดังนี้

• • นโยบายดิจิทัลของกลุ่มไทยออยล์ (TOP Group Digital Policy) เพื่อให้การกำกับดูแล การกำหนดทิศทาง การใช้งานเทคโนโลยีดิจิทัลและการสื่อสารของบริษัทไทยออยล์และบริษัทในกลุ่มฯ สอดคล้องกับแนวปฏิบัติที่เป็นสากล เป็นไปตามแผนผังภาพรวมขององค์กร (Enterprise Architect) และกรอบธรรมาภิบาลข้อมูล (Data Governance) ที่กำหนดไว้
• • นโยบายการรักษาความมั่นคงปลอดภัยด้านไซเบอร์ (Cyber Security Policy) เพื่อให้ระบบสารสนเทศของบริษัทไทยออยล์และบริษัทในกลุ่มฯ มีการป้องกันภัยคุกคามและมีการบริหารจัดการความเสี่ยงด้านไซเบอร์อย่างมีประสิทธิภาพ 
• • นโยบายการใช้สื่อสังคมออนไลน์ (Social Networking Policy) เพื่อให้การกำกับดูแล การกำหนดทิศทาง การเผยแพร่ข้อมูล การเข้าถึงสื่อสังคมออนไลน์รวมถึงการบริการอิเล็กทรอนิกส์ ตลอดจนการแสดงความคิดเห็นเป็นไปอย่างถูกต้องเหมาะสม
• • นโยบายการคุ้มครองข้อมูลส่วนบุคคล เพื่อให้มีหลักเกณฑ์ กลไก มาตรการกำกับดูแล และการบริหารจัดการข้อมูลส่วนบุคคลอย่างชัดเจนและเหมาะสม เคารพสิทธิความเป็นส่วนตัวและให้ความสำคัญต่อการคุ้มครองข้อมูลส่วนบุคคลที่เกี่ยวข้องเมื่อมีการทำธุรกรรมกับบริษัทฯ
•  
• แผนแม่บทด้านดิจิทัล (Digital Master Plan) ปี 2565-2573

• เพื่อสนับสนุนการดำเนินธุรกิจ โดยมีการวางกรอบการดำเนินงานทั้งในระยะสั้น ระยะกลาง และระยะยาว ในด้านต่างๆ ที่สำคัญดังนี้

การบริหารจัดการดิจิทัลปี 2566

ในปี 2566 ได้ดำเนินการตามกลยุทธ์ด้านดิจิทัลทั้งหมด โดยมีกลุ่มงานที่สำคัญดังนี้

1. การเปลี่ยนแปลงสู่ดิจิทัล 

กลุ่มไทยออยล์ตระหนักและให้ความสำคัญในการนำเทคโนโลยีดิจิทัลมาปรับใช้เพื่อปรับปรุงและเพิ่มขีดความสามารถในการแข่งขันทางธุรกิจของ บริษัทฯ โดยมีการจัดทำแผนงานและการดำเนินโครงการต่างๆ ที่มีการนำเทคโนโลยีดิจิทัลมาใช้อย่างต่อเนื่อง นอกจากนั้น บริษัทฯ จัดให้มีการติดตามผลการดำเนินงานโครงการและทบทวนแผนเป็นประจำทุกปี เพื่อให้เกิดความมั่นใจว่าการนำเทคโนโลยีดิจิทัลมาใช้งานในส่วนต่างๆ ยังคงสอดคล้องกับเป้าหมายทางธุรกิจในขณะนั้น ท่ามกลางสถานการณ์จากปัจจัยที่เกี่ยวข้องรอบด้านที่เปลี่ยนไปอย่างรวดเร็ว

การเตรียมความพร้อมทางด้านดิจิทัลสำหรับโครงการพลังงานสะอาด (Digital Readiness for Clean Fuel Project)

กลุ่มไทยออยล์มีการบริหารจัดการและมีการลงทุนเพื่อเตรียมความพร้อมของระบบดิจิทัลต่างๆ เพื่อรองรับการเดินเครื่องการผลิตสำหรับโครงการพลังงานสะอาด (Clean Fuel Project: CFP) ซึ่งเป็นโครงการขนาดใหญ่และมีความสำคัญต่อการเติบโตของบริษัทฯ ในอนาคต โดยระบบดิจิทัลจะเป็นส่วนสนับสนุนการทำงานในกระบวนการต่างๆ ครอบคลุมหน่วยการผลิตใหม่และเชื่อมโยงกับระบบเดิมที่ใช้งานอยู่

การปรับปรุงการให้บริการลูกค้าและผู้ใช้งานระบบในระบบดิจิทัล

กลุ่มไทยออยล์ให้ความสำคัญกับการบริหารงานบริการ ด้านการใช้งานระบบดิจิทัลที่เป็นมาตรฐาน เพื่อรองรับและสนับสนุนการดำเนินธุรกิจให้เกิดประสิทธิภาพอย่างแท้จริง โดยปรับปรุงมาตรฐานการให้บริการภายในองค์กรให้สอดคล้องกับข้อกำหนดของ ISO/IEC 20000-1:2018 ซึ่งเป็นมาตรฐานสากลที่ได้รับการยอมรับทั่วโลกในด้านการบริหารงานบริการทางด้าน IT ควบคู่กับ Information Technology Infrastructure Library (ITIL) Framework ซึ่งรวบรวมขั้นตอนการทำงานที่เป็นเลิศ เพื่อนำเทคโนโลยีและการสร้างประสบการณ์ด้านดิจิทัลที่เหมาะสมมาประยุกต์ใช้เพื่อยกระดับและเพิ่มประสิทธิภาพของกระบวนการให้บริการด้านดิจิทัล

โครงการที่โดดเด่นในปี 2566

ในปี 2566 บริษัทฯ ได้ดำเนินการตามกลยุทธ์ทางด้านดิจิทัล โดยมีโครงการที่สำคัญดังนี้

• โครงการ Predictive Maintenance Analytics
• พัฒนาระบบประมวลผลข้อมูลการซ่อมบำรุงอุปกรณ์เครื่องจักรที่สำคัญในกระบวนการผลิตของกลุ่มไทยออยล์ เพื่อใช้ทำนายโอกาสที่อุปกรณ์เครื่องจักรเหล่านั้นจะเกิดความเสียหายและหาทางป้องกันล่วงหน้า เพื่อไม่ไห้เกิดเหตุการณ์ Unplan Shutdown และ Unplan Maintenance ต่างๆ และลดความเสี่ยงที่จะเกิดความเสียหายต่างๆ ที่เกี่ยวข้องได้
• โครงการ Prominence Enhancement
• พัฒนาระบบที่ใช้เก็บข้อมูลการขายผลิตภัณฑ์ต่างๆ ของกลุ่มไทยออยล์ โดยมีข้อมูลในหลายแง่มุม เช่น ประเภทคู่ค้า ราคา ปริมาณการซื้อขาย ช่วงเวลาการซื้อขาย รูปแบบการชำระเงิน เป็นต้น ซึ่งข้อมูลเหล่านี้จะถูกนำมาใช้ในการวิเคราะห์โครงสร้างราคา และช่วยในการตัดสินใจสำหรับการกำหนดรูปแบบการซื้อขายที่เหมาะสมกับคู่ค้าแต่ละราย เพิ่มโอกาสในการสร้างผลกำไรที่มากขึ้น ตามแต่ละสถานการณ์ของตลาดที่มีความผันผวน
• โครงการปรับปรุงระบบ SAP ECC
• ปรับปรุงซอฟต์แวร์และฮาร์ดแวร์ของระบบ Enterprise Resource Planning (ERP) ที่บริษัทฯ ใช้งานอยู่ในปัจจุบัน หรือ ที่เรียกว่า SAP ECC ให้ยังคงสามารถทำงานได้อย่างเต็มประสิทธิภาพ และเป็นส่วนหนึ่งของแผนการเตรียมความพร้อมก่อนที่จะมีการเปลี่ยนแปลงระบบ ERP ไปสู่ SAP S/4 HANA ในปี พ.ศ. 2570 (ค.ศ. 2027)

2. การจัดการด้านความปลอดภัยทางไซเบอร์ 

กลุ่มไทยออยล์ได้ประยุกต์ใช้กรอบการทำงานด้านความปลอดภัยทางไซเบอร์ของหน่วยงาน National Institute of Standards and Technology ประเทศสหรัฐอเมริกา (NIST Cybersecurity Framework) รวมถึงแนวทางป้องกันแบบ Zero Trust Architecture โดยกำหนดแนวทางบริหารจัดการ ได้แก่ การตรวจสอบผู้เข้าระบบทุกครั้ง และให้สิทธิ์ที่น้อยที่สุดหรือเท่าที่จำเป็นกับผู้ใช้งาน เพื่อให้มั่นใจได้ว่า กลุ่มไทยออยล์มีการควบคุมดูแลความเสี่ยงด้านไซเบอร์อย่างเหมาะสมกับขนาดและความหลากหลายของธุรกิจ โดยมีการดำเนินงานที่สำคัญ ดังนี้

• 1. การยืนยันตัวตนโดยใช้หลายปัจจัย (Multifactor Authentication: MFA) สำหรับการเข้าใช้งานผ่าน VPN และระบบอีเมล
• 2. การติดตั้งโปรแกรมป้องกันไวรัสแบบตรวจจับความผิดปกติของพฤติกรรมที่น่าสงสัย (Endpoint Detection and Response: EDR) บนเครื่องคอมพิวเตอร์ทั้งหมด
• 3. การกำหนดเงื่อนไขต่างๆ เพื่อใช้ตรวจสอบการเข้าถึงระบบและข้อมูลที่สำคัญของบริษัทฯ (Conditional Access) อย่างถูกต้อง
• 4. การบริหารจัดการการนำอุปกรณ์พกพาส่วนตัวต่างๆ มาใช้ในการทำงานอย่างเหมาะสม (Mobile Device Management for BYOD – Bring Your Own Device)
• 5. การทดสอบความรู้ความเข้าใจของพนักงานเรื่องภัยคุกคามด้านไซเบอร์ โดยการทดสอบอีเมลลวง (Phishing Mail) เป็นประจำทุก 3 เดือน เพื่อให้ตระหนักและปรับเปลี่ยนพฤติกรรมเมื่อได้รับอีเมลในลักษณะดังกล่าว
• 6. การจัดทำแผนการรับมือเหตุฉุกเฉินทางด้านไซเบอร์ (Cyber Emergency Response Procedure) ที่สอดคล้องกับแผนรับมือเหตุฉุกเฉินของบริษัทฯ และมีการฝึกซ้อมแผนดังกล่าวไม่น้อยกว่าปีละ 2 ครั้ง ให้ครอบคลุมทั้งในส่วน Digital Technology และ Operation Technology ซึ่งจะครอบคลุมถึงแผนสำรองทางธุรกิจ (Business Continuity Plan) และการสื่อสารไปยังหน่วยงานและผู้มีส่วนได้เสียภายนอกเมื่อเกิดเหตุดังกล่าว
• 7. การปรับปรุงระบบดิจิทัลและแอพพลิเคชั่นต่างๆ ที่มีล้าสมัยแล้ว (Application Obsolescence) ให้มีความทันสมัยและเป็นปัจจุบัน เพื่อให้ผู้ใช้งานสามารถใช้งานได้อย่างเต็มประสิทธิภาพและเป็นการป้องกันความเสี่ยงและภัยทางไซเบอร์ต่างๆ จากช่องโหว่อันเนื่องมาจากระบบดิจิทัลและแอพพลิเคชั่นต่างๆ ที่ล้าสมัยเหล่านั้น
• 8. การลดความเสี่ยงของระบบงานคอมพิวเตอร์ ที่มีการใช้งานผ่านช่องทาง Internet (Attack Surface) ซึ่งได้แก่ การค้นหา และหาทางจัดการความเสี่ยงของ Attack Surface อย่างสม่ำเสมอ
• 9. การเพิ่มบริการป้องกันภัยโดยใช้ Cloud Technology มาเป็นเครื่องมือในการรับมือภัยด้านไซเบอร์ที่มาจากการโจมตีพร้อมๆ กันเป็นจำนวนมาก หรือที่เรียกว่า Distributed Denial of Service (DDoS) ทั้งนี้บริการที่จัดทำขึ้นจะทำให้ระบบงานคอมพิวเตอร์ต่างๆ ยังสามารถให้บริการได้อย่างต่อเนื่องและเพียงพอต่อความต้องการใช้งาน
• 10. การเพิ่มบริการเฝ้าระวัง แจ้งเตือน ตรวจสอบ และดำเนินการแก้ไขภัยคุกคามด้านไซเบอร์ จากผู้เชี่ยวชาญด้านการตรวจสอบเหตุผิดปกติ (Manage Defense and Response: MDR) เพื่อสร้างความมั่นใจในการรับมือกับภัยคุกคามดังกล่าวนอกเหนือจากผู้ให้บริการหลักที่เป็น Cyber Operation Centre (SOC)

การตอบสนองต่อภัยคุกคามทางไซเบอร์

การจัดให้มีการเตรียมความพร้อมรับมือการเรียกค่าไถ่ข้อมูล (Ransomware Assessment) และจัดทำแผนการรับมือ (Playbook) ต่อสถานการณ์อย่างมีประสิทธิภาพ รวมถึงการกำหนดแผนการฝึกซ้อม โดยนำแผนการรับมือมาฝึกซ้อมจริงร่วมกับที่ปรึกษา พร้อมกับผู้บริหารในปี 2566 (อย่างน้อย 2 ครั้งต่อปี) ตลอดจนรายงานผลการดำเนินงานให้แก่ผู้บริหารอย่างสม่ำเสมอ รวมทั้งรายงานการบริหารความเสี่ยงด้านการรักษาความมั่นคงทางข้อมูลและความปลอดภัยทางไซเบอร์ต่อคณะกรรมการบริหารความเสี่ยง

นอกจากนี้ กลุ่มไทยออยล์ได้จัดหาที่ปรึกษาภายนอกมาดำเนินการประเมินข้อบกพร่องด้านความปลอดภัยทางไซเบอร์ (Cyber Security Gaps) ทั่วทั้งองค์กร และดำเนินการแก้ไขทุกข้อบกพร่องจนแล้วเสร็จ มีการจัดให้มีการทดสอบเจาะระบบเพื่อหาช่องโหว่ (Penetration Test) เป็นประจำทุกปี รวมทั้งจัดให้มีการดำเนินการ Security Operating Center (SOC) ซึ่งรับผิดชอบการเฝ้าระวังเหตุการณ์ความเสี่ยงด้านไซเบอร์ตลอด 24 ชั่วโมง

การส่งเสริมความรู้ด้านดิจิทัลและความปลอดภัยทางไซเบอร์ให้แก่พนักงาน

• • ให้ข้อมูลความรู้ผ่าน E-newsletter มีการประชาสัมพันธ์สร้างการรับรู้เกี่ยวกับระบบดิจิทัลต่างๆ ที่มีการพัฒนาขึ้นมาเพื่อใช้งานในบริษัทฯ เพื่อกระตุ้นให้พนักงานมีความสนใจ เล็งเห็นถึงประโยชน์ของการนำเทคโนโลยีมาใช้งาน รวมถึงข้อควรพึงระวังต่างๆ
• • สร้างความตระหนักรู้เกี่ยวกับภัย Phishing Email ให้กับพนักงานใหม่ผ่านการปฐมนิเทศพนักงาน (New Staff Orientation) และจัดให้มีการทดสอบ Phishing Email กับพนักงานโดยไม่มีการแจ้งล่วงหน้าเฉลี่ยทุกๆ 3 เดือน ทั้งนี้ พนักงานที่ไม่ผ่านการทดสอบจะต้องเข้ารับการฝึกอบรมเกี่ยวกับการระวังภัย Phishing Email เพิ่มเติม
• • จัดทำหลักสูตรฝึกอบรมออนไลน์เพื่อสร้างความตระหนักรู้และแนวทางปฏิบัติเบื้องต้นที่เกี่ยวข้องกับ พรบ. คุ้มครองข้อมูลส่วนบุคคล (PDPA) ที่กำหนดให้พนักงานทุกคนต้องเข้ารับการอบรมและผ่านการทดสอบ

ผลการดำเนินงาน

Update : กุมภาพันธ์ 2567

นโยบายดิจิทัลของกลุ่มไทยออยล์

นโยบายการรักษาความมั่นคงปลอดภัยด้านไซเบอร์