บริหารจัดการ Cloud ธุรกิจประกันภัยให้ผ่านเกณฑ์ คปภ. และ PDPA
เมื่อบริษัทประกันภัยหรือนายหน้านิติบุคคลตัดสินใจย้ายระบบประกันออนไลน์ (e-Insurance) ข้อมูลผู้เอาประกันภัย หรือระบบงานสำคัญอย่าง e-KYC และ e-Signature ขึ้นสู่ระบบคลาวด์ การบริหารจัดการความเสี่ยงจะไม่ใช่เรื่องภายในองค์กรอีกต่อไป แต่จะผูกโยงเข้ากับ “กฎหมาย Cloud และประกาศการใช้บริการบุคคลภายนอก (IT Outsourcing) ของ คปภ.”
การบริหารจัการระบบ Cloud Computing ในธุรกิจประกันภัยเพื่อรองรับเกณฑ์ของสำนักงาน คปภ. และ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล (PDPA) รวมถึงประกาศ คปภ. เรื่อง หลักเกณฑ์การเสนอขายและการออกกรมธรรม์อิเล็กทรอนิกส์ พ.ศ. 2566 มีข้อพิจาณาในประเด็นที่สำคัญ ดังนี้
3 เสาหลักในการบริหาร Cloud ให้ผ่านเกณฑ์ (Compliance Framework)
- การจัดการสิทธิ์เข้าตรวจสอบ (Right to Audit)
- สัญญาที่ทำกับผู้ให้บริการ Cloud (SLA) ต้องระบุเปิดสิทธิ์อย่างเป็นลายลักษณ์อักษรให้ บริษัทประกันภัย และเจ้าหน้าที่ คปภ. เข้าตรวจสอบศูนย์ข้อมูล (Data Center) หรือสถาปัตยกรรมระบบได้ [คปภ.] ในภาคปฏิบัติหากใช้ Global Cloud (เช่น AWS, Azure, GCP) การขอเข้าตรวจทางกายภาพทำได้ยากมาก แนวทางแก้ไขคือ: ผู้ให้บริการต้องจัดเตรียมรายงานผลการตรวจรับรองมาตรฐานสากล เช่น SOC 2 Type II หรือ ISO 27001 / ISO 27017 มาแสดงทดแทนการเข้าตรวจหน้างาน เพื่อส่งพ่วงในแฟ้มรายงาน คปภ.
- การคุ้มครองข้อมูลนอกประเทศและการเข้ารหัส (Data Sovereignty & Encryption)
- กฎหมาย PDPA และเกณฑ์ คปภ. อนุญาตให้เก็บข้อมูลบน Cloud ต่างประเทศได้ แต่ต้องมีมาตรการควบคุมชดเชย (Compensating Controls) ที่รัดกุม ข้อมูลผู้เอาประกันภัย (โดยเฉพาะ Sensitive Data เช่น ประวัติสุขภาพ) ต้องได้รับการ เข้ารหัสอย่างแน่นหนา (Encryption at Rest & in Transit) และกุญแจถอดรหัส (Encryption Keys) ต้องถูกจัดเก็บและควบคุมสิทธิ์ใช้งานอยู่ภายในประเทศไทยเท่านั้น (เช่น ใช้บริการ AWS KMS แบบกำหนดสิทธิ์ให้อยู่ใน Zone ประเทศไทย) เพื่อป้องกันไม่ให้ผู้ให้บริการ Cloud ต่างประเทศเข้าถึงข้อมูลดิบได้
- ระบบการเฝ้าระวังและการกู้คืน (SOC/SIEM & Cloud BCP)
- ต้องมีการรวมศูนย์ Log จากระบบ Cloud ทั้งหมดส่งมายัง SIEM หลังบ้าน และมีทีม SOC ตรวจสอบภัยคุกคามตลอด 24/7 พร้อมทั้งร่วมทดสอบแผนกู้คืนระบบฉุกเฉิน (Cloud BCP/DRP) ร่วมกับผู้ให้บริการอย่างน้อยปีละ 1 ครั้ง เพื่อให้มั่นใจว่าหากระบบคลาวด์มีปัญหา ระบบประกันออนไลน์จะสามารถกู้คืนกลับมาได้ตามกรอบเวลา (RTO/RPO) ที่กำหนด