JC-STAR กับฐานการผลิตในไทย | ตั้งมาตรฐานจัดซื้ออย่างไรเมื่อไทยอยู่นอกข้อตกลง

JC-STAR ของญี่ปุ่นกับ CLS ของสิงคโปร์ได้รับการยอมรับร่วมกันแล้ว และข้อตกลงมีผลบังคับใช้ตั้งแต่วันที่ 1 มิถุนายน 2026 หากคุณอ่านข่าวนี้แล้วสงสัยทันทีว่าจะกระทบการจัดซื้ออุปกรณ์ของโรงงานในประเทศไทยอย่างไร ขอสรุปคำตอบไว้ก่อนเลยว่า ข้อตกลงยอมรับร่วมกันระหว่างญี่ปุ่นกับสิงคโปร์ไม่สามารถนำมาใช้กับมาตรฐานการจัดซื้อของฐานการผลิตในไทยได้โดยตรง เพราะประเทศไทยไม่ได้เป็นภาคีของข้อตกลงนี้ และในประเทศไทยเองก็ไม่มีระบบรับรองความปลอดภัยไซเบอร์สำหรับอุปกรณ์ IoT ที่เทียบเท่ากับ JC-STAR หรือ CLS อยู่แต่แรก

แล้วฐานการผลิตในไทยควรใช้อะไรเป็นเกณฑ์ บทความนี้จะไล่เรียงคำถามเชิงปฏิบัติสี่ข้อ ได้แก่ จะลากเส้นแบ่งระหว่างมาตรฐานของสำนักงานใหญ่กับการปรับให้เหมาะกับหน้างานในไทยตรงไหน จะสื่อสารข้อกำหนดที่มีต้นทางจากญี่ปุ่นให้ซัพพลายเออร์ในไทยที่ไม่เคยได้ยินชื่อระบบนี้เข้าใจได้อย่างไร ระหว่างฐานการผลิตกับสำนักงานใหญ่ใครควรถืออำนาจตัดสินใจสุดท้ายเรื่องมาตรฐานการจัดซื้อ และพระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 ของไทยเกี่ยวข้องกับเรื่องนี้อย่างไร เป้าหมายไม่ใช่การสรุปตัวบทกฎหมาย แต่คือถ้อยคำที่นำไปใส่ในใบขอราคาของวันพรุ่งนี้ได้จริง

ทบทวน JC-STAR และข้อตกลงญี่ปุ่น-สิงคโปร์แบบสั้นที่สุด

ก่อนเข้าเรื่องเฉพาะของประเทศไทย ขอปูพื้นเท่าที่จำเป็นต่อการคิดเรื่องจัดซื้อ ส่วนคำอธิบายตัวระบบแบบละเอียดอยู่ในบทความอื่น ตรงนี้จึงเก็บไว้สั้น

JC-STAR แสดงระดับความสอดคล้องด้านความปลอดภัยของอุปกรณ์ IoT เป็นขั้น

JC-STAR คือระบบของญี่ปุ่นที่ทำให้ระดับข้อกำหนดด้านความปลอดภัยที่ผลิตภัณฑ์ IoT ผ่านนั้นมองเห็นได้จากภายนอก โดยแสดงเป็นระดับดาว ผู้ดำเนินการคือ IPA คุณค่าสำหรับฝ่ายผู้ซื้อคือ ไม่ต้องไล่อ่านเอกสารสเปกความปลอดภัยทีละรุ่นเพื่อเปรียบเทียบ เพราะระดับบนฉลากบอกพื้นขั้นต่ำที่ผลิตภัณฑ์นั้นผ่านมาแล้ว

โครงสร้างของระบบ ความต่างของแต่ละระดับดาว และประเด็นที่ว่าวันที่ข้อกำหนดถูกบังคับใช้สำคัญกว่าวันที่ฉลากปรากฏ อยู่ใน JC-STAR คืออะไรในปี 2026 และทำไมวันที่ข้อกำหนดมีผลจึงสำคัญกว่าตัวฉลาก บทความนี้รับช่วงต่อจากบทความดังกล่าว และจะโฟกัสที่ฝั่งประเทศไทย

วันที่ 1 มิถุนายน 2026 มีอะไรเปลี่ยนไปบ้าง

วันที่ 18 มีนาคม 2026 กระทรวงเศรษฐกิจ การค้า และอุตสาหกรรมของญี่ปุ่น โดยรัฐมนตรีช่วยว่าการ Ino และ Cyber Security Agency of Singapore หรือ CSA ได้ลงนามบันทึกความร่วมมือว่าด้วยการยอมรับร่วมกันของระบบความปลอดภัยไซเบอร์สำหรับผลิตภัณฑ์ IoT ที่กรุงโตเกียว การยอมรับร่วมกันนี้มีผลบังคับใช้ตั้งแต่วันที่ 1 มิถุนายน 2026

สิ่งที่ได้รับการยอมรับคือ ข้อกำหนดพื้นฐานบางส่วนของ JC-STAR ระดับดาว 1 กับข้อกำหนดพื้นฐานบางส่วนของ Level 1 ใน Cybersecurity Labelling Scheme หรือ CLS ของสิงคโปร์ มีความเทียบเท่ากัน ไม่ใช่ว่าทั้งหมดถูกประกาศว่าเทียบเท่า และเรื่องนี้ว่าด้วยระดับเริ่มต้นของทั้งสองฝั่ง ขอให้จำเงื่อนไขสองข้อนี้ไว้

ผลในทางปฏิบัติคือเอกสารน้อยลงและค่าธรรมเนียมถูกลง

เมื่อมองจากฝั่งผู้ผลิต ผลลัพธ์ค่อนข้างเป็นรูปธรรม เมื่อผลิตภัณฑ์ที่สอดคล้องกับ CLS ยื่นขอ JC-STAR ระดับดาว 1 เอกสารที่ต้องยื่นมีสามรายการ คือ แบบฟอร์มคำขอสำหรับผลิตภัณฑ์ที่สอดคล้องกับ CLS เช็กลิสต์สำหรับผลิตภัณฑ์ที่สอดคล้องกับ CLS และฉลากแสดงความสอดคล้องกับ CLS ส่วนลดค่าธรรมเนียมใช้กับคำขอระดับดาว 1 นี้ โดยลดจากปกติ 198,000 เยนรวมภาษี เหลือ 140,000 เยนรวมภาษี ต่างกัน 58,000 เยน หน่วยงานรับคำขอคือฝ่ายประเมินเทคโนโลยี ศูนย์ความปลอดภัยของ IPA ส่วนงานรับคำขอ JC-STAR ส่วนการยื่นขอระดับดาว 3 ขึ้นไปนั้น จะต้องเพิ่มหนังสือรับรองตนเองว่าสอดคล้องกับ CLS เข้าไปด้วย แต่หนังสือฉบับนี้ยื่นต่อหน่วยประเมินของ JC-STAR ซึ่งไม่ใช่ช่องทางเดียวกับคำขอระดับดาว 1 ที่ยื่นต่อ IPA จึงอย่าอ่านว่าส่วนลดครอบคลุมถึงระดับดาว 3 ขึ้นไปด้วย

พูดอีกอย่างคือ สาระของข้อตกลงนี้เป็นกลไกลดภาระซ้ำซ้อนของผู้ผลิตที่ต้องการขายในทั้งสองตลาด ผลต่อมาตรฐานการจัดซื้อของฝ่ายผู้ซื้อจึงเป็นทางอ้อม คือทำให้ผลิตภัณฑ์ที่มีฉลากถูกจัดหาได้ง่ายขึ้น ไม่ได้เปลี่ยนตัวมาตรฐานของผู้ซื้อ

การยอมรับร่วมกันเป็นกรอบระหว่างสองประเทศเสมอ และไม่มีกรอบใดครอบคลุมไทย

นี่คือจุดตั้งต้นของทุกอย่างที่ตามมา สิงคโปร์ไม่ใช่รายแรก กระทรวงเศรษฐกิจ การค้า และอุตสาหกรรมของญี่ปุ่นได้ลงนามบันทึกกับสหราชอาณาจักรเรื่องการยอมรับร่วมกันกับ PSTI Act ที่กรุงลอนดอนเมื่อวันที่ 5 พฤศจิกายน 2025 และการยอมรับร่วมกันนั้นเริ่มใช้ตั้งแต่วันที่ 1 มกราคม 2026 ข้อตกลงญี่ปุ่น-สิงคโปร์จึงเป็นรายที่สอง ส่วน U.S. Cyber Trust Mark ของสหรัฐอเมริกาและ Cyber Resilience Act ของสหภาพยุโรปนั้น ข้อมูลที่ IPA เผยแพร่ระบุว่ายังอยู่ในขั้นแลกเปลี่ยนข้อมูล ยังไม่มีการบรรลุข้อตกลงหรือมีผลบังคับใช้ และไม่พบข้อมูลสาธารณะที่ยืนยันว่ามีการเจรจากับประเทศไทย

ประเด็นสำคัญคือ ทั้งหมดนี้เป็นข้อตกลงระหว่างสองประเทศเสมอ การที่การยอมรับร่วมกันเพิ่มจากหนึ่งรายเป็นสองราย ไม่ได้ขยายผลออกไปนอกสองประเทศคู่สัญญา ประเทศไทยไม่ได้อยู่ในกรอบใดเลย

ดังนั้นสิ่งที่พูดได้อย่างมีหลักฐานในวันนี้คือ ข้อตกลงญี่ปุ่น-สิงคโปร์เป็นกรอบทวิภาคี และประเทศไทยอยู่นอกกรอบนั้น เนื่องจากไม่มีข้อมูลรองรับ จึงไม่ควรเขียนลงในเอกสารภายในว่าในอนาคตไทยก็จะมีเช่นกัน

ประเทศไทยไม่มีระบบที่เทียบเท่า JC-STAR หรือ CLS

ต่อไปคือส่วนที่เป็นเรื่องเฉพาะของประเทศไทย เริ่มจากการตรึงข้อเท็จจริงให้ชัดก่อน

ประเทศไทยไม่ได้เป็นภาคีของข้อตกลงนี้

ข้อตกลงญี่ปุ่น-สิงคโปร์เป็นความตกลงระหว่างรัฐบาลสองประเทศนี้เท่านั้น ไม่มีสถานการณ์ใดที่ข้อตกลงนี้จะถูกนำมาใช้เมื่อฐานการผลิตในไทยของคุณจัดซื้ออุปกรณ์ในประเทศ การซื้อผลิตภัณฑ์ที่สอดคล้องกับ CLS ในไทยไม่ได้ทำให้ค่าธรรมเนียม JC-STAR ของคุณลดลง และไม่ได้ตัดขั้นตอนใดในฝั่งไทยออก ส่วนลดค่าธรรมเนียมนั้นเป็นของผู้ผลิตที่ยื่นขอ JC-STAR ในญี่ปุ่น

ลึกลงไปอีกขั้น ประเทศไทยไม่มีระบบรับรองหรือระบบฉลากความปลอดภัยไซเบอร์สำหรับอุปกรณ์ IoT ที่เทียบได้กับ JC-STAR หรือ CLS เลย นั่นทำให้ทางเลือกที่จะเทียบเคียงข้อกำหนดเข้ากับระบบท้องถิ่นก็หายไปด้วย เพราะไม่มีระบบให้เทียบเคียง

ระบบที่มีอยู่ในไทยและเกี่ยวข้องกับอุปกรณ์ IoT คือการรับรองแบบของ กสทช.

สำหรับผู้อ่านที่คิดว่าประเทศไทยต้องมีอะไรสักอย่าง นี่คือจุดอ้างอิงที่ถูกต้อง ระบบที่มีอยู่ในไทยและเกี่ยวข้องกับอุปกรณ์ IoT คือการรับรองแบบ หรือ Type Approval โดย กสทช. ซึ่งก็คือคณะกรรมการกิจการกระจายเสียง กิจการโทรทัศน์ และกิจการโทรคมนาคมแห่งชาติ

สิ่งที่ระบบนี้ตรวจคือข้อกำหนดด้านคลื่นความถี่ของอุปกรณ์วิทยุคมนาคมเป็นหลัก ข้อกำหนดด้านความปลอดภัยไซเบอร์ไม่อยู่ในขอบเขต ดังนั้นเมื่อผู้ขายในประเทศบอกว่าผลิตภัณฑ์นี้ได้รับการรับรองในไทยแล้ว แทบจะแน่นอนว่าหมายถึงการรับรองแบบของ กสทช. ซึ่งไม่ได้ให้หลักประกันด้านความปลอดภัยไซเบอร์ใด ๆ การได้รับอนุญาตให้ส่งคลื่นในไทยอย่างถูกกฎหมาย กับการที่อุปกรณ์นั้นปลอดภัย เป็นคนละเรื่องกันโดยสิ้นเชิง

เมื่อวางสามเขตอำนาจไว้ข้างกัน จะได้ภาพดังนี้

เมื่อนำตารางนี้ไปใช้ภายในองค์กร อย่านำเสนอช่องของไทยในฐานะจุดอ่อน การไม่มีระบบยังหมายความว่าคุณมีอิสระที่จะเขียนข้อกำหนดเอง ซึ่งเป็นเนื้อหาของส่วนที่เหลือทั้งหมดในบทความนี้

การไม่มีระบบส่งผลอะไรบ้างที่หน้างานจัดซื้อ 3 ประการ

เพื่อไม่ให้เป็นนามธรรม นี่คือสิ่งที่เกิดขึ้นจริงระหว่างการจัดซื้อ

ข้อแรก ข้อเสนอจากผู้ขายในประเทศจะไม่แนบหลักฐานจากบุคคลที่สามที่ยืนยันความสอดคล้องด้านความปลอดภัยมาด้วย ต่อให้สำนักงานใหญ่ออกกฎว่าให้เลือกผลิตภัณฑ์ที่มีฉลาก ตัวเลือกส่วนใหญ่ที่หาได้ผ่านช่องทางการค้าในไทยก็อยู่นอกขอบเขตของฉลากใด ๆ

ข้อสอง มีความเสี่ยงจริงที่จะอ่านคำว่าได้รับการรับรองในไทยเป็นคำกล่าวอ้างด้านความปลอดภัยไซเบอร์ ตามที่กล่าวไว้ข้างต้น เป็นไปได้สูงว่าหมายถึงการรับรองแบบของ กสทช. ซึ่งตรวจคนละเรื่องกัน

ข้อสาม เมื่อคัดกรองตัวเลือกด้วยการมีหรือไม่มีฉลากไม่ได้ คุณจึงต้องเขียนข้อกำหนดเอง ในทางกลับกัน เมื่อเขียนเสร็จแล้วครั้งหนึ่ง มาตรฐานการจัดซื้อของฐานการผลิตในไทยก็จะไม่ขึ้นกับว่ามีระบบรับรองอยู่หรือไม่อีกต่อไป

ใช้มาตรฐานสำนักงานใหญ่ตามเดิม หรือผ่อนปรนในไทย

ในเมื่อไม่มีระบบท้องถิ่นให้ยึด แหล่งที่มาเดียวของเกณฑ์คือมาตรฐานของสำนักงานใหญ่ ซึ่งนำไปสู่คำถามทันทีว่า ควรใช้มาตรฐานนั้นในไทยแบบไม่แก้ไขเลยหรือไม่

ทางเลือกมีเพียงสามทาง

เมื่อจัดระเบียบแล้ว ทางเลือกจะยุบเหลือสามทาง

ทางแรกคือใช้มาตรฐานของสำนักงานใหญ่ตามที่เป็น คุณเหลือมาตรฐานเดียว ซึ่งอธิบายในการตรวจสอบได้ง่ายที่สุด ต้นทุนคือ เมื่ออุปกรณ์ที่หาได้ผ่านช่องทางการค้าในไทยไม่ผ่านเกณฑ์ การจัดซื้อก็จะหยุดชะงัก

ทางที่สองคือถือมาตรฐานที่ผ่อนปรนแยกไว้สำหรับฐานการผลิตในไทย ของที่ซื้อได้จะมากขึ้น แต่คุณจะมีสองมาตรฐาน และเมื่อเวลาผ่านไปจะไม่มีใครบอกได้ว่าการจัดซื้อรายการใดใช้ฉบับไหน หากเหตุผลของการผ่อนปรนไม่ได้ถูกบันทึกไว้ พอถึงรอบเปลี่ยนอุปกรณ์ครั้งถัดไปก็จะไม่มีใครอธิบายได้ว่าทำไมจึงลดเกณฑ์ลง

ทางที่สามคือแยกตามหมวดอุปกรณ์ แทนที่จะปฏิบัติกับทุกอุปกรณ์เหมือนกันหมด คุณปรับความเข้มของข้อกำหนดตามตำแหน่งที่อุปกรณ์นั้นอยู่ในเครือข่าย ต้นทุนการดำเนินงานสูงขึ้น แต่ในทางปฏิบัติ นี่คือทางที่พังยากที่สุด

แกนที่ 1 อุปกรณ์อยู่ตรงไหนของเครือข่าย

แกนแรกคือตำแหน่งติดตั้ง อุปกรณ์ที่ต่อกับเครือข่ายภายนอกหรือคลาวด์โดยตรง อุปกรณ์ที่ต่อเฉพาะเครือข่ายควบคุมภายในโรงงาน และอุปกรณ์ที่ไม่ต่อเครือข่ายเลย มีระดับความเสี่ยงต่างกัน ไม่มีความจำเป็นต้องใช้เกณฑ์เดียวกันกับทั้งสามกลุ่ม

แกนที่ 2 มีทางเลือกอื่นนอกจากจัดซื้อในประเทศหรือไม่

แกนที่สองคือความสามารถในการหาของทดแทน อุปกรณ์ที่ส่งออกจากญี่ปุ่นได้ กับอุปกรณ์ที่ซื้อได้เฉพาะในไทย มีพื้นที่ให้รักษาเกณฑ์ต่างกัน สำหรับอุปกรณ์ที่การบำรุงรักษาต้องพึ่งผู้ขายในประเทศ ให้มองเลยสเปกของตัวอุปกรณ์ไปถึงเส้นทางการเข้าถึงระบบตอนเข้าซ่อมบำรุงด้วย

แกนที่ 3 รอบการเปลี่ยนและรูปแบบสัญญา

แกนที่สามคือเวลา อุปกรณ์ที่ติดพ่วงกับเครื่องจักรการผลิตและจะอยู่ในสายการผลิตห้าปีขึ้นไป กับอุปกรณ์ฝั่งไอทีที่เปลี่ยนทุกไม่กี่ปี ต่างกันที่ระยะเวลาที่ข้อยกเว้นของวันนี้จะยังส่งผลอยู่ อุปกรณ์ที่ผูกกับสัญญาเช่าหรือสัญญาบำรุงรักษามักปรับเกณฑ์ใหม่ได้เฉพาะตอนต่อสัญญา ซึ่งต้องวางแผนไว้ล่วงหน้าเช่นกัน

เมื่อนำสามแกนมาประกอบกัน จะได้การจัดวางดังนี้

จุดสำคัญที่สุดของการใช้ตารางนี้คือ เมื่อผ่อนปรนเกณฑ์ ต้องบันทึกไว้ว่าผ่อนปรน การให้ข้อยกเว้นไม่ใช่ปัญหา ปัญหาคือข้อยกเว้นที่ไม่ถูกบันทึก แล้วแข็งตัวกลายเป็นค่าตั้งต้น จนคนที่มารับช่วงต่อเข้าใจผิดว่านั่นคือมาตรฐาน ข้อยกเว้นที่อนุมัติแล้วทุกรายการต้องมีวันหมดอายุและวันประเมินซ้ำ

ส่วนการถกเถียงต้นน้ำ คือควรใส่อะไรลงในเกณฑ์การคัดเลือกตั้งแต่แรก อยู่ใน JC-STAR กับการจัดซื้ออุปกรณ์ในภาคการผลิต เกณฑ์คัดเลือกที่ต้องตัดสินใจในปี 2026 บทความนี้ว่าด้วยการนำเกณฑ์ดังกล่าวไปใช้จริงที่ฐานการผลิตในไทย ดังนั้นหากยังไม่ได้ตัดสินใจเรื่องตัวเกณฑ์ ให้เริ่มจากบทความนั้นก่อน

จะสื่อสาร JC-STAR และ CLS กับซัพพลายเออร์ในประเทศอย่างไร

มาตรฐานที่ไปไม่ถึงซัพพลายเออร์ไม่ทำให้การจัดซื้อขยับ และนี่คือจุดที่กระบวนการติดขัดบ่อยที่สุด

อย่าเริ่มด้วยชื่อระบบ

ให้ตั้งสมมติฐานว่าซัพพลายเออร์ในไทยไม่เคยได้ยินชื่อ JC-STAR หรือ CLS ระบบเหล่านี้ใช้ในตลาดคนละแห่ง ไม่ใช่ความบกพร่องของคู่ค้า ดังนั้นการเขียนในใบขอราคาว่าต้องเทียบเท่า JC-STAR ระดับดาว 1 มักจะถูกมองข้าม หรือได้คำตอบที่คลาดจากประเด็น

สิ่งที่ต้องส่งให้ถึงไม่ใช่ชื่อระบบ แต่คือสาระที่ระบบนั้นเรียกร้อง การไล่รายการสิ่งที่ต้องการยืนยันเป็นประโยคเรียบง่ายโดยไม่ใช้คำเฉพาะที่อีกฝ่ายไม่รู้จัก จะได้คำตอบที่ตรงและเร็วกว่ามาก

วิธีสื่อสารสามขั้น

ในทางปฏิบัติ ลำดับต่อไปนี้ใช้ได้ผล

ขั้นที่ 1 เขียนข้อกำหนดเป็นรายการเรียบง่ายโดยไม่มีชื่อระบบอยู่ในนั้น รหัสผ่านเริ่มต้นไม่ซ้ำกันในแต่ละเครื่องหรือไม่ หรือบังคับให้เปลี่ยนเมื่อเปิดใช้ครั้งแรกหรือไม่ แผนและวิธีการส่งมอบการอัปเดตซอฟต์แวร์เป็นอย่างไร พอร์ตและบริการสื่อสารที่ไม่ได้ใช้ถูกปิดไว้ตั้งแต่ต้นหรือไม่ เมื่อพบช่องโหว่ ผู้ติดต่อคือใครและแจ้งด้วยวิธีใด กำหนดสิ้นสุดการสนับสนุนอยู่เมื่อใด ทุกข้อนี้ตอบได้โดยไม่ต้องรู้จักระบบรับรองใด ๆ

ขั้นที่ 2 อย่าจำกัดรูปแบบของหลักฐานไว้แบบเดียว หากมีการรับรองจากบุคคลที่สามก็รับไป หากไม่มีก็รับหนังสือรับรองตนเองของผู้ผลิต หากไม่มีอีกก็รับเอกสารขั้นตอนการตั้งค่าพร้อมภาพหน้าจอ ผลิตภัณฑ์ที่มาพร้อมการรับรองจากบุคคลที่สามเป็นส่วนน้อยในช่องทางการค้าของไทย การยืนกรานรับหลักฐานเพียงแบบเดียวจึงเท่ากับลบรายชื่อผู้เสนอราคาทิ้ง

ขั้นที่ 3 ส่งกำหนดเวลาและแบบฟอร์มคำตอบไปพร้อมกัน คำถามปลายเปิดจะได้คำตอบเป็นความเรียงที่เอามาเทียบกันไม่ได้ ให้ใช้ตารางที่แต่ละบรรทัดเลือกได้สามอย่าง คือ ทำได้แล้ว ยังไม่ได้ทำ และมีมาตรการชดเชย พร้อมช่องอธิบายมาตรการชดเชย

ถ้าได้คำตอบว่าผลิตภัณฑ์ของเราได้รับการรับรองในไทยแล้ว

คำตอบนี้จะมาบ่อย เมื่อได้รับให้ถามกลับว่าเป็นการรับรองใด หากเป็นการรับรองแบบของ กสทช. นั่นเป็นการรับรองที่เน้นข้อกำหนดด้านคลื่นความถี่ของอุปกรณ์วิทยุคมนาคม ซึ่งไม่ใช่คำตอบของคำถามด้านความปลอดภัยไซเบอร์ที่คุณถามไป ไม่จำเป็นต้องโต้แย้งคู่ค้า เพียงบอกว่านอกเหนือจากการรับรองนั้น เราต้องการยืนยันรายการต่อไปนี้ แล้วดึงกลับมาที่ตารางข้อกำหนด

อนึ่ง ผลิตภัณฑ์ที่สอดคล้องกับ CLS ก็ไหลเข้ามาในช่องทางการค้าของไทยได้เช่นกัน กรณีนั้นอ่านได้ว่าผลิตภัณฑ์ผ่านข้อกำหนดระดับ Level 1 แต่นั่นคือสภาพตอนออกจากโรงงาน หากไม่มีการตั้งค่าตอนติดตั้ง การแบ่งแยกเครือข่าย และวินัยการจัดการรหัสผ่านมาประกอบ ฉลากก็ไม่มีความหมาย และข้อนี้เป็นจริงไม่ว่าจะมีฉลากหรือไม่มีก็ตาม

อำนาจตัดสินใจสุดท้ายเรื่องมาตรฐานการจัดซื้ออยู่ที่ใคร

ต่อให้เขียนข้อกำหนดเสร็จ ถ้าเจ้าของเรื่องไม่ชัด กระบวนการก็หยุด ส่วนนี้เป็นเรื่องธรรมาภิบาล ไม่ใช่เรื่องตัวระบบรับรอง

รูปแบบมีอยู่สามแบบ

ในทางปฏิบัติเราแนะนำรูปแบบสองชั้น เพราะเป็นรูปเดียวที่ทำให้การจัดซื้อเดินต่อได้โดยไม่เสียความสามารถในการอธิบายระดับกลุ่มบริษัท สำนักงานใหญ่ถือตัวมาตรฐานและสิทธิ์ประเมินข้อยกเว้นซ้ำ ส่วนฐานการผลิตถืออำนาจตัดสินชั้นต้นแบบมีกำหนดเวลา

สร้างเส้นทางขอข้อยกเว้นก่อนที่จะต้องใช้

อย่าสลับลำดับ เส้นทางขอข้อยกเว้นต้องออกพร้อมกับมาตรฐาน ไม่ใช่ออกทีหลัง หากมีแต่มาตรฐานมาถึง ทีมในประเทศจะเหลือสองทางเลือก คือหยุดการจัดซื้อที่ทำตามไม่ได้ หรือเงียบแล้วไม่ทำตาม ทั้งสองอย่างไม่ใช่สภาพที่ต้องการ

แบบฟอร์มขอข้อยกเว้นควรเก็บหกอย่าง ได้แก่ อุปกรณ์ที่เกี่ยวข้อง ข้อกำหนดที่ทำตามไม่ได้ เหตุผลที่ทำตามไม่ได้ มาตรการชดเชย วันหมดอายุ และวันประเมินซ้ำ หากมีครบหกข้อ ผู้รับช่วงต่อจะสานงานได้

ตัดสินว่าใครถือทะเบียนข้อยกเว้น

ข้อนี้ตกหล่นบ่อยที่สุด เมื่ออนุมัติแล้ว ข้อยกเว้นต้องขึ้นทะเบียนและถูกประเมินซ้ำเมื่อหมดอายุ ให้ตัดสินตั้งแต่ต้นและระบุชื่อคนเดียวว่าทะเบียนนี้ดูแลโดยสำนักงานใหญ่หรือฐานการผลิต ทะเบียนที่ไม่มีเจ้าของชื่อชัดจะหยุดอัปเดตภายในราวหกเดือน

พระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 เกี่ยวข้องอย่างไร

สุดท้ายคือคำถามด้านกฎหมาย การเข้าใจผิดตรงนี้แล้วนำไปอธิบายภายในองค์กร จะนำไปสู่การลงแรงกับงานที่ไม่เคยถูกเรียกร้อง หรือไม่ก็ความสบายใจที่ไม่มีมูล

ขอบเขตคือผู้ดูแลโครงสร้างพื้นฐานสำคัญทางสารสนเทศใน 8 ด้าน

พระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 กำกับผู้ดูแลโครงสร้างพื้นฐานสำคัญทางสารสนเทศ หรือ CII ด้านที่อยู่ในขอบเขตได้แก่ ความมั่นคงของรัฐ บริการภาครัฐที่สำคัญ การเงินการธนาคาร เทคโนโลยีสารสนเทศและโทรคมนาคม การขนส่งและโลจิสติกส์ พลังงานและสาธารณูปโภค สาธารณสุข และด้านอื่นตามที่คณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ หรือ NCSC กำหนด รวมเป็น 8 ด้าน

หน้าที่ที่กำหนดให้องค์กรในขอบเขตเป็นหน้าที่ระดับองค์กร เช่น การประเมินความเสี่ยงด้านความมั่นคงปลอดภัยไซเบอร์อย่างน้อยปีละหนึ่งครั้ง และการส่งรายงานสรุปผลให้สำนักงานภายใน 30 วันนับแต่ประเมินแล้วเสร็จ การจัดทำแนวปฏิบัติตามที่กำหนด การให้ข้อมูลเกี่ยวกับการออกแบบระบบและการดำเนินงานโครงสร้างพื้นฐาน และการรายงานต่อสำนักงานและหน่วยงานกำกับดูแลที่เกี่ยวข้องเมื่อเกิดภัยคุกคามทางไซเบอร์ เป็นต้น

เครื่องจักรการผลิตและอุปกรณ์ IoT ไม่ได้เป็นสิ่งที่กฎหมายนี้กำกับ

นี่คือประเด็นที่บทความนี้ต้องการเน้นที่สุด กฎหมายฉบับนี้ไม่ใช่ระบบรับรองผลิตภัณฑ์ ไม่ได้กำหนดข้อกำหนดด้านความปลอดภัยสำหรับเครื่องจักรการผลิตหรืออุปกรณ์ IoT แล้วบังคับให้พิสูจน์ความสอดคล้อง สิ่งที่ถูกกำกับคือการดำเนินงานขององค์กรในด้านที่กำหนด ไม่ใช่สเปกของอุปกรณ์

ดังนั้นหากฐานการผลิตในไทยจัดซื้ออุปกรณ์ที่ไม่ผ่านมาตรฐานของสำนักงานใหญ่ ตัวการกระทำนั้นเองไม่ถือเป็นการฝ่าฝืนกฎหมายฉบับนี้ และในทางกลับกัน คุณก็อ้างกฎหมายฉบับนี้เพื่อบอกว่าความปลอดภัยของอุปกรณ์ได้รับการรับประกันเพราะปฏิบัติตามกฎหมายไทยแล้วไม่ได้เช่นกัน

ไม่ผิดกฎหมาย แต่กฎหมายก็ไม่ได้ให้หลักประกันทดแทน

สรุปคือ พระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 ไม่ได้ห้ามและไม่ได้เรียกร้องสิ่งใดเกี่ยวกับการจัดซื้ออุปกรณ์โรงงาน นั่นหมายถึงอิสระที่สูง และหมายถึงการไม่มีพื้นขั้นต่ำที่ถูกกำหนดมาจากภายนอกด้วยเช่นกัน

ในญี่ปุ่น ระดับดาวของ JC-STAR ทำหน้าที่เป็นพื้นขั้นต่ำแบบคร่าว ในสิงคโปร์ CLS ทำหน้าที่เดียวกัน ประเทศไทยไม่มีทั้งสองอย่าง พื้นขั้นต่ำจึงต้องตั้งโดยคุณเอง มาตรฐานของสำนักงานใหญ่และเส้นทางขอข้อยกเว้นที่อธิบายมาข้างต้น คือกลไกสำหรับถือพื้นขั้นต่ำที่คุณสร้างขึ้นเอง

ข้อควรระวังหนึ่งข้อ หากฐานการผลิตของคุณดำเนินกิจการอยู่ในหนึ่งใน 8 ด้านข้างต้น นั่นเป็นคนละบทสนทนา กรณีนั้นให้แยกออกจากเรื่องการจัดซื้ออุปกรณ์ และตรวจสอบหน้าที่ระดับองค์กรกับฝ่ายกฎหมาย

เช็กลิสต์สำหรับสร้างมาตรฐานการจัดซื้อของฐานการผลิตในไทย

ทั้งหมดข้างต้นเรียงตามลำดับสิ่งที่ควรทำก่อน ไล่ลงมาทีละข้อแล้วคุณจะได้ร่างแรกของมาตรฐาน

• ตรวจว่ามีมาตรฐานความปลอดภัยสำหรับการจัดซื้ออุปกรณ์ของสำนักงานใหญ่เป็นเอกสารอยู่จริงหรือไม่
• ตรวจว่ามาตรฐานนั้นระบุชัดหรือไม่ว่าใช้กับฐานการผลิตในต่างประเทศด้วย
• ตรวจว่ามาตรฐานเขียนด้วยชื่อระบบอย่าง JC-STAR เพียงอย่างเดียวหรือไม่ มาตรฐานที่เขียนด้วยชื่อระบบล้วนใช้ในไทยไม่ได้
• หากเขียนด้วยชื่อระบบ ให้ขยายสาระที่เรียกร้องออกมาเป็นประโยคข้อกำหนดที่เข้าใจง่าย
• แยกอุปกรณ์ที่ฐานการผลิตในไทยจัดซื้อออกเป็นสามหมวด คือ ต่อออกภายนอก ต่อเครือข่ายควบคุม และไม่ต่อเครือข่าย
• ตัดสินรายหมวดว่าจะใช้มาตรฐานสำนักงานใหญ่ตามเดิม หรือเปิดให้ขอข้อยกเว้นได้
• สร้างแบบฟอร์มขอข้อยกเว้นที่มีหกช่อง ได้แก่ อุปกรณ์ ข้อกำหนดที่ทำตามไม่ได้ เหตุผล มาตรการชดเชย วันหมดอายุ วันประเมินซ้ำ
• ระบุชื่อผู้รับผิดชอบหนึ่งคน ที่สำนักงานใหญ่หรือที่ฐานการผลิต เพื่อดูแลทะเบียนข้อยกเว้น
• สร้างตารางยืนยันข้อกำหนดสำหรับซัพพลายเออร์ในประเทศ โดยไม่ใช้ชื่อระบบ และตอบได้ว่าทำได้แล้ว ยังไม่ได้ทำ หรือมีมาตรการชดเชย
• ยอมรับหลักฐานได้สามรูปแบบ คือ การรับรองจากบุคคลที่สาม หนังสือรับรองตนเองของผู้ผลิต หรือเอกสารขั้นตอนการตั้งค่า
• ผนวกการยื่นตารางยืนยันข้อกำหนดเข้าไปในแม่แบบใบขอราคาเป็นรายการบังคับ
• สอบถามฝ่ายกฎหมายว่ากิจการของคุณเข้าข่ายหนึ่งใน 8 ด้านตามพระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์หรือไม่
• วางแผนว่าอุปกรณ์ที่ติดตั้งไปแล้วจะถูกนำกลับมาเทียบกับมาตรฐานเมื่อใดในรอบเปลี่ยนครั้งถัดไป

คำถามที่พบบ่อย

ซื้ออุปกรณ์ที่มีฉลาก JC-STAR ให้ฐานการผลิตในไทยมีประโยชน์หรือไม่

มีประโยชน์ แต่ให้มองว่าเป็นทางลัดในการคัดเลือก ไม่ใช่ผลทางกฎหมาย ไม่มีกฎเกณฑ์ของไทยข้อใดเรียกร้อง JC-STAR ดังนั้นการมีฉลากจึงไม่เปลี่ยนสถานะทางกฎหมายของคุณ สิ่งที่ฉลากทำได้คือเป็นตัวแทนของข้อกำหนดที่ผลิตภัณฑ์ผ่านมาแล้ว ช่วยลดงานที่ต้องให้คู่ค้ากรอกตารางข้อกำหนดของคุณตั้งแต่ศูนย์ ในกรณีที่การนำเข้าจากญี่ปุ่นเป็นทางเลือกที่ทำได้จริง เหตุผลด้านประสิทธิภาพนี้ก็ใช้ได้

ในอนาคตประเทศไทยจะเข้าร่วมข้อตกลงยอมรับร่วมกันของ JC-STAR หรือไม่

ยังไม่มีข้อมูลให้ใช้ตัดสิน การยอมรับร่วมกันของ JC-STAR เริ่มใช้กับสหราชอาณาจักรภายใต้ PSTI Act เมื่อวันที่ 1 มกราคม 2026 และมีผลบังคับใช้กับ CLS ของสิงคโปร์เมื่อวันที่ 1 มิถุนายน 2026 ส่วนสหรัฐอเมริกาและสหภาพยุโรปยังอยู่ในขั้นแลกเปลี่ยนข้อมูล ยังไม่มีการบรรลุข้อตกลงและยังไม่มีผลบังคับใช้ ไม่พบข้อมูลสาธารณะเรื่องการเจรจากับประเทศไทย ท่าทีที่ซื่อตรงจึงคือ ยืนยันไม่ได้และตัดออกก็ไม่ได้ อย่าเขียนในเอกสารภายในว่าคาดว่าจะมีการยอมรับร่วมกับไทย และให้ออกแบบมาตรฐานบนสมมติฐานว่าวันนี้ยังไม่มีระบบ

ถ้าซื้ออุปกรณ์จากสิงคโปร์ที่มีการรับรอง CLS มาใช้ที่ไทย ถือว่าปลอดภัยหรือไม่

พูดได้ว่าผลิตภัณฑ์ผ่านชุดข้อกำหนดที่กำหนดไว้ตอนออกจากโรงงาน แต่ CLS Level 1 คือระดับเริ่มต้น และสิ่งที่ข้อตกลงญี่ปุ่น-สิงคโปร์ยอมรับคือข้อกำหนดพื้นฐานบางส่วนของ JC-STAR ระดับดาว 1 ยิ่งไปกว่านั้น ความปลอดภัยของอุปกรณ์เปลี่ยนไปมากตามการตั้งค่าและการใช้งานหลังติดตั้ง หากไม่เปลี่ยนรหัสผ่านเริ่มต้น ไม่ปิดพอร์ตที่ไม่ได้ใช้ ไม่แบ่งแยกเครือข่าย และไม่ติดตั้งการอัปเดต ฉลากใด ๆ ก็ไม่ทำให้อุปกรณ์ปลอดภัย ฉลากคือจุดเริ่มต้น ไม่ใช่จุดหมาย

พระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์เรียกร้องอะไรจากโรงงานของเราหรือไม่

ในบริบทของการจัดซื้ออุปกรณ์ ไม่มีสิ่งใดที่ต้องทำเพราะกฎหมายฉบับนี้ เพราะกฎหมายใช้กับผู้ดูแลโครงสร้างพื้นฐานสำคัญทางสารสนเทศใน 8 ด้านที่กำหนด และไม่ได้กำกับเครื่องจักรการผลิตหรืออุปกรณ์ IoT ในฐานะผลิตภัณฑ์ อย่างไรก็ตาม หากกิจการของคุณอยู่ในด้านใดด้านหนึ่งเหล่านั้น เช่น พลังงานและสาธารณูปโภค หรือการขนส่งและโลจิสติกส์ ก็อาจเกิดหน้าที่ระดับองค์กรขึ้น ให้แยกคำถามนั้นออกจากเรื่องอุปกรณ์ และนำไปหารือกับฝ่ายกฎหมาย

ถ้าฝ่ายไอทีของสำนักงานใหญ่กับฐานการผลิตในไทยเห็นไม่ตรงกัน ควรทำอย่างไร

การป้องกันที่ได้ผลที่สุดคือไม่ถกเถียงเรื่องอำนาจตัดสินใจในระหว่างที่มีเคสจริงค้างอยู่ หากตอนออกมาตรฐานได้กำหนดไว้แล้วว่ามาตรฐานมาจากสำนักงานใหญ่ การตัดสินข้อยกเว้นชั้นต้นอยู่ที่ฐานการผลิต และสำนักงานใหญ่ทบทวนภายหลัง ก็จะไม่มีอำนาจให้แย่งกันในรายการจัดซื้อรายตัว หากขัดแย้งกันอยู่แล้ว ให้แยกว่าข้อพิพาทอยู่ที่ตัวมาตรฐาน หรืออยู่ที่การให้ข้อยกเว้น ส่วนใหญ่เป็นอย่างหลัง และแก้ได้ด้วยการอนุมัติข้อยกเว้นแบบมีกำหนดเวลา

สรุป

ประเด็นหลักจากบทความนี้

• ข้อตกลงญี่ปุ่น-สิงคโปร์เป็นกรอบทวิภาคี และประเทศไทยไม่ได้เป็นภาคี จึงนำมาใช้กับมาตรฐานการจัดซื้อของฐานการผลิตในไทยโดยตรงไม่ได้
• ข้อตกลงลงนามวันที่ 18 มีนาคม 2026 และมีผลบังคับใช้วันที่ 1 มิถุนายน 2026 โดยยอมรับว่าข้อกำหนดพื้นฐานบางส่วนของ JC-STAR ระดับดาว 1 กับข้อกำหนดพื้นฐานบางส่วนของ CLS Level 1 เทียบเท่ากัน
• ผลในทางปฏิบัติคือเอกสารง่ายขึ้นและค่าธรรมเนียมลดจาก 198,000 เยนเหลือ 140,000 เยน ต่างกัน 58,000 เยน เมื่อผลิตภัณฑ์ที่สอดคล้องกับ CLS ยื่นขอ JC-STAR ซึ่งไม่ได้เปลี่ยนมาตรฐานของฝ่ายผู้ซื้อ
• ประเทศไทยไม่มีระบบรับรองหรือระบบฉลากความปลอดภัยไซเบอร์สำหรับอุปกรณ์ IoT ที่เทียบได้กับ JC-STAR หรือ CLS
• การรับรองแบบของ กสทช. เน้นข้อกำหนดด้านคลื่นความถี่ของอุปกรณ์วิทยุคมนาคม ไม่รวมข้อกำหนดด้านความปลอดภัยไซเบอร์
• เมื่อไม่มีระบบท้องถิ่นให้ยึด แหล่งที่มาเดียวของเกณฑ์คือมาตรฐานสำนักงานใหญ่ และทางเลือกยุบเหลือ ใช้เหมือนกันทั้งหมด ผ่อนปรนทั้งหมด หรือแยกตามหมวด
• การแยกตามหมวดพังยากที่สุดในทางปฏิบัติ โดยปรับความเข้มของเกณฑ์ระหว่างอุปกรณ์ที่ต่อออกภายนอก ต่อเครือข่ายควบคุม และไม่ต่อเครือข่าย
• สื่อสารกับซัพพลายเออร์ในประเทศด้วยสาระ ไม่ใช่ชื่อระบบ และยอมรับหลักฐานสามรูปแบบ คือ การรับรองจากบุคคลที่สาม หนังสือรับรองตนเอง หรือเอกสารการตั้งค่า
• ธรรมาภิบาลแบบสองชั้น คือมาตรฐานจากสำนักงานใหญ่ ตัดสินข้อยกเว้นชั้นต้นที่ฐานการผลิต และทบทวนภายหลังที่สำนักงานใหญ่ ดำเนินการได้ง่ายที่สุด
• คำขอข้อยกเว้นทุกรายการต้องมีหกช่อง คือ อุปกรณ์ ข้อกำหนดที่ทำตามไม่ได้ เหตุผล มาตรการชดเชย วันหมดอายุ วันประเมินซ้ำ
• พระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 ครอบคลุมผู้ดูแล CII ใน 8 ด้าน และไม่ได้กำกับอุปกรณ์โรงงานเอง จึงไม่ผิดกฎหมาย แต่กฎหมายก็ไม่ได้ให้หลักประกันทดแทน
• การยอมรับร่วมกันของ JC-STAR เริ่มใช้กับสหราชอาณาจักรภายใต้ PSTI Act เมื่อวันที่ 1 มกราคม 2026 และข้อตกลงญี่ปุ่น-สิงคโปร์เป็นรายที่สอง ส่วนสหรัฐอเมริกาและสหภาพยุโรปยังอยู่ในขั้นแลกเปลี่ยนข้อมูล และไม่มีการยืนยันข้อมูลเรื่องการเจรจากับประเทศไทย

สิ่งแรกที่ควรทำไม่ใช่การไล่สอบถามผู้ขายหรือเปรียบเทียบอุปกรณ์ แต่คือหยิบมาตรฐานการจัดซื้ออุปกรณ์ของสำนักงานใหญ่ออกมาหนึ่งฉบับ แล้วตรวจว่าเขียนด้วยชื่อระบบหรือเขียนด้วยข้อกำหนดที่เป็นเนื้อหา หากเขียนด้วยชื่อระบบ มาตรฐานฉบับนั้นจะทำงานในไทยไม่ได้ การเขียนใหม่ให้เป็นประโยคข้อกำหนดคือก้าวแรกที่แท้จริงของการสร้างมาตรฐานการจัดซื้อสำหรับฐานการผลิตในไทย

TOMAS TECH สนับสนุนผู้ผลิตสัญชาติญี่ปุ่นที่ดำเนินกิจการในประเทศไทยด้านการนำ IT และ OT มาใช้ในโรงงาน รวมถึงระบบบริหารการผลิต PEGASUS เรารับปรึกษาเรื่องการร่างมาตรฐานการจัดซื้อ การเรียบเรียงข้อกำหนดสำหรับซัพพลายเออร์ในประเทศ และการทำให้สอดคล้องกับระเบียบของสำนักงานใหญ่ ตั้งแต่ขั้นที่ยังไม่ได้ตัดสินใจอะไรเลย หากเพียงต้องการเห็นภาพสถานะปัจจุบันขององค์กรก็เริ่มต้นได้ ติดต่อเราได้ที่ หน้าติดต่อ

แหล่งอ้างอิง

• IPA – การยื่นคำขอ JC-STAR สำหรับผลิตภัณฑ์ที่สอดคล้องกับ CLS
• METI – รัฐมนตรีช่วยว่าการ Ino ลงนามบันทึกว่าด้วยการยอมรับร่วมกันระหว่าง JC-STAR กับระบบฉลากความปลอดภัยไซเบอร์ CLS ของสิงคโปร์
• IPA – การยื่นคำขอการยอมรับร่วมกันของ JC-STAR สำหรับความสอดคล้องกับ PSTI Act ของสหราชอาณาจักร
• ScanNetSecurity – การยอมรับร่วมกันของระบบฉลากความปลอดภัย IoT ของญี่ปุ่นและสิงคโปร์
• พระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 ฉบับแปลภาษาอังกฤษ PDF
• ib-lenhardt – Type Approval Thailand การรับรองแบบอุปกรณ์วิทยุคมนาคมของ กสทช.
• IPA – ภาพรวมโครงการ JC-STAR