จังหวัดชัยนาทได้มีข้อกำหนดสำหรับการใช้งาน การดูแลรักษา และการป้องกันให้เหมาะสมกับลักษณะการดำเนินกิจการ ซึ่งการดูแลรักษาและการป้องกันมุ่งหมายไปในทางความมั่นคงปลอดภัย โดยมีหลักการสำคัญคือการธำรงไว้ซึ่งการรักษาความลับของข้อมูล ความถูกต้องครบถ้วน และความสมบูรณ์พร้อมใช้ ดังนี้
1. การรักษาความลับ (Confidentiality) หมายถึง การป้องกันไม่ให้สินทรัพย์สามารถถูกเข้าถึงได้จากผู้ไม่มีสิทธิ โดยการเข้าถึงยังรวมถึงการถูกเปิดเผยและการจำแนกแจกจ่ายซึ่งสินทรัพย์นั้นด้วย ดังนั้น ในการรักษาความลับจำเป็นต้องมีการควบคุมทั้งทางกายภาพ และทางเทคนิค โดยผู้ที่ไม่มีสิทธิต้องไม่สามารถเข้าถึงสินทรัพย์นั้นได้และสินทรัพย์จำเป็นต้องมีการจำแนกและกำหนดระดับความต้องการในการป้องกันไว้อย่างชัดเจน เพื่อให้ผู้ที่ถือครองสินทรัพย์ปฏิบัติได้ถูกต้องเหมาะสมกับระดับความต้องการนั้น
2. ความถูกต้องครบถ้วน (Integrity) หมายถึง การป้องกันไม่ให้สินทรัพย์ถูกเปลี่ยนแปลงแก้ไขทั้งที่มีเจตนาหรือไม่ก็ตามจากผู้ไม่มีสิทธิที่จะแก้ไขสินทรัพย์เหล่านั้น ดังนั้นการควบคุมและป้องกันจึงต้องประกอบด้วยการกำหนดสิทธิในการแก้ไข กำหนดสิทธิในการเข้าถึง และจำเป็นต้องอาศัยการตรวจสอบทั้งจากการทำรายการบัญชีสินทรัพย์และทางเทคนิค
3. ความสมบูรณ์พร้อมใช้ (Availability) หมายถึง การที่ผู้มีสิทธิสามารถเข้าใช้งานสินทรัพย์นั้นได้เมื่อยามต้องการใช้งาน ซึ่งมีทั้งในทางกายภาพและทางเทคโนโลยี ได้แก่ การให้บริการระบบจดหมายอิเล็กทรอนิกส์ที่จำเป็นต้องให้บริการตลอดเวลา ดังนั้น เมื่อผู้ใช้ต้องการรับหรือส่ง ระบบจำเป็นที่จะต้องสามารถให้บริการได้ตลอดเวลา
เพื่อให้บรรลุตามหลักการข้างต้น จังหวัดชัยนาทได้กำหนดแนวทางการปฏิบัติ ดังนี้
1. การประเมินความเสี่ยง จัดให้มีการประเมินความเสี่ยงด้านไซเบอร์อย่างน้อยปีละ 1 ครั้ง หรือเมื่อมีการเปลี่ยนแปลงที่มีนัยสำคัญ โดยครอบคลุมทั้งบริบทภายใน ภายนอก และมาตรฐานสากล
2. เกณฑ์ความเสี่ยง กำหนดเกณฑ์ความเสี่ยงที่ยอมรับได้ (Risk Appetite) เพื่อเป็นแนวทางในการคัดกรองและบริหารจัดการความเสี่ยงที่เกิดขึ้นอย่างเป็นระบบ
3. การทบทวนนโยบาย จัดให้มีการทบทวนและปรับปรุงนโยบายนี้อย่างน้อยปีละ 1 ครั้ง เพื่อให้เท่าทันต่อเทคโนโลยีและภัยคุกคามรูปแบบใหม่
4. การประเมินผลสัมฤทธิ์ มีการประเมินผลการบังคับใช้นโยบายเพื่อนำมาพัฒนาแผนกลยุทธ์ด้านความปลอดภัยให้สอดคล้องกับสถานการณ์ปัจจุบัน
5. การจัดสรรทรัพยากร สนับสนุนงบประมาณ บุคลากรที่มีความเชี่ยวชาญ และเทคโนโลยีที่เพียงพอสำหรับการรักษาความมั่นคงปลอดภัยสารสนเทศ
จังหวัดชัยนาทบูรณาการแผนแก้ไขปัญหาจากสถานการณ์ไม่แน่นอนและภัยพิบัติให้เข้ากับนโยบายไซเบอร์ ดังนี้
1. แผนการรับมือภัยคุกคามทางไซเบอร์ กำหนดขั้นตอนการตอบสนองต่อเหตุการณ์ (Incident Response) เมื่อเกิดการบุกรุกหรือระบบถูกโจมตี เพื่อลดผลกระทบและกู้คืนระบบให้กลับมาทำงานปกติโดยเร็วที่สุด
2. การบริหารความต่อเนื่อง ในกรณีเกิดภัยพิบัติหรือสถานการณ์ไม่แน่นอนที่กระทบต่อระบบสารสนเทศ จังหวัดมีมาตรการสำรองข้อมูล (Backup) และแผนการกู้คืนระบบ (Disaster Recovery Plan) เพื่อธำรงไว้ซึ่งความสมบูรณ์พร้อมใช้ (Availability) ของข้อมูล
1. การเข้ารหัสลับข้อมูล ใช้เทคโนโลยีการเข้ารหัสระดับสูง (เช่น SSL/TLS) สำหรับการรับส่งข้อมูลผ่านเครือข่ายอินเทอร์เน็ต
2. การควบคุมการเข้าถึง กำหนดสิทธิการเข้าใช้งานระบบปฏิบัติการและแอปพลิเคชันเฉพาะผู้ที่ได้รับอนุญาต (Principle of Least Privilege) และมีการตรวจสอบตัวตนที่เข้มงวด
3. ระบบป้องกันเชิงรุก ติดตั้งและปรับปรุงระบบ Firewall, Scan Virus และระบบตรวจจับการบุกรุกอย่างสม่ำเสมอทั้งในระดับอุปกรณ์และเซิร์ฟเวอร์
1. มาตรการทางกายภาพ ควบคุมการเข้า-ออกพื้นที่จัดเก็บเซิร์ฟเวอร์และอุปกรณ์เครือข่ายสำคัญตามระดับความสำคัญของข้อมูล
2. การสร้างความตระหนักรู้ เจ้าหน้าที่ทุกคนต้องได้รับการฝึกอบรมด้านความปลอดภัยไซเบอร์ เพื่อให้เข้าใจบทบาทหน้าที่ในการรักษาความลับและความถูกต้องของข้อมูลที่ถือครอง