นโยบายการรักษาความมั่นคงปลอดภัย

1. การเข้าสู่ระบบและรหัสผ่าน

• สถานศึกษาต้องเปลี่ยนรหัสผ่านตั้งต้นทันทีที่เข้าสู่ระบบครั้งแรก
• รหัสผ่านต้องยาวอย่างน้อย 8 ตัวอักษร ห้ามใช้รหัสโรงเรียน และห้ามใช้ตัวอักษรซ้ำกันทั้งหมด
• ระบบเก็บรหัสผ่านด้วยการเข้ารหัสทางเดียว (bcrypt) ไม่มีผู้ใดอ่านรหัสผ่านจริงได้ รวมถึงผู้ดูแลระบบ
• กรอกรหัสผ่านผิด 5 ครั้ง บัญชีจะถูกล็อก 15 นาที เพื่อป้องกันการเดารหัสผ่าน
• การเข้าสู่ระบบหมดอายุภายใน 12 ชั่วโมง เมื่อเปลี่ยนหรือรีเซ็ตรหัสผ่าน ระบบจะออกจากระบบในทุกเครื่องที่ค้างไว้

2. การควบคุมสิทธิ์การเข้าถึง

• สถานศึกษาเห็นและแก้ไขได้เฉพาะข้อมูลของโรงเรียนตนเอง
• เจ้าหน้าที่ศูนย์ฯ เข้าถึงข้อมูลของทุกโรงเรียนตามหน้าที่
• ภาพถ่ายและไฟล์แนบเปิดดูได้เฉพาะโรงเรียนเจ้าของและเจ้าหน้าที่ศูนย์ฯ ที่เข้าสู่ระบบแล้ว ไม่เปิดเป็นลิงก์สาธารณะ
• ระบบตรวจสิทธิ์ที่ฝั่งเซิร์ฟเวอร์ทุกครั้งที่อ่านหรือบันทึกข้อมูล

3. การรับส่งและจัดเก็บข้อมูล

• รับส่งข้อมูลผ่าน HTTPS ทุกหน้า และบังคับให้เบราว์เซอร์ใช้ HTTPS เสมอ (HSTS)
• คุกกี้เข้าสู่ระบบมีลายเซ็นดิจิทัล อ่านจากสคริปต์ไม่ได้ (HttpOnly) และส่งผ่าน HTTPS เท่านั้น (Secure)
• ฐานข้อมูลปิดการเข้าถึงผ่าน API สาธารณะ อ่านได้เฉพาะจากเซิร์ฟเวอร์ของระบบ
• รหัสลับของระบบ เช่น รหัสฐานข้อมูลและกุญแจบริการ เก็บในตัวแปรสภาพแวดล้อมของเซิร์ฟเวอร์ ไม่อยู่ในซอร์สโค้ด
• การเชื่อมต่อจาก LINE ตรวจลายเซ็นทุกครั้ง และงานตั้งเวลาต้องใช้รหัสลับ

4. การป้องกันการโจมตีทางเว็บ

• ห้ามนำหน้าเว็บไปแสดงในเว็บไซต์อื่น (ป้องกัน clickjacking)
• กำหนด HTTP security headers เช่น X-Content-Type-Options, Referrer-Policy และ Permissions-Policy
• ตรวจสอบรูปแบบและขนาดของข้อมูลและไฟล์ที่อัปโหลดทุกครั้ง

5. หน้าที่ของผู้ใช้งาน

• เก็บรหัสผ่านเป็นความลับ และไม่ใช้รหัสผ่านเดียวกับระบบอื่น
• ออกจากระบบทุกครั้งเมื่อใช้เครื่องร่วมกับผู้อื่น
• แจ้งศูนย์ฯ ทันทีเมื่อสงสัยว่ามีผู้อื่นใช้บัญชีของโรงเรียน ศูนย์ฯ จะรีเซ็ตรหัสผ่านให้

6. การรับมือเหตุละเมิดความปลอดภัย

เมื่อพบหรือได้รับแจ้งเหตุละเมิดความปลอดภัย สพป.สงขลา เขต 2 จะระงับความเสียหาย ตรวจสอบสาเหตุ และแจ้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลและผู้ที่ได้รับผลกระทบตามที่กฎหมายกำหนด

7. แจ้งปัญหาความปลอดภัย