✅ บันทึกชื่อหน่วยงานเรียบร้อยแล้ว

ขอบเขตของงาน (Terms of Reference : TOR)

ระบบเฝ้าระวังและบังคับใช้มาตรฐานความมั่นคงปลอดภัยทางไซเบอร์แบบอัตโนมัติ
Autonomous SLA Enforcement & Cyber Oversight Platform
หน่วยงาน : สภากาชาดไทย (คลิกเพื่อแก้ไข)
วงเงินงบประมาณ: 480,000 บาท | วิธีจัดหา: วิธีเฉพาะเจาะจง | ระยะเวลาสัญญา: 12 เดือน
รูปแบบบริการเช่าระบบ (Service Rental)

1. ความเป็นมา/หลักการและเหตุผล

สภากาชาดไทย มีระบบสารสนเทศที่อยู่ภายใต้การดูแลของผู้รับจ้างภายนอก (Third-party Vendors) หลายราย การตรวจสอบและบังคับใช้ข้อตกลงระดับบริการ (SLA) ของผู้รับจ้างเหล่านี้เป็นไปได้ยากและใช้ทรัพยากรจำนวนมาก โดยเฉพาะการตรวจสอบความมั่นคงปลอดภัยทางไซเบอร์ที่ต้องอาศัยความเชี่ยวชาญเฉพาะทาง

สภากาชาดไทย จึงมีความจำเป็นต้องจัดหาระบบเฝ้าระวังและบังคับใช้มาตรฐานความมั่นคงปลอดภัยทางไซเบอร์แบบอัตโนมัติ เพื่อลดภาระบุคลากร เพิ่มประสิทธิภาพในการตรวจสอบ และสามารถเรียกค่าปรับจากผู้รับจ้างได้อย่างเป็นระบบ ระบบดังกล่าวต้องมีกลไกในการตรวจจับช่องโหว่ตามมาตรฐาน OWASP Top 10 และ CWE รวมถึงตรวจจับ SEO Hijacking, Malicious Redirect, C2 Server และเครือข่ายอาชญากรรม ซึ่งเป็นภัยคุกคามหลักของหน่วยงานภาครัฐในปัจจุบัน โดยระบบจะติดตั้งบน Infrastructure ของผู้ให้บริการในประเทศไทยเท่านั้น และดำเนินการในรูปแบบการให้บริการเช่าระบบ (Service Rental)

2. วัตถุประสงค์

  1. เพื่อให้มีระบบตรวจสอบและบังคับใช้ข้อตกลงระดับบริการ (SLA) ของผู้รับจ้างภายนอก (Vendors) โดยอัตโนมัติ
  2. เพื่อให้มีกลไกคำนวณค่าปรับอัตโนมัติเมื่อเกิดการละเมิด SLA และช่องโหว่ความมั่นคงปลอดภัยตามมาตรฐาน OWASP Top 10 และ NCSA WSS 1.0
  3. เพื่อให้มีระบบตรวจจับและวิเคราะห์ภัยคุกคามทางไซเบอร์ เช่น SEO Hijacking, Malicious Redirect, C2 Server และเครือข่ายอาชญากรรม
  4. เพื่อให้ระบบทั้งหมดทำงานบน Infrastructure ในประเทศไทย โดยข้อมูลไม่ถูกส่งออกนอกประเทศ
  5. เพื่อลดภาระบุคลากรของ สภากาชาดไทย ในการตรวจสอบความมั่นคงปลอดภัยของผู้รับจ้างภายนอก

3. ขอบเขตของงาน / รายละเอียดคุณลักษณะเฉพาะของพัสดุ

เงื่อนไขบังคับ: ผู้เสนอราคาต้องจัดหาระบบที่มีคุณสมบัติดังต่อไปนี้ ทุกข้อ หากไม่ตรงตามเงื่อนไขข้อใดข้อหนึ่ง จะถือว่าไม่ผ่านคุณสมบัติและไม่ได้รับการพิจารณา

3.1 ระบบบังคับใช้ SLA อัตโนมัติ (Autonomous SLA Enforcement)

ระบบต้องมีกลไกในการติดตาม ตรวจสอบ และบังคับใช้ข้อตกลงระดับบริการ (SLA) กับผู้รับจ้างภายนอก (Third-party Vendors) โดยอัตโนมัติ ดังนี้:

ความสามารถหลัก:
  • การนับถอยหลัง SLA (SLA Countdown): ระบบต้องสามารถนับถอยหลังระยะเวลาที่กำหนดให้ผู้รับจ้างแก้ไขปัญหา ตามระดับความรุนแรง (Critical, High, Medium/Low) และแจ้งเตือนเมื่อใกล้หมดเวลา
  • การคำนวณค่าปรับอัตโนมัติ (Automated Penalty Calculation): เมื่อพ้นระยะเวลาที่กำหนด ระบบต้องคำนวณค่าปรับตามอัตราที่กำหนดในสัญญา โดยคิดเป็นรายวันต่อช่องโหว่ และสามารถส่งออกรายงานเพื่อใช้ในการหักเงินจากผู้รับจ้างได้
  • การตรวจจับช่องโหว่ตามมาตรฐาน OWASP Top 10: ระบบต้องสามารถตรวจจับช่องโหว่ตาม OWASP Top 10 (2021) ตามขอบเขตที่กำหนดในข้อ 3.5
  • การตรวจจับ Security Baseline: ตรวจสอบ DNSSEC, HTTPS, SPF Record, DMARC Record และ Infrastructure Obfuscation
  • การตรวจจับ Misconfiguration: ตรวจจับการเปิดเผยข้อมูลผ่าน /author=1, /rest_route=/ และ HTTP Headers
  • การตรวจจับ Hijacking และ Malicious Redirect: ตรวจจับ Query String Hijacking Payload และบันทึก Redirect Hops
  • การตรวจจับ C2 Server และเครือข่ายอาชญากรรม: ตรวจจับ C2 Server ด้วย Fingerprinting, HTTP Header Analysis, Periodic Beaconing และวิเคราะห์เครือข่ายอาชญากรรมผ่านฐานข้อมูลกราฟ
  • การตรวจจับไลบรารีที่ล้าสมัย: ตรวจจับไลบรารี JavaScript และแมปกับ CVE เช่น jQuery 3.2.1 (CVE-2020-11022, CVE-2020-11023), Bootstrap 4.0.0 (CVE-2016-10735, CVE-2018-14040)
เงื่อนไขเพิ่มเติม:
  • ระบบส่วนกลางที่ใช้ควบคุมข้อมูลที่มีความละเอียดอ่อน ต้องติดตั้งและทำงานบนโครงสร้างพื้นฐานของผู้ให้บริการ ซึ่งตั้งอยู่ภายใน ประเทศไทยเท่านั้น
  • ห้ามส่งข้อมูล (URL, Domain, IP, Payload, Log) ออกไปยังระบบภายนอกหรือผู้ให้บริการบุคคลที่สามโดยเด็ดขาด
  • ระบบต้องมี SLA ด้านความพร้อมใช้ (Uptime) ไม่น้อยกว่า 99.5% ต่อเดือน
  • ต้องมีกลไก High Availability (HA) แบบ Active-Passive
  • ระบบหลักต้องสามารถทำงานบน AlmaLinux 9 หรือ Ubuntu 22.04 LTS
  • ผู้ให้บริการรับผิดชอบดูแลระบบทั้งหมด รวมถึงการอัพเดตระบบปฏิบัติการ แพตช์ความปลอดภัย และการบริหารจัดการทรัพยากร
  • ระบบต้องสามารถส่งข้อมูลไปยัง SIEM/SOC ผ่าน Syslog (RFC 5424) หรือ REST API (TLS 1.3)
  • ต้องมี Dashboard แสดงสถานะ SLA และค่าปรับที่คำนวณได้แบบเรียลไทม์

3.2 การยืนยันตัวตนและการเข้าถึงระบบ (Authentication & Access Control)

ระบบต้องมีกลไกการยืนยันตัวตนและการควบคุมการเข้าถึงที่มีความมั่นคงปลอดภัยสูง ตามข้อกำหนดดังต่อไปนี้:

ข้อกำหนดด้านการยืนยันตัวตน (Authentication):
  • การยืนยันตัวตนแบบสองปัจจัย (2FA / Multi-Factor Authentication): ระบบต้องบังคับใช้การยืนยันตัวตนแบบสองปัจจัย (2FA) สำหรับผู้ใช้ทุกประเภท โดยปัจจัยที่สองต้องเป็น Passkey (WebAuthn / FIDO2) ที่รองรับการยืนยันตัวตนด้วยอุปกรณ์ทางกายภาพ (Physical Security Key) เช่น YubiKey หรือผ่านระบบ Biometric (Face ID / Fingerprint) บนอุปกรณ์ที่รองรับ
  • รหัสผ่านที่ปลอดภัย (Strong Password Policy): ระบบต้องบังคับใช้รหัสผ่านที่มีความซับซ้อนตามมาตรฐาน โดยต้องมีความยาวไม่น้อยกว่า 12 อักขระ และประกอบด้วยตัวพิมพ์ใหญ่ ตัวพิมพ์เล็ก ตัวเลข และอักขระพิเศษ และต้องมีการเปลี่ยนรหัสผ่านทุก 90 วัน
  • การปิดใช้งานบัญชีอัตโนมัติ (Account Lockout): ระบบต้องมีกลไกการปิดใช้งานบัญชีอัตโนมัติเมื่อมีการพยายามเข้าสู่ระบบผิดพลาดเกิน 5 ครั้งติดต่อกัน ภายในระยะเวลา 15 นาที
  • Session Management: ระบบต้องตัดการเชื่อมต่อ (Session Timeout) เมื่อไม่มีการใช้งานเกิน 15 นาที และต้องบังคับให้มีการยืนยันตัวตนใหม่เมื่อเข้าถึงฟังก์ชันที่มีความเสี่ยงสูง
การจัดสรร Passkey สำหรับการเข้าถึงระบบ:
  • จำนวน Passkey ขั้นต่ำสำหรับหน่วยงาน: ผู้ให้บริการต้องจัดเตรียม Passkey (Physical Security Key / YubiKey) ให้กับ สภากาชาดไทย จำนวนอย่างน้อย 2 (สอง) ชุด สำหรับการใช้งานของบุคลากรหน่วยงาน และต้องจัดเตรียม Passkey เพิ่มเติมอีก 1 (หนึ่ง) ชุด สำหรับคู่สัญญาผู้บริการภายนอก (External IT Vendor) เพื่อใช้ในการบริหารจัดการทำงานร่วมกับระบบ
  • การจัดเก็บและควบคุม: Passkey ทั้งหมดต้องถูกจัดเก็บ ควบคุมและเป็นความรับผิดชอบโดยผู้ดูแลระบบของ สภากาชาดไทย
  • การขอ Passkey เพิ่มเติมหรือทดแทน: ในกรณีที่หน่วยงานต้องการ Passkey เพิ่มเติม หรือสูญหาย/ชำรุด ค่าใช้จ่ายในการจัดหา Passkey เพิ่มเติมหรือทดแทนจะไม่รวมอยู่ในวงเงินงบประมาณ 480,000 บาท ตาม TOR นี้ และหน่วยงานจะเป็นผู้รับผิดชอบค่าใช้จ่ายดังกล่าวโดยตรง
  • การเพิกถอน Passkey (Revocation): เมื่อมีการเปลี่ยนแปลงบุคลากรหรือหมดอายุการใช้งาน หน่วยงานต้องมีกระบวนการเพิกถอน Passkey ที่ไม่ใช้งานแล้ว และแจ้งให้ผู้ให้บริการดำเนินการลบสิทธิ์การเข้าถึงดังกล่าวออกจากระบบภายใน 24 ชั่วโมง
ข้อกำหนดด้านการควบคุมการเข้าถึง (Access Control):
  • หลักการสิทธิ์น้อยที่สุด (Principle of Least Privilege): ผู้ใช้แต่ละรายจะได้รับสิทธิ์การเข้าถึงเฉพาะเท่าที่จำเป็นต่อการปฏิบัติหน้าที่เท่านั้น
  • การแบ่งแยกหน้าที่ (Segregation of Duties): ระบบต้องรองรับการกำหนดบทบาท (Role-based Access Control - RBAC) ที่ชัดเจน เพื่อป้องกันการรวมอำนาจไว้ที่ผู้ใช้คนเดียว
  • การบันทึกประวัติการเข้าถึง (Access Logging): ระบบต้องบันทึกประวัติการเข้าถึงและการกระทำที่สำคัญ (Audit Log) ทั้งหมดของผู้ใช้ทุกราย โดยข้อมูล Log ต้องถูกจัดเก็บไว้อย่างน้อย 1 ปี และไม่สามารถแก้ไขหรือลบได้โดยผู้ใช้ทั่วไป
  • การแจ้งเตือนเมื่อมีการเข้าถึงผิดปกติ: ระบบต้องแจ้งเตือนไปยังผู้ดูแลระบบโดยอัตโนมัติ เมื่อตรวจพบการเข้าถึงที่ผิดปกติ เช่น การเข้าสู่ระบบจากสถานที่ที่ไม่คุ้นเคย หรือการพยายามเข้าถึงข้อมูลที่อยู่นอกเหนือสิทธิ์

3.3 สถาปัตยกรรมประมวลผลหลัก (Core Processing Architecture)

ระบบต้องทำงานบนสถาปัตยกรรมแบบ Actor-model concurrency (เช่น Elixir บน BEAM Virtual Machine) และมีการจัดการสถานะข้อมูลแบบเรียลไทม์ด้วยระบบฐานข้อมูลแบบกระจายศูนย์ (เช่น Mnesia) เพื่อรองรับการนับถอยหลัง SLA ของสินทรัพย์ดิจิทัลและหน้าเว็บเพจมากกว่า 50,000 หน้า พร้อมกัน โดยไม่เกิดคอขวดหรือระบบล่ม

3.4 เอเจนต์ตรวจสอบความเร็วสูง (High-Performance Scanning Agents)

โมดูลแกนหลักในการสแกนและประมวลผลเชิงลึก ต้องพัฒนาด้วยภาษาโปรแกรมระดับระบบที่ปลอดภัยต่อหน่วยความจำ (Memory-safe systems programming เช่น Rust) และเชื่อมต่อกับระบบหลักผ่าน Native Implemented Functions (NIFs) เพื่อให้เกิดการประมวลผลแบบ Zero-overhead

เงื่อนไขเพิ่มเติม:
  • เอเจนต์ตรวจสอบต้องทำงานบนโครงสร้างพื้นฐานของผู้ให้บริการเท่านั้น
  • ข้อมูลทั้งหมดต้องถูกจัดเก็บในฐานข้อมูลบน Infrastructure ของผู้ให้บริการเท่านั้น
  • เอเจนต์ต้องทำงานในลักษณะ Containerized (Docker) และมีการเข้ารหัสข้อมูลด้วย AES-256
  • เอเจนต์ต้องสามารถขยายขนาด (Scale-out) รองรับการสแกนหน้าเว็บเพจมากกว่า 50,000 หน้าพร้อมกัน

3.5 ระบบฐานข้อมูลกราฟเพื่อประเมินความเสี่ยงเครือข่ายและการวิเคราะห์ C2 (Command and Control Server ของผู้โจมตี)

เพื่อใช้เป็นระบบหลักในการจัดเก็บและวิเคราะห์ความสัมพันธ์ขององค์กรอาชญากรที่ทำการโจมตีองค์กร และประเมินความเสี่ยงของแอสเซ็ตเหล่านั้นแบบเรียลไทม์ โดยเฉพาะการค้นหารูปแบบการสื่อสารที่ผิดปกติที่บ่งชี้ถึงการมีอยู่ของ C2 Server ที่ผู้โจมตีใช้ควบคุมมัลแวร์หรือขโมยข้อมูล รวมถึงการตรวจจับ DNS Tunneling, โดเมนต้องสงสัย, การเปลี่ยนเส้นทาง (Redirect Hijack) ไปยังเว็บไซต์อันตราย และต้องใช้เทคโนโลยีฐานข้อมูลกราฟที่ทำงานในหน่วยความจำ (In-memory Graph Database) เช่น Memgraph เพื่อรองรับการวิเคราะห์ความสัมพันธ์แบบเรียลไทม์และซับซ้อน

ความสามารถหลัก:
  • Network Risk Estimation: วิเคราะห์ความสัมพันธ์ระหว่าง IP, Domain, ไฟล์, ผู้ใช้
  • Crime Network Identification: ตรวจจับและจัดกลุ่มเครือข่ายอาชญากรรม
  • C2 Server Detection: ตรวจจับ C2 Server ด้วย Fingerprinting, HTTP Header Analysis, Periodic Beaconing
  • Real-time Performance: Path Finding, All Shortest Paths, Risk Score Calculation
เงื่อนไขเพิ่มเติม:
  • ต้องใช้ฐานข้อมูลกราฟที่ทำงานในหน่วยความจำ รองรับ MVCC และ Snapshot Isolation
  • รองรับภาษา Cypher และ Stored Procedure ด้วย Python หรือ C/C++
  • มีกลไก Replication และ Write-Ahead Logging (WAL)
  • ข้อมูลทั้งหมด (Graph DB, WAL, Snapshot) ต้องถูกจัดเก็บในประเทศไทยเท่านั้น

3.6 ข้อกำหนดด้านมาตรฐาน OWASP Top 10 (2021)

เงื่อนไขบังคับ: ระบบตรวจสอบต้องมีความสามารถในการตรวจจับและประเมินช่องโหว่ตามมาตรฐาน OWASP Top 10 (2021) ครบตามขอบเขตและข้อจำกัดที่กำหนดไว้ในข้อ 3.6.1 และ 3.6.2

3.6.1 การตรวจสอบแบบไม่รุกล้ำ (Non-intrusive / EASM Softcheck)

ระบบต้องสามารถดำเนินการตรวจสอบหมวดหมู่ OWASP ต่อไปนี้ ด้วยวิธีการที่ไม่ก่อให้เกิดผลกระทบต่อระบบเป้าหมาย (Non-intrusive) ปลอดภัยต่อระบบสารสนเทศของผู้รับจ้าง และไม่ก่อให้เกิดการเปลี่ยนแปลงข้อมูลหรือความเสียหายต่อระบบ:

OWASP Category ขอบเขตการตรวจสอบ ตัวอย่าง CWE
A02:2021 - Cryptographic Failures ตรวจสอบ SSL/TLS Certificate (วันหมดอายุ, Cipher Suite ที่อ่อนแอ เช่น TLS 1.0, Weak Ciphers) CWE-311, CWE-326
A04:2021 - Insecure Design ตรวจจับการเปิดเผยข้อมูลเบื้องต้น เช่น /wp-json/wp/v2/users, /author=1 เพื่อดึง Username ผู้ดูแลระบบ CWE-266, CWE-602
A05:2021 - Security Misconfiguration ตรวจสอบ HTTP Security Headers (HSTS, CSP, X-Frame-Options), Directory Listing, Server Banner Leak (Apache/PHP Version) CWE-200, CWE-16
A06:2021 - Vulnerable and Outdated Components Fingerprinting ไลบรารี Frontend ที่ล้าสมัย (jQuery, Vue.js, Bootstrap, React) และนำไปเทียบกับฐานข้อมูล CVE CWE-1104, CWE-937

การตรวจสอบตามข้อ 3.6.1 ถือเป็นข้อกำหนดขั้นต่ำที่ผู้ให้บริการต้องมีให้ครบถ้วนสมบูรณ์ โดยไม่สามารถลดทอนหรือยกเว้นการตรวจสอบในหมวดหมู่ใดหมวดหมู่หนึ่งได้

3.6.2 การตรวจสอบแบบจำกัดขอบเขต (Limited-scope / Surface-level)

สำหรับหมวดหมู่ OWASP ต่อไปนี้ ระบบสามารถดำเนินการตรวจสอบได้เฉพาะในขอบเขตจำกัด (Surface-level) เท่านั้น เนื่องจากการตรวจสอบเชิงลึกจะถือเป็นการโจมตีทางไซเบอร์ (DAST/Penetration Testing) ซึ่งอยู่นอกเหนือขอบเขตของระบบนี้:

OWASP Category ขอบเขตการตรวจสอบที่อนุญาต ข้อห้ามและข้อจำกัด ตัวอย่าง CWE
A01:2021 - Broken Access Control ตรวจสอบว่า URL ที่ควรสงวนไว้ (เช่น /admin, /backup.zip, /config.php) สามารถเข้าถึงได้โดยไม่ต้องล็อกอินหรือไม่ ห้ามพยายามเข้าถึงระบบด้วยข้อมูลประจำตัว (Credential) ใดๆ CWE-284, CWE-285
A03:2021 - Injection ตรวจจับ Reflected XSS ด้วย Payload แบบไม่ก่อให้เกิดอันตราย (Non-destructive Payload) เท่านั้น ห้ามดำเนินการ SQL Injection หรือ Command Injection โดยเด็ดขาด เนื่องจากอาจทำให้เกิดความเสียหายต่อข้อมูลหรือระบบของผู้รับจ้าง CWE-79
A07:2021 - Identification and Authentication Failures ตรวจจับการใช้ Default Credentials เบื้องต้น, การไม่มี Rate Limiting ห้ามดำเนินการ Brute Force Attack หรือ Dictionary Attack CWE-287, CWE-521
A08:2021 - Software and Data Integrity Failures ตรวจจับ Prototype Pollution ผ่าน Query String (อาจมี False Positive สูง) ผลการตรวจสอบต้องมีการยืนยันและทวนสอบก่อนสรุปผล CWE-1321, CWE-829
A09:2021 - Security Logging and Monitoring Failures ตรวจจับการไม่มี Audit Log, การไม่มี Logging ที่เหมาะสมจาก HTTP Headers ตรวจสอบเฉพาะข้อมูลที่เปิดเผยผ่าน HTTP Headers เท่านั้น CWE-778, CWE-117
A10:2021 - Server-Side Request Forgery (SSRF) ตรวจจับ URL Parameter ที่อาจถูกใช้โจมตี SSRF ห้ามส่ง Request ไปยัง IP Address หรือ Domain ภายนอกโดยไม่ได้รับอนุญาต CWE-918
ข้อกำหนดเพิ่มเติมสำหรับข้อ 3.6.2:
  • ห้ามเด็ดขาด ในการส่ง Payload ที่ก่อให้เกิดการเปลี่ยนแปลงข้อมูล (Create, Update, Delete) หรือส่งผลกระทบต่อความพร้อมใช้งานของระบบเป้าหมาย (Denial of Service)
  • Payload ที่ใช้ต้องเป็นแบบ Non-destructive และ Safe เท่านั้น โดยพิสูจน์ได้ว่าไม่ก่อให้เกิดความเสียหายต่อระบบของผู้รับจ้าง
  • ระบบต้องมีกลไกในการตรวจจับและหยุดการสแกนโดยอัตโนมัติ หากพบว่าระบบเป้าหมายตอบสนองผิดปกติหรืออาจได้รับผลกระทบจากการตรวจสอบ
  • ผลการตรวจสอบในข้อ 3.6.2 ที่มีระดับความเชื่อมั่นต่ำ (False Positive สูง) ต้องระบุไว้อย่างชัดเจนในรายงาน และไม่สามารถนำไปใช้เป็นหลักฐานในการเรียกค่าปรับได้ เว้นแต่จะมีการยืนยันผลด้วยวิธีการอื่น

3.6.3 การตรวจจับและรายงานช่องโหว่ของไลบรารี

3.6.4 การตรวจจับ Security Baseline

3.6.5 การตรวจจับ Misconfiguration และ Information Disclosure

3.6.6 การตรวจจับ Hijacking และ Malicious Redirect

3.7 ข้อกำหนดด้านปัญญาประดิษฐ์ (AI & Machine Learning)

เงื่อนไขบังคับ:
  • ข้อมูลที่ป้อนเข้าสู่โมเดล AI และส่งไปยังผู้ให้บริการ AI รายใดๆ ต้องผ่านกระบวนการ Anonymization โดยลบ URL, Domain, IP Address, รายละเอียดอื่นใดที่สามารถระบุถึงเจ้าของทรัพย์สินทางดิจิทัลให้เห็นถึงจุดอ่อนได้

3.8 ข้อกำหนดด้านความปลอดภัยและการปฏิบัติตามมาตรฐาน

3.9 ข้อกำหนดด้านการให้บริการแบบ Rental

รูปแบบการให้บริการ:
  • ผู้ให้บริการดำเนินการในลักษณะ การให้บริการเช่าระบบ (Service Rental)
  • ระบบทั้งหมดติดตั้งอยู่บน Infrastructure ของผู้ให้บริการในประเทศไทย
  • ผู้ให้บริการเป็นผู้ดูแลระบบอย่างครบวงจร (Fully Managed Service) ตลอด 12 เดือน
  • สภากาชาดไทย ไม่ต้องติดตั้งระบบหรือโครงสร้างพื้นฐานใดๆ เพิ่มเติม
ขอบเขตความรับผิดชอบของผู้ให้บริการ:
  • ติดตั้ง ดูแล บำรุงรักษาระบบบน Infrastructure ของผู้ให้บริการในประเทศไทย
  • รับผิดชอบค่าใช้จ่าย Hardware, Software, Network, Backup, Maintenance
  • ดูแล Uptime ไม่น้อยกว่า 99.5% ต่อเดือน
  • สำรองข้อมูล (Backup) อย่างน้อยวันละ 1 ครั้ง
  • ให้การสนับสนุนทางเทคนิค 24/7 (ระบบแจ้งเตือนอัตโนมัติ) โดยการตอบสนองของบุคลากรจะดำเนินการในเวลาทำการ วันจันทร์ - วันศุกร์ (9:00 - 18:00 น.) ยกเว้นกรณีฉุกเฉินร้ายแรง (Critical) ที่ต้องตอบสนองภายใน 24 ชั่วโมง

3.10 เอกสารที่ต้องส่งมอบ

4. ระยะเวลาการดำเนินงาน

กำหนดเวลาการส่งมอบพัสดุ หรือให้งานแล้วเสร็จ ภายใน 30 วัน นับถัดจากวันลงนามในสัญญา และระยะเวลาการให้บริการ 12 เดือน นับจากวันที่ลงนามในเอกสารรับมอบบริการ (Service Acceptance Certificate)

5. วงเงินงบประมาณหรือวงเงินงบประมาณที่ได้รับจัดสรร

6. คุณสมบัติของผู้เสนอราคา

6.1 มีความสามารถตามกฎหมาย

6.2 ไม่เป็นบุคคลล้มละลาย

6.3 ไม่อยู่ระหว่างเลิกกิจการ

6.4 ไม่เป็นบุคคลซึ่งอยู่ระหว่างถูกระงับการยื่นข้อเสนอหรือทำสัญญากับหน่วยงานของรัฐไว้ชั่วคราว

6.5 ไม่เป็นบุคคลซึ่งถูกระบุชื่อไว้ในบัญชีรายชื่อผู้ทิ้งงาน

6.6 มีคุณสมบัติและไม่มีลักษณะต้องห้ามตามที่คณะกรรมการนโยบายการจัดซื้อจัดจ้างกำหนด

6.7 เป็นนิติบุคคลหรือบุคคลธรรมดาผู้มีอาชีพขายหรือรับจ้างพัสดุดังกล่าว

6.8 ไม่เป็นผู้ได้รับเอกสิทธิ์หรือความคุ้มกัน ซึ่งอาจปฏิเสธไม่ยอมขึ้นศาลไทย

คุณสมบัติเฉพาะเพิ่มเติม:

7. กำหนดยืนราคา

ราคาที่เสนอจะต้องเสนอกำหนดยืนราคา ไม่น้อยกว่า 90 วัน ตั้งแต่วันเสนอราคา โดยภายในกำหนดยืนราคา ผู้ยื่นข้อเสนอต้องรับผิดชอบราคาที่ตนได้เสนอไว้ และจะถอนการเสนอราคามิได้

8. หลักเกณฑ์ในการพิจารณาข้อเสนอ

ในการพิจารณาผลการยื่นข้อเสนอประกวดราคาโดยวิธีเฉพาะเจาะจงครั้งนี้ สภากาชาดไทย จะพิจารณาตัดสินโดยใช้หลักเกณฑ์ ราคา

9. การส่งมอบงาน

ผู้ยื่นข้อเสนอจะต้องเสนอกำหนดเวลาส่งมอบพัสดุ ไม่เกิน 30 วัน นับถัดจากวันลงนามในสัญญาซื้อขายหรือสัญญาจ้าง หรือวันที่ได้รับหนังสือแจ้งจาก สภากาชาดไทย ให้ส่งมอบพัสดุหรืองานจ้าง

10. เงื่อนไขการจ่ายเงิน

สภากาชาดไทย จะจ่ายค่าสิ่งของซึ่งได้รวมภาษีมูลค่าเพิ่ม ตลอดจนภาษีอากรอื่นๆ และค่าใช้จ่ายทั้งปวงแล้วให้แก่ผู้ยื่นข้อเสนอที่ได้รับการคัดเลือกให้เป็นผู้ขายหรือผู้รับจ้าง เมื่อผู้ขายหรือผู้รับจ้างได้ส่งมอบสิ่งของหรืองานจ้างได้ครบถ้วนตามสัญญาหรือข้อตกลงเป็นหนังสือ และ สภากาชาดไทย ได้ตรวจรับมอบสิ่งของหรืองานจ้างไว้เรียบร้อยแล้ว โดยถือราคาเหมารวมเป็นเกณฑ์ แบ่งเป็นงวดงาน 1 งวด งวดเงิน 1 งวด

11. อัตราค่าปรับ

หากผู้ขายหรือผู้รับจ้าง ไม่สามารถส่งมอบพัสดุภายในเวลาที่กำหนดไว้ ผู้ขายหรือผู้รับจ้างจะต้องชำระค่าปรับให้แก่ผู้ซื้อหรือผู้ว่าจ้าง กำหนดค่าปรับโครงการจัดจ้าง ในอัตราร้อยละ 0.10 ของราคาค่าสิ่งของหรืองานจ้างที่ยังไม่ได้รับมอบ นับถัดจากวันครบกำหนดส่งมอบพัสดุ

ค่าปรับเพิ่มเติมตามข้อกำหนดเฉพาะ (สำหรับการบังคับใช้ SLA กับ Vendor):
รายการ อัตราค่าปรับ
ค่าปรับกรณีส่งข้อมูลออกนอกประเทศไทย 50,000 บาท/ครั้ง
ค่าปรับกรณีระบบหยุดให้บริการ (Downtime) 5,000 บาท/ชั่วโมง
ค่าปรับกรณีไม่สามารถตรวจจับ C2 / Crime Network 20,000 บาท/ครั้ง
ค่าปรับกรณีไม่สามารถตรวจจับ Hijacking / Malicious Redirect 15,000 บาท/ครั้ง
ค่าปรับกรณีไม่สามารถตรวจจับ OWASP Top 10 (ตามข้อ 3.6.1) 10,000 บาท/ครั้ง
ค่าปรับกรณี Vendor ไม่แก้ไขช่องโหว่ตามกำหนด SLA 500 - 1,000 บาท/วัน/ช่องโหว่

12. การรับประกันความชำรุดบกพร่อง

รับประกันความชำรุดบกพร่อง ไม่น้อยกว่า 12 เดือน และดำเนินการซ่อมแซมแก้ไขความชำรุดบกพร่องให้ดีดังเดิม ภายใน 7 วัน นับถัดจากวันที่ได้รับหนังสือแจ้งจากผู้ซื้อหรือผู้ว่าจ้าง และดำเนินการซ่อมแซม แก้ไขจนแล้วเสร็จภายในเวลาที่ผู้ซื้อหรือผู้ว่าจ้างกำหนด

13. ข้อกำหนดเพิ่มเติม

☐ ผู้ยื่นข้อเสนอขึ้นทะเบียนเป็นผู้ประกอบการ SMEs

☐ พัสดุดังกล่าวผลิตภายในประเทศ

14. สถานที่ติดต่อเพื่อขอทราบข้อมูลเพิ่มเติมเกี่ยวกับขอบเขตงาน (TOR)

สภากาชาดไทย เลขที่ 1871 ถนนพระรามที่ 4 แขวงปทุมวัน เขตปทุมวัน กรุงเทพมหานคร 10330

โทรศัพท์ 0-2256-xxxx ต่อ xxxx

โทรสาร 0-2256-xxxx

(ลงชื่อ)..........................................................ประธานกรรมการ

(..........................................................)

(ลงชื่อ)..........................................................กรรมการ

(..........................................................)

(ลงชื่อ)..........................................................กรรมการ

(..........................................................)

แบบ บก.06

ตารางแสดงวงเงินงบประมาณที่ได้รับจัดสรรและรายละเอียดค่าใช้จ่าย

การจัดซื้อจัดจ้างที่มิใช่งานก่อสร้าง

1. ชื่อโครงการ ระบบเฝ้าระวังและบังคับใช้มาตรฐานความมั่นคงปลอดภัยทางไซเบอร์แบบอัตโนมัติ (Autonomous SLA Enforcement & Cyber Oversight Platform)

2. หน่วยงานเจ้าของโครงการ สภากาชาดไทย

3. วงเงินงบประมาณที่ได้รับจัดสรร 480,000.00 บาท

4. วันที่กำหนดราคากลาง (ราคาอ้างอิง) ณ วันที่ [ระบุวันที่]

เป็นเงิน 480,000.00 บาท

5. แหล่งที่มาของราคากลาง (ราคาอ้างอิง)

5.1 บริษัท เรดซอคซ์ เทคโนโลยี จำกัด

5.2 บริษัท [ชื่อ SI Partner รายที่ 1]

5.3 บริษัท [ชื่อ SI Partner รายที่ 2]

6. รายละเอียดการคำนวณราคากลาง

รายการ มูลค่า (บาท)
1. ระบบบังคับใช้ SLA อัตโนมัติ 24 ชั่วโมง (Autonomous SLA Enforcement) + ระบบประมวลผลกลาง (Elixir/BEAM) (12 เดือน) 260,000.00
2. บริการตรวจสอบและค้นหาช่องโหว่ OWASP Top 10 (ข้อ 3.6.1) + Security Baseline + Hijacking + Malicious Redirect (12 เดือน) 90,000.00
3. ระบบฐานข้อมูลกราฟ (Memgraph) วิเคราะห์อาชญากรรม ตรวจจับ C2 และวิเคราะห์ความเสี่ยงเครือข่าย (12 เดือน) 130,000.00
รวมเป็นเงินทั้งสิ้น (รวมภาษีมูลค่าเพิ่ม) 480,000.00

7. รายชื่อเจ้าหน้าที่ผู้กำหนดราคากลาง (ราคาอ้างอิง) ทุกคน

7.1 ลงชื่อ................................................................

(.........................................................)

7.2 ลงชื่อ................................................................

(.........................................................)

7.3 ลงชื่อ................................................................

(.........................................................)

เอกสารนี้จัดทำขึ้นเพื่อใช้ในการจัดซื้อจัดจ้างโดยวิธีเฉพาะเจาะจง ตาม พ.ร.บ. การจัดซื้อจัดจ้างและการบริหารพัสดุภาครัฐ พ.ศ. 2560

วันที่จัดทำ: [ระบุวันที่]  |  ฉบับที่: 1.0