นโยบายที่พร้อมรับการตรวจประเมินสามสิบฉบับ สามระดับ ภายใต้หลักการชุดเดียวที่ผ่านการตรวจทาน — พร้อมชุดเครื่องมือ 24 รายการที่ครบทุกรายการเอกสารที่ต้องใช้ในการขอการรับรอง และเป็น 27 รายการสำหรับ PCI Bundle และ Complete
Starter นโยบายหลัก 18 ฉบับครอบคลุมครบทั้ง 38 เกณฑ์ได้ด้วยตัวเอง
Professional — ISMS เต็มรูปแบบ รวมชุดเครื่องมือแล้ว หากองค์กรพัฒนาซอฟต์แวร์ ให้เพิ่มโมดูล Engineering
PCI Bundle — ครบทั้ง 250 ข้อกำหนด เพิ่ม Engineering หากมีหน้าเว็บรับชำระเงิน และ Cloud หากสภาพแวดล้อมข้อมูลบัตร (CDE) อยู่บนคลาวด์
เพิ่มโมดูล Privacy — รวมแม่แบบ RoPA และ DPIA
ราคาชำระครั้งเดียว ไฟล์ต้นฉบับแก้ไขได้ และอยู่ภายใต้คำมั่นแก้ไขให้ (Fix-It Promise)
เปิดให้สั่งซื้อออนไลน์เร็ว ๆ นี้ — ระหว่างนี้คุณดูชุดนโยบายและราคาได้เลย และเขียนถึงเราได้ที่ contact@meerlock.com
การตรวจสอบ SOC 2 ครั้งแรก · องค์กรขนาดเล็ก
€590 ชำระครั้งเดียว · รวมชุดเครื่องมือแล้ว
เลือก Starter →ธุรกิจขนาดกลางและขนาดย่อมส่วนใหญ่
€1,390 ชำระครั้งเดียว · รวมชุดเครื่องมือแล้ว
เลือก Professional →ร้านค้าและผู้ให้บริการ
€1,490 ชำระครั้งเดียว · รวมชุดเครื่องมือแล้ว
เลือก PCI Bundle →องค์กรภายใต้การกำกับดูแล / หลายรูปแบบการดำเนินงาน
€1,990 ชำระครั้งเดียว · ประหยัด €543 เทียบกับซื้อแยก
เลือก Complete →ทุกชุดผลิตภัณฑ์รวมการปรับปรุงเอกสารโดยไม่มีค่าใช้จ่ายภายในมาตรฐานเวอร์ชันปัจจุบัน
นโยบายการปฏิบัติตาม PCI DSS ไม่ได้อยู่ในรายการนี้: นโยบายฉบับนั้นมาพร้อม PCI Bundle และ Complete และไม่ได้จำหน่ายแยก
มาตรการควบคุมทุกข้อถูกสอบทานไปยังหัวข้อนโยบายที่ตอบข้อนั้นโดยตรง (ตารางเชื่อมโยง v2.3 เดือนสิงหาคม 2026)
ด้านความมั่นคงปลอดภัย ความพร้อมใช้งาน และการรักษาความลับ (TSC ฉบับปี 2017) ครอบคลุมครบด้วยนโยบายหลัก 18 ฉบับ ส่วนเกณฑ์ชุดความถูกต้องของการประมวลผลและความเป็นส่วนตัวครอบคลุมด้วยโมดูลเสริมตามเงื่อนไข
มาตรการควบคุม 78 ข้ออยู่ในชุดหลัก 11 ข้ออยู่ในส่วนขยายมาตรฐาน และมาตรการควบคุมด้านการพัฒนาอย่างมั่นคงปลอดภัยอีก 4 ข้ออยู่ในโมดูล Engineering ไม่มีข้อใดตกหล่น และตอบข้อกำหนดเชิงนโยบายในระดับข้อของมาตรฐานได้ครบ
ครอบคลุมถึงระดับข้อกำหนด รวมภาคผนวก A1/A2 เมื่อใช้ PCI Bundle โดยถือว่าข้อกำหนดของ v4.0.1 ที่มีผลบังคับในอนาคตทุกข้อเป็นข้อบังคับแล้ว
ข้อจำกัดที่บอกกันตรง ๆ ตั้งแต่ต้น: ไม่มีชุดแม่แบบใดเขียนแผนผังเครือข่าย มาตรฐานการตั้งค่าของแต่ละแพลตฟอร์ม เอกสารรับรองจาก ASV บันทึกการอบรม หรือ SAQ/ROC ฉบับที่ลงนามแล้วให้คุณล่วงหน้าได้ นโยบายของเรากำหนดให้ต้องมีเอกสารเหล่านี้ คู่มือระบุว่าใครเป็นผู้จัดทำ และชุดเครื่องมือมีแม่แบบสำหรับหลักฐานที่ต้องทำซ้ำตามรอบ — แต่การจัดทำให้เสร็จยังเป็นหน้าที่ขององค์กรคุณ
ข้อกำหนดย่อยของมาตรการควบคุมทุกข้อในชุดนี้ คือการตัดสินใจที่คนในทีมของคุณจะต้องค้นคว้า ร่าง ถกเถียง และชี้แจงต่อผู้ตรวจประเมินด้วยตัวเอง ต้นทุนหากไม่มีชุดนโยบาย:
ชื่อนโยบายแสดงเป็นภาษาไทยเพื่อความเข้าใจ โดยมีชื่อเอกสารจริงกำกับไว้ด้านล่าง — เอกสารที่ส่งมอบจัดทำเป็นภาษาอังกฤษทั้งหมด
| นโยบาย | ระดับ | ครอบคลุมอะไร |
|---|---|---|
| นโยบายความมั่นคงปลอดภัยสารสนเทศ Information Security Policy | หลัก | นโยบายแม่บท — เป็นแกนการกำกับดูแลที่นโยบายอื่นทุกฉบับยึดโยงไว้ |
| นโยบายการประเมินและจัดการความเสี่ยง Risk Assessment & Treatment Policy | หลัก | กลไกความเสี่ยง: ISO ข้อ 6/8, SOC 2 CC3 และการวิเคราะห์ความเสี่ยงเฉพาะเรื่องตาม PCI 12.3 |
| นโยบายการใช้งานทรัพย์สินสารสนเทศที่ยอมรับได้ Acceptable Use Policy | หลัก | นโยบายร่มสำหรับพนักงานทุกคนที่ผู้ตรวจประเมินขอดูเสมอ (ISO A.5.10) |
| นโยบายการควบคุมการเข้าถึง Access Control Policy | หลัก | ISO A.5.15–A.8.5, PCI ข้อ 7–8, SOC 2 CC6 — ถูกทดสอบทุกครั้ง |
| นโยบายรหัสผ่าน Password Policy | หลัก | กฎการยืนยันตัวตนสำหรับพนักงานทุกคน พร้อมค่าพารามิเตอร์ตาม PCI ข้อ 8 ที่กรอกไว้แล้ว |
| นโยบายความมั่นคงปลอดภัยด้านทรัพยากรบุคคล Human Resources Security Policy | หลัก | วงจรตั้งแต่การตรวจสอบประวัติจนถึงการพ้นสภาพ รวมบทลงโทษ; ISO A.6, PCI 12.7 |
| นโยบายการบริหารทรัพย์สินและสื่อบันทึกข้อมูล Asset & Media Management Policy | หลัก | ทะเบียนทรัพย์สินและการควบคุมสื่อบันทึก; ISO A.5.9–A.7.14, PCI ข้อ 9.4 |
| นโยบายการจำแนกชั้นความลับและการจัดการข้อมูล Information Classification & Handling Policy | หลัก | เกณฑ์การจัดการข้อมูลที่นโยบายฉบับอื่นอ้างถึง; ISO A.5.12–A.5.13 |
| นโยบายการเก็บรักษาและทำลายข้อมูล Data Retention & Disposal Policy | หลัก | วงจรชีวิตของเอกสารและข้อมูล; ISO A.5.33/A.7.14, PCI 3.2.1 และเกณฑ์ชุด C ของ SOC 2 |
| นโยบายการเข้ารหัสและการบริหารกุญแจเข้ารหัส Cryptography & Key Management Policy | หลัก | ISO A.8.24, PCI ข้อ 3–4, SOC 2 CC6.7 — อยู่ในขอบเขตเสมอ |
| นโยบายการจัดเก็บบันทึกและการเฝ้าระวัง Logging & Monitoring Policy | หลัก | ISO A.8.15–A.8.17, PCI ข้อ 10, SOC 2 CC7 — ถูกทดสอบทุกครั้ง |
| นโยบายการป้องกันโปรแกรมไม่ประสงค์ดี Malware Protection Policy | หลัก | ISO A.8.7, PCI ข้อ 5, SOC 2 CC6.8 |
| นโยบายการบริหารจัดการช่องโหว่ Vulnerability Management Policy | หลัก | การสแกน การติดตั้งแพตช์ และการทดสอบเจาะระบบ; ISO A.8.8, PCI ข้อ 6/11 |
| นโยบายการบริหารการเปลี่ยนแปลง Change Management Policy | หลัก | ISO A.8.32, PCI 6.5, SOC 2 CC8 — ถูกทดสอบทุกครั้ง |
| นโยบายการตอบสนองเหตุการณ์ผิดปกติด้านความมั่นคงปลอดภัย Incident Response Policy | หลัก | ISO A.5.24–A.5.28, PCI 12.10, SOC 2 CC7.3–7.5 — เป็นนโยบายที่ถูกอ้างถึงมากที่สุดในชุด |
| นโยบายการสำรองและกู้คืนข้อมูล Backup & Recovery Policy | หลัก | ISO A.8.13; เป็นพื้นฐานด้านความพร้อมใช้งานในการตรวจประเมินทุกแบบ |
| นโยบายการบริหารความต่อเนื่องทางธุรกิจและการกู้คืนจากภัยพิบัติ Business Continuity & DR Policy | หลัก | ISO A.5.29–A.5.30 และเกณฑ์ชุด A/CC9.1 ของ SOC 2 |
| นโยบายการบริหารผู้ให้บริการภายนอกและคู่ค้า Third-Party & Vendor Management Policy | หลัก | ISO A.5.19–A.5.23, PCI 12.8, SOC 2 CC9.2 — ถูกทดสอบทุกครั้ง |
| นโยบายความมั่นคงปลอดภัยทางกายภาพและสภาพแวดล้อม Physical & Environmental Security Policy | ส่วนขยาย | ใช้เมื่อองค์กรมีสถานที่ทำการ; ISO A.7, PCI ข้อ 9 — องค์กรที่ทำงานทางไกลเป็นหลักใช้ฉบับย่อ |
| นโยบายความมั่นคงปลอดภัยของเครือข่าย Network Security Policy | ส่วนขยาย | สำหรับองค์กรที่ดูแลเครือข่าย/Wi-Fi/VPN เอง; ISO A.8.20–22, PCI ข้อ 1 |
| นโยบายความมั่นคงปลอดภัยของอุปกรณ์พกพาและการทำงานนอกสถานที่ Mobile & Teleworking Security Policy | ส่วนขยาย | บุคลากรที่ทำงานทางไกลหรือแบบผสม และอุปกรณ์พกพาขององค์กร; ISO A.6.7/A.8.1 |
| นโยบายการสื่อสารทางอิเล็กทรอนิกส์ Electronic Communications Policy | ส่วนขยาย | กำหนดการใช้อีเมลและการส่งข้อความในรายละเอียดที่ลึกกว่านโยบายการใช้งานที่ยอมรับได้ |
| นโยบายการปฏิบัติตาม PCI DSS PCI DSS Compliance Policy | PCI Bundle | นโยบายด้านบัตรชำระเงินสำหรับร้านค้าและผู้ให้บริการภายนอก — มาพร้อม PCI Bundle และ Complete ไม่จำหน่ายเป็นโมดูลเสริมแยกต่างหาก และใช้คู่กับเงื่อนไขการบังคับใช้สำหรับ PCI ที่ตั้งค่าไว้แล้วทั้งชุด |
| นโยบายความมั่นคงปลอดภัยและการปฏิบัติตามข้อกำหนดบนคลาวด์ Cloud Security & Compliance Policy | โมดูลเสริม | สำหรับองค์กรที่ใช้บริการ IaaS/PaaS หรือใช้ SaaS อย่างมีนัยสำคัญ |
| นโยบายความมั่นคงปลอดภัยของระบบเสมือน Virtualization Security Policy | โมดูลเสริม | สำหรับระบบไฮเปอร์ไวเซอร์และคอนเทนเนอร์ ทั้งที่ติดตั้งเองและที่ฝากไว้กับผู้ให้บริการ |
| นโยบายการพัฒนาซอฟต์แวร์อย่างมั่นคงปลอดภัย Secure Software Development Policy | โมดูลเสริม | โมดูล Engineering; ISO A.8.25, A.8.27, A.8.28, A.8.30 และส่วนที่เกี่ยวกับการพัฒนาใน PCI ข้อ 6 |
| นโยบายการคุ้มครองข้อมูลส่วนบุคคล Data Protection Policy | โมดูลเสริม | โมดูล Privacy สำหรับความเสี่ยงด้าน GDPR/CCPA และเกณฑ์ชุด P ของ SOC 2 |
| นโยบายความถูกต้องของการประมวลผล Processing Integrity Policy | โมดูลเสริม | โมดูลตามเงื่อนไข สำหรับเกณฑ์ความถูกต้องของการประมวลผลใน SOC 2 (PI1.1–PI1.5) |
| ประมวลจริยธรรมทางธุรกิจ Code of Conduct | โมดูลเสริม | โมดูลด้านจริยธรรม/ทรัพยากรบุคคล — มักเป็นของคณะกรรมการบริษัท และใช้เป็นเอกสารเดี่ยวได้ |
| นโยบายการบริหารขีดความสามารถ Capacity Management Policy | โมดูลเสริม | โมดูลด้านการปฏิบัติการไอที; ISO A.8.6 และคำมั่นด้านความพร้อมใช้งาน SOC 2 A1.1 |
ผู้ตรวจประเมินขอดูเอกสารที่อยู่รอบ ๆ ตัวนโยบาย ชุดเครื่องมือนี้มีครบทุกฉบับ และจัดให้สอดคล้องกันไว้แล้ว
นโยบายความมั่นคงปลอดภัยสารสนเทศฉบับเดียวกับที่ส่งมอบจริง พร้อมคู่มือที่พาคุณปรับแก้ทีละข้อ (เอกสารเป็นภาษาอังกฤษ)
ครอบคลุม ระดับหลัก (Core) เพียงอย่างเดียวครอบคลุมครบทั้ง 38 เกณฑ์ของ SOC 2 ในด้านความมั่นคงปลอดภัย ความพร้อมใช้งาน และการรักษาความลับ (TSC ฉบับปี 2017) ส่วนเกณฑ์ด้านความถูกต้องของการประมวลผลและความเป็นส่วนตัวครอบคลุมด้วยนโยบายโมดูลเสริมตามเงื่อนไข ได้แก่ Processing Integrity และ Data Protection
ชุด Professional ครอบคลุมมาตรการควบคุมใน Annex A จำนวน 89 จาก 93 ข้อ ส่วนอีกสี่ข้อที่เหลือซึ่งเป็นมาตรการด้านการพัฒนาอย่างมั่นคงปลอดภัย (A.8.25, A.8.27, A.8.28, A.8.30) อยู่ในโมดูลเสริม Engineering และจะใช้ก็ต่อเมื่อองค์กรพัฒนาซอฟต์แวร์เอง ชุดเครื่องมือ ISMS ที่รวมมาในชุดแล้วมีเอกสารแสดงการบังคับใช้มาตรการควบคุม (Statement of Applicability) ทะเบียนความเสี่ยง และแผนการตรวจสอบที่หน่วยรับรองขอดู ไม่มีมาตรการควบคุมใน Annex A ข้อใดตกหล่น
ครอบคลุม — PCI Bundle (Professional พร้อมนโยบายการปฏิบัติตาม PCI DSS และรวมชุดเครื่องมือแล้ว) ครอบคลุมถึงระดับข้อกำหนดครบทั้ง 250 ข้อกำหนดของ PCI DSS v4.0.1 พร้อมภาคผนวก A1/A2 เพิ่มโมดูล Engineering หากองค์กรพัฒนาหน้าเว็บรับชำระเงินเอง และเพิ่ม Cloud หากสภาพแวดล้อมข้อมูลบัตร (CDE) อยู่บนคลาวด์ ทั้งนี้ผู้ประเมินยังจะขอเอกสารที่มีแต่องค์กรของคุณเท่านั้นที่จัดทำได้ — แผนผังเครือข่าย มาตรฐานการตั้งค่า เอกสารรับรองจาก ASV และ SAQ/ROC ฉบับที่ลงนามแล้ว — ซึ่งนโยบายกำหนดให้ต้องมี และชุดเครื่องมือมีแม่แบบไว้ให้
ทุกนโยบายมาพร้อมคู่มือปรับแต่งของตัวเอง มีค่าตั้งต้นที่แนะนำกรอกไว้ล่วงหน้า 622 จุด (ทำไฮไลต์ไว้และเปลี่ยนได้) มีเงื่อนไขเปิดปิดการบังคับใช้สำหรับบริบท PCI คลาวด์ และการพัฒนาซอฟต์แวร์ และมีชุดนิยามศัพท์ที่ใช้ร่วมกันอย่างสอดคล้อง — เกณฑ์ระดับความรุนแรงชุดเดียว หลักการเก็บรักษาข้อมูลชุดเดียว และไม่มีข้อขัดแย้งกันทั้งชุด
เอกสาร 24 รายการในทุกชุดผลิตภัณฑ์: เอกสารแสดงการบังคับใช้มาตรการควบคุม (Statement of Applicability) ที่กรอกไว้ล่วงหน้า, เอกสารกำหนดขอบเขตและวัตถุประสงค์ของ ISMS, ธรรมนูญการกำกับดูแลด้านความมั่นคงปลอดภัย, ทะเบียนความเสี่ยงและสมุดงานการจัดการความเสี่ยง, ทะเบียนการวิเคราะห์ความเสี่ยงเฉพาะเรื่อง, แผนและระเบียบปฏิบัติการตรวจสอบภายใน, แม่แบบรายงานการประชุมทบทวนโดยฝ่ายบริหาร, บันทึกการแก้ไขข้อบกพร่อง, ทะเบียนข้อยกเว้น, คู่มือปฏิบัติการตอบสนองเหตุการณ์ผิดปกติ, ระเบียบปฏิบัติการให้สิทธิ์เข้าถึง, ระเบียบปฏิบัติการสำรองและกู้คืนข้อมูล, สมุดงานการวิเคราะห์ผลกระทบทางธุรกิจ (BIA), แม่แบบแผนความต่อเนื่องทางธุรกิจ, ทะเบียนการซ้อมและการทดสอบ, แม่แบบบันทึกผลการซ้อมและการทดสอบ, ทะเบียนทรัพย์สิน, ทะเบียนผู้ให้บริการภายนอก, ตารางระยะเวลาเก็บรักษาข้อมูล, ทะเบียนการอบรมและการรับทราบ, ทะเบียน RoPA, แม่แบบ DPIA, แบบฟอร์มรับทราบของผู้ดูแลกุญแจเข้ารหัส, ตัวอย่างแผนผังเครือข่ายและแผนผังการไหลของข้อมูลที่แก้ไขได้ ส่วน PCI Bundle และ Complete เพิ่มสมุดงานด้านบัตรชำระเงินอีกสามรายการ รวมเป็น 27 รายการ: สมุดงานยืนยันขอบเขตตาม PCI, ทะเบียนหลักฐานตามรอบเวลาของ PCI, ตารางความรับผิดชอบของผู้ให้บริการภายนอก (TPSP)
เราออกแบบมาเพื่อไม่ให้เกิดกรณีนี้ ทุกนโยบายถูกสอบทานความเชื่อมโยงกับมาตรฐานเป็นรายมาตรการควบคุม แต่หากผู้ตรวจประเมินหรือผู้ประเมินของคุณโต้แย้งเนื้อหาของนโยบายใดในชุด โปรดแจ้งเราว่าเขาพูดว่าอย่างไร แล้วเราจะแก้ไขเอกสารให้โดยไม่คิดค่าใช้จ่าย — ทั้งสำหรับคุณและสำหรับลูกค้ารายอื่นทุกราย นั่นคือคำมั่นแก้ไขให้ (Fix-It Promise) ซึ่งครอบคลุมเอกสารของเรา แต่ไม่ครอบคลุมการนำไปปฏิบัติ หลักฐาน หรือการตั้งค่าขององค์กรคุณเอง เอกสารที่ถูกโต้แย้งจะได้รับการแก้ไข ไม่ใช่การคืนเงิน (ข้อ 3 และข้อ 5 ของเงื่อนไขการขาย) และหากองค์กรของคุณมีพนักงานน้อยกว่า 25 คน สามารถขอรับรหัสสำหรับองค์กรระยะเริ่มต้นได้ — ลด 20% สำหรับทุกชุดผลิตภัณฑ์ หลังการตรวจสอบสั้น ๆ
บอกเราว่าคุณใช้มาตรฐานใดและมีรูปแบบการดำเนินงานอย่างไร — เราจะยืนยันชุดผลิตภัณฑ์และโมดูลที่คุณต้องใช้จริง ก่อนที่คุณจะจ่ายเงินแม้แต่บาทเดียว
เปิดให้สั่งซื้อออนไลน์เร็ว ๆ นี้ — ระหว่างนี้คุณดูชุดนโยบายและราคาได้เลย และเขียนถึงเราได้ที่ contact@meerlock.com
✓ โมดูลทั้งเจ็ดรวมอยู่ใน Complete แล้ว — ไม่ต้องเพิ่มและไม่ต้องจ่ายเพิ่ม
การสั่งซื้อออนไลน์จะเปิดให้บริการในเร็ว ๆ นี้ ฝากอีเมลไว้ แล้วเราจะแจ้งให้คุณทราบเมื่อเปิดให้สั่งซื้อ หากมีเรื่องอื่น โปรดเขียนถึงเราที่ contact@meerlock.com เราจะตอบกลับด้วยตัวเอง