E-KYC คือ

E-KYC ย่อมาจาก Electronic Know-Your-Customer คือ การยื่นยันตัวบุคคลผ่านช่องทาง Electronic นั่นแหละ เราไม่จำเป็นต้องไปด้วยตัวเรา แต่เราอาศัยขั้นตอนบางอย่างยื่นยัน ว่า รายการนี้เราเป็นคนทำจริง ๆ นะ

แบบที่ใช้อยู่ในปัจจุบัน

• Biometric Authentication คือการใช้ อวัยวะของเรานี่แหละ เช่น ลายนิ้วมือ เสียง ม่านตา
• National Digital ID (NDID) เครือข่ายการยืนยันตัวบุคคล ที่เกิดจากการรวมมือของธนาคาร
• Register บน Web คือ ระบบ Register ธรรมดานี้แหละครับ ถือว่าเป็น E-KYC แบบหนึ่ง

มาตรฐานเกี่ยวกับ E-KYC

Identity ที่ได้รับการยอมรับในการเป็นตัวแทนบุคคลได้ เช่น เลขประจำตัว ชื่อบุคคล ที่อยู่ วันเดือนปีเกิด อีเมล หมายเลขโทรศัพท์มือถือ ภาพใบหน้า หรือข้อมูลระบุอุปกรณ์ที่บุคคลใช้งาน

ส่วน Identity สำหรับนิติบุคคล เช่น เลขทะเบียนนิติบุคคล ชื่อนิติบุคคล ที่ตั้งสำนักงานใหญ่ หรือ ชื่อกรรมการนิติบุคคล

สิ่งที่ใช้ยืนยันตัวตน authenticator หมายถึง สิ่งที่บุคคลครอบครองและควบคุมเพื่อใช้ในการยืนยันตัวตน ประกอบด้วย

• something you know สิ่งที่เรารู้อยู่คนเดียว เช่น Password
• something you have สิ่งที่เรามี เช่น บัตรประชาชน Token USB
• something you are สิ่งที่เราเป็น เช่น ลายนิ้วมือ

มาตรฐานระดับความน่าเชื่อถือ

มีการประเมินระดับความน่าเชื่อถือ เป็น 2 ด้าน ดังนี้

ระดับความน่าเชื่อถือของการพิสูจน์ตัวตน Identity assurance level : IAL

เป็นการพิจารณาเกี่ยวกับขั้นตอนการทำงานว่าน่าเชื่อถือแค่ไหน โดยแบ่งออกเป็น 3 ระดับ IAL 1 ( ต่ำสุด ) -> IAL2 -> IAL3 ( สูงสุด )

ระดับความน่าเชื่อถือของการยืนยันตัวตน Authentication assurance level : AAL

เป็นการพิจารณาหลักฐานต่าง ๆ ในการยืนยันตัวตน ว่ามีอะไรบ้าง มีกี่อย่าง น่าเชื่อถือแค่ไหน โดยแบ่งออกเป็น 3 ระดับ AAL1 ( ต่ำสุด ) -> AAL2 -AAL3 ( สูงสุด )

ระดับ IAL1 คือ

• ตรวจสอบสำเนาหรือรูปถ่ายของหลักฐานแสดงตน
• ตรวจสอบลักษณะทางกายภาพของหลักฐานแสดงตนโดยเจ้าหน้าที่
• ตรวจสอบข้อมูลบนหน้าหลักฐานแสดงตนและตรวจสอบสถานะของบัตรประจำตัวประชาชน
• เปรียบเทียบภาพใบหน้าของบุคคลกับภาพในหน้าบนหน้าหลักฐานแสดงตน
• ยืนยันช่องทางการติดต่อของบุคคลที่สมัครใช้บริการ เช่น หมายเลขโทรศัพท์ อีเมล

ระดับ IAL2 คือ

• ไปพบเจ้าหน้าที่โดยตรง face to face
• พิสูจน์ตัวตนผ่านเครื่องให้บริการ
• หรือผ่าน Application

ระดับ IAL3 คือ

• ไปพบเจ้าหน้าที่โดยตรงแบบ face to face

ระดับ AAL1 คือ

สิ่งที่ยืนยันตัวตนของเรา ได้ โดยในระดับนี้ เราต้องมีอย่างน้อย 1 อย่าง จากตัวอย่างข้างล่าง

• รหัสลับจดจำ (memorized secret)
• อุปกรณ์สื่อสารช่องทางอื่น (out-of-band device)
• อุปกรณ์ OTP แบบปัจจัยเดียว (single-factor OTP device)
• ซอฟต์แวร์เข้ารหัสลับแบบปัจจัยเดียว (single-factor cryptographic software)
• อุปกรณ์เข้ารหัสลับแบบปัจจัยเดียว (single-factor cryptographic device)

ระดับ AAL2 คือ

สิ่งที่ยืนยันตัวตนของเราได้ โดยการยืนยัน ต้องมีอย่างน้อย 2 วิธี

การยืนยันตัวตนด้วยปัจจัยของการยืนยันตัวตนที่แตกต่างกัน 2 ปัจจัย สามารถทำได้ 2 วิธี ดังนี้
(1) การใช้สิ่งที่ใช้ยืนยันตัวตนแบบปัจจัยเดียว (single-factor authenticator) ซึ่งเป็นปัจจัยที่แตกต่างกัน
จำนวน 2 อัน เช่น การกรอกรหัสผ่าน (สิ่งที่คุณรู้) และข้อมูลลับที่ส่งมายังโทรศัพท์เคลื่อนที่ของ
ผู้ใช้บริการทาง SMS (สิ่งที่คุณมี)
(2) การใช้สิ่งที่ใช้ยืนยันตัวตนแบบหลายปัจจัย (multi-factor authenticator) จำนวน 1 อัน เช่น อุปกรณ์
OTP แบบหลายปัจจัย (multi-factor OTP device) ซึ่งจะสร้างรหัสผ่านใช้ครั้งเดียว (one-time
password: OTP) หลังจากผู้ใช้บริการกรอกเลขรหัสส่วนตัวหรือสแกนลายนิ้วมือที่ถูกต้อง

• อุปกรณ์ OTP แบบหลายปัจจัย (multi-factor OTP device)
• ซอฟต์แวร์เข้ารหัสลับแบบหลายปัจจัย (multi-factor cryptographic software)
• รหัสลับจดจำ (memorized secret) ร่วมกับอุปกรณ์สื่อสารช่องทางอื่น (out-of-band device)
• รหัสลับจดจำ (memorized secret) ร่วมกับอุปกรณ์ OTP แบบปัจจัยเดียว (single-factor OTP device)
• รหัสลับจดจำ (memorized secret) ร่วมกับซอฟต์แวร์เข้ารหัสลับแบบปัจจัยเดียว (single factor cryptographic software)

ระดับ AAL3 คือ

ระดับ AAL3 ให้ความมั่นใจระดับสูงมากว่าบุคคลที่กำลังเข้าใช้บริการครอบครองและควบคุม
สิ่งที่ใช้ยืนยันตัวตนของผู้ใช้บริการ โดยระดับ AAL3 กำหนดให้ใช้การยืนยันตัวตนด้วยปัจจัยของการยืนยัน
ตัวตนที่แตกต่างกัน 2 ปัจจัยเป็นอย่างน้อย และใช้สิ่งที่ใช้ยืนยันตัวตนที่มีคุณสมบัติเป็นฮาร์ดแวร์ (hardwarebased) บรรจุกุญแจเข้ารหัส (cryptographic key) และสามารถป้องกัน IdP ตัวปลอม (IdP impersonation
resistance)

• อุปกรณ์เข้ารหัสลับแบบหลายปัจจัย (multi-factor cryptographic device)
• อุปกรณ์เข้ารหัสลับแบบปัจจัยเดียว (single-factor cryptographic device) ร่วมกับรหัสลับจดจำ (memorized secret)
• อุปกรณ์ OTP แบบหลายปัจจัย (multi-factor OTP device) ร่วมกับอุปกรณ์เข้ารหัสลับแบบปัจจัยเดียว (single-factor cryptographic device)
• อุปกรณ์ OTP แบบหลายปัจจัย (multi-factor OTP device) เฉพาะที่เป็นฮาร์ดแวร์ ร่วมกับซอฟต์แวร์เข้ารหัสลับแบบปัจจัยเดียว (single-factorcryptographic software)
• อุปกรณ์ OTP แบบปัจจัยเดียว (single-factor OTP device) เฉพาะที่เป็นฮาร์ดแวร์ ร่วมกับ ซอฟต์แวร์เข้ารหัสลับแบบหลายปัจจัย (multi-factor cryptographic software)
• อุปกรณ์ OTP แบบปัจจัยเดียว (single-factor OTP device) เฉพาะที่เป็นฮาร์ดแวร์ ร่วมกับซอฟต์แวร์เข้ารหัสลับแบบปัจจัยเดียว (single-factor cryptographic software) และรหัสลับ
• จดจำ (memorized secret)

Contact Fusion Click