# NIST SP 800-53 Rev. 5 คืออะไร? คู่มือ Security Controls Framework สำหรับ SME ไทย 2026
NIST Special Publication 800-53 (Rev. 5) คือมาตรฐาน Security and Privacy Controls ที่ออกโดย National Institute of Standards and Technology (NIST) ของสหรัฐอเมริกา ใช้เป็นชุด controls กลางสำหรับหน่วยงานรัฐบาลกลาง US รวมถึงโปรแกรม FedRAMP, FISMA, CMMC และเป็นรากฐานของ NIST Cybersecurity Framework (CSF) 2.0
ทำไม SME ไทยปี 2026 ต้องสนใจ? คำตอบคือถ้าธุรกิจของคุณส่งออกซอฟต์แวร์ ให้บริการ SaaS แก่ลูกค้า US ทำงานกับ supply chain ของบริษัทอเมริกัน หรือเข้าร่วม FedRAMP/CMMC marketplace ความเข้าใจ NIST 800-53 จะกลายเป็นเงื่อนไขขั้นต้นของการเซ็นสัญญา
บทความนี้จะอธิบายโครงสร้าง 20 ตระกูล (control families) ของ Rev. 5, การ tailor ใช้ baselines ตาม FIPS 199, ขั้นตอน implement สำหรับ SME, และเปรียบเทียบกับ ISO 27001 ให้เห็นภาพชัดเจน
โครงสร้าง 20 ตระกูล Controls ของ Rev. 5
NIST 800-53 Rev. 5 (เผยแพร่ปี 2020 พร้อม errata อัปเดตถึง 2025) แบ่ง controls ออกเป็น 20 control families ครอบคลุมทั้ง security และ privacy โดยปัจจุบันมีมากกว่า 1,000 controls + control enhancements
| Family | ตัวย่อ | ครอบคลุม |
|--------|------|-----------|
| Access Control | AC | สิทธิ์เข้าถึง, RBAC, least privilege |
| Audit & Accountability | AU | log, audit trail |
| Configuration Management | CM | baseline, change management |
| Identification & Authentication | IA | MFA, identity proofing |
| Incident Response | IR | IR plan, playbook |
| Risk Assessment | RA | risk analysis, threat modeling |
| System & Communications Protection | SC | encryption, network segmentation |
| System & Information Integrity | SI | patching, malware, monitoring |
| Personnel Security | PS | background checks, NDA |
| Supply Chain Risk Management | SR | vendor assessment, SBOM |
| Privacy Authorization | PT | กระบวนการ privacy ใหม่ใน Rev. 5 |
ทุก control มีรหัสรูปแบบ Family-Number เช่น AC-2 (Account Management), SI-7 (Software Integrity), SC-13 (Cryptographic Protection)
การเลือก Baseline ตาม Impact Level
Rev. 5 ไม่ได้บังคับว่าทุกองค์กรต้อง implement ทุก control แต่ใช้กลไก baseline ที่ถูก tailor ตามระดับ impact ของระบบ ตาม FIPS 199:
ขั้นตอน tailoring:
1. ทำ system categorization (Low/Moderate/High) ตาม FIPS 199 จาก confidentiality, integrity, availability
2. เลือก baseline ที่ตรงกับ impact level
3. Tailor: เพิ่ม, ลด, หรือเสริม controls ตาม risk ของระบบ
4. Document ใน System Security Plan (SSP)
5. Assess control implementation
6. Authorize to Operate (ATO)
7. Continuous Monitoring (ConMon)
ขั้นตอน Implement สำหรับ SME ไทย
หาก SME ของคุณต้องการเริ่ม implement NIST 800-53 ภายใต้บริบทของ Thai supply chain ที่ feeds เข้า FedRAMP หรือ CMMC ให้ทำตามขั้นตอนนี้:
NIST 800-53 vs ISO 27001 เปรียบเทียบ
| หัวข้อ | NIST 800-53 Rev. 5 | ISO/IEC 27001:2022 |
|---------|--------------------|----------------------|
| ผู้ออก | NIST (US) | ISO/IEC |
| รูปแบบ | Control catalog แบบละเอียด | ISMS framework + Annex A |
| จำนวน controls | 1,000+ controls/enhancements | 93 controls (Annex A) |
| รับรองโดย | ATO (US Federal), 3PAO | Accredited certification body |
| ใช้กับ | FedRAMP, CMMC, FISMA | global commercial |
| Privacy | บูรณาการใน Rev. 5 (PT family) | แยกเป็น ISO 27701 |
หลายองค์กรเลือก hybrid: ใช้ ISO 27001 เป็น management system + map controls ไปยัง NIST 800-53 สำหรับลูกค้า US — NIST เปิด crosswalk ระหว่างสองมาตรฐานนี้ฟรี
Common Pitfalls ที่พบบ่อย
สรุป + ก้าวต่อไป
NIST SP 800-53 Rev. 5 ไม่ใช่แค่กรอบของ US Federal เท่านั้น แต่กำลังกลายเป็น de facto standard สำหรับ B2B supply chain ทั่วโลก SME ไทยที่อยากแข่งขันใน global market 2026 ควรเริ่มต้นจาก Moderate baseline + ทำ gap assessment ทันที
อยากให้ผู้เชี่ยวชาญช่วย implement NIST 800-53 ให้ตรงตามมาตรฐาน FedRAMP/CMMC? [ติดต่อทีม ADS FIT](/contact) วันนี้ หรืออ่าน [คู่มือ NIST CSF 2.0](/blog/nist-csf-2-cybersecurity-framework-guide-sme-thailand-2026) ที่อิงจาก 800-53 เช่นกัน