泰国拟出台智能设备安全指南，数据主权列为国家优先事项

泰国 国家网络安全局（NCSA） 正着手制定应对智能设备新型网络攻击的措施，重点关注 闭路电视（CCTV）系 统及能源领域 虚拟电厂（VPP） 的网络安全，同时将 数据主权（Data Sovereignty）列 为国家优先事项。国家网络安全局秘书长 阿蒙·冲乔伊（AVM Amorn Chomchoey） 接受《曼谷邮报》采访时透露了上述计划。

物联网安全指南拟于9月推出

阿蒙表示，国家网络安全局计划于今年 9月 推出 物联网（IoT）安全指南 ，适用于消费者购买和使用的智能家居设备。该指南建议智能设备至少应具备三项重要安全功能： 禁止使用默认码 ，设备出厂时不得设置统一默认密码，必须由用户首次使用时自行创建； 支持固件更新 ，以便修补新的安全漏洞； 具备安全漏洞通知机制 ，一旦发现安全风险应主动向用户发出警报。

阿蒙表示，这项工作正与 泰国智能闭路电视协会（Thai Intelligent CCTV Association） 合作推进。有关部门还正在讨论是否将这些安全要求由建议升级为 强制性规定 。如果成为强制标准，监管机构将能够依法执行，尤其在一些关键 环节 加强管理，防止不符合安全标准、存在漏洞的智能设备流入泰国市场。

不过，阿蒙也指出，如果未来强制实施新标准，仍存在两项值得关注的问题：新标准是否能够 兼容现有旧设备 及旧有规范；是否会导致智能设备 价格大幅上涨 。

阿蒙说："我们已经看到 数字监控 带来的风险。通过监测特定数据，例如车辆何时进入、何时离开以及出入地点，就能够精确判断一个人的位置和日常活动情况。"

将讨论虚拟电厂网络安全问题

国家网络安全局预计将在本月底与电力公用事业单位、虚拟电厂制造商及服务提供商举行会议，讨论 虚拟电厂（VPP） 的网络安全问题。根据 泰国发电局（EGAT） 介绍，虚拟电厂是一种先进的能源管理平台，能够把大量分散的小型发电资源整合成为一个统一的大型电网，而无需建设实体发电厂。

阿蒙表示，推动虚拟电厂建设是未来能源发展的重点，目标是把众多分散的小规模发电者所生产的电力统一纳入国家电网。然而，这种整合同时带来了巨大的网络安全风险。由于未来电网将连接数量庞大的小型发电单位，黑客可以攻击的 入口（Attack Surface） 将大幅增加。

数据篡改可能导致电网事故，需采取三项强制性安全措施

阿蒙指出，虚拟电厂最大的安全隐患在于 数据与实体电力系相结合 。整个系统依赖各种实时数据来计算电力供需平衡。如果黑客在 数据源头 篡改数据，或在 数据传输过程中 修改数据，那么电网所收到的数字信息就会与实际供电情况发生严重偏差，从而可能导致危险后果。

为避免电网发生灾难性故障，虚拟电厂系统需要采取多项强制性网络安全措施：

一、 网络分区（Network Segmentation） 。系统架构必须严格分区，这样即使某一发电企业或某一个节点遭到网络攻击，也能够把影响限制在局部，不会扩散到整个电网。

二、 设备更新机制 。所有发电企业及发电设备必须建立明确的软件和系统更新机制，确保能够及时修补漏洞。

三、 数据完整性监测 。必须建立持续监测系统，对数据完整性进行验证，确保电网依据真实可靠的数据运行。

数据主权比数据本地化更重要

阿蒙还表示，泰国 数字经济与社会部 目前正研究，面对越来越多外国数据中心进入泰国投资，未来是否应要求重要数据必须存放在泰国境内服务器。对此，他强调：真正的 数据主权 ，不是把服务器物理上留在泰国，而是国家拥有 监管权 以及控 制数据访问权限 的能力。

为说明过度强调数据本地化可能带来的风险，他举了 乌克兰 的例子。在俄罗斯发动全面入侵前几个月，乌克兰修改了相关法律，允许国家数据 迁移至国外云端服务商 。正因为如此，即使战争导致国内数据中心遭到破坏，乌克兰政府仍能够持续提供公共服务，而不会因为本地数据中心被摧毁而全面瘫痪。

阿蒙认为，如果泰国未来突然要求所有数据全部迁回国内服务器，可能会带来多项问题，包括： 国内数据中心容量不足 ； 数据迁移成本极高 ； 银行业等关键基础设施 可能因此受到影响，甚至中断服务。因此，他主张建立完善的 跨境数据保护法律制度 ，这样既能够继续吸引国际投资、获得经济利益，也能够确保泰国政府始终掌握对数据的监管权和访问控制权，实现真正的数据主权。