| ASM-020 ต้องมีนโยบาย IT, บทบาทผู้รับผิดชอบ, การบริหารความเสี่ยง IT, การประเมินระบบสำคัญ และแผนปรับปรุง | STD-IT-001 | 3 | — | กำลังประเมิน | |
| ASM-021 ต้องรองรับบัญชีผู้ใช้รายบุคคล รหัสผ่าน/การยืนยันตัวตน MFA สำหรับสิทธิ์สูง การปิดบัญชีผู้ใช้ และทบทวนสิทธิ์เป็นรอบ ห้ามใช้บัญชีผู้ใช้ร่วมกันระหว่างเจ้าหน้าที่ และระบบต้องบังคับเปลี่ยนรหัสผ่านรอบอัตโนมัติ | STD-IT-002 | 3 | — | รอประเมิน | |
| ASM-022 ต้องสำรองข้อมูลตามรอบ เก็บสำรองแยกสถานที่/แยกระบบ ทดสอบกู้คืน และกำหนด RTO/RPO สำหรับระบบสำคัญ การเรียกคืนข้อมูล (restore) ต้องเป็นสิทธิ์เฉพาะ ต้องมีเหตุผล ผู้อนุมัติ และบันทึก log ทุกครั้ง | STD-IT-003 | 3 | — | รอประเมิน | |
| ASM-023 ต้องมีช่องทางรายงานเหตุผิดปกติ การจัดระดับเหตุ การตอบสนอง การบันทึกผล และการทบทวนหลังเหตุการณ์ | STD-IT-004 | 3 | — | รอประเมิน | |
| ASM-024 การเปลี่ยนแปลงโปรแกรม สูตรคำนวณ อัตราดอกเบี้ย ผังบัญชี หรือสิทธิ์สำคัญ ต้องผ่านอนุมัติ ทดสอบ และเก็บประวัติ version | STD-IT-005 | 3 | — | รอประเมิน | |
| ASM-025 เมื่อใช้ผู้ให้บริการภายนอก ต้องมีเกณฑ์คัดเลือก สัญญารักษาความลับ SLA ขอบเขตบริการ ข้อกำหนด security/change/backup/incident รายงานผลอย่างน้อยรายเดือน ขั้นตอนตรวจรับ และสิทธิ์ตรวจสอบ | STD-IT-006 | 3 | — | รอประเมิน | |
| ASM-026 ระบบต้องส่งออกข้อมูลตรวจสอบได้ในรูปแบบอ่านเข้าใจและตรวจสอบย้อนกลับได้ โดยยังคงเข้ารหัสข้อมูลสำคัญขณะจัดเก็บ/รับส่ง และควบคุมสิทธิ์การส่งออก | STD-IT-007 | 3 | — | รอประเมิน | |
| ASM-057 ระบบต้องตรวจพฤติกรรมผิดปกติ เช่น ธุรกรรมที่ผิดปกติ โอนย่อดสูง เปลี่ยนบัญชีรับเงิน เปลี่ยนอุปกรณ์ หรือการยกเลิกใบเสร็จผิดปกติ | STD-FRAUD-001 | 1 | — | รอประเมิน | |