BLOG
การทำตามกฎหมาย PDPA สำหรับ SME: ปัญหาส่วนใหญ่มักจะตกอยู่ที่เรื่อง “สิทธิ์การเข้าถึง”
ลองไปถามเจ้าของธุรกิจ SME ในไทยเกี่ยวกับ PDPA ดูสิ ส่วนใหญ่คุณมักจะได้ยินพวกเขาพูดถึงเอกสารขอความยินยอมและนโยบายความเป็นส่วนตัว—ซึ่งสิ่งเหล่านี้มันก็สำคัญแหละ แต่เมื่อเกิดกรณีข้อมูลส่วนบุคคลรั่วไหลจากธุรกิจขนาดเล็ก สาเหตุมันแทบจะไม่เคยเกิดจากการลืมทำปุ่มให้กดติ๊กถูกบนเว็บไซต์เลย แต่มันมักจะเกิดจาก “สิทธิ์การเข้าถึงข้อมูล” เสมอ: นั่นคือการปล่อยให้คนเข้าถึงข้อมูลมากเกินไป เป็นเวลานานเกินไป และไม่มีใครคอยตรวจสอบ
พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล (PDPA) มีการบังคับใช้อย่างเต็มรูปแบบมาตั้งแต่ปี 2022 แล้ว และคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลก็แสดงให้เห็นแล้วว่าพวกเขาพร้อมที่จะดำเนินการทางกฎหมายแม้กระทั่งกับองค์กรขนาดเล็ก สี่ปีผ่านไป คำว่า “เราไม่รู้กฎหมาย” ฟังไม่ขึ้นอีกต่อไป สิ่งที่กฎหมายคาดหวังในภาษาที่เข้าใจง่ายๆ ก็คือ คุณต้องรู้ว่าตัวเองถือข้อมูลส่วนบุคคลอะไรไว้บ้าง คุณต้องปกป้องข้อมูลนั้นด้วยมาตรการรักษาความปลอดภัยที่เหมาะสม และต้องสามารถรายงานการรั่วไหลที่รุนแรงได้ภายใน 72 ชั่วโมงหลังจากที่ตรวจพบ
และนี่คือความจริงที่น่าอึดอัดใจ: คุณจะไม่สามารถทำทั้งสามอย่างนั้นได้เลย หากไม่มีการควบคุมสิทธิ์การเข้าถึงข้อมูล
ปัญหาเรื่องสิทธิ์การเข้าถึงที่ซ่อนอยู่ใน SME ไทยทั่วไป
ลองเดินเข้าไปในบริษัททั่วๆ ไปที่มีพนักงานสัก 30 คนในกรุงเทพฯ ชลบุรี หรือเชียงใหม่ดูสิ คุณจะต้องเจอกับสถานการณ์แนวๆ นี้แน่นอน:
- โฟลเดอร์ของฝ่ายบุคคลบน Google Drive หรือไฟล์เซิร์ฟเวอร์ที่ใช้ร่วมกัน ซึ่งเก็บทั้งข้อมูลเงินเดือน สำเนาบัตรประชาชน ใบรับรองแพทย์ แต่พนักงานเกือบทั้งบริษัทสามารถเข้ามาอ่านได้ เพราะเคยตั้งค่าการเข้าถึงเอาไว้ตั้งแต่ปี 2021 แล้วไม่เคยเข้าไปแก้ใหม่อีกเลย
- อดีตพนักงานบัญชีที่ยังสามารถล็อกอินเข้าใช้อีเมลบริษัทได้ เพราะตอนลาออก บริษัทแค่ยึดแล็ปท็อปคืนแต่ไม่ได้ทำอย่างอื่นเลย
- รหัสผ่านระดับแอดมินสำหรับระบบบัญชีมีแค่รหัสเดียว แถมยังถูกแปะไว้ในกลุ่ม LINE เพื่อให้พนักงานสี่คนใช้ร่วมกัน
- เด็กฝึกงานฝ่ายการตลาดมีสิทธิ์กดส่งออก (Export) ฐานข้อมูลลูกค้าได้ทั้งระบบ เพียงเพราะมันตั้งค่าง่ายกว่าการมากำหนดบทบาทการเข้าถึงให้ถูกต้อง
ในวันธรรมดาทั่วไป สิ่งเหล่านี้อาจไม่ได้ดูเป็นเรื่องคอขาดบาดตาย แต่ภายใต้กฎหมาย PDPA สิ่งเหล่านี้คือความล้มเหลวของมาตรการรักษาความปลอดภัยที่รอวันโป๊ะแตก ไม่ว่าจะจากผู้ตรวจสอบ อดีตพนักงานที่โกรธแค้น หรือแฮกเกอร์ที่ต้องการพาสเวิร์ดแค่ตัวเดียวเพื่อเจาะเข้าระบบ
กฎหมายต้องการอะไรจากคุณกันแน่?
PDPA กำหนดให้ต้องมี “มาตรการรักษาความปลอดภัยที่เหมาะสม” ซึ่งสอดคล้องกับความสำคัญของข้อมูลที่คุณดูแล สำหรับข้อมูลส่วนบุคคล โดยเฉพาะข้อมูลที่มีความละเอียดอ่อนอย่างประวัติสุขภาพหรือเลขบัตรประชาชน หน่วยงานกำกับดูแลและศาลจะพิจารณาว่าระบบของคุณควรครอบคลุมเรื่องพื้นฐานเหล่านี้เป็นอย่างน้อย: จำกัดการเข้าถึงเฉพาะคนที่จำเป็นต้องใช้ทำงาน, มีการยืนยันตัวตนที่ระบุตัวบุคคลได้ชัดเจน (ห้ามใช้บัญชีร่วมกัน), มีการบันทึกประวัติว่าใครเข้าถึงข้อมูลอะไรบ้าง, และต้องตัดสิทธิ์การเข้าถึงทันทีเมื่อมีคนลาออกหรือเปลี่ยนตำแหน่ง
สังเกตไหมว่าทั้งสี่ข้อนี้คือเรื่องของ “ระเบียบวินัยในองค์กร” ไม่ใช่ “ตัวผลิตภัณฑ์” คุณไม่สามารถซื้อเครื่องมือสำเร็จรูปมาแก้ปัญหานี้ได้ง่ายๆ มันต้องมีใครสักคนที่คอยรับผิดชอบกระบวนการเหล่านี้ทุกสัปดาห์ สำหรับพนักงานทุกคนที่เข้าใหม่ ย้ายแผนก หรือลาออก
การจัดการแบบวงจรชีวิตผู้ใช้ (Lifecycle Approach)
วิธีแก้ปัญหาคือการจัดการวงจรชีวิตผู้ใช้งาน: มันคือขั้นตอนที่กำหนดไว้ชัดเจนและต้องทำทุกครั้งที่สถานะของพนักงานในบริษัทมีการเปลี่ยนแปลง
เมื่อมีคนเข้าทำงานใหม่ พวกเขาจะได้รับบัญชีที่สร้างขึ้นตามรูปแบบหน้าที่งาน เช่น เซลส์เข้าถึงได้แค่ระบบ CRM ไม่ใช่ระบบเงินเดือน เมื่อมีคนเปลี่ยนตำแหน่งงาน สิทธิ์การเข้าถึงจะถูกรีเซ็ตและอิงจากตำแหน่งใหม่ แทนที่จะเอาสิทธิ์ใหม่ไปทบกับสิทธิ์เก่า เมื่อมีคนลาออก ทุกบัญชีการใช้งานจะต้องถูกระงับในวันเดียวกัน และต้องมีระบบเช็กลิสต์เพื่อยืนยันว่าทำเสร็จแล้ว ในทุกๆ ไตรมาส จะต้องมีคนมาคอยไล่ดูรายชื่อทั้งหมดและตั้งคำถามทีละบรรทัดว่า “พนักงานคนนี้ยังจำเป็นต้องใช้ระบบนี้อยู่ไหม?”
นี่เป็นงานที่น่าเบื่อหน่ายและไม่ได้ดูเท่เอาซะเลย ซึ่งก็เป็นเหตุผลว่าทำไมบริษัทที่ให้พนักงานทำไอทีเป็นแค่งานเสริมถึงไม่ค่อยยอมทำกัน แต่นี่แหละคืองานด้านความปลอดภัยที่คุ้มค่ากับเวลามากที่สุดเท่าที่ SME จะทำได้ เพราะมันช่วยลดความเสี่ยงที่ข้อมูลจะรั่วไหล ลดโอกาสการผิดกฎหมาย PDPA และช่วยประหยัดเงินค่าซื้อซอฟต์แวร์จากบัญชีที่ไม่มีคนใช้งานไปพร้อมๆ กัน
บททดสอบ 72 ชั่วโมง
มีวิธีง่ายๆ ในการตรวจสอบว่าระบบปัจจุบันของคุณจะรับมือกับสถานการณ์จริงได้ไหม ลองจินตนาการว่าเช้าวันจันทร์ คุณพบว่ารายชื่อลูกค้าหลุดไปอยู่ในที่ที่ไม่ควรอยู่ กฎหมาย PDPA บังคับให้คุณมีเวลาแค่ 72 ชั่วโมงนับจากตอนที่รู้เรื่อง ในการแจ้งให้คณะกรรมการ PDPC ทราบหากข้อมูลที่รั่วไหลมีความเสี่ยงต่อเจ้าของข้อมูล ในกรอบเวลานั้น คุณจะต้องตอบคำถามให้ได้ว่า: มีข้อมูลอะไรหลุดไปบ้าง, เป็นข้อมูลของใคร, ใครบ้างที่มีสิทธิ์เข้าถึงระบบต้นทาง, เหตุการณ์เกิดเมื่อไหร่, และคุณได้ทำอะไรไปแล้วบ้างเพื่อควบคุมสถานการณ์
ถ้าระบบของคุณยังใช้ล็อกอินร่วมกันและไม่มีใครคอยเก็บบันทึกประวัติการเข้าใช้งาน คุณจะไม่สามารถตอบคำถามพวกนั้นได้เลย ซึ่งนั่นแปลว่าคุณจะไม่สามารถเขียนรายงานแจ้งเหตุ ประเมินความเสียหาย หรือบอกความจริงกับลูกค้าที่ได้รับผลกระทบได้ ธุรกิจที่รับมือกับปัญหาข้อมูลรั่วไหลได้ดี ไม่ใช่ธุรกิจที่ไม่เคยถูกเจาะระบบ แต่เป็นธุรกิจที่มีการควบคุมสิทธิ์การเข้าถึงและมีบันทึกการใช้งาน (Log) ที่ช่วยให้พวกเขาสามารถตอบคำถามทั้งห้าข้อได้อย่างรวดเร็ว ควบคุมสถานการณ์ได้ และสามารถแสดงให้หน่วยงานรัฐเห็นได้ว่าพวกเขาจัดการระบบรักษาความปลอดภัยอย่างสมเหตุสมผลแล้ว การจะทำแบบนี้ได้ มันต้องเกิดจากการเตรียมความพร้อมหลายเดือนก่อนจะเกิดเรื่อง ไม่ใช่มารีบทำในช่วง 72 ชั่วโมงหลังจากเกิดเรื่องไปแล้ว
เมื่อไหร่ที่ควรส่งต่องานนี้ให้ผู้เชี่ยวชาญ
ถ้าบริษัทของคุณมีพนักงานจำนวนหนึ่งแต่ไม่มีคนรับผิดชอบด้านไอทีโดยตรง การจ้างบริษัทภายนอกมาดูแลระบบสิทธิ์การเข้าถึงน่าจะเป็นทางเลือกที่ดี เพราะมันเป็นงานที่ต้องทำเป็นประจำ ห้ามข้ามขั้นตอนเด็ดขาด และไม่จำเป็นต้องมีคนมานั่งทำอยู่ที่ออฟฟิศ แพ็กเกจระดับ Tier 2 ของ HumanIT ครอบคลุมไปถึงการจัดการวงจรชีวิตผู้ใช้งานและการควบคุมสิทธิ์การเข้าถึง มาพร้อมกับการเฝ้าระวังตลอด 24 ชั่วโมง และระบบสำรองข้อมูลที่ผ่านการทดสอบมาแล้ว โดยคิดค่าใช้จ่าย 2,500 บาทต่ออุปกรณ์ต่อเดือน หรือ 2,000 บาทหากจ่ายรายปี ซึ่งนี่จะช่วยวางระบบที่ทำซ้ำได้และตรวจสอบได้ เพื่อให้คุณสามารถปฏิบัติตามกฎหมาย PDPA ได้อย่างสบายใจ ในราคาที่ถูกกว่าค่าจ้างทนายมาให้คำปรึกษาหลังเกิดเรื่องข้อมูลรั่วเพียงวันเดียวเสียอีก
ทางคณะกรรมการ PDPC จะไม่ถามหรอกว่าคุณมีเจตนาดีหรือไม่ พวกเขาจะถามแค่ว่า ใครบ้างที่เข้าถึงข้อมูลได้ และคุณรู้ได้อย่างไร ดังนั้น จงเตรียมคำตอบดีๆ ไว้ให้พวกเขาดีกว่า
อยากให้ระบบควบคุมสิทธิ์การเข้าถึงของคุณได้รับการจัดการอย่างถูกต้องไหม?
โทรหาคุณอีฟที่เบอร์ +66 89 354 9916 หรือเข้ามาดูรายละเอียดแพ็กเกจ Tier 2 ได้ที่ humanit.asia/pricing-and-plans.
