PDPA หรือพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนดให้ผู้ควบคุมข้อมูลต้องมีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม ในทางปฏิบัติ ทีม Infrastructure เป็นผู้ลงมือทำมาตรการเหล่านี้ ได้แก่ การควบคุมสิทธิ์เข้าถึง การเข้ารหัส การเก็บ Log การสำรองและลบข้อมูล การกำหนดที่ตั้งของข้อมูล และการเตรียมรับมือเหตุข้อมูลรั่วไหล บทความนี้แปลงข้อกำหนดเหล่านั้นเป็น Checklist ทางเทคนิคที่ใช้ตรวจระบบได้จริง
หมายเหตุ: บทความนี้เป็นแนวทางทางเทคนิค ไม่ใช่คำแนะนำทางกฎหมาย การตีความข้อกำหนดสำหรับองค์กรของคุณควรปรึกษา DPO หรือที่ปรึกษากฎหมาย ข้อมูลทางการและประกาศที่เกี่ยวข้องดูได้ที่ สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล
ข้อกำหนดของ PDPA ที่เกี่ยวกับงาน Infrastructure
- มาตรการรักษาความมั่นคงปลอดภัย: ผู้ควบคุมข้อมูลต้องจัดให้มีมาตรการที่เหมาะสม ครอบคลุมทั้งด้านการบริหารจัดการ ด้านเทคนิค และด้านกายภาพ [ตรวจสอบ: มาตรา 37 และประกาศคณะกรรมการเรื่องมาตรการรักษาความมั่นคงปลอดภัย พ.ศ. 2565]
- การแจ้งเหตุละเมิด: ต้องแจ้งสำนักงานคณะกรรมการภายใน 72 ชั่วโมงนับแต่ทราบเหตุ เว้นแต่เหตุนั้นไม่มีความเสี่ยงที่จะกระทบสิทธิของเจ้าของข้อมูล [ตรวจสอบ: เงื่อนไขและแบบฟอร์มการแจ้ง]
- การโอนข้อมูลไปต่างประเทศ: ประเทศปลายทางต้องมีมาตรฐานการคุ้มครองที่เพียงพอ หรือเข้าข้อยกเว้นที่กฎหมายกำหนด [ตรวจสอบ: มาตรา 28–29 และประกาศที่เกี่ยวข้อง]
- สิทธิของเจ้าของข้อมูล: เช่น สิทธิขอเข้าถึงและขอลบข้อมูล ซึ่งกระทบการออกแบบฐานข้อมูลและ Backup
PDPA Checklist ที่ 1: Access Control
- ใช้หลัก Least Privilege ให้สิทธิ์เฉพาะที่จำเป็นต่องาน
- บังคับใช้ MFA กับบัญชีผู้ดูแลระบบ, VPN และ Console ของ Cloud
- แยกบัญชีผู้ดูแลระบบออกจากบัญชีใช้งานประจำวัน
- ทบทวนสิทธิ์อย่างน้อยทุกไตรมาส และปิดบัญชีของพนักงานที่ลาออกทันที
- จำกัดการเข้าถึง Database ที่มีข้อมูลส่วนบุคคลให้ผ่าน Bastion Host หรือ Jump Server เท่านั้น
PDPA Checklist ที่ 2: Encryption
- ระหว่างส่ง (In Transit): บังคับใช้ TLS 1.2 ขึ้นไปทุกช่องทาง รวมถึงการเชื่อมต่อระหว่าง Application กับ Database ภายในเครือข่าย
- ขณะจัดเก็บ (At Rest): เข้ารหัสดิสก์, Database และ Backup
- การจัดการกุญแจ: เก็บ Encryption Key แยกจากข้อมูล กำหนดผู้ที่เข้าถึงกุญแจได้ และมีแผนเปลี่ยนกุญแจ
- ข้อมูลอ่อนไหว: เช่น เลขบัตรประชาชนและข้อมูลสุขภาพ พิจารณาเข้ารหัสระดับ Column หรือใช้ Tokenization
PDPA Checklist ที่ 3: Log และการตรวจสอบย้อนหลัง
Log เป็นหลักฐานสำคัญเมื่อเกิดเหตุ และช่วยตอบคำถามว่าใครเข้าถึงข้อมูลอะไรเมื่อไร
- เก็บ Log การ Login, การเข้าถึงข้อมูลส่วนบุคคล และการเปลี่ยนสิทธิ์
- ส่ง Log ไปเก็บที่ระบบกลางที่ผู้ดูแลเครื่องต้นทางแก้ไขไม่ได้
- ซิงก์เวลาทุกเครื่องด้วย NTP เพื่อให้เรียงลำดับเหตุการณ์ได้ถูกต้อง
- กำหนดระยะเวลาเก็บ Log ให้สอดคล้องกับกฎหมายที่เกี่ยวข้อง เช่น ผู้ให้บริการตามพระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ต้องเก็บข้อมูลจราจรทางคอมพิวเตอร์ไม่น้อยกว่า 90 วัน [ตรวจสอบ: ขอบเขตผู้ที่ต้องปฏิบัติและระยะเวลาตามกฎหมายปัจจุบัน]
- ระวังว่า Log เองก็อาจมีข้อมูลส่วนบุคคล เช่น IP Address และอีเมล จึงต้องควบคุมการเข้าถึง Log ด้วย
PDPA Checklist ที่ 4: Backup และการลบข้อมูล
การลบข้อมูลตามคำขอของเจ้าของข้อมูลเป็นโจทย์ยากของ Backup เพราะการลบข้อมูลรายบุคคลออกจาก Backup ทุกชุดแทบทำไม่ได้ในทางปฏิบัติ แนวทางที่องค์กรจำนวนมากใช้คือ
- ลบข้อมูลในระบบหลัก และบันทึกคำขอลบไว้
- กำหนด Retention ของ Backup ให้ชัดเจน เพื่อให้ข้อมูลใน Backup หมดอายุไปเองตามรอบ
- ถ้าต้องกู้ Backup ที่เก่ากว่าวันที่ลบ ให้นำรายการคำขอลบมาลบซ้ำหลังกู้
- จัดทำเอกสารอธิบายแนวทางนี้ไว้ในนโยบายขององค์กร
[ตรวจสอบ: ให้ DPO หรือที่ปรึกษากฎหมายยืนยันว่าแนวทางนี้เหมาะกับองค์กร] แนวทางออกแบบ Backup ที่ทนต่อ Ransomware ดูเพิ่มเติมได้ที่ Immutable Backup และหลัก 3-2-1-1-0 สำหรับการทำลายสื่อบันทึกที่เลิกใช้ ให้ใช้วิธีที่ข้อมูลกู้คืนไม่ได้ และเก็บหลักฐานการทำลาย