ทำไมแผนผังข้อมูลของคุณ (Data Map) ถึงสำคัญกว่าไฟร์วอลล์
ประเด็นสำคัญ
ต้องรู้ว่าคุณถือครองข้อมูลส่วนบุคคลใดอยู่บ้าง ก่อนที่จะลงทุนซื้อเครื่องมือมาปกป้องมัน
กฎหมาย PDPA กำหนดให้ผู้ควบคุมข้อมูลต้องจัดทำบันทึกรายการกิจกรรมการประมวลผล (RoPA) ซึ่งแผนผังข้อมูล (Data Map) คือเครื่องมือที่ช่วยสร้างบันทึกดังกล่าว
เรื่องร้องเรียนส่วนใหญ่เกิดจากการจัดเก็บข้อมูลเกินความจำเป็นและไม่มีฐานทางกฎหมายรองรับ ไม่ใช่เรื่องการโดนแฮกระบบ
ตรวจสอบข้อมูลที่ซ่อนอยู่ (Shadow Data): กลุ่มแชต, แบบฟอร์มเก่า, สำเนาบัตรประชาชน และเซิร์ฟเวอร์ของคู่ค้า
ในทุก ๆ เส้นทางการไหลของข้อมูล (Data Flow) ให้ถามเสมอว่า: มีไว้ทำไม? ใครเห็นบ้าง? และจะลบเมื่อไร?
ก่อนที่จะซื้อเครื่องมือรักษาความปลอดภัยเพิ่มเติม ควรทราบก่อนว่าคุณถือครองข้อมูลส่วนบุคคลใดอยู่บ้าง คู่มือปฏิบัติสำหรับการจัดทำแผนผังข้อมูล (Data Mapping) และบันทึกรายการกิจกรรมการประมวลผล (Record of Processing) ตามกฎหมาย PDPA
ในทุก ๆ เดือนตุลาคม บริษัทต่าง ๆ มักจะได้รับการแจ้งเตือนให้พิถีพิถันกับการอัปเดตรหัสผ่าน ฝึกอบรมพนักงานให้รู้จักสังเกตการหลอกลวงทางอินเทอร์เน็ต (Phishing) และทบทวนเครื่องมือรักษาความปลอดภัยที่ใช้งานอยู่ สิ่งเหล่านี้ถือเป็นพฤติกรรมที่ดี แต่ในความรีบร้อนที่จะซื้อระบบป้องกันกลับมีคำถามหนึ่งที่มักจะถูกมองข้ามไป นั่นคือ "แล้วเรากำลังปกป้องอะไรอยู่กันแน่?" ซึ่งไฟร์วอลล์ทำหน้าที่เหมือนยามเฝ้าประตู มันไม่สามารถบอกคุณได้ว่ามีห้องอยู่กี่ห้องที่ซ่อนอยู่ข้างหลัง มีอะไรถูกจัดเก็บไว้ในแต่ละห้องบ้าง หรือใครยังถือลูกกุญแจสำรองอยู่ ในงานด้านความเป็นส่วนตัว ภาพที่หายไปนั้นมีชื่อเรียกว่า แผนผังข้อมูล (Data Map) มันคือเอกสารธรรมดา ๆ ที่ไม่ได้ดูหรูหราอะไร ซึ่งทำหน้าที่บันทึกว่าองค์กรจัดเก็บข้อมูลส่วนบุคคลอะไรไว้บ้าง ข้อมูลนั้นมาจากไหน เหตุใดจึงต้องเก็บไว้ ใครบ้างที่เข้าถึงได้ และข้อมูลจะถูกส่งต่อออกไปที่ใด หากไม่มีแผนผังข้อมูลนี้ การลงทุนด้านความปลอดภัยก็เป็นเพียงแค่การเดาสุ่ม และการปฏิบัติตามกฎหมาย PDPA ก็จะกลายเป็นเพียงชุดนโยบายที่อธิบายถึงบริษัทที่ไม่มีอยู่จริง
ทำไมหน่วยงานกำกับดูแลจึงกลับมาดูแลเรื่องพื้นฐานการควบคุมและกำกับข้อมูล
ในช่วงปี 2569 สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล แห่งประเทศไทย ได้บันทึกสถิติการร้องเรียนในเรื่องเกี่ยวกับกฑหมายคุ้มครองข้อมูลส่วนบุคคล (PDPA) ไว้มากกว่า 2,600 รายการ ทว่าปัญหาที่พบมากที่สุดไม่ใช่ปัญหาการถูกโจมตีทางไซเบอร์ที่ซับซ้อน แต่คือการที่บริษัททำการจัด้ก็บข้อมูลที่มากเกินความจำเป็นโดเยป็นการจัดเก็บที่ไม่มีกฎหมายรองรับ หรือมีการนำข้อมูลไปใช้หรือเปิดเผยโดยไม่มีฐานกฎหมายรองรับ สิ่งเหล่านี้คือความล้มเหลวในการจัดทำแผนผังข้อมูล(Mapping Failures) เพราะบริษัทที่ไม่รู้ว่าตนเองจัดเก็บอะไรย่อมไม่สามารถอธิบายได้ว่าจัดเก็บสิ่งนั้นไปเพื่ออะไร และบริษัทที่ไม่สามารถอธิบายเหตุผลได้ก็จะต้องเจอกับความยากลำบากในการปกป้องตนเองเมื่อมีเรื่องร้องเรียนมาถึง
สิ่งที่กฎหมายคาดหวัง
กฎหมายคุมครองข้อมูลส่วนบุคคล (PDPA) ซึ่งมีผลบังคับใช้อย่างเต็มรูปแบบในเดือนมิถุนายน 2565 กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลต้องจัดทำบันทึกรายการกิจกรรมการประมวลผล เพื่อให้บุคคลทั่วไปและหน่วยงานกำกับดูแลสามารถตรวจสอบได้ โดยเนื้อหาสำคัญของบันทึกดังกล่าวจะต้องระบุประเภทของข้อมูลส่วนบุคคล วัตถุประสงค์ ระยะเวลาการจัดเก็บ รายนามผู้รับข้อมูล ข้อมูลการโอนข้อมูลไปต่างประเทศ และมาตรการรักษาความปลอดภัยที่ใช้ในการปกป้องข้อมูลนั้น แม้องค์กรขนาดเล็กบางแห่งจะได้รับยกเว้นจากหน้าที่นี้ ข้อยกเว้นดังกล่าวจะไม่ครอบคลุมหากการประมวลผลข้อมูลนั้นมีความเสี่ยงหรือเกี่ยวข้องกับข้อมูลส่วนบุคคลที่มีความอ่อนไหว (Sensitive Data) ดังนั้น การตรวจสอบให้แน่ชัดจึงเป็นสิ่งที่ดีกว่าการทึกทักเอาเอง ในทางปฏิบัติแล้ว แผนผังข้อมูล (Data Map) คือเครื่องมือการทำงานหลักที่นำมาใช้เพื่อจัดทำบันทึกรายการกิจกรรมที่เป็นทางการดังกล่าว
ในการทำงานองค์กรมักข้อมูลมีหลายหลาย และข้อมูลเหล่านี้มักซ่อนอยู่ในที่ที่เรานึกไม่ถึง
ระบบที่เป็นทางการขององค์กรแทบจะไม่เคยเป็นปัญหาเลย แต่ความยุ่งยากมักจะซ่อนอยู่ตามซอกมุมต่าง ๆ เช่น ไฟล์สเปรดชีต (Spreadsheets) บนแล็ปท็อปส่วนตัว ข้อมูลลูกค้าที่ถูกคัดลอกและวางลงในกลุ่ม LINE แบบฟอร์มจากงานอีเวนต์ในอดีต ภาพบันทึกจากกล้องวงจรปิด (CCTV) เครื่องมือทางการตลาดที่แอบสะสมรายชื่อผู้ติดต่อไว้อย่างเงียบ ๆ และเซิร์ฟเวอร์ที่เอเจนซีรายเก่า ยังคงถือสิทธิ์ควบคุมอยู่ นอกจากนี้ ไฟล์ของฝั่งทรัพยากรบุคคล (HR) ก็เป็นจุดที่ต้องใส่ใจเป็นพิเศษ เพราะสำเนาบัตรประจำตัวประชาชน ซึ่งยังคงมีการจัดเก็บกันอย่างแพร่หลายในประเทศไทยนั้น สามารถระบุศาสนาได้ ซึ่งถือเป็นข้อมูลส่วนบุคคลที่มีความอ่อนไหว (Sensitive Data) และสำเนาเหล่านี้ก็มักจะถูกทิ้งไว้ในแฟ้มเอกสารที่ไม่มีใครเปิดดูมานานหลายปี
3 คำถามสำหรับการเริ่มต้นในการป้องกันการไหลของข้อมูล
ระบวนการจัดทำแผนผังข้อมูลที่มีประโยชน์ที่สุดนั้นสร้างขึ้นจากคำถามธรรมดา ๆ สามข้อ คือ ทำไมเราถึงมีข้อมูลนี้? ใครบ้างที่สามารถเห็นมันได้? และมันจะถูกลบออกไปเมื่อไร?
คำถามแรกจะบังคับให้องค์กรต้องเชื่อมโยงข้อมูลนั้นเข้ากับฐานทางกฎหมายและวัตถุประสงค์ที่เฉพาะเจาะจง คำถามที่สองจะช่วยเปิดเผยให้เห็นการเข้าถึงข้อมูลที่ถูกปล่อยให้กว้างเกินไป ซึ่งรวมถึงกลุ่มคู่ค้า (Vendors) และอดีตพนักงาน ส่วนคำถามที่สามจะเปลี่ยนความตั้งใจอันคลุมเครือที่ว่า "เก็บไว้สักพัก" ให้กลายเป็นกฎเกณฑ์ระยะเวลาการจัดเก็บข้อมูลที่ชัดเจนและใช้งานได้จริง ซึ่งจุดนี้คือจุดที่องค์กรจำนวนมากประสบความล้มเหลว เพราะการลบข้อมูลนั้นให้ความรู้สึกที่เสี่ยง แต่การเก็บข้อมูลไว้กลับให้ความรู้สึกว่าไม่มีค่าใช้จ่าย ทว่าในความเป็นจริงมันไม่ได้ฟรี เพราะทุก ๆ รายการข้อมูลที่ถูกจัดเก็บไว้ล้วนเป็นความรับผิดชอบและภาระผูกพันทางกฎหมาย (Liability) ที่รอวันจะถูกเจาะระบบ
แนวทางการเริ่มต้นที่ทำได้จริง
เวอร์ชันแรกไม่จำเป็นต้องใช้ซอฟต์แวร์พิเศษใด ๆ ในสัปดาห์แรก ให้สัมภาษณ์แต่ละแผนกเกี่ยวกับข้อมูลส่วนบุคคลที่พวกเขาใช้งาน ในสัปดาห์ที่สอง ให้ทำรายการระบบ เครื่องมือ และคู่ค้า (Vendors) ทั้งหมดที่เกี่ยวข้อง ในสัปดาห์ที่สาม ให้จับคู่การไหลของข้อมูลแต่ละเส้นทางเข้ากับฐานทางกฎหมายและระยะเวลาการจัดเก็บข้อมูล และในสัปดาห์ที่สี่ ให้จัดลำดับความสำคัญของช่องว่างที่พบแล้วเริ่มแก้ไขจุดที่มีความเสี่ยงสูงสุดก่อน ผลลัพธ์ที่ได้อาจจะยังไม่สมบูรณ์แบบ ซึ่งนั่นเป็นเรื่องที่ยอมรับได้ เพราะแผนผังข้อมูลแบบคร่าว ๆ ที่ได้รับการทบทวนทุกไตรมาส มีคุณค่ามากกว่าแผนผังข้อมูลที่สมบูรณ์แบบแต่ไม่เคยถูกสร้างขึ้นมาเลยอย่างเทียบกันไม่ได้
เมื่อสิ้นสุดเดือนแห่งการรณรงค์และกิจกรรมสร้างความตระหนักรู้จบลง แผนผังข้อมูลคือสิ่งสำคัญเพียงสิ่งเดียวที่ยังคงอยู่ปฏิบัติจริง มันคือรากฐานในการตัดสินใจด้านคุ้มครองข้อมูลส่วนบุคคลในทุกมิติ ตั้งแต่การรับมือเหตุการณ์ข้อมูลรั่วไหล การจัดทำสัญญาจ้างคู่ค้า ไปจนถึงการขอความยินยอมจากเจ้าของข้อมูล
บทความนี้มีวัตถุประสงค์เพื่อเสนอข้อมูลทั่วไปเท่านั้น ไม่ใช่คำแนะนำทางกฎหมาย หากต้องการความช่วยเหลือในการทำแผนผังข้อมูลหรือจัดทำบันทึกรายการกิจกรรมตามกฎหมาย PDPA สามารถติดต่อทีมงานด้านความเป็นส่วนตัวของ Aktivist Group ได้โดยตรง
ความคิดเห็น