ปัจจุบัน PDPA (Personal Data Protection Act) หรือกฎหมายคุ้มครองข้อมูลส่วนบุคคลของประเทศไทย ได้เริ่มมีการบังคับใช้อย่างจริงจัง และหลายองค์กรก็เริ่มทบทวนการจัดการข้อมูลส่วนบุคคลและการดูแลด้านความปลอดภัยมากขึ้น

ในช่วงหลัง การใช้งาน Cloud และการทำงานแบบ Remote เพิ่มขึ้น ทำให้ข้อมูลส่วนบุคคลถูกจัดเก็บกระจายอยู่ในหลายระบบและหลายบริการมากขึ้นเช่นกัน

ดังนั้น นอกจากฝ่ายกฎหมายแล้ว ฝ่าย IT เองก็ควรทราบว่า

• ข้อมูลถูกจัดเก็บอยู่ที่ไหน
• ใครสามารถเข้าถึงข้อมูลได้
• มีการป้องกันข้อมูลอย่างเหมาะสมหรือไม่

หมายเหตุ: สำหรับการตีความทางกฎหมายหรือการพิจารณาเฉพาะกรณี ควรปรึกษาทนายความหรือผู้เชี่ยวชาญด้านกฎหมายโดยตรง บทความนี้นำเสนอในมุมมองของการบริหารจัดการ IT Infrastructure และ Security โดยทั่วไป

สิ่งแรกที่ควรตรวจสอบ

ข้อมูลส่วนบุคคลอยู่ที่ไหนบ้าง

สิ่งสำคัญอันดับแรก คือการตรวจสอบว่า

• ใช้ระบบใดในการจัดการข้อมูล
• มีข้อมูลส่วนบุคคลประเภทใดบ้าง
• ข้อมูลถูกจัดเก็บไว้ที่ไหน

ตัวอย่างเช่น

• Microsoft 365 / Google Workspace
• Cloud Storage
• File Server
• ระบบภายในองค์กร
• SaaS ต่าง ๆ

ซึ่งในหลายองค์กร ข้อมูลอาจกระจายอยู่ในหลายสภาพแวดล้อมโดยไม่รู้ตัว

นอกจากนี้ หากมีการเข้าถึงข้อมูลจากสำนักงานใหญ่หรือสาขาในต่างประเทศ ก็ควรตรวจสอบตำแหน่งการจัดเก็บข้อมูลและสิทธิ์การเข้าถึงให้ชัดเจน

สิ่งที่ควรทบทวนเพิ่มเติม

VPN และการจัดการบัญชีผู้ใช้ (ID Management)

ปัจจุบัน Cyber Attack มีแนวโน้มเพิ่มขึ้นอย่างต่อเนื่อง เช่น

• ช่องโหว่ของอุปกรณ์ VPN
• Phishing
• การขโมยบัญชีผู้ใช้
• Ransomware

ดังนั้น ควรเริ่มจากการตรวจสอบการใช้งานพื้นฐานด้าน Security เช่น

• VPN มีการเปิดใช้งาน MFA (Multi-Factor Authentication) หรือไม่
• ยังมีบัญชีผู้ใช้ที่ไม่ได้ใช้งานหลงเหลืออยู่หรือไม่
• VPN และ Firewall ได้รับการอัปเดตล่าสุดหรือไม่
• สามารถตรวจสอบ Log ได้หรือไม่
• สิทธิ์ Administrator ถูกจัดการอย่างเหมาะสมหรือไม่

โดยเฉพาะองค์กรที่มีหลายสาขา มักพบว่าอุปกรณ์บางส่วนไม่ได้อัปเดตเป็นเวลานาน หรือมีบัญชีผู้ใช้เดิมที่ยังไม่ได้ปิดหลังมีการเปลี่ยนผู้รับผิดชอบ

เริ่มต้นจากการ “ตรวจสอบสภาพปัจจุบัน”

เมื่อพูดถึง PDPA หลายองค์กรอาจคิดว่าเป็นเรื่องใหญ่และซับซ้อน แต่ในความเป็นจริง จุดเริ่มต้นสำคัญคือการตรวจสอบและจัดระเบียบการใช้งาน IT พื้นฐาน เช่น

• การตรวจสอบตำแหน่งจัดเก็บข้อมูล
• การจัดการบัญชีผู้ใช้
• การใช้งาน VPN
• การจัดการสิทธิ์การเข้าถึง
• การตรวจสอบ Log

เมื่อมองเห็นสภาพการใช้งานปัจจุบันได้ชัดเจน ก็จะช่วยให้สามารถวางแผนด้าน Security และการปรับปรุงระบบในอนาคตได้ง่ายขึ้น

■ ปรึกษาเราได้

บริษัทของเราให้บริการสนับสนุนทั้งองค์กรไทยและบริษัทญี่ปุ่นในประเทศไทย เช่น

• การตรวจสอบและปรับปรุงการบริหารจัดการ IT Infrastructure
• การทบทวน VPN และ ID Management
• การตรวจสอบการใช้งาน Microsoft 365 / Google Workspace
• การปรับปรุง Security Operation
• การสนับสนุนงาน IT สำหรับสาขาต่างประเทศ

แม้จะอยู่ในขั้นตอน “อยากเริ่มตรวจสอบสภาพปัจจุบันก่อน” ก็สามารถติดต่อสอบถามได้ครับ