การดูกล้องวงจรปิดจากมือถือ คือการเปิดทางเข้าระบบจากนอกอาคาร แนวปฏิบัติ สกมช. ปี 2569 ซึ่งเป็นข้อเสนอแนะ ไม่ใช่กฎหมาย ให้เปลี่ยนรหัสผ่านโรงงาน และกำกับ P2P เหมือนช่องทางเข้าถึงระยะไกลอื่น เจ้าของกล้องได้ตารางเลือกวิธีดูจากนอกบ้านและข้อเชื่อมกับมาตรา 37 (1) ของ PDPA
- ข้อ 3.1 ของแนวปฏิบัติ สกมช. ให้จัดการรหัสผ่านโรงงานก่อนใช้งาน และไม่เปิดกล้องสู่อินเทอร์เน็ตตรงโดยไม่จำเป็น
- ข้อ 3.3.3.4 ให้กำกับบริการ P2P หรือคลาวด์ของผู้ผลิตเหมือนช่องทางเข้าถึงระยะไกลอื่น และไม่ตัดสินจากชื่อเทคโนโลยี
- ข้อ 5.1.1: ไม่ควรเปิดลิงก์แชร์ภาพแบบสาธารณะหรือไม่ต้องพิสูจน์ตัวตนโดยไม่มีเหตุผล และควรมี Screen Lock
- ข้อ 3.3.3.1 แนะนำแบ่งอย่างน้อยโซนกล้อง โซนบันทึก โซนผู้ใช้ และโซนเข้าถึงจากภายนอก
- PDPA มาตรา 37 (1) ให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม แต่ไม่ได้ระบุรายการมาตรการ
ช่างติดกล้องเสร็จ สแกน QR แล้วบอกว่า “ดูจากมือถือได้เลยครับ” เจ้าของร้านดีใจ เพราะไม่ต้องเข้าร้านก็เห็นว่าลูกค้ามาหรือยัง แต่ประโยคเดียวนั้นซ่อนคำถามไว้หลายข้อ ภาพไปถึงมือถือผ่านทางไหน ใครอีกบ้างที่ใช้ทางเดียวกันได้ และรหัสผ่านของกล้องเป็นรหัสที่มากับเครื่องหรือเปล่า
สำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (สกมช.) ออกแนวปฏิบัติด้านความมั่นคงปลอดภัยระบบกล้องวงจรปิดเมื่อ 29 กันยายน 2569 และแตะเรื่องนี้ในหลายข้อ ตั้งแต่รหัสผ่านโรงงานในข้อ 3.1 การแบ่งเครือข่ายและบริการ P2P ในข้อ 3.3.3 ไปจนถึงแอปและมือถือในข้อ 5.1.1
บทความนี้เรียบเรียงข้อเหล่านั้นเป็นคำตอบสำหรับคำถามเดียว คือถ้าจะดูกล้องจากนอกบ้านหรือนอกร้าน ควรตั้งค่าอะไรก่อน และเลือกทางไหน ภาพรวมการเริ่มต้นทั้ง 7 ข้ออยู่ใน บทความเรื่อง 7 ข้อเริ่มต้นสำหรับกล้องที่ติดแล้ว ส่วนฝั่ง PDPA เรื่องป้ายและการให้ภาพ อ่านใน บทความเรื่องกล้องวงจรปิดกับ PDPA
ทำไมกล้องที่เปิดออกอินเทอร์เน็ตตรง ๆ จึงเสี่ยงที่สุด?
เพราะกล้องที่เปิดออกอินเทอร์เน็ตตรง คือกล้องที่ใครก็ลองเข้าหน้าล็อกอินของมันได้จากที่ไหนก็ได้ ความปลอดภัยทั้งหมดจึงเหลืออยู่ที่รหัสผ่านกับซอฟต์แวร์ในตัวกล้องสองอย่างเท่านั้น และกล้องมักเป็นอุปกรณ์ที่ไม่มีใครอัปเดตหลังติดตั้ง
แนวปฏิบัติสรุปปัจจัยเสี่ยงของระบบ CCTV ไว้ตั้งแต่คำนำ โดยหยิบสามเรื่องที่ต่อกันเป็นสายเดียวกัน คือรหัสผ่านเริ่มต้น การไม่อัปเดต และการเปิดให้เข้าถึงจากระยะไกลโดยไม่มีมาตรการที่เหมาะสม
ความเสี่ยงอาจเกิดจากหลายปัจจัย เช่น การใช้ข้อมูลยืนยันตัวตนเริ่มต้น (เช่น รหัสผ่านจากโรงงาน) การไม่ปรับปรุงซอฟต์แวร์หรือเฟิร์มแวร์ การเปิดให้เข้าถึงจากระยะไกลโดยไม่มีมาตรการที่เหมาะสม
ข้อ 3.1 แปลงความเสี่ยงสามเรื่องนี้เป็นมาตรการเริ่มต้น ข้อ 1 ให้จัดการรหัสผ่านเริ่มต้นก่อนเปิดใช้งาน ข้อ 2 ให้ไม่เปิดกล้อง เครื่องบันทึก หรือส่วนบริหารสู่อินเทอร์เน็ตโดยตรงโดยไม่จำเป็น และให้ใช้ช่องทางที่ได้รับอนุมัติ ข้อ 3 ให้ใช้ MFA กับบัญชีสิทธิสูงและการเข้าถึงจากระยะไกลเมื่อระบบรองรับ ทั้งสามข้อเป็นแกนของบทความนี้
ข้อ 1 กับข้อ 2 เป็น “พึงปฏิบัติ” ตั้งแต่ระดับ B ซึ่งเป็นระดับพื้นฐานที่สุดของแนวปฏิบัติ ส่วนข้อ 3 เป็น “ควรพิจารณา” ที่ระดับ B และเป็นพึงปฏิบัติที่ระดับ E กับ H คำว่าพึงปฏิบัติตามข้อ 1.5 หมายถึงมาตรการหลักที่แนะนำ ถ้าเลือกวิธีอื่นควรอธิบายเหตุผลได้
รหัสผ่านโรงงานต้องจัดการอย่างไร และรหัสแบบไหนถึงพอ?
ต้องเปลี่ยนก่อนเปิดใช้งานจริง ในทุกอุปกรณ์ที่มีหน้าเข้าสู่ระบบ ไม่ใช่เฉพาะกล้อง ข้อ 3.1 ระบุว่ารหัสเริ่มต้นของกล้อง เครื่องบันทึก ระบบบริหารจัดการ และแอปพลิเคชันต้องจัดการให้เรียบร้อยก่อนเปิดใช้ และข้อ 3.4.4 ลงรายละเอียดเป็นชุดมาตรการ
| มาตรการ | สถานะที่ระดับ B | ทำอย่างไรในร้านหรือบ้าน |
|---|---|---|
| เปลี่ยนหรือจัดการรหัสเริ่มต้นก่อนใช้งาน | พึงปฏิบัติ | ไล่ทีละอุปกรณ์ กล้อง เครื่องบันทึก เราเตอร์ และบัญชีในแอป |
| ใช้รหัสผ่านหรือวลีผ่านที่เหมาะกับความเสี่ยง | พึงปฏิบัติ | ใช้วลียาวที่จำได้ แทนคำสั้นที่เดาง่าย |
| ไม่ใช้รหัสเดียวกันกับหลายอุปกรณ์โดยไม่มีเหตุผล | พึงปฏิบัติ | ใช้โปรแกรมจัดการรหัสผ่านสร้างรหัสแยกต่อเครื่อง |
| เปลี่ยนรหัสเมื่อสงสัยหรือมีหลักฐานว่ารั่ว | พึงปฏิบัติ | เปลี่ยนเมื่อช่างที่รู้รหัสเลิกดูแล หรือเมื่อมือถือที่ล็อกอินไว้หาย |
| เก็บรหัสด้วยวิธีที่ป้องกันไว้ | พึงปฏิบัติ | ห้ามแปะกระดาษไว้ข้างเครื่องบันทึก |
| ตรวจรหัสที่อ่อนหรือรั่วเมื่อกระบวนการรองรับ | ควรพิจารณา | ถ้าใช้โปรแกรมจัดการรหัสผ่าน ให้เปิดการแจ้งเตือนรหัสรั่ว |
| จำกัดอัตราการเดารหัสหรือล็อกบัญชีชั่วคราว | ควรพิจารณา | เปิดตัวเลือกนี้ถ้าเครื่องบันทึกหรือแอปมีให้ |
| ใช้ MFA กับบัญชีสิทธิสูงและการเข้าถึงจากระยะไกล | ควรพิจารณา | เปิดที่บัญชีเจ้าของระบบก่อน แล้วค่อยบัญชีอื่น |
ส่วนรหัสที่ดีหน้าตาเป็นอย่างไร แนวปฏิบัติไม่ได้ตอบด้วยตัวเลข เพราะอุปกรณ์แต่ละชนิดรองรับไม่เท่ากัน ข้อ 3.4.4 ปิดท้ายด้วยหลักที่ผู้ซื้อควรจำไว้
ไม่ควรกำหนดจำนวนอักขระหรือขนาดของข้อมูลยืนยันตัวตนเดียวสำหรับระบบทุกประเภท แต่ควรกำหนดคุณภาพของข้อมูลยืนยันตัวตนให้เหมาะสมกับความเสี่ยง และลดการพึ่งพารหัสผ่านเพียงปัจจัยเดียวสำหรับการเข้าถึงระบบและข้อมูลที่มีความสำคัญ
เรื่องบัญชีผู้ใช้ ข้อ 3.4.3 ให้แยกบทบาทผู้ดูภาพกับผู้ดูแลระบบ ใช้บัญชีที่ระบุตัวคนได้ หลีกเลี่ยงบัญชีผู้ดูแลที่ใช้ร่วมกัน ปิดบัญชีแขกหรือบัญชีที่ไม่ได้ใช้ และเพิกถอนสิทธิเมื่อพ้นหน้าที่ ทั้งหมดเป็นพึงปฏิบัติตั้งแต่ระดับ B ในกิจการเล็ก หมายความว่าพนักงานที่ดูกล้องควรมีบัญชีของตัวเองที่ดูได้อย่างเดียว ไม่ควรใช้บัญชี admin ร่วมกันทั้งร้าน
ถ้าจะดูกล้องจากนอกบ้าน เลือกทางไหน?
ขึ้นกับว่าต้องดูบ่อยแค่ไหน มีคนดูแลเครือข่ายหรือไม่ และยอมให้ภาพผ่านเซิร์ฟเวอร์ของผู้ผลิตหรือเปล่า แนวปฏิบัติไม่ได้ชี้ว่าวิธีไหนถูก มีแต่หลักว่าทุกช่องทางต้องกำกับเหมือนช่องทางเข้าถึงระยะไกล ซึ่งข้อ 5.1.1 ใช้ถ้อยคำนี้กับมือถือ
การเข้าถึงระบบ CCTV ผ่านโทรศัพท์เคลื่อนที่ แท็บเล็ต หรือแอปพลิเคชันสามารถเพิ่มความสะดวกในการเฝ้าระวังและการตอบสนองต่อเหตุ แต่ควรได้รับการควบคุมในลักษณะเดียวกับช่องทางการเข้าถึงระบบจากระยะไกลอื่น
ตารางข้างล่างจัดทางเลือกเป็นตารางตัดสินใจ ผู้เขียนเป็นคนเรียงและให้ความเห็นในช่อง “ข้อสังเกตของผู้เขียน” ส่วนช่อง “ที่มาในแนวปฏิบัติ” บอกว่าข้อไหนรองรับ แนวปฏิบัติไม่ได้ระบุชื่อ VPN ไว้ ใช้ถ้อยคำว่า “ช่องทางที่ได้รับอนุมัติ” ซึ่งผู้เขียนตีความว่า VPN ที่ผู้ดูแลตั้งเองเข้าข่าย
| ถ้าสถานการณ์เป็นแบบนี้ | ทางเลือกที่เหมาะ | ที่มาในแนวปฏิบัติ | ข้อสังเกตของผู้เขียน |
|---|---|---|---|
| ดูเฉพาะตอนอยู่ในร้านหรือในบ้าน | ไม่เปิดทางเข้าจากภายนอกเลย ดูผ่านเครือข่ายภายใน | ข้อ 3.1 ข้อ 2 · ข้อ 3.3.3 | ปลอดภัยที่สุดเพราะไม่มีช่องทางภายนอกให้ใครลอง ถ้าไม่ต้องดูจากข้างนอกจริง ๆ อย่าเปิด |
| ต้องดูจากนอกบ้านเป็นครั้งคราว ไม่มีคนดูแลไอที | แอปของผู้ผลิตแบบ P2P หรือคลาวด์ ที่ตอบคำถามในข้อ 3.3.3.4 ได้ครบ และเปิด MFA | ข้อ 3.3.3.4 · ข้อ 5.1.1 | ง่ายที่สุดสำหรับคนทั่วไป แต่ต้องรู้ว่าภาพและข้อมูลผ่านเซิร์ฟเวอร์ใคร เซิร์ฟเวอร์อยู่ที่ใด และปิดบริการได้หรือไม่ |
| มีช่างหรือผู้ดูแลเครือข่ายประจำ และอยากควบคุมเอง | ช่องทางที่ผู้ดูแลอนุมัติและตั้งเอง เช่น VPN เข้าเครือข่ายแล้วดูกล้องในเครือข่ายภายใน | ข้อ 3.3.3.1 โซนการเข้าถึงจากภายนอก · ข้อ 3.3.3.2 | ควบคุมได้มากกว่า แต่ต้องมีคนดูแลต่อเนื่อง และ VPN เองก็ต้องมีรหัสและ MFA |
| ให้ช่างหรือผู้ผลิตเข้ามาซ่อมจากระยะไกล | เปิดช่องทางชั่วคราว จำกัดสิทธิ ระยะเวลา และบันทึกการเข้าถึง แล้วปิดเมื่อเสร็จงาน | ข้อ 3.3.3.1 · ข้อ 3.3.4.2 · ข้อ 3.4.1 | ขอให้ช่างยืนยันเป็นลายลักษณ์อักษรว่าปิดแล้ว ข้อ 3.3.4.2 ให้ปิดบริการชั่วคราวเมื่อสิ้นสุดงานเป็นพึงปฏิบัติที่ระดับ B |
| ตั้ง Port Forwarding หรือเปิด UPnP ให้กล้องออกอินเทอร์เน็ตตรง | ไม่แนะนำ ใช้ทางข้างบนแทน | ข้อ 3.1 ข้อ 2 · ข้อ 3.3.4.1 (UPnP ให้ปิดเมื่อไม่จำเป็น) | ถ้าไม่มีทางอื่นจริง ต้องมีเหตุผลที่อนุมัติ จำกัดต้นทางที่เข้าได้ ใช้ HTTPS และเปลี่ยนรหัสผ่านโรงงานแล้ว |
| อยากส่งลิงก์ให้ญาติหรือเพื่อนดูภาพ | ให้บัญชีรายคนที่ดูได้อย่างเดียว ไม่ส่งลิงก์สาธารณะ | ข้อ 5.1.1 (การแชร์ภาพหรือ Link) | ลิงก์ที่ไม่ต้องล็อกอิน ใครได้ไปก็ดูได้ และถูกส่งต่อได้ |
ข้อควรระวังของตารางนี้คือ ไม่มีแถวไหนใช้ได้โดยไม่ต้องเปลี่ยนรหัสโรงงาน เพราะทุกทางล้วนมีหน้าล็อกอินปลายทางที่ต้องมีรหัสผ่านและควรมี MFA และไม่ควรเลือกแถวที่สี่หรือห้าเพียงเพราะช่างบอกว่าตั้งง่าย
บริการ P2P ปลอดภัยไหม ก่อนเปิดใช้ต้องถามผู้ขายอะไร?
คำตอบจากข้อ 3.3.3.4 คือบอกไม่ได้จากชื่อ แนวปฏิบัติยอมรับว่า P2P ช่วยให้ดูกล้องจากข้างนอกได้สะดวก โดยทั่วไปแอปจะเชื่อมกับกล้องผ่านเซิร์ฟเวอร์กลางของผู้ผลิตโดยไม่ต้องเปิดพอร์ตที่เราเตอร์ แต่เตือนว่าต้องกำกับให้เท่ากับช่องทางระยะไกลอื่น
บริการเชื่อมต่อแบบ P2P หรือบริการคลาวด์ของผู้ผลิตอาจช่วยให้ผู้ใช้งานเข้าถึงระบบจากภายนอกได้สะดวก แต่ควรได้รับการกำกับในลักษณะเดียวกับช่องทางการเข้าถึงจากระยะไกลอื่น
การใช้ P2P หรือ Cloud ไม่ควรถูกสรุปว่าปลอดภัยหรือไม่ปลอดภัยจากชื่อของเทคโนโลยีเพียงอย่างเดียว แต่ควรประเมินจากสถาปัตยกรรม การควบคุม และความเสี่ยงจริง
แนวปฏิบัติมีรายการประเด็นที่ควรได้คำตอบก่อนเปิดใช้งาน 8 เรื่อง ตารางข้างล่างเรียบเรียงเป็นคำถามที่เจ้าของกล้องถามผู้ขายหรือตรวจเองได้ ใช้ถ้อยคำของผู้เขียน
| ประเด็น | คำถามที่ควรถามผู้ขายหรือตรวจเอง | คำตอบที่น่ากังวล |
|---|---|---|
| ช่องทางเชื่อมต่อ | แอปเชื่อมกับกล้องผ่านระบบหรือบริการอะไร | ผู้ขายตอบไม่ได้ |
| ข้อมูลที่ส่งออก | มีภาพ ข้อมูลอุปกรณ์ หรือ Metadata อะไรไปถึงผู้ให้บริการ | ไม่มีเอกสารบอก |
| สถานที่ให้บริการ | เซิร์ฟเวอร์อยู่ที่ใด ตามข้อมูลที่ผู้ให้บริการเปิดเผย | ไม่ระบุประเทศหรือผู้ให้บริการช่วง |
| ผู้ที่เข้าถึงได้ | ใครฝั่งผู้ให้บริการเข้ามาช่วยหรือบริหารระบบได้ | ไม่มีการจำกัดหรือบันทึกการเข้าถึง |
| การพิสูจน์ตัวตน | รองรับ MFA หรือไม่ | ไม่รองรับ แต่เป็นทางเดียวที่ใช้ดูจากนอกบ้านได้ |
| การควบคุมบริการ | ปิดหรือจำกัดบริการนี้ได้หรือไม่ | ปิดไม่ได้ หรือปิดแล้วเปิดกลับเองหลังอัปเดต |
| การบันทึกเหตุการณ์ | มี Log การเข้าสู่ระบบให้ตรวจย้อนหลังหรือไม่ | ไม่มี |
| การยุติบริการ | ถ้าเลิกใช้ ย้ายหรือลบข้อมูลอย่างไร | ไม่มีขั้นตอนลบ |
ถ้าผู้ขายกล้องตอบไม่ได้เกินครึ่งหนึ่ง ผู้เขียนเห็นว่านั่นเป็นสัญญาณให้ใช้ทางเลือกที่ควบคุมเองได้มากกว่า หรือเปลี่ยนรุ่น หากภาพถูกเก็บบนคลาวด์ในต่างประเทศ จะมีเรื่องการส่งข้อมูลไปต่างประเทศตาม PDPA เพิ่มขึ้นมาอีกชั้น ดู คู่มือการส่งข้อมูลไปต่างประเทศ
แอปและมือถือที่ใช้ดูกล้องต้องตั้งค่าอย่างไร?
ต้องคุมเหมือนช่องทางระยะไกลอื่น คือดูทั้งบัญชี แอป ตัวเครื่อง และภาพที่อาจตกค้างในเครื่อง ข้อ 5.1.1 เสนอประเด็นที่ควรพิจารณาเป็นตาราง ซึ่งผู้เขียนสรุปเป็นข้อปฏิบัติสำหรับเจ้าของร้านได้ดังนี้
| ประเด็นในแนวปฏิบัติ | สิ่งที่ทำได้ทันที |
|---|---|
| บัญชีผู้ใช้งาน | ให้แต่ละคนมีบัญชีของตัวเอง อย่าใช้บัญชีร่วม |
| MFA | เปิดสำหรับบัญชีสิทธิสูงและการเข้าถึงจากภายนอก เมื่อบริการรองรับ |
| สิทธิของผู้ใช้ | จำกัดว่าใครดูภาพย้อนหลัง ส่งออกข้อมูล หรือตั้งค่าระบบได้ |
| การแชร์ภาพหรือลิงก์ | ปิดการแชร์แบบสาธารณะหรือแบบไม่ต้องล็อกอิน เว้นแต่มีเหตุผลและการควบคุม |
| อุปกรณ์เคลื่อนที่ | ตั้ง Screen Lock ใช้ระบบปฏิบัติการที่ยังได้รับการสนับสนุน ไม่ดัดแปลงเครื่องจนลดระบบความปลอดภัย |
| การสูญหายของอุปกรณ์ | รู้วิธียกเลิก Session หรือ Token และเปลี่ยนรหัสบัญชีจากเครื่องอื่นได้ |
| การบันทึกภาพลงเครื่อง | ไม่เซฟภาพหรือคลิปลงแกลเลอรีส่วนตัวโดยไม่จำเป็น |
| การปรับปรุงแอป | ติดตามและติดตั้งเวอร์ชันที่ยังได้รับการสนับสนุน |
| การแจ้งเตือนการเข้าสู่ระบบ | เปิดเมื่อระบบรองรับ |
แถว “การบันทึกภาพลงเครื่อง” มักถูกมองข้ามที่สุด ภาพจากกล้องที่ลูกค้าและพนักงานปรากฏอยู่ เมื่อถูกบันทึกลงมือถือส่วนตัว ก็ไปอยู่นอกระบบที่ร้านควบคุม ทั้งการลบตามระยะเก็บและการจำกัดคนดู ถ้าต้องส่งคลิปให้ตำรวจหรือคู่กรณี ควรส่งออกจากระบบกล้องตามขั้นตอนที่มีผู้อนุมัติและบันทึกไว้
สำหรับระบบที่เสี่ยงสูง ข้อ 5.1.1 บอกว่าอาจพิจารณาระบบบริหารอุปกรณ์เคลื่อนที่ (MDM) หรือมาตรการอื่นที่ให้ผลเทียบเท่า ร้านเล็กส่วนใหญ่ไม่ต้องไปถึงขั้นนั้น แต่ควรเริ่มจากข้อง่าย ๆ คือ Screen Lock กับการยกเลิก Session เมื่อมือถือหาย
แบ่งเครือข่ายอย่างไรให้กล้องที่ถูกเจาะไม่ลามไปเครื่องอื่น?
แยกกล้องออกจากคอมพิวเตอร์และมือถือที่ใช้ทำงานทั่วไป ข้อ 3.3.3 ให้ออกแบบแบบป้องกันเชิงลึกและไม่ให้ความเชื่อถือกับอุปกรณ์เพียงเพราะอยู่ในเครือข่ายเดียวกัน เหตุผลที่ให้ไว้ตรงไปตรงมา
การแบ่งเครือข่ายช่วยลดผลกระทบเมื่ออุปกรณ์หนึ่งถูกโจมตี และช่วยจำกัดการเคลื่อนย้ายของภัยคุกคามไปยังระบบอื่น
ข้อ 3.3.3.1 ยกตัวอย่างสี่โซน ซึ่งผู้เขียนสรุปไว้ในตารางข้างล่าง แนวปฏิบัติบอกว่าปรับจำนวนโซนให้เหมาะกับระบบจริงได้ และมาตรการ “แยกเครือข่าย CCTV ออกจากเครือข่ายผู้ใช้งานทั่วไปตามความเหมาะสม” เป็นพึงปฏิบัติตั้งแต่ระดับ B
| โซน | มีอะไรในโซน | แนวทางควบคุมในแนวปฏิบัติ | ในร้านเล็กอาจหมายถึง |
|---|---|---|---|
| กล้อง/อุปกรณ์ปลายทาง | กล้อง ตัวเข้ารหัส อุปกรณ์ปลายทาง | จำกัดการสื่อสารไปยังเครื่องบันทึกหรือระบบที่จำเป็น และจำกัดการเชื่อมต่อออกภายนอก | กล้องคุยได้เฉพาะกับเครื่องบันทึก |
| บันทึกและบริหารจัดการ | NVR/DVR/VMS ที่เก็บข้อมูล เซิร์ฟเวอร์บริหาร | จำกัดผู้ใช้และระบบอื่นที่เข้าถึง | เครื่องบันทึกไม่อยู่ในวงเดียวกับเครื่องคิดเงินและคอมพิวเตอร์สำนักงาน |
| ผู้ใช้งาน/ศูนย์ควบคุม | เครื่องของผู้ดูกล้อง | พิสูจน์ตัวตนและกำหนดสิทธิตามบทบาท | เครื่องที่ใช้ดูภาพมีบัญชีรายคน |
| การเข้าถึงจากภายนอก | ช่างหรือผู้ดูแลที่เข้ามาจากข้างนอก | ให้เฉพาะช่องทางที่อนุมัติ จำกัดสิทธิ ระยะเวลา และบันทึกการเข้าถึง | ช่องทางดูจากมือถือและช่องทางของช่างต้องผ่านการอนุมัติ |
ร้านที่ไม่มีอุปกรณ์เครือข่ายขั้นสูง ผู้เขียนเสนอทางลัดสองแบบ คือใช้เราเตอร์ตัวที่สองเฉพาะกล้องและเครื่องบันทึก หรือใช้การตั้งเครือข่ายแยกสำหรับอุปกรณ์ IoT ถ้าเราเตอร์รองรับ ทั้งสองแบบเป็นข้อเสนอของผู้เขียน แนวปฏิบัติใช้ถ้อยคำว่าแยกเครือข่าย ตามความเหมาะสม และไม่ได้ระบุวิธี
ถ้ากล้องหรือเครื่องบันทึกต่อพ่วงกับระบบควบคุมอาคาร ประตูอัตโนมัติ หรือระบบเทคโนโลยีปฏิบัติการ (OT) อื่น ข้อ 3.3.3.3 มีข้อควรระวังเฉพาะ
หากระบบ CCTV เชื่อมต่อหรือใช้โครงสร้างพื้นฐานร่วมกับระบบเทคโนโลยีปฏิบัติการ (Operational Technology: OT) ระบบบริหารอาคาร หรือระบบควบคุมอื่น ควรพิจารณาผลกระทบระหว่างระบบทั้งสองด้าน ควรหลีกเลี่ยงการเชื่อมต่อโดยตรงโดยไม่มีการกำหนดขอบเขตและการควบคุมที่ชัดเจน
อีกเรื่องคือพอร์ตและบริการ ข้อ 3.3.4 ให้เปิดเฉพาะบริการที่จำเป็น ตารางตัวอย่างในข้อ 3.3.4.1 ชี้ว่า Telnet ให้หลีกเลี่ยงเมื่อมีทางเลือกที่ปลอดภัยกว่า HTTP แบบไม่เข้ารหัสให้ปิดหรือจำกัดเมื่อมีช่องทางเข้ารหัสแทน UPnP ให้ปิดเมื่อไม่จำเป็น และ P2P หรือ Cloud Connectivity ให้เปิดเฉพาะเมื่อได้รับอนุมัติ ซึ่งถือเป็นช่องทางออกภายนอกที่ต้องกำกับ ให้ขอรายการ Port และ Service ที่เปิดอยู่จริงจากช่าง พร้อมเหตุผลของแต่ละตัว
PDPA มาตรา 37 (1) เกี่ยวกับกล้องที่เปิดออกอินเทอร์เน็ตอย่างไร?
เมื่อกล้องบันทึกภาพที่ระบุตัวคนได้ ภาพนั้นเป็นข้อมูลส่วนบุคคล และผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่ตามมาตรา 37 (1) ของ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ที่ต้องจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม การเปิดกล้องออกอินเทอร์เน็ตด้วยรหัสโรงงานเป็นเรื่องที่ควรชั่งน้ำหนักกับถ้อยคำนี้
จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ และต้องทบทวนมาตรการดังกล่าวเมื่อมีความจำเป็นหรือเมื่อเทคโนโลยีเปลี่ยนแปลงไปเพื่อให้มีประสิทธิภาพในการรักษาความมั่นคงปลอดภัยที่เหมาะสม
สิ่งที่กฎหมายไม่ได้ระบุคือรายการมาตรการ PDPA ไม่ได้เขียนว่าต้องเปลี่ยนรหัสโรงงาน ต้องเปิด MFA หรือห้าม P2P จึงพูดไม่ได้ว่ากฎหมายห้ามหรือบังคับเรื่องเหล่านี้ สิ่งที่ทำได้คือใช้แนวปฏิบัติ สกมช. เป็นเกณฑ์ว่ามาตรการ “ที่เหมาะสม” ของกล้องควรมีอะไร และเก็บหลักฐานว่าทำแล้ว ผลทางกฎหมายตัดสินเป็นรายกรณี และผู้เขียนไม่ได้บอกว่าการทำตามแนวปฏิบัติรับประกันว่าทำตามมาตรา 37 ครบ
ประเด็นที่สองอยู่ที่มาตรา 37 (2) เมื่อภาพถูกส่งให้ผู้ให้บริการอื่นที่ไม่ใช่ผู้ควบคุมข้อมูล เช่น บริการคลาวด์ของผู้ผลิตกล้อง ผู้ควบคุมข้อมูลต้องดำเนินการเพื่อป้องกันมิให้ผู้นั้นใช้หรือเปิดเผยข้อมูลโดยปราศจากอำนาจหรือโดยมิชอบ ผู้เขียนเห็นว่าคำถามในตาราง 8 ประเด็นของข้อ 3.3.3.4 เป็นจุดเริ่มต้นที่ใช้ตรวจเรื่องนี้ได้ และถ้าผู้ให้บริการประมวลผลตามคำสั่งของร้าน ควรมีข้อตกลงการประมวลผลข้อมูลด้วย ดู คู่มือข้อตกลงผู้ประมวลผลข้อมูล
ประเด็นที่สามคือเมื่อกล้องถูกเข้าถึงโดยไม่ได้รับอนุญาตและภาพรั่ว มาตรา 37 (4) ให้ผู้ควบคุมข้อมูลแจ้งเหตุละเมิดแก่สำนักงานโดยไม่ชักช้าภายใน 72 ชั่วโมงนับแต่ทราบเหตุเท่าที่จะทำได้ เว้นแต่ไม่มีความเสี่ยงต่อสิทธิและเสรีภาพของบุคคล ขั้นตอนอยู่ใน คู่มือแจ้งเหตุภายใน 72 ชั่วโมง และเรื่องมาตรฐานขั้นต่ำที่คณะกรรมการประกาศไว้ อ่านในบทความ รายการตรวจมาตรฐานความมั่นคงปลอดภัยขั้นต่ำ
ตรวจกล้องของตัวเองวันนี้ใช้เวลาเท่าไร และต้องดูอะไร?
ผู้เขียนประมาณว่าใช้เวลาราวครึ่งชั่วโมงถึงหนึ่งชั่วโมงสำหรับกล้องไม่เกินสิบตัว เป็นการประมาณของผู้เขียน ไม่ใช่ตัวเลขจากแนวปฏิบัติ รายการข้างล่างเรียงจากสิ่งที่ปิดช่องเสี่ยงได้เร็วที่สุด
- ล็อกอินเข้าทุกอุปกรณ์ด้วยรหัสที่ช่างให้มา ถ้ายังเป็นรหัสที่มากับเครื่องหรือรหัสที่คนทั่วไปเดาได้ ให้เปลี่ยนทันทีและจดว่าใครเก็บรหัสใหม่
- เปิดหน้าบริหารของเราเตอร์ ดู Port Forwarding และ UPnP ลบกฎที่ชี้ไปที่กล้องหรือเครื่องบันทึกถ้าไม่มีเหตุผลรองรับ
- ถามช่างหรือดูในแอปว่าใช้ P2P หรือคลาวด์ของผู้ผลิตหรือไม่ แล้วไล่คำถามในตาราง 8 ประเด็น
- เปิด MFA ที่บัญชีเจ้าของระบบและอีเมลกู้บัญชี เมื่อบริการรองรับ
- ดูรายชื่อบัญชีที่ดูกล้องได้ ปิดบัญชีแขก บัญชีที่ไม่ใช้ และบัญชีของคนที่ออกไปแล้ว
- ตรวจมือถือที่ติดตั้งแอปดูกล้อง ต้องมี Screen Lock ใช้ระบบปฏิบัติการที่ยังอัปเดต และไม่เก็บภาพไว้ในแกลเลอรี
- ตรวจว่ามีลิงก์แชร์สาธารณะค้างอยู่หรือไม่ ถ้ามีและไม่มีเหตุผลที่ต้องใช้ ให้ปิด
ไม่ผ่านทั้งข้อ 1 และข้อ 2 ของข้อ 3.1 พร้อมกัน ควรเปลี่ยนรหัสและย้ายไปทางที่อนุมัติทันที
ตรงกับข้อ 3.3.3.4 ที่ให้กำกับ P2P เหมือนช่องทางระยะไกลอื่นและประเมินจากสถาปัตยกรรมจริง
ข้อ 5.1.1 ไม่ควรเปิดการแชร์แบบสาธารณะหรือไม่ต้องพิสูจน์ตัวตนโดยไม่มีเหตุผลและการควบคุมที่เหมาะสม
ข้อ 3.3.4.2 ให้ปิดบริการชั่วคราวที่ใช้ระหว่างติดตั้งหรือบำรุงรักษาเมื่อสิ้นสุดงาน เป็นพึงปฏิบัติที่ระดับ B
ข้อ 5.1.1 ไม่ควรบันทึกภาพหรือข้อมูล CCTV ลงพื้นที่ส่วนบุคคลโดยไม่จำเป็น ภาพไปอยู่นอกการควบคุมของร้าน
คำถามที่พบบ่อย
ดูกล้องจากมือถือผ่านแอปของผู้ผลิตปลอดภัยไหม?
แนวปฏิบัติ สกมช. ข้อ 3.3.3.4 ไม่ตัดสินจากชื่อเทคโนโลยี ให้ประเมินจากสถาปัตยกรรม การควบคุม และความเสี่ยงจริง และให้กำกับเหมือนช่องทางเข้าถึงระยะไกลอื่น ก่อนใช้ควรตอบ 8 ประเด็น เช่น ข้อมูลอะไรถูกส่งออก เซิร์ฟเวอร์อยู่ที่ใด และรองรับ MFA หรือไม่
ถ้าแค่เปลี่ยนรหัสผ่านโรงงาน พอหรือยัง?
ยังไม่พอ รหัสผ่านเป็นด่านแรกเท่านั้น ข้อ 3.1 ยังให้ไม่เปิดกล้องสู่อินเทอร์เน็ตโดยตรงโดยไม่จำเป็น ติดตามการปรับปรุงเฟิร์มแวร์ และใช้ MFA กับบัญชีสิทธิสูงเมื่อระบบรองรับ แนวปฏิบัติยังไม่ต้องการรหัสยาวกี่ตัวอักษรตายตัว แต่ให้ลดการพึ่งรหัสผ่านเพียงปัจจัยเดียว
ทำตามแนวปฏิบัติ สกมช. แล้วถือว่าทำตาม PDPA มาตรา 37 ครบไหม?
ไม่อาจสรุปอย่างนั้นได้ แนวปฏิบัติเป็นข้อเสนอแนะ ไม่มีสภาพบังคับใช้ ส่วนมาตรา 37 (1) กำหนดให้มีมาตรการที่เหมาะสมและเป็นไปตามมาตรฐานขั้นต่ำที่คณะกรรมการประกาศ การทำตามแนวปฏิบัติพร้อมหลักฐานช่วยอธิบายว่ามีมาตรการอะไร แต่ผลทางกฎหมายตัดสินเป็นรายกรณี
ปิดไม่ให้ดูจากนอกบ้านเลยดีที่สุดไหม?
ในแง่ความเสี่ยง ใช่ เพราะไม่มีช่องทางภายนอกให้ใครลอง แต่ถ้าธุรกิจต้องดูจากข้างนอก ให้เลือกทางที่กำกับได้ตามตารางตัดสินใจ แนวปฏิบัติไม่ได้ห้ามการเข้าถึงจากระยะไกล แค่ให้ทำผ่านช่องทางที่ได้รับอนุมัติและมีมาตรการ
พนักงานดูกล้องจากมือถือส่วนตัวได้ไหม?
แนวปฏิบัติข้อ 5.1.1 ไม่ได้ห้าม แต่ให้ใช้บัญชีรายคน จำกัดสิทธิ ตั้ง Screen Lock ใช้ระบบปฏิบัติการที่ยังอัปเดต ไม่บันทึกภาพลงเครื่องโดยไม่จำเป็น และยกเลิก Session ได้เมื่อเครื่องหาย ร้านควรกำหนดเรื่องนี้เป็นลายลักษณ์อักษรกับพนักงาน
ต้องใช้ VPN ไหมถ้าอยากดูกล้องจากข้างนอก?
แนวปฏิบัติไม่ได้ระบุ VPN โดยชื่อ ใช้คำว่าช่องทางที่ได้รับอนุมัติ การใช้ VPN ที่ผู้ดูแลตั้งเองเป็นทางหนึ่งที่ผู้เขียนเห็นว่าเข้ากับแนวคิดนี้ แต่ต้องมีผู้ดูแลต่อเนื่อง และ VPN ก็ต้องมีรหัสผ่านที่ดีและ MFA เช่นกัน
ตัวบทและแหล่งอ้างอิง
- แนวปฏิบัติการรักษาความมั่นคงปลอดภัยระบบกล้องโทรทัศน์วงจรปิดสำหรับประเทศไทย เวอร์ชัน 1.0.0 (สกมช. · แนวปฏิบัติ ไม่ใช่กฎหมาย) — คำนำ · ข้อ 3.3.3 · ข้อ 3.3.3.1–3.3.3.4 · ข้อ 3.3.4 · ข้อ 3.4.1 · ข้อ 3.4.3 · ข้อ 3.4.4 · ข้อ 5.1.1
- พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — มาตรา 37 (1) (2) (4)
ตัวบทที่ยกมาในกรอบ "ตัวบท" คัดคำต่อคำจากคลังกฎหมายของ AIPDPA ซึ่งถอดจากราชกิจจานุเบกษาและเอกสารของหน่วยงานรัฐ แล้วระบบตรวจทุกครั้งที่แก้บทความว่าตรงกับคลังทุกตัวอักษร · บทความนี้เป็นความรู้ทั่วไป ไม่ใช่คำปรึกษากฎหมายสำหรับกรณีใดกรณีหนึ่ง
ลงมือในระบบได้ที่
ใครรับผิดชอบเนื้อหานี้?
เรียบเรียงโดยทีมกฎหมาย AIPDPA · ผู้รับผิดชอบเนื้อหา ภูวรา ครอบตะคุ ทนายความ · เนติบัณฑิตไทย · ที่ปรึกษากฎหมายเทคโนโลยีและทรัพย์สินทางปัญญา
ใบอนุญาตทนายความ 477/2558 · เนติบัณฑิตไทย · นิติศาสตรมหาบัณฑิต กฎหมายทรัพย์สินทางปัญญาและสารสนเทศ (เหรียญทอง)