กล้องวงจรปิดที่ติดแล้ว ทำ 7 ข้อให้ปลอดภัยได้ในหนึ่งสัปดาห์

สมมติว่าร้านของคุณติดกล้องสี่ตัวมาสองปีแล้ว ช่างตั้งให้ดูผ่านมือถือได้ตั้งแต่วันติดตั้ง หลังจากนั้นไม่มีใครแตะการตั้งค่าอีกเลย วันนี้ลองตอบสามข้อ รหัสผ่านของเครื่องบันทึกถูกเปลี่ยนจากค่าที่มากับเครื่องหรือยัง กล้องเปิดออกอินเทอร์เน็ตอยู่หรือเปล่า และภาพถูกเก็บไว้กี่วัน

ถ้าตอบไม่ได้แม้แต่ข้อเดียว แปลว่ามีงานต้องทำ และงานนี้ไม่ต้องรอช่างใหม่หรือซื้อเครื่องใหม่ สำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (สกมช.) ออกแนวปฏิบัติเล่มทั่วไปเมื่อ 29 กันยายน 2569 และในข้อ 3.1 มีรายการ 7 ข้อไว้สำหรับคนที่ยังทำทุกมาตรการพร้อมกันไม่ได้

บทความนี้อ่านข้อ 3.1 แล้วเรียงเป็นแผนหนึ่งสัปดาห์ ส่วนเรื่องป้ายแจ้ง ฐานทางกฎหมาย และการให้ภาพตำรวจ มีอยู่แล้วในบทความ ติดกล้องวงจรปิดในออฟฟิศ ร้าน คอนโด ต้องทำอะไรตาม PDPA ที่นี่จึงเน้นฝั่งความมั่นคงปลอดภัยของตัวระบบ

ข้อ 3.1 ของแนวปฏิบัติ สกมช. คืออะไร ใช้กับร้านเล็กได้ไหม?

คือรายการเริ่มต้นสั้น ๆ 7 ข้อ เขียนไว้สำหรับองค์กรที่อยากลดความเสี่ยงสำคัญก่อน เพราะยังทำมาตรการทั้งบทไม่ได้ในคราวเดียว แนวปฏิบัติเรียกว่า Quick Start และบอกชัดว่าไม่ได้ใช้แทนการประเมินความเสี่ยง

ตารางในข้อ 3.1 มีสามคอลัมน์ระดับ คือ B (พื้นฐาน) E (เพิ่มเติม) และ H (ความเชื่อมั่นสูง) ร้านค้าขนาดเล็กที่ไม่มีทีมไอทีส่วนใหญ่จะเริ่มอ่านที่คอลัมน์ B แต่ต้องระวังอย่างหนึ่ง แนวปฏิบัติไม่ได้ผูกระดับกับขนาดร้าน

ข้อ 1.5 เขียนว่าระดับต้องมาจากบริบทและผลประเมินความเสี่ยงโดยรวม ไม่ใช่จากปัจจัยเดียว เช่น ประเภทองค์กรหรือขนาด และข้อ 2.1.3 ย้ำว่าระบบ CCTV ขนาดเล็กที่สนับสนุนภารกิจสำคัญอาจต้องเข้มกว่าระบบใหญ่ที่ผลกระทบจำกัด ร้านทองที่มีกล้องสามตัวจึงไม่ควรตัดสินตัวเองเป็นระดับ B เพียงเพราะร้านเล็ก

อีกคำที่ต้องอ่านให้ตรง คือ “พึงปฏิบัติ” กับ “ควรพิจารณา” ตามข้อ 1.5 พึงปฏิบัติคือมาตรการหลักที่แนะนำสำหรับระดับนั้น ถ้าเลือกวิธีอื่นควรอธิบายเหตุผลได้ ส่วนควรพิจารณาคือมาตรการเพิ่มเติมที่เลือกใช้ตามบริบท ทั้งสองคำไม่ใช่ภาษาของกฎหมายที่ใช้สั่งบังคับ

ใต้ตารางมีหมายเหตุถึงบ้านและกิจการขนาดเล็กที่ไม่มีบุคลากรด้านเทคนิคโดยตรง ให้ผู้ติดตั้งหรือผู้ให้บริการตั้งค่าความปลอดภัยที่จำเป็นให้เสร็จก่อนส่งมอบ และส่งมอบสิทธิ บัญชี และข้อมูลที่ต้องใช้บริหารระบบให้เจ้าของ ซึ่งแปลว่าร้านเล็กมีสิทธิทวงงานเหล่านี้จากช่างได้

ทำทั้ง 7 ข้อให้เสร็จในหนึ่งสัปดาห์ ต้องเรียงอย่างไร?

ลำดับเลขในแนวปฏิบัติไม่ใช่ลำดับงาน ผู้เขียนจึงเรียงใหม่ตามหลักว่าทำสิ่งที่ปิดช่องเสี่ยงที่สุดก่อน และทำสิ่งที่ต้องคุยกับคนอื่นไว้ทีหลัง ตารางข้างล่างเป็นข้อเสนอของผู้เขียนเอง ไม่ได้มาจากแนวปฏิบัติ และตัวเลขเวลาเป็นการประมาณสำหรับร้านที่มีกล้องไม่เกินสิบตัว ระบบที่ใหญ่กว่านั้นต้องเผื่อเวลาเพิ่ม

รวมแล้วราว 8–14 ชั่วโมงทำงาน ถ้าช่างคนเดิมยังติดต่อได้ ให้นัดครั้งเดียวทำวันที่ 2–4 ต่อเนื่องกัน จะถูกกว่าเรียกมาทีละเรื่อง ถ้าติดต่อช่างไม่ได้ ข้อ 2 และข้อ 4 เป็นส่วนที่เจ้าของทำเองได้ยากที่สุด ควรหาผู้ดูแลเครือข่ายมาช่วยเฉพาะสองข้อนี้

ข้อ 1 และ 2: รหัสผ่านเริ่มต้นกับการเปิดกล้องออกอินเทอร์เน็ต ทำอย่างไร?

เริ่มจากรหัสผ่าน เพราะเป็นข้อที่แนวปฏิบัติเอ่ยถึงตั้งแต่คำนำ โดยยกตัวอย่างความเสี่ยงไว้ว่า เช่น การใช้ข้อมูลยืนยันตัวตนเริ่มต้น หรือรหัสผ่านจากโรงงาน ข้อ 3.1 ขยายต่อเป็นข้อแรกของรายการ และเขียนถึงฝั่งผู้ผลิตด้วย

วิธีทำในร้านจริงคือไล่ทีละอุปกรณ์ กล้อง เครื่องบันทึก (NVR/DVR) หน้าบริหารของเราเตอร์ และแอปที่ผูกกับบัญชีผู้ผลิต แต่ละตัวต้องเปลี่ยนรหัสผ่านที่มากับเครื่อง และไม่ควรใช้รหัสเดียวกันกับหลายตัวโดยไม่มีเหตุผล ซึ่งข้อ 3.4.4 จัดเป็นมาตรการพึงปฏิบัติตั้งแต่ระดับ B

เรื่องการเก็บรหัส ข้อ 3.4.4 บอกให้เก็บด้วยวิธีที่ได้รับการป้องกัน ผู้เขียนเสนอให้ใช้โปรแกรมจัดการรหัสผ่านหรือซองปิดผนึกในตู้ที่ล็อกได้ และจดว่าใครถือไว้ อย่าเขียนรหัสบนกระดาษแปะข้างเครื่องบันทึก เพราะคนที่เข้ามาถึงเครื่องก็เห็นทันที

ข้อ 2 ตามมาทันที เพราะรหัสผ่านที่ดีก็ช่วยไม่ได้มากถ้าหน้าเข้าสู่ระบบของกล้องเปิดให้ทั้งอินเทอร์เน็ตเห็น แนวปฏิบัติให้เลี่ยงการเปิดกล้องหรือส่วนบริหารสู่อินเทอร์เน็ตโดยตรงโดยไม่จำเป็น และถ้าต้องดูจากข้างนอกก็ใช้ช่องทางที่ได้รับอนุมัติ วิธีตรวจเบื้องต้นมีสามอย่าง

1. เข้าหน้าบริหารของเราเตอร์ แล้วดูรายการ Port Forwarding หรือ Virtual Server ถ้ามีกฎที่ชี้ไปยังกล้องหรือเครื่องบันทึก ให้ถามช่างว่าเปิดไว้ทำไม
2. ดูว่า UPnP เปิดอยู่ไหม ตารางข้อ 3.3.4.1 แนะนำให้ปิดเมื่อไม่จำเป็น เพราะอาจเปิดการเชื่อมต่อออกอินเทอร์เน็ตให้อัตโนมัติ
3. ถามช่างว่ามีบริการ P2P หรือคลาวด์ของผู้ผลิตเปิดอยู่หรือไม่ แนวปฏิบัติให้เปิดเฉพาะเมื่อได้รับอนุมัติ และกำกับเหมือนช่องทางเข้าถึงระยะไกลอื่น รายละเอียดอยู่ในบทความ รหัสผ่านโรงงานและการดูกล้องจากนอกบ้าน

ข้อ 3 และ 4: MFA กับการอัปเดตเฟิร์มแวร์ ต้องทำแค่ไหน?

ข้อ 3 เป็นข้อเดียวที่ระดับ B ใช้คำว่า “ควรพิจารณา” แทนพึงปฏิบัติ เพราะ MFA ต้องพึ่งว่าระบบรองรับ ในตารางเขียนว่าใช้กับบัญชีสิทธิสูงและการเข้าถึงจากระยะไกล เมื่อระบบรองรับ ถ้าแอปดูกล้องของคุณมีตัวเลือกยืนยันสองขั้นตอน ให้เปิดที่บัญชีเจ้าของก่อน และเปิดที่อีเมลที่ใช้กู้บัญชีด้วย ไม่ต้องรอให้ถึงระดับ E

ข้อ 4 ฟังง่ายแต่ทำยากกว่าที่คิด ข้อ 3.5.1 อธิบายว่ากล้องมีอายุใช้งานหลายปี ขณะที่ช่องโหว่เปลี่ยนไปเรื่อย ๆ อุปกรณ์ที่ยังทำงานปกติจึงเสี่ยงขึ้นได้ถ้าไม่ได้อัปเดต หรือผู้ผลิตเลิกสนับสนุนแล้ว ระดับ B ได้รับคำว่าพึงปฏิบัติสามเรื่อง ได้แก่ กำหนดผู้รับผิดชอบติดตามการอัปเดต ประเมินความเร่งด่วนจากความรุนแรงและความเสี่ยง และตรวจแหล่งที่มาของเฟิร์มแวร์ก่อนติดตั้ง

ในทางปฏิบัติ ให้จดรุ่นและเวอร์ชันเฟิร์มแวร์ของกล้องกับเครื่องบันทึกทุกตัวลงตารางเดียว แล้วตรวจกับเว็บของผู้ผลิตเท่านั้น อย่าโหลดเฟิร์มแวร์จากลิงก์ที่คนอื่นส่งมา การทำทะเบียนเวอร์ชันและการทบทวนว่าอุปกรณ์หมดการสนับสนุน (EoL/EoS) หรือยัง แนวปฏิบัติจัดเป็นควรพิจารณาที่ระดับ B แต่เป็นพึงปฏิบัติที่ระดับ E เจ้าของร้านทำไว้ตั้งแต่แรกจะไม่เสียเวลา

ถ้าพบว่ากล้องรุ่นเก่ามากและผู้ผลิตไม่ออกอัปเดตแล้ว คำนำของบทที่ 3 บอกว่าไม่จำเป็นต้องเปลี่ยนระบบทั้งหมดในคราวเดียว ให้ประเมินความเสี่ยง จัดลำดับ และพิจารณามาตรการชดเชยหรือแผนทดแทนไปตามระดับความเสี่ยง เรื่องนี้แยกเป็นอีกบทความหนึ่งต่างหาก

ข้อ 5 และ 6: วัตถุประสงค์ ป้าย และระยะเก็บภาพ ต้องกำหนดอะไร?

สองข้อนี้คือจุดที่ความมั่นคงปลอดภัยกับ PDPA มาเจอกัน ข้อ 5 ให้กำหนดวัตถุประสงค์การใช้กล้อง ข้อ 2.3.1 เสนอให้คิดเรียงตามลำดับ คือวัตถุประสงค์ ความจำเป็น พื้นที่ที่ต้องบันทึก ข้อมูลที่จำเป็น ระยะเวลาที่ต้องเก็บ และคนที่ต้องเข้าถึง ซึ่งเป็นการคิดแบบเก็บเท่าที่จำเป็นนั่นเอง

แนวปฏิบัติเตือนด้วยว่า ไม่ควรติดกล้องเพียงเพราะเทคโนโลยีทำได้ ในทางปฏิบัติหมายความว่าให้เปิดภาพสดของกล้องทีละตัว แล้วถามว่ามุมนี้ช่วยเรื่องอะไร ถ้าตอบไม่ได้หรือเห็นพื้นที่ที่ลูกค้าและพนักงานคาดหมายว่าเป็นส่วนตัว ให้ปรับมุมหรือถอด ข้อ 3.2.1.7 ว่าด้วยพื้นที่ที่ไม่ควรติดตั้งหรือควรระวังเป็นพิเศษ

เรื่องป้าย ข้อ 2.3.2 เสนอป้ายเบื้องต้นที่บอกว่ามีการใช้ CCTV วัตถุประสงค์หลัก ชื่อผู้รับผิดชอบ และช่องทางอ่านรายละเอียดเพิ่ม โดยมีประกาศความเป็นส่วนตัวฉบับเต็มรองรับ ส่วนตัวป้ายตามแนว TDPG 4.0 ซึ่งละเอียดกว่านี้ อ่านต่อได้ในบทความเรื่อง PDPA กับกล้องวงจรปิดที่ลิงก์ไว้ข้างต้น ประโยคเตือนสำคัญในข้อ 2.3.2 อยู่ตรงนี้

ข้อ 6 เป็นข้อที่ร้านค้าตอบผิดกันได้ง่าย เพราะเครื่องบันทึกส่วนใหญ่ตั้งให้เขียนทับเองเมื่อดิสก์เต็ม ทำให้ระยะเก็บจริงถูกกำหนดด้วยขนาดดิสก์ แนวปฏิบัติห้ามทางนี้ไว้ตรง ๆ ในข้อ 3.2.3

ในแผนหนึ่งสัปดาห์ วันที่ 6 จึงมีสองขั้น ขั้นแรกคือตัดสินใจว่าจะเก็บกี่วันและเขียนเหตุผลสั้น ๆ ไว้ เช่น ร้านรู้ว่ามีของหายหรือมีเรื่องทะเลาะภายในไม่กี่วัน ขั้นที่สองคือไปดูที่เครื่องบันทึกว่าภาพย้อนหลังที่มีอยู่จริงตรงกับตัวเลขนั้นหรือเปล่า การตรวจค่าที่ตั้งจริงเทียบนโยบายเป็นมาตรการควรพิจารณาที่ระดับ B ข้อนี้ผู้เขียนแนะนำให้ทำเลย

แนวปฏิบัติยังให้นับถึงสำเนาที่อื่น เช่น คลาวด์ ข้อมูลสำรอง และไฟล์ที่ส่งออกมา ไม่ใช่แค่ในเครื่องบันทึก และให้มีวิธีระงับการลบชั่วคราวเมื่อเหตุนั้นต้องเก็บภาพต่อ เช่น เมื่อแจ้งความแล้ว ทั้งสองข้อเป็นควรพิจารณาที่ระดับ B ในส่วนของกฎหมาย PDPA มีหน้าที่ที่ตรงกันอยู่ในมาตรา 37 (3)

ข้อ 7: ใครต้องรับผิดชอบเมื่อเกิดเหตุ ในร้านที่มีคนไม่กี่คน?

ข้อ 7 ขอสามอย่าง คือคนรับผิดชอบระบบ ช่องทางรายงานเหตุ และผู้มีอำนาจตัดสินใจเมื่อมีเหตุผิดปกติ ร้านเล็กไม่ต้องตั้งแผนก ข้อ 2.1.5 ยอมรับตรง ๆ ว่าคนคนเดียวสวมหลายบทบาทได้ แต่ต้องตอบคำถามห้าข้อได้

แผ่นกระดาษหนึ่งแผ่นที่ตอบห้าคำถามนี้ ติดไว้ใกล้เครื่องบันทึกหรือเก็บในแฟ้มของร้านก็เพียงพอสำหรับวันแรก ในแผ่นเดียวกันควรมีเบอร์ช่อง ผู้ให้บริการอินเทอร์เน็ต และผู้ผลิตหรือตัวแทนจำหน่ายกล้อง เพราะเมื่อเหตุเกิดจริงคนมักเสียเวลากับการหาเบอร์

ข้อ 3.6.3 วางขั้นตอนตอบสนองไว้ 6 ขั้น คือจำกัดเหตุ ประเมินเหตุ แก้สาเหตุ กู้คืน รายงานและสื่อสาร และทบทวน ที่ระดับ B มีสี่เรื่องเป็นพึงปฏิบัติ ได้แก่ กำหนดผู้รับผิดชอบและช่องทางแจ้งเหตุ แยกหรือจำกัดอุปกรณ์ที่สงสัยว่าถูกโจมตี เพิกถอนรหัสผ่านหรือสิทธิที่เกี่ยวข้อง และรายงานตามกฎหมายหรือข้อกำหนดที่ใช้บังคับ สำหรับร้านเล็ก หมายถึงถอดสายเครือข่ายของอุปกรณ์ที่ผิดปกติ แล้วเปลี่ยนรหัสผ่านจากอุปกรณ์เครื่องอื่นที่ปลอดภัย

แนวปฏิบัติยังเตือนให้เก็บบันทึกเหตุการณ์และหลักฐานก่อนรีเซ็ตอุปกรณ์เมื่อทำได้ ถ้าเหตุเกี่ยวกับข้อมูลส่วนบุคคลรั่วไหล ผู้ควบคุมข้อมูลต้องเปิดดูหน้าที่ตามมาตรา 37 (4) ของ PDPA เรื่องแจ้งเหตุโดยไม่ชักช้าภายใน 72 ชั่วโมงนับแต่ทราบเหตุเท่าที่กระทำได้ เว้นแต่ไม่มีความเสี่ยงต่อสิทธิและเสรีภาพของบุคคล ดูขั้นตอนทั้งหมดใน คู่มือแจ้งเหตุละเมิดข้อมูลภายใน 72 ชั่วโมง

แนวปฏิบัติแนะนำ กับหน้าที่ตาม PDPA ต่างกันอย่างไร?

ต่างกันที่ผลของการไม่ทำ แนวปฏิบัติ สกมช. ไม่มีสภาพบังคับใช้ ส่วนหน้าที่ใน PDPA เป็นกฎหมาย ผู้ควบคุมข้อมูลส่วนบุคคลต้องทำตามเมื่อกล้องบันทึกภาพที่ระบุตัวคนได้ ตารางข้างล่างวางทั้งสองฝั่งคู่กันต่อ 7 ข้อ เพื่อให้เห็นว่าข้อไหนมีกฎหมายหนุนหลัง ข้อไหนเป็นเพียงวิธีทำที่ดี

ข้อควรระวังคือ PDPA ไม่ได้เขียนรายการมาตรการความปลอดภัยเป็นข้อ ๆ มาตรา 37 (1) กำหนดให้มี “มาตรการที่เหมาะสม” และให้เป็นไปตามมาตรฐานขั้นต่ำที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศ จึงพูดไม่ได้ว่ากฎหมายสั่งให้เปิด MFA หรืออัปเดตเฟิร์มแวร์ ถ้ากล้องของร้านรั่วไหลแล้วต้องชี้แจงต่อ สคส. การทำตามแนวปฏิบัติ สกมช. พร้อมหลักฐานเป็นข้อมูลที่ช่วยอธิบายว่าร้านมีมาตรการอะไร ผลทางกฎหมายยังตัดสินเป็นรายกรณี

เรื่องที่ PDPA ขอนอกเหนือจาก 7 ข้อ เช่น การให้ภาพแก่ตำรวจ การตอบคำขอใช้สิทธิดูภาพของตัวเอง และการทำบันทึกรายการตามมาตรา 39 อยู่ในบทความ PDPA กับกล้องวงจรปิด ส่วนมาตรฐานขั้นต่ำด้านความปลอดภัยที่คณะกรรมการประกาศ ดูรายการตรวจได้ใน บทความเรื่องมาตรฐานความมั่นคงปลอดภัยขั้นต่ำ

ทำครบหนึ่งสัปดาห์แล้ว ต้องทำอะไรต่อ และพลาดอะไรได้บ้าง?

ต่อไปคือทำให้เป็นกิจวัตร แนวปฏิบัติบอกว่าความถี่ของการทบทวนสิทธิควรสัมพันธ์กับความเสี่ยงและจำนวนคนที่เปลี่ยน ไม่ต้องใช้รอบเวลาเดียวกันทุกระบบ ผู้เขียนเสนอให้ร้านเล็กนัดตัวเองทุกสามเดือนเพื่อไล่ตารางที่จดไว้ในสัปดาห์แรก คือรายการอุปกรณ์ เวอร์ชันเฟิร์มแวร์ รายชื่อคนที่ดูภาพได้ และค่าระยะเก็บ และทบทวนทันทีเมื่อเปลี่ยนช่างหรือพนักงานที่รู้รหัสลาออก ข้อหลังนี้ตรงกับมาตรการเพิกถอนสิทธิเมื่อพ้นหน้าที่ในข้อ 3.4.3

ใครรับผิดชอบเนื้อหานี้?

เรียบเรียงโดยทีมกฎหมาย AIPDPA · ผู้รับผิดชอบเนื้อหา ภูวรา ครอบตะคุ ทนายความ · เนติบัณฑิตไทย · ที่ปรึกษากฎหมายเทคโนโลยีและทรัพย์สินทางปัญญา

ใบอนุญาตทนายความ 477/2558 · เนติบัณฑิตไทย · นิติศาสตรมหาบัณฑิต กฎหมายทรัพย์สินทางปัญญาและสารสนเทศ (เหรียญทอง)