กล้องวงจรปิดของคุณอยู่ระดับ B, E หรือ H? วิธีจัดระดับ

เจ้าของร้านจำนวนมากที่เปิดแนวปฏิบัติกล้องวงจรปิดของ สกมช. จะเจอตัวอักษรสามตัวตั้งแต่ต้นเล่ม คือ B, E และ H แล้วสงสัยทันทีว่าระบบของตัวเองอยู่ระดับไหน และถ้าอยู่ระดับสูงแปลว่าเข้าข่ายอะไรหรือเปล่า

คำตอบสั้นคือ ระดับนี้เจ้าของระบบเป็นคนประเมินเอง ตามขั้นตอนในข้อ 2.1 ของเล่มทั่วไป และผลที่ได้ใช้บอกว่าควรเลือกมาตรการเข้มแค่ไหน ไม่ได้บอกว่าองค์กรเป็นอะไรตามกฎหมาย บทความนี้ไล่ข้อ 2.1 ทีละท่อน ตั้งแต่เหตุผล ระดับ ปัจจัย ไปจนถึงแบบประเมินตนเอง แล้วลองจัดระดับให้ร้านกาแฟ โรงงาน และคอนโดที่สมมติขึ้น

ภาพรวมของแนวปฏิบัติสองเล่มและวิธีเลือกอ่านอยู่ใน บทความแผนที่แนวปฏิบัติ สกมช. ถ้ายังไม่เคยเปิดเอกสารเลย อ่านบทความนั้นก่อนแล้วค่อยมาที่นี่ก็ได้

ทำไมแนวปฏิบัติต้องแบ่งระบบกล้องเป็นสามระดับ?

เพราะระบบกล้องแต่ละที่ต่างกันมากทั้งวัตถุประสงค์ ข้อมูล การเชื่อมต่อ และความเสียหายที่อาจเกิด ข้อ 2.1.1 บอกว่าการใช้มาตรการเท่ากันทุกระบบไม่เหมาะ เพราะถ้าเข้มเกินไปก็เพิ่มต้นทุนและอาจกระทบการใช้งาน ถ้าไม่พอก็ป้องกันและรับมือภัยคุกคามไม่ได้

ข้อ 2.1.2 จึงแบ่งเป็นสามระดับ และบอกลักษณะของระบบในแต่ละระดับ ตารางข้างล่างเรียบเรียงเป็นถ้อยคำของเรา

ระดับสูงไม่ได้แปลว่าต้องซื้อของแพงเสมอไป เอกสารเขียนไว้ชัดในท้ายข้อ 2.1.2

ตัวอย่างที่เห็นภาพ ระดับ E ต่างจาก B ตรงที่มาตรการบางข้อเลื่อนจาก “ควรพิจารณา” เป็น “พึงปฏิบัติ” เช่น การใช้ MFA กับบัญชีสิทธิสูงและการเข้าถึงจากระยะไกล ซึ่งข้อ 3.1 ของเล่มทั่วไปให้ B ควรพิจารณา และให้ E กับ H พึงปฏิบัติ การเลื่อนระดับจึงมักหมายถึงทำให้เป็นระบบและเก็บหลักฐานมากขึ้น ไม่ได้หมายถึงเปลี่ยนกล้อง

ระดับของระบบตัดสินจากปัจจัยอะไร?

ตัดสินจากผลกระทบและบริบทของระบบทั้งชุด ตามอย่างน้อย 4 มิติในข้อ 2.1.3 ไม่ใช่จากปัจจัยเดียว

เรื่องที่คนมักพลาดคือเอาประเภทของสถานที่มาเป็นคำตอบ เช่น ร้านเล็กต้องเป็น B โรงพยาบาลต้องเป็น H เอกสารปิดทางนี้ไว้

นอกจากสี่มิติ ข้อ 2.1.3 ยังมีตารางปัจจัยเพิ่มเติมที่ทำให้องค์กรอาจ “ยกระดับมาตรการ” ได้ตามความเหมาะสม ได้แก่ กล้องที่เชื่อมหรือหนุนระบบหรือภารกิจสำคัญอื่น ระบบที่เปิดรับจากภายนอก (หันหน้าเข้าอินเทอร์เน็ตหรือมีทางเข้าระยะไกล) ผู้ให้บริการ ผู้รับจ้าง หรือผู้ผลิตที่เข้าถึงระบบได้ ข้อมูลปริมาณมากหรือมีการเชื่อมโยงหลายระบบ ประวัติเหตุการณ์หรือช่องโหว่ที่เกี่ยวข้อง และข้อกำหนดเฉพาะ เช่น กฎหมาย หน่วยกำกับ หรือสัญญา

เอกสารสรุปหลักไว้ประโยคเดียวว่า ให้ประเมินผลกระทบของระบบ ไม่ใช่จัดระดับจากชื่อ ประเภท หรือขนาดของสถานที่

แบบประเมินตนเองในข้อ 2.1.4 ใช้อย่างไร?

ให้ให้คะแนนแต่ละมิติเป็น ต่ำ ปานกลาง หรือสูง แล้วอ่านผลตามหลักแปลผลท้ายตาราง ตารางข้างล่างสรุปความหมายของแต่ละช่องตามเอกสาร

ส่วนการแปลผล เอกสารเขียนเป็นข้อ ๆ สามข้อ คือถ้าทุกมิติต่ำเป็นหลักให้เริ่มพิจารณาจาก B ถ้ามีมิติปานกลางตั้งแต่หนึ่งมิติขึ้นไปให้พิจารณา E และถ้ามีมิติสำคัญระดับสูง โดยเฉพาะความปลอดภัยของบุคคล ภารกิจสำคัญ หรือผลกระทบด้านข้อมูล ให้พิจารณา H

สังเกตว่าเป็นการ “พิจารณา” ไม่ใช่สูตรคำนวณ ตัวเลขกลาง ๆ ไม่มีบทบาท และเอกสารห้ามใช้ค่าเฉลี่ยมาลบมิติที่สูง

จุดสุดท้ายในประโยคนั้นคือ บันทึกเหตุผล ซึ่งเป็นสิ่งที่ควรทำทุกระดับ เพราะผู้ตรวจหรือคู่ค้าจะถามว่าทำไมเลือกระดับนี้ ใบประเมินหน้าเดียวที่มีวันที่ ผู้ประเมิน ผู้อนุมัติ คะแนนสี่มิติ ระดับที่เลือก และเหตุผล ก็ตอบได้ (รูปแบบใบประเมินเป็นข้อเสนอของเรา ไม่ได้อยู่ในเอกสาร)

ใครเป็นคนกำหนดระดับ ผู้ติดตั้งหรือเจ้าของ?

เจ้าของระบบ ข้อ 2.1.5 ให้เหตุผลว่าเป็นคนที่รู้วัตถุประสงค์ ผลกระทบ และข้อกำหนดที่เกี่ยวข้อง

ในทางปฏิบัติ นี่หมายความว่าอย่าปล่อยให้ผู้ขายเป็นคนบอกว่าร้านคุณ “ระดับ B ก็พอ” ให้ผู้ติดตั้งถามคุณก่อนออกแบบว่าระดับที่คุณประเมินคืออะไร และใช้ตัวเลขนั้นเป็นข้อกำหนดทางเทคนิค ถ้าธุรกิจเล็กและไม่มีใครทำเอง ให้คนหนึ่งคนรับหลายบทบาทได้ แต่ควรบอกได้ว่าใครกำหนด ใครอนุมัติ ใครทำ ใครตรวจ และใครรับผิดชอบเมื่อเกิดเหตุ

ร้านกาแฟ โรงงาน และคอนโดสมมติ ควรอยู่ระดับไหน?

ตัวอย่างข้างล่างสมมติขึ้นทั้งหมด ใช้เพื่อดูวิธีคิดตามตารางข้อ 2.1.4 จุดเดียวที่ทำให้คำตอบเปลี่ยนคือรายละเอียดของระบบ ไม่ใช่ชื่อประเภทกิจการ

ตัวอย่างสมมติ 1: ร้านกาแฟ 1 สาขา

สมมติว่าร้านมีกล้อง 4 ตัว เครื่องบันทึกอยู่หลังเคาน์เตอร์ เจ้าของดูผ่านแอปบนมือถือที่เชื่อมกับบริการของผู้ผลิต ไม่มีไมค์ ไม่มี AI ภาพที่เห็นคือลูกค้าไม่กี่สิบคนต่อวัน ถ้ากล้องดับ ร้านยังขายต่อได้

ภารกิจ ข้อมูล และผลกระทบเมื่อถูกโจมตี น่าจะอยู่ช่องต่ำ แต่การดูผ่านแอปจากนอกร้านเข้านิยาม “เข้าถึงจากระยะไกล” ของช่องปานกลางในมิติการเชื่อมต่อ จึงเข้าหลัก “มีมิติปานกลางหนึ่งมิติ ให้พิจารณา E” ในทางปฏิบัติคือเริ่มจากชุด B แต่ยกเรื่องการเข้าจากระยะไกลขึ้นเป็นระดับ E คือเปลี่ยนรหัสเริ่มต้น เปิด MFA ถ้าแอปรองรับ และไม่เปิดพอร์ตตรงจากอินเทอร์เน็ต ดูรายละเอียดใน บทความเรื่องแอปและบริการ P2P

ตัวอย่างสมมติ 2: โรงงานชิ้นส่วนโลหะ

สมมติว่าโรงงานมีกล้อง 60 ตัว ในจำนวนนี้ 8 ตัวส่องเครื่องปั๊มและจุดที่พนักงานเสี่ยงอันตราย หัวหน้ากะใช้ภาพสดตัดสินใจหยุดเครื่อง ระบบจัดการวิดีโอต่ออยู่กับเครือข่ายโรงงาน และมีผู้รับเหมาเข้ามาดูแลจากระยะไกล

มิติภารกิจน่าจะสูง เพราะภาพเกี่ยวข้องกับความปลอดภัยของคน มิติการเชื่อมต่อน่าจะสูง เพราะต่อหลายระบบและมีบุคคลภายนอกเข้าถึง เมื่อมีมิติสำคัญระดับสูง เอกสารให้พิจารณา H และห้ามเอามิติต่ำอย่างข้อมูลมาเฉลี่ยลด ลองสมมติต่อว่ากล้องของโรงงานเดียวกันนี้ส่องแค่ประตูรั้วและโกดัง ไม่มีใครใช้ภาพตัดสินความปลอดภัย และแยกจากเครือข่ายผลิต ผลก็จะเลื่อนลงมาที่ E หรือ B ได้ ซึ่งแสดงว่าคำว่า “โรงงาน” อย่างเดียวบอกอะไรไม่ได้

ตัวอย่างสมมติ 3: คอนโด 400 ห้อง

สมมติว่ามีกล้อง 120 ตัวที่ลิฟต์ ลานจอด และทางเดิน ศูนย์ควบคุมของบริษัทรักษาความปลอดภัยดูภาพสด ผู้ติดตั้งเข้ามาตั้งค่าจากระยะไกล และเก็บภาพสำรองบนคลาวด์ ไม่มี AI ไม่ได้เชื่อมกับระบบคีย์การ์ดหรือลิฟต์

ภาพมีผู้พักอาศัยจำนวนมากและบันทึกการเข้าออกของคนใกล้ห้องพัก มิติข้อมูลจึงอยู่ปานกลาง ส่วนการเชื่อมต่อก็ปานกลางเพราะมีทั้งทางระยะไกลและคลาวด์ ผลกระทบเมื่อถูกโจมตีกระทบการรักษาความปลอดภัยของอาคาร จุดเริ่มพิจารณาจึงน่าจะเป็น E และถ้าต่อมาเชื่อมกล้องกับคีย์การ์ดหรือใช้ภาพเป็นตัวตัดสินสิทธิเข้าพื้นที่ มิติเชื่อมต่อและผลกระทบอาจขยับขึ้นสูง จนต้องพิจารณา H

เมื่อกำหนดระดับแล้ว ขั้นต่อไปคือเลือกมาตรการจากตารางของแต่ละหัวข้อในเล่ม ซึ่งแสดงสถานะ “พึงปฏิบัติ” หรือ “ควรพิจารณา” แยกตามระดับ B, E, H ในทุกบรรทัด ถ้าระบบมีบางส่วนที่สำคัญกว่าส่วนอื่น เช่น กล้องหน้าเครื่องจักร เอกสารให้พิจารณามาตรการของแต่ละองค์ประกอบตามบทบาทของมันในระบบและระดับของระบบโดยรวม (ข้อ 1.2)

ระดับ B, E, H เท่ากับการจัดชั้น CII หรือหน้าที่ตามกฎหมายหรือไม่?

ไม่เท่า เอกสารเขียนแยกไว้อย่างชัดเจนในข้อ 2.1.2 ว่าการจำแนกนี้ไม่ใช่การจัดประเภทองค์กรตามกฎหมาย และไม่ใช่การจำแนกโครงสร้างพื้นฐานสำคัญทางสารสนเทศ

แปลว่าองค์กรที่ประเมินตัวเองเป็น H ไม่ได้กลายเป็นหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศโดยอัตโนมัติ และองค์กรที่เป็น CII ตามกฎหมายไซเบอร์ก็ไม่ได้แปลว่ากล้องทุกตัวต้องอยู่ระดับ H วิธีดูว่าเข้าข่าย CII หรือไม่ต้องดูตามกฎหมายไซเบอร์ ซึ่งอธิบายไว้ใน บทความเรื่ององค์กรของคุณเป็นโครงสร้างพื้นฐานสำคัญหรือไม่

ข้อ 1.2 ของเล่มทั่วไปบอกอีกชั้นว่า ระดับที่ประเมินไม่ได้ลดหน้าที่ตามกฎหมายขององค์กร

ตัวอย่างหน้าที่ตามกฎหมายที่ไม่ขึ้นกับระดับ คือ PDPA มาตรา 37 (1) ที่กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลต้องจัดมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม ร้านที่ได้ระดับ B ตามการประเมินของตัวเอง ก็ยังต้องให้มาตรการของตนเหมาะสมกับข้อมูลที่ถืออยู่ตามมาตรานี้

ดังนั้นอย่านำผลระดับ B/E/H ไปเขียนในเอกสารเป็นการยืนยันว่า “องค์กรปฏิบัติตามกฎหมายแล้ว” ให้เขียนตามจริงว่าเป็นผลการประเมินตามแนวปฏิบัติ สกมช. เพื่อเลือกความเข้มของมาตรการ

ถ้ากล้องมี AI ต้องจัดระดับต่างออกไปไหม?

ต่างตรงที่เล่ม AI ใช้สามมิติ แทนที่จะเป็นสี่ และเพิ่มมิติผลกระทบจากการใช้ AI รวมถึงปัจจัยที่ทำให้ผลกระทบขยาย (ข้อ 3.1 ของเล่ม AI) ไม่ควรใช้มิติใดมิติหนึ่งแทนกัน

เล่ม AI ยกตัวอย่างว่าระบบอาจไม่ใช่ระบบภารกิจสำคัญ แต่ประมวลผลข้อมูลชีวมิติที่มีผลกระทบสูง หรืออาจไม่มีข้อมูลชีวมิติเลย แต่ผลของ AI ถูกใช้ควบคุมการเข้าออกพื้นที่สำคัญ ซึ่งก็ทำให้ผลกระทบสูงได้ ถ้าระบบของคุณมีฟังก์ชัน AI ให้ทำตามข้อ 3.1 ของเล่ม AI ต่อจากข้อ 2.1 ของเล่มทั่วไป ดูภาพรวมได้ใน บทความแผนที่แนวปฏิบัติ

ใครรับผิดชอบเนื้อหานี้?

เรียบเรียงโดยทีมกฎหมาย AIPDPA · ผู้รับผิดชอบเนื้อหา ภูวรา ครอบตะคุ ทนายความ · เนติบัณฑิตไทย · ที่ปรึกษากฎหมายเทคโนโลยีและทรัพย์สินทางปัญญา

ใบอนุญาตทนายความ 477/2558 · เนติบัณฑิตไทย · นิติศาสตรมหาบัณฑิต กฎหมายทรัพย์สินทางปัญญาและสารสนเทศ (เหรียญทอง)