สกมช. ออกแนวปฏิบัติกล้องวงจรปิด 2 เล่ม อ่านเล่มไหนก่อน

ปลายเดือนกันยายน 2569 สำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (สกมช.) เผยแพร่แนวปฏิบัติเรื่องกล้องวงจรปิดออกมาสองเล่มพร้อมกัน เล่มแรกว่าด้วยระบบกล้องทั่วไป หนา 163 หน้า เล่มที่สองว่าด้วยกล้องที่ใช้ AI หนา 112 หน้า ทั้งสองเล่มเป็นฉบับ 1.0.0 ลงวันที่ 29 กันยายน 2569

คนที่เปิดไฟล์ครั้งแรกมักถามตรงกันว่า ต้องอ่านครบทั้งสองเล่มไหม ตัวเองเป็นร้านค้าเล็ก ๆ ต้องทำตามทุกข้อหรือเปล่า และถ้าไม่ทำจะผิดกฎหมายหรือไม่ บทความนี้เป็นแผนที่ตอบสามข้อนั้น โดยอ่านจากเอกสารทั้งสองเล่มโดยตรง ไม่ได้สรุปจากข่าว

ส่วนเรื่องที่ติดกล้องแล้วต้องทำอะไรตาม PDPA เช่น ป้ายแจ้ง ระยะเก็บภาพ และการให้ภาพตำรวจ มีอยู่แล้วใน บทความเรื่องกล้องวงจรปิดในที่ทำงาน บทความนี้จึงไม่ซ้ำเรื่องนั้น แต่มองจากฝั่งความมั่นคงปลอดภัยของตัวระบบ คือรหัสผ่าน การเข้าถึงจากภายนอก การอัปเดต ผู้รับเหมา และการจัดซื้อ

แนวปฏิบัติกล้องวงจรปิดสองเล่มของ สกมช. มีสถานะเป็นอะไร?

เป็นข้อเสนอแนะ ไม่ใช่กฎหมาย คำนำของทั้งสองเล่มใช้ข้อความเดียวกัน และบอกชัดว่าแนวปฏิบัติใช้แทนกฎหมาย ประกาศ หลักเกณฑ์ หรือสัญญาที่มีผลบังคับอยู่ไม่ได้

ในหัวข้อ “สถานะของเอกสาร” ข้อ 1.2 เล่มทั่วไปย้ำอีกชั้นว่าตัวเอกสารเองไม่มีสถานะเป็นกฎหมายหรือข้อบังคับ และบอกว่าถ้าองค์กรอยู่ภายใต้กฎหมายหรือข้อกำหนดเฉพาะ ให้ปฏิบัติตามสิ่งนั้นก่อน

สรุปเป็นภาษาชาวบ้านได้ว่า ไม่ทำตามเล่มนี้ ไม่ได้ผิดกฎหมายเพราะเล่มนี้ แต่ถ้ากฎหมายอื่น สัญญา หรือเงื่อนไขการจัดซื้อกำหนดเรื่องเดียวกันไว้ ก็ต้องทำตามสิ่งนั้น และในทางปฏิบัติ แนวปฏิบัติแบบนี้มักถูกหยิบไปเขียนเป็น TOR หรือเกณฑ์ตรวจรับ ซึ่งจะทำให้มีผลทางสัญญาได้ (นี่เป็นข้อสังเกตของเรา ไม่ได้เขียนอยู่ในเอกสาร)

ต้องอ่านทั้งสองเล่มไหม?

ถ้าไม่มี AI ในระบบ อ่านเล่มทั่วไปเล่มเดียวพอ ถ้ามี AI ต้องอ่านสองเล่มต่อกัน เพราะเล่มทั่วไปบอกไว้ในหัวข้อวิธีใช้เอกสารว่าระบบ AI ให้ใช้มาตรการของเล่มนี้เป็นฐานก่อน

ข้อ 5.2.3 ของเล่มทั่วไปมีตารางที่ตอบคำถามนี้เป็นรายความสามารถ ตารางข้างล่างสรุปด้วยถ้อยคำของเรา

มีข้อควรระวังหนึ่งข้อที่คนมักมองข้าม คือฟังก์ชัน AI ที่แถมมากับกล้องหรือกับซอฟต์แวร์ที่ซื้อมา เอกสารเตือนว่าการมีฟังก์ชันอยู่ในเครื่อง ไม่ได้แปลว่าต้องเปิดใช้

ถ้าอยากรู้ว่าเล่ม AI เจาะลึกเรื่องใด ดูต่อได้ที่ บทความเรื่องกล้องจดจำใบหน้ากับข้อมูลชีวมิติ

คุณเป็นใคร และควรเริ่มอ่านตรงไหน?

แต่ละเล่มมีตาราง “แนวทางการอ่านตามกลุ่มผู้ใช้งาน” อยู่ต้นเล่ม ที่แยกผู้อ่านตามบทบาท แล้วบอกว่าควรอ่านเป็นหลักตรงไหน และควรอ่านเพิ่มตรงไหน ตารางข้างล่างรวมสองเล่มเข้าด้วยกันและเรียบเรียงเป็นถ้อยคำของเรา เลขข้อและบทตรงกับต้นฉบับ

แถวสุดท้ายของคนที่ดูแลเรื่องกฎหมายและความเป็นส่วนตัวมีอยู่เฉพาะในเล่ม AI ซึ่งให้อ่านข้อ 3.2–3.3 และบทที่ 6 เป็นหลัก ถ้าคุณเป็นคนกลุ่มนี้และใช้เล่มทั่วไป ข้อ 2.2 กับข้อ 2.3 น่าจะเป็นจุดเริ่ม (อันนี้เป็นความเห็นของเรา ตารางของเล่มทั่วไปไม่ได้มีแถวนี้)

เอกสารเตือนไว้ใต้ตารางว่า คนหนึ่งคนหรือองค์กรหนึ่งแห่งอาจมีหลายบทบาท เช่น เจ้าของร้านที่ดูแลระบบเองและจัดซื้อเองด้วย ให้อ่านส่วนของทุกบทบาทที่ตัวเองสวมอยู่

ถ้ามีเวลาครึ่งชั่วโมง

1. อ่านข้อ 3.1 ของเล่มทั่วไป ชุดเริ่มต้น 7 ข้อ เป็นหน้าเดียวที่ลงมือได้เลย
2. อ่านข้อ 2.1 เพื่อดูว่าระบบของคุณน่าจะอยู่ระดับ B, E หรือ H (ดูวิธีทีละขั้นใน บทความเรื่องระดับ B/E/H)
3. เปิดภาคผนวก ข รายการประเมินตนเองตามรอบ แล้วลองติ๊กดูว่าตอนนี้ผ่านกี่ข้อ
4. ถ้ามีผู้ติดตั้งหรือผู้ให้บริการ ส่งข้อ 3.1 และภาคผนวก ก ให้เขาตอบก่อนรับมอบงาน

บ้านที่ติดกล้องดูแลตัวเอง ต้องอ่านแนวปฏิบัติและ PDPA ไหม?

แนวปฏิบัติถือว่าอ่านได้ทุกคนและเขียนบทเริ่มต้นไว้ให้เจ้าของบ้านด้วย (ข้อ 3.1 และข้อ 5.1) ส่วน PDPA มีข้อยกเว้นให้การใช้กล้องเพื่อประโยชน์ส่วนตนหรือกิจกรรมในครอบครัวเท่านั้น

เล่มทั่วไปข้อ 2.2.2 อธิบายต่อว่าการใช้กล้องเพื่อประโยชน์ส่วนตนต้องดูขอบเขตและข้อยกเว้นของกฎหมายคุ้มครองข้อมูลส่วนบุคคล แต่ถ้าใช้เพื่อประกอบธุรกิจหรือดำเนินงานขององค์กร ต้องดูหน้าที่ตามกฎหมายเพิ่มขึ้น

ข้อ 2.3 ของเล่มทั่วไปเตือนด้วยว่า ถึงจะเข้าข้อยกเว้น ก็ไม่ได้แปลว่านำภาพไปเผยแพร่ได้ตามใจ การเผยแพร่ภาพที่กระทบสิทธิหรือชื่อเสียงของคนอื่นอาจขัดกฎหมายอื่น เจ้าของบ้านจึงควรกำหนดมุมกล้องเท่าที่จำเป็นและเลี่ยงพื้นที่ส่วนตัวของคนอื่น เช่น หน้าต่างบ้านข้างเคียง

แนวปฏิบัตินี้ต่างจากกฎหมายอย่างไร?

ต่างที่ว่าใครบังคับ และบังคับเรื่องอะไร กฎหมายบังคับเฉพาะองค์กรหรือระบบที่อยู่ในขอบเขตของกฎหมายนั้น ส่วนแนวปฏิบัติเป็นตัวช่วยตัดสินใจเลือกมาตรการ ตารางข้างล่างวางข้อกำหนดที่เล่มทั่วไปข้อ 2.2.2 ให้ผู้อ่านพิจารณา เทียบกับสถานะของแต่ละเรื่อง

ตัวอย่างที่เห็นภาพที่สุดคือ PDPA มาตรา 37 (1) ซึ่งเป็นหน้าที่ตามกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคลที่ต้องจัดมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม โดยตัวบทเขียนว่าต้องเป็นไปตามมาตรฐานขั้นต่ำที่คณะกรรมการประกาศกำหนดด้วย

มาตรา 37 (1) ไม่ได้ระบุว่ากล้องต้องเปลี่ยนรหัสผ่านเริ่มต้น หรือต้องอัปเดตเฟิร์มแวร์ภายในกี่วัน ช่องว่างนี้เองที่แนวปฏิบัติ สกมช. เข้ามาเติม ในฐานะตัวอย่างว่ามาตรการที่เหมาะสมของระบบกล้องหน้าตาเป็นอย่างไร ถ้าเกิดข้อพิพาทหรือถูกตรวจสอบ ผู้ใช้เอกสารนี้ยังต้องพิสูจน์เองว่ามาตรการของตนเหมาะสม (นี่เป็นความเห็นของเรา เอกสารไม่ได้พูดถึงบทบาทในข้อพิพาท)

คำว่า “พึงปฏิบัติ” กับ “ต้อง” ไม่เหมือนกัน

ในเล่มทั่วไป ตารางมาตรการใช้คำว่า “พึงปฏิบัติ” สำหรับมาตรการหลักที่แนะนำของแต่ละระดับ และบอกว่าถ้าเลือกวิธีอื่น ควรอธิบายเหตุผลและแสดงได้ว่าจัดการความเสี่ยงอย่างเหมาะสมแล้ว ส่วน “ควรพิจารณา” คือมาตรการเสริมตามบริบท

เล่ม AI ข้อ 1.4 เขียนถ้อยคำสามคำไว้ชัดกว่า คือ “ต้อง” ใช้กับข้อกำหนดที่มีผลบังคับตามกฎหมาย ประกาศ หรือสัญญา “ควร” ใช้กับสิ่งที่แนะนำตามมาตรฐานหรือผลประเมินความเสี่ยง และ “อาจ” ใช้กับทางเลือก เวลาอ่านเอกสารสองเล่มนี้จึงควรอ่านคำกริยาให้ละเอียด คำว่า “พึงปฏิบัติ” ในตารางไม่ได้มีน้ำหนักเท่าคำว่า “ต้อง” ตามกฎหมาย

ระดับ B, E และ H คืออะไร (สรุปสั้น)?

คือสามระดับความเข้มของมาตรการ พื้นฐาน (Baseline: B) เพิ่มเติม (Enhanced: E) และความเชื่อมั่นสูง (High-Assurance: H) เจ้าของระบบเป็นคนประเมินเองจากผลกระทบและความเสี่ยง แล้วเลือกมาตรการในตารางตามระดับ ระดับที่สูงขึ้นควรครอบคลุมหลักการของระดับก่อนหน้า และเพิ่มความเข้มของมาตรการ การตรวจสอบ หรือหลักฐาน

ข้อ 2.1.2 ย้ำอีกว่า การจำแนกนี้ไม่ใช่การจำแนกโครงสร้างพื้นฐานสำคัญทางสารสนเทศ ใครที่อยากรู้ว่าองค์กรตัวเองเข้าข่ายหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศหรือไม่ ต้องดูตามกฎหมายไซเบอร์ ไม่ใช่ดูจากว่าตัวเองได้ระดับ H ดู บทความเรื่ององค์กรของคุณเป็นโครงสร้างพื้นฐานสำคัญหรือไม่

วิธีจัดระดับทีละขั้น พร้อมตัวอย่างสมมติของร้านกาแฟ โรงงาน และคอนโด อยู่ใน บทความเรื่องระดับ B/E/H ในที่นี้ขอสรุปแค่ว่า เล่มทั่วไปบอกให้ดูผลกระทบ ไม่ใช่ดูว่าเป็นร้านเล็กหรือใหญ่ และระบบที่ใช้บริการคลาวด์ไม่ได้ถูกจัดเป็นระดับใดโดยอัตโนมัติ

ถ้าจะเริ่มวันนี้ ลำดับการทำควรเป็นอย่างไร?

เริ่มจากเจ็ดข้อในข้อ 3.1 ก่อนอ่านต่อ เอกสารเรียกชุดนี้ว่า Quick Start สำหรับองค์กรที่ยังทำไม่ครบทั้งบท และเตือนว่าทำครบเจ็ดข้อก็ไม่ได้แทนการประเมินความเสี่ยง โดยเฉพาะระบบระดับ E และ H ลำดับด้านล่างเป็นการเรียบเรียงของเรา ตามเนื้อหาในข้อ 3.1

1. วันนี้
   ไล่รายการอุปกรณ์ทุกตัว กล้อง เครื่องบันทึก และแอป แล้วเปลี่ยนรหัสผ่านเริ่มต้นที่ยังไม่ได้เปลี่ยนเล่มทั่วไป ข้อ 3.1 ข้อ 1
2. สัปดาห์นี้
   ตรวจว่ากล้องหรือเครื่องบันทึกถูกเปิดให้เข้าจากอินเทอร์เน็ตโดยตรงหรือไม่ ถ้าไม่จำเป็นให้ปิด แล้วใช้ช่องทางที่อนุมัติไว้เล่มทั่วไป ข้อ 3.1 ข้อ 2
3. สัปดาห์นี้
   เปิด MFA สำหรับบัญชีผู้ดูแลและการเข้าจากระยะไกลเมื่อระบบรองรับ เอกสารกำหนดเป็นข้อที่ควรพิจารณาสำหรับระดับ B และพึงปฏิบัติสำหรับ E และ Hเล่มทั่วไป ข้อ 3.1 ข้อ 3
4. เดือนนี้
   ตกลงกับผู้ติดตั้งว่าใครตามข่าวช่องโหว่และใครลงอัปเดต เขียนชื่อผู้รับผิดชอบไว้เล่มทั่วไป ข้อ 3.1 ข้อ 4 และ 7
5. เดือนนี้
   เขียนวัตถุประสงค์ของกล้องแต่ละตัว กำหนดระยะเก็บภาพและวิธีลบหรือเขียนทับเล่มทั่วไป ข้อ 3.1 ข้อ 5 และ 6
6. ไตรมาสนี้
   ประเมินระดับ B/E/H ตามข้อ 2.1 และเปิดภาคผนวก ข เพื่อตั้งรอบตรวจเองครั้งแรกเล่มทั่วไป ข้อ 2.1 · ภาคผนวก ข

ใครที่เป็นร้านเล็กและไม่มีทีม IT เล่มทั่วไปมีหมายเหตุใต้ตารางข้อ 3.1 ว่า ผู้ติดตั้งหรือผู้ให้บริการควรตั้งค่าที่จำเป็นให้ก่อนส่งมอบ เช่น เปลี่ยนรหัสผ่านเริ่มต้น จำกัดการเข้าจากอินเทอร์เน็ต เปิด MFA เมื่อรองรับ และตั้งการอัปเดต แล้วส่งสิทธิและบัญชีให้เจ้าของระบบ ถ้าผู้ติดตั้งของคุณทำไม่ครบ ใช้ข้อนี้เป็นเหตุผลขอให้เขากลับมาทำ

รายละเอียดของแต่ละข้อมีบทความแยกไว้แล้ว เช่น ชุดเริ่มต้น 7 ข้อสำหรับธุรกิจเล็ก และ ข้อควรถามผู้ขายก่อนจัดซื้อ

ใครรับผิดชอบเนื้อหานี้?

เรียบเรียงโดยทีมกฎหมาย AIPDPA · ผู้รับผิดชอบเนื้อหา ภูวรา ครอบตะคุ ทนายความ · เนติบัณฑิตไทย · ที่ปรึกษากฎหมายเทคโนโลยีและทรัพย์สินทางปัญญา

ใบอนุญาตทนายความ 477/2558 · เนติบัณฑิตไทย · นิติศาสตรมหาบัณฑิต กฎหมายทรัพย์สินทางปัญญาและสารสนเทศ (เหรียญทอง)