มาตรการรักษาความมั่นคงปลอดภัยขั้นต่ำตาม PDPA ต้องมีอะไรบ้าง? ผู้ควบคุมข้อมูลส่วนบุคคลต้องจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสมตามมาตรา 37 (1) แห่ง พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และต้องไม่ต่ำกว่ามาตรฐานขั้นต่ำในประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 ข้อ 4 กล่าวโดยย่อคือ ต้องมีทั้งมาตรการเชิงองค์กรและเชิงเทคนิค ครอบคลุมเอกสารกระดาษและระบบอิเล็กทรอนิกส์ ควบคุมสิทธิการเข้าถึง มีบันทึกตรวจสอบย้อนหลัง (audit trail) และสร้างความตระหนักรู้ให้พนักงาน
เจ้าของร้านค้าออนไลน์รายหนึ่งเพิ่งพบว่าพนักงานที่ลาออกไปสามเดือนแล้วยังล็อกอินเข้าไฟล์รายชื่อลูกค้าได้ ขณะที่แฟ้มสำเนาบัตรประชาชนลูกค้าวางอยู่บนชั้นหลังร้านโดยไม่มีกุญแจ เขาเริ่มสงสัยว่าถ้าวันนี้มีคนขอดูมาตรการรักษาความปลอดภัยของร้าน เขาจะมีอะไรให้ดูบ้าง
สรุปสิ่งที่ต้องรู้
4 ประเด็นที่สำคัญที่สุดของเรื่องนี้ สรุปจากตัวบทและแนวปฏิบัติที่อ้างอิงไว้ท้ายคู่มือ อ่านแค่ส่วนนี้ก็ตัดสินใจขั้นต่อไปได้
- มาตรา 37 (1) กำหนดให้มี “มาตรการที่เหมาะสม” ส่วนประกาศฯ พ.ศ. 2565 คือมาตรฐานขั้นต่ำที่ขยายความคำนี้ และมีผลใช้บังคับตั้งแต่ 21 มิถุนายน 2565
- ต้องมีมาตรการเชิงองค์กรและเชิงเทคนิค และอาจรวมถึงมาตรการทางกายภาพ โดยเลือกตามระดับความเสี่ยง
- ขั้นต่ำด้านการเข้าถึงมี 4 เรื่อง คือ ควบคุมการเข้าถึง บริหารสิทธิผู้ใช้ กำหนดหน้าที่ผู้ใช้ และบันทึกตรวจสอบย้อนหลัง
- เมื่อเกิดเหตุละเมิดข้อมูล ให้ถือว่าจำเป็นต้องทบทวนมาตรการ เว้นแต่เหตุนั้นไม่มีความเสี่ยงต่อสิทธิและเสรีภาพของบุคคล
ทำตามนี้ 5 ขั้นตอน
ทำตามลำดับ 5 ขั้นนี้ได้ทันที แต่ละขั้นเขียนให้ทีมในองค์กรไทยลงมือได้จริงโดยไม่ต้องรอที่ปรึกษา และเก็บหลักฐานไว้ให้ผู้ตรวจดูได้
- ทำรายการว่าข้อมูลอยู่ที่ไหนบ้างสำรวจทุกจุดที่มีข้อมูลส่วนบุคคล ทั้งแฟ้มกระดาษ เซิร์ฟเวอร์ คอมพิวเตอร์ของพนักงาน อุปกรณ์พกพา ระบบเครือข่าย ซอฟต์แวร์และแอปพลิเคชัน เพราะประกาศฯ ข้อ 4 (1) และ (5) กำหนดให้มาตรการครอบคลุมส่วนเหล่านี้
- ประเมินความเสี่ยงของแต่ละจุดจัดลำดับความเสี่ยงตามลักษณะข้อมูล วัตถุประสงค์การใช้ โอกาสเกิดเหตุ และผลกระทบหากข้อมูลรั่วไหล ตามหลักในข้อ 4 (2) และ (3) จุดที่เสี่ยงสูงควรได้มาตรการที่เข้มกว่า
- คุมสิทธิการเข้าถึงให้สิทธิเท่าที่จำเป็นต่อหน้าที่ ลงทะเบียนและถอนสิทธิผู้ใช้ทันทีเมื่อย้ายงานหรือลาออก ดูแลบัญชีสิทธิสูงแยกต่างหาก และทบทวนสิทธิเป็นรอบ ตามข้อ 4 (6) (ก) และ (ข)
- เปิดบันทึกตรวจสอบย้อนหลังตั้งค่าให้ตรวจย้อนหลังได้ว่าใครเข้าถึง เปลี่ยนแปลง แก้ไข หรือลบข้อมูลส่วนบุคคลเมื่อใด โดยเลือกวิธีให้เหมาะกับสื่อที่ใช้ ตามข้อ 4 (6) (ง)
- ทบทวนและเขียนลงในสัญญาทบทวนมาตรการเมื่อจำเป็น เมื่อเทคโนโลยีเปลี่ยน หรือหลังเกิดเหตุละเมิด และพิจารณากำหนดในข้อตกลงกับผู้ประมวลผลข้อมูลให้มีมาตรการตามข้อ 4 พร้อมแจ้งเหตุละเมิดกลับมา ตามข้อ 5 และข้อ 6
“มาตรการที่เหมาะสม” ตามมาตรา 37 (1) หมายถึงอะไร?
มาตรการที่เหมาะสมคือมาตรการที่ป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ และต้องเป็นไปตามมาตรฐานขั้นต่ำที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด มาตรฐานขั้นต่ำนั้นคือประกาศฯ เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 ซึ่งมีผลใช้บังคับตั้งแต่วันที่ 21 มิถุนายน 2565
ประกาศฉบับนี้นิยาม “ความมั่นคงปลอดภัย” ว่าคือการธำรงไว้ซึ่งความลับ (confidentiality) ความถูกต้องครบถ้วน (integrity) และสภาพพร้อมใช้งาน (availability) ของข้อมูลส่วนบุคคล ความเหมาะสมวัดตามระดับความเสี่ยง โดยพิจารณาปัจจัยทางเทคโนโลยี บริบท มาตรฐานที่ยอมรับในกิจการประเภทเดียวกัน ทรัพยากรที่ต้องใช้ และความเป็นไปได้ประกอบกัน
มาตรฐานขั้นต่ำตามประกาศฯ พ.ศ. 2565 ข้อ 4 มีอะไรบ้าง?
ประกาศฯ ข้อ 4 กำหนดสิ่งที่มาตรการรักษาความมั่นคงปลอดภัยต้องมีอย่างน้อย 7 ข้อ โดยทุกข้อให้ปรับตามระดับความเสี่ยง ทรัพยากร และความเป็นไปได้ในการดำเนินการ
- (1) ครอบคลุมการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลทุกรูปแบบ ทั้งเอกสาร อิเล็กทรอนิกส์ และรูปแบบอื่น
- (2) มีมาตรการเชิงองค์กรและเชิงเทคนิค และอาจรวมมาตรการทางกายภาพที่จำเป็น
- (3) ครบวงจรตั้งแต่ระบุความเสี่ยงของทรัพย์สินสารสนเทศ ป้องกัน ตรวจสอบเฝ้าระวัง เผชิญเหตุ จนถึงฟื้นฟูความเสียหาย
- (4) รักษาความลับ ความถูกต้องครบถ้วน และสภาพพร้อมใช้งานของข้อมูลตามระดับความเสี่ยง
- (5) ข้อมูลอิเล็กทรอนิกส์ต้องคุ้มครองอุปกรณ์จัดเก็บ เซิร์ฟเวอร์ เครื่องลูกข่าย เครือข่าย ซอฟต์แวร์และแอปพลิเคชัน ด้วยการป้องกันหลายชั้น
- (6) ควบคุมการเข้าถึงตามหลักให้สิทธิน้อยที่สุดเท่าที่จำเป็น บริหารสิทธิผู้ใช้ กำหนดหน้าที่ผู้ใช้ และมีบันทึกตรวจสอบย้อนหลัง
- (7) สร้างความตระหนักรู้และแจ้งนโยบายให้บุคลากรและผู้ใช้งานทราบและถือปฏิบัติ
ต้องทบทวนมาตรการความปลอดภัยเมื่อไร?
ประกาศฯ ข้อ 5 กำหนดให้ทบทวนมาตรการเมื่อมีความจำเป็นหรือเมื่อเทคโนโลยีเปลี่ยนแปลง และเมื่อเกิดเหตุละเมิดข้อมูลส่วนบุคคล ให้ถือว่าจำเป็นต้องทบทวน เว้นแต่เหตุนั้นไม่มีความเสี่ยงที่จะกระทบสิทธิและเสรีภาพของบุคคล
มาตรา 37 (4) ยังกำหนดให้แจ้งเหตุละเมิดแก่สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) โดยไม่ชักช้าภายใน 72 ชั่วโมงนับแต่ทราบเหตุเท่าที่จะทำได้ เว้นแต่เหตุนั้นไม่มีความเสี่ยงต่อสิทธิและเสรีภาพของบุคคล แนวปฏิบัติที่ดีคือปิดเคสเหตุละเมิดทุกครั้งด้วยการทบทวนมาตรการและบันทึกผลไว้
ปัญหาที่พบบ่อยและวิธีแก้
องค์กรส่วนใหญ่พลาดเรื่องนี้ใน 3 จุดเดิม ๆ ตารางด้านล่างบอกทั้งวิธีแก้ด้วยตัวเอง และวิธีที่ AIPDPA ช่วยให้เสร็จเร็วกว่าพร้อมหลักฐานครบ
| ปัญหา | วิธีแก้ |
|---|---|
| ✗ มองว่าความปลอดภัยเป็นงานของฝ่ายไอทีอย่างเดียว จนลืมแฟ้มกระดาษและตู้เอกสาร | ✓ ประกาศฯ ข้อ 4 (1) ครอบคลุมข้อมูลทุกรูปแบบ จึงต้องนับห้องเก็บแฟ้มและตู้เอกสารเข้าไปด้วย โมดูลมาตรการควบคุมของ AIPDPA รวมมาตรการที่จับคู่กับแนวทางของ สคส. กรอบของสำนักงานพัฒนาธุรกรรมทางอิเล็กทรอนิกส์ (ETDA) และมาตรฐานของสำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (NCSA) ไว้ในที่เดียว พร้อมระบุหลักฐานที่ควรเก็บของแต่ละมาตรการ |
| ✗ พนักงานลาออกหรือย้ายแผนกแล้ว แต่บัญชีและสิทธิเดิมยังใช้งานได้ | ✓ ผูกการถอนสิทธิเข้ากับขั้นตอนพ้นสภาพพนักงาน และทบทวนรายชื่อผู้มีสิทธิเป็นรอบตามข้อ 4 (6) (ข) แนวปฏิบัติที่ดีคืออย่างน้อยปีละครั้ง รายการมาตรการใน AIPDPA มีทั้งเรื่องบริหารบัญชีผู้ใช้และการทบทวนสิทธิ พร้อมบอกว่าต้องเก็บบันทึกอะไรไว้ให้ผู้ตรวจ |
| ✗ ไม่เคยตรวจความปลอดภัยของเว็บไซต์ที่ใช้เก็บข้อมูลลูกค้า | ✓ ข้อ 4 (5) ขยายมาตรการไปถึงซอฟต์แวร์และแอปพลิเคชัน ควรตรวจเว็บไซต์เทียบมาตรฐานที่ยอมรับเป็นระยะ ฟีเจอร์ตรวจความปลอดภัยเว็บไซต์ของ AIPDPA สแกนเว็บของคุณเทียบมาตรฐานความมั่นคงปลอดภัยเว็บไซต์ของ NCSA และชี้จุดที่ควรแก้ก่อน |
เห็นมาตรการความปลอดภัยทั้งองค์กรได้ในหน้าเดียว
โมดูลมาตรการควบคุมของ AIPDPA จับคู่มาตรการของคุณกับแนวทาง สคส. กรอบ ETDA และมาตรฐาน NCSA พร้อมใช้ทันที ดูบัญชีตัวอย่างได้ ไม่ต้องสมัคร
มีในแพ็กเกจ GROWTH · PRO · ENTERPRISE เริ่มต้น 4,900 บาท/ปี · ดูบัญชีตัวอย่างได้ ไม่ต้องสมัคร
คำถามที่พบบ่อย
คำถามที่คนค้นหาบ่อยที่สุดเรื่องนี้ แต่ละคำตอบสั้น ตรงประเด็น และอ่านแยกข้อได้
ร้านเล็กหรือ SME ต้องมีมาตรการความปลอดภัยตาม PDPA ด้วยไหม?
ต้องมี เพราะมาตรา 37 (1) กำหนดหน้าที่นี้ให้ผู้ควบคุมข้อมูลส่วนบุคคล แต่ประกาศฯ พ.ศ. 2565 ให้ปรับความเข้มของมาตรการตามระดับความเสี่ยง ทรัพยากร และความเป็นไปได้ ธุรกิจขนาดเล็กจึงเลือกมาตรการที่พอดีกับตัวเองได้
ต้องทบทวนมาตรการความปลอดภัยบ่อยแค่ไหน?
ประกาศฯ ไม่ได้กำหนดความถี่ตายตัว แต่ให้ทบทวนเมื่อจำเป็น เมื่อเทคโนโลยีเปลี่ยน และหลังเกิดเหตุละเมิดที่มีความเสี่ยง แนวปฏิบัติที่ดีคือทบทวนอย่างน้อยปีละครั้งและเก็บบันทึกผลไว้
PDPA บังคับให้เข้ารหัสข้อมูลหรือต้องได้ ISO 27001 หรือไม่?
ประกาศฯ พ.ศ. 2565 ไม่ได้ระบุเทคโนโลยีหรือใบรับรองใดเป็นการเฉพาะ แต่ให้คำนึงถึงมาตรฐานที่เป็นที่ยอมรับในกิจการประเภทเดียวกัน การเข้ารหัสและมาตรฐานสากลจึงเป็นวิธีที่ช่วยแสดงว่ามาตรการเหมาะกับความเสี่ยง
ธุรกิจที่มีกฎหมายเฉพาะเรื่องความปลอดภัยอยู่แล้ว ต้องทำตามประกาศนี้ด้วยไหม?
ต้องทำ ประกาศฯ ข้อ 7 ให้ปฏิบัติตามกฎหมายเฉพาะนั้น แต่มาตรการรักษาความปลอดภัยต้องไม่ต่ำกว่ามาตรฐานขั้นต่ำในประกาศฉบับนี้ด้วย
ใช้คลาวด์หรือผู้ให้บริการภายนอก ใครรับผิดชอบเรื่องความปลอดภัย?
ผู้ควบคุมข้อมูลยังมีหน้าที่ตามมาตรา 37 (1) และประกาศฯ ข้อ 6 ให้พิจารณากำหนดในข้อตกลงให้ผู้ประมวลผลมีมาตรการตามขั้นต่ำของข้อ 4 และแจ้งเหตุละเมิดให้ผู้ควบคุมข้อมูลทราบ
แหล่งอ้างอิง
คู่มือนี้อ้างอิงเอกสาร 7 รายการ ตัวบทกฎหมายระบุมาตราหรือข้อไว้ชัดเจน ส่วนแนวปฏิบัติและมาตรฐานเป็นแนวทาง ไม่ใช่กฎหมาย
- พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 37 (1)
- พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 37 (4)
- ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 ข้อ 3
- ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 ข้อ 4
- ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 ข้อ 5
- ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 ข้อ 6
- ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 ข้อ 7
ตัวบทในบทความนี้อ้างอิงจากคลังกฎหมายของ AIPDPA ซึ่งถอดจากราชกิจจานุเบกษา · เนื้อหาเป็นความรู้ทั่วไป หากกรณีของคุณมีข้อเท็จจริงเฉพาะ ทีมทนายของเราช่วยดูให้ได้
เครื่องมือและบริการที่ช่วยได้ทันที
อยากทำเองให้เร็วขึ้น ใช้เครื่องมือใน AIPDPA · อยากให้ทนายดูแลให้ หรืออยากเรียนให้เป็น เลือกบริการในเครือที่ตรงกับคุณได้เลย
ข้อกำหนดจาก สคส. ETDA และ NCSA ในที่เดียว ทำหนึ่งครั้งได้หลักฐานหลายมาตรฐาน
ลงชื่อรอเปิดใช้งาน →สแกนเว็บเทียบมาตรฐานความมั่นคงปลอดภัยเว็บไซต์ของ NCSA และเตือนใบรับรองใกล้หมดอายุ
ลงชื่อรอเปิดใช้งาน →ทีมทนายความตรวจความพร้อมและวางระบบ PDPA ให้ครบ เหมาะกับ SME ที่ไม่มีเวลาทำเอง
ดูบริการ →คอร์สเสริมทักษะ PDPA, DPO และธรรมาภิบาล AI พร้อม Digital Product ชุดเครื่องมือพร้อมใช้
ดูคอร์สและสินค้า →
ใครรับผิดชอบเนื้อหานี้?
เรียบเรียงโดยทีมกฎหมาย AIPDPA · ผู้รับผิดชอบเนื้อหา ภูวรา ครอบตะคุ ทนายความ · เนติบัณฑิตไทย · ที่ปรึกษากฎหมายเทคโนโลยีและทรัพย์สินทางปัญญา
ใบอนุญาตทนายความ 477/2558 · เนติบัณฑิตไทย · นิติศาสตรมหาบัณฑิต กฎหมายทรัพย์สินทางปัญญาและสารสนเทศ (เหรียญทอง)
อ่านต่อ
คู่มือที่มักต้องทำต่อจากเรื่องนี้ เลือกอ่านได้ตามลำดับงานขององค์กรคุณ