โดย แอนโทนี แชดด์ (Anthony Chadd) ประธานเจ้าหน้าที่ฝ่ายรายได้ (Chief Revenue Officer) บริษัท Zimbra
บทสนทนาเกี่ยวกับข้อมูลระดับองค์กรในประเทศไทยได้เปลี่ยนแปลงจากเดิมที่ทีมจัดซื้ออาจถามว่าระบบหนึ่งมีค่าใช้จ่ายเท่าไหร่และสามารถทำอะไรได้บ้าง คำถามเหล่านั้นยังคงมีความสำคัญ แต่ปัจจุบันต้องพิจารณาควบคู่ไปกับคำถามที่ตอบได้ยากขึ้น เช่น ใครเป็นผู้ให้บริการงานระบบ กฎหมายใดบ้างที่ใช้บังคับ และระบบสามารถให้คำตอบหรือจัดเตรียมข้อมูลได้รวดเร็วเพียงใดเมื่อหน่วยงานกำกับดูแลเข้ามาตรวจสอบ แม้องค์กรสามารถจ้างบุคคลภายนอกให้ดูแลด้านเทคโนโลยีได้ แต่ท้ายที่สุดแล้ว ความรับผิดชอบยังคงอยู่ที่องค์กรเอง คำตอบของประเทศไทยต่อคำถามนี้มีความชัดเจนและเฉพาะเจาะจงมากขึ้นในปีนี้
มาตรฐานความรับผิดชอบรูปแบบใหม่
ปัจจุบันมีกฎระเบียบ 2 ประการที่กำหนดมาตรฐานดังกล่าวไว้ชัดเจน ประการแรก ภายใต้ พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล (PDPA) องค์กรใดก็ตามที่ดำเนินการเกี่ยวกับข้อมูลส่วนบุคคล จะต้องแจ้งต่อคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) ภายใน 72 ชั่วโมง นับจากที่ตรวจพบการละเมิดข้อมูล และ PDPC เองก็ได้บังคับใช้กรอบเวลาดังกล่าวอย่างจริงจัง โดยการไม่แจ้งเหตุละเมิดข้อมูลภายในกำหนดเวลาเป็นหนึ่งในข้อบกพร่องที่ถูกระบุในคดีบังคับใช้กฎหมายทุกกรณีที่หน่วยงานกำกับดูแลประกาศในเดือนสิงหาคม 2568 โดยมีค่าปรับสูงสุดถึง 3 ล้านบาทต่อการละเมิดหนึ่งครั้ง นอกจากนี้ ตั้งแต่วันที่ 10 กันยายน 2568 เป็นต้นมา ยังมีข้อกำหนดใหม่ที่เข้ามาเสริมมาตรฐานดังกล่าว นั่นคือ มาตรฐานความมั่นคงปลอดภัยบนคลาวด์ของสำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (สกมช.) ซึ่งกำหนดให้หน่วยงานภาครัฐ ผู้ประกอบการโครงสร้างพื้นฐานสำคัญ ตลอดจนผู้ให้บริการคลาวด์ที่ให้บริการแก่หน่วยงานเหล่านี้ ต้องสามารถระบุได้อย่างชัดเจนว่า ข้อมูลถูกจัดเก็บอยู่ที่ใด และใครเป็นผู้รับผิดชอบข้อมูลในแต่ละขั้นตอน
มาตรฐานความมั่นคงปลอดภัยบนคลาวด์ (Cloud Security Standard) มีเป้าหมายโดยเฉพาะสำหรับหน่วยงานภาครัฐ ผู้ประกอบการโครงสร้างพื้นฐานสำคัญ และผู้ให้บริการหรือคู่ค้าของหน่วยงานเหล่านี้ แต่หลักคิดที่อยู่เบื้องหลังมาตรฐานดังกล่าวไม่ได้จำกัดอยู่เพียงกลุ่มเหล่านี้เท่านั้น หน่วยงานกำกับดูแลของไทยภายใต้กฎระเบียบทั้งสองฉบับกำลังตั้งคำถามพื้นฐานเดียวกันว่า ไม่ใช่ว่าผู้ให้บริการอ้างว่าตนให้ความสำคัญกับความปลอดภัยหรือไม่ แต่คือองค์กรสามารถจัดทำเอกสารระบุได้อย่างชัดเจนและแม่นยำหรือไม่ว่า ข้อมูลของตนถูกจัดเก็บอยู่ที่ใด และใครเป็นผู้รับผิดชอบต่อข้อมูลดังกล่าว
ประเด็นนี้เริ่มมีความซับซ้อนเมื่อพูดถึง อีเมล เพราะโดยทั่วไปอีเมลมักถูกมองว่าเป็นเพียงบริการสาธารณูปโภคด้านไอที มากกว่าจะเป็นระบบธุรกิจที่ต้องอยู่ภายใต้การกำกับดูแล องค์กรมักจัดสรรงบประมาณให้อีเมลในลักษณะเดียวกัน ต่ออายุบริการในลักษณะเดียวกัน และตรวจสอบอีเมลด้วยระดับความเข้มงวดใกล้เคียงกับการตรวจสอบเครือข่ายสำนักงาน ทั้งที่ในความเป็นจริง การตัดสินใจที่มีความละเอียดอ่อนแทบทุกเรื่องขององค์กรล้วนผ่านอีเมลในบางช่วงเวลา ไม่ว่าจะเป็น เอกสารสำหรับคณะกรรมการ คำแนะนำทางกฎหมาย เรื่องบุคลากร หรือคำสั่งจากลูกค้า
ระบบธุรกิจส่วนใหญ่มักมีผู้รับผิดชอบที่ระบุไว้อย่างชัดเจนและมีมาตรการควบคุมที่กำหนดไว้แน่นอน
แต่อีเมลกลับครอบคลุมการใช้งานของทุกแผนก
จึงมักทำให้ความรับผิดชอบถูกแบ่งออกระหว่าง ฝ่าย
IT ฝ่ายความปลอดภัย ฝ่ายกำกับดูแลการปฏิบัติตามกฎระเบียบ และฝ่ายปฏิบัติการ การจัดโครงสร้างเช่นนี้อาจดำเนินไปได้ตามปกติ
จนกระทั่งมีใครสักคนต้องตอบคำถามที่เฉพาะเจาะจงเกี่ยวกับระบบอีเมล ภายใต้กรอบเวลาที่จำกัด
การควบคุมที่แท้จริงมีหน้าตาอย่างไร
การควบคุมระบบมีความสำคัญมากที่สุดในช่วง ชั่วโมงแรกๆ
หลังจากค้นพบเหตุการณ์ข้อมูลรั่วไหล เพราะนั่นคือช่วงเวลาที่เริ่มนับถอยหลัง
และคำถามต่างๆ จะมีความเฉพาะเจาะจงมากขึ้น เช่น ข้อมูลอะไรถูกเปิดเผย
เมื่อเกิดขึ้นอย่างไร เกิดขึ้นเมื่อใด และองค์กรได้ดำเนินการอะไรไปแล้วบ้าง
กรอบเวลา 72
ชั่วโมงตาม PDPA เริ่มนับตั้งแต่วินาทีที่ตรวจพบการละเมิดข้อมูล
ไม่ใช่เริ่มนับเมื่อมีคนมาตรวจสอบในภายหลัง
หากองค์กรไม่มีความสามารถในการมองเห็นและไม่มีอำนาจควบคุมการดำเนินงานเหนือระบบอีเมลและระบบสื่อสารของตนเอง
องค์กรอาจต้องพึ่งพาผู้อื่นในการตรวจสอบ ระบุ และรับมือกับเหตุการณ์ต่างๆ
กล่าวคือ ต้องรอให้ผู้ให้บริการเป็นผู้ตรวจพบปัญหา อธิบายว่าเกิดอะไรขึ้น
และจากนั้นจึงอนุญาตให้ดำเนินการแก้ไขตามลำดับ
ประเด็นไม่ได้อยู่ที่ว่าคุณต้องติดตั้งและดูแลเซิร์ฟเวอร์ของตัวเอง
แต่อยู่ที่ว่า คุณสามารถตอบได้หรือไม่ว่าใครเป็นผู้ควบคุมระบบอีเมลของคุณ
และบุคคลหรือหน่วยงานนั้นสามารถดำเนินการได้รวดเร็วเพียงใด
โดยทั่วไป คำถามนี้มักไม่ได้รับการตรวจสอบอย่างจริงจัง
จนกว่าจะมีเหตุการณ์บางอย่างบังคับให้องค์กรต้องกลับมาทบทวน เช่น การตรวจสอบ (Audit), เหตุการณ์ด้านความปลอดภัย (Incident) หรือการต่ออายุบริการ (Renewal)
การตรวจสอบและเหตุการณ์ด้านความปลอดภัยสามารถเกิดขึ้นได้โดยไม่แจ้งล่วงหน้า
แต่ การต่ออายุบริการเป็นสิ่งที่สามารถกำหนดเวลาไว้ล่วงหน้าได้
ตั้งคำถามก่อนต่ออายุระบบอีเมล
การต่ออายุบริการเป็นสิ่งหนึ่งที่องค์กรสามารถควบคุมได้ ในหลายองค์กร
เรื่องความเป็นเจ้าของการควบคุม การสนับสนุน และการกำกับดูแลข้อมูล ไม่ได้ถูกทบทวนอย่างจริงจังมานานหลายปี
แต่ช่วงเวลาต่ออายุบริการก็เป็นช่วงที่องค์กรมีอำนาจต่อรองมากที่สุดในการตั้งคำถามที่สำคัญและประเมินความเสี่ยงใหม่อีกครั้ง
ก่อนที่จะลงนามต่ออายุสัญญา มีคำถาม 3 ข้อที่ควรตอบอย่างตรงไปตรงมา:
1. หากต้องเปลี่ยนระบบจริงๆ จะใช้เวลานานแค่ไหน?
องค์กรส่วนใหญ่ไม่เคยวัดเรื่องนี้อย่างจริงจัง หากไม่สามารถตอบได้ ก็ไม่สามารถบอกได้ว่าการเปลี่ยนระบบเป็นทางเลือกที่ทำได้จริงหรือไม่ และหากองค์กรไม่สามารถย้ายออกจากระบบเดิมได้ ก็แทบไม่มีอำนาจในการต่อรอง
2. อะไรสามารถโอนย้ายได้
และอะไรไม่สามารถโอนย้ายได้?
ข้อความอีเมลสามารถย้ายจากระบบหนึ่งไปยังอีกระบบหนึ่งได้ แต่ข้อมูลหรือหลักฐานที่ต้องเก็บไว้เพื่อการปฏิบัติตามกฎระเบียบจะต้องถูกโอนไปด้วยเสมอ และนี่คือสิ่งที่หน่วยงานกำกับดูแลมักต้องการตรวจสอบเป็นอันดับแรก ไม่ว่าข้อมูลดังกล่าวจะถูกจัดเก็บอยู่บนแพลตฟอร์มใด ความรับผิดชอบในการจัดเก็บและนำส่งข้อมูลเมื่อถูกเรียกตรวจยังคงเป็นขององค์กร
3. เมื่อเกิดปัญหา ใครมีอำนาจในการดำเนินการ?
ไม่ใช่แค่ “ต้องติดต่อใคร” แต่ต้องถามว่า “ใครมีอำนาจในการลงมือดำเนินการ” คำตอบข้อนี้จะเป็นตัวกำหนดว่า เมื่อเกิดเหตุการณ์ องค์กรสามารถตรวจสอบเหตุการณ์ด้วยตนเองได้หรือไม่ หรือจำเป็นต้องรอให้ผู้ให้บริการแจ้งว่าเกิดอะไรขึ้น เมื่อมีเวลาเพียง 72 ชั่วโมงในการรายงานเหตุการณ์ ความแตกต่างนี้อาจเป็นตัวตัดสินว่าองค์กรจะสามารถดำเนินการได้ทันตามกำหนดเวลาหรือไม่
คำถามทั้งสามข้อนี้ ไม่ได้หมายความว่าองค์กรจำเป็นต้องเปลี่ยนผู้ให้บริการ องค์กรส่วนใหญ่เมื่อทบทวนเรื่องเหล่านี้อย่างจริงจังแล้ว
ก็ยังเลือกใช้ผู้ให้บริการรายเดิมต่อไป สิ่งที่เปลี่ยนไปคือ การตัดสินใจนั้นเกิดจากการพิจารณาอย่างรอบคอบ
ไม่ใช่เพียงการเลือกใช้ระบบเดิมต่อไปโดยอัตโนมัติ
ต่อจากนี้กฎระเบียบด้านข้อมูลในประเทศไทยจะเข้มงวดขึ้นเรื่อยๆ องค์กรที่จะอยู่ในจุดที่ได้เปรียบจึงไม่จำเป็นต้องเป็นองค์กรที่มีเทคโนโลยีหรือโครงสร้างพื้นฐานใหม่ที่สุด แต่เป็นองค์กรที่สามารถตอบได้อย่างชัดเจนว่า “ข้อมูลของเรามีใครรับผิดชอบ” และสามารถนำหลักฐานมายืนยันได้ทันที โดยไม่ต้องรอให้ผู้ตรวจสอบหรือผู้มีส่วนเกี่ยวข้องถามซ้ำ