บัญชีแอดมินถูกยึด ต้องตรวจขอบเขตข้อมูลรั่วอย่างไร

บัญชีแอดมินถูกยึดต้องควบคุมเหตุและตรวจข้อมูลที่บัญชีนั้นเข้าถึงได้ทันที การเปลี่ยนรหัสผ่านอาจหยุดได้เพียงบางช่องทาง บริษัทต้องตรวจสิทธิที่ถูกเพิ่ม การเชื่อมต่อระบบ และผลกระทบต่อข้อมูล ก่อนตัดสินใจแจ้งเหตุหรือรับรองว่าระบบกลับมาปลอดภัย

บัญชีแอดมินถูกยึด ต้องประเมินขอบเขตข้อมูลอย่างไร?

เริ่มจากสิทธิจริงของบัญชีในช่วงเกิดเหตุ ตรวจการอ่าน ส่งออก แก้ไข ลบ หรือทำให้ข้อมูลใช้ไม่ได้ บัญชีถูกยึดไม่ได้พิสูจน์ว่าข้อมูลทุกชุดถูกนำออก แต่ก็ไม่ควรจำกัดขอบเขตไว้เฉพาะไฟล์ที่พบการดาวน์โหลด เพราะอาจใช้สิทธิผ่านระบบเชื่อมต่อได้

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 37 (1) กำหนดให้ผู้ควบคุมข้อมูลจัดมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสมและทบทวนเมื่อจำเป็น ส่วนมาตรา 37 (4) กำหนดหน้าที่แจ้งเหตุละเมิดตามความเสี่ยง การตรวจบัญชีแอดมินจึงต้องตอบทั้งเรื่องควบคุมทางเทคนิคและผลต่อบุคคล ไม่ใช่เพียงเปิดใช้งานบัญชีได้อีกครั้ง

ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์และวิธีการในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล พ.ศ. 2565 ครอบคลุมเหตุที่กระทบความลับ ความถูกต้องครบถ้วน และความพร้อมใช้งาน แม้ไม่พบการนำข้อมูลออก แต่ถ้ามีการแก้เลขบัญชีรับเงิน ลบประวัติการรักษา หรือเข้ารหัสข้อมูลจนบริการไม่ได้ ก็ต้องตรวจผลกระทบตามลักษณะนั้นด้วย

ตัวอย่างสมมติ: บัญชีผู้ดูแล CRM ถูกใช้จากอุปกรณ์ที่บริษัทไม่รู้จัก และมีการสร้างกุญแจเชื่อมต่อใหม่ หลังเปลี่ยนรหัสผ่านยังพบการดึงข้อมูลผ่านกุญแจดังกล่าว ทีมงานจึงต้องตรวจการเพิกถอนช่องทางเชื่อมต่อและช่วงเวลาที่ใช้งาน ไม่ควรสรุปว่าควบคุมเหตุได้ตั้งแต่วินาทีที่เปลี่ยนรหัสผ่าน หากหลักฐานแสดงว่าการเข้าถึงยังดำเนินต่อ

รายงานควรแยก “ระบบที่บัญชีมีสิทธิ” “ระบบที่พบการใช้งานผิดปกติ” และ “ข้อมูลที่ยืนยันผลกระทบแล้ว” พร้อมพื้นที่ที่ยังตรวจไม่ได้ วิธีนี้ช่วยป้องกันทั้งการประเมินต่ำเกินจริงและการแจ้งว่าทุกข้อมูลรั่วโดยไม่มีหลักฐาน อ่านกรอบ รับมือเหตุละเมิดภายใน 72 ชั่วโมง เพื่อวางการตัดสินใจควบคู่กับงานตรวจระบบ

ถ้าพบสิทธิหรือช่องทางเชื่อมต่อใหม่ ควรตรวจต่อแบบไหน?

• ถ้าพบบัญชีผู้ดูแลใหม่ ให้ตรวจผู้สร้าง เวลาสร้าง สิทธิที่ได้รับ และกิจกรรมที่ตามมา พร้อมระงับช่องทางที่ไม่ได้รับอนุญาต
• ถ้าพบการเชื่อมต่อแอปหรือกุญแจ API ให้ตรวจขอบเขตสิทธิ อายุการใช้งาน และระบบปลายทาง ไม่ถือว่าการออกจากระบบทุกอุปกรณ์ครอบคลุมทั้งหมด
• ถ้าพบการส่งออกข้อมูล ให้เทียบรายการฟิลด์ จำนวนบุคคล และช่วงเวลา โดยแยกจำนวนครั้งส่งออกจากจำนวนเจ้าของข้อมูล
• ถ้าพบการแก้ข้อมูล ให้รักษาหลักฐานก่อนกู้คืน และตรวจว่ามีธุรกรรมหรือการตัดสินใจใดอาศัยข้อมูลผิดแล้ว
• ถ้าไม่พบกิจกรรมแต่บันทึกขาดหาย ให้ระบุข้อจำกัดและตรวจแหล่งอื่นที่มีสิทธิเข้าถึงโดยชอบ ไม่แปลช่องว่างนั้นเป็นหลักฐานว่าไม่มีผลกระทบ

ให้ทีมระบบจัดแผนผังสิทธิแบบสั้น ระบุว่าบัญชีเข้าถึงอีเมล พื้นที่ไฟล์ ระบบสำรอง และข้อมูลคู่ค้าได้หรือไม่ บัญชีที่ดูเหมือนมีหน้าที่ดูแลเว็บไซต์อาจใช้เข้าสู่ระบบกลางขององค์กรด้วย จึงต้องตรวจความสัมพันธ์จริงแทนการยึดชื่อตำแหน่งบัญชี

การทดสอบหลังแก้ควรใช้ผู้ได้รับอนุญาตและขอบเขตงานชัดเจน อย่าทดลองนำข้อมูลลูกค้าออกจำนวนมากเพื่อพิสูจน์ว่าทำได้ เพราะอาจสร้างสำเนาและความเสี่ยงใหม่โดยไม่จำเป็น

เลนส์ทนายยอดทิพย์ธรรม: อย่าให้รายงานกู้บัญชีแทนรายงานผลกระทบ

คนมักเข้าใจว่า: ได้บัญชีคืนและเปิดการยืนยันหลายขั้นตอนแล้วจึงไม่เหลือเรื่องให้แจ้ง หรือถ้าผู้โจมตีใช้ชื่อบัญชีพนักงานก็เป็นความผิดของพนักงานคนนั้นแน่นอน

กฎหมายมองว่า: ต้องตรวจเหตุละเมิด หน้าที่ของแต่ละฝ่าย และหลักฐานความเสียหายตามข้อเท็จจริง มาตรการแก้ไขภายหลังช่วยลดผลกระทบ แต่ไม่ได้ลบเหตุที่เกิดไปแล้ว ส่วนชื่อบัญชีเป็นจุดเริ่มตรวจ ไม่ใช่ข้อพิสูจน์ตัวผู้กระทำโดยลำพัง

จุดเสี่ยงจริง: รีบลบบัญชีหรือเครื่องที่เกี่ยวข้องจนหลักฐานหาย แจ้งลูกค้าว่าไม่กระทบข้อมูลทั้งที่ยังตรวจระบบเชื่อมต่อไม่ครบ หรือให้ผู้รับจ้างรับรองแทนโดยไม่ระบุข้อจำกัด ควรให้ผู้ลงนามเห็นผลตรวจและงานค้างในฉบับเดียวกัน

มองสองฝั่ง: บริษัทเจ้าของระบบกับผู้ให้บริการ

หากคู่ค้าเป็นผู้ประมวลผล ให้ตรวจมาตรา 40 และข้อตกลงประมวลผลข้อมูลประกอบ การกำหนดให้คู่ค้ารายงานเร็วช่วยให้บริษัททำหน้าที่ได้ทัน แต่ไม่ย้ายความรับผิดทั้งหมดออกจากผู้ควบคุมข้อมูล

กำหนดแจ้งเหตุเริ่มนับจากยึดบัญชีหรือจากทราบเหตุ?

หน้าที่ตามมาตรา 37 (4) อ้างเวลาที่ผู้ควบคุมข้อมูลทราบเหตุ ต้องแจ้งสำนักงานโดยไม่ชักช้าภายใน 72 ชั่วโมงเท่าที่สามารถกระทำได้ เว้นแต่ไม่มีความเสี่ยงตามเงื่อนไข หากมีความเสี่ยงสูงต่อสิทธิและเสรีภาพต้องแจ้งเจ้าของข้อมูลโดยไม่ชักช้าพร้อมแนวทางเยียวยา

เวลาที่ผู้โจมตีเริ่มใช้งาน เวลาที่ระบบแจ้งเตือน และเวลาที่บริษัททราบเหตุอาจต่างกัน ให้เก็บทั้งหมดพร้อมเหตุผล ไม่รอรายงานนิติวิทยาศาสตร์ฉบับสุดท้ายก่อนเริ่มนับโดยอัตโนมัติ และไม่ถือว่าการแจ้งตำรวจแทนการแจ้งสำนักงานได้

แผนภายในอาจกำหนดรายงานสั้นทุกสี่ชั่วโมงระหว่างเหตุยังดำเนินอยู่ โดยรายงานว่าช่องทางใดปิดแล้วและช่องทางใดยังตรวจอยู่ ตัวเลขนี้เป็นตัวอย่างการประสานงาน ไม่ใช่ระยะเวลาทางกฎหมาย หากพบข้อมูลใหม่หลังรายงาน อ่าน วิธีจัดรายงานเหตุเพิ่มเติม เพื่ออธิบายสิ่งที่เปลี่ยนโดยไม่ปกปิดความคลาดเคลื่อนเดิม

งบกู้บัญชีและตรวจเหตุคำนวณอย่างไร?

ตัวอย่างสมมติ: ตรวจเหตุ 12 ชั่วโมง × 1,200 บาท = 14,400 บาท จัดระบบสิทธิใหม่ 6,000 บาท และทดสอบกู้คืน 4,000 บาท รวม 24,400 บาท จำนวนนี้เป็นงบจำลอง ไม่ใช่ราคาบริการของสำนักงานหรือค่าชดใช้ตามกฎหมาย

ควรแยกค่าใช้จ่ายเร่งด่วนออกจากงานยกระดับระบบระยะยาว และระบุผู้อนุมัติงานเพิ่มทุกครั้ง หากพบระบบเชื่อมต่อใหม่ ควรปรับขอบเขตงานกับสิ่งส่งมอบให้ชัดก่อนคิดว่าราคาตรวจเดิมครอบคลุมทั้งหมด

ผลกระทบจากธุรกรรมผิดหรือบริการหยุดต้องเก็บหลักฐานแยกต่างหาก การมีค่าแก้ระบบไม่ได้แปลว่าบริษัทมีสิทธิเรียกทั้งหมดจากพนักงานหรือคู่ค้าเสมอ ต้องตรวจเหตุ ความสัมพันธ์ สัญญา และข้อกฎหมายที่เกี่ยวข้องก่อนหักเงินหรือเรียกร้อง

ชุดหลักฐานที่ควรเก็บสำหรับบัญชีแอดมินมีอะไร?

• รายชื่อบัญชี สิทธิ กลุ่มที่เป็นสมาชิก และประวัติเปลี่ยนสิทธิในช่วงเกิดเหตุ
• บันทึกเข้าสู่ระบบ อุปกรณ์ ที่อยู่เครือข่าย และผลยืนยันตัวตน พร้อมข้อจำกัดเรื่องความแม่นยำ
• รายการกุญแจเชื่อมต่อ แอปที่ได้รับอนุญาต และหลักฐานเพิกถอน โดยไม่ใส่ค่าความลับในรายงานทั่วไป
• ประวัติส่งออก แก้ไข ลบ และกู้คืนข้อมูล พร้อมระบบที่ยังไม่ได้ตรวจ
• ลำดับเหตุการณ์ ผู้ส่งมอบหลักฐาน และการจำกัดสิทธิแฟ้มตรวจสอบ
• บันทึกความเสี่ยง การแจ้ง และผลทดสอบหลังแก้ รวมถึงงานค้างที่มีเจ้าของงาน

เก็บเวลาพร้อมเขตเวลาและตรวจความคลาดเคลื่อนของนาฬิกาแต่ละระบบ หากต้องแปลงเวลาในรายงานให้คงค่าต้นฉบับไว้ด้วย เพราะการเรียงเหตุการณ์ผิดอาจทำให้เข้าใจว่าการเข้าถึงเกิดหลังปิดช่องทาง ทั้งที่เป็นความต่างของนาฬิกา

คดีอาญาและสัญญาดูแลระบบเกี่ยวข้องอย่างไร?

พฤติการณ์เข้าถึงระบบหรือข้อมูลโดยมิชอบอาจต้องประเมินกฎหมายคอมพิวเตอร์และกฎหมายอาญาเป็นรายกรณี งานคดีอาญา ควรเริ่มจากหลักฐานที่ตรวจสอบได้ โดยหลีกเลี่ยงการเปิดเผยชื่อผู้ถูกสงสัยต่อสาธารณะก่อนมีฐานข้อเท็จจริงเพียงพอ

ด้าน กฎหมายธุรกิจและสัญญา ให้ตรวจสิทธิแอดมินที่อนุมัติไว้ หน้าที่เก็บบันทึก การแจ้งเหตุ และข้อจำกัดความรับผิด การผิดสัญญากับหน้าที่ตาม PDPA อาจต้องดำเนินการคู่กัน แต่ไม่ควรใช้ข้อสัญญามาอ้างว่าบริษัทไม่ต้องแจ้งตามกฎหมาย

ทางไปต่อ: ควบคุมสิทธิให้ครบก่อนปิดเหตุ

1. ตั้งทีมควบคุมเหตุและรักษาหลักฐานตามขอบเขตที่ได้รับอนุญาต
2. ตรวจบัญชี สิทธิ และช่องทางเชื่อมต่อที่อาจคงอยู่หลังเปลี่ยนรหัสผ่าน
3. แยกข้อมูลที่ได้รับผลกระทบแล้วออกจากข้อมูลที่ยังอยู่ระหว่างตรวจ
4. ประเมินและดำเนินหน้าที่แจ้ง พร้อมติดตามข้อเท็จจริงใหม่
5. ทดสอบการเพิกถอนสิทธิ ความถูกต้องข้อมูล และการกู้คืนก่อนอนุมัติปิดงาน

ควรขอความช่วยเหลือเมื่อยังหยุดการเข้าถึงไม่ได้ พบข้อมูลอ่อนไหว บันทึกถูกลบ หรือมีระบบคู่ค้าหลายรายเกี่ยวข้อง สามารถ ติดต่อทีมงาน เพื่อหารือ บริการด้าน PDPA และ งานรับมือเหตุละเมิดข้อมูล พร้อมรายการระบบและลำดับเหตุการณ์เบื้องต้น

แหล่งกฎหมาย: พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และ ประกาศหลักเกณฑ์แจ้งเหตุละเมิด พ.ศ. 2565

ผู้เขียน นายเอกราช ทิพย์แมม คดีครอบครัว มรดก และหนี้สิน

สาขาที่เชี่ยวชาญ: ครอบครัว · มรดกและพินัยกรรม · หนี้สินและบังคับคดี

ดูประวัติทีมทนายความ →

บทความนี้เป็นความรู้กฎหมายทั่วไปเพื่อความเข้าใจเบื้องต้น ไม่ใช่คำปรึกษาทางกฎหมายเฉพาะคดี ผลทางกฎหมายขึ้นอยู่กับข้อเท็จจริง เอกสาร และพยานหลักฐานของแต่ละกรณี ควรปรึกษาทนายความเพื่อประเมินเรื่องของท่านโดยเฉพาะ