ระบบถูกแฮกหรือข้อมูลถูกดาวน์โหลดออกไป ต้องเก็บหลักฐานอะไรทันที

ปฏิกิริยาแรกของทุกองค์กรเมื่อพบว่าระบบถูกเจาะคือทำให้ระบบกลับมาใช้งานได้เร็วที่สุด ซึ่งถูกต้องในแง่ธุรกิจ แต่เป็นจังหวะเดียวกับที่หลักฐานหายไปมากที่สุด เพราะการล้างเครื่อง ติดตั้งใหม่ หรือกู้จากสำเนาสำรอง ล้วนทับข้อมูลที่ต้องใช้ตอบคำถามภายหลัง การเก็บหลักฐานเมื่อถูกแฮกจึงต้องเกิดขึ้นก่อนหรืออย่างน้อยพร้อมกับการกู้ระบบ ไม่ใช่หลังจากนั้น

ทำไมหลักฐานทางเทคนิคถึงหายเร็วกว่าที่คิด

เพราะระบบส่วนใหญ่ถูกออกแบบมาให้เก็บข้อมูลเท่าที่จำเป็น ไม่ได้ออกแบบมาเพื่อการสอบสวน

• บันทึกการเข้าใช้งานระบบมีเพดานพื้นที่ เมื่อเต็มจะเขียนทับของเก่า ซึ่งในระบบที่มีทราฟฟิกสูงอาจใช้เวลาเพียงไม่กี่วัน
• อุปกรณ์เครือข่ายมักเก็บบันทึกสั้นกว่าเซิร์ฟเวอร์มาก บางรุ่นเก็บเพียงหลักชั่วโมง
• ผู้ให้บริการคลาวด์เก็บบันทึกตามแพ็กเกจที่ซื้อ ถ้าไม่ได้เปิดใช้บริการเก็บบันทึกขยาย ก็ไม่มีให้ดึงย้อนหลัง
• การกู้ระบบจากสำเนาสำรอง ทับสถานะปัจจุบันซึ่งเป็นสถานะที่มีร่องรอย
• การล้างเครื่องหรือติดตั้งใหม่ ลบทั้งร่องรอยผู้บุกรุกและร่องรอยว่าองค์กรมีมาตรการอะไรอยู่

ข้อสุดท้ายเป็นข้อที่เจ็บที่สุด เพราะเมื่อถึงชั้นชี้แจง องค์กรต้องแสดงว่ามีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสมตามมาตรา 37 (1) และมาตรฐานขององค์กรในขณะที่มีการกระทำความผิดเป็นปัจจัยที่ถูกนำมาชั่งน้ำหนักโดยตรง หลักฐานที่พิสูจน์เรื่องนี้กลับหายไปพร้อมกับการล้างเครื่อง

สามคำถามที่หลักฐานต้องตอบให้ได้

คำถาม	ใช้ตอบเรื่องอะไร	หลักฐานที่ตอบได้
ข้อมูลอะไรถูกเข้าถึงบ้าง	ประเภทข้อมูล ซึ่งเป็นปัจจัยประเมินความเสี่ยงข้อสำคัญ	บันทึกการเข้าถึงฐานข้อมูล บันทึกการค้นหา บันทึกการส่งออกข้อมูล
กระทบเจ้าของข้อมูลกี่ราย	ปริมาณและจำนวนรายการ ซึ่งกระทบทั้งการประเมินและการตัดสินใจแจ้ง	ปริมาณข้อมูลที่ถูกส่งออก ขอบเขตตารางหรือแฟ้มที่ถูกเข้าถึง
องค์กรมีมาตรการอะไรอยู่ก่อนเกิดเหตุ	ความเหมาะสมของมาตรการตามมาตรา 37 (1) และมาตรฐานองค์กรในขณะกระทำผิด	ค่าตั้งค่าระบบ ทะเบียนสิทธิเข้าถึง บันทึกการอัปเดตแพตช์ นโยบายที่บังคับใช้จริง

สังเกตว่าไม่มีข้อไหนถามว่าใครเป็นคนทำ เพราะการตามหาตัวผู้กระทำเป็นเรื่องของกระบวนการอื่น ส่วนสิ่งที่องค์กรต้องตอบในฐานะผู้ควบคุมข้อมูลคือขอบเขตความเสียหายและความเหมาะสมของมาตรการของตนเอง

รายการหลักฐานที่ควรเก็บในวันแรก

1. ออกคำสั่งหยุดทำลายและหยุดเขียนทับข้อมูลเป็นลายลักษณ์อักษร ครอบคลุมบันทึกระบบ อีเมล แชท และสำเนาสำรอง พร้อมระบุขอบเขตและช่วงเวลา
2. ขยายเวลาเก็บบันทึกทันที ก่อนที่รอบการเขียนทับจะมาถึง โดยเฉพาะอุปกรณ์เครือข่ายที่เก็บสั้นที่สุด
3. สำเนาบันทึกออกมาเก็บแยก ไม่ใช่ปล่อยไว้ในระบบเดิม เพราะระบบเดิมอาจถูกกู้หรือล้าง
4. บันทึกสถานะปัจจุบันของระบบก่อนแตะต้อง เช่น ภาพหน้าจอ ค่าตั้งค่า รายชื่อบัญชีผู้ใช้และสิทธิที่มีอยู่ ณ ขณะนั้น
5. เก็บหลักฐานว่าใครเข้าถึงอะไรหลังเกิดเหตุด้วย เพราะทีมที่เข้าไปแก้ไขก็ทิ้งร่องรอยที่อาจถูกเข้าใจผิดภายหลัง
6. บันทึกไทม์ไลน์การดำเนินการของทีมเอง ใครทำอะไร เวลาใด ด้วยเหตุผลใด
7. เก็บหลักฐานสถานะมาตรการก่อนเกิดเหตุ เช่น ทะเบียนสิทธิเข้าถึงฉบับล่าสุดก่อนวันเกิดเหตุ บันทึกการอัปเดตระบบ และนโยบายที่ประกาศใช้พร้อมวันที่
8. เก็บการติดต่อทั้งหมดกับผู้ให้บริการภายนอก ทั้งคำขอดึงบันทึกและคำตอบที่ได้รับ

ข้อ 1 เป็นข้อที่ต้นทุนต่ำที่สุดและช่วยได้มากที่สุด เพราะเมื่อมีคำสั่งเป็นลายลักษณ์อักษรที่ระบุวันเวลาไว้ องค์กรจะอธิบายได้ว่าหลักฐานที่หายไปเป็นเพราะรอบระบบที่เกิดก่อนคำสั่ง ไม่ใช่เพราะองค์กรปล่อยให้หายหลังรู้เรื่องแล้ว

เลนส์ทนายยอดทิพย์ธรรม

คนทั่วไปมักเข้าใจว่า… เรื่องเก็บหลักฐานเป็นงานของฝ่ายไอทีล้วน ๆ ฝ่ายกฎหมายค่อยเข้ามาตอนต้องเขียนคำชี้แจง

แต่ในทางคดี กฎหมายและศาลมักมองว่า… คำถามที่ผู้พิจารณาถามไม่ใช่คำถามทางเทคนิค แต่เป็นคำถามเรื่องขอบเขตความเสียหายและความเหมาะสมของมาตรการ ซึ่งต้องการหลักฐานคนละชุดกับที่ฝ่ายไอทีเก็บเพื่อแก้ปัญหา ถ้าฝ่ายกฎหมายเข้ามาทีหลัง หลักฐานที่ต้องใช้ตอบมักไม่ถูกเก็บไว้ตั้งแต่ต้น

จุดเสี่ยงจริงอยู่ตรงนี้… ฝ่ายไอทีมุ่งไปที่การอุดช่องโหว่และกู้ระบบ ซึ่งเป็นเป้าหมายที่ถูกต้องแต่คนละเป้ากับการรักษาหลักฐาน และในหลายกรณีสองเป้าหมายนี้ขัดกันโดยตรง เช่น การล้างเครื่องเพื่อความปลอดภัยเท่ากับการลบหลักฐาน

ทางเลือกที่ควรทำต่อคือ… กำหนดไว้ล่วงหน้าว่าเมื่อพบเหตุ ต้องสำเนาบันทึกออกมาเก็บแยกก่อนเริ่มกู้ระบบ และให้ฝ่ายกฎหมายเข้ามาในชั่วโมงแรกพร้อมฝ่ายไอที ไม่ใช่ในสัปดาห์ที่สอง

ความขัดแย้งระหว่างการกู้ระบบกับการรักษาหลักฐาน

นี่คือปัญหาจริงที่ต้องตัดสินใจภายในไม่กี่ชั่วโมง และไม่มีคำตอบสำเร็จรูป เพราะขึ้นอยู่กับผลกระทบทางธุรกิจ แต่มีหลักที่ช่วยได้

สถานการณ์	ทางที่มักเหมาะสมกว่า
ระบบไม่ใช่ระบบสำคัญ และหยุดได้ชั่วคราว	แยกระบบออกจากเครือข่ายแล้วเก็บหลักฐานให้ครบก่อน จึงค่อยกู้
ระบบต้องกลับมาใช้งานทันที	สำเนาสถานะปัจจุบันออกมาเก็บแยกก่อน แล้วกู้บนระบบใหม่ โดยไม่ทับของเดิม
ผู้บุกรุกยังเข้าถึงอยู่	ตัดการเข้าถึงเป็นอันดับแรกเพื่อระงับความเสียหาย แล้วบันทึกทันทีว่าทำอะไรไปเวลาใด
ไม่แน่ใจว่าขอบเขตแค่ไหน	ขยายเวลาเก็บบันทึกให้กว้างไว้ก่อน เพราะลบทีหลังได้ แต่กู้คืนไม่ได้

หลักที่ใช้ได้ในทุกกรณีคือ อะไรที่ทำแล้วย้อนกลับไม่ได้ ให้ทำหลังสุด การตัดการเข้าถึงย้อนกลับได้ การล้างเครื่องย้อนกลับไม่ได้

ปลายทางถ้าไม่มีหลักฐาน

1. องค์กรประเมินความเสี่ยงไม่ได้ เพราะไม่รู้ว่าข้อมูลอะไรถูกเข้าถึงและกระทบกี่ราย ซึ่งเป็นสองปัจจัยหลักในประกาศ
2. เมื่อประเมินไม่ได้ การตัดสินใจเรื่องแจ้งเหตุก็ทำบนข้อมูลที่ไม่ครบ และมีความเสี่ยงทั้งแจ้งเกินและไม่แจ้งทั้งที่ต้องแจ้ง
3. ในชั้นชี้แจง องค์กรพิสูจน์ไม่ได้ว่ามีมาตรการที่เหมาะสมอยู่ก่อนเกิดเหตุ ทำให้ปัจจัยเรื่องมาตรฐานขององค์กรในขณะกระทำผิดไม่ถูกนำมาชั่งน้ำหนักให้
4. หากเจ้าของข้อมูลฟ้องแพ่งเรียกค่าสินไหมทดแทน องค์กรไม่มีหลักฐานโต้แย้งเรื่องขอบเขตความเสียหาย
5. และหากหลักฐานหายไปหลังจากที่องค์กรทราบเหตุแล้ว จะมีประเด็นเรื่องความสุจริตของกระบวนการภายในเพิ่มขึ้นอีกชั้น

หลักฐานที่ต้องเก็บ

• คำสั่งหยุดทำลายและหยุดเขียนทับข้อมูล พร้อมวันเวลาและรายชื่อผู้รับทราบ
• สำเนาบันทึกระบบที่ดึงออกมาเก็บแยก พร้อมบันทึกว่าดึงเมื่อใดและโดยใคร
• ภาพและค่าตั้งค่าของระบบ ณ สถานะก่อนแก้ไข
• ทะเบียนสิทธิเข้าถึงฉบับที่ใช้อยู่ก่อนวันเกิดเหตุ
• บันทึกการอัปเดตระบบและการแก้ไขช่องโหว่ที่ทำมาก่อนหน้า
• ไทม์ไลน์การดำเนินการของทีมหลังทราบเหตุ
• การติดต่อกับผู้ให้บริการภายนอกทั้งหมด
• บันทึกว่าหลักฐานใดไม่สามารถเก็บได้และเพราะเหตุใด ซึ่งสำคัญไม่แพ้หลักฐานที่เก็บได้

ถ้าเป็นฝ่ายองค์กร ต้องเตรียมอะไรไว้ก่อน

• รู้หรือไม่ว่าระบบแต่ละตัวเก็บบันทึกไว้กี่วัน โดยเฉพาะอุปกรณ์เครือข่าย
• มีวิธีขยายเวลาเก็บบันทึกอย่างรวดเร็วหรือไม่ และใครมีสิทธิทำ
• มีที่เก็บหลักฐานแยกจากระบบที่ถูกกระทบหรือเปล่า
• แบบฟอร์มคำสั่งหยุดทำลายข้อมูลพร้อมใช้หรือยัง
• ผู้ให้บริการคลาวด์เก็บบันทึกให้กี่วัน และต้องขออย่างไรจึงจะได้
• ใครเป็นผู้ตัดสินใจระหว่างการกู้ระบบกับการรักษาหลักฐาน
• ฝ่ายกฎหมายติดต่อได้นอกเวลาทำการหรือไม่
• เคยซ้อมสถานการณ์นี้แล้วหรือยัง โดยเฉพาะกรณีที่เกิดนอกเวลาทำการ

อีกฝ่ายอาจโต้แย้งอย่างไร

• "หลักฐานหายหลังทราบเหตุ" — เป็นข้อโต้แย้งที่หนักที่สุดและแก้ยากมากถ้าไม่มีคำสั่งหยุดทำลาย
• "ล้างเครื่องเพื่อกลบร่องรอย" — แม้จะทำด้วยเหตุผลทางเทคนิคจริง ก็ต้องมีบันทึกอธิบายว่าทำไมและเมื่อใด
• "ประเมินขอบเขตต่ำกว่าความจริง" — เมื่อองค์กรไม่มีบันทึกยืนยัน ตัวเลขที่อ้างจะถูกตั้งคำถาม
• "อ้างว่ามีมาตรการแต่ไม่มีหลักฐาน" — เพราะหลักฐานสถานะก่อนเกิดเหตุถูกลบไปพร้อมกัน
• "รู้ว่ามีช่องโหว่มานานแล้ว" — เมื่อบันทึกการแจ้งเตือนหรือรายงานการตรวจสอบก่อนหน้าแสดงว่าเคยพบปัญหา

ถ้าเกิดเหตุวันนี้ ควรทำอะไรตามลำดับ

1. บันทึกเวลาที่ทราบเหตุ แล้วออกคำสั่งหยุดทำลายและหยุดเขียนทับข้อมูลทันที
2. ตัดการเข้าถึงของผู้บุกรุกเพื่อระงับความเสียหาย พร้อมจดเวลาที่ทำ
3. ขยายเวลาเก็บบันทึกและสำเนาบันทึกออกมาเก็บแยก ก่อนเริ่มกู้ระบบ
4. บันทึกสถานะระบบ ณ ปัจจุบันก่อนแก้ไขใด ๆ
5. รวบรวมหลักฐานสถานะมาตรการก่อนเกิดเหตุจากที่เก็บอื่นที่ไม่ถูกกระทบ
6. ให้ทนายและฝ่ายไอทีประเมินร่วมกันว่าข้อมูลอะไรถูกเข้าถึงและกระทบกี่ราย เพื่อใช้ตัดสินใจเรื่องแจ้งเหตุ

กรณีแบบไหนที่ควรปรึกษาทนายทันที

• ไม่แน่ใจว่าควรกู้ระบบก่อนหรือเก็บหลักฐานก่อน
• ผู้บุกรุกยังเข้าถึงระบบอยู่ หรือมีการเรียกค่าไถ่
• ไม่สามารถระบุได้ว่าข้อมูลอะไรถูกเข้าถึงและกระทบกี่ราย
• บันทึกที่ต้องใช้ถูกลบไปแล้วก่อนที่จะมีคำสั่งหยุดทำลาย
• เหตุเกิดในระบบของผู้ให้บริการภายนอกและองค์กรเข้าถึงบันทึกเองไม่ได้
• มีสัญญาณว่าข้อมูลถูกนำไปเผยแพร่หรือเสนอขายแล้ว
• องค์กรเคยได้รับแจ้งเตือนเรื่องช่องโหว่นี้มาก่อนแล้วแต่ยังไม่ได้แก้

สำนักงานกฎหมายยอดทิพย์ธรรม ช่วยอะไรได้บ้าง

บริการประเมินเหตุข้อมูลรั่วไหลเร่งด่วน ซึ่งอยู่ในงานที่ปรึกษากฎหมาย PDPA สำหรับองค์กร ของเรา เข้าไปช่วยกำหนดว่าต้องเก็บหลักฐานอะไรก่อน ออกคำสั่งหยุดทำลายข้อมูล และจัดทำไทม์ไลน์เหตุการณ์ให้ใช้ยันได้ในชั้นชี้แจง โดยทำงานคู่ขนานไปกับทีมเทคนิคที่กำลังกู้ระบบ

จุดที่เราให้ความสำคัญคือการจัดระบบเอกสารและพยานหลักฐานตั้งแต่ต้น เพราะในเรื่องนี้ องค์กรที่เสียเปรียบมักไม่ใช่องค์กรที่ป้องกันไม่ดี แต่เป็นองค์กรที่ป้องกันดีแล้วพิสูจน์ไม่ได้ว่าเคยป้องกัน เพราะหลักฐานหายไปพร้อมกับการกู้ระบบ

สรุป

การเก็บหลักฐานเมื่อถูกแฮกต้องเกิดก่อนหรือพร้อมกับการกู้ระบบ เพราะบันทึกทางเทคนิคถูกเขียนทับตามรอบอัตโนมัติ และการล้างเครื่องเพื่อความปลอดภัยลบทั้งร่องรอยผู้บุกรุกและร่องรอยว่าองค์กรมีมาตรการอะไรอยู่

สิ่งที่ต้องเก็บไม่ใช่หลักฐานเพื่อจับผู้กระทำ แต่คือหลักฐานที่ตอบสามคำถามว่าข้อมูลอะไรถูกเข้าถึง กระทบกี่ราย และองค์กรมีมาตรการอะไรอยู่ก่อน หลักที่ใช้ได้เสมอคืออะไรที่ทำแล้วย้อนกลับไม่ได้ ให้ทำหลังสุด

หากคุณกำลังเจอปัญหาลักษณะนี้ ปรึกษาทีมทนายของสำนักงานกฎหมายยอดทิพย์ธรรม โทร 081-327-8551 | LINE @995iqtpa หรือนัดหมายปรึกษาที่นี่

ข้อกฎหมายที่เกี่ยวข้อง

• พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 37 (1) — หน้าที่จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลโดยปราศจากอำนาจหรือโดยมิชอบ ซึ่งเป็นสิ่งที่ต้องพิสูจน์ด้วยหลักฐานสถานะก่อนเกิดเหตุ
• มาตรา 37 (4) — หน้าที่แจ้งเหตุการละเมิดแก่สำนักงานฯ ภายใน 72 ชั่วโมงนับแต่ทราบเหตุ ซึ่งการประเมินว่าต้องแจ้งหรือไม่อาศัยข้อเท็จจริงที่ได้จากหลักฐานชุดนี้
• ประกาศ กคส. เรื่อง หลักเกณฑ์และวิธีการในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล พ.ศ. 2565 · ปัจจัยประเมินความเสี่ยง — รวมถึงลักษณะและประเภทของข้อมูล ปริมาณข้อมูลและจำนวนรายการที่เกี่ยวข้อง และลักษณะของระบบเก็บข้อมูลกับมาตรการรักษาความมั่นคงปลอดภัยที่มีอยู่
• ประกาศฯ · หน้าที่หลังทราบเหตุ — ตรวจสอบข้อเท็จจริงเกี่ยวกับการละเมิด ตรวจสอบมาตรการรักษาความมั่นคงปลอดภัย และดำเนินการป้องกัน ระงับ หรือแก้ไขโดยทันทีเท่าที่จะทำได้
• ประกาศ กคส. เรื่อง หลักเกณฑ์การพิจารณาออกคำสั่งลงโทษปรับทางปกครองฯ พ.ศ. 2565 ข้อ 8 — ปัจจัยที่นำมาพิจารณา รวมถึงลักษณะของระบบและมาตรฐานขององค์กรในขณะที่มีการกระทำความผิด
• มาตรา 39 — บันทึกรายการกิจกรรมการประมวลผล ซึ่งเป็นเอกสารที่ช่วยระบุได้ว่าระบบใดเก็บข้อมูลประเภทใดไว้
• กรณีที่เหตุเข้าข่ายความผิดตามกฎหมายอื่น เช่น กฎหมายว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ หรือกฎหมายว่าด้วยการรักษาความมั่นคงปลอดภัยไซเบอร์ อาจมีหน้าที่เพิ่มเติมแยกต่างหาก ควรตรวจสอบเป็นรายกรณี

คำถามที่พบบ่อย

ควรกู้ระบบก่อนหรือเก็บหลักฐานก่อน

โดยหลักควรระงับความเสียหายก่อน เช่น ตัดการเข้าถึงของผู้บุกรุก จากนั้นสำเนาหลักฐานออกมาเก็บแยก แล้วจึงกู้ระบบบนสภาพแวดล้อมใหม่โดยไม่ทับของเดิม หลักที่ใช้ได้เสมอคือสิ่งที่ทำแล้วย้อนกลับไม่ได้ให้ทำหลังสุด เพราะการตัดการเข้าถึงย้อนกลับได้ แต่การล้างเครื่องย้อนกลับไม่ได้ ทั้งนี้แนวทางที่เหมาะสมขึ้นอยู่กับความสำคัญของระบบและผลกระทบทางธุรกิจ ควรให้ทนายและทีมเทคนิคประเมินร่วมกัน

บันทึกระบบถูกลบไปแล้วก่อนที่จะรู้ว่าต้องเก็บ ทำอย่างไร

ควรบันทึกไว้ให้ชัดว่าหลักฐานใดไม่สามารถเก็บได้ เพราะเหตุใด และรอบการเขียนทับของระบบนั้นเป็นอย่างไร ซึ่งมีความสำคัญไม่แพ้หลักฐานที่เก็บได้ เพราะช่วยอธิบายว่าการที่ไม่มีหลักฐานเกิดจากข้อจำกัดของระบบที่มีมาก่อน ไม่ใช่จากการทำลายหลังทราบเหตุ จากนั้นให้รวบรวมหลักฐานทางอ้อมจากแหล่งอื่นที่ยังเหลืออยู่ เช่น ระบบสำรอง อุปกรณ์ปลายทาง หรือบันทึกของผู้ให้บริการภายนอก

ข้อมูลอยู่บนคลาวด์ องค์กรดึงบันทึกเองไม่ได้ ต้องทำอย่างไร

ควรติดต่อผู้ให้บริการเป็นลายลักษณ์อักษรทันทีเพื่อขอให้ระงับการลบบันทึกและขอสำเนาบันทึกในช่วงเวลาที่เกี่ยวข้อง พร้อมเก็บหลักฐานการติดต่อและคำตอบที่ได้รับไว้ทั้งหมด เพราะในฐานะผู้ควบคุมข้อมูล องค์กรยังมีหน้าที่ประเมินและแจ้งเหตุอยู่ แม้ข้อมูลจะอยู่ในระบบของผู้อื่น กรณีนี้ยังชี้ให้เห็นความสำคัญของการกำหนดเรื่องการเข้าถึงบันทึกไว้ในข้อตกลงกับผู้ให้บริการตั้งแต่ก่อนเกิดเหตุ

จำเป็นต้องจ้างผู้เชี่ยวชาญภายนอกมาตรวจสอบไหม

ขึ้นอยู่กับขนาดและความซับซ้อนของเหตุ กรณีที่ขอบเขตไม่ชัดเจน มีข้อมูลจำนวนมากเกี่ยวข้อง หรือองค์กรไม่มีความสามารถในการวิเคราะห์บันทึกเอง การใช้ผู้เชี่ยวชาญภายนอกช่วยให้ผลการประเมินมีน้ำหนักมากขึ้นในชั้นชี้แจง ทั้งนี้ควรกำหนดขอบเขตงานให้ครอบคลุมคำถามที่ต้องตอบตามกฎหมายด้วย ไม่ใช่เฉพาะการอุดช่องโหว่ทางเทคนิค และควรให้ทนายร่วมกำหนดขอบเขตตั้งแต่ต้น

ผู้เขียน นายเอกราช ทิพย์แมม คดีครอบครัว มรดก และหนี้สิน

สาขาที่เชี่ยวชาญ: ครอบครัว · มรดกและพินัยกรรม · หนี้สินและบังคับคดี

ดูประวัติทีมทนายความ →

บทความนี้เป็นความรู้กฎหมายทั่วไปเพื่อความเข้าใจเบื้องต้น ไม่ใช่คำปรึกษาทางกฎหมายเฉพาะคดี ผลทางกฎหมายขึ้นอยู่กับข้อเท็จจริง เอกสาร และพยานหลักฐานของแต่ละกรณี ควรปรึกษาทนายความเพื่อประเมินเรื่องของท่านโดยเฉพาะ