PDPA และความมั่นคงปลอดภัยไซเบอร์: หน้าที่และความรับผิดชอบที่องค์กรต้องเร่งดำเนินการ

ความเชื่อมโยงระหว่าง PDPA และความมั่นคงปลอดภัยไซเบอร์

การปฏิบัติตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล (PDPA) ไม่ใช่เพียงเรื่องของเอกสารยินยอม แต่เป็นเรื่องของมาตรการรักษาความปลอดภัยทางเทคนิคและองค์กร องค์กรในฐานะผู้ควบคุมข้อมูล (Controller) มีหน้าที่ต้องจัดให้มีมาตรการรักษาความปลอดภัยขั้นต่ำตามที่กฎหมายกำหนด เพื่อป้องกันการเข้าถึงข้อมูลโดยมิชอบ การสูญหาย หรือการรั่วไหลของข้อมูลส่วนบุคคล

แนวทางปฏิบัติเพื่อความปลอดภัยตามกฎหมาย

องค์กรควรดำเนินการตามแนวทาง Risk-Based Approach โดยพิจารณาจากความอ่อนไหวของข้อมูลและปริมาณข้อมูลที่จัดเก็บ มาตรการที่สำคัญประกอบด้วย:

1. การควบคุมการเข้าถึง (Access Control): ใช้หลักการ Least Privilege และการพิสูจน์ตัวตนที่เข้มงวด
2. การเก็บรักษา Log: ตาม พ.ร.บ.คอมพิวเตอร์ องค์กรต้องเก็บรักษาข้อมูลจราจรทางคอมพิวเตอร์ไว้อย่างน้อย 90 วัน
3. การจัดการผู้ให้บริการภายนอก (Vendor Risk Management): ต้องกำหนดข้อกำหนดด้านความปลอดภัยในสัญญาจ้างให้ชัดเจน

การรับมือเมื่อเกิดเหตุละเมิดข้อมูล

เมื่อเกิดเหตุการณ์ข้อมูลรั่วไหล องค์กรต้องให้ความสำคัญกับการจำกัดความเสียหาย (Containment) ทันที และเก็บรักษาพยานหลักฐาน (Evidence Preservation) เพื่อใช้ในการสืบสวน การมีแผนรับมือเหตุการณ์ (Incident Response Plan) ที่ผ่านการทดสอบจะช่วยลดผลกระทบต่อสิทธิและเสรีภาพของเจ้าของข้อมูลได้อย่างมีนัยสำคัญ

---

แหล่งอ้างอิง

1. หน้าที่ด้าน PDPA และความมั่นคงปลอดภัยไซเบอร์ขององค์กรในไทย
2. กฎหมายความมั่นคงปลอดภัยสารสนเทศของประเทศไทย