ข้อมูลรั่วกว่าครึ่งในไทยไม่ได้มาจากแฮกเกอร์: สถิติ 1,650 เหตุของ สคส. บอกอะไรเรื่องอุปกรณ์เก่าในบริษัท

Read in English

ตัวเลขจาก สคส. เล่าอีกมุมหนึ่งของข้อมูลรั่ว

เวลาได้ยินคำว่า "ข้อมูลรั่ว" คนไทยส่วนใหญ่มักนึกถึงแฮกเกอร์ ข้อความเรียกค่าไถ่ หรือฐานข้อมูลที่ถูกประกาศขายบนดาร์กเว็บ แต่หน่วยงานกำกับดูแลด้านข้อมูลส่วนบุคคลของไทยบอกว่าภาพนั้นถูกเพียงครึ่งเดียว

ในงานพบสื่อมวลชนเมื่อวันที่ 21 ตุลาคม 2569 สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) เปิดเผยว่าตั้งแต่ปี 2566 ถึงวันที่ 31 พฤษภาคม 2569 ได้รับแจ้งเหตุละเมิดข้อมูลส่วนบุคคลรวม 1,650 เรื่อง ในจำนวนนี้ 849 เรื่อง หรือ 51.45% เป็นเหตุที่ไม่เกี่ยวกับไซเบอร์ (Non-cyber) อีก 747 เรื่อง หรือ 45.27% เป็นเหตุทางไซเบอร์ และอีก 54 เรื่องมาจากสาเหตุอื่น ในกลุ่มไซเบอร์แบ่งเป็นภัยคุกคามทางไซเบอร์ 567 เรื่อง และเหตุที่เกี่ยวกับโซเชียลมีเดีย 180 เรื่อง ส่วนกลุ่ม Non-cyber นั้นส่วนใหญ่เกี่ยวข้องกับความผิดพลาดของคน (Human Error) ตามรายงานของ ผู้จัดการออนไลน์ และ แนวหน้า

พ.ต.อ. สุรพงศ์ เปล่งขำ เลขาธิการคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ระบุชัดว่าตัวเลข 1,650 เหตุสะท้อนว่าเรื่องข้อมูลรั่วไหลไม่ได้มีคำตอบแค่ว่า "ถูกแฮกหรือไม่" เพราะกว่าครึ่งอยู่ในกลุ่ม Non-cyber และ Human Error การป้องกันจึงต้องมองทั้งระบบ ตั้งแต่เทคโนโลยี บุคลากร กระบวนการทำงาน ไปจนถึงวัฒนธรรมการคุ้มครองข้อมูลภายในองค์กร

ใครแจ้งเหตุมากที่สุด

กลุ่มการเงิน การลงทุน และการประกันภัยแจ้งเหตุมากที่สุด 723 เรื่อง ตามด้วยหน่วยงานรัฐและรัฐวิสาหกิจ 206 เรื่อง ธุรกิจค้าปลีก ค้าส่ง และการค้าออนไลน์ 204 เรื่อง กลุ่มพลังงาน สาธารณูปโภค และอุตสาหกรรมการผลิต 105 เรื่อง และด้านสาธารณสุข 87 เรื่อง สำหรับสถานะของทั้ง 1,650 เหตุ มี 569 เรื่องอยู่ระหว่างดำเนินการ 1,071 เรื่องอยู่ในการเฝ้าระวังและติดตาม และ 9 เรื่องถูกเสนอต่อคณะกรรมการผู้เชี่ยวชาญ ซึ่งเป็นผู้มีอำนาจสั่งลงโทษปรับทางปกครอง

ในงานเดียวกัน สคส. ยังเปิดสถิติเรื่องร้องเรียนและข้อปรึกษา 4,210 เรื่อง โดย 3,889 เรื่องเป็นการร้องเรียนภาคเอกชน และประเด็นที่ถูกร้องเรียนมากที่สุดคือการเปิดเผยข้อมูลส่วนบุคคลโดยไม่ได้รับความยินยอม 1,025 เรื่อง

"ความผิดพลาดของคน" ในออฟฟิศ หน้าตาเป็นอย่างไร

สคส. ไม่ได้แจกแจงรายละเอียดของเหตุกลุ่ม Non-cyber มากไปกว่าการระบุว่าส่วนใหญ่มาจาก Human Error แต่ใครที่เคยทำงานในออฟฟิศไทยย่อมนึกภาพออกว่าข้อมูลหลุดออกไปได้อย่างไรโดยไม่ต้องมีแฮกเกอร์ ไม่ว่าจะเป็นไฟล์ Excel ที่ส่งอีเมลผิดคน โฟลเดอร์แชร์ที่ใครมีลิงก์ก็เปิดได้ โน้ตบุ๊กที่ติดตัวพนักงานลาออกไปโดยไม่เคยถูกล้างข้อมูล มือถือที่ส่งซ่อมทั้งที่ยังล็อกอินกลุ่ม LINE ของบริษัทอยู่ หรือกล่องฮาร์ดดิสก์เก่าที่วางในห้องเก็บของจนมีคนเอาไปขายเป็นของเก่า

ตัวอย่างหลัง ๆ เหล่านี้คือสิ่งที่มักถูกลืม เพราะในวันที่เกิดเรื่องไม่มีอะไรผิดปกติให้เห็น อุปกรณ์ที่เลิกใช้ไม่ส่งสัญญาณเตือนใคร มันแค่เก็บข้อมูลไว้เงียบ ๆ จนกว่าจะมีใครสักคนเสียบเครื่องขึ้นมา

เรื่องนี้หมายความว่าอย่างไรกับบริษัทของคุณ

• ไฟร์วอลล์ป้องกันห้องเก็บของไม่ได้ ถ้าเหตุที่ถูกแจ้งกว่าครึ่งไม่เกี่ยวกับไซเบอร์ งบความปลอดภัยที่จบแค่ระบบเครือข่ายก็ยังทิ้งช่องว่างขนาดใหญ่ไว้ โน้ตบุ๊ก คอมพิวเตอร์ตั้งโต๊ะ มือถือ และดิสก์สำรองข้อมูลเก่ายังนับเป็นข้อมูลขององค์กร จนกว่าสื่อบันทึกข้อมูลจะถูกลบหรือทำลายอย่างถูกวิธี
• ทุกจังหวะส่งต่ออุปกรณ์คือจุดเสี่ยง การลาออกของพนักงาน การย้ายสำนักงาน การเปลี่ยนเครื่องใหม่ การส่งซ่อม และการคืนเครื่องเช่า คือช่วงที่อุปกรณ์เปลี่ยนมือและขั้นตอนมักถูกข้าม การลบไฟล์หรือฟอร์แมตดิสก์ไม่ได้ทำให้ข้อมูลหายไป โปรแกรมกู้ข้อมูลฟรีก็ดึงกลับมาได้
• PDPA ต้องการระบบ ไม่ใช่แค่ความตั้งใจดี ผู้ควบคุมข้อมูลต้องจัดให้มีมาตรการรักษาความปลอดภัยที่เหมาะสม และมีระบบลบหรือทำลายข้อมูลส่วนบุคคลที่ไม่จำเป็นแล้ว อ่านเพิ่มเติมว่าเรื่องนี้เกี่ยวกับอุปกรณ์ที่เลิกใช้อย่างไรได้ที่ข้อกำหนด PDPA
• ธุรกิจที่ถูกกำกับเข้มงวดแบกภาระหนักที่สุด ธนาคาร บริษัทประกัน โบรกเกอร์ โรงพยาบาล และร้านค้าปลีก ถือข้อมูลลูกค้าที่อ่อนไหวที่สุด และตัวเลขของ สคส. ก็ชี้ว่ากลุ่มเหล่านี้แจ้งเหตุบ่อยที่สุด หลักฐานการทำลายข้อมูลที่บันทึกไว้เป็นระบบคือวิธีง่ายที่สุดวิธีหนึ่งในการแสดงว่าองค์กรจัดการความเสี่ยงนี้อย่างจริงจัง

เช็กลิสต์อุปกรณ์ง่าย ๆ เพื่อลดความผิดพลาดของคน

1. จัดทำทะเบียนอุปกรณ์ทุกชิ้นที่เก็บข้อมูล ทั้งโน้ตบุ๊ก คอมพิวเตอร์ตั้งโต๊ะ มือถือ แท็บเล็ต เซิร์ฟเวอร์ NAS และดิสก์ที่ถอดแยกไว้ พร้อมระบุว่าใครถือเครื่องไหนอยู่ และอัปเดตให้เป็นปัจจุบันเสมอ
2. กำหนดให้การคืนเครื่องและการลบข้อมูลเป็นขั้นตอนบังคับเมื่อพนักงานลาออก โดยฝ่ายไอทีเป็นผู้ลงนามรับรอง ไม่ปล่อยให้พนักงานจัดการเอง บริการทำลายข้อมูลโน้ตบุ๊กของเรารองรับเครื่องที่รับคืนจากพนักงานที่ลาออก
3. อย่าส่งอุปกรณ์ไปซ่อม ขายต่อ บริจาค หรือขายซาก ขณะที่ยังมีสื่อบันทึกข้อมูลที่อ่านได้อยู่ข้างใน ให้ถอดดิสก์ออกมาจัดการก่อน หรือล้างข้อมูลทั้งเครื่องพร้อมใบรับรอง
4. เคลียร์ห้องเก็บของตามรอบที่กำหนด ดิสก์เก่าและดิสก์สำรองข้อมูลส่งไปทำลายฮาร์ดดิสก์และ SSD ส่วนมือถือของบริษัทที่เลิกใช้ส่งไปทำลายข้อมูลมือถือ
5. เก็บเอกสารไว้เป็นหลักฐาน หนังสือรับรองของแต่ละเครื่องที่ระบุหมายเลขซีเรียล วิธีการ และวันที่ คือสิ่งที่พิสูจน์ได้ว่าข้อมูลหมดไปแล้วจริง

บริการกำจัดสินทรัพย์ไอทีของเราออกแบบมาเพื่อตัดความผิดพลาดของคนออกจากขั้นตอนสุดท้ายนี้ อุปกรณ์ทุกเครื่องที่มีสื่อบันทึกข้อมูลจะผ่านการลบข้อมูลแบบมีใบรับรองก่อน และมีบริการทำลายทางกายภาพเมื่อดิสก์ไม่สามารถยืนยันได้ว่าสะอาด หรือเมื่อนโยบายของคุณกำหนดไว้ พร้อมหลักฐานภาพถ่ายและวิดีโอ ทุกเครื่องได้รับหนังสือรับรองการทำลายข้อมูลหรือการลบข้อมูล และคุณจะได้รับรายงานบัญชีรายการอุปกรณ์ครบถ้วน สำหรับงานจำนวนมาก ช่างของเราเข้าไปที่สำนักงานของคุณในกรุงเทพฯ เพื่อขนย้ายคอมพิวเตอร์ตั้งโต๊ะ โน้ตบุ๊ก เซิร์ฟเวอร์ และอุปกรณ์เครือข่าย พร้อมบันทึกทุกชิ้นที่นำออกไปได้ เรารับจัดการเฉพาะอุปกรณ์อิเล็กทรอนิกส์เท่านั้น ไม่รับทำลายเอกสารกระดาษ

แฮกเกอร์อาจเป็นข่าวพาดหัวเสมอ แต่ตัวเลขของ สคส. เองบอกว่าความผิดพลาดธรรมดา ๆ ทำให้ข้อมูลรั่วได้ไม่แพ้กัน ขอใบเสนอราคาทันที หรือโทร 082-797-3702 เราจะลบหรือทำลายข้อมูลในโน้ตบุ๊ก ดิสก์ และมือถือที่บริษัทของคุณเลิกใช้แล้วให้หมดไปอย่างถาวร เพื่อไม่ให้อุปกรณ์ที่ถูกลืมกลายเป็นการแจ้งเหตุข้อมูลรั่วครั้งต่อไปของคุณ

ที่มา: ผู้จัดการออนไลน์, "สคส. เคลียร์ใจสื่อ" ชวนสื่อร่วมสร้างความเข้าใจ PDPA (21 ต.ค. 2569); แนวหน้า, สคส. สร้างความเข้าใจ PDPA เปิด 4,210 เรื่องร้องเรียน พร้อมเจาะ 1,650 เหตุข้อมูลรั่ว (21 ต.ค. 2569); สยามรัฐ, สคส. เปิดสถิติร้องเรียน PDPA และเหตุข้อมูลรั่ว (ต.ค. 2569)