วิธี Audit PDPA สำหรับ SME ของเอเจนซีและฟรีแลนซ์ทำเว็บไซต์ พร้อม Evidence ที่ควรเก็บ

การ Audit PDPA สำหรับ SME ที่เป็นเอเจนซีหรือฟรีแลนซ์ทำเว็บไซต์ ควรตรวจอย่างน้อยห้าจุดทุกรอบ คือความสอดคล้องของแบนเนอร์คุกกี้กับสคริปต์จริง สัญญากับลูกค้าที่ระบุบทบาทผู้ประมวลผลข้อมูล บัญชีผู้ใช้ที่ยังเข้าถึงระบบลูกค้าเก่าได้ กระบวนการรับคำขอลบข้อมูล และไฟล์สำรองที่มีข้อมูลลูกค้าปลายทางค้างอยู่ แต่ละจุดต้องมีหลักฐานเป็นภาพหน้าจอหรือบันทึกวันที่ตรวจ ไม่ใช่แค่ความจำของทีมงาน

จากการไล่ตรวจโปรเจกต์เว็บไซต์ลูกค้าของทีมเอเจนซีขนาดเล็กรายหนึ่งในรอบปีที่ผ่านมา รวมสิบเจ็ดโปรเจกต์ พบว่ามีถึงสิบโปรเจกต์ที่แบนเนอร์คุกกี้ซึ่งแสดงผลบนหน้าเว็บไม่ตรงกับสคริปต์ติดตามที่ทำงานอยู่จริงเบื้องหลัง และมีหกโปรเจกต์ที่บัญชีผู้ดูแลระบบของฟรีแลนซ์ที่เลิกร่วมงานไปแล้วยังเข้าถึงฐานข้อมูลลูกค้าได้อยู่ ตัวเลขนี้มาจากการตรวจของทีมเดียว ไม่ใช่ผลสำรวจระดับประเทศ แต่สะท้อนรูปแบบที่พบซ้ำในงานเอเจนซีเว็บขนาดเล็กเกือบทุกที่ คือระบบที่ตั้งค่าถูกต้องตอนเริ่มโปรเจกต์ มักหลุดจากความถูกต้องนั้นไปทีละน้อยโดยไม่มีใครสังเกตเห็น การ Audit จึงไม่ใช่งานที่ทำครั้งเดียวจบ แต่เป็นรอบตรวจสอบที่ต้องทำซ้ำเป็นระยะ พร้อมหลักฐานที่พิสูจน์ได้ว่าตรวจแล้วจริง ไม่ใช่แค่จำได้ว่าเคยทำ

ทำไม Audit ของเอเจนซีเล็กต้องต่างจากแผนกตรวจสอบขององค์กรใหญ่

องค์กรขนาดใหญ่มักมีแผนกตรวจสอบภายในและ DPO ที่ทำรายงานประเมินความเสี่ยงเป็นรอบตามปฏิทินองค์กร มีทีมกฎหมายตรวจทานทุกข้อสัญญา แต่เอเจนซีเว็บหรือฟรีแลนซ์ที่มีสมาชิกสองถึงห้าคนไม่มีโครงสร้างแบบนั้น คนที่ต้องทำหน้าที่ Audit มักเป็นเจ้าของทีมหรือหัวหน้าโปรเจกต์คนเดียวที่ต้องแบ่งเวลาจากงานส่งมอบลูกค้าจริงมาตรวจระบบของตัวเอง เป้าหมายของการ Audit สำหรับทีมขนาดนี้จึงไม่ใช่การทำเอกสารประเมินความเสี่ยงยาวหลายสิบหน้า แต่คือการมีรอบตรวจสั้นที่ทำซ้ำได้จริงทุกหกเดือน และเก็บหลักฐานไว้ในที่เดียวที่หาเจอง่ายเมื่อมีคนถาม ไม่ว่าจะเป็นลูกค้าองค์กรที่ขอดูหลักฐาน หรือทีมงานเองที่ต้องย้อนดูว่าเคยตรวจอะไรไปแล้วบ้าง

ขอบเขตของการ Audit ครั้งนี้ครอบคลุมอะไรบ้าง

ก่อนเริ่มตรวจ ทีมควรตกลงกันก่อนว่ารอบ Audit นี้ครอบคลุมอะไรบ้าง เพื่อไม่ให้หลงตรวจแค่บางจุดแล้วคิดว่าครบแล้ว ขอบเขตที่ควรมีอย่างน้อยคือความสอดคล้องระหว่างสิ่งที่ผู้เข้าชมเห็นกับสิ่งที่ระบบทำงานจริงเบื้องหลัง สถานะของสัญญากับลูกค้าแต่ละรายว่ายังตรงกับขอบเขตงานที่ทำจริงหรือไม่ รายชื่อคนหรือบัญชีที่ยังมีสิทธิ์เข้าถึงระบบของลูกค้าแต่ละโปรเจกต์ ความพร้อมของช่องทางรับคำขอจากผู้ใช้ปลายทาง เช่น คำขอลบหรือแก้ไขข้อมูล และไฟล์หรือสเปรดชีตสำรองที่อาจมีข้อมูลลูกค้าปลายทางหลงเหลืออยู่นอกระบบหลัก การกำหนดขอบเขตให้ชัดตั้งแต่ต้นช่วยให้ทีมเล็กไม่เสียเวลาไล่ตรวจแบบไม่มีจุดจบ

ห้าจุดที่ต้องตรวจทุกรอบ พร้อมวิธีตรวจและ Evidence ที่ควรเก็บ

Evidence ที่ควรเก็บไว้หลัง Audit แต่ละรอบ

หลักฐานที่มีประโยชน์ที่สุดสำหรับทีมเล็กไม่ใช่เอกสารรายงานยาว แต่คือชุดข้อมูลที่ตอบคำถามได้ทันทีว่าตรวจอะไรไปแล้ว เมื่อไร และพบอะไรบ้าง วิธีที่ทำได้จริงคือเก็บภาพหน้าจอของแบนเนอร์คุกกี้และรายการสคริปต์ที่ตรวจเจอไว้คู่กัน บันทึกวันที่ทบทวนสัญญาแต่ละฉบับไว้ในไฟล์เดียวกับบัญชีรายการข้อมูล และเก็บผลการจำลองคำขอลบข้อมูลไว้เป็นหลักฐานว่าเคยทดสอบจริง ไม่ใช่แค่มีช่องทางไว้เฉยๆ หลักฐานเหล่านี้มีประโยชน์สองทาง ทางแรกคือใช้ตอบลูกค้าองค์กรที่ขอดูหลักฐานการตรวจสอบก่อนเซ็นสัญญาต่อ ทางที่สองคือใช้เป็นจุดอ้างอิงของทีมเองในรอบ Audit ถัดไป ว่าครั้งก่อนตรวจถึงจุดไหนแล้วบ้าง

ตัวอย่างสถานการณ์ที่พบระหว่าง Audit จริง

ทีมพัฒนาเว็บสี่คนที่รับดูแลเว็บไซต์ให้สำนักงานทนายความขนาดกลางแห่งหนึ่งมาสามปี ไม่เคยทำ Audit อย่างเป็นระบบมาก่อน จนกระทั่งลูกค้าแจ้งว่าจะต่อสัญญาบริการปีถัดไปแต่ขอเอกสารยืนยันว่าเว็บไซต์จัดการข้อมูลผู้ติดต่อของลูกค้าปลายทางอย่างไรบ้าง ทีมจึงเริ่มไล่ตรวจตามห้าจุดข้างต้นเป็นครั้งแรก และพบว่าฟอร์มนัดปรึกษาคดีที่มีช่องให้กรอกรายละเอียดคดีโดยย่อ ถูกตั้งค่าให้ส่งอีเมลแจ้งเตือนไปยังกล่องเมลกลางที่พนักงานทุกคนในสำนักงานเข้าถึงได้ ทั้งที่รายละเอียดคดีบางกรณีแตะข้อมูลที่ควรจำกัดผู้เข้าถึงให้แคบกว่านั้น นอกจากนี้ยังพบว่าบัญชีผู้ดูแลระบบของนักพัฒนาคนหนึ่งที่ลาออกจากทีมไปแล้วกว่าหนึ่งปียังเข้าสู่ระบบได้อยู่ ทีมใช้เวลาประมาณสองสัปดาห์ในการแก้ไขทั้งสองจุดนี้ พร้อมทำเอกสารสรุปผลการตรวจส่งให้ลูกค้าดู ซึ่งกลายเป็นเหตุผลหนึ่งที่ลูกค้าตัดสินใจต่อสัญญาต่อโดยไม่ต้องเปิดประมูลหาผู้รับจ้างรายใหม่

จัดลำดับความเสี่ยงหลังตรวจพบปัญหา

เมื่อ Audit เสร็จแล้วพบปัญหาหลายจุดพร้อมกัน ทีมเล็กที่มีเวลาจำกัดไม่จำเป็นต้องแก้ทุกจุดพร้อมกันในทันที สิ่งที่ควรทำก่อนคือจัดลำดับตามความอ่อนไหวของข้อมูลและจำนวนคนที่เข้าถึงได้ โปรเจกต์ที่เกี่ยวข้องกับข้อมูลสุขภาพ การเงิน หรือข้อมูลคดีความ ควรได้รับการแก้ไขก่อนโปรเจกต์ที่เก็บแค่ชื่อกับอีเมลทั่วไป บัญชีที่พนักงานลาออกไปแล้วแต่ยังเข้าถึงระบบได้ควรปิดทันทีโดยไม่ต้องรอรอบแก้ไขใหญ่ ส่วนปัญหาที่ต้องใช้เวลา เช่น การเขียนสัญญาใหม่กับลูกค้าหลายราย สามารถทยอยทำตามลำดับความเสี่ยงได้ในช่วงเวลาสองถึงสามเดือนถัดไป พร้อมบันทึกกำหนดเวลาที่ตกลงไว้กับตัวเองให้ชัดเจน

ความถี่ของการ Audit ที่เหมาะกับทีมเล็ก

ทีมที่รับงานหลายโปรเจกต์พร้อมกันและเปลี่ยนเครื่องมือบ่อย ควร Audit ถี่กว่าทีมที่ทำงานนิ่งกับโปรเจกต์เดิมต่อเนื่องหลายปี แนวทางที่สมดุลสำหรับทีมเล็กส่วนใหญ่คือมีรอบ Audit ตามปฏิทินทุกหกเดือนเป็นตาข่ายรองรับ ควบคู่กับกฎว่าเมื่อใดก็ตามที่มีการเปลี่ยนผู้ให้บริการเครื่องมือหลัก เพิ่มบริการใหม่ให้ลูกค้ารายเดิม หรือมีคนออกจากทีม ให้ Audit เฉพาะจุดที่เกี่ยวข้องทันทีโดยไม่ต้องรอถึงรอบหกเดือนถัดไป วิธีนี้ช่วยปิดช่องว่างระหว่างการเปลี่ยนแปลงจริงกับวันที่ตรวจตามปฏิทิน ซึ่งบางครั้งอาจกินเวลาหลายเดือนหากยึดปฏิทินอย่างเดียว

เครื่องมือที่ทีมเล็กใช้ Audit ได้จริงโดยไม่ต้องซื้อซอฟต์แวร์เพิ่ม

ทีมสองถึงห้าคนไม่จำเป็นต้องซื้อซอฟต์แวร์ตรวจสอบความเป็นส่วนตัวราคาแพงเพื่อทำตารางข้างต้นให้ครบ สเปรดชีตออนไลน์ธรรมดาหนึ่งแผ่นที่มีคอลัมน์ตรงกับห้าจุดตรวจ พร้อมช่องบันทึกวันที่และผลตรวจ ก็เพียงพอสำหรับการเริ่มต้น เบราว์เซอร์ที่มีในเครื่องอยู่แล้วใช้เปิดโหมดไม่ระบุตัวตนและ developer tools ตรวจสคริปต์ได้ฟรี ส่วนการจำลองคำขอลบข้อมูลก็ทำได้โดยให้สมาชิกในทีมคนหนึ่งส่งคำขอปลอมผ่านช่องทางที่มีอยู่แล้ว แล้วจับเวลาดำเนินการจริง สิ่งที่ตัดสินว่าการ Audit ได้ผลหรือไม่ ไม่ใช่ราคาของเครื่องมือ แต่คือวินัยที่ทำให้ครบทุกโปรเจกต์และทุกรอบเวลาที่กำหนดไว้

เมื่อทีมโตขึ้นจากไม่กี่คนเป็นหลายทีมย่อย ควรปรับ Audit อย่างไร

ตารางห้าจุดข้างต้นเหมาะกับทีมที่มีสมาชิกไม่กี่คนและดูแลโปรเจกต์พร้อมกันไม่เกินสิบกว่ารายการ แต่เมื่อเอเจนซีเติบโตจนมีลูกค้าหลายสิบรายและแบ่งเป็นทีมย่อยหลายทีม การให้คนคนเดียวไล่ตรวจทุกโปรเจกต์เองจะเริ่มไม่ทันเวลาและมีจุดหลุดมากขึ้น ขั้นถัดไปที่ทำได้โดยไม่ต้องจ้างที่ปรึกษากฎหมายราคาแพงคือกระจายหน้าที่ Audit ให้หัวหน้าแต่ละทีมย่อยรับผิดชอบตารางห้าจุดของโปรเจกต์ในทีมตัวเอง แล้วส่งผลสรุปมารวมไว้ในสเปรดชีตกลางที่เจ้าของกิจการเปิดดูภาพรวมได้ทั้งบริษัท วิธีนี้ไม่ต้องเพิ่มตำแหน่งงานใหม่ แต่ต้องกำหนดให้ชัดว่าใครเป็นเจ้าของหน้าที่นี้ในแต่ละทีมย่อย และมีกำหนดเวลาส่งผลสรุปที่ตรงกันทุกรอบ เพื่อไม่ให้บางทีมย่อยลืมตรวจไปเงียบๆ โดยไม่มีใครทักท้วง

อีกจุดที่ควรเพิ่มเมื่อทีมโตขึ้นคือการทำรายการโปรเจกต์ทั้งหมดที่บริษัทเคยรับดูแล รวมถึงโปรเจกต์ที่จบสัญญาไปแล้ว เพราะบัญชีผู้ดูแลระบบและไฟล์สำรองของโปรเจกต์เก่ามักถูกลืมเมื่อทีมมีงานใหม่เข้ามาเรื่อยๆ การมีรายการกลางที่รวมทั้งโปรเจกต์ที่กำลังดูแลอยู่และที่จบไปแล้ว ช่วยให้ Audit แต่ละรอบไม่พลาดจุดที่ควรปิดสิทธิ์เข้าถึงไปนานแล้วแต่ยังไม่มีใครดำเนินการ

ข้อผิดพลาดที่พบบ่อยระหว่างการตรวจสอบ

• ตรวจเฉพาะโปรเจกต์ใหม่ที่เพิ่งส่งมอบ แต่ข้ามโปรเจกต์เก่าที่ดูแลต่อเนื่องมาหลายปีเพราะคิดว่าตั้งค่าไว้ถูกต้องแล้วตั้งแต่ต้น
• Audit เสร็จแล้วแต่ไม่บันทึกวันที่หรือผลตรวจไว้เป็นลายลักษณ์อักษร ทำให้รอบถัดไปต้องเริ่มนับหนึ่งใหม่
• พบปัญหาแล้วแต่ไม่จัดลำดับความเสี่ยง ทำให้เวลาถูกใช้ไปกับจุดเล็กน้อยก่อนจุดที่เสี่ยงสูงกว่า
• ปิดบัญชีผู้ใช้ที่ลาออกไปแล้วเฉพาะระบบหลัก แต่ลืมตรวจระบบรองอย่างที่เก็บอีเมลหรือไฟล์แชร์ที่ใช้ร่วมกัน
• รอให้ลูกค้าทักท้วงหรือมีปัญหาเกิดขึ้นก่อนถึงจะเริ่ม Audit แทนที่จะทำเป็นรอบล่วงหน้า

บทสรุป: Audit ที่ทำซ้ำได้จริงสำคัญกว่าเอกสารตรวจสอบที่หนาแต่ไม่มีใครทำตาม

สำหรับเอเจนซีและฟรีแลนซ์ที่มีทรัพยากรจำกัด การ Audit PDPA ที่ได้ผลไม่ใช่การทำรายงานตรวจสอบยาวหลายสิบหน้าปีละครั้ง แต่คือตารางห้าจุดที่ตรวจซ้ำได้ทุกหกเดือน บวกกับกฎ Audit ทันทีเมื่อมีการเปลี่ยนแปลงสำคัญ พร้อมหลักฐานที่เก็บไว้ในที่เดียวที่หาเจอง่าย ทีมที่เริ่มทำตารางนี้วันนี้ แม้จะพบปัญหาหลายจุดในรอบแรก ก็ยังดีกว่าทีมที่ไม่เคยตรวจเลยจนกว่าลูกค้าจะเป็นฝ่ายถามก่อน อ่านภาพรวมทั้งหมดของแนวทาง PDPA สำหรับ SME เอเจนซีได้ที่ คู่มือ PDPA สำหรับ SME เอเจนซี และดูเช็กลิสต์ก่อนส่งมอบโปรเจกต์ใหม่ได้ที่ เช็กลิสต์ PDPA สำหรับ SME เอเจนซี ซึ่งใช้ประกอบกับตาราง Audit นี้ได้ในทุกโปรเจกต์

แหล่งข้อมูลอ้างอิง

รายละเอียดของแนวปฏิบัติที่เกี่ยวกับการเก็บหลักฐาน ระยะเวลาการเก็บข้อมูล และมาตรฐานขั้นต่ำด้านความปลอดภัย อาจมีการปรับปรุงเป็นระยะจากหน่วยงานกำกับดูแล ทีมเล็กควรตรวจสอบประกาศล่าสุดจากสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) โดยตรงทุกครั้งก่อนสรุปผล Audit แต่ละรอบ และดูภาพรวมหมวดธุรกิจและอุตสาหกรรมเพิ่มเติมได้ที่ ศูนย์ความรู้ธุรกิจและอุตสาหกรรม ของ trusty