Data Inventory คืออะไร? คู่มือสำหรับเว็บไซต์ธุรกิจทั่วไปและ SME

ร้านค้าออนไลน์ขนาดเล็กเว็บหนึ่งอาจคิดว่าตัวเองเก็บข้อมูลลูกค้าแค่ชื่อกับเบอร์โทรจากฟอร์มสั่งซื้อ แต่พอเปิดดูจริงกลับพบว่ามีทั้งอีเมลจากระบบสมัครสมาชิก คุกกี้ติดตามพฤติกรรมจากปลั๊กอินการตลาด บันทึกแชทจากทีมแอดมิน ไฟล์แนบบัตรประชาชนที่ลูกค้าส่งมาทางไลน์เพื่อยืนยันการโอนเงิน และฐานข้อมูลผู้สมัครงานเก่าที่ไม่มีใครลบมาสามปี นี่คือสิ่งที่ Data Inventory ทำหน้าที่จับให้เห็นเป็นภาพเดียว

Data Inventory คือการไล่สำรวจและบันทึกอย่างเป็นระบบว่าเว็บไซต์และกระบวนการทำงานของธุรกิจเก็บข้อมูลส่วนบุคคลอะไรบ้าง มาจากช่องทางไหน ถูกเก็บไว้ที่ระบบใด และใครมีสิทธิ์เข้าถึง เป็นก้าวแรกที่ต้องทำก่อนจะไปวางเรื่องอื่น เช่น การไหลของข้อมูลระหว่างระบบ ระยะเวลาการเก็บ หรือการทำสัญญากับผู้ให้บริการภายนอก

Data Inventory คืออะไร และทำไมต้องเริ่มจากขั้นนี้ก่อน

กรอบการทำงาน NIST Privacy Framework จัดให้การทำ Inventory และ Mapping ข้อมูลอยู่ในฟังก์ชัน Identify ซึ่งเป็นขั้นแรกของการบริหารความเสี่ยงด้านความเป็นส่วนตัว หลักการคือองค์กรจะบริหารจัดการสิ่งที่ตัวเองไม่รู้ว่ามีอยู่ไม่ได้ ธุรกิจที่ยังไม่เคยทำ Data Inventory จึงมักตอบคำถามพื้นฐานไม่ได้ เช่น เว็บไซต์เก็บข้อมูลอ่อนไหวหรือไม่ ใครเป็นคนดูแลฐานข้อมูลลูกค้า หรือถ้าลูกค้าขอลบข้อมูลจะต้องไปลบที่ระบบใดบ้าง

สำหรับ เจ้าของกิจการและผู้ดูแลเว็บไซต์ Data Inventory ไม่ใช่เอกสารทางกฎหมายและไม่ใช่ผลสแกนอัตโนมัติ แต่เป็นบันทึกข้อเท็จจริงของธุรกิจตัวเองที่ต้องปรับปรุงต่อเนื่อง ผลสแกนเว็บไซต์ เช่น การตรวจความพร้อมด้านข้อมูลของ trusty ช่วยเห็นสิ่งที่ปรากฏบนหน้าเว็บสาธารณะได้ดี แต่มองไม่เห็นระบบหลังบ้านอย่าง CRM แชทออฟไลน์ หรือฟอร์มกระดาษ จึงต้องใช้การสำรวจร่วมกับทีมงานจริงเสมอ เพราะข้อมูลที่ธุรกิจดูแลอยู่กระจายอยู่ในหลายจุดมากกว่าที่คนคนเดียวจะจำได้ครบ

ข้อมูลอะไรบ้างที่ต้องนับเข้า Data Inventory

จุดเก็บข้อมูลฝั่งหน้าเว็บ

เริ่มจากทุกจุดที่ผู้ใช้พิมพ์หรือส่งข้อมูลเข้ามาโดยตรง เช่น ฟอร์มติดต่อ ฟอร์มสมัครสมาชิก ฟอร์มขอใบเสนอราคา ช่องคอมเมนต์ วิดเจ็ตแชทหรือแชทบอท ปุ่มล็อกอินผ่านโซเชียล และหน้าชำระเงินที่อาจส่งข้อมูลตรงไปยัง Payment Gateway ให้ตรวจด้วยว่าคุกกี้และ Local Storage ที่ตั้งค่าไว้ เช่น สคริปต์วิเคราะห์พฤติกรรมหรือพิกเซลโฆษณา ทำงานก่อนหรือหลังผู้ใช้กดยินยอม รวมถึงเนื้อหาฝังจากภายนอกอย่างแผนที่ วิดีโอ หรือแบบฟอร์มจองคิวที่บริษัทอื่นเป็นเจ้าของ เพราะเนื้อหาฝังเหล่านี้มักดึงข้อมูลผู้ใช้ไปประมวลผลบนเซิร์ฟเวอร์ของผู้ให้บริการโดยที่เว็บไซต์เจ้าของธุรกิจไม่เห็นข้อมูลนั้นเลย

ระบบหลังบ้านที่มักถูกลืม

ข้อมูลจำนวนมากไม่ได้ค้างอยู่ที่เว็บไซต์แต่ไหลต่อไปยังระบบอื่น เช่น CRM ที่ทีมขายใช้บันทึกลูกค้า ระบบอีเมลมาร์เก็ตติ้ง ระบบบัญชีที่เก็บข้อมูลใบกำกับภาษี ปฏิทินนัดหมายของทีมบริการ ระบบล็อกของเซิร์ฟเวอร์ เครื่องมือ Error Monitoring ที่อาจบันทึกข้อมูลผู้ใช้ติดไปกับ Log โดยไม่ตั้งใจ รวมถึงข้อมูลออฟไลน์อย่างใบสมัครงานที่พิมพ์กระดาษ หรือเทปบันทึกการโทรของศูนย์บริการลูกค้า ธุรกิจที่มีหน้าร้านควบคู่กับเว็บไซต์ควรสำรวจสมุดจดออเดอร์ ใบเสร็จ และกล้องวงจรปิดหน้าร้านด้วย เพราะข้อมูลเหล่านี้ก็เป็นข้อมูลส่วนบุคคลเช่นกันแม้จะไม่ได้อยู่บนเว็บไซต์

ระบบที่ทีมพัฒนาเว็บมักลืมแจ้งทีมอื่น

ทีมพัฒนาเว็บมักติดตั้งเครื่องมือทางเทคนิคที่แตะข้อมูลผู้ใช้โดยไม่ได้แจ้งทีมการตลาดหรือทีมบริหาร เช่น CDN ที่แคชคำขอพร้อมหมายเลข IP บริการฟอนต์ที่โหลดจากภายนอก บริการ CAPTCHA ป้องกันสแปม เครื่องมือบันทึกพฤติกรรมหน้าจอ และปลั๊กอินสำรองข้อมูลที่อาจส่งฐานข้อมูลทั้งชุดไปเก็บที่คลาวด์ภายนอก จุดเหล่านี้ควรอยู่ในอินเวนทอรีเช่นเดียวกับฟอร์มที่มองเห็นได้ชัดเจนกว่า

Data Inventory ต่างจาก Data Mapping และ ROPA อย่างไร

สามคำนี้มักถูกใช้ปนกันจนสับสน คำถามที่พบบ่อยคือ Data Inventory กับ Data Mapping ต่างกันตรงไหน คำตอบคือ Data Inventory ตอบคำถามว่า "มีข้อมูลอะไรอยู่ที่ไหนบ้าง" เป็นขั้นการค้นพบ ส่วน Data Mapping ต่อยอดจากอินเวนทอรีเพื่อวาดเส้นทางการไหลของข้อมูลระหว่างระบบและผู้ให้บริการภายนอก ว่าข้อมูลเดินทางจากฟอร์มไปเข้า CRM แล้วส่งต่อไปเครื่องมืออีเมลอย่างไร ขณะที่ Record of Processing Activities หรือ ROPA คือเอกสารทางการที่รวบรวมกิจกรรมการประมวลผลข้อมูลทั้งหมดเป็นทะเบียนอย่างเป็นระบบ ซึ่งใช้ผลจาก Data Inventory เป็นวัตถุดิบตั้งต้น พูดง่าย ๆ คือ Data Inventory เป็นงานสำรวจภาคสนาม ส่วน ROPA คือรายงานที่จัดรูปแบบให้ตรวจสอบและอ้างอิงได้ในระยะยาว และ Data Mapping คือภาพเส้นทางที่เชื่อมสองส่วนนี้เข้าด้วยกัน ธุรกิจที่เพิ่งเริ่มต้นไม่จำเป็นต้องทำครบทั้งสามอย่างพร้อมกัน แต่ควรทำ Data Inventory ให้แน่นก่อนเสมอ เพราะถ้าอินเวนทอรีตกหล่น งานที่ต่อยอดขึ้นไปก็จะตกหล่นตามไปด้วย

โครงสร้างตาราง Data Inventory ที่ใช้งานได้จริง

ธุรกิจขนาดเล็กไม่จำเป็นต้องใช้ซอฟต์แวร์เฉพาะทาง สเปรดชีตธรรมดาที่มีคอลัมน์ครบก็เพียงพอในช่วงเริ่มต้น ตัวอย่างคอลัมน์ที่ควรมี

คอลัมน์ "ข้อมูลอ่อนไหวหรือไม่" สำคัญเป็นพิเศษ เพราะข้อมูลสุขภาพ เชื้อชาติ ศาสนา ข้อมูลชีวมิติ หรือประวัติอาชญากรรมต้องได้รับการดูแลที่เข้มงวดกว่าข้อมูลทั่วไป และมักต้องส่งต่อให้ผู้เชี่ยวชาญด้านกฎหมายพิจารณาเพิ่มเติมหากธุรกิจเก็บข้อมูลลักษณะนี้ แนะนำให้เพิ่มคอลัมน์ "สถานะการทบทวน" ไว้ด้วย เพื่อบอกว่าข้อมูลแถวนั้นเพิ่งตรวจสอบล่าสุดเมื่อใดและใครเป็นคนยืนยัน จะช่วยให้เห็นได้ทันทีว่าส่วนใดของตารางเริ่มล้าสมัยแล้ว

ตัวอย่างการเริ่มต้นในธุรกิจขนาดเล็ก

ร้านขายเสื้อผ้าออนไลน์ที่มีหน้าเว็บ เพจเฟซบุ๊ก และไลน์แอดสำหรับติดต่อลูกค้า อาจเริ่มต้นด้วยการนัดประชุมสั้น ๆ กับคนที่ดูแลแต่ละช่องทาง แล้วให้แต่ละคนไล่บอกว่าตัวเองเก็บข้อมูลอะไรบ้างและเก็บไว้ที่ไหน จากนั้นจึงรวบรวมเข้าตารางเดียว ตัวอย่างเช่น ฝ่ายขายหน้าเว็บอาจแจ้งว่าเก็บชื่อ ที่อยู่ และเบอร์โทรในระบบร้านค้าออนไลน์ ฝ่ายแอดมินไลน์อาจแจ้งว่าเก็บสลิปโอนเงินและที่อยู่ไว้ในแชท ส่วนฝ่ายบัญชีอาจแจ้งว่าเก็บเลขบัตรประชาชนของลูกค้าที่ขอใบกำกับภาษีแบบเต็มรูป เมื่อรวมทั้งหมดแล้วธุรกิจจะเห็นภาพว่าจุดที่มีความเสี่ยงสูงสุดคือการส่งสลิปและเลขบัตรประชาชนผ่านแชทที่ไม่มีการจำกัดสิทธิ์เข้าถึง ซึ่งเป็นจุดที่ควรแก้ไขก่อนเรื่องอื่น

ใครควรเป็นเจ้าของงานนี้ในธุรกิจขนาดเล็ก

ธุรกิจ SME ส่วนใหญ่ไม่มีตำแหน่ง DPO เต็มเวลา เจ้าของกิจการหรือผู้จัดการที่ดูแลเว็บไซต์จึงมักต้องรับบทเจ้าภาพ แต่ทำคนเดียวไม่ครบแน่นอน เพราะทีมขายรู้ว่า CRM เก็บอะไร ทีมการตลาดรู้ว่าติดพิกเซลตัวไหน ทีมพัฒนาเว็บรู้ว่าปลั๊กอินใดส่งข้อมูลออกไปนอกเว็บไซต์ การสำรวจที่ได้ผลจึงต้องนัดคุยข้ามแผนกอย่างน้อยหนึ่งรอบ แล้วมอบหมายให้คนคนหนึ่งเป็นผู้รวบรวมและปรับปรุงตารางให้เป็นปัจจุบัน หากธุรกิจใช้เอเจนซี่หรือฟรีแลนซ์ดูแลเว็บไซต์ ควรกำหนดในสัญญาให้ชัดว่าฝ่ายใดต้องแจ้งเมื่อมีการติดตั้งเครื่องมือใหม่ที่แตะข้อมูลผู้ใช้ เพื่อไม่ให้ตาราง Data Inventory ล้าสมัยทันทีที่เว็บไซต์มีการเปลี่ยนแปลง

คำถามที่พบบ่อย

Data Inventory ต้องทำใหม่บ่อยแค่ไหน ควรทบทวนทุกครั้งที่มีการเปลี่ยนแปลงสำคัญ เช่น เพิ่มปลั๊กอินใหม่ เปลี่ยนผู้ให้บริการชำระเงิน หรือเปิดช่องทางเก็บข้อมูลใหม่ และควรมีรอบทบทวนประจำปีอย่างน้อยหนึ่งครั้งแม้ไม่มีการเปลี่ยนแปลงใหญ่

ผลสแกนเว็บไซต์อัตโนมัติใช้แทน Data Inventory ได้หรือไม่ ใช้แทนไม่ได้ทั้งหมด เพราะผลสแกนเห็นเฉพาะสิ่งที่ปรากฏบนหน้าเว็บสาธารณะ เช่น คุกกี้และสคริปต์ที่โหลดจริง แต่มองไม่เห็นระบบหลังบ้านอย่าง CRM อีเมล หรือข้อมูลออฟไลน์ ต้องใช้ทั้งสองอย่างประกอบกัน

ธุรกิจขนาดเล็กมากจำเป็นต้องทำ Data Inventory ไหม จำเป็น เพราะขนาดธุรกิจไม่ได้สัมพันธ์กับปริมาณข้อมูลอ่อนไหวที่เก็บเสมอไป ร้านค้าเล็กที่รับข้อมูลบัตรประชาชนหรือข้อมูลสุขภาพก็มีความเสี่ยงสูงได้เช่นกัน

ควรเริ่มทำ Data Inventory จากจุดใดก่อน ควรเริ่มจากช่องทางที่มีข้อมูลไหลเข้ามากที่สุดและมีความอ่อนไหวสูงสุดก่อน เช่น หน้าชำระเงินหรือฟอร์มที่ขอเอกสารยืนยันตัวตน แล้วค่อยขยายไปยังช่องทางอื่นตามลำดับ

เช็กลิสต์ปฏิบัติ

• ไล่ดูทุกฟอร์มบนเว็บไซต์ทีละหน้า พร้อมจดว่าข้อมูลแต่ละช่องไปตกที่ระบบใด
• ตรวจคุกกี้และสคริปต์ที่โหลดจริงบนเว็บไซต์ ไม่ใช่แค่ที่ตั้งค่าไว้ในเอกสาร
• นัดคุยกับทีมขาย ทีมการตลาด และทีมพัฒนาเว็บ อย่างน้อยแผนกละหนึ่งรอบ
• รวบรวมระบบหลังบ้านทั้งหมดที่มีข้อมูลลูกค้า เช่น CRM อีเมล บัญชี และปฏิทินนัดหมาย
• บันทึกผลลงตารางที่มีคอลัมน์ครบตามที่แนะนำในบทความนี้
• ทำเครื่องหมายข้อมูลอ่อนไหวให้ชัดเจนและแยกไว้ตรวจสอบเพิ่มเติม
• กำหนดผู้รับผิดชอบปรับปรุงตารางและวันทบทวนรอบถัดไป

ข้อผิดพลาดที่พบบ่อย

• สำรวจเฉพาะสิ่งที่เห็นบนหน้าเว็บ แล้วลืมระบบหลังบ้านอย่าง CRM หรือฟอร์มกระดาษ
• ใช้ผลสแกนอัตโนมัติเพียงอย่างเดียวแล้วสรุปว่าครอบคลุมกิจกรรมทั้งหมดขององค์กร
• ทำครั้งเดียวแล้วไม่มีใครปรับปรุงต่อ ทำให้ตารางล้าสมัยภายในไม่กี่เดือน
• ไม่ระบุว่าข้อมูลใดเป็นข้อมูลอ่อนไหว ทำให้ประเมินความเสี่ยงผิดจุด
• เก็บตาราง Data Inventory ไว้ในไฟล์ที่แชร์เปิดสาธารณะโดยไม่ได้ตั้งสิทธิ์เข้าถึง

สรุป

Data Inventory คือจุดเริ่มต้นของงานดูแลข้อมูลส่วนบุคคลที่ธุรกิจต้องทำเองจากความเข้าใจกระบวนการทำงานจริง ไม่ใช่ผลจากเครื่องมือสแกนเพียงอย่างเดียว เมื่อมีอินเวนทอรีที่ครบและเป็นปัจจุบันแล้ว ธุรกิจจึงจะสามารถต่อยอดไปทำ Data Mapping กำหนดระยะเวลาเก็บรักษา และจัดทำ ROPA ได้อย่างมีหลักฐานรองรับ ควรเริ่มจากตารางง่าย ๆ แล้วปรับปรุงต่อเนื่องดีกว่ารอให้ครบสมบูรณ์ก่อนแล้วไม่เคยเริ่มเลย

แหล่งข้อมูลอ้างอิง

• NIST Privacy Framework