วิธี Audit Data Mapping ของเว็บไซต์ธุรกิจทั่วไปและ SME พร้อม Evidence ที่ควรเก็บ

หลายทีมบอกว่าเคยทำ Data Map ไว้แล้วตั้งแต่ตอนเริ่มทำเว็บไซต์ แต่พอเปิดไฟล์นั้นขึ้นมาดูจริงกลับพบว่าไม่มีปลั๊กอินแชทที่เพิ่งติดตั้งเมื่อสามเดือนก่อน ไม่มีระบบเก็บรีวิวสินค้าที่ทีมการตลาดต่อเชื่อมเอง และไม่มีใครจำได้ว่าผู้ให้บริการอีเมลที่ใช้อยู่ตอนนี้เปลี่ยนมาจากเจ้าเดิมตั้งแต่เมื่อไร นี่คือสิ่งที่การ Audit Data Map มีไว้จับให้เจอ ก่อนที่ช่องว่างเหล่านี้จะกลายเป็นปัญหาตอนมีคำขอใช้สิทธิ์เข้ามา

บทความนี้วางลำดับการ Audit Data Map ที่มีอยู่แล้ว ตั้งแต่วิธีตรวจว่าจุดเก็บข้อมูลครบหรือไม่ วิธีตรวจเส้นทางไปยัง Vendor วิธีเก็บหลักฐาน ไปจนถึงการจัดลำดับความสำคัญหลัง Audit เสร็จ เพื่อให้ Data Map ที่มีอยู่กลับมาสะท้อนความเป็นจริงของเว็บไซต์อีกครั้ง

สัญญาณที่บอกว่า Data Map ที่มีอยู่อาจไม่ตรงกับความจริงแล้ว

สัญญาณแรกคือไม่มีใครแก้ไขไฟล์ Data Map มานานกว่าหกเดือน ในขณะที่เว็บไซต์มีการเปลี่ยนแปลงระบบหลังบ้านอยู่เรื่อยๆ สัญญาณที่สองคือทีมการตลาดหรือทีมพัฒนาเพิ่งติดตั้งเครื่องมือใหม่โดยไม่มีใครแจ้งผู้ดูแล Data Map เลย สัญญาณที่สามคือเมื่อถามทีมงานว่าข้อมูลลูกค้าที่กรอกในฟอร์มใดฟอร์มหนึ่งไหลไปที่ระบบใดบ้าง คำตอบที่ได้แต่ละคนไม่ตรงกัน

สัญญาณที่สี่ซึ่งพบบ่อยที่สุดคือ Data Map ที่มีอยู่ระบุแค่ระบบหลักอย่าง CRM กับระบบชำระเงิน แต่ไม่มีปลั๊กอินย่อย สคริปต์วิเคราะห์เว็บไซต์ หรือฟอนต์และแผนที่จากภายนอกที่ฝังอยู่ในหน้าเว็บ ซึ่งล้วนเป็นจุดที่ข้อมูลอาจไหลออกไปโดยไม่มีใครสังเกต หากพบสัญญาณเหล่านี้ตั้งแต่สองข้อขึ้นไป ควรเริ่มกระบวนการ Audit ทันทีแทนที่จะรอให้มีเหตุการณ์บังคับให้ต้องทำ

วิธีตรวจสอบว่าจุดเก็บข้อมูลทุกจุดถูกบันทึกไว้แล้วหรือยัง

เริ่มจากไล่ดูทุกหน้าของเว็บไซต์จริง ไม่ใช่ไล่จากรายการที่จำได้ในหัว เปิดเว็บไซต์ทีละหน้าแล้วสังเกตว่าแต่ละหน้ามีฟอร์ม ปุ่มติดต่อ หน้าต่างแชท หรือสคริปต์ฝังตัวจากภายนอกหรือไม่ จดทุกจุดที่เจอลงในรายการชั่วคราวก่อน แล้วค่อยเทียบกับ Data Map ที่มีอยู่ว่าจุดใดถูกบันทึกไว้แล้วและจุดใดยังไม่มี

ขั้นต่อมาคือตรวจซอร์สโค้ดหน้าเว็บแบบผิวเผินหรือใช้เครื่องมือตรวจสคริปต์ในเบราว์เซอร์เพื่อดูว่ามีสคริปต์จากโดเมนภายนอกใดถูกโหลดอยู่บ้าง เพราะบางสคริปต์อาจไม่ปรากฏเป็นฟอร์มที่มองเห็นได้ แต่แอบส่งข้อมูลพฤติกรรมผู้ใช้ออกไปอยู่เบื้องหลัง เช่น สคริปต์วิเคราะห์การพิมพ์หรือสคริปต์บันทึกการเลื่อนหน้าจอ จุดเหล่านี้มักถูกมองข้ามเพราะไม่มีฟอร์มให้กรอกข้อมูลโดยตรง

วิธีตรวจสอบเส้นทางข้อมูลไปยัง Vendor และผู้ให้บริการภายนอก

สำหรับแต่ละจุดเก็บข้อมูลที่พบ ให้ถามต่อว่าข้อมูลนั้นถูกส่งไปที่ใดต่อ วิธีตรวจที่ทำได้จริงคือดูการตั้งค่าของปลั๊กอินหรือระบบนั้นๆ ว่ามีการเชื่อมต่อ API กับบริการภายนอกหรือไม่ หรือสอบถามทีมพัฒนาที่ติดตั้งระบบนั้นโดยตรงว่าเชื่อมต่อกับผู้ให้บริการรายใด

จุดที่ต้องระวังเป็นพิเศษคือกรณีที่ Vendor รายหนึ่งส่งข้อมูลต่อไปยัง Vendor รายที่สองอีกทอด เช่น ระบบตะกร้าสินค้าที่เชื่อมกับผู้ให้บริการชำระเงิน ซึ่งผู้ให้บริการชำระเงินอาจใช้บริการตรวจสอบการฉ้อโกงจากบริษัทอื่นอีกชั้นหนึ่ง หาก Data Map เดิมบันทึกไว้แค่ชั้นแรก ให้กลับไปสอบถาม Vendor ชั้นแรกว่ามีการส่งข้อมูลต่อให้ใครอีกหรือไม่ แล้วเพิ่มแถวใหม่ในตารางเพื่อบันทึกชั้นที่สองด้วย

Evidence ที่ควรเก็บไว้ระหว่างทำ Audit

การ Audit ที่มีประโยชน์ต่อเนื่องต้องทิ้งร่องรอยไว้ ไม่ใช่แค่แก้ไขตารางแล้วปิดไฟล์ หลักฐานที่ควรเก็บระหว่างทำ Audit มีดังนี้

• ภาพหน้าจอของหน้าเว็บที่พบจุดเก็บข้อมูลใหม่ พร้อมวันที่ตรวจพบ
• รายชื่อสคริปต์หรือปลั๊กอินภายนอกที่พบจากการตรวจซอร์สโค้ด
• อีเมลหรือบันทึกการสอบถามทีมพัฒนาเรื่องปลายทางของข้อมูลแต่ละจุด
• เอกสารหรือหน้าตั้งค่าของ Vendor ที่ยืนยันว่ามีการส่งข้อมูลต่อไปยังรายที่สาม
• เวอร์ชันของ Data Map ก่อนและหลัง Audit เพื่อเทียบว่ามีอะไรเปลี่ยนแปลง

หลักฐานเหล่านี้ไม่ได้มีไว้เพื่อแสดงต่อใครเป็นพิเศษ แต่มีไว้ให้ทีมงานในอนาคตย้อนดูได้ว่าทำไม Data Map ถึงมีแถวนั้นอยู่ และช่วยให้รอบ Audit ถัดไปเริ่มต้นจากจุดที่เคยตรวจแล้ว ไม่ต้องไล่ตรวจซ้ำทั้งหมด

ตัวอย่างผลลัพธ์ที่พบบ่อยเมื่อ Audit Data Map ครั้งแรก

ธุรกิจส่วนใหญ่ที่ Audit Data Map เป็นครั้งแรกมักพบรูปแบบปัญหาคล้ายกันสามแบบ แบบแรกคือมีจุดเก็บข้อมูลที่ไม่เคยถูกบันทึกเลยมาก่อน เช่น ป๊อปอัปเก็บอีเมลเพื่อแลกส่วนลดที่ทีมการตลาดติดตั้งเองผ่านปลั๊กอินแยกต่างหาก แบบที่สองคือมีปลายทางที่บันทึกไว้แล้วแต่ข้อมูลรายละเอียดล้าสมัย เช่น ระบุชื่อผู้ให้บริการอีเมลรายเดิมทั้งที่เปลี่ยนไปใช้รายใหม่ตั้งแต่ต้นปี

แบบที่สามซึ่งมักสร้างความกังวลมากที่สุดคือพบว่ามีข้อมูลบางส่วนถูกส่งไปยังเซิร์ฟเวอร์ต่างประเทศโดยไม่มีใครในทีมรู้ตัวมาก่อน เพราะปลั๊กอินหรือบริการที่ใช้งานอยู่มีเซิร์ฟเวอร์หลักอยู่นอกประเทศ กรณีเหล่านี้ไม่ใช่เรื่องผิดปกติสำหรับเว็บไซต์ที่ใช้ปลั๊กอินหลายตัว แต่เป็นข้อมูลสำคัญที่ต้องบันทึกเพิ่มในตารางและนำไปพิจารณาต่อว่าจำเป็นต้องใช้บริการนั้นต่อไปหรือไม่

วิธีจัดลำดับความสำคัญหลัง Audit เสร็จ

เมื่อ Audit เสร็จแล้วมักพบช่องว่างหลายจุดพร้อมกัน การแก้ทีละจุดตามลำดับที่เจอไม่ใช่วิธีที่มีประสิทธิภาพที่สุด ควรจัดลำดับตามความเสี่ยงแทน โดยให้ความสำคัญกับจุดที่เกี่ยวข้องกับข้อมูลอ่อนไหวหรือส่งข้อมูลออกนอกประเทศก่อน ตามด้วยจุดที่มีปริมาณข้อมูลลูกค้าไหลผ่านมาก แล้วจึงตามด้วยจุดที่มีความเสี่ยงต่ำแต่ยังต้องบันทึกให้ครบ

สำหรับจุดที่พบว่าไม่จำเป็นต้องใช้งานต่อแล้ว เช่น สคริปต์เก่าที่ทีมการตลาดเลิกใช้แต่ยังไม่ได้ถอดออกจากหน้าเว็บ ควรถือเป็นลำดับเร่งด่วนเช่นกัน เพราะเป็นจุดเก็บข้อมูลที่ไม่มีวัตถุประสงค์รองรับแล้ว การถอดสคริปต์เหล่านี้ออกช่วยลดความซับซ้อนของ Data Map ในรอบถัดไปได้โดยตรง

ใครควรเป็นผู้ทำ Audit Data Map ในธุรกิจขนาดเล็ก

ธุรกิจ SME ส่วนใหญ่ไม่มีตำแหน่งงานด้านความเป็นส่วนตัวโดยเฉพาะ ผู้ที่เหมาะทำ Audit มักเป็นคนเดียวกับผู้ดูแล Data Map ประจำ คือเจ้าของกิจการหรือผู้ดูแลเว็บไซต์ แต่การ Audit ที่ดีไม่ควรทำคนเดียวโดยลำพัง ควรชวนตัวแทนจากทีมการตลาดและทีมพัฒนามาช่วยตรวจในส่วนที่ตัวเองรับผิดชอบ เพราะแต่ละทีมมักเห็นจุดเก็บข้อมูลที่อีกทีมไม่เคยเห็นมาก่อน

วิธีที่ช่วยให้การกระจายงานได้ผลจริงคือแบ่งเว็บไซต์ออกเป็นโซนตามความรับผิดชอบก่อนเริ่ม Audit เช่น ให้ทีมการตลาดตรวจหน้าแลนดิงเพจและป๊อปอัปที่ตัวเองติดตั้งไว้ ให้ทีมพัฒนาตรวจสคริปต์และการเชื่อมต่อ API เบื้องหลัง และให้ผู้ดูแลเว็บไซต์เป็นผู้รวบรวมผลจากทั้งสองฝ่ายมาเทียบกับ Data Map เดิม การแบ่งงานแบบนี้ทำให้ Audit เสร็จเร็วขึ้นและครอบคลุมมากกว่าปล่อยให้คนเดียวไล่ตรวจทั้งเว็บไซต์

เครื่องมือสแกนอัตโนมัติช่วย Audit ได้แค่ไหน

เครื่องมือสแกนเว็บไซต์อย่าง trusty ช่วยให้เห็นภาพรวมของฟอร์ม คุกกี้ และสคริปต์ที่โหลดอยู่บนหน้าเว็บที่เข้าถึงได้จากภายนอกได้เร็วกว่าการไล่ตรวจด้วยมือทั้งหมด ทำให้เป็นจุดเริ่มต้นที่ดีสำหรับขั้นตอนตรวจจุดเก็บข้อมูลในบทความนี้ ผลสแกนช่วยจับสคริปต์บุคคลที่สามที่ทีมงานอาจไม่รู้ตัวว่ามีอยู่ได้เร็ว

อย่างไรก็ตาม ผลสแกนจากภายนอกมองไม่เห็นระบบหลังบ้านที่ไม่เปิดเผยต่อสาธารณะ เช่น ฐานข้อมูล CRM การเชื่อมต่อ API ภายในที่ไม่ปรากฏในหน้าเว็บ หรือข้อตกลงกับ Vendor ที่ไม่ได้ฝังสคริปต์บนหน้าเว็บโดยตรง การ Audit ที่ครบถ้วนจึงต้องใช้ผลสแกนควบคู่กับการสอบถามทีมงานและตรวจสอบเอกสารสัญญา ไม่ใช่พึ่งพาผลสแกนเพียงอย่างเดียว

ความถี่ในการทำ Audit ซ้ำ

สำหรับเว็บไซต์ที่มีจุดเก็บข้อมูลไม่มากและไม่ค่อยเปลี่ยนแปลงระบบบ่อย การ Audit ปีละครั้งอาจเพียงพอ แต่สำหรับเว็บไซต์ที่มีทีมการตลาดเพิ่มเครื่องมือใหม่บ่อยหรือมีแคมเปญที่ใช้หน้าแลนดิงเพจชั่วคราวอยู่เสมอ ควร Audit ถี่ขึ้นเป็นทุกไตรมาส เพราะจุดเก็บข้อมูลใหม่เกิดขึ้นเร็วกว่าที่รอบปีจะตามทัน

นอกจากรอบตามเวลา ควรกำหนดเหตุการณ์ที่กระตุ้นให้ Audit นอกรอบด้วย เช่น หลังทำแคมเปญการตลาดใหญ่ที่มีการเพิ่มฟอร์มใหม่ หลังเปลี่ยนแพลตฟอร์มเว็บไซต์หรือธีมหลัก และหลังได้รับคำขอใช้สิทธิ์จากลูกค้าที่ทำให้ทีมงานพบว่ามีจุดเก็บข้อมูลที่ Data Map ไม่เคยระบุไว้

คำถามที่พบบ่อย

ควร Audit Data Map บ่อยแค่ไหน

อย่างน้อยปีละครั้ง และทุกครั้งที่มีการเพิ่มระบบใหม่หรือเปลี่ยน Vendor รายสำคัญ เพื่อไม่ให้ Data Map ล้าหลังความเป็นจริงของเว็บไซต์นานเกินไป

Audit Data Map ต่างจากการทำ Data Map ครั้งแรกอย่างไร

การทำ Data Map ครั้งแรกคือการสร้างตารางขึ้นจากศูนย์ ส่วนการ Audit คือการเปิดตารางที่มีอยู่แล้วขึ้นมาเทียบกับระบบจริง เพื่อหาว่าจุดใดหายไปหรือล้าสมัย ไม่ใช่การเริ่มต้นใหม่ทั้งหมด

ถ้าพบว่าข้อมูลถูกส่งไปต่างประเทศโดยไม่รู้ตัวควรทำอย่างไรก่อน

บันทึกจุดที่พบไว้เป็นหลักฐานก่อน แล้วนำไปหารือกับผู้เชี่ยวชาญด้านกฎหมายหรือ DPO ขององค์กรว่าควรปรับ Privacy Policy หรือทบทวนการใช้บริการนั้นต่อหรือไม่ อย่าตัดสินใจปิดบริการทันทีโดยไม่ประเมินผลกระทบต่อการทำงานของเว็บไซต์ก่อน

ดูขั้นตอนสร้าง Data Map ตั้งแต่ต้นได้ที่ วิธีวางระบบ Data Mapping แบบเป็นขั้นตอน ดูรายการตรวจก่อนเปิดใช้งานได้ที่ เช็กลิสต์ Data Mapping สำหรับ SME และดูภาพรวมงานด้านการกำกับดูแลข้อมูลทั้งหมดได้ที่ ศูนย์ความรู้ Data Governance

เช็กลิสต์ปฏิบัติ

• ไล่ดูทุกหน้าของเว็บไซต์จริงเพื่อหาจุดเก็บข้อมูลที่ยังไม่ถูกบันทึกใน Data Map
• ตรวจสคริปต์และปลั๊กอินภายนอกที่โหลดอยู่บนหน้าเว็บทีละหน้า
• สอบถามทีมพัฒนาและทีมการตลาดถึงระบบที่เพิ่งติดตั้งในช่วงที่ผ่านมา
• ตรวจสอบว่า Vendor แต่ละรายส่งข้อมูลต่อให้ Vendor รายที่สามหรือไม่
• เก็บภาพหน้าจอและบันทึกวันที่ตรวจพบทุกจุดที่เพิ่มเข้า Data Map
• จัดลำดับความสำคัญของช่องว่างที่พบตามระดับความเสี่ยง

ข้อผิดพลาดที่พบบ่อย

• เชื่อว่า Data Map ที่ทำไว้ตอนแรกยังใช้ได้โดยไม่เคยเปิดเทียบกับระบบจริง
• ตรวจเฉพาะฟอร์มที่มองเห็นได้ แต่ไม่ตรวจสคริปต์ที่ทำงานอยู่เบื้องหลัง
• Audit คนเดียวโดยไม่ชวนทีมการตลาดหรือทีมพัฒนามาช่วยตรวจ
• พบช่องว่างแล้วไม่บันทึกหลักฐาน ทำให้รอบถัดไปต้องเริ่มตรวจใหม่ทั้งหมด
• แก้ไขทุกจุดพร้อมกันโดยไม่จัดลำดับความเสี่ยงก่อน ทำให้ใช้เวลานานเกินจำเป็น

สรุป

การ Audit Data Map คือการกลับไปเทียบตารางที่มีอยู่กับระบบจริงของเว็บไซต์อย่างสม่ำเสมอ ไม่ใช่การทำครั้งเดียวแล้วจบ ธุรกิจที่ Audit เป็นประจำมักพบจุดเก็บข้อมูลที่หลุดรอดไปโดยไม่ตั้งใจ และสามารถแก้ไขได้ก่อนที่จะกลายเป็นปัญหาใหญ่ การเก็บหลักฐานระหว่างทางยังช่วยให้รอบ Audit ถัดไปทำได้เร็วขึ้นด้วย

แหล่งข้อมูลอ้างอิง

• NIST Privacy Framework