วิธีวางระบบ Data Mapping สำหรับเว็บไซต์ธุรกิจและ SME แบบเป็นขั้นตอน

ทีมงานหลายแห่งเคยลองทำ Data Map มาก่อนแต่เลิกกลางทาง เพราะเริ่มจากการพยายามวาดผังทั้งเว็บไซต์ในครั้งเดียว จนงานดูใหญ่เกินจะทำต่อ วิธีที่ทำสำเร็จได้จริงคือแบ่งงานเป็นขั้นตอนเล็กๆ ที่ทำทีละจุดเก็บข้อมูล แล้วค่อยประกอบรวมเป็นภาพเดียวในภายหลัง

บทความนี้แจกแจงห้าขั้นตอนที่เจ้าของกิจการหรือผู้ดูแลเว็บไซต์ทำเองได้ โดยไม่ต้องรอทีมกฎหมายหรือซอฟต์แวร์เฉพาะทาง

ขั้นตอนที่ 1 รวบรวมจุดที่ข้อมูลเข้าสู่ระบบ

เริ่มจากไล่ดูหน้าเว็บไซต์ทั้งหมดแล้วจดว่าตรงไหนบ้างที่ผู้ใช้กรอกข้อมูลหรือระบบเก็บข้อมูลโดยอัตโนมัติ เช่น แบบฟอร์มติดต่อ แบบฟอร์มสมัครสมาชิก ระบบตะกร้าสินค้า ช่องแชทสด และแบบฟอร์มดาวน์โหลดเอกสาร อย่าลืมจุดที่มองไม่เห็นด้วยตาเปล่า เช่น Cookie ที่ตั้งค่าโดยปลั๊กอินวิเคราะห์เว็บไซต์ หรือสคริปต์ที่ทีมการตลาดติดผ่าน Tag Manager

วิธีที่ช่วยไม่ให้ตกหล่นคือเปิดเว็บไซต์ผ่านโหมดไม่ระบุตัวตนแล้วไล่คลิกทุกหน้าหลัก จดทุกจุดที่มีช่องกรอกข้อมูลหรือปุ่มยืนยัน แล้วเทียบกับผลจากงาน Data Inventory ที่ทีมเคยทำไว้ก่อนหน้านี้

ให้กันเวลาสักหนึ่งชั่วโมงสำหรับขั้นตอนนี้โดยเฉพาะ และอย่าเพิ่งตัดสินว่าจุดใด "ไม่สำคัญ" จนกว่าจะรู้ว่าปลายทางของข้อมูลคืออะไร เพราะจุดเล็กๆ อย่างช่องกรอกอีเมลท้ายบทความ ก็อาจเชื่อมต่อกับระบบอีเมลมาร์เก็ตติ้งที่ส่งข้อมูลไปต่างประเทศได้เช่นกัน

ขั้นตอนที่ 2 ตามรอยข้อมูลไปยังระบบและผู้ให้บริการภายนอก

สำหรับแต่ละจุดที่รวบรวมได้ในขั้นตอนที่ 1 ให้ถามทีมพัฒนาเว็บไซต์หรือตรวจสอบเอกสารของปลั๊กอิน/แอปที่ใช้งานว่า เมื่อผู้ใช้กดส่งข้อมูลแล้ว ข้อมูลนั้นถูกส่งไปที่ใดต่อ ตัวอย่างเช่น แบบฟอร์มติดต่ออาจส่งอีเมลแจ้งเตือนไปยังกล่องจดหมายของทีมขาย พร้อมกับบันทึกสำเนาไว้ในปลั๊กอินฟอร์มเอง หรือแบบฟอร์มสั่งซื้ออาจส่งข้อมูลไปพร้อมกันทั้งระบบขนส่ง ระบบบัญชี และระบบอีเมลยืนยันคำสั่งซื้อ

ขั้นตอนนี้มักเจอปัญหาว่าไม่มีใครในทีมรู้คำตอบทั้งหมด จึงควรถามทั้งฝ่ายพัฒนาเว็บไซต์และฝ่ายการตลาด เพราะทั้งสองฝ่ายมักติดตั้งเครื่องมือคนละชุดโดยไม่ได้แจ้งกัน วิธีที่ช่วยได้คือตั้งคำถามเดียวกันซ้ำกับทุกฝ่าย คือ "เครื่องมือนี้เก็บหรือส่งข้อมูลอะไรของลูกค้าไปที่ใดบ้าง" แล้วรวบรวมคำตอบไว้ในที่เดียว แทนที่จะถามแยกกันคนละช่องทางจนข้อมูลกระจัดกระจาย

ขั้นตอนที่ 3 บันทึกวัตถุประสงค์และผู้ประมวลผลในตารางเดียว

เมื่อรู้แหล่งที่มาและปลายทางแล้ว ให้บันทึกทุกอย่างลงในตารางเดียวที่มีคอลัมน์ครบตามตัวอย่างด้านล่าง เพื่อให้ทั้งทีมดูจากไฟล์เดียวกันได้

ตารางนี้ไม่จำเป็นต้องสมบูรณ์แบบตั้งแต่ครั้งแรก เริ่มจากจุดที่มีข้อมูลมากที่สุดก่อน แล้วค่อยเติมจุดที่เหลือทีละจุดในสัปดาห์ถัดไป หลายทีมพบว่าการตั้งเป้าเติมตารางให้ได้สัปดาห์ละสามถึงห้าแถวช่วยให้งานเดินหน้าต่อเนื่อง ดีกว่าการตั้งเป้าทำให้เสร็จทั้งหมดภายในวันเดียวแล้วเลิกทำเมื่อไม่ทันตามเป้า

ขั้นตอนที่ 4 ทำเครื่องหมายจุดที่มีการส่งข้อมูลข้ามพรมแดน

เพิ่มคอลัมน์ในตารางเพื่อระบุว่าผู้ให้บริการปลายทางแต่ละรายประมวลผลข้อมูลบนเซิร์ฟเวอร์ในประเทศหรือต่างประเทศ ผู้ให้บริการต่างประเทศจำนวนมากระบุตำแหน่งเซิร์ฟเวอร์ไว้ในเอกสารนโยบายความเป็นส่วนตัวของตัวเอง หากหาไม่พบให้บันทึกว่า "ยังไม่ทราบ ต้องสอบถามผู้ให้บริการ" แทนการเดา เพราะข้อมูลผิดจะกระทบการเขียน Privacy Policy ในภายหลัง

จุดที่ควรให้ความสำคัญเป็นพิเศษคือจุดที่ส่งข้อมูลอ่อนไหว เช่น ข้อมูลสุขภาพหรือข้อมูลทางการเงิน ไปยังผู้ให้บริการต่างประเทศ เพราะจุดเหล่านี้มักเป็นจุดที่ควรให้ผู้เชี่ยวชาญด้านกฎหมายตรวจสอบเพิ่มเติม การทำเครื่องหมายด้วยสีหรือคอลัมน์แยกต่างหากในตาราง ช่วยให้ทีมงานมองเห็นจุดเสี่ยงเหล่านี้ได้เร็วโดยไม่ต้องไล่อ่านทุกแถว

ขั้นตอนที่ 5 ทดสอบ Data Map กับสถานการณ์จริง

Data Map ที่ทำเสร็จแล้วควรถูกทดสอบก่อนเริ่มใช้งานจริง วิธีทดสอบที่ได้ผลคือลองสมมติสถานการณ์ เช่น ถ้าลูกค้าคนหนึ่งขอให้ลบข้อมูลของตัวเองทั้งหมด ทีมงานจะต้องไปลบที่ระบบใดบ้างตาม Data Map นี้ หรือถ้าธุรกิจต้องเปลี่ยนผู้ให้บริการอีเมลมาร์เก็ตติ้ง จะกระทบข้อมูลชุดใดบ้าง

หากทดสอบแล้วพบว่า Data Map ตอบคำถามเหล่านี้ไม่ได้ครบ แสดงว่ายังมีจุดที่ตกหล่นและต้องกลับไปที่ขั้นตอนที่ 1 และ 2 อีกครั้งเฉพาะจุดที่ขาด

เครื่องมือที่ใช้เริ่มทำ Data Mapping ได้ตั้งแต่วันแรก

SME ส่วนใหญ่เริ่มต้นด้วยสเปรดชีตธรรมดาที่ทุกคนในทีมเข้าถึงได้ ไม่จำเป็นต้องซื้อซอฟต์แวร์เฉพาะทางตั้งแต่วันแรก สิ่งสำคัญกว่าเครื่องมือคือการกำหนดให้ไฟล์นี้มีเจ้าของชัดเจนและมีการควบคุมเวอร์ชัน เช่น บันทึกวันที่แก้ไขล่าสุดไว้ในไฟล์ทุกครั้ง เมื่อจำนวนจุดเก็บข้อมูลมากขึ้นจนตารางเดียวจัดการไม่ไหว ค่อยพิจารณาเครื่องมือบริหารความเป็นส่วนตัวเฉพาะทางในภายหลัง

ไม่ว่าจะใช้เครื่องมือแบบใด สิ่งที่ขาดไม่ได้คือสิทธิ์เข้าถึงไฟล์ที่จำกัดเฉพาะทีมงานที่เกี่ยวข้อง เพราะ Data Map เองก็เป็นเอกสารที่มีรายละเอียดว่าธุรกิจเก็บและส่งข้อมูลอะไรบ้าง จึงควรเก็บเท่าที่จำเป็นและไม่แชร์ให้บุคคลภายนอกโดยไม่มีเหตุผล

สิ่งที่ควรทำหลังทำ Data Map เสร็จรอบแรก

เมื่อ Data Map ผ่านการทดสอบในขั้นตอนที่ 5 แล้ว ให้นำไปเทียบกับ Privacy Policy ที่เผยแพร่อยู่บนเว็บไซต์ว่าเนื้อหาตรงกันหรือไม่ หากพบว่านโยบายพูดถึงผู้ให้บริการที่ไม่มีอยู่ใน Data Map หรือไม่ได้พูดถึงผู้ให้บริการที่มีอยู่จริง ให้บันทึกไว้เป็นรายการที่ต้องปรับปรุงนโยบายต่อไป

ขั้นต่อไปคือนำ Data Map ไปใช้ทบทวนสัญญากับผู้ให้บริการภายนอกแต่ละราย โดยเฉพาะรายที่ประมวลผลข้อมูลจำนวนมากหรือส่งข้อมูลไปต่างประเทศ เพื่อดูว่ามีข้อตกลงด้านการคุ้มครองข้อมูลระหว่างธุรกิจกับผู้ให้บริการรายนั้นหรือไม่

สุดท้ายให้กำหนดปฏิทินทบทวน Data Map ล่วงหน้า เช่น ทุกไตรมาสหรือทุกครั้งที่มีการประชุมทีมประจำเดือน เพื่อให้การอัปเดตกลายเป็นส่วนหนึ่งของงานประจำ แทนที่จะรอให้มีปัญหาเกิดขึ้นก่อนแล้วค่อยกลับมาทำใหม่ทั้งหมด

คำถามที่พบบ่อย

ต้องเริ่มทำ Data Mapping จากจุดไหนก่อน

เริ่มจากจุดที่มีข้อมูลลูกค้าไหลผ่านมากที่สุดและใช้งานบ่อยที่สุดก่อน เช่น แบบฟอร์มสั่งซื้อหรือแบบฟอร์มติดต่อ แล้วค่อยขยายไปยังจุดอื่น

ใช้เวลานานแค่ไหนกว่าจะทำ Data Map เสร็จรอบแรก

ขึ้นอยู่กับจำนวนจุดเก็บข้อมูลบนเว็บไซต์ SME ขนาดเล็กที่มีจุดเก็บข้อมูลไม่มากอาจใช้เวลาไม่กี่วันหากทำทีละขั้นตอนตามที่แนะนำในบทความนี้ แทนที่จะพยายามทำให้เสร็จในครั้งเดียว

จำเป็นต้องใช้ซอฟต์แวร์เฉพาะทางตั้งแต่เริ่มต้นหรือไม่

ไม่จำเป็น สเปรดชีตธรรมดาที่มีเจ้าของชัดเจนและมีการควบคุมเวอร์ชันก็เพียงพอสำหรับการเริ่มต้น ค่อยพิจารณาเครื่องมือเฉพาะทางเมื่อจำนวนจุดเก็บข้อมูลมากขึ้น

ถ้าไม่รู้ว่าผู้ให้บริการเก็บข้อมูลไว้ที่ไหนควรทำอย่างไร

ให้บันทึกไว้ว่า "ยังไม่ทราบ ต้องสอบถามผู้ให้บริการ" แทนการเดา แล้วติดตามหาคำตอบจากเอกสารนโยบายความเป็นส่วนตัวของผู้ให้บริการรายนั้น

อ่านภาพรวมของ Data Mapping ก่อนเริ่มลงมือได้ที่ Data Mapping คืออะไร คู่มือฉบับเข้าใจง่ายสำหรับ SME และดูเช็กลิสต์ที่ใช้ตรวจก่อนเปิดใช้งานจริงได้ที่ เช็กลิสต์ Data Mapping สำหรับ SME รวมถึงศูนย์ความรู้ Data Governance

เช็กลิสต์ปฏิบัติ

• ไล่ดูทุกหน้าเว็บไซต์และจดจุดที่มีการกรอกหรือเก็บข้อมูลทั้งหมด
• สอบถามทีมพัฒนาและทีมการตลาดว่าแต่ละจุดส่งข้อมูลไปยังระบบใดต่อ
• บันทึกแหล่งที่มา ปลายทาง วัตถุประสงค์ และผู้ประมวลผลลงในตารางเดียว
• ทำเครื่องหมายจุดที่ส่งข้อมูลไปยังผู้ให้บริการต่างประเทศ
• ทดสอบ Data Map ด้วยสถานการณ์คำขอลบข้อมูลหรือเปลี่ยนผู้ให้บริการ
• กำหนดผู้รับผิดชอบไฟล์ Data Map และบันทึกวันที่แก้ไขล่าสุด

ข้อผิดพลาดที่พบบ่อย

• พยายามวาด Data Map ทั้งเว็บไซต์ในครั้งเดียวจนงานหยุดกลางทาง
• ถามเฉพาะทีมพัฒนาเว็บไซต์ โดยไม่ถามทีมการตลาดที่ติดตั้งเครื่องมือของตัวเอง
• เดาตำแหน่งเซิร์ฟเวอร์ของผู้ให้บริการแทนการตรวจสอบจากเอกสารจริง
• ไม่ทดสอบ Data Map กับสถานการณ์จริงก่อนเริ่มใช้งาน
• ปล่อยให้ไฟล์ Data Map ไม่มีเจ้าของ ทำให้ไม่มีใครอัปเดตเมื่อระบบเปลี่ยน

สรุป

การทำ Data Mapping ให้สำเร็จไม่ต้องเริ่มจากภาพรวมทั้งเว็บไซต์ แต่เริ่มจากจุดเก็บข้อมูลทีละจุด ตามรอยปลายทาง บันทึกลงตารางเดียว ทำเครื่องหมายจุดเสี่ยง แล้วทดสอบกับสถานการณ์จริงก่อนใช้งาน วิธีนี้ช่วยให้ SME ทำ Data Map เสร็จได้จริงโดยไม่ต้องรอทีมกฎหมายหรือซอฟต์แวร์เฉพาะทาง

แหล่งข้อมูลอ้างอิง

• NIST Privacy Framework