เปรียบเทียบแนวทางจัดการ Vendor Management สำหรับเอเจนซีและฟรีแลนซ์ทำเว็บไซต์: ทำเอง ใช้ปลั๊กอิน หรือใช้แพลตฟอร์ม

ทีมพัฒนาเว็บของเอเจนซีแห่งหนึ่งได้รับอีเมลแจ้งจากผู้ให้บริการแบบอักษร (font) ภายนอกว่าจะปิดบริการฟรีในอีกสองเดือน ทีมงานถึงพบว่าเว็บไซต์ลูกค้ากว่าสิบรายใช้ฟอนต์จากผู้ให้บริการรายนี้อยู่ แต่ไม่มีเอกสารไหนบันทึกไว้เลยว่าเว็บไหนใช้บ้างและใครเป็นผู้ติดตั้ง ทีมงานต้องไล่เปิดเว็บลูกค้าทีละเว็บเพื่อตรวจสอบเองภายในเวลาจำกัด

Vendor Management คือกระบวนการติดตามว่าเว็บไซต์เชื่อมต่อกับผู้ให้บริการภายนอกรายใดบ้าง ตั้งแต่ปลั๊กอิน ธีม ฟอนต์ ไปจนถึง Tracking Script และ Widget ต่างๆ พร้อมรู้ว่าแต่ละรายรับข้อมูลอะไรจากเว็บไซต์ไปบ้าง สำหรับเอเจนซีและฟรีแลนซ์ที่ดูแลเว็บไซต์ลูกค้าหลายรายพร้อมกัน ความท้าทายคือผู้ให้บริการภายนอกที่ใช้ในแต่ละเว็บมักไม่เหมือนกัน และทีมงานเปลี่ยนคนดูแลบ่อยตามรอบโปรเจกต์ บทความนี้เทียบสามแนวทางจัดการ Vendor Management ตามช่วงวงจรชีวิตของความสัมพันธ์กับผู้ให้บริการแต่ละราย

ขั้นตอนคัดเลือกและตรวจสอบผู้ให้บริการก่อนติดตั้ง

ก่อนติดตั้งปลั๊กอินหรือ Script ใดให้ลูกค้า ทีมพัฒนาควรตรวจสอบเบื้องต้นว่าผู้ให้บริการนั้นรับข้อมูลอะไรจากเว็บไซต์ไปบ้าง เก็บไว้ที่ไหน และมีเอกสารนโยบายความเป็นส่วนตัวของตัวเองหรือไม่ ขั้นตอนนี้มักถูกข้ามไปเพราะทีมพัฒนาโฟกัสที่การทำงานได้ของฟีเจอร์มากกว่าที่มาของข้อมูล

เอเจนซีต้องตรวจสอบผู้ให้บริการทุกรายก่อนติดตั้งหรือไม่

ควรมีขั้นตอนตรวจสอบเบื้องต้นอย่างน้อยสำหรับผู้ให้บริการที่รับข้อมูลผู้ใช้ปลายทางไปประมวลผล เช่น Tracking Script หรือ Chat Widget ส่วนปลั๊กอินที่ไม่เชื่อมต่อข้อมูลออกนอกเว็บไซต์ เช่นปลั๊กอินจัดหน้าเว็บ อาจมีความเสี่ยงต่ำกว่าและตรวจสอบแบบย่อได้

การติดตามผู้ให้บริการระหว่างใช้งานจริง

เมื่อติดตั้งแล้ว ปัญหาที่พบบ่อยคือไม่มีใครติดตามว่าผู้ให้บริการรายนั้นยังทำงานตามที่ตกลงไว้หรือไม่ ปลั๊กอินบางตัวอัปเดตแล้วเริ่มส่งข้อมูลเพิ่มเติมไปยังเซิร์ฟเวอร์ของผู้พัฒนาโดยที่ทีมเว็บไม่รู้ตัว หรือ Tag ที่เคยตั้งค่าให้ทำงานหลัง Consent เท่านั้น อาจถูกรีเซ็ตกลับมาทำงานทันทีหลังอัปเดตธีมหรือปลั๊กอินตัวอื่น

ทำไมปลั๊กอินที่เคยตรวจสอบผ่านแล้วยังต้องตรวจซ้ำอีก

เพราะปลั๊กอินและ Third-party Script เปลี่ยนพฤติกรรมได้ทุกครั้งที่มีการอัปเดตเวอร์ชันใหม่ การตรวจสอบเพียงครั้งเดียวตอนติดตั้งจึงไม่เพียงพอ ทีมพัฒนาควรมีรอบตรวจสอบซ้ำเป็นระยะ โดยเฉพาะหลังการอัปเดตครั้งใหญ่ของ CMS หรือปลั๊กอินหลัก เพื่อยืนยันว่า Script ยังทำงานตาม Consent เหมือนเดิม

การถอดผู้ให้บริการออกเมื่อเลิกใช้งานหรือจบโปรเจกต์

เมื่อลูกค้าเลิกใช้ปลั๊กอินหรือบริการใดแล้ว ทีมพัฒนามักถอดปุ่มหรือฟีเจอร์ออกจากหน้าเว็บ แต่ลืมถอด Script หรือ Tag ที่เชื่อมกับผู้ให้บริการรายนั้นออกจาก Google Tag Manager หรือโค้ดหลังบ้าน ทำให้ผู้ให้บริการยังคงได้รับข้อมูลจากเว็บไซต์ต่อไปทั้งที่ไม่มีการใช้งานฟีเจอร์นั้นแล้ว การถอดผู้ให้บริการจึงควรเป็นขั้นตอนที่มีรายการตรวจสอบชัดเจน ไม่ใช่แค่ถอดสิ่งที่มองเห็นบนหน้าเว็บ

ต้องแจ้งลูกค้าทุกครั้งหรือไม่เมื่อเปลี่ยนหรือถอดผู้ให้บริการ

ควรแจ้ง โดยเฉพาะเมื่อผู้ให้บริการรายใหม่รับข้อมูลผู้ใช้ปลายทางในลักษณะต่างจากเดิม เพราะลูกค้าในฐานะเจ้าของเว็บไซต์ต้องปรับปรุง Privacy Policy และรายการ Cookie ให้ตรงกับสิ่งที่เกิดขึ้นจริง การเปลี่ยนแปลงแบบเงียบๆ โดยไม่แจ้งอาจทำให้ Policy กับพฤติกรรมจริงของเว็บไม่ตรงกัน

การจัดทำเอกสารผู้ให้บริการสำหรับทีมขนาดเล็กและฟรีแลนซ์

เอเจนซีขนาดใหญ่มักมีทีมเฉพาะดูแลเรื่องนี้ แต่ฟรีแลนซ์ที่ทำงานคนเดียวมักมองว่าการทำเอกสารรายชื่อผู้ให้บริการเป็นภาระเกินความจำเป็น ในความเป็นจริง เอกสารที่ว่านี้ไม่จำเป็นต้องซับซ้อน แค่สเปรดชีตระบุชื่อผู้ให้บริการ วันที่ติดตั้ง เว็บไซต์ที่ใช้ และเหตุผลที่เลือกใช้ ก็เพียงพอสำหรับการเริ่มต้น

ฟรีแลนซ์คนเดียวต้องทำรายการผู้ให้บริการเป็นทางการหรือไม่

ควรทำแม้เป็นเอกสารง่ายๆ เพราะช่วยให้ฟรีแลนซ์เองก็จำได้ว่าเคยติดตั้งอะไรให้ลูกค้ารายใดไว้บ้าง และเป็นหลักฐานเมื่อลูกค้าถามภายหลังหรือเมื่อต้องส่งมอบงานให้ทีมอื่น หากไม่มีเอกสารนี้ตั้งแต่ต้น การไล่ตรวจย้อนหลังทีหลังจะใช้เวลานานกว่าการบันทึกไว้ตั้งแต่แรกมาก โดยเฉพาะเมื่อจำนวนเว็บไซต์ที่ดูแลเพิ่มขึ้นเรื่อยๆ ตามจำนวนลูกค้า

เปรียบเทียบทำเอง ใช้ปลั๊กอิน และใช้แพลตฟอร์ม สำหรับงานเอเจนซี

แพลตฟอร์มอย่าง trusty ช่วยตรงไหนสำหรับงาน Vendor Management ของเอเจนซี

trusty ช่วยสแกนเว็บไซต์ของลูกค้าแต่ละรายเพื่อดูว่ามี Cookie, Tracking Script และ Third-party Request ใดทำงานอยู่จริง ช่วยจัดหมวดเบื้องต้นและแสดงให้เห็นว่าผู้ให้บริการรายใดยังทำงานอยู่หลังการอัปเดตเว็บไซต์ ซึ่งเป็นความสามารถที่ใช้งานได้จริงในผลิตภัณฑ์ปัจจุบัน อย่างไรก็ตาม การตรวจสอบเอกสารสัญญา ข้อตกลงประมวลผลข้อมูล หรือความน่าเชื่อถือของผู้ให้บริการแต่ละราย ยังเป็นงานที่ทีมเอเจนซีหรือลูกค้าต้องดำเนินการเองแยกจากผลสแกน เพราะการสแกนเห็นเฉพาะสิ่งที่ทำงานอยู่บนหน้าเว็บสาธารณะ ไม่เห็นเนื้อหาของสัญญาที่เซ็นกับผู้ให้บริการ

แพลตฟอร์มอย่าง trusty ตรวจสอบสัญญากับผู้ให้บริการได้หรือไม่

ไม่ได้ trusty ช่วยสแกนเว็บไซต์เพื่อดู Cookie, Tracking Script และ Third-party Request ที่ทำงานอยู่จริงเท่านั้น ส่วนการตรวจสอบเอกสารสัญญาหรือข้อตกลงประมวลผลข้อมูลกับผู้ให้บริการแต่ละรายยังเป็นงานที่ทีมเอเจนซีหรือลูกค้าต้องทำเอง เพราะสัญญาเหล่านี้เป็นเอกสารภายในที่ไม่ได้เผยแพร่บนหน้าเว็บให้ระบบสแกนเห็นได้

เมื่อผู้ให้บริการปิดตัวหรือเปลี่ยนเจ้าของกิจการกะทันหัน

กรณีแบบฟอนต์ที่ปิดบริการฟรีไม่ใช่เรื่องแปลกในโลกของผู้ให้บริการภายนอก ผู้ให้บริการขนาดเล็กหลายรายถูกซื้อกิจการหรือปิดตัวโดยไม่แจ้งล่วงหน้านานพอ เอเจนซีที่ไม่มีรายการผู้ให้บริการกลางจะต้องเสียเวลาไล่ตรวจเว็บไซต์ทุกเว็บด้วยมือทุกครั้งที่เกิดเหตุการณ์แบบนี้ ซึ่งมักเกิดขึ้นในช่วงเวลาจำกัดที่ผู้ให้บริการให้แจ้งล่วงหน้า

ทางแก้ที่ปฏิบัติได้จริงคือจัดกลุ่มผู้ให้บริการตามความเสี่ยง แยกผู้ให้บริการที่หากปิดตัวแล้วเว็บไซต์จะพังทันที เช่นระบบชำระเงินหรือ CDN ออกจากผู้ให้บริการที่หากปิดตัวแล้วกระทบเพียงความสวยงาม เช่นฟอนต์หรือไอคอนเสริม เมื่อเกิดเหตุการณ์ไม่คาดคิด ทีมงานจะรู้ทันทีว่าควรให้ความสำคัญกับเว็บไซต์ไหนก่อน แทนที่จะไล่แก้ทุกเว็บพร้อมกันโดยไม่มีลำดับความสำคัญ การจัดกลุ่มความเสี่ยงแบบนี้ยังช่วยตอนคุยกับลูกค้าด้วย เพราะเอเจนซีสามารถอธิบายได้ชัดเจนว่าทำไมบางเว็บถึงได้รับการแก้ไขก่อน แทนที่จะดูเหมือนสุ่มเลือกว่าจะช่วยเว็บไหนก่อนโดยไม่มีเหตุผลรองรับ บางเอเจนซีเลือกทำตารางความเสี่ยงง่ายๆ ในสเปรดชีตเดียว ระบุชื่อผู้ให้บริการ ระดับความเสี่ยง และเว็บลูกค้าที่เกี่ยวข้อง เพื่อให้ทีมเปิดดูได้เร็วเวลาต้องตัดสินใจเร่งด่วน

เช็กลิสต์ปฏิบัติ

• ทำรายการผู้ให้บริการภายนอกทั้งหมดที่ใช้ในแต่ละเว็บไซต์ลูกค้า พร้อมระบุว่าใครเป็นผู้ติดตั้ง
• ตรวจสอบเบื้องต้นว่าผู้ให้บริการแต่ละรายรับข้อมูลอะไรไปก่อนติดตั้งจริง
• ตั้งรอบตรวจสอบซ้ำหลังการอัปเดต CMS หรือปลั๊กอินหลักของแต่ละเว็บ
• ทำรายการตรวจสอบเมื่อถอดผู้ให้บริการออก ไม่ใช่แค่ถอดปุ่มที่มองเห็นบนหน้าเว็บ
• แจ้งลูกค้าเมื่อเปลี่ยนหรือเพิ่มผู้ให้บริการที่รับข้อมูลผู้ใช้ปลายทางในรูปแบบใหม่
• ส่งมอบรายการผู้ให้บริการให้ลูกค้าเมื่อจบสัญญาหรือเปลี่ยนทีมพัฒนา

ข้อผิดพลาดที่พบบ่อย

• ไม่มีรายการผู้ให้บริการภายนอกที่ใช้ในแต่ละเว็บไซต์ลูกค้า ทำให้ตอบคำถามลูกค้าไม่ได้ทันที
• ตรวจสอบผู้ให้บริการเฉพาะตอนติดตั้งครั้งแรก ไม่ตรวจซ้ำหลังอัปเดตปลั๊กอินหรือธีม
• ถอดฟีเจอร์ออกจากหน้าเว็บแต่ลืมถอด Script หรือ Tag ที่เชื่อมกับผู้ให้บริการรายนั้น
• ไม่แจ้งลูกค้าเมื่อเปลี่ยนผู้ให้บริการที่รับข้อมูลผู้ใช้ปลายทางในรูปแบบต่างจากเดิม
• เข้าใจว่าผลสแกนเว็บไซต์ครอบคลุมการตรวจสอบสัญญากับผู้ให้บริการไปด้วย ทั้งที่เป็นคนละเรื่องกัน

สรุป

เอเจนซีที่มีผู้ให้บริการภายนอกไม่กี่รายจัดการเองด้วยรายการเอกสารได้ ฟรีแลนซ์ที่ใช้ WordPress อาศัยปลั๊กอินตรวจสอบเฉพาะเว็บได้ในระดับหนึ่ง แต่เมื่อดูแลเว็บลูกค้าจำนวนมากพร้อมกัน การใช้แพลตฟอร์มที่สแกนเห็น Third-party Script ทุกตัวในทุกเว็บช่วยลดความเสี่ยงจากการตกหล่นได้มากกว่า อ่านเพิ่มเติมที่ คู่มือ Vendor Management สำหรับเอเจนซีและฟรีแลนซ์ และดูภาพรวมที่ ศูนย์ความรู้ Data Governance

แหล่งข้อมูลอ้างอิง

• NIST Privacy Framework
• แนวทาง Vendor Management สำหรับร้านค้าออนไลน์