Vendor Management คืออะไร คู่มือสำหรับเว็บไซต์ธุรกิจทั่วไปและ SME

เว็บไซต์ธุรกิจทั่วไปแทบทุกแห่งใช้ผู้ให้บริการภายนอกอย่างน้อย 5-10 ราย โดยไม่รู้ตัว ตั้งแต่ผู้ให้บริการ Hosting ระบบอีเมลการตลาด ปลั๊กอินแชท ไปจนถึงระบบรับชำระเงิน แต่ละรายล้วนมีโอกาสเข้าถึงหรือประมวลผลข้อมูลลูกค้าในนามของธุรกิจ Vendor Management คือกระบวนการที่ทำให้เจ้าของกิจการรู้ว่ามีผู้ให้บริการเหล่านี้กี่ราย แต่ละรายเข้าถึงข้อมูลอะไรบ้าง และมีเงื่อนไขด้านการคุ้มครองข้อมูลอย่างไร

Vendor Management คืออะไร และเกี่ยวข้องกับ PDPA อย่างไร

ในกรอบ PDPA ธุรกิจที่เก็บและใช้ข้อมูลลูกค้ามักมีสถานะเป็นผู้ควบคุมข้อมูล (Controller) ส่วนผู้ให้บริการภายนอกที่รับงานไปประมวลผลข้อมูลแทน เช่น บริษัทส่งอีเมล ระบบ CRM หรือผู้ให้บริการ Cloud มักมีสถานะเป็นผู้ประมวลผลข้อมูล (Processor) การที่ธุรกิจมอบข้อมูลให้ Processor ไม่ได้ทำให้ความรับผิดชอบของธุรกิจหมดไป ธุรกิจยังต้องรู้ว่า Vendor แต่ละรายทำอะไรกับข้อมูลบ้าง และมีมาตรการดูแลข้อมูลอย่างไร Vendor Management จึงเป็นงานที่เชื่อมโยง TRUSTY-20 ข้อ 11 เรื่อง Vendor เข้ากับข้อ 2 เรื่องบทบาท Controller หรือ Processor โดยตรง

ความเข้าใจผิดที่พบบ่อยคือคิดว่าการเซ็นสัญญาใช้บริการเพียงอย่างเดียวเท่ากับดูแลความเสี่ยงด้าน Vendor ครบแล้ว ในทางปฏิบัติ Vendor Management ต้องครอบคลุมตั้งแต่ก่อนเริ่มใช้งาน ระหว่างใช้งาน จนถึงวันที่เลิกใช้บริการ ไม่ใช่งานที่ทำครั้งเดียวจบ

สัญญาณที่บอกว่าธุรกิจควรให้ความสำคัญกับ Vendor Management มากขึ้น

เว็บไซต์ธุรกิจบางแห่งไม่เคยต้องคิดเรื่อง Vendor Management จนกว่าจะเกิดเหตุการณ์บางอย่าง เช่น Vendor รายหนึ่งแจ้งว่าระบบของตนถูกโจมตี หรือมีลูกค้าถามว่าข้อมูลที่กรอกในฟอร์มถูกส่งไปที่ใครบ้าง คำถามเหล่านี้ตอบยากถ้าธุรกิจไม่เคยรวบรวมรายชื่อ Vendor ไว้ล่วงหน้า

สัญญาณที่บอกว่าธุรกิจควรเริ่มทำ Vendor Management อย่างจริงจัง ได้แก่ การเพิ่มปลั๊กอินหรือแอปใหม่บ่อยครั้งโดยทีมการตลาดหรือทีมพัฒนาต่างคนต่างทำ การไม่มีใครตอบได้ทันทีว่าเว็บไซต์ใช้เครื่องมือกี่ตัว การเคยได้รับอีเมลแจ้งเปลี่ยนนโยบายจาก Vendor แล้วไม่มีใครอ่านหรือประเมินผลกระทบ และการที่ธุรกิจเริ่มขยายไปใช้ระบบ CRM หรือระบบชำระเงินใหม่ที่เก็บข้อมูลลูกค้าปริมาณมากขึ้น

ธุรกิจที่มีสัญญาณเหล่านี้อย่างน้อยหนึ่งข้อควรเริ่มทำ Vendor Management แม้ในระดับพื้นฐาน เพราะความเสี่ยงมักไม่ได้เกิดจาก Vendor รายใหญ่ที่มีชื่อเสียง แต่เกิดจาก Vendor เล็กๆ ที่ไม่มีใครในทีมรู้ว่ามีอยู่

Vendor ประเภทไหนที่เว็บไซต์ธุรกิจทั่วไปและ SME ต้องดูแล

เว็บไซต์ธุรกิจทั่วไปมักเกี่ยวข้องกับ Vendor หลายกลุ่มพร้อมกัน การแยกกลุ่มช่วยให้เห็นภาพว่าใครควรถูกตรวจสอบก่อน

กลุ่มโครงสร้างพื้นฐานเว็บไซต์

ผู้ให้บริการ Hosting ผู้ให้บริการ Cloud ผู้ให้บริการ CDN และผู้ดูแลระบบภายนอกที่มีสิทธิ์เข้าถึงเซิร์ฟเวอร์หรือฐานข้อมูล กลุ่มนี้มักเข้าถึงข้อมูลได้ในระดับกว้างที่สุด เพราะเก็บข้อมูลทั้งเว็บไซต์ไว้บนระบบของตน

กลุ่มนี้ควรถูกจัดเป็นความเสี่ยงระดับสูงเสมอ เพราะหาก Vendor กลุ่มนี้มีปัญหาด้านความปลอดภัย ผลกระทบจะครอบคลุมข้อมูลทั้งเว็บไซต์ ไม่ใช่แค่ข้อมูลบางส่วน ธุรกิจควรรู้ว่าใครมีสิทธิ์เข้าถึงเซิร์ฟเวอร์หรือ Panel จัดการเว็บไซต์ได้บ้าง และมีการทบทวนสิทธิ์การเข้าถึงเป็นระยะหรือไม่

กลุ่มระบบชำระเงินและธุรกรรม

ผู้ให้บริการเกตเวย์ชำระเงิน ผู้ให้บริการวางบิลหรือใบกำกับภาษี และระบบส่งสินค้าที่ต้องใช้ที่อยู่ลูกค้า กลุ่มนี้มักเข้าถึงข้อมูลทางการเงินหรือข้อมูลที่ระบุตัวตนได้ชัดเจน จึงควรอยู่ในลำดับความเสี่ยงสูง

ธุรกิจที่ใช้ระบบส่งสินค้าหลายเจ้าควรตรวจว่าข้อมูลที่อยู่และเบอร์โทรลูกค้าถูกส่งไปยังผู้ให้บริการขนส่งในรูปแบบใด และผู้ให้บริการขนส่งเก็บข้อมูลเหล่านี้ไว้นานเท่าใดหลังจัดส่งเสร็จ เพราะข้อมูลกลุ่มนี้มักถูกมองข้ามเมื่อเทียบกับข้อมูลบัตรเครดิต

กลุ่มการตลาดและการวิเคราะห์

เครื่องมือส่งอีเมลหรือ SMS การตลาด แพลตฟอร์มโฆษณา เครื่องมือวิเคราะห์พฤติกรรมผู้ใช้ และปลั๊กอินแชทหรือแชทบอท กลุ่มนี้มักได้รับข้อมูลติดต่อและพฤติกรรมการใช้งานของลูกค้าโดยตรง

กลุ่มนี้มักเป็นกลุ่มที่เพิ่มขึ้นเร็วที่สุด เพราะทีมการตลาดสามารถสมัครใช้เครื่องมือใหม่ได้เองโดยไม่ต้องผ่านทีมพัฒนา ทำให้เกิดกรณีที่ทีมพัฒนาไม่รู้ว่ามีสคริปต์หรือปลั๊กอินใหม่ถูกติดตั้งไว้บนเว็บไซต์ Vendor กลุ่มนี้จึงควรถูกตรวจสอบร่วมกันระหว่างทีมการตลาดและทีมพัฒนาเป็นประจำ

กลุ่มระบบหลังบ้านของธุรกิจ

ระบบ CRM ระบบบัญชี ระบบ HR หรือเครื่องมือจัดการทีมงานที่เชื่อมกับข้อมูลลูกค้าหรือพนักงาน แม้ไม่ได้อยู่หน้าเว็บไซต์โดยตรง แต่ก็เป็น Vendor ที่ต้องดูแลเช่นกัน

วิธีจัดลำดับความเสี่ยงของ Vendor แต่ละราย

เว็บไซต์ธุรกิจที่มี Vendor สิบกว่ารายไม่จำเป็นต้องตรวจสอบทุกรายด้วยความละเอียดเท่ากัน การแบ่งระดับความเสี่ยงช่วยให้ทีมงานรู้ว่าควรใช้เวลากับ Vendor รายใดก่อน

Vendor ความเสี่ยงสูง คือรายที่เข้าถึงข้อมูลอ่อนไหว ข้อมูลทางการเงิน หรือข้อมูลลูกค้าปริมาณมาก เช่น ผู้ให้บริการ Hosting เกตเวย์ชำระเงิน หรือระบบ CRM หลัก Vendor กลุ่มนี้ควรได้รับการตรวจสอบละเอียดที่สุดและทบทวนถี่ที่สุด

Vendor ความเสี่ยงปานกลาง คือรายที่เข้าถึงข้อมูลติดต่อพื้นฐาน เช่น เครื่องมือส่งอีเมลการตลาดหรือปลั๊กอินแชท ควรมีการตรวจสอบเบื้องต้นและทบทวนตามรอบปกติ

Vendor ความเสี่ยงต่ำ คือรายที่ไม่เข้าถึงข้อมูลส่วนบุคคลโดยตรง เช่น เครื่องมือออกแบบกราฟิกหรือระบบจัดการงานภายในทีมที่ไม่มีข้อมูลลูกค้า กลุ่มนี้ยังควรอยู่ในรายชื่อ แต่ใช้ทรัพยากรตรวจสอบน้อยกว่า

วงจรการจัดการ Vendor ตั้งแต่ต้นจนจบ

Vendor Management ที่ทำได้จริงในธุรกิจขนาดเล็กไม่จำเป็นต้องซับซ้อนเท่าองค์กรใหญ่ แต่ควรมีขั้นตอนหลักครบ 5 ช่วง

1. ระบุ Vendor ที่ใช้งานอยู่จริง

เริ่มจากรวบรวมรายชื่อผู้ให้บริการทั้งหมดที่เว็บไซต์และทีมงานใช้อยู่ ไม่ใช่แค่ที่จำได้ แต่รวมถึงปลั๊กอิน สคริปต์ และแอปที่ทีมการตลาดหรือทีมพัฒนาเพิ่มเข้ามาระหว่างทาง

2. ประเมินความเสี่ยงก่อนเริ่มใช้งาน

ก่อนเซ็นสัญญาหรือเปิดใช้งานจริง ควรถามว่า Vendor รายนี้จะเข้าถึงข้อมูลอะไรบ้าง ข้อมูลนั้นอ่อนไหวหรือไม่ และ Vendor มีการส่งต่อข้อมูลให้ผู้ให้บริการรายอื่นต่อ (Sub-processor) หรือไม่

3. กำหนดเงื่อนไขในสัญญาหรือข้อตกลงใช้งาน

ตรวจสอบว่าสัญญาหรือข้อตกลงการใช้บริการมีเนื้อหาเกี่ยวกับการคุ้มครองข้อมูล เช่น ขอบเขตการใช้ข้อมูล ระยะเวลาการเก็บ และการแจ้งเหตุการณ์ผิดปกติหรือไม่ ธุรกิจไม่จำเป็นต้องร่างเอกสารทางกฎหมายเอง แต่ควรรู้ว่าเงื่อนไขเหล่านี้ควรมีอยู่ และปรึกษาผู้เชี่ยวชาญเมื่อ Vendor เข้าถึงข้อมูลอ่อนไหวหรือปริมาณมาก

4. ติดตามระหว่างใช้งาน

Vendor ที่ผ่านการตรวจสอบแล้วไม่ได้แปลว่าไม่ต้องตรวจซ้ำอีก บริการอาจเปลี่ยนนโยบาย เปลี่ยนเจ้าของกิจการ หรือเพิ่มฟีเจอร์ใหม่ที่ดึงข้อมูลมากขึ้น การทบทวนตามรอบจึงจำเป็น

5. วางแผนเมื่อเลิกใช้งาน

เมื่อเลิกใช้บริการ Vendor รายใดรายหนึ่ง ควรตรวจว่าข้อมูลที่เคยส่งให้ถูกลบหรือส่งคืนตามที่ตกลงหรือไม่ และปรับปรุงเอกสารภายในให้ตรงกับความเป็นจริง

Vendor Management เชื่อมโยงกับ Data Inventory และ ROPA อย่างไร

Vendor Management ไม่ใช่งานเดี่ยว แต่เป็นส่วนหนึ่งของภาพรวมการกำกับดูแลข้อมูล การรู้ว่ามี Vendor รายใดบ้างต้องอาศัยผลจากการทำ Data Inventory ก่อน เพื่อดูว่าข้อมูลแต่ละประเภทถูกส่งออกไปที่ใดบ้าง และเมื่อรู้แล้วว่ามี Vendor รายใด ข้อมูลของ Vendor นั้นควรถูกบันทึกไว้ในทะเบียนกิจกรรมประมวลผลข้อมูล หรือ ROPA เพื่อให้ธุรกิจมีหลักฐานว่าเคยตรวจสอบและรู้จัก Vendor แต่ละรายจริง ไม่ใช่แค่ความจำของทีมงานคนใดคนหนึ่ง

คำถามที่พบบ่อยจากเจ้าของกิจการคือ ธุรกิจขนาดเล็กที่มี Vendor เพียงไม่กี่รายต้องทำ Vendor Management เต็มรูปแบบหรือไม่ คำตอบคือควรเริ่มจากขนาดที่ทำได้จริง เช่น ตารางรายชื่อ Vendor ง่ายๆ ที่ระบุว่าใช้ทำอะไร เข้าถึงข้อมูลอะไร แล้วค่อยขยายความละเอียดเมื่อธุรกิจโตขึ้นหรือเริ่มใช้ Vendor ที่เข้าถึงข้อมูลอ่อนไหวมากขึ้น

เช็กลิสต์ปฏิบัติ

• รวบรวมรายชื่อ Vendor ทั้งหมดที่เว็บไซต์และทีมงานใช้งานจริง รวมปลั๊กอินและแอปที่เพิ่มเข้ามาระหว่างทาง
• ระบุประเภทข้อมูลที่แต่ละ Vendor เข้าถึงหรือประมวลผล
• ตรวจสอบว่า Vendor มีการส่งต่อข้อมูลให้ Sub-processor รายอื่นหรือไม่
• ตรวจสัญญาหรือข้อตกลงใช้บริการว่ามีเนื้อหาด้านการคุ้มครองข้อมูลหรือไม่
• กำหนดเจ้าของงาน (Owner) ที่รับผิดชอบทบทวน Vendor แต่ละกลุ่ม
• ตั้งรอบทบทวน Vendor เป็นระยะ ไม่ปล่อยให้ตรวจครั้งเดียวแล้วจบ
• บันทึกรายชื่อ Vendor ไว้ในเอกสาร Data Inventory หรือ ROPA เพื่อให้มีหลักฐาน

ข้อผิดพลาดที่พบบ่อย

• รู้จัก Vendor เฉพาะรายใหญ่ แต่ลืมปลั๊กอินหรือแอปเล็กๆ ที่ทีมการตลาดเพิ่มเองโดยไม่แจ้งทีมพัฒนา
• เข้าใจว่าการเซ็นสัญญาซื้อบริการเท่ากับได้ตรวจสอบด้านข้อมูลแล้ว ทั้งที่สัญญาอาจไม่มีเนื้อหาด้านการคุ้มครองข้อมูลเลย
• ไม่เคยทบทวน Vendor ซ้ำหลังจากเริ่มใช้งานครั้งแรก ทั้งที่บริการอาจเปลี่ยนนโยบายหรือฟีเจอร์ภายหลัง
• เลิกใช้ Vendor แล้วไม่ตรวจว่าข้อมูลที่เคยส่งให้ถูกลบหรือยังอยู่ในระบบของ Vendor
• ไม่มีใครในทีมรับผิดชอบเรื่อง Vendor โดยตรง ทำให้ Vendor ใหม่ถูกเพิ่มเข้ามาโดยไม่มีใครตรวจสอบก่อน

สรุป

Vendor Management ของเว็บไซต์ธุรกิจทั่วไปและ SME คือการรู้ว่ามีผู้ให้บริการภายนอกกี่รายที่เข้าถึงข้อมูลลูกค้า แต่ละรายเข้าถึงอะไรบ้าง และมีการตรวจสอบเป็นรอบอย่างสม่ำเสมอ ไม่ใช่การรับรองว่าทุก Vendor ปลอดภัยหรือถูกต้องตามกฎหมายทั้งหมด ธุรกิจที่เริ่มจากรายชื่อ Vendor ง่ายๆ แล้วขยายรายละเอียดตามความเสี่ยงจริง จะดูแลเรื่องนี้ได้อย่างต่อเนื่องกว่าการพยายามทำให้ครบทุกอย่างตั้งแต่วันแรก

แหล่งข้อมูลอ้างอิง

• NIST Privacy Framework
• สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC)

คำถามที่พบบ่อย

ธุรกิจขนาดเล็กที่มี Vendor เพียงไม่กี่รายต้องทำ Vendor Management เต็มรูปแบบหรือไม่ ไม่จำเป็นต้องทำครบทุกขั้นตอนตั้งแต่วันแรก ควรเริ่มจากรายชื่อ Vendor ง่ายๆ แล้วขยายความละเอียดเมื่อธุรกิจโตขึ้น

Vendor กับ Processor ตาม PDPA คือสิ่งเดียวกันหรือไม่ ไม่เสมอไป Vendor เป็นคำเรียกทั่วไปของผู้ให้บริการภายนอก ส่วน Processor เป็นสถานะทางกฎหมายที่ต้องพิจารณาว่า Vendor รายนั้นประมวลผลข้อมูลแทนธุรกิจในลักษณะใด

ต้องมีสัญญาเป็นลายลักษณ์อักษรกับ Vendor ทุกรายหรือไม่ Vendor ที่เข้าถึงข้อมูลส่วนบุคคลควรมีข้อตกลงหรือเงื่อนไขการใช้บริการที่ระบุขอบเขตชัดเจน ธุรกิจที่มี Vendor เข้าถึงข้อมูลอ่อนไหวควรปรึกษาผู้เชี่ยวชาญด้านกฎหมายเพิ่มเติม

เมื่อเลิกใช้ Vendor ควรทำอะไรก่อนปิดบัญชี ควรตรวจสอบว่าข้อมูลที่เคยส่งให้ Vendor ถูกลบหรือส่งคืนตามเงื่อนไข และปรับปรุงรายชื่อ Vendor ในเอกสารภายในให้ตรงกับสถานะปัจจุบัน