PDPA สำหรับเว็บไซต์: ภาพรวมที่องค์กรการเงิน ประกัน และธุรกิจที่มีความเสี่ยงสูงต้องรู้

ทีมตรวจสอบภายในของสถาบันการเงินแห่งหนึ่งสุ่มตรวจเว็บไซต์ของตัวเองแล้วพบว่ามีสคริปต์แชทบอทของผู้ให้บริการภายนอกที่ทีมการตลาดติดตั้งเพิ่มเมื่อสองเดือนก่อน โดยไม่มีใครในทีม Security รับทราบหรือประเมินความเสี่ยงมาก่อน นี่คือสถานการณ์ที่พบได้ไม่น้อยในเว็บไซต์องค์กรการเงิน ประกัน และธุรกิจที่มีความเสี่ยงสูง ซึ่งมีมาตรฐานที่ต้องดูแลสูงกว่าเว็บไซต์ทั่วไปในหลายชั้น

บทความนี้โฟกัสที่มุมของเว็บไซต์องค์กรการเงินและประกันโดยเฉพาะ ตั้งแต่การเปิดเผยข้อมูลผู้ควบคุมข้อมูลและ DPO ความปลอดภัยของฟอร์มขอสินเชื่อ ความเสี่ยงของสคริปต์บุคคลที่สาม ไปจนถึงกรอบเวลาการแจ้งเหตุข้อมูลรั่วไหลและบทบาทของทีม Compliance

บทความนี้เขียนขึ้นเฉพาะสำหรับองค์กรการเงิน ประกัน และธุรกิจที่มีความเสี่ยงสูง ไม่ใช่คำแนะนำทางกฎหมายเฉพาะกรณี ควรปรึกษาที่ปรึกษากฎหมายของธุรกิจประกอบการตัดสินใจ

เว็บไซต์สถาบันการเงิน/ประกันต้องเปิดเผยอะไรเพิ่มจากเว็บไซต์ทั่วไป

เว็บไซต์สถาบันการเงิน/ประกันต้องเปิดเผยอะไรเพิ่มจากเว็บไซต์ทั่วไป เป็นจุดเริ่มต้นที่ทีม Compliance ควรตรวจสอบก่อนเรื่องอื่น เพราะลูกค้าและหน่วยงานกำกับดูแลมักคาดหวังความโปร่งใสจากองค์กรกลุ่มนี้มากกว่าธุรกิจทั่วไป

สิ่งที่ควรมีเพิ่มจากนโยบายความเป็นส่วนตัวทั่วไปคือช่องทางติดต่อเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) ที่แสดงเด่นชัดและเข้าถึงง่าย ไม่ฝังลึกอยู่ในหน้าที่หาไม่เจอ รวมถึงประวัติการปรับปรุงนโยบายความเป็นส่วนตัว เพื่อให้ลูกค้าและหน่วยงานกำกับดูแลตรวจสอบย้อนหลังได้ว่านโยบายเปลี่ยนแปลงเมื่อใดและด้วยเหตุผลอะไร องค์กรบางแห่งยังเพิ่มหน้าอธิบายมาตรการความปลอดภัยของเว็บไซต์แยกต่างหาก เพื่อสร้างความมั่นใจให้ลูกค้าก่อนกรอกข้อมูลทางการเงินที่อ่อนไหว

ฟอร์มขอสินเชื่อ/ขอใบเสนอราคาประกันออนไลน์ เก็บข้อมูลอ่อนไหวอย่างไรให้ปลอดภัย

ฟอร์มขอสินเชื่อ/ขอใบเสนอราคาประกันออนไลน์ เก็บข้อมูลอ่อนไหวอย่างไรให้ปลอดภัย เป็นจุดที่มีความเสี่ยงสูงที่สุดบนเว็บไซต์องค์กรการเงิน เพราะฟอร์มเหล่านี้มักขอข้อมูลรายได้ ภาระหนี้สิน หรือประวัติสุขภาพเบื้องต้นสำหรับการประเมินความเสี่ยงประกัน

นอกจากมาตรการทางเทคนิค องค์กรควรแจ้งลูกค้าตั้งแต่ก่อนกรอกฟอร์มว่าข้อมูลจะถูกใช้เพื่อวัตถุประสงค์ใดและเก็บไว้นานเท่าใด โดยเฉพาะกรณีที่ลูกค้ากรอกข้อมูลแล้วไม่ได้ยื่นคำขอต่อจนจบ ควรมีนโยบายชัดเจนว่าข้อมูลที่กรอกไว้บางส่วนจะถูกลบเมื่อพ้นระยะเวลาหนึ่งหากลูกค้าไม่กลับมาดำเนินการต่อ

สคริปต์บุคคลที่สามบนเว็บไซต์การเงิน มีความเสี่ยงอะไรที่มากกว่าธุรกิจทั่วไป

สคริปต์บุคคลที่สามบนเว็บไซต์การเงิน มีความเสี่ยงอะไรที่มากกว่าธุรกิจทั่วไป เป็นประเด็นที่ทีม Security ขององค์กรการเงินควรให้ความสำคัญเป็นพิเศษ เพราะสคริปต์แชท Heatmap หรือ Marketing Tag ที่ติดตั้งบนหน้าเว็บที่มีฟอร์มขอสินเชื่ออาจเข้าถึงข้อมูลที่ลูกค้าพิมพ์ได้โดยไม่ตั้งใจ หากสคริปต์นั้นมีช่องโหว่ด้านความปลอดภัยหรือถูกออกแบบให้เก็บข้อมูลเกินความจำเป็น

แนวทางที่ควรทำคือกำหนดกระบวนการอนุมัติก่อนติดตั้งสคริปต์บุคคลที่สามทุกตัว โดยให้ทีม Security ประเมินว่าสคริปต์นั้นเข้าถึงข้อมูลส่วนใดของหน้าเว็บได้บ้าง ก่อนอนุญาตให้ทีมการตลาดหรือทีมพัฒนาเว็บไซต์ติดตั้งจริง ไม่ควรปล่อยให้แต่ละทีมติดตั้งสคริปต์ตามความต้องการของตัวเองโดยไม่ผ่านการตรวจสอบกลาง โดยเฉพาะบนหน้าที่มีฟอร์มขอสินเชื่อหรือใบเสนอราคาประกันซึ่งเป็นจุดที่มีข้อมูลอ่อนไหวมากที่สุดของเว็บไซต์

การแจ้งเหตุข้อมูลรั่วไหลจากเว็บไซต์ต่อหน่วยงานกำกับดูแล ภายในกี่วัน

การแจ้งเหตุข้อมูลรั่วไหลจากเว็บไซต์ต่อหน่วยงานกำกับดูแล ภายในกี่วัน เป็นคำถามที่ทีม Compliance ควรมีคำตอบพร้อมใช้เสมอ เพราะเว็บไซต์ที่มีฟอร์มขอสินเชื่อหรือใบเสนอราคาประกันเป็นจุดที่มีโอกาสเกิดเหตุข้อมูลรั่วไหลได้จากหลายทาง ทั้งช่องโหว่ของเว็บไซต์เอง สคริปต์บุคคลที่สามที่ถูกโจมตี หรือการตั้งค่าฐานข้อมูลผิดพลาด

องค์กรควรมีแผนแจ้งเหตุข้อมูลรั่วไหลที่ระบุผู้รับผิดชอบหลักในการประเมินความรุนแรงของเหตุการณ์ กรอบเวลาที่ต้องแจ้งทั้งหน่วยงานกำกับดูแล PDPA และหน่วยงานกำกับดูแลภาคการเงิน/ประกันโดยเฉพาะ พร้อมช่องทางแจ้งลูกค้าที่ได้รับผลกระทบ แผนนี้ควรถูกซ้อมใช้งานจริงเป็นระยะเพื่อให้ทีมที่เกี่ยวข้องคุ้นเคยกับขั้นตอน ไม่ใช่เพิ่งมาอ่านเอกสารตอนเกิดเหตุจริงซึ่งมักทำให้แจ้งเหตุล่าช้ากว่ากรอบเวลาที่กำหนด

ทีม Compliance ควรตรวจสอบเว็บไซต์อย่างไรเป็นประจำ

ทีม Compliance ควรตรวจสอบเว็บไซต์อย่างไรเป็นประจำ คือขั้นตอนสุดท้ายที่ทำให้มาตรการทั้งหมดข้างต้นยังคงใช้งานได้จริงต่อเนื่อง ไม่ใช่ทำครั้งเดียวตอนเปิดตัวเว็บไซต์แล้วปล่อยผ่าน เพราะเว็บไซต์องค์กรการเงินมักมีการเปลี่ยนแปลงจากหลายทีมพร้อมกันตลอดเวลา

แนวทางที่ทำได้จริงคือทบทวนรายการสคริปต์บุคคลที่สามที่ติดตั้งบนเว็บไซต์เป็นรอบทุกไตรมาส ตรวจสอบว่าฟอร์มขอสินเชื่อและใบเสนอราคายังเข้ารหัสข้อมูลถูกต้องทั้งระหว่างส่งและขณะจัดเก็บ และตรวจสอบว่าช่องทางติดต่อ DPO ที่แสดงบนหน้าเว็บยังใช้งานได้จริง สำหรับแนวทางเรื่องคุกกี้และการขอความยินยอมบนเว็บไซต์การเงินโดยเฉพาะ ดูได้ที่ Cookie Consent Banner สำหรับองค์กรการเงิน ประกัน และธุรกิจที่มีความเสี่ยงสูง และแนวทางเรื่อง Google Consent Mode ดูได้ที่ Google Consent Mode สำหรับองค์กรการเงิน ประกัน และธุรกิจที่มีความเสี่ยงสูง

ถ้าต้องการเริ่มต้นตรวจสอบเว็บไซต์ของคุณเบื้องต้นแบบไม่มีค่าใช้จ่าย สามารถลองใช้ เครื่องมือตรวจสอบเว็บไซต์ฟรีของ trusty เพื่อดูจุดที่ควรปรับปรุงก่อนได้

ระบบแชท/วิดีโอคอลให้คำปรึกษาทางการเงินผ่านเว็บไซต์ ต้องควบคุมอย่างไร

ระบบแชท/วิดีโอคอลให้คำปรึกษาทางการเงินผ่านเว็บไซต์ ต้องควบคุมอย่างไร เป็นช่องทางที่สถาบันการเงินและบริษัทประกันเริ่มใช้มากขึ้นเพื่อให้ลูกค้าปรึกษาผลิตภัณฑ์ก่อนตัดสินใจโดยไม่ต้องเดินทางไปสาขา แต่การสนทนาผ่านช่องทางนี้มักมีรายละเอียดสถานะทางการเงินหรือความต้องการเฉพาะบุคคลที่ลูกค้าเปิดเผยระหว่างพูดคุย

องค์กรควรกำหนดว่าประวัติแชทหรือการบันทึกวิดีโอคอลจะถูกเก็บไว้นานเท่าใด ใครมีสิทธิ์เข้าถึงย้อนหลัง และแจ้งลูกค้าตั้งแต่ต้นบทสนทนาหากมีการบันทึกไว้เพื่อวัตถุประสงค์ด้านคุณภาพบริการ ไม่ปล่อยให้ลูกค้าสนทนาโดยไม่รู้ว่าบทสนทนากำลังถูกบันทึก และควรจำกัดสิทธิ์เข้าถึงระบบแชทให้เฉพาะเจ้าหน้าที่ที่ปฏิบัติหน้าที่ให้คำปรึกษาจริง ไม่เปิดให้ทีมการตลาดดึงประวัติแชทไปใช้วิเคราะห์พฤติกรรมลูกค้าโดยไม่มีฐานทางกฎหมายรองรับ

การทดสอบเจาะระบบเว็บไซต์ที่มีฟอร์มขอสินเชื่อ ควรทำถี่แค่ไหน

การทดสอบเจาะระบบเว็บไซต์ที่มีฟอร์มขอสินเชื่อ ควรทำถี่แค่ไหน เป็นคำถามที่ทีม Security มักต้องตอบต่อคณะกรรมการบริหารความเสี่ยง เพราะหน้าเว็บที่มีฟอร์มขอสินเชื่อหรือใบเสนอราคาประกันเป็นจุดที่มีมูลค่าสูงสำหรับผู้โจมตี ทั้งจากข้อมูลที่เก็บอยู่และโอกาสใช้เป็นทางเข้าสู่ระบบหลังบ้านขององค์กร

แนวทางที่หลายองค์กรการเงินใช้คือทดสอบเจาะระบบอย่างน้อยปีละครั้งสำหรับเว็บไซต์โดยรวม และเพิ่มรอบทดสอบเฉพาะจุดทุกครั้งที่มีการเปลี่ยนแปลงฟอร์มขอสินเชื่อหรือเพิ่มสคริปต์บุคคลที่สามใหม่บนหน้าที่เกี่ยวข้อง ไม่รอให้ครบรอบปีเพียงอย่างเดียว เพราะการเปลี่ยนแปลงระหว่างปีคือจุดที่ช่องโหว่ใหม่มักเกิดขึ้น ผลการทดสอบควรถูกส่งต่อให้ทีม Compliance ทราบควบคู่กับทีม Security เสมอ เพื่อประเมินว่าช่องโหว่ที่พบเกี่ยวข้องกับข้อมูลส่วนบุคคลของลูกค้าหรือไม่

การทดสอบ Usability กับข้อมูลจริงของลูกค้า ต้องขออนุญาตอย่างไร

การทดสอบ Usability กับข้อมูลจริงของลูกค้า ต้องขออนุญาตอย่างไร เป็นสถานการณ์ที่เกิดขึ้นเมื่อทีมออกแบบเว็บไซต์ต้องการทดสอบว่าฟอร์มขอสินเชื่อหรือหน้าคำนวณเบี้ยประกันใช้งานง่ายหรือไม่ บางครั้งทีมงานหยิบข้อมูลลูกค้าจริงจากระบบมาใช้จำลองสถานการณ์แทนการสร้างข้อมูลสมมติขึ้นใหม่ เพราะสะดวกและใกล้เคียงการใช้งานจริงมากกว่า

แนวทางที่ถูกต้องคือใช้ข้อมูลสมมติหรือข้อมูลที่ผ่านการปกปิดตัวตนแล้วสำหรับการทดสอบ Usability ภายในทีม ไม่นำข้อมูลลูกค้าจริงมาใช้โดยไม่ได้รับความยินยอม หากจำเป็นต้องทดสอบกับลูกค้าจริงเพื่อเก็บ feedback เชิงพฤติกรรม ต้องขอความยินยอมจากลูกค้าที่เข้าร่วมทดสอบเป็นการเฉพาะ อธิบายวัตถุประสงค์ของการทดสอบให้ชัดเจน และไม่บันทึกหน้าจอที่มีข้อมูลลูกค้ารายอื่นปรากฏอยู่ระหว่างการทดสอบโดยไม่ได้ตั้งใจ

เช็กลิสต์ปฏิบัติ

• แสดงช่องทางติดต่อเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) ไว้ในหน้านโยบายความเป็นส่วนตัวอย่างเด่นชัด
• เข้ารหัสข้อมูลในฟอร์มขอสินเชื่อ/ขอใบเสนอราคาประกันทั้งระหว่างส่งและขณะจัดเก็บ
• ประเมินความเสี่ยงของสคริปต์บุคคลที่สามทุกตัวก่อนติดตั้งบนเว็บไซต์ ไม่ใช่ติดตั้งตามคำขอของทีมการตลาดโดยไม่ตรวจสอบ
• จำกัดสิทธิ์เข้าถึงข้อมูลที่ส่งผ่านฟอร์มออนไลน์เฉพาะทีมที่พิจารณาอนุมัติจริง
• จัดทำแผนแจ้งเหตุข้อมูลรั่วไหลจากเว็บไซต์ที่ระบุผู้รับผิดชอบและกรอบเวลาชัดเจน
• ทบทวนสคริปต์บุคคลที่สามที่ติดตั้งบนเว็บไซต์เป็นรอบทุกไตรมาส ไม่ใช่ตรวจครั้งเดียวตอนเปิดเว็บ

ข้อผิดพลาดที่พบบ่อย

• ไม่แสดงช่องทางติดต่อ DPO ในหน้านโยบายความเป็นส่วนตัว ทำให้ลูกค้าติดต่อสอบถามเรื่องข้อมูลไม่ได้
• ส่งข้อมูลฟอร์มขอสินเชื่อผ่านการเชื่อมต่อที่ไม่เข้ารหัส หรือเก็บไว้ในฐานข้อมูลที่ไม่มีการเข้ารหัส
• ติดตั้งสคริปต์ Heatmap หรือแชทบุคคลที่สามตามคำขอทีมการตลาดโดยไม่ผ่านการประเมินความเสี่ยงจากทีม Security
• ให้พนักงานทุกแผนกเข้าถึงข้อมูลที่ลูกค้ากรอกในฟอร์มขอสินเชื่อผ่านเว็บไซต์โดยไม่จำกัดสิทธิ์
• ไม่มีแผนแจ้งเหตุข้อมูลรั่วไหลที่ซ้อมใช้งานจริง ทำให้ตอบสนองล่าช้าเมื่อเกิดเหตุจริงบนเว็บไซต์

สรุป

เว็บไซต์ขององค์กรการเงิน ประกัน และธุรกิจที่มีความเสี่ยงสูง ต้องดูแลข้อมูลเข้มกว่าเว็บไซต์ทั่วไปในทุกชั้น ตั้งแต่การเปิดเผยช่องทางติดต่อ DPO การเข้ารหัสข้อมูลในฟอร์มขอสินเชื่อ การประเมินความเสี่ยงของสคริปต์บุคคลที่สามก่อนติดตั้ง ไปจนถึงแผนแจ้งเหตุข้อมูลรั่วไหลที่ซ้อมใช้งานจริงและการตรวจสอบเป็นประจำโดยทีม Compliance องค์กรที่วางกระบวนการเหล่านี้ไว้อย่างเป็นระบบจะรับมือกับความเสี่ยงบนเว็บไซต์ได้รวดเร็วกว่าองค์กรที่ตรวจสอบเพียงครั้งเดียวตอนเปิดตัว

แหล่งข้อมูลอ้างอิง

• สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC)