เช็กลิสต์ Data Breach สำหรับเอเจนซีและฟรีแลนซ์ทำเว็บไซต์: ต้องตรวจอะไรบ้างก่อนเปิดใช้งาน

ทีมเอเจนซีหลายแห่งมีปัญหาเดียวกันเวลาเว็บไซต์ลูกค้าถูกแฮกหรือมีข้อมูลรั่วไหล นั่นคือไม่รู้ว่าใครในทีมต้องทำอะไรก่อน ไฟล์ log อยู่ตรงไหน ต้องแจ้งลูกค้าภายในกี่ชั่วโมง และต้องเก็บหลักฐานอะไรไว้บ้างก่อนที่จะรีบแก้ไขปัญหาจนหลักฐานหาย ปัญหานี้ไม่ได้เกิดจากทีมไม่เก่งด้านเทคนิค แต่เกิดจากไม่มีเช็กลิสต์ที่ใช้งานได้จริงตั้งแต่ก่อนเปิดใช้งานเว็บไซต์ บทความนี้รวบรวมเช็กลิสต์ที่เอเจนซีและฟรีแลนซ์ทำเว็บไซต์ควรมีติดมือ แบ่งตามช่วงเวลาของเหตุการณ์ ตั้งแต่ก่อนส่งมอบงาน ระหว่างสงสัยว่าเกิด Data Breach จนถึงการทบทวนหลังเหตุการณ์จบ

ทำไมเอเจนซีต้องมีเช็กลิสต์ Data Breach ของตัวเอง

เว็บไซต์ที่เอเจนซีรับทำมักมีฟอร์มเก็บข้อมูลลูกค้าปลายทาง เช่น ฟอร์มสมัครสมาชิก ฟอร์มสั่งซื้อ หรือฟอร์มติดต่อที่เก็บชื่อ เบอร์โทร อีเมล และบางครั้งเก็บข้อมูลบัตรหรือที่อยู่ ตัวเอเจนซีเองไม่ใช่เจ้าของข้อมูลส่วนบุคคลนั้น แต่ทำหน้าที่เป็นผู้ประมวลผลข้อมูลแทนลูกค้า เมื่อเกิดเหตุรั่วไหลบนเว็บไซต์ที่เอเจนซีดูแล ภาระในการแจ้งเหตุต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลภายในกรอบเวลาที่กฎหมายกำหนดยังคงเป็นของเจ้าของธุรกิจ แต่เอเจนซีมักเป็นฝ่ายที่รู้เหตุการณ์ก่อนใคร เพราะเป็นผู้ดูแลเซิร์ฟเวอร์ ปลั๊กอิน และระบบหลังบ้าน หากเอเจนซีไม่มีเช็กลิสต์ที่ชัดเจน ความล่าช้าที่เกิดขึ้นในช่วงตรวจสอบภายในทีมเองอาจกินเวลาไปหลายชั่วโมงจนเหลือเวลาให้ลูกค้าตัดสินใจแจ้งเหตุน้อยลงมาก

เช็กลิสต์ก่อนเปิดใช้งานเว็บไซต์ลูกค้าใหม่

ช่วงที่ดีที่สุดในการวางระบบรับมือ Data Breach คือก่อนเว็บไซต์ขึ้นระบบจริง เพราะเป็นช่วงที่ยังปรับโครงสร้างได้ง่ายและลูกค้ายังเปิดใจฟังคำแนะนำด้านความปลอดภัย

• ระบุรายการข้อมูลส่วนบุคคลที่เว็บไซต์จะเก็บ เช่น ชื่อ อีเมล เบอร์โทร ที่อยู่ หรือข้อมูลการชำระเงิน แล้วบันทึกไว้เป็นเอกสารอ้างอิงร่วมกับลูกค้า
• ตรวจสอบว่าปลั๊กอิน ธีม และไลบรารีที่ใช้ในเว็บไซต์เป็นเวอร์ชันล่าสุด และมีแผนอัปเดตความปลอดภัยเป็นประจำ
• ตั้งค่าการเข้ารหัสข้อมูลระหว่างส่ง (HTTPS) และเข้ารหัสข้อมูลสำคัญในฐานข้อมูล โดยเฉพาะรหัสผ่านและข้อมูลอ่อนไหว
• จำกัดสิทธิ์การเข้าถึงหลังบ้านให้เฉพาะทีมที่จำเป็น และเปิดใช้การยืนยันตัวตนสองชั้นสำหรับบัญชีผู้ดูแลระบบทุกบัญชี
• ตกลงกับลูกค้าล่วงหน้าว่าใครเป็นผู้ตัดสินใจแจ้งเหตุต่อ PDPC และใครเป็นช่องทางติดต่อฉุกเฉินของทั้งสองฝ่าย พร้อมระบุไว้ในสัญญาหรือ SLA
• ตั้งค่าระบบบันทึก log การเข้าถึงฐานข้อมูลและไฟล์สำคัญ เพื่อให้สามารถย้อนดูเส้นทางการเข้าถึงได้เมื่อจำเป็น
• วางแผนสำรองข้อมูล (backup) แบบแยกตำแหน่งจัดเก็บ และทดสอบการกู้คืนอย่างน้อยหนึ่งครั้งก่อนส่งมอบงาน

เช็กลิสต์เมื่อสงสัยว่าเกิด Data Breach

เมื่อเริ่มสงสัยว่ามีสิ่งผิดปกติ เช่น ทราฟฟิกพุ่งผิดปกติ มีการล็อกอินจาก IP แปลกหน้า หรือลูกค้าปลายทางแจ้งว่าได้รับอีเมลหลอกลวงที่มีข้อมูลของตนถูกต้องผิดปกติ ทีมเอเจนซีควรทำตามลำดับนี้ทันที

• บันทึกเวลาที่พบความผิดปกติและช่องทางที่ได้รับแจ้ง ก่อนที่จะเริ่มแก้ไขใด ๆ บนระบบ
• แยกระบบที่สงสัยออกจากเครือข่ายส่วนที่เหลือชั่วคราว เช่น ปิดการเข้าถึงจากภายนอกหรือเปลี่ยนรหัสผ่านบัญชีที่มีสิทธิ์สูง โดยไม่ลบข้อมูลหรือไฟล์ log ใด ๆ
• คัดลอกไฟล์ log เซิร์ฟเวอร์ log ฐานข้อมูล และภาพหน้าจอของสิ่งผิดปกติเก็บไว้แยกต่างหากก่อนดำเนินการแก้ไข
• ประเมินเบื้องต้นว่าข้อมูลประเภทใดอาจได้รับผลกระทบ และมีจำนวนบุคคลที่เกี่ยวข้องโดยประมาณเท่าใด
• แจ้งผู้ติดต่อฝั่งลูกค้าตามช่องทางที่ตกลงไว้ล่วงหน้าโดยไม่ชักช้า พร้อมสรุปข้อเท็จจริงเท่าที่ทราบ ณ ขณะนั้น
• เริ่มบันทึกไทม์ไลน์เหตุการณ์แบบละเอียด ตั้งแต่เวลาที่พบจนถึงทุกการตัดสินใจที่ทีมทำระหว่างเหตุการณ์

เช็กลิสต์การแจ้งเหตุและเก็บหลักฐาน

ลูกค้าซึ่งเป็นเจ้าของข้อมูลมีหน้าที่ต้องแจ้งเหตุต่อ PDPC ภายในกรอบเวลาที่กฎหมายกำหนดหากเข้าเงื่อนไขความเสี่ยงสูง แต่เอเจนซีมีบทบาทสำคัญในการเตรียมข้อมูลให้ลูกค้าตัดสินใจได้เร็วและครบถ้วน

• สรุปรายงานเบื้องต้นให้ลูกค้าภายในเวลาไม่กี่ชั่วโมงหลังพบเหตุ ระบุว่าข้อมูลอะไรอาจรั่วไหล เกิดขึ้นอย่างไร และได้ปิดช่องโหว่ไปแล้วหรือยัง
• เก็บสำเนา log ไฟล์ที่ถูกแก้ไขหรือเข้าถึงผิดปกติ และรายชื่อบัญชีที่เกี่ยวข้องกับเหตุการณ์ไว้ในที่ปลอดภัยแยกจากระบบผลิตจริง
• บันทึกรายละเอียดการสื่อสารกับลูกค้าทุกครั้ง ทั้งเวลา ช่องทาง และเนื้อหาที่แจ้ง เพื่อใช้เป็นหลักฐานว่าเอเจนซีดำเนินการโดยไม่ชักช้า
• หากมีผู้ให้บริการโฮสติ้งหรือระบบภายนอกเกี่ยวข้อง ให้ขอรายงานหรือ log จากผู้ให้บริการนั้นประกอบการรายงานด้วย

เช็กลิสต์หลังเหตุการณ์จบ

เมื่อปิดช่องโหว่และแจ้งเหตุเรียบร้อยแล้ว งานยังไม่จบ ทีมควรทบทวนเหตุการณ์เพื่อลดโอกาสเกิดซ้ำ

• จัดประชุมทบทวนเหตุการณ์ร่วมกับลูกค้า สรุปสาเหตุที่แท้จริง ไม่ใช่แค่จุดที่แก้ไขไปแล้ว
• ปรับปรุงเช็กลิสต์ก่อนเปิดใช้งานให้ครอบคลุมช่องโหว่ที่พบใหม่ เพื่อใช้กับโปรเจกต์ถัดไป
• ทบทวนสิทธิ์การเข้าถึงของทีมงานทุกคนที่เกี่ยวข้องกับเว็บไซต์ลูกค้ารายนั้นอีกครั้ง
• เก็บรายงานสรุปเหตุการณ์ไว้เป็นเอกสารอ้างอิง พร้อมวันที่ทบทวนครั้งถัดไป

ข้อผิดพลาดที่เอเจนซีมักทำระหว่างรับมือ Data Breach

จากลักษณะงานที่ต้องดูแลเว็บไซต์หลายรายพร้อมกัน เอเจนซีมักพลาดในจุดที่ซ้ำ ๆ ดังนี้

• รีบแก้ไขช่องโหว่หรือรีสตาร์ทเซิร์ฟเวอร์ทันทีโดยไม่เก็บ log หรือหลักฐานไว้ก่อน ทำให้ภายหลังไม่สามารถระบุขอบเขตความเสียหายได้ชัดเจน
• ไม่มีช่องทางแจ้งเหตุฉุกเฉินที่ระบุไว้ชัดเจนกับลูกค้าตั้งแต่ต้น ทำให้เสียเวลาตามหาผู้มีอำนาจตัดสินใจในวันที่เกิดเหตุจริง
• ประเมินความรุนแรงของเหตุการณ์ต่ำเกินไปเพราะมองแค่มุมเทคนิค โดยไม่ได้พิจารณาว่าข้อมูลที่รั่วไหลอาจกระทบสิทธิของเจ้าของข้อมูลมากน้อยเพียงใด
• ไม่มีการแบ่งแยกสิทธิ์การเข้าถึงระหว่างโปรเจกต์ลูกค้าแต่ละราย ทำให้เมื่อบัญชีใดบัญชีหนึ่งถูกเจาะ ความเสี่ยงลุกลามไปยังเว็บไซต์ลูกค้ารายอื่นด้วย
• ลืมปรับปรุงเช็กลิสต์หลังเกิดเหตุ ทำให้ใช้เช็กลิสต์เดิมที่ไม่ครอบคลุมช่องโหว่ใหม่กับโปรเจกต์ถัดไป

สรุป

เช็กลิสต์ Data Breach ที่ใช้งานได้จริงสำหรับเอเจนซีต้องครอบคลุมสี่ช่วง คือ ก่อนเปิดใช้งานเว็บไซต์ ระหว่างสงสัยว่าเกิดเหตุ ขั้นตอนแจ้งเหตุและเก็บหลักฐาน และการทบทวนหลังเหตุการณ์ แต่ละช่วงต้องระบุผู้รับผิดชอบ กรอบเวลา และช่องทางสื่อสารกับลูกค้าให้ชัดเจนตั้งแต่ต้น เพื่อลดความเสี่ยงที่จะตอบสนองล่าช้าเมื่อเกิดเหตุจริง เอเจนซีที่ต้องการดูภาพรวมของกระบวนการทั้งหมดควรอ่านคู่มือหลักเรื่อง การรับมือ Data Breach สำหรับเอเจนซี ประกอบเช็กลิสต์นี้ และดูขั้นตอนละเอียดเพิ่มเติมได้ที่ วิธีวางระบบ Data Breach แบบเป็นขั้นตอน

แหล่งข้อมูลอ้างอิง

ข้อมูลในบทความนี้อ้างอิงแนวทางทั่วไปจากสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) เกี่ยวกับหน้าที่แจ้งเหตุการละเมิดข้อมูลส่วนบุคคล เอเจนซีและฟรีแลนซ์ควรตรวจสอบประกาศและแนวปฏิบัติล่าสุดของ PDPC ประกอบการตัดสินใจ เนื่องจากรายละเอียดเชิงกฎหมายอาจมีการปรับปรุงเป็นระยะ และควรปรึกษาที่ปรึกษากฎหมายของธุรกิจตนเองเพิ่มเติมสำหรับกรณีเฉพาะ ดูภาพรวมของหมวดสิทธิ เหตุการณ์ และความเสี่ยงทั้งหมดได้ที่ ศูนย์ความรู้ด้านสิทธิ เหตุการณ์ และความเสี่ยง