Zimbra เผยมุมมองธุรกิจไทยกับการใช้อีเมลภายนอก ใครคือคนคุมข้อมูล?

แอนโทนี แชดด์ (Anthony Chadd) ประธานเจ้าหน้าที่ฝ่ายรายได้ (Chief Revenue Officer) บริษัท Zimbra จำกัด เผยว่า ข้อมูลระดับองค์กรในประเทศไทยได้เปลี่ยนแปลงจากเดิมที่ทีมจัดซื้ออาจถามว่าระบบหนึ่งมีค่าใช้จ่ายเท่าไหร่ และสามารถทำอะไรได้บ้าง คำถามเหล่านั้นยังคงมีความสำคัญ

แต่ปัจจุบันต้องพิจารณาควบคู่ไปกับคำถามที่ตอบได้ยากขึ้น เช่น ใครเป็นผู้ให้บริการงานระบบ กฎหมายใดบ้างที่ใช้บังคับ และระบบสามารถให้คำตอบ หรือจัดเตรียมข้อมูลได้รวดเร็วเพียงใดเมื่อหน่วยงานกำกับดูแลเข้ามาตรวจสอบ แม้องค์กรสามารถจ้างบุคคลภายนอกให้ดูแลด้านเทคโนโลยีได้

แต่ท้ายที่สุดแล้ว ความรับผิดชอบยังคงอยู่ที่องค์กรเองคำตอบของประเทศไทยต่อคำถามนี้มีความชัดเจน และเฉพาะเจาะจงมากขึ้นในปีนี้

มาตรฐานความรับผิดชอบรูปแบบใหม่

ปัจจุบันมีกฎระเบียบ 2 ประการ ที่กำหนดมาตรฐานดังกล่าวไว้ชัดเจน ประการแรก ภายใต้ พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล (PDPA) องค์กรใดก็ตามที่ดำเนินการเกี่ยวกับข้อมูลส่วนบุคคล จะต้องแจ้งต่อคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) ภายใน 72 ชั่วโมง

นับจากที่ตรวจพบการละเมิดข้อมูล และ PDPC เองก็ได้บังคับใช้กรอบเวลาดังกล่าวอย่างจริงจัง โดยการไม่แจ้งเหตุละเมิดข้อมูลภายในกำหนดเวลาเป็นหนึ่งในข้อบกพร่องที่ถูกระบุในคดีบังคับใช้กฎหมายทุกกรณีที่หน่วยงานกำกับดูแลประกาศในเดือนสิงหาคม 2568 โดยมีค่าปรับสูงสุดถึง 3 ล้านบาท ต่อการละเมิดหนึ่งครั้ง

นอกจากนี้ ตั้งแต่วันที่ 10 กันยายน 2568 เป็นต้นมา ยังมีข้อกำหนดใหม่ที่เข้ามาเสริมมาตรฐานดังกล่าว นั่นคือ มาตรฐานความมั่นคงปลอดภัยบนคลาวด์ของสำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (สกมช.)

ซึ่งกำหนดให้หน่วยงานภาครัฐ ผู้ประกอบการโครงสร้างพื้นฐานสำคัญ ตลอดจนผู้ให้บริการคลาวด์ที่ให้บริการแก่หน่วยงานเหล่านี้ ต้องสามารถระบุได้อย่างชัดเจนว่า ข้อมูลถูกจัดเก็บอยู่ที่ใด และใครเป็นผู้รับผิดชอบข้อมูลในแต่ละขั้นตอน

มาตรฐานความมั่นคงปลอดภัยบนคลาวด์ (Cloud Security Standard) มีเป้าหมายโดยเฉพาะสำหรับหน่วยงานภาครัฐ ผู้ประกอบการโครงสร้างพื้นฐานสำคัญ และผู้ให้บริการหรือคู่ค้าของหน่วยงานเหล่านี้ แต่หลักคิดที่อยู่เบื้องหลังมาตรฐานดังกล่าวไม่ได้จำกัดอยู่เพียงกลุ่มเหล่านี้เท่านั้น

หน่วยงานกำกับดูแลของไทยภายใต้กฎระเบียบทั้ง 2 ฉบับ กำลังตั้งคำถามพื้นฐานเดียวกันว่า ไม่ใช่ว่าผู้ให้บริการอ้างว่าตนให้ความสำคัญกับความปลอดภัยหรือไม่ แต่คือองค์กรสามารถจัดทำเอกสารระบุได้อย่างชัดเจนและแม่นยำหรือไม่ว่า ข้อมูลของตนถูกจัดเก็บอยู่ที่ใด และใครเป็นผู้รับผิดชอบต่อข้อมูลดังกล่าว

ประเด็นนี้เริ่มมีความซับซ้อนเมื่อพูดถึง อีเมล เพราะโดยทั่วไปอีเมลมักถูกมองว่าเป็นเพียงบริการสาธารณูปโภคด้านไอที มากกว่าจะเป็นระบบธุรกิจที่ต้องอยู่ภายใต้การกำกับดูแล องค์กรมักจัดสรรงบประมาณให้อีเมลในลักษณะเดียวกัน ต่ออายุบริการในลักษณะเดียวกัน และตรวจสอบอีเมลด้วยระดับความเข้มงวดใกล้เคียง

กับการตรวจสอบเครือข่ายสำนักงาน ทั้งที่ในความเป็นจริง การตัดสินใจที่มีความละเอียดอ่อนแทบทุกเรื่องขององค์กรล้วนผ่านอีเมลในบางช่วงเวลา ไม่ว่าจะเป็น เอกสารสำหรับคณะกรรมการ คำแนะนำทางกฎหมาย เรื่องบุคลากร หรือคำสั่งจากลูกค้า โดยระบบธุรกิจส่วนใหญ่มักมีผู้รับผิดชอบที่ระบุไว้อย่างชัดเจน

และมีมาตรการควบคุมที่กำหนดไว้แน่นอน แต่อีเมลกลับครอบคลุมการใช้งานของทุกแผนก จึงมักทำให้ความรับผิดชอบถูกแบ่งออกระหว่าง ฝ่าย IT ฝ่ายความปลอดภัย ฝ่ายกำกับดูแลการปฏิบัติตามกฎระเบียบ

และฝ่ายปฏิบัติการ การจัดโครงสร้างเช่นนี้อาจดำเนินไปได้ตามปกติ จนกระทั่งมีใครสักคนต้องตอบคำถามที่เฉพาะเจาะจงเกี่ยวกับระบบอีเมล ภายใต้กรอบเวลาที่จำกัด

การควบคุมที่แท้จริงมีหน้าตาอย่างไร

การควบคุมระบบมีความสำคัญมากที่สุดในช่วง ชั่วโมงแรก ๆ หลังจากค้นพบเหตุการณ์ข้อมูลรั่วไหล เพราะนั่นคือช่วงเวลาที่เริ่มนับถอยหลัง และคำถามต่าง ๆ จะมีความเฉพาะเจาะจงมากขึ้น เช่น ข้อมูลอะไรถูกเปิดเผย เมื่อเกิดขึ้นอย่างไร เกิดขึ้นเมื่อใด และองค์กรได้ดำเนินการอะไรไปแล้วบ้าง

กรอบเวลา 72 ชั่วโมง ตาม PDPA เริ่มนับตั้งแต่วินาทีที่ตรวจพบการละเมิดข้อมูล ไม่ใช่เริ่มนับเมื่อมีคนมาตรวจสอบในภายหลัง หากองค์กรไม่มีความสามารถในการมองเห็น และไม่มีอำนาจควบคุมการดำเนินงานเหนือระบบอีเมล และระบบสื่อสารของตนเอง องค์กรอาจต้องพึ่งพาผู้อื่นในการตรวจสอบ ระบุ และรับมือกับเหตุการณ์ต่าง ๆ

กล่าวคือ ต้องรอให้ผู้ให้บริการเป็นผู้ตรวจพบปัญหา อธิบายว่าเกิดอะไรขึ้น และจากนั้นจึงอนุญาตให้ดำเนินการแก้ไขตามลำดับ ดังนั้นประเด็นไม่ได้อยู่ที่ว่าคุณต้องติดตั้ง และดูแลเซิร์ฟเวอร์ของตัวเอง แต่อยู่ที่ว่า คุณสามารถตอบได้หรือไม่ว่าใครเป็นผู้ควบคุมระบบอีเมลของคุณ และบุคคล หรือหน่วยงานนั้นสามารถดำเนินการได้รวดเร็วเพียงใด

โดยทั่วไป คำถามนี้มักไม่ได้รับการตรวจสอบอย่างจริงจัง จนกว่าจะมีเหตุการณ์บางอย่างบังคับให้องค์กรต้องกลับมาทบทวน เช่น การตรวจสอบ (Audit), เหตุการณ์ด้านความปลอดภัย (Incident) หรือการต่ออายุบริการ (Renewal) การตรวจสอบ และเหตุการณ์ด้านความปลอดภัยสามารถเกิดขึ้นได้โดยไม่แจ้งล่วงหน้า แต่ การต่ออายุบริการเป็นสิ่งที่สามารถกำหนดเวลาไว้ล่วงหน้าได้

ตั้งคำถามก่อนต่ออายุระบบอีเมล

การต่ออายุบริการเป็นสิ่งหนึ่งที่องค์กรสามารถควบคุมได้ ในหลายองค์กร เรื่องความเป็นเจ้าของการควบคุม การสนับสนุน และการกำกับดูแลข้อมูล ไม่ได้ถูกทบทวนอย่างจริงจังมานานหลายปี แต่ช่วงเวลาต่ออายุบริการก็เป็นช่วงที่องค์กรมีอำนาจต่อรองมากที่สุดในการตั้งคำถามที่สำคัญ และประเมินความเสี่ยงใหม่อีกครั้งก่อนที่จะลงนามต่ออายุสัญญา มีคำถาม 3 ข้อ ที่ควรตอบอย่างตรงไปตรงมา

หากต้องเปลี่ยนระบบจริง ๆ จะใช้เวลานานแค่ไหน?

องค์กรส่วนใหญ่ไม่เคยวัดเรื่องนี้อย่างจริงจัง หากไม่สามารถตอบได้ ก็ไม่สามารถบอกได้ว่าการเปลี่ยนระบบเป็นทางเลือกที่ทำได้จริงหรือไม่ และหากองค์กรไม่สามารถย้ายออกจากระบบเดิมได้ ก็แทบไม่มีอำนาจในการต่อรอง

อะไรสามารถโอนย้ายได้ และอะไรไม่สามารถโอนย้ายได้?

ข้อความอีเมลสามารถย้ายจากระบบหนึ่งไปยังอีกระบบหนึ่งได้ แต่ข้อมูลหรือหลักฐานที่ต้องเก็บไว้เพื่อการปฏิบัติตามกฎระเบียบจะต้องถูกโอนไปด้วยเสมอ และนี่คือสิ่งที่หน่วยงานกำกับดูแลมักต้องการตรวจสอบเป็นอันดับแรก ไม่ว่าข้อมูลดังกล่าวจะถูกจัดเก็บอยู่บนแพลตฟอร์มใด ความรับผิดชอบในการจัดเก็บ และนำส่งข้อมูลเมื่อถูกเรียกตรวจยังคงเป็นขององค์กร

เมื่อเกิดปัญหา ใครมีอำนาจในการดำเนินการ?

ไม่ใช่แค่ “ต้องติดต่อใคร” แต่ต้องถามว่า “ใครมีอำนาจในการลงมือดำเนินการ” คำตอบข้อนี้จะเป็นตัวกำหนดว่า เมื่อเกิดเหตุการณ์ องค์กรสามารถตรวจสอบเหตุการณ์ด้วยตนเองได้หรือไม่ หรือจำเป็นต้องรอให้ผู้ให้บริการแจ้งว่าเกิดอะไรขึ้น เมื่อมีเวลาเพียง 72 ชั่วโมง ในการรายงานเหตุการณ์ ความแตกต่างนี้อาจเป็นตัวตัดสินว่าองค์กรจะสามารถดำเนินการได้ทันตามกำหนดเวลา หรือไม่

คำถามทั้ง 3 ข้อ นี้ ไม่ได้หมายความว่าองค์กรจำเป็นต้องเปลี่ยนผู้ให้บริการ องค์กรส่วนใหญ่เมื่อทบทวนเรื่องเหล่านี้อย่างจริงจังแล้ว ก็ยังเลือกใช้ผู้ให้บริการรายเดิมต่อไป สิ่งที่เปลี่ยนไปคือ การตัดสินใจนั้นเกิดจากการพิจารณาอย่างรอบคอบ ไม่ใช่เพียงการเลือกใช้ระบบเดิมต่อไปโดยอัตโนมัติ

ต่อจากนี้กฎระเบียบด้านข้อมูลในประเทศไทยจะเข้มงวดขึ้นเรื่อย ๆ องค์กรที่จะอยู่ในจุดที่ได้เปรียบจึงไม่จำเป็นต้องเป็นองค์กรที่มีเทคโนโลยีหรือโครงสร้างพื้นฐานใหม่ที่สุด แต่เป็นองค์กรที่สามารถตอบได้อย่างชัดเจนว่า “ข้อมูลของเรามีใครรับผิดชอบ” และสามารถนำหลักฐานมายืนยันได้ทันที โดยไม่ต้องรอให้ผู้ตรวจสอบ หรือผู้มีส่วนเกี่ยวข้องถามซ้ำ