ทำไมธุรกิจต้องเก็บ Log อินเทอร์เน็ต 90 วัน ตาม พ.ร.บ.คอมพิวเตอร์

เช้าวันพุธประมาณเก้าโมงเช้า ผมได้รับสายด่วนจากเจ้าของโรงแรมย่านสุขุมวิทรายหนึ่ง น้ำเสียงของพี่เขาเต็มไปด้วยความตระหนก เพราะมีเจ้าหน้าที่ตำรวจพร้อมหนังสือขอความร่วมมือเดินทางมาขอตรวจสอบข้อมูลการจราจรทางคอมพิวเตอร์ เนื่องจากมีผู้ต้องสงสัยใช้เครือข่าย WiFi ของโรงแรมไปกระทำความผิดเกี่ยวกับการฉ้อโกงออนไลน์ พี่เจ้าของโรงแรมถามผมคำแรกเลยว่า "ช่างครับ เรามีข้อมูล Log ให้เขาไหม แล้วเราจะมีความผิดอะไรหรือเปล่า?"

เหตุการณ์แบบนี้ไม่ใช่ครั้งแรกที่ผมได้เจอในฐานะวิศวกรระบบ SIAM-LOGIN ที่ดูแล Network Infrastructure ให้หอพัก โรงแรม และองค์กรหลายร้อยแห่ง บทความนี้ผมเลยอยากมาเล่าให้ฟังจากประสบการณ์จริงว่า ทำไมกฎหมายถึงบังคับให้ธุรกิจต้อง เก็บ Log อินเทอร์เน็ต 90 วัน และถ้าระบบของเรายังไม่ได้ทำ หรือทำแบบผิดๆ จะมีแนวทางรับมือและวางระบบให้อถูกต้องตาม พ.ร.บ.คอมพิวเตอร์ ได้อย่างไรบ้างครับ

1. ทำไมธุรกิจถึงต้องเก็บข้อมูลการจราจรทางคอมพิวเตอร์ (Traffic Log)?

หลายคนมักเข้าใจผิดว่าการเก็บ Log เป็นเรื่องของบริษัท IT ขนาดใหญ่เท่านั้น แต่ตามประกาศกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม (MDES) กำหนดให้ผู้ให้บริการอินเทอร์เน็ต ซึ่งรวมถึงร้านกาแฟ โรงแรม อพาร์ตเมนต์ หอพัก บริษัทเอกชน หรือองค์กรที่มีบริการ WiFi ให้พนักงานหรือบุคคลภายนอกใช้งาน ถือเป็น "ผู้ให้บริการ" ที่มีหน้าที่ต้องจัดเก็บข้อมูล

เหตุผลสำคัญมีอยู่ 2 ข้อหลักๆ ครับ:

1.1 ป้องกันตัวเองจากการตกเป็นผู้ต้องสงสัย

เมื่อมีคดีฉ้อโกง สแกมเมอร์ หรือการแฮกข้อมูลเกิดขึ้นผ่าน IP Address ขององค์กรคุณ สิ่งแรกที่เจ้าหน้าที่ตำรวจจะเข้าหาคือเจ้าของสถานที่ หากคุณไม่มีระบบระบุตัวตน หรือไม่มีการ เก็บ Log อินเทอร์เน็ต 90 วัน เพื่อยืนยันว่าใครเป็นผู้ใช้งาน IP นั้นในเวลานั้น เจ้าของสถานที่นั่นแหละครับที่จะต้องรับภาระในการพิสูจน์ความบริสุทธิ์ของตัวเอง

1.2 ปฏิบัติตาม พ.ร.บ.คอมพิวเตอร์ เพื่อหลีกเลี่ยงโทษปรับ

ตาม พ.ร.บ.ว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ หากผู้ให้บริการไม่จัดเก็บ Log ตามที่กฎหมายกำหนด มีโทษปรับสูงสุดไม่เกิน 500,000 บาท ซึ่งเมื่อเทียบกับค่าใช้จ่ายในการวางระบบ Log Server แล้ว การทำระบบให้ถูกต้องถือว่าคุ้มค่าและปลอดภัยกว่าหลายเท่าตัวครับ

2. ข้อมูลอะไรบ้างที่ต้องเก็บ และเก็บอย่างไรให้ถูกต้องตามกฎหมาย?

ไม่ใช่ว่าเราแคปหน้าจอ หรือเปิดดู History ใน Router แล้วจะเรียกว่าถูกต้องตามกฎหมายนะครับ ประกาศกฎหมายระบุชัดเจนว่า ข้อมูลการจราจรทางคอมพิวเตอร์ ที่สมบูรณ์ต้องมีองค์ประกอบครบถ้วน ดังนี้:

• IP Address และ MAC Address: หมายเลขไอพีและหมายเลขประจำเครื่องที่ใช้เข้าถึงเครือข่าย
• ข้อมูลการยืนยันตัวตน (Authentication Log): ชื่อผู้ใช้งาน (Username) หรือข้อมูลการลงทะเบียนผ่านระบบ Captive Portal
• เวลาที่เริ่มต้นและสิ้นสุดการใช้งาน (Timestamp): ต้องเป็นเวลาจริงตรงตามมาตรฐานสากล
• การเชื่อมต่อปลายทาง: หมายเลข IP Address หรือ Domain ที่ผู้ใช้เชื่อมต่อออกไป

3. 4 แนวทางปฏิบัติจริงในการจัดทำ Log Server ให้ได้มาตรฐาน

จากประสบการณ์ที่ผมออกแบบและติดตั้งระบบให้ลูกค้า SIAM-LOGIN การเซ็ตระบบ Log ให้ผ่านมาตรฐานกฎหมาย มีขั้นตอนหลักๆ ที่วิศวกรเครือข่ายต้องทำดังนี้ครับ:

3.1 ตั้งค่าเวลาอุปกรณ์ให้ตรงกันด้วย NTP Server

ข้อมูล Log ที่ใช้เป็นหลักฐานในชั้นศาลได้ ต้องมีความน่าเชื่อถือด้าน "เวลา" สิ่งแรกที่ต้องทำคือการตั้งค่า Router หรือ Firewall ให้ซิงก์เวลากับ NTP Server (Network Time Protocol) ของประเทศไทย เช่น time.navy.mi.th หรือ pool.ntp.org เสมอ เพื่อให้เวลาใน Log ไม่คลาดเคลื่อนแม้แต่วินาทีเดียว

3.2 ติดตั้งระบบ Captive Portal เพื่อระบุตัวตนผู้ใช้

สำหรับการให้บริการ WiFi หอพัก หรือ WiFi โรงแรม การเปิดให้ใช้งานแบบตั้งรหัสผ่านรวม (Shared WPA2) จะไม่สามารถระบุตัวบุคคลได้เลย Solution ที่ถูกต้องคือการทำ Captive Portal ร่วมกับ RADIUS Server ให้ผู้ใช้งานกรอกข้อมูล เช่น เลขบัตรประชาชน เบอร์โทรศัพท์ หรือรับ OTP ก่อนเข้าใช้งาน

3.3 ส่งออก Log ไปยัง Log Server ด้านนอก (Centralized Syslog)

ห้ามเก็บ Log ไว้ใน Memory หรือ Storage ภายในของ Router โดยตรงเด็ดขาด เพราะ Router ส่วนใหญ่มีพื้นที่จำกัด และอาจลบข้อมูลทิ้งเมื่อไฟดับหรือ Reboot วิธีการที่ถูกต้องคือการตั้งค่าให้ Router หรือ Firewall ส่งข้อมูล Log ผ่านโปรโตคอล Syslog ไปยัง Log Server หรือ Centralized Log Appliance แยกต่างหาก

3.4 รักษาความปลอดภัยของ Log (Data Integrity & Encryption)

Log ที่จัดเก็บ ต้องมีการจำกัดสิทธิ์การเข้าถึง (Access Control) มีการทำ Hash Check (เช่น MD5 หรือ SHA-256) เพื่อยืนยันว่าไฟล์ Log ไม่ได้ถูกแก้ไขดัดแปลงย้อนหลัง และต้องสำรองข้อมูลไว้อย่างน้อย 90 วันนับแต่วันที่การจราจรนั้นสิ้นสุดลง (หรือสูงสุด 2 ปีหากมีคำสั่งจากเจ้าพนักงาน)

4. สรุป: ทำ Log ไม่ใช่เรื่องยาก แต่ต้องทำให้ถูกต้อง

การ เก็บ Log อินเทอร์เน็ต 90 วัน ไม่ใช่แค่เรื่องของการทำตามกฎหมาย พ.ร.บ.คอมพิวเตอร์ เพื่อหลีกเลี่ยงโทษปรับเท่านั้น แต่มันคือการสร้างเกราะป้องกันภัยทางกฎหมายให้กับธุรกิจและองค์กรของคุณเองครับ หากระบบ Network ของคุณในปัจจุบันยังใช้ Router แถมจากผู้ให้บริการอินเทอร์เน็ต หรือยังไม่มีระบบยืนยันตัวตนที่ชัดเจน ผมแนะนำให้รีบวางแผนปรับปรุงระบบตั้งแต่วันนี้ ก่อนที่จะเกิดเหตุการณ์ไม่คาดคิดขึ้นครับ