วิธีตั้งค่า Log อินเทอร์เน็ต ถูกต้องตาม พ.ร.บ. คอม 2560

โรงงานผลิตชิ้นส่วนยานยนต์แห่งหนึ่งในนิคมอุตสาหกรรมมาบตาพุด ระยอง ติดต่อให้ผมเข้าไปช่วยตรวจเช็คระบบเครือข่ายด่วน เพราะฝ่ายบริหารเพิ่งได้รับหนังสือขอความร่วมมือจากเจ้าหน้าที่ตำรวจ เพื่อขอตรวจสอบข้อมูล Traffic Log ย้อนหลัง เนื่องจากมีบุคคลภายนอกแอบเชื่อมต่อ WiFi ของโรงงาน แล้วนำ IP Address ของบริษัทไปใช้กระทำความผิดทางไซเบอร์ สิ่งที่น่าตกใจคือ พอผมเข้าไปเปิดดูที่ Router พบว่าตัวอุปกรณ์ไม่มีการส่ง Log ออกไปเก็บไว้ที่ไหนเลย แถม Log ในตัว Router เองก็ถูกวนทับหายไปหมดแล้วตั้งแต่เมื่อ 3 วันก่อน

เหตุการณ์แบบนี้ไม่ได้เกิดขึ้นเฉพาะโรงงานนี้แห่งเดียวครับ จากประสบการณ์ที่ผมลุยงาน Network Infrastructure ให้กับองค์กรและโรงงานมาทั่วประเทศ ผมเจอโจทย์นี้บ่อยมาก ผู้ประกอบการหลายท่านเข้าใจผิดคิดว่าแค่มี Router ตัวแรงๆ แล้วเสียบใช้งานได้ก็เพียงพอแล้ว แต่ในทางกฎหมาย หากเกิดเหตุไซเบอร์ขึ้นมา แล้วองค์กรไม่สามารถระบุตัวตนผู้ใช้งานหรือส่ง Log ให้เจ้าหน้าที่ได้ เจ้าของสถานที่หรือผู้ให้บริการระบบเครือข่ายนั่นแหละครับที่จะต้องรับภาระความรับผิดชอบตามกฎหมาย

ข้อกำหนดสำคัญของการเก็บ Log ตาม พ.ร.บ. คอมพิวเตอร์ 2560

เพื่อให้การตั้งค่า Log อินเทอร์เน็ตถูกต้องและใช้เป็นหลักฐานอ้างอิงในชั้นศาลได้จริง ไม่ใช่แค่มีไฟล์เก็บไว้เฉยๆ เราต้องทำตามหลักเกณฑ์ของกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม โดยมีหัวใจสำคัญ 4 ข้อที่คุณต้องตรวจสอบในระบบของคุณครับ

• เก็บ Log 90 วันเป็นอย่างน้อย: ระบบต้องสามารถจัดเก็บข้อมูลจราจรทางคอมพิวเตอร์ย้อนหลังได้ไม่น้อยกว่า 90 วัน และในบางกรณีศาลอาจสั่งให้เก็บเพิ่มขึ้นถึง 2 ปี
• ระบุตัวตนผู้ใช้งานได้ (Identity Mapping): ต้องบันทึกว่า ใคร (User Account / Employee ID) ใช้งานอุปกรณ์ใด (MAC Address) และได้รับหมายเลข IP Address อะไร ในช่วงเวลาไหน
• เวลาต้องแม่นยำ (NTP Synchronization): นาฬิกาของอุปกรณ์เครือข่ายทุกชิ้น ตั้งแต่ Router, Switch ไปจนถึง Log Server ต้องซิงค์เวลาตรงกันผ่าน Network Time Protocol (NTP) โดยตรงกับเวลามาตรฐาน
• ความน่าเชื่อถือของข้อมูล (Log Integrity): ข้อมูล Log ที่ถูกบันทึกไว้จะต้องถูกเข้ารหัสหรือสกัด hash เพื่อป้องกันการแก้ไข ดัดแปลง หรือลบทิ้งโดยผู้ไม่มีสิทธิ์

4 ขั้นตอนการตั้งค่า Log อินเทอร์เน็ต สำหรับองค์กรและโรงงาน

การจะเก็บ Log ให้ได้ครบถ้วนโดยที่ Router ไม่แฮงก์หรือความจุเต็มจนระบบล่ม ผมแนะนำให้แบ่งโครงสร้างการทำงานออกเป็น 4 ส่วนดังนี้ครับ

1. ตั้งค่าเทียบเวลามาตรฐานด้วย NTP Client

อุปกรณ์เน็ตเวิร์กอย่าง MikroTik หรือ Firewall ยี่ห้อต่างๆ ต้องตั้งค่าให้ทำการเทียบเวลากับ Time Server มาตรฐานของประเทศไทยเสมอ (เช่น time.navy.mi.th หรือ time.uni.net.th) เพราะหากเวลาในไฟล์ Log คลาดเคลื่อนแม้แต่ไม่กี่วินาที ข้อมูลนั้นจะขาดความน่าเชื่อถือทันทีในทางกฎหมาย

2. พิสูจน์ตัวตนผู้ใช้งานก่อนเข้าถึงเครือข่าย

การปล่อยให้คนเสียบสาย LAN หรือต่อ WiFi แล้วใช้งานได้ทันทีโดยไม่มีการระบุตัวตน คือความเสี่ยงที่สุดครับ ในองค์กรหรือโรงงาน ผมมักแนะนำให้วางระบบ Authenticate ด้วย Radius Server ร่วมกับ 802.1X สำหรับพนักงาน หรือใช้ Captive Portal (ระบบหน้าเข้าสู่ระบบ WiFi Hotspot) สำหรับผู้มาติดต่อ (Visitor) เพื่อจับคู่ระหว่าง User, IP Address และ MAC Address เข้าด้วยกันอย่างชัดเจน

3. ส่งข้อมูล Traffic Log ออกไปยัง Syslog Server

ตัว Router หรือ Firewall ไม่ได้ถูกออกแบบมาให้มีพื้นที่จัดเก็บดิสก์ขนาดใหญ่เพื่อเก็บ Log เป็นแสนๆ บรรทัดได้ ดังนั้นเราต้องตั้งค่าส่ง Remote Log ออกไปข้างนอก สำหรับอุปกรณ์อย่าง MikroTik Log เราสามารถกำหนด Rules ให้ส่งข้อความประเภท NAT, Connection Tracking และ User Auth ออกไปยัง Centralized Syslog Server ภายนอกผ่าน UDP Port 514

4. บริหารจัดการ Storage และการทำ Log Rotations

ระบบ Centralized Log ที่ดี ต้องมีการบีบอัดไฟล์ (Compression) เมื่อครบวัน และทำการจัดเก็บในโครงสร้างโฟลเดอร์ที่แบ่งตาม วัน/เดือน/ปี ชัดเจน พร้อมสร้าง SHA-256 Checksum กำกับไว้ทุกวัน เพื่อยืนยันว่าไฟล์ Log นั้นไม่เคยถูกเปิดเข้าไปแก้ไขดัดแปลงเลยตลอดระยะเวลาที่เก็บ Log 90 วัน

ข้อผิดพลาดที่พบบ่อยในการตั้งค่าระบบ Log โรงงาน

จากที่ผมเคยเข้าไปแก้เคสระบบ Log ล้มเหลว สิ่งที่เจออยู่เรื่อยๆ มีดังนี้ครับ

• ลืมบันทึก Log การทำ NAT: หลายแห่งเก็บบันทึกแค่ว่าใครเข้าสู่ระบบ แต่ไม่ได้เก็บบันทึกว่า IP Address ภายใน (Private IP) ออกไปท่องเว็บข้างนอกด้วย Public IP และ Port อะไร ซึ่งเจ้าหน้าที่ตำรวจต้องการข้อมูลส่วน Port Forward/NAT นี้เป็นหลักในการสืบค้น
• ฮาร์ดดิสก์ Server เต็มแล้วระบบหยุดเก็บ: ไม่มีระบบแจ้งเตือน (Alert System) เมื่อดิสก์ของ Log Server ใกล้เต็ม ทำให้ Log ขาดหายไปหลายเดือนโดยที่ผู้ดูแลระบบไม่รู้ตัว
• Router ประสิทธิภาพตกเพราะเก็บบันทึกในตัว: การสั่งให้ MikroTik หรือ Firewall บันทึกลง Memory หรือ Flash ในตัวอุปกรณ์โดยตรง จะทำให้ CPU ทำงานหนัก 100% จนเน็ตหลุดทั้งโรงงาน

สรุปคำแนะนำจากวิศวกร SIAM-LOGIN

การตั้งค่า Log อินเทอร์เน็ตให้ถูกต้องตาม พ.ร.บ. คอมพิวเตอร์ 2560 ไม่ใช่เรื่องซับซ้อนเกินไปหากเราวางสถาปัตยกรรมระบบเครือข่ายได้ถูกต้องตั้งแต่แรก เริ่มต้นจากการแยก Network ด้วย VLAN จัดทำระบบยืนยันตัวตนด้วย Radius Server และส่งผ่านข้อมูลจราจรไปยัง Syslog Server ที่มีความเสถียร เพียงเท่านี้องค์กรและโรงงานของคุณก็จะปลอดภัย ทำงานได้อย่างสบายใจ และถูกต้องตามกฎหมาย 100% ครับ