วิธีเก็บ Log อินเทอร์เน็ตตาม พ.ร.บ. คอมพิวเตอร์ ย้อนหลัง 90 วัน

โรงแรมขนาด 80 ห้องแถวชะอำติดต่อผมเข้ามาด้วยความตกใจ เพราะมีเจ้าหน้าที่ตำรวจพร้อมเอกสารขอค้นข้อมูลการใช้งานอินเทอร์เน็ตของแขกห้องหนึ่ง ซึ่งถูกสงสัยว่าใช้เครือข่ายของโรงแรมในการฉ้อโกงออนไลน์ แต่สิ่งที่เจ้าของโรงแรมส่งให้เจ้าหน้าที่ได้มีเพียงชื่อแขกที่เช็กอิน เพราะระบบ MikroTik Router ที่ช่างคนเดิมติดตั้งไว้ บันทึกข้อมูลการเชื่อมต่อลงในหน่วยความจำ RAM ของตัวอุปกรณ์ พอช่วงต้นเดือนเกิดไฟดับครึ่งชั่วโมง ข้อมูลประวัติการใช้งานอินเทอร์เน็ตย้อนหลังทั้งหมดก็ลบหายไปอย่างสมบูรณ์แบบ เหตุการณ์นี้ทำให้เจ้าของธุรกิจเสี่ยงรับโทษตามกฎหมายโดยไม่รู้ตัว

จากประสบการณ์วางระบบ Network ให้กับองค์กรและธุรกิจท่องเที่ยวตลอดหลายปีที่ผ่านมา ผมพบว่าเกือบ 60% ของผู้ประกอบการยังมีความเข้าใจผิดเกี่ยวกับการเก็บบันทึกข้อมูลจราจรคอมพิวเตอร์ หลายแห่งคิดว่าแค่มี Wi-Fi Hotspot หรือใส่รหัสผ่านต้อนรับก็เพียงพอแล้ว แต่ความจริงแล้ววิธีเก็บ Log อินเทอร์เน็ตตาม พ.ร.บ. คอมพิวเตอร์ มีข้อกำหนดทางเทคนิคที่ชัดเจน ทั้งเรื่องระยะเวลาไม่น้อยกว่า 90 วัน ความน่าเชื่อถือของข้อมูล และการระบุตัวตนของผู้ใช้งานได้อย่างถูกต้องครับ

ทำไมการเก็บบันทึก Log ลงใน Router โดยตรงถึงเป็นความเสี่ยงใหญ่

Router ขนาดเล็กหรือ Access Point ทั่วไปถูกออกแบบมาให้ทำหน้าที่ส่งผ่านแพ็กเกจข้อมูล ไม่ใช่เครื่องบันทึกข้อมูลระยะยาว Hardware เหล่านี้มีพื้นที่ Flash Storage และ RAM จำกัด หากคุณตั้งค่าให้ Router บันทึก Log ไว้ในตัวเครื่อง ผลลัพธ์ที่จะเกิดขึ้นทันทีคือ:

• หน่วยความจำเต็มอย่างรวดเร็ว: เมื่อมี Log ปริมาณมาก RAM จะเต็ม ส่งผลให้ Router ทำงานช้า แฮงก์ หรือ reboot ตัวเองตลอดเวลา
• ข้อมูลสูญหายเมื่อไฟดับ: ข้อมูลที่เก็บบน Memory (RAM) จะหายทันทีเมื่อไม่มีกระแสไฟฟ้าเลี้ยง
• อุปกรณ์เสื่อมสภาพเร็ว: หากบังคับเขียน Log ลง Flash Memory ในตัว Router จะทำให้ชิปเก็บข้อมูลเสื่อมสภาพและอุปกรณ์เสียอย่างรวดเร็ว
• ไม่ผ่านเกณฑ์การตรวจสอบทางกฎหมาย: Log ที่แก้ไขได้ง่ายหรือขาดการยืนยันเวลาที่ถูกต้อง ไม่สามารถใช้เป็นหลักฐานยืนยันในชั้นศาลได้

องค์ประกอบสำคัญ 3 ประการของ Log ที่ถูกต้องตาม พ.ร.บ. คอมพิวเตอร์

การเก็บบันทึกข้อมูลให้ถูกต้องตาม พ.ร.บ.คอมพิวเตอร์ 2564 และประกาศกระทรวงดิจิทัลฯ ไม่ใช่เรื่องของการเก็บบันทึกทุกอย่างจนเต็มฮาร์ดดิสก์ แต่เป็นการเก็บเฉพาะข้อมูลสำคัญที่สามารถเชื่อมโยงบุคคลกับพฤติกรรมการใช้งานในเวลานั้นๆ ได้ ซึ่งต้องมี 3 ส่วนหลัก ดังนี้ครับ

1. ข้อมูลระบุตัวตนผู้ใช้งาน (Authentication Log)

สำหรับโรงแรมและองค์กร ระบบต้องบันทึกได้ว่า ใครเป็นผู้เข้าใช้งาน เช่น รหัสบัตรประชาชน, เลขพาสปอร์ต, หรือ Username ที่ผูกกับระบบ RADIUS Server ร่วมกับ MAC Address ของอุปกรณ์ที่ใช้เชื่อมต่อ Wi-Fi

2. ข้อมูลการจราจรทางคอมพิวเตอร์ (Traffic Log)

ต้องบันทึกการจับคู่ระหว่าง IP Address ฝั่งภายใน (Internal IP) กับ IP Address ฝั่งภายนอก (Public IP) พร้อมหมายเลข Port ที่ใช้งาน (Source Port / Destination Port) เพื่อให้ทราบว่าเครื่องไหนในระบบวงใน เชื่อมต่อไปยังจุดหมายปลายทางใดบนโลกอินเทอร์เน็ต

3. การเทียบเวลามาตรฐานด้วย NTP Server (Time Synchronization)

Log ทั้งหมดจะไร้ค่าทันทีหากเวลาในระบบไม่ตรงกับความเป็นจริง อุปกรณ์ Network ทั้งหมดไม่ว่าจะเป็น Firewall, MikroTik, Switch และ Syslog Server จะต้องรับค่าเวลาตรงกันจาก NTP Server ที่มีความน่าเชื่อถือ และมีค่าเบี่ยงเบนเวลาไม่เกินมาตรฐานที่กฎหมายกำหนด

ขั้นตอนการวางระบบ Centralized Log Server ย้อนหลัง 90 วัน

เพื่อให้การเก็บบันทึก Log เป็นไปอย่างมีประสิทธิภาพ ปลอดภัย และไม่รบกวนการทำงานของ Router หลัก ผมแนะนำให้ใช้วิธีจัดทำ Centralized Log โดยส่งข้อมูลการจราจรทั้งหมดมาเก็บไว้ที่เซิร์ฟเวอร์ส่วนกลาง ซึ่งมีขั้นตอนปฏิบัติดังนี้ครับ

ขั้นที่ 1: การตั้งค่า Router และ Firewall ให้ส่ง Syslog Outbound

ในอุปกรณ์หลักอย่าง MikroTik Log ให้เข้าไปที่เมนู Logging แล้วกำหนด Action ใหม่ให้ส่งข้อมูล Log ไปยัง IP Address ของเครื่องเก็บ Log โดยตรงผ่าน UDP Port 514 โดยเปิดเฉพาะ Log ในส่วนของ Firewall Account และ NAT Connection เพื่อลดภาระการส่งข้อมูลที่ไม่จำเป็น

ขั้นที่ 2: วางระบบ Centralized Syslog Server

ผมแนะนำให้ใช้ Linux OS เช่น Ubuntu Server หรือ Debian แล้วติดตั้งบริการ Syslog-ng หรือ Rsyslog เพื่อทำหน้าที่รับ Log Stream จาก Router เข้ามาเขียนลงฮาร์ดดิสก์ การใช้ Syslog Server แยกต่างหากจะช่วยให้ข้อมูลมีความปลอดภัยสูง และยากต่อการถูกแก้ไขโดยผู้ไม่หวังดี

ขั้นที่ 3: การบริหารจัดการ Storage Server สำหรับ 90 วัน

ประเด็นที่คนมักมองข้ามคือขนาดไฟล์ Log ในองค์กรที่มีผู้ใช้งาน 100 คน อาจเกิด Log สูงถึง 1-2 GB ต่อวัน ดังนั้นเราจำเป็นต้องตั้งระบบ Log Rotate เพื่อทำการบีบอัดไฟล์ Log รายวัน (เช่น ไฟล์ .tar.gz) พร้อมสร้าง Log Hash (MD5 หรือ SHA-256) เพื่อยืนยันความถูกต้องของข้อมูลว่าไม่มีการแก้ไขดัดแปลง และตั้งสคริปต์ลบ Log ที่มีอายุเกิน 90 วันโดยอัตโนมัติเพื่อประหยัดพื้นที่ Storage Server

สรุปแนวทางปฏิบัติเพื่อความปลอดภัยของธุรกิจ

การเก็บบันทึก Log อินเทอร์เน็ตให้ได้ 90 วันตามกฎหมาย ไม่ใช่เรื่องไกลตัวหรือเป็นภาระที่ยุ่งยาก หากเราวางโครงสร้างเครือข่ายและระบบ Centralized Syslog Server ไว้ตั้งแต่แรก นอกจากจะช่วยให้ธุรกิจของคุณปลอดภัยจากความเสี่ยงทางกฎหมายแล้ว เวลาเกิดปัญหาทางเทคนิคในระบบ Network เช่น มีเครื่องติดไวรัสหรือยิงการโจมตีจากภายใน Log เหล่านี้ยังเป็นเครื่องมือชั้นดีที่ช่วยให้วิศวกรวิเคราะห์และแก้ไขปัญหาได้อย่างตรงจุดครับ