วิธีเก็บ Log อินเทอร์เน็ตตาม พ.ร.บ. คอมพิวเตอร์ 90 วัน สำหรับองค์กร

วันศุกร์บ่ายสามโมงครึ่ง โทรศัพท์ที่โต๊ะทำงานผมดังขึ้น เสียงปลายสายจากผู้จัดการโรงแรมระดับ 4 ดาว ย่านสุขุมวิท น้ำเสียงตื่นตระหนกอย่างเห็นได้ชัด บอกผมว่า 'ช่างครับ มีเจ้าหน้าที่ตำรวจไซเบอร์นำหมายขอข้อมูล Log การใช้งาน WiFi ย้อนหลัง 2 เดือนของห้อง 504 เพราะมีคดีฉ้อโกงออนไลน์' ตอนนั้นระบบเดิมที่โรงแรมใช้อยู่เปิดแค่คอมพิวเตอร์เก่าๆ ทิ้งไว้ พอกดเข้าไปดู ปรากฏว่าฮาร์ดดิสก์เต็มไปตั้งแต่เดือนที่แล้ว ข้อมูลจราจรทางคอมพิวเตอร์ ขาดหายไปเป็นเดือน แถมเวลาในระบบก็ไม่ตรงกับเวลาจริงอีกต่างหาก เคสนั้นทำเอาเจ้าของโรงแรมเหงื่อตกเพราะอาจโดนปรับตามกฎหมายสูงสุดถึง 500,000 บาท

จากประสบการณ์ที่ผมวางระบบให้ทั้งออฟฟิศและโรงแรมหลายร้อยแห่ง ปัญหาการเก็บ Log อินเทอร์เน็ตตาม พ.ร.บ. คอมพิวเตอร์ ไม่ใช่เรื่องไกลตัวเลยครับ วันนี้ผมจะสรุปขั้นตอนการออกแบบและตั้งค่าระบบให้ถูกต้อง ใช้งานได้จริง และยื่นให้ตำรวจตรวจแล้วผ่าน 100% มาเล่าให้ฟังครับ

1. ทำความเข้าใจองค์ประกอบของ Log ที่กฎหมายยอมรับ

หลายคนเข้าใจผิดคิดว่าแค่กดเซฟไฟล์ใน Router หรือบันทึกประวัติบน Web Browser ก็ถือว่าจบ แต่ในทางกฎหมายและมาตรฐานประกาศกระทรวงดิจิทัลฯ ข้อมูลที่ต้องบันทึกและจัดเก็บอย่างน้อย 90 วัน (หรือสูงสุด 2 ปีหากมีคำสั่งพิเศษ) จะต้องมีองค์ประกอบสำคัญดังนี้ครับ

• Identity Log (ข้อมูลยืนยันตัวตนผู้ใช้บริการ): บันทึกว่าใครเป็นคนใช้งาน เช่น ชื่อ-นามสกุล, เลขห้องพัก, หมายเลขบัตรประชาชน หรือ Username ที่ผูกกับระบบ Authenticate WiFi
• Session Log (ข้อมูลการเชื่อมต่อ): หมายเลข IP Address ที่ได้รับ, หมายเลข MAC Address ของอุปกรณ์ client และเวลาที่เริ่มใช้งานจนถึงเวลาที่ยกเลิกการเชื่อมต่อ
• NAT Log (ข้อมูลการท่องอินเทอร์เน็ต): หมายเลข Source IP, Source Port, Destination IP, Destination Port และ Timestamp ของทุก Session ที่วิ่งออกสู่อินเทอร์เน็ต

2. โครงสร้างระบบ Syslog Server ที่ถูกต้อง (Centralized Log)

การบันทึก Log ลงในตัวอุปกรณ์อย่าง Router หรือ Firewall โดยตรงเป็นเรื่องที่ไม่ควรทำอย่างยิ่งครับ เพราะอุปกรณ์พวกนี้มีหน่วยความจำจำกัด และเมื่อไฟดับข้อมูลมักจะหาย ทางออกที่ถูกต้องคือการทำ Centralized Log โดยส่งข้อมูลผ่านโปรโตคอล Syslog ออกไปเก็บไว้ที่ Syslog Server แยกต่างหาก

ขั้นตอนการเชื่อมโยงระบบบันทึกข้อมูล

การทำงานจะเริ่มจากผู้ใช้ทำการยืนยันตัวตนผ่าน Radius Server หรือ Hotspot จากนั้นเมื่อมีการใช้งานอินเทอร์เน็ต ตัว Gateway Router เช่น MikroTik Log หรือ Enterprise Firewall จะทำการส่ง Syslog Data Stream วิ่งผ่าน VLAN ที่แยกไว้เฉพาะสำหรับ management ไปยัง Log Server เพื่อบันทึกลงฮาร์ดดิสก์ทันที

3. 4 ขั้นตอนสำคัญในการตั้งค่าให้ถูกต้องตาม พ.ร.บ.

เพื่อให้ข้อมูลจราจรทางคอมพิวเตอร์ที่เก็บไว้มีน้ำหนักน่าเชื่อถือและใช้เป็นหลักฐานในชั้นศาลได้ ต้องตั้งค่าระบบตาม 4 ข้อนี้ครับ

3.1 การซิงโครไนซ์เวลาด้วย NTP Server

เรื่องนี้สำคัญที่สุดครับ Log ที่ไม่มีเวลา หรือเวลาเบี่ยงเบน จะไม่สามารถนำไปอ้างอิงทางกฎหมายได้เลย ผมแนะนำให้ตั้งค่าให้ Router, Firewall, Server และ Access Point ทุกตัวในเครือข่าย ทำการซิงก์เวลากลับมาที่ NTP Server ของประเทศไทย (เช่น time.navy.mi.th หรือ time.uni.net.th) และตั้ง Timezone ให้เป็น Asia/Bangkok (UTC+7) เสมอ

3.2 การตั้งค่า NAT Logging บน Router

อุปกรณ์เครือข่ายฝั่งออฟฟิศและโรงแรมส่วนใหญ่ใช้การทำ NAT (Network Address Translation) เพื่อให้อุปกรณ์หลายร้อยเครื่องออกเน็ตผ่าน Public IP เดียวกัน ดังนั้นเราต้องเปิดการบันทึก NAT Rule ทั้งการเชื่อมต่อ TCP และ UDP โดยระบุให้ส่งข้อมูลไปยัง IP ของ Log Server อย่างชัดเจน

3.3 การรักษาความถูกต้องของข้อมูล (Data Integrity)

กฎหมายระบุไว้ชัดเจนว่า Log ที่เก็บไว้จะต้องไม่มีใครสามารถแอบเข้าไปแก้ไข ดัดแปลง หรือลบทิ้งได้ ระบบ Log Server ที่ผมออกแบบจะใช้เทคโนโลยีการทำ Hashing (เช่น SHA-256 หรือ MD5) สำหรับไฟล์ Log ที่ปิดยอดในแต่ละวัน พร้อมทั้งทำการตั้งค่า Permission ให้ไฟล์เป็น Read-Only ทันทีที่สร้างเสร็จ

3.4 การสำรองข้อมูลและการคำนวณความจุ (Storage Capacity)

คำถามที่ผมเจอบ่อยคือ 'ต้องใช้ฮาร์ดดิสก์ขนาดเท่าไหร่?' คำตอบขึ้นอยู่กับจำนวนผู้ใช้งานครับ โดยเฉลี่ยผู้ใช้ 100 คน จะสร้าง Log ประมาณ 1-3 GB ต่อวัน สำหรับองค์กรขนาดกลางที่มีผู้ใช้ 200-300 คน การเตรียมพื้นที่ฮาร์ดดิสก์แบบ Enterprise Grade ขนาด 2TB ถึง 4TB ในรูปแบบ RAID 1 หรือ RAID 5 จะช่วยรองรับการเก็บ Log ย้อนหลัง 90 วันได้อย่างสบายๆ พร้อมมีระบบ Redundancy ป้องกันฮาร์ดดิสก์เสียด้วยครับ

สรุปแนวทางปฏิบัติสำหรับผู้ดูแลระบบ

การจัดทำระบบเก็บ Log อินเทอร์เน็ตตาม พ.ร.บ. คอมพิวเตอร์ ไม่ใช่แค่เรื่องของการเลี่ยงโทษปรับ แต่เป็นเครื่องมือคุ้มครององค์กรและโรงแรมของคุณเองเมื่อเกิดเหตุอาชญากรรมทางไซเบอร์ หากระบบของคุณมีการซิงก์เวลา NTP ที่แม่นยำ มีการยืนยันตัวตนระบุตัวบุคคลได้ชัดเจน และมี Log Server ที่เก็บข้อมูลปลอดภัยครบ 90 วัน คุณก็ไม่ต้องนั่งกังวลเมื่อมีเจ้าหน้าที่ขอเข้าตรวจสอบครับ