วิธีเก็บ Log อินเทอร์เน็ตให้ถูก พ.ร.บ. คอมพิวเตอร์ 90 วัน

เช้าวันจันทร์สัปดาห์ก่อน โทรศัพท์ผมดังขึ้นตั้งแต่ยังไม่แปดโมงเช้า ปลายสายคือ General Manager ของโรงแรมแห่งหนึ่งย่านสุขุมวิท น้ำเสียงแกตื่นตระหนกอย่างเห็นได้ชัด เพราะมีเอกสารหมายเรียกจากตำรวจไซเบอร์ส่งมาถึงหน้าเคาน์เตอร์แจ้งว่า มีไอพีแอดเดรสของโรงแรมไปพัวพันกับคดีฉ้อโกงออนไลน์เมื่อสองเดือนก่อน เจ้าหน้าที่ขอเรียกดูข้อมูลจราจรทางคอมพิวเตอร์ย้อนหลัง 90 วันตาม พ.ร.บ. คอมพิวเตอร์

พอผมบึ่งรถไปช่วยเช็กระบบที่ห้องเซิร์ฟเวอร์ ปรากฏว่าน่าตกใจกว่าเดิมครับ เพราะ Flash Drive ที่เสียบไว้หลัง MikroTik เพื่อเซฟ Log มันเต็มและพังไปตั้งแต่ 4 เดือนที่แล้ว โดยไม่มีใครรู้เลย! เท่ากับว่าโรงแรมไม่มี Log จราจรทางคอมพิวเตอร์เก็บไว้เลยสักวันเดียว ซึ่งมีความผิดตามกฎหมายเต็มๆ นี่คือเหตุการณ์จริงที่ผมเจอบ่อยมากในฝั่งองค์กรและธุรกิจฮอสพิทาลิตี้ วันนี้ผมเลยอยากมาแชร์วิธีเซ็ตระบบเก็บ Log ให้ถูกต้อง รอดพ้นทั้งข้อกฎหมายและช่วยปกป้องตัวคุณเองครับ

องค์ประกอบของ Log ที่ถูกต้องตาม พ.ร.บ. คอมพิวเตอร์ ต้องมีอะไรบ้าง?

หลายคนเข้าใจผิดคิดว่าแค่เปิดบันทึกประวัติการล็อกอิน (Login Log) ในหน้า Portal WiFi ก็ถือว่าเพียงพอแล้ว แต่ในทางกฎหมายและมาตรฐานทางเทคนิค เจ้าหน้าที่ตำรวจไซเบอร์ต้องการมากกว่านั้นครับ การเก็บ Log พ.ร.บ. คอมพิวเตอร์ 90 วัน ที่สมบูรณ์แบบ ต้องประกอบด้วยข้อมูลสำคัญ 4 ส่วนหลักดังนี้:

• การยืนยันตัวตน (Identity): ต้องระบุได้ว่าใครเป็นผู้ใช้งาน เช่น Username, เลขห้องพัก, เลขบัตรประชาชน หรือ MAC Address ของเครื่องลูกข่าย
• ไอพีแอดเดรสทั้งขาเข้าและขาออก (Internal & External IP Address): ต้องบันทึกว่า IP ภายในเครื่องไหน (Private IP) ออกไปสู่อินเทอร์เน็ตด้วย IP สาธารณะ (Public IP) ตัวใด และใช้ Port อะไร (NAT Log)
• ปลายทางที่เชื่อมต่อ (Destination IP & Port): ต้องทราบว่าเครื่องดังกล่าวเชื่อมต่อต่อไปยัง IP ปลายทางใดและ Port อะไร
• เวลาที่ตรงกันตามมาตรฐาน (Timestamp): บันทึกเวลาต้องตรงกับเวลามาตรฐานสากล โดยอุปกรณ์ทุกตัวในระบบต้องซิงค์เวลากับ NTP Server เดียวกัน

3 จุดตายที่ทำให้องค์กรโดนปรับ เพราะเก็บ Log ไม่ถูกต้อง

จากประสบการณ์ที่ผมเข้าไปตรวจสอบระบบ Network ให้ลูกค้าหลายสิบแห่ง พบว่ามี 3 ข้อผิดพลาดยอดฮิตที่ทำให้ Log ใช้เป็นหลักฐานไม่ได้ในชั้นศาลครับ

1. เวลาใน Router ไม่ตรง (NTP Drift)

อุปกรณ์ Network หรือ MikroTik RouterOS หากไฟดับหรือ Reboot แล้วไม่ได้ตั้งค่า NTP Client ให้ไปดึงเวลาจาก Server มาตรฐาน เวลาของ Router จะย้อนกลับไปเป็นปี 1970 หรือปีโรงงานทันที Log ที่บันทึกหลังจากนั้นจึงกลายเป็นข้อมูลเท็จในทางกฎหมาย นำไปใช้อ้างอิงไม่ได้เลยครับ

2. เซฟ Log ลงตัวอุปกรณ์ Router โดยตรง

การเอา MicroSD Card หรือ USB Flash Drive ไปเสียบไว้ที่ตัว Router แล้วตั้งค่าบันทึก Log ลงไปตรงๆ เป็นเรื่องอันตรายมากครับ เพราะ Flash Memory พวกนี้มี Read/Write Cycle ต่ำ โดนเขียนข้อมูลตลอดเวลาไม่กี่เดือนก็พัง แถมถ้า Router ถูกแฮกหรือไฟกระชาก ข้อมูลทั้งหมดก็จะสูญหายทันที

3. เก็บเฉพาะ Authentication Log แต่ไม่มี NAT Log

ระบบ Captive Portal ส่วนใหญ่จะเก็บบันทึกแค่ว่า "นาย A ล็อกอินเวลา 10:00 น." แต่ไม่ได้เก็บบันทึกว่า "นาย A ล็อกอินแล้ว วิ่งออกไป IP ปลายทางไหน ด้วย Port อะไร" ซึ่งเวลาเกิดคดีความ ตำรวจจะได้ข้อมูลจากผู้ให้บริการปลายทางมาเป็น Destination IP และ Port ดังนั้นถ้าเราไม่มี NAT Log เราจะไม่สามารถระบุตัวคนร้ายที่แท้จริงได้เลยครับ

ขั้นตอนการตั้งค่าระบบเก็บ Log ให้ถูกต้องและปลอดภัย

หากคุณต้องการเซ็ตระบบเก็บ Log อินเทอร์เน็ตให้ได้มาตรฐาน ทำตามขั้นตอนที่ผมแนะนำด้านล่างนี้ได้เลยครับ

ขั้นที่ 1: ตั้งค่า NTP Client บนอุปกรณ์เครือข่ายทั้งหมด

ไม่ว่าจะเป็น Switch, Firewall หรือ MikroTik ต้องตั้งค่าให้มาชี้เวลาที่ NTP Server ของประเทศไทย เช่น time.navy.mi.th หรือ time.uni.net.th เพื่อให้อุปกรณ์ทุกตัวบันทึกเวลาตรงกันเป๊ะในระดับวินาที

ขั้นที่ 2: แยก Syslog Server ออกมาจาก Router

ตั้งเซิร์ฟเวอร์สำหรับรับข้อมูลจราจรทางคอมพิวเตอร์โดยเฉพาะ ซึ่งอาจจะเป็น Linux Server ที่ลง Rsyslog / Syslog-ng หรือจะใช้โซลูชัน Log Compliance สำเร็จรูปอย่าง SIAM-LOGIN Authentik ก็ได้ครับ อุปกรณ์นี้จะทำหน้าที่รับข้อมูล Log จาก Router ผ่านโปรโตคอล Syslog (UDP Port 514) มาเก็บบันทึกไว้ในดิสก์ที่มีความเสถียรสูง

ขั้นที่ 3: กำหนดสิทธิ์แบบ Read-Only และทำ Hashing ป้องกันการแก้ไข

ข้อบังคับสำคัญของ พ.ร.บ. คอมพิวเตอร์ คือ Log ต้องมีความน่าเชื่อถือและไม่ถูกแก้ไขเปลี่ยนแปลง (Integrity) ไฟล์ Log ที่เก็บไว้ใน Syslog Server ทุกวัน ควรได้รับการสกัดรหัส Hash (เช่น SHA-256) เอาไว้ และจำกัดสิทธิ์ผู้ดูแลระบบให้เข้าถึงได้แบบ Read-Only เท่านั้น เพื่อพิสูจน์ได้ในชั้นศาลว่าไม่มีใครแอบเข้าไปลบหรือแก้ไขข้อมูล

สรุป: การทำระบบ Log ไม่ใช่แค่เรื่องกฎหมาย แต่คือการปกป้องธุรกิจ

การลงทุนเซ็ตระบบเก็บ Log พ.ร.บ. คอมพิวเตอร์ 90 วัน ให้ถูกต้อง อาจจะดูเหมือนเป็นภาระทาง IT แต่ในมุมมองของผมที่เป็นทั้งวิศวกรและเจ้าของธุรกิจ มันคือ "ประกันภัย" ทางไซเบอร์ที่ดีที่สุดครับ เพราะเมื่อเกิดเหตุการณ์ไม่คาดคิดขึ้นมา เอกสารและไฟล์ Log ที่ถูกต้องจะเป็นสิ่งเดียวที่ยืนยันความบริสุทธิ์ขององค์กรและตัวคุณเองได้ หากองค์กรหรือโรงแรมของคุณยังไม่แน่ใจว่าระบบ Log ที่มีอยู่นั้นถูกต้องตามมาตรฐานหรือไม่ สามารถติดต่อทีมงาน SIAM-LOGIN เข้าไปช่วย Audit และวางระบบให้ถูกต้องได้ครับ