สรุปข้อบังคับเก็บ Log อินเทอร์เน็ต พ.ร.บ.คอมพิวเตอร์ 90 วัน SME ต้องทำอย่างไร

เช้าวันจันทร์เมื่อสองปีก่อน มีเจ้าหน้าที่ตำรวจจากกองบังคับการปราบปรามการกระทำความผิดเกี่ยวกับอาชญากรรมทางเทคโนโลยี (บก.ปอท.) ถือหมายขอข้อมูลอินเทอร์เน็ตเข้ามาหาผมที่ออฟฟิศ SIAM-LOGIN เหตุผลเพราะมีผู้ส่งอีเมลขู่กวางเพลิงจากหมายเลข IP Address ของอพาร์ตเมนต์แห่งหนึ่ง ซึ่งเป็นระบบที่ผมเป็นคนไปวางระบบเครือข่ายไว้

โชคดีมากครับที่วันนั้นระบบ Captive Portal และ Syslog Server ที่ผมออกแบบไว้ มีการบันทึกข้อมูลย้อนหลังครบถ้วน ทั้งหมายเลข IP Address, MAC Address, เวลาที่เข้าใช้งานด้วย NTP Server และชื่อบัญชีผู้ใช้ ทำให้ผมส่งมอบ Log ที่ระบุตัวตนผู้ใช้งานให้เจ้าหน้าที่ได้ภายใน 15 นาที เรื่องเลยไม่บานปลายมาถึงเจ้าของสถานที่ แต่เคสนี้ทำให้ผมเห็นชัดเจนว่า SME และองค์กรส่วนใหญ่ในไทยยังขาดความเข้าใจเรื่อง การเก็บ Log อินเทอร์เน็ตตาม พ.ร.บ. คอมพิวเตอร์ อย่างรุนแรงครับ

กฎหมายบังคับให้เก็บ Log ย้อนหลัง 90 วัน คืออะไร และใครบ้างที่ต้องทำ?

ตาม พ.ร.บ.ว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ พ.ศ. 2550 (และฉบับแก้ไขเพิ่มเติม พ.ศ. 2560) รวมถึงประกาศกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม ได้ระบุไว้ชัดเจนว่า ผู้ให้บริการระบบคอมพิวเตอร์ ทั้งหมด มีหน้าที่ต้อง เก็บ Log ย้อนหลัง 90 วัน เป็นอย่างน้อย (และเจ้าหน้าที่สามารถสั่งให้เก็บเพิ่มได้สูงสุดถึง 2 ปีในกรณีมีคดีความ)

คำว่า "ผู้ให้บริการ" ในทางกฎหมายไม่ได้หมายถึงแค่ TRUE, AIS หรือ NT เท่านั้นนะครับ แต่ครอบคลุมถึง:

• องค์กรและบริษัทเอกชน: ที่ให้บริการ WiFi หรือ LAN แก่พนักงานและผู้มาติดต่อภายในออฟฟิศ
• ธุรกิจบริการ: โรงแรม, อพาร์ตเมนต์, รีสอร์ต, คาเฟ่, ร้านกาแฟ และ Co-working space
• สถานศึกษาและหน่วยงาน: โรงเรียน, มหาวิทยาลัย และสถาบันกวดวิชา

ข้อมูล Log ประเภทไหนบ้างที่คุณต้องบันทึกไว้ในระบบ?

หลายคนเข้าใจผิดคิดว่าแค่แคปหน้าจอ หรือเก็บประวัติการเข้าเว็บไซต์ (Web Browser History) ก็เพียงพอแล้ว ซึ่งเป็นความคิดที่อันตรายมากครับ การเก็บ Log ที่ถูกต้องตามหลักวิศวกรรมเครือข่ายและกฎหมายไทย จะต้องมีข้อมูลสำคัญ 4 อย่างนี้เสมอ:

1. Identity (ระบุตัวตนผู้ใช้งาน)

ต้องรู้ว่าใครเป็นคนใช้งาน ในระบบ Hotspot คือ User Authentication (ชื่อผู้ใช้/รหัสผ่าน/เลขห้อง/เลขบัตรประชาชน) ส่วนในออฟฟิศคือชื่อพนักงานที่ล็อกอินเข้าเครื่องหรือระบบ User Authentication

2. Addressing (ข้อมูลระบุเครื่องและเส้นทาง)

ต้องเก็บบันทึกหมายเลข IP Address (ทั้ง Internal IP และ External IP รวมทั้ง Port) และ MAC Address ของอุปกรณ์ที่เชื่อมต่อเข้าเครือข่าย

3. Timestamp & NTP Synchronization (เวลาตรงตามมาตรฐาน)

ข้อนี้สำคัญที่สุดครับ เวลาของ Log ทุกเครื่องต้องตรงกันโดยอิงจาก NTP Server มาตรฐาน (เช่น clock.navy.mi.th หรือ pool.ntp.org) เพื่อใช้ยันเวลาในศาล หากเวลาใน Log ไม่ตรง Log นั้นจะถูกปัดตกและใช้เป็นหลักฐานไม่ได้ทันที

4. Log Integrity (ความถูกต้องห้ามแก้ไข)

ไฟล์ Log ที่เก็บไว้ต้องมีกระบวนการทำ Hashing (เช่น SHA-256) และบันทึกลงใน Centralized Log Server ที่ถูกล็อกสิทธิ์ ห้ามไม่ให้ผู้ดูแลระบบหรือบุคคลใดเข้าไปแก้ไขดัดแปลงข้อมูลย้อนหลังได้

3 ข้อผิดพลาดยอดฮิตของ SME ในการเก็บ Log อินเทอร์เน็ต

จากประสบการณ์ที่ผมเข้าไปวางระบบและ Audit Network ให้องค์กรมาหลายร้อยแห่ง ผมมักเจอข้อผิดพลาดเดิมๆ ที่เสี่ยงต่อการโดนปรับสูงสุด 500,000 บาท ดังนี้ครับ:

• ความเข้าใจผิดที่ 1: เสียบ USB Drive หรือ MicroSD Card ไว้กับ Router แล้วคิดว่าพอ
  Router ขนาดเล็กอย่าง MikroTik หรือ Router แบรนด์ทั่วไป มีหน่วยความจำจำกัด การเสียบ Flash Drive บันทึก Syslog ตรงๆ นอกจากจะทำให้ Flash Drive เสียอย่างเร็วเพราะเขียนข้อมูลถี่แล้ว หากไฟดับหรือตัว Router โดนขโมย Data Log ทั้งหมดก็จะหายทันที
• ความเข้าใจผิดที่ 2: ปล่อยให้ WiFi แจก IP แบบไม่มีการลงทะเบียน (Open WiFi)
  การเปิด WiFi ให้คนเข้ามาต่อตรงๆ โดยไม่มี Captive Portal หรือระบบยืนยันตัวตน ถึงแม้คุณจะเก็บ IP/MAC Address ไว้ได้ แต่เมื่อเกิดคดีขึ้น คุณจะไม่สามารถพิสูจน์ได้เลยว่า MAC Address นั้นเป็นของใครในความเป็นจริง
• ความเข้าใจผิดที่ 3: นาฬิกาใน Router เดินไม่ตรง
  ถ้า Router ไม่ได้ตั้งค่า NTP Client ให้ซิงก์เวลากับอินเทอร์เน็ต เมื่อ Router รีบูต เวลาอาจถอยหลังกลับไปปี 1970 ทำให้ Log ที่บันทึกไว้ทั้งหมดไร้ค่าทางกฎหมายทันที

ทางออกสำหรับองค์กรและ SME: ทำระบบเก็บ Log อย่างไรให้ถูกต้องและประหยัด?

การทำระบบเก็บ Log ที่ได้มาตรฐานไม่จำเป็นต้องลงทุนซื้อ Appliance ราคาหลักแสนเสมอไปครับ สำหรับธุรกิจขนาดเล็กถึงขนาดกลาง ผมแนะนำสถาปัตยกรรม 2 รูปแบบนี้:

รูปแบบที่ 1: MikroTik + Syslog Server + Radius Server

เป็นรูปแบบยอดนิยมที่ผมใช้เซ็ตให้ลูกค้า SIAM-LOGIN โดยใช้ MikroTik เป็น Router/Gateway ทำหน้าที่ Authenticate ผ่าน Radius Server และส่ง Log เหตุการณ์เครือข่ายทั้งหมดผ่านโปรโตคอล Syslog ไปยัง Centralized Log Server (อาจเป็น NAS หรือ Linux Server ภายในองค์กร) ที่มีการเข้ารหัสสิทธิ์และทำ Hashing

รูปแบบที่ 2: Cloud Log Management Service

สำหรับออฟฟิศที่ไม่อยากตั้งเซิร์ฟเวอร์เองในสำนักงาน สามารถใช้บริการ Cloud Log Management ที่รองรับ พ.ร.บ. คอมพิวเตอร์ โดย Router จะส่ง Encrypted Log ตรงขึ้นไปเก็บไว้บน Cloud Storage ที่มีระบบความปลอดภัยสูงและขยายพื้นที่ได้ตามต้องการ

สรุปจากประสบการณ์ของผม

การเก็บ Log อินเทอร์เน็ตตาม พ.ร.บ. คอมพิวเตอร์ ย้อนหลัง 90 วัน ไม่ใช่เรื่องของไอทีอย่างเดียวครับ แต่มันคือ "ประกันภัยทางกฎหมาย" ของเจ้าของธุรกิจและผู้บริหารองค์กร ในวันที่เกิดอาชญากรรมทางไซเบอร์ขึ้นในเครือข่ายของคุณ Log ที่ถูกต้องครบถ้วนคือสิ่งเดียวที่จะยืนยันความบริสุทธิ์และปกป้องธุรกิจของคุณได้ครับ