สรุป พ.ร.บ. คอมพิวเตอร์ การจัดเก็บ Log 90 วัน เจ้าของธุรกิจต้องเตรียมระบบอย่างไรไม่ให้ผิดกฎหมาย

ในยุคที่อินเทอร์เน็ตกลายเป็นโครงสร้างพื้นฐานสำคัญของทุกธุรกิจ ไม่ว่าจะเป็นโรงแรม หอพัก ออฟฟิศ สำนักงาน หรือร้านกาแฟต่างให้บริการ Wi-Fi ฟรีแก่ลูกค้าและพนักงาน ทว่าเจ้าของสถานประกอบการจำนวนมากยังไม่ทราบว่า การให้บริการอินเทอร์เน็ตโดยไม่มีระบบบันทึกและจัดเก็บ Log ตามที่กฎหมายกำหนด ถือเป็นความเสี่ยงทางกฎหมายที่ร้ายแรง หากเกิดเหตุภัยคุกคามทางไซเบอร์ หรือการกระทำผิดเกี่ยวกับ พ.ร.บ. คอมพิวเตอร์ ขึ้นในระบบเครือข่ายของคุณ

ทำความเข้าใจ พ.ร.บ. คอมพิวเตอร์ มาตรา 26 เรื่องการเก็บ Log

ตามพระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ (ฉบับปรับปรุง) และประกาศกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม (DE) ได้ระบุไว้ชัดเจนให้ "ผู้ให้บริการ" (Service Provider) ต้องจัดเก็บข้อมูลการจราจรทางคอมพิวเตอร์ (Traffic Data หรือ Log File) ไว้ไม่น้อยกว่า 90 วัน และในกรณีจำเป็น เจ้าหน้าที่อาจสั่งให้จัดเก็บเพิ่มเติมเป็นการเฉพาะรายได้ไม่เกิน 2 ปี

นิยามของคำว่า "ผู้ให้บริการ" ตามกฎหมายไม่ได้หมายถึงเพียงผู้ให้บริการอินเทอร์เน็ต (ISP) เช่น AIS, True หรือ NT เท่านั้น แต่ยังรวมถึง เจ้าของธุรกิจ หอพัก อพาร์ทเม้นท์ โรงแรม บริษัท เอกชน และร้านค้า ที่จัดหาบริการอินเทอร์เน็ตให้บุคคลอื่นใช้งานด้วย

3 องค์ประกอบสำคัญของระบบ Log ที่ถูกต้องตามหลักวิศวกรรมและกฎหมาย

การจัดเก็บ Log ไม่ใช่เพียงการเปิดเซฟไฟล์ลงในฮาร์ดดิสก์ธรรมดา แต่ต้องมีคุณสมบัติและองค์ประกอบเชิงเทคนิคที่ครบถ้วนตามหลักวิศวกรรมเครือข่ายและความมั่นคงปลอดภัยสารสนเทศ ดังนี้:

1. การระบุและยืนยันตัวตนผู้ใช้งาน (Authentication & Identification)

ระบบต้องสามารถระบุตัวตนของผู้ใช้งานได้อย่างชัดเจนว่า ใครเป็นผู้ใช้งานในเวลานั้นๆ (Identity Mapping) เช่น การใช้ระบบ Captive Portal / RADIUS Server เพื่อลงทะเบียนด้วยเลขบัตรประชาชน เบอร์โทรศัพท์ (OTP) หรือ Username/Password ของพนักงาน ร่วมกับการบันทึก IP Address และ MAC Address ของอุปกรณ์

2. การเทียบเวลาที่เที่ยงตรง (Time Synchronization / NTP)

อุปกรณ์เครือข่ายทุกชิ้นในระบบ เช่น อุปกรณ์ Router (เช่น MikroTik), Switch, และ Log Server จะต้องทำการเชื่อมโยงและซิงโครไนซ์เวลากับนาฬิกาอ้างอิงมาตรฐาน (NTP Server: Network Time Protocol) ที่มีความแม่นยำและน่าเชื่อถือ เพื่อให้อ้างอิงเวลาใน Log File ได้ถูกต้องตรงกันตามจริงในระดับวินาที

3. ความถูกต้องสมบูรณ์และปกป้องการแก้ไข (Integrity & Protection)

Log File ที่จัดเก็บจะต้องถูกเข้ารหัสหรือสร้างค่า Hash (เช่น SHA-256) เพื่อยืนยันว่าไม่มีการแก้ไข ดัดแปลง หรือลบทิ้งก่อนครบกำหนด 90 วัน รวมถึงต้องมีระบบสิทธิ์เข้าถึงที่เข้มงวด (Access Control) เพื่อป้องกันบุคคลภายนอกหรือผู้ไม่ได้รับอนุญาตแอบเข้ามาแก้ไขข้อมูล

แนวทางการวางระบบ Network และ Log Server สำหรับองค์กร

ทีมวิศวกรของ SIAM-LOGIN แนะนำสถาปัตยกรรมระบบเครือข่าย (Network Architecture) สำหรับองค์กรและธุรกิจขนาดกลาง-เล็ก ดังนี้:

• Core Router / Gateway: ใช้อุปกรณ์ MikroTik Router (เช่น CCR Series หรือ RB Series) ทำหน้าที่บริหารจัดการ Traffic, ทำ Bandwidth Management และส่งต่อ Syslog (RFC 5424) ไปยังเซิร์ฟเวอร์ส่วนกลาง
• Authentication Server: ประยุกต์ใช้ RADIUS Server ร่วมกับ Captive Portal เพื่อทำระบบ Hotspot Authentication บันทึกข้อมูลการเข้าใช้งานของผู้ใช้ (User Logs)
• Centralized Syslog Server: ติดตั้ง Log Server เฉพาะ (อาจเป็น Dedicated Hardware หรือ Virtual Machine) ที่รองรับการบีบอัดข้อมูล เข้ารหัส และสร้าง Hash Integrity เพื่อเก็บรักษาข้อมูลย้อนหลัง 90 วันโดยอัตโนมัติ

หากไม่ปฏิบัติตาม จะมีโทษอย่างไร?

หากเจ้าของธุรกิจหรือองค์กรปล่อยปละละเลย ไม่จัดเก็บบันทึก Log ตามที่ พ.ร.บ. คอมพิวเตอร์ กำหนด หรือจัดเก็บไม่ถูกต้องตามมาตรฐาน มีโทษปรับสูงสุดไม่เกิน 500,000 บาท นอกจากนี้ หากมีการกระทำความผิดเกิดขึ้นในระบบเครือข่าย เช่น การแฮกข้อมูล การโพสต์ข้อมูลผิดกฎหมาย หรือการฉ้อโกงออนไลน์ เจ้าของสถานที่อาจตกเป็นผู้ต้องสงสัยหรือถูกดำเนินคดีในฐานะผู้ร่วมกระทำความผิด เนื่องจากไม่สามารถแสดงหลักฐานยืนยันตัวตนของผู้กระทำผิดจริงได้

สรุปขั้นตอนเตรียมความพร้อมเพื่อความคุ้มครองธุรกิจของคุณ

การลงทุนในระบบจัดเก็บ Log และระบบระบุตัวตน Wi-Fi Hotspot ไม่ใช่เพียงเพื่อปฏิบัติตามกฎหมายเท่านั้น แต่เป็นการสร้างเกราะคุ้มครองความปลอดภัยให้แก่ธุรกิจและองค์กรของคุณ ทีมงานวิศวกรจาก SIAM-LOGIN พร้อมให้คำปรึกษา ออกแบบ และติดตั้งระบบบริหารจัดการเครือข่าย MikroTik, RADIUS Server และ Log Server ที่ได้มาตรฐาน ปลอดภัย และถูกต้องตาม พ.ร.บ. คอมพิวเตอร์ 100%