สรุป พ.ร.บ.คอมพิวเตอร์ ฉบับล่าสุด เจ้าของธุรกิจต้องเก็บ Log อย่างไร

เช้าวันจันทร์เมื่อเดือนที่แล้ว มีสายโทรศัพท์จากเจ้าของหอพักแห่งหนึ่งโทรเข้ามาหาผมด้วยน้ำเสียงร้อนรน บอกว่ามีตำรวจไซเบอร์พร้อมหมายค้นเดินทางมาที่หอพัก เนื่องจากมีผู้ต้องหาใช้สัญญาณ WiFi ของหอพักไปก่อคดีฉ้อโกงออนไลน์และหลอกลวงผู้บริโภค ตำรวจจึงต้องการขอสืบค้นข้อมูลจราจรทางคอมพิวเตอร์ว่า IP Address และ MAC Address ดังกล่าวในช่วงเวลาเกิดเหตุเป็นของใคร

เมื่อผมเดินทางไปถึงและตรวจสอบระบบเครือข่ายของหอพัก พบว่าทางหอพักใช้เพียง Router ที่แถมมาจากผู้ให้บริการอินเทอร์เน็ต เสียบปลั๊กแล้วปล่อย WiFi ให้ผู้เช่าใช้อย่างเสรีโดยไม่มีการยืนยันตัวตน และไม่มี Log Server สำหรับบันทึกข้อมูลใดๆ เลย สุดท้ายเจ้าของหอพักจึงกลายเป็นผู้สงสัยในคดีเพราะไม่สามารถระบุตัวตนผู้กระทำความผิดจริงได้ เหตุการณ์นี้ไม่ใช่กรณีแรกที่ผมเจอ และเป็นอุทาหรณ์ที่ชี้ให้เห็นว่า พ.ร.บ.คอมพิวเตอร์ ไม่ใช่เรื่องไกลตัวสำหรับผู้ประกอบการเลยแม้แต่น้อย

สิ่งสำคัญที่ พ.ร.บ.คอมพิวเตอร์ ฉบับล่าสุด บังคับให้เจ้าของธุรกิจต้องปฏิบัติ

ตามประกาศกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม (DE) เรื่องหลักเกณฑ์การเก็บรักษาข้อมูลจราจรทางคอมพิวเตอร์ของผู้ให้บริการ พ.ศ. 2564 ซึ่งปรับปรุงให้ครอบคลุมและเข้มงวดขึ้น เจ้าของธุรกิจที่ให้บริการอินเทอร์เน็ต ไม่ว่าจะเป็นโรงแรม หอพัก ร้านกาแฟ สำนักงาน หรือ Co-working space ถือเป็น "ผู้ให้บริการ" ตามกฎหมาย และมีหน้าที่ต้องปฏิบัติตามข้อกำหนดดังต่อไปนี้

1. จัดเก็บข้อมูลจราจรทางคอมพิวเตอร์ (Traffic Data / Log) ไม่น้อยกว่า 90 วัน

ผู้ให้บริการต้องจัดเก็บข้อมูลการเข้าถึงเครือข่าย ได้แก่ IP Address ต้นทางและปลายทาง, MAC Address, พอร์ตที่ใช้, วันและเวลาในการเชื่อมต่อ ตลอดจนบันทึกการเปิด-ปิด Session การใช้งาน โดยต้องเก็บไว้อย่างน้อย 90 วัน นับแต่วันที่ข้อมูลนั้นเกิดขึ้น และในกรณีจำเป็นที่เจ้าหน้าที่ขอความร่วมมือ อาจต้องเก็บรักษาสูงสุดถึง 2 ปี

2. มีระบบระบุตัวตนผู้ใช้บริการ (User Identification) ที่ชัดเจน

การเก็บเพียง Log การวิ่งของข้อมูลโดยไม่รู้ว่าใครเป็นคนใช้งานนั้น ไม่เพียงพอในทางกฎหมาย ระบบเครือข่ายต้องสามารถจับคู่ Log เข้ากับตัวตนของบุคคลได้จริง เช่น การลงทะเบียนผ่าน Captive Portal โดยใช้เลขบัตรประชาชน, พาสปอร์ต, หมายเลขโทรศัพท์ (SMS OTP) หรือการแจก Account ที่ผูกกับชื่อ-นามสกุลจริงของผู้เช่าหรือพนักงาน

3. ต้องทำ Time Synchronization ให้เวลาตรงกับ NTP Server มาตรฐาน

Log ที่บันทึกไว้จะไม่สามารถใช้เป็นหลักฐานในชั้นศาลได้เลย หากเวลาใน Log ของอุปกรณ์ไม่ตรงกับเวลามาตรฐานสากล กฎหมายจึงระบุให้อุปกรณ์ Network ทุกตัว ต้องซิงโครไนซ์เวลาผ่าน NTP Server (Network Time Protocol) ที่อ้างอิงจากเวลาพิกัดสากล (UTC) โดยมีความคลาดเคลื่อนไม่เกิน 10 มิลลิวินาที

3 จุดพังที่ทำให้ระบบ Log ของธุรกิจคุณใช้งานไม่ได้จริงเมื่อเกิดคดี

จากประสบการณ์ที่ผมเข้าไปรีเซ็ตและวางระบบ Security ให้กับลูกค้าหลายสิบแห่ง จุดผิดพลาดที่พบเจอบ่อยที่สุด 3 ประการ มีดังนี้ครับ

• จุดพังที่ 1: บันทึก Log ไว้ในหน่วยความจำของ Router Router ทั่วไปหรือ MikroTik รุ่นเล็ก มีพื้นที่จัดเก็บข้อมูลจำกัด เมื่อไฟดับ หรือเมมโมรี่เต็ม Log เก่าจะถูกลบทับทันที ทำให้เมื่อตำรวจขอตรวจย้อนหลัง 90 วัน ก็จะไม่มีข้อมูลเหลืออยู่เลย
• จุดพังที่ 2: นาฬิกาบน Router รีเซ็ตกลับเป็นปี 1970 หาก Router ไม่มีแบตเตอรี่สำรองนาฬิกา (RTC) และไม่ได้ตั้งค่า NTP Server ไว้ เมื่อเปิดเครื่องใหม่ เวลาจะย้อนกลับไปอดีต ทำให้ Log ทั้งหมดกลายเป็นขยะในทางกฎหมายทันที
• จุดพังที่ 3: ปล่อย WiFi แบบ Password เดียวกันทั้งร้าน การแปะรหัส WiFi ไว้ที่ฝาผนังให้ทุกคนใช้ร่วมกัน ทำให้ Log บันทึกได้แค่ IP เครื่อง แต่ไม่สามารถพิสูจน์ได้ว่าผู้ใช้งาน ณ วินาทีนั้นคือใครกันแน่

แนวทางการวางระบบเก็บ Log ให้ถูกต้องและปลอดภัยสำหรับองค์กร

หากคุณเป็นเจ้าของธุรกิจ และต้องการให้ระบบ Network ของคุณถูกต้องตามกฎหมาย พ.ร.บ.คอมพิวเตอร์ 2560 และประกาศฉบับล่าสุด ผมแนะนำให้ปรับปรุงโครงสร้างพื้นฐานเครือข่ายตามขั้นตอนดังนี้

1. แยกวงเครือข่ายและใช้งาน Captive Portal ร่วมกับ RADIUS Server

ตั้งค่า Router (เช่น MikroTik) ให้ทำหน้าที่ตัด Guest Traffic ให้อยู่ใน VLAN ที่แยกออกจากระบบภายในองค์กร แล้วส่งผู้ใช้งานเข้าสู่หน้า Captive Portal เพื่อทำการยืนยันตัวตนก่อนเข้าใช้อินเทอร์เน็ต ข้อมูล Account จะถูกจัดเก็บบน RADIUS Server อย่างเป็นระบบ

2. ส่งข้อมูล Log ไปยัง Centralized Syslog Server

ห้ามเก็บ Log ไว้บนอุปกรณ์ปลายทางอย่าง AP หรือ Router เด็ดขาด แต่ควรตั้งค่าให้อุปกรณ์ส่งข้อมูลจราจรทางคอมพิวเตอร์ผ่าน Syslog Protocol ไปยัง Log Server ส่วนกลาง ไม่ว่าจะเป็น On-Premise Log Appliance หรือ Cloud Log Server ที่มีการเข้ารหัสลับข้อมูล (Data Encryption) เพื่อป้องกันการแก้ไขดัดแปลงข้อมูล (Integrity Checks)

3. ทำการตรวจสอบและทดสอบ Log Dump เป็นประจำ

ผู้ดูแลระบบควรสุ่มสกัดข้อมูล Log มาเปิดดูเดือนละครั้ง เพื่อตรวจสอบว่าระบบยังซิงค์เวลากับ NTP Server ได้ถูกต้อง ข้อมูลไม่สูญหาย และรูปแบบ Log สามารถอ่านและสืบค้น (Search & Query) ตามเงื่อนไขเวลาและ IP Address ได้อย่างถูกต้องรวดเร็ว