สรุป พ.ร.บ. คอมพิวเตอร์ มาตรา 26 เจ้าของธุรกิจต้องเก็บ Log อย่างไร

กว่า 80% ของเจ้าของหอพักและร้านกาแฟที่ผมเคยเข้าไปรีเซ็ตระบบเครือข่ายให้ มักเข้าใจผิดคิดว่าแค่มี WiFi ให้ลูกค้าใช้ก็พอแล้ว โดยไม่รู้เลยว่าหากเกิดเหตุอาชญากรรมไซเบอร์ขึ้นในร้าน เจ้าของสถานที่นั่นแหละครับที่จะตกเป็นผู้ต้องสงสัยรายแรก เพราะไม่มีหลักฐานยืนยันตัวตนผู้ใช้งานตามที่กฎหมายกำหนด

ทำความเข้าใจ พ.ร.บ. คอมพิวเตอร์ มาตรา 26 ในมุมของผู้ให้บริการ

ในฐานะที่ผมทำงานดูแลระบบ Network มาหลายปี คำถามหนึ่งที่เจอบ่อยมากคือ ผมเปิดร้านกาแฟ หรือทำอพาร์ตเมนต์ ถือเป็นผู้ให้บริการ หรือ Service Provider ด้วยหรือ คำตอบสั้นๆ คือ ใช่ครับ ตามพระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ มาตรา 26 ผู้ใดก็ตามที่ให้บริการเข้าถึงระบบเครือข่ายอินเทอร์เน็ต ไม่ว่าจะคิดเงินหรือให้ใช้ฟรี ถือเป็นผู้ให้บริการทั้งสิ้น

สาระสำคัญของมาตรานี้บังคับให้ผู้ให้บริการต้องจัดเก็บ ข้อมูลจราจรทางคอมพิวเตอร์ ไว้ไม่น้อยกว่า 90 วัน นับแต่วันที่ข้อมูลนั้นเข้าสู่ระบบคอมพิวเตอร์ และในบางกรณีที่พนักงานเจ้าหน้าที่มีคำสั่งเฉพาะ ข้อมูลนั้นอาจต้องจัดเก็บสูงสุดได้ถึง 2 ปี เพื่อใช้เป็นหลักฐานในการสืบสวนหาตัวผู้กระทำความผิด

ข้อมูลประเภทไหนบ้างที่ต้องเก็บ และเก็บอย่างไรให้ถูกหลัก?

ประกาศกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม ได้ระบุหลักเกณฑ์การเก็บ Log File ไว้อย่างชัดเจน โดยข้อมูลที่คุณต้องจัดเก็บประกอบด้วย 4 ส่วนสำคัญ ดังนี้

• ข้อมูลระบุตัวตน (Identification Data): ชื่อ-นามสกุล, เลขบัตรประชาชน หรือหมายเลขโทรศัพท์ของผู้ใช้งาน ผ่านระบบ การยืนยันตัวตน เช่น Captive Portal
• ข้อมูลหมายเลขเครื่องและที่อยู่เครือข่าย: หมายเลข MAC Address ของอุปกรณ์ผู้ใช้งาน และหมายเลข IP Address ที่ได้รับจาก Router
• เวลาในการเข้าและเลิกใช้งาน (Timestamp): วัน เวลา ที่เริ่มต้นและสิ้นสุดการเชื่อมต่อ โดยต้องซิงโครไนซ์เวลาให้ตรงกับ NTP Server มาตรฐาน
• ข้อมูลการใช้งานอินเทอร์เน็ต (Traffic Data): Destination IP Address และพอร์ตการเชื่อมต่อที่ส่งออกไปยังภายนอก

3 ข้อผิดพลาดร้ายแรงที่ทำให้ Log ของคุณ ใช้เป็นหลักฐานไม่ได้

จากประสบการณ์ตรงที่ผมเคยไปช่วยลูกค้าตรวจสอบ Log File ให้เจ้าหน้าที่ตำรวจ พบว่าเกินครึ่งเก็บ Log ไว้ แต่ใช้งานจริงไม่ได้เลย เนื่องจากข้อผิดพลาดเหล่านี้

1. เวลาใน Log ไม่ตรงกับเวลาจริง

หาก Router หรือ Syslog Server ของคุณไม่มีการซิงค์เวลากับ Time Server มาตรฐาน เวลาใน Log อาจคลาดเคลื่อนไปหลายนาทีหรือหลายชั่วโมง ซึ่งทำให้ในชั้นศาลปฏิเสธการรับฟังพยานหลักฐานทันที

2. การจัดเก็บไม่มีความปลอดภัยและแก้ไขได้ง่าย

ไฟล์ Log ถูกเก็บไว้ในแฟลชไดรฟ์หรือฮาร์ดดิสก์ธรรมดาที่ใครก็เข้าไปแก้ไข ลบ หรือดัดแปลงได้ กฎหมายระบุว่า Log File ต้องมีมาตรการป้องกันการแก้ไข เช่น การทำ Hash หรือ Checksum เพื่อยืนยันความถูกต้องของข้อมูล

3. เก็บข้อมูลไม่ระบุตัวบุคคล

หลายแห่งเก็บเฉพาะ IP Address และ MAC Address แต่ไม่ได้ทำระบบให้ผู้ใช้งานลงทะเบียน ทำให้อ่าน Log ออกมาแล้วทราบเพียงว่าเครื่องไหนใช้งาน แต่ไม่ทราบว่า ใคร เป็นคนใช้ ซึ่งไม่ผ่านเกณฑ์การระบุตัวตนตาม พ.ร.บ. คอมพิวเตอร์ มาตรา 26

แนวทางปฏิบัติสำหรับ SME อพาร์ตเมนต์ และโรงแรม

หากคุณไม่อยากเสี่ยงโดนโทษปรับสูงสุด 500,000 บาท ผมแนะนำให้วางระบบ Network และจัดเก็บข้อมูลตามขั้นตอนดังนี้ครับ

• ติดตั้งระบบ Authentication: ใช้ Captive Portal ในการล็อกอินก่อนใช้งานอินเทอร์เน็ต โดยผูกกับเบอร์โทรศัพท์ด้วย SMS OTP หรือระบบคีย์การ์ดห้องพัก
• ตั้งค่า Centralized Syslog Server: ส่ง Log จาก Gateway Router เช่น MikroTik ไปเก็บบน Server ที่แยกต่างหาก ป้องกัน Log หายเมื่อ Router รีสตาร์ท
• เปิดใช้งาน NTP Client: ตั้งค่าอุปกรณ์ทุกชิ้นในระบบให้ซิงค์เวลากับ time.navy.mi.th หรือ time.nimt.or.th อย่างสม่ำเสมอ
• สำรองข้อมูลย้อนหลังอย่างน้อย 90 วัน: จัดเก็บข้อมูลไว้ในสื่อบันทึกที่ปลอดภัย และมีการเข้ารหัสไฟล์เพื่อป้องกันการดัดแปลงแก้ไข

การปฏิบัติตาม พ.ร.บ. คอมพิวเตอร์ มาตรา 26 ไม่ใช่แค่การทำตามกฎหมายเพื่อหลีกเลี่ยงความผิดเท่านั้นครับ แต่ยังเป็นการปกป้องธุรกิจของคุณเอง ไม่ให้ต้องตกเป็นผู้รับผิดชอบในสิ่งที่คุณไม่ได้ก่อ หากมีปัญหาเรื่องการวางระบบจัดเก็บ Log หรือต้องการติดตั้งระบบ Captive Portal ที่ได้มาตรฐาน ติดต่อ SIAM-LOGIN ให้ผมและทีมงานเข้าไปช่วยดูแลได้ตลอดครับ