สรุป พ.ร.บ. คอมพิวเตอร์ เรื่องการเก็บ Log WiFi องค์กรที่ต้องรู้

เช้าวันจันทร์เมื่อสามปีก่อน ผมได้รับสายด่วนจากเจ้าของหอพักรายหนึ่ง น้ำเสียงของเขาเต็มไปด้วยความตื่นตระหนก เพราะมีเจ้าหน้าที่ตำรวจไซเบอร์พร้อมเอกสารหมายมาขอตรวจสอบข้อมูลการใช้งานอินเทอร์เน็ต เนื่องจากมี IP Address ของหอพักแห่งนี้ไปเชื่อมโยงกับการกระทำความผิดทางระบบคอมพิวเตอร์ แต่สิ่งที่น่าตกใจยิ่งกว่าคือ หอพักแห่งนี้ปล่อย WiFi ฟรีให้ผู้พักใช้งานโดยไม่ได้จัดเก็บ Log ผู้ใช้งานไว้เลยแม้แต่วันเดียว เหตุการณ์วันนั้นทำให้เจ้าของธุรกิจต้องกลายเป็นผู้ต้องสงสัยและต้องเผชิญกับภาระทางกฎหมายที่ไม่มีใครอยากให้เกิด

จากประสบการณ์ที่ผมดูแลระบบ Network Infrastructure และทำระบบ SIAM-LOGIN ให้กับโรงแรม อพาร์ตเมนต์ และองค์กรมาหลายสิบแห่ง ผมพบว่ายังมีเจ้าของธุรกิจและคนดูแลระบบจำนวนมากที่เข้าใจผิด คิดว่าการเปิดให้ใช้อินเทอร์เน็ตเป็นเพียงแค่บริการเสริมทั่วไป ทั้งที่ในทางกฎหมายแล้ว คุณมีสถานะเป็น ผู้ให้บริการ (Service Provider) ตาม พ.ร.บ. คอมพิวเตอร์ ซึ่งมีหน้าที่ต้องจัดเก็บข้อมูลการจราจรทางคอมพิวเตอร์อย่างหลีกเลี่ยงไม่ได้

ใครบ้างที่เข้าข่ายผู้ให้บริการตาม พ.ร.บ. คอมพิวเตอร์?

หลายคนมักคิดว่าคำว่า ผู้ให้บริการ หมายถึงค่ายอินเทอร์เน็ตรายใหญ่เท่านั้น แต่ในความเป็นจริง ประกาศกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม ได้ระบุขอบเขตไว้อย่างชัดเจน ครอบคลุมถึง:

• องค์กรและสำนักงาน: บริษัท ร้านค้า ออฟฟิศที่ให้บริการอินเทอร์เน็ตแก่พนักงานหรือผู้มาติดต่อ
• สถานบริการและที่พัก: โรงแรม อพาร์ตเมนต์ หอพัก รีสอร์ต คอนโดมิเนียม และ Airbnb
• ร้านค้าและพื้นที่สาธารณะ: ร้านกาแฟ ร้านอาหาร Co-Working Space โรงพยาบาล และโรงเรียน
• ผู้ให้บริการระบบเครือข่าย: ผู้ให้บริการระบบ Captive Portal, Hotspot WiFi และ VPN

หากสถานที่ของคุณมีอินเทอร์เน็ตให้ผู้อื่นใช้งาน ไม่ว่าจะเก็บเงินหรือให้ใช้ฟรี คุณถือเป็นผู้ให้บริการตามกฎหมายฉบับนี้ทันทีครับ

Log อินเทอร์เน็ตที่กฎหมายบังคับเก็บ ต้องมีข้อมูลอะไรบ้าง?

สิ่งที่ผมมักถูกถามบ่อยๆ คือ Log คืออะไร? ต้องเก็บถึงขั้นว่าเขาคุยอะไรกันในแชต หรือเข้าเว็บไซต์ไหนบ้างไหม? คำตอบคือ ไม่ต้องเก็บเนื้อหา (Content) ครับ แต่กฎหมายระบุให้เก็บ Traffic Log หรือ ข้อมูลการจราจรทางคอมพิวเตอร์ ซึ่งประกอบด้วย 5 ส่วนสำคัญ ดังนี้:

1. ข้อมูลการระบุตัวตนผู้ใช้ (Identity Log)

ต้องระบุได้ว่าใครเป็นผู้ใช้งาน ณ ช่วงเวลานั้น เช่น ชื่อ-นามสกุล, เลขบัตรประชาชน, เลขพาสปอร์ต หรือเบอร์โทรศัพท์ที่ใช้รับ OTP ผ่านระบบ ยืนยันตัวตน WiFi (Captive Portal)

2. ข้อมูลการระบุอุปกรณ์ (Device Log)

ต้องบันทึก MAC Address ของอุปกรณ์ เช่น สมาร์ตโฟน โน้ตบุ๊ก หรือแท็บเล็ต ที่เชื่อมต่อเข้ามาในระบบเครือข่าย

3. ข้อมูลเวลาใช้งาน (Time Log)

เวลาที่เริ่มต้นเชื่อมต่อ (Login Time) และเวลาที่เลิกเชื่อมต่อ (Logout Time) โดยเวลาที่บันทึกไว้ในระบบจะต้องตรงกับเวลามาตรฐานสากล

4. ข้อมูล IP Address (Network Log)

บันทึกทั้ง Internal IP Address (IP ภายในที่ Router แจกให้เครื่องลูก) และ External IP Address (IP ขาออกที่ได้รับจาก ISP) รวมถึง Port ที่ใช้งาน

5. ข้อมูลการเชื่อมต่อปลายทาง (Destination Log)

บันทึก IP Address ปลายทาง หรือ domain name ที่อุปกรณ์นั้นๆ เชื่อมต่อออกไป

3 ข้อกำหนดทางเทคนิคสำคัญที่ Log Server ต้องมี

การจัดเก็บ Log ไม่ใช่แค่การดัมป์ไฟล์ไปทิ้งไว้ใน Hard Disk เพราะหากเกิดคดีความขึ้นมา ข้อมูลนั้นอาจใช้เป็นหลักฐานในชั้นศาลไม่ได้ หากไม่ปฏิบัติตามมาตรฐานทางเทคนิคดังนี้:

1. ระยะเวลาการเก็บ Log ไม่น้อยกว่า 90 วัน

กฎหมายระบุให้ผู้ให้บริการต้องจัดเก็บ Log ย้อนหลังไว้ ไม่น้อยกว่า 90 วัน นับแต่วันที่ข้อมูลนั้นเกิดขึ้น และในกรณีจำเป็น เจ้าหน้าที่อาจสั่งให้เก็บรักษาข้อมูลไว้เป็นพิเศษได้ไม่เกิน 2 ปี (หรือ 5 ปีตามประกาศใหม่ในบางกรณี)

2. การเทียบเวลาให้ตรงกับ NTP Server (Time Synchronization)

นาฬิกาของอุปกรณ์ Network ทุกชิ้น ตั้งแต่ Router, Switch, Firewall จนถึง Log Server จะต้องตั้งค่าให้ซิงค์เวลาตรงกับ NTP Server (Network Time Protocol) อ้างอิงเวลามาตรฐานสากล (Stratum 1) โดยมีความคลาดเคลื่อนไม่เกิน 10 มิลลิวินาที หากเวลาในระบบไม่ตรง ข้อมูล Log ทั้งหมดจะขาดความน่าเชื่อถือทันที

3. การรักษาความถูกต้องและปลอดภัยของข้อมูล (Integrity & Security)

ไฟล์ Log ที่จัดเก็บจะต้องได้รับการเข้ารหัส (Encryption) มีการทำ Hash Value (เช่น SHA-256) เพื่อยืนยันว่าไฟล์ไม่เคยถูกแก้ไข ดัดแปลง หรือลบทิ้ง มีการจำกัดสิทธิ์การเข้าถึง (Access Control) เฉพาะผู้ดูแลระบบที่ได้รับอนุญาตเท่านั้น

แนวทางการวางระบบเก็บ Log สำหรับองค์กรและ WiFi Hotspot

จากที่ผมออกแบบระบบให้ลูกค้า SIAM-LOGIN การเลือกสถาปัตยกรรมระบบ Log ที่เหมาะสมกับขนาดองค์กรถือเป็นเรื่องสำคัญมาก เพื่อไม่ให้งบบานปลายและระบบไม่สะดุด:

• สำหรับร้านกาแฟ / ออฟฟิศขนาดเล็ก: ใช้งาน Router MikroTik ร่วมกับ Cloud Log Server หรือ External Syslog Server ซึ่งช่วยให้ประหยัดค่า Hardware ภายนอก
• สำหรับหอพัก / โรงแรม / อพาร์ตเมนต์: ควรใช้ระบบ Captive Portal ร่วมกับ Radius Server เพื่อพิสูจน์ตัวตนผู้ใช้งานผ่าน SMS OTP หรือระบบคูปอง พร้อมส่ง Syslog เข้าไปยัง Log Server เฉพาะทางที่ได้มาตรฐาน ISO/IEC 27001
• สำหรับองค์กรขนาดใหญ่ / โรงงาน: ควรติดตั้ง Enterprise Firewall ทำการส่ง Centralized Log ไปยัง Central Log Storage หรือ SIEM พร้อมทำ Redundant Backup เพื่อความปลอดภัยสูงสุด

หากคุณยังไม่แน่ใจว่าระบบ Network ปัจจุบันของคุณมีการเก็บบันทึก Log ที่ถูกต้องตามกฎหมายหรือไม่ ผมแนะนำให้ทำการ Audit ระบบตั้งแต่วันนี้ อย่ารอให้เกิดเหตุการณ์แล้วค่อยมาแก้ไข เพราะโทษของการไม่เก็บ Log ตาม พ.ร.บ. คอมพิวเตอร์ มีปรับสูงสุดถึง 500,000 บาท และความเสี่ยงทางคดีความที่ไม่อาจประเมินค่าได้ครับ