แนวทางเก็บ Log อินเทอร์เน็ตตาม พ.ร.บ.คอมพิวเตอร์ 90 วัน สำหรับ SME

วันจันทร์ตอนสิบโมงเช้า ผมได้รับโทรศัพท์เสียงสั่นเครือจากเจ้าของบริษัทออฟฟิศลูกค้าท่านหนึ่ง "คุณครับ มีหนังสือทางการจากตำรวจไซเบอร์ส่งมาขอข้อมูล Log การใช้งานอินเทอร์เน็ตย้อนหลัง 2 เดือน! บอกว่ามีคนใช้ IP Address ของออฟฟิศเราไปทำธุรกรรมหลอกลวงและโพสต์หมิ่นประมาท" สิ่งแรกที่ผมถามกลับไปคือ "ที่บริษัทได้ทำระบบ Log Management ไว้ไหมครับ?" ปลายสายเงียบไปพักใหญ่ก่อนจะตอบว่า "เรามีแค่ Router แถมจาก ISP ตัวเดียว..."

เหตุการณ์แบบนี้ไม่ใช่เรื่องไกลตัวเลยครับ ในฐานะวิศวกรเครือข่ายที่ดูแลระบบให้ทั้งโรงแรม อพาร์ตเมนต์ และออฟฟิศ SME มาหลายสิบแห่ง ผมเจอเคสที่ผู้ประกอบการต้องเดือดร้อนเพราะ "ไม่มี Log" หรือ "เก็บ Log ไม่ถูกต้อง" อยู่เรื่อยๆ วันนี้ผมเลยอยากมาเล่าให้ฟังแบบเข้าใจง่ายๆ ว่า การเก็บ Log อินเทอร์เน็ตตาม พ.ร.บ.คอมพิวเตอร์ ย้อนหลัง 90 วัน ต้องทำอย่างไรให้ถูกต้อง รอดพ้นจากโทษปรับ และไม่กลายเป็นภาระค่าใช้จ่ายที่สูงเกินจำเป็นครับ

พ.ร.บ. คอมพิวเตอร์ กำหนดให้ออฟฟิศและ SME ต้องเก็บ Log อะไรบ้าง?

หลายคนเข้าใจผิดคิดว่าการเก็บ Log คือการแอบบันทึกว่าพนักงานเข้าไปดูเว็บไซต์อะไร หรือแอบอ่านข้อความแชท ซึ่งนั่นผิดหลักความเป็นส่วนตัวอย่างแรงครับ ในทางกฎหมาย พ.ร.บ.ว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ กำหนดให้เราเก็บเฉพาะ "ข้อมูลจราจรทางคอมพิวเตอร์" (Traffic Data) เพื่อยันยืนตัวตนว่า ใคร (Who) ทำอะไร (What) เมื่อไหร่ (When) จาก IP ไหน (Where) เท่านั้น

หัวใจสำคัญของการเก็บ Log อินเทอร์เน็ตย้อนหลัง 90 วัน ที่เจ้าหน้าที่ต้องการตรวจสอบ มีดังนี้ครับ:

• Identification Data (ข้อมูลระบุตัวตน): Username, ชื่อผู้ใช้งาน หรือ MAC Address ของอุปกรณ์ที่เชื่อมต่อ Network
• Network IP & Port (หมายเลขไอพี): IP Address ขาเข้า (Private IP) และ IP Address ขาออก (Public NAT IP) รวมถึง Port ที่ใช้งาน
• Timestamp (เวลาที่เกิดเหตุ): เวลาในการเริ่มและเลิกใช้งานอย่างแม่นยำ ซึ่งต้องตรงกับเวลามาตรฐานสากล
• Destination Information: IP Address และ Destination Port ของเครื่องปลายทางที่เชื่อมต่อไปหา

3 วิธีตั้งระบบเก็บ Log ให้รอดทางกฎหมายและไม่กระทบงบประมาณ

จากประสบการณ์เซ็ตระบบ Network ของผม ออฟฟิศขนาดเล็กถึงขนาดกลาง (SME) ไม่จำเป็นต้องลงทุนซื้อเครื่อง Log Appliance ราคาเป็นแสนๆ เสมอไปครับ เราสามารถเลือกโซลูชันที่เหมาะสมกับสเกลธุรกิจได้ดังนี้

1. ใช้ MikroTik Router ร่วมกับ External Syslog Server

วิธีนี้เป็นโซลูชันยอดนิยมที่ผมทำให้ออฟฟิศขนาด 20-100 คนบ่อยที่สุดครับ โดยเราใช้ MikroTik Enterprise Router ทำหน้าที่ส่ง Log ข้อมูลจราจรทางคอมพิวเตอร์ (Syslog) ผ่านโปรโตคอล UDP/IP ออกไปบันทึกไว้ที่ Syslog Server ซึ่งอาจจะเป็นเครื่อง PC เก่าที่ลง Linux (เช่น Syslog-ng หรือ Rsyslog) หรือ NAS Server ในออฟฟิศ วิธีนี้ช่วยประหยัดงบได้มาก และรองรับการเก็บข้อมูลได้ยาวนานเกิน 90 วันสบายๆ ครับ

2. ระบบยืนยันตัวตน WiFi ร่วมกับ RADIUS Server

สำหรับธุรกิจที่มีพนักงานเยอะ หรือมีผู้มาติดต่อ (Guest WiFi) เช่น โรงแรม อพาร์ตเมนต์ หรือ Co-working Space การเก็บเฉพาะ IP/MAC อาจไม่เพียงพอในการระบุตัวบุคคลได้จริง ผมมักจะแนะนำให้ติดตั้งระบบ Authentication ด้วย RADIUS Server ร่วมกับหน้า Captive Portal (WiFi Hotspot) ผู้ใช้ต้องกรอกเบอร์โทรศัพท์ OTP หรือ Username/Password ก่อนเล่นเน็ต ทำให้เราเชื่อมโยง Log การใช้งานเข้ากับตัวบุคคลได้ถูกต้อง 100% ตามข้อบังคับ

3. โซลูชัน Log Management แบบ Cloud หรือ Hardware Appliance

หากเป็นองค์กรขนาดใหญ่ที่มีสาขาเยอะ หรือไม่มีทีม IT In-house คอยดูแล Server เอง การเลือกใช้ Cloud Log Management หรือ Centralized Log Appliance แบบสำเร็จรูป ถือเป็นทางออกที่ปลอดภัยที่สุดครับ แม้จะมีค่าบริการรายเดือนหรือค่าอุปกรณ์ที่สูงกว่า แต่ก็ได้ความสะดวก เรื่องเอกสาร Hash Integrity และการออกรายงานที่พร้อมส่งให้เจ้าหน้าที่ทันที

3 จุดตายที่คนทำระบบ Network ชอบพลาด จน Log ใช้เป็นหลักฐานไม่ได้

ต่อให้คุณเปิดตั้งค่าเก็บ Log ไว้แล้ว แต่มักจะตกม้าตายด้วย 3 ปัญหาเทคนิคนี้ครับ:

1. นาฬิกาของอุปกรณ์ไม่ตรงกัน (NTP Sync Fail)

นี่คือจุดสลบอันดับหนึ่งเลยครับ ถ้า Router หรือ Syslog Server ของคุณนาฬิกาเดินช้าหรือเร็วไปกว่าเวลาจริง แม้จะแค่ 5 นาที ข้อมูล Log นั้นจะถือว่า "ขาดความน่าเชื่อถือ" และนำไปใช้เป็นหลักฐานในชั้นศาลหรือยื่นให้ตำรวจไม่ได้ทันที สิ่งที่ต้องทำคือการตั้งค่า NTP Server (Network Time Protocol) ให้อุปกรณ์ทุกชิ้นอัปเดตเวลากับ NTP Thailand (เช่น time.navy.mi.th หรือ pool.ntp.org) อย่างสม่ำเสมอ

2. ฮาร์ดดิสก์เต็มแล้ว Log ตัด หรือข้อมูลถูกเขียนทับ

มีหลายครั้งที่ผมเข้าไปตรวจระบบให้ลูกค้า แล้วพบว่า Log หยุดบันทึกไปตั้งแต่ 3 เดือนก่อนเพราะพื้นที่เก็บข้อมูลเต็ม! การบริหารจัดการ Log Management ที่ดี ต้องมีการตั้งค่า Log Rotation และแจ้งเตือน (Alert) เมื่อ Storage ใกล้เต็ม รวมถึงการทำ Backup ข้อมูลออกไปเก็บในสื่อบันทึกภายนอกที่ปลอดภัย

3. Log ถูกแก้ไขดัดแปลงได้ (ขาด Integrity)

ตาม พ.ร.บ.คอมพิวเตอร์ ข้อมูล Log ที่เก็บไว้จะต้องมีมาตรการป้องกันไม่ให้ใครเข้าไปแก้ไข ดัดแปลง หรือลบทิ้งได้ง่ายๆ การเก็บ Log ไว้ในไฟล์ Text ธรรมดาบนเครื่องที่ใครๆ ก็รีโมตเข้าไปได้ ถือว่าเสี่ยงมากครับ ควรมีการทำ Hashing (เช่น SHA-256) เพื่อยืนยันความถูกต้องของไฟล์เอกสาร Log ทุกวัน

สรุปแนวทางสำหรับเจ้าของธุรกิจที่ไม่อยากเสี่ยงโดนปรับ

การเก็บ Log อินเทอร์เน็ตย้อนหลัง 90 วัน ไม่ใช่แค่เรื่องของการทำตามกฎหมายเพื่อหลีกเลี่ยงโทษปรับสูงสุด 500,000 บาทเท่านั้นครับ แต่มันคือ "เกราะป้องกันตัว" ขององค์กรและเจ้าของธุรกิจเอง เมื่อเกิดเหตุภัยคุกคามทางไซเบอร์ หรือมีผู้ไม่หวังดีมาใช้ Network ของเราทำผิดกฎหมาย ข้อมูล Log ที่ถูกต้องจะเป็นสิ่งเดียวที่พิสูจน์ความบริสุทธิ์ของคุณได้ครับ

หากคุณยังไม่แน่ใจว่าระบบ Network ในออฟฟิศหรือธุรกิจของคุณมีการเก็บ Log ที่ถูกต้องตามหลักเกณฑ์แล้วหรือยัง สามารถปรึกษาทีมงาน SIAM-LOGIN ได้ครับ ผมและทีมวิศวกรพร้อมเข้าไปช่วยตรวจสอบ ออกแบบ และเซ็ตระบบ Log Management ให้ถูกต้อง ปลอดภัย และคุ้มค่ากับงบประมาณที่สุดครับ