พ.ร.บ.คอมพิวเตอร์ SME ต้องเก็บ Log อย่างไรให้ไม่ผิดกฎหมาย

80% ของธุรกิจ SME ในไทยที่ผมเคยเข้าไปตรวจเช็กและวางระบบ Network ให้ มักจะเข้าใจผิดว่าแค่มี WiFi ให้พนักงานหรือลูกค้าชั่วคราวใช้งานได้ก็เพียงพอแล้ว โดยไม่รู้เลยว่าหากเกิดเหตุภัยคุกคามทางไซเบอร์ หรือมีการใช้เครือข่ายของบริษัทไปทำเรื่องผิดกฎหมาย เจ้าของกิจการอาจต้องรับโทษปรับสูงสุดถึง 500,000 บาท ตาม พ.ร.บ.คอมพิวเตอร์ ฉบับล่าสุด เพียงเพราะองค์กรไม่มีการจัดเก็บข้อมูลจราจรทางคอมพิวเตอร์ที่ถูกต้อง

จากประสบการณ์ตรงของผมที่ดูแลระบบ IT Infrastructure ให้กับบริษัทและออฟฟิศมาหลายร้อยแห่ง ประเด็นเรื่องกฎหมายจราจรคอมพิวเตอร์มักถูกมองข้ามจนกระทั่งมีหมายเรียกจากเจ้าหน้าที่ตำรวจส่งมาถึงออฟฟิศ บทความนี้ผมจึงตั้งใจสรุปข้อบังคับสำคัญทางเทคนิคที่ SME ต้องรู้ พร้อมแนวทางการจัดเก็บ Log ให้ถูกต้องตามกฎหมาย โดยที่ไม่ต้องลงทุนสูงจนเกินไปครับ

ทำไม พ.ร.บ.คอมพิวเตอร์ ถึงเป็นเรื่องความเป็นความตายของ SME

หลายคนมักคิดว่า พ.ร.บ.คอมพิวเตอร์ เป็นเรื่องขององค์กรใหญ่หรือผู้ให้บริการอินเทอร์เน็ต (ISP) เท่านั้น แต่ในความเป็นจริง กฎหมายกำหนดให้ผู้ให้บริการ (Service Provider) ซึ่งครอบคลุมถึงองค์กร ร้านค้า ร้านกาแฟ และ SME ที่จัดให้มีบริการเชื่อมต่ออินเทอร์เน็ตแก่ผู้อื่น ถือเป็นผู้มีหน้าที่ต้องจัดเก็บข้อมูลจราจรทางคอมพิวเตอร์ทั้งหมด

หากเกิดกรณีที่มีผู้ใช้ WiFi ของบริษัทไปแฮกข้อมูลผู้อื่น โพสต์ข้อความหมิ่นประมาท หรือทำธุรกรรมผิดกฎหมาย แล้วตำรวจสืบค้น IP Address กลับมาพบว่าเป็น IP ของบริษัทคุณ หากคุณไม่มีระบบ จัดเก็บ Log ที่สามารถระบุตัวตนผู้ใช้งานได้ เจ้าของกิจการหรือผู้ดูแลระบบนั่นแหละครับที่จะต้องกลายเป็นผู้ต้องสงสัยและรับผิดชอบทางกฎหมายแทน

ข้อมูลจราจรทางคอมพิวเตอร์ (Log) ที่ต้องเก็บ มีอะไรบ้าง?

คำว่า ข้อมูลจราจรทางคอมพิวเตอร์ หรือ Traffic Data ตามประกาศกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม (MDES) ไม่ได้หมายถึงการแอบบันทึกแชต หรือการเข้าไปดูว่าผู้ใช้พิมพ์ข้อความอะไรนะครับ กฎหมายไม่ได้ให้เราละเมิดความเป็นส่วนตัวเช่นนั้น แต่หมายถึงการบันทึก Header หรือร่องรอยการเดินทางของข้อมูล ได้แก่

• ระบุตัวตนผู้ใช้ (Identity): ชื่อผู้ใช้งาน (Username), หมายเลข IP Address ที่ได้รับ assign และหมายเลข MAC Address ของอุปกรณ์
• เวลาที่ใช้งาน (Timestamp): เวลาที่เริ่มเชื่อมต่อ (Log-in) และเวลาที่เลิกเชื่อมต่อ (Log-out) ที่ตรงกับเวลามาตรฐาน
• ปลายทางที่ติดต่อ (Destination): หมายเลข IP Address หรือ Domain Name ปลายทาง รวมถึง Port ที่ใช้งาน

ดังนั้น ระบบเครือข่ายของ SME จะต้องมีกลไกที่จับคู่ระหว่าง อุปกรณ์ (MAC Address) + ผู้ใช้งาน (Username/User ID) + เวลา (Time) + ปลายทาง (Destination IP) เข้าด้วยกันอย่างชัดเจน

3 หลักการสำคัญในการจัดเก็บ Log ให้ถูกต้องตามกฎหมาย

การเก็บแค่ไฟล์สคริปต์ไว้ในคอมพิวเตอร์เครื่องใดเครื่องหนึ่งไม่ถือว่าถูกต้องตามกฎหมายนะครับ ประกาศกระทรวงฯ ได้กำหนดมาตรฐานทางเทคนิคของการ จัดเก็บ Log ไว้ 3 ข้อหลักที่ผมสรุปให้เข้าใจง่ายๆ ดังนี้ครับ

1. ระยะเวลาในการเก็บรักษา (ไม่น้อยกว่า 90 วัน)

กฎหมายบังคับว่า พ.ร.บ.คอมพิวเตอร์ 90 วัน คือระยะเวลาขั้นต่ำที่สุดที่ SME ต้องจัดเก็บ Log ไว้อย่างต่อเนื่องนับตั้งแต่วันที่ข้อมูลเกิดขึ้น และในกรณีจำเป็น เจ้าหน้าที่อาจสั่งให้เก็บรักษาไว้เป็นพิเศษได้สูงสุดไม่เกิน 2 ปีสำหรับกรณีเฉพาะเจาะจง

2. ความน่าเชื่อถือและความถูกต้องของข้อมูล (Time Synchronization & Integrity)

อุปกรณ์ Network ทุกตัว เช่น Router, Firewall และ Log Server ต้องมีการเทียบเวลาให้ตรงกับเวลามาตรฐานสากล (NTP - Network Time Protocol) โดยต้องมีค่าความคลาดเคลื่อนไม่เกิน 10 มิลลิวินาที นอกจากนี้ ไฟล์ Log ที่เก็บไว้ต้องมีกระบวนการทำ Hash (เช่น SHA-256) เพื่อยืนยันว่าไม่มีใครเข้าไปแก้ไข ลบ หรือดัดแปลงไฟล์ Log ย้อนหลังได้

3. การรักษาความปลอดภัยของ Log (Access Control & Security)

ไฟล์ Log ถือเป็นข้อมูลสำคัญและส่วนบุคคล ต้องมีการกำหนดสิทธิ์เข้าถึง (Access Control) เฉพาะผู้ดูแลระบบที่ได้รับมอบหมายเท่านั้น และต้องเก็บไว้ในสถานที่หรือเซิร์ฟเวอร์ที่มีความปลอดภัย มีระบบ Backup ข้อมูลอย่างสม่ำเสมอ

แนวทางการวางระบบ Log สำหรับ SME ที่ทำได้จริงและประหยัดงบ

ในฐานะวิศวกรเครือข่าย ผมมักจะแนะนำแนวทางการวางระบบ Log ให้เหมาะกับขนาดและงบประมาณของ SME โดยแบ่งออกเป็น 2 รูปแบบหลักๆ ดังนี้ครับ

รูปแบบที่ 1: SME ขนาดเล็ก (พนักงาน 10-30 คน)

สำหรับบริษัทขนาดเล็กที่ใช้ MikroTik เป็น Main Router สามารถตั้งค่าส่ง Syslog ออกมายังอุปกรณ์จัดเก็บข้อมูลส่วนกลางได้ เช่น การใช้ Syslog Server ติดตั้งบน Synology NAS หรือ PC ที่เปิดทิ้งไว้ โดยทำการแยก Partition และใส่รหัสผ่านล็อกไว้ วิธีนี้ประหยัดและได้มาตรฐานตาม พ.ร.บ.คอมพิวเตอร์ SME ในระดับเริ่มต้น

รูปแบบที่ 2: SME ขนาดกลาง และธุรกิจที่มี Hotspot/WiFi (30-100+ คน)

หากองค์กรของคุณมีผู้ใช้นอก เช่น ลูกค้า ซัพพลายเออร์ หรือทำธุรกิจโรงแรม/อพาร์ตเมนต์ การใช้แค่ Syslog จะไม่เพียงพอ เพราะระบุตัวตนคนใช้งานได้ยาก Solution ที่ดีที่สุดคือการทำ Centralized Log ร่วมกับระบบ Captive Portal และ Authentication Server (RADIUS) โดยผู้ใช้ทุกคนต้องยืนยันตัวตนด้วย SMS, Social Login หรือบัญชีส่วนบุคคลก่อนใช้งาน WiFi จากนั้นระบบจะส่ง Log ทั้งหมดไปเก็บไว้ที่ Centralized Log Server ที่ได้รับการรับรองมาตรฐาน

สรุปจากประสบการณ์: อย่ารอให้เกิดเรื่องแล้วค่อยแก้

การจัดระบบ ข้อมูลจราจรทางคอมพิวเตอร์ ให้ถูกต้อง ไม่ใช่แค่เรื่องของการปฏิบัติตามกฎหมายเพื่อเลี่ยงโทษปรับเท่านั้นครับ แต่มันคือการสร้างความมั่นคงปลอดภัยให้กับ Infrastructure ขององค์กรคุณเองด้วย เมื่อเกิดเหตุการณ์ผิดปกติ เช่น โดนไวรัส Ransomware โดนยิง DDoS หรือมีข้อมูลรั่วไหล ไฟล์ Log เหล่านี้แหละครับที่จะเป็นหลักฐานชิ้นสำคัญที่สุดในการช่วยวิเคราะห์และหาต้นตอของปัญหาได้อย่างรวดเร็ว

หากองค์กรของคุณยังไม่มีความแน่ใจว่าระบบ Log ที่ใช้อยู่ถูกต้องตามกฎหมายหรือไม่ หรือต้องการวางระบบ Centralized Log ที่ได้มาตรฐาน สามารถติดต่อผมและทีมงาน SIAM-LOGIN เพื่อขอคำปรึกษาและประเมินความเสี่ยงระบบ Network ได้ตลอดเวลาครับ