ระบบ SIAM-LOGIN Authentik ช่วยจัดการยืนยันตัวตน WiFi และ PDPA อย่างไร

80% ขององค์กรและธุรกิจบริการที่ผมเคยเข้าไปตรวจเช็กระบบ WiFi ไม่เคยจัดเก็บ Traffic Log ได้ถูกต้องตรงตามมาตรฐานกฎหมาย และเกิน 90% ยังคงใช้ระบบหน้าล็อกอินแบบเดิมที่เก็บข้อมูลส่วนบุคคลของผู้ใช้งานโดยไม่มีการขอความยินยอม (Consent) ซึ่งสุ่มเสี่ยงต่อการโดนปรับตาม พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล หรือ PDPA สูงถึง 5 ล้านบาทโดยไม่รู้ตัว

ตลอดหลายปีที่ผมทำงานในฐานะวิศวกรระบบเครือข่าย ปัญหาที่ผมเจอบ่อยที่สุดไม่ใช่เรื่องสัญญาณ WiFi ไม่แรง แต่เป็นเรื่องของ ระบบยืนยันตัวตน WiFi PDPA ที่ซับซ้อน ผู้ดูแลระบบไอทีหลายคนต้องรับศึกสองด้าน ด้านหนึ่งต้องทำตาม พ.ร.บ. การกระทำความผิดเกี่ยวกับคอมพิวเตอร์ ที่บังคับให้ระบุตัวตนและเก็บ Log ยาวนานอย่างน้อย 90 วัน อีกด้านหนึ่งก็ต้องปฏิบัติตามกฎหมาย PDPA ที่ห้ามเก็บข้อมูลส่วนบุคคลเกินความจำเป็น และต้องมีระบบจัดการสิทธิ์ Data Subject ที่ชัดเจน

นั่นคือเหตุผลที่ผมพัฒนาและเลือกใช้โซลูชัน SIAM-LOGIN Authentik เข้ามาจัดการปัญหานี้ให้จบในระบบเดียวครับ

ทำไม Captive Portal แบบเดิมถึงไม่เพียงพอสำหรับกฎหมายยุคนี้?

ระบบ Hotspot หรือ Captive Portal ยุคเก่าที่แถมมากับตัวกระจายสัญญาณ หรือการใช้สคริปต์ล็อกอินง่ายๆ บน Router มักจะมีจุดอับเชิงกฎหมายอยู่ 3 ข้อใหญ่ๆ ที่ผมเจอประจำ:

• ไม่มีระบบ Consent Management ที่ถูกต้อง: กฎหมาย PDPA ระบุชัดเจนว่า การเก็บชื่อ เบอร์โทรศัพท์ เบอร์ห้อง หรืออีเมล ต้องมีการแจ้งวัตถุประสงค์และให้ผู้ใช้กดติ๊กยอมรับ Privacy Notice ก่อนเสมอ แต่ระบบเก่ามักเป็นเพียงช่องพิมพ์ข้อความธรรมดา
• การจัดเก็บรหัสผ่านและข้อมูลแบบ Unencrypted: RADIUS Server รุ่นเก่าบางตัวเก็บข้อมูลผู้ใช้เป็น Plain Text หรือไม่ได้เข้ารหัสตามมาตรฐานความปลอดภัยที่เหมาะสม หากเซิร์ฟเวอร์โดนแฮก ข้อมูลลูกค้าจะหลุดทันที
• ขาดการเชื่อมต่อกับ Identity Provider ยุคใหม่: ยุคนี้องค์กรใช้ Microsoft 365, Google Workspace หรือ Social Login กันหมดแล้ว การมานั่งสร้าง Username/Password แยกบนระบบ Hotspot ทำให้จัดการสิทธิ์ยากและเกิดช่องโหว่ความปลอดภัย

SIAM-LOGIN Authentik คืออะไร และเข้ามาแก้ปัญหานี้อย่างไร?

ในฐานะผู้ให้บริการ SIAM-LOGIN ผมได้นำ Authentik ซึ่งเป็น Unified Identity Provider (IdP) ระดับ Open-Source ชนิด Modern Architecture มาปรับแต่งและเชื่อมต่อเข้ากับระบบ RADIUS Server และ MikroTik Hotspot รวมถึง WiFi Controller แบรนด์ชั้นนำอย่าง UniFi, Aruba และ Ruckus

ระบบ SIAM-LOGIN Authentik ไม่ใช่แค่หน้าล็อกอินสวยๆ แต่ทำหน้าที่เป็นศูนย์กลางการยืนยันตัวตน (Centralized Authentication Framework) ที่ควบคุมทั้งเรื่อง Security และ Compliance ไปพร้อมกัน

4 ฟีเจอร์หลักที่ช่วยให้ระบบ WiFi ของคุณปลอดภัยและถูกต้องตาม PDPA

1. ระบบจัดการความยินยอมแบบไดนามิก (PDPA Consent Management)

เมื่อผู้ใช้งานเชื่อมต่อ WiFi หน้า Captive Portal จะแสดงข้อความ Privacy Policy ที่สามารถอัปเดตเวอร์ชันได้ ผู้ใช้งานต้องกดยอมรับ เงื่อนไขถึงจะเข้าใช้งานได้ โดยระบบ SIAM-LOGIN Authentik จะทำการบันทึก Timestamp, IP Address, MAC Address และเวอร์ชันของ Consent ที่ผู้ใช้กดยอมรับลงในฐานข้อมูลที่ปลอดภัยอย่างพิสูจน์ได้

2. รองรับ Single Sign-On (SSO) และ Multi-Factor Authentication (MFA)

สำหรับพนักงานในองค์กร ไม่จำเป็นต้องแจก WPA2-Enterprise Pre-Shared Key ที่รั่วง่ายอีกต่อไป ผมทำการเชื่อม Authentik เข้ากับ Azure AD (Entra ID) หรือ Google Workspace ผ่านโปรโตคอล OAuth2 / SAML 2.0 ทำให้พนักงานใช้ Account บริษัทล็อกอิน WiFi ได้ทันที และหากต้องการความปลอดภัยขั้นสุด ก็สามารถเปิดใช้งาน MFA หรือ Passkey ได้ด้วย

3. การเชื่อมโยงข้อมูล Identity เข้ากับ Centralized Log (พ.ร.บ. คอมพิวเตอร์)

ในการทำงานจริง ระบบ Authentik จะส่งข้อมูลพิสูจน์ตัวตนผ่าน RADIUS ไปยัง MikroTik หรือ Core Switch เมื่อเกิดเหตุการณ์ผิดปกติ อุปกรณ์จะส่ง Syslog ไปยัง Log Server ศูนย์กลาง โดย Log ที่ได้จะมีทั้ง IP Address, MAC Address, Port, เวลาเข้า-ออก และ Identity ของผู้ใช้งานอย่างครบถ้วนถูกต้องตาม พ.ร.บ. คอมฯ โดยที่ข้อมูลส่วนบุคคลถูกเข้ารหัส (Encrypted at Rest) ไว้ใน Authentik

4. การบริหารจัดการสิทธิ์ข้อมูลส่วนบุคคล (Right to be Forgotten)

ข้อบังคับสำคัญของ PDPA คือผู้ใช้มีสิทธิ์ขอลบข้อมูลส่วนตัว (Data Erasure) หากใช้ระบบเก่า การลบข้อมูลผู้ใช้อาจไปกระทบกับ Log ทางกฎหมาย แต่ด้วยโครงสร้างของ SIAM-LOGIN Authentik เราสามารถทำ Anonymization หรือการแปลงข้อมูลส่วนตัวให้เป็นนามสมมุติในระบบ Auth ในขณะที่ยังคงรักษารายงาน Log การใช้งานทางเทคนิคไว้ตามระยะเวลาที่กฎหมายกำหนดได้โดยไม่ขัดกัน

สถาปัตยกรรมระบบจริงที่ผมติดตั้งให้กับลูกค้า

เวลาผมวางระบบให้ลูกค้าองค์กรหรือโรงแรม ผมจะออกแบบการเชื่อมต่อแบบเป็นลำดับชั้น เพื่อให้ระบบทำงานได้เสถียรที่สุด:

• User Device: เชื่อมต่อ SSID (เช่น Corporate-WiFi หรือ Guest-WiFi)
• Access Point / Router: ดักจับ Traffic และ Redirect ผู้ใช้ไปยังหน้า Captive Portal
• SIAM-LOGIN Authentik Core: ประมวลผลการยืนยันตัวตน ตรวจสอบ Consent และออก Session Token
• RADIUS Server Integration: ส่งสัญญาณ RADIUS Accept/Reject กลับไปยัง MikroTik Hotspot หรือ Controller เพื่อเปิด-ปิดการจราจรบนเครือข่าย
• Encrypted Syslog Storage: บันทึก Traffic Log ลงในเซิร์ฟเวอร์แบบ Read-Only ที่แก้ไขไม่ได้

สรุป: การลงทุนกับระบบยืนยันตัวตนที่ถูกต้อง คุ้มค่ากว่าการเสี่ยงโดนปรับ

การทำระบบ WiFi ในปัจจุบัน ไม่ใช่แค่เรื่องของการปล่อยให้คนเล่นอินเทอร์เน็ตได้อีกต่อไปครับ แต่เป็นเรื่องของการบริหารจัดการความเสี่ยง (Risk Management) ทั้งจากภัยคุกคามไซเบอร์และข้อบังคับทางกฎหมาย

ประสบการณ์ของผมในการวางระบบให้ลูกค้าหลายสิบแห่งชี้ให้เห็นชัดเจนว่า การใช้โซลูชัน SIAM-LOGIN Authentik ช่วยลดงานบริหารจัดการของฝ่ายไอทีลงได้มากกว่า 60% พนักงานใช้งานง่ายขึ้นผ่าน Single Sign-On และที่สำคัญที่สุดคือ เจ้าของธุรกิจนอนหลับสบายใจ เพราะรู้ว่าระบบเครือข่ายของตนเองปฏิบัติตามกฎหมาย PDPA และ พ.ร.บ. คอมพิวเตอร์อย่างครบถ้วนแล้ว หากคุณกำลังมองหาระบบยืนยันตัวตน WiFi ที่ตอบโจทย์องค์กรยุคใหม่ ปรึกษาผมและทีมงาน SIAM-LOGIN ได้ตลอดเวลาครับ