วิธีตั้งค่าและจัดเก็บ Log ตาม พ.ร.บ. คอมพิวเตอร์ 90 วัน สำหรับองค์กร

8 ใน 10 องค์กรที่ผมได้มีโอกาสเข้าไปตรวจเช็กและวางระบบ Network มักเข้าใจผิดว่า การมี Router MikroTik แล้วเปิดบันทึกไฟล์ทิ้งไว้ หรือเสียบ Flash Drive ต่อไว้ท้ายอุปกรณ์ คือการเก็บ Log ที่ถูกต้องตามกฎหมายแล้ว แต่พอเกิดเหตุการณ์ศาลหรือเจ้าหน้าที่ขอสืบค้นข้อมูลจริง ล็อกที่มีกลับใช้งานไม่ได้เลย เพราะข้อมูลไม่ครบถ้วน เวลาไม่ตรง หรือไฟล์โดนบันทึกทับจนหายไปหมดครับ

การจัดเก็บ Log ตาม พ.ร.บ. คอมพิวเตอร์ ไม่ใช่เรื่องของการซื้ออุปกรณ์มาตั้งทิ้งไว้ แต่เป็นเรื่องของความถูกต้องของกระบวนการสืบค้นย้อนหลังอย่างน้อย 90 วัน วันนี้ผมเลยอยากนำประสบการณ์จากการวางระบบจัดเก็บ Log ให้กับอพาร์ตเมนต์ โรงแรม และสำนักงานหลายแห่ง มาสรุปให้ฟังว่าต้องตั้งค่าอย่างไรให้ถูกต้อง ปลอดภัย และใช้งานได้จริงเวลาเกิดปัญหาครับ

ทำไมการเก็บบันทึก Log ไว้บน MikroTik Router ถึงไม่พอ?

เวลาผมเข้าไปเซตระบบให้ลูกค้า คำถามแรกๆ ที่มักจะเจอเสมอคือ "ช่างครับ mikroTik มีที่เก็บข้อมูลในตัว ทำไมต้องทำ Syslog Server แยกออกมาอีก?" คำตอบมีอยู่ 3 ข้อหลักๆ ครับ

• พื้นที่เก็บข้อมูลของ Router มีจำกัด: อุปกรณ์ Routerboard ส่วนใหญ่มีหน่วยความจำ Flash ขนาดเล็ก หากบันทึก Traffic ทั้งหมดลงในตัว ไม่เกิน 2-3 วัน ความจำก็เต็ม หรือเลวร้ายกว่านั้นคือทำให้ Router ทำงานหนักจนแฮงก์
• ข้อมูลหายเมื่อ Reboot: หากบันทึกไว้ใน RAM (Memory) ของ Router เมื่อไฟดับหรือมีการรีสตาร์ท ข้อมูลการใช้งานทั้งหมดจะหายทันที
• ขาดความน่าเชื่อถือทางกฎหมาย: ล็อกที่ดีตาม พ.ร.บ. คอมพิวเตอร์ 2560 ต้องมีมาตรการป้องกันการแก้ไขเปลี่ยนแปลง (Integrity) การเก็บไว้บนตัวอุปกรณ์ที่ใครก็เข้าถึงและกดลบได้ง่าย ถือว่าขาดน้ำหนักในการนำไปใช้เป็นหลักฐานทางกฎหมาย

4 องค์ประกอบสำคัญของการเก็บ Log ให้ถูกต้องตาม พ.ร.บ. คอมพิวเตอร์

ตามประกาศกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม เรื่องหลักเกณฑ์การเก็บรักษาข้อมูลจราจรทางคอมพิวเตอร์ของผู้ให้บริการ ระบบจัดเก็บ Log ที่ดีต้องมีองค์ประกอบสำคัญ 4 ประการดังนี้ครับ

1. การระบุตัวตนของผู้ใช้งาน (Identification & Authentication)

ระบบต้องบันทึกได้ว่า ใครเป็นผู้ใช้งาน เช่น Username จากระบบ WiFi Hotspot หรือ RADIUS Server รวมไปถึงการจับคู่กับ MAC Address ของเครื่องลูกข่าย และ IP Address ที่ได้รับในขณะนั้น

2. ข้อมูลการเชื่อมต่อที่ครบถ้วน (Traffic Data)

ต้องระบุ IP Address ฝั่งขาออก (Source IP/Port) และ Destination IP/Port รวมถึงเวลาที่เริ่มและสิ้นสุดการเชื่อมต่ออย่างชัดเจน

3. ความถูกต้องของเวลา (Time Synchronization)

ข้อนี้สำคัญมากครับ เวลาในระบบ Log ทุกตัวต้องตรงกับเวลามาตรฐาน โดยต้องตั้งค่าให้ Router และ Centralized Log Server ซิงก์เวลาผ่าน NTP Server (Network Time Protocol) ของออฟฟิเชียล เช่น time.navy.mi.th หรือ pool.ntp.org เสมอ หากเวลาคลาดเคลื่อนเกินกว่าที่กฎหมายกำหนด ข้อมูลนั้นจะใช้เป็นหลักฐานไม่ได้ทันที

4. การรักษาความปลอดภัยและความคงอยู่ของข้อมูล 90 วัน

ข้อมูล Log ต้องถูกจัดเก็บย้อนหลังไม่น้อยกว่า 90 วัน (หรือสูงสุด 2 ปีในกรณีที่เจ้าหน้าที่มีคำสั่งพิเศษ) และต้องมีกระบวนการทำ Hash Checksum เพื่อยืนยันว่าไฟล์ Log ไม่ได้ถูกแอบแก้ไขหรือดัดแปลง

ขั้นตอนการตั้งค่า MikroTik ให้ส่ง Syslog ไปยัง Log Server

การทำ Centralized Log ร่วมกับ MikroTik Router มีขั้นตอนปฏิบัติที่ผมใช้งานจริงในโครงการต่างๆ ดังนี้ครับ

ขั้นตอนที่ 1: ตั้งค่าเวลาบน MikroTik ให้แม่นยำ

เข้าไปที่เมนู System > NTP Client เปิดใช้งาน (Enable) แล้วใส่ NTP Server เช่น 203.185.69.60 (time.navy.mi.th) จากนั้นไปที่ System > Clock ตั้งค่า Time Zone ให้เป็น Asia/Bangkok

ขั้นตอนที่ 2: ตั้งค่า Remote Logging

ไปที่เมนู System > Logging ในแท็บ Actions ให้เพิ่ม Action ใหม่ เลือก Type เป็น remote ระบุ Remote Address เป็น IP Address ของ Syslog Server หรือ Log Appliance ที่เราเตรียมไว้ พร้อมกำหนด Remote Port (ค่าเริ่มต้นคือ UDP 514)

ขั้นตอนที่ 3: กำหนด Rules ข้อมูลที่ต้องการส่ง

ในแท็บ Topics กำหนดให้ส่งข้อมูล account, firewall, และ hotspot ไปยัง Action ที่เราสร้างขึ้น เพื่อให้เซิร์ฟเวอร์ปลายทางทำการบันทึก Log การเชื่อมต่อเข้าออกทั้งหมดอย่างละเอียด

แนวทางการเลือก Log Server ให้เหมาะกับขนาดองค์กร

จากประสบการณ์ของผม การเลือกโซลูชัน Log Server ขึ้นอยู่กับจำนวนผู้ใช้งานและงบประมาณเป็นหลักครับ

• องค์กรขนาดเล็ก (ผู้ใช้ไม่เกิน 50 คน): สามารถใช้ Mini PC หรือ NAS (เช่น Synology/QNAP) ที่มีแอปพลิเคชัน Syslog Server ในตัว พร้อมต่อ Harddisk เกรด Enterprise เพื่อบันทึกข้อมูล
• องค์กรขนาดกลาง-ใหญ่ (ผู้ใช้ 100 คนขึ้นไป): ควรใช้ Dedicated Log Server ที่รันบน Linux (เช่น RSyslog + Graylog หรือ ELK Stack) หรือเลือกใช้ Log Appliance สำเร็จรูปที่ผ่านอนุมัติมาตรฐาน มอ.3001 เพื่อความสะดวกในการตรวจสอบและจัดเก็บ

สรุปคำแนะนำจากประสบการณ์จริง

การตั้งค่าและจัดเก็บ Log ตาม พ.ร.บ. คอมพิวเตอร์ ไม่ใช่เรื่องยุ่งยากหากเราวางโครงสร้างระบบตั้งแต่แรกให้ถูกต้องครับ หัวใจสำคัญคือการซิงก์เวลาผ่าน NTP Server การระบุตัวตนด้วย RADIUS หรือ Hotspot และการจัดส่งข้อมูลด้วย Syslog Server ไปยังพื้นที่จัดเก็บที่ปลอดภัย หากองค์กรของคุณกำลังปรับปรุงระบบ Network และต้องการคำปรึกษาด้านการจัดเก็บ Log ให้ถูกต้อง สามารถติดต่อสอบถาม SIAM-LOGIN เพื่อประเมินหน้างานได้เสมอครับ