สรุป พ.ร.บ. คอมพิวเตอร์ WiFi: วิธีเก็บ Log 90 วัน ให้ถูกต้อง

80% ของโรงแรม ร้านกาแฟ และหอพักที่ผมเคยเข้าไปรีเซ็ตระบบ WiFi ไม่เคยรู้เลยว่าตัวเองกำลังเสี่ยงถูกปรับสูงสุดถึง 500,000 บาท ตาม พ.ร.บ. คอมพิวเตอร์ เพียงเพราะเข้าใจผิดว่าแค่ตั้งรหัสผ่าน WiFi แล้วเปิดให้ลูกค้าใช้ก็เพียงพอแล้ว บทสนทนาส่วนใหญ่ที่ผมได้ยินจากเจ้าของธุรกิจคือ "เรามี WiFi ฟรีบริการ แต่ถ้ามีคนแอบเอาไปทำเรื่องผิดกฎหมาย เราจะซวยไหม?"

คำตอบจากประสบการณ์การเป็นวิศวกรเครือข่ายที่ดูแลระบบให้ลูกค้ามานับร้อยแห่งคือ ถ้าคุณไม่มีระบบจัดเก็บข้อมูลจราจรทางคอมพิวเตอร์ หรือ Traffic Log ที่สามารถระบุตัวตนผู้ใช้งานย้อนหลังได้อย่างน้อย 90 วัน ความรับผิดชอบทั้งหมดจะตกอยู่กับเจ้าของสถานที่ทันทีครับ เพราะกฎหมายถือว่าคุณเป็นผู้ให้บริการอินเทอร์เน็ตประเภทหนึ่งที่ไม่ปฏิบัติตามมาตรฐานความปลอดภัย

ผู้ให้บริการ WiFi หมายถึงใครบ้าง ตาม พ.ร.บ. คอมพิวเตอร์?

หลายคนมักเข้าใจผิดว่าคำว่า "ผู้ให้บริการ" หมายถึงเฉพาะค่ายมือถือหรือบริษัทผู้ให้บริการอินเทอร์เน็ตรายใหญ่เท่านั้น แต่ในทางกฎหมาย ตามประกาศกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม (MDES) คำว่าผู้ให้บริการครอบคลุมถึงทุก entity ที่เปิดช่องทางเชื่อมต่ออินเทอร์เน็ตให้ผู้อื่นใช้งาน ได้แก่:

• สถานประกอบการบริการ: โรงแรม รีสอร์ต อพาร์ตเมนต์ และหอพักให้เช่า
• ร้านค้าและร้านอาหาร: ร้านกาแฟ คาเฟ่ Co-working Space และร้านอาหารทั่วไป
• องค์กรและสำนักงาน: บริษัทเอกชน โรงเรียน และหน่วยงานต่างๆ ที่เปิดระบบ พ.ร.บ. คอมพิวเตอร์ WiFi ให้พนักงานหรือ Guest ใช้งาน

ดังนั้น หากคุณเปิด router แจกสัญญาณอินเทอร์เน็ตให้ลูกค้าหรือบุคคลภายนอก คุณคือผู้ให้บริการที่มีหน้าที่ต้องจัดเก็บข้อมูลตามกฎหมายทันทีครับ

ข้อมูล Log ที่ถูกต้อง 90 วัน ต้องมีรายละเอียดอะไรบ้าง?

การเก็บ Log ไม่ใช่แค่การแคปหน้าจอ หรือเซฟไฟล์ข้อความธรรมดาๆ ไว้ในเครื่องคอมพิวเตอร์นะครับ ข้อมูลจราจรทางคอมพิวเตอร์ที่สืบค้นและนำไปใช้เป็นหลักฐานในชั้นศาลได้ ต้องมีความสมบูรณ์ตามหลักเกณฑ์ โดยต้องมีองค์ประกอบสำคัญ 4 ส่วนนี้:

1. ข้อมูลการยืนยันตัวตนผู้ใช้งาน (Authentication Log)

ต้องมีระบบ ตรวจสอบตัวตน ที่ระบุได้ชัดเจนว่าใครเป็นคนใช้งาน ณ ช่วงเวลานั้น เช่น ชื่อ-นามสกุล, เลขบัตรประชาชน, เบอร์โทรศัพท์ หรือ Username ที่ลงทะเบียนผ่านระบบ Captive Portal ไม่ใช่การเปิด WiFi เสรีแบบแจกรหัสผ่านรวมที่ใครๆ ก็เข้าถึงได้โดยไม่ระบุตัวตน

2. ข้อมูลการระบุอุปกรณ์ (Network Log)

ต้องบันทึกทั้ง IP Address ที่แจกจ่ายจาก DHCP Server และที่สำคัญที่สุดคือ MAC Address ของอุปกรณ์ (เช่น สมาร์ตโฟน โน้ตบุ๊ก หรือแท็บเล็ต) ที่เชื่อมต่อเข้ามาในระบบเครือข่าย

3. ข้อมูลเวลาที่แม่นยำ (Timestamp)

เวลาบันทึกการเชื่อมต่อ (Login) และการตัดการเชื่อมต่อ (Logout) ต้องซิงก์ตรงกับ NTP Server (Network Time Protocol) มาตรฐานของรัฐหรือสถาบันสากล เพื่อให้อ้างอิงเวลาตรงกัน ห้ามใช้เวลาจากนาฬิกาเครื่องคอมพิวเตอร์ที่อาจคลาดเคลื่อนได้

4. ข้อมูลการใช้งานเครือข่าย (Destination Log)

ต้องบันทึก IP Address ขาออก (Public IP) และ Source/Destination Port ที่เชื่อมต่อไปยังอินเทอร์เน็ตภายนอก เพื่อให้สามารถแกะรอยย้อนกลับได้เมื่อเกิดคดีความทางไซเบอร์

3 ข้อผิดพลาดฮิตที่ทำให้ Log ใช้เป็นหลักฐานไม่ได้

จากประสบการณ์ที่ผมเข้าไปตรวจสอบระบบเครือข่ายให้ลูกค้าหลายแห่ง มักจะเจอข้อผิดพลาดฮิต 3 ข้อนี้ที่ทำให้ Log ที่เก็บไว้ กลายเป็นเพียงไฟล์ขยะที่กฎหมายไม่ยอมรับ:

1. เวลาบน Router หรือ Server เดินไม่ตรง: หากเกิดคดีความขึ้นมา แต่ไฟล์บันทึกเวลาคลาดเคลื่อนไปเพียง 5-10 นาที ข้อมูลชุดนั้นจะถูกศาลปฏิเสธทันทีเพราะขาดความน่าเชื่อถือ

2. เก็บ Log แต่ระบุตัวตนไม่ได้: หลายแห่งเปิดเก็บบันทึก MikroTik Log ไว้เต็มฮาร์ดดิสก์ แต่ไม่มีระบบ RADIUS Server หรือ Captive Portal คอยจับคู่ผู้ใช้งาน พอเจ้าหน้าที่ขอข้อมูลมา มีแต่รายการ IP Address กับ MAC Address แต่ไม่รู้ว่าใครเป็นเจ้าของอุปกรณ์นั้น

3. บันทึกลงในสื่อที่แก้ไขดัดแปลงได้ง่าย: Log ที่ถูกต้องตามกฎหมายต้องจัดเก็บในระบบที่ป้องกันการแก้ไข ดัดแปลง หรือลบข้อมูล (Data Integrity) และต้องมีการทำ Hash Code เพื่อยืนยันความถูกต้องของไฟล์ข้อมูล

แนวทางตั้งค่าระบบ WiFi ให้ถูกต้องตามกฎหมายอย่างยั่งยืน

การทำระบบเก็บ Log 90 วัน ไม่จำเป็นต้องลงทุนซื้อเซิร์ฟเวอร์ราคาหลายแสนบาทเสมอไปครับ จากประสบการณ์การออกแบบระบบของ SIAM-LOGIN ผมแนะนำแนวคิดการวางระบบที่ประหยัดและได้มาตรฐาน ดังนี้:

• ใช้ MikroTik ทำงานร่วมกับ RADIUS Server: ตั้งค่าให้ MikroTik Router ทำหน้าที่ส่งทราฟฟิกและจัดการระบบล็อกอิน ส่วนการจัดเก็บและตรวจสอบตัวตนให้ส่งไปที่ RADIUS Server เพื่อสร้างรหัสผ่านรายบุคคลหรือยืนยันตัวตนด้วย SMS OTP
• ส่งข้อมูลไปยัง Syslog Server ศูนย์กลาง: ตั้งค่าอุปกรณ์เครือข่ายให้ส่ง Traffic Log ทั้งหมดไปเก็บบน Centralized Syslog Server หรือระบบ Cloud Log ที่ปลอดภัย เพื่อป้องกันกรณีอุปกรณ์เน็ตเวิร์กชำรุดแล้วข้อมูลสูญหาย
• กำหนดการตั้งค่า NTP Server ทุกอุปกรณ์: ตั้งค่า Access Point, Switch และ Router ทุกตัวในองค์กรให้ซิงก์เวลาตรงกับ time.navy.mi.th หรือ ntp.nectec.or.th อยู่เสมอ

สรุปจากประสบการณ์ตรงของผม

การเก็บ Log ให้ถูกต้องตาม พ.ร.บ. คอมพิวเตอร์ ไม่ใช่เรื่องยุ่งยากหรือเป็นภาระทางธุรกิจอย่างที่หลายคนกังวลครับ หากเราวางโครงสร้าง Network Security และวางระบบยืนยันตัวตนให้ถูกต้องตั้งแต่แรก นอกจากจะช่วยปกป้องธุรกิจของคุณจากการโดนโทษปรับตามกฎหมายแล้ว ยังช่วยให้คุณจัดการ Bandwidth และดูแลความปลอดภัยในระบบเครือข่ายได้อย่างมีประสิทธิภาพอีกด้วย หากคุณยังไม่มั่นใจว่าระบบ WiFi ที่ใช้งานอยู่เก็บ Log ได้ถูกต้อง 90 วัน หรือยัง ทีมงาน SIAM-LOGIN พร้อมให้คำแนะนำและออกแบบระบบที่เหมาะสมกับไซส์ธุรกิจของคุณครับ