PDPA มาตรา 37 กับ Cybersecurity

1. Access Control และ Least Privilege

องค์กรควรกำหนดว่าใครเข้าถึงข้อมูลส่วนบุคคลได้บ้าง และเข้าถึงได้เท่าที่จำเป็นต่อหน้าที่เท่านั้น

สิ่งที่ควรมี:

• Role-based access control
• Least privilege
• Privileged access management
• การทบทวนสิทธิ์เป็นระยะ
• การถอนสิทธิ์พนักงานที่ลาออกหรือย้ายตำแหน่ง

2. Identity, Authentication และ MFA

การยืนยันตัวตนเป็นจุดเริ่มต้นของการป้องกันข้อมูลส่วนบุคคล

ระบบที่เกี่ยวข้องกับข้อมูลสำคัญควรมี:

• Strong authentication
• Multi-factor authentication หรือ MFA
• Password policy ที่เหมาะสม
• การจัดการบัญชี service account และ admin account
• การป้องกัน credential reuse

3. Logging และ Audit Trail

หากเกิดเหตุผิดปกติ องค์กรต้องรู้ให้ได้ว่าใครเข้าถึงข้อมูลอะไร เมื่อไร และทำอะไร

ระบบควรรองรับ:

• Access logs
• Admin activity logs
• Data modification logs
• Audit trail สำหรับการเข้าถึง แก้ไข หรือลบข้อมูล
• Log retention ที่เหมาะสมกับความเสี่ยง

4. Vulnerability Management

ข้อมูลส่วนบุคคลมักรั่วไหลจากช่องโหว่ที่องค์กรไม่รู้ว่ามีอยู่

องค์กรควรมีการตรวจสอบอย่างต่อเนื่อง เช่น:

• Vulnerability Assessment
• Web Application Testing
• API Security Testing
• Network Security Testing
• Cloud Configuration Assessment
• Retest หลัง remediation

5. Secure Configuration และ Hardening

ระบบที่ตั้งค่าไม่ปลอดภัยอาจเปิดช่องให้ผู้โจมตีเข้าถึงข้อมูลได้ง่าย

ควรตรวจสอบ:

• Server hardening
• Database access control
• Cloud IAM settings
• Public storage exposure
• Backup and encryption settings
• Firewall and network segmentation

6. Monitoring และ Incident Response

มาตรการป้องกันอย่างเดียวไม่พอ องค์กรต้องตรวจจับและตอบสนองได้เมื่อเกิดเหตุ

ควรมี:

• Security monitoring
• Alerting สำหรับพฤติกรรมผิดปกติ
• Incident Response process
• Data breach escalation workflow
• Backup and recovery plan
• Tabletop หรือ Cyber Drill Exercise