ข้อมูลในบริษัทปลอดภัยจริงหรือ? 5 จุดเสี่ยงที่ SME อาจมองข้าม

ลองนึกภาพบริษัทแห่งหนึ่งที่มีพนักงานประมาณ 30 คน ฝ่ายขายเก็บข้อมูลลูกค้าไว้ใน Excel ฝ่ายบัญชีมีไฟล์ใบแจ้งหนี้และหลักฐานการชำระเงิน ส่วนฝ่าย HR ก็จัดเก็บสำเนาบัตรประชาชน สัญญาจ้าง และข้อมูลเงินเดือนของพนักงานไว้ในโฟลเดอร์ส่วนกลาง

เอกสารเหล่านี้ถูกส่งต่อกันผ่านอีเมล แชร์ผ่าน Cloud และจัดเก็บไว้ในระบบต่าง ๆ เพื่อให้ทุกคนทำงานได้สะดวกขึ้น ทุกอย่างดูเหมือนจะเป็นเรื่องปกติของการทำธุรกิจ

แต่เคยสงสัยหรือไม่ว่า ใครสามารถเปิดดูข้อมูลเหล่านี้ได้บ้าง? หากพนักงานลาออก สิทธิ์เข้าถึงข้อมูลถูกยกเลิกแล้วหรือยัง? และหากวันหนึ่งมีไฟล์ข้อมูลลูกค้าถูกส่งผิดคน บริษัทจะรู้ได้อย่างไรว่าข้อมูลใดได้รับผลกระทบ? นี่คือปัญหาที่ธุรกิจ SME อาจกำลังเผชิญอยู่โดยไม่รู้ตัว เพราะในวันที่องค์กรเติบโตขึ้น ปริมาณข้อมูลที่ต้องดูแลก็เพิ่มขึ้นตามไปด้วย แต่กระบวนการจัดเก็บและควบคุมการเข้าถึงข้อมูลอาจไม่ได้รับการพัฒนาให้ทันกับการเติบโตของธุรกิจ

ข้อมูลที่ SME เก็บไว้ทุกวัน อาจมีความเสี่ยงมากกว่าที่คิด

สำหรับธุรกิจ SME ข้อมูลส่วนบุคคลไม่ได้อยู่แค่ในฐานข้อมูลลูกค้าหรือระบบ CRM เท่านั้น แต่อาจกระจายอยู่ในไฟล์ Excel กล่องอีเมล โฟลเดอร์ส่วนกลาง ระบบ Cloud หรือแม้แต่คอมพิวเตอร์ที่พนักงานใช้ทำงาน

ปัญหาจึงไม่ได้อยู่ที่องค์กรมีข้อมูลมากเกินไปเสมอไป แต่อยู่ที่องค์กรรู้จักข้อมูลเหล่านั้นดีพอหรือไม่ และมีวิธีดูแลข้อมูลอย่างเหมาะสมหรือยัง

ลองสำรวจดูว่าบริษัทของคุณกำลังเผชิญกับสถานการณ์เหล่านี้หรือไม่

1. ข้อมูลลูกค้าถูกแชร์ต่อกันจนไม่รู้ว่าใครเข้าถึงได้บ้าง

เพื่อให้ทำงานได้รวดเร็ว ฝ่ายขายอาจส่งไฟล์รายชื่อลูกค้าให้หลายแผนก หรือแชร์ลิงก์เอกสารให้บุคคลภายนอกโดยไม่ได้ตรวจสอบสิทธิ์อย่างละเอียด

ในบางกรณี ผู้รับอาจสามารถเปิดดูข้อมูลได้มากกว่าที่จำเป็น หรือยังคงเข้าถึงไฟล์ได้แม้จะไม่ได้ทำงานในโครงการนั้นแล้วเมื่อข้อมูลถูกแชร์ต่อหลายครั้ง องค์กรก็อาจติดตามได้ยากขึ้นว่าใครมีสิทธิ์เข้าถึงข้อมูลอยู่บ้าง

2. พนักงานลาออกแล้ว แต่สิทธิ์เข้าถึงระบบยังไม่ถูกยกเลิก

ลองนึกถึงพนักงานที่เคยทำงานกับข้อมูลลูกค้า มีสิทธิ์เข้าถึงอีเมลบริษัท หรือสามารถเปิดเอกสารสำคัญบน Cloud ได้ เมื่อพนักงานลาออก บริษัทอาจปิดบัญชีผู้ใช้งานหลักแล้ว แต่ยังไม่ได้ตรวจสอบสิทธิ์ที่เชื่อมโยงกับระบบอื่น หรือเอกสารที่เคยแชร์ให้บุคคลนั้น หากไม่มีขั้นตอนตรวจสอบอย่างเป็นระบบ องค์กรอาจมีช่องว่างในการควบคุมการเข้าถึงข้อมูลโดยไม่รู้ตัว

3. ส่งอีเมลผิดคนเพียงครั้งเดียว ก็อาจกลายเป็นเรื่องใหญ่

ในวันที่พนักงานต้องจัดการงานหลายอย่างพร้อมกัน ความผิดพลาดเล็กน้อยอาจเกิดขึ้นได้ เช่น ส่งไฟล์เงินเดือนให้ผู้รับผิดคน แนบเอกสารลูกค้าผิดฉบับ หรือส่งข้อมูลส่วนบุคคลไปยังอีเมลที่ไม่ควรได้รับข้อมูลนั้นเหตุการณ์ลักษณะนี้ไม่จำเป็นต้องเกิดจากการโจมตีทางไซเบอร์ แต่สามารถเกิดขึ้นได้จากการทำงานตามปกติ สิ่งสำคัญคือองค์กรต้องมีมาตรการป้องกันที่เหมาะสม รวมถึงแนวทางรับมือเมื่อเกิดเหตุ เพื่อช่วยลดผลกระทบและจัดการสถานการณ์ได้อย่างรวดเร็ว

4. เก็บข้อมูลไว้หลายที่ แต่ไม่มีใครรู้ว่าข้อมูลทั้งหมดอยู่ตรงไหน

บางบริษัทจัดเก็บข้อมูลลูกค้าไว้ใน Excel ขณะที่อีกแผนกเก็บข้อมูลชุดเดียวกันไว้ในอีเมลหรือโฟลเดอร์ส่วนตัวเมื่อมีการเปลี่ยนแปลงข้อมูลหรือถึงเวลาต้องลบข้อมูลที่ไม่จำเป็น องค์กรอาจไม่ทราบว่าต้องตรวจสอบจากที่ใดบ้าง การไม่มีภาพรวมของข้อมูลทำให้การกำหนดสิทธิ์เข้าถึง การติดตามการใช้งาน และการจัดการข้อมูลตลอดวงจรชีวิตทำได้ยากขึ้น

5. มี Privacy Policy แล้ว แต่ยังไม่รู้ว่าระบบดูแลข้อมูลได้ดีแค่ไหน

หลายองค์กรเริ่มต้นจัดการ PDPA ด้วยการจัดทำนโยบายความเป็นส่วนตัว หรือ Privacy Policy บนเว็บไซต์ รวมถึงเอกสารที่เกี่ยวข้องกับการเก็บข้อมูล สิ่งเหล่านี้เป็นส่วนสำคัญของการดำเนินการด้านการคุ้มครองข้อมูลส่วนบุคคล แต่ไม่ได้หมายความว่าองค์กรมีมาตรการดูแลข้อมูลครบถ้วนแล้วโดยอัตโนมัติ

คำถามที่ควรถามต่อคือ บริษัทกำหนดสิทธิ์เข้าถึงข้อมูลไว้อย่างไร? มีมาตรการป้องกันการเข้าถึงโดยไม่ได้รับอนุญาตหรือไม่? และหากเกิดเหตุข้อมูลรั่วไหล ใครเป็นผู้รับผิดชอบและต้องดำเนินการอย่างไร?

เพราะการดูแลข้อมูลให้เหมาะสมต้องอาศัยทั้งนโยบาย กระบวนการทำงาน และมาตรการรักษาความมั่นคงปลอดภัยที่สอดคล้องกับความเสี่ยงขององค์กร

PDPA เกี่ยวข้องกับธุรกิจ SME อย่างไร?

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หรือ PDPA เป็นกฎหมายที่กำหนดหลักเกณฑ์เกี่ยวกับการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล โดยมีเป้าหมายเพื่อคุ้มครองสิทธิของเจ้าของข้อมูล

สำหรับธุรกิจ SME ข้อมูลที่เกี่ยวข้องอาจเป็นข้อมูลของลูกค้า ผู้ติดต่อทางธุรกิจ พนักงาน ผู้สมัครงาน หรือบุคคลที่เข้ามาติดต่อบริษัท

สิ่งที่เจ้าของธุรกิจควรทำความเข้าใจคือ การมีข้อมูลส่วนบุคคลอยู่ในความดูแลทำให้องค์กรต้องพิจารณาว่าจะจัดการข้อมูลเหล่านั้นอย่างไรให้สอดคล้องกับกฎหมาย

ตัวอย่างเช่น องค์กรควรพิจารณาวัตถุประสงค์ในการเก็บข้อมูล ฐานทางกฎหมายที่ใช้ในการประมวลผล การแจ้งรายละเอียดแก่เจ้าของข้อมูล ระยะเวลาการจัดเก็บ และมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม

ทั้งนี้ การขอความยินยอมไม่ใช่ฐานทางกฎหมายเพียงรูปแบบเดียวสำหรับการประมวลผลข้อมูลส่วนบุคคล แต่ต้องพิจารณาให้เหมาะสมกับวัตถุประสงค์และข้อเท็จจริงของแต่ละกรณี

ที่สำคัญ PDPA ไม่ใช่หน้าที่ของฝ่ายใดฝ่ายหนึ่งเท่านั้น เพราะการจัดการข้อมูลเกี่ยวข้องกับหลายส่วนของธุรกิจ ตั้งแต่ฝ่ายการตลาดที่เก็บข้อมูลผู้สนใจ ฝ่ายขายที่ดูแลข้อมูลลูกค้า ฝ่าย HR ที่จัดเก็บข้อมู พนักงาน ไปจนถึงฝ่าย IT ที่ดูแลระบบและสิทธิ์การเข้าถึง

แล้วเจ้าของธุรกิจควรเริ่มตรวจสอบจากตรงไหน?

หากบริษัทของคุณเริ่มเห็นปัญหาที่กล่าวมา ไม่จำเป็นต้องรีบลงทุนในระบบขนาดใหญ่ทันที สิ่งแรกที่ควรทำคือสำรวจสถานะปัจจุบันและค้นหาจุดที่มีความเสี่ยงก่อน

เริ่มจากการสำรวจข้อมูลที่องค์กรมีอยู่

รวบรวมภาพรวมว่าบริษัทเก็บข้อมูลส่วนบุคคลประเภทใดบ้าง ข้อมูลอยู่ในระบบไหน ใครเป็นผู้รับผิดชอบ และองค์กรนำข้อมูลไปใช้เพื่อวัตถุประสงค์ใด

การทำความเข้าใจเส้นทางของข้อมูลจะช่วยให้องค์กรมองเห็นจุดที่ควรปรับปรุงได้ชัดเจนขึ้น

ตรวจสอบสิทธิ์การเข้าถึงข้อมูล

ทบทวนว่าพนักงานแต่ละคนมีสิทธิ์เข้าถึงข้อมูลสอดคล้องกับหน้าที่หรือไม่ โดยเฉพาะไฟล์ที่มีข้อมูลลูกค้า ข้อมูลเงินเดือน และเอกสารสำคัญของบริษัท

องค์กรควรกำหนดสิทธิ์เท่าที่จำเป็น และมีกระบวนการทบทวนหรือยกเลิกสิทธิ์เมื่อมีการเปลี่ยนตำแหน่งหรือสิ้นสุดการจ้างงาน

ทบทวนวิธีแชร์และจัดเก็บไฟล์

ตรวจสอบการแชร์เอกสารผ่านอีเมลและ Cloud รวมถึงลิงก์ที่เปิดให้บุคคลภายนอกเข้าถึงได้

การกำหนดแนวทางแชร์ไฟล์ที่ชัดเจนและเลือกใช้ระบบที่รองรับการควบคุมสิทธิ์อย่างเหมาะสม จะช่วยลดความเสี่ยงจากการเปิดเผยข้อมูลโดยไม่ตั้งใจ

กำหนดแนวทางจัดเก็บและลบข้อมูล

องค์กรควรทบทวนว่าข้อมูลแต่ละประเภทจำเป็นต้องเก็บไว้นานเท่าใด และมีขั้นตอนจัดการเมื่อหมดความจำเป็นหรือไม่ โดยต้องคำนึงถึงวัตถุประสงค์ ฐานทางกฎหมาย และข้อกำหนดอื่นที่เกี่ยวข้อง

การเก็บข้อมูลไว้โดยไม่มีเหตุผลที่เหมาะสมอาจเพิ่มภาระในการดูแลและทำให้การควบคุมข้อมูลซับซ้อนขึ้น

เตรียมแผนรับมือเมื่อเกิดเหตุข้อมูลรั่วไหล

แม้จะมีมาตรการป้องกันแล้ว องค์กรก็ยังควรเตรียมขั้นตอนรับมือเมื่อเกิดเหตุ เช่น การระบุผู้รับผิดชอบ การตรวจสอบขอบเขตของเหตุการณ์ การจำกัดผลกระทบ และการประเมินหน้าที่แจ้งเหตุหรือแจ้งเจ้าของข้อมูลตามที่กฎหมายกำหนด การเตรียมแผนไว้ล่วงหน้าจะช่วยให้องค์กรตอบสนองได้เป็นระบบมากกว่าการเริ่มคิดวิธีแก้ปัญหาเมื่อเกิดเหตุขึ้นแล้ว

การดูแล PDPA ที่ดี เริ่มจากการรู้ว่าข้อมูลอยู่ที่ไหนและใครเข้าถึงได้บ้าง

สำหรับธุรกิจ SME การจัดการข้อมูลอย่างเหมาะสมไม่ได้มีความสำคัญเพียงเพื่อให้สอดคล้องกับกฎหมาย แต่ยังช่วยสนับสนุนการทำงานที่เป็นระบบ สร้างความเชื่อมั่นให้กับลูกค้า และลดความเสี่ยงจากการใช้ข้อมูลอย่างไม่เหมาะสม

ในวันที่ธุรกิจนำ Cloud และระบบดิจิทัลมาใช้มากขึ้น เจ้าขององค์กรจึงควรมองการคุ้มครองข้อมูลเป็นส่วนหนึ่งของการบริหารความเสี่ยงทางธุรกิจ ไม่ใช่เพียงการจัดทำเอกสารให้ครบถ้วน

หากวันนี้คุณยังไม่แน่ใจว่าบริษัทจัดเก็บข้อมูลไว้ที่ใด ใครสามารถเข้าถึงข้อมูลได้บ้าง หรือระบบที่ใช้อยู่มีมาตรการควบคุมความปลอดภัยเหมาะสมกับความเสี่ยงหรือไม่ การเริ่มต้นสำรวจระบบและกระบวนการทำงานในปัจจุบันอาจเป็นก้าวสำคัญที่ช่วยให้องค์กรมองเห็นสิ่งที่ควรปรับปรุง

เพราะบางครั้ง ความเสี่ยงที่องค์กรควรใส่ใจมากที่สุด อาจไม่ใช่ข้อมูลที่ไม่เคยรู้ว่ามีอยู่ แต่เป็นข้อมูลที่มีอยู่ทุกวัน โดยยังไม่เคยตรวจสอบอย่างจริงจังว่ากำลังได้รับการดูแลอย่างเหมาะสมหรือไม่